(57)【特許請求の範囲】
【請求項１】
ユーザ認証機能を有する情報処理装置であって、
第１の暗号鍵を記憶するハードウェアセキュリティモジュールと、
前記第１の暗号鍵が、機密データを暗号化するための第２の暗号鍵を復号することができるか否かを判定する判定手段と、
前記判定手段による判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定されたことに従って、前記ユーザ認証機能によるユーザ認証を行うことなく前記情報処理装置の使用を許可するように制御する制御手段と、
を有する情報処理装置。
【請求項２】
前記第１の暗号鍵は、ＴＰＭ暗号鍵である請求項１記載の情報処理装置。
【請求項３】
前記判定手段による判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定された場合、前記第１の暗号鍵が不整合状態である旨を表示する表示手段を更に有する請求項１又は２記載の情報処理装置。
【請求項４】
前記判定手段による判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定された場合、ユーザ認証機能に関する設定情報に基づいて、前記ユーザ認証機能が有効になっているか否かを判定するユーザ認証機能判定手段を更に有し、
前記ユーザ認証機能判定手段により前記ユーザ認証機能が有効になっていると判定された場合、前記制御手段は、前記ユーザ認証機能によるユーザ認証を行うことなく前記情報処理装置の使用を許可するように制御する請求項１乃至３何れか１項記載の情報処理装置。
【請求項５】
前記ユーザ認証機能判定手段により前記ユーザ認証機能が有効になっていると判定された場合、無効にする対象機能に関する設定情報に基づいて、前記対象機能を無効にする機能無効手段を更に有する請求項４記載の情報処理装置。
【請求項６】
前記設定情報を設定する設定手段を更に有する請求項５記載の情報処理装置。
【請求項７】
前記判定手段による判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定された場合、接続された外部メモリメディアに前記第１の暗号鍵のバックアップデータが存在するか否かを判定するバックアップデータ判定手段を更に有し、
前記バックアップデータ判定手段により前記外部メモリメディアに前記第１の暗号鍵のバックアップデータが存在すると判定された場合に、前記ユーザ認証機能判定手段は、前記ユーザ認証機能に関する設定情報に基づいて、前記ユーザ認証機能が有効になっているか否かを判定する請求項４乃至６何れか１項記載の情報処理装置。
【請求項８】
前記情報処理装置は、画像を処理する画像処理装置である請求項１乃至７何れか１項記載の情報処理装置。
【請求項９】
ユーザ認証機能を有する情報処理装置が実行する情報処理方法であって、
第１の暗号鍵を記憶するハードウェアセキュリティモジュールの前記第１の暗号鍵が、機密データを暗号化するための第２の暗号鍵を復号することができるか否かを判定する判定ステップと、
前記判定ステップによる判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定されたことに従って、前記ユーザ認証機能によるユーザ認証を行うことなく前記情報処理装置の使用を許可するように制御する制御ステップと、
を含む情報処理方法。
【請求項１０】
ユーザ認証機能を有するコンピュータに、
第１の暗号鍵を記憶するハードウェアセキュリティモジュールの前記第１の暗号鍵が、機密データを暗号化するための第２の暗号鍵を復号することができるか否かを判定する判定ステップと、
前記判定ステップによる判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定されたことに従って、前記ユーザ認証機能によるユーザ認証を行うことなく前記コンピュータの使用を許可するように制御する制御ステップと、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号鍵がチップの交換等で変更された場合においてユーザ認証機能が正常に利用できない場合でも速やかに装置を復元する情報処理装置、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
ＰＣ（パーソナルコンピュータ）や印刷機能を持つ複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ  Ｆｕｎｃｔｉｏｎ  Ｐｅｒｉｐｈｅｒａｌ）等の情報処理装置は、自身の持つ機密データを暗号化して保存しているのが一般的である。
近年、情報処理装置内の機密データを暗号化／復号化する場合、情報処理装置に物理的に接続された外部のハードウェアセキュリティモジュール（ＨＳＭ）に格納された暗号鍵を利用する機器がある。
例えばこのＨＳＭはＴＣＧ（ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＧｒｏｕｐ："ｈｔｔｐ：ｗｗｗ．ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ．ｏｒｇ"）の規格に準拠したＴＰＭ（ＴｒｕｓｔｅｄＰｌａｔｆｏｒｍＭｏｄｕｌｅ）が用いられる。ＴＰＭとは暗号化鍵をセキュアに管理することが可能な耐タンパー性を備えたセキュリティチップである。一般にＴＰＭを備えた機器は、機密データを暗号化し、暗号化に利用した鍵をＴＰＭ内にセキュアに管理することで、セキュアな機密データの管理を実現している。
【０００３】
情報処理装置でＴＰＭが利用される際、情報処理装置を構成するハードウェアボードに外付けチップとしてＴＰＭが接続される構成がある。
このとき、外付けのＴＰＭの故障や紛失等が発生した場合に備え、ＴＰＭで管理する暗号化鍵（以下、ＴＰＭ暗号鍵という）のバックアップが必要となる。ＴＰＭ暗号鍵のバックアップは情報処理装置にＵＳＢ等の外部メモリメディアを接続して取得することによって行われる場合が多い。外付けのＴＰＭが故障した場合、ユーザは情報処理装置のＴＰＭを新たなものに交換し、ＴＰＭ暗号鍵が入った外部メモリメディアを接続して、ＴＰＭ暗号鍵を復元する。
