JP2008072613A - 管理システム，管理装置および管理方法 - Google Patents
管理システム，管理装置および管理方法 Download PDFInfo
- Publication number
- JP2008072613A JP2008072613A JP2006251293A JP2006251293A JP2008072613A JP 2008072613 A JP2008072613 A JP 2008072613A JP 2006251293 A JP2006251293 A JP 2006251293A JP 2006251293 A JP2006251293 A JP 2006251293A JP 2008072613 A JP2008072613 A JP 2008072613A
- Authority
- JP
- Japan
- Prior art keywords
- terminal device
- encryption key
- information file
- user
- restoration
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
- H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/12—Details relating to cryptographic hardware or logic circuitry
- H04L2209/127—Trusted platform modules [TPM]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Abstract
【課題】端末管理者の元用ユーザ情報ファイル暗号鍵等の管理に要する工数を軽減し、又、元用ユーザ情報ファイル暗号鍵の使用状況を管理する。
【解決手段】端末装置１０を特定する情報とセキュリティ機能モジュール１１にかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部２４と、端末装置１０からの復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、端末装置１０に対して復元用ユーザ情報ファイル暗号鍵を送信する送信部２３とをそなえる。
【選択図】図１
【解決手段】端末装置１０を特定する情報とセキュリティ機能モジュール１１にかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部２４と、端末装置１０からの復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、端末装置１０に対して復元用ユーザ情報ファイル暗号鍵を送信する送信部２３とをそなえる。
【選択図】図１
Description
本発明は、ＴＰＭ（Trusted Platform Module）等のセキュリティチップにおけるユーザセキュリティ情報を復元するためのトークンを管理する技術に関する。
近年、ＴＰＭ（Trusted Platform Module）等のセキュリティチップ（セキュリティ機能モジュール）を内蔵し、セキュリティレベルを向上させた情報処理端末（情報処理装置）が知られている。
ＴＰＭは、業界標準団体であるＴＣＧ（Trusted Computing Group)によって定義された仕様に準拠するセキュリティチップであり、例えば、情報処理端末のマザーボードに実装され、セキュア通信で利用される暗号鍵（コア暗号鍵）を格納する不揮発性メモリや、暗号処理専用のマイクロプロセッサをそなえて構成されている。又、ＴＰＭにおいては、不揮発性メモリに格納されたコア暗号鍵は外部に取り出すことができないように構成されている。
ＴＰＭは、業界標準団体であるＴＣＧ（Trusted Computing Group)によって定義された仕様に準拠するセキュリティチップであり、例えば、情報処理端末のマザーボードに実装され、セキュア通信で利用される暗号鍵（コア暗号鍵）を格納する不揮発性メモリや、暗号処理専用のマイクロプロセッサをそなえて構成されている。又、ＴＰＭにおいては、不揮発性メモリに格納されたコア暗号鍵は外部に取り出すことができないように構成されている。
このＴＰＭは、例えば、プラットフォームがＴＣＧの仕様に準拠しているかどうかの検証や、ハードウェアやソフトウェアが改ざんされていないかのチェックを行なったり、ＴＰＭ内に格納した暗号鍵（コア暗号鍵）を外部に出力することがないように保護したりする機能をそなえる他、種々の暗号処理機能（ＲＳＡ暗号処理，乱数発生等）をそなえている。
そして、ＴＰＭは、例えば、不揮発性メモリに格納されたコア暗号鍵を用いて、アプリケーション等で使用する暗号鍵を暗号化したり、ユーザ毎の暗号鍵（ユーザ鍵）を生成したり、情報処理端末の起動時にＢＩＯＳ（Basic Input Output System）の不正改ざんやチップの不正交換などをチェックし、何らかの不正を発見した場合に起動を阻止したりすることにより、ハードウェアレベルでのセキュリティ管理を実現するようになっている。
なお、ＴＰＭが格納するコア暗号鍵はＴＰＭ毎に固有のものであり、そのため、ＴＰＭを他の情報処理端末に乗せ換えても正常に作動することはなく、結果として不正にＴＰＭを乗せ換えた情報処理端末においては、そのＴＰＭを機能させることはできないようになっている。
例えば、下記特許文献１には、コンピュータシステムのブートアッププロセスを安全にするために、ＴＰＭの暗号性を使用する手法を開示しており、又、下記特許文献２には、ＴＰＭで暗号化された初期データを用いることにより、正当な使用権限の所有者であることを認証する手法が開示されている。
例えば、下記特許文献１には、コンピュータシステムのブートアッププロセスを安全にするために、ＴＰＭの暗号性を使用する手法を開示しており、又、下記特許文献２には、ＴＰＭで暗号化された初期データを用いることにより、正当な使用権限の所有者であることを認証する手法が開示されている。
ＴＰＭにおいては、その設定時に、コア暗号鍵に基づいて、その情報処理端末を使用するユーザ毎にそれぞれ固有のユーザ鍵を生成するようになっており、このユーザ鍵はＴＰＭ内のコア暗号鍵によって暗号化されている。又、この生成したユーザ鍵は、情報処理端末のハードディスク内に保管される。
図９（ａ），（ｂ）はＴＰＭの機能を説明するための図であり、図９（ａ）はＴＰＭの機能を使用しない場合での情報処理端末のログイン手法を示す図、図９（ｂ）はＴＰＭの機能を用いてログイン認証を行なう場合での情報処理端末のログイン手法を示す図である。
図９（ａ），（ｂ）はＴＰＭの機能を説明するための図であり、図９（ａ）はＴＰＭの機能を使用しない場合での情報処理端末のログイン手法を示す図、図９（ｂ）はＴＰＭの機能を用いてログイン認証を行なう場合での情報処理端末のログイン手法を示す図である。
情報処理端末においては、各ユーザはユーザ鍵を用いて、ファイルの暗号化や電子署名、端末へのログイン認証等を行なうことが出来るようになっており、例えば、ＴＰＭの機能を用いないで情報処理端末にログインする場合には、図９（ａ）に示すように、ユーザは、予め設定された端末ログイン用のパスワード（Pass word；図９（ａ）に示す例では“ａａａ”）をキーボード（図示省略）等を用いて入力する。そして、情報処理端末は、この入力された端末ログイン用のパスワード“ａａａ”を用いて、ユーザのログイン認証等の処理を行なう。
一方、ＴＰＭの機能を使用する場合には、図９（ｂ）に示すように、端末ログイン用のパスワード（図９（ｂ）に示す例では“ａａａ”）は、予めユーザ鍵によって暗号化されており、ユーザは、ＴＰＭを利用するためのパスワード（図９（ｂ）に示す例では“ｂｂｂ”）をキーボード等を用いて入力する。
そして、情報処理装置においては、ＴＰＭが、この入力されたパスワード“ｂｂｂ”を用いて、端末ログイン用のパスワード“ａａａ”を復号化し、この復号化されたパスワード“ａａａ” を用いてログイン認証等の処理が行なわれる。このように、ＴＰＭを使用する場合には、ログイン認証がよりセキュアに行なわれるのである。
そして、情報処理装置においては、ＴＰＭが、この入力されたパスワード“ｂｂｂ”を用いて、端末ログイン用のパスワード“ａａａ”を復号化し、この復号化されたパスワード“ａａａ” を用いてログイン認証等の処理が行なわれる。このように、ＴＰＭを使用する場合には、ログイン認証がよりセキュアに行なわれるのである。
図１０はＴＰＭにおける復元用データを説明するための図である。
さて、ＴＰＭの使用開始時（初期設定時）には、図１０に示すように、ＴＰＭが破損した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれる。
さて、ＴＰＭの使用開始時（初期設定時）には、図１０に示すように、ＴＰＭが破損した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれる。
ここで、アーカイブは、ＴＰＭにかかるユーザ情報を管理するバックアップファイルデータであって、ＴＰＭを使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるようになっている。又、ＴＰＭにかかるユーザ情報とは、具体的には、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
そして、従来のセキュリティ管理システムにおいては、アーカイブは、ハードディスク内等に保管されており、又、このアーカイブは定期的に外部記憶媒体へ別途バックアップをとっておくことが望ましいとされている。
そして、従来のセキュリティ管理システムにおいては、アーカイブは、ハードディスク内等に保管されており、又、このアーカイブは定期的に外部記憶媒体へ別途バックアップをとっておくことが望ましいとされている。
トークンは、アーカイブにかかる暗号鍵であって、アーカイブは、このトークンによって暗号化処理されている。又、トークンの使用に際しては、このトークンに対応して予め設定されたパスワードが必要とされるようになっており、これにより、トークンを格納した外部記憶媒体が盗難にあった場合等においても、その不正使用を抑止することができる。又、従来においては、トークンは、情報処理端末の外部の記憶媒体（もしくは外部記憶装置）に保管している。
なお、トークンを紛失した場合には、ＴＰＭを新規に設定しなおさない限り、再度作成することは不可能であり、又、アーカイブおよびトークンは、セキュリティ上、情報処理端末毎に固有のものとすることが望ましい。
さて、ＴＰＭを搭載し、このＴＰＭによってハードディスク内の情報を暗号化したり機器構成監視を行なうことにより保護されている従来の情報処理端末において、万一、ＴＰＭが破損した場合には、その情報処理装置を継続して使用することは困難である。
さて、ＴＰＭを搭載し、このＴＰＭによってハードディスク内の情報を暗号化したり機器構成監視を行なうことにより保護されている従来の情報処理端末において、万一、ＴＰＭが破損した場合には、その情報処理装置を継続して使用することは困難である。
従って、破損したＴＰＭを正常なものと交換（マザーボードごとの交換を含む）するとともに、アーカイブおよびトークンを用いて、ＴＰＭにおける元のユーザ情報を復元させることにより、情報処理端末をＴＰＭの破損前の状態にするのである。
ここで、従来のセキュリティ管理システムにおけるユーザ情報の復元手法を、図１１に示すフローチャート（ステップＡ１０〜Ａ１００）に従って説明する。
ここで、従来のセキュリティ管理システムにおけるユーザ情報の復元手法を、図１１に示すフローチャート（ステップＡ１０〜Ａ１００）に従って説明する。
なお、この図１１のフローチャートに示すユーザ情報の復元手法は、ＴＰＭ内のユーザ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、情報処理端末においてＴＰＭが破損して使用不可となり新しいＴＰＭに交換する場合や、情報処理端末のハードディスク内のデータを複製して、他の情報処理端末内に全く同じデータを構築（作成）する場合等に行なわれる。
また、アーカイブは情報処理端末のハードディスク内に保管されており、トークンはＣＤ−ＲＯＭ等の外部記憶媒体に保管されているものとし、又、情報処理端末のハードディスクは入れ替えられていないものとする。
先ず、ＴＰＭを使用可能とするために、ＢＩＯＳ設定にてＴＰＭを使用許可へと変更（アクティベーション）する（ステップＡ１０）。
先ず、ＴＰＭを使用可能とするために、ＢＩＯＳ設定にてＴＰＭを使用許可へと変更（アクティベーション）する（ステップＡ１０）。
情報処理端末の操作者（端末管理者）は、その情報処理端末に管理者権限でログインを行ない、端末管理者のパスワードを再入力する。情報処理端末は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＡ２０）。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ３０のＹＥＳルート参照）、情報処理端末のディスプレイにエラー表示等が行なわれ（ステップＡ１００）、処理を終了する。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ３０のＹＥＳルート参照）、情報処理端末のディスプレイにエラー表示等が行なわれ（ステップＡ１００）、処理を終了する。
また、正当な端末管理者であると判断した場合には（ステップＡ３０のＮＯルート参照）、情報処理端末はユーザ情報復元プロセスを実行する（ステップＡ４０）。情報処理端末は、ユーザ情報復元プロセスに必要なアーカイブおよびトークンを呼び出す。
ここで、アーカイブは、情報処理端末のハードディスク等から取得され、トークンは、ＣＤ−ＲＯＭ等の外部記憶媒体から取得される。端末管理者は、更に、トークンを使用するためのパスワードを入力し、情報処理端末は、入力されたトークン用のパスワードが正しいものであるかを確認することにより、トークンの使用者（端末管理者）の正当性を確認する（ステップＡ５０）。
