JP2004289699A - 情報処理装置 - Google Patents

Abstract

【課題】ＰＫＩ（公開鍵基盤）のシステムにおいて、公開鍵で暗号化されたデータを受信して保管する場合の、保管データの秘密保護と使い勝手の両立を図る。
【解決手段】データ受信部５０で受信された公開鍵暗号化データは、ＰＫＩ暗号処理部５２で秘密鍵を用いて復号される。ジョブ制御部５１は、データに対する処理指示等に基づき、そのデータを秘密保護が必要か否かを判定する。秘密保護が必要な場合、そのデータを内部鍵暗号処理部５６で暗号化した上で、ＨＤＤ１６に保管する。内部鍵暗号処理部５６は、当該装置の装置シリアル番号から生成した内部鍵を用いてその暗号化を行う。内部鍵は、ＰＫＩの公開鍵と異なり有効期限がなく、更新の必要がないので、ＨＤＤ１６に保管された古いデータもその鍵で復号できる。
【選択図】 図２

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークを介して受信した処理指示データや処理対象データに従って処理を実行する情報処理装置に関し、特にそれらデータのセキュリティのための技術に関する。
【０００２】
【従来の技術】
近年、ネットワーク化やこれに伴う情報犯罪の増加を背景として、情報セキュリティ強化への要望が高まっている。この要望に応えるものとして、公開鍵暗号方式を用いたＰＫＩ（公開鍵基盤）という基盤技術が広まりつつあり、コピー機や複合機、ファクシミリなどの情報機器にもＰＫＩ対応のものが各種開発されている。
【０００３】
ＰＫＩ対応機器は、外部のＰＣ（パーソナルコンピュータ）や各種装置から、ネットワークを介して、自装置の公開鍵で暗号化された処理指示データや処理対象データを受信する。この場合、ＰＫＩ対応機器が受信した暗号化データに対して行う処理の形態は、次の２つに大別できる。
【０００４】
まず第１は、受信した暗号化データを自機器の秘密鍵で復号し、その復号結果に基づき即座に処理を実行するというものである。第２は、受信した暗号化データを自機器の秘密鍵で復号し、その復号結果をいったん当該機器内の記憶装置（例えばハードディスク）に保管し、保管したデータを後で取り出して処理を行うというものである。この第２の処理形態の例としては、例えば親展プリントがある。親展プリント処理では、プリンタは、ユーザが外部ＰＣから送信してきた印刷データを内にいったん保存し、ユーザが自機器に対して正しいパスワードを入力したことを条件として、その保存した印刷データの印刷処理を実行する。
【０００５】
また、従来の、受信した暗号化データを復号して処理する画像処理装置としては、特許文献１に示されるものが知られている。
【０００６】
【特許文献１】
特開平０９−１３４２６４号公報
【０００７】
【発明が解決しようとする課題】
このように、従来のＰＫＩ対応機器では、上記第２の形態の処理を行う場合、該機器内の記憶装置にデータが復号された状態で長期間保管される可能性があるため、その間に情報漏洩の脅威がある。
【０００８】
これに対する対策としては、上記第２の形態の処理の場合には、復号したデータの代わりに、外部装置から受け取った暗号化データを記憶装置に保管しておく方法が考えられる。しかしながら、この方法には次のような問題がある。
【０００９】
まず第１に、ＰＫＩでは認証局（ＣＡ）が公開鍵を証明した公開鍵証明書を信頼の基盤としているが、この公開鍵証明書には有効期限（通常１年）があり、この有効期限が切れると新たに別の秘密鍵・公開鍵のペアを生成して公開鍵証明書の交付を受ける。このため、古い公開鍵で暗号化されたデータが機器内の記憶装置に保管されている場合、そのデータに対する処理を実行するには、現在有効な秘密鍵だけでなく、古い秘密鍵も保存しておかなければならない。機器が、公的な認証局や、社内ＣＡのプライベートな認証局など、複数の認証局が発行した公開鍵証明書を用いる場合は、古い秘密鍵の管理が煩雑になる。この問題は、プリンタや複合機等におけるプリント処理といった短期的に記憶すればよいデータについて顕著である。すなわち、このようなデータは、長期的に保存されることが少ないにも係わらず、その少ないデータのために秘密鍵の履歴管理が必要となってしまう。
【００１０】
