JP2002064479A - ネットワーク装置及びホスト装置 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク装置の外部で生成取得した秘密
鍵と公開鍵証明書をネットワーク経由で安全にネットワ
ーク装置に設定できるようにする。 【解決手段】 ネットワーク装置においては、鍵生成部
１１４で生成した暗号鍵を記憶部１１５に記憶する一
方、暗号処理を行うプログラムと、当該暗号処理に使用
する暗号鍵又はその暗号鍵の格納場所を示す参照アドレ
スと、を含むプログラムデータをプログラムデータ生成
部１１３が生成し、このプログラムデータを通信部１１
１がホスト装置１２０に送信する。一方、ホスト装置１
２０では、ネットワーク装置１１０から送信されたプロ
グラムデータを通信部１２１で受信し、その受信データ
をプログラムデータ実行部１２３が実行して暗号化した
暗号データを送信（返信）する。すると、ネットワーク
装置１１０では、通信部11で暗号データを受信し、この
受信した暗号データを記憶部１１５に記憶した暗号鍵で
復号部１１２が復号する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データの暗号処理
に必要とされる秘密鍵と公開鍵証明書をネットワーク装
置に設定格納する際に適用して好適な技術に関する。

【０００２】

【従来の技術】インターネットなどのネットワーク通信
の普及により、情報の秘匿、改竄防止、なりすまし防止
などを目的とした情報セキュリティが重要となってい
る。このため、非対称暗号方式である公開鍵暗号方式を
使った情報セキュリティ機能を有するネットワーク装置
が普及しつつある。このようなネットワーク装置では、
データの暗号処理を行う際に必要となる秘密鍵と公開鍵
証明書を自装置に設定格納する必要がある。公開鍵証明
書は、署名要求のあった公開鍵に認証局が電子署名を行
って発行したものである。秘密鍵が他人に知られてしま
うと、他人が暗号データを読んだり、他人になりすまし
たりされるなどのセキュリティ上の重大な問題が発生す
る。このため、秘密鍵を安全にネットワーク装置に設定
し保管することは情報セキュリティ上、特に重要であ
る。

【０００３】従来、ネットワーク装置に秘密鍵と公開鍵
証明書を設定する手段としては、次のような３つの方法
が知られている。第１の方法は、ネットワーク装置の内
部で、秘密鍵と公開鍵の生成及び公開鍵証明書の取得を
行い、秘密鍵と公開鍵証明書を自装置に設定格納するも
のである。

【０００４】第２の方法は、ネットワーク装置の外部
で、秘密鍵と公開鍵の生成及び公開鍵証明書の取得を行
い、それらをカード媒体に書込み、そのカード媒体をネ
ットワーク装置に装着して秘密鍵と公開鍵証明書を設定
格納するものである。これに関連して、例えば、特開平
３−１６２１５２号公報には、装置の秘密鍵と公開鍵に
加えて通信相手の公開鍵を記憶する携帯用暗号鍵記憶装
置が開示されている。

【０００５】第３の方法は、ネットワーク装置の外部
で、秘密鍵と公開鍵の生成及び公開鍵証明書の取得を行
い、秘密鍵と公開鍵証明書をパスワードで暗号化したフ
ァイルに変換し、その暗号ファイルをネットワーク経由
でネットワーク装置に転送した後、パスワードをネット
ワーク装置の操作パネルより入力して当該ネットワーク
装置の内部で暗号ファイルを復号し、秘密鍵と公開鍵証
明書を設定格納するものである。

【０００６】

【発明が解決しようとする課題】しかしながら、上記従
来の方法には、次のような問題があった。即ち、第１の
方法において、証明書のフォーマットは、ITU(Internat
ional Telecommunication Union)で定義されているX509
証明書のように標準化され、かつ認証局に対して発行す
る証明書署名要求(CSR:Certificate Signing Request)
プロトコルは共通化されているものの、証明書署名要求
を発行してから公開鍵証明書を取得するまでの処理プロ
グラムが認証局毎に異なっている。このため、ネットワ
ーク装置に実装された処理プログラムに適合する認証局
からしか公開鍵証明書を取得することができなかった。
また、認証局毎の処理プログラムをネットワーク装置に
実装することも可能であるが、そうした場合は処理プロ
グラムを格納するネットワーク装置のプログラムサイズ
が大きくなり、処理も複雑になるという問題があった。
また、ネットワーク装置に実装されていない新たな処理
プログラムにしたがって公開鍵証明書を発行する認証局
に対しては、その都度、ネットワーク装置に専用の処理
プログラムを組み込まないと対応できないという問題が
あった。

【０００７】第２の方法においては、ネットワーク装置
側に公開鍵証明書を取得するための処理プログラムを実
装する必要がないため、全ての認証局に対応可能となる
ものの、外部で生成取得した秘密鍵と公開鍵証明書をカ
ード媒体を使ってネットワーク装置に設定するため、カ
ード媒体の読取り装置が必要になる。このため、ネット
ワーク装置のコストが高くなってしまうという問題点が
あった。

【０００８】第３の方法においては、上記第２の方法で
用いられるカード媒体等が不要になるものの、秘密鍵と
公開鍵証明書を設定するためには、設定対象となるネッ
トワーク装置の設置場所まで管理者が移動して、当該ネ
ットワーク装置の操作パネルからパスワードを入力しな
ければならないという煩わしさがあった。また、これを
解決する方法として、パスワードをホスト装置よりネッ
トワーク装置にネットワーク経由で送信することも考え
られるが、ネットワーク装置に未だ秘密鍵が設定されて
いない状況では、パスワードを暗号化してネットワーク
で送信することができなかった。さらに、ネットワーク
装置では暗号ファイルを復号するためのパスワードが予
め分かっていないため、ホスト装置がパスワードのダイ
ジェストを計算してダイジェストをネットワークで送信
するという方法も採用できなかった。

【０００９】本発明は、上記課題を解決するためになさ
れたもので、その目的とするところは、ネットワーク装
置の外部で生成取得した秘密鍵と公開鍵証明書をネット
ワーク経由で安全にネットワーク装置に設定できるよう
にする点にある。

【００１０】

【課題を解決するための手段】本発明に係るネットワー
ク装置においては、暗号鍵を生成する鍵生成手段と、こ
の鍵生成手段で生成した暗号鍵を記憶する記憶手段と、
暗号処理を行うプログラムと、当該暗号処理に使用する
暗号鍵又はその暗号鍵の格納場所を示す参照アドレス
と、を含むプログラムデータを生成するプログラムデー
タ生成手段と、このプログラムデータ生成手段で生成し
たプログラムデータをホスト装置に送信する送信手段
と、この送信手段で送信したプログラムデータを用いて
ホスト装置が暗号化した暗号データを受信する受信手段
と、この受信手段で受信した暗号データを記憶手段に記
憶した暗号鍵で復号する復号手段とを備えた構成を採用
している。

