JP4314152B2 - 電子情報保証システム、業務端末 - Google Patents

Description

本発明は、例えば民間の金融機関において、印鑑の印影を用いずに利用者個人を確認し業務を行うための電子情報保証システム、業務端末に関する。

例えば銀行、郵便局等の金融機関の窓口において、新規口座開設や現金引き出しの際に、利用者が申込書に押印した印鑑の印影で本人確認を行っているが、印鑑の印影や本人の筆跡を保管するために、申込用紙に押印された印鑑の印影を含む申請書自体をカメラで撮影しマイクロフィルムの形態で保管しており、この情報の維持、管理が金融機関の負担になっている。

また、最近、印鑑の偽造により、金融機関に預けられている預貯金を騙し取る手口の犯罪が多発し、金融機関が虚偽の申請で預貯金を支払ったことで利用者本人から訴訟された場合、金融機関に支払い命令がでるケースも生じており、マイクロフィルムに代わり証拠能力のある本人確認情報を金融機関が保持しておく必要がある。

一方、近年では、住民基本台帳法が施行され、住民基本台帳システムが公的機関に設けられ、この住民基本台帳システムを利用者が利用することで、利用者個人を証明し、印鑑などを用いずに、住民票を取る等の公的サービスを受けることが可能になっている。

この種の先行技術としては、例えば認証コード発行機関が有している証明書認証サーバと、ネットワークを介して証明書交付機関が有しているクライアント、および証明書利用者が有しているクライアントとを接続して構成し、証明書の偽造を防止する技術が提案されている（例えば特許文献１参照）。
特開２００３−２６３５２０号公報

しかしながら、上記先行技術は、認証コード発行機関と証明書交付機関とが同じ公的機関である場合に成り立つ技術であり、このネットワークを金融機関のような民間の企業、つまり非公的機関が利用することはできない。

また、現在、印影のイメージデータ自体は、証拠能力がないものとして扱われていることから、マイクロフィルムを保管している状況であるが、上記認証コードや証明書等の電子的情報をどのような形で証拠能力のあるものとして保持しておくかについては上記先行技術では考慮されていないという問題があった。

本発明はこのような課題を解決するためになされたもので、公的機関より提供される個人認証技術を非公的機関が利用して印鑑の陰影に代わる個人認証をして業務を行い、かつこの際に個人認証に用いた情報を証拠能力のあるものとして残しておくことのできる電子情報保証システム、業務端末を提供することを目的としている。

上記した課題を解決するために、本発明の電子情報保証システムは、金融機関の店舗に設置され、金融機関の内部ネットワークに接続された業務端末と、前記金融機関の事務処理部門に設置され、前記業務端末より内部ネットワークを通じて受信される業務取扱データを処理し保管する第１コンピュータと、前記内部ネットワークから切り離された外部ネットワークに接続され、利用者の個人認証を行う認証用の第２コンピュータと、外部ネットワークに接続され、タイムスタンプ発行要求に応じて時刻を保証するタイムスタンプを発行する第３コンピュータとを有する電子情報保証システムにおいて、前記業務端末は、前記第１コンピュータが業務処理を行う上で必要な利用者の本人確認を行う電子証明書を前記第２コンピュータから得る上で必要な公開鍵と秘密鍵とからなる１組の鍵ペアを生成する鍵ペア生成手段と、前記鍵ペア生成手段により生成された１組の鍵ペアを保持する保持手段と、前記鍵ペア生成手段により生成された鍵ペアのうち、公開鍵を用いて非公的機関の認証局に対する短命公開鍵証明書発行要求を生成する短命公開鍵証明書発行要求生成手段と、前記短命公開鍵証明書発行要求生成手段により生成された短命公開鍵証明書発行要求への電子署名を、利用者に対して公的機関から発行されたＩＣカードへ要求し、この要求に対して電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを取得するＩＣカードアクセス手段と、前記ＩＣカードアクセス手段により取得された電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを前記第２コンピュータへ送信し、前記短命公開鍵証明書発行要求に対して発行された一回の申込み手続きのみ有効な短命公開鍵証明書を前記第２コンピュータより取得する手段と、前記第２コンピュータより取得した短命公開鍵証明書に対して電子署名を行う短命公開鍵証明書署名手段と、前記短命公開鍵証明書署名手段により電子署名が付与された短命公開鍵証明書を申込情報に添付して業務取扱情報として前記第１コンピュータへ送信する手段と、前記業務取扱情報を前記第１コンピュータが処理した結果として前記第１コンピュータより返信されてきた返却データを取得する手段と、前記第１コンピュータより返却データが取得された場合、前記保持手段に保持されていた１組の鍵ペアを削除する手段と、前記返却データに含まれる保存用の証明書およびタイムスタンプを、利用者へ返却する媒体に記録する手段とを備え、前記第１コンピュータは、前記業務端末より送信された業務取扱情報を受信する手段と、前記業務端末より受信された業務取扱情報に添付されている電子署名の正当性を検証する手段と、検証に成功した場合、前記業務取扱情報を処理する手段と、検証に成功した場合、保存用の証明書の発行要求を前記第２コンピュータへ送信し、要求に対する保存用の証明書を前記第２コンピュータより受信する手段と、検証に成功した場合、時刻を保証するタイムスタンプの発行要求を第３コンピュータへ送信し、要求に対するタイムスタンプを受信する手段と、前記保存用の証明書とタイムスタンプと業務取扱情報を処理した結果のデータとを返却データとして前記業務端末へ返信する手段とを備え、前記第２コンピュータは、前記業務端末より送信された、電子署名が付与された短命公開鍵証明書発行要求を受信する手段と、前記短命公開鍵証明書発行要求に対して公的機関から得られるリスト情報を基に本人認証を行う認証手段と、前記認証手段により本人認証された場合、短命公開鍵証明書を発行し要求元へ返信する手段と、前記短命公開鍵証明書を発行した履歴を記憶する短命公開鍵証明書発行履歴記憶手段とを備え、前記第３コンピュータは、前記第１コンピュータより受信されたタイムスタンプ発行要求に対して時刻を保証するタイムスタンプを発行し、要求元へ返信する手段と、前記タイムスタンプを発行した履歴を記憶するタイムスタンプ発行履歴記憶手段とを具備したことを特徴とする。

本発明の業務端末は、利用者からの申込情報と利用者に対して公的機関から発行されたＩＣカードを受け付ける受付手段と、前記利用者より受付けたＩＣカードを利用して利用者の本人確認を行う電子証明書を外部機関より取得する上で必要な公開鍵と秘密鍵とからなる１組の鍵ペアを生成する鍵ペア生成手段と、前記鍵ペア生成手段により生成された１組の鍵ペアを保持する保持手段と、前記鍵ペア生成手段により生成された鍵ペアのうち、公開鍵を用いて前記外部機関に対する短命公開鍵証明書発行要求を生成する短命公開鍵証明書発行要求生成手段と、前記短命公開鍵証明書発行要求生成手段により生成された短命公開鍵証明書発行要求への電子署名を、利用者に対して公的機関から発行されたＩＣカードへ要求し、この要求に対して電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを取得するＩＣカードアクセス手段と、前記ＩＣカードアクセス手段により取得された電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを前記外部機関へ送信し、前記短命公開鍵証明書発行要求に対する証明書であることを示す識別番号を少なくとも有する一回の申込み手続きのみ有効な短命公開鍵証明書を前記外部機関より取得する手段と、前記外部機関より取得した短命公開鍵証明書に対して電子署名を行う短命公開鍵証明書署名手段と、前記短命公開鍵証明書署名手段により電子署名が付与された短命公開鍵証明書と前記申込情報を業務取扱情報として処理する業務処理手段と、前記申込情報を業務処理した結果に前記短命公開鍵証明書に含まれる識別番号を付して出力する出力手段と、前記出力手段にて業務処理結果を出力後、前記保持手段に保持されていた１組の鍵ペアを削除する手段とを具備したことを特徴とする。

