JP2006279269A - 情報管理装置、情報管理システム、ネットワークシステム、ユーザ端末、及びこれらのプログラム - Google Patents

Abstract

【課題】 情報の管理主体は管理する情報の解読を行うことができず、かつ、管理主体が情報提供者の必要に応じて情報使用者に管理する情報を提供する。
【解決手段】 ユーザ情報を管理する情報管理装置において、ユーザに対応する対称鍵をサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらをサービス提供装置に送信するユーザ情報送信手段とを備える。
【選択図】 図１

Description

本発明は、個人情報をネットワーク上の管理システムで安全に管理する技術に関するものである。

通信ネットワーク上でのユーザ情報管理においては、ユーザ情報を暗号化処理等して管理システム内に秘匿する方法が一般的である。その場合、管理システム自体ではユーザ情報の復号化が可能であることから、管理システムの運用ポリシーや運用主体のユーザ情報運用方法によってはユーザ情報が漏洩してしまう可能性がある。

ユーザ情報等の管理に関連し、秘密分散法（非特許文献１参照）が知られている。秘密分散は、ある秘密情報ＸからＮ個の部分情報を生成し、秘密情報Ｘを復元するためにはＮ個のうちＭ個以上の部分情報を必要とするというものである。このような技術では、部分情報を持つＭ人が協力することにより秘密情報が解読されてしまうという問題がある。信頼される第三者機関を用いる情報管理技術もあるが、この場合、この第三者機関から情報が漏洩する可能性がある。

また、管理システムでユーザ情報を復号できない処理（ハッシュ化等）をしてその情報を保管する形態もある。この場合、本物の情報に同じ処理を施すことにより、本物の情報と保管した情報との照合は可能であるが、管理システムが本物の情報を提供することはできない。
A. Shamir「How to share a secret」Communications of ACM, Vol.22, pp.612-613, 1979

本発明は上記の問題点に鑑みてなされたものであり、情報の管理主体は管理する情報の解読を行うことができず、かつ、管理主体が情報提供者の必要に応じて情報使用者に管理する情報を提供することを可能とする技術を目的とする。

上記の課題は、ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理装置であって、前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段とを有することを特徴とする情報管理装置により解決される。

前記情報管理装置において、前記格納手段は、前記暗号化ユーザ情報に代えて、前記暗号化ユーザ情報にｎ（ｎは自然数）回鍵をかけた情報を格納し、前記情報管理装置が前記暗号化ユーザ情報を前記サービス提供装置に提供した後に、前記格納手段は、前記暗号化ユーザ情報にｎ回鍵をかけた情報に代えて、前記暗号化ユーザ情報に（ｎ−１）回鍵をかけた情報を格納するようにしてもよい。

また、本発明は、ユーザ端末と、サービス提供装置と、情報管理システムとがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理システムであって、前記情報管理システムは、情報管理手段と、アクセス制御手段と、ポリシー管理手段とを有し、前記情報管理手段は、前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段とを有し、前記ポリシー管理手段は、前記ユーザの開示許可ユーザ情報の種別と、前記サービスの提供に必要なユーザ情報の種別を格納し、前記アクセス制御手段は、前記ユーザ端末に前記サービスを提供することを要求するサービス要求を受け付け、前記ポリシー管理手段に格納された情報を参照して、前記ユーザの開示許可ユーザ情報と、前記サービスの提供に必要なユーザ情報とを比較し、前記サービスの提供に必要なユーザ情報が全て前記開示許可ユーザ情報に含まれる場合に、前記サービスを提供するために必要なユーザ情報の要求を前記情報管理手段に送信することを特徴とする情報管理システムとして構成することもできる。

前記アクセス制御手段は、前記サービスの提供に必要なユーザ情報の各種別のうち、前記開示許可ユーザ情報に含まれない種別が存在する場合に、前記ユーザ端末に対して当該種別の情報を開示してよいかどうかを問い合わせる情報を送信し、前記ユーザ端末から当該種別の情報を開示してよい旨の返答があった場合に前記要求を前記情報管理手段に送信するようにしてもよい。

