JP2005348250A - 画像形成装置、データ暗号化方法、プログラム及び記録媒体 - Google Patents

Abstract

【課題】 例えばデジタル複合機等の画像形成装置内において保持されるデータに対するセキュリティの向上を図る。
【解決手段】 ジョブデータ５０４ａを共通鍵５０１aを用いて暗号化するとともに、その共通鍵５０１ａを公開鍵５０２を用いて暗号化し、暗号化されたジョブデータ５０４ｂと暗号化された共通鍵５０１ｂとを関連付けて格納する。ジョブデータ５０４ｂの印刷処理時には、公開鍵５０２に対応する秘密鍵５０３を保持するＩＣカード１０００に対して共通鍵５０１ｂを送信し、秘密鍵５０３を用いて復号化された共通鍵５０１ｂをＩＣカード１０００から取得し、復号化された共通鍵５０１ａを用いてジョブデータ５０４ｂを復号化する。
【選択図】 図５

Description

本発明は、例えばデジタル複合機等の画像形成装置内に保持されるデータのセキュリティ向上に供する技術に関するものである。

従来、コピー機能、プリンタ機能、ファクシミリ機能等の複数の機能を併せ持つデジタル複合機（マルチファンクションペリフェラル）では、単にコピー機能、ファクシミリ機能、プリンタ機能だけではなく、ハードディスクドライブのような２次記憶装置を有することによって、受け付けたジョブのイメージデータを２次記憶装置に保管し、ユーザの必要に応じてネットワークを介してホストコンピュータに送信したり、印刷を行う機能を有する。ハードディスクドライブの中を複数の入れ物（ボックス）に見せて管理することから、このようなジョブをボックスジョブと呼んでいる。ボックスジョブは個々のボックスに関連付けられ、ボックスジョブはボックスの所有者にのみアクセス可能である。また、特許文献１には、複写機等の画像形成装置においてボックス内の文書を暗号化可能なものが開示されており、ボックス内の文書を指定して暗号化ボタンを押下することにより、所望の文書を暗号化するものである。

特開２００３−２４２００５号公報

近年、セキュリティに対する関心が高まり、オフィスで使われるデジタル複合機においても個々の機能がセキュリティの観点から使用に耐えうることが要求されている。ボックスジョブの使用においては、秘匿性の高い機密情報の保管に使用するとした場合、そのイメージデータはハードディスクドライブのような２次記憶装置に記録されて保持されているが、不正な攻撃者がデジタル複合機に物理的に作用可能である場合、ハードディスクドライブの抜き取りおよびデータの磁気的、電気的な解析により容易に機密情報が暴露される危険性があった。

そこでボックスジョブのイメージデータをＤＥＳ(Data Encryption Standard)やＡＥＳ(Advanced Encryption Standard)などの共通鍵暗号方式によって暗号化してからハードディスクドライブに書き込むことにより、ボックスジョブの秘匿性を保障する方式が考えられる。この際、第１の問題点として暗号鍵をどう管理するかが重要となってくる。暗号鍵をハードディスクドライブに保持しておけばハードディスクの抜き取りによって暗号鍵が暴露が可能となり、ボックスジョブのイメージデータはたやすく復号化され、暗号化の意味がなくなる。暗号鍵をハードディスクドライブではなくＳＲＡＭ(Static Random Access Memory)などの不揮発性メモリに格納しておくことも可能であるが、デジタル複合機のハードウェアに関与できるの攻撃者であればやはり暗号鍵は暴露されてしまう可能性は拭えない。

そこで、本発明の目的は、例えばデジタル複合機等の画像形成装置内において保持されるデータに対するセキュリティの向上を図ることにある。

本発明の画像形成装置は、共通鍵を用いてデータを暗号化する共通鍵暗号化手段と、公開鍵を用いて前記共通鍵を暗号化する公開鍵暗号化手段と、前記公開鍵に対応付けられ、前記共通鍵暗号化手段により暗号化された前記データと、前記公開鍵暗号化手段により暗号化された前記共通鍵とを関連付けて格納するデータ格納手段と、前記公開鍵に対応する秘密鍵を保持する外部装置に対して前記データ格納手段に格納される前記共通鍵を送信し、前記秘密鍵を用いて復号化された前記共通鍵を前記外部装置から取得する第１の通信手段と、復号化された前記共通鍵を用いて前記データを復号化する共通鍵復号化手段とを有することを特徴とする。

