JP2007148492A - 印刷ジョブ発行プログラムの改竄検知方法 - Google Patents

Abstract

【課題】印刷ジョブ発行プログラムの改竄を検知する。
【解決手段】クライアントＰＣ１０に印刷ジョブ発行プログラムがインストールされた際に、クライアントＰＣ１０は、印刷ジョブ発行プログラムから改竄検知用の情報を生成して印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、当該改竄検知用の情報を記録領域２４に記録しておく。印刷ジョブの発行の際に、クライアントＰＣ１０は、印刷ジョブ発行プログラムから改竄検知用の情報を生成して印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、受信した改竄検知用の情報と記録領域２４に記録してある改竄検知用の情報とを比較することにより、印刷ジョブ発行プログラムの改竄を検知する。
【選択図】図１

Description

本発明は、印刷ジョブを発行するクライアント装置と、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置とを含む印刷システムにおける印刷ジョブ発行プログラムの改竄検知方法に関する。

インターネットカフェや、学校の計算機室などで使用されるパーソナルコンピュータ（ＰＣ）は、不特定多数のユーザが同一ＰＣを使用する等、セキュアな状態であるとは言い難く、悪意のあるユーザによるプリンタドライバの改竄による、印刷ジョブの盗聴や、意図しない場所へのジョブの転送、ジョブの保存などの脅威にさらされている。

特許文献１〜３には、プリンタドライバのバージョン情報を印刷ジョブに付加して送信するプリンタドライバと、バージョン情報が最新であるかを判断し、古いバージョンが使用された場合には通知を行うプリンタとを含むシステムが開示されている。このシステムでは、プリンタドライバが新しいものであるかどうかの判断はできるが、クライアント上のプリンタドライバが改竄されているかどうかの判断はできない。

特開平１１−１６１４４３号公報 特開２００２−１９６９０６号公報 特開２００３−９９２２３号公報 特開平９−１３４２６４号公報

そこで、本発明は、印刷ジョブ発行プログラムの改竄を検知することができる印刷ジョブ発行プログラムの改竄検知方法を提供する。

本発明に係る印刷ジョブ発行プログラムの改竄検知方法は、印刷ジョブを発行するクライアント装置と、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置とを含む印刷システムにおける印刷ジョブ発行プログラムの改竄検知方法であって、前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置は、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、前記クライアント装置から前記改竄検知用の情報を受信して所定の記録領域に記録しておき、印刷ジョブの発行の際に、前記クライアント装置は、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、前記クライアント装置から前記改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知することを特徴とする。

本発明の好適な態様では、前記クライアント装置は、前記改竄検知用の情報を前記印刷ジョブ処理装置の公開鍵で暗号化して送信し、前記印刷ジョブ処理装置は、インストールの際に受信した改竄検知用の情報と印刷ジョブの発行の際に受信した改竄検知用の情報とを、当該印刷ジョブ処理装置の秘密鍵で復号化した後に比較する。当該構成では、前記クライアント装置は、前記改竄検知用の情報を、暗号化後のデータが見かけ上毎回異なるように暗号化することが好ましい。

また、本発明の好適な態様では、印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置は、当該クライアント装置を識別するためのクライアント識別情報と対応付けて前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、前記クライアント識別情報と対応付けて前記改竄検知用の情報を前記記録領域に記録しておき、印刷ジョブの発行の際に、前記クライアント装置は、当該クライアント装置を識別するためのクライアント識別情報と対応付けて前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、クライアント識別情報とともに改竄検知用の情報を受信すると、当該受信した改竄検知用の情報と、当該受信したクライアント識別情報と対応付けて前記記録領域に記録してある改竄検知用の情報とを比較する。

また、本発明の好適な態様では、前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄を検知した場合、印刷ジョブに係る印刷処理を実行しない。

また、本発明の好適な態様では、印刷ジョブの発行の際に、前記クライアント装置は、印刷ジョブの発行に先立って前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄についての検知結果を前記クライアント装置に通知し、前記クライアント装置は、前記印刷ジョブ処理装置から改竄されていない旨の通知を受けた場合に、印刷ジョブを発行する。

また、本発明の好適な態様では、前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄を検知した場合、その旨をユーザに報知する。

また、本発明の好適な態様では、印刷ジョブ発行プログラムの更新インストールの場合、前記クライアント装置は、更新前の印刷ジョブ発行プログラムから更新前の改竄検知用の情報を生成し、更新後の印刷ジョブ発行プログラムから更新後の改竄検知用の情報を生成し、生成された更新前および更新後の改竄検知用の情報を前記印刷ジョブ処理装置に送信し、前記印刷ジョブ処理装置は、前記クライアント装置から前記更新前および更新後の改竄検知用の情報を受信し、当該更新前の改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較して、前記更新前の印刷ジョブ発行プログラムが改竄されていないと判定される場合に、前記更新後の改竄検知用の情報を前記記録領域に記録する。

本発明に係る印刷ジョブ処理装置は、印刷ジョブを発行するクライアント装置に接続され、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置であって、前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、当該改竄検知用の情報を所定の記録領域に記録しておき、印刷ジョブの発行の際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知することを特徴とする。

