セキュリティチップ ユーティリティの使い方

セキュリティチップ ユーティリティを使うと、本機のセキュリティチップ機能で利用できる、ファイルやフォルダの暗号化（EFS）機能や、Personal Secure Drive（PSD）を利用するユーザーの管理や暗号キー、証明書の発行や移行、復元などができます。

「infineon security platform 設定ツール」ウィンドウ

ここでは、セキュリティチップ ユーティリティの基本的な使い方について説明します。

セキュリティチップ ユーティリィティの起動

セキュリティチップ ユーティリティには、管理者特権がある状態と管理者特権のない状態があり、それぞれ次の手順で起動します。

●管理者特権のある状態で起動する場合

チェック
    管理者特権のある状態でセキュリティチップ ユーティリティを起動するには、Windowsに管理者（Administrator）権限のあるユーザーアカウントでログオンしてください。標準ユーザーのアカウントでは、管理者特権のある状態でセキュリティチップ ユーティリティを起動することはできません。


●管理者特権のない状態で起動する場合

チェック
    管理者特権のない状態でセキュリティチップ ユーティリティを起動した場合、設定可能な項目が制限されます。


「Infineon Security Platform 設定ツール」ウィンドウ右下の「ヘルプ」ボタンをクリックすると、表示されているタブごとに設定できる機能や、関連した機能について説明しているオンラインヘルプが起動します。
それぞれのタブにあるボタンや機能について詳しくは、オンラインヘルプをご覧ください。
◆「全般」タブ
セキュリティチップの状態や、Infineon Security Platform 設定ツールのバージョンや設定内容を確認することができます。
◆「ユーザー設定」タブ
基本ユーザーのパスワード変更や、Security Platformの機能を設定できます。

◆「バックアップ」タブ
自動システムバックアップの設定や、システムバックアップからの復元、ユーザーごとの手動バックアップと復元を行うことができます。

チェック
  • 管理者特権のない状態では、現在のユーザーの手動バックアップと復元のみ利用可能です。

◆「移行」タブ
他のセキュリティチップ搭載コンピュータでも利用できるように、Infineon Security Platform 設定ツールで設定した暗号キーや証明書を移行するための操作や、移行の承認を行えます。
チェック
  • 管理者特権のない状態では、Security Platformの情報の保存と移行の承認は行えません。
  • 暗号キーや証明書の移行ができるのは、Windows Vista UltimateまたはWindows Vista Businessをインストールしたコンピュータ同士のみです。

◆「パスワードリセット」タブ
各ユーザーのパスワードリセットトークンの作成や、パスワードのリセットを行うことができます。

チェック
  • 管理者特権のない状態では、現在のユーザーに対しての、パスワードリセットの有効化とパスワードリセットのみ行えます。

◆「アドバンス」タブ
Infineon Security Platform 設定ツールの所有者パスワードの変更や、各機能の設定の変更ができます。 また、各ユーザーごとのセキュリティポリシーの設定を変更することができます。
利用するユーザーごとにセキュリティポリシーを設定することで、利用可能な機能や設定を制限できます。

チェック
    「アドバンス」タブは管理者特権がある場合のみ表示されます。管理者特権のない状態では設定できません。

◆パスワードのリセット
例として、管理者に「Administrator」、一般ユーザーに「User1」がセットアップされているとします。
  1. 「Administrator」としてログオンする
  2. 管理者特権のある状態で「Infineon Security Platform設定ツール」を起動する
  3. 「パスワードリセット」タブをクリックし、「基本ユーザーパスワードリセット」-「管理タスク」にある「準備」ボタンをクリック
    「Infineon Security Platformパスワードリセットウィザード」が起動します。


  4. パスワードをリセットするユーザーを選択する
    「User1」を選択します。


  5. 「次へ」ボタンをクリック
  6. 「リセットトークンの場所」欄にファイルを指定し、「パスワード」欄にこのファイルへのパスワードを入力する
  7. 「次へ」ボタンをクリック
    リセット承認コードとチェックサムが表示されます。


  8. リセット承認コードおよびチェックサムをメモする、または「ファイルに保存」ボタンでファイルに保存する
    デフォルト名は「SPPwdResetCode.xml」となります。