本発明のデータ暗号化方法は、画像形成装置によるデータ暗号化方法であって、共通鍵を用いてデータを暗号化する共通鍵暗号化ステップと、公開鍵を用いて前記共通鍵を暗号化する公開鍵暗号化ステップと、前記公開鍵に対応付けられ、前記共通鍵暗号化ステップにより暗号化された前記データと、前記公開鍵暗号化ステップにより暗号化された前記共通鍵とを関連付けて格納手段に格納するデータ格納ステップと、前記公開鍵に対応する秘密鍵を保持する外部装置に対して前記データ格納手段に格納される前記共通鍵を送信し、前記秘密鍵を用いて復号化された前記共通鍵を前記外部装置から取得する通信ステップと、復号化された前記共通鍵を用いて前記データを復号化する共通鍵復号化ステップとを含むことを特徴とする。

本発明のプログラムは、前記データ暗号化方法をコンピュータに実行させることを特徴とする。

本発明のコンピュータ読み取り可能な記録媒体は、前記プログラムを記録したことを特徴とする。

本発明によれば、公開鍵を保持することができるため、データを当該画像形成装置に投入する度に公開鍵を設定する必要がなく、データ投入の度に当該データを暗号化した共通鍵を、保持される公開鍵を用いて自動的に暗号化することが可能となり、ユーザの可用性を向上させることができる。

本発明の他の特徴によれば、データを復号化するための共通鍵が公開鍵によって暗号化され、その暗号化された共通鍵を復号するための秘密鍵が外部装置内に保持されているので、データとともに共通鍵、公開鍵が奪われた場合でも、秘密鍵は別のところで管理されており、データを復号化することができず、高いセキュリティを保つことができる。

以下、本発明を適用した好適な実施形態を、添付図面を参照しながら詳細に説明する。

先ず、図５を用いて以下に説明する本発明の実施形態を概略的に説明する。図５に示すように、本発明の実施形態に係るコピーデジタル複合機（以下、デジタル複合機と称す）は、ボックスに投入されるイメージデータ（ジョブデータ）５０４ａに対し、内部で発生させる乱数から生成する共通鍵５０１ａを用いて暗号化し、２次記憶装置であるＨＤＤ（ハードディスク）内に格納する。その一方で、デジタル複合機は、共通鍵５０１ａを公開鍵５０２を用いて公開鍵暗号化を施す。この公開鍵５０２はボックス登録時においてＩＣカード１０００の挿入により当該ＩＣカード１０００から取得される公開鍵５０２であり、当該ボックスの属性を持たせて同じくＨＤＤ内に格納される。これにより、当該ボックスにジョブを投入する度に公開鍵５０２をＩＣカード１０００から取得する必要なく、ジョブ投入の度に自動的に共通鍵５０１ａがこの公開鍵５０２によって暗号化されることになる。

次に、投入されたジョブの印刷処理を行う際には、ＩＣカード１０００を当該デジタル複合機に挿入し、暗号化された共通鍵５０１ｂをＩＣカード１０００に渡すことによってＩＣカード１０００から秘密鍵５０３を用いて復号化された共通鍵５０１ａを取得することができる。続いて、デジタル複合機は、復号化された共通鍵５０１ａを用いてジョブデータ５０４ｂを復号化し、復号化されたジョブデータ５０４ａに係る印刷処理を実行することとなる。このように、本実施形態に係るデジタル複合機は、ジョブデータ５０４ｂを復号化するための共通鍵５０１ａが公開鍵５０２によって暗号化され、その暗号化された共通鍵５０１ｂを復号するための秘密鍵５０３はＩＣカード１０００内に保持されているため、ＨＤＤが抜き取られるようなことがあっても、ジョブデータ５０４ｂを復号化することができず、高いセキュリティを保つことができる。

