(57)【要約】      （修正有）【課題】通信装置がサーバと共有すべき認証鍵を安全かつ簡単にサーバに登録する方法を提供する。【解決手段】登録サーバ１は、通信処理装置２および管理装置３と通信可能に接続される。登録サーバ１は、操作通知部１２ａと、確認通知部１２ｂと、鍵生成部１２ｃとを有する。操作通知部１２ａは、管理装置３からの登録要求に応答して管理装置３に対して通信処理装置２のスイッチ動作の指示を送信する。確認通知部１２ｂは、通信処理装置２におけるスイッチ動作の検知に基づき、通信処理装置２との間で鍵情報を交換して、管理装置３に対してスイッチ動作の確認要求を送信する。鍵生成部１２ｃは、管理装置３からの、確認要求に対する確認結果に基づき、交換した鍵情報を登録する。【選択図】図２
2019129414.tif 000002
【特許請求の範囲】
【請求項１】
登録システム内で、通信処理装置および管理装置と通信可能に接続される登録サーバにおいて、
前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信する操作通知部と、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信する確認通知部と、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する鍵登録部と、
を有することを特徴とする登録サーバ。
【請求項２】
前記操作通知部は、前記スイッチ動作の指示を複数回送信し、
前記確認通知部は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記管理装置に対して前記確認要求を送信し、
前記鍵登録部は、前記スイッチ動作の指示を送信した回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする請求項１に記載の登録サーバ。
【請求項３】
前記操作通知部は、前記スイッチ動作を複数回行う指示を送信し、
前記確認通知部は、前記通信処理装置における複数回のスイッチ動作の検知に基づき、前記管理装置に対して前記複数回のスイッチ動作の確認要求を送信し、
前記鍵登録部は、指示した前記スイッチ動作の回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする請求項１に記載の登録サーバ。
【請求項４】
前記確認通知部は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記通信処理装置との間で鍵情報を交換し、
前記鍵登録部は、交換した複数の前記鍵情報が前記通信処理装置との間で共有されているか否かを確認し、共有されている場合に前記鍵情報を登録する、
ことを特徴とする請求項２に記載の登録サーバ。
【請求項５】
前記操作通知部は、前記通信処理装置ごとに予め設定された、前記通信処理装置の危険度合いを示すリスク値に基づいて、前記スイッチ動作の指示を送信する回数または前記スイッチ動作を行う回数を決める、
ことを特徴とする請求項２乃至４のいずれか一項に記載の登録サーバ。
【請求項６】
前記鍵登録部は、スイッチ動作を検知した前記通信処理装置とは異なる通信処理装置からのスイッチ動作を検知した場合、当該異なる通信処理装置の鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする請求項５に記載の登録サーバ。
【請求項７】
前記鍵登録部は、前記スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置について、前記鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする請求項５に記載の登録サーバ。
【請求項８】
登録サーバと、通信処理装置および管理装置と通信可能に接続される登録システムにおける登録方法であって、
前記登録サーバが、前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信し、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信し、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する、
処理を実行することを特徴とする登録方法。
【請求項９】
登録システム内で、通信処理装置および管理装置と通信可能に接続されるコンピュータに、
前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信し、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信し、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する、
処理を実行させることを特徴とする登録プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、登録サーバ、登録方法および登録プログラムに関する。
【背景技術】
【０００２】
近年、情報通信技術の進歩により、通信能力をもった小型の電子機器や計算機が広く使われている。例えば、通信能力を持つ電子機器（以下、「通信処理装置」と呼ぶ）としては、携帯電話、スマートフォン、ルーターやネットワークスイッチ、ネットワークカメラ、ネットワーク会議装置、ネットワーク機能をもった各種センサー・家電製品などがある。
【０００３】
これらの通信処理装置の多くは、家庭内・事務所内などのローカルエリアネットワーク上やインターネット上などにあるサーバと通信する。一般にサーバは多くの通信処理装置のそれぞれを区別して通信する。さらにそれらの通信処理装置のユーザ（所有者、利用者など）はそれぞれ異なる場合が多い。したがって、サーバは通信処理装置を正しく識別し、なおかつ各通信処理装置に関する情報や制御能力へのアクセスを特定のユーザに限定している。このようにアクセスを限定するため、通信処理装置およびサーバは、サーバと各通信処理装置が認証鍵ペアを正しく共有し、なおかつサーバが各通信処理装置に対応するユーザを正しく認識した状態にする作業・処理を行う。この状態にする作業・処理を「登録」または「登録作業」と呼ぶ。また、通信処理装置の登録を受け付けるサーバを「登録サーバ」と呼ぶ。登録サーバは、通信処理装置との本来の通信を担う上記のサーバと別でもよいし、ひとつのサーバが両方の機能をもってもよい。
【０００４】
この登録作業においては、たとえば、予め定められた操作をユーザに促す音声情報を出力させ、音声情報に対応して実行されるユーザ操作に基づいた操作情報をクライアント装置から受信する。そして、操作情報が示す操作と音声情報が示す操作とが対応しているか否かを判定してクライアント装置を登録する認証システムが知られている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−２２４８１０号公報
