(57)【特許請求の範囲】
【請求項１】
データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、対象となるデータをデータメディアから取得するデータ取得手段と、前記データからハッシュ値を算出する算出手段と、該データを保護するために前記データのファイル名と前記ハッシュ値とからなるセキュリティファイルを作成するセキュリティファイル作成手段と、該セキュリティファイルを１つ又は複数集めてセキュリティ情報を作成するセキュリティ情報作成手段と、該セキュリティ情報を前記データメディアとは異なるセキュリティメディアに記録するセキュリティ情報記録手段と、ユーザに処理結果を通知するレスポンス通知手段とを備えたことを特徴とするセキュア電子メディア管理システム。
【請求項２】
前記データ取得手段により取得したデータをデータメディアに記録してデータメディアを作成するデータメディア作成手段を更に備えたことを特徴とする請求項１記載のセキュア電子メディア管理システム。
【請求項３】
前記セキュリティ情報作成手段によって作成されたセキュリティ情報を保護するセキュリティ情報保護手段を更に備えたことを特徴とする請求項１又は２記載のセキュア電子メディア管理システム。
【請求項４】
前記セキュリティ情報作成手段によって作成されたセキュリティ情報が保護している対象データと、前記セキュリティ情報記録手段によって記録することにより作成された前記セキュリティメディアとを関連付ける情報を作成するセキュリティメディア関連付け手段を更に備えたことを特徴とする請求項１乃至３のいずれか１記載のセキュア電子メディア管理システム。
【請求項５】
前記セキュリティファイル作成手段は、外部から取得する公証データを使用して、前記データを保護することを特徴とする請求項１乃至４のいずれか１記載のセキュア電子メディア管理システム。
【請求項６】
前記セキュリティファイル作成手段は、複数の鍵を使用して生成した複数の電子署名を使用して、前記データを保護することを特徴とする請求項１乃至５のいずれか１記載のセキュア電子メディア管理システム。
【請求項７】
データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、更新対象のセキュリティメディアからセキュリティ情報を取得するセキュリティ情報取得手段と、該セキュリティ情報を新しいセキュリティ情報に更新するセキュリティ情報更新手段と、該新しいセキュリティ情報を該セキュリティメディア又は新しいセキュリティメディアに記録するセキュリティ情報記録手段と、ユーザに処理結果を通知するレスポンス通知手段とを備え、セキュリティメディアを更新することを特徴とするセキュア電子メディア管理システム。
【請求項８】
データを保護するために複数の鍵を使用して生成した複数の電子署名を使用して作成されたセキュリティファイルに対し、前記セキュリティ情報更新手段は、前記複数の電子署名のうち少なくとも一つの電子署名の検証に成功することでセキュリティ情報の検証が成功したとみなしてセキュリティ情報の更新を行うことを特徴とする請求項７記載のセキュア電子メディア管理システム。
【請求項９】
データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、対象となるデータを取得するデータ取得手段と、メディアからセキュリティファイルを取得するセキュリティファイル取得手段と、前記データの真正性を該セキュリティファイルにより検証するデータ真正性検証手段と、ユーザに処理結果を通知するレスポンス通知手段とを備え、前記セキュリティファイルはデータのファイル名とデータから算出されたハッシュ値とを含むことを特徴とするセキュア電子メディア管理システム。
【請求項１０】
セキュリティメディアの中から、検証対象のデータに該当するセキュリティファイルを自動的に判別するセキュリティファイル自動判別手段を更に備えたことを特徴とする請求項９記載のセキュア電子メディア管理システム。
【請求項１１】
セキュリティファイル取得手段によってセキュリティファイルを取得する際に、前記セキュリティメディアに記録されているセキュリティ情報の真正性を検証するセキュリティ情報検証手段を更に備えたことを特徴とする請求項９又は１０記載のセキュア電子メディア管理システム。
【請求項１２】
セキュリティ情報作成手段によって作成されたセキュリティ情報が保護している対象データと、セキュリティ情報記録手段によって作成されたセキュリティメディアとを関連付ける情報を作成するセキュリティメディア関連付け手段を更に備え、該セキュリティメディア関連付け手段によって作成された関連付け情報を元にして検証対象のデータから該データに該当するセキュリティメディアを検索するセキュリティメディア検索手段を更に備えたことを特徴とする請求項９乃至１１のいずれか１記載のセキュア電子メディア管理システム。
【請求項１３】
データを保護するために複数の鍵を使用して生成した複数の電子署名を使用して作成されたセキュリティファイルに対し、前記データ真正性検証手段は、前記複数の電子署名のうち少なくとも一つの電子署名の検証に成功することでデータの検証が成功したとみなすことを特徴とする請求項９乃至１２のいずれか１記載のセキュア電子メディア管理システム。
【請求項１４】
請求項１乃至１３のいずれか１記載のセキュア電子メディア管理システムとして又は該システムの各手段として、コンピュータを機能させるプログラム。
【請求項１５】
請求項１４記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、セキュア電子メディア管理システム、方法、プログラム、及び記録媒体に関し、より詳細には、電子データの真正性を維持し、電子データを長期間に渡って電子的な証拠として扱うためのセキュリティメディアを管理するセキュア電子メディア管理システム、方法、さらには該システムとしてコンピュータを機能させるためのプログラム、及び該プログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【０００２】
【従来の技術】
情報システムが高度に発展する中、電子データのセキュリティについて関心が高まっている。セキュリティという言葉は広い意味で使用されるが、特に媒体に記録された電子データを証拠として扱えるよう真正性を確保する技術や、長期にデータを保存可能とする保存性確保の技術が電子政府の実現においても必要となってきている。電子データの長期保存の観点からすれば磁気ディスクよりも光ディスクが適していることは良く知られているため、様々な情報システムにおいて記録として残す電子データを最終的に光ディスクに記録するようにしたものが多くなってきている。
【０００３】
電子データを証拠として記録する技術としては、特開２０００−２８５０２４号公報「原本性保証電子保存方法及び装置」、特開２０００−３３９２２３号公報「原本性保証電子保存方法およびその方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体」、特開２００１−００５７２８号公報「原本性保証電子保存装置、原本性保証電子保存方法およびその方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体」、特開２００１−１４７８９８号公報「原本性保証電子保存方法、装置及びコンピュータ読み取り可能な記録媒体」、特開平１０−２８３２６２号公報「ファイルシステムおよびプログラム記憶媒体」、小尾他：原本性保証電子保存システムの開発―基本機能の実現―,Medical Imaging Technology,Vol.１６,No.４,Proceedings of JAMIT Annual Meeting'９８（１９９８）、金井他：原本性保証電子保存システムの開発―システムの構築―,Medical Imaging Technology,Vol.１６,No.４,Proceedings of JAMIT Annual Meeting'９８（１９９８）、国分他：原本性保証電子保存システムの開発,（特）情報処理振興事業協会発行  創造的ソフトウェア育成事業及びエレクトロニック・コマース推進事業  最終成果発表会論文集  創造的ソフトウェア育成事業編（１９９８）、金井：原本性保証電子保存システムについて,Vol.３４,No.８,行政＆ＡＤＰ（１９９８）、がある。
【０００４】
上述した技術は、証拠として残す電子データを外部から受け取り、その電子データに対して改ざん検知コードを計算する等の処理を行い、その改ざん検知コードを、受け取った電子データとともに光ディスクなどに記録するというものである。
【０００５】
【発明が解決しようとする課題】
これらの保存システムの場合、既に光ディスクに記録されている電子データを証拠として残すためには、一度光ディスクから電子データを読み出し、その電子データを保存システムに送り込み、保存システムが改ざん検知コードとともに電子データを新たな光ディスクに記録するという方法をとらざるを得なかった。この場合、既に光ディスクに電子データが記録されていたにもかかわらず、それを読み出してから再度光ディスクに記録するという無駄な処理を行わなければならなかった。
【０００６】
