特表 2024-536788 通信リンク

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-08

(54)【発明の名称】通信リンク

(51)【国際特許分類】

   G06F 21/72 20130101AFI20241001BHJP

   H04L 9/08 20060101ALI20241001BHJP

【ＦＩ】

G06F21/72

H04L9/08 C

【審査請求】未請求

【予備審査請求】有

(21)【出願番号】P 2024517057

(86)(22)【出願日】2022-09-13

(85)【翻訳文提出日】2024-05-13

(86)【国際出願番号】 SG2022050649

(87)【国際公開番号】W WO2023043368

(87)【国際公開日】2023-03-23

(31)【優先権主張番号】10202110284W

(32)【優先日】2021-09-17

(33)【優先権主張国・地域又は機関】SG

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

２．ＷＩＮＤＯＷＳ

３．ＰＹＴＨＯＮ

４．ＵＮＩＸ

５．ＺＩＧＢＥＥ

６．イーサネット

(71)【出願人】

【識別番号】524101711

【氏名又は名称】リム、ハン チェン

【氏名又は名称原語表記】ＬＩＭ， Ｈａｎ Ｃｈｕｅｎ

(71)【出願人】

【識別番号】524101722

【氏名又は名称】リウ、マオトン

【氏名又は名称原語表記】ＬＩＵ， Ｍａｏｔｏｎｇ

(74)【代理人】

【識別番号】110000729

【氏名又は名称】弁理士法人ユニアス国際特許事務所

(72)【発明者】

【氏名】リム、ハン チェン

(72)【発明者】

【氏名】リウ、マオトン

(57)【要約】

名称：通信リンク。コンピュータシステム１９とコンピュータシステム用のデータ処理デバイス１１との間でデータを転送するための通信リンク１３をここで開示する。通信リンク１３は、ユーザコンピュータシステム１９からデータ処理デバイス１１にデータを転送するための第１の一方向リンク２５であって、データ処理デバイス１１で受信される前にデータを暗号化するハードウェア暗号化デバイス５３を含む第１の一方向リンク２５と；、データ処理デバイス１１からコンピュータシステム１９にデータを転送するための第２の一方向リンク２７とから構成される。通信リンク１３を含むコンピューティング装置２もここに開示される。
【選択図】図１ａ

【特許請求の範囲】

【請求項1】

コンピュータシステムと前記コンピュータシステム用のデータ処理デバイスとの間でデータを転送するための通信リンクであって、
（ｉ）前記コンピュータシステムから前記データ処理デバイスにデータを転送するための第１の一方向リンクであって、前記データ処理デバイスで受信される前にデータを暗号化するハードウェア暗号化デバイスを備える、第１の一方向リンクと、
（ｉｉ）前記データ処理デバイスから前記コンピュータシステムへデータを転送するための第２の一方向リンクと、
を備える通信リンク。

【請求項2】

前記ハードウェア暗号化デバイスは、暗号鍵を生成する乱数生成器を含む、請求項１に記載の通信リンク。

【請求項3】

前記ハードウェア暗号化デバイスは、前記ハードウェア暗号化デバイスで暗号鍵として使用するためのランダムビットを前記データ処理デバイスから受信するように構成される、請求項１に記載の通信リンク。

【請求項4】

前記ハードウェア暗号化デバイスは、生成又は受信した暗号鍵を前記コンピュータシステムに提供しないように構成される、請求項２又は３に記載の通信リンク。

【請求項5】

前記第１及び第２の一方向リンクがユニバーサル非同期送受信機（ＵＡＲＴ）インタフェースリンクを備える、請求項１～４のいずれか一項に記載の通信リンク。

【請求項6】

前記第１の一方向リンクが第１のデータダイオードを更に含み、
前記第２の一方向リンクが第２のデータダイオードを含む、請求項１～５のいずれか一項に記載の通信リンク。

【請求項7】

前記第１のデータダイオードが前記コンピュータシステムと前記ハードウェア暗号化デバイスとの間に位置している、請求項６に記載の通信リンク。

【請求項8】

前記ハードウェア暗号化デバイスが集積回路を含む、請求項１～７のいずれか一項に記載の通信リンク。

【請求項9】

前記ハードウェア暗号化デバイスが排他的論理和（ＸＯＲ）論理ゲートを含む、請求項８に記載の通信リンク。

【請求項10】

前記ハードウェア暗号化デバイスは、高度暗号化規格（ＡＥＳ）カウンタモード又はワンタイムパッド（ＯＴＰ）暗号化のいずれかに基づくＸＯＲ演算を介して、受信データに対して暗号化演算を実行するように構成される、請求項９に記載の通信リンク。

【請求項11】

前記第２の一方向リンクは、前記コンピュータシステムで受信される前にデータを復号するためのハードウェア復号デバイスを備える、請求項１～１０のいずれか一項に記載の通信リンク。

【請求項12】

前記第２のデータダイオードは、前記データ処理デバイスと前記ハードウェア復号デバイスとの間に位置している、請求項６に従属する場合の請求項１１に記載の通信リンク。

【請求項13】

前記ハードウェア復号デバイスが集積回路を備える、請求項１１又は１２に記載の通信リンク。

【請求項14】

前記コンピュータシステムと第１の一方向通信を行い、前記データ処理デバイスと第２の一方向通信を行うネットワークインタフェースを更に備え、
前記第１の一方向リンクは、前記ネットワークインタフェースから前記コンピュータシステムへデータを転送するように構成され、
前記第２の一方向リンクは、前記データ処理デバイスから前記ネットワークインタフェースへデータを転送するように構成される、請求項１～１３のいずれか一項に記載の通信リンク。

【請求項15】

少なくとも１つのユーザコンピュータシステムと、
前記少なくとも１つのユーザコンピュータシステムのためのデータ処理デバイスと、
前記少なくとも１つのユーザコンピュータシステムと前記データ処理デバイスとの間でデータを転送するための請求項１～１４のいずれか一項に記載の少なくとも１つの通信リンクと、
を含むコンピューティング装置。

【請求項16】

前記データ処理デバイスと前記少なくとも１つのユーザコンピュータシステムとの間に前記少なくとも１つの通信リンクのみを備える、請求項１５に記載のコンピューティング装置。

【請求項17】

前記少なくとも１つのユーザコンピュータシステムは、前記少なくとも１つの通信リンクの前記第１の一方向リンクのみを介して、前記少なくとも１つのユーザコンピュータシステムからデータを転送するように構成される、請求項１５又は１６に記載のコンピューティング装置。

【請求項18】

前記データ処理デバイスは、前記少なくとも１つの通信リンクの前記第１の一方向リンクを介することを除き、前記データ処理デバイスへ転送されるデータを受信しないように構成される、請求項１５～１７のいずれか一項に記載のコンピューティング装置。

【請求項19】

前記少なくとも１つのユーザコンピュータシステムは、前記少なくとも１つの通信リンクの前記第２の一方向リンクのみを介して、前記少なくとも１つのコンピュータシステムへ転送されるデータを受信するように構成される、請求項１５～１８のいずれか一項に記載のコンピューティング装置。

【請求項20】

前記データ処理デバイス及び前記少なくとも１つのユーザコンピュータシステムの一方又は両方がユーザ入力を直接受信するように構成される、請求項１５～１９のいずれか一項に記載のコンピューティング装置。

【請求項21】

第１のユーザコンピュータシステムと、
第２のユーザコンピュータシステムと、
前記第１及び第２のユーザコンピュータシステムのためのデータ処理デバイスと、
前記データ処理デバイスと前記第１のユーザコンピュータシステムとの間でデータを転送するための請求項１から１４のいずれか一項に記載の第１の通信リンクと、
前記データ処理デバイスと前記第２のユーザコンピュータシステムとの間でデータを転送するための請求項１から１４のいずれか一項に記載の第２の通信リンクと、
を備える、請求項１５～２０のいずれか一項に記載のコンピューティング装置。

【請求項22】

ネットワーク化されたコンピュータシステムと、
前記ネットワーク化されたコンピュータシステムから前記少なくとも１つのユーザコンピュータシステムへデータを転送するための第３の一方向リンクと、
前記データ処理デバイスから前記ネットワーク化されたコンピュータシステムへデータを転送するための第４の一方向リンクと、
を更に備える、請求項１５に記載のコンピューティング装置。

【請求項23】

前記ネットワーク化されたコンピュータシステムと前記データ処理デバイスとの間に前記第４の一方向リンクのみが設けられ、
前記少なくとも１つのユーザコンピュータシステムと前記ネットワーク化されたコンピュータシステムとの間に前記第３の一方向リンクのみが設けられる、請求項２２に記載のコンピューティング装置。

【請求項24】

前記ネットワーク化されたコンピュータシステムと双方向通信するネットワークインタフェースを更に備え、
前記第４の一方向リンクは、前記データ処理デバイスから前記ネットワークインタフェースへデータを転送するように動作可能であり、
前記第３の一方向リンクは、前記ネットワークインタフェースから前記少なくとも１つのコンピュータシステムへデータを転送するように動作可能である、請求項２３又は２４に記載のコンピューティング装置。

【請求項25】

ネットワーク化されたコンピュータシステムと、
前記ネットワーク化されたコンピュータシステムと前記データ処理デバイスとの間でデータを転送するための請求項１～１４のいずれか一項に記載の更なる通信リンクと、
を更に備える、請求項１５に記載のコンピューティング装置。

【請求項26】

１つ以上の前記ユーザコンピュータシステムがイントラネットに接続される、請求項１５～２５のいずれか一項に記載のコンピューティング装置。

【請求項27】

請求項１５～２６のいずれか一項に記載のコンピューティング装置におけるデータ処理方法であって、
前記少なくとも１つのコンピュータシステム及び前記少なくとも１つの通信リンクのみを介して前記データ処理デバイスで転送されたデータを受信するステップ、
を含むデータ処理方法。

【請求項28】

データ処理デバイスにおいて、周辺入力デバイスからユーザ入力を直接受信するステップを更に含む、請求項２７に記載のデータ処理方法。

【請求項29】

前記少なくとも１つの通信リンクのみを介して、前記少なくとも１つのユーザコンピュータシステムから前記データ処理デバイスのみへデータを転送するステップを更に含む、請求項２７又は２８に記載のコンピューティング装置におけるデータ処理方法。

【請求項30】

請求項２２～２６のいずれか一項に記載の前記コンピューティング装置を使用したネットワークからのデータ受信方法であって、
前記ネットワーク化されたコンピュータシステムで前記ネットワークからデータを受信するステップと、
ユーザに表示するために前記少なくとも１つのユーザコンピュータシステムにデータを転送するステップと、
前記少なくとも１つの通信リンクを介して前記データ処理デバイスにデータを転送するステップと、
前記データ処理デバイス又は前記データ処理デバイスに接続されるデータ記憶デバイスにデータを記憶するステップと、
を含むデータ受信方法。

【請求項31】

請求項２２～２６のいずれか一項に記載の前記コンピューティング装置を使用したネットワークへのデータ送信方法であって、
送信されるべきデータを示すユーザ入力を前記少なくとも１つのユーザコンピュータシステムで受信するステップと、
前記少なくとも１つの通信リンクを介して前記少なくとも１つのユーザコンピュータシステムから前記データ処理デバイスに送信されるべきデータを転送するステップと、
前記データ処理デバイスから前記ネットワーク化されたコンピュータシステムへ送信されるべきデータを転送するステップと、
前記ネットワーク化されたコンピュータシステムから、前記ネットワークに送信されるべきデータを送信するステップと、
を含むデータ送信方法。

【請求項32】

前記少なくとも１つのユーザコンピュータシステムでユーザ入力を受信するステップは、前記データ処理デバイスで前記ユーザ入力を受信し、それを前記少なくとも１つのユーザコンピュータシステムに中継するステップを含む、請求項３１に記載のデータ送信方法。

【請求項33】

データの意図された受信者の公開鍵及びセッション鍵を前記データ処理デバイスから前記少なくとも１つのユーザコンピュータシステムに送信するステップと、
前記少なくとも１つのユーザコンピュータシステムにおいて、前記セッション鍵を用いて前記送信されるべきデータを暗号化し、前記意図された受信者の前記公開鍵を用いて前記セッション鍵を暗号化するステップと、
送信されるべき暗号化されたデータ及び暗号化されたセッション鍵を、前記少なくとも１つの通信リンクを介して、前記少なくとも１つのユーザコンピュータシステムから前記データ処理デバイスに転送するステップと、
前記ネットワーク化されたコンピュータシステムから、送信されるべき暗号化されたデータ及び暗号化されたセッション鍵を前記ネットワークへ送信するステップと、
を更に含む、請求項３１又は３２に記載のデータ送信方法。

【請求項34】

前記ネットワーク化されたコンピュータシステムにおいて、前記少なくとも１つの通信リンクの前記ハードウェア暗号化デバイスによるハードウェア暗号化を除去するステップを更に含む、請求項３３に記載のデータ送信方法。

【請求項35】

前記データ処理デバイスで、送信されるべきデータのハードウェア暗号化を第１の暗号化タイプから第２の暗号化タイプに変換するステップを更に含む、請求項３１～３３のいずれか一項に記載のデータ送信方法。

【請求項36】

前記少なくとも１つのユーザコンピュータシステムにおいて、前記送信されるべきデータをタグでラベル付けするステップと、
前記データ処理デバイスにおいて前記送信されるべきデータがどのように処理されるべきかを決定するために前記データ処理デバイスで前記タグを識別するステップと、
を更に含む、請求項２７～３５のいずれか一項に記載の方法。

【請求項37】

請求項１５～２６のいずれか一項に記載のコンピューティング装置を使用したユーザ認証方法であって、
前記少なくとも１つのユーザコンピュータシステムで検証器からノンスを受信するステップと、
前記少なくとも１つのユーザコンピュータシステムでユーザに前記ノンスを表示するステップと、
ユーザによって前記ノンスが前記データ処理デバイスに入力されるステップと、
前記データ処理デバイスで、前記ノンス及びユーザパスワードを使用して暗号化演算を実行し、前記ユーザの認証のために前記暗号化演算の出力を前記検証器に送信するステップと、
を含むユーザ認証方法。

【請求項38】

ユーザによって、前記データ処理デバイスに前記パスワードが入力されるステップを更に含む、請求項３７に記載のユーザ認証方法。

【請求項39】

前記データ処理デバイスがデータ記憶デバイスを含み、
前記データ処理デバイスにより、前記データ記憶デバイスから前記パスワードを取り出すステップ、
を更に含む、請求項３７に記載のユーザ認証方法。

【請求項40】

ネットワーク化されたコンピュータシステムと、
ユーザコンピュータシステムと、
前記ネットワーク化されたコンピュータシステムから前記ユーザコンピュータシステムへデータを転送するための第１の一方向通信リンクと、
データ処理デバイスと、
前記ユーザコンピュータシステムと前記データ処理デバイスとの間のデータ処理通信リンクであって、前記ユーザコンピュータシステムと前記データ処理デバイスとの間でデータを転送するように構成される、データ処理通信リンクと、
前記データ処理デバイスから前記ネットワーク化されたコンピュータシステムへデータを転送するための第２の一方向通信リンクと、
前記データ処理デバイスと通信接続され、前記データ処理デバイスへ入力を中継するように構成される少なくとも１つの周辺入力デバイスと、
を備えるコンピューティング装置。

【請求項41】

前記データ処理デバイスは、コマンドが前記周辺入力デバイスで受信されることに応じてのみ、前記ユーザコンピュータシステムからデータを受信するように構成される、請求項４０に記載のコンピューティング装置。

【請求項42】

データ処理デバイスは、受信されたデータを暗号化形式で前記データ処理デバイスに記憶するように構成される、請求項４０又は４１に記載のコンピューティング装置。

【請求項43】

前記データ処理デバイスに通信可能に接続される記憶デバイスを更に備え、
前記データ処理デバイスは、前記記憶デバイスに記憶するために、前記データ処理デバイスによって受信されたデータを暗号化形式で前記記憶デバイスに送信するように構成される、請求項４０又は４１に記載のコンピューティング装置。

【請求項44】

前記データ処理デバイスは、更なるコマンドが前記少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、前記データ処理デバイスからデータを転送するように構成される、請求項４０～４２のいずれか一項に記載のコンピューティング装置。

【請求項45】

前記データ処理デバイスは、復号鍵転送コマンドが前記少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、前記データ処理デバイスから復号鍵を転送するように構成される、請求項４０～４４のいずれか一項に記載のコンピューティング装置。

【請求項46】

前記データ処理通信リンクは、前記ユーザコンピュータシステムと前記データ処理デバイスとの間でデータを転送するための双方向通信リンクを備え、
前記コンピューティング装置は、暗号鍵を使用して、前記双方向通信リンクを介して前記ユーザコンピュータシステムから前記データ処理デバイスによって受信された全てのデータを暗号化するように構成され、
前記ユーザコンピュータシステムが前記暗号鍵にアクセスできない、請求項４０～４５のいずれか一項に記載のコンピューティング装置。

【請求項47】

コンピューティング装置であって、
ネットワーク化されたコンピュータシステムと、
データ処理デバイスと、
前記データ処理デバイスと通信接続する少なくとも１つの周辺入力デバイスと、
前記ネットワーク化されたコンピュータシステムと前記データ処理デバイスとの間でデータを転送するための双方向通信リンクと、
を備え、
前記コンピューティング装置は、暗号鍵を使用して、前記双方向通信リンクを介して前記ネットワーク化されたコンピュータシステムから前記データ処理デバイスによって受信される全てのデータを暗号化するように構成され、
前記ネットワーク化されたコンピュータシステムは前記暗号鍵にアクセスできず、
更に、前記データ処理デバイスは、前記少なくとも１つの周辺入力デバイスでコマンドが受信されることに応じてのみ、前記データ処理デバイスから前記ネットワーク化されたコンピュータシステムにデータを転送するように構成される、
コンピューティング装置。

【請求項48】

前記少なくとも１つの周辺入力デバイスで受信される前記コマンドは、人間又はコンピュータプログラムからのものである、請求項４０～４７のいずれか一項に記載のコンピューティング装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データセキュリティ用途で使用され得る通信リンクに関する。

【背景技術】

【0002】

悪意のあるソフトウェア、又は略してマルウェアは、今日の深刻な脅威である。サイバー犯罪者は、キーロガー、スクリーンキャプチャラーなどのスパイウェアを使用して、コンピュータユーザをスパイし、個人資格情報、ログインパスワード、クレジットカード番号、財務文書などの重要なデータを盗む。ランサムウェア攻撃も近年増加している。これらの攻撃では、サイバー犯罪者は、コンピュータユーザのデータへの違法なアクセスを得て、被害者が身代金を支払わない限り、それらのデータを公開もしくは販売する、又は重要なデータへのアクセスを永続的にブロックすると脅かす。

【0003】

洗練されたマルウェアは、マルウェアの署名又は挙動に基づく検出を回避するために正当なソフトウェアに偽装する可能性があるため、マルウェアを検出することがますます困難になってきている。また、オペレーティングシステム又はアプリケーションソフトウェアのゼロデイ脆弱性を利用してセキュリティ対策を回避するマルウェアも存在する。

【0004】

データをマルウェアから保護する効果的で信頼性の高い方法を提供することが望ましい。

【発明の概要】

【0005】

第１の態様では、コンピュータシステムとコンピュータシステムのためのデータ処理デバイスとの間でデータを転送するための通信リンクが提供される。通信リンクは、コンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える第１の一方向リンクと、データ処理デバイスからコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。一方向リンク及びハードウェア暗号化デバイスを使用することにより、通信リンクは、データ処理デバイスがマルウェア検出を必要とせずに、マルウェア耐性データ処理サービス（例えば、データの記憶及び／又は出力）をコンピュータシステムに提供できるようにし得る。

【0006】

第１の一方向リンクは、第１のデータをコンピュータシステムからデータ処理デバイスに転送することができ、第２の一方向リンクは、第２のデータをデータ処理デバイスからコンピュータシステムに転送することができる。好ましくは、ハードウェア暗号化デバイスは、暗号鍵を生成するための乱数生成器を含む。特定の実施形態において、ハードウェア暗号化デバイスは、ハードウェア暗号化デバイスで暗号鍵として使用するためのランダムビットをデータ処理デバイスから受信するように構成される。好ましくは、ハードウェア暗号化デバイスは、生成又は受信した暗号鍵をコンピュータシステムに提供しないように構成される。

【0007】

特定の実施形態において、第１及び第２の一方向リンクは、ユニバーサル非同期送受信機（ＵＡＲＴ）インタフェースリンクを備える。

【0008】

好適には、第１の一方向リンクが第１のデータダイオードを更に含み、第２の一方向リンクが第２のデータダイオードを含む。具体的には、第１のデータダイオードは、コンピュータシステムとハードウェア暗号化デバイスとの間に位置していてもよい。

【0009】

特定の実施形態では、ハードウェア暗号化デバイスが集積回路を含む。好ましくは、ハードウェア暗号化デバイスが排他的論理和（ＸＯＲ）論理ゲートを含む。好適には、ハードウェア暗号化デバイスは、好ましくは、高度暗号化規格（ＡＥＳ）カウンタモード又はワンタイムパッド暗号化に基づくＸＯＲ演算を介して、受信されたデータに対して暗号化演算を実行するように構成される。

【0010】

第２の一方向リンクは、データをコンピュータシステムで受信される前に復号するためのハードウェア復号デバイスを備えてもよいことが想定される。好適には、第２のデータダイオード（存在する場合）は、データ処理デバイスとハードウェア復号デバイスとの間に位置している。ハードウェア復号デバイスが集積回路を備えてもよいことが想定される。

【0011】

特定の実施形態において、通信リンクは、コンピュータシステムと第１の一方向通信を行い、データ処理デバイスと第２の一方向通信を行うネットワークインタフェースを更に含み、第１の一方向リンクは、ネットワークインタフェースからコンピュータシステムにデータを転送するように構成され、第２の一方向リンクは、データ処理デバイスからネットワークインタフェースにデータを転送するように構成される。

【0012】

第２の態様では、少なくとも１つのユーザコンピュータシステムと、少なくとも１つのユーザコンピュータシステムのためのデータ処理デバイスと、コンピュータシステムとデータ処理デバイスとの間でデータを転送するための少なくとも１つの通信リンクとを含む、コンピューティング装置が提供される。通信リンクは、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える、第１の一方向リンクと、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。好ましくは、コンピューティング装置は、データ処理デバイスと少なくとも１つのユーザコンピュータシステムとの間の少なくとも１つの通信リンクのみを備え、すなわち、データ処理デバイスと少なくとも１つのコンピュータシステムとの間の他の通信接続を備えない。少なくとも１つのユーザコンピュータシステムは、少なくとも１つの通信リンクの第１の一方向リンクのみを介して少なくとも１つのユーザコンピュータシステムからデータを転送するように構成されてもよいことも想定される。更に、データ処理デバイスは、少なくとも１つの通信リンクの第１の一方向リンクを介することを除き、データ処理デバイスに転送されたデータを受信しないように構成されてもよいことが想定される。少なくとも１つのユーザコンピュータシステムは、少なくとも１つの通信リンクの第２の一方向リンクのみを介して少なくとも１つのコンピュータシステムに転送されたデータを受信するように構成されてもよいことが更に想定される。

【0013】

データ処理デバイス及び少なくとも１つのユーザコンピュータシステムの一方又は両方は、ユーザ入力を直接受信するように構成されてもよいことを理解すべきである。

【0014】

特定の実施形態において、コンピューティング装置は、第１のユーザコンピュータシステムと、第２のユーザコンピュータシステムと、第１及び第２のユーザコンピュータシステムのためのデータ処理デバイスと、データ処理デバイスと第１のユーザコンピュータシステムとの間でデータを転送するための第１の通信リンクと、データ処理デバイスと第１のユーザコンピュータシステムとの間でデータを転送するための第２の通信リンクとを備えてもよい。第１及び第２の通信リンクのそれぞれは、それぞれのユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える、第１の一方向リンクと、データ処理デバイスからそれぞれのユーザコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。

【0015】

特定の実施形態において、コンピューティング装置は、ネットワーク化されたコンピュータシステムと、ネットワーク化されたコンピュータシステムから少なくとも１つのユーザコンピュータシステムへデータを転送するための第３の一方向リンクと、データ処理デバイスからネットワーク化されたコンピュータシステムへデータを転送するための第４の一方向リンクとを更に含む。好ましくは、第４の一方向リンクのみが、ネットワーク化されたコンピュータシステムとデータ処理デバイスとの間に設けられ、第３の一方向リンクのみが、少なくとも１つのユーザコンピュータシステムとネットワーク化されたコンピュータシステムとの間に設けられ、すなわち、それらの間に他の直接的な通信接続は設けられない。コンピューティング装置は、ネットワーク化されたコンピュータシステムと双方向通信するネットワークインタフェースを更に含むことができ、第４の一方向リンクは、データ処理デバイスからネットワークインタフェースにデータを転送するように動作可能であり、第３の一方向リンクは、ネットワークインタフェースから少なくとも１つのコンピュータシステムにデータを転送するように動作可能であることが想定される。

【0016】

特定の実施形態において、コンピューティング装置は、外部ネットワークに接続されるネットワーク化されたコンピュータシステムと、ネットワーク化されたコンピュータシステムとデータ処理デバイスとの間でデータを転送するための通信リンクとを含むことができ、通信リンクは、ネットワーク化されたコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクを備えるとともに、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスと、データ処理デバイスからネットワーク化されたコンピュータシステムにデータを転送するための第２の一方向リンクと、を備える。１つ以上のユーザコンピュータシステム自体が、外部ネットワークから分離されるネットワーク、すなわちイントラネットに接続されてもよいことが想定される。

【0017】

第３の態様では、コンピューティング装置におけるデータ処理方法が提供される。コンピューティング装置は、少なくとも１つのユーザコンピュータシステムと、少なくとも１つのユーザコンピュータシステムのためのデータ処理デバイスと、ユーザコンピュータシステムとデータ処理デバイスとの間でデータを転送するための少なくとも１つの通信リンクとを備える。通信リンクは、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える、第１の一方向リンクと、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。方法は、ネットワーク化されたコンピュータシステムでネットワークからデータを受信するステップと、ユーザに表示するために少なくとも１つのユーザコンピュータシステムにデータを転送するステップと、少なくとも１つの通信リンクを介してデータ処理デバイスにデータを転送するステップと、データ処理デバイス又はデータ処理デバイスに接続されるデータ記憶デバイスにデータを記憶するステップとを含む。

【0018】

第４の態様では、コンピューティング装置を使用したネットワークへのデータ送信方法が提供される。コンピューティング装置は、少なくとも１つのユーザコンピュータシステムと、少なくとも１つのユーザコンピュータシステムのためのデータ処理デバイスと、コンピュータシステムとデータ処理デバイスとの間でデータを転送するための少なくとも１つの通信リンクと、ネットワーク化されたコンピュータシステムと、ネットワーク化されたコンピュータシステムから少なくとも１つのユーザコンピュータシステムへデータを転送するための第３の一方向リンクと、データ処理デバイスからネットワーク化されたコンピュータシステムへデータを転送するための第４の一方向リンクと、を備える。通信リンクは、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える、第１の一方向リンクと、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。方法は、送信されるべきデータを示すユーザ入力を少なくとも１つのユーザコンピュータシステムで受信するステップと、少なくとも１つの通信リンクを介して少なくとも１つのユーザコンピュータシステムからデータ処理デバイスに送信されるべきデータを転送するステップと、データ処理デバイスからネットワーク化されたコンピュータシステムへ送信されるべきデータを転送するステップと、ネットワーク化されたコンピュータシステムから、ネットワークに送信されるべきデータを送信するステップとを含む。特定の実施形態において、ユーザ入力を少なくとも１つのユーザコンピュータシステムで受信するステップは、データ処理デバイスでユーザ入力を受信し、それを少なくとも１つのユーザコンピュータシステムに中継するステップを含む。

【0019】

方法は、データの意図された受信者の公開鍵及びセッション鍵をデータ処理デバイスから少なくとも１つのユーザコンピュータシステムに送信するステップと、少なくとも１つのユーザコンピュータシステムで、セッション鍵を用いて送信されるべきデータを暗号化するとともに、意図された受信者の公開鍵を用いてセッション鍵を暗号化するステップと、少なくとも１つの通信リンクを介して少なくとも１つのユーザコンピュータシステムからデータ処理デバイスに、送信されるべき暗号化されたデータ及び暗号化されたセッション鍵を転送するステップと、ネットワーク化されたコンピュータシステムから、送信されるべき暗号化されたデータ及び暗号化されたセッション鍵をネットワークに送信するステップと、を更に含んでもよいことが想定される。好ましくは、方法は、ネットワーク化されたコンピュータシステムにおける少なくとも１つの通信リンクのハードウェア暗号化デバイスによるハードウェア暗号化を除去するステップを更に含む。特定の実施形態において、送信されるべきデータのハードウェア暗号化は、データ処理デバイスで第１の暗号化タイプから第２の暗号化タイプに変換されてもよい。方法は、少なくとも１つのユーザコンピュータシステムにおいて送信されるべきデータをタグでラベル付けするステップと、送信されるべきデータがデータ処理デバイスにおいてどのように処理されるべきかを決定するためにデータ処理デバイスにおいてタグを識別するステップとを更に含んでもよいことが想定される。

【0020】

第５の態様では、コンピューティング装置を使用したユーザ認証方法が提供される。コンピューティング装置は、少なくとも１つのユーザコンピュータシステムと、少なくとも１つのユーザコンピュータシステムのためのデータ処理デバイスと、少なくとも１つの通信リンクとを含む。通信リンクは、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンクであって、データをデータ処理デバイスで受信される前に暗号化するためのハードウェア暗号化デバイスを備える、第１の一方向リンクと、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンクとを備える。ユーザを認証する方法は、検証器から少なくとも１つのユーザコンピュータシステムにおいてノンスを受信するステップと、ノンスを少なくとも１つのユーザコンピュータシステムにおいてユーザに表示するステップと、ユーザによって、データ処理デバイスにノンスを入力するステップと、データ処理デバイスにおいて、ノンス及びユーザパスワードを使用して暗号化演算を実行し、ユーザの認証のために暗号化演算の出力を検証器に送信するステップとを含む。特定の実施形態において、方法は、ユーザにより、データ処理デバイスにパスワードを入力するステップを更に含む。更なる特定の実施形態では、データ処理デバイスがデータ記憶デバイスを含み、方法は、データ処理デバイスによって、データ記憶デバイスからパスワードを取り出すステップを更に含む。

【0021】

第６の態様では、ネットワーク化されたコンピュータシステムと、ユーザコンピュータシステムと、ネットワーク化されたコンピュータシステムからユーザコンピュータシステムへデータを転送するための第１の一方向通信リンクと、データ処理デバイスと、ユーザコンピュータシステムとデータ処理デバイスとの間のデータ処理通信リンクであって、ユーザコンピュータシステムとデータ処理デバイスとの間でデータを転送するように構成される、データ処理通信リンクと、データ処理デバイスからネットワーク化されたコンピュータシステムへデータを転送するための第２の一方向通信リンクと、データ処理デバイスと通信接続する少なくとも１つの周辺入力デバイスとを備える、コンピューティング装置が提供される。好ましくは、データ処理デバイスは、周辺入力デバイスでコマンドが受信されることに応じてのみ、ユーザコンピュータシステムからデータを受信するように構成される。特定の実施形態において、データ処理デバイスは、受信したデータを暗号化形式でデータ処理デバイスに記憶するように構成される。これに代えて又は加えて、コンピューティング装置は、データ処理データに接続される記憶デバイスを更に含み、データ処理デバイスは、データ処理デバイスによって受信されたデータを記憶デバイスに記憶するために暗号化形式で記憶デバイスに送信するように構成される。

【0022】

好適には、データ処理デバイスは、更なるコマンドが少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、データ処理デバイスからデータを転送するように構成される。特定の実施形態において、データ処理デバイスは、復号鍵転送コマンドが少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、データ処理デバイスから復号鍵を転送するように構成される。

【0023】

好ましくは、データ処理通信リンクは、ユーザコンピュータシステムとデータ処理デバイスとの間でデータを転送するための双方向通信リンクを備え、コンピューティング装置は、暗号鍵を使用して、双方向通信リンクを介してユーザコンピュータシステムからデータ処理デバイスによって受信される全てのデータを暗号化するように構成され、ユーザコンピュータシステムは暗号鍵にアクセスできない。

【0024】

第７の態様では、ネットワーク化されたコンピュータシステムと、データ処理デバイスと、データ処理デバイスと通信接続する少なくとも１つの周辺入力デバイスと、ネットワーク化されたコンピュータシステムとデータ処理デバイスとの間でデータを転送するための双方向通信リンクとが提供され、コンピューティング装置は、暗号鍵を使用して、双方向通信リンクを介してネットワーク化されたコンピュータシステムからデータ処理デバイスによって受信される全てのデータを暗号化するように構成され、ネットワーク化されたコンピュータシステムは暗号鍵にアクセスできず、更に、データ処理デバイスは、少なくとも１つの周辺入力デバイスでコマンドが受信されることに応じてのみ、データ処理デバイスからネットワーク化されたコンピュータシステムにデータを転送するように構成される。

【0025】

第８の態様では、データ転送方法が提供される。方法は、２つのコンピューティングデバイス間で反対方向に２つの一方向データ転送リンクを介してデータを転送するステップを含み、一方向データ転送リンクのうちの１つは、それを通過する全てのデータを暗号化するハードウェアを含む暗号化リンクである。

【0026】

特定の実施形態において、暗号鍵は、ハードウェア暗号化モジュール内で生成されてもよく、又はハードウェア暗号化モジュールに接続された外部ランダムビット生成器によって提供されてもよく、又は暗号化されたデータを受信するコンピューティングデバイスによって提供されてもよい。更に、データを送信するコンピューティングデバイスは、暗号鍵及び復号鍵にアクセスできないことが好ましい。復号鍵は、暗号化されたデータを受信するコンピューティングデバイス、例えばデータ記憶ドライブ、又はリムーバブルメモリデバイスに保持されてもよい。

【0027】

特定の実施形態において、データ転送方法の一方向データ転送リンクは、ＵＡＲＴ（Universal Asynchronous Receiver Transmitter；非同期ユニバーサル受信機送信機）インタフェースで実装されてもよい。ＵＤＰ（User Datagram Protocol；ユーザデータグラムプロトコル）などの他の一方向データ転送プロトコルも同様に使用することができる。

【0028】

特定の実施形態では、光カプラ又は光アイソレータなどのデータダイオードを使用して、データ転送の厳密な一方向性を強制することができる。

【0029】

特定の実施形態において、ハードウェア暗号化モジュールは、集積回路、例えばＦＰＧＡ（フィールドプログラマブルゲートアレイ）で実装されてもよい。暗号化演算は、ワンタイムパッド暗号化のための鍵として使用されるランダムビットを有するＸＯＲ（排他的論理和）ゲートにより実施されてもよい。ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）などの他の形式のデータ暗号化も使用することができる。

【0030】

特定の実施形態において、ハードウェア暗号化モジュールを含まない一方向リンクは、ハードウェア復号モジュール（ＨＤＭ）を含み得る。暗号化されたデータ及び復号鍵をデータ送信コンピューティングデバイスから受信すると、ＨＤＭは、復号されたデータをデータ受信コンピューティングデバイスに転送する前にデータの復号を実行する。ＨＤＭは、集積回路、例えばＦＰＧＡで実装されてもよい。

【0031】

好ましくは、データダイオードが使用される一方向データ転送リンクでは、ハードウェア暗号化モジュール又はハードウェア復号モジュールが、データフローの方向に関してデータダイオードの後に配置され、ハードウェア暗号化モジュール又はハードウェア復号モジュールに移動するデータがデータ送信コンピューティングデバイスに再入力されるのを防止する。そのようなリスクが懸念されない実装形態では、それらの位置を交換することができる。

【0032】

第９の態様では、第１のコンピューティングデバイス及び第２のコンピューティングデバイスを備える方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によって接続される。第１のコンピューティングデバイスは、一方向リンクのみを介して第２のコンピューティングデバイス及び他のコンピューティングデバイスからデータを受信することができる。第２のコンピューティングデバイスは、一方向リンクのみを介して第１のコンピューティングデバイス又は他のコンピューティングデバイスにデータを送信することができる。第２のコンピューティングデバイスは、一方向暗号化リンクのみを介して第１のコンピューティングデバイスからデータを受信することができる。この方法は、第１のコンピューティングデバイスからのデータ漏洩を防止し、第２のコンピューティングデバイスに記憶されたデータを保護することができる。より具体的には、データを復号して表示することができる第１のコンピューティングデバイスは、スパイウェアから保護することができ、重要なデータを記憶することができる第２のコンピューティングデバイスは、ランサムウェアから保護することができる。

【0033】

特定の実施形態において、第１のコンピューティングデバイスは、外部ネットワークに接続される第３のコンピューティングデバイスから、暗号化されたデータ、例えば暗号化された電子メール又はメッセージを受信する。第１のコンピューティングデバイスは、受信した暗号化されたデータを復号し、復号したデータをコンピュータ画面に表示する。第２のコンピューティングデバイスは、例えば電子メール又はメッセージなどのデータを外部ネットワークの受信者に送信するためのユーザ命令を受信する。第２のコンピューティングデバイスは、データを暗号化し、暗号化されたデータを、第３のコンピューティングデバイス又はそのための外部ネットワークに接続される別のコンピューティングデバイスに送信して、データを外部ネットワークに送出する。

【0034】

特定の実施形態において、第１のコンピューティングデバイス及び第２のコンピューティングデバイスの両方は、周辺入力デバイスを介してコマンドなどのユーザ入力データを受信することができる。或いは、第２のコンピューティングデバイスに接続された周辺入力デバイスから受信したユーザ入力データは、第１のコンピューティングデバイスに中継されてもよい。

【0035】

第１０の態様では、第１のコンピューティングデバイス及び第２のコンピューティングデバイスを備える更に別の方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によって接続される。第１のコンピューティングデバイスは、一方向リンクを介して第２のコンピューティングデバイスからのみデータを受信することができる。第２のコンピューティングデバイスは、一方向リンクのみを介して第１のコンピューティングデバイス又は他のコンピューティングデバイスにデータを送信することができる。第２のコンピューティングデバイスは、一方向暗号化リンクのみを介して第１のコンピューティングデバイス及び他のコンピューティングデバイスからデータを受信することができる。この方法は、第１のコンピューティングデバイスが他のコンピューティングデバイスからではなく第２のコンピューティングデバイスからのみデータを受信し、したがってその攻撃面を低減するので、特に安全であり得る。第２に、この構成は、第２のコンピューティングデバイスへの複数の接続を容易にし、第２のコンピューティングデバイスは、複数のユーザに対してハブ又はブリッジの役割を果たすことができる。

【0036】

特定の実施形態では、第２のコンピューティングデバイスは、暗号化されたデータ、例えば暗号化された電子メール又はメッセージを、外部ネットワークに接続された第３のコンピューティングデバイスから受信する。第２のコンピューティングデバイスは、暗号化されたデータを第１のコンピューティングデバイスに転送する。第１のコンピューティングデバイスは、受信した暗号化されたデータを復号し、復号したデータをコンピュータ画面に表示する。第２のコンピューティングデバイスは、第２のコンピューティングデバイスに接続された周辺入力デバイスからユーザ入力データを受信する。周辺入力デバイスから受信したユーザ入力データは、コンピュータ画面に表示するために第１のコンピューティングデバイスに中継されてもよい。第２のコンピューティングデバイスは、データ、例えば電子メール又はメッセージを外部ネットワークの受信者に送信するためのユーザからの命令を受信し、第２のコンピューティングデバイスは、データを暗号化し、暗号化されたデータを第３のコンピューティングデバイス又はそのための外部ネットワークに接続された別のコンピューティングデバイスに送信して、データを外部ネットワークに送信する。

【0037】

特定の実施形態において、第１のコンピューティングデバイス及び第２のコンピューティングデバイスの両方は、周辺入力デバイスを介してコマンドなどのユーザ入力データを受信することができる。或いは、第２のコンピューティングデバイスに接続された周辺入力デバイスから受信したユーザ入力データは、第１のコンピューティングデバイスに中継されてもよい。