また、本発明は、ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記ユーザ端末であって、前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化して暗号化対称鍵を生成し、前記ユーザのユーザ情報を前記対称鍵で暗号化して暗号化ユーザ情報を生成する暗号化処理手段と、前記暗号化対称鍵と前記暗号化ユーザ情報を前記情報管理装置に送信する送信手段とを有することを特徴とするユーザ端末として構成することもできる。

また、本発明は、前記ユーザ端末と、前記サービス提供装置と、前記情報管理装置とがネットワークを介して接続されたネットワークシステムとして構成することもできる。また、本発明は、前記ユーザ端末、前記情報管理装置のプログラムとして構成することもできる。

上記のように本発明によれば、ユーザの対称鍵をサービスに対応する公開鍵で暗号化した暗号化対称鍵と、ユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を情報管理装置に格納し、サービスを提供するために必要なユーザ情報の要求を受信したときに、当該要求に基づき、前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信することとしたので、情報管理主体は管理するユーザ情報の解読を行うことができず、かつ、情報管理主体が情報提供者の必要に応じて情報使用者にユーザ情報を提供することが可能となる。

以下、図面を参照して本発明の実施の形態について説明する。

（第１の実施の形態：基本機能）
図１に本発明の第１の実施の形態におけるシステムの構成を示す。

図１に示すように、第１の実施の形態のシステムは、ユーザ端末１、サービス提供サーバ２、及び情報管理サーバ３を有し、これらがネットワーク４に接続された構成をとる。図１において、複数のユーザ端末及び複数のサービス提供サーバが存在するが、以下、ユーザ端末１がサービス提供サーバ２のサービスを利用する場合を例にとって説明する。また、ユーザ端末１のユーザをユーザａ、サービス提供サーバ２のサービスをサービスｂとする。

図２（ａ）にユーザ端末１の機能構成を示し、図２（ｂ）に情報管理サーバ３の機能構成を示す。図２（ａ）に示すように、ユーザ端末１は、サービス利用部１１、暗号処理部１２、情報格納部１３、通信処理部１４、入出力部１５を有している。サービス利用部１１は、サービス提供サーバ２が提供するサービスｂを要求、利用する機能を有する。暗号処理部１２は、鍵を用いて情報の暗号化・復号化を行う機能、暗号化した情報を情報管理サーバ３に送信する機能、鍵を生成する機能、他の公開鍵を取得する機能等を有している。情報格納部１３は、ユーザ情報、鍵情報等を格納している。また、通信処理部１４は、情報をネットワークを介して送受信する機能を有し、入出力部１５は、ユーザに対して情報を出力したり、ユーザから情報の入力を受け付ける機能を有している。

ユーザ端末１は、ＣＰＵ、メモリ、ハードディスク等の記憶装置等を有する一般的なコンピュータ上にプログラムを搭載することにより実現可能であり、上記の各機能部はコンピュータのハードウェア資源とプログラムとが協働して実現されるものである。また、ユーザ端末１としてＩＣカードを用いることもできる。

図２（ｂ）に示すように、情報管理サーバ３は、情報管理部３１、鍵データベースとユーザ情報データベースを含む各種情報を格納する情報格納部３２、情報をネットワークを介して送受信するための通信処理部３３を有している。情報管理部３１は、他の装置からのユーザ情報送信依頼を受けて、情報格納部３２に格納された情報を送信する機能や、鍵を用いて情報を暗号化・復号化する機能、ユーザ端末１から送信されたユーザ情報等を情報格納部３２に登録する機能等を有している。

情報管理サーバ３も、ＣＰＵ、メモリ、ハードディスク等の記憶装置等を有する一般的なコンピュータにプログラムを搭載することにより実現可能であり、上記の各機能部はコンピュータのハードウェア資源とプログラムとが協働して実現されるものである。

