(57)【要約】【課題】情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮する。【解決手段】情報処理装置１は、データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行うＴＰＭ１４と、ＴＰＭ１４により暗号化された暗号化データ暗号鍵４３を保持するバックアップ手段１０２と、暗号化データ暗号鍵４３を外部装置へ送信する送信手段１０８と、外部装置において復号されたデータ暗号鍵を取得する受信手段１０９と、ＴＰＭ１４により暗号化データ暗号鍵４３を復号した場合はそのデータ暗号鍵を用い、ＴＰＭ１４により暗号化データ暗号鍵４３を復号しない場合は受信手段１０９により取得したデータ暗号鍵を用いて、データの暗号処理を行う暗号処理手段１１５とを備える。【選択図】図３
2019022122.tif 000002
【特許請求の範囲】
【請求項１】
データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う鍵暗号処理手段と、
前記鍵暗号処理手段により暗号化されたデータ暗号鍵を保持する保持手段と、
前記暗号化されたデータ暗号鍵を外部装置へ送信し、当該外部装置において復号されたデータ暗号鍵を取得する鍵取得手段と、
前記鍵暗号処理手段によりデータ暗号鍵を復号した場合は当該データ暗号鍵を用い、前記鍵暗号処理手段によりデータ暗号鍵を復号しない場合は前記鍵取得手段により取得したデータ暗号鍵を用いて、データの暗号処理を行う処理手段と、
を備えることを特徴とする、情報処理装置。
【請求項２】
前記鍵暗号処理手段は、ＴＰＭ（Trusted Platform Module）であることを特徴とする、請求項１に記載の情報処理装置。
【請求項３】
前記鍵取得手段は、前記外部装置の鍵暗号処理手段により復号されたデータ暗号鍵を取得するものであり、当該外部装置の鍵暗号処理手段によりデータ暗号鍵が復号される前に、当該外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する要求を、当該外部装置に対して行うことを特徴とする、請求項１に記載の情報処理装置。
【請求項４】
前記外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する要求は、当該外部装置の鍵暗号処理手段を、自装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する要求を含むことを特徴とする、請求項３に記載の情報処理装置。
【請求項５】
前記鍵取得手段は、前記外部装置の鍵暗号処理手段によりデータ暗号鍵が復号された後に、当該外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する前の状態に戻す要求を、当該外部装置に対して行うことを特徴とする、請求項３に記載の情報処理装置。
【請求項６】
前記鍵取得手段は、前記外部装置の鍵暗号処理手段により復号されたデータ暗号鍵を取得するものであり、当該外部装置の鍵暗号処理手段によりデータ暗号鍵が復号される前に、当該外部装置の鍵暗号処理手段を専有する要求を、当該外部装置に対して行うことを特徴とする、請求項１に記載の情報処理装置。
【請求項７】
前記外部装置の鍵暗号処理手段を専有する要求は、当該外部装置の鍵暗号処理手段を、自装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する要求を含むことを特徴とする、請求項６に記載の情報処理装置。
【請求項８】
前記鍵取得手段は、前記外部装置の鍵暗号処理手段によりデータ暗号鍵が復号された後に、当該外部装置の鍵暗号処理手段の専有状態を解除する要求を、当該外部装置に対して行うことを特徴とする、請求項６に記載の情報処理装置。
【請求項９】
前記鍵取得手段は、予め確立した暗号通信により、前記外部装置において復号されたデータ暗号鍵を取得することを特徴とする、請求項１に記載の情報処理装置。
【請求項１０】
データ暗号鍵を用いてデータの暗号処理を行う処理手段と、
前記データ暗号鍵に対する暗号処理を行う鍵暗号処理手段と、
外部装置からの要求に応じて、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する設定手段と、
前記外部装置から当該外部装置の鍵暗号処理手段で暗号化されたデータ暗号鍵を取得し、前記設定手段により設定された前記鍵暗号処理手段に当該暗号化されたデータ暗号鍵を復号させる外部鍵復号手段と、
を備えることを特徴とする、情報処理装置。
【請求項１１】
前記鍵暗号処理手段は、ＴＰＭ（Trusted Platform Module）であることを特徴とする、請求項１０に記載の情報処理装置。
【請求項１２】
前記鍵暗号処理手段の状態を、前記外部装置の鍵暗号処理手段の状態に対応するように設定することは、自装置の鍵暗号処理手段を、当該外部装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元することを含むことを特徴とする、請求項１０に記載の情報処理装置。
【請求項１３】
前記鍵暗号処理手段の状態を、前記外部装置の鍵暗号処理手段の状態に対応するように設定することは、自装置の鍵暗号処理手段を、当該外部装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する前に、自装置の鍵暗号処理手段を初期化することをさらに含むことを特徴とする、請求項１２に記載の情報処理装置。
【請求項１４】
前記設定手段は、前記外部鍵復号手段が前記鍵暗号処理手段に前記暗号化されたデータ暗号鍵を復号させた後に、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する前の状態に戻すことを特徴とする、請求項１０に記載の情報処理装置。
【請求項１５】
前記設定手段は、前記外部装置からの要求があっても、前記鍵暗号処理手段が予め定められた状態にある場合は、当該鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定しないことを特徴とする、請求項１０に記載の情報処理装置。
【請求項１６】
前記予め定められた状態は、自装置が前記鍵暗号処理手段を利用中である状態、前記鍵暗号処理手段に不具合が発生している状態、及び、自装置が前記鍵暗号処理手段の利用を開始していない状態の何れかであることを特徴とする、請求項１５に記載の情報処理装置。
【請求項１７】
前記外部鍵復号手段が前記鍵暗号処理手段に前記暗号化されたデータ暗号鍵を復号させることで得られたデータ暗号鍵を、予め確立した暗号通信により、前記外部装置へ送信する送信手段をさらに備えることを特徴とする、請求項１０に記載の情報処理装置。
【請求項１８】
ＴＰＭ（Trusted Platform Module）を用いてデータの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う第１、第２の情報処理装置を備え、
前記第１の情報処理装置は、前記第２の情報処理装置からの要求に応じて、当該第２の情報処理装置のＴＰＭの状態を設定する設定データを用いて自装置のＴＰＭの状態を変更し、状態が変更された当該ＴＰＭにより、当該第２の情報処理装置においてデータの暗号処理を行うために用いられたデータ暗号鍵を暗号化した暗号化済みデータ暗号鍵を復号し、