  9. 「次へ」ボタンをクリック
  10. 「完了」ボタンをクリック
    ウィザードが終了します。


  11. 「OK」ボタンをクリック
  12. Windowsをログオフする
    管理者の作業は終了です。

  13. 「User1」としてログオンする
  14. 「Infineon Security Platform設定ツール」を起動する
  15. 「パスワードリセット」タブをクリックし、「基本ユーザーパスワードのリセット」-「ユーザータスク」にある「リセット」ボタンをクリック
    「Infineon Security Platformパスワードリセットウィザード」が起動します


  16. 「個人シークレット」欄にファイルを指定し、「リセット承認コード」に管理者から渡されたコードを直接入力する、または、「ファイルから取得」をクリックして、8で管理者が作成したファイルを指定して入力する
  17. 「次へ」ボタンをクリック
  18. 新しいパスワードを「パスワード」欄と「パスワードの確認入力」欄に入力し、「次へ」ボタンをクリック
    「設定を確認してください」と表示されます。


  19. 「次へ」ボタンをクリック
    基本ユーザーパスワードがリセットされます。


  20. 「完了」ボタンをクリック
    ウィザードが終了します。


  21. 「OK」ボタンをクリック

チェック
    管理者ユーザーのパスワードリセット機能はサポートしておりません。

利用できるセキュリティ機能

本機に搭載されているセキュリティチップとセキュリティチップ ユーティリティでは、次のセキュリティ機能を利用することができます。

電子メールの保護機能

Windows(R) メールなどの電子メールソフトで、送受信されるメールを暗号化して保護したり、電子証明書を添付して安全な電子メールのやりとりをする機能です。
電子メールの保護機能について詳しくは、ヘルプをご覧ください。
参照
  • 電子メールの保護機能について
    Infineon Security Platform設定ツールのオンラインヘルプ


ファイルとフォルダの暗号化（EFS）機能

指定したファイルやフォルダを、AESやRSAなどのアルゴリズムを用いた高度な技術で暗号化する機能です。
暗号化したファイルやフォルダは、Infineon Security Platform設定ツールで認証されたユーザー以外は読み書きできなくなるので、第三者にファイルを盗み見られたり、改ざんされることがなく、機密性と安全性が確保されます。

ファイルやフォルダの暗号化は、次の手順で設定できます。
  1. 暗号化したいファイルやフォルダを右クリックし、表示されたメニューから「プロパティ」をクリック
  2. 「全般」タブをクリックし、「詳細設定」ボタンをクリック
  3. 「内容を暗号化してデータをセキュリティで保護する」にチェックを付ける

    「属性の詳細」ウィンドウ

  4. 「OK」ボタンをクリック
  5. 「OK」ボタンをクリック
  6. 「暗号化に関する警告」画面または「属性変更の確認」画面が表示された場合は、動作を選択して「OK」ボタンをクリック
  7. 「ユーザー アカウント制御」画面が表示された場合は「続行」ボタンをクリック
  8. 「Infineon Security Platform ユーザー認証」ウィンドウが表示されたら、「基本ユーザー パスワード」欄に基本ユーザー パスワードを入力し、「OK」ボタンをクリック


これでファイルやフォルダの暗号化は完了です。

チェック
  • FAT32でフォーマットされたドライブでは、ファイルやフォルダの暗号化はできません。
  • 「C:\Users\<ユーザー名>\AppData\Local\Microsoft」フォルダは暗号化しないでください。
◆暗号化したファイルをロックする
EFS機能を利用してファイルやフォルダを暗号化している場合でも、一度パスワードを入力して認証を行うと、以後は暗号化したファイルにアクセスが可能になります。

再度、暗号化したファイルやフォルダをロックするには次の手順でEFSからのログアウトを行います。
EFSからのログアウトの機能は、本機の再起動やWindowsからのログアウトをせず、一時的に別の人に本機を使用させる際に、暗号化したファイルやフォルダへのアクセスを制限するのに有効です。

  1. 通知領域のセキュリティチップ ユーティリティ アイコン を右クリックし、表示されたメニューから「暗号化ファイルシステム(EFS)からログアウトする」をクリック

