(57)【要約】データ利用者が機密情報の開示を受ける権限を有するある特定の相手にのみ開示するにあたり、その相手の対面で、その相手の正当性を確認したときにのみ開示が可能となるような権限管理システムを提供する。  開示対象データの保有者がデータを暗号化し、該データの復号鍵を生成、分離し開示対象者に予め送付しておく。そしてデータ開示時にはデータ保持者及び開示対象者端末が物理的に対面し、近接した状態において復号鍵を送付し、該復号鍵を再生し、これを用いてデータを復号し、該データを開示する。これにより、開示を受ける権限を有する開示対象者と近接し、該開示対象者を目視することにより相手方の正当性を確認する。
2008090779.tif 000002
【特許請求の範囲】
【請求項１】
通信手段を備える情報機器端末と秘密情報管理サーバ装置を備えるデータ伝送システムにおける権限管理方法であって、
予め、秘密情報管理サーバ装置から秘密情報を利用可能にするために必要な情報を、正当な利用許可相手の情報機器端末に送達しておくデータ送達ステップと、
前記送達した情報を当該正当な利用許可相手の情報機器端末に格納するステップと、
秘密情報の利用が必要な際に、前記送達した情報の、情報機器端末内での保持を確認する相手方確認ステップと、
前記保持の確認により秘密情報の利用を可能にするステップとを備えることを特徴とする権限管理方法。
【請求項２】
請求項１に記載の権限管理方法であって、
予め前記秘密情報管理サーバ装置が秘密情報を暗号化するステップと、
前記保持の確認を条件とし、前記秘密情報をデータ保持者の情報機器端末がデータを復号するステップとを更に備えることを特徴とする権限管理方法。
【請求項３】
請求項１又は２に記載の権限管理方法であって、
前記利用許可相手に対する送達は、当該利用許可相手の情報機器端末宛に電子メールにより送付することを特徴とする権限管理方法。
【請求項４】
請求項３に記載の権限管理方法であって、
前記電子メールは転送できないものであることを特徴とする権限管理方法。
【請求項５】
請求項１乃至４の何れか１項に記載の権限管理方法であって、
前記端末内での保持を確認するステップは、端末同士の近接通信によって行われることを特徴とする権限管理方法。
【請求項６】
請求項１乃至４の何れか１項に記載の権限管理方法であって、
前記情報機器端末内での保持を確認するステップは送達先の情報機器端末で表示された情報を別の情報機器端末のカメラで撮影することにより達成されることを特徴とする権限管理方法。
【請求項７】
請求項２乃至６の何れか１項に記載の権限管理方法であって、
前記秘密情報を復号する際に必要な秘密鍵の一部を前記正当な利用許可相手の端末に送達するステップを更に備えることを特徴とする権限管理方法。
【請求項８】
請求項１乃至７の何れか１項に記載の権限管理方法であって、
前記秘密情報を利用可能にするために必要な情報の送達を複数の相手に対して行うステップを更に備え、
当該送達した複数の情報機器端末の全て又は定められた個数以上の情報機器端末の端末内での保持を確認することで秘密情報の利用を可能にすることを特徴とする権限管理方法。
【請求項９】
請求項１乃至８の何れか１項に記載の権限管理方法であって、
前記情報の送達ステップ、前記保持を確認するステップ、前記秘密情報の利用を可能にするステップの全部又は一部の行なった手段を情報機器端末内に格納するステップを更に備えることを特徴とする権限管理方法。
【請求項１０】
請求項１乃至９の何れか１項に記載の権限管理方法であって、
前記、正当な利用許可相手の情報機器端末に送達しておくデータを、利用許可相手ごとに別個のものとすることを特徴とする権限管理方法。
【請求項１１】
通信手段を備える情報機器端末と秘密情報管理サーバ装置を備える権限管理システムであって、
予め秘密情報管理サーバ装置から秘密情報を利用可能にするために必要な情報を正当な利用許可相手の情報機器端末に送達しておくデータ送達手段と、
前記送達した情報を当該正当な利用許可相手の情報機器端末に格納する手段と、
秘密情報の利用が必要な際に、前記送達した情報の情報機器端末内での保持を確認する相手方確認手段と、
前記保持の確認により秘密情報の利用を可能にする手段とを備えることを特徴とする権限管理システム。
【請求項１２】
請求項１１に記載の権限管理システムであって、
予め前記秘密情報管理サーバ装置が秘密情報を暗号化する手段と、
前記保持の確認を条件とし、前記秘密情報をデータ保持者の情報機器端末が復号する手段とを更に備えることを特徴とする権限管理システム。
【請求項１３】
請求項１１又は１２に記載の権限管理システムであって、
