JP2006163956A - セキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ｉｃカード及び情報処理装置 - Google Patents

Abstract

【課題】 印刷時の情報漏洩を防止すると共にシステムパフォーマンスとコストの問題を解決することができるセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及びＰＣを提供する。
【解決手段】 印刷指示によって機密印刷暗証情報を生成し、ユーザＰＣ１からプリンタ２に対して転送される印刷データ情報を共通鍵暗号アルゴリズムにより暗号化し、ユーザＰＣ１は機密印刷暗証情報と共通鍵暗号アルゴリズムの鍵データをリムーバブルメディア３に格納する機能を備え、プリンタ２はリムーバブルメディア３の機密印刷暗証情報と共通鍵暗号アルゴリズムの鍵データを取得することにより、暗号化された状態でＨＤＤ４に格納された印刷データ情報の復号処理を実施し、暗証情報照合結果が一致した場合にのみ印刷処理を実行する。
【選択図】 図１

Description

本発明は、セキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及び情報処理装置に関し、特に、印刷時の情報漏洩を防止し、システムパフォーマンスとコストの問題を解決できるセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及び情報処理装置に関する。

プリンタ或いはプリンタ機能を備えた多機能複写装置（ＭＦＰ：Multi Functional Peripheral）はネットワークを介して複数台のユーザＰＣ（Personal Computer）と接続した状態で利用されることが多い。プリンタは複数ユーザで共用されることになるため、プリントアウトされた印刷物が印刷指示をした本人以外の目に触れる可能性が高く、機密文書の印刷にあたって何らかの対策が必要である。
このため、印刷時の情報漏洩を防止するための種々の技術が提案されている。例えば、特許文献１のように、印刷データを送信するユーザＰＣ側が印刷データに暗証情報（転送暗証情報）を付加し、プリンタ側に設けられたデータ入力装置を介して別途入力された暗証情報（入力暗証情報）をプリンタ内部の暗証番号照合部で比較し、一致する場合にのみ印刷処理を実施する方法がある。
この方法では、ユーザがＰＣから印刷指示をする際に暗証情報を打ち込むか、ＰＣが生成した暗証情報がモニタ上に表示される。暗証情報が付加された印刷データはネットワーク経由でプリンタに転送されるが、転送完了後印刷は行われない。印刷指示したユーザがプリンタの置かれた場所に移動し、データ入力装置から暗証情報を入力し、転送暗証情報との一致が確認されて初めて印刷が実施される。この暗証情報が漏洩しない限り印刷物はプリントアウトされないことから、機密文書が他人の目に触れることを防止出来るという機能である。この機能は機密印刷或いは親展印刷と呼ばれる場合が多い。
また、特許文献２の技術は、プリンタ側でプリントデータを暗号化し、印刷指示ユーザの認証処理完了までプリントアウトせず暗号化プリントデータを保管しておくというものである。別途、ネットワーク上のプリントデータはＳＳＬ或いはＴＬＳ等の機密保護通信プロトコルにより暗号化されることが明細書に記載されており、ネットワーク上及びプリンタ内ＨＤＤに保管された印刷データは暗号化により情報漏洩脅威に対して保護されている。

また、特許文献３の技術は、電子メール暗号化に利用される技術を機密印刷に利用した技術であり、印刷データ毎に使い捨て鍵（セッションキー）を生成し、セッションキーを印刷データと共にプリンタに転送する方式を採用している。この方法はＰＫＩ（公開鍵基盤）を必要としないため、ＳＳＬ或いはＴＬＳに比べて開発コスト／導入コストを抑えることが可能である。
また、別の技術として、プリント時の印刷情報のセキュリティ管理を行う「Ridoc PrintShield」という名称の商品の機密印刷に関する技術では、暗証情報の代わりにユーザＰＣで使用するＩＣカードによる認証を利用している。プリンタ本体或いはインターフェイスを介して接続されたＩＣカードリーダにＩＣカードを差し込むことで本人認証が実施され印刷処理がおこなわれる。印刷した本人のＩＣカードがなければ印刷データはプリンタ内部のデータ保管手段に蓄積されたままであるため、印刷物による情報漏洩を防ぐことが出来る。
また、特許文献４の技術は、印刷画像データから抽出した印刷済み識別情報の有無から印刷可否を判断する構成であり、印刷済み識別情報はハッシュ関数から生成される。これにより、証券照会サーバからネットワークを介して証券発行端末により手形や小切手等の証券を印刷出力するにあたり、証券画像の保存データの漏洩、改竄や印刷された証券の複製、改竄等の不正行為を防止できるとしている。
特開平９−２１８７５７号公報 特開２００１−１８８６６４公報 特開２００１−３０６２７３公報 特開２００３−２３７１８６公報

