JP2005197912A - 情報開示制御方法、情報開示制御プログラム、ならびに、耐タンパ装置 - Google Patents

Abstract

【課題】 情報を管理する情報管理サーバについて、情報を安全に管理しつつ情報を提供すること。
【解決手段】 情報を管理するとともに他装置からの要求に応じて情報を提供する情報管理サーバ２は、情報管理サーバの耐タンパ装置２Ｔ内において、暗号化手段により情報を暗号化する手順と、暗号化された情報を情報格納部２０に格納する手順と、他装置から情報の利用に関する要求のメッセージを受け付ける手順と、情報管理サーバの耐タンパ装置２Ｔ内において、要求のメッセージに含まれる暗号化された情報を、暗号化手段に対応する復号化手段を用いて復号化する手順と、復号化された情報を提供する手順と、を含めて実行することを特徴とする。なお、暗号化手段および復号化手段は、例えば共通鍵暗号方式における共通鍵によって実現される。
【選択図】 図１

Description

本発明は、情報開示制御方法、情報開示制御プログラム、ならびに、耐タンパ装置に関する。

主にインターネットなどにおいて、映像コンテンツなどの情報は、その情報を管理する情報管理サーバから、ネットワークを介して、情報の利用者の端末へと提供される。これらの利用される情報を、不特定多数の利用者の端末ではなく、特定の利用者の端末（例えば、利用料金を支払った利用者が使用する端末）だけに流通させるサービスが、実現されている。その場合、情報を利用させる端末と、情報を利用させない端末とを識別するために、様々な技術が活用されている。

例えば、提供する情報がアプリケーションソフトの場合、所定のライセンスキーを利用者の端末に通知し、利用者の端末側で、所定のライセンスキーを用いてアプリケーションソフトを利用させる方法がある（例えば、非特許文献１参照）。これにより、所定のライセンスキーを知らない利用者に対して、アプリケーションソフトの利用を妨げることが可能となる。
株式会社・ベクター、"ベクター・レジ・サービス・ライセンスキーについて"、[online]、［平成１５年１０月８日検索］、インターネット＜ＵＲＬ：http://www.vector.co.jp/swreg/man/help/key.html＞

しかし、情報を管理する情報管理サーバは、常に不正な利用者からの侵入される恐れがある。侵入者が情報管理サーバに不正にアクセスして侵入し、情報管理サーバに格納されている情報またはその情報を利用可能にするための情報（上記ではライセンスキー）を盗んだ場合、情報管理サーバに格納されている情報は、不正に利用されてしまう。

なお、不正なアクセスによる侵入に対するセキュリティの手段として、例えば、予め指定した特定のトラフィックを遮断するファイアウォールが活用されている。しかし、ファイアウォールは、ネットワークを介してネットワークから情報管理サーバにアクセスしてくるトラフィックを遮断するものであり、例えば、信頼している（ファイアウォールが適用されない）内部のＬＡＮからの不正アクセスや、情報管理サーバの筐体の物理的な盗難などに対応することは、困難であった。

そこで、本発明では、前記した問題を解決し、情報を管理する情報管理サーバについて、情報を安全に管理しつつ情報を提供することを主な目的とする。

前記課題を解決するため、請求項１に記載の情報開示制御方法は、情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバによる情報開示制御方法であって、前記情報管理サーバが、
前記情報管理サーバの耐タンパ装置内において、暗号化手段により情報を暗号化する手順と、
前記暗号化された情報を情報格納部に格納する手順と、
前記他装置から情報の利用に関する要求のメッセージを受け付ける手順と、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記暗号化された情報を、前記暗号化手段に対応する復号化手段により復号化する手順と、
前記復号化された情報を提供する手順と、
を含めて実行することを特徴とする。

請求項２に記載の情報開示制御方法は、情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバによる情報開示制御方法であって、前記情報管理サーバが、
前記情報の登録に関する要求を受信する手順と、
前記情報管理サーバの耐タンパ装置内において、情報保管用共通鍵により前記情報を暗号化する手順と、
前記暗号化された情報を情報格納部に格納する手順と、
前記情報管理サーバの耐タンパ装置内において、前記情報の格納場所を示すポインタおよび前記情報の管理者の特定情報を含む情報保管情報を作成する手順と、
前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信する手順と、
前記他装置から前記情報の利用に関する要求のメッセージを受け付ける手順と、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記情報保管情報から前記情報の管理者の特定情報を取得し、前記情報の管理者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証する手順と、
前記情報管理サーバの耐タンパ装置内において、前記署名の検証結果が可となる場合に、前記要求のメッセージに含まれる前記情報保管用共通鍵により暗号化された情報を復号化する手順と、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる、前記暗号化手段に対応する復号化手段により前記暗号化された情報を復号化する手順と、
前記復号化された情報を提供する手順と、
を含めて実行することを特徴とする。

請求項３に記載の情報開示制御方法は、請求項２に記載の情報開示制御方法であって、前記情報管理サーバが、前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信する手順は、前記情報管理サーバの耐タンパ装置内において、鍵管理用共通鍵により前記情報保管用共通鍵と前記情報保管情報とを暗号化する手順を含み、前記他装置から情報の利用に関する要求のメッセージを受け付ける手順は、前記情報管理サーバの耐タンパ装置内において、前記鍵管理用共通鍵により暗号化された前記情報保管用共通鍵と前記情報保管情報とを復号化する手順を含むことを特徴とする。

請求項４に記載の情報開示制御方法は、請求項３に記載の情報開示制御方法であって、前記要求のメッセージは、前記情報保管情報に対応する情報の管理者によって作成された利用許諾情報を含むこととし、前記情報管理サーバが、前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記利用許諾情報から情報の利用者の特定情報を取得し、前記情報の利用者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証する手順と、
前記署名の検証に失敗した場合は、前記情報の提供を禁止する手順と、
を含めて実行することを特徴とする。