前記利用許可相手に対する送達は、当該利用許可相手の端末宛に電子メールにより送付することを特徴とする権限管理システム。
【請求項１４】
請求項１３に記載の権限管理システムであって、
前記電子メールは転送できないものであることを特徴とする権限管理システム。
【請求項１５】
請求項１１乃至１４の何れか１項に記載の通信手段を備える情報機器端末と秘密情報管理サーバ装置から構成される権限管理システムであって、
前記端末内での保持を確認する手段は、端末同士の近接通信によって行われることを特徴とする権限管理システム。
【請求項１６】
請求項１１乃至１４の何れか１項に記載の権限管理システムであって、
前記情報機器端末内での保持を確認する手段は送達先の情報機器端末で表示された情報を別の情報機器端末のカメラで撮影することにより達成されることを特徴とする権限管理システム。
【請求項１７】
請求項１２乃至１６の何れか１項に記載の通信手段を備える情報機器端末と秘密情報管理サーバ装置から構成される権限管理システムであって、
前記秘密情報を復号する際に必要な秘密鍵の一部を前記正当な利用許可相手の端末に送達する手段を更に備えることを特徴とする権限管理システム。
【請求項１８】
請求項１１乃至１７の何れか１項に記載の権限管理システムであって、
前記秘密情報を利用可能にするために必要な情報の送達を複数の相手に対して行う手段を更に備え、
当該送達した複数の情報機器端末の全て又は定められた個数以上の情報機器端末の端末内での保持を確認することで秘密情報の利用を可能にすることを特徴とする権限管理システム。
【請求項１９】
請求項１１乃至１８の何れか１項に記載の権限管理システムであって、
前記情報の送達手段、前記保持を確認する手段、前記秘密情報の利用を可能にする手段の全部又は一部を情報機器端末内に格納する手段を更に備えることを特徴とする権限管理システム。
【請求項２０】
請求項１１乃至１９の何れか１項に記載の権限管理システムであって、
前記、正当な利用許可相手の情報機器端末に送達しておくデータを、利用許可相手ごとに別個のものとすることを特徴とする権限管理システム。
【請求項２１】
秘密情報を管理するサーバ装置であって、
データの暗号化を行う手段と、
当該暗号化されたデータを復号するために必要な情報を生成する手段と、
当該復号するために必要な情報を携帯情報端末に送達するデータ送達手段とを備えることを特徴とする秘密情報管理サーバ装置。
【請求項２２】
請求項２１に記載の秘密情報を管理するサーバ装置であって、
前記データを復号するために必要な情報を単体ではデータの復号能力を有さない複数の単位に分割する手段を更に備え、
前記データ送達手段は、当該単位ごとに、複数の携帯情報端末を送達対象として送達されることを特徴とする秘密情報管理サーバ装置。
【請求項２３】
秘密情報を格納する情報機器端末であって、
秘密情報管理サーバ装置から送達された前記復号するために必要な情報を格納する手段と、
他の情報機器端末から前記復号するために必要な情報を近接通信により取得する手段と、
当該復号するために必要な情報を用い、格納されている秘密情報を使用可能な状態に再生する手段とを備えることを特徴とする秘密情報を格納する情報機器端末。
【請求項２４】
請求項２３に記載の情報機器端末であって、
前記秘密情報を使用可能とするためには、前記データを復号するために必要な情報が、前記送達した複数の情報機器端末の、全て又は定められた個数以上の情報機器端末の端末内で保持されていることを確認する必要があることを特徴とする情報機器端末。
【請求項２５】
秘密情報を管理するサーバ装置としてコンピュータを機能させるためのプログラムであって、
前記サーバ装置は、
データの暗号化を行う手段と、
当該暗号化されたデータを復号するために必要な情報を生成する手段と、
当該復号するために必要な情報を携帯情報端末に送達するデータ送達手段とを備えることを特徴とするプログラム。
【請求項２６】
請求項２５に記載のプログラムであって、
前記サーバ装置は、
前記データを復号するために必要な情報を単体ではデータの復号能力を有さない複数の単位に分割する手段を更に備え、
前記データ送達手段は、当該単位ごとに、複数の携帯情報端末を送達対象として送達されることを特徴とするプログラム。
【請求項２７】
秘密情報を格納する情報機器端末としてコンピュータを機能させるためのプログラムであって、
前記情報機器端末は、
秘密情報管理サーバ装置から送達された前記復号するために必要な情報を格納する手段と、
他の情報機器端末から前記復号するために必要な情報を近接通信により取得する手段と、
