JP2005192198A - 画像処理装置のネットワークシステムにおける安全なデータ伝送 - Google Patents

Abstract

【課題】スキャナ、プリンタ、及びホストコンピュータのいずれかの間で、文書に関連するデジタルデータを安全に伝送する方法および機器を提供する。
【解決手段】送信ステーションで文書ファイルが生成され、ユーザ定義の文字列が、オペレータによってユーザインターフェースに入力され、次に送信ステーションが、ユーザ定義の文字列に基づいて暗号化キーを自動的に形成しそれを用いて文書ファイルを暗号化する。暗号化された文書ファイルを含む送信ファイルは次に、受信ステーションに送信され、そこで、送信ステーションで入力された文字列が受信ステーションのユーザインターフェースに入力されると、暗号化された文書ファイルは、送信ステーションで入力されたのと同じユーザ定義の文字列に基づき復号される。復号されたファイルを処理する以外、入力された文字列の妥当性は調べられないが、誤った文字列が入力された場合、復号の出力は役に立たない。
【選択図】 図２

Description

本発明は、デジタルネットワークによって相互接続されたスキャナ、プリンタ、およびユーザワークステーションのようなホストコンピュータのいずれかの間で、文書に関連するデジタルデータを安全に伝送する方法に関する。

特に、本発明は、
送信ステーションで、
・データソースを介して文書ファイルを生成するステップと、
・オペレータによって、ユーザが定義した文字列を入力するステップと、
・前記ユーザ定義文字列に基づいて、暗号化キーを自動的に形成するステップと、
・前記暗号化キーを用いて、暗号化された文書ファイルを作成するように、前記文書ファイルを暗号化するステップと、
・暗号化された文書ファイルを含む送信ファイルを形成するステップと、
・前記送信ファイルを受信ステーションに送信するステップと、
前記受信ステーションで、
・受信した送信ファイルを格納するステップと、
・オペレータによって、同じユーザ定義文字列を入力するステップと、
・前記ユーザ定義文字列に基づいて、復号キーを自動的に形成するステップと、
・前記復号キーを用いて、前記暗号化された文書ファイルを、復号された文書ファイルに復号するステップとを含む方法に関する。

今日、文書の生成および印刷は、異なる様々なレベルのセキュリティに従わなければならない。さらに、文書の生成とその印刷そのものの間に時間的および空間的な隔たりを導入し得る様々な印刷編成／構成が存在する。このような隔たりには、文書を家で生成し、インターネットを使って職場に送り、そこで印刷すること、文書を作成し、プリンタ内に配置されたハードディスクに格納するなどして、たとえばＯｃｅ´３１６５（商標）のような共用プリンタのメールボックス中にある印刷キューに入れること、実際に印刷した後、印刷された文書の電子版が、ある程度自由にアクセス可能な中間記憶機構および他の様々な記憶機構に一定の時間、たとえば２４時間格納されて残るようにすることなど、様々な側面があり得る。

本発明者は、機密扱いにされ、かつ他の制限を受けた印刷可能情報への権限のないアクセスが最小限に抑えられ、できる限りユーザフレンドリのままであるように、セキュリティを強化する必要性を認識している。また、他のデータ伝送、特に、データベースに格納するために文書および文書ファイルをスキャンすることによって生成されたスキャンファイルなどの文書関連データの伝送は、傍受者が特定の秘密または機密文書の内容にアクセスすることを防止するために、安全でなければならない。

具体的には、欧州特許出願公開第０９２９０２３号明細書が、セッションキーを用いるとともに大容量暗号化アルゴリズムに従って文書が暗号化され、さらにセッションキーが指定受信者の公開キー（ＰＵＫ）を用いて暗号化される、安全な印刷手法を開示している。完全な印刷ジョブが次いで、文書ストアに送られる。受信者は、プリンタに対して認証を行うための自分の秘密キー（ＰＲＫ）を含むいわゆるスマートカードを使用し、プリンタは、カードから識別を取り出して受信者に向けられた文書を探索し、こうした文書は次いで、文書ストアから安全なプリンタに送られ、プリンタは最初に、受信者のＰＲＫを用いてセッションキーを復号し、次いで、復号されたセッションキーを用いて、文書を復号し印刷する。

