JP2006054919A - データアクセス許可装置 - Google Patents

Abstract

【課題】 より一般的／汎用な、構成で使い勝手良く、更にセキュリティ性を向上できるデータ保存装置を提供する。
【解決手段】 ＰＣ１０は、署名生成部１１とＩＣカード読取部１２を有する。ＭＯ装置２０は、タンパフリー時計２１を備える。ＩＣカード３０には、内蔵のＲＯＭに署名鍵３１を格納してある。ＩＣカード３０は、基本的に、正当な利用者が所持する。署名生成部１１は、ＭＯ２２へのデータ保存の際には、データと、タンパフリー時計２１の時間情報と、署名鍵３１とにより、署名（認証子）を作成し、データと時間情報はユーザ領域２２ａに書込み、署名はライトワンス領域２２ｂに書込む。
【選択図】図１

Description

本発明は、特に可搬型の記録媒体に記録されるデータ／日付の正当性を証明するために用いられる装置、その方法、あるいは可搬型の記録媒体の形で配布されたデータの情報入手の早さにおける公平性や機密性を高める為の装置、方法等に関する。

情報の格納に使用されている可搬型の記録媒体には、様々なものがあり、例えば光磁気ディスク（ＭＯ）が知られている。
光磁気ディスクは、書換え可能な記録媒体であり大容量の記憶が可能である為用途が広いという利点を有するが、書換え可能であるが故に、データの改竄や、日付データの改竄が容易であるという欠点を有していた。つまり、光磁気ディスク等に記録されたデータは、書類に印刷されたデータ等に比べて、データの作成日付や内容が改竄されていないものであることを証明することが難しいものとなっていた。

このような問題に対して、本発明の出願人により例えば特許文献１に記載の発明が提案されている。
特許文献１に記載の発明では、タンパフリー時計、ＤＥＳ（data encryption standard）を用いたデータ暗号化回路を内蔵したＰＣカードを用い、データ保存時に、ＭＯ内に保存するデータ“ＤＡＴＡ”と、タンパフリー時計の出力である日付データ“ＤＡＴＥ”と、媒体ＩＤ“ＭＩＤ”と、履歴情報“ＬＯＧ”とを入力したときのハッシュ関数出力を得て、これをディジタル署名“ＣＳ”としてＭＯ内に保存しておく。そして、データ検証時に、上記と同様の処理を行なって得たハッシュ関数出力値と“ＣＳ”とを比較することにより改竄の有無を判定する。

特許文献１に記載の発明によれば、データの作成日付や内容が改竄されているか否かをチェックすることができるが、現実上の問題として、一般的／汎用な構成の方が望ましく、またセキュリティ性を保ちつつユーザにとってより使い勝手の良い構成とすることが望まれる。また、更に、セキュリティ性を向上させることが望まれる。尚、ここでいう“セキュリティ性”とは、例えば、署名鍵を第三者が勝手に使用したり、ディジタル署名が改竄されたりすることで、データ、日付の正当性を証明する装置、方法への信頼性が損なわれるような事態を防止することを意味する。

また、ＭＯ媒体は、大容量で且つ可搬であるという利点がある為、ネットワークのインフラが充実していない環境（例えば、通信速度が遅い）にある場合や、ネットワークを利用したくないケース等で（重要データを送る場合等、途中でデータが紛失／盗み見／改竄等されると問題が大きい場合等（暗号化しても１００％の保証はない））、オフラインによる情報の配布に利用される場合がある。

しかしながら、複数の場所に配布する場合、配布時間（到着日時）に差が生じると、情報入手の早さにおいて公平性を欠くことになるという問題があった。
また、ＭＯ媒体により配布されたデータの機密性を高める為、自由に流通してしまいがちな電子データの外部への流出をなるべく防ぎたいという要望があった。
特開平１０−２８９５２３号公報

本発明の課題は、より一般的／汎用な構成で、可搬型の記録媒体に記録されたデータ、日付の正当性を証明でき、またセキュリティ性を保ちつつユーザにとってより使い勝手の良いものとし、可搬型の記録媒体を外部に配布する場合における公平性やデータの機密性の向上が図れるデータアクセス許可装置等を提供することである。

本発明による請求項１記載のデータアクセス許可装置は、時間情報の調整が行なえない時計手段と、データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限内である場合には前記ユーザ領域に記録されているデータへのアクセスを許可するアクセス許可手段とを有するように構成する。

本発明による請求項２記載のデータアクセス許可装置は、時間情報の調整が行なえない時計手段と、データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限を過ぎている場合には前記可搬型の記録媒体に対するローレベルフォーマットを実行するか、または該前記可搬型の記録媒体がローレベルフォーマットされていないことを示す情報を設定するアクセス許可手段とを有するように構成する。