このＴＰＭ暗号鍵のバックアップと復元との操作は、セキュリティの面で、情報処理装置のシステム管理者権限等の高い権限を持つユーザのみに実行可能とさせるのが一般的である。ユーザの識別／認証は情報処理装置が提供するユーザ認証機能によってＩＤとパスワード情報との検証によって行われる。情報処理装置内に保管されるユーザのパスワード情報は機密データであるため、ＴＰＭ暗号鍵によって暗号化した上で保管されている。
【０００４】
ここで、ＴＰＭの故障時に、故障したＴＰＭを新しいＴＰＭと交換した場合、新しいＴＰＭチップ内のＴＰＭ暗号鍵は故障前の古いＴＰＭ内のＴＰＭ暗号鍵とは異なる。そのため、古いＴＰＭ内のＴＰＭ暗号鍵で暗号化した情報処理装置内の機密データを復号化／利用できない。ユーザ認証機能が有効化された情報処理装置では、ＴＰＭ暗号鍵で暗号化したパスワードの復号化ができないため、システム管理者権限を持つユーザでも情報処理装置にログインできない。そのため、ＴＰＭ暗号鍵の復元の操作も実行できない問題があった。
特許文献１では、ＴＰＭ等のＨＳＭが交換された場合、セーフモードで起動するかユーザに選択させる情報処理装置が開示されている。前記情報処理装置は、セーフモードでの起動が選択された場合、セーフモードで再起動し、セーフモードにおいてユーザ認証機能の無効化が指示された場合、ユーザ認証機能を無効化し、再起動する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００４−２４０７６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら特許文献１の技術では、情報処理装置にセーフモードの機能を実装する必要がある。また、ユーザによるモードの切り替えや装置の再起動を繰り返す必要があり、復元の処理に時間がかかる問題があった。
本発明は、暗号鍵がチップの交換等で変更された場合においてユーザ認証機能が正常に利用できない場合でも速やかに装置を復元することを目的とする。
【課題を解決するための手段】
【０００７】
そこで、本発明は、ユーザ認証機能を有する情報処理装置であって、第１の暗号鍵を記憶するハードウェアセキュリティモジュールと、前記第１の暗号鍵が、機密データを暗号化するための第２の暗号鍵を復号することができるか否かを判定する判定手段と、前記判定手段による判定の結果、前記第１の暗号鍵が前記第２の暗号鍵を復号することができないと判定されたことに従って、前記ユーザ認証機能によるユーザ認証を行うことなく前記情報処理装置の使用を許可するように制御する制御手段と、を有する。
【発明の効果】
【０００８】
本発明によれば、暗号鍵がチップの交換等で変更された場合においてユーザ認証機能が正常に利用できない場合でも速やかに装置を復元することができる。
【図面の簡単な説明】
【０００９】
【図１】複合機のハードウェア構成の一例を示す図である。
【図２】ＴＰＭとＨＤＤとが扱う暗号鍵と機密データとの概略構成を示す図である。
【図３】ログイン処理の一例を示すフローチャートである。
【図４】ＴＰＭ暗号鍵バックアップ処理の一例を示すフローチャートである。
【図５】ＴＰＭ暗号鍵バックアップ機能画面の一例を示す図である。
【図６】ＴＰＭ暗号鍵リストア処理の一例を示すフローチャートである。
【図７】ＴＰＭ暗号鍵リストア機能画面の一例を示す図である。
【図８】実施形態１の起動処理の一例を示すフローチャートである。
【図９】実施形態２の起動処理の一例を示すフローチャートである。
【図１０】暗号鍵利用不可時機能制限設定画面の一例を示す図である。
【図１１】実施形態３の起動処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態について図面に基づいて説明する。
【００１１】
＜実施形態１＞
図１は、複合機１００のハードウェア構成の一例を示す図である。
コントロールユニット２００は、画像入力デバイスであるスキャナ２０１や画像出力デバイスであるプリンタ２０２と接続され、一方ではネットワーク１０１や公衆回線２０４と接続されることで、画像情報やデバイス情報の入出力を行う。
ＣＰＵ２０５は、複合機１００全体を制御するプロセッサである。ＲＡＭ２０６は、ＣＰＵ２０５が動作するためのシステムワークメモリであり、画像データやユーザ情報やパスワード等を一時記憶するためのメモリでもある。ＲＯＭ２０７は、ブートＲＯＭであり、システムのブートプログラムが格納されている。ＨＤＤ２０８は、ハードディスクドライブで、システムソフトウェアのプログラム、アプリケーションのプログラム、画像データを格納する。また、実施形態における後述のフローチャートに係るプログラムもＨＤＤ２０８に格納されている。
以下に示す実施形態のフローチャートの各ステップの処理は、ＣＰＵ２０５がＨＤＤ２０８に記憶されたプログラムを実行することにより実現される。但し、ＣＰＵ２０５以外のプロセッサ、又は、ＣＰＵ２０５と他のプロセッサとが協同してプログラムを実行することで、以下に示すフローチャートの各ステップの処理が実現されるようにしてもよい。
【００１２】
操作部インターフェース２０９は、タッチパネルを有した操作部２１０とのインターフェース部で、操作部２１０に表示する画像データを操作部２１０に対して出力する。また、操作部インターフェース２０９は、操作部２１０からユーザが入力した情報を、ＣＰＵ２０５に伝える役割をする。ネットワークインターフェース２１１は、ネットワーク１０１に接続し、情報の入出力を行う。ＭＯＤＥＭ２１２は、公衆回線２０４に接続され、情報の入出力を行う。ＳＲＡＭ２１３は、高速動作可能な不揮発性の記録媒体である。ＲＴＣ２１４は、リアルタイムクロックであり、コントロールユニット２００に電源が入っていない状態でも現在の時刻をカウントし続ける処理を行う。以上のデバイスがシステムバス２１５上に配置される。
