JP5293070B2 - ネットワーク対応画像形成装置及びプログラム - Google Patents

Description

本発明は、ネットワークを介して外部装置と暗号通信を行うネットワーク対応画像形成装置およびプログラムに関する。

従来、ネットワーク対応画像形成装置（例えば、デジタル複合機等）では、ネットワークを介して他の端末装置より印刷要求を受け付けるネットワーク印刷機能などの画像形成機能と、ネットワークを介して装置を操作する管理者ユーザおよび登録ユーザを認証するユーザ認証機能を備えるとともに、ネットワーク上をやりとりする情報を秘匿するために、暗号通信機能を備えている。

この暗号通信機能としては、例えば、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）通信プロトコルや、ＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ）などが適用することができる。ＳＳＬは、アプリケーション層／トランスポート層の暗号通信プロトコルであり、また、ＩＰｓｅｃはインターネット層でパケットをカプセル暗号化する方式であり、上位層アプリケーションに依存しない暗号通信が可能であり、適用範囲が広い。

しかしながら、ＳＳＬ通信プロトコルは、Ｗｅｂアプリケーションのように、インターネットにおける不特定多数の通信相手を想定した技術であり、そのため、確実な認証を実現するためにはＰＫＩ（公開鍵基盤）をベースとした複雑なシステムを構築する必要があるという実情がある。

また、ＩＰｓｅｃは、ＩＰｓｅｃ専用の装置やソフトウェアが必要であり、そのため、導入コスト／運用コストが高くなるという問題がある。

そこで、ネットワーク対応画像形成装置では、例えば、特許文献１のように、暗号通信として、ＳＳＨ（Ｓｅｃｕｒｅ ＳＨｅｌｌ）が利用されることが多い。ＳＳＨは、ＳＳＬ通信プロトコルと同様にアプリケーション層／トランスポート層の暗号通信プロトコルであり、当初はｒｌｏｇｉｎ、ｒｓｈ等のＵＮＩＸ（登録商標）系コマンドやＴｅｌｎｅｔ等の通信を安全に行うための手段として使用されていたが、現在ではＦＴＰ／ＰＯＰ３等、暗号化機能を持たないプロトコルを安全に使用する技術として広く利用されるようになっている。

このＳＳＨは、基本的にイントラネット内の通信相手を想定したプロトコルであることからＳＳＬで使われるＰＫＩは不要であり、導入コストおよび運用コストはＳＳＬやＩＰｓｅｃと比べて少なく済む利点がある。
特開２００７−１５７００８号公報

ところで、ＳＳＨを利用して暗号通信する場合、悪意のユーザによるなりすましを防止するための機能として、ＳＳＨフィンガープリンティング（指紋）を利用することがあげられる。

このＳＳＨフィンガープリンティングは、例えば、ネットワーク対応画像形成装置に導入されているＳＳＨサーバが、ＳＳＨ公開鍵の鍵ペア（秘密鍵、および、公開鍵）を生成する際に同時に生成されるものであり、通常、生成された公開鍵データに所定のハッシュ関数を適用して生成される。

そして、システムの管理者ユーザは、このＳＳＨフィンガープリンティングを印刷した印刷物を、システムの登録ユーザにおのおの配布する。

それにより、登録ユーザは、ネットワーク対応画像形成装置の諸機能を利用する際、ＳＳＨ暗号通信対応のアプリケーションが表示するＳＳＨサーバから受信したＳＳＨフィンガープリンティングの内容と、管理者ユーザより配布された印刷物に記録されたＳＳＨフィンガープリンティングの内容を照合することで、正常にネットワーク対応画像形成装置と接続されていることを確認することができ、その結果、なりすましの行為の被害に遭遇することを未然に防止することができる。

ところが、このような運用を行うに当たって、システムの管理者ユーザは、ＳＳＨ公開鍵を新たに生成するたびに、ＳＳＨフィンガープリンティングの印刷物を、その都度配布する必要があり、管理者ユーザの作業負担が大きいという不具合を生じていた。特にアクセスユーザが多数存在する場合、人事異動等でアクセスユーザが頻繁に変更される場合、あるいは、セキュリティ観点から公開鍵変更を短い期間で実施する場合等には管理者の作業負荷はかなり大きくなってしまう。

