(57)【要約】【課題】  ＩＣカードや、指紋情報などを用いて個人情報と共に入退出日時と場所の情報を含めて署名されたデータを検証して特定の人物の入退出情報として日時、場所情報の保証を行う。【解決手段】  携帯電子機器に保持された特定者の第１署名情報と、別入力の特定者の第２署名情報とを比較４３して、一致している場合は署名情報と、場所または時間情報とを共に第１署名情報を用いて署名した保管用データを作成４４するログ作成装置４と、特定者に関するログ検証要求があると、保管用データを検索してログ検証要求に該当するログを取得して、該当するログ中の特定者の署名情報を抽出し、抽出署名情報から特定者の公開鍵情報を得て、公開鍵情報で該当するログを検証するログ検証装置、とで構成される。【選択図】        図１
2006023802.tif 000002
【特許請求の範囲】
【請求項１】
携帯電子機器に保持された特定者の第１の署名情報と、別に入力された上記特定者の第２の署名情報とを比較して、一致している場合は該署名情報と、所定の場所または所定の時間情報とを共に第１署名情報を用いて署名し保管用データを作成するログ作成装置と、上記特定者に関するログ検証要求があると、上記保管用データを検索して該ログ検証要求に該当するログを取得して、該取得した該当するログ中の上記特定者の署名情報を抽出し、抽出した該抽出署名情報から上記特定者の公開鍵情報を得て検証する、ログ検証装置、とで構成されることを特徴とするログ作成検証システム。
【請求項２】
携帯電子機器に保持する特定者の第１の署名情報は、秘密鍵および証明書情報であり、別に入力する第２の署名情報は、秘密鍵および証明書にアクセスするためのパスワードであることを特徴とする請求項１記載のログ作成検証システム。
【請求項３】
携帯電子機器に保持する特定者の第１の署名情報は、秘密鍵および証明書であり、別に入力する第２の署名情報は、秘密鍵および証明書にアクセスするためのパスワードとして使用する特定者の指紋または顔を読取り、または声を聞取った情報であることを特徴とする請求項１記載のログ作成検証システム。
【請求項４】
ログ作成装置は、携帯電子機器に保持する特定者の第１の署名情報を省き、第２の署名情報として指紋、顔情報または音声情報を得て、該得た署名情報の一部と所定の場所または所定の時間情報とを共にした保管用データを作成することを特徴とする請求項１記載のログ作成検証システム。
【請求項５】
ログ作成装置はゲートを設けて、携帯電子機器に保持された特定者の第１の署名情報と、別に入力された上記特定者の第２の署名情報とを比較して、一致しない場合は上記ゲートを閉じて入場を拒否することを特徴とする請求項１記載のログ作成検証システム。
【請求項６】
携帯電子機器に保持された特定者の第１の署名情報と、別に入力された上記特定者の第２の署名情報とを比較する比較ステップと、
上記比較ステップで両署名情報が一致している場合は該署名情報と、所定の場所または所定の時間情報とを共にした保管用データを作成するステップと、
上記電子署名した情報を保管用データとして保持するステップと、
上記特定者に関するログ検証要求があると、上記保管用データを検索して上記ログ検証要求に該当するログを取得する該当ログ取得ステップと、
上記取得した該当ログ中の上記特定者の署名情報を抽出する抽出署名情報取得ステップと、
上記抽出した抽出署名情報から上記特定者の公開鍵情報を得て、取得した公開鍵を用いて署名付きログを検証する検証ステップと、を備えたことを特徴とするログ作成検証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、入退出時に入退出者が電子機器を操作することで署名付きログデータが作成され、これを必要に応じて検証することでセキュアに管理するシステムに関するものである。
【背景技術】
【０００２】
従来の入退出管理は、典型的には、タイムスタンプあるいは個人が所有するカード（社員証など）を出入り口に設置した管理装置に通すことにより管理する方式である。また、特許文献１の「作業管理システム及び管理方法」によれば、作業者の作業時間と場所を特定し、認証する管理システムである。構成として、現場に特定の登録済みの固定電話を設置して、この固定電話からのみ作業者識別情報（ＩＤ）および作業開始時間、作業終了時間の場所情報を受付け、入退出ログとして取得する。そしてログを管理者が署名して保存する方式が示されている。
