JP4459761B2

JP4459761B2 - 電子ファイルのアクセス制御システム及びアクセス制御方法

Info

Publication number: JP4459761B2
Application number: JP2004256980A
Authority: JP
Inventors: 一仁広重
Original assignee: SoftBank Telecom Corp
Current assignee: SoftBank Corp
Priority date: 2004-09-03
Filing date: 2004-09-03
Publication date: 2010-04-28
Anticipated expiration: 2024-09-03
Also published as: JP2006072808A

Description

本発明は、例えばＲＦＩＤを用いた電子ファイルのアクセス制御システム及びアクセス制御方法に関する。

今日、企業等においては各種業務遂行の結果、電子ファイル等の膨大な情報資産が電子媒体や紙媒体等により蓄積されているが、このような情報資産の秘密漏洩を未然防止することは企業にとって重要な課題である。例えば、社員がオフィス内で、或いは閲覧が許可された場所において、当該電子ファイル等を閲覧する場合には、パーソナルファイアウォール等の設置により、情報資産を蓄積しているパーソナルコンピュータ（以下、ＰＣと称する）等の情報端末への不正アクセスやマクロ感染、更には例えば電子ファイル等の通信データのスニファリングを防止することが可能である。その一方、社内システムから社員等が電子ファイル等の情報資産をコピーしたり、ＰＣを携帯したり、或いはＰＣ或いは電子ファイルを持ち帰るような場合には、当該ＰＣの盗難や紛失、移動中のＰＣ操作による第三者による画面の覗き見、社外での第三者による電子ファイルの不正コピー等の危険に当該電子ファイル等の情報資産がさらされることになる。企業としては、このような状況を回避する必要がある。

ここで、非特許文献１，２では、利用場所毎に異なるセキュリティポリシー（アクセス権限）をユーザに適用する技術が開示されている。

また、一般的に電子ファイルはオペレーティングシステム（以下、ＯＳと称する）によりアクセス制御されているため、セキュリティポリシーに応じたアクセス制御ができるように拡張すればよいが、このような点に着目して、特許文献１では、セキュリティポリシー（アクセス権限）に基づいて電子ファイルへのアクセスを制御する技術が開示されている。即ち、この技術では、電子ファイルへのアクセス操作を事前に補足し、アクセス権限が無い場合はアクセスを拒否することとしている。
特開２００３−４４２９７号公報富士通ソーシアルサイエンスラボラトリhttp://www.ssl.fujitsu.com/products/network/netproducts/sygate/products.html Sygate Secure Enterprise 商品情報「Sygate−企業ネットワークの自己防衛」http://www.macnica.net/sygate/sygate.html

しかしながら、非特許文献１，２に開示された技術では、ユーザ端末の利用場所を接続するネットワーク（例えばサブネット）で電子ファイルのアクセス可否を判別するため、ユーザ端末の物理的位置情報とセキュリティポリシーとのマッピングが困難であり、同一ネットワーク内でセキュリティポリシーを使い分けることができない。

さらに、特許文献１に開示された技術では、アクセス操作を事前補足する為、アクセス制御処理全体でオーバーヘッドが発生する。更に、例えば、電子ファイル自体は暗号化されていないため、他のＯＳで端末を起動すれば電子ファイルにアクセスできてしまう等、ハードディスク（以下、ＨＤＤと称する）に格納された電子データを解析されてしまう可能性が依然として残っている。

