JP2003044362A

JP2003044362A - 電子貸金庫システム

Info

Publication number: JP2003044362A
Application number: JP2001228288A
Authority: JP
Inventors: Kenji Ieshima; 健司家島; Masahiro Sakashita; 正洋坂下; Kunihiko Takai; 邦彦高井; Osamu Kubo; 理久保; Seiji Futaki; 誠司二木; Masashi Takeda; 真史竹田
Original assignee: Hitachi Ltd; Hitachi Capital Corp
Current assignee: Hitachi Ltd; Mitsubishi HC Capital Inc
Priority date: 2001-07-27
Filing date: 2001-07-27
Publication date: 2003-02-14

Abstract

(57)【要約】【課題】銀行の貸し金庫に書類を預けることと同等の
機密保持を、電子ファイル管理に対して実現することが
できる電子金庫システムを得る。【解決手段】ファイルを管理する電子金庫としてのフ
ァイルサーバ１００と、サーバにアクセス可能なＩＣカ
ードリーダ１０６を有する複数台のクライアント１０５
とにより構成される。ファイルにアクセスしようとする
ユーザは、クライアントに設置されたＩＣカードリーダ
１０６に本人が所有するＩＣカードを差込むことにより
認証を受ける。サーバ１００内には、プログラム群１０
１、１０２、１０４と、極秘に管理すべきファイルを格
納するＤＢ１０３とが具備されている。そして、複数の
ユーザが同時にログインしている状態で、ファイルの新
規預け入れや参照・更新要求が一人のユーザからなされ
た場合、機密情報を共有しているユーザに対して操作を
実施するか否かを確認して、要求された処理を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、電子貸金庫システ
ムに係り、特に、電子的なファイルを保管するサービス
業務に使用して好適な電子貸金庫システムに関する。

【０００２】

【従来の技術】情報自身を厳重に管理することは、遺言
書、借用書、収支報告書などにおいてそのニーズが高
い。例えば、遺言書は、遺言をした本人が死亡した後、
本人から委託を受けた人（弁護士など）、相続する（本
人の親族など）人がすべて同席した中で開封することが
求められる。このため、遺言書は、銀行などの貸し金庫
を使用して保管されることが多い。貸し金庫は、銀行員
の管理する鍵と、借り手の管理する鍵との両方が揃うこ
とにより扉を開けることができるように構成されてお
り、これによって借り手が勝手に自分の鍵を使用して内
容を置き換えたりすることができないようにされてい
る。

【０００３】前述した貸し金庫は、物理的に存在するも
のであり、銀行内などに設置されており、多くは貴金属
や宝石、各種証書など、対象自体に価値があるものの管
理向けと考えられる。一方、先に挙げた遺言書にとどま
らず、情報内容に極秘性が求められる場合、物理的な金
庫を使用する必然性はそれほど大きくない。しかし、他
に、情報内容を極秘としておく適当な方法は、従来、提
供されていないのが現状である。

【０００４】また、従来から情報技術を用いて各種ファ
イルにセキュリティを設定してファイルを管理すること
や、ファイルをデータベース化することが行われてい
る。このセキュリティの設定は、例えば、ファイルを保
存するときにパスワードを設定しておき、ファイルを参
照・更新する場合にパスワードを入力することが求めら
るといったセキュリティである。

【０００５】しかし、これらの技術は、パスワードを知
り得た人が一人でそのファイルに対する操作を実行する
ことができる点が問題として残っている。このため、従
来、極秘とすることが要求されるファイルは、磁気媒体
などに残さずに消去し、印刷したものを厳重に管理する
ことにより対応しているのが一般的である。

【０００６】

【発明が解決しようとする課題】前述したファイルにセ
キュリティを設定してファイルを管理することや、ファ
イルをデータベース化することにより、情報内容を秘匿
する従来技術は、その秘匿性が侵される恐れが大きいと
いう問題点を有している。

【０００７】本発明の目的は、前記従来技術の問題点を
解決し、銀行などの物理的な貸し金庫の場合と同様に、
複数のユーザの同意があったときにのみ、情報の参照な
どが可能となるようにし、情報内容の秘匿性の高い電子
金庫システムを提供することにある。ここで、ユーザの
同意とは、パスワードの入力やそのユーザのみが所有し
うる認証カード（ICを具備したものなど）を差し込むこ
とによって行うものとする。

