JP2006146744A

JP2006146744A - リムーバブルメディア情報管理方法及びシステム

Info

Publication number: JP2006146744A
Application number: JP2004338350A
Authority: JP
Inventors: Hideki Toyoda; 英樹豊田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2004-11-24
Filing date: 2004-11-24
Publication date: 2006-06-08

Abstract

【課題】参照可能有効期限の管理は一般的にサーバ側で行われ、有効期限が過ぎた場合、ユーザは自ら有効期限の延長をすることができず、サーバから再度参照可能有効期限を設定してもらう必要がある。セキュリティ向上の為に再生可能回数及び再生可能有効期限を短いものとした場合、その有効期限等が迫るたびにサーバに参照可能有効期限の設定をしてもらう必要があり、利便性が損なわれる問題がある。
【解決手段】リムーバブルメディアに格納されたコンテンツに対して、そのコンテンツの有効期限とは異なる短期間のオフライン環境のコンテンツ有効期間を設定しておき、認証サーバに接続し認証されたＰＣでリムーバブルメディアが使用された場合に、オフライン環境のコンテンツ有効期間を更新、延長する。
【選択図】図２

Description

本発明は、リムーバブルメディアに格納されたコンテンツの機密情報管理に関するものである。

リムーバブルメディア内の機密情報漏洩防止策として、パスワードによるアクセス管理やコンピュータ（以下ＰＣ）システム時刻による参照期間管理が行われてる。パスワードによるアクセス管理は脆弱であることから、リムーバブルメディアを第三者に取得され、ＰＣ時刻を変更しながら攻撃された場合、実際には有効期限を渡過していても情報の参照が可能になり、機密情報が漏洩する可能性がある。

この問題に関連する従来技術としては、記憶媒体に記憶されている再生可能期間、再生可能回数及び再生回数からなる再生制限情報と再生データとを有するコンテンツデータから再生制限情報を検出したとき、再生の指示がなされると当該指示に応じて再生回数を増加して更新すると共に、再生回数が再生可能回数の範囲内にある場合にのみ再生データを再生するもの（特開２００１−６７７９４）や、コンテンツ利用の際に、ＰＣのシステムタイマの現在日時とコンテンツの最終利用日時とを比較することで、ＰＣシステム時刻の不正なバックデートによるコンテンツの不正使用に対応するもの（特開２００２−２５９２２３）、複数箇所から取得した時刻情報のうち、最も進んだ時刻を正しい時刻として使用し、コンテンツの制限時間を判断するもの（特開２００４−１９９４６６）がある。

特開２００１−６７７９４号公報特開２００２−２５９２２３号公報特開２００４−１９９４６６号公報

参照可能有効期限の管理は一般的にリムーバブルメディアにコンテンツを格納する際に、サーバ（またはリムーバブルメディアにコンテンツを格納するＰＣ）で設定される。有効期限が過ぎた場合、ユーザは自ら有効期限を延長することができず、サーバから再度参照可能有効期限を設定してもらう必要がある。この場合、セキュリティ向上のために再生可能回数及び再生可能有効期限を短くした場合、その有効期限等が迫るたびにサーバに参照可能有効期限を再設定してもらう必要があり、利便性が損なわれるという問題がある。

暗号化され保護されたコンテンツに対し、そのコンテンツについて復号可能な参照可能有効期限を設定した場合、一般的に期限の渡過はＰＣのシステム時刻を基準に判定されるが、悪意でＰＣのシステム時刻を過去に戻されると、真の有効期限を過ぎていても、コンテンツを復号することができるという問題がある。

本発明の実施態様は、リムーバブルメディアに格納されたコンテンツに対するオフライン環境の有効期間をリムーバブルメディアに設定しておき、認証されたＰＣでリムーバブルメディアが使用された場合に、オフライン環境のコンテンツ有効期間を更新、延長する。

本発明の別の実施態様は、リムーバブルメディアに格納されたコンテンツに対するオフライン環境の参照可能回数をリムーバブルメディアに設定しておき、認証されたＰＣでリムーバブルメディアが使用された場合に、オフライン環境の参照可能回数を更新、リセットする。

本発明の別の実施態様は、認証されたＰＣでリムーバブルメディアが使用された場合に、更新されるオフライン環境のコンテンツ有効期間を格納する領域を有するリムーバブルメディアである。

なお、リムーバブルメディアのユーザが認証されている場合は、そのユーザが使用するＰＣを認証されたＰＣとみなす。認証されていない場合はその逆である。

ユーザが認証サーバに接続することで、ユーザ側からの処理で、オフライン環境でのコンテンツの有効期限を簡単に延長することができ、セキュリティの向上と利便性の向上を実現する。

以下図面に基づいて、本発明の一実施の形態を詳述する。図１は本発明の原理を示す図である。リムーバブルメディアに格納されたコンテンツには有効期限１が設定されており、それとは別に短期間のオフライン環境でのコンテンツ有効期間２が設定されている。リムーバブルメディアが第３者により盗難等にあった場合に、オフライン環境でのコンテンツ有効期間２である短期間でのみしか第３者はコンテンツにアクセスすることができず、セキュリティが保たれる。正当なユーザは、認証サーバでの認証に伴い、オフラインでの参照可能期間２がリセット（期限延長）されることで、コンテンツ有効期限１までコンテンツにアクセスすることができるようになる。

