(57)【特許請求の範囲】
【請求項１】
データの暗号化に使用したデータ暗号鍵を鍵暗号鍵に暗号化して記憶する内部記憶手段と、
前記鍵暗号鍵に係るバックアップデータと自己の外部記憶手段の識別情報とを記憶する前記外部記憶手段から取得した前記識別情報に基づいて前記外部記憶手段の正当性を検証する第１の検証手段と、
前記外部記憶手段が記憶する前記バックアップデータの正当性を検証する他の検証手段であって、前記第１の検証手段により前記外部記憶手段の正当性を検証できたとき、前記外部記憶手段から前記バックアップデータに含まれる前記内部記憶手段が有する機能を利用するのに必要な認証キーである第１のデータを取得し、前記第１のデータと自装置の装置固有情報から生成したデータとを対比して前記第１のデータの正当性を検証する第２の検証手段と、
を備えた情報処理装置。
【請求項２】
前記内部記憶手段の状態を判別する判別手段、を更に備え、
前記他の検証手段は、前記判別手段により前記内部記憶手段が未初期化状態にあると判別されたとき、前記外部記憶手段から前記バックアップデータに含まれる第２のデータを取得し、前記内部記憶手段が有する機能を用いて前記第２のデータから前記内部記憶手段の状態を復元できるか否かに応じて前記第２のデータの正当性を検証する第３の検証手段を含む、
請求項１に記載の情報処理装置。
【請求項３】
前記内部記憶手段の状態を判別する判別手段、を更に備え、
前記他の検証手段は、前記判別手段により前記内部記憶手段が既初期化状態にあると判別されたとき、前記外部記憶手段から前記バックアップデータに含まれる前記鍵暗号鍵である第３のデータを取得し、前記第３のデータから前記内部記憶手段が有する機能を用いて前記データ暗号鍵を復元できるか否かに応じて前記第３のデータの正当性を検証する第４の検証手段を含む、
請求項１に記載の情報処理装置。
【請求項４】
前記他の検証手段が前記外部記憶手段に検証に必要なデータがバックアップされていないと判断したとき、前記検証に必要なデータを生成して前記外部記憶手段にバックアップするバックアップ手段を、
更に備えた請求項１から３のいずれか１項に記載の情報処理装置。
【請求項５】
前記他の検証手段による検証が失敗したとき、当該装置の以後の動作を停止する動作停止手段を、
更に備えた請求項１から４のいずれか１項に記載の情報処理装置。
【請求項６】
コンピュータを、
データの暗号化に使用したデータ暗号鍵を鍵暗号鍵に暗号化して記憶する内部記憶手段と、
前記鍵暗号鍵に係るバックアップデータと自己の外部記憶手段の識別情報とを記憶する前記外部記憶手段から取得した前記識別情報に基づいて前記外部記憶手段の正当性を検証する第１の検証手段と、
前記外部記憶手段が記憶する前記バックアップデータの正当性を検証する他の検証手段であって、前記第１の検証手段により前記外部記憶手段の正当性を検証できたとき、前記外部記憶手段から前記バックアップデータに含まれる前記内部記憶手段が有する機能を利用するのに必要な認証キーである第１のデータを取得し、前記第１のデータと自装置の装置固有情報から生成したデータとを対比して前記第１のデータの正当性を検証する第２の検証手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及びプログラムに関する。
【背景技術】
【０００２】
従来、データを暗号化してハードディスクドライブ（ＨＤＤ）や不揮発性メモリ（ＮＶＲＡＭ）等に格納した際、データの暗号化に使用した暗号鍵をコントローラボードと一体になっているセキュリティチップの一例のＴＰＭ（Trusted Platform Module）に格納して暗号鍵の漏洩を防止するようにした情報処理装置が提案されている（例えば、特許文献１参照。）。
【０００３】
