(57)【要約】      （修正有）【課題】鍵を消失した場合に当該鍵を復元可能にする情報処理装置、情報処理システム、鍵管理方法を提供する。【解決手段】データを暗号化して通信を行う複数の画像処理装置１００を含んだシステムに属する画像処理装置１００であって、暗号化通信を行うための鍵情報を、秘密分散方式により、複数に分割して秘密分散データを作成する作成部（秘密分散データ作成部１５４）と、作成部によって作成された秘密分散データを、システムに属する画像処理装置１００に配布する配布部（通信部１５９）と、システムに属する画像処理装置の台数が変更された場合、鍵情報を、変更後の画像処理装置の台数に応じた数に分割して、新たに秘密分散データを作成する再作成部（秘密分散データ作成部１５４）と、再作成部によって新たに作成された秘密分散データを、システムに属する画像処理装置に新たに配布する再配布部（通信部１５９）と、を有する。【選択図】図５
2019004351.tif 000002
【特許請求の範囲】
【請求項１】
データを暗号化して通信を行う複数の情報処理装置を含んだシステムに属する情報処理装置であって、
暗号化通信を行うための鍵情報を、秘密分散方式により、複数に分割して秘密分散データを作成する作成部と、
前記作成部によって作成された前記秘密分散データを、前記システムに属する情報処理装置に配布する配布部と、
前記システムに属する情報処理装置の台数が変更された場合、前記鍵情報を、変更後の情報処理装置の台数に応じた数に分割して、新たに秘密分散データを作成する再作成部と、
前記再作成部によって新たに作成された前記秘密分散データを、前記システムに属する情報処理装置に新たに配布する再配布部と、
を有する情報処理装置。
【請求項２】
請求項１に記載の情報処理装置において、さらに、
前記情報処理装置の台数が変更された場合、前記システムに属する情報処理装置に配布された秘密分散データをそれぞれ取得する取得部と、を有し、
前記再作成部は、前記取得部によって取得された秘密分散データから、前記鍵情報を復元し、復元した鍵情報から、前記秘密分散データを新たに作成する、情報処理装置。
【請求項３】
請求項２に記載の情報処理装置において、
前記システムに属する情報処理装置のいずれかは、デジタル証明書を発行する認証局を含み、
前記鍵情報は、前記認証局がデジタル証明書を発行するための鍵情報を含んでいる、情報処理装置。
【請求項４】
請求項３に記載の情報処理装置において、
前記認証局を含む情報処理装置が前記システムに属さなくなることで、前記情報処理装置の台数が変更される場合、前記再作成部は、復元した前記鍵情報を、自機の記憶部に記憶させて、自機内に認証局を新たに設ける、情報処理装置。
【請求項５】
請求項１乃至４のいずれか１項に記載の情報処理装置において、さらに、
前記システムに属する情報処理装置の識別情報のリストと、事前に定義される所定の送信メッセージに対して返信のあった情報処理装置の識別情報とを比較して、前記情報処理装置の構成が変更されたかを判定する判定部を有する、情報処理装置。
【請求項６】
請求項５に記載の情報処理装置において、さらに、
前記判定部によって構成が変更されたと判定される場合、前記リストを、返信のあった前記情報処理装置の識別情報のリストに更新する更新部を有する、情報処理装置。
【請求項７】
請求項１乃至６のいずれか１項に記載の情報処理装置において、さらに、
前記システムに属する情報処理装置の構成が変更される場合にメッセージを通知する通知部を有する、情報処理装置。
【請求項８】
請求項１乃至７のいずれか１項に記載の情報処理装置において、
前記作成部は、前記鍵情報を、前記システムに属する情報処理装置の台数と同じ数に分割して秘密分散データを作成し、
前記配布部は、前記秘密分散データを、前記システムに属する情報処理装置ごとに１つずつ配布し、
前記再作成部は、前記システムに属する情報処理装置の台数が変更された場合、前記鍵情報を、変更後の台数と同じ数に新たに分割した秘密分散データを作成し、
再配布部は、前記再作成部によって新たに作成された前記秘密分散データを、前記システムに属する情報処理装置ごとに１つずつ配布する、情報処理装置。
【請求項９】
複数の情報処理装置の相互において暗号化をしたデータを、相互に通信可能に構成される情報処理システムであって、
前記暗号化に用いられる鍵情報を秘密分散方式を用いて複数に分割した秘密分散データを作成する秘密分散データ作成部と、
前記秘密分散データを前記情報処理装置のそれぞれに対して分散して配布する配布部と、
前記情報処理システムに含まれる前記情報処理装置の台数を取得するシステム構成取得部と、
を有し、
前記システム構成取得部が前記情報処理装置の台数の変化を検知したとき、
前記秘密分散データ作成部は、変化後の台数に応じて前記鍵情報から前記秘密分散データを再度作成し、
前記配布部は、再度作成された秘密分散データを、台数が変化した後の前記情報処理装置のそれぞれに対して分散して再配布する、
情報処理システム。
【請求項１０】
データを暗号化して通信を行う複数の情報処理装置を含んだシステムの鍵管理方法であって、
暗号化通信を行うための鍵情報を、秘密分散方式により、複数に分割して秘密分散データを作成し、
作成された前記秘密分散データを、前記システムに属する情報処理装置に配布し、
前記システムに属する情報処理装置の台数が変更された場合、前記鍵情報を、変更後の情報処理装置の台数に応じた数に分割して、新たに秘密分散データを作成し、
新たに作成された前記秘密分散データを、前記システムに属する情報処理装置に、新たに配布する、
鍵管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、鍵管理方法に関する。
【背景技術】
【０００２】
暗号通信のプロトコルの代表的なものとして、ＳＳＬ（Secure Socket Layer）／ＴＬＳ（Transport Layer Security）が知られている。ＳＳＬ／ＴＬＳは、データの機密性、正真性を担保する以外にも、通信相手の認証も合わせて行うことができるプロトコルである。
【０００３】
一般的なクライアントとサーバから構成されるシステムにおいて、ＳＳＬ／ＴＬＳによる暗号化通信を行うには、認証局（Certification Authority、以下ＣＡと称す）からデジタル証明書を発行してもらい、サーバに組み込む必要がある。ＣＡが発行するデジタル証明書のうち、サーバを証明するためのデジタル証明書を、サーバ証明書と称する。
【０００４】
サーバにアクセスするクライアントは、ＳＳＬ／ＴＬＳによるセッションを確立する際、まずはサーバからサーバ証明書を取得する。クライアントは、サーバ証明書に含まれているサーバの公開鍵を用いて、データを暗号化し、この暗号化データをサーバに送信する。サーバは、暗号化データを受信し、自機内に記憶されている秘密鍵で復号して元のデータに戻す。
【０００５】
公開鍵および秘密鍵を用いて、データを暗号化、復号化する公開鍵暗号方式の場合、複雑な計算を行う必要があり、処理負荷が高くなる。このことから、ＳＳＬ／ＴＬＳでの通信において、サーバとクライアントとは、通信を確立するシーケンス内で、双方間で共有される共通鍵を作成し、最終的には当該共通鍵を用いて、低負荷で暗号化通信を行う。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
クライアントには、証明書ベンダのルート証明書が事前に導入されている。ルート証明書は、最上位の認証局であるルートＣＡが、自身を証明するために、自身に対して発行した自己署名証明書である。