本発明の目的とするところは、暗号処理モジュールを拡張することにより、ユーザの利用場所等といった物理的位置情報に応じたファイルアクセス制御を実現することにある。

上記目的を達成するために、本発明の第１の態様では、ユーザ端末とアクセス管理サーバからなる電子ファイルのアクセス制御システムであって、上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵をアクセス管理サーバに送信するユーザ端末と、上記ユーザ端末の物理的位置情報に基づいてユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、を有し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム、である。
本発明の第２の態様では、ユーザ端末とロケーション管理サーバ、アクセス管理サーバからなる電子ファイルのアクセス制御システムであって、上記ユーザ端末の物理的位置情報に基づいて当該ユーザ端末の現在位置を示す位置証明書を発行しユーザ端末に送信するロケーション管理サーバと、上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵と上記位置証明書とをアクセス管理サーバに送信するユーザ端末と、上記位置証明書に基づいて上記ユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、を有し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム、である。
本発明の第３の態様では、ユーザ端末とアクセス管理サーバからなる電子ファイルのアクセス制御システムであって、上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化して保存するとともに、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵をアクセス管理サーバに送信するユーザ端末と、上記ユーザ端末による第２の暗号鍵の取得要求により、電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、を有し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、ユーザ端末内に保存されている第２の暗号鍵の有効性を検証し、有効と判断した場合にはアクセス管理サーバに対して第２の暗号鍵の取得要求を行わず、暗号処理モジュールが、ユーザ端末内に保存されている第２の暗号鍵を使用して、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム、である。
本発明の第４の態様では、ユーザ端末とロケーション管理サーバ、アクセス管理サーバからなる電子ファイルのアクセス制御システムによる方法であって、上記ロケーション管理サーバが、上記ユーザ端末の物理的位置情報に基づいて当該ユーザ端末の現在位置を示す位置証明書を発行しユーザ端末に送信し、上記ユーザ端末の暗号処理モジュールが、上記電子ファイルを第１の暗号鍵で暗号化し更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵と上記位置証明書とをアクセス管理サーバに送信し、上記アクセス管理サーバが、上記位置証明書に基づいて上記ユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行う、ことを特徴とする電子ファイルのアクセス制御方法、である。

本発明によれば、暗号処理モジュールを拡張することにより、ユーザの利用場所等といった物理的位置情報に応じたファイルアクセス制御を実現する電子ファイルのアクセス制御システム及びアクセス制御方法を提供することができる。

以下、図面を参照して、本発明の一実施の形態について説明する。

図１には本発明の一実施の形態に係る電子ファイルのアクセス制御システムの構成を示し説明する。図１に示されるように、この電子ファイルのアクセス制御システムでは、ＲＦＩＤ(Radio Frequency-Identification)リーダ４を備えたユーザ端末１が、ロケーション管理サーバ２、アクセス管理サーバ３と通信自在となっている。このＲＦＩＤリーダ４は、不図示のアンテナとコントローラ等からなり、電子回路に予めデータを記憶したＲＦＩＤタグ５と無線通信を行うことでデータ交信を行うものである。

このような構成において、ユーザ端末１の電源が投入され、ＯＳが起動すると、ＲＦＩＤリーダ４により例えば再至近のＲＦＩＤタグ５とのデータ交信が実行され、当該ＲＦＩＤタグ５に予め記憶されている電子データ、ここではＲＦＩＤタグ番号（以下、タグＩＤと称する）がＲＦＩＤリーダ４にて受信される。ユーザ端末１は、このタグＩＤをロケーション管理サーバ２に送信する。このロケーション管理サーバ２は、詳細は図１４（ａ）を参照して後述するが、タグＩＤとＲＦＩＤタグ５が配置されている物理的位置情報に相当するロケーション情報とを対応付けて記憶しているので、上記タグＩＤを受信すると、当該タグＩＤに対応するロケーション情報を抽出し、当該ロケーション情報に基づいてユーザ端末１の現在位置を証明するための位置証明書７を発行し、ユーザ端末１に送信する。

ユーザ端末１は、この位置証明書７を受信すると、少なくとも当該位置証明書７をアクセス管理サーバ３に送信する。すると、アクセス管理サーバ３は、当該位置証明書７に基づいて、ユーザ端末１による電子ファイル６へのアクセスの可否を判定する。アクセス管理サーバ３は、位置証明書７に基づいて当該アクセスを許可する場合にはユーザ端末１にアクセス権限を与える。こうして、ユーザ端末１は当該アクセス権限を得て、電子ファイル６へのアクセス制御を行う。ここでいうアクセス権限とは、電子ファイル６を復号化するために必要となる暗号鍵をアクセス管理サーバ３から得ることをいう。当該暗号鍵により電子ファイル６を復号でき、ファイルへのアクセスが可能となる。この暗号鍵とは、後述するＤＤＦＥＫに相当する。

このように、本発明の一実施の形態に係る電子ファイルのアクセス制御システム及び方法では、ＲＦＩＤ（ＲＦＩＤリーダ４、タグ５等）とロケーション管理サーバ２の協働により、ユーザ端末１の物理的位置情報（この例では、位置証明書７により特定される）が得られ、アクセス管理サーバ３により当該物理的位置情報に基づくアクセス制御が実現される。即ち、利用場所に応じて電子ファイルの閲覧を制限することが可能となる。

次に図２を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる電子ファイルのアクセス制御方法について、その特徴点を説明する。