Ｉｍａｇｅ  Ｂｕｓ  Ｉ／Ｆ２１６は、システムバス２１５と画像データを高速で転送する画像バス２１７とを接続し、データ構造を変換するバスブリッジである。画像バス２１７は、ＰＣＩバス又はＩＥＥＥ１３９４で構成される。画像バス２１７上には以下のデバイスが配置される。ＲＩＰ部２１８は、ラスターイメージプロセッサでありＰＤＬコードをビットマップイメージに展開する。デバイスＩ／Ｆ部２１９は、画像入出力デバイスであるスキャナ２０１やプリンタ２０２とコントロールユニット２００とを接続し、画像データの同期系／非同期系の変換を行う。スキャナ画像処理部２２０は、入力画像データに対し補正、加工、編集を行う。プリンタ画像処理部２２１は、プリント出力画像データに対して、プリンタの補正、解像度変換等を行う。ＴＰＭ２２２は、ＴＰＭ暗号鍵を提供する。ＵＳＢ接続部２２３は、外部ＵＳＢメモリメディアを接続し、データの入出力を行う。ＴＰＭ２２２は、ハードウェアセキュリティモジュールの一例である。
【００１３】
図２は、ＴＰＭ２２２とＨＤＤ２０８とが扱う暗号鍵と機密データとの概略構成を示す図である。図２の上部はＴＰＭ２２２の概略構成を示す。ＴＰＭ２２２には、ＴＰＭルート鍵２００１、ＴＰＭ暗号鍵２００２、ＴＰＭレジスタ２００３が記録されている。図２の下部はＨＤＤ２０８の概略構成を示す。ＨＤＤ２０８には、デバイス暗号鍵２０１１、暗号鍵Ｂｌｏｂ２０１２、暗号化済みデータ２０１３が記録されている。
本実施形態では、複合機１００が扱う機密データはデバイス暗号鍵２０１１によって暗号化される。機密データは複合機１００の画像データやアドレス帳等の個人データだけでなく、複合機１００のアプリケーションソフトが扱う個々の暗号鍵や証明書、ユーザ認証機能が持つパスワードデータベース等が挙げられるが、特に限定はしない。
デバイス暗号鍵２０１１はＴＰＭ暗号鍵２００２によって暗号化される。更にＴＰＭ暗号鍵２００２はＴＰＭルート鍵２００１によって暗号化される。このＴＰＭルート鍵２００１は外部から書き換え、削除、取り出しは不可能であり、暗号化のための利用のみしかできないものとする。この一連の暗号鍵のチェーンにより、耐タンパー性をもつ強固なセキュリティが実現される。また、工場出荷時等、ＴＰＭ２２２を初めて複合機１００に接続した場合、ＴＰＭ２２２内にはＴＰＭ暗号鍵２００２は存在せず、複合機１００の初回起動時にＣＰＵ２０５が暗号鍵を生成し、ＴＰＭ暗号鍵としてＴＰＭ２２２に入力する。これにより、ＴＰＭ２２２内でＴＰＭ暗号鍵２００２がＴＰＭルート鍵２００１によって暗号化され、紐づけられる。このときＣＰＵ２０５がＴＰＭ暗号鍵２００２をＴＰＭ２２２に入力した際、ＴＰＭレジスタ２００３の情報を保存し、暗号鍵Ｂｌｏｂ２０１２を取得する。これらはＴＰＭ暗号鍵の正当性検証に扱われるもので、後述の図８等の処理の中で説明する。
【００１４】
なお、これらの本実施形態における鍵の構成はあくまで一例であり、特に限定はしない。例えばＴＰＭ内のＴＰＭルート鍵は存在せず、ＴＰＭ暗号鍵のみを格納するようにしてもよいし、ＴＰＭルート鍵やＴＰＭ暗号鍵とは別の暗号鍵によってより強固にＴＰＭ内の暗号鍵を保護してもよい。また、ＨＤＤ内の機密データはＴＰＭ暗号鍵で暗号化されたデバイス暗号鍵で暗号化されるのではなく、ＴＰＭ暗号鍵を用いて直接、暗号化されるようにしてもよい。
【００１５】
次に、本実施形態における複合機１００のＴＰＭ２２２を利用したユーザ認証機能について図３を使用して説明する。
複合機１００のユーザ認証機能におけるログイン処理は図３のＳ３０１から開始される。
Ｓ３０１において、ＣＰＵ２０５は、操作部２１０にログイン画面を表示させる。次にＣＰＵ２０５は、Ｓ３０２に進む。
Ｓ３０２において、ＣＰＵ２０５は、操作部２１０を介してユーザからのユーザ情報とパスワードとの入力を受け付ける。入力されたユーザ情報とパスワードとはＲＡＭ２０６に保持される。本実施形態ではユーザ情報とパスワードとを一時記憶するためにＲＡＭ２０６を使用しているが、これはＨＤＤ２０８等、別の装置でもよく、限定はしない。後述の実施形態に関しても同様に限定はしない。本実施形態では、ＣＰＵ２０５は、ユーザ認証管理されたユーザ情報に紐づくパスワードをデバイス暗号鍵２０１１で暗号化してＨＤＤ２０８に記憶するものとする。
【００１６】
Ｓ３０３において、ＣＰＵ２０５は、入力されたユーザ情報に紐づき暗号化済みパスワードをＨＤＤ２０８から取得し、復号化した上で、入力されたパスワードと比較し、正しいパスワードか否かを検証する。そして、ＣＰＵ２０５は、Ｓ３０４に進む。本実施形態では、ＣＰＵ２０５による暗号化済みパスワードの復号化はデバイス暗号鍵２０１１によって行う。またデバイス暗号鍵２０１１はＴＰＭ２２２内のＴＰＭ暗号鍵２００２によって暗号化されている。ＣＰＵ２０５は、ＴＰＭ２２２に暗号化されたデバイス暗号鍵２０１１を入力することでＴＰＭ暗号鍵２００２によって復号化されたデバイス暗号鍵を取得し、利用する。更にこのＴＰＭ暗号鍵２００２はＴＰＭルート鍵２００１によって暗号化されており、ＣＰＵ２０５は、ＴＰＭ暗号鍵２００２を利用する際にはＴＰＭルート鍵２００１によってＴＰＭ暗号鍵２００２を復号化する。
Ｓ３０４において、ＣＰＵ２０５は、検証の結果に基づき、入力されたパスワードが正しいか否かを判定する。ＣＰＵ２０５は、入力されたパスワードが正しいと判定した場合（Ｓ３０４においてＹＥＳ）、Ｓ３０５に進み、入力されたパスワードが正しくないと判定した場合（Ｓ３０４においてＮＯ）、操作部２１０にエラーを表示させ、Ｓ３０２に戻る。
Ｓ３０５において、ＣＰＵ２０５は、複合機１００へのログインを許可する。次にＣＰＵ２０５は、Ｓ３０６に進む。
Ｓ３０６において、ＣＰＵ２０５は、ログインしたユーザ情報をＲＡＭ２０６に保持する。
【００１７】
以上が複合機１００のユーザ認証機能におけるログイン処理の流れである。ログイン処理終了後、ユーザは、複合機１００が提供する機能の利用が可能となる。
なお、このユーザ認証機能の有効／無効の設定情報はＳＲＡＭ２１３によって保持され、システム管理者権限を持つユーザによる操作部２１０からの指示を受け、ＣＰＵ２０５によって取得、変更される。
【００１８】
次に、本実施形態におけるＴＰＭ２２２内のＴＰＭ暗号鍵２００２のＴＰＭ暗号鍵バックアップ機能について説明する。
本実施形態におけるＴＰＭ暗号鍵バックアップ機能の処理は図４のＳ４０１から開始される。
Ｓ４０１において、ＣＰＵ２０５は、ＳＲＡＭ２１３から複合機１００のユーザ認証機能の設定情報を取得する。そして、ＣＰＵ２０５は、Ｓ４０２に進む。
