JP2006053714A - 機密情報管理システム - Google Patents

Abstract

【課題】機密情報の分散化を図り、クライアントからアクセスされるサーバに保持される情報のセキュリティを確保。
【解決手段】第１のサーバは、例えばクライアントから送信される情報を複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成手段を有する第１の秘密分散処理部と、分割された第１の電子割符情報を格納する第１の記憶手段とを有する。第２のサーバは、分割された第1の電子割符情報と第２の電子割符情報を統合処理する統合処理手段を有する第２の秘密分散処理部と、分割された第２の電子割符情報を格納する第２の記憶手段とを有する。クライアントからの要求に応じてＷＥＢサーバをアクセスするに際して、第２の秘密分散処理部の統合処理手段は、第１の記憶手段から得た第１の電子割符情報と、第２の記憶手段から得た第２の電子割符情報とを統合処理して元の情報を復元する。
【選択図】 図１

Description

本発明は機密情報管理システムに係り、特に、クライアントからネットワークを介してサーバにアクセスして機密情報を取得するシステムにおける電子割符技術の利用による機密情報の管理に関するものである。

ＰＣ等のような端末装置からインターネット等のネットワークを介してリモートサイトにあるサーバにアクセスして、機密情報をダウンロードしたり、或いはプロバイダのサイトにアクセスして電子商取引等を行なうことが日常的に行なわれている。
このようなネットワークを利用したシステムにおいて、サーバに管理されている情報には機密保持が必要である場合が多い。一般的に機密情報に対しては、パスワードによってアクセス権を設定したり、機密情報を暗号化することによって、漏洩の防止を図っている。

しかしながら、アクセス権の設定による情報の保護は、パスワードのハッキング等で漏洩する恐れがある。また、情報を暗号化してセキュリティを保護している場合でも、暗号が解読される可能性があり、機密情報が復元される恐れがある。時として、サーバを所有している組織の内部から、これらの機密情報やそれを解読するための情報が漏れることがある。

ところで、電子情報のセキュリティを確保するための技術として、電子割符を用いることが知られている。電子割符とは、ファイルを暗号化して複数に分割しておき、復号化時に分割された全てのものが揃わなければ元のファイルを復元することが不可能な暗号化技術である。例えば、特開２００３−１３２２３４公報（特許文献１）には、電子割符の利用例として、サーバマシンに備えた電子割符生成手段により電子情報の残りの保留部分Ｘを複数の割符情報Ｙiに分割してそれぞれ別の通信路を通してユーザマシンに送付し、ユーザマシンに備えた電子割符復元手段によって復元する技術が開示されている。

特開２００３−１３２２３４公報

然るに、特許文献１に開示された内容は、インターネットを用いたサーバマシンとユーザマシンにおける電子情報の取引への電子割符の適用に関する基本的な原理であって、これには、例えばクライアントとリモートサイトのサーバで割符情報がどのように生成され、どのように管理されるかについては、具体的に開示されていない。

本発明の目的は、機密情報の分散化を図り、クライアントからアクセスされるサーバに保持される情報のセキュリティを確保することにある。
本発明の他の目的は、電子割符の技術を利用して機密情報を複数のサーバに分散して保存し、漏洩のリスクを軽減した機密情報管理システムを提供することにある。

本発明は、ネットワークを介してクライアントからの要求をリモートサイトに送信し、その要求に応じたデータをＷＥＢサーバから取得するシステムにおいて、クライアントからの要求を解析してＷＥＢサーバから関連するデータを取得する第２のサーバと、ネットワークを介してクライアント及び第２のサーバに接続される第１のサーバを含み、第１のサーバは、ある情報を複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成手段を有する第１の秘密分散処理部と、分割された第１の電子割符情報を格納する第１の記憶手段を有し、
第２のサーバは、分割された第1の電子割符情報と第２の電子割符情報を統合処理する統合処理手段を有する第２の秘密分散処理部と、分割された第２の電子割符情報を格納する第２の記憶手段と、を有する秘密分散システムである。
好ましくは、上記第１の秘密分散処理部の電子割符生成手段は、クライアントからの要求に応じて、クライアントから送信される情報を対象として電子割符情報の生成処理を行う。

本発明は、また、ネットワークを介してクライアントからの要求をリモートサイトに送信し、要求に応じたデータをＷＥＢサーバから取得するシステムにおいて、クライアントからの要求を解析してＷＥＢサーバから関連するデータを取得する第２のサーバと、ネットワークを介して第２のサーバと接続される第１のサーバを含み、第１のサーバは、ある情報を複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成手段を有する第１の秘密分散処理部と、分割された第１の電子割符情報を格納する第１の記憶手段を有し、
第２のサーバは、分割された第1の電子割符情報と第２の電子割符情報を統合処理する統合処理手段を有する第２の秘密分散処理部と、分割された第２の電子割符情報を格納する第２の記憶手段を有し、
クライアントからの要求に応じてＷＥＢサーバをアクセスするに際して、第２の秘密分散処理部の統合処理手段は、第１の記憶手段から得た第１の電子割符情報と、第２の記憶手段から得た第２の電子割符情報とを統合処理して元の情報を復元する秘密分散システムである。