【００１１】上記構成のネットワーク装置では、鍵生成
手段が暗号鍵を生成し、この生成した暗号鍵を記憶手段
に記憶する。一方、プログラムデータ生成手段は、暗号
処理のためのプログラムと、当該暗号処理に使用する暗
号鍵又はその暗号鍵の格納場所を示す参照アドレスと、
を含むプログラムデータを生成し、このプログラムデー
タを送信手段がホスト装置に送信する。これによりホス
ト装置は、ネットワーク装置から受信したプログラムデ
ータを実行することにより、暗号処理に使用する暗号鍵
を取得するとともに、ネットワーク装置の外部で生成取
得した秘密鍵と公開鍵証明書を、暗号処理用のプログラ
ムと先に取得した暗号鍵を用いて暗号化し、その暗号デ
ータをネットワーク装置に送信（返信）する。そうする
と、ネットワーク装置では、ホスト装置から送信された
暗号データを受信手段が受信し、その受信した暗号デー
タを、予め記憶手段に記憶してある暗号鍵を用いて復号
手段が復号する。これにより、ネットワーク装置におい
ては、ホスト装置で生成取得した自装置用の秘密鍵と公
開鍵証明書を安全に受信して自装置内に設定可能するこ
とが可能となる。

【００１２】本発明に係るホスト装置においては、ネッ
トワーク装置に送信されるデータを暗号化するためのプ
ログラムデータを当該ネットワーク装置から受信する受
信手段と、この受信手段で受信したプログラムデータを
実行する実行手段と、この記実行手段でプログラムデー
タを実行して暗号化した暗号データをネットワーク装置
に送信する送信手段とを備えた構成を採用している。

【００１３】上記構成のホスト装置においては、ネット
ワーク装置からのプログラムデータを受信手段が受信す
ると、その受信したプログラムデータを実行手段が実行
し、これによって暗号化した暗号データを送信手段がネ
ットワーク装置に送信（返信）する。これにより、ホス
ト装置が生成取得したネットワーク装置用の秘密鍵と公
開鍵証明書を、当該ネットワーク装置に安全に送信する
ことが可能となる。

【００１４】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照しつつ詳細に説明する。

【００１５】図1は本発明の第１実施形態に係るネット
ワーク装置及びホスト装置の機能ブロックとネットワー
ク構成を示す図である。ネットワーク１００には、非対
称暗号である公開鍵暗号処理を行うネットワーク装置１
１０と、このネットワーク装置１１０に秘密鍵と公開鍵
証明書を設定するためのホスト装置１２０が接続されて
いる。さらに、ネットワーク１００には、公開鍵証明書
を発行する認証局１０１が接続されている。

【００１６】ネットワーク装置１１０は、通信部１１
１、復号部１１２、プログラムデータ生成部１１３、鍵
生成部１１４、記憶部１１５、乱数生成部１１６等を備
えて構成されている。通信部１１１は、ネットワーク１
００と接続され、他のネットワーク装置(図示せず)やホ
スト装置１２０との通信を行う部分である。この通信部
１１１では、ホスト装置１２０から送られてくる秘密鍵
と公開鍵証明書の設定要求や、暗号化された秘密鍵と公
開鍵証明書の暗号データを受信する処理を行う。さらに
通信部１１１では、プログラムデータ生成部１１３が生
成したプログラムデータをホスト装置１２０に送信する
処理を行う。

【００１７】鍵生成部１１４は、ホスト装置１２０がネ
ットワーク装置１１０に送信するデータを暗号化した
り、ネットワーク装置１１０がホスト装置１２０から受
信した暗号データを復号したりするための暗号鍵を生成
する部分である。この鍵生成部１１４では、対称暗号鍵
又は非対称暗号鍵のいずれかを生成する。また、暗号鍵
の生成に際しては乱数を使用する。

【００１８】復号部１１２は、通信部１１１がホスト装
置１２０から受信した暗号データを、鍵生成部１１４が
生成した暗号鍵（対称暗号鍵又は非対称暗号鍵）を使っ
て復号する部分である。プログラムデータ生成部１１３
は、ホスト装置１２０で実行するためのプログラムデー
タを生成する部分である。このプログラム生成部１１３
で生成されるプログラムデータは、データの暗号処理
（対称暗号処理又は非対称暗号処理）を行うプログラム
と暗号処理のための暗号鍵から構成される。鍵生成部１
１４で生成する暗号鍵には、上述のように対称暗号鍵と
非対称暗号鍵があり、鍵が対称暗号鍵である場合には、
鍵生成部１１４で生成した暗号鍵を他人に知られること
のない（露見しない）形に暗号処理を行って変換した変
換対称暗号鍵がプログラムデータに内包される。

【００１９】記憶部１１５は、鍵生成部１１４で生成し
た暗号鍵を記憶したり、ホスト装置１２０から受信した
秘密鍵と公開鍵証明書を記憶したりする部分である。乱
数生成部１１６は、鍵生成部１１４が暗号鍵を生成する
ときに使用する乱数を生成する部分である。この乱数生
成部１１６では、通信部１１１で受信されるネットワー
クの通信データ（例えば、通信パケット）を採取し、そ
の採取した通信データを乱数の種として乱数を生成す
る。

【００２０】一方、ホスト装置１２０は、通信部１２
１、公開鍵証明書取得部１２２、プログラムデータ実行
部１２３、非対称鍵生成部１２４、乱数生成部１２５、
問い合わせ部１２６等を備えて構成されている。通信部
１２１は、ネットワーク１００と接続され、ネットワー
ク装置１２０や認証局１０１との通信を行う部分であ
る。この通信部１２１では、ネットワーク装置１１０か
ら送信されるプログラムデータや、認証局１０１から送
信される公開鍵証明書を受信する処理を行う。また通信
部１２１では、ネットワーク装置１１０への秘密鍵と公
開鍵証明書の設定要求や、プログラムデータを使って暗
号化した秘密鍵と公開鍵証明書の暗号データを送信する
処理、さらには認証局１０１への証明書署名要求(CSR)
と公開鍵を送信する処理などを行う。

【００２１】公開鍵証明書取得部１２２は、ネットワー
ク装置１１０が使用する公開鍵証明書を認証局１０１か
ら取得する部分である。この公開鍵証明書取得部１２２
では、非対称鍵生成部１２４が生成したネットワーク装
置１１０用の秘密鍵と公開鍵のうち、公開鍵を証明書署
名要求(CSR)プロトコルで認証局１０１へ通信部１２１
から送信し、その送信した公開鍵に対して認証局１０１
が電子署名した公開鍵証明書を通信部１２１を介して取
得する。ここで取得される公開鍵証明書は、ITUのX509
バージョン3のフォーマットになっている。

