JP2006221548A - 通信装置、通信システム、通信装置用プログラム - Google Patents

Abstract

【課題】 通信装置を含む通信環境下で、不正行為が行われた時点での不正行為者の特定をより容易に行うことにある。
【解決手段】 この画像形成装置３は、管理サーバ５との間で通信可能に接続され、開発サーバ７から送られるプログラムデータを受信可能な装置であって、処理受付手段と、判別手段と、通報手段と、擬似動作発動手段とを備えている。処理受付手段は、プログラムデータを受け付ける。判別手段は、処理受付手段で受け付けたプログラムデータが正規なものであるか否か判別する。通報手段は、プログラムデータが正規のものでないと判別された場合に、不正なプログラムデータを受信されたことを管理サーバ５に通報する。擬似動作発動手段は、プログラムデータが正規のものでない判別された場合に、そのプログラムデータによって正常にアップデートを行っているかのように見せかける疑似動作を行う。
【選択図】 図３

Description

本発明は、通信装置、特に、管理部門との間で通信可能に接続され、外部からの所定の処理を受け付け可能な通信装置に関する。

又、本発明は、そのような通信装置を備えた通信システム及びそのような通信システムに用いられるプログラムに関する。

近年の通信装置として、例えば、複写機、プリンタ等の画像形成装置は、一般に通信機能を備えており、ネットワークを介して外部接続装置と通信可能に接続された環境下では、外部接続装置との間で種々の情報のやりとりが可能である。

このような近年の通信装置は、一方で、動作環境を生成するためのファームウェア等を含む種々のプログラムが格納されており、定期的に新たなバージョンのものによってアップデートを行えるようになっている。かかるアップデートの態様としては、例えば、ファームウェアの開発部門のサイトからネットワークを通じて通信装置内にダウンロードし、アップデートを行うことが挙げられる。

ところが、この種の通信装置において、不正に改ざんされたプログラムによってアップデートを行い、正規のプログラム開発者が意図しない動作を行う状態にする不正行為が行われる場合がしばしばある。

かかる不正行為として、例えば、通信装置としての画像形成装置において、不正なアップデート用プログラムによりファームウェアのアップデート行い、装置内に蓄積された画像データ等がユーザーに気付かれないように外部に配信されてしまう態様がある。

また、他の不正行為として、通信装置を利用する正当な権限を持たない者によるアクセス行為も挙げられるが、このような不正アクセスがあった場合に、警報音を発したり、アクセス元のアドレスや、アクセスのあった時刻、その要求内容等を記録したりする技術が既に提案されている。

関連する技術として、例えば、特許文献１及び２に示すようなものが既に提案されている。
特開２００３−５０８４２号公報 特開２００３−５８６６９号公報

しかしながら、上記従来の技術では、警報音が発せられると、不正行為者がその場から立ち去ってしまい、不正行為が行われた時点で不正行為者を特定するのが困難である。

また、装置内の記録を解析する方法では、事後的になってしまい、不正行為者の確保が困難である。

本発明の課題は、通信装置を含む通信環境下で、不正行為が行われた時点での不正行為者の特定をより容易に行うことにある。

請求項１に係る通信装置は、管理部門との間で通信可能に接続され、外部からの所定の処理を受け付け可能な通信装置であって、処理受付手段と、判別手段と、通報手段と、擬似動作発動手段とを備えている。処理受付手段は、所定の処理を受け付ける。判別手段は、処理受付手段で受け付けた処理が正当な処理であるか否かを判別する。通報手段は、所定の処理が正当な処理でないと判別された場合に、不正な処理が検出されたことを管理部門に通報する。擬似動作発動手段は、所定の処理が正当な処理でないと判別された場合に、所定の処理を正当な処理として扱っているかのように見せかける疑似動作を行う。

この装置では、外部からの処理を受け付けると、その処理が正当であるか否かの判別が行われ、不正な処理と判別された場合は、管理部門にその旨通報されるとともに、擬似動作が行われる。これにより、不正な処理を行おうとした者に対し、その処理が正当な処理として扱われていると思い込んで作業を続けさせ、その間に管理部門で不正行為者の特定に時間を割くことができ、不正行為が行われた時点での不正行為者の特定をより容易に行えるようになる。