また、EFSからログアウトする以外にも、次の場合に暗号化したファイルやフォルダがロックされ、アクセスする際にはパスワードの入力が必要になります。




Personal Secure Drive（PSD）機能

Personal Secure Drive（PSD）機能とは、ハードディスクの一部に暗号化された仮想ドライブを作成して重要なデータを保護する機能のことです。ファイルやフォルダをPersonal Secure Driveに保存すると、自動的にデータが暗号化されます。
Personal Secure Driveは、Infineon Security Platform設定ツールで認証されたユーザーが使用する場合、データの暗号化と解除が自動的に行われるので、暗号化や暗号化の解除を意識することなく利用できます。
また、Personal Secure Driveは作成したユーザー以外には、ドライブ自体が見えなくなるため、第三者にアクセスされることがありません。

Personal Secure Drive（PSD）機能は、保護したいファイルやフォルダをPersonal Secure Driveとして設定したドライブに移動、またはコピーすることで、自動的に暗号化され、パスワードを入力していないユーザーからはアクセスできなくなります。

psdアイコン


チェック
  • Personal Secure Drive機能を利用する設定にしていない場合は、Infineon Security Platform 設定ツールの「ユーザー設定」タブで、「Security Platform の機能」の「設定」ボタンをクリックし、Personal Secure Driveの設定を行ってください。設定方法については、「Security Platform ユーザーの初期化」の手順8からを参照してください。
  • Personal Secure Driveを利用する設定にした場合は、Infineon Security Platform 設定ツールの「バックアップ」タブから手動バックアップを行い、バックアップファイルを作成することをおすすめします。設定を行っただけではPersonal Secure Driveのバックアップファイルが作成されないため、復元時にPersonal Secure Driveが復元されません。
  • Guestアカウントでログオンしている場合、Personal Secure Driveの作成はできません。


◆Personal Secure Drive のロード
Personal Secure Drive(PSD)をロードする方法は、必要なときにロードする方法とログオン時にロードする方法があります。
次にそれぞれのロード方法を説明します。

必要なときにロードする

次の手順に従って、PSDをロードします。
  1. 通知領域のセキュリティチップ ユーティリティ アイコン を右クリックし、表示されたメニューから「Personal Secure Dirve」→「ロードする」をクリック
    「Infineon Security Platform ユーザー認証」画面が表示されます。


  2. 「基本ユーザーパスワード」欄にパスワードを入力して、「OK」ボタンをクリック
    PSDがロードされます。

ログオン時にロードする
  1. 通知領域のセキュリティチップ ユーティリティ アイコン を右クリックし、表示されたメニューから「Personal Secure Dirve」→「ログオン時にロードする」を選択
    次回ログオン時にPSDがロードされます。
メモ
    ログオンからPSDをロードするまでの手順は次の通りです。
    1. ログオンする
    2. 「Personal Secure Drive」画面が表示された場合は、「OK」ボタンをクリック
      「Infineon Security Platform ユーザー認証」画面が表示されます。


    3. 「基本ユーザーパスワード」欄にパスワードを入力して、「OK」ボタンをクリック
      PSDがロードされます。

辞書攻撃防御機能


パスワードで保護されたセキュリティを破るために用いられる「辞書攻撃」という手法から、本機を防御するための機能です。

セキュリティチップ ユーティリティのパスワード入力時、所有者パスワードの場合は3回、ユーザーパスワードの場合は5回、誤ったパスワードを入力すると、一時的にパスワードの入力ができなくなります。
再度、パスワードの入力を行うには、本機の再起動と一定時間の経過が必要です。
なお、再度、パスワードの入力が可能になるまでの時間は、誤入力の回数によって決定され、誤入力の回数が多ければ多いほど、入力可能になるまでの時間も長くなります。
参照
  • 辞書攻撃防御、辞書攻撃防御機能
    Infineon Security Platform設定ツールのオンラインヘルプ

セキュリティ機能のバックアップと復元

セキュリティチップやハードディスクが故障した場合に、修理後、セキュリティ機能を故障前の状態に復元するためには、あらかじめ必要なデータ、ファイルのバックアップと情報の確認が必要です。

