(57)【要約】【課題】基準となる装置が制御対象装置の周囲に確かに存在する場合に、制御対象装置の状態を切り替える技術を提供する。【解決手段】接続管理装置は、当該接続管理装置の無線通信圏内に達した制御対象装置の認証処理を行う。接続管理装置は、認証処理が成功であると判定したときに当該制御対象装置と環境定義装置との間の接続を許可し、そうでなかったときに当該制御対象装置と当該環境定義装置との間の接続を拒絶する。環境定義装置は、制御対象装置との接続が許可されたときに、秘匿化情報から制御対象情報を復元するための非公開の秘密環境情報、または、秘密環境情報を用いて秘匿化情報から復元した制御対象情報を制御対象装置に提供するか、または、制御対象装置で秘密環境情報もしくは制御対象情報を得るために必要な署名情報を出力する。【選択図】図１
2014102676.tif 000002
【特許請求の範囲】
【請求項１】
環境定義装置と、無線通信機能を持つ接続管理装置と、無線通信機能を持つ制御対象装置と、を有し、
前記制御対象装置は、制御対象情報を秘匿化した秘匿化情報を保持し、
前記接続管理装置は、当該接続管理装置の無線通信圏内に達した前記制御対象装置の認証処理を行い、当該認証処理が成功であると判定したときに当該制御対象装置と前記環境定義装置との間の接続を許可し、当該認証処理が成功であると判定しなかったときに当該制御対象装置と当該環境定義装置との間の接続を拒絶し、
前記環境定義装置は、前記制御対象装置との接続が許可されたときに、前記秘匿化情報から前記制御対象情報を復元するための非公開の秘密環境情報、または、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報を前記制御対象装置に提供するか、または、前記制御対象装置で前記秘密環境情報もしくは前記制御対象情報を得るために必要な署名情報を出力する、
ことを特徴とする環境認証システム。
【請求項２】
請求項１の環境認証システムであって、
前記制御対象装置の認証処理は、前記制御対象装置に保持された前記秘匿化情報が前記秘密環境情報に対応するかを検証するための処理を含み、
前記環境定義装置は、前記制御対象装置に保持された前記秘匿化情報が前記秘密環境情報に対応する場合に、前記認証処理が成功であると判定する、
ことを特徴とする環境認証システム。
【請求項３】
請求項１または２の環境認証システムであって、
前記接続管理装置の無線通信圏外に出た前記制御対象装置は、前記秘密環境情報、前記制御対象情報、および前記署名情報のうち、当該制御対象装置が保持する情報を当該制御対象装置から削除する、
ことを特徴とする環境認証システム。
【請求項４】
請求項１から３の何れかの環境認証システムであって、
前記環境定義装置は、前記秘密環境情報を保持し、
前記環境定義装置は、前記制御対象装置との接続が許可されたときに、前記秘密環境情報を前記制御対象装置に提供し、
前記制御対象装置は、前記秘匿化情報および前記秘密環境情報から前記制御対象情報を復元する、
ことを特徴とする環境認証システム。
【請求項５】
請求項１から３の何れかの環境認証システムであって、
前記環境定義装置は、前記秘密環境情報を保持し、
前記制御対象装置は、前記秘匿化情報を前記環境定義装置に提供し、
前記環境定義装置は、前記制御対象装置との接続が許可されたときに、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報を前記制御対象装置に提供する、
ことを特徴とする環境認証システム。
【請求項６】
請求項１から３の何れかの環境認証システムであって、
前記秘密環境情報を保持する秘密環境情報保持装置をさらに有し、
前記環境定義装置は、前記制御対象装置との接続が許可されたときに、前記署名情報を出力し、
前記署名情報を受け取った前記秘密環境情報保持装置は、前記秘密環境情報、または、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報を、前記秘密環境情報保持装置に提供する、
ことを特徴とする環境認証システム。
【請求項７】
無線通信機能を持つ制御対象装置であって、
制御対象情報を秘匿化した秘匿化情報を保持する記憶部と、
接続管理装置の無線通信圏内に入ったときに、前記接続管理装置との間で認証処理を行う認証処理部と、
前記認証処理が成功であると判定されたときに、前記秘匿化情報から前記制御対象情報を復元するための非公開の秘密環境情報、または、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報、または、前記制御対象装置で前記秘密環境情報もしくは前記制御対象情報を得るために必要な署名情報を受け取る通信部と、
を有する制御対象装置。
【請求項８】
無線通信機能を持つ接続管理装置であって、
前記接続管理装置の無線通信圏内に入った制御対象装置の認証処理を行い、当該認証処理が成功であると判定したときに当該制御対象装置と環境定義装置との間の接続を許可し、前記認証処理が成功でないと判定したときに当該制御対象装置と当該環境定義装置との間の接続を拒絶する認証処理部と、
前記制御対象装置との接続が許可されたときに、前記環境定義装置から提供された、前記秘匿化情報から前記制御対象情報を復元するための非公開の秘密環境情報、または、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報を前記制御対象装置に提供するか、または、前記制御対象装置で前記秘密環境情報もしくは前記制御対象情報を得るために必要な署名情報を出力する接続管理部と、