本発明では、金融機関での本人確認が必要とされる業務（新規契約、住所・氏名変更等届出、高額預払等）において、従来必要とされてきた運転免許証等の公的証明書類や***（届出印）の代わりに、利用者に公共機関から発行されるＩＣカードであるJPKIカードを使用し、業務端末から金融機関が契約する非公的機関、つまり民間の特定認証局経由で公的個人認証を行い、特定認証局から発行されたこの手続きのみ有効な短命な公開鍵証明書、例えば一回の申込み手続き（一回の業務処理、例えば数分程度の短い期限）のみに有効な短命公開鍵証明書を取得することにより、業務受付時の本人確認を厳正に行うことができる。
また、民間の特定認証局や時刻認証局から発行された電子証明書やタイムスタンプ等の電子的な証明情報を業務処理の済んだデータと共に利用者へ返却する媒体に記録する。
また、民間の特定認証局や時刻認証局では、短命公開鍵証明書やタイムスタンプ等を発行した履歴情報やその際の保存用証明書を記憶しておくことで、発行時点では、これら短命公開鍵証明書やタイムスタンプ等が有効であったことを示すための証拠を残しておく。
さらに、業務端末において、業務取扱情報を処理した結果に短命公開鍵証明書に含まれる識別番号を付して出力することで、そのときまでは確かに短命公開鍵証明書が有効であったことを示すための証拠を残しておくことができる。
これにより、業務取扱時点での本人の意思確認を行うことができ、利用者から事後に意思がなかった等の申し出によって、金融機関の業務処理の内容が否認されることを防止できる。

すなわち、特定認証局で発行された短命な公開鍵証明書及び電子署名、申込情報を、業務受付時に業務端末内で業務取扱情報に自動的に添付して事務処理部門に送付（送信）し、事務処理部門では、受け取った業務取扱情報を原本保存装置等のセキュアな保存手段で保管することで、従来、紙やマイクロフィルム等で保管してきた原本性保証のための書類データをコードデータ等の少容量のデータの形態で保管することで、取扱データの原本性を確保した上で保管できるようになり、ペーパーレス化と共に証拠データの肥大化防止を図ることができる。

以上説明したように本発明によれば、公的機関より提供される個人認証技術を非公的機関が利用して印鑑の陰影に変わる個人認証をして業務を行い、かつこの際に個人認証に用いた情報を証拠能力のあるものとして残しておくことができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。図１は本発明に係る一つの実施の形態の電子情報保証システムの概要構成を示す図、図２はこの電子情報保証システムの窓口端末機の構成を示す図である。
図１に示すように、この電子情報保証システムは、金融機関の店舗の窓口に設置されて窓口業務を行う業務端末としての窓口端末機２と、この窓口端末機２にＳＣＳＩケーブル等の接続ケーブルで接続されたハードウェア・セキュリティ・モジュール３（以下ＨＳＭ３と称す）と、窓口端末機２とインターネット４等のネットワークを介して接続された金融機関と契約した民間（非公的機関）の特定の認証局（以下特定ＣＡと称す）の認証サーバ５と、この認証サーバ５に通信網を介して接続された住民基本台帳システム等の公的個人認証基盤に属する個人認証サーバ８と、金融機関の事務処理部門に設置された第１のコンピュータとしての業務システム（口座データベース７を有する基幹システムサーバ６、保管マスタ１０、マスタレプリカ１１、原本保存機能部１３を有するペーパレスシステムサーバ９、検索端末１２）と、時刻認証局ＴＳＡに設置されたタイムスタンプサーバ１４などから構成されている。認証サーバ５は、第２コンピュータといい、タイムスタンプサーバ１４は第３コンピュータという。なお、上記認証局は金融機関と契約した特定の認証局に限らず、電子証明書を発行する民間（非公的機関）の認証局であれば何れでも良い。
すなわち、この電子情報保証システムは、金融機関の店舗に設置され、金融機関の内部ネットワーク（ＬＡＮ等）に接続された窓口端末機２と、金融機関の事務処理部門に設置され、窓口端末機２より内部ネットワークを通じて受信される業務取扱データを処理し保管する第１コンピュータとしての基幹システムサーバ６、ペーパレスシステムサーバ９等と、内部ネットワークから切り離された外部ネットワーク（インターネット４等のＷＡＮ）に接続され、利用者の個人認証を行う認証用の第２コンピュータとしての認証サーバ５と、外部ネットワークに接続され（インターネット４等のＷＡＮ）、タイムスタンプ発行要求に応じて時刻を保証するタイムスタンプを発行する第３コンピュータとしてのタイムスタンプサーバ１４とを有している。
窓口端末機２は、利用者に対して公的機関から発行され、利用者が店舗に持参した住民基本台帳カード：住基カード１（以下JPKIカード１と称す）の情報を読み取り本人確認（個人認証）を行った上で、新規口座開設、口座解約、住所、氏名等の変更、預貯金の預け入れ、支払いに関する入力データの処理等の各種窓口業務を行う。通信網は、例えば専用線等である。

JPKIカード１は、公的個人認証用のＩＣカードであり、カード内部に、ＣＰＵ、メモリ、通信インターフェース（以下通信Ｉ／Ｆと称す）を備えている。メモリには、このＩＣカードを一意に特定するためのカード識別情報であるカードＩＤ、住民基本台帳の中の例えば住所、氏名、生年月日、血液型等の基本４情報、公開鍵PuKeyと秘密鍵PriKeyのペア、公開鍵PuKeyを証明する電子証明書（以下公開鍵証明書Cert_Jと称す）、このカードへアクセスするためのパスワード等が記憶されている。公開鍵証明書Cert_J、公開鍵PuKeyと秘密鍵PriKeyの一組の鍵ペアは、利用者が自ら公的機関の窓口に電子証明書の発行を申請して、そこに設置されている端末によって、生成され書き込まれる情報である。公開鍵証明書Cert_Jの有効期間は、通常、１年乃至３年程度とされている。

JPKIカード１のＣＰＵは、メモリに記憶された基本４情報、公開鍵を証明する電子証明書（以下公開鍵証明書Cert_Jと称す）を用いた照合処理の機能、カードアクセス時の認証機能、電子署名機能等を有している。ＣＰＵは、窓口端末機２の制御部２１からのCSR署名要求を受けて、短命公開鍵証明書発行要求情報CSRを公開鍵証明書Cert_Jに記述されているハッシュ関数でハッシュしたものをメモリに記憶されている秘密鍵PriKeyで暗号化し電子署名Sign_Jを生成し短命公開鍵証明書発行要求情報CSRに付与、つまり電子署名し、これらの情報を要求元へ返す。通信Ｉ／Ｆは、ＩＣカードリーダ２６と通信を行う。通常、このJPKIカード１を公的機関（県区市の役所等）の申請窓口等に設置された窓口端末で利用することで、利用者個人であることを証明し、例えば住民票を取得する等の各種公的サービスを受けることができる。