このシステムでは、ユーザ端末１に実装されているＯＳ上でアプリケーションソフトウェア１１が実行され、暗号化された電子ファイルに対してアクセス操作（Ｏｐｅｎ等）がなされると、ＡＰＩ(Application Programming Interface)がファイルＩ／Ｏ１３を介して暗号処理モジュール１４に働きかけ、復号化処理を開始する。このとき、暗号処理モジュール１４は暗号化された電子ファイルを復号化するために必要となる暗号鍵の有無を確認する。この暗号鍵とは、後述するＤＤＦＥＫに相当する。。この確認の結果がＮＧ（暗号鍵が存在しない）であれば、暗号化された電子ファイルの復号化処理が失敗し、ＮＧ（Ｏｐｅｎエラー等）をアプリケーションソフトウェア１１側に通知する。一方、この確認の結果がＯＫ（暗号鍵が存在する）である場合には、ファイルＩ／Ｏ１３を介してファイルシステム１５に働きかけ、ハードディスク（以下、ＨＤＤと称する）１６に格納された電子ファイルの複合化処理が実行され、アプリケーションソフトウェア１１に複合化された電子ファイルのデータが返却される。

尚、この図２において破線で示しているように、暗号化されていない電子ファイルへのアクセス操作は暗号処理モジュール１４によるアクセス権限の可否の判定を行う必要はないことは勿論である。

このように、本発明の一実施の形態に係るシステム及び方法では、暗号処理モジュール１４を拡張することで、電子ファイルへのアクセス制御を行うことが可能となっている。

次に図３を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる電子ファイルのアクセス制御方法の一部をなす暗号化方法について説明する。

図３に示されるように、ユーザ端末１では、ファイルＡを当該ファイルＡの暗号鍵（乱数）（以下、ＦＥＫ(File Encryption Key)と称する）を用いて暗号化する。そして、このＦＥＫをユーザの公開鍵を用いて暗号化し（以下、この暗号化されたフィールドをＤＤＦ(Data Decryption Field)と称する）、更に、このＤＤＦを暗号鍵Ｘ（乱数）（以下、ＤＤＦＥＫ（DDF Encryption Key）と称する）で暗号化することで暗号化されたＤＤＦを得る。ここでいうユーザの公開鍵とは、ファイルアクセスを所望するユーザの公開鍵を意味する。

また、ＤＤＦＥＫを管理者の公開鍵（以下、回復用公開鍵と称する）で暗号化し、ＤＤＦ復号化フィールド（DDF Decryption Field）を得る。ユーザがファイルＡに対してアクセスを試みる場合、このＤＤＦ復号化フィールド、及び位置情報（位置証明書７）が、ユーザ端末１からアクセス管理サーバ３に送信される。ここでいう管理者の公開鍵とは、アクセス管理サーバ内に保有される秘密鍵と対をなす公開鍵をいう。

アクセス管理サーバ３は、ユーザ端末１がアクセス権限を有するか否かを物理的位置情報（位置証明書７）に基づいて判断し、アクセス権限を有すると判断した場合には、管理者の秘密鍵を用いて、暗号化されたＤＤＦＥＫを復号化し、当該ＤＤＦＥＫをユーザ端末１側に送信する。すると、ユーザ端末１では、このＤＤＦＥＫを用いて、暗号化されたＤＤＦを復号化してＤＤＦを得て、更に当該ＤＤＦをユーザの秘密鍵で復号化してＦＥＫを得て、当該ＦＥＫで暗号化されているファイルＡを復号化することでファイルＡを得ることになる。また、アクセス管理サーバ３から受信したＤＤＦＥＫは、図５で示されるユーザ端末内の暗号鍵格納領域１００ｂに保存される。このように、本実施の形態に係るシステムでは、管理者の公開鍵でＤＤＦＥＫを暗号化していることから、つまり二重の暗号化を併用していることから、たとえユーザ端末１の所有者であっても、アクセス管理サーバ３にて管理者の秘密鍵により復号化されたＤＤＦＥＫを得ることができなければ、電子ファイルを閲覧することができないことになり、その結果、アクセス権限のないものによる電子ファイルの閲覧、不正コピー等を未然に防止することができる。尚、ＦＥＫは請求項に記載の第１の暗号鍵に対応し、ＤＤＦＥＫは請求項に記載の第２の暗号鍵に対応する。