本発明のデータアクセス許可装置によれば、可搬型の記録媒体を外部に配布する場合における公平性やデータの機密性の向上が図れる。
特に請求項１記載のデータアクセス許可装置によれば、上記可搬型の記録媒体が複数の場所に配布された場合において、配布時間（到着日時）に差が生じても、有効期限になるまではデータ参照できないので、情報入手の早さにおいて公平性を保つことができる。更に、有効期限を過ぎた場合はデータ参照できなくなるので、例えば配布先で利用後、何等かの理由で上記可搬型の記録媒体が第三者の手に渡っても、データを参照できない。

また、請求項２記載のデータアクセス許可装置では、有効期限を過ぎたらデータを強制的に完全消去するので、情報の漏洩を防ぐことができる。あるいは、簡易的な対応として、ローレベルフォーマットされていないことを示す情報を設定するようにしてもよい。

以下、図面を参照して本発明の実施の形態について説明する。
尚、以下の説明では、ＭＯ（光磁気ディスク）を例にして説明するが、本発明はこれに限るものではなく、ＤＶＤ、ＦＤ、リムーバブル・ハードディスク等の可搬型の書込み可能な記録媒体全般に適用できる。

また、後述するライトワンス領域は、ライトワンス型の記録媒体であれば容易に制御できるが、書換え可能型記録媒体の場合は、記録媒体の所定位置の領域をライトワンス領域に定義しておく。この定義は、媒体メーカ等が、予め、媒体のコントロール情報記録領域に記録しておく。もしくは、ユーザがセキュリティ媒体として使用したいときに媒体のコントロール情報記録領域またはセキュリティ情報記録領域に記録しておく。記録媒体の駆動装置は、記録媒体からコントロール情報またはセキュリティ情報を読み出したときに、その領域はライトワンス領域としての取り扱いを行う。駆動装置は、ライトワンス領域の書換えを行なわないように制御することができる。また、記録媒体駆動装置の媒体情報記憶部に、媒体情報として所定位置の領域をライトワンス領域として制御する旨を記憶しておいて、ライトワンス領域の制御を実現することもできる。

また、以下の説明では、署名鍵を格納する構成としてＩＣカードを用いるものとしているが、これに限るものではなく、データ格納可能で、持ち運び可能で外形がコンパクトなものであれば、何でもよく（例えば、ＵＳＢインターフェースを持つ個人認証デバイス等）、総称して「可搬／簡易記録媒体」と呼ぶものとする。

図１、図６、図７は、第１の実施例によるデータ保存装置の構成図であり、図１に第１の構成、図６に第２の構成、図７に第３の構成を示す。
以下の説明では、図１に示す第１の構成を代表にして説明する。

まず、図１〜図３を参照して、データ保存時の処理について説明する。
図１は、第１の実施例によるデータ保存装置の第１の構成の構成図である。
同図に示す第１の構成は、ＰＣ１０とＭＯ装置２０とＩＣカード３０とより成る。

ＰＣ１０は、例えばパーソナルコンピュータ等の情報処理装置（本例のデータ保存装置においてホスト装置を構成する情報処理装置）であり、署名生成部１１とＩＣカード読取部１２を有する。また、同図では、そのメモリ等にデータ１０ａ（ＭＯ２２に書込む予定のデータ）が格納されている状態を示す。尚、ＰＣ１０は後に図４で説明するデータ検証部１３も備える。また、尚、上記ホスト装置を構成する情報処理装置としては、上記パーソナルコンピュータに限らず、例えば、携帯電話等の端末装置、静止画及び／又は動画用ディジタルカメラ、インテリジェントテレビジョン装置等であってもよい。

また、上記情報処理装置は、カード駆動装置や記録媒体駆動装置を含む構成であってもよいし、カード駆動装置及び／又は記録媒体駆動装置がインターフェース接続可能に構成されるものであってもよい。

ＭＯ装置２０は、タンパフリー時計２１を備える。タンパフリー時計とは、時間情報の調整（変更）が行なえないようになっている時計のことであり、既存のものである。タンパフリー時計はハードで構成してもよいしソフトウェアで構成してもよい。また、同図では、ＭＯ装置２０内にＭＯ（光磁気ディスク）２２をセットした状態を示してある。

ＭＯ装置２０は、基本的な構成としては、ＭＯディスクを回転する回転駆動モータ、ＭＯディスクに対してデータを記録又は／及び再生する記録用又は／及び再生用光学ヘッド、これらの駆動機構を制御する制御部（マイクロプロセッサユニット、ディジタルシグナルプロセッサ等）等を有している。

尚、タンパフリー時計は、ＭＯ装置２０ではなく、ＰＣ１０に設ける構成としてもよい。但し、ＭＯ装置２０にタンパフリー時計を設ける構成とした方が、信頼性が高い（例えば、ＰＣ１０内のタンパフリー時計の製造時に初期設定される日時が正しいとは限らない等の不安がある。実際にＭＯ２２への書込み動作を行うのはＭＯ装置２０であるのでＭＯ装置２０側にタンパフリー時計を設けたほうが信頼性が高い）。また、ＭＯ装置２０にタンパフリー時計を設ける構成の場合、更に後述する第２、第３の構成のように署名生成部もＭＯ装置に設ける構成とすることで、例えば現実上、ユーザは、このようなＭＯ装置を得て、これを通常の情報処理装置に接続すれば、本例によるデータ保存装置を実現することができる。