なお、特許文献１では、例えば、ＵＳＢインターフェイス経由でＳＳＨ公開鍵を事前に交換する方式を採用しているために、ＳＳＨフィンガープリンティング確認無しに中間者攻撃（図７参照；後述）を防ぐことが可能であるが、ＵＳＢ接続トポロジ仕様の関係でＳＳＨサーバ（ＵＳＢデバイス）とＳＳＨクライアント（ＵＳＢホスト）を１対１で繋いだ状態にする必要があることから、事前認証するＳＳＨクライアント数と同じ回数の繋ぎ換えが必要であり、非常に大きな作業負荷が発生するという不具合がある。

本発明は、かかる実情に鑑みてなされたものであり、ネットワーク対応画像形成装置の管理者ユーザの作業負担を軽減することができるネットワーク対応画像形成装置およびその制御方法、および、プログラムを提供すること目的とする。

本発明は、ネットワークを介して外部装置と暗号通信を行う第１の通信手段を有するネットワーク対応画像形成装置において、上記暗号通信に必要な鍵データを生成し、その生成した鍵データに基づいて、その鍵データを記憶する装置を確認するための確認用データを生成するデータ生成手段と、外部装置から上記暗号通信の要求があると、上記データ生成手段が生成した確認用データを要求元の外部装置に送信する第１の確認用データ送信手段と、上記第１の通信手段と異なる第２の通信手段を介してユーザの認証処理を行うユーザ認証手段と、上記ユーザ認証手段によるユーザの認証が成功した場合に上記データ生成手段が生成した確認用データを上記第２の通信手段を介して上記外部装置に送信する第２の確認用データ送信手段とを設けたものである。
このようなネットワーク対応画像形成装置において、上記第１の通信手段をＳＳＨにより通信を行う手段とし、上記第２の通信手段をＷｅｂブラウザからのアクセスを受け付ける手段とし、上記確認用データをＳＳＨフィンガープリントデータとするとよい。

また、この発明のプログラムは、コンピュータを、ネットワークを介して外部装置と暗号通信を行う第１の通信手段と、上記暗号通信に必要な鍵データを生成し、その生成した鍵データに基づいて、その鍵データを記憶する装置を確認するための確認用データを生成するデータ生成手段と、外部装置から上記暗号通信の要求があると、上記データ生成手段が生成した確認用データを要求元の外部装置に送信する第１の確認用データ送信手段と、上記第１の通信手段と異なる第２の通信手段を介してユーザの認証処理を行うユーザ認証手段と、上記ユーザ認証手段によるユーザの認証が成功した場合に上記データ生成手段が生成した確認用データを上記第２の通信手段を介して上記外部装置に送信する第２の確認用データ送信手段として機能させるためのプログラムである。

したがって、本発明によれば、ＳＳＨフィンガープリンティングデータが、ネットワーク対応画像形成装置から登録ユーザが操作する端末に配布されるので、管理者ユーザがＳＳＨフィンガープリンティングの印刷物を作成して配布する等の作業をなくすことができ、管理者ユーザの作業負担を大幅に軽減することができる。

以下、添付図面を参照しながら、本発明の実施の形態を詳細に説明する。

図１は、本発明の一実施例にかかる通信システムの一例を示している。

この通信システムは、イントラネットＮＴに接続された管理者端末装置ＭＭ、一般ユーザ端末装置ＵＵ、および、ネットワーク対応複合機ＭＦＰから構成されている。

管理者端末装置ＭＭは、この通信システムに登録された管理者ユーザに操作されるものであり、ネットワーク対応複合機ＭＦＰに対する保守管理などの操作を行うとともに、ＳＳＨ通信に関する設定操作などを行うためのものであり、一般的なコンピュータシステムにより実現することができる（詳細説明は省略する）。

