JP2005150906A - 画像形成装置 - Google Patents

Abstract

【課題】 パスワードとともに保存された画像データへのアクセス要求に対し、正常な入力状態でのパスワード再入力を許すとともに、異常なパスワード入力状態を検出して、不正アクセスを防止することが可能な画像形成装置を提供する。
【解決手段】 ＴＣＰ／ＩＰプロトコルを使用して通信が行われるネットワークに接続された画像形成装置内にパスワードとともに保存された画像データに対して、ネットワークに接続された情報処理装置からアクセスが行われる場合、保存されたパスワードと同一のパスワードが情報処理装置から入力されると画像データへのアクセスを許可する画像形成装置において、パスワードを含む入力信号から情報処理装置を特定する装置情報を抽出し、同一の装置情報を有する情報処理装置から連続して、所定の単位時間内に所定回数を超えるパスワードの入力が行われた場合、その情報処理装置からのアクセスを拒否する。
【選択図】 図７

Description

本発明は、パスワードとともに画像を保存し、ネットワークに接続可能な画像形成装置に関する。

画像形成装置には、白黒またはカラーの複写機、プリンタ、プロッタ、ファクシミリ、或いは、これらの複数の機能が組み合わされた複合機或いは多機能機と称されるものなどがある。また、最近では、そのような画像形成装置の大半がデジタル方式であり、様々な機能を利用することが可能になっている。

また、パソコンなどの情報処理装置とネットワークの普及とともに、このような画像形成装置もネットワークに接続可能で、ＬＡＮ、ＷＡＮ、イントラネット或いはインターネット網を介して接続された情報処理装置から送出される印刷データに基づき印刷が行えるものも普及している。

また、こうした画像形成装置は、ハードディスクなどで構成される大容量の記憶装置を内蔵しているため、複写時の読み込み画像データ、情報処理装置からの印刷データに基づいて印刷のために処理された画像データ、ファックス送信するときに画像形成装置のスキャナで読み取った画像データ、或いはファックス受信した画像データを、その記憶装置に保存する機能を備えている。

そのため、大容量の記憶装置を内蔵している画像形成装置では、一度印刷されて記憶装置に格納されている画像データを使用して再印刷や編集、或いは画像データの削除を行うこともある。その場合、画像形成装置の操作部や情報処理装置を介して、記憶装置に保存されている画像データを検索し、必要な画像データにアクセスしてこれらの処理を行っている。また、こういった処理のみならず、画像形成装置に保存されている画像データを読み出し、他の装置へコピーや移動を行って印刷或いは編集が行われる場合もある。

このように画像形成装置によって処理された画像データのなかには、分類上、重要事項や機密事項に属すものもある。また、第三者によって変更や削除が行われないようにしたい画像データもある。こうした状況に対応するため、特許文献１は、画像を読み込むときにパスワードを指定する手段と、その画像とパスワードを蓄積、保持する手段と、パスワードを保持している画像が指定されたときに入力パスワードと照合する手段とを有した画像形成装置を開示し、該画像形成装置において、蓄積される画像に対するセキュリティの向上を図っている。
特開平１１−４５０３４号公報

確かに、特許文献１が開示する画像形成装置において、蓄積される画像へのアクセスはパスワードによって制限されるため、そのパスワードを知るユーザのみ画像にアクセスでき、セキュリティが向上する。しかし、ネットワークの発達にともなって、不特定多数のユーザに画像形成装置が共有されるとともに、外部からそのネットワークに侵入される危険性も増大している。その場合、悪意のある内外のユーザが、所謂ハッキングツールなどを使用して大量のパスワードを自動的に生成し、パスワード総当たり攻撃を仕掛けることも考えられる。その場合、特許文献１が開示する画像形成装置は、パスワードが一致した時点で、画像の処理が可能になる。

本発明は、このような状況に鑑みなされたものであり、パスワードとともに保存された画像データへのアクセス要求に対し、正常な入力状態でのパスワード再入力を許すとともに、異常なパスワード入力状態を検出して、不正アクセスを防止することが可能な画像形成装置を提供することを目的とする。