ＩＣカード３０には、内蔵のメモリに署名鍵３１を格納してある。
署名鍵３１は、署名生成部１１で利用する暗号アルゴリズムに対応する暗号鍵であり、例えばＤＥＳ（data encryption standard）等の暗号方式を採用する場合にはその秘密鍵である。

ＩＣカード３０は、利用者が所持する。あるいは任意のグループ内の複数の人間が共有してもよい。このように、署名鍵３１を、装置（ＰＣ１０やＭＯ装置２０等）から切り離して、ＩＣカード３０に格納するようにし、基本的には利用者がＩＣカード３０を所持／保管するようにし、ＩＣカード３０が無ければ当該データ保存装置や後述するデータ検証装置を利用することができないようにしている。

ＰＣ１０は、ＩＣカード読取部１２を備えている（又はＩＣカードリーダ等を接続した構成であってもよい）。ＩＣカード３０／ＩＣカード読取部１２は、接触型、非接触型のどちらであってもよい。

このように、第１の実施例による第１の構成では、先出願のようなタンパフリー時計と署名（認証子）生成機能とを有するＰＣカードを用いることなく、タンパフリー時計内蔵のＭＯ装置２０を用い、署名（認証子）生成機能はパソコン（ＰＣ１０）が備えるようにし、また署名鍵３１はＩＣカード３０に格納しておく。また、署名生成部１１による署名生成機能は、先出願では回路により実現していたのに対して、ソフトウェアにより実現している。署名生成部１１による処理フローは、図３に示してあり、後に説明する。

このようにすることで、先出願の効果に加えて、以下の効果が加わる。尚、以下の効果は、後述する第２の構成、第３の構成においても略同様に得られる。
・ＩＣカードを使えるパソコン環境は多く、ＩＣカードはコスト安である。
・本例のようにＭＯ装置がタンパフリー時計を備える構成では、電池容量に関係なく使用できる。
・本例では、タンパフリー時計機能はＭＯ装置２０に備えさせ、署名（認証子）生成機能はパソコンに備えさせる（後述する第２の構成のように、ＭＯ装置に備えさせてもよい）ことで、カードは個人を認証する役割のみを果たせばよくなり、単純な機能しかないＩＣカードを用いることができるようになる。よく知られているように、ＩＣカードは、小型、薄い、軽量であり、個人が気軽に身に付けるのに向いている。
・ＩＣカードはＰＣカードと比較して安価であり、また署名生成用の回路が必要なくなる（ソフトウェアで実現する）ことから、コストダウンが図れる。

このような意味で、本システムの普及が、現状の汎用システムで容易に行なえる。
ここで、本例で用いるＭＯ２２は、その一部にライトワンス領域２２ｂ（１回だけ書込み可能な領域）を有するものである。

そして、図２に示すように、ＤＡＴＡ（ＭＯに保存するデータ１０ａ）と、タンパフリー時計２１の出力である時間（ＴＩＭＥ）と、これらに基づいて署名生成部１１により生成された認証子（署名）とを対応付けてＭＯ２２に記録する際、ＤＡＴＡとＴＩＭＥはユーザ領域２２ａに記録し、認証子２２ｂはライトワンス領域２２ｂに記録することも、特徴の１つとしている。

このようにすることで、例えばＭＯ２２に記録されたＤＡＴＡとＴＩＭＥが後に改竄され、その際に認証子までも改竄されることで、後のデータ検証の際に改竄を検出できなくなる可能性（万が一の可能性であるが）をも無くすことができる。

尚、ＭＯ装置２０には、ドライバソフト（もしくはファームウェア）が組込まれており、制御部（ＭＰＵ等）がＰＣ１０からのデータ書込み要求に応じて、上記のように認証子２２ｂをライトワンス領域２２ｂに記録する機能を実現する（特に図示していないが、このような機能部を書込部と呼ぶものとする）。

また、尚、ユーザ領域２２ａには、ＤＡＴＡ、ＴＩＭＥだけでなく、先出願と同様にメディアＩＤ（ＭＩＤ）、コピー履歴（ＬＯＧ）等も記録するようにしてもよい。
図３は、署名生成部１１による処理手順を説明する為のフローチャート図である。

同図において、まず、ＰＣ１０内のメモリ等に格納されているデータ‘ＤＡＴＡ’（ＭＯ２２に格納するデータ）を読み出し（ステップＳ１）、またＭＯ装置２０内蔵のタンパフリー時計の出力‘ＴＩＭＥ’（絶対時間）を読み出す（ステップＳ２）。また、ＩＣカード読取部１２により、ＩＣカード３０に記憶されている署名鍵３１を読み出させる（ステップＳ３）。

