(57)【要約】【課題】電子メールの宛先に指定された受信者に限定して、電子メール送信者のデータへのアクセスを許可することができるアクセス制御システムを提供する。【解決手段】通信装置２−Ｓは、宛先メールアドレス３０２を抽出して記憶部２４の電子証明書１００で署名して生成したアクセス権ファイル２００を添付した電子メール３００を宛先へ送信する。通信装置２−Ｒは、電子メール３００を受信し、アクセス権ファイル２００に記憶部２４の電子証明書１００で署名して生成した公開要求４００をデータサーバ３へ送信する。データサーバ３は、公開要求の署名データ４０１とアクセス権ファイル署名データ２０３について共に署名検証に成功し、且つ、公開要求の署名データ４０１に含まれる電子メールアドレス１２３とアクセス権ファイル２００の宛先メールアドレス２０２とが一致する場合、記憶部３２のデータ５０３を通信装置２−Ｒへ送信する。【選択図】図１
2014030154.tif 000002
【特許請求の範囲】
【請求項１】
電子メールの送信者のデータへのアクセスを当該電子メールの宛先に当該送信者によって指定された受信者に限定して許可するアクセス制御システムであって、
電子メールアドレスに対応させてデータを記憶した記憶部と、
送信者の電子メールアドレスを設定した送信者に発行された第一の電子証明書を用いて電子メールの宛先メールアドレスに署名したアクセス権ファイル及び公開要求者の電子メールアドレスを含む公開要求を受信する通信部と、
前記アクセス権ファイルの署名検証を行ない検証成功か否かの判定を行う署名検証手段と、
前記署名検証手段が検証成功と判定し、且つ、前記宛先メールアドレスと前記公開要求者の電子メールアドレスが一致すると前記第一の電子証明書に含まれる電子メールアドレスに対応する前記データへのアクセスを許可し、一致しない場合は不許可とするアクセス制御手段と、
を有するデータサーバを含むことを特徴としたアクセス制御システム。
【請求項２】
前記公開要求は、公開要求者の電子メールアドレスを設定した公開要求者に発行された第二の電子証明書を用いて署名されており、
前記署名検証手段は、前記公開要求の第二の電子証明書による署名の検証と前記アクセス権ファイルの署名の検証とがともに成功すると検証成功と判断する請求項１に記載のアクセス制御システム。
【請求項３】
前記アクセス権ファイルには、前記第一の電子証明書を用いて署名した前記データを特定するデータＩＤを含み、
前記アクセス制御手段は、前記データＩＤにて特定されたデータへのアクセスを許可する請求項１または請求項２に記載のアクセス制御システム。
【請求項４】
更に、送信者の電子メールアドレスを設定した送信者に発行された前記第一の電子証明書を予め記憶しており、
前記電子メールを作成する際に、前記第一の電子証明書を用いて当該電子メールの宛先電子メールアドレスに署名して前記アクセス権ファイルを生成するアクセス権ファイル生成手段と、
作成したアクセス権ファイルを添付して電子メールを前記宛先電子メールアドレスに対して送信する電子メール手段を有する第一通信装置を含む請求項１〜請求項３の何れか１項に記載のアクセス制御システム。
【請求項５】
更に、公開要求者の電子メールアドレスを設定した公開要求者に発行された前記第二の電子証明書を予め記憶しており、
前記アクセス権ファイルが添付された電子メールを受信して前記データの公開を要求する際に、第二の電子証明書を用いて前記アクセス権ファイルに署名した前記公開要求を生成する公開要求生成手段と、
当該公開要求を前記データサーバに送信してデータを取得するデータ取得手段を有する第二通信装置を含む請求項２〜請求項４の何れか１項に記載のアクセス制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子メールの宛先に指定された受信者に限定して、電子メール送信者のデータへアクセスを許可するアクセス制御システムに関する。
【背景技術】
【０００２】
従来、特許文献１には、電子メールの発信者の個人情報を電子メールの着信者へ公開する個人情報管理システムが提案されている。この個人情報管理システムは、電子メールを発信する発信端末と、電子メールを受信する着信端末と、発信者の個人情報を登録する個人情報管理サーバとを有する。発信端末は、発信者の個人情報にパスワードを設定して個人情報管理サーバに予め登録し、着信者にその個人情報を公開する場合、そのパスワードを電子メールに記入して着信端末に発信する。着信端末は、受信した電子メールに記入されたパスワードを個人情報管理サーバに提示して発信者の個人情報の取得を要求する。個人情報管理サーバは、発信者の個人情報に設定されたパスワードと、着信端末から提示されたパスワードが一致すると、発信者の個人情報を着信端末に送信している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−５１４７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載された個人情報管理システムは、発信者の個人情報を着信者に公開することができる。しかしながら、着信者が発信端末から受信した電子メールを第三者に転送した場合、その転送された電子メールを受信した第三者も発信者の個人情報を参照することが可能となる。そのため、特許文献１に記載された個人情報管理システムは、発信者が意図していない者、この場合転送した電子メールの着信者にまで個人情報が公開されてしまうこととなっていた。
【０００５】
そこで、本発明は、電子メールの送信者が意図した範囲、すなわち、当該電子メールを直接受信した利用者に制限して送信者のデータを公開するアクセス制御システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
かかる課題を解決するために、本発明は、電子メールの送信者のデータへのアクセスを当該電子メールの宛先に当該送信者によって指定された受信者に限定して許可するアクセス制御システムであって、電子メールアドレスに対応させてデータを記憶した記憶部と、送信者の電子メールアドレスを設定した送信者に発行された第一の電子証明書を用いて電子メールの宛先メールアドレスに署名したアクセス権ファイル及び公開要求者の電子メールアドレスを含む公開要求を受信する通信部と、アクセス権ファイルの署名検証を行ない検証成功か否かの判定を行う署名検証手段と、署名検証手段が検証成功と判定し、且つ、前記宛先メールアドレスと前記公開要求者の電子メールアドレスが一致すると前記第一の電子証明書に含まれる電子メールアドレスに対応する前記データへのアクセスを許可し、一致しない場合は不許可とするアクセス制御手段を有するデータサーバを含むアクセス制御システムを提供する。
かかる構成により、本発明は電子メールを直接受信した利用者に限定してデータへのアクセスを、セキュリティ性を高く許可することができる。
【０００７】
また、好適には、公開要求が、公開要求者の電子メールアドレスを設定した公開要求者に発行された第二の電子証明書を用いて署名されており、署名検証手段は、前記公開要求の第二の電子証明書による署名の検証と前記アクセス権ファイルの署名の検証とがともに成功すると検証成功と判断する。かかる構成により、公開要求者の確認をよりセキュリティ性を高めて行なうことができる。
【０００８】
更に好適には、アクセス権ファイルには、第一の電子証明書を用いて署名したデータを特定するデータＩＤを含めて、アクセス制御手段がデータＩＤにて特定されたデータへのアクセスを許可することにより、送信者の電子メールアドレスのみでは識別できない複数のデータがある場合であっても、データＩＤにより識別して公開できるようになる。
【０００９】
また、かかるアクセス制御システムは、送信者の電子メールアドレスを設定した送信者に発行された第一の電子証明書を予め記憶し、電子メールを作成する際に、第一の電子証明書を用いて当該電子メールの宛先電子メールアドレスに署名してアクセス権ファイルを生成するアクセス権ファイル生成手段と、作成したアクセス権ファイルを添付して電子メールを宛先電子メールアドレスに対して送信する電子メール手段を有する第一通信装置を有するのが好ましい。かかる構成により、データサーバは、第一通信装置において作成されたアクセス権ファイルを含む公開要求を受信し、アクセス権ファイルに記載された電子メールの宛先電子メールアドレスの利用者に限定してデータへのアクセスを許可する。
