JP2002319935A

JP2002319935A - データ処理装置

Info

Publication number: JP2002319935A
Application number: JP2002008824A
Authority: JP
Inventors: Takuya Kobayashi; 卓也小林; Hidehiko Hata; 秀彦秦; Satoshi Inami; 聡稲見; Masashige Mizuyama; 正重水山; Hiromi Wada; 浩美和田; Atsunobu Kato; 淳展加藤
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2001-01-19
Filing date: 2002-01-17
Publication date: 2002-10-31

Abstract

(57)【要約】【課題】デジタル署名されたデータを受信して処理す
るデータ処理装置において、安全な装置の制御、署名検
証コストの削減、および、新たな署名権限制御を可能に
する。【解決手段】指示データ１１１には、受信すべき端末
用データ１１２のアドレスが記載されている。データ処
理装置１００は、受信した指示データ１１１になされた
署名が有効であることを確認した後に、指示データ１１
１で指定された端末用データ１１２を受信する。受信し
た端末用データは、画面表示など、データ処理装置１０
０の制御に使用される。この際、受信するデータを保護
データ領域と非保護データ領域とに分割し、非保護デー
タ領域に含まれるデータの種別を非保護対象リストとし
て、保護データ領域に配置してもよい。また、署名者が
署名できるデータの種別を署名者証明書に記載してお
き、データ受信時に、署名者がその種別のデータに署名
する権限を有するか否かを判定してもよい。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ処理装置に
関し、より特定的には、ネットワークに接続されたサー
バからデジタル署名されたデータを受信し、受信したデ
ータを処理するデータ処理装置に関する。

【０００２】

【従来の技術】近年、インターネットに接続されるコン
ピュータの数は著しく増大し、携帯電話などからＷＷＷ
（ＷｏｒｌｄＷｉｄｅＷｅｂ：ワールドワイドウェ
ブ、以下「ウェブ」という）を閲覧することが盛んに行
われるようになっている。ウェブ閲覧を行うためのデー
タ処理装置については、従来から種々の技術が知られて
いる。

【０００３】第１の技術は、ＪＡＶＡ（Ｒ）アプレット
に関する技術である。ＪＡＶＡ（Ｒ）アプレットは、Ｊ
ＡＶＡ（Ｒ）で書かれたプログラムの一種であり、ネッ
トワークに接続された各種の装置上で動作する。ユーザ
は、ブラウザソフトウェアの機能を用いて、ＪＡＶＡ
（Ｒ）アプレットを装置にダウンロードして実行する。
しかし、自由にダウンロードできるＪＡＶＡ（Ｒ）アプ
レットが装置の周辺機器にアクセスしたり、装置のＩ／
Ｏポートに読み書きしたりすることは、システムの安全
面から考えると適切ではない。このため、ＪＡＶＡ
（Ｒ）アプレットには、装置内の所定のデータにしかア
クセスできないという制約が設けられている。したがっ
て、一般に、ＪＡＶＡ（Ｒ）アプレットは、周辺機器へ
のアクセスやＩ／Ｏポートに対する読み書きを行えな
い。ＪＡＶＡ（Ｒ）アプレットによる周辺機器へのアク
セスを可能にする技術として、特開２０００−１１２８
６４号公報には、ＪＡＶＡ（Ｒ）アプレットが使用する
ライブラリに周辺機器のドライバを予め組み込んでおく
方法が記載されている。

【０００４】第２の技術は、デジタル署名に関する技術
である。ウェブ閲覧は、従来は主にコンテンツのダウン
ロードや表示に利用されてきたが、近年ではオンライン
ショッピングやオンライントレードなどにも利用される
ようになっている。このような商用目的でデータを交換
する場合には、データの送受信に特に高い信頼性が要求
される。すなわち、データを受信した場合には、正しい
相手から送信されたデータであることと、第三者による
ハッキングなどによってデータが改竄されていないこと
とを確認し、誤ったデータに対しては処理を行わないよ
うにしなければならない。データの送受信に高い信頼性
を保証する方法として、以下に示す、公開鍵暗号を用い
たデジタル署名方式が知られている。

【０００５】デジタル署名方式では、送信側装置は、送
信すべきデータ（以下「本文」という）を一方向関数を
用いてハッシュ化し、求めたハッシュ値を非公開の秘密
鍵を用いて暗号化する。これにより得られた結果を「署
名」という。送信側装置は、秘密鍵と対になる公開鍵
と、求めた署名とを本文に付加して送信する。受信側装
置は、受信した本文を一方向関数を用いてハッシュ化す
るとともに、本文に付加された署名を、同じく本文に付
加された公開鍵を用いて復号化する。受信側装置は、署
名を復号化した結果と、本文をハッシュ化した結果とを
比較する。両者が一致した場合には、本文は秘密鍵を有
する送信側装置から送信され、かつ、通信の途中で改竄
されていないことが保証される。

【０００６】この方式では、署名の生成時および検証時
にそれぞれ、本文全体が一方向関数を用いてハッシュ化
される。したがって、本文のデータ量が多くなると、処
理負荷が増大し、処理時間も長くなる。この点は、特に
比較的処理能力が低い移動体装置にとって問題となる。
そこで、本文全体をハッシュ化することに代えて、改竄
を防ぎたい重要な部分のみをハッシュ化する方法が、従
来から知られている。この方法では、署名生成のために
ハッシュ化の対象とする部分（以下、改竄から保護する
という意味で「保護データ領域」という）と、ハッシュ
化の対象としない部分（以下「非保護データ領域」とい
う）とに分けてデータが配置され、保護データ領域に含
まれるデータのみが、署名の作成および検証の対象とさ
れる。すなわち、保護データ領域に含まれるデータにつ
いては、デジタル署名を用いて改竄の有無が検査され、
非保護データ領域については、デジタル署名の検査対象
とはしない。この方法によれば、本文全体をデジタル署
名の対象とする場合と比べて、処理負荷および処理時間
を抑えることができる。

【０００７】第３の技術は、デジタル署名の署名権限制
御に関する技術である。署名者がどのデータに対して署
名できるかを制御する署名権限制御は、システムを構成
する上で極めて重要な技術である。ところが、データの
種別に基づき署名権限を制御する方法は、これまでに知
られていない。このため、多くの場合、署名者がどの種
別のデータに対して署名できるかという情報は、システ
ムごとに独自に暗黙のうちに決定されている。また、認
証局が証明書に与えた証明書のクラスや用途に応じて証
明書を大まかに区分し、アプリケーションごとにその区
分の解釈を適宜定めることによって、署名の有効性を判
定する場合もある。

【０００８】

【発明が解決しようとする課題】しかしながら、上述し
た従来の技術を適用しても、ウェブ閲覧を行うためのデ
ータ処理装置が有する以下の課題を解決することはでき
ない。ＪＡＶＡ（Ｒ）アプレットに関する技術について
言えば、上記公報に記載された方法には、携帯電話や携
帯情報端末などの装置には適用できないという問題があ
る。その理由は、以下のとおりである。このような装置
は、販売後にはＪＡＶＡ（Ｒ）ライブラリを追加できな
いため、周辺機器にアクセスするためのＪＡＶＡ（Ｒ）
ライブラリを商品出荷時に予め内蔵している必要があ
る。ところが、このようなライブラリを商品出荷時に内
蔵すると、すべてのユーザが、他人の装置の周辺機器に
アクセスするためのライブラリを使用できることにな
る。例えば、携帯電話には、電話番号や住所録など、ユ
ーザの私的な情報が格納されている。特権のない一般の
ユーザが、このような他人の私的な情報にアクセスでき
ることは、許容されるべきものではない。したがって、
上記公報に記載された方法は、販売後にＪＡＶＡ（Ｒ）
ライブラリを追加できない携帯電話などの装置には適用
できない。

【０００９】デジタル署名に関する技術について言え
ば、本文を保護データ領域と非保護データ領域とに分け
る方法には、受信側装置のアプリケーションの負担が大
きくなるという問題がある。その理由は、以下のとおり
である。受信側装置は、データが保護データ領域または
非保護データ領域のいずれに含まれていたかを常に区別
して処理する必要がある。例えば、受信側装置は、本来
保護データ領域に含まれているべきデータが非保護デー
タ領域に含まれていた場合には、そのデータが保護デー
タ領域に含まれていた場合と同じ処理をしてはならな
い。受信側装置では、アプリケーションプログラムが、
データを区別して処理する役割を果たすことになる。し
たがって、データ領域を分ける方法は、本文のデータ量
が多い場合に、受信側装置のアプリケーションにとって
大きな負担となる。

【００１０】この問題点を解決するために、送信側装置
と受信側装置とで、保護データ領域および非保護データ
領域に含めるべきデータを予め合意して決めておく方法
が考えられる。しかし、データの重要性が変化し、例え
ば、これまで非保護データ領域に含めていたデータを、
改竄から防ぐために保護データ領域に含める必要が生じ
る場合がある。このような場合に、保護データ領域およ
び非保護データ領域が固定化されていると、受信側装置
のアプリケーションを変更する必要性が生じる。したが
って、データ領域を固定化する方法には、データの追加
や保護状態の変更を柔軟に行えないという問題がある。

【００１１】署名権限制御に関する技術について言え
ば、近年では電子商取引のデータを始め、高い信頼性を
必要とするデータの種別が、急激に増大している。この
ため、データの種別が増えても、データの種別に関わら
ず同じ方法で署名者の権限を判定することが必要とされ
る。多くの場合、データの目的や、データ受信時にデー
タ処理装置が行うべき処理の内容は、データの種別と対
応関係がある。ところが、このような対応関係があるに
も関わらず、従来は、署名者の署名権限を定める共通し
た規則が存在しなかった。このため、データの種別が増
えた場合には、その都度、新しいデータの種別について
どの署名者が署名権限を有するかを定める判定論理を、
データ処理装置ごとに実装しなければならないという問
題がある。

【００１２】それ故に、本発明の第１の目的は、特権を
有するプログラムにのみ周辺機器に対するアクセスを許
可することにより、安全に周辺機器にアクセスすること
ができるデータ処理装置を提供することである。

【００１３】また、本発明の第２の目的は、保護と非保
護とにデータ領域を分けた場合のアプリケーションの負
担を低減し、非保護データ領域に含まれるデータに対す
る改竄を検出することができるデータ処理装置を提供す
ることである。

【００１４】また、本発明の第３の目的は、受信したデ
ータに署名する権限を署名者が有する否かを、データの
種別に関わらず同じ方法で判定できるデータ処理装置を
提供することである。

【００１５】

【課題を解決するための手段および発明の効果】第１の
発明は、装置の制御に使用されるデータ要素の指定を含
んだ指示データの供給を受け、指示データに基づき動作
するデータ処理装置であって、ネットワークで接続され
たサーバとの間でデータを送受信する送受信手段と、指
示データの妥当性を判定する妥当性判定手段と、妥当性
判定手段において指示データが妥当であると判定された
ときに、送受信手段を用いて、指示データで指定された
データ要素をサーバから取得する指示データ処理手段
と、指示データ処理手段で取得されたデータ要素に基づ
き、装置の制御を行うデータ要素処理手段とを備える。
このような第１の発明によれば、妥当性が確認された指
示データに基づき、装置の制御に使用されるデータが取
得されるので、装置の制御を安全に行うことができる。

【００１６】第２の発明は、第１の発明において、デー
タ要素処理手段は、指示データ処理手段で取得されたデ
ータ要素に基づき、画面表示を行うことを特徴とする。
このような第２の発明によれば、妥当性が確認された指
示データに基づき、画面表示用データが取得されるの
で、画面表示を安全に行うことができる。

【００１７】第３の発明は、第１の発明において、デー
タ要素処理手段は、指示データ処理手段で取得されたデ
ータ要素を、装置の外部に出力することを特徴とする。
このような第３の発明によれば、妥当性が確認された指
示データに基づき、外部出力用のデータが取得されるの
で、装置の外部にデータを安全に出力することができ
る。

【００１８】第４の発明は、第１の発明において、デー
タ要素処理手段で装置の制御に使用されるデータ要素
は、指示データ処理手段で取得されたデータ要素に制限
されていることを特徴とする。このような第４の発明に
よれば、装置の制御に使用されるデータを一定の手順で
のみ更新可能とすることにより、装置の制御を安全に行
うことができる。

【００１９】第５の発明は、第１の発明において、指示
データは、暗号化されており、妥当性判定手段は、暗号
解読後の指示データについて妥当性を判定することを特
徴とする。このような第５の発明によれば、指示データ
が暗号化されているため、指示データの妥当性をより安
全に判定し、装置の制御をより安全に行うことができ
る。

【００２０】第６の発明は、第１の発明において、指示
データ処理手段は、サーバから取得したデータ要素の妥
当性を判定し、妥当であると判定したデータ要素をデー
タ要素処理手段に供給することを特徴とする。このよう
な第６の発明によれば、装置の制御に使用されるデータ
についても妥当性を判定することにより、装置の制御を
より安全に行うことができる。

【００２１】第７の発明は、第１の発明において、指示
データ処理手段は、ＪＡＶＡ（Ｒ）言語を解釈する言語
処理部と、言語処理部によって処理されるＪＡＶＡ
（Ｒ）アプレットとを含むことを特徴とする。このよう
な第７の発明によれば、ＪＡＶＡ（Ｒ）アプレットに従
って指示データを処理することにより、指示データに対
する処理内容を柔軟に変更することができる。

【００２２】第８の発明は、第７の発明において、送受
信手段は、利用者からの指示に従い、指示データ処理手
段に含まれるＪＡＶＡ（Ｒ）アプレットを受信すること
を特徴とする。このような第８の発明によれば、ネット
ワーク経由で取得したＪＡＶＡ（Ｒ）アプレットに従っ
て指示データを処理することにより、指示データに対す
る処理内容を通信で取得して柔軟に変更することができ
る。