特許文献１に開示された情報処理装置は、ＴＰＭに暗号鍵を格納し、暗号鍵で暗号化されたデータをＮＶＲＡＭに格納する情報処理装置であって、ＴＰＭから取得した暗号鍵の正当性をチェックする暗号鍵チェック手段と、暗号鍵に正当性がないとき、外部記憶媒体の一例のＳＤカードからデータの暗号化に使用した暗号鍵のリストア用鍵（バックアップデータ）を取得し、リストア用鍵の正当性をチェックするリストア用鍵チェック手段と、リストア用鍵に正当性があるとき、ＴＰＭにリストア用鍵を格納する暗号鍵リストア手段とを備える。ＴＰＭが記憶する暗号鍵及びリストア用鍵のチェックは、ＮＶＲＡＭに格納されているデータを正しく復号できるか否かにより行われる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−２３６０８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の目的は、鍵暗号鍵をバックアップした外部記憶手段の正当性の検証を単発の検証よりも強化することができる情報処理装置及びプログラムを提供することにある。
【課題を解決するための手段】
【０００６】
［１］データの暗号化に使用したデータ暗号鍵を鍵暗号鍵に暗号化して記憶する内部記憶手段と、
前記鍵暗号鍵に係るバックアップデータと自己の外部記憶手段の識別情報とを記憶する前記外部記憶手段から取得した前記識別情報に基づいて前記外部記憶手段の正当性を検証する第１の検証手段と、
前記外部記憶手段が記憶する前記バックアップデータの正当性を検証する他の検証手段であって、前記第１の検証手段により前記外部記憶手段の正当性を検証できたとき、前記外部記憶手段から前記バックアップデータに含まれる前記内部記憶手段が有する機能を利用するのに必要な認証キーである第１のデータを取得し、前記第１のデータと自装置の装置固有情報から生成したデータとを対比して前記第１のデータの正当性を検証する第２の検証手段と、
を備えた情報処理装置。
［２］前記内部記憶手段の状態を判別する判別手段、を更に備え、
前記他の検証手段は、前記判別手段により前記内部記憶手段が未初期化状態にあると判別されたとき、前記外部記憶手段から前記バックアップデータに含まれる第２のデータを取得し、前記内部記憶手段が有する機能を用いて前記第２のデータから前記内部記憶手段の状態を復元できるか否かに応じて前記第２のデータの正当性を検証する第３の検証手段を含む、前記［１］に記載の情報処理装置。
［３］前記内部記憶手段の状態を判別する判別手段、を更に備え、
前記他の検証手段は、前記判別手段により前記内部記憶手段が既初期化状態にあると判別されたとき、前記外部記憶手段から前記バックアップデータに含まれる前記鍵暗号鍵である第３のデータを取得し、前記第３のデータから前記内部記憶手段が有する機能を用いて前記データ暗号鍵を復元できるか否かに応じて前記第３のデータの正当性を検証する第４の検証手段を含む、前記［１］に記載の情報処理装置。
［４］前記他の検証手段が前記外部記憶手段に検証に必要なデータがバックアップされていないと判断したとき、前記検証に必要なデータを生成して前記外部記憶手段にバックアップするバックアップ手段を、更に備えた前記［１］から［３］のいずれかに記載の情報処理装置。
［５］前記他の検証手段による検証が失敗したとき、当該装置の以後の動作を停止する動作停止手段を、更に備えた前記［１］から［４］のいずれかに記載の情報処理装置。
［６］コンピュータを、
データの暗号化に使用したデータ暗号鍵を鍵暗号鍵に暗号化して記憶する内部記憶手段と、
前記鍵暗号鍵に係るバックアップデータと自己の外部記憶手段の識別情報とを記憶する前記外部記憶手段から取得した前記識別情報に基づいて前記外部記憶手段の正当性を検証する第１の検証手段と、
前記外部記憶手段が記憶する前記バックアップデータの正当性を検証する他の検証手段であって、前記第１の検証手段により前記外部記憶手段の正当性を検証できたとき、前記外部記憶手段から前記バックアップデータに含まれる前記内部記憶手段が有する機能を利用するのに必要な認証キーである第１のデータを取得し、前記第１のデータと自装置の装置固有情報から生成したデータとを対比して前記第１のデータの正当性を検証する第２の検証手段として機能させるためのプログラム。