そして、署名生成ルーチンを起動し（ステップＳ４）、上記‘ＤＡＴＡ’、‘ＴＩＭＥ’と、署名鍵３１とを用いて、署名（認証子）の生成処理を行う（ステップＳ５）。このステップＳ５の処理は、基本的には、上記先出願（特開平１０−２８９５２３号）の認証子生成機構２２と同様の機能をソフトウェアで実現するものである。ここでは、少なくとも上記‘ＤＡＴＡ’、‘ＴＩＭＥ’を入力とし（更に加えて、媒体ＩＤ‘ＭＩＤ’、履歴情報‘ＬＯＧ’等を入力としてもよい）、署名鍵３１を用いて所定の暗号アルゴリズムを適用してハッシュ関数処理値を求めることによって、認証子（ディジタル署名）を生成する。所定の暗号アルゴリズムは、任意の公知のものを用いればよく、例えばＤＥＳアルゴリズム等の良く知られている暗号アルゴリズムを用いればよい（ホームページ上でも公開されている）。

最後に、ステップＳ５の処理で生成した署名（認証子）と、この署名（認証子）生成に使用した‘ＤＡＴＡ’と‘ＴＩＭＥ’とを対応付けてＭＯ２２に記録するが、その際、‘ＤＡＴＡ’と‘ＴＩＭＥ’はデータ記録用領域であるユーザ領域２２ａに記録し（ステップＳ６）、署名（認証子）はライトワンス領域２２ｂに記録する（ステップＳ７）。

以上、ＭＯ２２にデータを保存するときの処理について説明した。
その後、任意のときに、ＭＯ２２に保存したデータを利用する場合に、まず最初に、データ／日付が改竄されているか否かを検証する（データの正当性を検証する）処理を行う。

図４は、データ検証時の処理の流れを示すと共に、データ検証時に用いられる構成を示す図である。
同図において、図１に示す構成と略同一の構成には同一符号を付してあり、詳細な説明は省略する。

また、図５は、データ検証処理手順を説明する為のフローチャート図である。
以下、図４、図５を参照して、データ検証処理について説明する。
まず、ユーザは、図１〜図３で説明したようにしてデータを保存してあるＭＯ２２を持ってきて、これをＭＯ装置２０に挿入する。また、ユーザは、自己が所持するＩＣカード３０に記憶されている署名鍵３１をＩＣカード読取部１２により読み取らせる。

そして、ユーザがＰＣ１０のキーボード等を操作してデータ検証を指示すると、ＰＣ１０のデータ検証部１３は図５に示す処理を実行する。
データ検証部１３は、図４に示すように、署名生成部１１、比較部１３ａとから成る。署名生成部１１は、その機能自体は図１に示すものと同じであるので、同一符号を付してある。

図５において、データ検証部１３は、まず、ＭＯ２２のデータ領域２２ａに記録してあるデータ‘ＤＡＴＡ’と時間‘ＴＩＭＥ’とを読み出す（ステップＳ１１）。またＩＣカード読取部１２によりＩＣカード３０から署名鍵３１を読み出させる（ステップＳ１２）。そして、署名生成部１１により、これら‘ＤＡＴＡ’、‘ＴＩＭＥ’と、署名鍵３１とを用いて、上記ステップＳ５の処理と同様にして署名（認証子Ｂ）を生成させる（ステップＳ１３）。よって、もし、‘ＤＡＴＡ’または‘ＴＩＭＥ’が改竄されていなければ、この認証子Ｂは、データ保存時に生成しＭＯ２２に記録してある認証子（ここでは、認証子Ａと呼ぶ）と同一であるはずである。

これより、データ検証部１３は、ＭＯ２２のライトワンス領域２２ｂに記録してある認証子Ａを読み出して（ステップＳ１４）、この認証子Ａと上記ステップＳ１３で生成した認証子Ｂとを比較部１３ｂにより比較して（ステップＳ１５）、両者が一致する場合には原本通りである（改竄されていない）と判定し（ステップＳ１７）、両者が不一致である場合には改竄されているものと判定する（ステップＳ１６）。

尚、図には示していないが、ステップＳ１６またはＳ１７の判定結果は、当該ＰＣ１０のディスプレイに表示する。
以上、第１の実施例における第１の構成について説明した。

次に、以下、第２、第３の構成について説明する。
図６は、第２の構成を説明する為の概略的な構成図である。
第２の構成は、第１の構成と比較した場合、署名生成機能をＭＯ装置に備えるようにした点で相違する。

すなわち、図６に示すＭＯ装置５０は、タンパフリー時計５１と、署名生成部５２と、ＩＣカード読取部５３とを備える。但し、ＩＣカード読取部５３を備えない構成であってもよい。この場合、（図６において点線矢印でイメージを示すが）ＰＣ４０がＩＣカード読取部（不図示）を有し、このＩＣカード読取部がＩＣカード３０から署名鍵３１を読み出して、この署名鍵３１をＭＯ装置５０側に送るように構成してもよい。以下の説明は、ＭＯ装置５０がＩＣカード読取部５３を備える構成を例にして説明する。