【００２３】第９の発明は、第１の発明において、送受
信手段は、利用者からの指示に従い、指示データを受信
し、妥当性判定手段に供給することを特徴とする。この
ような第９の発明によれば、指示データを装置に保持す
ることなく、通信で取得して処理することができる。

【００２４】第１０の発明は、装置の制御に使用される
データ要素を含んだ指示データの供給を受け、指示デー
タに基づき動作するデータ処理装置であって、ネットワ
ークで接続されたサーバとの間でデータを送受信する送
受信手段と、指示データの妥当性を判定する妥当性判定
手段と、妥当性判定手段において指示データが妥当であ
ると判定されたときに、指示データに含まれるデータ要
素を取得する指示データ処理手段と、指示データ処理手
段で取得されたデータ要素に基づき、装置の制御を行う
データ要素処理手段とを備える。このような第１０の発
明によれば、妥当性が確認された指示データから、装置
の制御に使用されるデータが取得されるので、装置の制
御を安全に行うことができる。

【００２５】第１１の発明は、第１０の発明において、
データ要素処理手段は、指示データ処理手段で取得され
たデータ要素に基づき、画面表示を行うことを特徴とす
る。このような第１１の発明によれば、妥当性が確認さ
れた指示データから、画面表示用データが取得されるの
で、画面表示を安全に行うことができる。

【００２６】第１２の発明は、第１０の発明において、
データ要素処理手段は、指示データ処理手段で取得され
たデータ要素を、装置の外部に出力することを特徴とす
る。このような第１２の発明によれば、妥当性が確認さ
れた指示データから、外部出力用のデータが取得される
ので、装置の外部にデータを安全に出力することができ
る。

【００２７】第１３の発明は、第１０の発明において、
データ要素処理手段で装置の制御に使用されるデータ要
素は、指示データ処理手段で取得されたデータ要素に制
限されていることを特徴とする。このような第１３の発
明によれば、装置の制御に使用されるデータを一定の手
順でのみ更新可能とすることにより、装置の制御を安全
に行うことができる。

【００２８】第１４の発明は、第１０の発明において、
指示データは、暗号化されており、妥当性判定手段は、
暗号解読後の指示データについて妥当性を判定すること
を特徴とする。このような第１４の発明によれば、指示
データが暗号化されているため、指示データの妥当性を
より安全に判定し、装置の制御をより安全に行うことが
できる。

【００２９】第１５の発明は、第１０の発明において、
指示データ処理手段は、ＪＡＶＡ（Ｒ）言語を解釈する
言語処理部と、言語処理部によって処理されるＪＡＶＡ
（Ｒ）アプレットとを含むことを特徴とする。このよう
な第１５の発明によれば、ＪＡＶＡ（Ｒ）アプレットに
従って指示データを処理することにより、指示データに
対する処理内容を柔軟に変更することができる。

【００３０】第１６の発明は、第１５の発明において、
送受信手段は、利用者からの指示に従い、指示データ処
理手段に含まれるＪＡＶＡ（Ｒ）アプレットを受信する
ことを特徴とする。このような第１６の発明によれば、
ネットワーク経由で取得したＪＡＶＡ（Ｒ）アプレット
に従って指示データを処理することにより、指示データ
に対する処理内容を通信で取得して柔軟に変更すること
ができる。

【００３１】第１７の発明は、第１０の発明において、
送受信手段は、利用者からの指示に従い、指示データを
受信し、妥当性判定手段に供給することを特徴とする。
このような第１７の発明によれば、指示データを装置に
保持することなく、通信で取得して処理することができ
る。

【００３２】第１８の発明は、装置の制御に使用される
データ要素の指定を含んだ指示データの供給を受け、指
示データに基づき動作するデータ処理方法であって、ネ
ットワークで接続されたサーバとの間でデータを送受信
する送受信ステップと、指示データの妥当性を判定する
妥当性判定ステップと、妥当性判定ステップにおいて指
示データが妥当であると判定されたときに、送受信ステ
ップを用いて、指示データで指定されたデータ要素をサ
ーバから取得する指示データ処理ステップと、指示デー
タ処理ステップで取得されたデータ要素に基づき、装置
の制御を行うデータ要素処理ステップとを備える。この
ような第１８の発明によれば、妥当性が確認された指示
データに基づき、装置の制御に使用されるデータが取得
されるので、装置の制御を安全に行うことができる。

【００３３】第１９の発明は、装置の制御に使用される
データ要素を含んだ指示データの供給を受け、指示デー
タに基づき動作するデータ処理方法であって、ネットワ
ークで接続されたサーバとの間でデータを送受信する送
受信ステップと、指示データの妥当性を判定する妥当性
判定ステップと、妥当性判定ステップにおいて指示デー
タが妥当であると判定されたときに、指示データに含ま
れるデータ要素を取得する指示データ処理ステップと、
指示データ処理ステップで取得されたデータ要素に基づ
き、装置の制御を行うデータ要素処理ステップとを備え
る。このような第１９の発明によれば、妥当性が確認さ
れた指示データから、装置の制御に使用されるデータが
取得されるので、装置の制御を安全に行うことができ
る。

【００３４】第２０の発明は、改竄検出用の情報が付加
されたデータを受信して処理するデータ処理装置であっ
て、改竄検出用の情報を配置するための検証情報領域
と、改竄検出の対象となるデータを配置するための保護
データ領域と、改竄検出の対象外となるデータを配置す
る非保護データ領域とを含んだデータであって、保護デ
ータ領域は、非保護データ領域に配置されたデータの種
別を記載した非保護対象リストを有していることを特徴
とするデータを受信する受信手段と、受信手段で受信さ
れたデータについて、検証情報領域に配置された改竄検
出用の情報を用いて、保護データ領域に配置されたデー
タに対する改竄を検出する保護データ検証手段と、受信
手段で受信されたデータについて、保護データ検証手段
において改竄されていないことが確認された非保護対象
リストに基づき、非保護データ領域に配置されたデータ
の妥当性を検証する非保護データ検証手段とを備える。

【００３５】第２１の発明は、第２０の発明において、
受信手段で受信されるデータはハイパーテキストであ
り、非保護対象リストは非保護データ領域に配置された
タグの種別のリストであることを特徴とする。このよう
な第２０または第２１の発明によれば、非保護データ領
域に含まれるデータ（またはタグ）の種別が、保護デー
タ領域内に設けられた非保護対象リストに記載される。
これにより、データ全体に対してデジタル署名する場合
に比べて、署名検証に使用するデータの量を減少させ、
署名検証の効率を上げることができる。また、非保護デ
ータ領域に含まれるデータ（またはタグ）の信頼性を高
くすることができる。さらに、アプリケーションは、デ
ータ（またはタグ）の保護状態を区別することなく、受
信したデータを処理できる。これにより、アプリケーシ
ョンにおける処理量を減少させ、処理速度を上げること
ができる。

【００３６】第２２の発明は、改竄検出用の情報が付加
されたデータを送信側から受信側へ転送するデータ処理
装置であって、送信側データ処理装置は、改竄検出の対
象外となるデータの種別を記載した非保護対象リストを
生成する非保護対象リスト生成手段と、非保護対象リス
トを含めて改竄検出の対象となるデータを保護データ領
域に、改竄検出の対象外となるデータを非保護データ領
域にそれぞれ配置し、さらに保護データ領域に配置した
データに基づき改竄検出用の情報を求めて検証情報領域
に配置することにより、送信すべきデータを作成するデ
ータ作成手段と、データ作成手段で作成されたデータを
送信する送信手段とを備え、受信側データ処理装置は、
送信側データ処理装置から送信されたデータを受信する
受信手段と、受信手段で受信されたデータについて、検
証情報領域に配置された改竄検出用の情報を用いて、保
護データ領域に配置されたデータに対する改竄を検出す
る保護データ検証手段と、受信手段で受信されたデータ
について、保護データ検証手段において改竄されていな
いことが確認された非保護対象リストに基づき、非保護
データ領域に配置されたデータの妥当性を検証する非保
護データ検証手段とを備える。

【００３７】第２３の発明は、第２２の発明において、
データ作成手段で作成されるデータはハイパーテキスト
であり、非保護対象リストは非保護データ領域に配置さ
れたタグの種別のリストであることを特徴とする。この
ような第２２または第２３の発明によれば、送信側装置
では、非保護データ領域に含まれるデータ（またはタ
グ）の種別が入力され、保護データ領域内に設けられた
非保護対象リストに記載される。受信側装置では、保護
データ領域および非保護データ領域に含まれているデー
タ（またはタグ）の種別が判定される。これにより、受
信側装置のアプリケーションを全く変更することなく、
データ（またはタグ）の保護状態を変更できる。したが
って、データ（またはタグ）の保護状態を随時変更で
き、データの扱いを柔軟に変更することができる。ま
た、データ全体に対してデジタル署名する場合に比べ
て、署名検証に使用するデータの量を減少させ、署名検
証の効率を上げることができる。また、非保護データ領
域に含まれるデータ（またはタグ）の信頼性を高くする
ことができる。さらに、アプリケーションは、データ
（またはタグ）の保護状態を区別することなく、受信し
たデータを処理できる。これにより、アプリケーション
における処理量を減少させ、処理速度を上げることがで
きる。

【００３８】第２４の発明は、改竄検出用の情報が付加
されたデータを受信して処理するデータ処理方法であっ
て、改竄検出用の情報を配置するための検証情報領域
と、改竄検出の対象となるデータを配置するための保護
データ領域と、改竄検出の対象外となるデータを配置す
る非保護データ領域とを含んだデータであって、保護デ
ータ領域は、非保護データ領域に配置されたデータの種
別を記載した非保護対象リストを有していることを特徴
とするデータを受信する受信ステップと、受信ステップ
で受信されたデータについて、検証情報領域に配置され
た改竄検出用の情報を用いて、保護データ領域に配置さ
れたデータに対する改竄を検出する保護データ検証ステ
ップと、受信ステップで受信されたデータについて、保
護データ検証ステップにおいて改竄されていないことが
確認された非保護対象リストに基づき、非保護データ領
域に配置されたデータの妥当性を検証する非保護データ
検証ステップとを備える。このような第２４の発明によ
れば、非保護データ領域に含まれるデータの種別が、保
護データ領域内に設けられた非保護対象リストに記載さ
れる。これにより、データ全体に対してデジタル署名す
る場合に比べて、署名検証に使用するデータの量を減少
させ、署名検証の効率を上げることができる。また、非
保護データ領域に含まれるデータの信頼性を高くするこ
とができる。さらに、アプリケーションは、データの保
護状態を区別することなく、受信したデータを処理でき
る。これにより、アプリケーションにおける処理量を減
少させ、処理速度を上げることができる。

【００３９】第２５の発明は、改竄検出用の情報が付加
されたデータを送信側装置から受信側装置へ転送するデ
ータ処理方法であって、送信側装置は、改竄検出の対象
外となるデータの種別を記載した非保護対象リストを生
成する非保護対象リスト生成ステップと、非保護対象リ
ストを含めて改竄検出の対象となるデータを保護データ
領域に、改竄検出の対象外となるデータを非保護データ
領域にそれぞれ配置し、さらに保護データ領域に配置し
たデータに基づき改竄検出用の情報を求めて検証情報領
域に配置することにより、送信すべきデータを作成する
データ作成ステップと、データ作成ステップで作成され
たデータを送信する送信ステップとを実行し、受信側装
置は、送信側から送信されたデータを受信する受信ステ
ップと、受信ステップで受信されたデータについて、検
証情報領域に配置された改竄検出用の情報を用いて、保
護データ領域に配置されたデータに対する改竄を検出す
る保護データ検証ステップと、受信ステップで受信され
たデータについて、保護データ検証ステップにおいて改
竄されていないことが確認された非保護対象リストに基
づき、非保護データ領域に配置されたデータの妥当性を
検証する非保護データ検証ステップとを実行する。この
ような第２５の発明によれば、送信側装置では、非保護
データ領域に含まれるデータの種別が入力され、保護デ
ータ領域内に設けられた非保護対象リストに記載され
る。受信側装置では、保護データ領域および非保護デー
タ領域に含まれているデータの種別が判定される。これ
により、受信側装置のアプリケーションを全く変更する
ことなく、データの保護状態を変更できる。したがっ
て、データの保護状態を随時変更でき、データの扱いを
柔軟に変更することができる。また、データ全体に対し
てデジタル署名する場合に比べて、署名検証に使用する
データの量を減少させ、署名検証の効率を上げることが
できる。また、非保護データ領域に含まれるデータの信
頼性を高くすることができる。さらに、アプリケーショ
ンは、データの保護状態を区別することなく、受信した
データを処理できる。これにより、アプリケーションに
おける処理量を減少させ、処理速度を上げることができ
る。

【００４０】第２６の発明は、デジタル署名されたデー
タを受信して処理するデータ処理装置であって、ネット
ワークで接続されたサーバから、デジタル署名されたデ
ータを受信する受信手段と、受信手段で受信されたデー
タについて、そのデータの署名者にとって署名可能なデ
ータの種別を記載した署名者証明証を取得する署名者証
明書取得手段と、受信手段で受信されたデータについ
て、そのデータの種別が署名者証明書取得手段で取得さ
れた署名者証明書に記載されているときに、そのデータ
に対する署名を有効であると判断する署名検証手段とを
備える。このような第２６の発明によれば、任意の種別
のデータについて同じアルゴリズムを用いて、受信した
データに対して署名者が署名権限を有するか否かを判定
できる。

