JP2011090551A - 情報公開システムおよび情報公開方法 - Google Patents

Abstract

【課題】所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、秘匿期限の到来までは一切の参照を不可とする一方、秘匿期限の到来後は参照可能とする情報公開システムを提供する。
【解決手段】複数の公開鍵を利用者３００に提供する利用者管理部１２０と、秘匿期限の情報と合わせて各公開鍵を保管する鍵群管理部１１０とを有する運営者１００のコンピュータシステムと、秘密鍵を秘匿期限が到来するまで保管する鍵管理部２２０を有する複数のキーホルダ２００の端末とを有し、各秘密鍵はそれぞれ異なるキーホルダ２００に分散して保管され、鍵群管理部１１０において各公開鍵に対応する秘密鍵を保管するキーホルダ２００の情報を管理するとともに、秘匿期限の到来後に各キーホルダ２００から秘密鍵の提供を受け、全ての秘密鍵を取得した場合に、暗号化された電子データ３２０を参照する参照者４００に公開する。
【選択図】図１

Description

本発明は、電子データの管理技術に関し、特に、電子データの秘匿と公開を制御する情報公開システムおよび情報公開方法に適用して有効な技術に関するものである。

国や地方公共団体、企業など、複数の運営者による意思決定がなされ、その意思決定の内容が多数の受益者に影響を与えるような組織において、その意思決定がなされた過程や根拠についての情報が適切に保存され公開されることにより、意思決定の公平性や正当性を正しく評価できるようにすることは多くの受益者にとっての重要な関心事である。

しかし、組織が意思決定を行った時点においてこれらの情報を公開することは、意思決定を行った組織のその時点での受益を大きく損なう可能性があり、これらの情報を例えば一定期間秘匿するということもまた、組織の運営上必要な施策であることは疑いない。

国などのレベルにおいては、例えば、国立公文書館（日本）や国立公文書記録管理局（米国）などがこのような役割を行っており、管理する公文書について、機密指定がされている間は秘匿するとともに、機密期間が経過したり機密指定が解除されたりした公文書については一般に閲覧可能としている。

一方、近年では上記のような情報を含む文書は電子的に作成・保存される場合も多い。このような電子的な文書を保持して閲覧に供する技術としては種々のものが提案されており、例えば、特開２００４−１５１１６３号公報（特許文献１）には、文書の閲覧許可者の指定を含む機密ポリシーを管理サーバで管理し、機密文書を作成する作成側のクライアントが管理サーバから機密ポリシーを取得し、取得した機密ポリシーに基づいて文書の暗号化やイメージの貼付等を含む機密文書化処理を実行し、機密化された文書に関する情報を管理サーバで管理して、管理サーバが閲覧側のクライアントにおける文書の閲覧の可否や印刷の可否を制御することによって、文書をその機密度に応じて容易に、かつ、適切に管理することができる文書管理システムが記載されている。

特開２００４−１５１１６３号公報

組織において意思決定がなされた過程や根拠についての情報など、所定の期間秘匿する必要があるがその後は公開すべき情報について、上述したように、国などのレベルではその秘匿と公開を制御して管理するサービスが提供されているが、企業・法人や個人などのレベルに対しては、同様の役割を安価に行うようなサービスは提供されていない。

また、電子的な文書（データ）の管理という観点からも、従来の文書管理の技術では、ユーザの権限や機密レベル等による閲覧可否の制御と秘匿管理は行われているが、所定の秘匿期限までは全てのユーザからの一切の閲覧を不可とし、秘匿期限の到来後は公開可能とするような情報の公開手段については考慮されていない。

そこで本発明の目的は、所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、秘匿期限の到来までは一切の参照を不可とする一方、秘匿期限の到来後は参照可能とする情報公開システムおよび情報公開方法を提供することにある。本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

本発明の代表的な実施の形態による情報公開システムは、所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、前記秘匿期限の到来までは前記電子データについての一切の参照を不可とする一方、前記秘匿期限の到来後は他の参照者による参照を可能とする情報公開システムであって、以下の特徴を有するものである。

すなわち、情報公開システムは、前記電子データを暗号化するための複数の公開鍵を前記電子データを有する利用者に提供する利用者管理部と、前記秘匿期限の情報と合わせて前記各公開鍵を保管する鍵群管理部とを有する運営者のコンピュータシステムと、前記各公開鍵に対応する秘密鍵の内の１つを前記秘匿期限が到来するまで保管する鍵管理部を有する複数のキーホルダの端末とを有する。

