JP2002082834A - 履歴管理用の記憶媒体及びｉｃカード - Google Patents

Abstract

(57)【要約】 【課題】 管理者による履歴の改ざんを阻止する。 【解決手段】 管理者の操作履歴に対して各履歴データ
毎に認証子Ｃをつけるので、履歴データが改ざんされて
いない旨と、個々の履歴データの連鎖性とを保証する。
また、最新の認証子Ｃの比較結果をも検証するので、最
新の履歴データが削除されていない旨をも保証する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、計算機システムの
操作の履歴管理を実現するための履歴管理用の記憶媒体
及びＩＣカードに係り、特に、管理者による履歴の改ざ
んを阻止し得る履歴管理用の記憶媒体及びＩＣカードに
関する。

【０００２】

【従来の技術】従来、計算機システムでは、個人のファ
イルの覗き見又は改変等の不正アクセスや、ネットワー
ク設定等の不正な改変といった様々な不正操作を阻止す
る観点から、履歴管理用のプログラムがインストールさ
れて実行されている。図１４はこの種の計算機システム
の概略を示す模式図であり、図１５はこの計算機システ
ムの構成を示す機能ブロック図である。

【０００３】この計算機システムは、計算機１０とサー
バ装置２０とがネットワークＮＷを介して接続され、サ
ーバ装置２０には管理操作用のコンソール１０^＊が接続
されている。但し、コンソール１０^＊と計算機１０とは
基本的に同一構成であり、ネットワークを介するか否か
の違いしかないので、以後の説明では、コンソール１０
^＊からの管理操作の記載を省略し、計算機１０からの管
理操作を例に挙げて述べる。

【０００４】一般に、計算機１０は任意の部屋に設置さ
れるが、サーバ装置２０は、物理的な脅威から保護され
るように、計算機１０の部屋とは異なる安全な部屋に設
置される。システム管理者は、システムの全操作を実行
可能な権限を有し、計算機１０をネットワークＮＷ経由
でサーバ装置２０に接続して管理操作を行なう。

【０００５】ここで、計算機１０は、例えばパーソナル
コンピュータ（ＰＣ）等が使用可能であり、サーバ装置
２０のソフトウェアを遠隔管理するための管理ソフトウ
ェアがインストールされている。計算機１０は、具体的
には図１５に示すように、システム管理者の管理操作用
の視覚的ツールであるＧＵＩ(Graphical User Interfac
e)１１と、システム管理者によるＧＵＩ１１の操作に基
づき管理用のコマンド電文を作成するコマンド発行機能
１２と、この作成されたコマンド電文をネットワークＮ
Ｗ経由でサーバ装置２０に送出するソケット１３とがイ
ンストールされている。

【０００６】サーバ装置２０は、サービスを提供するソ
フトウェアがインストールされて稼働しており、具体的
には、計算機１０からのコマンド電文を受け取るソケッ
ト２１と、この受け取ったコマンド電文を解釈するコマ
ンド解釈機能２２と、コマンド電文を解釈したコマンド
解釈機能２２に制御され、サーバ装置２０の各種の管理
をコマンド電文に応じて個別に実行する複数の管理機能
２３（Ａ，Ｂ，Ｃ，…）とがインストールされ、コマン
ド解釈機能２２により、管理機能２３にて実行された管
理操作の履歴が記録される履歴テーブル２４が形成され
て使用されている。

【０００７】ここで、履歴テーブル２４は、図１６に一
例を示すように、個々の管理操作（コマンド電文）に対
応して各行毎に、Ｎｏ．（連番の番号）、コマンド（操
作内容）、パラメータ及び実行結果（成功又は失敗）が
記録された表形式の記憶領域である。この履歴テーブル
２４の参照により、システム管理者による管理操作は、
その実行順序に沿って履歴管理されている。

【０００８】

【発明が解決しようとする課題】しかしながら以上のよ
うな履歴管理では、第三者に対しては不正操作の痕跡を
記録することから不正操作を阻止し得るものの、システ
ム管理者に対しては不正操作の痕跡が消去可能であるこ
とから不正操作を阻止し得ない状況にある。

【０００９】詳しくは、システム管理者は、計算機シス
テムの全操作の権限を持つため、不正操作が履歴テーブ
ル２４に記録されても、自己の操作権限により、履歴テ
ーブル２４を改ざんして不正操作の痕跡を消去可能であ
るからである。

【００１０】なお、履歴テーブル２４の改ざん内容とし
ては、次の（１）〜（５）に示す５種類又はこれらの組
合せが考えられる。 （１）履歴の１行（最新の履歴を除く）を削除 （２）履歴テーブルの最新の履歴を削除 （３）履歴の１行について改変 （４）虚偽の履歴を途中の行の間に挿入 （５）虚偽の履歴を最新の行の後に追加 一方、このようなシステム管理者による履歴テーブル２
４の改ざんを不可能とする観点から、システム全体の操
作権限を分割する場合がある。この場合、システム操作
の権限をもつ管理者と、ネットワーク操作やアプリケー
ション操作の権限をもつ管理者とを異なる人物に担当さ
せている。しかしながら、この場合でも管理者同士の結
託により、履歴テーブル２４が改ざんされる可能性があ
る。