また、長期に渡って電子データを保存しておくことを想定した場合、上記の保存システムによって光ディスクに記録された改ざん検知コードは、周囲のシステムの計算能力の向上に伴って相対的に強度が低下するという問題があった。もちろん、そのような場合でも改ざん検知コードを強度の高いものにつけかえれば良いが、光ディスク一枚一枚の電子データ一つ一つに対して改ざん検知コードを計算し直すのは現実的ではない。すなわち、長期に渡る安全性を確保するのに手間がかかるという問題がある。
【０００７】
また、電子データの真正性を確保するために利用できる技術としては、メッセージ認証技術、電子署名技術（RSA digital signature PKCS #1）や電子公証技術（Surety社のDigital Notaryサービス）が広く知られている。それらの技術を使って、保存する電子データの真正性を確保する技術としては、上述の特開平１０−２８３２６２号公報及び特開２０００−２８５０２４号公報、さらには、特開平１０−２８３２６４号公報「複数の記録媒体へのデータ記録方法および記録内容の正当性検証方式」、特開平１１−１４３３６１号公報「電子データ保管装置、保管システム、および保管方法」、特開平１１−１４９４１３号公報「改ざん防止／検出機能を有するファイル管理システム」、特開２０００−１３２４５９号公報「データ保存システム」、特開２０００−１８１８０３号公報「鍵管理機能付電子データ保管装置および電子データ保管方法」等、数多く知られている。
【０００８】
しかしながら、これらの技術はすべて真正性を確保するシステム本体に保存された電子データについてのみ真正性の確保ができるものである。
【０００９】
本発明は上述のごとき実情に鑑みてなされたものであり、電子データの真正性を維持し、電子データを長期間に渡って安全性を確保しながら電子的な証拠として扱えるようにするセキュア電子メディア管理システム、方法、さらには該システムとしてコンピュータを機能させるためのプログラム、及び該プログラムを記録したコンピュータ読み取り可能な記録媒体を提供することをその目的とする。
【００１０】
また、本発明は、他のシステムによって光ディスク等のオフラインメディアに既に記録されている電子データやネットワーク経由で外部から受け取った電子データ、さらにはシステム内部で作成した電子データの真正性を維持し、電子データを長期間に渡って安全性を確保しながら電子的な証拠として扱えるようにするセキュア電子メディア管理システム、方法、さらには該システムとしてコンピュータを機能させるためのプログラム、及び該プログラムを記録したコンピュータ読み取り可能な記録媒体を提供することをその目的とする。
【００１１】
さらに、本発明は、長期間に亘ってセキュリティメディアを更新していく際にその真正性確保の状態を適切に保つことが可能な、セキュア電子メディア管理システム、方法、さらには該システムとしてコンピュータを機能させるためのプログラム、及び該プログラムを記録したコンピュータ読み取り可能な記録媒体を提供することを他の目的とする。
【００１２】
さらに、本発明は、既存のデータメディアを元にしてセキュリティメディアを作成する際、セキュリティメディアとデータメディアの関連性を確認することが可能な、セキュア電子メディア管理システム、方法、さらには該システムとしてコンピュータを機能させるためのプログラム、及び該プログラムを記録したコンピュータ読み取り可能な記録媒体を提供することを他の目的とする。
【００１３】
【課題を解決するための手段】
請求項１の発明は、データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、対象となるデータを記憶媒体から取得するデータ取得手段と、前記データからハッシュ値を算出する算出手段と、該データを保護するために前記データのファイル名と前記ハッシュ値とからなるセキュリティファイルを作成するセキュリティファイル作成手段と、該セキュリティファイルを１つ又は複数集めてセキュリティ情報を作成するセキュリティ情報作成手段と、該セキュリティ情報を前記記憶媒体とは異なるセキュリティメディアに記録するセキュリティ情報記録手段と、ユーザに処理結果を通知するレスポンス通知手段とを備えたことを特徴としている。
【００１４】
請求項２の発明は、請求項１の発明において、前記データ取得手段により取得したデータをデータメディアに記録してデータメディアを作成するデータメディア作成手段を更に備えたことを特徴としたものである。
【００１５】
請求項３の発明は、請求項１又は２の発明において、前記セキュリティ情報作成手段によって作成されたセキュリティ情報を保護するセキュリティ情報保護手段を更に備えたことを特徴としたものである。
【００１６】
請求項４の発明は、請求項１乃至３のいずれか１の発明において、前記セキュリティ情報作成手段によって作成されたセキュリティ情報が保護している対象データと、前記セキュリティ情報記録手段によって記録することにより作成されたセキュリティメディアとを関連付ける情報を作成するセキュリティメディア関連付け手段を更に備えたことを特徴としたものである。
【００１７】
請求項５の発明は、請求項１乃至４のいずれか１の発明において、前記セキュリティファイル作成手段は、外部から取得する公証データを使用して、前記データを保護することを特徴としたものである。
【００１８】
請求項６の発明は、請求項１乃至５のいずれか１の発明において、前記セキュリティファイル作成手段は、複数の鍵を使用して生成した複数の電子署名を使用して、前記データを保護することを特徴としたものである。
【００１９】
請求項７の発明は、データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、更新対象のセキュリティメディアからセキュリティ情報を取得するセキュリティ情報取得手段と、該セキュリティ情報を新しいセキュリティ情報に更新するセキュリティ情報更新手段と、該新しいセキュリティ情報を該セキュリティメディア又は新しいセキュリティメディアに記録するセキュリティ情報記録手段と、ユーザに処理結果を通知するレスポンス通知手段とを備え、セキュリティメディアを更新することを特徴としたものである。
【００２０】
請求項８の発明は、請求項７の発明において、データを保護するために複数の鍵を使用して生成した複数の電子署名を使用して作成されたセキュリティファイルに対し、前記セキュリティ情報更新手段は、前記複数の電子署名のうち少なくとも一つの電子署名の検証に成功することでセキュリティ情報の検証が成功したとみなしてセキュリティ情報の更新を行うことを特徴としたものである。
【００２１】
請求項９の発明は、データの真正性を確保するためのセキュア電子メディア管理システムであって、ユーザからの要求を受け付けるリクエスト受付手段と、対象となるデータを記憶媒体から取得するデータ取得手段と、メディアからセキュリティファイルを取得するセキュリティファイル取得手段と、前記データの真正性を該セキュリティファイルにより検証するデータ真正性検証手段と、ユーザに処理結果を通知するレスポンス通知手段とを備え、前記セキュリティファイルはデータのファイル名とデータから算出されたハッシュ値とを含むことを特徴としたものである。
【００２２】
請求項１０の発明は、請求項９の発明において、セキュリティメディアの中から、検証対象のデータに該当するセキュリティファイルを自動的に判別するセキュリティファイル自動判別手段を更に備えたことを特徴としたものである。
【００２３】
請求項１１の発明は、請求項９又は１０の発明において、セキュリティファイル取得手段によってセキュリティファイルを取得する際に、セキュリティメディアに記録されているセキュリティ情報の真正性を検証するセキュリティ情報検証手段を更に備えたことを特徴としたものである。
【００２４】
請求項１２の発明は、請求項９乃至１１のいずれか１の発明において、セキュリティ情報作成手段によって作成されたセキュリティ情報が保護している対象データと、セキュリティ情報記録手段によって作成されたセキュリティメディアとを関連付ける情報を作成するセキュリティメディア関連付け手段を更に備え、該セキュリティメディア関連付け手段によって作成された関連付け情報を元にして検証対象のデータから該データに該当するセキュリティメディアを検索するセキュリティメディア検索手段を更に備えたことを特徴としたものである。
【００２５】
請求項１３の発明は、請求項９乃至１２のいずれか１の発明において、データを保護するために複数の鍵を使用して生成した複数の電子署名を使用して作成されたセキュリティファイルに対し、前記データ真正性検証手段は、前記複数の電子署名のうち少なくとも一つの電子署名の検証に成功することでデータの検証が成功したとみなすことを特徴としたものである。
【００３０】
請求項１４の発明は、請求項１乃至１３のいずれか１記載のセキュア電子メディア管理システムの各手段として又は該システムの各手段として、コンピュータを機能させるプログラムである。
【００３１】
請求項１５の発明は、請求項１４記載のプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【００３２】
【発明の実施の形態】