第２に、機器に対して外部装置から送信されてくる暗号化データの暗号強度は、その外部装置が用いた暗号方式や鍵長に依存する。このため、異なる外部装置からの暗号化データは、それぞれ暗号強度が異なることがある。その一方、企業内の情報セキュリティ管理では、企業内の機器に保存されるデータの暗号強度を一定以上に保ちたいという要請がある。外部装置から受け取った暗号化データをそのまま保管したのでは、この要件を満足できない。
【００１１】
【課題を解決するための手段】
本発明に係る情報処理装置は、暗号化されたデータを入力する入力部と、前記入力部により入力されたデータを、該データを暗号化した暗号鍵の対となる復号鍵を用いて復号化する復号処理部と、前記復号処理部により復号化されたデータを、前記暗号鍵とは異なる暗号鍵を用いて暗号化する暗号処理部と、前記暗号処理部により暗号化されたデータを記憶する記憶部と、を備える。
【００１２】
本発明の好適な態様では、前記暗号処理部により暗号化処理を行なう際に用いられる暗号鍵を生成する鍵生成部を有する。
【００１３】
更に好適な態様では、揮発性メモリと、前記鍵生成部により生成された暗号鍵を前記揮発性メモリに記憶させる記憶制御部と、を備える。
【００１４】
【発明の実施の形態】
以下、本発明の実施の形態（以下実施形態という）について、図面に基づいて説明する。以下では、本発明に係る情報処理装置の一例として、デジタル複合機などの画像形成装置の例を説明する。
【００１５】
まず、図１を参照して、本実施形態の画像形成装置のハードウエア構成を説明する。図１は、本実施形態の制御の説明のために必要な構成要素を図示したものであり、その他の構成要素については図示を省略している。
【００１６】
この画像形成装置は、ディジタル複写機やディジタル複合機など、原稿を光学的に読み取って得た画像をディジタルデータとして取り扱うタイプの装置である。この画像形成装置は、ＰＫＩ対応の機能を備えている。すなわち、この画像形成装置は、認証局から自らに交付された公開鍵証明書に対応する秘密鍵・公開鍵のペアを有し、その公開鍵を用いて暗号化された外部装置からのデータをその秘密鍵を用いて復号する機能を備える。また、この画像形成装置は、外部装置に対してデータを送信する場合、そのデータをその外部装置の公開鍵を用いて暗号化する機能を備える。
【００１７】
この装置においてＲＯＭ（リード・オンリ・メモリ）１２には、この画像形成装置の動作制御のための制御プログラムなどのデジタル情報が格納されている。ＣＰＵ（中央処理装置）１０がこのＲＯＭ１２内の制御プログラムを実行することにより、画像形成装置の各部の制御が実現される。ＰＫＩ対応処理の機能や、後述する保管データに対する秘密保護の機能を記述したプログラムも、このＲＯＭ１２に格納されている。
【００１８】
ＲＡＭ（ランダム・アクセス・メモリ）１４は、この画像形成装置の主記憶装置であり、制御プログラムの実行の際にワークメモリとしても用いられる。ＲＡＭ１４は、例えば、プリントエンジン２８に供給する１ページ分の画像データを蓄えるページバッファとして用いることもできる。
【００１９】
ＨＤＤ（ハードディスク・ドライブ）１６は、各種のデータを保存するための補助記憶装置である。例えば、ＨＤＤ１６には、画像形成装置が、要求される各種ジョブのために受信したり生成したりしたジョブデータが保存される。このようなジョブデータとしては、例えば、リモートホストからネットワークを介して依頼された印刷ジョブの印刷対象文書データ、コピーのためにスキャンエンジン２６で読み取った原稿画像データや、スキャン指示に従ってスキャンエンジン２６で読み取った画像データなどがある。
【００２０】
不揮発性メモリ１８（ＮＶＭ：Ｎｏｎ−Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ）は、この画像形成装置の制御に関する各種の半永久的な設定情報やプログラムを記憶するためのメモリであり、例えばＥＥＰＲＯＭなどから構成される。なお、画像形成装置には、ＨＤＤ１６がオプションとなっている機種も多い。そのような機種では、ＨＤＤ１６が装備されない場合、ジョブデータがこのＮＶＭ１８に記憶されることになる。
【００２１】
なお、この画像形成装置に対して交付された公開鍵証明書に対応する秘密鍵は、上記ＨＤＤ１６又はＮＶＭ１８のどちらかに保管される。
【００２２】
ワンタイムＰＲＯＭ（ｏｎｅ−ｔｉｍｅ Ｐｒｏｇｒａｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０は、１回のみ書き込みが可能な不揮発性メモリである。このワンタイムＰＲＯＭには、例えば画像形成装置の一意的な装置シリアル番号が記録される。
