JP2000196590A - 暗号化電子デ―タのコンテントを分析する方法 - Google Patents

Abstract

(57)【要約】 【課題】 暗号化のために必要なプライベート暗号情報
にアクセスすることなく、暗号化データのコンテントを
分析する。 【解決手段】 非暗号化に必要なプライベート暗号情報
にアクセスせずに、暗号化データのコンテントを分析す
る。暗号化データの非暗号化コピーにアクセスすること
ができるように、プライベート暗号情報にアクセスする
セキュリティプロバイダと対話する。配布またはアクセ
ス予定の電子データの指示を受け取ると、データが暗号
化されているか否かを判定する。暗号化されている場合
は、セキュリティプロバイダと対話して前記データの非
暗号化コピーを受け取る。そして、暗号化コピーのコン
テントを分析して、コンテントがコンプロマイズドデー
タか否かを判定する。必要な場合は、非暗号化データを
モディファイし、コンプロマイズドデータを削除し、適
正でないデータのアクセスや配布を阻止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、電子データを分析
することに関し、特に、ユーザによりアクセスされる
か、ユーザに配布される前に、暗号化電子データを分析
することに関する。

【０００２】

【従来の技術】情報が電子形態でストアされ配布されれ
ばされる程、このような電子データのコンテントをアク
セス可能にすることがますます重要になっている。電子
形態としては、例えば、webページとコンピュータファ
イルのような文書と、emailと、webページと、ボイスメ
ールと、ポケットベルメッセージのような一人の送り側
から一人以上の受取側への通信がある。このような電子
データのコンテントへのアクセスはさまざまな理由から
有用である。これらの理由としては、当該データのバッ
クアップおよびアーカイブのようなルーチン活動を行う
ことと、当該コンテントがコンプロマイズドデータ（co
mpromised data）（すなわち、アクセスまたは配布が適
正でないデータ）を含むか否かを判定することと、種々
のタイプの情報をデータ（例えば、法的否認またはデジ
タル透かし）に付加することがある。

【０００３】例えば、個人または組織の間で行われる通
信には、コンプロマイズドデータ、例えば、秘密情報
（例えば、トレードシークレットまたはプライベート情
報）と、攻撃的情報（例えば、冒涜と、ポルノと、過激
な中傷と、誹謗と、求められていない広告と、等々）
と、機能的能力を有するデータ（例えば、コンピュータ
ウィルスと、JAVA（商標）アプレットまたはACTIVEX
（商標）コントロールのようなモバイルコードと、JAVA
SCRIPT（商標）またはVISUAL BASIC（商標）を使用する
ようなスクリプトまたはマクロ、等々）が含まれる可能
性がある。

【０００４】そのようなコンプロマイズドデータが通信
に存在する場合には、当該データを、当該通信が配布さ
れる前に除去するか、当該通信の配布を完全に阻止する
ことが、望ましい。文書がストアされると、コンプロマ
イズドデータを検出し削除するか、コンテントを分析し
て情報の精度または完全性を保証することは、おそらく
望ましい。したがって、個人であれ、組織であれ、電子
データのコンテントにアクセスできる能力を必要とする
が、このことは、データが配布されているか、データが
アクセス可能なロケーションにストアされているかに関
係しない。

【０００５】配布された通信が通過するコンテント分析
ゲートウェイ（例えば、Content Technologies, Inc.の
MINESWEEPER（登録商標））は、電子データのコンテン
トへアクセスする必要があるシステムの１種である。こ
のようなコンテント分析ゲートウェイは、種々のカスタ
マイズが可能な形で電子通信を分析し、通信のコンテン
トが適正であるかどうかを判定することができる。

【０００６】しかし、セキュリティに対する必要性が増
加したため、このようなシステムに対する問題が生じて
いる。具体的には、指定された受取人だけに、通信のコ
ンテントが使用可能になり、しかも、、許可されたユー
ザだけに、ストアされた文書のコンテントが使用可能に
なることを保証するため、個人および組織は、多くの場
合、暗号を使用している。暗号機構は種々の方法でイン
プリメントすることができる。このような方法として
は、１つ以上のパスワードを使用したり、対称暗号キー
（すなわち、文書の暗号化と非暗号化の両方に同一のキ
ーが使用される）を使用したり、非対称パブリックキー
／プライベートキーペア暗号化（すなわち、暗号化キー
と非暗号化キーが異なる）を使用したりする方法があ
る。

【０００７】しかし、残念なことに、電子データが暗号
化されると、暗号化された電子データのコンテントは、
データの非暗号化に必要なプライベート暗号情報（例え
ば、許可されたユーザのパスワードか、通信受取人のプ
ライベート暗号化キー）がなければアクセスできない。
さらに、このようなプライベート暗号情報をコンテント
分析システムに供給するのは、おそらく望ましくないで
あろう。というのは、システムへのアクセス権を有する
全てのユーザ（例えば、組織の内部システムアドミニス
トレータ）が、暗号化された全データへアクセスするこ
とになるからである。したがって、プライベート暗号情
報へのアクセスは、綿密に監視されなければならない。

【０００８】パブリックキー／プライベートキーペア暗
号化（「パブリックキー暗号化」）は、他の暗号方法に
比して種々の利点があり、特に、プライベートキー情報
の防護の点では、種々の利点がある。例えば、パブリッ
クキー暗号化の利点は、１つに、各ユーザが自分のプラ
イベートキーを綿密に防護するが、ユーザのパブリック
キーを広範囲に配布できることである。

【０００９】このようにすると、暗号化されたデータへ
のアクセスを必要とする各ユーザに、プライベート暗号
情報（例えば、パスワードまたはペア暗号キー）を、防
護された形で送信する必要がなくなる。他方、メッセー
ジの送り側は、受取人のパブリックキーを使用して、メ
ッセージを暗号化することができ、得られた暗号化メッ
セージは、受取人が自分のプライベートキーを使わない
限り非暗号化できない。あるいはまた、メッセージの送
り側は自分のプライベートキーを使用してメッセージを
暗号化することができ、どのユーザでも、送り側のパブ
リックキーのみを使用して、暗号化メッセージを非暗号
化することができる。このようにすると、メッセージが
実際に当該送り側から来たことが確認され、したがっ
て、これは、メッセージ送信者の一致を確認することが
できる、ある種の「デジタル署名」になる。

【００１０】パブリックキー暗号化も、複数の受取人の
ためにメッセージを暗号化するとき、効率的に使用する
ことができる。このようなメッセージ配布方法の１つと
して、受取人ごとに個別にメッセージのコピーを作成
し、得られたコピーをその受取人のパブリックキーを使
用して暗号化する方法がある。

【００１１】あるいはまた、より空間効率のよい方法と
しては、ランダムに生成された対称キー、すなわち、
「セッションキー」といわれるキーを使用して暗号化さ
れたメッセージの単一のコピーを作成する方法がある。
セッションキーの個別のコピー（典型的には、サイズが
メッセージよりはるかに小さい）は、受取人ごとに作成
することができ、その受取人のパブリックキーを使用し
て暗号化することができる。このスキームでは、暗号化
メッセージおよび暗号化セッションキーの受取人は、自
分のプライベートキーを使ってセッションキーの適正な
コピーを非暗号化することができ、その後、非暗号化セ
ッションキーを使用してメッセージを非暗号化すること
ができる。文書は、文書の非暗号化をオーソライズされ
たユーザごとに暗号化されたセッションキーのコピーと
ともに、暗号化形式で、同様に、ストアすることができ
る。

【００１２】組織はパブリックキー暗号化により１つ以
上のコーポレートキーも作成することができる。また、
組織は、組織内で暗号化されたデータに、少なくとも１
つのコーポレートプライベートキーでアクセスすること
もできる。このアクセスは、例えば、データの暗号化に
使用されるパブリックキーのうちの１つと対応するコー
ポレートパブリックキーを使用して行うことができる。
コーポレートプライベートキーへのアクセス権を有する
個人またはコンピュータプログラム、例えば、会社社長
か、システムアドミニストレータか、アーカイブプログ
ラムは、プライベートキーを使用して、暗号化データを
非暗号化することができる。

【００１３】このようなコーポレートキーペアを用いる
ことができるのは、他のオーソライズされたユーザまた
は受取人の手があいていないときにデータを回復するた
めと、コーポレートデータのバックアップおよびアーカ
イブのようなルーチン管理活動を行うためである。この
ような方法により、内部ユーザのプライベート暗号情報
へのアクセスを必要とせずに、データへのアクセスを保
証することができる。暗号化情報へのアクセスのための
他の関連する代替例てしは、キー寄託とキー回復スキー
ムがある。

【００１４】パブリックキー暗号化の例を図１を参照し
て検討する。図１の例では、ユーザ１が種々の受取人に
文書Ｚ（例えば、emailメッセージ）を配布しようとし
ている。セキュリティプロバイダ（ＳＰ）システム１１
０のローカルコピーが、送信される電子文書の暗号化
と、受信またはアクセスされる電子文書の非暗号化のた
めに、ユーザ１（１１５）によって使用される。このよ
うなＳＰシステムのうち市販のものとしては、Sapher S
ervers LimitedのSECRETS FOR WINDOWS（登録商標）
と、Network Associates Inc.のPGP PERSONAL PRIVACY
（登録商標）と、Entrust Technologies Ltd.のENTRUST
/PKI（登録商標）がある。ＳＰシステムは、典型的に
は、プライベート暗号情報をストアするか、プライベー
ト暗号情報にアクセスするのであるから、このようなシ
ステムへのアクセスは綿密に制御され、当該システムに
対しては、当該システムによって提供されるセキュリテ
ィ度を示す種々のセキュリティ等級を（例えば、政府に
より）認可することができる。

【００１５】ユーザ１は、非暗号化（すなわち、現在は
暗号化されていない）文書Ｚと、ユーザ２および３の受
取人リストとをＳＰシステム１１０に供給して（１６
０）開始する。この例では、ＳＰシステム１１０は、ま
ず、文書Ｚを一方向ハッシング関数（例えば、Secure H
ashing Algorithm（ＳＨＡ）またはチェックサム関数）
に通して、その現在の形の文書Ｚの識別子を作る。文書
Ｚが後にモディファイされた場合、モディファイされた
文書Ｚに関して生成される新しい識別子は、通常は、元
の識別子と異なるので、文書がモディファイされたこと
を立証することができる。識別子が作られた後に、ＳＰ
システム１１０はユーザ１のプライベートキーを使用し
て識別子を暗号化し、文書Ｚに付随するデジタル署名を
作成する。デジタル署名を作成した後に、ＳＰシステム
１１０は、次に、種々のアルゴリズムのうちの１つ（例
えば、Triple-DES）を使用して、ランダムな対称セッシ
ョンキーを生成し、その後、そのセッションキーを使用
して、文書Ｚとデジタル署名を暗号化する。最後に、Ｓ
Ｐシステム１１０は、指定された受取人のそれぞれのパ
ブリックキーを取り出し、受取人ごとに、その受取人の
パブリックキーを用いて、セッションキーのコピーを暗
号化する。さらに、ユーザ１が、後にアクセスするため
に暗号化されたフォーマットで（例えば、ストレージシ
ステムがセキュアでない場合）、文書Ｚのコピーをスト
アすることを望む場合には、ＳＰシステム１１０はユー
ザ１のためにセッションキーのコピーを暗号化すること
もでき、また、ユーザ１のパブリックキーのみを用いて
暗号化された文書Ｚの追加コピーを作成することができ
る。