次に図４，５には本発明の一実施の形態に係る電子ファイルのアクセス制御システムを更に具現化した構成を示し説明する。

まず、図４に示されるように、ユーザ端末１はＲＦＩＤリーダ４を備えており、当該ＲＦＩＤリーダ４はＲＦＩＤタグ５と無線通信でデータ交信可能となっている。更に、ユーザ端末１は、位置証明書７とアクセス制御対象の電子ファイル６を少なくとも記憶するＨＤＤ８を備えている。このユーザ端末１は、インターネット等のネットワーク９を介してロケーション管理サーバ２、アクセス管理サーバ３と通信自在となっている。前者のロケーション管理サーバ２は図１４（ａ）を参照して後述するロケーションマップ等を格納したＤＢ２０１を管理しており、後者のアクセス管理サーバ３は図１４（ｂ）を参照して後述するアクセス制御情報等を格納したＤＢ３０１を管理している。

より詳細には、図５に示されるような構成となっている。

即ち、ユーザ端末１は、ＨＤＤ１００と暗号処理モジュール１０１、ＤＤＦ暗号処理モジュール１０２、位置管理モジュール１０３からなる。ＨＤＤ１００は、暗号化ファイル格納領域１００ａと暗号鍵格納領域１００ｂからなり、暗号化ファイル格納領域１００ａは、暗号化されたデータ、ＤＤＦ、暗号化されたＤＤＦ、ＤＤＦ復号化フィールド等の記憶領域を有しており、暗号鍵領域１００ｂは、ユーザ秘密鍵、ユーザ公開鍵、回復用公開鍵、位置証明書、ＤＤＦ暗号化鍵（ＤＤＦＥＫ）の記憶領域を有している。暗号処理モジュール１０１は、電子ファイル６等のデータの暗号化処理を行うデータ暗号化処理部１０１ａと復号化を行うデータ復号化処理部１０１ｂを有する。ＤＤＦ暗号処理モジュール１０２は、ＤＤＦの暗号化処理を行うＤＤＦ暗号化処理部１０２ａ、暗号化されたＤＤＦの復号化処理を行うＤＤＦ復号化処理部１０２ｂ、ＤＤＦ暗号化鍵（ＤＤＦＥＫ）を取得するＤＤＦ暗号化鍵取得処理部１０２ｃ、ＤＤＦを暗号化するＤＤＦ再暗号化処理部１０２ｄを有している。そして、位置管理モジュール１０３は、ＲＦＩＤリーダ４等により位置を検出（例えば、タグＩＤを得る）するための位置検出処理部１０３ａ、ロケーション管理サーバ２との通信により位置証明書７を得るための位置証明書取得処理部１０３ｂ、当該位置証明書７を検証するための位置証明書検証処理部１０３ｃからなる。

一方、ロケーション管理サーバ２は、位置証明書発行処理モジュール２００とＤＢ２０１からなる。位置証明書発行処理モジュール２００は、位置証明書７の発行処理を行うための位置証明書発行処理部２００ａを有している。そして、ＤＢ２０１は、ロケーションマップやロケーションサーバ秘密鍵の各記憶領域を有している。また、アクセス管理サーバ３は、ＤＤＦ暗号化鍵発行処理モジュール３００とＤＢ３０１からなる。ＤＤＦ暗号化鍵発行処理モジュール３００は、暗号化されたＤＤＦ暗号化鍵（ＤＤＦＥＫ）を復号化しユーザ端末１に送信するＤＤＦ暗号化鍵発行部３００ａを有する。また、ＤＢ３０１は、アクセス制御情報、回復用秘密鍵、ロケーションサーバ公開鍵の記憶領域を有する。

以下、図６を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる位置証明書取得処理（ＲＦＩＤタグ５が固定されている場合）について詳細に説明する。以下では、図４，５の構成図を適宜参照する。この図６の例では、ロケーション管理サーバ２とＲＦＩＤタグ５が秘密鍵を共有している。

ユーザ端末１の位置証明書取得処理部１０３ｂより証明書要求（ユーザＩＤを含むリクエストの送信）がなされると（ステップＳ１）、ロケーション管理サーバ２の位置証明書発行処理部２００ａは当該リクエストを受信し（ステップＳ２）、チャレンジ送信を行う（ステップＳ３）。チャレンジメッセージにはロケーション管理サーバ２が生成する乱数が含まれている。このチャレンジを受信すると、位置検出処理部１０３ａはＲＦＩＤタグ５の読み取りをＲＦＩＤリーダ４に指令する。ＲＦＩＤリーダ４は、この指令に従ってＲＦＩＤタグ５とデータ交信を行い、タグＩＤを取得する。