知られているこの方法は、ある程度のセキュリティをもたらすが、依然として専用の暗号解読技法に対して脆弱である。送信される暗号化された文書ファイルは依然として、文書ファイルを復号するのに使うことができる情報を含む。特に、暗号化されたセッションキーは、送信されたファイルから抽出することができ、比較的短いので、試行錯誤による大規模攻撃によって解読することができる。

さらに、この方法は、個々の文書単位では、比較的柔軟性がない。たとえば、受信者は、物理的な移送を必要とするスマートカードをもたなければならないが、他方では、受信者は、カードをもっていると、想定されたカード保有者に向けられたすべての文書を閲覧することができる。参照した特許は、ただ１つの文書への個別アクセスを可能にしていない。さらに、文書を送信する前に、送信者は、常に可能であるとは限らない指定受信者の識別を知っていなければならない。
欧州特許出願公開第０９２９０２３号明細書

したがって、本発明の目的は特に、プリアンブルに記載した機構のセキュリティレベルを向上させることである。さらに、本発明は、一方における円滑なアクセスおよび文書管理機能と、他方における高いセキュリティレベルの間のトレードオフを行うバランスの良いアプローチを提供する。

したがって、態様の１つによれば、本発明は、どの復号クルーも送信ファイルに組み込まず、前記ユーザ定義文字列のいかなる妥当性検査なしに、受信ステーションで方法ステップを実施することを特徴とする。

したがって、知られている従来技術は一般的に、送信されるファイル自体の中で権限を調べるための復号クルーまたは他の情報を含み、高度な技術を用いることによって原則的に明らかにすることができる情報を傍受者に与えるが、本発明の方法は、このような重大な情報を、送信されるファイルには全く含めない。その結果、復号クルーのみが指定受信者の手中、すなわち前記ユーザ定義文字列中にあるので、どの検査も不要である。指定受信者の権限の調査は、その文字列に基づいて送信ファイルを復号する単純な動作である。文字列が正しいものである場合、文書ファイルは、元の形に復号され、使用準備が整い、文字列が正しいものでない場合、ファイルは、誤った復号キーに基づいて復号され、その結果、プリンタコントローラにより処理可能な形になるとしても、理解不能になる。したがって、多くの場合、エラーメッセージのみがプリンタによって作成される。

本発明は、たとえば、ユーザのワークステーションに格納するためのスキャンファイルなどの、印刷ファイル以外のファイルの安全な伝送方法にも関する。さらに、本発明は、データ処理装置からなるシステムにも関し、このシステムは、データ処理装置の間での、文書に関連するデジタルデータの安全な伝送に適合する。

本発明のさらに有利な態様が、従属請求項に記載される。

以下で、本発明のこうしたおよびそれ以外の特徴、態様、および利点を、本発明の好ましい実施形態の開示を参照して、特に添付の図面を参照してより詳しく説明する。

図１は、本発明の、プリンタの実施形態による手順を示す図である。システムは、ユーザ用の複数のワークステーション１、２、および３と、複数のスキャナ５、６と、１つまたは複数のプリンタ７、８とを備える。スキャナおよびプリンタは、キー１２、１３、１４およびディスプレイ１１などのオペレータ制御手段１０を装備するそれ自体のオペレータ制御ユニット（個別には図示していない）を、可能ならばＰＣなどの、外部のオペレータ制御ユニット６Ａの形で備える。プリンタは、実際には多機能デジタルコピー機（７、８）であり、こうしたコピー機のスキャナは、個別のスキャナ装置として使うこともできる。こうしたすべての要素は、要素が接続されているローカルネットワーク４によって相互接続される。

図２は、本発明のプリンタの実施形態のシステム全体のブロック図を示す。文書ソース２０は、タイプ入力、図面作成、視覚映像の撮像などの、ソース作成のための適切などの項目も表すことができる。そのようにして生成された文書２２は、プリンタドライバ２４に転送される。プリンタドライバ２４は一般的に、作成者のパーソナルコンピュータやワークステーション（１、２、３）などの文書ソースに配置されたソフトウェアモジュールである。検討している構成において、プリンタドライバ２４は、暗号化を正しく実施するのに暗号化キー２８を用いる暗号化手順２６に関連づけられる。ＤＥＳ、ＲＳＡ、およびそれ以外などのこのような様々な手順が、広く使用されている。暗号化キーは、セッション特有であり、後で説明するように、プリンタドライバ内でオペレータによって入力される暗号化文字列に基づく。