【特許文献２】国際公開第２００５／１０１７２７号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、通信処理装置の中には、小型化や低廉化のために、ユーザインタフェース機能が貧弱なものがあり、複雑な操作が困難なものがある。したがって、上記の従来技術では、安全性を高めるために判定対象の操作を複雑にすると、登録作業が困難なものとなるという問題がある。
【０００７】
１つの側面では、安全かつ簡単に登録作業を行うことを可能とする登録サーバ、登録方法および登録プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
第１の案では、登録システムにおいて、登録サーバは、通信処理装置および管理装置と通信可能に接続される。登録サーバは、操作通知部と、確認通知部と、鍵登録部とを有する。操作通知部は、管理装置からの登録要求に応答して管理装置に対して通信処理装置のスイッチ動作の指示を送信する。確認通知部は、通信処理装置におけるスイッチ動作の検知に基づき、通信処理装置との間で鍵情報を交換して、管理装置に対してスイッチ動作の確認要求を送信する。鍵登録部は、管理装置からの、確認要求に対する確認結果に基づき、交換した鍵情報を登録する。
【発明の効果】
【０００９】
本発明の１実施態様によれば、安全かつ簡単に登録作業を行うことができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施形態にかかる登録システムの一例を示す説明図である。
【図２】図２は、実施形態にかかる登録システムの機能構成例を示すブロック図である。
【図３】図３は、実施形態にかかる登録システムの動作例を示すシーケンス図である。
【図４】図４は、実施形態にかかる登録システムの動作例を示すシーケンス図である。
【図５】図５は、実施形態にかかる登録システムの動作例を示すシーケンス図である。
【図６】図６は、実施形態にかかる登録システムの動作例を示すシーケンス図である。
【図７】図７は、プログラムを実行するコンピュータの一例を説明する説明図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、実施形態にかかる登録サーバ、登録方法および登録プログラムを説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する登録サーバ、登録方法および登録プログラムは、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１２】
（システム構成例）
図１は、実施形態にかかる登録システムの一例を示す説明図である。図１に示すように、登録システム１００は、登録サーバ１と、通信処理装置２と、管理装置３とを有する。登録サーバ１と、通信処理装置２および管理装置３とは、ＬＡＮ（Local  Area  Network）やインターネット等の通信ネットワーク４を介して互いに通信可能に接続される。
【００１３】
登録サーバ１は、通信処理装置２を登録対象とするサーバ装置である。通信処理装置２は、例えば登録サーバ１に新たに登録を行う電子機器であり、一例としてネットワークルータなどを適用できる。通信処理装置２は、操作ボタンなどの操作部を有し、操作ボタンなどを介してユーザ５によるボタン押下（スイッチ動作）が可能となっている。管理装置３は、ユーザ５が使用する端末装置であり、一例としてタブレットＰＣ（パーソナルコンピュータ）などを適用できる。
【００１４】
通信処理装置２は、自動設定または手動設定により通信ネットワーク４を経由して登録サーバ１と通信できるものとし、このとき通信処理装置２は登録サーバ１を認証することで安全に通信できるものとする。なお、安全な通信とは、認証により、例えば通信処理装置２から見て通信相手の登録サーバ１は真性なもので偽物のなりすましではなく、なおかつ通信路上のデータの盗聴および改ざんが困難な通信である。こうした認証を伴う通信手段の例として、ＴＬＳ（Transport  Layer  Security）が挙げられる。
【００１５】
また、管理装置３についても、通信ネットワーク４を経由して登録サーバ１と通信できるものとし、管理装置３は、ＴＬＳなどの通信手段で登録サーバ１を認証して安全に通信することができるものとする。また、管理装置３と登録サーバ１との間では、ユーザ認証が済んでおり、ユーザ５を識別するユーザＩＤ（Ｕ）をそれぞれ記憶しているものとする。
【００１６】
通信処理装置２は、自身の装置を識別する装置ＩＤ（Ｄ）を記憶しており、登録サーバ１も同じ装置ＩＤ（Ｄ）を正当な通信処理装置２のリストの一部として保持しているものとする。この装置ＩＤ（Ｄ）は、ユーザ５が装置ＩＤ（Ｄ）を視認できるように、通信処理装置２の外面に刻印やシールなどで表示されていてもよい。
【００１７】
図２は、実施形態にかかる登録システム１００の機能構成例を示すブロック図である。図２に示すように、登録サーバ１は、通信部１０、記憶部１１および登録処理部１２を有する。
【００１８】
通信部１０は、例えばＮＩＣ（Network  Interface  Card）などの通信インタフェースであり、通信ネットワーク４を介して通信処理装置２および管理装置３との通信を行う。
【００１９】
記憶部１１は、例えばＨＤＤ（Hard  Disk  Drive）等の記憶装置であり、送信元情報１１ａ、ブラックリスト１１ｂおよび鍵情報１１ｃなどの各種情報を記憶する。
【００２０】
送信元情報１１ａは、通信部１０を介した通信処理装置２との通信により、スイッチ動作の検知を通知した送信元である通信処理装置２を示す情報である。例えば、送信元情報１１ａは、スイッチ動作の検知を通知した通信処理装置２を識別するネットワークアドレスやＩＤなどの通信処理装置２の識別情報のリストである。
【００２１】
また、送信元情報１１ａは、通信処理装置２の識別情報とともに通信処理装置２にかかる情報を含め、通信処理装置２ごとの情報を管理する。例えば、送信元情報１１ａは、通信処理装置２ごとの情報として、通信処理装置２についての危険度合いを示すリスク値を含む。このリスク値については、スイッチ動作の検知を通知した通信処理装置２を送信元情報１１ａに登録した際に所定のリスク度合いを示す初期値が設定され、以後の処理結果に応じて更新される。
【００２２】
ブラックリスト１１ｂは、スイッチ動作の指示に先立ってスイッチ動作を検知するなど、適正な登録手順を踏まずに不正な登録を試みた通信処理装置２を示す情報である。例えば、ブラックリスト１１ｂは、不正な登録を試みた通信処理装置２を識別するネットワークアドレスやＩＤなどの通信処理装置２の識別情報のリストである。
【００２３】