Ｓ４０２において、ＣＰＵ２０５は、取得したユーザ認証機能の設定情報が有効か否かを判定する。例えば、ＣＰＵ２０５は、設定情報のうち、ユーザ認証機能に該当する項目にＯＮ（例えば、１）が設定されていた場合、有効であると判定し、ＯＦＦ（例えば、０）が設定されていた場合、無効であると判定する。
ＣＰＵ２０５は、ユーザ認証機能は有効であると判定した場合（Ｓ４０２においてＹＥＳ）、Ｓ４０３に進み、ユーザ認証機能は無効であると判定した場合（Ｓ４０２においてＮＯ）、Ｓ４０５に進む。
Ｓ４０３において、ＣＰＵ２０５は、ログインユーザのＩＤやユーザ権限情報等のユーザ情報を取得する。そして、ＣＰＵ２０５は、Ｓ４０４に進む。
【００１９】
Ｓ４０４において、ＣＰＵ２０５は、取得したユーザ情報に基づきログインユーザがシステム管理者権限を持つか否かを判定する。ＣＰＵ２０５は、ユーザ情報のユーザ権限情報がシステム管理者権限を有する旨を示している場合はシステム管理者権限を持つと判定し、ユーザ情報のユーザ権限情報がシステム管理者権限を有する旨を示していない場合はシステム管理者権限を持たないと判定する。
ＣＰＵ２０５は、ログインユーザがシステム管理者権限を持つと判定した場合（Ｓ４０４においてＹＥＳ）、Ｓ４０５に進む。一方、ＣＰＵ２０５は、ログインユーザがシステム管理者権限を持たないと判定した場合（Ｓ４０４においてＮＯ）、ＴＰＭ暗号鍵バックアップ機能の処理を終了する。即ち、ＣＰＵ２０５は、システム管理者権限を持たないログインユーザに対して、ＴＰＭ暗号鍵バックアップ機能を利用させない。
本実施形態ではシステム管理者権限を持ったログインユーザのみがＴＰＭ暗号鍵のバックアップ機能を利用可能としている。但し、ＣＰＵ２０５は、システム管理者権限ではなく、予め取り決めた個別ユーザＩＤに限定する等、他の条件でＴＰＭ暗号鍵のバックアップ機能の利用者を制限してもよい。
【００２０】
Ｓ４０５において、ＣＰＵ２０５は、操作部２１０にＴＰＭ暗号鍵バックアップ機能画面５０１を表示する。そして、ＣＰＵ２０５は、Ｓ４０６に進む。
図５は、ＴＰＭ暗号鍵バックアップ機能画面５０１の一例を示す図である。ＴＰＭ暗号鍵バックアップ機能画面５０１は、バックアップ時に暗号化するためのＴＰＭ暗号鍵バックアップパスワード入力枠５０２、バックアップ実行ボタン５０３、バックアップキャンセルボタン５０４を有し、操作部２１０から操作を受け付ける。
Ｓ４０６において、ＣＰＵ２０５は、操作部２１０を介してＴＰＭ暗号鍵のバックアップ時のパスワードの入力を受け付ける。ＣＰＵ２０５は、操作部２１０から入力されたパスワードを"＊"文字でマスクしてＴＰＭ暗号鍵バックアップパスワード入力枠５０２に表示する。そして、ＣＰＵ２０５は、Ｓ４０７に進む。
【００２１】
Ｓ４０７において、ＣＰＵ２０５は、ＴＰＭ暗号鍵のバックアップ指示を受信したか否かを判定する。このとき、ＣＰＵ２０５は、操作部２１０を介したバックアップ実行ボタン５０３の押下によって入力されたパスワードと共にバックアップ実行指示を受け付ける。
ＣＰＵ２０５は、バックアップ指示を受信したと判定した場合（Ｓ４０７においてＹＥＳ）、Ｓ４０８に進み、バックアップ指示を受信していないと判定した場合（Ｓ４０７においてＮＯ）、Ｓ４０６に戻る。
Ｓ４０８において、ＣＰＵ２０５は、入力されたパスワードを基にＴＰＭ暗号鍵を暗号化する。本実施形態においてこのパスワードを使った暗号化はＰＫＣＳ＃１２（ｐｕｂｌｉｃ  Ｋｅｙ  Ｃｒｙｐｔｏｇｒａｐｈｙ  Ｓｔａｎｄａｒｄ  ＃１２）フォーマットで行うものとする。次にＣＰＵ２０５は、Ｓ４０９に進む。
【００２２】
Ｓ４０９において、ＣＰＵ２０５は、暗号化したＴＰＭ暗号鍵をバックアップするための出力ファイル形式に整形しアーカイブする。本実施形態では後述のＴＰＭ暗号鍵のリストアを行う際に、暗号化したＴＰＭ暗号鍵のファイルであることを識別するために、ＣＰＵ２０５は、出力するファイルに識別ヘッダを付け、アーカイブする。なお、このデータを本実施形態ではＴＰＭ暗号鍵バックアップデータと称する。次にＣＰＵ２０５は、Ｓ４１０に進む。
Ｓ４１０において、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されているか否かを確認する。そして、ＣＰＵ２０５は、Ｓ４１１に進む。
Ｓ４１１において、ＣＰＵ２０５は、Ｓ４１０の確認の結果、ＵＳＢ接続部２２３にＵＳＢメモリが接続されているか否かを判定する。ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていると判定した場合（Ｓ４１１においてＹＥＳ）、Ｓ４１３に進む。一方、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていないと判定した場合（Ｓ４１１においてＮＯ）、Ｓ４１２に進む。
【００２３】
Ｓ４１２において、ＣＰＵ２０５は、操作部２１０にＵＳＢメモリ接続無しの旨を表示する。そして、ＣＰＵ２０５は、Ｓ４０５に進む。
Ｓ４１３において、ＣＰＵ２０５は、ＵＳＢメモリにアーカイブ化したＴＰＭ暗号鍵バックアップデータを書き込む。そして、ＣＰＵ２０５は、Ｓ４１４に進む。
Ｓ４１４において、ＣＰＵ２０５は、ＴＰＭ暗号鍵バックアップデータのＵＳＢメモリへの書き込みが成功したか否かを確認する。ＣＰＵ２０５は、ＴＰＭ暗号鍵バックアップデータのＵＳＢメモリへの書き込みが成功したと判定した場合（Ｓ４１４においてＹＥＳ）、Ｓ４１６に進む。一方、ＣＰＵ２０５は、ＴＰＭ暗号鍵バックアップデータのＵＳＢメモリへの書き込みが成功しなかったと判定した場合（Ｓ４１４においてＮＯ）、Ｓ４１５に進む。
Ｓ４１５において、ＣＰＵ２０５は、操作部２１０に書き込みエラーの旨を表示する。そして、ＣＰＵ２０５は、Ｓ４０５に進む。
Ｓ４１６において、ＣＰＵ２０５は、操作部２１０にＴＰＭ暗号鍵のバックアップ完了の旨を表示する。そして、ＣＰＵ２０５は、ＴＰＭ暗号鍵バックアップ処理を終了する。
以上が、ＴＰＭ暗号鍵バックアップ処理の流れである。
【００２４】
次に、本実施形態におけるＴＰＭ２２２へのＴＰＭ暗号鍵リストア機能について説明する。
本実施形態におけるＴＰＭ暗号鍵リストア機能の処理は図６のＳ４０１から開始される。
Ｓ６０１において、ＣＰＵ２０５は、ＳＲＡＭ２１３から複合機１００のユーザ認証機能の設定情報を取得する。そして、ＣＰＵ２０５は、Ｓ６０２に進む。