【００１０】
また、かかるアクセス制御システムは、公開要求者の電子メールアドレスを設定した公開要求者に発行された前記第二の電子証明書を予め記憶し、アクセス権ファイルが添付された電子メールを受信してデータの公開を要求する際に、第二の電子証明書を用いてアクセス権ファイルに署名した公開要求を生成する公開要求生成手段と、当該公開要求をデータサーバに送信してデータを取得するデータ取得手段を有する第二通信装置を有するのが好ましい。かかる構成により、データサーバは、第二通信装置からアクセス権ファイルを含む公開要求を受信し、アクセス権ファイルに記載された電子メールの宛先電子メールアドレスの利用者に限定してデータへのアクセスを許可する。
【発明の効果】
【００１１】
本発明に係るアクセス制御システムは、電子メールを直接受信した利用者に制限して送信者のデータを公開することができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施形態によるアクセス制御システムを含むネットワークシステム構成を示す図である。
【図２】電子メールを送受信する通信装置の機能ブロック図である。
【図３】電子証明書のファイル形式例を示す模式図である。
【図４】アクセス権ファイルのファイル形式例を示す模式図である。
【図５】Ｓ／ＭＩＭＥ署名付き電子メールのデータ形式例を示す模式図である。
【図６】公開要求のデータ形式例を示す模式図である。
【図７】通信装置における電子メール送信処理のフローチャートである。
【図８】通信装置におけるデータ閲覧処理のフローチャートである。
【図９】データサーバの機能ブロック図である。
【図１０】データテーブルの例を示す模式図である。
【図１１】データサーバによるアクセス制御処理のフローチャートである。
【図１２】アクセス制御システムの全体動作を説明するシーケンス図である。
【発明を実施するための形態】
【００１３】
以下、本発明の一実施形態であるアクセス制御システムについて図を参照しつつ説明する。
図１は、本発明の一実施形態によるアクセス制御システムを含むネットワークシステム構成を示す図である。図１に示すように、ネットワークシステム１は、３つの通信装置２とデータサーバ３とがネットワーク４を介して接続されている。
通信装置２は、ネットワーク４を介して電子メールの送受信をすることができる端末である。また、受信した電子メールの送信者に関するデータをデータサーバ３にアクセスして参照するための機能も有している。
本実施の形態においては、３つの通信装置２はそれぞれ、通信装置２−Ｓが電子メールの送信者端末、通信装置２−Ｒが電子メールを受信するとともに受信した電子メールを通信装置２−ＦＲに転送する受信者端末、通信装置２-ＦＲが転送された電子メールを受信する転送メール受信端末としての役割を担うので、区別して符号をそれぞれ付与している。
データサーバ３は、送信者に関するデータを予め記憶しており、アクセス権ファイルを用いてデータへのアクセスを制御し、データを提供する。
ネットワーク４は、インターネット・イントラネット等で構成されるネットワークである。
【００１４】
通信装置２の構成について、図２を参照して詳細に説明する。なお、通信装置２−Ｓ、２−Ｒ、２-ＦＲは基本的に構成が同じであるため、代表して通信装置２として、図を用いて説明する。なお、各通信装置２には、その利用者の個々に発行される後述する電子証明書１００が記憶されている。通信装置２は、通信部２１と、表示部２２と、操作部２３と、記憶部２４と、制御部２５とを有する。
【００１５】
通信部２１は、ネットワーク４に通信装置２を接続するためのインターフェース回路及びそのドライバソフトウェア等で構成される。そして、通信部２１は、制御部２５の制御に従って、メールサーバ(不図示)を介して電子メール３００を送受信する。また、通信部２１は、データサーバ３へデータ５０３を要求する公開要求４００を送信し、その結果として、データ５０３又は拒否通知を受信し、制御部２５へ渡す。
【００１６】
表示部２２は、液晶ディスプレイ、有機ＥＬディスプレイなどの表示デバイスで構成され、電子メール３００の作成画面、電子メール３００の内容表示画面、データ５０３の表示画面等を表示する。
【００１７】
操作部２３は、通信装置２の利用者が通信装置２を操作するための操作インターフェースである。操作部２３は、キーボード、テンキー等の入力デバイスで構成され、利用者からの各種操作を受け付け、それらの操作に対応する信号を制御部２５へ出力する。
なお、表示部２２及び操作部２３をタッチパネルディスプレイで一体として構成してもよい。その場合、タッチパネルディスプレイに利用者が各種操作を入力するためのキーボード画面を表示することにより、操作部２３の機能を実現できる。操作部２３は、そのキーボード画面を利用者が操作することにより、それらの操作に対応する信号を制御部２５へ出力する。
【００１８】
記憶部２４は、半導体メモリ、磁気記録媒体及びそのアクセス装置並びに光記録媒体及びそのアクセス装置のうちの少なくとも一つを有する。そして、記憶部２４は、通信装置２を制御するためのコンピュータプログラム、各種パラメータ及びデータなどを記憶する。また、記憶部２４は、通信装置２の利用者を所有者として認証局（不図示）から発行された電子証明書１００を記憶する。
【００１９】
ここで、図３を参照して、電子証明書１００のファイル形式を説明する。電子証明書１００は、例えばＰＫＣＳ（Public-Key Cryptography Standards）＃１２に準拠するファイル形式を有し、その電子証明書１００の所有者の秘密鍵１１０と、公開鍵証明書１２０とを含む。所有者の秘密鍵１１０は、所有者以外の人物が使用できないようにパスワードで保護されている。公開鍵証明書１２０は、公開鍵１２１とその所有者を証明するものであり、例えばＩＴＵ−ＴのＰＫＩの規格Ｘ．５０９に準拠する形式を有する。公開鍵証明書１２０は、所有者の秘密鍵１１０と対になる公開鍵１２１、所有者の名前１２２、所有者を識別する識別情報である所有者の電子メールアドレス１２３、公開鍵証明書１２０を発行した認証局の名前１２４、証明書の有効期間１２５、シリアルナンバー１２６等を含む。なお、この公開鍵証明書１２０は、予め第三者認証機関である認証局によって発行されている。
【００２０】
図２に戻って、制御部２５は、一個または複数個のプロセッサ及びその周辺回路を有する。制御部２５は、電子メール３００の送信処理と電子メール３００の受信処理を実施する。制御部２５は、そのプロセッサ上で動作するソフトウェアにより実装される機能モジュールとして、電子メール手段２５１と、電子メール手段２５１の機能を支援する送信プラグインと受信プラグインを有する。送信プラグインには、アクセス権ファイル生成手段２５２と、Ｓ／ＭＩＭＥ署名手段２５３を有している。受信プラグインには、Ｓ／ＭＩＭＥ検証手段２５４と、公開要求生成手段２５５と、データ取得手段２５６を有する。なお、制御部２５が有するこれらの各部は、独立した集積回路、ファームウェア、マイクロプロセッサなどで構成されてもよい。
【００２１】
電子メール手段２５１は、送信者が操作部２３から入力した電子メール３００の本文３０３、電子メール３００の宛先メールアドレス３０２、各種添付ファイルなどからなる電子メール３００を作成し、通信部２１を介して電子メール３００を送信する送信機能と、通信部２１を介して電子メール３００を受信、表示可能にする受信機能を持ち各種プラグインソフトと連携するいわゆるメールソフトである。なお、電子メール３００については、図５を参照して後述する。
【００２２】