鍵情報１１ｃは、登録処理部１２により登録された通信処理装置２と共有する認証鍵ペア（共有鍵）などの情報である。通信処理装置２との間で共有鍵を共有できれば、例えば、そのまま認証や暗号化に用いることができるほか、公開鍵暗号方式の公開鍵に共有鍵で署名を施して送ることができる。あるいは共有鍵で中間者攻撃を防ぎつつDiffie-Hellman方式などの鍵交換プロトコルを用いてより大きな共有鍵を生成するなど、様々なセキュリティ手段の基盤として利用できる。例えば、登録サーバ１では、鍵情報１１ｃを参照することで、登録後の通信処理装置２との間でＴＬＳなどによる安全な通信を行うことができる。
【００２４】
登録処理部１２は、通信部１０を介した登録対象の通信処理装置２との通信により、登録サーバ１と通信処理装置２とが認証鍵ペアを正しく共有し、なおかつ登録サーバ１が通信処理装置２に対応するユーザを正しく認識した状態にする登録にかかる処理を行う。具体的には、登録処理部１２は、操作通知部１２ａ、確認通知部１２ｂおよび鍵生成部１２ｃを有する。
【００２５】
操作通知部１２ａは、登録対象の通信処理装置２やユーザの識別情報を含む登録要求を通信部１０を介して管理装置３より受信した場合、登録要求に応答して管理装置３に対して通信処理装置２のスイッチ動作の指示を送信する。具体的には、操作通知部１２ａは、ユーザＩＤ（Ｕ）と通信処理装置２の装置ＩＤ（Ｄ）とを含む登録要求を管理装置３より受け付けて、装置ＩＤ（Ｄ）で識別される通信処理装置２のスイッチ動作の指示を管理装置３に対して送信する。このスイッチ動作の指示は、例えば、操作部２１における操作ボタンの１回押下を指示するメッセージなどである。
【００２６】
確認通知部１２ｂは、通信ネットワーク４を介した通信処理装置２との通信により、通信処理装置２におけるスイッチ動作の検知に基づき、通信処理装置２との間で認証鍵ペアにかかる鍵情報を交換する。具体的には、確認通知部１２ｂは、通信処理装置２におけるスイッチ動作に伴い、通信処理装置２側より通知される認証鍵ペアの鍵断片を取得し、自身の鍵断片を通信処理装置２へ返信する。
【００２７】
また、確認通知部１２ｂは、通信処理装置２におけるスイッチ動作の検知に基づき、管理装置３に対しては通信部１０を介してスイッチ動作の確認要求を送信する。このスイッチ動作の確認要求は、例えば、操作部２１における操作ボタンの１回押下の有無を確認するメッセージなどである。
【００２８】
鍵生成部１２ｃは、管理装置３からの、確認要求に対する確認結果に基づき、通信処理装置２との間で交換した認証鍵ペアの鍵断片を鍵情報１１ｃとして記憶部１１に登録する。すなわち、鍵生成部１２ｃは、鍵登録部の一例である。
【００２９】
具体的には、鍵生成部１２ｃは、通信処理装置２のスイッチ動作の検知に基づくスイッチ動作の確認要求について、管理装置３より確認がとれた場合（例えば操作有り）に、適正な登録手順（スイッチ動作）が行われたものとする（登録成功）。このような登録成功の場合には、鍵生成部１２ｃは、通信処理装置２との間で交換した認証鍵ペアの鍵断片を鍵情報１１ｃとして登録する。
【００３０】
逆に、鍵生成部１２ｃは、通信処理装置２のスイッチ動作の検知に基づくスイッチ動作の確認要求について、管理装置３より確認が取れなかった場合（例えば操作無し）、適正な登録手順（スイッチ動作）が行われなかったものとする（登録失敗）。このような登録失敗の場合には、鍵生成部１２ｃは、通信処理装置２との間で交換した認証鍵ペアの鍵断片を鍵情報１１ｃとして登録することなく、登録にかかる処理を終了する。
【００３１】
通信処理装置２は、通信部２０、操作部２１および登録処理部２２を有する。通信部２０は、例えばＮＩＣなどの通信インタフェースであり、通信ネットワーク４を介して登録サーバ１との通信を行う。操作部２１は、通信処理装置２の外面に設置された操作ボタンなどであり、ユーザの操作入力を受け付ける。登録処理部２２は、操作部２１によるユーザの操作入力により通信処理装置２の登録が指示されると、登録サーバ１との間で登録にかかる通信処理装置２側の処理を行う。
【００３２】
管理装置３は、通信部３０、表示部３１、操作部３２および登録処理部３３を有する。通信部３０は、例えばＮＩＣなどの通信インタフェースであり、通信ネットワーク４を介して登録サーバ１との通信を行う。表示部３１は、液晶ディスプレイ等の表示装置である。操作部３２は、管理装置３の外面に配置された操作ボタンや表示部３１に重畳された透明なタッチパネル等であり、ユーザの操作入力を受け付ける。登録処理部３３は、操作部３２によるユーザの操作入力により通信処理装置２の登録が指示されると、登録サーバ１との間で登録にかかる管理装置３側の処理を行う。
【００３３】
（登録処理の動作例）
ここで、通信処理装置２の登録にかかる処理の詳細を説明する。図３は、実施形態にかかる登録システム１００の動作例を示すシーケンス図である。
【００３４】
図３に示すように、管理装置３の操作部３２は、登録対象である通信処理装置２の装置ＩＤ（Ｄ）の入力を受け付ける（Ｓ１０１）。この装置ＩＤ（Ｄ）の入力をトリガーとして、登録処理部３３は、登録にかかる処理を開始する。
【００３５】
なお、通信処理装置２の装置ＩＤ（Ｄ）の受け付け手法については、特に操作部３２における操作入力に限定しない。例えば、ユーザ５が装置ＩＤ（Ｄ）を読み取って管理装置３に入力する、通信処理装置２に添付されたバーコードなどから管理装置３が装置ＩＤ（Ｄ）を読み取るなどの手法であってもよい。
【００３６】
登録対象である通信処理装置２の装置ＩＤ（Ｄ）を受け付けると、管理装置３の登録処理部３３は、ユーザＩＤ（Ｕ）と通信処理装置２の装置ＩＤ（Ｄ）とを含む登録要求（Ｕ，Ｄ）を通信部３０を介して登録サーバ１へ送信する（Ｓ１０２）。
【００３７】
この管理装置３からの登録要求に応答し、登録サーバ１の操作通知部１２ａは、通信処理装置２のスイッチ動作（”ＰＵＳＨ”）を指示するメッセージを通信部１０を介して管理装置３へ送信する（Ｓ１０３）。”ＰＵＳＨ”を指示するメッセージを受けた管理装置３の登録処理部３３は、”ＰＵＳＨ”を指示する情報を表示部３１に表示し（Ｓ１０４）、ユーザ５に通信処理装置２のボタン操作を促す。
【００３８】
ユーザ５が通信処理装置２の操作部２１のボタンを押下すると（Ｓ１０５）、通信処理装置２の登録処理部２２は、ボタン押下の検知を示す押下通知メッセージを通信部２０を介して登録サーバ１へ送信する（Ｓ１０６）。
【００３９】
この押下通知メッセージは、自身に設定された装置ＩＤ（Ｄ）と、通信処理装置２側の鍵断片（ＤＫｉ）とを含む。なお、ｉは、Ｓ１０３〜Ｓ１１１の一連の処理（イテレーション）を繰り返す場合のイテレーション番号を示す。初回の処理では、ｉ＝１なので、鍵断片（ＤＫ１）を含む押下通知メッセージが送信される。また、通信処理装置２側の鍵断片（ＤＫｉ）はランダムに生成した値が望ましく、ボタン押下後に生成してもよいし、事前に生成しておいてもよい。
【００４０】
押下通知メッセージを受け取った登録サーバ１の確認通知部１２ｂは、登録サーバ１側の鍵断片（ＳＫｉ）を生成し、この鍵断片（ＳＫｉ）を含む押下通知受領メッセージを通信処理装置２へ返す（Ｓ１０７）。通信処理装置２と登録サーバ１は、それぞれ（ＤＫｉ，ＳＫｉ）の組を記憶しておく。
【００４１】