【００１１】従って、たとえ履歴テーブル２４の操作権
限を持つ管理者であっても、履歴テーブル２４の改ざん
を不可能とする技術が必要とされている。

【００１２】本発明は上記実情を考慮してなされたもの
で、管理者による履歴の改ざんを阻止し得る履歴管理用
の記憶媒体及びＩＣカードを提供することを目的とす
る。

【００１３】

【課題を解決するための手段】第１の発明は、計算機シ
ステムの操作の履歴管理を実現するための履歴管理用の
コンピュータ読取り可能な記憶媒体であって、前記計算
機システムのコンピュータを、前記操作毎に今回の履歴
データ及び認証子が追加的に記憶される履歴テーブルを
形成するテーブル形成手段、前記操作毎に今回の履歴デ
ータ及び前回の認証子に基づいて今回の認証子が生成さ
れると、この今回の認証子を前記今回の履歴データと組
にして前記履歴テーブルに記憶させる履歴管理手段、と
して機能させるためのプログラムが記憶されたコンピュ
ータ読取り可能な記憶媒体である。ここで、履歴データ
は、例えばコマンド、パラメータ及び実行結果の組であ
り、所望によって以上の組に行番号を含めてもよい。

【００１４】このように、管理者の操作履歴に対する各
履歴データ毎に、前回の認証子をも含んで生成した認証
子をつけるので、履歴データが改ざんされていない旨
と、個々の履歴データの連鎖性とを保証でき、もって、
管理者による履歴の改ざんを阻止することができる。

【００１５】第２の発明は、第１の発明において、前記
計算機システムのコンピュータを、前記履歴テーブル内
の各回の履歴データ毎に、当該回の履歴データと当該回
の前回の認証子とに基づいて、当該回の認証子が生成さ
れるか否かを定期的に検証する第１の検証手段、前記第
２の検証手段により当該回の認証子が生成されないと
き、警告を発する第１の警告手段、として機能させるた
めのプログラムが記憶されたコンピュータ読取り可能な
記憶媒体である。

【００１６】従って、定期的に第１の発明と同様の作用
を奏することができる。

【００１７】第３の発明は、第２の発明において、前記
計算機システムのコンピュータを、前記履歴テーブル内
の最新の認証子を比較のために出力し、折り返し入力さ
れた比較結果を判定する第２の検証手段、前記第２の検
証手段による判定結果が不整合を示すとき、警告を発す
る第２の警告手段、として機能させるためのプログラム
が記憶されたコンピュータ読取り可能な記憶媒体であ
る。

【００１８】このように、最新の認証子の比較結果をも
検証するので、第２の発明の作用に加え、最新の認証子
の削除に関しても、管理者による履歴の改ざんを阻止す
ることができる。

【００１９】第４の発明は、第３の発明において、前記
第２の検証手段がログオンのときに動作するコンピュー
タ読取り可能な記憶媒体である。

【００２０】従って、ログオン時に第３の発明と同様の
作用を奏することができる。

【００２１】一方、第５の発明は、電子計算機システム
の操作の履歴管理を実現するための履歴管理用のＩＣカ
ードであって、耐タンパー性を有し、最新の認証子が記
憶される最新認証子記憶手段と、前記操作毎に今回の履
歴データが入力されると、今回の履歴データと前記最新
認証子記憶手段内の最新の認証子とに基づいて、今回の
認証子を生成する認証子生成手段と、この認証子生成手
段により生成された今回の認証子を最新の認証子として
前記最新認証子記憶手段に書込む認証子書込手段と、認
証子が入力されたとき、この入力された認証子と、前記
最新認証子記憶手段内の最新の認証子とを比較し、比較
結果を出力する認証子比較手段と、を備えたＩＣカード
である。

【００２２】このように、耐タンパー性を有して最新の
認証子を保持し、最新の認証子の比較結果を検証するの
で、最新の履歴に関し、管理者による履歴の改ざんを阻
止することができる。

【００２３】第６の発明は、第５の発明において、パス
ワードによる操作者の認証を実行する操作者認証手段を
備え、前記認証子比較手段としては、前記操作者認証手
段による認証結果が正当なとき、動作するＩＣカードで
ある。

【００２４】従って、操作者の認証後に第５の発明と同
様の作用を奏することができる。

【００２５】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を参照しながら説明する。 （第１の実施形態）図１は本発明の第１の実施形態に係
る記憶媒体内のプログラムがインストールされた計算機
システムの概略を示す模式図であり、図２はこの計算機
システムの構成を示す機能ブロック図であって、前述し
た図面と同一部分には同一符号を付し、前述した部分を
改良した部分にはアルファベットの添字を付して、前述
した部分と重複する説明を省略し、ここでは異なる部分
について主に述べる。なお、以下の各実施形態も同様に
して重複した説明を省略する。

【００２６】すなわち、本実施形態は、管理者による履
歴の改ざんを阻止し得るものであり、具体的には、前述
の履歴テーブル２４に代えて、各行毎に認証子Ｃをも記
憶する履歴テーブル２４Ａが設けられ、且つこの履歴テ
ーブル２４Ａとコマンド解釈機能２２との間に履歴管理
機能２５が設けられ、この履歴管理機能２５がＩＣカー
ドＲ／Ｗ２６を介してＩＣカード３０に接続可能な構成
となっている。

【００２７】ここで、履歴テーブル２４Ａは、図３に示
すように、前述した履歴テーブル２４に比べ、各操作に
対応するコマンド、パラメータ及び実行結果の組毎に認
証子Ｃが記録される構成となっている。なお、履歴テー
ブル２４Ａは、例えば、始めに履歴管理機能２５により
初期化されて形成される。