を有する接続管理装置。
【請求項９】
接続管理装置の無線通信圏内に入った制御対象装置の認証処理が成功であると、前記接続管理装置に判定され、前記接続管理装置によって前記制御対象装置との接続が許可されたときに、前記秘匿化情報から前記制御対象情報を復元するための非公開の秘密環境情報、または、前記秘密環境情報を用いて前記秘匿化情報から復元した前記制御対象情報を当該制御対象装置に提供するか、または、前記制御対象装置で前記秘密環境情報もしくは前記制御対象情報を得るために必要な署名情報を出力する、
ことを特徴とする環境定義装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、装置が存在する場所により、当該装置上の機能・データの利用可否を制御する技術に関する。
【背景技術】
【０００２】
従来、ユーザによる切り替え操作無しに、センサ等が取得する環境情報に応じ、制御対象の装置（「制御対象装置」と呼ぶ）の状態を切り替える技術が存在する。このような技術（従来技術１）では、ある基準となる装置から特定の情報（「環境情報」と呼ぶ）が無線送信され、制御対象装置がその環境情報を受信できたか否かに応じて当該デバイスの状態を切り替える。例えば、「あんしんキー」（登録商標）システムでは、「あんしんキー」と呼ばれる無線端末装置から無線送信される環境情報が携帯電話で受信できない場合に当該携帯電話の機能を自働的にロックし、受信できる場合にそのロックを自動的に解除する（例えば、非特許文献１，２等参照）。
【０００３】
また、制御対象装置が基準となる装置にアクセスして認証処理を行い、当該認証処理に成功した場合に当該制御対象装置が環境情報を取得できる技術（従来技術２）も存在する（例えば、特許文献１，２等参照）。
【０００４】
従来技術１の場合、正当な権原のない第三者が拾得等によって制御対象装置を取得した場合であっても、その第三者はその制御対象装置を基準となる装置の傍に持ってくことで、その制御対象装置の状態を切り替えることができる。一方、従来技術２の場合には、このような問題は生じない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−２７１０８号公報
【特許文献２】特開２０１２−３２９９号公報
【非特許文献】
【０００６】
【非特許文献１】本田康弘，堀口賞一，大久保信三，“移動端末装着型アクティブＲＦＩＤリーダを用いた情報提供サービスの実証実験”，[online]，ＮＴＴ  ＤｏＣｏＭｏテクニカル・ジャーナル  Ｖｏｌ.１５  Ｎｏ.１，４０−４４頁，[平成２４年１１月５日検索]，インターネット＜http://www.nttdocomo.co.jp/binary/pdf/corporate/technology/rd/technical_journal/bn/vol15_1/vol15_1_040jp.pdf＞
【非特許文献２】“報道発表資料：「Ｐ９０４ｉ」を発売”，[online]，平成１９年６月１１日，株式会社エヌ・ティ・ティ・ドコモ，[平成２４年１１月５日検索]、インターネット＜http://www.nttdocomo.co.jp/info/news_release/page/070611_00.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来技術２で用いられる環境情報は、誰もが知り得る公開情報である。そのため、正当な権原の有無にかかわらず、技術的知識がある制御対象装置の保持者であれば、その制御対象装置の環境情報を容易に偽造できる。このような偽造者は、制御対象装置を基準となる装置の傍に持っていかなくても、偽造した環境情報を用いて制御対象装置の状態を切り替えることができる。すなわち従来技術には、制御対象装置の状態を切り替えるための環境情報の真正性を担保する機構、すなわち基準となる装置が制御対象装置の周囲に確かに存在するという事実を認証するための機構が存在しない。
【０００８】
本発明はこのような点に鑑みてなされたものであり、基準となる装置が制御対象装置の周囲に確かに存在する場合に、制御対象装置の状態を切り替える技術を提供する。
【課題を解決するための手段】
【０００９】
本発明のシステムは、環境定義装置と、無線通信機能を持つ接続管理装置と、無線通信機能を持つ制御対象装置とを有する。制御対象装置は、制御対象情報を秘匿化した秘匿化情報を保持する。
【００１０】
接続管理装置は、当該接続管理装置の無線通信圏内に達した制御対象装置の認証処理を行う。接続管理装置は、認証処理が成功であると判定したときに当該制御対象装置と環境定義装置との間の接続を許可し、そうでなかったときに当該制御対象装置と当該環境定義装置との間の接続を拒絶する。
【００１１】
環境定義装置は、制御対象装置との接続が許可されたときに、秘匿化情報から制御対象情報を復元するための非公開の秘密環境情報、または、秘密環境情報を用いて秘匿化情報から復元した制御対象情報を制御対象装置に提供するか、または、制御対象装置で秘密環境情報もしくは制御対象情報を得るために必要な署名情報を出力する。
【発明の効果】
【００１２】
本発明では、基準となる装置が制御対象装置の周囲に確かに存在する場合に、制御対象装置の状態を切り替えることができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、第１，２実施形態の環境認証システムの構成を説明するためのブロック図である。