ユーザのパーソナルコンピュータなどのソースは一般的に、文書の暗号化バージョンを格納するのに十分な程安全であると考えられる。ソースには、暗号化されていないバージョンも存在し得ることに留意されたい。対象となるＰＣは、オープンな通信ポートを有するので、ある程度脆弱となる。別の変形体は、専用サーバ上に暗号化されたジョブおよびチケットを有することができる。

一般的に完全に暗号化されている印刷データだけでなく、文書は通常、一般的には文書ヘッダと呼ばれるものに含まれる、文書またはその意図された使用の何らかの記述を表すいわゆるメタデータを含む。たとえば、ヘッダは、暗号化されていない所有者および指定ユーザ（同じでもよい）の名前を含むが、暗号化された形でも、平文でも、暗号化文字列自体のどの情報も含まない。

好ましくは、暗号化アルゴリズムによって使用される実際の暗号化キーは、オペレータによって入力される、入力された暗号化文字列の関数である。このような関数の基本的な実施例は、入力された暗号化文字列を標準文字列と連結することによるが、この目的のためのより複雑な関数も可能である。このより複雑な関数の特徴は、ダミー暗号化文字列の入力又はその省略さえもが、それにもかかわらず、暗号化されていないデータが伝送されないことを保証することを意味する。

次に、ジョブチケットまたはヘッダ中の様々なフィールドも暗号化することができるが、文書の部数およびページ数をそれぞれ指定するフィールドなど、ヘッダの特定の指定フィールドは、平文にしておく方がよく、こうしたフィールドは、マルチプリンタシステムにおける経路指定などの計算や他の制御目的などのために、実際の印刷の前に有効に利用することができる。このような計算機能は、図２に示していない中間サーバ上で実施されることができる。所有者名も平文となる。

ただし、ジョブ名は、平文では第１の有用な量の情報を望ましくない当事者に与えるので、平文でない方が好ましい。代わりに、ジョブ名は、所有者自身またはプリンタドライバによって、情報を与えない文字列に変えられることも、日付／時間の混合によって変えられることもできる。

第１の実施形態によれば、ジョブは、上記の暗号化キーの関数を用いて（オペレータが入力した暗号化文字列に基づいて）暗号化され（２６）、続いて、プリンタのメールボックスに転送される。プリンタでは、指定ユーザ名が文書から抽出され、受信者の個人用メールボックス（具体的には図示せず）への信号通知などのために、プリンタメールボックス３０にロードされる。実際の印刷では、ユーザは、メールボックスを作動させて、適切な制御信号３２で文書を選択し、強制ダイアログによる要求に応じて、復号モジュール３４に復号文字列を入力する。線２９に示すように、復号文字列は、暗号化段階２６で使用された暗号化文字列と同一である。プリンタの復号モジュールは、プリンタドライバで使用された、ユーザが入力した暗号化文字列に基づいて暗号化キーを形成するアルゴリズムについての情報をもっており、それに従って復号キーを形成する。

復号文字列の転送は、所有者による実施や、点線で示す接続２９など、接続２７以外のどの適切な通信など、適切などのやり方でも進行することができる。図に示すように、暗号化／復号文字列と文書の間の関係は直接的であり、スマートカードなどの物理中間部は必要なく、このことは、単にそれらに対して暗号化／復号文字列を綴るだけで、印刷ファイルを他者と共有することができるという利点を有する。印刷動作自体には関連しない、復号と印刷の間での組織的な遅れなどの一時的な中間物も存在しない。

暗号化ファイルの実際のネットワーク移送は、暗号化文字列および可能な場合は日時のハッシュ化を通してのような、データブロックの並べ換えによって行うことができる。さらに、データストリームに偽データブロックを擬似ランダム方式で挿入することもできる。擬似乱数ジェネレータ用のシード項目は、暗号化文字列および／または日時に基づくことができる。したがって、傍受者は、最初にデータ列を集め、その後に解読を行わなければならないので、データのセキュリティが大幅に高まる。

復号の直後に、文書が印刷され（３８）、ハードコピー４０の形で使用可能になる。誤った復号文字列が入力された場合、ファイルすべてが印刷可能であるが復号文字列自体が検査されていないと、印刷手順は「ごみ」を生じるだけである。したがって、文書の発生から有効な印刷までの経路全体が、暗号化によって保護されており、望ましくない当事者による悪意のある検査に長時間さらされることはない。他の知られている編成では、このような露出は実際には数時間にもなるが、数秒でも十分にセキュリティにとって有害となり得る。