チェック
  • 復元を行うには、復元作業時に必要なファイルにアクセスできる環境が必要です。
    ハードディスクの故障などにより、復元に必要なファイルを破損、消去した場合や、復元作業時にアクセスできないメディアに保存されている場合は復元は行えませんのでご注意ください。復元に必要なファイルは、フロッピーディスクやUSBメモリなどアクセスが容易な外部メディアに保存しておくことをおすすめします。
  • セキュリティソリューションを使用している場合は、セキュリティソリューションによって手順が異なる場合があります。必ず、セキュリティソリューションのヘルプやマニュアルをご確認ください。
  • セットアップ後に「自動バックアップを今すぐ起動」にチェックが付いていることを確認し、バックアップファイルを作成してください。

    ファイル名：SPSystemBackup.xml

    このファイルおよび、同時に作成される「SPSystemBackup」フォルダ内のファイル「SPSystemBackupConfig.xml」、「SPSystemBackupData.xml」は「復元」処理に必要不可欠のファイルです。


  • アーカイブファイル、バックアップファイルなどに関する注意事項
    セキュリティチップのバックアップを実行することにより、「アーカイブファイル」「バックアップファイル」「復元用トークン」などのファイルが作成されます。これらのファイルは、ハードウェアの故障やハードディスクの故障などが発生した場合にセキュリティチップに格納されているユーザキーや証明書などの復旧に利用します。そのため、これらのファイルを暗号化した場合、緊急時の復元ができなくなりますので、暗号化しないでください。

    なお、バックアップファイルや復元トークンなどのファイルは、バックアップ用のデータですので、サーバやリムーバブルメディアへの保存を強く推奨します。

    下記のファイルの詳細に関しては、セキュリティチップユーティリティのヘルプをご覧ください。

      【自動バックアップファイル】
        ファイル名：SPSystemBackup.xml

      【自動バックアップデータ格納フォルダ】
        フォルダ名：SPSystemBackup
        （自動バックアップファイル（SPSystemBackup.xml）が作成されるフォルダに、サブフォルダとして作成されます）

      【復元用トークン】
        ファイル名：SPEmRecToken.xml

      【パスワードリセットトークン】
        ファイル名：SPPwdResetToken.xml

      【パスワードリセットシークレットファイル】
        ファイル名：SPPwdResetSecret.xml

      【キーと証明書用バックアップ】
        ファイル名：SpBackupArchive.xml

      【PSDバックアップ】
        ファイル名：SpPSDBackup.fsb

参照
  • バックアップと復元について
    Infineon Security Platform設定ツールのオンラインヘルプ
  • セキュリティソリューション使用時のバックアップと復元について
    セキュリティソリューションのマニュアルやヘルプ

復元時のユーザー選択に関する注意事項

本機を複数のユーザーで利用している場合、復元処理実行中の「ユーザーの選択」で、セキュリティチップを利用しているユーザーをすべて選択し、復元を行う必要があります。

チェック
  • 復元作業は必ず「Security Platformの所有者」が行ってください。
  • Infineon Security Platform バックアップウィザードで「ユーザーの選択」画面の表示時、本機にユーザーアカウントが設定されているユーザーに対して、バックアップアーカイブ内の対応するユーザーを選択する必要があります。

◆本機をドメインに接続した状態で運用している場合の注意
本機をドメインに接続した状態で運用している場合は、ドメインへの接続が可能な状態で復元作業を行ってください。

ネットワークに接続されていないなどドメインへの接続ができない状態で、ローカルの管理者でログオンして復元作業を行うと、「現在のユーザー」や「ユーザー名」にドメインのユーザーが表示されない場合があります。
その場合は、復元作業をキャンセルしドメインへの接続が可能な状態にしてください。
その後で、再度復元作業を開始し、ドメインのユーザー名が表示されることを確認してから、復元作業を継続してください。

チェック
    ドメインのユーザーが表示されない状態のまま、復元作業を継続すると、ドメインのユーザーのセキュリティチップの設定が失われ、問題が発生します。

◆各ユーザーの復元
本機に複数のユーザーアカウントが設定されている場合、復元後、それぞれのユーザーでの初回ログオン時に「基本ユーザーキーがロードできません」と表示されます。
その場合は、指示にしたがって「Security Platform機能の復元」を行ってください。
設定項目は、ログオンしているユーザーの基本ユーザーパスワードの入力が促されるだけです。