次に、図３のシーケンスチャートを参照して本システムの動作について説明する。

ユーザ端末１は、ユーザ端末１が秘匿するユーザａの対称鍵（Ｘ）をサービス提供サーバ２の公開鍵（Ｐｋ＿ｂ）で暗号化し、暗号化した対称鍵（Ｐｋ＿ｂ（Ｘ））を、ユーザａとサービスｂを識別するための識別情報とともに情報管理サーバ３に送信する（ステップ１）。情報管理サーバ３では、暗号化した対称鍵（Ｐｋ＿ｂ（Ｘ））をユーザａ、及びサービスｂに対応付けて鍵データベースに記録する。

更に、ユーザ端末１は、サービス提供サーバ２によるサービス提供に必要なユーザ情報を含むユーザ情報を対称鍵（Ｘ）で暗号化し、暗号化したユーザ情報（Ｘ（ユーザ情報））を情報管理サーバ３に送信する（ステップ２）。情報管理サーバ３では、暗号化したユーザ情報（Ｘ（ユーザ情報））をユーザａに対応付けてユーザ情報データベースに記録する。

図４（ａ）に鍵データベースの内容例を示し、図４（ｂ）にユーザ情報データベースの内容例を示す。図４（ａ）に示すように、鍵データベースには、ユーザ毎、かつ、サービス毎に暗号化対称鍵が格納される。また、図４（ｂ）に示すように、ユーザ情報データベースには、ユーザ毎に暗号化ユーザ情報が格納される。なお、ユーザ毎、サービス毎に暗号化ユーザ情報を格納することとしてもよい。ユーザ情報は、ユーザの名前、住所等であり、多くのサービスで必要と考えられるユーザ情報をまとめて対称鍵で暗号化してもよいし、名前、住所等の情報種別毎に暗号化してユーザ情報データベースに格納してもよい。

図３において、ユーザ端末１が、サービス提供サーバ２のサービスｂを利用するためにサービス提供サーバ２にアクセスし、ユーザａのユーザ識別情報を含むサービス要求を送信すると（ステップ３）、サービス提供サーバ２は、サービスｂの識別情報とユーザａの識別情報を含むユーザ情報送信依頼を情報管理サーバ３に送信する（ステップ４）。情報管理サーバ３は、サービスｂとユーザａに対応する暗号化対称鍵（Ｐｋ＿ｂ（Ｘ））と、ユーザａの暗号化ユーザ情報（Ｘ（ユーザ情報））をデータベースから取り出してサービス提供サーバ２に送信する（ステップ５）。

サービス提供サーバ２は、自身の秘密鍵Ｓｋ＿ｂでＰｋ＿ｂ（Ｘ）を復号化して対称鍵Ｘを取得し、対称鍵Ｘを用いて暗号化ユーザ情報（Ｘ（ユーザ情報））を復号化してユーザ情報を取得し、ユーザ端末１に対してサービスを提供する（ステップ６）。

上記の処理において、ユーザ端末１は、ユーザ情報を自身の（公開鍵暗号方式における）秘密鍵Ｓｋ＿ａで暗号化したもの（Ｓｋ＿ａ（ユーザ情報））をＸで暗号化し、それ（Ｘ（Ｓｋ＿ａ（ユーザ情報）））を情報管理サーバ３に登録してもよい。この場合、サービス提供サーバ２は、対称鍵Ｘと、ユーザaの公開鍵Pｋ＿ａを用いてユーザ情報を取得する。また、上記の処理において、情報管理サーバ３は、暗号化したユーザ情報（Ｘ（ユーザ情報））をサービスｂの公開鍵Ｐｋ＿ｂで暗号化してサービス提供サーバ２に送信してもよい。

（第２の実施の形態：アクセス制御）
次に、第２の実施の形態について説明する。図５に第２の実施の形態のシステム構成を示す。図５に示すように、本実施の形態のシステムは、ユーザ端末１、サービス提供サーバ２、情報管理サーバ３、アクセス制御サーバ５、及びポリシー管理サーバ６を有し、これらがネットワーク４に接続された構成をとる。