【図２】図２は、第１実施形態の環境認証方法を説明するためのフロー図である。
【図３】図３は、第２実施形態の環境認証方法を説明するためのフロー図である。
【図４】図４は、第３，４実施形態の環境認証システムの構成を説明するためのブロック図である。
【図５】図５は、第３実施形態の環境認証方法を説明するためのフロー図である。
【図６】図６は、第４実施形態の環境認証方法を説明するためのフロー図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施形態を説明する。
〔第１実施形態〕
本発明の第１実施形態を説明する。
＜構成＞
図１に例示するように、第１実施形態の環境認証システム１は、環境定義装置１１０、接続管理装置１２０、および可搬型の制御対象装置１３０を有する。環境定義装置１１０は、秘密環境情報記憶部１１１、通信部１１２、および秘密環境情報管理部１１３を有する。接続管理装置１２０は、認証情報記憶部１２１、無線通信部１２２、認証処理部１２３、接続管理部１２４、および通信部１２５を有する。制御対象装置１３０は、秘匿化情報記憶部１３１、無線通信部１３２、認証処理部１３３、情報処理部１３４、および制御対象情報記憶部１３５を有する。環境定義装置１１０、接続管理装置１２０、および制御対象装置１３０は、例えば、それぞれ、ＣＰＵ（central processing unit）やＲＡＭ（random-access memory）等を有する公知のコンピュータに所定のプログラムが読み込まれて構成される特別な装置である。各部で得られた情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各部に入力される。通信部１１２および１２５は、無線通信部であってもよいし、有線通信部であってもよい。なお、説明の簡略化のため、図１では環境定義装置１１０、接続管理装置１２０、および制御対象装置１３０をそれぞれ１個ずつ図示するが、環境定義装置１１０、接続管理装置１２０、および制御対象装置１３０が複数個存在してもよい。
【００１５】
接続管理装置１２０および制御対象装置１３０の無線通信部１２２および１３２は、無線ＬAN等の無線通信を行う。制御対象装置１３０が接続管理装置１２０の通信圏内に位置する場合（制御対象装置１３０が接続管理装置１２０から或る距離範囲内に位置する場合）、接続管理装置１２０と制御対象装置１３０とは、無線通信部１２２および１３２を通じて無線通信を行うことができる。制御対象装置１３０が接続管理装置１２０の通信圏内にない場合、接続管理装置１２０と制御対象装置１３０とは、無線通信部１２２および１３２を通じて無線通信を行うことができない。
【００１６】
＜初期設定処理＞
管理者は、環境定義装置１１０の秘密環境情報記憶部１１１に非公開の秘密環境情報を格納する。管理者は、制御対象装置１３０のユーザであってもよいし、環境認証システム１の管理者であってもよい。秘密環境情報は、制御対象情報を秘匿化した秘匿化情報から当該制御対象情報を復元するための情報である。秘密環境情報の例は、公開鍵暗号方式の秘密鍵、共通鍵暗号方式の共通鍵、ＩＤベース暗号方式の秘密鍵、関数暗号方式（「T. Okamoto and K. Takashima, “Fully Secure Functional Encryption with General Relations from the Decisional Linear Assumption,” In CRYPTO, volume 6223 of Lecture Notes in Computer Science, pages 191-208, Springer, 2010.」等参照）の秘密鍵等である。制御対象情報とは、制御対象の機能を実行するための情報や制御対象の情報を意味する。制御対象情報の例は、プログラム、コンテンツ、データ、テーブル、アドレス、キーワード、設定情報、パスワード、認証トークンなどである。
【００１７】
管理者は、秘密環境情報記憶部１１１に格納された秘密環境情報で復元可能なように、制御対象装置１３０の制御対象情報を秘匿化し、秘匿化情報を生成する。例えば、管理者は、秘密環境情報記憶部１１１に格納された秘密環境情報で復号可能なように、制御対象装置１３０の制御対象情報を暗号化し、暗号文である秘匿化情報を生成する。例えば、秘密環境情報が公開鍵暗号方式の秘密鍵であれば、当該秘密鍵に対応する公開鍵を用いて制御対象情報を暗号化し、それによって得られる暗号文を秘匿化情報とする。秘匿化情報は、制御対象装置１３０の秘匿化情報記憶部１３１に格納される。
【００１８】
＜環境認証処理＞
図２を用いて、本形態の環境認証処理を説明する。
制御対象装置１３０の無線通信部１３２は、制御対象装置１３０が接続管理装置１２０の通信圏内に位置するか（通信圏内に入ったか）を判定する（ステップＳ１０１）。例えば、接続管理装置１２０の無線通信部１２２はビーコン信号を送信しており、無線通信部１３２はビーコン信号を受信したか否かによって制御対象装置１３０が接続管理装置１２０の通信圏内に位置するかを判定する。この例において、ビーコン信号が制御対象装置１３０に対応する識別情報（ＳＳＩＤ等）を含んでいてもよい。この場合、無線通信部１３２は、受信したビーコン信号が含む当該識別情報が秘匿化情報記憶部１３１に保持された秘匿化情報に対応する場合にのみ、制御対象装置１３０が接続管理装置１２０の通信圏内に位置すると判定することにしてもよい。「制御対象装置１３０に対応する識別情報が秘匿化情報記憶部１３１に保持された秘匿化情報に対応する」とは、当該制御対象装置１３０が接続を許可する環境定義装置１１０に格納された「秘密環境情報」を用い、秘匿化情報記憶部１３１に保持された秘匿化情報から、正しく制御対象情報を復元できる関係を意味する。ステップＳ１０１の処理は、制御対象装置１３０が接続管理装置１２０の通信圏内に位置すると判定されるまで繰り返される。