図１は、本発明の一実施形態に係るデジタル複合機の構成を示すブロック図である。図１において、１００はデジタル複合機、１０１はプリンタ機能として外部から印刷データ（ジョブデータ）の受信を行ったり、各種ネットワーク上でのやりとりに使われるインタフェース、１０２はインタフェースから送られるリクエストのうち、印刷データを受け取る受信部、１０３は印刷データに含まれるＰＤＬ（Page Description Language）を解釈してイメージデータを作成するＰＤＬ解釈部、１０４はコピー機能或いはスキャナ機能を利用する際に、実際の原稿から光学的にパターンを読み取るスキャン部、１０５はＰＤＬ解釈部１０３やスキャン部１０４によって生成されたイメージデータをボックスに登録するイメージ登録部である。

１０６は印刷指示によりボックスジョブの印刷を行うボックス印刷部である。１０７はユーザに操作手段を提供する操作パネルである。１０８はＩＣカードを制御するＩＣカード制御部である。１０９は新規にボックスの情報を登録するために使われるボックス登録部である。１１０はボックス名称などボックスに関する情報を格納するボックス情報格納部である。１１１はボックスに投入するイメージデータを既知の共通鍵暗号化技術を用いて暗号化するボックス暗号部である。

１１２はボックスに格納するイメージデータを記録するハードディスクドライブなどの２次記憶装置から構成されるボックスイメージ格納部である。１１３はボックスイメージ格納部１１２に格納された暗号化されたイメージデータを復号するボックス復号部である。１１４はボックス情報格納部１１０に格納された情報が正当なものか検証を行うボックス検証部である。１１５はＩＣカードに対するインタフェースを提供するＩＣカードＲ／Ｗ（リーダライタ）部である。１１６は電子写真などの既知の印刷技術を用いて実際の用紙に印刷する印刷エンジンである。

次に、本実施形態において利用されるＩＣカードについて説明する。図１０はＩＣカードの構成を示すブロック図である。

図１０において、１０００はＩＣカード本体、１００１は接触型のＩＣカードＲ／Ｗ部１１５とのコネクタであり、例えばＩＥＥＥ−７８１６で定義されている規格に従った端子が使用される。１００２は端子との通信を行う通信部である。１００３はＩＣカード１０００の動作を制御するＣＰＵである。１００４はＣＰＵ１００３の動作を制御するプログラムが収められているＲＯＭ(Read Only Memory)である。

１００５はＩＣカード１０００にアクセスするＰＩＮ(Personal Identification Number)コードが収められた不揮発メモリである。１００６はＩＣカード１０００が保有する公開鍵が収められた不揮発性メモリである。１００７はＩＣカードが保有する秘密鍵が収められた不揮発性メモリである。

１００５〜１００７は物理的に同じメモリ装置にあっても構わない。また、コネクタ１００１は接触型を想定しているが、無線を使用した非接触式のものを適用してもよい。ＩＣカードＲ／Ｗ部１１５との通信はコネクタ１００１を介して行われ、通信部１００２によって行われる。通信部１００２はＣＰＵ１００３と直接接続されるため、ＣＰＵ１００３を介さずに他のメモリ領域にアクセスすることはできない。

ＣＰＵ１００３はＲＯＭ１００４内のプログラムに従って動作し、それによれば、ＰＩＮコードの入力を行い、認証に成功しなければＩＣカード１０００内部のメモリにアクセスすることはできないようになっている。また、認証が成功した場合、公開鍵をＩＣカード１０００の外部に持ち出すことは自由に可能だが、秘密鍵はカードの外部に出ることはなく、当該ＩＣカード１０００の公開鍵で暗号化されたデータは、ＩＣカード１０００に送られ、ＩＣカード１０００の内部で復号化した結果のみが外部に返される。この仕組みによってＩＣカード１０００の公開鍵方式の堅牢性を確かなものにしている。