ユーザ端末１、サービス提供サーバ２、及び情報管理サーバ３についての基本的な機能は第１の実施の形態と同様である。本実施の形態では、アクセス制御サーバ５がポリシー管理サーバ６で管理されるユーザ側及びサービス側のポリシーに基づきアクセス制御を行う点が第１の実施の形態と異なる。図６の装置間動作図を参照して本実施の形態のシステムの動作を説明する。

ユーザ端末１は、ユーザ端末が秘匿する対称鍵（Ｘ）をサービス提供サーバ２の公開鍵（Ｐｋ＿ｂ）で暗号化し、暗号化した対称鍵（Ｐｋ＿ｂ（Ｘ））をアクセス制御サーバ５を介して情報管理サーバ３に送信する（ステップ２１）。情報管理サーバ３では、暗号化した対称鍵（ＰＫ＿ｂ（Ｘ））をユーザａ、サービスｂに対応付けて鍵データベースに記録する。

更にユーザ端末１は、ユーザ情報を、名前、住所等の種別毎に対称鍵（Ｘ）で暗号化し、暗号化した各情報をアクセス制御サーバ５を介して情報管理サーバ３に送信する（ステップ２２）。情報管理サーバ３では、暗号化した各ユーザ情報（Ｘ（名前）等）をユーザａに対応付けてユーザ情報データベースに記録する。

本実施の形態の鍵データベースの内容例は図４（ａ）と同じである。本実施の形態のユーザ情報データベースの内容例を図７に示す。図７に示すように、ユーザ情報データベースには、ユーザ毎、種別毎に暗号化ユーザ情報が格納される。

更にユーザ端末１は、サービス提供者に開示してよい情報種別と開示して欲しくない情報種別とを示すポリシー情報をアクセス制御サーバ５を介してポリシー管理サーバ６に送信し（図６のステップ２３）、ポリシー管理サーバ６はその情報をユーザａに対応付けてユーザポリシーデータベースに格納する。

また、ポリシー管理サーバ６は、各サービス毎に、そのサービスがどのようなユーザ情報を必要とするかを示すサービスポリシーを格納したサービスポリシーデータベースを有しているものとする。図８（ａ）にユーザポリシーデータベースの内容例を示し、図８（ｂ）にサービスポリシーデータベースの内容例を示す。図８（ａ）において、○が、該当ユーザにとって開示してもよい情報種別であり、×は開示して欲しくない情報種別を示す。図８（ｂ）において、○が付された情報種別が、該当サービスが必要とする情報種別である。

図６において、ユーザ端末１が、サービス提供サーバ２のサービスを利用するためにユーザａの識別情報とサービスｂの識別情報とを含むアクセス要求をアクセス制御サーバ５に送信する。アクセス制御サーバ５は、ポリシー管理サーバ６におけるユーザポリシーデータベースとサービスポリシーデータベースを参照し、ユーザａが開示許可する情報種別とサービスｂが必要とする情報種別を取得する。そして、サービスｂが必要とする情報種別が、全てユーザａが開示許可する情報種別に該当するものである場合には、情報管理サーバ３に対し、サービスｂが必要とする種別のユーザａのユーザ情報を要求する（ステップ２５）。

なお、サービスｂが必要とする情報種別の中に一つでもユーザａが開示を許可しない情報種別が存在する場合は、アクセス制御サーバ５は、ユーザ端末１にサービスｂの提供ができないことを通知する。もしくは、アクセス制御サーバ５は、サービスｂが必要とするがユーザａが開示許可していない情報種別名をユーザ端末１に通知し、ユーザ端末１にその情報種別を開示してよいかどうかを問い合わせ、その情報種別を開示してよい旨の情報をユーザ端末１から受信した場合に、情報管理サーバ３に対し、サービスｂが必要とする種別のユーザａのユーザ情報を要求するといった処理を行ってもよい。