【００２８】認証子Ｃは、前回までの行に記憶された履
歴データ（例、コマンド、パラメータ及び実行結果の
組）及び認証子Ｃと、今回の行に記憶された履歴データ
とに密接に関連するデータであり、例えば署名データの
ように何らかの暗号化データが適用可能となっている。

【００２９】具体的には認証子Ｃは、前回の行の認証子
Ｃと、今回の行のコマンド、パラメータ及び実行結果と
に関してＩＣカード３０内で秘密鍵を用いた暗号化処理
により生成され、ＩＣカードＲ／Ｗ２６及び履歴管理機
能２５を介して履歴テーブル２４Ａの該当する行番号の
列領域に書込まれる。但し、認証子Ｃの生成方法は、コ
マンド、パラメータ、実行結果、直前行の認証子Ｃ、及
び秘密鍵についての関数であればよく、その生成過程は
任意である。

【００３０】例えば、今回のコマンド、パラメータ及び
実行結果と、直前行の認証子Ｃとについてのハッシュ値
をとり、得られたハッシュ値を秘密鍵で暗号化した値を
最新の認証子Ｃとする生成方法や、今回のコマンド、パ
ラメータ及び実行結果の組のハッシュ値を得た後、この
ハッシュ値と直前行の認証子Ｃとの排他的論理和ＸＯＲ
をとり、得た結果を秘密鍵で暗号化した値を最新の認証
子Ｃとする生成方法などが考えられる。

【００３１】なお、認証子Ｃは、検証時に、履歴を削除
・改変・挿入・追加した内容（１），（３）〜（５）の
改ざんを検知する機能として、（ｆ１）一行毎の履歴が
改ざんされてない旨を保証する機能と、（ｆ２）直前の
認証子Ｃと関連を有して履歴の連鎖性を保証する機能と
を有している。例えば、ある行の履歴を削除した場合、
削除した行よりも後の行の認証子Ｃを検証した際に、エ
ラーを発生させる。

【００３２】履歴管理機能２５は、コマンド解釈機能２
２と履歴テーブル２４Ａとの間に介在して設けられ、最
新の認証子Ｃを更新する更新機能と、認証子の内容を検
証する第１の検証機能と、最新の認証子Ｃの削除を検証
する第２の検証機能とを有するものである。履歴管理機
能２５における更新機能は、コマンド解釈機能２２から
受けたコマンド、パラメータ及び実行結果をＩＣカード
Ｒ／Ｗ２６を介してＩＣカード３０に入力し、折り返
し、ＩＣカード３０から受けた認証子Ｃと、当該コマン
ド、パラメータ及び実行結果とを履歴テーブル２４Ａの
最後の同一行に書込むものである。

【００３３】履歴管理機能２５における第１の検証機能
は、履歴テーブル２４Ａ内の各行毎に、ｋ行目のコマン
ド、パラメータ及び実行結果と、ｋ−１行目の認証子Ｃ
とを対象にし、公開鍵を用いて認証子Ｃの生成と逆の操
作により、ｋ行目の認証子Ｃを検証するものである。

【００３４】一方、ＩＣカード３０は、図４に示すよう
に、最新認証子格納庫３１、秘密鍵格納庫３２及び制御
機能３３を備えている。履歴管理機能２５における第２
の検証機能は、履歴テーブル１０の最新の行の認証子Ｃ
を読出してこの認証子ＣをＩＣカードＲ／Ｗ２６経由で
制御機能３３に送る一方、制御機能３３から返信された
比較結果を判定するものである。

【００３５】なお、履歴管理機能２５は、ハードウェア
及び／又はソフトウェアにより実現可能であり、ソフト
ウェアで実現される場合、コンピュータ読取り可能な記
憶媒体から履歴管理機能２５に相当するプログラムがイ
ンストールされて実現される。これは他の各機能２１〜
２３についても同様である。

【００３６】最新認証子格納庫３１は、耐タンパー性を
有し、外部から一切アクセス不能であって常に最新の認
証子Ｃが追加又は更新されて格納される領域であり、制
御機能３３により最新の認証子Ｃが読出／書込可能とな
っている。なお、最新認証子格納庫３１は、最新の行の
履歴に対する認証子Ｃを外部から改変不可に保持するこ
とにより、履歴テーブル２４Ａにおける最新の履歴を削
除する内容（２）の改ざんを阻止する機能（又は改ざん
後にそれを検出する機能）を有する。また、最新認証子
格納庫３１の認証子Ｃは、初めてＩＣカード３０により
管理操作を行う場合には予め定められた初期値Ｃが設定
され、以後、新たな認証子Ｃが生成される毎に、最新の
認証子Ｃに書換えられる。

【００３７】秘密鍵格納庫３２は、耐タンパー性を有
し、外部から一切アクセス不能であってＩＣカード３０
の秘密鍵が格納される領域であり、制御機能３３により
読出可能となっている。

【００３８】制御機能３３は、最新の認証子を更新する
更新機能と、最新の認証子を検証する検証機能とを有す
る。制御機能３３における更新機能は、履歴管理機能２
５からＩＣカードＲ／Ｗ２６を介して、コマンド、パラ
メータ及び実行結果からなる今回の処理内容を受けたと
き、この処理内容を秘密鍵格納庫３１内の秘密鍵で暗号
化し、得られた最新の認証子Ｃを最新認証子格納庫３１
に書込む一方、この最新の認証子ＣをＩＣカードＲ／Ｗ
２６を介して履歴管理機能２５に返信するものである。