次にボックスジョブの用法について説明する。ボックスジョブとは、ハードディスクドライブなどの大容量の２次記憶装置を用いてスキャナで読み込まれたジョブやホストから印刷指定された印刷ジョブをデジタル複合機の内部に永続的に保管し、ユーザの要求により送信、加工、印刷を可能とするジョブを示し、ボックスジョブを階層的に管理する１個以上の入れ物をボックスと呼んでいる。ボックスもまた２次記憶装置のファイルシステムを用いて論理的かつ永続的に保管されている。ボックスの管理情報やボックスに格納されているボックスジョブの属性情報はボックス情報格納部１１０に格納され、ボックスジョブの実体であるイメージデータはボックスイメージ格納部１１２に保管されている。ボックス情報格納部１１０およびボックスイメージ格納部１１２は実際にはハードディスクドライブなどの２次記憶装置上に配置されているのはいうまでもない。

ボックスを使用したい際には、予めボックスに対する登録作業が必要となる。図7はボックス印刷画面（ＧＵＩ）を示す図である。

図７において、７１０はデジタル複合機の現在の機能表示を示す機能タブであり、強調されているボックス印刷が現在選択されていることを示している。７００はボックス印刷を示すウィンドウ名であり、７０１はボックス名称を示し、７０２においてボックス名称が「第１設計室」であることを示している。なお、７０２はボックスに名前が割り当てられていない場合、新規で名称を入力することが可能である。７０３は当該ボックスに登録されているジョブの名称のリストが表示される。またリストの数が多く、画面に収まりきらない場合は７０４のスクロールバーを利用して上下に移動することが可能である。７０３に表示されているジョブを操作パネル上で押下することにより、反転表示し、選択することが可能である。７０５は７０３で選択したジョブの印刷指示を行うボタンである。７０６はボックスに登録されている公開鍵が正当なものかどうかを検証する検証ボタンである。７０７は新規にボックスを登録するボタンであり、ボックスが使用されていないとき、即ちボックス名称が登録されていないときに新たにボックスを登録できる。７０７はボックス登録部１０９の動作に連動している。

図２はボックス登録部１０９の動作の流れを示すフローチャートである。ボックス登録部１０９はデジタル複合機１００が起動されるとともに、起動し、以降電源遮断まで処理を継続する。

ボックス登録部１０９は起動されるとステップＳ２０１において操作パネル１０７が表示する図７のボックス印刷画面における新規登録ボタン７０７が押下されたかどうかの判断を行い、押下されない場合はステップＳ２０１に戻る。押下された場合はステップＳ２０２においてボックス名称の入力を促すダイアログメッセージを表示する。図７において７０２が空欄となっており、ユーザはここにボックスの名称を入力することが可能である。

さらに、ボックス登録部１０９は、ステップＳ２０３においてＩＣカード制御部１０８に問い合わせ、ＩＣカードＲ／Ｗ部１１５にＩＣカード１０００が挿入されているかどうかを調査し、挿入されていない場合にはステップＳ２０４においてＩＣカード１０００の挿入を促すダイアログメッセージを表示する。ＩＣカード１０００が挿入されたら、ボックス登録部１０９は、ステップＳ２０５においてＩＣカード１０００に対するアクセス権を得るためのＰＩＮ(Personal Identification Number)認証がされているかを確認する。もしＰＩＮ認証が済んでいない場合には、ステップＳ２０６において入力ダイアログを表示し、ＰＩＮ入力を促す。ＰＩＮ入力結果はＩＣカード制御部１０８、ＩＣカードＲ／Ｗ部１１５を通じてＩＣカード１０００に渡され、ＩＣカード１０００内部で認証が行われる。なお、ＩＣカード１０００の運用によってはＰＩＮ認証不要としているものもあり、この場合は最初からＰＩＮ認証済みと見なして処理を継続する。

