JP4607082B2 - 情報処理装置、管理方法、及びコンピュータプログラム - Google Patents

Description

本発明は、いわゆるクッキー（cookie）ファイルに代表されるようなセッション情報を含むセッションデータを管理するための技術に関する。

クッキーは、Ｗｅｂサーバを訪問したクライアントＰＣ（Personal Computer）などの情報処理装置に、Ｗｅｂサーバ側で生成したセッションデータを保存することを可能にする技術であり、ショッピングサイトなどで多く利用されている。このセッションデータは、クライアントＰＣとＷｅｂサーバとの間の通信状態を表すセッション情報を含んでおり、通常は、クッキーファイルとして、クライアントＰＣの記憶媒体に保存される。現在では、多くのブラウザがクッキーに対応している。

クッキーファイルとして保存されるセッション情報の内容には様々なものがある。代表的な例として、Ｗｅｂサイトの訪問回数、認証が必要なページのユーザＩＤ及びパスワード、ショッピングページなどでユーザが選択した商品の情報、クッキーファイルの有効期限、クッキーファイルを発行したＷｅｂサーバのドメイン情報などがある。
クッキーの詳細な仕様は、“http://wp.netscape.com/newsref/std/cookie_space.html”に「PERSISTENT CLIENT STATE HTTP COOKIES」として公開されている。

クッキーファイルは、クライアントＰＣとＷｅｂサーバとの間の通信が遮断されても一定期間記憶される。そのため、次に通信を開始しようとするときに、クッキーファイルにより前回の通信状態を復元できるというメリットがある。具体的には、認証ページのＩＤ、パスワード入力が初回ログイン時のみ必要で、２回目からは不要になるといったメリットがある。また、ショッピングページにおける買い物途中の商品選択情報が次回のログイン時にも保存されており、最初から商品を選択し直す手間が省けるといった利点もある。

しかし、クッキーファイルの管理が適切に行われないと、セキュリティ上の問題が発生する。例えば、クッキーファイルにはユーザＩＤやパスワードなどの個人情報が含まれているため、これらの情報が漏洩すると他人になりすまされる危険性がある。ショッピングページなどを利用した後にクッキーファイルが漏洩した場合には、買い物をした内容が他人に知られてしまう可能性もある。クッキーファイルが漏洩する主な経路として、（１）ＷｅｂサーバとクライアントＰＣとの間の盗聴、（２）クライアントＰＣ上に保管されたクッキーファイルの何等かの手段による漏洩、（３）クライアントＰＣそのものの盗難、の３通りが考えられる。

これらの漏洩経路のうち（１）については、サーバ側でクッキーファイルのパラメータの一つである「Secure」情報をクッキーファイルに記述することで解決される。「Secure」情報を記述することで、クッキーファイルはＳＳＬ（Secure Socket Layer）により暗号化された通信経路以外では送受信されなくなるために、盗聴を防止することが可能になる。

（２）、（３）を解決する手法として、例えば特開平１１−９８１３４号公報（発明の名称：クッキーの改ざん・コピー検出処理方法およびプログラム記録媒体）に開示される発明が提案されている。この発明では、Ｗｅｂサーバ側でクッキーファイルを暗号化することにより、クッキーファイルの改ざんを検出したり、不正利用を防止する。
特開平１１−９８１３４号公報

特許文献１の発明では、Ｗｅｂサーバ側でクッキーファイルの暗号化を行うが、すべてのＷｅｂサーバをクッキーファイルの暗号化に対応させることは困難である。ユーザが暗号化に対応したＷｅｂサーバのみしか利用しないということも考えにくい。そのために、クッキーファイルの暗号化に対応していないＷｅｂサーバが発行するクッキーファイルも安全に管理する技術が必要となる。

本発明は、上記の問題に鑑み、どのようなＷｅｂサーバが発行するクッキーファイルであっても、安全に管理することが可能な情報処理装置、管理方法、及びコンピュータプログラムを提供することを主たる課題とする。