図２が本発明の一実施例の構成図である。インターネットやＬＡＮ等のネットワークを介して接続された認証／履歴管理サーバ２０と利用者ＰＣ３０があり、利用者ＰＣ３０にはリムーバブルメディア５０が接続されている。認証／履歴管理サーバ２０はＮＴＰ（Network Time Protocol）サーバ７０にアクセスすることで、定期的にシステム時刻を修正する。リムーバブルメディア５０は、人が持ち運び可能な記憶媒体で、メモリカード、ＵＳＢメモリ、磁気ディスク等の磁気記憶媒体や、ＣＤ、ＤＶＤ等の光学を用いた記憶媒体などであり、情報を記憶する領域を有していれば良く、情報を記憶することを主目的とするものではない情報再生機器のようなものであってもよい。

認証／履歴管理するサーバ２０を設けることで、企業等の大規模システムにおいて、ＬＡＮ等のネットワークを通じて期限を集中的管理することができる。また、ネットワークとしてインターネットを使用すれば、外出先においても、オフライン環境でのコンテンツ有効期限２を延長することができる。

なお、図２の詳細な構成及び動作は後述する。

図３は、利用者ＰＣ３０を種とした構成を表す図である。利用者ＰＣ３０はプロセッサ３１とメモリ３２とを有し、メモリデバイスインターフェイス３３を通じてリムーバブルメディア５０にアクセスする。利用者ＰＣ３０は通信インターフェイス３４を通じてインターネット等のネットワークに接続されている。ユーザがリムーバブルメディア５０に格納されたメディア管理プログラム４０を起動することで、メモリ３２上にロードされたメディア管理プログラム４０をプロセッサ３１が実行し、ユーザ認証４１、コンテンツ暗号化４２、参照管理４３、表示４４の各処理を行う。以下、利用者ＰＣで管理プログラム４０の実行に伴う各処理をそれぞれ、利用者ＰＣのユーザ認証４１、利用者ＰＣのコンテンツ暗号化４２、利用者ＰＣの参照管理４３、利用者ＰＣの表示４４、あるいは単に、ユーザ認証４１、コンテンツ暗号化４２、参照管理４３、表示４４と呼ぶ。

なお、メディア管理プログラム４０の起動は、ユーザが行っても良いし、リムーバブルメディア５０を利用者ＰＣ３０に接続した際に自動的に起動される構成にしても良い。また、利用者ＰＣ３０がネットワークを介して認証／履歴管理サーバ２０に接続されている場合がオンライン環境であり、認証／履歴管理サーバ２０に接続されていない場合がオフライン環境である。

リムーバブルメディア５０は、利用者ＰＣ３０にユーザ認証４１、コンテンツ暗号化４２、参照管理４３、表示４４を実行させるためのメディア管理プログラム４０と、参照許可情報ＤＢ６１と保護コンテンツ６２からなる暗号化情報６０を格納している。

なお、コンテンツとは、デジタルデータで表現された文章、音楽、画像、映像、ソフトウェア、データベース等の情報のことをいう。

ユーザ認証４１は、利用者ＰＣ３０が認証／履歴管理サーバ２０と接続したオンライン環境にある場合、認証／履歴管理サーバ２０のユーザ認証２７との間で認証処理を実行する。コンテンツ暗号化４２は、保護コンテンツ６２及び参照許可情報ＤＢ６１の暗号化及び復号化を実行する。利用者ＰＣ３０が認証／履歴管理サーバ２０と接続していないオフライン環境にある場合、入力された保護コンテンツ暗号パスワードで暗号化情報６０が復号可能か否かを判定することでユーザ認証をする。参照管理４３は、利用者ＰＣ３０の保護コンテンツ６２の参照を管理する。表示４４は、コンテンツ暗号化４２によって復号された保護コンテンツを表示する。

図４は認証／履歴管理サーバ２０の構成を表す図である。認証／履歴管理サーバ２０はプロセッサ２１とメモリ２２を有し、メモリ２２上のサーバプログラム２６をプロセッサ２１が実行することにより、ユーザ認証２７、履歴管理２８を処理する。メモリ２２上のサーバプログラム２６はメモリ２２上に常駐しても良いし、記憶装置８０からロードされても良い。認証／履歴管理サーバ２０は、ディスクインターフェイス２３を通じて記憶装置８０にアクセスする。この記憶装置８０にはユーザ認証ＤＢ８１、アクセス履歴ＤＢ８２等のデータベース（ＤＢ）が格納されている。認証／履歴管理サーバ２０は通信インターフェイス２４を通じてインターネット等のネットワークに接続されている。

認証／履歴管理サーバ２０のユーザ認証２７は、利用者ＰＣ３０がオンライン環境にある場合、利用者ＰＣ３０のユーザ認証４１から送信されるユーザＩＤとパスワードとを認証する。履歴管理２８は、利用者ＰＣ３０がオンライン環境にある場合、利用者ＰＣ３０の参照管理４３と連携し、ユーザによる保護コンテンツ６２の参照を管理する。ユーザ認証ＤＢ８１にはユーザ認証情報が格納される。また、アクセス履歴ＤＢ８２には保護コンテンツ６２へのアクセス履歴情報、アクセス無効情報が格納される。

図５はユーザ認証ＤＢ８１に格納されているユーザ認証情報のテーブル構造である。認証パスワード５０２はユーザＩＤ５０１と対応付けられており、平文ではなく、パスワードのSHA-1ハッシュ値（160bit）として格納されている。

図６はアクセス履歴ＤＢ８２に格納されたアクセス履歴情報、アクセス無効情報のテーブル構造であり、アクセス履歴情報として、ユーザが認証／履歴管理サーバ２０にアクセスした際の、ユーザＩＤ６０１と、参照した保護コンテンツ６２に対応する保護コンテンツＩＤ６０２及びサーバアクセス時刻６０３（YYYYMMｄDhhmmss形式）が記録される。保護コンテンツＩＤ６０２に保護コンテンツ６２のハッシュ値が格納されている。