【００２２】プログラムデータ実行部１２３は、ネット
ワーク装置１１０から受信したプログラムデータを実行
するための部分である。プログラムデータ実行部１２３
が実行するプログラムデータにより、ネットワーク装置
１１０に送信する秘密鍵や公開鍵証明書のデータを暗号
化することができる。非対称暗号鍵生成部１２４は、ネ
ットワーク装置１１０が使用する非公開暗号鍵（秘密鍵
と公開鍵のペア）を生成する部分である。暗号鍵の生成
に必要となる乱数には、乱数生成部１２５が生成した乱
数を利用する。乱数生成部１２５は、非対称鍵生成部１
２４が暗号鍵を生成するときに使用する乱数を生成する
部分である。この乱数生成部１２５では、公開鍵証明書
を設定格納するためのネットワーク装置１１０のアドレ
ス情報（IPアドレスやホスト・ドメイン名）を乱数の種
として乱数を生成する。問い合わせ部１２６は、ネット
ワーク装置１１０で対応可能な暗号方式や最大鍵長など
の暗号能力情報を問い合わせる部分である。

【００２３】続いて、ホスト装置１２０によるネットワ
ーク装置１１０への秘密鍵と公開鍵証明書の設定動作に
ついて図２のフローチャートを用いて説明する。先ず、
ホスト装置１２０の操作パネル(図示せず)を使って、秘
密鍵と公開鍵証明書の設定対象となるネットワーク装置
１１０のアドレス情報を入力する（ステップＳ１１）。
ここで入力されるアドレス情報としては、例えば、IPア
ドレスやホスト・ドメイン名などが挙げられる。次に、
ステップＳ１１でのアドレス情報の入力によって設定対
象としたネットワーク装置１１０の暗号能力情報（暗号
方式、最大鍵長等）の問い合わせを、当該ネットワーク
装置１１０に対して問い合わせ部１２６が行う（ステッ
プＳ１２）。

【００２４】続いて、問い合わせ部１２６からの問い合
わせにより取得した暗号能力情報に基づいて非対称鍵生
成部１２４がネットワーク装置１１０の秘密鍵と公開鍵
のペア即ち非対称暗号鍵を生成する（ステップＳ１
３）。これにより、ネットワーク装置１１０側で対応し
得る形で非対称暗号鍵が生成される。また、非対称暗号
鍵の生成に際して、乱数生成部１２５は先のステップＳ
１１で入力されたアドレス情報から乱数を生成し、その
乱数を用いて非対称鍵生成部１２４が非対称暗号鍵を生
成する。非対称暗号鍵のアルゴリズムとしては、例え
ば、RSA(Rivest，Shamir，Adelemanらが提案）やDiffie
Hellmanなどが挙げられる。

【００２５】続いて、先のステップＳ１３で生成した公
開鍵の証明書発行を認証局１０１に要求すべく証明書署
名要求(CSR)を通信部１２１から発行（送信）した後、
認証局１０１から送られた公開鍵証明書を通信部１２１
で受信するまで待機する（ステップＳ１４，Ｓ１５）。
その後、通信部１２１で公開鍵証明書を受信すると、先
のステップＳ１１で入力したアドレス情報により指定さ
れるネットワーク装置１１０に対して、秘密鍵と公開鍵
証明書の設定要求を通信部１２１から発行（送信）した
後、ネットワーク装置１１０から送信されたプログラム
データを通信部１２１で受信するまで待機する（ステッ
プＳ１６，Ｓ１７）。

【００２６】その後、通信部１２１でプログラムデータ
を受信すると、その受信したプログラムデータをプログ
ラムデータ実行部１２３が実行し、これによって先のス
テップＳ１３で生成した秘密鍵とステップＳ１５で取得
した公開鍵証明書を暗号化する。そして、ステップＳ１
９においては、ステップＳ１８での実行処理で暗号化し
た秘密鍵と公開鍵証明書の暗号データを通信部１２１か
らネットワーク装置１１０に送信する。以上の動作によ
り、ホスト装置１２０は、ネットワーク装置１１０用の
秘密鍵と公開鍵証明書を、ネットワーク１００を経由し
てネットワーク装置１１０に安全に送信することができ
る。

【００２７】次に、ネットワーク装置１１０における秘
密鍵と公開鍵証明書の設定動作について図３及び図４の
フローチャートを用いて説明する。先ず、ネットワーク
装置１１０を起動すると、暗号鍵モードが対称暗号鍵モ
ードであるかどうかを判定する（ステップＳ２１）。暗
号鍵モードは、ホスト装置１２０がネットワーク装置１
１０に送信する暗号データをどちらの鍵方式で処理する
かを示す。暗号鍵モードは、ネットワーク装置１１０の
操作パネル（図示せず）を用いて設定可能であり、その
規定値（デフォルト値）は対称暗号鍵モードとなってい
る。

【００２８】ステップＳ２１において、暗号鍵モードが
対称暗号鍵モードであると判定した場合は、鍵生成部１
１４が対称暗号鍵を生成し（ステップＳ２２）、さらに
その生成した対称暗号鍵を他人に知られることのない、
かつ可逆変換可能なデータに変換する（ステップＳ２
３）。対称暗号鍵の変換処理は鍵生成部１１４で行って
もよいし、別途、変換のための機能部を設けて行っても
よい。その際、鍵生成部１１４で生成された対称暗号鍵
は記憶部１１５に記憶される。

【００２９】ここで、対称暗号鍵の変換は、鍵生成部１
１４で生成した対称暗号鍵を、一般に公開しない装置固
有の暗号鍵方式と暗号鍵データを用いて暗号化すること
により行う。このように対称暗号鍵の変換を行う理由
は、次のような事情による。即ち、後述するようにプロ
グラムデータ生成部１１３で生成したプログラムデータ
をホスト装置１２０に送信するにあたり、先のステップ
Ｓ２２で鍵生成部１１４が生成した対称暗号鍵をそのま
まの状態（暗号化しない状態）でプログラムデータ内に
入れると、ネットワーク１００上を流れるプログラムデ
ータを他人が分析することで、対称暗号鍵が他人に知ら
れてしまう恐れがあるためである。この対策として、上
記のように鍵生成部１１４で生成した対称暗号鍵を他人
に知られることのない、いわゆる解読不能なデータに変
換しておけば、他人がその対称暗号鍵を使って暗号デー
タを解読する危険性を低減することができる。

【００３０】一方、ステップＳ２１において、暗号鍵モ
ードが対称暗号鍵モードではないと判定した場合（暗号
鍵モードが非対称暗号鍵モードに設定されていた場合）
は、鍵生成部１１４が非対称暗号鍵である秘密鍵と公開
鍵を生成する（ステップＳ２５）。この場合も、鍵生成
部１１４で生成された非対称暗号鍵（秘密鍵、公開鍵）
が記憶部１１５に記憶される。