上記目的を達成するために、本発明では、ＴＣＰ／ＩＰプロトコルを使用して通信が行われるネットワークに接続された画像形成装置内にパスワードとともに保存された画像データに対して、ネットワークに接続された情報処理装置からアクセスが行われる場合、保存されたパスワードと同一のパスワードが情報処理装置から入力されると画像データへのアクセスを許可する画像形成装置において、パスワードを含む入力信号から情報処理装置を特定する装置情報を抽出し、同一の装置情報を有する情報処理装置から連続して、所定の単位時間内に所定回数を超えるパスワードの入力が行われた場合、その情報処理装置からのアクセスを拒否する。

更に、本発明による画像形成装置は、一度アクセスが拒否された情報処理装置の装置情報をアクセス拒否テーブルに登録し、該アクセス拒否テーブルに登録された装置情報を有する情報処理装置からパスワードの入力によるアクセスが再度行われる場合、そのアクセスを拒否する。

また、本発明による画像形成装置において、その画像データへのアクセスが拒否されると、警報を発するように構成されている。

本発明による画像形成装置において、前記装置情報は、ＴＣＰ／ＩＰプロトコルのＩＰヘッダに含まれるＩＰアドレスである。

或いは、本発明による画像形成装置が接続されるネットワークは、イーサネット（Ｒ）規格に基づくネットワークであり、前記装置情報は、イーサネット（Ｒ）プロトコルのイーサネット（Ｒ）ヘッダに含まれるＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）である。

本発明による画像形成装置によると、画像形成装置が保存する画像データにアクセスが行われる場合、所定の単位時間内に所定の回数を超えるパスワード入力を検知してアクセスを拒否するため、パスワード総当たり攻撃による不正アクセスを検知して、そのアクセスを拒否するとともに、正当なユーザによるパスワード間違いやパスワード入力時のタイプミスに起因するパスワード入力の再試行を許可することができる。そのため、画像データに対するセキュリティの向上が図れると同時に、パスワード総当たり攻撃が続く場合、所定の単位時間経過後にその攻撃を拒否するため、画像形成装置の負荷を軽減させ、正当なユーザによるパスワード入力や画像データへのアクセスを遅滞なく行わせることが可能となる。

また、本発明による画像形成装置によると、一度不正アクセスとして拒否された情報処理装置を特定する装置情報を記憶するため、再度その情報処理装置からアクセスがある場合は、即座にアクセスを拒否する。そのため、更に画像データのセキュリティが向上するとともに、画像形成装置の負荷を低減できる。

更に、本発明による画像形成装置によると、不正アクセスや、一度不正アクセスとして記憶された情報処理装置からのアクセスが検出されると警報を発するため、管理者が遅延なく対応することが可能になる。

更に、本発明による画像形成装置によると、ＩＰヘッダに含まれるＩＰアドレスを検出して情報処理装置を特定するため、特別な検出装置を必要とせず、容易に特定が可能になる。

或いは、本発明による画像形成装置によると、イーサネット（Ｒ）ヘッダに含まれるＭＡＣアドレスを検出して情報処理装置を特定するため、特別な検出装置を必要とせず、容易に特定が可能になるとともに、ＩＰアドレスが変更されても、不正アクセスを行う情報処理装置を特定できるという優れた効果を奏する。

以下、本発明の詳細を添付図面に基づいて説明する。図１は、ネットワークに接続された画像形成装置と情報処理装置を示すネットワーク構成例である。ＬＡＮなどのネットワーク３に、本実施形態に係わる画像形成装置１と、管理者が利用する情報処理装置２ａ、ユーザが使用する情報処理装置２ｂ、２ｃとが接続されている。また、ネットワーク３は、図示しない構内や社内のイントラネット、或いはインターネット網４に接続されており、ＴＣＰ／ＩＰプロトコルを利用した通信が行われる。なお、同図では、１つの画像形成装置１と情報処理装置２ａ〜２ｃがネットワーク３に接続されている例であるが、本発明はこの構成に限定されないことはいうまでもない。