ある実施形態によれば、ジョブチケットは、入力された復号文字列が正しいものであるかを高速に調べるために、同じ暗号化アルゴリズムによって暗号化された暗号化コード列または「署名」を含むことができる。このようにして、文書の大部分を復号するのではなく「ごみ」が作成されることをそれに基づいて検出するために、ファイルのごく一部を復号することができる。当然ながら、様々な宛先や顧客の間でのような署名の適切な多様化が、セキュリティを向上させる。署名文字列のサイズは、０．１〜１キロバイトの範囲でよいので、印刷ファイル自体よりかなり小さい。

上記の「印刷不可能」の発見には、誤った復号文字列の入力以外の他の何らかの原因がある場合もあり、又は、むしろ、復号文字列が意図せずに間違っていた場合もある。しかしながら、印刷の失敗が確実となるある特定の閾値数は、意図された不正を表し得る。したがって、「ミス」の数が予め定義された閾値数を超えたとき、文書は、プリンタの記憶装置から自動的に削除される。この閾値数は、調節可能でよく、このような失敗した印刷のいくつかまたはすべてを、記録し、及び／又は報告することができる。

既に説明した本発明の利点以外にも、以下の利点を挙げることができる。文書は、印刷の直前まで暗号化されている。したがって、プリンタのハードディスクを物理的に取り除いても、セキュリティを侵害することにはならない。印刷ジョブは、印刷のために、元々指定されていたのとは異なる位置に危険なしに（再）経路指定されることもできる。上述した特徴以外にも、いわゆるセキュアソケットの適用により、侵害者に対する防御のためのさらなる境界線を実施することができる。

本発明の第２の実施形態によれば、実際の印刷コマンドを受信するまで、印刷ジョブの暗号化された印刷データの伝送を少なくとも一部分送らせることによって、上で検討したものよりも一層高度なセキュリティが達成される。有利には、印刷データではなく、ユーザ名および何らかの文書識別のみを含む最小限のチケットが伝送される。ユーザが、プリンタで報告しジョブを選択した場合のみ、正しい文書データおよびチケットの残りの部分が取得される。こうすることにより、信頼できる環境の外で文書によって費やされる時間期間がさらに最小限に抑えられる。また、文書は、実際の印刷が何らかの理由で先に行われたとき、プリンタで永久に記憶されるのではない。しかしながら、この実施の軽微な欠点は、文書の転送により、印刷コマンドを受信した後の印刷がある程度遅れることである。

上記の「ジャストインタイム」手順の変形形態は、実際の印刷コマンドを受信する前に、暗号化された文書の、２分の１などの一部分のみが転送されることである。残りは、暗号化された状態でソース機構側にある。選択方法は、そのようにして転送された文書部分が、詐称者に有用な情報を提示しないようなものである。本発明者は、受信機に届かなければならない各バイトの最初の半分などの、各バイトの固定部分を取り出し、各バイトのその部分のみを送り、それ以外の部分は保持しておくことが非常に有用な選択アルゴリズムであると考える。暗号化文字列を入手しても、プリンタ上にある文書部分は復号することができない。この特徴により、印刷を要求するときの転送時間が、文書全体を隠しておくときと比べて、約２倍短縮される。符号化された文書の他の部分を隠しておくことも可能であり、このような各選択は、一定のトレードオフをもたらす。分割は、特定の各バイト（または他の情報要素）の分割を行う追加パラメータの制御下で、外見的には予測不可能に行うことができる。実際、暗号化文字列に関連するアルゴリズムは、ビット列を生じるが、このうち１のビット列は転送を制御し、ゼロのビット列はビットまたは部分的なバイトの隠蔽を制御する。隠蔽に付随する利点は、プリンタでの記憶要求が少ないことである。

最小限のチケットを送信するさらに別の変形形態は、ソースに安全な文書が存在することを信号通知するだけである。この場合、各文書は、暗号化文字列の他に、識別子コードを必要とする。印刷動作を要求する際、最初に、識別子がプリンタで提示されなければならない。ソースに文書がないことは、文書名をさらに保護するために記録され、その代償として、プリンタとソースの間の余分な対話が要求される。

