JP2007080145A - データ管理システム、データ処理方法およびデータ処理プログラム - Google Patents

Abstract

【課題】 クライアントサーバ方式を用いてデータの共有化を図る際に、サーバ側におけるデータの復号化を不可能にすること。
【解決手段】 クライアント１は、文書作成プログラムを起動し、ファイルサーバ２に登録する文書（Ｄ）を作成する。文書（Ｄ）には、識別用の文書ＩＤが付与される。次に、クライアント１は、文書（Ｄ）を暗号・復号化するための共通鍵として機能する鍵（Ｋ）を、暗号鍵生成プログラムを実行することによって自動生成する。そして、クライアント１は、文書（Ｄ）を鍵（Ｋ）で暗号化し、暗号文書（Ｄｅ）に変換する。続いて、クライアント１は、鍵（Ｋ）を、クライアント１に予め設定されている、システムでユニークな共通鍵（Ｋｕ）で暗号化し、暗号鍵（Ｋｅ）に変換する。クライアント１は、暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）をＬＡＮ４を介してファイルサーバ２へ送信する。
【選択図】 図１

Description

本発明は、サーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システム、データ処理方法およびデータ処理プログラムに関する。

近年、ＩＴ技術の発達に伴って、高度情報化社会では、情報システムとそのなかで扱う情報の安全確保、つまりセキュリティの確保が強く求められている。
従来、ネットワーク上で管理する文書データを第三者が理解できないように変換するデータの暗号化技術が下記の特許文献をはじめ種々提案されている。
特開２００３−８７２３７公報 特開２００１−１３４６１２公報

特許文献１には、コンテンツの利用権限証明書にコンテンツ鍵を暗号化して格納し、正当なユーザのみにコンテンツ鍵を取得させてコンテンツの閲覧を可能にする暗号化コンテンツの配信システム技術が提案されている。
また、特許文献２には、ネットワーク上で公開された電子文書に対する無許可者によるアクセスを防止する技術が提案されている。

上述した特許文献で提案されている従来のシステムでは、登録したデータを暗号化する仕組みや、ある利用者が登録したデータをアクセスが許可されたほかの利用者のみがアクセスすることができるデータ共有の仕組みは導入されている。
しかしながら、従来のシステムでは、利用者がサーバの管理者や開発者を信用してデータを預けることが前提となっていた。
ところがデータ管理におけるセキュリティの向上要求が高くなるに従い、これらの機能を満たしながらも、登録したデータの内容をサーバ側の管理者や開発者などの特別な権限を有する人にも知られないことが要求されている。
そこで、本発明は、クライアントサーバ方式を用いてデータの共有化を図る際に、サーバ側におけるデータの復号化を不可能にするデータ管理システム、データ処理方法およびデータ処理プログラムを提供することを目的とする。

請求項１記載の発明では、利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムであって、所定のデータに紐付けされた暗号用共通鍵を生成する暗号用共通鍵生成手段と、前記暗号用共通鍵生成手段で生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第１の変換手段と、前記クライアント間において共通なシステム共通鍵を用いて、前記暗号用共通鍵生成手段で生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第２の変換手段と、前記第１の変換手段で変換された前記暗号データと、前記第２の変換手段で変換された前記暗号鍵を前記サーバへ送信するデータ送信手段と、前記サーバに登録されているデータの読み出し要求を行うデータ要求手段と、前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と、前記暗号データと、を前記サーバから取得するデータ取得手段と、前記データ取得手段で前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第３の変換手段と、前記第３の変換手段で変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第４の変換手段と、前記データ取得手段で前記サーバから取得した前記暗号データを、前記第４の変換手段で変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第５の変換手段と、を備えることにより前記目的を達成する。

請求項２記載の発明では、請求項１記載の発明において、前記所定のデータの内容を更新する場合は、更新ごとに前記暗号用共通鍵生成手段によって前記暗号用共通鍵を生成する。
請求項３記載の発明では、請求項１または請求項２記載の発明において、前記第３の変換手段を、前記クライアントの外部に設ける。