請求項５に記載の情報開示制御方法は、請求項４に記載の情報開示制御方法であって、前記要求のメッセージは、前記情報の利用者によって作成された情報取得情報を含むこととし、前記情報管理サーバが、前記情報管理サーバの耐タンパ装置内において、前記情報取得情報が前記利用許諾情報に適合するかを検証する手順と、
前記情報取得情報が前記利用許諾情報に適合しない場合は、前記情報の提供を禁止する手順と、
を含むことを特徴とする。

請求項６に記載の情報開示制御プログラムは、情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される情報開示制御プログラムであって、前記情報開示制御プログラムは、前記情報管理サーバに、
前記情報管理サーバの耐タンパ装置内において、暗号化手段により情報を暗号化するステップと、
前記暗号化された情報を情報格納部に格納するステップと、
前記他装置から情報の利用に関する要求のメッセージを受け付けるステップと、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる暗号化された情報を、前記暗号化手段に対応する復号化手段により復号化するステップと、
前記復号化された情報を提供するステップと、
を含めて実行させることを特徴とする。

請求項７に記載の情報開示制御プログラムは、請求項６に記載の情報開示制御プログラムであって、情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される情報開示制御プログラムであって、前記情報開示制御プログラムは、前記情報管理サーバに、
前記情報の登録に関する要求を受信するステップと、
前記情報管理サーバの耐タンパ装置内において、情報保管用共通鍵により前記情報を暗号化するステップと、
前記暗号化された情報を情報格納部に格納するステップと、
前記情報管理サーバの耐タンパ装置内において、前記情報の格納場所を示すポインタおよび前記情報の管理者の特定情報を含む情報保管情報を作成するステップと、
前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信するステップと、
前記他装置から前記情報の利用に関する要求のメッセージを受け付けるステップと、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記情報保管情報から前記情報の管理者の特定情報を取得し、前記情報の管理者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証するステップと、
前記情報管理サーバの耐タンパ装置内において、前記署名の検証結果が可となる場合に、前記要求のメッセージに含まれる前記情報保管用共通鍵により暗号化された情報を復号化するステップと、
前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる、前記暗号化手段に対応する復号化手段により前記暗号化された情報を復号化するステップと、
前記復号化された情報を提供するステップと、
を含めて実行させることを特徴とする。

請求項８に記載の情報開示制御プログラムは、請求項７に記載の情報開示制御プログラムであって、前記情報開示制御プログラムは、前記情報管理サーバに、
前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信するステップは、前記情報管理サーバの耐タンパ装置内において、鍵管理用共通鍵により前記情報保管用共通鍵と前記情報保管情報とを暗号化するステップを含み、前記他装置から情報の利用に関する要求のメッセージを受け付けるステップは、前記情報管理サーバの耐タンパ装置内において、前記鍵管理用共通鍵により暗号化された前記情報保管用共通鍵と前記情報保管情報とを復号化するステップを含めて実行させることを特徴とする。

請求項９に記載の情報開示制御プログラムは、請求項８に記載の情報開示制御プログラムであって、前記要求のメッセージは、前記情報保管情報に対応する情報の管理者によって作成された利用許諾情報を含むこととし、前記情報開示制御プログラムは、前記情報管理サーバに、前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記利用許諾情報から情報の利用者の特定情報を取得し、前記情報の利用者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証するステップと、
前記署名の検証に失敗した場合は、前記情報の提供を禁止するステップと、
を含めて実行させることを特徴とする。

請求項１０に記載の情報開示制御プログラムは、請求項９に記載の情報開示制御プログラムであって、前記要求のメッセージは、前記情報の利用者によって作成された情報取得情報を含むこととし、前記情報開示制御プログラムは、前記情報管理サーバに、前記情報管理サーバの耐タンパ装置内において、前記情報取得情報が前記利用許諾情報に適合するかを検証するステップと、
前記情報取得情報が前記利用許諾情報に適合しない場合は、前記情報の提供を禁止するステップと、
を含めて実行させることを特徴とする。

請求項１１に記載の耐タンパ装置は、情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される耐タンパ装置であって、前記耐タンパ装置は、前記情報を格納する情報格納部と、前記情報の暗号化および復号化を行う際に使用される情報保管用共通鍵、および、前記情報保管用共通鍵の暗号化および復号化を行う際に使用される鍵管理用共通鍵を用いた暗号処理を行う暗号処理部と、前記鍵管理用共通鍵を格納する鍵格納部と、前記他装置から受信した要求のメッセージに付された署名を検証する署名処理部と、前記他装置から受信した要求のメッセージに含まれる利用条件を検証する利用条件検証部と、を含めて構成されることを特徴とする。

請求項１２に記載の耐タンパ装置は、情報を管理する情報管理サーバに対して前記情報の提供または登録を要求する際に用いられる装置に使用される耐タンパ装置であって、前記耐タンパ装置は、受信したデータを格納するデータ格納部と、署名の付加に使用される秘密鍵を格納する鍵格納部と、送信するデータに前記秘密鍵により署名を付加する署名処理部と、を含めて構成されることを特徴とする。

このような情報開示制御方法によれば、提供する情報は、暗号化処理が施された後に情報管理サーバの情報格納部に格納されるので、情報格納部に格納されている情報が不正アクセスによって盗聴されても不正に利用されることがない。また、暗号化処理に使用される共通鍵（暗号化手段）は、耐タンパ装置内で暗号処理に使用されることにより、不正に利用されずに済む。よって、情報管理サーバは、情報を安全に管理しつつ情報を提供することができる。

以下に、本発明が適用される情報開示制御システムの第１実施形態について、図面を参照して詳細に説明する。まず、本実施形態の情報開示制御システムの構成について、図１および図２を参照して説明する。

図１は、本発明の第１実施形態に関する情報開示制御システムの構成図である。情報開示制御システムは、情報管理クライアント４から登録された情報を保管するとともに、情報利用クライアント６からのアクセスに応じて情報を提供する情報管理サーバ２と、情報管理サーバ２に登録する情報を管理する情報管理クライアント４と、情報管理サーバ２に登録された情報を利用するための情報利用クライアント６と、を含めて構成され、各装置は、ネットワークによって接続されている。さらに、情報管理サーバ２は、情報利用クライアント６にアクセスさせる情報を格納する情報格納部２０を有している。