【発明の効果】
【０００７】
請求項１−３、６に係る発明によれば、鍵暗号鍵をバックアップした外部記憶手段の正当性を検証することができる。
請求項４に係る発明によれば、バックアップの手間を省くことができる。
請求項５に係る発明によれば、情報処理装置の不正な使用ができなくなる。
【図面の簡単な説明】
【０００８】
【図１】図１は、本発明の実施の形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。
【図２】図２は、本実施の形態に係る情報処理装置の機能を示すブロック図である。
【図３】図３は、本実施の形態に係る情報処理装置の検証処理の一例を示すフローチャートである。
【図４】図４は、本実施の形態に係る情報処理装置の復号処理の一例を示すフローチャートである。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について図面を参照して説明する。なお、各図中、実質的に同一の機能を有する構成要素については、同一の符号を付してその重複した説明を省略する。なお、本実施の形態では、情報処理装置の一例として画像処理装置を例に挙げて説明するが、その他の情報処理装置であってもよい。
【００１０】
図１は、本発明の実施の形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。
【００１１】
情報処理装置１は、情報処理装置１全体を制御するコントローラ１０を有し、このコントローラ１０にバス１０ａを介してＨＤＤ（Hard Disk Drive）２、ＳＤカードリーダ３、操作パネル５、プリンタ６、スキャナ７が接続されている。
【００１２】
コントローラ１０は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、ＲＯＭ（Read Only Memory）１３、ＴＰＭ（Trusted Platform Module）１４、ＳＥＥＰＲＯＭ（Serial Electrically Erasable Programmable Read Only Memory）１５、パネルＩ／Ｆ部１６、プリンタＩ／Ｆ部１７、スキャナＩ／Ｆ部１８、ネットワークＩ／Ｆ部１９を備える。コントローラ１０を構成する構成部品は、例えば、コントローラボード（マザーボードの場合もある。）上に実装されている。このため、コントローラ１０の構成部品が故障すると、コントローラボードごと交換する必要がある。
【００１３】
ＨＤＤ２には、暗号化対象のデータが暗号化されて格納される。なお、暗号化対象のデータは、ＨＤＤ２に格納されるデータに限られない。
【００１４】
ＳＤカードリーダ３は、挿入されたＳＤカード４に対してデータの書き込み及び読み出しを行う。ＳＤカード４は、ＳＤカードリーダ３に対して挿抜可能なメモリカードであり、外部記憶手段の一例である。情報処理装置１は、ＳＤカード４がＳＤカードリーダ３から抜かれた状態では、動作ができないように構成されている。このため、ＳＤカード４は、例えば、コントローラボードに治具によって固定されているが、ＳＤカード４を他のＳＤカード４に不正に入れ替えられるおそれがある。
【００１５】
ＳＤカード４には、後述する、ＴＰＭアクセスキー４１、ＴＰＭ内部キー４２、鍵暗号鍵４３を含むバックアップデータとＳＤカード４を識別するカード識別情報とが格納されている。カード識別情報は、自己の外部記憶手段の識別情報の一例である。鍵暗号鍵４３は、データ暗号鍵を暗号化した鍵である。ＴＰＭアクセスキー４１、ＴＰＭ内部キー４２及び鍵暗号鍵４３は、ＴＰＭ１４に格納された鍵暗号鍵に係るバックアップデータの一例である。
【００１６】