サービスｂを提供するためのユーザａのユーザ情報の送信依頼を受けた情報管理サーバ３は、鍵データベースからＰｋ＿ｂ（Ｘ）を取得し、また、ユーザ情報データベースから、ユーザａの、サービスｂの提供に必要な暗号化ユーザ情報を取得し、これらをアクセス制御サーバ５に返す（ステップ２６）。そして、アクセス制御サーバ５は、ユーザａからのサービス要求とともに、Ｐｋ＿ｂ（Ｘ）と、ステップ２６で取得した暗号化ユーザ情報をサービス提供サーバ２に送信する（ステップ２７）。

そして、サービス提供サーバ２は、自身の秘密鍵Ｓｋ＿ｂでＰｋ＿ｂ（Ｘ）を復号化して対称鍵Ｘを取得し、対称鍵Ｘを用いて、暗号化した各ユーザ情報（Ｘ（ユーザ情報））を復号化して各ユーザ情報を取得し、ユーザ端末１に対してサービス提供を行う（ステップ２８）。

上記の処理では、ユーザ情報登録の後、ユーザからのサービス要求（ステップ２４）から処理が開始しているが、ユーザがサービス提供サーバ２と異なるサーバのサービスを利用している場合に、そのサービス内でサービス提供サーバ２のサービスを利用する場合には、上記異なるサーバからアクセス制御サーバ５にサービスｂのサービス要求がなされる場合もある。

また、上記のシステム構成では、情報管理サーバ３、アクセス制御サーバ５、及びポリシー管理サーバ６が分離されているが、これらの機能を１つのサーバに統合してもよい。この場合、コンピュータに情報管理サーバ３の機能、アクセス制御サーバ５の機能、及びポリシー管理サーバ６の機能を実現させるプログラムが当該コンピュータに搭載される。

また、第１の実施の形態と同様に、ユーザ端末１は、ユーザ情報を自身の秘密鍵Ｓｋ＿ａで暗号化したもの（Ｓｋ＿ａ（ユーザ情報））をＸで暗号化し、それ（Ｘ（Ｓｋ＿ａ（ユーザ情報）））を情報管理サーバ３に送信してもよい。また、情報管理サーバ３は、暗号化したユーザ情報（Ｘ（ユーザ情報））をサービスｂの公開鍵Ｐｋ＿ｂで暗号化してサービス提供サーバ２に送信してもよい。

（第３の実施の形態：ユーザ情報管理の強化）
上記の各実施の形態において、サービス提供サーバ２は一度Ｐｋ＿ｂ（Ｘ）を受信するとユーザａの対称鍵Ｘを取得できる。従って、ユーザａの対称鍵Ｘがサービス提供サーバ２から他のサーバに漏洩する可能性があり、対称鍵Ｘを取得したサーバがユーザａの暗号化ユーザ情報も取得した場合には、その情報を復号化可能となる。

このような問題を解決すべく本実施の形態では、情報管理サーバ３において、対称鍵Ｘで暗号化されたユーザ情報（Ｘ（ユーザ情報））にユーザ毎に定められる整数Ｙをｎ乗したもの（Ｙ＾n）を乗じて暗号化した情報を暗号化ユーザ情報として管理する。これは、鍵Ｙをｎ回かけることである。図９（ａ）に、この場合のユーザ情報データベースの内容例を示す。また、情報管理サーバ３は、Ｙとｎもユーザに対応付けて別に管理しているものとする。また、Ｙとｎの管理は、ユーザ毎、情報種別毎に行ってもよい。

サービス提供サーバ２に暗号化ユーザ情報を送信する場合には、Ｙ＾n（Ｘ（ユーザ情報））を復号化してＸ（ユーザ情報）を取り出し、Ｘ（ユーザ情報）を送信し、Ｘ（ユーザ情報）を削除する。そして、一度暗号化ユーザ情報を開示したら、ｎをn-1にしてユーザ情報を管理する。すなわち、暗号化ユーザ情報を開示する度にｎを１づつ減らす。ユーザ情報を１回開示した後のユーザ情報データベースの内容例を図９（ｂ）に示す。