アクセス権ファイル生成手段２５２は、送信者による電子メール３００の送信操作にて起動され、アクセス権ファイル２００を生成する。具体的には、電子メール手段２５１が作成した電子メール３００の本文３０３に含まれるデータ公開ＵＲＬ３０３ａと、電子メール３００のヘッダに含まれる宛先メールアドレス３０２を抽出する。なお、データ公開ＵＲＬ３０３ａは、データ５０３を記憶するデータサーバ３のアドレスとデータ５０３を識別するデータＩＤ５０２を連結したＵＲＬとなっている。抽出したデータ公開ＵＲＬ３０３ａと宛先メールアドレス３０２を署名対象として、記憶部２４の送信者の電子証明書１００を用いて署名し、署名値に公開鍵証明書１２０を合わせてアクセス権ファイル２００の署名データ２０３を生成する。そして、アクセス権ファイル生成手段２５２は、データ公開ＵＲＬ３０３ａと、宛先メールアドレス３０２と、アクセス権ファイル署名データ２０３とを含むアクセス権ファイル２００を生成する。そして、アクセス権ファイル生成手段２５２は、電子メール３００にかかるアクセス権ファイル２００を添付する。なお、本実施の形態では、データ公開ＵＲＬ３０３ａをアクセス権ファイル２００に記載しているが、データ公開ＵＲＬ３０３ａを電子メール３００の受信者に知らせる方法があれば省略してもよい。
【００２３】
ここで、図４を参照し、アクセス権ファイル２００のファイル形式について説明する。アクセス権ファイル２００は、データ公開ＵＲＬ２０１と、宛先メールアドレス２０２と、アクセス権ファイル署名データ２０３から構成されている。データ公開ＵＲＬ２０１は、電子メールの本文から抽出したデータ公開ＵＲＬ３０３ａである。宛先メールアドレス２０２は、電子メール３００のヘッダから抽出した宛先メールアドレス３０２である。アクセス権ファイル署名データ２０３は、送信者の電子証明書１００による署名値２０３ａと、署名属性２０３ｂと、送信者の公開鍵証明書２０３ｃとを含む。電子証明書１００による署名値２０３ａは署名対象であるデータ公開ＵＲＬ２０１と宛先メールアドレス２０２のハッシュ値を送信者の電子証明書１００に記載された秘密鍵１１０で暗号化した値である。署名属性２０３ｂは、署名した時刻を含む。送信者の公開鍵証明書２０３ｃは、図３で説明した公開鍵証明書１２０である。
【００２４】
図２に戻って、Ｓ／ＭＩＭＥ署名手段２５３は、送信者による電子メール３００の送信操作にて起動し、Ｓ／ＭＩＭＥ（Secure Multipurpose Internet Mail Extensions）の規格に従って、通信部２１を介して送信する直前の状態の電子メール３００に送信者の電子証明書１００を用いて署名する。
【００２５】
ここで、図５を参照して、Ｓ／ＭＩＭＥの規格に従って署名された電子メール３００のデータ形式を説明する。電子メール３００は、送信元メールアドレス３０１、宛先メールアドレス３０２、本文３０３、添付ファイルのアクセス権ファイル２００、Ｓ／ＭＩＭＥの署名データ３０４からなるデータ形式をとっている。
送信元メールアドレス３０１は、電子証明書１００にある所有者の電子メールアドレス１２３を抽出して設定される。なお、かかる送信元メールアドレス３０１の設定は、送信者が手動にて電子メールアドレスを入力しても良いが、この場合は所有者の電子メールアドレス１２３との一致が確認されることが設定の条件となる。
また、宛先メールアドレス３０２は、任意のメール送信先の電子メールアドレスを送信者が入力または選択することで設定される。
Ｓ／ＭＩＭＥの規格に従った署名では、電子メール３００の本文３０３と添付ファイルであるアクセス権ファイル２００とが署名対象となる。Ｓ／ＭＩＭＥの署名値は、Ｓ／ＭＩＭＥの署名対象のハッシュ値を送信者の電子証明書１００に記載された秘密鍵１１０で暗号化した値である。Ｓ／ＭＩＭＥの署名値と送信者の公開鍵証明書１２０とがＳ／ＭＩＭＥの署名データ３０４として電子メール３００のフッタ部分に付加され、Ｓ／ＭＩＭＥの署名データ３０４は電子メール３００の添付ファイルの一種として扱われる。
なお、電子メール３００の本文３０３には、データサーバ３に予め登録された送信者のデータ５０３を開示するウェブページのＵＲＬである、データ公開ＵＲＬ３０３ａが含まれる。データ公開ＵＲＬ３０３ａは、例えばデータサーバ３のアドレスと、データ５０３を識別するデータＩＤ５０２から構成されている。本実施の形態では、データ公開ＵＲＬ３０３ａを記憶部２４に予め記憶しており、送信者が本文３０３を入力する際に記憶部２４から選択入力する。なお、送信者が操作部２３から本文３０３に手動入力するようにしても良い。本実施の形態では、データ公開ＵＲＬ３０３ａを本文３０３に記載しているが、これに限られることなく、電子メールの受信者へ伝達できればどのような方法を採用しても良い。
【００２６】
図２に戻って、受信プラグインの一部であるＳ／ＭＩＭＥ検証手段２５４は、操作部２３から電子メール３００の表示操作があると起動し、Ｓ／ＭＩＭＥの規格に従って署名された電子メール３００のＳ／ＭＩＭＥ署名データ３０４を用いて検証を実施する。これにより、電子メール３００の本文３０３と添付されているアクセス権ファイル２００が送信中に改竄されていないか、電子メール３００の送信者のなりすましがないかを確認する。
【００２７】
公開要求生成手段２５５は、操作部２３から受信者が受信した電子メール３００のデータ５０３の公開を要求する操作により起動し、データ５０３の公開を要求するための公開要求４００を作成する。すなわち、受信した電子メール３００に添付されているアクセス権ファイル２００に受信者の電子証明書１００を用いて署名して署名データ４０１を生成し、アクセス権ファイル２００と生成した署名データ４０１とを含む公開要求４００を生成する。
【００２８】
ここで、図６を参照して、公開要求４００のデータ形式を説明する。公開要求４００は、アクセス権ファイル２００と、このアクセス権ファイル２００に電子証明書１００を用いて署名した署名データ４０１とで構成される。公開要求４００の署名データ４０１は、電子証明書１００による署名値４０１ａと、署名属性４０１ｂと、公開鍵証明書４０１ｃとを含む。署名値４０１ａは署名対象であるアクセス権ファイル２００全体のハッシュ値を電子証明書１００に記載された秘密鍵１１０で暗号化した値である。署名属性４０１ｂは、署名した時刻を含む。公開鍵証明書４０１ｃは、図３で説明した公開鍵証明書１２０である。
【００２９】
図２に戻って、データ取得手段２５６は、利用者が操作部２３からデータの公開を要求するデータ取得操作を行うと公開要求生成手段２５５と共に起動され、公開要求生成手段２５５が生成した公開要求４００を通信部２１・ネットワーク４を介してデータサーバ３に送信し、データの取得・表示を行なう。具体的には、利用者が、電子メール３００の本文３０３に記載されたデータ公開ＵＲＬ３０３ａの選択操作を操作部２３から行なうと、通信部２１・ネットワーク４を介してデータ５０３の保管先であるデータサーバ３にアクセスし、公開要求４００を送信する。そして、データサーバ３にて、公開要求４００を用いて後述するアクセス制御処理がなされ、許可されればデータ５０３を受信し表示部２２に表示する。なお、データサーバ３でのアクセス制御の結果が拒否の場合は、その旨を受信し表示することとなる。
【００３０】
本実施の形態では、データサーバ３へアクセスする際に、電子メール３００の本文３０３に記載されたデータ公開ＵＲＬ３０３ａを選択操作しているが、これに限られることなく、データサーバ３にアクセスする専用のアクセスボタンを事前に用意しておき、これを選択するようにしても良い。また、データ公開ＵＲＬ３０３ａを本文に記載しない他の方式でデータ公開ＵＲＬを得た場合は他の入力画面からデータ公開ＵＲＬを手動入力してもよい。
【００３１】
次に、通信装置２の処理フローについて、図７および図８を参照しつつ説明する。電子メール３００の送信処理、受信処理およびデータの参照処理の順に述べる。
【００３２】
図７は、電子メール３００を送信する処理のフローを示している。この処理は、電子メール手段２５１が起動されており、操作部２３にて電子メール作成の開始操作が入力されると開始する。