【０００３】
他の入退室管理システム相当として、特許文献２の「ネットワークを介したセキュリティ管理方法およびシステム」によれば、家庭への訪問者が悪意を持つ場合の事前対処を目的として、訪問者の署名を登録会社がオンライン認証して配達員の正当性を保証するシステムが示されている。
【特許文献１】特開２００３−２１６７９２号公報
【特許文献２】特開２００３−１４１６６４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来の入退出管理のシステムで、署名が行われていないものに関しては、個人を特定するＩＤの偽造が容易であるので、そのデータが本人によるものであるという保証が必ずしも出来ず、ログ取得後のデータの真正性を保障できない。
また、特許文献１に示されるシステムでは、署名は個人でなく管理者であることから、個人の特定に関して同様に、保障が出来ないという課題がある。
更に特許文献２による方式は、単に本人であることを認証するだけであり、その場所にその時間に居たことをログとして残すことに署名をするものではない。従って場所と時間、更には内容を本人が承認して残すログに関しては、データの正当性を保証するシステムがない、という課題がある。
【０００５】
この発明は上記のような課題を解決するためになされたもので、例えばＰＩＮ情報の入力が正しい場合にのみ操作続行を行うようなＩＣカード利用による署名や、指紋情報、顔情報、音声情報などを用いて成りすまし困難な個人情報と共に入退出日時と場所の情報を含めて署名されたデータを検証することで、特定の人物の入退出情報として日時、場所情報の保証を行う入退出管理システムを得ることを目的とする。
【課題を解決するための手段】
【０００６】
この発明に係るログ検証システムは、携帯電子機器に保持された特定者の第１の署名情報と、別に入力された上記特定者の第２の署名情報とを比較して、一致している場合はこの署名情報と、所定の場所または所定の時間情報とを共にし第１の署名情報を用いて署名した保管用データを作成するログ作成装置と、
上記特定者に関するログ検証要求があると、上記保管用データを検索してこのログ検証要求に該当するログを取得して、この取得した該当するログ中の上記特定者の署名情報を抽出し、抽出したこの抽出署名情報から上記特定者の公開鍵情報を得て、取得した公開鍵を用いて上記該当するログを検証するログ検証装置、とで構成される。
【発明の効果】
【０００７】
この発明によれば、本人のものと確認された情報と電子署名により、本人の入退出情報としての日時、場所情報のログの正当性を保証できる効果がある。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
例えばＩＣカード内に収められた個人情報と共に入退出日時と場所の情報を含めて署名されたデータを検証することで、特定者としての個人の入退出情報である日時、場所情報の保証を行うシステムを説明する。
図１は本実施の形態におけるログデータ作成と検証システムの構成を示す図である。ここでは、携帯電子機器１は、個人情報を含むＩＣカードであり、ＰＩＮがパスワードである場合を例とする。また図１では図示していないが、管理対象である部屋の入退室用のゲートと、ログ作成装置４とが接続されており、後で述べるように、デバイス１とデバイス２との署名情報が一致する場合のみ、ゲートが開く構成である。
図１において、ＩＣカード１は個人が所有する携帯電子機器であり、個人が署名に使用する情報である。詳しくは、個人の秘密鍵および証明書（証明書情報）および個人を識別するためのログ情報の一部を保持していて、情報読取り用の第１デバイス２が内容を読取るようになっている。パスワードを読取る第２デバイス３は、直接入力される個人の署名情報を読取る読取り部を持つ。
ログ作成装置４は、第１デバイス２と第２デバイス３と接続して、場所情報および日時情報と個人情報を含めたログ情報に対して電子署名が可能で、データをログ管理サーバに送信する機能を持つ。またログ管理サーバ５は、ログ作成装置４から送信されたデータを保持する機能を持つ装置である。
【０００９】