特定ＣＡに設置された認証サーバ５は、窓口端末機２から基幹システムサーバ６へ申込情報を送信する前の事前認証要求である短命公開鍵証明書発行要求情報CSRを窓口端末機２から受けて、公的機関であるJPKIの証明書、署名等の正当性を検証し、正当性が確認できた場合、短命公開鍵証明書Cert_Sを生成し、要求元へ返信する。
認証サーバ５には、データベースが設けられている。このデータベースには、JPKIの証明書、署名等の正当性検証のため情報（JPKIの発行済み証明書の有効期限切れ者のリストであるネガティブリスト等）が格納されている。
認証サーバ５は、保存用証明書Cert_Aを発行したことを示す保存用証明書発行履歴を記憶する保存用証明書発行履歴テーブルを有している。保存用証明書発行履歴テーブルは、ハーディスク装置に記憶されたものである。保存用証明書発行履歴テーブルには、保存証明書発行履歴として、例えば発行要求元（名称）、発行年月日、時刻、短命証明書のシリアルナンバー、公的CRLへのアクセスログが記憶される。

基幹システムサーバ６は、窓口端末機２からの口座情報更新要求を受信し、受信した口座情報更新要求に含まれる情報に基づいて口座データベース７を更新し、該当口座情報を窓口端末機２へ返信（送信）する。口座情報更新要求が、例えば新規の利用者氏名等が含まれた新規口座開設の要求であれば、ＣＰＵが口座データベース７を更新した結果、口座データベース７に新たな利用者が追加され、その口座情報が送信される。口座情報更新要求には、取扱種別（新規、再度以降の預払い、変更の届出等）、住所、氏名、預払金額などが含まれる。
口座データベース７には、口座種別・口座番号、口座残高、住所、氏名、処理年月日・時刻などの口座情報が個々の顧客（利用者）毎に記憶されている。
ペーパレスシステムサーバ９は、窓口端末機２より送信された業務取扱データ（取扱データ、短命電子署名Sign_S、民間の短命証明書Cert_S等）を受信して、認証局電子署名の検証を行う。また、ペーパレスシステムサーバ９は、検証の結果、認証局電子署名の検証が正しいことが検証された場合（検証に成功した場合）、つまり業務取扱データが改ざんされていないことが確認できた場合、特定ＣＡ、時刻認証局ＴＳＡに対して保存用証明書取得要求を送信し、特定ＣＡ、時刻認証局ＴＳＡより保存用証明書Cert_T、タイムスタンプTS_Aを取得する。
また、ペーパレスシステムサーバ９は、事業者署名、事業者証明書を発行して、これらを含む戻りデータ（取扱データ、事業者署名、事業者証明書等を含むデータ）を作成し、窓口端末機２へ送信する。

図３に示すように、保管マスタ１０には、口座種別・口座番号、預払金額、残高、住所、氏名、電子署名、電子証明書、証明書ナンバー、処理年月日、タイムスタンプ、保存用証明書、保存用署名…等の業務情報が保管されている。
マスタレプリカ１１は、保管マスタ１０より作成されたレプリカであり、検索端末１２により情報の検索、編集操作が可能なデータベースである。
原本保存機能部１３は、保管マスタ１０に保存される情報の原本性を保証する機能であり、検索端末１２からアクセスがあると、逐次そのアクセスログを取得し、ハードディスク装置等に記憶する。この原本保存機能部１３は、保管マスタ１０の原本性保証のため所定のユーザからの書き込みのみ有効で、他のユーザは、書き込み、書換え不可能で、検索のみ可能とする機能である。通常、一般のユーザは、マスタレプリカ１１にアクセスし、検索あるいは情報の編集を行う。
すなわち、基幹システムサーバ６、ペーパレスシステムサーバ９等からなる業務システムのＣＰＵは、窓口端末機２より送信された業務取扱データを受信する手段として機能する。また、ＣＰＵは、窓口端末機２より受信された業務取扱データに添付されている短命電子署名Sign_Sの正当性を検証する手段として機能する。ＣＰＵは、検証に成功した場合、業務取扱データを処理する手段としての機能する。また、ＣＰＵは、検証に成功した場合、保存用の証明書の発行要求を認証サーバ５へ送信し、要求に対する保存用証明書Cert_Aを認証サーバ５より受信する手段として機能する。さらに、ＣＰＵは、検証に成功した場合、時刻を保証するタイムスタンプの発行要求をタイムスタンプサーバ１４へ送信し、要求に対するタイムスタンプTS_Aを受信する手段として機能する。また、ＣＰＵは、認証サーバ５より受信された保存用証明書Cert_Aと、タイムスタンプサーバ１４より受信されたタイムスタンプTS_Aと、業務取扱データを処理した結果のデータとを返却データとして窓口端末機２へ返信する手段として機能する。

個人認証サーバ８は、データベースを備えている。データベースには、公的機関が発行した証明書の失効リスト（以下公的CRLと称す）の情報が蓄積されている。個人認証サーバ８は、特定ＣＡからの要求に応じてデータベースに蓄積されている公的CRLを読み出して配信する。なお、公的CRLの配信は、要求の都度でなくても良く、所定期間毎にバッチ処理で送られることもある。

時刻認証局ＴＳＡのタイムスタンプサーバ１４は、タイムスタンプ発行要求CSR-Aを受信すると、現在の時刻を保証する情報であるタイムスタンプTS_Aを発行して、電子署名Sign_Tを付与した上で、要求元のペーパレスシステムサーバ９へ送信（返信）する。
また、タイムスタンプサーバ１４は、タイムスタンプTS_Aの発行履歴を記憶するタイムスタンプ発行履歴テーブルを有している。タイムスタンプ発行履歴テーブルは、ハーディスク装置に記憶されたものである。このタイムスタンプ発行履歴テーブルには、タイムスタンプ発行履歴として、例えば発行要求元(名称)、発行内容、発行依頼対象データ等が保存される。発行依頼対象データは、保存用証明書取得後のデータである。

上記個人認証サーバ８、基幹システムサーバ６、ペーパレスシステムサーバ９、検索端末１２、タイムスタンプサーバ１４等は、ＣＰＵ、メモリ、ハードディスク装置などを備えた一般的なサーバコンピュータであり、ハードディスク装置にはオペレーティングシステム（以下ＯＳと称す）、その他、制御動作を実行するアプリケーションソフトウェアがインストールされており、これらソフトウェアとＣＰＵなどのハードウェアが協動して各サーバ動作を実現する。上記データベースは、ハードディスク装置に構築されている。

ＨＳＭ３は、耐タンパ性（物理的な攻撃に対する耐性）を持つハードウェア（ＣＰＵ、メモリ、ハードディスク装置等）で構成され、耐タンパ性を持つ物理的なセキュリティにより高いセキュリティ性能を実現するものである。ＣＰＵは、鍵ペア生成機能と、短命電子署名機能、暗号化機能、鍵廃棄機能とを有している。ハードディスク装置には、このＨＳＭ３と特定ＣＡにだけに配布されている鍵長168bitの共通鍵が記憶されている。また、ハードディスク装置には、電子認証によって生成した短命電子署名Sign_Sが一時記憶され、処理終了後に制御部２１より発行されるKey_S削除命令により消去（削除）される。すなわち、このハードディスク装置は、ＣＰＵによって生成された１組の鍵ペアSign_Sを、Key_S削除命令により消去されるまでの間、保持する保持手段として機能する。

鍵ペア生成機能は、窓口端末機２の制御部２１からの鍵ペア生成要求を受けて標準PKCS#1に合致する暗号鍵生成アルゴリズム(RSA等)に従って、鍵長1024bitの公開鍵ペアKey_Sを生成する。この公開鍵ペアKey_Sは、金融機関のような非公的機関が利用者の本人確認を行う電子証明書を得る上で必要な鍵である。
暗号化機能は、標準FIPS PUB 46-3等に合致する暗号アルゴリズムTriple DESと、共通鍵を用いて公開鍵PuKey_Sを暗号化して暗号化公開鍵PuKey_S’を得る。