図１及び図２は、本発明の一実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア作成処理を説明するための図である。
本実施形態に係るセキュア電子メディア管理システム（しばしば、本システムと略す）は、電子データ（以下、単にデータと称す）の真正性を確保するためのシステムである。本システムにおいてデータの真正性確保のためのセキュリティメディアを作成する処理は、データメディア登録処理及びそれに基づくセキュリティメディア作成処理を含むものとする。
【００３３】
データメディア登録処理においては、まず、データメディア登録要求，セキュリティメディア作成要求等のユーザからの様々な処理要求を受け付けるためのリクエスト受付手段１１により、ユーザからのデータメディア登録要求を受け付けると（ステップＳ１）、データ取得手段１４により保護対象となるデータ（登録するデータ）を取得する（ステップＳ２）。例えばデータメディアＭ１や記憶媒体Ｒ１からネットワークを介して、或いは本システムにマウントされたデータメディアＭ１や本システム内部の記憶媒体Ｒ１から取得する。セキュリティファイル作成手段１３により、取得データを保護するためのセキュリティファイルを作成する（ステップＳ３）。作成したセキュリティファイルは、実際にはセキュリティファイル記録手段１５により本システム内の内部記憶媒体Ｒ２に記録すればよい。
【００３４】
セキュリティメディア作成処理においては、まず、セキュリティ情報作成手段１６により、そのセキュリティファイルを１つ又は複数集めてセキュリティ情報を作成する（ステップＳ４）。実際には内部記憶媒体Ｒ２に記憶された該当する１又は複数のセキュリティファイルをセキュリティファイル取得手段１７により取得し、セキュリティ情報作成手段１６によりセキュリティ情報を作成する。セキュリティ情報記録手段１８により、そのセキュリティ情報をセキュリティメディアＭ２に記録する（ステップＳ５）。さらに、ユーザに様々な処理結果を通知するためのレスポンス通知手段１２により、ユーザにこの処理結果を通知する（ステップＳ６）。
【００３５】
図３及び図４は、本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア更新処理を説明するための図である。
本実施形態に係るセキュア電子メディア管理システム（以下、本システムと略す）は、データの真正性を確保するためのシステムである。本システムにおいては、データの真正性を確保するためのセキュリティメディア更新処理を実行できるものとする。なお、便宜上、図１におけるリクエスト受付手段１１，レスポンス通知手段１２，セキュリティ情報記録手段１８を本実施形態の説明において援用するが、本システムの対応する各手段を図１のシステムとは別の手段として設けてもよい。
【００３６】
本システムにおけるセキュリティメディア更新処理においては、リクエスト受付手段１１によりユーザからのセキュリティメディア更新要求を受け付けると（ステップＳ１１）、まず、セキュリティ情報取得手段２０により更新対象のセキュリティメディアＭ２からセキュリティ情報を取得する（ステップＳ１２）。セキュリティ情報更新手段１９により、そのセキュリティ情報を新しいセキュリティ情報に更新し（ステップＳ１３）、セキュリティ情報記録手段１８により、その新しいセキュリティ情報を取得元のセキュリティメディアＭ２もしくは新しいセキュリティメディアに記録する（ステップＳ１４）。さらに、レスポンス通知手段１２によりユーザに処理結果を通知する（ステップＳ１５）。
【００３７】
図５及び図６は、本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるデータ検証処理を説明するための図である。
本実施形態に係るセキュア電子メディア管理システム（以下、本システムと略す）は、データの真正性を確保するためのシステムである。本システムにおいては、データの真正性を確保するためのデータ検証処理を実行できるものとする。なお、便宜上、図１におけるリクエスト受付手段１１，レスポンス通知手段１２，データ取得手段１４及び図３におけるセキュリティ情報取得手段２０を本実施形態の説明において援用するが、本システムの対応する各手段を図１，図３のシステムとは別の手段として設けてもよい。
【００３８】
本システムにおけるデータ検証処理においては、リクエスト受付手段１１によりユーザからのデータ検証要求を受け付けると（ステップＳ２１）、対象データ及びセキュリティファイルを取得する（ステップＳ２２，Ｓ２３）。セキュリティファイルは、セキュリティファイル取得手段（実際にはセキュリティ情報内のセキュリティファイルを取得するのでセキュリティ情報取得手段２０）によりセキュリティメディアＭ２から取得する。一方、対象となるデータは、データ取得手段１４により取得する。例えばデータメディアＭ１や記憶媒体Ｒ１からネットワークを介して、或いは本システムにマウントされたデータメディアＭ１や本システム内部の記憶媒体Ｒ１から取得する。データ真正性検証手段２１により、取得したデータの真正性をそのセキュリティファイルによって検証する（ステップＳ２４）。さらに、レスポンス通知手段１２によりユーザに処理結果を通知する（ステップＳ２５）。
【００３９】
図７は、本発明の他の実施形態に係るセキュア電子メディア管理システムの一構成例を示す図である。
本実施形態のセキュア電子メディア管理システムは、上述した各実施形態のいずれか複数のシステムを組み合わせたシステムであり、例えば全て組み合わせた場合には、少なくともリクエスト受付手段１１，レスポンス通知手段１２，セキュリティファイル作成手段１３，データ取得手段１４，セキュリティファイル記録手段１５，セキュリティ情報作成手段１６，セキュリティファイル取得手段１７，セキュリティ情報記録手段１８，セキュリティ情報更新手段１９，セキュリティ情報取得手段２０，データ真正性検証手段２１を含むこととなる。なお、各手段に関する詳細な説明は省略する。
【００４０】
（実施例）
図８は、本発明に係るセキュア電子メディア管理システムの一実施例を示す構成図で、図中、３０はセキュア電子メディア管理システム（以下、本システムと略す）、３８は本システム３０とネットワーク（一般的な通信路で構わない）で接続されたエンドユーザ端末，業務サーバ装置等の外部システムである。セキュア電子メディア管理システム３０は、通信ネットワークを介して外部システム３８との通信を行うためのインターフェース部である通信ポート３１と、セキュリティファイルの電子署名を検証する暗号処理ボード３２と、持ち運び可能なデータ記憶媒体を駆動させる駆動装置の一例としての光ディスクドライブ１（３４），光ディスクドライブ２（３５）と、ＥＥＰＲＯＭ，ＨＤＤ等の内部記憶媒体３６と、ＲＯＭ，ＨＤＤ等のプログラム格納媒体３７とを具備する。
【００４１】
通信ポート３１は、上述したデータメディア登録処理，セキュリティメディア作成処理，セキュリティメディア更新処理，データ検証処理等の指示及びそれらの処理結果の通知を外部システム３８との間で送受信するためのポートである。
【００４２】
プログラム格納媒体３７は、主制御プログラム、本発明に係る電子メディア管理プログラムなどの各種プログラム、実際には上述した又は後述する各手段として本システムを機能させるためのプログラムを格納したメモリであり、例えば書換可能なＥＥＰＲＯＭや読み出し専用のＲＯＭなどからなる。プロセッサ３３は、プログラム格納媒体３７に格納された各種プログラムを読み出して実行する制御装置である。内部記憶媒体３６は、各種プログラムの実行に必要となるパラメータを記憶し、さらにセキュリティファイルやシリアル番号等を記憶するＥＥＰＲＯＭなどからなるメモリである。
【００４３】
暗号処理ボード３２としては、三菱電機のＭＩＳＴＹＫＥＹＰＥＲ等が例として挙げられる。基本的に、ボード内部で公開鍵暗号方式の鍵ペアを生成することができ、その鍵ペアをボード内部で保持することができ、その鍵ペアに対して外部で発行された公開鍵認証書をボード内部で保持することができ、その鍵を使用してボード内部で暗号処理を実行することができ、さらに生成した秘密鍵は外部に読み出すことができず、ボード自身が物理的な耐タンパー性を持っているようなものを想定している。
【００４４】
図８におけるセキュア電子メディア管理システム３０では、暗号処理を行う暗号処理ボード３２を組み込み、暗号処理ボード３２で鍵生成，鍵保管，暗号化，復号化の処理を行っているが、プログラム格納媒体３７に鍵生成プログラム，暗号化プログラム，復号化プログラムなどを格納し、プロセッサ３３によってそれらプログラムを実行する方式としてもよい。その際、鍵生成プログラムにより生成された、或いは外部で生成した公開鍵ペアの秘密鍵を暗号処理ボード３２のようなハードウェアを使用して、ハードウェア内部に安全に保管することが好ましい。
【００４５】
本システムで外部からの要求を受けて様々な処理を行う前に、既に暗号処理ボード３２は内部で公開鍵暗号方式の鍵ペアを生成してあり、生成した鍵ペアのうちの公開鍵に対して外部で発行された公開鍵認証書を内部に保持してあることを想定している。さらに、生成した鍵ペアのうち、秘密鍵を使用して電子署名を生成することができ、公開鍵を使用して電子署名を検証できる状態となっていることを想定している。