【００１６】したがって、文書Ｚが暗号化された後は、
受取人のうちの１人のプライベートキーにアクセスする
者のみが、セッションキーのコピーのうちの１つを非暗
号化することができ、その後、非暗号化されたセッショ
ンキーを使用して、文書Ｚとデジタル署名を非暗号化す
ることができる。デジタル署名を取得したときは、ユー
ザ１のパブリックキーを使用して、当該文書がユーザ１
によって送られたことを確認することができる。さら
に、デジタル署名を暗号化することによって、文書Ｚの
元の識別子にアクセスすることができる。受取人によっ
て取り出された文書は、原始に使用されたものと同一の
一方向ハッシングアルゴリズムに通され、当該文書の受
信バージョンの識別子が生成される。新たに生成された
識別子が、ユーザ１のデジタル署名からの原始の識別子
と一致する場合は、受取人は、原始の署名が生成された
後に文書のコンテントがモディファイされていないこと
を、確信することができる。

【００１７】ＳＰシステム１１０は、文書Ｚの暗号化バ
ージョンを作成した後に、文書の暗号化バージョンと、
セッションキーの暗号化コピーを、ユーザ３（１３５）
およびユーザ４（１４５）に配布する（１６４）ため、
ユーザ１に返す（１６２）。あるいはまた、ＳＰシステ
ム１１０は、配布のためにユーザ１に文書を返さずに、
自分で文書を配布することもできる。ユーザ１は文書Ｚ
の非暗号化バージョンをユーザ２（１２５）にも送る
（１６６）。図１から分かるように、ユーザ１と、ユー
ザ２と、ユーザ３は、全員、ある組織の内部のユーザで
あり、ユーザ４は当該組織の外部のユーザである。

【００１８】非暗号化バージョンをユーザ２へ送ること
は、種々の理由で行われる。このような理由としては、
例えば、セキュアな内部のネットワークにより、メッセ
ージが内部ユーザに暗号化せずに送られるという理由
か、ＳＰシステム１１０がユーザ２のパブリックキーを
持っていないという理由か、ユーザ２がＳＰシステムに
アクセスして文書の非暗号化を許可するアクセス権がな
いという理由がある。

【００１９】ユーザ３が暗号化文書Ｚを受け取ったと
き、当該文書はユーザ３のローカルＳＰシステム１３０
に転送される（１７２）。既に説明したように、ローカ
ルＳＰシステム１３０は、ユーザ３のプライベートキー
とユーザ１のパブリックキーを使用して、受信した文書
を非暗号化し、確認し、その後、非暗号化バージョンを
ユーザ３に返す（１７４）。ユーザ４はローカルＳＰシ
ステム（１４０）を用いて同様の処理を行う。

【００２０】ローカルＳＰシステムは文書Ｚの保護を支
援する追加的な活動もパフォームすることもできる。例
えば、ＳＰシステムは、暗号化に使用されるパブリック
キーに、コーポレートパブリックキーを自動的に含める
ように構成することができる。しかし、暗号化メカニズ
ムが適正に動作することを保証するため、システムアド
ミニストレータ（１５５）のような別のユーザが、ロー
カルＳＰシステムにアクセスする（１８２および１８
４）ことが必要になる。ＳＰシステムへのこのようなア
クセスにより、システムアドミニストレータは、各ＳＰ
システムが他の全内部ユーザのためのパブリックキーお
よびコーポレートキーを持つことができることを保証す
ることができ、同様に、各ＳＰシステムがそれらのキー
を使用するように適正に構成されていることを保証でき
る。あるいはまた、全ての内部ユーザが、各内部ユーザ
のためのプライベートキー情報を含む単一のマスタＳＰ
システムを共用することができ、そうすると、システム
アドミニストレータは１つのＳＰシステムを保守するだ
けでよい。

【００２１】パブリックキー暗号化には利点もあれば弱
点もある。具体的には、あるユーザ（例えば、システム
アドミニストレータ）に、別のユーザのプライベートキ
ーへのアクセス権を与える必要がある場合には、この暗
号化スキームは脆弱になる。悪意のシステムアドミニス
トレータにそのようなアクセス権が与えられると、この
悪意のシステムアドミニストレータは自分がアクセスで
きるプライベートキーのユーザの全文書のコンテントを
非暗号化しアクセスすることができる。

【００２２】

【発明が解決しようとする課題】したがって、既に説明
したように、組織および個人は電子データのコンテント
にアクセスし分析する能力が必要である。しかし、その
ような組織および個人は、ストアされ配布されるデータ
の強い暗号防護を与える能力もおそらく必要になる。Ｓ
Ｐシステムに、内部セキュリティメカニズムによるプラ
イベート暗号情報を任せることはできるが、他の種類の
システム、例えば、コンテント分析システムまたはバッ
クアップ／アーカイブプログラムには、任せることはで
きない。ところが、これらの他のシステムは、おそら
く、暗号化データのコンテントへのアクセスを必要とす
る。したがって、組織および個人は、暗号化データのコ
ンテントにアクセスする必要性と、プライベート暗号情
報を防護して暗号スキームの保全性を防護する必要性と
のトレードオフに直面する。

【００２３】

【課題を解決するための手段】本発明の実施の形態の中
には、暗号化のために必要なプライベート暗号情報にア
クセスすることなく、暗号化データのコンテントを分析
する方法およびシステムを提供するものもある。具体的
に言うと、本発明のコンテントプロセッサ（ＣＰ）シス
テムと、プライベート暗号情報へアクセスするセキュリ
ティプロバイダ（ＳＰ）システムとの対話は、ＣＰシス
テムが暗号化データの非暗号化コピーにアクセスすると
いう方法で行われる。この方法では、ＳＰシステムは、
プライベート暗号情報にアクセスするのに必要な信用を
デリゲートせずに、非暗号化データにアクセスするのに
必要な信用を、オーソライズされたＣＰシステムにデリ
ゲートすることができる。ＣＰシステムとＳＰシステム
の間の対話は、全て、Isolation APIを介して行われ
る。Isolation APIは、オーソライズされたＣＰシステ
ムのみが非暗号化データを獲得することを保証し、ＳＰ
システムからアクセス可能なプライベート暗号情報が暴
かれないことを保証している。

【００２４】本発明の一実施の形態には、コンピュータ
によりインプリメントされた方法が含まれている。この
方法によれば、プライベート暗号情報にアクセスせず
に、プライベート暗号情報によりデータのコンテントに
アクセスさせる方法で暗号化されたデータのコンテント
にアクセスされる。

【００２５】この方法には、コンピュータによりインプ
リメントされたセキュリティプロバイダであって、プラ
イベート暗号情報にアクセスするセキュリティプロバイ
ダとの信用を確立するステップと、暗号化データの指示
を受け取るステップと、データのコンテントへのアクセ
スを、ユーザ入力により行なわないステップであって、
暗号化データをセキュリティプロバイダに通知するとと
もに、セキュリティプロバイダから、信用に基づいて、
コンテントにアクセス可能な暗号化データの非暗号化コ
ピーを受け取ることにより行うステップとが含まれてい
る。この方法では、当該データのコンテントへアクセス
が、プライベート暗号情報にアクセスせずに、行われ
る。

【００２６】代替実施の形態では、暗号化電子メッセー
ジのコンテントを分析する方法に、メッセージアナライ
ザとセキュリティプロバイダとの対話が含まれている。
メッセージアナライザは、メッセージが暗号化されてい
る間はメッセージのコンテントがメッセージアナライザ
からアクセス不能である、送信者から受取人へ配布され
るメッセージの暗号化されたコピーを受け取ることによ
ってコンテントを分析する。

【００２７】メッセージアナライザは、メッセージアナ
ライザの一致を確認するための一致識別子を、暗号化コ
ピーをプライベート暗号情報を使用して非暗号化する能
力を有するセキュリティプロバイダに送る。

【００２８】次に、暗号化コピーがセキュリティプロバ
イダに送られ、メッセージの非暗号化コピーがセキュリ
ティプロバイダから受け取られる。そこで、メッセージ
アナライザは、非暗号化コピーのコンテントを分析し
て、受取人へのメッセージの配布が許容可能であるか否
かを判定することができる。当該配布が許容可能である
と判定されると、メッセージが受取人に配布される。セ
キュリティプロバイダはメッセージアナライザから一致
識別子と暗号化コピーを受け取る。セキュリティプロバ
イダは、一致識別子によってメッセージアナライザの識
別が確認されると、メッセージの暗号化コピーをプライ
ベート暗号情報を使用して非暗号化し非暗号化コピーを
作る。したがって、メッセージアナライザはプライベー
ト暗号情報にアクセスせずにメッセージのコンテントに
アクセスすることができる。

【００２９】

【発明の実施の形態】本発明に係る実施の形態では、非
暗号化に必要なプライベート暗号情報にアクセスせず
に、暗号化データのコンテントを分析する方法およびシ
ステムが提供される。特に、本願は発明に係るコンテン
トプロセッサ（Content Processor；ＣＰ）システム
は、暗号化データの非暗号化コピーにアクセスできるよ
うに、プライベート暗号情報を有するセキュリティプロ
バイダ（Security Provider；ＳＰ）システムと対話す
る。この方法では、プライベート暗号情報にアクセスす
るために必要な信用（trust）をデリゲートせずに、Ｓ
Ｐシステムは、非暗号化データにアクセスするのに必要
な信用を、オーソライズされたＣＰシステムにデリゲー
トすることができる。ＣＰとＳＰシステムの間の対話
は、Isolation APIを介して行われる。このＣＰシステ
ムとＳＰシステムとの対話により、オーソライズされた
ＣＰシステムのみが非暗号化データを獲得することが保
証され、ＳＰシステムにアクセスすることができるプラ
イベート暗号情報は暴露されないことが保証される。

【００３０】配布されるかアクセスされる電子データの
指示を、ＣＰシステムが受け取ると、ＣＰシステムは、
まず、そのデータが暗号化されたか否かを判定する。幾
つかの例では、ＣＰシステムは、組織のメンバ間の通信
を全てゲートウェイを通過させる編成に対して、このゲ
ートウェィとしてアクトする。

【００３１】このＣＰシステムによりデータが暗号化さ
れていると判定されると、このＣＰシステムは、当該デ
ータの非暗号化データを獲得するため、Isolation API
を介して、ＳＰシステムと対話する。幾つかの実施の形
態では、このＣＰシステムは、自分自身が、非暗号化デ
ータを受け取るようにオーソライズされたかどうかを確
認するための識別子も、ＳＰシステムに提供する。一
度、ＣＰシステムが、原始に受け取った当該データの非
暗号化コピーか、ＳＰシステムからの当該データの非暗
号化コピーのいずれかを持つと、ＣＰシステムはこの非
暗号化コピーのコンテントを分析し、当該コンテントが
適正か否か、例えば、当該コンテントが、コンプロマイ
ズドデータを有するか否かを判定する。必要な場合は、
ＣＰシステムは非暗号化データを修正して不適正な情報
を削除する。