認証が成功すると成功結果がボックス登録部１０９に返却され、ステップＳ２０７においてＩＣカード１０００が保持している公開鍵を取得してくる。通常、公開鍵はX.509のデジタル証明書形式で提供される。公開鍵をボックス情報格納部１１０に格納し、当該ボックスへの関連付けをしておく。以降、当該ボックスに投入されるボックスジョブは全て公開鍵を用いた暗号化が行われる。

次にボックスにボックスジョブを登録する処理について説明する。デジタル複合機においては様々な方法でボックスジョブの登録の方法があるが最初にプリンタとしてボックスジョブを登録する場合について説明する。

プリンタとして使用する場合、不図示のホストコンピュータから印刷データの送信が行われる。図８はホストコンピュータで印刷を行う際に表示されるプリンタドライバのダイアログ（ＧＵＩ）を示す図である。図８において、通常印刷を行う場合は即時印刷指定となるが、８０１のプルダウンメニューにより、指定を「印刷」から「保存」に選択することによって、当該印刷をボックスジョブの投入に切り替えることができる。この際、投入するボックスのボックス番号の入力も要求される。プリンタドライバによってボックスジョブの指定が行われると、ホストコンピュータから送信される印刷ジョブには属性情報としてボックスジョブである旨の情報が付加される。印刷ジョブはデジタル複合機１００のインタフェース１０１を介して受信部１０２に投入され、ＰＤＬ解釈部１０２によりイメージデータが作成され、イメージ登録部１０５により前記属性情報によりボックスジョブであることが認識され、ボックスに登録される。

次にスキャンした画像をボックス登録する方法について説明する。図９はボックス保管の画面（ＧＵＩ）を示す図である。図９において、９００はボックス保管を示すウィンドウ名であり、９０１はデジタル複合機の現在の機能表示を示す機能タブであり、強調されているボックス保管が現在選択されていることを示している。９０２はデジタル複合機１００が保持している複数ボックスのリストであり、９０６はボックスに割り振られたボックス名称であることを示す。なお１画面に収まらない場合は、９０３のスクロールバーを用いることにより表示するボックスリストを変更することが可能である。９０４は光学読み取り装置から構成されたスキャン部１０４に対して読み込み指示を行うボタンである。９０５は、スキャン部１０４に対して読み込みの取り消しを指示するボタンである。スキャン部１０４が読み込みを行うと、読み込まれたイメージデータはイメージ登録部１０５によってボックスに登録される。

図３はイメージ登録部１０５の動作の流れを示すフローチャートである。イメージ登録部１０５はデジタル複合機１００の動作とともに起動し、以降電源遮断まで処理を継続する。

図３において、イメージ登録部１０５は、ステップＳ３０１ではボックス格納すべきイメージデータが存在するかどうかを調べる。これは上記で述べた、印刷ジョブがＰＤＬ解釈部１０３によって生成されたイメージデータか、スキャン部１０４によって読み込まれたイメージデータがある場合にＹｅｓとなってステップＳ３０２に遷移し、イメージデータがない場合はループの先頭に戻る。

ステップＳ３０２においては、対象となるボックスに公開鍵があるかないか問い合わせる。公開鍵がない場合、当該イメージデータはステップＳ３０９において平文で格納される。公開鍵がある場合は当該イメージデータは暗号化され格納される。実際のイメージデータの暗号化に際しては、パフォーマンスの観点から処理速度の遅い公開鍵による公開鍵暗号方式は直接使用せず、ステップＳ３０３において乱数発生から共通鍵を生成し、ステップＳ３０４においてイメージデータをこの共通鍵で共通鍵暗号化し、ステップＳ３０５で暗号化されたイメージデータをボックスイメージ格納部１１２に格納する。