【００１９】
ステップＳ１０１で制御対象装置１３０が接続管理装置１２０の通信圏内に位置すると判定された場合、認証処理部１３３は認証要求（ＮＷ(network)接続認証要求）を無線通信部１３２に送り、無線通信部１３２は認証要求を無線送信する（ステップＳ１０２）。認証要求は、制御対象装置１３０のユーザの正当性を証明するための情報を含む。ユーザの正当性を証明するための情報の例は、パスワード、バーコード情報、指紋や虹彩等の生体情報などの秘密情報、または、そのような秘密情報に対応するチャレンジ情報などである。さらに認証要求が、秘匿化情報記憶部１３１に保持された秘匿化情報に対応する情報を含んでもよい。「秘匿化情報に対応する情報」の例は、公開鍵やそれに対応する公開鍵証明書、共通鍵に対応する鍵ＩＤ、ＩＤ、ベクトル（属性ベクトル等）などである。例えば、秘匿化情報が公開鍵暗号方式の暗号文である場合、当該暗号文を生成するために用いられた公開鍵やそれに対応する公開鍵証明書が認証要求に含まれてもよい。例えば、秘密環境情報が共通鍵暗号方式の暗号文である場合、当該暗号文を生成するために用いられた共通鍵に対応する鍵ＩＤが認証要求に含まれてもよい。例えば、秘密環境情報がＩＤベース暗号方式の暗号文である場合、当該暗号文を生成するために用いられたＩＤが認証要求に含まれてもよい。例えば、秘密環境情報が関数暗号方式の暗号文である場合、当該暗号文を生成するために用いられたベクトルが認証要求に含まれてもよい。
【００２０】
認証要求が接続管理装置１２０の無線通信部１２２で受信されると、認証要求は認証処理部１２３に送られる。これにより、認証処理部１２３は、認証情報記憶部１２１に格納された認証処理に必要な認証情報からなるテーブル等を用い、制御対象装置１３０の認証処理を開始する（ステップＳ１０３）。認証処理は、認証処理部１２３と認証処理部１３３との間で無線通信部１２２および１３２を介して行われる。認証処理には、パスワード認証、生体認証、チャレンジ＆レスポンス等の公知の認証方法を用いることができる。さらに認証要求が秘匿化情報記憶部１３１に保持された秘匿化情報に対応する情報を含んでいる場合、当該秘匿化情報に対応する情報が秘密環境情報記憶部１１１に保持（格納）された秘密環境情報に対応するかが検証されてもよい。例えば、認証要求が含む「秘匿化情報に対応する情報」が公開鍵やその公開鍵証明書である場合、当該秘密環境情報が当該公開鍵等に対応する秘密鍵であるかが検証されてもよい。例えば、認証処理部１２３が認証情報記憶部１２１に格納された乱数等の任意値（認証情報）を「秘匿化情報に対応する情報」である公開鍵で暗号化して暗号文を生成し、当該暗号文を環境定義装置１１０の秘密環境情報管理部１１３に送る。秘密環境情報管理部１１３は秘密環境情報記憶部１１１に格納された秘密環境情報を用いて当該暗号文を復号し、その復号結果を認証処理部１２３に送る。認証処理部１２３は、当該復号結果と認証情報記憶部１２１に格納された任意値とが等しいかを検証し、これらが等しい場合に、当該秘密環境情報が当該公開鍵等に対応する秘密鍵であると判定し、そうでない場合に、当該秘密環境情報が当該公開鍵等に対応する秘密鍵でないと判定する。例えば、認証要求が含む「秘匿化情報に対応する情報」が鍵ＩＤである場合、当該秘密環境情報が当該鍵ＩＤに対応する共通鍵であるかが検証されてもよい。例えば、認証要求が含む「秘匿化情報に対応する情報」がＩＤである場合、当該秘密環境情報が当該ＩＤに対応する秘密鍵であるかが検証されてもよい。例えば、認証要求が含む「秘匿化情報に対応する情報」がベクトルである場合、当該秘密環境情報が当該ベクトルと特定の関係（例えば、ベクトル間の内積が０となる関係）にあるベクトルに対応する秘密鍵であるかが検証されてもよい。このような検証が行われる場合には、パスワード認証等の公知の認証処理に成功（認証ＯＫ，合格）し、さらに当該秘匿化情報が当該秘密環境情報に対応する場合に、認証処理が成功であると判定され、それ以外のときに認証処理が失敗（認証ＮＧ，不合格）であると判定される。
【００２１】
ステップＳ１０３の認証処理が失敗であると判定された場合（ステップＳ１０４）、認証処理部１２３は制御対象装置１３０と環境定義装置１１０との間の接続を拒絶し、処理をエラー終了する（ステップＳ１０５）。
【００２２】
ステップＳ１０３の認証処理が合格であると判定された場合（ステップＳ１０４）、認証処理部１２３は制御対象装置１３０と環境定義装置１１０との間の接続を許可し、認証成功との認証結果を接続管理部１２４に送る（ステップＳ１０６）。認証成功との認証結果を受け取った接続管理部１２４は、無線通信部１２２と通信部１２５とを接続し、制御対象装置１３０と環境定義装置１１０の接続を確立する。
【００２３】