【００３２】あるいはまた、このＣＰシステムはコンテ
ントに不適正な情報を配布したりアクセスしたりできな
いようにすることができる。その上、このＣＰシステム
は、情報、例えば、当該ＣＰシステムによる論理ディス
クレマ（discalimer）または承認（approval）指示を付
加して、当該データを修正することができる。この非暗
号化データが修正されなかった場合は、ＣＰシステムは
（暗号化されるか、非暗号化された）オリジナルのデー
タを配布するかアクセスすることができる。逆に、この
非暗号化データが修正された場合は、このＣＰシステム
は、非暗号化の形式で、この修正されたデータを配布ま
たは供給するか、あるいは、暗号化のために、当該修正
されたデータをＳＰシステムに供給することにより、ま
ず当該データを暗号化する。

【００３３】次に、ＣＰシステムのオペレーションを詳
細に説明する。システム・アドミニストレータのような
ユーザは、暗号化データのコンテントにアクセスしかつ
分析することができる上、ＣＰシステムにより、当該Ｓ
Ｐシステムに対して管理機能をパフォームすることがで
きる。しかし、当該ユーザは、Isolation APIによりプ
ライベートキー情報にアクセスすることができない。例
えば、ＣＰシステムのユーザは他のユーザのためのプラ
イベートおよびパブリック・キーをＳＰシステムから削
除することができ、よって、このような他のユーザは、
当該ＣＰシステムを介して暗号化データにアクセスし配
布することができなくなる。ＣＰシステムが、全ての通
信を通過させる編成ゲートウェイとしてアクトすると、
そのため、システム・アドミニストレータとしてのユー
ザは、どのユーザに暗号化情報を配布するか、どのユー
ザが暗号化情報を受け取るかをコントロールすることが
できる。ユーザ、例えば、以前の従業員がプライベート
キー情報に関係していて、電子データが、当該ユーザの
組織から配布されたようにだまそうとしても、（例え
ば、ＣＰシステムのデジタル署名を含む）ＣＰシステム
の処理がなくても、当該データが当該組織外からのもの
であると識別することができる。

【００３４】上述したように、信用されたＣＰシステム
のみに情報を供給するように当該ＳＰシステムを構成す
ることができ、当該ＳＰシステムの信用を確認するよう
に当該ＣＰシステムをデザインすることができる。この
ようにすると、ＣＰシステムおよびＳＰシステムが異な
るベンダからのものであっても、ＣＰシステムは、ＳＰ
システムに与えられた信用の譲渡を受け取ることができ
る。オーソライズされないかモディファィされたＣＰシ
ステムがＳＰシステムと対話して非暗号化データを検索
する場合は、ＳＰシステムは、例えば、デジタル証明を
使用して、このようなアクセスを検知し防止することが
できる。

【００３５】図１および図２は、それぞれ、ＣＰシステ
ムを用いた例を示す。特に、図１は、組織の内部ユーザ
が文書を暗号化し複数の受取人に配布する例を示すとと
もに、ＣＰシステム２００は、配布をオーソライズされ
る前に、当該暗号化文書のコンテントを分析する。周知
のことであるが、内部ユーザ１は、まず、非暗号化文書
Ｘと受取人リストをローカルＳＰシステム１１０に供給
する。この受取人リストには、内部ユーザ２および３
と、外部ユーザ４が含まれている。ＳＰシステム１１０
はこれらのユーザのために文書Ｘを（例えば、彼らのパ
ブリックキーを用いて暗号化し）、ついで、当該暗号化
文書をユーザ１に戻す。ユーザ１が引き続き当該暗号化
文書を配布すると、このＣＰシステムは、種々の方法の
１つで分析するため、当該暗号化文書を受け取る。この
方法としては、例えば、全ての配布データを当該ＣＰシ
ステムを通過させる方法か、あるいは、全ての内部ユー
ザに対するデータ配布ソフトウエアに従って、配布デー
タをＣＰシステムに供給するように、これらデータ配布
ソフトウエアを構成する方法がある。

【００３６】このＣＰシステムが当該暗号化文書を受け
取った後、このＣＰシステムは、編成のため、当該文書
をマスタＳＰシステム２６０に供給する。本例では、マ
スタＳＰシステムは、全ての内部ユーザに対するパブリ
ックおよびプライベート暗号情報にアクセスし、同様
に、種々の外部ユーザに対するパブリック暗号情報、例
えば、パブリックキーにアクセスする。このマスタＳＰ
システムは、当該暗号化文書を受け取った後、当該文書
を非暗号化するためプライベート暗号情報を使用する。
このプライベート暗号情報としては、例えば、ユーザ１
のような内部受取人に対するプライベート暗号情報か、
ユーザ１に対するプライベート暗号情報であり、プライ
ベート暗号情報がＳＰシステム１１０により受取人リス
トに含まれている場合は、コーポレートキーペアであ
る。そして、マスタＳＰシステムは文書Ｘの非暗号化バ
ージョンをこのＣＰシステムに返す。

【００３７】ＣＰシステムとＳＰシステムの間の全通信
は、Isolation API２５０により行われる。このIsolati
on API２５０は、ＳＰシステムにアクセス可能なプライ
ベート暗号情報に、ＣＰシステムが任意にアクセスでき
ないようにしている。当業者にとって当然のことである
が、Isolation APIは種々の方法でインプリメントする
ことができる。例えば、Isolation APIを、ＣＰおよび
ＳＰコンポーネントにより呼び出される定義済み機能お
よびライブラリのセットとすることができ、ＣＰシステ
ムがプライベート暗号情報にアクセスするのを阻止する
機能とすることができる。あるいはまた、Isolation AP
Iは、ソフトウエアを流れる情報を分析し、暗号情報が
ＳＰシステムからＣＰシステムにパスされないためのソ
フトウエアモジュールとすることができる。当業者にと
って当然のことであるが、当該Isolation APIは種々の
方法でインプリメントすることができる。

【００３８】文書Ｘの非暗号化コピーを受け取った後、
ＣＰシステムは、次に、文書Ｘのコンテントを分析し
て、当該文書の配布が適正か否かを判定する。この配布
が適正でない場合は、例えば、当該文書がコンプロマイ
ズドデータを含む場合は、当該文書が配布に適するよう
に、ＣＰシステムはこの配布を阻止するか、当該文書を
モディファイするかのいずれかを行う。あるいはまた、
ユーザまたは別のソフトウエアモジュールがさらに分析
するかモディファイするまで、ＣＰシステムは当該文書
の配布を遅延させることができる。当該文書が修正せず
に配布に適している場合には、ＣＰシステムが受け取っ
た当該文書の暗号化バージョンは、指名した受取人にホ
ワードすることができる。しかし、当該文書がモディフ
ァイされた場合は、暗号化配布の必要に応じて、当該モ
ディファィされた文書は、最初に、暗号化しなければな
らない。このような状態では、ＣＰシステムはモディフ
ァイされた文書をマスタＳＰシステムに供給し、つい
で、モディファイされた文書であって、内部受取人のた
めに暗号化された文書のバージョンを受け取る。最後
に、当該文書は内部ユーザ２および３と、外部ユーザ４
にホワードされる。

【００３９】本実施の形態では、ＣＰシステムは、文書
Ｘが内部ユーザ２に配布される前に文書Ｘをモディファ
アしなければならないと判定し、当該文書の非暗号化バ
ージョンの配布は、暗号化バージョンより、ユーザ２に
とってより適正である。よって、ＣＰシステムは、文書
Ｘのモディファイされた非暗号化バージョンを、内部ユ
ーザ２にホワードする。逆に、ＣＰシステムは、ユーザ
３および４が共に文書Ｘの未モディファィの暗号化バー
ジョンを受け取るべきと判定し、ついで、オリジナルの
当該暗号化文書をこれらユーザにホワードする。そし
て、これらユーザはＳＰシステム１３０および１４０
は、個別に、文書Ｘを非暗号化しアクセスする。本実施
の形態では、ユーザ１および３が、マスタＳＰシステム
とは異なるローカルＳＰシステムを有する例を説明した
が、これらシステムが相互通信を行うか、あるいは、単
独のＳＰシステムになることも可能である。その上、シ
ステムアドミニストレーションは、図示したように、種
々の管理要求（例えば、暗号情報の付加または削除）
を、Isolation APIを介して、マスタＳＰシステムにホ
ワードすることになるＣＰシステムに、発行する。

【００４０】図２はＣＰシステムの例を示す。これは、
組織の内部ユーザが、暗号化されていない文書を互いに
配布するが、外部ユーザに配布された文書が暗号化され
る例である。図１および図２の例では、ユーザ１が、再
び、文書Ｘをユーザ２、３、４に配布しようとしてい
る。この例では、文書Ｘは、最初、ＣＰシステム２００
に非暗号化形態で送られる。文書Ｘは暗号化されていな
いので、ＣＰシステムは直ちに文書Ｘのコンテントを分
析し、必要なモディファイを行うことができる。必要な
モディファイを行った後、ＣＰシステムは当該非暗号化
（可能であれば、モディファイされた）文書を内部ユー
ザ２および３にホワードすることができる。しかし、文
書Ｘも外部ユーザに配布されるので、ＣＰシステムは分
析のため、このモディファイされた非暗号化文書をマス
タＳＰシステム２６０に供給する。マスタＳＰシステム
はユーザ４に対して文書Ｘを暗号化し、必要であれば、
ユーザ１に対してデジタル署名を行うため、ユーザ１の
プライベート暗号情報を用いることもできる。あるいは
また、その上、（例えば、当該配布を承認するため）Ｃ
Ｐシステムが自分自身のためにデジタル署名を行うた
め、ＳＰシステムはプライベートキーを用いることがで
きる。このデジタル署名は当該暗号化文書に含まれる。

【００４１】ＣＰシステムは、当該暗号化文書を受け取
った後、当該暗号化文書を外部ユーザ４にホワードす
る。そして、ユーザ４は文書Ｘを非暗号化するためロー
カルＳＰシステム１４０を用いる。図１と同様にして、
システムアドミニストレータは、種々の管理要求をマス
タＳＰシステムに供給するため、ＣＰシステムを使用す
ることができる。

【００４２】当業者にとって当然のことであるが、図１
および図２はＣＰシステムの例を示す。しかし、この例
は本発明の範囲を限定するものではない。種々のタイプ
の暗号化データ（例えば、email、ボイスメールと、ペ
ージング・メッセージ等）は、ＣＰシステムにより分析
することができる。その上、ユーザ４のような外部ユー
ザから内部ユーザに配布されると、暗号化滅セージまた
は非暗号化メッセージは、同様にして、分析することが
でき、ＣＰシステムは、同様にして、ストアされている
暗号化データにアクセスすることができる。本実施の形
態では、ＣＰシステムはマスタＳＰシステムと異なるも
のであるが、ＣＰおよびＳＰシステムを組み合わせて単
一のシステムにすることも可能である。この単一のシス
テムでも、Isolation APIは、当該システムのＣＰポー
ションがプライベート暗号情報にアクセスしないように
アクトする。従って、本発明は他のコンピュータシステ
ム構成とともに実施可能である。