位置検出処理部１０３ａは、レスポンスとしてタグＩＤとレスポンス値（上記乱数を上記秘密鍵で暗号化した値）をロケーション管理サーバ２に返信する（ステップＳ４）。ロケーション管理サーバ２は、このレスポンスを受信すると（ステップＳ５）、レスポンス値の成否を判定し（ステップＳ６）、ＯＫである場合にはＤＢ２０１のロケーションマップを参照し、ロケーション情報を取得する（ステップＳ７）。そして、当該ロケーション情報等に基づいて位置証明書７を作成し（ステップＳ８）、当該位置証明書７を発行（送信）する（ステップＳ９）。すると、ユーザ端末１は、この位置証明書７をＨＤＤ１００の暗号鍵格納領域１００ｂに格納する（ステップＳ１０）。以上で一連の処理を終了する。

以上の処理では、チャレンジ・レスポンスの方式により乱数を共有している秘密鍵で暗号化した値をレスポンス値として用いてセキュリティを高めているが、これに限定されずに、単にタグＩＤをロケーション管理サーバ２が受信し、当該タグＩＤに対応するロケーション情報に基づいて位置証明書７を発行するようにしてもよい。

続いて、図７を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる位置証明書取得処理（ＲＦＩＤタグ５が固定されていない場合）について詳細に説明する。以下では、図４，５の構成図を適宜参照する。この図７の例では、ロケーション管理サーバ２がＲＦＩＤタグ５に定期的に変化する乱数値を書き込む。

ロケーション管理サーバ２では、ＲＦＩＤデータ更新処理部２０２が定期的に乱数を生成し（ステップＳ２０）、ＲＦＩＤタグ５に書き込みを行うようにＲＦＩＤライタ１０に指令を行う（ステップＳ２１）。ＲＦＩＤライタ１０は、この指令を受けると、ＲＦＩＤタグ５のデータを更新することになる。ＲＦＩＤリーダ４が位置検出処理部１０３ａの指令に基づいてＲＦＩＤタグ５の読み取りを行うと、位置証明書取得処理部１０３ｂは位置証明書のリクエスト（タグＩＤと乱数値）をロケーション管理サーバ２に送信する（ステップＳ２３）。ロケーション管理サーバ２では、位置証明書発行処理部２００ａがこのリクエストを受信すると（ステップＳ２４）、乱数値の成否を判断する（ステップＳ２５）。

そして、ＯＫである場合にはＤＢ２０１のロケーションマップを参照し、ロケーション情報を取得する（ステップＳ６）。そして、当該ロケーション情報に基づいて位置証明書７を作成し（ステップＳ２７）、当該位置証明書７を発行（送信）することになる（ステップＳ２８）。ユーザ端末１は、この位置証明書７をＨＤＤ１００の暗号鍵格納領域１００ｂに格納する（ステップＳ２９）。以上で一連の処理を終了する。

この例では、ＲＦＩＤライタ１０を物理的に固定とし、通信切断検出により無効化するようにしている。更に、このＲＦＩＤライタ１０は、ＲＦＩＤタグ５が当該ＲＦＩＤライタ１０の書き込み可能エリアに存在する限りにおいて、適宜データ更新する。このような工夫により、ＲＦＩＤタグ５が不正者により剥がされ、本来の貼り付け場所以外の所に貼付された場合には、上記データ更新がなされないことになるので、不正者による不正行為を未然に防止することができることになる。

次に、図８を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるデータ暗号化処理について詳細に説明する。

ユーザ端末１において、電子ファイル等のデータが入力されると（ステップＳ３１）、データ暗号化処理部１０１ａにおいて当該データがＦＥＫ（乱数１）により暗号化され（ステップＳ３２）、暗号化されたデータはＨＤＤ１００の暗号化ファイル格納領域１００ａに格納される（ステップＳ３３）。そして、ＦＥＫ（乱数１）はユーザの公開鍵により暗号化され（ステップＳ３４）、ＤＤＦ暗号化処理部１０２ａにおいてＤＤＦＥＫ（乱数２）によりＤＤＦ暗号化され（ステップＳ３５）、暗号化されたＤＤＦは暗号化ファイル格納領域１００ａに格納される（ステップＳ３６）。さらに、このＤＤＦＥＫ（乱数２）は、管理者の公開鍵（回復用公開鍵）で暗号化され（ステップＳ３７）、ＤＤＦ復号化フィールドは、暗号化ファイル格納領域１００ａに格納される（ステップＳ３８）。ＤＤＦは暗号化されるので、この状態ではユーザ端末において復号化することはできない。