好ましくは、前記第１及び第２の記憶手段は、分割された第１及び第２の電子割符情報を、利用者に付与されたＩＤに関連付けて記憶し、かつ、クライアントからＷＥＢサーバをアクセスする時に、ＷＥＢサーバから得たクライアントのＩＤに対応する第１の電子割符情報および第２の電子割符情報を第１及び第２の記憶手段から得て、統合処理手段は両者の電子割符情報を統合処理する。
また、好ましい例では、第１のサーバは、前記第１の秘密分散処理部によって分割処理に係わった情報をログとして格納する記憶手段を有し、第２のサーバは前記第２の秘密分散処理部によって統合処理に係わった情報をログとして格納する記憶手段を有する。
また、好ましい例では、第２のサーバは、特定のＩＤを持つ特定のクライアントからのアクセスを許容し、特定のクライアントから指定された他のＩＤに関連して第１及び第２の記憶手段に格納されている第１及び第２の電子割符情報を得て、統合処理手段によって両者の電子割符情報を統合処理し、復元された元の情報を特定のクライアントへ送信する。
一例では、前記第１及び第２の記憶手段は、クライアントからの要求を解析し、又はクライアントに対する応答を中継するための処理を行う第１のサーバにおける第１のリモートプロキシ、及び第２のサーバにおける第２のリモートプロキシにそれぞれ設けられる。
本発明は、上記秘密分散システムにおいて使用される第１のサーバ、及び２のサーバ、更には第１又は第２のリモートプロキシの新規な構成も新規な発明として把握する。

本発明に係る秘密情報の処理方法に関して、好ましくは、ネットワークを介してクライアントからの要求をリモートサイトに送信し、要求に応じたデータをＷＥＢサーバから取得するシステムにおける秘密情報の処理方法であって、ネットワークを介してクライアント及びリモートサイトと接続される第１のサーバにおいて、ある情報を電子割符生成手段によって複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成ステップと、分割された第１の電子割符情報を第１の記憶手段に格納するステップと、を有し、ネットワークを介して第１のサーバと接続されると共に、ネットワークを介してクライアントから送られる要求を解析してＷＥＢサーバから関連するデータを取得する第２のサーバにおいて、分割された第1の電子割符情報と第２の電子割符情報を統合処理手段で統合処理するステップと、分割された第２の電子割符情報を第２の記憶手段に格納するステップと、を有する情報処理方法として把握され得る。
また、好ましくは、本発明は、ネットワークを介してクライアントからの要求をリモートサイトに送信し、要求に応じたデータをＷＥＢサーバから取得するシステムにおける秘密情報の処理方法であって、ネットワークを介してクライアントとリモートサイトに接続される第１のサーバにおいて、ある情報を電子割符生成手段によって複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成ステップと、分割された第１の電子割符情報を第１の記憶手段に格納するステップと、を有し、クライアントからの要求を解析してＷＥＢサーバから関連するデータを取得する第２のサーバにおいて、分割された第1の電子割符情報と第２の電子割符情報を統合処理手段で統合処理するステップと、分割された第２の電子割符情報を第２の記憶手段に格納するステップと、を有し、クライアントからの要求に応じてＷＥＢサーバをアクセスする時、統合処理手段によって第１の電子割符情報と第２の電子割符情報とを統合処理して元の情報を復元する情報処理方法である。
本発明は、また上記方法を、前記第１のサーバ又は第２のサーバで実行するためのプログラムとして把握され得る。

本発明によれば、電子割符によって分割された複数の機密情報を複数のサーバに分散して保存するので、漏洩のリスクを軽減できる。

以下、図面を参照して、本発明の一実施例について具体的に説明する。
図１は一実施例による機密情報管理システムの構成を示す。
このシステムを構成するリモートサイト１とローカルサイト２は、インターネットやＷＡＮ（Wide Area Network）等のネットワーク９１を介して接続され、両者の間で例えばＨＴＴＰに基づいた通信が可能である。また両サイト１と２の間にはネットワーク９１を介して中継サーバ６が介在する。このシステムにおける基本的な動作としては、ローカルサイト２にあるクライアントＰＣ（パーソナルコンピュータ）２０から発せられるＨＴＴＰにより、中継サーバ６を経由してリモートサイト１にあるＷＥＢサーバ１３をアクセスして、ＷＥＢサーバ１３から目的とするデータを取得して、クライアントＰＣ２０へＨＴＴＰの応答として送信する。

リモートサイト１には、ＷＥＢ情報を格納する大容量の記憶装置を有するＷＥＢサーバ１３、及びブラウザ１５１を有するクライアントＰＣ１５が含まれる。更に、本実施例に特徴的なこととして、リモートサイト１は、秘密分散リモートプロキシサーバ（以下単にプロキシサーバという）１０、及び復号履歴を格納する復号履歴ログＤＢ１２を有する。クライアントＰＣ１５は、例えば企業内の管理者など特定の人が使用するものであり、例えば利用者の個人情報や復号履歴ログをアクセスする権限を有している。ここで復号履歴ログについては、後述するが、秘密分散リモートプロキシ１１で電子割符情報の統合化処理が行なわれた時に、それに係わる情報をログの対象とする意味からこのように呼ぶことにする。

プロキシサーバ１０は、ネットワーク９１との接続や情報の通信を行うためのソフトウェアであるリモートプロキシ１１を有し、このリモートプロキシ１１には秘密分散処理機能が具備される。詳細については後述するが、この秘密分散処理機能は、機密情報を秘密分散により分割、統合する処理を行う電子割符機能及びその統合機能であり、ここでは秘密分散リモートプロキシ（Ｒ−ＰＲＯＸＹ）１１と言う。このリモートプロキシ１１は、この機能を実現するプログラムをプロセッサで実行することにより所期の動作をする。

