JP2006211399A

JP2006211399A - 文書登録装置及びシステム

Info

Publication number: JP2006211399A
Application number: JP2005021889A
Authority: JP
Inventors: Takanori Masui; 隆徳益井
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2005-01-28
Filing date: 2005-01-28
Publication date: 2006-08-10
Anticipated expiration: 2025-01-28
Also published as: JP4774748B2

Abstract

【課題】保存義務期間が長い文書に対するデジタル署名を低いコストで実現する。
【解決手段】ユーザがデジタル複合機１０に対して認証情報を入力する（Ｓ１００）と、認証サーバ３０がそれを認証し、認証が成功するとイニシャルチケットを発行する（Ｓ３０２）。デジタル複合機１０はユーザがセットした紙文書をスキャンし（Ｓ１０２）、得られたスキャン画像データのダイジェスト値を求める（Ｓ１０４）。次にデジタル複合機１０は、タイムスタンプサーバ４０にアクセスするためのサービスチケットを認証サーバ３０から取得し、サービスチケットとダイジェスト値をタイムスタンプサーバ４０に送る（Ｓ１０８）。タイムスタンプサーバ４０は、ダイジェスト値とユーザＩＤと時刻情報を含んだタイムスタンプデータを発行する（Ｓ４００）。デジタル複合機１０は、そのタイムスタンプデータをスキャン画像データに付加して文書サーバに登録する（Ｓ１１０）。
【選択図】図２

Description

本発明は、電子文書を文書サーバに登録するための装置及びシステムに関する。

法令により一定期間の保存が義務づけられている文書（以下「保存義務文書」と呼ぶ）が数多く存在する。これら文書の中には従来からコンピュータ等により電子文書として作成し保存することが認められているものがあるが、最近いわゆるｅ文書法により、従来紙文書での保存が義務づけられていたものも電子保存が認められる流れとなっている。

保存義務文書を電子保存する場合、改ざん等の不正が行われないように対処する必要がある。このような課題に対しては、従来より一般にデジタル署名が利用されている。また、紙文書を読み取って電子保存する場合、正しい紙文書が読み取られていることや読み取りの際に不正がないことを確保するために、読み取った画像に対し読取保存操作を行った人のデジタル署名を付すことも行われている。

デジタル複合機など紙文書を読み取って電子化し保存する場合を考えた場合、この種の装置は一般に複数のユーザで共同利用されることが多いため、電子化した文書に個々のユーザのデジタル署名を施すには、例えばユーザが自分の秘密鍵（及び必要に応じ公開鍵証明書）を保持したＩＣカード等のトークンを携帯し、そのトークンを用いてデジタル署名を行うことが多い。しかし、このような仕組みは、ユーザは常にトークンを携帯していなければならず、煩雑である。

また、個々人にそれぞれトークンを持たせたのでは、トークンや公開鍵証明書の発行に要するコストが大きなものとなってしまう。

これに対し、特許文献１には、サーバ側に個人識別情報と秘密鍵を対応づけて保存しておき、クライアントからの要求に応じて認証ユーザの秘密鍵を使ったデジタル署名を生成する仕組みが開示されている。この仕組みでは、デジタル署名の枠組みで「社印」等に類似した組織の署名を実現するために、組織固有の秘密鍵をその組織に属する各人のユーザＩＤと対応づけて証明書情報データベースに登録し、鍵管理サーバが組織内の人から署名要求を受け取ると、証明書情報データベースにあるその人のユーザＩＤに対応する秘密鍵を用いてデジタル署名を行う。この仕組みは、トークンを用意しなくて良いという利点があるが、組織ごとの秘密鍵を鍵管理サーバにおいて管理する必要があるため、組織の数が増えると管理が煩雑になる。

また、保存義務文書は、例えば領収書は７年、注文書は５年、商業帳簿は１０年などと比較的長期間の保存を要求されるものが少なくないのに対し、個人ユーザ用の公開鍵証明書の有効期限は１〜２年程度が一般的である。したがって、文書の保存期間中に証明書の有効期限が切れる可能性は高く、そのような場合有効期限経過後は署名の検証が困難になる。これを避けようとすれば、時間経過に従って更新される各人の公開鍵証明書を保存し、必要に応じて提供するシステムを構築するか、又は各人に有効期間の長い公開鍵証明書（及び秘密鍵）を持たせたりするなどの方策をとる必要が出てくる。前者はシステム構築や多数のユーザの公開鍵証明書の保管にコストがかかるという問題がある。また後者の場合、有効期間の長い公開鍵や秘密鍵は攻撃への耐性確保のために一般に鍵長も長くなるので、これを用いた暗号化や署名ための計算処理時間が長くなり、ユーザに長い時間の待機を強いるなどの問題が生じる可能性がある。また、有効期間の長い公開鍵証明書は、認証機関から交付を受けるのに要する料金が高くなるという問題もある。