前記第２の情報処理装置は、自装置のＴＰＭで前記暗号化済みデータ暗号鍵を復号できない場合に、当該暗号化済みデータ暗号鍵を前記第１の情報処理装置へ送信し、当該第１の情報処理装置で復号されたデータ暗号鍵を取得し、取得したデータ暗号鍵を用いてデータの暗号処理を行うこと
を特徴とする、情報処理システム。
【請求項１９】
データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、
前記鍵暗号処理手段により暗号化されたデータ暗号鍵を記憶媒体に保持する機能と、
前記暗号化されたデータ暗号鍵を外部装置へ送信し、当該外部装置において復号されたデータ暗号鍵を取得する機能と、
前記鍵暗号処理手段によりデータ暗号鍵を復号した場合は当該データ暗号鍵を用い、前記鍵暗号処理手段によりデータ暗号鍵を復号しない場合は前記外部装置において取得したデータ暗号鍵を用いて、データの暗号処理を行う機能と、
を実現させるためのプログラム。
【請求項２０】
データ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、
前記データ暗号鍵を用いてデータの暗号処理を行う機能と、
外部装置からの要求に応じて、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する機能と、
前記外部装置から当該外部装置の鍵暗号処理手段で暗号化されたデータ暗号鍵を取得し、設定された前記鍵暗号処理手段に当該暗号化されたデータ暗号鍵を復号させる機能と、
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム及びプログラムに関する。
【背景技術】
【０００２】
ソフトウエアプログラムを実行するためのＣＰＵコアと、ＣＰＵコアに結合され、ソフトウエアによって要求されたトラステッド・プラットフォーム・モジュール（ＴＰＭ）命令を受信し、少なくともＴＰＭネットワークパケットを生成することによって、管理ファームウエアを用いてＴＰＭ命令を処理するための管理エンジンと、管理エンジンに結合され、ＴＰＭネットワークパケットを情報処理装置の外部のリモートＴＰＭに送信するネットワーク・インタフェースとを備える装置は、知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５５０３５９４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ここで、情報処理装置の鍵暗号処理手段がデータ暗号鍵を暗号化して保持している場合において、例えば鍵暗号処理手段の不具合等に起因して、鍵暗号処理手段がデータ暗号鍵を復号しないことがある。このような場合、鍵暗号処理手段を交換する構成を採用することも考えられるが、その場合は、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間が長くなってしまう。
【０００５】
本発明の目的は、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することにある。
【課題を解決するための手段】
【０００６】
請求項１に記載の発明は、データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う鍵暗号処理手段と、前記鍵暗号処理手段により暗号化されたデータ暗号鍵を保持する保持手段と、前記暗号化されたデータ暗号鍵を外部装置へ送信し、当該外部装置において復号されたデータ暗号鍵を取得する鍵取得手段と、前記鍵暗号処理手段によりデータ暗号鍵を復号した場合は当該データ暗号鍵を用い、前記鍵暗号処理手段によりデータ暗号鍵を復号しない場合は前記鍵取得手段により取得したデータ暗号鍵を用いて、データの暗号処理を行う処理手段と、を備えることを特徴とする、情報処理装置である。
請求項２に記載の発明は、前記鍵暗号処理手段は、ＴＰＭ（Trusted Platform Module）であることを特徴とする、請求項１に記載の情報処理装置である。
請求項３に記載の発明は、前記鍵取得手段は、前記外部装置の鍵暗号処理手段により復号されたデータ暗号鍵を取得するものであり、当該外部装置の鍵暗号処理手段によりデータ暗号鍵が復号される前に、当該外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する要求を、当該外部装置に対して行うことを特徴とする、請求項１に記載の情報処理装置である。
請求項４に記載の発明は、前記外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する要求は、当該外部装置の鍵暗号処理手段を、自装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する要求を含むことを特徴とする、請求項３に記載の情報処理装置である。
請求項５に記載の発明は、前記鍵取得手段は、前記外部装置の鍵暗号処理手段によりデータ暗号鍵が復号された後に、当該外部装置の鍵暗号処理手段の状態を、自装置の鍵暗号処理手段の状態に対応するように設定する前の状態に戻す要求を、当該外部装置に対して行うことを特徴とする、請求項３に記載の情報処理装置である。
請求項６に記載の発明は、前記鍵取得手段は、前記外部装置の鍵暗号処理手段により復号されたデータ暗号鍵を取得するものであり、当該外部装置の鍵暗号処理手段によりデータ暗号鍵が復号される前に、当該外部装置の鍵暗号処理手段を専有する要求を、当該外部装置に対して行うことを特徴とする、請求項１に記載の情報処理装置である。
請求項７に記載の発明は、前記外部装置の鍵暗号処理手段を専有する要求は、当該外部装置の鍵暗号処理手段を、自装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する要求を含むことを特徴とする、請求項６に記載の情報処理装置である。
請求項８に記載の発明は、前記鍵取得手段は、前記外部装置の鍵暗号処理手段によりデータ暗号鍵が復号された後に、当該外部装置の鍵暗号処理手段の専有状態を解除する要求を、当該外部装置に対して行うことを特徴とする、請求項６に記載の情報処理装置である。
請求項９に記載の発明は、前記鍵取得手段は、予め確立した暗号通信により、前記外部装置において復号されたデータ暗号鍵を取得することを特徴とする、請求項１に記載の情報処理装置である。
請求項１０に記載の発明は、データ暗号鍵を用いてデータの暗号処理を行う処理手段と、前記データ暗号鍵に対する暗号処理を行う鍵暗号処理手段と、外部装置からの要求に応じて、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する設定手段と、前記外部装置から当該外部装置の鍵暗号処理手段で暗号化されたデータ暗号鍵を取得し、前記設定手段により設定された前記鍵暗号処理手段に当該暗号化されたデータ暗号鍵を復号させる外部鍵復号手段と、を備えることを特徴とする、情報処理装置である。
請求項１１に記載の発明は、前記鍵暗号処理手段は、ＴＰＭ（Trusted Platform Module）であることを特徴とする、請求項１０に記載の情報処理装置である。