制御対象装置１３０と環境定義装置１１０の接続が確立されると、その旨が制御対象装置１３０の情報処理部１３４にも伝えられる。これを受けた情報処理部１３４は、秘密環境情報要求を無線通信部１３２に出力する。無線通信部１３２は、秘密環境情報要求を無線送信する（ステップＳ１０７）。秘密環境情報要求は、無線通信部１２２、接続管理部１２４、および通信部１２５によって中継され、環境定義装置１１０に送信される（ステップＳ１０８）。
【００２４】
秘密環境情報要求は、通信部１１２で受信され、秘密環境情報管理部１１３に送られる。秘密環境情報要求を受け取った秘密環境情報管理部１１３は、秘密環境情報記憶部１１１から秘密環境情報を読み出し、制御対象装置１３０に提供する。すなわち、秘密環境情報は、通信部１１２から送信され（ステップＳ１０９）、通信部１２５、接続管理部１２４、および無線通信部１２２で中継され、制御対象装置１３０に送信され、無線通信部１３２で受信され、情報処理部１３４に送られる（ステップＳ１１０）。
【００２５】
情報処理部１３４は、送られた秘密環境情報と秘匿化情報記憶部１３１から読み出した秘匿化情報とを用いて制御対象情報を復元する。言い換えると、情報処理部１３４は、秘密環境情報を用いて秘匿化情報の保護を解除して制御対象情報を得る（制御対象情報をアクティベートする）。例えば、情報処理部１３４は、秘密環境情報を用いて秘匿化情報を復号し、制御対象情報を得る。情報処理部１３４は当該制御対象情報を出力し、当該制御対象情報は制御対象情報記憶部１３５に格納される（ステップＳ１１１）。
【００２６】
情報処理部１３４は、制御対象情報記憶部１３５から制御対象情報を読み出し、制御対象情報を用いた処理を実行し、処理結果を出力する（ステップＳ１１２）。
【００２７】
無線通信部１３２は、制御対象装置１３０が接続管理装置１２０の通信圏外に出たかを監視する（ステップＳ１１３）。言い換えると、無線通信部１３２は、制御対象装置１３０が接続管理装置１２０の通信圏外に位置するかを判定する。例えば、接続管理装置１２０の無線通信部１２２はビーコン信号を送信しており、無線通信部１３２はビーコン信号を受信したか否かによって制御対象装置１３０が接続管理装置１２０の通信圏内に位置するか通信圏外に位置するかを判定する。制御対象装置１３０が接続管理装置１２０の通信圏外に出ていないと判定される場合、ステップＳ１１２の処理が実行される。制御対象装置１３０が接続管理装置１２０の通信圏外に出たと判定された場合、情報処理部１３４は制御対象装置１３０が保持する制御対象情報および秘密環境情報を削除する（ステップＳ１１４）。例えば情報処理部１３４は、制御対象装置１３０の制御対象情報記憶部１３５や図示していない一時メモリに保持された制御対象情報および秘密環境情報を削除する。これにより、制御対象情報が再び保護され、制御対象装置１３０は制御対象情報を用いた処理を実行することができなくなる。
【００２８】
＜第１実施形態の特徴＞
本形態では、制御対象装置１３０に格納された制御対象情報が秘匿化情報として秘匿されている。非公開の秘密環境情報を用いることで秘匿化情報から制御対象情報を復元できるが、秘密環境情報が非公開の情報であるため、秘密環境情報を偽造することは困難である。従って、制御対象装置１３０が接続管理装置１２０の傍に配置されていないにもかかわらず、偽造された秘密環境情報によって秘匿化情報から制御対象情報が復元され、制御対象情報が不正利用されることを防止できる。
【００２９】
また本形態では、制御対象装置１３０が接続管理装置１２０の通信圏内に入り、接続管理装置１２０との認証処理に成功した場合にのみ、制御対象装置１３０が環境定義装置１１０から非公開の秘密環境情報を取得できる。正当な権原のない第三者が制御対象装置１３０を取得し、それを接続管理装置１２０の傍に持っていったとしても、認証処理は失敗（認証ＮＧ）となる。この場合、制御対象装置１３０は秘密環境情報を取得できず、秘匿化情報から制御対象情報が復元できない。よって、このような第三者が制御対象装置１３０の制御対象情報を不正利用することを防止できる。
【００３０】
さらに本形態では、制御対象装置１３０が接続管理装置１２０の通信圏外に出た場合に、制御対象装置１３０が保持する制御対象情報および秘密環境情報を削除する。これにより、制御対象装置１３０が接続管理装置１２０の通信圏外で制御対象情報を利用することを防止できる。
【００３１】
〔第２実施形態〕
本発明の第２実施形態を説明する。本形態は第１実施形態の変形例であり、認証処理が成功した場合、制御対象装置に秘密環境情報を提供するのではなく、復元された制御対象情報を提供する。以下では、第１実施形態との相違点を中心に説明し、第１実施形態との共通点については同じ参照番号を用いて説明を省略する。
【００３２】
＜構成＞
図１に例示するように、第２実施形態の環境認証システム２は、環境定義装置２１０、接続管理装置１２０、および制御対象装置２３０を有する。環境定義装置２１０は、秘密環境情報記憶部１１１、通信部１１２、および秘密環境情報管理部２１３を有する。制御対象装置２３０は、秘匿化情報記憶部１３１、無線通信部１３２、認証処理部１３３、情報処理部２３４、および制御対象情報記憶部１３５を有する。各装置は公知のコンピュータに所定のプログラムが読み込まれて構成される特別な装置である。
【００３３】
＜初期設定処理＞
第１実施形態と同じ初期設定処理が実行される。ただし、第１実施形態で環境定義装置１１０が実行した処理を環境定義装置２１０が実行し、第１実施形態で制御対象装置１３０が実行した処理を制御対象装置２３０が実行する。
【００３４】
＜環境認証処理＞