先ず、ステップＳ３０１では、送信者が操作部２３から入力指定した送信先の電子メールアドレスである宛先メールアドレス３０２、及び本文３０３を、電子メール手段２５１が電子メール３００のデータ形式に設定する。なお、本文３０３に含まれるデータ公開ＵＲＬ３０３ａは、利用者が操作部２３を用いて記憶部２４に記憶されているデータ公開ＵＲＬ３０３ａを選択して入力される。
次に、電子メール手段２５１は、記憶部２４に送信者の電子証明書１００が記憶されているか否かを判定する（ステップＳ３０２）。記憶部２４に送信者の電子証明書１００が記憶されている場合（ステップＳ３０２−Ｙｅｓ）、電子メール３００の送信元メールアドレス３０１として、送信者の電子証明書１００の公開鍵証明書１２０に記載された電子メールアドレス１２３を電子メール３００のデータ形式の送信元メールアドレス３０１に設定する（ステップＳ３０３）。
【００３３】
次に、電子メール手段２５１は、アクセス権ファイル生成手段２５２を呼出してアクセス権ファイル２００を生成する。具体的には、作成中の電子メール３００のデータ形式に設定された本文３０３からデータ公開ＵＲＬ３０３ａを抽出し、アクセス権ファイル２００のファイル形式のデータ公開ＵＲＬ２０１に設定する。また、作成中の電子メール３００のデータ形式に設定された宛先メールアドレス３０２を抽出し、アクセス権ファイル２００のファイル形式の宛先メールアドレス２０２に設定する（ステップＳ３０４）。そして、データ公開ＵＲＬ２０１と、宛先メールアドレス２０２を署名対象として記憶部２４の電子証明書１００を用いて署名してアクセス権ファイル２００の署名データ２０３を生成しアクセス権ファイル２００のファイル形式に設定する。ここで、アクセス権ファイル２００の署名データ２０３には、電子証明書による署名値２０３ａと署名属性２０３ｂが含まれている。更に、電子証明書１００に含まれる公開鍵証明書１２０をアクセス権ファイル２００のファイル形式の公開鍵証明書２０３ｃに設定し、アクセス権ファイル２００を生成する（ステップＳ３０５）。そして、アクセス権ファイル生成手段２５２は、生成したアクセス権ファイル２００を作成中の電子メール３００のデータ形式における添付ファイルとして添付する（ステップＳ３０６）。
次に、電子メール手段２５１は、Ｓ／ＭＩＭＥ署名手段２５３を呼出し、かかるＳ／ＭＩＭＥ署名手段２５３が、アクセス権ファイル２００が添付された作成中の電子メール３００を対象にＳ／ＭＩＭＥの規格に従って記憶部２４の電子証明書１００を用いて署名してＳ／ＭＩＭＥの署名データ３０４を作成するとともに、作成中の電子メール３００のフッタ部に設定する（ステップＳ３０７）。
そして、電子メール手段２５１は、アクセス権ファイル２００が添付されてＳ／ＭＩＭＥの署名データ３０４がついた電子メール３００を、通信部２１を介して宛先メールアドレス３０２に対して送信し（ステップＳ３０８）、一連の電子メール送信処理のステップを終了する。なお、簡単化のためにフローに記載していないが、ステップＳ３０４において、データ公開ＵＲＬ３０３ａを抽出できない場合、その旨を表示部２２に表示させて、一連の処理のステップを終了する。また、ステップＳ３０５及びステップＳ３０７において、記憶部２４の電子証明書１００を用いて署名を行う際に、送信者が秘密鍵１１０の保護パスワードの入力画面でパスワードを間違えたり、入力待ちでタイムアウトしたりするなどして署名処理に失敗すると、その旨を表示部２２に表示させて、一連の処理のステップを終了する。
【００３４】
一方、ステップＳ３０２において記憶部２４に送信者の電子証明書１００が記憶されていない場合（ステップＳ３０２−Ｎｏ）、電子メール手段２５１は、作成した電子メール３００の送信元メールアドレス３０１として、送信者が使用中の電子メールアドレス、すなわち、電子メール手段２５１に予め設定されている標準の送信元メールアドレスを設定し（ステップＳ３０９）、電子メール３００を送信し（ステップＳ３０８）、一連の電子メール送信処理のステップを終了する。つまり、送信者の電子証明書１００が記憶されていない場合は、電子メールにアクセス権ファイルを添付せず、Ｓ／ＭＩＭＥによる署名も実施しない。
【００３５】
ところで、送信者が電子メール３００を新規作成するのではなく、受信した電子メール３００を転送する場合について説明する。かかる場合は、転送メールの本文には受信した電子メール３００の本文３０３が引用され、受信した電子メール３００に添付されていたアクセス権ファイル２００を添付ファイルとした状態で図７のフローが適用される。この際、この送信者により新たにアクセス権ファイル２００が作成されるが、受信した電子メール３００のアクセス権ファイル２００とは別名で、２つ目のアクセス権ファイル２００が添付され、この状態でＳ／ＭＩＭＥ署名されて転送メールが作成されることになる。
本実施の形態とは異なる方式で転送メールを作成する方法としては、受信した電子メール３００自体を添付ファイルの形式にして転送することがある。この場合においても、転送メールの本文３０３に送信者によってデータ公開ＵＲＬ３０３ａが記載されていれば、図７のフローが適用される。つまり、新たに作成されたアクセス権ファイル２００と受信した電子メール３００とが添付された状態でＳ／ＭＩＭＥ署名されることになる。
【００３６】
次に、受信した電子メール３００を表示する処理を説明する。まず、電子メール手段２５１は、操作部２３を介した受信者の操作によって、受信した電子メール３００が選択されて、電子メール３００の内容を表示する指示を取得すると処理を開始し、まず、選択された電子メール３００のＳ／ＭＩＭＥ署名データ３０４の有無を判定する。Ｓ／ＭＩＭＥ署名データ３０４がある場合は、Ｓ／ＭＩＭＥ検証手段２５４が電子メール３００のＳ／ＭＩＭＥの署名データ３０４の検証を実施し、表示部２２にその結果を表示する。かかる検証方法の詳細は、一般的な方法であるので、ここでの説明は省略する。なお、Ｓ／ＭＩＭＥ署名データ３０４がない場合は、電子メール手段２５１は、電子メール３００の内容を表示部２２にそのまま表示する。
【００３７】
次に、図８を参照し、受信した電子メール３００で示された電子メール３００の送信者のデータ５０３を取得する処理のフローを説明する。電子メール手段２５１が起動されており、一つの電子メール３００が選択されている状態であるとする。なお、受信者により電子メール３００が選択されると、電子メール手段２５１は、Ｓ／ＭＩＭＥ検証手段２５４を起動して、かかるＳ／ＭＩＭＥ検証手段２５４が、電子メール３００のＳ／ＭＩＭＥの署名データ３０４を検証する。なお、Ｓ／ＭＩＭＥの署名データ３０４の検証結果が検証失敗である場合は、その旨を表示し、図８の一連の処理を行わないようにしてもよい。
ステップＳ４０１では、電子メール３００の本文３０３に記載されたデータ公開ＵＲＬ３０３ａが受信者の操作に従って選択されることで、電子メール手段２５１、公開要求生成手段２５５およびデータ取得手段２５６が協働して、データ５０３の公開を要求する処理を開始する。
ステップＳ４０２では、電子メール手段２５１は、記憶部２４に受信者の電子証明書１００が記憶されているか否かを判定する。記憶部２４に受信者の電子証明書１００が記憶されている場合（ステップＳ４０２−Ｙｅｓ）、公開要求生成手段２５５は、電子メール３００に添付されているアクセス権ファイル２００に記憶部２４の電子証明書１００を用いて署名した公開要求の署名データ４０１を生成する（ステップＳ４０３）。次に、公開要求生成手段２５５は、アクセス権ファイル２００と、生成した公開要求の署名データ４０１とを含む公開要求４００を作成し、データ取得手段２５６は通信部２１を介して公開要求４００を受信者によって操作されたデータ公開ＵＲＬ３０３ａで示されるデータサーバ３に送信する（ステップＳ４０４）。そして、データサーバ３からの公開要求４００への応答を待つ（ステップＳ４０５）。具体的には、データ取得手段２５６は、送信後にタイマ（不図示）を起動してデータサーバ３からの公開要求４００への応答をポーリングし、データサーバ３から公開要求４００への応答を受信すると（ステップＳ４０５−Ｙｅｓ）、データ取得手段２５６は、データ５０３を受信したか否かを判定する（ステップＳ４０７）。データ５０３を受信すると（ステップＳ４０７−Ｙｅｓ）、データ取得手段２５６は、受信したデータ５０３を表示部２２に表示し（ステップＳ４０８）、一連の処理のステップを終了する。一方、データ５０３を受信せず、すなわち拒否通知を受信すると（ステップＳ４０７−Ｎｏ）、データ取得手段２５６は、データ５０３を取得できなかった旨を表示部２２に表示し（ステップＳ４０９）、一連の処理のステップを終了する。
