JP2008071274A - 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 - Google Patents
管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 Download PDFInfo
- Publication number
- JP2008071274A JP2008071274A JP2006251294A JP2006251294A JP2008071274A JP 2008071274 A JP2008071274 A JP 2008071274A JP 2006251294 A JP2006251294 A JP 2006251294A JP 2006251294 A JP2006251294 A JP 2006251294A JP 2008071274 A JP2008071274 A JP 2008071274A
- Authority
- JP
- Japan
- Prior art keywords
- user
- security
- restoration
- terminal device
- function module
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
【課題】端末管理者のトークンやアーカイブ，トークン用パスワードの管理に要する工数を軽減し、又、端末装置のセキュリティレベルを更に向上させる。
【解決手段】セキュリティ機能モジュール１１にかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部１２１と、送信された復元用ユーザ情報ファイル暗号鍵と復元用ユーザ情報ファイルとに基づいて、そのセキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部１７とをそなえ、端末装置の起動処理時に、要求部１２１が外部装置に対して復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、復元部１７が、外部装置から送信された復元用ユーザ情報ファイル暗号鍵と、セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、セキュリティ機能モジュール１１にかかるユーザセキュリティ情報を復元する。
【選択図】図１
【解決手段】セキュリティ機能モジュール１１にかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部１２１と、送信された復元用ユーザ情報ファイル暗号鍵と復元用ユーザ情報ファイルとに基づいて、そのセキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部１７とをそなえ、端末装置の起動処理時に、要求部１２１が外部装置に対して復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、復元部１７が、外部装置から送信された復元用ユーザ情報ファイル暗号鍵と、セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、セキュリティ機能モジュール１１にかかるユーザセキュリティ情報を復元する。
【選択図】図１
Description
本発明は、ＴＰＭ（Trusted Platform Module）等のセキュリティチップを用いた端末装置におけるセキュリティ技術に関する。
情報処理端末（情報処理装置）において、そのセキュリティレベルを向上させることが要求されており、近年では、ＴＰＭ（Trusted Platform Module）等のセキュリティチップ（セキュリティ機能モジュール）を内蔵することにより、セキュリティレベルを向上させた情報処理端末（情報処理装置）が知られている。
ＴＰＭは、業界標準団体であるＴＣＧ（Trusted Computing Group)によって定義された仕様に準拠するセキュリティチップであり、例えば、情報処理端末のマザーボードに実装され、セキュア通信で利用される暗号鍵（コア暗号鍵）を格納する不揮発性メモリや、暗号処理専用のマイクロプロセッサをそなえて構成されている。又、ＴＰＭにおいては、不揮発性メモリに格納されたコア暗号鍵は外部に取り出すことができないように構成されている。
ＴＰＭは、業界標準団体であるＴＣＧ（Trusted Computing Group)によって定義された仕様に準拠するセキュリティチップであり、例えば、情報処理端末のマザーボードに実装され、セキュア通信で利用される暗号鍵（コア暗号鍵）を格納する不揮発性メモリや、暗号処理専用のマイクロプロセッサをそなえて構成されている。又、ＴＰＭにおいては、不揮発性メモリに格納されたコア暗号鍵は外部に取り出すことができないように構成されている。
このＴＰＭは、例えば、プラットフォームがＴＣＧの仕様に準拠しているかどうかの検証や、ハードウェアやソフトウェアが改ざんされていないかのチェックを行なったり、ＴＰＭ内に格納した暗号鍵（コア暗号鍵）を外部に出力することがないように保護したりする機能をそなえる他、種々の暗号処理機能（ＲＳＡ暗号処理，乱数発生等）をそなえている。
そして、ＴＰＭは、例えば、不揮発性メモリに格納されたコア暗号鍵を用いて、アプリケーション等で使用する暗号鍵を暗号化したり、ユーザ毎の暗号鍵（ユーザ鍵）を生成したり、情報処理端末の起動時にＢＩＯＳ（Basic Input Output System）の不正改ざんやチップの不正交換などをチェックし、何らかの不正を発見した場合に起動を阻止したりすることにより、ハードウェアレベルでのセキュリティ管理を実現するようになっている。
なお、ＴＰＭが格納するコア暗号鍵はＴＰＭ毎に固有のものであり、そのため、ＴＰＭを他の情報処理端末に乗せ換えても正常に作動することはなく、結果として不正にＴＰＭを乗せ換えた情報処理端末においては、そのＴＰＭを機能させることはできないようになっている。
例えば、下記特許文献１には、コンピュータシステムのブートアッププロセスを安全にするために、ＴＰＭの暗号性を使用する手法を開示しており、又、下記特許文献２には、ＴＰＭで暗号化された初期データを用いることにより、正当な使用権限の所有者であることを認証する手法が開示されている。
例えば、下記特許文献１には、コンピュータシステムのブートアッププロセスを安全にするために、ＴＰＭの暗号性を使用する手法を開示しており、又、下記特許文献２には、ＴＰＭで暗号化された初期データを用いることにより、正当な使用権限の所有者であることを認証する手法が開示されている。
ＴＰＭにおいては、その設定時に、コア暗号鍵に基づいて、その情報処理端末を使用するユーザ毎にそれぞれ固有のユーザ鍵を生成するようになっており、このユーザ鍵はＴＰＭ内のコア暗号鍵によって暗号化されている。又、この生成したユーザ鍵は、情報処理端末のハードディスク内に保管される。
図１０（ａ），（ｂ）はＴＰＭの機能を説明するための図であり、図１０（ａ）はＴＰＭの機能を使用しない場合での情報処理端末のログイン手法を示す図、図１０（ｂ）はＴＰＭの機能を用いてログイン認証を行なう場合での情報処理端末のログイン手法を示す図である。
図１０（ａ），（ｂ）はＴＰＭの機能を説明するための図であり、図１０（ａ）はＴＰＭの機能を使用しない場合での情報処理端末のログイン手法を示す図、図１０（ｂ）はＴＰＭの機能を用いてログイン認証を行なう場合での情報処理端末のログイン手法を示す図である。
情報処理端末においては、各ユーザはユーザ鍵を用いて、ファイルの暗号化や電子署名、端末へのログイン認証等を行なうことが出来るようになっており、例えば、ＴＰＭの機能を用いないで情報処理端末にログインする場合には、図１０（ａ）に示すように、ユーザは、予め設定された端末ログイン用のパスワード（Pass word；図１０（ａ）に示す例では“ａａａ”）をキーボード（図示省略）等を用いて入力する。そして、情報処理端末は、この入力された端末ログイン用のパスワード“ａａａ”を用いて、ユーザのログイン認証等の処理を行なう。
一方、ＴＰＭの機能を使用する場合には、図１０（ｂ）に示すように、端末ログイン用のパスワード（図１０（ｂ）に示す例では“ａａａ”）は、予めユーザ鍵によって暗号化されており、ユーザは、ＴＰＭを利用するためのパスワード（図１０（ｂ）に示す例では“ｂｂｂ”）をキーボード等を用いて入力する。
そして、情報処理装置においては、ＴＰＭが、この入力されたパスワード“ｂｂｂ”を用いて、端末ログイン用のパスワード“ａａａ”を復号化し、この復号化されたパスワード“ａａａ” を用いてログイン認証等の処理が行なわれる。このように、ＴＰＭを使用する場合には、ログイン認証がよりセキュアに行なわれるのである。
そして、情報処理装置においては、ＴＰＭが、この入力されたパスワード“ｂｂｂ”を用いて、端末ログイン用のパスワード“ａａａ”を復号化し、この復号化されたパスワード“ａａａ” を用いてログイン認証等の処理が行なわれる。このように、ＴＰＭを使用する場合には、ログイン認証がよりセキュアに行なわれるのである。
図１１はＴＰＭにおける復元用データを説明するための図である。
さて、ＴＰＭの使用開始時（初期設定時）には、図１１に示すように、ＴＰＭが破損した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれる。
さて、ＴＰＭの使用開始時（初期設定時）には、図１１に示すように、ＴＰＭが破損した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれる。
ここで、アーカイブは、ＴＰＭにかかるユーザセキュリティ情報を管理するバックアップファイルデータであって、ＴＰＭを使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるようになっている。又、ＴＰＭにかかるユーザセキュリティ情報とは、具体的には、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
そして、従来のセキュリティ管理システムにおいては、アーカイブは、ハードディスク内等に保管されており、又、このアーカイブは定期的に外部記憶媒体へ別途バックアップをとっておくことが望ましいとされている。
トークンは、アーカイブにかかる暗号鍵であって、アーカイブは、このトークンによって暗号化処理されている。又、トークンの使用に際しては、このトークンに対応して予め設定されたパスワードが必要とされるようになっており、これにより、トークンを格納した外部記憶媒体が盗難にあった場合等においても、その不正使用を抑止することができる。又、従来においては、トークンは、情報処理端末の外部の記憶媒体（もしくは外部記憶装置）に保管している。
トークンは、アーカイブにかかる暗号鍵であって、アーカイブは、このトークンによって暗号化処理されている。又、トークンの使用に際しては、このトークンに対応して予め設定されたパスワードが必要とされるようになっており、これにより、トークンを格納した外部記憶媒体が盗難にあった場合等においても、その不正使用を抑止することができる。又、従来においては、トークンは、情報処理端末の外部の記憶媒体（もしくは外部記憶装置）に保管している。
なお、トークンを紛失した場合には、ＴＰＭを新規に設定しなおさない限り、再度作成することは不可能であり、又、アーカイブおよびトークンは、セキュリティ上、情報処理端末毎に固有のものとすることが望ましい。
さて、ＴＰＭを搭載し、このＴＰＭによってハードディスク内の情報を暗号化したり機器構成監視を行なうことにより保護されている従来の情報処理端末において、万一、ＴＰＭが破損した場合には、その情報処理装置を継続して使用することは困難である。
さて、ＴＰＭを搭載し、このＴＰＭによってハードディスク内の情報を暗号化したり機器構成監視を行なうことにより保護されている従来の情報処理端末において、万一、ＴＰＭが破損した場合には、その情報処理装置を継続して使用することは困難である。
従って、破損したＴＰＭを正常なものと交換（マザーボードごとの交換を含む）するとともに、アーカイブおよびトークンを用いて、ＴＰＭにおける元のユーザセキュリティ情報を復元させることにより、情報処理端末をＴＰＭの破損前の状態にするのである。
ここで、従来のセキュリティ管理システムにおけるユーザセキュリティ情報の復元手法を、図１２に示すフローチャート（ステップＡ１０〜Ａ１００）に従って説明する。
ここで、従来のセキュリティ管理システムにおけるユーザセキュリティ情報の復元手法を、図１２に示すフローチャート（ステップＡ１０〜Ａ１００）に従って説明する。
なお、この図１２のフローチャートに示すユーザセキュリティ情報の復元手法は、ＴＰＭ内のユーザセキュリティ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、情報処理端末においてＴＰＭが破損して使用不可となり新しいＴＰＭに交換する場合や、情報処理端末のハードディスク内のデータを複製して、他の情報処理端末内に全く同じデータを構築（作成）する場合等に行なわれる。
また、アーカイブは情報処理端末のハードディスク内に保管されており、トークンはＣＤ−ＲＯＭ等の外部記憶媒体に保管されているものとし、又、情報処理端末のハードディスクは入れ替えられていないものとする。
先ず、ＴＰＭを使用可能とするために、ＢＩＯＳ設定にてＴＰＭを使用許可へと変更（アクティベーション）する（ステップＡ１０）。
先ず、ＴＰＭを使用可能とするために、ＢＩＯＳ設定にてＴＰＭを使用許可へと変更（アクティベーション）する（ステップＡ１０）。
情報処理端末の操作者（端末管理者）は、その情報処理端末に管理者権限でログインを行ない、端末管理者のパスワードを再入力する。情報処理端末は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＡ２０）。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ３０のＹＥＳルート参照）、情報処理端末のディスプレイにエラー表示等が行なわれ（ステップＡ１００）、処理を終了する。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ３０のＹＥＳルート参照）、情報処理端末のディスプレイにエラー表示等が行なわれ（ステップＡ１００）、処理を終了する。
また、正当な端末管理者であると判断した場合には（ステップＡ３０のＮＯルート参照）、情報処理端末はユーザセキュリティ情報復元プロセスを実行する（ステップＡ４０）。情報処理端末は、ユーザセキュリティ情報復元プロセスに必要なアーカイブおよびトークンを呼び出す。
ここで、アーカイブは、情報処理端末のハードディスク等から取得され、トークンは、ＣＤ−ＲＯＭ等の外部記憶媒体から取得される。端末管理者は、更に、トークンを使用するためのパスワードを入力し、情報処理端末は、入力されたトークン用のパスワードが正しいものであるかを確認することにより、トークンの使用者（端末管理者）の正当性を確認する（ステップＡ５０）。
ここで、アーカイブは、情報処理端末のハードディスク等から取得され、トークンは、ＣＤ−ＲＯＭ等の外部記憶媒体から取得される。端末管理者は、更に、トークンを使用するためのパスワードを入力し、情報処理端末は、入力されたトークン用のパスワードが正しいものであるかを確認することにより、トークンの使用者（端末管理者）の正当性を確認する（ステップＡ５０）。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ６０）、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ６０のＹＥＳルート参照）、ステップＡ１００に移行する。又、不正な端末管理者ではないと情報処理端末が判断した場合には（ステップＡ６０のＮＯルート参照）、次に、ユーザ毎の環境（ユーザ環境）を復元するために、ユーザのパスワードの入力（再入力）を行なう（ステップＡ７０）。
情報処理端末は、このユーザによって入力されたパスワードに基づいて、ユーザの正当性を確認し（ステップＡ８０）、不正なユーザであると判断した場合には（ステップＡ８０のＹＥＳルート参照）、ステップＡ１００に移行する。又、正当なユーザであると判断した場合には（ステップＡ８０のＮＯルート参照）、そのユーザにかかるユーザ環境を再構築して（ステップＡ９０）、処理を終了する。
そして、ＴＰＭもしくはマザーボードの交換を行なう情報処理端末が複数ある場合には、上述した復元処理を、これらの複数の情報処理端末の全てに対して行なうのである。
特開２００６−０９２５３３号公報
特開２００４−２８２３９１号公報