次に、図１〜図３を使用して、本実施形態に係わる画像形成装置１を具体的に説明する。図２は、画像形成装置１の構成を示す正面模式図である。図３は、画像形成装置１の制御に係わる構成を示すブロック図である。図２と図３に示すように、画像形成装置１は、原稿給送台１２にセットされた原稿の束を１枚ずつ給送する原稿自動送り装置１１と、給送された原稿を読み取って画像データに変換するスキャナ１３と、表示部１４と操作入力部１５とからなる操作部１６と、被記録媒体となる用紙Ｐを収納して１枚ずつ給紙する給紙部１７と、画像を形成する画像形成部１８と、画像を用紙に定着する定着部１９と、複数の用紙排出ビン２０ａを備えて排出される用紙の丁合などの後処理を行う後処理部２０とからなっている。

更に、制御に係わる構成として、画像形成装置１の主たる制御を行う制御部２１と、画像データの圧縮と伸張を行うＣＯＤＥＣ部２２と、処理のために画像データを展開したり、一時的に保存したりする画像メモリ２３と、スキャナ１３で読み取られた画像データや情報処理装置２ａ〜２ｃから送信されてくる印刷データに含まれる画像データやファクシミリ受信した画像データを長期的に保存する記憶装置２４（例えばハードディスク）と、原稿自動送り装置１１とスキャナ１３と給紙部１７などの入出力装置を画像形成装置１本体に接続するためのインタフェース機能を提供する入出力装置Ｉ／Ｆ２６と、情報処理装置２ａ〜２ｃから入力される印刷データを処理するプリンタコントローラ２７と、図示しない一般公衆電話回線に接続されてファクシミリ送受信の制御を行うＦＡＸコントローラ２８と、ネットワーク３に接続するための制御を行うネットワークコントローラ２９とが内部バス３１に接続された構成である。また、図２中、用紙Ｐの搬送経路は一点鎖線で示される。

なお、上記構成の画像形成装置１は、スキャナ１３で読み取られた原稿の画像データに基づいて画像形成部１８で画像を形成し、用紙Ｐに転写して定着部１９で定着する複写機能と、情報処理装置２ａ〜２ｃから送信されてくる印刷データを、ネットワークコントローラ２９を介して受信し、プリンタコントローラ２７で処理して画像形成部１８で画像を形成して印刷するプリンタ機能と、一般公衆電話回線とＦＡＸコントローラ２８を介して、画像データの送受信を行うファクシミリ機能とを備えている。以下の説明において、特別な注釈のない限り、画像形成装置１はプリンタとして説明する。

図４は、画像データと共に保存されるファイルレコードの一覧例を示す図である。画像形成装置１で画像データを使用して画像が形成されると、その画像データを保存するか否かの選択が可能である。保存する選択をした場合、同図に示すように、「画像ファイル名」と「所有者ＩＤ」と「パスワード」の入力が求められる。画像ファイル名は、省略可能であるが、省略した場合は、画像形成装置１に予め登録されている連番が付与されて保存される。画像データを保存する場合、所有者ＩＤとパスワードの入力は必須である。

図４に示す「ファイル情報」は、ファイル属性、ファイルサイズ、作成日時、保存日時、記憶装置２４内の保存位置などの画像形成装置１によって自動的に与えられる情報であるため、図中「…」で示している。また、１つのファイルレコードは、画像データの画像ファイル名（例：写真＿１）、所有者ＩＤ（例、管理者Ａ）、パスワード（例、１２３４）、更にファイル情報とからなる。画像データ自身は記憶装置２４内の画像データ領域に、ファイルレコードはファイルレコード領域に保存される。もちろん、画像データとそれに対応するファイルレコードを一緒にして保存管理することも可能である。

このように保存された画像データにアクセスする場合は、画像形成装置１の操作部１６を介して、或いは、情報処理装置２ａ〜２ｃを介して、まず、図４に示したファイルレコードの一覧を表示させ、所望する画像データを選択するか、或いは、操作部１６や情報処理装置２ａ〜２ｃに、図示しない検索画面を表示させて、画像ファイル名や所有者ＩＤをキー項目にして検索し、所望する画像データを選択する。こうして、所望する画像データの選択が終了すると、その画像データにアクセスして、削除、印刷、転送などの処理を行うこととなるが、図示しないパスワード入力画面が操作部１６や情報処理装置２ａ〜２ｃに表示される。