短命電子署名機能は、短命な証明書発行要求を行うための窓口端末機２の制御部２１からの電子署名要求を受けて申込情報に電子署名を行う機能である。

具体的には、申込情報署名要求を受けて、申請情報を、公開鍵証明書Cert_Jに記述されているハッシュ関数でハッシュしたものをメモリに記憶されている公開鍵ペアKey_Sの秘密鍵PriKey_Sを用いて暗号化し短命電子署名Sign_Sを生成し、申込情報に付与して要求元へ返す。短命とは、一回の手続き（一回のセッション）に対してのみ有効な期間である。

すなわち、ＨＳＭ３のＣＰＵは、基幹システムサーバ６に対して電子申請を行う上で必要な申請者の本人確認を行う電子証明書を得る上で必要な公開鍵PuKey_Sと秘密鍵PriKey_Sとからなる１組の鍵ペアKey_Sを生成する鍵ペア生成手段として機能する。

窓口端末機２は、図２に示すように、制御部２１、メモリ２２、表示操作部２３、ＳＣＳＩインターフェース２４（以下ＳＣＳＩ Ｉ／Ｆ２４と称す）、制御部２１に通信Ｉ／Ｆ２５を介して接続されたＩＣカードリーダ２６、スキャナ２９および通帳印字部２７、インターネット４に接続する通信部２８等を有している。

ＩＣカードリーダ２６は、制御部２１によって制御されてJPKIカード１へのアクセスを行うＩＣカードアクセス手段として機能する。
制御部２１は、ＣＰＵなどのハードウェアとメモリに記憶されている制御プログラムなどのソフトウェアが協動して、演算処理、制御動作等を実行するものである。制御部２１は、ＩＣカードリーダ２６を制御してJPKIカード１のメモリに記憶されているJPKIの公開鍵証明書Cert_Jを得る。制御部２１は、標準PKCS#1に合致する暗号アルゴリズム（RSA等）と、鍵長1024bitのJPKIの秘密鍵PriKeyを用いて、PKCS#10に従う短命公開鍵証明書発行要求情報CSRを生成し、これにJPKIカード１のメモリから読み出した電子署名Sign_Jを付与する。
制御部２１は、公開鍵PuKey_Sを用いて特定ＣＡに対する短命公開鍵証明書発行要求CSRを生成する短命公開鍵証明書発行要求生成手段として機能する。

また、制御部２１は、生成した短命公開鍵証明書発行要求CSRへの電子署名Sign_Jの付与を、公的機関から発行されたJPKIカード１へＩＣカードリーダ２６を通じて要求し、この要求に対して電子署名Sign_Jが付与された短命公開鍵証明書発行要求CSRと公開鍵電子証明書Cert_JとをＩＣカードリーダ２６を通じて取得し、電子署名Sign_Jが付与された短命公開鍵証明書発行要求CSRと公開鍵電子証明書Cert_Jとを特定ＣＡの認証サーバ５へ送信し、送信した短命公開鍵証明書発行要求CSRに対する短命公開鍵証明書Sert_Sを特定ＣＡの認証サーバ５より取得する手段として機能する。

さらに、制御部２１は、ＨＳＭ３により電子署名Sert_Sが付与された申込情報を金融機関の事務処理部門に設置されたペーパレスシステムサーバ９へ送信する手段として機能する。
また、制御部２１は、送信した申込情報に対してペーパレスシステムサーバ９より処理済み返却データ（控用）が返却され、返却データ（控用）に含まれていた保存用証明書Sert_Aやタイムスタンプあるいは予めメモリ２２に記憶しておいた短命公開鍵証明書Sert_Sのシリアル番号の少なくとも一つを、利用者に渡す通帳等の媒体に印刷した場合、つまり、一つの業務処理が終了した場合に、ＨＳＭ３のハードディスク装置（保持手段）に保持されている１組の鍵ペアSign_Sを消去する消去手段として機能する。

通帳印字部２７は、処理済み返却データに含まれる保存用証明書Sert_AおよびタイムスタンプTS_A、あるいはメモリ２２に保持されていた短命公開鍵証明書Sert_sのシリアル番号の少なくとも一つを、利用者へ返却する媒体、ここでは通帳等に記録する手段として機能する。この他、利用者へ返却する媒体としては、領収書等でも良い。

スキャナ２９は、申込書の文字を読取りイメージデータ化し制御部２１に渡す。制御部２１は、スキャナ２９から受け渡されたイメージデータの必要部分（氏名、住所等の手書き部分と申込用紙の種別コード印刷部）を切り出し文字認識してコードデータ化する。また、スキャナ２９及び制御部２１は、申込書から住所、氏名、業務種別を文字認識する帳票読取及び文字認識手段として機能する。

以下、図４、図５を参照してこの電子情報保証システムの動作を説明する。
JPKIカード１を持つ利用者が、例えば非公的機関である金融機関の店舗で、新規の口座開設の申し込みを行う場合、新規口座開設用の申込書に必要事項（氏名、住所等）を記入して、JPKIカード１と共に窓口の係員に手渡す。
窓口の係員は、窓口端末機２の表示操作部２３の画面から新規口座開設の操作を行った後、申込書をスキャナ２９にセットして、実行操作を行う。
すると、制御部２１は、スキャナ２９を制御して読み取りを開始させ、スキャナ２９よりイメージデータを得て文字認識処理を行い、氏名、住所、業務種別等のコードデータを取得し、申し込み情報を生成し、メモリ２２に記憶する。
また、制御部２１は、操作内容が新規口座開設であった場合、画面に、「本人確認用のカードをカード挿入口に挿入してください。」などといったメッセージを表示する。

この表示に従い、係員がJPKIカード１を端末のカード挿入口に挿入すると、ＩＣカードリーダ２６がJPKIカード１にアクセスし、JPKIカード１のメモリよりカードＩＤを取得すると共に、メモリ２２に記憶されているカード種別判定用のテーブルを参照してカードの種類を特定する。このカード特定処理の結果、カードがJPKIカード１でない場合、ＩＣカードリーダ２６は、カードをカード挿入口より排出して申請者へ返却し、制御部２１は、画面にメッセージを表示あるいは音声で正しいJPKIカード１の挿入を促す。

カード種別の判定結果、カードが正しいものであった場合、制御部２１は、メモリ２２の申込情報を表示操作部２３の画面に表示すると共に表示した申込情報の確認、修正を促すメッセージと、確認結果、間違いがなければ、確定操作を行うよう促すメッセージを表示する。制御部２１は、このようにして申請情報を作成する（図４のＳ１０１）。
そして、係員により確定操作が行われると、制御部２１は、それをトリガとして短命鍵ペアKey_Sの生成要求（以下Key_S生成要求と称す）を発行し（Ｓ１０２）、ＳＣＳＩ Ｉ／Ｆ２４を通じてＨＳＭ３へ送信する。