さらに、前記各公開鍵に対応する全ての前記各秘密鍵は、それぞれ異なる前記キーホルダの端末に分散して保管され、前記運営者のコンピュータシステムは、前記鍵群管理部において、前記各公開鍵に対応する前記秘密鍵を保管する前記キーホルダの情報を管理するとともに、前記秘匿期限の到来後に、前記各キーホルダの端末から前記秘密鍵の提供を受け、前記各公開鍵に対応する全ての前記秘密鍵を取得した場合に、取得した全ての前記各秘密鍵を、前記各公開鍵の全てを利用して暗号化された前記電子データを参照する前記参照者に公開することを特徴とするものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明の代表的な実施の形態によれば、所定の秘匿期限の到来までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、複数の第三者によって生成された公開鍵からなる公開鍵群を提供することで、利用者が当該公開鍵群を利用して電子データを暗号化して公開可能とするとともに、秘匿期限の到来までは公開鍵に対応する秘密鍵が第三者によってそれぞれ秘密裏に分散管理されるようにするため、秘匿期限の到来までは当該電子データの参照を不可とする一方、秘匿期限の到来後は秘密鍵群を公開することによって参照可能とすることができる。

本発明の実施の形態１である情報公開システムの構成例の概要を示した図である。 本発明の実施の形態１における利用者が電子データを秘匿期限付きで公開する際の処理の流れの例について概要を説明する図である。 本発明の実施の形態１における秘匿期限の到来により電子データを公開する際の処理の流れの例について概要を説明する図である。 本発明の実施の形態２におけるキーホルダの端末での秘密鍵の保管の例について概要を説明する図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。

本発明の一実施の形態である情報公開システムは、組織において意思決定がなされた過程や根拠についての情報など、所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、複数の第三者によって生成された公開鍵からなる公開鍵群を提供することで、利用者が当該公開鍵群を利用して電子データを暗号化して公開可能とするとともに、秘匿期限の到来までは公開鍵に対応する秘密鍵が第三者によってそれぞれ秘密裡に分散管理されるようにする。これにより、秘匿期限の到来までは全てのユーザによる当該電子データの参照を不可とする一方、秘匿期限の到来後は秘密鍵群を公開することで当該電子データの復号を可能として参照可能とするものである。

＜実施の形態１＞
［システム構成］
図１は、本発明の実施の形態１である情報公開システムの構成例の概要を示した図である。図１において、情報公開システム１は、情報公開システム１の運営主体である運営者１００のコンピュータシステムと、利用者３００が有する電子データ３２０を暗号化および復号するための公開鍵と秘密鍵のペアを生成するキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の各端末からなり、これらと、情報公開システム１を利用して自らが保有する電子データ３２０を所定の秘匿期限の到来後に公開する利用者３００の端末、および公開された電子データ３２０を参照する参照者４００の端末がインターネット等のネットワーク５００に接続する構成となっている。

運営者１００のコンピュータシステムは、例えば、ソフトウェアプログラムによって実装される鍵群管理部１１０、利用者管理部１２０、公開部１３０の各部を有し、利用者３００が有する電子データ３２０を暗号化するための複数の公開鍵からなる公開鍵群を保持して管理する。

鍵群管理部１１０は、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末によって生成された公開鍵と秘密鍵のペアのうち公開鍵をそれぞれ取得し、鍵群情報１１１として保管する機能を有する。保持する一連の公開鍵（公開鍵群）は、後述するように、利用者３００の端末に提供され、利用者３００が保有する電子データ３２０を暗号化して秘匿するために用いられる。そのため、当該公開鍵群によって電子データ３２０を暗号化して秘匿する際の秘匿期限の情報も合わせて鍵群情報１１１に保管する。

また、公開鍵群内の各公開鍵を生成したキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、それぞれ対応する秘密鍵を保有しているため、各公開鍵を生成したキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の情報、すなわち、対応する秘密鍵を保管するキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の情報も鍵群情報１１１に保管する。

なお、公開鍵群は、暗号化する電子データ３２０毎（利用者３００毎）や、秘匿期限毎（例えば「５年後公開用」「１０年後公開用」など）に生成された複数のものを鍵群情報１１１に保管してもよい。また、鍵群管理部１１０は、鍵群情報１１１で管理する各公開鍵群についてそれぞれの秘匿期限の到来を検知して、運営者１００や対象のキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）に通知するような期限管理の機能を有していてもよい。

利用者管理部１２０は、利用者３００からのサービスの利用依頼を受け付けて、鍵群管理部１１０の鍵群情報１１１に保管する公開鍵群を利用者３００の端末に提供するとともに、利用者３００に対して提供した公開鍵群を識別する情報を利用者情報１２１として保持する機能を有する。利用者情報１２１や鍵群情報１１１を参照することにより、運営者１００は、利用者３００が電子データ３２０に対して指定した秘匿期限を把握することができる。

