JP2010244432A - ファイル共有システム、共有ファイルサーバ装置、ファイル共有方法、共有ファイルサーバ装置のアクセス制御方法、及びこれらのプログラム - Google Patents

Abstract

【課題】共有するファイルのアクセス制御の規則を利用者が柔軟に設定でき、かつ、利用者が暗号化・復号のための機構を用意したり暗号化・復号のための特別な操作をしたり鍵管理をしたりすることなく、ファイルの暗号化・復号が可能なファイル共有システムを提供する。
【解決手段】或る利用者が任意のアクセス条件をフォルダ名として予め作成した、ファイルをアップロードすることでファイルにアクセス条件を設定する共有フォルダと、アクセス条件に対応する暗号鍵を用いファイルを暗号データ化する暗号化処理部と、暗号データ化されたファイルにアクセスしようとする利用者の属性情報がアクセス条件を満たす場合に暗号鍵に対応する復号鍵を用いて暗号データをファイルに復号する復号処理部と、を備える共有ファイルサーバ装置と、暗号鍵と復号鍵とを生成する鍵管理サーバ装置と、各利用者の属性情報を記憶する情報管理サーバ装置とから構成する。
【選択図】図１

Description

本発明は、インターネットやローカルエリアネットワークなどのネットワークを介した利用者間でのファイル共有に際し、ファイルへのアクセス制御を行うファイル共有システム、共有ファイルサーバ装置、ファイル共有方法、共有ファイルサーバ装置のアクセス制御方法、及びこれらのプログラムに関する。

ネットワーク上の複数の利用者間で電子データファイルを共有したい場合、共有ファイルサーバ装置をネットワーク上に配し、そこに各利用者がアクセスしてファイルのアップロード、ダウンロードを行うという方法をとることが多い。この場合、ネットワーク上にはさまざまな脅威が潜んでいるため、共有ファイルサーバ装置にはアクセス制御が行われるのが一般的である。

このようなアクセス制御は、一般に共有ファイルサーバ装置の特権者（サーバ管理者など）が当該サーバにアクセス制御の規則（アクセスを許す利用者や利用者端末の指定など）を設定することにより実現されている。

また、より安全性を高めるため、単にファイルへのアクセスを制御するだけでなく、ファイルを容易に閲覧・実行等できないよう、ファイルを暗号化し、復号鍵を持つ利用者のみ閲覧・実行等を可能とするという策が講じられることも多い。ファイルの暗号化および利用者間の鍵の共有に関しては、例えば非特許文献１にて開示されている共通鍵暗号技術（Camellia）と非特許文献２にて開示されている共通鍵を安全に配送する公開鍵暗号技術（PSEC-KEM）とを組み合わせて用いること等が考えられ、これによりファイルを共有の安全性を高めることができる。

日本電信電話株式会社、「Camellia」、[online]、 [平成21年3月9日検索]、インターネット<URL : http://info.isl.ntt.co.jp/crypt/camellia/intro.html> 日本電信電話株式会社、「PSEC-KEM」、[online]、 [平成21年3月9日検索]、インターネット<URL : http://info.isl.ntt.co.jp/crypt/psec/intro.html>

共有ファイルサーバ装置に保存されたファイルへのアクセス制御に際しての規則の設定は、上記のとおり共有ファイルサーバ装置の特権者以外はできない。そのため、利用者は特権者が定めた定型的なアクセス制御の規則に従う必要があり、各利用者が自由な規則を設定することができないため、使い勝手が良くない。

また、共有ファイルサーバ装置に保存するファイルの暗号化に際しては、通常、共有ファイルサーバ装置とは独立した暗号化・復号のための機構を利用者が用意しなければならない上、暗号化・復号の操作についても利用者自ら実施する必要があり、更には鍵管理も必要となる。

本発明の目的は、共有するファイルのアクセス制御の規則を利用者が柔軟に設定でき、かつ、利用者が暗号化・復号のための機構を用意したり暗号化・復号のための特別な操作をしたり鍵管理をしたりすることなく共有ファイルの暗号化・復号が可能な、ファイル共有システム、共有ファイルサーバ装置、ファイル共有方法、共有ファイルサーバのアクセス制御方法、及びこれらのプログラムを実現することにある。

本発明のファイル共有システムは、複数の利用者がネットワークを介してファイルを共有するファイル共有システムであって、共有フォルダと暗号化処理部と復号処理部とからなる共有ファイルサーバ装置と、暗号鍵と復号鍵とを生成し共有ファイルサーバ装置に供給する鍵管理サーバ装置と、予め用意された上記複数の利用者の属性情報を記憶する情報管理サーバ装置と、を備える。

共有フォルダは、或る利用者が任意のアクセス条件をフォルダ名として作成したフォルダであり、ファイルがここにアップロードされると当該ファイルに上記アクセス条件を設定する。
暗号化処理部は、上記アクセス条件に対応する暗号鍵を用い上記ファイルを暗号データ化する。

復号処理部は、暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たす場合に、上記アクセス条件に対応し上記暗号鍵と対である復号鍵を用いて、上記暗号データを上記ファイルに復号する。

本発明のファイル共有システム、共有ファイルサーバ装置、ファイル共有方法、共有ファイルサーバのアクセス制御方法、及びこれらのプログラムによれば、共有するファイルのアクセス制御の規則を、利用者が作成するフォルダの名称として柔軟に設定でき、かつ、利用者が暗号化・復号のための機構を用意したり暗号化・復号ための特別な操作をしたり鍵管理をしたりすることなく、簡単なファイル操作により共有ファイルの暗号化・復号が可能となる。

