(57)【要約】【課題】パスワードの流用や推定による不適切な閲覧のリスクを軽減することができる電子文書暗号化システムを提供する。【解決手段】作成者端末と、閲覧者端末と、ポリシー管理サーバーとを備えたシステムであってポリシー管理サーバーは、ポリシーＩＤとプログラムＩＤとパスワードとを関連づけて予め保存した第１のデータベースと、発行要求に応じて文書ＩＤを発行する手段と、作成者端末から文書ＩＤとプログラムＩＤと鍵とを受信し、文書ＩＤとポリシーＩＤと鍵とを関連づけて第２のデータベースに登録する手段と、閲覧者端末から文書ＩＤを受信し第２のデータベースを参照して関連づくポリシーＩＤを特定してパスワードを要求する手段と、第１のデータベースを参照して関連づくパスワードが一致するか否かを判定する手段と、パスワードが一致した場合、鍵を閲覧者端末に送信する手段と、を有する。【選択図】図１
2016189530.tif 000002
【特許請求の範囲】
【請求項１】
電子文書を暗号化する作成者端末と、電子文書を復号化する閲覧者端末と、ポリシーを管理するポリシー管理サーバーとを備えたシステムであって、
前記ポリシー管理サーバーは、
ポリシーを識別するポリシーＩＤと前記作成者端末が有する暗号化プログラムの種別を示すプログラムＩＤとパスワードとを関連づけて予め保存した第１のデータベースと、
前記作成者端末からの発行要求に応じて、電子文書の文書ＩＤを発行する手段と、
前記作成者端末から暗号化した電子文書の文書ＩＤとプログラムＩＤと鍵とを受信したとき、受信したプログラムＩＤを基に前記第１のデータベースから関連づくポリシーＩＤを取得し、文書ＩＤとポリシーＩＤと鍵とを関連づけて第２のデータベースに登録する手段と、
前記閲覧者端末から文書ＩＤを受信したとき、受信した文書ＩＤを基に前記第２のデータベースを参照して関連づくポリシーＩＤを特定するとともに、前記閲覧者端末に対しパスワードを要求する手段と、
前記閲覧者端末からパスワードを受信したとき、受信したパスワード及び特定したポリシーＩＤを基に前記第１のデータベースを参照して関連づくパスワードが一致するか否かを判定する手段と、
パスワードが一致した場合、前記第２のデータベースから関連づく鍵を取得し前記閲覧者端末に送信する手段と、を有し、
前記作成者端末は、
発行された文書ＩＤを受信したとき、受信した文書ＩＤを基に鍵を生成し、電子文書に文書ＩＤと前記ポリシー管理サーバーのアドレスを埋込むとともに鍵により電子文書を暗号化する手段と、
暗号化した電子文書の文書ＩＤとプログラムＩＤと鍵とを前記ポリシー管理サーバーに送信する手段と、を有し、
前記閲覧者端末は、
暗号化された電子文書に埋込まれた文書ＩＤと前記ポリシー管理サーバーのアドレスを取得し、取得した文書ＩＤを前記ポリシー管理サーバーに送信する手段と、
前記ポリシー管理サーバーからの要求によりパスワードを送信する手段と、
前記ポリシー管理サーバーから鍵を受信したとき、鍵を用いて電子文書を復号化する手段と、を有することを特徴とする
電子文書保護パスワード管理システム。
【請求項２】
前記ポリシー管理サーバーは、前記第１のデータベースに、前記パスワードと関連づけて電子文書の有効期限を保存しており、前記閲覧者端末から受信したパスワードが一致した場合、前記第１のデータベースを参照して電子文書の有効期限内であるか否かを判定する手段をさらに有することを特徴とする請求項１に記載の電子文書保護パスワード管理システム。
【請求項３】
前記ポリシー管理サーバーは、前記第２のデータベースに、前記文書ＩＤと関連づけて電子文書の有効状態を登録しており、前記閲覧者端末から受信したパスワードが一致した場合、前記第２のデータベースを参照して電子文書が有効であるか否かを判定する手段をさらに有することを特徴とする請求項１又は２に記載の電子文書保護パスワード管理システム。
【請求項４】
前記作成者端末は、
電子文書を暗号化したとき、暗号化した電子文書の文書ＩＤを含む情報を暗号化履歴データベースに保存する手段と、
パスワードを変更したい電子文書の文書ＩＤを前記暗号化履歴データベースから取得し、取得した文書ＩＤとともにパスワード変更要求を前記ポリシー管理サーバーに送信する手段と、