特開２００２−２４７０３１号公報

本発明は、保存義務期間が長い文書に対するデジタル署名を低いコストで実現するための仕組みを提供する。

本発明に係る文書登録装置は、所定の認証サーバに対しユーザの識別情報を含む認証データを渡してユーザ認証を要求する認証要求手段と、認証サーバによるユーザ認証が成功した場合に、登録対象の電子文書のダイジェスト値とユーザの識別情報とを含んだタイムスタンプ要求を所定のタイムスタンプサーバに送信し、ダイジェスト値とユーザの識別情報と時刻情報とを含んだ証明内容情報に対してタイムスタンプサーバのデジタル署名を施して生成されたタイムスタンプデータをタイムスタンプサーバから取得するタイムスタンプ取得手段と、タイムスタンプサーバから受け取ったタイムスタンプデータを登録対象の電子文書に関連づけて所定の文書サーバに登録する登録手段と、を備える。

この装置において、タイムスタンプ取得手段が、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、その文書内容種別に対応する文書保存期間以上の有効期間を有するデジタル署名が施されたタイムスタンプデータを取得するようにしてもよい。

また、この装置において、タイムスタンプ取得手段が、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、登録対象の文書の文書内容種別に対応した文書保存期間の情報を更に含んだ証明内容情報に対してタイムスタンプサーバのデジタル署名を施して生成されたタイムスタンプデータを取得するようにしてもよい。

また、この装置において、タイムスタンプ取得手段が、タイムスタンプサーバからタイムスタンプサービスを受けるためのチケットを取得するために登録対象の電子文書のダイジェスト値を含んだチケット要求を生成して認証サーバに送信し、この要求に応じて認証サーバから該ダイジェスト値をタイムスタンプサーバ固有の鍵で暗号化した形で含んだチケットを取得し、このチケットをタイムスタンプ要求と共にタイムスタンプサーバに送ることで、タイムスタンプサーバからタイムスタンプデータを取得するようにしてもよい。

また、この装置に、タイムスタンプ取得手段が取得したタイムスタンプデータのデジタル署名の正当性を検証する署名検証手段を更に設け、署名検証手段により正当性が検証された場合にのみ、登録手段が電子文書とタイムスタンプデータとを関連づけて文書サーバに登録するようにしてもよい。

本発明に係る文章登録システムは、文書登録装置と認証サーバとタイムスタンプサーバとを含み、文書登録装置は、認証サーバに対しユーザの識別情報を含む認証データを渡してユーザ認証を要求する認証要求手段と、認証サーバによるユーザ認証が成功した場合に、登録対象の電子文書のダイジェスト値とユーザの識別情報とを含んだタイムスタンプ要求をタイムスタンプサーバに送信し、この要求に応じてタイムスタンプサーバから提供されるタイムスタンプデータを取得するタイムスタンプ取得手段と、タイムスタンプサーバから取得したタイムスタンプデータを登録対象の電子文書に関連づけて所定の文書サーバに登録する登録手段と、を備え、認証サーバは、文書登録装置からの認証要求に応じ認証処理を実行し、認証結果を文書登録装置に返し、タイムスタンプサーバは、文書登録装置から受け取ったタイムスタンプ要求から取り出した登録対象の電子文書のダイジェスト値とユーザの識別情報と、現在時刻を示す時刻情報とを含んだ証明内容情報を生成し、証明内容情報に対してタイムスタンプサーバ自身のデジタル署名を施すことによりタイムスタンプデータを生成し、タイムスタンプデータを文書登録装置に返す。

以下、図面を参照して、本発明を実施するための最良の形態（以下「実施形態」と呼ぶ）について説明する。

図１は、本発明に係る文書登録システムの概略構成を示す図である。図１のシステムは、商業帳簿や証憑書類（例えば注文書、領収書）等、商法、税法その他の法令で一定期間の保存義務が定められた保存義務文書を電子化し、保存するためのものであり、ローカル・エリア・ネットワークやインターネット等のデータ通信ネットワーク（図示省略）により相互に接続されたデジタル複合機１０，文書サーバ２０，認証サーバ３０，及びタイムスタンプサーバ３０を備える。