【０００７】
クライアントは、サーバとの間でＳＳＬ／ＴＬＳの暗号化通信を確立する前に、サーバ証明書が正規なものであるか否かを検証する必要がある。この検証を行うため、クライアントは、事前に導入されているルート証明書を用いてサーバ証明書を検証する。サーバ証明書の検証結果が適合である場合に限り、クライアントは、ＳＳＬ／ＴＬＳの暗号化通信を確立するためのシーケンスを引き続き行う。これら一連の処理は、ユーザに意識させることなく実施される。
【０００８】
証明書ベンダなどの外部のＣＡにサーバ証明書を発行してもらうためには、証明書ベンダに所定の費用を支払う必要がある。すなわち、サーバ証明書の発行にはコストがかかる。このことから、組み込み機器の場合、出荷前の事前導入はせずに、組み込み機器を使用する利用者側が、ＳＳＬ／ＴＬＳの暗号化通信を行いたい場合に必要に応じて証明書ベンダに対してデジタル証明書の発行手続きを行い、導入する。
【０００９】
サーバ証明書の発行にかかるコストを削減するには、組み込み機器自身が自己署名をして、サーバ証明書を自らで発行する方法を採用すればよい。この場合、組み込み機器が第三者のＣＡによって証明される構成とはならないため、認証についての信頼度は低下する。しかしながら、ＳＳＬ／ＴＬＳの暗号化通信を利用することはできるので、機密性や正真性については担保される。サーバ証明書の発行にかかるコストを削減しつつ、機密性や正真性を担保する方法として、サーバ証明書を自ら発行する方法はよく利用されている。
【００１０】
しかしながら、近年、機密性、正真性だけではなく、認証の重要性も増している。自己署名されたサーバ証明書を受信したクライアントの中には、ユーザへの注意喚起のため、警告画面を目立つように表示するものもある。この警告画面が表示されると、不慣れなユーザは、このまま処理を進めてよいのか判断することができない。このことから、組み込み機器自らで自己署名を行う運用は難しくなってきている。
【００１１】
以上のことから、セキュリティの考え方として、自己署名証明書ではない、ＣＡの署名を付したサーバ証明書を用いて、組み込み機器の認証などを行うことが主流となりつつある。
【００１２】
ＣＡの署名を付したサーバ証明書を扱うにあたり、２つの方法が存在する。一つはパブリックＣＡを利用する方法であり、もう一つはプライベートＣＡを利用する方法である。パブリックＣＡを利用する方法は、外部の証明書ベンダに発行してもらったサーバ証明書を利用し、ＳＳＬ／ＴＬＳの暗号化通信を行う仕組みである。プライベートＣＡを利用する方法は、特定の組織内にＣＡを設け、当該ＣＡが、組織内で通用するサーバ証明書を発行する仕組みとなる。プライベートＣＡは、組織内のユーザが自由に設置することができ、証明書ベンダへ支払うコストは発生しない。
【００１３】
今後、組み込み機器においては、プライベートＣＡの利用が高まると予想される。しかしながら、デジタル証明書や暗号の仕組みを理解している管理者が組織内にいない場合や、管理者の退職、異動の際に、業務内容が引き継がれなかった場合、プライベートＣＡを運用するのは困難となる。
【００１４】
また、組織の引っ越しやレイアウト変更などにより、プライベートＣＡのソフトウェアや鍵情報が消失する可能性もある。
【００１５】
特許文献１には、不揮発メモリの交換などで、組み込み機器に導入されていたデジタル証明書が利用できなくなった場合に、復旧用のデジタル証明書を使って、外部のＣＡと暗号化通信を行うことが開示されている。また特許文献１には、外部のＣＡが、秘密鍵、公開鍵の鍵ペア、および証明書を、組み込み機器に送信して保存させることで、デジタル証明書などを復旧させる技術が開示されている。
【００１６】
特許文献１には、このような技術が開示されているが、外部のパブリックＣＡを利用することを前提として、機器が証明書を使用できなくなった際の復旧方法を開示している。また特許文献１では、ルートＣＡの鍵の消失については、証明書ベンダが担保するものなので、当然ながら、利用する側としてはルートＣＡの鍵の消失は発生しない、との考えを前提としている。よって、特許文献１には、ルートＣＡの鍵を消失した場合のことを何ら解消していない。
【００１７】
本発明は、鍵情報を消失した場合に当該鍵情報を復元可能にすることを目的とする。
【課題を解決するための手段】
【００１８】
上記課題を解決するために、本発明の一態様は、データを暗号化して通信を行う複数の情報処理装置を含んだシステムに属する情報処理装置であって、暗号化通信を行うための鍵情報を、秘密分散方式により、複数に分割して秘密分散データを作成する作成部と、作成部によって作成された秘密分散データを、システムに属する情報処理装置に配布する配布部と、システムに属する情報処理装置の台数が変更された場合、鍵情報を、変更後の情報処理装置の台数に応じた数に分割して、新たに秘密分散データを作成する再作成部と、再作成部によって新たに作成された秘密分散データを、システムに属する情報処理装置に新たに配布する再配布部と、を有する。
【発明の効果】
【００１９】
本発明によれば、鍵情報を消失した場合にも、当該鍵情報を復元可能にすることができる。
【図面の簡単な説明】
【００２０】
【図１】実施形態の情報処理システムの構成例を示す図である。
【図２】実施形態の画像処理装置のハードウェア構成例を示す図である。
【図３】実施形態の情報処理システムのデータの格納状態を示す図である。
【図４】実施形態の秘密分散について説明する図である。
【図５】実施形態の画像処理装置のブロック図である。
【図６】実施形態の、ルートＣＡを設置する際の全体動作例を示すフローチャートである。
【図７】管理者が操作している画像処理装置にルートＣＡを設けるかを選択させる画面例を示す図である。
【図８】実施形態の管理者連絡先を指定する画面例を示す図である。
【図９】実施形態の、ＩＰアドレスリストを作成する際の動作例を示すシーケンス図である。
【図１０】実施形態の、デジタル証明書および秘密分散データを作成する際の動作例を示すシーケンス図である。
【図１１】実施形態の、画像処理装置の構成が変更されたかの検出例およびＩＰアドレスリストを再配布する際の動作例を示すシーケンス図である。
【図１２】実施形態の、装置構成が変更になった場合の表示例を示す図である。
【図１３】実施形態の、情報処理装置を切り離して再構築する際の表示例を示す図である。
【図１４】実施形態の、非ＣＡの情報処理装置を情報処理システムから切り離して再構築する場合の動作例を示すシーケンス図である。
【図１５】実施形態の、ルートＣＡを有する情報処理装置を情報処理システムから切り離して再構築する場合の動作例を示すシーケンス図である。
【発明を実施するための形態】
【００２１】
以下、本実施形態の情報処理装置、情報処理システム、鍵管理方法の態様について説明する。本実施形態では、情報処理装置の一つの態様として、コピー、プリンタ、スキャナ、ＦＡＸ送受信を行う画像処理装置を用いて説明する。
【００２２】
本実施形態では、情報処理システムに属する一台の画像処理装置に、ルートＣＡを設ける。ルートＣＡは、公開鍵と秘密鍵との鍵ペア（鍵情報）を作成し、作成した鍵ペアに基づき、自身を証明するための自己署名証明書を発行する。この自己署名証明書をルート証明書と称する。
【００２３】
本実施形態では、ルートＣＡが作成した公開鍵と秘密鍵との鍵ペアを、後述する閾値秘密分散方式を用いて複数に分割して、秘密分散データを作成する。そして本実施形態では、この複数の秘密分散データのそれぞれを、情報処理システム内の画像形成装置にそれぞれ保存する。ルートＣＡの秘密鍵、公開鍵のいずれかが消失等した場合、秘密分散データを集めることで、公開鍵と秘密鍵との鍵ペアである鍵情報を復元できる。すなわち、ルートＣＡの公開鍵と秘密鍵を復元することができる。