【００３８】
ステップＳ４０５においてデータサーバ３からの公開要求４００への応答を受信していないとき（ステップＳ４０５−Ｎｏ）、データ取得手段２５６は、タイマにより所定時間が経過していないかどうかを確認し（ステップＳ４０６）、まだ所定時間を経過していなければ（ステップＳ４０６−Ｎｏ）、ステップＳ４０５へ戻る。すでに所定時間を経過していれば（ステップＳ４０６−Ｙｅｓ）、公開要求４００に対しタイムアウトした旨を表示部２２に表示し（ステップＳ４１０）、一連の処理のステップを終了する。
また、ステップＳ４０２において記憶部２４に受信者の電子証明書１００が記憶されていない場合（ステップＳ４０２−Ｎｏ）、公開要求生成手段２５５は、公開要求４００を作成できない旨を表示部２２に表示させ（ステップＳ４１１）、一連の処理のステップを終了する。
なお、ステップＳ４０３おいて、記憶部２４の電子証明書１００を用いて署名を行う際に、受信者が秘密鍵１１０の保護パスワードの入力画面でパスワードを間違えたり、タイムアウトしたりするなどして署名処理に失敗すると、その旨を表示部２２に表示させて、一連の処理のステップを終了する。また、電子メール３００にアクセス権ファイル２００が添付されていない場合、そもそも署名対象が存在しないため、ステップＳ４０３おいて、署名処理に失敗するのはいうまでもない。
【００３９】
次に、データサーバ３の構成について、図９を参照して説明する。
データサーバ３は、利用者のデータを記憶するサーバである。また、データサーバ３は、通信装置２からデータ５０３の公開を要求する公開要求４００を受信すると、その通信装置２の利用者がそのデータ５０３の閲覧を許可された利用者であるか否かを判定し、許可された利用者である場合に限りその通信装置２へデータ５０３を送信する。データサーバ３は、通信部３１と、記憶部３２と、制御部３３とを有する。
【００４０】
通信部３１は、ネットワーク４にデータサーバ３を接続するためのインターフェース回路及びそのドライバソフトウェア等で構成される。通信部３１は、通信装置２から公開要求４００をネットワーク４を介して受信し制御部３３へ渡すとともに、制御部３３の制御に従って公開要求４００に対する応答であるデータ５０３または拒否通知をネットワーク４を介して通信装置２へ送信する。
【００４１】
記憶部３２は、半導体メモリ、磁気記録媒体及びそのアクセス装置並びに光記録媒体及びそのアクセス装置から構成されている。そして、記憶部３２は、データサーバ３を制御するためのコンピュータプログラム、各種パラメータ及びデータなどを記憶する。また、記憶部３２は、利用者のデータ５０３を、利用者の電子メールアドレス５０１とデータＩＤ５０２に関連付けて記憶させたデータテーブル５００を記憶している。
【００４２】
図１０に、データテーブル５００を示す。データテーブル５００では、電子メールアドレス５０１と、データＩＤ５０２と、データ５０３と、アクセス回数５０４とが関連付けて一行一レコードとして記憶される。本実施形態では、電子メールアドレス５０１として利用者の公開鍵証明書１００に記載された利用者が利用する電子メールアドレス１２３が記憶される。また、データＩＤ５０２として、データ５０３のファイル名が記憶され、データ５０３は、利用者の氏名、楽曲データ、日記などの任意のデータが予め記憶されている。また、アクセス回数５０４は、データサーバ３がデータ５０３を読み出して通信装置２に送信した回数が記憶される。なお、利用者の電子メールアドレス５０１とデータＩＤ５０２が常に１対１に対応していれば、データＩＤ５０２を省略しても良い。
【００４３】
制御部３３は、一個または複数個のプロセッサ及びその周辺回路を有する。そして、制御部３３は、データ５０３の公開要求４００に対するアクセス制御処理を行う。制御部３３は、そのプロセッサ上で動作するソフトウェアにより実装される機能モジュールとして、アクセス制御手段３３１と、署名検証手段３３２とを有する。なお、制御部３３が有するこれらの各部は、独立した集積回路、ファームウェア、マイクロプロセッサなどで構成されてもよい。
【００４４】
アクセス制御手段３３１は、通信部３１を介して公開要求４００を受信すると、署名検証手段３３２と協働して、通信装置２の利用者がデータ５０３の閲覧を許可された利用者か否かを判定し、閲覧を許可された利用者であればデータ５０３を通信装置２へ送信し、通信装置２の利用者がデータ５０３の閲覧を許可された利用者でなければ拒否通知を通信部３１からネットワーク４経由にて通信装置２へ送信する手段である。
【００４５】
署名検証手段３３２は、アクセス制御手段３３１からの署名検証要求に基づいて、公開要求４００の署名検証および公開要求４００に含まれるアクセス権ファイル２００の署名検証を行う。
【００４６】
次に、データサーバ３におけるアクセス制御手段３３１によるアクセス制御処理について、図１１のフロー図を参照して詳細に説明する。図１１の処理は、データサーバ３が通信装置２からデータ公開ＵＲＬ３０３ａに対するアクセスの要求を受信すると開始する。
【００４７】
アクセス制御手段３３１は、アクセスの要求において、公開要求４００が含まれるか否かを判定する（ステップＳ５０１）。ここで、アクセスの要求に公開要求４００が含まれない場合（ステップＳ５０１−Ｎｏ）、アクセス制御手段３３１は、アクセスが不適切でアクセス権限なしと判定する（ステップＳ５０２）。
【００４８】
一方、公開要求４００を受信した場合（ステップＳ５０１−Ｙｅｓ）、アクセス制御手段３３１は、署名検証手段３３２に公開要求の署名データ４０１の検証を実施させる（ステップＳ５０３）。すなわち、この検証は、データ５０３の公開を要求した利用者を確認するとともに、当該利用者が公開要求４００に含まれるアクセス権ファイル２００が改竄されていないことを保証することとなる。具体的には、署名検証手段３３２は、図６の公開要求の署名データ４０１から電子証明書による署名値４０１ａと、公開鍵証明書４０１ｃ（１２０）の公開鍵１２１とを読み出し、公開鍵１２１を用いて電子証明書による署名値４０１ａを復号してハッシュ値を求める。さらに、署名検証手段３３２は、公開要求の署名データ４０１の署名対象であるアクセス権ファイル２００のハッシュ値を算出する。そして、署名検証手段３３２は、署名値から求めたハッシュ値と署名対象から算出したハッシュ値とを比較し、一致していればアクセス権ファイル２００に改竄はないと判断する。さらに、署名検証手段３３２は、公開要求の署名データ４０１の公開鍵証明書４０１ｃが有効か否かを、公開鍵証明書４０１ｃに記載された証明書の有効期間１２５、及び、認証局の名前１２４に記載された認証局から取得した電子証明書失効情報により公開鍵証明書４０１ｃが有効期間前に失効していないかを確認し、判定する。かかる公開鍵証明書４０１ｃにより、公開を要求した利用者を所有者の電子メールアドレス１２３を用いて確認できる。
ここで、電子証明書失効情報は、電子証明書を発行した認証局が自局で発行した各電子証明書が有効期間内に失効させられたか、すなわち電子証明書が有効であるか否かを管理するものである。電子証明書失効情報には、証明書の有効期間内に失効した公開鍵証明書のシリアルナンバー１２６と失効した日時とが含まれる。この電子証明書失効情報は認証局によって定期的に更新され、署名検証を行う通信装置等の要求に応じて供給される。
署名検証手段３３２は、アクセス権ファイル２００に改竄がなく、かつ公開鍵証明書２０３ｃが有効であれば検証成功と判定し、それ以外は検証失敗と判定し、判定結果をアクセス制御手段３３１へ出力する。なお、セキュリティ性がやや落ちるが、アクセス権ファイル２００の改竄がないことを検証できたことで検証成功と判定するようにしてもよい。
【００４９】