請求項４記載の発明では、利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムにおいて用いられるデータ処理方法であって、所定のデータに紐付けされた暗号用共通鍵を生成する第１のステップと、前記第１のステップで生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第２のステップと、前記クライアント間において共通なシステム共通鍵を用いて、前記第１のステップで生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第３のステップと、前記第２のステップで変換された前記暗号データと、前記第３のステップで変換された前記暗号鍵を前記サーバへ送信する第４のステップと、前記サーバに登録されているデータの読み出し要求を行う第５のステップと、前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と前記暗号データと、を前記サーバから取得する第６のステップと、前記第６のステップで前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第７のステップと、前記第７のステップで変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第８のステップと、前記第６のステップで前記サーバから取得した前記暗号データを、前記第８のステップで変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第９のステップと、を有することにより前記目的を達成する。

請求項５記載の発明では、利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムにおいて用いられるデータ処理プログラムであって、所定のデータに紐付けされた暗号用共通鍵を生成する暗号用共通鍵生成機能と、前記暗号用共通鍵生成機能で生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第１の変換機能と、前記クライアント間において共通なシステム共通鍵を用いて、前記暗号用共通鍵生成機能で生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第２の変換機能と、前記第１の変換機能で変換された前記暗号データと、前記第２の変換機能で変換された前記暗号鍵を前記サーバへ送信するデータ送信機能と、前記サーバに登録されているデータの読み出し要求を行うデータ要求機能と、前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と、前記暗号データと、を前記サーバから取得するデータ取得機能と、前記データ取得機能で前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第３の変換機能と、前記第３の変換機能で変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第４の変換機能と、前記データ取得機能で前記サーバから取得した前記暗号データを、前記第４の変換機能で変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第５の変換機能と、をコンピュータに実現させることにより前記目的を達成する。

請求項１、請求項４、請求項５記載の発明によれば、暗号データを復号するために必要な全ての情報がサーバに渡されないため、サーバにおいてデータの復号が不可能になる。これにより、サーバに登録（格納）されるデータの機密性を向上させることができる。
請求項２記載の発明によれば、更新ごとに暗号用共通鍵を生成することにより、所定のデータの更新処理を行った場合であっても、サーバに登録（格納）されるデータの処理を適切に行うことができる。
請求項３記載の発明によれば、第３の変換手段をクライアントの外部に設けることにより、秘密鍵の漏洩を防ぐことができるため、復号時におけるセキュリティを向上させることができる。

以下、本発明の好適な実施の形態について図１から図３を参照して詳細に説明する。
図１は、本実施の形態に係る共有データ管理システムの概略構成を示した図である。
共有データ管理システムは、ＬＡＮ（ローカル・エリア・ネットワーク）４を介して接続されたクライアント１とファイルサーバ２、ファイルサーバ２に設けられた共有ファイル格納部３を備えている。
クライアント１は、ファイルサーバ２が提供するサービスを利用する側のコンピュータであり、ユーザが使用する端末装置である。
ファイルサーバ２は、データ（ファイル）の保管や入出力、アクセスなどの管理サービスを提供する側のホスト装置であり、データ（ファイル）の共有化を図るためのサービスを提供する。

クライアント１およびファイルサーバ２は、プログラムによって情報処理を行うコンピュータからなり、入力、記憶、演算、制御、出力の機能を備えている。
クライアント１には、例えば、文書作成プログラム、暗号鍵生成プログラム、各種暗号化・復号化プログラムなどが格納されている。一方、ファイルサーバ２には、例えば、暗号鍵暗号化プログラム、公開鍵照合プログラムなどが格納されている。
なお、本実施の形態では、クライアント１とファイルサーバ２は、ＬＡＮ４を介して接続されているが、両装置を接続するネットワークはこれに限定されるものではない。例えば、ＷＡＮ（ワイド・エリア・ネットワーク）や、無線ＬＡＮを介して接続されていてもよい。