デジタル複合機１０は、コピー機、ネットワークプリンタ、ネットワークスキャナ等の機能を備えた装置であり、このシステムでは紙の書類を読み取って電子化するのに用いられる。デジタル複合機１０は、ユーザの入力を受け付けるための操作部を備える。操作部は、例えば、情報表示やユーザの入力のためのタッチパネル、数字入力のためのテンキー、処理実行を指示するためのスタートボタンなどを備える。

文書サーバ２０は、デジタル複合機１０により電子化された文書を保存するサーバである。

認証サーバ３０は、このシステムを利用しようとするユーザの認証処理を行うとともに、正当なユーザからの要求に応じ、このシステムに属する各サーバへのアクセスのためのチケットを発行する。このような認証サーバ３０としては、例えばネットワーク認証システムであるKerberos（商標）認証システムのＫＤＣ（Key Distribution Center）サーバが知られており、以下に示す例では認証サーバ３０としてＫＤＣサーバを用いる。すなわち、本実施形態では、認証の枠組みとしてKerberos（商標）認証方式を用いることとする。ただし、これはあくまで一例に過ぎず、同様の機能を実現可能な認証サーバ・認証方式であれば、どのようなものを用いてもよい。

タイムスタンプサーバ４０は、ユーザが提示した対象データに対する時刻認証を行うサーバである。時刻認証は、対象データのダイジェスト値（例えばハッシュ関数を適用することで得られるハッシュ値）とユーザＩＤと時刻時報とを含んだ証明内容データに対し、タイムスタンプサーバ４０の秘密鍵を用いたデジタル署名を施すことで行う。このデジタル署名付きの証明内容情報が、タイムスタンプデータとして要求元に提供される。

次に図２を参照して、本実施形態における文書登録作業の手順を説明する。図２では、上から下へ順に処理が進む時系列を示している。

この手順では、まずユーザが文書サーバ２０に登録したい証憑書類等の文書を持ってデジタル複合機１０のところまで行き、デジタル複合機１０の操作部から、認証情報入力のための画面を呼び出すメニューを選択し、それに応じて操作部のディスプレイ（例えばタッチパネル）に表示された入力画面に対し、テンキーやその画面上のソフトウエアキーボードを用いて、そのユーザの識別情報であるユーザＩＤと、認証情報との入力を行う（Ｓ１００）。ユーザＩＤは、Kerberos認証方式の場合はKerberos名である。認証情報は、Kerberos認証の場合は一般にパスワード（ＰＷＤ）であるが、生体識別情報（例えば指紋や網膜パターン）などその他のものを用いることもできる。パスワード等はテンキーやタッチパネルから入力できる。生体識別情報を読み取るためには、そのための読取装置を操作部に設ければよい。このシステムを利用可能なユーザについては、ユーザＩＤ及び認証情報を含むアカウント情報が、あらかじめセキュアな方法で認証サーバ３０に登録されている。ステップＳ１００で入力されたユーザＩＤ及び認証情報は、ネットワークを介して認証サーバ３０に送られる。

認証サーバ３０は、受け取ったユーザＩＤと認証情報を用いてユーザ認証を実行する（Ｓ３００）。認証が成功しなかった場合（すなわちユーザＩＤと認証情報のペアが正当なものでないと判定された場合）は、認証が失敗した旨のエラーメッセージをデジタル複合機１０に返し、処理を終了する（図示省略）。認証が成功した場合は、認証サーバ３０は、Kerberos認証におけるイニシャルチケット（ＴＧＴ：Ticket-Granting Ticketとも呼ばれる）を生成し、デジタル複合機１０に送信する（Ｓ３０２）。イニシャルチケットをはじめ、認証サーバ３０が発行するチケットには、チケット発行先のユーザＩＤの情報が含まれる。

なお、Kerberos認証方式の場合、各ノード（デジタル複合機１０や認証サーバ３０などの装置）間をやりとりされるデータは送信先の鍵やセッション鍵で暗号化されるが、これはよく知られていることなので説明を省略する。

イニシャルチケットを受け取ったデジタル複合機１０は、操作部のディスプレイに、スキャン操作メニューを表示する。ユーザが、これに応じて文書サーバ２０に登録したい紙文書をデジタル複合機１０のプラテンや自動原稿送り装置（ＡＤＦ）にセットし、スタートボタンを押下すると、デジタル複合機１０のスキャン機構によりその紙文書が読み取られる（Ｓ１０２）。このスキャン処理により生成された紙文書のスキャン画像データは、デジタル複合機１０の制御プログラムにより保持、管理される。この制御プログラムは、そのスキャン画像データにメッセージダイジェスト関数を適用することでダイジェスト値を計算し（Ｓ１０４）、タイムスタンプサーバ４０を利用するためのサービスチケットの発行を要求するチケット要求データを生成し、このチケット要求データをイニシャルチケットと共に認証サーバ３０へ送信する（Ｓ１０６）。チケット要求データには、利用したいサービス（この場合はタイムスタンプサーバ４０）を示す情報が含まれる。なお、ステップＳ１０４のダイジェスト値の計算は、Ｓ１０６の後に行っても構わない。