【００４１】第２７の発明は、第２６の発明において、
署名者証明書には、署名可能なデータの種別がリスト形
式で複数記載できることを特徴とする。このような第２
７の発明によれば、複数の種別のデータに対して署名者
が署名権限を有することを、単一の署名者証明書を用い
て表現できる。

【００４２】第２８の発明は、第２６の発明において、
署名者証明書には、署名可能なデータの種別としてワイ
ルドカードを記載でき、署名検証手段は、署名者証明書
取得手段で取得された署名者証明書に、署名可能なデー
タの種別としてワイルドカードが記載されていた場合に
は、受信手段で受信されたすべてのデータに対する署名
を有効であると判断することを特徴とする。このような
第２８の発明によれば、すべての種別のデータに対して
署名者が署名権限を有することを、署名者証明書にすべ
てのデータの種別を列挙することなく表現できる。

【００４３】第２９の発明は、第２６の発明において、
署名検証手段は、受信手段で受信されたデータのＵＲＩ
（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＩｄｅｎｔｉｆ
ｉｅｒ）の特徴部分に基づき、そのデータの種別を求め
ることを特徴とする。このような第２９の発明によれ
ば、データのＵＲＩの特徴部分と、署名者証明書に含ま
れる署名可能なデータの種別とを文字列として比較する
ことにより、受信したデータに対して署名者が署名する
権限を有するか否かを判定できる。

【００４４】第３０の発明は、第２６の発明において、
署名検証手段は、受信手段で受信されたデータのヘッダ
部分に基づき、そのデータの種別を求めることを特徴と
する。このような第３０の発明によれば、データ受信時
のヘッダ部分に含まれるデータ種別識別情報と、署名者
証明書に含まれる署名可能なデータの種別とを文字列と
して比較することにより、受信したデータに対して署名
者が署名する権限を有するか否かを判定できる。

【００４５】第３１の発明は、第２６の発明において、
署名者証明書取得手段は、受信手段を用いて、署名者証
明書を受信することを特徴とする。このような第３１の
発明によれば、署名者証明書を予め所有していなくて
も、署名者証明書を受信することにより、受信したデー
タに対して署名者が署名する権限を有するか否かを判定
できる。

【００４６】第３２の発明は、デジタル署名されたデー
タを受信して処理するデータ処理方法であって、ネット
ワークで接続されたサーバから、デジタル署名されたデ
ータを受信する受信ステップと、受信ステップで受信さ
れたデータについて、そのデータの署名者にとって署名
可能なデータの種別を記載した署名者証明証を取得する
署名者証明書取得ステップと、受信ステップで受信され
たデータについて、そのデータの種別が署名者証明書取
得ステップで取得された署名者証明書に記載されている
ときに、そのデータに対する署名を有効であると判断す
る署名検証ステップとを備える。このような第３２の発
明によれば、任意の種別のデータについて同じアルゴリ
ズムを用いて、受信したデータに対して署名者が署名権
限を有するか否かを判定できる。

【００４７】

【発明の実施の形態】図１は、本発明の第１ないし第５
の実施形態に係るデータ処理装置を含んだ通信システム
の構成を示す図である。図１において、サーバ１と移動
体装置２０とは、いずれも、通信ネットワーク１０に接
続されている。通信ネットワーク１０は、インターネッ
ト１１、ゲートウェイサーバ１２、移動体通信網１３、
および、基地局１４を含んでいる。サーバ１は、ＨＴＭ
Ｌ（ＨｙｐｅｒＴｅｘｔＭａｒｋｕｐＬａｎｇｕａ
ｇｅ）やＸＭＬ（ｅＸｔｅｎｄｅｄＭａｒｋｕｐＬ
ａｎｇｕａｇｅ）などのハイパーテキスト記述用の言語
で記述された情報やイメージ情報などを保持し、インタ
ーネット１１に接続されている。移動体装置２０は、移
動体通信網１３に接続された基地局１４との間で、例え
ば、ＣＤＭＡ（ＣｏｄｅＤｉｖｉｓｉｏｎＭｕｌｔ
ｉｐｌｅＡｃｃｅｓｓ）を用いたデジタル無線通信を
行う。ゲートウェイサーバ１２は、インターネット１１
と移動体通信網１３とを相互に接続する。移動体装置２
０は、ユーザの操作に応じて、サーバ１に対して情報の
取得要求を発し、サーバ１から情報を取得する。移動体
装置２０は、取得した情報を所定のアプリケーションプ
ログラムに供給したり、画面に表示したりする。なお、
図１では省略されているが、典型的な通信システムで
は、通信ネットワーク１０には、複数のサーバ１と複数
の移動体装置２０とが接続される。

【００４８】図２は、図１に示す移動体装置２０のハー
ドウェア構成を示すブロック図である。移動体装置２０
は、図２に示すように、アンテナ２１、無線制御部２
２、変調部２３、復調部２４、チャネルコーデック２
５、音声入力部２６、音声出力部２７、入力部２８、表
示部２９、および、アプリケーション実行部３０を含ん
でいる。無線制御部２２は、変調部２３から出力された
変調データを無線搬送波に重畳してアンテナ２１から送
信する機能と、アンテナ２１に誘起した高周波信号から
所定の周波数帯の信号を受信する機能とを有している。
変調部２３は、チャネルコーデック２５から出力された
データを所定の方式で変調し、無線制御部２２に出力す
る。復調部２４は、無線制御部２２で受信された信号を
所定の方式で復調し、チャネルコーデック２５に出力す
る。チャネルコーデック２５は、復調部２４、音声入力
部２６、および、アプリケーション実行部３０の出力信
号に対して所定の符号化／復号化処理を行う。復調部２
４から出力されたデータは、音声出力部２７またはアプ
リケーション実行部３０に出力される。音声入力部２６
から出力された音声信号は、変調部２３またはアプリケ
ーション実行部３０に出力される。アプリケーション実
行部３０から出力されたデータは、変調部２３または音
声出力部２７に出力される。

【００４９】音声入力部２６は、マイクロフォンなどに
よって構成され、入力された音声信号をチャネルコーデ
ック２５に出力する。音声出力部２７は、スピーカーな
どによって構成され、チャネルコーデック２５から出力
されたデータを音声出力する。入力部２８は、キーボー
ドやボタンなどによって構成され、表示画面上で入力さ
れた操作データや、押しボタンを用いて入力されたダイ
ヤル番号などをチャネルコーデック２５に出力する。表
示部２９は、ディスプレイ装置などによって構成され、
アプリケーション実行部３０から出力されたデータを、
画面表示やバイブレーションなどによって出力する。

【００５０】アプリケーション実行部３０は、ＣＰＵ３
１、ＲＡＭ３２、ＲＯＭ３３を含んでいる。ＲＡＭ３２
は、ＣＰＵ３１の作業用メモリである。ＲＯＭ３３は、
ＣＰＵ３１が実行するプログラムや、ＣＰＵ３１から参
照されるデータなどを格納している。ＣＰＵ３１は、Ｒ
ＡＭ３２を作業用メモリとして、ＲＡＭ３２またはＲＯ
Ｍ３３に格納されたプログラムを実行する。これによ
り、アプリケーション実行部３０は、通信ネットワーク
１０に対する接続制御、送信データの作成、受信データ
の表示および保存など、各種の処理を行う。

【００５１】以下、第１ないし第５の各実施形態に係る
データ処理装置の詳細を説明する。このうち、第１ない
し第３および第５の実施形態に係るデータ処理装置は、
図１では移動体装置２０に相当し、第４の実施形態に係
るデータ処理装置は、図１ではサーバ１に相当する。第
１ないし第３および第５の各実施形態に係るデータ処理
装置は、ＲＡＭ３２またはＲＯＭ３３に格納された各実
施形態に応じたプログラムをＣＰＵ３１が実行すること
によって構成される。

【００５２】（第１の実施形態）図３は、本発明の第１
の実施形態に係るデータ処理装置１００の構成を示すブ
ロック図である。図３に示すように、通信ネットワーク
１０には、サーバ１ａとデータ処理装置１００とが接続
される。サーバ１ａは、ＨＴＭＬやＸＭＬなどで記述さ
れたデータや画像データなどを格納しており、データ処
理装置１００からの要求に応じてデータを送信する。デ
ータ処理装置１００は、サーバ１ａからデータを取得す
るときには、まず、データ処理装置１００に対する指示
を含んだ指示データ１１１を、サーバ１ａから取得す
る。その後に、データ処理装置１００は、取得した指示
データ１１１に従い、本来取得すべきデータをサーバ１
ａから取得する。サーバ１ａから取得したデータは、端
末用データ１１２と呼ばれ、データ処理装置１００の制
御に使用される。

【００５３】指示データ１１１には、端末用データ１１
２を指定するためのアドレス情報として、端末用データ
１１２のＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅ
Ｌｏｃａｔｏｒ）が含まれている。また、端末用データ
１１２は、画面に表示される画像データ、例えば、アイ
コン用画像データであるとする。データ処理装置１００
は、ユーザの操作に応じて、端末用データ１１２を取得
し、画面に表示する。端末用データ１１２の取得および
更新は、必ず、上述した手順（指示データを受信し、指
示データに従い端末用データを受信する手順）によって
行われるものとする。このようなデータ処理装置１００
は、情報端末装置と呼ぶこともできる。

【００５４】図３に示すように、データ処理装置１００
は、データ取得要求部１０１、送受信部１０２、受信デ
ータ格納部１０３、解析部１０４、解析結果格納部１０
５、妥当性判定部１０６、動作制御部１０７、端末内デ
ータ格納部１０８、および、表示部１０９を備えてい
る。データ取得要求部１０１は、ユーザからの要求に応
じて、取得すべき指示データ１１１を指定する。送受信
部１０２は、通信ネットワーク１０に接続されたサーバ
１ａとの間でデータを送受信する。受信データ格納部１
０３は、送受信部１０２が受信したデータを格納する。

【００５５】解析部１０４は、受信データ格納部１０３
に格納された指示データを解析する。解析結果格納部１
０５は、解析部１０４によって解析された結果を格納す
る。妥当性判定部１０６は、解析結果格納部１０５に格
納された解析結果に基づき、取得した指示データの妥当
性を判定する。動作制御部１０７は、取得した指示デー
タが妥当性判定部１０６において妥当であると判定され
た場合に、解析結果格納部１０５に格納された解析結果
に基づき動作する。例えば、端末用データ１１２のＵＲ
Ｌが指示データ１１１に含まれている場合、動作制御部
１０７は、送受信部１０２を制御して、サーバ１ａから
端末用データ１１２を取得する。

【００５６】端末内データ格納部１０８は、サーバ１ａ
から取得した端末用データ１１２を格納する。動作制御
部１０７は、後述する条件に従い、受信データ格納部１
０３に格納されたデータを端末内データ格納部１０８に
書き込む。表示部１０９は、端末内データ格納部１０８
に格納された端末用データを画面に表示する。端末内デ
ータ格納部１０８への書き込みは、動作制御部１０７の
みが実行できる。

【００５７】データ処理装置１００による端末用データ
更新処理を、図４に示すフローチャートを用いて説明す
る。まず、データ取得要求処理（ステップＳ１１０）で
は、データ取得要求部１０１が、ユーザからのデータ取
得要求を受け取る。この際ユーザは、例えば、ウェブブ
ラウザによる表示画面に含まれているアンカーを選択す
ることにより、取得すべき指示データ１１１を指定す
る。

【００５８】次に、指示データ取得処理（ステップＳ１
２０）では、送受信部１０２が、ステップＳ１１０で指
定された指示データ１１１をサーバ１ａから取得する。
より詳細には、送受信部１０２は、指示データ１１１の
取得要求をサーバ１ａに送信し、サーバ１ａから指示デ
ータ１１１を受信する。受信した指示データは、受信デ
ータ格納部１０３に格納される。

【００５９】次に、指示データ解析処理（ステップＳ１
３０）では、解析部１０４が、受信データ格納部１０３
に格納された指示データを解析する。指示データを解析
した結果は、解析結果格納部１０５に格納される。

【００６０】次に、指示データ妥当性判定処理（ステッ
プＳ１４０）では、妥当性判定部１０６が、解析結果格
納部１０５に格納された解析結果に基づき、取得した指
示データが妥当であるか否かを判定する。取得した指示
データが妥当である場合には、データ処理装置１００
は、ステップＳ１５０へ進む。取得した指示データが妥
当でない場合には、データ処理装置１００は、ステップ
Ｓ１５０以後の処理を行うことなく、端末用データ更新
処理を終了する。

【００６１】次に、動作制御処理（ステップＳ１５０）
では、動作制御部１０７が、取得した指示データに従い
動作する。動作制御部１０７は、例えば、端末用データ
１１２のＵＲＬが取得した指示データに含まれている場
合には、送受信部１０２を制御して、サーバ１ａから端
末用データ１１２を取得する。ここで、端末用データ１
１２のＵＲＬが複数個、取得した指示データに含まれて
いる場合には、動作制御部１０７は、端末用データ１１
２を複数回取得する。取得した端末用データは、受信デ
ータ格納部１０３に格納される。

【００６２】次に、表示処理（ステップＳ１６０）で
は、動作制御部１０７が、ステップＳ１５０で取得した
端末用データを端末内データ格納部１０８に書き込む。
表示部１０９は、端末内データ格納部１０８に格納され
た端末用データを画面に表示する。図４に示す処理を順
次実行することにより、指示データ１１１で指定された
端末用データ１１２がサーバ１ａから取得され、データ
処理装置１００の画面に表示される。