当該復号するために必要な情報を用い、格納されている秘密情報を使用可能な状態に再生する手段とを備えることを特徴とする秘密情報を格納するプログラム。
【請求項２８】
請求項２７に記載のプログラムであって、
前記情報機器端末は、前記秘密情報を使用可能とするためには、前記データを復号するために必要な情報が、前記送達した複数の情報機器端末の、全て又は定められた個数以上の情報機器端末の端末内で保持されていることを確認する必要があることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信手段を有する情報機器の権限管理方法、権限管理システム並びにそのシステムで利用されるサーバ装置及び情報機器端末に関し、特に、データの暗号化及び該データの復号化を行う通信手段を有する情報機器の権限管理、権限管理システム並びにそのシステムで利用されるサーバ装置及び情報機器端末に関する。
【背景技術】
【０００２】
近年、携帯電話や個人情報端末（ＰＤＡ）をはじめとする移動端末で、電話帳やスケジュール、やりとりされたメールの履歴情報などの個人性の高いデータが、データとして格納、保持されることが一般的となっている。【０００３】
更に、ビジネス関連データ、音楽や動画などの金銭価値の高い情報やコンテンツなどが格納され、それを利用することが普及している。【０００４】
加えて、近年の移動端末の高機能化に伴い、ＳＤカードなどの大容量ポータブルメモリデバイスや、有線・無線閉域網（ＬＡＮ）、無線近接通信（Bluetooth （登録商標））や赤外線通信といった通信機能を用いて、他の移動端末やパーソナルコンピュータ又は、その他デジタル家電との間でデータ共有が可能となった。【０００５】
このような利用シーンでは、プライバシーの保護の観点や著作権法の遵守または、守秘契約もしくは、情報管理規程などに基づき、共有される個人データ・業務データやコンテンツなどの利用を利用する権限を有する特定のユーザグループや機器のグループのみに制限することが求められる。そのような利用管理システムの例が、下記の特許文献１ないし５に開示されている。【０００６】
特許文献１は、あるユーザグループにおいて、あるメンバーから他のメンバーのスケジュールなど移動端末内に格納されたデータへのアクセス要求があった場合に、これに応えてデータ共有をはかるシステムである。【０００７】
このとき、アクセス要求を受けたメンバーの移動端末が電源切断されているなどの理由で要求に応えられない状態であったときは、すでに当該データを共有している他の移動端末が当該アクセス要求を受けた移動端末の代理として、アクセス要求に応える方法が開示されている。【０００８】
特許文献２には、あるユーザ（要求元ユーザ）が他ユーザ（要求先ユーザ）のデータに対してアクセス要求を行った場合の秘密データの開示方法が開示されている。【０００９】
当該特許文献２には、上記アクセス要求があった際には、要求元ユーザと要求先ユーザとに予め付与されている属性証明書を参照し、当該証明書に記載された所属グループが同じであった場合にのみ、当該アクセス要求に応じて要求先ユーザのデータを応答する利用管理方法が開示されている。【００１０】
特許文献３は、あるホームネットワークに有線または無線で接続されるデジタル機器について、１ユーザにつき１つ所有される移動端末あるいはその他のポータブルデバイスをデジタル機器にいったん認証させ、その認証時刻とデジタル機器のＩＤをホームサーバで収集し、格納する。【００１１】
そして、特許文献３はある一定時間内に登録されたＩＤをもつデジタル機器でのみ、当該ホームサーバに格納されている同一の娯楽コンテンツを共有し、再生可能とするシステムが開示されている。【００１２】
特許文献４には、有線または無線ネットワークにおいて、ネットワーク接続に用いられるアクセススイッチ（基地局）の物理位置を予め中央のサーバに登録しておき、移動端末がアクセススイッチに接続された際、移動端末のＩＤとアクセススイッチの物理的な位置の２要素に基づいて認証するようなネットワークアクセス制御方法が開示されている。【００１３】
特許文献５には、中央のサーバに格納されているスケジュールや電話帳などの個人データを他のユーザと移動端末を介して共有する方法が開示されている。【００１４】
当該発明では、事前に、共有アクセスを要求するユーザ（要求元ユーザ）と要求されるユーザ（要求先ユーザ）との間で、個人データのなかでも共有してよい部分（たとえば電話帳であれば電話番号と氏名のみなど）をルールとして定義しておき、さらに当該ルールと１対１に対応したメールアドレスも定義しておく。【００１５】