【００４６】
図９及び図１０は、図８のセキュア電子メディア管理システムにおけるセキュリティメディア作成処理の一実施例を説明するための図である。以下、図８乃至図１０を参照しながら、本実施例を図１の各手段に基づいて詳細に説明する。
データメディア登録処理においては、光ディスクドライブ１（３４）に光ディスク（データメディア４１）を装着しておく。リクエスト受付手段１１により、外部システム３８を使用するユーザからネットワーク経由でデータメディア登録処理の要求を受け取ると、まず、データ取得手段１４により光ディスクドライブ１（３４）にマウントされたデータメディア４１に記録されているすべての保護対象の電子データ（ファイル）４２を読み出す。次に、セキュリティファイル作成手段１３により、取得したデータファイル４２に対して次の（１）〜（５）に基づきセキュリティファイル４５を作成する。すなわち、（１）データ取得手段１４で得られた各ファイル４２に対してそれぞれハッシュ値４３を計算する。（２）読み出したファイル４２のファイル名と、計算したハッシュ値４３のペアを１エントリ（ハッシュエントリ）とするリスト（ハッシュリスト）４４を作成する。（３）内部記憶媒体３６からデータメディアシリアル番号を読み出す。（４）データメディアシリアル番号を１増加させて内部記憶媒体３６に記録する。（５）ハッシュリスト４４に対して本システム内部（ここでは暗号処理ボード３２）に保持している秘密鍵で電子署名を計算し、その電子署名をハッシュリスト４４にて付与し、セキュリティファイル４５とする。
【００４７】
セキュリティファイル作成手段１３で作成したセキュリティファイル４５を、セキュリティファイル記録手段１５によりデータメディアシリアル番号を含むファイル名で内部記憶媒体３６に記録する。その後、レスポンス通知手段１２により、データメディア登録結果としてデータメディアシリアル番号をネットワーク経由で外部（要求元）に通知する。なお、後述の実施例で説明するが、要求元は、通知されたデータメディアシリアル番号をデータメディア４１に電子データとして記録するか、データメディア４１の表面にラベルとして印刷しておくか、外部データベースで管理するか等して、データメディア４１とデータメディアシリアル番号の関係付けを行っておくことが好ましい。
【００４８】
内部記憶媒体３６に記録されたセキュリティファイル４５をセキュリティメディア４６に記録する処理においては、光ディスクドライブ２（３５）に新しい光ディスク（セキュリティメディア）４６を装着しておく。まず、リクエスト受付手段１１により、外部システム３８を使用するユーザからセキュリティメディア作成要求とともにデータメディアシリアル番号のリストをネットワーク経由で受け付けておく。セキュリティファイル取得手段１７により、リクエスト受付手段１１で受け付けたリストに含まれるデータメディアシリアル番号に該当するセキュリティファイル４５を内部記憶媒体３６から読み出して取得する。セキュリティ情報作成手段１６により、次の（１）〜（３）に基づいてセキュリティ情報を作成する。すなわち、（１）内部記憶媒体３６からセキュリティメディアシリアル番号を読み出す。（２）セキュリティメディアシリアル番号を１増加させて内部記憶媒体３６に記録する。（３）セキュリティファイル取得手段１７により取得したセキュリティファイル４５とセキュリティメディアシリアル番号をまとめてセキュリティ情報とする。作成されたセキュリティ情報は、セキュリティ情報記録手段１８により光ディスクドライブ２（３５）にマウントされたセキュリティメディア４６に記録する。レスポンス通知手段１２により、外部システム３８を使用するユーザに、セキュリティメディア作成結果としてセキュリティメディアシリアル番号をネットワーク経由で通知する。なお、セキュリティファイル４５もシリアル番号を付与して表すようにしてもよい。
【００４９】
図８のセキュア電子メディア管理システムにおけるセキュリティメディア更新処理の一実施例を図３の各手段に基づいて詳細に説明する。
長期に渡って真正性を確保するために、セキュリティメディアの更新を行うことがある。本実施例のセキュリティメディア更新処理を行うには、まず、光ディスクドライブ１（３４）に更新するセキュリティメディアを、光ディスクドライブ２（３５）に新しい光ディスクを、それぞれ装着しておく。
この状態で、リクエスト受付手段１１により、外部システム３８を使用するユーザからネットワーク経由でセキュリティメディア更新要求を受け付け、セキュリティ情報取得手段２０により、光ディスクドライブ１（３４）にマウントされている更新対象のセキュリティメディアからすべてのセキュリティ情報を読み出す。セキュリティ情報更新手段１９により、次の（１）〜（５）に基づいて取得したセキュリティ情報を更新し、新しいセキュリティ情報を作成する。すなわち、（１）読み出したセキュリティ情報に含まれる各セキュリティファイルの電子署名を、暗号処理ボード３２を使用して検証する。（２）検証に成功したセキュリティファイルのみ、暗号処理ボード３２で電子署名を計算しなおしてセキュリティファイルに付与する。（３）内部記憶媒体３６からセキュリティメディアシリアル番号を読み出す。（４）セキュリティメディアシリアル番号を１増加させて内部記憶媒体３６に記録する。（５）電子署名を付与しなおしたセキュリティファイルとセキュリティメディアシリアル番号をまとめてセキュリティ情報とする。この新しいセキュリティ情報は、セキュリティ情報記録手段１８により、光ディスクドライブ２（３５）にマウントされている新しいセキュリティメディアに記録される。レスポンス通知手段１２により、外部システム３８を使用するユーザに、セキュリティメディア更新結果として新しいセキュリティメディアシリアル番号をネットワーク経由で通知する。
【００５０】
この更新処理を行うのは、暗号アルゴリズムとして新しい強度の高いものに変更する場合が主になるため、この処理を行う前に、新しい暗号アルゴリズムに対応するため、新しい暗号処理ボードが本システムに装着されていることを想定している。新しい暗号処理ボードには、古い暗号処理ボードで使用していた秘密鍵に対応する公開鍵証明書を記録しておくことになる。
【００５１】
この方法の場合、セキュリティファイルに含まれているハッシュ値の更新がなされないが、電子署名を計算するのに用いた秘密鍵を解読するのに比較して、同じハッシュ値を持つ「意味のある」電子データを作成することの方が遥かに困難であるため構わない。
【００５２】
図８のセキュア電子メディア管理システムにおけるデータ検証処理の一実施例を図５の各手段に基づいて詳細に説明する。
作成されたセキュリティメディアは本システムで利用することも可能であるが、外部で利用することも可能である。セキュリティメディアに記録されるセキュリティファイルの仕様を公開することにより、基本的には公開鍵暗号方式を使用して外部でもデータメディア内のデータの真正性を検証することができる。ここでは本システムでデータメディアの真正性検証を行う場合の処理を説明する。基本的には外部においても処理することは同じである。
【００５３】
本実施例におけるデータ検証処理を行うには、まず、光ディスクドライブ１（３４）に検証するデータメディアを、光ディスクドライブ２（３５）にデータメディアに対応するセキュリティメディアを、それぞれ装着しておく。
この状態で、リクエスト受付手段１１により、外部システム３８を使用するユーザからデータ検証要求とともにファイル名，データメディアシリアル番号をネットワーク経由で受け付ける。次に、セキュリティ情報取得手段２０により光ディスクドライブ２（３５）にマウントされたセキュリティメディアに記録されているセキュリティ情報のうち、指定されたデータメディアシリアル番号に該当するセキュリティファイルを読み出す。データ取得手段１４により、光ディスクドライブ１（３４）にマウントされたデータメディアから、指定されたファイル名のファイル（保護されている対象データ）を読み出す。データ真正性検証手段２１により、次の（１）〜（５）に基づき対象データ（ファイル）の真正性を検証する。すなわち、（１）読み出したセキュリティファイルに付与されている電子署名を暗号処理ボード３２により検証する。（２）検証に成功した場合、そのセキュリティファイルに記録されている、外部から指定されたファイル名に対応するハッシュ値を取り出し、検証に失敗した場合には外部（要求元）にエラーを通知する。（３）読み出したファイルのハッシュ値を計算する。（４）計算したハッシュ値と先に取り出したハッシュ値を比較する。（５）比較して一致すれば真正性の検証成功とし、ハッシュ値が異なればエラーとする。なお、レスポンス通知手段１２により、外部システム３８を使用するユーザに、データ検証結果をネットワーク経由で通知する。
【００５４】
電子署名の計算方法、付与方法、検証方法はＰＫＣＳ  ＃７（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｃｒｙｐｔｏｇｒａｐｈｙ  Ｓｔａｎｄａｒｄ）のような標準に従って行えばよい。また、電子署名データには上位の認証書がすべて記録されることを想定している。
【００５５】