しかしながら、特許文献１の方式では、印刷指示時のキーボード入力或いはモニタ画面出力を盗み見したり、漏洩電磁波解析により取得できた場合に、印刷物が横取りされ機密情報が漏洩する脅威が存在する。また、転送暗証情報がネットワーク上を流れることからネットワーク経由で暗証情報が不正に取得される脅威も存在する。また、この発明ではネットワーク上を流れる通信データ及びプリンタ内ＨＤＤに一時保管されたデータの暗号化処理については言及されておらず、転送暗証情報のみならず印刷データそのものがネットワーク上或いはプリンタ内ＨＤＤから不正に取得されるという極めて危険な脅威が存在する。
また、上述のPrintShieldにおける方法には次に示す問題点が存在する。一つはネットワーク上のデータとＨＤＤに保管されたデータの暗号化が別になっており、ＨＤＤに保管される前に復号が実施された時点で平文状態が出現することである。この平文状態を何らかの手法で不正取得される脅威が存在する。また、ネットワーク通信データの暗号化を実施するためにはＳＳＬ或いはＴＬＳ等の機密保護通信プロトコルを実装する必要があり、システム開発側及びシステム導入側のコストが高くなってしまうことである。
また、特許文献２の技術の場合、公開鍵暗号を用いた認証や暗号化通信処理は必要である。公開鍵暗号は共通鍵暗号方式に比べて処理速度が極端に遅いことから、ネットワーク経由の印刷システムのパフォーマンス低下等の問題は避けられない。
また、特許文献３の方式では、ＩＣカードに格納された個人認証用データによりネットワーク経由の認証が行われ、認証に使用するデータは常に同一である。従って、ネットワーク上のトラフィック解析によって認証データが取得され、個人認証データが偽造される脅威が存在する。この場合、偽造ＩＣカードによって本人以外の第三者が不正に印刷物を取得したり、それ以外のなりすましによる不正行為が行われることが考えられる。
また、特許文献４の技術では、生成したデータの利用方法が印刷済みか否かの判断だけにしか使われていないので、用途が限定され、一般の印刷動作に対するセキュリティ管理に対応することはできない。
そこで、本発明は、上述した実情を考慮してなされたもので、印刷時の情報漏洩を防止すると共にシステムパフォーマンスとコストの問題を解決することができるセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及び情報処理装置を提供することを目的とする。

上記の課題を解決するために、請求項１に記載の発明は、ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行うセキュリティ印刷システムにおいて、ユーザの印刷指示によって機密印刷暗証情報を生成し、前記ユーザＰＣから前記プリンタ或いは前記多機能複写装置に対して転送される前記印刷データ情報を共通鍵暗号アルゴリズムにより暗号化し、前記ユーザ情報処理装置は前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データをリムーバブルメディアに格納する格納手段を備え、前記プリンタ或いは前記多機能複写装置は前記ユーザ情報処理装置から転送された前記印刷データ情報を格納できるデータ保管手段を備え、前記リムーバブルメディアの前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データを取得することにより、暗号化された状態で前記データ保管手段に格納された前記印刷データ情報の復号処理を実施し、暗証情報照合結果が一致した場合に印刷処理を実行することを特徴とする。
また、請求項２に記載の発明では、前記リムーバブルメディアは、ＵＳＢメモリ、コンパクトフラッシュ（登録商標）カード或いはＳＤカードであるセキュリティ印刷システムを主要な特徴とする。
また、請求項３に記載の発明では、前記リムーバブルメディアに代えてＩＣカードを利用するセキュリティ印刷システムを主要な特徴とする。
また、請求項４に記載の発明では、前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データは、特定の印刷データ情報に対応する１回限りの使い捨てデータであるセキュリティ印刷システムを主要な特徴とする。
また、請求項５に記載の発明では、前記ユーザＰＣから転送された印刷データ情報が一定時間以内に印刷処理が実施されない場合、前記データ保管手段の印刷データ情報が自動消去されるセキュリティ印刷システムを主要な特徴とする。

また、請求項６に記載の発明では、請求項５記載のセキュリティ印刷システムにおいて、 前記データ保管手段の印刷データ情報が自動消去されることを前記ユーザ情報処理装置画面上に予告表示することを特徴とする。
また、請求項７に記載の発明では、ユーザ情報処理装置とネットワークで接続され、前記ユーザ情報処理装置から転送した印刷データ情報に基づいて印刷処理を行うプリンタ或いはプリンタ機能を備えた多機能複写装置において、前記印刷データ情報の一部から一方向関数によって一定バイト長データを生成する手段と、前記ユーザ情報処理装置から転送された前記印刷データ情報を格納できるデータ保管手段と、を備え、ＩＣカード或いはリムーバブルメディアの情報を読み込み可能であることを特徴とする。
また、請求項８に記載の発明では、ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、前記ユーザ情報処理装置から前記印刷データ情報の一部を取得し、その印刷データ情報の一部から一方向関数によって一定バイト長データを生成する手段を備えたことを特徴とする。
また、請求項９に記載の発明では、ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、印刷データ情報の一部から一方向関数によって一定バイト長データを生成することを特徴とする。
また、請求項１０に記載の発明では、請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、前記ＩＣカード或いは前記リムーバブルメディアから入力されたハッシュ値と、内部で生成したハッシュ値をデータ比較する比較手段を備えていることを特徴とする。
また、請求項１１に記載の発明では、請求項１０記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、前記ユーザ情報処理装置から転送された前記印刷データ情報をデータ保管手段に保管し、データ比較の結果が同一である場合は印刷処理を実施し、印刷処理完了後に前記データ保管手段の印刷データ情報を消去することを特徴とする。