次に、ステップＳ５０４に進み、アクセス制御手段３３１は、公開要求の署名データ４０１の検証が成功したか否かを判定する。ここで、公開要求の署名データ４０１の検証に失敗した場合（ステップＳ５０４−Ｎｏ）、アクセス制御手段３３１は、公開要求の署名検証失敗によりアクセス権限なしと判定する（ステップＳ５０２）。
【００５０】
一方、公開要求の署名データ４０１の検証に成功した場合（ステップＳ５０４−Ｙｅｓ）、アクセス制御手段３３１は、署名検証手段３３２に、アクセス権ファイル署名データ２０３の検証を実施させる（ステップＳ５０５）。すなわち、かかる検証は、電子メール３００の送信元メールアドレス３０１を確認できるとともに、当該電子メール３００の宛先メールアドレス３０２が改竄されていないことを保証することとなる。そして、電子メール３００の送信元メールアドレス３０１と宛先メールアドレス３０２が強固に結びついていることを担保できる。具体的には、署名検証手段３３２は、図４のアクセス権ファイル２００のアクセス権ファイル署名データ２０３から電子証明書による署名値２０３ａと、公開鍵証明書２０３ｃ（１２０）の公開鍵１２１とを読み出し、公開鍵１２１を用いて電子証明書による署名値２０３ａを復号してハッシュ値を求める。さらに、署名検証手段３２２は、アクセス権ファイル署名データ２０３のデータ公開ＵＲＬ２０１および宛先メールアドレス２０２のハッシュ値を算出する。
そして、アクセス権ファイル署名データ２０３の電子証明書による署名値２０３ａを復号して求めたハッシュ値と、アクセス権ファイル署名データ２０３の署名対象であるデータ公開ＵＲＬ２０１と宛先メールアドレス２０２から算出したハッシュ値とを比較する。一致していれば電子メール３００の送信者が生成したアクセス権ファイル２００、すなわちアクセス権ファイル２００に含まれる宛先メールアドレス２０２およびデータ公開ＵＲＬ２０１について改竄がないことが保証される。さらに、署名検証手段３３２は、アクセス権ファイル署名データ２０３の公開鍵証明書２０３ｃが有効か否かを、公開鍵証明書２０３ｃに記載された証明書の有効期間１２５、及び、認証局の名前１２４に記載された認証局から取得した電子証明書失効情報により公開鍵証明書２０３ｃが有効期間前で失効していないかを確認し、判定する。
公開鍵証明書２０３ｃが有効であれば、当該公開鍵証明書１２０の所有者の電子メールアドレス１２３を用いて、電子メール３００の送信者が署名したことを確認できる。
署名検証手段３３２は、署名対象のデータ公開ＵＲＬ２０１と宛先メールアドレス２０２に改竄がなく、かつ公開鍵証明書２０３ｃが有効であればアクセス権ファイル署名データ２０３の検証成功と判定し、その他であれば検証失敗と判定し、判定結果をアクセス制御手段３３１へ出力する。
【００５１】
そして、アクセス制御手段３３１は、アクセス権ファイル署名データ２０３の検証が成功したか否かを判定する（ステップＳ５０６）。ここで、アクセス権ファイル署名データ２０３の検証が失敗した場合（ステップＳ５０６−Ｎｏ）、アクセス制御手段３３１は、公開要求の署名検証失敗によりアクセス権限なしと判定する（ステップＳ５０２）。
一方、アクセス権ファイル署名データ２０３の署名の検証が成功した場合（ステップＳ５０６−Ｙｅｓ）、ステップＳ５０７に進む。
【００５２】
ステップＳ５０７では、アクセス制御手段３３１がアクセス権ファイル２００に記載された宛先メールアドレス２０２と、公開要求の署名データ４０１に含まれる公開鍵証明書４０１ｃにある所有者の電子メールアドレス１２３とを照合する。ここで、アクセス制御手段３３１は、アクセス権ファイル２００に記載された宛先メールアドレス２０２と、所有者の電子メールアドレス１２３とが一致しない場合（ステップＳ５０８−Ｎｏ）、アクセス権限なしと判定する（ステップＳ５０２）。このように、データサーバ３がアクセスを許可するための情報を予め登録することなく、受信した公開要求４００にてアクセス権限の有無を判定できる。
【００５３】
一方、アクセス権ファイル２００に記載された宛先メールアドレス２０２と、公開要求の署名データ４０１に含まれる公開鍵証明書４０１ｃにある所有者の電子メールアドレス１２３とが一致した場合（ステップＳ５０８−Ｙｅｓ）、アクセス制御手段３３１は、アクセス権限ありと判定し（ステップＳ５０９）、データ５０３へのアクセスを許可する。ちなみに、公開要求４００における公開鍵証明書４０１ｃ（１２０）の所有者の電子メールアドレス１２３とアクセス権ファイル２００に記載された宛先メールアドレス２０２とが一致するということは、電子メール３００の送信者が指定した受信者が公開を要求していることを担保していることを意味する。
【００５４】
そして、アクセス制御手段３３１は、記憶部３２のデータテーブル５００から、対応するデータ５０３を読み出す（ステップＳ５１０）。具体的には、アクセス制御手段３３１は、アクセス権ファイル２００にある公開鍵証明書２０３ｃに記載された所有者の電子メールアドレス１２３が電子メールアドレス５０１と一致し、且つ、アクセス権ファイル２００のデータ公開ＵＲＬ２０１に含まれるデータＩＤがデータＩＤ５０２と一致するレコードをデータテーブル５００から検索し特定する。そして、アクセス制御手段３３１は、特定したレコードにあるデータ５０３を読み出し、通信部３１を介して通信装置２に送信するとともに当該レコードのアクセス回数５０４をインクリメントし（ステップＳ５１１）、一連のステップを終了する。
【００５５】
また、ステップＳ５０２でアクセス権限なしと判定されると、アクセス制御手段３３１は、拒否通知を、通信部３１を介して通信装置２に送信し（ステップＳ５１２）、一連のステップを終了する。
【００５６】
これらの一連の処理により、データサーバ３は、アクセス権ファイル２００で指定した宛先メールアドレス２０２により特定される利用者が使用する通信装置２に対してデータ５０３を送信することができる。
【００５７】
以下、通信装置２及びデータサーバ３がどのように協働で動作するか、ネットワークシステム１全体の動作例を説明する。ここでは、通信装置２−Ｓの利用者甲（以下、単に「甲」という。）が電子メールＡを通信装置２−Ｒの利用者乙（以下、単に「乙」という。）に送信し、更に、乙が受信した電子メールＡを通信装置２−ＦＲの利用者丙（以下、単に「丙」という。）へ転送メールＢとして送信したとする。また、甲は「kou@***.co.jp」、乙は「otsu@***.co.jp」、丙は「hei@***.co.jp」を電子メールアドレスとして使用している。更に、甲・乙・丙は、予め使用している電子メールアドレスを所有者の電子メールアドレス１２３とする電子証明書１００の発行をそれぞれ受け記憶部２４に記憶しているものとする。
また、図１０に示すように、データテーブル５００には、甲のデータは、電子メールアドレス５０１の列に「kou@***.co.jp」として１行目及び２行目に設定されている。そして、データＩＤ５０２としてデータ５０３を区別して２種類「xxx.zip」と「yyy.zip」が設定されている。なお、データ５０３は、「データ１」と「データ２」として示す。乙のデータは、電子メールアドレス５０１の列に「otsu@***.co.jp」として３行目に設定されている。そして、データＩＤ５０２として１種類の「abc.zip」が設定されている。なお、乙のデータ５０３は「データ３」として示す。なお、丙は、データを登録していない。
【００５８】
図１２を参照して、ネットワークシステム１の全体動作を説明する。先ず、甲が乙に電子メールＡを送信し、乙が甲のデータを参照する動作を説明する（ステップＳ１０１〜ステップＳ１１７）。
先ず、甲は乙に対し、電子メールＡを図７にて説明したステップにしたがって送信する。すなわち、甲は、乙の電子メールアドレス「otsu@***.co.jp」を宛先メールアドレス３０２とし、電子メールＡの本文３０３にデータ公開ＵＲＬ３０３ａとして、「https://www.data.***.co.jp/xxx.zip」を記載した電子メールＡを作成する。送信元メールアドレス３０１に電子証明書１００の所有者の電子メールアドレス１２３である「kou@***.co.jp」を読み出して設定する。そして、本文３０３に記載されたデータ公開ＵＲＬ３０３ａ「https://www.data.***.co.jp/xxx.zip」と宛先メールアドレス３０２「otsu@***.co.jp」からアクセス権ファイル２００Ａを作成し、通信装置２−Ｓから通信装置２−Ｒへ電子メールＡを送信する（ステップＳ１０１）。ちなみに、データ公開ＵＲＬ３０３ａの前段部である「https://www.data.***.co.jp」は、データサーバ３のアドレスであり、後段の「xxx.zip」はデータＩＤ５０２である。