一般ユーザ端末装置ＵＵは、この通信システムに登録された一般ユーザに操作されるものであり、ネットワーク対応複合機ＭＦＰに対して、リモート印刷機能などのサービスを要求するものであり、一般的なコンピュータシステムにより実現することができる（詳細説明は省略する）。

ネットワーク対応複合機ＭＦＰは、Ｗｅｂサーバ機能／プリントサーバ機能／文書サーバ機能／ＳＳＨサーバ機能を備えている。Ｗｅｂサーバには、デジタル複合機の管理者がユーザ認証／ネットワーク設定／セキュリティ設定等の変更を実施するメニューや一般ユーザが文書サーバに保管された文書操作を実施するメニュー等が設けられており、管理者或いは一般ユーザがＷｅｂブラウザを使って各メニューにアクセス出来るようになっている。

Ｗｅｂメニューを利用するためにはアカウント名とパスワードによるログイン認証が必要であり、正規利用者がアクセス可能なメニューは認証とアクセス制御で守られている。ＷｅｂサーバアクセスはＳＳＬ通信が利用可能である。

図２は、ネットワーク対応複合機ＭＦＰの構成の一例を示している。

同図において、システム制御部１は、このネットワーク対応複合機ＭＦＰの各部の制御処理、および、ファクシミリ伝送制御手順処理などの各種制御処理を行うものであり、システムメモリ２は、システム制御部１が実行する制御処理プログラム、および、処理プログラムを実行するときに必要な各種データなどを記憶するとともに、システム制御部１のワークエリアを構成するものであり、パラメータメモリ３は、このネットワーク対応複合機ＭＦＰに固有な各種の情報を記憶するためのものであり、時計回路４は、現在時刻情報を出力するものである。

キャナ５は、所定の解像度で原稿画像を読み取るためのものであり、プロッタ６は、所定の解像度で画像を記録出力するためのものであり、操作表示部７は、このネットワーク対応複合機ＭＦＰを操作するためのもので、各種の操作キー、タッチパネル装置、および、各種の表示器からなる。

画像処理部８は、画像データに対して種々の画像処理を適用するためのものであり、磁気ディスク装置９は、画像データや種々のファイルデータなどを保存するためのものである。

ネットワークインターフェース回路１０は、このネットワーク対応複合機ＭＦＰをイントラネットＮＴに接続するためのものであり、ネットワーク伝送制御部１３は、イントラネットＮＴを介して、他のデータ端末装置との間で種々のデータをやりとりするための各種所定のプロトコルスイートの通信制御処理を実行するためのものである。

これらの、システム制御部１、システムメモリ２、パラメータメモリ３、時計回路４、スキャナ５、プロッタ６、操作表示部７、画像処理部８、磁気ディスク装置９、および、ネットワーク伝送制御部１１は、内部バス１２に接続されており、これらの各要素間でのデータのやりとりは、主としてこの内部バス１２を介して行われている。

ここで、本実施例において、基本的には、ローカルエリアネットワークＬＡＮに接続されている端末相互間でのデータのやりとりは、いわゆるＴＣＰ／ＩＰと呼ばれるトランスポートレイヤまでの伝送プロトコルと、それ以上の上位レイヤの通信プロトコルとの組み合わせ（いわゆるプロトコルスイート）が適用して行われる。

ここで、本実施例で適用するＳＳＨ通信の概略について説明する。

まず、例えば、一般ユーザは、通信セッションで使用する共通鍵を生成し、ＳＳＨクライアント（この場合は、管理者端末装置ＭＭまたは一般ユーザ端末装置ＵＵにインストールされる）を使用し、その共通鍵を、あらかじめＳＳＨサーバ（この場合は、ネットワーク対応複合機ＭＦＰにインストールされる）から通知されている公開鍵を適用して暗号化し、暗号化された共通鍵（暗号化共通鍵）を、ＳＳＨサーバへ送信する。