ＨＳＭ３では、Key_S生成要求を受付けたＣＰＵが、PKCS#1として標準化されているアルゴリズムに従って短命鍵ペアKey_Sを生成し（Ｓ１０３）、生成した短命鍵ペアKey_Sのうち公開鍵PuKey_SをＨＳＭ３と特定ＣＡだけに配布されている共通鍵で暗号化して、暗号化された公開鍵PuKey_S’を生成し、要求元である窓口端末機２の制御部２１へ返す（Ｓ１０４）。
窓口端末機２の制御部２１は、ＨＳＭ３より返信されてきた、暗号化された公開鍵PuKey_S’を取得し（Ｓ１０５）、メモリに記憶する。
その後、制御部２１は、特定ＣＡの認証サーバ５へ送信すべき短命公開鍵証明書発行要求情報CSRを生成し（Ｓ１０６）、生成した短命公開鍵証明書発行要求情報CSRに対してJPKIカード１の内部処理で署名させるため、短命公開鍵証明書発行要求情報CSRを含むCSR署名要求をJPKIカード１へ送る（Ｓ１０７）。短命公開鍵証明書発行要求情報CSRには、申請者の氏名（識別子）、公開鍵、公開鍵のアルゴリズムを特定する情報が含まれている。
JPKIカード１では、CSR署名要求を受信したＣＰＵが、短命公開鍵証明書発行要求情報CSRに含まれる情報から電子署名Sign_Jを生成し（Ｓ１０８）、生成した電子署名Sign_Jを短命公開鍵証明書発行要求情報CSRに付与、つまり電子署名し、電子署名Sign_Jと短命公開鍵証明書発行要求情報CSRを要求元の電子申請端末２の制御部２１へ返す。
電子申請端末２では、制御部２１が、電子署名Sign_Jとこの電子署名Sign_Jで署名された短命公開鍵証明書発行要求情報CSRとを取得して（Ｓ１０９）、メモリ２２に記憶する。

また、JPKIカード１のＣＰＵは、予めカード内のメモリに記憶されていた公開鍵証明書Cert_Jを窓口端末機２の制御部２１へ送信し（Ｓ１１０）、この公開鍵証明書Cert_Jを窓口端末機２の制御部２１が取得して（Ｓ１１１）、メモリ２２に記憶する。
そして、制御部２１は、メモリ２２に記憶した電子署名Sign_Jが付与された短命公開鍵証明書発行要求情報CSRに、JPKIカード１から受け取りメモリ２２に記憶した公開鍵証明書Cert_Jを付与し、インターネット４を通じて特定ＣＡの認証サーバ５へ送信する（Ｓ１１２）。短命公開鍵証明書発行要求情報CSRには、窓口端末機２を識別（特定）するための端末番号等の端末識別情報が含まれている。
特定ＣＡの認証サーバ５では、ＣＰＵが短命公開鍵証明書発行要求情報CSRを受信すると（Ｓ１１３）、ＣＰＵは、短命公開鍵証明書発行要求情報CSRに含まれていた端末番号をキーに、メモリあるいはハードディスク装置に予め記憶されていた証明書発行テーブルを参照して、短命な電子証明書を発行するか、通常の期限の電子証明書を発行するかを判定する。証明書発行テーブルには、窓口端末機毎あるいは金融機関毎に、短命な電子証明書を発行するか、通常の期限の電子証明書を発行するかを示す情報（フラグ等）が設定されている。

電子証明書の種別を判定した後、ＣＰＵは、短命公開鍵証明書発行要求情報CSRに付与されていた電子署名Sign_Jを検証する（Ｓ１１４）。

ここでは、標準PKCS#1に合致する暗号アルゴリズムRSAと、鍵長1024bitのJPKIの公開鍵PuKey_Sを用いて、短命公開鍵証明書発行要求情報CSRに付与された電子署名Sign_Jが正しいことを検証する。電子署名の仕組みや検証（照合）技術自体は、一般的なものであり、例えばhttp://www.pref.saitama.jp/A01/B300/jpki/introduction/pki-sikumi.html等に公開されている。
つまり、電子署名とは、情報送信側が元の情報（平文）をハッシュ関数で圧縮し、秘密鍵で所定の暗号化方式で暗号化した結果として一つのコードデータ（電子署名）を作成する処理である。
電子署名された情報（平文）の検証とは、検証する側（情報受信側）に、検証対象の情報（平文）と電子署名（コードデータ）が送られてきた場合に、検証対象の情報（平文）をハッシュ関数で圧縮したデータ（メッセージダイジェスト）と、上記電子署名（コードデータ）を、予め送信元から配布された公開鍵を用いて、暗号化した方式と同じ方式で復号して得たデータ（メッセージダイジェスト）とを照合して一致するかと否かを判定することである。

これと共に、ＣＰＵは、公的個人認証基盤の個人認証サーバ８に対してCRL情報（公的CRL）の発行要求を送信し、この要求に対して個人認証サーバ８は、自身のデータベースに蓄積されている公的CRLを送信する。

そして、個人認証サーバ８より送信された公的CRLを特定ＣＡの認証サーバ５のＣＰＵが受信し、受信した公的CRLに基づき公開鍵証明書Cert_Jを検証、つまり有効性を確認する（Ｓ１１５）。公的CRLを用いた公開鍵証明書Cert_Jの検証は、公的CRLに公開鍵証明書Cert_Jのシリアル番号が存在するか否か等である。

これと共にＣＰＵは、暗号化公開鍵PuKey_S’の復号を行う（Ｓ１１６）。この復号処理では、標準FIPS PUB 46-3に合致する暗号アルゴリズムTriple DESと、ＨＳＭ３と特定ＣＡだけに配布されている鍵長168bitの共通鍵とを用いて、暗号化公開鍵PuKey_S’を復号して公開鍵PuKey_Sを得る。
電子署名Sign_J及び公開鍵証明書Cert_Jの検証の結果、有効性が確認され、かつ暗号化公開鍵PuKey_S’の復号が成功した場合に限り、ＣＰＵは、公開鍵Pukey_Sの証明書である短命公開鍵証明書Cert_Sを生成し（Ｓ１１７）、生成した短命公開鍵証明書Cert_Sを窓口端末機２の制御部２１へ送信する（Ｓ１１８）。この送信は、インターネット４を介した通信となるため、SSL等の秘匿通信で行う。なお、復号が成功した場合とは、電子署名の復号と、受信した情報の暗号化で得た２つのメッセージダイジェストを照合した結果、互いが一致した場合である。

その後、ＣＰＵは、短命公開鍵証明書Cert_Sの発行履歴を発行履歴テーブルに記憶する（Ｓ１１９）。発行履歴テーブルは、ハーディスク装置に記憶されたものである。発行履歴テーブルには、発行履歴として、例えば発行要求元（名称）、発行年月日、時刻、短命証明書シリアルナンバー、公的CRLへのアクセスログが記憶される。

Ｓ１１７の短命公開鍵証明書Cert_Sの生成処理では、標準PKCS#1に合致する暗号アルゴリズムRSAと、鍵長2048bitの特定ＣＡのルート鍵を用いて電子署名を付与し、短命公開鍵証明書Cert_Jを生成する。
一方、窓口端末機２において、制御部２１は、短命公開鍵証明書Cert_Sの受信を待機しており、一定時間を経過しても認証サーバ５より短命公開鍵証明書Cert_Sが受信（取得）されない場合（Ｓ１２０のNo）、上記一連の処理を中止する（Ｓ１２１）。