ここで、アーカイブは、情報処理端末のハードディスク等から取得され、トークンは、ＣＤ−ＲＯＭ等の外部記憶媒体から取得される。端末管理者は、更に、トークンを使用するためのパスワードを入力し、情報処理端末は、入力されたトークン用のパスワードが正しいものであるかを確認することにより、トークンの使用者（端末管理者）の正当性を確認する（ステップＡ５０）。
操作者が不正な端末管理者であるか否かの確認の結果（ステップＡ６０）、不正な端末管理者であると情報処理端末が判断した場合には（ステップＡ６０のＹＥＳルート参照）、ステップＡ１００に移行する。又、不正な端末管理者ではないと情報処理端末が判断した場合には（ステップＡ６０のＮＯルート参照）、次に、ユーザ毎の環境（ユーザ環境）を復元するために、ユーザのパスワードの入力（再入力）を行なう（ステップＡ７０）。
情報処理端末は、このユーザによって入力されたパスワードに基づいて、ユーザの正当性を確認し（ステップＡ８０）、不正なユーザであると判断した場合には（ステップＡ８０のＹＥＳルート参照）、ステップＡ１００に移行する。又、正当なユーザであると判断した場合には（ステップＡ８０のＮＯルート参照）、そのユーザにかかるユーザ環境を再構築して（ステップＡ９０）、処理を終了する。
そして、ＴＰＭもしくはマザーボードの交換を行なう情報処理端末が複数ある場合には、上述した復元処理を、これらの複数の情報処理端末の全てに対して行なうのである。
特開２００６−０９２５３３号公報
特開２００４−２８２３９１号公報
しかしながら、上述の如く、アーカイブおよびトークンは、セキュリティ上、情報処理端末毎に固有のものとすることが望ましく、これにより、複数の情報処理端末がある場合には、これらの情報処理端末の台数分のアーカイブとトークンが存在することとなる。
従って、端末管理者にとって、管理する情報処理端末の台数が多くなるほど、バックアップの対象となるアーカイブや管理するトークンの数が増大し煩雑であるという課題がある。例えば、情報処理端末が数百台ある場合には、保管しなければならないトークンやアーカイブも数百あり、数百のトークンを全て外部媒体で保管し、保守作業が発生する度にこれらの外部媒体を持ち歩くのは煩雑であり非現実的である。又、保守員がトークンを持ち歩くことはセキュリティ上好ましいものではない。
従って、端末管理者にとって、管理する情報処理端末の台数が多くなるほど、バックアップの対象となるアーカイブや管理するトークンの数が増大し煩雑であるという課題がある。例えば、情報処理端末が数百台ある場合には、保管しなければならないトークンやアーカイブも数百あり、数百のトークンを全て外部媒体で保管し、保守作業が発生する度にこれらの外部媒体を持ち歩くのは煩雑であり非現実的である。又、保守員がトークンを持ち歩くことはセキュリティ上好ましいものではない。
また、トークンやアーカイブは、基本的には、保守作業時においてのみ使用するものであって、使用の頻度は少なく、外部媒体等に保存しての管理では紛失するおそれもある。又、トークンを使用するためのパスワードについても同様に、忘却の可能性がある。
そして、万一、トークンやアーカイブを紛失したり、トークンを使用するためのパスワードを忘却してしまった場合には、ＴＰＭにおける元のユーザ情報を復元することが不可能となるという課題もある。
そして、万一、トークンやアーカイブを紛失したり、トークンを使用するためのパスワードを忘却してしまった場合には、ＴＰＭにおける元のユーザ情報を復元することが不可能となるという課題もある。
なお、管理の煩雑さを軽減するために、トークンを使用するためのパスワードを設定（使用）しないようにすることによりパスワードの管理を不要にすることも考えられるが、このようにパスワードを設定しない場合には、不正なトークンの複製等の行為に対応することができず、セキュリティレベルが低下するという課題がある。
また、従来のセキュリティ管理手法においては、トークンをＣＤ−ＲＯＭ等の外部媒体に格納しているので、トークンの使用状況を管理・把握することができず、万一、トークンを不正に使用された時に確認する手段がないという課題もある。
また、従来のセキュリティ管理手法においては、トークンをＣＤ−ＲＯＭ等の外部媒体に格納しているので、トークンの使用状況を管理・把握することができず、万一、トークンを不正に使用された時に確認する手段がないという課題もある。
本発明は、このような課題に鑑み創案されたもので、端末管理者のトークンやアーカイブ，トークン用パスワードの管理に要する工数を軽減し、又、トークンの使用状況を管理できるようにすることを目的とする。
このため、本発明の管理システム（請求項１）は、暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、該管理装置が、該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、該端末装置が、該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティモジュールにかかるユーザセキュリティ情報を復元する復元部をそなえることを特徴としている。
また、本発明の管理装置（請求項２）は、暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と通信可能に構成された管理装置であって、該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえることを特徴としている。
なお、該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえてもよく（請求項３）、該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なってもよい（請求項４）。
また、本発明の管理方法（請求項５）は、暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置を特定する情報と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納ステップと、該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求を受信する要求受信ステップと、該要求受信ステップにおいて受信した該呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信ステップとをそなえることを特徴としている。
本発明によれば、以下の少なくともいずれか１つの効果ないし利点が得られる。
（１）管理装置において、端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納し、端末装置からの呼び出し要求に応じて、端末装置に対して復元用ユーザ情報ファイル暗号鍵を送信することにより、復元用ユーザ情報ファイル暗号鍵を紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い（請求項１，請求項２，請求項５）。
（１）管理装置において、端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納し、端末装置からの呼び出し要求に応じて、端末装置に対して復元用ユーザ情報ファイル暗号鍵を送信することにより、復元用ユーザ情報ファイル暗号鍵を紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い（請求項１，請求項２，請求項５）。
（２）端末装置が多数ある場合においても、これらの復元用ユーザ情報ファイル暗号鍵等の管理を容易に行なうことができる（請求項１，請求項２，請求項５）。
（３）端末装置の保守作業時に、保守作業員の手に復元用ユーザ情報ファイル暗号鍵が渡ることがなく、これによっても機密性や信頼性を向上させることができる（請求項１，請求項２，請求項５）。
（３）端末装置の保守作業時に、保守作業員の手に復元用ユーザ情報ファイル暗号鍵が渡ることがなく、これによっても機密性や信頼性を向上させることができる（請求項１，請求項２，請求項５）。
（４）保守作業員や端末管理者にとって、復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイル，パスワードを保管・管理する負担を軽減することができる（請求項１，請求項２，請求項５）。
（５）復元用ユーザ情報ファイル暗号鍵の送信履歴を管理することにより、復元用ユーザ情報ファイル暗号鍵等の管理を徹底することができ、復元用ユーザ情報ファイル暗号鍵等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる（請求項３）。
（５）復元用ユーザ情報ファイル暗号鍵の送信履歴を管理することにより、復元用ユーザ情報ファイル暗号鍵等の管理を徹底することができ、復元用ユーザ情報ファイル暗号鍵等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる（請求項３）。
（６）復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、復元用ユーザ情報ファイル暗号鍵の不正な使用や複製を管理・防止することができる（請求項４）。
（７）複数の権限者によって復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、端末装置に復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（７）複数の権限者によって復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、端末装置に復元用ユーザ情報ファイル暗号鍵の送信を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（８）復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイルを紛失したり、パスワードを忘却（紛失）したりすることがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
（９）管理装置において、前記パスワードの取得に関する認証が行なわれた場合に、端末装置にパスワードの通知を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（９）管理装置において、前記パスワードの取得に関する認証が行なわれた場合に、端末装置にパスワードの通知を行なうことにより、セキュリティレベルを維持もしくは向上させることができ、システムの信頼性を向上させることができる。
（１０）ユーザセキュリティ情報の復元後に、復元用ユーザ情報ファイル暗号鍵を消去することにより、ユーザセキュリティ情報の復元後には、復元用ユーザ情報ファイル暗号鍵や復元用ユーザ情報ファイルおよびパスワードが再度利用されることがなく、トークン等の不正な使用や複製を管理・防止することができ、機密性や信頼性を維持もしくは向上させることができる。
以下、図面を参照して本発明の実施の形態を説明する。
図１は本発明の一実施形態としての管理システムの構成を模式的に示す図、図２はＴＰＭの構成を模式的に示す図である。
本管理システム１は、図１に示すように、端末装置１０と管理サーバ２０とをそなえて構成されている。
図１は本発明の一実施形態としての管理システムの構成を模式的に示す図、図２はＴＰＭの構成を模式的に示す図である。
本管理システム１は、図１に示すように、端末装置１０と管理サーバ２０とをそなえて構成されている。
端末装置１０は、ＴＰＭ（Trusted Platform Module）１１をそなえた情報処理装置（コンピュータ）であって、図１に示すように、ＴＰＭ１１，ＣＰＵ１２，ＲＡＭ１３，ＲＯＭ１４，ＨＤＤ１５，ディスプレイ１９，キーボード３１，マウス３２およびＬＡＮカード１６をそなえて構成され、ＬＡＮ３３を介して、後述する管理サーバ２０に通信可能に接続されている。
なお、図１に示す例においては、便宜上、本管理システム１にそなえられた端末装置１０が１台の状態を示しており、以下、この１台の端末装置１０について説明を行なうものであるが、管理システム１の構成はこれにより普遍性が失なわれるものではなく、管理システム１には複数台の端末装置１０をそなえることが望ましい。
ＴＰＭ（セキュリティ機能モジュール）１１は、暗号処理機能を有するセキュリティチップであって、例えばマザーボード１２０に実装され、図２に示すように、ＲＳＡ暗号鍵の演算装置１０１，暗号鍵生成器１０２，ハッシュ生成器１０３，乱数発生器１０４，内部プロセッサ１０５，タイマ（時計）１０６，ＥＥＰＲＯＭ１０７および不揮発性メモリ１０８をそなえて構成されている。
ＴＰＭ（セキュリティ機能モジュール）１１は、暗号処理機能を有するセキュリティチップであって、例えばマザーボード１２０に実装され、図２に示すように、ＲＳＡ暗号鍵の演算装置１０１，暗号鍵生成器１０２，ハッシュ生成器１０３，乱数発生器１０４，内部プロセッサ１０５，タイマ（時計）１０６，ＥＥＰＲＯＭ１０７および不揮発性メモリ１０８をそなえて構成されている。
ＲＳＡ暗号鍵の演算装置１０１はＲＳＡ暗号鍵にかかる演算処理を行なうものであって、暗号鍵生成器１０２はＲＳＡ暗号鍵を生成するものである。ハッシュ生成器１０３は、例えばＳＨＡ−１等のハッシュ関数を用いてハッシュ値を生成するものである。
乱数発生器１０４は乱数を生成するものであり、内部プロセッサ１０５は種々の演算処理を行なうものである。タイマ（時計）１０６は計時を行なうものであって、ＥＥＰＲＯＭ１０７はデータを一時的に格納するものである。
乱数発生器１０４は乱数を生成するものであり、内部プロセッサ１０５は種々の演算処理を行なうものである。タイマ（時計）１０６は計時を行なうものであって、ＥＥＰＲＯＭ１０７はデータを一時的に格納するものである。