この時、何らかのセキュリティが構築されていない場合は、従来技術の問題として説明したように、情報処理装置２ａ〜２ｃのいずれか、或いは図示しないイントラネット網に接続された他の情報処理装置やインターネット網４（図１参照）に接続された他の情報処理装置から、パスワード総当たりツールなどを使用して生成した大量のパスワードを高速で順次入力させることが可能なため、時間の経過とともに予め登録されているパスワードと一致する可能性が高くなる。そして、正当なユーザ以外による不正アクセスが、その画像データに対して行われる。

このような問題に対して、本実施形態では画像形成装置１の制御部２１の制御によって、図７に示す手順で不正アクセスを防止して、画像形成装置１に保存されている画像データに対するセキュリティの向上を図っている。以下、その手順を、図１〜図３と図５〜図７を参照して説明する。

図５は、画像形成装置１が画像データにアクセスするためパスワードを受信すると登録され、それに連続した２度目以降のアクセスによって順次更新されるアクセス管理テーブルの例を示す図である。例えば、１行目のＩＰアドレス１９２．１６８．３２．１の情報処理装置から画像形成装置１の画像データへアクセスするためパスワードを送られてくると、そのアクセスに対して画像形成装置１は、例えば、００００００１というアクセス管理ＩＤを発行する。アクセスカウンタは、そのアクセス管理ＩＤに対するもので、この場合、所定の時間内でアクセスが１度あったことが示されている。同様に、アクセス管理ＩＤが００００００３のレコードは、ＩＰアドレス１９２．１６８．３６．１５０の情報処理装置から、所定の時間内にアクセスが６度あったことを示している。

図６は、不正アクセスと判断されたパスワード送信元のＩＰアドレスと日時が登録されるアクセス拒否テーブルである。図５に示した、１番目のレコードは、アクセス管理ＩＤが００００００３として登録され、ＩＰアドレス１９２．１６８．３６．１５０から不正アクセスがあったと判断され、日時２００３年１０月１１日１４時１５分１３秒に、アクセス拒否テーブルに登録されたものである。なお、これらのアクセス管理テーブルとアクセス拒否テーブルは、画像形成装置１の記憶装置２４に保存され、画像形成装置１が動作中は制御部２１の図示しない作業メモリに読み取られてデータの登録や更新が行われる。

図７は、不正アクセスに対する画像形成装置１の動作手順を記したフローチャートである。画像データへのアクセスは、ネットワーク３を介して行われるものとする。前述したように、ユーザが所望する画像データを選択すると、その画像データにアクセスするためのパスワードが求められる。この例では、ユーザは情報処理装置から画像データにアクセスするものである。

１）Ｓ２で不正アクセスに対する制限が無効に設定されている場合、について説明する。まず、ステップＳ１で、ユーザが情報処理装置のキーボードなどを介して入力したパスワードが、ネットワーク３を経由して（画像形成装置１の操作部１６からの入力も可能）、画像形成装置１に入力される。Ｓ２で、不正アクセスに対する制限が有効か否かの判断が行われる。有効／無効の設定は管理者権限によって画像形成装置１上から、或いは、管理者用情報処理装置２ａから行うことができる。例えば、外部からのアクセスが不可能な小規模のネットワークにおいて、不正アクセスの可能性が無いと判断される場合は、無効にすることで画像形成装置１の不要な動作を省略して、その負荷を軽減させることができる。

Ｓ２で、不正アクセスの制限が無効に設定されている場合は、不正アクセスの検出は行われない。そして、Ｓ４０に分岐して、入力されたパスワードと選択された画像データに対応するパスワードとが照合される。その照合の結果が一致しないとＳ４１で判断されると、このアクセスのパスワード入力に対する手順は終了する。その後、パスワードの入力が繰り返されると、パスワードが一致するまでＳ１、Ｓ２、Ｓ４０、Ｓ４１までのステップが繰り返される。そして、Ｓ４１で、パスワードが一致すると判断されると、Ｓ４３に移行して、選択された画像データへのアクセスが許可される。つまり、不正アクセスに対する制限が無効に設定されている場合の手順は、前述した従来技術の手順とほぼ同一である。