本発明に係るクライアント装置は、印刷ジョブを処理する印刷ジョブ処理装置に接続され、当該印刷ジョブ処理装置に対して印刷ジョブを発行するクライアント装置であって、当該クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信することを特徴とする。

本発明に係る印刷ジョブ処理装置の制御プログラムは、印刷ジョブを発行するクライアント装置に接続され、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置に、前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、当該改竄検知用の情報を所定の記録領域に記録しておく処理と、印刷ジョブの発行の際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知する処理と、を実行させることを特徴とする。

本発明に係るクライアント装置の制御プログラムは、印刷ジョブを処理する印刷ジョブ処理装置に接続され、当該印刷ジョブ処理装置に対して印刷ジョブを発行するクライアント装置に、当該クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信する処理と、印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信する処理と、を実行させることを特徴とする。

本発明に係る印刷システムは、印刷ジョブを発行するクライアント装置と、当該クライアント装置から発行された印刷ジョブを処理する印刷ジョブ処理装置とを含む印刷システムであって、前記クライアント装置は、印刷ジョブ発行プログラムがインストールされた際に、該インストールされた印刷ジョブ発行プログラムから第１の改竄検知用の情報を生成するとともに当該第１の改竄検知用の情報を前記印刷ジョブ処理装置に送信する手段と、印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから第２の改竄検知用の情報を生成するとともに当該第２の改竄検知用の情報を前記印刷ジョブ処理装置に送信する手段と、を有し、前記印刷ジョブ処理装置は、前記クライアント装置により送信された前記第１の改竄検知用の情報を保持する保持手段と、前記クライアント装置により送信された前記第２の改竄検知用の情報と前記保持手段に保持された前記第１の改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知する手段とを有することを特徴とする。

本発明によれば、印刷ジョブ発行プログラムの改竄を検知することができる印刷ジョブ発行プログラムの改竄検知方法を提供することができる。

以下、本発明の実施の形態を図面に従って説明する。

図１は、本実施の形態に係る印刷システム１の構成を示すブロック図である。図１において、印刷システム１は、印刷ジョブを発行するクライアント装置としてのクライアントＰＣ１０と、当該クライアントＰＣ１０にネットワークを介して接続され、当該クライアントＰＣ１０から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置２０とを含む。本実施の形態では、印刷ジョブ処理装置２０は、プリンタ３０に内蔵されており、印刷ジョブに係る印刷処理をプリンタ３０内のプリントエンジン３１に実行させる。ただし、印刷ジョブ処理装置２０は、プリンタに外部接続されるプリントサーバであってもよい。なお、図１では１台のクライアントＰＣ１０が示されているが、印刷ジョブ処理装置２０には複数台のクライアントＰＣ１０が接続可能である。

クライアントＰＣ１０は、ソフトウェアとハードウェア資源との協働により実現される。クライアントＰＣ１０は、ソフトウェアとして、オペレーティングシステム（ＯＳ）、印刷ジョブ発行プログラム（例えばプリンタドライバ）、および各種のアプリケーションソフトなどを含み、ハードウェア資源として、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、メモリ（主記憶装置）、ハードディスク等の外部記憶装置、キーボードやマウス等の入力装置、およびディスプレイ等の出力装置などを含む。

印刷ジョブ処理装置２０は、ソフトウェアとハードウェア資源との協働により実現される。印刷ジョブ処理装置２０は、ソフトウェアとして印刷ジョブ処理用のプログラムなどを含み、ハードウェア資源として、ＣＰＵ、ＲＯＭ、メモリ、ハードディスク等の外部記憶装置などを含む。

本実施の形態に係る印刷システム１は、印刷ジョブ発行プログラムの改竄を検知するものである。以下、印刷ジョブ発行プログラムの改竄の検知に関する印刷システム１の構成について説明する。以下の説明では、印刷ジョブ発行プログラムとしてプリンタドライバを例にとる。ただし、印刷ジョブ発行プログラムは、プリンタドライバに限られず、他のプログラムであってもよい。

クライアントＰＣ１０は、新規インストール時情報送信部１１、印刷時情報送信部１２、および更新インストール時情報送信部１３を有する。これらの機能ブロック１１〜１３は、外部記憶装置やＲＯＭ等の記録媒体に記録された本実施の形態に係るクライアント装置の制御プログラムがメモリに読み込まれてＣＰＵに実行されることによって実現される。当該クライアント装置の制御プログラムは、本実施の形態ではプリンタドライバに含まれるが、プリンタドライバとは別のものであってもよい。なお、上記機能ブロック１１〜１３を実現するにあたり、上記クライアント装置の制御プログラムは、ＯＳ等の他のソフトウェアの機能を利用してもよい。

新規インストール時情報送信部１１は、クライアントＰＣ１０にプリンタドライバがインストールされた際に、当該プリンタドライバから改竄検知用の情報（以下、「改竄検知用情報」と称す）を生成して、当該改竄検知用情報を印刷ジョブ処理装置２０に送信する。改竄検知用情報としては、プリンタドライバの改竄の検知を可能とする適宜の情報を採用することができ、例えば、プリンタドライバのバージョン情報や、プリンタドライバの構成情報などが挙げられる。プリンタドライバの構成情報としては、プリンタドライバを構成するファイルの、ファイル名、ファイル作成日時、ファイルのサイズ、ファイルのハッシュ情報、ファイルのバージョン情報（プリンタドライバのバージョンとは異なるもの）などが挙げられる。この中でも、ファイルのハッシュ情報は、バイナリデータの違いを反映するので、改竄の検知に好適である。

