JP2004140715A

JP2004140715A - 電子文書管理方法及びシステム

Info

Publication number: JP2004140715A
Application number: JP2002305277A
Authority: JP
Inventors: Hideo Noyama; 野山　英郎; Shuji Terada; 寺田　修司; Takeshi Matsuki; 松木　武; Hirofumi Inomata; 猪股　宏文
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2002-10-21
Filing date: 2002-10-21
Publication date: 2004-05-13

Abstract

【課題】閲覧者が正規の利用者であることを確認し、本人確認がなされた以降においては、電子ドキュメントを管理する。
【解決手段】文書配信サーバに、電子文書を暗号化する手段と、暗号化した文書にヘッダ情報等を付与して管理可能な状態にする手段と、この文書の閲覧記録を初期設定する手段を設け、閲覧受付サーバに、復号鍵を管理する手段と、復号鍵が使われた履歴を記録する手段とを設けた。
【選択図】　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、デジタル化された文書データの管理方法に関わり、特に、閲覧者が管理する電子文書が第３者に見られていないことを確認するシステムおよび方法、あるいは、該電子文書が第３者によって不正に見られたことを検知するシステムおよび方法に関する。
【０００２】
【従来の技術】
【特許文献１】
特開２００２−６３１６８号公報
特許文献１には、利用者のＩＤ番号と利用者の生体特徴情報をリンクして登録したデータベースを備え、電子ドキュメントを文書データベースに登録するときに、当該ドキュメントに対し閲覧許可者を利用者のＩＤ番号で指定させ、当該ドキュメントに閲覧許可者が指定されているときはＩＤ番号の入力を要求し、入力されたＩＤ番号が当該ドキュメントに指定されているＩＤ番号である場合には生体特徴情報の入力を要求し、入力された生体特徴情報とデータベースに登録されている生体特徴情報を照合して本人認証を行なうものであり、秘匿性の高い電子ドキュメントに対する閲覧許可／不許可のセキュリティを高くすることができることが記載されている。
【０００３】
【発明が解決しようとする課題】
上記従来技術は、閲覧者が指定された正規の利用者であることを確認する仕組みであり、生体特徴情報を照合することで本人確認の精度を高めることができる。
【０００４】
しかし、本人確認がなされた以降における電子ドキュメントの管理までは想定されていない。すなわち、閲覧可能な状態にある電子ドキュメントが、利用者の過失によって第３者に閲覧されてしまうことは想定されていない。
【０００５】
本発明の第１の目的は、電子ドキュメントの漏洩が疑われた場合に、利用者が管理するデータは本人以外の第３者に持ち出されていないことを確認することができるシステム及び方法を提供することである。
【０００６】
本発明の第２の目的は、利用者の過失等により、電子ドキュメントが第３者に持ち出されてしまった場合、持ち出されたことを早急に検出できるシステム及び方法を提供することである。
【０００７】
【課題を解決するための手段】
本発明では第１の課題を解決するために、文書配信サーバに、電子文書を暗号化する手段と、暗号化した文書にヘッダ情報等を付与して管理可能な状態にする手段と、この文書の閲覧記録を初期設定する手段を設けた。さらに、閲覧受付サーバに、復号鍵を管理する手段と、復号鍵が使われた履歴を記録する手段とを設けた。
【０００８】
本発明では第２の課題を解決するために、前記第１の課題を解決するための手段と、閲覧受付サーバに、閲覧者端末と閲覧受付サーバの履歴を比較し、履歴が一致したときだけ復号鍵を送信する手段とを設けた。
【０００９】
【発明の実施の形態】
図１は、本発明を実現するためのシステム構成図である。
【００１０】