また、特徴的な構成として、中継サーバ６は、秘密分散リモートプロキシサーバ（以下単にプロキシサーバという）６０、及び分割履歴をログとして格納する分割ログＢＤ６２を有する。このプロキシサーバ６０も同様にして、ネットワーク９１との接続や情報の通信を行うためリモートプロキシ１１に、秘密分散処理機能を有する。ここで分割履歴ログについては、後述するが、秘密分散リモートプロキシ６１で秘密情報を分割して電子割符情報を生成する処理が行なわれた時に、それに係わる情報をログの対象とする意味からこのように呼ぶ。

ローカルサイト２にあるクライアント２０は、例えば、ＰＣ或いはモバイルなどの端末装置である。図には１台のＰＣがネットワーク９１に接続された例を示しているが、一般的には複数のＰＣが接続される。ＰＣ２０は、ブラウザ２１を有する。ブラウザ２１は、ＷＥＢサーバ１３等から取得したＷＥＢ情報等を閲覧するためのアプリケーションソフトであり、ネットワーク９１を通してＨＴＭＬ形式のファイルや画像ファイル等を受信して、レイアウトを解析して再生し、ＰＣ２０の表示器に表示する。

次に図２を参照して、機密情報管理システムにおける中継用のプロキシサーバ６０、及びリモートサイト１のプロキシサーバ１０の機能について説明する。
リモートサイト１のプロキシサーバ１０は、秘密分散リモートプロキシ１１を有する。秘密分散リモートプロキシ１１は、基本処理部１１１、機密情報登録・更新部１１２、ＨＴＴＰ要求解析部１１３、ＨＴＴＰ要求中継部１１４、ＨＴＴＰ応答中継部１１５、秘密分散処理部１１６、及びログ処理部１１７を有している。

基本処理部１１１は、初期設定の処理や子スレッドの作成等の基本的な処理を行う。機密情報登録・更新部１１２はクライアントＰＣ２０からの要求に応じて機密情報の登録及び更新の処理を行う。
ＨＴＴＰ要求解析部１１３は、クライアント２０又は１５から送信されるＨＴＴＰ要求を解析する。解析の結果、要求の内容に応じて例えばＷＥＢサーバ１３から要求された情報を取得する。
ＨＴＴＰ要求中継部１１４は、クライアント２０又は１５からのＨＴＴＰ要求を中継して、他のアプリケーションやＷＥＢサーバ１３へ転送する。
ＨＴＴＰ応答中継部１１５は、ＷＥＢサーバ１３から取得されたファイルをクライアント２０又は１５へ送信するために中継する。

秘密分散処理部１１６は、電子割符の技術によって対象とする情報を複数の電子割符情報に分割する電子割符生成手段、及び複数に分割された電子割符情報を統合処理して元の情報を復元する統合処理手段を有する。
ログ処理部１１７は、秘密分散処理部１１６で、電子割符情報の統合処理が行なわれた時に、それに係わる情報を復号履歴ログとして取得して復号ログＤＢ１２へ格納するための処理を行う。

尚、図示してないが、リモートプロキシサーバ１０には、分割された一方の電子割符情報（後述する第２の電子割符情報Ｂ１）を格納するための記憶手段が備えられる。この記憶手段はソフトウェアとしての記憶機能であってもよいし、半導体メモリ或いはハードディスク装置のような記憶機能であってもよい。

中継サーバ６において、プロキシサーバ６０は秘密分散リモートプロキシ６１を有し、この秘密分散リモートプロキシ６１は、基本処理部６１１、機密情報登録・更新部６１２、ＨＴＴＰ要求解析部６１３、ＨＴＴＰ要求中継部６１４、ＨＴＴＰ応答中継部６１５、秘密分散処理部６１６、及びログ処理部６１７を有する。
ここで、基本処理部６１１は、初期設定の処理や子スレッドの作成等の基本的な処理を行う。

機密情報登録・更新部６１２はクライアントＰＣ２０からの要求に応じて機密情報の登録及び更新の処理を行う。
登録は、新しい機密情報が送信されて来た場合に行なわれる処理であり、更新は既に登録済みの機密情報を変更する場合に行なわれる処理である。更新処理は、利用者のＩＤに関連付けられた電子割符情報の内容が変わる場合に行なわれることがあり、この場合には変更された電子割符情報が対応するＩＤの前の情報に上書きさることで、既登録の秘密情報が更新される。

ＨＴＴＰ要求解析部６１３は、クライアントＰＣ２０から送信され受信したるＨＴＴＰ要求を解析する。解析の結果、要求の内容に応じて例えばＨＴＴＰ要求中継部６１４にＨＴＴＰ要求を渡す。ＨＴＴＰ要求中継部６１４は、ＨＴＴＰ要求解析部６１３から受けたＨＴＴＰ要求を中継してリモートサイト１のプロキシサーバ１１へ送信する。ＨＴＴＰ応答中継部６１５は、リモートサイト１から送信されるＨＴＴＰ応答を受信し、これを中継してローカルサイト２のクライアントＰＣ２０へ送信する。

秘密分散処理部６１６は、電子割符の技術によって対象とする情報を複数の電子割符情報に分割する電子割符生成手段、及び複数に分割された電子割符情報を統合処理して元の情報を復元する統合処理手段を有する。