ＳＳＨサーバは、ＳＳＨクライアントより受信した暗号化共通鍵を、あらかじめ保存している秘密鍵（ＳＳＨクライアントに通知した公開鍵と鍵ペアを構成するもの）を適用して、復号（暗号解読）し、平文の共通鍵を生成する。

このようにして、通信セッションの開始に先立って、当該通信セッションで使用する共通鍵を、公開鍵で暗号化して、ＳＳＨクライアントからＳＳＨサーバへ通知するようにしている。

そして、それ以降の通信セッションでは、ＳＳＨクライアントとＳＳＨサーバは、共通鍵で暗号化したデータをやりとりし、それぞれ受信したデータについては、共通鍵で復号することで、暗号化前のデータを得るようにしている。

このようにして、ＳＳＨ通信における暗号化通信（共通鍵と公開鍵のハイブリッド方式とも呼ばれる）が実現される。

図３は、ネットワーク対応複合機ＭＦＰの通信系統の概略構成図（ソフトウェア構成図）の一例を示している。

本実施例では、ネットワーク対応複合機ＭＦＰは、上述したように、Ｗｅｂサーバ機能を実現するためのＷｅｂサーバ処理部ＳＷ、プリントサーバ機能を実現するためのネットワークプリントサーバ処理部ＳＰ、文書サーバ機能を実現するための文書サーバ処理部ＳＤ、および、ＳＳＨサーバ機能を実現するためのＳＳＨサーバ処理部ＳＨを備えている。

Ｗｅｂサーバ処理部ＳＷには、ネットワーク対応複合機ＭＦＰの管理者がユーザ認証／ネットワーク設定／セキュリティ設定等の変更を実施するための認証設定部（認証メニュー）、ネットワーク設定部（ネットワークメニュー）、および、ＳＳＨ設定部（ＳＳＨ設定メニュー）や、一般ユーザが文書サーバ機能で保管された文書操作を実施する文書サーバ処理部（文書サーバメニュー）等が設けられており、管理者或いは一般ユーザがＷｅｂブラウザを使って、通信ポートＰＷ経由で、各メニューにアクセス出来るようになっている。

なお、Ｗｅｂメニューを利用するためにはアカウント名とパスワードによるログイン認証が必要であり、したがって、ネットワーク対応複合機ＭＦＰは、ユーザ認証システムも備えている。そして、正規利用者がアクセス可能なメニューは認証とアクセス制御で守られている。ＷｅｂサーバアクセスはＳＳＬ通信が利用可能である。

ネットワークプリントサーバ処理部ＳＰは、ＲＡＷポート／ＬＰＲポート／ＩＰＰポート等の印刷インターフェイス経由でクライアントＰＣから送信された印刷データのスプーリングやデータ解析を実行する機能を持っている。図では、ポートＰＮが、ネットワークプリントサーバ処理部ＳＰへのアクセスポートにアサインされている。

文書サーバ処理部ＳＤは、コピー／スキャン／プリントで使用したデータ或いは受信したデータを一般ユーザが利用するために、本体に備えられている磁気ディスク装置９に保管する機能であり、文書データにはＷｅｂサーバの一般ユーザメニューからアクセス出来るようになっている。

ＳＳＨサーバ処理部ＳＨは、管理者及び一般ユーザがリモートログインによりＴｅｌｎｅｔメニューを利用したり、ＲＡＷポート／ＬＰＲポートからプリントデータ送信する際に、（ポートＰＮから）ポートフォワーディング機能を使ったＳＳＨ暗号通信を使用する場合に利用される。

さて、管理者がＳＳＨ通信を設定するメニュー（ＳＳＨ設定メニュー）は、図５（ａ）に示すように、Ｗｅｂサーバの管理者用メニューを使用する。ＳＳＨ暗号通信を利用可能にするには、このメニューからＳＳＨ通信を有効に設定し、ＳＳＨ用公開鍵ペアを生成する必要がある。