図２は本実施の形態における、例えば管理装置側にある、ログデータ検証に関するシステムの構成を示す図である。図２において、ログ管理サーバ５は図１のそれと同一のものであり、ログ検証装置７は、ログ管理サーバ５と接続して、また検証対象情報８としてのキーワードを受付けて取得する機能を持つ。そしてこの検証対象情報８を基にログ管理サーバ５から保持している該当ログデータを検索して取得し、この取得したログデータから個人情報を取得し、この取得した個人情報をもとにディレクトリサーバ６から個人の公開鍵を取得し、この取得した公開鍵を用いて取得したログデータの検証を行う。
【００１０】
図３に本実施の形態におけるログ作成装置４が行う動作フローチャートを示す。また図４に本実施の形態におけるログ検証装置７が行う動作フローチャートを示す。更に図５にログデータのサンプルとして、ＸＭＬ文書形式の場合のデータ例を示す。
次に動作について説明する。
まずログデータ作成時の動作を説明する。図３において、携帯電子機器１としてのＩＣカードを第１デバイス２に接続し、ログ作成装置４はＳ３１で、秘密鍵および証明書とその他の個人情報、例えば携帯電子機器に記憶されている個人を示すシステム運用範囲内での一意な情報（社員番号、国民年金番号など）を取得または使用する。更に入退室者が第２デバイス３に識別用のＰＩＮ入力を行い、これをＳ３２で取得する。このＰＩＮ情報としては、パスワード、指紋情報、顔情報、音声情報など認証できるものなら何でもよい。
【００１１】
ログ作成装置４は情報読取り機能４３により、両方の第１デバイス２からのＩＣカード（携帯電子機器１）内に登録されている上記のパスワード等のＰＩＮ情報と、第２デバイス３から入力されたＰＩＮ入力とをＳ３３で照合して、正しい場合は入退室のゲートが開き、かつ操作を続行指示し、これらのＰＩＮがくい違っている場合は、操作は中止して入場拒否する。  操作を続行指示すると更にＳ３４で、ログ作成装置４内の日時情報作成機能４１と場所情報作成機能４２で保持または生成された日時および場所データと、個人識別情報（個人識別情報は、携帯電子機器１から読み取った個人識別情報および、指紋情報、顔情報、音声情報など個人を特定できるものであれば何でもよい。）を合わせてデータとしてまとめる。このデータ対して署名データ作成機能４４がＳ３５で、携帯電子機器１内の秘密鍵および証明書を用いて署名生成する。そしてこの署名生成したデータをログデータとして、データ送信機能４５がＳ３６でログ管理サーバ５に送信する。
ログ管理サーバ５は、この送信された署名付データをログ管理サーバ５内で保持する。（その他必要に応じて情報を追加し署名作成しログデータとしてもよい。）例として保管するデータ形式をＸＭＬ形式としたものを示したものが図５である。
【００１２】
次に、ログデータ検証時の動作について説明する。
ログ管理サーバ５は、上記ログデータ作成時のログサーバと同一のものであり、これに接続されたログ検証装置７に対して取得するログを指定する。また例えばＸＭＬ形式で記述されたログデータの場合、タグや属性を指定する。ログ検証装置７は、この取得指定されたログデータをログ管理サーバ５から検索して、Ｓ４２で該当するログデータを取得する。次にＳ４２で取得したログデータから個人識別情報を取り出し、これをもとにディレクトリサーバから署名検証に用いる個人の公開鍵情報を取得する。最後にＳ４３で取得した公開鍵を用いて、ログデータを検証する。
【００１３】
以上のように、ログデータとしてＩＣカード情報の入力、指紋情報入力、顔情報入力、音声情報入力など個人を特定するデータなら何でも個人情報として用いる事が可能で、この個人情報のデータを、場所情報、日時を含めて署名するようにしているので、後にデータを検証しても、検証が成功すればデータの真正性が立証される。もし検証が不成功であれば、データに何らかの誤りがあることがわかり、真正性が立証されない。また検証時に個人情報を用いてディレクトリサーバ６から検証に用いる鍵を特定すれば、他人が署名したログデータでないことを保証できるため、更にログデータの真正性を保証できる。
【００１４】
また検証時に個人情報を用いてディレクトリサーバ６から検証に用いる鍵を特定することにより、他人が署名したログデータでないことを保障できるため、ログデータの真正性が増す。
また、入場時のみでもよいのだが、退場時にもログデータ作成を行うことで在場時間の管理なども可能となる。
更にまた、ログデータをタグ形式にすることで理解しやすく検索しやすい効率的な状態でデータの管理を行うことも出来る。
また、ＰＩＮ入力が間違った場合は操作の中止ができるので、ログデータ作成の操作が完了しなかった場合は自動ドアなどの扉と連動させて入場または退場を拒否することも可能である。