【0038】

第９の態様又は第１０の態様のいずれかの特定の実施形態において、第２のコンピューティングデバイスは、他のコンピューティングデバイスが外部ネットワークに接続されておらず、外部ネットワークに接続される他のコンピューティングデバイスにも接続されておらず、いかなるデータも復号しない限り、一方向暗号化を伴わない双方向データ転送リンクを介して他のコンピューティングデバイスに接続されてもよい。例えば、第２のコンピューティングデバイスは、一方向暗号化を伴わない双方向データ転送リンクを介して、外部ネットワークに接続されていないプライベートファイルサーバに接続されてもよい。ファイルサーバは、外部ネットワーク又は第２のコンピューティングデバイス以外のコンピューティングデバイスに接続されておらず、いかなるデータも復号しない限り、第２のコンピューティングデバイスと同じレベルのセキュリティを有することができる。

【0039】

第８の態様のデータ転送方法によってのみ第２のコンピューティングデバイスに接続される２つ以上のコンピューティングデバイスが存在してもよいことが想定される。これらのコンピューティングデバイスのそれぞれは、異なる機能を果たすことができる。例えば、第１のコンピューティングデバイスは、第３のコンピューティングデバイスから受信した電子メール及びメッセージを復号するために使用されてもよく、第４のコンピューティングデバイスは、機密文書を作成するために使用されてもよい。

【0040】

第９の態様及び第１０の態様は、第８の態様のデータ転送方法によってのみ第２のコンピューティングデバイスに接続される第１のコンピューティングデバイス及び第４のコンピューティングデバイスを備えるシステムに組み合わせることができることが更に想定される。第１のコンピューティングデバイスは、一方向リンクのみを介して、第２のコンピューティングデバイス及び第３のコンピューティングデバイスなどの他のコンピューティングデバイスからデータを受信することができる。第２のコンピューティングデバイスは、一方向リンクのみを介して、第１のコンピューティングデバイス、第４のコンピューティングデバイス、及び第３のコンピューティングデバイスなどの他のコンピューティングデバイスにデータを送信することができる。第２のコンピューティングデバイスは、一方向暗号化リンクのみを介して第１のコンピューティングデバイス及び第４のコンピューティングデバイスからデータを受信することができる。第４のコンピューティングデバイスは、一方向リンクを介して第２のコンピューティングデバイスからのみデータを受信することができる。これにより、第１のコンピューティングデバイスが第３のコンピューティングデバイスからデータを受信することがより効率的になり得る。

【0041】

第１１の態様では、第１のコンピューティングデバイスが第８の態様のデータ転送方法によって第１のネットワークインタフェースに接続される更に別の方法が提供され、この場合、第１のネットワークインタフェースから受信されるデータは、それらが第１のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第１のネットワークインタフェースは、複数のユーザが第１のネットワークインタフェースへの接続を通じて同時に第１のコンピューティングデバイスの機能を利用することができるように、外部ネットワークへの接続を有する１つ以上のコンピューティングデバイスに更に接続する。更に、第１のコンピューティングデバイスは、第８の態様のデータ転送方法によって第２のネットワークインタフェースに接続されてもよく、第２のネットワークインタフェースから受信されたデータは、第１のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第２のネットワークインタフェースは、外部ネットワークへの接続を有さない１つ以上のコンピューティングデバイスに更に接続する。ユーザからの暗号化されたデータは、外部ネットワークに接続されていないコンピューティングデバイスのうちの１つで復号及び処理されてもよく、データは、第１のコンピューティングデバイスに転送され、第１のコンピューティングデバイスに接続された記憶デバイスに暗号化された形式で記憶されてもよい。

【0042】

特定の実施形態では、中継デバイスが、周辺入力デバイスを介して入力されたユーザ入力データを受信する。中継デバイスは、受信したユーザ入力データを入力インタフェースを介して第１のコンピューティングデバイスに供給する。更に、中継デバイスを介して受信されたコマンドのみが、第１のコンピューティングデバイスの記憶装置に記憶されたデータを処理又は転送することができる。更に、第２のネットワークインタフェースに接続される第２のコンピューティングデバイスは、第１のコンピューティングデバイス及び中継デバイスを介して中継されたコマンドを受信することができる。更に、第２のコンピューティングデバイスに接続された周辺入力デバイスを介して又は第１のコンピューティングデバイス及び中継デバイス通じた中継を介して受信されたコマンドのみが、第２のコンピューティングデバイスとの間でデータを転送することができる。更に、第１のネットワークインタフェースに接続される第３のコンピューティングデバイスは、第３のコンピューティングデバイスに接続された周辺入力デバイスから直接に又は中継デバイス及び第１のコンピューティングデバイスを介してコマンドを受信することができる。また、周辺入力デバイスから中継デバイスに向かうデータが暗号化されてもよい。

【0043】

他の特定の実施形態において、第１のコンピューティングデバイスは、中継デバイスを必要とせずに、周辺入力デバイスから直接にユーザ入力データを受信することができる。

【0044】

他の特定の実施形態において、第１のコンピューティングデバイス及び第２のコンピューティングデバイスは、第８の態様のデータ転送方法によって接続され、第１のコンピューティングデバイスからの全てのデータは、それらが第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。更に、ネットワークインタフェースは、一方向データ転送リンクを用いて第１のコンピューティングデバイス及び第２のコンピューティングデバイスに接続し、それにより、ネットワークインタフェースは、第１のコンピューティングデバイスにのみデータを送信し、第２のコンピューティングデバイスからのみデータを受信することができる。ネットワークインタフェースは、複数のコンピューティングデバイスが第１のネットワークスイッチを介してネットワークインタフェースに接続して、第１のコンピューティングデバイスにデータを送信し、又は第２のコンピューティングデバイスからデータを受信することができるように、第１のネットワークスイッチに接続される。第２のネットワークスイッチが、コンピュータ画面データをそれぞれのユーザに送信し、一方、第３のネットワークスイッチは、ユーザ入力データを第２のコンピューティングデバイスに中継する。好ましくは、全てのネットワークスイッチによって処理されているデータは、セキュリティのために暗号化される。

【0045】

第１２の態様では、外部ネットワークからのデータの受信及びデータの復号が第１のコンピューティングデバイスによって実行され、データの暗号化及び暗号化されたデータの外部ネットワークへの送信が第２のコンピューティングデバイスによって実行される、方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によってのみ接続され、第１のコンピューティングデバイスからの全てのデータは、第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第１のコンピューティングデバイスは、一方向データ転送リンクを介して、外部ネットワーク又は他のコンピューティングデバイスから暗号化されたデータを受信する。第１のコンピューティングデバイスは、暗号化されたデータを復号し、復号されたデータをコンピュータ画面上に表示することができる。第２のコンピューティングデバイスは、周辺入力デバイスからのユーザ入力データ又はハードウェア暗号化モジュールによって暗号化された第１のコンピューティングデバイスからのデータを受信する。第２のコンピューティングデバイスは、データを暗号化し、一方向のデータ転送リンクを介して、暗号化されたデータを外部ネットワークに又は外部ネットワークへの接続を有する別のコンピューティングデバイスに送信することができる。これにより、受信データに存在し得るマルウェアが、暗号化前に脆弱であり得るユーザの個人データにアクセスできないようにすることができる。

【0046】

第１３の態様では、復号されたデータの表示及び処理が第１のコンピューティングデバイスによって実行され、暗号化されたデータの記憶が第２のコンピューティングデバイスによって実行される方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によってのみ接続され、第１のコンピューティングデバイスからの全てのデータは、第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。暗号化されていないデータは、第１のコンピューティングデバイスで処理され、暗号化形式で記憶するために第２のコンピューティングデバイスに転送される。暗号鍵は、第１のコンピューティングデバイスによってアクセスできない。異なるタスクのための異なるコンピューティングデバイスと、第８の態様の通信方法によってのみ接続された２つのコンピューティングデバイスとを有すると、第１のコンピューティングデバイスに侵入する可能性がある任意のマルウェアは、第２のコンピューティングデバイスに暗号化形式で記憶されたデータに直接アクセスすることができない。

【0047】

特定の実施形態において、第２のコンピューティングデバイスは、第２のコンピューティングデバイスの周辺入力インタフェースを介してユーザから直接にコマンドを受信すると、記憶されたデータを復号することなく、記憶されたデータを処理する又は記憶されたデータを第１のコンピューティングデバイスに転送することができる。復号に必要な鍵は、暗号化されたデータと共に第１のコンピューティングデバイスに転送される。

【0048】

第１４の態様では、第８の態様のデータ転送方法によってのみ接続された第１のコンピューティング及び第２のコンピューティングデバイスを備える方法が提供され、第１のコンピューティングデバイスからの全てのデータは、それらが第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第１のコンピューティングデバイスは、所定のバイト数のタグ又はラベルを第２のコンピューティングデバイスに送信し、各タグ又はラベルは、ルックアップテーブルに従うことができる情報を表す。第２のコンピューティングデバイスは、タグ又はラベルを取得するために所定のバイト数を復号し、同じルックアップテーブルに基づくことができる伝達された情報を学習する。ルックアップテーブルは、２つのコンピューティングデバイスに予めインストールされてもよい。タグ又はラベルのサイズは、２バイトほどの短さ、又は特定の場合にはそれより長い、例えば２５６バイトであり得ることが想定される。第２のコンピューティングデバイスは、タグ又はラベルによって伝達される情報に応じた動作を実行することができる。したがって、受信されたデータは、第１のコンピューティングデバイスにおいてショートラベルに変換され、ショートラベルのみが第２のコンピューティングデバイスに送信され、第２のコンピューティングデバイスは、情報を取得するためにショートラベルを復号することができる。

【0049】

第１５の態様では、第１のコンピューティングデバイス及び第２のコンピューティングデバイスを備える暗号化の方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によって接続され、第１のコンピューティングデバイスからの全てのデータは、第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第２のコンピューティングデバイスに暗号化形式で記憶されている受信者の公開鍵は、第１の復号鍵及びセッション鍵と共に第２のコンピューティングデバイスから第１のコンピューティングデバイスに送信される。セッション鍵は、受信者に送信すべきデータを暗号化するために使用され、データの暗号化は第２のコンピューティングデバイスで行なわれる。第１のコンピューティングデバイスは、第１の復号鍵を使用して復号することによって受信者の公開鍵を取得し、受信者の公開鍵を使用してセッション鍵を暗号化する。次いで、第１のコンピューティングデバイスは、暗号化されたセッション鍵を第２のコンピューティングデバイスに送り返し、プロセスにおいて、暗号化されたセッション鍵は、ハードウェア暗号化モジュールによって更に暗号化される。第２のコンピューティングデバイスは、ハードウェア暗号化モジュールによって暗号化された暗号化セッション鍵を、セッション鍵によって暗号化された受信者へのデータ及びハードウェア暗号化モジュールによって暗号化を復号するための第２の復号鍵と共に、外部ネットワークに接続された第３のコンピューティングデバイスに転送する。第３のコンピューティングデバイスは、第２の復号鍵を使用して復号することによって暗号化されたセッション鍵を取得し、次いで、暗号化されたセッション鍵を暗号化されたデータと共に外部ネットワークの受信者に送信する。

【0050】

第１６の態様では、第１のコンピューティングデバイス及び第２のコンピューティングデバイスを備える暗号化の方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によって接続され、第１のコンピューティングデバイスからの全てのデータは、第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。ユーザは、データを暗号化して外部ネットワークの受信者に送信するために第１のコンピューティングデバイスに有する。ユーザは、データを第２のコンピューティングデバイスに転送する。プロセスにおいて、データはハードウェア暗号化モジュールによって暗号化される。第２のコンピューティングデバイスでは、ハードウェア暗号化モジュールによる暗号化は、第２のコンピューティングデバイス内で生成されたセッション鍵による暗号化に変換することができる。セッション鍵は、第１５の態様の方法により、受信者の公開鍵によって更に暗号化される。次いで、ユーザは、セッション鍵によって暗号化されたデータ及び受信者の公開鍵によって暗号化されたセッション鍵を外部ネットワークに送出することができる。

【0051】

特定の実施形態では、暗号化の変換を実行することができる。ハードウェア暗号化モジュールによる暗号化は、ワンタイムパッド暗号化に基づくＸＯＲ演算であってもよい。第２のコンピューティングデバイスは、暗号化されたデータとワンタイムパッド鍵の両方を受信する。第２のコンピューティングデバイスでは、ワンタイムパッド暗号化データは、セッション鍵、例えばＡＥＳ鍵、及び初期化ベクトルを使用して、ＡＥＳカウンタモードなどの暗号化方法によって再び暗号化される。続いて、ワンタイムパッド鍵を使用して暗号化データに対して別のＸＯＲ演算を実行して、セッション鍵及び初期化ベクトルを使用してＡＥＳカウンタモードによってのみ暗号化されたデータを取得する。

【0052】

他の特定の実施形態では、ハードウェア暗号化モジュールによる暗号化は、ＡＥＳカウンタモードに基づくＸＯＲ演算であってもよい。第２のコンピューティングデバイスは、ハードウェア暗号化モジュールから、暗号化されたデータ、初期化ベクトル、及びＡＥＳ鍵を受信し、これらはセッション鍵として直接使用され得る（すなわち、第２のコンピューティングデバイスにおいて更なる変換は不要である）。

【0053】

第１７の態様では、第１のコンピューティングデバイス及び第２のコンピューティングデバイスを備えるユーザ認証の方法が提供される。２つのコンピューティングデバイスは、第８の態様のデータ転送方法によって接続され、第１のコンピューティングデバイスからの全てのデータは、第２のコンピューティングデバイスに入ることができる前にハードウェア暗号化モジュールによって暗号化される。第１のコンピューティングデバイスは、検証器から送信されたノンスを受信し、そのノンスをコンピュータ画面上に表示する。ユーザは、第２のコンピューティングデバイスに接続されるが第１のコンピューティングデバイスから切断された周辺入力デバイスを使用して、ノンスを読み取り、ノンス及びパスワードを第２のコンピューティングデバイスに入力する。第２のコンピューティングデバイスは、ノンス及びパスワードを使用して暗号化演算、例えばハッシュ関数を実行し、演算の結果を検証器に送信する。検証器は、受信した演算の結果を、検証器によって独立して得られる期待結果と比較する。２つの結果が等しい場合、認証は成功する。幾つかの実装形態では、ユーザのパスワードが第２のコンピューティングデバイスに記憶されてもよく、認証中にユーザがパスワードを入力する必要はない場合がある。したがって、２要素認証を実施することができ、ノンスは、外部ネットワークにデータを漏洩し得ない第１のコンピューティングデバイスに送信され、ユーザは、マルウェアを含まない可能性がある第２のコンピューティングデバイスにノンス及びパスワードを入力する。

【0054】

幾つかの実施形態では、開示された発明は、データ保護モジュール（ＤＰＭ）の形態で実施することができる。ＤＰＭは、１つ以上の入力処理ユニット（ＩＰＵ）、１つ以上のプライベートコンピューティングユニット（ＰＣＵ）、１つ以上の非セキュアコンピューティングユニット（ＵＣＵ）、１つ以上のデータ記憶ユニット（ＤＳＵ）、１つ以上のハードウェア暗号化器、１つ以上のハードウェア復号器、１つ以上の乱数生成器（ＲＮＧ）、１つ以上の不揮発性メモリ又はデータ記憶デバイス、１つ以上の一方向リンク、限定はしないが、ＤＰＭが機能するために必要な複数のサポートサブシステム、コンポーネント、ケーブル、入力／出力インタフェースなどを備えることができる。

【0055】

更なる態様では、ユーザ入力を取り込むキーボード、マウス、タッチスクリーン、マイクロフォン、ウェブカメラ、センサなどの周辺入力デバイスは、インターネット接続を有するいかなるコンピューティングユニット、デバイス、又はシステムにも接続されない。これらの周辺入力デバイスは、ＵＳＢ、Ｂｌｕｅｔｏｏｔｈなどの適切な入力インタフェースを介してＩＰＵに直接接続される。ＩＰＵは、周辺入力デバイスからのみ入力を受け取るコンピューティングユニットからなるセキュア入力空間である。これにより、マルウェアがインターネットからＩＰＵにアクセス又は侵入する可能性がないことが保証される。

【0056】

本発明の更なる態様では、ＩＰＵは、一方向リンクを介してＵＣＵに接続される。ＵＣＵは、ユーザがインターネットにアクセスするためのゲートウェイとして機能するコンピューティングユニットである。ＩＰＵとＵＣＵとの間のリンクは、データがＩＰＵからＵＣＵにのみ移動できるが、反対方向には移動できないようにするために一方向である。これにより、マルウェアがＵＣＵからＩＰＵにアクセスしたりＩＰＵに侵入したりすることが防止される。重要なデータは、保護されていない空間であるＵＣＵに送信される前に、ＩＰＵ内で常に暗号化されることが好ましい。一方向リンクは、光カプラなどのデータダイオード、光リンク上の光アイソレータ、又は同じ効果を達成する任意の他のデータ伝送デバイス、プロトコル、又は方法で実装されてもよい。

【0057】

本発明の他の態様によれば、テキスト、画像、音声などの重要なデータは、セキュアプライベート空間であるＰＣＵ内でのみ復号される。ＰＣＵは、モニタディスプレイ、ヘッドホン、又はスピーカに接続するためのＨＤＭＩ(登録商標)、ＵＳＢ、Ｂｌｕｅｔｏｏｔｈなどの出力インタフェースを有するコンピューティングユニットからなる。ＰＣＵは、一方向のリンクを介してＩＰＵ及びＵＣＵからのみ入力を受け取り、インターネットへの出力経路を有さない。これにより、ＰＣＵに存在して隠れている可能性のあるマルウェアがコマンド及び制御（Ｃ＆Ｃ）サーバに接続したり、ユーザのデータをサイバー犯罪者に戻したりすることが防止される。

【0058】

本発明の他の態様によれば、重要なデータは、セキュア記憶のためにＰＣＵからＤＳＵに常に転送されることが好ましい。好ましくは、重要なデータはＰＣＵに保存されない。ＤＳＵは、コンピューティングユニットと、セキュア記憶空間を形成するハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）などの不揮発性メモリとを備える。一方向リンクは、データがＰＣＵからＤＳＵに移動できるようにする。このリンクはハードウェア暗号化されているので、リンクを通過する全てのデータは伝送中に暗号化される。ハードワイヤード暗号化は、たとえ正規のソフトウェア又はデータとして偽装されていても、マルウェアが暗号化を変更又は迂回することができないことを保証する。ハードウェア暗号化に使用される暗号鍵は、乱数生成器（ＲＮＧ）又はユーザ提供のエントロピーから取得することができる。復号鍵は、暗号化されたデータと共にＤＳＵに、又はパスワード保護されたサムドライブなどの別の場所に記憶することができる。ＤＳＵではデータが復号されることはない。ユーザがＤＳＵに記憶されたファイルを閲覧、編集、又は処理することを望む場合、ユーザはＤＳＵに、ファイルを対応する復号鍵と共にＰＣＵに転送するように命令し、ＰＣＵにおいてファイルを復号することができる。ＤＳＵは、ＩＰＵを介してユーザからのみ指示を受け取る。ＤＳＵとＩＰＵの両方がマルウェアを含まないため、セキュリティを損なうことなくＤＳＵ全体をＩＰＵに組み込むことができる。

【0059】

本発明の別の態様によれば、キーボード、マウス、タッチスクリーン、マイクロフォン、カメラなどの入力インタフェースを介してＩＰＵに直接物理的にアクセスするユーザのみが、ＤＳＵとの間でファイルを転送するためのコマンドを発行することができる。幾つかの実施形態では、ユーザは、コンピュータプログラム又は人工知能（ＡＩ）に置き換えられてもよい。この場合、出力デバイスに送信されたコンピュータ画面及び／又はオーディオデータは、人間のユーザに代わって解釈、意思決定、及び動作のためにコンピュータプログラム又はＡＩに提供され得る。

【0060】

本発明の別の態様によれば、コンピュータプログラム又はソフトウェアであるデータ処理アプリは、プライベートデータ及び機密データを入力、閲覧、又は編集する必要があるときにユーザによって起動され得る。データ処理アプリケーションは、ＩＰＵ、ＰＣＵ、ＵＣＵ、及びＤＳＵにインストールされ、その役割はユーザのコマンドを解釈し実行することである。データ処理アプリは、ウェブをサーフィンするとき、又はＵＣＵでオンラインゲームをプレイするときなど、重要なデータを処理しない通常の使用中にユーザによって無効にされてもよい。

【0061】

ランサムウェア攻撃の場合、ＰＣＵ及びＵＣＵはランサムウェアによってロックされる可能性があるが、ＤＳＵに記憶されたデータは保護されたままである。ＰＣＵ及びＵＣＵは重要なデータを記憶しないので、ユーザへの損傷は最小限である。ユーザは、ＰＣＵ及びＵＣＵのハードドライブを再フォーマットし、オペレーティングシステム及びアプリケーションソフトウェアを再インストールするだけでよい。ＤＳＵ内のファイルは、マルウェアに関する情報がアンチウイルスソフトウェアベンダー又はサイバーセキュリティ専門家から利用可能になったときに、マルウェア署名スキャン又はヒューリスティック解析のためにクリーンＰＣＵにコピーされてもよい。

【0062】

ＤＰＭは、異なる実施形態において多種多様な方法で実装することができる。幾つかの実施形態では、ＵＣＵは、インターネットアクセスを有するユーザの非セキュアコンピューティングデバイス、例えば、デスクトップコンピュータ、ラップトップ、タブレット、スマートフォンなどに置き換えることができる。幾つかの実施形態では、ＰＣＵは、インターネットに接続されていないユーザの隔離されたコンピューティングデバイスに置き換えられてもよい。幾つかの実施形態では、ＵＣＵとＰＣＵの両方がユーザのコンピューティングデバイスに置き換えられてもよい。幾つかの実施形態では、複数のＰＣＵが存在してもよく、各ＰＣＵは異なる役割を有する。幾つかの実施形態では、ＩＰＵは、インターネットに接続されていないユーザの隔離されたコンピューティングデバイスに置き換えられてもよい。幾つかの実施形態では、ＤＳＵは、ＩＰＵに接続されたユーザの１つ以上の取り外し可能な記憶装置に置き換えることができる。

【0063】

ＤＰＭは、プライベート電子メール、プライベートメッセージング、テレビ会議、テレワークなどを保護するために使用され得る。ＤＰＭは、リモートサーバ又はクラウドサービスにアクセスするためのセキュアシンクライアント又はセキュアシッククライアントとして実装されてもよい。ＤＰＭはまた、鍵配布サービスプロバイダなどの別の当事者と共有又は提供される対称鍵を保護するために使用され得る。

【0064】

幾つかの実施形態では、ＤＰＭは、コンピュータマザーボードに接続又は搭載することができ、サーバ、デスクトップコンピュータ又はラップトップのシャーシの内部に封入することができるＵＳＢ、イーサネット、ＳＡＴＡ、ＰＣＩｅなどのインタフェースを有するプリント回路基板の形態をとることができる。

【0065】

他の実施形態では、ＤＰＭは、ラップトップ、タブレット、スマートフォンなどのポータブルコンピューティングデバイスに埋め込むことができる集積チップ（ＩＣ）又はシステムオンチップ（ＳｏＣ）の形態で小型化することができる。

【0066】

幾つかの実施形態では、開示された発明は、コンピュータシステム又はコンピューティングネットワークを非セキュアゾーンとセキュアゾーンとに分離するゾーン分離モジュール（ＺＳＭ）の形態で実施され得る。一般に、非セキュアゾーンは、インターネットに接続された複数の非セキュアコンピューティングデバイス（ＵＣＤ）及び非セキュアデータ記憶デバイスを含むことができ、セキュアゾーンは、インターネットに接続されていない複数のプライベートコンピューティングデバイス（ＰＣＤ）及びセキュアデータ記憶デバイスを含むことができる。

【0067】

ＺＳＭは、１つ以上のＩＰＵ、１つ以上のハードウェア暗号化器、１つ以上のハードウェア復号器、１つ以上のＲＮＧ、１つ以上の一方向リンク、１つ以上の任意選択のネットワークインタフェースカード又はルータ又はネットワークスイッチを含むことができ、限定はしないが、ＺＳＭが機能するために必要な複数のサポートサブシステム、コンポーネント、ケーブル、入出力インタフェースなどを含むことができる。

【0068】

エアギャップを使用する従来の方法はまた、コンピュータシステム又はコンピューティングネットワークを、インターネットに接続された非セキュアゾーンと、インターネットから隔離されたセキュアゾーンとに分離する。エアギャップ方法とは異なり、本明細書で開示される実施形態では、ユーザは、ファイル転送の前又は後に任意のデバイス又はモジュールを物理的に接続又は切断する必要なく、２つのゾーンにわたってファイルを便利かつ安全に転送することができる。

【0069】

一実施形態では、ＺＳＭは、ＵＳＢ、イーサネット、ＳＡＴＡなどのインタフェースを介してユーザのＵＣＤに接続することができるスタンドアロンのセキュアデータストレージ製品として実装することができる。別の実施形態では、ＺＳＭは、ＰＣＩｅ、ＳＡＴＡなどの適切なインタフェースを介してコンピュータマザーボードに接続又は搭載することができ、サーバ、デスクトップコンピュータ又はラップトップのシャーシ内に収容することができるセキュアデータ記憶ユニットとして実装することができる。

【0070】

ＺＳＭに基づく様々な実施形態が可能である。別の実施形態では、ＺＳＭは、複数のユーザが同時にアクセスできるように、セキュアネットワーク接続ストレージ（ＮＡＳ）として実装されてもよい。別の実施形態では、ＺＳＭは、モジュール全体がセキュアデータストレージを備えたルータ又はネットワークスイッチとして認識され得るように、ルーティング又はスイッチング機能を組み込むことができる。更に別の実施形態では、ＺＳＭは、セキュアリモートファイルサーバとして実装され、クラウド上に配置されてもよい。

【0071】

別の実施形態では、ＺＳＭは、非セキュアゾーンコンピューティングデバイスとセキュアゾーンコンピューティングデバイスとの間のブリッジとして実装されてもよい。別の実施形態では、ＺＳＭは、非セキュアゾーンコンピュータネットワークとセキュアゾーンコンピュータネットワークとの間のブリッジとして実装されてもよい。

【0072】

上記の態様で説明した少なくとも１つの周辺入力デバイスは、システム全体の設計に応じて、人間又はコンピュータプログラムのいずれかからコマンドを受信することができることを理解すべきである。コンピュータプログラムは、例えば、外部プロセッサ上で実行され、ＰＣＵからデータを取り込み、ＩＰＵにコマンドを送信する前にデータを分析するルールベース又はＡＩベースであってもよい。周辺入力デバイスは、データを取り込むための入力インタフェースを装備することができ、ＩＰＵへの一方向ＵＡＲＴ接続を介してＩＰＵにコマンドを送信するように構成されたプリント回路基板上のＦＰＧＡなどのプロセッサを備えることができる。

【0073】

１つの態様に関連する特徴は、他の態様に関連し得ることを理解すべきである。

【図面の簡単な説明】

【0074】

ここで、添付図面を参照して、典型的な実施形態について説明する。

【0075】

【図1a】第１の実施形態に係るコンピューティング装置を示す。

【図1b】図１ａの装置のコンピューティングデバイスの例示的な構造を示す。

【図2】図１ａの装置の通信リンクを示す。

【図3】図２の通信リンクに含まれるハードウェア暗号化モジュールを示す。

【図4】図１ａの装置のコンピューティングデバイス上でソフトウェアを実行することによって行なわれる方法／動作を示す。

【図5】図１ａの装置の別のコンピューティングデバイス上でソフトウェアを実行することによって行なわれる方法／動作を示す。

【図6】図５と同じコンピューティングデバイス上でソフトウェアを実行することによって行なわれる別の方法／追加の動作を示す。

【図7】図１ａの装置の更に別のコンピューティングデバイス上でソフトウェアを実行することによって行なわれる方法／動作を示す。

【図8】図７の動作の一部として行なわれる暗号化の種類の変換方法を示す。

【図9a】図１ａのコンピューティング装置での使用に適したハードウェア暗号化モジュールを示す。

【図9b】図１ａのコンピューティング装置での使用に適した別のハードウェア暗号化モジュールを示す。

【図10】第２の実施形態のコンピューティング装置を示す。

【図11】図１０の装置の周辺入力デバイス及び中継デバイスをより詳細に示す。

【図12】第３の実施形態のコンピューティング装置を示す。

【図13a】第４の実施形態のコンピューティング装置を示す。

【図13b】電子メールを送受信するために図１３ａのコンピューティング装置を使用して実行される方法を示す。

【図14】図１３ａのコンピューティング装置におけるハードウェア暗号化及びハードウェア復号の両方が実施され得る単一のハードウェアプラットフォームを示す。

【図15】図１４のコンピューティング装置と同様の第５の実施形態のコンピューティング装置を示す。

【図16】図１３及び図１４と同様であるがハードウェア暗号化のみを実施する第６の実施形態のコンピューティング装置を示す。

【図17】前述の実施形態と機能的に同様であり、セキュアシッククライアントのためのデータ保護モジュールとして採用される第７の実施形態のコンピューティング装置を示す。

【図18】図１７の装置を使用してアプリケーションソフトウェアをインストールする方法を示す。

【図19】インターネットを介して安全に通信する２人のユーザを含む第８の実施形態のコンピューティング装置を示す。

【図20】図１９の装置の２人のユーザ間でセッション鍵を確立する方法を示す。

【図21】図１９の装置の２人のユーザ間のセキュア通信の方法を示す。

【図22】デュアルタッチスクリーンスマートフォンの形態の第９の実施形態のコンピューティング装置を示す。

【図23】ハンドヘルド又はデスクトップデバイス及びネットワーク化されたコンピュータシステム、例えばタブレット又はラップトップの形態のデータ保護モジュールを含む第１０の実施形態のコンピューティング装置を示す。

【図24】単一のタッチスクリーンを有するスマートフォンの形態の第１１の実施形態のコンピューティング装置を示す。

【図25】データ保護モジュール内の非セキュアコンピューティングユニット及びプライベートコンピューティングユニットがユーザのコンピューティングデバイスの形態である、第１２の実施形態のコンピューティング装置を示す。

【図26】図２５のコンピューティング装置を使用して暗号化されたメッセージを受信者に安全に送信するための鍵配信サービスの使用を含む方法を示す。

【図27】第１３の実施形態のコンピューティング装置を示す。コンピューティング装置は、データ記憶製品の形態のゾーン分離モジュール（ＺＳＭ）を含む。

【図28】ネットワーク接続ストレージ（ＮＡＳ）の形態のＺＳＭを含む第１４の実施形態に係るコンピューティング装置を示す。

【図29】統合されたネットワーク切り替え又はルーティング施設を含むＺＳＭを含む第１０の実施形態に係るコンピューティング装置を示す。

【図30】ＺＳＭが異なるセキュリティ及びプライバシー要件を有する２つのネットワークゾーン間のブリッジとして機能する、第１６の実施形態に係るコンピューティング装置を示す。

【図31】図３０のコンピューティング装置がネットワークを非セキュアゾーンネットワークとセキュアゾーンネットワークとに分離する、第１７の実施形態に係るネットワークアーキテクチャを示す。

【図32】クラウドコンピューティング環境においてファイルサーバとして構成されたＺＳＭを含む第１８の実施形態に係るコンピューティング装置を示す。

【図33】リモートサーバ、例えば図３２のファイルサーバにアクセスするためにユーザによって使用され得るセキュアシンクライアントを示す。

【図34】図３３のセキュアシンクライアントを使用してリモートサーバにログインする方法を示す。

【図35】ＺＳＭが２つのコンピュータシステム間のブリッジとして機能する、第１９の実施形態に係るコンピューティング装置を示す。

【発明を実施するための形態】

【0076】

図１ａは、第１の実施形態に係るコンピューティング装置２を示す。コンピューティング装置２は、２つのコンピュータシステム、具体的には、ユーザコンピュータシステム１９及びネットワークコンピュータシステム１２９と、データ処理デバイス１１とを含む。ネットワーク化されたコンピュータシステム１２９は、外部ネットワーク、例えばインターネットと双方向通信し、これにより、コンピューティング装置２は全体として外部ネットワークと通信する。記載された実施形態では、ユーザコンピュータシステム１９及びデータ処理デバイス１１は、外部ネットワークと直接通信接続していない。

【0077】

ユーザコンピュータシステム１９は、第１のコンピューティングデバイス１２５（コンピューティングデバイス １、ＣＤ１又はプライベートコンピューティングユニット、ＰＣＵとも呼ばれる）を含む。第１のコンピューティングデバイス１２５は、例えば、ラップトップもしくはデスクトップコンピュータ、又は図１ｂに示すような例示的な構造１３８０を有するＲａｓｐｂｉａｎオペレーティングシステム（ＯＳ）を実行するＲａｓｐｂｅｒｒｙ Ｐｉなどのシングルボードコンピュータを含むことができる。

【0078】

例示的な構造１３８０は、メインメモリ１３８８並びに入出力（Ｉ／Ｏ）インタフェース及び／又はデバイス１３９０と通信するプロセッサ１３８２（中央処理ユニット又はＣＰＵと呼ばれる場合がある）を含む。プロセッサ１３８２は、１つ以上のＣＰＵチップとして実現されてもよい。

【0079】

Ｉ／Ｏインタフェース及び／又はデバイス１３９０は、ＨＤＭＩ（登録商標）インタフェース、ＶＧＡインタフェース、１つ以上のＵＳＢポート、ＳＡＴＡインタフェース、ＳＤカードスロット、ユニバーサル非同期送受信機（ＵＡＲＴ）インタフェース、汎用入力／出力（ＧＰＩＯ）ピン、又は他の周知の入力／出力インタフェース及び／又はデバイスを含むことができる（ただし、これらに限定されない）。

【0080】

第１のコンピューティングデバイス１２５は、任意選択的に、二次記憶デバイス１３８４と、ネットワーク接続デバイス１３９２とを更に含んでもよい。前述したように、ユーザコンピュータシステム１９は、外部ネットワークと直接通信接続しておらず、したがって、任意のネットワーク接続デバイス１３９２は、内部ネットワークへの接続のみを提供する。

【0081】

例示的な構造１３８０を有するコンピューティングデバイス上に実行可能命令をプログラミング及び／又はロードすることによって、ＣＰＵ１３８２及びメモリ１３８８の少なくとも一方が変更され、コンピューティングデバイスを本開示によって教示される新規な機能を有する特定の機械又は装置に部分的に変換することが理解される。実行可能ソフトウェアをコンピュータにロードすることによって実装することができる機能を、周知の設計規則によってハードウェア実装に変換することができることは、電気工学及びソフトウェア工学の技術にとって基本的である。ソフトウェアとハードウェアとで概念を実装するかの決定は、通常、ソフトウェアドメインからハードウェアドメインへの変換に伴う問題ではなく、設計の安定性の考慮及び製造されるユニットの数に左右される。一般に、ハードウェア実装を再スピンすることはソフトウェア設計を再スピンするよりも高価であるため、依然として頻繁に変更される設計は、ソフトウェアに実装されることが好ましい場合がある。一般に、大量に生産される安定した設計は、ハードウェア、例えば特定用途向け集積回路（ＡＳＩＣ）に実装することが好ましい場合がある。これは、大規模な生産実行の場合、ハードウェア実装はソフトウェア実装よりも安価であり得るからである。多くの場合、設計は、ソフトウェア形式で開発及びテストされ、その後、周知の設計規則によって、ソフトウェアの命令をハードワイヤする特定用途向け集積回路内の同等のハードウェア実装に変換され得る。新しいＡＳＩＣによって制御される機械が特定の機械又は装置であるのと同じように、同様に、実行可能命令でプログラム及び／又はロードされたコンピュータは、特定の機械又は装置と見なすことができる。

【0082】

具体的には、例示的な構造１３８０を有するコンピューティングデバイスがオンにされるか又は起動された後、ＣＰＵ１３８２は、コンピュータプログラム又はアプリケーションを実行することができる。例えば、ＣＰＵ１３８２は、メモリ１３８８、又はＩ／Ｏインタフェース及び／又はデバイス１３９０を介してアクセスされる読み出し専用メモリ（ＲＯＭ）などの別のメモリデバイスに記憶されたソフトウェア又はファームウェアを実行することができる。場合によっては、起動時及び／又はアプリケーションが開始されたときに、ＣＰＵ１３８２は、アプリケーション又はアプリケーションの一部を関連する記憶デバイスからＣＰＵ１３８２自体のメモリ空間にコピーすることができ、次いで、ＣＰＵ１３８２は、アプリケーションが含まれる命令を実行することができる。実行中、アプリケーションは、命令をＣＰＵ１３８２にロードすることができ、例えば、アプリケーションの命令の一部をＣＰＵ１３８２のキャッシュにロードすることができる。幾つかの状況では、実行されるアプリケーションは、何かを行うようにＣＰＵ１３８２を構成する、例えば、主題のアプリケーションによって促進された機能を実行するようにＣＰＵ１３８２を構成すると言うことができる。ＣＰＵ１３８２がこのようにアプリケーションによって構成される場合、ＣＰＵ１３８２は、専用のコンピュータ又は専用機となる。

【0083】

メモリ１３８８は、幾つかの文脈では、コンピュータ可読記憶媒体及び／又は非一時的コンピュータ可読媒体と呼ばれることがある。

【0084】

プロセッサ１３８２は、Ｉ／Ｏインタフェース又はデバイス１３９０又はメモリ１３８８を介してアクセスされる、ハードディスク、フロッピーディスク、光ディスク、フラッシュドライブからアクセスする命令、コード、コンピュータプログラム、スクリプトを実行する。ただ１つのプロセッサ１３８２が示されているが、複数のプロセッサが存在してもよい。したがって、命令は、プロセッサによって実行されるものとして説明することができるが、命令は、同時に、順次に、又は１つもしくは複数のプロセッサによって実行することができる。記憶デバイス、例えば、ハードドライブ、フロッピーディスク、光ディスク、及び／又は他の装置、及び／又はメモリ１３８８からアクセスすることができる命令、コード、コンピュータプログラム、スクリプト、及び／又はデータは、幾つかの文脈では、非一時的命令及び／又は非一時的情報と呼ばれることがある。

【0085】

一実施形態では、例示的な構造１３８０は、タスクを実行するために協働する、互いに通信する２つ以上のコンピュータを含むことができる。例えば、限定するものではないが、アプリケーションは、アプリケーションの命令の同時及び／又は並列処理を可能にするように分割され得る。或いは、アプリケーションによって処理されるデータは、２つ以上のコンピュータによってデータセットの異なる部分の同時及び／又は並列処理を可能にするように分割されてもよい。

【0086】

一実施形態では、本明細書に開示される機能の一部又は全部は、コンピュータプログラム製品として提供されてもよい。コンピュータプログラム製品は、本明細書に開示された機能を実施するために内部に具現化されたコンピュータ使用可能プログラムコードを有する１つ以上のコンピュータ可読記憶媒体を備えることができる。コンピュータプログラム製品は、データ構造、実行可能命令、及び他のコンピュータ使用可能プログラムコードを含むことができる。コンピュータプログラム製品は、取り外し可能なコンピュータ記憶媒体及び／又は取り外し不能なコンピュータ記憶媒体に具現化されてもよい。取り外し可能なコンピュータ可読記憶媒体は、紙テープ、磁気テープ、磁気ディスク、光ディスク、ソリッドステートメモリチップ、例えばアナログ磁気テープ、コンパクトディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）ディスク、フロッピーディスク、ジャンプドライブ、デジタルカード、マルチメディアカードなどを含み得るが、これらに限定されない。コンピュータプログラム製品は、コンピュータプログラム製品の内容の少なくとも一部をメモリ１３８８、並びに／又は構造１３８０内の他の不揮発性メモリ及び揮発性メモリにロードするのに適し得る。プロセッサ１３８２は、例えば、ディスクドライブ周辺装置に挿入されたＣＤ－ＲＯＭディスクから構造１３８０に読み取ることによって、コンピュータプログラム製品に直接アクセスすることによって、実行可能命令及び／又はデータ構造を部分的に処理することができる。コンピュータプログラム製品は、データ、データ構造、ファイル、及び／又は実行可能命令の、外部記憶装置への、又はメモリ１３８８への、及び／又は構造１３８０に含まれる他の不揮発性メモリ及び揮発性メモリへのロード及び／又はコピーを促進する命令を含むことができる。

