(57)【要約】  【課題】  2次記憶装置に書き込まれたデータを不正利用させないために、認証によるアクセス制御、あるいは暗号化を行う必要がある。しかし、認証状態から暗号化に移行させるために、一時的に認証解除を行う必要があり、この状態のまま使い続けるとセキュリティ上脆弱な運用を継続してしまうというリスクが存在する。  【解決手段】  アクセス制御手段と、暗号化手段のいずれかが有効となっていないことを検知して、管理者に通知を行うことによって、脆弱な運用が行われないようにする。【選択図】  図3
2013106181.tif 000002
【特許請求の範囲】
【請求項１】
２次記憶装置に対してパスワード認証を行い、その結果に応じてアクセス制御を行う、認証アクセス制御手段(312)と、
２次記憶装置に対して、書き込むデータは暗号化を施し、読み込むデータは復号を施す、暗号化手段(343)と、
前記認証アクセス制御手段と、前記暗号化手段のいずれかが有効となっていないことを検知して、管理者に通知を行うセキュリティ通知手段(319)と、
を有することを特徴とする画像形成装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ハードディスクドライブ等の２次記憶装置を保有する複合機などの画像形成装置に関する。
【背景技術】
【０００２】
この種の複合機は、高機能化、多機能化に伴い、ハードディスクドライブ（以降ＨＤＤと略す）やソリッドステートドライブ（ＳＳＤ）に代表される２次記憶装置を搭載することが多くなってきた。２次記憶装置の中には、スキャンや、外部から送信された印刷データを画像処理して生成される画像データや、電話番号等のファクシミリの送信情報などの個人情報が含まれており組織の機密情報が格納される可能性があるため機密性が要求される。一方、２次記憶装置のデータ格納フォーマットはDOS(Disk Operating System)形式や、LINUX（登録商標）で用いられるext3(Third extended file systemの略)形式に代表される汎用のファイルシステムを用いられている。そのため複合機の２次記憶装置を物理的に取り出し、既存のＰＣに接続して読み込むことが容易であり、上記であげた画像データや個人情報などの機密性の高い情報が漏えいするという可能性があった。従来、この脅威に対応するために、２つの手段が取られている。
【０００３】
第１の手段としてあげられるのは、２次記憶装置に対する認証機能である。これは２次記憶装置が初回起動されたときに、パスワードを登録して認証機能を付与する。このパスワードは使用者が与えるものや、機器が機体番号などの固有の情報から生成する場合もある。２次記憶装置は電源投入時、パスワードの入力と求め、正しいパスワードを与えない場合にはデータの読み書きができないようにアクセス制御をかける。
【０００４】
上記認証機能は２次記憶装置の内部システムが提供しているものであり、物理的な攻撃には対処できない。例えば、ＨＤＤを分解して、実際に情報を磁気的に記憶しているプラッタ部分を取り出して磁気ヘッドで読み込めば、中に格納された情報のサルベージが可能となってしまう。よってセキュリティ対策としては簡易な方法に留まる。
【０００５】
第２の手段としてあげられるのは、２次記憶装置に対して暗号化を行う方法である。これは予め所定の暗号鍵を生成して保存しておき、書き込みを行う時には暗号鍵を用いて暗号化した結果を２次記憶装置に保存、読み込む時には暗号鍵を用いて復号した結果を読み込むものである。ここで用いる暗号鍵は、パフォーマンス維持の観点から、共通鍵方式を用いる。暗号鍵は乱数生成器から発生させられてセキュリティ・チップと呼ばれる半導体チップに保管され、セキュリティ・チップに対するパスワード認証が成功した場合のみ暗号鍵の利用が可能となる。
【０００６】
図１は第２の手段の構成の一例を示すブロック図である。
【０００７】
図１において、101はHDDやSSDから構成される２次記憶装置を示す。102はセキュリティ・チップを示す。103は複合機の画像処理やエンジン制御を行う複合機コントローラ103を示す。ここでセキュリティ・チップ102と複合機コントローラ103と2次記憶装置101はSerial ATA(Advanced Technology Attachment)あるいはIDE(Integrated Drive Electronics)などの既存のインターフェイスによって接続されている。