ＰＣ４０は、ＰＣ１０のような署名生成部を備える必要はない。ＩＣカード３０、ＭＯ２２は、第１の構成と同じでよい（よって、同一符号を付してある）。
ＰＣ４０において、ユーザが任意のデータのＭＯへの書込み指示を行うと、ＰＣ４０は、データ４１と共にデータ書込み要求をＭＯ装置５０側に送る。データ書込み要求を受けたＭＯ装置５０側では、署名生成部５２が、このデータ４１‘ＤＡＴＡ’と、タンパフリー時計５１の出力（時間‘ＴＩＭＥ’）と、ＩＣカード読取部５３によりＩＣカード３０から読み出させた署名鍵３１とを用いて、署名（認証子）を作成し、この認証子をＭＯ２２のライトワンス領域２２ｂに記録すると共に、データ４１‘ＤＡＴＡ’と時間‘ＴＩＭＥ’とをユーザ領域２２ａに記録する。

尚、図６に示す署名生成部５２は、ハードウェア的には、例えば既存のＭＯ装置に何等かの専用チップ（暗号化チップ）を追加した上で実現される。
また、尚、特に図示しないが、図４のデータ検証部１３を、ＭＯ装置５０に設けるように構成してもよい。

このように、第１の実施例における第２の構成では、本例によるデータ保存装置としての機能／構成を、全てＭＯ装置（＋ＩＣカード）に持たせているので、ＰＣ４０には特に特別な機能を持たせる必要はない。

図７は、第３の構成を説明する為の概略的な構成図である。
第３の構成は、第１、第２の構成と比較した場合、ＩＣカードを用いる必要がなくなった点で相違する。第３の構成では、署名鍵は、ＭＯに記憶しておく。

図７に示す第３の構成で用いるＭＯ７０は、基本的にはＭＯ２２と同様に、ユーザ領域７０ａとライトワンス領域７０ｂを有し、ユーザ領域７０ａには‘ＤＡＴＡ’、‘ＴＩＭＥ’を記録し、ライトワンス領域７０ｂには署名（認証子）を記録するものであるが、更に、予めライトワンス領域７０ｂ内の特定領域に署名鍵７１を書込んでおく。また、ＭＯ装置６０には、予め上記特定領域のアドレスを登録しておく。これより、署名生成部６２は、署名生成処理の際に、上記特定領域から署名鍵７１を読み出して、処理を実行する。

このように、第３の構成では、ＩＣカードを用いる必要がなくなる分、更に構成が簡素化され、またコストダウン効果も向上する。
次に、以下、第２の実施例について説明する。

第２の実施例は、（上述した）複数の場所に配布する場合、配布時間（到着日時）に差が生じると、情報入手の早さにおいて公平性を欠くことになるという問題を解決し、また、ＭＯ媒体により配布されたデータの機密性を高める為のものである。

第２の実施例では、時間の設定変更が不可能となっている時計（つまり、上記タンパフリー時計）と、その一部にライトワンス領域を有するＭＯ（つまり、上記ＭＯ２２と同様のもの）とを用いる。

上記の通り、本例で用いるＭＯには、その一部にライトワンス領域を設けてある。第２の実施例で用いるＭＯ（光磁気ディスク）について、図８を参照して説明する。
図８に示すＭＯ８０の記憶領域は、コントロール領域８１、ライトワンス領域８２、ＲＡＭ領域（ユーザ領域）８３より成る。

コントロール領域８１には、データアクセス許可情報８１ａと、ローレベルフォーマット情報８１ｂ等が格納される。これらは、例えば１ビットのフラグである。例えば、データアクセス許可情報８１ａは、フラグＯＮが「データアクセス許可」、フラグＯＦＦが「データアクセス禁止」を示す（勿論、逆であってもよい）。ローレベルフォーマット情報８１ｂは、フラグＯＮが「未だローレベルフォーマットされていないこと」を示すものとする。

ライトワンス領域８２には、ＲＡＭ領域８３にデータを書込む際に、当該ＭＯ媒体の（実際にはＲＡＭ領域に書込むデータの）有効期限（後述するＴsとＴe）を書込む。ライトワンス領域８２は、１回のみ書込みを行なえる領域であるので、書込んだ有効期限は変更（改竄）することができない。尚、ライトワンス領域８２には、更に、暗号化キーを記録してもよい。暗号化キーは、データを暗号化する場合に使用する。

ＲＡＭ領域８３は、データを書込み／書換え可能な記憶領域である。
タンパフリー時計は、上記第１の実施例のようにＭＯ装置に内蔵してもよいし、先出願のようにＰＣカードに設ける構成であってもよい。

ここでは、タンパフリー時計内蔵のＭＯ装置を用いる場合を例にして説明する。
図９は、タンパフリー時計内蔵のＭＯ装置を用いる場合の機能構成図である。
図１０は、図９に示すアクセス許可部１０１による処理手順を説明する為のフローチャート図である。