上述の説明で分かるように、図８のシステム構成例においては、光ディスクドライブ１（３４）はデータメディアやセキュリティメディアの読み出しにしか使用していない。したがって、本発明のセキュア電子メディア管理システムに直接接続されているデータメディア用ドライブではなく、例えばネットワークを介して他のシステム（例えばメディアジュークボックス等）に装着されているデータメディアからデータを取り出すようにしても構わない。また、メディアの差し替えを行えば、光ディスクドライブ１（３４）が光ディスクドライブ２（３５）の役割も果たすようなシステム構成でも構わない。
【００５６】
（ユーザインタラクションに関する別実施例）
図８で説明した各実施例では、リクエスト受付手段１１により外部（ユーザ）からネットワーク経由で処理要求を受け取り、レスポンス通知手段１２によりその処理結果をネットワーク経由で返している。すなわち、ユーザと本システムとのインタラクションはネットワーク経由のみとなっている。本発明に係るセキュア電子メディア管理システムがネットワークに接続されずに単体で動作するように実現される場合には、システムとユーザ間のやり取りを以下のようにすることもできる。
【００５７】
図１１は、本発明の他の実施形態に係るセキュア電子メディア管理システムの一構成例を示す概観図で、ユーザインタラクションに関する別実施例のイメージを説明するための図で、図中、５０はこの実施例のセキュア電子メディア管理システムである。
図８で説明したデータメディア登録処理におけるリクエスト受付手段１１では、外部からのデータメディア登録要求を受け付けていたが、本実施例のセキュア電子メディア管理システム（しばしば、本システムと略す）５０においては、少なくとも図８のシステム３０における暗号処理ボード３２，プロセッサ３３，内部記憶媒体３６，プログラム格納媒体３７，データメディア用に光ディスクドライブ１（３４），セキュリティメディア用に光ディスクドライブ２（３５）に対応する構成要素が具備されているものとし、さらに、リクエスト受付手段１１としてデータメディア登録ボタン５１を設けている。ユーザが本システム５０に接続されているデータメディア登録ボタン５１を押すことによって、データメディア登録要求を受け付け、ユーザのシステム操作を簡便に行うことを可能としている。
【００５８】
同様に、セキュリティメディア作成処理におけるリクエスト受付手段１１においても外部からのセキュリティメディア作成要求を受け付けていたが、本実施例のセキュア電子メディア管理システム５０におけるリクエスト受付手段１１においては、ユーザが本システム５０に接続されているセキュリティメディア作成ボタンを押すことによって、セキュリティメディア作成要求を受け付けることを可能としている。なお、図１１では、セキュリティメディア作成ボタンは上述のデータメディア登録ボタン５１と兼ねたボタンとして示している。要求とともに渡されるべきデータメディアシリアル番号のリストは、本システム５０が内部に保持しているすべてのセキュリティファイルに該当するデータメディアシリアル番号のリストとする。
【００５９】
さらに、セキュリティメディア更新処理におけるリクエスト受付手段１１においても外部からのセキュリティメディア更新要求を受け付けていたが、本実施例のセキュア電子メディア管理システム５０におけるリクエスト受付手段１１においては、ユーザが本システムに接続されているセキュリティメディア更新ボタン５２を押すことによって、セキュリティメディア更新要求を受け付けることを可能としている。
【００６０】
さらに、データ検証処理におけるリクエスト受付手段１１においても外部からのデータ検証要求を受け付けていたが、本実施例のセキュア電子メディア管理システム５０におけるリクエスト受付手段１１においては、ユーザが本システム５０に接続されているデータ検証ボタン５３を押すことによって、データ検証要求を受け付けることを可能としている。要求とともに渡されるべきデータメディアシリアル番号は、次のセキュリティファイル自動判別手段により自動的に取得する。また、要求とともに渡されるべき検証対象（ファイル名）は、データメディア中の全ファイルとする。
【００６１】
セキュリティファイル自動判別手段における判別処理では、光ディスクドライブ３４にはデータメディアが、光ディスクドライブ３５にはそのデータメディアに対応するセキュリティメディアがマウントされていることを想定し、次の（１）〜（７）に基づいてセキュリティファイルを自動的に判別する。
（１）光ディスクドライブ３４にマウントされたデータメディアに記録されているすべてのデータ（ファイル）のリストを作成する。
（２）そのファイルリストと内容が一致するセキュリティファイルを、光ディスクドライブ３５にマウントされたセキュリティメディアから検索する。勿論、検索を高速化するためにハッシュテーブルを作成して合致するものを探すことが好ましい。
（３）ファイルリストが一致するメディアが複数検索に引っかかってしまった場合には、データメディアからいくつかのファイルを順番又はランダムに読み出す。
（４）そのファイルのハッシュ値を計算する。
（５）検索に引っかかったセキュリティファイルの中のハッシュ値、ファイル名のペアと一致するかどうか確認する。
（６）上述の（３）〜（５）の作業を何回か繰り返すことによって完全に一致するセキュリティファイルを特定する。
（７）一致したセキュリティファイルにファイル名として付与されているものがデータメディアシリアル番号となる。
【００６２】
なお、図１１においては物理的に各種ボタン５１，５２，５３を設けた例を示しているが、本システム５０と接続した表示装置の画面上に各種ボタンに対応する処理を行うためのグラフィカルユーザインターフェイスを設けるよう設計してもよい。勿論、外部からの登録要求を受け付けるための通信ポートを併せて具備してもよい。
【００６３】
図１１を参照して説明した各実施例を組み合わせることにより、すべてユーザからの入力作業がワンタッチでできるようになる。したがって、上述した説明において「ボタンを押す」と記述したところを、音声による指示で要求が出せるようにすることも、認識しなければならない指示内容が基本的に４種類しかないため比較的容易である。上述の実施例の特徴はボタンを押すことではなく、ワンタッチで指示できるようにしたことである。また、セキュリティファイルの自動判別手段を設けたところも特徴がある。図１１で説明した各実施例によれば、外部で作成されたメディア（外部システムで保存されたデータ）であれ、システム内で作成したメディア（システム内に保存されたデータ）であれ、その真正性を確保できるようにしたところであり、さらにはその真正性確保の状態を適切に保つことが可能となる。
【００６４】
次に、レスポンス通知手段１２に関する別実施例を説明する。
図８で説明したデータメディア登録処理，セキュリティメディア作成処理におけるレスポンス通知手段１２においては、外部へそれぞれデータメディア登録結果，セキュリティメディア作成結果を通知していたが、本実施例のセキュア電子メディア管理システム（以下、本システムと略す）におけるレスポンス通知手段１２では、それぞれデータメディアシリアル番号，セキュリティメディアシリアル番号を本システム（例えば上述のシステム５０）に接続されているステータスモニタ（表示装置）に表示することによって、ユーザにそれぞれデータメディア登録結果，セキュリティメディア作成結果を通知することを可能としている。
【００６５】
同様に、セキュリティメディア更新処理におけるレスポンス通知手段１２においても外部へセキュリティメディア更新結果を通知していたが、本実施例のセキュア電子メディア管理システムにおけるレスポンス通知手段１２では、新しいセキュリティメディアシリアル番号を本システムに接続されているステータスモニタ（表示装置）に表示することによって、ユーザにセキュリティメディア更新結果を通知することを可能としている。
【００６６】
さらに、データ検証処理におけるレスポンス通知手段１２においても外部へデータ検証結果を通知していたが、本実施例のセキュア電子メディア管理システムにおけるレスポンス通知手段１２では、本システムに接続されているステータスモニタ（表示装置）に表示することによって、ユーザにデータ検証結果を通知することを可能としている。
【００６７】
上述したレスポンス通知手段１２の各実施例によれば、ユーザが特別な操作をせずにユーザに処理結果を通知できる。また、ユーザへの通知についてもステータスモニタに表示するだけでなく、音声による結果通知を行ってもよい。
【００６８】
（データ入力に関する別実施例）
図８を参照した各実施例では、セキュリティ保護したい電子データが保存されたデータメディアをセキュア電子メディア管理システムにマウントし、そのデータメディアからハッシュ値を取り出してハッシュリストを作成し、そのハッシュリストを暗号技術で保護してセキュリティメディアに格納するというセキュリティメディア作成処理を説明した。そのため、すでに保護したい電子データはデータメディアという形で光ディスクなどに書き込まれていることを想定していた。勿論このような仕組みであれば、既存のシステムと光ディスクを介して接続できるため、非常に親和性が高く便利である。しかしその一方で、セキュア電子メディア管理システムにも光ディスク書き込み装置が備えられているのに、データメディアを作成するために外部にも別途光ディスク書き込み装置を持たなければならなくなる。したがって、データメディアが光ディスクである必要もなく、図８のシステムにネットワーク接続されたコンピュータ内のハードディスク等の記憶媒体（記憶装置）であっても、その真正性を確保することが可能なシステム、すなわち光ディスクに記録されていない電子データであってもその真正性を確保することが可能なシステムであることが好ましい。さらに、真正性を確保すると同時に光ディスクに書き出すことが可能なシステムが好ましい。