なお、Ｙ＾n（Ｘ（ユーザ情報））とＹ＾nをサービス提供サーバ２に送信し、サービス提供サーバ２でＸ（ユーザ情報）を取得してもよい。

これにより、たとえＹ＾（n-1）（Ｘ（ユーザ情報））が、Ｘのみを知ったサーバに漏洩したとしても、Ｙ＾（n-1）を知ることは困難なので、Ｙ＾（n-1）（Ｘ（ユーザ情報））の復号化を行うことが困難となる。これにより、情報漏洩に対する安全性を高めることができる。

ｎが０になった場合にはＸを更新する。このためには、更新時にユーザ端末１側でＸと異なる新たな対称鍵Ｘ´を生成し、新たな暗号化対称鍵と暗号化ユーザ情報を情報管理サーバ３に送信する。具体的には、対称鍵Ｘをユーザａの公開鍵で暗号化したもの（Ｐｋ＿ａ（Ｘ））を情報管理サーバ３で管理しておき、更新が必要になったときにユーザ端末１にＰｋ＿ａ（Ｘ）を送信し、ユーザ端末１で、Ｘを更新するようにする。

以上説明したように本実施の形態によれば、情報管理側ではユーザ情報の内容を確認することができず、かつ、ユーザの必要に応じてユーザ情報をユーザ情報使用側に提供できるシステムを実現できる。

なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

第１の実施の形態におけるシステム構成図である。 ユーザ端末１と情報管理サーバ３の機能構成を示す図である。 第１の実施の形態におけるシステムの動作を説明するためのシーケンスチャートである。 鍵データベースとユーザ情報データベースの内容例を示す図である。 第２の実施の形態におけるシステム構成図である。 第２の実施の形態におけるシステムの動作を説明するための図である。 第２の実施の形態におけるユーザ情報データベースの内容例を示す図である。 ユーザポリシーデータベースとサービスポリシーデータベースの内容例を示す図である。 第３の実施の形態におけるユーザ情報データベースの内容例を示す図である。

符号の説明

１ ユーザ端末
２ サービス提供サーバ
３ 情報管理サーバ
４ ネットワーク
５ アクセス制御サーバ
６ ポリシー管理サーバ
１１ サービス利用部
１２ 暗号処理部
１３ 情報格納部
１４ 通信処理部
１５ 入出力部
３１ 情報管理部
３２ 情報格納部
３３ 通信処理部

Claims (9)

1. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理装置であって、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、
   前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段と
   を有することを特徴とする情報管理装置。
2. 前記格納手段は、前記暗号化ユーザ情報に代えて、前記暗号化ユーザ情報にｎ（ｎは自然数）回鍵をかけた情報を格納し、
   前記情報管理装置が前記暗号化ユーザ情報を前記サービス提供装置に提供した後に、前記格納手段は、前記暗号化ユーザ情報にｎ回鍵をかけた情報に代えて、前記暗号化ユーザ情報に（ｎ−１）回鍵をかけた情報を格納する請求項１に記載の情報管理装置。
3. ユーザ端末と、サービス提供装置と、情報管理システムとがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理システムであって、
   前記情報管理システムは、情報管理手段と、アクセス制御手段と、ポリシー管理手段とを有し、
   前記情報管理手段は、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、
   前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段とを有し、
   前記ポリシー管理手段は、前記ユーザの開示許可ユーザ情報の種別と、前記サービスの提供に必要なユーザ情報の種別を格納し、
   前記アクセス制御手段は、
   前記ユーザ端末に前記サービスを提供することを要求するサービス要求を受け付け、
   前記ポリシー管理手段に格納された情報を参照して、前記ユーザの開示許可ユーザ情報と、前記サービスの提供に必要なユーザ情報とを比較し、前記サービスの提供に必要なユーザ情報が全て前記開示許可ユーザ情報に含まれる場合に、前記サービスを提供するために必要なユーザ情報の要求を前記情報管理手段に送信する
   ことを特徴とする情報管理システム。
4. 前記アクセス制御手段は、前記サービスの提供に必要なユーザ情報の各種別のうち、前記開示許可ユーザ情報に含まれない種別が存在する場合に、前記ユーザ端末に対して当該種別の情報を開示してよいかどうかを問い合わせる情報を送信し、前記ユーザ端末から当該種別の情報を開示してよい旨の返答があった場合に前記要求を前記情報管理手段に送信する請求項３に記載の情報管理システム。
5. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記ユーザ端末であって、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化して暗号化対称鍵を生成し、前記ユーザのユーザ情報を前記対称鍵で暗号化して暗号化ユーザ情報を生成する暗号化処理手段と、
   前記暗号化対称鍵と前記暗号化ユーザ情報を前記情報管理装置に送信する送信手段と
   を有することを特徴とするユーザ端末。
6. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムであって、
   前記ユーザ端末は、
   当該ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化して暗号化対称鍵を生成し、前記ユーザのユーザ情報を前記対称鍵で暗号化して暗号化ユーザ情報を生成する暗号化処理手段と、
   前記暗号化対称鍵と前記暗号化ユーザ情報を前記情報管理装置に送信する送信手段とを有し、
   前記情報管理装置は、
   前記暗号化対称鍵を前記サービス及び前記ユーザに対応付けて格納し、前記暗号化ユーザ情報を前記ユーザに対応付けて格納する格納手段と、
   前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記格納手段から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段と
   を有することを特徴とするネットワークシステム。
7. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理装置の機能をコンピュータに実現させるプログラムであって、コンピュータを、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて記憶装置に格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて記憶装置に格納する格納手段、
   前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記記憶装置から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段
   として機能させるプログラム。
8. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記情報管理装置の機能をコンピュータに実現させるプログラムであって、コンピュータを、情報管理手段、及びアクセス制御手段として機能させるプログラムであり、
   前記情報管理手段は、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化した暗号化対称鍵を、前記サービス及び前記ユーザに対応付けて記憶装置に格納し、前記ユーザのユーザ情報を前記対称鍵で暗号化した暗号化ユーザ情報を前記ユーザに対応付けて記憶装置に格納する格納手段と、
   前記ユーザに対して前記サービスを提供するために必要なユーザ情報の要求を受信し、当該要求に基づき、前記記憶装置から前記暗号化対称鍵と前記暗号化ユーザ情報を取得し、これらを前記サービス提供装置に送信するユーザ情報送信手段とを有し、
   前記アクセス制御手段は、
   前記ユーザに前記サービスを提供する旨のサービス要求を受け付ける手段と、
   前記記憶装置に格納されている前記ユーザの開示許可ユーザ情報と、前記サービスの提供に必要なユーザ情報とを比較し、前記サービスの提供に必要なユーザ情報が全て前記開示許可ユーザ情報に含まれる場合に、前記サービスを提供するために必要なユーザ情報の要求を前記情報管理手段に送信する手段とを有する
   ことを特徴とするプログラム。
9. ユーザ端末と、サービス提供装置と、情報管理装置とがネットワークを介して接続されたネットワークシステムにおいて使用される前記ユーザ端末の機能をコンピュータに実現させるプログラムであって、コンピュータを、
   前記ユーザ端末のユーザに対応する対称鍵を前記サービス提供装置が提供するサービスに対応する公開鍵で暗号化して暗号化対称鍵を生成し、前記ユーザのユーザ情報を前記対称鍵で暗号化して暗号化ユーザ情報を生成する暗号化処理手段、
   前記暗号化対称鍵と前記暗号化ユーザ情報を前記情報管理装置に送信する送信手段、
   として機能させるプログラム。

Images