【００２４】
図１は、本実施形態の情報処理システムの構成例を示す図である。情報処理システム１は、画像処理装置１００Ａ、１００Ｂ、１００Ｃ、１００Ｄの４台の画像処理装置を有する。これら画像処理装置１００Ａ〜１００Ｄは、ネットワーク２００によって相互にデータの送受信を行うことができる。また以降の説明では、複数の画像処理装置を総称する場合や特定する必要のない場合は、数字のみの符号を付して説明する。
【００２５】
画像処理装置１００は、コピー、プリント、スキャン、ＦＡＸ送受信の各機能を有するＭＦＰ（Multifunction Peripheral）である。画像処理装置１００のうち、画像処理装置１００Ａには、ルートＣＡ１６０が設置されており、画像処理装置１００Ｂ、１００Ｃ、１００Ｄには、ルートＣＡが設置されていない構成となっている。ルートＣＡが設置されていない画像処理装置１００を、非ＣＡの画像処理装置と称する。
【００２６】
画像処理装置１００Ｂ〜１００Ｄは、公開鍵、秘密鍵の鍵ペアを作成し、画像処理装置１００Ａ内に設置されたルートＣＡ１６０に、作成した公開鍵を送付してデジタル証明書の発行依頼を行う。画像処理装置１００Ｂ〜１００Ｄは、ルートＣＡ１６０からデジタル証明書を発行してもらうと、このデジタル証明書を、公開鍵、秘密鍵の鍵ペアとともに自機に保存する。画像処理装置１００Ａも同様に、公開鍵、秘密鍵の鍵ペアを作成し、同じ筐体内に同居しているルートＣＡ１６０から、デジタル証明書を発行してもらい、自機に保存する。ここで、画像処理装置１００がルートＣＡ１６０に依頼をして、発行してもらうデジタル証明書を、サーバ証明書と称する。このように画像処理装置１００Ａ〜１００Ｄは、自機で作成した鍵ペアとともに、自身のサーバ証明書を各々で保存している。
【００２７】
クライアント３００は、画像処理装置１００と通信を行うコンピュータである。クライアント３００は、画像処理装置１００Ａ〜１００ＤとＳＳＬ／ＴＬＳの暗号化通信を行うため、ルートＣＡ１６０が発行したルート証明書を、自機の所定位置に保存しておく。また本実施形態では、画像処理装置１００Ａ〜１００Ｄ同士も、ＳＳＬ／ＴＬＳの暗号化通信を行う。よって画像処理装置１００Ａ〜１００Ｄも、ルートＣＡ１６０が発行したルート証明書を、自機の所定位置に保存しておく。
【００２８】
尚、情報処理システム１に属する画像処理装置を、本実施形態では４台としているが、画像処理装置の台数はこれに限定されず、複数台であればよい。また、複数のクライアント３００を情報処理システム１に含めてもよい。
【００２９】
図２は、画像処理装置１００のハードウェア構成例を示す図である。画像処理装置１００は、画像処理装置１００の内部の機器を統括的に制御するコントローラ１０１と、コントローラ１０１が制御する操作パネル１２０、プリンタエンジン１２１、スキャナ１２２の各周辺機器を有する。
【００３０】
コントローラ１０１は、各種ジョブを実施する際の動作制御を行う制御機構の総称であり、以下の構成を有する。
【００３１】
ネットワークＩ／Ｆ１０２（Ｉ／Ｆ：Interface）は、外部機器との間で行われるデータ通信の制御を担うインターフェイスボードである。プログラムＲＯＭ１０３（ＲＯＭ：Read Only Memory）は、コントローラ１０１内でのデータの管理や、周辺モジュールを制御するためのプログラムが格納される、不揮発性メモリである。
【００３２】
フォントＲＯＭ１０４は、印字動作の際に使用されるさまざまな種類のフォントを記憶する不揮発性メモリである。操作部Ｉ／Ｆ１０５は、操作パネル１２０との間でのデータの入出力を制御するインターフェイスボードである。操作部Ｉ／Ｆ１０５は、ＣＰＵ１０７（ＣＰＵ：Central Processing Unit）からの指示を受けて、操作パネル１２０に指示された画像を描画させる。また操作部Ｉ／Ｆ１０５は、操作パネル１２０で受け付けられた、押下された座標データなどをＣＰＵ１０７に出力する。
【００３３】
ＨＤＤ１０６（ＨＤＤ：Hard Disk Drive）は、データを記憶するための補助記憶装置である。ＨＤＤ１０６は、ＣＰＵ１０７が演算実行するプログラムや、制御データを記憶したり、ユーザがスキャンした画像データを格納したりする。またＨＤＤ１０６は、ルートＣＡ１６０としての機能を提供するプログラムや、秘密鍵、公開鍵の鍵情報、各デジタル証明書を記憶する。
【００３４】
ＣＰＵ１０７は、プログラムＲＯＭ１０３やＨＤＤ１０６に記憶されているプログラムを、ＲＡＭ１０８に展開し、演算実行する処理装置である。
【００３５】
ＲＡＭ１０８は、揮発性メモリであり、ＣＰＵ１０７が処理する際のワークメモリである。ＲＡＭ１０８は、ＣＰＵ１０７が演算実行するプログラムやデータを記憶するとともに、印刷データを一時記憶するバッファとしても機能する。バッファに記憶された印刷データは、ＣＰＵ１０７によって処理され、プリンタエンジン１２１に出力される。
【００３６】
ＮＶ−ＲＡＭ１０９は、不揮発性メモリであり、電源断となっても記憶し続けることを要するデータを格納する。エンジンＩ／Ｆ１１０は、コントローラ１０１からプリンタエンジン１２１を制御するインターフェイスである。
【００３７】
スキャナＩ／Ｆ１１１は、ＣＰＵ１０７からのスキャン開始指示をスキャナ１２２に出力する。またスキャナＩ／Ｆ１１１は、スキャナ１２２からのスキャン画像を、ＣＰＵ１０７に出力する。スキャン画像は、ＣＰＵ１０７の制御によりＲＡＭ１０８などに一旦格納される。
【００３８】
操作パネル１２０は、平面型のディスプレイ上にタッチパネルを積層したタッチパネルディスプレイである。操作パネル１２０は、画像処理装置１００本体の状態やジョブの実行状況などを表示し、またユーザからタッチ操作による入力を受け付ける。
【００３９】
プリンタエンジン１２１は、供給部から記録媒体を供給させ、当該記録媒体に、ユーザが指定した画像を形成する。そしてプリンタエンジン１２１は、形成後の記録媒体を画像処理装置１００の外部に排出する。
【００４０】
スキャナ１２２は、ガラス板の上に載置される原稿を、ＣＣＤ（Charge-Coupled Device）イメージセンサなどの撮像装置を用いて読み取る。読み取られたスキャン画像は、スキャナＩ／Ｆ１１１を介してＲＡＭ１０８やＨＤＤ１０６に一時的に格納される。その後スキャン画像は、ネットワークＩ／Ｆ１０２を介して、ユーザが指定した宛先まで送信される。
【００４１】
図３は、各画像処理装置１００が記憶しているデータを示した模式図である。各画像処理装置１００は、上記のルート証明書やサーバ証明書、画像処理装置１００が作成した秘密鍵、公開鍵の鍵ペア以外に、図３に示すデータを記憶している。
【００４２】
画像処理装置１００Ａは、ルートＣＡ１６０が作成した秘密鍵、公開鍵の鍵ペア、およびＩＰアドレスリストを記憶している。ＩＰアドレスリストは、情報処理システム１に属している画像処理装置１００Ａ〜１００Ｄの識別情報を列記したデータである。本実施形態では、識別情報としてＩＰアドレスを採用している。図３に示すＩＰアドレスリストのうち「ＣＡ＝ＩＰ＿Ａ」の記述は、ＩＰ＿ＡのＩＰアドレスが付与されている画像処理装置１００Ａに、ルートＣＡ１６０が設置されていることを示している。また、「ｎｏｎＣＡ＝ＩＰ＿Ｂ，ＩＰ＿Ｃ，ＩＰ＿Ｄ」の記述は、ＩＰ＿Ｂ、ＩＰ＿Ｃ、ＩＰ＿ＤのＩＰアドレスが付与されている画像処理装置１００Ｂ、１００Ｃ、１００Ｄは、非ＣＡであることを示している。