【００６９】
そこで、図８で説明したデータメディア登録処理におけるデータ取得手段１４の代替手段としてデータメディア作成手段を更に設けた（或いはデータメディア作成手段を備えたデータ取得手段の）別実施例を挙げる。なお、本実施例においてはデータメディアを作成する手順を含んでいるため、先のセキュリティファイル自動判別手段は次のように非常に簡素化可能となる。すなわち、光ディスクドライブ１（３４）にはデータメディアが、光ディスクドライブ２（３５）にはそのデータメディアに対応するセキュリティメディアがマウントされていることを想定し、（１）光ディスクドライブ１（３４）にマウントされたデータメディアからデータメディアシリアル番号を取得し、（２）データメディアシリアル番号が取得できないときは上述したセキュリティファイル自動判別手段で取得する。
【００７０】
本実施例におけるデータ取得手段１４においては、次の（１）〜（３）に基づきデータを取得する。すなわち、（１）ネットワーク経由で受け取ったデータ（ファイル）を本実施例のセキュア電子メディア管理システム（以下、本システムと略す）の内部記憶媒体に格納する。（２）リクエスト受付手段１１でデータメディアの登録が要求されると、内部記憶媒体に格納されているファイルをすべて読み出す。（３）セキュリティファイル作成手段１３で得られるデータメディアシリアル番号と先に読み出したファイルを元に、次の（１），（２）に基づくデータメディア作成手段によってデータメディアに書き込む。すなわち、（１）光ディスクドライブ１（３４）にマウントされている新しいデータメディアに、受け取ったファイルを書き込み、（２）データメディアにデータメディアシリアル番号をボリューム名として記録する。
【００７１】
本実施例においてネットワーク経由でファイルを受け取る最も簡便な方法は、本システムの内部ＨＤＤを共有フォルダとしてネットワーク上で共有しておき、普段は自由にネットワーク経由で共有フォルダのアクセスを可能にしておくことである。ＵＮＩＸ（登録商標）のｑｕｏｔａのような仕組みを活用して、共有フォルダに格納できるデータ容量を光ディスク１枚に書き込める容量に制限するということをすれば、ユーザから光ディスクへの書き出しが要求された時点で共有フォルダに格納されている電子データがすべて光ディスクに書き込めるため、余分な処理が必要なく簡便である。
【００７２】
また、図８で説明したデータ検証処理におけるデータ取得手段１４として、次の（１）〜（５）に基づきデータを取得するようにしてもよい。すなわち、（１）ファックス回線を通してファックスデータを受け取る。（２）受け取ったファックスデータをイメージデータに変換する。（３）イメージデータをファイルとして本システムの内部記憶媒体に格納する。（４）図１１で説明したデータメディア登録処理におけるリクエスト受付手段１１でデータメディアの登録が要求されると、内部記憶媒体に格納されているファイルをすべて読み出す。（５）データメディア登録処理におけるセキュリティファイル作成手段１３で得られるデータメディアシリアル番号と、先に読み出したファイルを元に、上述したデータメディア作成手段によってデータメディアに書き込む。
【００７３】
本実施例によれば、ファックスデータを受け取ってそれをデータメディアとしてそのまま記録し、セキュリティファイルでロックをかけるようにすることで、ファックスデータを受け取ったという証拠を本システムにより残すことができるようになる。
【００７４】
ここで上述した別実施例の特徴は、ネットワーク経由やファックス経由のデータ入力を実施例として示したことよりも、データメディア作成手段を設けたことである。データメディア作成手段を設けたことで、ユーザは別途光ディスク書き込み装置をもつ必要がなく、また、データメディアにシリアル番号が記載されるため、セキュリティファイルの検索も非常に高速化されて利便性が高まることになる。
【００７５】
（セキュリティプロテクトに関する別実施例）
図８を参照した各実施例では、セキュリティファイル作成手段１３において、セキュリティファイルを保護する方法として暗号処理ボードで電子署名を計算している。暗号処理ボードを使用することにより、電子署名に使用する秘密鍵を極力漏洩しないように保護しているが、周囲の情報システムの計算能力向上によって秘密鍵が解読されたり、偶然に秘密鍵が暴露されたりすることにより、セキュリティメディアの信頼性が低下してしまう可能性がある。したがって、長期間に亘ってセキュリティメディアを更新していく際に秘密鍵が破られたときの対策（セキュリティ強化）を講じておくことが好ましい。
【００７６】
そこで、セキュリティファイル作成手段１３として、次の（１）〜（５）に基づいてセキュリティファイルを作成するようにしてもよい（第２のセキュリティファイル作成手段）。すなわち、（１）データ取得手段１４で得られた各ファイルに対してそれぞれハッシュ値を計算する。（２）読み出したファイルのファイル名と、計算したハッシュ値のペアを１エントリとするリスト（ハッシュリスト）を作成する。（３）内部記憶媒体からデータメディアシリアル番号を読み出す。（４）データメディアシリアル番号を１増加させて内部記憶媒体に記録する。（５）ハッシュリストに対して、次の改ざん検知コード取得手段により改ざん検知コードを取得し、それをハッシュリストに付与してセキュリティファイルとする。
【００７７】
改ざん検知コード取得手段では、次の（１）〜（３）に基づき改ざん検知コードを取得する。すなわち、（１）ハッシュリストに対してハッシュ値を計算し、ハッシュリストハッシュとする。（２）ハッシュリストハッシュを外部の電子公証サービス（Ｓｕｒｅｔｙ社など）にネットワーク経由で送付し、電子公証データ（セキュアタイムスタンプ等）を取得する。（３）取得した電子公証データを改ざん検知コードとする。
【００７８】
第２のセキュリティファイル作成手段を使用することで、セキュリティ強度を高めることができる。すなわち、このセキュリティファイル作成手段を使用すると、例えばＳｕｒｅｔｙ社が提供するＤｉｇｉｔａｌ  Ｎｏｔａｒｙサービスは、秘密鍵を使用せずに改ざん検知コードとして使用できる安全なタイムスタンプを提供するため、鍵が暴露されることを心配する必要はない。したがって、セキュリティメディア更新処理のような処理そのものが必要なくなる。その上、セキュリティファイルの作成日時が確定されるため、データメディアが存在していた日時を証明するためにも役立てることができる。もちろん他にも例えばＤｉｇｉＳｔａｍｐ社もタイムスタンプサービスを提供しているため、それを利用することも可能である。ＤｉｇｉＳｔａｍｐ社の場合にはタイムスタンプとして電子署名技術を応用しているため、有効期限が切れる前にタイムスタンプ自身の更新は行わなければならない。
【００７９】
また、上述の第２のセキュリティファイル作成手段において、次の（１）〜（３）に基づく改ざん検知コード取得手段により改ざん検知コードを取得し、セキュリティファイルの作成に使用するようにしてもよい（第３のセキュリティファイル作成手段）。すなわち、（１）ハッシュリストに対して暗号処理ボードに格納されている署名鍵１（認証局１による公開鍵証明書有り）を使用して署名アルゴリズム１により電子署名１を計算する。（２）ハッシュリストに対して暗号処理ボードに格納されている署名鍵２（認証局２による公開鍵証明書有り）を使用して署名アルゴリズム２により電子署名２を計算する。（３）電子署名１と電子署名２を合わせて改ざん検知コードとする。
【００８０】
ここでのセキュリティファイル作成手段（第３）を使用すると、二つの署名鍵が同時に暴露される可能性は極めて低くなるため、セキュリティ強度、すなわち安全性を高めることができる。
【００８１】
本システムを普通に運用したとき、セキュリティメディア更新処理のような処理を実施しなければならなくなるのは、セキュリティメディアに記録されているセキュリティファイルの電子署名の有効期限が切れる直前ということになる。しかし、有効期限が切れる前に何らかの理由（例えばルート認証局の鍵が暴露されたなど）で、セキュリティファイルを保護していた電子署名に使用していた署名鍵の公開鍵証明書がＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ）に載ってしまう可能性がある。そのような状況が起こると、図１で説明したセキュリティファイル作成手段１３における方法の場合には、セキュリティファイルを保護していた電子署名はもはや信頼できないため、セキュリティメディアの更新ができなくなってしまうことになる。
【００８２】