【００４３】図３はＣＰシステムにおけるコンテントお
よび情報の流れを示す。本実施の形態では、パブリック
キー暗号化は、電子文書を配布するために用いられてい
る。図３のＣＰシステムには、ＣＰシステム２００およ
びマスタＳＰシステム２６０をメモリ３０５で実行する
のに適したコンピュータが含まれている。このコンピュ
ータには、ストレージ装置３８０と、入出力装置３８５
と、ＣＰＵ３９０とが含まれている。システムアドミニ
ストレータ３９５は入出力装置を用いてＣＰシステムと
対話する。種々の内部ユーザ３５０も管理情報（例え
ば、ストアするため、ＣＰシステムを介してＳＰシステ
ムにパッシングされる）をＣＰシステムに供給する。内
部ユーザと種々の外部ユーザ３５５も、ＣＰシステムに
より分析されている暗号化および非暗号化文書を供給し
ている。

【００４４】このＣＰシステムには、SP Interfaceコン
ポーネント３１０と、ＣＰシステム識別子３１６と、Do
cument Content Analyzer/Modifierコンポーネント３２
０と、Document Distributorコンポーネント３２５と、
SP Administratorコンポーネント３３０とが含まれてい
る。このＣＰシステムは、最初に、ＳＰシステムと対話
を開始し、SP InterfaceコンポーネントのSession ID G
enerator３１４は、ＣＰシステム識別子を検索し、得ら
れたＣＰシステム識別子を、ＳＰシステムのSession ID
Generator/Checker３１２に供給する。ＣＰシステム識
別子は、前のトラスティッド（trusted）・セキュリテ
ィ・プロバイダ（例えば、ＳＰシステム２６０）に発行
されており、ＣＰシステムのＩＤを確認し、同様に、こ
の特定のＣＰシステムに対して、セキュリティおよび信
用を確立する可能性を有する。この識別子には、ＣＰシ
ステムに関する一意の情報（例えば、当該コードのチェ
ックサム）が含まれている。その結果、ＳＰシステム
は、他のシステムにより当該識別子が誤って使用された
ことを検出することができる。その上、オーソライズさ
れたＣＰシステムのみによりＳＰシステムとの対話がオ
ーソライズされるように、オーソライズされたＣＰシス
テムのリストを用いて、ＳＰシステムを構成することが
できる。

【００４５】本実施の形態では、Session ID Generator
/Checkerは、ＣＰシステム識別子を受け取り、確認した
後、ランダムな数値のセッションＩＤをSession ID Gen
eratorに供給する。各通信では、ＣＰシステム識別子を
確認するようにＳＰシステムに要求しないで、その代わ
り、後でＣＰシステムとＳＰシステムの間で通信を行う
ため、数値のセッションＩＤが用いられることになる。
しかし、モディファイのないセッションＩＤが（むし
ろ、ランダムに）用いられた場合は、別のシステムが当
該セッションＩＤを検出し乱用することができる。よっ
て、当該ＣＰシステムの１つの例では、ＣＰおよびＳＰ
システムに、ともに、マッチング乱数発生アルゴリズム
が含まれている。ＳＰシステムがランダムな初期セッシ
ョンＩＤを発生すると、ＳＰおよびＣＰシステムは、共
に、このセッションＩＤを、乱数発生装置のためのシー
ド（seed）として用いることになる。そして、ＣＰシス
テムは各通信ごとに新しいランダムセッションＩＤを発
生することになり、マッチングアルゴリズムとシェアー
ド初期シードにより、ＳＰシステムは、独立に、同様の
乱数シーケンスを発生する。当業者にとって当然のこと
であるが、ＣＰシステムとＳＰシステムのセキュア通信
を行う他の方法も可能である。

【００４６】ＣＰシステムが、自分自身をトラスティッ
ド・システムとして確立し、Session ID Generatorが、
認識されたセッションＩＤのシーケンスを発生するため
にレディになった後は、他のＣＰコンポーネントは当該
ＳＰシステムと通信することができる。効率的に機能さ
せるため、ＳＰシステムは、内部ユーザと通信を行うこ
とになる各外部ユーザのためのパブリックキーにアクセ
スする必要があり、同様に、各ユーザのためのフルキー
ペアにアクセスする必要がある。その上、ＳＰシステム
は、コーポレートデータ回復を容易にするため、１つ以
上のコーポレートキーペアを含むことができる。

【００４７】SP AdministratorコンポーネントはＳＰシ
ステムのキー管理３４０と通信を行い、種々の管理タス
クを行う。このような管理タスクには、キー情報をＳＰ
システムに供給することが含まれる。よって、当該シス
テムアドミニストレータは周知の外部ユーザに対するパ
ブリックキーをＳＰシステムに供給することができ、同
様に、新しいコーポレートキーペアの生成をＳＰシステ
ムに要求することができる。よって、システムアドミニ
ストレータがコーポレート・プライベートキーにアクセ
スすることができなくできる。その上、内部ユーザはこ
れらのキーペアをSP Administratorコンポーネントを介
してＳＰシステムに供給することができる。また、外部
ユーザは、図示しない自分自身のパブリックキー情報を
SP Administratorコンポーネントを介して供給すること
ができる。プライベートキー情報がＳＰシステムにＣＰ
システムを介して供給された場合は、悪意のＣＰシステ
ムがプライベートキーのコピーを保持することは可能で
ある。あるいはまた、内部ユーザがプライベートキー情
報をＳＰシステムに（例えば、ＳＰシステムに当該キー
情報を発生させるか保持させることにより）直接供給す
るか、あるいは、プライベートキー情報が保持されない
ことが確認されたときのみ、ＳＰシステムと対話するた
めに、ＣＰシステムをオーソライズすることができる。

【００４８】ＳＰシステムに付加されるキー情報を、SP
Administratorコンポーネントが受け取ると、このキー
情報を、SP AdministratorコンポーネントはＳＰシステ
ムにSP Interfaceコンポーネントを介してホワードす
る。ＳＰシステムに送られているメッセージを検出する
と、直ちに、SP Interfaceコンポーネントは、次に連続
するセッションＩＤを発生するため、Session ID Gener
atorを使用し、当該メッセージに当該セッションＩＤを
含む。Key AdministratorがSP Administratorコンポー
ネントのメッセージとセッションＩＤを受け取ると、Ke
y Administratorは、セッションＩＤが正しいか否かを
確認するため、まず、Session ID Generator/Checkerを
使用する。そして、このセッションＩＤが確認された
後、Key Administratorは当該キー情報を、内部ユーザ
のパブリックおよびプライベートキー３７２か、あるい
は、外部ユーザのパブリックキー３７６のいずれかに付
加する。Key Administratorがコーポレートキーペア発
生の要求を受けると、Key Administratorはキーペアを
発生し、このキーペアにコーポレートパブリックおよび
プライベートキー３７４をストアする。

【００４９】キー情報を付加した後、ＣＰシステムの中
には、内部および外部ユーザに、これらユーザ自身のキ
ー情報をＳＰシステムから削除させようとする要求を行
うことができるものもある。これらの要求はSP Adminis
tratorコンポーネントを介してKey Administratorに、
キー情報付加要求と同様にして、送られる。このシステ
ムアドミニストレータは、コーポレートキーペアをＳＰ
システムから削除するという同様の要求を行うことがで
きる。システムアドミニストレータが充分なオーソライ
ゼーションを有する場合は、システムアドミニストレー
タはＳＰシステムに対する種々の管理機能をパフォーム
することもできる。このような機能の１つに、システム
アドミニストレータが、他のユーザに対するＳＰシステ
ムキー情報から削除することができる能力がある。

【００５０】一度、内部ユーザのキー情報が削除される
と、当該内部ユーザは当該暗号化文書を受け取ることが
できないし、当該暗号化文書にアクセスすることができ
ないし、当該暗号化文書を配布することができなくな
る。例えば、内部ユーザが独立に（例えば、個人的なパ
スワードを有する）メッセージを暗号化し、このメッセ
ージを配布しようとしたとしても、システムがこのメッ
セージを非暗号化し分析できない場合は、ゲートウェイ
ＣＰシステムにより当該メッセージは配布することがで
きない。同様にして、ユーザが独立に暗号化メッセージ
をストアしようとした場合は、定期的にバックアップす
るかスキャンしているＣＰシステムは、当該文書は非暗
号化できないか、当該文書を削除できないことを検出す
ることができる。同様にして、ストアされたパブリック
キー情報を持たない外部ユーザが、暗号化メッセージを
内部の送り主から受け取ることができなくするか、この
ような文書を内部ユーザに配布することができなくする
ことができる。よって、外部ユーザからの文書を、当該
ユーザのキー情報から削除するのを、効率的に阻止する
ことができ、内部ユーザ（例えば、オーソライゼーショ
ン・ステータスがモディファイされた者）のストアされ
た文書へのアクセスを拒否することができ、同様、当該
暗号化文書を配布し受け取る能力を拒否することができ
る。

【００５１】他の例では、ＣＰシステムはユーザアクセ
ス特権を他の方法でコントロールすることができる。例
えば、マルチプル・コーポレートキーペアを、組織内の
種々の定義されたグループのような階層レベルで定義し
使用することができる。よって、グループ・スーパバイ
ザはグループ・コーポレート・プライベートキーにアク
セスすることができる。そして、当該グループのメンバ
により配布され受け取られた情報が、グループパブリッ
クキーに対して暗号化された場合は、スーパバイザは当
該情報にアクセスすることができる。システムアドミニ
ストレータはＳＰシステムまたはＣＰシステムのいずれ
かに対して、他の管理機能、例えば、ＳＰシステムに指
示して、ストアされたキー情報の有効性を定期的にリビ
ューするか、ＳＰシステムとコンカレントに対話するこ
とができるＣＰシステムの数を制限する機能をパフォー
ムすることもできる。あるいはまた、当該システムアド
ミニストレータはハッシングか、キー発生か、セッショ
ンＩＤ発生アルゴリズムを、ＣＰおよびＳＰシステムで
モディファイすることができる。

【００５２】ＳＰシステムが適正なキー情報にアクセス
した後、ＣＰシステムは当該暗号化文書のコンテントに
アクセスすることができる。Document Distributorコン
ポーネントは内部ユーザまたは外部ユーザから、配布さ
れる種々の暗号化および非暗号化文書を受け取ることが
できる。Document Distributorコンポーネントが非暗号
化文書を受け取ると、Document Distributorコンポーネ
ントは当該文書をDocument Content Analyzer/Modifier
コンポーネントにホワードする。当業者にとって当然の
ことであるが、種々のタイプのコンテント分析を行うこ
とができる。コンテント分析としては、異なるＣＰシス
テムに行なわせる異なるタイプの分析か、所定のＣＰシ
ステムに行なわせるマルチプルタイプの分析がある。

【００５３】本実施の形態では、このDocument Content
Analyzer/Modifierコンポーネントは、コンプロマイズ
ドデータが当該文書に存在するか否かを判定する。肯定
判定した場合は、Document Content Analyzer/Modifier
コンポーネントは、削除可能であれば、このコンプロマ
イズドデータを削除し、また、必要なモディフィファイ
が可能でない場合は、当該文書の配布を阻止する。代替
例では、ＣＰシステム文書をモディファイすることがで
きないが、このような文書の配布を阻止するか、当該文
書をセキュアロケーションにホールドすることができ
る。これは人間または別の自動システムにより処理する
ためである。