【００３１】ここで、ステップＳ２２又はＳ２５におい
て、鍵生成部１１４は乱数生成部１１６が生成した乱数
を用いて暗号鍵（対称暗号鍵又は非対称暗号鍵）を生成
する。このとき、乱数生成部１１６はネットワークの通
信データを採取して乱数を生成し、この乱数を用いて鍵
生成部１１４が暗号鍵を生成する。このようにネットワ
ークの通信データを採取し、これを種として生成した乱
数を用いて暗号鍵を生成することにより、装置固有のＩ
Ｄをもっていない場合でも、各々の装置で発生される乱
数を極力異ならせることができる。

【００３２】また、ステップＳ２２での対称暗号鍵方式
としては、例えば、DES(Data Encryption Standard)やR
C2(RSA Data Security Inc.で開発された共通鍵方式の
ブロック暗号化方式で、Ron*s Cipher #2を表す)を利用
することができ、ステップＳ２５での非対称暗号鍵方式
としては、例えば、RSAやDiffie Hellmanを利用するこ
とができる。生成する鍵長は、予め装置によって決定さ
れており、ステップＳ２２では128ビットの対称暗号鍵
生成し、ステップＳ２５では1024ビットの非対称暗号鍵
（秘密鍵、公開鍵）を生成する。

【００３３】続いて、ホスト装置１２０で実行するプロ
グラムデータをプログラムデータ生成部１１３が生成す
る（ステップＳ２４）。ここで生成するプログラムデー
タは、自装置で設定された暗号鍵モードによって異な
る。具体的に説明すると、暗号鍵モードが対称暗号鍵で
ある場合のプログラムデータは、図５（ａ）に示すよう
に、変換された対称暗号鍵１３１と、この対称暗号鍵１
３１を復元するためのプログラム１３２と、復元した対
称暗号鍵で入力データを暗号化するためのプログラム１
３３とから構成される。また、暗号鍵モードが非対称暗
号鍵である場合のプログラムデータは、図５（ｂ）に示
すように、公開鍵１４１と、この公開鍵１４１で入力デ
ータを暗号化するためのプログラム１４２とから構成さ
れる。

【００３４】次に、暗号鍵の生成を予定した時刻に行う
ための時刻設定が行われているかどうかの判定と、現在
時刻が設定時刻に一致しかたどうかの判定を併せて行う
（ステップＳ２６）。暗号鍵生成を行う時刻の設定は、
ネットワーク装置１１０の操作パネル（図示せず）を用
いて予めユーザが行うものとする。通常の設定（デフォ
ルトの設定）では、暗号鍵生成を行う時刻が設定されて
いない。そのため、ユーザが時刻の設定を行っていなけ
ればNOと判定されてステップＳ３３に移行し、ユーザが
時刻の設定を行っていた場合は、現在時刻が設定時刻と
一致するときのみYESと判定されてステップＳ２７に進
み、それ以外（不一致のとき）はNOと判定されてステッ
プＳ３３に移行する。

【００３５】ステップＳ２７においては、記憶部１１５
が当該記憶部１１５に記憶されている暗号鍵（対称暗号
鍵又は非対称暗号鍵）を削除する。これ以降のステップ
Ｓ２８〜Ｓ３２の処理は、暗号鍵モードに応じた暗号鍵
の生成とプログラムデータの生成に係る処理であり、そ
の処理内容は先のステップＳ２１〜Ｓ２５と同様である
ため説明を省略する。

【００３６】ステップＳ３３においては、ホスト装置１
２０からの秘密鍵と公開鍵証明書の設定要求を通信部１
１１が受信するまで待機する。ホスト装置１２０からの
秘密鍵と証明書の設定要求を通信部１１１が受信する
と、ステップＳ２４又はＳ３１でプログラムデータ生成
部１１３が生成したプログラムデータを通信部１１１が
ホスト装置１２０に送信する（ステップＳ３４）。ここ
で、ホスト装置１２０に送信されるプログラムデータに
公開鍵１４１が内包されている場合、その公開鍵１４１
で暗号化されたデータの復号に用いられる秘密鍵はネッ
トワーク装置１１０の外部に漏洩することはないため、
その公開鍵１４１が他人に知られても何ら問題は生じな
い。また、ホスト装置１２０に送信されるプログラムデ
ータに変換対称暗号鍵２３１が内包されている場合は、
その変換対称暗号鍵２３１が他人に知られることのない
データ形式になっているため、他人がその対称暗号鍵を
使って暗号データを解読する危険性は極めて低いものと
なる。

【００３７】こうして送信されたプログラムデータはホ
スト装置１２０で受信される。これにより、ホスト装置
１２０においては、受信したプログラムデータを実行し
て秘密鍵と公開鍵証明書を暗号化し、これによって得ら
れた暗号データをネットワーク装置１１０に送信する。
このとき、ホスト装置１２０から送られている暗号デー
タには、そのデータのヘッダとして暗号鍵モードが設定
されている。その間、ネットワーク装置１１０は、ホス
ト装置１２０から送られてくる暗号データを通信部１１
１が受信するまで待機する。

【００３８】その後、ホスト装置１２０からの秘密鍵と
公開鍵証明書の暗号データを通信部１１１が受信する
と、その受信データに設定された暗号鍵モードに従って
復号部１１２が暗号データを復号する（ステップＳ３
６）。このとき、暗号鍵モードが対称暗号鍵である場合
に復号部１１２が復号処理に使う鍵は、ステップＳ２２
又はＳ２９で鍵生成部１１４が生成し、記憶部１１５に
記憶された対称暗号鍵となる。また、暗号鍵モードが非
対称暗号鍵である場合に復号部１１２が復号に使う鍵
は、ステップＳ２５又はＳ３２で鍵生成部１１４が生成
し、記憶部１１５に記憶された秘密鍵となる。

【００３９】その後、復号部１１２で復号した秘密鍵と
公開鍵証明書を、自装置の秘密鍵と公開鍵証明書として
記憶部１１５に記憶する（ステップＳ３７）。これによ
り、ネットワーク装置１１０において秘密鍵と公開鍵証
明書の設定格納がなされる。こうして秘密鍵と公開鍵証
明書の設定格納を終えたら、先のステップＳ２６に戻
る。

【００４０】以上の動作により、ネットワーク装置１１
０は、ホスト装置１２０から送信された自装置用の秘密
鍵と公開鍵証明書を、ネットワーク１００を経由して安
全に受信して自装置内に設定格納することができる。ま
た、自装置の起動時に鍵生成部１１４が暗号鍵の生成を
行うようにすると、ホスト装置１２０からの設定要求時
に暗号鍵の生成を行う場合に比較して、鍵生成によるホ
スト装置１２０の待ち時間を短縮することができる。ま
た、ホスト装置１２０からの設定要求時に鍵生成部１１
４が暗号鍵の生成を行うようにすると、ホスト装置１２
０からの設定要求毎に別の鍵を使った暗号処理が行われ
るため、暗号データの安全性を高めることができる。ま
た、予め設定された時刻に鍵生成部１１４が暗号鍵の生
成を行うようにすると、自装置の利用頻度が低い時間帯
に暗号鍵の生成を効率良く行うことが可能となる。