【００４３】
また画像処理装置１００Ａは、秘密分散データＡを有する。秘密分散データは、ルートＣＡ１６０の秘密鍵、公開鍵の鍵ペアを、秘密分散により分割したデータの一つである。秘密分散データについては後述する。
【００４４】
画像処理装置１００Ｂ〜１００Ｄは、画像処理装置１００Ａと同じＩＰアドレスリストを記憶し、それぞれ秘密分散データＢ、Ｃ、Ｄを記憶している。
【００４５】
本実施形態の秘密分散データについて、図４を参照しつつ説明する。秘密分散データは、秘密データをＮ個に分割したデータであり、このうち任意のＭ個（Ｎ≧Ｍ）を集めると、元の秘密データを復元することができる、という特徴を有する。Ｍの値は、秘密データから秘密分散データを作成する際に、任意に定義される。また、秘密分散データは、Ｍ個を集めると秘密データを復元できるが、（Ｍ−１）個以下では、秘密データに復元することができない、という特徴も有する。本実施形態では、図４に示すように、ルートＣＡ１６０が作成した秘密鍵、公開鍵の鍵ペアを、秘密分散により、４つの秘密分散データに分割し、作成する。また本実施形態では、任意の３つの秘密分散データを集めると、元の鍵ペアに戻すことが可能となるように、秘密分散データを作成する。
【００４６】
図４（Ａ）は、ルートＣＡ１６０を有する画像処理装置１００Ａが、不具合などにより情報処理システム１から切り離された場合の鍵ペアの復元を説明している。ルートＣＡ１６０を含む画像処理装置１００Ａが不具合などにより切り離されると、ルートＣＡ１６０の内部で管理している鍵ペアが存在しなくなる。しかしながら、秘密分散データＢ〜Ｄがそれぞれ画像処理装置１００Ｂ〜１００Ｄに保存されているため、これら秘密分散データＢ〜Ｄを集めることで、秘密鍵、公開鍵の鍵ペアを復元することができる。図４（Ｂ）〜図４（Ｄ）は、非ＣＡである画像処理装置１００Ｂ〜１００Ｄが情報処理システム１から切り離された場合の鍵ペアの復元を説明している。これらも同様に、情報処理システム１内に残った秘密分散データを集めることで、鍵ペアを復元させることができる。
【００４７】
本実施形態では、いわゆる秘密分散方式のうち、閾値秘密分散方式を用いることで鍵ペアから秘密分散データを作成する。尚、いわゆる秘密分散方式には、その他にもランプ型法や行列を用いた手法など、さまざまな方式があり、いずれの方式を採用しても構わない。尚、本明細書において秘密分散方式を示す表現として、単に「秘密分散」と表記することがある。
【００４８】
図５は、画像処理装置１００のブロック図である。ルートＣＡ１６０を含むか否かにかかわらず、画像処理装置１００Ａ〜１００Ｄのいずれもが、図５に示す構成を有するものとする。画像処理装置１００は、ＩＰアドレスリスト作成部１５１、鍵作成部１５２、証明書作成部１５３、秘密分散データ作成部１５４、システム制御部１５５、記憶部１５６、構成変更検知部１５７、表示操作部１５８、通信部１５９を有する。これらは、ＣＰＵ１０７が、ＨＤＤ１０６やプログラムＲＯＭ１０３に記憶されたプログラムを演算実行し、画像処理装置１００内部の各ハードウェアを制御することで実現される。
【００４９】
ＩＰアドレスリスト作成部１５１は、表示操作部１５８などを介して、管理者により入力されたＩＰアドレスをリストにする。このリストは、上記のとおり、情報処理システム１に含まれている画像処理装置１００のＩＰアドレスを列記したものである。またＩＰアドレスリスト作成部１５１は、構成変更検知部１５７が、画像処理装置１００のＩＰアドレスの変更や台数の増減などの変更を検知した際にも、この変更に追随するため、ＩＰアドレスリストを更新する。
【００５０】
鍵作成部１５２は、暗号化通信を行うための秘密鍵、公開鍵の鍵ペアを作成する。証明書作成部１５３は、ルート証明書を作成する。また、画像処理装置１００Ａ〜１００Ｄからサーバ証明書の発行依頼を受け付けると、証明書作成部１５３は、当該画像処理装置１００のサーバ証明書を作成する。
【００５１】
尚、証明書作成部１５３は、ルート証明書を作成する場合、鍵作成部１５２が作成した公開鍵と、ルートＣＡ１６０の情報、依頼元としてのルートＣＡ１６０の情報を含めた情報（この情報を記載情報と称す）のハッシュ値を算出する。証明書作成部１５３は、算出したハッシュ値に、鍵作成部１５２が作成した秘密鍵、すなわちルートＣＡ１６０の秘密鍵で暗号化して電子署名を作成する。そして証明書作成部１５３は、記載情報に電子署名を付すことで、ルート証明書を作成する。また、画像処理装置１００Ａ〜１００Ｄのサーバ証明書を作成する場合は、上記の記載情報内の依頼元情報が、画像処理装置１００Ａ〜１００Ｄの情報に置き替わる。
【００５２】
秘密分散データ作成部１５４は、鍵作成部１５２が作成したルートＣＡ１６０の秘密鍵および公開鍵の鍵ペアから、秘密分散データを作成する。ここでは、秘密分散データ作成部１５４は、４つの秘密分散データＡ〜Ｄを作成する。上記のように、秘密分散データＡ〜Ｄのうち３つを集めると、秘密鍵、公開鍵の鍵ペアを復元させることができる。また構成変更検知部１５７が情報処理システム１の構成変更を検知した場合、秘密分散データ作成部１５４は、変更後の画像処理装置１００の台数と同じ数に分割した秘密分散データを再作成する。本実施形態では、４つの秘密分散データを作成するためのプログラム、３つの秘密分散データを作成するためのプログラムなど、分割する数や復元に必要な数に応じて、複数のモジュールが事前に記憶されている。秘密分散データ作成部１５４は、画像処理装置１００の数や復元に必要な数に応じて、使用するプログラムを切り替えることで、さまざまな数に応じた秘密分散データを作成することができる。
【００５３】
システム制御部１５５は、画像処理装置１００全体の機能やモジュールを統括的に制御する。システム制御部１５５は、例えば、コピー、プリント、スキャナ、ＦＡＸ送受信などのジョブを実行する。また、図５に示す各機能部を、パラメータを指定して起動させたり、機能部間でのデータのやり取りの橋渡しを担ったりする。
【００５４】
記憶部１５６は、各デジタル証明書、秘密分散データ、ＩＰアドレスリストを記憶し、また各画像処理装置１００の秘密鍵、公開鍵の鍵ペアを記憶する。ルートＣＡ１６０を含む画像処理装置１００Ａの場合、これらに加え、記憶部１５６はルートＣＡ１６０の秘密鍵と公開鍵の鍵ペアも記憶している。
【００５５】
構成変更検知部１５７は、画像処理装置１００の構成に変更があるかを検知する。ここでの構成の変更とは、情報処理システム１に属する画像処理装置１００の台数の増減であったり、既存の画像処理装置１００のＩＰアドレスの変更であったりする。台数の増減についての構成変更を台数変更と称し、画像処理装置１００のＩＰアドレスの変更をＩＰアドレス変更と称する。構成の変更を検知する一例については、後述する。
【００５６】
表示操作部１５８は、ユーザに画像処理装置１００の状態などのメッセージを表示し、またユーザから、ジョブ実行指示やジョブ実行の際の設定値を受け付ける。
【００５７】
通信部１５９は、外部との間で情報を送受信する。通信部１５９は、システム制御部１５５からの指示に基づき、秘密分散データの送受信や、各デジタル証明書の送受信、管理者へのＥメール通知などを行う。
【００５８】
尚、秘密分散データ作成部１５４は、作成部、再作成部として機能する。システム制御部１５５および通信部１５９は、配布部、再配布部、取得部として機能する。ＩＰアドレスリスト作成部１５１は、更新部として機能する。構成変更検知部１５７は、判定部として機能する。通信部１５９、表示操作部１５８は、通知部として機能する。