また、情報開示制御システムの各装置は、内部で処理されるデータを外部から隠蔽する耐タンパ装置を保持している。つまり、情報管理サーバ２は、情報管理サーバの耐タンパ装置２Ｔを、情報管理クライアント４は、情報管理クライアントの耐タンパ装置４Ｔを、情報利用クライアント６は、情報利用クライアントの耐タンパ装置６Ｔを、それぞれ保持している。なお、耐タンパ装置は、例えば、各装置（情報管理サーバ２など）に着脱可能な記録媒体（ＩＣカードなど）によって構成される。耐タンパ装置は、内部に格納するデータに対して耐タンパ処理が施されているので、物理的な紛失や盗難にあっても、内部に格納するデータ（例えば、所定のアプリケーションソフトのライセンスキー）まで悪用される可能性が少ないという利点がある。また、これらの耐タンパ装置は、今後住民基本台帳カードの普及に伴い、各ユーザに保持されることが期待される。

情報開示制御システムの処理の概要は次の通りである。まず、情報管理クライアント４は、他装置にアクセスさせる情報を、情報管理サーバ２に登録する。ここで、情報管理サーバ２は、利用許可のあった情報利用クライアント６だけにアクセスさせる情報を提供するように制御するため、利用許可の無い他装置からアクセスさせる情報を守る必要がある。よって、情報管理サーバ２は、耐タンパ装置２Ｔにおいてアクセスさせる情報を暗号化した後に、情報格納部２０に格納する。

また、情報管理サーバ２は、格納したアクセスさせる情報を管理するために、格納場所を示すポインタを含めて構成される情報保管情報１００を生成する。なお、情報保管情報１００は、格納したアクセスさせる情報の所有者を特定する情報も含むものとする。

次に、情報管理クライアント４は、情報利用クライアント６に、情報の利用許可を与える。つまり、情報管理クライアント４は、情報利用クライアント６にアクセスさせる情報の利用許諾を示す利用許諾情報１０２の入力を受け付け、情報利用クライアント６の識別情報を含めた利用許諾情報１０２を、情報利用クライアント６に通知する。なお、利用許諾情報１０２は、例えば、所定の情報利用者（Ｂ歯科に所属する医師など）が、所定の時期（２００４年２月末までなど）に、所定の回数（最大２０回など）だけ、所定の目的（医療業務など）に限り、情報の使用を許諾する、という旨を示す情報である。

そして、情報利用クライアント６は、情報管理サーバ２に、情報の利用要求を行う。つまり、情報利用クライアント６は、情報利用クライアント６にアクセスさせる情報の利用要求を示す情報取得情報１０４の入力を受け付け、通知された利用許諾情報１０２と併せて、情報管理サーバ２に通知する。情報管理サーバ２は、利用許諾情報１０２と情報取得情報１０４とを照合することにより、照合が可となる場合に情報利用クライアント６への情報の提供を行う。

図２は、本発明の第１実施形態に関する情報開示制御システムの詳細な構成図である。まず、情報管理サーバの耐タンパ装置２Ｔは、鍵管理用共通鍵１２０を格納する鍵格納部２２と、情報保管用共通鍵１１０および鍵管理用共通鍵１２０を用いた暗号処理を行う暗号処理部２４と、情報利用クライアント６から受信したデータに付された署名を検証する署名処理部２６と、情報利用クライアント６から受信した利用条件を検証する利用条件検証部２８と、を含めて構成される。次に、情報管理クライアントの耐タンパ装置４Ｔは、受信したデータを格納するデータ格納部４０と、情報管理クライアント秘密鍵１３０を格納する鍵格納部４２と、受信したデータに署名を付加する署名処理部４４と、を含めて構成される。さらに、情報利用クライアントの耐タンパ装置６Ｔは、受信したデータを格納するデータ格納部６０と、情報利用クライアント秘密鍵１４０を格納する鍵格納部６２と、受信したデータに署名を付加する署名処理部６４と、を含めて構成される。

次に、情報開示制御システムに適用される暗号技術について、説明する。まず、暗号処理部２４は、情報格納部２０に格納される情報の暗号化および復号化に使用される情報保管用共通鍵１１０を生成および利用する。これにより、情報保管用共通鍵１１０を有していない不正な侵入者が情報管理サーバ２に不正に侵入して、情報格納部２０から情報を取得しても、その情報は暗号化されているために、情報の改ざんや不正利用を防ぐことができる。

次に、鍵格納部２２は、情報保管用共通鍵１１０の暗号化および復号化に使用される鍵管理用共通鍵１２０を格納する。これにより、情報保管用共通鍵１１０を情報管理サーバ２の装置から他の装置に流通させる際に、情報保管用共通鍵１１０が鍵管理用共通鍵１２０によって暗号化されているので、情報保管用共通鍵１１０の盗聴や不正利用を防ぐことが出来る。

そして、鍵格納部４２は、情報管理クライアント４の署名の付加に使用される情報管理クライアント秘密鍵１３０を格納する。また、公開鍵暗号方式における情報管理クライアント秘密鍵１３０に対応する情報管理クライアント４の署名の検証に使用される情報管理クライアント公開鍵１３２は、例えば、公開鍵サーバに格納される。これにより、情報管理クライアント４は、他装置に送信するデータに対して情報管理クライアント秘密鍵１３０を利用して署名を付し、他装置は、公開鍵サーバから入手した情報管理クライアント公開鍵１３２を用いて署名を検証する。そのため、情報管理クライアント４以外の装置が情報管理クライアント４から発信したデータと偽ってなりすましても、他装置は、そのなりすましを検出できる。

さらに、鍵格納部６２は、情報利用クライアント６の署名の付加に使用される情報利用クライアント秘密鍵１４０を格納する。また、公開鍵暗号方式における情報利用クライアント秘密鍵１４０に対応する情報利用クライアント６の署名の検証に使用される情報利用クライアント公開鍵１４２は、例えば、公開鍵サーバに格納される。これにより、情報利用クライアント６は、他装置に送信するデータに対して情報利用クライアント秘密鍵１４０を利用して署名を付し、他装置は、公開鍵サーバから入手した情報利用クライアント公開鍵１４２を用いて署名を検証する。そのため、情報利用クライアント６以外の装置が情報管理クライアント４から発信したデータと偽ってなりすましても、他装置は、そのなりすましを検出できる。