【００２３】
操作パネル２２は、この画像形成装置のユーザインタフェースのための表示や、ユーザからの各種指示の入力受付などのためのユーザインタフェース手段である。操作パネル２２は、典型的には、コピースタートボタンなどの機械的な操作ボタンや液晶タッチパネルを備える。液晶タッチパネルは、ＣＰＵ１０で実行される制御プログラムが生成したＧＵＩ（グラフィカルユーザインタフェース）画面を表示し、そのディスプレイに対するユーザのタッチ位置を検出して制御プログラムに渡す。制御プログラムは、そのタッチ位置の情報からユーザの入力内容を解釈する。
【００２４】
通信インタフェース２４は、ローカルエリアネットワークなどのネットワークとのデータ通信のための制御を行う装置である。リモートホストからのプリント指示等は、この通信インタフェース２４を介して画像形成装置内に入力される。
【００２５】
スキャンエンジン２６は、原稿を光学的に読み取って電子的な画像データを生成するスキャナ機能を提供する装置である。自動原稿送り装置（ＡＤＦ）（図示省略）にセットされた原稿は、ＡＤＦの機能により１枚ずつスキャンエンジンに送られ、光学的に読み取られる。
【００２６】
プリントエンジン２８は、ＣＰＵ１０の制御により供給される画像データを用紙に画像形成（印刷）するプリンタ機能を提供する装置である。
【００２７】
トークン読取部３０は、ユーザが保持するハードウエアトークンを受け入れ、このトークン内に記憶されたデータを読み取る装置である。ハードウエアトークンは、例えばＩＣカードや、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等の各種有線インタフェース規格に対応したデバイス、或いはＢｌｕｅｔｏｏｔｈ等の各種無線インタフェース規格に対応したデバイスなどとして構成される。
【００２８】
このような画像形成装置において、本実施形態では、ＨＤＤ１６等に保管するデータのセキュリティ向上を図る。
【００２９】
次に、図２を参照して、この画像形成装置の制御機構の主要部を説明する。
【００３０】
まず、データ受信部５０は、ＬＡＮ等のデータ通信ネットワークに接続されており、そのネットワーク上の外部装置（ＰＣなど）からジョブ要求を受信する。このジョブ要求には、要求する処理内容を示す指示データが含まれる。また、要求するジョブが印刷の場合は、印刷の対象となる文書データが含まれる。外部装置は、指示データやジョブの対象となる文書データを当該画像形成装置の公開鍵を用いて暗号化してから送信してくる場合がある。
【００３１】
ジョブ制御部５１は、操作パネル２２に表示されるユーザインタフェース画面を用いて入力されるジョブ要求や、通信インタフェース２４及びデータ受信部５０の機能により受信されるジョブ要求を受け付け、それら要求に係るジョブの実行を制御する。ジョブ制御部５１は、入力されたジョブを待ち行列に登録し、そのジョブの実行順序が来た時に、アプリケーション６０に必要なデータを与えてジョブを実行させる。また、ジョブ制御部５１は、受信したデータが暗号化されている場合は、ＰＫＩ暗号処理部５２に対してその復号を要求する。また、ジョブ制御部５１は、実行するジョブが、ジョブデータの保管が必要なジョブである場合、そのデータをＨＤＤ１６に保管するための処理を実行する。なお、ジョブデータの保管が必要なジョブには、親展プリントのジョブや、読み取った画像を親展ボックスに一時保管するジョブなどがある。親展プリントについては既に説明した。
【００３２】
また、ジョブ制御部５１は、いったんＨＤＤ１６に保管したジョブデータをジョブ実行のために使用する時が来た場合には、それを読み出してアプリケーション６０に与える。
【００３３】
アプリケーション６０は、ジョブ実行のために画像形成装置が提供する印刷機能、スキャン機能、ファクシミリ機能などの各種機能をする機能モジュールである。
【００３４】
ＰＫＩ暗号処理部５２は、公開鍵基盤に従った公開鍵暗号方式の暗号化及び復号処理、電子署名の付与及び検証の処理を実行する機能モジュールである。
【００３５】
ＰＫＩ鍵管理部５４は、ＰＫＩ暗号処理部５２の暗号化及び復号、電子署名付与及び検証の処理に用いられる鍵情報を管理する機能モジュールである。ＰＫＩ鍵管理部５４は、ＨＤＤ１６又はＮＶＭ１８に記憶された当該画像形成装置の秘密鍵や公開鍵、外部装置の公開鍵を読み出す機能を備える。これらの鍵は、例えば、システム管理者がマニュアル作業でＰＫＩ鍵管理部５４に登録する。また、ＰＫＩ鍵管理部５４が必要に応じて認証局からそれらの鍵を取得する構成としても良い。なお、認証局が発行する公開鍵証明書には有効期限があり、当該画像形成装置の公開鍵・秘密鍵はその有効期限が切れると、ＰＫＩのシステムでは事実上使用できない。