【００５９】
次に、情報処理システム１内に、ルートＣＡ１６０の導入するときの動作例について説明する。図６は、ルートＣＡ１６０の導入動作の一例を示すフローチャートである。ここでは、画像処理装置１００Ａの動作例として説明するが、非ＣＡである画像処理装置１００Ｂ〜１００Ｄにも、図６のフローチャートを適用させることができる。図６のフローチャートは、管理者が表示操作部１５８に対して所定の操作をすることで、実行される。またここでは、画像処理装置１００ＡにルートＣＡ１６０を設けるものとする。
【００６０】
画像処理装置１００Ａのシステム制御部１５５は、自機にＣＡや非ＣＡの設定が行われているかを判定する（Ｓ６０１）。システム制御部１５５は、ＣＡや非ＣＡが既に設定されていることを示す規定ファイルの有無を確認したり、ＩＰアドレスリストや秘密分散データの有無を確認したりすることで、設定の有無を判定する。ＣＡや非ＣＡの設定が行われている場合（Ｓ６０１：Ｎｏ）、処理はＳ６０９に進む。ＣＡや非ＣＡの設定が行われていない場合（Ｓ６０１：Ｙｅｓ）、システム制御部１５５は、画像処理装置１００ＡをＣＡまたは非ＣＡのいずれにするのかの選択画面を、表示操作部１５８に表示する（Ｓ６０２）。この選択画面を図７に示す。表示操作部１５８は、ＣＡボタン７０１、非ＣＡボタン７０２を含んだ選択画面７００を表示して、管理者に、画像処理装置１００ＡをＣＡとするか非ＣＡとするかを選択させる。
【００６１】
非ＣＡボタン７０２が押下される場合（Ｓ６０３：Ｎｏ）、システム制御部１５５は、非ＣＡの設定開始指示を行う（Ｓ６０４）。尚、管理者が操作している画像処理装置１００が、仮に画像処理装置１００Ｂ〜１００Ｄである場合、Ｓ６０４に進むこととなる。Ｓ６０４において、画像処理装置１００Ｂ〜１００Ｄのシステム制御部１５５は、非ＣＡの設定開始指示を受け付けると、データを送受信するためのバックグラウンドプロセスを起動する。これにより、画像処理装置１００Ｂ〜１００Ｄの特定のＴＣＰポートおよびＵＤＰポートが開放される。通信部１５９は、このポートを介してデータ受信および送信を行うようになる。これらのＴＣＰポートおよびＵＤＰポートを、本実施形態では通信用ポートと称する。
【００６２】
一方、ＣＡボタン７０１が押下される場合（Ｓ６０３：Ｙｅｓ）、システム制御部１５５は、表示操作部１５８に確認画面を表示して、管理者からルートＣＡ１６０の設定開始指示があるまで待機する（Ｓ６０５：Ｎｏのループ）。本実施形態では、ルートＣＡ１６０の設定処理の最中に、画像処理装置１００Ｂ〜１００Ｄとの間でデータの送受信を行う。よって、画像処理装置１００Ｂ〜１００Ｄでデータ受信を可能にするために、Ｓ６０４の非ＣＡの設定処理を事前に行い、上記の通信用ポートを開放させておく必要がある。管理者は、Ｓ６０４の非ＣＡの設定開始指示を、画像処理装置１００Ｂ〜１００Ｄに対して行った後に、Ｓ６０５のルートＣＡ１６０の設定開始指示を行う。
【００６３】
ＣＡの設定処理の開始指示を受け付けると（Ｓ６０５：Ｙｅｓ）、システム制御部１５５は、まずはＴＣＰ、ＵＤＰの通信用ポートを開放する。そしてシステム制御部１５５は、図８に示す管理者情報の設定画面８００を、表示操作部１５８に表示して管理者登録処理を行う（Ｓ６０６）。管理者は、入力欄８０１に自身のメールアドレスを入力し、登録ボタン８０２を押下する。登録ボタン８０２の押下をトリガにして、画像処理装置１００Ａのシステム制御部１５５は、入力されたメールアドレスを記憶部１５６に記憶し、他の画像処理装置１００Ｂ〜１００Ｄに、管理者のメールアドレスの情報を送信する。画像処理装置１００Ｂ〜１００Ｄは、管理者のメールアドレスの情報を受信すると、自機の記憶部１５６に当該管理者のメールアドレスを記憶する。キャンセルボタン８０３が押下されると、入力欄８０１に入力された値は登録されない状態で、次のＳ６０７の処理に移行する。尚、管理者は、設定画面８００を表示させることで、連絡先をいつでも変更することができる。
【００６４】
画像処理装置１００Ａのシステム制御部１５５は、ＩＰアドレスリストの導入処理を行い（Ｓ６０７）、その後、ルートＣＡの立ち上げ処理を行う（Ｓ６０８）。Ｓ６０７、Ｓ６０８については後述する。これらの処理が完了すると、システム制御部１５５は、実際の運用を開始する（Ｓ６０９）。
【００６５】
Ｓ６０７のＩＰアドレスリストの導入処理について、図９のシーケンス図を参照しつつ説明する。
【００６６】
画像処理装置１００ＡのＩＰアドレスリスト作成部１５１は、ルートＣＡ１６０の設定開始指示を受けると、自機のＩＰアドレスも含め、情報処理システム１内の画像処理装置１００のＩＰアドレスを取得する（Ｓ９０１）。Ｓ９０１では、管理者が入力したＩＰアドレスを、表示操作部１５８を介して取得するものとする。ＩＰアドレスリスト作成部１５１は、取得した複数のＩＰアドレスをリストにして、記憶部１５６に保存する（Ｓ９０２）。尚、ＩＰアドレスリスト作成部１５１は、ネットワーク２００経由で画像処理装置１００を探索することも可能である。ＩＰアドレスリスト作成部１５１は、上記の通信用ポートを宛先ポートとした、規定のメッセージを含めたＵＤＰデータグラムを、ブロードキャストもしくはマルチキャストで送信する。そしてＩＰアドレスリスト作成部１５１は、通信用ポートが開放された装置から、返信メッセージを受けると、返信のあった装置のＩＰアドレスをリストに登録する。この場合、管理者が今現在操作している画像処理装置１００Ａを、ルートＣＡ１６０を有する画像処理装置として登録し、その他の返信のあった画像処理装置１００Ｂ〜１００Ｄを非ＣＡとして登録する。
【００６７】
ＩＰアドレスリスト作成部１５１は、作成したＩＰアドレスリストを、画像処理装置１００Ｂ〜１００Ｄに送信する（Ｓ９０３）。ＩＰアドレスリスト作成部１５１は、ＴＣＰの通信用ポートを宛先ポートに指定して、ＩＰアドレスリストを送信する。画像処理装置１００Ｂ〜１００ＤのＩＰアドレスリスト作成部１５１は、ＩＰアドレスリストを受信し、記憶部１５６に保存する（Ｓ９０４）。これにより、ルートＣＡ１６０を有する画像処理装置１００Ａと、非ＣＡである画像処理装置１００Ｂ〜１００Ｄとは、同一のＩＰアドレスリストを保持することとなる。
【００６８】
引き続き、図６のＳ６０８に示すルートＣＡ１６０の立ち上げ処理について、図１０を参照しつつ説明する。画像処理装置１００Ａの鍵作成部１５２は、ルートＣＡ１６０の秘密鍵、公開鍵を作成する（Ｓ１００１）。公開鍵暗号の方式としては、ＲＳＡや楕円曲線暗号、ＥｌＧａｍａｌなどがあるが、どのような方式を採用してもよい。鍵作成部１５２は、作成したルートＣＡ１６０の秘密鍵、公開鍵の鍵ペアを、記憶部１５６に保存する（Ｓ１００２）。証明書作成部１５３は、Ｓ１００１で作成された鍵ペアの中から、公開鍵を取得し、当該公開鍵についてのルート証明書を作成し（Ｓ１００３）、作成したルート証明書を記憶部１５６に保存する（Ｓ１００４）。
【００６９】
画像処理装置１００Ａの秘密分散データ作成部１５４は、Ｓ１００１で作成された、ルートＣＡ１６０の秘密鍵、公開鍵の鍵ペアから、秘密分散データを作成する（Ｓ１００５）。秘密分散データ作成部１５４は、本実施形態では秘密分散データＡ〜Ｄの４つのデータを作成する。秘密分散データ作成部１５４は、作成した４つのデータのうち、秘密分散データＡを記憶部１５６に保存する（Ｓ１００６）。そして秘密分散データ作成部１５４は、Ｓ１００３で作成したルート証明書と、Ｓ１００５で作成した秘密分散データＢとを、画像処理装置１００Ｂに送信する（Ｓ１００７）。画像処理装置１００Ｂのシステム制御部１５５は、通信部１５９を介してルート証明書と秘密分散データＢとを取得し、自機の記憶部１５６に保存する（Ｓ１００８）。