請求項１２に記載の発明は、前記鍵暗号処理手段の状態を、前記外部装置の鍵暗号処理手段の状態に対応するように設定することは、自装置の鍵暗号処理手段を、当該外部装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元することを含むことを特徴とする、請求項１０に記載の情報処理装置である。
請求項１３に記載の発明は、前記鍵暗号処理手段の状態を、前記外部装置の鍵暗号処理手段の状態に対応するように設定することは、自装置の鍵暗号処理手段を、当該外部装置の鍵暗号処理手段が有する鍵暗号鍵を用いて復元する前に、自装置の鍵暗号処理手段を初期化することをさらに含むことを特徴とする、請求項１２に記載の情報処理装置である。
請求項１４に記載の発明は、前記設定手段は、前記外部鍵復号手段が前記鍵暗号処理手段に前記暗号化されたデータ暗号鍵を復号させた後に、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する前の状態に戻すことを特徴とする、請求項１０に記載の情報処理装置である。
請求項１５に記載の発明は、前記設定手段は、前記外部装置からの要求があっても、前記鍵暗号処理手段が予め定められた状態にある場合は、当該鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定しないことを特徴とする、請求項１０に記載の情報処理装置である。
請求項１６に記載の発明は、前記予め定められた状態は、自装置が前記鍵暗号処理手段を利用中である状態、前記鍵暗号処理手段に不具合が発生している状態、及び、自装置が前記鍵暗号処理手段の利用を開始していない状態の何れかであることを特徴とする、請求項１５に記載の情報処理装置である。
請求項１７に記載の発明は、前記外部鍵復号手段が前記鍵暗号処理手段に前記暗号化されたデータ暗号鍵を復号させることで得られたデータ暗号鍵を、予め確立した暗号通信により、前記外部装置へ送信する送信手段をさらに備えることを特徴とする、請求項１０に記載の情報処理装置である。
請求項１８に記載の発明は、ＴＰＭ（Trusted Platform Module）を用いてデータの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う第１、第２の情報処理装置を備え、前記第１の情報処理装置は、前記第２の情報処理装置からの要求に応じて、当該第２の情報処理装置のＴＰＭの状態を設定する設定データを用いて自装置のＴＰＭの状態を変更し、状態が変更された当該ＴＰＭにより、当該第２の情報処理装置においてデータの暗号処理を行うために用いられたデータ暗号鍵を暗号化した暗号化済みデータ暗号鍵を復号し、前記第２の情報処理装置は、自装置のＴＰＭで前記暗号化済みデータ暗号鍵を復号できない場合に、当該暗号化済みデータ暗号鍵を前記第１の情報処理装置へ送信し、当該第１の情報処理装置で復号されたデータ暗号鍵を取得し、取得したデータ暗号鍵を用いてデータの暗号処理を行うことを特徴とする、情報処理システムである。
請求項１９に記載の発明は、データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、前記鍵暗号処理手段により暗号化されたデータ暗号鍵を記憶媒体に保持する機能と、前記暗号化されたデータ暗号鍵を外部装置へ送信し、当該外部装置において復号されたデータ暗号鍵を取得する機能と、前記鍵暗号処理手段によりデータ暗号鍵を復号した場合は当該データ暗号鍵を用い、前記鍵暗号処理手段によりデータ暗号鍵を復号しない場合は前記外部装置において取得したデータ暗号鍵を用いて、データの暗号処理を行う機能と、を実現させるためのプログラムである。
請求項２０に記載の発明は、データ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、前記データ暗号鍵を用いてデータの暗号処理を行う機能と、外部装置からの要求に応じて、前記鍵暗号処理手段の状態を、当該外部装置の鍵暗号処理手段の状態に対応するように設定する機能と、前記外部装置から当該外部装置の鍵暗号処理手段で暗号化されたデータ暗号鍵を取得し、設定された前記鍵暗号処理手段に当該暗号化されたデータ暗号鍵を復号させる機能と、を実現させるためのプログラムである。
【発明の効果】
【０００７】
請求項１の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項２の発明によれば、情報処理装置のＴＰＭがデータ暗号鍵を復号しないときに、ＴＰＭを交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項３の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、外部装置の鍵暗号処理手段を情報処理装置で使用可能にすることができる。
請求項４の発明によれば、外部装置の鍵暗号処理手段を使用して、情報処理装置の鍵暗号処理手段が行っていた処理を再現することができる。
請求項５の発明によれば、外部装置の鍵暗号処理手段を、情報処理装置で使用した後、再び外部装置で使用可能にすることができる。
請求項６の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、外部装置の鍵暗号処理手段を情報処理装置で専有することができる。
請求項７の発明によれば、外部装置の鍵暗号処理手段を専有して、情報処理装置の鍵暗号処理手段が行っていた処理を再現することができる。
請求項８の発明によれば、外部装置の鍵暗号処理手段を、情報処理装置で専有した後、再び外部装置で専有可能にすることができる。
請求項９の発明によれば、外部装置において復号されたデータ暗号鍵を、情報処理装置が安全に取得することができる。
請求項１０の発明によれば、外部装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、外部装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項１１の発明によれば、外部装置のＴＰＭがデータ暗号鍵を復号しないときに、ＴＰＭを交換するよう構成された場合に比較して、外部装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項１２の発明によれば、外部装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、情報処理装置の鍵暗号処理手段を外部装置で使用可能にすることができる。
請求項１３の発明によれば、情報処理装置の鍵暗号処理手段を使用して、外部装置の鍵暗号処理手段が行っていた処理を再現することができる。
請求項１４の発明によれば、情報処理装置の鍵暗号処理手段を、外部装置で使用した後、再び情報処理装置で使用可能にすることができる。
請求項１５の発明によれば、外部装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、情報処理装置の鍵暗号処理手段を外部装置に使用させないようにすることができる。
請求項１６の発明によれば、情報処理装置が鍵暗号処理手段を、その利用中、その不具合発生時、又は、その利用未開始時に、外部装置に使用させないようにすることができる。
