JP2007115107A - 画像形成装置 - Google Patents

Abstract

【課題】電子メールによる画像形成装置への不正な印刷等の指示を抑制する。
【解決手段】画像形成装置１０は、デジタル署名のない電子メールは受け取っても印刷しない。署名付きメール２２を受け取ると、その署名を、添付されたデジタル証明書で検証し、更にそのデジタル証明書が真正か否かを、認証局３０を利用して検証する。両方の検証が成功し、かつそのデジタル証明書の主体者が画像形成装置１０のユーザＤＢ１２に登録されたユーザと一致する場合に、署名付きメール２２を印刷する。
【選択図】図１

Description

本発明は、プリンタ、複写機、デジタル複合機などの画像形成装置に関し、特に、受信最多電子メールに応じて印刷等の処理を行う画像形成装置に関する。

従来より、印刷データを電子メールにより受信して印刷する機能を備えた画像形成装置が知られている。この種の画像形成装置では、いわゆるスパムメールのように、望まれない電子メールを用紙に印刷してしまうおそれがある。

このような問題を解決する試みとして、特許文献１には、各ユーザの電子メールアドレスに対応づけてそのユーザからの電子メールに対して許される処理を示す属性データを記憶した画像形成装置が開示されている。この画像形成装置は、電子メールを受信した場合、その電子メールの送信元（差出人）のメールアドレスを調べ、そのアドレスに対応する属性データから、その電子メールに示される処理（例えば印刷）が許されるかどうかを判定し、許される場合にのみその処理を実行する。

また、特許文献２に示される画像出力装置は、電子メールを印刷するものではないが、公開鍵で暗号化された暗号化電子画像情報が入力されたときに、その公開鍵の対となる秘密鍵によって暗号化電子画像情報を復号し、復号した電子画像情報を印刷する。

特開２００３−１４１０４６号公報 特開２００５−０５００４１号公報

特許文献１の技術では、電子メール中の送信元メールアドレスが改ざんされると、画像形成装置は印刷等の処理の実行を許可してしまう。近年では、送信元アドレスを詐称した電子メールをばらまくコンピュータウィルス等もあるので、特許文献１の技術ではスパムメール等の不要なメールの印刷防止には十分とは言えなかった。

電子メールによる印刷に特許文献２のような公開鍵暗号方式を利用した場合、電子メール送信側が適切な公開鍵でデータを暗号化しないと画像形成装置は印刷しないので、スパムメールの印刷抑止に効果が期待できる。しかしながら、単に特許文献２の技術を利用しただけでは、対応する秘密鍵が画像形成装置に登録されていない公開鍵を用いて暗号化した印刷データを電子メールで画像形成装置に送った場合、画像形成装置はその印刷データを復号できないため、その印刷データの印刷処理を強制的に中止することとなった。この場合、ユーザはその印刷データを印刷するには、秘密鍵を画像形成装置に登録した上で、再度同じ暗号化した印刷データを電子メールで画像形成装置に送信する必要があった。

また、特許文献２の方式で、画像形成装置が印刷データを復号できないときに、仮に印刷中止をせずにその印刷データを画像形成装置に保存しておくようにした場合、際限なく保存していたのでは、画像形成装置の記憶容量を超えてしまう等の不具合が生じる。特許文献２にはこのような点に対する配慮が示されていない。

本発明は、上記従来技術の課題の少なくとも１つを解決する。

本発明に係る画像形成装置は、受信した電子メールに応じて処理を実行する画像形成装置であって、処理が許可されるユーザが登録されたユーザ記憶手段と、ユーザから受信した電子メールから該ユーザのデジタル署名を抽出する署名抽出手段と、前記デジタル署名を、前記デジタル署名に対応するデジタル証明書で検証すると共に、前記デジタル証明書の主体者が前記ユーザ記憶手段に登録されているユーザであるか否かを判定し、前記デジタル署名の検証が成功し、かつ前記デジタル証明書の主体者が前記ユーザ記憶手段に登録されているユーザであると判定された場合に、前記処理を許可する処理制御手段と、を備える。

本発明の好適な態様では、前記処理制御手段は、前記デジタル証明書が真正なものであるか否か判定し、前記デジタル証明書が真正なものでないと判定された場合は、前記処理を許可しない。

別の好適な態様では、前記処理制御手段は、前記処理を許可しなかった場合に前記電子メールを所定の未処理メール保存手段に保存するとともに、前記ユーザ記憶手段にユーザが新たに登録された場合、前記未処理メール保存手段に保存された電子メールの中に、前記新たに登録されたユーザと一致する主体者のデジタル証明書に対応するデジタル署名が付され、かつ該デジタル署名が該デジタル証明書で検証できる電子メールがあれば、該電子メールに対する処理を許可する。