この手順は、本機を利用している、それぞれのユーザーでログオンして行ってください。

通常時、OS再インストール時及びユーティリティ再セットアップ時の復元手順

チェック
  • OSの再インストール時及びTPMドライバやユーティリティの再インストール時にトラブルが発生した場合、重要なデータの紛失につながります。
    OSの再インストール及びTPMドライバやユーティリティの再インストールを行う場合は、セキュリティチップの初期化を行い、バックアップファイルから「復元」処理をすることを強く推奨します。

  • セキュリティチップの初期化手順については、「困ったときのＱ＆Ａ」の「パスワードを忘れてしまった」をご覧ください。
  1. Infineon Security Platform 初期化ウィザードを起動する
  2. 「バックアップアーカイブからSecurity Platformを復元する」を選択する
  3. 「復元するバックアップ データのあるファイルを指定する」に、復元するバックアップファイルとして“SPSystemBackup.xml”を指定して「次へ」ボタンをクリック
  4. 「パスワード」欄、「パスワードの確認入力」欄にパスワードを入力して、「次へ」ボタンをクリック
  5. 以降、トークンの場所やパスワード・ユーザーの選択などの手順に従う。

この作業後「メールの暗号化」「EFS」「PSD」機能の設定は、個別のユーザーによって行われる必要があります。
また、プラットフォームの復元を行う場合は、「所有者」で行ってください。

チェック
    ここでいう「所有者」とは、アプリケーションインストール後プラットフォームの初期化を行ったユーザーを指します。
    ローカルユーザーやドメインユーザーの場合でも、「所有者」でユーザーを指定して復元を行ってください。

復元に必要な情報とファイル

セキュリティ機能の復元には、次の情報とファイルが必要になります。

◆セキュリティチップの内容の復元に必要な情報・ファイル

◆ユーザー環境の復元に必要な情報・ファイル


チェック
  • 復元に必要なファイルのうち、Personal Secure DriveのバックアップファイルとWindows(R) メールのデータのバックアップを除くファイルの保存に必要な容量は大きくても数10KB程度です。
  • Personal Secure Driveのバックアップファイルの容量は、Personal Secure Driveに設定した容量により異なります。
  • Windows(R) メールのデータのバックアップは、環境にもよりますが数10MBから数100MBの容量が必要になる場合があります。

復元に必要な情報の確認とファイルのバックアップ

ここでは、セキュリティ機能の復元に必要な情報の確認とファイルのバックアップを行います。
◆設定、作成済みの情報、ファイルの確認
◆Windows(R) メールのデータのバックアップ
Windows(R) メールのデータのバックアップは次のように行います。

セキュリティチップ故障時の復元方法

復元を行う前に、、「BIOSセットアップユーティリティの設定」と「セキュリティチップ機能を利用する準備」の「セキュリティチップ ユーティリティのインストール」までの手順を行い、セキュリティチップ ユーティリティのインストールを完了させてください。

完了したら「Security Platformの初期化」は行わず、Security Platformの復元を行ってください。

参照
  • Security Platformの復元
    Infineon Security Platform設定ツールのオンラインヘルプ

ハードディスク故障時の復元方法

Windows上にアカウントを作成してください。
Windows(R) メールの環境を復元する場合は、Windows(R) メールの設定を行い、設定完了後バックアップしていたメールデータをWindows(R) メールのメールデータ保管場所に上書きしてください。またエクスポートしていたアドレス帳をインポートしてください。

Windowsのアカウントの設定とWindows(R) メールのデータの上書きが完了したら、「セキュリティチップ機能を利用する準備」と「セキュリティチップ ユーティリティのインストール」の「セキュリティチップ ユーティリティのインストール」までの手順を行い、セキュリティチップ ユーティリティのインストールを完了させてください。