請求項１７の発明によれば、情報処理装置において復号されたデータ暗号鍵を、外部装置に安全に送信することができる。
請求項１８の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項１９の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
請求項２０の発明によれば、情報処理装置の鍵暗号処理手段がデータ暗号鍵を復号しないときに、鍵暗号処理手段を交換するよう構成された場合に比較して、情報処理装置でデータ暗号鍵を用いたデータの暗号処理が行えない時間を短縮することができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施の形態に係る情報処理システムの全体構成例を示した図である。
【図２】本発明の実施の形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。
【図３】本発明の実施の形態に係る情報処理装置の機能を示すブロック図である。
【図４−１】本実施の形態に係る情報処理装置を起動するときの動作の一例を示すフローチャートである。
【図４−２】本実施の形態に係る情報処理装置を起動するときの動作の一例を示すフローチャートである。
【図５】本実施の形態に係る情報処理装置の他の情報処理装置のＴＰＭで暗号化データ暗号鍵を復号する要求を行うときの動作の一例を示すフローチャートである。
【図６】本実施の形態に係る他の情報処理装置のＴＰＭ所有権獲得要求を受信したときの動作の一例を示すフローチャートである。
【図７】本実施の形態に係る他の情報処理装置のＴＰＭ所有権解放要求を受信したときの動作の一例を示すフローチャートである。
【図８】本実施の形態に係る情報処理装置の復号処理の一例を示すフローチャートである。
【発明を実施するための形態】
【０００９】
以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。なお、各図中、実質的に同一の機能を有する構成要素については、同一の符号を付してその重複した説明を省略する。
【００１０】
［情報処理システムの全体構成］
図１は、本発明の実施の形態に係る情報処理システムの全体構成の一例を示す図である。
【００１１】
情報処理システムは、情報処理装置１ａと、情報処理装置１ｂと、情報処理装置１ｃとが、ＬＡＮ（Local Area Network）等の通信回線９で接続されることにより構成されている。情報処理装置１ａ，１ｂ，１ｃの詳細については後述する。ここで、情報処理装置１ａ，１ｂ，１ｃは、これらを区別しない場合は、情報処理装置１と称する。また、３台のみ示しているが、これには限らない。情報処理装置１ａは、情報処理装置１ｂに対する外部装置の一例であり、情報処理装置１ｂは、情報処理装置１ａに対する外部装置の一例である。なお、本実施の形態では、情報処理装置１の一例として画像処理装置を例に挙げて説明するが、その他の情報処理装置であってもよい。
【００１２】
［情報処理装置のハードウェア構成］
図２は、本発明の実施の形態に係る情報処理装置１のハードウェア構成の一例を示すブロック図である。
【００１３】
情報処理装置１は、情報処理装置１全体を制御するコントローラ１０を有し、このコントローラ１０にバス８を介してＨＤＤ（Hard Disk Drive）２、ＳＤカードリーダ３、操作パネル５、プリンタ６、スキャナ７が接続されている。
【００１４】
コントローラ１０は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、ＲＯＭ（Read Only Memory）１３、ＴＰＭ（Trusted Platform Module）１４、ＳＥＥＰＲＯＭ（Serial Electrically Erasable Programmable Read Only Memory）１５、パネルＩ／Ｆ部１６、プリンタＩ／Ｆ部１７、スキャナＩ／Ｆ部１８、ネットワークＩ／Ｆ部１９を備える。コントローラ１０を構成する構成部品は、例えば、コントローラボード（マザーボードの場合もある。）上に実装されている。このため、コントローラ１０の構成部品が故障すると、コントローラボードごと交換する必要がある。
【００１５】
ＨＤＤ２には、暗号化対象のデータが暗号化されて格納される。なお、暗号化対象のデータは、ＨＤＤ２に格納されるデータに限られない。
【００１６】
ＳＤカードリーダ３は、挿入されたＳＤカード４に対してデータの書き込み及び読み出しを行う。ＳＤカード４は、ＳＤカードリーダ３に対して挿抜可能なメモリカードであり、外部記憶手段の一例である。情報処理装置１は、ＳＤカード４がＳＤカードリーダ３から抜かれた状態では、動作ができないように構成されている。このため、ＳＤカード４は、例えば、コントローラボードに治具によって固定されているが、ＳＤカード４を他のＳＤカード４に不正に入れ替えられるおそれがある。
【００１７】
ＳＤカード４には、後述する、ＴＰＭアクセスキー４１、ＴＰＭ内部キー４２、暗号化データ暗号鍵４３を含むバックアップデータとＳＤカード４を識別するカード識別情報とが格納されている。暗号化データ暗号鍵４３は、データ暗号鍵を暗号化した鍵である。ＳＤカード４は、記憶媒体の一例である。
【００１８】
操作パネル５は、液晶ディスプレイ等の表示部にタッチパネルが重合配置されたタッチパネルディスプレイを有し、操作画面を表示部に表示するとともに、操作者からタッチパネルへの操作を受け付ける。
【００１９】
プリンタ６は、例えば感光体による画像保持体を有し、用紙等の記録媒体に画像を形成して出力する。プリンタ６は、画像出力部の一例である。
【００２０】
スキャナ７は、原稿から光学的に画像データを読み取る。スキャナ７は、画像入力部の一例である。
【００２１】
パネルＩ／Ｆ部１６には、操作パネル５が接続され、プリンタＩ／Ｆ部１７には、プリンタ６が接続され、スキャナＩ／Ｆ部１８には、スキャナ７が接続されている。ネットワークＩ／Ｆ１９には、ネットワークを介してユーザ端末やサーバ等が接続される。
【００２２】
ＲＡＭ１２は、一時的にデータが格納される。ＲＯＭ１３は、情報処理装置１を制御する制御プログラムやカード識別情報等が格納されている。
【００２３】
ＴＰＭ１４は、ＴＣＧ（Trusted Computing Group）が策定した仕様に準拠したセキュリティチップであり、優れた耐タンパ性を有する。ＴＰＭ１４が有する耐タンパ性は、内部を解析して保存されている鍵暗号鍵等を読み取ろうとすると物理的に破損して読み出せなくなるものである。ＴＰＭ１４は、より一般化して鍵暗号処理手段と捉えてもよい。すなわち、鍵暗号処理手段とは、データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う機能のことであり、その一例として、ＴＰＭ１４があると捉えてよい。
【００２４】
ＴＰＭ１４は、少なくとも以下の機能を有している。
（ａ）ＴＰＭ１４の機能を利用するのに認証キー（以下「ＴＰＭアクセスキー」という。）を必要とする機能。当該機能により装置固有情報１５０からＴＰＭアクセスキーを生成することができる。
（ｂ）データの暗号化に使用したデータ暗号鍵を階層的に暗号化して鍵暗号鍵（以下「ＴＰＭ内部キー」という。）を生成し、保存する機能。当該機能により鍵暗号鍵を復元することができるとともに、ＴＰＭ１４を元の状態に戻せる。