【００４１】さらに、上記暗号鍵の生成と同様に、自装
置の起動時にプログラムデータ生成部１１３がプログラ
ムデータの生成を行うようにすると、ホスト装置１２０
からの設定要求時にプログラムデータの生成を行う場合
に比較して、プログラムデータ生成によるホスト装置１
２０の待ち時間を短縮することができる。また、ホスト
装置１２０からの設定要求時にプログラムデータ生成部
１１３がプログラムデータの生成を行うようにすると、
ホスト装置１２０からの設定要求毎に別の暗号方式をも
つプログラムデータを使った暗号処理が行われるため、
暗号データの安全性を高めることができる。また、予め
設定された時刻にプログラムデータ生成部13がプログラ
ムデータの生成を行うようにすると、自装置の利用頻度
が低い時間帯にプログラムデータの生成を効率良く行う
ことが可能となる。

【００４２】また、ホスト装置１２０から受信した暗号
データを復号部１１２で復号処理して得られた秘密鍵と
公開鍵証明書を自装置に設定格納することにより、ネッ
トワーク装置の外部で生成取得された秘密鍵と公開鍵証
明書を安全に自装置に設定することが可能となる。な
お、秘密鍵と公開鍵証明書を自装置に設定格納する手段
（設定格納手段）としては、それらを記憶する記憶部１
１５自身によって実現してもよいし、復号部１１２で復
号したデータを別の機能部で記憶部１１５に記憶させる
ようにしてもよい。

【００４３】図６は本発明の第２実施形態に係るネット
ワーク装置及びホスト装置の機能ブロックとネットワー
ク構成を示す図である。なお、ネットワーク２００に
は、非対称暗号である公開鍵暗号処理を行うネットワー
ク装置２１０と、このネットワーク装置２１０に秘密鍵
と公開鍵証明書を設定するためのホスト装置２２０が接
続されている。さらに、ネットワーク２００には、公開
鍵証明書を発行する認証局２０１が接続されている。

【００４４】ネットワーク装置２１０は、通信部２１
１、復号部２１２、プログラムデータ生成部２１３、鍵
生成部２１４、記憶部２１５、乱数生成部２１６、鍵フ
ァイル復号部２１７等を備えて構成されている。通信部
２１１は、ネットワーク２００と接続され、他のネット
ワーク装置(図示せず)やホスト装置２２０との通信を行
う部分である。この通信部２１１では、ホスト装置２２
０から送られてくる秘密鍵と公開鍵証明書の設定要求
や、暗号化された秘密鍵と公開鍵証明書の暗号データを
受信する処理を行う。さらに通信部２１１では、プログ
ラムデータ生成部２１３が生成したプログラムデータの
ホスト装置２２０に送信する処理を行う。

【００４５】鍵生成部２１４は、ホスト装置１２０がネ
ットワーク装置１１０に送信するデータを暗号化した
り、ネットワーク装置１１０がホスト装置１２０から受
信した暗号データを復号したりするための暗号鍵を生成
する部分である。この鍵生成部１１４では、対称暗号鍵
又は非対称暗号鍵のいずれかを生成する。また、暗号鍵
の生成に際しては乱数を使用する。

【００４６】復号部２１２は、通信部２１１がホスト装
置２２０から受信した暗号データのうち、ホスト装置２
２０で暗号化されたパスワードを、鍵生成部２１４が生
成した暗号鍵（対称暗号鍵又は非対称暗号鍵）を使って
復号する部分である。プログラムデータ生成部２１３
は、ホスト装置２２０で実行するためのプログラムデー
タを生成する部分である。このプログラムデータ生成部
２１３で生成されるプログラムデータは、データの暗号
処理を行うプログラムと暗号処理（対称暗号処理又は非
対称暗号処理）のための暗号鍵から構成される。鍵生成
部２１４で生成する暗号鍵には、非対称暗号鍵と対称暗
号鍵があり、鍵が対称暗号鍵である場合には、鍵生成部
２１４で生成した暗号鍵を他人に知られることのない
（露見しない）形に暗号処理を行って変換した変換対称
暗号鍵がプログラムデータに内包される。

【００４７】記憶部２１５は、鍵生成部２１４で生成し
た暗号鍵を記憶したり、ホスト装置２２０から受信した
秘密鍵と公開鍵証明書を記憶したりする部分である。乱
数生成部２１６は、鍵生成部２１４が暗号鍵を生成する
ときに使用する乱数を生成する部分である。この乱数生
成部２１６では、通信部２１１で受信される通信パケッ
トを採取し、その採取データを乱数の種として乱数を生
成する。鍵ファイル復号部２１７は、ホスト装置２２０
から送信されてくる、パスワードで暗号化された鍵ファ
イル（例えば米国RSAセキュリティ社のPKCS#12フォーマ
ットが有る）を復号する部分である。

【００４８】一方、ホスト装置２２０は、通信部２２
１、公開鍵証明書取得部２２２、プログラムデータ実行
部２２３、非対称鍵生成部２２４、乱数生成部２２５、
鍵ファイル暗号部２２６等を備えて構成されている。通
信部２２１は、ネットワーク２００と接続され、ネット
ワーク装置２２０や認証局２０１との通信を行う部分で
ある。この通信部２２１では、ネットワーク装置２１０
から送信されるプログラムデータや、認証局２０１から
送信される公開鍵証明書を受信する処理を行う。また通
信部２２１では、ネットワーク装置２１０への秘密鍵と
公開鍵証明書の設定要求や、プログラムデータを使って
暗号化した秘密鍵と公開鍵証明書の暗号データを送信す
る処理、さらには認証局２０１への証明書署名要求（CS
R）と公開鍵を送信する処理などを行う。

【００４９】公開鍵証明書取得部２２２は、ネットワー
ク装置２１０が使用する公開鍵証明書を認証局２０１か
ら取得する部分である。この公開鍵証明書取得部２２２
では、非対称鍵生成部２２４が生成したネットワーク装
置２１０用の秘密鍵と公開鍵のうち、公開鍵を証明書署
名要求(CSR)プロトコルで認証局２０１へ通信部２２１
から送信し、その送信した公開鍵に対して認証局２０１
が電子署名した公開鍵証明書を通信部２２１を介して取
得する。ここで取得される公開鍵証明書は、ITUのX509
バージョン3のフォーマットになっている。