【０００８】
セキュリティ・チップ102内部にあるもので、111は２次記憶装置101と接続するためのI/F1を示す。
【０００９】
112はインターフェイスを通過するデータを暗号化あるいは復号するための暗号化・復号部、113は複合機コントローラ103と接続するためのI/F2を示す。
【００１０】
114は暗号化・復号部112に暗号鍵を提供する鍵管理部を示す。
【００１１】
115は複合機コントローラ103との認証を行う認証部を示す。この構成において、複合機コントローラ103が起動すると、セキュリティ・チップ102内の認証部115が動作し、接続している機器が正当な複合機コントローラ103であるかどうかの認証を行う。認証に成功するとチャネルが開き、２次記憶装置101に対する読み書きが可能となる。ここで、複合機コントローラ103からのデータの書き込みは暗号化・復号部112によって暗号化されてから２次記憶装置101に書き込まれる。逆に複合機コントローラ103からの読み込みは暗号化・復号部112によって復号されてから読み込まれる。
【００１２】
暗号化・復号部112が使用する暗号は共通鍵暗号方式を利用しており、鍵管理部114に共通鍵が保存されている。鍵管理部114に保管された鍵は、予め登録しておいたパスワードによる認証を実施し、正当な手段以外では取得ができないようにガードされて保管されている。
【００１３】
２次記憶装置101に書き込まれたデータは常に暗号化・復号部112によって暗号化された状態で書き込まれているため、２次記憶装置101を物理的に分解しても暗号化されたデータしか取得できない。暗号を解読することが困難であることは数学的に証明されているため、非常に強固なセキュリティを保つことが可能である。
【００１４】
図２は第１の手段の構成の一例を示すブロック図である。図２において、201は2次記憶装置、202は複合機コントローラを示す。2次記憶装置201内にあって、211は認証部を示す。複合機コントローラ202は2次記憶装置201に接続する際に、認証部211に対して所定のパスワードを送信して認証を行う。認証部211が記録しているパスワードと一致しない場合は、2次記憶装置201は読み書きを禁止する。
【００１５】
さて、第１の手段と第２の手段はそれぞれ長短があり、ユーザが実際の運用や要求に則して選択を行う必要がある。第１の手段はハードウェア上の構成の追加を特に必要としていないため、複合機の標準構成として出荷することが可能である。しかし２次記憶装置101を物理的に破壊して情報を読み取る攻撃に対しては無力である。
【００１６】
一方、第２の手段はセキュリティ・チップ102が追加のハードウェアとして必要になり、高価となるが、２次記憶装置101の物理的な破壊に対する耐性もあるため、強固である。よって高度なセキュリティを必要とするユーザに対して追加オプションとして提供する形態が取られている。
【００１７】
ここで工場出荷の状態では第１の手段で述べた対策が導入された状態となっているが、出荷後に第２の手段に切り替える際に、第１の手段で使用していたパスワードによる認証を解除する必要がある。第１の手段も第２の手段とも認証が必要であるが、第１の手段は、２次記憶装置101に対する認証であること対して、第２の手段は、セキュリティ・チップ102に対する認証手段であるため、認証を行う対象が異なるからである。
【００１８】
第１の手段を導入している状況で認証を解除する仕組みについては、例えば特許文献１で述べられている。先行件では２次記憶装置を別のコントローラに移行するための認証解除について述べられている。
【先行技術文献】
【特許文献】
【００１９】
【特許文献１】特許第04259589号明細書
【発明の概要】
【発明が解決しようとする課題】
【００２０】
第１の手段におけるパスワードによる認証を解除するのは、第２の手段に切り替えるための一時的な方策として必要であり、本来は第２の手段にすぐに切り替えなくてはならない。しかし、認証を解除したまま複合機の動作を継続すると、認証も行われず、暗号化も行われないという状態になり、しかもその状態であることが容易には判断できないため、セキュリティ的に脆弱な状態で運用できてしまうという問題があった。