図３は、本発明で使用するための、ビット列として効果的に示した文書形式を示す。文書は、左側のヘッダで始まる。第１の部分５０は、たとえば、暗号化、文書サイズなどで文書を分類するための、下位レベル編成に関する。ブロック５２は、所有者および／または指定受信機などの、文書の編成上の側面を指定する。上述したように、この情報は、好ましくは暗号化されない。ブロック５４は、好ましくは上述したように暗号化されている、文書の名称または他の識別およびそれ以外のこのような情報を列挙する。ブロック５６は、印刷自体とは異なる独自の目的に役立つことができる限り暗号化されないことが好ましいアカウンティングおよび制御情報を列挙する。最後に、ブロック５８は、文書自体の暗号化されたデータを含む。

図４および５は、暗号化手順に関する。図４は、ユーザのワークステーションの表示画面で表示される第１のプリンタドライバウィンドウ７０を示し、画面のほとんどの要素は、ＷＩＮＤＯＷＳ（登録商標）環境において標準的である。特に、セキュリティフィールド７１を示してある。本発明によるセキュリティが必要ない場合、ユーザは、印刷パラメータを選択し、「ＯＫ」をクリックすることができる。セキュリティが必要な場合、ユーザは、セキュリティフィールド７１をチェックしなければならず、表示は図５に変わる。図５は、図４のセキュリティフィールド７１をクリックした後の、ユーザのワークステーションの表示画面で表示される第２のウィンドウ７２を示す。ウィンドウ７２は、ユーザに、暗号化文字列フィールドに記入するよう促し、左側にローカルな「ＯＫ」を示す。

図４および５にさらに示すように、片面および両面、ステープルありまたはなしの選択、文書への表紙の追加、画像品質の選択、印刷部数、ならびに他の様々なパラメータなど、様々な印刷パラメータを選択することができる。ここで、独自スタイルの遵守、経済性、および他の様々な理由のため、集中化方式によって個々のユーザのレベルでプリンタドライバの印刷機能を制御することが考えられる。本発明の状況では、想定される強制は、セキュリティの強制、および、たとえば暗号化文字列の最小の長さを含むが、他の使用例には、両面印刷の強制、メールボックスの強制、特定のフォントの文字サイズの強制使用（視覚障害者用には比較的大きいサイズが認められる）、プリンタドライバの完全な使用禁止、ファイルへの印刷の禁止、活動中のディレクトリなどのファイルへの印刷用の明示的なファイル位置指定などがある。様々なユーザが、より広範な機能および／または機構をもつことができる。

特に有利な実施形態は、ＩＴマネージャに、それぞれのユーザ用にプリンタドライバを指定する様々な側面を格納する中央データベースを与えることである。中央データベースは、ＩＴマネージャのために対話の複雑さを大幅に低減させる、規則に基づくシステムとして実装することができる。ここで、プリンタドライバは、各印刷ジョブの提出に対して、または毎朝などのように周期的に、データベースに接続して、その現在の構成を調べる。ドライバがポップアップすると、ドライバは、現在の仕様に従ってそのユーザインターフェースおよびユーザ機能を適合させる。サーバに到達することができない場合、プリンタドライバの実際の設定がデフォルトとして使われるか、あるいは、印刷がしばらくの間阻止される。この実施形態の利点は、たとえば一定の時間／日付のタイムスケジュールに従って、または瞬間的に緊急事態が起きたときなどでも、許可がリアルタイムに変わり得ることである。上記のデータベースは、集中させることも、あるいは各プリンタまたはプリンタ位置で複製されることもできる。

後者のバージョンは、そのプリンタ自体を含めることもでき、後者はデータベース中で定義された許可への適合のために実際のジョブチケットを調べる。これは、ＩＴマネージャのポリシーを強制する。特に、セキュリティ選択肢が強制されると、プリンタは、暗号化されていないどの印刷ファイルも自動的に削除することができる。

暗号化された印刷ファイルが、プリンタ位置で印刷のために選択されると、オペレータは、強制ダイアログを介して、操作パネルで（暗号化文字列と同一である）復号文字列を入力するよう要求される。次に、プリンタは、入力された文字列を使ってファイルに復号アルゴリズムを適用し、入力された文字列が正しい場合、復号されたファイルは使用可能となり、プリンタはファイルを印刷することができる。しかし、入力された文字列が正しくない場合、ファイルは印刷可能とならず、プリンタは、ローカルディスプレイにそのように示す。ユーザは次いで、ローカルにキャンセルし再試行することも、印刷を完全にキャンセルすることもできる。