本発明では、例えばクライアントＰＣ側でクッキーファイルを暗号化することにより、上記の（２）、（３）の問題の解決を図る。

このような本発明の情報処理装置は、通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得する通信手段と、前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせ、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段と、前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記セッションデータを暗号化し、暗号化されたセッションデータを所定の記憶媒体に記憶する暗号化手段と、前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記記憶媒体に記憶されている暗号化されたセッションデータを復号する復号手段と、を備え、復号したセッションデータを前記サーバに送信する。
「使用可データ」は、使用可能であることを表すデータであり、「使用不可データ」は使用ができないことを表すデータである。これらの２種類のデータは、例えば電子鍵を特定したうえでそれの使用可否の問い合わせデータをもとに外部管理装置が生成する。

このように構成される情報処理装置では、従来と異なり、情報処理装置側でセッションデータの暗号化を行う。セッションデータは、暗号化されているために、何等かの原因によりセッションデータが流出した場合でも不正に使用されることはない。また、暗号化のための電子鍵は、情報処理装置外からの使用可データ、使用不可データにより有効化、無効化が行われる。そのために、情報処理装置自体が盗難にあった場合でも、電子鍵を無効化しておけばセッションデータを不正に使用されることはない。使用可データ、使用不可データは、セッションデータの暗号化、復号を行う度に受け取るようにすると、セッションデータのセキュリティ性が、より向上する。セッションデータは、例えばクッキーファイルである。

本発明の情報処理装置は、前記サーバが複数存在している場合において、これらのサーバのうち前記セッションデータの取得を許可するサーバを示す第１リスト及び／又は暗号化された前記セッションデータを復号して送信することができるサーバを示す第２リストを保存するリスト保存部を備える構成であってもよい。このような構成では、前記暗号化手段が、前記第１リストが示すサーバからのセッションデータのみを暗号化して、許可されないサーバからのセッションデータを削除し、前記復号手段が、前記第２リストが示すサーバへの暗号化されたセッションデータのみを復号して、許可されないサーバへの暗号化されたセッションデータを前記記憶媒体から削除する。
クッキーにはトラッキングクッキーのように、ユーザ情報を収集してユーザが気づかないうちにＷｅｂサーバにその情報を送ると行った悪意のあるものもある。このような場合には、ユーザが気づかないうちにクッキーファイルが送受信されることを防止するために、暗号化処理・復号処理の実行を個々に判断する必要がある。そのために第１リスト、第２リストを参照して、トラッキングクッキーのような悪質なクッキーのＷｅｂサーバについては、そのクッキーファイルを削除する。

本発明の情報処理装置において、前記セッションデータに、暗号化の要否を示す情報が含まれている場合には、この暗号化の要否を示す前記情報及び／又は前記第１リストを参照することにより、前記セッションデータの暗号化の可否を判定して、暗号化が許可された場合に前記暗号化手段による当該セッションデータの暗号化を許可する暗号化可否判定手段を更に備えてもよい。暗号化の要否を示す情報とは、セッションデータがクッキーファイルの場合には、例えば「expire」フィールドのような情報を用いることができる。
また、本発明の情報処理装置は、前記第２リストを参照することにより、暗号化された前記セッションデータの復号の可否を判定して、復号が許可された場合に前記復号手段による暗号化された当該セッションデータの復号を許可する復号可否判定手段と、を更に備えてもよい。
このような構成の情報処理装置では、サーバから取得するすべてのセッションデータについての暗号化処理、記憶媒体に記憶されるすべての暗号化されたセッションデータについての復号処理が必要なくなる。暗号化処理・復号処理は情報処理装置にとって負荷となるが、このような構成では、暗号化処理・復号処理による負荷を減らすことができる。例えば、１セッション限りで無効となるような有効期限の設定されていないセッションデータに関しては、暗号化処理を行う必要がない。このようなセッションデータは、暗号化が不要と判断して、暗号化を行わずに済ませることができる。また、送信不要と判定された暗号化されたセッションデータについての復号処理を行う必要がなくなる。