チケット要求データとイニシャルチケットとを受け取った認証サーバ３０は、イニシャルチケットからセッション鍵を取り出し、この鍵でチケット要求データを復号することで、その要求がタイムスタンプサーバ４０へのアクセスのためのチケットを要求するものであることを認識する。これに応じ、認証サーバ３０は、タイムスタンプサーバ４０にアクセスするためのサービスチケットを生成し、デジタル複合機１０へと送信する（Ｓ３０４）。

サービスチケットを受け取ったデジタル複合機１０は、タイムスタンプ要求データを生成し（Ｓ１０８）、これをサービスチケットと共にタイムスタンプサーバ４０へと送信する。タイムスタンプ要求データには、Ｓ１０４で計算されたスキャン画像データのダイジェスト値が含まれる。

タイムスタンプ要求データとサービスチケットを受け取ったタイムスタンプサーバ４０は、Kerberos認証方式に従ってそれらデータが正当なものかを判別し、正当であればタイムスタンプデータを発行する（Ｓ４００）。このタイムスタンプデータの発行処理では、まずタイムスタンプサーバ４０は、サービスチケットからセッション鍵を取り出し、この鍵でタイムスタンプ要求データを復号することで、タイムスタンプ付与対象のスキャン画像データのダイジェスト値を取得する。そして、図３に示すように、このダイジェスト値と、タイムスタンプ付与を要求したユーザのユーザＩＤ（これはサービスチケット又はタイムスタンプ要求データから取得することができる）と、その時の時刻を示す時刻情報（例えば年月日、時分秒の情報を含む）とを含んだ証明内容情報５２を生成し、この証明内容情報に対しタイムスタンプサーバ４０はデジタル署名を行う。デジタル署名は、例えば、タイムスタンプサーバ４０自身の秘密鍵で、証明内容情報のダイジェスト値を暗号化することで署名値５４を求め、この署名値５４を証明内容情報５２に付加することで行われる。このようにして求められた署名値５４付きの証明内容情報５２がタイムスタンプデータ５０となり、要求元のデジタル複合機１０に送信される。なお、タイムスタンプサーバ４０が、そのタイムスタンプデータ５０に対してセッション鍵を用いて暗号化を施した上で、デジタル複合機１０に送信するようにしてもよい。この場合、デジタル複合機１０はタイムスタンプ要求を行う際に用いたセッション鍵を有しているため、その暗号化されたタイムスタンプデータ５０を復号できる。

デジタル複合機１０は、図４に示すように、タイムスタンプサーバ４０から受け取ったタイムスタンプデータ５０を、保持していたスキャン画像データ６０に付加し、タイムスタンプデータ５０付きのスキャン画像データ６０を文書サーバ２０に送信し、登録を要求する（Ｓ１１０）。なお、このとき、デジタル複合機１０が、受け取ったタイムスタンプデータ５０の正当性を検証するようにすれば、よりセキュリティが向上する。この検証は、タイムスタンプサーバ４０の公開鍵証明書（これは公開されているのでデジタル複合機１０は取得可能である）中の公開鍵を用いてタイムスタンプデータ５０のデジタル署名を検証することにより行えばよい。

この要求を受けた文書サーバ２０は、デジタル複合機１０から受け取ったタイムスタンプデータ５０付きのスキャン画像データ６０を自らの管理する文書データベースに登録する（Ｓ２００）。

以上の例では、文書サーバ２０にタイムスタンプデータ５０付きのスキャン画像データ６０を登録する際には認証を行わなかったが、この代わりに、このときにもデジタル複合機１０が認証サーバ３０から文書サーバ２０へのアクセスのためのサービスチケットを取得し、このサービスチケットとタイムスタンプデータ５０付きのスキャン画像データ６０を文書サーバ２０に渡して登録を要求するようにしてもよい。