しかし、上述の第３のセキュリティファイル作成手段における方法を用いれば、セキュリティファイルを保護していた２つの署名鍵の公開鍵証明書が両方とも同時にＣＲＬに掲載される可能性は極めて低いため、万が一片方の署名鍵の公開鍵証明書がＣＲＬに掲載された場合には、そのタイミングでセキュリティメディア更新処理を実行することができる。その時点ではもう片方の署名鍵による電子署名は有効であるため、セキュリティメディア更新処理の実行には支障をきたさないようにできる。
【００８３】
さらに別のセキュリティプロテクトに関する実施例として、上述の第３のセキュリティファイル作成手段に対応して、データ真正性検証手段２１の代替実施例を示す。
図５で説明したデータ検証処理におけるデータ真正性検証手段２１として、次の（１）〜（６）に基づくデータ真正性検証手段（第２）でデータの真正性検証を行うようにしてもよい。すなわち、（１）読み出したセキュリティファイルに付与されている改ざん検知コード（電子署名１と電子署名２）を暗号処理ボードにより検証する。（２）少なくとも片方の検証（検証にはＣＲＬの確認も含む）に成功した場合、そのセキュリティファイルに記録されている、外部から指定されたファイル名に対応するハッシュ値を取り出す。（３）読み出したファイルのハッシュ値を計算する。（４）計算したハッシュ値と先に取り出したハッシュ値を比較する。（５）比較して一致すれば検証成功とする。（６）ただし、電子署名１と電子署名２の両方の検証が成功していない場合にはレスポンス通知手段によりセキュリティメディアの更新を促す警告を通知する。
【００８４】
さらに別のセキュリティプロテクトに関する実施例として、第３のセキュリティファイル作成手段に対応して、図３で説明したセキュリティ情報更新手段１９の代替実施例を示す。
図３で説明したセキュリティメディア更新処理におけるセキュリティ情報更新手段１９として、次の（１）〜（５）に基づくセキュリティ情報更新手段（第２）でセキュリティ情報の更新を行うようにしてもよい。すなわち、（１）読み出したセキュリティ情報に含まれる各セキュリティファイルの改ざん検知コード（電子署名１と電子署名２）を、暗号処理ボードを使用して検証する。（２）少なくとも片方の検証に成功したセキュリティファイルのみ、暗号処理ボードで改ざん検知コードを新しい署名鍵で計算しなおしてセキュリティファイルに付与する。（３）内部記憶媒体からセキュリティメディアシリアル番号を読み出す。（４）セキュリティメディアシリアル番号を１増加させて内部記憶媒体に記録する。（５）改ざん検知コードを付与しなおしたセキュリティファイルとセキュリティメディアシリアル番号をまとめてセキュリティ情報とする。
【００８５】
さらに、別のセキュリティプロテクトに関する実施例を説明する。
セキュリティメディアを作成するセキュリティメディア作成処理において、図１で説明したセキュリティ情報作成手段１６では単にセキュリティメディア番号とセキュリティファイルをまとめてセキュリティ情報としているだけであるが、このセキュリティ情報そのものは保護されていないため、セキュリティメディアに記録されたセキュリティ情報が何者かによって改ざんされる可能性がある。そこで、以下にセキュリティ情報作成手段１６の代替手段としてセキュリティ情報作成手段（第３）を示す。
【００８６】
本実施例においては、図１で説明したセキュリティメディア作成処理におけるセキュリティ情報作成手段１６として、次の（１）〜（４）に基づくセキュリティ情報作成手段（第３）でセキュリティ情報の作成を行う。すなわち、（１）内部記憶媒体からセキュリティメディアシリアル番号を読み出す。（２）セキュリティメディアシリアル番号を１増加させて内部記憶媒体に記録する。（３）セキュリティファイル取得手段１７で取得したセキュリティファイルとセキュリティメディアシリアル番号をまとめてセキュリティ情報とする。（４）セキュリティ情報を次のセキュリティ情報保護手段により保護したセキュリティ情報とする。
【００８７】
図１２は、本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるセキュリティ情報保護処理を詳細に説明するための図で、セキュリティメディアのプロテクトの概念を示す図である。
セキュリティ情報保護手段では、次の（１）〜（５）に基づきセキュリティ情報を保護する。すなわち、（１）セキュリティ情報に含まれる各セキュリティファイル４５のファイル名と、そのファイルに含まれる電子署名を一つのエントリとするセキュリティファイルリスト４７を作成する。（２）セキュリティ情報に含まれるセキュリティメディア４６のシリアル番号を、そのセキュリティファイルリスト４７に付与する。（３）セキュリティメディアシリアル番号が付与されたセキュリティファイルリスト４８に対して暗号処理ボードで電子署名を計算する。（４）計算した電子署名をセキュリティファイルリスト４７に付与する。（５）セキュリティファイルリスト（電子署名付与後のセキュリティファイルリスト４８）と元のセキュリティ情報をあわせて新しいセキュリティ情報とする。
これにより、セキュリティメディアに記録されている情報そのものについても不正な改ざんから保護することができる。
【００８８】
さらに別のセキュリティプロテクトに関する実施例を説明する。
セキュリティメディアが改ざんされた場合にはそれを検出できるよう、データ検証をするデータ検証処理におけるセキュリティ情報取得手段２０の代替手段として、次の（１）〜（４）に基づくセキュリティ情報取得手段（第２）を適用すればよい。すなわち、（１）光ディスクドライブ２（３５）にマウントされたセキュリティメディアに記録されているセキュリティ情報のうち、指定されたデータメディアシリアル番号に該当するセキュリティファイルを読み出す。（２）後述するセキュリティ情報検証手段により、セキュリティ情報の検証を行う。（３）検証が成功すれば、先に読み出したセキュリティファイルをそのまま使用する。（４）検証に失敗すれば、レスポンス通知手段１２によりユーザにそれを警告する。
【００８９】
セキュリティ情報検証手段においては、次の（１）〜（６）に基づきセキュリティ情報を検証する。すなわち、（１）セキュリティメディア内のセキュリティ情報からセキュリティファイルリストを取得する。（２）セキュリティファイルリストに付与されている電子署名を暗号処理ボードにより検証する。（３）検証に成功した場合、指定されたデータメディアシリアル番号に該当するセキュリティファイルリストのエントリを取り出す。（４）取り出したエントリに含まれる、セキュリティファイルの電子署名が、該当するセキュリティファイルに付与されているものと同じかどうか照合する。（５）同じであれば検証成功とする。（６）ここまでの処理に失敗すれば、検証失敗とする。
この実施例で特徴的なのは、セキュリティ情報検証手段を新たに設けたことである。これにより、セキュリティメディアが改ざんされていた場合にはそれを検出することが可能となる。
【００９０】
（セキュリティメディアの自動検索に関する別実施例）
上述した各セキュリティファイル自動判別手段によって、正しい組み合わせのデータメディアとセキュリティメディアが本システムにマウントされていれば、自動的に適切なセキュリティファイルを探し出すことが可能である。
しかし現実には、ユーザは中身を読めば分かるデータメディアに比べて中身を読んでもユーザにとっては意味をなさないデータだけが記録されているセキュリティメディアには興味を持たないため、データメディアとセキュリティメディアはいつしかばらばらに扱うようになる。そのため、いざデータメディアの真正性検証を行おうと思っても、そのデータメディアに対応するセキュリティメディアがどれであるか、ばらばらに管理してしまったがために分からなくなってしまうことが予測される。換言すると、既存のデータメディアを元にしてセキュリティメディアを作成するため、セキュリティメディアとデータメディアの関連性を記録することが難しいという問題があった。つまりデータメディアはすでに完成しているために、セキュリティメディアのリンク情報が記録できず、その真正性を確認したいときにどのセキュリティメディアを使用すれば良いのか分からないという問題があった。
【００９１】
そこで、セキュリティメディアとデータメディアの関連が不明確にならないよう、データメディアとセキュリティメディアを関連付けることが可能な実施例を以下に説明する。
図１で説明したデータメディア作成手段１３のように、データメディアの書き込みを本システムが行っていて、データメディアそのものにデータメディアシリアル番号が記録されていることを前提にできるのであれば、単純にセキュリティメディア作成処理の中で本システム内部記憶媒体にデータメディアシリアル番号とセキュリティメディアシリアル番号を対応付けるテーブルを作成して保存しておけば良いため、何も難しいことはない。しかし、外部で記録され、データメディアシリアル番号が記録されていないデータメディアを使用するケースを考え、以下のような方法でデータメディアシリアル番号とセキュリティメディアシリアル番号の関連付けを行う。
【００９２】