要求元ユーザは、移動端末を介して要求先ユーザの個人データへアクセス要求するにあたり、所望の開示範囲に対応したメールアドレスへアクセス要求を要求元ユーザＩＤと共に送信する。当該アクセス要求を受けた中央サーバは、前記ルールを参照して、要求された個人データが前記の定義した共有可能な個人データの範囲内であるときのみ、当該範囲の個人データを要求元ユーザへ返信する。
【特許文献１】特開２００３−１８９３６０号公報
【特許文献２】特開２００４−０１５５０７号公報
【特許文献３】特開２００４−３３４７５６号公報
【特許文献４】特開２００５−３１１７８１号公報
【特許文献５】特開２００６−０５３７４９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
しかしながら、上記特許文献１乃至５の、いずれの方法を用いても、端末に格納された個人データや娯楽コンテンツ、業務データなどの機密データについて、ある特定の開示権限を有する対象者のみを対象とし、更に該対象者を対面で確認できた場合にのみ開示が可能となるなどといった緻密な機密データの利用管理ができなかった。【００１７】
例えば、業務データをある特定の開示相手Ｙにのみ開示したい場合を想定する。該業務データを電子メールでＹに送付してしまうと、Ｙが機密データの開示を受ける権限を有さない他の相手にも見せてしまう可能性がある。またデータの開示元であるデータ利用者Ｘがこれを可搬記憶媒体にデータを保存してＹを訪れて対面でＹに開示するという方法では、Ｘが過失によりあるいは悪意を持ち、前記のような開示を受ける権限を有さない他の相手に対して開示する可能性がある。【００１８】
更に、Ｙの勤務先など開示動作の行われる場所を指定し、ＧＰＳ（Global Positioning System）などの位置情報を用いて開示動作の制限を行うことも可能であるが、誤差が生じる、もしくは、ビル内では正確な測地が困難であるなどの問題がある。【００１９】
以上より、本発明の目的は、データ利用者が機密情報をある特定の相手にのみ開示するにあたり、その相手の対面で、その相手が権限を有するものであることを確認したときにのみ開示が可能となるような利用管理システムを提供することにある。
【課題を解決するための手段】
【００２０】
本発明の第１の観点によれば、通信手段を備える情報機器端末と秘密情報管理サーバ装置を備えるデータ伝送システムにおける権限管理方法であって、予め、秘密情報管理サーバ装置から秘密情報を利用可能にするために必要な情報を、正当な利用許可相手の情報機器端末に送達しておくデータ送達ステップと、前記送達した情報を当該正当な利用許可相手の情報機器端末に格納するステップと、秘密情報の利用が必要な際に、前記送達した情報の、情報機器端末内での保持を確認する相手方確認ステップと、前記保持の確認により秘密情報の利用を可能にするステップとを備えることを特徴とする権限管理方法が提供される。【００２１】
本発明の第２の観点によれば、通信手段を備える情報機器端末と秘密情報管理サーバ装置を備える権限管理システムであって、予め秘密情報管理サーバ装置から秘密情報を利用可能にするために必要な情報を正当な利用許可相手の情報機器端末に送達しておくデータ送達手段と、前記送達した情報を当該正当な利用許可相手の情報機器端末に格納する手段と、秘密情報の利用が必要な際に、前記送達した情報の情報機器端末内での保持を確認する相手方確認手段と、前記保持の確認により秘密情報の利用を可能にする手段とを備えることを特徴とする権限管理システムが提供される。【００２２】
本発明の第３の観点によれば、秘密情報を管理するサーバ装置であって、データの暗号化を行う手段と、当該暗号化されたデータを復号するために必要な情報を生成する手段と、当該復号するために必要な情報を携帯情報端末に送達するデータ送達手段とを備えることを特徴とする秘密情報管理サーバ装置が提供される。【００２３】
本発明の第４の観点によれば、秘密情報を格納する情報機器端末であって、秘密情報管理サーバ装置から送達された前記復号するために必要な情報を格納する手段と、他の情報機器端末から前記復号するために必要な情報を近接通信により取得する手段と、当該復号するために必要な情報を用い、格納されている秘密情報を使用可能な状態に再生する手段とを備えることを特徴とする秘密情報を格納する情報機器端末が提供される。【００２４】
本発明の第５の観点によれば、秘密情報を管理するサーバ装置としてコンピュータを機能させるためのプログラムであって、前記サーバ装置は、データの暗号化を行う手段と、当該暗号化されたデータを復号するために必要な情報を生成する手段と、当該復号するために必要な情報を携帯情報端末に送達するデータ送達手段とを備えることを特徴とするプログラムが提供される。【００２５】