以上、情報開示制御システムの構成について、説明した。次に、本実施形態の情報開示制御システムの動作について、図１および図２を参照しつつ、図３から図６に沿って説明する。

図３は、本発明の第１実施形態に関する情報開示制御システムにおける情報の登録処理を示すフローチャートである。

まず、情報管理クライアント４は、ユーザ（情報登録者）の認証を行う（Ｓ１０１）。なお、認証の処理は、登録対象の情報と、その情報の登録者との対応をとるために行われるものであり、例えば、所定の情報登録者が、複数の情報管理クライアント４を用いて登録対象の情報を管理する際に、複数の情報管理クライアント４が、同一の情報登録者によって操作されていることを認証するために行われる。次に、情報管理クライアント４は、ユーザ（情報登録者）からの指示により、情報管理サーバ２に情報保管の要求（Ｓ１０２）を行う。

そして、情報管理サーバ２は、ポリシの検証（Ｓ１０３）を行う。ここで、ポリシとは、情報管理サーバ２が、情報管理クライアント４を対象として、情報の操作（登録や削除など）を行うことに対する許可情報である。ポリシは、例えば、どの情報管理クライアント４の操作を許可するか（操作の主体）や、どれだけの大きさの情報を登録させるか（情報のデータ容量）、などにより表現される。そして、情報管理サーバ２は、予め設定されたポリシと、情報管理クライアント４からの情報の操作とを照合することによって検証を行う。もし、ポリシに適合しない操作が情報管理サーバ２に入力された場合は、例えば、エラーメッセージを情報管理クライアント４に返信する。

さらに、情報管理サーバの耐タンパ装置２Ｔは、暗号処理部２４を用いて、情報に対応する情報保管用共通鍵１１０を作成し（Ｓ１０４）、その情報保管用共通鍵１１０を用いた情報の暗号化（Ｓ１０５）を行う。そして、情報管理サーバの耐タンパ装置２Ｔは、情報管理サーバ２の情報格納部２０に、情報を保存する（Ｓ１０６）。さらに、情報管理サーバの耐タンパ装置２Ｔは、情報に対応する情報保管情報１００の作成（Ｓ１０７）を行う。そして、情報管理サーバの耐タンパ装置２Ｔは、鍵格納部２２に格納された鍵管理用共通鍵１２０を用いて、“情報保管用共通鍵１１０（暗号処理部２４により作成されたもの）と情報保管情報１００”の暗号化（Ｓ１０８）を行う。

そして、情報管理サーバ２は、暗号化済の“情報保管用共通鍵１１０と情報保管情報１００”を、情報管理クライアント４に送信する（Ｓ１０９）。なお、暗号化済の“情報保管用共通鍵１１０と情報保管情報１００”の容量は、利用対象の情報の本体を含まないので、約２５６バイト程度、と小さくて済む。さらに、情報管理クライアント４は、受信した暗号化済の“情報保管用共通鍵１１０と情報保管情報１００”を、情報管理クライアントの耐タンパ装置４Ｔのデータ格納部４０に保存する（Ｓ１１０）。

図４は、本発明の第１実施形態に関する情報開示制御システムにおける情報の利用許可処理を示すフローチャートである。

まず、情報管理クライアント４は、利用許諾情報１０２の入力（Ｓ２０１）を受け付ける。ここで、利用許諾情報１０２は、データの登録者が、データの利用者に対して付与する利用許可（ライセンスキー）などの情報である。また、利用許諾情報１０２は、例えば、標準技術であるＸＡＣＭＬ(eXtensible Access Control Markup Language)に従った形式で記述される。

次に、情報管理クライアントの耐タンパ装置４Ｔは、署名処理部４４を介して、鍵格納部４２に格納された情報管理クライアント秘密鍵１３０を用いた“利用許諾情報１０２”への署名の付加（Ｓ２０２）を行う。なお、所定のデータの登録者は、複数のデータの利用者に対して利用許諾情報１０２を付与可能なので、利用許諾情報１０２には、利用対象のデータの利用者を識別する情報を含める。そして、利用許諾情報１０２で指定されたデータの利用者に使用される情報管理クライアント４は、情報管理クライアント秘密鍵１３０を用いて、データの利用者の本人性を特定する署名を付加する。これにより、利用許諾情報１０２を不正に盗用した第３者は、利用対象のデータの利用者ではないので、盗用した利用許諾情報１０２をそのまま用いることは困難となる。また、署名を付加できるのは、情報管理クライアント秘密鍵１３０をもつ正規の利用者だけなので、利用許諾情報１０２を不正に盗用した第３者が、正規の利用者になりすますことを防止できる。

そして、情報管理クライアント４は、暗号化済の“情報保管用共通鍵１１０と情報保管情報１００”（データ格納部４０から取得）と、署名済の“利用許諾情報１０２”とを、情報利用クライアント６に送信する（Ｓ２０３）。なお、情報の本体を情報管理クライアント４から情報利用クライアント６へと流通させる方式に比べ、情報の本体に対応する利用許諾情報１０２を流通させる方式は、利用許諾情報１０２が情報の本体に対して小さいので、保存先となる耐タンパ装置を低容量化できる。また、情報の本体と、その情報の本体に対応する利用許諾情報１０２とを分離させることにより、情報の本体の更新を、情報管理クライアント４を介することなく、効率的に実現することが可能となる。

さらに、情報利用クライアント６は、受信した暗号化済の“情報保管用共通鍵１１０と情報保管情報１００”と、署名済の“利用許諾情報１０２”とを、情報利用クライアントの耐タンパ装置６Ｔのデータ格納部６０に保存する（Ｓ２０４）。

図５は、本発明の第１実施形態に関する情報開示制御システムにおける情報の利用処理を示すフローチャートである。まず、情報利用クライアント６はユーザ（情報利用者）の認証（Ｓ３０１）を行う。