クライアント１およびファイルサーバ２は、公開鍵を使って、ネット上で安全に情報をやりとりするための環境、即ちＰＫＩ（公開鍵基盤）を利用可能な状態にある。
ＰＫＩは、公開鍵の正当性を保証する機関であるＣＡ（認証局）、ＣＡが発行し公開鍵とその所有者を関連づけるデジタル証明書、公開鍵技術、暗号通信技術など非常に広範な仕組みや技術を統合することによって実現される。
また、本実施の形態に係る共有データ管理システムでは、クライアント１を操作する利用者のＩＤ（以下、利用者ＩＤとする）に対応する秘密鍵（Ｋｓ）および公開鍵（Ｋｐ）が予め設定されている。公開鍵（Ｋｐ）および秘密鍵（Ｋｓ）は対になっており、一方の利用ＩＤに対応する公開鍵（Ｋｐ）は、ファイルサーバ２に予め登録（格納）され、もう一方の秘密鍵（Ｋｓ）は、利用者が保持している。

クライアント１は、システムでユニーク（固有）な、即ちクライアント１間で共通な共通鍵（Ｋｕ）を有している。この共通鍵（Ｋｕ）は、ファイルサーバ２に対しては公開されず、つまり秘密に保持される。
なお、クライアント１に格納するプログラム等のソフトウェアは、耐タンパ性が高いものを使用し、共通鍵（Ｋｕ）の機密性が十分に保持されるように構成されている。
耐タンパ性とは、ソフトウェアやハードウェアが備える内部構造や記憶しているデータなどの解析の困難さ、即ち、非正規な手段による機密データの読み取りを防ぐ能力を示す。

次に、このように構成された本実施の形態に係る共有データ管理システムにおけるデータの処理動作について説明する。
はじめに、クライアント１で作成した文書データを、ファイルサーバ２で復号不可能な形式でファイルサーバ２の共有ファイル格納部に格納、即ちファイルサーバ２に登録する方法について説明する。

図２は、本実施の形態に係る共有データ管理システムにおける共有データの登録処理の手順を示したフローチャートである。
まず、クライアント１は、文書作成プログラムを起動し、ファイルサーバ２に登録する文書（Ｄ）を作成する（ステップ１１）。この作成された文書（Ｄ）には、識別用の文書ＩＤが付与される。
なお、文書（Ｄ）は、文字列だけでなく、図や表、画像などあらゆる形式のデータを含み、暗号化の対象となる。

次に、クライアント１は、文書（Ｄ）を暗号・復号化するための共通鍵として機能する鍵（Ｋ）を、暗号鍵生成プログラムを実行することによって自動生成する（ステップ１２）。
そして、クライアント１は、文書（Ｄ）を鍵（Ｋ）で暗号化し、暗号文書（Ｄｅ）に変換する（ステップ１３）。
続いて、クライアント１は、鍵（Ｋ）を、クライアント１に予め設定されている、システムにおいてユニーク（固有）な共通鍵（Ｋｕ）で暗号化し、暗号鍵（Ｋｅ）に変換する（ステップ１４）。

クライアント１は、暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）をＬＡＮ４を介してファイルサーバ２へ送信し（ステップ１５）、処理を終了する。
なお、暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）を送信する際には、暗号化される前の文書（Ｄ）の識別用の文書ＩＤを添付しておく。
また、本実施の形態では、クライアント１において文書（Ｄ）を作成するようになっているがこれに限定されるものではない。
文書（Ｄ）は、例えば、他の装置で作成されたデータ、外部からクライアント１へ入力されたデータ、また、ネットワークを介して取得したデータなどを用いるようにしてもよい。

一方、ファイルサーバ２は、クライアント１から送信された暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）を受信して、共有ファイル格納部３に格納し（ステップ２１）、処理を終了する。
このように本実施の形態では、ファイルサーバ２にデータを登録（格納）する際に、暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）を送信する。つまり、ファイルサーバ２には、暗号文書（Ｄｅ）を復号するために必要な全ての情報が渡されることはない。
従って、ファイルサーバ２で暗号文書（Ｄｅ）を復号することができないため、ファイルサーバ２に登録（格納）されるデータの機密性を向上させることができる。

次に、ファイルサーバ２に登録（格納）されたデータを、クライアント１に読み出し、復号する方法について説明する。
図３は、本実施の形態に係る共有データ管理システムにおける共有データの読み出し処理の手順を示したフローチャートである。
まず、クライアント１から読み出しを希望するデータの文書ＩＤをファイルサーバ２へ送信する（ステップ３１）。
なお、文書ＩＤを送信する際には、クライアント１の利用者の利用者ＩＤを添付しておく。