Ｓ６０２において、ＣＰＵ２０５は、取得したユーザ認証機能の設定情報が有効か否かを判定する。例えば、ＣＰＵ２０５は、設定情報のうち、ユーザ認証機能に該当する項目にＯＮ（例えば、１）が設定されていた場合、有効であると判定し、ＯＦＦ（例えば、０）が設定されていた場合、無効であると判定する。
ＣＰＵ２０５は、ユーザ認証機能は有効であると判定した場合（Ｓ６０２においてＹＥＳ）、Ｓ６０３に進み、ユーザ認証機能は無効であると判定した場合（Ｓ６０２においてＮＯ）、Ｓ６０５に進む。
Ｓ６０３において、ＣＰＵ２０５は、ログインユーザのＩＤやユーザ権限情報等のユーザ情報を取得する。そして、ＣＰＵ２０５は、Ｓ６０４に進む。
【００２５】
Ｓ６０４において、ＣＰＵ２０５は、取得したユーザ情報に基づきログインユーザがシステム管理者権限を持つか否かを判定する。ＣＰＵ２０５は、ユーザ情報のユーザ権限情報がシステム管理者権限を有する旨を示している場合はシステム管理者権限を持つと判定し、ユーザ情報のユーザ権限情報がシステム管理者権限を有する旨を示していない場合はシステム管理者権限を持たないと判定する。
ＣＰＵ２０５は、ログインユーザがシステム管理者権限を持つと判定した場合（Ｓ６０４においてＹＥＳ）、Ｓ６０５に進む。一方、ＣＰＵ２０５は、ログインユーザがシステム管理者権限を持たないと判定した場合（Ｓ６０４においてＮＯ）、ＴＰＭ暗号鍵リストア機能の処理を終了する。即ち、ＣＰＵ２０５は、システム管理者権限を持たないログインユーザに対して、ＴＰＭ暗号鍵リストア機能を利用させない。
本実施形態ではシステム管理者権限を持ったログインユーザのみがＴＰＭ暗号鍵のリストア機能を利用可能としている。但し、ＣＰＵ２０５は、システム管理者権限ではなく、予め取り決めた個別ユーザＩＤに限定する等、他の条件でＴＰＭ暗号鍵のリストア機能の利用者を制限してもよい。
【００２６】
Ｓ６０５において、ＣＰＵ２０５は、操作部２１０にＴＰＭ暗号鍵リストア機能画面７０１を表示する。そして、ＣＰＵ２０５は、Ｓ６０６に進む。
図７は、ＴＰＭ暗号鍵リストア機能画面７０１の一例を示す図である。ＴＰＭ暗号鍵リストア機能画面７０１は、ＴＰＭ暗号鍵リストアパスワード入力枠７０２、リストア実行ボタン７０３、リストアキャンセルボタン７０４を有し、操作部２１０から操作を受け付ける。
Ｓ６０６において、ＣＰＵ２０５は、操作部２１０を介してＴＰＭ暗号鍵のリストア時のパスワードの入力を受け付ける。ＣＰＵ２０５は、操作部２１０から入力されたパスワードは"＊"文字でマスクしてＴＰＭ暗号鍵リストアパスワード入力枠７０２に表示する。そして、ＣＰＵ２０５は、Ｓ６０７に進む。
Ｓ６０７において、ＣＰＵ２０５は、ＴＰＭ暗号鍵のリストア指示を受信したか否かを判定する。このとき、ＣＰＵ２０５は、操作部２１０を介したリストア実行ボタン７０３の押下によって入力されたパスワードと共にリストア実行指示を受け付ける。
ＣＰＵ２０５は、リストア指示を受信したと判定した場合（Ｓ６０７においてＹＥＳ）、Ｓ６０８に進み、リストア指示を受信していないと判定した場合（Ｓ６０７においてＮＯ）、Ｓ６０６に戻る。
【００２７】
Ｓ６０８において、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されているかを確認する。次にＣＰＵ２０５は、Ｓ６０９に進む。
Ｓ６０９において、ＣＰＵ２０５は、Ｓ６０８の確認の結果、ＵＳＢ接続部２２３にＵＳＢメモリが接続されているか否かを判定する。ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていると判定した場合（Ｓ６０９においてＹＥＳ）、Ｓ６１１に進む。一方、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていないと判定した場合（Ｓ６０９においてＮＯ）、Ｓ６１０に進む。
Ｓ６１０において、ＣＰＵ２０５は、操作部２１０にＵＳＢメモリ接続無しの旨を表示する。そして、ＣＰＵ２０５は、Ｓ６０５に進む。
Ｓ６１１において、ＣＰＵ２０５は、ＵＳＢメモリからＴＰＭ暗号化バックアップデータを検索する。次に、ＣＰＵ２０５は、Ｓ６１２に進む。
【００２８】
Ｓ６１２において、ＣＰＵ２０５は、検索の結果に基づき、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが存在するか否かを判定する。なお、本実施形態では、ＣＰＵ２０５は、ＴＰＭ暗号化バックアップデータに含まれる識別ヘッダの情報を基にＴＰＭ暗号鍵バックアップデータがＵＳＢメモリに存在するか否かを判定するものとする。ＣＰＵ２０５は、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが存在すると判定した場合（Ｓ６１２においてＹＥＳ）、Ｓ６１４に進む。一方、ＣＰＵ２０５は、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが存在しないと判定した場合（Ｓ６１２においてＮＯ）、Ｓ６１３に進む。
Ｓ６１３において、ＣＰＵ２０５は、操作部２１０にＴＰＭ暗号化バックアップデータのファイル無しエラーの旨を表示する。そして、ＣＰＵ２０５は、Ｓ６０５に進む。
Ｓ６１４において、ＣＰＵ２０５は、Ｓ６０６で入力されたパスワードを基に、ＴＰＭ暗号鍵バックアップデータを復号化する。そして、ＣＰＵ２０５は、Ｓ６１５に進む。
Ｓ６１５において、ＣＰＵ２０５は、ＴＰＭ２２２に復号化したＴＰＭ暗号鍵を入力し、ＴＰＭ２２２内でＴＰＭ暗号鍵を利用可能とする。本実施形態では、この入力されたＴＰＭ暗号鍵はＴＰＭ２２２内のＴＰＭルート鍵２００１に暗号化して紐づけられるものとする。これによってＴＰＭが交換となった場合においてもＨＤＤ２０８内の暗号化済みデータ２０１３を復号化可能とし、かつ、ＴＰＭルート鍵によって強固にＴＰＭ暗号鍵を守ることができる。そして、ＣＰＵ２０５は、Ｓ６１６に進む。
【００２９】
Ｓ６１６において、ＣＰＵ２０５は、ＴＰＭ２２２へのＴＰＭ暗号鍵の入力は成功したかを確認する。ＣＰＵ２０５は、ＴＰＭ２２２がＣＰＵ２０５に対して返すＯＫ／ＮＧ情報を基に、ＴＰＭ２２２へのＴＰＭ暗号鍵の入力が成功したか否かを判定する。