本発明の第６の観点によれば、秘密情報を格納する情報機器端末としてコンピュータを機能させるためのプログラムであって、前記情報機器端末は、秘密情報管理サーバ装置から送達された前記復号するために必要な情報を格納する手段と、他の情報機器端末から前記復号するために必要な情報を近接通信により取得する手段と、当該復号するために必要な情報を用い、格納されている秘密情報を使用可能な状態に再生する手段とを備えることを特徴とする秘密情報を格納するプログラムが提供される。
【発明の効果】
【００２６】
本発明によれば、あらかじめ権限を有することが確認された相手の端末に復号鍵の一部を送付し、しかもその端末との近接性を有することを確認することにより、該復号鍵の使用を可能とすることにより、個人データ、娯楽コンテンツや業務データなどを、ある特定の開示相手にのみ開示したい場合において、その相手を対面で確認したときにのみ開示が可能となるような、その相手が権限を有するものであることを確認したうえでの、開示条件の厳格化が図られた利用管理システムを提供することが可能となる。
【図面の簡単な説明】
【００２７】
【図１】本発明の構成例を示す図である。
【図２】本発明の構成例を示す図である。
【図３】本発明の実施形態の動作を表す概念図である。
【図４】本発明の実施形態の動作を表す概念図である。
【図５】本発明の実施形態の動作を表す概念図である。
【符号の説明】
【００２８】
１００  データ保持者携帯端末Ａ
１１０  通信部
１２０  端末データ記憶部
１３０  電子メール制御部
１４０  データ管理部
１４１  鍵管理部
１４２  鍵合成部
１４３  鍵復号部
１５０  近接通信部
１６０  ユーザインタフェース部
２００  開示対象者端末Ｂ
２１０  電子メール制御部
２２０  鍵管理部
２３０  近接通信部
３００  秘密情報管理サーバ装置
３１０  サーバデータ記憶部
３２０  権限管理部
３２１  鍵生成部
３２２  鍵暗号化部
３２３  鍵管理部
３３０  通信部
３４０  電子メール制御部
４００  データ保持者携帯端末Ｃ
４１０  カメラ撮影部
４２０  バーコード解釈部
４３０  データ管理部
４３１  トークン確認部
４３２  鍵管理部
４３３  復号化部
４４０  ユーザインタフェース部
４５０  通信部
４６０  電子メール制御部
４７０  端末データ記憶部
５００  開示対象者端末Ｄ
５１０  電子メール制御部
５２０  電子メール表示部
６００  秘密情報管理サーバ装置
６１０  サーバデータ記憶部
６２０  権限管理部
６２１  鍵生成部
６２２  暗号化部
６２３  鍵管理部
６３０  電子メール制御部
６４０  通信部
【発明を実施するための最良の形態】
【００２９】
［実施形態１］【００３０】
（実施形態１−１）実施形態の構成【００３１】
まず、実施形態の基本構成を図１を用いて説明する。【００３２】
秘密情報管理サーバ装置３００は次の部分からなる。サーバデータ記憶部３１０には開示先を制限すべき秘密情報が置かれている。権限管理部３２０は暗号鍵の生成を行う鍵生成部３２１と、この鍵で秘密情報を暗号化する暗号化部３２２と、この鍵を互いに補完しあう２つの部分へと分離する鍵管理部３２３からなる。通信部３３０は、暗号化された秘密データをデータ保持者携帯端末Ａへ送る。電子メール制御部３４０は、分離された鍵を埋め込んだ電子メールをデータ保持者携帯端末Ａと開示を受ける権限を有する開示対象者の開示対象者端末Ｂへ送付する。【００３３】
開示対象者端末Ｂは次の部分からなる。秘密情報管理サーバ装置３００から送られた電子メールは電子メール制御部２１０で受け取られ、その中にある復号鍵の一部は鍵管理部２２０に保持される。データの開示を求める際は、この鍵が近接通信部２３０を介してデータ保持者携帯端末Ａへ送られる。【００３４】
データ保持者携帯端末Ａは次の部分からなる。通信部１１０は秘密情報管理サーバ装置３００から送られた秘密データを端末データ記憶部１２０に書き込む。電子メール制御部１３０で受け取られた電子メールに埋めこまれた復号鍵の一部はデータ管理部１４０の鍵管理部１４１に保持される。開示対象者端末Ｂから近接通信部１５０を介して受け取られた復号鍵の一部は、鍵合成部１４２で他の一部と合成され、合成された復号鍵によって、端末データ記憶部１２０に保持された秘密データは復号化部１４３で復号され、この開示データはユーザインタフェース部１６０を通じて開示対象者に開示される。【００３５】
（実施形態１−２）実施形態の動作【００３６】