２）Ｓ２で不正アクセスに対する制限が有効に設定されており、アクセス拒否テーブルに登録されている情報処理装置からアクセスがある場合、について説明する。Ｓ２で、不正アクセスの制限が有効になっている場合は、Ｓ５で、パスワード送信元からパスワードを含んで送信されるＴＣＰ／ＩＰパケット信号のＩＰヘッダに含まれる送信元のＩＰアドレスを取得する。そして、送信元ＩＰアドレスがアクセス拒否テーブル（図６）に登録されているか否か、Ｓ６で照合が行われる。その照合の結果、Ｓ８で、送信元ＩＰアドレスがアクセス拒否テーブルに既に登録されていると判断されると、Ｓ２０へ分岐する。Ｓ２０で、そのアクセスに対するアクセス管理ＩＤが付与される。Ｓ２２で、アクセス拒否テーブルには既に同じＩＰアドレスが存在するため、アクセス拒否テーブル上の同じＩＰアドレスを有するレコードが、付与された新しいアクセス管理ＩＤと、この時点での日時を新しい内容として更新される。

アクセスが拒否されているＩＰアドレスからのアクセスであるため、Ｓ２３にて、不正アクセスに関する報知が行われる。この報知とは、管理者の情報処理装置２ａ（図１）への通知である。同時に、画像形成装置１の表示部１４（図２）上にて警告メッセージを表示するとともに、図示しないブザーなどで警告音を発するようにするとよい。そうすると、管理者が不在であっても、他のユーザが代わって対応することができる。そして、Ｓ２６で、アクセス管理テーブルから、該当するアクセス管理ＩＤを持つレコードの削除が行われるが、この例では、アクセス拒否テーブルに既に登録されている送信元からのアクセスであったため、付与されたアクセス管理ＩＤがアクセス管理テーブルに未登録であり、アクセス管理テーブルからレコードの削除は行われない。アクセス拒否テーブルに既に登録されているＩＰアドレスからのアクセスの場合、このように、Ｓ８による判断に基づいてＳ２０に分岐するため、パスワードの受付が拒否される。

３）Ｓ２で不正アクセスに対する制限が有効に設定されており、アクセス拒否テーブルに登録されていない情報処理装置からアクセスがあり、パスワードが１回目のアクセスで一致する場合、について説明する。ステップＳ１〜Ｓ８に至るフローは、前記２）で説明したとおりである。その後、Ｓ８からＳ１１に分岐し、Ｓ１１で、アクセス管理テーブルとの照合が行われる。Ｓ１３で判断が行われ、同じＩＰアドレスがアクセス管理テーブルに登録されていない場合は、該当する画像データの登録パスワードに対してのアクセスにおいて最初のパスワードの入力であることを意味する。そのため、Ｓ３０に分岐して、そのアクセスに対して新たなアクセス管理ＩＤが発行される。すなわち、今後のアクセスが同一送信元からのアクセスか否かを判断するためのアクセス管理ＩＤである。その後、最初のアクセスであるため、そのアクセス管理ＩＤのアクセスカウンタに１がセットされる。そして、Ｓ３２で、アクセス管理ＩＤと、送信元ＩＰアドレスと、アクセスカウンタの内容がアクセス管理テーブルに書き込まれる。

Ｓ３３で入力パスワードと登録パスワードとの照合が行われ、Ｓ３４でパスワードが一致すると判断される場合は、Ｓ４２に分岐して、アクセス管理テーブルから該当するアクセス管理ＩＤとそのレコードを削除する。そして、Ｓ４３で、選択された画像データへのアクセスを許可する。

４）Ｓ２で不正アクセスに対する制限が有効に設定されており、アクセス拒否テーブルに登録されていない情報処理装置からアクセスがあり、所定の単位時間内において制限回数以下のアクセス回数で一致する場合、について説明する。前記３）のステップＳ３４で、パスワードが不一致と判断されると、Ｓ３５で、該当するアクセス管理ＩＤに対するタイマを起動させて、所定の単位時間の計測を開始する。その後、当該パスワード入力に関する処理は一旦終了する。その後、所定の単位時間内に同じＩＰアドレスを有する情報処理装置から再びパスワード入力が行われると、これまで説明した、ステップＳ１からＳ１１を経由して、Ｓ１３で、同じＩＰアドレスがアクセス管理テーブルに登録されているか否か判断される。この例では、既に同じ情報処理装置からの２回目以降のアクセスであるため、同じＩＰアドレスが登録されていると判断される。