印刷時情報送信部１２は、印刷ジョブの発行の際に、クライアントＰＣ１０にインストールされているプリンタドライバから改竄検知用情報を生成して、当該改竄検知用情報を印刷ジョブ処理装置２０に送信する。ここで、印刷時情報送信部１２は、上記新規インストール時情報送信部１１と同じ生成規則に従って、改竄検知用情報を生成する。

更新インストール時情報送信部１３は、プリンタドライバの更新の場合、更新前のプリンタドライバから更新前の改竄検知用情報を生成し、更新後のプリンタドライバから更新後の改竄検知用情報を生成し、生成された更新前および更新後の改竄検知用情報を印刷ジョブ処理装置２０に送信する。ここで、更新インストール時情報送信部１３は、上記新規インストール時情報送信部１１と同じ生成規則に従って、更新前および更新後の改竄検知用情報を生成する。

上記改竄検知用情報は、ネットワーク上における盗聴を防止する観点より、暗号化されて送信されることが好ましい。そこで、本実施の形態では、新規インストール時情報送信部１１、印刷時情報送信部１２、および更新インストール時情報送信部１３は、改竄検知用情報を予め登録された印刷ジョブ処理装置２０の公開鍵で暗号化し、暗号化された改竄検知用情報（以下、「暗号化改竄検知用情報」と称す）を印刷ジョブ処理装置２０に送信する。印刷ジョブ処理装置２０の公開鍵は、適宜の方法でクライアントＰＣ１０に登録され得る。例えば、印刷ジョブ処理装置２０の公開鍵は、ネットワークを介して印刷ジョブ処理装置２０から配布されてもよいし、可搬型記録媒体に記録された後にクライアントＰＣ１０に読み込まれてもよい。

また、本実施の形態では、印刷ジョブ処理装置２０は複数のクライアントＰＣ１０に接続可能に構成されているので、新規インストール時情報送信部１１、印刷時情報送信部１２、および更新インストール時情報送信部１３は、当該クライアントＰＣ１０を一意に識別するためのクライアント識別情報（例えばＭＡＣアドレス等）と対応付けて改竄検知用情報を送信する。このクライアント識別情報は、改竄検知用情報とまとめて暗号化されてもよいし、暗号化されなくてもよい。

印刷ジョブ処理装置２０は、新規インストール時情報記録部２１、改竄検知部２２、および更新インストール時情報記録部２３を有する。これらの機能ブロック２１〜２３は、外部記憶装置やＲＯＭ等の記録媒体に記録された本実施の形態に係る印刷ジョブ処理装置の制御プログラムがメモリに読み込まれてＣＰＵに実行されることによって実現される。

新規インストール時情報記録部２１は、クライアントＰＣ１０の新規インストール時情報送信部１１から改竄検知用情報を受信して、印刷ジョブ処理装置２０の所定の記録領域２４に記録しておく。本実施の形態では、新規インストール時情報記録部２１は、クライアント識別情報と暗号化改竄検知用情報とを受信すると、当該クライアント識別情報と対応付けて当該暗号化改竄検知用情報を記録する。新規インストール時情報記録部２１は、暗号化改竄検知用情報を、予め登録された印刷ジョブ処理装置２０の秘密鍵で復号化してから記録してもよい。

改竄検知部２２は、クライアントＰＣ１０の印刷時情報送信部１２から改竄検知用情報を受信し、受信された改竄検知用情報と記録領域２４に記録してある改竄検知用情報とを比較することにより、プリンタドライバの改竄を検知する。具体的には、改竄検知部２２は、上記２つの改竄検知用情報が一致するか否かを判断し、一致する場合には改竄されていない（改竄なし）と判定し、一致しない場合には改竄されている（改竄あり）と判定する。本実施の形態では、改竄検知部２２は、クライアント識別情報と暗号化改竄検知用情報とを受信すると、当該クライアント識別情報と対応付けて記録領域２４に記録してある暗号化改竄検知用情報を検索する。そして、改竄検知部２２は、受信された暗号化改竄検知用情報と、検索された暗号化改竄検知用情報とを、予め登録された印刷ジョブ処理装置２０の秘密鍵で復号化した後に比較する。

更新インストール時情報記録部２３は、クライアントＰＣ１０の更新インストール時情報送信部１３から更新前および更新後の改竄検知用情報を受信し、当該更新前の改竄検知用情報と記録領域２４に記録してある改竄検知用情報とを比較して、更新前のプリンタドライバが改竄されていないと判定される場合に、更新後の改竄検知用情報を記録領域２４に記録する。本実施の形態では、更新インストール時情報記録部２３は、クライアント識別情報と、更新前および更新後の暗号化改竄検知用情報とを受信すると、当該クライアント識別情報と対応付けて記録領域２４に記録してある暗号化改竄検知用情報を検索する。そして、更新インストール時情報記録部２３は、受信された更新前の暗号化改竄検知用情報と検索された暗号化改竄検知用情報とを、予め登録された印刷ジョブ処理装置２０の秘密鍵で復号化した後に比較して、両者が一致するか否かを判断する。そして、更新インストール時情報記録部２３は、一致すると判断した場合に、更新後の暗号化改竄検知用情報を記録領域２４に更新記録し、一致しないと判断した場合には、更新後の暗号化改竄検知用情報の記録を行わない。これは、詐称情報の登録を防ぐためである。