本発明の管理方法は、通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得するとともに、前記セッションデータを暗号化するための電子鍵を有する情報処理装置により実行される方法である。この管理方法は、前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせる段階と、問い合わせに応じて、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段と、前記サーバからの新規の前記セッションデータの取得及び取得した前記セッションデータの前記サーバへの送信要求を監視する段階と、前記サーバからの新規の前記セッションデータの取得があり且つ前記電子鍵が有効化されている場合に、当該セッションデータを暗号化する段階と、前記サーバへの取得したセッションデータの送信要求があり且つ前記電子鍵が有効化されている場合に、暗号化された当該セッションデータを復号して、当該サーバに送信する段階とを含む。

本発明のコンピュータプログラムは、コンピュータを、通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得する通信手段、前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせ、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段、前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記セッションデータを暗号化する暗号化手段、前記電子鍵管理手段により前記電子鍵が有効化されている場合に、暗号化された前記セッションデータを復号する復号手段、として機能させ、復号したセッションデータを前記サーバに送信させるためのコンピュータプログラムである。

以上のような本発明によれば、情報処理装置でセッションデータの暗号化／復号を行うことにより、セッションデータを安全且つ効率的に管理することができるようになる。

以下、本発明の実施形態を図面を参照して説明する。

図１は、このような本発明の実施形態のクッキーファイルを管理する情報処理装置を備えたシステムを説明するための構成図である。このシステムは、セッションデータであるクッキーファイルを管理する情報処理装置としてのクライアントＰＣ１及び外部管理装置としてのライフサイクル管理サーバ２により構成される。クライアントＰＣ１は、インターネットなどのネットワークＬを介して、図示しない通信手段によりＷｅｂサーバ３との間で通信できるようになる。

図１では、クライアントＰＣ１及びＷｅｂサーバ３を１つずつ図示しているが、これらはネットワークＬ上にそれぞれ複数設けられていてもよい。この場合、Ｗｅｂサーバ３は、複数のクライアントＰＣ１との間でネットワークＬを介して通信可能となる。
また、ライフサイクル管理サーバ２が、複数のクライアントＰＣ１と通信可能に接続されてもよい。例えば、複数のクライアントＰＣ１がネットワークＬとは別のＬＡＮ（Local Area Network）により接続されている場合に、このＬＡＮ上にライフサイクル管理サーバ２を設けて、ＬＡＮ上のすべてのクライアントＰＣ１と通信可能にしてもよい。また、ライフサイクル管理サーバ２をネットワークＬ上に設け、ネットワークＬを介して複数のクライアントＰＣ１と接続されるようにしてもよい。

Ｗｅｂサーバ３は、クッキーファイルを生成する通常のＷｅｂサーバであり、従来から用いられているものと同様である。Ｗｅｂサーバ３は、クライアントＰＣ１からアクセスされると、当該アクセスによるセッション情報を含んだクッキーファイルを生成して当該クライアントＰＣ１に送信する。また、クライアントＰＣ１が既にＷｅｂサーバ３により生成されたクッキーファイルを有しており、クライアントＰＣ１がＷｅｂサーバ３にアクセスする際にこれを送信する場合には、当該クッキーファイルを受信する。

クライアントＰＣ１は、暗号化されたクッキーファイルを記憶するための記憶媒体２０の他に、耐タンパチップであるＴＰＭ（Trusted Platform Module）３０及びこのＴＰＭ３０を操作するためのクッキーファイル管理部１０を備えた情報処理装置である。記憶媒体２０は、例えばハードディスク等のメモリである。
ＴＰＭ３０は、クライアントＰＣ１のメインボードに実装される半導体装置であり、主に、プラットフォームの正当性証明、データの暗号化、電子鍵及び電子証明書の安全な保管などを行う。クッキーファイル管理部１０により、記憶媒体２０に記憶される暗号化されたクッキーファイルの管理を行う。なお、この実施形態では、ＴＰＭ３０に電子鍵を保管するが、必ずしもＴＰＭ３０に保管する必要はなく、ＴＰＭ３０を備えない情報処理装置を用いる場合には、当該情報処理装置の記憶領域に保管するようにしてもよい。また、必要なときに、その都度他の情報処理装置、ライフサイクル管理サーバ２などから電子鍵を取得するようにしてもよい。