また、認証サーバ５より送信された短命公開鍵証明書Cert_Sがインターネット４を通じて通信部２８によって受信されて、短命公開鍵証明書Cert_Sを制御部２１が取得すると（Ｓ１２０のYes）、制御部２１は、次に口座情報を取得するため、基幹システムサーバ６に対して、申込者の氏名、住所等を含む口座情報更新要求を送信する。
基幹システムサーバ６では、窓口端末機２から送信された口座情報更新要求がＣＰＵによって受信されると、ＣＰＵは、口座情報更新要求に含まれていた氏名等をキーにして口座データベース７を検索し、該当者の口座、つまりレコードが存在しない場合、既に登録されているものと重複しない新たな口座番号を生成し、口座データベース７内に新たなレコード、つまり申請者の口座領域をハードディスク装置内に作成し、データベースの内容を更新する。口座番号の生成は、単純な連番の付与等で行われる。新レコード作成後、ＣＰＵは、作成した口座の情報を要求元の窓口端末機２へ返信する。口座の情報としては、例えば口座番号、口座残高、取扱種別（新規、再度以降の預払、届出のうち、この例では新規）等の情報である。
窓口端末機２では、口座情報更新要求に対する口座情報の返信の受信を制御部２１が待機しており、返信されてきた口座情報が通信部２８で受信され、制御部２１が口座情報を取得すると（Ｓ１２２）、制御部２１は、ＨＳＭ３に対して申込者の申込情報に秘密鍵PriKey_Sによる電子署名Sign_Sを行うことを要求するため、短命公開鍵証明書Cert_Sへの署名要求（Cert_S署名要求）を発行し（Ｓ１２３）、ＳＣＳＩ Ｉ／Ｆ２４を通じてＨＳＭ３へ送信する。

ＨＳＭ３では、Cert_S署名要求を受信したＣＰＵが、自身のメモリに記憶されている秘密鍵PriKey_Sを用いて短命公開鍵証明書Cert_Sに対する電子署名Sign_Sを生成し（Ｓ１２４）、短命公開鍵証明書Cert_Sに付与、つまり電子署名し、電子署名Sign_Sを付与した短命公開鍵証明書Cert_Sを窓口端末機２の制御部２１へ返信する。

窓口端末機２では、ＨＳＭ３から送信された、電子署名Sign_Sを付与した短命公開鍵証明書Cert_SをＳＣＳＩ Ｉ／Ｆ２４を通じて制御部２１が取得すると（Ｓ１２５）、制御部２１は、取得した電子署名Sign_Sと短命公開鍵証明書Cert_Sを申込情報へ添付し（Ｓ１２６）、これら業務取扱データ（電子署名Sign_S、申込情報等のデータ、短命公開鍵証明書Cert_S等）をインターネット４を通じてペーパレスシステムサーバ９へ送信する（Ｓ１２７）。

ペーパレスシステムサーバ９では、窓口端末機２よりインターネット４を通じて送信されてきた業務取扱データをＣＰＵが受信すると（図４のＳ２０１）、ＣＰＵは、受信された業務取扱データより電子署名Sign_Sを抽出し、抽出した電子署名Sign_Sの検証を行う。
この検証処理では、標準PKCS#1に合致する暗号アルゴリズムRSAと、鍵長1024bitの特定ＣＡの公開鍵を用いて、申込情報に付与された電子署名Sign_Sが正しいことを検証する（Ｓ２０２）。つまり、業務取扱データが改ざんされてないことを確認する。
なお、この際、申込情報中の短命公開鍵証明書Cert_Sについては、JPKIの公開鍵証明書Cert_Jの有効性の有無で代替されるので有効性検証を行わない。

ＣＰＵは、電子署名Sign_Sの検証を正常に終了（成功）した場合、業務取扱データをメモリに記憶すると共に、特定ＣＡに対して保存用の証明書の発行要求（以下保存用証明書発行要求情報CSR-Aと称す）を生成し、特定ＣＡの認証サーバ５へ送信する（Ｓ２０３）。保存用証明書発行要求情報CSR-Aには、発行要求元(名称)、発行年月日、時刻、短命証明書、公的ＣＲＬへのアクセスログ等が含まれている。
認証サーバ５では、保存用証明書発行要求情報CSR-AをＣＰＵが受信すると、ＣＰＵは、保存用証明書Cert_Aを発行して、電子署名Sign_Aを付与した上で、要求元のペーパレスシステムサーバ９へ送信（返信）する（Ｓ２０４）。
保存用証明書Cert_Aを発行後、ＣＰＵは、保存用証明書発行履歴を保存用証明書発行履歴テーブルに記憶する（Ｓ２０５）。保存用証明書発行履歴テーブルは、ハーディスク装置に記憶されたものである。保存用証明書発行履歴テーブルには、保存証明書発行履歴として、例えば発行要求元（名称）、発行年月日、時刻、短命証明書のシリアルナンバー、公的CRLへのアクセスログが記憶される。

ペーパレスシステムサーバ９では、認証サーバ５より送信されてきた保存用証明書Cert_AをＣＰＵが受信し取得すると（Ｓ２０６のYes）、ＣＰＵは、時刻認証局ＴＳＡに対するタイムスタンプの発行要求を生成し、時刻認証局ＴＳＡのタイムスタンプサーバ１４へ送信する（Ｓ２０７）。タイムスタンプ発行要求には、発行要求元、発行依頼対象データ、保存用証明書Cert_Aのシリアルナンバー、発行年月日・時刻等が含まれている。
時刻認証局ＴＳＡのタイムスタンプサーバ１４では、ＣＰＵがタイムスタンプ発行要求を受信すると、ＣＰＵは、現在の時刻を保証する情報であるタイムスタンプTS_Aを発行して、電子署名Sign_Tを付与した上で、要求元のペーパレスシステムサーバ９へ送信（返信）する（Ｓ２０８）。

送信後、ＣＰＵは、タイムスタンプの発行履歴をタイムスタンプ発行履歴テーブルに記憶する（Ｓ２０９）。タイムスタンプ発行履歴テーブルには、タイムスタンプ発行履歴として、例えば発行要求元(名称)、発行内容、発行依頼対象データ等である。発行依頼対象データは、保存用証明書取得後のデータである。

ペーパレスシステムサーバ９では、タイムスタンプサーバ１４より送信されてきた、電子署名Sign_tを付与したタイムスタンプTS_AをＣＰＵが受信し取得すると（Ｓ２１０）、ＣＰＵは、取得したタイムスタンプTS_Aと、メモリに記憶しておいた業務取扱データとをハードディスク装置に保存する（Ｓ２１１）。
ハードディスク装置に保存されるデータは、口座種別・口座番号、住所、氏名、残高（現在高）、処理年月日(時刻)、タイムスタンプTS_A、短命公開鍵証明書Cert_Sのシリアルナンバー、保存用証明書Cert_Aのシリアルナンバー、証明書等の取得履歴などである。証明書等の取得履歴は、各証明書のシリアルナンバー、各証明書等の発行機関、各証明書等の内容、各証明書等の受信時刻等である。

なお、Ｓ２０６の証明書取得判定処理あるいはタイムスタンプ取得判定処理で、要求から所定時間が経過しても、該当サーバより情報が得られない場合は（Ｓ２０６のＮｏ、Ｓ２１０のＮｏ）、エラー処理を行う（Ｓ２１２）。

タイムスタンプTS_Aと業務取扱データをハードディスク装置に保存した後、ＣＰＵは、短命公開鍵証明書Cert_S等の取得通知、通帳等へ印字する印字データ、保存用証明書Cert_A、電子署名Sign_t等を含めた返却データを窓口端末機２へ送信する（Ｓ２１３）。印字データは、口座番号、住所、氏名、残高（現在高）等、処理年月日（時刻）、短命公開鍵証明書Cert_Sのシリアルナンバーである。