上記印刷システム１において、セキュリティを高める観点より、クライアントＰＣ１０は、改竄検知用情報を、暗号化後のデータが見かけ上毎回異なるように暗号化することが好ましい。そこで、本実施の形態では、印刷時情報送信部１２は、動的な情報である動的パラメータ（例えば乱数）を改竄検知用情報に付加して、これらをまとめて暗号化した後に送信する。

また、プリンタドライバが改竄されている場合、それによる不利益を回避する観点より、その旨をユーザに報知することが好ましい。そこで、本実施の形態では、印刷ジョブ処理装置２０は、プリンタドライバの改竄を検知した場合、その旨をユーザに報知する。具体的には、印刷ジョブ処理装置２０は、プリンタ３０の不図示の表示パネル上やクライアントＰＣ１０の表示画面上に、プリンタドライバが改竄されている旨を表示させる。

上記印刷システム１の一つの実施態様では、印刷ジョブの発行の際、クライアントＰＣ１０は、改竄検知用情報を印刷ジョブに添付して印刷ジョブ処理装置２０に送信する。この態様において、クライアントＰＣ１０は、改竄検知用情報のみを暗号化してもよいし、改竄検知用情報と印刷ジョブとをまとめて暗号化してもよい。本態様では、印刷ジョブ処理装置２０は、プリンタドライバの改竄を検知した場合、そのようなプリンタドライバによる不利益を防止するため、印刷ジョブに係る印刷処理を実行しないことが好ましい。ここで、印刷ジョブ処理装置２０は、ユーザの確認後に印刷を中止してもよいし、強制的に印刷を中止してもよいし、中止するか否かをユーザに選択させてもよい。また、これらのいずれにするかを予めユーザに選択させることもできる。

また、別の実施態様では、印刷ジョブの発行の際に、クライアントＰＣ１０は、印刷ジョブの発行に先立って改竄検知用情報を印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、プリンタドライバの改竄についての検知結果をクライアントＰＣ１０に通知する。そして、クライアントＰＣ１０は、印刷ジョブ処理装置２０から改竄されていない旨の通知を受けた場合に印刷ジョブを発行する。一方、改竄されている旨の通知を受けた場合には、印刷ジョブを発行しないことが好ましい。ここで、印刷ジョブ処理装置２０は、ユーザの確認後に印刷を中止してもよいし、強制的に印刷を中止してもよいし、中止するか否かをユーザに選択させてもよい。また、これらのいずれにするかを予めユーザに選択させることもできる。

以下、上記構成を有する印刷システム１の動作について、プリンタドライバの新規インストール時、印刷時、およびプリンタドライバの更新インストール時に分けて、具体的に説明する。

図２は、プリンタドライバの新規インストール時における印刷システム１の動作手順を示す図である。以下、図２を参照して、新規インストール時における印刷システム１の動作について説明する。

クライアントＰＣ１０にプリンタドライバがインストールされると（Ｓ１１）、クライアントＰＣ１０は、当該プリンタドライバから改竄検知用情報を生成し（Ｓ１２）、生成された改竄検知用情報を印刷ジョブ処理装置２０の公開鍵で暗号化する（Ｓ１３）。そして、クライアントＰＣ１０は、暗号化改竄検知用情報を、当該クライアントＰＣ１０のＭＡＣアドレスと対応付けて印刷ジョブ処理装置２０に送信する（Ｓ１４）。

印刷ジョブ処理装置２０は、クライアントＰＣ１０から暗号化改竄検知用情報をＭＡＣアドレスとともに受信すると、当該暗号化改竄検知用情報を当該ＭＡＣアドレスと対応付けて記録領域２４に記録する（Ｓ１５）。

図３は、改竄検知用情報を印刷ジョブに添付して送信する実施態様における、印刷時の印刷システム１の動作手順を示す図である。以下、図３を参照して、当該実施態様における、印刷時の印刷システム１の動作について説明する。

アプリケーションソフト等においてユーザから印刷指示が入力されると（Ｓ２１）、クライアントＰＣ１０は、プリンタドライバから改竄検知用情報を生成するとともに（Ｓ２２）、乱数等の動的パラメータを生成する（Ｓ２３）。

ついで、クライアントＰＣ１０は、上記改竄検知用情報と上記動的パラメータとをまとめて印刷ジョブ処理装置２０の公開鍵で暗号化し、暗号化情報を得る（Ｓ２４）。そして、クライアントＰＣ１０は、上記暗号化情報を、印刷ジョブに添付して、当該クライアントＰＣ１０のＭＡＣアドレスと対応付けて印刷ジョブ処理装置２０に送信する（Ｓ２５）。

印刷ジョブ処理装置２０は、クライアントＰＣ１０から上記暗号化情報を印刷ジョブおよびＭＡＣアドレスとともに受信すると、記録領域２４において当該ＭＡＣアドレスと対応付けられている暗号化改竄検知用情報を検索する（Ｓ２６）。