ファイル共有システム１００の原理的構成図。 ネットワーク上でのファイル共有システム１００の各装置の配置イメージ図。 アクセス条件の表現例。 アクセス条件の表現に用いる演算子、予約語の例。 利用者属性情報テーブル１３０ｂの構成例。 グループ属性情報テーブル１３０ｃの構成例。 暗号化処理の一例を示すブロック図。 復号処理の一例を示すブロック図。 ファイル共有システム１００の共有ファイルアップロード時の処理フロー例。 ファイル共有システム１００の共有ファイルアクセス時の処理フロー例。 共有ファイルサーバ装置１１０の構成例。 鍵管理サーバ装置用認証情報１１０ａの構成例。 情報管理サーバ装置用認証情報１１０ｂの構成例。 ファイル属性情報１１０ｃの構成例。 共有ファイルサーバプログラム１１０ｄの構成例。 共有ファイルサーバプログラム１１０ｄの処理フロー例。 ファイルアップロードルーチン１１０ｄ１の処理フロー例。 ファイルダウンロードルーチン１１０ｄ２の処理フロー例。 ファイル移動ルーチン１１０ｄ３の処理フロー例。 ファイル複製ルーチン１１０ｄ４の処理フロー例。 ファイル削除ルーチン１１０ｄ５の処理フロー例。 プロパティ取得ルーチン１１０ｄ６の処理フロー例。 鍵管理サーバ装置１２０の構成例。 鍵テーブル１２０ａの構成例。 鍵管理サーバプログラム１２０ｂの構成例。 鍵管理サーバプログラム１２０ｂの処理フロー例。 暗号鍵発行ルーチン１２０ｂ１の処理フロー例。 復号鍵発行ルーチン１２０ｂ２の処理フロー例。 情報管理サーバ装置１３０の構成例。 認証情報テーブル１３０ａの構成例。 情報管理サーバプログラム１３０ｄの構成例。 情報管理サーバプログラム１３０ｄの処理フロー例。 利用者認証ルーチン１３０ｄ１の処理フロー例。 属性情報取得ルーチン１３０ｄ２の処理フロー例。 ファイルアップロード時の処理シーケンス例。 ファイルダウンロード時の処理シーケンス例。 ファイル移動時の処理シーケンス例。 ファイル複製時の処理シーケンス例。 ファイル削除時の処理シーケンス例。 プロパティ取得時の処理シーケンス例。 ファイルアップロード時の要求、応答電文例。 ＷｅｂＤＡＶメソッドとそれに対応する具体的処理内容の例。 ファイルダウンロード時の要求、応答電文例。 ファイル移動時の要求、応答電文例。 ファイル複製時の要求、応答電文例。 ファイル削除時の要求、応答電文例。 プロパティ取得時の要求電文例。 プロパティ取得時の応答電文例（１／２）。 プロパティ取得時の応答電文例（２／２）。

まず、最初に原理的構成を説明した上で、具体的な実施例（各装置の構成例、各装置で保持する属性情報・認証情報例、各装置内での処理フロー例、及び各装置間の処理シーケンス例など）について説明する。
＜原理的構成＞
図１に本発明のファイル共有システム１００の原理的構成図を、図２にネットワーク上でのファイル共有システム１００の各装置の配置イメージを示す。

ファイル共有システム１００は、クライアント端末装置１０を入出力インタフェースとする複数の利用者がネットワーク２０を介してファイルを共有するファイル共有システムであり、共有ファイルサーバ装置１１０と鍵管理サーバ装置１２０と情報管理サーバ装置１３０とから構成される。なお、図２では共有ファイルサーバ装置１１０を挟んで、クライアント端末装置１０側のネットワーク２０と情報管理サーバ装置１２０及び鍵管理サーバ装置１３０側のネットワーク３０とでネットワークを分けて記しているが、両ネットワークは一体化されていても構わない。また、図２では共有ファイルサーバ装置１１０が複数記されているが最低１つあればよく、あくまで記憶容量や処理能力などに応じて同じものを増設可能であるとの趣旨で記したものである。本発明の動作原理は１つの場合でも複数の場合でも同様であるため、以下においては１つである場合について説明する。

共有ファイルサーバ装置１１０は、共有フォルダ１１１と暗号化処理部１１２と復号処理部１１３とから構成される。

共有フォルダ１１１は、共有ファイルを収容するフォルダであり利用者が作成する。作成権限はすべての利用者に認めても構わないし、一部の利用者のみに認めても構わない。本発明においては、このフォルダ名ｘにアクセス条件を表現し、アップロード利用者１が共有フォルダ１１１内に共有対象のファイル３をアップロードすることにより、ファイル３の属性としてアクセス条件ｘが設定されるように構成する。このように構成することで、共有ファイルに対するアクセス制御の規則を利用者が柔軟かつ容易に設定することが可能となる。

フォルダ名ｘへのアクセス条件の表現方法としては、例えば、図３に示すような条件式及び図４に示すような演算子、予約語により表現することが考えられる。図３はＢＮ記法(Backus-Naur Form)により表現したものであり、"＋"は１回以上の繰り返しを表す拡張表現である。具体的には、例えば「３０代の人のみアクセス可能」という条件であればフォルダ名ｘを、
(AGE.ge.30).and.(AGE.lt.40)
というように、また、「利用者識別子がaliceである場合のみアクセス可能」という条件であればフォルダ名ｘを、
USER.eq.alice
というように表現することができる。

なお、共有フォルダ１１１は何個作成しても構わない。もっとも、いずれの共有フォルダについても処理は同様であるため、以下においては或る１個の共有フォルダに着目して説明する。

暗号化処理部１１２は、アクセス条件ｘが設定されたファイル３を共有フォルダ１１１から取り出し、アクセス条件ｘに対応する暗号鍵４ｅを用いて暗号化して、その暗号データ３ｃを共有フォルダ１１１に書き戻す。このとき、暗号データ３ｃがファイル３に対応していることが利用者にわかるよう、暗号データ３ｃの表示上のファイル名はファイル３の元のファイル名と同じにすることが望ましい。

復号処理部１１３は、共有フォルダ１１１のファイル３（暗号データ３ｃ）にいずれかの利用者（図１の例ではダウンロード等利用者２）がアクセスしようとしたとき、その利用者の属性情報ａがアクセス条件ｘを満たす場合には、アクセス条件ｘに対応し暗号鍵４ｅと対である復号鍵４ｄを用い、暗号データ３ｃをファイル３に復号して出力する。

鍵管理サーバ装置１２０は、共有フォルダ１１１で設定されたアクセス条件ｘに対応する暗号鍵４ｅを生成し、暗号化処理部１１２に供給する暗号鍵生成部１２１と、共有フォルダ１１１で設定されたアクセス条件ｘに対応し暗号鍵４ｅと対である復号鍵４ｄを生成し、復号処理部１１３に供給する復号鍵生成部１２２とを備える。なお、暗号鍵生成部１２１と復号鍵生成部１２２は、生成した暗号鍵４ｅ、復号鍵４ｄを保存しておくようにし、再度同じアクセス条件ｘでの鍵生成要求があった際に、保存しておいた暗号鍵４ｅ、復号鍵４ｄを出力するようにしても構わない。これにより、毎回鍵を生成するより効率的に処理を行うことができる。