（ｃ）ＴＰＭ１４の状態をチェックする自己診断機能。ＴＰＭ１４の状態とは、ＴＰＭは使用する準備ができている（既初期化）、ＴＰＭは使用する準備ができていない（未初期化）、ＴＰＭが使用不可能な状態になっている（ＴＰＭチップ障害エラー）のいずれかの状態をいう。
【００２５】
ＳＥＥＰＲＯＭ１５は、電気的に書き換え可能な不揮発性メモリである。ＳＥＥＰＲＯＭ１５には、情報処理装置１の装置固有情報（例えば、シリアル番号、ＭＡＣアドレス等）１５０が工場出荷時又はコントローラボードの交換時に書き込まれる。ＳＥＥＰＲＯＭ１５は、装置固有情報１５０が書き込まれた後はユーザが記憶内容を変更できないように保護されている。また、ＳＥＥＰＲＯＭ１５には、情報処理装置１を最初に起動したとき、又はコントローラボードを交換した後、情報処理装置１を起動したときに、ＴＰＭ１４が有する機能を用いて装置固有情報１５０から生成されたＴＰＭアクセスキー１５１が書き込まれる。なお、ＳＥＥＰＲＯＭ１５は、コントローラボード上に搭載せずに情報処理装置１内の他の場所に搭載されていてもよい。
【００２６】
［情報処理装置の機能構成］
図３は、情報処理装置１の機能を示すブロック図である。図３に示すように、ＣＰＵ１１は、ＲＯＭ１３に格納されている制御プログラムに従って動作することにより第１乃至第４の検証手段１１１〜１１４、判別手段１０１、バックアップ手段１０２、動作停止手段１０３、復号手段１０４、検索手段１０５、セッション確立手段１０６、認証手段１０７、送信手段１０８、受信手段１０９、復元手段１１０、暗号処理手段１１５等として機能する。
【００２７】
判別手段１０１は、ＴＰＭ１４の状態が既初期化、未初期化、自己診断エラーのいずれの状態にあるかを判別する。また、判別手段１０１は、ＴＰＭ１４が自己診断エラーの状態にあると判別したとき、ＳＤカード４に暗号化データ暗号鍵４３が記憶されていなければ、ＴＰＭ１４がＴＰＭチップ障害エラーの状態と判別する。さらに、判別手段１０１は、他の情報処理装置１からＴＰＭ１４を専有する要求を受信したとき、情報処理装置１がＴＰＭ１４を利用中の状態にあるかを判別する。
【００２８】
バックアップ手段１０２は、ＴＰＭ１４の機能を用いて生成されたＴＰＭアクセスキー４１、ＴＰＭ内部キー４２、暗号化データ暗号鍵４３をＳＤカード４にバックアップする。バックアップ手段１０２は、保持手段の一例であり、ＴＰＭ内部キー４２は、設定データの一例であり、暗号化データ暗号鍵４３は、暗号化されたデータ暗号鍵又は暗号化済みデータ暗号鍵である。
【００２９】
第１の検証手段１１１は、ＳＤカード４から取得したカード識別情報とＲＯＭ１３に格納されているカード識別情報が一致するか否かに応じてＳＤカード４の正当性を検証する。
【００３０】
第２の検証手段１１２は、ＳＤカード４からバックアップデータに含まれるＴＰＭアクセスキー４１を取得し、ＴＰＭアクセスキー４１と装置固有情報１５０から生成したＴＰＭアクセスキーとを対比し、両者が一致するか否かに応じてＴＰＭアクセスキー４１の正当性を検証する。
【００３１】
第３の検証手段１１３は、判別手段１０１によりＴＰＭ１４が未初期化状態にあると判別されたとき、ＳＤカード４からＴＰＭ内部キー４２を取得し、ＴＰＭ１４が有する機能を用いてＴＰＭ内部キー４２からＴＰＭ１４の状態を復元できるか否かに応じてＴＰＭ内部キー４２の正当性を検証する。
【００３２】
第４の検証手段１１４は、判別手段１０１によりＴＰＭ１４が既初期化状態にあると判別されたとき、ＳＤカード４から暗号化データ暗号鍵４３を取得し、暗号化データ暗号鍵４３からＴＰＭ１４が有する機能を用いてデータ暗号鍵を復元できるか否かに応じて暗号化データ暗号鍵４３の正当性を検証する。
【００３３】
動作停止手段１０３は、第１の検証手段１１１によりＳＤカード４が不正と判定されたとき、第２の検証手段１１２によりＴＰＭアクセスキー４１が不正と判定されたとき、第３の検証手段１１３によりＴＰＭ内部キー４２が不正と判定されたとき、及び第４の検証手段１１４により暗号化データ暗号鍵４３が不正と判定されたときは、情報処理装置１の以後の動作を停止する。
【００３４】
復号手段１０４は、ＳＤカード４から暗号化データ暗号鍵４３を読み出し、読み出した暗号化データ暗号鍵４３をＴＰＭ１４が有する機能を用いて復号する。復号手段１０４は、外部鍵復号手段の一例である。
【００３５】
検索手段１０５は、情報処理装置１が接続されたネットワーク内に存在する他の情報処理装置１を検索する。
【００３６】
セッション確立手段１０６は、他の情報処理装置１との間で暗号通信のセッションを開始する。
【００３７】
認証手段１０７は、情報処理装置１の認証を他の情報処理装置１に要求し、他の情報処理装置１による認証が成功したか否かを判断する。
【００３８】
送信手段１０８は、他の情報処理装置１のＴＰＭ１４を専有するための要求、暗号化データ暗号鍵４３の復号要求、及び、他の情報処理装置１のＴＰＭ１４の専有状態を解除するための要求を、他の情報処理装置１へ送信する。また、ＴＰＭ１４を専有するための要求に対する応答、及び、暗号化データ暗号鍵４３を復号して得られたデータ暗号鍵を、他の情報処理装置１へ送信する。送信手段１０８は、鍵取得手段の暗号化されたデータ暗号鍵を送信する機能又は送信手段の一例である。
【００３９】
受信手段１０９は、他の情報処理装置１のＴＰＭ１４を専有するための要求に対する応答、及び、暗号化データ暗号鍵４３を復号して得られたデータ暗号鍵を、他の情報処理装置１から受信する。また、ＴＰＭ１４を専有するための要求、暗号化データ暗号鍵４３の復号要求、及び、ＴＰＭ１４の専有状態を解除するための要求を、他の情報処理装置１から受信する。受信手段１０９は、鍵取得手段の復号されたデータ暗号鍵を取得する機能の一例である。
【００４０】
復元手段１１０は、他の情報処理装置１からＴＰＭ１４を専有するための要求を受信すると、ＴＰＭ１４を初期化した後、その要求と共に受信したＴＰＭ内部キー４２のバックアップを用いてＴＰＭ１４を復元する。また、復元手段１１０は、他の情報処理装置１からＴＰＭ１４の専有状態を解除するための要求を受信すると、ＴＰＭ１４を初期化した後、ＳＤカード４に格納されたＴＰＭ内部キー４２のバックアップを用いてＴＰＭ１４を復元する。復元手段１１０は、鍵暗号処理手段の状態を、外部装置の鍵暗号処理手段の状態に対応するように設定する設定手段の一例である。ここで、「鍵暗号処理手段の状態を外部装置の鍵暗号処理手段の状態に対応するように設定する」とは、鍵暗号処理手段を外部装置で使用可能なように設定することを意味する。これには、例えば、外部装置の鍵暗号処理手段が有する鍵暗号鍵を用いて鍵暗号処理手段を復元することが含まれる。
【００４１】
暗号処理手段１１５は、ＨＤＤ２のデータの暗号処理を行う。ここで、暗号処理とは、データに対する暗号に関する各種処理をいう。暗号処理は、例えば、暗号化処理、復号処理を含む。暗号処理手段１１５は、処理手段の一例である。
【００４２】
［情報処理装置の動作］
図４−１及び図４−２は、情報処理装置１を起動するときの動作の一例を示すフローチャートである。ここでは、図１の情報処理装置１ａを起動するものとして説明する。この場合、情報処理装置１ａは、第２の情報処理装置の一例である。
【００４３】