【００３９】制御機能３３における検証機能は、履歴管
理機能２５からＩＣカードＲ／Ｗ２６を介して受信した
認証子Ｃと、最新認証子格納庫３１内の最新の認証子Ｃ
とを比較し、両者の比較結果をＩＣカードＲ／Ｗ２６を
介して履歴管理機能２６に返信するものである。

【００４０】次に、以上のように構成された計算機シス
テムの動作を図５〜図７のフローチャートを用いて説明
する。 （管理操作）計算機１０は、図５に示すように、管理者
の操作により、ＧＵＩ１１により操作内容を指定する
（ＳＴ１）。

【００４１】この操作内容は、コマンド発行機能１２に
よりコマンドとパラメータとを含む形式のコマンド電文
に変換され、このコマンド電文がソケット１３を経由し
てサーバ装置２０Ａに送信される（ＳＴ２）。

【００４２】サーバ装置２０Ａでは、コマンド電文がソ
ケット２１を経由してコマンド解釈機能２２に入力さ
れ、コマンド解釈機能２２によりコマンド電文からコマ
ンドとパラメータが取り出される（ＳＴ３）。

【００４３】また、コマンド解釈機能２２は、コマンド
に対応する管理機能２３を実行し、実行結果を管理機能
２３から受け取る（ＳＴ４）。

【００４４】次に、コマンド解釈機能２２は、コマン
ド、パラメータ及び実行結果を履歴管理機能２５に入力
する（ＳＴ５）。履歴管理機能２５は、コマンド、パラ
メータ及び実行結果をＩＣカードＲ／Ｗ２６を経てＩＣ
カード３０に入力する（ＳＴ６）。

【００４５】ＩＣカード３０では、制御機能３３が、こ
れら入力された今回のコマンド、パラメータ及び実行結
果と、最新認証子格納庫３１の前回の認証子Ｃとに対
し、秘密鍵格納庫３２内の秘密鍵による暗号化を施して
最新の認証子Ｃを生成する（ＳＴ７）。

【００４６】ＩＣカード３０は、最新の認証子Ｃを最新
認証子格納庫３１に格納し（ＳＴ８）、この最新の認証
子ＣをＩＣカードＲ／Ｗ２６を通して履歴管理機能２５
に返す（ＳＴ９）。履歴管理機能２５は、コマンド、パ
ラメータ及び実行結果と最新の認証子Ｃとを履歴テーブ
ル２４Ａに書込む（ＳＴ１０）。

【００４７】履歴テーブル２４Ａへの書込完了後、コマ
ンド解釈機能２２は、実行結果を計算機１０に返すため
のレスポンス電文を生成し、ソケット２１を経由して計
算機１０に返信する（ＳＴ１１）。

【００４８】計算機１０は、このレスポンス電文を受信
し、ＧＵＩ１１により実行結果を表示して今回の操作を
終了する（ＳＴ１２）。

【００４９】（履歴の検証）以上のように記録された履
歴テーブル２４Ａは、履歴管理機能２５による認証子Ｃ
の検証により、履歴の改ざんの有無が定期的に調べられ
る。なお、検証の際には、履歴テーブル２４Ａの各行毎
に認証子Ｃが正当（＝各行の連鎖及び生成が正当）であ
るか否かの履歴の検証と、最新の認証子ＣとＩＣカード
内の認証子Ｃとが同一であるか否かの最新履歴の検証と
が実行される。以下、詳しく説明する。

【００５０】始めに、履歴管理機能２５は、図６に示す
ように、履歴テーブル２４Ａ内の行番号ｋを定め、ｋ＝
１とする（ＳＴ２１）。次に、履歴管理機能２５は、履
歴テーブル２４Ａのｋ行目のコマンド、パラメータ、実
行結果及び認証子Ｃを読み出し（ＳＴ２２）、行番号ｋ
＝１であるか否かを判定する（ＳＴ２３）。

【００５１】行番号ｋ＝１の場合には、履歴テーブル２
４Ａ内のｋ−１行目が無いため、直前行の認証子Ｃとし
て予め定めた初期値を入れる（ＳＴ２４）。

【００５２】行番号ｋ≠１の場合には、履歴テーブル２
４Ａ内のｋ−１行目の認証子Ｃを読み出す（ＳＴ２
５）。

【００５３】ステップＳＴ２４又はＳＴ２５の後、ｋ行
目のコマンド、パラメータ及び実行結果と、ｋ−１行目
の認証子Ｃと、公開鍵とを用いてｋ行目の認証子Ｃを検
証する（ＳＴ２６）。この検証は、認証子Ｃの生成方法
と逆の操作で実行可能であり、その検証方法自体は任意
である。

【００５４】例えば、ｋ行目のコマンド、パラメータ及
び実行結果と、ｋ−１行目の認証子Ｃとについてのハッ
シュ値をとり、得られたハッシュ値と認証子Ｃを公開鍵
で復号した値が等しいか否かを調べる検証方法や、ｋ行
目のコマンド、パラメータ及び実行結果のハッシュ値を
得た後、このハッシュ値とｋ−１行目の認証子Ｃとの排
他的論理和ＸＯＲをとり、その結果と認証子Ｃを公開鍵
で復号したものが等しいか調べる検証方法などが考えら
れる。