復号処理部１１３においては、ファイル３にアクセスしようとした利用者の属性情報ａがアクセス条件ｘを満たす場合に復号処理を行うが、利用者の属性情報ａがアクセス条件ｘを満たすか否かの判定は、共有ファイルサーバ装置１１０側で行っても鍵管理サーバ装置１２０側で行っても構わない。共有ファイルサーバ装置１１０側で判定する場合には、例えば、鍵管理サーバ装置１２０から復号鍵４ｄを入手した上で、共有ファイルサーバ装置１１０内に更に設けた判定部１１４（図示省略）において、利用者の属性情報ａがアクセス条件ｘを満たすか否かを判定し、満たす場合は入手した復号鍵４ｄを用いて復号処理部１１３にて復号処理を行い、満たさない場合は復号処理を行わずエラー処理に移行するという構成にすることが考えられる。一方、鍵管理サーバ装置１２０側で判定する場合には、例えば図１に示すように鍵管理サーバ装置１２０内に更に判定部１２３を設けて利用者の属性情報ａがアクセス条件ｘを満たすか否かを判定し、満たす場合には復号鍵４ｄを出力し、満たさない場合には復号鍵４ｄを出力せず（＝復号処理部１１３で復号できない）にエラー処理に移行するという構成にすることが考えられる。

ファイル３にアクセスしようとする利用者の属性情報ａがアクセス条件ｘを満たすか否かを判定する手順としては、例えば次のようなものが考えられる。まず、ダウンロード等利用者２がファイル３にアクセスしようとする際に、ダウンロード等利用者２の認証情報として識別子ｉを入力させる。続いて、共有ファイルサーバ装置１１０又は鍵管理サーバ装置１２０は、各利用者の識別子ｉとその属性情報ａとが関連付けられたテーブルが予め記憶された情報管理サーバ装置１３０を参照し、識別子ｉをキーにダウンロード等利用者２の属性情報ａを抽出する。そして、抽出されたダウンロード等利用者２の属性情報ａとアクセス条件ｘとを判定部において対照することにより、ダウンロード等利用者２がアクセス条件ｘを満たす利用者であるか否かを判定する。

利用者の属性情報ａは、例えば図５に示すように属性名とその内容を表す属性値の組として構成することが考えられる（利用者属性情報テーブル１３０ｂ）。ここで、属性の種類（数）は利用者全員に一意であれば任意に設定してよく、更に図６に示すような各利用者の識別子をグルーピングしたテーブル（グループ情報テーブル１３０ｃ）を用意すれば、利用者の識別子から所属グループを特定できるため、アクセス条件を所属グループの識別子に基づき設定することも可能となる。

鍵管理サーバ装置１２０で生成する暗号鍵４ｅと復号鍵４ｄは、採用する暗号方式に応じたものを生成する。本発明では暗号方式は特に限定されないため、求められる安全性に応じて既存の任意の方式を用いて構わない。例えば、非対称鍵暗号（ＲＳＡ暗号、楕円曲線暗号など）と共通鍵暗号（ＡＥＳ、ＤＥＳ、Ｃａｍｅｌｌｉａなど）とのハイブリッド方式を用いる場合の暗号化処理内容の例を図７に、復号処理内容の例を図８にそれぞれ示す。暗号化に際しては、まず、共有フォルダ１１１から取り出したファイル３を、暗号化処理部１１２において乱数より生成した共通鍵４ｓを用いて共通鍵暗号アルゴリズムにより暗号化データ３ｃｄに変換する。続いて、暗号鍵生成部１２１から入手したアクセス条件ｘに対応する暗号鍵４ｅを用い、非対称鍵暗号の暗号化アルゴリズムにより共通鍵４ｓを暗号化共通鍵データ４ｓｄに変換する。そして、アクセス条件ｘと暗号化共通鍵データ４ｓｄと暗号化データ３ｃｄについて、それぞれ例えばＸＭＬ(eXtensible Markup Language)やＡＳＮ．１(Abstract Syntax Notation One)などにより適切な構造定義を行った上で、これらをひとまとめにファイル化した暗号データ３ｃを生成する。一方、復号化に際しては、復号処理部１１３においてまず暗号データ３ｃを各要素に分離し、復号鍵生成部１２２から入手したアクセス条件ｘに対応する復号鍵４ｄを用いて、非対称鍵暗号の復号アルゴリズムにより暗号化共通鍵データ４ｓｄから共通鍵４ｓを復元する。そして、この復元した共通鍵４ｓを用い、共通鍵暗号アルゴリズムにより暗号化データ３ｃｄからファイル３を復元する。

以上説明した図１に示すファイル共有システム１００の原理的構成の下での処理フローを、図９、図１０を用いて改めて簡単に説明する。
・共有ファイルのアップロード時（図９参照）
或る利用者が任意のアクセス条件ｘをフォルダ名ｘとして作成した共有フォルダ１１１に、アップロード利用者１により共有対象のファイル３がアップロードされると、共有フォルダ１１１はファイル３にアクセス条件ｘを設定する（Ｓ１）。続いて、暗号鍵生成部１２１がアクセス条件ｘに対応する暗号鍵４ｅを生成する（Ｓ２）。そして、暗号化処理部１１２が共有ファイル１１１から取り出したファイル３を、暗号鍵４ｅを用いて暗号データ３ｃに変換し、共有フォルダ１１１に書き戻す（Ｓ３）。

・ダウンロードなどの共有ファイルへのアクセス時（図１０参照）
ダウンロード等利用者２がファイル３にアクセスしようとすると、判定部１２３はダウンロード等利用者２が入力したダウンロード等利用者２の識別子ｉをキーに、情報管理サーバ装置１３０からダウンロード等利用者２の属性情報ａを入手し、これがファイル３へのアクセス条件ｘを満たしているか否かを判定する（Ｓ１１）。この判定の結果、ダウンロード等利用者２の属性情報ａがアクセス条件ｘを満たしていた場合には、復号鍵生成部１２２はアクセス条件ｘに対応し暗号鍵４ｅと対である復号鍵４ｄを生成し出力する（Ｓ１２）。一方、アクセス条件ｘを満たしていない場合には、エラー処理に移行する。そして、アクセス条件ｘを満たしていた場合、復号処理部１１３が復号鍵４ｄを用いて暗号データ３ｃをファイル３に復号して出力する（Ｓ１３）。