図２は、記憶媒体２０に記憶される暗号化されたクッキーファイルを管理するためのテーブルの例示図である。暗号化されたクッキーファイルが、その取得元のＷｅｂサーバ３のドメインに関連付けされて管理される。クッキーファイルが記憶媒体２０に記憶或いは削除されると、このテーブルが更新される。

クッキーファイル管理部１０は、ライフサイクル管理サーバ２との間で通信を行い、ライフサイクル管理サーバ２からの命令のＴＰＭ３０への通知、クライアントＰＣ１の状態のライフサイクル管理サーバ３への通知を行う。クッキーファイル管理部１０の動作は、ライフサイクル管理サーバ２によって管理されており、クライアントＰＣ１の利用者がクッキーファイル管理部１０の動作の制御、クッキーファイル管理部１０とライフサイクル管理サーバ２との間の通信内容の改ざんを行えないようになっている。このようなクッキーファイル管理部１０は、暗号化可否判定部１１、暗号化部１２、復号可否判定部１３、復号部１４、監視部１５、及び電子鍵管理部１６を備えている。クッキーファイル管理部１０のこれらの構成要素は、ミドルウェアなどのソフトウェアとして実現されてもよく、また、半導体装置などを用いてハードウェアとして実現されてもよい。

暗号化可否判定部１１は、Ｗｅｂサーバ３から受信したクッキーファイルを暗号化するか否かを判定する。例えば受信したクッキーファイルの「expire」フィールドに値が設定されていない場合、暗号化可否判定部１１は、当該クッキーファイルは１セッション限りのテンポラリクッキーであり暗号化は不要であると判断する。また、受信したクッキーファイルのドメイン名をライフサイクル管理サーバ２が管理するＵＲＬ（Uniform Resource Locator）リストと比較して、受信禁止のＷｅｂサーバ３からのクッキーファイルである場合には、クッキーファイルを暗号化せずに削除（或いは拒否）する。

暗号化部１２は、暗号化可否判定部１１の判定結果に応じて、暗号化を許可されたクッキーファイルを暗号化して記憶媒体２０に記憶する。暗号化部１２は、受信したクッキーファイルをＴＰＭ３０の電子鍵を用いて暗号化する。

復号可否判定部１３は、Ｗｅｂサーバ３への送信対象となっている暗号化されたクッキーファイルを、復号するか否かを判定する。復号の対象となっているクッキーファイルのドメイン名をライフサイクル管理サーバ２が管理するＵＲＬリストと比較して、送信禁止のクッキーファイルである場合にはクッキーファイルを復号せずに削除する。

復号部１４は、復号可否判定部１３の判定結果に応じて、復号を許可されたクッキーファイルを復号して記憶媒体２０に記憶する。復号部１４は、暗号化されたクッキーファイルをＴＰＭ３０の電子鍵を用いて復号する。

監視部１５は、クライアントＰＣ１の特定領域を監視しており、新規のクッキーファイルの保存及びクッキーファイルの送信要求の監視を行う。また、イベント発生時に一旦当該イベントの処理をフックして暗号化可否判定部１１、復号可否判定部１３に処理を引き渡す。

電子鍵管理部１６は、ライフサイクル管理サーバ２に電子鍵の使用の可否を問い合わせ、使用可データとして「電子鍵使用可」メッセージ或いは使用不可データとして「電子鍵使用不可」メッセージ を受信してＴＰＭ３０内の電子鍵の有効化処理、無効化処理を行う。電子鍵の使用の可否を問い合わせは、クッキーファイルの保存及びクッキーファイルの送信要求がある度に行う。

ライフサイクル管理サーバ２は、暗号化対象或いは暗号化対象外のクッキーファイルのドメイン情報を表すＵＲＬリストを保持するためのＵＲＬリスト保存部２１を備えており、これを管理する。また、クライアントＰＣ１内の電子鍵を有効化、無効化を行うための「電子鍵使用可」メッセージ或いは「電子鍵使用不可」メッセージを、電子鍵管理部１６の問い合わせに応じて、電子鍵管理部１６へ送信する。