以上説明したように、このシステムでは、デジタル複合機１０で読み取った文書の電子データ（すなわちスキャン画像データ６０）を文書サーバ２０に保存するに当たり、タイムスタンプサーバ４０のデジタル署名が施されたタイムスタンプデータ５０を付加している。タイムスタンプデータ５０には、その文書の登録操作をしたユーザのＩＤ、登録の時刻、及びその電子データのダイジェスト値が含まれており、しかもそれにタイムスタンプサーバ４０のデジタル署名が付されているので、タイムスタンプデータ５０を調べればどのユーザがいつ登録した文書であるかを判別することができ、またそれらユーザＩＤ、登録時刻及び文書データ内容の改ざんが行われたらそれを検知することができる。

また、このシステムでは、読み取った文書のデータに対するデジタル署名は、特定のタイムスタンプサーバ４０により行われるので、登録操作を行ったユーザのデジタル署名を施す従来方式に比べて、デジタル署名用の鍵の管理が容易である。すなわち、従来方式の場合、各ユーザが自分の秘密鍵を保持したトークンを持ち歩くか、或いは鍵管理サーバに各ユーザの秘密鍵を保管しておく必要があったが、このシステムの場合は、タイムスタンプサーバ４０が自分の秘密鍵を保管しているだけでよい。

また、従来技術の問題点として説明した通り、公開鍵証明書の有効期限が対象文書の保存義務期間の途中で切れたのでは署名検証が困難になるので、文書サーバ２０に登録する文書に施すデジタル署名は、文書の保存義務期間の間有効、すなわちその署名に対応する公開鍵証明書が少なくともその保存義務期間の間は有効であることが望ましい。このように、適切な有効期限を持つデジタル署名を行うための仕組みとしても、このシステムは有効である。すなわち、個々のユーザのデジタル署名を施す従来方式の場合、各ユーザについて有効期限の長い高コストの公開鍵証明書の交付を受ける必要があるが、このシステムでは、１台乃至ごく少数のタイムスタンプサーバ４０に対し交付を受けるだけでよいので、コスト面で有利である。

また、このシステムでは、登録する文書へのデジタル署名は、デジタル複合機１０よりも一般に計算能力が高いタイムスタンプサーバ４０により行われるので、署名のためにユーザを待たせる可能性を低減できる。

また、このシステムでは、タイムスタンプサーバ４０にアクセスするには、認証サーバ３０からサービスチケットを取得する必要があるため、認証サーバ３０において、タイムスタンプ発行を集中管理することができる。すなわち、紙の保存義務文書を電子化して保存する場合、改ざん防止などの観点から、電子化作業を行う人を組織の中の特定の人に限定し、その人の責任を明確に規定することが多い。このような文書の電子化・登録作業を特定の人（複数でもよい）にしか認めない場合に、その特定の人をタイムスタンプ要求権限を持つ人として認証サーバ３０に登録しておく。そして、認証サーバ３０は、タイムスタンプ要求権限を持たない人からタイムスタンプのためのサービスチケットの要求が来ても、サービスチケットは発行しないようにする。これにより、権限のある人にタイムスタンプサービスの利用を限定することができる。

また、保存義務文書は、その種類に応じて保存義務期間の長さが異なるが、本システムでは、その内容種別に応じた適切な有効期間を持つデジタル署名（タイムスタンプ）を文書に付すようにすることもできる。このような変形例について、以下説明する。

すなわち、この変形例では、タイムスタンプサーバ４０が、自ら保持する有効期限の異なる複数の秘密鍵のうち、例えば注文書を登録する場合には有効期間が５年以上残っている秘密鍵、商業帳簿の場合は有効期間が１０年以上残っている秘密鍵を用いるなど、保存義務期間をカバーする有効期間が残っている秘密鍵を用いてデジタル署名を行うようにするのである。この場合の処理の流れは図５に示すようなものとなる。なお、図５において、図２に示したステップと同様の処理内容のステップには同一符号を付して説明を省略する。