以上のように本発明の構成により、共有する電子データのアクセス制御の規則を、利用者が作成するフォルダの名称として柔軟に設定でき、かつ、利用者が暗号化・復号のための機構を用意したり暗号化・復号のための特別な操作をしたり鍵管理をしたりすることなく、簡単なファイル操作により共有ファイルの暗号化・復号が可能なファイル共有システムを実現することができる。

また、本発明の構成はＷｅｂＤＡＶ（Web-based Distributed Authoring and Versioning/RFC4918）の規格に則り実現することができる。ＷｅｂＤＡＶの規格に則り実現することで、ＦＴＰやｓｃｐのような別のサービス・プロトコルを使うことなく、ＨＴＴＰだけで全てのファイル管理を完結することができる。そのため、ポート番号も８０番だけを開ければよく、セキュリティリスクを最小限に抑えることができる。また、ＨＴＴＰは環境に依存しないため、様々なＯＳやコンピュータ言語上で利用することができ、既に開発されているＨＴＴＰアプリケーションを流用する事も容易である。更に、ＨＴＴＰの拡張のみによって実装されているため、ファイヤーウォールによって既存のファイル転送サービスが利用できない環境や、ＨＴＴＰプロキシを経由した環境でも利用することができる。

＜具体的実施例＞
上記原理的構成を基礎とした具体的実施例、すなわち、具体的な各装置の構成例、各装置で保持する属性情報・認証情報例、各装置内での処理フロー例、及び利用者・各装置の処理シーケンス例について説明する。この具体的実施例が上記原理的構成と異なる主たる部分は、ファイル共有の安全性を高めるため処理の要求先が処理の要求元を認証した上で以降の処理を行う点にある。

以下、まず各装置について説明し、続いて各装置間のシーケンスを説明する。

[各装置の構成例、保持する情報例、及び装置内での処理フロー例]
図１１に共有ファイルサーバ装置１１０の構成例を示す。共有ファイルサーバ装置１１０は、ＣＰＵ５１とメモリ５２とディスク５３とディスクコントローラ５４とＬＡＮコントローラ５５とから構成される。また、ディスク５３にはオペレーティングシステム５６と鍵管理サーバ装置用認証情報１１０ａと情報管理サーバ装置用認証情報１１０ｂとファイル属性情報１１０ｃと共有ファイルサーバプログラム１１０ｄとが記憶され、これらは処理実行の際にメモリ５２に読み出される。以上のような構成により、上記原理的構成における共有フォルダ１１１と暗号化処理部１１２と復号処理部１１３の各機能が具体的に実現される。

ＣＰＵ５１は中央処理装置、メモリ５２は処理用記憶領域、ディスク５３は記憶媒体、ディスクコントローラ５４はディスク５３に記憶された情報の入出力をつかさどる制御手段、ＬＡＮコントローラ５５はネットワーク２０、３０との入出力インタフェース、オペレーティングシステム５６はコンピュータの基本ソフトであり、これらについてはコンピュータにおいて一般的に用いられるものである。

図１２に鍵管理サーバ装置用認証情報１１０ａの構成例を示す。鍵管理サーバ装置用情報１１０ａは、共有ファイルサーバ装置１１０を鍵管理サーバ装置１２０が認証する際に使用されるデータであり、共有ファイルサーバ装置１１０の認証属性（属性名とその内容を表す属性値の組）の集合である。認証属性の種類の数は任意であるが、識別子、アドレス、パスワードは必ず含まれるものとする。適切なＰＫＩ（公開鍵基盤）を前提とする場合には証明書を含めてもよい。

図１３に情報管理サーバ装置用認証情報１１０ｂの構成例を示す。情報管理サーバ装置用情報１１０ｂは、共有ファイルサーバ装置１１０を情報管理サーバ装置１３０が認証する際に使用されるデータであり、共有ファイルサーバ装置１１０の認証属性（属性名とその内容を表す属性値の組）の集合である。認証属性の種類の数は任意であるが、識別子、アドレス、パスワードは必ず含まれるものとする。適切なＰＫＩ（公開鍵基盤）を前提とする場合には証明書を含めてもよい。鍵管理サーバ装置用認証情報１１０ａと情報管理サーバ装置用認証情報１１０ｂとは必須認証属性が共通しており、図１２と図１３は必須の認証属性のみを記載しているため同じ内容となっているが、その他の属性については互いに異なっていても構わない。

図１４にファイル属性情報１１０ｃの構成例を示す。ファイル属性情報は、共有フォルダ１１１にアップロードされたファイル３（暗号データ３ｃ）の属性の集合である。属性の種類の数は任意であるが、各ファイルについて属性名は一意に与えられているものとする。

図１５に共有ファイルサーバプログラム１１０ｄの構成例を示す。共有ファイルサーバプログラム１１０ｄは、ファイルアップロードルーチン１１０ｄ１とファイルダウンロードルーチン１１０ｄ２とファイル移動ルーチン１１０ｄ３とファイル複製ルーチン１１０ｄ４とファイル削除ルーチン１１０ｄ５とプロパティ取得ルーチン１１０ｄ６とから構成される。

共有ファイルサーバプログラム１１０ｄは、ダウンロード等利用者２からファイル３（暗号データ３ｃ）へのアクセスがあると、図１６に示す処理を実行する。まず、ダウンロード等利用者２がファイル共有システム１００を利用可能な利用者であることを認証情報（例えば、ダウンロード等利用者２が入力した識別子ｉ、パスワード、クライアント端末装置１０のＩＰアドレス等）に基づき認証した上で、アクセス要求内容（ファイルアップロード／ファイルダウンロード／ファイル移動／ファイル複製／ファイル削除／プロパティ取得）に応じ各処理ルーチンへ移行する。ここで、プロパティ取得とはフォルダの下のファイルやフォルダの属性の一覧を取得する際に使用するものである。