この例では、電子割符生成手段は、クライアントＰＣ２０から送信され受信した機密情報例えばＷＥＢサーバ１３を利用する利用者の個人情報を２つに分割処理して、第１の電子割符情報Ａ１と、第２の電子割符情報Ｂ１を生成する。尚、電子割符により分割する数は２つに限らず一般に複数であればよい。
尚、図示してないが、リモートプロキシサーバ６０には、分割された第１の電子割符情報Ａ１を格納するための記憶手段が備えられる。この記憶手段はソフトウェアとしての記憶機能であってもよいし、半導体メモリ或いはハードディスク装置のような記憶装置であってもよい。

また、ログ処理部６１７は、秘密分散処理部６１６で、電子割符情報への分割処理が行なわれた時に、それに係わる情報を分割履歴ログとして取得して分割ログＤＢ６２へ格納するための処理を行う。

次に、図３を参照して、機密情報管理システムにおける機密情報の登録処理シーケンスについて説明する。図３は、ＰＣ２０の利用者が自分のＩＤ及びパスワードを機密情報として登録するための処理シーケンスを示す図である。

クライアントＰＣ２０のブラウザ２１から登録要求の指示が出ると、この要求は、ネットワーク９１を介して直接、リモートサイト１のリモートプロキシサーバ１０へ送信される。
リモートプロキシサーバ１０のリモートプロキシ１１では、ＨＴＴＰ要求中継部１１４でそのＨＴＴＰ要求を中継して、それをＷＥＢサーバ１３へ送信する（Ｓ３０１）。ＷＥＢサーバ１３では、ＨＴＴＰ要求に応じて、例えば機密情報の登録要求の場合には、ＤＢ（図示せず）から登録フォームを読み出して、それを応答としてプロキシサーバ１０へ送信する。

プロキシサーバ１０のリモートプロキシ１１では、ＨＴＴＰ応答中継部１１５により受信した登録フォームをＨＴＴＰ応答として中継して、それをクライアントＰＣ２０へ送信する（Ｓ３０２）。

クライアントＰＣ２０では、ブラウザ２１の制御によって、ＨＴＴＰ応答として受信された登録フォームを表示器に表示する。
図６に登録画面の一例を示すように、登録画面には利用者である会員に付与されたＩＤ毎に、会員の名前、住所等の情報の入力項目がある。必要な項目が全て入力されて「ＯＫ」キーが操作されると、ＩＤ及び上記入力された情報（即ち会員の個人情報）は、機密情報として中継サーバ６へ送信される。尚、会員のＩＤやパスワードは、図６の画面以前に入力済みであるとする。
ここで、電子割符の対象となる秘密情報は、予め定めて置くこともでき、また利用者により選択的にその指定を可能とすることもできるが、ここでは図６の登録画面に入力された全ての個人情報が秘密情報の対象とされるものとする。

中継サーバ６のリモートプロキシ６１において、秘密分散処理部６１６の電子割符生成手段により、会員の個人情報を２つに分割処理して、電子割符情報ＡとＢを生成する（Ｓ３０３）。尚、電子割符情報の生成は、通常知られている技術を用いて実現できる。また、ここでは電子割符により分割される情報のサイズは等分割とするが、分割のサイズを異ならせることも可能である。
分割された一方の電子割符情報Ａは、機密情報登録・更新部６１２の制御に従ってリモートプロキシ６１内のメモリに形成されたテーブルに登録される（Ｓ３０４）。この場合、電子割符情報Ａは利用者のＩＤに関連付けて格納される。

分割された他方の電子割符情報Ｂは、リモートプロキシサーバ１０へ送信される。リモートプロキシ１１では、機密情報登録・更新部１１２の制御に従ってリモートプロキシ１１内のメモリに形成されたテーブルに、利用者のＩＤに関連付けられて他方の電子割符情報Ｂが登録される（Ｓ３０５）。
更に、利用者のＩＤはＷＥＢサーバ１３へ送信され、ＷＥＢサーバ１３の利用者テーブル（図示せず）に登録される（Ｓ３０６）。

このようにして一連の登録処理が終了すると、ＷＥＢサーバ１３からリモートプロキシサーバ１０へは登録完了を示す応答が返信される（Ｓ３０７）。また、リモートプロキシ１１では、機密情報登録・更新部１１２からの登録完了の応答を待つと共に、ＷＥＢサーバ１３からの登録完了の応答を受信し、ＨＴＴＰ応答中継部１１５がそれらの完了応答を中継して、中継サーバ６へ送信する（Ｓ３０８）。
中継サーバ６のリモートプロキシ６１では、ＨＴＴＰ応答中継部６１５が完了応答を中継して、それをクライアントＰＣ２０へ送信する（Ｓ３０９）。
クライアントＰＣ２０では、登録完了の応答を受信すると、ブラウザ２１がそれを表示画面に表示する。これにより利用者は一連の登録が完了したことを知る。

次に、図４を参照して、機密情報管理システムにおける機密情報の閲覧の処理動作について説明する。
この例で、閲覧とは、例えば企業やＷＥＢプロバイダ等の組織内の管理者が社員や利用者等の秘密情報をアクセスして参照する動作を言う。これはリモートサイト１内にあるクライアントＰＣ１５から秘密情報を取得することにより行なわれる。利用者の秘密情報は電子割符情報Ａ，Ｂに分割されて、中継サーバ６のプロキシサーバ６０と、リモートサイト１のプロキシサーバ１０に保管されているので、両方のサーバからそれぞれの電子割符情報を取得して、これらを統合して復元処理した後に、クライアント１５で参照される状態になる。