なお、本発明において、所定の処理には、通信装置に対するアクセス行為や、外部サイトに接続して通信装置内にプログラムデータをダウンロードする行為、又はそのようなプログラムデータによって既に通信装置に格納されているプログラムデータをアップデートする行為等が含まれる。

疑似動作としては、不正な処理が受け入れられたかのように見える動作であって外部から認識可能なものであれば良く、例えば、通信装置に対するアクセスが許容されたことを示す画面の表示や、外部からのプログラムデータのダウンロードや外部からダウンロードしたプログラムデータによるアップデート作業が進行中であることを示す画面の表示等が含まれ、警報音等の不正行為者を現場から退去させるおそれのある動作は除かれる。

管理部門としては、通信装置の管理者の元に設置されたサーバコンピュータ等が挙げられる。また、管理部門への通報の態様としては、E-mail、インスタントメッセージ、音声メッセージ、管理部門において用いられる専用ツールへのメッセージの送信等が挙げられる。

通信装置としては、他の外部接続装置との間で通信可能な機能を有する装置であればよく、例えば、画像形成装置等の事務機器、その他家電製品などが含まれる。

正当な処理とは、通信装置に対するアクセス、プログラムデータのダウンロード、アップデート等を行うことについて正当な権限を持つ者による処理であって、例えば、予め通信装置に正当な権限を持つものとして登録された複数のユーザーのいずれかに該当する者による処理が含まれる。

請求項２に係る通信装置は、請求項１の装置において、通信装置は、外部接続装置から取得したプログラムデータに基づいて動作可能である。そして、疑似動作発動手段は、擬似動作として、プログラムデータの更新を行っているかのように見せかける動作を行う。

この装置では、例えば、不正に改ざんされたプログラムデータが格納された外部接続装置にアクセスして、既に通信装置内に格納されているプログラムデータのアップデートが行われようとした場合に、その不正なプログラムデータによって更新が行われているかのような擬似動作が行われるので、そのような行為を行う者に対し、不正なプログラムデータによる書き換えがうまく進行しているかのように思わせ、その間に管理部門においてその不正行為者を特定するための時間を稼ぐことができる。

なお、ここでの擬似動作としては、例えば、「アップデート中です」といったメッセージの表示や、アップデート作業が進行中であるかのような表示を行うインジケータの表示等が挙げられる。

プログラムデータには、ファームウェア、アプリケーションソフト等のソフトウェア、ドライバ等が含まれる。

管理部門に通報される情報としては、例えば、不正なプログラムデータを配信するサーバ等の外部接続装置に固有の情報、例えば、装置の名称、ＩＰアドレス、ＭＡＣアドレス等が含まれる。

また、外部接続装置には、通信装置に対して、ネットワーク接続されたもののほかローカル接続されたものも含まれる。

請求項３に係る通信装置は、請求項２の装置において、疑似動作発動手段は、擬似動作として、外部接続装置に対しプログラムデータを再度送信するよう要求する動作をさらに行う。

この装置では、擬似動作として、例えば、アップデートが行われているかのような動作が行われるのみでなく、プログラムデータの再送信が要求されるため、管理部門が不正行為者を特定するための時間をより多く稼ぐことができる。

請求項４に係る通信装置は、請求項２又は３の装置において、通信装置を利用する権限を持つ者であることを示すための認証用データを入力するための入力手段をさらに備えている。そして、擬似動作発動手段は、擬似動作として、認証用データの入力を要求する動作をさらに行う。

この装置では、擬似動作として、例えば、アップデートが行われているかのような動作が行われるのみでなく、認証用データの入力が要求されるため、管理部門が不正行為者を特定するための時間をより多く稼ぐことができる。

また、この装置では、入力された認証用データを、不正行為者を特定するための有益な情報として利用することができる。

請求項５に係る通信システムは、請求項１から４のいずれか１項に記載の通信装置と、管理部門と、外部接続装置とを備えている。管理部門は、通信装置と通信可能に接続され、通信装置の管理を行う。外部接続装置は、通信装置と通信可能に接続されている。