しかしながら、上述の如く、アーカイブおよびトークンは、セキュリティ上、情報処理端末毎に固有のものとすることが望ましく、これにより、複数の情報処理端末がある場合には、これらの情報処理端末の台数分のアーカイブとトークンが存在することとなる。
従って、端末管理者にとって、管理する情報処理端末の台数が多くなるほど、バックアップの対象となるアーカイブや管理するトークンの数が増大し煩雑であるという課題がある。例えば、情報処理端末が数百台ある場合には、保管しなければならないトークンやアーカイブも数百あり、数百のトークンを全て外部媒体で保管し、保守作業が発生する度にこれらの外部媒体を持ち歩くのは煩雑であり非現実的である。又、保守員がトークンを持ち歩くことはセキュリティ上好ましいものではない。
従って、端末管理者にとって、管理する情報処理端末の台数が多くなるほど、バックアップの対象となるアーカイブや管理するトークンの数が増大し煩雑であるという課題がある。例えば、情報処理端末が数百台ある場合には、保管しなければならないトークンやアーカイブも数百あり、数百のトークンを全て外部媒体で保管し、保守作業が発生する度にこれらの外部媒体を持ち歩くのは煩雑であり非現実的である。又、保守員がトークンを持ち歩くことはセキュリティ上好ましいものではない。
また、トークンやアーカイブは、基本的には、保守作業時においてのみ使用するものであって、使用の頻度は少なく、外部媒体等に保存しての管理では紛失するおそれもある。又、トークンを使用するためのパスワードについても同様に、忘却の可能性がある。
そして、万一、トークンやアーカイブを紛失したり、トークンを使用するためのパスワードを忘却してしまった場合には、ＴＰＭにおける元のユーザセキュリティ情報を復元することが不可能となるという課題もある。
そして、万一、トークンやアーカイブを紛失したり、トークンを使用するためのパスワードを忘却してしまった場合には、ＴＰＭにおける元のユーザセキュリティ情報を復元することが不可能となるという課題もある。
なお、管理の煩雑さを軽減するために、トークンを使用するためのパスワードを設定（使用）しないようにすることによりパスワードの管理を不要にすることも考えられるが、このようにパスワードを設定しない場合には、不正なトークンの複製等の行為に対応することができず、セキュリティレベルが低下するという課題がある。
また、従来のセキュリティ管理手法においては、トークンをＣＤ−ＲＯＭ等の外部媒体に格納しているので、トークンの使用状況を管理・把握することができず、万一、トークンを不正に使用された時に確認する手段がないという課題もある。
また、従来のセキュリティ管理手法においては、トークンをＣＤ−ＲＯＭ等の外部媒体に格納しているので、トークンの使用状況を管理・把握することができず、万一、トークンを不正に使用された時に確認する手段がないという課題もある。
そして、セキュリティレベルを更に向上させたいという課題があり、ＴＰＭを有効に活用することも望まれている。
本発明は、このような課題に鑑み創案されたもので、端末管理者のトークンやアーカイブ，トークン用パスワードの管理に要する工数を軽減し、又、端末装置のセキュリティレベルを更に向上させることを目的とする。
本発明は、このような課題に鑑み創案されたもので、端末管理者のトークンやアーカイブ，トークン用パスワードの管理に要する工数を軽減し、又、端末装置のセキュリティレベルを更に向上させることを目的とする。
このため、本発明の管理システム（請求項１）は、暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、該管理装置が、該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、該端末装置が、該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、該端末装置の起動処理時に、該要求部が該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴としている。
また、本発明の端末装置（請求項２）は、暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえた端末装置であって、当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、当該端末装置の起動処理時に、該要求部が該外部装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴としている。
さらに、本発明のセキュリティ管理方法（請求項３）は、暗号処理機能を有し暗号処理機能を有するセキュリティ機能モジュールをそなえた端末装置の起動処理時におけるセキュリティ管理方法であって、当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報の復元を行なう復元ステップとをそなえることを特徴としている。
また、本発明のセキュリティ用プログラム（請求項４）は、暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムであって、前記コンピュータの起動処理時において、当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴としている。
さらに、本発明のコンピュータ読取可能な記録媒体（請求項５）は、上述したセキュリティ用プログラムを記録したものである。
本発明によれば、以下の少なくともいずれか１つの効果ないし利点が得られる。
（１）管理装置において、端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納し、端末装置からの呼び出し要求に応じて、端末装置に対して復元用ユーザ情報ファイル暗号鍵を送信することにより、復元用ユーザ情報ファイル暗号鍵を紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い（請求項１〜請求項５）。
（１）管理装置において、端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納し、端末装置からの呼び出し要求に応じて、端末装置に対して復元用ユーザ情報ファイル暗号鍵を送信することにより、復元用ユーザ情報ファイル暗号鍵を紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い（請求項１〜請求項５）。
（２）端末装置が多数ある場合においても、これらの復元用ユーザ情報ファイル暗号鍵等の管理を容易に行なうことができる（請求項１〜請求項５）。
（３）端末装置の保守作業時に、保守作業員の手に復元用ユーザ情報ファイル暗号鍵が渡ることがなく、これによっても機密性や信頼性を向上させることができる（請求項１〜請求項５）。
（３）端末装置の保守作業時に、保守作業員の手に復元用ユーザ情報ファイル暗号鍵が渡ることがなく、これによっても機密性や信頼性を向上させることができる（請求項１〜請求項５）。
（４）保守作業員や端末管理者にとって、復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイル，パスワードを保管・管理する負担を軽減することができる（請求項１〜請求項５）。
（５）復元用ユーザ情報ファイル暗号鍵の送信履歴を管理することにより、復元用ユーザ情報ファイル暗号鍵等の管理を徹底することができ、復元用ユーザ情報ファイル暗号鍵等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる。
（５）復元用ユーザ情報ファイル暗号鍵の送信履歴を管理することにより、復元用ユーザ情報ファイル暗号鍵等の管理を徹底することができ、復元用ユーザ情報ファイル暗号鍵等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる。
（６）復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、復元用ユーザ情報ファイル暗号鍵の不正な使用や複製を管理・防止することができる。
（７）複数の権限者によって復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、端末装置に復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（７）複数の権限者によって復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、端末装置に復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（８）復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイルを紛失したり、パスワードを忘却（紛失）したりすることがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
（９）管理装置において、前記パスワードの取得に関する認証が行なわれた場合に、端末装置にパスワードの通知を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（９）管理装置において、前記パスワードの取得に関する認証が行なわれた場合に、端末装置にパスワードの通知を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（１０）ユーザセキュリティ情報の復元後に、復元用ユーザ情報ファイル暗号鍵を消去することにより、ユーザセキュリティ情報の復元後には、復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイルおよびパスワードが再度利用されることがなく、トークン等の不正な使用や複製を管理・防止することができ、機密性や信頼性を維持もしくは向上させることができる。
（１１）端末装置の起動処理時に、管理装置に対して復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、送信された復元用ユーザ情報ファイル暗号鍵と、セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元することにより、端末装置の起動時にユーザセキュリティ情報を復元することができ、セキュリティ機能モジュールの機能を使用することができる（請求項１〜請求項５）。
（１２）端末装置において、セキュリティ機能モジュールに格納されたユーザセキュリティ情報を消去することにより、セキュリティ機能モジュールを容易かつ確実に使用不可の状態にすることができ利便性が高い他、端末装置のセキュリティレベルを向上させることができる。
（１３）端末装置が、管理装置との間で通信可能な状態でないと確認された場合に、セキュリティ機能モジュールのユーザセキュリティ情報を消去することにより、端末装置のセキュリティレベルを向上させることができる。
（１３）端末装置が、管理装置との間で通信可能な状態でないと確認された場合に、セキュリティ機能モジュールのユーザセキュリティ情報を消去することにより、端末装置のセキュリティレベルを向上させることができる。
（１４）端末装置の終了処理時に、セキュリティ機能モジュールのユーザセキュリティ情報を消去することにより、端末装置の終了処理時に、セキュリティ機能モジュールを容易かつ確実に使用不可の状態にすることができ利便性が高い他、端末装置のセキュリティレベルを向上させることができる。
以下、図面を参照して本発明の実施の形態を説明する。
図１は本発明の一実施形態としての管理システムの構成を模式的に示す図、図２はＴＰＭの構成を模式的に示す図である。
本管理システム１は、図１に示すように、端末装置１０と管理サーバ２０とをそなえて構成されている。
図１は本発明の一実施形態としての管理システムの構成を模式的に示す図、図２はＴＰＭの構成を模式的に示す図である。
本管理システム１は、図１に示すように、端末装置１０と管理サーバ２０とをそなえて構成されている。
端末装置１０は、ＴＰＭ（Trusted Platform Module）１１をそなえた情報処理装置（コンピュータ）であって、図１に示すように、ＴＰＭ１１，ＣＰＵ１２，ＲＡＭ１３，ＲＯＭ１４，ＨＤＤ１５，ディスプレイ１９，キーボード３１，マウス３２およびＬＡＮカード１６をそなえて構成され、ＬＡＮ３３を介して、後述する管理サーバ２０に通信可能に接続されている。
なお、図１に示す例においては、便宜上、本管理システム１にそなえられた端末装置１０が１台の状態を示しており、以下、この１台の端末装置１０について説明を行なうものであるが、管理システム１の構成はこれにより普遍性が失なわれるものではなく、管理システム１には複数台の端末装置１０をそなえることが望ましい。
ＴＰＭ（セキュリティ機能モジュール）１１は、暗号処理機能を有するセキュリティチップであって、例えばマザーボード１２０に実装され、図２に示すように、ＲＳＡ暗号鍵の演算装置１０１，暗号鍵生成器１０２，ハッシュ生成器１０３，乱数発生器１０４，内部プロセッサ１０５，タイマ（時計）１０６，ＥＥＰＲＯＭ１０７および不揮発性メモリ１０８をそなえて構成されている。
ＴＰＭ（セキュリティ機能モジュール）１１は、暗号処理機能を有するセキュリティチップであって、例えばマザーボード１２０に実装され、図２に示すように、ＲＳＡ暗号鍵の演算装置１０１，暗号鍵生成器１０２，ハッシュ生成器１０３，乱数発生器１０４，内部プロセッサ１０５，タイマ（時計）１０６，ＥＥＰＲＯＭ１０７および不揮発性メモリ１０８をそなえて構成されている。
ＲＳＡ暗号鍵の演算装置１０１はＲＳＡ暗号鍵にかかる演算処理を行なうものであって、暗号鍵生成器１０２はＲＳＡ暗号鍵を生成するものである。ハッシュ生成器１０３は、例えばＳＨＡ−１等のハッシュ関数を用いてハッシュ値を生成するものである。
乱数発生器１０４は乱数を生成するものであり、内部プロセッサ１０５は種々の演算処理を行なうものである。タイマ（時計）１０６は計時を行なうものであって、ＥＥＰＲＯＭ１０７はデータを一時的に格納するものである。
乱数発生器１０４は乱数を生成するものであり、内部プロセッサ１０５は種々の演算処理を行なうものである。タイマ（時計）１０６は計時を行なうものであって、ＥＥＰＲＯＭ１０７はデータを一時的に格納するものである。
不揮発性メモリ１０８は、データやプログラムを格納するものであって、電源の供給が停止された場合においても記憶内容を保持するものである。この不揮発性メモリ１０８は、例えば、予めＴＰＭ１１に対して設定された固有の暗号鍵（コア暗号鍵）を格納するようになっており、又、この不揮発性メモリ１０８に格納されたコア暗号鍵は、外部に取り出すことができないようにハードウェア的に構成されている。
また、この不揮発性メモリ１０８は、ＴＰＭ１１にかかるユーザセキュリティ情報を格納するようになっている。このユーザセキュリティ情報は、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
そして、ＴＰＭ１１においては、その使用開始時（初期設定時）に、ＴＰＭ１１が破損等した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれるようになっている。
そして、ＴＰＭ１１においては、その使用開始時（初期設定時）に、ＴＰＭ１１が破損等した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれるようになっている。
ここで、アーカイブ（復元用ユーザ情報ファイル，バックアップアーカイブ）は、ＴＰＭ１１にかかる環境（ユーザセキュリティ情報）を管理しているバックアップファイルデータであって、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更するなどした場合等に随時更新されるようになっている。又、ＴＰＭ１１にかかるユーザセキュリティ情報とは、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
トークン（復元用ユーザ情報ファイル暗号鍵）は、上述したアーカイブにかかる暗号鍵であって、このトークンによってアーカイブが暗号化処理されるようになっている。又、トークンの使用に際しては、このトークンに対応して予め設定されたパスワード（トークン用パスワード）が必要とされるようになっている。
なお、トークンを紛失した場合には、ＴＰＭ１１を新規に設定しなおさない限り、再度作成することは不可能である。又、これらのトークンやアーカイブは、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、作成されるようになっており、又、アーカイブおよびトークンは、セキュリティ上、端末装置１０毎に固有のものとすることが望ましい。