【００６３】指示データ１１１および端末用データ１１
２の例を、図５および図６を用いて説明する。図５は、
指示データ１１１の一例を示す図である。図５に示す指
示データ１４０は、指示データ１１１を具体的にＸＭＬ
で記述したものである。指示データ１１１において、＜
文字列Ｘ＞および＜／文字列Ｘ＞で囲まれた部分を「Ｘ
タグ」と呼ぶ。指示データ１４０のうち、ｐｒｏｔｅｃ
ｔｅｄタグ１４１、ｄａｔａＳｏｕｒｃｅＵｒｌタグ１
４２、ｓｉｇｎａｔｕｒｅタグ１４４、および、ｃｅｒ
ｔｉｆｉｃａｔｅタグ１４５は、指示データ妥当性判定
処理（ステップＳ１４０）で使用される。ｅｘＤａｔａ
Ｄｉｇｅｓｔタグ１４３は、端末用データ妥当性判定処
理（後述する図１０のステップＳ１５３）で使用され
る。ｐｒｏｔｅｃｔｅｄタグ１４１には、データ処理装
置１００に対する指示内容が含まれている。図５に示す
例では、ｄａｔａＳｏｕｒｃｅＵｒｌタグ１４２に含ま
れる２つのＵＲＬにアクセスし、２つの端末用データを
取得することにより、表示画面を変更する（Ｃｕｓｔｏ
ｍｉｚｅ）ことが指示されている。

【００６４】図６は、端末用データ１１２の一例を示す
図である。図６において、テーブルの各行は１つの端末
用データに対応し、テーブルの左欄には各端末用データ
の内容が、テーブルの右欄には各端末用データのＵＲＬ
が、それぞれ記載されている。第１の端末用データは、
にわとりの画像データであり、第２の端末用データは、
パンダの画像データである。図５に示す指示データ１４
０のｄａｔａＳｏｕｒｃｅＵｒｌタグ１４２には、各端
末用データのＵＲＬが記載されている。

【００６５】指示データ解析処理（ステップＳ１３０）
の詳細を、図７を用いて説明する。指示データ１１１
は、例えばＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎ
Ｓｔａｎｄａｒｄ）アルゴリズムを用いて暗号化された
状態で、サーバ１ａに格納されているとする。この場
合、指示データ取得処理（ステップＳ１２０）で取得さ
れたときの指示データは、まだ暗号化された状態にあ
る。そこで、暗号復号処理（ステップＳ１３１）では、
解析部１０４が、指示データ１１１に施された暗号を復
号化する。次に、指示データ解析処理（ステップＳ１３
２）では、解析部１０４が、復号化した指示データを構
成要素に分解する。解析した結果は、解析結果格納部１
０５に格納される。なお、指示データ１１１が暗号化さ
れていない場合には、解析部１０４は、暗号復号処理
（ステップＳ１３１）を行うことなく、指示データ解析
処理（ステップＳ１３２）のみを行う。

【００６６】解析結果格納部１０５は、指示データ１１
１の解析結果を、タグ名とデータとからなる組の形態で
格納している。図８は、指示データ１４０の解析結果を
示す図である。この例では、指示データの種類を示す識
別情報（ｄｅｓｃｒｉｐｔｏｒＴｙｐｅ）には、「Ｃｕ
ｓｔｏｍｉｚｅ」が格納されている。指示データのバー
ジョンを示す情報（ＦＩＤ）には、「１」が格納されて
いる。指示データを取得した動作制御部１０７が取得す
べき端末用データのＵＲＬ（ｄａｔａＳｏｕｒｃｅＵｒ
ｌ）には、「ｈｔｔｐｓ：／／ｗｗｗ．ｈｏｇｅ．ｃｏ
ｍ／ｆｏｏ１．ｇｉｆ」および「ｈｔｔｐｓ：／／ｗｗ
ｗ．ｈｏｇｅ．ｃｏｍ／ｆｏｏ２．ｇｉｆ」が格納され
ている。端末用データのＵＲＬをＭＤ５（Ｍｅｓｓａｇ
ｅＤｉｇｅｓｔ５）アルゴリズムを用いてハッシュ
化した情報（ｅｘＤａｔａＤｉｇｅｓｔ）には、「ａｆ
ｄｆｓａｆａｆａｆｋｌｊｋ：ｊｂａｈａｆｌｋｄｊｆ
ａ」および「ｂｈｏｕｙｂｙｏｕｈｓｄｈｏｌｉｄｉｏ
ｕｙｂｓ」が格納されている。署名（ｓｉｇｎａｔｕｒ
ｅ）には、ｓｉｇｎａｔｕｒｅタグ１４４に記載されて
いた署名が格納されている。証明書（ｃｅｒｔｉｆｉｃ
ａｔｅ）には、ｃｅｒｔｉｆｉｃａｔｅタグ１４５に記
載されていた署名者の証明書および２次ＣＡ（Ｃｅｒｔ
ｉｆｉｃａｔｅＡｇｅｎｃｙ）の証明書が格納されて
いる。なお、指示データ１１１の内容により、解析結果
に２次ＣＡの証明書が含まれていない場合や、２次ＣＡ
の証明書に加えて３次および４次ＣＡの証明書が含まれ
ている場合などがある。

【００６７】指示データ妥当性判定処理（ステップＳ１
４０）の詳細を、図９を用いて説明する。以下では、例
として、指示データ１４０が妥当であるか否かを判定す
るものとする。まず、ハッシュ化処理（ステップＳ１４
１）では、妥当性判定部１０６は、指示データ１４０の
うちで＜ｐｒｏｔｅｃｔｅｄ＞と＜／ｐｒｏｔｅｃｔｅ
ｄ＞とで囲まれたデータを、ＭＤ５アルゴリズムを用い
てハッシュ化する。

【００６８】次に、証明書取得処理（ステップＳ１４
２）では、妥当性判定部１０６は、解析結果格納部１０
５に格納された証明書（ｃｅｒｔｉｆｉｃａｔｅ）から
要素を１つずつ取り出す。すなわち、妥当性判定部１０
６は、最初は署名者の証明書を、２回めは２次ＣＡの証
明書を、その後は順に３次ＣＡの証明書、４次ＣＡの証
明書、…を取り出す。なお、ここでいう証明書は、イン
ターネットで一般的に使用されている公開鍵暗号を用い
たデジタル署名で採用されているものである。

【００６９】次に、証明書判定処理（ステップＳ１４
３）では、妥当性判定部１０６は、これまでに取得した
証明書を用いて、ｃｅｒｔｉｆｉｃａｔｅタグ１４５に
記載された署名者の証明書が妥当であるか否かを判定す
る。すなわち、妥当性判定部１０６は、最初は署名者の
証明書のみを用いて、２回めは署名者の証明書と２次Ｃ
Ａの証明書とを用いて、３回目は署名者の証明書と２次
および３次ＣＡの証明書とを用いて、署名者の証明書の
妥当性を判定する。データ処理装置１００は、これまで
に取得した証明書を用いて署名者の証明書が妥当である
と証明できない場合は（ステップＳ１４３のＮＯ）ステ
ップＳ１４２へ進む。この場合、データ処理装置１００
は、新たな証明書を取得して、再び署名者の証明書の妥
当性を判定する。

【００７０】署名者の証明書の妥当性が証明できた場合
は（ステップＳ１４３のＹＥＳ）、妥当性判定部１０６
は、ステップＳ１４４からＳ１４６の処理を行う。公開
鍵取得処理（ステップＳ１４４）では、妥当性判定部１
０６は、署名者の証明書から公開鍵を取得する。次に、
署名復号化処理（ステップＳ１４５）では、妥当性判定
部１０６は、ステップＳ１４４で取得した公開鍵を用い
て、ｓｉｇｎａｔｕｒｅタグ１４４に含まれている署名
を復号化する。これにより、指示データになされていた
署名が求められる。次に、ハッシュ値比較処理（ステッ
プＳ１４６）では、妥当性判定部１０６は、ステップＳ
１４１で求めたハッシュ値とステップＳ１４５で求めた
署名とを比較する。両者が一致した場合には、妥当性判
定部１０６は、指示データ１４０は妥当であると判定す
る。データ処理装置１００は、これをもって指示データ
妥当性判定処理を終了する。

【００７１】これに対して、証明書取得処理で新たな証
明書を取得できなかった場合（ステップＳ１４２のＮ
Ｏ）、または、ハッシュ値比較処理（ステップＳ１４
６）で２つの値が一致しなかった場合には、データ処理
装置１００は、以降の処理を行うことなく、端末用デー
タ更新処理を終了する。

【００７２】動作制御処理（ステップＳ１５０）の詳細
を、図１０を用いて説明する。まず、ＵＲＬ取得処理
（ステップＳ１５１）では、動作制御部１０７は、解析
結果格納部１０５に格納された端末用データ１１２のＵ
ＲＬを順次１つずつ取り出す。次に、端末用データ取得
処理（ステップＳ１５２）では、動作制御部１０７は、
送受信部１０２を制御して、ステップＳ１５１で取得し
たＵＲＬにアクセスし、サーバ１ａから端末用データ１
１２を取得する。

【００７３】次に、端末用データ妥当性判定処理（ステ
ップＳ１５３）では、動作制御部１０７は、取得した端
末用データが妥当であるか否かを判定する。解析結果格
納部１０５には、指示データ１１１の解析結果として、
ＭＤ５を用いて端末用データ１１２をハッシュ化した値
が蓄積されている。そこで、動作制御部１０７は、取得
した端末用データをＭＤ５アルゴリズムを用いてハッシ
ュ化し、求めたハッシュ値と解析結果格納部１０５にす
でに格納されている上記ハッシュ値とが一致した場合
に、取得した端末用データは妥当であると判定する。な
お、端末用データ１１２をハッシュ化した結果が指示デ
ータ１１１に含まれていないない場合には、ステップＳ
１５３を省略してもよい。

【００７４】取得した端末用データが端末用データ妥当
性判定処理で妥当であると判定された場合には（ステッ
プＳ１５３のＹＥＳ）、端末内データ格納処理（ステッ
プＳ１５４）が実行される。この処理では、動作制御部
１０７が、取得した端末用データを端末内データ格納部
１０８に書き込む。その後、動作制御部１０７は、ステ
ップＳ１５２へ進み、次の端末用データを処理する。取
得した指示データに含まれるすべてのＵＲＬについてス
テップＳ１５１からＳ１５４の処理を終えた場合には
（ステップＳ１５１のＮＯ）、動作制御部１０７は、動
作制御処理を完了する。

【００７５】図１１は、端末用データの更新によって表
示画面が変更する様子を示す図である。表示部１０９
は、端末内データ格納部１０８に格納された端末用デー
タに基づき、画面を表示する。例えば、変更前の画面１
８１が表示されている状態で、ユーザが、２つのアイコ
ンを変更するための操作を行ったとする。データ処理装
置１００は、ユーザの操作に応じて指示データ１４０を
受信した後、受信した指示データに従い図６に示す２種
類の画像データを受信し、端末内データ格納部１０８に
書き込む。これにより、変更後の画面１８２が表示され
る。

【００７６】以上に示すように、本実施形態に係るデー
タ処理装置によれば、端末用データを一定の手順でのみ
更新可能とすることにより、表示画面を安全に変更する
ことができる。

【００７７】（第２の実施形態）図１２は、本発明の第
２の実施形態に係るデータ処理装置１２０の構成を示す
ブロック図である。図１２に示すデータ処理装置１２０
は、第１の実施形態に係るデータ処理装置１００におけ
る表示部１０９を、データ出力部１２９に置換したもの
である。また、本実施形態に係る動作制御部は第１の実
施形態と異なるので、参照番号１２７が付されている。
本実施形態の構成要素のうち、第１の実施形態と同一の
構成要素については、同一の参照符号を付して、説明を
省略する。

【００７８】図１２に示すように、通信ネットワーク１
０には、サーバ１ｂとデータ処理装置１２０とが接続さ
れる。ただし、第１の実施形態に係るサーバ１ａは、指
示データ１１１と端末用データ１１２とを別々に格納す
ることとしたが、本実施形態に係るサーバ１ｂは、端末
用データ１３２を含んだ指示データ１３１を格納するこ
ととする。

【００７９】データ処理装置１２０による端末用データ
更新処理を、図１３に示すフローチャートを用いて説明
する。ただし、図１３に示すステップＳ１１０からＳ１
４０の処理は第１の実施形態と同じであるので、同一の
ステップ番号を付して、説明を省略する。

【００８０】データ処理装置１２０は、指示データ妥当
性判定処理（ステップＳ１４０）に続いて、第１の実施
形態とは異なる動作制御処理（ステップＳ１７０）を行
う。この処理では、動作制御部１２７が、取得した指示
データに従い動作する。動作制御部１２７は、例えば、
取得した指示データに含まれる複数の端末用データを取
得する。

【００８１】次に、端末用データ出力処理（ステップＳ
１８０）では、動作制御部１２７が、ステップＳ１７０
で取得した端末用データを端末内データ格納部１０８に
書き込む。データ出力部１２９は、端末内データ格納部
１０８に格納された端末用データを読み出して、データ
処理装置１２０の外部に出力する。図１３に示す処理を
順次実行することにより、指示データ１３１がサーバ１
ｂから取得され、指示データ１３１に含まれていた端末
用データ１３２が、データ処理装置１２０の外部に出力
される。