更に好適な態様では、画像形成装置は、前記未処理メール保存手段に保存された電子メールのうち、付されたデジタル署名に対応するデジタル証明書が有効でないものを検出し、削除する未処理メール削除手段、を更に備える。

以下、図面を参照して、本発明の実施の形態について説明する。

図１に示すように、本実施形態の画像形成装置１０は、プリンタ、又はデジタル複写機、又はデジタル複合機であり、ユーザＤＢ（データベース）１２とメール保存部１４とを備える。ユーザＤＢ１２には、当該画像形成装置１０に対し電子メールによる印刷指示が許可されたユーザのユーザ情報が登録される。それ以外のユーザは、基本的には、電子メールでの印刷指示が認められない。ユーザＤＢ１２に登録されるユーザ（登録ユーザと呼ぶ）のユーザ情報には、当該ユーザの識別情報が含まれる。ユーザの識別情報は、例えばそのユーザの電子メールアドレス、又はＬＤＡＰ(Lightweght Directory Access Protocol)等のディレクトリプロトコルにおけるユーザのＤＮ(Distinguished Name:識別名）等である。ユーザ情報には、ユーザの識別情報の他に、そのユーザが画像形成装置１０にログインするための認証情報（例えばパスワード）等の各種情報が含まれていてもよい。メール保存部１４は、ユーザＤＢ１２に未登録のユーザからの電子メールを保存する。

本実施形態では、画像形成装置１０は、基本的には、ユーザが操作するクライアント装置２０（メールクライアント）からそのユーザの正当なデジタル署名付きの電子メール（署名付きメール２２）を受け取った場合にはその電子メールの印刷を認め、それ以外の場合には印刷を認めないようにすることで、スパムメール等の不正なメールの印刷を阻止する。

署名付きメール２２に含まれるデジタル署名が正当であるか否かは、デジタル署名が当該ユーザのデジタル証明書で検証することで行う。この検証は、署名付きメール２２にそのユーザのデジタル証明書が添付されていれば、その証明書を用いて行う。Ｓ／ＭＩＭＥ(Secure / MultiPurpose Internet Mail Extensions)を用いるメールクライアントの場合、送信する電子メールにユーザのデジタル署名を付すと、そのデジタル署名の検証のためにデジタル証明書（公開鍵証明書）をその電子メールに添付するので、画像形成装置１０では、添付された証明書を用いればよい。また、署名付きメール２２にデジタル証明書自体が添付されていない場合でも、検証のための公開鍵の識別情報は署名付きメール２２の署名情報内に含まれるので、その公開鍵の識別情報を用いて認証局やディレクトリサーバ、鍵サーバやなどからデジタル証明書を取得することができる。

なお、署名付きメール２２に添付されたデジタル証明書で署名を検証する場合、そのデジタル証明書の改ざん等の不正利用も考慮すれば、安全性が向上する。そこで、デジタル証明書が不正利用されているものでないことを確認するために、画像形成装置１０から認証局３０にアクセスして確認処理を行ってもよい。確認処理では、例えば、署名付きメール２２に含まれるデジタル証明書に示された発行者(issuer)のＵＲＬ(Uniform Resource Locator)の情報を用いて認証局３０のサーバにアクセスし、その証明書の主体者のＤＮ又は電子メールアドレスを検索キーとしてそのサーバに渡して検索させ、その検索キーに対応するデジタル証明書をそのサーバから取得する。そして、取得したデジタル証明書と署名付きメール２２に添付されているデジタル証明書（特にその中の公開鍵同士）が一致すれば、添付されているデジタル証明書が真正であると判定する。

なお、デジタル証明書の検証の際には、画像形成装置１０が、有効期限を過ぎていないか、又は失効リストに登録されていないかなどの確認も行い、期限経過や失効でそのデジタル証明書がもはや有効でなくなっていれば、その署名付きメール２２の印刷を認めないようにしてもよい。

以上に説明したのは、署名付きメール２２中のデジタル署名が正当であるか否かの検証である。本実施形態では、更に、そのデジタル署名をしたユーザ（すなわちその署名に対応するデジタル証明書の主体者）が、画像形成装置１０のユーザＤＢ１２に登録されたユーザであるか否かを確認する。この判定では、署名付きメール２２のデジタル署名に対応するデジタル証明書の主体者が、ユーザＤＢ１２に登録されているか否かを調べる。例えば、エンドユーザのデジタル証明書には、そのユーザ（主体者）の電子メールアドレスが含まれているので、その電子メールアドレスがユーザＤＢ１２に登録されているかどうかを調べればよい。登録されていればその署名付きメール２２の署名は画像形成装置１０の登録ユーザによるものと判定できる。また、ユーザＤＢ１２に登録ユーザのＤＮが登録されている場合は、デジタル証明書の主体者ＤＮがユーザＤＢ１２に登録されているかどうかを調べればよい。