次に、情報利用クライアント６は、情報取得情報１０４の作成（Ｓ３０２）を行う。なお、情報取得情報１０４は、情報の利用に関する希望を記すものであり、データの利用者によって設定される。よって、情報取得情報１０４は、例えば、情報の利用主体（誰が利用するのか）、情報の利用期間、情報の利用目的などによって構成される。そして、情報利用クライアントの耐タンパ装置６Ｔは、署名処理部６４を介して、鍵格納部６２に格納された情報利用クライアント秘密鍵１４０を用いた“情報取得情報１０４”への署名の付加（Ｓ３０３）を行う。さらに、情報利用クライアント６は、暗号化済“情報保管用共通鍵１１０と情報保管情報１００”（データ格納部６０から取得）と、署名済“利用許諾情報１０２”（データ格納部６０から取得）と、署名済“情報取得情報１０４”と、を情報管理サーバ２に送信する（Ｓ３０４）。

そして、情報管理サーバの耐タンパ装置２Ｔは、受信したデータから、鍵格納部２２に格納された鍵管理用共通鍵１２０を用いて、暗号化済“情報保管用共通鍵１１０と情報保管情報１００”の復号化（Ｓ３０５）を行う。さらに、情報管理サーバの耐タンパ装置２Ｔは、署名処理部２６を用いて、署名の検証（Ｓ３０６）を行う。そして、情報管理サーバの耐タンパ装置２Ｔは、受信した利用許諾情報１０２および情報取得情報１０４から、利用条件検証部２８を用いて、利用許諾の検証（Ｓ３０７）を行う。なお、利用許諾の検証は、情報取得情報１０４に記述された利用者の利用の範囲が、利用許諾情報１０２に記述された利用条件の範囲に、収まっているかどうか、検証する。例えば、情報取得情報１０４には、“情報Ｘは、利用者Ａに、期間として２００３年の１年間だけ利用を許可する”という旨が記述されている場合、利用許諾情報１０２に“利用者Ａは、情報Ｘを、期間として２００３年６月から１０月までの利用を所望する”という旨が記述されていれば、利用条件の範囲に収まっているので、利用が許可される。

さらに、情報管理サーバの耐タンパ装置２Ｔは、情報保管用共通鍵１１０を用いた情報の復号化（Ｓ３０８）を行う。ここで、情報管理サーバ２は、情報管理サーバ２自身に情報保管用共通鍵１１０を保管せずに、情報利用クライアント６から送信されてきた情報保管用共通鍵１１０を用いて、情報の復号化を行う。これにより、情報管理サーバ２は、情報保管用共通鍵１１０を常時保管せずに済むので、情報管理サーバ２への侵入や、物理的盗難に対して、情報保管用共通鍵１１０の盗用を防ぐことができる。

そして、情報管理サーバ２は、情報利用クライアント６に情報を送信（Ｓ３０９）し、情報利用クライアント６は、受信した情報の利用（Ｓ３１０）を行う。なお、情報の送信および情報の利用（請求項における“情報の提供”に対応）の形態は、様々な方式を活用することができる。例えば、利用対象の情報が静止画のコンテンツの場合、情報管理サーバ２から情報利用クライアント６に、片方向で１回の通信が行われることにより、静止画のコンテンツが配信される。また、利用対象の情報が動画のコンテンツの場合、情報管理サーバ２と情報利用クライアント６との間に、ストリーミング用のコネクションの接続を行い、以降その接続を介して、動画が配信される。この場合は、情報利用クライアント６からの操作（早送り、停止など）が行われることもあるので、双方向の通信となる。さらに、利用対象の情報が行政サービスにおける申請手続き（その手続きに関する申請書類のデータ）の場合、情報管理サーバ２から情報利用クライアント６に未記入の申請書類のデータが送信され、情報利用クライアント６から情報管理サーバ２に記入済の申請書類のデータが返信される。つまり、双方向に複数回の通信が行われる。

図６は、本発明の第１実施形態に関する情報開示制御システムにおける署名の検証処理を示すフローチャートである。

まず、情報管理サーバの耐タンパ装置２Ｔは、情報管理サーバ２に情報保管情報１００で指定された情報登録者に対応する情報管理クライアント公開鍵１３２を取得させる（Ｓ４０１）。情報管理サーバ２は、例えば、公開鍵サーバの鍵格納部（図２参照）から、情報管理クライアント公開鍵１３２を取得する。次に、情報管理サーバの耐タンパ装置２Ｔは、情報管理クライアント公開鍵１３２を用いた署名済“利用許諾情報１０２”への署名検証（Ｓ４０２）を行う。そして、情報管理サーバの耐タンパ装置２Ｔは、利用許諾情報１０２の署名の検証に成功したかを判定する（Ｓ４０３）。もし、署名の検証に成功しなかったら（Ｓ４０３、Ｎ）、情報登録者ではない第３者が利用許諾情報１０２を偽造したとみなして、署名の検証を失敗とする（Ｓ４０８）。

さらに、情報管理サーバの耐タンパ装置２Ｔは、情報管理サーバ２に利用許諾情報１０２で指定された情報利用クライアント公開鍵１４２を取得させる（Ｓ４０４）。情報管理サーバ２は、例えば、公開鍵サーバの鍵格納部（図２参照）から、情報利用クライアント公開鍵１４２を取得する。そして、情報管理サーバの耐タンパ装置２Ｔは、情報利用クライアント公開鍵１４２を用いた署名済“情報取得情報１０４”への署名検証（Ｓ４０５）を行う。これにより、情報取得情報１０４の発信者が特定できるので、情報管理サーバ２は、情報取得情報１０４と発信者とを対応付けてログとして記録することができ、発信者が後に情報を不正に利用した際でも、追跡が可能となる。さらに、情報管理サーバの耐タンパ装置２Ｔは、情報取得情報１０４の署名の検証に成功したかどうかの判定を行う（Ｓ４０６）。もし、署名の検証に成功しなかったら（Ｓ４０６、Ｎ）、情報利用者ではない第３者が情報取得情報１０４を偽造したとみなして、署名の検証を失敗とする（Ｓ４０８）。一方、署名の検証に成功した場合（Ｓ４０６、Ｙ）、そして、情報管理サーバの耐タンパ装置２Ｔは、署名の検証に成功（Ｓ４０７）したとみなして、処理を、図５のＳ３０７に進める。