本発明における関与者は、文書配信者（文書配信サーバ１００）と閲覧履歴の管理者（閲覧受付サーバ１１０）と利用者（閲覧者端末１２０）である。そして、文書配信者と閲覧履歴の管理者は、物理的に離れた場所にある情報処理装置であっても、同一の情報処理装置内にある機能であっても良い。また、文書配信サーバ１００、閲覧受付サーバ１１０、１つ以上の閲覧者端末（１からＫ）はオープンなネットワーク１３０で接続されている。ネットワーク１３０は公衆回線、専用回線のいずれでも良く、また、有線・無線を問わない。
【００１１】
文書配信サーバ１００は、配信する文書を閲覧できる端末を限定するために暗号機能１１２によって暗号化する。また、暗号化されたデータをシステムで管理するために、文書発行機能１１６においてヘッダ情報を付加する。さらに、文書を閲覧した履歴を管理するために、初期化機能１１４において関与者を初期化するための初期値を生成する。
【００１２】
閲覧受付サーバ１１０は、文書配信サーバ１００より復号鍵を預託され、鍵管理機能１１２において保管する。また、閲覧者端末１２０より閲覧要求があった場合、閲覧ログ記録機能１１４において要求した端末の情報を履歴として記録し、復号鍵を端末に返信する。そして、閲覧者端末１２０は、閲覧受付サーバから入手した復号鍵を用い、復号機能１２２において暗号化されたデータを復号する。
【００１３】
図２は、文書データを配信するための処理フローであり、図３は文書を閲覧するための処理フローである。また、図４は文書データと復号データのファイル構造を示す説明図である。さらに、図８は、文書配信サーバ１００のハードウェア構成図であり、図９は閲覧受付サーバ１１０のハードウェア構成図である。
【００１４】
閲覧者端末１２０は、ステップ２００においてユーザ情報の入力を受け付ける。ここでユーザ情報とは、ユーザＩＤとパスワードの組み合わせによる本人認証情報、閲覧者端末が持つＭＡＣアドレスなどの固有情報などを指すが、これに限定されるものではない。図８には記載しないが、メモリ８３０にはユーザ情報および本人確認プログラムが記録保持されており、文書配信サーバ１００は、ステップ２１０において該ユーザ情報を受信し、閲覧者が事前に登録された本人かどうかの本人認証を行なう。本人が確認できない場合、文書配信サーバ１００は閲覧者端末１２０に本人確認が失敗した旨を通知する。本人が確認された場合、文書配信サーバ１００は閲覧者端末１２０に本人が確認できたことを通知し、ステップ２２０で指定された閲覧文書を蓄積手段８２０からメモリ８３０に読み出す。そして、文書配信サーバ１００は、ステップ２３０において暗号プログラム８３３を用いて該文書を暗号化する。なお、暗号鍵及び復号鍵は文書配信サーバ１００のメモリ８３０にある鍵生成・管理プログラム８３１により生成されたものである。この暗号鍵は、暗復合化処理で同じ鍵を使う共通鍵方式でも良いし、暗号化と復号化で異なる鍵を使う公開鍵暗号方式でも良い。
【００１５】
次に、文書配信サーバ１００はステップ２４０において、該文書の閲覧履歴を初期値（例えば、文書ＩＤで特定された文書データの閲覧回数を０にする）とする電文（復号データ４５０）を初期値設定プログラム８３４で作成し、閲覧受付サーバ１１０に対して送信する。この復号データ４５０は、文書を識別するための文書ＩＤ４２５、履歴の回数を意味するログ更新情報４３５、復号鍵４６０で構成されている。
【００１６】
閲覧受付サーバ１１０は、この復号データ４５０を受信し、復号鍵を鍵管理プログラム９３１で保管する。また、閲覧ログ記録プログラム９３２は復号データ４５０のログ更新情報４３５を読み取り、蓄積手段９２０（例えば、ハードディスク装置等）に初期値として登録する。
【００１７】
文書配信サーバ１００はステップ２７０において、文書ヘッダ４１０を設定し、文書データ生成プログラム８３２で文書データ４００（＝文書データ８３５）を作成する。なお、文書ヘッダ４１０は、文書ＩＤ４２０（＝文書ＩＤ４２５）とログ情報４３０で構成されている。
【００１８】
閲覧者端末１２０はステップ２８０において、この文書データ４００を受信し、端末内の蓄積手段に保存する。以上に述べた文書配信サーバの処理は、制御手段８４０において処理を行なう。
【００１９】
また、図示はしないが、メモリ８３０には文書発行サーバ１００の稼動処理で必要となるデータやプログラムも記録保持されている。