ファイルアップロードルーチン１１０ｄ１の処理フロー例を図１７に、ファイルダウンロードルーチン１１０ｄ２の処理フロー例を図１８に、ファイル移動ルーチン１１０ｄ３の処理フロー例を図１９に、ファイル複製ルーチン１１０ｄ４の処理フロー例を図２０に、ファイル削除ルーチン１１０ｄ５の処理フロー例を図２１に、プロパティ取得ルーチン１１０ｄ６の処理フロー例を図２２にそれぞれ示す。ファイルアップロードルーチン１１０ｄ１においては、まず、アップロード先として指定されたパスに対応するフォルダのフォルダ名がアクセス条件ｘであるか否かを判定する。そして、アクセス条件ｘであればこれに対応する暗号鍵４ｅを取得してアップロードされたファイル３を暗号化し、アクセス条件ｘでなければ暗号化することなく保存する。ファイルダウンロードルーチン１１０ｄ２においては、まず、ダウンロード等利用者２が指定したパスに対応するファイルが暗号化されているか否かを判定する。暗号化されている場合には当該ファイル（暗号データ３ｃ）の属性情報からアクセス条件ｘを取得して、当該ダウンロード等利用者２の識別子ｉとともに鍵管理サーバ装置１２０に送る。そして、アクセス条件ｘに対応する復号鍵４ｄを取得できた場合には、これを用いてファイル３を復号して出力し、取得できなかった場合はエラー処理に移行する。ファイル移動ルーチン１１０ｄ３とファイル複製ルーチン１１０ｄ４においては、まず、ダウンロード等利用者２が指定した移動元パスに対応するファイルが暗号化されている場合には、当該ファイル（暗号データ３ｃ）の属性情報からアクセス条件ｘを取得して、当該ダウンロード等利用者２の識別子ｉとともに鍵管理サーバ装置１２０に送る。アクセス条件ｘに対応する復号鍵４ｄを取得できた場合は暗号データ３ｃを残したままファイル３を一時ファイルとして復号し、取得できなかった場合はエラー処理に移行する。そして、ダウンロード等利用者２が指定した移動先（又は複製先）パスに対応するフォルダのフォルダ名がアクセス条件ｘ´である場合には、これに対応する暗号鍵４ｅ´を取得し一時ファイルとして復号したファイル３を再び暗号化（暗号データ３ｃ´）して移動先（又は複製先）パスに対応するフォルダに保存する。最後に、ファイル移動ルーチン１１０ｄ３においては移動元の暗号データ３ｃと一時ファイルとして復号したファイル３とを共に削除し、ファイル複製ルーチン１１０ｄ４においては複製元にて一時ファイルとして復号したファイル３を削除する。ファイル削除ルーチン１１０ｄ５においては、ダウンロード等利用者２が指定した削除対象パスに対応するファイルの所有者が当該利用者である場合、当該ファイルの削除を実行する。プロパティ取得ルーチン１１０ｄ６においては、ダウンロード等利用者２の属性情報ａが、各共有フォルダ１１１、各ファイル３（暗号データ３ｃ）のアクセス条件ｘを満たすか評価した上で、アクセス条件ｘを満たしたファイル、フォルダについてのみファイル属性情報を出力する。

図２３に鍵管理サーバ装置１２０の構成例を示す。鍵管理サーバ装置１２０は、ＣＰＵ５１とメモリ５２とディスク５３とディスクコントローラ５４とＬＡＮコントローラ５５とから構成される。また、ディスク５３にはオペレーティングシステム５６と鍵テーブル１２０ａと鍵管理サーバプログラム１２０ｂとが記憶され、これらは処理実行の際にメモリ５２に読み出される。以上のような構成により、上記原理的構成における暗号鍵生成部１２１と復号鍵生成部１２２と判定部１２３の各機能が具体的に実現される。

ＣＰＵ５１、メモリ５２、ディスク５３、ディスクコントローラ５４、ＬＡＮコントローラ５５、オペレーティングシステム５６は共有ファイルサーバ装置１１０の同名部位と同様、コンピュータにおいて一般的に用いられるものである。

図２４に鍵テーブル１２０ａの構成例を示す。鍵テーブル１２０ａは、条件式などの各アクセス条件ｘとそれに対応する暗号鍵・復号鍵、及び作成日時をデータ項目とするデータベースである。鍵テーブル１２０ａは、アクセス条件ｘを検索キーとして、一意に暗号鍵と復号鍵を検索できるように構成する。

図２５に鍵管理サーバプログラム１２０ｂの構成例を示す。鍵管理サーバプログラム１２０ｂは、暗号鍵発行ルーチン１２０ｂ１と復号鍵発行ルーチン１２０ｂ２とから構成される。鍵管理サーバプログラム１２０ｂは、共有ファイルサーバ装置１１０からアクセスがあると、図２６に示す処理を実行する。まず、共有ファイルサーバ装置１１０を鍵管理サーバ装置用認証情報１１０ａに基づき認証した上で、要求内容（暗号鍵発行要求／復号鍵発行要求）に応じ各処理ルーチンへ移行する。暗号鍵発行ルーチン１２０ｂ１の処理フロー例を図２７に、復号鍵発行ルーチン１２０ｂ２の処理フロー例を図２８にそれぞれ示す。暗号鍵発行ルーチン１２０ｂ１においては、まずアクセス条件ｘに対応する暗号鍵４ｅが鍵テーブル１２０ａにあるかを確認し、あればそれを取得し、無ければ作成して出力する。復号鍵ルーチン１２０ｂ２においては、まず、暗号データ３ｃ（ファイル３）にアクセスしようとするダウンロード等利用者２の識別子ｉに基づき情報管理サーバ装置１３０からダウンロード等利用者２の属性情報を取得し、これがアクセス条件ｘを満たしているかを評価する。そして、満たしている場合にはアクセス条件ｘに対応する復号鍵４ｄが鍵テーブル１２０ａにあるかを確認し、あればそれを取得し、無ければ作成して出力する。