【００５０】プログラムデータ実行部２２３は、ネット
ワーク装置２１０から受信したプログラムデータを実行
するための部分である。プログラムデータ実行部２２３
が実行するプログラムデータにより、ネットワーク装置
２１０に送信する秘密鍵や公開鍵証明書データを含む鍵
ファイルのパスワードを暗号化することができる。非対
称暗号鍵生成部２２４は、ネットワーク装置２１０が使
用する非対称暗号鍵（秘密鍵と公開鍵のペア）を生成す
る部分である。暗号鍵の生成に必要となる乱数には、乱
数生成部２２５が生成した乱数を利用する。乱数生成部
２２５は、非対称鍵生成部２２４が暗号鍵を生成すると
きに使用する乱数を生成する部分である。この乱数生成
部２２５では、公開鍵証明書を設定格納するためのネッ
トワーク装置２１０のアドレス情報（IPアドレスやホス
ト・ドメイン名）を乱数の種として乱数を生成する。鍵
ファイル暗号部２２６は、パスワードによって秘密鍵と
公開鍵証明書を暗号化した鍵ファイル（例えば米国RSA
セキュリティ社のPKCS#12フォーマットが有る：PKCSはP
ublic Key Control Standardの略称）を生成する部分で
ある。

【００５１】続いて、ホスト装置２２０によるネットワ
ーク装置２１０への秘密鍵と公開鍵証明書の設定動作に
ついて図７のフローチャートを用いて説明する。先ず、
ホスト装置２２０の操作パネル(図示せず)を使って、秘
密鍵と公開鍵証明書の設定対象となるネットワーク装置
２１０のアドレス情報を入力する（ステップＳ４１）。
ここで入力されるアドレス情報としては、例えば、IPア
ドレスやホスト・ドメイン名などが挙げられる。次に、
ステップＳ４１で入力されたアドレス情報から乱数生成
部２２５が乱数を生成し、この乱数を用いて非対称鍵生
成部２２４がネットワーク装置２１０の秘密鍵と公開鍵
を生成する（ステップＳ４２）。非対称暗号鍵のアルゴ
リズムとしては、例えば、RSAやDiffie Hellmanなどが
挙げられる。

【００５２】続いて、先のステップＳ４２で生成した公
開鍵の証明書発行を認証局２０１に要求すべく証明書署
名要求(CSR)を通信部１２１から発行（送信）した後、
認証局２０１から送られた公開鍵証明書を通信部２２１
で受信するまで待機する（ステップＳ４３，Ｓ４４）。
その後、通信部２２１で公開鍵証明書を受信すると、鍵
ファイル暗号部２２６が秘密鍵と公開鍵証明書をパスワ
ードで暗号化した鍵ファイルを生成する（ステップＳ４
５）。鍵ファイルのパスワードは、ホスト装置２２０の
操作パネル（図示せず）を用いて入力する。鍵ファイル
のフォーマットとしてはPKCS#12などを用いることがで
きる。

【００５３】次に、先のステップＳ４１で入力されたア
ドレス情報により指定されるネットワーク装置２１０に
対して、秘密鍵と公開鍵証明書の設定要求を通信部２２
１から発行（送信）した後、ネットワーク装置２１０か
ら送信されたプログラムデータを通信部２２１で受信す
るまで待機する（ステップＳ４６，Ｓ４７）。

【００５４】その後、通信部２２１でプログラムデータ
を受信すると、その受信したプログラムデータをプログ
ラムデータ実行部２２３で実行し、これによって先のス
テップＳ４５で生成した鍵ファイル（秘密鍵と公開鍵証
明書をパスワードで暗号化したファイル）のパスワード
を暗号化する（ステップＳ４８）。そして、ステップＳ
４９においては、ステップＳ４５で生成した鍵ファイル
とステップＳ４８で暗号化したパスワードを通信部２２
１からネットワーク装置２１０に送信する。以上の動作
により、ホスト装置２２０は、ネットワーク装置２１０
用の秘密鍵と公開鍵証明書を、ネットワーク２００を経
由してネットワーク装置２１０に安全に送信することが
できる。

【００５５】次に、ネットワーク装置２１０における秘
密鍵と公開鍵証明書の設定動作について図８のフローチ
ャートを用いて説明する。先ず、ネットワーク装置２１
０を起動すると、ホスト装置２２０からの秘密鍵と公開
鍵証明書の設定要求が通信部２１１で受信されるまで待
機する（ステップＳ５１）。その後、ホスト装置２２０
からの秘密鍵と証明書の設定要求が通信部２１１で受信
されると、暗号鍵モードが対称暗号鍵であるかどうかを
判定する（ステップＳ５２）。ここでの暗号鍵モード
は、ホスト装置２２０がネットワーク装置１１０に送信
するパスワードをどちらの鍵方式で処理するかを示す。
暗号鍵モードは、ネットワーク装置１１０の操作パネル
（図示せず）を用いて設定可能であり、その規定値（デ
フォルト値）は対称暗号鍵モードとなっている。

【００５６】暗号鍵モードが対称暗号鍵モードであると
判定した場合は、鍵生成部２１４が対称暗号鍵を生成し
（ステップＳ５３）、さらにその生成した対称暗号鍵を
他人に知られることのない、かつ可逆変換可能なデータ
に変換する（ステップＳ５４）。対称暗号鍵の変換処理
は鍵生成部２１４で行ってもよいし、別途、変換のため
の機能部を設けて行ってもよい。その際、鍵生成部２１
４で生成した対称暗号鍵は記憶部２１５に記憶される。
ここでの対称暗号鍵の変換は、鍵生成部２１４で生成し
た対称暗号鍵を、一般に公開しない暗号鍵方式と暗号鍵
データを用いて暗号化することにより行う。こうして対
称暗号鍵の変換を行う理由は、先の実施形態で述べたと
おりである。

【００５７】これに対して、暗号鍵モードが対称暗号鍵
モードではないと判定した場合（暗号鍵モードが非対称
暗号鍵モードに設定されていた場合）は、鍵生成部２１
４が非対称暗号鍵である秘密鍵と公開鍵を生成する（ス
テップＳ６２）。この場合も、鍵生成部２１４で生成さ
れた非対称暗号鍵が記憶部２１５に記憶される。

【００５８】ここで、ステップＳ５３又はＳ６２におい
て、鍵生成部２１４は乱数生成部２１６が生成した乱数
を用いて暗号鍵（対称暗号鍵又は非対称暗号鍵）を生成
する。また、ステップＳ５３での対称暗号鍵方式として
は、例えば、DESやRC2を利用することができ、ステップ
Ｓ６２での非対称暗号鍵方式としては、例えば、RSAやD
iffie Hellmanを利用することができる。生成する鍵長
は、予め装置によって決定されており、ステップＳ５３
では128ビットの対称暗号鍵生成し、ステップＳ６３で
は1024ビットの非対称暗号鍵（秘密鍵、公開鍵）を生成
する。