【課題を解決するための手段】
【００２１】
上記課題を解決するために、本発明の画像形成装置は、
２次記憶装置に対してパスワード認証を行い、その結果に応じてアクセス制御を行う、認証アクセス制御手段と、
２次記憶装置に対して、書き込むデータは暗号化を施し、読み込むデータは復号を施す、暗号化手段と、
前記認証アクセス制御手段と、前記暗号化手段のいずれかが有効となっていないことを検知して、管理者に通知を行うセキュリティ通知手段とを有することを特徴とする。
【発明の効果】
【００２２】
上記で述べたセキュリティ通知手段によって、認証アクセス制御手段および暗号化手段の何れかが動作していることを確認できることによって、セキュリティ上脆弱な運用になることを防ぐことが可能となる。
【図面の簡単な説明】
【００２３】
【図１】第２の手段の構成の一例を示すブロック図である。
【図２】第１の手段の構成の一例を示すブロック図である。
【図３】第１実施例における複合機のシステムを説明するためのブロック図である。
【図４】セキュリティ通知部319の動作を説明するフローチャートである。
【図５】第１の認証あるいは第２の認証のいずれも動作していないと検知された場合に、管理者がログインした時に表示するＵＩ画面の模式図である。
【図６】セキュリティ通知部319の動作を説明するフローチャートである。
【図７】S604で表示される警告を示すＵＩ画面の模式図である。
【発明を実施するための形態】
【００２４】
以下、本発明を実施するための最良の形態について図面を用いて説明する。
【００２５】
［第１実施例］
図３は本実施例における複合機のシステムを説明するためのブロック図である。
【００２６】
図３において、301は複合機の動作を制御する複合機コントローラを示しており、302は２次記憶装置、303はセキュリティ・チップを示している。
【００２７】
さらに複合機コントローラ301内にあって、311は２次記憶装置302あるいはセキュリティ・チップ303と接続するためにSerial ATA等の既知の規格に従ったインターフェイス部を示す。312は２次記憶装置302と複合機コントローラ301が直接接続された時に認証を行う第１の認証部を示す。313は２次記憶装置302と複合機コントローラ301がセキュリティ・チップ303を介して接続された時に認証を行う第２の認証部を示す。314は第１の認証を行っている状態において、認証を解除する認証解除部を示している。317はGUI(グラフィックユーザインターフェイス)を用いて複合機に対する設定や操作を行う操作部を示している。318は複合機の設定を永続的に記憶しておく不揮発メモリ、319は第１の認証も第２の認証も行われてないことを検知して管理者に通知を行うセキュリティ通知部319を示している。320は複合機コントローラ301を制御し、画像処理や印刷を指示するCPU、315はCPU320の動作を行うプログラム・コードや画像データを一時的に蓄えておくRAMを示す。316は電子写真技術やインクジェット技術などの既知の印刷技術を用いて、用紙媒体に印刷を行うプリントエンジンを示す。321は光学読み取り技術を用いて、用紙媒体に書かれた画像データをデジタル情報に変換するスキャンエンジン、322は起動時に最初に読み込まれるプログラム・コードが書き込まれたフラッシュメモリを示している。
【００２８】
さらに2次記憶装置302内にあって、331は第１の認証を用いる場合に、接続の複合機コントローラ301が正規な機器であるかどうかを検証する認証部を示している。
【００２９】
さらにセキュリティ・チップ303内にあって、341は2次記憶装置302側にあるインターフェイス１を示し、342は複合機コントローラ301側にあるインターフェイス２を示し、343は通過するデータを暗号化、復号する暗号化・復号部を示す。344は暗号化・復号部343が使用する共通鍵を保管する鍵管理部、345は起動時に第２の認証を行い、認証成功したときにだけデータの送受信を許可する認証部を示す。
【００３０】