【００５５】ステップＳＴ２６の検証に基づき、ｋ行目
の認証子Ｃを正当か否かを判定し（ＳＴ２７）、ｋ行目
の認証子Ｃを正当であると判定したとき、履歴の最後の
行まで検証したか否かを判定し（ＳＴ２８）、最後の行
まで検証してない場合には行番号ｋを１行分増加し（Ｓ
Ｔ２９）、ステップＳＴ２２に戻って同様の操作を繰り
返す。なお、ステップＳＴ２８にて最後の行まで検証し
た場合には検証処理を終了する。

【００５６】一方、ステップＳＴ２７にて、ｋ行目の認
証子Ｃを正当でないと判定したとき、警告を発して（Ｓ
Ｔ３０）、検証処理を終了する。

【００５７】以上により、１行目から最後の行までの履
歴に関し、各行の認証子が同一行のコマンド、パラメー
タ及び実行結果を含んで生成されることから各行毎に改
ざんされていない旨と、各行の認証子が直前行の認証子
を含んで生々されることから各行の履歴が連鎖している
旨とが検証される。但し、図６に示した検証では、最後
の行（最新履歴）が削除されたか否かは検証されない。
よって、次に、この最新履歴の検証に関して述べる。な
お、最新履歴の検証は、前述した履歴の検証において、
各行の認証子Ｃが全て正当と判定された場合に実行され
る。

【００５８】（最新履歴の検証）履歴管理機能２５は、
図７に示すように、履歴テーブル２４Ａの最新の行の認
証子Ｃを読出すと共に（ＳＴ３１）、この認証子ＣをＩ
ＣカードＲ／Ｗ２６を介してＩＣカード３０に送る（Ｓ
Ｔ３２）。

【００５９】ＩＣカード３０では、制御機能３３がサー
バ装置２０Ａから送られた認証子Ｃと、最新認証子格納
庫３１内の最新の認証子Ｃとを比較し、比較結果をＩＣ
カードＲ／Ｗ２６を経由してサーバ装置２０Ａの履歴管
理機能２５に送る（ＳＴ３３）。

【００６０】履歴管理機能２５は、比較結果が両認証子
Ｃの同一を示すか否かを判定し（ＳＴ３４）、判定結果
が同一を示すときに処理を終了する。同一でない場合は
警告を発し（ＳＴ３５）、処理を終了する。

【００６１】上述したように本実施形態によれば、管理
者の操作履歴に対する各履歴データ（例、コマンド、パ
ラメータ及び実行結果の組）毎に、前回の認証子をも含
んで生成した認証子をつけるので、履歴データが改ざん
されていない旨と、個々の履歴データの連鎖性とを保証
でき、もって、管理者による履歴の改ざんを阻止するこ
とができる。

【００６２】また、最新の認証子の比較結果をも検証す
るので、最新の認証子の削除に関しても、管理者による
履歴の改ざんを阻止することができる。

【００６３】また、今回の認証子を生成する際に、以前
の履歴を代表するデータとして前回の認証子を用いるの
で、以前の全ての履歴データを用いて今回の認証子を計
算する場合と比べ、ファイルが膨大になることを阻止で
きると共に、計算量を低下させて認証子の生成速度を向
上させることができる。

【００６４】なお、本実施形態は、ＩＣカード３０内に
認証子を格納し、ＩＣカード自体は管理者ですら内容を
改ざんできない耐タンパー機構とすることにより、履歴
の改ざんを防止している。但し、サーバ装置２０ＡにＩ
ＣカードＲ／Ｗ２６を接続することから、ＩＣカード３
０の管理を厳密にする必要がある。

【００６５】（第２の実施形態）図８は本発明の第２の
実施形態に係る記憶媒体内のプログラムがインストール
された計算機システムの概略を示す模式図であり、図９
はこの計算機システムの構成を示す機能ブロック図であ
る。

【００６６】本実施形態は、第１の実施形態の変形例で
あり、ＩＣカードＲ／Ｗ１４を計算機１０Ａのコマンド
発行機能１２Ａに接続し、この計算機１０Ａ側において
最新履歴の検証機能を行なう構成となっている。

【００６７】コマンド発行機能１２Ａは、前述したＧＵ
Ｉ１１の操作に基づきコマンド電文を作成する機能に加
え、認証子の生成に関する第１の中継機能と、最新の認
証子Ｃの検証に関する第２の中継機能とをもっている。

【００６８】コマンド発行機能１２Ａにおける第１の中
継機能は、サーバ装置２０Ｂから受けたレスポンス電文
から実行結果を取り出す機能と、この実行結果と、コマ
ンド電文を作成した際のコマンド及びパラメータとをＩ
ＣカードＲ／Ｗ１４を経由してＩＣカード３０Ａに入力
する機能と、ＩＣカード３０ＡからＩＣカードＲ／Ｗ１
４を経由して最新の認証子Ｃを受けると、この最新の認
証子Ｃを含む認証子電文を生成し、この認証子電文をソ
ケット１３経由でサーバ装置２０Ｂに送る機能とから構
成されている。