【００７０】
画像処理装置１００Ａの秘密分散データ作成部１５４は、画像処理装置１００Ｃに対しても同様に、ルート証明書、秘密分散データＣを送信する（Ｓ１００９）。そして画像処理装置１００Ｃのシステム制御部１５５は、これらを取得して、自機の記憶部１５６に保存する（Ｓ１０１０）。画像処理装置１００Ｄについても同様に、ルート証明書、および秘密分散データＤが送信され、これらが画像処理装置１００Ｄの記憶部１５６に保存される（Ｓ１０１１、Ｓ１０１２）。
【００７１】
上記の処理が行われた後に、運用開始となる（Ｓ６０８）。運用中において、クライアント３００には、ルートＣＡ１６０のルート証明書が導入される。また画像処理装置１００Ａ〜１００Ｄは、各自で秘密鍵、公開鍵を作成して、画像処理装置１００Ａに含まれるルートＣＡ１６０に、公開鍵を送信してサーバ証明書の発行依頼を行う。
【００７２】
ルートＣＡ１６０はサーバ証明書を作成し、依頼元に返信する。画像処理装置１００Ａ〜１００Ｄは、サーバ証明書を受信して、作成した秘密鍵、公開鍵とともに、自機内に保存する。
【００７３】
また、画像処理装置１００とクライアント３００とのＳＳＬ／ＴＬＳの暗号化通信確立のシーケンスは、概ね次のような動作となる。尚、ここでは、画像処理装置１００Ｂとの間でＳＳＬ／ＴＬＳの暗号化通信を確立させるものとして説明する。
（１）  ＳＳＬ／ＴＬＳの通信確立のシーケンスにおいて、クライアント３００は、画像処理装置１００Ｂから、画像処理装置１００Ｂのサーバ証明書を取得する。
（２）  クライアント３００は、自機に保存されているルート証明書を用いて、画像処理装置１００Ｂから取得したサーバ証明書を検証する。この検証動作について説明する。クライアント３００は、導入済みのルート証明書に含まれているルートＣＡ１６０の公開鍵で、サーバ証明書に添付された電子署名を復号し、ハッシュ値を得る。そしてクライアント３００は、サーバ証明書に含まれる記載情報のハッシュ値を算出し、これら２つのハッシュ値を対比すことで、検証の適否を判定する。
（３）  検証が適合である場合、クライアント３００は、取得したサーバ証明書を信頼できるものとし、このサーバ証明書に含まれる公開鍵で、データを暗号化し、画像処理装置１００Ｂに送信する。ここで送信されるデータは、共通鍵の基となるプレマスタ・シークレットである。
（４）  画像処理装置１００Ｂは、自身の秘密鍵を用いて送信されたデータを復号し、プレマスタ・シークレットを得る。
以降のプレマスタ・シークレットから共通鍵を作成する手順や、共通鍵を用いて暗号化通信を行う手順などは、従前のＳＳＬ／ＴＬＳのシーケンスと同様である。
【００７４】
次に、情報処理システム１の構成が変更されたかを検出する動作について説明する。図１１は、情報処理システム１に属する画像処理装置１００の構成が変更されたかを検出するシーケンス図である。ここでは、非ＣＡである画像処理装置１００Ｂが主体となって動作するものとして説明するが、その他の画像処理装置１００Ａ、１００Ｃ、１００Ｄが主体となって動作する場合にも適用可能である。
【００７５】
画像処理装置１００Ｂの電源が投入されると、または規定期間が経過すると（Ｓ１１０１）、画像処理装置１００Ｂの構成変更検知部１５７は、画像処理装置１００Ａ、１００Ｃ、１００Ｄにネットワーク構成の問い合わせメッセージを送信する（Ｓ１１０２）。Ｓ１１０２において送信されるメッセージは、事前に定義されているものである。このメッセージは、ブロードキャストまたはマルチキャストにより送信される。この際、構成変更検知部１５７は、上記の通信用ポートを宛先ポートとして、ＵＤＰデータグラムを送信する。
【００７６】
通信用ポートでデータを待ち受けている画像処理装置１００Ａ、１００Ｃ、１００Ｄは、この送信メッセージを受信すると、自機の記憶部１５６に保存されているＩＰアドレスリストを、画像処理装置１００Ｂに返信する（Ｓ１１０３）。
【００７７】
画像処理装置１００Ｂの構成変更検知部１５７は、ＩＰアドレスリストを受信するとともに、受信したデータに付与されているＩＰヘッダから、送信元のＩＰアドレスを抽出する。また、画像処理装置１００Ｂに今現在付与されているＩＰアドレスを取得する（Ｓ１１０４）。Ｓ１１０４により、構成変更検知部１５７は、画像処理装置１００Ａ〜１００Ｄそれぞれの現状のＩＰアドレスの値を取得することができる。
【００７８】
画像処理装置１００Ｂの構成変更検知部１５７は、ＩＰアドレスリストに列記されているＩＰアドレスと、画像処理装置１００Ａ〜１００Ｄの現状のＩＰアドレスとを比較する（Ｓ１１０５）。ＩＰアドレスリストに列記されているＩＰアドレスと、現状のＩＰアドレスとが、数や内容共に一致している場合（Ｓ１１０５：Ｙｅｓ）、構成変更検知部１５７は、構成変更が無いものと判定し、処理終了となる。一方、一致していない場合（Ｓ１１０５：Ｎｏ）、構成変更検知部１５７は、構成変更があったと判定し、管理者のメールアドレスに、このことを記したＥメールを送信する。ここでは、画像処理装置１００の台数が変更になった旨の通知や、いずれかの画像処理装置１００のＩＰアドレスが変更になった旨の通知が、Ｅメールで送信される。そして構成変更検知部１５７は、表示操作部１５８を動作させて、例えば図１２のダイアログ画面１２００を表示する（Ｓ１１０６）。ダイアログ画面１２００内のボタン１２０１が押下されると、管理者のメールアドレスに、構成変更に関してのＥメールが再送信される。
【００７９】
構成変更検知部１５７は、今回の構成変更が、ＩＰアドレス変更のみであるか、台数変更を伴うものであるかを判定する（Ｓ１１０７）。ＩＰアドレス変更のみである場合（Ｓ１１０７：Ｙｅｓ）、構成変更検知部１５７は、ＩＰアドレスリストを、現状のＩＰアドレスの構成と合致するように更新する（Ｓ１１０８）。
【００８０】
画像処理装置１００Ｂの構成変更検知部１５７は、保存されているＩＰアドレスリストを、更新後のＩＰアドレスリストに置き替えるように保存する（Ｓ１１０８）。そして構成変更検知部１５７は、通信部１５９を介して、更新後のＩＰアドレスリストを画像処理装置１００Ａ、１００Ｃ、１００Ｄに送信する（Ｓ１１００）。画像処理装置１００Ａ、１００Ｃ、１００Ｄの構成変更検知部１５７は、保存されているＩＰアドレスリストを、更新後のＩＰアドレスリストに置き替えて、自機の記憶部１５６に保存する（Ｓ１１１１）。
【００８１】
尚、Ｓ１１０７において、台数変更を伴うものである場合（Ｓ１１０７：Ｎｏ）、本実施形態ではＩＰアドレスリストの更新を行わずに、そのまま終了としている。この理由について説明する。本実施形態では画像処理装置１００を４台構成としていることから、通常、Ｓ１１０３では、自機に保存されているＩＰアドレスリストを含めて計４つのＩＰアドレスリストが集まる。しかしながら、ＩＰアドレスリストが例えば３つしか集まらなかった場合、１台の画像処理装置１００は、何らかの理由で、情報処理システム１に属さなくなった状態であることを意味する。単なる再起動で復旧するのであれば、一時的なものであるためＩＰアドレスリストの更新は不要である。しかしながら、不具合が生じて修理を要する場合は、長期的なものとなり、ＩＰアドレスリストを更新する必要がある。このように、一時的なのものであるのか、あるいは長期的なものなのかの判断は、本実施形態においては管理者に委ねるものとする。よってＳ１１０７において、台数変更を伴うものである場合（Ｓ１１０７：Ｎｏ）、ＩＰアドレスリストの更新を行わずに終了となる。
【００８２】