以上のようにして、署名付きメール２２のデジタル署名が正当で、かつそのデジタル署名を施した署名者が画像形成装置１０に登録されたユーザであると判明した場合に、画像形成装置１０はその署名付きメール２２の印刷を実行する。

次に、図２を参照して、画像処理装置１０が電子メールを受信した時の処理手順を説明する。

画像処理装置１０は、クライアント装置２０から電子メールを受信すると、その電子メールにデジタル署名が付されているかどうかを判定する（Ｓ１）。デジタル署名が付されていなければ、その電子メールの印刷出力は行わずに、その電子メールの送信元アドレス宛に対し、その電子メールに対する処理結果を示す電子メールを返信する（Ｓ７）。この処理結果の通知メールでは、例えば「署名が付されていないので、印刷しなかった」などというように、印刷しなかった理由も含めることが好ましい。

デジタル署名が付されていた場合、画像形成装置１０は、そのデジタル署名を検証するためのデジタル証明書を取得する（Ｓ２）。ステップＳ１で受信した電子メールにデジタル証明書が添付されている場合はそのデジタル証明書を利用し、そうでなければ認証局やディレクトリサーバなどからデジタル証明書を取得する。そして、電子メールに付されているデジタル署名を、そのデジタル証明書を用いて検証する（Ｓ３）。署名の検証は、周知の方法で行えばよい。

この署名の検証の際に、前述のようにデジタル証明書の真正性や有効性の検証を行うことも好適である。デジタル証明書が真正でなかったり、有効でなかったりしたことが判明した場合は、署名の検証も失敗とする。この逆にデジタル証明書が真正かつ有効であり、その証明書の公開鍵を使ってデジタル署名の検証に成功すれば、ステップＳ４の判定結果は肯定となる。

ステップＳ４では、ステップＳ３での署名の検証の結果が成功か失敗かを判定する。失敗と判定された場合、画像形成装置１０は、電子メールの印刷は行わず、その処理結果を通知するメールを送信者アドレス宛に返信する（Ｓ７）。この通知メールには、デジタル署名が検証できなかったので印刷をしなかったなどの説明を記載すればよい。

ステップＳ４で署名の検証が成功したと判定された場合、画像形成装置１０は、その検証に用いたデジタル証明書の主体者がユーザＤＢ１２に登録されているか否かを判定する（Ｓ５）。登録されていれば、ステップＳ１で受け取った電子メールを印刷出力し（Ｓ６）、印刷が完了した旨を示す処理結果通知の電子メールを返信する（Ｓ７）。

また、ステップＳ５でデジタル証明書の主体者がユーザＤＢ１２に登録されていないことが判明した場合、画像形成装置１０は、ステップＳ１で受信した電子メールをメール保存部１４に保存する（Ｓ８）。メール保存部１４には、図３に示すように、電子メール１０６に対応づけて、ステップＳ２で得たデジタル証明書１０４と、その時の時刻（保存時刻１０２）を格納する。ステップＳ８で電子メールを保存しておくことで、その電子メールを送信したユーザが後で画像形成装置１０に対してユーザ登録を行えば、その保存した電子メールを画像形成装置１０に印刷出力させることができる。そして、ステップＳ８の後、画像形成装置１０は、電子メールを印刷せずに保存した旨の処理結果を示すメールを送信元のユーザに返信する（Ｓ７）。なお、この処理結果の通知メールには、保存した電子メールに、ユーザ登録を行えば印刷出力できる旨の説明を記述することも好適である。

次に図４を参照して、ユーザＤＢ１２にユーザが登録された時の画像形成装置１０の処理手順を説明する。

ユーザＤＢ１２へのユーザの登録は、典型的には、画像形成装置１０を管理する機器管理者が行う。ユーザが登録されると、画像形成装置１０は、そのユーザを主体者とするデジタル証明書を持つ電子メールを、メール保存部１４から探す（Ｓ１１）。例えばユーザＤＢ１２にユーザの電子メールアドレスが登録される構成の場合、その電子メールアドレスを含んだデジタル証明書を持つ電子メールを探せばよい。この探索の結果、該当する電子メールが１つも見つからなければ、図４の処理は終了する。該当する電子メールが１以上見つかれば、見つかった電子メールのそれぞれに対し、ステップＳ１２〜Ｓ１５の処理を実行する。