アクセス無効フラグ６０４は、保護コンテンツ６２へのアクセスの無効を管理するためのアクセス無効情報であり、値がＴＲＵＥである場合は、保護コンテンツ６２へのアクセスは許可されない。アクセス無効フラグ６０４は、例えば、保護コンテンツ６２を格納したリムーバブルメディア５０を紛失した場合などに、サーバ２０が保護コンテンツ６２へのアクセスを制限できるようにするためのものであり、認証／履歴管理サーバ２０の履歴管理２８でアクセス無効フラグ６０４を自由に変更することができる。

コンテンツに対応する保護コンテンツＩＤ６０２は、本実施例では、コンテンツ自体のハッシュ値であるが、コンテンツのファイルヘッダ等のハッシュ値でもかまわないし、ファイル名等を用いてもかまわないし、単純にコンテンツ毎に自由にＩＤを付してもかまわず、保護コンテンツを一意に特定するものであれば良い。また、ディレクトリ毎に暗号化するような場合は、そのディレクトリに対応した値でもかまわない。

図７は参照許可情報ＤＢ６１に格納された保護コンテンツ６２への参照許可情報を格納するテーブル構造である。コンテンツ有効期限７２０は、保護コンテンツ６２の最終有効期限である。図７では参照許可情報ＤＢ６１の中に、コンテンツ有効期限７２０が格納されているが、これはサーバ２０側で管理してもよく、必ずしも参照許可情報ＤＢ６１にある必要はない。また、コンテンツ有効期限７２０は必ずしも必要でなく、オフライン環境での有効期限管理を行う場合は、参照可能タイマ７４０，７４１を用いることによって実現できる。最終アクセス時刻７３０は、オフライン環境又はオンライン環境で保護コンテンツ６２にアクセスした際に、その最後のアクセス時刻を記録するものである。

参照可能タイマ（初期値）７４１はオフライン環境での参照可能期間を設定したものであり、参照可能タイマ（現在値）７４０は、参照可能タイマ（初期値）７４１で示したオフライン環境での参照可能な期限までの残り時間（秒）を示すものである。参照可能タイマ（現在値）７４０が予め定めた値（例えば０（秒））より小さくなると保護コンテンツ６２を参照することを禁止する。参照可能カウンタ（初期値）７５１はオフライン環境での参照可能回数を設定したものであり、参照可能カウンタ（現在値）７５０は、参照可能カウンタ（初期値）７５１で示したオフライン環境での参照可能回数までの残り参照可能回数を示すものである。参照可能カウンタ（現在値）７５０が予め定めた値（例えば０（回））より小さくなると保護コンテンツを参照することを禁止する。

暗号化情報６０を作成するときの動作について図８を用いて説明する。暗号化情報作成者はオンライン環境にある利用者ＰＣ３０でリムーバブルメディア５０内に格納されたメディア管理プログラム４０を起動する。メディア管理プログラム４０が利用者ＰＣ３０で実行されることで、利用者ＰＣ３０はユーザ認証４１、コンテンツ暗号化４２、参照管理４３を処理する。

ユーザＩＤと認証パスワードとが暗号化情報作成者により入力され（ステップ１０１）、利用者ＰＣ３０のユーザ認証４１は、入力された認証パスワードから認証パスワード（ハッシュ値）を生成し、ユーザＩＤと認証パスワード（ハッシュ値）を認証／履歴管理サーバ２０に送信する（ステップ１０２）。認証／履歴管理サーバ２０のユーザ認証２７は送信されたユーザＩＤ及び認証パスワード（ハッシュ値）がユーザ認証ＤＢ８１のユーザＩＤ５０１及び認証パスワード５０２と一致するかどうか判定し、一致する場合は、暗号化情報作成者は正当なユーザとして認証され、保護コンテンツ６２の作成手順に進む。

暗号化情報作成者の操作により保護コンテンツ６２をリムーバブルメディア５０に格納する（ステップ１０３）。また、参照許可情報として、コンテンツ有効期限、参照可能タイマの初期値及び参照可能カウンタの初期値を入力する（ステップ１０４）。利用者ＰＣ３０の参照管理４３は格納された保護コンテンツ６２を特定するコンテンツＩＤ７１０（保護コンテンツのハッシュ値）を作成し、認証／履歴管理サーバ２０に送信する（ステップ１０５）。

認証／履歴管理サーバ２０の履歴管理２８はアクセス履歴ＤＢ８２を生成する（ステップ１１２）。アクセス履歴ＤＢ８２はユーザＩＤ６０１と保護コンテンツＩＤ６０２、サーバアクセス時刻６０３、アクセス無効フラグ６０４を含み、アクセス履歴ＤＢ８２のユーザＩＤ６０１には認証／履歴管理サーバ２０のユーザ認証２７で認証されたユーザＩＤ５０１が入力され、保護コンテンツＩＤ６０２には利用者ＰＣ３０から送信されたコンテンツＩＤ７１０が入力され、サーバアクセス時刻６０３には認証／履歴管理サーバ２０のシステム時刻が入力され、保護コンテンツアクセス無効フラグ６０４には初期値であるＦＡＬＳＥが設定される。履歴管理２８は、入力されたサーバアクセス時刻を利用者ＰＣ３０に送信する（ステップ１１３）。