【００５４】Document Content Analyzer/Modifierコン
ポーネントが、（そのままか、モディファイされるかの
いずれかで）当該文書を配布することができると判定す
るとともに、明示された受取人のうちの何人かが当該文
書を非暗号化形式で受け取ると判定した場合は、Docume
nt Content Analyzer/Modifierコンポーネントは非暗号
化文書をDocumentDistributorコンポーネントに戻す。
そして、Document Distributorコンポーネントは当該文
書を適正な受取人に送る。受取人が文書を受け取る形式
は種々の方法、例えば、送り側から明示するか、ＣＰま
たはＳＰシステムにより情報を優先してストアするか、
デフォルトで当該文書が受け取られた形式にするかし
て、決定することができる。

【００５５】Document Content Analyzer/Modifierコン
ポーネントが、当該文書を少なくとも幾人かの受取人
に、暗号化形式で送ると決定した場合は、当該文書（そ
のままか、モディファイするかのいずれかで）が、ＳＰ
システムのDecryptor/Encryptor３４５にホワードされ
る。SP Administratorコンポーネントからのメッセージ
の場合のように、SP Interfaceコンポーネントは、当該
メッセージをDecryptor/Encryptor３４５にホワードす
る前に、適正なセッションＩＤを当該メッセージに付加
する。Decryptor/Encryptor３４５が非暗号化文書を受
け取った後、必要な場合には、当該文書を暗号化するた
め種々のキー情報を使用し、そして、適正な受取人に配
布するため、当該暗号化文書をDocument Distributorコ
ンポーネントに返す。

【００５６】同様に、Document Distributorコンポーネ
ントが原始に暗号化メッセージを受け取った場合は、Do
cument Distributorコンポーネントは、非暗号化するた
め、まず、暗号化メッセージをDecryptor/Encryptorコ
ンポーネントにホワードする。そして、Decryptor/Encr
yptorコンポーネントは、暗号化文書を、Document Cont
ent Analyzer/Modifierコンポーネントに、分析のため
に供給する前に、当該メッセージを非暗号化するため、
当該キー情報を使用する。Document Content Analyzer/
Modifierコンポーネントが当該文書を受け取ると、当該
文書を分析し、モディファイする。このことを次に説明
する。

【００５７】当該文書がモディファイされない場合は、
Document Content Analyzer/Modifierコンポーネント
は、当該暗号化文書（例えば、一時的にストアされたコ
ピー）を前記適正な受取人にホワードする。他方、前記
文書を非暗号化形式で配布する必要がある場合は、Docu
ment Content Analyzer/Modifierコンポーネントは、当
該非暗号化文書をDocument Distributorコンポーネント
がさらに配布するため、Document Distributorコンポー
ネントに供給する。既に説明したように、当該文書がモ
ディファイされ、暗号化形式でさらに配布される場合
は、この暗号化形式のモディファイされた文書をDocume
nt Distributorコンポーネントがさらに配布するため、
当該モディファイされた文書がDocument Distributorコ
ンポーネントにホワードされる前に、当該モディファイ
された文書はDecryptor/Encryptorコンポーネントに暗
号化のために送り返される。

【００５８】当業者にとって当然のことであるが、コン
ピュータシステム３００は単に例示に過ぎず、本発明の
範囲を制限するためのものではない。コンピュータシス
テム３００はさらにコンポーネントを含むことができる
か、あるいは、幾つかの説明したコンポーネントを取り
除くこともできる。例えば、ＣＰおよびＳＰシステムは
個別のコンピュータ上で実行することができるか、単一
のシステムとして実行することができる。さらに、当業
者にとって当然のことであるが、Isolation APIを種々
の方法でインプリメントすることができる。したがっ
て、本発明は、他のコンピュータシステム構成とともに
実施することができる。

【００５９】図４はSP Interfaceルーチン４００の一例
を示すフローチャートである。SP Interfaceルーチンは
メッセージと文書をＳＰシステムと種々の他のＣＰシス
テム・コンポーネントの間で搬送する。その際、Isolat
ion APIを用いて、ＣＰシステムが、ＳＰシステムが利
用可能なプライベート暗号情報にアクセスできないよう
にする。SP Interfaceルーチンは、まず、ＣＰシステム
とＳＰシステムの間に、初期コネクションを確立する。
初期コネクションの確立は、例えば、ＣＰシステムが、
非暗号化データを受け取るのにオーソライズされている
ことを示すことにより行われる。そして、SP Interface
ルーチンは、ＣＰシステムの一致を確認する識別子を使
用して、ＣＰシステムからＳＰシステムに通信を行う。
本実施の形態では、あるタイプの情報のみをＳＰシステ
ムから受け取ることにより、Isolation APIがインプリ
メントされている。あるタイプの情報としては、文書
と、種々の定義されたＣＰシステム要求に対する応答が
ある。

【００６０】このルーチンはステップ４０５から開始さ
れる。ステップ４０５では、ＣＰシステム識別子が検索
されマスタＳＰシステムに送られる。このルーチンは、
ステップ４１０で、マスタＳＰシステムから、引き続
き、初期セッションＩＤをＣＰシステムのために受け取
る。そして、ステップ４１５にて、このルーチンは、マ
スタＳＰシステムから送られた文書を受け取るか、ＣＰ
システム・コンポーネントからマスタＳＰシステムに送
られたメッセージを受け取る。このルーチンは、ステッ
プ４２０にて、マスタＳＰシステムからの文書が受け取
られたか否かを判定する。そして、受け取られないと判
定した場合は、このルーチンは、ステップ４２５にて、
現在のセッションＩＤに基づき、新しいセッションＩＤ
を発生し、ステップ４３０にて、このルーチンは、受け
取ったメッセージと、発生したセッションＩＤを、マス
タＳＰシステムに送る。新しいセッションＩＤは種々の
方法で、例えば、初期セッションＩＤを、シェアード乱
数発生アルゴリズムのシードとして、発生することがで
きる。

【００６１】他方、ステップ４２０にて、マスタＳＰシ
ステムからの文書が受け取られたと判定した場合は、こ
のルーチンは、ステップ４３５にて、当該文書が暗号化
されたか否かを判定する。そして、当該文書が暗号化さ
れた場合は、ステップ４４５にて、当該暗号化文書をDo
cument Distributorコンポーネントに、Document Distr
ibutorコンポーネントがさらに配布するため、送られ
る。他方、当該文書が暗号化されなかった場合は、この
ルーチンは、ステップ４４０にて、非暗号化文書を、Do
cument Content Analyzer/Modifierコンポーネントに、
Document ContentAnalyzer/Modifierコンポーネントが
分析し可能なモディファイを行うため、Document Conte
nt Analyzer/Modifierコンポーネントに送られる。ステ
ップ４３０か、ステップ４４０か、ステップ４４５の
後、このルーチンは、ステップ４５０にて、さらに受け
取る文書またはメッセージが存在するか否かを判定す
る。存在すると判定した場合は、このルーチンはステッ
プ４１０に戻り、他方、存在しないと判定した場合は、
このルーチンはステップ４９５にて終了する。

【００６２】図５はSP Administratorルーチン５００の
一例を示すフローチャートである。このルーチンはＳＰ
システムに供給されるキー情報を受け取り、同様に、Ｓ
Ｐシステムに対する管理要求を受け取り、受け取った管
理要求またはキー情報をＳＰシステムにホワードする。
このルーチンはＳＰシステムからの要求に対する応答も
受け取り、受け取った応答をユーザに表示する。

【００６３】このルーチンはステップ５０５から開始さ
れる。ステップ５０５にて、システムアドミニストレー
タからの要求か、ストアされるキー情報を受け取る。こ
のルーチンは、ステップ５１０にて、キー情報が受け取
られたか否かを判定する。このキー情報は、組織の内部
または外部のユーザ宛にすることができ、種々の方法で
供給することができる。キー情報が受け取られた場合
は、このルーチンは、ステップ５１５にて、当該情報が
内部ユーザに宛てたものか否かを判定する。この判定は
種々の方法で行うことができる。このような方法として
は、明示的な識別子によるか、当該情報がどこから送ら
れたかによるか、全ての内部ユーザのリストにアクセス
することにより、行う方法がある。他方、当該情報が内
部ユーザに宛てたものである場合は、当該情報には、当
該ユーザのために、パブリックキーおよびプライベート
キーをともに含むべきであ。そして、このルーチンは、
ステップ５２０にて、内部ユーザのための当該パブリッ
クおよびプライベートキーペアをＳＰシステムに付加す
るための要求を、マスタＳＰシステムに送る。他方、ス
テップ５１５てに、当該キー情報が外部ユーザに宛てた
ものと判定した場合、パブリックキー情報のみを一時的
に供給する。そして、このルーチンは、ステップ５２５
にて、外部ユーザのためのパブリックキーのみを付加す
るという要求を、マスタＳＰシステムに送る。

【００６４】ステップ５１０にて、システムアドミニス
トレータ・ユーザからの要求が受け取られたと判定した
場合は、このルーチンは、ステップ５３０にて、当該要
求がコーポレートキーペアの付加か否かを判定する。肯
定判定した場合は、このルーチンは、ステップ５３５に
て、コーポレートキーペアを発生しＳＰシステムに付加
するという要求を、ＳＰシステムに送る。当該要求がコ
ーポレートキーペアを付加するという要求でない場合
は、このルーチンは、ステップ５４０にて、当該要求が
内部ユーザのキーの情報を削除するという要求か否かを
判定する。肯定判定した場合は、このルーチンは、ステ
ップ５５０にて、指定された内部ユーザのためのキーペ
ア情報を削除するという要求を、マスタＳＰシステムに
送る。当該要求が内部ユーザのキーを削除するという要
求でないが、他の幾つかのオーソライズされた管理機能
を要求する要求（例えば、外部ユーザのためのキー情報
を削除するという要求）である場合は、このルーチン
は、ステップ５４５にて、指定された機能をパフォーム
するという要求を、マスタＳＰシステムに送る。

【００６５】ステップ５３５か、ステップ５４５か、ス
テップ５５０の後、このルーチンは、ステップ５５５に
て、マスタＳＰシステムからの要求に対する応答を受け
取り、受け取った応答をシステムアドミニストレータに
表示する。ステップ５２０か、ステップ５２５か、ステ
ップ５５５の後、このルーチンは、ステップ５６０に
て、受け取るキーまたは要求があるか否かを判定する。
肯定判定した場合は、このルーチンはステップ５０５に
戻り、否定判定した場合は、このルーチンはステップ５
９５で終了する。当業者にとって当然のことであるが、
種々の他のタイプの要求を、システムアドミニストレー
タからか、あるいは、ＣＰシステムのユーザから受け取
ることができる。

【００６６】図６はMaster SP Systemルーチン６００の
一例を示すフローチャートである。Master SP Systemル
ーチンは、内部ユーザのためのパブリックおよびプライ
ベートキー情報を、コーポレートデータ回復の目的のた
めに、ストアし、外部ユーザのためのパブリックキー情
報をストアする。オーソライズされたＣＰシステムから
の文書を非暗号化および暗号化するという要求を受け取
ると、直ちに、このルーチンは、この要求をパフォーム
するため、ストアされているキー情報を用いる。さら
に、このルーチンは種々の管理要求を受け取りパフォー
ムすることができる。