前記ポリシー管理サーバーの要求により現在のパスワード及び新しいパスワードを送信する手段と、を有し、
前記ポリシー管理サーバーは、
前記作成者端末からのパスワード変更要求に応じて、受信した文書ＩＤを基に前記第１及び第２のデータベースを参照して現在のパスワードを特定するとともに、前記作成者端末に対し現在のパスワードを要求する手段と、
前記作成者端末から受信した現在のパスワードが前記第１のデータベースの現在のパスワードと一致する場合、前記作成者端末に対し新しいパスワードを要求する手段と、
前記作成者端末から受信した新しいパスワードにより現在のパスワードを更新する手段と、を有することを特徴とする請求項１〜３のいずれかに記載の電子文書保護パスワード管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パスワードを付きの電子文書を多数取り扱うシステムにおいて、利用者が把握できる現実的なパスワードの運用と、パスワード漏洩時のリスク対策を提供する電子文書保護ポリシー管理システムに関するものである。
【背景技術】
【０００２】
特定の人のみに電子文書を閲覧させるために、電子文書を暗号化しておき、閲覧時に利用者の正当性を確認する方法として、ユーザーＩＤ(identification)認証、電子証明書の認証、ハードウェアによる認証などの様々な手段があるが、最も普及しているのはパスワードによる認証である。パスワードによる認証では、利用者は電子文書を閲覧する際にパスワードを入力し、予め定められたパスワードと同じであれば電子文書の内容を閲覧することができる。これは同じパスワードを知っている前提で、パスワードを知っている人を信用するという考え方に基づいている。
【０００３】
特許文献１のシステムでは、要求元からの要求を受けてユーザー認証を行い閲覧可否を決定するが、そのユーザーが認証するための情報を予め登録しておく必要がある。
【０００４】
特許文献２のシステムでは、パスワード保存部の有効期限を持つことで、パスワードの流用時のリスクを軽減できるが、取り扱うパスワードの総数は電子文書数と同じになり、利用者のパスワード管理の手間の軽減にはならない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−４１３４７号公報
【特許文献２】特開２０１０−６７０４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、現状の方法では、電子文書毎にパスワードを設定するため、電子文書数が増えると管理が煩雑になるという問題がある。また、パスワードには、人間が記憶できる文字数や単語を使用することが多いことから、多数の電子文書が存在するときには同じパスワードを流用することが多いという問題もある。
【０００７】
また、推測や総当たりによるパスワードの特定や、退職した関係者が在職中に知ったパスワードを使って電子文書を閲覧するなど、利用者からみて不適切なパスワード認証が行われるという問題がある。
【０００８】
パスワードにおける問題を解決するためにユーザーＩＤ認証などの認証方式も普及が進んでいるが、一回だけの電子文書のやり取りでもユーザーの登録が必要になるなど、パスワード管理以外のところでの運用が必要となるという問題がある。
【０００９】
以上の問題に鑑み本発明の目的は、パスワードの流用や推定による不適切な閲覧のリスクを軽減することができる電子文書保護パスワード管理システムを提供することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明は、以下の構成を提供する。
本発明の電子文書保護パスワード管理システムは、電子文書を暗号化する作成者端末と、電子文書を復号化する閲覧者端末と、ポリシーを管理するポリシー管理サーバーとを備えたシステムであって、
前記ポリシー管理サーバーは、
ポリシーを識別するポリシーＩＤと前記作成者端末が有する暗号化プログラムの種別を示すプログラムＩＤとパスワードとを関連づけて予め保存した第１のデータベースと、
前記作成者端末からの発行要求に応じて、電子文書の文書ＩＤを発行する手段と、