また、登録サーバ１の確認通知部１２ｂは、通信処理装置２からの押下通知メッセージに応じて、管理装置３に対して、通信処理装置２の押下を確認する確認要求メッセージ（”ＣＯＮＦＩＲＭ”）を通信部１０を介して送信する（Ｓ１０８）。
【００４２】
確認要求メッセージ（”ＣＯＮＦＩＲＭ”）を受けた管理装置３の登録処理部３３は、”ＣＯＮＦＩＲＭ”の表示、すなわち通信処理装置２のボタン操作の確認を促すメッセージを表示部３１に表示する（Ｓ１０９）。これにより、管理装置３は、ユーザ５に対して、通信処理装置２のボタン操作の有無（ＹＥＳ／ＮＯ）の確認を促す。
【００４３】
ユーザ５は、自分が通信処理装置２のボタン操作（例えば１回の押下操作）を行ったのであれば正（ＹＥＳ）を管理装置３の操作部３２に入力する。また、ユーザ５は、通信処理装置２のボタン操作を行っていないか、２回以上の押下操作であれば否（ＮＯ）を管理装置３の操作部３２に入力する（Ｓ１１０）。このユーザ５による管理装置３への入力が確認要求に対する確認結果となる。
【００４４】
次いで、管理装置３の登録処理部３３は、確認要求に対する確認結果（ＹＥＳ／ＮＯ）を通信部３０を介して登録サーバ１へ通知する（Ｓ１１１）。
【００４５】
確認結果の通知を受けた登録サーバ１の鍵生成部１２ｃは、確認結果が否（ＮＯ）であれば登録処理は失敗と見なして処理を終了する。確認結果が正（ＹＥＳ）であれば登録処理を継続する。
【００４６】
次いで、登録システム１００では、Ｓ１０２〜Ｓ１１１の一連の処理（イテレーション）をＮ−１回繰り返すことで、Ｎ回のイテレーションを実施する（Ｓ１１２）。登録処理におけるイテレーション回数であるＮは、予め所定値が定められているものとする。
【００４７】
このＮ回のイテレーションにより、（ＤＫ１，ＳＫ１）から（ＤＫＮ，ＳＫＮ）までのＮ組の鍵断片の組み合わせが、登録サーバ１と通信処理装置２のそれぞれで共有される。
【００４８】
次いで、登録サーバ１の鍵生成部１２ｃは、Ｋ＝Ｈ（ＤＫ１：ＳＫ１：ＤＫ２：ＳＫ２：…：ＤＫＮ：ＳＫＮ）として共有鍵Ｋを計算する（Ｓ１１３）。また、通信処理装置２の登録処理部２２も同様に共有鍵Ｋを計算する（Ｓ１１４）。なお、Ｈ（ｘ）はデータｘに対する暗号学的ハッシュ関数の出力を指すものとする。また、Ａ：ＢはデータＡとデータＢを連結したデータを意味する。
【００４９】
次いで、登録サーバ１の登録処理部１２と、通信処理装置２の登録処理部２２とは、互いにＫを使った値を通信ネットワーク４を介した通信で送りあい、同じ共有鍵Ｋが共有できたか否かの共有チェックを行う（Ｓ１１５）。このような共有鍵が一致するか否かを確認する共有チェックにおける通信方法は、よく知られており、その方法は問わない。
【００５０】
例えば、その時点までの全送信および受信メッセージを送受信した順番で連結したデータをＹとし、Ｚ＝ＨＭＡＣ（Ｋ，Ｙ）を相手に送信し、受信側も同じ計算をしてＺが一致するか確認する方法がある。ただしＨＭＡＣ（ｋ，ｙ）は共有鍵ｋによるデータｙに対するハッシュ関数によるメッセージ認証コード(Message  Authentication  Code;MAC)である。こうして共有鍵Ｋが正しく共有できたことを確認した場合、鍵生成部１２ｃは、登録サーバ１は登録成功と見なし、（Ｕ，Ｄ，Ｋ）の三つ組を登録対象の通信処理装置２に対応するデータ（鍵情報１１ｃ）として保存する。
【００５１】
（攻撃された場合の動作例）
ここで、ユーザ５が登録処理を開始してから登録処理を完了するまでの間に、偽の通信処理装置が介入して攻撃をしかけた場合を考える。図４は、実施形態にかかる登録システム１００の動作例を示すシーケンス図であり、より具体的には偽の通信処理装置２ａが攻撃を仕掛ける場合の動作例を示している。
【００５２】
図４に示すように、Ｓ１０４の”ＰＵＳＨ”の表示までの動作は、図３と同じである。このあと、ｉ番目のイテレーションで、偽の通信処理装置２ａが、本物の通信処理装置２の装置ＩＤ（Ｄ）を名乗って、ボタン押下の押下通知メッセージ（Ｄ，ＤＫｉ）を登録サーバ１へ送信する（Ｓ２０１）。
【００５３】
管理装置３では、本物または偽物である通信処理装置２、２ａからの押下通知メッセージを区別できないので、本物からの場合と同様に処理を進める。例えば、偽の通信処理装置２ａに対しては、鍵断片（ＳＫｉ）を含む押下通知受領メッセージを返す（Ｓ２０２）。
【００５４】
しかし、通信処理装置２のボタン操作の確認を促すメッセージを管理装置３が表示したあと、ユーザ５が正しく正否応答できれば、ユーザ５はボタンを押していないので否（Ｎｏ）と答え、登録処理は失敗する（ケースＣ１）。
【００５５】
また、仮にユーザ５が何らかの理由で正否応答を間違え、正（ＹＥＳ）と答えてしまったとしても、そのイテレーションに対応する組（ＤＫｉ，ＳＫｉ）を正当な通信処理装置２は知らないので、登録サーバ１と通信処理装置２における共有鍵Ｋが異なる値になる。よって、共有鍵（Ｋ）の共有チェックが失敗する（ケースＣ２）。
【００５６】
また、仮にユーザ５が正否応答を正しく応答しようと間違えて応答しようと、正当な通信処理装置２のボタンを押したのであれば、１イテレーションの間に登録サーバ１は複数の押下通知メッセージ（偽の通信処理装置２ａの分を含む）を受け取る。よって、その時点で攻撃が行われていることがわかり、登録処理を失敗させることができる（ケースＣ３）。
【００５７】
（送信元情報１１ａの活用）
また、登録サーバ１の操作通知部１２ａは、通信処理装置２よりボタンの押下通知メッセージを受け取ったときに、そのメッセージの送信元の情報を送信元情報１１ａに記録してもよい。送信元情報としては、ＩＰアドレスやＭＡＣアドレスなどの通信方式に伴う送信元アドレス情報、通信処理装置２が押下通知メッセージに含めた番号（たとえば装置のシリアル番号、装置ごとにシーケンシャルに増加、またはランダムに生成したセッション番号など）を利用できる。
【００５８】
そして、登録サーバ１の鍵生成部１２ｃは、送信元情報１１ａが示す通信処理装置２とは異なる通信処理装置からのスイッチ動作を検知した場合、異なる通信処理装置２の共有鍵（Ｋ）の登録を失敗とする、またはリスク値を上昇させてもよい。
【００５９】
これにより、複数のイテレーションにわたって複数の押下通知メッセージを受け取るうちに、以前までと異なる送信元の押下通知メッセージだったならば、偽の通信処理装置２ａからメッセージを受け取ったと見なして、登録処理を失敗させることができる。あるいは、異なる送信元について、リスク値を上昇させることができる。
【００６０】
（ブラックリスト１１ｂの活用）
ボタン押下のタイミングを正しく推測できない、または推測しそこなった攻撃者は、偽の通信処理装置２ａからの押下通知メッセージを、正規のユーザ５が登録処理を開始する前に登録サーバ１へ送信するかもしれない。すなわち、適正な登録手順を踏まずに、押下通知メッセージが送られた通信処理装置は、偽の通信処理装置２ａである可能性がある。
【００６１】