図９には、データを書込まれたＭＯ８０の配布を受ける側に設置されるＭＯ装置１００を示す。ＭＯ８０には、ＭＯを配布する側においてＭＯ８０のＲＡＭ領域８３に任意のデータを書込む際に、ライトワンス領域８２に任意の有効期限が書込まれている。また、配布時には、ＭＯ８０のデータアクセス許可情報８１ａは、フラグＯＦＦ（データアクセス禁止）となっている。

ＭＯ装置１００には、タンパフリー時計１０２とアクセス許可部１０１が設けられている。アクセス許可部１０１は、判定部１０１ａを有する。
ＭＯ８０を配布されたユーザが、このＭＯ８０をＭＯ装置１００にセットすると、アクセス許可部１０１は、まず、ＭＯ８０のライトワンス領域８２から有効期限情報Ｔs、Ｔe（Ｔs；有効期限開始日時、Ｔe；有効期限失効日時）を読み取る（ステップＳ２１）。また、タンパフリー時計１０２から、現在日時情報Ｔnを読み込む（ステップＳ２２）。

そして、有効期間（Ｔs〜Ｔeの間）以外は、データアクセスを禁止する（許可しない）。
すなわち、判定部１０１ａによりステップＳ２３、Ｓ２４の判定を行なわせ、現在日時Ｔnが有効期限開始日時Ｔsより前であると判定された場合（ステップＳ２３、ＮＯ）、または現在日時Ｔnが有効期限失効日時Ｔeを過ぎていると判定された場合には（ステップＳ２４，ＮＯ）、ＭＯ８０のデータアクセス許可情報８１ａは、フラグＯＦＦ（データアクセス禁止）のままとする（ステップＳ２６）。一方、現在日時Ｔnが有効期間内（Ｔs〜Ｔeの間）であると判定された場合には（ステップＳ２３，ＹＥＳ 且つ ステップＳ２４，ＹＥＳ）、データアクセス許可情報８１ａのフラグをＯＮに切換える。すなわち、データ参照可能な状態とする。

図１０に示す処理例では、有効期限を過ぎた場合に（ステップＳ２４，ＮＯ）アクセス禁止のままとしていたが（ステップＳ２６）、更にデータの機密性を高め、データの外部への流出を防ぐ為に、ステップＳ２６の処理の代わりに以下に説明する処理を行うようにしてもよい。
（ａ）有効期限を過ぎた状態でＭＯ装置１００にＭＯ８０が挿入されたら（つまりステップＳ２４の判定がＮＯとなる場合）、当該ＭＯ８０に対してローレベルフォーマットを実施する。ローレベルフォーマットは、ＭＯ８０に記録されているデータを完全に消去するので、パソコンによる単純なファイル消去や論理フォーマットのようにデータを復旧されてしまう危険性がない。このようにすることで、情報の漏洩をより強固に防げるようになる。
（ｂ）但し、ローレベルフォーマットは、かなり時間が掛かるので、簡易的な対応を行うようにしてもよい。例えば、上記ローレベルフォーマット情報８１ｂを、フラグＯＮ（未だローレベルフォーマットされていないことを示す）に切換えるようにしてもよい。

次に、タンパフリー時計を有するＰＣカードを用いる場合の全体構成を、図１１に示す。
図１１に示す構成は、ディスプレイ１１１と本体１１２より成るパソコン１１０の本体１１２に、ＰＣカードスロット１１３が備えられている。ＭＯ利用の際には、ユーザは、（タンパフリー時計を有する）ＰＣカード１２０を、ＰＣカードスロット１１３に挿入する。また、パソコンには、ＭＯ装置１３０が接続されている。

図１１に示す構成は、タンパフリー時計が、ＭＯ装置ではなく、ＰＣカード１２０に設けられていること以外は、図９に示す構成と略同様であってもよいし、アクセス許可部１０１がパソコン１１０またはＰＣカード１２０に備えられた構成であってもよい。

図１２は、上記署名生成部等を備えるＰＣ等の情報処理装置のハードウェア構成の一例を示す図である。
同図に示す情報処理装置１４０は、ＣＰＵ１４１、メモリ１４２、入力装置１４３、出力装置１４４、外部記憶装置１４５、媒体駆動装置１４６、ネットワーク接続装置１４７等を有し、これらがバス１４８に接続された構成となっている。同図に示す構成は一例であり、これに限るものではない。

ＣＰＵ１４１は、当該情報処理装置１４０全体を制御する中央処理装置である。
メモリ１４２は、プログラム実行、データ更新等の際に、外部記憶装置１４５（あるいは可搬記録媒体１４９）に記憶されているプログラムあるいはデータを一時的に格納するＲＡＭ等のメモリである。ＣＰＵ１４１は、メモリ１４２に読み出したプログラム／データを用いて、上述してある各種処理を実行する。