【００３６】
内部鍵暗号処理部５６は、ＨＤＤ１６に保管するデータに対する暗号化処理と、保管した暗号化データの復号処理を行う機能モジュールである。内部鍵暗号処理部５６は、内部鍵を用いて暗号化及び復号の処理を行う。有効期限のある公開鍵や秘密鍵とは異なり、この内部鍵は無期限であり、画像形成装置のユーザが変更するまで、同じものを使用する。この暗号化及び復号には、ユーザのセキュリティに対する要求を満足できる暗号アルゴリズムであればどのような暗号アルゴリズムを用いても良い。使用するアルゴリズムにより、暗号化用と復号用の内部鍵が同一である共通鍵の場合もあれば、暗号化用と復号用とに別々の内部鍵を用いる非対称鍵の場合もある。
【００３７】
内部鍵管理部５８は、内部鍵暗号処理部５６の暗号化及び復号処理に用いる内部鍵の情報を管理する機能モジュールである。
【００３８】
好適な実施例では、内部鍵管理部５８は、内部鍵を、当該画像形成装置固有の情報に基づき自動生成する。一つの例としては、ワンタイムＰＲＯＭ２０に記憶された装置シリアル番号から内部鍵を生成する方法がある。内部鍵を生成するための鍵生成プログラムは、ＲＯＭ１２に記憶されている。内部鍵管理部５８は、この鍵生成プログラムに対して装置シリアル番号をパラメータとして与えることで、内部鍵を生成する。鍵生成プログラムも装置シリアル番号も固定なので、この方法によれば、常に同じ値の内部鍵を生成することができる。内部鍵の生成は、暗号化や復号の必要が生じた時にその都度行うことも可能だが、所定のタイミングで内部鍵を生成し、それをＲＡＭ１４に記憶して再利用することが好適である。この内部鍵生成のタイミングは、電源投入による画像形成装置の起動処理時が好適である。
【００３９】
この内部鍵の生成手順の一例を図３を用いて説明する。この処理は、起動時などに実行される。
【００４０】
この処理では、まず内部鍵管理部５８は、ワンタイムＰＲＯＭ２０から装置シリアル番号を読み出す（Ｓ１０）。次に、この装置シリアル番号をパラメータとして鍵生成プログラムを実行し、内部鍵の値を計算する（Ｓ１２）。そして、このようにして計算した内部鍵の値をＲＡＭ１４に記憶し、その内部鍵へのアクセス情報（例えばＲＡＭ１４上での内部鍵のアドレス情報）を内部鍵暗号処理部５６に通知する（Ｓ１４）。内部鍵暗号処理部５６は、暗号化や復号が必要になった場合、そのアクセス情報に基づき内部鍵の値を取得する。
【００４１】
この例では、内部鍵そのものを画像形成装置の不揮発性の記憶媒体（ＨＤＤ１６やＮＶＭ１８など）に記憶しないので、内部鍵の漏洩のリスクを低減できる。仮に装置シリアル番号が分かっても、鍵生成プログラムの秘密が保たれていれば、第三者が内部鍵を生成することはできない。また、この例では、生成された暗号鍵は揮発性のＲＡＭ１４に記憶されるので、画像形成装置の電源を遮断したときに内部鍵は消える。これにより内部鍵のセキュリティを向上できる。
【００４２】
次に、図４を参照して、この画像形成装置が、ネットワークを介して外部装置からジョブ要求のデータを受信した時の処理を説明する。
【００４３】
この処理では、まずジョブ制御部５１が、データ受信部５０で受信されたデータが暗号化されているか否かを判定する（Ｓ２０）。ここで、暗号化されていると判定した場合は、そのデータをＰＫＩ暗号処理部５２に復号させる。これによりＰＫＩ暗号処理部５２はＰＫＩ鍵管理部５４から当該画像形成装置の秘密鍵を取得し、その秘密鍵を用いてデータを復号する（Ｓ２２）。
【００４４】
この復号処理の例を、図５に示す暗号化データの例を利用して説明する。
【００４５】
図５に示す暗号化データは、Ｗ３Ｃの勧告案であるＸＭＬ Ｅｎｃｒｙｐｔｉｏｎに従ったものである。この例において、暗号化データ要素１００には、データの暗号化に用いたアルゴリズムを示す要素１０２がまず記述される。要素１０２は、暗号化アルゴリズムとしてトリプルＤＥＳが用いられていることを示している。
【００４６】