ＣＰＵ２０５は、ＴＰＭ２２２へのＴＰＭ暗号鍵の入力が成功したと判定した場合（Ｓ６１６においてＹＥＳ）、Ｓ６１８に進む。一方、ＣＰＵ２０５は、ＴＰＭ２２２へのＴＰＭ暗号鍵の入力が成功しなかったと判定した場合（Ｓ６１６においてＮＯ）、Ｓ６１７に進む。
Ｓ６１７において、ＣＰＵ２０５は、操作部２１０にリストア失敗の旨の表示を行う。そしてＣＰＵ２０５は、Ｓ６０５に進む。
Ｓ６１８において、ＣＰＵ２０５は、操作部２１０にリストア成功の旨の表示を行う。そしてＣＰＵ２０５は、ＴＰＭ暗号鍵リストア機能の処理を終了する。
【００３０】
本実施形態では、ＴＰＭ２２２へのＴＰＭ暗号鍵の入力が成功した場合、ＣＰＵ２０５は、ＴＰＭ２２２から暗号鍵Ｂｌｏｂ２０１２を受信し、ＳＲＡＭ２１３に保管するものとする。更にＴＰＭ２２２は、暗号鍵Ｂｌｏｂ２０１２の情報をＴＰＭレジスタ２００３に保存する。この暗号鍵Ｂｌｏｂ２０１２とＴＰＭレジスタ２００３との情報は、ＴＰＭ暗号鍵の正当性検証のために使用される。処理の詳細は、後述の図８にて説明を行う。
以上が、ＴＰＭ暗号鍵リストア処理の流れである。
【００３１】
次に、本実施形態における複合機１００の起動時のＴＰＭ暗号鍵の正当性検証処理とユーザ認証機能設定切り替え処理とについて、説明する。
本実施形態における複合機１００の起動時のＴＰＭ暗号鍵正当性検証処理とユーザ認証機能設定切り替え処理とは図８のＳ８０１から開始される。なお、この複合機１００の起動は、電源供給断又はスリープの状態から起動の指示を操作部２１０又はネットワーク１０１から指示されることによってなされる。つまり、この指示によってＣＰＵ２０５がＲＯＭ２０７からシステムのブートプログラムを読み出し、実行し、更にＨＤＤ２０８のシステムソフトウェアやアプリケーションのプログラムを読み出し、実行する。このことにより、複合機１００が持つ機能をユーザに提供可能となる。
【００３２】
Ｓ８０１において、ＣＰＵ２０５は、暗号鍵の正当性を検証する。本実施形態では、ＴＰＭ暗号鍵２００２とデバイス暗号鍵２０１１との正当性を検証の対象とする。正当性の検証とは、ＴＰＭ暗号鍵２００２はデバイス暗号鍵２０１１を暗号化した鍵であり、デバイス暗号鍵２０１１を正しく復号化でき、利用可能かを確認するものとする。前述のとおり、ＴＰＭ２２２のＴＰＭ暗号鍵２００２はＣＰＵ２０５から入力され、ＴＰＭルート鍵２００１に暗号化される。このときＣＰＵ２０５は、ＴＰＭ２２２に入力時にＴＰＭ２２２から暗号鍵Ｂｌｏｂ２０１２を取得する。暗号鍵の正当性の確認はＴＰＭ２２２にこの暗号鍵Ｂｌｏｂ２０１２を入力することによって行われる。暗号鍵Ｂｌｏｂ２０１２の情報はＴＰＭ２２２内のＴＰＭレジスタ２００３に格納されており、ＴＰＭ２２２は、入力された暗号鍵Ｂｌｏｂ２０１２の情報とＴＰＭレジスタ２００３の情報とを比較検証する。このことで、ＴＰＭ２２２は、ＴＰＭ２２２内のＴＰＭ暗号鍵２００２とデバイス暗号鍵２０１１とが紐づいていることを確認する。なお、この暗号鍵の正当性の確認の処理は本実施形態における例であり、この処理に限らないものとする。例えば、ＴＰＭレジスタ２００３内にデバイス暗号鍵自体のコピーを保持しており、ＣＰＵ２０５がデバイス暗号鍵２０１１自体を入力し、ＴＰＭレジスタ内のデバイス暗号鍵と比較する。このことでＣＰＵ２０５がＨＤＤ２０８内のデバイス暗号鍵とＴＰＭ２２２内のＴＰＭ暗号鍵とが紐づいていることを確認してもよい。
そしてＣＰＵ２０５は、Ｓ８０２に進む。
Ｓ８０１の処理は、ＴＰＭ暗号鍵２００２の利用可否を検証する検証処理の一例である。
【００３３】
Ｓ８０２において、ＣＰＵ２０５は、Ｓ８０１の暗号鍵の正当性を検証の結果に基づいて、暗号鍵の正常利用の可否かを判定する。ＣＰＵ２０５は、暗号鍵が正常利用可能であると判定した場合（Ｓ８０２においてＹＥＳ）、Ｓ８０３に進み、暗号鍵が正常利用可能でないと判定した場合（Ｓ８０２においてＮＯ）、Ｓ８０６に進む。
Ｓ８０３において、ＣＰＵ２０５は、ＳＲＡＭ２１３からユーザ認証機能の設定情報を取得する。そして、ＣＰＵ２０５は、Ｓ８０４に進む。
Ｓ８０４において、ＣＰＵ２０５は、取得したユーザ認証機能の設定情報に基づき、ユーザ認証機能の設定は有効であるか否かを判定する。
Ｓ８０４において、ＣＰＵ２０５は、取得したユーザ認証機能の設定情報が有効か否かを判定する。例えば、ＣＰＵ２０５は、設定情報のうち、ユーザ認証機能に該当する項目にＯＮ（例えば、１）が設定されていた場合、有効であると判定し、ＯＦＦ（例えば、０）が設定されていた場合、無効であると判定する。
ＣＰＵ２０５は、ユーザ認証機能は有効であると判定した場合（Ｓ８０４においてＹＥＳ）、Ｓ８０５に進み、ユーザ認証機能は無効であると判定した場合（Ｓ８０４においてＮＯ）、Ｓ８１０に進む。
Ｓ８０５において、ＣＰＵ２０５は、ユーザ認証機能有りで起動する。そして、ＣＰＵ２０５は、起動処理を完了する。
これらＳ８０３からＳ８０４、Ｓ８０５の処理は、複合機１００の暗号鍵が正常に利用可能な状態での通常起動の処理を示すものである。
【００３４】
一方、Ｓ８０６において、ＣＰＵ２０５は、操作部２１０に鍵不整合状態の旨を表示する。そしてＣＰＵ２０５は、Ｓ８０７に進む。
Ｓ８０７において、ＣＰＵ２０５は、ＳＲＡＭ２１３からユーザ認証機能の設定情報を取得する。そしてＣＰＵ２０５は、Ｓ８０８に進む。
Ｓ８０８において、ＣＰＵ２０５は、取得したユーザ認証機能の設定情報に基づき、ユーザ認証機能の設定は有効であるか否かを判定する。
ＣＰＵ２０５は、ユーザ認証機能は有効であると判定した場合（Ｓ８０８においてＹＥＳ）、Ｓ８０９に進み、ユーザ認証機能は無効であると判定した場合（Ｓ８０８においてＮＯ）、Ｓ８１０に進む。
Ｓ８０９において、ＣＰＵ２０５は、ＳＲＡＭ２１３の設定情報のユーザ認証機能を無効にする。例えば、ＣＰＵ２０５は、設定情報のうち、ユーザ認証機能に該当する項目をＯＦＦ（例えば、０）に設定する。
Ｓ８１０において、ＣＰＵ２０５は、ユーザ認証機能無しで起動する。そして、ＣＰＵ２０５は、起動処理を完了する。
【００３５】