【００６９】コマンド発行機能１２Ａにおける第２の中
継機能は、サーバ装置２０Ｂから受けた認証子電文から
認証子Ｃを取り出す機能と、この認証子ＣをＩＣカード
Ｒ／Ｗ１４経由でＩＣカード３０Ａに入力する機能と、
ＩＣカード３０ＡからＩＣカードＲ／Ｗ１４経由で受け
た比較結果をソケット１３経由でサーバ装置２０Ｂに送
る機能とから構成されている。

【００７０】履歴管理機能２５Ａは、前述した機能にお
いて、ＩＣカードＲ／Ｗ２６に対する送受信に代えて、
ＩＣカード３０Ａに対するコマンド、パラメータ、実行
結果及び認証子の送信や最新の認証子の受信を、計算機
１０Ａを介して行なう構成となっている。なお、この履
歴管理機能２５Ａも記憶媒体からプログラムがインスト
ールされることにより実現可能となっている。

【００７１】ＩＣカード３０Ａは、前述した各機能に加
え、管理者の認証を行なうための認証機能３４を備えて
いる。認証機能３４は、ＩＣカード３０ＡがＩＣカード
Ｒ／Ｗ１４に挿入されたとき、管理者の操作により、管
理者の認証を実行する機能と、この実行結果が管理者の
正当な旨を示すとき、履歴管理機能２５Ａに対して最新
履歴の検証を実行させる機能とをもっている。なお、管
理者の認証としては、例えばパスワードによる認証とい
った周知の認証方式が使用可能となっている。

【００７２】次に、以上のように構成された計算機シス
テムの動作を図１１〜図１３を用いて説明する。 （管理操作）始めに、計算機１０Ａでは、管理者の操作
に対し、ＩＣカード３０Ａの認証機能３４を用いて認証
を行なう。管理者の認証の後、後述する最新履歴の検証
が正常に完了すると、計算機システムは、図１１及び図
１２に示す如き、管理操作が可能となる。

【００７３】いま、計算機１０Ａの管理操作からサーバ
装置２０Ｂのコマンド実行までは、図１２に示すよう
に、前述同様に実行される（ＳＴ１〜ＳＴ４）。サーバ
装置２０Ｂでは、コマンド解釈機能２２が、管理機能２
３の返す実行結果をもとにコマンド解釈機能２２におい
てレスポンス電文を生成し、当該レスポンス電文をソケ
ット２１を介して計算機１０Ａに送信する（ＳＴ４
１）。

【００７４】計算機１０Ａでは、このレスポンス電文を
ソケット１３を経由してコマンド発行機能１２Ａが受
け、コマンド発行機能１２Ａがレスポンス電文から実行
結果を取り出す（ＳＴ４２）。

【００７５】また、コマンド発行機能１２Ａは、コマン
ド電文を生成した際のコマンド及びパラメータと、レス
ポンス電文から取り出した実行結果とをＩＣカードＲ／
Ｗ１４を経由してＩＣカード３０Ａに入力する（ＳＴ４
３）。

【００７６】ＩＣカード３０Ａは、これらの入力内容に
対し、秘密鍵格納庫３２内の秘密鍵による暗号化を施し
て前述同様に最新の認証子Ｃを生成し、この最新の認証
子Ｃを最新認証子格納庫３１に格納する一方（ＳＴ４
４）、この最新の認証子ＣをＩＣカードＲ／Ｗ１４を介
してコマンド発行機能１２Ａに出力する。

【００７７】コマンド発行機能１２Ａは、ＩＣカード３
０Ａから受けた最新の認証子Ｃを含む認証子電文を生成
し、この認証子電文をソケット１３経由でサーバ装置２
０Ｂに送り返す（ＳＴ４５）。

【００７８】サーバ装置２０Ｂでは、認証子電文をソケ
ット２１経由でコマンド解釈機能２２にて受け取り、認
証子Ｃを取り出す。

【００７９】コマンド解釈機能２２は、ステップＳＴ４
のコマンド、パラメータ及び実行結果と、計算機１０Ａ
から受けた最新の認証子Ｃとを履歴管理機能２５Ａに送
る。履歴管理機能２５Ａは、これらコマンド、パラメー
タ、実行結果及び最新の認証子Ｃを履歴テーブル２４Ａ
に書込んで（ＳＴ４６）、処理を終了する。

【００８０】（履歴の検証）履歴テーブル２４Ａの各行
毎の認証子Ｃに対する検証は、第１の実施形態と同様に
実行される。この検証の実行タイミングは任意である。

【００８１】（最新履歴の検証）最新の認証子ＣとＩＣ
カード３０Ａ内の認証子Ｃの検証について図１３のフロ
ーチャートを用いて説明する。この検証は、ＩＣカード
３０Ａを管理者が保持するために、任意のタイミングで
は実行されない。そこで、この検証は、例えば管理者が
サーバ装置２０Ｂにログインした時（認証機能３４によ
る認証の直後）といった特定のタイミングに実行され
る。なお、この検証は、前述した図７に示す検証におい
て、履歴管理機能２５ＡとＩＣカード３０Ａとの間に計
算機１０Ａを介在させたものである。

【００８２】始めに、サーバ装置２０Ｂでは、履歴管理
機能２５Ａが履歴テーブル２４Ａの最新の行の認証子Ｃ
を読出すと共に（ＳＴ５１）、この認証子Ｃをコマンド
解釈機能２２に与える。コマンド解釈機能２２は、この
認証子Ｃを認証子電文の形でソケット２１を介して計算
機１０Ａに送る（ＳＴ５２）。