公開部１３０は、後述するように、秘匿期限の到来後、鍵群管理部１１０がキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末からそれぞれ取得した一連の秘密鍵（秘密鍵群）を、暗号化された電子データ３２０を参照する参照者４００に対して公開する機能を有する。公開の手段としては、例えば、ネットワーク５００を介して自由に取得可能なようにしてもよいし、参照者４００からの申請を受け付けて、料金の支払いや認証などの所定の条件を満たした場合に提供するようにしてもよい。

キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、例えば、ＰＣ等により構成され、鍵生成部２１０および鍵管理部２２０を有する。鍵生成部２１０は、ソフトウェアプログラムによって実装され、運営者１００からの要求等に応じて公開鍵と秘密鍵のペアを生成する機能を有する。鍵生成部２１０には、一般に提供されている暗号鍵生成ソフトウェアなどを利用することができる。

鍵管理部２２０は、鍵生成部２１０によって生成した秘密鍵を秘匿期限の到来まで秘密裏に保管する機能を有する。これにより、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末によって各秘密鍵が分散管理されることになる。なお、公開鍵については運営者１００のコンピュータシステムに提供することにより、鍵群管理部１１０の鍵群情報１１１にて保管される。鍵管理部２２０には、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末が有する記憶装置や、ＵＳＢ（Universal Serial Bus）メモリやＩＣカードなどの外部の記憶装置を用いることができる。これらの記憶装置は、秘密鍵を秘密裏に保管することができるよう、アクセス制御などのセキュリティ機能を有していることが望ましい。

また、鍵管理部２２０は、例えばソフトウェアプログラムにより、運営者１００から指定された秘匿期限について、その到来を検知して通知するような期限管理の機能を有していてもよい。キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、秘匿期限が到来した後、それぞれ鍵管理部２２０にて管理している秘密鍵を運営者１００のコンピュータシステムに提供する。

利用者３００の端末は、例えば、ＰＣ等により構成され、ソフトウェアプログラムによって実装される暗号化部３１０を有する。暗号化部３１０は、運営者１００のコンピュータシステムから提供された公開鍵群を用いて、所定の秘匿期限の到来後に公開を希望する電子データ３２０を暗号化する機能を有する。暗号化部３１０には、一般に提供されている暗号化ソフトウェアなどを利用することができる。暗号化した電子データ３２０は、その後、利用者３００がネットワーク５００などを介して任意の手段で自由に（暗号化した状態で）公開することができる。なお、暗号化した後は運営者１００のコンピュータシステムから提供された公開鍵群を保持する必要はない。

参照者４００の端末は、例えば、ＰＣ等により構成され、ソフトウェアプログラムによって実装される復号部４１０を有する。復号部４１０は、運営者１００のコンピュータシステムがキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末から取得して公開する一連の秘密鍵（秘密鍵群）を運営者１００のコンピュータシステムから取得し、これを用いて、暗号化された状態で公開されている電子データ３２０を復号する。これにより、参照者４００は、秘匿期限の到来前は参照不可能であった電子データ３２０の内容を参照することができる。復号部４１０には、一般に提供されている暗号化ソフトウェアなどを利用することができる。

［処理の流れ（秘匿期限付き公開）］
図２は、本実施の形態における利用者が電子データを秘匿期限付きで公開する際の処理の流れの例について概要を説明する図である。まず、電子データ３２０を所定の秘匿期限（例えば１０年）の到来後に公開することを希望する利用者１（３００＿１）は、運営者１００のコンピュータシステムに対して秘匿期限を指定してサービスの利用を依頼する。すなわち、電子データ３２０を秘匿期限が到来するまで暗号化しておくための公開鍵群の提供を依頼する。

なお依頼の手段は特に限定しないが、例えば、利用者１（３００＿１）の端末上の図示しないＷｅｂブラウザによって、運営者１００のコンピュータシステムが図示しないＷｅｂサーバプログラムによって提供するＷｅｂサイトにアクセスして依頼を行ってもよいし、電子メールや他の伝達手段等を用いてもよい。依頼の際に利用者１（３００＿１）が運営者１００に所定の利用料金を支払うなどしてもよい。

利用者１（３００＿１）からの依頼を受けた運営者１００は、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末に対して秘匿期限を指定して鍵の生成と提供を要求する。なお要求の手段についても特に限定しないが、例えば、運営者１００のコンピュータシステムがＷｅｂサイトを利用して鍵の生成と提供を行うキーホルダを募集し、図示しないＷｅｂブラウザによって当該Ｗｅｂサイトにアクセスして応募してきたユーザをキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）として要求してもよいし、このような募集を予め行っておき、事前に応募して登録されているユーザの中からキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）を選択して要求してもよい。キーホルダの数ｎは大きいほど秘匿性は高まるが、運用者１００における管理負荷も高くなるため、サービスの提供条件等に応じて適宜変更する。