【００２０】
次に、図３について説明する。
【００２１】
閲覧者端末１２０はステップ３００において、閲覧する文書の指定を受け付ける。すなわち、文書データは閲覧者端末１２０に保存されており、閲覧者端末１２０のアプリケーションによって文書データのリストを表示し、このリストから閲覧したい文書を、利用者が選択することができる。そして、利用者が文書データ４００を指定することで、ステップ３１０において文書ヘッダ４１０を取得することができ、この文書ヘッダを閲覧受付サーバ１１０に送信する。
【００２２】
閲覧受付サーバ１１０のステップ３２０は、文書ヘッダ４１０に含まれるログ情報４３０を取り出し、閲覧ログ検査プログラム９３３を用いて蓄積手段９２０の閲覧ログデータと比較する。つまり、閲覧受付サーバ１１０は、文書ヘッダ４１０に含まれるログ情報４３０の数（閲覧回数）をメモリ９３０に読み出し、蓄積手段９２０の閲覧ログデータの数（閲覧回数）をメモリ９３０に読み出し、メモリ９３０上で両者を比較し、両者が一致しているか否かを判定する。そして、比較結果が一致しなければ文書配信サーバ１００にその旨を通知する。この場合は、ステップ３６０において閲覧者端末からのアクセスに矛盾があることをユーザ情報に追記する。
【００２３】
閲覧ログが一致した場合、閲覧受付サーバ１１０の処理はステップ３３０に進み、文書に対応する復号鍵（復号データ４５０）が選択される。次に、ステップ３４０において、復号データ４５０のログ更新情報４３５が１回加算され、ステップ３５０で更新された復号データ４５０が、閲覧者端末１２０へ送信される。このとき、閲覧ログ記録プログラム９３２により、蓄積手段９２０の閲覧ログデータが更新される。
【００２４】
閲覧者端末１２０は、更新された復号データ４５０のログ更新情報４３５を用いて、文書データ４００のログ情報４３０を更新する。その後、ステップ３８０において、復号データ４５０の復号鍵４６０を用いて暗号化文書データ４４０を復号する。
【００２５】
図３において、閲覧受付サーバ１１０は閲覧要求の度に１つの復号鍵を送信しているが、同じ１つの鍵を使う場合、閲覧者端末１２０は、閲覧が終わるとメモリ９３０の復号鍵データを消去しなければならない。ただし、送信する復号鍵が毎回変更される場合は、閲覧端末１２０のメモリ９３０上の復号鍵を消去する処理は必須ではない。なお、復号鍵データ生成プログラム９３４は、復号鍵を毎回変更する場合に用いるプログラムである。また、図示はしないが、メモリ９３０には閲覧受付サーバ１１０の稼動処理で必要となるデータやプログラムも記録保持されている。
【００２６】
図５及び図６は、メモリ９３０の復号鍵データを確実に消去しなければならないという課題に対応し、図５は文書データを配信するための処理フローを、図６は文書を閲覧するための処理フローを示したものである。また、図７は、文書データのファイル構造を示す説明図である。ここで、ステップ５００からステップ５３０は、ステップ２００からステップ２３０と同じであるから説明は省略する。
【００２７】
ステップ５４０において、暗号化された文書データのビット操作を行なう為に、ビット操作値Ｂを設定する。この値Ｂは特定の値（固定値）でも良いが、閲覧者に予測できない規則性の無い乱数のほうが望ましい。
【００２８】
次に、ステップ５５０及びステップ５６０において、次の式１を満たす関数Ｆと関数Ｇを設定する。
【００２９】
Ｂ　＝　　Ｆ　｛　Ｇ（ｋ＋１），　Ｇ（ｋ）　｝…（１）
例えば、関数Ｆ　＝　Ｇ（ｋ＋１）　Ｇ（ｋ）とし、関数Ｇ　＝　Ｂ×ｋ＋Ｃとすれば、Ｂは常に一定になる。ただし、関数Ｆは階差数列に限定されるものではなく、等比数列のような性質を持つ関数でも構わない。
【００３０】
ステップ５７０において、ステップ５３０の暗号化に対応する復号鍵７００を暗号化文書データ７１０と一緒に格納する。そして、ステップ５８０において、文書ヘッダ７２０を除く部分に対して値Ｂだけビット操作を行なう。このようなビット操作を行なうことによって、暗号化文書データ７１０と復号鍵７００の組み合わせだけでは文書を閲覧できなくなる。ビット操作を行なった文書データ７３０（及び７２０）は閲覧者端末１２０に送付され、ステップ５９０において閲覧者端末１２０の蓄積手段に保存される。