本実施形態では、前述のとおり、ユーザ認証機能で扱われるパスワードはＨＤＤ２０８内のデバイス暗号鍵２０１１で暗号化される。そしてそのデバイス暗号鍵２０１１はＴＰＭ２２２のＴＰＭ暗号鍵２００２によって暗号化される。そのため、ＴＰＭが故障等で交換された場合、交換後のＴＰＭ暗号鍵と既存のＨＤＤ内のデバイス暗号鍵が不整合状態となり、デバイス暗号鍵が正常に利用できず、ユーザ認証機能のパスワードも正常に復号化できない。そのため、図６の説明のとおりユーザ認証機能の有効時では、ユーザ認証が必須であるＴＰＭリストア機能の利用が不可となる。したがって前述のＳ８０８〜Ｓ８１０の処理によってユーザ認証機能を無効化して起動することにより、ＴＰＭリストア機能を利用可能としている。
以上が、ユーザ認証機能が有効な情報処理装置において、ＴＰＭ等のＨＳＭ内の暗号鍵が正常に利用できず、情報処理装置のユーザ認証機能が正しく利用できない場合、ユーザ認証を無効にすることでリストア機能を提供する制御の説明である。
この制御により、セーフモード等の第２のＯＳモードを持たない情報処理装置においても、暗号鍵が正常利用できない場合に普及する手段を提供することができ、機器のサービス性や利便性を向上できる。
【００３６】
＜実施形態２＞
次に、実施形態２について説明する。
実施形態１では、ユーザ認証管理された複合機１００において、暗号鍵が正常に利用できないためにユーザ認証機能が利用不可の場合、ユーザ認証機能を無効にすることでＴＰＭ暗号鍵リストアを提供していた。しかし、実施形態１の構成では、ユーザ認証機能を無効にしたため、ユーザは、認証なしに、ＴＰＭ暗号鍵リストア機能のみでなく、コピー機能やＥ−ｍａｉｌ送信機能、ＦＡＸ機能、ネットワーク通信機能等を利用可能であった。
実施形態１では、ＴＰＭを交換してＴＰＭ暗号鍵をリストアする作業は一連の流れで行われるため、ＴＰＭ交換後にＴＰＭ暗号鍵をリストアせず、そのまま複合機１００をどのユーザにも利用させることは想定していない。
しかしながら、セキュリティの観点でＥ−ｍａｉｌ送信やネットワーク通信機能等の外部機器と連携する機能を制限したい等の管理者の運用が求められる場合もある。
実施形態２では、暗号鍵が正常に利用できずにユーザ認証機能が利用不可となる場合、ユーザ認証機能を無効にしてＴＰＭ暗号鍵リストア機能を利用可能とする際に、制限対象となる機能については利用できないようにする制御について説明する。
【００３７】
実施形態２における、複合機１００の起動時のＴＰＭ暗号鍵の正当性検証処理とユーザ認証機能設定切り替え処理、機能制限処理とについて、説明する。
なお、本実施形態において、複合機１００の構成、ＴＰＭ２２２の構成、ログイン処理、ＴＰＭ暗号鍵バックアップ処理、ＴＰＭ暗号鍵リストア処理等、本実施形態で説明しない部分については、実施形態１と同じである。
本実施形態における図９の処理は、実施形態１の図８の処理に対し、Ｓ９１１〜Ｓ９１３の処理が追加される。この追加される処理は、ユーザ認証機能の無効後に機能制限設定情報に応じて対象機能を無効化する制御に関するものであり、詳細は後述する。本実施形態における、図９で示すフローチャートのＳ９０１〜Ｓ９１０処理は、実施形態１の図８のフローチャートで説明したＳ８０１〜Ｓ８１０の処理と同様である。図３、図４、図６の処理は実施形態１と同じである。
以下、実施形態２において実施形態１から変更になる部分を説明する。
【００３８】
Ｓ９０９の処理の後、又はＳ９０４においてＮＯと判定された場合、ＣＰＵ２０５は、Ｓ９１１に進む。
Ｓ９１１において、ＣＰＵ２０５は、ＳＲＡＭ２１３から暗号鍵利用不可時機能制限設定情報を取得する。そしてＣＰＵ２０５は、Ｓ９１２に進む。
図１０は、実施形態２における暗号鍵利用不可時機能制限設定画面１００１の一例を示す図である。暗号鍵利用不可時機能制限設定画面１００１は、操作部２１０に表示される。暗号鍵利用不可時機能制限設定画面１００１は、複合機１００の各機能の制限有無設定１０１１〜１０１５、機能制限設定反映実行ボタン１０２１、機能制限設定反映キャンセルボタン１０２２を持つ。本実施形態では、複合機１００の機能として、コピー機能、ストレージ保存機能、Ｅ−ｍａｉｌ送信機能、ＦＡＸ機能、リモートＵＩ機能を持つものとし、それぞれ制限有無設定１０１１〜１０１５で有効、無効を設定可能とする。ユーザは、それぞれのチェックボックスに操作部２１０を介してチェックを入れることで、各機能の制限有無設定を切り替えることができる。更にＣＰＵ２０５は、操作部２１０から機能制限設定反映実行ボタン１０２１の押下を受信すると、ＳＲＡＭ２１３にチェックボックスでチェックされた設定に係る設定情報を書き込む。ＣＰＵ２０５は、このチェックボックスにチェックがされた機能のユーザへの提供を、暗号鍵が利用不可となりユーザ認証設定情報が有効から無効に切り替わった際に、無効とする。
【００３９】
図１０では、外部機器に送受信を行うＥ−ｍａｉｌ送信機能制限設定情報１０１３、ＦＡＸ機能制限設定情報１０１４、リモートＵＩ機能制限設定情報１０１５にチェックが入り、機能制限の対象となる例を示している。本実施形態における複合機１００の機能や、機能制限の対象、設定情報の粒度についてはあくまで例であり、特に限定はしない。例えばチェックボックスが機能毎に分かれているのではなく、チェックボックスを１つとし、予め対象となる複数の機能を一度に機能制限の対象にしてもよい。又はＴＰＭ暗号鍵リストア機能以外のシステム管理者が操作可能な機能や設定を制限したり、ゲストユーザでは操作不可能な機能や設定を制限したりしてもよい。
例えば、ＣＰＵ２０５は、チェックボックスにチェックがされた機能に対しては、その機能に該当する項目にＯＮ（例えば、１）を暗号鍵利用不可時機能制限設定情報に記載する。
【００４０】
Ｓ９１２において、ＣＰＵ２０５は、ＳＲＡＭ２１３から取得した暗号鍵利用不可時機能制限設定情報を確認し、制限対象となる機能の設定は有効か否かを判定する。即ち、ＣＰＵ２０５は、暗号鍵利用不可時機能制限設定情報に基づいて、機能の提供を制限する旨の設定がなされている機能があるか否かを判定する。
例えば、ＣＰＵ２０５は、取得した暗号鍵利用不可時機能制限設定情報に記載されている各機能に対応する項目にＯＮ（例えば、１）が設定されているものが存在した場合、制限対象となる機能の設定は有効であると判定する。
ＣＰＵ２０５は、制限対象となる機能の設定は有効であると判定すると（Ｓ９１２においてＹＥＳ）、Ｓ９１３に進み、制限対象となる機能の設定は有効でないと判定すると（Ｓ９１２においてＮＯ）、Ｓ９１０に進む。