そのため、Ｓ１４に移行して、そのアクセス管理ＩＤのアクセスカウンタの内容を１つアップする。その後、Ｓ１６で、そのアクセスカウンタの内容が、前記所定時間内に許されアクセス制限回数を超えたか否かがチェックされる。超えていない場合は、Ｓ１７で、タイマによってセットされた所定の単位時間がタイムアウトしたか否かがチェックされる。まだ、時間内であれば、Ｓ１８で、入力されたパスワードと登録されているパスワードとの照合が行わる。Ｓ１９で、パスワードが一致すると判断されると、前記したＳ４２による処理に移行し、アクセス管理テーブルから当該アクセス管理ＩＤを有するレコードが削除される。そして、Ｓ４３で、画像データへのアクセスが許可される。

５）Ｓ２で不正アクセスに対する制限が有効に設定されており、アクセス拒否テーブルに登録されていない情報処理装置からアクセスがあり、アクセス回数が制限回数を超えず所定の単位時間が終了した場合、について説明する。例えば、タイマによって計測する所定の単位時間を１０秒とし、その所定時間内に許されるパスワードの試行回数（アクセスカウンタの内容）を５回とする。つまり、ユーザがキーボードから入力する場合は１０秒以内に５回を超えて入力することは、ほぼ不可能であると想定した数値であり、１０秒以内であれば、入力ミスをしても５回までの試行は許されると想定したものである。勿論、これらの数値に本発明は限定されるものではなく、実際のパスワードの桁数、入力装置などに合わせて決定するとよい。

この場合、情報処理装置からの第１回目のパスワード入力は、既に説明したステップＳ１〜Ｓ１３、Ｓ１３〜Ｓ３４、Ｓ３４〜Ｓ３５によって処理される、その後、２回目と例えば３回目のパスワード入力は、既に説明したステップＳ１〜Ｓ１９によって処理され、Ｓ１９ではパスワードが一致しないと判断される。そして、４回目のパスワード入力が処理されるときに、タイマが１０秒を超えたとする。その４回目のパスワード入力に対する処理は、ステップＳ１〜Ｓ１６までは説明したとおりである。Ｓ１６では、設定されている制限回数５に対して、アクセスカウンタは４になっているため、Ｓ１７に移行する。Ｓ１７では、既に所定の単位時間１０秒が経過しているため、タイムアウトと見なされてＳ２５に分岐する。

Ｓ２５で、タイマがリセットされて解除され、Ｓ２６で、アクセス管理テーブルから該当するアクセス管理ＩＤのレコードが削除されて、当該アクセスに対する処理は終了する。つまり、この例では、４回のパスワード入力試行に１０秒を超えた時間かかった例である。これは、短時間で大量のパスワードを生成して入力するパスワード総当たり攻撃であると判断されず、ユーザが手作業で入力を試行したと見なされた結果である。そのため、アクセス拒否テーブルには、送信元である情報処理装置のＩＰアドレスは登録されない。

６）Ｓ２で不正アクセスに対する制限が有効に設定されており、アクセス拒否テーブルに登録されていない情報処理装置からアクセスがあり、アクセス回数が所定の単位時間内で制限回数を超える場合、について説明する。例えば、タイマによって計測する所定の単位時間を１０秒とし、その所定時間内に許されるパスワードの試行回数（アクセスカウンタの内容）を５回とする。つまり、ユーザがキーボードから入力する場合は１０秒以内に５回を超えて入力することは、ほぼ不可能であると想定した数値であり、１０秒以内であれば、入力ミスをしても５回までの試行は許されると想定したものである。勿論、これらの数値に本発明は限定されるものではなく、実際のパスワードの桁数、入力装置などに合わせて決定するとよい。

この場合、情報処理装置からの第１回目のパスワード入力は、既に説明したステップＳ１〜Ｓ１３、Ｓ１３〜Ｓ３４、Ｓ３４〜Ｓ３５によって処理される、その後、２回目〜５回目のパスワード入力は、既に説明したステップＳ１〜Ｓ１９によって処理され、Ｓ１９ではパスワードが一致しないと判断される。そして、６回目のパスワード入力が処理されるときには、タイマは１０秒を超えていないとする。その６回目のパスワード入力に対する処理は、ステップＳ１〜Ｓ１４までは説明したとおりである。Ｓ１６では、設定されている制限回数５に対して、アクセスカウンタは６になっていると判断し、Ｓ２１に移行する。Ｓ２１では、既に所定の制限回数を超えているため、タイマ計測はこれ以上不要であ、タイマがリセットされて解除される。