【０００８】

【課題を解決するための手段】本発明によれば前記目的
は、電子的なファイルを保管する電子貸金庫システムに
おいて、複数のユーザの承認の元に預けられたファイル
を保管する手段と、前記ファイルの閲覧、更新、削除を
実行する場合に、前記複数のユーザの承認によって前記
実行を許可する手段とを備えたことにより、また、前記
ファイルが、前記複数のユーザのパスワードから生成さ
れた暗号化キーにより暗号化されて保管され、前記複数
のユーザのパスワードから生成された復号化キーにより
復号されることにより達成される。

【０００９】

【発明の実施の形態】以下、本発明による電子金庫シス
テムの実施形態を図面により詳細に説明する。

【００１０】図１は本発明の一実施形態による電子金庫
システムの構成を示すブロック図、図２はＤＢの論理構
成を説明する図、図３はログインマネージャプログラム
の処理動作を説明するフローチャート、図４は新規預け
制御プログラムの処理動作を説明するフローチャート、
図５はＤＢアクセス制御プログラムの処理動作を説明す
るフローチャート、図６は復号キー生成の方法の例を説
明する図である。図１において、１００はファイルサー
バ、１０１は新規預け制御プログラム、１０２はデータ
ベース（ＤＢ）アクセス制御プログラム、１０３はＤ
Ｂ、１０４はログインマネージャー、１０５はクライア
ント、１０６はＩＣカードリーダである。

【００１１】本発明の実施形態による電子金庫システム
は、ファイルを管理する電子金庫としてのファイルサー
バ１００と、このファイルサーバにアクセス可能なそれ
ぞれがＩＣカードリーダ１０６を有する複数台のクライ
アント１０５とにより構成される。そして、ファイルに
アクセスしようとするユーザは、それぞれのクライアン
トに設置されたＩＣカードリーダ１０６に本人が所有す
るＩＣカードを差込むことにより認証を受けることがで
きる。ファイルサーバ１００内には、順次説明するプロ
グラム群、すなわち、新規預け制御プログラム１０１、
ＤＢアクセス制御プログラム１０２、ログインマネージ
ャー１０４と、ＤＢ１０３とが具備されている。なお、
本発明の実施形態による電子金庫システムは、極秘に管
理すべきファイルをＤＢ１０３内にレコードとして保存
するものとする。

【００１２】ＤＢの論理構成に含まれる特徴的なテーブ
ルとしては、図２に示すように、ユーザを管理するユー
ザテーブルと、保管するデータ内容を管理するデータテ
ーブルと、データにアクセスするためのデータＩＤを管
理するキーテーブルとがある。

【００１３】以下、前述した本発明の実施形態の構成要
素について、それぞれの役割と機能とを説明する。

【００１４】ユーザは、各自で保管しているＩＣカード
及びその認証キーを自ら管理する。認証キーは、カード
及びサーバ１００のログインマネージャ１０４内に保存
されており、図３に示すログインマネージャプログラム
の処理に使用される。以下、図３に示すログインマネー
ジャプログラムの処理動作を説明する。このログインマ
ネージャプログラムの処理は、ユーザがＩＣカードをＩ
Ｃカードリーダに挿入し、クライアント１０５からファ
イルサーバ１００にアクセスしてログインまたはログア
ウトを要求したときに起動される。

【００１５】（１）ユーザがクライアント１０５からフ
ァイルサーバ１００にアクセスしてログインを要求する
と、ログインマネージャは、ＩＣカードがカードリーダ
１０６に差し込まれている否かをチェックし、差し込ま
れていない場合、ログインを許可することなく、処理を
終了する（ステップ３０１）。

【００１６】（２）ステップ３０１のチェックで、ＩＣ
カードがカードリーダに差し込まれていた場合、パスワ
ードの入力を促し、入力されたパスワードが、当該ユー
ザのパスワードフィールドを復号化したものと一致する
か否かをチェックし、一致しない場合、ログインを許可
することなく、処理を終了する（ステップ３０２）。

【００１７】（３）ステップ３０２のチェックで、入力
されたパスワードが、当該ユーザのパスワードフィール
ドを復号化したものと一致した場合、ユーザテーブルの
状態フィールドを「ログイン中」とし、ログイン時刻を
フィールドに設定し、ログインを許可して、ここでの処
理を終了する（ステップ３０３）。

【００１８】（４）ログインが許可された後、ユーザか
らログアウト要求がなされると、ログインマネージャ
は、ユーザテーブルの状態フィールドを「ＮＡ」とし、
ログイン時刻フィールドをＮＵＬＬとして処理を終了す
る（ステップ３０４）。