窓口端末機２では、ペーパレスシステムサーバ９より送信された返却データが通信部２８によって受信されると（Ｓ２１４のYes）、制御部２１は、返却データの内容をチェックし、印字データが存在するか否かを判定する（Ｓ２１５）。

この判定の結果、印字データが存在した場合（Ｓ２１５の有）、制御部２１は、通帳印字部２７を制御して通帳へ印字を行い、新規通帳を発行、つまり通帳を通帳取出口から排出する（Ｓ２１６）。印字データは、口座番号、住所、氏名、残高（現在高）等、処理年月日（時刻）、短命公開鍵証明書Sert_Sのシリアルナンバーである。時刻認証局より取得したタイムスタンプTS_Aなどを窓口端末機２へ送信し印字しても良い。なお、短命公開鍵証明書Sert_Sのシリアルナンバーは、窓口端末機２のメモリ２２に残存しているものであり、ペーパレスシステムサーバ９からの返却データに含まれるものではない。

このようにして一連の業務処理が終了した段階で、制御部２１は、ＨＳＭ３のハードディスク装置に記憶されている公開鍵ペアKey_Sを消去（廃棄）することを要求するため、ＨＳＭ３に対して公開鍵ペアKey_S削除命令を発行し（Ｓ２１７）、ＳＣＳＩ Ｉ／Ｆ２４を通じてＨＳＭ３へ送信する。
ＨＳＭ３では、公開鍵ペアKey_S削除命令を受信したＣＰＵが、自身のハードディスク装置に記憶されている公開鍵ペアKey_Sを削除（消去）する（Ｓ２１８）。

ここでの暗号鍵廃棄方法は、ハードディスク装置の該当領域をダミーデータで上書きしてから公開鍵ペアKey_Sのファイルを削除する等の方法をとり、公開鍵ペアKey_Sを削除する。

このようにこの実施形態の電子情報保証システムによれば、利用者が金融機関に新規口座開設等の申し込みを行う上で、公的個人認証カードであるJPKIカード１を利用し、窓口端末機２に接続あるいは内蔵したＨＳＭ３で本人確認を行い、窓口端末機２からの要求により、金融機関が契約した特定ＣＡ（民間認証局）の認証サーバ５は、窓口端末機２に対してそのとき（一回のセッション）だけに有効な有効期限を短く切った短命公開鍵証明書Cert_Sを発行することで、申込書への押印を必要とすることなく本人確認の上で口座開設を行うことができる。なお、電子証明書のフォーマットには、拡張領域が存在し、この拡張領域に、短命か通常かを示すフラグ情報等を挿入して、特定ＣＡの側で発行する電子証明書を特定するようにしても良い。

また、一回の申込み（業務）にだけ有効な短命公開鍵証明書Cert_SやタイムスタンプTS_Aをそれぞれ認証局（特定ＣＡ、時刻認証局ＴＳＡ等）で保存用証明書Cert_AあるいはタイムスタンプTS_Aの発行履歴として保存すると共に、ペーパレスシステムサーバ９の原本保存機能部１３で本人確認した証拠の情報をコードデータのみで保存しておくことで、マイクロフィルムでの保管に比べて証拠の保管管理コストを大幅に低減できる。

本実施形態の電子情報保証システムでは、利用者と金融機関それぞれが利益を得ることができる。
利用者は、既存のJPKIカード１を利用するので、手続き用に本人確認書類を取得する手間を省くことができ、また本人確認の証明用に別途カードを保持しなくて済む。

利用者は、複数のＩＣカードを持つ必要が無く、JPKIカード１だけで申請を行うことと同等の利便性及び価格を確保することができる。店舗窓口の窓口端末機２を不特定多数の申請者が利用して申請を行うような場合でも、自分の秘密鍵PriKey_JやＨＳＭ３で生成された鍵ペアKey_S等が窓口端末機２およびＨＳＭ３に残っていないことから、利用に対する「不安感」がなく、安心して申請できる。

金融機関は、利用者に対して本人確認用に新たなカード発行をせずに済む。また、窓口事務における本人確認事務を厳密かつ容易に行うことができる。

金融機関は、紙で発生した申込書等を含め取扱書類の原本性を確保しつつペーパーレス化を図ることができる。

金融機関は、各取扱において本人であること及び本人の意思であることの確認等、取扱の正当性をシステム的に記録管理することができる。
例えば金融機関は、JPKIカード１内の公開鍵証明書Cert_J（公的個人証明書）を使って、本人確認することで、本人確認業務にかかるコストを削減できる。
また、短命な鍵ペアKey_S及び短命公開鍵証明書Cert_Sを利用することで、特定ＣＡにおける発行済み公開鍵証明書の維持管理のコストを削減できる。
さらに、JPKIカード１とは別に本人認証専用のＩＣカードを発行する必要がなく、コスト面及び利用者の利便性向上の面からサービス利用者の増大を期待できる。

すなわち、この実施形態の電子情報保証システムでは、金融機関の窓口端末機２において、公的個人認証基盤より発行されたJPKIカード１を利用して特定ＣＡにおいて“短命な”証明書である短命公開鍵証明書Cert_Sを発行することにより、証明目的の専用カードを発行せずにサービスを受けられる仕組みを実現することができる。また、これと同時に、業務取扱時点における正確な本人確認処理と、その時点における利用者の意思確認をシステム的に記録することで、後に利用者が申込自体を否認した場合の証拠を残すことができる。
特定ＣＡ発行の短命公開鍵証明書Cert_SとＨＳＭ３で署名した電子署名Sign_Sを業務取扱データに添付したデータを事務処理部門のペーパレスシステムサーバ９で保管し、さらに保存用の署名／証明書を発行し、保存用証明書Cert_Aのシリアルナンバーを窓口端末機２へ返却データとして送り、それまでメモリ２２に残存していた短命公開鍵証明書Cert_Sと共に通帳や証書等、利用者への返却物に印字（記録）することで、事後紛争が発生した場合にその取扱いが正当であることを証明する仕組みを実現することができる。

なお、上記電子情報保証システムは、窓口端末機２の他に、基幹システムサーバ６、ペーパレスシステムサーバ９等を接続した構成であったが、これらサーバの機能をすべて窓口端末機２に持たせてもよく、またいずれか一方のサーバの機能（業務処理機能や処理結果の出力機能など）を持たせても良い。
この場合、窓口端末機２の制御部２１は、短命公開鍵証明書発行要求情報CSRに対する証明書であることを示す識別番号を少なくとも有する一回の申込み手続きのみ有効な短命公開鍵証明書Cert_Sを金融機関の外部機関である特定ＣＡの認証サーバ５より取得する手段として機能する。
また、ＨＳＭ３のＣＰＵは、特定ＣＡの認証サーバ５より窓口端末機２の制御部２１が取得した短命公開鍵証明書Cert_Sに対する電子署名Sign_Sを生成し短命公開鍵証明書Cert_Sに付与する短命公開鍵証明書署名手段として機能する。
窓口端末機２の制御部２１は、ＨＳＭ３のＣＰＵにより電子署名Sign_Sが付与された短命公開鍵証明書Cert_Sを取得し、それら電子署名Sign_Sと短命公開鍵証明書Cert_Sを利用者からの申込情報に付加して業務取扱情報として処理する業務処理手段として機能する。
窓口端末機２の制御部２１は、業務取扱情報を業務処理した結果に短命公開鍵証明書Cert_Sに含まれる証明書識別番号であるシリアル番号等を付して出力する出力手段として機能する。
窓口端末機２の制御部２１は、出力手段にて業務処理結果を出力後、保持手段としてＨＳＭ３のハードディスク装置に保持されていた１組の鍵ペアKEY_Sを削除する手段として機能する。