図３において、実際に接続する系は２種類あり、複合機コントローラ301と2次記憶装置302を直に接続する第１の認証の系（図３の実線が該当）と、複合機コントローラ301と2次記憶装置302とをセキュリティ・チップ303を介して接続する第２の認証の系（図３の破線が該当）が存在する。
【００３１】
以下に第１の認証の系を説明する。第１の認証では、2次記憶装置301が、複合機コントローラ301が正規な機器であるかどうかだけを認証する。
【００３２】
第１の認証部312は２次記憶装置302にアクセスするときに第1の認証コードを用いて認証を行う。第1の認証コードはユーザが入力したものや、複合機コントローラ301が保持する固有コードを用いて第1の認証コードを生成し、不揮発メモリ318に登録しておく。さらに第1の認証部312は、登録のために第１の認証コードを認証部331に送信し、認証部331は第1の認証コードを登録しておく。
【００３３】
通常の起動時には、フラッシュメモリ322に記載されたプログラム・コードに従ってCPU320が動作し、最初に第1の認証部312に認証指示を行う。第1の認証部312は不揮発メモリ318から第１の認証コードを取り出し、認証部331に送って認証を依頼する。2次記憶装置302が保持する認証部331は予め登録された第1の認証コードと一致するかどうかを検査し、認証に成功したら2次記憶装置302へのアクセスを許可する。仮に複写機コントローラ301以外の機器に接続された場合、不揮発メモリ318に格納された第1の認証コードが取り出せないため。認証に成功することはなく、2次記憶装置302へのアクセスは禁止される。
【００３４】
次に第２の認証の系を説明する。第２の認証では、セキュリティ・チップ303が、複合機コントローラ301が正規な機器であるかどうかだけを認証する。
【００３５】
そして認証に成功したら複合機コントローラ301からの書き込み要求に関しては暗号化・復号部343によって暗号化された後に2次記憶装置302に書き込まれる。
【００３６】
逆に2次記憶装置からの読み込みは、暗号化されたデータが暗号化・復号部343によって復号されたデータが返される。これはもともと書き込まれたデータと一致するため、複合機コントローラ301は暗号化が発生したことを一切意識しなくてもよい。第２の認証部はセキュリティ・チップ303にアクセスするときに第２の認証コードを用いて認証を行う。第２の認証コードはユーザが入力したものや、複合機コントローラ301が保持する固有コードを用いて第２の認証コードを生成し、不揮発メモリ318に登録しておく。さらに第2の認証部313は、登録のために第2の認証コードを認証部345に送信し、認証部345は第2の認証コードを登録しておく。通常の起動時には、フラッシュメモリ322に記載されたプログラム・コードに従ってCPU320が動作し、最初に第2の認証部313に認証指示を行う。第2の認証部313は不揮発メモリ318から第２の認証コードを取り出し、認証部345に送って認証を依頼する。セキュリティ・チップ303が保持する認証部345は予め登録された認証コードと一致するかどうかを検査し、認証に成功したらセキュリティ・チップ303へのアクセスを許可する。仮に複写機コントローラ301以外の機器に接続された場合、不揮発メモリ318に格納された第２の認証コードが取り出せないため、認証に成功することはなく、セキュリティ・チップ303へのアクセスは禁止される。さらに、2次記憶装置302だけ取り出して解析する場合、第２の認証では認証部331が動作しないため、2次記憶装置302の格納されたデータは自由に取得できるが、その中身は暗号文だけになるため、書き込まれたデータの不正な暴露は不可能となる。
【００３７】
次に第１の認証から第２の認証の切り替えについて説明する。工場出荷では第１の認証が適用された状態で出荷される。セキュリティ・チップ303は追加オプションであり、複合機コントローラ301に接続するためには、一時的に第1の認証を解除する必要がある。
【００３８】