したがって、登録サーバ１の操作通知部１２ａは、スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置２をブラックリスト１１ｂに登録する。そして、鍵生成部１２ｃは、ブラックリスト１１ｂが示す通信処理装置２について、共有鍵（Ｋ）の登録を失敗とする、またはリスク値を上昇させる。
【００６２】
図５は、実施形態にかかる登録システム１００の動作例を示すシーケンス図であり、より具体的にはスイッチ動作の指示に先立ってスイッチ動作を検知した場合の動作例を示している。
【００６３】
図５に示すように、登録サーバ１の操作通知部１２ａは、スイッチ動作を指示するメッセージの送信前に押下通知メッセージを通信処理装置２ａより受け取っている（Ｓ３０１）。このような場合、操作通知部１２ａは、通信処理装置２ａの装置ＩＤ（Ｄ）と送信元情報をブラックリスト１１ｂに記録する（Ｓ３０１ａ）。
【００６４】
その後、管理装置３から登録要求を受け取った場合、登録サーバ１は装置ＩＤ（Ｄ）がブラックリスト１１ｂに含まれるかチェックし、含まれれば登録処理を拒否、または登録処理を開始するがリスク値を上昇させて記録する（Ｓ１０２ａ）。または、登録サーバ１は、通信処理装置２から押下通知メッセージを受け取ったときに（Ｓ１０６）、押下通知メッセージに含まれる装置ＩＤ（Ｄ）と送信元情報の組が鍵情報１１ｃに含まれるかチェックする。次いで、鍵生成部１２ｃは、鍵情報１１ｃに含まれる場合、登録処理を失敗させるか、通信処理装置２のリスク値を上昇させて記録する。
【００６５】
（リスク値の活用）
送信元情報１１ａなどに記録される通信処理装置２ごとのリスク値は、各通信処理装置２の安全度を測る指標として記録しており、リスク値を通知することでユーザ５は安全度合いを知ることができる。
【００６６】
また、操作通知部１２ａは、通信処理装置２ごとに予め設定されたリスク値に基づいて、スイッチ動作の指示を送信する回数（イテレーション回数Ｎ）またはスイッチ動作を行う回数を決めてもよい。このように、イテレーション回数Ｎなどを増加させて攻撃の困難さを高めるためにリスク値を使うこともできる。すなわち、リスク値の高さに応じて動的にイテレーション回数Ｎを増加させ、共有鍵（Ｋ）の生成とチェックに至るまでのイテレーションの回数を増やしてもよい。
【００６７】
（１イテレーションあたりのボタン押下回数の変更）
操作通知部１２ａは、１イテレーションあたりのボタンの押下回数を２回以上に増やした指示を送信してもよい。
【００６８】
図６は、実施形態にかかる登録システム１００の動作例を示すシーケンス図である。より具体的には、図６は、１イテレーションあたりのボタンの押下回数を３回とする指示（”ＰＵＳＨ３”）を送信する場合の動作例を示している。
【００６９】
図６に示すように、登録サーバ１の操作通知部１２ａは、スイッチ動作の指示として、ボタンを３回押下する”ＰＵＳＨ３”を送信する（Ｓ４０３）。”ＰＵＳＨ３”を受けた管理装置３は、”ＰＵＳＨ３”を表示し（Ｓ４０４）、ユーザ５に通信処理装置２の３回のボタン操作を促す。
【００７０】
これにより、ユーザ５は、指示された回数（３回）、通信処理装置２のボタンを押下する（Ｓ４０５、Ｓ４０８、Ｓ４１１）。通信処理装置２はボタンを押されるたびに登録サーバ１へ押下通知メッセージを送信し（Ｓ４０６、Ｓ４０９、Ｓ４１２）、登録サーバ１からの返信を受け取る（Ｓ４０７、Ｓ４１０、Ｓ４１３）。
【００７１】
規定回数のやり取りを行った後、登録サーバ１の確認通知部１２ｂは、ボタンを3回押したことを確認するメッセージ”ＣＯＮＦＩＲＭ３”を管理装置３へ送信する（Ｓ４１４）。
【００７２】
”ＣＯＮＦＩＲＭ３”を受けた管理装置３は、”ＣＯＮＦＩＲＭ３”の表示、すなわち通信処理装置２の３回のボタン操作の確認を促すメッセージを表示する（Ｓ４１５）。これにより、管理装置３は、ユーザ５に対して、通信処理装置２の３回のボタン操作の有無（ＹＥＳ／ＮＯ）の確認を促す。
【００７３】
ユーザ５は、自分が通信処理装置２の３回のボタン操作を行ったのであれば正（ＹＥＳ）を管理装置３に入力する。また、ユーザ５は、通信処理装置２の３回のボタン操作を行っていない場合は否（ＮＯ）を管理装置３に入力する（Ｓ４１６）。このユーザ５による管理装置３への入力が確認要求に対する確認結果となり、管理装置３は、確認結果を登録サーバ１へ通知する（Ｓ４１７）。これにより、登録サーバ１の鍵生成部１２ｃは、確認結果をもとに、スイッチ動作の回数に対応する確認結果が得られた場合に共有鍵（Ｋ）を登録する。
【００７４】
なお、イテレーションあたりのボタン押下回数は一定である必要はなく、イテレーションごとに変えてもよいし、前述したようにリスク値に応じて増減してもよい。これにより、偽の通信処理装置２ａからメッセージを送信する攻撃者は、イテレーション回数やボタン押下通知メッセージを送るタイミングだけでなく、各イテレーションで押下通知メッセージを送る回数も正確に推測しなければならなくなり、攻撃はより困難になる。
【００７５】
（効果について）
以上のように、登録システム１００は、登録サーバ１と、通信処理装置２および管理装置３とが互いに通信可能に接続される。登録サーバ１は、操作通知部１２ａ、確認通知部１２ｂおよび鍵生成部１２ｃを有する。操作通知部１２ａは、管理装置３からの登録要求に応答して通信処理装置２のスイッチ動作の指示を管理装置３に送信する。確認通知部１２ｂは、通信処理装置２におけるスイッチ動作の検知に基づき、通信処理装置２との間で鍵情報を交換して、管理装置３に対してスイッチ動作の確認要求を送信する。鍵生成部１２ｃは、管理装置３からの、確認要求に対する確認結果に基づき、通信処理装置２と交換した鍵情報を登録する。これにより、登録システム１００では、ＰＩＮ（Personal  Identification  Number、個人識別番号、いわゆる暗証番号）を入出力したり、ボタンを押す時間や時間間隔を細かく制御しながら何度もボタン押下するような煩雑な操作を伴わずに、安全かつ簡単に登録作業を行うことが可能となる。
【００７６】
例えば、安全でない通信路を用いて二つの装置の間で共有鍵を共有する方式として、無線ＬＡＮにおける端末登録方式であるＷＰＳ（Wi-Fi  Protected  Setup）と、短距離無線通信方式Ｂｌｕｅｔｏｏｔｈ（登録商標）などの端末登録で使われるペアリングが挙げられる。
【００７７】
ＷＰＳは、Ｗｉ−Ｆｉアライアンスによって定められた無線ＬＡＮにおける端末登録方式である。主に家庭内の無線ＬＡＮにおいて、基地局であるアクセスポイント（ＡＰ）に対して、ＰＣやスマートフォンなどの端末を登録し、無線ＬＡＮによる通信の利用を許可するための方式である。
【００７８】
ＷＰＳには、ＰＩＮを用いる方式、ボタン押下方式、ＮＦＣ（Near-field  communication、近距離通信）方式、ＵＳＢ方式がある。
【００７９】