以下、その動作フローについて詳しく述べる。
まず、クライアント１５からリモートプロキシサーバ１１に対して情報を閲覧するための要求を出す。リモートプロキシ１１のＨＴＴＰ要求解析部１１３は、クライアント１５からの要求を解析し、その結果それを中継してＷＥＢサーバ１３へ送信する（Ｓ４０１）。
ＷＥＢサーバ１３では、ＨＴＴＰ要求に応じて、情報問合せ画面のフォームを抽出して、それを応答としてプロキシサーバ１１へ返送する（Ｓ４０２）。

図７に情報問合せ画面の一例を示す。情報問合せ画面は、アクセスした管理者本人のユーザＩＤの表示、閲覧対象の会員ＩＤ及び利用目的の入力欄を含む。利用目的はプルダウンによって複数の項目から選択可能となっている。

プロキシサーバ１０のリモートプロキシ１１では、この情報問合せ画面を受信し、ＨＴＴＰ応答中継部１１５がそれを中継して、ＨＴＴＰ応答としてクライアント１５へ送信する（Ｓ４０３）。
クライアント１５では、ＨＴＴＰ応答として情報問合せ画面を受信し、それをブラウザ２１の制御によって表示器に表示する。表示器には図７のような問合せ画面が表示される。
情報問合せ画面に対して、管理者は閲覧する会員のＩＤを入力すると共に閲覧目的を選択して「ＯＫ」キーを操作すると、その画面の情報はプロキシサーバ１１へ送信される（Ｓ４０４）。

プロキシサーバ１１ではＨＴＴＰ要求中継部１１４がその画面の情報を中継して、ＷＥＢサーバ１３へ送信する（Ｓ４０５）。
これに対してＷＥＢサーバ１３では、受信した閲覧対象のＩＤが正当な会員のＩＤかをチェックする。これは会員テーブルを検索して、対象のＩＤの存在を確認することにより行なわれる（Ｓ４０６）。チェックした後、指定された対象のＩＤをプロキシサーバ１１へ送信する。ここではＩＤ３が閲覧対象となったとする。

プロキシサーバ１１では、ＨＴＴＰ要求中継部１１４が受信したＨＴＴＰ応答及びＩＤ３を、中継サーバ６へ送信する（Ｓ４０７）。
中継サーバ６内のプロキシサーバ６１では、リモートプロキシ６１のＨＴＴＰ要求解析部６１３が、受信したＨＴＴＰ要求を解析する（Ｓ４０８）。この解析の結果、閲覧要求である場合には、機密分散処理部６１６を起動し、登録テーブルを参照して、ＩＤ３に対応する電子割符情報Ａ３を読み出す。そして、ＨＴＴＰ応答中継部６１５は、取得した電子割符情報Ａ３をＩＤ３に付加して、それをＨＴＴＰ応答として中継して、リモートプロキシサーバ１１へ送信する（Ｓ４０９）。

更にリモートプロキシ６１では、ログ処理部６１７の実行により、今回参照された情報をログとして取得し、それらを分割履歴ログＤＢ６２に格納する（Ｓ４１０）。
図８に履歴ログの一例を示す。履歴ログは、利用日時８１、利用したユーザＩＤ８２、参照した会員ＩＤ８３、及び利用目的８４に関する情報が含まれる。

さて、リモートサイト１のリモートプロキシサーバ１０では、先に受信されたＩＤ３及びその閲覧要求を含むＨＴＴＰ要求を解析して、秘密分散処理部１１６を起動し、登録テーブルを参照して、ＩＤ３に対応する電子割符情報Ｂ３を読み出す（Ｓ４１１）。
そして、秘密分散処理部１１６における統合処理手段の実行により、自らのリモートプロキシ１１で取得した電子割符情報Ｂ３と、中継サーバ６から取得した電子割符情報Ａ３の両者を統合化処理して、元の機密情報（Ａ＋Ｂ）を復元する（Ｓ４１２）。

また、リモートプロキシ１１では、ログ処理部１１７の実行により、統合化処理の情報をログとして取得し、それらを復号履歴ログＤＢ１２に格納する（Ｓ４１３）。

復元された会員ＩＤ３の機密情報は、ＩＤ３が付加され、ＨＴＴＰ応答中継部１１５の実行の下、ＨＴＴＰ応答としてクライアント１５へ送信される（Ｓ４１４）。クライアント１５では、ＨＴＴＰ応答としてＩＤ３に対応する機密情報を受信し、それらを表示画面に表示する（Ｓ４１５）。
復元された会員の機密情報の利用のし方としては、閲覧目的に応じて種々在る。例えば、その情報自体の確認やその会員へのダイレクトメールの発信等があり得る。

次に、図５を参照して、機密情報管理システムにおける機密情報の閲覧の処理動作について説明する。
ここで閲覧とは、会員が関連するサーバをアクセスしてサーバに保存された自分の個人情報を閲覧することが目的である。
これは、クライアントＰＣ２０からリモートサイト１をアクセスして自分の秘密情報を取得することにより行なわれる。秘密情報は電子割符されて、中継サーバ６のプロキシサーバ６０と、リモートサイト１のプロキシサーバ１０に分散して保存されているので、それぞれサーバ６０，１０から電子割符情報を取得して、これらを統合処理して復元することにより、クライアント２０で閲覧が可能となる。

以下、その動作フローについて詳しく述べる。
まず、クライアント２０からリモートプロキシサーバ１１に対して情報を閲覧するためのＨＴＴＰ要求を出す。
リモートプロキシ１１のＨＴＴＰ要求解析部１１３は、クライアント２０からの要求を解析し、それを中継してＷＥＢサーバ１３へ送信する（Ｓ５０１）。