また、請求項１２に記載の発明では、請求項１１のプリンタ或いはプリンタ機能を備えた多機能複写装置、請求項８のＩＣカード、請求項９の情報処理装置により構成されることを特徴とする。
また、請求項１３に記載の発明では、ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、前記ユーザ情報処理装置から前記印刷データ情報の一部を取得し、その印刷データ情報の一部から一方向関数によって一定バイト長データを生成する機能を備えたリムーバブルメディアと、請求項１１のプリンタ或いはプリンタ機能を備えた多機能複写装置と、請求項９の情報処理装置により構成されるセキュリティ印刷システムにおいて、前記リムーバブルメディアはＵＳＢメモリ、コンパクトフラッシュ（登録商標）カード或いはＳＤカードであることを特徴とする。
また、請求項１４に記載の発明では、請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とする。
また、請求項１５に記載の発明では、請求項８記載のＩＣカードにおいて、前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とする。
また、請求項１６に記載の発明では、請求項９記載の情報処理装置において、前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とする。
また、請求項１７に記載の発明では、請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置又は請求項８記載のＩＣカード又は請求項９記載の情報処理装置を用いたセキュリティ印刷システムにおいて、ハッシュ値生成に使用される印刷データ情報には、少なくとも前記ユーザ情報処理装置における印刷データ情報生成時間情報が含まれることを特徴とする。
また、請求項１８に記載の発明では、請求項７又は１０又は１１に記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、前記ユーザ情報処理装置から転送された前記印刷データ情報が一定時間以内に印刷処理が実施されない場合、前記データ保管手段の印刷データ情報が自動消去されることを特徴とする。
また、請求項１９に記載の発明では、請求項１８のプリンタ或いはプリンタ機能を備えた多機能複写装置における前記データ保管手段の前記印刷データ情報が自動消去されることを前記ユーザ情報処理装置画面上に予告表示することを特徴とする。

本発明によれば、印刷データ情報の暗号化に使用した鍵データと機密印刷に使用する暗証情報を、リムーバブルメディア或いはＩＣカードを介して印刷指示者がユーザＰＣからプリンタに配送するシステム構成となっているので、公開鍵暗号を利用した鍵配送プロトコル及び公開鍵基盤（ＰＫＩ）を必要としない暗号化機密印刷システムを構成できる。処理速度の遅い公開鍵暗号を必要とすることによるシステムパフォーマンスとコストの問題を解決することができる。
また、印刷データ情報の暗号化に使用した鍵データがネットワーク上を経由しないシステム構成になっており、鍵データ自体が特定の印刷データに対応した１回限りの使い捨てとなっていることから、鍵データの不正取得或いは解析による情報漏洩脅威の低い暗号化機密印刷システムを構成できる。
また、機密印刷において、一定時間経過しても印刷処理が実行されない場合にプリンタのＨＤＤ内に格納された印刷データ情報が消去されるので、印刷指示者が印刷処理を忘れた場合に起こりうるＨＤＤ内データへの不正アクセスによる情報漏洩を防止することが出来る。また、印刷データ情報自動消去前に印刷指示者に対して消去予告を行うため、再印刷処理による人的負荷／システム負荷を低減することが出来る。

また、印刷データ情報に固有な情報をハッシュ関数に入力した結果得られるハッシュ値を機密印刷における暗証情報に用いるため、暗証情報の重複が無く高いセキュリティ強度を持った機密印刷が実現できる。
また、機密印刷における暗証情報は、リムーバブルメディア或いはＩＣカードを介して印刷指示者がユーザＰＣからプリンタまで配送することから、ネットワークデータ不正取得或いはユーザＰＣのモニタ画面の盗み見等による機密印刷暗証情報の漏洩が発生しないため、印刷物が第三者に見られることの無い、高いセキュリティ強度を持った機密印刷が実現できる。
また、機密印刷において、一定時間経過しても印刷処理が実行されない場合にプリンタのＨＤＤ内に格納された印刷データ情報が消去されるので、印刷指示者が印刷処理を忘れた場合に起こりうるＨＤＤ内のデータへの不正アクセスによる情報漏洩を防止することが出来る。また、印刷データ情報自動消去前に印刷指示者に対して消去予告を行うため、再印刷処理による人的負荷／システム負荷を低減することが出来る。

以下、図面を参照して、本発明を実施するための最良の形態を詳細に説明する。ここでは本発明を実施するための最良の形態として７つの実施例を示すが、まず、実施例１〜４のセキュリティ印刷システムについて説明し、次に、実施例５〜７のセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及び情報処理装置について説明する。なお、実施例１〜７の説明で印刷手段として示すプリンタはプリンタ機能を備えた多機能複写装置であってもよい。
実施例１〜４におけるセキュリティ印刷システムの最大の特徴は、機密印刷において、ユーザＰＣ（Personal Computer）側で印刷データ情報の暗号化処理が実施され、プリンタ側では暗号化された印刷データ情報がそのままの状態で一時的にプリンタ内のＨＤＤ（Hard Disk Drive）に保管されること、暗号化に使用した鍵データはネットワークを経由せず、リムーバブルメディア或いはＩＣカードを介して、印刷指示したユーザが配送することである。