利用者ＰＣ３０の参照管理４３は、認証／履歴管理サーバ２０から送信されたサーバアクセス時刻６０３と、暗号化情報作成者により入力されたコンテンツ有効期限、参照可能タイマの初期値及び参照可能カウンタの初期値により、コンテンツＩＤ７１０に係わる参照許可情報ＤＢ６１のテーブルを生成する（ステップ１０６）。最終アクセス時刻７３０にはサーバから送信されたサーバアクセス時刻６０３を設定する。参照可能タイマ（現在値）７４０と（初期値）７４１には入力された参照可能タイマの初期値を、参照可能カウンタ（現在値）７５０と（初期値）７５１には入力された参照可能カウンタの初期値を設定する。

暗号化情報作成者が入力した保護コンテンツ暗号パスワード（ステップ１０７）を暗号鍵として使用して、利用者ＰＣ３０のコンテンツ暗号化４２により、参照許可情報ＤＢ６１と保護コンテンツ６２を暗号化した暗号化情報６０を作成し（ステップ１０８）、メディア管理プログラム４０は終了する。

なお、本実施例では、セキュリティの観点から、保護コンテンツ６２だけでなく参照許可情報ＤＢ６１までまとめて暗号化するが、保護コンテンツ６２を暗号化し参照許可情報ＤＢ６１は暗号化しない図１３のような構成にしてもよい。

また、本実施例では認証パスワード（ステップ１０１）と保護コンテンツ暗号パスワード（ステップ１０７）とに別々の値を入力することができるが、管理を容易にするために同じパスワードを使用する構成にしても良い。この場合、パスワードの入力ステップは最初の１回（ステップ１０１）でよく、保護コンテンツ暗号パスワード入力（ステップ１０７）は不要となる。

オフライン環境での保護コンテンツ参照の動作について図９を用いて説明する。ユーザは利用者ＰＣ３０でリムーバブルメディア５０内に格納されたメディア管理プログラム４０を起動する。メディア管理プログラム４０が利用者ＰＣ３０で起動されることで、利用者ＰＣ３０は参照管理４３、コンテンツ暗号化４２、表示４４を実行する。

ユーザは保護コンテンツ暗号パスワードを入力し（ステップ２０１）、参照許可情報ＤＢ６１を復号する。オフライン環境では、復号できるかどうかでユーザを認証する（ステップ２０２）。復号できなかった場合はコンテンツへのアクセスが拒否され、メディア管理プログラムを終了する。なおアクセス拒否の場合の図示は省略する。

利用者ＰＣ３０の参照管理４３は、オフライン環境でオフライン環境アクセス期限を管理する。参照管理４３は、利用者ＰＣ３０のシステム時刻を取得し（ステップ２０３）、参照許可情報ＤＢ６１のコンテンツ有効期限７２０とシステム時刻を比較して（ステップ２０４）、システム時刻がコンテンツ有効期限７２０を超えている場合は、参照有効期限切れとして保護コンテンツ６２を削除する（ステップ２２０）。参照許可情報ＤＢ６１の最終アクセス時刻７３０とシステム時刻を比較し（ステップ２０５）、最終アクセス時刻７３０よりシステム時刻の方が前である場合も、保護コンテンツ６２を削除する（ステップ２２０）。

利用者ＰＣ３０のシステム時刻は、認証／履歴管理サーバ２０と異なり、正確に時間を管理していないこともあり、悪意で利用者ＰＣ３０の時刻がバックデートされた場合、本来はコンテンツ有効期限を超えているにもかかわらず、保護コンテンツ６２を参照することができる。そこで本実施例では、最終アクセス時刻７３０とシステム時刻とを比較することで、最終アクセス時刻７３０よりもシステム時刻の方が前である場合は、システム時刻がバックデートされたものとして、保護コンテンツ６２の参照を拒否している。

参照管理４３は、参照可能カウンタ（現在値）７５０を減算し（ステップ２０６）、最終アクセス時刻７３０から現在のシステム時刻までの経過時間を、参照可能タイマ（現在値）７４０をから減算する（ステップ２０７）。参照可能カウンタ（現在値）７４０が所定の値（例えば０）より小さい場合は（ステップ２０８）、すでにオフライン環境での参照可能回数を超えているものとして、保護コンテンツ６２を削除する（ステップ２２０）。また、参照可能タイマ（現在値）７４０が所定の値（例えば０）より小さい場合は（ステップ２０８）、すでにオフライン環境での参照可能期間を超えているものとして、保護コンテンツ６２を削除する（ステップ２２０）。その後、参照許可情報ＤＢ６１の最終アクセス時刻７３０をシステム時刻で更新する（ステップ２０９）。

削除判定を受けなかった場合は、利用者ＰＣ３０のコンテンツ暗号４２が、ユーザが入力した保護コンテンツ暗号パスワードを復号鍵として保護コンテンツ６２を復号し（ステップ２１０）、表示４４が復号された保護コンテンツ６２を表示する（ステップ２１１）。なお、図９には記載していないが、参照許可情報ＤＢ６１を復号した後の各処理は、ユーザによって指定されたコンテンツごとに、コンテンツＩＤ７１０に基づいて実行される。

なお、本実施例においては、参照管理４３により参照可能と判定されなかった場合は、保護コンテンツ６２を削除するが、これは削除に限られるものではなく、コンテンツの凍結（該コンテンツについて復号化のためのパスワードを受け付けなくする）等、保護コンテンツ６２へのアクセスを制限するものであればよい。