本発明に係る一つの実施の形態の電子情報保証システムの概要構成を示す図。 図１の電子情報保証システムの窓口端末機の構成を示す図。 図１の電子情報保証システムのペーパレスシステムサーバの保管マスタを示す図。 図１の電子情報保証システムにおいて、申込情報の取得から業務取扱データ送信までの動作を示す図。 図１の電子情報保証システムにおいて、業務取扱データ受信から鍵ペアを削除するまでの動作を示す図。

符号の説明

１…JPKIカード、２…電子申請端末、３…ハードウェア・セキュリティ・モジュール（ＨＳＭ）、４…インターネット、５…認証サーバ、６…基幹システムサーバ、７…個口座データベース、８…個人認証サーバ、９…ペーパレスシステムサーバ、１０…保管マスタ、１１…マスタレプリカ、１２…検索端末、１３…原本保証機能部、１４…タイムスタンプサーバ、２１…制御部、２２…メモリ、２３…表示操作部、２４…ＳＣＳＩインターフェース（ＳＣＳＩ Ｉ／Ｆ）、２６…ＩＣカードリーダ、２７…通知用印字部、２８…通信部、２９…スキャナ、Cert_J…公開鍵証明書、Sign_J…電子署名、Cert_S…短命公開鍵証明書、Sign_S…短命電子署名、CRL…公的証明書失効リスト、CSR…短命公開鍵証明書発行要求情報、Key_S…公開鍵ペア、PriKey_S…秘密鍵、PuKey_S…公開鍵、PuKey_S’…暗号化公開鍵、Cert_A…保存用の電子証明書、Sign_A…特定ＣＡの電子署名、TS_A…タイムスタンプ、Sign_T…時刻認証局の電子署名。

Claims (2)

1. 金融機関の店舗に設置され、金融機関の内部ネットワークに接続された業務端末と、前記金融機関の事務処理部門に設置され、前記業務端末より内部ネットワークを通じて受信される業務取扱データを処理し保管する第１コンピュータと、前記内部ネットワークから切り離された外部ネットワークに接続され、利用者の個人認証を行う認証用の第２コンピュータと、外部ネットワークに接続され、タイムスタンプ発行要求に応じて時刻を保証するタイムスタンプを発行する第３コンピュータとを有する電子情報保証システムにおいて、
   前記業務端末は、
   前記第１コンピュータが業務処理を行う上で必要な利用者の本人確認を行う電子証明書を前記第２コンピュータから得る上で必要な公開鍵と秘密鍵とからなる１組の鍵ペアを生成する鍵ペア生成手段と、
   前記鍵ペア生成手段により生成された１組の鍵ペアを保持する保持手段と、
   前記鍵ペア生成手段により生成された鍵ペアのうち、公開鍵を用いて非公的機関の認証局に対する短命公開鍵証明書発行要求を生成する短命公開鍵証明書発行要求生成手段と、
   前記短命公開鍵証明書発行要求生成手段により生成された短命公開鍵証明書発行要求への電子署名を、利用者に対して公的機関から発行されたＩＣカードへ要求し、この要求に対して電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを取得するＩＣカードアクセス手段と、
   前記ＩＣカードアクセス手段により取得された電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを前記第２コンピュータへ送信し、前記短命公開鍵証明書発行要求に対して発行された一回の申込み手続きのみ有効な短命公開鍵証明書を前記第２コンピュータより取得する手段と、
   前記第２コンピュータより取得した短命公開鍵証明書に対して電子署名を行う短命公開鍵証明書署名手段と、
   前記短命公開鍵証明書署名手段により電子署名が付与された短命公開鍵証明書を申込情報に添付して業務取扱情報として前記第１コンピュータへ送信する手段と、
   前記業務取扱情報を前記第１コンピュータが処理した結果として前記第１コンピュータより返信されてきた返却データを取得する手段と、
   前記第１コンピュータより返却データが取得された場合、前記保持手段に保持されていた１組の鍵ペアを削除する手段と、
   前記返却データに含まれる保存用の証明書およびタイムスタンプを、利用者へ返却する媒体に記録する手段とを備え、
   前記第１コンピュータは、
   前記業務端末より送信された業務取扱情報を受信する手段と、
   前記業務端末より受信された業務取扱情報に添付されている電子署名の正当性を検証する手段と、
   検証に成功した場合、前記業務取扱情報を処理する手段と、
   検証に成功した場合、保存用の証明書の発行要求を前記第２コンピュータへ送信し、要求に対する保存用の証明書を前記第２コンピュータより受信する手段と、
   検証に成功した場合、時刻を保証するタイムスタンプの発行要求を第３コンピュータへ送信し、要求に対するタイムスタンプを受信する手段と、
   前記保存用の証明書とタイムスタンプと業務取扱情報を処理した結果のデータとを返却データとして前記業務端末へ返信する手段とを備え、
   前記第２コンピュータは、
   前記業務端末より送信された、電子署名が付与された短命公開鍵証明書発行要求を受信する手段と、
   前記短命公開鍵証明書発行要求に対して公的機関から得られるリスト情報を基に本人認証を行う認証手段と、
   前記認証手段により本人認証された場合、短命公開鍵証明書を発行し要求元へ返信する手段と、
   前記短命公開鍵証明書を発行した履歴を記憶する短命公開鍵証明書発行履歴記憶手段とを備え、
   前記第３コンピュータは、
   前記第１コンピュータより受信されたタイムスタンプ発行要求に対して時刻を保証するタイムスタンプを発行し、要求元へ返信する手段と、
   前記タイムスタンプを発行した履歴を記憶するタイムスタンプ発行履歴記憶手段と
   を具備したことを特徴とする電子情報保証システム。
2. 利用者からの申込情報と利用者に対して公的機関から発行されたＩＣカードを受け付ける受付手段と、
   前記利用者より受付けたＩＣカードを利用して利用者の本人確認を行う電子証明書を外部機関より取得する上で必要な公開鍵と秘密鍵とからなる１組の鍵ペアを生成する鍵ペア生成手段と、
   前記鍵ペア生成手段により生成された１組の鍵ペアを保持する保持手段と、
   前記鍵ペア生成手段により生成された鍵ペアのうち、公開鍵を用いて前記外部機関に対する短命公開鍵証明書発行要求を生成する短命公開鍵証明書発行要求生成手段と、
   前記短命公開鍵証明書発行要求生成手段により生成された短命公開鍵証明書発行要求への電子署名を、利用者に対して公的機関から発行されたＩＣカードへ要求し、この要求に対して電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを取得するＩＣカードアクセス手段と、
   前記ＩＣカードアクセス手段により取得された電子署名が付与された短命公開鍵証明書発行要求と公開鍵電子証明書とを前記外部機関へ送信し、前記短命公開鍵証明書発行要求に対する証明書であることを示す識別番号を少なくとも有する一回の申込み手続きのみ有効な短命公開鍵証明書を前記外部機関より取得する手段と、
   前記外部機関より取得した短命公開鍵証明書に対して電子署名を行う短命公開鍵証明書署名手段と、
   前記短命公開鍵証明書署名手段により電子署名が付与された短命公開鍵証明書と前記申込情報を業務取扱情報として処理する業務処理手段と、
   前記申込情報を業務処理した結果に前記短命公開鍵証明書に含まれる識別番号を付して出力する出力手段と、
   前記出力手段にて業務処理結果を出力後、前記保持手段に保持されていた１組の鍵ペアを削除する手段と
   を具備したことを特徴とする業務端末。

Images