【００１９】ユーザは、前述した図３のログインのフロ
ーに従い、ＩＣカードをカードリーダに挿入し、クライ
アントから正しい認証キーを入力することにより、サー
バにログインすることができ、プログラムを起動する権
限を得る。図３に示すログインの処理で、ログインマネ
ージャ１０４は、ユーザテーブルを参照・更新している
が、このテーブルのフィールドのうちパスワードフィー
ルドは、パスワード文字列がそのまま保存されているも
のではない。

【００２０】すなわち、図２に示す例の場合、ユーザテ
ーブルにおけるユーザＩＤ“sakasita”のパスワードフ
ィールドは“ywkpL” となっているが、これはユーザが
入力するパスワード（例えば“son-HIRO”）を暗号化し
たものである。これによってテーブルを直接参照可能な
システム管理者であっても、ユーザのパスワードを知る
ことはできない。このパスワードフィールドを復号する
ためのキーは、動的に生成するものではなく、ログイン
マネージャ１０４内のロジック内に定義されているもの
とする。

【００２１】新規預け制御プログラム１０１及びＤＢア
クセス制御プログラム１０２は、ログインマネージャ１
０４により権限を与えられたユーザのみが実行すること
ができる。これらのプログラムの実行において、各ユー
ザの認証キーが参照される。

【００２２】次に、図４に示すフローを参照して、新規
預け制御プログラムの処理動作を説明する。新規預け制
御プログラム１０１は、ユーザ（預け者）が、預けたい
ファイル、共同預け者名及び共同参照者名を送信して新
規預け要求を行うことにより、すなわち、ユーザが、預
けたいファイルの場所と名前、共同預け者名、そのユー
ザＩＤ、及び、共同参照者名、そのユーザＩＤを送信す
ることにより実行される。

【００２３】前述において、共同預け者及び共同参照者
を特に分ける必要はなく、預け者と他の者との別途の契
約等であってよい。また、預け者が預け入れようとする
ファイルが極めて個人的なものであり、その預け者とし
ての個人だけでファイルを預けたい場合、システム管理
者が共同預け者となってもよい。この場合、後述の各処
理において、システム管理者である共同預け者に対して
は、預け入れたファイルの参照等が禁止される。

【００２４】（１）まず、ユーザの指定した全ての共同
預け者がログインしているか否かをチェックし、全ての
共同預け者がログインしていることが確認できたら、次
に、全ての共同預け者に対して、預け者が送信したファ
イルを送った上で、全ての共同預け者に新規預けの確認
を求める（ステップ４０１、４０２）。

【００２５】（２）全ての共同預け者の同意が得られた
か否かを、共同預け者全員がＯＫボタンを押したか否か
によりチェックし、全ての共同預け者の同意が得られた
場合、ファイルを識別するためのデータＩＤを生成し、
ユーザＩＤと共に、キーテーブルに保存する。ここで、
データＩＤは、ファイルを預けたユーザのユーザＩＤに
３桁の連番を付与するものとして生成される。例えば、
預けたユーザＩＤが“sakasita”であり、初めて預けた
ものであれば“sakasita001” がデータＩＤとなる。ま
た、共同参照者全員のパスワードから暗号化キーを作成
する。暗号化キーの作成については後述する（ステップ
４０３、４０４）。

【００２６】（３）次に、ファイルの内容をステップ４
０４で作成した暗号化キーにより暗号化し、暗号化した
ファイルを、データＩＤと併せてデータテーブルのデー
タフィールドに保存して、ファイルの新規預けの処理を
終了する。暗号化を行う意味は、システム管理者がデー
タベースにアクセスしても、ファイルの内容を取得でき
ないようにするためである（ステップ４０５）。

【００２７】（４）ステップ４０１のチェックで、全て
の共同預け者がログインしていることが確認できなかっ
た場合、または、ステップ４０３のチェックで、共同預
け者の全てからの同意が得られなかった場合、ファイル
の新規預けを拒否して処理を終了する。

【００２８】次に、図５を参照して、ＤＢアクセス制御
プログラムの処理動作を説明する。ＤＢアクセス制御プ
ログラム１０２は、預け者もしくは共同参照者の一人
が、ファイル名及びアクセス区分（削除もしくは参照）
を指定して、ＤＢアクセス要求を送信することによって
起動される。

【００２９】（１）起動の後、預け者及び全ての共同参
照者がログインしているか否かをチェックし、預け者及
び全ての共同参照者がログインしていることが確認でき
たら、次に、預け者及び全ての共同参照者に対して、ア
クセス区分（削除もしくは参照）の確認メッセージを送
信して、このアクセス区分についての確認を求める（ス
テップ５０１、５０２）。