前記作成者端末から暗号化した電子文書の文書ＩＤとプログラムＩＤと鍵とを受信したとき、受信したプログラムＩＤを基に前記第１のデータベースから関連づくポリシーＩＤを取得し、文書ＩＤとポリシーＩＤと鍵とを関連づけて第２のデータベースに登録する手段と、
前記閲覧者端末から文書ＩＤを受信したとき、受信した文書ＩＤを基に前記第２のデータベースを参照して関連づくポリシーＩＤを特定するとともに、前記閲覧者端末に対しパスワードを要求する手段と、
前記閲覧者端末からパスワードを受信したとき、受信したパスワード及び特定したポリシーＩＤを基に前記第１のデータベースを参照して関連づくパスワードが一致するか否かを判定する手段と、
パスワードが一致した場合、前記第２のデータベースから関連づく鍵を取得し前記閲覧者端末に送信する手段と、を有し、
前記作成者端末は、
発行された文書ＩＤを受信したとき、受信した文書ＩＤを基に鍵を生成し、電子文書に文書ＩＤと前記ポリシー管理サーバーのアドレスを埋込むとともに鍵により電子文書を暗号化する手段と、
暗号化した電子文書の文書ＩＤとプログラムＩＤと鍵とを前記ポリシー管理サーバーに送信する手段と、を有し、
前記閲覧者端末は、
暗号化された電子文書に埋込まれた文書ＩＤと前記ポリシー管理サーバーのアドレスを取得し、取得した文書ＩＤを前記ポリシー管理サーバーに送信する手段と、
前記ポリシー管理サーバーからの要求によりパスワードを送信する手段と、
前記ポリシー管理サーバーから鍵を受信したとき、鍵を用いて電子文書を復号化する手段と、を有することを特徴とする。
【００１１】
上記システムにおいて、前記ポリシー管理サーバーは、前記第１のデータベースに、前記パスワードと関連づけて電子文書の有効期限を保存しており、前記閲覧者端末から受信したパスワードが一致した場合、前記第１のデータベースを参照して電子文書の有効期限内であるか否かを判定する手段をさらに有することを特徴とする。
【００１２】
上記システムにおいて、前記ポリシー管理サーバーは、前記第２のデータベースに、前記文書ＩＤと関連づけて電子文書の有効状態を登録しており、前記閲覧者端末から受信したパスワードが一致した場合、前記第２のデータベースを参照して電子文書が有効であるか否かを判定する手段をさらに有することを特徴とする。
【００１３】
上記システムにおいて、前記作成者端末は、
電子文書を暗号化したとき、暗号化した電子文書の文書ＩＤを含む情報を暗号化履歴データベースに保存する手段と、
パスワードを変更したい電子文書の文書ＩＤを前記暗号化履歴データベースから取得し、取得した文書ＩＤとともにパスワード変更要求を前記ポリシー管理サーバーに送信する手段と、
前記ポリシー管理サーバーの要求により現在のパスワード及び新しいパスワードを送信する手段と、を有し、
前記ポリシー管理サーバーは、
前記作成者端末からのパスワード変更要求に応じて、受信した文書ＩＤを基に前記第１及び第２のデータベースを参照して現在のパスワードを特定するとともに、前記作成者端末に対し現在のパスワードを要求する手段と、
前記作成者端末から受信した現在のパスワードが前記第１のデータベースの現在のパスワードと一致する場合、前記作成者端末に対し新しいパスワードを要求する手段と、
前記作成者端末から受信した新しいパスワードにより現在のパスワードを更新する手段と、を有することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、作成者は電子文書毎にパスワードを指定する必要が無く、暗号化プログラムとポリシー管理サーバーにより自動的にパスワードが付与される。また、暗号化プログラム毎に作成されるパスワードを更新すると、同じプログラムで作成した文書のパスワードが一括で変更されることになる。パスワードを定期的に変更することで、退職者のアクセス等を防ぐことができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明における概念と実施の形態を示すシステム構成図である。
【図２】図２は、作成者端末の暗号化プログラムとポリシー管理サーバーのポリシー管理プログラムの連動を示す図である。