ＰＩＮ方式は、典型的には１０進数６桁程度の数値をＡＰ側で小型液晶ディスプレイなどに表示し、これを読み取った人間（ユーザ）が端末に入力することで、共有鍵を共有することができる。しかしＰＩＮ方式はＡＰにディスプレイが必要であり、入出力機能が限定された装置で実現することは難しい（ＡＰと端末の役割を交換することもできるが、その場合は数値を入力するテンキーなどの入力機能が必要であり、同じ問題が生じる）。
【００８０】
ボタン押下方式は、ＡＰにボタンを設け、ユーザがボタンを押してから一定の制限時間（たとえば３０秒、２分など）内に端末側から登録を要求するとＡＰが登録を受理する、というものである。ＷＰＳにおけるボタン方式では、微弱な電波を用い、物理的にＡＰの近くにいる端末での登録に制限している。しかしながら、上記のように登録サーバとネットワーク通信する場合は、離れた場所にいる端末が登録される可能性があり、安全とは言えない。
【００８１】
ＮＦＣ方式とＵＳＢ方式は、接触するほどの超近距離、または物理的にケーブル接続した状態での通信により共有鍵を共有する方式である。これらはＮＦＣ送受信あるいはＵＳＢ通信のための機能および装備をＡＰおよび端末の両者に設けなければならず、入出力機能が限定された装置では実現が難しい。
【００８２】
Ｂｌｕｅｔｏｏｔｈなどのペアリングでは、ＰＩＮ方式、数値比較方式、ＯＯＢ(out-of-band)方式が用意されている。ＰＩＮ方式は、上記のＷＰＳのＰＩＮ方式と本質的に同等である。数値比較方式は、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵交換プロトコルで生成した共有鍵の一部を数値として両装置のディスプレイに表示し、人間が同じ数値であることを確認することで、中間者攻撃の結果両者で異なる鍵が共有されることを検出するものである。数値比較方式はディスプレイを要するという点でＰＩＮ方式と同じ欠点をもつ。ＯＯＢ方式はＢｌｕｅｔｏｏｔｈの無線通信とは異なる別の通信手段で共有鍵をやりとりするもので、別の通信手段としてＮＦＣなどが考えられており、上記のＷＰＳにおけるＮＦＣ方式やＵＳＢ方式と同じ課題をもつ。
【００８３】
ＷＰＳやＢｌｕｅｔｏｏｔｈペアリングで採用されているＰＩＮ方式を、装置にテンキーなどの入力機能を設けずボタン1つ（または２つなど少数）で実現する方式が、学術論文などで提案されている。たとえば、Chong,  Mayrhofer,  Gellersen.  A  Survey  of  User  Interaction  for  Spontaneous  Device  Association.  ACM  Computing  Surveys  (CSUR),  Vol.  47,  Issue  1,  July  2014.がある。この学術論文は、ボタン以外の方式も含め、安全な登録（文献の用語では「Device  Association（機器の関連付け）」）のための方式を複数比較している。このうち、１つのボタンで登録を行う方式の代表的な例として、ＢＥＤＡ(button-enabled  device  association)方式が挙げられる。このＢＥＤＡ方式については、C.  Soriente,  G.  Tsudik,  and  E.  Uzun.  BEDA:  button-enabled  device  association.  Ubiquitous  Computing  (UbiComp)  2007.が知られている。
【００８４】
ＢＥＤＡ方式では、１０進６桁のＰＩＮとほぼ同等の情報量である２１ビットの情報を、装置に設けられたボタンを押すタイミングで装置に伝える。すなわち、もう一方の装置側からの音声情報や画面情報に従って、長短８通りの時間間隔をおいてボタンを押すことで１回の押下あたり３ビットの情報を伝え、これを７回繰り返すことで２１ビットの情報を伝える。この方式は、入力機能としてボタン１つあればよいという点は優れているが、時間間隔を正確に調整しながら７回もボタンを押すという操作が煩雑であるのが欠点といえる。
【００８５】
これに対し、登録システム１００では、ユーザと通信処理装置２との間のインタラクションは（スイッチ押下の時間間隔などを考慮せず）、単なるボタン押下（スイッチ動作）としている。そして、登録サーバ１は、スイッチ動作を検知すると、ユーザがスイッチ動作を行った否かについての確認要求を管理装置３へ送信し、スイッチ動作を成否を確認する。そして、登録サーバ１は、確認結果に応じて登録処理の受理（通信処理装置２と交換した鍵情報の登録）または拒否を行う。したがって、登録システム１００では、煩雑な操作を伴わずに、安全かつ簡単に登録作業を行うことが可能となる。
【００８６】
また、操作通知部１２ａは、スイッチ動作の指示を複数回送信し、確認通知部１２ｂは、通信処理装置２におけるスイッチ動作の検知ごとに、管理装置３に対して確認要求を送信する。鍵生成部１２ｃは、スイッチ動作の指示を送信した回数に対応する確認結果が得られた場合に鍵情報を登録する。このように、登録システム１００では、スイッチ動作の指示と、スイッチ動作の確認についてのインタラクションの組を複数回繰り返して確認を行うことで、確認の精度を高めることができる。
【００８７】
また、操作通知部１２ａは、スイッチ動作を複数回行う指示を送信し、確認通知部１２ｂは、通信処理装置２における複数回のスイッチ動作の検知に基づき、管理装置３に対して複数回のスイッチ動作の確認要求を送信する。鍵生成部１２ｃは、指示したスイッチ動作の回数に対応する確認結果が得られた場合に鍵情報を登録する。このように、登録システム１００では、スイッチ動作を複数回行う指示と、複数回のスイッチ動作の確認とを行って、確認の精度を高めてもよい。
【００８８】
また、確認通知部１２ｂは、通信処理装置２におけるスイッチ動作の検知ごとに、通信処理装置２との間で鍵情報を交換する。鍵生成部１２ｃは、交換した複数の鍵情報が通信処理装置２との間で共有されているか否かを確認し、共有されている場合に鍵情報を登録する。このように、登録システム１００では、通信処理装置２におけるスイッチ動作ごとに交換した複数の鍵情報が登録サーバ１と通信処理装置２との間で共有されていることを確認することで、より安全な登録作業を行うことができる。
【００８９】
また、操作通知部１２ａは、通信処理装置２ごとに予め設定された、通信処理装置２の危険度合いを示すリスク値に基づいて、スイッチ動作の指示を送信する回数またはスイッチ動作を行う回数を決める。これにより、登録システム１００は、通信処理装置２の危険度合いに応じて確認の精度を変更することができる。例えば、通信処理装置２の危険度合いが高い場合は、スイッチ動作の指示を送信する回数またはスイッチ動作を行う回数を増やすなどすることで、より精度の高い確認を行うことができる。
【００９０】
また、登録サーバ１は、スイッチ動作を検知した通信処理装置２を示す送信元情報１１ａを記憶する。鍵生成部１２ｃは、送信元情報１１ａが示す通信処理装置２とは異なる通信処理装置からのスイッチ動作を検知した場合、当該異なる通信処理装置の鍵情報の登録を失敗とする、またはリスク値を上昇させる。このように、登録システム１００は、送信元情報１１ａで管理されていない通信処理装置２について鍵情報の登録を失敗とする、または危険度合いを示すリスク値を上昇させることで、より安全な登録作業を行うことができる。