実施例１におけるセキュリティ印刷システムは図１のようにＰＣ（以下、ユーザＰＣと言う。）１とプリンタ２を有し、これらはネットワークに接続されている。ユーザＰＣ１は、印刷データ情報を共通鍵暗号アルゴリズムにより暗号化を実施する機能、印刷ジョブに対応する機密印刷暗証情報を生成する機能を備えている。プリンタ２は印刷データ情報を一時的に保管出来るデータ保管手段としてのＨＤＤ４、暗号化された印刷データ情報の復号を実施する機能、リムーバブルメディア３用のインターフェイスを備えている。
ユーザがプリンタドライバＧＵＩ画面により印刷指示を実施すると、図２のように、ユーザＰＣ１内部では印刷データに対して印刷ジョブの情報（例：ジョブＩＤ／用紙サイズ／印刷方向／印刷データ生成時間）を示すヘッダ１０と印刷データ情報の終わりを示すデータ終了ＩＤ１１が付加された「印刷データ情報」１２が生成される。
この「印刷データ情報」１２をＰＣが備える共通鍵暗号アルゴリズムにより暗号化するが、プリンタ側では復号前にジョブＩＤを識別する必要があることから、少なくともヘッダ１０内のジョブＩＤについては暗号化対象から除外する必要がある（図３参照）。「暗号化された印刷データ情報」１３はネットワーク経由でプリンタに転送され、「暗号化された印刷データ情報」１３はＨＤＤ４に保管される。
共通鍵暗号化アルゴリズムとしては、例えばＡＥＳ、ＤＥＳ、Ｔｒｉｐｌｅ−ＤＥＳ、ＲＣ４等が挙げられるが、日本のＣＲＹＰＴＲＥＣ活動或いは欧州ＮＥＳＳＩＥプロジェクト等で選定された標準暗号アルゴリズムを使用することが安全上望ましい。

印刷ジョブの識別を行うための機密印刷暗証情報は、乱数或いは「印刷データ情報」から生成され、暗号化に使用した鍵データと共にリムーバブルメディア３に書き込まれる。リムーバブルメディア３には、例えばＵＳＢメモリ、コンパクトフラッシュ（登録商標）カード、ＳＤカード等を使うことが出来る。
印刷指示を出したユーザは、リムーバブルメディア３をユーザＰＣ１から取り外し、印刷データ情報の転送されたプリンタ２の置かれた場所に移動し、プリンタ２の読み取り装置にリムーバブルメディア３を差し込む。プリンタ２はリムーバブルメディア３の格納データから機密印刷暗証情報と鍵データを読み出し、機密印刷暗証情報によりユーザＰＣ１から転送された印刷データ情報を識別する。
機密印刷暗証情報はＨＤＤ４内部に保管された「暗号化された印刷データ情報」に含まれていても良いし、プリンタが「暗号化された印刷データ情報」を復号後にユーザＰＣと同じ方法でプリンタ２内部で生成しても良い。リムーバブルメディア３から取得した機密印刷暗証情報と、「暗号化された印刷データ情報」或いはプリンタ２内部で生成した機密印刷暗証情報を照合し、一致した場合にリムーバブルメディア３から取得した共通鍵を使用した印刷データ復号が実施され、印刷処理が実行される。
この方法の大きな特徴は印刷データ暗号化及び復号に使用する暗号鍵が一回限りの使い捨てであることと、鍵データをネットワーク経由で配送する必要が無いことである。データ暗号化において同じ鍵を使いつづけた場合、悪意のある第三者が暗号化されたデータを複数取得することにより解読されてしまう危険性が高くなることが知られている。
本発明に係るセキュリティ印刷システムでは１つの印刷データに１回限りの鍵を使用するため、上記の危険性を避けることが出来る。また、リムーバブルメディアにより印刷したユーザ自身が鍵データを配送することから、通常は公開鍵暗号を利用する鍵配送プロトコル及び公開鍵暗号利用に必要な公開鍵基盤（ＰＫＩ）を構築する必要が無い。これにより暗号化機密印刷を実現するための開発コスト／導入コストを大幅に低減することが可能である。

図４に示すように、実施例１におけるリムーバブルメディア３の代わりにＣＰＵが搭載されたＩＣカード５を利用しても良い。この場合、機密印刷暗証情報生成はＩＣカード５側で実施する。ＰＣ上に機密印刷暗証情報が残らないこと、ＩＣカード５の耐タンパー性が機密印刷暗証情報生成の不正な解析を困難にすることにより、実施例１と比較して高いセキュリティ強度が得られるメリットがある。

機密印刷暗証情報と暗号化鍵を共用することも可能である。例えばユーザＰＣ１側では「印刷データ情報」の全データ或いは一部データから計算されるＣＲＣ（Cyclic Redundancy Check）を付加し、少なくともジョブＩＤを除く「印刷データ情報」を共通鍵暗号アルゴリズムにより暗号化する（図５参照）。
ユーザがプリンタ２に差し込んだリムーバブルメディア３或いはＩＣカード５から取得した暗号化鍵（＝機密印刷暗証情報）を使って「印刷データ情報」の復号を実施する。復号データからＣＲＣを計算し、正しい結果が得られた場合に印刷処理を実行する。或いは、「印刷データ情報」に固定値情報を付加し、プリンタ２側で復号を実施した場合に固定値情報が得られるか否かで正しい暗号化鍵（＝機密印刷暗証情報）かどうかを判断する方法も可能である。