操作パネル５は、液晶ディスプレイ等の表示部にタッチパネルが重合配置されたタッチパネルディスプレイを有し、操作画面を表示部に表示するとともに、操作者からタッチパネルへの操作を受け付ける。
【００１７】
プリンタ６は、例えば感光体による画像保持体を有し、用紙等の記録媒体に画像を形成して出力する。プリンタ６は、画像出力部の一例である。
【００１８】
スキャナ７は、原稿から光学的に画像データを読み取る。スキャナ７は、画像入力部の一例である。
【００１９】
パネルＩ／Ｆ部１６には、操作パネル５が接続され、プリンタＩ／Ｆ部１７には、プリンタ６が接続され、スキャナＩ／Ｆ部１８には、スキャナ７が接続されている。ネットワークＩ／Ｆ１９には、ネットワークを介してユーザ端末やサーバ等が接続される。
【００２０】
ＲＡＭ１２は、一時的にデータが格納される。ＲＯＭ１３は、情報処理装置１を制御する制御プログラムやカード識別情報等が格納されている。
【００２１】
ＴＰＭ１４は、ＴＣＧ（Trusted Computing Group）が策定した仕様に準拠したセキュリティチップであり、優れた耐タンパ性を有する。ＴＰＭ１４が有する耐タンパ性は、内部を解析して保存されている鍵暗号鍵等を読み取ろうとすると物理的に破損して読み出せなくなるものである。ＴＰＭ１４は、コントローラボードに実装された内部記憶手段の一例である。なお、内部記憶手段として、ＨＳＭ（Hardware Security Module）等の他の内部記憶手段でもよい。
【００２２】
ＴＰＭ１４は、少なくとも以下の機能を有している。
（ａ）ＴＰＭ１４の機能を利用するのに認証キー（以下「ＴＰＭアクセスキー」という。）を必要とする機能。当該機能により装置固有情報１５０からＴＰＭアクセスキーを生成することができる。
（ｂ）データの暗号化に使用したデータ暗号鍵を階層的に暗号化して鍵暗号鍵（以下「ＴＰＭ内部キー」という。）を生成し、保存する機能。当該機能により鍵暗号鍵を復元することができるとともに、ＴＰＭ１４を元の状態に戻せる。
（ｃ）ＴＰＭ１４の状態をチェックする自己診断機能。ＴＰＭ１４の状態とは、ＴＰＭは使用する準備ができています（既初期化）、ＴＰＭは使用する準備ができていません（未初期化）、ＴＰＭが使用不可能な状態になっています（ＴＰＭチップ障害エラー）のいずれかの状態をいう。
【００２３】
ＳＥＥＰＲＯＭ１５は、電気的に書き換え可能な不揮発性メモリである。ＳＥＥＰＲＯＭ１５には、情報処理装置１の装置固有情報（例えば、シリアル番号、ＭＡＣアドレス等）１５０が工場出荷時又はコントローラボードの交換時に書き込まれる。ＳＥＥＰＲＯＭ１５は、装置固有情報１５０が書き込まれた後はユーザが記憶内容を変更できないように保護されている。また、ＳＥＥＰＲＯＭ１５には、本装置１を最初に起動したとき、又はコントローラボードを交換した後、本装置１を起動したときに、ＴＰＭ１４が有する機能を用いて装置固有情報１５０から生成されたＴＰＭアクセスキー１５１が書き込まれる。なお、ＳＥＥＰＲＯＭ１５は、コントローラボード上に搭載せずに装置１内の他の場所に搭載されていてもよい。
【００２４】
図２は、情報処理装置１の機能を示すブロック図である。図２に示すように、ＣＰＵ１１は、ＲＯＭ１３に格納されている制御プログラムに従って動作することにより第１乃至第４の検証手段１１１〜１１４、判別手段１０１、バックアップ手段１０２、動作停止手段１０３、復号手段１０４等として機能する。
【００２５】
判別手段１０１は、ＴＰＭ１４の状態が既初期化、未初期化、ＴＰＭチップ障害エラーのいずれかの状態かを判別する。
【００２６】
バックアップ手段１０２は、ＴＰＭ１４の機能を用いて生成されたＴＰＭアクセスキー４１、ＴＰＭ内部キー４２、鍵暗号鍵４３をＳＤカード４にバックアップする。
【００２７】
第１の検証手段１１１は、ＳＤカード４から取得したカード識別情報とＲＯＭ１３に格納されているカード識別情報が一致するか否かに応じてＳＤカード４の正当性を検証する。
【００２８】