なお、トークンを紛失した場合には、ＴＰＭ１１を新規に設定しなおさない限り、再度作成することは不可能である。又、これらのトークンやアーカイブは、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、作成されるようになっており、又、アーカイブおよびトークンは、セキュリティ上、端末装置１０毎に固有のものとすることが望ましい。
そして、ＴＰＭ１１においては、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、復元部１７およびユーザセキュリティ情報消去部１７１として機能するようになっている。
復元部１７は、上述したトークン，アーカイブおよびトークン用パスワードを用いて、ＴＭＰ１１の環境（ＴＰＭ１１にかかるユーザセキュリティ情報）を復元するものである。なお、この復元部１７としての機能は、既知の種々の手法を用いて実現することができる
そして、セキュリティレベルを高い状態で維持するためには、端末装置１０に対して特定の権限を有する端末管理者だけが、ＴＰＭ１１にかかるユーザセキュリティ情報を復元することができることが望ましい。
復元部１７は、上述したトークン，アーカイブおよびトークン用パスワードを用いて、ＴＭＰ１１の環境（ＴＰＭ１１にかかるユーザセキュリティ情報）を復元するものである。なお、この復元部１７としての機能は、既知の種々の手法を用いて実現することができる
そして、セキュリティレベルを高い状態で維持するためには、端末装置１０に対して特定の権限を有する端末管理者だけが、ＴＰＭ１１にかかるユーザセキュリティ情報を復元することができることが望ましい。
ユーザセキュリティ情報消去部１７１は、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するものであり、例えば、不揮発性メモリ１０８における少なくともユーザセキュリティ情報が格納されている領域（メモリ空間）をクリアすることにより、この不揮発性メモリ１０８に格納されているユーザセキュリティ情報を消去して、ＴＰＭ１１の内容を破損ないし消去するようになっている。
なお、端末装置１０において、ＴＰＭ１１のユーザセキュリティ情報が消去された状態においては、ＴＰＭ１１の機能を用いることができず、例えば、ＴＰＭ１１によって既に暗号化等されているデータの復号化等を行なうことはできないのである。
そして、ユーザセキュリティ情報消去部１７１によってＴＰＭ１１から消去されたユーザセキュリティ情報は、前述したトークン，アーカイブおよびトークン用パスワードを用いることにより、復元することができるようになっている。
そして、ユーザセキュリティ情報消去部１７１によってＴＰＭ１１から消去されたユーザセキュリティ情報は、前述したトークン，アーカイブおよびトークン用パスワードを用いることにより、復元することができるようになっている。
すなわち、ＴＰＭ１１のユーザセキュリティ情報が消去された状態の端末装置１０においては、トークンやアーカイブ，トークン用パスワードを用いて、ユーザセキュリティ情報の復元を行なわない限り、ＴＰＭ１１の機能を用いることができないようになっている。
なお、このユーザセキュリティ情報消去部１７１としての機能は、既知の種々の手法を用いて実現することができる。
なお、このユーザセキュリティ情報消去部１７１としての機能は、既知の種々の手法を用いて実現することができる。
また、ユーザセキュリティ情報消去部１７１は、ＴＰＭ１１の外部（例えば、端末装置１０のＣＰＵ１２や管理サーバ２０）から働きかけ（指示，制御）を行なうことにより機能させることもできるようになっており、本管理システム１においては、端末装置１０の終了処理時（停止処理時）に、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
すなわち、端末装置１０は、その再起動時には、ＴＰＭ１１のユーザセキュリティ情報が消去された状態であり、トークンやアーカイブ，トークン用パスワードを用いて、ユーザセキュリティ情報の復元を行なわない限り、ＴＰＭ１１の機能を用いることができない。
また、ユーザセキュリティ情報消去部１７１は、後述する確認部１２３により、管理サーバ２０との間で通信可能な状態でなくなったことを確認された時にも、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
また、ユーザセキュリティ情報消去部１７１は、後述する確認部１２３により、管理サーバ２０との間で通信可能な状態でなくなったことを確認された時にも、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
なお、このようなユーザセキュリティ情報消去部１７１に対するユーザセキュリティ情報を消去させるための働きかけは、例えば、割り込み処理として行なわれるようになっている。
また、このユーザセキュリティ情報消去部１７１は、後述する管理サーバ２０の認証部（不正使用検知部）２１により、端末装置１０が不正に使用されたことが検知された場合に、管理サーバ２０からの指示に従って、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
また、このユーザセキュリティ情報消去部１７１は、後述する管理サーバ２０の認証部（不正使用検知部）２１により、端末装置１０が不正に使用されたことが検知された場合に、管理サーバ２０からの指示に従って、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
ＨＤＤ（Hard Disk Drive）１５やＲＯＭ（Read Only Memory）１４は、データやプログラム等を格納・保存するものであり、ＲＡＭ（Random Access Memory）１３は、ＣＰＵ１２が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＬＡＮ（Local Area Network）カード１６は、端末装置１０をＬＡＮ３３に通信可能に接続するための通信機器であって、この、ＬＡＮカード１６には固有の識別情報であるＭＡＣ（Media Access Control）アドレスが一意に設定されている。
ＬＡＮ（Local Area Network）カード１６は、端末装置１０をＬＡＮ３３に通信可能に接続するための通信機器であって、この、ＬＡＮカード１６には固有の識別情報であるＭＡＣ（Media Access Control）アドレスが一意に設定されている。
ディスプレイ１９は、例えば、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）等の表示装置であって、端末装置１０の操作者（ユーザ）等に対して種々の情報やメッセージ等を表示するものである。
キーボード３１はユーザがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス３２はユーザが種々の入力操作や選択操作を行なうためのポインティングデバイス（入力機器）である。
キーボード３１はユーザがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス３２はユーザが種々の入力操作や選択操作を行なうためのポインティングデバイス（入力機器）である。
ＣＰＵ（Central Processing Unit）１２は、各種演算を行なうものであって、ＨＤＤ１５やＲＯＭ１４に格納されたプログラムを実行することにより種々の機能を実現するようになっており、要求部１２１，消去部１２２および確認部１２３としての機能を実現するようになっている。
要求部１２１は、管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうものであり、例えば、マザーボード１２０の交換を行なった場合のように、ＴＰＭ１１の環境（ユーザセキュリティ情報）の復元を行なう必要がある場合に、この復元処理に用いるために、後述する管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうようになっている。
要求部１２１は、管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうものであり、例えば、マザーボード１２０の交換を行なった場合のように、ＴＰＭ１１の環境（ユーザセキュリティ情報）の復元を行なう必要がある場合に、この復元処理に用いるために、後述する管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうようになっている。
また、要求部１２１は、例えば、ＢＩＯＳ設定によって、ＴＰＭ１１を使用許可の状態となっている場合には、端末装置１０の起動処理時にも、管理サーバ２０に対して、その端末装置１０にかかるトークン，アーカイブおよびトークン用パスワードの呼び出し要求を行なうようになっている。
そして、復元部１７は、この呼び出し要求に応じて、管理サーバ２０の送信部２３から送信されたトークン，アーカイブおよびトークン用パスワードに基づいて、そのＴＰＭ１１にかかるユーザセキュリティ情報を復元するようになっている。
そして、復元部１７は、この呼び出し要求に応じて、管理サーバ２０の送信部２３から送信されたトークン，アーカイブおよびトークン用パスワードに基づいて、そのＴＰＭ１１にかかるユーザセキュリティ情報を復元するようになっている。
すなわち、本管理システム１においては、端末装置１０は、その起動時にトークン等を管理サーバ２０から呼び出し、毎回、ＴＰＭ１１内の情報（ユーザセキュリティ情報）を復元するようになっているのである。
なお、例えば、この要求部１２１によるトークンやアーカイブの呼び出し要求は、ＨＤＤ１５やＲＯＭ１４等に格納されたユーティリティ（プログラム）を起動させることにより実現される。
なお、例えば、この要求部１２１によるトークンやアーカイブの呼び出し要求は、ＨＤＤ１５やＲＯＭ１４等に格納されたユーティリティ（プログラム）を起動させることにより実現される。
また、この要求部１２１による呼び出し要求に応じて管理サーバ２０から送信されたトークンやアーカイブ，トークン用パスワードは、端末装置１０のＨＤＤ１５やＲＡＭ１３に一時的に保存されるようになっている。
消去部１２２は、復元部１７によるユーザセキュリティ情報の復元後に、管理サーバ２０の送信部２３から送信され、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードを消去するものであり、これにより、復元部１７によるユーザセキュリティ情報の復元後には、トークンやアーカイブ，トークン用パスワードが再度利用されることがないようになっている。
消去部１２２は、復元部１７によるユーザセキュリティ情報の復元後に、管理サーバ２０の送信部２３から送信され、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードを消去するものであり、これにより、復元部１７によるユーザセキュリティ情報の復元後には、トークンやアーカイブ，トークン用パスワードが再度利用されることがないようになっている。
この消去部１２２によるトークンやアーカイブ，トークン用パスワードの消去は、ＣＰＵ１２が例えば、ＨＤＤ１５に格納されたプログラムを実行することにより実現することができ、既知の種々の手法を用いて実現することができる。
例えば、消去部１２２は、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードの消去に際して、消去対象のデータのアドレス部分のみを消去する等のように単にデータの一部のみを消去することによりデータを読み出し不可な状態にするのではなく、データ全体を消去するようになっており、データ全体に上書きするように “１”や“０”を直接書き込む（塗りつぶし）等の手法により、これらのトークンやアーカイブ，トークン用パスワードを、データ復元が不可能な状態にまで消去するようになっている。
例えば、消去部１２２は、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードの消去に際して、消去対象のデータのアドレス部分のみを消去する等のように単にデータの一部のみを消去することによりデータを読み出し不可な状態にするのではなく、データ全体を消去するようになっており、データ全体に上書きするように “１”や“０”を直接書き込む（塗りつぶし）等の手法により、これらのトークンやアーカイブ，トークン用パスワードを、データ復元が不可能な状態にまで消去するようになっている。
また、消去部１２２は、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，トークン用パスワードおよびアーカイブのうち、少なくともトークンおよびトークン用パスワードを、この端末装置１０から消去するようになっている。
確認部１２３は、端末装置１０が、後述する管理サーバ２０との間で通信可能な状態であるか否かを確認するものであって、例えば、ＬＡＮカード１６を介して管理サーバ２０に対して定期的に接続確認信号を送信し、この接続確認信号に対する応答の有無を判断することにより、管理サーバ２０との接続状況を判断するようになっている。なお、この確認部１２３による管理サーバ２０との間で通信可能な状態であるか否かの確認は、接続確認信号の送信して行なう他、既知の種々の手法を用いて実現することができる。
確認部１２３は、端末装置１０が、後述する管理サーバ２０との間で通信可能な状態であるか否かを確認するものであって、例えば、ＬＡＮカード１６を介して管理サーバ２０に対して定期的に接続確認信号を送信し、この接続確認信号に対する応答の有無を判断することにより、管理サーバ２０との接続状況を判断するようになっている。なお、この確認部１２３による管理サーバ２０との間で通信可能な状態であるか否かの確認は、接続確認信号の送信して行なう他、既知の種々の手法を用いて実現することができる。
そして、端末装置１０においては、この確認部１２３により、管理サーバ２０との間で通信可能な状態でない（ネットワーク切断状態）と確認された時に、ＴＰＭ１１において、ユーザセキュリティ情報消去部１７１が、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するようになっている。
さらに、端末装置１０においては、ＴＰＭ１１の使用開始時（初期設定時）等に生成・設定した、トークン，トークン用パスワードおよびアーカイブを管理サーバ２０に送信するようになっており、これらのトークン，トークン用パスワードおよびアーカイブは、端末装置１０内やＣＤ−ＲＯＭ等の外部記憶媒体に保存されることはないようになっている。
さらに、端末装置１０においては、ＴＰＭ１１の使用開始時（初期設定時）等に生成・設定した、トークン，トークン用パスワードおよびアーカイブを管理サーバ２０に送信するようになっており、これらのトークン，トークン用パスワードおよびアーカイブは、端末装置１０内やＣＤ−ＲＯＭ等の外部記憶媒体に保存されることはないようになっている。
また、端末装置１０には、固有の端末ＩＤが予め設定されている。この端末ＩＤは、端末装置１０に対して任意に設定された端末識別情報であり、例えば、ＨＤＤ１５等に保存されるようになっている。
そして、端末装置（情報処理装置）１０においては、ＣＰＵ１２が、管理プログラムを実行することにより、上述した要求部１２１および消去部１２２として機能するようになっている。
そして、端末装置（情報処理装置）１０においては、ＣＰＵ１２が、管理プログラムを実行することにより、上述した要求部１２１および消去部１２２として機能するようになっている。
なお、これらの要求部１２１，消去部１２２および確認部１２３としての機能を実現するためのプログラム（管理プログラム）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ等），磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
要求部１２１，消去部１２２および確認部１２３としての機能を実現する際には、内部記憶装置（ＲＡＭ１３やＲＯＭ１４）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ１２）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、端末装置１０がコンピュータとしての機能を有しているのである。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、端末装置１０がコンピュータとしての機能を有しているのである。
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等のコンピュータ読取可能な種々の媒体を利用することができる。