ついで、印刷ジョブ処理装置２０は、受信された暗号化情報と検索された暗号化改竄検知用情報とを、印刷ジョブ処理装置２０の秘密鍵で復号化し（Ｓ２７）、これにより得られた２つの改竄検知用情報を比較して、両者が一致するか否かを判断する（Ｓ２８）。

一致すると判断された場合（Ｓ２８：ＹＥＳ）、すなわちプリンタドライバの改竄が検知されなかった場合、印刷ジョブ処理装置２０は、受信された印刷ジョブに係る印刷処理をプリントエンジン３１に実行させる（Ｓ２９）。

一方、一致しないと判断された場合（Ｓ２８：ＮＯ）、すなわちプリンタドライバの改竄が検知された場合、印刷ジョブ処理装置２０は、受信された印刷ジョブを破棄するとともに（Ｓ３０）、プリンタドライバが改竄されている旨をユーザに報知する（Ｓ３１）。具体的には、印刷ジョブ処理装置２０は、改竄されている旨をプリンタ３０の表示パネルに表示させるとともに、クライアントＰＣ１０に通知する。この通知を受けたクライアントＰＣ１０は、改竄されている旨をその表示画面上に表示させる。

図４は、印刷ジョブの発行に先立って改竄検知用情報を送信する実施態様における、印刷時の印刷システム１の動作手順を示す図である。以下、図４を参照して、当該実施態様における、印刷時の印刷システム１の動作について説明する。

アプリケーションソフト等においてユーザから印刷指示が入力されると（Ｓ４１）、クライアントＰＣ１０は、プリンタドライバから改竄検知用情報を生成するとともに（Ｓ４２）、乱数等の動的パラメータを生成する（Ｓ４３）。

ついで、クライアントＰＣ１０は、上記改竄検知用情報と上記動的パラメータとをまとめて印刷ジョブ処理装置２０の公開鍵で暗号化し、暗号化情報を得る（Ｓ４４）。そして、クライアントＰＣ１０は、上記暗号化情報を、当該クライアントＰＣ１０のＭＡＣアドレスと対応付けて印刷ジョブ処理装置２０に送信する（Ｓ４５）。

印刷ジョブ処理装置２０は、クライアントＰＣ１０から上記暗号化情報をＭＡＣアドレスとともに受信すると、記録領域２４において当該ＭＡＣアドレスと対応付けられている暗号化改竄検知用情報を検索する（Ｓ４６）。

ついで、印刷ジョブ処理装置２０は、受信された暗号化情報と検索された暗号化改竄検知用情報とを、印刷ジョブ処理装置２０の秘密鍵で復号化し（Ｓ４７）、これにより得られた２つの改竄検知用情報を比較して、両者が一致するか否かを判断する（Ｓ４８）。

一致すると判断された場合（Ｓ４８：ＹＥＳ）、すなわちプリンタドライバの改竄が検知されなかった場合、印刷ジョブ処理装置２０は、改竄されていない旨をクライアントＰＣ１０に通知する（Ｓ４９）。クライアントＰＣ１０は、この通知を受けると、印刷ジョブを印刷ジョブ処理装置２０に送信する（Ｓ５０）。印刷ジョブ処理装置２０は、印刷ジョブを受信すると、当該印刷ジョブに係る印刷処理をプリントエンジン３１に実行させる（Ｓ５１）。

一方、一致しないと判断された場合（Ｓ４８：ＮＯ）、すなわちプリンタドライバの改竄が検知された場合、印刷ジョブ処理装置２０は、改竄されている旨をクライアントＰＣ１０に通知する（Ｓ５２）。クライアントＰＣ１０は、この通知を受けると、印刷ジョブの発行を中止する（Ｓ５３）。また、印刷ジョブ処理装置２０は、プリンタドライバが改竄されている旨をプリンタ３０の表示パネルに表示させ、クライアントＰＣ１０は、その旨を表示画面上に表示させる。

図５は、プリンタドライバの更新インストール時における印刷システム１の動作手順を示す図である。以下、図５を参照して、更新インストール時における印刷システム１の動作について説明する。

プリンタドライバの更新インストールの指示が入力されると（Ｓ６１）、クライアントＰＣ１０は、更新前のプリンタドライバから改竄検知用情報を生成して保存しておく（Ｓ６２）。

ついで、クライアントＰＣ１０は、プリンタドライバの更新インストールを行った後に（Ｓ６３）、更新後のプリンタドライバから改竄検知用情報を生成する（Ｓ６４）。

ついで、クライアントＰＣ１０は、更新前の改竄検知用情報および更新後の改竄検知用情報をまとめて印刷ジョブ処理装置２０の公開鍵で暗号化し、暗号化情報を得る（Ｓ６５）。そして、クライアントＰＣ１０は、上記暗号化情報を、当該クライアントＰＣ１０のＭＡＣアドレスと対応付けて印刷ジョブ処理装置２０に送信する（Ｓ６６）。

印刷ジョブ処理装置２０は、クライアントＰＣ１０から暗号化情報をＭＡＣアドレスとともに受信すると、記録領域２４において当該ＭＡＣアドレスと対応付けられている暗号化改竄検知用情報を検索する（Ｓ６７）。