【図３】図３は、ポリシー管理サーバー内のデータ構造を示す図である。
【図４】図４は、閲覧者端末の閲覧プログラムとポリシー管理サーバーのポリシー管理プログラムの連動を示す図である。
【図５】図５は、作成者端末からパスワードを変更するときのプログラム連動図である。
【発明を実施するための形態】
【００１６】
以下、本発明の実施の形態を図面を参照して説明する。
図１は、本発明の実施の形態の構成例を示すシステム構成図である。パスワード付き文書を作成する作成者端末１、文書を閲覧する閲覧者端末６及びこれらのやり取りを管理するポリシー管理サーバー３がネットワーク７を介して接続されている。各端末及びサーバーはコンピュータであり所定のプログラムをインストールされており、所定のプログラムをＣＰＵがメモリに読込み実行することにより本発明の各機能を実現する。
【００１７】
作成者端末１には暗号化プログラム２が、閲覧者端末６には閲覧プログラム５が、ポリシー管理サーバー３にはポリシー管理プログラム８が予めインストールされている。作成者端末１は暗号化プログラム２の実行により暗号化処理の機能を有し、閲覧者端末６は閲覧プログラム５の実行により閲覧処理の機能を有することとなる。ポリシー管理サーバー３は、鍵管理ＤＢ(データベース)４を備えている。
【００１８】
図２は、電子文書を作成者端末１で暗号化するとき即ち保護時の、暗号化プログラム２とポリシー管理プログラム８との間の処理シーケンスである。
【００１９】
暗号化プログラム２は、新たに暗号化する電子文書のための文書ＩＤの発行をポリシー管理プログラム８に対して要求する（ステップ１１）。ポリシー管理プログラム８は、自己の管理する鍵管理ＤＢ４にて文書ＩＤの採番を行う（ステップ１２）。ポリシー管理プログラム８は、文書ＩＤを発行する（ステップ１３）。暗号化プログラム２は取得した文書ＩＤを基にランダムな鍵を生成し（ステップ１４）、それにより電子文書を暗号化する（ステップ１５）。
【００２０】
この暗号化した電子文書には、文書ＩＤとポリシー管理サーバー８のアドレスがメタ情報として一緒に埋込まれる。その後、文書ＩＤ、暗号化プログラム２の種別を示すプログラムＩＤ及び鍵をポリシー管理プログラム８に送信する（ステップ１６）。ポリシー管理プログラム８は、受信した文書ＩＤ及び鍵を、受信したプログラムＩＤを基に特定されるポリシーＩＤと関連づけて鍵管理ＤＢ４に保存（登録）する（ステップ１７）。一方、暗号化プログラム２は、暗号化した電子文書の文書ＩＤ及びファイル名や作成日時等を暗号化履歴ＤＢ９に保存する。
【００２１】
図３は、図１のポリシー管理プログラム８による鍵管理ＤＢ４における情報管理の例を示すデータ構造である。ポリシーテーブル２１は、ポリシーを識別するポリシーＩＤ２２、暗号化プログラムの種別を示すプログラムＩＤ２３、ポリシーの利用可能な期間を示す有効期限２４、閲覧プログラムでの文書表示で使う透かし情報２５、現在のパスワード２６のフィールドを持つ。文書テーブル３１は、文書ＩＤ３２、電子文書に関連づくポリシーＩＤ３３、暗号復号に使用する鍵３４、電子文書の有効状態３５、及び登録日３６のフィールドを持つ。
【００２２】
ポリシー管理プログラム８は、図２のステップ１７において暗号化プログラム２から文書ＩＤ、プログラムＩＤ及び鍵を受信すると、受信したプログラムＩＤを基にポリシーテーブル２１を参照してプログラムＩＤ２３に関連づくポリシーＩＤ２２を特定する。そして文書テーブル３１に新規の行を設けて文書ＩＤ３２、ポリシーＩＤ３３及び鍵３４をそれぞれ登録する。このとき、有効状態３５には「有効」を、登録日３６には処理の実行日付を記録する。
【００２３】
図４は、暗号化された電子文書を閲覧者端末６で受信し電子文書を復号化して開くときの、閲覧プログラム５とポリシー管理プログラム８との間の処理シーケンスである。
【００２４】