完了したら「Security Platformの初期化」は行わず、Security Platformの復元を行ってください。

参照
  • Security Platformの復元
    Infineon Security Platform設定ツールのオンラインヘルプ

◆Windows(R) メールの環境の復元
ハードディスク故障のために本機を再セットアップした場合、Windows(R) メールの環境を復元するには、再起動後に次の手順を行ってください。
  1. Windows(R) メールを起動する
  2. 「ツール」→「アカウント」をクリック
  3. 復元するメールアカウントを選択し、「プロパティ」ボタンをクリック
  4. 「セキュリティ」タブをクリックし、「署名の証明書」の「選択」ボタンをクリック
  5. リストから証明書を選択し、「OK」ボタンをクリック
  6. 「暗号化の設定」の「選択」ボタンをクリック
  7. リストから証明書を選択し、「OK」ボタンをクリック
  8. 「OK」ボタンをクリック

これでWindows(R) メールのデータの復元は完了です。

システムバックアップからの復元方法

チェック
    ここで説明しているシステムバックアップからの復元方法とは、「Infineon Security Platform設定ツール」の「バックアップ」タブの「すべて復元」ボタンからの復元方法を指しています。

    Infineon Security Platform設定ツール
◆復元手順
  1. 所有者のアカウントでログオンする
  2. 管理者特権ありの状態で「Infineon Security Platform設定ツール」を起動する
  3. 「バックアップ」タブをクリックし、「すべて復元」ボタンをクリック
    「Infineon Security Platform バックアップ ウィザード」が表示されます。


  4. 「参照」ボタンをクリックし、復元するバックアップファイル「SPSystemBackup.xml」を指定して、「開く」ボタンをクリック
  5. 「次へ」ボタンをクリック
  6. 「パスワード」欄に所有者パスワードを入力して、「次へ」ボタンをクリック
    「ユーザーの選択」画面が表示されます。

  7. 「バックアップデータからのユーザー」欄で現在のユーザーアカウントに対して復元するユーザーを選択して、「次へ」ボタンをクリック

    メモ
      コンピュータの別のユーザーアカウントに対する追加ユーザーを復元する場合は、「ユーザー名」欄に表示されているユーザーアカウントに対して、復元する追加ユーザーを「バックアップ データからのユーザー」欄で選択してください。


  8. 「パスワード」欄に基本ユーザー パスワードを入力して、「次へ」ボタンをクリック
  9. 「サマリー」画面が表示されるので、内容を確認し「次へ」ボタンをクリック
  10. 「ウィザードが正常に終了しました。」と表示されたら「完了」ボタンをクリック

これで復元は完了です。

参照
  • Security Platformの復元
    Infineon Security Platform設定ツールのオンラインヘルプ

その他の注意事項

本機を修理に出す前の準備

本機の故障などの理由で修理に出される場合、必ずBIOSセットアップユーティリティのスーパバイザパスワード、およびユーザパスワードを解除し、情報の漏洩防止のため、セキュリティチップの初期化を行ってください。

また、修理後にSecurity Platformの設定を復元するために、「所有者パスワード」と「復元用トークン」を紛失しない様に保管してください。
修理後にセキュリティチップ ユーティリティを起動し、「バックアップ」タブでSecurity Platformの設定を復元してください。
チェック
  • セキュリティチップの初期化手順については、「困ったときのＱ＆Ａ」の「パスワードを忘れてしまった」をご覧ください。
  • Security Platformの復元には、「所有者パスワード」と「復元用トークン」が必要になります。

フロッピーディスクにデータを書き込む場合の注意

本機にセキュリティーチップ ユーティリティをインストールしている環境で、本体に内蔵されたフロッピーディスクドライブでフロッピーディスクにデータを書き込む場合は、画面右下の通知領域にセキュリティチップ ユーティリティ アイコン が表示されていることを確認してから、書き込みを行ってください。

スリープ／休止状態から復帰した場合の注意

スリープ状態または休止状態からの復帰後、暗号化したファイルへのアクセスなどの「ユーザー認証」ウィンドウを表示させる処理を行うと、ウィンドウが表示されるまで３０〜４０秒の時間がかかります。

イベントビューアに記録される警告ログについて

スリープ状態からの復帰時に、イベントビューア内に、

「ソース：TBS、イベントID：541、レベル：警告、内容：実行中の操作は電源管理イベントにより中断されました。」

というログが記録されますが、運用上問題はありません。