ファイルサーバ２は、クライアント１から送信された文書ＩＤを受信すると、文書ＩＤに添付されている利用者ＩＤに対応する公開鍵（Ｋｐ）を、検索して取得する（ステップ４１）。
次に、ファイルサーバ２は、文書ＩＤに対応する暗号鍵（Ｋｅ）を、利用者ＩＤに対応する公開鍵（Ｋｐ）で暗号化し、二重暗号鍵（Ｋｅｅ）に変換する（ステップ４２）。
続いて、ファイルサーバ２は、文書ＩＤに対応する暗号文書（Ｄｅ）を読み出す（ステップ４３）。
ファイルサーバ２は、暗号文書（Ｄｅ）および二重暗号鍵（Ｋｅｅ）をクライアント１へ送信し（ステップ４４）、処理を終了する。

クライアント１は、ファイルサーバ２から送信された暗号文書（Ｄｅ）および二重暗号鍵（Ｋｅｅ）を受信し、利用者ＩＤに対応する秘密鍵（Ｋｓ）で二重暗号鍵（Ｋｅｅ）を復号化し、暗号鍵（Ｋｅ）に変換する（ステップ３２）。
なお、利用者ＩＤに対応する秘密鍵（Ｋｓ）は、利用者によってクライアント１に入力された情報を用いる。
続いて、クライアント１は、暗号鍵（Ｋｅ）を共通鍵（Ｋｕ）で復号化し、鍵（Ｋ）に変換する（ステップ３３）。
そして、クライアント１は、暗号文書（Ｄｅ）を鍵（Ｋ）で復号化して、文書（Ｄ）に変換し（ステップ３４）、処理を終了する。

このように、本実施の形態によれば、クライアントサーバ方式で文書管理を行い、文書データを共有する機能と、文書データを暗号化する機能とを有する共有データ管理システムにおいて、ファイルサーバ２では文書データの復号を不可能にすることによって共有データの機密性を向上させることができる。
一方、クライアント１では、ファイルサーバ２で復号できない暗号文書（Ｄｅ）を適切に復号することができる。

クライアント１で作成される文書（Ｄ）を上書きする場合にも、上述した処理を繰り返すことにより、適切にファイルサーバ２への登録が可能となる。
また、作成した文書（Ｄ）の版情報を管理する場合には、文書（Ｄ）を更新するごとに、即ち版ごとに、鍵（Ｋ）を自動生成し、生成した暗号鍵（Ｋｅ）をファイルサーバ２に登録（格納）する。

なお、作成した文書（Ｄ）の版情報を管理する場合には、各版ごとに暗号文書（Ｄｅ）および暗号鍵（Ｋｅ）をファイルサーバ２に登録（格納）する必要があるため、これに応じたスキーマの変更を要する。
スキーマとは、データベースの論理構造や物理構造を定義した仕様である。詳しくは、階層型データベースや網型データベース、関係データベースについて、データベース名の指定やレコード型（網型データベース）またはテーブル構造（関係データベース）の指定などから、各レコードの名前や持たせる大きさ、キーの決定など、データベースの構造全体を定義した仕様である。

また、上述したステップ３２における、二重暗号鍵（Ｋｅｅ）を秘密鍵（Ｋｓ）で復号化して暗号鍵（Ｋｅ）に変換する処理を、ＩＣカードなどのセキュリティ機器を用いて、機器の内部で隠蔽して行うようにしてもよい。
セキュリティ機器を用いることにより、クライアント１に格納されているソフトウェア（プログラム）に利用者の秘密情報、即ち秘密鍵（Ｋｓ）の情報を渡すことなく処理を行うことができる。
これにより、秘密鍵（Ｋｓ）の漏洩を防ぐことができるため、データの復号時におけるセキュリティを向上させることができる。

本実施の形態に係る共有データ管理システムの概略構成を示した図である。 本実施の形態に係る共有データ管理システムにおける共有データの登録処理の手順を示したフローチャートである。 本実施の形態に係る共有データ管理システムにおける共有データの読み出し処理の手順を示したフローチャートである。