【００９１】
また、登録サーバ１は、スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置２を示すブラックリスト１１ｂを記憶する。鍵生成部１２ｃは、ブラックリスト１１ｂが示す通信処理装置２について、鍵情報の登録を失敗とする、またはリスク値を上昇させる。このように、登録システム１００は、ブラックリスト１１ｂに含まれる、スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置２について、鍵情報の登録を失敗とする、またはリスク値を上昇させることで、より安全な登録作業を行うことができる。
【００９２】
（他の変形例等）
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００９３】
登録サーバ１、通信処理装置２および管理装置３で行われる各種処理機能は、典型的には計算機上で動作するプログラムとして構成され、また多くの場合は他のプログラムの一部として組み込まれる形で実現される。ただし、必ずしもそのような実現形態に限定せず、電子回路等のハードウェアとして実現したり、集積回路の一機能として実現したりしても構わない。
【００９４】
例えば、登録サーバ１、通信処理装置２および管理装置３で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、登録サーバ１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００９５】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図７は、プログラムを実行するコンピュータの一例を説明する説明図である。
【００９６】
図７に示すように、コンピュータ６は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、コンピュータ６は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、コンピュータ６は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、管理装置３内の各部（１０１〜１０９）は、バス１１０に接続される。
【００９７】
ハードディスク装置１０９には、上記の実施形態で説明した通信部１０、２０、３０、登録処理部１２、２２、３３などにおける各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１（例えば登録プログラム）が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、管理装置３の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００９８】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、通信部１０、２０、３０、登録処理部１２、２２、３３などの機能部を実現する。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、コンピュータ６が読み取り可能な記憶媒体に記憶されたプログラム１１１を、コンピュータ６が読み出して実行するようにしてもよい。コンピュータ６が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にプログラム１１１を記憶させておき、コンピュータ６がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００９９】
以上の実施形態に関し、さらに以下の付記を開示する。
【０１００】
（付記１）登録システム内で、通信処理装置および管理装置と通信可能に接続される登録サーバにおいて、
前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信する操作通知部と、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信する確認通知部と、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する鍵登録部と、
を有することを特徴とする登録サーバ。
【０１０１】
（付記２）前記操作通知部は、前記スイッチ動作の指示を複数回送信し、
前記確認通知部は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記管理装置に対して前記確認要求を送信し、
前記鍵登録部は、前記スイッチ動作の指示を送信した回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記１に記載の登録サーバ。
【０１０２】
（付記３）前記操作通知部は、前記スイッチ動作を複数回行う指示を送信し、
前記確認通知部は、前記通信処理装置における複数回のスイッチ動作の検知に基づき、前記管理装置に対して前記複数回のスイッチ動作の確認要求を送信し、
前記鍵登録部は、指示した前記スイッチ動作の回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記１に記載の登録サーバ。
【０１０３】
（付記４）前記確認通知部は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記通信処理装置との間で鍵情報を交換し、
前記鍵登録部は、交換した複数の前記鍵情報が前記通信処理装置との間で共有されているか否かを確認し、共有されている場合に前記鍵情報を登録する、
ことを特徴とする付記２に記載の登録サーバ。
【０１０４】
（付記５）前記操作通知部は、前記通信処理装置ごとに予め設定された、前記通信処理装置の危険度合いを示すリスク値に基づいて、前記スイッチ動作の指示を送信する回数または前記スイッチ動作を行う回数を決める、
ことを特徴とする付記２乃至４のいずれか一に記載の登録サーバ。
【０１０５】
（付記６）前記鍵登録部は、スイッチ動作を検知した前記通信処理装置とは異なる通信処理装置からのスイッチ動作を検知した場合、当該異なる通信処理装置の鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記５に記載の登録サーバ。
【０１０６】
（付記７）前記鍵登録部は、前記スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置について、前記鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記５に記載の登録サーバ。
【０１０７】