ＷＥＢサーバ１３では、ＨＴＴＰ要求に応じて、情報問合せ画面のフォームを抽出して、それを応答としてプロキシサーバ１１へ返送する（Ｓ５０２）。この情報問合せ画面は例えば図７に示すものである。
プロキシサーバ１０のリモートプロキシ１１では、この情報問合せ画面を受信し、ＨＴＴＰ応答中継部１１５がそれを中継して、ＨＴＴＰ応答としてクライアント２０へ送信する（Ｓ５０３）。

クライアント２０では、ＨＴＴＰ応答としてこの情報問合せ画面を受信し、それをブラウザ２１の制御によって表示器に表示する。情報問合せ画面に対して、会員は、自分のＩＤを入力すると共に閲覧目的を選択して「ＯＫ」キーを操作すると、その情報はプロキシサーバ１１へ送信される（Ｓ５０４）。
プロキシサーバ１１ではＨＴＴＰ応答中継部１１５がその画面の情報を中継して、ＷＥＢサーバ１３へ送信する（Ｓ５０５）。

これに対して、ＷＥＢサーバ１３では、受信した閲覧対象のＩＤが正当な会員のＩＤかをチェックする。これは会員テーブルを検索して、対象のＩＤの存在を確認することにより行なわれる。チェックした後、指定された対象のＩＤをプロキシサーバ１１へ送信する（Ｓ５０６）。ここではＩＤ３が閲覧対象となったとする。
プロキシサーバ１１では、ＨＴＴＰ要求中継部１１４が受信したＨＴＴＰ応答及びＩＤ３を、中継サーバ６へ送信する（Ｓ５０７）。

中継サーバ６内のプロキシサーバ６１では、リモートプロキシ６１のＨＴＴＰ要求解析部６１３が、受信したＨＴＴＰ要求を解析する（Ｓ５１０）。この解析の結果、閲覧要求である場合には、機密分散処理部６１６を起動し、登録テーブルを参照して、ＩＤ３に対応する電子割符情報Ａ３を読み出す。そして、ＨＴＴＰ応答中継部６１５は、取得した電子割符情報Ａ３をＩＤ３に付加して、それをＨＴＴＰ応答として中継して、リモートプロキシサーバ１１へ送信する（Ｓ５１１）。
更にリモートプロキシ６１では、ログ処理部６１７の実行により、今回参照された情報をログとして取得し、それらを分割履歴ログＤＢ６２に格納する（Ｓ５１２）。ログ情報の形式は、前述した図８に示すものと同様である。

また、リモートプロキシサーバ１０では、先に受信されたＩＤ３及びその閲覧要求を含むＨＴＴＰ要求を解析して、秘密分散処理部１１６を起動し、登録テーブルを参照して、ＩＤ３に対応する電子割符情報Ｂ３を読み出す（Ｓ５０８）。
そして、秘密分散処理部１１６における統合処理手段の実行により、自らのリモートプロキシ１１で取得した電子割符情報Ｂ３と、中継サーバ６から取得した電子割符情報Ａ３の両者を統合化処理して、元の機密情報（Ａ＋Ｂ）を復元する（Ｓ５１３）。
また、リモートプロキシ１１では、ログ処理部１１７の実行により、統合化処理の情報をログとして取得し、それらを復号履歴ログＤＢ１２に格納する（Ｓ５１４）。

復元された会員ＩＤ３の機密情報は、ＩＤ３が付加され、ＨＴＴＰ応答中継部１１５の実行の下、ＨＴＴＰ応答としてクライアント２０へ送信される（Ｓ５１５）。クライアント２０では、ＨＴＴＰ応答としてＩＤ３に対応する機密情報を受信し、それを表示画面に表示する（Ｓ５１６）。

以上述べたように、本実施例によれば、ある機密情報を電子割符生成して、複数のリモートプロキシサーバに分散管理する構成としたので、原情報は閲覧時以外にどこにも存在せず、原情報の漏洩防止が図れる。個人の機密情報も分散管理されるので、漏洩リスクが軽減される。また機密情報の閲覧も会員本人か、又は管理者等の特定者のみに制限されるので、漏洩の機会は減る。

また、機密情報に関するアクセスは、必ず中継サーバを介在させることになるので、利用者は安心してサービスを受けることができる。
また、機密情報の閲覧に関しては、複数のサーバにそのログを取得して管理しているので、閲覧履歴をトレースすることができる。即ち、複数のサーバに管理しているログ情報のそれぞれからトレースが可能であるので、例えば、管理者がリモートサイト１のサーバ１１に関して保持されたログ情報を改ざんしたとしても、中継サーバ６には未改ざんのログ情報が保持されているので、中継サーバ６のログ情報を利用してトレースが可能である。

つまり、中継サーバ６には復元のために要求された情報が履歴として残り、リモートサイトのサーバ１０には実際に復元したときの情報が履歴として残るので、両方のログ情報を解析することにより、中継サーバ６に要求した元が確かにリモートサーバ１０であり、中継サーバ６から取得された情報がリモートサーバ１０で確かに復元されたことが分る。
例えば不正アクセスにより中継サーバ６から電子割符情報の一方が盗られた場合は、履歴ログ情報６２又は１２の片方にしかログが残らないため、いつ、誰のＩＤで中継サーバ６が不正にアクセスしたかが分る。