Ｓ２２で、アクセス拒否テーブルに、当該アクセスのアクセス管理ＩＤ、ＩＰアドレス、処理日時を登録する。そして、Ｓ２３にて、不正アクセスに関する報知が行われる。この報知とは、管理者の情報処理装置２ａ（図１）への通知である。同時に、画像形成装置１の表示部１４（図２）上にて警告メッセージを表示するとともに、図示しないブザーなどで警告音を発するようにするとよい。そうすると、管理者が不在であっても、他のユーザが代わって対応することができる。そして、Ｓ２６で、アクセス管理テーブルから、該当するアクセス管理ＩＤを持つレコードの削除が行われる。

前記６）の例は、所定の単位時間内に、ユーザが手入力でパスワード入力が可能である回数をしきい値とし、その回数以上のパスワード入力が行われた例であるため、パスワード総当たりツール或いはそれに相当する方法でアクセスを試みた、所謂不正アクセスと判断された例である。

これまでの説明では注釈しなかったが、画像形成装置１はタイマとアクセスカウンタを複数備えており、管理中のアクセス管理ＩＤごとに割り当てる。こうすることによって、複数の情報処理装置からの一連のアクセスを同時に管理することが可能になる。

尚、以上の例では、ＩＰヘッダに含まれるＩＰアドレスで送信元を特定することが前提になっている。しかし、ネットワーク管理者が自由に設定できる、所謂ローカルＩＰアドレスが使用される場合、ユーザがそのＩＰアドレスを変更することは比較的簡単である。一旦アクセス拒否テーブルに登録されている、不正アクセスを行ったＩＰアドレスが変更されて、再度不正アクセスが行われた場合、前記した６）の場合の手順を再度繰り返してアクセス拒否テーブルに再登録することが必要になる。本来、不正アクセスの１回目のアクセスで即座に拒否できるものが、画像形成装置１に不要な負担をかけることになる。

そこで、図１のネットワーク３が全てイーサネット（Ｒ）で構築されている場合、イーサネット（Ｒ）ヘッダがＩＰヘッダに新たに付加されて送信元から送られてくる。このイーサネット（Ｒ）ヘッダに含まれる送信元のＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）は、イーサネット（Ｒ）で通信の制御を行う、例えば図３に示すネットワークコントローラ２９などの所謂ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）に組み込まれたそれぞれに固有のアドレスであり、ユーザが変更できるものではない。

従って、ネットワーク３がイーサネット（Ｒ）であれば、図５〜図７に基づいて説明したＩＰアドレスを全て、ＭＡＣアドレスに変えて本発明を実施することが可能である。そうすると、不正アクセスを行うユーザが、ＩＰアドレスを変更しても、ＭＡＣアドレスは元のままであり、本発明は、そのＭＡＣアドレスを特定してアクセス拒否テーブルに登録するため、画像形成装置１による不正アクセスの検出に無駄がなくなり、その負荷も減らすことが可能になる。また、送信元を特定する装置情報として、情報処理装置に対してユーザが設定した装置名や端末名も利用できる。このように、画像形成装置１が接続されるネットワークの特性と環境に合わせて、送信元を特定する装置情報を選択するとよい。

以上、発明の実施形態を、具体的な画像形成装置１の構成に基づいて説明したが、本発明はこの例示した構成に限定されないことは言うまでもない。また、画像形成装置１の例としてプリンタを取り上げて説明したが、複写機能、ファックス機能などをそれぞれ有したネットワークに接続可能な複写機やファクシミリ装置、或いは、これらの複数の機能を有する複合機であっても、実施できることは明らかである。