【００８２】指示データ１３１および端末用データ１３
２の例を、図１４を用いて説明する。図１４に示す指示
データ１６０は、指示データ１３１を具体的にＸＭＬで
記述したものである。指示データ１３１において、＜文
字列Ｘ＞および＜／文字列Ｘ＞で囲まれた部分を「Ｘタ
グ」と呼ぶ。第１の実施形態と同様に、指示データ１６
０のうち、ｐｒｏｔｅｃｔｅｄタグ１６１、ｓｉｇｎａ
ｔｕｒｅタグ１６４、および、ｃｅｒｔｉｆｉｃａｔｅ
タグ１６５は、指示データ妥当性判定処理（ステップＳ
１４０）で使用される。ｐｒｏｔｅｃｔｅｄタグ１６１
には、データ処理装置１２０に対する指示内容が含まれ
ている。図１４に示す例では、ｃｎｔｌＤａｔａタグ１
６２に含まれるデータ（「１２３」）を用いて、データ
出力部１２９を制御する（Ｃｏｎｔｒｏｌ）ことが指示
されている。よって、データ「１２３」が、端末用デー
タ１３２に相当する。また、指示データ１３１は、第１
の実施形態と同様に、例えばＤＥＳアルゴリズムを用い
て暗号化された状態で、サーバ１ｂに格納されていると
する。

【００８３】図１５は、指示データ１６０の解析結果を
示す図である。図８と図１５の相違点は、以下のとおり
である。指示データの種類を示す識別情報（ｄｅｓｃｒ
ｉｐｔｏｒＴｙｐｅ）には、「Ｃｏｎｔｒｏｌ」が格納
されている。指示データを取得した動作制御部１２７が
取得すべき端末用データ（ｃｔｒｌＤａｔａ）には、
「１２３」が格納されている。

【００８４】動作制御処理（ステップＳ１７０）の詳細
を、図１６を用いて説明する。まず、端末用データ取得
処理（ステップＳ１７１）では、動作制御部１２７が、
解析結果格納部１０５に格納された端末用データを順次
１つずつ取り出す。次に、端末内データ格納処理（ステ
ップＳ１７２）では、動作制御部１２７は、取得した端
末用データを端末内データ格納部１０８に書き込む。そ
の後、動作制御部１２７は、ステップＳ１７１へ進み、
次の端末用データを処理する。取得した指示データに含
まれるすべての端末用データについて処理を終えた場合
には（ステップＳ１７１のＮＯ）、動作制御部１２７
は、動作制御処理を完了する。

【００８５】以上に示すように、本実施形態に係るデー
タ処理装置によれば、端末用データを一定の手順のみで
更新可能とすることにより、データ処理装置の制御を安
全に行うことができる。

【００８６】なお、第１および第２の実施形態では、動
作制御部１０７、１２７は、ＣＰＵ３１がＲＡＭ３２ま
たはＲＯＭ３３に格納されたプログラムを実行すること
によって構成されることとした。特に、動作制御部１０
７、１２７は、ＣＰＵ３１がＪＡＶＡ（Ｒ）の仮想マシ
ンとして、ＲＡＭ３２に格納されたＪＡＶＡ（Ｒ）アプ
レットを実行することによって構成されることとしても
よい。この場合、ＪＡＶＡ（Ｒ）アプレットは、利用者
からの指示に応じて、通信ネットワーク１０を介して動
的にデータ処理装置１００、１２０にダウンロードされ
ることとしてもよい。また、データ処理装置１００、１
２０は、指示データ１１１に基づき取得した端末用デー
タ１１２（または、指示データ１３１から取得した端末
用データ１３２）を、端末内データ格納部１０８に格納
することしたが、周辺機器やＩｒＤＡ（Ｉｎｆｒａｒｅ
ｄＤａｔａＡｓｓｏｃｉａｔｉｏｎ）通信インター
フェイス部などのデータ出力部に直接出力することとし
てもよい。

【００８７】また、データ処理装置１００、１２０は、
指示データ１１１、１３１を通信以外の方法で、例え
ば、データ処理装置１００、１２０に着脱可能に構成さ
れた記憶媒体から取得することとしてもよい。また、指
示データ１１１、１３１に含まれる各タグの形式は、
「タグ名：値」でもよく、その他の形式でもよい。ま
た、指示データ１１１、１３１の暗号化方式は、ＤＥＳ
アルゴリズム以外の任意の暗号化方式でもよい。また、
指示データ妥当性判定処理（ステップＳ１４０）では、
公開鍵暗号以外の方法で署名者の証明書の妥当性を判定
してもよい。また、ステップＳ１４１およびＳ１５３に
おけるハッシュアルゴリズムは、ＭＤ５以外のアルゴリ
ズムであってもよい。また、ステップＳ１４１でハッシ
ュ化されるデータの範囲は、指示データ１１１、１３１
全体に限らず、適宜取り決めてもよい。また、指示デー
タのハッシュ化は、求めたハッシュ値と署名を復号した
結果とを比較するために行われるので、ステップＳ１４
１の処理を、ステップＳ１４６より前の任意の箇所で行
ってもよい。また、ステップＳ１４４では、指示データ
に含まれている署名者の証明書から公開鍵を取得するこ
ととしたが、署名者の公開鍵を正しく取得できる限り、
他の方法で取得してもよい。例えば、ステップＳ１４４
では、データ処理装置に予め内蔵された署名者の証明書
から公開鍵を取得することとしてもよい。また、端末用
データ１１２、１３２は画像データに限らず、音楽デー
タや制御用データなどであってもよい。

【００８８】また、第１の実施形態では、指示データ１
１１には端末用データ１１２のＵＲＬが含まれていると
したが、指示データ１１１には端末用データ１１２を一
意に指定する識別情報が含まれており、データ処理装置
１００が識別情報を用いて端末用データのＵＲＬを求め
ることとしてもよい。また、指示データには端末用デー
タのハッシュ値が含まれており、ステップＳ１５３では
このハッシュ値を用いて端末用データの妥当性を判定す
ることとしたが、指示データには端末用データのチェッ
クサムまたはデータサイズが含まれており、ステップＳ
１５３ではこれらいずれかの値を用いて端末用データの
妥当性を判定することとしてもよい。あるいは、ステッ
プＳ１５３を省略してもよい。また、指示データ１１１
と端末用データ１１２とは、異なるサーバに格納されて
いてもよい。

【００８９】（第３の実施形態）図１７は、本発明の第
３の実施形態に係るデータ処理装置２００の構成を示す
ブロック図である。図１７に示すように、通信ネットワ
ーク１０には、サーバ１ｃとデータ処理装置２００とが
接続される。サーバ１ｃは、ＨＴＭＬやＸＭＬなどで記
述されたデータや画像データなどを格納しており、デー
タ処理装置２００からの要求に応じてデータを送信す
る。本実施形態では、データ処理装置２００がサーバ１
ｃからデータを取得するときの手順に特に限定はない。
例えば、データ処理装置２００は、ユーザの操作に応じ
て、データ取得要求をサーバ１ｃに送信することとして
もよい。

【００９０】図１７に示すように、データ処理装置２０
０は、受信部２０１、署名検証部２０２、非保護データ
検証部２０３、および、アプリケーション部２０４を備
えている。受信部２０１は、通信ネットワーク１０に接
続されたサーバ１ｃからデータを受信する。署名検証部
２０２は、受信したデータについてデジタル署名の検証
を行う。非保護データ検証部２０３は、デジタル署名の
対象外とされたデータの妥当性を検査する。アプリケー
ション部２０４は、受信したデータを利用して各種の動
作を行う。

【００９１】図１８は、データ処理装置２００が処理す
るデータの構成を示す図である。図１８に示すデータ２
４０は、保護データ領域２４１、非保護データ領域２４
２、および、検証情報領域２４３を含んでいる。保護デ
ータ領域２４１には、デジタル署名の対象となるデータ
が配置される。非保護データ領域２４２には、デジタル
署名の対象外となるデータが配置される。検証情報領域
２４３は、デジタル署名のための署名および公開鍵が配
置される。また、保護データ領域２４１は、非保護対象
リスト２４５を有している。非保護対象リスト２４５に
は、非保護データ領域２４２に含まれるデータの種別
が、リスト形式で記載される。

【００９２】データ処理装置２００の動作を、図１７お
よび図１８を用いて説明する。受信部２０１は、サーバ
１ｃから有線通信または無線通信によってデータを受信
する。以下では、図１８に示すデータ２４０を受信した
とする。受信部２０１は、受信したデータ２４０を署名
検証部２０２に出力する。

【００９３】署名検証部２０２は、データ２４０の検証
情報領域２４３に含まれている検証情報に基づき、保護
データ領域２４１に含まれているデータに改竄や誤りが
生じたか否かを検査する。具体的には、検証情報領域２
４３には、保護データ領域２４１をハッシュ化し秘密鍵
を用いて暗号化した結果である署名と、秘密鍵と対をな
す公開鍵とが含まれている。署名検証部２０２は、検証
情報領域２４３から署名および公開鍵を抽出し、抽出し
た署名を抽出した公開鍵で復号化した結果と、保護デー
タ領域２４１をハッシュ化した結果とを比較する。保護
データ領域２４１に含まれているデータが正しい場合
（すなわち、データに改竄や誤りが生じていない場合）
には、両者は一致する。この場合、署名検証部２０２
は、保護データ領域２４１に含まれるデータと、非保護
データ領域２４２に含まれるデータとを非保護データ検
証部２０３に出力する。

【００９４】非保護データ検証部２０３は、非保護デー
タ領域２４２に含まれるデータの種別が保護データ領域
２４１の非保護対象リスト２４５に記載されているか否
かを検査する。非保護対象リスト２４５自体は、署名検
証部２０２において正しいデータであることがすでに確
認されている。よって、非保護対象リスト２４５に記載
されていない種別のデータが非保護データ領域２４２に
含まれている場合には、非保護データ領域２４２に改竄
や誤りが発生し、データの種別が変化したか、あるい
は、そのデータはアプリケーション部２０４にとって不
要であるかのいずれかである。このため、非保護データ
検証部２０３は、非保護対象リスト２４５に記載された
種別のデータを非保護データ領域２４２から選択し、保
護データ領域２４１に含まれるデータと共にアプリケー
ション部２０４に出力する。この際、非保護データ検証
部２０３は、非保護対象リスト２４５に記載されていな
い種別のデータを破棄する。

【００９５】以下、受信したデータがハイパーテキスト
である場合を例として、本実施形態の詳細をさらに説明
する。図１９は、データ処理装置２００が処理するデー
タ２４０の一例を示す図である。図１９に示すテキスト
データ２６０は、ＸＭＬで記述されたスケジュール更新
用データである。本実施形態で使用されるＸＭＬを用い
れば、公開鍵暗号を用いたデジタル署名をタグとして記
述できるものとする。

【００９６】図１７において、サーバ１ｃとデータ処理
装置２００とは、協働して１つのスケジュールデータを
管理するものとする。また、サーバ１ｃとデータ処理装
置２００とは、それぞれ別個にスケジュールデータを有
しており、両スケジュールデータはそれぞれ随時更新さ
れているとする。この状況では、サーバ１ｃとデータ処
理装置２００とは、適宜、同期を取ってスケジュールデ
ータを一致させる必要がある。そこで、クライアントに
あたるデータ処理装置２００は、スケジュールデータを
一致させるために、サーバ１ｃに対して同期確立を要求
する。これに応じて、サーバ１ｃは、図１９に示すテキ
ストデータ２６０をデータ処理装置２００に送信する。
テキストデータ２６０には、書き換え操作コマンドや、
スケジュールデータや、更新日時情報や、書き換えセッ
ションのセッションＩＤなどが含まれている。ここで、
書き換え操作コマンドとは、サーバ優先またはクライア
ント優先のいずれの方式でスケジュールを書き換えるか
を示すものである。

【００９７】テキストデータ２６０において、＜文字列
Ｘ＞および＜／文字列Ｘ＞で囲まれた部分を「Ｘタグ」
と呼ぶ。ｐｒｏｔｅｃｔｅｄタグ２６１は、図１８に示
す保護データ領域２４１に相当する。ｕｎｐｒｏｔｅｃ
ｔｅｄタグ２６２は、図１８に示す非保護データ領域２
４２に相当する。ｓｉｇｎａｔｕｒｅタグ２６３および
ｃｅｒｔｉｆｉｃａｔｅタグ２６４は、図１８に示す検
証情報領域２４３に相当する。ｓｉｇｎａｔｕｒｅタグ
２６３には、署名２７７が含まれている。署名２７７
は、保護データ領域であるｐｒｏｔｅｃｔｅｄタグ２６
１をハッシュ化し、求めたハッシュ値を送信側装置が有
する秘密鍵を用いて暗号化することによって得られたも
のである。ｃｅｒｔｉｆｉｃａｔｅタグ２６４には、送
信側装置が有する秘密鍵と対をなす公開鍵２７８が含ま
れている。ｐｒｏｔｅｃｔｅｄタグ２６１には、ｕｎｐ
ｒｏｔｅｃｔｅｄＴａｇタグ２６５が含まれている。ｕ
ｎｐｒｏｔｅｃｔｅｄＴａｇタグ２６５には、非保護デ
ータ領域であるｕｎｐｒｏｔｅｃｔｅｄタグ２６２に含
まれているデータの種別が、リスト形式で記載されてい
る。ｕｎｐｒｏｔｅｃｔｅｄＴａｇタグ２６５は、図１
８に示す非保護対象リスト２４５に相当する。

【００９８】保護データ領域２４１に相当するｐｒｏｔ
ｅｃｔｅｄタグ２６１には、改竄されてはいけないデー
タが配置される。図１９に示すスケジュール更新用デー
タでは、書き換え操作コマンド、スケジュールデータ、
および、返信用ＵＲＬ（サーバに対して次の要求を送信
するためのＵＲＬ）が、改竄されてはいけないデータと
して扱われる。このため、ｐｒｏｔｅｃｔｅｄタグ２６
１には、書き換え操作コマンドを含んだｃｏｍｍａｎｄ
タグ２７１、スケジュールデータを含んだＳＣＨＥＤＵ
ＬＥタグ２７２、および、返信用ＵＲＬを含んだｒｅｔ
ｕｒｎＵｒｌタグ２７３が配置されている。