【００８３】計算機１０Ａでは、認証子電文をコマンド
発行機能１２Ａで受け取り、認証子ＣをＩＣカード３０
Ａに送る（ＳＴ５３）。

【００８４】ＩＣカード３０Ａでは、制御機能３３がサ
ーバ装置２０Ａから送られた認証子Ｃと、最新認証子格
納庫３１内の認証子Ｃとを比較し、比較結果をＩＣカー
ドＲ／Ｗ１４を経由して計算機１０Ａのコマンド発行機
能１２Ａに返す（ＳＴ５４）。

【００８５】コマンド発行機能１２Ａは、比較結果をソ
ケット１３を介してサーバ装置２０Ｂに送る（ＳＴ５
５）。

【００８６】サーバ装置２０Ｂでは、比較結果を履歴管
理機能２５Ａが受取り、この履歴管理機能２５Ａが、比
較結果について両認証子Ｃの同一を示すか否かを判定し
（ＳＴ５６）、判定結果が同一を示すときに処理を終了
する。同一でない場合は警告を発し（ＳＴ５７）、処理
を終了する。

【００８７】この処理が例えばログイン時に行われたと
き、計算機１０Ａは、以後の管理操作が可能となる。

【００８８】上述したように本実施形態によれば、ＩＣ
カード３０ＡをＩＣカードＲ／Ｗ１４を介して計算機１
０Ａに接続し、計算機１０Ａ側において最新履歴の検証
を実行させる構成としても、第１の実施形態と同様の効
果を得ることができる。

【００８９】なお、第２の実施形態は、ＩＣカード３０
Ａを管理者側の管理とし、管理者のシステムヘの認証を
兼ねている構成である。しかし、計算機１０Ａとサーバ
装置２０Ｂの間の通信が中断した場合、ＩＣカード３０
Ａ内の最新の認証子Ｃと、サーバ装置２０Ｂ側の最新の
認証子Ｃとが不整合となる可能性がある。この場合、履
歴改ざんの警告が出されるが、この警告が改ざんによる
ものか、通信の中断によるものかの判断が困難である。
このため、第２の実施形態は、通信上のトラブルの可能
性が低い、あるいは別の手段でトラブルが回避できる状
況のときに用いることが好ましい。

【００９０】尚、本発明における記憶媒体としては、磁
気ディスク、フロッピー（登録商標）ディスク、ハード
ディスク、光ディスク（ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶ
Ｄ等）、光磁気ディスク（ＭＯ等）、半導体メモリ等、
プログラムを記憶でき、かつコンピュータが読み取り可
能な記憶媒体であれば、その記憶形式は何れの形態であ
っても良い。

【００９１】また、記憶媒体からコンピュータにインス
トールされたプログラムの指示に基づきコンピュータ上
で稼働しているＯＳ（オペレーティングシステム）や、
データベース管理ソフト、ネットワークソフト等のＭＷ
（ミドルウェア）等が本実施形態を実現するための各処
理の一部を実行しても良い。

【００９２】さらに、本発明における記憶媒体は、コン
ピュータと独立した媒体に限らず、ＬＡＮやインターネ
ット等により伝送されたプログラムをダウンロードして
記憶または一時記憶した記憶媒体も含まれる。

【００９３】また、記憶媒体は１つに限らず、複数の媒
体から本実施形態における処理が実行される場合も本発
明における記憶媒体に含まれ、媒体構成は何れの構成で
あっても良い。

【００９４】尚、本発明におけるコンピュータは、記憶
媒体に記憶されたプログラムに基づき、本実施形態にお
ける各処理を実行するものであって、パソコン等の１つ
からなる装置、複数の装置がネットワーク接続されたシ
ステム等の何れの構成であっても良い。

【００９５】また、本発明におけるコンピュータとは、
パソコンに限らず、情報処理機器に含まれる演算処理装
置、マイコン等も含み、プログラムによって本発明の機
能を実現することが可能な機器、装置を総称している。

【００９６】なお、本願発明は、上記各実施形態に限定
されるものでなく、実施段階ではその要旨を逸脱しない
範囲で種々に変形することが可能である。

【００９７】例えば、計算機１０に代えて、計算機１
０，１０Ａと同一構成のコンソール１０^＊，１０Ａ^＊を
サーバ装置２０Ａ，２０Ｂに接続し、このコンソール１
０^＊，１０Ａ^＊からサーバ装置２０Ａ，２０Ｂを管理す
る構成としても、本発明を同様に実施して同様の効果を
得ることができる。

【００９８】ＩＣカードＲ／Ｗ２６は、外付けの態様に
限らず、サーバ装置２０に内蔵された態様としてもよ
い。ＩＣカードＲ／Ｗ１４も同様に計算機１０Ａに内蔵
されていてもよい。また、ＩＣカード３０，３０Ａは、
同様の機能を有し、内部のデータが安全に管理されるデ
バイス（例、ＩＣカードと同様の機能をもつ回路が形成
されたボードなど）に変更してもよく、この場合、ＩＣ
カードＲ／Ｗ２６，１４は省略してもよい。

【００９９】また、各実施形態は可能な限り適宜組合せ
て実施してもよく、その場合、組み合わされた効果が得
られる。さらに、上記各実施形態には種々の段階の発明
が含まれており、開示される複数の構成用件における適
宜な組合せにより種々の発明が抽出され得る。例えば実
施形態に示される全構成要件から幾つかの構成要件が省
略されることで発明が抽出された場合には、その抽出さ
れた発明を実施する場合には省略部分が周知慣用技術で
適宜補われるものである。