続いて、イメージ登録部１０５は、ステップＳ３０６においてボックス情報格納部１１０から当該ボックスに関連付けられた公開鍵を取得し、ステップＳ３０７においてステップＳ３０３で生成した共通鍵、すなわち乱数を公開鍵を用いて公開鍵暗号化する。そして、ステップＳ３０８において、暗号化された共通鍵がボックス情報格納部１１０に格納される。この状態で、ハードディスクドライブのような２次記憶装置がデジタル複合機１００から抜き取られた場合、ボックス情報格納部１１０とボックスイメージ格納部１１２が漏洩する。しかしながら、ボックス情報格納部１１０には公開鍵そのものと公開鍵で暗号化した共通鍵が保管され、ボックスイメージ格納部１１２には共通鍵で共通鍵暗号化されたイメージデータが格納されているという構成により、いずれも秘密鍵を保持していないために公開鍵で暗号化された共通鍵を復号化することができず、そのためイメージデータも復号化できないので、イメージデータを漏洩から守ることが可能となる。さらにイメージ登録に際して、予め登録しておいた公開鍵を使用するので、ボックスジョブ投入に際してＩＣカードを必要とせず、ユーザの可用性を向上させることが可能としている。

次にボックスに格納されたボックスジョブの印刷について説明する。図４はボックス印刷部１０６の動作の流れを示すフローチャートである。

ボックス印刷部１０６はデジタル複合機１００の起動とともに起動し、以降電源遮断まで処理を継続する。図４において、ステップＳ４０１では操作パネル１０７から印刷指示がされたか確認する。もし印刷指示がなければループの先頭に戻る。ここで図７において、７０３で該当ジョブを選択反転させ、７０５の印刷ボタンを押下することによって印刷指示があったものと認識することが可能である。

さらに、ボックス印刷部１０６は、ステップＳ４０２においてＩＣカード制御部１０８に問い合わせ、ＩＣカードＲ／Ｗ部１１５にＩＣカード１０００が挿入されているかどうかを調査し、ＩＣカード１０００が挿入されていない場合にはステップＳ４０３においてＩＣカード１０００の挿入を促すダイアログメッセージを表示する。ＩＣカード１０００が挿入されたら、ボックス印刷部１０６は、ステップＳ４０４において、ＩＣカード１０００に対するアクセス権を得るためのＰＩＮ(Personal Identification Number)認証がされているかを確認する。もしＰＩＮ認証が済んでいない場合にはステップＳ４０５において入力ダイアログを表示し、ＰＩＮ入力を促す。ＰＩＮ入力結果はＩＣカード制御部１０８、ＩＣカードＲ／Ｗ部１１５を通じてＩＣカード１０００に渡され、ＩＣカード１０００内部で認証が行われる。なお、ＩＣカード１０００の運用によってはＰＩＮ認証不要としているものもあり、この場合は最初からＰＩＮ認証済みと見なして処理を継続する。認証が成功すると成功結果がボックス印刷部１０６に返却される。

次に、ボックス印刷部１０６は、ステップＳ４０６においてボックス情報格納部110から選択されたボックスジョブの公開鍵で暗号化された共通鍵を取得する。これは図３のステップＳ３０８のプロセスで格納されたものである。ボックス印刷部１０６は、暗号化された共通鍵をステップＳ４０７においてＩＣカードに送信し、ＩＣカードが保持する秘密鍵を用いて公開鍵復号化される。復号化された共通鍵を用いてステップＳ４０８においてイメージデータが共通鍵復号化される。ボックス印刷部１０６は、その結果の平文のイメージデータをステップＳ４０９において印刷エンジン１１６に送出して実際の用紙に印刷を行わせる。

以上のように、本実施形態によれば、ボックスジョブのイメージデータは共通鍵で暗号化され、共通鍵はさらにＩＣカード１０００の公開鍵によって暗号化されているため、デジタル複合機自体だけではボックスジョブを盗むことができず、高いセキュリティを保つことが可能となる。また、ボックス生成時にＩＣカード１０００から公開鍵をダウンロードするだけで、ボックスジョブ投入自体にはＩＣカード１０００が不要となり、高い可用性を保つことが可能となる。

上述した説明では、ハードディスクドライブなどの２次記憶装置の抜き取りに対するセキュリティ対策は可能であるが、公開鍵の入れ替えによるなりすまし問題があるため、以下にその対処方法について説明する。