この例は、ユーザＰＣ１から転送された印刷データが一定時間以内に印刷処理が実施されない場合、ＨＤＤ４の印刷データが消去される機能を備えている。この場合、更にセキュリティ強度を高くすることが出来る。暗号化機密印刷では、印刷指示をしたユーザが機密印刷用暗証情報を入力するまでの期間、ＨＤＤ４内の印刷データ情報は暗号化された状態で保持される。
このため、印刷指示をしたユーザが印刷出力を忘れた場合は印刷データ情報がＨＤＤ４内に保管されたままとなる。保管データが平文状態のまま保管されている場合と比べるとセキュリティ上の危険性は格段に低いとはいえ、長い時間ＨＤＤ４内にデータを残存させることは好ましくない。
実施例４では、ユーザＰＣから転送された印刷データがＨＤＤ４に格納された時間を基準に経過時間を計測するカウンタ機構を設け、一定時間経過した場合に印刷データが自動消去されるようになっている。自動消去時間は可変設定できることが望ましいが、複数の機密印刷ジョブに対応する必要があり、ハードウェア或いはソフトウェアのリソースを考え、設定最大値は１時間程度が適当である。また、印刷指示したユーザＰＣ１の画面に自動消去を予告するメッセージを出すようなソフトウェアを実装すれば、再印刷処理による人的負荷／システム負荷を低減することが可能である。
このように、上述の実施例のセキュリティ印刷システムでは、印刷データ情報の暗号化に使用した鍵データと機密印刷に使用する暗証情報を、リムーバブルメディア３或いはＩＣカード５を介して印刷指示者がユーザＰＣからプリンタに配送するシステム構成となっているので、公開鍵暗号を利用した鍵配送プロトコル及び公開鍵基盤（ＰＫＩ）を必要としない暗号化機密印刷システムを構成できる。処理速度の遅い公開鍵暗号を必要とすることによるシステムパフォーマンスとコストの問題を解決することができる。
また、印刷データ情報の暗号化に使用した鍵データがネットワーク上を経由しないシステム構成になっており、鍵データ自体が特定の印刷データに対応した１回限りの使い捨てとなっていることから、鍵データの不正取得或いは解析による情報漏洩脅威の低い暗号化機密印刷システムを構成できる。
また、機密印刷において、一定時間経過しても印刷処理が実行されない場合にプリンタ２のＨＤＤ４内に格納された印刷データ情報が消去されるので、印刷指示者が印刷処理を忘れた場合に起こりうるＨＤＤ４内データへの不正アクセスによる情報漏洩を防止することが出来る。また、印刷データ情報自動消去前に印刷指示者に対して消去予告を行うため、再印刷処理による人的負荷／システム負荷を低減することが出来る。

次に、実施例５〜７において、本発明を実施するための最良の形態であるセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及びＰＣについて説明する。実施例５〜７の最大の特徴は、機密印刷における暗証情報生成にハッシュ関数を使用すること、及び暗証情報がネットワーク経由でプリンタに転送されないことにより、高いセキュリティ強度を持つ印刷システムを実現できることである。
ハッシュ関数は、任意のビット長データ（入力可能ビット長には上限有）を固定ビット長データ（通常１２８〜５１２ｂｉｔ程度）に変換する関数であり、パスワード認証／デジタル署名／メッセージ認証等の目的で幅広く用いられており、疑似乱数生成系と同様に現代暗号の重要な分野を構成している。暗号技術にハッシュ関数を利用する場合に非常に重要な特性として、一方向性と衝突困難性が挙げられる。
「一方向性ハッシュ関数」とは、関数値ｙからｈ（ｘ）＝ｙとなるような元の値ｘを求めることが「計算量的に困難な」ハッシュ関数である。また、衝突困難ハッシュ関数とは関数ｈが与えられたときｈ（ｘ）＝ｈ（ｚ）となる一対の値（ｘ，ｚ）を求めることが困難なハッシュ関数である（図６参照）。

本発明で暗証情報生成にハッシュ関数を使用する理由は、ハッシュ関数の持つ衝突困難性である。ハッシュ関数に入力されるデータが１ビット異なるだけで出力データ（ハッシュ値）は大きく変化し、また異なる入力値から同一出力データ（ハッシュ値）が生成される確率は極めて低いと言われている。このため同一の印刷データを印刷する場合であっても、印刷データの前後に付加されるヘッダ情報が異なれば生成されるハッシュ値は全く別の値が得られることになる。
例えばヘッダ情報として印刷データ出力日時と時間が秒の単位まで付加されるのが一般的であり、最低限この情報を含む印刷データ情報（ヘッダ情報＋印刷データ）をハッシュ関数の入力に使用すれば、ハッシュ関数処理によるハッシュ値は重複のないランダムデータとみなすことが出来る。機密印刷処理に使用する暗証情報は重複のないランダムデータである必要があることから、上記方法で生成されるハッシュ値を機密印刷の暗証情報として利用することが出来る。
ランダムデータ生成に疑似乱数生成器を利用することも考えられるが、疑似乱数生成器はその方式選択及び実装方法に充分注意しないと、同一データの暗証情報が出現する危険性がある。例えば、疑似乱数生成器がハード的或いはソフト的にリセットされ、初期状態に戻った場合、前回のリセット後と全く同じデータ系列を出力する危険性がある。
暗証情報をネットワーク経由でプリンタに転送する場合のセキュリティ脅威は発明の目的で述べた通りである。本発明では下記実施例に示す２種類の方法により、暗証情報をネットワーク経由でプリンタに転送しないで機密印刷を実現することが出来る。