不揮発性メモリ１０８は、データやプログラムを格納するものであって、電源の供給が停止された場合においても記憶内容を保持するものである。この不揮発性メモリ１０８は、例えば、予めＴＰＭ１１に対して設定された固有の暗号鍵（コア暗号鍵）を格納するようになっており、又、この不揮発性メモリ１０８に格納されたコア暗号鍵は、外部に取り出すことができないようにハードウェア的に構成されている。
また、この不揮発性メモリ１０８は、ＴＰＭ１１にかかるユーザセキュリティ情報を格納するようになっている。このユーザセキュリティ情報は、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
そして、ＴＰＭ１１においては、その使用開始時（初期設定時）に、ＴＰＭ１１が破損等した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれるようになっている。
そして、ＴＰＭ１１においては、その使用開始時（初期設定時）に、ＴＰＭ１１が破損等した場合等に備えて、復旧用のデータであるアーカイブおよびトークンの生成が行なわれるとともに、このトークンに対してパスワード（トークン用パスワード）の設定が行なわれるようになっている。
ここで、アーカイブ（復元用ユーザ情報ファイル，バックアップアーカイブ）は、ＴＰＭ１１にかかる環境（ユーザセキュリティ情報）を管理しているバックアップファイルデータであって、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更するなどした場合等に随時更新されるようになっている。又、ＴＰＭ１１にかかるユーザセキュリティ情報とは、例えば、ユーザＩＤ，ユーザ鍵，ユーザ鍵用のパスワード等である。
トークン（復元用ユーザ情報ファイル暗号鍵）は、上述したアーカイブにかかる暗号鍵であって、このトークンによってアーカイブが暗号化処理されるようになっている。又、トークンの使用に際しては、このトークンに対応して予め設定されたパスワード（トークン用パスワード）が必要とされるようになっている。
なお、トークンを紛失した場合には、ＴＰＭ１１を新規に設定しなおさない限り、再度作成することは不可能である。又、これらのトークンやアーカイブは、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、作成されるようになっており、又、アーカイブおよびトークンは、セキュリティ上、端末装置１０毎に固有のものとすることが望ましい。
なお、トークンを紛失した場合には、ＴＰＭ１１を新規に設定しなおさない限り、再度作成することは不可能である。又、これらのトークンやアーカイブは、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、作成されるようになっており、又、アーカイブおよびトークンは、セキュリティ上、端末装置１０毎に固有のものとすることが望ましい。
そして、ＴＰＭ１１においては、例えば、ＴＰＭ１１の内部プロセッサ１０５が不揮発性メモリ１０８に格納されたプログラムを実行することにより、上述したトークン，アーカイブおよびトークン用パスワードを用いて、ＴＭＰ１１の環境（ＴＰＭ１１にかかるユーザセキュリティ情報）を復元する復元部１７として機能するようになっている。なお、この復元部１７としての機能は、既知の種々の手法を用いて実現することができる
また、セキュリティレベルを高い状態で維持するためには、端末装置１０に対して特定の権限を有する端末管理者だけが、ＴＰＭ１１にかかるユーザセキュリティ情報を復元することができることが望ましい。
また、セキュリティレベルを高い状態で維持するためには、端末装置１０に対して特定の権限を有する端末管理者だけが、ＴＰＭ１１にかかるユーザセキュリティ情報を復元することができることが望ましい。
ＨＤＤ（Hard Disk Drive）１５やＲＯＭ（Read Only Memory）１４は、データやプログラム等を格納・保存するものであり、ＲＡＭ（Random Access Memory）１３は、ＣＰＵ１２が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＬＡＮ（Local Area Network）カード１６は、端末装置１０をＬＡＮ３３に通信可能に接続するための通信機器であって、この、ＬＡＮカード１６には固有の識別情報であるＭＡＣ（Media Access Control）アドレスが一意に設定されている。
ＬＡＮ（Local Area Network）カード１６は、端末装置１０をＬＡＮ３３に通信可能に接続するための通信機器であって、この、ＬＡＮカード１６には固有の識別情報であるＭＡＣ（Media Access Control）アドレスが一意に設定されている。
ディスプレイ１９は、例えば、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）等の表示装置であって、端末装置１０の操作者（ユーザ）等に対して種々の情報やメッセージ等を表示するものである。
キーボード３１はユーザがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス３２はユーザが種々の入力操作や選択操作を行なうためのポインティングデバイス（入力機器）である。
キーボード３１はユーザがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス３２はユーザが種々の入力操作や選択操作を行なうためのポインティングデバイス（入力機器）である。
ＣＰＵ（Central Processing Unit）１２は、各種演算を行なうものであって、ＨＤＤ１５やＲＯＭ１４に格納されたプログラムを実行することにより種々の機能を実現するようになっており、要求部１２１および消去部１２２としての機能を実現するようになっている。
要求部１２１は、管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうものであり、例えば、マザーボード１２０の交換を行なった場合のように、ＴＰＭ１１の環境（ユーザセキュリティ情報）の復元を行なう必要がある場合に、この復元処理に用いるために、後述する管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうようになっている。
要求部１２１は、管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうものであり、例えば、マザーボード１２０の交換を行なった場合のように、ＴＰＭ１１の環境（ユーザセキュリティ情報）の復元を行なう必要がある場合に、この復元処理に用いるために、後述する管理サーバ２０に対して、トークンやアーカイブ，トークン用パスワードの呼び出し要求を行なうようになっている。
なお、例えば、この要求部１２１によるトークンやアーカイブの呼び出し要求は、ＨＤＤ１５やＲＯＭ１４等に格納されたユーティリティ（プログラム）を起動させることにより実現される。
また、この要求部１２１による呼び出し要求に応じて管理サーバ２０から送信されたトークンやアーカイブ，トークン用パスワードは、端末装置１０のＨＤＤ１５やＲＡＭ１３に一時的に保存されるようになっている。
また、この要求部１２１による呼び出し要求に応じて管理サーバ２０から送信されたトークンやアーカイブ，トークン用パスワードは、端末装置１０のＨＤＤ１５やＲＡＭ１３に一時的に保存されるようになっている。
消去部１２２は、復元部１７によるユーザセキュリティ情報の復元後に、管理サーバ２０の送信部２３から送信され、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードを消去するものであり、これにより、復元部１７によるユーザセキュリティ情報の復元後には、トークンやアーカイブ，トークン用パスワードが再度利用されることがないようになっている。
この消去部１２２によるトークンやアーカイブ，トークン用パスワードの消去は、ＣＰＵ１２が例えば、ＨＤＤ１５に格納されたプログラムを実行することにより実現することができ、既知の種々の手法を用いて実現することができる。
例えば、消去部１２２は、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードの消去に際して、消去対象のデータのアドレス部分のみを消去する等のように単にデータの一部のみを消去することによりデータを読み出し不可な状態にするのではなく、データ全体を消去するようになっており、データ全体に上書きするように “１”や“０”を直接書き込む（塗りつぶし）等の手法により、これらのトークンやアーカイブ，トークン用パスワードを、データ復元が不可能な状態にまで消去するようになっている。
例えば、消去部１２２は、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードの消去に際して、消去対象のデータのアドレス部分のみを消去する等のように単にデータの一部のみを消去することによりデータを読み出し不可な状態にするのではなく、データ全体を消去するようになっており、データ全体に上書きするように “１”や“０”を直接書き込む（塗りつぶし）等の手法により、これらのトークンやアーカイブ，トークン用パスワードを、データ復元が不可能な状態にまで消去するようになっている。
また、消去部１２２は、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，トークン用パスワードおよびアーカイブのうち、少なくともトークンおよびトークン用パスワードを、この端末装置１０から消去するようになっている。
さらに、端末装置１０においては、ＴＰＭ１１の使用開始時（初期設定時）等に生成・設定した、トークン，トークン用パスワードおよびアーカイブを管理サーバ２０に送信するようになっており、これらのトークン，トークン用パスワードおよびアーカイブは、端末装置１０内やＣＤ−ＲＯＭ等の外部記憶媒体に保存されることはないようになっている。
さらに、端末装置１０においては、ＴＰＭ１１の使用開始時（初期設定時）等に生成・設定した、トークン，トークン用パスワードおよびアーカイブを管理サーバ２０に送信するようになっており、これらのトークン，トークン用パスワードおよびアーカイブは、端末装置１０内やＣＤ−ＲＯＭ等の外部記憶媒体に保存されることはないようになっている。
また、端末装置１０には、固有の端末ＩＤが予め設定されている。この端末ＩＤは、端末装置１０に対して任意に設定された端末識別情報であり、例えば、ＨＤＤ１５等に保存されるようになっている。
そして、端末装置（情報処理装置）１０においては、ＣＰＵ１２が、管理プログラムを実行することにより、上述した要求部１２１および消去部１２２として機能するようになっている。
そして、端末装置（情報処理装置）１０においては、ＣＰＵ１２が、管理プログラムを実行することにより、上述した要求部１２１および消去部１２２として機能するようになっている。
なお、これらの要求部１２１および消去部１２２としての機能を実現するためのプログラム（管理プログラム）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ等），磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
要求部１２１および消去部１２２としての機能を実現する際には、内部記憶装置（ＲＡＭ１３やＲＯＭ１４）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ１２）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、端末装置１０がコンピュータとしての機能を有しているのである。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、端末装置１０がコンピュータとしての機能を有しているのである。
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等のコンピュータ読取可能な種々の媒体を利用することができる。
管理サーバ（管理装置２０）はＣＰＵ２０１（認証部２１，履歴管理部２２，送信部２３），ＲＯＭ２０２，ＲＡＭ２０３，ＨＤＤ２４およびＬＡＮカード２０４をそなえて構成された情報処理装置（コンピュータ，サーバコンピュータ）である。又、この管理サーバ２０は、ゲートウェイ装置３０を介してＬＡＮ（Local Area Network）３１に通信可能に接続されており、これにより、端末装置１０とＬＡＮ３３を介して通信可能に構成されている。
ＣＰＵ（Central Processing Unit）２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、後述する認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ＨＤＤ（Hard Disk Drive）２４やＲＯＭ（Read Only Memory）２０２は、データやプログラム等を格納するものであり、ＲＡＭ（Random Access Memory）２０３は、ＣＰＵ２０１が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＨＤＤ（Hard Disk Drive）２４やＲＯＭ（Read Only Memory）２０２は、データやプログラム等を格納するものであり、ＲＡＭ（Random Access Memory）２０３は、ＣＰＵ２０１が演算処理に用いるデータやプログラム等を一時的に格納するものである。
ＬＡＮ（Local Area Network）カード２０４は、管理サーバ２０をＬＡＮ３３に通信可能に接続するための通信機器である。
ＣＰＵ２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ＣＰＵ２０１は、各種演算を行なうものであって、ＨＤＤ２４やＲＯＭ２０２に格納されたプログラムを実行することにより種々の機能を実現するようになっており、認証部２１，履歴管理部２２および送信部２３としての機能を実現するようになっている。