符号の説明

１ クライアント
２ ファイルサーバ
３ 共有ファイル格納部
４ ＬＡＮ

Claims (5)

1. 利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムであって、
   所定のデータに紐付けされた暗号用共通鍵を生成する暗号用共通鍵生成手段と、
   前記暗号用共通鍵生成手段で生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第１の変換手段と、
   前記クライアント間において共通なシステム共通鍵を用いて、前記暗号用共通鍵生成手段で生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第２の変換手段と、
   前記第１の変換手段で変換された前記暗号データと、前記第２の変換手段で変換された前記暗号鍵を前記サーバへ送信するデータ送信手段と、
   前記サーバに登録されているデータの読み出し要求を行うデータ要求手段と、
   前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と、前記暗号データと、を前記サーバから取得するデータ取得手段と、
   前記データ取得手段で前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第３の変換手段と、
   前記第３の変換手段で変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第４の変換手段と、
   前記データ取得手段で前記サーバから取得した前記暗号データを、前記第４の変換手段で変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第５の変換手段と、
   を備えたことを特徴とするデータ管理システム。
2. 前記所定のデータの内容を更新する場合は、更新ごとに前記暗号用共通鍵生成手段によって前記暗号用共通鍵を生成することを特徴とする請求項１記載のデータ管理システム。
3. 前記第３の変換手段は、前記クライアントの外部に設けられていることを特徴とする請求項１または請求項２記載のデータ管理システム。
4. 利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムにおいて用いられるデータ処理方法であって、
   所定のデータに紐付けされた暗号用共通鍵を生成する第１のステップと、
   前記第１のステップで生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第２のステップと、
   前記クライアント間において共通なシステム共通鍵を用いて、前記第１のステップで生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第３のステップと、
   前記第２のステップで変換された前記暗号データと、前記第３のステップで変換された前記暗号鍵を前記サーバへ送信する第４のステップと、
   前記サーバに登録されているデータの読み出し要求を行う第５のステップと、
   前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と前記暗号データと、を前記サーバから取得する第６のステップと、
   前記第６のステップで前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第７のステップと、
   前記第７のステップで変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第８のステップと、
   前記第６のステップで前記サーバから取得した前記暗号データを、前記第８のステップで変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第９のステップと、
   を有することを特徴とするデータ処理方法。
5. 利用者に対応した一対の公開鍵と秘密鍵のうち、前記公開鍵を取得する鍵取得手段を有するサーバに登録されるデータを、複数のクライアント間で共有可能に管理するクライアントサーバ方式を用いたデータ管理システムにおいて用いられるデータ処理プログラムであって、
   所定のデータに紐付けされた暗号用共通鍵を生成する暗号用共通鍵生成機能と、
   前記暗号用共通鍵生成機能で生成された前記暗号用共通鍵を用いて、前記所定のデータを暗号化し、暗号データに変換する第１の変換機能と、
   前記クライアント間において共通なシステム共通鍵を用いて、前記暗号用共通鍵生成機能で生成された前記暗号用共通鍵を暗号化し、暗号鍵に変換する第２の変換機能と、
   前記第１の変換機能で変換された前記暗号データと、前記第２の変換機能で変換された前記暗号鍵を前記サーバへ送信するデータ送信機能と、
   前記サーバに登録されているデータの読み出し要求を行うデータ要求機能と、
   前記暗号鍵を前記公開鍵を用いてさらに暗号化した二重暗号鍵と、前記暗号データと、を前記サーバから取得するデータ取得機能と、
   前記データ取得機能で前記サーバから取得した前記二重暗号鍵を、前記秘密鍵を用いて復号化し、前記暗号鍵に変換する第３の変換機能と、
   前記第３の変換機能で変換された前記暗号鍵を、前記システム共通鍵を用いて復号化し、前記暗号用共通鍵に変換する第４の変換機能と、
   前記データ取得機能で前記サーバから取得した前記暗号データを、前記第４の変換機能で変換された前記暗号用共通鍵を用いて復号化し、前記所定のデータに変換する第５の変換機能と、
   をコンピュータに実現させることを特徴とするデータ処理プログラム。

Images