運営者１００からの要求を受けたキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、鍵生成部２１０により公開鍵Ｐ＿１〜ｎと秘密鍵Ｓ＿１〜ｎのペアをそれぞれ生成する。生成した鍵のうち、秘密鍵Ｓ＿１〜ｎはそれぞれ鍵管理部２２０に保管する一方、公開鍵Ｐ＿１〜ｎは運営者１００のコンピュータシステムに提供する。公開鍵Ｐ＿１〜ｎの提供手段についても特に限定せず、例えば、運営者１００のコンピュータシステムが提供するＷｅｂサイトにＷｅｂブラウザを利用してアクセスしてアップロードしてもよいし、電子メール等によって送付してもよい。

なお、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）は、これ以降、鍵管理部２２０に保持する秘密鍵Ｓ＿１〜ｎについて、指定された秘匿期限が到来するまで滅失を回避する保管義務と、秘匿期限が到来するまで他者に開示しない（他者への漏洩を防ぐ）守秘義務とが課せられるものとする。これを実現するためには、例えば、秘匿期限の到来まで上記義務を果たした場合には運営者１００が報酬を支払う等のインセンティブを与える一方、滅失や漏洩等が発生した場合はペナルティを課すなどの仕組みが考えられる。

鍵管理部２２０での秘密鍵Ｓ＿１〜ｎの保管については、上述したように、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）におけるＰＣ等の端末内の記憶装置に限らず、例えば、ＵＳＢメモリやＩＣカード等のセキュリティ機能を有する外部の記憶装置を用いて当該記憶装置を秘密保管する形でもよい。なお、公開鍵Ｐ＿１〜ｎについては特に保管に係る上記のような義務は課せられず、運営者１００のコンピュータシステムに提供した後は鍵管理部２２０で管理する必要もない。

キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末から公開鍵Ｐ＿１〜ｎを取得した運営者１００のコンピュータシステムは、公開鍵Ｐ＿１〜ｎを公開鍵群（図２の例では「鍵群Ａ」）として鍵群情報１１１に保管するとともに、全ての公開鍵Ｐ＿１〜ｎを取得した場合は、鍵群Ａを利用者１（３００＿１）に提供する。このとき、利用者管理部１２０は、利用者１（３００＿１）に提供した公開鍵群（「鍵群Ａ」）の情報を利用者情報１２１に記録する。

なお、利用者１（３００＿１）に提供する公開鍵群は、利用者１（３００＿１）に対して固有に生成されたものでもよいし、秘匿期限毎に鍵群情報１１１に保管している公開鍵群（例えば「５年後公開用」「１０年後公開用」など）の中で秘匿期限が合致するものを選択したものであってもよい。また、利用者１（３００＿１）への公開鍵群の提供手段についても特に限定せず、例えば、運営者１００のコンピュータシステムが提供するＷｅｂサイトに利用者１（３００＿１）がＷｅｂブラウザを利用してアクセスしてダウンロードしてもよいし、電子メール等によって送付してもよい。

鍵群Ａ（公開鍵Ｐ＿１〜ｎ）の提供を受けた利用者１（３００＿１）は、暗号化部３１０により鍵群Ａ（公開鍵Ｐ＿１〜ｎ）を全て用いて公開の対象の電子データ３２０を暗号化する。暗号化に際しては、例えば、鍵群Ａ内の公開鍵Ｐ＿１〜ｎを１つずつ所定の順に用いて暗号化を繰り返すことによって、公開鍵Ｐ＿１〜ｎの全てを用いて暗号化する。なお、電子データ３２０を暗号化した後は、鍵群Ａ（公開鍵Ｐ＿１〜ｎ）については特に不要となるため、利用者１（３００＿１）がこれを保管する必要はない。

また、暗号化した電子データ３２０は、ネットワーク５００等を介して任意の手段で自由に公開することができ、参照者４００がこれを取得することもできる。ただし、現時点では電子データ３２０は暗号化されており、復号するための秘密鍵も提供されていないため、参照者４００が内容を参照することはできない。これにより、利用者１（３００＿１）は、電子データ３２０の秘匿性を維持した状態で特定／不特定の参照者４００に公開して配布することができる。

また、このように秘匿期限が到来する前に利用者１（３００＿１）が暗号化された電子データ３２０を事前に公開して参照者４００に配布することが可能となるため、利用者１（３００＿１）が暗号化された電子データ３２０を秘匿期限の到来まで保管する必要・義務がなく、利用者１（３００＿１）による電子データ３２０の紛失のリスクを回避できるとともに、利用者１（３００＿１）による電子データ３２０の改竄を防止することも可能となる。