図５の手順では、デジタル複合機１０が、スキャンした紙文書の内容種別を判定する（Ｓ１０７）。例えば、紙文書の特定の場所に内容種別を表すコードを印刷しておき、デジタル複合機１０がスキャン画像データの中からそのコードを認識することで、その文書の内容種別を認識するようにすればよい。また、「領収書」や「注文書」など文書内容種別を表す文字列をスキャン画像データの中から抽出し、文字認識を行うことでその文書内容種別を判別するようにしてもよい。また、このような自動判定を試みて失敗した場合に、ユーザに操作部から文書内容種別を指定させる構成とすることも好適である。もちろん、自動判定を行わずに、読み取った文書の種別を必ずユーザに入力させ、この入力からデジタル複合機１０がその文書の内容種別を判定する構成とすることもできる。このステップＳ１０７は、タイムスタンプ要求データの生成（Ｓ１０８）より前であれば、いつ実行してもよい。文書内容種別が分かると、デジタル複合機１０は、スキャン画像データのダイジェスト値とその文書内容種別の情報とを含んだタイムスタンプ要求データを生成し、これをサービスチケットと共にタイムスタンプサーバ４０に送信する（Ｓ１０８）。タイムスタンプサーバ４０は、図６に示すような、文書内容種別ごとの保存義務期間を示したテーブル７０を有しており、タイムスタンプ要求データから文書内容種別の情報を取得し、その文書内容種別に対応する保存義務期間をテーブル７０から求め、現時点からその保存義務期間が経過するまでをカバーする残り有効期間を持つ秘密鍵を選択し、この秘密鍵を用いて証明内容情報にデジタル署名を施すことでタイムスタンプデータを作成する（Ｓ４００）。

なお、月日の経過に伴い公開鍵証明書の残り有効期間は短くなっていくので、タイムスタンプサーバ４０には、対象とする文書内容種別のうち最も保存義務期間が長いものもカバーできるよう、必要に応じて新しい公開鍵証明書の交付を受ける。商業帳簿の１０年の保存義務期間に対応できるようにするには、例えば有効期間（発行日時から失効日時までの期間）が１２年の公開鍵証明書の交付を２年ごとに受けるなどすればよい。なお、有効期間が１２年の秘密鍵は、発行日時から２年以上経過すると商業帳簿の署名には使えないが、注文書など保存義務期間がより短い文書の署名にはまだ使える。

以上の例では、デジタル複合機１０からタイムスタンプサーバ４０に文書内容種別の情報を渡し、タイムスタンプサーバ４０がその文書内容種別に対応する保存義務期間をテーブル７０から求めたが、これは必須ではない。この代わりに、デジタル複合機１０にテーブル７０を持たせ、デジタル複合機１０側で文書内容種別に対応する保存義務期間を求め、この保存義務期間の情報を文書内容種別の情報の代わりにタイムスタンプサーバ４０に渡すようにしてもよい。この場合、タイムスタンプサーバ４０は、受け取った保存義務期間をカバーする残り有効期間を持つ秘密鍵を選択してデジタル署名を行えばよい。

また、この変形例においては、タイムスタンプサーバ４０が対象文書の保存義務期間を知ることができるので、図７に示すように、保存義務期間の情報５６を含めた証明内容情報５２に対してデジタル署名を施すことで、タイムスタンプデータ５０を生成するようにすることもできる。この場合、保存義務期間の情報もタイムスタンプサーバ４０により保証され、改ざんできなくなるため、セキュリティが向上する。

次に別の変形例を説明する。この変形例では、デジタル複合機１０は、図２又は図５に示した処理手順におけるステップＳ１０６において生成するチケット要求データに、紙文書を読み取って得たスキャン画像データのダイジェスト値を組み込む。チケット要求データは、イニシャルチケットと共に受け取ったセッション鍵又は認証サーバ３０の固有の鍵（例えば公開鍵）で暗号化する。認証サーバ３０は、そのチケット要求データを受け取ってダイジェスト値を取得し、ステップＳ３０４では、そのダイジェスト値を含んだサービスチケットを生成する。このサービスチケットは、対象であるサービス、すなわちこの場合はタイムスタンプサーバ４０、の固有の鍵で暗号化される。そして、このサービスチケットを受け取ったデジタル複合機１０は、Ｓ１０８では、ダイジェスト値を含まないタイムスタンプ要求データを生成し、これをサービスチケットと共にタイムスタンプサーバ４０に渡す。タイムスタンプサーバ４０は、タイムスタンプ要求データではなく、サービスチケットの中から文書（スキャン画像データ）のダイジェスト値を取得して証明内容情報５２（図３参照）を生成し、これにデジタル署名を施す（Ｓ４００）。

このように、この変形例では、タイムスタンプサーバ４０の鍵で暗号化されるサービスチケットの中にダイジェスト値を入れてタイムスタンプサーバ４０に送ることができるので、ダイジェスト値の改ざんのリスクを低減することができる。

以上に説明した実施の形態及びその変形例では、紙文書をデジタル複合機１０のスキャナ機能により読み取って文書サーバ２０に登録する場合を例にとったが、パーソナルコンピュータなどにインストールされたアプリケーションで作成した電子文書に対しても、上述と同様の仕組みは適用可能である。