この次に、その暗号化アルゴリズムに用いた共通鍵を示す要素１１０及び１０４が記述されている。この例では、対象データを暗号化する際の共通鍵を、データ送信先である当該画像形成装置の公開鍵で暗号化している。要素１１０はこの暗号化された共通鍵の情報を記述する要素である。この要素１１０中には、共通鍵の暗号化に用いたアルゴリズムを示す要素１１２と、その暗号化に用いた鍵を示す要素１１４と、暗号化された共通鍵の値を示す要素１１６とが含まれる。暗号化鍵を示す要素１１４は、当該画像形成装置の名前を示している。これは、この名前に対応する公開鍵が用いられていることを意味する。
【００４７】
この要素１１０の後に続く要素１０４は、データに対する暗号化のための鍵としてその要素１１０に示される鍵を用いることを示す参照情報を含む。
【００４８】
そして、このような鍵情報を示す要素１１０及び１０４の後に、データの暗号化結果の値を示す要素１０６が記述される。
【００４９】
このような暗号化データを受け取ったＰＫＩ暗号処理部５２は、まず要素１１６に示された暗号化共通鍵の値を、当該画像形成装置の秘密鍵を用いて復号する。次に、要素１０６に含まれる暗号化されたデータ値を、要素１０２に示されたアルゴリズムとその共通鍵を用いて復号することで、平文のデータを復元する。
【００５０】
再び図４の処理手順の説明に戻る。ジョブ制御部５１は、受信したデータが保管を要するものか否かを判定する（Ｓ２４）。この判定は、受信したデータに対応する指示データに示されるジョブの種別に基づき行うことができる。例えば、外部装置が要求したジョブの種別が、親展プリントのようにジョブ処理をすぐには実行しないタイプであれば、保管が必要と判定する。これに対し、通常のプリントジョブのように、すぐにジョブ処理を実行するタイプのジョブは、データの保管が不要と判定される。外部装置からの指示データが暗号化されている場合は、このステップＳ２４の判定処理は、その指示データの復号の後に実行されることになる。
【００５１】
ステップＳ２４の判定で、データの保管が不要と判定した場合は、ジョブ制御部５１は、ＰＫＩ暗号処理部５２で復号されたデータに対する処理を、できるだけ速やかに実行する（Ｓ２６）。
【００５２】
これに対し、データの保管が必要と判定された場合は、更に保管するデータに対する秘密保護が必要か否かを判定する（Ｓ２８）。この判定は、そのデータ（あるいはそのデータを対象とするジョブ）の属性情報に基づき行うことができる。この判定に用いることができる属性としては、そのデータに対してジョブ要求者が指定した機密度や保管時間などを挙げることができる。ここで、保管時間は、ジョブ要求者が画像形成装置に当該データを保管してほしい期間の長さを示す。この画像形成装置は、そのデータを受信してから保管時間が経過すると、そのデータを破棄する。なお保管時間の代わりに保管期限の時刻を用いても良い。この例では、外部装置に設けられるプリンタドライバのユーザインタフェースにより、ユーザから、親展プリントのための認証情報（例えばパスフレーズ）、機密度、及び保管時間の入力を受け付ける。プリンタドライバは、入力されたそれら各情報を指示データに組み込んで、この画像形成装置に送信する。
【００５３】
ステップＳ２８における判定処理の一例を図６に示す。この例では、ジョブ制御部５１は、そのジョブの指示データに示された機密度と保管時間を、それぞれ対応するしきい値（このしきい値はあらかじめ当該画像形成装置の管理者が設定しておく）と比較し（Ｓ４０及びＳ４２）、いずれか一方がしきい値より大きい場合、秘密保護が必要と判定する（Ｓ４４）。一方、機密度も保管時間もしきい値以下であれば、秘密保護が不要と判定する（Ｓ４６）。
【００５４】
図６の例では、データ保護の必要性を判定するのに、ユーザが指定した機密度や保管時間を用いたが、これは一例に過ぎない。この代わりに例えば、受信した暗号化データの暗号化に用いられた共通鍵（図５の要素１１６）の鍵長に基づきそのデータの機密度を判定し、その機密度に応じて秘密保護の要否を判定してもよい。
【００５５】
またこの判定の更に別の例として、当該画像形成装置に入力されたデータが暗号化されている場合は、そのデータの保管する場合に秘密保護が必要であると判定する、という判定方式もある。これは、データを暗号化して当該画像形成装置に送ってくる以上、送り手側がデータの秘密保護を欲していると想定し、その意図に沿って保管の際には暗号化を行おうというものである。なおこの方式では、入力されたデータが暗号化されていない場合については、単に保管時には暗号化不要と判定してもよいし、別の詳細な判定規則を定めてもよい。
【００５６】