図３を用いて、本形態の環境認証処理を説明する。
まず、第１実施形態のステップＳ１０１〜Ｓ１０６と同一の処理が実行される。ただし、第１実施形態で環境定義装置１１０が実行した処理を環境定義装置２１０が実行し、第１実施形態で制御対象装置１３０が実行した処理を制御対象装置２３０が実行する。
【００３５】
制御対象装置２３０と環境定義装置１１０の接続が確立されると、その旨が制御対象装置２３０の情報処理部２３４にも伝えられる。これを受けた情報処理部２３４は、復元要求を無線通信部１３２に出力する。無線通信部１３２は、復元要求を無線送信する（ステップＳ１０７）。本形態の復元要求は、秘匿化情報記憶部１３１から読み出した秘匿化情報を含む。復元要求は、無線通信部１２２、接続管理部１２４、および通信部１２５によって中継され、環境定義装置２１０に送信される（ステップＳ１０８）。
【００３６】
復元要求は、通信部１１２で受信され、秘密環境情報管理部２１３に送られる。このように接続管理装置１２０を介して制御対象装置２３０から提供された復元要求を受け取った秘密環境情報管理部２１３は、秘密環境情報記憶部１１１から秘密環境情報を読み出す。秘密環境情報管理部２１３は、秘密環境情報を用いて秘匿化情報から制御対象情報を復元する。例えば、秘密環境情報管理部２１３は、秘密環境情報を用いて秘匿化情報を復号して制御対象情報を得る（ステップＳ２０８）。
【００３７】
秘密環境情報管理部２１３は、復元した制御対象情報を制御対象装置２３０に提供する。すなわち、制御対象情報は通信部１１２から送信され（ステップＳ２０９）、通信部１２５、接続管理部１２４、および無線通信部１２２で中継され、制御対象装置１３０に送信され、無線通信部１３２で受信され、制御対象情報記憶部１３５に格納される（ステップＳ２１０）。
【００３８】
情報処理部２３４は、制御対象情報記憶部１３５から制御対象情報を読み出し、制御対象情報を用いた処理を実行し、処理結果を出力する（ステップＳ１１２）。
【００３９】
無線通信部１３２は、制御対象装置２３０が接続管理装置１２０の通信圏外に出たかを監視する（ステップＳ１１３）。制御対象装置２３０が接続管理装置１２０の通信圏外に出ていないと判定される場合、ステップＳ１１２の処理が実行される。制御対象装置２３０が接続管理装置１２０の通信圏外に出たと判定された場合、情報処理部２３４は制御対象装置２３０が保持する制御対象情報を削除する（ステップＳ２１４）。これにより、制御対象情報が再び保護され、制御対象装置２３０は制御対象情報を用いた処理を実行することができなくなる。
【００４０】
＜第２実施形態の特徴＞
本形態でも、制御対象装置２３０に格納された制御対象情報が秘匿化情報として秘匿されている。非公開の秘密環境情報を用いることで秘匿化情報から制御対象情報を復元できるが、秘密環境情報が非公開の情報であるため、秘密環境情報を偽造することは困難である。従って、制御対象装置２３０が接続管理装置１２０の傍に配置されていないにもかかわらず、偽造された秘密環境情報によって秘匿化情報から制御対象情報が復元され、制御対象情報が不正利用されることを防止できる。
【００４１】
また本形態では、制御対象装置２３０が接続管理装置１２０との認証処理に成功した場合にのみ、環境定義装置２１０が秘密環境情報を用い、制御対象装置２３０から提供された秘匿化情報から制御対象情報を復元し、制御対象装置２３０に提供する。正当な権原のない第三者が制御対象装置２３０を取得し、それを接続管理装置１２０の傍に持っていったとしても、認証処理は失敗となる。この場合、制御対象装置２３０は制御対象情報を取得できない。よって、このような第三者が制御対象装置２３０の制御対象情報を不正利用することを防止できる。
【００４２】
また本形態では、制御対象装置２３０が接続管理装置１２０の通信圏外に出た場合に、制御対象装置２３０が保持する制御対象情報を削除する。これにより、制御対象装置２３０が接続管理装置１２０の通信圏外で制御対象情報を利用することを防止できる。
【００４３】
また本形態では、制御対象装置２３０に秘密環境情報が与えられないため、秘密環境情報が不正に流出し、制御対象装置２３０が接続管理装置１２０の傍に配置されていないにもかかわらず、流出した秘密環境情報によって秘匿化情報から制御対象情報が復元され、制御対象情報が不正利用されることを防止できる。
【００４４】
〔第３実施形態〕
本発明の第３実施形態を説明する。本形態は第１実施形態の変形例である。本形態では、認証処理が成功した場合に環境定義装置が署名情報を出力し、署名情報を受け取った秘密環境情報保持装置が秘密環境情報を制御対象装置に提供する。以下では、第１実施形態との相違点を中心に説明し、第１実施形態との共通点については同じ参照番号を用いて説明を省略する。
【００４５】
＜構成＞
図４に例示するように、第３実施形態の環境認証システム３は、制御対象装置１３０、環境定義装置３１０、接続管理装置３２０、および秘密環境情報保持装置３４０を有する。環境定義装置３１０は、署名情報記憶部３１１、通信部１１２、および秘密環境情報管理部３１３を有する。接続管理装置３２０は、認証情報記憶部１２１、無線通信部３２２、認証処理部１２３、接続管理部１２４、および通信部１２５を有する。秘密環境情報保持装置３４０は、秘密環境情報記憶部３４１、無線通信部３４２、および秘密環境情報管理部３４３を有する。各装置は公知のコンピュータに所定のプログラムが読み込まれて構成される特別な装置である。
【００４６】