このように、期限に関する情報を２つ持ち、一方の期限情報で通常のコンテンツの有効期限管理をすると共に、他方の期限情報を短期間とすることで、短期間の参照可能期間管理を実現することができる。期限情報を２つ持つことで、通常行われるコンテンツの有効期限管理の他に、短期間の有効期間を用いたセキュリティレベルの高い情報管理を実現することができる。

次にオンライン環境での保護コンテンツを参照する場合の動作について図１０を用いて説明する。ユーザは利用者ＰＣ３０でリムーバブルメディア５０内に格納されたメディア管理プログラム４０を起動する。メディア管理プログラム４０が利用者ＰＣ３０で実行されることで、利用者ＰＣ３０はユーザ認証４１、参照管理機能４３、コンテンツ暗号化４２、表示４４を処理する。

ユーザＩＤと認証パスワードとがユーザにより入力され（ステップ３０１）、利用者ＰＣ３０のユーザ認証４１はそれらを認証／履歴管理サーバ２０に送信する（ステップ３０２）。認証パスワードはハッシュ値として送信される。認証／履歴管理サーバ２０のユーザ認証２７は送信されたユーザＩＤ及び認証パスワード（ハッシュ値）がユーザ認証ＤＢ８１のユーザＩＤ５０１及び認証パスワード５０２と一致するかを判定し、一致する場合は、ユーザは正当な利用者として認証され、正当な利用者が使用する認証されたＰＣでリムーバブルメディアが使用されているものとして、その後の保護コンテンツの参照手順に進む（ステップ３２１）。

なお、オンライン環境であっても、認証パスワードが誤っているときや、認証／履歴管理サーバ２０がダウンしているときなどのように、認証／履歴管理サーバ２０で正当なユーザとして認証されなければ、認証されていないＰＣでリムーバブルメディアが使用される場合として、図９のオフライン環境での保護コンテンツ参照処理手順が実行される。

認証／履歴管理サーバ２０により認証された後に、保護コンテンツ暗号パスワードがユーザにより入力され（ステップ３０３）、参照許可情報ＤＢ６１を復号する（ステップ３０４）。ユーザによる参照する保護コンテンツ６２の指定に応じて、参照管理４３は、指定された保護コンテンツ６２を特定するコンテンツＩＤ７１０（保護コンテンツのハッシュ値）を認証／履歴管理サーバ２０に送信する（ステップ３０５）。認証／履歴管理サーバ２０の履歴管理２８は、送信されたユーザＩＤとコンテンツＩＤとに基づき、それらに対応するサーバアクセス時刻６０３とアクセス無効フラグ６０４とをアクセス履歴ＤＢ８２から検索し（ステップ３２２）、サーバアクセス時刻６０３を認証／履歴管理サーバ２０のシステム時刻で更新した上で、更新したサーバアクセス時刻６０３とアクセス無効フラグ６０４とを利用者ＰＣ３０に送信する（ステップ３２３）。

利用者ＰＣ３０の参照管理４３は、送信されたサーバアクセス時刻とコンテンツ有効期限７２０とを比較し（ステップ３０６）、サーバアクセス時刻が参照許可情報ＤＢ６１のコンテンツ有効期限７２０を超えていた場合は、参照有効期限切れとして保護コンテンツ６２を削除する（ステップ３４０）。また、送信されたアクセス無効フラグが無効（ＴＲＵＥ）であった場合は（ステップ３０７）、保護コンテンツ６２を参照不可であるとして削除する（ステップ３４０）。削除判定を受けなかった場合は、参照許可情報ＤＢ６１の最終アクセス時刻７３０を送信されたサーバアクセス時刻で更新する（ステップ３０８）。

参照管理４３は、参照許可タイマ（現在値）７４０を参照許可タイマ（初期値）７４１に変更し、参照許可カウンタ（現在値）７５０を参照許可カウンタ（初期値）７５１に変更する（ステップ３０９）。この変更により、オンライン環境でサーバ２０により認証されると、参照許可タイマ７４０及び参照許可カウンタ７５０が初期値にリセットされ、再び初期値で設定した期間及び回数だけオフライン環境でユーザは保護コンテンツ６２を参照できることになる。

その後、利用者ＰＣ３０のコンテンツ暗号化４２が、ユーザにより入力された保護コンテンツ暗号パスワードを復号鍵として保護コンテンツ６２を復号し（ステップ３１０）、表示４４が復号された保護コンテンツ６２を表示する（ステップ３１１）。

例えば図７のテーブルに示した値であれば、コンテンツＩＤ「87ｄc・・・37ae」の保護コンテンツについて、最後に参照した時刻（最終アクセス時刻）７３０が２００４年８月１１日午前９時であり、そのコンテンツの有効期限はそれから１ヶ月間である。また、オフライン環境での参照可能期間は、初期値７４１が１０時間（３６０００秒）であり、残り７４０は２時間（７２００秒）であり、オフライン環境での参照可能回数は、初期値７５１は３０回であり、残り７５０は１１回である。この状態で認証／履歴管理サーバ２０が認証すると、最終アクセス時刻７３０が更新され、参照可能タイマ７４０、参照可能カウンタ７５０の現在値が初期値にリセットされる。これにより、再びオフライン環境で、参照可能期間７４０が１０時間に延長され、参照可能回数７５０が３０回に戻る。

なお、利用者ＰＣ３０は、メディア管理プログラムが起動した後、ネットワークを介して認証／履歴管理サーバ２０に接続されているかどうか判定し、接続されていない場合は、図９のオフライン環境での保護コンテンツ参照の処理が行われる。認証／履歴管理サーバ２０に接続されている場合は、ユーザによる暗号化情報の作成か参照かの選択により、図８の暗号化情報を作成する処理または、図１０のオンライン環境での保護コンテンツ参照の処理が行われる。