図２９に情報管理サーバ装置１３０の構成例を示す。情報管理サーバ装置１３０は、ＣＰＵ５１とメモリ５２とディスク５３とディスクコントローラ５４とＬＡＮコントローラ５５とから構成される。また、ディスク５３にはオペレーティングシステム５６と認証情報テーブル１３０ａと利用者属性情報テーブル１３０ｂとグループ情報テーブル１３０ｃと情報管理サーバプログラム１３０ｄとが記憶され、これらは処理実行の際にメモリ５２に読み出される。

ＣＰＵ５１、メモリ５２、ディスク５３、ディスクコントローラ５４、ＬＡＮコントローラ５５、オペレーティングシステム５６は共有ファイルサーバ装置１１０の同名部位と同様、コンピュータにおいて一般的に用いられるものである。

図３０に認証情報テーブル１３０ａの構成例を示す。認証情報テーブル１３０ａは、各利用者及び各サーバごとの認証情報からなるテーブルであり、認証情報とは、利用者及びサーバの認証属性の集合である。認証属性は、その種類を表す属性名とその内容を表す属性値の組とからなり、認証属性の種類の数は任意である。ただし、属性名は一意に与えられているものとし、利用者又はサーバの識別子、それらのアドレス及びパスワードは必ず含まれるものとする。適切なＰＫＩ（公開鍵基盤）を前提とする場合には証明書を含めてもよい。

利用者属性情報テーブル１３０ｂは、利用者の属性情報ａの集合であり、例えば図５に示すように属性名とその内容を表す属性値の組として構成する。属性の種類（数）は利用者全員に一意であれば任意に設定してよく、更に図６に示すような各利用者の識別子をグルーピングしたグループ情報テーブル１３０ｃを用意すれば、利用者の識別子から所属グループを特定できるため、アクセス条件を所属グループの識別子に基づき設定することも可能となる。

図３１に情報管理サーバプログラム１３０ｄの構成例を示す。情報管理サーバプログラム１３０ｄは、利用者認証ルーチン１３０ｄ１と属性情報取得ルーチン１３０ｄ２とから構成される。

情報管理サーバプログラム１３０ｄは、共有ファイルサーバ装置１１０又は鍵管理サーバ装置１２０からアクセスがあると、図３２に示す処理を実行する。まず、共有ファイルサーバ装置１１０又は鍵管理サーバ装置１２０を情報管理サーバ装置用認証情報１１０ｂに基づき認証した上で、要求内容（利用者の認証要求／属性情報の取得要求）に応じ各処理ルーチンへ移行する。利用者認証ルーチン１３０ｄ１の処理フロー例を図３３に、属性情報取得ルーチン１３０ｄ２の処理フロー例を図３４にそれぞれ示す。利用者認証ルーチン１３０ｄ１においては、共有ファイルサーバ装置１１０からの要求電文に示された利用者の認証情報が認証情報テーブル１３０ａの認証情報と一致するかを照合し、成功したか失敗したかを出力する。属性情報取得ルーチン１３０ｄ２においては、共有ファイルサーバ装置１１０又は鍵管理サーバ装置１２０からの要求電文に示されたダウンロード等利用者２の識別子ｉに対応する属性情報ａ及びグループ情報を、利用者属性情報テーブル１３０ｂ及びグループ情報テーブル１３０ｃを検索して出力する。

[各装置間の処理シーケンス例]
共有するファイルのアップロード時の各装置間の処理シーケンス例を図３５に、暗号化された共有ファイルのダウンロード時の各装置間の処理シーケンス例を図３６に、暗号化されたファイルをアクセス条件付きの他のフォルダに移動する時の各装置間の処理シーケンス例を図３７に、暗号化された共有ファイルをアクセス条件付きの他のフォルダに複製する時の各装置間の処理シーケンス例を図３８に、暗号化された共有ファイルを削除する時の各装置間の処理シーケンス例を図３９に、暗号化された共有ファイルのプロパティ取得時の各装置間の処理シーケンス例を図４０にそれぞれ示す。以下、それぞれのシーケンスについて簡単に説明する。なお、図３５〜４０における各装置同士の認証処理（処理の要求先装置が処理の要求元装置を認証情報に基づき認証した上で以降の処理を行う）については、通信の第三者による盗聴を防ぐべく例えばＳＳＬ(Secure Socket Layer)などの既存の暗号通信技術を併用することが考えられるが、この点に関しては公知技術であるため説明を省略する。

共有するファイルのアップロード時（図３５）には、まず、アップロード利用者１がクライアント端末装置１０から、利用者識別子ｉを含む利用者認証情報、アップロード先パス、アップロードするファイル３を含むファイルアップロード要求電文を共有ファイルサーバ装置１１０に送信する。続いて、共有ファイルサーバ装置１１０は、情報管理サーバ装置１３０に利用者認証を受ける。クライアント−サーバ間の認証の方法については、ＨＴＴＰにおける基本認証、ダイジェスト認証、あるいは証明書を用いた認証など既存の方法でよく、クライアント−サーバ間のパケットの暗号方法についてもＳＳＬなどの既存の方法でよい。そして認証ＯＫであれば、共有ファイルサーバ装置１１０は指定されたアップロード先パスに対応するフォルダのアクセス条件ｘを含む暗号鍵発行要求電文を鍵管理サーバ装置１２０に送信し、アクセス条件ｘに対応する暗号鍵４ｅの発行を受けて、これを用いてファイル３を暗号化する。最後に、クライアント端末装置１０に処理結果を示す応答電文を送信する。

なお、ＷｅｂＤＡＶの規格に則り実現する場合の要求電文の例を図４１(a)に、それに対する成功時の応答電文の例を図４１(b)に示す。なお、ＷｅｂＤＡＶメソッドとそのメソッドにより実行される具体的処理内容の例を図４２に示す。図４１の電文例は、ＰＵＴメソッドにより/USER.eq.alice/abc.txtというパス名でファイルのアップロードを要求するものであり、利用者認証情報はAuthorizationヘッダで指定している。このパス名ではフォルダ名にあたる/USER.eq.alice/によりアクセス条件ｘが指定されているため、アップロードしたファイル（abc.txt）はこのアクセス条件ｘ（利用者識別子がaliceである場合のみアクセス可能）に基づき暗号化され、アクセス条件を満たす（利用者識別子がalice）の利用者のみが復号することができる。