【００９９】一方、非保護データ領域２４２に相当する
ｕｎｐｒｏｔｅｃｔｅｄタグ２６２には、改竄されても
よい一時的な情報が配置される。図１９に示すスケジュ
ール用更新データでは、セッションＩＤおよび更新日時
情報が、改竄されてもよいデータとして扱われる。この
ため、ｕｎｐｒｏｔｅｃｔｅｄタグ２６２には、セッシ
ョンＩＤを含んだｓｅｓｓｉｏｎＩＤタグ２７４、およ
び、更新日時情報を含んだｍｏｄｉｆｉｅｄタグ２７５
が配置されている。なお、ｃｏｍｍａｎｄタグ２７６
は、データが改竄された結果、ｕｎｐｒｏｔｅｃｔｅｄ
タグ２６２に配置されているものとする。

【０１００】データ処理装置２００が受信したデータを
アプリケーション部２０４に出力する動作を、図２０を
用いて説明する。まず、受信部２０１が、通信ネットワ
ーク１０に接続されたサーバ１ｃからデータを受信する
（ステップＳ２０１）。以下では、図１９に示すテキス
トデータ２６０を受信した場合について説明する。

【０１０１】次に、署名検証部２０２が、保護データ領
域２４１に相当するｐｒｏｔｅｃｔｅｄタグ２６１をハ
ッシュ化する（ステップＳ２０２）。次に、署名検証部
２０２は、公開鍵２７８を用いて署名２７７を復号化す
る（ステップＳ２０３）。なお、署名検証部２０２は、
ステップＳ２０２とステップＳ２０３とを逆の順序で実
行してもよい。次に、署名検証部２０２は、ステップＳ
２０２で求めたハッシュ値と、署名２７７を復号化した
結果とを比較する（ステップＳ２０４）。両者が一致し
ない場合には（ステップＳ２０４のＮＯ）、保護データ
領域に改竄または誤りが発生したため、受信したデータ
は信用できないと判断される。この場合、署名検証部２
０２は、受信したデータを破棄する（ステップＳ２０
５）。その後、データ処理装置２００は、受信したデー
タをアプリケーション部２０４に出力することなく、受
信したデータに対する処理を終了する。

【０１０２】一方、ステップＳ２０４において２つのデ
ータが一致した場合には（ステップＳ２０４のＹＥ
Ｓ）、署名検証部２０２は、ｐｒｏｔｅｃｔｅｄタグ２
６１に含まれているｕｎｐｒｏｔｅｃｔｅｄＴａｇタグ
２６５と、ｕｎｐｒｏｔｅｃｔｅｄタグ２６２とを非保
護データ検証部２０３に出力する。次に、非保護データ
検証部２０３は、ｕｎｐｒｏｔｅｃｔｅｄタグ２６２に
含まれているすべてのタグについて、そのタグがｕｎｐ
ｒｏｔｅｃｔｅｄＴａｇタグ２６５に記載されているか
否かを検査する。非保護対象リスト２４５にあたるｕｎ
ｐｒｏｔｅｃｔｅｄＴａｇタグ２６５に記載されていな
いタグ（未定義タグ）がある場合には（ステップＳ２０
７のＹＥＳ）、そのタグは改竄されているか、あるいは
アプリケーション部２０４にとって不要であると判断さ
れる。この場合、非保護データ検証部２０３は、未定義
タグに含まれているデータを破棄する（ステップＳ２０
８）。

【０１０３】非保護データ検証部２０３は、アプリケー
ション部２０４に対して、ｐｒｏｔｅｃｔｅｄタグ２６
１に含まれるデータと、ｕｎｐｒｏｔｅｃｔｅｄタグ２
６２に含まれるデータとを出力する（ステップＳ２０
８）。ｐｒｏｔｅｃｔｅｄタグ２６１に含まれるデータ
については、改竄されていないことが保証されている。
また、ｕｎｐｒｏｔｅｃｔｅｄタグ２６２に含まれるデ
ータのうち、データの種別がｕｎｐｒｏｔｅｃｔｅｄＴ
ａｇタグ２６５に記載されていないデータは、非保護デ
ータ検証部２０３の作用により除去されている。

【０１０４】テキストデータ２６０の場合、ｓｅｓｓｉ
ｏｎＩＤタグ２７４の種別である「ｓｅｓｓｉｏｎＩ
Ｄ」と、ｍｏｄｉｆｉｅｄタグ２７５の種別である「ｍ
ｏｄｉｆｉｅｄ」とは、ｕｎｐｒｏｔｅｃｔｅｄＴａｇ
タグ２６５に記載されている。したがって、ｓｅｓｓｉ
ｏｎＩＤタグ２７４とｍｏｄｉｆｉｅｄタグ２７５と
は、アプリケーション部２０４に出力される。これに対
して、ｃｏｍｍａｎｄタグ２７６の種別である「ｃｏｍ
ｍａｎｄ」は、ｕｎｐｒｏｔｅｃｔｅｄＴａｇタグ２６
５に記載されていない。したがって、ｃｏｍｍａｎｄタ
グ２７６は改竄された可能性があり、信用できないデー
タであると判断される。このため、非保護データ検証部
２０３は、ｃｏｍｍａｎｄタグ２７６を、アプリケーシ
ョン部２０４に出力することなく破棄する。

【０１０５】アプリケーション部２０４は、非保護デー
タ検証部２０３から供給されたデータが保護データ領域
または非保護データ領域のいずれに含まれていたかを区
別する必要はない。なぜならば、署名検証部２０２およ
び非保護データ検証部２０３の作用により、タグ自身は
正しいことがすでに確認されており、非保護データ領域
に含まれているデータはもともと改竄を許容できるから
である。データに対する改竄を許容できない場合には、
そのデータの種別を非保護対象リストから削除し、デー
タ自体を保護データ領域に配置すればよい。

【０１０６】以上に示すように、本実施形態に係るデー
タ処理装置によれば、非保護データ領域に含まれるデー
タの種別が、保護データ領域に設けられた非保護対象リ
ストに記載される。特に、データがハイパーテキストで
ある場合には、非保護データ領域に含まれるタグの種別
が、非保護対象リストに記載される。また、非保護デー
タ領域に含まれているが、種別が非保護対象リストに記
載されていないデータ（またはタグ）は、アプリケーシ
ョン部に供給されない。これにより、データ全体に対し
てデジタル署名する場合に比べて署名検証に使用するデ
ータの量を減少させ、署名検証の効率を上げることがで
きる。また、非保護データ領域に含まれているデータ
（またはタグ）のうち、種別が非保護対象リストに記載
されているデータ（またはタグ）のみがアプリケーショ
ン部に供給されるので、非保護データ領域に含まれるデ
ータ（またはタグ）の信頼性を高くすることができる。
また、アプリケーション部は、データ（またはタグ）が
保護データ領域または非保護データ領域のいずれに含ま
れていたかを区別することなく、受信したデータを処理
することができる。これにより、アプリケーション部に
おける処理量を減少させ、処理速度を上げることができ
る。

【０１０７】（第４の実施形態）図２１は、本発明の第
４の実施形態に係るデータ処理装置２２０の構成を示す
ブロック図である。図２１に示すように、通信ネットワ
ーク１０には、２つのデータ処理装置２００、２２０が
接続される。以下では、両者を区別するため、データ処
理装置２２０を送信側データ処理装置と呼び、データ処
理装置２００を受信側データ処理装置と呼ぶ。受信側デ
ータ処理装置２００は、第３の実施形態に係るデータ処
理装置である。本実施形態に係る送信側データ処理装置
２２０は、図１８に示すデータ２４０を作成して送信す
るデータ処理装置である。

【０１０８】図２１に示すように、送信側データ処理装
置２２０は、入力部２２１、非保護対象リスト生成部２
２２、データ配置部２２３、署名生成部２２４、およ
び、送信部２２５を備える。入力部２２１は、送信すべ
きデータと、非保護対象リスト２４５に記載すべきデー
タの種別とを入力するために使用される。非保護対象リ
スト生成部２２２は、非保護データ領域２４２に含まれ
るデータの種別に基づき、非保護対象リスト２４５を生
成する。データ配置部２２３は、非保護対象リスト２４
５に基づき、送信すべきデータを保護データ領域２４１
と非保護データ領域２４２とに配置する。署名生成部２
２４は、保護データ領域２４１に含まれているデータに
ついて、改竄の有無を検出するための検証情報領域２４
３を生成する。送信部２２５は、通信ネットワーク１０
に接続された受信側データ処理装置２００にデータを送
信する。

【０１０９】送信側データ処理装置２２０から受信側デ
ータ処理装置２００へデータを転送する場合、送信側デ
ータ処理装置２２０の入力部２２１には、非保護データ
領域２４２に含まれるデータの種別が入力される。非保
護対象リスト生成部２２２は、入力部２２１から入力さ
れたデータの種別に基づき、非保護対象リスト２４５を
生成する。生成された非保護対象リスト２４５は、保護
データ領域２４１に配置すべきデータとして扱われる。

【０１１０】データ配置部２２３は、生成された非保護
対象リスト２４５に基づき、送信すべきデータを保護デ
ータ領域２４１または非保護データ領域２４２のいずれ
に配置するかを判定する。データ配置部２２３は、その
判定結果に従い、保護データ領域２４１または非保護デ
ータ領域２４２のいずれかに、送信すべきデータを配置
する。具体的には、データ配置部２２３は、データの種
別が非保護対象リスト２４５に記載されている場合は、
そのデータを非保護データ領域２４２に配置し、それ以
外の場合は、そのデータを保護データ領域２４１に配置
する。

【０１１１】署名生成部２２４は、非保護対象リスト２
４５を含め保護データ領域２４１に含まれるデータをハ
ッシュ化し、求めたハッシュ値を秘密鍵を用いて暗号化
する。これにより求めた値は、送信すべきデータに対す
る署名となる。署名生成部２２４は、暗号化で用いた秘
密鍵と対になる公開鍵と、求めた署名とを送信すべきデ
ータの検証情報領域２４３に配置する。これにより送信
すべきデータに署名がなされたことになる。送信部２２
５は、署名後のデータを受信側データ処理装置２００に
送信する。受信側データ処理装置２００は、第３の実施
形態と同様に動作する。

【０１１２】以下、転送するデータがハイパーテキスト
である場合を例として、本実施形態の詳細をさらに説明
する。図２２は、送信側データ処理装置２２０が処理す
るデータ２４０の一例を示す図である。図２２に示すテ
キストデータ２８０、２９０は、図１９に示すテキスト
データ２６０と同様に、ＸＭＬで記述されたスケジュー
ル更新用データである。ＸＭＬを用いれば公開鍵暗号を
用いたデジタル署名をタグとして記述できる点、テキス
トデータ２８０、２９０が使用される状況、および、テ
キストデータ２８０、２９０に含まれるタグの意味は、
第３の実施形態と同じである。図２２に示す要素のう
ち、第３の実施形態と同一の要素については、同一の参
照符号を付して、説明を省略する。

【０１１３】テキストデータ２８０に含まれるｍｏｄｉ
ｆｉｅｄタグ２７５を、非保護状態から保護状態に変更
する場合について説明する。図２１に示す入力部２２１
には、非保護データ領域に含まれるべきデータの種別が
入力される。この際、ｍｏｄｉｆｉｅｄタグ２７５の種
別は、非保護データ領域に含まれるべきデータの種別と
して入力されない。非保護対象リスト生成部２２２は、
ｍｏｄｉｆｉｅｄタグ２７５の種別である「ｍｏｄｉｆ
ｉｅｄ」を含まない非保護対象リストを生成する。図２
３では、ｕｎｐｒｏｔｅｃｔｅｄＴａｇタグ２９５が、
生成された非保護対象リストに相当する。データ配置部
２２３は、生成した非保護対象リストに基づき、従来は
非保護データ領域に相当するｕｎｐｒｏｔｅｃｔｅｄタ
グ２８２に配置されていたｍｏｄｉｆｉｅｄタグ２７５
を、保護データ領域に相当するｐｒｏｔｅｃｔｅｄタグ
２９１に配置し直す。署名生成部２２４は、ｐｒｏｔｅ
ｃｔｅｄタグ２９１をハッシュ化することにより、ｓｉ
ｇｎａｔｕｒｅタグ２９３に含めるべき署名を求める。
ｓｉｇｎａｔｕｒｅタグ２９３およびｃｅｒｔｉｆｉｃ
ａｔｅタグ２６４は、検証情報領域を構成する。署名生
成部２２４は、求めた検証情報領域を送信すべきデータ
に付加する。これにより、変更後のデータ２９０が得ら
れる。送信部２２５は、このようにして得られたデータ
２９０を受信側データ処理装置２００に送信する。

【０１１４】以上に示すように、本実施形態に係るデー
タ処理装置によれば、非保護データ領域に含まれるデー
タの種別が入力され、その入力に応じて生成された非保
護対象リストが保護データ領域に配置される。特に、デ
ータがハイパーテキストである場合には、非保護データ
領域に含まれるタグの種別が、非保護対象リストに記載
される。また、生成された非保護対象リストに基づき、
送信すべきデータ（またはタグ）を保護データ領域また
は非保護データ領域のいずれに配置するかが判定され
る。したがって、受信側データ処理装置のアプリケーシ
ョン部による処理やその他の処理を全く変更することな
く、データ（またはタグ）の保護状態を随時変更するこ
とができる。したがって、データの扱いを柔軟に変更す
ることができる。