上記構成の下での実施形態の動作を図３を参照して、例えば秘密情報管理サーバ装置３００上にある秘密データを、データ保持者Ｘのデータ保持者携帯端末Ａに格納して、開示を受ける権限を有する開示対象者Ｙの元に持参しそこでＹに開示する場合の動作について説明する。【００３７】
まず秘密データを暗号化し、後に復号するための暗号・復号化鍵が生成され、該暗号・復号化鍵を用いて秘密データが暗号化される。暗号化はＤＥＳ（Data Encryption Standard）やＡＥＳ（Advanced Encryption Standard）のような対称鍵方式でも、あるいはＲＳＡ（Rivest Shamir Adleman）のような非対称鍵方式でも良い。暗号化された秘密データは、公衆回線、無線ＬＡＮ、あるいはＳＤカードのような記憶媒体を介してデータ保持者携帯端末Ａへ移される。【００３８】
これを復号するための復号鍵は両者が揃わなければ復号できないような２つの部分に分離され、一方はデータ保持者携帯端末Ａ内部に保持される。当該復号鍵の送付は、権限管理部３２３から電子メールに含ませる形でデータ保持者携帯端末Ａへ送られても、あるいは前記した秘密データと同様に、ＬＡＮを用いたりＳＤカードのような記憶媒体を介してデータ保持者携帯端末Ａへ移動しても良い。【００３９】
また、もう一方の鍵は、あらかじめ調べてあった開示対象者Ｙが保有し利用する開示対象者端末Ｂのアドレス宛に、電子メールに含ませる形で送付され、開示対象者端末Ｂ内に保持される。【００４０】
ＸがＹに対してデータを開示する場合、ＸはＹを物理的に訪問して対面する。Ｘは、開示対象者Ｙを目視で確認したあと、Ｙの持つ開示対象者端末Ｂの内部にある復号鍵の一部をデータ保持者携帯端末Ａに移動させる。【００４１】
この移動は、データ保持者携帯端末Ａと開示対象者端末Ｂの近接性を保証できれば、その手段は問わない。【００４２】
当該復号鍵の一部データの移動手段としては例えばＦｅｌｉＣａ（登録商標）のような非接触通信機能を持つＩＣカード間通信手段を用いることや、あるいはＢｌｕｅｔｏｏｔｈ（登録商標）のような近接通信手段を用いることによって行うことが挙げられる。このような近接することを要する通信手段を用いることにより、データ保持者Ｘが開示を受ける権限を有する開示先相手Ｙに直接対面し、通信相手がＹであることを確認できる。【００４３】
更に、Ｙもデータ保持者がＸであることが確認できる。【００４４】
開示対象者端末Ｂからデータ保持者携帯端末Ａへ前記近接的通信手段により移された復号鍵の一部は、データ保持者携帯端末Ａ内にあった復号鍵の一部と合成されて復号鍵が再生される。当該再生された復号鍵を用いることによってデータ保持者携帯端末Ａ内にあった秘密データが復号される。復号されたデータはユーザインタフェース部１６０を介して画面に表示されるなどの方法で開示対象者Ｙへ開示される。【００４５】
なお、開示対象者Ｙを確認後に別の意図しない無権限の相手に開示されるのを防ぐため、開示対象者端末Ｂからデータ保持者携帯端末Ａへ移された鍵、再生後の復号鍵、復号後の秘密データの各々に有効期限を設けることも有効である。例えば５分経過後はデータが消去されるなどの仕組みを入れることが考えられる。開示を受ける権限を有することの証明についての有効期限を延長するには、再び開示対象者端末Ｂとデータ保持者携帯端末Ａとの間で、前記の近接通信による近接性確認などの手続きを要求すればよい。【００４６】
［実施形態２］【００４７】
上述の実施形態では、復号鍵を分割し、端末間の近接通信を使用して部分鍵を開示対象者端末Ｂからデータ保持者携帯端末Ａへ移動させたが、同様の効果を上げられる別の実施形態として、直接復号鍵を分割するのではなく、復号鍵を外からは操作できず、ある条件が成立したときにのみ利用できるような形でデータ保持者携帯端末Ａ内に保持しておくという手段も可能である。【００４８】
このような実施形態である実施形態２の構成及び動作を図２、図４を用いて説明する。【００４９】
まず、当該実施形態では、秘密情報管理サーバ装置６００の、権限管理部６２０の鍵管理部６２３において、復号鍵に対応するユニークなトークンを生成する。【００５０】
鍵は送付されてデータ保持者携帯端末Ｃ内に保持され、対応するトークンの存在が確認できたときにのみその使用が可能になるように管理される。【００５１】
当該トークンは例えば対応するバーコード形式に変換されてサーバから開示対象者端末Ｂへ送るメール内に添付される。ここで、バーコード形式の例としては、ＱＲコード（Quick Response Code）（登録商標）が挙げられる。【００５２】