ステップＳ１２では、見つかった電子メールのデジタル証明書が有効であるか否かを調べる（Ｓ１２）。このようなチェックを行うのは、保存後の時間経過によって、デジタル証明書の有効期限が切れたり、失効していたりする場合があるからである。このチェックの結果、デジタル証明書が有効であればその電子メールを印刷し（Ｓ１３）、その電子メールの送信元のユーザに対し、その電子メールを印刷出力した旨を示す電子メールを送信する（Ｓ１４）。一方、デジタル証明書が有効でなければ、印刷は行わず、その電子メールの送信元に対し、例えばデジタル証明書が有効でなくなったので印刷をしなかったなどの説明を示した電子メールを送信する（Ｓ１４）。そして、その電子メールをメール保存部１４から削除する（Ｓ１５）。

このような処理により、図２の手順のステップＳ８で保存した電子メールを、ユーザ登録を条件に印刷出力することができる。

以上の処理において、印刷出力しない電子メールをメール保存部１４に次々と保存していくと、メール保存部１４の容量を超えてしまう可能性がある。そこで、本実施形態では、所定の整理タイミングごとに、図５の処理を行うことで、メール保存部１４から古いメールを削除していく。

この手順では、メール保存部１４に保存した各電子メールのデジタル証明書１０４が有効であるか否かを判定する（Ｓ２１）。有効であるか否かは、簡便に判定するならばデジタル証明書に記述された有効期限が過ぎていないかどうかで判定すればよい。より厳密に判定するならば、失効リストを参照して、デジタル証明書が失効しているか否かも判定すればよい。この判定で、証明書が有効でないメールが見つかれば、それをメール保存部１４から削除する（Ｓ２２）。証明書が有効でない電子メールが見つからなくなるまで、ステップＳ２１及びＳ２２の処理を繰り返す。

また、メール保存部１４に保存した電子メールのデータ量が、所定の最大記憶容量の範囲内かどうかを判定する（Ｓ２３）。範囲内でなければ、保存時刻１０２が最も古い電子メールのレコードをメール保存部１４から削除する（Ｓ２４）。保存したメールの量が最大記憶容量以内となるまで、ステップＳ２３及びＳ２４の処理を繰り返す。なお最大記憶容量の値は、画像形成装置１０が備える記憶装置の容量に応じてあらかじめ設定しておけばよい。

また、メール保存部１４に保存した電子メールの数が、あらかじめ設定された最大保存件数の範囲内かどうかを判定し（Ｓ２５）、範囲内でなければ、保存時刻１０２が最も古い電子メールのレコードをメール保存部１４から削除する（Ｓ２６）。保存したメールの数が最大保存件数以内となるまで、ステップＳ２５及びＳ２６の処理を繰り返す。

また、メール保存部１４に保存した各電子メールの保存時刻１０２を調べ、あらかじめ設定した最大保存期間を超えたものがあるかどうかを判定する（Ｓ２７）。そのようなものがあれば、メール保存部１４から削除する（Ｓ２８）。

図５に示した４種類の判定及び削除の実行順序は、図示の順序に限らない。また、それら４種類の処理の全てを実行する必要はないし、またそれら以外の判定及び削除を行ってもよい。

このような整理処理により、メール保存部１４がオーバーフローすることを防止できる。

なお、この整理処理の実行タイミングは、例えば図２の手順のステップＳ８で新たに電子メールをメール保存部１４に保存するタイミングが考えられる。また、定期的に実行してもよい。

以上、本発明の実施形態を説明した。

特許文献１の手法では、送信元アドレスが改ざんされると不正な印刷が可能になってしまうおそれがあった。これに対し本実施形態によれば、電子メールに付されたデジタル署名を検証し、その検証に用いたデジタル証明書の主体者が画像形成装置１０に対してユーザ登録している場合にのみ印刷を認めることとしたので、画像形成装置１０に登録されたユーザの秘密鍵がないとそのユーザになりすますことができず、不正利用は極めて困難となる。

特許文献２の技術では、画像形成装置に秘密鍵登録されていなかったため電子メールが印刷されなかった場合、印刷を行うには、ユーザは秘密鍵を登録をしてから同じ電子メールを再度画像形成装置に送信しなくてはならなかった。これに対し、本実施形態によれば、ユーザ未登録のために印刷されなかった電子メールはメール保存部１４に保存され、後でユーザ登録がなされれば自動的に印刷出力される。したがって、ユーザの利便性が向上する。