＜初期設定処理＞
管理者は、秘密環境情報保持装置３４０の秘密環境情報記憶部３４１に非公開の秘密環境情報を格納する。管理者は、秘密環境情報記憶部３４１に格納された秘密環境情報で復元可能なように、制御対象装置１３０の制御対象情報を秘匿化し、秘匿化情報を生成する。秘匿化情報は、制御対象装置１３０の秘匿化情報記憶部１３１に格納される。さらに管理者は、環境定義装置３１０の署名情報記憶部３１１に、環境定義装置３１０が署名情報を生成するために必要な署名生成情報を格納する。署名生成情報は秘密情報であり、例えば公開鍵暗号方式の秘密鍵である。署名生成情報と秘密環境情報とが同一であってもよい。
【００４７】
＜環境認証処理＞
図５を用いて、本形態の環境認証処理を説明する。
まず、第１実施形態のステップＳ１０１〜Ｓ１０８と同一の処理が実行される。ただし、第１実施形態で環境定義装置１１０が実行した処理を環境定義装置３１０が実行し、第１実施形態で接続管理装置１２０が実行した処理を接続管理装置３２０が実行する。
【００４８】
制御対象装置１３０から接続管理装置３２０経由で送られた秘密環境情報要求は、環境定義装置３１０の通信部１１２で受信され、秘密環境情報管理部３１３に送られる。秘密環境情報要求を受け取った秘密環境情報管理部３１３は、署名情報記憶部３１１から署名生成情報を読み出す。秘密環境情報管理部３１３は、署名生成情報を用いて秘密環境情報要求に対する署名情報を生成する。秘密環境情報要求および署名情報は通信部１１２から送信され（ステップＳ３０１）、通信部１２５、接続管理部１２４、および無線通信部３２２で中継され、秘密環境情報保持装置３４０に送信され、無線通信部３４２で受信される（ステップＳ３０２）。
【００４９】
無線通信部３４２で受信された秘密環境情報要求および署名情報は、秘密環境情報管理部３４３に送られる。秘密環境情報管理部３４３は署名情報を検証し、署名情報が正当であると判定すると、秘密環境情報記憶部３４１から秘密環境情報を読み出し、制御対象装置１３０に提供する。すなわち、秘密環境情報は、無線通信部３４２から送信され（ステップＳ３０９）、無線通信部３２２で中継され、制御対象装置１３０に送信され、無線通信部１３２で受信され、情報処理部１３４に送られる（ステップＳ３１０）。
【００５０】
その後、第１実施形態のステップＳ１１１〜Ｓ１１４と同一の処理が実行される。
【００５１】
＜第３実施形態の特徴＞
本形態でも、偽造された秘密環境情報によって秘匿化情報から制御対象情報が復元され、制御対象情報が不正利用されることを防止でき、さらに、正当な権原のない第三者が制御対象装置１３０の制御対象情報を不正利用することを防止できる。また、制御対象装置１３０が接続管理装置３２０の通信圏外で制御対象情報を利用することを防止できる。
【００５２】
なお本形態では、環境定義装置３１０が接続管理装置３２０経由で秘密環境情報保持装置３４０に秘密環境情報要求および署名情報を送信した。しかしながら、環境定義装置３１０が接続管理装置３２０を経由することなく、秘密環境情報保持装置３４０に秘密環境情報要求および署名情報を送信してもよい。或いは、環境定義装置３１０が接続管理装置３２０経由で制御対象装置１３０に秘密環境情報要求および署名情報を送信し、制御対象装置１３０が秘密環境情報保持装置３４０に秘密環境情報要求および署名情報を送信してもよい。その他、秘密環境情報要求および署名情報がどのような経路で秘密環境情報保持装置３４０に送信されてもよい。本形態では環境定義装置３１０がサーバ型で署名付与を行うため、署名情報の取り扱いの自由度が高い。なお、秘密環境情報保持装置３４０が接続管理装置３２０等の装置と無線通信を行うのではなく、有線通信を行ってもよい。また、制御対象装置１３０に署名情報が送信されて保持される場合、接続管理装置３２０の無線通信圏外に出た制御対象装置１３０は、秘密環境情報、制御対象情報、および署名情報を当該制御対象装置１３０から削除する。
【００５３】
〔第４実施形態〕
本発明の第４実施形態を説明する。本形態は第２実施形態の変形例である。本形態では、認証処理が成功した場合に環境定義装置が署名情報を出力する。署名情報を受け取った秘密環境情報保持装置は、秘密環境情報を用いて秘匿化情報から制御対象情報を復元し、制御対象装置に提供する。以下では、第１〜３実施形態との相違点を中心に説明し、第１〜３実施形態との共通点については同じ参照番号を用いて説明を省略する。
【００５４】
＜構成＞
図４に例示するように、第４実施形態の環境認証システム４は、制御対象装置２３０、環境定義装置３１０、接続管理装置３２０、および秘密環境情報保持装置４４０を有する。秘密環境情報保持装置４４０は、秘密環境情報記憶部３４１、無線通信部３４２、および秘密環境情報管理部４４３を有する。各装置は公知のコンピュータに所定のプログラムが読み込まれて構成される特別な装置である。
【００５５】
＜初期設定処理＞
第３実施形態と同じ初期設定処理が実行される。ただし、第３実施形態で環境定義装置３１０が実行した処理を環境定義装置４１０が実行し、第３実施形態で制御対象装置１３０が実行した処理を制御対象装置２３０が実行し、第３実施形態で秘密環境情報保持装置３４０が実行した処理を秘密環境情報保持装置４４０が実行する。
【００５６】
＜環境認証処理＞
図６を用いて、本形態の環境認証処理を説明する。