実施例５では、ハッシュ値生成をユーザＰＣ１ａ内部で実施する方法を説明する（図７参照）。ユーザがプリンタドライバＧＵＩ画面により印刷指示を実施すると、ユーザＰＣ１ａ内部では印刷データに対して印刷ジョブの情報（例：ジョブＩＤ／用紙サイズ／印刷方向／印刷データ生成時間）を示すヘッダと印刷データ情報の終わりを示すデータ終了ＩＤが付加された「印刷データ情報」（図８参照）が生成され、この「印刷データ情報」がネットワーク経由でプリンタ２ａに転送される。「印刷データ情報」はＨＤＤ４に保管される。
プリンタの従来技術では、機密印刷用暗証情報が上記「印刷データ情報」に含まれてネットワーク上を流れることになる。本実施例では、「印刷データ情報」の一部分が抽出され、ユーザＰＣ１ａ内部に備えられたハッシュ値生成機能により生成されたハッシュ値が機密印刷用暗証情報となる。ＰＣ内部で生成されたハッシュ値は、以下ハッシュ値Ａと呼ぶ。
使用されるハッシュ関数アルゴリズムとしては、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２が挙げられる。ハッシュ値生成機能に関しては、ハードウェア／ソフトウェアの何れで実施しても構わないが、使用するハッシュ関数を複数設定することを考えるとソフトウェア実装することが好ましく、具体的にはプリンタドライバに実装するのが最適と考えられる。

ユーザＰＣ１ａ内部で生成された機密印刷用暗証情報（ハッシュ値）は印刷ジョブ番号と共にリムーバブルメディア３ａに書き込まれる。リムーバブルメディア３ａとしては、ＵＳＢメモリ、コンパクトフラッシュ、ＳＤカード等が利用出来る。
印刷指示を出したユーザはリムーバブルメディア３ａをユーザＰＣ１ａから取り外し、印刷データ情報の転送されたプリンタ２ａの置かれた場所に移動し、プリンタ２ａの読み取り装置にリムーバブルメディア３ａを差し込む。プリンタ２ａはリムーバブルメディア３ａの格納データから印刷ジョブ番号とハッシュ値Ａを読み出し、印刷ジョブ番号によりユーザＰＣ１ａから転送された印刷データ情報を識別する。
プリンタ２ａ内部には、印刷データ情報の一部から一方向関数（ハッシュ関数）によって一定バイト長データ（ハッシュ値）を生成する機能が備えられており、ユーザＰＣ１ａと同じ印刷データ情報と同じハッシュ関数アルゴリズムが使用され、ハッシュ値が生成される。プリンタ２ａ内部で生成されるハッシュ値をハッシュ値Ｂと呼ぶ。
ハッシュ関数の入力データに関しては、例えは印刷ジョブ番号と印刷データ送信時間情報を含むヘッダ情報と印刷データの一部を使用する。入力データバイト数は、印刷データに因らず一定値でも構わないし、印刷データ毎に変えても構わない。印刷データ毎に変える場合、転送される印刷データ情報のヘッダ部分にハッシュ関数入力範囲を示す情報を埋め込む必要がある。
プリンタ２ａにはリムーバブルメディア３ａから入力されたハッシュ値Ａと、内部で生成したハッシュ値Ｂをデータ比較する機能が備えられており、ハッシュ値Ａとハッシュ値Ｂが同一であれば印刷指示をしたユーザ本人がリムーバブルメディア３ａを挿入した人物と同一人物と判断できるため、ＨＤＤ４に保管された印刷ジョブに対応する印刷データの印刷処理を開始する。
上記機密印刷方法では、機密印刷用暗証情報はリムーバブルメディア３ａを介してプリンタ２ａに入力され且つネットワーク上を経由しないことから、第三者の目に触れることもネットワーク上で不正に取得されることも起こり得ない。また、機密印刷用暗証情報生成には印刷データ情報固有の情報をハッシュ関数に入力して得られる値を利用することから、印刷ジョブ毎に重複のない値が使用される。この２点の特徴により、従来技術の抱える問題を解決する機密印刷が実現できる。

実施例６では、ハッシュ値生成をＩＣカード内部で実施する場合を説明する（図９参照）。ＩＣカード５ａは、ユーザＰＣ１ｂから印刷データ情報の一部を取得し、一方向関数（ハッシュ関数）によって一定バイト長データ（ハッシュ値）を生成する機能を備えており、ユーザＰＣ１ｂ上で印刷指示を行うとき、機密印刷暗証情報（ハッシュ値Ａ）生成に必要なデータがＩＣカード５ａ内のメモリ領域に転送される。実施例５との相違点は、ハッシュ値Ａの生成がユーザＰＣ１ｂ内部ではなくＩＣカード５ａ内部で実施されることである。それ以外の動作に関しては実施例５と同じであるため詳細な説明は省略する。
ＩＣカード５ａ内部でハッシュ値を生成する方法の利点として、ハッシュ値がユーザＰＣ１ｂ上に残らないこと、ハッシュ値生成アルゴリズムの不正な解析が困難になることにより、実施例５と比較して高いセキュリティ強度が得られることが挙げられる。