第２の検証手段１１２は、ＳＤカード４からバックアップデータに含まれるＴＰＭアクセスキー４１を取得し、ＴＰＭアクセスキー４１と装置固有情報１５０から生成したＴＰＭアクセスキーとを対比し、両者が一致するか否かに応じてＴＰＭアクセスキー４１の正当性を検証する。ＴＰＭアクセスキー４１は、第１のデータの一例である。第２の検証手段１１２は、他の検証手段の一例である。
【００２９】
第３の検証手段１１３は、判別手段１０１によりＴＰＭ１４が未初期化状態にあると判別されたとき、ＳＤカード４からＴＰＭ内部キー４２を取得し、ＴＰＭ１４が有する機能を用いてＴＰＭ内部キー４２からＴＰＭ１４の状態を復元できるか否かに応じてＴＰＭ内部キー４２の正当性を検証する。ＴＰＭ内部キー４２は、第２のデータの一例である。第３の検証手段１１３は、他の検証手段の一例である。
【００３０】
第４の検証手段１１４は、判別手段１０１によりＴＰＭ１４が既初期化状態にあると判別されたとき、ＳＤカード４から鍵暗号鍵４３を取得し、鍵暗号鍵４３からＴＰＭ１４が有する機能を用いてデータ暗号鍵を復元できるか否かに応じて鍵暗号鍵４３の正当性を検証する。鍵暗号鍵４３は、第３のデータの一例である。第４の検証手段１１４は、他の検証手段の一例である。
【００３１】
動作停止手段１０３は、第１の検証手段１１１によりＳＤカード４が不正と判定されたとき、第２の検証手段１１２によりＴＰＭアクセスキー４１が不正と判定されたとき、第３の検証手段１１３によりＴＰＭ内部キー４２が不正と判定されたとき、及び第４の検証手段１１４により鍵暗号鍵４３が不正と判定されたときは、情報処理装置１の以後の動作を停止する。
【００３２】
復号手段１０４は、ＳＤカード４から鍵暗号鍵４３を読み出し、読み出した鍵暗号鍵４３をＴＰＭ１４が有する機能を用いて復号する。
【００３３】
（実施の形態の動作）
次に、情報処理装置１の動作の一例を説明する。図３は、情報処理装置１の検証処理の一例を示すフローチャートである。
【００３４】
（１）ＳＤカードの正当性の検証
情報処理装置１を起動すると、第１の検証手段１１１は、ＳＤカード４の正当性を検証する（Ｓ１）。すなわち、第１の検証手段１１１は、ＳＤカード４からカード識別情報４０を取得し、取得したカード識別情報４０とＲＯＭ１３に格納されているカード識別情報とが一致するか否かを判断する。
【００３５】
両者が一致して正当性の検証が成功した場合は（Ｓ１：Ｙｅｓ）、第１の検証手段１１１は、ＳＤカード４は正当であると判定する。両者が不一致となり、正当性の検証が失敗した場合は（Ｓ１：Ｎｏ）、第１の検証手段１１１は、ＳＤカード４は不正なものと判定して「ＳＤカード不整合エラー」を操作パネル５に表示し（Ｓ２）、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。当該情報処理装置１の本来のＳＤカード４が当該情報処理装置１とは別の情報処理装置１のＳＤカード４と不正に入れ換えられた場合には、ここで不正の判定が可能である。この場合、情報処理装置１を再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００３６】
（２）ＴＰＭアクセスキーの正当性の検証
ＳＤカード４の正当性の検証が成功すると（Ｓ１：Ｙｅｓ）、第２の検証手段１１２は、ＳＤカード４にバックアップされているＴＰＭアクセスキー４１の正当性を検証する（Ｓ３）。すなわち、第２の検証手段１１２は、ＳＤカード４にバックアップされているＴＰＭアクセスキー４１を取得する。続いて、第２の検証手段１１２は、ＳＥＥＰＲＯＭ１５に書き込まれたＴＰＭアクセスキー１５１を取得する。第２の検証手段１１２は、ＳＤカード４から取得したＴＰＭアクセスキー４１とＳＥＥＰＲＯＭ１５から取得したＴＰＭアクセスキー１５１とが一致するか否かを判断する。
【００３７】