【0087】

幾つかの状況では、外部記憶装置及びメモリ１３８８は、非一時的コンピュータ可読媒体又はコンピュータ可読記憶媒体と呼ばれることがある。同様に、メモリ１３８８のダイナミック・ランダム・アクセス・メモリ（ＲＡＭ）の実施形態は、ダイナミックＲＡＭが電力を受け取り、その設計に従って、例えばコンピューティングデバイスがオンにされて動作している期間中に動作する間、ダイナミックＲＡＭがそれに書き込まれた情報を記憶するという点で、非一時的コンピュータ可読媒体と呼ぶことができる。同様に、プロセッサ１３８２は、内部ＲＡＭ、内部ＲＯＭ、キャッシュメモリ、及び／又は、幾つかの文脈において非一時的コンピュータ可読媒体又はコンピュータ可読記憶媒体と称され得る他の内部非一時的記憶ブロック、セクション、又はコンポーネントを備えてもよい。

【0088】

ユーザコンピュータシステム１９は、例えば、第１のコンピューティングデバイス１２５のＩ／Ｏインタフェースに含まれるＨＤＭＩ（登録商標）インタフェース又はＶＧＡインタフェースなどのインタフェースを介して、第１のコンピューティングデバイス１２５からコンピュータ画面データを受信するように構成された第１のモニタ１２７を更に含む。更に、ユーザコンピュータシステム１９は、第１の記憶デバイス２９、例えば、第１のコンピューティングデバイス１２５のＵＳＢポートに接続されたソリッドステートドライブ、又はマイクロＳＤカードスロットに挿入されたマイクロＳＤカードを含む。

【0089】

データ処理デバイス１１は、第２のコンピューティングデバイス３１（コンピューティングデバイス ２、ＣＤ２又は入力処理ユニットＩＰＵとも呼ばれる）、例えば、同じく図１ｂに示し、前述した例示的な構造１３８０を有するシングルボードコンピュータを含む。ここでも、前述したように、データ処理デバイス１１は、いかなる外部ネットワークとも直接通信接続しておらず、したがって、データ処理デバイス１１の任意選択のネットワーク接続デバイス１３９２（存在する場合）は、内部ネットワークへの接続のみを提供する。

【0090】

データ処理デバイス１１はまた、第２のコンピューティングデバイス３１のマイクロＳＤカードスロットに挿入され、第２のコンピューティングデバイス３１のためのＯＳ及びアプリケーションソフトウェアを記憶することができるマイクロＳＤカードなどの第２の記憶デバイス３３を含む。データ処理デバイス１１には、ユーザファイルを暗号化形式で記憶するための第２のコンピューティングデバイス３１に含まれるＵＳＢポート又はＳＡＴＡインタフェースに接続され得る第３の記憶デバイス３５、例えばソリッドステートドライブ又はハードディスクドライブも含まれる。記載された実施形態では、データ処理デバイス１１は、例えば、暗号化された形態で記憶されたユーザファイル又はバックアップを目的としたユーザファイルを復号するために必要な暗号鍵を記憶するためのＵＳＢフラッシュドライブ又はマイクロＳＤカードなどの任意選択のリムーバブル記憶デバイス３７を更に含む。

【0091】

コンピューティング装置２はまた、キーボード、マウス、又は他の何らかの周辺入力デバイスを含む、例えばヒューマン・インタフェース・デバイス（ＨＩＤ）などの第１の周辺入力デバイス１７と、第１の周辺入力デバイス１７が接続される入力ポートを有する、例えばＵＳＢスイッチなどのセレクタスイッチ１８（ネットワークスイッチと混同しないようにする）とを含む。セレクタスイッチ１８は、例えばセレクタスイッチ１８から第１のコンピューティングデバイス１２５及び第２のコンピューティングデバイス３１に含まれるそれぞれのＵＳＢポートへのＵＳＢ接続を介して、第１のコンピューティングデバイス１２５及び第２のコンピューティングデバイス３１に接続される。セレクタスイッチ１８は、ユーザによって操作されるように構成されており、第１の周辺入力デバイス１７で受け付けられたユーザ入力の送信先を決定する。

【0092】

ネットワークコンピュータシステム１２９は、例えば、Ｗｉｎｄｏｗｓ又はＬｉｎｕｘ（登録商標）ＯＳを実行するラップトップ又はデスクトップコンピュータの形態であってもよい第３のコンピューティングデバイス２１（コンピューティングデバイス３、ＣＤ３又は非セキュアコンピューティングユニット、ＵＣＵ、又は非セキュアコンピューティングデバイス、ＵＣＤとも呼ばれる）を含む。或いは、単に外部ネットワークへのアクセスを提供するルータ装置であってもよい。記載された実施形態では、第３のコンピューティングデバイス２１はまた、図１ｂに示され、前述された例示的な構造１３８０を有する。しかしながら、第１のコンピューティングデバイス１２５及び第２のコンピューティングデバイス３１とは対照的に、第３のコンピューティングデバイス２１のネットワーク接続デバイス１３９２は、外部ネットワークに接続するための少なくとも１つの機器を含み、したがって、第３のコンピューティングデバイス２１のネットワーク接続デバイス１３９２は、モデム、モデムバンク、イーサネットカード、ユニバーサルシリアルバス（ＵＳＢ）インタフェースカード、シリアルインタフェース、トークンリングカード、ファイバ分散データインタフェース（ＦＤＤＩ）カード、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）カード、符号分割多元接続（ＣＤＭＡ）、グローバル移動体通信システム（ＧＳＭ）、ロングタームエボリューション（ＬＴＥ）、ワールドワイド・インタオペラビリティ・フォー・マイクロウェーブ・アクセス（ＷｉＭＡＸ）、近距離無線通信（ＮＦＣ）、無線周波数アイデンティティ（ＲＦＩＤ）、及び／又は他のエアインタフェースプロトコル無線送受信機などのプロトコルを使用して無線通信を促進する無線送受信機カード、並びに他の周知のネットワーク機器の形態をとることができる。

【0093】

このようなネットワーク接続により、プロセッサ１３８２は、ネットワークから情報を受信してもよく、又は本明細書に記載の方法ステップを実行する過程でネットワークに情報を出力してもよいと考えられる。

【0094】

そのような情報は、例えば、プロセッサ１３８２を使用して実行されるデータ又は命令を含むことができ、例えば、搬送波で具現化されたコンピュータデータベースバンド信号又は信号の形態で、ネットワークから受信し、ネットワークに出力することができる。搬送波に埋め込まれたベースバンド信号もしくは信号、又は現在使用されているもしくは今後開発される他のタイプの信号は、当業者に周知の幾つかの方法に従って生成することができる。搬送波に埋め込まれたベースバンド信号及び／又は信号は、幾つかの文脈では一時的信号と呼ばれることがある。

【0095】

第２のモニタ３９も、ネットワーク化されたコンピュータシステム１２９に含まれており、例えば第３のコンピューティングデバイス２１に含まれるＨＤＭＩ（登録商標）インタフェース又はＶＧＡインタフェースなどのインタフェースを介して、第３のコンピューティングデバイス２１からコンピュータ画面データを受信するように構成される。ネットワークコンピュータシステム１２９は、第３のコンピューティングデバイス２１のＯＳ、アプリケーションソフトウェア、インターネットからダウンロードされたファイルなどの非機密データなどを記憶するための第４の記憶デバイス４１を更に含む。更に、ネットワーク化されたコンピュータシステム１２９は、第２の周辺入力デバイス４３、例えば、キーボード、マウス、又は、例えば第３のコンピューティングデバイス２１に含まれるＵＳＢインタフェースを介して第３のコンピューティングデバイス２１に通信可能に接続される何らかの他の周辺入力デバイスを含むヒューマン・インタフェース・デバイス（ＨＩＤ）を含む。

【0096】

コンピューティング装置２は、ユーザコンピュータシステム１９とデータ処理デバイス１１との間でデータを転送するための通信リンク１３を更に含み、通信リンク１３は、ユーザコンピュータシステム１９からデータ処理デバイス１１にデータを転送するための第１の一方向リンク２５と、データ処理デバイス１１からユーザコンピュータシステム１９にデータを転送するための第２の一方向リンク２７とを含む。コンピューティング装置２はまた、２つの更なる一方向リンク、具体的には、ネットワーク化されたコンピュータシステム１２９からユーザコンピュータシステム１９にデータを転送するための第３の一方向リンク２３と、データ処理デバイス１１からネットワーク化されたコンピュータシステム１２９にデータを転送するための第４の一方向リンク１５とを含む。図１ａには示されていないが、記載された実施形態では、ネットワークコンピュータシステム１２９は、任意選択的に、第３の一方向リンク２３及び第４の一方向リンク１５が第３のコンピューティングデバイス２１に接続されるシリアル－ＵＳＢアダプタ５５を利用し、第３のコンピューティングデバイス２１は、例えば、シリアル－ＵＳＢアダプタ５５のＵＳＢコネクタが接続されるＵＳＢポートを更に含む。この装置については、図２を参照して以下により詳細に説明する。４つの一方向リンク２５、２７、１５、２３は、光通信リンク又は電気通信リンクであってもよい。

【0097】

記載された実施形態では、４つの一方向リンク２５、２７、１５、２３の全てがそれぞれ任意選択のデータダイオードを含み、具体的には、第１の一方向リンク２５は第１のデータダイオード４５を含み、第２の一方向リンク２７は第２のデータダイオード４７を含み、第３の一方向リンク２３は第３のデータダイオード４９を含み、第４の一方向リンク１５は第４のデータダイオード５１を含む。例えば、４つのデータダイオード４５、４７、４９、５１のそれぞれは、電気信号を光信号に変換し、次いで電気信号に戻す光カプラを含むことができ、或いは、伝送リンクが光リンクである場合には光アイソレータを使用することができる。第１の一方向リンク２５はハードウェア暗号化モジュール５３を更に含み、ハードウェア暗号化モジュール５３は、記載された実施形態では、以下により詳細に記載されるプリント回路基板上にフィールドプログラマブルゲートアレイ（ＦＰＧＡ）８１などの集積回路を含む。

【0098】

図１ａから、ユーザコンピュータシステム１９、データ処理デバイス１１、及びネットワーク化されたコンピュータシステム１２９（すなわち、４つの一方向リンク２５、２７、１５、２３）の間の一方向のリンクのみを有することにより、ユーザコンピュータシステム１９とデータ処理デバイス１１との間で直接データを転送する唯一の手段は、通信リンク１３を介していることを理解すべきである。更に、ユーザコンピュータシステム１９からデータを転送する唯一の機構は、第１の一方向リンク２５及びデータ処理デバイス１１を介するものであり、データ処理デバイス１１にデータを転送する唯一の機構もまた、第１の一方向リンク２５を介するものである（本明細書で使用される「データを転送する」という用語は、２つの周辺入力デバイス１７、４３を介したユーザ入力の受信を包含することを意図しないことに留意されたい）。このように、データ処理デバイス１１での送信データの受信は、ユーザコンピュータシステム１９及び通信リンク１３を介してのみ実行され、ユーザコンピュータシステム１９からのデータの送信は、通信リンク１３及びデータ処理デバイス１１を介してのみ実行される。

【0099】

同様に、第３の一方向リンク２３のみが、ネットワーク化されたコンピュータシステム１２９からユーザコンピュータシステム１９へデータを転送するために設けられ、第４の一方向リンク１５のみが、データ処理デバイス１１からネットワーク化されたコンピュータシステム１２９へデータを転送するために設けられる。

【0100】

記載された実施形態の変形例では、データ転送容量を増加させるために、同じタイプの複数の通信リンクが並列に接続されてもよいことを理解すべきである。例えば、複数の通信リンク１３は、ユーザコンピューティングシステム１９とデータ処理デバイス１１との間で並列に動作することができる。同様に、一方向リンク２３及び１５の場合、それらの複数が並列に動作することができる。更に、複数のユーザコンピュータシステム１９と、１つのネットワークコンピューティングシステム１２９に接続され得る複数のデータ処理デバイス１１とが存在してもよい。或いは、１つのユーザコンピュータシステム１９及び１つのデータ処理デバイス１１に接続された複数のネットワークコンピューティングシステム１２９が存在してもよい。

【0101】

図２は、記載された実施形態において、ユニバーサル非同期送受信機（ＵＡＲＴ）インタフェースリンクを用いて実装される４つの一方向リンク２５、２７、１５、２３（明確にするために、４つのデータダイオード４５、４７、４９、５１は図２から省略されている）のより詳細な図を示す。図２に示すように、記載された実施形態では、第２のコンピューティングデバイス３１は、第１及び第２のＵＡＲＴインタフェース、具体的には、第１の送信機（ＴＸ）ピン５７及び第１の受信機（ＲＸ）ピン５９を有する第１のＵＡＲＴインタフェースと、第２のＴＸピン６３及び第２のＲＸピン６１を有する第２のＵＡＲＴインタフェースとを含む。同様に、第１のコンピューティングデバイス１２５は、第３のＲＸピン６９を有する第３のＵＡＲＴインタフェースを含む。第１のコンピューティングデバイスはまた、更なる未使用のＴＸピン（図示せず）と、第４のＴＸピン６５及び第４のＲＸピン６７を含む第４のＵＡＲＴインタフェースとを含むことが理解され得る。シリアルＵＳＢアダプタ５５は、第５のＴＸピン７３及び第５のＲＸピン７１を含む第５のＵＡＲＴインタフェースを含む。第３のコンピューティングデバイス２１にインストールされた対応するデバイスドライバは、第３のコンピューティングデバイス２１にＣＯＭポートを作成し、第５のＵＡＲＴインタフェースを介してデータを送受信することを可能にすることができる。

【0102】

前述したように、第１の一方向リンク２５はハードウェア暗号化モジュール５３を含み、記載された実施形態では、第１のコンピューティングデバイス１２５の第４のＴＸピン６５からハードウェア暗号化モジュール５３を介して第２のコンピューティングデバイス３１に含まれる２つのＲＸピン５９、６１へのＵＡＲＴリンクを更に含む。

【0103】

図３は、ハードウェア暗号化モジュール５３をより詳細に示している。前述したように、ハードウェア暗号化モジュール５３は、Ｄｉｇｉｌｅｎｔ（商標）製のＺｅｄｂｏａｒｄ（商標）又はＸｉｌｉｎｘ（商標）製のＳｐａｒｔａｎ（商標）－６ＦＰＧＡ評価ボードなどのプリント回路基板上のＦＰＧＡ８１、又はデジタル論理演算を実施するのに適したプリント回路基板上の他のタイプの集積回路を含む。更に、ハードウェア暗号化モジュール５３は、ランダム性の供給源、例えば、乱数生成器（ＲＮＧ）８３、好ましくは、４Ｍｂｐｓのレートで真のランダムビットを提供することができるＩＤＱからの量子などの量子ランダムビット生成器（ＱＲＮＧ）を更に含むことができる。

【0104】

ハードウェア暗号化モジュール５３は、例えばＦＰＧＡ８１上の汎用入力／出力（ＧＰＩＯ）ピン並びに第１のＨＥＭＴＸピン７７及び第２のＨＥＭＴＸピン７９で実装することができるＨＥＭＲＸピン７５を更に含み、これらは両方とも、例えばＦＰＧＡ８１上のＧＰＩＯピンで実装することもできる。ＦＰＧＡ８１がＲＮＧ８３から乱数を受信する更なる数のＧＰＩＯピン（図３には示されていない）もＦＰＧＡ８１に含まれる。更なる数のＧＰＩＯピンを介してＲＮＧ８３からランダムビットを取り込むように構成された先入れ先出し（ＦＩＦＯ）メモリ８５と、ＦＩＦＯメモリ８５及びＨＥＭＲＸピン７５の両方からデータを受信し、第１のＨＥＭＴＸピン７７及び第２のＨＥＭＴＸピン７９の両方を介してデータを出力するように構成された排他的論理和（ＸＯＲ）ゲート８７も含まれる。

【0105】

図２及び図３から理解されるように、第１のコンピューティングデバイス１２５の第４のＴＸピン６５は、ＨＥＭＲＸピン７５に接続され、第１のＨＥＭＴＸピン７７は、第２のコンピューティングデバイス３１に含まれる２つのＲＸピン５９、６１のうちの一方に接続され、第２のＨＥＭＴＸピン７９は、第２のコンピューティングデバイス３１に含まれる２つのＲＸピン５９、６１のうちの他方に接続される。

【0106】

動作中、ＦＰＧＡ８１は、ＲＮＧ８３からランダムビットを取り込むことができ、その後ＦＩＦＯメモリ８５に記憶される。ＦＰＧＡ８１は、ＦＩＦＯメモリ８５から読み出されたランダムビットを使用して、第１のコンピューティングデバイス１２５からの（ＨＥＭＲＸピン７５を介して受信された）データに対してＸＯＲゲート８７による暗号化を実行する。記載された実施形態では、暗号化演算は、ランダムビットを暗号鍵として使用するデータビットに対するビットごとのＸＯＲゲート演算である。以下、この暗号化のプロセスはワンタイムパッド（ＯＴＰ）暗号化と呼ばれ、暗号化に使用されるランダムビットは一度だけ使用されるため、ＯＴＰ鍵として暗号化に使用され、１ランダムビットはＸＯＲゲート演算８７を介して一データビットを暗号化する。次いで、ＦＰＧＡ８１は、第２のＨＥＭＴＸピン７９から第２のコンピューティングデバイス３１の第１のＲＸピン５９にＯＴＰ暗号化データを送信し、第１のＨＥＭＴＸピン７７から第２のコンピューティングデバイス３１の第２のＲＸピン６１にＯＴＰ鍵を送信する、すなわち、２つの別個のＵＡＲＴインタフェースを介して送信する。

【0107】

したがって、第１の一方向リンク２５を介して第１のコンピューティングデバイス１２５から第２のコンピューティングデバイス３１へ送信される全てのデータは、ハードウェア暗号化モジュール５３によってハードウェア暗号化される。第１のコンピューティングデバイス１２５とＦＰＧＡ８１との間に配置されるデータダイオード４５の役割は、ＦＰＧＡ８１から第１のコンピューティングデバイス１２５へのＯＴＰ鍵の漏洩を含むデータ漏洩を防止することである。

【0108】

ここで図２に戻ると、第２の一方向リンク２７は、第１のコンピューティングデバイス３１の第１のＴＸピン５７から第１のコンピューティングデバイス１２５の第４のＲＸピン６７への直接ＵＡＲＴインタフェースリンクを備える。

【0109】

第３の一方向リンク２３は、シリアルＵＳＢアダプタ５５の第５のＴＸピン７３から第１のコンピューティングデバイス１２５の第３のＲＸピン６９へのＵＡＲＴインタフェースリンクを備える。

【0110】

第４の一方向リンク１５は、第２のコンピューティングデバイス３１の第２のＴＸピン６３からシリアルＵＳＢアダプタ５５の第５のＲＸピン７１へのＵＡＲＴインタフェースリンクを備える。

【0111】

したがって、ＵＡＲＴインタフェースのＴＸ及びＲＸピンの対が双方向ＵＡＲＴ通信のために別のコンピューティングデバイスの別のＵＡＲＴインタフェースのＲＸ及びＴＸピンの別の対に通常接続されるＵＡＲＴインタフェースを採用する従来のシステムとは対照的に、記載された実施形態では、第５のＴＸピン７３は第１のコンピューティングデバイス１２５に接続され、第５のＲＸピン７１は第２のコンピューティングデバイス３１に接続され、それにより、第１のコンピューティングデバイス３１と第３のコンピューティングデバイス２１との間、及び第２のコンピューティングデバイス３１と第３のコンピューティングデバイス２１との間のデータ転送における単一方向性が達成されることを理解すべきである。データ転送の単一方向性を厳密に実施するためにデータダイオードを使用できることを理解すべきである。

【0112】

記載された実施形態では、３つのコンピューティングデバイス１２５、３１、２１間で送信されるデータには、送信されるデータのタイプに関する情報を提供するファイル終了（ＥＯＦ）タグが付加されてもよい。例えば、２バイトのＡＳＣＩＩ非印刷可能文字ｂ’＼ｘ１Ａ＼ｘ１Ａ’を使用して、電子メールを示すことができる。同様に、ｂ’＼ｘ１Ｂ＼ｘ１Ａ’はファイル名を示すために使用されてもよく、ｂ’＼ｘ１Ｃ＼ｘ１Ａ’は暗号化されていないファイルを示すために使用されてもよく、以下同様である。ここで、各文字列の前の文字ｂは、Ｐｙｔｈｏｎプログラミング言語で表現されるように、バイトへの符号化を示す。

【0113】

前述したように、第２のコンピューティングデバイス３１の場合、受信データはＯＴＰ暗号化される。記載された実施形態では、第２のコンピューティングデバイス３１上で実行されるソフトウェアは、ＥＯＦタグを復号するためにデータを暗号化するために使用されるＯＴＰ暗号化データの最後の２バイトとＯＴＰ鍵の最後の２バイトとのＸＯＲを計算する。このようにして、プログラムは、受信したデータの種類を知るためにＥＯＦタグを読み取ることができ、データをどのように処理するかを第２のコンピューティングデバイス３１で決定することができる。上記の例示的な方法に限定されず、送信されているデータのタイプを識別するための他の手段が代替的に使用されてもよいことを理解すべきである。

【0114】

記載された実施形態では、セパレータを使用して、特定のデータチャンクを分離し、識別目的で使用することができる。例えば、ファイルのファイル名は、ファイルコンテンツからファイル名を分離するために、ｂ’＼ｘ１Ｂ＼ｘ１Ａ’などのセパレータを使用してファイルコンテンツの先頭に追加されてもよい。第２のコンピューティングデバイス３１によって受信されたデータはＯＴＰ暗号化されているので、ファイル名を取得するために、第２のコンピューティングデバイス３１上で実行されるソフトウェアは、受信されたデータの先頭からセパレータが見つかるまで、一度に２バイトずつ、ＯＴＰ暗号化データとＯＴＰ鍵とのＸＯＲを計算して読み取る。一旦発見されると、ソフトウェアは、セパレータの前のデータがセパレータのタイプを見ることによってファイル名を与えることを第２のコンピューティングデバイス３１に理解させるように構成される。同様に、アドレスの電子メールアドレスは、ｂ’＼ｘ１Ｆ＼ｘ１Ａ’などの異なるセパレータを使用して電子メールの先頭に追加されてもよい。セキュリティ上の理由から、各セパレータの前のデータチャンクのサイズには、３２バイトなどの制限を設定することが好ましい。３２バイト後にセパレータが見つからなければ、セパレータを見つける処理を停止する。各セパレータの意味を示すルックアップテーブルは、ユーザコンピュータシステム１９及びデータ処理デバイス１１の両方に記憶することができる。セパレータ方法の多くの異なる変形が可能であることを理解すべきである。また、上記の例示的な方法によって限定されないファイル名、電子メールアドレスなどを識別する他の手段が、実施形態に応じて代替的に使用されてもよい。

【0115】

図１～図３から分かるように、ユーザコンピュータシステム１９から別のコンピューティングデバイスにデータを出力する唯一の手段は、第１の一方向リンク２５を介しており、それを介して全てのデータが前述のようにハードウェア暗号化される。逆に、別のコンピューティングデバイスからデータ処理デバイス１１にデータを入力する唯一の手段も、ハードウェア暗号化された第１の一方向リンク２５を介する。これの重要性については後述する。

【0116】

動作中、２つのコンピュータシステム１２９、１９及びデータ処理デバイス１１のそれぞれは、コンピューティング装置２の一部として異なる機能を実行するように構成される。

【0117】

具体的には、
・ユーザコンピュータシステム１９は、（ネットワークコンピュータシステム１２９を介して）ユーザ並びに外部ネットワークからデータを受信し、データを復号し、復号されたデータを表示及び処理するように構成される。ユーザコンピュータシステム１９は、ユーザが個人データを閲覧及び編集することを可能にするように更に構成される。

【0118】

・データ処理デバイス１１は、ユーザが個人データ及びコマンドを入力し、データを暗号化し、暗号化されたデータを（ネットワーク化されたコンピュータシステム１２９を介して）外部ネットワークに送信し、ユーザのみがアクセスできるようにする暗号化された形式でデータを記憶することを可能にするように構成される。

【0119】

・ネットワーク化されたコンピュータシステム１２９は、ユーザがウェブをサーフィンすること、インターネットからファイルをダウンロードすること、メッセージ／電子メールなどの暗号化されたデータを受信すること、暗号化されたメッセージ／電子メールを含むデータを送出することなどを可能にするために、外部ネットワーク、すなわちインターネットへの接続を可能にするように構成される。

【0120】

したがって、従来は単一のコンピューティングデバイス内で実行されていたコンピューティング機能は、３つの異なるコンピューティングデバイスで実行され、それぞれが異なる役割を果たし、異なるプライバシー及びセキュリティ要件を有するデータを処理する。

【0121】

ここで、説明した実施形態に係る２つのコンピュータシステム１２９、１９及びデータ処理デバイス１１の動作について詳細に説明する。

【0122】

ネットワーク化されたコンピュータシステム１２９の動作
前述したように、ネットワーク化されたコンピュータシステム１２９、具体的にはネットワーク化されたコンピュータシステム１２９の第３のコンピューティングデバイス２１は、外部ネットワーク、例えばインターネットに接続され、ユーザがウェブをサーフィンし、外部ネットワークからデータをダウンロードすることを可能にするように構成される。第３のコンピューティングデバイス２１はまた、暗号化ファイルの外部ネットワークとの送受信を可能にするように構成される。

【0123】

第３のコンピューティングデバイス２１上でソフトウェアを実行することによって少なくとも部分的に実装される、記載された実施形態に係るネットワーク化されたコンピュータシステム１２９の動作（以下、ＣＤ３データ処理アプリと呼ぶ）は、ワークフロー図又はフローチャートの形式で取り込むことができる（命名の一貫性のために、コンピュータシステムで実行されるアプリケーションソフトウェアは、以後、ＣＤＸデータ処理アプリケーションと呼ばれるものとし、Ｘ＝１、２又は３である）。図４に示すフローチャートは、ネットワーク化されたコンピュータシステム１２９がどのように動作し得るかの例を示す。

【0124】

ステップ４０１において、ユーザは、ネットワークコンピュータシステム１２９の第３のコンピューティングデバイス２１上でＣＤ３データ処理アプリを実行する。

【0125】

ステップ４０３において、ＣＤ３データ処理アプリは、シリアル－ＵＳＢアダプタ５５が第１のコンピューティングデバイス１２５と第２のコンピューティングデバイス３１の両方に接続した状態でシリアルポートを開き、第２のコンピューティングデバイス３１から来る通信をリッスンする。

【0126】

ステップ４０５において、第２のコンピューティングデバイス３１（すなわち、データ処理デバイス１１）からデータが受信される。

【0127】

ステップ４０７において、ＣＤ３データ処理アプリは、上記のようにＥＯＦタグを読み取ることによって受信したデータの種類を決定し、第２のモニタ３９に表示されるポップアップ・メッセージ・ボックスを開き、データを表示するかクリップボードにコピーするかなどの動作をユーザに問い合わせ、ユーザが「はい」又は「いいえ」を選択できるようにする選択ボックス（例えば、ユーザインタフェースの形態で）を提供することによって、受信したデータの種類をユーザに通知する。

【0128】

データが、ユーザが送りたい暗号化された電子メールであることをユーザが確認した場合、ユーザは選択ボックス内のオプション「クリップボードにコピー」を選択し、ステップ４０９において、アプリは受信したデータをクリップボードにコピーする。

【0129】

例えば、ステップ４１１において、ユーザは他のソフトウェアを実行してもよく、ユーザは、第３のコンピューティングデバイス２１上で電子メールクライアントアプリケーションを開くことができる。

【0130】

ステップ４１３において、ユーザは、次に、第２のコンピューティングデバイス３１から受信したデータをクリップボードから例えば電子メールクライアントアプリケーションの作成ウィンドウにコピーする命令を入力することができる。

【0131】

ステップ４１５において、ユーザは、次に、受取人の電子メールアドレス及び電子メールの件名を入力することができる。

【0132】

最後に、ステップ４１７において、ユーザは電子メールの送信に進むことができる。

【0133】

公開鍵暗号化、例えばＲＳＡが、データ処理デバイス１１から受信した電子メールの内容を暗号化するＡＥＳ鍵を転送するために使用される場合、電子メールクライアントは、好ましくは、公開鍵暗号化ＡＥＳ鍵もアドレス先に送信する。複数のアドレスの場合、ＡＥＳ鍵を暗号化するために使用される公開鍵が各アドレスに固有のものであるという事実を考慮することが重要である。この問題を解決するために、好ましくは、第２のコンピューティングデバイス３１は、電子メールクライアントアプリケーションがセパレータを探すことによってそれらを識別することができるように、適切なセパレータによって分離された、それぞれの受取人の公開鍵で暗号化されたＡＥＳ鍵を伴う各受取人の電子メールアドレスを送信する。電子署名が電子メールに署名するために使用される場合、電子メールクライアントアプリケーションが電子署名を見つけることを可能にするために異なるセパレータが使用されてもよい。

【0134】

一方、ステップ４０７においてユーザが「データを保存する」を選択した場合、ステップ４１９において、データを保存するためにファイル名を入力するようにユーザに要求するポップアップメッセージが表示される。

【0135】

ユーザがファイル名を入力し、「保存」ボタンをクリックすると、ステップ４２１において、データは記憶装置に、例えば第４の記憶デバイス４１に保存される。

【0136】

一方、ステップ４１９において、ユーザが「Ｃａｎｃｅｌ」を選択した場合、動作は終了する。

【0137】

前述したように、第３のコンピューティングデバイス２１はまた、外部ネットワークからデータを受信してもよく、ＣＤ３データ処理アプリはまた、ユーザのためにそのようなデータの処理を可能にするように構成されてもよい。

【0138】

例えば、ステップ４２５において、電子メール、例えば暗号化された情報を含む電子メールが、電子メールクライアントアプリケーションを介して受信されてもよい。

【0139】

ステップ４２７において、ユーザは電子メールを開く。しかしながら、コンテンツは暗号化されているため、コンテンツを読み取ることができない可能性があることを理解すべきである。

【0140】

ステップ４２９において、ユーザは、電子メールの暗号化された内容をクリップボードにコピーする。

【0141】

ステップ４３１において、ユーザは、コピーされた情報、すなわちクリップボードデータをＣＤ３データ処理アプリのウィンドウに貼り付ける。

【0142】

ステップ４３３において、ユーザは、ＣＤ３データ処理アプリのウィンドウを介して命令を入力するか、又は「復号する」ボタンをクリックして、復号のために情報をユーザコンピュータシステム１９、すなわち第１のコンピューティングデバイス１２５に送信するようにアプリに命令する。

【0143】

次いで、ステップ４３５において、ＣＤ３データ処理アプリは、ペーストされた情報をユーザコンピュータシステム１９、すなわち第３の一方向リンク２３を介して第１のコンピューティングデバイス１２５に送信する。

【0144】

証明書と共に到着するデジタル署名された電子メールの場合、受信された証明書及びデジタル署名は、第１のコンピューティングデバイス１２５で検証することができる。ルート証明書は、第３の記憶デバイス３５に記憶され、両方の電源がオンになったときに第１のコンピューティングデバイス１２５に送信されてもよい。また、ルート証明書は、第１の記憶デバイス２９に記憶されていてもよい。

【0145】

記載された実施形態では、ＣＤ３データ処理アプリはまた、ユーザがネットワーク化コンピュータシステム１２９からユーザコンピュータシステム１９にファイル、例えば外部ネットワークからダウンロードされて第４の記憶デバイス４１に保存されたファイルを送信することを可能にするように構成される。

【0146】

具体的には、ステップ４３７において、ユーザは、コマンドをキー入力するか、又はＣＤ３データ処理アプリのウィンドウ上の対応するボタン「ＣＤ１にファイルを送信する」をクリックして、ユーザコンピュータシステム１９にファイルを送信するプロセスを開始する。

【0147】

ステップ４３９において、第４の記憶デバイス４１に記憶されたファイルのリストからファイルを選択するようにユーザに求めるメッセージが表示される。

【0148】

ステップ４４１において、ユーザがファイルを選択した場合、アプリケーションは、前述したように、各ファイルにファイル終了（ＥＯＦ）タグを付加し、次いで、ファイルは、シリアルＵＳＢアダプタ５５及び第３の一方向リンク２３を介してユーザコンピュータシステム１９に送信される。幾つかの実施形態では、前述したように、ファイル名はセパレータで各ファイルの先頭に追加されてもよい。

【0149】

逆に、ステップ４３９でユーザが「キャンセル」を選択した場合、ステップ４４３で動作は終了する。

【0150】

したがって、要約すると、第３のコンピューティングデバイス２１上でＣＤ３データ処理アプリを実行することによって、ネットワーク化されたコンピュータシステム１２９は、以下のデータ転送機能を実行するように構成される。
１．データ処理デバイス１１からファイルや暗号化された電子メールなどのデータを受信する、
２．暗号化された電子メールなどの受信データをユーザコンピュータシステム１９に送信する、及び
３．ダウンロードされたファイルなどの暗号化されていないデータをユーザコンピュータシステム１９に送信する。

【0151】

ユーザコンピュータシステム１９の動作
ネットワーク化されたコンピュータシステム１２９とは対照的に、ユーザコンピュータシステム１９は、個人データを復号し、ユーザが見るために復号されたデータを第１のモニタ１２７に表示するように構成される。記載された実施形態では、ユーザ入力、例えばユーザコンピュータシステム１９上のデータを編集するための入力は、第１の周辺入力デバイス１７及びセレクタスイッチ１８を介して受信されるように構成される。

【0152】

ユーザコンピュータシステム１９の動作は、データの受信、復号、及び保存を含み、これらの動作は、記載された実施形態ではＣＤ１データ処理アプリケーションの形態であるソフトウェアをユーザコンピュータシステム１９の第１のコンピューティングデバイス１２５上で実行することによって少なくとも部分的に実行される。ユーザコンピュータシステムがどのように動作し得るかの一例を示すフローチャートを図５に示す。

【0153】

ステップ５０１において、ユーザは、第１のコンピューティングデバイス１２５上でＣＤ１データ処理アプリを実行する。

【0154】

ステップ５０３において、アプリケーションは、第４のＲＸピン６７を備えるシリアルポートを開き、データ処理システム１１からのデータをリッスンする。

【0155】

ステップ５０５において、アプリケーションは、第３のＲＸピン６９を備える別のシリアルポートを開き、ネットワーク化されたコンピュータシステム１２９からのデータをリッスンする。

【0156】

ネットワーク化されたコンピュータシステム１２９からデータが到着すると、ステップ５０７でＥＯＦタグを読み取ることによってデータの種類が決定される。

【0157】

ＥＯＦタグが、受信されたデータが暗号化されていないファイルであることを示す場合、ステップ５０９において、ファイルを保存するためのファイル名をユーザに求めるメッセージが第１のモニタ１２７に表示される。

【0158】

ユーザがファイル名を入力すると、ステップ５１１において、ファイルは第１の記憶デバイス２９に保存される。ファイル名がファイルと共に送信される場合、ユーザは代わりに、新しいファイル名を入力する必要なく単に「ファイルを保存する」を選択することができる。

【0159】

一方、ユーザが「中止」を選択した場合には、ステップ５１３において、動作が終了する。

【0160】

代わりに、ＥＯＦタグが、ファイルが暗号化されたファイルであることを示す場合、ステップ５１５において、第１のモニタ１２７上でユーザにメッセージが表示され、ユーザがファイルを復号したいか否かを尋ねる。

【0161】

ユーザが「はい」を選択した場合、ステップ５１７において、ユーザの秘密鍵を使用してファイルを復号し、送信者の署名は、従来の公開鍵暗号方式に従って、送信者の検証鍵を使用して検証される。以下、説明した実施形態に係るコンピューティング装置２における公開鍵暗号の扱いについてより詳細に説明する。後続のステップ（図示せず）は、復号されたデータを表示するか保存するかをユーザに問い合わせることを含むことができる。

【0162】

逆に、ステップ５１５でユーザが「いいえ」を選択した場合、ステップ５１９で動作は終了する。

【0163】

データ処理システム１１からデータが到着すると、ステップ５２１でＥＯＦタグを読み取ることによってファイルのタイプが決定される。

【0164】

代わりに、ＥＯＦタグが、ファイルが暗号化されたファイルであることを示す場合、ステップ５２３において、ファイルを復号するかどうかをユーザに尋ねるメッセージが第１のモニタ１２７にユーザに表示される。

【0165】

ユーザが「はい」を選択した場合、ステップ５２５において、ファイルが復号される。以下の図７から明らかなように、記載された実施形態では、データ処理デバイス１１からの暗号化ファイルは、暗号化がＡＥＳカウンタモードである場合、復号鍵、例えばＡＥＳ鍵及び初期化ベクトル（ＩＶ）を伴う。ＡＥＳ鍵及びＩＶの使用については、以下でより詳細に説明する。例えば、転送されるデータの最後の６４バイトは、それぞれが３２バイトをとる場合、ＡＥＳ鍵及び初期化ベクトル（ＩＶ）のために確保され得る。したがって、ＣＤ１データ処理アプリケーションは、単にデータの最後の６４バイトからＡＥＳ鍵及びＩＶを取得し、それらを使用してデータを復号することができる。

【0166】

逆に、ユーザが「キャンセル」を選択すると、ステップ５２７で動作が終了する。

【0167】

データがネットワーク化されたコンピュータシステム１２９から受信されるか、又はデータ処理デバイス１１から受信されるかにかかわらず、データが復号されると、ステップ５２９において、復号されたデータを第１のモニタ１２７に表示するか否かを尋ねるメッセージがユーザに表示される。

【0168】

ユーザが「はい」を選択した場合、ステップ５３１において、例えば新しいポップアップウィンドウにデータが表示される。

【0169】

ユーザが「いいえ」を選択した場合、ステップ５３３において、復号されたファイルを第１の記憶デバイス２９に記憶するためのファイル名を要求するメッセージが第１のモニタ１２７に表示される。

【0170】

ユーザがファイル名を入力すると、ステップ５３５において、復号されたファイルが第１の記憶デバイス２９に記憶される。

【0171】

逆に、ユーザが「キャンセル」を選択した場合、ステップ５３７で動作が終了する。

【0172】

ユーザコンピュータシステム１９の第１のコンピューティングデバイス１２５上で、記載された実施形態ではやはりＣＤ１データ処理アプリの形態であるソフトウェアを実行することによって少なくとも部分的に実行されるファイル及び電子メールを送信することを含む動作の更なる例が、図６のフローチャートに示されている。

【0173】

ステップ６０１において、ユーザは、第１のコンピューティングデバイス１２５上でＣＤ１データ処理アプリを実行する。

【0174】

ステップ６０３において、アプリケーションは、第４のＲＸピン６７を備えるシリアルポートを開き、データ処理システム１１からのデータをリッスンする。

【0175】

ステップ６０５において、アプリケーションは、第３のＲＸピン６９からなる別のシリアルポートを開き、ネットワーク化されたコンピュータシステム１２９からのデータをリッスンする。

【0176】

ステップ６０７において、ユーザが「電子メールを作成する」ボタンをクリックすると、新しい作成ウィンドウが開く。

【0177】

ステップ６０９において、ユーザは、アドレス、件名を入力し、電子メールを構成する。完了すると、ユーザは作成ウィンドウ上の「送信」ボタンをクリックする。

【0178】

ステップ６１１において、アプリケーションは、データコンテンツが電子メールであることを示すＥＯＦタグを電子メールに付加し、ハードウェア暗号化器５３を介して電子メールを第２のコンピューティングデバイス３１に送信する。更に、プログラムは、第２のコンピューティングデバイス３１に送信されたデータの先頭に、受取人の電子メールアドレス及び電子メールの件名を追加する。図７に関連して以下に説明するように、説明される実施形態では、第２のコンピューティングデバイス３１において、これらは、ＯＴＰ暗号化電子メールがＡＥＳ暗号化に変換される前に電子メールから読み取られる。第２のコンピューティングデバイス３１内のプログラムが、第３の記憶デバイス３５に記憶されている各アドレスの対応する公開鍵を取り出し、それらを使用してＡＥＳ鍵を暗号化できるように、アドレス先が誰であるかを第２のコンピューティングデバイス内のプログラムが知るように、アドレス先の電子メールアドレスが復号される。