ディスプレイ２０４は、例えば、ＬＣＤ（Liquid Crystal Display）やＣＲＴ（Cathode Ray Tube）等の表示装置であって、操作者等に対する種々の情報やメッセージ等を表示するものである。
キーボード２０５はオペレータがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス２０６はオペレータが種々の入力操作を行なうためのポインティングデバイス（入力機器）である。
キーボード２０５はオペレータがキー入力を行なうことにより種々の入力操作を行なう入力機器であり、マウス２０６はオペレータが種々の入力操作を行なうためのポインティングデバイス（入力機器）である。
また、ＨＤＤ（格納部）２４は、図３に示すような管理情報２４１を格納するようになっている。
図３は本発明の一実施形態としての管理システム１における管理サーバ２０が管理する管理情報２４１の例を模式的に示す図であり、管理情報２４１は、この図３に示すように、端末ＩＤに対して、ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けることにより構成されている。
図３は本発明の一実施形態としての管理システム１における管理サーバ２０が管理する管理情報２４１の例を模式的に示す図であり、管理情報２４１は、この図３に示すように、端末ＩＤに対して、ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けることにより構成されている。
上述の如く、端末ＩＤは、端末装置１０に対して任意に設定された端末識別情報であり、ＭＡＣアドレスは、端末装置１０のＬＡＮカード１６に設定された固有の識別情報であり、これらの端末ＩＤおよびＭＡＣアドレスが、端末装置１０を特定する情報として用いられるようになっている。
すなわち、管理情報２４１は、端末装置１０毎に、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けて構成されているともいえる。
すなわち、管理情報２４１は、端末装置１０毎に、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報を関連付けて構成されているともいえる。
管理情報２４１におけるトークン，トークン用パスワードおよびアーカイブは、それぞれ、その端末ＩＤによって特定される端末装置１０のＴＰＭ１１にかかるトークン，トークン用パスワードおよびアーカイブそのもの、もしくはこれらの格納位置を特定する情報である。
なお、トークン，トークン用パスワードおよびアーカイブは、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定された際に、端末装置１０からＬＡＮ３３等を介して管理サーバ２０に送信されて、例えば、管理サーバ２０のＨＤＤ２４に格納され、この管理サーバ２０において集中管理されるようになっている。
なお、トークン，トークン用パスワードおよびアーカイブは、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定された際に、端末装置１０からＬＡＮ３３等を介して管理サーバ２０に送信されて、例えば、管理サーバ２０のＨＤＤ２４に格納され、この管理サーバ２０において集中管理されるようになっている。
管理者リストは、端末装置１０の端末管理者に関する情報であって、例えば、図３に示すように、特定の権限（例えば、端末装置１０の使用権限）を有する正当な端末管理者のユーザＩＤと、そのユーザＩＤに対応するパスワード（ユーザＩＤ用パスワード）とを予め対応付けて登録することにより構成されている。又、複数の端末管理者に対して端末装置１０に関する特定の権限が認められている場合には、これらの全ての端末管理者についてのユーザＩＤおよびパスワードが管理者リストとして登録されるようになっている。
履歴情報は、送信部２３（詳細は後述）による端末装置１０へのトークンやアーカイブ，トークン用パスワードの送信履歴である。この履歴情報としては、例えば、呼び出し要求が行なわれた日時や、トークンやアーカイブ，トークン用パスワードを送信した日時、呼び出し要求が送信された端末に関する端末ＩＤやＭＡＣアドレスの他、認証を行なったユーザのユーザＩＤ等である。
また、本管理システム１においては、履歴情報として、端末装置１０から通知されたＭＡＣアドレスも保存するようになっており、例えば、ＬＡＮカード１６の交換等により端末装置１０のＭＡＣアドレスが変わった場合には、その変化の履歴（変更の前後における各ＭＡＣアドレス）も一覧として保持するようになっている。
なお、これらの履歴情報は、履歴管理部２２によって作成され、ＨＤＤ２４に格納されるようになっている。又、履歴情報は、上述したトークン等の送信履歴や端末装置１０のＭＡＣアドレスに限定されるものではなく、これらの情報に加えて、例えば、端末装置１０から送信された呼び出し要求に関する情報（日時やユーザＩＤ）等を保存してもよい。
なお、これらの履歴情報は、履歴管理部２２によって作成され、ＨＤＤ２４に格納されるようになっている。又、履歴情報は、上述したトークン等の送信履歴や端末装置１０のＭＡＣアドレスに限定されるものではなく、これらの情報に加えて、例えば、端末装置１０から送信された呼び出し要求に関する情報（日時やユーザＩＤ）等を保存してもよい。
履歴管理部２２は、送信部２３による端末装置１０へのトークン，アーカイブ，トークン用パスワードの送信履歴等を、管理情報２４１に履歴情報として管理・保存するようになっている。
認証部（復元用ユーザ情報ファイル暗号鍵認証部，復元用ユーザ情報ファイル認証部，パスワード認証部）２１は、端末装置１０の要求部１２１からトークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合に、この管理者リストにおけるユーザＩＤとユーザＩＤ用パスワードに基づいてユーザ認証を行なうものである。
認証部（復元用ユーザ情報ファイル暗号鍵認証部，復元用ユーザ情報ファイル認証部，パスワード認証部）２１は、端末装置１０の要求部１２１からトークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合に、この管理者リストにおけるユーザＩＤとユーザＩＤ用パスワードに基づいてユーザ認証を行なうものである。
すなわち、認証部２１は、端末装置１０の要求部１２１からトークンの呼び出し要求が行なわれた場合に、管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なう復元用ユーザ情報ファイル暗号鍵認証部として機能するようになっており、又、端末装置１０の要求部１２１からアーカイブの呼び出し要求が行なわれた場合には、この管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なう復元用ユーザ情報ファイル認証部として機能するようになっている。又、認証部２１は、トークン用パスワードの呼び出し要求が行なわれた場合には、この管理者リストにおけるユーザＩＤおよびユーザＩＤ用パスワードに基づいてユーザ認証を行なうパスワード認証部として機能するようになっている。
そして、本実施形態においては、管理サーバ２０が、ＨＤＤ２４においてトークン，アーカイブおよびトークン用パスワードを一元的に管理・保管しているので、一度のユーザ認証で端末装置１０の要求部１２１からの、これらのトークン，アーカイブおよびトークン用パスワードの呼び出し要求に対する認証を行なうことができるようになっている。
そして、管理サーバ（情報処理装置）２０のＣＰＵ２０１が、管理プログラムを実行することにより、上述した、認証部２１，履歴管理部２２および送信部２３として機能するようになっている。
そして、管理サーバ（情報処理装置）２０のＣＰＵ２０１が、管理プログラムを実行することにより、上述した、認証部２１，履歴管理部２２および送信部２３として機能するようになっている。
なお、これらの認証部２１，履歴管理部２２および送信部２３としての機能を実現するためのプログラム（管理プログラム）は、例えばフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
認証部２１，履歴管理部２２および送信部２３としての機能を実現する際には、内部記憶装置（ＲＡＭ２０３やＲＯＭ２０２）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ２０１）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、管理サーバ２０がコンピュータとしての機能を有しているのである。
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、管理サーバ２０がコンピュータとしての機能を有しているのである。
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等のコンピュータ読取可能な種々の媒体を利用することができる。
図４は本発明の一実施形態としての管理システム１におけるユーザ認証用画面の例を示す図である。
本管理システム１においては、認証部２１は、トークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合には、この図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に表示させるようになっている。
本管理システム１においては、認証部２１は、トークンやアーカイブ，トークン用パスワードの呼び出し要求が行なわれた場合には、この図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に表示させるようになっている。
ユーザ認証用画面１９１は、図４に示すように、ユーザＩＤを入力するためのユーザＩＤ入力部１９１ａと、パスワードを入力するためのパスワード入力部１９１ｂとをそなえて構成され、端末装置１０の操作者（端末管理者，ユーザ）が、このユーザ認証用画面１９１において、ユーザＩＤ入力部１９１ａおよびパスワード入力部１９１ｂに、ユーザＩＤと、このユーザＩＤに対応して予め設定されたパスワードとをキーボード３１やマウス３２を用いて入力するようになっている。
なお、このユーザ認証用画面１９１をディスプレイ１９に表示させるための画面データは、端末装置１０と管理サーバ２０のいずれの側にそなえてもよく、更に、これらの端末装置１０や管理サーバ２０の外部の機器（図示省略）にそなえてもよい。
認証部２１は、権限者に関する認証を行なうものであり、上述したユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードを取得し、これらの入力されたユーザＩＤおよびパスワードと、管理情報２４１における、その端末装置１０にかかる管理者リストに登録されたユーザＩＤおよびユーザＩＤ用パスワードとを比較し、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当な権限者（端末管理者）によって端末装置１０の操作が行なわれていると認証するようになっている。
認証部２１は、権限者に関する認証を行なうものであり、上述したユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードを取得し、これらの入力されたユーザＩＤおよびパスワードと、管理情報２４１における、その端末装置１０にかかる管理者リストに登録されたユーザＩＤおよびユーザＩＤ用パスワードとを比較し、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当な権限者（端末管理者）によって端末装置１０の操作が行なわれていると認証するようになっている。
また、認証部２１は、端末装置１０からトークン等の呼び出し要求が行なわれた際に、その端末装置１０から端末ＩＤおよびＭＡＣアドレスも取得するようになっており、これらの端末ＩＤおよびＭＡＣアドレスに基づいて、端末装置１０の特定を行なうようになっている。
具体的には、認証部２１は、端末装置１０から取得した端末ＩＤとＭＡＣアドレスとのそれぞれが、ＨＤＤ２４の管理情報２４１に一致するか否かを判断することにより、端末装置１０の特定を行なうようになっている。
具体的には、認証部２１は、端末装置１０から取得した端末ＩＤとＭＡＣアドレスとのそれぞれが、ＨＤＤ２４の管理情報２４１に一致するか否かを判断することにより、端末装置１０の特定を行なうようになっている。
このように、端末ＩＤだけでなく、ＬＡＮカード１６に固有の識別情報であるＭＡＣアドレスに基づいて端末装置１０の特定を行なうことにより、端末装置１０の特定精度（セキュリティレベル）を向上させることができる。
また、端末装置１０において、何らかの事情でＬＡＮカード１６が交換されＭＡＣアドレスが変わった場合においても、端末ＩＤ，ユーザＩＤおよびユーザＩＤ用パスワードを用いて認証を行なうことにより、端末装置１０の操作者の正当性を確認し、これにより端末装置１０の認定を確実に行なうことができる。
また、端末装置１０において、何らかの事情でＬＡＮカード１６が交換されＭＡＣアドレスが変わった場合においても、端末ＩＤ，ユーザＩＤおよびユーザＩＤ用パスワードを用いて認証を行なうことにより、端末装置１０の操作者の正当性を確認し、これにより端末装置１０の認定を確実に行なうことができる。
送信部２３は、端末装置１０からのトークン，アーカイブおよびトークン用パスワードの呼び出し要求に応じて、端末装置１０に対して、これらのトークン，アーカイブおよびトークン用パスワードを送信するものであり、端末装置１０から送信要求を受信し、認証部２１によって、正当なユーザによって端末装置１０の操作が行なわれていることが認証された場合（権限者に関する認証）に、ＬＡＮカード２０４，ゲートウェイ装置３０およびＬＡＮ３３を介して、その端末装置１０に対して、これらのトークン，アーカイブおよびトークン用パスワードを送信するようになっている。