図１において、ボックス情報格納部１１０には当該ボックスの公開鍵が格納されているが、不正な攻撃者がＨＤＤに対して作用できると考えた場合、もともと入っている正当なユーザの公開鍵の変わりに自分の公開鍵を入れておくことにより、その後投入された正当なユーザのジョブが誤って不正な攻撃者の公開鍵で暗号化されてしまう。そうなってしまっては、不正ユーザが所有するＩＣカードを用いてボックス印刷を実行することが可能で、イメージデータを暴露されてしまう。そこでユーザが操作パネルを用いて、定期的に公開鍵の入れ替えができないかをチェックすることが可能である。

図６はボックスが保持する公開鍵の検証を行うボックス検証部１１４の動作の流れを示すフローチャートである。ボックス検証部１１４はデジタル複合機１００とともに処理を開始し、以降電源遮断とともに処理を継続する。

ボックス検証部１１４は、ステップＳ６０１において操作パネル１０７から検証操作がなされたかどうかを確認する。もしなければループの先頭に戻る。図７における検証ボタン７０６が押下されるとステップＳ６０３に進み、ボックス検証部１１４はＩＣカード制御部１０８に問い合わせ、ＩＣカードＲ／Ｗ部１１５にＩＣカード１０００が挿入されているかどうかを調査し、ＩＣカード１０００挿入されていない場合にはステップＳ６０４においてＩＣカードの挿入を促すダイアログメッセージを表示する。ＩＣカード１０００が挿入されたらステップＳ６０５において、さらにＩＣカード１０００に対するアクセス権を得るためのＰＩＮ(Personal Identification Number)認証がされているかを確認する。もしＰＩＮ認証が済んでいない場合にはステップＳ６０６において入力ダイアログを表示し、ＰＩＮ入力を促す。

ＰＩＮ入力結果はＩＣカード制御部１０８、ＩＣカードＲ／Ｗ部１１５を通じてＩＣカード１０００に渡され、ＩＣカード１０００内部で認証が行われる。なお、ＩＣカードの運用によってはＰＩＮ認証不要としているものもあり、この場合は最初からＰＩＮ認証済みと見なして処理を継続する。認証が成功すると成功結果がボックス検証部１１４に返却され、ステップＳ６０７においてＩＣカード１０００から公開鍵を取得する。ステップＳ６０８において、ボックス情報格納部１０００に格納されている当該ボックスの公開鍵と比較を行う。ここで、ボックス情報格納部１１０が２次記憶装置抜き取りにより改ざんがされている場合には、一致が取れていないため、ステップＳ６１１において不一致であることを表示する。一致である場合にはステップＳ６１０において一致であることを表示する。

このように、公開鍵がＩＣカード１０００とボックス情報格納部１１０で一致していることを確認する検証手段があるため、ユーザは任意のタイミングで公開鍵の改ざんを調査することが可能となり、よりセキュリティが向上する。

上記ボックス検証部１１４は、ユーザが任意のタイミングで実行可能であるが、検証作業を忘れる可能性があるため、デジタル複合機１００は定期的に検証を促すようにしてもよい。表示はボックスジョブの投入時やボックスジョブの印刷実行時で、表示タイミングは前回の検証実施時間から一定時間が経ってからか、前回のボックスジョブの検証から数回の印刷実行時でもよい。また、時間や印刷回数はパネルで設定しておくことも可能である。

また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。

この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、プログラムコード自体及びそのプログラムコードを記憶した記憶媒体は本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。

また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ(基本システム或いはオペレーティングシステム)などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

本発明の一実施形態に係るデジタル複合機の構成を示すブロック図である。 ボックス登録部１０９の動作の流れを示すフローチャートである。 イメージ登録部の動作の流れを示すフローチャートである。 ボックス印刷部の動作の流れを示すフローチャートである。 本発明の実施形態の概略を説明するための図である。 ボックスが保持する公開鍵の検証を行うボックス検証部の動作の流れを示すフローチャートである。 ボックスの印刷画面を示す図である。 ホストコンピュータで印刷を行う際に表示されるプリンタドライバのダイアログを示す図である。 ボックス保管の画面を示す図である。 ＩＣカードの構成を示すブロック図である。