また、そのデータの保管先の記憶装置に応じて、秘密保護の要否を判定することもできる。すなわち、前述したように、ＨＤＤ１６がオプション装備である画像形成装置の場合、ＨＤＤ１６を備えない構成では、保管データは不揮発性メモリ１８に保管されることになる。ここで、ＨＤＤ１６は画像形成装置本体からの取り外しが比較的容易なので、例えば不正利用者が夜間などに取り外して内容を解析する可能性がある。これに対し、不揮発性メモリ１８は、画像形成装置の基板に固定されているので、取り外して解析される可能性は低い。オプションのＨＤＤ１６が装備されているか否かは、機器構成情報の１つとして不揮発性メモリ１８に記録される。したがって、秘密保護要否判定のプログラムは、その機器構成情報を参照してＨＤＤ１６が装備されているか否かを調べ、装備されていれば保管するデータの秘密保護が必要と判定し、装備されていなければ秘密保護が不要と判定する。
【００５７】
また、ジョブ要求者が、ジョブに対してデータの秘密保護の要否を指定できるようにしてもよい。この場合、ジョブの指示データに秘密保護の要否の情報が組み込まれ、画像形成装置に送られる。
【００５８】
再び図４の処理手順の説明に戻ると、ステップＳ２８にて、保管するデータの秘密保護が不要と判定した場合は、ジョブ制御部５１は、ＰＫＩ暗号処理部５２によるデータ復号結果を暗号化せずにＨＤＤ１６に格納する（Ｓ３０）。これに対し、保管するデータの秘密保護が必要と判定された場合は、ジョブ制御部５１は、ＰＫＩ暗号処理部５２によるデータ復号結果を内部鍵暗号処理部５６に暗号化させ、その暗号化結果をＨＤＤ１６に格納する（Ｓ３２）。
【００５９】
このようにして保管したデータについて、ジョブ処理を実行する時が来ると、ジョブ制御部５１は、ＨＤＤ１６からその保管データを取り出し、このデータが暗号化されて入れば、内部鍵暗号処理部５６によりこれを復号してから、アプリケーション６０に供給する。
【００６０】
以上、外部装置からネットワークを介して受信したデータを保管する際の処理について説明した。なお、本実施形態の画像形成装置では、このような受信データのみならず、スキャンエンジン２６により生成された画像データなど、画像形成装置内で生成されたデータをＨＤＤ１６に保管する際にも、そのデータを内部鍵暗号処理部５６で暗号化することができる。
【００６１】
以上説明したように本実施形態の画像形成装置では、外部装置から受信した公開鍵暗号化データを、いったん復号した後、自装置の内部鍵で再暗号化して保管する。公開鍵で暗号化された受信データそのものを保管する場合は、古い秘密鍵の管理が問題であったが、内部鍵は無期限の鍵なのでそのような問題は解消される。また、本実施形態では、内部鍵という統一した鍵で暗号化したデータを保管するので、ＨＤＤ１６内に保管される暗号化データの暗号強度は均一化される。内部鍵として用いる鍵の鍵長や内部鍵暗号処理部５６の暗号アルゴリズムを適切に選択することで、ＨＤＤ１６内の保管データの暗号強度を一定以上に保ちたいという要求を満足させることができる。
【００６２】
また仮に公開鍵で暗号化されたデータをそのままＨＤＤ１６に保管する構成をとった場合、保管していた秘密鍵が何らかの理由で破壊されてしまうと、その暗号化データが復号できなくなる危険があるが、本実施形態のように装置シリアル番号から生成した内部鍵で暗号化する構成では、そのような危険性を低減できる。すなわち、有効期限ごとに更新される秘密鍵はＨＤＤ１６や不揮発性メモリ１８に保管されるため、読み出しや書き込み動作が比較的多く、破壊のリスクがある程度あるが、装置シリアル番号が書き込まれるワンタイムＰＲＯＭ２０や鍵生成プログラムが書き込まれたＲＯＭ１２はＨＤＤ１６や不揮発性メモリ１８に比べて破壊のリスクは少ない。
【００６３】
以上に説明した実施の形態はあくまで一例に過ぎず、本発明の範囲内で様々な変形例が考えられる。
【００６４】
例えば、内部鍵管理部５８で生成する内部鍵を、ユーザが要求する暗号強度に応じたものとすることもできる。これには、ユーザが画像形成装置に対して、希望するセキュリティレベルの値を設定しておく。この設定値は、ＨＤＤ１６又は不揮発性メモリ１８に保存される。内部鍵管理部５８は、システム起動時などに、図７に示すように、装置シリアル番号（Ｓ１０）の他にそのセキュリティレベルの設定値を読み出す（Ｓ１１）。そして、セキュリティレベルに応じて内部鍵の鍵長を決定し、鍵生成アルゴリズムによりその鍵長の内部鍵を生成し（Ｓ１２ａ）、ＲＡＭ１４に格納する（Ｓ１４）。