次に、開示対象者の確認動作においては、開示対象者端末Ｂの電子メール制御部５１０がメールソフトを用い、前記の変換された該トークンをバーコード形式のまま開示対象者端末Ｂの電子メール表示部５２０に表示する。【００５３】
これをデータ保持者携帯端末Ａに内蔵されているカメラ撮影部４１０で撮影し、データ保持者携帯端末Ｃ内のバーコード解釈部４２０において、バーコードをトークンの値に翻訳することでその内容を確認する。該トークンの正当性が確認できれば、復号鍵が使用可能となり、開示を受ける権限を有する開示対象者に対し秘密データを開示することができる。【００５４】
当該実施形態は、カメラ機能さえ備えていれば、近接通信手段を備えていない端末間であっても実施可能であり、実施形態１に比べ、より安価に、また容易に本発明を実現できる。【００５５】
さらには、開示対象者端末Ｂではその送られたトークン、あるいは当該トークンをハッシュ関数を用いて生成したハッシュ値、若しくは再暗号化など一定のルールで変換したものを電子メール表示部５２０に表示し、Ｘがそれを目視しながら、当該文字列をデータ保持者携帯端末Ｃのテンキーなどの入力装置から入力することによって、トークンの正当性を確認することも可能である。【００５６】
［実施形態３］【００５７】
加えて、更に確実に開示対象者の正当性を確認するための実施形態として、実施形態３が考えられる。この点、基本的構成は上記の実施形態１及び２と同様である。もっとも、以下の実施形態を実施するために開示対象者端末ＢまたはＤが複数個必要となる。【００５８】
実施形態３の動作について以下に説明する。なお、図５は、当該実施形態に対応するものである。【００５９】
まず、上記の実施形態１及び２では開示を受ける権限を有する開示対象者を１人と想定しているが、実施形態３では、より開示対象者の正当性に関する判定を確実なものとするために、あらかじめ開示を受ける権限を有する開示対象者複数人に分離した復号鍵もしくは、トークンを配布しておく。例えば、開示対象部署の複数人に、分離した復号鍵もしくは、トークンを配布しておくことが考えられる。さらに、当該分離した復号鍵もしくは、トークンはその全てが揃わないとデータの復号ができないものであるとする。【００６０】
そして、データ開示時において、前記の分離した復号鍵もしくは、トークンが全てが揃っていることを近接的手段によって確認することとすれば、一部の人間のみが悪意を持っていることで想定外の開示を受ける権限を有さない第三者に開示が行われてしまうという危険性を減らすことができ、より信頼性の高い権限管理が可能になる。【００６１】
さらには、上記のようにトークンの配布対象となった複数人の全てが揃うという条件のみならず、他の条件を設定することも考えられる。【００６２】
例えばあらかじめ開示対象になりうる関係者１０人に開示権限の部分チケット（例えれば半券）に相当するトークンを送付しておく。そして現地でそのうち５人分を近接的手段によって確認できれば復号鍵を利用しての開示が可能となる、というようなものである。【００６３】
このような実施形態にすることにより悪意のある関係者の存在に頑強な管理システムを状況に応じて柔軟に実現することも可能になる。この動作を図５に示す。ここではＭ人に配布し、そのうちのＮ人分が確認できたときに開示可能としている。もしもＭ＝Ｎならば上記の全員確認の場合に相当する。【００６４】
なお、上記いずれの実施形態の実現においても、開示対象者端末Ｂ又はＤに送られた部分復号鍵やトークンが、確実に開示を受ける権限を有する開示対象者Ｙによってのみ現在利用されているということが確認できることが望ましい。【００６５】
そのために、可能であれば当該部分復号鍵やトークンを含んだメールは転送不可という制限がかけられることが望ましい。これを実現するため、メールを端末へ届けてしまう方式でなく、Ｗｅｂベースメールのように、メール本文はメールサーバ上に置いておき、特定の開示対象者端末ＢまたはＤから閲覧やデータ利用時にサーバにアクセスをして閲覧もしくはデータ利用要求を行い、当該データを利用するという形態での実現も効果的である。【００６６】
さらにこの際、生体認証を含むより信頼性の高い方法で、開示対象者端末Ｂ又はＤの利用者が確実に開示対象者Ｙであることが確認できることが望ましい。【００６７】
加えて、上記の端末利用者の生体認証やパスワード入力による本人確認や部分復号鍵やトークンの確認や復号など関連するアクションが行われた時刻や端末状態などの履歴（ログ）が保存されるようになっていればより望ましい。【００６８】
後日に、当該履歴情報を参照して、権限管理の状態やデータの開示状況についての状況確認や検証が行えるようになり、より信頼性の高い利用管理システムを提供することできるためである。【００６９】