ついで、印刷ジョブ処理装置２０は、受信された暗号化情報と検索された暗号化改竄検知用情報とを、印刷ジョブ処理装置２０の秘密鍵で復号化する（Ｓ６８）。そして、更新インストール時に受信された更新前の改竄検知用情報と、記録領域２４に記録されていた改竄検知用情報とが一致するか否かを判断する（Ｓ６９）。

一致すると判断された場合（Ｓ６９：ＹＥＳ）、すなわちプリンタドライバの改竄が検知されなかった場合、印刷ジョブ処理装置２０は、受信された更新後の改竄検知用情報を記録領域２４に更新記録する（Ｓ７０）。

一方、一致しないと判断された場合（Ｓ６９：ＮＯ）、すなわちプリンタドライバの改竄が検知された場合、印刷ジョブ処理装置２０は、受信された更新後の改竄検知用情報を記録領域２４に記録することなく、プリンタドライバが改竄されている旨をユーザに報知する（Ｓ７１）。具体的には、印刷ジョブ処理装置２０は、改竄されている旨をプリンタ３０の表示パネルに表示させるとともに、クライアントＰＣ１０に通知する。この通知を受けたクライアントＰＣ１０は、改竄されている旨をその表示画面上に表示させる。

以上説明した本実施の形態によれば、以下の効果が得られる。

（１）本実施の形態では、クライアントＰＣ１０にプリンタドライバがインストールされた際に、クライアントＰＣ１０は、プリンタドライバから改竄検知用情報を生成して印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、クライアントＰＣ１０から改竄検知用情報を受信して所定の記録領域に記録しておく。そして、印刷ジョブの発行の際に、クライアントＰＣ１０は、プリンタドライバから改竄検知用情報を生成して印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、クライアントＰＣ１０から改竄検知用情報を受信し、受信された改竄検知用情報と記録領域に記録してある改竄検知用情報とを比較することにより、プリンタドライバの改竄を検知する。このため、本実施の形態によれば、プリンタドライバの改竄を検知することができ、プリンタドライバが改竄されていることを知ることができる。別の言い方をすれば、クライアントＰＣ１０にインストールされているプリンタドライバが、当初インストールしたプリンタドライバであることの正当性を確認することができる。これにより、不特定多数のユーザが使用するＰＣ環境において、安全な印刷環境を提供することができる。

（２）クライアントＰＣ１０は、改竄検知用情報を印刷ジョブ処理装置２０の公開鍵で暗号化して送信し、印刷ジョブ処理装置２０は、インストールの際に受信した改竄検知用情報と印刷ジョブの発行の際に受信した改竄検知用情報とを、印刷ジョブ処理装置２０の秘密鍵で復号化した後に比較する。このため、本実施の形態によれば、ネットワーク上における改竄検知用情報の盗聴を防止することができ、盗聴された改竄検知用情報を利用した詐称を防止することができる。

（３）クライアントＰＣ１０は、改竄検知用情報を、暗号化後のデータが見かけ上毎回異なるように暗号化する。このため、本実施の形態によれば、暗号化改竄検知用情報が毎回同じであることを利用した詐称を防止することができる。

（４）印刷ジョブの発行の際に、クライアントＰＣ１０は、印刷ジョブの発行に先立って改竄検知用情報を印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、プリンタドライバの改竄についての検知結果をクライアントＰＣ１０に通知し、クライアントＰＣ１０は、印刷ジョブ処理装置２０から改竄されていない旨の通知を受けた場合に、印刷ジョブを発行する。このため、本実施の形態によれば、改竄されていないことを確認してから印刷ジョブの発行を行うことができ、より安全な印刷環境を提供することができる。

（５）プリンタドライバの更新インストールの場合、クライアントＰＣ１０は、更新前および更新後の改竄検知用情報を印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、更新前の改竄検知用情報と記録領域２４に記録してある改竄検知用情報とを比較して、更新前のプリンタドライバが改竄されていないと判定される場合に、更新後の改竄検知用情報を記録領域２４に記録する。このため、本実施の形態によれば、改竄されていないことを確認してから更新後の改竄検知用情報の登録を行うことができ、不適切なプリンタドライバの改竄検知用情報が登録されてしまうことを防ぐことができる。

（６）クライアントＰＣ１０と印刷ジョブ処理装置２０とが自動的に改竄検知に係る処理を実行するように構成することができ、利便性の高い改竄検知を実現することができる。

なお、本発明は、上記実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々変更することができる。例えば、上記実施の形態の印刷システム１は、次のように構成されてもよい。

（ａ）印刷ジョブ処理装置２０は、クライアントＰＣ１０から受信した動的パラメータに所定の演算を施し、演算結果Ｒ１をクライアントＰＣ１０に返信する。クライアントＰＣ１０は、印刷ジョブ処理装置２０に送信した動的パラメータに上記所定の演算を施し、演算結果Ｒ２を得る。そして、クライアントＰＣ１０は、返信された演算結果Ｒ１と自身で演算した演算結果Ｒ２とを比較することで、印刷ジョブ処理装置２０の正当性を検証する。すなわち、２つの演算結果が一致する場合には正当であると判定し、一致しない場合には正当でないと判定する。正当でないと判定された場合、クライアントＰＣ１０は、例えば印刷ジョブの発行を行わない。また、その旨をユーザに報知する。