【0179】

逆に、ステップ６０９において使用が「キャンセル」を選択した場合、ステップ６１３において、動作は終了する。

【0180】

ユーザが第１のモニタ１２７に表示された「ファイルをＣＤ２に保存する」ボタンを選択した場合、ステップ６１５において、ユーザは、第２のコンピューティングデバイス３１に送信するファイルを選択するように求められる。

【0181】

ユーザが「Ｃａｎｃｅｌ」をクリックすると、ステップ６１９で動作が終了する。

【0182】

ステップ６１７において、ユーザが選択を行うと、プログラムは、各ファイルの先頭にセパレータが続くファイル名を付加し、各ファイルにＥＯＦタグを付加し、ハードウェア暗号化モジュール５３を介して第２のコンピューティングデバイス３１にファイルを送信する。データ処理デバイス１１に保存されたファイルのファイル名のレコードは、ユーザコンピュータシステム１９に作成される。

【0183】

ユーザが第１のモニタ１２７に表示される「ＣＤ２からファイルを取得する」ボタンをクリックすると、ステップ６２１において、ユーザは、ＣＤ２に記憶されているファイルのファイル名を含むウィンドウが示される。これは、ステップ６１７で作成されたファイルの記録によって可能である。

【0184】

ユーザが「Ｃａｎｃｅｌ」をクリックすると、ステップ６２５で動作が終了する。

【0185】

ユーザが検索するファイルを選択した後、ステップ６２３において、プログラムは、これらのデータがユーザが検索したいファイルの名前であることを示すＥＯＦタグを各ファイル名に付加し、ハードウェア暗号化モジュール５３を介して第２のコンピューティングデバイス３１にデータを送信する。

【0186】

図５及び図６に係る動作を組み合わせることができ、例えば、ユーザは、ステップ５０７、５１５、５１７、５２９、５３１を実行することによって第３のコンピューティングデバイスから受信したデータを見ることができ、次いで、ステップ６１５、６１７の後続の実行を介して表示されたデータをデータ処理デバイス１１に保存することができることを理解すべきである。前述のステップの幾つかは、自動化、簡略化、又は修正されてもよいことが想定される。

【0187】

前述した例以外の様々なタイプのデータがデータ処理デバイス１１から受信されてもよく、ＣＤ１データ処理アプリはこれらのデータを異なる方法で処理してもよいことが理解され得る。

【0188】

したがって、要約すると、第１のコンピューティングデバイス１２５でＣＤ１データ処理アプリを実行することによって、以下のデータ処理機能が実行される。
１．データ処理デバイス１１からデータを受信する、
２．ハードウェア暗号化モジュール５３を介してデータ処理デバイス１１にデータを送信する、及び
３．ネットワーク化されたコンピュータシステム１２９からデータを受信する。

【0189】

データ処理デバイス１１の動作
前述したように、データ処理デバイス１１は、ユーザコンピュータシステム１９から、それを通過する全てのデータを暗号化するハードウェア暗号化モジュール５３を有する一方向データ転送リンク２５を介してデータを受信する。データ処理デバイス１１はまた、暗号化された電子メールなどのデータがネットワーク化されたコンピュータシステム１２９に送信されるが、ネットワーク化されたコンピュータシステム１２９から直接データを受信しないことを可能にする別の一方向転送リンク５１を介してネットワーク化されたコンピュータシステム１２９に接続される。したがって、データ処理デバイス１１は、インターネットに接続されたコンピューティングデバイス又はネットワーキングデバイスから生データを受信するための機構を有さない。

【0190】

記載された実施形態ではＣＤ２データ処理アプリの形態であるソフトウェアをデータ処理デバイス１１の第２のコンピューティングデバイス３１上で実行することによって少なくとも部分的に実行されるデータ処理デバイス１１におけるデータを処理するための動作は、図７のフローチャートに示されている。

【0191】

ステップ７０１において、ユーザは、第２のコンピューティングデバイス３１上でＣＤ２データ処理アプリを実行する。

【0192】

ステップ７０３において、第２のコンピューティングデバイス３１は、第１のＲＸピン５９及び第２のＲＸピン６１に対応する２つのシリアルポートを開き、ＦＰＧＡ８１から来るＯＴＰ暗号化データ及び対応するＯＴＰ鍵をリッスンする。図３から理解されるように、一方のシリアルポートはＯＴＰ暗号化データを受信するためのものであり、他方のシリアルポートはＯＴＰ鍵を受信するためのものである。

【0193】

ＯＴＰ暗号化データ及び対応するＯＴＰ鍵が受信されると、ステップ７０５において、ＣＤ２データ処理アプリケーションは、ＥＯＦタグを復号するために、前述したように、ＯＴＰ鍵の最後の２バイトで暗号化データの最後の２バイトに対してＸＯＲゲート演算を実行することによって取得されたＥＯＦタグを読み取ることによってデータ型を決定する。

【0194】

ＥＯＦタグが、データが第３の記憶デバイス３５に保存されるファイルであることを示す場合、ステップ７０７において、プログラムは、データと共に送信されたファイル名を読み取る。例えば、ファイル名は、前述したように、ｂ’＼ｘ１Ｆ＼ｘ１Ａ’などのセパレータを使用してファイルデータの先頭に追加することができる。第２のコンピューティングデバイス３１は、セパレータが見つかるまで、受信データの最初の２バイトから開始して２バイトずつ、ＯＴＰ暗号化データ及びＯＴＰ鍵に対してＸＯＲゲート演算を実行するだけでよい。次いで、第２のコンピューティングデバイス３１は、ファイル名を読み取ることができる。

【0195】

ステップ７０９において、データを記憶する前に、前述したように、第２のコンピューティングデバイス３１は、ＯＴＰ暗号化をＡＥＳ暗号化に変換することが好ましい場合がある。この処理を図８に示す。

【0196】

ＯＴＰ暗号化データを復号せずに変換するために、ＡＥＳカウンタモードを用いてもよい。他の適切な暗号も同様に使用することができ、ＡＥＳカウンタモードはここでは一例としてのみ説明されていることを理解すべきである。カウンタモードでは、ランダム初期化ベクトル（ＩＶ）が選択され、ＡＥＳアルゴリズムは、各ファイルに対してランダムに生成されるか、又はユーザによって提供されるＡＥＳ鍵を使用して、ＡＥＳビットストリーム（ＡＥＳ-ＢＳ）８０１を生成するＩＶを暗号化する。このＡＥＳビットストリームは、ＯＴＰ暗号化データ８０３にＸＯＲされてＡＥＳ－ＯＴＰ暗号化データ８０５を生成し、ＯＴＰ鍵８０７に更にＸＯＲされてＯＴＰ－ＡＥＳ－ＯＴＰ暗号化データを生成する。これにより、ＯＴＰ暗号化が解除され、ＡＥＳ暗号化データ８０９が生成され、第３の記憶デバイス３５に保存される。ここでは、プロパティA XOR B XOR A = Bが呼び出されることが理解され得る。ＡＥＳ暗号化は、ＯＴＰ暗号化と比較して記憶空間を有利に節約することができる。

【0197】

保存されるファイルごとに新しいＡＥＳ鍵及びランダムＩＶが生成されてもよいし、全てのファイルに対して１つの「マスタＡＥＳ鍵」が存在してもよい。後者の場合、ＩＶのみをファイルとともに記憶すればよい。別の手法は、ユーザによって提供された「パスワード」から導出されたＡＥＳ鍵を有することである。この場合、ＡＥＳ鍵が記憶されていないため、ＣＤ２データ対応アプリがＡＥＳ鍵を使用する必要があるときには、ユーザに「パスワード」の入力を求めてもよい。

【0198】

ＯＴＰ暗号化からＡＥＳ暗号化への変換はまた、暗号化ファイルをその復号鍵と共にデータ処理デバイス１１からネットワーク化コンピュータシステム１２９又はユーザコンピュータシステム１９に送信するときにデータ転送帯域幅を節約することができ、ここでファイルを復号することができる。これは、ファイルがＯＴＰによって暗号化されている場合、ファイルのサイズと同じ大きさの復号鍵（すなわち、ＯＴＰ鍵）もネットワーク化されたコンピュータシステム１２９又はユーザコンピュータシステム１９に送信されなければならず、したがってかなりのデータ転送帯域幅を占有するからである。

【0199】

ここで図７に戻ると、記載された実施形態では、セキュリティ機能として同じファイル名を有する既存のファイルがある場合、プログラムは、ステップ７１１において上書きするためにユーザの同意を要求することができる。このステップにおいて、ＣＤ２データ処理アプリは、ノンスがユーザコンピュータシステム１９に送信され、第１のモニタ１２７上のメッセージボックスに表示されるようにする。

【0200】

ステップ７１３において、ユーザは、セレクタスイッチ１８を切り替えて第２のコンピューティングデバイス３１に入力を提供し、ノンスの値を第１の周辺入力デバイス１７に入力する。ユーザから正しい入力を受け取ると、同じユーザ名を有する既存のファイルが上書きされる。

【0201】

逆に、ユーザがノンスのキー入力に失敗した場合、又はタイムアウトがある場合、ステップ７１５において、既存のファイルは上書きされない。この場合、受信したファイルは、より新しいバージョンとして第３の記憶デバイス３５に保存されてもよい。これは、ファイルの上書きが常にユーザによって承認されることを保証するためである。

【0202】

代わりに、受信したデータがユーザが取り出したいファイルのファイル名であることをＥＯＦタグが示す場合、ステップ７１７において、第２のコンピューティングデバイス３１のプロセッサは、ファイル名を読み取り、第３の記憶デバイス３５から対応するＡＥＳ鍵及びＩＶと共にファイルを取り出し、ＥＯＦタグをデータに付加し、第１のＴＸピン３１及び第４のＴＸピン６５に対応するシリアルポートを開き、第２の一方向リンク２７を介して第１のコンピューティングデバイス１２５にデータを送信する。受信したデータが複数のファイル名を含む場合、ファイルごとに同じことが行なわれる。ＡＥＳ鍵が記憶されておらず、ユーザパスワードから導出される場合、ユーザはセレクタスイッチ１８を切り替えて第２のコンピューティングデバイス３１に入力し、パスワードを入力し、プログラムはＡＥＳ鍵を導出する。より高いセキュリティ保証のために、第２のコンピューティングデバイス３１からファイルを送信するためにユーザの同意が得られることが好ましい。これは、ステップ７１１と同様の方法で実行することができる。

【0203】

更に、ＥＯＦタグが、データが送信される電子メールであることを示す場合、ステップ７１９において、プログラムは、第２のコンピューティングデバイス３１に、電子メールアドレスを読み取らせて、アドレス先の名前を学習させる。各受取人の公開鍵はまた、例えば第３の記憶デバイス３５に記憶されたデータベースから検索される。

【0204】

ステップ７２１において、第２のコンピューティングデバイスは、前述したように、ＡＥＳ鍵及びＩＶを使用してＯＴＰ暗号化をＡＥＳ暗号化に変換する。以下、便宜的に、ＡＥＳ鍵及びＩＶをまとめて「セッション鍵」と呼ぶ。ＡＥＳ暗号化メール及びセッション鍵は、第３の記憶デバイス３５に保存される。

【0205】

ステップ７２３において、各アドレスの公開鍵が、ＡＥＳ鍵及びＩＶを暗号化するために使用される。公開鍵自体が暗号化形式で記憶されている場合、それらの公開鍵は、セッション鍵と共に第１のコンピューティングデバイス１２５に送信され、図４の作業ワークフロー例で前述したように復号されてセッション鍵を暗号化するために使用され、その後暗号化されたセッション鍵は第２のコンピューティングデバイス３１に送り返される。なお、ＡＥＳ鍵のみが公開鍵で暗号化され、ＩＶは暗号化されないままにするのも一般的な手法である。

【0206】

次いで、ステップ７２５において、プログラムは、第３のコンピューティングデバイス２１に接続された、すなわち第２のＴＸピン６３及び第５のＲＸピン７１に対応するシリアルポートを開き、ＥＯＦタグをデータに付加し、暗号化電子メールを公開鍵暗号化セッション鍵と共にシリアルＵＳＢ変換器５５を介して第３のコンピューティングデバイス２１に送信する。より高いセキュリティ保証のために、第３のコンピューティングデバイス２１にデータを送信するためにユーザの同意が得られることが好ましい。これは、前述したステップ７１１及び７１３と同様に実行することができる。

【0207】

要約すると、第２のコンピューティングデバイス３２上でＣＤ２データ処理アプリケーションを実行することによって、データ処理デバイス１１は、以下のデータ処理サービスを実行するように構成される。
１．データ処理デバイス１１に記憶するために、ハードウェア暗号化モジュール５３を介してユーザコンピュータシステム１９からデータを受信するか、又はネットワーク化されたコンピュータシステム２１を介して出力する、
２．記憶されたデータをユーザコンピュータシステム１９に送信する、及び
３．外部ネットワークに出力するために、ネットワーク化されたコンピュータシステム２１にデータを送信する。

【0208】

したがって、データ処理デバイス１１は、ユーザコンピュータシステム１９のためのデータのセキュア出力及び記憶を処理する。

【0209】

任意選択で、前述のソフトウェアは、ユーザがコンピューティング装置２のセキュアモードを起動することによって実行されてもよい。コンピューティング装置２は、ユーザがセキュアモードと通常モードとの間で切り替えることを可能にするように構成されてもよく、その場合、前述のソフトウェアは実行されないことが想定される。

【0210】

前述したように、例えば、他のユーザから送受信される電子メールの公開鍵暗号化は、図４～図７に示すように取り扱われてもよい。ＲＳＡ公開鍵暗号化の特定の例では、復号及びデジタル署名のためのユーザの秘密鍵を第２のコンピューティングデバイス３１内で生成し、データ処理デバイス１１に記憶することができる。秘密鍵は、第１のコンピューティングデバイス１２５において受信データ又はデータのデジタル署名を復号する必要があるときに、第１のコンピューティングデバイス１２５に送信することができる。暗号化及び署名検証のための対応する公開鍵は、第３のコンピューティングデバイス２１に送信されてもよい。認証局によって署名された証明書は、暗号化された形式でデータ処理デバイス１１に記憶され、必要に応じて第３のコンピューティングデバイス２１に送信され、そこで復号されてもよい。

【0211】

受信者の公開鍵を含む証明書は、第１のコンピューティングデバイス１２５で受信されてもよく、暗号化形式で第３の記憶デバイス３５に記憶されてもよい。証明書は、第１のコンピューティングデバイス１２５で検証されてもよい。

【0212】

受信者に送信するデータを暗号化する場合、２つのシナリオがある。

【0213】

第１のシナリオでは、暗号化されるべきデータがユーザによってデータ処理デバイス１１に入力されている。この場合、セッション鍵、例えばＡＥＳ鍵は、第２のコンピューティングデバイス３１内で生成され、データ処理デバイス１１内のデータを暗号化するために使用されてもよい。受信者の公開鍵が暗号化形式でデータ処理デバイス１１に記憶されている場合、受信者の公開鍵及びセッション鍵は第１のコンピューティングデバイス１２５に送信され、暗号化形式の公開鍵は復号され、セッション鍵を暗号化するために使用され得る。暗号化されたセッション鍵は、データ処理デバイス１１に送り返される。暗号化されたセッション鍵はハードウェア暗号化モジュールによって暗号化されるため、暗号化されたセッション鍵を第３のコンピューティングデバイス２１に送信するとき、第３のコンピューティングデバイス２１が暗号化されたセッション鍵を復号して取得するために、復号鍵も同様に送信されることが好ましい。ユーザはまた、データ処理デバイス１１に記憶された署名鍵を使用してデータに署名することができる。

【0214】

第２のシナリオでは、受信者に送信されるべきデータは、ユーザによってユーザコンピュータシステム１９に入力されている。この場合、データはデータ処理デバイス１１に転送され、プロセスにおいて、データはハードウェア暗号化モジュールによって暗号化される。データ処理デバイス１１において、ハードウェア暗号化モジュールによる暗号化は、例えば、図８に示すような方法を用いて、データ処理デバイス１１内で生成されたＡＥＳ鍵によるＡＥＳカウンタモード暗号化に変換することができる。或いは、ハードウェア暗号化自体がＡＥＳカウンタモードなどの暗号化方法を使用してもよく、その場合、ＡＥＳ鍵はセッション鍵として直接使用されてもよい。次いで、セッション鍵は、第１のシナリオで説明したのと同じ方法を使用して、受信者の公開鍵によって暗号化され得る。ユーザはデータに署名することもできる。これを行うために、データ処理デバイス１１は、データが署名されているユーザコンピュータシステム１９に署名鍵を送信することができる。

【0215】

認証のために、ノンスの形態のチャレンジは、検証器、例えばサーバから、ネットワーク化されたコンピュータシステム１２９によって受信され得る。ネットワークコンピュータシステム１２９は、ノンスをユーザコンピュータシステム１９に転送して、モニタ１２７に表示させる。ユーザは、モニタ１２７からノンスを読み出し、第１の周辺入力デバイス１７を用いて、データ処理デバイス１１にノンスの値とパスワードとを入力する。データ処理デバイス１１は、ノンス及びパスワードに対して暗号化演算、例えばハッシュ関数を実行し、演算の結果をネットワーク化されたコンピュータシステム１２９に送信する。パスワードはマルウェアを含まない可能性があるデータ処理デバイス１１内にあるため、スパイウェアはユーザのパスワードを盗むことができない可能性がある。幾つかの実装形態では、パスワードはデータ処理デバイス１１に記憶され得るので、ユーザはパスワードを入力する必要がない場合がある。

【0216】

コンピューティング装置２は、スパイウェア及びランサムウェアを含む、データがマルウェアから保護されているコンピューティングサービスを提供することを理解すべきである。

【0217】

具体的には、通信リンク１３は、データ処理デバイス１１が、ユーザコンピュータシステム１９のためのデータの記憶及び／又は出力を処理する形態で、マルウェア耐性データ処理サービスを提供できるようにする。これは、処理デバイス１１がユーザコンピュータシステム１９から生データを受信しないためであり、第１の一方向リンク２５は、データ処理デバイス１１に入る全てのデータがハードウェア暗号化モジュール５３を介して暗号化されるように構成される。したがって、ユーザコンピュータシステム１９からデータ処理デバイス１１に入る任意のマルウェア（例えば、ランサムウェア）もハードウェア暗号化され、したがって、データ処理デバイス１１上でのマルウェアの実行は不可能であり得る、すなわち、マルウェアは無効にされ得る。第２の一方向リンクはまた、マルウェアが他の方向に通過するのを防ぎながら、データ処理デバイス１１（すなわち、記憶装置から）からユーザコンピュータシステム１９にデータを出力することを可能にし得る。データ処理デバイス１１によって処理されるユーザコンピュータシステム１９からの出力は自動的に暗号化され、したがって、データ処理デバイス１１を介したユーザコンピュータシステム１９からの出力もまた、スパイウェアに耐性があり得る。実際、第１の一方向リンク２５は、ユーザコンピュータシステム１９からコンピューティング装置２に提供される唯一の出力であるため、記載された実施形態では、ユーザコンピュータシステム１９は、ユーザのための専用コンピューティング空間として機能することができることが理解され得る。

【0218】

特に、通信リンク１３は、マルウェアの署名又は挙動又はマルウェアの影響を受けたデータに特に適用される動作ではなく、全てのデータのハードウェア暗号化に基づくので、マルウェア自体の検出に頼ることなく、データ処理デバイス１１によって提供されるサービスがマルウェア耐性を維持することを可能にすることができる。これにより、未知及び未検出のマルウェア、並びにオペレーティングシステム又はアプリケーションソフトウェアのゼロデイ脆弱性を利用するマルウェアに対する保護が可能になり得ることを理解すべきである。

【0219】

任意の他のコンピューティングデバイスからデータ処理デバイス３１への入力の唯一の手段は、第１の一方向リンク２５及びハードウェア暗号化モジュール５３を介するものであるため、記載された実施形態では、データ処理デバイス１１が別のソースからマルウェアを受信する機構もないことも理解され得る（すなわち、データ処理デバイス１１とネットワーク化されたコンピュータシステム１２９との間の第４の一方向リンク１５は、データ処理デバイス１１からネットワーク化されたコンピュータシステム１２９にのみデータを渡すことを可能にする）。

【0220】

したがって、ユーザが気づかずに侵入したウェブサイトを訪問し、感染したソフトウェアをダウンロードして実行したり、マルウェアをコンピューティング装置２に導入するフィッシングメール添付ファイルを開いたりしても、データ処理デバイス１１内のユーザのデータ、具体的には、第２のコンピューティングデバイス３１に接続された任意の記憶デバイス内のユーザのデータは保護されたままであり得る。これは、マルウェアがデータ処理デバイス１１内のユーザのデータにアクセスできない可能性があるためである。

【0221】

例えば、ランサムウェア攻撃の場合、ユーザコンピュータシステム１９及びネットワーク化されたコンピュータシステム１２９は、ランサムウェアによってロックされる可能性があるが、データ処理デバイス１１に記憶されたデータは保護されたままであり得る。したがって、ユーザコンピュータシステム１９及びネットワーク化されたコンピュータシステム１２９が重要なデータを記憶しない場合、ユーザへの損傷は最小限であり得る。ユーザは、ユーザコンピュータシステム１９及びネットワーク化されたコンピュータシステム１２９のハードドライブを単純に再フォーマットし、オペレーティングシステム及びアプリケーションソフトウェアを再インストールすることができる。必要に応じて、データ処理デバイス１１内のファイルは、マルウェアに関する情報がアンチウイルスソフトウェアベンダー又はサイバーセキュリティ専門家から利用可能になったときに、復号されたファイルに対するマルウェア署名スキャン又はヒューリスティック解析のために、クリーンユーザコンピュータシステム１９にコピーされてもよい。

【0222】

ユーザはまた、任意選択的に、ユーザコンピュータシステム１９内の最新版のアンチウイルスソフトウェア又はマルウェア除去ツールを備えた仮想マシン（ＶＭ）又はサンドボックスを実行することもできる。次いで、ユーザは、全てのファイル及びそれらの対応する復号鍵を第３の記憶デバイス３５からＶＭにコピーしてもよい。次いで、ユーザは、署名分析のためにＶＭ内のファイルを復号することができる。ＶＭにおいて静的又は動的なヒューリスティック解析を実行することも可能である。解析中にマルウェアがＶＭに感染した場合、ユーザは、単にＶＭを元の状態又は以前のスナップショットで再起動することができる。マルウェアが検出された後、ユーザは、第１の周辺入力デバイス１７から適切なコマンドを発行することで、第３の記憶デバイス３５内のマルウェアを安全に削除することができる。したがって、マルウェア攻撃からの回復は簡単であり得る。

【0223】

要約すると、記載された実施形態によって具体化される重要な原理には、以下が含まれるが、これらに限定されない。

【0224】

（１）機密データは、セキュア入力空間（データ処理デバイス１１）においてのみユーザによって入力され、データは、非セキュア任意の空間（ネットワークコンピュータシステム１２９）に送信される前に暗号化される。

【0225】

（２）重要なデータは、マルウェアがアクセスできないセキュア記憶空間（データ処理デバイス１１）に暗号化された形で記憶される。

【0226】

（３）個人データは、セキュア個人空間（ユーザコンピュータシステム１９）で閲覧、編集、又は処理するために復号される。

【0227】

（４）ユーザのみが空間にわたってデータを転送することができる。

【0228】

したがって、コンピューティング装置２は、データ、特にユーザのプライベート、機密、及び重要なデータを、スパイウェア及びランサムウェアを含む未知及び未検出のマルウェアから保護するシステムアーキテクチャ及び実用的な方法を提供する。

【0229】

コンピュータシステム又はコンピューティングネットワークをインターネットに接続された「非セキュア領域」と、２つの領域間の物理的切断によってインターネットから分離された「セキュア領域」とに分離する既存の方法で通常使用されるエアギャップ方法とは対照的に、記載された実施形態では、ユーザは、ファイル転送の前又は後に任意のデバイス又はモジュールを物理的に接続又は切断する必要なく、「セキュア」領域と「非セキュア」領域との間で便利かつ安全にファイルを転送することができることに留意されたい。

【0230】

記載された実施形態は限定的に解釈されるべきではない。

【0231】

まず、上に列挙した重要な原理から逸脱することなく、図１に示すアーキテクチャに対する多くの変形が想定されることを理解すべきである。例えば、２つのコンピュータシステム１９、１２９の両方が同じモニタを共有してもよい。これは、ユーザが２つのコンピュータ画面間で表示を切り替えるためのセレクタ又はコントローラスイッチを使用して実現することができる。

【0232】

ユーザは、図１のアーキテクチャのように、キーボード及びマウスを第１のコンピューティングデバイス１２５に直接接続することによって、又は代替的に、一方向リンク２７を利用してデータ処理デバイス１１から中継を介して入力を送信することによって、ユーザコンピュータシステム１９内のデータを編集することができる。これらの場合、セレクタスイッチ１８は省略されてもよい。

【0233】

第３の記憶デバイス３５にはセキュアデータのみが記憶されてもよいことを前述したが、第１の記憶デバイス２９は読み出し専用に構成されてもよい。そのような場合、保存される全てのデータが第３の記憶デバイス３５に保存され、その場合、保存される全てのファイルがユーザコンピュータシステム１９からデータ処理デバイス１１に自動的に送信される。セキュリティのために、ユーザは、データ処理デバイス１１内の既存のファイルを上書きすべきか、又は受信したファイルを新しいバージョンとして保存すべきかを決定する必要がある。

【0234】

データ処理デバイス１１はモニタを含まないものとして図１に示されているが、モニタが第２のコンピューティングデバイス３１に接続されてもよく、メッセージは、キーボードなどの周辺入力デバイスを使用してデータ処理デバイス１１に直接入力されてもよい。次いで、ユーザは、メッセージを暗号化し、暗号化されたメッセージをネットワーク化されたコンピュータシステム１２９に送信するように、データ処理デバイス１１に命令することができる。

【0235】

図１のアーキテクチャの変形例の他の例は、以下の代替実施形態の説明から理解され得る。

【0236】

記載された実施形態に係るコンピューティング装置２の動作にも変形が想定される。例えば、ＡＥＳ鍵には、ファイルごとに生成され、ファイルと共に第３の記憶デバイス３５に保存される個々の鍵と、ユーザのパスワードから導出される、ユーザの鍵とも呼ばれる別の鍵との、２つの鍵の組み合わせが採用されてもよい。２つの鍵のＸＯＲは、関連するファイルのＡＥＳ暗号化に使用される結合鍵である。

【0237】

復号鍵をデータ処理デバイス１１からユーザコンピュータシステム１９に送信するとき、結合鍵のみを送信することができる。このようにして、ユーザコンピュータシステムはユーザの鍵を知らない。また、暗号化されたデータは個別の鍵のみでは復号できないため、個別の鍵のみを保存した方が安全な場合がある。したがって、２つの鍵のこの組み合わせは、追加のセキュリティを提供することができる。

【0238】

特定のハードウェア暗号化モジュール５３が前述されたが、代替のハードウェア暗号化モジュールが使用されてもよいことが想定される。図９ａ及び図９ｂは、図１のコンピューティング装置２での使用に適したハードウェア暗号化モジュールの２つの代替例、具体的には第１の代替ハードウェア暗号化モジュール１５３及び第２の代替ハードウェア暗号化モジュール２５３を示す。

【0239】

図９ａに示すように、第１の代替ハードウェア暗号化モジュール１５３は、例えばＦＰＧＡ１８１上のＧＰＩＯピンを用いて実装され得るＲＸピン１７５、第１のＴＸピン１７７及び第２のＴＸピン１７９を有するＦＰＧＡ１８１を含む。第１の代替ハードウェア暗号化モジュール１５３は、例えばリングオシレータ、フリップフロップ又は他のプリミティブから生成されるジッタ又は準安定性、又は全デジタル位相ロックループ（ＡＤＰＬＬ）などのアーキテクチャに基づくＦＩＦＯメモリ１８５及び内部ＲＮＧ１８３を更に含む。したがって、ＦＰＧＡ１８１は、内部でランダムビットを生成し、それらをＦＩＦＯメモリ１８５に記憶することができる。

【0240】

図９ｂに示すように、第２の代替ハードウェア暗号化モジュール２５３はまた、例えばＦＰＧＡ２８１上のＧＰＩＯピンを用いて実装され得るＲＸピン２７５、第１のＴＸピン２７７、及び第２のＴＸピン２７９を有するＦＰＧＡ２８１を含む。第２の代替ハードウェア暗号化モジュール２５３は、ＦＩＦＯメモリ２８５を更に含むが、ＲＮＧモジュールを含まず、代わりに、この代替形態では、第２のコンピューティングデバイス３１は、ＦＰＧＡ２８１上のＦＩＦＯメモリ２８５に内部的に取得されるランダムビットを提供する。例えば、Ｕｎｉｘのようなオペレーティングシステムでは、ランダムビットは／ｄｅｖ／ｕｒａｎｄｏｍから取得され得る。

【0241】

ハードウェア暗号化モジュール５３、１５３、２５３に加えて、ハードウェア復号モジュールも使用され得ることが想定される。ハードウェア復号モジュールについては、以下でより詳細に説明する。

【0242】

更に、幾つかの実施形態では、別個のハードウェア暗号化モジュール５３、１５３、２５３が使用されなくてもよく、代わりに暗号化演算がデータ処理デバイス１１自体の内部で実施されてもよいことが想定される。例えば、データ暗号化演算は、データ処理デバイス１１内の専用プロセッサコアで動作するソフトウェア、又はデータ処理デバイス１１内のＸｉｌｉｎｘ（商標）製のＺｙｎｑＴＭ－７０００ファミリなどのシステムオンチップＦＰＧＡに実装された論理ゲートで実施されてもよい。したがって、データ暗号化演算の異なる変形が実際に実施されてもよく、データ処理デバイス１１の外部に物理的に配置された別個のハードウェア暗号化デバイス又はモジュールを使用してハードウェア暗号化演算を実行させることは厳密な要件ではないことを理解すべきである。（データ処理デバイス内のデータを処理するプロセッサとは異なる）専用プロセッサコアにおけるソフトウェア暗号化は、スタンドアロンハードウェア暗号化モジュールを置き換える１つの可能な方法であることが理解される。データ処理アプリケーションも実行するシステムオンチップＦＰＧＡ内の論理ゲートで暗号化を実施することも可能である。この場合、ハードウェア暗号化を行うＦＰＧＡとデータ処理デバイスのプロセッサとが同一のＩＣチップ上にあってもよい。これらは、データ処理デバイスの外部の「別個の」ハードウェア暗号化モジュールの必要性に挑戦する可能性がある変形である。重要な考慮事項は、データ処理デバイス内のデータを処理するプロセッサによって受信される前に、全ての着信データに対して暗号化を実行することであり、鍵は、データを送信するユーザコンピュータシステムに利用可能にされない。物理的にデータ処理デバイスの外部にあるハードウェア暗号化モジュールを使用することは要件であるべきではない。

【0243】

ＣＤ３データ処理アプリは、スタンドアロンアプリケーションであるとして前述されているが、代わりに、ユーザが暗号化された電子メールをクリップボードにコピーして貼り付ける必要性を取り除くために、電子メールクライアントアプリケーションに直接埋め込まれてもよいことが想定される。

【0244】

ＵＡＲＴ通信プロトコルは、一方向リンクを実装するために前述されているが、ＵＤＰ（ユーザデータグラムプロトコル）又は一方向データ転送を実装する任意の独自プロトコルなどの通信プロトコルも適切であり得ることが想定される。

【0245】

暗号化されたデータ及び暗号鍵を別々に送信するためのハードウェア暗号化モジュールと第２のコンピューティングデバイスとの間の別々のリンクが前述されているが、単一のＴＸ－ＲＸ接続のみが使用されてもよく、暗号化されたデータ及び鍵が第２のコンピューティングデバイスに順次送信されることが想定される。

【0246】

４Ｍｂｐｓのレートでランダムビットを提供することができるＱＲＮＧが前述されているが、ランダムネス拡張アルゴリズム、例えば、高速で擬似ランダムビットを生成するためにＦＰＧＡに実装された線形フィードバックシフトレジスタ（ＬＦＳＲ）又はＡＥＳカウンタモードベースの決定性ランダムビット生成器（ＣＴＲ－ＤＲＢＧ）をシードするために、より低速の真のランダムネス源からのランダムビットも同様に使用され得ることが想定される。この場合、シードは、出力ランダムビットシーケンス内の反復パターンを回避するために定期的に更新されるべきである。

【0247】

ハードウェア暗号化モジュールについてＯＴＰ暗号化が前述されているが、代替として、ＤＥＳ、ＡＥＳなどの他のデータ暗号化方法も同様に使用され得ることが想定される。データ暗号化以外に、データ変換方法、例えばルックアップテーブル（ＬＵＴ）に基づくバイト置換などは、第１のコンピューティングデバイスが変換を算出する手段を持たない限り、リアルタイムＲＮＧを使用せずに実施形態のハードウェア暗号化モジュールで採用され得る。これは、ハードウェア暗号化モジュールのＦＰＧＡから第１のコンピューティングデバイスに戻されるデータ漏洩を防止するためのデータダイオードの使用、及びデータが第１のコンピューティングデバイスに戻される前にデータ変換を逆転させるためのハードウェア復号デバイスの使用によって達成され得る。

【0248】

前述のようなコンピューティング装置２の動作は、ユーザが第１の周辺入力デバイス１７及び第２の周辺入力デバイス４３の両方にアクセスし、第１のモニタ１２７及び第２のモニタ３９を同時に見ることができること、すなわち、ユーザコンピュータシステム１９、ネットワーク化されたコンピュータシステム１２９、及びデータ処理デバイス１１が同じ場所に配置されることを想定していることを理解すべきである。しかしながら、ユーザは、代わりに、ネットワーク化されたコンピュータシステム１２９から離れている間に、ユーザコンピュータシステム１９及びデータ処理デバイス１１と同じ場所に配置されてもよいことが想定される。この変形例では、リモートネットワークコンピュータシステム１２９からのコンピュータ画面データは、一方向リンク２３を介してユーザコンピュータシステムのモニタ１２７に送信されてもよい。ユーザ入力データ、例えばキーボード及びマウスデータは、一方向リンク１５を介してデータ処理デバイス１１からリモートネットワークコンピュータシステム１２９に送信することができる。コンピュータ画面データ及びユーザ入力データは、以下に説明するものと同様の方法を使用して専用接続を介して送信され得ることも想定される。

【0249】

更に、ユーザは、ネットワーク化されたコンピュータシステム１２９と同じ場所に位置しながら、ユーザコンピュータシステム１９及びデータ処理デバイス１１から離れていてもよいことが想定される。

【0250】

図１０は、ユーザがユーザコンピュータシステム１０１９及びデータ処理デバイス１０１１から離れていることを可能にする第２の実施形態のコンピューティング装置１００１を示す。第２の実施形態は第１の実施形態と同様であり、同様の特徴は１０００を追加して同じ参照番号を使用する。具体的には、第２の実施形態のコンピューティング装置１００１は、ユーザコンピュータシステム１０１９及びネットワーク化されたコンピュータシステム１１２９と、データ処理デバイス１０１１と、ユーザコンピュータシステム１０１９からデータ処理デバイス１０１１にデータを転送するためのハードウェア暗号化モジュール（ＨＥＭ）１０５３を含む第１の一方向リンク１０２５及びデータ処理デバイス１０１１からユーザコンピュータシステム１０１９にデータを転送するための第２の一方向リンク１０２７を含む通信リンク１０１３と、ネットワーク化されたコンピュータシステム１１２９からユーザコンピュータシステム１０１９にデータを転送するための第３の一方向リンク１０２３と、データ処理デバイス１０１１からネットワーク化されたコンピュータシステム１１２９にデータを転送するための第４の一方向リンク１０１５とを含む。データダイオード１０４５、１０４７、１０４９、及び１０５１は、それぞれリンク１０２５、１０２７、１０２３、及び１０１５の厳密な一方向性を強制するために含まれる。ユーザコンピュータシステム１０１９は、第１のコンピューティングデバイス１１２５及び第１の記憶デバイス１０２９を含む。データ処理デバイス１０１１は、第２のコンピューティングデバイス１０３１と、第２の記憶デバイス１０３３と、第３の記憶デバイス１０３５と、リムーバブル記憶デバイス１０３７とを含む。ネットワークコンピュータシステム１１２９は、第３のコンピューティングデバイス１０２１と、第４の記憶デバイス１０４１と、モニタ１０３９（第１の実施形態のコンピューティング装置２の第２のモニタ３９に相当）とを含む。これらの特徴は、第１の実施形態のコンピューティング装置２の対応する特徴と全く同じであり、したがって、簡潔にするために、再度説明しない。

【0251】

しかし、第２の実施形態では、第１の実施形態のコンピューティング装置２とは異なり、第１のモニタ１２７、第１の周辺入力デバイス１７、第２の周辺入力デバイス４３、及びセレクタスイッチ１８と同等ではない。代わりに、第１のコンピューティングデバイス１１２５は、比較的短い距離のＨＤＭＩ（登録商標）ケーブル、又は関与する距離が数メートルよりも長い場合にはＨＤＭＩ（登録商標）オーバーイーサネット又はＨＤＭＩ（登録商標）オーバーＩＰエクステンダを使用するなど、プライベート接続を介してモニタ１０３９にその画面データを送信する。セレクタ又はコントローラスイッチ（図示せず）を使用して、モニタ１０３９に表示される異なるコンピュータ画面を切り替えることができる。更に、コンピューティング装置１００１は、ネットワーク化されたコンピューティングシステム１１２９、具体的には第３のコンピューティングデバイス１０２１に接続された新しい周辺入力デバイス（ＰＩＤ）１０６３を含み、データ処理デバイス１０１１、具体的には第２のコンピューティングデバイス１０３１に接続され、新しいＰＩＤ１０６３に通信可能に接続された中継デバイス１０６１と、を含む。

【0252】

図１１は、新しいＰＩＤ１０６３及び中継デバイス１０６１をより詳細に示している。

【0253】

新しいＰＩＤ１０６３は、ユーザにとってローカルであると想定されるネットワークコンピュータデバイス１０２１に接続されるサブＰＩＤ１０６５を含む。サブＰＩＤには、ユーザ入力が入力され、サブＰＩＤ１０６５は、例えば、キーボード、マウス、又は他の何らかの周辺入力デバイスである。新しいＰＩＤ１０６３はまた、ユーザが特に中継デバイス１０６１を介してデータ処理デバイス１０１１に直接入力を送信することを可能にするためのプロセッサ１０６７及びネットワークインタフェースカード（ＮＩＣ）１０６９を含む。新しいＰＩＤ１０６３内のセレクタスイッチ（図示せず）を使用して、ユーザが中継デバイス１０６１を介してネットワークコンピューティングデバイス１０２１又はデータ処理デバイス１０１１のいずれかに入力を指示することを可能にすることができる。

【0254】

また、中継デバイス１０６１自身も、専用のプライベート接続１０７７を介してＮＩＣ１０６９からデータを受信するためのＮＩＣ１０７１を備える。専用プライベート接続１０７７は、例えば、ＵＤＰで実現されてもよい。この場合、２つの通信ネットワークインタフェースは静的ＩＰアドレスを使用することができる。関与する距離が、典型的には約１０メートルであるブルートゥース（登録商標）の範囲内にある場合、ブルートゥース（登録商標）などの直接無線通信によって実施することも可能である。

【0255】

中継デバイス１０６１は、プロセッサ１０７３と、受信したユーザ入力をＵＳＢポートを介してデータ処理デバイス１０１１に中継するＵＳＢヒューマン・インタフェース・デバイス（ＨＩＤ）１０７５とを更に含む。或いは、ＵＳＢＨＩＤ１０７５は、ＵＡＲＴ接続に置き換えられてもよい。例えば、専用プライベート接続１０７７がＢｌｕｅｔｏｏｔｈで実施されている場合、中継デバイス１０６１は、Ｂｌｕｅｔｏｏｔｈ－ＵＡＲＴ変換器を含むことができる。