管理サーバ（管理装置，外部装置）２０はＣＰＵ２０１（認証部２１，履歴管理部２２，送信部２３），ＲＯＭ２０２，ＲＡＭ２０３，ＨＤＤ２４およびＬＡＮカード２０４をそなえて構成された情報処理装置（コンピュータ，サーバコンピュータ）である。又、この管理サーバ２０は、ゲートウェイ装置３０を介してＬＡＮ（Local Area Network）３１に通信可能に接続されており、これにより、端末装置１０とＬＡＮ３３を介して通信可能に構成されている。
ＣＰＵ（Central Processing Unit）２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、後述する認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ＨＤＤ（Hard Disk Drive）２４やＲＯＭ（Read Only Memory）２０２は、データやプログラム等を格納するものであり、ＲＡＭ（Random Access Memory）２０３は、ＣＰＵ２０１が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＨＤＤ（Hard Disk Drive）２４やＲＯＭ（Read Only Memory）２０２は、データやプログラム等を格納するものであり、ＲＡＭ（Random Access Memory）２０３は、ＣＰＵ２０１が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＬＡＮ（Local Area Network）カード２０４は、管理サーバ２０をＬＡＮ３３に通信可能に接続するための通信機器である。
ＣＰＵ２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ＣＰＵ２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ディスプレイ２０４は、例えば、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）等の表示装置であって、操作者等に対する種々の情報やメッセージ等を表示するものである。
キーボード２０５はオペレータがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス２０６はオペレータが種々の入力操作を行なうためのポインティングデバイス（入力機器）である。
キーボード２０５はオペレータがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス２０６はオペレータが種々の入力操作を行なうためのポインティングデバイス（入力機器）である。
また、ＨＤＤ（格納部）２４は、図３に示すような管理情報２４１を格納するようになっている。
図３は本発明の一実施形態としての管理システム１における管理サーバ２０が管理する管理情報２４１の例を模式的に示す図であり、管理情報２４１は、この図３に示すように、端末ＩＤに対して、ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けることにより構成されている。
図３は本発明の一実施形態としての管理システム１における管理サーバ２０が管理する管理情報２４１の例を模式的に示す図であり、管理情報２４１は、この図３に示すように、端末ＩＤに対して、ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けることにより構成されている。
上述の如く、端末ＩＤは、端末装置１０に対して任意に設定された端末識別情報であり、ＭＡＣアドレスは、端末装置１０のＬＡＮカード１６に設定された固有の識別情報であり、これらの端末ＩＤおよびＭＡＣアドレスが、端末装置１０を特定する情報として用いられるようになっている。
すなわち、管理情報２４１は、端末装置１０毎に、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けて構成されているともいえる。
すなわち、管理情報２４１は、端末装置１０毎に、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けて構成されているともいえる。
管理情報２４１におけるトークン，トークン用パスワードおよびアーカイブは、それぞれ、その端末ＩＤによって特定される端末装置１０のＴＰＭ１１にかかるトークン，トークン用パスワードおよびアーカイブそのもの、もしくはこれらの格納位置を特定する情報である。
なお、トークン，トークン用パスワードおよびアーカイブは、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定された際に、端末装置１０からＬＡＮ３３等を介して管理サーバ２０に送信されて、例えば、管理サーバ２０のＨＤＤ２０１に格納され、この管理サーバ２０において集中管理されるようになっている。
なお、トークン，トークン用パスワードおよびアーカイブは、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定された際に、端末装置１０からＬＡＮ３３等を介して管理サーバ２０に送信されて、例えば、管理サーバ２０のＨＤＤ２０１に格納され、この管理サーバ２０において集中管理されるようになっている。
また、管理サーバ２０は、端末装置１０を特定するための情報に対応付けて、上述したトークン等ととともに、その端末装置１０の管理者パスワードも保存している。
管理者リストは、端末装置１０の端末管理者に関する情報であって、例えば、図３に示すように、特定の権限（例えば、端末装置１０の使用権限）を有する正当な端末管理者のユーザＩＤと、そのユーザＩＤに対応するパスワード（ユーザＩＤ用パスワード）とを予め対応付けて登録することにより構成されている。又、複数の端末管理者に対して端末装置１０に関する特定の権限が認められている場合には、これらの全ての端末管理者についてのユーザＩＤおよびパスワードが管理者リストとして登録されるようになっている。
管理者リストは、端末装置１０の端末管理者に関する情報であって、例えば、図３に示すように、特定の権限（例えば、端末装置１０の使用権限）を有する正当な端末管理者のユーザＩＤと、そのユーザＩＤに対応するパスワード（ユーザＩＤ用パスワード）とを予め対応付けて登録することにより構成されている。又、複数の端末管理者に対して端末装置１０に関する特定の権限が認められている場合には、これらの全ての端末管理者についてのユーザＩＤおよびパスワードが管理者リストとして登録されるようになっている。
履歴情報は、送信部２３（詳細は後述）による端末装置１０へのトークンやアーカイブ，トークン用パスワードの送信履歴である。この履歴情報としては、例えば、呼び出し要求が行なわれた日時や、トークンやアーカイブ，トークン用パスワードを送信した日時、呼び出し要求が送信された端末に関する端末ＩＤやＭＡＣアドレスの他、認証を行なったユーザのユーザＩＤ等である。
また、本管理システム１においては、履歴情報として、端末装置１０から通知されたＭＡＣアドレスも保存するようになっており、例えば、ＬＡＮカード１６の交換等により端末装置１０のＭＡＣアドレスが変わった場合には、その変化の履歴（変更の前後における各ＭＡＣアドレス）も一覧として保持するようになっている。
なお、これらの履歴情報は、履歴管理部２２によって作成され、ＨＤＤ２４に格納されるようになっている。又、履歴情報は、上述したトークン等の送信履歴や端末装置１０のＭＡＣアドレスに限定されるものではなく、これらの情報に加えて、例えば、端末装置１０から送信された呼び出し要求に関する情報（日時やユーザＩＤ）等を保存してもよい。
なお、これらの履歴情報は、履歴管理部２２によって作成され、ＨＤＤ２４に格納されるようになっている。又、履歴情報は、上述したトークン等の送信履歴や端末装置１０のＭＡＣアドレスに限定されるものではなく、これらの情報に加えて、例えば、端末装置１０から送信された呼び出し要求に関する情報（日時やユーザＩＤ）等を保存してもよい。
また、管理サーバ２０においては、そのトークンやアーカイブ，トークン用パスワードを管理情報２４１として管理している端末装置１０や、不正なものではないことが判明している端末装置１０について、そのＭＡＣアドレスや端末ＩＤをリスト（端末装置リスト；図示省略）として、ＨＤＤ２４に保存している。
なお、上述の如き、トークンやアーカイブ，トークン用パスワードが管理情報２４１として管理されている端末装置１０や、不正なものではないことが判明している端末装置１０のことを、以下、便宜上、正規な端末装置１０という場合がある。すなわち、端末装置リストは正規な端末装置１０のＭＡＣアドレスや端末ＩＤをリストとして記録しているのである。
なお、上述の如き、トークンやアーカイブ，トークン用パスワードが管理情報２４１として管理されている端末装置１０や、不正なものではないことが判明している端末装置１０のことを、以下、便宜上、正規な端末装置１０という場合がある。すなわち、端末装置リストは正規な端末装置１０のＭＡＣアドレスや端末ＩＤをリストとして記録しているのである。
さらに、管理サーバ２０においては、端末装置１０のユーザとしての権限（使用権限）を有するユーザについて、そのユーザＩＤと、そのユーザＩＤに対応するパスワード（ユーザＩＤ用パスワード）とを予め対応付けて登録することにより構成されたユーザリスト（図示省略）をＨＤＤ２４に保存している。
履歴管理部２２は、送信部２３による端末装置１０へのトークン，アーカイブ，トークン用パスワードの送信履歴等を、管理情報２４１に履歴情報として管理・保存するようになっている。
履歴管理部２２は、送信部２３による端末装置１０へのトークン，アーカイブ，トークン用パスワードの送信履歴等を、管理情報２４１に履歴情報として管理・保存するようになっている。
認証部（復元用ユーザ情報ファイル暗号鍵認証部，復元用ユーザ情報ファイル認証部，パスワード認証部，不正使用検知部）２１は、端末装置１０の要求部１２１からトークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合に、この管理者リストにおけるユーザＩＤとユーザＩＤ用パスワードに基づいてユーザ認証を行なうものである。
すなわち、認証部２１は、端末装置１０の要求部１２１からトークンの呼び出し要求が行なわれた場合に、管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なう復元用ユーザ情報ファイル暗号鍵認証部として機能するようになっており、又、端末装置１０の要求部１２１からアーカイブの呼び出し要求が行なわれた場合には、この管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なう復元用ユーザ情報ファイル認証部として機能するようになっている。又、認証部２１は、トークン用パスワードの呼び出し要求が行なわれた場合には、この管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なうパスワード認証部として機能するようになっている。
そして、本実施形態においては、管理サーバ２０が、ＨＤＤ２４においてトークン，アーカイブおよびトークン用パスワードを一元的に管理・保管しているので、一度のユーザ認証で端末装置１０の要求部１２１からの、これらのトークン，アーカイブおよびトークン用パスワードの呼び出し要求に対する認証を行なうことができるようになっている。
また、認証部２１は、端末装置１０から送信された端末ＩＤやＭＡＣアドレスを、ＨＤＤ２４に保存されている端末装置リストと比較して、端末装置１０から送信された端末ＩＤやＭＡＣアドレスが端末装置リストに記録されている場合には、その端末装置１０を正規な端末装置１０であると認定するようになっている。
また、認証部２１は、端末装置１０から送信された端末ＩＤやＭＡＣアドレスを、ＨＤＤ２４に保存されている端末装置リストと比較して、端末装置１０から送信された端末ＩＤやＭＡＣアドレスが端末装置リストに記録されている場合には、その端末装置１０を正規な端末装置１０であると認定するようになっている。
そして、管理サーバ（情報処理装置）２０のＣＰＵ２０１が、管理プログラムを実行することにより、上述した、認証部２１，履歴管理部２２および送信部２３として機能するようになっている。
なお、これらの認証部２１，履歴管理部２２および送信部２３としての機能を実現するためのプログラム（管理プログラム）は、例えばフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
なお、これらの認証部２１，履歴管理部２２および送信部２３としての機能を実現するためのプログラム（管理プログラム）は、例えばフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
認証部２１，履歴管理部２２および送信部２３としての機能を実現する際には、内部記憶装置（ＲＡＭ２０３やＲＯＭ２０２）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ２０１）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、管理サーバ２０がコンピュータとしての機能を有しているのである。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、管理サーバ２０がコンピュータとしての機能を有しているのである。
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等のコンピュータ読取可能な種々の媒体を利用することができる。
図４は本発明の一実施形態としての管理システム１におけるユーザ認証用画面の例を示す図である。
本管理システム１においては、認証部２１は、トークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合には、この図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に表示させるようになっている。
本管理システム１においては、認証部２１は、トークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合には、この図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に表示させるようになっている。
ユーザ認証用画面１９１は、図４に示すように、ユーザＩＤを入力するためのユーザＩＤ入力部１９１ａと、パスワードを入力するためのパスワード入力部１９１ｂとをそなえて構成され、端末装置１０の操作者（端末管理者，ユーザ）が、このユーザ認証用画面１９１において、ユーザＩＤ入力部１９１ａおよびパスワード入力部１９１ｂに、ユーザＩＤと、このユーザＩＤに対応して予め設定されたパスワードとをキーボード３１やマウス３２を用いて入力するようになっている。
なお、このユーザ認証用画面１９１をディスプレイ１９に表示させるための画面データは、端末装置１０と管理サーバ２０のいずれの側にそなえてもよく、更に、これらの端末装置１０や管理サーバ２０の外部の機器（図示省略）にそなえてもよい。
認証部２１は、権限者に関する認証を行なうものであり、上述したユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードを取得し、これらの入力されたユーザＩＤおよびパスワードと、管理情報２４１における、その端末装置１０にかかる管理者リストに登録されたユーザＩＤおよびユーザＩＤ用パスワードとを比較し、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当な権限者（端末管理者）によって端末装置１０の操作が行なわれていると認証するようになっている。
認証部２１は、権限者に関する認証を行なうものであり、上述したユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードを取得し、これらの入力されたユーザＩＤおよびパスワードと、管理情報２４１における、その端末装置１０にかかる管理者リストに登録されたユーザＩＤおよびユーザＩＤ用パスワードとを比較し、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当な権限者（端末管理者）によって端末装置１０の操作が行なわれていると認証するようになっている。
また、認証部２１は、端末装置１０からトークン等の呼び出し要求が行なわれた際に、その端末装置１０から端末ＩＤおよびＭＡＣアドレスも取得するようになっており、これらの端末ＩＤおよびＭＡＣアドレスに基づいて、端末装置１０の特定を行なうようになっている。