また、以上の例では、業務データの開示を行う場合を例示して秘密データの管理という側面から本発明を説明したが、他にも購入した電子チケット、あるいは音楽・映像コンテンツなどの利用権を譲渡もしくは貸与するような場合でも本発明は利用可能である。【００７０】
例えば、あらかじめ前記利用権の、いわゆる半券に相当するトークンをメールで送付し、もう片方の半券は一方の当事者が保持しておいて、対面して相手を確認した後に譲渡動作を完結できる、というようなデータ管理方法もとりうる。【００７１】
また、本発明は前記譲渡のみならず他の用途にも広く応用が可能である。例えば、コンサートなどのイベントや、アミューズメントパーク等の入場管理にも応用できる。具体的には、主催者側が当該イベントへの参加権を有する対象者に対してまずアドレスの登録を求める。【００７２】
前記アドレスの登録があった場合、主催者側は予め前記登録アドレス宛に半券を送付しておく。そして当該半券は前記参加者の所持する携帯電話やＰＤＡなどの携帯端末に格納され、保持される。その後、参加者は、会場の入場口にて前記携帯端末に保持されている半券と、主催者側の管理者の保管する半券との対応関係を近接な通信手段で確認することにより、入場権限を有していることが確認でき開示条件の厳格化が図られた入場の管理を行うことが可能となる。【００７３】
さらに本発明は、前記送付する半券を対象者ごとに変えることにより、入場権限の確認のみならず、当該携帯端末保有者を特定の個人として判別することも可能となる。【００７４】
また、当該形態で実施することにより、より個人の特定が必要である選挙の投票管理などへの応用も可能である。すなわち、選挙会場において前記のような単なる会場への入場管理を行うのみならず、投票の際の本人確認手段としても使用することができる。さらに、前記送付する半券を対象者ごとに変えることにより映画館や劇場などでの座席管理に用いることも可能である。【００７５】
以上より、本発明を使用することによって、あらかじめ確認された開示を受ける権限を有する相手の端末に復号鍵の一部を送付し、しかもその端末との近接性を確認することにより、業務データをある特定の開示相手Ｙにのみ開示したい場合、その相手を対面で確認したときにのみ開示が可能となるような利用管理システムを提供することできるという効果がある。【００７６】
更に近接性をもって確認すべき相手を、任意の複数人全員としたり、該複数人の数名としたりすることも可能となる。【００７７】
加えて、前記端末との近接性をもって確認する業務データを、いわゆる半券とすることにより、権限管理という側面から応用が可能であり入場管理、座席管理などにも利用できる。【００７８】
このように開示相手固有の所有物への直接通信（電子メール）と、近接性確認の組み合わせによって、開示条件の厳格化を図ることにより上記の各実施例のみならず多様な幅広い用途へ利用することが可能である。【００７９】
本願は、日本の特願２００７−０１６５６１（２００７年１月２６日に出願）に基づいたものであり、又、特願２００７−０１６５６１に基づくパリ条約の優先権を主張するものである。特願２００７−０１６５６１の開示内容は、特願２００７−０１６５６１を参照することにより本明細書に援用される。【００８０】
本発明の代表的な実施形態が詳細に述べられたが、様々な変更(changes)、置き換え(substitutions)及び選択(alternatives)が請求項で定義された発明の精神と範囲から逸脱することなくなされることが理解されるべきである。また、仮にクレームが出願手続きにおいて補正されたとしても、クレームされた発明の均等の範囲は維持されるものと発明者は意図する。
【産業上の利用可能性】
【００８１】
本発明は、個人データ、娯楽コンテンツや業務データなどを、ある特定の開示相手にのみ開示したい場合に適用することができる。
【図１】
2008090779.tif 000003
【図２】
2008090779.tif 000004
【図３】
2008090779.tif 000005
【図４】
2008090779.tif 000006
【図５】
2008090779.tif 000007
【国際調査報告】
2008090779.tif 000008
2008090779.tif 000009
2008090779.tif 000010
2008090779.tif 000011
2008090779.tif 000012
2008090779.tif 000013
2008090779.tif 000014
2008090779.tif 000015