（付記８）登録サーバと、通信処理装置および管理装置と通信可能に接続される登録システムにおける登録方法であって、
前記登録サーバが、前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信し、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信し、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する、
処理を実行することを特徴とする登録方法。
【０１０８】
（付記９）前記指示を送信する処理は、前記スイッチ動作の指示を複数回送信し、
前記確認要求を送信する処理は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記管理装置に対して前記確認要求を送信し、
前記登録する処理は、前記スイッチ動作の指示を送信した回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記８に記載の登録方法。
【０１０９】
（付記１０）前記指示を送信する処理は、前記スイッチ動作を複数回行う指示を送信し、
前記確認要求を送信する処理は、前記通信処理装置における複数回のスイッチ動作の検知に基づき、前記管理装置に対して前記複数回のスイッチ動作の確認要求を送信し、
前記登録する処理は、指示した前記スイッチ動作の回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記８に記載の登録方法。
【０１１０】
（付記１１）前記確認要求を送信する処理は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記通信処理装置との間で鍵情報を交換し、
前記登録する処理は、交換した複数の前記鍵情報が前記通信処理装置との間で共有されているか否かを確認し、共有されている場合に前記鍵情報を登録する、
ことを特徴とする付記９に記載の登録方法。
【０１１１】
（付記１２）前記指示を送信する処理は、前記通信処理装置ごとに予め設定された、前記通信処理装置の危険度合いを示すリスク値に基づいて、前記スイッチ動作の指示を送信する回数または前記スイッチ動作を行う回数を決める、
ことを特徴とする付記９乃至１１のいずれか一に記載の登録方法。
【０１１２】
（付記１３）前記登録する処理は、スイッチ動作を検知した前記通信処理装置とは異なる通信処理装置からのスイッチ動作を検知した場合、当該異なる通信処理装置の鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記１２に記載の登録方法。
【０１１３】
（付記１４）前記登録する処理は、前記スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置について、前記鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記１２に記載の登録方法。
【０１１４】
（付記１５）登録システム内で、通信処理装置および管理装置と通信可能に接続されるコンピュータに、
前記管理装置からの登録要求に応答して当該管理装置に対して前記通信処理装置のスイッチ動作の指示を送信し、
前記通信処理装置におけるスイッチ動作の検知に基づき、前記通信処理装置との間で鍵情報を交換して、前記管理装置に対して前記スイッチ動作の確認要求を送信し、
前記管理装置からの、前記確認要求に対する確認結果に基づき、交換した前記鍵情報を登録する、
処理を実行させることを特徴とする登録プログラム。
【０１１５】
（付記１６）前記指示を送信する処理は、前記スイッチ動作の指示を複数回送信し、
前記確認要求を送信する処理は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記管理装置に対して前記確認要求を送信し、
前記登録する処理は、前記スイッチ動作の指示を送信した回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記１５に記載の登録プログラム。
【０１１６】
（付記１７）前記指示を送信する処理は、前記スイッチ動作を複数回行う指示を送信し、
前記確認要求を送信する処理は、前記通信処理装置における複数回のスイッチ動作の検知に基づき、前記管理装置に対して前記複数回のスイッチ動作の確認要求を送信し、
前記登録する処理は、指示した前記スイッチ動作の回数に対応する前記確認結果が得られた場合に前記鍵情報を登録する、
ことを特徴とする付記１５に記載の登録プログラム。
【０１１７】
（付記１８）前記確認要求を送信する処理は、前記通信処理装置におけるスイッチ動作の検知ごとに、前記通信処理装置との間で鍵情報を交換し、
前記登録する処理は、交換した複数の前記鍵情報が前記通信処理装置との間で共有されているか否かを確認し、共有されている場合に前記鍵情報を登録する、
ことを特徴とする付記１６に記載の登録プログラム。
【０１１８】
（付記１９）前記指示を送信する処理は、前記通信処理装置ごとに予め設定された、前記通信処理装置の危険度合いを示すリスク値に基づいて、前記スイッチ動作の指示を送信する回数または前記スイッチ動作を行う回数を決める、
ことを特徴とする付記１６乃至１８のいずれか一に記載の登録プログラム。
【０１１９】
（付記２０）前記登録する処理は、スイッチ動作を検知した前記通信処理装置とは異なる通信処理装置からのスイッチ動作を検知した場合、当該異なる通信処理装置の鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記１９に記載の登録プログラム。
【０１２０】
（付記２１）前記登録する処理は、前記スイッチ動作の指示に先立ってスイッチ動作を検知した通信処理装置について、前記鍵情報の登録を失敗とする、または前記リスク値を上昇させる、
ことを特徴とする付記１９に記載の登録プログラム。
【符号の説明】
【０１２１】
１…登録サーバ
２、２ａ…通信処理装置
３…管理装置
４…通信ネットワーク
５…ユーザ
６…コンピュータ
１０、２０、３０…通信部
１１…記憶部
１１ａ…送信元情報
１１ｂ…ブラックリスト
１１ｃ…鍵情報
１２、２２、３３…登録処理部
１２ａ…操作通知部
１２ｂ…確認通知部
１２ｃ…鍵生成部
２１、３２…操作部
３１…表示部
３３…登録処理部
１００…登録システム
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
Ｃ１〜Ｃ３…ケース
【図１】
2019129414.tif 000003
【図２】
2019129414.tif 000004
【図３】
2019129414.tif 000005
【図４】
2019129414.tif 000006
【図５】
2019129414.tif 000007
【図６】
2019129414.tif 000008
【図７】
2019129414.tif 000009