【0256】

ユーザコンピュータシステム１０１９に対するユーザ入力は、第２の一方向リンク１０２７によって更に中継される。新しいＰＩＤ１０６３内のセレクタスイッチ（図示せず）は、ユーザがユーザコンピュータシステム１０１９又はデータ処理デバイス１０１１又はネットワーク化されたコンピュータシステム１０２１に向けられた入力を区別することを可能にするように構成することができる。

【0257】

したがって、新しいＰＩＤ１０６３及び中継デバイス１０６１は、ユーザがユーザコンピュータシステム１０１９及びデータ処理デバイス１０１１に入力を送信することができるプライベート接続を共に提供する。したがって、第２の実施形態のコンピューティング装置１００１は、ユーザがユーザコンピュータシステム１０１９及びデータ処理デバイス１０１１から離れていることを可能にする一方で、両方のセキュリティを保持することができる。

【0258】

任意選択で、セキュリティを追加するために、新しいＰＩＤ１０６３のプロセッサ１０６７、１０７３及び中継デバイス１０６１は、ユーザ入力の暗号化及び復号動作を実行することができる。

【0259】

図１２は、ユーザがユーザコンピュータシステム２０１９及びデータ処理デバイス２０１１から離れていることも可能にする第３の実施形態のコンピューティング装置２００１を示す。第３の実施形態は第２の実施形態と同様であり、同様の特徴は１０００を追加して同じ参照番号を使用する。具体的には、第３の実施形態のコンピューティング装置２００１は、ユーザコンピュータシステム２０１９及びネットワーク化されたコンピュータシステム２１２９と、データ処理デバイス２０１１と、ユーザコンピュータシステム２０１９からデータ処理デバイス２０１１にデータを転送するためのハードウェア暗号化モジュール（ＨＥＭ）２０５３を含む第１の一方向リンク２０２５及びデータ処理デバイス２０１１からユーザコンピュータシステム２０１９にデータを転送するための第２の一方向リンク２０２７を含む通信リンク２０１３と、ネットワーク化されたコンピュータシステム２１２９からユーザコンピュータシステム２０１９にデータを転送するための第３の一方向リンク２０２３と、データ処理デバイス２０１１からネットワーク化されたコンピュータシステム２１２９にデータを転送するための第４の一方向リンク２０１５とを含む。第３の実施形態のコンピューティング装置２００１は、新たなＰＩＤ２０６３及び中継デバイス２０６１を更に含む。ユーザコンピュータシステム２０１９は、第１のコンピューティングデバイス２１２５及び第１の記憶デバイス２０２９を含む。データ処理デバイス２０１１は、第２のコンピューティングデバイス２０３１と、第２の記憶デバイス２０３３と、第３の記憶デバイス２０３５とを有する。ネットワークコンピュータシステム２１２９は、第３のコンピューティングデバイス２０２１と、第４の記憶デバイス２０４１と、モニタ２０３９とを含む。これらの特徴は、第２の実施形態のコンピューティング装置１００１の対応する特徴と全く同じであり、したがって、簡潔にするために、再度説明しない。

【0260】

しかしながら、第２の実施形態とは異なり、第３の実施形態のコンピューティング装置２００１では、３つのネットワークスイッチ、具体的には第１のネットワークスイッチ２０６７、第２のネットワークスイッチ２０６９及び第３のネットワークスイッチ２０７１がコンピューティング装置２００１に追加的に含まれ、ユーザコンピュータシステム２０１９及びデータ処理デバイス２０３１へのネットワーク化されたコンピュータシステム２１２９（これらの追加のコンピュータシステムは、図１２には示されていない）に加えて、追加のネットワーク化されたコンピュータシステムへの接続を可能にする。

【0261】

より詳細には、第３の実施形態のコンピューティング装置２００１は、第３の一方向リンク２０２３及び第４の一方向リンク２０１５がネットワーク化されたコンピュータシステム２１２９（及び任意の追加のネットワーク化されたコンピュータシステム）に接続されるネットワークインタフェース２０６５を更に含む。言い換えれば、第４の一方向リンク２０１５は、データ処理デバイス２０１１からネットワークインタフェース２０６５にデータを転送するように動作可能であり、第３の一方向リンク２０２３は、ネットワークインタフェース２０６５からユーザコンピュータシステム２１２５にデータを転送するように動作可能である。

【0262】

具体的には、ネットワークインタフェースは、第３のコンピューティングデバイス２１２９及び任意の追加のネットワーク化されたコンピュータシステムのそれぞれのコンピューティングデバイス自体がデータの転送のために双方向接続されている第１のネットワークスイッチ２０６７と双方向通信接続している。ネットワークインタフェース２０６５は、全ての受信データをユーザコンピュータシステム２０１９に転送すると同時に、データ処理デバイス２０１１から来るデータを送出するように構成される。

【0263】

第２のネットワークスイッチ２０６９は、第１のコンピューティングデバイス２１２５からデータを受信するように構成され、コンピュータ画面データをモニタ２０３９及び任意の追加のネットワーク化されたコンピュータシステムのそれぞれのモニタに送信するように構成される。モニタは、第２のネットワークスイッチ２０６９に接続するための適切なネットワークインタフェース（図示せず）を備えることができる。

【0264】

第３のネットワークスイッチ２０７１は、新しいＰＩＤ２０６３及び任意の追加のネットワーク化されたコンピュータシステムの任意のそれぞれの周辺入力デバイスからユーザ入力を受信し、ユーザ入力を中継デバイス２０６１へ送信するように構成される。

【0265】

第３の実施形態のコンピューティング装置２００１の例示的な動作では、第１のユーザは、第１のユーザ自身のコンピュータ画面上での電子メールの復号及び閲覧のために暗号化された電子メールをユーザコンピューティングデバイス２１２５に送信し、閲覧後、電子メールを第１のユーザのフォルダ内の第３の記憶デバイス２０３５に保存するようにデータ処理デバイス２０１１にコマンドを送信してもよい。異なるコンピュータシステム（図示せず）を使用する第２のユーザは、第３の記憶デバイス２０３５からファイルを取得するためのコマンドを並行して送信し、第２のユーザ自身のコンピューティングデバイスにファイルを送信させてもよい。各ユーザは、第３の記憶デバイス２０３５内の割り当てられた記憶空間を含むサービスにアクセスするためにユーザＩＤ及びパスワードを提供することによってデータ処理デバイス２０１１にログインしなければならない場合がある。

【0266】

図１３ａは、前述の実施形態と機能的に同様の第４の実施形態のコンピューティング装置１００を示す。

【0267】

第４の実施形態のコンピューティング装置１００は、例えば、デスクトップコンピュータ又はラップトップ、タブレット、スマートフォンなどのポータブルコンピューティングデバイスに組み込むことができる集積チップ（ＩＣ）又はシステムオンチップ（ＳｏＣ）を有するプリント回路基板又は複数のプリント回路基板の形態とすることができるデータ保護モジュール（ＤＰＭ）１４０を含む。ＤＰＭ１４０は、第１のコンピューティングデバイス（プライベートコンピューティングユニットＰＣＵ１０６とも呼ばれる）、コントローラ１０４と、それ自体が処理ユニット３２６及びデータ記憶ユニット（ＤＳＵ）１３０を含む第２のコンピューティングデバイス（入力処理ユニットＩＰＵ１２８とも呼ばれる）を含むデータ処理デバイスを含むコンピュータシステムと、本実施形態では具体的にインターネット１４４に接続されている第３のコンピューティングデバイス（非セキュアコンピューティングユニット（ＵＣＵ）１３８とも呼ばれる）を含むネットワーク化されたコンピュータシステムと、を含む。コントローラ１０４は、コンピュータ画面データ、音声データなどを出力デバイス１０２に送信するように構成される。

【0268】

前述の実施形態のコンピューティング装置と同様に、ＤＰＭ１４０はまた、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンク１１０と、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンク１１８とを含む通信リンクも含む。しかしながら、前述の実施形態とは異なり、第１の一方向リンク及び第２の一方向リンク１１４は、具体的には、データ処理デバイスのＤＳＵ１３０とユーザコンピュータシステムとの間に配置される。第１の一方向リンク１１０はハードウェア暗号化モジュール１１６も含む。しかしながら、前述の実施形態とは対照的に、第２の一方向リンク１１４は、ハードウェア復号モジュール１１８を更に含む。

【0269】

ＤＰＭ１４０はまた、コンピュータ画面データ及び／又はオーディオデータをＵＣＵ１３８からコントローラ１０４に転送するための第３の一方向リンク１０８と、データをＵＣＵ１３８からＰＣＵ１１２に転送するための第４の一方向リンク１１２と、データをＩＰＵ１２８からＵＣＵ１３８に転送するための第５の一方向リンク１３６と、データをＤＳＵ１３０からＵＣＵ１３８に転送するための第６の一方向リンク１２２と、コンピュータ画面データをＤＳＵ１３０からコントローラ１０４に転送するための第７の一方向リンク１２４と、データをＩＰＵ１２８からＤＳＵ１３０に転送するための第８の一方向又は双方向リンク１２６と、データ、例えばユーザ入力をＩＰＵ１２８からＰＣＵ１０６に直接転送するための第９の一方向リンク１２０とを含む。ＰＣＵ１０６からコントローラ１０４にコンピュータ画面データ及び／又はオーディオデータを転送するための第１０の一方向リンク１４６。第８のリンク１２６が双方向である場合、ＤＳＵ１３０からのデータはリンク１２６及び１３６を介してＵＣＵ１３８に到達し得るので、第６のリンク１２２は省略され得る。ＤＰＭ１４０は、オプションの鍵ストア３４４（図１４参照）を更に含むことができる。

【0270】

コンピューティング装置１００には、コントローラ１０４からコンピュータ画面データ及び／又はオーディオデータを受信するように構成されたモニタディスプレイ、ヘッドホン、スピーカなどのような１つ以上の出力デバイス１０２と、ＩＰＵ１２８に入力を提供するように構成されたキーボード及びマウス又はマイクロフォンなどの周辺入力デバイス１３４とが更に含まれる。任意選択で、ＩＰＵ１２８は、それ自体の出力デバイス（図示せず）を更に含んでもよい。そうでなければ、ユーザ入力は、ＰＣＵ１０６及びコントローラ１０４を介して出力デバイス１０２に中継されてもよい。

【0271】

次に、一実施形態に係るコンピューティング装置１００の使用方法を説明する。

【0272】

ＩＰＵ１２８は、それが直接インターネット接続を有しないコンピューティングユニットであるという意味で、セキュア入力空間であることが理解され得る。ユーザによって入力された個人情報がインターネット接続１４２を介して受信者に送信することを意味する場合、個人情報は、インターネットへのゲートウェイとして機能するＵＣＵ１３８に転送される前に、ＩＰＵ１２８内で最初に暗号化されてもよい。ＩＰＵ１２８は、データがＩＰＵ１２８からＵＣＵ１３８に移動できるが反対方向には移動できないように、第５の一方向リンク１３６を介してＵＣＵ１３８に接続される。ＵＣＵ１３８にマルウェアが存在する場合、当該マルウェアは、第５の一方向リンク１３６を介してＩＰＵ１２８に侵入することができない。

【0273】

ＵＣＵ１３８は、インターネットに直接接続されたコンピューティングユニットである。したがって、ユーザは、ウェブをサーフィンし、ブログポストを閲覧し、オンラインゲームをプレイし、ソーシャルメディアに関与するなどのためにＵＣＵ１３８を使用することができる。しかしながら、ユーザが暗号化されていない形態で重要なデータの処理を伴わないコンピューティングアクティビティを実行するとき、本実施形態では、ユーザ入力は、第５の一方向リンク１３６を介してＵＣＵ１３８に直接転送される。ＵＣＵ１３８は、ユーザが危険なサイトを訪問したり、フィッシングメールの添付ファイルを開いてマルウェアをＵＣＵ１３８にダウンロードさせたりする可能性があるため、非セキュアと見なされる。ＵＣＵ１３８はまた、インターネット接続を悪用するサイバー攻撃の影響を受けやすい可能性がある。ファイアウォール又はアンチウイルスソフトウェアなどの従来の方法ではセキュリティが保証されない場合があることを理解すべきである。したがって、記載された実施形態に係る装置を使用する方法によれば、プライベートデータ又は機密データのキーイング、編集、又は閲覧を含むアクティビティは、ＵＣＵ１３８上で実行されない。

【0274】

前述したように、１つ以上の出力デバイス１０２がＰＣＵ１０６に接続される。記載された実施形態に係る装置を使用する方法によれば、プライベートデータ及び機密データは、ＰＣＵ１０６においてのみ復号される。インターネットから受信した暗号化されたデータは、復号のために一方向リンク１１２を介してＵＣＵ１３８からＰＣＵ１０６に転送される。ＰＣＵ１０６は、直接インターネット接続を有していない。したがって、一方向リンク１１２を介してＰＣＵ１０６に侵入又はアクセスする可能性があるマルウェアは、そのコマンド及び制御（Ｃ＆Ｃ）サーバに接続するための、又はＰＣＵ１０６からインターネット接続１４２を介してサイバー犯罪者にデータを秘密に送信するための直接経路を見つけることができない可能性がある。したがって、ユーザは、ＰＣＵ１０６において重要なデータを安全に閲覧、編集、又は処理することができる。したがって、ＰＣＵ１０６は、セキュアプライベート空間であり得る。

【0275】

ランサムウェアはＰＣＵ１０６を攻撃する可能性があるが、ＰＣＵ１０６は重要なデータを記憶しないため、損傷は最小限であり得る。ＰＣＵ１０６の別の役割は、第９の一方向リンク１２０を介してユーザ入力を受け取り、それらを適切な出力デバイス１０２に送信することである。例えば、ユーザがＩＰＵ１２８にコマンドを入力しているとき、ユーザは入力されているものをリアルタイムで見たい場合がある。記載された実施形態によれば、キーストローク、マウス移動、音声などのユーザ入力は、第９の一方向リンク１２０を介してＰＣＵ１０６に転送されてもよい。

【0276】

記載された実施形態によれば、重要なデータは、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）などの不揮発性メモリ、及びプロセッサを備えるセキュア記憶空間であるＤＳＵ１３０に記憶される。ＰＣＵ１０６内の重要なデータを閲覧又は編集した後、データはＤＳＵ１３０に保存される。データは、第１の一方向リンク１１０を介してＰＣＵ１０６からＤＳＵ１３０に転送される。第１の実施形態に関連して前述したように、ハードウェア暗号化器１１６は、第１の一方向リンク１１０を通過する全てのデータを暗号化する。したがって、第１の一方向リンク１１０を介してＤＳＵ１３０に入るマルウェアは、暗号化によって無効にされ、無害にされる。暗号鍵がランダムかつ秘密であれば、攻撃者又はマルウェアが鍵を推測したり、攻撃を調整してハードウェア暗号化を回避したりする方法はない可能性がある。図１３ａから分かるように、記載された実施形態では、ＤＳＵ１３０は、第８の一方向リンク１２６のみを介してユーザ命令を受け取る。したがって、マルウェアがＤＳＵ１３０に対して悪意のある動作を実行する方法はない可能性がある。ＤＳＵ１３０とＩＰＵ１２８の両方は潜在的にマルウェアを含まないため、第４の実施形態の変形例では、ＤＳＵ１３０はセキュリティを損なうことなくＩＰＵ１２８にその全体を組み込むことができることを理解すべきである。この場合、ＤＳＵ１３０は、第１の実施形態における第３の記憶デバイス３５（図１ａ）に相当する。

【0277】

ユーザは、ＤＳＵ１３０からバックアップ用のクラウドストレージなどの外部の送信先に、又は電子メール添付ファイルとして受取人にファイルを送信したい場合がある。例えば、ユーザが適切なコマンド及びファイル名をコマンドプロンプトで入力するか、アプリケーションソフトウェアのウィンドウからファイルを選択するか、同等の動作を実行する必要があるクラウドストレージにファイルを送信する場合を考える。記載された実施形態では、情報は、ＩＰＵ１２８から第８の一方向リンク１２６を介してＤＳＵ１３０に送信され、その結果、ＤＳＵ１３０は、ストレージからどのファイルを取り出し、第６の一方向リンク１２２を介してＵＣＵ１３８に転送するかを知る。その単一方向性のために、ＵＣＵ１３８に存在するマルウェアは、第６の単一方向リンク１２２を介してＤＳＵ１３０にアクセスすることができない可能性がある。ＤＳＵ１３０から選択されたファイルは、この場合ファイルを復号する必要がないため、復号鍵なしで第６の一方向リンク１２２を介して送信される。ユーザのコマンドはまた、第５の一方向リンク１３６を介してＵＣＵ１３８にも送信され、それにより、ＵＣＵ１３８は、ＤＳＵ１３０からのファイルの到着を予期し、それらをこの例ではクラウドストレージである正しい送信先に転送することができる。送信先がファイルを復号する必要がある受信者である場合、復号鍵も送信される。機密性のために、復号鍵は、パブリックネットワークを介して送信する前にＤＳＵ１３０内で暗号化される。

【0278】

第４の実施形態では、キーボード及びマウスなどの周辺入力デバイス１３４に物理的にアクセスするユーザのみが、ＤＳＵ１３０の内外にファイルを移動させることができる。例えば、ユーザがＤＳＵ１３０に記憶された特定のファイルを閲覧又は編集したい場合、ユーザは、コマンドプロンプトでファイル名を入力するか、又はリストからファイルを選択するか、又はＩＰＵ１２８で同等の動作を実行する。そして、ＩＰＵ１２８は、第９の一方向リンク１２０及び第８の一方向リンク１２６をそれぞれ介してＰＣＵ１０６及びＤＳＵ１３０の両方にファイル名を送信する。そして、ＤＳＵ１３０は、そのストレージからファイルを取得し、リンク１１４を介してＰＣＵ１０６に送信する。ＰＣＵ１０６はまた、リンク１２０からユーザのコマンドを受信すると、ファイルを受信する準備をする。ＤＳＵ１３０からのファイルは暗号化されているので、任意選択のハードウェア復号器１１８を使用して、ファイルが第２の一方向リンク１１４をトラバースするときにファイルを復号することができる。或いは、ＰＣＵ１０６は、復号鍵も暗号化ファイルと共に第２の一方向リンク１１４を介してＰＣＵ１０６に送信される限り、復号を実行するプログラムを実行してもよい。記載された実施形態によれば、潜在的にマルウェアのない状態を保護するためにＤＳＵ１３０で復号されるファイルはない。

【0279】

コントローラ１０４はオプションであることを理解すべきである。第２の実施形態のコンピューティング装置１００１と同様に、ＵＣＵ１３８は、モニタディスプレイ、スピーカなどの同じ出力デバイス１０２をＰＣＵ１０６と共有してもよく、コントローラユニット１０４は、ユーザがこれらの出力デバイス１０２への入力を選択できるようにしてもよいことが想定される。第３の一方向リンク１０８は、このリンク１０８を介したＰＣＵ１０６からＵＣＵ１３８への重要なデータの漏洩を防止するための一方向であることが理解され得る。或いは、ＵＣＵ１３８は、それ自体の出力デバイスのセットを有してもよく、コントローラ１０４は不要であると考えられる。ＤＳＵ１３０からコントローラ１０４への第７の一方向リンク１２４も任意選択的である。存在する場合、第７の一方向リンク１２４は、コントローラ１０４を介してＤＳＵ１３０にアクセスするマルウェアを防止するための一方向であることが理解され得る。

【0280】

第１の実施形態（図１ａ）に関連して前述したように、ユーザが物理的セレクタスイッチ（図示せず）を手動で反転させるか、又はＤＰＭのシャーシ上に配置されたボタン（図示せず）を押すか、又はファンクションキーのうちの１つ、又はそれらのキーの組み合わせ、又は何らかの他の方法などのキーボード上の特定のキーを押すことによって、有効化及び無効化することができるように、ＤＰＭ１４０のセキュアモードを提供することができる。セキュアモードが非アクティブ化されると、ＤＰＭ１４０は通常モードにあると言われる。

【0281】

通常モードでは、ＩＰＵ１２８、ＰＣＵ１０６、及びＤＳＵ１３０における様々なデータセキュリティ関連動作が無効にされる。ユーザは、ウェブのサーフィン、オンラインゲームのプレイ、ソーシャルメディア上での投稿の閲覧、ブログの閲覧などの重要な情報の処理を伴わない様々な通常のコンピューティングアクティビティをＵＣＵ１３８上で実行することができる。ＩＰＵ１２８へのユーザ入力は、単一方向リンク１３６を介してＵＣＵ１３８に単に転送される。或いは、ユーザは、ＵＣＵ１３８に接続され、通常のコンピューティングアクティビティにそれらを使用する専用の周辺入力デバイスのセットを有することができる。

【0282】

ログインパスワードの送信、プライベート電子メールの作成、プライベート電子メールの閲覧、プライベート写真の閲覧、機密レポートの編集、音声メッセージの記録、テレビ会議など、重要な情報又はデータの入力、編集、閲覧、又は処理を含むアクティビティをユーザが実行したい場合、ユーザはセキュアモードを起動する。

【0283】

前述の実施形態のように、セキュアモードでは、ＰＣＵ１０６、ＩＰＵ１２８、及びＵＣＵ１３８は、それぞれのプロセッサ上でソフトウェアを実行することによってデータ処理方法を実行するように構成される。図１３ｂは、コンピューティング装置１００のセキュアモードのユーザを介することを含む、コンピューティング装置１００を使用して実行される第４の実施形態に係る全体的な方法を示す。

【0284】

記載された実施形態では、プライベート電子メールは、送信のためにＵＣＵ１３８に渡される前に暗号化される。受信した暗号化された電子メールは、ＰＣＵ１０６においてのみ復号されて閲覧される。プライベート電子メールは、ファイル漏洩マルウェアから保護するためにＤＳＵ１３０に暗号化形式で保存される。詳細は後述する。

【0285】

ステップ２００において、ＡｌｉｃｅはＢｏｂにプライベート電子メールを送信することを望む。

【0286】

ステップ２０２で、Ａｌｉｃｅはセキュアモードに切り替え、ＩＰＵ１２８でエディタプログラムを開く。

【0287】

ステップ２０４において、Ａｌｉｃｅは、ＩＰＵ１２８に接続されたキーボード及びマウス１３４を使用してプライベート電子メールを作成する。彼女のキーストロークは、ＩＰＵ１２８からＰＣＵ１０６に第９の一方向リンク１２０を介してリアルタイムで送信され、モニタ画面１０２に表示され、Ａｌｉｃｅはタイピング中に自分の入力を見ることができる。

【0288】

ステップ２０６において、Ａｌｉｃｅは、電子メールの作成が完了すると、Ｂｏｂの電子メールアドレスをキー入力するか、又は連絡先リストから選択する。電子メールの件名を入力し、編集者のウィンドウにある「電子メールを暗号化する」ボタンをクリックする。連絡先リストは、ＡｌｉｃｅがＩＰＵ１２８にキー入力したことのある以前の全ての電子メールアドレスを含む。

【0289】

ステップ２０８において、ＩＰＵ１２８（すなわち、ＩＰＵ１２８で実行されているデータ処理アプリケーション）は、電子メールのハッシュを計算し、Ａｌｉｃｅの署名鍵を使用してハッシュに署名してデジタル署名を取得する。その後、電子メール、デジタル署名、Ｂｏｂの電子メールアドレス、及び電子メールの件名をＤＳＵ１３０に転送する。ＤＳＵ１３０は、そのコンタクトデータベース内に、ＡｌｉｃｅがＢｏｂと共有する対称鍵又はセッション鍵を有する。ＤＳＵ１３０は、鍵を使用して電子メールを高度暗号化規格（ＡＥＳ）などの対称暗号で暗号化し、暗号化された電子メール、デジタル署名、Ｂｏｂの電子メールアドレス、及び電子メールの件名を、第５の一方向リンク１３６を介してＵＣＵ１３８上のクリップボードに送信する。電子メールが複数のアドレスを有する場合、電子メールの暗号化は、対応する対称鍵を使用して各アドレスについて繰り返されなければならない。ＵＣＵ１３８上のクリップボードに転送されるコンテンツは、どの暗号化された電子メールがどのアドレス宛てであるかを指定する。

【0290】

ステップ２１０で、Ａｌｉｃｅは通常モードに戻り、ＵＣＵ１３８内の電子メールクライアントを開く。電子メールクライアントは、暗号化された電子メール、デジタル署名、Ｂｏｂの電子メールアドレス及び電子メールの件名をクリップボードから自動的に取得するように特に設計及び構成されてもよく、電子メールをＢｏｂに自動的に送信してもよい。複数の受取人の場合、電子メールクライアントは、対応する暗号化された電子メールを各受取人に送信することができる。前述したように電子メールクライアントによる自動操作がない場合、Ａｌｉｃｅは、暗号化された電子メール及びデジタル署名を手動でコピーし、各受取人の電子メールクライアントの新しい作成ウィンドウに貼り付けることができる。受取人ごとに正しい暗号化電子メールを選択しなければならない。

【0291】

ステップ２１２において、Ａｌｉｃｅの電子メールがインターネットを介してＢｏｂに送信される。

【0292】

ステップ２１４において、ＵＣＵ１３８内の電子メールクライアントは、暗号化された電子メールを受信する。

【0293】

ステップ２１６において、ＵＣＵ１３８上の電子メールクライアントは、暗号化された電子メールが届いたことをＡｌｉｃｅに通知する。Ａｌｉｃｅは、電子メールの送信者の身元及び件名をチェックし、電子メールを開くかどうかを決定する。

【0294】

ステップ２１８において、送信者がＢｏｂであることを見て、Ａｌｉｃｅは電子メールを開くことを決定する。そして、セキュアモードに切り替え、ＰＣＵ１０６内のビューアプログラムを開く。

【0295】

ステップ２２０において、Ａｌｉｃｅは、ＵＣＵ１３８上の電子メールクライアントのウィンドウ上に位置する「電子メールを復号する」ボタンをクリックする。ＩＰＵ１２８は、一方向リンク１１２を介して暗号化された電子メールをＰＣＵ１０６に転送するようにＵＣＵ１３８に指示する。ウェブメールサービス又は互換性のない電子メールクライアントが使用される幾つかの実施形態では、Ａｌｉｃｅは、暗号化された電子メールをＵＣＵ１３８内のクリップボードに手動でコピーし、次いで、クリップボードの内容をＰＣＵ１０６に転送するようにＵＣＵ１３８に命令することができる。

【0296】

ステップ２２２において、Ａｌｉｃｅは、自分の連絡先リストから送信者Ｂｏｂの名前を選択し、ＩＰＵ１２８は、Ｂｏｂの対称鍵をＰＣＵ１０６に送信するようにＤＳＵ１３０に命令する。このステップは、対称鍵がＤＳＵ１３０に記憶され、ＤＳＵ１３０がユーザからのみ入力を受け取るために必要である。Ａｌｉｃｅが送信者の対称鍵を持っていない場合、Ａｌｉｃｅは電子メールを復号することができない。この場合、Ａｌｉｃｅは、対称鍵を取得するために送信者に要求を送信する必要がある。

【0297】

ステップ２２４において、ＰＣＵ１０６は、ＤＳＵ１３０から受信したＢｏｂの対称鍵を使用して電子メールを復号し、Ａｌｉｃｅが見るために復号された電子メールをモニタ画面１０２に表示する。

【0298】

ステップ２２６において、電子メールを読んだ後、Ａｌｉｃｅは、ビューアプログラムのウィンドウ上の「電子メールを保存する」ボタンをクリックする。ＩＰＵ１２８上で実行されているデータ処理アプリは、ＰＣＵ１０６とＤＳＵ１３０の両方に通知し、ＰＣＵ１０６は、第１の一方向リンク１１０を介してＤＳＵ１３０に電子メールを送信する。第１の一方向リンク１１０を介した伝送中、電子メールはハードウェア暗号化モジュール１１６で暗号化される。

【0299】

ステップ２２８において、電子メールは、記憶された電子メールを復号するために使用され得る鍵と共に、暗号化された形態でＤＳＵ１３０に記憶される。

【0300】

ＰＣＵ１０６で復号されたときに悪意のある電子メールがＰＣＵ１０６でランサムウェア攻撃を開始する可能性があるため、最適なセキュリティのために、プライベート電子メールを含む重要なデータはＰＣＵ１０６に記憶されないことを理解すべきである。ＡｌｉｃｅがＰＣＵ１０６に重要なデータを記憶していない場合、そのような攻撃の損傷は最小限である。

【0301】

任意選択で、ＰＣＵ１０６は、全ての変更を破棄し、電源が投入されるたびに元のクリーン状態にリセットすることができるように、仮想マシン（ＶＭ）を実行することができる。ユーザは、ＶＭの電源を切る前に、全ての重要なデータがＤＳＵ１３０に保存されていることを保証することができる。

【0302】

記載された実施形態では、セキュアモードと通常モードとの間の切り替えがあるが、２つの動作モードへのこの分離は必要ではないことを理解すべきである。例えば、ユーザは、高度に安全なデータ動作のためにＩＰＵ１２８に接続された周辺入力デバイスの一方のセットを使用し、通常のコンピューティングアクティビティのためにＵＣＵ１３８に接続された周辺入力デバイスの他方のセットを使用することができることが想定される。この場合、２つのモードを切り替える必要はなく、ユーザによっては好ましい場合がある。

【0303】

図１４は、第４の実施形態に係るハードウェア暗号化モジュール１１６及びハードウェア復号モジュール１１８が実装される単一のハードウェアプラットフォーム３００を示す。なお、図１４では、簡単のため、ＤＳＵ１３０がＩＰＵ１２８に組み込まれているものとして示されている。

【0304】

図１４に示すように、図１３ａに示すハードウェア暗号化モジュール１１６を含む第１の一方向リンク１１０は、ＤＳＵ１３０と単一のハードウェアプラットフォーム３００との間の第１の一方向サブリンク３１０、単一のハードウェアプラットフォーム３００自体、及び単一のハードウェアプラットフォーム３００とＰＣＵ１０６との間の第２の一方向サブリンク３０４を含む。ハードウェア復号モジュール１１８を含む第２の一方向リンク１１４は、ＰＣＵ１０６と単一のハードウェアプラットフォーム３００との間の第３の一方向サブリンク３１４、単一のハードウェアプラットフォーム３００自体、及び単一のハードウェアプラットフォーム３００とＤＳＵ１３０との間の第４の一方向サブリンク３３０を含む。

【0305】

単一のハードウェアプラットフォーム３００は、例えば、ＦＰＧＡ、特定用途向け集積回路（ＡＳＩＣ）チップ、又はプリント回路基板上に実装された集積チップ（ＩＣ）の組み合わせを含むモジュール３０８を含む。単一のハードウェアプラットフォーム３００は、モジュール３０８に乱数を提供するように構成されたＲＮＧ３３４を更に含む。

【0306】

ＲＮＧ３３４は、限定はしないが、ショットノイズ、熱ノイズ、アバランシェ降伏ノイズなどの物理ノイズ源に基づくことができる。ＲＮＧ３３４はまた、リング発振器、結合レーザなどのカオス的プロセスに基づいてもよい。暗号ハッシュ、ランダムネス抽出器などの処理方法を適用して、ビット当たりのエントロピーを増加させることができる。

【0307】

モジュール３０８自体は、少なくとも１つのＸＯＲ論理ゲート３０６と、ＦＩＦＯメモリ３１８と、ハードウェア実装ＡＥＳエンジン３２２と、処理ユニット３２６とを含む。

【0308】

前述したハードウェア暗号化モジュール５３、１５３、２５３とは対照的に、ここでの暗号化は、復号と同様に、高度暗号化規格（ＡＥＳ）カウンタモード暗号に基づく。

【0309】

ＰＣＵ１０６から来るデータを暗号化するために、暗号鍵及び初期化ベクトル（Ｉｖｓ）は、ＲＮＧ３３４によって提供される。ＲＮＧ３３４からの生のランダムビットは、必要に応じて、ビット当たりのエントロピーを増加させるために処理ユニット３２６によって処理されてもよい。暗号鍵及びＩＶを使用して、ハードウェア実装ＡＥＳエンジン３２２は、ＡＥＳ-ＢＳによって示されるＡＥＳビットストリームを生成する。ＡＥＳビットストリームは、データを暗号化するために使用される前にＦＩＦＯメモリ３１８に記憶され得る。暗号化演算は、データ及びＡＥＳ-ＢＳに対して、ＸＯＲ論理ゲート３０６によってビットＸＯＲが実行され、(データ XOR AES-BS)で示される暗号化されたデータを出力する。次いで、暗号化されたデータは、記憶のためにＤＳＵ１３０に送信される。暗号鍵及びＩＶの両方は、リンク３３２を介してＩＰＵ１２８に送信され、ＩＰＵ１２８に接続されたパスワード保護サムドライブなどの鍵ストア３４４に記憶される。他の実施形態では、暗号鍵及びＩＶは、暗号化されたデータと共にＤＳＵ３３６に記憶されてもよい。

【0310】

ハードウェア復号の場合、ＩＰＵ１２８は、復号鍵（暗号鍵と同じ）及びＩＶを鍵ストア３４４から取得し、それらをＡＥＳエンジン３２２に入力してＡＥＳビットストリームＡＥＳ-ＢＳを生成する。次いで、ＡＥＳビットストリームは、ビット単位のＸＯＲ論理ゲート３０６において、リンク３１０を介して受信された暗号化されたデータを復号するために使用される前にＦＩＦＯメモリ３１８に送信される。そして、復号されたデータは、リンク３０４を介してＰＣＵ１０６に転送される。

【0311】

或いは、復号鍵及びＩＶがＤＳＵ１３０に記憶されている場合、ＩＰＵ１０６は、リンク３１０及び３０４を介してそれらをＰＣＵ１０６に送信し、ＰＣＵ１０６でデータを復号させるようにＤＳＵ１３０に命令することができる。復号鍵及びＩＶが鍵ストア３４４に記憶されている場合、それらを一方向リンク１２０を介してＰＣＵ１０６に送信することも可能である。

【0312】

ＸＯＲゲート３０６は、単一の物理論理ゲートとして前述されているが、ハードウェア暗号化器１１６及びハードウェア復号器１１８の両方が、ハードウェアプラットフォーム３００上で独立したＸＯＲゲートを使用することが想定される。ハードウェアプラットフォーム３００上に複数のＸＯＲゲート３０６が存在してもよい。

【0313】

ハードウェア暗号化器１１６及びハードウェア復号器１１８は、単一のハードウェアプラットフォーム３００を介して実装されるものとして前述されているが、ハードウェア暗号化器１１６及びハードウェア復号器１１８は、それぞれが独自のＡＥＳエンジン、ＦＩＦＯメモリ及び論理ゲートを有するように、２つの別個のハードウェアプラットフォーム上に実装され得ることが想定される。或いは、前述の実施形態のように、セキュリティを損なうことなくＰＣＵ１０６内のソフトウェアで復号を実施することができるため、ハードウェア復号器１１８を省略することができる。

【0314】

更に、データ転送の一方向性を厳密に実施するために、各一方向リンク、具体的には、暗号化されたデータ又は暗号鍵がＰＣＵ１０６に漏れるのを防ぐためのリンク３１４、復号されたデータがＤＳＵ１３０に漏れるのを防ぐためのリンク３１０、及びリンク１２０にデータダイオードを配置できることを理解すべきである。

【0315】

図１５は、第５の実施形態のコンピューティング装置を示す。第５の実施形態のコンピューティング装置は、図１３及び図１４に示す第４の実施形態のものと同一である。第５の実施形態のコンピューティング装置は、ＤＳＵ３０３６と、ソフトウェア実装ＡＥＳエンジン３０４８と、処理ユニット３０４０とを備えるＩＰＵ３０１２と、ＦＰＧＡ３０８８、少なくとも１つのＸＯＲ論理ゲート３００６、及びＦＩＦＯメモリ３０１８を含む単一のハードウェアプラットフォーム３０００と、乱数を処理ユニット３０４０に提供するように構成されたＲＮＧ３０５６と、任意選択の鍵ストア３０４４とを含む。ＲＮＧ３０５６は外部デバイスであってもよく、或いはランダムビットはＵｎｉｘのようなＯＳの／ｄｅｖ／ｕｒａｎｄｏｍから取得されてもよい。なお、図１５では、関連する特徴のみを示している。

【0316】

図１５のハードウェア暗号化／復号デバイスも、前述したのと同じＡＥＳカウンタモード暗号に基づいているが、ＡＥＳエンジンはＩＰＵ３０１２内のソフトウェアに実装されている。この第５の実施形態では、ユーザがキーボードなどのユーザ入力インタフェース３０５２を介してパスワードを提供することが更に想定される。

【0317】

ＰＣＵ１０６からＩＰＵ３０１２に移動するデータのハードウェア暗号化のために、ユーザは、暗号鍵を生成するためにＲＮＧ３０５６から取得されたソルトでハッシュされたパスワードを入力する。次いで、暗号鍵は、同じくＲＮＧ３０５６から得られたＩＶを用いてソフトウェアＡＥＳエンジン３０４８に供給され、ＡＥＳ-ＢＳによって示されるＡＥＳビットストリームを生成する。ＡＥＳビットストリームは、(データ XOR AES-BS)を取得するためにビットＸＯＲ論理ゲート３００６においてデータを暗号化するために使用される前にＦＩＦＯメモリ３０１８に記憶され得る。ソルト及びＩＶは、パスワードで保護されたＵＳＢメモリなどの鍵ストア３０４４に安全に記憶することができる。他の実施形態では、ソルト及びＩＶは、ＤＳＵ３０３６に保存されてもよい。この場合、鍵ストア３０４４は不要である。

【0318】

ハードウェア復号のために、ＩＰＵ３０１２は、最初に、対応するソルト及びＩＶを鍵ストア３０４４から検索する。ユーザは、復号鍵を得るためにソルトでハッシュされたパスワードを提供し、復号鍵は、ＡＥＳビットストリームＡＥＳ-ＢＳを生成するためにＩＶと共にソフトウェアＡＥＳエンジン３０４８に供給される。ＡＥＳビットストリームは、ＤＳＵ３０３６から到来するデータＡＥＳ-ＢＳを復号するために使用される前に、ＦＩＦＯメモリ３０１８に記憶され得る。そして、復号したデータをＰＣＵ１０６に転送する。ソルト及びＩＶがＤＳＵ３０３６に記憶されている場合、ＩＰＵ３０１２は、ユーザ提供のパスワードをＤＳＵ３０３６に送信し、そこでソルトでハッシュされて復号鍵を取得する。次に、復号鍵及びＩＶは、データを復号するためにＰＣＵ１０６に送信される。

【0319】

なお、図１４、図１５に関連して説明した第３の、第４の実施形態では、ビットＸＯＲによる暗号化と復号にＡＥＳカウンタモード暗号を採用した。これは、他のモードと比較して、高いスループットで実装される可能性があるという利点を有する。異なる実施形態によれば、他の暗号方式が使用されてもよいことが想定される。

【0320】

図１６は、（図１ａの第１の実施形態と同様に）データのハードウェア暗号化にＯＴＰ法を用いる第６の実施形態のコンピューティング装置を示す。第６実施形態のコンピューティング装置は、図１３及び図１４に示す第４実施形態と同様である。第６の実施形態のコンピューティング装置は、単一のハードウェアプラットフォーム３００の代わりに、ＸＯＲ論理ゲート３１０６、ＦＩＦＯメモリ３１１８、及びＰＲＮＧ３１２６を含むハードウェア暗号化モジュール３１００を含むとともに、ＩＰＵ３１１２の処理ユニット３１４０とＰＲＮＧ３１２６の両方に乱数を提供するように構成されたＲＮＧ３１３４とを含む。コンピューティング装置は、ＸＯＲゲートをＤＳＵ３１３６に接続する２つの並列一方向リンク３１３０、３１６０と、ＤＳＵ３１３６からＰＣＵ１０６にデータを転送するための非暗号化一方向リンク３１５８とを更に含む。オプションのキーストア３１４４もある。なお、図１６では、関連する特徴のみを示している。