なお、情報管理サーバ２が、署名の検証を失敗とする（Ｓ４０８）場合に、そこで、全処理を終了してしまう替わりに、情報を提供する際の不足情報を特定し、その不足情報の入力を促すように、情報管理サーバ２から情報利用クライアント６に要求を行っても良い。そして、情報管理サーバ２は、情報利用クライアント６からの不足情報を受信すると、以前検証を終えた部分の署名の検証処理は省略し、不足情報として受信した署名の検証を行っても良い。なお、不足情報は、例えば、情報取得情報１０４に署名が付されていなかった場合の、情報取得情報１０４への署名が挙げられる。

以上、情報開示制御システムの動作について、説明した。次に、本発明が適用される情報開示制御システムの第２実施形態について、図面を参照して詳細に説明する。なお、第２実施形態は、第１実施形態で説明した情報開示制御システムを、後記するセマンティックＷｅｂシステムに適用する一例を示すものである。

図７は、本発明の第１実施形態に関する情報開示制御システムが適用されるセマンティックＷｅｂシステムの構成図である。セマンティックＷｅｂシステム１Ａは、Ｗｅｂ上にあるデータを用いて問題解決を行う機能を有する。なお、セマンティックＷｅｂシステム１Ａは、ネットワークを介して、サービス提供者の端末８Ａおよび、ユーザ端末９Ａからのアクセスを受け付ける。このため、セマンティックＷｅｂシステム１Ａは、サービスの提供に使用されるデータを処理するサービスデータ処理部１０Ａと、サービスの提供に使用されるコンテンツを記録するコンテンツ記録部２０Ａと、コンテンツに対応する機械的処理が可能なメタデータを記録するメタデータ記録部３０Ａと、ユーザによって登録されたデータを処理するユーザデータ処理部６０Ａと、ユーザによって登録された配信許諾に関するデータであるオプトインを記録するオプトイン記録部７０Ａと、ユーザによって登録されたユーザの個人情報を記録する個人情報記録部８０Ａと、概念の集合および概念間の相互関係が定義された辞書データを処理するオントロジ辞書処理部１１０Ａと、概念の集合および概念間の相互関係が定義された辞書データを記録するオントロジ辞書記録部１２０Ａと、ユーザによって登録されたデータとサービスの提供に使用されるデータとを照合するデータ照合部１５０Ａと、データ照合部によって照合されるデータを記録する照合対象データ記録部１６０Ａと、データ照合部によって照合された結果を記録する照合結果記録部１７０Ａと、を含めて構成される。

ここで、コンテンツ記録部２０Ａに記録されるコンテンツについて、例えば、映像データ（サービスが映像データの配信である場合）などのサービスがセマンティックＷｅｂシステム１Ａからユーザ端末９Ａへ一方向で提供されるケースだけでなく、申請書データ（サービスが行政に関する申請手続きである場合）などのサービスがセマンティックＷｅｂシステム１Ａとユーザ端末９Ａとの双方向のやりとりによって実現されるケースも対応する。

また、メタデータ記録部３０Ａに記録されるメタデータは、コンテンツ記録部２０Ａに記録されるコンテンツを説明するものである。例えば、コンテンツが書籍データである場合には、メタデータは、書籍データを説明する書誌情報である。

さらに、オプトイン記録部７０Ａに記録されるオプトインは、ユーザによって登録された配信許諾に関するデータである。例えば、オプトインは、ユーザによって指定された“行政情報のうちの医療情報の配信を許諾する”という旨を示す情報である。これにより、ユーザは、自分の興味のあるサービスへの意思表示を登録する。そして、オプトインは、セマンティックＷｅｂシステム１Ａからユーザ端末９Ａに提供されるサービスを選択する用途で用いられる。

そして、個人情報記録部８０Ａに記録されるユーザの個人情報は、セマンティックＷｅｂシステム１Ａからユーザ端末９Ａに提供されるサービスを選択する用途で用いられる。また、ユーザの個人情報は、提供されるサービスについて、ユーザの個人情報に応じてサービスの内容を変化させるという用途にも使用される。

以上説明したセマンティックＷｅｂシステム１Ａは、以下のように本発明を適用することができる。なお、適用形式は、不正アクセスから保護する対象となる情報の管理者によって、２種類のケースに分類できる。

まず、第１のケースは、サービスの提供を受けるユーザがユーザ端末９Ａを介してセマンティックＷｅｂシステム１Ａに登録した情報を、セマンティックＷｅｂシステム１Ａが保護する場合である。この場合は、第１実施形態における情報管理サーバ２がセマンティックＷｅｂシステム１Ａに対応するとともに、第１実施形態における情報管理クライアント４がユーザ端末９Ａに、第１実施形態における情報利用クライアント６がサービス提供者の端末８Ａに、それぞれ対応する。そして、保護する情報を格納する情報格納部２０は、オプトイン記録部７０Ａまたは個人情報記録部８０Ａのうち、少なくとも１つに適用される。さらに、保護する情報を処理する情報管理サーバの耐タンパ装置２Ｔは、ユーザデータ処理部６０Ａに適用される。

一方、第２のケースは、サービスの提供を行うサービス提供者がサービス提供者の端末８Ａを介してセマンティックＷｅｂシステム１Ａに登録した情報を、セマンティックＷｅｂシステム１Ａが保護する場合である。この場合は、第１実施形態における情報管理サーバ２がセマンティックＷｅｂシステム１Ａに対応するとともに、第１実施形態における情報利用クライアント６がユーザ端末９Ａに、第１実施形態における情報管理クライアント４がサービス提供者の端末８Ａに、それぞれ対応する。そして、保護する情報を格納する情報格納部２０は、コンテンツ記録部２０Ａまたはメタデータ記録部３０Ａのうち、少なくとも１つに適用される。さらに、保護する情報を処理する情報管理サーバの耐タンパ装置２Ｔは、サービスデータ処理部１０Ａに適用される。