【００５９】
次に、電子メールＡを受信した乙は、電子メールＡの送信者である甲のデータ５０３を取得するべく、図８にて説明したステップにしたがってデータサーバ３へアクセスする（ステップＳ１０２，Ｓ１１１）。具体的には、電子メールＡを通信装置２−Ｒにて受信し（ステップＳ１０２）、乙は通信装置２−Ｒの表示部２２に表示された電子メールＡの内容を参照する。そして、乙は、本文３０３に記載されたデータ公開ＵＲＬ３０３ａ「https://www.data.***.co.jp/xxx.zip」を選択し、電子メールＡに含まれるアクセス権ファイル２００Ａに自己の電子メールアドレス「otsu@***.co.jp」を所有者の電子メールアドレス１２３とした電子証明書１００にて署名して公開要求４００を作成する。次に、データサーバ３へアクセスし、公開要求４００をデータサーバ３へ送信する（ステップＳ１１１）。
【００６０】
データサーバ３は、通信装置２−Ｒから公開要求４００を受信すると（ステップＳ１１２）、図１１の処理に従ってアクセス可否を判定する（ステップＳ１１３〜ステップＳ１１５）。すなわち、受信した公開要求４００が改竄等なされていないことを検証し、且つ、アクセス権ファイル２００Ａの宛先メールアドレス２０２である「otsu@***.co.jp」と当該公開要求の署名データ４０１の公開鍵証明書４０１ｃの電子メールアドレス１２３「otsu@***.co.jp」が一致することを確認する。これにより、甲が電子メールＡを作成した際に設定した宛先メールアドレスと、データの公開を要求している乙を証明する電子証明書にある電子メールアドレスの一致を確実に確認できる（ステップＳ１１３）。本例では一致するので、アクセスが許可される。
【００６１】
次に、データサーバ３は、アクセス権ファイル２００Ａのデータ公開ＵＲＬ２０１の後段である「xxx.zip」及び公開鍵証明書２０３ｃの所有者の電子メールアドレス１２３から「kou@***.co.jp」を抽出する。そして、電子メールアドレス５０１の列が「kou@***.co.jp」であり、且つデータＩＤ５０２の列が「xxx.zip」であるデータテーブル５００のレコードを検索し特定する。図１０の例では、最上段のレコードが該当し、当該レコードの中にあるデータ５０３の「データ１」を特定し、データテーブル５００から読み出す（ステップＳ１１４）。
その後、通信装置２−Ｒへ取得したデータ５０３である「データ１」を送信し、当該レコードのアクセス回数５０４をインクリメントする（ステップＳ１１５）。
データ５０３である「データ１」を受信した通信装置２−Ｒは、「データ１」を表示部２２へ表示する。この表示により、乙は甲のデータ５０３である「データ１」を閲覧することができる（ステップＳ１１６、ステップＳ１１７）。
【００６２】
このように、データサーバ３は、甲が指定した宛先メールアドレスにより特定される利用者である乙からの公開要求に対してアクセスを許可でき、データを乙へ送信することができる。
【００６３】
次に、乙が甲から受信した電子メールＡを丙に転送した場合について、ステップＳ２０１〜ステップＳ２１６を参照して説明する。なお、乙は電子メールＡを丙に転送するときに自身のデータのアクセス権を与えるものとする。
乙は丙に対し、電子メールＡから図７にて説明したステップにしたがって転送メールＢを作成し送信する。すなわち、乙は、丙の電子メールアドレス「hei@***.co.jp」を宛先メールアドレス３０２とし、受信した電子メールＡの本文を本文３０３に引用し、受信した電子メールＡに添付されているアクセス権ファイル２００Ａを添付する。なお、ここで、乙はアクセス権ファイル２００Ａを添付することなく削除しておいても良い。
そして、転送メールＢの送信元メールアドレス３０１に乙の電子証明書１００の所有者の電子メールアドレス１２３である「otsu@***.co.jp」を読み出して設定する。そして、本文３０３に記載されたデータ公開ＵＲＬ３０３ａ「https://www.data.***.co.jp/abc.zip」と宛先メールアドレス３０２「hei@***.co.jp」から転送メールのアクセス権ファイル２００Ｂを作成して添付し、通信装置２−Ｒから通信装置２−ＦＲへ転送メールＢを送信する（ステップＳ２０１）。ちなみに、データ公開ＵＲＬ３０３ａの前段部である「https://www.data.***.co.jp」は、データサーバ３のアドレスであり、後段の「abc.zip」はデータＩＤ５０２である。
【００６４】
次に、転送メールＢを受信した丙が、元の電子メール３００の送信者である甲のデータ５０３を取得しようとした場合について説明する。なお、転送メールＢの送信者の乙のデータを取得する場合は、前述のステップＳ１１１〜ステップＳ１１７の処理と同様であり、表示されるのが「データ３」であるので説明を省略する。
先ず、丙は、転送メールＢを通信装置２−ＦＲにて受信（ステップＳ２０２）した後、甲のデータ５０３を取得するべく、図８にて説明したステップにしたがってデータサーバ３へアクセスする（ステップＳ２１１）。具体的には、丙は、本文３０３に引用記載されたデータ公開ＵＲＬ３０３ａ「https://www.data.***.co.jp/xxx.zip」を選択し、転送メールＢに含まれる甲が作成したアクセス権ファイル２００Ａに自己の電子メールアドレス「hei@***.co.jp」を所有者の電子メールアドレス１２３とした電子証明書１００にて署名して公開要求４００を作成する。次に、データサーバ３へアクセスし、公開要求４００をデータサーバ３へ送信する（ステップＳ２１１）。
【００６５】
データサーバ３は、通信装置２−ＦＲから公開要求４００を受信すると（ステップＳ２１２）、図１１の処理に従ってアクセス可否を判定する（ステップＳ２１３、ステップＳ２１４）。すなわち、受信した公開要求４００が改竄等なされていないことを検証できる。更に、アクセス権ファイル２００Ａの宛先メールアドレス２０２である「otsu@***.co.jp」と当該公開要求の署名データ４０１の公開鍵証明書４０１ｃの電子メールアドレス１２３「hei@***.co.jp」が不一致であることを確認できる。これにより、甲が電子メールＡを作成した際に設定した乙の宛先メールアドレスと、データの公開を要求している丙を証明する電子証明書にある電子メールアドレスが一致していないので、このアクセスを拒否することができる（ステップＳ２１３）。そして、データサーバ３は、通信装置２−ＦＲへは判定結果として拒否通知を送信する（ステップＳ２１４）。
「拒否通知」を受信した通信装置２−ＦＲは、データを取得できなかった旨を表示部２２へ表示する。これにより、丙は甲のデータ５０３を閲覧することができない。（ステップＳ２１５、ステップＳ２１６）。
【００６６】
このように、データサーバ３は、甲が指定した宛先メールアドレス以外からの公開要求はアクセスを許可せず、データ５０３を守ることができる。
【００６７】
以上説明してきたように、本発明の一つの実施形態に係るアクセス制御システムによれば、電子メールを直接受信した利用者のみにそのデータを公開するようにし、転送メールを受信する利用者、すなわち、電子メールが転送された第三者へのデータの公開を制限することができる。
【００６８】
本発明はこれらの実施形態に限定されるものではない。例えば、本実施形態では、公開要求を生成する際に、公開要求を送信する通信装置において、記憶部に記憶された電子証明書を用いてアクセス権ファイルに署名して公開要求の署名データを生成する例を示したが、公開要求者の確認を厳格に行なう必要がない場合は、公開要求の署名データの生成処理は省略することも可能である。