【００３０】（２）全ての共同参照者の同意が得られた
か否かを、共同預け者全員がＯＫボタンを押したか否か
によりチェックし、全ての共同参照者の同意が得られた
場合、アクセス区分が削除要求であるか否かをチェック
し、削除要求であった場合、ファイルのデータをテーブ
ルから削除してここでの処理を終了する（ステップ５０
３〜５０５）。

【００３１】（３）ステップ５０４のチェックで、アク
セス区分が削除要求でなかった場合、アクセス区分が参
照要求であるか否かをチェックし、参照要求であった場
合、共同参照者全員のパスワードから後述する方法によ
り復号キーを作成し、この復号キーを用いて指定された
ファイルのデータを全ユーザである共同参照者に送信し
て、ここでの処理を終了する。その際、データの更新は
行われず、暗号化されたデータはそのまま保存される
（ステップ５０６〜５０８）。

【００３２】（４）ステップ５０１チェックで、全ての
共同参照者がログインしていることが確認できなかった
場合、ステップ５０３のチェックで、共同参照者の全員
の同意が得られなかった場合、または、ステップ５０
４、５０６のチェックで、アクセス区分が削除要求でも
なく、参照要求でもなかった場合、アクセス要求を拒否
して処理を終了する。

【００３３】図４、図５により説明した処理フローで、
暗号化、復号化に用いるキーは、動的に生成するものと
し、データベース等には保管しない。また、暗号化、復
号化に用いるキーはどちらも同様な考え方で作成するこ
とができ、次に、図６を参照して、復号キー生成の方法
の例について説明する。

【００３４】ここで説明する例は、ユーザ認証のパスワ
ードをユーザ毎に並べたものに、アスキーコードでそれ
ぞれの文字に対し一定値、図６に示す例では「３」を加
えた文字列を復号キーととして生成している。この例に
おいて、ユーザieshima のパスワードは“cat-MIKE”で
あり、ユーザsakasitaのパスワードは“son-HIRO”であ
るものとする。これらのパスワード自体は、ログインマ
ネージャ内で管理されるものであるが、システム管理者
でも参照できないシステムとすることは広く行われてお
り、このようにすることによりシステム管理者、単一の
ユーザが、復号キーを取得することを不可能とすること
ができる。また、文字列をアスキーコードを使用して操
作することにより、より安全性を高めることができる。
ここで使用する一定値（例えば３）は、例えば、ファイ
ルが保存された時刻のミリ秒単位（例えば、保存された
のが２００１年１月１日１２時００分１０秒２３であれ
ば３）として決定するようにでき、保存された時刻をシ
ステム管理者に非開示とするなどの措置をとることによ
り、よりファイルの秘匿に対する安全性を高めることが
できる。

【００３５】図２に示した例の場合、ユーザieshima と
sakasitaという２人が２００１年１月１日にファイルを
保存している。このファイルは、キーテーブル上でsaka
sita001 というデータＩＤで管理されており、ファイル
内のデータは、データテーブル内に暗号化されて保存さ
れている。データの内容は、例えば、「家島健司は、坂
下弁護士の管理下にある家島家の全資産を２００１年４
月１日をもって相続する」というような文字列であり、
先に説明した復号化により、図で示すような無意味な文
字列を可読状態とすることができる。

【００３６】図７は前述で説明した本発明の実施形態の
全体の動作をファイル預け時及び参照時を例として示す
タイミングチャートであり、以下、これについて説明す
る。

【００３７】まず、クライアントＡ、クライアントＢに
カードが差し込まれ、ログインマネージャによる認証が
行われる。預け者sakasitaが、クライアントＡから共同
預け者oldman及び共同参照者 ieshimaを指定してファイ
ル預け要求を送信すると、新規預け制御プログラムは、
oldmanへの確認メッセージを送信し、クライアントＢか
らoldmanの確認が得られると、ファイルを暗号化して保
存する。

【００３８】次に、共同参照者 ieshimaがログインし、
クライアントＣからファイル参照要求を行ったとする。
この場合、他の共同参照者がいないので、ＤＢアクセス
制御プログラムは、預け者sakasitaに対してファイル参
照の確認を行う。預け者sakasitaが確認を送信すると、
ＤＢアクセス制御プログラムは、ファイルの内容を復号
化して、両クライアントに対して開示する。

【００３９】このとき、クライアントとサーバとの間で
復号化された情報が流れるため、この間で情報が盗まれ
ることが考えられる。しかし、これに対しては、ネット
ワーク内の暗号化技術が広く使用されており、これを併
用することにより対処することができる。