【0321】

ＲＮＧ３１３４からのランダムビットは、線形フィードバックシフトレジスタ（ＬＦＳＲ）などのハードウェア実装ＰＲＮＧ３１２６をシードして、擬似ランダムＯＴＰ鍵の連続ストリームを高速で生成するために使用される。記載された実施形態では、ＯＴＰ鍵における反復パターンを回避するためにシードが定期的に更新される。このＯＴＰ鍵は、ＯＴＰ暗号化データ(データ XOR OPT)を生成するためにビットＸＯＲゲート３１０６でデータを暗号化するために使用される前にＦＩＦＯメモリ３１１８に記憶される。次いで、ＯＴＰ暗号化データ及びＯＴＰ鍵は、並列リンク３１３０及び３１６０を介して記憶のためにＤＳＵ３１３６に送信される。場合によっては、ハードウェアＲＮＧ３１３４は、十分に高速で真にランダムなビットを生成することができる。そのような場合、生ビットは、ランダム性拡張なしでＯＴＰ鍵として直接使用され得る。復号のために、ＤＳＵ３１３６は、一方向リンク３１５８を介して(データ XOR OPT)及びＯＴＰ鍵の両方をＰＣＵ１０６に送信する。場合によっては、記憶前に、ＯＴＰ暗号化は、図８に関して前述したように、記憶スペースを節約するためにＤＳＵ３１３６内でＡＥＳカウンタモード暗号化に変換されてもよい。

【0322】

図１７は、前述の実施形態と機能的に同様の第７の実施形態のコンピューティング装置７００を示す。第７の実施形態のコンピューティング装置７００は、それ自体が内部記憶デバイス７１６を含む第１のコンピューティングデバイス（プライベートコンピューティングユニット、ＰＣＵとも呼ばれる）７０６を含むユーザコンピュータシステムを含むデータ保護モジュール（ＤＰＭ）７４０と、コントローラ７０４と、それ自体がデータ記憶ユニット（ＤＳＵ）７３２を含む第２のコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）７２６を含むデータ処理デバイスとを含む。コントローラ７０４は、ＰＣＵ７０６及び非セキュアコンピューティングデバイス（ＵＣＤ）７４４から受信したコンピュータ画面データ及び／又はオーディオデータを出力デバイス７０２に転送するように構成される。ＵＣＤ７４４は、インターネットにアクセス可能なコンピューティングデバイスである。これは、内部記憶デバイス７４２を含み、以下に概説するように、４つの通信リンク７０８、７１２、７３６、７３８を介してＤＰＭ７４０に接続される。

【0323】

前述の実施形態のコンピューティング装置と同様に、ＤＰＭ７４０はまた、ユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンク７１８と、データ処理デバイスからユーザコンピュータシステムにデータを転送するための第２の一方向リンク７２２とを含む通信リンク７５４を含む。第１の一方向リンク７１８はハードウェア暗号化モジュール７２０を含み、第２の一方向リンク７２２はハードウェア復号モジュール７２４を含む。

【0324】

コンピューティング装置７００はまた、ＵＣＤ７４４からコントローラ７０４にコンピュータ画面データ及び／又はオーディオデータを転送するための第３の一方向リンク７０８と、ＵＣＤ７４４からＰＣＵ７０６にデータを転送するための第４の一方向リンク７１２と、（ＤＳＵ７３２を含む）ＩＰＵ７２６からＵＣＤ７４４にデータを転送するための第５の一方向リンク７３６と、周辺入力デバイス７３４から受信したユーザ入力をＵＣＤ７４４に中継するための第６の一方向リンク７３８とを含む。ＵＣＤ７４４、ＩＰＵ７２６、及びＰＣＵ７０６の間には、上記の一方向リンク以外の他の通信リンクは設けられていない。

【0325】

コンピューティング装置７００には、コントローラ７０４からコンピュータ画面データを受信及び表示するように構成されたモニタなどの少なくとも１つの出力デバイス７０２と、ＩＰＵ７２６にユーザ入力を提供するように構成されたキーボード及びマウスなどの少なくとも１つの周辺入力デバイス７３４と、ＰＣＵ７０６と双方向通信する、パスワード保護されたスマートカード又はハードウェアセキュリティモジュール（ＨＳＭ）などの第１のセキュリティトークン７１０と、ＩＰＵ７２６と双方向通信する第２のセキュリティトークン７２８と、ＰＣＵ７０６と双方向通信する第１の外部記憶デバイス７１４と、ＩＰＵ７２６と双方向通信する第２の外部記憶デバイス７３０とが更に含まれる。セキュリティトークン７１０、７２８及び外部記憶デバイス７１４、７３０は任意選択的であり、ＤＰＭ７４０がそのデータ操作を実行するために必須ではないことを理解すべきである。

【0326】

動作中、ＤＰＭ７４０は、セキュアシッククライアントとして採用することができる。図１７に示すように、ＤＰＭ７４０は、ゲートウェイ、この場合は、インターネットアクセスを有し、インターネット７４８を介してリモートサーバ７５２に接続することができるネットワーク化されたコンピュータデバイス、ＵＣＤ７４４に接続することができる。

【0327】

ＵＣＤ７４４はインターネットに接続されているため、ＵＣＤ７４４内の重要なデータを処理することは望ましくない場合がある。代わりに、ユーザは、ＰＣＵ７０６にビジネスアプリケーションなどのソフトウェアをインストールし、それを使用して機密及び重要なデータをローカルで処理することができる。ユーザはまた、ＤＳＵ７３２に機密データをローカルに保存することができる。ＵＣＤ７４４は、インターネットへのゲートウェイとして機能する、コンピュータに限定されない任意の種類のデバイスとすることができることが理解され得る。

【0328】

第１の一方向リンク７１８及びハードウェア暗号化器７２０は、ユーザがＰＣＵ７０６からＩＰＵ７２６に埋め込まれたＤＳＵ７３２にファイルを安全に移動させ、そこにファイルを暗号化形式で保存することを可能にし得る。第２の一方向リンク７２２及びオプションのハードウェア復号器７２４は、ユーザが閲覧、編集、又は処理のためにＤＳＵ７３２からＰＣＵ７０６にファイルを送信することを可能にする。第２の一方向リンク７２２はまた、ＰＣＵ７０６へのユーザ入力を中継してもよい。或いは、ユーザがＰＣＵ７０６に直接入力を提供するために、別個のセットの周辺入力デバイス（図示せず）をＰＣＵ７０６に接続することができる。

【0329】

外部データ記憶デバイス７１４及び７３０は、重要なファイルのバックアップ又は転送用に構成されてもよい。しかしながら、ＩＰＵ７２６及びＤＳＵ７３２にマルウェアを導入するとＤＰＭ７４０のセキュリティが損なわれるため、これらの外部記憶デバイスにマルウェアがないことを保証することが重要であることが理解され得る。

【0330】

任意選択で、パスワード保護されたスマートカード又はＨＳＭなどのセキュリティトークン７１０及び７２８を使用して、ユーザの暗号鍵を記憶することができる。或いは、セキュリティトークン７１０及び７２８は省略されてもよく、ユーザの暗号鍵はＩＰＵ７２６又はＤＳＵ７３２に記憶され、必要に応じてＰＣＵ７０６に送信されてもよい。

【0331】

したがって、ＤＰＭ７４０、特に通信リンク７５４の構成は、ＤＰＭ７４０が、ユーザ自身のデバイス（ＢＹＯＤ）の作業環境をもたらすなどの環境においてデータ保護を提供することを可能にすることができる。

【0332】

コンピューティング装置７００の使用方法の一例として、図１８は、ＰＣＵ７０６にアプリケーションソフトウェアをインストールし、アプリケーションソフトウェアを使用してＤＳＵ７３２から取得したデータセットを処理し、処理結果をＤＳＵ７３２に保存し、処理結果をリモートサーバ７５２に送信する方法を示す。以下、各ステップの詳細について説明する。

【0333】

ステップ８００において、ユーザは、ユーザのコンピューティングデバイスにまだインストールされていない新しいアプリケーションソフトウェアを使用してデータセットをローカルに処理することを望む。

【0334】

ステップ８０２において、ユーザは、所望のアプリケーションソフトウェアのインストーラをＵＣＤ７４４上にダウンロードする。

【0335】

ステップ８０４において、ソフトウェア、例えば上記の図４に記載されたＣＤ３データ処理アプリがＵＣＤ７４４内で実行されて、インストーラをＰＣＵ７０６に送信する。一実施形態では、ＵＣＤ７４４は、前述したように、ソフトウェアを実行するためにユーザによってオンにされるセキュアモードで構成される。

【0336】

ステップ８０６において、ユーザは、ＰＣＵ７０６にアプリケーションソフトウェアをインストールする。

【0337】

ステップ８０８において、ユーザは、新しいアプリケーションソフトウェアを開き、例えば前述のＣＤ２データ処理アプリを介してＩＰＵ７２６に、ＤＳＵ７３２からデータセットを取得し、それをＰＣＵ７０６にコピーするよう命令する。データセットは、ＤＳＵ７３２に暗号化形式で記憶されるので、処理に使用することができる前に、ハードウェア復号器７２４又はＰＣＵ７０６のいずれかで最初に復号される。

【0338】

ステップ８１０において、ユーザは、新たにインストールされたアプリケーションソフトウェアでデータセットを処理する。処理が完了した後、ユーザは、例えば図５に従って説明したようにＣＤ１データ処理アプリを実行することによって、処理結果をＤＳＵ７３２に保存するようにＰＣＵ７０６に指示する。処理結果は、ＰＣＵ７０６をＤＳＵ７３２に接続する一方向リンク７１８を介して、ＰＣＵ７０６からＤＳＵ７３２に転送される。転送時には、ハードウェア暗号化器７２０により処理結果が暗号化されることで、処理結果になりすましてＩＰＵ７２６に侵入しようとするマルウェアが暗号により無害化される。暗号鍵は、暗号化された処理結果とともにＤＳＵ７３２に送られる。

【0339】

ステップ８１２において、処理結果はＤＳＵ７３２に安全に記憶される。

【0340】

ステップ８１４において、ユーザは、処理結果をリモートサーバ７５２に送信することを望む。

【0341】

ステップ８１６において、ユーザは、前述したように、例えばＩＰＵ７２６上のＣＤ２データ処理アプリの実行を介して、ユーザの署名鍵を使用して暗号化処理結果のハッシュに署名するようにＤＳＵ７３２に指示する。処理結果を暗号化するために使用された鍵は、セッション鍵として使用され得る。或いは、ＩＰＵ７２６は、新しいセッション鍵を生成し、古い鍵を新しいセッション鍵で置き換えるために上記の図８に記載された方法を使用することができる。次いで、ＤＳＵ７３２は、セッション鍵及びリモートサーバの公開鍵をＰＣＵ７０６に送信する。リモートサーバの公開鍵が暗号化形式でＤＳＵ７３２に記憶されている場合、リモートサーバの公開鍵を復号するのに必要な復号鍵もＰＣＵ７０６に送信される。ハードウェア復号器７２４又はＰＣＵ７０６のいずれかが復号を実行して、リモートサーバの公開鍵を取得する。

【0342】

ステップ８１８において、ＰＣＵ７０６は、リモートサーバの公開鍵を使用してセッション鍵を暗号化する。その後、暗号化されたセッション鍵は、暗号化されたリンク７１８を介してＩＰＵ７２６に返送される。

【0343】

ステップ８２０において、ＩＰＵ７２６は、暗号化された処理結果と共に、暗号化されたセッション鍵及び署名をＵＣＤ７４４に送信し、ＵＣＤは、ハードウェア暗号化器７２０による暗号化を除去し、データをリモートサーバ７５２に転送する。

【0344】

図１９は、前述の実施形態と機能的に同様の第８の実施形態のコンピューティング装置９００を示す。第８の実施形態のコンピューティング装置９００は、インターネット９５６を介して双方向に接続されたユーザＡデバイス９６０及びユーザＢデバイス９６１の２つのユーザデバイスを備える。ユーザＡのデバイス９６０は、それ自体が内部記憶デバイス９３６を含む第１のコンピューティングデバイス（第１のプライベートコンピューティングデバイス、ＰＣＵ＿Ａ１）９１２を含む第１のユーザコンピュータシステムを含むデータ保護モジュール（ＤＰＭ）９４６と、コントローラ９１０と、それ自体がデータ記憶ユニット（ＤＳＵ＿Ａ）９２８を含む第２のコンピューティングデバイス（入力処理ユニットＩＰＵ＿Ａ）９４２を含むデータ処理デバイスとを含む。しかしながら、前述の実施形態とは対照的に、ＤＰＭ９４６は、第２のユーザコンピュータシステム（第２のプライベートコンピューティングデバイス、ＰＣＵ＿Ａ２）９１８を更に含む。コントローラは、ＰＣＵ＿Ａ１９１２とＰＣＵ＿Ａ２９１８の両方から受信したコンピュータ画面データ及び／又はオーディオデータ、並びに同様にユーザＡデバイス９６０に含まれる非セキュアコンピューティングデバイス（ＵＣＤ＿Ａ）９５０を出力デバイス９０４に転送するように構成される。ＵＣＤ＿Ａ９５０は、内部記憶デバイス９５２を備え、インターネット上の公衆網９５６を介してリモートユーザ（ＵｓｅｒＢ）９６０と接続される。

【0345】

ＤＰＭ９４６はまた、第１のユーザコンピュータシステムからデータ処理デバイスへデータを転送するための第１の一方向リンク９３０と、データ処理デバイスから第１のユーザコンピュータシステムへデータを転送するための第２の一方向リンク９３８とを含む第１の通信リンク９０１を含む。第１の一方向リンク９３０はハードウェア暗号化モジュール９３２を含み、第２の一方向リンク９３８はハードウェア復号モジュール９４０を含む。

【0346】

更に、ＤＰＭ９４６はまた、第２の通信リンク９０３を含み、第２の通信リンクは、第２のユーザコンピュータシステムからデータ処理デバイスにデータを転送するための第３の一方向リンク９２０と、データ処理デバイスから第２のユーザコンピュータシステムにデータを転送するための第４の一方向リンク９２６とを含む。第３の一方向リンク９２０はハードウェア暗号化モジュール９２２を含む。記載された実施形態では、第４の一方向リンク９２６には復号モジュールが含まれない。

【0347】

ユーザＡのデバイス９６０はまた、ＵＣＤ＿Ａ９５０からコントローラ９１０にコンピュータ画面データ及び／又はオーディオデータを転送するための第５の一方向リンク９０６と、ＵＣＤ＿Ａ９５０からＰＣＵ＿Ａ１９１２にデータを転送するための第６の一方向リンク９１６と、ＩＰＵ＿Ａ９４２からＵＣＤ＿Ａ９５０にデータを転送するための第７の一方向リンク９４４と、周辺入力デバイス９３４から受信したユーザ入力をＵＣＤ＿Ａ９５０に中継するための第８の一方向リンク９４８とを含む。ＵＣＤ＿Ａ、ＰＣＵ＿Ａ１、ＰＣＵ＿Ａ２、及びＩＰＵ＿Ａ間のデータの転送のための唯一の接続は、上記で説明され、図１９に示された一方向リンクであることを理解すべきである。

【0348】

ユーザＡのデバイスには、例えばコントローラ９１０から受信したコンピュータ画面データを表示するように構成されたモニタなどの、１つ以上の出力デバイス９０４と、ＩＰＵ＿Ａ９４２にユーザ入力を提供するように構成されたキーボード及びマウスなどの１つ以上の周辺入力デバイス９３４と、ＰＣＵ＿Ａ１９１２と双方向通信する、パスワード保護されたスマートカード又はＨＳＭなどの第１のセキュリティトークン９１４と、ＩＰＵ＿Ａ９４２と双方向通信する第２のセキュリティトークン９２４とが更に含まれる。セキュリティトークン９１４及び９２４はオプションであり、ＤＰＭ９４６がその機能を実行するために必須ではない。

【0349】

図１９から理解されるように、ＰＣＵ＿Ａ１９１２は、データがＵＣＤ＿Ａ９５０からＰＣＵ＿Ａ１９１２に移動することを可能にするが反対方向には移動しない第６の一方向リンク９１６を介してＵＣＤ＿Ａ９５０に接続される。動作中、ＰＣＵ＿Ａ１９１２は、ユーザが見るための着信メッセージを復号するためのユーザの秘密鍵を保持することができる。或いは、秘密鍵は、ＰＣＵ＿Ａ１９１２に接続されたパスワード保護されたスマートカード又はＨＳＭなどのセキュリティトークン９１４に記憶されてもよい。ユーザは、ＰＣＵ＿Ａ１９１２においてインターネットからダウンロードされたファイルを閲覧及び編集し、第１の一方向リンク９３０を介してＤＳＵ＿Ａ９２８にファイルを保存することができる。ハードウェア暗号化器９３２は、ＩＰＵ＿Ａ９４２及びＤＳＵ＿Ａ９２８がマルウェアを含まないことを保証するのを助けるために、第１の一方向リンク９３０を通過する全てのデータを暗号化する。

【0350】

ＰＣＵ＿Ａ２９１８は、個人の日記を書くこと、機密レポートをドラフティングすること、技術図面を作成することなどのプライベートなコンピューティング活動専用であってもよい。ＰＣＵ＿Ａ２９１８はＵＣＤ＿Ａ９５０に接続されていないため、ＵＣＤ＿Ａ９５０からスパイウェアやランサムウェアなどのマルウェアが侵入し、ＰＣＵ＿Ａ２９１８において悪意のある行為を行う可能性はない。

【0351】

ＰＣＵ＿Ａ２９１８はまた、セキュア通信のためにセッション鍵を暗号化するために使用され得る。ユーザが受信者に秘密メッセージを送信したい場合、ＩＰＵ＿Ａ９４２は、セッション鍵でメッセージを暗号化し、ＤＳＵ＿Ａ９２８から受信者の公開鍵を取得し、ＰＣＵ＿Ａ２９１８に受信者の公開鍵と共にセッション鍵を送信することができる。ＰＣＵ＿Ａ２９１８は、受信者の公開鍵を使用してセッション鍵を暗号化し、暗号化されたセッション鍵をＩＰＵ＿Ａ９４２に返送する。ＰＣＵ＿Ａ２はＵＣＤ＿Ａ９５０に接続されていないため、ＵＣＤ＿Ａ９５０を起源とするマルウェアがこのプロセスに干渉することは不可能であり得る。

【0352】

したがって、それぞれが異なる役割を有する複数のプライベートコンピューティングユニットを使用することができることが理解され得る。

【0353】

ユーザＢデバイス９６１は、ユーザＡデバイス９６０と同一の装置を備えてもよく、又は本明細書に記載の異なる実施形態に係るコンピューティング装置を含む異なるコンピューティング装置を備えてもよいことが想定される。したがって、コンピューティング装置９００は柔軟である。

【0354】

図２０は、図１９に示したユーザＡのデバイス９６０（以下、ユーザをＡｌｉｃｅと記載する）と同じアーキテクチャを有する、ユーザＡのデバイス９６０と、ユーザＢのデバイス９６１との間（すなわち、それぞれ「Ａｌｉｃｅ」と「Ｂｏｂ」との間）でセッション鍵を確立する方法の一例を示しており、すなわち、ユーザＢのデバイス９６１（以下、ユーザをＢｏｂと記載する）は、ユーザＡのデバイス９６０と同様に配置された、第１のプライベートコンピューティングデバイス、ＰＣＵ＿Ｂ１、それ自体がデータ記憶ユニット（ＤＳＵ＿Ｂ）を含む入力処理ユニット、ＩＰＵ＿Ｂ、第２のプライベートコンピューティングデバイス、ＰＣＵ＿Ｂ２、非セキュアコンピューティングデバイス（ＵＣＤ＿Ｂ）、及びそれらの間の対応する一方向リンクを含む。

【0355】

ステップ１００２において、セキュアモードで、Ａｌｉｃｅは、ＩＰＵ＿Ａ９４２上のセキュアメッセージングソフトウェアを開き、「接続要求」ボタンをクリックするか、又は他の同等の動作を実行して、「接続要求」プロセスをアクティブ化する。彼女は、Ｂｏｂの名前もしくは電子メールアドレス、又は何らかの他の形態の識別をキーとする。

【0356】

ステップ１００４において、Ａｌｉｃｅが自分のキーボード９３４で入力すると、ＩＰＵ＿Ａ９４２は、モニタ９０４が入力したものを画面上に表示できるように、第２の一方向リンク９３８を介して自分のキーストロークをＰＣＵ＿Ａ１９１２に送信する。

【0357】

ステップ１００６において、Ａｌｉｃｅは、入力が終了すると、「要求の送信」コマンドを入力するか、又はセキュアメッセージングソフトウェアのウィンドウに配置された「要求の送信」ボタンをクリックする。ＩＰＵ＿Ａ９４２は、Ａｌｉｃｅへのデータを暗号化するためのＡｌｉｃｅの公開鍵ＫｐｕｂＡと、関連する証明書ｃｅｒｔＡを有するＡｌｉｃｅの署名検証鍵ＫｖｅｒＡとを含むＡｌｉｃｅの要求メッセージをＵＣＵ＿Ａ９５０に送信する。

【0358】

ステップ１００８において、要求メッセージは、第７の一方向リンク９４４を介してＵＣＵ＿Ａ９５０によって受信される。

【0359】

ステップ１０１０において、ＵＣＵ＿Ａ９５０は、パブリックネットワーク９５６を介してＢｏｂにＡｌｉｃｅの要求メッセージを転送する。

【0360】

ステップ１０１２において、ＵＣＤ＿Ｂは、要求メッセージを受信し、それを対応する一方向リンクを介してＰＣＵ＿Ｂ１に転送する。

【0361】

ステップ１０１４において、Ａｌｉｃｅの要求メッセージを受信すると、ＰＣＵ＿Ｂ１は、Ａｌｉｃｅの証明書、ｃｅｒｔＡを検証する。これは、ＰＣＵ＿Ｂ１に既にインストールされているルート証明書を使用して行うことができる。

【0362】

ステップ１０１６において、Ａｌｉｃｅの証明書の検証に成功すると、Ａｌｉｃｅの要求がＢｏｂに通知される。通知は、コンピュータ画面に表示されるポップアップメッセージであってもよいし、Ｂｏｂの携帯電話に送信されるメッセージであってもよい。Ｂｏｂは、セキュアモードに切り替わり、ＩＰＵ＿Ｂ上のセキュアメッセージングソフトウェアを開き、セキュアメッセージングソフトウェアのウィンドウ上の「接続要求を受け付ける」ボタンをクリックするか、又は要求を受け付ける何らかの同等の動作を実行する。

【0363】

ステップ１０２０において、ＰＣＵ＿Ｂ１は、Ａｌｉｃｅの署名検証鍵ＫｖｅｒＡを保存し、記憶のためにＡｌｉｃｅの公開鍵ＫｐｕｂＡをＤＳＵ＿Ｂに送信する。

【0364】

ステップ１０２２において、ＫｐｕｂＡは、ＰＣＵ＿Ｂ１とＩＰＵ＿Ｂとを接続する対応する一方向リンクを介して移動するとき、ハードウェア暗号化器によって(KpubA XOR K1)になるように暗号化され、Ｋ１は暗号鍵である。簡単にするために、ここではＯＴＰ暗号化が想定されているが、ＡＥＳカウンタモードなどの他の暗号化方式も同様に使用することができる。ＯＴＰ暗号化の場合、(KpubA XOR K1)とＯＴＰ鍵Ｋ１の両方がＩＰＵ＿Ｂに含まれるＤＳＵ＿Ｂに保存される。

【0365】

ステップ１０２４において、ＩＰＵ＿Ｂは新しいセッション鍵Ｙを生成する。セッション鍵は、ＩＰＵ＿Ｂに接続されたハードウェアＲＮＧからＩＰＵ＿Ｂに供給されてもよく、又は暗号学的にセキュアＰＲＮＧなどからなどの他の手段を介して生成されてもよい。ＩＰＵ＿Ｂは、Ｙを(KpubA XOR K1)及びＫ１と共にＰＣＵ＿Ｂ２に送信する。

【0366】

ステップ１０２６において、ＩＰＵ＿ＢからＰＣＵ＿Ｂ２への対応する一方向リンクはハードウェア復号器を有さず、したがって、(KpubA XOR K1)は、リンクをトラバースするときに暗号化された形態のままである。

【0367】

ステップ１０２８において、ＰＣＵ＿Ｂ２は、KpubA(Y)を取得するために、鍵Ｋ１を使用してＫｐｕｂＡを復号し、ＫｐｕｂＡでＹを暗号化する。ＰＣＵ＿Ｂ２は、KpubA(Y)をＩＰＵ＿Ｂに送り返す。

【0368】

ステップ１０３０において、ＰＣＵ＿Ｂ２とＩＰＵ＿Ｂとを接続する対応する一方向リンク上のハードウェア暗号化器は、KpubA(Y)をKpubA(Y) XOR K2に暗号化し、ＩＰＵ＿ＢはKpubA(Y) XOR K2とＫ２の両方を受信し、Ｋ２はＯＴＰ鍵である。

【0369】

ステップ１０３２において、ＩＰＵ＿Ｂは、Ｂｏｂの署名鍵ＫｓｉｇｎＢを使用してKpubA(Y) XOR K2のハッシュに署名する。次に、Ｂｏｂの公開鍵ＫｐｕｂＢ、署名検証鍵ＫｖｅｒＢを含む応答メッセージを、関連する証明書ｃｅｒｔＢ、暗号化セッション鍵KpubA(Y) XOR K2、鍵Ｋ２、及び署名KsignB(hash(KpubA(Y) XOR K2))と共にＵＣＤ＿Ｂに送信する。

【0370】

ステップ１０３４において、Ｂｏｂの応答メッセージがＩＰＵ＿ＢからＵＣＤ＿Ｂに一方向リンクを介して送信される。

【0371】

ステップ１０３６において、ＵＣＤ＿Ｂは、パブリックネットワーク９５６を介してＡｌｉｃｅにＢｏｂの返信メッセージを転送する。

【0372】

ステップ１０３８において、Ｂｏｂの応答メッセージを受信すると、ＵＣＵ＿Ａ９５０は、それを第６の一方向リンク９１６を介してＰＣＵ＿Ａ１９１２に転送する。

【0373】

ステップ１０４０において、ＰＣＵ＿Ａ１９１２は、ＰＣＵ＿Ａ１９１２に既にインストールされているルート証明書を使用して、Ｂｏｂの証明書であるｃｅｒｔＢを検証する。ＰＣＵ＿Ａ１９１２は、KpubA(Y) XOR K2のハッシュを計算し、Ｂｏｂの署名検証鍵ＫｖｅｒＢを使用して、KsignB(hash(KpubA(Y) XOR K2))が実際にＢｏｂによって署名されていることを検証する。

【0374】

ステップ１０４２で、ＰＣＵ＿Ａ１９１２は、最初に受信した鍵Ｋ２を使用してKpubA(Y) XOR K2を復号し、次にＡｌｉｃｅの秘密鍵ＫｐｒｉｖＡを使用してKpubA(Y)を復号することにより、セッション鍵Ｙを取得する。ＰＣＵ＿Ａ１９１２は、セッション鍵Ｙをローカルに記憶する。

【0375】

ステップ１０４４において、Ｂｏｂの証明書、ｃｅｒｔＢ、及びＢｏｂの署名の検証に成功し、セッション鍵Ｙを取得するためのKpubA(Y)の復号に成功すると、Ｂｏｂの応答がＡｌｉｃｅに通知される。通知は、モニタ９０４に表示されるポップアップメッセージであってもよい。Ａｌｉｃｅは、「受諾」ボタンをクリックすることによって、又は同等の動作を実行することによって応答を受諾する。

【0376】

ステップ１０４８において、ＰＣＵ＿Ａ１９１２は、Ｂｏｂの署名検証鍵ＫｖｅｒＢを内部記憶デバイス９３６にローカルに保存し、Ｂｏｂの公開鍵ＫｐｕｂＢをＤＳＵ＿Ａ９２８に送信して記憶させる。好ましくは、ＰＣＵ＿Ａ１９１２はまた、記憶のためにＫｖｅｒＢのコピーをＤＳＵ＿Ａ９２８に送信する。

【0377】

ステップ１０５０において、ＫｐｕｂＢがＰＣＵ＿Ａ１９１２からＩＰＵ９４２への一方向リンク９３０上を移動すると、ハードウェア暗号化モジュール９３２は、ＫｐｕｂＢをKpubB XOR K3に暗号化し、Ｋ３はＯＴＰ鍵である。KpubB XOR K3とＫ３の両方がＤＳＵ＿Ａ９２８に記憶される。

【0378】

ステップ１０５２において、ＩＰＵ＿Ａ９５０は、新しいセッション鍵Ｘを生成し、KpubB XOR K3及びＫ３と共にＸをＰＣＵ＿Ａ２９１８に送信する。

【0379】

ステップ１０５４において、ＩＰＵ＿Ａ９４２とＰＣＵ＿Ａ２９１８とを接続する第４の一方向リンク９２６はハードウェア復号器を有さず、したがって、KpubB XOR K3は、リンクをトラバースするときに暗号化形式のままである。

【0380】

ステップ１０５６で、ＰＣＵ＿Ａ２９１８は、鍵Ｋ３を使用してKpubB XOR K3を復号してＫｐｕｂＢを取得し、ＫｐｕｂＢを使用してセッション鍵Ｘを暗号化してKpubB1(X)を取得する。

【0381】

ステップ１０５８において、ＰＣＵ＿Ａ２９１８は、第３の一方向リンク９２０を介してKpubB(X)をＩＰＵ＿Ａ９５０に送り返す。ハードウェア暗号化モジュール９２２は、KpubB(X)を暗号化してKpubB(X) XOR K4を取得し、KpubB XOR K4とＯＴＰ鍵Ｋ４の両方をＩＰＵ＿Ａ９４２に送信する。

【0382】

ステップ１０６０において、ＩＰＵ＿Ａ９４２は、Ａｌｉｃｅの署名鍵ＫｓｉｇｎＡを使用してKpubB(X) XOR K4のハッシュに署名し、KpubB(X) XOR K4、KsignA(hash(KpubB(X) XOR K4))及びＫ４を含む確認応答メッセージをＵＣＤ＿Ａ９５０に送信する。

【0383】

ステップ１０６２において、確認応答メッセージは、第７の一方向リンク９４４を介してＵＣＤ＿Ａ９５０によって受信される。

【0384】

ステップ１０６４において、ＵＣＤ＿Ａ９５０は、パブリックネットワーク９５６を介してＢｏｂへ確認応答メッセージを送信する。

【0385】

ステップ１０６６で、Ａｌｉｃｅの確認応答メッセージを受信すると、ＵＣＵ＿Ｂは、対応する一方向リンクを介してメッセージをＰＣＵ＿Ｂ１に転送する。

【0386】

ステップ１０６８において、ＰＣＵ＿Ｂ１は、まず、KpubB(X) XOR K4のハッシュを計算してハッシュ(KpubB(X) XOR K4)を取得し、次に、Ａｌｉｃｅの署名検証鍵ＫｖｅｒＡを使用して、KsignA(hash(KpubB(X) XOR K4))がＡｌｉｃｅによって実際に署名されていることを検証する。

【0387】

ステップ１０７０で、ＰＣＵ＿Ｂ１は、受信した鍵Ｋ４及びＢｏｂの秘密鍵ＫｐｒｉｖｂＢを使用してKpubB(X) XOR K4を復号してセッション鍵Ｘを取得する。ＰＣＵ＿Ｂ１は、セッション鍵Ｘをローカルに記憶する。

【0388】

図２０に示す方法の実行に続いて、Ａｌｉｃｅ及びＢｏｂは、セッション鍵Ｘ及びＹを使用して安全に通信することができる。図２１に両者間の通信方法を示す。

【0389】

ステップ１０７２で、ＡｌｉｃｅはＩＰＵ＿Ａ９４２に自分のメッセージｍを構成する。

【0390】

ステップ１０７４において、ユーザのキーストロークは、ユーザがモニタ９０４上で何をタイプしているかを見るために、第２の一方向リンク９３８を介してリアルタイムでＰＣＵ＿Ａ１９１２に送信される。

【0391】

ステップ１０７６において、Ａｌｉｃｅは、自分のメッセージをタイプし終えると、セキュアメッセージングソフトウェアのウィンドウに配置された「暗号化して送信」ボタンをクリックする。或いは、ユーザは、対応するコマンドをＩＰＵ＿Ａ９４２に入力するか、又は同等の動作を実行して「暗号化して送信」機能を開始することができる。ＩＰＵ＿Ａ９４２は、ＡＥＳ－２５６などの合意された対称暗号を使用してセッション鍵Ｘを用いてｍを暗号化してAESX(m)を取得し、Ａｌｉｃｅの署名鍵ＫｓｉｇｎＡを使用してｍのハッシュに署名してKsignA(hash(m))を取得する。

【0392】

ステップ１０７８において、ＩＰＵ＿Ａ９４２は、暗号化されたメッセージAESC(m)及び署名KsignA(hash(m))をＵＣＤ＿Ａ９５０に送信する。

【0393】

ステップ１０８０では、暗号化及び署名されたメッセージは、第７の一方向リンク９４４をＵＣＤ＿Ａ９５０へトラバースする。

【0394】

ステップ１０８２において、ＵＣＤ＿Ａ９５０は、パブリックネットワーク９５６を介して暗号化されたメッセージ及び署名をＢｏｂに転送する。

【0395】

ステップ１０８４で、ＵＣＵ＿Ｂ９８２は、Ａｌｉｃｅから受信したメッセージを、対応する一方向リンクを介してＰＣＵ＿Ｂ１に転送する。

【0396】

ステップ１０８６において、ＰＣＵ＿Ｂ１は、Ａｌｉｃｅのメッセージｍを取得するために、セッション鍵Ｘを使用してAESC(m)を復号する。ＰＣＵ＿Ｂ１は、ｍをハッシュしてhash(m)を取得し、Ａｌｉｃｅの署名検証鍵ＫｖｅｒＡを使用して、KsignA(hash(m))が実際にＡｌｉｃｅによって署名されていることを検証する。ＡｌｉｃｅのメッセージはＢｏｂのモニタディスプレイに表示される。ＢｏｂはＡｌｉｃｅのメッセージを読む。

【0397】

ステップ１０８８において、Ｂｏｂは自分の応答ｒを構成する。

【0398】

ステップ１０９０において、Ｂｏｂがキーボードで入力すると、Ｂｏｂのキーストロークは、対応する一方向リンクを介してリアルタイムでＰＣＵ＿Ｂ１に送信され、Ｂｏｂはモニタ画面に入力されている内容を見ることができる。

【0399】

ステップ１０９２において、Ｂｏｂは、完了すると、セキュアメッセージングソフトウェアのウィンドウに配置された「暗号化して送信」ボタンをクリックするか、又は同等の動作を実行する。ＩＰＵ＿Ｂは、AESY(r)を取得するために、この例ではＡＥＳ－２５６である合意された対称暗号を使用してセッション鍵Ｙでｒを暗号化し、KsignB(hash(r))を取得するためにＢｏｂの署名鍵ＫｓｉｇｎＢを使用してｒのハッシュに署名する。

【0400】

ステップ１０９４において、ＩＰＵ＿Ｂは、暗号化応答AESY(r)及び署名KsignB(hash(r))をＵＣＤ＿Ｂに送信する。

【0401】

ステップ１０９６において、暗号化された返信及び署名は、ＵＣＤ＿Ｂへの対応する一方向リンクをトラバースする。

【0402】

ステップ１０９８において、ＵＣＤ＿Ｂは、暗号化された返信及び署名をパブリックネットワーク９５６を介してＡｌｉｃｅに転送する。

【0403】

ステップ１０１００において、ＵＣＤ＿Ａ９５０は、Ｂｏｂから受信したメッセージを第６の一方向リンク９１６を介してＰＣＵ＿Ａ１９１２に転送する。

【0404】

ステップ１０１０２において、ＰＣＵ＿Ａ１９１２は、セッション鍵Ｙを使用してAESY(r)を復号し、Ｂｏｂの応答ｒを取得する。ＰＣＵ＿Ａ１９１２は、hash(r)を取得するためにｒをハッシュし、Ｂｏｂの署名検証鍵ＫｖｅｒＢを使用して、KsignB(hash(r))が実際にＢｏｂによって署名されていることを検証する。Ａｌｉｃｅのメッセージはモニタディスプレイ９６４に表示される。ＡｌｉｃｅはＢｏｂの回答を読む。

【0405】

通信は、それらのうちの１つがセッションを終了するまで継続する。

【0406】

図２０及び図２１の方法では、２つのセッションキーＸ及びＹがあることを理解すべきである。セッション鍵Ｘは、ＡｌｉｃｅのＩＰＵ＿Ａ９４２がメッセージを暗号化し、ＢｏｂのＰＣＵ＿Ｂ１がＡｌｉｃｅのメッセージを復号するためのものであり、セッション鍵Ｙは、ＢｏｂのＩＰＵ＿Ｂが彼のメッセージを暗号化し、ＡｌｉｃｅのＰＣＵ＿Ａ１９１２がＢｏｂのメッセージを復号するためのものである。

【0407】

ＵＣＵ＿Ａ９５０及びＵＣＵ＿Ｂ９８２は、ＳＳＬ／ＴＬＳ又はＩＰｓｅｃなどの標準的なセキュア通信プロトコルを利用することができることが想定されている。ＤＰＭ９４６を使用すると、サイバー攻撃又はゼロデイ脆弱性により、ＵＣＵ＿Ａ９５０及びＵＣＵ＿Ｂ９８２又は標準的なセキュア通信プロトコルのメッセージングソフトウェアのセキュリティが１日で損なわれた場合でも、通信されるメッセージはエンドツーエンドで暗号化される。

【0408】

前述した例示的な方法は、鍵確立及びセキュアデータ通信という同じ目的を達成するために様々な方法で修正することができる。例えば、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵交換は、同様の構成を使用して実行され得る。

【0409】

ＤＰＭ９４６は、集積チップ（ＩＣ）又はシステムオンチップ（ＳｏＣ）に統合することができ、スマートフォン、タブレットなどであるがこれらに限定されない携帯型又はハンドヘルドコンピューティングデバイスに埋め込むのに適している。前述した他の実施形態と同様に、そのようなデバイスに実装されると、ＤＰＭ９４６は、ユーザが安全に通信し、ユーザをスパイウェアやランサムウェアなどのマルウェアから保護することを可能にすることができる。

【0410】

図２２は、先に説明した実施形態と機能的に同様の第９の実施形態のコンピューティング装置１１００を示す。第９の実施形態のコンピューティング装置１１００は、デュアルタッチスクリーンスマートフォンの形態である。

【0411】

コンピューティング装置１１００は、第１のコンピューティングデバイス（プライベートコンピューティングデバイス、ＰＣＵとも呼ばれる）１１２２と、第１のコントローラ１１０６と、第１のコントローラ１１０６から画面データを受信するように構成された第１のタッチスクリーン１１０２とを含む第１のユーザコンピュータシステムを含むデータ保護モジュール（ＤＰＭ）１１４２と、第２のコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１１３６及びデータ記憶ユニット（ＤＳＵ）１１３２を含むデータ処理デバイスとを含む。ＤＰＭ１１４２は、第１のタッチスクリーン１１０２からユーザ入力データを受信し、ユーザ入力データをＩＰＵ１１３６又は別のコントローラ１１４８に転送するように構成されたセレクタスイッチ１１４４を更に含む。

【0412】

ＤＰＭ１１４２はまた、第１のユーザコンピュータシステムからデータ処理デバイスへデータを転送するための第１の一方向リンク１１２８と、データ処理デバイスから第１のユーザコンピュータシステムへデータを転送するための第２の一方向リンク１１２４とを含む第１の通信リンクを含む。第１の一方向リンク１１２８はハードウェア暗号化モジュール１１２６を含み、第２の一方向リンク１１２４はハードウェア復号モジュール１１３０を含む。