ステップＳ３において、両者が不一致となり、正当性の検証に失敗した場合は（Ｓ３：Ｎｏ）、第２の検証手段１１２は、「アクセスキー不整合エラー」を操作パネル５に表示し（Ｓ４）、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。当該情報処理装置１の本来のＳＤカード４が当該情報処理装置１とは別の情報処理装置１のＳＤカード４と不正に入れ換えられた場合には、ここで不正の判定が可能である。この場合、情報処理装置１を再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００３８】
ステップＳ３において、ＳＥＥＰＲＯＭ１５にＴＰＭアクセスキー１５１が書き込まれていない場合は（Ｓ３：無し）、バックアップ手段１０２は、ＳＥＥＰＲＯＭ１５に書き込まれた装置固有情報１５０からＴＰＭ１４が有する機能を用いてＴＰＭアクセスキー１５１を生成し、そのＴＰＭアクセスキー１５１をＳＥＥＰＲＯＭ１５に書き込むとともに、バックアップデータとしてＴＰＭアクセスキー４１をＳＤカード４にバックアップする（Ｓ５）。初めて情報処理装置１を起動した場合、又はコントローラボードを交換した後、本装置１を起動した場合は、ＳＥＥＰＲＯＭ１５にＴＰＭアクセスキー１５１が書き込まれていないため、ＴＰＭアクセスキー１５１がＳＥＥＰＲＯＭ１５に書き込まれるとともに、ＴＰＭアクセスキー４１がＳＤカード４にバックアップされる。
【００３９】
ステップＳ３において、両者が一致して正当性の検証が成功した場合は（Ｓ３：Ｙｅｓ）、次の処理に進む（Ｓ６）。
【００４０】
（３）ＴＰＭの状態の判別
判別手段１０１は、ＴＰＭ１４の状態を判別する（Ｓ６）。すなわち判別手段１０１は、ＴＰＭ１４が有する自己診断機能を用いてＴＰＭ１４の状態を判別する。
【００４１】
ステップＳ６の判別結果が自己診断エラーの場合は（Ｓ６：自己診断エラー）、判別手段１０１は、ＴＰＭ１４が何らかの理由で利用不可能の状態に陥ったため、「ＴＰＭチップ障害エラー」を操作パネル５に表示し（Ｓ７）、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。この場合、情報処理装置１を再び正常に利用するためには、コントローラボードの交換が必要になる。
【００４２】
初めて情報処理装置１を起動した場合やコントローラボードを交換した直後は未初期化になる。ステップＳ６の判別結果が未初期化の場合（Ｓ６：未初期化）、第３の検証手段１１３は、ＳＤカード４においてバックアップのＴＰＭ内部キー４２の有無を確認する（Ｓ８）。
【００４３】
ＳＤカード４にＴＰＭ内部キー４２がバックアップされていない場合は（Ｓ８：Ｎｏ）、初めて情報処理装置１を起動した場合であるので、バックアップ手段１０２は、ＴＰＭ１４が有する機能を用いてＴＰＭ内部キー４２を生成し、そのＴＰＭ内部キー４２をＳＤカード４にバックアップする（Ｓ９）。
【００４４】
ＳＤカード４にＴＰＭ内部キー４２がバックアップされている場合は（Ｓ８：Ｙｅｓ）、コントローラボードの交換後の起動であり、第３の検証手段１１３は、バックアップされたＴＰＭ内部キー４２の正当性を検証する（Ｓ１０）。コントローラボードを交換したときは、ＳＤカード４は既存のものを用いるため、ＳＤカード４にＴＰＭ内部キー４２がバックアップされている。
【００４５】
すなわち、第３の検証手段１１３は、ＳＤカード４にバックアップされているＴＰＭ内部キー４２でＴＰＭ１４の状態をＴＰＭ１４が有する機能を用いて復元できるか否かを判断し、復元できれば正当性の検証は成功であり（Ｓ１０：Ｙｅｓ）、次の処理（Ｓ１２）に進む。
【００４６】
復元できなければ、正当性の検証は失敗であり（Ｓ１０：Ｎｏ）、第３の検証手段１１３は、「内部キー不正エラー」を操作パネル５に表示し（Ｓ１１）、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。この場合、情報処理装置１を再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。