ソースまたはワークステーション位置から開始する、第２の実施形態による印刷動作全体は、ここで以下のようにまとめられる。
・ユーザが、文書の印刷を望む（文書内容は準備が整っていると想定される）。
・プリンタドライバが、文書の暗号化に使われた暗号化文字列を求める。
・ドライバが、文書を暗号化し、ローカルなワークステーションディスクにそれを格納する。
・対象のワークステーションにおいて安全なユーザジョブが待機していることを示すために、プリンタドライバが、選択されたプリンタに、最小限のチケット、および適用可能な場合には、暗号化された文書の一部も送信する。
・ユーザが、プリンタ装置で報告し、認証し、自分のジョブのリストを入手する。
・ユーザが、安全なジョブを選択し、最小限のチケットを受信したＩＰアドレスによって識別された装置のみが、ジョブデータの残りを取得することができる。
・プリンタが、「オペレーティングシステムのスワッピング」を非活動化し、これ以降、（揮発性）メモリ内でのみ活動化し、こうすることによって、文書の非暗号化バージョンまたはキーがディスク上のスワップファイルに出現することを防止する。
・プリンタが、ジョブデータの残りを取得する。
・プリンタが、復号文字列を入力するようユーザに要求する。
・プリンタが、メモリ中の文書を復号し、使用準備が整っている文書を印刷する。
・プリンタが、メモリから文書を削除し、「オペレーティングシステムのスワッピング」を再活動化する。

別の実施形態では、暗号化文字列の形成用に使われたユーザ定義文字列は、ユーザによって入力されたものではなく、ユーザから採取された網膜スキャンや指紋スキャンなどの生体特性から自動的に導出されたものである。ユーザワークステーションおよびプリンタ両方が、指紋スキャナ（図示せず）などの、生体特性を測定する装置を含み、この装置は、生体データを測定し分析し、そこからデータ列を導出する。このデータ列は次いで、暗号化キーの形成に用いられる。

ユーザが文字列を入力する要求は、指紋スキャナにユーザの指を置くなどの、適切な生体特性をスキャンする要求で置き換えられる。あるいは、ユーザワークステーションは、予め安全な場所にユーザの生体特性（または生体特性に基づく文字列）を格納し、それを暗号化のために使うこともできる。

この実施形態は、ユーザが文字列を記憶する必要がないという利点を有する。

上述した安全な手順は、有利には、スキャン用などの、他の文書関連ファイル転送に利用することもできる。一般的に、スキャンは、図１にスキャナ装置５、６、または多機能装置７、８のスキャナモジュールで示すようにネットワーク接続されたシステムにおいて実施され、スキャンデータは次いで、ネットワーク４を介して指定されたユーザワークステーション１、２、３に送信される。スキャンデータは、最初にスキャナまたはサーバに関連づけられたローカルなデータ記憶装置に暗号化された形で格納され、次いで、ユーザワークステーションによって取得されることもできる。

図６は、本発明の、スキャナの実施形態による手順のブロック図を示す。物理的な文書１２２は、スキャナ原稿台、またはそれに関連づけられた文書供給機に置かれ、同時に暗号化文字列１２８がスキャナのユーザインターフェースに入力される。次いで、ブロック１２５で、スキャナが文書をスキャンし、スキャン処理によって生成された文書ファイルを、上記のプリンタドライバ用に説明したのと同じやり方で、暗号化文字列１２８に基づいた暗号化キーを用いてすぐに暗号化する。暗号化された文書ファイルは、スキャナに格納され（１２６）、オペレータのワークステーションなど、指定された宛先に送信される（１３０）。

次いで、指定受信者は、ワークステーション中の復号モジュール１３４のユーザインターフェースに暗号化文字列１２８を入力することができ、それに対して、暗号化された文書ファイルは、使用できる状態の文書ファイル１４０に復号される（１３４）。