サーバがコンテンツの有効期限を設定するという態様をとると、その有効期限を短くしてセキュリティ向上を図った場合、そのコンテンツの有効期限が切れた際に、コンテンツ利用者はサーバに接続し、サーバに有効期限を再設定してもらう必要があり、利用者の行う処理が煩雑であった。

本実施例においては、認証／履歴管理サーバでの認証に伴い、参照可能期間や参照可能回数がリセットされるので、短期間の参照可能期間が切れた場合であっても、コンテンツ自体の有効期限内であれば、利用者はユーザＩＤとパスワードを入力することで利用者ＰＣ側で、簡単に期限延長することができる。

またプログラムも保護コンテンツを格納するリムーバブルメディアに併せて格納することで、リムーバブルメディアを携帯するだけで、汎用ＰＣがあればどこでも機密情報の参照、作成等を行うことができ、機密情報管理の利便性が向上する。

コンテンツ自体の有効期限（コンテンツ有効期限７２０）を認証／履歴管理サーバに格納する構成をとれば、コンテンツ自体の有効期限管理は認証／履歴管理サーバで行うことができ、利用者は、短期間の参照可能期間を意識して、その期限が切れた場合は、サーバで認証することで、参照可能期間を延長することができるようになる。

本実施例では、参照許可タイマ（初期値）７４１、参照許可カウンタ（初期値）７５１はリムーバブルメディア内に格納されているが、認証／履歴管理サーバと接続した際に参照可能タイマ、参照可能カウンタの現在値がリセットされるので、これら初期値は認証／履歴管理サーバに格納しておいても良い。この構成をとれば、コンテンツ自体の有効期限と短期間との参照可能期間の両方をサーバで管理することができるようになり、セキュリティが向上する。この構成によっても利用者は期限延長に際してユーザＩＤとパスワードを入力するだけで済み、利用者の利便性を低下することなくセキュリティを向上することができる。

本実施例では、リムーバブルメディア内に格納するコンテンツ毎にＩＤを付け、コンテンツを管理するが、図１１に示すように、コンテンツ毎ではなく、リムーバブルメディア毎にＩＤを付けて実現することも可能である。この場合は、送受信されるコンテンツＩＤがメディアＩＤに変わる。なお、前述の実施例の構成では、オフライン環境（例えば外出先等）で、コンテンツを復号し、それに変更を加えた場合、コンテンツ暗号機能４２により再度暗号化することは可能であるが、その場合はコンテンツのハッシュ値をコンテンツＩＤとしている場合は、コンテンツＩＤの値が変わり、そのコンテンツの機密情報管理はできなくなる。一方、リムーバブルメディア毎にＩＤを作成する場合は、その中に格納するコンテンツの内容が変更されても、リムーバブルメディア毎に管理されているため、機密情報を管理することができる。

暗号化情報６０として図１２に示すような構成もある。この構成では参照許可情報ＤＢ６１と保護コンテンツ６２からなる暗号化情報６０をユーザ毎に複数持ち、暗号化情報６０をユーザＩＤと対応付けて管理することで、ユーザ毎に機密情報を管理することができるものである。

ユーザ毎に実現する方法として図１３のように参照許可情報ＤＢを暗号化しない構成をとることもできる。この構成では、参照許可情報ＤＢ中にユーザＩＤとコンテンツＩＤを設定し、ユーザＩＤとコンテンツＩＤから一意に特定される保護コンテンツ６２を管理するものである。本構成では参照許可情報ＤＢが暗号化されていないため、保護コンテンツ暗号パスワードを受付ける前に、参照可能カウンタ、参照可能タイマを判定することができる。参照可能期間や参照可能回数が、保護コンテンツの削除条件を満足する場合には、パスワードを受付けることなく保護コンテンツ６２を削除することができ、セキュリティが向上する。図９のオフライン環境での保護コンテンツ参照フローでは、コンテンツ暗号化４２の処理（ステップ２０１，２０２）の前に、参照管理４３の処理（ステップ２０３〜２０９）が実行され、参照可能期間や参照可能回数が、保護コンテンツの削除条件を満足する場合には（ステップ２０８）、パスワードを受け付けることなく保護コンテンツ６２を削除（ステップ２２０）する。その後削除判定を受けなかった場合には、コンテンツ暗号化４２の処理（ステップ２０１，２０２）実行され、そこでパスワードが判定され、パスワードが一致していた場合は保護コンテンツが復号され、表示される。

さらにこの構成において、保護パスワードの入力誤りがあった場合に、メディア管理プログラムを終了する又は再実行するようにすると、保護パスワードの入力誤りがある度に図９のオフライン環境での保護コンテンツ参照フローの先頭に戻るため、参照可能カウンタが減算していく。これにより、悪意の使用者のパスワード繰返し攻撃に対して、参照可能カウンタ（初期値）７５１までしか繰り返し攻撃することができず、セキュリティが向上する。

別の構成として、図１４のように暗号化しない参照許可情報ＤＢ６１と、整合性チェックのための暗号化した参照許可情報ＤＢを持つ構成にしても良い。本構成は、図１３の構成で暗号化されていない参照許可情報ＤＢが悪意の使用者によって改竄された場合にも対応できる。図１３の構成では、参照許可情報ＤＢが平文でメディアに格納されているため、参照可能期間や参照可能回数等を書き換えられてしまう可能性があるが、図１４の構成とすることにより、復号した後の参照許可情報チェック用ＤＢと参照許可情報ＤＢの整合性をみることで、参照許可情報ＤＢが改竄されているかどうかを判定し、改竄されている場合には、保護コンテンツへのアクセスを制限する。なお、参照許可情報チェック用ＤＢは参照許可情報ＤＢと同一でなくてもよく、参照許可情報ＤＢの中のコンテンツＩＤや有効期限、参照可能タイマ（初期値）等の一部の情報のみに基づくものであってもよい。