以上、本発明が適用される情報開示制御システムの第２実施形態について、説明した。これにより、セマンティックＷｅｂシステム１Ａに格納する情報を、不正アクセスから保護することが可能となる。

以上説明した本発明は、発明の趣旨を逸脱しない範囲で広く変形実施することができる。

例えば、公開鍵暗号方式による秘密鍵と公開鍵との対（情報管理クライアント秘密鍵１３０と情報管理クライアント公開鍵１３２、および、情報利用クライアント秘密鍵１４０と情報利用クライアント公開鍵１４２）は、データの発信者の本人性の認証する目的で使用されるので、データの発信者の本人性の認証する他の技術により、代替が可能である。代替技術は、例えば、データの発信者を特定し、かつ、データの内容を参照しても気づかれないように隠蔽するような電子透かしを、発信するデータに付加する方式としてもよい。

また、情報管理サーバ２は、情報格納部２０に登録する情報の暗号化処理（Ｓ１０５）および復号化処理（Ｓ３０５）を一括して行っていたが、情報管理サーバ２に処理の負担が集中してしまうという問題も発生する。そこで、情報管理クライアント４が情報の暗号化処理を代行し、情報管理サーバの耐タンパ装置２Ｔが情報の暗号化処理（Ｓ３０５）を行うこととしてもよい。その場合、情報管理サーバ２は、情報の暗号化と復号化とで共用される情報保管用共通鍵１１０を生成する（Ｓ１０４）替わりに、情報の暗号化で使用される公開鍵暗号方式における公開鍵と、情報の復号化で使用される公開鍵暗号方式における秘密鍵とを作成し、公開鍵を情報管理クライアント４による情報の暗号化処理に使用させてもよい。

さらに、情報管理サーバ２は、情報保管用共通鍵１１０を流通させる（Ｓ１０９）替わりに、情報保管用共通鍵１１０に所定の可逆変換処理を施してから流通させてもよい。その場合、情報管理サーバ２は、情報保管用共通鍵１１０を使用する際に（Ｓ３０５）、所定の可逆変換処理に対応する変換処理を施して情報保管用共通鍵１１０を取り出してから使用する。

また、情報管理サーバ２は、情報保管用共通鍵１１０を流通させる（Ｓ１０９）代わりに、情報保管用共通鍵１１０を情報格納部２０に保管しておき、情報保管用共通鍵１１０を特定可能な情報を流通させてもよい。そして、情報管理サーバ２は、情報保管用共通鍵１１０と特定可能な情報との対応情報を、情報格納部２０に保管する。その場合、情報管理サーバ２は、情報保管用共通鍵１１０を使用する際に（Ｓ３０５）、情報格納部２０を参照して、特定可能な情報から情報保管用共通鍵１１０を検索してから使用する。

本発明の第１実施形態に関する情報開示制御システムの構成図である。 本発明の第１実施形態に関する情報開示制御システムの詳細な構成図である。 本発明の第１実施形態に関する情報開示制御システムにおける情報の登録処理を示すフローチャートである。 本発明の第１実施形態に関する情報開示制御システムにおける情報の利用許可処理を示すフローチャートである。 本発明の第１実施形態に関する情報開示制御システムにおける情報の利用処理を示すフローチャートである。 本発明の第１実施形態に関する情報開示制御システムにおける署名の検証処理を示すフローチャートである。 本発明の第２実施形態に関する情報開示制御システムが適用されるセマンティックＷｅｂシステムの構成図である。

符号の説明

２ 情報管理サーバ
２Ｔ 情報管理サーバの耐タンパ装置
４ 情報管理クライアント
４Ｔ 情報管理クライアントの耐タンパ装置
６ 情報利用クライアント
６Ｔ 情報利用クライアントの耐タンパ装置
２０ 情報格納部
２２ 鍵格納部
２４ 暗号処理部
２６ 署名処理部
２８ 利用条件検証部
４０ データ格納部
４２ 鍵格納部
４４ 署名処理部
６０ データ格納部
６２ 鍵格納部
６４ 署名処理部
１００ 情報保管情報
１０２ 利用許諾情報
１０４ 情報取得情報
１１０ 情報保管用共通鍵
１２０ 鍵管理用共通鍵
１３０ 情報管理クライアント秘密鍵
１３２ 情報管理クライアント公開鍵
１４０ 情報利用クライアント秘密鍵
１４２ 情報利用クライアント公開鍵

Claims (12)