暗号化されたファイルのダウンロード時（図３６）には、まず、ダウンロード等利用者２がクライアント端末装置１０から、利用者識別子ｉを含む利用者認証情報、ダウンロード元パスを含むファイルダウンロード要求電文を共有ファイルサーバ装置１１０に送信する。続いて、共有ファイルサーバ装置１１０は、情報管理サーバ装置１３０に利用者認証を受けた上で、指定されたダウンロード元パスの暗号データ３ｃの属性情報からアクセス条件ｘを抽出し、利用者識別子ｉとアクセス条件ｘを含む復号鍵発行要求電文を鍵管理サーバ装置１２０に送信する。続いて、鍵管理サーバ装置１２０は、情報管理サーバ装置１３０に利用者識別子ｉを含む利用者属性データ取得要求電文を送信して、ダウンロード等利用者２の属性情報ａを取得し、属性情報ａがアクセス条件ｘを満たしていれば共有ファイルサーバ装置１１０に復号鍵４ｄを発行する。そして、共有ファイルサーバ装置１１０は復号鍵４ｄを用いて暗号データ３ｃを復号し、復号したファイル３を応答電文に含めてクライアント端末装置１０（ダウンロード等利用者２）に送信する。

なお、ＷｅｂＤＡＶの規格に則り実現する場合の要求電文の例を図４３(a)に、それに対する成功時の応答電文の例を図４３(b)に示す。図４３の電文例は、ＧＥＴメソッドにより/folder/abc.txtというパス名のファイルのダウンロードを要求するものであり、利用者認証情報はAuthorizationヘッダで指定している。この利用者認証情報に含まれる識別子ｉに基づき抽出された利用者の属性情報がアクセス条件ｘを満たした場合、ファイルabc.txtを含む応答電文が返信される。

暗号化されたファイルをアクセス条件付きの他のフォルダに移動又は複製する時（図３７又は図３８）には、まず、ダウンロード等利用者２がクライアント端末装置１０から、利用者識別子ｉを含む利用者認証情報、移動（複製）元パス、移動（複製）先パスを含むファイル移動（複製）要求電文を共有ファイルサーバ装置１１０に送信する。続いて、共有ファイルサーバ装置１１０は、情報管理サーバ装置１３０に利用者認証を受けた上で、指定された移動（複製）元パスの暗号データ３ｃの属性情報からアクセス条件ｘを抽出し、利用者識別子ｉとアクセス条件ｘを含む復号鍵発行要求電文を鍵管理サーバ装置１２０に送信する。続いて、鍵管理サーバ装置１２０は、情報管理サーバ装置１３０に利用者識別子ｉを含む利用者属性データ取得要求電文を送信して、ダウンロード等利用者２の属性情報ａを取得し、属性情報ａがアクセス条件ｘを満たしていれば共有ファイルサーバ装置１１０に復号鍵４ｄを発行する。続いて、共有ファイルサーバ装置１１０は復号鍵４ｄを用いて暗号データ３ｃを復号する。そして、指定された移動（複製）先パスに対応するフォルダのアクセス条件ｘ´を含む暗号鍵発行要求電文を鍵管理サーバ装置１２０に送信し、アクセス条件ｘ´に対応する暗号鍵４ｅ´の発行を受けてこれを用いてファイル３を暗号化する。なお、移動の場合は更に、移動元パスのファイルを削除する。最後に処理結果を示す応答電文をクライアント端末装置１０に送信する。

なお、ＷｅｂＤＡＶの規格に則り実現する場合のファイル移動時の要求電文の例を図４４(a)に、それに対する成功時の応答電文の例を図４４(b)に示す。図４４の電文例は、ＭＯＶＥメソッドにより/folder/abc.txtというパス名のファイルを/folder2/abc.txtに移動する要求を行うものであり、利用者認証情報をAuthorizationヘッダで、移動先をDistinationヘッダでそれぞれ指定している。この利用者認証情報に含まれる識別子ｉに基づき抽出された利用者の属性情報がfolderのアクセス条件ｘを満たした場合、folder内のabc.txtの暗号データは、その暗号データを残したまま一旦abc.txtに復号された上で、folder2のアクセス条件に基づき再び暗号化されてfolder2に保存される。なお、folder内の当該暗号データ及び復号されたabc.txtは削除される。

また、ＷｅｂＤＡＶの規格に則り実現する場合のファイル複製時の要求電文の例を図４５(a)に、それに対する成功時の応答電文の例を図４５(b)に示す。図４５の電文例は、ＣＯＰＹメソッドにより/folder/def.txtというパス名のファイルを/folder2/def2.txtというパス名のファイルに複製する要求を行うものであり、利用者認証情報をAuthorizationヘッダで、複製先をDistinationヘッダでそれぞれ指定している。この利用者認証情報に含まれる識別子ｉに基づき抽出された利用者の属性情報がfolderのアクセス条件ｘを満たした場合、folder内のdef.txtの暗号データは、その暗号データを残したまま一旦def.txtに復号された上で、folder2のアクセス条件に基づき再び暗号化されdef2.txtとしてfolder2内に複製される。なお、folder内の復号されたdef.txtは削除される。

暗号化されたファイルを削除する時（図３９）には、まず、ダウンロード等利用者２がクライアント端末装置１０から、利用者識別子ｉを含む利用者認証情報、削除するファイルのパスを含むファイル削除要求電文を共有ファイルサーバ装置１１０に送信する。そして、共有ファイルサーバ装置１１０は、情報管理サーバ装置１３０に利用者認証を受けた上で、当該ダウンロード等利用者２が指定されたパスのファイル（暗号データ３ｃ）の所有者であれば、当該ファイルを削除し、処理結果を示す応答電文をクライアント端末装置１０に送信する。

なお、ＷｅｂＤＡＶの規格に則り実現する場合の要求電文の例を図４６(a)に、それに対する成功時の応答電文の例を図４６(b)に示す。図４６の電文例は、ＤＥＬＥＴＥメソッドにより/folder/abc.txtというパス名のファイルを削除する要求を行うものであり、利用者認証情報をAuthorizationヘッダでそれぞれ指定している。そして、利用者認証情報に示された利用者とabc.txtの所有者とが一致している場合、当該ファイルabc.txtは削除される。