本実施の形態では、上述したように、利用者１（３００＿１）の暗号化部３１０において電子データ３２０を暗号化する際に、公開鍵Ｐ＿１〜ｎを１つずつ所定の順に用いて暗号化を繰り返すことによって、公開鍵Ｐ＿１〜ｎの全てを用いて暗号化する。これにより、暗号化された電子データ３２０を復号するためには、公開鍵Ｐ＿１〜ｎにそれぞれ対応する全ての秘密鍵Ｓ＿１〜ｎを１つずつ逆順に用いて復号することが必要となる。

従って、例えば、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末が秘密保管する秘密鍵Ｓ＿１〜ｎの一部が漏洩した場合であっても、全てが漏洩しない限り暗号化された電子データ３２０を復号することはできず、秘匿性を向上させることができる。

また、本実施の形態では、運営者１００のコンピュータシステムは公開鍵Ｐ＿１〜ｎおよび秘密鍵Ｓ＿１〜ｎを生成せず、複数のキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末によって別個に生成された公開鍵Ｐ＿１〜ｎのみを取得して保管し、また、各キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、自身が生成した秘密鍵Ｓ＿１〜ｎをそれぞれ個別に秘密保管する構成としている。これにより、運営者１００のコンピュータシステムについても全ての秘密鍵Ｓ＿１〜ｎを保持するということがないため、運営者１００を含む全てのユーザによる電子データ３２０の復号および参照を不可として秘匿性を向上させることができる。

なお、運営者１００に信頼がおける場合、もしくは運営者１００については暗号化された電子データ３２０の内容を参照できても構わないような場合には、例えば、運営者１００のコンピュータシステムが鍵生成部を有し、公開鍵Ｐ＿１〜ｎおよび秘密鍵Ｓ＿１〜ｎのペアを生成して、秘密鍵Ｓ＿１〜ｎをそれぞれ異なるキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末に１つずつ配布した後、生成した秘密鍵Ｓ＿１〜ｎを削除するとともに、公開鍵Ｐ＿１〜ｎを鍵群情報１１１に保管する構成とすることができる。

また同様に、運営者１００のコンピュータシステムが公開鍵Ｐ＿１と秘密鍵Ｓ＿１のペアを１つ生成し、生成した秘密鍵Ｓ＿１をｎ個に分割して、分割した各片をそれぞれ異なるキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末に１つずつ配布した後、生成した秘密鍵Ｓ＿１を削除するとともに、公開鍵Ｐ＿１を鍵群情報１１１に保管する構成とすることもできる（秘匿期限の到来時には、キーホルダ１〜ｎ（２００＿１〜ｎ）の端末から秘密鍵Ｓ＿１の各片の全てを取得し、取得した各片から秘密鍵Ｓ＿１を復元する）。これらの場合、一時的に運営者１００のコンピュータシステムが全ての秘密鍵Ｓ＿１〜ｎを保持することになるが、一方でキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は鍵の生成が不要となり、単純に鍵管理部２２０のみを有して秘密鍵Ｓ＿１〜ｎの保管のみを行えばよいことになる。

［処理の流れ（秘匿期限到来による公開）］
図３は、本実施の形態における秘匿期限の到来により電子データを公開する際の処理の流れの例について概要を説明する図である。まず、秘匿期限が到来すると、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末は、それぞれ鍵管理部２２０にて秘密保管していた秘密鍵Ｓ＿１〜ｎを運営者１００のコンピュータシステムに提供する。

なお、秘匿期限の到来の検知については、運営者１００やキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）が人手により行ってもよいし、上述したように、運営者１００のコンピュータシステムの鍵群管理部１１０や、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末の鍵管理部２２０に期限管理の機能を有してこれにより検知してもよい。また、秘密鍵Ｓ＿１〜ｎの提供に際しては、運営者１００からキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）に対して提供の要求を行ってもよいし、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）が主体的に提供を行ってもよい。

運営者１００のコンピュータシステムの鍵群管理部１１０は、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末から秘密鍵Ｓ＿１〜ｎの提供を受ける際に、その秘密鍵Ｓ＿１〜ｎが真正なものであるか否かを確認し、真正であることが確認できた場合に、例えば公開鍵Ｐ＿１〜ｎと関連付けて秘密鍵群（図３の例では「鍵群Ａ’」）として鍵群情報１１１に保持する。提供された秘密鍵Ｓ＿１〜ｎが真正なものであるかの確認は、例えば、鍵群情報１１１に保管されている対応する公開鍵Ｐ＿１〜ｎで任意のデータを暗号化し、これを提供された秘密鍵Ｓ＿１〜ｎで正しく復号できるか否かによって判定することができる。