ゲートウェイ装置３０は、管理サーバ２０をＬＡＮ３３に通信可能に接続するためのネットワーク機器であって、例えば、プロトコル等が異なるデータを相互に変換することにより通信を可能にするようになっている。なお、このゲートウェイ装置３０としては、システム環境やハードウェア構成等に応じて、既知のネットワーク機器を種々変形して用いることができる。
図５および図６はそれぞれ本発明の一実施形態としての管理システム１の管理サーバ２０におけるトークンの管理手法を説明するための図であって、図５は端末装置１０から管理サーバ２０にトークンを登録する際の処理を説明するための図、図６は端末装置１０が管理サーバ２０からにトークンを取得する際の処理を説明するための図である。
上述の如く構成された、本発明の一実施形態としての管理システム１においては、図５に示すように、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，アーカイブおよびトークン用パスワードが、端末装置１０から管理サーバ２０に送信され、管理サーバ２０のＨＤＤ２４に格納される（格納ステップ）。
上述の如く構成された、本発明の一実施形態としての管理システム１においては、図５に示すように、端末装置１０におけるＴＰＭ１１の使用開始時（初期設定時）等に生成・設定されたトークン，アーカイブおよびトークン用パスワードが、端末装置１０から管理サーバ２０に送信され、管理サーバ２０のＨＤＤ２４に格納される（格納ステップ）。
次に、本発明の一実施形態としての管理システム１におけるユーザ情報の復元手法を、図６を参照しながら、図７に示すフローチャート（ステップＢ１０〜Ｂ１９０）に従って説明する。
なお、この図７に示すフローチャートに示すユーザ情報の復元手法は、ＴＰＭ１１内のユーザ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、端末装置１０においてＴＰＭ１１が破損され使用不可となり新しいＴＰＭ１１が搭載されたプリント基板（マザーボード１２０等）に交換する場合や、端末装置１０のハードディスク内のデータを複製して、他の端末装置１０内に全く同じデータを構築（作成）する場合等に行なわれる。なお、ＴＰＭ１１が破損された場合には、プリント基板（マザーボード１２０）ごと交換する代わりに、ＴＰＭ１１だけを交換してもよい。
なお、この図７に示すフローチャートに示すユーザ情報の復元手法は、ＴＰＭ１１内のユーザ情報、すなわち、ユーザＩＤやユーザ鍵，パスワード等を復元する例を示すものであって、例えば、端末装置１０においてＴＰＭ１１が破損され使用不可となり新しいＴＰＭ１１が搭載されたプリント基板（マザーボード１２０等）に交換する場合や、端末装置１０のハードディスク内のデータを複製して、他の端末装置１０内に全く同じデータを構築（作成）する場合等に行なわれる。なお、ＴＰＭ１１が破損された場合には、プリント基板（マザーボード１２０）ごと交換する代わりに、ＴＰＭ１１だけを交換してもよい。
先ず、端末装置１０において、ＴＰＭ１１を使用可能とするために、ＢＩＯＳ設定にてＴＰＭ１１を使用許可へと変更（アクティベーション）する（ステップＢ１０）。
端末装置１０の端末管理者は、その端末装置１０に管理者権限でログインを行ない、端末管理者のパスワードを入力する。端末装置１０は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＢ２０）。なお、ここで、端末装置１０においては、少なくともＬＡＮ３３との接続の確立まで行なう。
端末装置１０の端末管理者は、その端末装置１０に管理者権限でログインを行ない、端末管理者のパスワードを入力する。端末装置１０は、管理者権限で正当にログインが行なわれたことにより操作者の正当性を確認して、端末管理者環境の再構築を開始する（ステップＢ２０）。なお、ここで、端末装置１０においては、少なくともＬＡＮ３３との接続の確立まで行なう。
端末装置１０の操作者が不正な端末管理者であるか否かの確認の結果（ステップＢ３０）、端末管理者の正しいパスワードが入力されなかった等の理由により、不正な端末管理者であると端末装置１０が判断した場合には（ステップＢ３０のＹＥＳルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、端末装置１０の操作者が正当な端末管理者である場合には（ステップＢ３０のＮＯルート参照）、端末装置１０は、ユーザ情報復元プロセスを起動（開始）する（ステップＢ４０）。
端末装置１０においては、要求部１２１が、ユーザ情報復元プロセスに必要なトークンおよびアーカイブを呼び出すためのユーティリティを起動させて、トークンおよびアーカイブの呼び出し要求を行なう（ステップＢ５０）。なお、トークンやアーカイブを管理する管理サーバ２０は、例えば、端末操作者が指定するようになっており、ユーティリティによってディスプレイ１９に表示される入力画面（図示省略）等において、トークンやアーカイブが格納されている管理サーバ２０を指定・入力したり、これらのトークンやアーカイブの格納位置を指定・入力するようになっている。
端末装置１０においては、要求部１２１が、ユーザ情報復元プロセスに必要なトークンおよびアーカイブを呼び出すためのユーティリティを起動させて、トークンおよびアーカイブの呼び出し要求を行なう（ステップＢ５０）。なお、トークンやアーカイブを管理する管理サーバ２０は、例えば、端末操作者が指定するようになっており、ユーティリティによってディスプレイ１９に表示される入力画面（図示省略）等において、トークンやアーカイブが格納されている管理サーバ２０を指定・入力したり、これらのトークンやアーカイブの格納位置を指定・入力するようになっている。
なお、トークンやアーカイブが格納されている管理サーバ２０やその格納位置に関する情報は、予め、ＴＰＭ１１の不揮発性メモリ１０８や端末装置１０のＲＯＭ１３等に格納しておいてもよい。
そして、管理サーバ２０はこのトークンおよびアーカイブの呼び出し要求を受信する（要求受信ステップ）。
そして、管理サーバ２０はこのトークンおよびアーカイブの呼び出し要求を受信する（要求受信ステップ）。
端末装置１０は、管理サーバ２０に対してＭＡＣアドレスと端末ＩＤを通知し（ステップＢ６０）、管理サーバ２０においては、認証部２１が、これらのＭＡＣアドレスおよび端末ＩＤの照合を行なう。
具体的には、認証部２１は、端末装置１０から送信されたＭＡＣアドレスに基づいて管理情報２４１を参照して、そのＭＡＣアドレスが管理情報２４１に登録されているかを確認するとともに、端末装置１０から送信された端末ＩＤに基づいて管理情報２４１を参照して、その端末ＩＤが管理情報２４１に登録されているか、すなわち、正規のものであるか否かの確認を行なう（ステップＢ７０）。
具体的には、認証部２１は、端末装置１０から送信されたＭＡＣアドレスに基づいて管理情報２４１を参照して、そのＭＡＣアドレスが管理情報２４１に登録されているかを確認するとともに、端末装置１０から送信された端末ＩＤに基づいて管理情報２４１を参照して、その端末ＩＤが管理情報２４１に登録されているか、すなわち、正規のものであるか否かの確認を行なう（ステップＢ７０）。
認証部２１による端末ＩＤが正規のものであるか否かの確認の結果（ステップＢ８０）、端末ＩＤが正規のものではないと認証部２１が判断した場合には（ステップＢ８０のＮＯルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、認証部２１が、端末装置１０が正規のものであることを確認した場合には（ステップＢ８０のＹＥＳルート参照）、管理サーバ２０は、その端末装置１０に対してその旨の通知を行なう（ステップＢ９０）。
また、認証部２１が、端末装置１０が正規のものであることを確認した場合には（ステップＢ８０のＹＥＳルート参照）、管理サーバ２０は、その端末装置１０に対してその旨の通知を行なう（ステップＢ９０）。
端末装置１０は、管理サーバ２０に対してトークン及びアーカイブの呼び出し要求を行なうとともに、ディスプレイ１９にユーザ認証用画面１９１を表示させる。端末管理者はこのユーザ認証用画面１９１において、ユーザＩＤおよびユーザＩＤ用パスワードを入力する。
管理サーバ２０においては、認証部２１が、端末装置１０から送信されてきたこれらの入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが正当権限者として管理情報２４１に登録されているかを確認することにより、端末装置１０の操作者（端末管理者）の正当性の確認を行なう（ステップＢ１００）。
管理サーバ２０においては、認証部２１が、端末装置１０から送信されてきたこれらの入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが正当権限者として管理情報２４１に登録されているかを確認することにより、端末装置１０の操作者（端末管理者）の正当性の確認を行なう（ステップＢ１００）。
端末管理者の正当性の確認の結果（ステップＢ１１０）、端末装置１０の操作者が不正な端末管理者であると判断した場合には（ステップＢ１１０のＹＥＳルート参照）、端末装置１０のディスプレイ１９にエラー表示等が行なわれ（ステップＢ１９０）、処理を終了する。
また、認証部２１が、端末装置１０の操作者が正当な端末管理者であると判断した場合には（ステップＢ１００のＮＯルート参照）、管理サーバ２０は、端末装置１０から通知されたＭＡＣアドレスが管理情報２４１に登録されていない場合に、そのＭＡＣアドレスを管理情報２４１におけるその端末装置１０の端末ＩＤに関連付けて登録する（ステップＢ１２０）。例えば、ＬＡＮカード１６の交換等によりＭＡＣアドレスが変わった場合には、この新しいＭＡＣアドレスが管理情報２４１に登録されるのである。
また、認証部２１が、端末装置１０の操作者が正当な端末管理者であると判断した場合には（ステップＢ１００のＮＯルート参照）、管理サーバ２０は、端末装置１０から通知されたＭＡＣアドレスが管理情報２４１に登録されていない場合に、そのＭＡＣアドレスを管理情報２４１におけるその端末装置１０の端末ＩＤに関連付けて登録する（ステップＢ１２０）。例えば、ＬＡＮカード１６の交換等によりＭＡＣアドレスが変わった場合には、この新しいＭＡＣアドレスが管理情報２４１に登録されるのである。
そして、この時点で、この端末装置１０が正規なものであることが認証部２１によって正式に認証されたことになる。
端末装置１０は、管理サーバ２０からトークン，アーカイブおよびトークン用パスワードを呼び出し、管理サーバ２０の送信部２３が、端末装置１０に対してトークン，アーカイブおよびトークン用パスワードを送信する（送信ステップ）。又、送信されたトークン，アーカイブおよびトークン用パスワードは、端末装置１０内の指定されたメモリ（ＲＯＭ１４等）内に一時的に格納される（ステップＢ１３０）。
端末装置１０は、管理サーバ２０からトークン，アーカイブおよびトークン用パスワードを呼び出し、管理サーバ２０の送信部２３が、端末装置１０に対してトークン，アーカイブおよびトークン用パスワードを送信する（送信ステップ）。又、送信されたトークン，アーカイブおよびトークン用パスワードは、端末装置１０内の指定されたメモリ（ＲＯＭ１４等）内に一時的に格納される（ステップＢ１３０）。
一方、管理サーバ２０は、図６に示すように、トークンやアーカイブ，トークン用パスワードが呼び出された履歴を履歴情報として管理情報２４１に記録し、不正な復元を監視する（ステップＢ１４０）。
端末装置１０においては、ＴＰＭ１１において、復元部１７が、アーカイブ，トークンおよびトークン用パスワードを使用してユーザ情報を復元した後、消去部１２２が、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアして（ステップＢ１５０）、トークン等を呼び出すユーティリティを終了させる。このように、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアすることにより、ＨＤＤ１５や外部記憶装置（図示省略）に、トークンやアーカイブ，トークン用パスワードが保存されることが阻止されるのである。
端末装置１０においては、ＴＰＭ１１において、復元部１７が、アーカイブ，トークンおよびトークン用パスワードを使用してユーザ情報を復元した後、消去部１２２が、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアして（ステップＢ１５０）、トークン等を呼び出すユーティリティを終了させる。このように、トークンやアーカイブ，トークン用パスワードを格納しているメモリをクリアすることにより、ＨＤＤ１５や外部記憶装置（図示省略）に、トークンやアーカイブ，トークン用パスワードが保存されることが阻止されるのである。
その後、端末装置１０においては、端末管理者に代えてユーザレベルでの認証を行なう。すなわち、ディスプレイ１９に表示されたユーザ認証用画面（図４のユーザ認証用画面１９１参照）において、ユーザがユーザＩＤやパスワードを入力し、端末装置１０は、このユーザによって入力されたユーザＩＤおよびパスワードに基づいて、ユーザの正当性を確認する（ステップＢ１６０）。
この正当性の確認の結果（ステップＢ１７０）、不正なユーザであると判断した場合には（ステップＢ１７０のＹＥＳルート参照）、ステップＢ１９０に移行する。又、正当なユーザであると判断した場合には（ステップＢ１７０のＮＯルート参照）、ユーザ環境を再構築して（ステップＢ１８０）、復元処理を終了する。
そして、ＴＰＭ１１もしくはマザーボード１２０の交換を行なう端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
そして、ＴＰＭ１１もしくはマザーボード１２０の交換を行なう端末装置１０が複数ある場合には、上述した復元処理を、これらの全ての端末装置１０において個々に行なう。