（ｂ）クライアントＰＣ１０が動的パラメータを生成するのではなく、クライアントＰＣ１０からの要求に応じて印刷ジョブ処理装置２０が動的パラメータを生成し、当該動的パラメータをクライアントＰＣ１０に渡す。クライアントＰＣ１０は、印刷ジョブ処理装置２０から受け取った動的パラメータと改竄検知用情報とをまとめて印刷ジョブ処理装置２０の公開鍵で暗号化し、得られた暗号化情報を印刷ジョブ処理装置２０に送る。印刷ジョブ処理装置２０は、受け取った暗号化情報を印刷ジョブ処理装置２０の秘密鍵で復号化し、改竄検知用情報に基づき改竄を検知するとともに、送信した動的パラメータと受信したそれとが一致するか否かにより、受け取った暗号化情報の正当性を検証する。すなわち、両者が一致する場合には正当であると判定し、一致しない場合には正当でないと判定する。正当でないと判定された場合、印刷ジョブ処理装置２０は、例えば印刷ジョブに係る印刷処理を行わない。また、その旨をクライアントＰＣ１０やユーザに通知する。

（ｃ）図５のステップＳ６８において、受信したＭＡＣアドレスと対応付けられている暗号化改竄検知用情報が検索で見つからなかった場合、印刷ジョブ処理装置２０は、新規登録として処理する。すなわち、更新後の暗号化改竄検知用情報をＭＡＣアドレスと対応付けて記録領域２４に記録する。この構成では、更新インストール時に更新前のプリンタドライバの改竄が検知された場合、プリンタ３０または印刷ジョブ処理装置２０の管理者が記録領域２４に記録された改竄検知用情報を削除することで、新規インストールとして処理される。

（ｄ）クライアントＰＣ１０は、改竄検知用情報に、当該クライアントＰＣ１０のユーザの秘密鍵による署名を添付して印刷ジョブ処理装置２０に送信し、印刷ジョブ処理装置２０は、受信した署名および当該ユーザの公開鍵証明書を用いて、伝送経路途中での改竄検知用情報の改竄を確認する。ユーザの公開鍵証明書は、改竄検知用情報に添付して送信されてもよいし、事前に印刷ジョブ処理装置２０に登録されていてもよい。この構成において、受信した改竄検知用情報が伝送経路途中で改竄されていることを確認したとき、好ましくは、印刷ジョブ処理装置２０は、ユーザに改竄されていることを通知する。また好ましくは、印刷ジョブに係る印刷処理を実行しない。あるいは、印刷ジョブ処理装置２０は伝送経路途中で改竄された旨をクライアントＰＣ１０に通知し、クライアントＰＣ１０は印刷ジョブを発行しない。

（ｅ）クライアントＰＣ１０は、ユーザから改竄確認指示を受け付けると、改竄検知用情報を印刷ジョブ処理装置２０に送信し、改竄に関する検知結果を印刷ジョブ処理装置２０から受信してユーザに通知する。すなわち、ユーザの必要に応じて、任意のタイミングで、プリンタドライバが改竄されているか否かの確認が行われる。

（ｆ）印刷ジョブ処理装置２０は、新規または更新インストールが行われた際、プリンタや印刷ジョブ処理装置の管理者に案内を自動的に発行する。

（ｇ）印刷ジョブ処理装置２０は、新規または更新インストールが行われた際、ログを残す。

実施の形態に係る印刷システムの構成を示すブロック図である。 プリンタドライバの新規インストール時における印刷システムの動作手順を示す図である。 改竄検知用情報を印刷ジョブに添付して送信する実施態様における、印刷時の印刷システムの動作手順を示す図である。 印刷ジョブの発行に先立って改竄検知用情報を送信する実施態様における、印刷時の印刷システムの動作手順を示す図である。 プリンタドライバの更新インストール時における印刷システムの動作手順を示す図である。

符号の説明

１ 印刷システム、１０ クライアントＰＣ、１１ 新規インストール時情報送信部、１２ 印刷時情報送信部、１３ 更新インストール時情報送信部、２０ 印刷ジョブ処理装置、２１ 新規インストール時情報記録部、２２ 改竄検知部、２３ 更新インストール時情報記録部、２４ 記録領域、３０ プリンタ、３１ プリントエンジン。

Claims (15)