上記のスキャナアプリケーションの第１の実施形態では、暗号化されたスキャンファイルは、スキャンジョブの初期化時にスキャナオペレータによって指定された宛先ワークステーションに、スキャナによって自動的に送信される。本実施形態では、ワークステーションが動作可能であり、スキャンファイルが到着するのを待機していることが前もって必要な条件である。暗号化された文書ファイルは、生成された直後に送信されるので、「パブリック」ドメインに短時間だけ存在することが利点である。

スキャナアプリケーションの第２の実施形態では、暗号化されたスキャンファイルは、スキャナディスクに格納され、ワークステーションに取得されるまで待つ。ワークステーションをスキャンサーバに接続し、スキャンサーバ記憶装置内のファイルを選択し、選択されたファイルを安全な接続を介して宛先ワークステーションに転送するウェブアプリケーションが広く知られている。転送されたスキャンファイルは次いで、上述の方法で復号されることができる。

以上、好ましい実施形態を参照して本発明が開示された。添付の特許請求の範囲を超えることなく、数多くの修正および変更が行われ得ることが当業者には理解されよう。したがって、こうした実施形態は、例示とみなされるべきであり、そうした実施形態から、特許請求の範囲に列挙した以外の制限は意図されるべきでない。

プリンタ、スキャナ、およびワークステーションを有するネットワークシステムを示す図である。 本発明の、プリンタの実施形態による手順を示すブロック図である。 本発明で使用する文書形式を示す図である。 対象とする印刷システムで表示される第１の画面を示す図である。 対象とする印刷システムで表示される第２の画面を示す図である。 本発明の、スキャナの実施形態による手順を示すブロック図である。

符号の説明

１、２、３ ワークステーション
４ ローカルネットワーク
５、６ スキャナ
７、８ プリンタ
１０ 制御手段

Claims (19)