認証解除部314は操作部317から受けた指示により、第1の認証を解除する。認証解除はセキュリティ上重要な操作であるため、誰でも操作可能というわけではなく、複合機に対して管理者権限を持つユーザあるいはサービスマンであることを認証してから実施可能である。認証解除部314は2次記憶装置302内の認証部331と通信を行い、第１の認証を停止させる。停止後に、ユーザは複合機の電源を一度遮断し、2次記憶装置302と複合機コントローラ301の間にセキュリティ・チップ303を挿入する。次回起動時に、セキュリティ・チップ303は認証部345に初回起動であることを第2の認証部313に通知を行う。第２の認証部313はユーザが入力した、あるいは複合機の固有コードから生成する第２の認証コード認証コードを生成し、不揮発メモリ318に登録する。また、認証部345に登録する。ここで2次記憶装置は暗号化されるようになっており、それまでのデータは意味のないものになってしまうため、サービスマンはファームウェアやシステムファイルを再度インストールする必要がある。
【００３９】
図４はセキュリティ通知部319の動作を説明するフローチャートである。
【００４０】
セキュリティ通知部は、複合機コントローラ301の起動と共に動作し、複合機コントローラ301がセキュリティ上正しい運用を行っているかどうかを検査し、通知を行う。図４において、S401において、不揮発メモリ318を調査し、第1の認証あるいは第２の認証が動作しているかの調査を行う。第1の認証を行っている場合には、第１の認証部312が使用する認証コードが不揮発メモリ318の所定の位置に書き込まれているため、判断可能である。あるいは第２の認証を行っている場合には、第2の認証部313が使用する認証コードが不揮発メモリ318の所定の位置に書き込まれているため、判断可能である。S402において、第１の認証が動作していると判定された場合には、なにもせずに当該処理を完了する。第１の認証が動作していないと判断された時にはS403において第２の認証が動作しているかどうかを判定する。どちらも動作していないと判断された場合にはS404において管理者に警告を通知する。動作すると判定された場合には当該処理を完了する。
【００４１】
この処理によって、第1の認証あるいは第２の認証のいずれも動作していないと検知された場合に、管理者に通知を行う。
【００４２】
通知の方法としては、予め登録しておいたメールアドレスに警告のメールを送付するか、あるいは管理者がログインした時に警告を表示するようにしてもよい。
【００４３】
図５は第１の認証あるいは第２の認証のいずれも動作していないと検知された場合に、管理者がログインした時に表示するＵＩ画面の模式図である。複合機を設置した状態でログインを行うと、管理者は不正な運用であることを本画面によって通知可能である。
【００４４】
［第２実施例］
実施例１の場合は第１の認証あるいは第２の認証のいずれも動作していないと検知された場合に、管理者にＵＩ画面によって通知することが可能であった。しかし通知だけ行うだけで、運用が変更されるわけではない。そこで、検知時に強制的に第１の認証を有効にしてもよい。
【００４５】
図６は実施例１における図４に相当する、セキュリティ通知部319の動作を説明するフローチャートである。図６の図４との差分は、S604およびS605の部分であり、第１の認証も第２の認証も動作していないと判断された場合にはS604において管理者に警告を通知、S605において、強制的に第１の認証を有効にする。
【００４６】
図７はS604で表示される警告を示すＵＩ画面の模式図である。
【００４７】
強制的に第１の認証を有効にすることによって、第1の認証および第２の認証が実施されずに起動することを防ぐことが可能となり、より強固なセキュリティを維持可能である。
【符号の説明】
【００４８】
301 複合機コントローラ
302 2次記憶装置
303 セキュリティ・チップ
312 第１の認証部
313 第２の認証部
314 認証解除部
319 セキュリティ通知部
【図１】
2013106181.tif 000003
【図２】
2013106181.tif 000004
【図３】
2013106181.tif 000005
【図４】
2013106181.tif 000006
【図５】
2013106181.tif 000007
【図６】
2013106181.tif 000008
【図７】
2013106181.tif 000009