このように、本発明の一実施形態としての管理システム１によれば、管理サーバ２０においてトークンを保存・管理するので、トークンを紛失等することがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
同様に、管理サーバ２０においてアーカイブやトークン用パスワードを保存・管理することにより、アーカイブを紛失したり、トークン用パスワードを忘却（紛失）したりすることがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
同様に、管理サーバ２０においてアーカイブやトークン用パスワードを保存・管理することにより、アーカイブを紛失したり、トークン用パスワードを忘却（紛失）したりすることがなく、機密性や信頼性を向上させることができるとともに利便性が高い。
また、端末装置１０（ＴＰＭ１１）の保守作業時に、保守作業員の手にトークンが渡ることがなく、これによっても機密性や信頼性を向上させることができる。
さらに、保守作業員や端末管理者にとって、トークンやアーカイブ，トークン用パスワードを保管・管理する負担を軽減することができ、特に、端末装置１０が多数ある場合に、これらのトークン等の管理が容易となる。
さらに、保守作業員や端末管理者にとって、トークンやアーカイブ，トークン用パスワードを保管・管理する負担を軽減することができ、特に、端末装置１０が多数ある場合に、これらのトークン等の管理が容易となる。
履歴管理部２２が、端末装置１０へのトークン等の送信履歴を管理することにより、トークン等の管理を徹底することができ、トークン等の使用状況を管理・把握することができるので、トークン等の不正な使用や複製を管理・防止することができる。
管理情報２４１において、端末装置１０を特定するための情報として端末ＩＤやＭＡＣアドレスを使用することにより、端末装置１０の特定を容易かつ確実に行なうことができ、特に、端末ＩＤでの管理に加えてＭＡＣアドレスを用いて管理を行なうことにより、セキュリティレベルを向上させることができる。
管理情報２４１において、端末装置１０を特定するための情報として端末ＩＤやＭＡＣアドレスを使用することにより、端末装置１０の特定を容易かつ確実に行なうことができ、特に、端末ＩＤでの管理に加えてＭＡＣアドレスを用いて管理を行なうことにより、セキュリティレベルを向上させることができる。
例えば、認証部２１において、ＭＡＣアドレスを用いて端末装置１０の特定を行なうことにより、他の端末装置１０からトークン等の呼び出し要求が行なわれた場合等にそれを認識することができ、ＭＡＣアドレスが管理情報２４１に登録されていない場合にはトークン等の送付を送信を禁止する等、必要に応じてハードウェアレベルでの防御措置をとることもできる。
認証部２１において、端末装置１０からのトークン等の呼び出し要求に伴なって、ユーザＩＤやパスワードを用いてユーザ認証を行なうことにより、トークン等の不正な使用や複製を管理・防止することができる。又、例えば、端末装置１０において、マザーボード１２０やＬＡＮカード１６が交換され、端末装置１０におけるＭＡＣアドレスが変更になった場合においても、端末管理者のユーザ認証を行なって端末管理者の正当性を確認することにより、トークン等の呼び出し要求に対する信頼性を担保することができ、機密性や信頼性を維持もしくは向上させることができるとともに利便性が高い。
復元部１７によるユーザセキュリティ情報の復元後に、消去部１２２が、ＨＤＤ１５やＲＡＭ１３等に一時的に保存したトークンやアーカイブ，トークン用パスワードを消去することにより、復元部１７によるユーザセキュリティ情報の復元後には、トークンやアーカイブ，トークン用パスワードが再度利用されることがなく、これによってもトークン等の不正な使用や複製を管理・防止することができ、機密性や信頼性を維持もしくは向上させることができる。
そして、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態においては、管理サーバ２０にトークン，アーカイブおよびトークン用パスワードを保存して管理しているが、これに限定されるものではなく、管理サーバ２０が、トークンだけ、もしくはトークンの他に、アーカイブとトークン用パスワードとのいずれかのみを管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態においては、管理サーバ２０にトークン，アーカイブおよびトークン用パスワードを保存して管理しているが、これに限定されるものではなく、管理サーバ２０が、トークンだけ、もしくはトークンの他に、アーカイブとトークン用パスワードとのいずれかのみを管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
すなわち、管理情報２４１は、図３に示した例に限定されるものではなく、図３に示した以外の情報を関連付けて構成してもよく、又、端末ＩＤ，ＭＡＣアドレス，管理者リスト，トークン，トークン用パスワード，アーカイブおよび履歴情報のうち、一部の情報を除いて構成してもよい。
図８は本発明の一実施形態としての管理システム１の変形例の構成を模式的に示す図である。この図８に示す例においては、管理情報２４１にアーカイブは含まれず、端末装置１０のＨＤＤ１５にその端末装置１０にかかるアーカイブを格納するものであり、その他の部分は第１実施形態の管理システム１と同様に構成されている。
図８は本発明の一実施形態としての管理システム１の変形例の構成を模式的に示す図である。この図８に示す例においては、管理情報２４１にアーカイブは含まれず、端末装置１０のＨＤＤ１５にその端末装置１０にかかるアーカイブを格納するものであり、その他の部分は第１実施形態の管理システム１と同様に構成されている。
なお、図中、既述の符号と同一の符号は同一もしくは略同一の部分を示しているので、その説明は省略する。
アーカイブは、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるものであるので、この図７に示すように、端末装置１１のＨＤＤ１５に保管することにより、アーカイブの更新に伴う端末装置１１と管理サーバ２０との間の通信回数等を低減することができるのである。
アーカイブは、ＴＰＭ１１を使用するユーザが増減した場合や、パスワードを変更した場合等に随時更新されるものであるので、この図７に示すように、端末装置１１のＨＤＤ１５に保管することにより、アーカイブの更新に伴う端末装置１１と管理サーバ２０との間の通信回数等を低減することができるのである。
また、上述した実施形態においては、認証部２１は、ユーザ認証用画面１９１において入力されたユーザＩＤおよびパスワードが、管理情報２４１に格納されたユーザＩＤおよびこのユーザＩＤに対応するユーザＩＤ用パスワードに一致した場合に、正当なユーザによって端末装置１０の操作が行なわれていると認証し、このような認証が行なわれた場合に送信部２３が、その端末装置１０に対してトークン等を送信しているが、これに限定されるものではなく、例えば、複数の権限者によってトークン等の取得に関する認証が行なわれた場合に、送信部２３がトークン等の送信を行なってもよい。
この場合、例えば、図４に示すようなユーザ認証用画面１９１を端末装置１０のディスプレイ１９に複数回表示させ、これらのユーザ認証用画面１９１において、複数人、すなわち、特定の権限を有する複数のユーザＩＤおよびユーザＩＤ用パスワードの入力が行なわれたことを認証部２１によって認証された場合にのみ、送信部２３がトークン等の送信を行なう。
このように、複数の権限者によりトークン等の取得に関する認証が行なわれた場合に、送信部２３がトークン等の送信を行なうことにより、セキュリティレベルを維持もしくは高めることができ、システムの信頼性を向上させることができる。
また、上述した実施形態においては、認証部２１が、ユーザ認証用画面１９１において入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが管理情報２４１に登録されているかを確認することにより、ユーザ（管理者）の正当性の確認を行なっているが、これに限定されるものではなく、例えば、指紋や掌紋，手のひら静脈，指静脈，虹彩等のユーザの生体情報を用いた生体認証を行なってもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した実施形態においては、認証部２１が、ユーザ認証用画面１９１において入力されたユーザＩＤおよびユーザＩＤ用パスワードに基づいて管理情報２４１を参照して、これらのユーザＩＤおよびユーザＩＤ用パスワードが管理情報２４１に登録されているかを確認することにより、ユーザ（管理者）の正当性の確認を行なっているが、これに限定されるものではなく、例えば、指紋や掌紋，手のひら静脈，指静脈，虹彩等のユーザの生体情報を用いた生体認証を行なってもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
さらに、上述した実施形態においては、便宜上、本管理システム１にそなえられた管理サーバ２０が１台の状態を説明しているが、これに限定されるものではなく、管理システム１には複数台の管理サーバ２０をそなえて構成されてもよい。
このように、管理システム１に複数の管理サーバ２０をそなえる場合には、ほぼ同様の機能をそなえた管理サーバ２０が、互いに異なる端末装置１０に関する管理情報２４１を分散して管理してもよく、又、トークンを管理する管理サーバ２０と異なる管理サーバ２０でアーカイブやトークン用パスワードを管理する等、管理情報２４１の内容を複数の管理サーバ２０で分散して管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
このように、管理システム１に複数の管理サーバ２０をそなえる場合には、ほぼ同様の機能をそなえた管理サーバ２０が、互いに異なる端末装置１０に関する管理情報２４１を分散して管理してもよく、又、トークンを管理する管理サーバ２０と異なる管理サーバ２０でアーカイブやトークン用パスワードを管理する等、管理情報２４１の内容を複数の管理サーバ２０で分散して管理してもよく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
なお、本発明の各実施形態が開示されていれば、本発明を当業者によって実施・製造することが可能である。
そして、本発明は、以下に示すように要約することができる。
（付記１） 暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティモジュールにかかるユーザセキュリティ情報を復元する復元部をそなえることを特徴とする、管理システム。
そして、本発明は、以下に示すように要約することができる。
（付記１） 暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティモジュールにかかるユーザセキュリティ情報を復元する復元部をそなえることを特徴とする、管理システム。
（付記２） 該管理装置が、
該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、付記１記載の管理システム。
（付記３） 該管理装置が、
該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１又は付記２記載の管理システム。
該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、付記１記載の管理システム。
（付記３） 該管理装置が、
該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１又は付記２記載の管理システム。
（付記４） 前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が権限者に関する認証であり、
該管理装置において、
該復元用ユーザ情報ファイル暗号鍵認証部において、複数の該権限者によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記３記載の管理システム。
該管理装置において、
該復元用ユーザ情報ファイル暗号鍵認証部において、複数の該権限者によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記３記載の管理システム。
（付記５） 該管理装置において、前記端末装置を特定する情報に対して、該復元用ユーザ情報ファイル暗号鍵にかかるパスワードを関連付けて管理するとともに、
該送信部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１〜付記４のいずれか１項に記載の管理システム。
該送信部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１〜付記４のいずれか１項に記載の管理システム。
（付記６） 該管理装置において、
該パスワードの取得に関する認証を行なうパスワード認証部をそなえ、
該パスワード認証部によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記５記載の管理システム。
（付記７） 前記パスワードの取得に関する認証が権限者に関する認証であり、
該パスワード認証部において、複数の該権限者によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記６記載の管理システム。
該パスワードの取得に関する認証を行なうパスワード認証部をそなえ、
該パスワード認証部によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記５記載の管理システム。
（付記７） 前記パスワードの取得に関する認証が権限者に関する認証であり、
該パスワード認証部において、複数の該権限者によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記６記載の管理システム。