【００６５】
また、国によっては法律などにより暗号鍵の鍵長に制限が設けられる場合があるが、本実施形態の装置は、これに対応することもできる。例えば、画像形成装置のワンタイムＰＲＯＭ２０又は不揮発性メモリ１８には、その装置の出荷先の国を示す識別情報が書き込まれるので、内部鍵管理部５８は、内部鍵生成処理時に、この出荷先国設定値を読み出し、この値に応じて内部鍵の鍵長を決定すればよい。
【００６６】
また、上記実施形態では装置シリアル番号から内部鍵を生成しているが、画像形成装置が備える記憶デバイスに保存された他の当該装置固有の情報から内部鍵を生成するようにしても良い。
【００６７】
また、装置シリアル番号に加え、ハードウエアトークン（以下トークンと略称）を援用して内部鍵を生成することも可能である。すなわち、この変形例では、装置シリアル番号に加え、トークンに記憶した情報を内部鍵生成のパラメータに用いる。トークンを援用することで、仮に内部鍵管理部５８の鍵生成アルゴリズムが漏洩した場合でも、内部鍵を不正に生成することを困難にすることができる。
【００６８】
この方法での鍵生成処理の手順の一例を図８に示す。鍵生成を行う場合、内部鍵管理部５８は、まず画像形成装置の鍵生成の設定が、トークンを用いる設定になっているか否かを判定する（Ｓ５０）。この設定は、画像形成装置の管理者が行い、その設定値がＨＤＤ１６又は不揮発性メモリ１８に保管されている。この判定で、トークンが不要と判定された場合は、図３に示した処理と同様の処理を実行する（Ｓ１０，Ｓ１２，Ｓ１４）。これに対し、鍵生成にトークンが必要と判定された場合、内部鍵管理部５８は、トークン読取部３０からトークンデータの入力があるか否かを判定する（Ｓ５２）。この入力がない場合は、操作パネル２２のディスプレイに、トークンをセットすべき旨のエラーメッセージを表示し（Ｓ５４）、トークンのセットを促す。ステップＳ５２でトークンがセットされていると判定された場合は、内部鍵管理部５８は、装置シリアル番号とそのトークンデータとそれぞれ読み出し（Ｓ５６）、それらをパラメータとして用いて内部鍵を生成し（Ｓ５８）、ＲＡＭ１４に記憶する（Ｓ１４）。
【００６９】
なお、装置シリアル番号を用いず、トークン内のパラメータのみを用いて内部鍵を生成する構成も考えられる。
【００７０】
また、内部鍵を画像形成装置内で生成する代わりに、トークン内に内部鍵を格納しておき、それを画像形成装置が読み出して利用する構成も可能である。
【００７１】
また、以上の例では、画像形成装置に対して１つの内部鍵を用いたが、画像形成装置に登録された登録ユーザごとに内部鍵を生成し、これを用いてユーザごとの暗号化を行うこともできる。この例では、画像形成装置は、受信した指示データや保管対象データのヘッダ情報などから、その保管対象データの所有者を判定し、ＰＫＩ暗号処理部５２の復号結果をその所有者の内部鍵を用いて再暗号化してＨＤＤ１６に保管する。
【００７２】
以上、本発明をデジタル複合機等の画像形成装置に適用した場合の実施形態を説明した。しかしながら、上述の説明から明らかなように、本実施形態における格納データの秘密保護方式は、処理の種類や格納対象のデータの種類に依存しないので、画像形成装置以外の様々なジョブ処理装置に適用可能である。
【図面の簡単な説明】
【図１】実施形態の画像形成装置のハードウエア構成の要部を示す図である。
【図２】画像形成装置の制御機構の主要部を示す機能ブロック図である。
【図３】内部鍵管理部による鍵生成手順の一例を示す図である。
【図４】受信データに対する処理手順を示す図である。
【図５】暗号化された受信データの一例を示す図である。
【図６】保管データの暗号化の要否を判定する処理の手順の一例を示す図である。
【図７】内部鍵管理部による鍵生成手順の別の例を示す図である。
【図８】内部鍵管理部による鍵生成手順の更に別の例を示す図である。
【符号の説明】
１６ ＨＤＤ（ハードディスク・ドライブ）、５０ データ受信部、５１ ジョブ制御部、５２ ＰＫＩ暗号処理部、５４ ＰＫＩ鍵管理部、５６ 内部鍵暗号処理部、５８ 内部鍵管理部、６０ アプリケーション。

Claims (18)

1. 暗号化されたデータを入力する入力部と、
   前記入力部により入力されたデータを、該データを暗号化した暗号鍵の対となる復号鍵を用いて復号化する復号処理部と、
   前記復号処理部により復号化されたデータを、前記暗号鍵とは異なる暗号鍵を用いて暗号化する暗号処理部と、