このシステムでは、請求項１から４のいずれかの通信装置を備えたことで、不正な処理を行おうとした者に対し、その処理が正当な処理として扱われていると思い込んで作業を続けさせ、その間に管理部門で不正行為者の特定に時間を割くことができ、不正行為が行われた時点での不正行為者の特定をより容易に行えるようになる。

請求項６に係る通信装置用プログラムは、管理部門との間で通信可能に接続され外部から所定の処理を受け付け可能な通信装置に用いられるコンピュータに、処理受付機能と、判別機能と、通報機能と、擬似動作発動機能とを実現させるためのプログラムである。処理受付機能では、所定の処理を受け付ける。判別機能は、処理受付機能で受け付けた処理が正当な処理であるか否かを判別する。通報機能は、所定の処理が正当な処理でないと判別された場合に、管理部門に不正な処理が検出されたことを通報する。擬似動作発動機能は、所定の処理が正当な処理でないと判別された場合に、所定の処理を正当な処理として扱っているかのように見せかける疑似動作を行う。

このプログラムが通信装置のコンピュータに実行された場合は、請求項１の通信装置と同様の効果を得ることができる。

本発明によれば、外部からの処理を受け付けると、その処理が正当であるか否かの判別が行われ、不正な処理と判別された場合は、管理部門にその旨通報されるとともに、擬似動作が行われる。これにより、不正な処理を行おうとした者に対し、その処理が正当な処理として扱われていると思い込んで作業を続けさせ、その間に管理部門で不正行為者の特定に時間を割くことができ、不正行為が行われた時点での不正行為者の特定をより容易に行えるようになる。

＜画像形成システムの構成＞
図１、本発明の一実施形態が採用された画像形成システム１を示す。

この画像形成システム１は、画像形成装置３と、管理サーバ５（管理部門）と、開発サーバ７（外部接続装置）とを備えている。

管理サーバ５は、画像形成装置３の管理者の元に設置されたサーバであって、画像形成装置３とネットワーク接続されている。

開発サーバ７は、画像形成装置３で使用される各種プログラムデータを開発する開発部門に設置されたサーバであって、画像形成装置３とネットワーク接続されている。ここで格納されるプログラムデータとしては、ファームウェア等が含まれる。

なお、画像形成システム１の外部には、画像形成装置３とネットワーク接続されたＰＣ９が設置されており、このＰＣ９には、不正に改ざんされた、ファームウェアのアップデート用プログラムが格納されている。

＜画像形成装置＞
この画像形成装置３は、複写機、プリンタ、ファクシミリ装置、スキャナ装置としての機能を併有する複合機であって、図２に示すように、操作パネル１１（入力手段、擬似動作発動手段）と、通信部１３（処理受付手段、通報手段）と、制御部１５（判別手段）と、他の入出力部とを備えている。

操作パネル１１は、複数の操作キー２１と、タッチパネル式の液晶ディスプレイで構成された表示部２３とを有している。

操作キー２１には、印刷動作等の指示のためのスタートキーや、数値入力のためのテンキー、種々の設定キー等が含まれる。

表示部２３には、待機画面のほか、種々の操作画面が表示され、ユーザーがタッチパネルに触れる動作を行うことで、その操作内容が受け付けられる。操作画面には、例えば、開発サーバ７等から受信したプログラムデータによりアップデートを行っていることを示すアップデート画面が含まれる。

アップデート画面は、開発部門で認可された正規のファームウェアによるアップデートを行う場合のみでなく、不正に改ざんされたファームウェアによるアップデートがされようとした場合にも表示されるとともに、後者の場合には、アップデート画面の表示のみが行われ、アップデート作業は実際には行われない。認証画面では、ＩＤ及びパスワード（認証用データ）が入力可能である。

通信部１３は、開発サーバ７及び管理サーバ５等との間で通信を行うためのものであり、例えば、開発サーバ７からプログラムデータの受信や、外部から不正なプログラムデータを取得した場合の管理サーバ５への通報を行うことができる。また、通信部１３は、ＰＣ９との間でも通信可能である。