具体的には、認証部２１は、端末装置１０から取得した端末ＩＤとＭＡＣアドレスとのそれぞれが、ＨＤＤ２４の管理情報２４１に一致するか否かを判断することにより、端末装置１０の特定を行なうようになっている。
具体的には、認証部２１は、端末装置１０から取得した端末ＩＤとＭＡＣアドレスとのそれぞれが、ＨＤＤ２４の管理情報２４１に一致するか否かを判断することにより、端末装置１０の特定を行なうようになっている。
このように、端末ＩＤだけでなく、ＬＡＮカード１６に固有の識別情報であるＭＡＣアドレスに基づいて端末装置１０の特定を行なうことにより、端末装置１０の特定精度（セキュリティレベル）を向上させることができる
また、端末装置１０において、何らかの事情でＬＡＮカード１６が交換されＭＡＣアドレスが変わった場合においても、端末ＩＤ，ユーザＩＤおよびユーザＩＤ用パスワードを用いて認証を行なうことにより、端末装置１０の操作者の正当性を確認し、これにより端末装置１０の認定を確実に行なうことができる。
また、端末装置１０において、何らかの事情でＬＡＮカード１６が交換されＭＡＣアドレスが変わった場合においても、端末ＩＤ，ユーザＩＤおよびユーザＩＤ用パスワードを用いて認証を行なうことにより、端末装置１０の操作者の正当性を確認し、これにより端末装置１０の認定を確実に行なうことができる。
さらに、認証部（不正使用検知部）２１は、不正なユーザが端末装置１０を使用していないか否かを定期的もしくは不定期的に確認するようになっており、不正なユーザが端末装置１０を使用していることを検知した場合には、その端末装置１０に対して、ユーザセキュリティ情報消去部１７１に、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去させるよう指示（制御）を行なうようになっている。
不正なユーザが端末装置１０を使用していないか否かのチェックは、例えば、端末装置１０のディスプレイ１９に、ユーザ認証用画面１９１を定期的もしくは不定期に表示させて、端末装置１０の操作者に対してユーザＩＤおよびユーザＩＤ用パスワードを入力させ、これらの入力されたユーザＩＤおよびパスワードと、管理情報２４１における、その端末装置１０にかかる管理者リストに登録されたユーザＩＤおよびユーザＩＤ用パスワードとを比較して、一致しなかった場合や、ユーザ認証用パスワードの入力に際して、所定回数以上間違えたりした場合に、不正なユーザが端末装置１０を使用していると判断する。
また、端末装置１０に、端末ＩＤやＭＡＣアドレスを定期的もしくは不定期的に送信させ、これらの端末ＩＤやＭＡＣアドレスが管理情報２４１に登録されているものと変わっていることを検知した場合にも、その端末装置１０において、何らかの不正な処理が行なわれているとして、不正なユーザが端末装置１０を使用していると判断してもよい。
そして、認証部２１により、不正なユーザが端末装置１０を使用していることが検知された場合には、履歴管理部２２が、管理情報２４１における履歴情報に、不正使用の履歴として記録するようになっている。
そして、認証部２１により、不正なユーザが端末装置１０を使用していることが検知された場合には、履歴管理部２２が、管理情報２４１における履歴情報に、不正使用の履歴として記録するようになっている。
送信部２３は、端末装置１０からのトークン，アーカイブおよびトークン用パスワードの呼び出し要求に応じて、端末装置１０に対して、これらのトークン，アーカイブおよびトークン用パスワードを送信するものであり、端末装置１０から送信要求を受信し、認証部２１によって、正当なユーザによって端末装置１０の操作が行なわれていることが認証された場合（権限者に関する認証）に、ＬＡＮカード２０４，ゲートウェイ装置３０およびＬＡＮ３３を介して、その端末装置１０に対して、これらのトークン，アーカイブおよびトークン用パスワードを送信するようになっている。
ゲートウェイ装置３０は、管理サーバ２０をＬＡＮ３３に通信可能に接続するためのネットワーク機器であって、例えば、プロトコル等が異なるデータを相互に変換することにより通信を可能にするようになっている。なお、このゲートウェイ装置３０としては、システム環境やハードウェア構成等に応じて、既知のネットワーク機器を種々変形して用いることができる。
図５および図６はそれぞれ本発明の一実施形態としての管理システム１の管理サーバ２０におけるトークンの管理手法を説明するための図であって、図５は端末装置１０から管理サーバ２０にトークンを登録する際の処理を説明するための図、図６は端末装置１０が管理サーバ２０からにトークンを取得する際の処理を説明するための図である。
上述の如く構成された、本発明の一実施形態としての管理システム１においては、図５に示すように、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，アーカイブおよびトークン用パスワードが、端末装置１０から管理サーバ２０に送信され、管理サーバ２０のＨＤＤ２４に格納される（格納ステップ）。
上述の如く構成された、本発明の一実施形態としての管理システム１においては、図５に示すように、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，アーカイブおよびトークン用パスワードが、端末装置１０から管理サーバ２０に送信され、管理サーバ２０のＨＤＤ２４に格納される（格納ステップ）。
次に、本発明の一実施形態としての管理システム１におけるユーザ情報の復元手法を、図６を参照しながら、図７に示すフローチャート（ステップＢ１０〜Ｂ１９０）に従って説明する。
なお、この図７に示すフローチャートに示すユーザ情報の復元手法は、ＴＰＭ１１内のユーザ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、端末装置１０においてＴＰＭ１１が破損され使用不可となり新しいＴＰＭ１１が搭載されたプリント基板（マザーボード１２０等）に交換する場合や、端末装置１０のハードディスク内のデータを複製して、他の端末装置１０内に全く同じデータを構築（作成）する場合等に行なわれる。なお、ＴＰＭ１１が破損された場合には、プリント基板（マザーボード１２０）ごと交換する代わりに、ＴＰＭ１１だけを交換してもよい。
なお、この図７に示すフローチャートに示すユーザ情報の復元手法は、ＴＰＭ１１内のユーザ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、端末装置１０においてＴＰＭ１１が破損され使用不可となり新しいＴＰＭ１１が搭載されたプリント基板（マザーボード１２０等）に交換する場合や、端末装置１０のハードディスク内のデータを複製して、他の端末装置１０内に全く同じデータを構築（作成）する場合等に行なわれる。なお、ＴＰＭ１１が破損された場合には、プリント基板（マザーボード１２０）ごと交換する代わりに、ＴＰＭ１１だけを交換してもよい。
先ず、端末装置１０において、ＴＰＭ１１を使用可能とするために、ＢＩＯＳ設定にてＴＰＭ１１を使用許可へと変更（アクティベーション）する（ステップＢ１０）。
端末装置１０の端末管理者は、その端末装置１０に管理者権限でログインを行ない、端末管理者のパスワードを入力する。端末装置１０は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＢ２０）。なお、ここで、端末装置１０においては、少なくともＬＡＮ３３との接続の確立まで行なう。
端末装置１０の端末管理者は、その端末装置１０に管理者権限でログインを行ない、端末管理者のパスワードを入力する。端末装置１０は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＢ２０）。なお、ここで、端末装置１０においては、少なくともＬＡＮ３３との接続の確立まで行なう。
端末装置１０の操作者が不正な端末管理者であるか否かの確認の結果（ステップＢ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると端末装置１０が判断した場合には（ステップＢ３０のＹＥＳルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、端末装置１０の操作者が正当な端末管理者である場合には（ステップＢ３０のＮＯルート参照）、端末装置１０は、ユーザ情報復元プロセスを起動（開始）する（ステップＢ４０）。
端末装置１０においては、要求部１２１が、ユーザ情報復元プロセスに必要なトークンおよびアーカイブを呼び出すためのユーティリティを起動させて、トークンおよびアーカイブの呼び出し要求を行なう（ステップＢ５０）。なお、トークンやアーカイブを管理する管理サーバ２０は、例えば、端末操作者が指定するようになっており、ユーティリティによってディスプレイ１９に表示される入力画面（図示省略）等において、トークンやアーカイブが格納されている管理サーバ２０を指定・入力したり、これらのトークンやアーカイブの格納位置を指定・入力するようになっている。
端末装置１０においては、要求部１２１が、ユーザ情報復元プロセスに必要なトークンおよびアーカイブを呼び出すためのユーティリティを起動させて、トークンおよびアーカイブの呼び出し要求を行なう（ステップＢ５０）。なお、トークンやアーカイブを管理する管理サーバ２０は、例えば、端末操作者が指定するようになっており、ユーティリティによってディスプレイ１９に表示される入力画面（図示省略）等において、トークンやアーカイブが格納されている管理サーバ２０を指定・入力したり、これらのトークンやアーカイブの格納位置を指定・入力するようになっている。
なお、トークンやアーカイブが格納されている管理サーバ２０やその格納位置に関する情報は、予め、ＴＰＭ１１の不揮発性メモリ１０８や端末装置１０のＲＯＭ１３等に格納しておいてもよい。
そして、管理サーバ２０はこのトークンおよびアーカイブの呼び出し要求を受信する（要求受信ステップ）。
そして、管理サーバ２０はこのトークンおよびアーカイブの呼び出し要求を受信する（要求受信ステップ）。
端末装置１０は、管理サーバ２０に対してＭＡＣアドレスと端末ＩＤを通知し（ステップＢ６０）、管理サーバ２０においては、認証部２１が、これらのＭＡＣアドレスおよび端末ＩＤの照合を行なう。
具体的には、認証部２１は、端末装置１０から送信されたＭＡＣアドレスに基づいて管理情報２４１を参照して、そのＭＡＣアドレスが管理情報２４１に登録されているかを確認するとともに、端末装置１０から送信された端末ＩＤに基づいて管理情報２４１を参照して、その端末ＩＤが管理情報２４１に登録されているか、すなわち、正規のものであるか否かの確認を行なう（ステップＢ７０）。
具体的には、認証部２１は、端末装置１０から送信されたＭＡＣアドレスに基づいて管理情報２４１を参照して、そのＭＡＣアドレスが管理情報２４１に登録されているかを確認するとともに、端末装置１０から送信された端末ＩＤに基づいて管理情報２４１を参照して、その端末ＩＤが管理情報２４１に登録されているか、すなわち、正規のものであるか否かの確認を行なう（ステップＢ７０）。
認証部２１による端末ＩＤが正規のものであるか否かの確認の結果（ステップＢ８０）、端末ＩＤが正規のものではないと認証部２１が判断した場合には（ステップＢ８０のＮＯルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、認証部２１が、端末装置１０が正規のものであることを確認した場合には（ステップＢ８０のＹＥＳルート参照）、管理サーバ２０は、その端末装置１０に対してその旨の通知を行なう（ステップＢ９０）。
また、認証部２１が、端末装置１０が正規のものであることを確認した場合には（ステップＢ８０のＹＥＳルート参照）、管理サーバ２０は、その端末装置１０に対してその旨の通知を行なう（ステップＢ９０）。
端末装置１０は、管理サーバ２０に対してトークン及びアーカイブの呼び出し要求を行なうとともに、ディスプレイ１９にユーザ認証用画面１９１を表示させる。端末管理者はこのユーザ認証用画面１９１において、ユーザＩＤおよびユーザＩＤ用パスワードを入力する。
管理サーバ２０においては、認証部２１が、端末装置１０から送信されてきたこれらの入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが正当権限者として管理情報２４１に登録されているかを確認することにより、端末装置１０の操作者（端末管理者）の正当性の確認を行なう（ステップＢ１００）。
管理サーバ２０においては、認証部２１が、端末装置１０から送信されてきたこれらの入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが正当権限者として管理情報２４１に登録されているかを確認することにより、端末装置１０の操作者（端末管理者）の正当性の確認を行なう（ステップＢ１００）。
端末管理者の正当性の確認の結果（ステップＢ１１０）、端末装置１０の操作者が不正な端末管理者であると判断した場合には（ステップＢ１１０のＹＥＳルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、認証部２１が、端末装置１０の操作者が正当な端末管理者であると判断した場合には（ステップＢ１００のＮＯルート参照）、管理サーバ２０は、端末装置１０から通知されたＭＡＣアドレスが管理情報２４１に登録されていない場合に、そのＭＡＣアドレスを管理情報２４１におけるその端末装置１０の端末ＩＤに関連付けて登録する（ステップＢ１２０）。例えば、ＬＡＮカード１６の交換等によりＭＡＣアドレスが変わった場合には、この新しいＭＡＣアドレスが管理情報２４１に登録されるのである。
また、認証部２１が、端末装置１０の操作者が正当な端末管理者であると判断した場合には（ステップＢ１００のＮＯルート参照）、管理サーバ２０は、端末装置１０から通知されたＭＡＣアドレスが管理情報２４１に登録されていない場合に、そのＭＡＣアドレスを管理情報２４１におけるその端末装置１０の端末ＩＤに関連付けて登録する（ステップＢ１２０）。例えば、ＬＡＮカード１６の交換等によりＭＡＣアドレスが変わった場合には、この新しいＭＡＣアドレスが管理情報２４１に登録されるのである。
そして、この時点で、この端末装置１０が正規なものであることが認証部２１によって正式に認証されたことになる。
端末装置１０は、管理サーバ２０からトークン，アーカイブおよびトークン用パスワードを呼び出し、管理サーバ２０の送信部２３が、端末装置１０に対してトークン，アーカイブおよびトークン用パスワードを送信する（送信ステップ）。又、送信されたトークン，アーカイブおよびトークン用パスワードは、端末装置１０内の指定されたメモリ（ＲＯＭ１４等）内に一時的に格納される（ステップＢ１３０）。
端末装置１０は、管理サーバ２０からトークン，アーカイブおよびトークン用パスワードを呼び出し、管理サーバ２０の送信部２３が、端末装置１０に対してトークン，アーカイブおよびトークン用パスワードを送信する（送信ステップ）。又、送信されたトークン，アーカイブおよびトークン用パスワードは、端末装置１０内の指定されたメモリ（ＲＯＭ１４等）内に一時的に格納される（ステップＢ１３０）。
一方、管理サーバ２０は、図６に示すように、トークンやアーカイブ，トークン用パスワードが呼び出された履歴を履歴情報として管理情報２４１に記録し、不正な復元を監視する（ステップＢ１４０）。
端末装置１０においては、ＴＰＭ１１において、復元部１７が、アーカイブ，トークンおよびトークン用パスワードを使用してユーザ情報を復元した後、消去部１２２が、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアして（ステップＢ１５０）、トークン等を呼び出すユーティリティを終了させる。このように、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアすることにより、ＨＤＤ１５や外部記憶装置（図示省略）に、トークンやアーカイブ，トークン用パスワードが保存されることが阻止されるのである。
端末装置１０においては、ＴＰＭ１１において、復元部１７が、アーカイブ，トークンおよびトークン用パスワードを使用してユーザ情報を復元した後、消去部１２２が、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアして（ステップＢ１５０）、トークン等を呼び出すユーティリティを終了させる。このように、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアすることにより、ＨＤＤ１５や外部記憶装置（図示省略）に、トークンやアーカイブ，トークン用パスワードが保存されることが阻止されるのである。