【００３１】
文書を見る場合は、ステップ６００において閲覧する文書ＩＤが指定される。そして、文書ヘッダ７２０を閲覧受付サーバ１１０に送信する。
【００３２】
閲覧受付サーバ１１０はステップ６１０において、受信した文書ヘッダ７２０のログ情報４３０から閲覧回数の情報ｋを取り出し、ｋに１を加算する。つまり、閲覧回数を更新する。また、閲覧受付サーバ１１０はステップ６２０において、関数Ａ　＝　Ｇ（ｋ）の値Ａを計算し、復号データ４５０として閲覧者端末１２０に返信する。例えば、復号鍵４６０の領域に値Ａを記録しても良い。
【００３３】
閲覧者端末１２０はステップ６３０において、式１によりビット操作値Ｂを算出する。なお、ステップ６３０に書かれた計算式はＢ　＝　Ｆ｛Ａ，　Ｇ（ｋ）｝であり式１と異なるが、フロー表記上の違いであり、実質的に同一である。次に、ステップ６４０において、暗号化文書データ７３０を逆ビット操作する。そして、ステップ６５０において、復号鍵を取り出し、ステップ６６０において、暗号化文書データを復号する。また、ステップ６７０において、閲覧履歴の更新等を行なう。すなわち、復号データ４５０のログ更新情報４３５を、文書ヘッダ７２０のログ情報４３０に代入する。また、Ｇ（ｋ）に値Ａを代入する。これらの後処理によって、ステップ６３０のビット操作値Ｂが正しく算出できるようになる。
【００３４】
以上に述べた閲覧受付サーバの処理は、制御手段９４０（例えば、ＣＰＵ等）において処理を行なう。
【００３５】
なお、本実施の形態において、文書配信サーバ１００、閲覧受付サーバ１１０、閲覧者端末１２０は、いわゆるパーソナルコンピュータ、ワークステーション等が用いられ、このようなコンピュータ上で動作するプログラムにより上述した各手段が機能的に実現される。
【００３６】
また、特に利用者のコンピュータは、記憶手段や表示・入力手段や通信手段を持ち、プログラムを搭載できる多機能携帯端末でも良いので、いわゆるコンピュータ装置に限定されるものではない。
【００３７】
以上に述べた実施の形態では、閲覧者端末１２０にはプログラムが予めインストールされていた。すなわち、特別なプログラムが搭載されたコンピュータ装置を利用しなければ、このサービスを受けることができない仕組みであり、関与者に特別なプログラムをインストールするという手間を強いていた。
【００３８】
ところが、Ｊａｖａ（Ｒ）等の技術を利用し、特別なプログラムに相当する処理をＪａｖａ（Ｒ）アプレットとして実装し、該アプレットを文書発行サーバなどからダウンロードして利用できれば、閲覧者は汎用的なブラウザでの利用が可能となる。現在では、ネットワークに接続されているほとんどのコンピュータは、汎用ブラウザをインストール済みであるから、Ｊａｖａ（Ｒ）技術を利用すると閲覧者は特別なインストール作業をする必要が無くなる。
【００３９】
【発明の効果】
本発明によれば、電子ドキュメントの漏洩が疑われた場合に、利用者が管理するデータは本人以外の第３者に持ち出されていないことを確認することができる。
【００４０】
また、利用者の過失等により、電子ドキュメントが第３者に持ち出されてしまった場合、持ち出されたことを早急に検出できる。これにより、電子ドキュメントを持ち出されたことを利用者本人が知ることができれば、被害届けを出すなど問題が大きくなる前に対策を取ることができる。
【図面の簡単な説明】
【図１】本発明を実現するためのシステム構成図である。
【図２】文書データを配信するための処理フローである。
【図３】文書を閲覧するための処理フローである。
【図４】文書データと復号データのファイル構造を示す説明図である。
【図５】復号鍵データを確実に消去しなければならないという課題に対応し、文書データを配信するための処理フローを示したものである。
【図６】復号鍵データを確実に消去しなければならないという課題に対応し、文書を閲覧するための処理フローを示したものである。
【図７】文書データのファイル構造を示す説明図である。
【図８】文書配信サーバ１００のハードウェア構成図である。
【図９】閲覧受付サーバ１１０のハードウェア構成図である。
【符号の説明】