まず、図４−１に示した動作の一例について説明する。
【００４４】
（ＳＤカードの正当性の検証）
情報処理装置１ａを起動すると、第１の検証手段１１１は、ＳＤカード４の正当性を検証する（Ｓ１）。すなわち、第１の検証手段１１１は、ＳＤカード４からカード識別情報４０を取得し、取得したカード識別情報４０とＲＯＭ１３に格納されているカード識別情報とが一致するか否かを判断する。
【００４５】
両者が一致して正当性の検証が成功した場合は（Ｓ１：Ｙｅｓ）、第１の検証手段１１１は、ＳＤカード４は正当であると判定する。両者が不一致となり、正当性の検証が失敗した場合は（Ｓ１：Ｎｏ）、第１の検証手段１１１は、ＳＤカード４は不正なものと判定して「ＳＤカード不整合エラー」を操作パネル５に表示し（Ｓ２）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。当該情報処理装置１ａの本来のＳＤカード４が当該情報処理装置１ａとは別の情報処理装置１のＳＤカード４と不正に入れ換えられた場合には、ここで不正の判定が可能である。この場合、情報処理装置１ａを再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００４６】
（ＴＰＭアクセスキーの正当性の検証）
ＳＤカード４の正当性の検証が成功すると（Ｓ１：Ｙｅｓ）、第２の検証手段１１２は、ＳＤカード４にバックアップされているＴＰＭアクセスキー４１の正当性を検証する（Ｓ３）。すなわち、第２の検証手段１１２は、ＳＤカード４にバックアップされているＴＰＭアクセスキー４１を取得する。続いて、第２の検証手段１１２は、ＳＥＥＰＲＯＭ１５に書き込まれたＴＰＭアクセスキー１５１を取得する。第２の検証手段１１２は、ＳＤカード４から取得したＴＰＭアクセスキー４１とＳＥＥＰＲＯＭ１５から取得したＴＰＭアクセスキー１５１とが一致するか否かを判断する。
【００４７】
ステップＳ３において、両者が不一致となり、正当性の検証に失敗した場合は（Ｓ３：Ｎｏ）、第２の検証手段１１２は、「アクセスキー不整合エラー」を操作パネル５に表示し（Ｓ４）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。当該情報処理装置１ａの本来のＳＤカード４が当該情報処理装置１ａとは別の情報処理装置１のＳＤカード４と不正に入れ換えられた場合には、ここで不正の判定が可能である。この場合、情報処理装置１ａを再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００４８】
ステップＳ３において、ＳＥＥＰＲＯＭ１５にＴＰＭアクセスキー１５１が書き込まれていない場合は（Ｓ３：無し）、バックアップ手段１０２は、ＳＥＥＰＲＯＭ１５に書き込まれた装置固有情報１５０からＴＰＭ１４が有する機能を用いてＴＰＭアクセスキー１５１を生成し、そのＴＰＭアクセスキー１５１をＳＥＥＰＲＯＭ１５に書き込むとともに、バックアップデータとしてＴＰＭアクセスキー４１をＳＤカード４にバックアップする（Ｓ５）。初めて情報処理装置１ａを起動した場合、又はコントローラボードを交換した後、情報処理装置１ａを起動した場合は、ＳＥＥＰＲＯＭ１５にＴＰＭアクセスキー１５１が書き込まれていないため、ＴＰＭアクセスキー１５１がＳＥＥＰＲＯＭ１５に書き込まれるとともに、ＴＰＭアクセスキー４１がＳＤカード４にバックアップされる。
【００４９】
ステップＳ３において、両者が一致して正当性の検証が成功した場合は（Ｓ３：Ｙｅｓ）、次の処理（Ｓ６）に進む。
【００５０】
（ＴＰＭの状態の判別）
判別手段１０１は、ＴＰＭ１４の状態を判別する（Ｓ６）。すなわち、判別手段１０１は、ＴＰＭ１４が有する自己診断機能を用いてＴＰＭ１４の状態を判別する。
【００５１】
ステップＳ６の判別結果が自己診断エラーの場合は（Ｓ６：自己診断エラー）、判別手段１０１は、ＴＰＭ１４が何らかの理由で利用不可能の状態に陥ったため、図４−２の処理に進む。
【００５２】
初めて情報処理装置１ａを起動した場合やコントローラボードを交換した直後は未初期化になる。ステップＳ６の判別結果が未初期化の場合（Ｓ６：未初期化）、第３の検証手段１１３は、ＳＤカード４においてバックアップのＴＰＭ内部キー４２の有無を確認する（Ｓ８）。
【００５３】
ＳＤカード４にＴＰＭ内部キー４２がバックアップされていない場合は（Ｓ８：Ｎｏ）、初めて情報処理装置１ａを起動した場合であるので、バックアップ手段１０２は、ＴＰＭ１４が有する機能を用いてＴＰＭ内部キー４２を生成し、そのＴＰＭ内部キー４２をＳＤカード４にバックアップする（Ｓ９）。
【００５４】
ＳＤカード４にＴＰＭ内部キー４２がバックアップされている場合は（Ｓ８：Ｙｅｓ）、コントローラボードの交換後の起動であり、第３の検証手段１１３は、バックアップされたＴＰＭ内部キー４２の正当性を検証する（Ｓ１０）。コントローラボードを交換したときは、ＳＤカード４は既存のものを用いるため、ＳＤカード４にＴＰＭ内部キー４２がバックアップされている。
【００５５】
すなわち、第３の検証手段１１３は、ＳＤカード４にバックアップされているＴＰＭ内部キー４２でＴＰＭ１４の状態をＴＰＭ１４が有する機能を用いて復元できるか否かを判断し、復元できれば正当性の検証は成功であり（Ｓ１０：Ｙｅｓ）、次の処理（Ｓ１２）に進む。
【００５６】
復元できなければ、正当性の検証は失敗であり（Ｓ１０：Ｎｏ）、第３の検証手段１１３は、「ＴＰＭ内部キー不正エラー」を操作パネル５に表示し（Ｓ１１）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。この場合、情報処理装置１ａを再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００５７】
ステップＳ６の検証結果が既初期化状態の場合は（Ｓ６：既初期化）、次の処理（Ｓ１２）に進む。
【００５８】
（暗号化データ暗号鍵の有無の確認）
第４の検証手段１１４は、ＳＤカード４において暗号化データ暗号鍵４３の有無を確認する（Ｓ１２）。初めて情報処理装置１ａを起動するときは、ＳＤカード４に暗号化データ暗号鍵４３がバックアップされていないため（Ｓ１２：Ｎｏ）、バックアップ手段１０２は、ランダムビット生成器等を用いて新たにデータ暗号鍵を生成する（Ｓ１３）。さらにバックアップ手段１０２は、ＴＰＭ１４が有する機能を用いてデータ暗号鍵を暗号化し（Ｓ１４）、暗号化により得られた暗号化データ暗号鍵４３をＳＤカード４にバックアップする（Ｓ１５）。
【００５９】
ＳＤカード４に暗号化データ暗号鍵４３がバックアップされている場合は（Ｓ１２：Ｙｅｓ）、第４の検証手段１１４は、ＴＰＭ１４が有する機能を用いて暗号化データ暗号鍵４３の復号を行う（Ｓ１６）。復号に失敗した場合は（Ｓ１７：Ｎｏ）、バックアップデータの改ざんが疑われるため、「バックアップデータ不正エラー」を操作パネル５に表示し（Ｓ１８）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。この場合、情報処理装置１ａを再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。復号に成功すれば（Ｓ１７：Ｙｅｓ）、その後の処理が継続可能である。
【００６０】
次に、図４−２に示した動作の一例について説明する。