【０１１５】また、第３の実施形態と同様に、データ全
体に対してデジタル署名する場合に比べて署名確認に使
用するデータの量を減少させ、署名検証の効率を上げる
ことができる。また、非保護データ領域に含まれている
データ（またはタグ）の信頼性を高くし、受信側データ
処理装置のアプリケーション部は、データ（またはタ
グ）が保護データ領域または非保護データ領域のいずれ
に含まれていたかを区別することなく、データ（または
タグ）を処理することができる。

【０１１６】なお、第３および第４の実施形態では、図
１８に示すように、保護データ領域２４１、非保護デー
タ領域２４２、検証情報領域２４３の順に、各領域が配
置されるとしたが、各領域を区別できる限り、任意の順
序に配置してよい。また、保護データ領域２４１に含ま
れている非保護対象リスト２４５も、保護データ領域２
４１に含まれている他のデータと同様に、デジタル署名
の検証対象となっている限り、任意の位置に配置してよ
い。

【０１１７】また、データがハイパーテキストである場
合には、図１９および図２２に示すように、非保護対象
リスト２４５には、非保護データ領域２４２に含まれる
タグの種別を記載することとした。これに代えて、非保
護対象のタグが記載されていることが識別できる限り、
直接タグ自体を記載しても、タグに代わる表現（例え
ば、タグＩＤやタグの集合を表すメタ表現的な記述）を
使用してもよい。

【０１１８】また、第４の実施形態では、入力部２２１
には非保護対象リスト２４５に含まれるデータ（または
タグ）の種別が入力されるとこととしたが、入力部２２
１から入力される情報は、保護データ領域および非保護
データ領域にどのデータ（またはタグ）を配置するかを
識別できる情報であれば足りる。したがって、入力部２
２１には、保護データ領域に含まれるデータ（またはタ
グ）の種別が入力されることとしてもよい。また、非保
護対象リスト生成部２２２は、非保護対象リスト２４５
に含まれるデータ（またはタグ）の種別を記憶する記憶
部を有しており、入力部２２１には前回の設定に対する
変更部分のみが入力されることとしてもよい。

【０１１９】（第５の実施形態）図２３は、本発明の第
５の実施形態に係るデータ処理装置３００の構成を示す
ブロック図である。図２３に示すように、通信ネットワ
ーク１０には、サーバ１ｄとデータ処理装置３００とが
接続される。サーバ１ｄは、ＨＴＭＬやＸＭＬなどで記
述されたデータや画像データなどを格納しており、デー
タ処理装置３００からの要求に応じてデータを送信す
る。このようなサーバ１ｄおよびデータ処理装置３００
は、それぞれ、コンテンツサーバおよびコンテンツ処理
装置とも言える。

【０１２０】図２３に示すように、データ処理装置３０
０は、受信部３０１、署名者証明書データベース３０
２、および、署名検証部３０３を備えている。受信部３
０１は、通信ネットワーク１０に接続されたサーバ１ｄ
からデータを受信する。署名者証明書データベース３０
２は、署名者証明書を蓄積している。署名検証部３０３
は、受信したデータに対応した署名者証明書を、署名者
証明書データベース３０２から取得し、これを用いて、
受信したデータに対する署名の有効性を検証する。

【０１２１】図２４は、データ処理装置３００がサーバ
１ｄから受信して処理するデータの一例を示す図であ
る。以下では、このデータを「コンテンツ」と呼ぶ。図
２５は、署名者証明書データベース３０２に蓄積された
署名者証明書の一例を示す図である。図２４に示すコン
テンツ３２０および図２５に示す署名者証明書３４０に
は、いずれも、ＸＭＬと同様に「＜タグ名＞情報＜／タ
グ名＞」の形式で、タグ名とタグに対応した情報とが記
述される。また、タグに対応した情報自体が、「＜タグ
名＞情報＜／タグ名＞」の形式を有していてもよい。こ
の記述方式によれば、情報を階層的に記述することがで
きる。なお、以下の説明で参照するために、コンテンツ
３２０および署名者証明書３４０の各行には、（数字
Ｎ）の形式で行番号が記載されている。

【０１２２】サーバ１ｄには、図２４に示すコンテンツ
３２０などが格納されている。サーバ１ｄは、データ処
理装置３００からコンテンツ取得要求を受信し、要求さ
れたコンテンツをデータ処理装置３００に送信する。デ
ータ処理装置３００は、コンテンツを受信した際には、
受信したコンテンツを処理する前に、次の手順で受信し
たコンテンツを検証する。以下では、データ処理装置３
００がコンテンツ３２０を受信した場合を例として、署
名検証部３０３の動作を説明する。

【０１２３】署名検証部３０３は、まず、コンテンツ３
２０の行番号（１０２）のｓｉｇｎｅｄＢｙタグに含ま
れている署名者の名前を抽出する。これにより、「ＸＹ
Ｚ株式会社」が、署名者の名前として抽出される。次
に、署名検証部３０３は、抽出した署名者の名前に対応
する署名者証明書を、署名者証明書データベース３０２
から取得する。具体的には、署名検証部３０３は、署名
者証明書データベース３０２から、Ｓｕｂｊｅｃｔタグ
の値がコンテンツのｓｉｇｎｅｄＢｙタグの値に一致す
る署名者証明書を検索する。ここでは、署名者証明書デ
ータベース３０２を検索した結果、図２５に示す署名者
証明書３４０が得られたとする。

【０１２４】署名検証部３０３は、受信したコンテンツ
３２０の種別が、署名者証明書３４０の行番号（２０
５）に記載されたａｕｔｈｏｒｉｚｅｄＣｏｎｔｅｎｔ
Ｔｙｐｅｓタグの値に含まれているか否かを調べる。署
名者証明書３４０のａｕｔｈｏｒｉｚｅｄＣｏｎｔｅｎ
ｔＴｙｐｅｓタグの値には、「ａｄｒｓ」と「ｓｃｈｅ
ｄ」という２つのコンテンツ種別が含まれている。この
例では、コンテンツ種別はコンテンツのＵＲＩ（Ｕｎｉ
ｆｏｒｍＲｅｓｏｕｒｃｅＩｄｅｎｔｉｆｉｅｒ）
の特徴部分、より特定的には、コンテンツのＵＲＩの拡
張子によって決定されると仮定する。そこで、受信した
コンテンツのＵＲＩの拡張子が「ａｄｒｓ」か「ｓｃｈ
ｅｄ」のいずれかである場合には、署名検証部３０３
は、受信したコンテンツに署名する権限を署名者が有し
ていると判定する。

【０１２５】例えば、受信したコンテンツのＵＲＩの拡
張子がａｄｒｓである場合には、署名検証部３０３は、
署名者証明書３４０に含まれている公開鍵を用いて、コ
ンテンツ３２０に含まれているデジタル署名を検証す
る。公開鍵には、署名者証明書３４０の行番号（２０
６）に記載されたｐｕｂｌｉｃＫｅｙタグの値として設
定されている公開鍵が使用される。検査の対象となるデ
ジタル署名は、コンテンツ３２０の行番号（１１０）に
記載されたｓｉｇｎａｔｕｒｅタグの値として設定され
ている。

【０１２６】具体的には、署名検証部３０３は、コンテ
ンツ３２０から、行番号（１０１）ないし（１０９）に
記載されたｓｉｇｎｅｄＩｎｆｏタグの値である行番号
（１０２）〜（１０８）の文字列を取り出す。次に、署
名検証部３０３は、取り出した文字列に対して、ＭＤ５
などのハッシュアルゴリズムを適用する。次に、署名検
証部３０３は、署名者証明書３４０の行番号（２０６）
に記載された公開鍵と、コンテンツ３２０の行番号（１
１０）にｓｉｇｎａｔｕｒｅタグの値として記載された
デジタル署名を、それぞれ取得する。次に、署名検証部
３０３は、求めたハッシュ値と、取得したデジタル署名
を取得した公開鍵で復号化した値とを比較する。両者が
一致する場合には、デジタル署名は正しいと判断され、
両者が一致しない場合には、デジタル署名は正しくない
と判断される。後者の場合、受信したコンテンツは、破
棄される。

【０１２７】以上に示すように、本実施形態に係るデー
タ処理装置によれば、署名者の署名権限が、署名できる
コンテンツの種別という形式で、署名者証明書に含めら
れている。このため、新しいアプリケーションが登場し
たために、新しい種別のコンテンツを扱う必要が生じた
場合でも、署名権限判定方式を変更することなく、新し
い種別のコンテンツに対応することができる。

【０１２８】なお、本実施形態では、コンテンツの種別
が、コンテンツのＵＲＩの拡張子によって指定されるこ
ととした。これに代えて、コンテンツの種別は、コンテ
ンツ受信時のヘッダ情報に含まれるコンテンツ種別情報
によって指定されることとしてもよい。また、署名者証
明書のａｕｔｈｏｒｉｚｅｄＣｏｎｔｅｎｔＴｙｐｅｓ
タグの値として、ワイルドカードを示す＊（アスタリス
ク）を記載できることとし、データ処理装置３００は、
このような署名者証明書に対応した署名者は、いかなる
種別のコンテンツに対しても署名権限を有すると判定す
ることとしてもよい。

【０１２９】また、データ処理装置３００は、サーバ１
ｄからコンテンツを受信するときに、これとともに署名
者証明書をサーバ１ｄから受信することとしてもよい。
これにより、データ処理装置３００は、署名者証明書デ
ータベース３０２に含まれていない署名者についても、
署名者の権限を検査することができる。この場合、サー
バ１ｄから受信した署名者証明書が虚偽であることをデ
ータ処理装置３００が検出できるように、認証局が署名
者証明書に署名しておいてもよい。

【図面の簡単な説明】

【図１】本発明の第１ないし第５の実施形態に係るデー
タ処理装置を含んだ通信システムの構成を示す図であ
る。

【図２】本発明の第１ないし第３および第５の実施形態
に係るデータ処理装置に共通したハードウェア構成を示
すブロック図である。

【図３】本発明の第１の実施形態に係るデータ処理装置
の構成を示すブロック図である。

【図４】本発明の第１の実施形態に係るデータ処理装置
の動作を示すフローチャートである。

【図５】本発明の第１の実施形態に係るデータ処理装置
における指示データの一例を示す図である。

【図６】本発明の第１の実施形態に係るデータ処理装置
における端末用データの一例を示す図である。

【図７】本発明の第１の実施形態に係るデータ処理装置
の指示データ解析処理を示すフローチャートである。

【図８】本発明の第１の実施形態に係るデータ処理装置
による指示データの解析結果の一例を示す図である。

【図９】本発明の第１の実施形態に係るデータ処理装置
の指示データ妥当性判定処理を示すフローチャートであ
る。

【図１０】本発明の第１の実施形態に係るデータ処理装
置の動作制御処理を示すフローチャートである。

【図１１】本発明の第１の実施形態に係るデータ処理装
置において、端末用データの更新によって表示画面が変
化する様子を示す図である。

【図１２】本発明の第２の実施形態に係るデータ処理装
置の構成を示すブロック図である。

【図１３】本発明の第２の実施形態に係るデータ処理装
置の動作を示すフローチャートである。

【図１４】本発明の第２の実施形態に係るデータ処理装
置における指示データの一例を示す図である。

【図１５】本発明の第２の実施形態に係るデータ処理装
置による指示データの解析結果の一例を示す図である。

【図１６】本発明の第２の実施形態に係るデータ処理装
置における動作制御処理を示すフローチャートである。

【図１７】本発明の第３の実施形態に係るデータ処理装
置の構成を示すブロック図である。

【図１８】本発明の第３の実施形態に係るデータ処理装
置が処理するデータの構成を示す図である。

【図１９】本発明の第３の実施形態に係るデータ処理装
置が処理するＸＭＬデータの構成を示す図である。

【図２０】本発明の第３の実施形態に係るデータ処理装
置の動作を示すフローチャートである。

【図２１】本発明の第４の実施形態に係るデータ処理装
置の構成を示すブロック図である。

【図２２】本発明の第４の実施形態に係るデータ処理装
置が処理するＸＭＬデータの構成を示す図である。

【図２３】本発明の第５の実施形態に係るデータ処理装
置の構成を示すブロック図である。

【図２４】本発明の第５の実施形態に係るデータ処理装
置が処理するコンテンツの一例を示す図である。

【図２５】本発明の第５の実施形態に係るデータ処理装
置が参照する署名者証明書の一例を示す図である。

【符号の説明】

１…サーバ１０…通信ネットワーク１００、１２０、２００、２２０、３００…データ処理
装置１０１…データ取得要求部１０２…送受信部１０３…受信データ格納部１０４…解析部１０５…解析結果格納部１０６…妥当性判定部１０７、１２７…動作制御部１０８…端末内データ格納部１０９…表示部１１１、１３１、１４０、１６０…指示データ１１２、１３２…端末用データ１２９…データ出力部２０１、３０１…受信部２０２…署名検証部２０３…非保護データ検証部２０４…アプリケーション部２２１…入力部２２２…非保護対象リスト生成部２２３…データ配置部２２４…署名生成部２２５…送信部２４０…データ２４１…保護データ領域２４２…非保護データ領域２４３…検証情報領域２４５…非保護対象リスト３０２…署名者証明書データベース３０３…署名検証部３２０…コンテンツ３４０…署名者証明書