Ｓ９１３において、ＣＰＵ２０５は、対象となる機能の利用を制限する。例えば、ＣＰＵ２０５は、利用を制限する機能が操作部２１０からユーザが操作する機能の場合、機能のＵＩボタンをマスクし、リモートＵＩ機能等、ネットワークを利用する機能の場合、通信のリクエストを遮断する。Ｓ９１３の処理は、対象機能を無効にする機能無効処理の一例である。
【００４１】
このＳ９１１〜Ｓ９１３の処理によって、暗号鍵が正常に利用できず、ユーザ認証機能を無効にしてＴＰＭ暗号鍵リストア機能を利用可能とする際に、制限対象となる機能の利用を無効にすることができる。これによりＴＰＭ暗号鍵リストア機能を利用可能としつつ、機器の管理者がよりセキュアな機能制限運用を行うことができる。
以上が、実施形態２の制御の説明である。
【００４２】
＜実施形態３＞
次に、実施形態３について説明する。
実施形態１及び２では、ユーザ認証管理された複合機１００において、暗号鍵が正常に利用できずにユーザ認証機能が利用不可となる場合、起動時に自動的にユーザ認証機能を無効にし、ＴＰＭ暗号鍵リストア機能をユーザに利用可能としていた。
しかしながら、ＴＰＭ暗号鍵リストア機能は、ＴＰＭ暗号鍵バックアップデータが格納されたＵＳＢメモリ等の外部メモリメディアが機器に接続された際のみに実行可能である。実施形態２のように暗号鍵が利用できない場合に機器の特定の機能を制限するのであれば、より厳密なセキュリティの運用として、ＴＰＭ暗号鍵リストア機能が実行できる条件のみユーザ認証機能を無効にする等の運用が求められる場合もある。
実施形態３では、暗号鍵が正常に利用できずにユーザ認証機能が利用不可となる場合、ＴＰＭ暗号鍵バックアップデータが格納されたＵＳＢメモリの接続を確認した場合のみ、ユーザ認証を無効にしてＴＰＭ暗号鍵リストア機能を利用可能とする。
【００４３】
以下、実施形態３において実施形態２から変更になる部分を説明する。
本実施形態における図１１の処理は、実施形態２の図９の処理に対し、Ｓ１１１４〜Ｓ１１１６の処理が追加される。この追加される処理は、ＴＰＭ暗号鍵バックアップデータが入ったＵＳＢメモリの接続に応じてユーザ認証機能を無効してＴＰＭ暗号鍵リストア機能を利用可能とする制御に関するものであり、詳細は後述する。本実施形態における、図１１で示すフローチャートのＳ１１０１〜Ｓ１１１３処理は、実施形態２の図９のフローチャートで説明したＳ９０１〜Ｓ９１３の処理と同様である。図３、図４、図６の処理は実施形態１及び２と同じである。
【００４４】
Ｓ１１０６の処理の後、ＣＰＵ２０５は、Ｓ１１１４に進む。
Ｓ１１１４において、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されているか否かを判定する。
ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていると判定した場合（Ｓ１１１４においてＹＥＳ）、Ｓ１１１６に進む。一方、ＣＰＵ２０５は、ＵＳＢ接続部２２３にＵＳＢメモリが接続されていないと判定した場合（Ｓ１１１４においてＮＯ）、Ｓ１１１４の処理を繰り返す。
Ｓ１１１５において、ＣＰＵ２０５は、ＵＳＢメモリ内のデータを取得する。そしてＣＰＵ２０５は、Ｓ１１１５に進む。
Ｓ１１１６において、ＣＰＵ２０５は、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが格納されているかを判定する。本実施形態ではＴＰＭ暗号鍵バックアップデータに識別ヘッダを付与する前提である。そのため、ＣＰＵ２０５は、この識別ヘッダの有無によってＴＰＭ暗号鍵バックアップデータか否かを判別する。
ＣＰＵ２０５は、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが入っていないと判定した場合（Ｓ１１１６においてＮＯ）、Ｓ１１１４に戻る。一方、ＣＰＵ２０５は、ＵＳＢメモリ内にＴＰＭ暗号鍵バックアップデータが入っていると判定した場合（Ｓ１１１６においてＹＥＳ）、Ｓ１１０７に進む。
Ｓ１１１６の処理は、バックアップデータ判定処理の一例である。
【００４５】
このＳ１１１４〜Ｓ１１１６の処理によって、暗号鍵が正常に利用できない場合、ＴＰＭ暗号鍵バックアップデータが格納されたＵＳＢメモリの接続を確認した場合のみ、ユーザ認証を無効にしてＴＰＭ暗号鍵リストア機能が利用可能となる。これにより、ユーザ認証機能を無効化してＴＰＭ暗号鍵リストア機能が実行できる条件をより厳密化し、ＴＰＭ暗号鍵リストアの利便性を保ちつつ、よりセキュリティの運用が実現可能となる。
以上が、実施形態３の制御の説明である。
【００４６】
＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
【００４７】
以上、上述した各実施形態によれば、暗号鍵がチップの交換等で変更された場合においてユーザ認証機能が正常に利用できない場合でも速やかに装置を復元することができる。
上述した実施形態１や実施形態２ではＴＰＭを接続／利用可能でユーザ認証機能を有する情報処理装置の一例として複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ  Ｆｕｎｃｔｉｏｎ  Ｐｅｒｉｐｈｅｒａｌ）を用いて説明を行った。しかしながら複合機に限定されるものではなく、情報処理装置は、例えば、ＰＣやサーバであってもよい。
【符号の説明】
【００４８】
１００  複合機、２０５  ＣＰＵ、２０７  ＲＯＭ、２０８  ＨＤＤ
【図１】
0006362483.tif 000002
【図２】
0006362483.tif 000003
【図３】
0006362483.tif 000004
【図４】
0006362483.tif 000005
【図５】
0006362483.tif 000006
【図６】
0006362483.tif 000007
【図７】
0006362483.tif 000008
【図８】
0006362483.tif 000009
【図９】
0006362483.tif 000010
【図１０】
0006362483.tif 000011
【図１１】
0006362483.tif 000012