次に、図９を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるデータ復号化処理について詳細に説明する。

アクセス管理サーバ３は、アクセス権限を認めた場合には、管理者の秘密鍵でＤＤＦ復号化フィールドを復号化し、ＤＤＦＥＫをユーザ端末１に送信し、ユーザ端末は、ＤＤＦＥＫを取得する（ステップＳ５２）。このＤＤＦＥＫは、ＨＤＤ１００の暗号化格納領域１００ｂに格納されることになるが、当該暗号化されたＤＤＦは、復号化時にはＤＤＦ復号化処理部１０２ｂにてＤＤＦＥＫで復号化され（ステップＳ５３）、更にユーザの秘密鍵で復号化され（ステップＳ５４）、ＦＥＫが得られる。こうして、データ復号化処理部１０１ｂにて、このＦＥＫにより暗号化されたデータが復号化されることになる（ステップＳ５６，Ｓ５７）。

次に、図１０を参照して、本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるＤＤＦ暗号化鍵取得処理について詳細に説明する。

ＤＤＦ暗号化鍵取得処理部１０２ｃは、暗号鍵格納領域１００ｂに格納されている先に取得したＤＤＦＥＫを読み出し、暗号化されたＤＤＦとの関係で当該ＤＤＦＥＫの有効性を検証する（ステップＳ６１）。この検証については後述するが、この検証の結果、有効である場合には図９を参照して前述したようなＤＤＦ復号化処理部１０２ｂによる復号化処理に移行する（ステップＳ６２）。一方、ＤＤＦＥＫが無効である場合、或いはＤＤＦＥＫが存在しない場合には、暗号化ファイル格納領域１００ａよりＤＤＦ復号化フィールドを、暗号鍵格納領域１００ｂから位置証明書７を読み出し、それらを含めたリクエストをアクセス管理サーバ３に送信する（ステップＳ６３）。当該リクエストは請求項に記載のユーザ端末による第２の暗号鍵の取得要求に対応する。

すると、アクセス管理サーバ３は、このリクエストを受信すると（ステップＳ６４）、位置証明書７の有効性を検証する（ステップＳ６５）。この検証にあたっては、アクセス制御情報を参照する。アクセス制御情報を確認し、アクセス権限がある場合には（ステップＳ６６）、管理者の秘密鍵でＤＤＦ復号化フィールドの復号化を行い（ステップＳ６７）、その結果、得られたＤＤＦＥＫをユーザ端末１に送信する（ステップＳ６８）。ユーザ端末１は、このＤＤＦＥＫを受信すると（ステップＳ６９）、当該ＤＤＦＥＫをＨＤＤ１００の暗号化鍵格納領域１００ｂに格納し、図９を参照して前述したようなＤＤＦ復号化処理に移行する（ステップＳ７１）。

次に、図１１（ａ），（ｂ）を参照して、図１０のステップＳ６１で実行されるＤＤＦＥＫ有効性検証について更に詳細に説明する。即ち、図１１（ａ）に示されるように、ＤＤＦ暗号化時においては、ＤＤＦに固定長の擬似乱数であるハッシュ値やＣＲＣ(Cyclic Redundancy Check)を付加した上でＤＤＦＥＫにより暗号化し、暗号化されたＤＤＦを得ている。したがって、図１１（ｂ）に示されるように、暗号化されたＤＤＦを検証するＤＤＦＥＫで復号化した後、ＤＤＦのＣＲＣやハッシュ値を計算し、付加されているＣＲＣやハッシュ値と照合することで、ＤＤＦＥＫの有効性を検証することができる。ここで、詳細は後述するが、ユーザ端末１の物理的位置情報の変更や位置証明書が無効などの場合、暗号化されたＤＤＦは更新されており、一方、ＤＤＦＥＫはアクセス管理サーバ３がＤＤＦ復号化フィールドを復号化し、ユーザ端末１が取得することによりはじめて更新されるため、有効性検証の結果は無効となる。

次に、図１２を参照して、ユーザ端末１で実行される位置証明書有効性検証処理及びＤＤＦ再暗号化処理について更に詳細に説明する。

ユーザ端末１において、位置証明書検証処理部１０３ｃにより位置証明書の有効期限が確認され（ステップＳ８０）、その期限が切れている場合にはＤＤＦ再暗号化処理部１０２ｄによるＤＤＦ再暗号化処理が実行される（ステップＳ８１）。ただし、このＤＤＦ再暗号化処理を実行するタイミングは、有効期限が切れている場合には限定されず、ユーザ端末１の物理的位置情報に変更があった場合等が広く含まれる。