なお、本実施例においては、認証されているＰＣと認証されていないＰＣにおいて処理を変えるものであり、認証されているＰＣでリムーバブルメディアを使用する場合は、参照期間等を延長する構成であるが、認証されているＰＣは、必ずしも認証サーバによって認証されている必要は無く、信頼できるＰＣと信頼できないＰＣにおいて処理を変えるものであればよいため、図１５のように認証サーバを使用しない構成においても、図２における認証／履歴管理サーバ２０側の構成を利用者ＰＣ３０の中に備えることで、機密情報を管理することができる。この場合は、図２のサーバプログラムと同等の処理をするプログラム２９が格納されている利用者ＰＣ３０が信頼できるＰＣ（認証されているＰＣ）となり、その他の利用者ＰＣ３０で使用する場合は、リムーバブルメディアに格納されたメディア管理プログラム４０のユーザ認証４１と連携して認証処理することができず、信頼できないＰＣ（認証されていないＰＣ）における機密情報管理（図９と同様のオフライン環境での保護コンテンツ参照動作）となる。

また、図１５の構成では、暗号化情報を作成したＰＣが信頼できるＰＣ（リムーバブルメディアのユーザ認証機能４１と連携して認証することができ、認証されたＰＣとなる）と見ることもでき、リムーバブルメディアに情報を格納したＰＣにリムーバブルメディアを接続した場合は、信頼できるＰＣにおける情報管理（図１０と同様のオンライン環境での保護コンテンツ参照動作）となり、その他の利用者ＰＣ３０で使用する場合は、信頼できないＰＣにおける情報管理（図９と同様のオフライン環境での保護コンテンツ参照動作）となる。

なお、上述したサーバプログラム、利用者ＰＣに格納するプログラムおよびメディア管理プログラムはＣＤ等の記憶媒体に格納して配布しても良いし、インターネット等のネットワークを通じて配布するものでも良い。

本発明の原理を表す図である。本実施例の構成を表す図である。利用者ＰＣ３０の構成を表す図である。認証／履歴管理サーバ２０の構成を表す図である。ユーザ認証ＤＢ８１のテーブル構造を表す図である。アクセス履歴ＤＢ８２のテーブル構造を表す図である。参照許可情報ＤＢ６１のテーブル構造を表す図である。暗号化情報の作成フローを表す図である。オフライン環境での保護コンテンツ参照フローを表す図である。オンライン環境での保護コンテンツ参照フローを表す図である。メディア毎にＩＤをつけた暗号化情報を表す図である。複数ユーザに対応するために暗号化情報を複数持つ構成を表す図である。参照許可情報ＤＢは暗号化しない構成を表す図である。参照許可情報ＤＢの改変に対応した構成を表す図である。認証サーバを用いない構成を示す図である。