   前記暗号処理部により暗号化されたデータを記憶する記憶部と
   を備えることを特徴とする情報処理装置。
2. 請求項１記載の情報処理装置であって、
   前記暗号処理部により暗号化処理を行なう際に用いられる暗号鍵には、有効期限が設定されていないことを特徴とする情報処理装置。
3. 請求項１記載の情報処理装置であって、
   前記入力部は、暗号化されていないデータも入力し、
   前記暗号処理部は、前記入力部により入力された暗号化されていないデータも暗号化する
   ことを特徴とする情報処理装置。
4. 請求項１記載の情報処理装置であって、
   前記暗号処理部により暗号化処理を行なう際に用いられる暗号鍵を生成する鍵生成部を備えることを特徴とする情報処理装置。
5. 請求項４記載の情報処理装置であって、
   揮発性メモリと、
   前記鍵生成部により生成された暗号鍵を前記揮発性メモリに記憶させる記憶制御部と、
   を備えることを特徴とする情報処理装置。
6. 請求項４に記載の情報処理装置であって、
   前記鍵生成部は、自装置固有の情報を用いて暗号鍵を生成することを特徴とする情報処理装置。
7. 請求項４に記載の情報処理装置であって、
   前記鍵生成部は、自装置の電源が投入されたことを契機として暗号鍵を生成することを特徴とする情報処理装置。
8. 請求項４記載の情報処理装置であって、
   鍵生成パラメータを記憶した可搬型記憶媒体を着脱自在に装着可能な装着部を更に備え、
   前記鍵生成部は、前記鍵生成パラメータから前記暗号鍵を生成するものである、
   情報処理装置。
9. 請求項４記載の情報処理装置であって、
   当該情報処理装置のセキュリティレベルの設定を行なうセキュリティ設定部を更に備え、
   前記鍵生成部は、前記セキュリティ設定部で設定されたセキュリティレベルに応じた鍵長の暗号鍵を作成する
   ことを特徴とする情報処理装置。
10. 請求項４記載の情報処理装置であって、
    自装置が使用される地域の設定を受け付ける地域設定部を更に備え、
    前記鍵生成部は、前記地域設定部で設定された地域に応じた鍵長の前記暗号鍵を作成する
    ことを特徴とする情報処理装置。
11. 請求項１記載の情報処理装置であって、
    前記暗号鍵を記憶した可搬型記憶媒体を着脱自在に装着可能な装着部を更に備え、
    前記暗号処理部は、該装着部に装着された可搬型記憶媒体から前記暗号鍵を読み出して暗号化を行う
    ことを特徴とする情報処理装置。
12. 請求項１記載の情報処理装置であって、
    前記記憶部を複数備え、
    前記暗号鍵を前記記憶部毎に対応させて有し、
    前記暗号処理部は、データの保管先に決定された記憶部に対応する暗号鍵で暗号化することを特徴とする情報処理装置。
13. 請求項１記載の情報処理装置であって、
    前記暗号鍵を自装置を使用するユーザ毎に対応させて有し、
    前記暗号処理部は、前記データに対応するユーザの暗号鍵で暗号化することを特徴とする情報処理装置。
14. 請求項１記載の情報処理装置であって、
    前記入力部により入力されたデータを暗号化するか否かを決定する決定手段と、
    前記決定手段により暗号化すると決定されたデータについて、前記暗号処理部により暗号化することを特徴とする情報処理装置。
15. 請求項１４記載の情報処理装置であって、
    前記決定手段は、入力部により入力されたデータが暗号化されている場合は、暗号化すると決定することを特徴とする情報処理装置。
16. 請求項１記載の情報処理装置であって、
    記憶部により記憶されたデータを復号化してプリントするプリント部を備えることを特徴とする情報処理装置。
17. 暗号化されたデータを入力し、
    入力されたデータを、該データを暗号化した暗号鍵の対となる復号鍵を用いて復号化し、
    復号化されたデータを、前記暗号鍵とは異なる暗号鍵を用いて暗号化し、
    暗号化されたデータを記憶する
    ことを特徴とする情報処理方法。
18. コンピュータに、
    暗号化されたデータを入力する手順と、
    入力されたデータを、該データを暗号化した暗号鍵の対となる復号鍵を用いて復号化する手順と、
    復号化されたデータを、前記暗号鍵とは異なる暗号鍵を用いて暗号化する手順と、
    暗号化されたデータを記憶する手順とを
    実行させることを特徴とするプログラム。

Images