【００５９】続いて、ホスト装置２２０で実行するプロ
グラムデータをプログラムデータ生成部２１３が生成す
る（ステップＳ５５）。ここで生成するプログラムデー
タは、自装置で設定された暗号鍵モードによって異な
る。具体的に説明すると、暗号鍵モードが対称暗号鍵で
ある場合のプログラムデータは、図９（ａ）に示すよう
に、変換された対称暗号鍵２３１と、変換された対称暗
号鍵２３１を復元するためのプログラム２３２と、復元
した対称暗号鍵で入力データを暗号化するためのプログ
ラム２３３とから構成される。また、暗号鍵モードが非
対称暗号鍵である場合のプログラムデータは、図９
（ｂ）に示すように、記憶部２１５に格納した公開鍵の
参照アドレス２４１と、その参照アドレス２４１から公
開鍵を取り出すためのプログラム２４２と、公開鍵で入
力データを暗号化するためのプログラム２４３とから構
成される。ここいう参照アドレスとは、上述のように記
憶部２１５に公開鍵を格納した場合に、ネットワーク２
０１上での公開鍵の格納場所を示すアドレスをいう。ち
なみに、鍵生成部２１４で生成された公開鍵を、ネット
ワーク２０１に接続された他のネットワーク装置内に格
納した場合は、その格納場所を公開鍵の参照アドレスと
してプログラムデータに組み込んでもよい。

【００６０】続いて、ステップＳ５５においてプログラ
ムデータ生成部２１３が生成したプログラムデータを通
信部２１１からホスト装置２２０へ送信する（ステップ
Ｓ５６）。こうして送信されたプログラムデータはホス
ト装置２２０で受信される。これにより、ホスト装置２
２０においては、受信したプログラムデータを実行して
秘密鍵と公開鍵証明書をパスワードで暗号化した鍵ファ
イルを生成するとともに、当該鍵ファイルのパスワード
を上記参照アドレスから取得した公開鍵で暗号化し、こ
れによって得られた暗号パスワードと鍵ファイルとを暗
号データとしてネットワーク装置２１０に送信する。こ
のとき、ホスト装置２２０から送られているデータのヘ
ッダには暗号鍵モードが設定されている。その間、ネッ
トワーク装置２１０は、ホスト装置２２０から送られて
くる暗号パスワードと鍵ファイルを受信部２１１が受信
するまで待機する。

【００６１】その後、ホスト装置２２０から暗号パスワ
ードと鍵ファイルを通信部２１１で受信すると、その受
信データに設定された暗号鍵モードに従って復号部２１
２が暗号パスワードを復号する（ステップＳ５８）。こ
のとき、暗号鍵モードが対称暗号鍵モードである場合に
復号部２１２が復号処理に使う鍵は、ステップＳ５３で
鍵生成部２１４が生成し、記憶部２１５に記憶された対
称暗号鍵となる。また、暗号鍵モードが非対称暗号鍵モ
ードである場合に復号部１１２が復号に使う鍵は、ステ
ップＳ６２２で鍵生成部２１４が生成し、記憶部２１５
に記憶された秘密鍵となる。

【００６２】その後、復号部２１２で復号したパスワー
ドを用いて、鍵ファイル復号部２１７が鍵ファイルから
秘密鍵と公開鍵証明書を復号する（ステップＳ５９）。
次に、鍵ファイル復号部２１７で復号した秘密鍵と公開
鍵証明書を、自装置の秘密鍵と公開鍵証明書として記憶
部２１５に記憶する（ステップＳ６０）。これにより、
ネットワーク装置２１０において秘密鍵と公開鍵証明書
の設定格納がなされる。次いで、ステップＳ６１におい
ては、ステップＳ５３で生成し記憶部２１５に記憶され
ている対称暗号鍵又はステップＳ６２で生成し記憶部２
１５に記憶されている非対称暗号鍵を削除する。このよ
うに暗号データを復号した後、記憶部２１５に記憶され
ている不要になった暗号鍵（対称暗号鍵、非対称暗号
鍵）を削除することにより、記憶部２１５の記憶容量を
有効に活用することができる。以上の動作により、ネッ
トワーク装置２１０は、ホスト装置２２０から送信され
た自装置用の秘密鍵と公開鍵証明書を、ネットワーク２
００を経由して安全に受信し、自装置内に設定格納する
ことができる。

【００６３】なお、上記第１実施形態においては、ネッ
トワーク装置１１０で生成した変換対称暗号鍵又は公開
鍵をプログラムデータに内包してホスト装置１２０に送
信するようにたが、これに代えて、それらの暗号鍵の格
納場所を示す参照アドレスをプログラムデータに内包し
てホスト装置１２０に送信するようにしてもよい。

【００６４】また、上記第２実施形態に係るホスト装置
２２０においても、第１実施形態と同様にネットワーク
装置２１０の暗号能力情報を問い合わせ、これによって
取得した暗号能力情報を基に暗号鍵を生成するようにし
てもよい。

【００６５】

【発明の効果】以上説明したように本発明のネットワー
ク装置によれば、カード媒体などのデバイスを利用した
り、特定の認証局に限定されたりすることなく、ネット
ワーク装置の外部（ホスト装置）で生成取得した秘密鍵
と公開鍵証明書のデータを、ネットワーク経由で安全に
受信し、自装置内に設定格納することが可能となる。

【００６６】また本発明のホスト装置によれば、いちい
ち管理者がネットワーク装置の設置場所まで出向かなく
ても、当該ホスト装置で生成取得したネットワーク装置
用の秘密鍵と公開鍵証明書のデータを、ネットワーク経
由で安全にネットワーク装置に送信することが可能とな
る。

【図面の簡単な説明】

【図１】 本発明の第１実施形態に係るネットワーク装
置とホスト装置の機能ブロックとネットワーク構成を示
す図である。

【図２】 第１実施形態におけるホスト装置の処理手順
を示すフローチャートである。

【図３】 第１実施形態におけるネットワーク装置の処
理手順を示すフローチャート（その１）である。

【図４】 第１実施形態におけるネットワーク装置の処
理手順を示すフローチャート（その２）である。

【図５】 第１実施形態におけるプログラムデータの説
明図である。

【図６】 本発明の第２実施形態に係るネットワーク装
置とホスト装置の機能ブロックとネットワーク構成を示
す図である。

【図７】 第２実施形態におけるホスト装置の処理手順
を示すフローチャートである。

【図８】 第２実施形態におけるネットワーク装置の処
理手順を示すフローチャートである。

【図９】 第２実施形態におけるプログラムデータの説
明図である。

【符号の説明】

１００,２００…ネットワーク、１１０,２１０…ネット
ワーク装置、１１１,２１１…通信部、１１２,２１２…
復号部、１１３,２１３…プログラムデータ生成部、１
１４,２１４…鍵生成部、１１５,２１５…記憶部、１１
６,２１６…乱数生成部、１２０,２２０…ホスト装置、
１２１,２２１…通信部、１２２,２２２…公開鍵証明書
取得部、１２３,２２３…プログラムデータ生成部、１
２４,２２４…非対称鍵生成部、１２５,２２５…乱数生
成部、１２６…問い合わせ部、２１７…鍵ファイル復号
部、２２６…鍵ファイル暗号部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 9/00 ６０１Ｅ ６７５Ｄ