符号の説明

１００：デジタル複合機
１０１：インタフェース
１０２：受信部
１０３：ＰＤＬ解釈部
１０４：スキャン部
１０５：イメージ登録部
１０６：ボックス印刷部
１０７：印刷パネル
１０８：ＩＣカード制御部
１０９：ボックス登録部
１１０：ボックス情報格納部
１１１：ボックス暗号部10
１１２：ボックスイメージ格納部
１１３：ボックス復号部
１１４：ボックス検証部
１１５：ＩＣカードＲ／Ｗ部
１１６：印刷エンジン
５０１ａ、５０１ｂ：共通鍵
５０２：公開鍵
５０３：秘密鍵
５０４ａ、５０４ｂ：イメージデータ（ジョブデータ）
１０００：ＩＣカード
１００１：コネクタ
１００２：通信部
１００３：ＣＰＵ
１００４：ＲＯＭ
１００５：ＰＩＮ格納部
１００６：公開鍵格納部
１００７：秘密鍵格納部

Claims (8)

1. 共通鍵を用いてデータを暗号化する共通鍵暗号化手段と、
   公開鍵を用いて前記共通鍵を暗号化する公開鍵暗号化手段と、
   前記公開鍵に対応付けられ、前記共通鍵暗号化手段により暗号化された前記データと、前記公開鍵暗号化手段により暗号化された前記共通鍵とを関連付けて格納するデータ格納手段と、
   前記公開鍵に対応する秘密鍵を保持する外部装置に対して前記データ格納手段に格納される前記共通鍵を送信し、前記秘密鍵を用いて復号化された前記共通鍵を前記外部装置から取得する第１の通信手段と、
   復号化された前記共通鍵を用いて前記データを復号化する共通鍵復号化手段とを有することを特徴とする画像形成装置。
2. 前記公開鍵を保持する公開鍵保持手段を更に有し、
   前記公開鍵暗号化手段は、前記公開鍵保持手段に保持される前記公開鍵を用いて前記共通鍵を暗号化することを特徴とする請求項１に記載の画像形成装置。
3. 印刷データを外部より受信する第２の通信手段と、
   前記第２の通信手段により受信された前記印刷データに基づいて、前記共通鍵暗号化手段による暗号化処理の対象となる前記データを生成するデータ生成手段とを有することを特徴とする請求項１又は２に記載の画像形成装置。
4. 原稿上に記録される画像データを読み込むスキャン手段と、
   前記スキャン手段により読み込まれた前記画像データに基づいて、前記共通鍵暗号化手段による暗号化処理の対象となる前記データを生成するデータ生成手段とを更に有することを特徴とする請求項１又は２に記載の画像形成装置。
5. 前記公開鍵格納手段に保持される前記公開鍵と、前記外部装置から取得される公開鍵とが一致するかを検証する検証手段を更に有することを特徴とする請求項２に記載の画像形成装置。
6. 画像形成装置によるデータ暗号化方法であって、
   共通鍵を用いてデータを暗号化する共通鍵暗号化ステップと、
   公開鍵を用いて前記共通鍵を暗号化する公開鍵暗号化ステップと、
   前記公開鍵に対応付けられ、前記共通鍵暗号化ステップにより暗号化された前記データと、前記公開鍵暗号化ステップにより暗号化された前記共通鍵とを関連付けて格納手段に格納するデータ格納ステップと、
   前記公開鍵に対応する秘密鍵を保持する外部装置に対して前記データ格納手段に格納される前記共通鍵を送信し、前記秘密鍵を用いて復号化された前記共通鍵を前記外部装置から取得する通信ステップと、
   復号化された前記共通鍵を用いて前記データを復号化する共通鍵復号化ステップとを含むことを特徴とするデータ暗号化方法。
7. 請求項６に記載のデータ暗号化方法をコンピュータに実行させるためのプログラム。
8. 請求項７に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。

Images