【００６７】このルーチンはステップ６０５から開始さ
れる。ステップ６０５にて、識別子がＣＰシステムから
受け取られると、このルーチンは、ステップ６１０に
て、送り側のＣＰシステムの識別子が有効か否かを確認
するとともに、この送り側のＣＰシステムはＳＰシステ
ムへのアクセスがオーソライズされているか否かを確認
する。そして、ステップ６１３にて、当該識別子が有効
と判定した場合は、このルーチンは、ステップ６１５に
移行し、他方、当該識別子が有効でないと判定した場合
は、このルーチンは、ステップ６８５に移行する。ステ
ップ６１５にて、このルーチンは、ＣＰシステムとのセ
ッションのためのランダムな初期セッションＩＤを発生
する。この初期セッションＩＤは、ＣＰシステムからそ
の後に受け取られたセッションＩＤのシーケンスのため
の基礎（basis）を提供する。この基礎の提供は、例え
ば、シェアード乱数発生アルゴリズムのシードとして初
期セッションＩＤを用いて行われる。そして、このルー
チンは、ステップ６２０にて、発生されたセッションＩ
ＤをＣＰシステムに送る。

【００６８】ステップ６２５にて、このルーチンは、メ
ッセージとセッションＩＤをＣＰシステムから受け取
る。ステップ６３０にて、このルーチンは、当該セッシ
ョンＩＤの有効性を確認し、ステップ６３５にて、当該
セッションＩＤが有効か否かを判定する。当該セッショ
ンＩＤが有効でないと判定した場合は、このルーチン
は、ステップ６４０にて、エラーメッセージをＣＰシス
テムに送り、そして、ステップ６８５に移行する。他
方、ステップ６３５にて、当該セッションＩＤが有効と
判定した場合は、このルーチンは、ステップ６４５に
て、受け取ったメッセージのタイプを判定する。文書を
受け取った場合は、このルーチンは、ステップ６５０に
て、当該文書が暗号化されているか否かを判定する。肯
定判定した場合は、このルーチンは、ステップ６６０に
て、当該文書を、受取人のプライベートキーを用いて非
暗号化し、デジタル署名が含まれている場合は、送り側
のパブリックキーを用いて非暗号化する。他方、ステッ
プ６５０にて、当該文書が暗号化されていない場合は、
このルーチンは、ステップ６５５にて、意図された受取
人のパブリックキーとコーポレートパブリックキーを用
いて、当該文書を暗号化する。

【００６９】既に説明したように、このようなことは、
セッションキーを用いるか、各受取人のための異なるコ
ピーを使用して、行うことができる。さらに、当該メッ
セージの送り側が内部ユーザであって、この内部ユーザ
のためのプライベートキーをＳＰシステムが持つ場合
は、このＳＰシステムは、デジタル署名を行うため、プ
ライベートキーを用いることができる。ステップ６５５
またはステップ６６０の後、このルーチンは、ステップ
６６５にて、当該文書をＣＰシステムに送る。

【００７０】ステップ６４５にて、このルーチンが、当
該メッセージにキー情報を付加するかキー情報を削除す
る場合は、このルーチンは、ステップ６７０にて、要求
にしたがって、当該キー情報を付加するか削除する。こ
のキー情報の削除は、オーソライズされたユーザのみ、
例えば、システムアドミニストレータまたは当該キー情
報の所有者によりパフォームすることができる。

【００７１】そして、このルーチンは、ステップ６７２
にて、当該要求に応じてとったアクションを示す応答を
ＣＰシステムに送る。このルーチンは、ステップ６４５
にて、当該メッセージが他の幾つかのタイプの要求であ
ると判定した場合は、このルーチンは、ステップ６７５
にて、この要求が適正である場合には、要求をパフォー
ムする。そして、ステップ６７７にて、取ったアクショ
ンを示す応答をＣＰシステムに送る。ステップ６６５
か、ステップ６７２か、ステップ６７７の後、このルー
チンは、ステップ６８０にて、現在のＣＰシステムから
受け取るメッセージがあるか否かを判定する。そして、
肯定判定した場合は、このルーチンはステップ６２５に
戻り、否定判定した場合は、このルーチンはステップ６
８５に移行する。

【００７２】ステップ６８５にて、このルーチンは、当
該ＳＰシステムと通信を行う他のＣＰシステムが存在す
るか否かを判定する。肯定判定した場合は、ステップ６
０５に戻り、ＣＰシステムからの識別子を受けるために
待機する。他方、ステップ６８５にて、ＣＰシステムが
ないと判定した場合は、このルーチンはステップ６９５
にて終了する。当業者にとって当然のことであるが、こ
のルーチンを種々の方法で、例えば、マルチプルＣＰシ
ステムがＳＰシステムにコンカレントにアクセスするこ
とにより、モディファイすることができる。

【００７３】図７はDocument Distributorルーチン７０
０の一例を示すフローチャートである。Document Distr
ibutorルーチンは内部ユーザまたは外部ユーザから配布
される文書を受け取り、当該文書のコンテントを分析
し、必要に応じて、当該文書をモディファイする（例え
ば、不適正な情報を削除するか、法律上のディスクレマ
のような情報を付加する）、そして、当該文書を、暗号
化形式または非暗号化形式のいずれかで適正に配布す
る。

【００７４】このルーチンはステップ７０５から開始さ
れる。ステップ７０５にて、１人以上の受取人のリスト
に配布される文書を受け取る。このルーチンは、ステッ
プ７１０にて、Analyze And Modify Document Via Isol
ation APIサブルーチンを実行する。そして、ステップ
７１５にて、このルーチンは、当該文書を受取人に配布
するため、Distribute Documentサブルーチンを実行す
る。そして、このルーチンは、ステップ７２０にて、受
け取るる文書が存在するか否かを判定する。肯定判定し
た場合は、このルーチンはステップ７０５に戻り、他
方、否定判定した場合は、このルーチンはステップ７９
５で終了する。

【００７５】図８はAnalyze And Modify Document Via
Isolation APIサブルーチン７１０の一例を示すフロー
チャートである。このサブルーチンは、分析される文書
（暗号化または非暗号化のいずれか）を受け取り、当該
文書が暗号化されている場合は、当該文書を非暗号化
し、当該非暗号化文書を分析し、必要ならモディファイ
する。このルーチンはステップ８０５から開始される。
ステップ８０５にて、受け取った文書が暗号化されてい
るか否かを判定する。肯定判定した場合は、このルーチ
ンは、ステップ８１０にて、当該暗号化文書を、文書送
り側および受け取り側情報を含めて、マスタＳＰシステ
ムに、非暗号化のために送る。ＳＰシステムへの他のこ
のようなメッセージの場合と同様に、SP Interfaceルー
チンは、必要な場合には、当該通信を管理する。そし
て、ステップ８１５にて、このサブルーチンは、当該文
書の非暗号化コピーをマスタＳＰシステムから受け取
る。

【００７６】ステップ８１５の後か、あるいは、ステッ
プ８０５にて当該文書が暗号化されていないと判定した
場合は、このサブルーチンは、ステップ８２０にて、当
該文書のコンテント、例えば、コンプロマイズドデータ
のコンテントを分析する。そして、このルーチンは、ス
テップ８２５にて、コンプロマイズドデータが見付けら
れたか否かを判定する。肯定判定した場合は、このサブ
ルーチンは、ステップ８３０にて、コンプロマイズドデ
ータを当該文書から削除する。ステップ８３０の後か、
あるいは、ステップ８２５にて、コンプロマイズドデー
タが存在しないと判定した場合は、このサブルーチン
は、ステップ８３５にて、ＣＰシステムにより分析が行
われたことを確認する情報を当該文書に付加する。そし
て、このサブルーチンは、ステップ８９５に移行し、そ
の後、戻る。当業者にとって当然のことであるが、非暗
号化文書のコンテントは種々の方法で分析することがで
きる。

【００７７】図９はDistribute Documentサブルーチン
７１５の一例を示すフローチャートである。このサブル
ーチンは、配布される非暗号化文書を受け取り分析し、
当該文書を、暗号化または非暗号化形式で種々の受取人
に配布するかどうかを判定し、ついで、当該文書を適正
に配布する。このサブルーチンはステップ９０５から開
始される。ステップ９０５にて、受取人がいる場合は、
どの受取人が当該文書を暗号化形式で受け取るかを判定
する。そして、このサブルーチンは、ステップ９１０に
て、このように判定された受取人が存在するか否かを判
定する。存在しないと判定した場合は、このサブルーチ
ンはステップ９３５に移行する。

【００７８】他方、このように判定された受取人が存在
すると判定した場合は、サブルーチンは、ステップ９１
５にて、非暗号化文書を、当該文書の送り側と受け取り
側の情報を含めて、マスタＳＰシステムに送る。ステッ
プ９２０にて、このサブルーチンは、マスタＳＰシステ
ムからの当該文書のコピーであって、判定された受取人
のために暗号化され、同様に、コーポレートデータ回復
キーのための暗号化コピーを受け取る。このサブルーチ
ンは、ステップ９２５にて、当該暗号化文書をこの判定
された受取人に送り、ステップ９３０にて、その後にコ
ーポレートデータを検索するため、当該暗号化文書をス
トアする。ステップ９３５にて、このサブルーチンは、
当該文書を暗号化形式で受け取っていない受取人に、非
暗号化文書を送り、ステップ９９５（return）に移行す
る。当業者にとって当然のことであるが、当該文書を暗
号化形式で受け取る受取人に種々の方法で送る。これら
の方法としては、例えば、可能であれば、当該文書を常
に暗号化形式で送る方法か、内部ユーザ−外部ユーザへ
のDocument Distributorに対する予め定めたガイドライ
ンを使用する方法か、送り側からの明示の指示を受け取
る方法か、あるいは、当該文書を暗号化形式で送るか否
かを示すため、送り側から受け取ったような当該文書の
オリジナルな形式を用いる方法がある。

【００７９】以上、本発明の実施の形態を説明したが、
これら実施の形態は説明のために過ぎず、本発明の精神
および範囲を逸脱しない限り種々の変更も可能である、
ことは当然のことである。従って、本発明は、特許請求
の範囲により制限される他は制限されるものではない。

【図面の簡単な説明】

【図１】本発明のコンテントプロセッサシステムの一例
を示すブロック図である。

【図２】本発明のコンテントプロセッサシステムの一例
を示すブロック図である。

【図３】本発明のコンテントプロセッサシステムのコン
テントおよび情報のフローを示すブロック図である。

【図４】SP Interfaceルーチンの処理手順の一例を示す
フローチャートである。

【図５】SP Administratorルーチンの処理手順の一例を
示すフローチャートである。

【図６】Master SP Systemルーチンの処理手順の一例を
示すフローチャートである。

【図７】Document Distributorルーチンの処理手順の一
例を示すフローチャートである。

【図８】Analyze And Modify Document Via Isolation
APIサブルーチンの処理手順の一例を示すフローチャー
トである。

【図９】Distribute Documentサブルーチンの処理手順
の一例を示すフローチャートである。

【図１０】パブリックキー暗号化を用いて電子文書を配
布する例を示す図である。

───────────────────────────────────────────────────── フロントページの続き (71)出願人 500002065 1220 Ｐａｒｋｖｉｅｗ Ａｒｌｉｎｇｔ ｏｎ Ｂｕｓｉｎｅｓｓ Ｐａｒｋ Ｔｈ ｅａｌｅ，Ｂｅｒｋｓｈｉｒｅ ＲＧ７ ４ＳＡ Ｕｎｉｔｅｄ Ｋｉｎｇｄｏｍ