通信部１３の管理サーバ５への通報は、画像形成装置３において、警告音の発生等、不正行為者を威嚇するような動作を行うことなく、外部からは一見して分からないようにして行われる。

制御部１５は、入出力部の動作の制御、画像処理等を行うためのものであり、ＣＰＵ及びメモリを含むマイクロコンピュータで構成されている。

メモリには、ＣＰＵに実行させるための種々のプログラムが格納されている。ここで格納されるプログラムとしては、ファームウェアや、アプリケーション等のソフトウェアのほか、後述の不正行為対処プログラム（通信装置用プログラム）が含まれる。

ファームウェアは、開発サーバ７から取得したプログラムデータによってアップデート可能である。

不正行為対処プログラムは、ＣＰＵによって実行されることで、処理受付機能と、判別機能と、通報機能と、擬似動作発動機能とが実現されるよう構成されている。

処理受付機能では、通信部１３を介して、操作パネル１１での操作によるアクセスや、ＰＣ９からのアクセスを受け付ける。また、処理受付機能では、ＰＣ９での操作による、ＰＣ９内に格納された不正なプログラムデータの送信や、ＰＣ９以外に不正なプログラムデータを格納する他のサーバからの不正なプログラムデータの送信、さらには、これらの不正なプログラムによって既に画像形成装置３内に格納されているファームウェア等がアップデートされる行為をも受け付ける。

判別機能では、処理受付機能で受け付けた各種処理が正当な処理であるか否かが判別され、ここでは、電子署名が正当であるか否かの認証に用いられる、ハッシュ関数を用いた方法と同様にして行われる。

例えば、開発サーバ７から受信するプログラムデータについての判別を行う場合は、開発サーバ７では、私有鍵によるプログラムデータの暗号化及びハッシュ関数を用いてのハッシュ値の取得を行うとともに、画像形成装置３では、公開鍵によるプログラムデータの復号化及び受信したプログラムデータのハッシュ値の算出を行い、次いで復号化されたプログラムデータのハッシュ値との比較を行う。この結果、２つのハッシュ値が同じであれば正規のプログラムデータ、異なっていれば不正なプログラムデータであると判別される。

通報機能では、判別機能において、受け付けた処理が正当な処理でないと判別された場合に、管理サーバ５に対しその旨を、通信部１３を介してE-mail送信により通報させる。

擬似動作発動機能では、処理受付機能において受け付けた処理が正当な処理でないと判別された場合に、その処理を正当な処理として扱っているかのように見せかける疑似動作を行う。そのような擬似動作としては、例えば、不正なプログラムデータによるアップデートが行われているかのようなアップデート画面の表示が含まれる。なお、擬似動作発動機能では、通信部１３に対し、後述するようにＰＣ９のディスプレイ３１上においてもアップデート画面を表示させるよう動作する。

また、メモリには、画像形成装置３を利用する正当な権限を有するユーザーがそのＩＤ及びパスワードと共に登録されている。さらに、メモリには、プログラムデータの送信元の情報として、ＩＰアドレスやＭＡＣアドレス、送信元を識別するための情報を保存可能である。

画像形成装置３は、他の入出力部として、図示しない、画像の読み取りを行うための画像読取部、用紙に画像形成を行うための画像形成部等を有している。

なお、ＰＣ９は、出力装置としてのディスプレイ３１（入力手段）を備えており、画像形成装置３の擬似動作発動機能によって、ディスプレイ３１上に、操作パネル１１の表示部２３に表示されるのと同様のアップデート画面が表示される。

＜画像形成システムの動作＞
次に、図３に基づいて、画像形成システム１の動作に注目して説明する。

ここでは、所定の処理として、外部から不正なプログラムデータを取得した場合の動作について説明する。

画像形成装置３において、例えば、何者かがＰＣ９において所定の操作を行って、画像形成装置３に対し、ファームウェアのアップデート用プログラムデータを送信し、画像形成装置３においてそれが受信されると（Ｓ１）、ＰＣ９のＩＰアドレス等の送信元情報がメモリに保存されるとともに（Ｓ２）、そのプログラムデータが復号化され、ハッシュ値が計算される（Ｓ３）。