図３は、ＵＲＬリスト保存部２１に保存されるＵＲＬリストの例示図である。このＵＲＬリストには、クッキーファイルの送受信を拒否するドメインが記述されている。なお、これとは逆に、クッキーファイルの送受信を容認するドメインを記述したリストも、ＵＲＬリストとして用いることができる。また、ＵＲＬリストは、送信用、受信用それぞれ分けて設けてもよく、１つにまとめて記述してもよい。
図１では、ＵＲＬリスト保存部１２がライフサイクル管理サーバ２に設けられているが、これは、クライアントＰＣ１に設けられていてもよい。また、クライアントＰＣ１或いはライフサイクル管理サーバ２からアクセス可能な場所に、これらとは独立して設けられていてもよい。

ライフサイクル管理サーバ２は、電子鍵の有効化・無効化を、例えば、フラグにより管理する。電子鍵の有効化・無効化は、ライフサイクル管理サーバ２の管理者により設定される。例えば、クライアントＰＣ１が盗難にあった場合には、ユーザからの申告を受けて、ライフサイクル管理サーバ２の管理者が、当該クライアントＰＣ１の電子鍵を無効になるように設定する。クライアントＰＣ１内の電子鍵を使用する場合には、当該クライアントＰＣ１のユーザが、ライフサイクル管理サーバ２の管理者に対して電子鍵の使用許可を得る必要がある。そのために、クライアントＰＣ１がライフサイクル管理サーバ２と通信不能な環境にある場合には、たとえ電子鍵が有効であっても、その電子鍵が使用できないことになる。

もし、クライアントＰＣ１が盗難にあって、盗難者が当該クライアントＰＣ１を使用しても、クライアントＰＣ１がライフサイクル管理サーバ２にアクセス不能な場合には電子鍵が使用できない。そのためにクッキーファイルの不正利用ができない。また、クライアントＰＣ１がライフサイクル管理サーバ２にアクセス可能な場合には、電子鍵が無効に設定されているためにクッキーファイルの不正利用ができない。

＜暗号化処理手順１＞
クッキーファイルの暗号化処理が実施される場合について説明する。図４は、この場合の暗号化処理の処理手順図である。

クッキーファイル管理部１０は、監視部１５によりクライアントＰＣ１のＨＴＴＰコネクションを監視しており、新規にクッキーファイルを保存したり、保存済みのクッキーファイルを送信しようとする場合には、それを検知するようになっている。
この状態でクライアントＰＣ１からアクセス履歴のないＷｅｂサーバ３へアクセスを行うと、当該Ｗｅｂサーバ３でクッキーファイルが生成される。

Ｗｅｂサーバ３で生成されたクッキーファイルは、クライアントＰＣ１に送信される。送信されたクッキーファイルは、クライアントＰＣ１で記憶媒体２０に記憶される。クッキーファイル管理部１０は、監視部１５によりクッキーファイルが保存されたことを検知すると、電子鍵管理部１６により当該クライアントＰＣ１のＴＰＭ３０を一意に定めるデータ（「ＴＰＭ＿ＩＤ」という）をライフサイクル管理サーバ２に送信する。

ライフサイクル管理サーバ２は、クッキーファイル管理部１０から送信されるＴＰＭ＿ＩＤから当該ＴＰＭの状態を検索する。このとき、当該ＴＰＭがクライアントＰＣ１の盗難などにより利用不可になっている場合には、「電子鍵使用不可」メッセージを当該クッキーファイル管理部１０に送信する。利用可能である場合には、「電子鍵使用可」メッセージを当該クッキーファイル管理部１０に送信する。

「電子鍵使用可」メッセージを受信したクッキーファイル管理部１０は、次に、暗号化可否判定部１１により当該クッキーファイルの「expire」フィールドをチェックして、クッキーファイルに有効期限が設定されているか否かを確認する。適切な有効期限が設定されている場合に暗号化可否判定部１１は、暗号化可能と判断して、ＵＲＬリストチェックを行う。ＵＲＬリストチェックは、クッキーファイルのドメイン情報がＵＲＬリスト保存部２１に保存されたＵＲＬリストにあるか否かを確認することで行われる。