また、発明の実施形態を、画像形成装置が保存する画像データに対する不正アクセスを防止する例をあげて説明したが、パスワードによって保護されるデータであれば、画像データのみに限定されるものではなく、画像形成装置の制御データやパラメータ、履歴データ、画像処理の中間データ、印刷ジョブとして情報処理装置から送信されてくる印刷データ、ファクシミリ送信のために情報処理装置から送信されてくるファクシミリデータなど、画像形成装置が処理する範囲のデータであれば、画像データに限定されるものではない。

更に、本発明の実施形態を、パスワードで保護された画像データに対する不正アクセス防止として説明したが、全く同じ構成と方法で、画像形成装置１に対するアクセスに利用することも可能である。つまり、画像形成装置１の操作部１６（図２）を介して、或いは情報処理装置２ａ〜２ｃ（図１）を介して、利用者ＩＤとパスワードで施錠された画像形成装置１自体にアクセスする場合、所謂、画像形成装置１の認証処理として本発明を実施することが可能である。その場合、これまでの説明で画像データを利用者ＩＤに例え、画像データのパスワードをその利用者ＩＤに固有のパスワードに置き換えるとよい。

以上説明したように、本発明を実施すると、画像形成装置にパスワードとともに保存されたデータを、パスワード総当たりツールなどを使用してネットワークを介して行う不正アクセスを防止することが可能になる。

ネットワークに接続された画像形成装置と情報処理装置を示すネットワーク構成例である。 画像形成装置１の構成を示す正面模式図である。 画像形成装置１の制御に係わる構成を示すブロック図である。 画像データと共に保存されるファイル情報の一覧例を示す図である。 画像形成装置１が画像データにアクセスするためパスワードを受信すると登録され、それに連続した２度目以降のアクセスによって順次更新されるアクセス管理テーブルの例を示す図である。 不正アクセスと判断されたパスワード送信元のＩＰアドレスと日時が登録されるアクセス拒否テーブルである。 不正アクセスに対する画像形成装置１の動作手順を記したフローチャートである。

符号の説明

１ 画像形成装置
２ａ〜２ｃ 情報処理装置
３ ネットワーク
４ インターネット網
１１ 原稿自動送り装置
１２ 原稿給送台
１３ スキャナ
１４ 表示部
１５ 操作入力部
１６ 操作部
１７ 給紙部
１８ 画像形成部
１９ 定着部
２０ 後処理部
２０ａ 用紙排出ビン
２１ 制御部
２２ ＣＯＤＥＣ部
２３ 画像メモリ
２４ 記憶装置
２６ 入出力装置Ｉ／Ｆ
２７ プリンタコントローラ
２８ ＦＡＸコントローラ
２９ ネットワークコントローラ
３１ 内部バス
Ｐ 用紙

Claims (5)

1. ＴＣＰ／ＩＰプロトコルを使用して通信が行われるネットワークに接続された画像形成装置内にパスワードとともに保存された画像データに対して、前記ネットワークに接続された情報処理装置からアクセスが行われる場合、前記保存されたパスワードと同一のパスワードが前記情報処理装置から入力されると前記画像データへのアクセスを許可する画像形成装置において、
   前記パスワードを含む入力信号から前記情報処理装置を特定する装置情報を抽出し、同一の装置情報を有する情報処理装置から連続して、所定の単位時間内に所定回数を超えるパスワードの入力が行われた場合、その情報処理装置からのアクセスを拒否することを特徴とする画像形成装置。
2. 前記アクセスが拒否された情報処理装置の装置情報をアクセス拒否テーブルに登録し、該アクセス拒否テーブルに登録された装置情報を有する情報処理装置からパスワードの入力によるアクセスが再度行われる場合、そのアクセスを拒否することを特徴とする請求項１に記載の画像形成装置。
3. 前記アクセスが拒否されると、警報を発することを特徴とすることを特徴とする請求項１または請求項２に記載の画像形成装置。
4. 前記装置情報は、ＴＣＰ／ＩＰプロトコルのＩＰヘッダに含まれるＩＰアドレスであることを特徴とする請求項１乃至請求項３のいずれかに記載の画像形成装置。
5. 前記ネットワークは、イーサネット（Ｒ）規格に基づくネットワークであり、前記装置情報は、イーサネット（Ｒ）プロトコルのイーサネット（Ｒ）ヘッダに含まれるＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）であることを特徴とする請求項１乃至請求項３のいずれかに記載の画像形成装置。

Images