1. デジタルネットワークによって相互接続されたスキャナ、プリンタ、およびユーザワークステーションのようなホストコンピュータのいずれかの間で、文書に関連するデジタルデータを安全に伝送する方法であって、
   送信ステーションで、
   データソースを介して文書ファイルを生成するステップと、
   オペレータによって、ユーザが定義した文字列を入力するステップと、
   前記ユーザ定義文字列に基づいて、暗号化キーを自動的に形成するステップと、
   前記暗号化キーを用いて、暗号化された文書ファイルを作成するように、前記文書ファイルを暗号化するステップと、
   暗号化された文書ファイルを含む送信ファイルを形成するステップと、
   前記送信ファイルを受信ステーションに送信するステップと、
   前記受信ステーションで、
   受信した送信ファイルを格納するステップと、
   オペレータによって、同じユーザ定義文字列を入力するステップと、
   前記ユーザ定義文字列に基づいて、復号キーを自動的に形成するステップと、
   前記復号キーを用いて、前記暗号化された文書ファイルを復号された文書ファイルに復号するステップとを含み、
   どの復号クルーも送信ファイルに組み込まず、前記ユーザ定義文字列のいかなる妥当性検査なしに、受信ステーションで方法ステップを実施することを特徴とする方法。
2. 送信ステーションで、
   文書ファイルに関連したメタデータを含むがどの復号クルーも含まない、第１の部分および第２の部分を有する追加ファイルを形成することと、
   文書ファイルの暗号化に使われたのと同じ暗号化キーを用いて、追加ファイルの前記第１および第２の部分の一方のみを暗号化することと、及び、
   送信ファイルを形成するステップにおいて、送信ファイルに追加ファイルも含めることとをさらに含む請求項１に記載の方法。
3. 送信ステーションが、送信ファイルを２つの部分に分割し、最初に送信ファイルの１つの部分のみを受信ステーションに送信し、
   オペレータが前記送信ファイルを選択すると、受信ステーションが、送信ファイルの残りの部分を送信するための要求を送信ステーションに送る請求項１または２に記載の方法。
4. 送信ステーションが、基本データ項目のレベルについて効果的な分割アルゴリズムを用いて、送信ファイルを分割する請求項１、２、または３に記載の方法。
5. 送信ステーションが、ブロック置換などによって、送信されるファイルをスクランブルする請求項３に記載の方法。
6. 送信ステーションが、要求を行う受信ステーションの識別を調べ、要求ステーションが認証された場合のみ、要求された送信ファイル部分を送信する請求項３に記載の方法。
7. 受信ステーションが、送信ファイルの復号、および揮発性メモリのみにある復号された文書ファイルのどの処理も実施する請求項１に記載の方法。
8. 受信ステーションが、オペレータによって、前記復号文字列を入力するローカルなユーザインターフェースを有するプリンタである請求項２に記載の方法。
9. 前記プリンタが、追加ファイルの暗号化されていない部分を抽出し、そこに含まれるデータを用いて、ローカルなユーザインターフェースで、関連する文書ファイルを、オペレータによって印刷のために選択されるように提示する請求項８に記載の方法。
10. 送信ステーションが、安全な印刷データ伝送のための任意選択による設定を有するプリンタドライバを含み、安全なデータ伝送が強制的に選択されるように、ネットワークの中心から、どの任意選択セキュリティ設定も支配することを更に含む請求項８に記載の方法。
11. 送信ステーションが、最初に、追加ファイルの暗号化されていない部分のみをプリンタに送信し、
    受信ステーションが、暗号化されていない部分に含まれるデータを用いて、関連する文書ファイルを、さらなる処理のためにオペレータによって選択されるようにローカルなユーザインターフェースで提示し、
    オペレータが文書ファイルを選択すると、受信ステーションが、関連する送信ファイルを送信するための要求を送信ステーションに送る請求項３または８に記載の方法。
12. 前記送信ステーションが、ローカルなユーザインターフェースを有するスキャナであり、スキャン処理に先立って暗号化文字列を入力するようオペレータに要求する請求項２に記載の方法。
13. スキャナ、プリンタ、又は、ユーザワークステーションのようなホストコンピュータなどの、少なくとも２つの画像処理装置を含み、そのような装置の間で文書に関連するデジタルデータを安全に伝送するように適合されたシステムであって、
    オペレータによって、ユーザが定義した文字列を入力するユーザインターフェースと、
    前記ユーザ定義文字列に基づいて、暗号化キーを自動的に形成するキー形成装置と、
    前記暗号化キーを用いて、暗号化された文書ファイルを作成するように、前記文書ファイルを暗号化する暗号化モジュールと、
    暗号化された文書ファイルを含む送信ファイルを形成するファイル形成装置と、
    前記送信ファイルを受信ステーションに送信する送信機と、
    を含む送信ステーション、及び、
    送信ステーションから送信ファイルを受信する受信機と、
    受信した送信ファイルを格納する記憶ユニットと、
    オペレータによって、ユーザ定義文字列を入力するユーザインターフェースと、
    前記ユーザ定義文字列に基づいて、復号キーを自動的に形成する第２のキー形成装置と、
    前記復号キーを用いて、前記暗号化された文書ファイルを復号された文書ファイルに復号する復号モジュールと、
    を含む受信ステーションとを備え、
    受信ステーションが、前記受信ステーションのユーザインターフェースで入力された前記ユーザ定義文字列の妥当性を検査するどの手段も含まないことを特徴とするシステム。
14. 送信ステーションが、
    文書ファイルに関連したメタデータを含むがどの復号クルーも含まない、第１の部分および第２の部分を有する追加ファイルを形成するモジュールをさらに含み、
    暗号化モジュールが、文書ファイルの暗号化に使われたのと同じ暗号化キーを用いて、追加ファイルの前記第１および第２の部分の一方のみも暗号化し、
    前記ファイル形成装置が、送信ファイルに追加ファイルを含める請求項１３に記載のシステム。
15. 送信ステーションが、送信ファイルを２つの部分に分割するファイル分割装置を含み、
    前記送信機が、最初に送信ファイルの１つの部分のみを受信ステーションに送信し、
    受信ステーションが、受信ステーションのユーザインターフェースにおいて送信ファイルをオペレータが選択すると、送信ファイルの残りの部分を送信するために、要求を送信ステーションに送る要求装置を含む請求項１３または１４に記載のシステム。
16. 復号された文書ファイルを処理するために指定された受信ステーションの復号モジュールおよびどのモジュールも、揮発性メモリ中でのみ動作する請求項１３に記載のシステム。
17. 受信ステーションがプリンタである請求項１３から１６のいずれか一項に記載のシステム。
18. 送信ステーションが、受信ステーションへの印刷データの前記安全な伝送に使うため以外の選択肢を残さないようにプログラミングされることができるプリンタドライバを含む請求項１７に記載のシステム。
19. 送信ステーションがスキャナである請求項１３から１７のいずれかに記載のシステム。

Images