【0413】

コンピューティング装置１１００は、非セキュアコンピューティングデバイス（ＵＣＤ）１１１６と、更なるデータ記憶デバイス１１５０と、第２のコントローラ１１１２と、第２のコントローラ１１１２から画面データを受信するように構成された第２のタッチスクリーン１１０４と、ネットワークインタフェース１１１８と、セレクタスイッチ１１４４を介して第２のタッチスクリーン１１０４から、又は第１のタッチスクリーン１１０２からユーザ入力データを受信し、ユーザ入力データをＵＣＤ１１１６に転送するように構成された第３のコントローラ１１４８と、を含むネットワーク化されたコンピュータシステム１１５２を更に含む。

【0414】

コンピューティング装置１１００は、第２のコントローラ１１１２から第１のコントローラ１１０８にデータを転送するための第３の一方向リンク１１０８と、ＵＣＤ１１１６からＰＣＵ１１２２にデータを転送するための第４の一方向リンク１１１０と、ＩＰＵ１１３６からＵＣＤ１１１６にデータを転送するための第５の一方向リンク１１３８と、セレクタスイッチ１１４４から第３のコントローラ１１４８にデータを転送するための第６の一方向リンク１１４６と、第１のタッチスクリーン１１０２からセレクタスイッチ１１４４にユーザ入力データを転送するための第７の一方向リンク１１１４と、セレクタスイッチ１１４４からＩＰＵ１１３６にデータを転送するための第８の一方向リンク１１３４と、第３のコントローラ１１４８からＵＣＤ１１１６にデータを転送するための第９の一方向リンク１１４０と、第２のタッチスクリーン１１０４から第３のコントローラ１１４８にユーザ入力データを転送するための第１０の一方向リンク１１２０とを更に含む。ＰＣＵ１１２２、ＩＰＵ１１３６、ＵＣＤ１１１６、並びにタッチスクリーン１１０２、１１０４とコントローラ１１０６、１１１２、及び１１５０との間でデータを転送するために、前述の一方向リンクのみが提供されることを理解すべきである。

【0415】

使用時には、通常モード（通常モードを選択するように動作可能なセレクタスイッチ１１４４）の下で、ＩＰＵ１１３６は無効にされる。ＩＰＵ１１３６とＵＣＵ１１１６とを接続する第５の一方向リンク１１３８も無効にされる。ユーザは、プライベートデータ又は機密データを含まないアプリケーションのためにタッチスクリーン１１０２、１１０４の両方を使用することができる。第１のタッチスクリーン１１０２からのユーザ入力は、第７の一方向リンク１１１４、第６の一方向リンク１１４６及び第９の一方向リンク１１４０を含む経路を介してＵＣＵ１１１６に向けることができる。ＵＣＤ１１１６からの画面画像は、第２のコントローラ１１１２並びに第１のコントローラ１１０６及び第３の一方向リンク１１０８を通過して、第１のタッチスクリーン１１０２上に表示されるとともに、第２のタッチスクリーン１１０４上に表示され得る。ＵＣＤ１１１６は、ネットワークインタフェース１１１８を介して外部ネットワークに接続される。ユーザがプライベートデータ及び機密データを入力、閲覧、又は編集したい場合、ユーザは、セレクタスイッチ１１４４をフリップするか、スマートフォン上のボタン（図示せず）を押すか、又はセキュアモードを起動するための何らかの同等の動作を実行する。セキュアモードでは、第１のタッチスクリーン１１０２からのユーザ入力は、代わりに、第７の一方向リンク１１１４及び第８の一方向リンク１１３４を介してＩＰＵ１１３６に向けられる。第１のタッチスクリーン１１０２は、ＰＣＵ１１２２の画面を表示するように構成されてもよく、第２のタッチスクリーン１１０４は、ＵＣＤ１１１６の画面を表示するように構成されてもよい。

【0416】

スマートフォンのカメラ及びマイクロフォン（図示せず）もＩＰＵ１１３６に接続され得る。前述したように、上記の構成は、ＩＰＵ１１３６及びデータストレージ１１３２がマルウェアを含まない可能性があることを意味する。ＤＰＭ１１４２におけるプライベートデータ及び機密データの入力、閲覧、及び編集は、スパイウェアから保護することができる。データ記憶ユニット１１３２に記憶されているチャット記録、プライベートメッセージ、電子メール、写真などのプライベート及び機密データも、ランサムウェアから保護することができる。

【0417】

上記の概念は、単一の画面又は複数の画面を有するスマートフォン、タブレット、又は他のポータブル／モバイルデバイスにも適用できることが想定される。単一画面デバイスの場合、画面は２つのより小さい画面に分割され、一方のより小さい画面はプライベート及び機密データを表示し、他方のより小さい画面は非プライベート及び非機密データを表示する。複数画面スマートフォンの場合、画面の１つ以上は、プライベートデータ及び機密データを入力、閲覧、又は編集するように構成され得る。

【0418】

図２３は、前述の実施形態と機能的に同様の第１０の実施形態のコンピューティング装置１１１００を示す。第１０の実施形態のコンピューティング装置１１１００は、ハンドヘルド又はデスクトップデバイスの形態のデータ保護モジュール（ＤＰＭ）１１１４２と、例えばタブレット又はラップトップなどのネットワークコンピュータシステム１１１５２とを含む。ＤＰＭ１１１１４２は、ネットワーク化されたコンピュータシステム１１１５２から物理的に分離されているが、例えば、ＵＳＢ又はイーサネットなどの有線接続、又はＢｌｕｅｔｏｏｔｈ又はＷｉ－Ｆｉなどの無線接続を介して、接続１１１６４を介して着脱可能に接続されている。

【0419】

ＤＰＭ１１１４２は、第１のコンピューティングデバイス（プライベートコンピューティングデバイス、ＰＣＵとも呼ばれる）１１１２２と、第１のタッチスクリーン１１１０２と、第２のコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１１１３６及びデータ記憶ユニット（ＤＳＵ）１１１３２を含むデータ処理デバイスとを含む。ＤＰＭ２１１４２は、ＩＰＵ１１１３６及び通信インタフェース１１１６２に入力を提供するように構成されたカメラ及び／又はマイクロフォン１１１７２の形態の周辺入力デバイスを更に含む。

【0420】

ＤＰＭ１１１４２はまた、第１のユーザコンピュータシステムからデータ処理デバイスへデータを転送するための第１の一方向リンク１１１２８と、データ処理デバイスから第１のユーザコンピュータシステムへデータを転送するための第２の一方向リンク１１１２４とを含む第１の通信リンクを含む。第１の一方向リンク１１１２８はハードウェア暗号化モジュール１１１２６を含み、第２の一方向リンク１１１２４はハードウェア復号モジュール１１１３０を含む。

【0421】

ＤＰＭ１１１４２は、通信インタフェース１１１６２からＰＣＵ１１１２２にデータを転送するための第３の一方向リンク１１１６０と、ＩＰＵ１１１３６から通信インタフェース１１１６２にデータを転送するための第４の一方向リンク１１１７０と、
ＰＣＵ１１１２２から第１のタッチスクリーン１１１０２に画面データを転送するための第５の一方向リンク１１１５６と、タッチスクリーン１１１０２からＩＰＵ１１１３６にユーザ入力データを転送するための第６の一方向リンク１１１１４とを更に含む。

【0422】

ネットワークコンピュータシステム１１１５２は、非セキュアコンピューティングデバイス（ＵＣＤ）１１１１６と、更なるデータ記憶デバイス１１１５０と、第２のタッチスクリーン１１１０４と、ネットワークインタフェース１１１１８と、更なるカメラ及び／又はマイクロフォン１１１７４の形態の更なる周辺入力デバイスと、第２の通信インタフェース１１１６６とを含む。

【0423】

接続１１１６４は、第１の通信インタフェース１１１６２と第２の通信インタフェース１１１６６との間にあることが理解され得る。

【0424】

データは、前述したリンクのうちの１つ以上を介してのみ、ＰＣＵ１１１２２、ＩＰＵ１１１３６、及びネットワークコンピュータシステム１１１５２の間で転送され得ることを理解すべきである。

【0425】

通信インタフェース１１１６２からＰＣＵ１１１２２への一方向リンク１１１６０は、データがＰＣＵ１１１２２内に一方向にのみ転送でき、ＰＣＵからは転送できないようにする。同様に、ＩＰＵ１１１３６から通信インタフェース１１１６２への一方向リンク１１１７０は、データがＩＰＵ１１１３６から一方向にのみ転送でき、ＩＰＵには転送できないようにする。プライベート写真を撮影し、プライベートオーディオを記録するためのカメラ及びマイクロフォン１１１７２は、ＵＣＤ１１１１６ではなくＤＰＭ１１１４２のＩＰＵ１１１３６に接続されることが想定される。ＵＣＤ１１１６に接続される更なるカメラ及びマイクロフォン１１１７４は、非感受性用途にのみ使用されることが想定される。

【0426】

任意選択で、ＤＰＭ１１１４２は、ユーザがネットワーク化されたコンピュータシステム１１１５２（例えば、スマートフォン）と共に携帯するスマートフォンのようなデバイスの形態であってもよいことが想定される。或いは、ＤＰＭ１１１４２は、タブレット又は他の形態のポータブルコンピューティングデバイスの形態であってもよい。限定するものではないが、通信リンク１１１６４は、ＤＰＭ１１１４２と非セキュアコンピューティングデバイス１１１５２（例えば、スマートフォン又はラップトップコンピュータ）との間のデータの転送を達成するＢｌｕｅｔｏｏｔｈ、Ｚｉｇｂｅｅなどの任意の通信手段で実装することができる。

【0427】

図２４は、単一のタッチスクリーン２１１０２を有するスマートフォンの形態の第１１の実施形態のコンピューティング装置２１１００を示す。第１０の実施形態のコンピューティング装置２１１００は、第１のユーザとして、第１のコンピューティングデバイス（プライベートコンピューティングデバイス、ＰＣＵとも呼ばれる）２１１２２と、タッチスクリーン２１１０２と、コントローラ２１１０６とを含む第１のユーザコンピュータシステムを含むデータ保護モジュール（ＤＰＭ）２１１４２と、第２のコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）２１１３６、セキュアデータストレージ２１１３２、及びセレクタスイッチ２１１４４を含むデータ処理デバイスとを含む。

【0428】

ＤＰＭ２１１４２は、非セキュアコンピューティングユニット（ＵＣＵ）２１１１６と、更なるデータ記憶デバイス２１１５０と、ネットワークインタフェース２１１１８とを含むネットワークコンピュータシステムを更に含む。

【0429】

ＤＰＭ２１１４２はまた、第１のユーザコンピュータシステムからデータ処理デバイスへデータを転送するための第１の一方向リンク２１１２８と、データ処理デバイスから第１のユーザコンピュータシステムへデータを転送するための第２の一方向リンク２１１２４とを含む第１の通信リンクを含む。第１の一方向リンク２１１２８はハードウェア暗号化モジュール２１１２６を含み、第２の一方向リンク２１１２４はハードウェア復号モジュール２１１３０を含む。

【0430】

ＤＰＭ２１１４２は、画面データをＵＣＵ２１１１６からコントローラ２１１０６に転送するための第３の一方向リンク２１１０８と、データをＵＣＵ２１１１６からＰＣＵ２１１２２に転送するための第４の一方向リンク２１１１０と、データをＩＰＵ２１１３６からＵＣＵ２１１１６に転送するための第５の一方向リンク２１１３８と、ユーザ入力データをセレクタスイッチ２１１４４からＵＣＵ２１１１６に転送するための第６の一方向リンク２１１４６と、ユーザ入力データをセレクタスイッチ２１１４４からＩＰＵ２１１３６に転送するための第７の一方向リンク２１１３４と、ユーザ入力データをタッチスクリーン２１１０２からセレクタスイッチ２１１４４に転送するための第８の一方向リンク２１１１４とを更に含む。データは、前述した一方向リンクのうちの１つ以上を介してのみ、ＵＣＵ２１１１６、ＰＣＵ２１１２２、及びＩＰＵ２１１３６の間で転送され得ることを理解すべきである。

【0431】

コンピューティング装置２１１００はまた、ＵＣＵ２１１１６との双方向インタフェース２１１７８を介して双方向通信する外部記憶デバイス２１１８０を含む。

【0432】

単一のタッチスクリーン２１１０２は、コントローラ２１１０６を介してＰＣＵ２１１２２及びＵＣＵ２１１１６によって共有される。重要なデータは、ＩＰＵ２１１３６に接続されたセキュアデータストレージ２１１３２に記憶される。インタフェース２１１７８は、ＵＳＢ、Ｂｌｕｅｔｏｏｔｈなどの形態であり、ＵＣＵ２１１１６への外部記憶デバイス２１１８０の接続を可能にする。ユーザは、バックアップ又は何らかの他の目的のために、暗号化された形式でセキュアデータストレージ２１１３２から外部記憶デバイス２１１８０にデータを転送することができる。データがたどる経路は、ＩＰＵ２１１３６を介して第５の一方向リンク２１１３８を介してＵＣＵ２１１１６に至り、次いでインタフェース２１１７８を介して外部記憶デバイス２１１８０に至る。ユーザは、外部記憶デバイス２１１８０からセキュアデータストレージ２１１３２にファイルを転送することもできる。この場合のデータがとる経路は、インタフェース２１１７８を介してＵＣＵ２１１１６に、第４の一方向リンク２１１１０を介してＰＣＵ２１１２２に、そして（処理中にデータがハードウェア暗号化モジュール２１１２６を介して暗号化される）第１の一方向リンク２１１２８を介してＩＰＵ２１１３６に、そしてセキュアデータストレージ２１１３２に至る。ハードウェア暗号化モジュール２１１２６によって使用される暗号鍵は、セキュアデータストレージ２１１３２にも記憶され得る。ＩＰＵ２１１３６では、必要に応じて、先に図８を参照して説明したようなセキュア暗号化変換が行なわれてもよい。

【0433】

図２５は、前述の実施形態と機能的に同様であるが、ＤＰＭが、ユーザのコンピューティングデバイスの形態である外部の非セキュアコンピューティングデバイス（ＵＣＤ）及び外部のプライベートコンピューティングデバイス（ＰＣＤ）に接続されている、第１２の実施形態のコンピューティング装置１２００を示す。

【0434】

したがって、第１２の実施形態のコンピューティング装置１２００は、第１のコンピューティングデバイス（プライベートコンピューティングデバイス、ＰＣＤとも呼ばれる）１２１４、例えばユーザの既存のプライベートコンピューティングデバイスの形態のユーザコンピュータシステムと、第２のコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１２３８及びデータ記憶ユニット（ＤＳＵ）１２４２を含むデータ処理デバイスを含むデータ保護モジュール（ＤＰＭ）１２５０とを含む。ＤＰＭ１２５０はまた、コントローラ１２３２を含む。コンピューティング装置１２００はまた、キーボードの形態でＩＰＵ１２３６に接続された周辺入力デバイス１２４８と、コントローラ１２３２からコンピュータ画面データ又はオーディオデータを受信する出力デバイス１２０２とを含む。

【0435】

コンピューティング装置１２００は、非セキュアコンピューティングデバイス（ＵＣＤ）１２２６、例えば、内部記憶デバイス１２４０を含むユーザの既存の非セキュアコンピューティングデバイス自体を更に含む。周辺入力デバイス１２５４は、ユーザ入力をＵＣＤ１２２６に提供する。出力デバイス１２０８は、ユーザのためにコンピュータ画面を表示し、又は音声を再生する。

【0436】

本明細書でＡｌｉｃｅと呼ばれるユーザは、鍵配布サービス（ＫＤＳ）プロバイダ１２６０から受信したセッション鍵を使用して、リモートユーザＢｏｂ１２６４と安全に通信する。ＵＣＤ１２２６は、インターネット１２３０を介して、Ｂｏｂ１２６４及びＫＤＳプロバイダ１２６０と接続されている。

【0437】

前述の実施形態のコンピューティング装置のように、ＤＰＭ１２５０はまた、ユーザのコンピュータシステムからデータ処理デバイスにデータを転送するための第１の一方向リンク１２１２と、データ処理デバイスからユーザのコンピュータシステムにデータを転送するための第２の一方向リンク１２１６とを含む通信リンクを含み、具体的には、第１の一方向リンク１２１２は、ＰＣＤ１２１４からＤＳＵ１２４４にデータを転送するように構成され、第２の一方向リンクは、ＤＳＵ１２４４からＰＣＤ１２１４にデータを転送するように構成される。第１の一方向リンク１２１２はハードウェア暗号化モジュール１２１８を含み、第２の一方向リンク１２１６はハードウェア復号モジュール１２２０を含む。

【0438】

コンピューティング装置１２００はまた、ＵＣＤ１２２６からＰＣＤ１２１４にデータを転送するための第３の一方向リンク１２２４と、ＰＣＤ１２１４からコントローラ１２３２に画面データを転送するための第４の一方向リンク１２０４と、ＤＳＵ１２４２からコントローラ１２３２に画面データを転送するための第５の一方向リンク１２４２と、ＩＰＵ１２３６からＤＳＵ１２４４にデータを転送するための第６の一方向リンクと、ＩＰＵ１２３６からＰＣＤ１２１４にデータを転送するための第７の一方向リンク１２２２と、ＤＳＵ１２４４からＵＣＤ１２２６にデータを転送するための第８の一方向リンク１２３８と、を含む。

【0439】

記載された実施形態では、ＤＰＭ１２５０は、鍵配布サービス（ＫＤＳ）プロバイダ１２６０と共有される事前共有鍵及び鍵暗号鍵（ＫＥＫ）、並びにＫＤＳプロバイダ１２６０によって配信されるセッション鍵を保護するために用いられる。

【0440】

ＫＤＳプロバイダ１２６０は、セキュア通信を希望する登録ユーザにセッション鍵を配信する。説明した実施形態によれば、これを行うために、ＫＤＳプロバイダ１２６０は、まず、その全ての登録ユーザと事前共有鍵を共有する。例えば、モジュールをユーザに渡す前に、事前共有鍵がＤＰＭ１２５０内に予めインストールされてもよいし、登録中に事前共有鍵がユーザに提供されてもよい。一例の方法は、登録中に事前共有鍵をＩＰＵ１２３６に自動的に入力するバーコード又はＱＲコード（登録商標）をスキャンするために、ＩＰＵ１２３６に接続されたウェブカメラを使用することであり得る。或いは、ユーザは、提供された事前共有鍵をＩＰＵ１２３６に手動で入力してもよい。その後、ＫＥＫは、鍵導出関数を用いて事前共有鍵から導出され得る。事前共有鍵及びＫＥＫは、ＤＳＵ１２３４に安全に記憶することができる。ＫＤＳプロバイダから受信されるセッション鍵は、ユーザがＩＰＵ１２３６に入力するメッセージを暗号化するためにＤＳＵ１２４４で使用される。

【0441】

ケルベロースなどの鍵配布方法では、ＫＤＳプロバイダ１２６０は、ＫＥＫを使用して、登録されたユーザにオンデマンドでセッション鍵を配信することができる。そのような方法の利点は、それらが公開鍵インフラストラクチャ（ＰＫＩ）に基づいておらず、したがってＰＫＩの全ての潜在的な欠点がないことである。しかしながら、１つの欠点は、事前共有鍵、ＫＥＫ、及びセッション鍵が、通常はインターネットに接続され、スパイウェア及びサイバー攻撃を受けやすいユーザのコンピューティングデバイスに記憶されるべきであることである。攻撃者は、マルウェアを使用して鍵のセキュリティを侵害する可能性がある。対照的に、記載された実施形態では、ＤＰＭ１２５０を使用して、マルウェアから鍵を保護することができる。以下では、これらのキーをＤＰＭ１２５０で安全に使用する方法を説明する。

【0442】

図２６は、ＡｌｉｃｅがＫＤＳプロバイダ１２６０によって提供されるセッション鍵を用いて暗号化されたメッセージをＢｏｂ１２６４へ安全に送信するための方法の例を示す。Ａｌｉｃｅは自身の事前共有鍵から導出された鍵暗号鍵ＫＥＫＸをＫＤＳプロバイダと共有し、Ｂｏｂは自身の事前共有鍵から導出された鍵暗号鍵ＫＥＫＹをＫＤＳプロバイダと共有する。ＡｌｉｃｅとＢｏｂは以前に対話したことがなく、したがって事前にセッション鍵を共有しないと仮定する。

【0443】

ステップ１２６６で、Ａｌｉｃｅは自分のユーザ名を入力し、Ｂｏｂに接続する要求を開始する。

【0444】

ステップ１２６８で、Ａｌｉｃｅがキーボードで入力すると、ＩＰＵ１２３６は、Ａｌｉｃｅがモニタ画面で入力した内容を見ることができるように、第７の一方向リンク１２２２を介してＰＣＤ１２１４にキーストロークを送信する。

【0445】

ステップ１２７０において、Ａｌｉｃｅは自分の要求を送信する。

【0446】

ステップ１２７２において、ＩＰＵ１２３６は、第６の一方向リンク１２３４及び第８の一方向リンク１２３８を介してＵＣＤ１２２６にＡｌｉｃｅの要求を転送する。

【0447】

ステップ１２７４において、ＵＣＤ１２２６は、インターネット１２３０を介してＫＤＳプロバイダ１２６０にＡｌｉｃｅの要求を転送する。

【0448】

ステップ１２７６で、ＫＤＳプロバイダ１２６０は、ＡｌｉｃｅとＢｏｂの両方が登録ユーザであることをチェックする。ＫＤＳプロバイダは、Ａｌｉｃｅに自身のユーザアカウント（図示せず）へのログインを要求することができる。

【0449】

ステップ１２７８において、ＫＤＳプロバイダ１２６０は、次に、対称暗号ＡＥＳカウンタモードを使用してＡＥＳビットストリームAESX-BSを作成するために、Ａｌｉｃｅ及びランダムに生成された初期化ベクトルＩＶＸと共有するＫＥＫＸを使用する。次いで、ＫＤＳプロバイダ１２６０は、AESX-BSを使用して、ビットＸＯＲによってランダムに選択されたセッション鍵Ｑを暗号化し、AESX-BS XOR Qを取得する。ＫＤＳプロバイダ１２６０は、Ｂｏｂ及び別のランダムに生成された初期化ベクトルＩＶＹと共有するＫＥＫＹを使用してAESY-BSを作成し、それを使用してセッション鍵Ｑを暗号化してAESY-BS XOR Qを取得する。

【0450】

ステップ１２８０で、ＫＤＳプロバイダ１２６０は、AESX-BS XOR Q、ＩＶＸ、AESY-BS XOR Q、ＩＶＹ、及びＢｏｂのＩＰアドレスをＡｌｉｃｅに送信する。

【0451】

ステップ１２８２において、ＵＣＤ１２２６は、AESX-BS XOR Q、ＩＶＸ、AESY-BS XOR Q及びＩＶＹをＰＣＤ１２０４に転送する。

【0452】

ステップ１２８４において、ＰＣＤ１２０４は、AESX-BS XOR Q、AESY-BS XOR Q及びＩＶＹをＤＳＵ１２４４に転送する。データが第１の一方向リンク１２１２を通過するとき、それらのデータは、ＯＴＰ暗号化を仮定してAESX-BS XOR Q XOR K1、AESY-BS XOR Q XOR K2及びIVY XOR K3をそれぞれ取得するために、ハードウェア暗号化器１２１８によって鍵Ｋ１、Ｋ２及びＫ３で暗号化される。

【0453】

ステップ１２８６において、ＵＣＤ１２２６は、モニタ画面にＩＶＸを表示する。Ａｌｉｃｅは画面からＩＶＸを読み取る。

【0454】

ステップ１２８８において、ＡｌｉｃｅはＩＶＸをタイプし、ＩＶＸは、ＩＰＵ１２３６に接続されたキーボード上の１２文字（９６ビット）のストリングであり得る。

【0455】

ステップ１２９０で、Ａｌｉｃｅのキーストロークが閲覧のためにＰＣＤ１２０４に送信される。

【0456】

ステップ１２９２では、ＩＶＸが、第６の一方向リンク１２３４を介してＤＳＵ１２４４へ送信される。

【0457】

ステップ１２９４で、ＡｌｉｃｅはＩＰＵ１２３６で自分のメッセージｍを構成する。

【0458】

ステップ１２９６で、Ａｌｉｃｅのキーストロークが閲覧のためにＰＣＤ１２０４に送信される。

【0459】

ステップ１２９８で、Ａｌｉｃｅが完了すると、ＩＰＵ１２３６は、第６の一方向リンク１２３４を介してＤＳＵ１２４４にｍを送信する。

【0460】

ステップ１２１００において、ＤＳＵ１２４４は、メモリからＫＥＫＸを取得し、それをＩＰＵ１２３６から受信するＩＶＸとともに使用してＡＥＳビットストリームAESX-BSを生成し、それを使用してAESX-BS XOR Q XOR K1を復号してQ XOR K1を取得する。ＤＳＵ１２４４は、別の初期化ベクトルＩＶＺをランダムに生成し、それとZ=Q XOR K1と、をＡＥＳ暗号鍵として使用して、ＡＥＳカウンタモードを有するＡＥＳビットストリームAESZ-BSを作成する。次に、ＤＳＵ１２４４は、AESZ-BS及びｍに対してビットごとのＸＯＲを実行して、暗号化されたメッセージAESZ-BS XOR mを取得する。

【0461】

ステップ１２１０２において、ＤＳＵ１２４４は、暗号化メッセージAESZ-BS XOR mをＩＶＺ、Ｋ１、AESY-BS XOR Q XOR K2、IVY XOR K3、Ｋ１、Ｋ２、及びＫ３と共にＵＣＤ１２２６に送信する。

【0462】

ステップ１２１０４において、メッセージは、第７の一方向リンク１２２２を介してＵＣＤ１２２６によって受信される。

【0463】

ステップ１２１０６において、ＵＣＤ１２２６は、Ｋ２及びＫ３を使用して復号することによってAESY-BS XOR Q及びＩＶＹを取得する。

【0464】

ステップ１２１０８において、ＵＣＤ１２６は、AESZ-BS XOR mをＩＶＺ、Ｋ１、AESY-BS XOR Q、ＩＶＹ及びＡｌｉｃｅのユーザ名と共に送出する。

【0465】

ステップ１２１１０において、データは、インターネット１２３０を介してＢｏｂ１２６４に送信される。

【0466】

ステップ１２１１２で、Ａｌｉｃｅからこれらを受信すると、Ｂｏｂは、彼の鍵暗号鍵ＫＥＫＹ及びＩＶＹを使用してAESY-BS XOR Qを復号してＱを取得し、取得したＱ及びＫ１を使用してAESZ-BSを作成し、次いでAESZ-BSを使用してAESZ-BS XOR mを復号してＡｌｉｃｅのメッセージｍを取得することができる。

【0467】

その後、ＡｌｉｃｅとＢｏｂは、どちらか一方がセッションを終了するまでセキュアに通信し続けることができる。

【0468】

上記の例示的な方法は、ＫＤＳプロバイダによって提供されるセッション鍵を使用して鍵保護及びセキュア通信という同じ目的を達成するために、様々な方法で修正され得る。セッション鍵がＡｌｉｃｅ及びＢｏｂにどのように配信されるかに関する制限なしに、ＫＤＳプロバイダが２人のユーザへの他の鍵配信手段、例えば量子鍵配信を用いてもよいことが更に想定される。

【0469】

図２７は、第１３の実施形態に係るコンピューティング装置１３００を示す。コンピューティング装置１３００は、ゾーン分離モジュール（ＺＳＭ）１３５２を含む。ＺＳＭ１３５２は、内部データ記憶ユニット（ＤＳＵ）１３３６を有するコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１３２２の形態のデータ処理デバイスと、コントローラ１３１０及びセレクタスイッチ１３４６とを含む。

【0470】

コンピューティング装置１３００は、内部記憶デバイス１３１８を有し、外部ネットワーク１３１２と双方向に接続する非セキュアコンピューティングデバイス（ＵＣＤ）１３１６の形態のネットワーク化されたコンピュータシステムと、リムーバブル記憶デバイス１３５０と、ユーザ入力をセレクタスイッチ１３４６に送信する周辺入力デバイス１３３４と、コンピュータ画面及び／又はオーディオデータをコントローラ１３１０から受信する出力デバイス１３０２とを更に含む。

【0471】

コンピューティング装置１３００は、ネットワーク化されたコンピュータシステムとデータ処理デバイスとの間の第１の通信リンクを更に含み、第１の通信リンクは、データをＵＣＤ１３１６からＩＰＵ１３２２に転送するための第１の一方向リンク１３２６と、データをＩＰＵ１３２２からＵＣＤ１３１６に転送するための第２の一方向リンク１３３０とを含む。第１の一方向リンク１３２６はハードウェア暗号化モジュール１３２４を含み、第２の一方向リンク１３３０はハードウェア復号モジュール１３２８を含む。

【0472】

コンピューティング装置１３００は、データ処理デバイスとリムーバブルデータ記憶デバイス１３５０との間の第２の通信リンクを更に含み、第２の通信リンクは、リムーバブルデータ記憶デバイス１３５０からＩＰＵ１３２２にデータを転送するための第３の一方向リンク１３３８と、ＩＰＵ１３２２からリムーバブルデータ記憶デバイス１３５０にデータを転送するための第４の一方向リンク１３４２とを含む。第３の一方向リンク１３３８はハードウェア暗号化モジュール１３４０を含み、第２の一方向リンク１３４２はハードウェア復号モジュール１３４４を含む。

【0473】

コンピューティング装置１３００は、コンピュータ画面及び／又はオーディオデータをＵＣＤ１３１６からコントローラ１３１０に転送するための第５の一方向リンク１３０６と、データをリムーバブル記憶デバイス１３５０からＵＣＤ１３１６に転送するための第６の一方向リンク１３５１と、セレクタスイッチ１３４６からＵＣＤ１３１６への第７の一方向リンク１３２０と、コンピュータ画面及び／又はオーディオデータを送信するためのＩＰＵ１３２２からコントローラ１３１０への第８の一方向リンク１３０８と、ユーザ入力データをＩＰＵ１３２２に送信するためのセレクタスイッチ１３４６からＩＰＵ１３２２への第９の一方向リンク１３３２と、を更に含む。

【0474】

ＺＳＭ１３５２は、図示されていない複数の支持サブシステム、構成要素、ケーブル、入出力インタフェースなどを更に含むことができることに留意されたい。

【0475】

記載された実施形態によれば、ＩＰＵ１３２２は、周辺入力デバイス１３３４からユーザ入力を取り込むように構成され、ＤＳＵ１３３６は、データのセキュア記憶のためのものであり、コントローラ１３１０は、コンピュータ画面及び／又はオーディオデータを出力デバイス１３０２に送信するための出力を選択するためのものであり、セレクタスイッチ１３４６は、ユーザがＺＳＭ１３５２をアクティブ化及び非アクティブ化し、どのデバイスにユーザ入力を送信するかを決定するためのものである。

【0476】

ＺＳＭ１３５２は、４つの一方向リンク１３０６、１３２６、１３３０、１３２０を介してユーザのＵＣＤ１３１６に接続される。第５の一方向リンク１３０６は、ＵＣＤ１３２２がコンピュータ画面及び／又はオーディオデータをＨＤＭＩ（登録商標）、ＶＧＡなどのインタフェースを介してコントローラ１３１０へ送信するためのものである。幾つかの実施形態では、ＵＣＤ１３１６は、それ自体の出力デバイスのセットを有してもよく、その場合、第５の一方向リンク１３０６及びコントローラ１３１０は省略されてもよい。幾つかの実施形態では、コンピュータ画面及び／又はオーディオデータは、一方向リンク１３２６及び１３０８を介してＩＰＵ１３２２を介してコントローラ１３１０に中継されてもよい。この場合、リンク１３０６は省略されてもよい。データはハードウェア暗号化器１３２４によって暗号化されるので、コントローラは、出力デバイス１３０２に送信する前にデータを復号する必要がある。第７の一方向リンク１３２０は、ＺＳＭ１３５２が非アクティブ化されたときにユーザがＵＣＤ１３１６に入力を送信するためのものである。幾つかの実施形態では、ＵＣＤ１３１６は、それ自体の周辺入力デバイスのセットを有してもよく、その場合、第７の一方向リンク１３２０及びセレクタスイッチ１３４６は省略されてもよい。幾つかの実施形態では、ユーザ入力は、一方向リンク１３３０を介してＩＰＵ１３２２を介してＵＣＤ１３１６に中継されてもよい。この場合、リンク１３２０は省略されてもよい。第５の一方向リンク１３２６は、ユーザがＵＣＤ１３１６からＩＰＵ１３２２にデータを転送するためのものである。ハードウェア暗号化器１３２４は、第５の一方向リンク１３２６をトラバースする全てのファイル及びデータがＩＰＵ１３２２に入る前に暗号化されるようにする。その結果、ＵＣＤ１３１６からのマルウェアは、ＩＰＵ１３２２に対して悪意のある行為を行うことができない可能性がある。第２の一方向リンク１３３０は、ユーザがＩＰＵ１３２２からＵＣＤ１３１６にデータを転送するためのものである。ＵＣＤ１３１６内のマルウェアがこのリンクからＤＳＵ１３３６に記憶されたデータにアクセスできないようにするのは一方向である。ハードウェア復号器１３２８は、データに対して復号を実行することができる。或いは、ＵＣＤ１３１６内のソフトウェアを介して復号を行い、ハードウェア復号器１３２８を省略してもよい。

【0477】

記載された実施形態によれば、ＤＳＵ１３３６と、ＵＣＤ１３１６及びリムーバブルデータ記憶デバイス１３５０などの他のデバイスとの間のファイル転送は、ユーザによって開始される。ユーザは、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）などのリムーバブルデータ記憶デバイス１３５０をＺＳＭ１３５２に接続する。は、バックアップ又は他の目的のために、ＤＳＵ１３３６からリムーバブルデータ記憶デバイス１３５０にファイルを転送することができる。転送は、第４の一方向リンク１３４２を介して行なわれる。ハードウェア復号器１３４４は、ユーザによって指示された場合にファイルを復号することができる。ユーザはまた、第３の一方向リンク１３３８を介してリムーバブルデータ記憶デバイス１３５０からＤＳＵ１３３６にファイルを転送することができる。ハードウェア暗号化器１３４０は、全てのファイルが第３の一方向リンク１３３８を介してＩＰＵ１３２２に入る前に暗号化されるようにする。リムーバブルデータ記憶デバイス１３５０とＵＣＤ１３２２とを接続する第６の一方向リンク１３５１は任意選択である。それはＺＳＭ１３５２の一部ではない。これは、ユーザがＩＰＵ１３２２を通過することなくリムーバブルデータ記憶デバイス１３５０からＵＣＤ１３１６にファイルを直接転送できるようにするために含まれ得る。しかしながら、高いセキュリティが要求されるユースケースでは、リムーバブルデータ記憶デバイス１３５０からＵＣＤ１３１６に転送される全てのファイルがＩＰＵ１３２２を通過するように、一方向リンク１３５１を切断又は除去する必要がある。これは、リムーバブルデータ記憶デバイス１３５０からのファイル転送が、周辺入力デバイス１３３４を介して特定の命令を与えることによってユーザによって常に開始されるようにするためである。

【0478】

全ての重要かつ機密データは、マルウェアから保護されたＤＳＵ１３３６に記憶されるべきであることが理解され得る。リムーバブルデータ記憶デバイス１３５０は、暗号化された形態のデータの携帯用バックアップとして機能することができる（すなわち、ハードウェア復号器１３４４は、リムーバブルデータ記憶デバイス１３５０へのデータ転送中にデータを復号すべきではない）。

【0479】

ハードウェア暗号化器１３２４及び１３４０、並びにハードウェア復号器１３２８及び１３４４は、前述の実施形態に従って実装されてもよい。一方向リンクは、一方向のデータフローを保証し、反対方向のデータフローを禁止する任意の方法で実装され得る。例としては、光リンクを介した光カプラ又は光アイソレータなどのデータダイオードの使用、又はイーサネットを介した一方向ＵＤＰ、一方向ＵＡＲＴ、又は任意の独自の一方向データ転送プロトコルの使用が挙げられる。

【0480】

コンピューティング装置１３００は、インターネット（すなわち、ネットワーク化されたコンピュータシステム）に直接接続され、インターネットを介してアクセス可能な「非セキュア領域」と、インターネットから分離された「セキュア領域」（リムーバブル記憶デバイス）とに分離されていることを理解すべきである。従来、このような分離は、２つのゾーン間のエアギャップによって実現されている。しかしながら、２つのゾーンにわたるデータ移動を禁止すると、ほとんどの作業環境でエアギャップ方法が実用的でなくなる。幾つかの従来の実装形態では、ユーザは、ポータブルハードディスク又は他の物理データ記憶媒体を使用して、非セキュアゾーンからセキュアゾーンにファイルを手動でコピーすることができる。これは不便であるだけでなく、セキュアゾーンにランサムウェアなどの未知の未検出のマルウェアを導入するリスクがあるため、セキュリティを損なう。

【0481】

対照的に、記載された実施形態に係る手法では、ユーザは、ファイル転送の前又は後にデバイスを物理的に接続又は切断する必要なく、非セキュアセキュアゾーンにわたってファイルをシームレスに転送することができる。ＤＳＵ１３３６に暗号化形式で記憶される重要なデータは、未知及び未発見のスパイウェア又はランサムウェアを含むマルウェアから保護することができる。

【0482】

図２８は、第１４の実施形態に係るコンピューティング装置１４００を示す。コンピューティング装置１４００は、ローカルエリアネットワーク接続ストレージ（ＮＡＳ）の形態のゾーン分離モジュール（ＺＳＭ）１４５８を含む。

【0483】

ＺＳＭ１４５８は、内部ストレージ１４３４を有するコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１４２２の形態のデータ処理デバイスと、インタフェース１４６０と、ネットワークインタフェースコントローラ（ＮＩＣ）１４３２とを含む。ＺＳＭ１４５８は、ＮＩＣ１４３２からＩＰＵ１４２２にデータを転送するための第１の一方向リンク１４１８、１４２０と、ＩＰＵ１４２２からＮＩＣ１４３１にデータを転送するための第２の一方向リンク１４３０、１４５０とを含む、ＮＩＣ１４３２とデータ処理デバイスとの間の通信リンクを更に含む。第１の一方向リンク１４１８、１４２０はハードウェア暗号化モジュール１４０８を含み、第２の一方向リンク１４３０、１４５０はハードウェア復号モジュール１４４８を含む。

【0484】

ＩＰＵ１４２２は、同様にコンピューティング装置１４００に含まれる１つ以上のセキュアデータ記憶デバイス１４５６と双方向通信する。

【0485】

コンピューティング装置１４００は、内部記憶デバイス１４３６、周辺入力デバイス１４４０、及び出力デバイスｆ１４０２を有する非セキュアコンピューティングデバイス（ＵＣＤ）１４２４の形態のネットワーク化されたコンピュータシステムを更に含む。他の非セキュアコンピューティングデバイスは図２８には示されていないが、ＵＣＤ１４２４は、コンピューティング装置１４００に含まれる幾つかのうちの１つであってもよい。

【0486】

コンピューティング装置１４００はまた、ＮＩＣ１４３２及びＵＣＤ１４２４（並びに図示されていない他のＵＣＤ）の両方と双方向接続する第１のネットワークスイッチ１４１６を含む。第１のルータもまた、第１のネットワークスイッチ１４１６及び外部ネットワーク１４０６と双方向接続しているコンピューティング装置１４００に含まれる。

【0487】

ＮＩＣ１４３２は、第１のネットワークスイッチ１４１６を介してＵＣＤ１４２４と双方向接続しており、したがって、第１の一方向リンク１４２０及び第２の一方向リンク１４５０は、データ処理デバイスとネットワーク化されたコンピュータシステムとの間の通信リンクの一部を形成することが理解され得る。

【0488】

コンピューティング装置１４００は、周辺入力デバイス１４４０がユーザ入力データをネットワークインタフェース１４６０に送信するように構成され得る第２のネットワークスイッチ１４４４を更に含む。ネットワークインタフェース１４６０は、ＩＰＵ１４２２への全てのユーザ入力を中継する。周辺入力デバイス１４４０は、図１１及び図１２の新しいＰＩＤと同様に設計、構成、及び動作することができる。