公開鍵ペアが生成が完了すると、同図（ｂ）に示すように、メニュー画面上にＳＳＨ公開鍵ペアの公開鍵（Ｐｕｂｌｉｃ Ｋｅｙ）のハッシュ演算値（ＳＳＨフィンガープリンティング）が表示される。この設定メニューのアクセス件は管理者に対してＲｅａｄ−Ｗｒｉｔｅ（参照と設定）、一般ユーザに対してＲｅａｄ−ｏｎｌｙ（参照のみ）になっている。つまり、ＳＳＨ通信の有効／無効設定と公開鍵生成の操作は管理者のみ実行可能であり、一般ユーザはＳＳＨフィンガープリンティングデータが参照可能となっている。

管理者がＳＳＨを有効に設定してから、一般ユーザがリモートログイン或いはプリントデータ送信のためにＳＳＨサーバにアクセスする迄のシーケンスの一例を図４に示す。

管理者は、Ｗｅｂサーバにログインし、ＳＳＨ設定メニューにアクセスする（ステップＳ１０１）。ついで、管理者は、ＳＳＨ設定メニューで『ＳＳＨ』を『有効』にし、『公開鍵生成』を実施する（ステップＳ１０２）。

それにより、ＳＳＨサーバ処理部ＳＨの公開鍵生成部は、公開鍵ペアとＳＳＨフィンガープリンティングを生成し、ＳＳＨフィンガープリンティングデータがＳＳＨ設定メニューに表示される（ステップＳ１０３）。

ここで、管理者は、ＳＳＨフィンガープリンティングが表示されたことを確認後ログアウトする（ステップＳ１０４）。

次に、一般ユーザは、Ｗｅｂサーバにログインし、ＳＳＨ設定メニュー（図５（ｃ）参照）にアクセスする（ステップＳ１０５）。
これにより、例えば、図５（ｃ）に示すようなＳＳＨフィンガープリンティングを含むＳＳＨ設定メニューのウィンドウが画面上で表示される。ここで、一般ユーザは、このＳＳＨフィンガープリンティングの表示を含む表示画面を、印刷する等して、保存する。

次いで、一般ユーザは、ＳＳＨクライアントツールからＳＳＨサーバにアクセスする（ステップＳ１０６）。すると、図６に示すようなＳＳＨフィンガープリンティングを含む警告ウィンドウが出現する。
それにより、一般ユーザは、ＳＳＨ設定メニューに表示されたＳＳＨフィンガープリンティングを、ステップＳ１０６で警告ウィンドウに表示されたＳＳＨフィンガープリンティングと照合し、同じデータの場合は警告ウィンドウのＹｅｓをクリックし接続許可する（ステップＳ１０７）。

それにより、公開鍵ペアの公開鍵（Ｐｕｂｌｉｃ Ｋｅｙ）がＳＳＨサーバからＳＳＨクライアントに送信され、ＳＳＨ暗号通信が可能となる（ステップＳ１０８）。

それ以降は、上述したようなＳＳＨ通信（暗号化通信）が行われる。

ところで、ネットワーク対応複合機ＭＦＰの利用者は、管理者と一般ユーザが設けられており、利用者認証とアクセス制御により利用可能な機能やアクセス可能なメニューが分離されているのが一般的であり、上記手順を実行するための構成を実現するのは比較的容易である。

また、一般ユーザがＳＳＨフィンガープリンティングを参照するＷｅｂメニューはＳＳＨ設定を実施する管理者用メニューと別なメニューであっても構わないが、Ｒｅａｄ−ＷｒｉｔｅとＲｅａｄ−ｏｎｌｙのアクセス制御が正しく作られていれば共通メニューとした方がネットワーク対応複合機ＭＦＰを提供する側にとっても利用する側にとっても扱いやすい。

また、ネットワーク対応複合機ＭＦＰのＷｅｂサーバはＳＳＬ通信が利用可能であることが必要である。ＳＳＨフィンガープリンティングを参照出来るメニューが管理者と一般ユーザのみアクセス可能であっても、ＷｅｂサーバアクセスにＳＳＬ通信が利用出来ない場合は、Ｗｅｂサーバアクセス時のトラフィックを攻撃者がネットワーク盗聴し、ＳＳＨフィンガープリンティングデータを不正に知ることが出来るからである。高度な技術が必要であるが、同じフィンガープリンティングデータを表示する偽のＳＳＨサーバを設置し、中間者攻撃を実行する可能性も考えられるからである。