なお、提供された秘密鍵Ｓ＿１〜ｎが真正なものである場合は、運営者１００はキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）に所定の報酬を支払うなどしてもよい。また、例えば、運営者１００のコンピュータシステムが秘匿期限の到来前にキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）以外の三者からいずれかの秘密鍵Ｓ＿１〜ｎの提供を受けた場合、その秘密鍵Ｓ＿１〜ｎが真正であることが確認できた時点で、これを秘密保管しているキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）についての報酬の受領資格を剥奪するとともに、当該第三者に報酬を支払うようにしてもよい。これらにより、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）に対する秘密鍵Ｓ＿１〜ｎの秘密保管のインセンティブを高めることができる。

キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末から公開鍵Ｐ＿１〜ｎに対応する全ての秘密鍵Ｓ＿１〜ｎを取得すると、運営者１００のコンピュータシステムの公開部１３０は、鍵群Ａ’（秘密鍵Ｓ＿１〜ｎ）をネットワーク５００等を介して参照者４００に公開する。公開の手段については特に限定せず、例えば、運営者１００のコンピュータシステムが提供するＷｅｂサイトに参照者４００が端末のＷｅｂブラウザを利用してアクセスして自由にダウンロードできるようにしてもよいし、参照者４００からの申請を受け付けて許可する場合にのみダウンロードできるようにしたり、電子メール等によって送付したりしてもよい。

公開された鍵群Ａ’（秘密鍵Ｓ＿１〜ｎ）を取得した参照者４００の端末は、復号部４１０により鍵群Ａ’（秘密鍵Ｓ＿１〜ｎ）を用いて暗号化された電子データ３２０を復号する。復号に際しては、上述したように、秘密鍵Ｓ＿１〜ｎを１つずつ所定の順（暗号化時の逆順）に用いて復号を繰り返すことによって、秘密鍵Ｓ＿１〜ｎの全てを用いて復号する。これにより、参照者４００は元の電子データ３２０を得て内容を参照することができる。

以上に説明したように、本実施の形態の情報公開システム１によれば、所定の秘匿期限の到来までは秘匿する必要があるがその後は公開すべき情報を有する電子データ３２０について、運営者１００のコンピュータシステムが、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末によって生成された公開鍵Ｐ＿１〜ｎを利用者３００の端末に提供することで、利用者３００の端末が公開鍵Ｐ＿１〜ｎを利用して電子データ３２０を暗号化して公開可能とするとともに、秘匿期限の到来までは公開鍵Ｐ＿１〜ｎに対応する秘密鍵Ｓ＿１〜ｎがキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末によってそれぞれ秘密管理されるようにする。

これにより、秘匿期限の到来までは全てのユーザによる電子データ３２０の参照を不可とする一方、秘匿期限の到来後は、公開された秘密鍵Ｓ＿１〜ｎを取得した参照者４００の端末による参照を可能とすることができる。

また、秘匿期限が到来する前に利用者３００が暗号化された電子データ３２０を事前に公開して参照者４００に配布することが可能となるため、利用者３００が暗号化された電子データ３２０を秘匿期限の到来まで保管する必要・義務がなく、利用者３００による電子データ３２０の紛失のリスクを回避できるとともに、利用者３００による電子データ３２０の改竄を防止することも可能となる。

＜実施の形態２＞
本発明の実施の形態２である情報公開システムは、上述した実施の形態１の情報公開システム１において、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末がそれぞれ秘密保管する秘密鍵Ｓ＿１〜ｎのいずれかが棄損・滅失等することにより、秘匿期限の到来時に全ての秘密鍵Ｓ＿１〜ｎが揃わなくなるリスクを考慮して、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末がそれぞれ生成した秘密鍵Ｓ＿１〜ｎを、複数のキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末において重複して保管するものである。情報公開システム１の構成やその他の部分の処理内容については実施の形態１と同様であるため説明は省略する。

図４は、本実施の形態におけるキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末での秘密鍵Ｓ＿１〜ｎの保管の例について概要を説明する図である。図４の例では、キーホルダ１〜ｎ（２００＿１〜２００＿ｎ）の端末のうち、キーホルダｍ（２００＿ｍ）およびこれと異なる他の２つのキーホルダｍ−１（２００＿ｍ−１）、キーホルダｍ＋１（２００＿ｍ＋１）の端末について示している。