符号の説明

２０…認証／履歴管理サーバ、３０…利用者ＰＣ、４０…メディア管理プログラム、５０…リムーバブルメディア、６０…暗号化情報、７０…ＮＴＰサーバ

Claims

リムーバブルメディアに格納された情報の情報管理方法であって、
前記リムーバブルメディアには格納された前記情報の参照を許可する期間と、前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）とを格納する領域を設けてあり、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記最終アクセス時刻から該コンピュータの時計が示す時刻までの経過時間を前記参照を許可する期間から減算し、前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限し、
認証されているコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記参照を許可する期間を格納する前記領域に所定の値をセットする
ことを特徴とする情報管理方法
前記認証されているコンピュータはネットワークを介して接続するサーバによって認証されていることを特徴とする請求項１記載の情報管理方法。
請求項１記載の情報管理方法において、
前記リムーバブルメディアには、さらに前記リムーバブルメディアに格納された前記情報の参照を許可する期限（参照有効期限）を格納する領域を設け、
前記サーバ及び前記コンピュータのいずれか一方の時計が示す時刻が、前記参照有効期限を超えている場合は、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する
ことを特徴とする請求項１記載の情報管理方法。
リムーバブルメディアに格納された情報の情報管理方法であって、
前記リムーバブルメディアには格納された前記情報の参照を許可する回数を格納する領域を設けてあり、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記参照を許可する回数を減算し、前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限し、
認証されているコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記参照を許可する回数を格納する前記領域に所定の値をセットする
ことを特徴とする情報管理方法
前記認証されているコンピュータはネットワークを介して接続するサーバによって認証されていることを特徴とする請求項４記載の情報管理方法。
請求項４記載の情報管理方法において、
前記リムーバブルメディアには、さらに前記リムーバブルメディアに格納された前記情報の参照を許可する期限（参照有効期限）を格納する領域を設け、
前記サーバ及び前記コンピュータのいずれか一方の時計が示す時刻が、前記参照有効期限を超えている場合は、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する
ことを特徴とする請求項４記載の情報管理方法。
リムーバブルメディアに格納された情報の情報管理方法であって、
前記リムーバブルメディアには格納された前記情報の参照を許可する期間と、前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）とを格納する領域を設けてあり、
前記リムーバブルメディアに情報を格納したコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記参照を許可する期間を格納する前記領域に所定の値をセットし、
前記格納したコンピュータの他のコンピュータで前記リムーバブルメディアが使用される場合には、該他のコンピュータは前記最終アクセス時刻から該他のコンピュータの時計が示す時刻までの経過時間を前記参照を許可する期間から減算し、前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する
ことを特徴とする情報管理方法
リムーバブルメディアに格納された情報の情報管理方法であって、
前記リムーバブルメディアには格納された前記情報の参照を許可する回数を格納する領域を設けてあり、
前記リムーバブルメディアに情報を格納したコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータは前記参照を許可する回数を格納する前記領域に所定の値をセットし、
前記格納したコンピュータの他のコンピュータで前記リムーバブルメディアが使用される場合には、該他のコンピュータは前記参照を許可する回数を減算し、前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する
ことを特徴とする情報管理方法
リムーバブルメディアに格納された情報の情報管理システムであって、
前記リムーバブルメディアには格納された前記情報の参照を許可する期間と、前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）とを格納する領域を設けてあり、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合に、前記最終アクセス時刻から該コンピュータの時計が示す時刻までの経過時間を、前記参照を許可する期間から減算する手段、
前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段、及び
認証されているコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する期間を格納する前記領域に所定の値をセットする手段
を設けたことを特徴とする情報管理システム
前記認証されているコンピュータはネットワークを介して接続するサーバによって認証されていることを特徴とする請求項９記載の情報管理システム。
請求項９記載の情報管理システムにおいて、
前記リムーバブルメディアには、さらに前記リムーバブルメディアに格納された前記情報の参照を許可する期限（参照有効期限）を格納する領域を設け、
前記サーバ及び前記コンピュータの少なくとも一方の時計が示す時刻が、前記参照有効期限を超えている場合は、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段
を設けたことを特徴とする請求項９記載の情報管理システム。
前記減算する手段、前記アクセスを制御する手段、及び前記値をセットする手段は、前記リムーバブルメディアに格納されたプログラムにより実現されることを特徴とする請求項９記載の情報管理システム。
リムーバブルメディアに格納された情報の情報管理システムであって、
前記リムーバブルメディアには格納された前記情報の参照を許可する回数を格納する領域を設けてあり、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する回数を減算する手段、
前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段、及び
認証されているコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する回数を格納する前記領域に所定の値をセットする手段
を設けたことを特徴とする情報管理システム
請求項１３記載の情報管理システムにおいて、
前記リムーバブルメディアには、さらに前記リムーバブルメディアに格納された前記情報の参照を許可する期限（参照有効期限）を格納する領域を設け、
前記サーバ及び前記コンピュータの少なくとも一方の時計が示す時刻が、前記参照有効期限を超えている場合は、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段
を設けたことを特徴とする請求項１３記載の情報管理システム。
前記減算する手段、前記アクセスを制御する手段、及び前記値をセットする手段は、前記リムーバブルメディアに格納されたプログラムにより実現されることを特徴とする請求項１３記載の情報管理システム。
リムーバブルメディアに格納された情報の情報管理システムであって、
前記リムーバブルメディアには格納された前記情報の参照を許可する期間と、前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）とを格納する領域を設けてあり、
前記リムーバブルメディアに情報を格納したコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する期間を格納する前記領域に所定の値をセットする手段、
前記格納したコンピュータの他のコンピュータで前記リムーバブルメディアが使用される場合に、前記最終アクセス時刻から該他のコンピュータの時計が示す時刻までの経過時間を前記参照を許可する期間から減算する手段、及び
前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段
を設けたことを特徴とする情報管理システム
リムーバブルメディアに格納された情報の情報管理システムであって、
前記リムーバブルメディアには格納された前記情報の参照を許可する回数を格納する領域を設けてあり、
前記リムーバブルメディアに情報を格納したコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する回数を格納する前記領域に所定の値をセットする手段、
前記格納したコンピュータの他のコンピュータで前記リムーバブルメディアが使用される場合に、前記参照を許可する回数を減算する手段、及び
前記減算の結果が予め定めた値以下であれば、前記リムーバブルメディアに格納された前記情報へのアクセスを制限する手段
を設けたことを特徴とする情報管理システム
情報を格納するリムーバブルメディアであって、
前記リムーバブルメディアは格納している情報の参照を許可する期間（参照許可期間）を格納する領域と、
前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）を格納する領域を有し、
前記参照許可期間を格納する前記領域は、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合には、前記最終アクセス時刻を格納した前記領域から読み出した時刻情報から、該コンピュータの時計が示す時刻までの経過時間を減算した結果で更新され、
認証されているコンピュータで前記リムーバブルメディアが使用される場合には、所定の値がセットされる
ことを特徴とするリムーバブルメディア。
リムーバブルメディアに格納された情報の参照を許可する期間（参照許可期間）と、前記リムーバブルメディアに最後にアクセスした時刻（最終アクセス時刻）とを格納する領域を設けてある前記リムーバブルメディアに格納された前記情報を管理する情報管理プログラムであって、
認証されていないコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータに、前記最終アクセス時刻から該コンピュータの時計が示す時刻までの経過時間を前記参照許可期間から減算し、前記減算の結果が予め定めた値以下であれば前記リムーバブルメディアに格納された前記情報へのアクセスを制限する処理と、
認証されているコンピュータで前記リムーバブルメディアが使用される場合には、該コンピュータに、前記参照を許可する期間を格納する前記領域に所定の値をセットする処理
を実行させるための情報管理プログラム。
請求項１９記載の情報管理プログラムを格納する記憶媒体。