1. 情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバによる情報開示制御方法であって、前記情報管理サーバが、
   前記情報管理サーバの耐タンパ装置内において、暗号化手段により情報を暗号化する手順と、
   前記暗号化された情報を情報格納部に格納する手順と、
   前記他装置から情報の利用に関する要求のメッセージを受け付ける手順と、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記暗号化された情報を、前記暗号化手段に対応する復号化手段により復号化する手順と、
   前記復号化された情報を提供する手順と、
   を含めて実行することを特徴とする情報開示制御方法。
2. 情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバによる情報開示制御方法であって、前記情報管理サーバが、
   前記情報の登録に関する要求を受信する手順と、
   前記情報管理サーバの耐タンパ装置内において、情報保管用共通鍵により前記情報を暗号化する手順と、
   前記暗号化された情報を情報格納部に格納する手順と、
   前記情報管理サーバの耐タンパ装置内において、前記情報の格納場所を示すポインタおよび前記情報の管理者の特定情報を含む情報保管情報を作成する手順と、
   前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信する手順と、
   前記他装置から前記情報の利用に関する要求のメッセージを受け付ける手順と、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記情報保管情報から前記情報の管理者の特定情報を取得し、前記情報の管理者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証する手順と、
   前記情報管理サーバの耐タンパ装置内において、前記署名の検証結果が可となる場合に、前記要求のメッセージに含まれる前記情報保管用共通鍵により暗号化された情報を復号化する手順と、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる、前記暗号化手段に対応する復号化手段により前記暗号化された情報を復号化する手順と、
   前記復号化された情報を提供する手順と、
   を含めて実行することを特徴とする情報開示制御方法。
3. 前記情報管理サーバが、前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信する手順は、前記情報管理サーバの耐タンパ装置内において、鍵管理用共通鍵により前記情報保管用共通鍵と前記情報保管情報とを暗号化する手順を含み、前記他装置から情報の利用に関する要求のメッセージを受け付ける手順は、前記情報管理サーバの耐タンパ装置内において、前記鍵管理用共通鍵により暗号化された前記情報保管用共通鍵と前記情報保管情報とを復号化する手順を含むことを特徴とする請求項２に記載の情報開示制御方法。
4. 前記要求のメッセージは、前記情報保管情報に対応する情報の管理者によって作成された利用許諾情報を含むこととし、前記情報管理サーバが、前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記利用許諾情報から情報の利用者の特定情報を取得し、前記情報の利用者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証する手順と、
   前記署名の検証に失敗した場合は、前記情報の提供を禁止する手順と、
   を含めて実行することを特徴とする請求項３に記載の情報開示制御方法。
5. 前記要求のメッセージは、前記情報の利用者によって作成された情報取得情報を含むこととし、前記情報管理サーバが、前記情報管理サーバの耐タンパ装置内において、前記情報取得情報が前記利用許諾情報に適合するかを検証する手順と、
   前記情報取得情報が前記利用許諾情報に適合しない場合は、前記情報の提供を禁止する手順と、
   を含むことを特徴とする請求項４に記載の情報開示制御方法。
6. 情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される情報開示制御プログラムであって、前記情報開示制御プログラムは、前記情報管理サーバに、
   前記情報管理サーバの耐タンパ装置内において、暗号化手段により情報を暗号化するステップと、
   前記暗号化された情報を情報格納部に格納するステップと、
   前記他装置から情報の利用に関する要求のメッセージを受け付けるステップと、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる暗号化された情報を、前記暗号化手段に対応する復号化手段により復号化するステップと、
   前記復号化された情報を提供するステップと、
   を含めて実行させることを特徴とする情報開示制御プログラム。
7. 情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される情報開示制御プログラムであって、前記情報開示制御プログラムは、前記情報管理サーバに、
   前記情報の登録に関する要求を受信するステップと、
   前記情報管理サーバの耐タンパ装置内において、情報保管用共通鍵により前記情報を暗号化するステップと、
   前記暗号化された情報を情報格納部に格納するステップと、
   前記情報管理サーバの耐タンパ装置内において、前記情報の格納場所を示すポインタおよび前記情報の管理者の特定情報を含む情報保管情報を作成するステップと、
   前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信するステップと、
   前記他装置から前記情報の利用に関する要求のメッセージを受け付けるステップと、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記情報保管情報から前記情報の管理者の特定情報を取得し、前記情報の管理者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証するステップと、
   前記情報管理サーバの耐タンパ装置内において、前記署名の検証結果が可となる場合に、前記要求のメッセージに含まれる前記情報保管用共通鍵により暗号化された情報を復号化するステップと、
   前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる、前記暗号化手段に対応する復号化手段により前記暗号化された情報を復号化するステップと、
   前記復号化された情報を提供するステップと、
   を含めて実行させることを特徴とする請求項６に記載の情報開示制御プログラム。
8. 前記情報開示制御プログラムは、前記情報管理サーバに、
   前記情報保管用共通鍵と前記情報保管情報とを前記情報管理サーバから前記他装置へ送信するステップは、前記情報管理サーバの耐タンパ装置内において、鍵管理用共通鍵により前記情報保管用共通鍵と前記情報保管情報とを暗号化するステップを含み、前記他装置から情報の利用に関する要求のメッセージを受け付けるステップは、前記情報管理サーバの耐タンパ装置内において、前記鍵管理用共通鍵により暗号化された前記情報保管用共通鍵と前記情報保管情報とを復号化するステップを含めて実行させることを特徴とする請求項７に記載の情報開示制御プログラム。
9. 前記要求のメッセージは、前記情報保管情報に対応する情報の管理者によって作成された利用許諾情報を含むこととし、前記情報開示制御プログラムは、前記情報管理サーバに、前記情報管理サーバの耐タンパ装置内において、前記要求のメッセージに含まれる前記利用許諾情報から情報の利用者の特定情報を取得し、前記情報の利用者に対応する公開鍵を基に前記要求のメッセージに付された署名を検証するステップと、
   前記署名の検証に失敗した場合は、前記情報の提供を禁止するステップと、
   を含めて実行させることを特徴とする請求項８に記載の情報開示制御プログラム。
10. 前記要求のメッセージは、前記情報の利用者によって作成された情報取得情報を含むこととし、前記情報開示制御プログラムは、前記情報管理サーバに、前記情報管理サーバの耐タンパ装置内において、前記情報取得情報が前記利用許諾情報に適合するかを検証するステップと、
    前記情報取得情報が前記利用許諾情報に適合しない場合は、前記情報の提供を禁止するステップと、
    を含めて実行させることを特徴とする請求項９に記載の情報開示制御プログラム。
11. 情報を管理するとともに他装置からの要求に応じて前記情報を提供する情報管理サーバに使用される耐タンパ装置であって、前記耐タンパ装置は、前記情報を格納する情報格納部と、前記情報の暗号化および復号化を行う際に使用される情報保管用共通鍵、および、前記情報保管用共通鍵の暗号化および復号化を行う際に使用される鍵管理用共通鍵を用いた暗号処理を行う暗号処理部と、前記鍵管理用共通鍵を格納する鍵格納部と、前記他装置から受信した要求のメッセージに付された署名を検証する署名処理部と、前記他装置から受信した要求のメッセージに含まれる利用条件を検証する利用条件検証部と、を含めて構成されることを特徴とする耐タンパ装置。
12. 情報を管理する情報管理サーバに対して前記情報の提供または登録を要求する際に用いられる装置に使用される耐タンパ装置であって、前記耐タンパ装置は、受信したデータを格納するデータ格納部と、署名の付加に使用される秘密鍵を格納する鍵格納部と、送信するデータに前記秘密鍵により署名を付加する署名処理部と、を含めて構成されることを特徴とする耐タンパ装置。

Images