また、上記扉の替わりに一人づつ入退場用させるための入退場バーなどと連動させることで、１回のログデータ作成操作で一人のみを通すことができ、一人の操作で二人以上入場してしまうといった不具合を防ぐことが可能である。
【００１５】
実施の形態２．
上記の実施の形態１では、ＩＣカードを用いたログデータを作成しているが、本実施の形態ではＩＣカードなしに、例えば指紋情報のみでログデータを作成する実施の形態を説明する。このログ作成後の、ログデータ検証については実施の形態１と同様なので、説明を省略する。
本実施の形態における構成を説明するが、この場合は携帯電子機器１（ＩＣカード）と第１デバイス２は不要である。従って図１の構成で、第１デバイス２が無く、第２デバイス３ｂが個人情報を識別する。この場合の個人情報は、指紋情報、顔情報、音声情報など個人の特定が可能であるものならなんでもよい。
また、ここで入力情報の認証を行う場合は、ログ作成装置４内または他に認証用のデータを保持する機能および認証機能を用意して認証を行う。
【００１６】
次に動作を説明する。この場合の動作フローも、図３を用いて行う。
先ず第２デバイス３ｂがＳ３２で指紋情報、顔情報等の個人情報を取得する。Ｓ３３で認証に成功した場合はＳ３４以下の操作を続行し、失敗した場合は操作を中止する。認証を行わない場合は操作の中止はないため、直接の入場拒否はできず、ログの取得のみ行うことが可能である。
操作を続行する場合はＳ３４で、ログ作成装置４内で保持または生成された日時および場所データと個人人識別情報をあわせてデータとする。そしてＳ３５で、このデータ対して図示されていない署名生成装置内に保持されている管理者の秘密鍵および証明書を用いて署名生成する。Ｓ３６でこのデータをログデータとしてログ管理サーバ５へ送信し、ログ管理サーバ５内で保管する。
また、ログデータには指紋、顔写真、音声そのものの情報などを個人情報として残す。検証時には、図にはないが検証装置収められた管理者の公開鍵を用いて署名検証を行い、ログ情報に改ざんがなかったことを確かめる。本人確認は、ログ内の顔や音声の情報をあらかじめ登録済である情報と直接比較して行う。
【００１７】
このように、ＩＣカード等の携帯電子機器１を用いずに署名作成する場合は、署名は管理者側が行うこととなるが、個人情報として指紋、顔、音声などの確実に個人を特定できる情報を署名要素として入れることで、その後のログは署名した人物に関するものであること確実に保証できる。即ち、後にログデータの検証が必要になった場合も、特定の個人に関するデータであることを保証することができる。
【図面の簡単な説明】
【００１８】
【図１】この発明の実施の形態１におけるログ作成装置と検証システムの構成を示す図である。
【図２】実施の形態１におけるログデータ検証に関するシステムの構成を示す図である。
【図３】実施の形態１におけるログ作成装置が行う動作を示すフロー図である。
【図４】実施の形態１におけるログ検証装置が行う動作を示すフロー図である。
【図５】実施の形態１におけるログデータ例であるＸＭＬ文書形式のデータを示す図である。
【符号の説明】
【００１９】
１  携帯電子機器（ＩＣカード）、２  （情報読取り）第１デバイス、３  （情報読取り）第２デバイス、４  ログ作成装置、５  ログ管理サーバ、６  ディレクトリサーバ、７  ログ検証装置、８  検証対象情報、４１  日時情報作成機能、４２  場所情報作成機能、４３  情報読取り機能、４４  署名データ作成機能、４５  データ送信機能、５１  ログデータ保持機能、７１  検証対象情報取得機能、７２  検証対象のログ情報検索・取得機能、７３  個人識別情報読取り機能、７４  公開鍵検索・取得機能、７５  署名検証機能、Ｓ３１  個人情報取得ステップ、Ｓ３２  ＰＩＮ情報取得ステップ、Ｓ３３  ＰＩＮ情報の検証ステップ、Ｓ３４  ログデータをまとめるステップ、Ｓ３５  署名作成ステップ、Ｓ３６  ログ管理サーバへ送信するステップ、Ｓ４１  ログデータ取得ステップ、Ｓ４２  公開鍵取得ステップ、Ｓ４３  公開鍵による検証ステップ。
【図１】
2006023802.tif 000003
【図２】
2006023802.tif 000004
【図３】
2006023802.tif 000005
【図４】
2006023802.tif 000006
【図５】
2006023802.tif 000007