閲覧プログラム５は、電子文書内に埋込まれているメタ情報から文書ＩＤとポリシー管理サーバー３のアドレスを読み出す。閲覧プログラム５は、アドレスを用いて文書ＩＤをポリシー管理プログラム８へ送信する（ステップ４１）。ポリシー管理プログラム８は、受信した文書ＩＤを基に文書テーブル３１を参照し、文書ＩＤ３２から関連づくポリシーＩＤ３３を特定する。特定したポリシーＩＤを基にポリシーテーブル２１を参照し、一致するポリシーＩＤ２２の行にパスワード２６が設定されているか否かを判定する。パスワード２６が設定されている場合、閲覧プログラム５に対してパスワード要求を行う（ステップ４３）。パスワードが設定されていない場合、有効期限と有効状態の確認を行う（ステップ４８）。
【００２５】
閲覧プログラム５は、ステップ４３のパスワード要求を受信した場合、閲覧者に対しパスワードの入力を促す（ステップ４４）。閲覧者が入力したパスワードをポリシー管理プログラム８に送信する（ステップ４５）。ポリシー管理プログラム８は受信したパスワードとポリシーテーブル２１のパスワード２６が一致するか否かをチェックする（ステップ４６）。一致しない場合、閲覧プログラム５に拒否通知を送信する（ステップ４７）。閲覧プログラム５は、拒否通知を受け取った場合、閲覧できない旨を通知する。一致する場合は有効期限と有効状態の確認を行う（ステップ４８）。
【００２６】
有効期限の確認では、文書テーブル３１の登録日３６にポリシーテーブル２１の有効期限２４を足した日付を現時点で超過している場合、電子文書を無効とみなして拒否通知を送信する（ステップ４９）。閲覧プログラム５は、拒否通知を受け取った場合は閲覧者に閲覧できない旨を通知する。現時点で超過していない場合、電子文書を有効とする。
【００２７】
続いて、文書テーブル３１の有効状態３５の状態が有効か無効かを判定する。有効状態３５が無効の場合には電子文書を無効とみなして拒否通知を送信する（ステップ４９）。閲覧プログラム５は、拒否通知を受け取った場合は閲覧者に閲覧できない旨を通知する。有効状態３５が有効の場合には文書を有効であると見なし、ポリシー管理プログラム８は、文書テーブル３１から関連づく鍵３４を取得する（ステップ５０）、閲覧プログラム５に許可通知と鍵とポリシーに関連づく透かし情報２５を送信する（ステップ５１）。閲覧プログラム５は、受信した鍵で電子文書の復号化を行い、閲覧者に電子文書と透かし情報を重ねて表示する（ステップ５２）。
【００２８】
図５は、図３のポリシーテーブル２１で管理しているパスワード２６を更新する処理のシーケンスである。作成者端末１の暗号化プログラム２は、暗号化履歴ＤＢ９から過去に暗号化したファイルの一覧を表示する。作成者がパスワード変更したい電子文書を選択して、文書ＩＤとパスワード変更要求をポリシー管理プログラム８に送信する（ステップ６２）。ポリシー管理プログラム８は、受信した文書ＩＤを基に文書テーブル３１を参照し、関連づくポリシーＩＤ３３を特定する。ポリシーＩＤ３３を基に、ポリシーテーブル２１を参照し、関連づく現在のパスワード２６を特定する。
【００２９】
次にポリシー管理プログラム８は、更新確認のために現在のパスワードを暗号化プログラム２に要求する（ステップ６４）。暗号化プログラム２は、作成者に現在のパスワードを入力させる（ステップ６５）。その後、パスワードを送信する（ステップ６６）。ポリシー管理プログラム８は、受信したパスワードがポリシーテーブル２１の現在のパスワード２６と一致するか否かを判定する。一致しない場合は、パスワード更新の拒否通知を返す（ステップ６８）。一致する場合は許可通知を返す（ステップ６９）。続いて暗号化プログラム２は、作成者に新しいパスワードの入力を促し（ステップ７０）、新しいパスワードを送信する（ステップ７１）。ポリシー管理プログラム８は、現在のパスワード２６を新しいパスワードで更新する（ステップ７２）。
【符号の説明】
【００３０】
１  作成者端末
２  暗号化プログラム
３  ポリシー管理サーバー
４  鍵管理ＤＢ
５  閲覧プログラム
６  閲覧者端末
７  ネットワーク
８  ポリシー鍵管理プログラム
９  暗号化履歴ＤＢ
２１  ポリシーテーブル
３１  文書テーブル
【図１】
2016189530.tif 000003
【図２】
2016189530.tif 000004
【図３】
2016189530.tif 000005
【図４】
2016189530.tif 000006
【図５】
2016189530.tif 000007