ＵＲＬリストチェックの結果、クッキーファイルが受信許可である場合には、暗号化部１２がその結果に応じて、当該クッキーファイルを暗号化して記憶媒体２０に記憶する。この際、クッキーファイルを適切に復元することが可能なように、暗号化されたクッキーファイルとドメイン情報とを、図２のようなテーブルとして保存する。

＜暗号化処理手順２＞
クッキーファイルの暗号化処理が実施されない場合の手順を説明する。図５は、この場合の処理手順図である。
クッキーファイル管理部１０が「電子鍵使用可」メッセージを受信するまでの処理は、図４のクッキーファイルの暗号化処理と同様であるので、説明を省略する。クッキーファイル管理部１０は、「電子鍵使用可」メッセージを受信すると、暗号化可否判定部１１により当該クッキーファイルの「expire」フィールドをチェックして、クッキーファイルに有効期限が設定されているか否かを確認する。「expire」フィールドに有効期限が設定されていない場合には、クッキーファイルの暗号化処理が不要であるため、クッキーファイル管理部１０は、そのままクッキーファイルを記憶媒体２０に記憶しておく。
このような処理では、クッキーファイルの暗号化処理の回数を削減することができるので、クライアントＰＣ１の処理負荷を低減することができる。

＜暗号化処理手順３＞
クッキーファイルを、暗号化処理を行わずに削除する場合の手順を説明する。図６は、この場合の処理手順図である。
クッキーファイル管理部１０が暗号化可否判定部１１によりＵＲＬリストチェックを行う処理までは、図４のクッキーファイルの暗号化処理と同様であるので、説明を省略する。ＵＲＬリストチェックの結果、当該クッキーファイルのドメイン情報とライフサイクル管理サーバ２で管理するＵＲＬリストとにより、当該クッキーファイルが受信拒否である場合には、不正なクッキーファイルと判断して削除する。
このような処理では、クッキーファイルの暗号化処理の回数を削減することができるので、クライアントＰＣ１の処理負荷を低減することができる。また、不正なクッキーファイルを排除することができるようになる。

＜復号処理手順１＞
クッキーファイルの復号処理が実施される場合について説明する。図７は、この場合の復号処理の処理手順図である。

クッキーファイル管理部１０は、監視部１５によりクライアントＰＣ１のＨＴＴＰコネクションを監視しており、新規にクッキーファイルを保存したり、保存済みのクッキーファイルを送信しようとする場合には、それを検知するようになっている。
この状態から、クライアントＰＣ１がＷｅｂ４サーバにアクセスする。このＷｅｂサーバ３には過去にアクセスしたことがあり、当該Ｗｅｂサーバ３により生成されたクッキーファイルが、暗号化されてクライアントＰＣ１の記憶媒体２０に記憶されている。そのために、Ｗｅｂサーバ３にクライアントＰＣ１がアクセスする際に、クライアントＰＣ１は、当該クッキーファイルを復号してＷｅｂサーバ３に送信しようとする。

監視部１５は、保存済みのクッキーファイルの送信を検知して、送信処理を一時的にフックする。また、クッキーファイル管理部１０は、監視部１５によりクッキーファイルの送信を検知すると、電子鍵管理部１６により当該クライアントＰＣ１のＴＰＭ＿ＩＤをライフサイクル管理サーバ２に送信する。

ライフサイクル管理サーバ２は、クッキーファイル管理部１０から送信されるＴＰＭ＿ＩＤから当該ＴＰＭの状態を検索する。このとき、当該ＴＰＭがクライアントＰＣ１の盗難などにより利用不可になっている場合には、「電子鍵使用不可」メッセージを当該クッキーファイル管理部１０に送信する。利用可能である場合には、「電子鍵使用可」メッセージを当該クッキーファイル管理部１０に送信する。

「電子鍵使用可」メッセージを受信したクッキーファイル管理部１０は、次に、復号可否判定部１３により、ＵＲＬリストチェックを行う。ＵＲＬリストチェックは、クッキーファイルのドメイン情報がＵＲＬリスト保存部２１に保存されたＵＲＬリストにあるか否かを確認することで行われる。