その後、端末装置１０においては、端末管理者に代えてユーザレベルでの認証を行なう。すなわち、ディスプレイ１９に表示されたユーザ認証用画面（図４のユーザ認証用画面１９１参照）において、ユーザがユーザＩＤやパスワードを入力し、端末装置１０は、このユーザによって入力されたユーザＩＤおよびパスワードに基づいて、ユーザの正当性を確認する（ステップＢ１６０）。
この正当性の確認の結果（ステップＢ１７０）、不正なユーザであると判断した場合には（ステップＢ１７０のＹＥＳルート参照）、ステップＢ１９０に移行する。又、正当なユーザであると判断した場合には（ステップＢ１７０のＮＯルート参照）、ユーザ環境を再構築して（ステップＢ１８０）、復元処理を終了する。
そして、ＴＰＭ１１もしくはマザーボード１２０の交換を行なう端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
そして、ＴＰＭ１１もしくはマザーボード１２０の交換を行なう端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
次に、本発明の一実施形態としての管理システム１の端末装置１０の起動時の処理を、図８に示すフローチャート（ステップＣ１０〜Ｃ１６０）に従って説明する。
なお、ＴＰＭ１１は、ＢＩＯＳ設定によって使用許可の状態に設定（変更）されているものとし、又、管理サーバ２０においては、ＨＤＤ２４に端末装置リストをそなえているものとする。
なお、ＴＰＭ１１は、ＢＩＯＳ設定によって使用許可の状態に設定（変更）されているものとし、又、管理サーバ２０においては、ＨＤＤ２４に端末装置リストをそなえているものとする。
先ず、端末装置１０は、起動後に管理サーバ２０に対して端末装置１０を特定する情報（本例においてはＭＡＣアドレス）を通知する（ステップＣ１０）。
管理サーバ２０は、認証部２１により、端末装置１０から通知されたＭＡＣアドレスを、端末装置リストと照合して（ステップＣ２０）、正規の端末装置１０であるか否かを確認する（ステップＣ３０）。
管理サーバ２０は、認証部２１により、端末装置１０から通知されたＭＡＣアドレスを、端末装置リストと照合して（ステップＣ２０）、正規の端末装置１０であるか否かを確認する（ステップＣ３０）。
管理サーバ２０において、認証部２１が、ＭＡＣアドレスを通知してきたのが正規な端末装置１０ではないと判断した場合には（ステップＣ３０のＮＯルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＣ１６０）、処理を終了する。
一方、管理サーバ２０において、認証部２１が、正規な端末装置１０がＭＡＣアドレス通知してきたと判断した場合には（ステップＣ３０のＹＥＳルート参照）、管理サーバ２０は、次に、端末装置１０に対して、ユーザＩＤ（ユーザ名）およびパスワードの入力を要求する（ステップＣ４０）。
一方、管理サーバ２０において、認証部２１が、正規な端末装置１０がＭＡＣアドレス通知してきたと判断した場合には（ステップＣ３０のＹＥＳルート参照）、管理サーバ２０は、次に、端末装置１０に対して、ユーザＩＤ（ユーザ名）およびパスワードの入力を要求する（ステップＣ４０）。
端末装置１０は、ディスプレイ１９にユーザ認証用画面１９１を表示させ、端末装置１０の操作者は、このユーザ認証用画面１９１において、端末装置１０および管理サーバ２０にあらかじめ登録してあるユーザＩＤおよびユーザＩＤ用パスワードの入力を行なう。端末装置１０は、これらの入力されたユーザＩＤおよびユーザＩＤ用パスワードを管理サーバ２０に通知する（ステップＣ５０）。
管理サーバ２０において、認証部２１は、これらの入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザリストを参照し、正規なユーザであるかの認証を行なう（ステップＣ６０）。
ここで、管理サーバ２０において、認証部２１が、正規なユーザではないと判断した場合には（ステップＣ６０のＮＯルート参照）、ステップＣ１６０に移行する。又、認証部２１が、正規なユーザであると判断した場合には（ステップＣ６０のＹＥＳルート参照）、端末装置１０のユーザ情報復元プロセスを実行させ（ステップＣ７０）、管理サーバ２０は、端末装置１０に対して、その端末装置１０に関する、端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードを通知する。
ここで、管理サーバ２０において、認証部２１が、正規なユーザではないと判断した場合には（ステップＣ６０のＮＯルート参照）、ステップＣ１６０に移行する。又、認証部２１が、正規なユーザであると判断した場合には（ステップＣ６０のＹＥＳルート参照）、端末装置１０のユーザ情報復元プロセスを実行させ（ステップＣ７０）、管理サーバ２０は、端末装置１０に対して、その端末装置１０に関する、端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードを通知する。
なお、管理サーバ２０から端末装置１０に対して端末管理者パスワードを送信することにより、端末装置１０の操作者が管理者権限を持たない一般ユーザである場合においても、端末装置１０において、この送信された端末管理者パスワードを適宜使用することにより、ＴＰＭ１１の設定を行なうことができるのである、
端末装置１０においては、復元部１７により、これらの端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードに基づいて、ユーザセキュリティ情報の復元を行なう（ステップＣ８０）。
端末装置１０においては、復元部１７により、これらの端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードに基づいて、ユーザセキュリティ情報の復元を行なう（ステップＣ８０）。
なお、この際、これらの情報（端末管理者パスワード，トークン，アーカイブ，トークン用パスワード，ユーザセキュリティ情報等）は端末装置１０のディスプレイ１９等に出力されることはなく、バックグラウンドで処理される。これにより、端末管理者パスワード，トークン，アーカイブ，トークン用パスワード，ユーザセキュリティ情報等の機密を要する情報が、端末装置１０の使用者や端末装置１０の周囲にいる他の人達の目に触れることがなく、セキュリティレベルを維持することができるのである。
一方、管理サーバ２０においては、履歴管理部２２が、トークン等の情報が呼び出された履歴を管理情報２４１の履歴情報として記録し、不正な復元を監視する（ステップＣ９０）。
端末装置１０においては、復元部１７によりユーザセキュリティ情報の復元を行なった後に、管理サーバ２０から呼び出した情報（端末管理者パスワード，トークン，アーカイブ，トークン用パスワード）を格納してあるメモリ空間（ＲＡＭ１３やＨＤＤ１５等）をクリアし（ステップＣ１００）、ユーザ復元プロセスを終了させ、その後、端末装置１０の運用プロセスが行なわれる（ステップＣ１１０）。なお、トークン等を格納したメモリ空間のクリアを行なうことにより、端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードハードディスクが、外部記憶装置へと保存されることが阻止され、これによってもセキュリティレベルを維持することができる。
端末装置１０においては、復元部１７によりユーザセキュリティ情報の復元を行なった後に、管理サーバ２０から呼び出した情報（端末管理者パスワード，トークン，アーカイブ，トークン用パスワード）を格納してあるメモリ空間（ＲＡＭ１３やＨＤＤ１５等）をクリアし（ステップＣ１００）、ユーザ復元プロセスを終了させ、その後、端末装置１０の運用プロセスが行なわれる（ステップＣ１１０）。なお、トークン等を格納したメモリ空間のクリアを行なうことにより、端末管理者パスワード，トークン，アーカイブおよびトークン用パスワードハードディスクが、外部記憶装置へと保存されることが阻止され、これによってもセキュリティレベルを維持することができる。
端末装置１０の運用プロセスの開始後には、端末装置１０においてシャットダウンが実行された否かの確認を行ない（ステップＣ１２０）、シャットダウンが実行された場合には（ステップＣ１２０のＹＥＳルート参照）、ユーザセキュリティ情報消去部１７１により、ＴＰＭ１１のユーザセキュリティ情報の消去（ＴＰＭクリア作業）を割り込ませ（ステップＣ１５０）、このＴＰＭクリア作業が行なわれた後に、端末装置１０のシャットダウン処理を完了させて、終了する。
また、端末装置１０においてシャットダウンが実行されていない場合には（ステップＣ１２０のＮＯルート参照）、次に、端末装置１０がＬＡＮ３３から切断された（ネットワーク切断）ことが確認部１２３によって検知されたり、不正ユーザが端末装置１０を使用していることが認証部２１によって検知されたりしていないかを確認する（ステップＣ１３０）。
ネットワーク切断やユーザによる不正使用が検知された場合には（ステップＣ１３０のＹＥＳルート参照）、直ちに、ユーザセキュリティ情報消去部１７１により、ＴＰＭ１１のユーザセキュリティ情報の消去（ＴＰＭクリア作業）を割り込ませ、更に、管理サーバ２０において、履歴管理部２３が、この不正使用の履歴を履歴情報として記録し（ステップＣ１４０）、ステップＣ１６０に移行する。
また、ネットワーク切断やユーザによる不正使用が検知されない場合には（ステップＣ１３０のＮＯルート参照）、ステップＣ１１０に戻る。
そして、端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
このように、本発明の一実施形態としての管理システム１によれば、管理サーバ２０においてトークンを保存・管理するので、トークンを紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
そして、端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
このように、本発明の一実施形態としての管理システム１によれば、管理サーバ２０においてトークンを保存・管理するので、トークンを紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
同様に、管理サーバ２０においてアーカイブやトークン用パスワードを保存・管理することにより、アーカイブを紛失したり、トークン用パスワードを忘却（紛失）したりすることがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
また、端末装置１０（ＴＰＭ１１）の保守作業時に、保守作業員の手にトークンが渡ることがなく、これによっても機密性や信頼性を向上させることができる。
また、端末装置１０（ＴＰＭ１１）の保守作業時に、保守作業員の手にトークンが渡ることがなく、これによっても機密性や信頼性を向上させることができる。
さらに、保守作業員や端末管理者にとって、トークンやアーカイブ，トークン用パスワードを保管・管理する負担を軽減することができ、特に、端末装置１０が多数ある場合に、これらのトークン等の管理が容易となる。
履歴管理部２２が、端末装置１０へのトークン等の送信履歴を管理することにより、トークン等の管理を徹底することができ、トークン等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる。
履歴管理部２２が、端末装置１０へのトークン等の送信履歴を管理することにより、トークン等の管理を徹底することができ、トークン等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる。
管理情報２４１において、端末装置１０を特定するための情報として端末ＩＤやＭＡＣアドレスを使用することにより、端末装置１０の特定を容易かつ確実に行なうことができ、特に、端末ＩＤでの管理に加えてＭＡＣアドレスを用いて管理を行なうことにより、セキュリティレベルを向上させることができる。
例えば、認証部２１において、ＭＡＣアドレスを用いて端末装置１０の特定を行なうことにより、他の端末装置１０からトークン等の呼び出し要求が行なわれた場合等にそれを認識することができ、ＭＡＣアドレスが管理情報２４１に登録されていない場合にはトークン等の送付を送信を禁止する等、必要に応じてハードウェアレベルでの防御措置をとることもできる。
例えば、認証部２１において、ＭＡＣアドレスを用いて端末装置１０の特定を行なうことにより、他の端末装置１０からトークン等の呼び出し要求が行なわれた場合等にそれを認識することができ、ＭＡＣアドレスが管理情報２４１に登録されていない場合にはトークン等の送付を送信を禁止する等、必要に応じてハードウェアレベルでの防御措置をとることもできる。
認証部２１において、端末装置１０からのトークン等の呼び出し要求に伴なって、ユーザＩＤやパスワードを用いてユーザ認証を行なうことにより、トークン等の不正な使用や複製を管理・防止することができる。又、例えば、端末装置１０において、マザーボード１２０やＬＡＮカード１６が交換され、端末装置１０におけるＭＡＣアドレスが変更になった場合においても、端末管理者のユーザ認証を行なって端末管理者の正当性を確認することにより、トークン等の呼び出し要求に対する信頼性を担保することができ、機密性や信頼性を維持もしくは向上させることができるとともに利便性が高い。
復元部１７によるユーザセキュリティ情報の復元後に、消去部１２２が、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードを消去することにより、復元部１７によるユーザセキュリティ情報の復元後には、トークンやアーカイブ，トークン用パスワードが再度利用されることがなく、これによってもトークン等の不正な使用や複製を管理・防止することができ、機密性や信頼性を維持もしくは向上させることができる。
端末装置１０の起動処理時に、要求部１２１が管理サーバ２０に対してトークン等の呼び出し要求を行なうとともに、復元部１７が、管理サーバ２０から送信されたトークンやアーカイブ，トークン用パスワードに基づいて、セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元することにより、端末装置１０の起動時にユーザセキュリティ情報を復元することができ、ＴＰＭ１１の機能を使用することができる。
また、端末装置１０の起動処理時に、管理サーバ２０に対してトークン等の呼び出し要求を行なうとともに、管理サーバ２０から送信されたトークンやアーカイブ，トークン用パスワードに基づいて、ＴＰＭ１１にかかるユーザセキュリティ情報を復元することにより、端末装置１０の起動時にユーザセキュリティ情報を復元することができ、起動後の端末装置１０においてＴＰＭ１１を使用することができる。
端末装置１０において、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去することにより、ＴＰＭ１１を容易かつ確実に使用不可の状態にすることができ、これにより、利便性が高く、更に、例えば、ＴＰＭ１１によって暗号化等の処理が行なわれたデータを復元することができず、端末装置のセキュリティレベルを向上させることができる。
確認部１２３により、端末装置１０が管理サーバ２０との間で通信可能な状態でないと確認された場合に、ＴＰＭ１１のユーザセキュリティ情報を消去することにより、例えば、端末装置１０が盗難されＬＡＮ３３から切断された場合等には、迅速にＴＰＭ１１に格納されたユーザセキュリティ情報が消去され、これにより、端末装置１０のセキュリティレベルを向上させることができる。
確認部１２３により、端末装置１０が管理サーバ２０との間で通信可能な状態でないと確認された場合に、ＴＰＭ１１のユーザセキュリティ情報を消去することにより、例えば、端末装置１０が盗難されＬＡＮ３３から切断された場合等には、迅速にＴＰＭ１１に格納されたユーザセキュリティ情報が消去され、これにより、端末装置１０のセキュリティレベルを向上させることができる。
端末装置１０の終了処理時に、ＴＰＭ１１のユーザセキュリティ情報を消去することにより、端末装置１０の終了処理時に、ＴＰＭ１１を容易かつ確実に使用不可の状態にすることができ利便性が高い他、端末装置１０のセキュリティレベルを向上させることができる。
ＭＡＣアドレスや端末ＩＤが正規のものであることが認証部２１によって認証された場合にのみ、送信部２３が端末装置１０に対してトークンやアーカイブ，トークン用パスワードを送信するので、不正な端末装置１０においては、ＴＰＭ１１のユーザセキュリティ情報を復元することができず、これにより、セキュリティレベルを向上させることができる。
ＭＡＣアドレスや端末ＩＤが正規のものであることが認証部２１によって認証された場合にのみ、送信部２３が端末装置１０に対してトークンやアーカイブ，トークン用パスワードを送信するので、不正な端末装置１０においては、ＴＰＭ１１のユーザセキュリティ情報を復元することができず、これにより、セキュリティレベルを向上させることができる。