本発明に係る文書登録システムの概略構成を示す図である。文書登録システムにおける文書登録処理の手順を示すフローチャートである。タイムスタンプサーバが発行するタイムスタンプデータの例を示す図である。文書サーバに登録されるタイムスタンプ付きの文書データ（スキャン画像データ）の例を示す図である。変形例のシステムにおける文書登録処理の手順を示すフローチャートである。文書内容種別ごとの保存義務期間を登録したテーブルの例を示す図である。保存義務期間の情報を含んだタイムスタンプデータの例を示す図である。

符号の説明

１０デジタル複合機、２０文書サーバ、３０認証サーバ、４０タイムスタンプサーバ。

Claims

所定の認証サーバに対しユーザの識別情報を含む認証データを渡してユーザ認証を要求する認証要求手段と、
認証サーバによるユーザ認証が成功した場合に、登録対象の電子文書のダイジェスト値とユーザの識別情報とを含んだタイムスタンプ要求を所定のタイムスタンプサーバに送信し、ダイジェスト値とユーザの識別情報と時刻情報とを含んだ証明内容情報に対してタイムスタンプサーバのデジタル署名を施して生成されたタイムスタンプデータをタイムスタンプサーバから取得するタイムスタンプ取得手段と、
タイムスタンプサーバから受け取ったタイムスタンプデータを登録対象の電子文書に関連づけて所定の文書サーバに登録する登録手段と、
を備える文書登録装置。
タイムスタンプ取得手段は、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、その文書内容種別に対応する文書保存期間以上の有効期間を有するデジタル署名が施されたタイムスタンプデータを取得することを特徴とする請求項１記載の文書登録装置。
タイムスタンプ取得手段は、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、登録対象の文書の文書内容種別に対応した文書保存期間の情報を更に含んだ証明内容情報に対してタイムスタンプサーバのデジタル署名を施して生成されたタイムスタンプデータを取得することを特徴とする請求項１記載の文書登録装置。
タイムスタンプ取得手段は、タイムスタンプサーバからタイムスタンプサービスを受けるためのチケットを取得するために登録対象の電子文書のダイジェスト値を含んだチケット要求を生成して認証サーバに送信し、この要求に応じて認証サーバから該ダイジェスト値をタイムスタンプサーバ固有の鍵で暗号化した形で含んだチケットを取得し、このチケットをタイムスタンプ要求と共にタイムスタンプサーバに送ることで、タイムスタンプサーバからタイムスタンプデータを取得することを特徴とする請求項１記載の文書登録装置。
タイムスタンプ取得手段が取得したタイムスタンプデータのデジタル署名の正当性を検証する署名検証手段を更に備え、
署名検証手段により正当性が検証された場合にのみ、登録手段が電子文書とタイムスタンプデータとを関連づけて文書サーバに登録する、
ことを特徴とする請求項１〜４のいずれか１項に記載の文書登録装置。
文書登録装置と認証サーバとタイムスタンプサーバとを含み、
文書登録装置は、
認証サーバに対しユーザの識別情報を含む認証データを渡してユーザ認証を要求する認証要求手段と、
認証サーバによるユーザ認証が成功した場合に、登録対象の電子文書のダイジェスト値とユーザの識別情報とを含んだタイムスタンプ要求をタイムスタンプサーバに送信し、この要求に応じてタイムスタンプサーバから提供されるタイムスタンプデータを取得するタイムスタンプ取得手段と、
タイムスタンプサーバから取得したタイムスタンプデータを登録対象の電子文書に関連づけて所定の文書サーバに登録する登録手段と、
を備え、
認証サーバは、文書登録装置からの認証要求に応じ認証処理を実行し、認証結果を文書登録装置に返し、
タイムスタンプサーバは、文書登録装置から受け取ったタイムスタンプ要求から取り出した登録対象の電子文書のダイジェスト値と、ユーザの識別情報と、現在時刻を示す時刻情報と、を含んだ証明内容情報を生成し、証明内容情報に対してタイムスタンプサーバ自身のデジタル署名を施すことによりタイムスタンプデータを生成し、タイムスタンプデータを文書登録装置に返す、
ことを特徴とする文書登録システム。
文書登録装置のタイムスタンプ取得手段は、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、