１００…文書配信サーバ、１１０…閲覧受付サーバ、１２０…閲覧者端末、１３０…値とワーク、４００…文書データ、４５０…復号データ、８１０，９１０…通信手段、８２０，９２０…蓄積手段、８３０，９３０…メモリ、８４０，９４０…制御手段、８５０，９５０…バス。

Claims

電子文書データの閲覧履歴を管理可能な電子文書管理システムにおいて、
前記電子文書データを暗号化する手段と、暗号化された前記電子文書データにヘッダ情報を付与する手段を有する文書配信サーバと、
暗号化された前記電子文書データを復号可能な復号鍵を管理する手段と、前記復号鍵が使われた履歴を記録する手段を有する閲覧受付サーバとを備えた電子文書管理システム。
請求項１記載の電子文書管理システムにおいて、
前記閲覧受付サーバは、さらに、閲覧者端末と前記閲覧受付サーバの閲覧履歴を比較する手段と、両者の閲覧履歴が一致したときだけ前記復号鍵を前記閲覧者端末へ送信する手段を有する電子文書管理システム。
電子文書データの閲覧履歴を管理可能な電子文書管理システムにおいて、
前記電子文書データを暗号化する手段と、暗号化された前記電子文書データにヘッダ情報を付与する手段を有する文書配信サーバと、
閲覧申し込み時に閲覧回数を変数とする一次関数を計算する手段と、この計算値を返信する手段と、閲覧履歴を記録する手段を閲覧受付サーバと、
閲覧受付サーバから受信した計算値を記憶する手段と、前回の閲覧時に受信した計算値と今回の閲覧時に受信した計算値の差分を計算し、この差分から復号鍵を生成する手段と、前記復号鍵を用いて暗号化された前記電子文書データを復号する閲覧者端末を備えた電子文書管理システム。
請求項３記載の電子文書管理システムにおいて、
前記閲覧受付サーバは、前記復号鍵をビット操作する手段と、ビット操作した前記復号鍵を暗号化した前記電子文書データと一緒に前記閲覧者端末に送る手段を有し、
前記閲覧者端末は、閲覧申し込み時に前記閲覧受付サーバから受信した計算値を記憶する手段と、前記差分をビット操作値としてビット操作された復号鍵を逆変換する手段と、前記復号鍵を用いて暗号化された文書データを復号する電子文書管理システム。
請求項４記載の電子文書管理システムにおいて、
前記一次関数は、階差数列のテーブル又は等比数列のテーブルである電子文書管理システム。
電子文書データの閲覧履歴を管理可能な電子文書管理方法において、
文書配信サーバが、前記電子文書データを識別するための識別情報と前記電子文書データの閲覧回数情報と復号鍵を生成し、前記識別情報と前記閲覧回数情報と前記復号鍵を閲覧受付サーバへ送信し、
前記閲覧受付サーバが、前記識別情報と前記閲覧回数情報と前記復号鍵を蓄積手段に蓄積し、
前記文書配信サーバが、前記復号鍵に対応する暗号鍵を用いて前記電子文書データを暗号化し、暗号化された前記電子文書データに前記識別情報と前記閲覧回数情報を付加し、暗号化された前記電子文書データを閲覧者端末へ送信し、
前記閲覧受付サーバが、前記識別情報と前記閲覧回数情報を前記閲覧者端末から受信し、受信された前記識別情報をキーとして前記閲覧回数情報を蓄積手段から読み出し、受信された前記閲覧回数情報と読み出された前記閲覧回数情報とを比較し、その比較結果に応じて前記蓄積手段に蓄積された前記閲覧回数情報を更新すると共に、更新された前記閲覧回数情報と前記識別情報と前記復号鍵を前記閲覧者端末へ送信する電子文書管理方法。
電子文書データの閲覧履歴を管理可能な電子文書管理方法において、
文書配信サーバが、前記電子文書データを識別するための識別情報と前記電子文書データの閲覧回数情報と復号鍵とビット操作のためのビット操作値を生成し、前記復号鍵に対応する暗号鍵を用いて前記電子文書データを暗号化し、前記ビット操作値を用いて、暗号化された前記電子文書データと前記復号鍵を合わせてビット操作し、ビット操作された前記電子文書データ及び前記復号鍵と前記識別情報を閲覧者端末へ送信し、
前記閲覧受付サーバが、前記閲覧者端末からの閲覧要求ごとに、前記閲覧回数情報を前記閲覧者端末から受信し、前記閲覧回数情報を更新し、更新された前記閲覧回数情報に基づいて、閲覧回数を変数とする関数を用いて計算値を算出し、前記計算値を前記閲覧者端末へ送信する電子文書管理方法。