同様に、認証部２１により、正規のユーザＩＤとユーザＩＤ用パスワードが入力されたことが認証部２１によって認証された場合にのみ、送信部２３が端末装置１０に対してトークンやアーカイブ，トークン用パスワードを送信するので、これによっても、不正な操作者が使用する端末装置１０においては、ＴＰＭ１１のユーザセキュリティ情報を復元することができず、これにより、セキュリティレベルを向上させることができる。
端末装置１０が不正に使用されたことが検知された場合に、ユーザセキュリティ情報消去部１７１が、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去するので、例えば、不正な操作者が端末装置１０を使用していることが検出された場合には、即座にＴＰＭ１１の使用を不可能にすることができ、これによっても、セキュリティレベルを向上させることができる。
すなわち、不正ユーザと不正端末による「なりすまし」のいずれについても、同時に阻止することが可能である。
また、端末装置１０の起動する度に、トークンやアーカイブ，トークン用パスワードを用いてＴＰＭ１１のユーザセキュリティ情報を復元するので、トークンやアーカイブ，トークン用パスワードを、ＴＰＭ１１が破損した以外の場合にも利用することにより有効利用しており、トークンやアーカイブ，トークン用パスワードの管理（紛失や忘却への対策等）にかかるコストに対して利点が大きく、又、これらのトークンやアーカイブ，トークン用パスワードに対して、ネットワーク認証の強化という付加価値を与えることができる。
また、端末装置１０の起動する度に、トークンやアーカイブ，トークン用パスワードを用いてＴＰＭ１１のユーザセキュリティ情報を復元するので、トークンやアーカイブ，トークン用パスワードを、ＴＰＭ１１が破損した以外の場合にも利用することにより有効利用しており、トークンやアーカイブ，トークン用パスワードの管理（紛失や忘却への対策等）にかかるコストに対して利点が大きく、又、これらのトークンやアーカイブ，トークン用パスワードに対して、ネットワーク認証の強化という付加価値を与えることができる。
そして、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態においては、管理サーバ２０にトークン，アーカイブおよびトークン用パスワードを保存して管理しているが、これに限定されるものではなく、管理サーバ２０が、トークンだけ、もしくはトークンの他に、アーカイブとトークン用パスワードとのいずれかのみを管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態においては、管理サーバ２０にトークン，アーカイブおよびトークン用パスワードを保存して管理しているが、これに限定されるものではなく、管理サーバ２０が、トークンだけ、もしくはトークンの他に、アーカイブとトークン用パスワードとのいずれかのみを管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
すなわち、管理情報２４１は、図３に示した例に限定されるものではなく、図３に示した以外の情報を関連付けて構成してもよく、又、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報のうち、一部の情報を除いて構成してもよい。
図９は本発明の一実施形態としての管理システム１の変形例の構成を模式的に示す図である。この図９に示す例においては、管理情報２４１にアーカイブは含まれず、端末装置１０のＨＤＤ１５にその端末装置１０にかかるアーカイブを格納するものであり、その他の部分は第１実施形態の管理システム１と同様に構成されている。
図９は本発明の一実施形態としての管理システム１の変形例の構成を模式的に示す図である。この図９に示す例においては、管理情報２４１にアーカイブは含まれず、端末装置１０のＨＤＤ１５にその端末装置１０にかかるアーカイブを格納するものであり、その他の部分は第１実施形態の管理システム１と同様に構成されている。
なお、図中、既述の符号と同一の符号は同一もしくは略同一の部分を示しているので、その説明は省略する。
アーカイブは、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるものであるので、この図７に示すように、端末装置１１のＨＤＤ１５に保管することにより、アーカイブの更新に伴う端末装置１１と管理サーバ２０との間の通信回数等を低減することができるのである。
アーカイブは、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるものであるので、この図７に示すように、端末装置１１のＨＤＤ１５に保管することにより、アーカイブの更新に伴う端末装置１１と管理サーバ２０との間の通信回数等を低減することができるのである。
また、上述した実施形態においては、認証部２１は、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当なユーザによって端末装置１０の操作が行なわれていると認証し、このような認証が行なわれた場合に送信部２３が、その端末装置１０に対してトークン等を送信しているが、これに限定されるものではなく、例えば、複数の権限者によってトークン等の取得に関する認証が行なわれた場合に、送信部２３がトークン等の送信を行なってもよい。
この場合、例えば、図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に複数回表示させ、これらのユーザ認証用画面１９１において、複数人、すなわち、特定の権限を有する複数のユーザＩＤおよびユーザＩＤ用パスワードの入力が行なわれたことを認証部２１によって認証された場合にのみ、送信部２３がトークン等の送信を行なう。
このように、複数の権限者によりトークン等の取得に関する認証が行なわれた場合に、送信部２３がトークン等の送信を行なうことにより、セキュリティレベルを維持もしくは高めることができ、システムの信頼性を向上させることができる。
また、上述した実施形態においては、認証部２１が、ユーザ認証用画面１９１において入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが管理情報２４１に登録されているかを確認することにより、ユーザ（管理者）の正当性の確認を行なっているが、これに限定されるものではなく、例えば、指紋や掌紋，手のひら静脈，指静脈，虹彩等のユーザの生体情報を用いた生体認証を行なってもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した実施形態においては、認証部２１が、ユーザ認証用画面１９１において入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが管理情報２４１に登録されているかを確認することにより、ユーザ（管理者）の正当性の確認を行なっているが、これに限定されるものではなく、例えば、指紋や掌紋，手のひら静脈，指静脈，虹彩等のユーザの生体情報を用いた生体認証を行なってもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
さらに、上述した実施形態においては、便宜上、本管理システム１にそなえられた管理サーバ２０が１台の状態を説明しているが、これに限定されるものではなく、管理システム１には複数台の管理サーバ２０をそなえて構成されてもよい。
このように、管理システム１に複数の管理サーバ２０をそなえる場合には、ほぼ同様の機能をそなえた管理サーバ２０が、互いに異なる端末装置１０に関する管理情報２４１を分散して管理してもよく、又、トークンを管理する管理サーバ２０と異なる管理サーバ２０でアーカイブやトークン用パスワードを管理する等、管理情報２４１の内容を複数の管理サーバ２０で分散して管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
このように、管理システム１に複数の管理サーバ２０をそなえる場合には、ほぼ同様の機能をそなえた管理サーバ２０が、互いに異なる端末装置１０に関する管理情報２４１を分散して管理してもよく、又、トークンを管理する管理サーバ２０と異なる管理サーバ２０でアーカイブやトークン用パスワードを管理する等、管理情報２４１の内容を複数の管理サーバ２０で分散して管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した実施形態においては、ユーザセキュリティ情報消去部１７１は、端末装置１０の終了処理時に、ＴＰＭ１１に格納されたユーザセキュリティ情報を消去しているが、これに限定されるものではなく、ユーザセキュリティ情報消去部１７１は、端末装置１０が一時的に機能を停止する停止処理時にＴＰＭ１１に格納されたユーザセキュリティ情報を消去してもよい。この停止処理時として、端末装置１０が省電力モードに移行する際（省電力モード移行時）であってもよい。そして、この省電力モードには、例えば、スタンバイ，サスペンド，ハイバネーションが含まれる。
さらに、上述した実施形態においては、認証部２１は、端末ＩＤやＭＡＣアドレスに基づいて、端末装置１０の正規性を判断しているが、これに限定されるものではなく、例えば、ＩＰアドレスを用いてもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
なお、本発明の各実施形態が開示されていれば、本発明を当業者によって実施・製造することが可能である。
なお、本発明の各実施形態が開示されていれば、本発明を当業者によって実施・製造することが可能である。
そして、本発明は、以下に示すように要約することができる。
（付記１） 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
該端末装置の起動処理時に、該要求部が該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、管理システム。
（付記１） 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
該端末装置の起動処理時に、該要求部が該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、管理システム。
（付記２） 該端末装置が、
該セキュリティ機能モジュールに格納された該ユーザセキュリティ情報を消去するユーザセキュリティ情報消去部をそなえることを特徴とする、付記１記載の管理システム。
（付記３） 該端末装置が、
該管理装置との間で通信可能な状態であるか否かを確認する確認部をそなえ、
該確認部により該管理装置との間で通信可能な状態でないと確認された場合に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記２記載の管理システム。
該セキュリティ機能モジュールに格納された該ユーザセキュリティ情報を消去するユーザセキュリティ情報消去部をそなえることを特徴とする、付記１記載の管理システム。
（付記３） 該端末装置が、
該管理装置との間で通信可能な状態であるか否かを確認する確認部をそなえ、
該確認部により該管理装置との間で通信可能な状態でないと確認された場合に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記２記載の管理システム。
（付記４） 該端末装置において、
当該端末装置の終了処理時に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記２又は付記３記載の管理システム。
（付記５） 該端末装置が、
該復元部による前記ユーザセキュリティ情報の復元後に、該管理装置の送信部から送信された該復元用ユーザ情報ファイル暗号鍵を消去する復元用ユーザ情報ファイル暗号鍵消去部をそなえることを特徴とする、付記１〜付記４のいずれか１項に記載の管理システム。
当該端末装置の終了処理時に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記２又は付記３記載の管理システム。
（付記５） 該端末装置が、
該復元部による前記ユーザセキュリティ情報の復元後に、該管理装置の送信部から送信された該復元用ユーザ情報ファイル暗号鍵を消去する復元用ユーザ情報ファイル暗号鍵消去部をそなえることを特徴とする、付記１〜付記４のいずれか１項に記載の管理システム。
（付記６） 該管理装置が、
該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、付記１〜付記５のいずれか１項に記載の管理システム。
（付記７） 該管理装置が、
該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信管理部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１〜付記６のいずれか１項に記載の管理システム。
該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、付記１〜付記５のいずれか１項に記載の管理システム。
（付記７） 該管理装置が、
該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信管理部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１〜付記６のいずれか１項に記載の管理システム。
（付記８） 前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が、該端末装置に関する認証であることを特徴とする、付記７記載の管理システム。
（付記９） 前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が、権限者に関する認証であることを特徴とする、付記７又は付記８記載の管理システム。
（付記１０） 該管理装置において、
前記端末装置を特定する情報に対して、該復元用ユーザ情報ファイル暗号鍵にかかるパスワードを関連付けて管理するとともに、
該送信管理部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１〜付記９のいずれか１項に記載の管理システム。
（付記９） 前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が、権限者に関する認証であることを特徴とする、付記７又は付記８記載の管理システム。
（付記１０） 該管理装置において、
前記端末装置を特定する情報に対して、該復元用ユーザ情報ファイル暗号鍵にかかるパスワードを関連付けて管理するとともに、
該送信管理部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１〜付記９のいずれか１項に記載の管理システム。
（付記１１） 該管理装置において、
前記端末装置を特定する情報に対して、該端末装置にそなえらえられた該セキュリティ機能モジュールにかかる該復元用ユーザ情報ファイルを関連付けて管理し、
該送信部が、該端末装置からの呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイルを送信することを特徴とする、付記１〜付記１０のいずれか１項に記載の管理システム。
前記端末装置を特定する情報に対して、該端末装置にそなえらえられた該セキュリティ機能モジュールにかかる該復元用ユーザ情報ファイルを関連付けて管理し、
該送信部が、該端末装置からの呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイルを送信することを特徴とする、付記１〜付記１０のいずれか１項に記載の管理システム。
（付記１２）暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置であって、
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
当該端末装置の起動処理時に、該要求部が該外部装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、端末装置。
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
当該端末装置の起動処理時に、該要求部が該外部装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、端末装置。
（付記１３） 該セキュリティ機能モジュールに格納された該ユーザセキュリティ情報を消去するユーザセキュリティ情報消去部をそなえることを特徴とする、付記１２記載の端末装置。