このＤＤＦ再暗号化処理では、ＤＤＦＥＫの有効性が検証され（ステップＳ８２）、無効である場合には位置証明書７の取得処理へと移行する（ステップＳ８３）。

一方、ＤＤＦＥＫが有効である場合には、ＤＤＦ復号化処理部１０２ｂにより暗号鍵格納領域１００ｂに格納されているＤＤＦＥＫを用いたＤＤＦ復号化処理が行われ（ステップＳ８４）、更に新たな乱数生成によりＤＤＦ暗号化処理部１０２ａにより新たなＤＤＦＥＫを生成し、新たな暗号化されたＤＤＦおよびＤＤＦ復号化フィールドが生成され（ステップＳ８５）、位置証明書取得処理へと移行する（ステップＳ８６）。このとき暗号鍵格納領域１００ｂに格納されているＤＤＦＥＫは更新されない。よって、このステップＳ８５の暗号化処理により、暗号鍵格納領域１００ｂに残っているＤＤＦＥＫは無効となる。

次に図１３を参照して、位置証明書のデータ構造及びその有効性検証処理について更に詳細に説明する。図１３に示されるように、位置証明書７には、証明書データとしてのロケーション情報、ＲＦＩＤタグ番号（タグＩＤ）、ユーザＩＤ、発行日時、有効期間の少なくともいずれかが含まれており、更に電子署名（ロケーション管理サーバの秘密鍵で作成された電子証明）が含まれている。

ロケーション情報には、例えば、
３Ｆ／Ｔｏｋｙｏ／Ｏｆｆｉｃｅ
５Ｆ／Ｏｓａｋａ／Ｏｆｆｉｃｅ
ＭｙＲｏｏｍ／Ｈｏｍｅ
Ｕｎｋｎｏｗｎ（未知）
等といった情報が含まれている。

したがって、位置証明書有効性検証の際には、まずロケーション管理サーバ２の公開鍵で位置証明書７の発行元が正しいか否かを確認し（ただし、クライアント処理では省略することも可能である）、次いで、例えば証明書データの中の有効期間により有効期間内であるか否かを確認すればよいことになる。

最後に、図１４（ａ）、（ｂ）を参照して、ロケーションマップとアクセス制御情報の一例を詳細に説明する。図１４（ａ）はロケーションマップの一例を示しており、ＲＦＩＤタグＩＤとロケーション情報とが対応付けられて記憶されている。尚、ＲＦＩＤタグＩＤがロケーションマップに存在しない場合、ロケーション情報はｕｎｋｎｏｗｎ（未知）となる。一方、図１４（ｂ）はアクセス制御情報の一例を示しており、ユーザＩＤとロケーション情報、許可／非許可の別が対応付けられて記憶されている。ファイル毎にアクセス制御する場合、上記アクセス制御情報がファイル毎に作成される。

以上説明したように、本発明の一実施の形態によれば、ＲＦＩＤタグを用いた位置検出を利用することにより、ネットワーク上の位置（例えば、どのサブネットに接続しているか）ではなく、地理的な位置（例えば、どの席に着席しているか）に基づいて、セキュリティポリシーを切替えることができるようになる。また、電子ファイル自体を暗号化するため、仮に他のＯＳによってアクセスされた場合であっても、データの解析を防ぐことができる。さらに、ファイルアクセス制御を暗号化・復号化処理と組み合わせることにより、ユーザ端末内のデータ保護を同時に実現することができる。

以上、本発明の一実施の形態について説明したが、本発明はこれに限定されることなくその趣旨を逸脱しない範囲で種々の改良・変更が可能であることは勿論である。例えば上記実施の形態では、アクセス制御情報としてユーザＩＤとロケーション情報、並びにアクセスの可否を対応付けて記憶していたので、ロケーション情報の定義の仕方によってアクセス制御のレベルを設定することが可能となる。

本発明の一実施の形態に係る電子ファイルのアクセス制御システムの構成図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる電子ファイルのアクセス制御方法について説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる電子ファイルのアクセス制御方法の一部をなす暗号化方法について説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムを更に具現化した構成図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムを更に具現化した構成図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる位置証明書取得処理（ＲＦＩＤタグ５が固定されている場合）について詳細に説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによる位置証明書取得処理（ＲＦＩＤタグ５が固定されていない場合）について詳細に説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるデータ暗号化処理について詳細に説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるデータ復号化処理について詳細に説明する概念図である。本発明の一実施の形態に係る電子ファイルのアクセス制御システムによるＤＤＦ暗号化鍵取得処理について詳細に説明する概念図である。（ａ），（ｂ）は、図１０のステップＳ６１で実行されるＤＤＦＥＫ有効性検証について更に詳細に説明するための図である。図１０のステップＳ６５で実行される位置証明書有効性検証処理及びＤＤＦ再暗号化処理について更に詳細に説明するための図である。位置証明書のデータ構造及びその有効性検証処理について更に詳細に説明するための図である。（ａ）はロケーションマップの一例を示す図であり、（ｂ）はアクセス制御情報の一例を示す図である。