【００６１】
判別手段１０１は、ＳＤカード４において暗号化データ暗号鍵４３の有無を確認する（Ｓ１９）。ＳＤカード４に暗号化データ暗号鍵４３がバックアップされている場合は（Ｓ１９：Ｙｅｓ）、判別手段１０１は、他の情報処理装置１のＴＰＭ１４で暗号化データ暗号鍵４３を復号する処理（図５）に移る（Ｓ２０）。このとき、判別手段１０１は、「ＴＰＭチップ障害エラー」を記録するが、システムは起動状態にする。「ＴＰＭチップ障害エラー」の記録が残ることで、準備が整い次第、コントローラボード交換になる。ＳＤカード４に暗号化データ暗号鍵４３がバックアップされていない場合は（Ｓ１９：Ｎｏ）、判別手段１０１は、「ＴＰＭチップ障害エラー」を操作パネル５に表示し（Ｓ２１）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。この場合、情報処理装置１ａを再び起動状態にするためにはコントローラボードの交換が必要になる。これらのことから、自己診断エラーであっても他の情報処理装置１のＴＰＭ１４を利用できるため、コントローラボード交換までのダウンタイムを短縮できる。
【００６２】
図５は、情報処理装置１が他の情報処理装置１のＴＰＭ１４で暗号化データ暗号鍵４３を復号する要求を行うときの動作の一例を示すフローチャートである。
【００６３】
（装置検索）
この処理が開始すると、検索手段１０５は、情報処理装置１ａが接続されたネットワーク内に存在する別の情報処理装置１を、一般的なプリンタ検索プロトコルによって検索する（Ｓ３１）。すなわち、検索手段１０５は、情報処理装置１ａが接続されたネットワーク内で別の情報処理装置１が見つかったか否かを判断する。
【００６４】
ステップＳ３１において、別の情報処理装置１が見つかっていない場合は（Ｓ３１：Ｎｏ）、検索手段１０５は、「装置検索失敗エラー」を操作パネル５に表示し（Ｓ３２）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。
【００６５】
ステップＳ３１において、別の情報処理装置１が見つかった場合は（Ｓ３１：Ｙｅｓ）、次の処理（Ｓ３３）に進む。
【００６６】
（他の装置への暗号通信セッション開始）
セッション確立手段１０６は、見つかった情報処理装置１のうちの１つ（情報処理装置１ｂとする）に対して暗号通信のセッションを開始する（Ｓ３３）。すなわち、セッション確立手段１０６は、後述するＴＰＭ所有権獲得要求の通信プロトコルによるが、例えばＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）やＩＰＳＥＣ（IP Security）などの暗号通信手段を用いて、暗号通信のセッションを開始する。このことにより、ＴＰＭを使って復号したデータ暗号鍵を通信経路上での暴露から保護できる。
【００６７】
（装置認証要求）
暗号通信のセッションが開始すると、認証手段１０７は、情報処理装置１ｂに対して、情報処理装置１ａの認証を要求する（Ｓ３４）。すなわち、認証手段１０７は、情報処理装置１ｂによる認証が成功したか否かを判断する。要求を受信した情報処理装置１ｂは、要求と共に送信された認証情報や電子証明書に基づいて情報処理装置１ａを認証する。例えば、情報処理装置１ｂは、信頼できる装置の認証情報や発行者証明書を装置内に予め記憶しておくことで認証を判断する。この手順は、ＳＳＬ／ＴＬＳやＩＰＳＥＣにおいては、暗号通信セッション確立のネゴシエーション手順に含まれる。このことにより、不正な第三者によるＴＰＭ１４の悪用を防ぐことができる。
【００６８】
ステップＳ３４において、情報処理装置１ｂによる認証が失敗した場合は（Ｓ３４：Ｎｏ）、認証手段１０７は、「装置認証エラー」を操作パネル５に表示し（Ｓ３５）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。この場合、セッション確立手段１０６は、暗号通信のセッションを終了する（Ｓ４４）。
【００６９】
ステップＳ３４において、情報処理装置１ｂによる認証が成功した場合は（Ｓ３４：Ｙｅｓ）、次の処理（Ｓ３６）に進む。
【００７０】
（ＴＰＭ所有権獲得要求）
送信手段１０８は、情報処理装置１ｂのＴＰＭ１４を専有するための要求（以下「ＴＰＭ所有権獲得要求」という。）を情報処理装置１ｂに送信する（Ｓ３６）。すなわち、送信手段１０８は、情報処理装置１ｂのＴＰＭ１４を専有するための要求が成功したか否かを判断する。通常、ＴＰＭ１４はそれが備え付けられた情報処理装置１が専有している状態である。つまり、ＴＰＭ内部キー４２は、情報処理装置１に固有のものになっている。ここで、情報処理装置１ｂのＴＰＭ１４を情報処理装置１ａの専有状態に変更するには、ＴＰＭ内部キー４２の復元が必要である。そのため、送信手段１０８は、要求と共にＴＰＭ内部キー４２のバックアップを情報処理装置１ｂに送信する。要求を受信した情報処理装置１ｂの動作については、図６のフローチャートを参照して後述する。
【００７１】
ステップＳ３６において、ＴＰＭ所有権獲得要求が成功した場合は（Ｓ３６：Ｙｅｓ）、送信手段１０８は、暗号化データ暗号鍵４３の復号要求をさらに送信する（Ｓ３７）。復号要求を受信した情報処理装置１ｂは、ＴＰＭ１４で暗号化データ暗号鍵４３の復号処理を行う。受信手段１０９は、復号処理で得られたデータ暗号鍵を受信する（Ｓ３８）。
【００７２】
（ＴＰＭ所有権解放要求）
送信手段１０８は、情報処理装置１ｂのＴＰＭ１４の専有状態を解除するための要求（以下「ＴＰＭ所有権解放要求」という。）を情報処理装置１ｂに送信する（Ｓ３９）。要求を受信した情報処理装置１ｂの動作については、図７のフローチャートを参照して後述する。ＴＰＭ所有権解放要求を行うと、セッション確立手段１０６は、暗号通信のセッションを終了する（Ｓ４４）。
【００７３】
（他の装置検索）
ステップＳ３６において、ＴＰＭ所有権獲得要求が失敗した場合は（Ｓ３６：Ｎｏ）、セッション確立手段１０６は、情報処理装置１ａが接続されたネットワーク内に、ステップＳ３１で見つかった別の情報処理装置１以外のさらに別の情報処理装置１が存在するかどうかを判断する（Ｓ４０）。
【００７４】
ステップＳ４０において、さらに別の情報処理装置１（情報処理装置１ｃとする）が存在する場合は（Ｓ４０：Ｙｅｓ）、セッション確立手段１０６は、情報処理装置１ｂに対する暗号通信のセッションを終了し（Ｓ４１）。情報処理装置１ｃに対して暗号通信のセッションを開始する（Ｓ４２）。暗号通信のセッションが開始すると、認証手段１０７は、情報処理装置１ｃに対して、情報処理装置１ａの認証を要求し（Ｓ３４）、情報処理装置１ｃによる認証が成功すれば、前述した処理と同じく、ＴＰＭ１４の所有権の獲得を試みる。
【００７５】
ステップＳ４０において、さらに別の情報処理装置１が存在しない場合は（Ｓ４０：Ｎｏ）、セッション確立手段１０６は、「ＴＰＭ所有権獲得失敗エラー」を操作パネル５に表示し（Ｓ４３）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。この場合、セッション確立手段１０６は、暗号通信のセッションを終了する（Ｓ４４）。
【００７６】
図６は、情報処理装置１ａからＴＰＭ所有権獲得要求を受信したときの他の情報処理装置１（情報処理装置１ｂとする）の動作の一例を示すフローチャートである。この場合、情報処理装置１ｂは、第１の情報処理装置の一例である。