以上、一実施例について説明したが、本発明は上記の実施例に限定されずに種々変形して実施し得る。
上記実施例では、２つのサーバ１０，６０に秘密分散機能を持たせ、利用者の秘密情報を電子割符手段によって２つに分割して、それぞれのサーバ１０，６０に具備させた。しかし、２つのサーバではなく、一般的に複数ｎ個のサーバをネットワークを介して接続するシステム構成とし、かつ電子割符手段によってｎ分割した電子割符情報を生成し、ｎ個のサーバそれぞれにその電子割符情報を分散配置することは容易に理解できるであろう。例えば図２のサーバ６を（ｎ-1）個にネットワークに接続し、図３乃至図５の動作をそれぞれのサーバに対して繰り返し行なえばよい。

他の変形例として、図２に示すような２つのサーバ構成から成るシステムにおいても、１つの原情報から複数ｍ個の電子割符情報を生成して（但しｍ＝i＋j）、サーバ６０にはi個の電子割符情報を登録し、サーバ１０にはj個の電子割符情報を登録するように構成することも容易に理解できるであろう。原情報の復元処理では、サーバ６０からはi個の電子割符情報を得、サーバ１０からはj個の電子割符情報を得て、これらを統合処理することになる。

上記実施例における、用語の定義又は呼び方については上記に限定されない。例えば、登録テーブル或いは利用者テーブル等と述べたが、これらの構成及び呼び名は一例であり、上記実施例に限定されない。例えば登録ＤＢ、利用者ＤＢとして構成してもよいし、またＤＢによる構成にも限定されない。

また、上記実施例では、リモートサイト１０及び中継サーバ６の構成として、リモートプロキシ機能を有するリモートプロキシサーバ１０、６０としての構成としたが、これは上記実施例に限定されない。

また、秘密分散の対象とする情報としては、図６の画面により登録される利用者の個人情報に限らず、企業内の機密情報や著作権により保護された情報、等が含まれ得る。これらの情報を機密情報として登録処理する動作、及びそれらの情報の閲覧動作は、前述した図３〜図５による動作と同様であることが理解できる。

本発明の一実施例における機密情報管理システムの構成を示す図。 一実施例による機密情報管理システムにおける複数のプロキシサーバにおける処理機能を示す図。 一実施例による機密情報管理システムにおける機密情報の登録処理シーケンスを示す図。 一実施例による機密情報管理システムにおける機密情報の閲覧処理シーケンスを示す図。 一実施例による機密情報管理システムにおける機密情報の閲覧処理シーケンスを示す図。 一実施例によるクライアントの画面表示の例を示す図。 一実施例によるクライアントの画面表示の例を示す図。 一実施例による履歴ログの一例を示す図。

符号の説明

１：リモートサイト ２：ローカルサイト
６：中継サーバ ６０：秘密分散リモートプロキシサーバ
６１：秘密分散リモートプロキシ ６２：分割ログＤＢ
１０：秘密分散リモートプロキシサーバ １１：秘密分散リモートプロキシ
１２：復号ログＤＢ １３：ＷＥＢサーバ
２０：ＰＣ ２１：ブラウザ。

Claims (17)