そして、算出されたハッシュ値と、正規なアップデート用プログラムのハッシュ値との比較により正規のプログラムデータであるか否かの判断が行われ（Ｓ４）、ここでは、両者のハッシュ値が異なるので、正規なプログラムデータでないと判断され、このプログラムデータはメモリ内で他のデータ等から隔離して保存されるとともに（Ｓ５）、管理サーバ５に不正なプログラムデータを取得した旨の通知を、送信元情報と共にE-mail送信により行う（Ｓ６）。

次いで、操作パネル１１及びＰＣ９のディスプレイ３１上に、ファームウェアのアップデートを開始する旨の表示が行われ（Ｓ７）、さらに、アップデート中である旨の表示（Ｓ８）、アップデートが完了した旨の表示（Ｓ９）が行われる。

なお、開発サーバ７からの正規のプログラムデータが受信された場合は（Ｓ１）、ステップＳ４において、画像形成装置３において算出されたハッシュ値と受信したこのプログラムデータのハッシュ値とが同じであるので、正規なプログラムデータであると判断され、この場合は、正常にアップデートが開始されるとともに（Ｓ１０）、アップデータ開始表示が行われ（Ｓ１１）、さらに、アップデート作業が順次行われるとともに（Ｓ１２）、アップデート中である旨の表示が行われ（Ｓ１３）。そして、アップデートが完了したのを受けて（Ｓ１４）、アップデート完了表示が行われる（Ｓ１５）。

以上の画像形成システム１によれば、画像形成装置３は、ＰＣ９からの不正なプログラムデータを受信した場合には、警報音等を発して不正行為者を威嚇することなく擬似動作が行われるので、かかる不正行為者に対し、その処理が正当な処理として扱われていると思い込ませて作業を続けさせることができる。

一方で、管理サーバ５では、画像形成装置３から不正なプログラムデータを受信した旨の通報がされ、画像形成装置３により擬似動作が行われている間に、ＩＰアドレス等の送信元情報を基にＰＣ９の特定に時間をかけることができ、不正行為者が不正行為の現場にいる間に特定できる可能性を高めることができる。

＜他の実施形態＞
（ａ）上記実施形態において、画像形成装置３は、不正なアップデートが行われようとした場合に、操作パネル及びＰＣ９のディスプレイ３１上に、アクセスするユーザーが正当な利用権限を持った者か否かの認証を行うための認証画面を表示するよう構成されても良い。例えば、図４に示す動作を行うよう構成することができる。

なお、図４において、ステップＳ２１乃至Ｓ２６は図３のステップＳ１乃至Ｓ６と、また、ステップＳ３０乃至Ｓ３８は図３のステップＳ７乃至Ｓ１５とそれぞれ同様の手順である。

図４のステップＳ２４において、正規のデータでないと判断された場合は、ステップＳ２６で管理サーバへの通報が行われた後、ここでは、操作パネル及びＰＣ９のディスプレイ３１上に、認証画面が表示され（Ｓ２７）、認証画面に対する入力が行われた場合は（Ｓ２８）、入力された情報も管理サーバに送信される（Ｓ２９）。そして、図３のステップＳ７乃至Ｓ９と同様の擬似動作が行われる（Ｓ３０乃至Ｓ３２）。

（ｂ）上記実施形態において、画像形成装置３は、不正なアップデートが行われようとした場合に、ＰＣ９に対し、さらに不正なプログラムデータの再送信を要求するよう構成されてもよい。例えば、図５に示す動作を行うよう構成することができる。

なお、図５において、ステップＳ４１乃至Ｓ４６は図３のステップＳ１乃至Ｓ６と、また、ステップＳ５０乃至Ｓ５８は図３のステップＳ７乃至Ｓ１５とそれぞれ同様の手順である。

図５のステップＳ４４において、正規データでないと判断された場合は、ステップＳ４６で管理サーバへの通報が行われた後、ここでは、操作パネル及びＰＣのディスプレイ３１上に、アップデート用プログラムの再送信を要求するメッセージが表示され（Ｓ４７）、再度ＰＣ９からプログラムデータが送信されるのを受けて（Ｓ４８）、送信されたプログラムデータが正規のデータであるか否かが判断され（Ｓ４９）、正規なデータであればステップＳ５３に移行するとともに、正規なデータでない場合は、図３のステップＳ７乃至Ｓ９と同様の擬似動作が行われる（Ｓ５０乃至Ｓ５２）。