【００７７】
（ＴＰＭを利用中かの判別）
情報処理装置１ａからＴＰＭ所有権獲得要求を受信すると、判別手段１０１は、情報処理装置１ｂがＴＰＭ１４を利用中であるか否かを判別する（Ｓ５１）。すなわち、判別手段１０１は、情報処理装置１ｂがシステム起動途中などＴＰＭ１４にアクセスしているかどうかを判断する。
【００７８】
ステップＳ５１において、情報処理装置１ｂがＴＰＭ１４を利用中である場合は（Ｓ５１：Ｙｅｓ）、ＴＰＭ１４を解放できないので、送信手段１０８は、要求の拒絶を情報処理装置１ａへ応答する（Ｓ５２）。また、図には明示していないが、情報処理装置１ｂがＴＰＭ１４を保持していない場合も、送信手段１０８は、要求の拒絶を情報処理装置１ａへ応答する。
【００７９】
ステップＳ５１において、情報処理装置１ｂがＴＰＭ１４を利用中でない場合は（Ｓ５１：Ｎｏ）、次の処理（Ｓ５３）に進む。
【００８０】
（ＴＰＭの状態の判別）
判別手段１０１は、ＴＰＭ１４の状態を判別する（Ｓ５３）。すなわち、判別手段１０１は、ＴＰＭ１４が有する自己診断機能を用いてＴＰＭ１４の状態を判別する。
【００８１】
ステップＳ５３の判別結果が自己診断エラーの場合又は未初期化の場合は（Ｓ５３：自己診断エラー又は未初期化）、送信手段１０８は、要求の拒絶を情報処理装置１ａへ応答する（Ｓ５２）。
【００８２】
ステップＳ５３の判別結果が既初期化の場合にのみ（Ｓ５３：既初期化）、判別手段１０１は、情報処理装置１ａにＴＰＭ１４を利用させる処理に移行する。基本的に自装置がＴＰＭ１４を利用することを前提とするためである。
【００８３】
（ＴＰＭの初期化）
復元手段１１０は、情報処理装置１ａのＴＰＭ１４の内部状態、つまり、ＴＰＭ内部キー４２に合わせてＴＰＭ１４をセットアップする必要があるため、一旦ＴＰＭ１４を初期化する（Ｓ５４）。
【００８４】
（ＴＰＭの復元）
復元手段１１０は、初期化された状態のＴＰＭ１４を、情報処理装置１ａから受信したＴＰＭ内部キー４２のバックアップを用いて復元する（Ｓ５５）。送信手段１０８は、要求の成功を情報処理装置１ａへ応答する（Ｓ５６）。これにより、情報処理装置１ａのＴＰＭ１４の内部状態が再現できる。
【００８５】
図７は、情報処理装置１ａからＴＰＭ所有権解放要求を受信したときの他の情報処理装置１（情報処理装置１ｂとする）の動作の一例を示すフローチャートである。この場合、情報処理装置１ｂは、第１の情報処理装置の一例である。
【００８６】
（ＴＰＭの初期化）
復元手段１１０は、再び自身の専有状態に戻すため、一旦ＴＰＭ１４を初期化する（Ｓ６１）。
【００８７】
（ＴＰＭの復元）
復元手段１１０は、初期化された状態のＴＰＭ１４を、情報処理装置１ｂに装着されたＳＤカード４に格納されたＴＰＭ内部キー４２のバックアップを用いて復元する（Ｓ６２）。
【００８８】
図８は、情報処理装置１ａの復号処理の一例を示すフローチャートである。起動時に暗号化データ暗号鍵４３の正当性を検証できるが、暗復号での鍵の一貫性の確認は別に必要である。この手順により、万一別装置のＨＤＤに不正に入れ替えられた場合は鍵の不整合により復号処理が失敗する。
【００８９】
復号手段１０４は、ＳＤカード４から暗号化データ暗号鍵４３を読み出し（Ｓ７１）、読み出した暗号化データ暗号鍵４３をＴＰＭ１４が有する機能を用いて復号する（Ｓ７２）。暗号処理手段１１５は、ＨＤＤ２のデータの暗号処理を行い、暗号処理が成功したか否かを判断する（Ｓ７３）。暗号処理が成功すれば（Ｓ７３：Ｙｅｓ）、その後の処理を継続できる。暗号処理が失敗すれば（Ｓ７３：Ｎｏ）、暗号処理手段１１５は、「データ暗号鍵の不整合エラー」を操作パネル５に表示し（Ｓ７４）、動作停止手段１０３は、情報処理装置１ａの以後の動作を停止する。
【００９０】
［他の実施の形態］
なお、本発明の実施の形態は、上記実施の形態に限定されるものではなく、本発明の要旨を変更しない範囲内で種々に変形実施が可能である。例えば、上記実施の形態では、装置固有情報１５０から生成されたＴＰＭアクセスキー１５１をＳＥＥＰＲＯＭ１５にバックアップしたが、バックアップしなくてもよい。また、本発明の要旨を変更しない範囲内で、実施の形態のフローにおいて、ステップの追加、削除、変更、入替え等が可能である。また、上記実施の形態で用いたプログラムをＣＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に記録して提供することもできる。
【００９１】
［プログラム］
すなわち、本実施の形態に係る情報処理装置１が行う処理は、例えば、アプリケーションソフトウェア等のプログラムとして用意される。
【００９２】
即ち、本実施の形態を実現する第１のプログラムは、データの暗号処理に用いられるデータ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、鍵暗号処理手段により暗号化されたデータ暗号鍵を記憶媒体に保持する機能と、暗号化されたデータ暗号鍵を外部装置へ送信し、外部装置において復号されたデータ暗号鍵を取得する機能と、鍵暗号処理手段によりデータ暗号鍵を復号した場合はデータ暗号鍵を用い、鍵暗号処理手段によりデータ暗号鍵を復号しない場合は外部装置において取得したデータ暗号鍵を用いて、データの暗号処理を行う機能と、を実現させるためのプログラムとして捉えられる。
【００９３】
本実施の形態を実現する第２のプログラムは、データ暗号鍵に対する暗号処理を行う鍵暗号処理手段を備えるコンピュータに、データ暗号鍵を用いてデータの暗号処理を行う機能と、外部装置からの要求に応じて、鍵暗号処理手段の状態を、外部装置の鍵暗号処理手段の状態に対応するように設定する機能と、外部装置から外部装置の鍵暗号処理手段で暗号化されたデータ暗号鍵を取得し、設定された鍵暗号処理手段に暗号化されたデータ暗号鍵を復号させる機能と、を実現させるためのプログラムとして捉えられる。
【符号の説明】
【００９４】
１，１ａ，１ｂ，１ｃ…情報処理装置、３…ＳＤカードリーダ、４…ＳＤカード、５…操作パネル、６…プリンタ、７…スキャナ、８…バス、９…通信回線、１０…コントローラ、１６…パネルＩ／Ｆ部、１７…プリンタＩ／Ｆ部、１８…スキャナＩ／Ｆ部、１９…ネットワークＩ／Ｆ部、４０…カード識別情報、４１…ＴＰＭアクセスキー、４２…ＴＰＭ内部キー、４３…暗号化データ暗号鍵、１０１…判別手段、１０２…バックアップ手段、１０３…動作停止手段、１０４…復号手段、１０５…検索手段、１０６…セッション確立手段、１０７…認証手段、１０８…送信手段、１０９…受信手段、１１０…復元手段、１１１…第１の検証手段、１１２…第２の検証手段、１１３…第３の検証手段、１１４…第４の検証手段、１５０…装置固有情報、１５１…ＴＰＭアクセスキー
【図１】
2019022122.tif 000003
【図２】
2019022122.tif 000004
【図３】
2019022122.tif 000005
【図４−１】
2019022122.tif 000006
【図４−２】
2019022122.tif 000007
【図５】
2019022122.tif 000008
【図６】
2019022122.tif 000009
【図７】
2019022122.tif 000010
【図８】
2019022122.tif 000011