上記理由から、台数の変更を伴う構成変更である場合、ＩＰアドレスリストの更新を行わないが、態様はこれに限定されない。台数の変更を伴う構成変更であっても、ＩＰアドレスリストの更新を行う実装であってもよい。
【００８３】
図１１の処理によって構成変更が検出され、また当該変更が、画像処理装置１００の台数を減ずる変更である場合、対象の画像処理装置１００を情報処理システム１の管理から切り離して秘密分散データを再作成する必要がある。このことについて説明する。本実施形態では、４台構成から３台構成になり、秘密分散データの数が３つに減っても、秘密分散データから鍵ペアを再作成することが可能である。しかしながら、これ以上画像処理装置１００の台数が減ると、鍵ペアを復元できなくなる。よって、既に台数が少なくなっている状況においては、例えば２つ集まれば元の鍵ペアに復元可能な３つの秘密分散データに再作成しておくことが好ましい。以下、いずれかの画像処理装置１００を情報処理システム１の管理から切り離し、秘密分散データを再作成する動作について説明する。
【００８４】
まず管理者は、いずれかの画像処理装置１００を操作して、図１３の選択画面１３００を表示させる。非ＣＡの画像処理装置１００Ｂ〜１００Ｄを情報処理システム１から切り離す場合、管理者は、ボタン１３０１を押下する。ルートＣＡ１６０を含んだ画像処理装置１００Ａを情報処理システム１から切り離す場合、管理者は、ボタン１３０２を押下する。ボタン１３０２を押下すると、管理者が現在操作している画像処理装置１００がルートＣＡ１６０を含む構成となる。
【００８５】
図１４は、非ＣＡの画像処理装置１００を切り離す場合のシーケンス図である。ここでは、画像処理装置１００Ｄを切り離すものとして説明する。また、画像処理装置１００Ｂが管理者によって操作されているものとして説明する。
【００８６】
画像処理装置１００Ｂの表示操作部１５８が、図１３に示すボタン１３０１の押下を受け付けると、画像処理装置１００ＢのＩＰアドレスリスト作成部１５１は、ＩＰアドレスリストの再構築を行う（Ｓ１４０１）。ＩＰアドレスリスト作成部１５１は、図１１のＳ１１０３、Ｓ１１０４で説明したとおり、ブロードキャストまたはマルチキャストのＵＤＰメッセージに対して返信した画像処理装置１００のＩＰアドレスのリストを作成する。またＩＰアドレスリスト作成部１５１は、自機のＩＰアドレスも、リストに付加する。尚、画像処理装置１００Ｂの表示操作部１５８は、作成したＩＰアドレスリストを、管理者に確認、修正可能なように表示してもよい。
【００８７】
画像処理装置１００Ｂの秘密分散データ作成部１５４は、システム制御部１５５および通信部１５９を介して、画像処理装置１００Ａに秘密分散データの要求メッセージを送信する（Ｓ１４０２）。秘密分散データ作成部１５４は、システム制御部１５５および通信部１５９を介して、秘密分散データＡを画像処理装置１００Ａから取得する（Ｓ１４０３）。秘密分散データ作成部１５４は、画像処理装置１００Ｃからも同じように秘密分散データＣを取得する（Ｓ１４０４、Ｓ１４０５）。秘密分散データ作成部１５４は、自機の記憶部１５６に保存された秘密分散データＢを取得する（Ｓ１４０６）。秘密分散データ作成部１５４は、このようにして取得した秘密分散データＡ、Ｂ、Ｃから、ルートＣＡ１６０の鍵ペアを復元する（Ｓ１４０７）。
【００８８】
秘密分散データ作成部１５４は、復元したルートＣＡ１６０の鍵ペアから、新たに３つの秘密分散データＸ、Ｙ、Ｚを作成する（Ｓ１４０８）。この秘密分散データＸ、Ｙ、Ｚは、２つ以上のデータが集まると、鍵ペアを復元することができるデータ構造となっている。尚、秘密分散データＸ、Ｙ、Ｚを作成した後は、セキュリティの関係上、復元した鍵ペアは削除される。
【００８９】
システム制御部１５５は、Ｓ１４０１で再構築された後のＩＰアドレスリスト、および秘密分散データＸを、自機の記憶部１５６に保存する（Ｓ１４０９）。システム制御部１５５は、システム制御部１５５および通信部１５９を介して、再構築後のＩＰアドレスリスト、秘密分散データＹを画像処理装置１００Ａに送信する（Ｓ１４１０）。画像処理装置１００Ａのシステム制御部１５５は、自機の記憶部１５６に、受信したＩＰアドレスリスト、秘密分散データＹを保存する（Ｓ１４１１）。
【００９０】
画像処理装置１００Ｂのシステム制御部１５５は、システム制御部１５５および通信部１５９を介して、再構築後のＩＰアドレスリスト、秘密分散データＺを画像処理装置１００Ｃに送信する（Ｓ１４１２）。画像処理装置１００Ｃのシステム制御部１５５は、自機の記憶部１５６に、受信したＩＰアドレスリストおよび秘密分散データＺを保存する（Ｓ１４１３）。
【００９１】
図１５は、ルートＣＡ１６０を有する画像処理装置１００Ａを切り離す場合のシーケンス図である。図１４と同様に、画像処理装置１００Ｂが管理者によって操作されているものとして説明する。
【００９２】
Ｓ１５０１〜Ｓ１５０７は、図１４のＳ１４０１〜Ｓ１４０７の動作とほぼ同じであるため、ここでは図１４との差分について言及する。Ｓ１５０１において、ＩＰアドレスリストは、画像処理装置１００ＢがルートＣＡ１６０を有する構成となるように再構築される。また、Ｓ１５０２〜Ｓ１５０５において、画像処理装置１００Ｃから秘密分散データＣを受信し、画像処理装置１００Ｄから秘密分散データＤを受信する。またＳ１５０７では、秘密分散データＢ、Ｃ、Ｄから、ルートＣＡ１６０の鍵ペアを復元する。
【００９３】
システム制御部１５５は、作成されたルートＣＡ１６０の鍵ペアを、自機の記憶部１５６に保存する（Ｓ１５０８）。このように、秘密鍵、公開鍵の鍵ペアを記憶することで、画像処理装置１００Ｂは、ルートＣＡ１６０としての動作が可能になる。また必要に応じて、自機がルートＣＡ１６０となるためのコマンドを実行してもよい。そして秘密分散データ作成部１５４は、作成されたルートＣＡ１６０の鍵ペアから、秘密分散データＸ、Ｙ、Ｚを作成する（Ｓ１５０９）。
【００９４】
以降、再構築後のＩＰアドレスリスト、および秘密分散データＸ、Ｙ、Ｚのそれぞれを、画像処理装置１００Ｂ、１００Ｃ、１００Ｄの各記憶部１５６に保存するのは、図１４のＳ１４０９〜Ｓ１４１３の説明と同様である。
【００９５】
本実施形態では、ルートＣＡ１６０の秘密鍵と公開鍵との鍵ペアを、暗号化通信を行うため鍵情報としている。そして本実施形態では、この鍵ペアについての秘密分散データを作成した。公開鍵暗号方式において、公開鍵は第三者に知られても問題ないデータである。また公開鍵は、たとえ消失しても、配布したデジタル証明書（ルート証明書）に記載されている。よって公開鍵は、当該デジタル証明書からも抽出するとができるデータである。またルート証明書を作成する際、公開鍵をファイルとして残さずに、秘密鍵とルート証明書のみファイルに残すシステムもある。このことから、秘密鍵のみから秘密分散データを作成したり、秘密鍵とルート署名書のセットから秘密分散データを作成する実装でもよい。また、暗号と復号とを同一の共通鍵で行う共通鍵暗号方式においても、本実施形態の態様を適用させることができる。この場合、共通鍵から秘密分散データを作成し、各画像処理装置１００に秘密分散データを配布する。
【００９６】
本実施形態では、ルートＣＡ１６０が作成した秘密鍵、公開鍵の鍵ペア、すなわちルート証明書のための鍵ペアを対象に、秘密分散データの作成や復元を行い、各画像処理装置１００への配布を行うことについて説明した。これに限らず、各画像処理装置１００が作成した、秘密鍵、公開鍵の鍵ペア、すなわちサーバ証明書のための鍵ペアに対しても、本実施形態の態様を適用してもよい。
【００９７】