Claims (58)

【特許請求の範囲】
1. 【請求項１】 プライベート暗号情報にアクセスせず
   に、該プライベート暗号情報によりデータのコンテント
   にアクセスさせるように暗号化したコンテントにアクセ
   スする、コンピュータによりインプリメントされた方法
   において、 プライベート暗号情報にアクセスするセキュリティプロ
   バイダとの間で信用を確立するステップと、 暗号化データの指示を受け取るステップと、 ユーザ入力で前記コンテントにアクセスしないステップ
   であって、前記暗号化データの前記セキュリティプロバ
   イダに通知し、前記コンテントにアクセス可能な暗号化
   データの非暗号化コピーを前記信用に基づき前記セキュ
   リティプロバイダから受け取り、前記プライベート暗号
   情報にはアクセスせずに、前記データのコンテントにア
   クセスするステップとを備えたことを特徴とする方法。
2. 【請求項２】 請求項１において、 前記暗号化データは、送り側から受取人に配布される電
   子メッセージの暗号化コピーであり、 前記信用を確立するステップは、 プライベート暗号情報にアクセスしないメッセージアナ
   ライザによりコントロールされており、 前記メッセージアナライザの識別子の一致を識別する一
   致識別子をセキュリティプロバイダに送るステップを含
   み前記セキュリティプロバイダに通知するステップは、
   前記データの暗号化コピーを前記セキュリティプロバイ
   ダに送るステップを含み前記セキュリティプロバイダ
   は、 前記一致識別子をメッセージアナライザから受け取り、 前記メッセージアナライザから前記暗号化コピーを受け
   取り、 前記メッセージアナライザの一致が一致識別子により確
   認されたとき、前記メッセージの暗号化コピーを、前記
   プライベート暗号情報を用いて非暗号化し、非暗号化コ
   ピーを作成し、 前記メッセージアナライザに前記非暗号化コピーを送
   り、 前記メッセージアナライザは、前記非暗号化コピーを受
   け取った後、 前記非暗号化コピーのコンテントを分析して、前記メッ
   セージの前記受取人への配布が許可できるか否かを判定
   し、 前記配布が許可できると判定したとき、前記メッセージ
   を受取人に配布し、 前記メッセージアナライザは、前記プライベート暗号情
   報にアクセスせずに、前記メッセージのコンテントにア
   クセスすることができることを特徴とする方法。
3. 【請求項３】 請求項２において、 前記暗号化コピーは前記受取人のパブリックキーを使用
   して暗号化され、 前記非暗号化のために前記セキュリティプロバイダによ
   り使用された前記プライベート暗号情報は、前記受取人
   のプライベートキーを含み、 前記パブリックキーおよび前記プライベートキーはキー
   ペアを形成し、 前記メッセージアナライザは前記プライベートキーにア
   クセスしないことを特徴とする方法。
4. 【請求項４】 請求項２において、 暗号化コピーの少なくとも一部は、送り側のプライベー
   トキーを使用して、追加的に暗号化され、 前記セキュリティプロバイダは、暗号化コピーの少なく
   とも一部に対するパブリックキーと、キーペアを構成す
   るパブリックおよびプライベートキーを追加的に用いる
   ことを特徴とする方法。
5. 【請求項５】 請求項２において、 前記配布は、分析の結果、非暗号化コピーのコンテント
   がコンプロマイズドデータを含む場合は、不許可と判定
   され、 前記メッセージのモディファイされたコピーを受取人に
   配布する前に、前記コンプロマイズドデータを削除する
   ために、前記配布が不許可と判定されたとき、メッセー
   ジアナライザの制御により、非暗号化コピーをモディフ
   ァイするステップを含むことを特徴とする方法。
6. 【請求項６】 請求項２において、メッセージアナライ
   ザとセキュリティプロバイダの間の通信は、セキュリテ
   ィプロバイダがアクセス可能なプライベート暗号情報
   に、アイソレーションＡＰＩがアクセスできないように
   することを特徴とする方法。
7. 【請求項７】 請求項６において、前記メッセージアナ
   ライザと前記セキュリティプロバイダは単一のソフトウ
   エアプログラムであることを特徴とする方法。
8. 【請求項８】 請求項２において、 前記メッセージアナライザは、 非暗号化メッセージを非暗号化するため、別のプライベ
   ート暗号情報を用いることを停止するという要求をユー
   ザから受け、 前記要求をセキュリティプロバイダに送り、 前記セキュリティプロバイダは、 前記送られた要求を受け、 前記メッセージアナライザの識別子を確認した後、前記
   受けた要求を満足させることを特徴とする方法。
9. 【請求項９】 請求項１において、 前記データは少なくとも１つの受取人への通信であり、 本方法は、前記受取人のうちの任意の受取人によって前
   記通信が受信される前に実施されることを特徴とする方
   法。
10. 【請求項１０】 請求項９において、前記コンテントが
    前記任意の受取人により受け取るのが適正でない情報を
    含むとき、前記任意の受取人が当該通信を受信するの
    を、前記受取人のために阻止することを特徴とする方
    法。
11. 【請求項１１】 請求項９において、前記少なくとも一
    人の受取人に対して、前記コンテントが、前記受取人が
    受け取るのに適正でない情報を含むとき、前記通信が前
    記受取人により受け取られる前に、前記適正でない情報
    を除去するため、前記通信をモディファイすることを特
    徴とする方法。
12. 【請求項１２】 請求項９において、前記受取人のうち
    の少なくとも一人の受取人か当該通信の送り側は、ある
    グループのメンバであり、 本方法は、前記グループのメンバの間での通信を配布す
    るゲートウェイによって実施されることを特徴とする方
    法。
13. 【請求項１３】 請求項１において、 前記データは、暗号化されたデータであって、オーソラ
    イズされたユーザのみが前記コンテントにアクセスする
    ことができるようにしたデータであり、 本発明は、オーソライズされたユーザにとって前記コン
    テントが利用可能になる前に実施されることを特徴とす
    る方法。
14. 【請求項１４】 請求項１３において、前記オーソライ
    ズされた各ユーザは、それぞれ、前記情報が前記オーソ
    ライズされたユーザにとって適正でないコンテントを含
    むとき、前記コンテントにアクセスできないことを特徴
    とする方法。
15. 【請求項１５】 請求項１３において、前記オーソライ
    ズされたユーザは、それぞれ、前記情報が前記オーソラ
    イズされたユーザに利用可能にするのに適正でないコン
    テントを含むとき、前記コンテントが前記オーソライズ
    されたユーザに利用可能になる前に、前記情報を削除す
    るため、前記文書をモディファイすることを特徴とする
    方法。
16. 【請求項１６】 請求項１において、プライベート暗号
    情報にアクセスするユーザにとって前記コンテントが利
    用可能であるか否かを判定するため前記コンテントを分
    析するステップを含むことを特徴とする方法。
17. 【請求項１７】 請求項１６において、前記分析の結
    果、前記コンテントがコンプロマイズドデータを含む場
    合に、前記コンテントが適正であると判定することを特
    徴とする方法。
18. 【請求項１８】 請求項１７において、前記コンプロマ
    イズドデータは攻撃的な情報を含むことを特徴とする方
    法。
19. 【請求項１９】 請求項１７において、前記コンプロマ
    イズドデータは不正確な情報を含むことを特徴とする方
    法。
20. 【請求項２０】 請求項１７において、前記コンプロマ
    イズドデータは優先的なビジネス情報を含むことを特徴
    とする方法。
21. 【請求項２１】 請求項１７において、前記コンプロマ
    イズドデータは、暗号化データの作成者にとってプライ
    ベートな情報を含むことを特徴とする方法。
22. 【請求項２２】 請求項１７において、前記コンプロマ
    イズドデータは機能的な能力を有するモバイルコードを
    含むことを特徴とする方法。
23. 【請求項２３】 請求項１７において、 前記分析により、前記コンテントがコンプロマイズドデ
    ータを含むことが判明したとき、前記コンプロマイズド
    データを前記非暗号化コピーから削除するステップと、 前記削除を行った後、前記非暗号化コピーを暗号化する
    ステップと、 前記コンプロマイズドデータを欠く前記暗号化コピー
    と、前記暗号化データを置換するステップとを含むこと
    を特徴とする方法。
24. 【請求項２４】 請求項１６において、示されたデータ
    が暗号化されてないと判定されたとき、前記セキュリテ
    ィプロバイダに通知したり、前記非暗号化コピーを前記
    セキュリティプロバイダから受け取ったりしないで、前
    記示されたデータを分析するステップを含むことを特徴
    とする方法。
25. 【請求項２５】 請求項１において、本方法が、前記セ
    キュリティプロバイダを供給するベンダと異なるベンダ
    からのソフトウエアにより実施されることを特徴とする
    方法。
26. 【請求項２６】 請求項１において、 前記セキュリティプロバイダは、指定されたセキュリテ
    ィ規格を有し、 確立された信用に基づき、 本方法を実施するものは、前記指定されたセキュリティ
    規格と少なくとも同程度のセキュリティ規格を有する
    と、前記セキュリティプロバイダを取り扱うことを特徴
    とする方法。
27. 【請求項２７】 請求項１において、前記信用を確立す
    るステップは、 前記セキュリティプロバイダへの初期の通信で、信頼あ
    るソースから証明を供給し、 前記セキュリティプロバイダへのその後の通信で、前記
    セキュリティプロバイダにより示された識別子を供給す
    ることを特徴とする方法。
28. 【請求項２８】 請求項１において、前記信用を確立す
    るステップは、本方法を実施するものの一致を供給する
    ことを特徴とする方法。
29. 【請求項２９】 請求項１において、前記セキュリティ
    プロバイダは複数のユーザのためのプライベート暗号情
    報にアクセスし、 暗号化データを非暗号化するため、前記１つのプライベ
    ート暗号情報を使用するように、前記セキュリティプロ
    バイダに示し、その後、前記１つのユーザのために暗号
    化されたデータに前記セキュリティプロバイダがアクセ
    スできなくすることを特徴とする方法。
30. 【請求項３０】 請求項１において、 前記セキュリティプロバイダは、指定されたグループの
    各メンバの前記プライベート暗号情報をストアするよう
    に委任され、 前記セキュリティプロバイダは、前記メンバのうちの一
    人のメンバに対して、前記データが暗号化されたとき非
    暗号化コピーを供給するため、ストアされているプライ
    ベート暗号情報を用いることを特徴とする方法。
31. 【請求項３１】 請求項１において、 第２グループのデータの指示を受け取るステップと、 プライベート暗号情報が前記文書の内容にアクセスする
    必要があるように、前記第２グループのデータが暗号化
    されているか否かを判定するとき、 前記暗号化された第２グループのデータをセキュリティ
    プロバイダに通知し、 前記コンテントにアクセス可能な前記第２グループのデ
    ータの非暗号化コピーを前記セキュリティプロバイダか
    ら受け取り、 前記非暗号化コピーを分析し、分析結果に基づき、前記
    コンテントを、前記プライベート暗号情報と前記第２グ
    ループのデータにアクセスするユーザにとって、利用可
    能にするのが適正か否かを判定するステップと、 プライベート暗号情報により前記文書の内容にアクセス
    させる必要があるように、前記第２グループのデータが
    暗号化されているか否かを判定するとき、 前記プライベート暗号情報にアクセスせずに、前記示さ