1. ネットワークを介してクライアントからの要求をリモートサイトに送信し、該要求に応じたデータをＷＥＢサーバから取得するシステムにおいて、
   該クライアントからの該要求を解析して該ＷＥＢサーバから関連するデータを取得する第２のサーバと、該ネットワークを介して該クライアント及び該第２のサーバに接続される第１のサーバとを含み、
   該第１のサーバは、ある情報を複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成手段を有する第１の秘密分散処理部と、
   分割された該第１の電子割符情報を格納する第１の記憶手段を有し、
   該第２のサーバは、分割された該第1の電子割符情報と第２の電子割符情報を統合処理する統合処理手段を有する第２の秘密分散処理部と、
   分割された該第２の電子割符情報を格納する第２の記憶手段と、
   を有することを特徴とする秘密分散システム。
2. 該第１の秘密分散処理部における電子割符生成手段は、該クライアントからの要求に応じて、該クライアントから送信される情報を対象として電子割符情報の生成処理を行うことを特徴とする請求項１の秘密分散システム。
3. ネットワークを介してクライアントからの要求をリモートサイトに送信し、該要求に応じたデータをＷＥＢサーバから取得するシステムにおいて、
   該クライアントからの該要求を解析して該ＷＥＢサーバから関連するデータを取得する第２のサーバと、該ネットワークを介して該第２のサーバと接続される第１のサーバとを含み、
   該第１のサーバは、ある情報を複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成手段を有する第１の秘密分散処理部と、
   分割された該第１の電子割符情報を格納する第１の記憶手段を有し、
   該第２のサーバは、分割された該第1の電子割符情報と第２の電子割符情報を統合処理する統合処理手段を有する第２の秘密分散処理部と、
   分割された該第２の電子割符情報を格納する第２の記憶手段を有し、
   該クライアントからの要求に応じて該ＷＥＢサーバをアクセスするに際して、該第２の秘密分散処理部の該統合処理手段は、該第１の記憶手段から得た該第１の電子割符情報と、該第２の記憶手段から得た第２の電子割符情報とを統合処理して元の情報を復元することを特徴とする秘密分散システム。
4. 前記第１及び第２の記憶手段は、分割された該第１及び第２の電子割符情報を、利用者に付与されたＩＤに関連付けて記憶し、
   かつ、該クライアントから該ＷＥＢサーバをアクセスする時に、該ＷＥＢサーバから得た利用者のＩＤに対応する該第１の電子割符情報および第２の電子割符情報を該第１及び第２の記憶手段から得て、該統合処理手段は該第1及び第２の電子割符情報を統合処理することを特徴とする請求項１乃至３のいずれかの秘密分散システム。
5. 該第１のサーバは、前記第１の秘密分散処理部によって分割処理に係わった情報をログとして格納する記憶手段を有し、第２のサーバは前記第２の秘密分散処理部によって統合処理に係わった情報をログとして格納する記憶手段を有することを特徴とする請求項１乃至４いずれかの秘密分散システム。
6. 該第２のサーバは、特定のＩＤを持つ特定のクライアントからのアクセスを許容し、該特定のクライアントから指定された他のＩＤに関連して該第１及び第２の記憶手段に格納されている該該第１及び第２の電子割符情報を得て、該統合処理手段によって該第１及び第２の電子割符情報を統合処理し、復元された元の情報を該特定のクライアントへ送信することを特徴とする請求項４の秘密分散システム。
7. 前記第１及び第２の記憶手段は、クライアントからの要求を解析し、又はクライアントに対する応答を中継するための処理を行う第１のサーバにおける第１のリモートプロキシ、及び該第１のサーバにおける第２のリモートプロキシにそれぞれ設けられることを特徴とする請求項１乃至６のいずれかの秘密分散システム。
8. 前記１乃至７のいずれかに記載の秘密分散システムにおいて使用される前記第１のサーバ。
9. 前記１乃至７のいずれかに記載の秘密分散システムにおいて使用される前記第２のサーバ。
10. 前記８又は９に記載の前記第１又は第２のサーバにおいて使用される第１又は第２のリモートプロキシ。
11. ネットワークを介してクライアントからの要求をリモートサイトに送信し、該要求に応じたデータをＷＥＢサーバから取得するシステムにおける秘密情報の処理方法であって、
    該ネットワークを介して該クライアント及び該リモートサイトと接続される第１のサーバにおいて、ある情報を電子割符生成手段によって複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成ステップと、
    分割された該第１の電子割符情報を第１の記憶手段に格納するステップと、を有し、
    該ネットワークを介して第１のサーバと接続されると共に、該ネットワークを介して該クライアントから送られる要求を解析して該ＷＥＢサーバから関連するデータを取得する第２のサーバにおいて、
    分割された該第1の電子割符情報と第２の電子割符情報を統合処理手段によって統合処理するステップと、
    分割された該第２の電子割符情報を第２の記憶手段に格納するステップと、
    を有する情報処理方法。
12. 前記電子割符生成ステップでは、該クライアントからの要求に応じて、該クライアントから送信される情報を対象として該第１及び第２の電子割符情報の生成処理を行うことを特徴とする請求項１１の情報処理方法。
13. ネットワークを介してクライアントからの要求をリモートサイトに送信し、該要求に応じたデータをＷＥＢサーバから取得するシステムにおける秘密情報の処理方法であって、
    該ネットワークを介して該クライアントと該リモートサイトに接続される第１のサーバにおいて、ある情報を電子割符生成手段によって複数に分割して少なくとも第1の電子割符情報と第２の電子割符情報を生成する電子割符生成ステップと、分割された該第１の電子割符情報を第１の記憶手段に格納するステップと、を有し、
    該クライアントからの該要求を解析して該ＷＥＢサーバから関連するデータを取得する第２のサーバにおいて、分割された該第1の電子割符情報と第２の電子割符情報を統合処理手段で統合処理するステップと、分割された該第２の電子割符情報を第２の記憶手段に格納するステップと、を有し、
    該クライアントからの要求に応じて該ＷＥＢサーバをアクセスする時、該統合処理手段によって該第１の電子割符情報と第２の電子割符情報とを統合処理して元の情報を復元することを特徴とする情報処理方法。
14. 分割された該第１及び第２の電子割符情報を、利用者に付与されたＩＤに関連付けて前記第１及び第２の記憶手段に記憶し、
    かつ、該クライアントから該ＷＥＢサーバをアクセスする時に、該ＷＥＢサーバから得た利用者のＩＤに対応する該第１の電子割符情報および第２の電子割符情報を該第１及び第２の記憶手段から得て、該第１及び第２の電子割符情報を統合処理することを特徴とする請求項１１乃至１３のいずれかの情報処理方法。
15. アクセスの対象となった情報をログとして利用者のＩＤを関連付けて、前記第１のサーバ又は第２のサーバの記憶手段に格納するステップを更に有することを特徴とする請求項１１乃至１４のいずれかの情報処理方法。
16. 請求項１１乃至１５のいずれかに記載の情報処理方法を、前記第１のサーバ又は第２のサーバで実行するためのプログラム。
17. ネットワークを介して接続されるクライアント、及び複数のサーバを含むシステムにおける秘密情報の処理方法であって、
    該ネットワークを介して該クライアントと接続される第１のサーバでは、
    ある情報を電子割符生成手段によって複数に分割して複数の電子割符情報を生成し、かつ生成された該電子割符情報の少なくとも１つを記憶手段に格納して保持し、
    該ネットワークを介して該クライアントと接続される第２のサーバでは、
    該電子割符手段によって分割された複数の電子割符情報のうち少なくとも１つの電子割符情報を記憶手段に格納して保持し、
    かつ、少なくとも該第１及び第２のサーバの記憶手段に保持された該複数の電子割符情報を収集してこれらの電子割符情報を統合処理して元の情報を復元することを特徴とする情報処理方法。

Images