ＵＲＬリストチェックの結果、クッキーファイルが送信許可である場合には、復号部１４がその結果に応じて、記憶媒体２０に記憶されたの当該クッキーファイルを復号する。復号されたクッキーファイルは、Ｗｅｂサーバ３に送信される。

このような処理では、クッキーファイルが暗号化されて記憶媒体２０に記憶され、送信される直前に復号されるので、保存されているクッキーファイルが何等かの原因で漏洩した場合でも、クッキーファイルの不正利用を防止することができる。

＜復号処理手順２＞
クッキーファイルの復号処理が実行できない場合がある。図８は、この場合の処理手順図である。
ライフサイクル管理サーバ２が、クッキーファイル管理部１０から送信されるＴＰＭ＿ＩＤにより当該ＴＰＭの状態を検索するまでの処理は、図７のクッキーファイルの復号処理の処理手順と同様となるので、説明を省略する。
ライフサイクル管理サーバ２が、ＴＰＭ状態の検索の結果「電子鍵使用不可」メッセージをクッキーファイル管理部１０に送信すると、これを受けたクッキーファイル管理部１０は、電子鍵が使用不可になるために、当該クッキーファイルを復号することができない。

このように、クッキーファイルを復号するための電子鍵の使用可否がライフサイクル管理サーバ２に委ねられているために、例えばクライアントＰＣ１が盗難に遭った場合でも、クッキーファイルを不正に使用されることを防止できる。

＜復号処理手順３＞
クッキーファイルを、復号処理を行わずに削除する場合について説明する。図９は、この場合の処理手順図である。
クッキーファイル管理部１０が復号可否判定部１３によりＵＲＬリストチェックを行う処理までは、図７のクッキーファイルの復号処理と同様となるので、説明を省略する。
ＵＲＬリストチェックの結果、当該クッキーファイルのドメイン情報とライフサイクル管理サーバ２で管理するＵＲＬリストとにより、当該クッキーファイルが送信拒否である場合には、不正なクッキーファイルと判断して削除する。

ＵＲＬリストファイルのＵＲＬリストの内容は、随時更新されており、クッキーファイルの受信時に登録されていなかった拒否ドメインが、クッキーファイルの送信時には登録されていることもあり得る。そのために、拒否ドメインのチェックは、クッキーファイルの受信時と送信時の２回必要になる。このようにすることで、クッキーファイルの受信時から送信時までの短い間に、クッキーファイルが外部に漏洩しても、暗号化によりクッキー情報を保護することができる。また、最終的に削除されるクッキーファイルであっても、その中にはユーザ情報が含まれている可能性もあり、クライアントＰＣ１内で暗号化して保護しておくことが必要となる。

以上のような処理では、クライアントＰＣ１側でクッキーファイルの暗号化処理を行う。そのために、どのようなＷｅｂサーバのクッキーファイルに対応することが可能になる。また、クライアントＰＣ１内でクッキーファイルは暗号化されて保存されるために、何等かの原因によりクッキーファイルが外部に漏洩した場合したり、クライアントＰＣ１が盗難に遭った場合でも、クッキーファイルの不正利用を防止することができる。さらに、クッキーファイルの内容に応じて暗号化処理・復号処理を実施するか否かを判断するために、処理にかかる負荷を低減することができる。

従来は、Ｗｅｂサーバ３側でクッキーファイルの暗号化を行っており、Ｗｅｂサーバ３からクライアントＰＣ１への送信時におけるクッキーファイルの漏洩を防止することを目的としている。これに対して上記の実施形態では、クッキーファイルの暗号化・復号をクライアントＰＣ１側で行うことで、クライアントＰＣ１の盗難や不正利用によるクッキーファイルの漏洩を防止するものとなっている。