図４において、キーホルダｍ（２００＿ｍ）の端末では、鍵管理部２２０において自身が生成した秘密鍵Ｓ＿ｍ（および公開鍵Ｐ＿ｍ）を管理している。ここで、本実施の形態では、秘密鍵Ｓ＿ｍの棄損・滅失に備え、例えば運営者１００のコンピュータシステムの鍵群管理部１１０からの指示により、これを他のキーホルダｍ＋１（２００＿ｍ＋１）の端末に重複して保管する。このとき、秘密鍵Ｓ＿ｍは、本来キーホルダｍ（２００＿ｍ）の端末が秘密管理する必要があるため、そのままではキーホルダｍ＋１（２００＿ｍ＋１）の端末に重複して保管することはできない。そこで、キーホルダｍ−１（２００＿ｍ−１）の端末から公開鍵Ｐ＿ｍ−１を取得し、この公開鍵Ｐ＿ｍ−１によって自身の秘密鍵Ｓ＿ｍを暗号化した上で、キーホルダｍ＋１（２００＿ｍ＋１）の端末に重複して保管する。

これにより、キーホルダｍ（２００＿ｍ）の端末が秘密鍵Ｓ＿ｍを棄損・滅失した場合であっても、キーホルダｍ＋１（２００＿ｍ＋１）の端末に保管されている暗号化された秘密鍵Ｓ＿ｍをキーホルダｍ−１（２００＿ｍ−１）の端末に渡し、キーホルダｍ−１（２００＿ｍ−１）の端末において秘密鍵Ｓ＿ｍ−１を利用して復号することによって、秘密鍵Ｓ＿ｍを得ることができる。他のキーホルダｍ−１（２００＿ｍ−１）やキーホルダｍ＋１（２００＿ｍ＋１）の端末についても同様の手法で秘密鍵Ｓ＿ｍ−１、ｍ＋１を重複して保管することができる。

なお、キーホルダｍ（２００＿ｍ）に対してキーホルダｍ−１（２００＿ｍ−１）やキーホルダｍ＋１（２００＿ｍ＋１）を選定する手段は特に限定しないが、例えば、ユーザＩＤやＩＰアドレスなどのキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）に固有の情報を用いてキーホルダ１〜ｎ（２００＿１〜２００＿ｎ）を順序付け、キーホルダｍ（２００＿ｍ）の前後の順序のものをそれぞれキーホルダｍ−１（２００＿ｍ−１）およびキーホルダｍ＋１（２００＿ｍ＋１）とすることができる。

また、本実施の形態では、キーホルダｍ（２００＿ｍ）の端末が暗号化した秘密鍵Ｓ＿ｍをキーホルダｍ＋１（２００＿ｍ＋１）の端末にのみ重複して保管するようにしているが、重複して保管する先は複数であってもよい。また、本実施の形態においては、キーホルダ１〜ｎ（２００＿１〜ｎ）の端末は、それぞれ鍵管理部２２０において秘密鍵Ｓ＿１〜ｎだけではなく公開鍵Ｐ＿１〜ｎについても保管しておく必要がある（秘密保管である必要はない）。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

例えば、上述した実施の形態１、２では、運営者１００のコンピュータシステムが秘密鍵Ｓ＿１〜ｎを公開する条件、すなわち電子データ３２０の内容を参照可能とする条件を、秘匿期限の到来としているが、例えば利用者３００からの明示の指示など、時間的な条件以外の他の条件をトリガとして秘密鍵Ｓ＿１〜ｎを公開するようにしてもよい。

本発明は、電子データの秘匿と公開を制御する情報公開システムおよび情報公開方法に利用可能である。

１…情報公開システム、
１００…運営者、１１０…鍵群管理部、１１１…鍵群情報、１２０…利用者管理部、１２１…利用者情報、１３０…公開部、
２００＿１〜ｎ、２００＿ｍ−１〜ｍ＋１…キーホルダ、２１０…鍵生成部、２２０…鍵管理部、
３００、３００＿１…利用者、３１０…暗号化部、３２０…電子データ、
４００…参照者、４１０…復号部、
５００…ネットワーク。

Claims (6)