符号の説明

１・・・ユーザ端末、２・・・ロケーション管理サーバ、３・・・アクセス管理サーバ、４・・・ＲＦＩＤリーダ、５・・・ＲＦＩＤタグ、６・・・電子ファイル、７・・・位置証明書、１１・・・アプリケーション、１２・・・ＡＰＩ、１３・・・ファイルＩ／Ｏ、１４・・・暗号処理モジュール、１５・・・ファイルシステム、１６・・・ハードディスク。

Claims

ユーザ端末とアクセス管理サーバからなる電子ファイルのアクセス制御システムであって、
上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵をアクセス管理サーバに送信するユーザ端末と、
上記ユーザ端末の物理的位置情報に基づいてユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、
を有し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム。
ユーザ端末とロケーション管理サーバ、アクセス管理サーバからなる電子ファイルのアクセス制御システムであって、
上記ユーザ端末の物理的位置情報に基づいて当該ユーザ端末の現在位置を示す位置証明書を発行しユーザ端末に送信するロケーション管理サーバと、
上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵と上記位置証明書とをアクセス管理サーバに送信するユーザ端末と、
上記位置証明書に基づいて上記ユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、
を有し、上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム。
上記アクセス管理サーバにより復号化された第２の暗号鍵は、ユーザ端末内に記憶されており、上記ユーザ端末の物理的位置情報の変更に伴って更新されることを更に特徴とする請求項２に記載の電子ファイルのアクセス制御システム。
上記アクセス管理サーバにより復号化された第２の暗号鍵は、ユーザ端末内に記憶されており、上記ユーザ端末の位置証明書の有効期限の経過に伴って更新されることを更に特徴とする請求項２に記載の電子ファイルのアクセス制御システム。
ユーザ端末とアクセス管理サーバからなる電子ファイルのアクセス制御システムであって、
上記電子ファイルを第１の暗号鍵で暗号化し、更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化して保存するとともに、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵をアクセス管理サーバに送信するユーザ端末と、
上記ユーザ端末による第２の暗号鍵の取得要求により、電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信するアクセス管理サーバと、
を有し、
上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、ユーザ端末内に保存されている第２の暗号鍵の有効性を検証し、有効と判断した場合にはアクセス管理サーバに対して第２の暗号鍵の取得要求を行わず、暗号処理モジュールが、ユーザ端末内に保存されている第２の暗号鍵を使用して、当該電子ファイルの復号化処理を行うことを特徴とする電子ファイルのアクセス制御システム。
上記第２の暗号鍵の有効性とは、ユーザ端末の物理的位置情報の変更に起因して有効／無効が判断されることを特徴とする請求項５に記載の電子ファイルのアクセス制御システム。
ユーザ端末とロケーション管理サーバ、アクセス管理サーバからなる電子ファイルのアクセス制御システムによる方法であって、
上記ロケーション管理サーバが、上記ユーザ端末の物理的位置情報に基づいて当該ユーザ端末の現在位置を示す位置証明書を発行しユーザ端末に送信し、
上記ユーザ端末の暗号処理モジュールが、上記電子ファイルを第１の暗号鍵で暗号化し更に第１の暗号鍵を該電子ファイルに対してアクセスを所望するユーザの公開鍵で暗号化し、この暗号化された第１の暗号鍵を更に第２の暗号鍵で暗号化し、当該第２の暗号鍵をアクセス管理サーバ内の秘密鍵と対をなす公開鍵で暗号化し、暗号化された第２の暗号鍵と上記位置証明書とをアクセス管理サーバに送信し、
上記アクセス管理サーバが、上記位置証明書に基づいて上記ユーザ端末による電子ファイルへのアクセスの可否を判断し、アクセスを認める場合には、上記暗号化された第２の暗号鍵をアクセス管理サーバ内の秘密鍵で復号化し、復号化された第２の暗号鍵をユーザ端末に送信し、
上記ユーザ端末は、上記電子ファイルに対してアクセス操作を実行するときには、暗号処理モジュールが、上記第２の暗号鍵の存在を確認すると共に、当該電子ファイルの復号化処理を行う、
ことを特徴とする電子ファイルのアクセス制御方法。