暗号化されたファイルのプロパティ取得時（図４０）には、まず、ダウンロード等利用者２がクライアント端末装置１０から、利用者識別子ｉを含む利用者認証情報、プロパティ取得対象のファイルのパスを含むプロパティ取得要求電文を共有ファイルサーバ装置１１０に送信する。続いて、共有ファイルサーバ装置１１０は、情報管理サーバ装置１３０に利用者識別子ｉを含む利用者属性データ取得要求電文を送信して、ダウンロード等利用者２の属性情報ａを取得するとともに、指定されたプロパティ取得対象のファイル（暗号データ３ｃ）の属性情報からアクセス条件ｘを抽出する。そして、ダウンロード等利用者２の属性情報ａがアクセス条件ｘを満たしていれば、プロパティ取得対象のファイル（暗号データ３ｃ）の属性情報をクライアント端末装置１０（ダウンロード等利用者２）に送信する。最後にクライアント端末装置１０に処理結果を示す応答電文を送信する。

なお、ＷｅｂＤＡＶの規格に則り実現する場合の要求電文の例を図４７に、それに対する成功時の応答電文の例を図４８−１、２に示す。図４７の電文例は、ＰＲＯＰＦＩＮＤメソッドにより/folder2というフォルダのプロパティを取得を要求するものであり、利用者認証情報はAuthorizationヘッダで指定している。また、後半のタグ群により要求するプロパティの具体的項目（この例では、保存日時、最終更新日時、Ｅｔａｇ値、コンテンツタイプ）を指定している。ここで、Ｅｔａｇ値とはファイルのサイズや更新日時から算出される値で、主にＷＷＷサーバ上のオリジナルのファイルとＷＷＷクライアントでキャッシュされているファイルとが一致する否かをＷＷＷクライアントにて判断するのに用いられる。そして、利用者認証情報に含まれる利用者識別子ｉに基づき抽出された利用者の属性情報が各フォルダ、ファイルのアクセス条件を満たすか否かが判定され、アクセス条件ｘを満たすフォルダ、ファイルについて、それぞれ上記指定した具体的項目からなるプロパティを含む応答電文が返信される。図４８−１、２の応答例では、/folder2の配下にはabc.txt、def2.txtの２つのファイルとsubfolderというフォルダが存在しており、/folder2およびこれら配下のファイル、フォルダのプロパティを返信している。

上記のファイル共有システム及びそれを構成する各装置をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この場合、処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。また、上記の各種処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

Claims (7)

1. 複数の利用者がネットワークを介してファイルを共有するファイル共有システムであって、
   或る利用者が任意のアクセス条件をフォルダ名として作成した、上記ファイルがアップロードされることにより上記ファイルに上記アクセス条件を設定する共有フォルダと、上記アクセス条件に対応する暗号鍵を用いて上記ファイルを暗号データ化する暗号化処理部と、暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たす場合に、上記アクセス条件に対応し上記暗号鍵と対である復号鍵を用いて上記暗号データを上記ファイルに復号する復号処理部と、を備える共有ファイルサーバ装置と、
   上記暗号鍵を生成する暗号鍵生成部と、上記復号鍵を生成する復号鍵生成部と、を備える鍵管理サーバ装置と、
   予め用意された上記複数の利用者の上記属性情報を記憶する情報管理サーバ装置と、
   を備えるファイル共有システム。
2. 請求項１に記載のファイル共有システムであって、
   上記鍵管理サーバ装置は更に、暗号データ化された上記ファイルにアクセスしようとする利用者の上記属性情報が上記アクセス条件を満たすか否かを判定する判定部を備え、
   上記復号鍵生成部は、上記判定部において上記アクセス条件を満たすと判定された場合に限り上記復号鍵を生成する
   ファイル共有システム。
3. 複数の利用者がネットワークを介してファイルを共有する際に用いる共有ファイルサーバ装置であって、
   或る利用者が任意のアクセス条件をフォルダ名として予め作成した、上記ファイルがアップロードされることにより上記ファイルに上記アクセス条件を設定する共有フォルダと、
   上記アクセス条件に対応する暗号鍵を用いて上記ファイルを暗号データ化する暗号化処理部と、
   暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たす場合に、上記アクセス条件に対応し上記暗号鍵と対である復号鍵を用いて上記暗号データを上記ファイルに復号する復号処理部と、
   を備える共有ファイルサーバ装置。
4. 複数の利用者がネットワークを介してファイルを共有するファイル共有方法であって、
   或る利用者が任意のアクセス条件をフォルダ名として作成した共有フォルダに上記ファイルがアップロードされることにより、上記ファイルに上記アクセス条件を設定するアクセス条件設定ステップと、
   上記アクセス条件に対応する暗号鍵を生成する暗号鍵生成ステップと、
   上記暗号鍵を用いて上記ファイルを暗号データ化する暗号化ステップと、
   上記アクセス条件に対応し上記暗号鍵と対である復号鍵を生成する復号鍵生成ステップと、
   暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たす場合に、上記復号鍵を用いて上記暗号データを上記ファイルに復号する復号ステップと、
   を実行するファイル共有方法。
5. 請求項４に記載のファイル共有方法であって、
   更に、暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たすか否かを判定する判定ステップを実行し、
   上記復号鍵生成ステップは、上記判定ステップにおいて上記アクセス条件を満たすと判定された場合に限り上記復号鍵を生成する
   ファイル共有方法。
6. 複数の利用者がネットワークを介してファイルを共有する際に用いる共有ファイルサーバ装置のアクセス制御方法であって、
   或る利用者が任意のアクセス条件をフォルダ名として作成した共有フォルダに上記ファイルがアップロードされることにより、上記ファイルに上記アクセス条件を設定するアクセス条件設定ステップと、
   上記アクセス条件に対応する暗号鍵を用いて上記ファイルを暗号データ化する暗号化ステップと、
   暗号データ化された上記ファイルにアクセスしようとする利用者の属性情報が上記アクセス条件を満たす場合に、上記アクセス条件に対応し上記暗号鍵と対である復号鍵を用いて上記暗号データを上記ファイルに復号する復号ステップと、
   を実行する共有ファイルサーバ装置のアクセス制御方法。
7. 請求項１若しくは２に記載のファイル共有システム、又は請求項３に記載の共有ファイルサーバ装置としてコンピュータを機能させるためのプログラム。

Images