1. 所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、前記秘匿期限の到来までは前記電子データについての一切の参照を不可とする一方、前記秘匿期限の到来後は他の参照者による参照を可能とする情報公開システムであって、
   前記電子データを暗号化するための複数の公開鍵を前記電子データを有する利用者に提供する利用者管理部と、前記秘匿期限の情報と合わせて前記各公開鍵を保管する鍵群管理部とを有する運営者のコンピュータシステムと、
   前記各公開鍵に対応する秘密鍵の内の１つを前記秘匿期限が到来するまで保管する鍵管理部を有する複数のキーホルダの端末とを有し、
   前記各公開鍵に対応する全ての前記各秘密鍵は、それぞれ異なる前記キーホルダの端末に分散して保管され、
   前記運営者のコンピュータシステムは、前記鍵群管理部において、前記各公開鍵に対応する前記秘密鍵を保管する前記キーホルダの情報を管理するとともに、前記秘匿期限の到来後に、前記各キーホルダの端末から前記秘密鍵の提供を受け、前記各公開鍵に対応する全ての前記秘密鍵を取得した場合に、取得した全ての前記各秘密鍵を、前記各公開鍵の全てを利用して暗号化された前記電子データを参照する前記参照者に公開することを特徴とする情報公開システム。
2. 請求項１に記載の情報公開システムにおいて、
   前記キーホルダの端末は、さらに前記公開鍵と前記秘密鍵のペアを生成する鍵生成部を有し、生成した前記秘密鍵を前記鍵管理部に保管するとともに、生成した前記公開鍵を前記運営者のコンピュータシステムに提供し、
   前記運営者のコンピュータシステムは、前記キーホルダの端末からそれぞれ取得した前記公開鍵を前記鍵群管理部にて保管することを特徴とする情報公開システム。
3. 請求項２に記載の情報公開システムにおいて、
   前記秘密鍵を保持する第１のキーホルダの端末は、自身が保管する前記秘密鍵を、他の第２のキーホルダの端末の前記鍵生成部が生成した前記公開鍵で暗号化し、暗号化した前記秘密鍵を、他の１つ以上の第３のキーホルダの端末の前記鍵管理部にて保管することを特徴とする情報公開システム。
4. 請求項１に記載の情報公開システムにおいて、
   前記運営者のコンピュータシステムは、さらに前記公開鍵と前記秘密鍵のペアを生成する鍵生成部を有し、生成した複数の前記秘密鍵をそれぞれ異なる前記キーホルダの端末に配布した後削除するとともに、生成した複数の前記公開鍵を前記鍵群管理部にて保管することを特徴とする情報公開システム。
5. 所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、前記秘匿期限の到来までは前記電子データについての一切の参照を不可とする一方、前記秘匿期限の到来後は他の参照者による参照を可能とする情報公開システムであって、
   前記電子データを暗号化するための公開鍵と対応する秘密鍵のペアを生成する鍵生成部と、前記公開鍵を前記電子データを有する利用者に提供する利用者管理部と、前記秘匿期限の情報と合わせて前記公開鍵を保管する鍵管理部とを有する運営者のコンピュータシステムと、
   前記秘密鍵を分割した各片の内の１つを前記秘匿期限が到来するまで保管する鍵管理部を有する複数のキーホルダの端末とを有し、
   前記運営者のコンピュータシステムは、前記鍵生成部にて生成した前記秘密鍵を複数に分割して、分割した前記秘密鍵の各片をそれぞれ異なる前記キーホルダの端末に配布した後削除し、前記鍵管理部において、前記秘密鍵の各片を保管する前記キーホルダの情報を管理するとともに、前記秘匿期限の到来後に、前記各キーホルダの端末から前記秘密鍵の各片の提供を受け、前記秘密鍵の各片を全て取得した場合に、取得した前記秘密鍵の各片から復元した前記秘密鍵を、前記公開鍵を利用して暗号化された前記電子データを参照する前記参照者に公開することを特徴とする情報公開システム。
6. 所定の秘匿期限までは秘匿する必要があるがその後は公開すべき情報を有する電子データについて、前記秘匿期限の到来までは前記電子データについての一切の参照を不可とする一方、前記秘匿期限の到来後は他の参照者による参照を可能とする情報公開方法であって、
   前記電子データを有する利用者からの前記秘匿期限の情報を含む依頼を受けた運営者のコンピュータシステムからの要求に応じて、複数のキーホルダの端末が、公開鍵と秘密鍵のペアを生成し、生成した前記公開鍵を前記運営者のコンピュータシステムに提供するとともに、生成した前記秘密鍵を前記秘匿期限の到来まで保管するステップと、
   前記運営者のコンピュータシステムが、前記キーホルダの端末からそれぞれ取得した前記公開鍵を前記公開鍵を生成した前記キーホルダの情報と合わせて保管するとともに、全ての前記キーホルダの端末から前記公開鍵を取得した場合は、前記各公開鍵を前記利用者に提供するステップと、
   前記運営者のコンピュータシステムから前記各公開鍵を取得した前記利用者の端末が、前記電子データを前記各公開鍵の全てを利用して暗号化して公開するステップと、
   前記秘匿期限の到来後に、前記運営者のコンピュータシステムが、前記各キーホルダの端末から前記秘密鍵の提供を受け、全ての前記秘密鍵を取得した場合に、取得した全ての前記各秘密鍵を、暗号化された前記電子データを参照する前記参照者に公開するステップとを有することを特徴とする情報公開方法。

Images