（付記８） 該管理装置において、前記端末装置を特定する情報に対して、該端末装置にそなえらえられた該セキュリティ機能モジュールにかかる該復元用ユーザ情報ファイルを関連付けて管理することを特徴とする、付記１〜付記７のいずれか１項に記載の管理システム。
（付記９） 該端末装置が、
該復元部による前記ユーザセキュリティ情報の復元後に、該管理装置の送信部から送信された該復元用ユーザ情報ファイル暗号鍵を消去する消去部をそなえることを特徴とする、付記１〜付記８のいずれか１項に記載の管理システム。
（付記９） 該端末装置が、
該復元部による前記ユーザセキュリティ情報の復元後に、該管理装置の送信部から送信された該復元用ユーザ情報ファイル暗号鍵を消去する消去部をそなえることを特徴とする、付記１〜付記８のいずれか１項に記載の管理システム。
（付記１０） 暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置と通信可能に構成された管理装置であって、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえることを特徴とする、管理装置。
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえることを特徴とする、管理装置。
（付記１１） 該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、付記１０記載の管理装置。
（付記１２） 該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１０又は付記１１記載の管理装置。
（付記１２） 該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１０又は付記１１記載の管理装置。
（付記１３） 前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が権限者に関する認証であり、
該復元用ユーザ情報ファイル暗号鍵認証部において、複数の該権限者によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１２記載の管理装置。
該復元用ユーザ情報ファイル暗号鍵認証部において、複数の該権限者によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、付記１２記載の管理装置。
（付記１４） 前記端末装置を特定する情報に対して、該復元用ユーザ情報ファイル暗号鍵にかかるパスワードを関連付けて管理するとともに、
該送信部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１０〜付記１３のいずれか１項に記載の管理装置。
該送信部が、該端末装置からの該パスワードの取得要求に応じて、該端末装置に対して該パスワードを通知することを特徴とする、付記１０〜付記１３のいずれか１項に記載の管理装置。
（付記１５） 該パスワードの取得に関する認証を行なうパスワード認証部をそなえ、
該パスワード認証部によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記１４記載の管理装置。
（付記１６） 前記パスワードの取得に関する認証が権限者に関する認証であり、
該パスワード認証部において、複数の該権限者によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記１５記載の管理装置。
該パスワード認証部によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記１４記載の管理装置。
（付記１６） 前記パスワードの取得に関する認証が権限者に関する認証であり、
該パスワード認証部において、複数の該権限者によって前記パスワードの取得に関する認証が行なわれた場合に、該送信部が該パスワードの通知を行なうことを特徴とする、付記１５記載の管理装置。
（付記１７） 該管理装置において、前記端末装置を特定する情報に対して、該端末装置にそなえらえられた該セキュリティ機能モジュールにかかる該復元用ユーザ情報ファイルを関連付けて管理することを特徴とする、付記１０〜付記１６のいずれか１項に記載の管理装置。
（付記１８） 前記端末装置を特定する情報が、当該端末装置に対して予め任意に設定された端末識別情報であることを特徴とする、付記１０〜付記１７のいずれか１項に記載の管理装置。
（付記１８） 前記端末装置を特定する情報が、当該端末装置に対して予め任意に設定された端末識別情報であることを特徴とする、付記１０〜付記１７のいずれか１項に記載の管理装置。
（付記１９） 前記端末装置を特定する情報が、該端末装置のＭＡＣ（Media Access Control）アドレスであることを特徴とする、付記１０〜付記１８のいずれか１項に記載の管理装置。
（付記２０） 暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置を特定する情報と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納ステップと、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求を受信する要求受信ステップと、
該要求受信ステップにおいて受信した該呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信ステップとをそなえることを特徴とする、管理方法。
（付記２０） 暗号処理機能を有するセキュリティ機能モジュール（ＴＰＭ;Trusted Platform Module）をそなえた端末装置を特定する情報と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納ステップと、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求を受信する要求受信ステップと、
該要求受信ステップにおいて受信した該呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信ステップとをそなえることを特徴とする、管理方法。
１ 管理システム
１０ 端末装置
１１ ＴＰＭ（セキュリティ機能モジュール）
１２ ＣＰＵ
１３ ＲＡＭ
１４ ＲＯＭ
１５ ＨＤＤ
１６ ＬＡＮカード
１７ 復元部
１９ ディスプレイ
２０ 管理サーバ（管理装置）
２１ 認証部
２２ 履歴管理部
２３ 送信部
２４ ＨＤＤ
３０ ゲートウェイ装置
３１ キーボード
３２ マウス
３３ ＬＡＮ
１０１ ＲＳＡ暗号鍵の演算装置
１０２ 暗号鍵生成器
１０３ ハッシュ生成器
１０４ 乱数発生器
１０５ 内部プロセッサ
１０６ タイマ（時計）
１０７ ＥＥＰＲＯＭ
１０８ 不揮発性メモリ
１０９ 対物攻撃用センサ
１１０ 自己診断機能
１９１ ユーザ認証用画面
１９１ａ ユーザＩＤ入力部
１９１ｂ パスワード入力部
１２０ マザーボード
１２１ 復元部
１２２ 消去部
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ ＬＡＮカード
２０５ キーボード
２０６ マウス
２４１ 管理情報
１０ 端末装置
１１ ＴＰＭ（セキュリティ機能モジュール）
１２ ＣＰＵ
１３ ＲＡＭ
１４ ＲＯＭ
１５ ＨＤＤ
１６ ＬＡＮカード
１７ 復元部
１９ ディスプレイ
２０ 管理サーバ（管理装置）
２１ 認証部
２２ 履歴管理部
２３ 送信部
２４ ＨＤＤ
３０ ゲートウェイ装置
３１ キーボード
３２ マウス
３３ ＬＡＮ
１０１ ＲＳＡ暗号鍵の演算装置
１０２ 暗号鍵生成器
１０３ ハッシュ生成器
１０４ 乱数発生器
１０５ 内部プロセッサ
１０６ タイマ（時計）
１０７ ＥＥＰＲＯＭ
１０８ 不揮発性メモリ
１０９ 対物攻撃用センサ
１１０ 自己診断機能
１９１ ユーザ認証用画面
１９１ａ ユーザＩＤ入力部
１９１ｂ パスワード入力部
１２０ マザーボード
１２１ 復元部
１２２ 消去部
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ ＬＡＮカード
２０５ キーボード
２０６ マウス
２４１ 管理情報
Claims (5)
- 暗号処理機能を有するセキュリティ機能モジュールをそなえた端末装置と、該端末装置と通信可能に接続された管理装置とをそなえた管理システムであって、
該管理装置が、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえ、
該端末装置が、
該管理装置の該送信部から送信された該復元用ユーザ情報ファイル暗号鍵と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイルとに基づいて、当該セキュリティモジュールにかかるユーザセキュリティ情報を復元する復元部をそなえることを特徴とする、管理システム。 - 暗号処理機能を有するセキュリティ機能モジュールをそなえた端末装置と通信可能に構成された管理装置であって、
該端末装置を特定する情報と該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納部と、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信部とをそなえることを特徴とする、管理装置。 - 該送信部による該復元用ユーザ情報ファイル暗号鍵の送信履歴を管理する履歴管理部をそなえることを特徴とする、請求項２記載の管理装置。
- 該復元用ユーザ情報ファイル暗号鍵の取得に関する認証を行なう復元用ユーザ情報ファイル暗号鍵認証部をそなえ、
該復元用ユーザ情報ファイル暗号鍵認証部によって前記復元用ユーザ情報ファイル暗号鍵の取得に関する認証が行なわれた場合に、該送信部が該復元用ユーザ情報ファイル暗号鍵の送信を行なうことを特徴とする、請求項２又は請求項３記載の管理装置。 - 暗号処理機能を有するセキュリティ機能モジュールをそなえた端末装置を特定する情報と、該セキュリティ機能モジュールにかかる復元用ユーザ情報ファイル暗号鍵とを関連付けて格納する格納ステップと、
該端末装置からの該復元用ユーザ情報ファイル暗号鍵の呼び出し要求を受信する要求受信ステップと、
該要求受信ステップにおいて受信した該呼び出し要求に応じて、該端末装置に対して該復元用ユーザ情報ファイル暗号鍵を送信する送信ステップとをそなえることを特徴とする、管理方法。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006251293A JP2008072613A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，管理装置および管理方法 |
| US11/707,983 US8219806B2 (en) | 2006-09-15 | 2007-02-20 | Management system, management apparatus and management method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006251293A JP2008072613A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，管理装置および管理方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2008072613A true JP2008072613A (ja) | 2008-03-27 |
Family
ID=39190065
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006251293A Pending JP2008072613A (ja) | 2006-09-15 | 2006-09-15 | 管理システム，管理装置および管理方法 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US8219806B2 (ja) |
| JP (1) | JP2008072613A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2017518712A (ja) * | 2014-03-14 | 2017-07-06 | ロウェム インコーポレイテッド | 秘密データ管理方法及び装置、並びに保安認証方法及びシステム |
| JP2019185312A (ja) * | 2018-04-06 | 2019-10-24 | 三菱重工機械システム株式会社 | カード決済処理装置、料金自動収受機、活性化方法、及びプログラム |
Families Citing this family (17)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE102005060601A1 (de) * | 2005-12-17 | 2007-06-21 | Dr. Johannes Heidenhain Gmbh | Verfahren zur Inbetriebnahme einer numerischen Steuerung für Werkzeug- oder Produktionsmaschinen |
| WO2009155768A1 (zh) * | 2008-06-27 | 2009-12-30 | 中兴通讯股份有限公司 | 终端管理方法和系统 |
| US20100250949A1 (en) * | 2009-03-31 | 2010-09-30 | Torino Maria E | Generation, requesting, and/or reception, at least in part, of token |