【００４７】
ステップＳ６の検証結果が既初期化状態の場合は（Ｓ６：既初期化）、次の処理に進む（Ｓ１２）。
【００４８】
（４）データ暗号鍵の有無の確認
第４の検証手段１１４は、ＳＤカード４に鍵暗号鍵４３の有無を確認する（Ｓ１２）。初めて情報処理装置１を起動するときは、ＳＤカード４に鍵暗号鍵４３がバックアップされていないため（Ｓ１２：Ｎｏ）、バックアップ手段１０２は、ＴＰＭ１４が有する機能を用い、さらにランダムビット生成器等を用いて新たに鍵暗号鍵を生成する（Ｓ１３）。さらにバックアップ手段１０２は、ＴＰＭ１４が有する機能を用いてデータ暗号鍵を暗号化し（Ｓ１４）、暗号化により得られた鍵暗号鍵４３をＳＤカード４にバックアップする（Ｓ１５）。
【００４９】
ＳＤカード４に鍵暗号鍵４３がバックアップされている場合は（Ｓ１２：Ｙｅｓ）、第４の検証手段１１４は、ＴＰＭ１４が有する機能を用いて鍵暗号鍵４３の復号を行う（Ｓ１６）。復号に失敗した場合は（Ｓ１７：Ｎｏ）、バックアップデータの改ざんが疑われるため、「バックアップデータ不正エラー」を操作パネル５に表示し（Ｓ１８）、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。この場合、情報処理装置１を再び正常に利用するためには、本来のＳＤカード４への交換が必要になる。復号に成功すれば（Ｓ１７：Ｙｅｓ）、その後の処理が継続可能である。
【００５０】
（５）復号処理
図４は、情報処理装置１の復号処理の一例を示すフローチャートである。起動時に鍵暗号鍵４３の正当性を検証できるが、暗復号での鍵の一貫性の確認は別に必要である。この手順により、万一別装置のＨＤＤに不正に入れ替えられた場合は鍵の不整合により復号処理が失敗する。
【００５１】
復号手段１０４は、ＳＤカード４から鍵暗号鍵４３を読み出し（Ｓ２１）、読み出した鍵暗号鍵４３をＴＰＭ１４が有する機能を用いて復号する（Ｓ２２）。復号が成功すれば（Ｓ２３：Ｙｅｓ）、復号で得られたデータ暗号鍵を用いてＨＤＤ２のデータを復号し、その後の処理を継続できる。復号に失敗すれば（Ｓ２３：Ｎｏ）、復号手段１０４は、「鍵暗号鍵の不整合エラー」を操作パネル５に表示し、動作停止手段１０３は、情報処理装置１の以後の動作を停止する。
【００５２】
（他の実施の形態）
なお、本発明の実施の形態は、上記実施の形態に限定されるものではなく、本発明の要旨を変更しない範囲内で種々に変形実施が可能である。例えば、上記実施の形態では、ＴＰＭアクセスキーをＳＤカード４にバックアップしたが、バックアップしなくてもよい。また、本発明の要旨を変更しない範囲内で、実施の形態のフローにおいて、ステップの追加、削除、変更、入替え等が可能である。また、上記実施の形態で用いたプログラムをＣＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に記録して提供することもできる。
【符号の説明】
【００５３】
１…情報処理装置、３…ＳＤカードリーダ、４…ＳＤカード、５…操作パネル、
６…プリンタ、７…スキャナ、１０…コントローラ、１０ａ…バス、
１６…パネルＩ／Ｆ部、１７…プリンタＩ／Ｆ部、１８…スキャナＩ／Ｆ部、
１９…ネットワークＩ／Ｆ部、４０…カード識別情報、
４１…ＴＰＭアクセスキー、４２…ＴＰＭ内部キー、４３…鍵暗号鍵、
１０１…判別手段、１０２…バックアップ手段、１０３…動作停止手段、
１０４…復号手段、１１１…第１の検証手段、１１２…第２の検証手段、
１１３…第３の検証手段、１１４…第４の検証手段、１５０…装置固有情報、
１５１…ＴＰＭアクセスキー
【図１】
0006740702.tif 000002
【図２】
0006740702.tif 000003
【図３】
0006740702.tif 000004
【図４】
0006740702.tif 000005