ユーザＰＣから転送された印刷データが一定時間以内に印刷処理が実施されない場合、データ保管手段（ＨＤＤ）の印刷データが消去される機能を備えると、更にセキュリティ強度を高くすることが出来る。印刷指示をしたユーザが機密印刷用暗証情報を入力するまでの期間、データ保管手段（ＨＤＤ）内の印刷データ情報が保持されるものでは、印刷指示をしたユーザが印刷出力を忘れた場合に印刷データ情報がデータ保管手段（ＨＤＤ）内に保管されたままとなり、ＨＤＤに対する不正アクセスによる情報漏洩脅威にさらされることになる。
この例では、ユーザＰＣから転送された印刷データがデータ保管手段（ＨＤＤ）に格納された時間を基準に経過時間を計測するカウンタ機構を設け、一定時間経過した場合に印刷データが自動消去されるようになっている。自動消去時間は可変設定できることが望ましいが、複数の機密印刷ジョブに対応する必要があり、ハードウェア或いはソフトウェアのリソースを考えると、設定最大値は１時間程度とするのが適当である。また、印刷指示したユーザＰＣ画面に自動消去を予告するメッセージを出すようなソフトウェアを実装すれば、再印刷処理による人的負荷／システム負荷を低減することが可能である。
このように、実施例５〜７におけるセキュリティ印刷システム、プリンタ或いはプリンタ機能を備えた多機能複写装置、ＩＣカード及び情報処理装置では、印刷データ情報に固有な情報をハッシュ関数に入力した結果得られるハッシュ値を機密印刷における暗証情報に用いるため、暗証情報の重複が無く高いセキュリティ強度を持った機密印刷が実現できる。
また、機密印刷における暗証情報は、リムーバブルメディア３ａ或いはＩＣカード５ａを介して印刷指示者がユーザＰＣ１ａからプリンタ２ａまで配送することから、ネットワークデータ不正取得或いはユーザＰＣ１ａのモニタ画面の盗み見等による機密印刷暗証情報の漏洩が発生しないため、印刷物が第三者に見られることの無い、高いセキュリティ強度を持った機密印刷が実現できる。
また、機密印刷において、一定時間経過しても印刷処理が実行されない場合にプリンタ２ａのＨＤＤ４内に格納された印刷データ情報が消去されるので、印刷指示者が印刷処理を忘れた場合に起こりうるＨＤＤ４内のデータへの不正アクセスによる情報漏洩を防止することが出来る。また、印刷データ情報自動消去前に印刷指示者に対して消去予告を行うため、再印刷処理による人的負荷／システム負荷を低減することが出来る。

なお、この説明では、ユーザの印刷指示によって機密印刷暗証情報を生成し、ユーザＰＣからプリンタに対して転送される印刷データ情報を共通鍵暗号アルゴリズムにより暗号化し、ユーザＰＣが機密印刷暗証情報と共通鍵暗号アルゴリズムの鍵データをリムーバブルメディアに格納し、プリンタがリムーバブルメディアの機密印刷暗証情報と共通鍵暗号アルゴリズムの鍵データを取得することにより、暗号化された状態でデータ保管手段（ＨＤＤ）に格納された印刷データ情報の復号処理を実施し、暗証情報照合結果が一致した場合にのみ印刷処理を実行するようにした技術（実施例１〜４）と、印刷データ情報の一部から一方向関数（ハッシュ関数）によって一定バイト長データ（ハッシュ値）を生成し、印刷データ情報に固有な情報をハッシュ関数に入力した結果得られるハッシュ値を機密印刷における暗証情報に用いるようにした技術（実施例５〜７）を個々に説明したが、これらの技術は複合されたものであってもよい。この場合には、上述の効果を同時に得ることが可能である。

実施例１におけるセキュリティ印刷システムの概略構成図である。 印刷データ情報の構成を示す概略図（その１）である。 印刷データ情報の構成を示す概略図（その２）である。 実施例２におけるセキュリティ印刷システムの概略構成図である。 印刷データ情報の構成を示す概略図（その３）である。 一方向性ハッシュ関数の説明図である。 実施例５におけるセキュリティ印刷システムの概略構成図である。 印刷データ情報の構成を示す概略図（その４）である。 実施例６におけるセキュリティ印刷システムの概略構成図である。

符号の説明

１、１ａ、１ｂ ユーザＰＣ
２、２ａ プリンタ
３、３ａ リムーバブルメディア
４ ＨＤＤ
５、５ａ ＩＣカード

Claims (19)

1. ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行うセキュリティ印刷システムにおいて、
   ユーザの印刷指示によって機密印刷暗証情報を生成し、前記ユーザＰＣから前記プリンタ或いは前記多機能複写装置に対して転送される前記印刷データ情報を共通鍵暗号アルゴリズムにより暗号化し、
   前記ユーザ情報処理装置は前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データをリムーバブルメディアに格納する格納手段を備え、
   前記プリンタ或いは前記多機能複写装置は前記ユーザ情報処理装置から転送された前記印刷データ情報を格納できるデータ保管手段を備え、前記リムーバブルメディアの前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データを取得することにより、暗号化された状態で前記データ保管手段に格納された前記印刷データ情報の復号処理を実施し、暗証情報照合結果が一致した場合に印刷処理を実行することを特徴とするセキュリティ印刷システム。
2. 請求項１記載のセキュリティ印刷システムにおいて、
   前記リムーバブルメディアは、ＵＳＢメモリ、コンパクトフラッシュ（登録商標）カード或いはＳＤカードであることを特徴とするセキュリティ印刷システム。
3. 請求項１記載のセキュリティ印刷システムにおいて、
   前記リムーバブルメディアに代えてＩＣカードを利用することを特徴とするセキュリティ印刷システム。
4. 請求項１記載のセキュリティ印刷システムにおいて、
   前記機密印刷暗証情報と前記共通鍵暗号アルゴリズムの鍵データは、特定の印刷データ情報に対応する１回限りの使い捨てデータであることを特徴とするセキュリティ印刷システム。
5. 請求項１から４のいずれかに記載のセキュリティ印刷システムにおいて、
   前記ユーザＰＣから転送された印刷データ情報が一定時間以内に印刷処理が実施されない場合、前記データ保管手段の印刷データ情報が自動消去されることを特徴とするセキュリティ印刷システム。
6. 請求項５記載のセキュリティ印刷システムにおいて、
   前記データ保管手段の印刷データ情報が自動消去されることを前記ユーザ情報処理装置画面上に予告表示することを特徴とするセキュリティ印刷システム。
7. ユーザ情報処理装置とネットワークで接続され、前記ユーザ情報処理装置から転送した印刷データ情報に基づいて印刷処理を行うプリンタ或いはプリンタ機能を備えた多機能複写装置において、
   前記印刷データ情報の一部から一方向関数によって一定バイト長データを生成する手段と、前記ユーザ情報処理装置から転送された前記印刷データ情報を格納できるデータ保管手段と、を備え、ＩＣカード或いはリムーバブルメディアの情報を読み込み可能であることを特徴とするプリンタ或いはプリンタ機能を備えた多機能複写装置。
8. ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、
   前記ユーザ情報処理装置から前記印刷データ情報の一部を取得し、その印刷データ情報の一部から一方向関数によって一定バイト長データを生成する手段を備えたことを特徴とするＩＣカード。
9. ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、
   印刷データ情報の一部から一方向関数によって一定バイト長データを生成することを特徴とする情報処理装置。
10. 請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、
    前記ＩＣカード或いは前記リムーバブルメディアから入力されたハッシュ値と、内部で生成したハッシュ値をデータ比較する比較手段を備えていることを特徴とするプリンタ或いはプリンタ機能を備えた多機能複写装置。
11. 請求項１０記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、
    前記ユーザ情報処理装置から転送された前記印刷データ情報をデータ保管手段に保管し、データ比較の結果が同一である場合は印刷処理を実施し、印刷処理完了後に前記データ保管手段の印刷データ情報を消去することを特徴とするプリンタ或いはプリンタ機能を備えた多機能複写装置。
12. 請求項１１のプリンタ或いはプリンタ機能を備えた多機能複写装置、請求項８のＩＣカード、請求項９の情報処理装置により構成されることを特徴とするセキュリティ印刷システム。
13. ユーザ情報処理装置とプリンタ或いはプリンタ機能を備えた多機能複写装置がネットワークで接続され、前記ユーザ情報処理装置から印刷データ情報を前記プリンタ或いは前記多機能複写装置に対して転送し、前記印刷データ情報に基づいて印刷処理を行う場合において、前記ユーザ情報処理装置から前記印刷データ情報の一部を取得し、その印刷データ情報の一部から一方向関数によって一定バイト長データを生成する機能を備えたリムーバブルメディアと、
    請求項１１のプリンタ或いはプリンタ機能を備えた多機能複写装置と、
    請求項９の情報処理装置により構成されるセキュリティ印刷システムにおいて、
    前記リムーバブルメディアはＵＳＢメモリ、コンパクトフラッシュ（登録商標）カード或いはＳＤカードであることを特徴とするセキュリティ印刷システム。
14. 請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、
    前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とするプリンタ或いはプリンタ機能を備えた多機能複写装置。
15. 請求項８記載のＩＣカードにおいて、
    前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とするＩＣカード。
16. 請求項９記載の情報処理装置において、
    前記一方向関数には、ＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２の何れかを用いることを特徴とする情報処理装置。
17. 請求項７記載のプリンタ或いはプリンタ機能を備えた多機能複写装置又は請求項８記載のＩＣカード又は請求項９記載の情報処理装置を用いたセキュリティ印刷システムにおいて、
    ハッシュ値生成に使用される印刷データ情報には、少なくとも前記ユーザ情報処理装置における印刷データ情報生成時間情報が含まれることを特徴とするセキュリティ印刷システム。
18. 請求項７又は１０又は１１に記載のプリンタ或いはプリンタ機能を備えた多機能複写装置において、
    前記ユーザ情報処理装置から転送された前記印刷データ情報が一定時間以内に印刷処理が実施されない場合、前記データ保管手段の印刷データ情報が自動消去されることを特徴とするプリンタ或いはプリンタ機能を備えた多機能複写装置。
19. 請求項１８のプリンタ或いはプリンタ機能を備えた多機能複写装置における前記データ保管手段の前記印刷データ情報が自動消去されることを前記ユーザ情報処理装置画面上に予告表示することを特徴とするセキュリティ印刷システム。

Images