1. 印刷ジョブを発行するクライアント装置と、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置とを含む印刷システムにおける印刷ジョブ発行プログラムの改竄検知方法であって、
   前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、
   前記クライアント装置は、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、前記クライアント装置から前記改竄検知用の情報を受信して所定の記録領域に記録しておき、
   印刷ジョブの発行の際に、
   前記クライアント装置は、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、前記クライアント装置から前記改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
2. 請求項１に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   前記クライアント装置は、前記改竄検知用の情報を前記印刷ジョブ処理装置の公開鍵で暗号化して送信し、
   前記印刷ジョブ処理装置は、インストールの際に受信した改竄検知用の情報と印刷ジョブの発行の際に受信した改竄検知用の情報とを、当該印刷ジョブ処理装置の秘密鍵で復号化した後に比較することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
3. 請求項２に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   前記クライアント装置は、前記改竄検知用の情報を、暗号化後のデータが見かけ上毎回異なるように暗号化することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
4. 請求項１〜３のいずれか１項に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   印刷ジョブ発行プログラムがインストールされた際に、
   前記クライアント装置は、当該クライアント装置を識別するためのクライアント識別情報と対応付けて前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、前記クライアント識別情報と対応付けて前記改竄検知用の情報を前記記録領域に記録しておき、
   印刷ジョブの発行の際に、
   前記クライアント装置は、当該クライアント装置を識別するためのクライアント識別情報と対応付けて前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、クライアント識別情報とともに改竄検知用の情報を受信すると、当該受信した改竄検知用の情報と、当該受信したクライアント識別情報と対応付けて前記記録領域に記録してある改竄検知用の情報とを比較することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
5. 請求項１〜４のいずれか１項に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄を検知した場合、印刷ジョブに係る印刷処理を実行しないことを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
6. 請求項１〜４のいずれか１項に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   印刷ジョブの発行の際に、
   前記クライアント装置は、印刷ジョブの発行に先立って前記改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄についての検知結果を前記クライアント装置に通知し、
   前記クライアント装置は、前記印刷ジョブ処理装置から改竄されていない旨の通知を受けた場合に、印刷ジョブを発行することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
7. 請求項１〜６のいずれか１項に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   前記印刷ジョブ処理装置は、前記印刷ジョブ発行プログラムの改竄を検知した場合、その旨をユーザに報知することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
8. 請求項１〜７のいずれか１項に記載の印刷ジョブ発行プログラムの改竄検知方法であって、
   印刷ジョブ発行プログラムの更新インストールの場合、
   前記クライアント装置は、更新前の印刷ジョブ発行プログラムから更新前の改竄検知用の情報を生成し、更新後の印刷ジョブ発行プログラムから更新後の改竄検知用の情報を生成し、生成された更新前および更新後の改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
   前記印刷ジョブ処理装置は、前記クライアント装置から前記更新前および更新後の改竄検知用の情報を受信し、当該更新前の改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較して、前記更新前の印刷ジョブ発行プログラムが改竄されていないと判定される場合に、前記更新後の改竄検知用の情報を前記記録領域に記録することを特徴とする印刷ジョブ発行プログラムの改竄検知方法。
9. 印刷ジョブを発行するクライアント装置に接続され、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置であって、
   前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、当該改竄検知用の情報を所定の記録領域に記録しておき、
   印刷ジョブの発行の際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知することを特徴とする印刷ジョブ処理装置。
10. 印刷ジョブを処理する印刷ジョブ処理装置に接続され、当該印刷ジョブ処理装置に対して印刷ジョブを発行するクライアント装置であって、
    当該クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信し、
    印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信することを特徴とするクライアント装置。
11. 印刷ジョブを発行するクライアント装置に接続され、当該クライアント装置から発行された印刷ジョブを受け取って処理する印刷ジョブ処理装置に、
    前記クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、当該改竄検知用の情報を所定の記録領域に記録しておく処理と、
    印刷ジョブの発行の際に、前記クライアント装置から、前記印刷ジョブ発行プログラムから生成された改竄検知用の情報を受信し、受信した改竄検知用の情報と前記記録領域に記録してある改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知する処理と、
    を実行させることを特徴とする印刷ジョブ処理装置の制御プログラム。
12. 印刷ジョブを処理する印刷ジョブ処理装置に接続され、当該印刷ジョブ処理装置に対して印刷ジョブを発行するクライアント装置に、
    当該クライアント装置に印刷ジョブ発行プログラムがインストールされた際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信する処理と、
    印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから改竄検知用の情報を生成して、当該改竄検知用の情報を前記印刷ジョブ処理装置に送信する処理と、
    を実行させることを特徴とするクライアント装置の制御プログラム。
13. 印刷ジョブを発行するクライアント装置と、当該クライアント装置から発行された印刷ジョブを処理する印刷ジョブ処理装置とを含む印刷システムであって、
    前記クライアント装置は、
    印刷ジョブ発行プログラムがインストールされた際に、該インストールされた印刷ジョブ発行プログラムから第１の改竄検知用の情報を生成するとともに当該第１の改竄検知用の情報を前記印刷ジョブ処理装置に送信する手段と、
    印刷ジョブの発行の際に、前記印刷ジョブ発行プログラムから第２の改竄検知用の情報を生成するとともに当該第２の改竄検知用の情報を前記印刷ジョブ処理装置に送信する手段と、
    を有し、
    前記印刷ジョブ処理装置は、
    前記クライアント装置により送信された前記第１の改竄検知用の情報を保持する保持手段と、
    前記クライアント装置により送信された前記第２の改竄検知用の情報と前記保持手段に保持された前記第１の改竄検知用の情報とを比較することにより、前記印刷ジョブ発行プログラムの改竄を検知する手段と
    を有する
    ことを特徴とする印刷システム。
14. 請求項１３に記載の前記印刷システムの前記クライアント装置。
15. 請求項１３に記載の前記印刷システムの前記印刷ジョブ処理装置。

Images