【０１００】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１０１】

【発明の効果】以上説明したように本発明によれば、管
理者による履歴の改ざんを阻止し得る履歴管理用の記憶
媒体及びＩＣカードを提供できる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る記憶媒体内のプ
ログラムがインストールされた計算機システムの概略を
示す模式図

【図２】同実施形態における計算機システムの構成を示
す機能ブロック図

【図３】同実施形態における履歴テーブルの構成を示す
模式図

【図４】同実施形態におけるＩＣカードの構成を示す機
能ブロック図

【図５】同実施形態における動作を説明するためのフロ
ーチャート

【図６】同実施形態における動作を説明するためのフロ
ーチャート

【図７】同実施形態における動作を説明するためのフロ
ーチャート

【図８】本発明の第２の実施形態に係る記憶媒体内のプ
ログラムがインストールされた計算機システムの概略を
示す模式図

【図９】同実施形態における計算機システムの構成を示
す機能ブロック図

【図１０】同実施形態におけるＩＣカードの構成を示す
機能ブロック図

【図１１】同実施形態における動作を説明するためのシ
ーケンス図

【図１２】同実施形態における動作を説明するためのフ
ローチャート

【図１３】同実施形態における動作を説明するためのフ
ローチャート

【図１４】従来の計算機システムの概略を示す模式図

【図１５】従来の計算機システムの構成を示す機能ブロ
ック図

【図１６】従来の履歴テーブルの構成を示す模式図

【符号の説明】

１０，１０Ａ…計算機 １１…ＧＵＩ １２，１２Ａ…コマンド発行機能 １３，２１…ソケット １４，２６…ＩＣカードＲ／Ｗ ２０Ａ，２０Ｂ…サーバ装置 ２２…コマンド解釈機能 ２３…管理機能 ２４Ａ…履歴テーブル ２５，２５Ａ…履歴管理機能 ３０，３０Ａ…ＩＣカード ３１…最新認証子格納庫 ３２…秘密鍵格納庫 ３３…制御機能 ３４…認証機能 ＮＷ…ネットワーク Ｃ…認証子

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B017 AA01 BA06 BB09 CA15 CA16 5B035 AA13 BB09 BC00 CA38 5B042 JJ08 JJ10 KK13 MA20 MC37 MC40 5J104 AA08 BA02 LA03 LA05 NA02 NA12 NA31 NA32 NA35 NA37 NA38 NA42

Claims (6)

【特許請求の範囲】
1. 【請求項１】 計算機システムの操作の履歴管理を実現
   するための履歴管理用のコンピュータ読取り可能な記憶
   媒体であって、 前記計算機システムのコンピュータを、 前記操作毎に今回の履歴データ及び認証子が追加的に記
   憶される履歴テーブルを形成するテーブル形成手段、 前記操作毎に今回の履歴データ及び前回の認証子に基づ
   いて今回の認証子が生成されると、この今回の認証子を
   前記今回の履歴データと組にして前記履歴テーブルに記
   憶させる履歴管理手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
2. 【請求項２】 請求項１に記載のコンピュータ読取り可
   能な記憶媒体において、 前記計算機システムのコンピュータを、 前記履歴テーブル内の各回の履歴データ毎に、当該回の
   履歴データと当該回の前回の認証子とに基づいて、当該
   回の認証子が生成されるか否かを定期的に検証する第１
   の検証手段、 前記第２の検証手段により当該回の認証子が生成されな
   いとき、警告を発する第１の警告手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
3. 【請求項３】 請求項２に記載のコンピュータ読取り可
   能な記憶媒体において、 前記計算機システムのコンピュータを、 前記履歴テーブル内の最新の認証子を比較のために出力
   し、折り返し入力された比較結果を判定する第２の検証
   手段、 前記第２の検証手段による判定結果が不整合を示すと
   き、警告を発する第２の警告手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
4. 【請求項４】 請求項３に記載のコンピュータ読取り可
   能な記憶媒体において、 前記第２の検証手段は、ログオンのときに動作すること
   を特徴とするコンピュータ読取り可能な記憶媒体。
5. 【請求項５】 電子計算機システムの操作の履歴管理を
   実現するための履歴管理用のＩＣカードであって、 耐タンパー性を有し、最新の認証子が記憶される最新認
   証子記憶手段と、 前記操作毎に今回の履歴データが入力されると、今回の
   履歴データと前記最新認証子記憶手段内の最新の認証子
   とに基づいて、今回の認証子を生成する認証子生成手段
   と、 この認証子生成手段により生成された今回の認証子を最
   新の認証子として前記最新認証子記憶手段に書込む認証
   子書込手段と、 認証子が入力されたとき、この入力された認証子と、前
   記最新認証子記憶手段内の最新の認証子とを比較し、比
   較結果を出力する認証子比較手段と、 を備えたことを特徴とするＩＣカード。
6. 【請求項６】 請求項５に記載のＩＣカードにおいて、 パスワードによる操作者の認証を実行する操作者認証手
   段を備え、 前記認証子比較手段は、前記操作者認証手段による認証
   結果が正当なとき、動作することを特徴とするＩＣカー
   ド。