───────────────────────────────────────────────────── フロントページの続き (72)発明者稲見聡大阪府門真市大字門真1006番地松下電器産業株式会社内 (72)発明者水山正重大阪府門真市大字門真1006番地松下電器産業株式会社内 (72)発明者和田浩美大阪府門真市大字門真1006番地松下電器産業株式会社内 (72)発明者加藤淳展神奈川県横浜市港北区綱島東四丁目３番１号松下通信工業株式会社内Ｆターム(参考） 5B085 AE00 AE29 BE03 5J104 AA08 AA09 LA06 MA01 PA07

Claims

【特許請求の範囲】

【請求項１】装置の制御に使用されるデータ要素の指
定を含んだ指示データの供給を受け、前記指示データに
基づき動作するデータ処理装置であって、ネットワークで接続されたサーバとの間でデータを送受
信する送受信手段と、前記指示データの妥当性を判定す
る妥当性判定手段と、前記妥当性判定手段において前記指示データが妥当であ
ると判定されたときに、前記送受信手段を用いて、前記
指示データで指定されたデータ要素を前記サーバから取
得する指示データ処理手段と、前記指示データ処理手段で取得されたデータ要素に基づ
き、装置の制御を行うデータ要素処理手段とを備えた、
データ処理装置。
【請求項２】前記データ要素処理手段は、前記指示デ
ータ処理手段で取得されたデータ要素に基づき、画面表
示を行うことを特徴とする、請求項１に記載のデータ処
理装置。
【請求項３】前記データ要素処理手段は、前記指示デ
ータ処理手段で取得されたデータ要素を、装置の外部に
出力することを特徴とする、請求項１に記載のデータ処
理装置。
【請求項４】前記データ要素処理手段で装置の制御に
使用されるデータ要素は、前記指示データ処理手段で取
得されたデータ要素に制限されていることを特徴とす
る、請求項１に記載のデータ処理装置。
【請求項５】前記指示データは、暗号化されており、
前記妥当性判定手段は、暗号解読後の前記指示データに
ついて妥当性を判定することを特徴とする、請求項１に
記載のデータ処理装置。
【請求項６】前記指示データ処理手段は、前記サーバ
から取得したデータ要素の妥当性を判定し、妥当である
と判定したデータ要素を前記データ要素処理手段に供給
することを特徴とする、請求項１に記載のデータ処理装
置。
【請求項７】前記指示データ処理手段は、ＪＡＶＡ
（登録商標）言語を解釈する言語処理部と、前記言語処
理部によって処理されるＪＡＶＡ（登録商標）アプレッ
トとを含むことを特徴とする、請求項１に記載のデータ
処理装置。
【請求項８】前記送受信手段は、利用者からの指示に
従い、前記指示データ処理手段に含まれるＪＡＶＡ（登
録商標）アプレットを受信することを特徴とする、請求
項７に記載のデータ処理装置。
【請求項９】前記送受信手段は、利用者からの指示に
従い、前記指示データを受信し、前記妥当性判定手段に
供給することを特徴とする、請求項１に記載のデータ処
理装置。
【請求項１０】装置の制御に使用されるデータ要素を
含んだ指示データの供給を受け、前記指示データに基づ
き動作するデータ処理装置であって、ネットワークで接続されたサーバとの間でデータを送受
信する送受信手段と、前記指示データの妥当性を判定する妥当性判定手段と、前記妥当性判定手段において前記指示データが妥当であ
ると判定されたときに、前記指示データに含まれるデー
タ要素を取得する指示データ処理手段と、前記指示データ処理手段で取得されたデータ要素に基づ
き、装置の制御を行うデータ要素処理手段とを備えた、
データ処理装置。
【請求項１１】前記データ要素処理手段は、前記指示
データ処理手段で取得されたデータ要素に基づき、画面
表示を行うことを特徴とする、請求項１０に記載のデー
タ処理装置。
【請求項１２】前記データ要素処理手段は、前記指示
データ処理手段で取得されたデータ要素を、装置の外部
に出力することを特徴とする、請求項１０に記載のデー
タ処理装置。
【請求項１３】前記データ要素処理手段で装置の制御
に使用されるデータ要素は、前記指示データ処理手段で
取得されたデータ要素に制限されていることを特徴とす
る、請求項１０に記載のデータ処理装置。
【請求項１４】前記指示データは、暗号化されてお
り、前記妥当性判定手段は、暗号解読後の前記指示デー
タについて妥当性を判定することを特徴とする、請求項
１０に記載のデータ処理装置。
【請求項１５】前記指示データ処理手段は、ＪＡＶＡ
（登録商標）言語を解釈する言語処理部と、前記言語処
理部によって処理されるＪＡＶＡ（登録商標）アプレッ
トとを含むことを特徴とする、請求項１０に記載のデー
タ処理装置。
【請求項１６】前記送受信手段は、利用者からの指示
に従い、前記指示データ処理手段に含まれるＪＡＶＡ
（登録商標）アプレットを受信することを特徴とする、
請求項１５に記載のデータ処理装置。
【請求項１７】前記送受信手段は、利用者からの指示
に従い、前記指示データを受信し、前記妥当性判定手段
に供給することを特徴とする、請求項１０に記載のデー
タ処理装置。
【請求項１８】装置の制御に使用されるデータ要素の
指定を含んだ指示データの供給を受け、前記指示データ
に基づき動作するデータ処理方法であって、ネットワークで接続されたサーバとの間でデータを送受
信する送受信ステップと、前記指示データの妥当性を判定する妥当性判定ステップ
と、前記妥当性判定ステップにおいて前記指示データが妥当
であると判定されたときに、前記送受信ステップを用い
て、前記指示データで指定されたデータ要素を前記サー
バから取得する指示データ処理ステップと、前記指示データ処理ステップで取得されたデータ要素に
基づき、装置の制御を行うデータ要素処理ステップとを
備えた、データ処理方法。
【請求項１９】装置の制御に使用されるデータ要素を
含んだ指示データの供給を受け、前記指示データに基づ
き動作するデータ処理方法であって、ネットワークで接続されたサーバとの間でデータを送受
信する送受信ステップと、前記指示データの妥当性を判定する妥当性判定ステップ
と、前記妥当性判定ステップにおいて前記指示データが妥当
であると判定されたときに、前記指示データに含まれる
データ要素を取得する指示データ処理ステップと、前記指示データ処理ステップで取得されたデータ要素に
基づき、装置の制御を行うデータ要素処理ステップとを
備えた、データ処理方法。
【請求項２０】改竄検出用の情報が付加されたデータ
を受信して処理するデータ処理装置であって、改竄検出用の情報を配置するための検証情報領域と、改
竄検出の対象となるデータを配置するための保護データ
領域と、改竄検出の対象外となるデータを配置する非保
護データ領域とを含んだデータであって、前記保護デー
タ領域は、前記非保護データ領域に配置されたデータの
種別を記載した非保護対象リストを有していることを特
徴とするデータを受信する受信手段と、前記受信手段で受信されたデータについて、前記検証情
報領域に配置された改竄検出用の情報を用いて、前記保
護データ領域に配置されたデータに対する改竄を検出す
る保護データ検証手段と、前記受信手段で受信されたデータについて、前記保護デ
ータ検証手段において改竄されていないことが確認され
た前記非保護対象リストに基づき、前記非保護データ領
域に配置されたデータの妥当性を検証する非保護データ
検証手段とを備えた、データ処理装置。
【請求項２１】前記受信手段で受信されるデータはハ
イパーテキストであり、前記非保護対象リストは前記非
保護データ領域に配置されたタグの種別のリストである
ことを特徴とする、請求項２０に記載のデータ処理装
置。
【請求項２２】改竄検出用の情報が付加されたデータ
を送信側から受信側へ転送するデータ処理装置であっ
て、送信側データ処理装置は、改竄検出の対象外となるデータの種別を記載した非保護
対象リストを生成する非保護対象リスト生成手段と、前記非保護対象リストを含めて改竄検出の対象となるデ
ータを保護データ領域に、改竄検出の対象外となるデー
タを非保護データ領域にそれぞれ配置し、さらに前記保
護データ領域に配置したデータに基づき改竄検出用の情
報を求めて検証情報領域に配置することにより、送信す
べきデータを作成するデータ作成手段と、前記データ作成手段で作成されたデータを送信する送信
手段とを備え、受信側データ処理装置は、前記送信側データ処理装置から送信されたデータを受信
する受信手段と、前記受信手段で受信されたデータについて、前記検証情
報領域に配置された改竄検出用の情報を用いて、前記保
護データ領域に配置されたデータに対する改竄を検出す
る保護データ検証手段と、前記受信手段で受信されたデータについて、前記保護デ
ータ検証手段において改竄されていないことが確認され
た前記非保護対象リストに基づき、前記非保護データ領
域に配置されたデータの妥当性を検証する非保護データ
検証手段とを備えた、データ処理装置。
【請求項２３】前記データ作成手段で作成されるデー
タはハイパーテキストであり、前記非保護対象リストは
前記非保護データ領域に配置されたタグの種別のリスト
であることを特徴とする、請求項２２に記載のデータ処
理装置。
【請求項２４】改竄検出用の情報が付加されたデータ
を受信して処理するデータ処理方法であって、改竄検出用の情報を配置するための検証情報領域と、改
竄検出の対象となるデータを配置するための保護データ
領域と、改竄検出の対象外となるデータを配置する非保
護データ領域とを含んだデータであって、前記保護デー
タ領域は、前記非保護データ領域に配置されたデータの
種別を記載した非保護対象リストを有していることを特
徴とするデータを受信する受信ステップと、前記受信ステップで受信されたデータについて、前記検
証情報領域に配置された改竄検出用の情報を用いて、前
記保護データ領域に配置されたデータに対する改竄を検
出する保護データ検証ステップと、前記受信ステップで受信されたデータについて、前記保
護データ検証ステップにおいて改竄されていないことが
確認された前記非保護対象リストに基づき、前記非保護
データ領域に配置されたデータの妥当性を検証する非保
護データ検証ステップとを備えた、データ処理方法。
【請求項２５】改竄検出用の情報が付加されたデータ
を送信側装置から受信側装置へ転送するデータ処理方法
であって、送信側装置は、改竄検出の対象外となるデータの種別を記載した非保護
対象リストを生成する非保護対象リスト生成ステップ
と、前記非保護対象リストを含めて改竄検出の対象となるデ
ータを保護データ領域に、改竄検出の対象外となるデー
タを非保護データ領域にそれぞれ配置し、さらに前記保
護データ領域に配置したデータに基づき改竄検出用の情
報を求めて検証情報領域に配置することにより、送信す
べきデータを作成するデータ作成ステップと、前記データ作成ステップで作成されたデータを送信する
送信ステップとを実行し、受信側装置は、送信側から送信されたデータを受信する受信ステップ
と、前記受信ステップで受信されたデータについて、前記検
証情報領域に配置された改竄検出用の情報を用いて、前
記保護データ領域に配置されたデータに対する改竄を検
出する保護データ検証ステップと、前記受信ステップで受信されたデータについて、前記保
護データ検証ステップにおいて改竄されていないことが
確認された前記非保護対象リストに基づき、前記非保護
データ領域に配置されたデータの妥当性を検証する非保
護データ検証ステップとを実行する、データ処理方法。
【請求項２６】デジタル署名されたデータを受信して
処理するデータ処理装置であって、ネットワークで接続されたサーバから、デジタル署名さ
れたデータを受信する受信手段と、前記受信手段で受信されたデータについて、当該データ
の署名者にとって署名可能なデータの種別を記載した署
名者証明証を取得する署名者証明書取得手段と、前記受信手段で受信されたデータについて、当該データ
の種別が前記署名者証明書取得手段で取得された署名者
証明書に記載されているときに、当該データに対する署
名を有効であると判断する署名検証手段とを備えた、デ
ータ処理装置。
【請求項２７】前記署名者証明書には、署名可能なデ
ータの種別がリスト形式で複数記載できることを特徴と
する、請求項２６に記載のデータ処理装置。
【請求項２８】前記署名者証明書には、署名可能なデ
ータの種別としてワイルドカードを記載でき、前記署名検証手段は、前記署名者証明書取得手段で取得
された署名者証明書に、署名可能なデータの種別として
ワイルドカードが記載されていた場合には、前記受信手
段で受信されたすべてのデータに対する署名を有効であ
ると判断することを特徴とする、請求項２６に記載のデ
ータ処理装置。
【請求項２９】前記署名検証手段は、前記受信手段で
受信されたデータのＵＲＩ（ＵｎｉｆｏｒｍＲｅｓｏ
ｕｒｃｅＩｄｅｎｔｉｆｉｅｒ）の特徴部分に基づ
き、当該データの種別を求めることを特徴とする、請求
項２６に記載のデータ処理装置。
【請求項３０】前記署名検証手段は、前記受信手段で
受信されたデータのヘッダ部分に基づき、当該データの
種別を求めることを特徴とする、請求項２６に記載のデ
ータ処理装置。
【請求項３１】前記署名者証明書取得手段は、前記受
信手段を用いて、前記署名者証明書を受信することを特
徴とする、請求項２６に記載のデータ処理装置。
【請求項３２】デジタル署名されたデータを受信して
処理するデータ処理方法であって、ネットワークで接続されたサーバから、デジタル署名さ
れたデータを受信する受信ステップと、前記受信ステップで受信されたデータについて、当該デ
ータの署名者にとって署名可能なデータの種別を記載し
た署名者証明証を取得する署名者証明書取得ステップ
と、前記受信ステップで受信されたデータについて、当該デ
ータの種別が前記署名者証明書取得ステップで取得され
た署名者証明書に記載されているときに、当該データに
対する署名を有効であると判断する署名検証ステップと
を備えた、データ処理方法。