以上の例では、画像形成装置１０は、受信した電子メールにデジタル署名が付されていない場合、印刷も、電子メールの保存も行わなかったが、署名のない電子メールを受け取った場合にどのように取り扱うか（印刷を認めるのか、或いは印刷を認めずに保存するのか、或いは両方ともしないのか）をシステム上の設定として画像形成装置１０に登録しておき、その設定に従って処理するようにしてもよい。

同様に、署名の検証が不成功に終わった場合の電子メールの取扱を画像形成装置１０に設定できるようにし、その設定に従って処理するようにしてもよい。

また、上記実施形態では、デジタル証明書の主体者が画像形成装置１０にユーザ登録されていない場合に電子メールを保存したが、このような保存を行うか否かについても画像形成装置１０に設定できるようにし、その設定に従って処理するようにしてもよい。この設定は、画像形成装置１０の登録ユーザごとに行うようにしてもよい。

また、上記実施形態では、処理結果をステップＳ７、Ｓ１４で電子メール送信元のユーザに通知したが、このような通知をするかしないかを画像形成装置１０に設定できるようにしてもよい。この場合、画像形成装置１０に登録されたユーザについては、ユーザごとに通知の要否を設定できるようにすれば、ユーザが通知を希望しない場合には通知しないで済む。

また、ステップＳ７，Ｓ１４での処理結果の通知を、画像形成装置１０の機器管理者にも行うように設定してもよい。

また、図４のステップＳ１２では、デジタル証明書が有効でなかった場合には、電子メールの印刷を行わなかったが、そのような場合に印刷を認めるか認めないかを画像形成装置１０に設定可能とし、その設定に従って処理するようにしてもよい。

以上の例では、画像形成装置１０が受信した電子メールを印刷する場合を例にとったが、印刷以外の処理、例えば画像形成装置１０に対する登録ユーザのユーザ情報の変更などの各種の制御処理、を電子メールで画像形成装置１０に指示できるようなシステム構成の場合についても、同様の制御が可能である。すなわち、例えば、その電子メールに示された指示を実行するか否か、或いは実行せずに保留（電子メールを保存）するか、などをその電子メールに付されたデジタル署名に基づき、上述の実施形態と同様の手法で判定して処理できる。

実施形態の画像形成装置を含むシステムの構成を概略的に示す図である。 実施形態の画像形成装置が電子メールを受信したときの処理手順を示すフローチャートである。 メール保存部に保存するデータの構造の一例を示す図である。 ユーザＤＢにユーザが登録された時の画像形成装置の処理手順を示すフローチャートである。 メール保存部の整理処理の手順を示すフローチャートである。

符号の説明

１０ 画像形成装置、１２ ユーザＤＢ、１４ メール保存部、２０ クライアント装置、２２ 署名付きメール、３０ 認証局。

Claims (4)

1. 受信した電子メールに応じて処理を実行する画像形成装置であって、
   処理が許可されるユーザが登録されたユーザ記憶手段と、
   ユーザから受信した電子メールから該ユーザのデジタル署名を抽出する署名抽出手段と、
   前記デジタル署名を、前記デジタル署名に対応するデジタル証明書で検証すると共に、前記デジタル証明書の主体者が前記ユーザ記憶手段に登録されているユーザであるか否かを判定し、前記デジタル署名の検証が成功し、かつ前記デジタル証明書の主体者が前記ユーザ記憶手段に登録されているユーザであると判定された場合に、前記処理を許可する処理制御手段と、
   を備える画像形成装置。
2. 請求項１記載の画像形成装置であって、
   前記処理制御手段は、前記デジタル証明書が真正なものであるか否か判定し、前記デジタル証明書が真正なものでないと判定された場合は、前記処理を許可しない、
   ことを特徴とする画像形成装置。
3. 請求項１記載の画像形成装置であって、
   前記処理制御手段は、前記処理を許可しなかった場合に前記電子メールを所定の未処理メール保存手段に保存するとともに、前記ユーザ記憶手段にユーザが新たに登録された場合、前記未処理メール保存手段に保存された電子メールの中に、前記新たに登録されたユーザと一致する主体者のデジタル証明書に対応するデジタル署名が付され、かつ該デジタル署名が該デジタル証明書で検証できる電子メールがあれば、該電子メールに対する処理を許可する、
   ことを特徴とする画像形成装置。
4. 請求項３記載の画像形成装置であって、
   前記未処理メール保存手段に保存された電子メールのうち、付されたデジタル署名に対応するデジタル証明書が有効でないものを検出し、削除する未処理メール削除手段、
   を更に備える画像形成装置。

Images