セキュリティメディア作成処理において、セキュリティ情報作成手段１６の代替手段として、次の（１）〜（４）に基づくセキュリティ情報作成手段によりセキュリティ情報を作成するようにすればよい。すなわち、（１）内部記憶媒体からセキュリティメディアシリアル番号を読み出す。（２）セキュリティメディアシリアル番号を１増加させて内部記憶媒体に記録する。（３）セキュリティファイル取得手段１７で取得したセキュリティファイルとセキュリティメディアシリアル番号をまとめてセキュリティ情報とする。（４）後述するセキュリティメディア関連付け手段により関連付けリストを作成する。
【００９３】
セキュリティメディア関連付け手段においては、次の（１）〜（４）に基づき関連付けリストを作成する。すなわち、（１）セキュリティファイルからファイルリスト部分のみを取り出す。（２）取り出したファイルリスト部分のハッシュ値を計算してファイルリストハッシュとする。（３）対応するデータメディアシリアル番号と、ファイルリストハッシュと、セキュリティメディアシリアル番号を一つのエントリとする、セキュリティメディア関連付けリストを作成する。（４）セキュリティメディア関連付けリストを内部記憶媒体に記録する。
【００９４】
さらに別のセキュリティメディアの自動検索に関する実施例を説明する。
データ検証処理において、リクエスト受付手段１１の更に代替手段として、次の（１）〜（４）に基づくリクエスト受付手段によりリクエストを受け付けるとよい。すなわち、（１）ユーザが本システムに接続されているデータ検証ボタンを押すことによって、データ検証要求を受け付ける。（２）光ディスクドライブ１（３４）にマウントされているデータメディアについて、後述するセキュリティメディア検索手段により自動的にセキュリティメディアシリアル番号を取得する。（３）により、ユーザにセキュリティメディアシリアル番号を通知し、対応するセキュリティメディアを光ディスクドライブ２（３５）にマウントするよう促す。その結果セキュリティメディアが光ディスクドライブ２（３５）にマウントされる。（４）セキュリティファイル自動判別手段によりデータメディアシリアル番号を自動的に取得する。また、検証対象（ファイル名）は、データメディア中の全ファイルとする。
【００９５】
セキュリティメディア検索手段においては、次の（１）〜（５）に基づいてセキュリティメディア番号を自動的に取得する。すなわち、（１）内部記憶媒体からセキュリティメディア関連付けリストを取得する。（２）データメディアにデータメディアシリアル番号が記録されていれば、それを元にセキュリティメディア関連付けリストから該当するセキュリティメディアシリアル番号を得る。（３）データメディアにデータメディアシリアル番号が記録されていなければ、データメディアからファイルリストを取得する。（４）取得したファイルリストのハッシュ値を計算してファイルリストハッシュとする。（５）そのファイルリストハッシュが一致するセキュリティメディアシリアル番号を得る（複数の可能性有り）。
【００９６】
セキュリティ情報作成手段にセキュリティメディア関連付け手段を加え、リクエスト受付手段にセキュリティメディア検索手段を加えたことにより、データメディアシリアル番号が記録されていないデータメディアであっても自動的に対応するセキュリティメディアを探し出すことができるようになり、ユーザの利便性を大きく高める効果がある。
【００９７】
また、ユーザから見ればどのデータメディアが本システムにすでに登録されたのかが分からず、場合によっては同じメディアを二重に登録してしまったり、登録したつもりで登録をしていないメディアが存在してしまったりする可能性があったが、上述の実施例により、疑わしいデータメディアを本システムにマウントしてデータ検証ボタンを押せば、そのデータメディアが登録されているかどうかが即座に分かる（登録されていなければセキュリティメディアが検索されず、データ検証ができない）という効果もある。
【００９８】
以上、本発明のセキュア電子メディア管理システムにおけるセキュリティメディアの作成、更新、及び検証処理を中心に各実施形態を説明してきたが、本発明は、これらのシステムにおいて実行される各処理の手順を構成要素とするセキュア電子メディア管理方法しても実現可能である。また、本発明は、コンピュータをセキュア電子メディア管理システム（又は該システムの各手段）として機能させるためのプログラム、及び該プログラムを記録したコンピュータ読取り可能な記録媒体としての形態も可能である。
【００９９】
本発明によるセキュア電子メディア管理の各処理を実現するためのプログラムやデータを記憶した記録媒体の実施形態を説明する。記録媒体としては、具体的には、ＣＤ−ＲＯＭ、光磁気ディスク、ＤＶＤ−ＲＯＭ、ＦＤ、フラッシュメモリ、及びその他各種ＲＯＭやＲＡＭ等が想定でき、これら記録媒体に上述した本発明の各実施形態に係る各処理をコンピュータに実行させ、セキュア電子メディア管理の機能を実現するためのプログラムを記録して流通させることにより、当該機能の実現を容易にする。そしてコンピュータ等の情報処理装置に上記のごとくの記録媒体を装着して情報処理装置によりプログラムを読み出すか、若しくは情報処理装置が備えている記憶媒体に当該プログラムを記憶させておき、必要に応じて読み出すことにより、本発明に係わるセキュア電子メディア管理機能を実行することができる。
【０１００】
【発明の効果】
本発明によれば、既に他のシステムによって光ディスクに記録されている電子データやネットワーク経由で外部から受け取った電子データ、さらにはシステム内部で作成した電子データの真正性を維持し、電子データを長期間に渡って安全性を確保しながら電子的な証拠として扱うことが可能となる。さらに、本発明によれば、手間をかけることなく長期に渡る安全性を確保することが可能である。
【図面の簡単な説明】
【図１】  本発明の一実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア作成処理を説明するための図である。
【図２】  本発明の一実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア作成処理を説明するための図である。
【図３】  本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア更新処理を説明するための図である。
【図４】  本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるセキュリティメディア更新処理を説明するための図である。
【図５】  本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるデータ検証処理を説明するための図である。
【図６】  本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるデータ検証処理を説明するための図である。
【図７】  本発明の他の実施形態に係るセキュア電子メディア管理システムの一構成例を示す図である。
【図８】  本発明に係るセキュア電子メディア管理システムの一実施例を示す構成図である。
【図９】  図８のセキュア電子メディア管理システムにおけるセキュリティメディア作成処理の一実施例を説明するための図である。
【図１０】  図８のセキュア電子メディア管理システムにおけるセキュリティメディア作成処理の一実施例を説明するための図である。
【図１１】  本発明の他の実施形態に係るセキュア電子メディア管理システムの一構成例を示す概観図である。
【図１２】  本発明の他の実施形態に係るセキュア電子メディア管理システムにおけるセキュリティ情報保護処理を詳細に説明するための図である。
【符号の説明】
１１…リクエスト受付手段、１２…レスポンス通知手段、１３…セキュリティファイル作成手段、１４…データ取得手段、１５…セキュリティファイル記録手段、１６…セキュリティ情報作成手段、１７…セキュリティファイル取得手段、１８…セキュリティ情報記録手段、１９…セキュリティ情報更新手段、２０…セキュリティ情報取得手段、２１…データ真正性検証手段、３０，５０…セキュア電子メディア管理システム、３１…通信ポート、３２…暗号処理ボード、３３…プロセッサ、３４…光ディスクドライブ１、３５…光ディスクドライブ２、３６…内部記憶媒体、３７…プログラム格納媒体、３８…外部システム、４１…データメディア、４２…データファイル、４３…ハッシュ値、４４…ハッシュリスト、４５…セキュリティファイル、４６…セキュリティメディア、４７…セキュリティファイルリスト、４８…電子署名付与後のセキュリティファイルリスト、５１，５２，５３…各処理ボタン、Ｍ１…データメディア、Ｍ２…セキュリティメディア、Ｒ１…記憶媒体、Ｒ２…内部記憶媒体。
【図１】
0004909474.tif 000002
【図２】
0004909474.tif 000003
【図３】
0004909474.tif 000004
【図４】
0004909474.tif 000005
【図５】
0004909474.tif 000006
【図６】
0004909474.tif 000007
【図７】
0004909474.tif 000008
【図８】
0004909474.tif 000009
【図９】
0004909474.tif 000010
【図１０】
0004909474.tif 000011
【図１１】
0004909474.tif 000012
【図１２】
0004909474.tif 000013