【００６９】
その場合、公開要求を送信する通信装置は、図８のステップＳ４０２に示した、電子証明書があるか否かの判定処理と、ステップＳ４０３に示した署名データの生成処理を省略する。そしてステップＳ４０４では、公開要求に、署名データの代わりに、電子メールの受信者が通常利用する電子メールアドレスを含めて送信する。
【００７０】
一方、データサーバは、図１１のステップＳ５０３及びＳ５０４に示した、公開要求の署名データの検証処理を省略する。そしてステップＳ５０７では、データサーバは、アクセス権ファイルに記載された宛先メールアドレスと、公開要求に含まれる公開要求者が通常利用する電子メールアドレスとを照合する。
【００７１】
また、データサーバは、アクセス権ファイル署名データの検証処理において、署名時刻と現在時刻を対比し、アクセス権ファイルへの送信者の署名からの経過時間が所定の閲覧有効期間内であるか否かを判定する処理を追加し、送信者の署名から一定期間経過するとデータの閲覧を禁止するようにしてもよい。これにより、送信者から電子メールが送られてから一定期間経過すると、データの公開を制限することができる。
【００７２】
また、データサーバは、データのアクセス回数をカウントし、累積アクセス数を管理しているが、このアクセス回数を公開要求の署名データに含まれる公開鍵証明書の電子メールアドレスごとに管理し、その公開鍵証明書の電子メールアドレスについてのアクセス回数が一定期間に予め定めた有効回数を超えた場合にデータを送信しないようにしてもよい。これにより、特定の利用者から一定回数データへアクセスされた場合に、データの公開を制限することができる。
【００７３】
また、データサーバは、予め設定された特定の利用者による公開要求に対してはデータを送信しないようにしてもよい。その場合、データを公開する電子メールの送信者は、通信装置からデータの送信を禁止する利用者の電子メールアドレスのリストをデータサーバに予め登録しておく。そして、データサーバは、公開要求の署名データに含まれる公開鍵証明書の電子メールアドレスがそのリストに記載された電子メールアドレスと一致する場合、データを送信しない。これにより、データを公開する電子メールの送信者は、アクセス権ファイルを送信した後に状況が変化して特定の利用者へデータの公開を禁止する必要が生じた場合に、その公開を制限することができる。
【００７４】
また、データサーバは、送信者の通信装置が送信した電子メールの本文とアクセス権ファイルとが対応するものであるか否かを確認し、対応する場合に限り公開要求者の通信装置にデータを送信するようにしてもよい。この場合、データを公開する電子メールの送信者の通信装置からＳ／ＭＩＭＥ署名付きの電子メールを送信すると共にＳ／ＭＩＭＥ署名に使用したハッシュ値を予めデータサーバに送信しておく。一方、公開要求者の通信装置は、Ｓ／ＭＩＭＥ署名を検証する際に求めたハッシュ値を公開要求に含めてデータサーバに送信する。データサーバは、データを公開する電子メールの送信者の通信装置から受信したハッシュ値と公開要求者の通信装置から受信したハッシュ値とが一致している場合に限りデータを送信し、一致しない場合はデータを送信しない。
あるいは、データを公開する電子メールの送信者の通信装置は、電子メールの本文のハッシュ値を算出し、算出したハッシュ値をアクセス権ファイルに含めておく。一方、公開要求者の通信装置は、取得した電子メールの本文のハッシュ値を算出し、算出したハッシュ値を公開要求に含めてデータサーバに送信する。データサーバは、アクセス権ファイルに含まれるハッシュ値と公開要求者の通信装置から受信したハッシュ値とが一致している場合に限りデータを送信し、一致しない場合はデータを送信しない。
これらにより、データを公開する送信者が送信した電子メールを受信していない利用者へデータを公開することを防止できるので、セキュリティ性をさらに高めることができる。
【００７５】
また、アクセス権ファイルに含める宛先メールアドレスをＲＳＡ等の暗号方式により暗号化してもよい。これにより、宛先メールアドレスが第三者に漏洩するおそれがなくなり、セキュリティ性をさらに高めることができる。
【００７６】
また、データ公開ＵＲＬは、データサーバのアドレスとデータＩＤを連結したＵＲＬとする例を説明したが、これを省略・変形してもよい。
たとえば、データＩＤを省略したデータ公開ＵＲＬにしてもよい。あるデータサーバにおいて利用者の電子メールアドレスに割り当てられるデータが一つのみである場合、データサーバがアクセス権ファイルに含まれる公開鍵証明書に記載された電子メールアドレスから対応するデータを特定することができ、データＩＤは省略可能である。
また、データサーバのアドレスを省略したデータ公開ＵＲＬにしてもよい。データサーバが一つのみである場合、公開要求の送信先を固定することができ、データサーバのアドレスは省略可能である。
そして、データサーバが一つのみで利用者の電子メールアドレスに割り当てられるデータも一つである場合、利用者のデータは唯一一つとして特定でき、電子データ公開ＵＲＬを省略してもよい。
【００７７】
また、送信者の通信装置にてアクセス権ファイルを生成する際、アクセス権ファイルに記載されているデータ公開ＵＲＬは、電子メールの本文から抽出したデータ公開ＵＲＬである例にて実施の形態を説明した。しかしながら、これに限られることはなく、アクセス権ファイルを作成する際に、送信者に対しデータ公開ＵＲＬの手動入力を求めて入力させてもよいし、データ公開ＵＲＬを予め記憶させておき、これを読み出してアクセス権ファイルに選択して設定してもよい。
【００７８】
また、一つの通信装置が、電子メールを送信する機能と、電子メールを受信してデータを閲覧するためにデータサーバからデータを取得する機能の両方の機能を備える場合を説明したが、一方の機能だけを持つようにしてもよい。その場合は、通信装置の制御部において、電子メール手段に送信プラグイン又は受信プラグインのいずれか一方を備えれば実現できる。
【００７９】
また、アクセス制御システムは通信装置として携帯電話を使用してもよい。その場合、各通信装置は、Ｗ−ＣＤＭＡ、ＣＤＭＡ２０００またはＬＴＥ（Long Term Evolution）等の携帯電話の通信規格に従って、基地局装置及び携帯電話網を介して他の通信装置と通信する。データサーバは、携帯電話網に接続され、携帯電話網を介して、送信者の通信装置からデータの登録を受け付けるとともに、公開要求者の通信装置から公開要求を受け付けてその公開要求を検証し、検証に成功するとデータを公開要求者の通信装置に送信する。
【００８０】
このように、当業者は、本発明の範囲内で、実施される形態に合わせて様々な変更を行うことができる。
【符号の説明】
【００８１】
１    ネットワークシステム
２（２−Ｓ、２−Ｒ、２−ＦＲ）    通信装置
３    データサーバ
４    ネットワーク
２１、３１    通信部
２２    表示部
２３    操作部
２４、３２    記憶部
２５、３３    制御部
２５１    電子メール手段
２５２    アクセス権ファイル生成手段
２５３    Ｓ／ＭＩＭＥ署名手段
２５４    Ｓ／ＭＩＭＥ検証手段
２５５    公開要求生成手段
２５６    データ取得手段
３３１    アクセス制御手段
３３２    署名検証手段
【図１】
2014030154.tif 000003
【図２】
2014030154.tif 000004
【図３】
2014030154.tif 000005
【図４】
2014030154.tif 000006
【図５】
2014030154.tif 000007
【図６】
2014030154.tif 000008
【図７】
2014030154.tif 000009
【図８】
2014030154.tif 000010
【図９】
2014030154.tif 000011
【図１０】
2014030154.tif 000012
【図１１】
2014030154.tif 000013
【図１２】
2014030154.tif 000014