タイムスタンプサーバは、対応する公開鍵証明書の有効期限が異なる複数の秘密鍵を有し、タイムスタンプ取得手段からタイムスタンプ要求を受け取った場合、それら複数の秘密鍵のうち、現在時刻から公開鍵証明書の有効期限までの期間が、そのタイムスタンプ要求に含まれる文書内容種別に対応する文書保存期間以上である秘密鍵を用いて証明内容情報にデジタル署名を行うことによりタイムスタンプデータを生成する、
ことを特徴とする請求項６記載の文書登録システム。
文書登録装置のタイムスタンプ取得手段は、登録対象の電子文書の文書内容種別の情報又はその文書内容種別に対応する文書保存期間の情報を更に含むタイプスタンプ要求をタイムスタンプサーバに送信し、
タイムスタンプサーバは、タイムスタンプ取得手段からタイムスタンプ要求を受け取った場合、そのタイムスタンプ要求に含まれる文書内容種別に対応する文書保存期間の情報を更に含んだ証明内容情報を生成し、この証明内容情報にデジタル署名を行うことによりタイムスタンプデータを生成する、
ことを特徴とする請求項６記載の文書登録システム。
文書登録装置のタイムスタンプ取得手段は、タイムスタンプサーバからタイムスタンプサービスを受けるためのチケットを取得するために登録対象の電子文書のダイジェスト値を含んだチケット要求を生成して認証サーバに送信し、
認証サーバは、チケット要求に含まれるダイジェスト値をタイムスタンプサーバ固有の鍵で暗号化した形で含んだチケットを生成して文章登録装置に提供し、
文書登録装置のタイムスタンプ取得手段は、認証サーバから取得したチケットをタイムスタンプ要求に含めてタイムスタンプサーバに送り、
タイムスタンプサーバは、文書登録装置から受け取ったタイムスタンプ要求中のチケットの正当性を判定し、正当な場合にそのチケットから登録対象の電子文書のダイジェスト値を取り出し、このダイジェスト値を用いてタイムスタンプデータを生成する、
ことを特徴とする請求項６記載の文書登録システム。
文書登録装置は、タイムスタンプ取得手段が取得したタイムスタンプデータのデジタル署名の正当性を検証する署名検証手段を更に備え、署名検証手段により正当性が検証された場合にのみ、登録手段が電子文書とタイムスタンプデータとを関連づけて文書サーバに登録する、ことを特徴とする請求項６〜９のいずれか１項に記載の文書登録システム。
文書登録装置からのタイムスタンプ要求に応じてタイムスタンプデータを生成して文書登録装置に提供するタイムスタンプサーバであって、
文書登録装置から登録対象の電子文書のダイジェスト値と登録操作を行ったユーザの識別情報とを含んだタイムスタンプ要求を受け取る要求受信手段と、
受け取ったタイムスタンプ要求から取り出した登録対象の電子文書のダイジェスト値と、ユーザの識別情報と、現在時刻を示す時刻情報と、を含んだ証明内容情報を生成し、証明内容情報に対してタイムスタンプサーバ自身の秘密鍵を用いてデジタル署名を施すことによりタイムスタンプデータを生成する署名手段と、
を備えるタイムスタンプサーバ。
署名手段は、タイムスタンプサーバ自身の秘密鍵として、対応する公開鍵証明書の有効期限が異なる複数の秘密鍵を記憶し、それら複数の秘密鍵のうち、現在時刻から公開鍵証明書の有効期限までの期間が、タイムスタンプ要求に含まれる文書内容種別に対応する文書保存期間以上である秘密鍵を用いて証明内容情報にデジタル署名を行うことによりタイムスタンプデータを生成する、ことを特徴とする請求項１１記載のタイムスタンプサーバ。
署名手段は、タイムスタンプ要求に含まれる文書内容種別に対応する文書保存期間の情報を更に含んだ証明内容情報を生成し、この証明内容情報にデジタル署名を行うことによりタイムスタンプデータを生成する、ことを特徴とする請求項１１記載のタイムスタンプサーバ。
要求受信手段は、文書登録装置に対して所定の認証サーバが発行したチケットを前記タイムスタンプ要求と共に受け取り、
署名手段は、タイムスタンプ要求と共に受け取ったチケットの正当性を判定し、正当な場合にそのチケットから登録対象の電子文書のダイジェスト値を取り出し、このダイジェスト値を用いてタイムスタンプデータを生成する、
ことを特徴とする請求項１１記載のタイムスタンプサーバ。
文書登録装置からの要求に応じ、タイムスタンプサーバの利用のためチケットを発行する認証サーバであって、
文書登録装置からユーザの識別情報を含む認証データを取得し、ユーザ認証を行うユーザ認証手段と、
ユーザ認証が成功したユーザから、文書登録装置を介して、登録対象の電子文書のダイジェスト値を含んだチケット要求を受け取った場合に、そのダイジェスト値とそのユーザの識別情報とを含んだチケットを生成し、文書登録装置に提供するチケット発行手段と、
を備える認証サーバ。