【００４０】前述した本発明の実施形態は、ＩＣカード
を用いて本人認証を行うとして説明したが、本発明は、
本人による管理がなされていれば、パスワードのみによ
る認証であっても問題なく、システムは、全員のログイ
ン及び確認メッセージの送信によってデータへのアクセ
スを許可することにより、ファイルデータ機密性を保持
するように動作することができる。

【００４１】また、前述した本発明の実施形態は、アク
セス区分として、削除要求、参照要求があるとして説明
したが、ファイルデータの変更の場合、削除要求により
データを削除した後、新たに新規預け要求を行うことに
より対処することができ、あるいは、アクセス要求とし
て、他に例えば変更要求等を設けて対処するようにする
こともできる。

【００４２】また、前述した本発明の実施形態における
サーバ内の各プログラムによる処理動作は、全体を纏め
た処理プログラムとして提供することができ、また、そ
れらのプログラムは、ＦＤ、ＭＯ、ＣＤＲＯＭ、ＤＶＤ
ＲＯＭ等の記録媒体に格納して提供することもできる。

【００４３】前述した本発明の実施形態によれば、情報
に対する複数のアクセス権限者が同時にアクセスする場
合にのみ、管理している情報の閲覧・更新・削除を可能
とすることができ、これにより、銀行の貸し金庫に書類
を預けることと同等の機密保持を、電子ファイル管理に
対して実現することができる。さらに、本発明の実施形
態によれば、システム管理者であっても情報の内容を閲
覧することができず、電子ファイルの秘匿性をより高め
ることができる。

【００４４】

【発明の効果】以上説明したように本発明によれば、銀
行の貸し金庫に書類を預けることと同等の機密保持を、
電子ファイル管理に対して実現することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態による電子金庫システムの
構成を示すブロック図である。

【図２】ＤＢの論理構成を説明する図である。

【図３】ログインマネージャプログラムの処理動作を説
明するフローチャートである。

【図４】新規預け制御プログラムの処理動作を説明する
フローチャートである。

【図５】ＤＢアクセス制御プログラムの処理動作を説明
するフローチャートである。

【図６】復号キー生成の方法の例を説明する図である。

【図７】本発明の実施形態の全体の動作をファイル預け
時及び参照時を例として示すタイミングチャートであ
る。

【符号の説明】

１００ファイルサーバ１０１新規預け制御プログラム１０２データベース（ＤＢ）アクセス制御プログラム１０３ＤＢ１０４ログインマネージャ１０５クライアント１０６ＩＣカードリーダ

───────────────────────────────────────────────────── フロントページの続き (72)発明者坂下正洋神奈川県川崎市幸区鹿島田890番地株式会社日立製作所ビジネスソリューション事業部内 (72)発明者高井邦彦神奈川県川崎市幸区鹿島田890番地株式会社日立製作所ビジネスソリューション事業部内 (72)発明者久保理茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者二木誠司神奈川県川崎市幸区鹿島田890番地株式会社日立製作所ビジネスソリューション事業部内 (72)発明者竹田真史東京都港区西新橋二丁目15番12号日立キャピタル株式会社内Ｆターム(参考） 5B017 AA03 BA05 BA07 CA16 5B058 CA27 KA02 KA04 KA31 KA35 YA20 5B082 EA12 5J104 AA07 AA16 EA26 KA01 NA05

Claims

【特許請求の範囲】

【請求項１】電子的なファイルを保管する電子貸金庫
システムにおいて、複数のユーザの承認の元に預けられ
たファイルを保管する手段と、前記ファイルの閲覧、更
新、削除を実行する場合に、前記複数のユーザの承認に
よって前記実行を許可する手段とを備えたことを特徴と
する電子貸金庫システム。
【請求項２】前記ファイルは、前記複数のユーザのパ
スワードから生成された暗号化キーにより暗号化されて
保管されることを特徴とする請求項１記載の電子金庫シ
ステム。
【請求項３】前記暗号化されたファイルは、前記複数
のユーザのパスワードから生成された復号化キーにより
復号されることを特徴とする請求項２記載の電子金庫シ
ステム。
【請求項４】前記ファイルの閲覧、更新、削除の実行
は、ファイルの保管時に予め記憶した前記複数のユーザ
の全てが同時にファイル操作を要求し、かつ、各ユーザ
からのパスワードが真正なものであった場合に許可され
ることを特徴とする請求項１、２または３記載の電子金
庫システム。