Claims (15)

【特許請求の範囲】
1. 【請求項１】 暗号鍵を生成する鍵生成手段と、 前記鍵生成手段で生成した暗号鍵を記憶する記憶手段
   と、 暗号処理を行うプログラムと、当該暗号処理に使用する
   暗号鍵又はその暗号鍵の格納場所を示す参照アドレス
   と、を含むプログラムデータを生成するプログラムデー
   タ生成手段と、 前記プログラムデータ生成手段で生成したプログラムデ
   ータをホスト装置に送信する送信手段と、 前記送信手段で送信したプログラムデータを用いて前記
   ホスト装置が暗号化した暗号データを受信する受信手段
   と、 前記受信手段で受信した暗号データを前記記憶手段に記
   憶した暗号鍵で復号する復号手段とを備えることを特徴
   とするネットワーク装置。
2. 【請求項２】 請求項１記載のネットワーク装置におい
   て、 前記鍵生成手段が対称暗号鍵を生成した場合に、 前記鍵生成手段で生成した対称暗号鍵を他人に知られる
   ことのないデータに変換する鍵変換手段を具備し、 前記プログラムデータ生成手段は、前記鍵変換手段で変
   換した変換対称暗号鍵又はその変換対称暗号鍵の可能場
   所を示す参照アドレスと、当該変換対称暗号鍵を復元す
   るプログラムとを前記プログラムデータに内包し、 前記復号手段は、前記記憶手段に記憶した対称暗号鍵で
   前記暗号データを復号することを特徴とするネットワー
   ク装置。
3. 【請求項３】 請求項１記載のネットワーク装置におい
   て、 前記鍵生成手段が非対称暗号鍵である公開鍵と秘密鍵を
   生成した場合に、 前記プログラムデータ生成手段は、前記鍵生成手段で生
   成した公開鍵又はその公開鍵の格納場所を示す参照アド
   レスを前記プログラムデータに内包し、 前記復号手段は、前記記憶手段に記憶した秘密鍵で前記
   暗号データを復号することを特徴とするネットワーク装
   置。
4. 【請求項４】 請求項１、２又は３記載のネットワーク
   装置において、 前記記憶手段は、前記復号手段による前記暗号データの
   復号処理完了後に、当該記憶手段に記憶されている暗号
   鍵を削除することを特徴とするネットワーク装置。
5. 【請求項５】 請求項１〜４のいずれか１項に記載のネ
   ットワーク装置において、 前記鍵生成手段は、自装置の起動時、ホスト装置からの
   設定要求時又は予め設定された時刻に、暗号鍵の生成を
   行うことを特徴とするネットワーク装置。
6. 【請求項６】 請求項１〜５のいずれか１項に記載のネ
   ットワーク装置において、 前記プログラムデータ生成手段は、自装置の起動時、ホ
   スト装置からの設定要求時又は予め設定された時刻に、
   プログラムデータの生成を行うことを特徴とするネット
   ワーク装置。
7. 【請求項７】 請求項１〜６のいずれか１項に記載のネ
   ットワーク装置において、 前記ホスト装置から受信した暗号データを復号処理して
   得られた秘密鍵と公開鍵証明書を自装置に設定格納する
   設定格納手段を具備することを特徴とするネットワーク
   装置。
8. 【請求項８】 請求項１〜７のいずれか１項に記載のネ
   ットワーク装置において、 前記復号手段は、前記暗号データに含まれる暗号化され
   たパスワードを前記記憶手段に記憶した暗号鍵で復号
   し、 前記復号手段により復号されたパスワードで暗号化され
   た秘密鍵と公開鍵証明書の鍵ファイルを復号する鍵ファ
   イル復号手段を具備することを特徴とするネットワーク
   装置。
9. 【請求項９】 請求項１〜８のいずれか１項に記載のネ
   ットワーク装置において、 自装置が接続するネットワークの通信データを採取する
   採取手段と、 前記採取手段で採取した通信データから乱数を生成する
   乱数生成手段とを具備し、 前記鍵生成手段は、前記乱数生成手段で生成した乱数か
   ら暗号鍵を生成することを特徴とするネットワーク装
   置。
10. 【請求項１０】 自装置が接続するネットワークの通信
    データを採取する採取手段と、 前記採取手段で採取した通信データから乱数を生成する
    乱数生成手段と、 前記乱数生成手段で生成した乱数から暗号鍵を生成する
    鍵生成手段とを備えることを特徴とするネットワーク装
    置。
11. 【請求項１１】 ネットワーク装置に送信されるデータ
    を暗号化するためのプログラムデータを当該ネットワー
    ク装置から受信する受信手段と、 前記受信手段で受信したプログラムデータを実行する実
    行手段と、 前記実行手段でプログラムデータを実行して暗号化した
    暗号データを前記ネットワーク装置に送信する送信手段
    とを備えることを特徴とするホスト装置。
12. 【請求項１２】 請求項１１記載のホスト装置におい
    て、 秘密鍵と公開鍵証明書の鍵ファイルをパスワードにより
    暗号化する鍵ファイル暗号手段を具備し、 前記実行手段は、前記プログラムデータを実行して当該
    プログラムデータに含まれる暗号化プログラムにより前
    記パスワードを暗号化することを特徴とするホスト装
    置。
13. 【請求項１３】 秘密鍵と公開鍵証明書の設定対象とな
    るネットワーク装置のアドレス情報から乱数を生成する
    乱数生成手段と、 前記乱数生成手段で生成した乱数から暗号鍵を生成する
    鍵生成手段とを備えることを特徴とするホスト装置。
14. 【請求項１４】 請求項１１又は１２記載のホスト装置
    において、 秘密鍵と公開鍵証明書の設定対象となるネットワーク装
    置のアドレス情報から乱数を生成する乱数生成手段と、 前記乱数生成手段で生成した乱数から暗号鍵を生成する
    鍵生成手段とを備えることを特徴とするホスト装置。
15. 【請求項１５】 請求項１３又は１４記載のホスト装置
    において、 ネットワーク装置の暗号能力情報を問い合わせる問い合
    わせ手段を具備し、 前記鍵生成手段は、前記問い合わせ手段からの問い合わ
    せによって取得した暗号能力情報に基づいて暗号鍵を生
    成することを特徴とするホスト装置。