（ｃ）本発明での不正アップデートには、画像形成装置３に対し、ネットワーク接続されたＰＣ９のみに限定されるものではなく、ローカル接続された他の外部接続装置によって行われる態様も含まれる。ローカル接続の態様としては、画像形成装置３に設けられたＵＳＢポート等に他の外部接続装置が直接接続される態様等が含まれる。

（ｄ）外部からの処理が正当であるか否かの判断に用いる方法としては、上記実施形態のようなハッシュ値を用いた電子署名等において行われる方法に限定されず、他の方法が採用されても良い。

（ｅ）管理サーバへの通報は、E-mail送信のほか、インスタントメッセージ、電話での音声メッセージ、管理部門において用いられる専用ツールへのメッセージ等の送信により行われても良い。

（ｆ）本発明の通信装置は、画像形成装置に限定されず、所定のプログラムデータに基づいて動作しかつ通信機能を有する装置であれば、家電製品や、空調機、給湯器等のエネルギー消費機器等、種々の装置を採用可能である。

本発明の一実施形態が採用された画像形成システムを示す図。 前記画像形成装置の機能構成を示すブロック図。 前記画像形成システムの動作を説明するためのフローチャート。 本発明の他の実施形態が採用された画像形成システムの動作を説明するためのフローチャート。 本発明の他の実施形態が採用された画像形成システムの動作を説明するためのフローチャート。

符号の説明

１ 画像形成システム
３ 画像形成装置（通信装置）
５ 管理サーバ（管理部門）
７ 開発サイト（外部接続装置）
１１ 操作パネル（入力手段）
２３ 表示部
３１ ＰＣのディスプレイ（入力手段）

Claims (6)

1. 管理部門との間で通信可能に接続され、外部からの所定の処理を受け付け可能な通信装置であって、
   前記所定の処理を受け付ける処理受付手段と、
   前記処理受付手段で受け付けた処理が正当な処理であるか否かを判別する判別手段と、
   前記所定の処理が正当な処理でないと判別された場合に、不正な処理が検出されたことを前記管理部門に通報する通報手段と、
   前記所定の処理が正当な処理でないと判別された場合に、前記所定の処理を正当な処理として扱っているかのように見せかける疑似動作を行う疑似動作発動手段と、
   を備えた通信装置。
2. 前記通信装置は、外部接続装置から取得したプログラムデータに基づいて動作可能であり、
   前記疑似動作発動手段は、前記擬似動作として、前記プログラムデータの更新を行っているかのように見せかける動作を行う、
   請求項１に記載の通信装置。
3. 前記疑似動作発動手段は、前記擬似動作として、前記外部接続装置に対し前記プログラムデータを再度送信するよう要求する動作をさらに行う、請求項２に記載の通信装置。
4. 前記通信装置を利用する権限を持つ者であることを示すための認証用データを入力するための入力手段をさらに備え、
   前記擬似動作発動手段は、前記擬似動作として、前記認証用データの入力を要求する動作をさらに行う、
   請求項２又は３に記載の通信装置。
5. 請求項１から４のいずれか１項に記載の通信装置と、
   前記通信装置と通信可能に接続され、前記通信装置の管理を行う管理部門と、
   前記通信装置と通信可能に接続された外部接続装置と、
   を備えた通信システム。
6. 管理部門との間で通信可能に接続され外部から所定の処理を受け付け可能な通信装置に用いられるコンピュータに、
   前記所定の処理を受け付ける処理受付機能と、
   前記処理受付機能で受け付けた処理が正当な処理であるか否かを判別する判別機能と、
   前記所定の処理が正当な処理でないと判別された場合に、前記管理部門に前記不正な処理が検出されたことを通報する通報機能と、
   前記所定の処理が正当な処理でないと判別された場合に、前記所定の処理を正当な処理として扱っているかのように見せかける疑似動作を行う疑似動作発動機能と、
   を実現させるための通信装置用プログラム。

Images