クッキーファイルを管理する情報処理装置を含むシステムを説明するための構成図。 暗号化されたクッキーファイルを管理するためのテーブルの例示図。 ＵＲＬリストの例示図。 クッキーファイルの暗号化処理の処理手順図。 クッキーファイルの暗号化処理が実施されない場合の処理手順図。 クッキーファイルを、暗号化処理を行わずに削除する場合の処理手順図。 クッキーファイルの復号処理の処理手順図。 クッキーファイルの暗号化処理が実行できない場合の処理手順図。 クッキーファイルを、復号処理を行わずに削除する場合の処理手順図。

符号の説明

１ クライアントＰＣ
１０ クッキーファイル管理部
１１ 暗号化可否判定部
１２ 暗号化部
１３ 復号可否判定部
１４ 復号部
１５ 監視部
１６ 電子鍵管理部
２０ 記憶媒体
３０ ＴＰＭ
２ ライフサイクル管理サーバ
２１ ＵＲＬリスト保存部
３ Ｗｅｂサーバ

Claims (6)

1. 通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得する通信手段と、
   前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせ、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段と、
   前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記セッションデータを暗号化し、暗号化されたセッションデータを所定の記憶媒体に記憶する暗号化手段と、
   前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記記憶媒体に記憶されている暗号化されたセッションデータを復号する復号手段と、を備え、
   復号したセッションデータを前記サーバに送信する、
   情報処理装置。
2. 前記サーバが複数存在する場合に、これらのサーバのうち、前記セッションデータの取得を許可するサーバを示す第１リスト及び／又は暗号化された前記セッションデータを復号して送信することができるサーバを示す第２リストを保存するリスト保存部を備えており、
   前記暗号化手段は、前記第１リストが示すサーバからのセッションデータのみを暗号化して、許可されないサーバからのセッションデータを削除するものであり、
   前記復号手段は、前記第２リストが示すサーバへの暗号化されたセッションデータのみを復号して、許可されないサーバへの暗号化されたセッションデータを前記記憶媒体から削除する、
   請求項１記載の情報処理装置。
3. 前記セッションデータには、暗号化の要否を示す情報が含まれており、
   この暗号化の要否を示す前記情報及び／又は前記第１リストを参照することにより、前記セッションデータの暗号化の可否を判定して、暗号化が許可された場合に前記暗号化手段による当該セッションデータの暗号化を許可する暗号化可否判定手段を更に備える、
   請求項２記載の情報処理装置。
4. 前記第２リストを参照することにより、暗号化された前記セッションデータの復号の可否を判定して、復号が許可された場合に前記復号手段による暗号化された当該セッションデータの復号を許可する復号可否判定手段と、を更に備える、
   請求項２記載の情報処理装置。
5. 通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得するとともに、前記セッションデータを暗号化するための電子鍵を有する情報処理装置により実行される方法であって、
   前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせる段階と、
   問い合わせに応じて、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段と、
   前記サーバからの新規の前記セッションデータの取得及び取得した前記セッションデータの前記サーバへの送信要求を監視する段階と、
   前記サーバからの新規の前記セッションデータの取得があり且つ前記電子鍵が有効化されている場合に、当該セッションデータを暗号化する段階と、
   前記サーバへの取得したセッションデータの送信要求があり且つ前記電子鍵が有効化されている場合に、暗号化された当該セッションデータを復号し、復号したセッションデータを当該サーバに送信する段階と、を含む、
   管理方法。
6. コンピュータを、
   通信状態を表すセッション情報を含んだセッションデータを生成するサーバから通信時に当該通信に関する前記セッションデータを取得する通信手段、
   前記セッションデータを暗号化及び復号するための電子鍵の使用可否を表すデータを記憶する所定の外部管理装置に前記電子鍵の使用の可否を問い合わせ、当該外部管理装置から、使用可データを受け取ったときに当該電子鍵を有効化し、使用不可データを受け取ったときに当該電子鍵を無効化する電子鍵管理手段、
   前記電子鍵管理手段により前記電子鍵が有効化されている場合に、前記セッションデータを暗号化する暗号化手段、
   前記電子鍵管理手段により前記電子鍵が有効化されている場合に、暗号化された前記セッションデータを復号する復号手段、
   として機能させ、復号したセッションデータを前記サーバに送信させるためのコンピュータプログラム。

Images