【0489】

記載された実施形態では、ユーザは、ＩＰＵ１４２２に接続された１つ以上のデータ記憶デバイス１４５６にデータを安全に記憶することができる。ＩＰＵ１４２２はまた、仮想化データストレージに接続されてもよい。リンク１４５４は、双方向リンクである。ファイルが暗号化形式で転送され記憶される限り、ＩＰＵ１４２２とセキュアデータ記憶デバイス１４５６の両方がマルウェアを含まないままであり得ることを理解すべきである。

【0490】

ネットワークインタフェースコントローラ（ＮＩＣ）１４３２は、ＺＳＭ１４５８が第１のネットワークスイッチ１４１６に接続されることを可能にし、或いは、ＺＳＭ１４５８はローカルエリアネットワーク（ＬＡＮ）内のルータ１４１２に直接接続されてもよい。ＮＩＣ１４３２と第１のネットワークスイッチ１４１６との間の接続は、イーサネット又はＷｉ－Ｆｉ又は任意の他の適切な通信技術で実施されてもよい。複数のユーザは、このネットワーク接続を介してＺＳＭ１４５８を介してそれぞれのＵＣＤ１４２４と１つ以上のセキュアデータ記憶デバイス１４５６との間でファイルを転送することができる。例えば周辺入力デバイス１４４０を介したＺＳＭインタフェース１４６０へのユーザ入力は、内部ネットワークの一部を形成する第２のネットワークスイッチ１４４４を介して送信される。内部ネットワーク接続は、Ｗｉ－Ｆｉ、又はＢｌｕｅｔｏｏｔｈ、ＵＳＢ、Ｅｔｈｅｒｎｅｔなどのような他の有線又は無線通信手段で実施されてもよい。第１のネットワークスイッチ１４１６はＵＣＤ１４２４から来るマルウェア攻撃を受ける可能性があるので、周辺入力デバイス１４４０を介したＺＳＭ１４５８へのユーザ入力が第１のネットワークスイッチ１４１６を介してルーティングされないことが重要である。第１のネットワークスイッチ１４１６を介してルーティングされた場合、ユーザ入力のセキュリティを損なう可能性がある、外部ネットワーク１４０６から来るサイバー攻撃の可能性もある。言い換えれば、ユーザ入力データは、マルウェアのない内部ネットワークを介してＺＳＭ１４５８に送信されるべきである。

【0491】

図２９は、第１５の実施形態に係るコンピューティング装置１５００を示す。コンピューティング装置１５００は、第１４の実施形態のコンピューティング装置１４００のＺＳＭ１４５８と同一であるが、モジュールに統合されたルータを有するゾーン分離モジュール（ＺＳＭ）１５３６を含む。

【0492】

ＺＳＭ１５３６は、内部ストレージ１５１８を有するコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１５１０の形態のデータ処理デバイスと、ネットワークインタフェース１５３８と、統合ルータ１５１６とを含む。統合ルータ１５１６は、ＺＳＭ１５３６の意図された機能に影響を与えることなく、ネットワークスイッチ又は他の適切なネットワーキングデバイスによって置き換えられてもよいことを理解すべきである。ＺＳＭ１５３６は、統合ルータ１５１６からＩＰＵ１５１０にデータを転送するための第１の一方向リンク１５０８と、ＩＰＵ１５１０から統合ルータ１５１６にデータを転送するための第２の一方向リンク１５２８とを含む、統合ルータ１５１６とデータ処理デバイスとの間の通信リンクを更に含む。

【0493】

第１の一方向リンク１５０８はハードウェア暗号化モジュール１５０２を含み、第２の一方向リンク１５２８はハードウェア復号モジュール１５２６を含む。

【0494】

ＩＰＵ１５１０は、同様にコンピューティング装置１５００に含まれる１つ以上のセキュアデータ記憶デバイス１５３４と双方向通信する。

【0495】

更に、コンピューティング装置１５００は、一例として、それぞれが統合ルータ１５１６及びネットワークインタフェース１５３８と双方向に接続されている２つのコンピュータシステム１５２０を含む。統合ルータはまた、外部ネットワーク１５０４と双方向接続している。統合ルータ１５１６に接続されたより多くのコンピュータシステム又はネットワークスイッチ（図示せず）が存在してもよい。

【0496】

統合ルータ１５１６を介して、第１の一方向リンク１５０８及び第２の一方向リンク１５２８は、データ処理デバイスと２つのコンピュータシステム１５２０のそれぞれとの間の通信リンクの一部を形成することが理解され得る。

【0497】

したがって、複数のユーザは、統合ルータ１５１６を介して同じＺＳＭ１５３６に接続することができる。第１４の実施形態と同様に、コマンドは、内部セキュアチャネル１５２４及び専用ネットワークインタフェース１５３８を介して、コンピュータシステム１５２０の周辺入力デバイスからＩＰＵ１５１０に送信される。これにより、ネットワークインタフェース１５３８を介してＩＰＵ１５１０に送信されるコマンドがユーザからのものであることが保証される。マルウェアは、２つのコンピュータシステム１５２０のうちの１つ以上、更には一体型ルータ１５１６さえもうまく侵害する可能性があるが、セキュアデータ記憶デバイス１５３４に記憶されたデータにアクセスできない可能性がある。

【0498】

図３０は、ＺＳＭ１８５２が２つのネットワーク、すなわち非セキュアゾーンネットワーク１８０４とセキュアゾーンネットワーク１８３４との間のブリッジとして機能する、第１４及び第１５の実施形態と同様の第１６の実施形態を示す。ＺＳＭ１８５２には、２つの統合ルータ又はネットワークスイッチ１８１４、１８３８がある。第１の統合ルータ又はネットワークスイッチ１８１４は、非セキュアゾーンネットワーク１８０４に接続し、第２の統合ルータ又はネットワークスイッチ１８３８は、セキュアゾーンネットワーク１８３４に接続する。２つの統合ルータ又はネットワークスイッチ１８０４、１８３８のそれぞれからＩＰＵ１８３６への第１のハードウェア暗号化一方向リンクと、ＩＰＵ１８３６から２つの統合ルータ又はネットワークスイッチ１８０４、１８３８のそれぞれへの第２の一方向リンクとをそれぞれ含む２つのそれぞれの通信リンクも、ＺＳＭ１８５２に含まれる。ＩＰＵ１８３６へのユーザ入力は、Ｗｉ－Ｆｉ、イーサネット、Ｂｌｕｅｔｏｏｔｈなどの適切な通信方法で実装され得る専用リンク１８５０及びネットワークインタフェース１８２４を介して送信される。第１４及び第１５の実施形態と同様に、セキュアデータ記憶デバイス１８４８は、ユーザが重要なデータを記憶するためのリンク１８４６を介してＩＰＵ１８３６に接続される。簡潔にするために、第１４及び第１５の実施形態で既に説明した機能はここでは繰り返さない。

【0499】

図３１は、ＺＳＭ１８５２がネットワーク１９００を非セキュアゾーンネットワーク１８０８とセキュアゾーンネットワーク１８３４とに分離する第７の実施形態を示す。非セキュアゾーンネットワーク１８０８とセキュアゾーンネットワーク１８３４の両方は、従来のファイアウォール１９０４によって保護された境界内にある。非セキュアゾーンネットワーク１８０８は、インターネット１９０２から来るマルウェア及びサイバー攻撃にさらされる可能性があるが、セキュアゾーンネットワーク１８３４は、ＺＳＭ１８５２の使用によってインターネット１９０２から隔離されている。

【0500】

セキュアゾーンネットワーク１８３４では、各ユーザは、パーソナルコンピューティングデバイス（ＰＣＤ）１９０６を操作し、双方向通信リンク１８４６を介してＺＳＭ１８５２のＩＰＵ１８３６に接続されたセキュアデータ記憶デバイス１８４８に重要なファイルを保存する。開示された発明によれば、ファイルは、復号に必要な鍵と共に暗号化形式で記憶される。セキュアデータ記憶デバイス１８４８はまた、より良好な管理性のために仮想化されてもよい。

【0501】

２つのゾーン間でファイルを移動させるためのユーザ命令は、専用接続１８５０を介してＺＳＭ１８５２に送信される。ユーザはまた、インターネット１９０２にアクセスするために、非セキュアゾーンネットワーク１８０８に配置されたＵＣＤ１９０８にコマンドを送信する。コマンドは、リンク１８０８を介してＺＳＭ１８５２を介してＵＣＤ１９０８に中継することができる。ＵＣＤ１９０８にコマンドを中継する方法は、図１０、図１１、及び図１２に関連して説明したように、新しいＰＩＤ、ネットワークスイッチ、及び／又は中継デバイスを使用して、第２の及び第３の実施形態と非常によく似ているので、ここでは繰り返し説明しない。

【0502】

ＵＣＤ１９０８からのコンピュータ画面及び／又はオーディオデータは、ＺＳＭ１８５２を介してＰＣＤ１９０６の出力デバイス、例えばモニタディスプレイに配信することができる。例えば、１つの可能な経路は、接続１８０８、一方向リンク１８０６、１８１０、１８４２、１８４０を通り、接続１８３２を通ってもよい。データは、ハードウェア暗号化モジュール１８０２で暗号化され、ハードウェア復号モジュール１８４４で復号され得る。このデータをＵＣＤ１９０８の出力デバイスに配信する別の可能な経路は、第１３の実施形態で説明した方法に従って適切な修正を行うことによるものであり得る。それらは、簡潔にするためにここでは再度説明されないものとする。

【0503】

非セキュア非セキュアゾーンネットワーク１８０８及びセキュアゾーンネットワーク１８３４内の全てのコンピューティングデバイスには、アンチウイルスソフトウェアがインストールされていてもよく、好ましくは、信頼できないファイルには、スパイウェアやランサムウェアなどのマルウェアが含まれる可能性があるため、ユーザは、非セキュアゾーンネットワーク１８０８からセキュアゾーンネットワーク１８３４にファイルを転送するときにも注意を払う。それにもかかわらず、開示された発明のおかげで、ランサムウェアによって攻撃された場合、セキュアゾーンネットワーク１８３４内のセキュアデータ記憶デバイス１８４８に記憶されている重要なファイルは、攻撃から保護されたままであり得る。また、スパイウェアは、インターネット１９０２への直接経路を持たないため、セキュアゾーンネットワーク１８３４からデータを転送することができない可能性がある。開示された発明によれば、ＺＳＭ１８５２からのファイルの移動は、ユーザ入力ネットワーク１８５０を介して受信されたユーザの同意を必要とする。

【0504】

図３２は、第１８の実施形態に係るコンピューティング装置１６００を示す。コンピューティング装置１６００は、クラウドコンピューティング環境においてファイルサーバとして構成されるゾーン分離モジュール（ＺＳＭ）１６４８を含む。

【0505】

ＺＳＭ１６４８は、内部データストレージ１６３０を有するコンピューティングデバイス（入力処理ユニットＩＰＵとも呼ばれる）１６２６の形態のデータ処理デバイスと、プライベートコンピューティングユニット（ＰＣＵ）１６３８と、統合ルータ１６１８とを含む。ＺＳＭ１６４８は、統合ルータ１６１８からＩＰＵ１６２６にデータを転送するための第１の一方向リンク１６１６と、ＩＰＵ１６２６から統合ルータ１６１８にデータを転送するための第２の一方向リンク１６２２とを含む、統合ルータ１６１８とデータ処理デバイスとの間の通信リンクを更に含む。第１の一方向リンク１６１６はハードウェア暗号化モジュール１６１０を含み、第２の一方向リンク１６２２はハードウェア復号モジュール１６２０を含む。

【0506】

ＺＳＭ１６４８はまた、ＩＰＵ１６２６からＰＣＵ１６３８にデータを転送するための第３の一方向リンク１６３６を含む。第３の一方向リンク１６３６はハードウェア復号モジュール１６３４を含む。ソフトウェアを使用してＰＣＵ１６３８で復号を実行することができるため、ハードウェア復号モジュール１６３４は省略されてもよい。

【0507】

ＩＰＵ１６２６は、同様にコンピューティング装置１６００に含まれる１つ以上のセキュアデータ記憶デバイス１６５０と双方向通信する。コンピューティング装置１６００にはまた、ＩＰＵ１６２６に入力を提供するための周辺入力デバイス１６４０と、コンピュータプログラムを実行するためのＺＳＭ１６４８の外部にあってもよいプロセッサ１６４４と、ＰＣＵ１６３８からプロセッサ１６４４にデータを転送するための更なる一方向リンク１６４６とが含まれる。周辺入力デバイス１６４０にコマンドを送信するための第５の一方向リンク１６４２もコンピューティング装置１６００に設けられている。コマンドは、接続１６２４を介してＺＳＭ１６４８によって受信される。

【0508】

更に、コンピューティング装置１６００は、一例として、それぞれがインターネット１６０６を介して統合ルータ１６１８と双方向にリモート接続している３つのコンピュータシステム１６０２を含む。図３２に示されていない統合ルータ１６１８に接続された他のコンピュータシステムが存在してもよいことを理解すべきである。

【0509】

統合ルータ１６１８を介して、第１の一方向リンク１６１６及び第２の一方向リンク１６２２は、データ処理デバイスと３つのコンピュータシステム１６０２のそれぞれとの間の通信リンクの一部を形成することが理解され得る。

【0510】

したがって、ＺＳＭ１６４８は、地理的に分散した複数のユーザによって遠隔アクセスされ得るように、クラウド内のファイルサーバとして実装される。３つのコンピュータシステム１６０２のユーザは、ＺＳＭ１６４８にアクセスして暗号化形式のファイルをセキュアデータ記憶デバイス１６５０に記憶し、必要に応じてそれらを取り出すために、（例えば、図１７に示すように）セキュアシンクライアント（後述する）又はセキュアシッククライアントのいずれかを使用することができる。クライアントは、セキュアシェル（ＳＳＨ）、トランスポート層セキュリティ（ＴＬＳ）、ＩＰｓｅｃなどの標準的なセキュアプロトコルを利用して、ＤＰＭ７４０を使用して実装されるセキュリティプロトコルの上でＺＳＭ１６４８と通信することができる。

【0511】

記載された実施形態では、ＺＳＭ１６４８へのコマンドは、インターネット１６０６を介して送信される前に、ユーザのコンピューティングデバイス１６０２で暗号化される。ユーザのコンピューティングデバイス１６０２でのＤＰＭ７４０の使用は、コマンドをマルウェアから保護することができる。ＺＳＭ１６４８では、統合ルータ１６１８によって受信された全ての着信データは、一方向リンク１６１６を介してＩＰＵ１６２６に入る前に、暗号化のためにハードウェア暗号化器１６１０に向けられる。ＩＰＵ１６２６は、将来の監査又は法医学目的のためにハードウェア暗号化器１６１０によって使用される暗号化コマンド及び暗号鍵を記録する。記憶されるデータは、セキュアデータ記憶デバイス１６５０に送信されてもよい。内部ストレージ１６３０から取得された暗号化されたコマンド及び対応する復号鍵は、復号のためにハードウェア復号モジュール１６３４に送信される。幾つかの実施形態では、ハードウェア復号モジュール１６３４は省略されてもよく、復号はソフトウェアによってＰＣＵ１６３８内で実行されてもよい。

【0512】

復号されたコマンドは、コマンドを認証するＰＣＵ１６３８に送信され、認証が成功すると、更なる一方向リンク１６４６を介してコンピュータプログラムを実行する外部プロセッサ１６４４にそれらを出力する。コマンドを認証して、サイバー犯罪者がセキュアデータ記憶デバイス１６５０に記憶されたデータを抽出しようとするのを防ぐことが重要である。記載された実施形態によれば、ＺＳＭ１６４８の外部で実行されるコンピュータプログラムは、他の実施形態で説明された人間のユーザに取って代わる。コンピュータプログラムは、実行のためにＩＰＵ１６２６にコマンドを送信する前にコマンドを分析する。コンピュータプログラム１６４４は、ＰＣＵ１６３８から受信したデータに応答してコマンドを送信することができる。コンピュータプログラム１６４４は、リモートユーザの行動を監視するためにルールベース又はＡＩベースとすることができ、疑わしいアクティビティを検出した場合にコマンドをブロックすることができる。追加のセキュリティ手段は、ＰＣＵ１６３８及び外部プロセッサ１６４４にインストールされた最新のアンチウイルスソフトウェアを有する、ＩＰＵ１６２６で実行可能なコマンドの種類を制限することなどを含むことができる。

【0513】

本明細書に記載の全ての実施形態では、周辺入力デバイスは、システム全体の設計に応じて、ファイル転送などに同意することを含む決定を行う人間又はコンピュータプログラムのいずれかからコマンドを受信することができることを理解すべきである。

【0514】

図３３は、ユーザ、例えばコンピュータシステム１６０２のユーザがリモートサーバ５３８、例えば第１８の実施形態におけるＺＳＭ１６４８で実装されるファイルサーバにアクセスするために使用することができるセキュアシンクライアント５２８を示す。セキュアシンクライアント５２８は、リモートサーバ５３８に送信するコマンドを取り込んで暗号化するＩＰＵ５２０と、受信した仮想デスクトップ画像を復号してモニタなどの出力デバイス５０２に表示するＰＣＵ５０８とから構成される。この実施形態におけるセキュアシンクライアント５２８は、ＵＣＵを含まないが、インターネット接続５３２を有するユーザの個人の非セキュアコンピューティングデバイス（ＵＣＤ）５１４に接続される。或いは、セキュアシンクライアント５２８は、インターネット５３２へのアクセスを可能にするゲートウェイ装置に接続されてもよい。この実施形態では、ユーザは、リモートサーバ５３８から受信した仮想デスクトップ画像を見ることができるが、ローカルにデータを保存することはできない。したがって、この実施形態ではＤＳＵはない。パスワード保護されたスマートカード、ＨＳＭなどのセキュリティトークン５０４及び５１８を使用して、ユーザの暗号鍵を記憶することができる。

【0515】

図３４は、ユーザＡｌｉｃｅが、セキュアシンクライアント５２８を用いて実装された自身のシンクライアントからリモートサーバ５３８にセキュアにログインする方法を説明している。

【0516】

ステップ６０２において、セキュアモード下で、Ａｌｉｃｅは、ＩＰＵ５２０及びＰＣＵ５０８内のリモートアクセスプログラムを開く。彼女は、キーボード及びマウス５２６を使用してＩＰＵ５２０にコマンドを入力し、ＰＣＵ５０８に接続されたコンピュータ画面５０２に入力した内容を見る。

【0517】

ステップ６０４で、Ａｌｉｃｅは自分のユーザ名を入力し、「ログイン」ボタンをクリックする。

【0518】

ステップ６０６において、ＩＰＵ５２０は、ユーザ名でＡｌｉｃｅのログイン要求をＵＣＤ５１４に送信する。

【0519】

ステップ６０８において、ＵＣＤ５１４は、Ａｌｉｃｅの要求メッセージをリモートサーバ５３８に転送する。

【0520】

ステップ６１０で、Ａｌｉｃｅの要求メッセージを受信すると、リモートサーバ５３８は、ユーザ名が登録ユーザに対応することの検証に進む。検証に成功すると、リモートサーバ５３８は、チャレンジ又はノンスを含む応答をＵＣＤ５１４に送信する。幾つかの実施形態では、チャレンジは、２要素認証のためにＡｌｉｃｅの携帯電話に送信され得る。このように、本実施形態では、リモートサーバ５３８が検証器として機能する。

【0521】

ステップ６１２において、ＵＣＤ５１４は、画面５０２に表示するために、受信したチャレンジをＰＣＵ５０８に転送する。

【0522】

ステップ６１４において、Ａｌｉｃｅは画面５０２からチャレンジを読み取る。

【0523】

ステップ６１６において、Ａｌｉｃｅは、ＩＰＵ５２０に接続されたキーボード及びマウス５２６を使用して自分のパスワード及びチャレンジを入力し、「送信」をクリックする。幾つかの実施形態では、パスワードは、ＩＰＵ５２０の内部記憶装置（図示せず）又はＩＰＵに接続されたセキュリティトークン５１８に記憶することができる。これらの実施形態では、ユーザは自分のパスワードを手動で入力する必要がない場合がある。

【0524】

ステップ６１８において、ＩＰＵ５２０は、パスワードをハッシュしてハッシュ（ｐａｓｓｗｏｒｄ）を取得し、パスワードのハッシュをチャレンジと共にハッシュしてH=hash(hash(パスワード)、チャレンジ）を取得する。ＩＰＵ５２０は、ユーザ名及び最終ハッシュＨをＵＣＤ５１４に送信する。

【0525】

ステップ６２０において、ＵＣＤ５１４は、メッセージをリモートサーバ５３８に転送する。

【0526】

ステップ６２２において、リモートサーバ５３８は、内部データベースからユーザ名についての記憶されたハッシュ（パスワード）を検索し、H'=hash(hash(パスワード)、チャレンジ)を計算する。

【0527】

ステップ６２４において、Ｈ’がＨに等しい場合、リモートサーバ５３８は、「受諾」メッセージをＵＣＤ５１４に送信する。一方、Ｈ’がＨに等しくない場合、リモートサーバ５３８は、「拒否」メッセージをＵＣＤ５１４に送信する。

【0528】

ステップ６２６において、ＵＣＤ５１４は、画面５０２に表示するために「受け入れ／拒否」メッセージをＰＣＵ５０８に転送する。

【0529】

使用するハッシュアルゴリズムのタイプは予め決められているべきであり、又はＩＰＵ５２０は、リモートサーバ５３８に送信されるメッセージにこの情報を含めなければならないことに留意されたい。

【0530】

上記のリモートログインプロセスは単なる一例であり、プロセスは様々な方法で変更され得ることが想定される。

【0531】

ユーザがログインに成功した後、リモートサーバ５３８は、暗号化された仮想デスクトップ画像のＵＣＤ５１４への送信を開始する。ＵＣＤ５１４は、画像をＰＣＵ５０８に転送し、ＰＣＵで画像が復号されてモニタ画面５０２に表示される。

【0532】

ユーザは、ＩＰＵ５２０にコマンドを打ち込むことによってリモートサーバ５３８と対話することができる。コマンドは、ＩＰＵ５２０内で暗号化され、ＵＣＤ５１４に送信され、ＵＣＤはそれらをリモートサーバ５３８に転送する。

【0533】

暗号鍵及び復号鍵は、セキュアシンクライアントをユーザに発行する前に、セキュアシンクライアント５２８の内部に予めインストールすることができるため、ユーザ及びリモートサーバが鍵交換を実行する必要はない。或いは、鍵は、パスワード保護されたスマートカード、ＨＳＭなどのセキュリティトークン５０４及び５１８の形態でユーザに提供されてもよい。セキュリティトークンは、より高いセキュリティ保証のために定期的に更新又は更新することができる。

【0534】

図３５は、ＺＳＭ１７５２が２つのコンピュータシステム間のブリッジとして機能する、第１９の実施形態に係るコンピューティング装置１７００を示す。ユーザは、インターネットにアクセスするための１つのＵＣＤ１７１８と、日記の書き込み、個人の写真及びビデオの閲覧、機密レポートの書き込みなどのプライベートなコンピューティング活動のためにインターネットに接続されていない１つのＰＣＤ１７５６とを有することができる。それぞれが、２つのコンピュータシステムのそれぞれからＩＰＵ１７３０へのそれぞれの第１のハードウェア暗号化一方向リンク１７２８、１７４４と、ＩＰＵ１７３０から２つのコンピュータシステムのそれぞれへのそれぞれの第２の一方向リンク１７３６、１７４８とを含む、２つのそれぞれの通信リンク。既に前述したように、好ましくは、ユーザは、個人の日記、写真、ビデオ、レポートなどを含む全ての重要なデータをＤＳＵ１７３２に保存し、マルウェアから保護することができる。この実施形態では、ユーザは、ダウンロードされたコンテンツをＵＣＤ１７１８からＰＣＤ１７５６に転送し、個人データをＰＣＤ１７５６からＵＣＤ１７１８に転送することができる。ハードウェア暗号化器１７２６及び１７４６は、ＩＰＵ１７３０に入る全てのファイルを暗号化し、それに組み込まれたＩＰＵ１７３０及びＤＳＵ１７３２がマルウェアの脅威を受けないことを保証する。ユーザは、ＰＣＤ１７５６の内部ストレージ１７６０に記憶されたファイルのバックアップのために、又は他の目的のために、リムーバブルデータ記憶デバイス１７６２をＰＣＤ１７５６に接続することができる。しかしながら、前述したように、ＰＣＵは、重要なファイルを内部ストレージ１７６０又はリムーバブルデータ記憶デバイス１７６２に記憶しなくてもよい。重要なファイルは、マルウェアから保護され得るＤＳＵ１７３２に記憶されるべきである。ＩＰＵ１７３０には、重要なファイルをバックアップするために、専用のバックアップ記憶デバイス（図示せず）を接続することが好ましい。好ましくは、バックアップ・記憶デバイスは、潜在的にマルウェアフリーの状態を維持することを可能にするために、他のコンピュータシステムに接続されていない。

【0535】

ＰＣＤ１７５６は、電源が投入されるたびに元の状態又はスナップショットにリセットすることができるように、仮想マシン（ＶＭ）を実行することができる。ユーザは、新しいアプリケーションソフトウェアをインストールした後にＶＭの新しいスナップショットを自由に保存することができる。ユーザが重要なデータをＶＭに保存しない限り、ランサムウェア攻撃などのマルウェア攻撃からの回復は単純かつ簡単であり得る。第１３の実施形態と同様のこの第１９の実施形態の他の特徴は、簡潔にするためにここでは繰り返し説明しない。

【0536】

ここで本発明を十分に説明してきたが、特許請求される範囲から逸脱することなく、多くの修正を本明細書に加えることができることは当業者には明らかである。

【図1a】

【図1b】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9a】

【図9b】

【図10】

【図11】

【図12】

【図13a】

【図13b】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】

【図34】

【図35】

【手続補正書】

【提出日】2023-07-17

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

第１のコンピューティングデバイスと第２のコンピューティングデバイスとの間でデータを転送するための通信リンクであって、
（ｉ）前記第１のコンピューティングデバイスから前記第２のコンピューティングデバイスにデータを転送するための第１の一方向リンクと、
（ｉｉ）前記第２のコンピューティングデバイスから前記第１のコンピューティングデバイスへデータを転送するための第２の一方向リンクと、
を備え、
前記第１の一方向リンクは、前記第２のコンピューティングデバイスで受信される前にデータを暗号化するように構成されたハードウェア暗号化デバイスを備え、暗号化されたデータは前記第２のコンピューティングデバイス内で復号化されない、通信リンク。

【請求項2】

前記ハードウェア暗号化デバイスは、前記ハードウェア暗号化デバイスで暗号鍵として使用するために、ランダムビットを生成するか、またはランダムビットを前記第２のコンピューティングデバイスから受信するように構成される、請求項１に記載の通信リンク。

【請求項3】

前記ハードウェア暗号化デバイスは、生成又は受信した暗号鍵を前記第１のコンピューティングデバイスに提供しないように構成される、請求項２に記載の通信リンク。

【請求項4】

前記第１の一方向リンクが第１のデータダイオードを更に含み、
前記第２の一方向リンクが第２のデータダイオードを含み、
前記第１のデータダイオードが、前記第１のコンピューティングデバイスと前記ハードウェア暗号化デバイスとの間に位置している、請求項３に記載の通信リンク。

【請求項5】

前記第２の一方向リンクは、前記第１のコンピューティングデバイスで受信される前にデータを復号するためのハードウェア復号デバイスを備え、
前記第２のデータダイオードは、前記第２のコンピューティングデバイスと前記ハードウェア復号デバイスとの間に位置している、請求項４に記載の通信リンク。

【請求項6】

少なくとも１つの第１のコンピューティングデバイスと、
第２のコンピューティングデバイスと、
前記少なくとも１つの第１のコンピューティングデバイスと前記第２のコンピューティングデバイスとの間でデータを転送するための請求項１～５のいずれか一項に記載の少なくとも１つの通信リンクと、
を含むコンピューティング装置。

【請求項7】

前記少なくとも１つの第１のコンピューティングデバイスと前記第２のコンピューティングデバイスは、それらの間の前記少なくとも１つの通信リンクのみを介して、通信可能に接続される、請求項６に記載のコンピューティング装置。

【請求項8】

前記少なくとも１つの第１のコンピューティングデバイスは、前記少なくとも１つの通信リンクの前記第１の一方向リンクのみを介して、前記少なくとも１つの第１のコンピューティングデバイスからデータを転送するように構成される、請求項６に記載のコンピューティング装置。

【請求項9】

前記第２のコンピューティングデバイスは、前記少なくとも１つの通信リンクの前記第１の一方向リンクを介することを除き、前記第２のコンピューティングデバイスへ転送されるデータを受信しないように構成される、請求項６に記載のコンピューティング装置。

【請求項10】

前記少なくとも１つの第１のコンピューティングデバイスは、前記少なくとも１つの通信リンクの前記第２の一方向リンクのみを介して、前記少なくとも１つの第１のコンピューティングデバイスへ転送されるデータを受信するように構成される、請求項６に記載のコンピューティング装置。

【請求項11】

前記第２のコンピューティングデバイスは、その内部コンピュータプログラムまたは１つ以上の周辺入力デバイスからの直接入力を通じて受信された命令に従ってのみ、データ処理動作を実行するように構成される、請求項６に記載のコンピューティング装置。

【請求項12】

ネットワークインタフェースと、
少なくとも１つの第３の一方向リンクと、
第４の一方向リンクと、を更に備え、
前記少なくとも１つの第３の一方向リンクは、前記ネットワークインタフェースから前記少なくとも１つの第１のコンピューティングデバイスにデータを転送するように構成され、
前記第４の一方向リンクは、前記第２のコンピューティングデバイスから前記ネットワークインタフェースにデータを転送するように構成される、請求項６に記載のコンピューティング装置。

【請求項13】

第３のコンピューティングデバイスを更に備え、
前記第３のコンピューティングデバイスは、前記少なくとも１つの第３の一方向リンクを介して、前記少なくとも１つの第１のコンピューティングデバイスにデータを送信するように構成され、
前記第３のコンピューティングデバイスは、前記第４の一方向リンクを介して、前記第２のコンピューティングデバイスからデータを受信するように構成される、請求項１２に記載のコンピューティング装置。

【請求項14】

前記第３のコンピューティングデバイスと前記第２のコンピューティングデバイスとの間に前記第４の一方向リンクのみが設けられ、
前記少なくとも１つの第１のコンピューティングデバイスと前記第３のコンピューティングデバイスとの間に前記少なくとも１つの第３の一方向リンクのみが設けられる、請求項１３に記載のコンピューティング装置。

【請求項15】

前記ネットワークインタフェースは、前記第３のコンピューティングデバイスと双方向通信する、請求項１４に記載のコンピューティング装置。

【請求項16】

前記ネットワークインタフェースは、前記ネットワークインタフェースを介して複数の第４のコンピューティングデバイスが前記第３のコンピューティングデバイスに接続され、前記少なくとも１つの第３の一方向リンクを介して前記少なくとも１つの第１のコンピューティングデバイスにデータを送信し、前記第４の一方向リンクを介して前記第２のコンピューティングデバイスからデータを受信することを可能にするように更に構成される、請求項１５に記載のコンピューティング装置。

【請求項17】

前記少なくとも１つの第１のコンピューティングデバイスがイントラネットに接続される、請求項６に記載のコンピューティング装置。

【請求項18】

請求項６に記載のコンピューティング装置におけるデータ処理方法であって、
前記少なくとも１つの第１のコンピューティングデバイス及び前記少なくとも１つの通信リンクのみを介して前記第２のコンピューティングデバイスで転送されたデータを受信するステップ、
を含むデータ処理方法。

【請求項19】

前記第２のコンピューティングデバイスにおいて、周辺入力デバイスから入力を直接受信するステップを更に含む、請求項１８に記載のデータ処理方法。

【請求項20】

前記少なくとも１つの通信リンクのみを介して、前記少なくとも１つの第１のコンピューティングデバイスから前記第２のコンピューティングデバイスのみへデータを転送するステップを更に含む、請求項１９に記載のコンピューティング装置におけるデータ処理方法。

【請求項21】

請求項１３に記載の前記コンピューティング装置を使用したネットワークからのデータ受信方法であって、
前記第３のコンピューティングデバイスで前記ネットワークからデータを受信するステップと、
前記少なくとも１つの第１のコンピューティングデバイスにデータを転送するステップと、
前記少なくとも１つの通信リンクを介して前記第２のコンピューティングデバイスにデータを転送するステップと、
前記第２のコンピューティングデバイス又は前記第２のコンピューティングデバイスに接続されるデータ記憶デバイスにデータを記憶するステップと、
を含むデータ受信方法。

【請求項22】

請求項１３に記載の前記コンピューティング装置を使用したネットワークへのデータ送信方法であって、
送信されるべきデータを示す入力を前記少なくとも１つの第１のコンピューティングデバイスで受信するステップと、
前記少なくとも１つの通信リンクを介して前記少なくとも１つの第１のコンピューティングデバイスから前記第２のコンピューティングデバイスに送信されるべきデータを転送するステップと、
前記第２のコンピューティングデバイスから前記第３のコンピューティングデバイスへ送信されるべきデータを転送するステップと、
前記第３のコンピューティングデバイスから、前記ネットワークに送信されるべきデータを送信するステップと、
を含むデータ送信方法。

【請求項23】

前記少なくとも１つの第１のコンピューティングデバイスで入力を受信するステップは、前記第２のコンピューティングデバイスで前記入力を受信し、それを前記少なくとも１つの第１のコンピューティングデバイスに中継するステップを含む、請求項２２に記載のデータ送信方法。

【請求項24】

データの意図された受信者の公開鍵及びセッション鍵を前記第２のコンピューティングデバイスから前記少なくとも１つの第１のコンピューティングデバイスに送信するステップと、
前記少なくとも１つの第１のコンピューティングデバイスにおいて、前記セッション鍵を用いて前記送信されるべきデータを暗号化し、前記意図された受信者の前記公開鍵を用いて前記セッション鍵を暗号化するステップと、
送信されるべき暗号化されたデータ及び暗号化されたセッション鍵を、前記少なくとも１つの通信リンクを介して、前記少なくとも１つの第１のコンピューティングデバイスから前記第２のコンピューティングデバイスに転送するステップと、
前記第３のコンピューティングデバイスから、送信されるべき暗号化されたデータ及び暗号化されたセッション鍵を前記ネットワークへ送信するステップと、
を更に含む、請求項２２に記載のデータ送信方法。

【請求項25】

前記第３のコンピューティングデバイスにおいて、前記少なくとも１つの通信リンクの前記ハードウェア暗号化デバイスによるハードウェア暗号化を除去するステップを更に含む、請求項２４に記載のデータ送信方法。

【請求項26】

前記第２のコンピューティングデバイスで、送信されるべきデータのハードウェア暗号化を第１の暗号化タイプから第２の暗号化タイプに変換するステップを更に含む、請求項２２に記載のデータ送信方法。

【請求項27】

前記少なくとも１つの第１のコンピューティングデバイスにおいて、前記送信されるべきデータをタグでラベル付けするステップと、
前記第２のコンピューティングデバイスにおいて前記送信されるべきデータがどのように処理されるべきかを決定するために前記第２のコンピューティングデバイスで前記タグを識別するステップと、
を更に含む、請求項１８に記載の方法。

【請求項28】

請求項６に記載のコンピューティング装置を使用したユーザ認証方法であって、
前記少なくとも１つの第１のコンピューティングデバイスで検証器からノンスを受信するステップと、
前記少なくとも１つの第１のコンピューティングデバイスでユーザに前記ノンスを表示するステップと、
ユーザによって前記ノンスが前記第２のコンピューティングデバイスに入力されるステップと、
前記第２のコンピューティングデバイスで、前記ノンス及びユーザパスワードを使用して暗号化演算を実行し、前記ユーザの認証のために前記暗号化演算の出力を前記検証器に送信するステップと、
を含むユーザ認証方法。

【請求項29】

ユーザによって、前記第２のコンピューティングデバイスに前記パスワードが入力されるステップを更に含む、請求項２８に記載のユーザ認証方法。

【請求項30】

前記第２のコンピューティングデバイスがデータ記憶デバイスを含み、
前記第２のコンピューティングデバイスにより、前記データ記憶デバイスから前記パスワードを取り出すステップ、
を更に含む、請求項２８に記載のユーザ認証方法。

【請求項31】

ネットワーク化されたコンピュータシステムと、
ユーザコンピュータシステムと、
データ処理デバイスと、
第１の一方向リンクと、
第２の一方向リンクと、
前記ユーザコンピュータシステムと前記データ処理デバイスとの間に位置するハードウェア暗号化デバイスと、
前記ネットワーク化されたコンピュータシステムから前記ユーザコンピュータシステムへデータを転送するための第３の一方向リンクと、
前記データ処理デバイスから前記ネットワーク化されたコンピュータシステムへデータを転送するための第４の一方向リンクと、
前記データ処理デバイスと通信接続される少なくとも１つの周辺入力デバイスと、
を備え、
前記ユーザコンピュータシステムからデータを出力する唯一の手段は前記第１の一方向リンクを経由することであり、前記データ処理デバイスへデータを受信する唯一の手段は前記第１の一方向リンクを経由することであり、
前記データ処理デバイスは、前記第２の一方向リンクを介して前記ユーザコンピュータシステムにデータを送信し、
前記ハードウェア暗号化デバイスは、データが前記データ処理デバイスによって受信される前に、前記第１の一方向リンクを通過するすべてのデータを暗号化し、暗号化されたデータは前記データ処理デバイス内では復号化されない、
マルウェアからデータを保護するコンピューティング装置。

【請求項32】

前記データ処理デバイスは、コマンドが前記少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、前記ユーザコンピュータシステムからデータを受信するように構成される、請求項３１に記載のコンピューティング装置。

【請求項33】

データ処理デバイスは、受信されたデータを暗号化形式で前記データ処理デバイスに記憶するように構成される、請求項３１又は３２に記載のコンピューティング装置。

【請求項34】

前記データ処理デバイスに通信可能に接続される記憶デバイスを更に備え、
前記データ処理デバイスは、前記記憶デバイスに記憶するために、前記データ処理デバイスによって受信されたデータを暗号化形式で前記記憶デバイスに送信するように構成される、請求項３１又は３２に記載のコンピューティング装置。

【請求項35】

前記データ処理デバイスは、更なるコマンドが前記少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、前記データ処理デバイスからデータを転送するように構成される、請求項３１に記載のコンピューティング装置。

【請求項36】

前記データ処理デバイスは、復号鍵転送コマンドが前記少なくとも１つの周辺入力デバイスで受信されることに応じてのみ、前記データ処理デバイスから復号鍵を転送するように構成される、請求項３１に記載のコンピューティング装置。

【請求項37】

前記ユーザコンピュータシステムは、前記ハードウェア暗号化デバイスが使用する暗号鍵にアクセスできない、請求項３１に記載のコンピューティング装置。

【請求項38】

第１のコンピューティングデバイスと、
第２のコンピューティングデバイスと、
前記第１のコンピューティングデバイスと前記第２のコンピューティングデバイスとを接続する、請求項１～５のいずれか一項に記載の通信リンクと、を備え、
前記第１のコンピューティングデバイスは、ネットワーク化されたコンピュータである、コンピューティング装置。

【請求項39】

第１のコンピューティングデバイスと第２のコンピューティングデバイスの間でデータを転送するための通信リンクであって、
（ｉ）前記第１のコンピューティングデバイスから前記第２のコンピューティングデバイスにデータを転送するための第１の一方向リンクと、
（ｉｉ）前記第２のコンピューティングデバイスから前記第１のコンピューティングデバイスにデータを転送するための第２の一方向リンクと、
を備え、
前記第１の一方向リンクは、前記第２のコンピューティングデバイスで受信される前にデータ変換を実行するように構成されたハードウェア暗号化デバイスを有し、前記第１のコンピューティングデバイスは、データ変換を把握する手段を有さず、かつ、
変換されたデータは、前記第２のコンピューティングデバイス内で反転されない、通信リンク。

【請求項40】

前記第２の一方向リンクは、データが前記第１のコンピューティングデバイスに戻される前にデータ変換を逆転するように構成されたハードウェア復号デバイスを備える、請求項３９に記載の通信リンク。

【国際調査報告】