秘密分散データの作成数と元のデータに復元させるのに必要な秘密分散データの数との関係については、本実施形態の態様に限定されない。例えば、４つの秘密分散データのうち２つを集めると鍵情報を復元することができるように、秘密分散データを作成してもよい。
【００９８】
上記実施形態では、画像処理装置１００Ａ〜１００Ｄそれぞれに秘密分散データを１つずつ配布した。情報処理装置ごとの秘密分散データの配布数に隔たりがあると、多く配布した１台の情報処理装置が稼働不能になった場合、秘密分散データの残数が復元可能な限界数を下回り、復元できなくなる可能性がある。本実施形態のように、情報処理装置にそれぞれ均等に配布することで、復旧の可能性を向上させることができる。しかしながら、態様はこれに限定されない。秘密分散データが４つある場合、例えば画像処理装置１００Ａには配布せず、画像処理装置１００Ｂに２つ、画像処理装置１００Ｃ、１００Ｄに１つずつなどと、配布数に偏りを持たせてもよい。
【００９９】
また、画像処理装置１００の数と秘密分散データの分割数とが一致していなくてもよい。例えば画像処理装置１００が４台構成の場合において、３つに分割した秘密分散データを作成し、各画像処理装置１００に配布してもよいし、５つ以上に分割した秘密分散データを作成し、各画像処理装置１００に配布してもよい。この場合、秘密分散データが配布されない画像処理装置１００があってもよく、複数配布される画像処理装置１００があってもよい。
【０１００】
上記実施形態では、画像処理装置１００の台数を減じた場合の秘密分散データを再作成、再配布することについて説明した。これに限らず、秘密分散データの配布先となる画像処理装置の台数が増えた場合も、本実施形態の秘密分散データの再作成、再配布を適用させることができる。例えば、画像処理装置１００の台数が４台から６台に増加した場合、図１４のＳ１４０８では、秘密分散データ作成部１５４は、５つ集めると復元可能な６つの秘密分散データを作成し、各画像処理装置１００に秘密分散データを配布してもよい。
【０１０１】
また、台数が増えた場合においても、上記のＩＰアドレスリストの再構築を適用させることができる。例えば、画像処理装置１００の台数が４台から６台に増加した場合、新たに２台分のＩＰアドレスを、例えば管理者の手動で追加することで、ＩＰアドレスリストを再構築することができる。また新設の画像処理装置１００に対して図６のＳ６０４が実行され、上記の通信用ポートが開放されていれば、自動でＩＰアドレスリストに追加する実装も可能である。
【０１０２】
本実施形態では、コピー、プリント、スキャン、ＦＡＸ送受信の各機能を有する画像処理装置１００を、情報処理装置の一例として説明した。本実施形態の態様は、サーバやクライアントなどのコンピュータや、スマートフォンやタブレットなどの携帯端末装置、ネットワーク通信機器、その他通信可能な機器にも適用可能である。すなわち、外部と通信可能な情報処理装置であれば、どのような装置や機器であっても適用可能である。
【０１０３】
本実施形態では、上位のルートＣＡ１６０を含む構成としたが、ルートＣＡ１６０に代えて、外部のルートＣＡからデジタル証明書が発行され、認証された中間認証局であってもよい。また本実施形態では、プライベートＣＡとして説明したが、パブリックＣＡであってもよい。
【０１０４】
本実施形態では、画像処理装置１００のいずれかに、ＣＡの機能を持たせる構成としている。この構成により、別途ＣＡ用のサーバを用意する必要が無い。よって、当該ＣＡ用のサーバのメンテナンスの作業も当然発生せず、管理者の手間を省くことができる。また一方で、本実施形態のルートＣＡ１６０の機能を有するＣＡ用のサーバを、情報処理システム１に別途設置してもよい。尚、このＣＡ用のサーバの設置場所については、通信可能であれば、いずれの場所であっても構わず、例えば国外に設置されてもよい。
【０１０５】
本実施形態では、鍵情報を複数に分割して秘密分散データを作成し、システムに属する情報処理装置に配布する態様について説明した。また情報処理装置の台数が変更された場合、変化後の台数に応じて、新たに秘密分散データを再度作成して再配布する態様について説明した。このように、秘密分散データを用いることで、鍵情報を容易に復元させることができる。また、情報処理装置の台数が少なくなると、秘密分散データの残数も、復元可能な限界数に近づき、これ以上少なくすることができない状態になる。このことから、変更後の数に応じた秘密分散データを新たに作成したほうがよい。本実施形態の態様により、秘密分散データを再作成し、新たに配布する、という操作を、手作業で行う必要が無くなり、管理者の作業負荷を低減させることができる。
【０１０６】
本実施形態では、秘密分散データを画像処理装置から収集し、収集した秘密分散データを用いて鍵情報を復元する態様を説明した。また、ＣＡを含む情報処理装置がシステムから切り離されても、鍵情報を復元させて、他の情報処理装置に新たにＣＡを設ける態様を説明した。これにより、システム主導で鍵情報の復元やＣＡの移設を行うことができ、管理者の設定作業の負荷を低減させることができる。
【０１０７】
本実施形態では、実際のネットワーク構成を検出し、検出した構成とＩＰアドレスリストに記される構成とを比較し、変更があった場合は、管理者に通知し、またＩＰアドレスリストを更新する実装例について説明した。これにより、構成変更を自動で追随させることができ、管理者の作業負荷を削減することができる。
【０１０８】
この実施形態で説明する画像処理装置のシステム構成は、あくまで一例であり、用途や目的に応じて様々なシステム構成例があることは言うまでもない。
【０１０９】
以上に詳説したように、本実施形態によって、鍵の消失に対して復元することを可能にするとともに、コストを低減させることができる。
【符号の説明】
【０１１０】
１：情報処理システム、
１００、１００Ａ、１００Ｂ、１００Ｃ、１００Ｄ：画像処理装置、
１０１：コントローラ、１０２：ネットワークＩ／Ｆ、１０３：プログラムＲＯＭ、
１０４：フォントＲＯＭ、１０５：操作部Ｉ／Ｆ、１０６：ＨＤＤ、
１０７：ＣＰＵ、１０８：ＲＡＭ、１０９：ＮＶ−ＲＡＭ、１１０：エンジンＩ／Ｆ、
１１１：スキャナＩ／Ｆ、１２０：操作パネル、１２１：プリンタエンジン、
１２２：スキャナ、１５１：ＩＰアドレスリスト作成部、１５２：鍵作成部、
１５３：証明書作成部、１５４：秘密分散データ作成部、１５５：システム制御部、
１５６：記憶部、１５７：構成変更検知部、１５８：表示操作部、１５９：通信部、
２００：ネットワーク。
【先行技術文献】
【特許文献】
【０１１１】
【特許文献１】特許第４７７８２１０号公報
【図１】
2019004351.tif 000003
【図２】
2019004351.tif 000004
【図３】
2019004351.tif 000005
【図４】
2019004351.tif 000006
【図５】
2019004351.tif 000007
【図６】
2019004351.tif 000008
【図７】
2019004351.tif 000009
【図８】
2019004351.tif 000010
【図９】
2019004351.tif 000011
【図１０】
2019004351.tif 000012
【図１１】
2019004351.tif 000013
【図１２】
2019004351.tif 000014
【図１３】
2019004351.tif 000015
【図１４】
2019004351.tif 000016
【図１５】
2019004351.tif 000017