まず、第２実施形態と同様にステップＳ１０１〜Ｓ１０６，Ｓ２０７，Ｓ１０８の処理が実行される。ただし、第２実施形態で環境定義装置１１０が実行した処理を環境定義装置３１０が実行し、第２実施形態で接続管理装置１２０が実行した処理を接続管理装置３２０が実行する。
【００５７】
制御対象装置２３０から接続管理装置３２０経由で送られた復元要求（秘匿化情報を含む）は、環境定義装置３１０の通信部１１２で受信され、秘密環境情報管理部３１３に送られる。復元要求を受け取った秘密環境情報管理部３１３は、署名情報記憶部３１１から署名生成情報を読み出す。秘密環境情報管理部３１３は、署名生成情報を用いて復元要求に対する署名情報を生成する。復元要求および署名情報は通信部１１２から送信され（ステップＳ４０１）、通信部１２５、接続管理部１２４、および無線通信部３２２で中継され、秘密環境情報保持装置３４０に送信され、無線通信部３４２で受信される（ステップＳ４０２）。
【００５８】
無線通信部３４２で受信された復元要求および署名情報は、秘密環境情報管理部４４３に送られる。秘密環境情報管理部４４３は署名情報を検証し、署名情報が正当であると判定すると、秘密環境情報記憶部３４１から秘密環境情報を読み出す。秘密環境情報管理部４４３は、秘密環境情報を用い、復元要求が含む秘匿化情報から制御対象情報を復元する（ステップＳ４０８）。秘密環境情報管理部４４３は、制御対象情報を制御対象装置２３０に提供する。すなわち、制御対象情報は、無線通信部３４２から送信され（ステップＳ３０９）、無線通信部３２２で中継され、制御対象装置２３０に送信され、無線通信部１３２で受信され、情報処理部２３４に送られる（ステップＳ４１０）。
【００５９】
その後、第２実施形態と同様に、ステップＳ１１２，Ｓ１１３，Ｓ２１４の処理が実行される。
【００６０】
＜第４実施形態の特徴＞
本形態でも、偽造された秘密環境情報によって秘匿化情報から制御対象情報が復元され、制御対象情報が不正利用されることを防止でき、さらに、正当な権原のない第三者が制御対象装置１３０の制御対象情報を不正利用することを防止できる。また、制御対象装置２３０が接続管理装置３２０の通信圏外で制御対象情報を利用することを防止できる。
【００６１】
また第３実施形態と同様、復元要求および署名情報がどのような経路で秘密環境情報保持装置４４０に送信されてもよい。秘密環境情報保持装置４４０が接続管理装置３２０等の装置と無線通信を行うのではなく、有線通信を行ってもよい。また、制御対象装置２３０に署名情報が送信されて保持される場合、接続管理装置３２０の無線通信圏外に出た制御対象装置２３０は、制御対象情報、および署名情報を当該制御対象装置２３０から削除する。
【００６２】
〔その他の変形例等〕
本発明は上述の実施の形態に限定されるものではない。例えば、環境定義装置と接続管理装置とが一体に構成されてもよい。環境定義装置および接続管理装置は、特定の場所に固定されていてもよいし、可搬型の装置であってもよい。接続管理装置が可搬型の装置であり、制御対象装置が特定の場所に固定されていてもよい。また、ステップＳ１０３の認証処理で「秘匿化情報に対応する情報が秘密環境情報に対応しない」と判定された場合に処理をエラー終了（ステップＳ１０５）するのではなく、その接続管理装置１２０が接続を許可する環境定義装置１１０に格納された秘密環境情報、または、その接続管理装置１２０が接続を許可する環境定義装置３１０に格納された署名情報に対応する秘密環境情報が制御対象装置１３０に与えられてもよい。この秘密環境情報が与えられた情報処理部１３４は、制御対象情報の復元に失敗する。また、ステップＳ１０３の認証処理で「秘匿化情報に対応する情報が秘密環境情報に対応しない」と判定された場合に処理をエラー終了（ステップＳ１０５）するのではなく、その接続管理装置２２０が接続を許可する環境定義装置２１０に格納された秘密環境情報で秘匿化情報の復元処理を行って得られる復元結果、または、その接続管理装置２２０が接続を許可する環境定義装置３１０に格納された署名情報に対応する秘密環境情報で秘匿化情報の復元処理を行って得られる復元結果が、制御対象装置２３０に与えられてもよい。この復元結果は誤ったものとなる。これらの場合、処理がエラー終了してもよいし、認証処理が再チャレンジされてもよい。
【００６３】
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【００６４】
上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
【００６５】
このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００６６】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
【００６７】
上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。
【符号の説明】
【００６８】
１〜４  環境認証システム
１１０，２１０，３１０  環境定義装置
１２０，３２０  接続管理装置
１３０，２３０  制御対象装置
３４０，４４０  秘密環境情報保持装置
【図１】
2014102676.tif 000003
【図２】
2014102676.tif 000004
【図３】
2014102676.tif 000005
【図４】
2014102676.tif 000006
【図５】
2014102676.tif 000007
【図６】
2014102676.tif 000008