ここで、なりすまし攻撃の一種類である中間者攻撃について補足説明する。

この中間者攻撃では、図７に示すように、攻撃者が設置した偽サーバＥＶに接続させられ、不正に通信データを取得されるものである。また、図示のように偽サーバは偽クライアントの機能も持っており、正規クライアントＣＣと正規サーバＳＶの間に割り込みそれぞれと矛盾無く暗号通信処理が出来ていれば、正規利用者に気付かれることなく通信データを平文で取得することが出来る。

このような中間者攻撃を未然に防止するためには、ＳＳＨフィンガープリンティングをＳＳＨクライアントが確認してから接続処理を行うことにより、この中間者攻撃は防御出来ることになる。

本発明の一実施例にかかる通信システムの一例を示したブロック図。 ネットワーク対応複合機ＭＦＰの構成の一例を示したブロック図。 ネットワーク対応複合機ＭＦＰの通信系統の概略構成図（ソフトウェア構成図）の一例を示したブロック図。 管理者がＳＳＨを有効に設定してから、一般ユーザがリモートログイン或いはプリントデータ送信のためにＳＳＨサーバにアクセスする迄のシーケンスの一例を示したフローチャート。 各種メニューの一例を示した概略図。 ＳＳＨクラインとツールが表示するＳＳＨフィンガープリンティングを含むウィンドウの一例を示した概略図。 中間者攻撃の一例を説明するための概略図。

符号の説明

１ システム制御部
２ システムメモリ
３ パラメータメモリ
７ 操作表示部
９ 磁気ディスク装置
ＳＷ Ｗｅｂサーバ処理部
ＳＨ ＳＳＨサーバ処理部
ＳＰ ネットワークプリントサーバ処理部
ＳＤ 文書サーバ処理部

Claims (3)

1. ネットワークを介して外部装置と暗号通信を行う第１の通信手段を有するネットワーク対応画像形成装置であって、
   前記暗号通信に必要な鍵データを生成し、該生成した鍵データに基づいて、該鍵データを記憶する装置を確認するための確認用データを生成するデータ生成手段と、
   外部装置から前記暗号通信の要求があると、前記データ生成手段が生成した確認用データを要求元の外部装置に送信する第１の確認用データ送信手段と、
   前記第１の通信手段と異なる第２の通信手段を介してユーザの認証処理を行うユーザ認証手段と、
   前記ユーザ認証手段によるユーザの認証が成功した場合に前記データ生成手段が生成した確認用データを前記第２の通信手段を介して前記外部装置に送信する第２の確認用データ送信手段とを備えることを特徴とするネットワーク対応画像形成装置。
2. 請求項１に記載のネットワーク対応画像形成装置であって、
   前記第１の通信手段はＳＳＨにより通信を行う手段であり、
   前記第２の通信手段はＷｅｂブラウザからのアクセスを受け付ける手段であり、
   前記確認用データはＳＳＨフィンガープリントデータであることを特徴とするネットワーク対応画像形成装置。
3. コンピュータを、
   ネットワークを介して外部装置と暗号通信を行う第１の通信手段と、
   前記暗号通信に必要な鍵データを生成し、該生成した鍵データに基づいて、該鍵データを記憶する装置を確認するための確認用データを生成するデータ生成手段と、
   外部装置から前記暗号通信の要求があると、前記データ生成手段が生成した確認用データを要求元の外部装置に送信する第１の確認用データ送信手段と、
   前記第１の通信手段と異なる第２の通信手段を介してユーザの認証処理を行うユーザ認証手段と、
   前記ユーザ認証手段によるユーザの認証が成功した場合に前記データ生成手段が生成した確認用データを前記第２の通信手段を介して前記外部装置に送信する第２の確認用データ送信手段として機能させるためのプログラム。