    れた第２グループのデータを分析し、分析結果に基づ
    き、前記第２グループのデータにアクセスするユーザに
    とって前記コンテントを利用可能にするのが適正か否か
    を判定するステップとを含むことを特徴とする方法。
32. 【請求項３２】 請求項３１において、 前記第２グループのデータは少なくとも一人の受取人に
    対する暗号化通信であり、 本方法は、前記受取人のうちの任意の受取人により前記
    通信が受信される前に、実施されることを特徴とする方
    法。
33. 【請求項３３】 請求項３１において、前記第２グルー
    プのデータは、オーソライズされたユーザのみが前記文
    書の前記コンテントにアクセスできるように、暗号化さ
    れた文書であり、 本方法は、前記文書の前記コンテントが前記オーソライ
    ズされたユーザに利用可能になる前に、パフォームされ
    ることを特徴とする方法。
34. 【請求項３４】 請求項３１において、前記コンテント
    が、利用可能にするのに不適正な情報を含むとき、前記
    コンテントにユーザがアクセスするのを阻止するステッ
    プを含むことを特徴とする方法。
35. 【請求項３５】 請求項３１において、 前記プライベート暗号情報により前記コンテントにアク
    セスさせるように、前記第２グループのデータが暗号化
    されているか否かを判定するとき、 前記非暗号化コピーを受け取るため、本方法がパフォー
    マが信用されているか否かを確認する識別子を、前記セ
    キュリティプロバイダに供給するステップを含むことを
    特徴とする方法。
36. 【請求項３６】 請求項３１において、前記セキュリテ
    ィプロバイダは、指定されたグループの各メンバの前記
    プライベート暗号情報をストアするのに信用されてお
    り、 前記セキュリティプロバイダは、前記メンバのために暗
    号化されストアされた非暗号化コピーと、前記メンバと
    の間で通信を行った暗号化データの非暗号化コピーを供
    給するため、前記ストアされたプライベート暗号情報を
    使用することを特徴とする方法。
37. 【請求項３７】 請求項１において、 前記信用の確立は送り側により行われ、 本方法は、前記セキュリティプロバイダの制御により、 前記送り側からの識別子であって、前記送り側が前記プ
    ライベート暗号情報にアクセスしないとしても、前記デ
    ータのコンテントにアクセスするのに、前記送り側が信
    用されていることを確認する識別子を受け取るステップ
    と、 前記暗号化データの指示を受け取るステップとを含み、 前記識別子が、前記送り側が信用される予定であること
    を確認したとき、 前記プライベート暗号情報にアクセスせずに、 前記プライベート暗号情報を使用して前記暗号化データ
    を非暗号化し、 前記データの非暗号化コピーを前記送り側に送り、前記
    送り側が前記データの前記コンテントを分析するように
    して前記送り側を前記暗号化データのコンテントにアク
    セスさせるステップを含むことを特徴とする方法。
38. 【請求項３８】 請求項３７において、 前記データは少なくとも一人の受取人のために暗号化さ
    れた通信であり、 前記送り側は前記受取人のうちの一人ではなく、 前記方法は、前記通信が前記受取人のうちの任意の受取
    人により受信される前に、実施されることを特徴とする
    方法。
39. 【請求項３９】 請求項３７において、 前記データは、オーソライズされたユーザのみが前記文
    書のコンテントにアクセスすることができるように暗号
    化された文書であり、 前記送り側は、前記オーソライズされたユーザではな
    く、 本方法は、前記オーソライズされたユーザにとって前記
    文書のコンテントが利用可能になる前に、実施されるこ
    とを特徴とする方法。
40. 【請求項４０】 請求項３７において、前記送り側は、
    前記コンテントが利用可能になるのが適正でないとき、
    前記送り側が前記コンテントにアクセスするのを阻止す
    ることを特徴とする方法。
41. 【請求項４１】 請求項３７において、指定されたグル
    ープの各メンバの前記プライベート暗号情報は、ストア
    されており、 前記メンバのためにストアされるとともに、前記メンバ
    との間で通信が行われた暗号化データの非暗号化に、前
    記ストアされたプライベート暗号情報を使用し、 前記ストアされるとともに通信が行われたデータは、前
    記非暗号化された後、前記送り側により分析されること
    を特徴とする方法。
42. 【請求項４２】 プライベート暗号情報に当該コンテン
    トをアクセスさせるように暗号化されたデータのコンテ
    ントに、コンピュータをコントロールしてアクセスさせ
    る命令を含むコンピュータ読み取り可能な記録媒体であ
    って、 前記コンテントの前記アクセスは、前記プライベート暗
    号情報にアクセスせずに、 プライベート暗号情報にアクセスするセキュリティプロ
    バイダとの信用を確立し、 暗号化データの指示を受け取り、 当該コンテントにアクセスし、 前記暗号化データを前記セキュリティプロバイダに通知
    し、 前記コンテントがアクセス可能になるように暗号化され
    たデータの非暗号化コピーを、前記セキュリティプロバ
    イダから、前記信用に基づき、受け取るステップを含む
    ことを特徴とする記録媒体。
43. 【請求項４３】 請求項４２において、前記データは少
    なくとも一人の受取人に対する暗号化通信であり、 前記コンピュータは、前記通信が前記受取人のうちの任
    意の受取人により受け取られる前に、前記コンテントに
    アクセスすることを特徴とする記録媒体。
44. 【請求項４４】 請求項４２において、 前記データは、オーソライズされたユーザのみが前記文
    書のコンテントにアクセスすることができるように暗号
    化された文書であり、 前記コンピュータは、前記文書のコンテントが、前記オ
    ーソライズされたユーザにとって利用可能になる前に、
    前記コンテントにアクセスすることを特徴とする記録媒
    体。
45. 【請求項４５】 請求項４２において、前記コンピュー
    タは、 利用可能になるのが適正でない情報が、前記コンテント
    に含まれるとき、ユーザが前記データのコンテントにア
    クセスできないようにさらにコントロールすることを特
    徴とする記録媒体。
46. 【請求項４６】 請求項４２において、前記セキュリテ
    ィプロバイダは、指定されたグループの各メンバのプラ
    イベート暗号情報をストアするのに、信用されており、 前記セキュリティプロバイダは、前記メンバのために暗
    号化されストアされたデータの非暗号化コピーと前記メ
    ンバとの間で通信された暗号化データの非暗号コピーを
    供給するため、前記ストアされたプライベート暗号情報
    を使用することを特徴とする記録媒体。
47. 【請求項４７】 請求項４２において、前記コンピュー
    タは、前記コンテントを利用可能にするのが適正か否か
    を判定するため、前記非暗号化コピーを分析することを
    特徴とする記録媒体。
48. 【請求項４８】 請求項４２において、 前記セキュリティプロバイダは、複数のユーザのための
    プライベート暗号情報にアクセスし、 前記コンピュータは、暗号化データを非暗号化するた
    め、前記ユーザのうちの一人の有するプライベート暗号
    情報を使用するのを停止することを、前記セキュリティ
    プロバイダに示し、これを示した後は、前記セキュリテ
    ィプロバイダによるアクセスを不可能にするようにさら
    にコントロールされることを特徴とする記録媒体。
49. 【請求項４９】 プライベート暗号情報によりデータの
    コンテントにアクセスさせるように暗号化されたデータ
    のコンテントにアクセスするコンピュータシステムであ
    って、前記コンテントのアクセスを、前記プライベート
    暗号情報にアクセスせずに行うコンピュータシステムに
    おいて、 前記暗号化データの指示を受け取るコンテントアナライ
    ザであって、前記プライベート暗号情報にアクセスする
    セキュリティプロバイダに前記暗号化データを通知する
    とともに、前記コンテントにアクセス可能になるよう
    に、前記暗号化データの非暗号化コピーを前記セキュリ
    ティプロバイダから受け取って、前記コンテントにアク
    セスするコンテントアナライザと、 前記アナライザを実行させることができるメモリとを備
    えたことを特徴とするコンピュータシステム。
50. 【請求項５０】 請求項４９において、前記コンテント
    アナライザは、前記非暗号化コピーの受取が可能な前記
    セキュリティプロバイダとの信用のレベルを追加的に確
    立することを特徴とするコンピュータシステム。
51. 【請求項５１】 請求項４９において、前記セキュリテ
    ィプロバイダは、 前記コンテントアナライザからの暗号化データの通知を
    受け取り、 プライベート暗号情報を用いて暗号化データを非暗号化
    し、しかも、前記データの非暗号化コピーを前記コンテ
    ントアナライザに送ることにより、前記コンテントアナ
    ライザに、プライベート暗号情報にアクセスさせずに、
    前記暗号化データのコンテントにアクセスさせることを
    特徴とするコンピュータシステム。
52. 【請求項５２】 請求項５１において、前記コンテント
    アナライザにアクセスせずに、前記プライベート暗号情
    報にストアするためのストレージ装置をさらに備えたこ
    とを特徴とするコンピュータシステム。
53. 【請求項５３】 請求項４９において、 アイソレーションＡＰＩであって、該アイソレーション
    ＡＰＩを介して、前記メッセージアナライザと前記セキ
    ュリティプロバイダの間で通信を行い、セキュリティプ
    ロバイダにアクセス可能なプライベート暗号情報にメッ
    セージアナライザがアクセスできないようにするアイソ
    レーションＡＰＩをさらに備えたことを特徴とするコン
    ピュータシステム。
54. 【請求項５４】 請求項４９において、前記コンテント
    アナライザは、前記コンテントが適正に利用可能か否か
    を判定するため、非暗号化コピーを追加的に分析するこ
    とを特徴とするコンピュータシステム。
55. 【請求項５５】 請求項５４において、 前記データは少なくとも一人の受取人に対する暗号化通
    信であり、 前記コンテントアナライザは、前記通信が受取人により
    受信される前に、前記コンテントを分析することを特徴
    とするコンピュータシステム。
56. 【請求項５６】 請求項５４において、 前記データは、オーソライズされたユーザのみが前記文
    書のコンテントにアクセスすることができるように暗号
    化された文書であり、 前記コンテントアナライザは、前記文書のコンテント
    が、オーソライズされたユーザに利用可能になる前に、
    前記コンテントを分析することを特徴とするコンピュー
    タシステム。
57. 【請求項５７】 請求項５４において、前記コンテント
    アナライザは、当該コンテントが適正でないと判定され
    た場合に、前記データのコンテントにユーザがアクセス
    できないように追加的にすることを特徴とするコンピュ
    ータシステム。
58. 【請求項５８】 請求項４９において、 前記セキュリティプロバイダは複数のユーザのためのプ
    ライベート暗号情報にアクセスし、 前記コンテントは、暗号化データを非暗号化するため、
    前記ユーザのうちの一人のユーザのプライベート暗号情
    報を使用することを停止させることを、前記セキュリテ
    ィプロバイダに追加的に示し、前記一人のユーザのため
    に暗号化されたデータを示すことが、前記コンテントア
    ナライザによりアクセスされないようにすることを特徴
    とするコンピュータシステム。