入力装置１４３は、例えばキーボード、マウス、タッチパネル等である。
出力装置１４４は、例えばディスプレイ、プリンタ等である。
外部記憶装置１４５は、例えばハードディスク装置等であり、上記署名生成部、データ検証部等の機能を実現させる為のプログラム／データ等が格納されている。

媒体駆動装置１４６は、可搬記録媒体１４９に記憶されている上記プログラム／データ等を読み出す。つまり、上記プログラム／データ等は、外部記憶装置１４５に記録されているものであってもよいし、可搬記録媒体１４９に記録されているものであってもよい。

可搬記録媒体１４９は、例えば、ＦＤ（フレキシブルディスク）、ＣＤ−ＲＯＭ、その他、ＤＶＤ、光磁気ディスク等である。
ネットワーク接続装置１４７は、ネットワークに接続して、外部の情報処理装置とプログラム／データ等の送受信を可能にする構成である。

図１３は、記録媒体の一例を示す図である。
図示のように、上記署名生成部、データ検証部等の機能を実現させるプログラム／データが記憶されている可搬記録媒体１４９を情報処理装置１４０の本体に挿入する等して、当該プログラム／データを読み出してメモリ１４２に格納し実行するものであってもよいし、また、上記プログラム／データは、ネットワーク接続装置１４７により接続しているネットワーク１６０（インターネット等）を介して、外部のプログラム／データ提供者側のサーバ１５０に記憶されているプログラム／データ１５１をダウンロードするものであってもよい。

本発明のデータ保存装置、データ保存方法、データ検証装置等によれば、より一般的／汎用な構成で、可搬型の記録媒体に記録されたデータ、日付の正当性を証明でき、またセキュリティ性を保ちつつユーザにとってより使い勝手の良いものとし、またセキュリティ性を向上できる。

また、本発明は、装置／方法に限らず、上記プログラム／データを格納した記録媒体（可搬記録媒体１４９等）自体として構成することもできるし、これらプログラム自体として構成することもできる。

尚、ここでは、“コンピュータ”という言葉は、上記情報処理装置１４０（ホスト装置を構成する情報処理装置）を意味するものとして使われる場合もある。“コンピュータ”は、パーソナルコンピュータに限らず、例えば、携帯電話等の端末装置、静止画及び／又は動画用ディジタルカメラ、インテリジェントテレビジョン装置等であってもよい。

（付記１） 可搬／簡易記録媒体から署名鍵を読み出す読出手段と、
可搬型の記録媒体へのデータ書込み要求を記録媒体駆動装置に対して行う際、該データと、時間情報の調整が行なえない時計が出力する時間情報と、前記読出手段により前記可搬／簡易記録媒体から読み出した署名鍵とを用いて、署名を生成する署名生成手段と、
を有することを特徴とするデータ保存装置。
（付記２） 時間情報の調整が行なえない時計手段と、
データの書込み要求を受けたときに、該データと、前記時計手段が出力する時間情報と、前記データと前記時間情報と可搬／簡易記録媒体から読み出した署名鍵とを用いて生成された署名とを対応付けて可搬型の記録媒体に書込む書込手段と、
を有することを特徴とするデータ保存装置。
（付記３） 時間情報の調整が行なえない時計手段と、
データの書込み要求を受けたときに、該データと、前記時計手段が出力する時間情報と、前記データと前記時間情報と可搬型の記録媒体のライトワンス領域に記録されている署名鍵とを用いて生成された署名とを対応付けて前記可搬型の記録媒体に書込む書込手段と、
を有することを特徴とするデータ保存装置。
（付記４） 前記可搬型の記録媒体は、書換え可能なユーザ領域と、ライトワンス領域とを有し、前記書込手段は、前記データと前記時間情報は該ユーザ領域に書込み、前記署名は該ライトワンス領域に書込むことを特徴とする付記２または３記載のデータ保存装置。
（付記５） データと時間情報と署名とが対応付けて記録されている可搬型の記録媒体の前記データの正当性を検証するデータ検証装置であって、
前記可搬型の記録媒体に記録されている前記データと前記時間情報と、前記データ保存の際に前記署名の生成に使用された署名鍵を記憶した可搬／簡易記録媒体から読み出した該署名鍵とを用いて署名を生成する署名生成手段と、
該署名生成手段により生成された署名と、前記可搬型の記録媒体に記録されている署名とを比較し、その一致／不一致により前記データまたは時間情報の正当性を判定する比較・判定手段と、
を有することを特徴とするデータ検証装置。
（付記６） 前記可搬型の記録媒体は、書換え可能なユーザ領域と、ライトワンス領域とを有し、前記データと前記時間情報は該ユーザ領域に記録され、前記署名は該ライトワンス領域に記録されていることを特徴とする付記５記載のデータ検証装置。
（付記７） 時間情報の調整が行なえない時計手段と、
データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限内である場合には前記ユーザ領域に記録されているデータへのアクセスを許可するアクセス許可手段と、
を有することを特徴とするデータアクセス許可装置。
（付記８） 時間情報の調整が行なえない時計手段と、
データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限を過ぎている場合には前記可搬型の記録媒体に対するローレベルフォーマットを実行するか、または該前記可搬型の記録媒体がローレベルフォーマットされていないことを示す情報を設定するアクセス許可手段と、
を有することを特徴とするデータアクセス許可装置。
（付記９） 可搬型の記録媒体へのデータ書込みを行う際、
該データと、時間情報の調整が行なえない時計から得る時間情報と、可搬／簡易記録媒体から読み出した署名鍵とを用いて、署名を生成し、
前記データと前記時間情報と前記署名とを対応付けて前記可搬型の記録媒体に書込むことを特徴とするデータ保存方法。
（付記１０） 前記データと前記時間情報は前記可搬型の記録媒体のユーザ領域に書込み、前記署名は前記可搬型の記録媒体のライトワンス領域に書込むことを特徴とする付記８記載のデータ保存方法。
（付記１１） コンピュータに、
可搬型の記録媒体へ書込むべきデータと、時間情報の調整が行なえない時計から得る時間情報と、可搬／簡易記録媒体から読み出した署名鍵とを用いて、署名を生成する機能と、
前記データと前記時間情報と前記署名とを対応付けて前記可搬型の記録媒体に書込む機能と、
を実現させるためのプログラム。
（付記１２） コンピュータに、
可搬型の記録媒体へ書込むべきデータと、時間情報の調整が行なえない時計から得る時間情報と、可搬／簡易記録媒体から読み出した署名鍵とを用いて、署名を生成する機能と、
前記データと前記時間情報と前記署名とを対応付けて前記可搬型の記録媒体に書込む機能と、
を実現させるプログラムを記録した前記コンピュータ読取り可能な記録媒体。