| US8417965B1 (en) * | 2010-04-07 | 2013-04-09 | Xilinx, Inc. | Method and circuit for secure definition and integration of cores |
| JP5842126B2 (ja) * | 2011-05-24 | 2016-01-13 | パナソニックＩｐマネジメント株式会社 | 機器管理システムおよびプログラム |
| EP2974123B1 (en) * | 2013-03-13 | 2019-09-25 | Intel Corporation | Systems and methods for account recovery using a platform attestation credential |
| JP6167660B2 (ja) * | 2013-05-13 | 2017-07-26 | 住友電気工業株式会社 | リモートコントローラおよびリモートコントロールシステム |
| US9779243B2 (en) * | 2013-11-13 | 2017-10-03 | Via Technologies, Inc. | Fuse-enabled secure BIOS mechanism in a trusted computing system |
| US9798880B2 (en) * | 2013-11-13 | 2017-10-24 | Via Technologies, Inc. | Fuse-enabled secure bios mechanism with override feature |
| US10095868B2 (en) | 2013-11-13 | 2018-10-09 | Via Technologies, Inc. | Event-based apparatus and method for securing bios in a trusted computing system during execution |
| US9779242B2 (en) * | 2013-11-13 | 2017-10-03 | Via Technologies, Inc. | Programmable secure bios mechanism in a trusted computing system |
| US10049217B2 (en) | 2013-11-13 | 2018-08-14 | Via Technologies, Inc. | Event-based apparatus and method for securing bios in a trusted computing system during execution |
| US9507942B2 (en) * | 2013-11-13 | 2016-11-29 | Via Technologies, Inc. | Secure BIOS mechanism in a trusted computing system |
| US10055588B2 (en) | 2013-11-13 | 2018-08-21 | Via Technologies, Inc. | Event-based apparatus and method for securing BIOS in a trusted computing system during execution |
| US9767288B2 (en) * | 2013-11-13 | 2017-09-19 | Via Technologies, Inc. | JTAG-based secure BIOS mechanism in a trusted computing system |
| US9547767B2 (en) | 2013-11-13 | 2017-01-17 | Via Technologies, Inc. | Event-based apparatus and method for securing bios in a trusted computing system during execution |
| US10025932B2 (en) * | 2015-01-30 | 2018-07-17 | Microsoft Technology Licensing, Llc | Portable security device |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006080636A (ja) * | 2004-09-07 | 2006-03-23 | Fujitsu Ltd | 情報処理装置 |
| JP2006109178A (ja) * | 2004-10-06 | 2006-04-20 | Canon Inc | 情報処理装置、情報処理方法、ならびにプログラム、記憶媒体 |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH11289328A (ja) | 1998-04-06 | 1999-10-19 | Ricoh Co Ltd | 認証管理装置 |
| JP2002245235A (ja) | 2001-02-20 | 2002-08-30 | Hitachi Ltd | 家庭電気機器、加入者登録方法、受注方法及びデータ処理システム |
| US7095859B2 (en) * | 2002-03-18 | 2006-08-22 | Lenovo (Singapore) Pte. Ltd. | Managing private keys in a free seating environment |
| JP2004135195A (ja) | 2002-10-11 | 2004-04-30 | Ricoh Co Ltd | 情報機器登録方法、その方法をコンピュータに実行させるプログラム、情報機器 |
| JP2004282391A (ja) | 2003-03-14 | 2004-10-07 | Fujitsu Ltd | 認証機能を有する情報処理装置及び認証機能付与方法 |
| US20040230817A1 (en) * | 2003-05-14 | 2004-11-18 | Kenneth Ma | Method and system for disaster recovery of data from a storage device |
| US7382880B2 (en) * | 2004-01-26 | 2008-06-03 | Hewlett-Packard Development Company, L.P. | Method and apparatus for initializing multiple security modules |
| US8271783B2 (en) * | 2004-04-19 | 2012-09-18 | Hewlett-Packard Development Company, L.P. | Subordinate trusted platform module |
| US7711942B2 (en) | 2004-09-23 | 2010-05-04 | Hewlett-Packard Development Company, L.P. | Computer security system and method |
| US8028172B2 (en) * | 2005-01-14 | 2011-09-27 | Microsoft Corporation | Systems and methods for updating a secure boot process on a computer with a hardware security module |
| US7636442B2 (en) * | 2005-05-13 | 2009-12-22 | Intel Corporation | Method and apparatus for migrating software-based security coprocessors |
| US7577258B2 (en) * | 2005-06-30 | 2009-08-18 | Intel Corporation | Apparatus and method for group session key and establishment using a certified migration key |
-
2006
- 2006-09-15 JP JP2006251293A patent/JP2008072613A/ja active Pending
-
2007
- 2007-02-20 US US11/707,983 patent/US8219806B2/en not_active Expired - Fee Related
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006080636A (ja) * | 2004-09-07 | 2006-03-23 | Fujitsu Ltd | 情報処理装置 |
| JP2006109178A (ja) * | 2004-10-06 | 2006-04-20 | Canon Inc | 情報処理装置、情報処理方法、ならびにプログラム、記憶媒体 |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2017518712A (ja) * | 2014-03-14 | 2017-07-06 | ロウェム インコーポレイテッド | 秘密データ管理方法及び装置、並びに保安認証方法及びシステム |
| JP2018107814A (ja) * | 2014-03-14 | 2018-07-05 | ロウェム インコーポレイテッド | 秘密データ管理方法及び装置、並びに保安認証方法及びシステム |
| JP2019185312A (ja) * | 2018-04-06 | 2019-10-24 | 三菱重工機械システム株式会社 | カード決済処理装置、料金自動収受機、活性化方法、及びプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| US8219806B2 (en) | 2012-07-10 |
| US20080072042A1 (en) | 2008-03-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2008072613A (ja) | 管理システム，管理装置および管理方法 | |
| US8510572B2 (en) | Remote access system, gateway, client device, program, and storage medium | |
| JP5116325B2 (ja) | 情報処理装置、ソフトウェア更新方法及び画像処理装置 | |
| JP5094365B2 (ja) | ハード・ディスク・ドライブ | |
| JP4278327B2 (ja) | コンピュータ・プラットフォームおよびその運用方法 | |
| CN1801091B (zh) | 用可信处理模块安全地引导计算机的系统和方法 | |
| US7565553B2 (en) | Systems and methods for controlling access to data on a computer with a secure boot process | |
| US20130124861A1 (en) | Shielding a sensitive file | |
| CN102948114A (zh) | 用于访问加密数据的单次使用认证方法 | |
| WO2004086244A1 (ja) | メモリデバイス及びパスコード生成器 | |
| JP2008234217A (ja) | 情報処理装置、情報保護方法及び画像処理装置 | |
| JP2008005408A (ja) | 記録データ処理装置 | |
| JP5582231B2 (ja) | 情報処理装置、真正性確認方法、及び記録媒体 | |
| JP5049179B2 (ja) | 情報処理端末装置及びアプリケーションプログラムの起動認証方法 | |
| JP4885168B2 (ja) | 外部メディア制御方法、システム及び装置 | |
| JP2007179357A (ja) | コンピュータプログラムのインストール方法 | |
| JP4765262B2 (ja) | 電子データ保管装置、プログラム | |
| JP2008071274A (ja) | 管理システム，端末装置，セキュリティ管理方法，セキュリティ用プログラムおよび当該プログラムを記録したコンピュータ読取可能な記録媒体 | |
| JP5730488B2 (ja) | 情報処理システム | |
| JP5278520B2 (ja) | 情報処理装置、情報保護方法 | |
| JP5234217B2 (ja) | 情報処理装置、ソフトウェア更新方法及びプログラム | |
| JP5310897B2 (ja) | 情報処理装置、ソフトウェア更新方法及び記録媒体 | |
| JP2013191226A (ja) | 情報処理装置、ソフトウェア更新方法及び画像処理装置 | |
| JP2013168174A (ja) | 情報処理装置及び情報保護方法 | |
| JP2009049554A (ja) | 時計ハードモジュールおよび電子署名システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20090403 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111018 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20111215 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20120508 |