（付記１４） 該外部装置との間で通信可能な状態であるか否かを確認する確認部をそなえ、
該確認部により該外部装置との間で通信可能な状態でないと確認された場合に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記１３記載の端末装置。
（付記１４） 該外部装置との間で通信可能な状態であるか否かを確認する確認部をそなえ、
該確認部により該外部装置との間で通信可能な状態でないと確認された場合に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記１３記載の端末装置。
（付記１５） 当該端末装置の終了処理時に、該ユーザセキュリティ情報消去部が、該セキュリティ機能モジュールの該ユーザセキュリティ情報を消去することを特徴とする、付記１３又は付記１４記載の端末装置。
（付記１６） 該復元部による前記ユーザセキュリティ情報の復元後に、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵を消去する復元用ユーザ情報ファイル暗号鍵消去部をそなえることを特徴とする、付記１２〜付記１５のいずれか１項に記載の端末装置。
（付記１６） 該復元部による前記ユーザセキュリティ情報の復元後に、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵を消去する復元用ユーザ情報ファイル暗号鍵消去部をそなえることを特徴とする、付記１２〜付記１５のいずれか１項に記載の端末装置。
（付記１７）暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置の起動処理時におけるセキュリティ管理方法であって、
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報の復元を行なう復元ステップとをそなえることを特徴とする、セキュリティ管理方法。
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報の復元を行なう復元ステップとをそなえることを特徴とする、セキュリティ管理方法。
（付記１８） 該セキュリティ機能モジュールに格納された該ユーザセキュリティ情報を消去するユーザセキュリティ情報消去ステップをそなえることを特徴とする、付記１７記載のセキュリティ管理方法。
（付記１９）暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムであって、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラム。
（付記１９）暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムであって、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラム。
（付記２０）暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムを記録したコンピュータ読取可能な記録媒体であって、
該セキュリティ用プログラムが、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラムを記録したコンピュータ読取可能な記録媒体。
該セキュリティ用プログラムが、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラムを記録したコンピュータ読取可能な記録媒体。
１ 管理システム
１０ 端末装置
１１ ＴＰＭ（セキュリティ機能モジュール）
１２ ＣＰＵ
１３ ＲＡＭ
１４ ＲＯＭ
１５ ＨＤＤ
１６ ＬＡＮカード
１７ 復元部
１９ ディスプレイ
２０ 管理サーバ（管理装置，外部装置）
２１ 認証部
２２ 履歴管理部
２３ 送信部
２４ ＨＤＤ
３０ ゲートウェイ装置
３１ キーボード
３２ マウス
３３ ＬＡＮ
１０１ ＲＳＡ暗号鍵の演算装置
１０２ 暗号鍵生成器
１０３ ハッシュ生成器
１０４ 乱数発生器
１０５ 内部プロセッサ
１０６ タイマ（時計）
１０７ ＥＥＰＲＯＭ
１０８ 不揮発性メモリ
１０９ 対物攻撃用センサ
１１０ 自己診断機能
１２０ マザーボード
１２１ 復元部
１２２ 消去部
１２３ 確認部
１７１ ユーザセキュリティ情報消去部
１９１ ユーザ認証用画面
１９１ａ ユーザＩＤ入力部
１９１ｂ パスワード入力部
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ ＬＡＮカード
２０５ キーボード
２０６ マウス
２４１ 管理情報
１０ 端末装置
１１ ＴＰＭ（セキュリティ機能モジュール）
１２ ＣＰＵ
１３ ＲＡＭ
１４ ＲＯＭ
１５ ＨＤＤ
１６ ＬＡＮカード
１７ 復元部
１９ ディスプレイ
２０ 管理サーバ（管理装置，外部装置）
２１ 認証部
２２ 履歴管理部
２３ 送信部
２４ ＨＤＤ
３０ ゲートウェイ装置
３１ キーボード
３２ マウス
３３ ＬＡＮ
１０１ ＲＳＡ暗号鍵の演算装置
１０２ 暗号鍵生成器
１０３ ハッシュ生成器
１０４ 乱数発生器
１０５ 内部プロセッサ
１０６ タイマ（時計）
１０７ ＥＥＰＲＯＭ
１０８ 不揮発性メモリ
１０９ 対物攻撃用センサ
１１０ 自己診断機能
１２０ マザーボード
１２１ 復元部
１２２ 消去部
１２３ 確認部
１７１ ユーザセキュリティ情報消去部
１９１ ユーザ認証用画面
１９１ａ ユーザＩＤ入力部
１９１ｂ パスワード入力部
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ ＬＡＮカード
２０５ キーボード
２０６ マウス
２４１ 管理情報
Claims (5)
- 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
該端末装置の起動処理時に、該要求部が該管理装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、管理システム。 - 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえた端末装置であって、
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求部と、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元部とをそなえ、
当該端末装置の起動処理時に、該要求部が該外部装置に対して前記復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なうとともに、該復元部が、該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかる該ユーザセキュリティ情報を復元することを特徴とする、端末装置。 - 暗号処理機能を有するセキュリティ機能モジュールをそなえた端末装置の起動処理時におけるセキュリティ管理方法であって、
当該端末装置に通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報の復元を行なう復元ステップとをそなえることを特徴とする、セキュリティ管理方法。 - 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムであって、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラム。 - 暗号処理機能を有しユーザセキュリティ情報を格納するセキュリティ機能モジュールをそなえたコンピュータの起動処理時におけるセキュリティ機能を該コンピュータに実行させるためのセキュリティ用プログラムを記録したコンピュータ読取可能な記録媒体であって、
該セキュリティ用プログラムが、
前記コンピュータの起動処理時において、
当該コンピュータに通信可能に接続された外部装置に対して該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵の呼び出し要求を行なう要求ステップと、
該外部装置から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティ機能モジュールにかかるユーザセキュリティ情報を復元する復元ステップとを、該コンピュータに実行させることを特徴とする、セキュリティ用プログラムを記録したコンピュータ読取可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006251294A JP2008071274A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006251294A JP2008071274A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2008071274A true JP2008071274A (ja) | 2008-03-27 |
Family
ID=39292779
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006251294A Pending JP2008071274A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2008071274A (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012032892A (ja) * | 2010-07-28 | 2012-02-16 | Fujitsu Ltd | 情報送信装置、ネットワークシステム、情報送信方法および情報送信プログラム |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003264540A (ja) * | 2002-03-07 | 2003-09-19 | Dainippon Printing Co Ltd | 情報配信方法およびシステム |
| JP2004086441A (ja) * | 2002-08-26 | 2004-03-18 | Ntt Data Corp | コンテンツ管理システム |
| JP2004186814A (ja) * | 2002-11-29 | 2004-07-02 | Fujitsu Ltd | 共通鍵暗号化通信システム |
| JP2005051614A (ja) * | 2003-07-30 | 2005-02-24 | Mitsui Sumitomo Insurance Co Ltd | 情報管理システム、キー配信サーバ、情報管理方法、及びプログラム |
| JP2005158022A (ja) * | 2003-10-31 | 2005-06-16 | Multinet Kk | ファイルのセキュリティー管理システムおよび認証サーバ、クライアント装置ならびにプログラムおよび記録媒体 |
-
2006
- 2006-09-15 JP JP2006251294A patent/JP2008071274A/ja active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003264540A (ja) * | 2002-03-07 | 2003-09-19 | Dainippon Printing Co Ltd | 情報配信方法およびシステム |
| JP2004086441A (ja) * | 2002-08-26 | 2004-03-18 | Ntt Data Corp | コンテンツ管理システム |
| JP2004186814A (ja) * | 2002-11-29 | 2004-07-02 | Fujitsu Ltd | 共通鍵暗号化通信システム |
| JP2005051614A (ja) * | 2003-07-30 | 2005-02-24 | Mitsui Sumitomo Insurance Co Ltd | 情報管理システム、キー配信サーバ、情報管理方法、及びプログラム |
| JP2005158022A (ja) * | 2003-10-31 | 2005-06-16 | Multinet Kk | ファイルのセキュリティー管理システムおよび認証サーバ、クライアント装置ならびにプログラムおよび記録媒体 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012032892A (ja) * | 2010-07-28 | 2012-02-16 | Fujitsu Ltd | 情報送信装置、ネットワークシステム、情報送信方法および情報送信プログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2008072613A (ja) | 管理システム，管理装置および管理方法 | |
| US8245042B2 (en) | Shielding a sensitive file | |
| JP4278327B2 (ja) | コンピュータ・プラットフォームおよびその運用方法 | |
| US7210043B2 (en) | Trusted computer system | |
| JP5094365B2 (ja) | ハード・ディスク・ドライブ | |
| US8510572B2 (en) | Remote access system, gateway, client device, program, and storage medium | |
| CN102948114B (zh) | 用于访问加密数据的单次使用认证方法及系统 | |
| CA2939599C (en) | Approaches for a location aware client | |
| JP5116325B2 (ja) | 情報処理装置、ソフトウェア更新方法及び画像処理装置 | |
| CN1801091B (zh) | 用可信处理模块安全地引导计算机的系统和方法 | |
| CN102508791B (zh) | 一种对硬盘分区进行加密的方法及装置 | |
| US8135135B2 (en) | Secure data protection during disasters | |
| US20060161790A1 (en) | Systems and methods for controlling access to data on a computer with a secure boot process | |
| JP2003501716A (ja) | コンピューティングプラットフォームにおけるデータイベントの記録 | |
| CN1981277A (zh) | 隔离系统 | |
| JP4885168B2 (ja) | 外部メディア制御方法、システム及び装置 | |
| JP2008071274A (ja) | 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 | |
| JP2013254506A (ja) | 情報処理装置、真正性確認方法、及び記録媒体 | |
| RU2444057C1 (ru) | Система защиты информации от несанкционированного доступа к конфиденциальной информации и информации, содержащей персональные данные | |
| JP2023063752A (ja) | 情報処理装置及びその制御方法 | |
| JP2004038562A (ja) | コンピュータシステム | |
| JP2012150834A (ja) | 情報処理装置、ソフトウェア更新方法及び記録媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20090403 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20110809 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110823 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20111020 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111129 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120126 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20120214 |