第１の実施例によるデータ保存装置の第１の構成の概略的な構成図である。 ＭＯのデータ格納形式を示す図である。 署名生成部による処理手順を説明する為のフローチャート図である。 データ検証時の処理の流れを示すと共に、データ検証時に用いられる構成を示す図である。 データ検証処理手順を説明する為のフローチャート図である。 第１の実施例によるデータ保存装置の第２の構成を説明する為の概略的な構成図である。 第１の実施例によるデータ保存装置の第３の構成を説明する為の概略的な構成図である。 第２の実施例で用いるＭＯ（光磁気ディスク）の記憶領域について説明する為の図である。 第２の実施例においてタンパフリー時計内蔵のＭＯ装置を用いる場合の機能構成図である。 図９の判定部による処理手順を説明する為のフローチャート図である。 第２の実施例においてタンパフリー時計を有するＰＣカードを用いる場合の全体構成を示す外観図である。 情報処理装置のハードウェア構成図である。 記録媒体の一例について説明する為の図である。

符号の説明

１０ ＰＣ
１０ａ データ
１１ 署名生成部
１２ ＩＣカード読取部
１３ データ検証部
１３ａ 比較部
２０ ＭＯ装置
２１ タンパフリー時計
２２ ＭＯ
２２ａ ユーザ領域
２２ｂ 認証子
３０ ＩＣカード
３１ 署名鍵
４０ ＰＣ
４１ データ
５０ ＭＯ装置
５１ タンパフリー時計
５２ 署名生成部
５３ ＩＣカード読取部
６０ ＭＯ装置
６１ タンパフリー時計
６２ 署名生成部
７０ ＭＯ
７０ａ ユーザ領域
７０ｂ ライトワンス領域
７１ 署名鍵
８０ ＭＯ
８１ コントロール領域
８２ ライトワンス領域
８３ ＲＡＭ領域（ユーザ領域）
１００ ＭＯ装置
１０１ アクセス許可部
１０１ａ 判定部
１１０ パソコン
１１２ 本体
１１３ ＰＣカードスロット
１２０ ＰＣカード
１３０ ＭＯ装置
１４０ 情報処理装置
１４１ ＣＰＵ
１４２ メモリ
１４３ 入力装置
１４４ 出力装置
１４５ 外部記憶装置
１４６ 媒体駆動装置
１４７ ネットワーク接続装置
１４８ バス
１４９ 可搬記録媒体
１５０ サーバ

Claims (2)

1. 時間情報の調整が行なえない時計手段と、
   データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限内である場合には前記ユーザ領域に記録されているデータへのアクセスを許可するアクセス許可手段と、
   を有することを特徴とするデータアクセス許可装置。
2. 時間情報の調整が行なえない時計手段と、
   データが記録されるユーザ領域と、有効期限を記録したライトワンス領域とを有する可搬型の記録媒体から前記有効期限を読み出し、該有効期限と前記時計手段が出力する現在時間情報とを比較し、現在が有効期限を過ぎている場合には前記可搬型の記録媒体に対するローレベルフォーマットを実行するか、または該前記可搬型の記録媒体がローレベルフォーマットされていないことを示す情報を設定するアクセス許可手段と、
   を有することを特徴とするデータアクセス許可装置。

Images