JP2012147240A - プライバシを保障した機器間接続方法 - Google Patents

Abstract

【課題】通信相手となる端末を指定する際に、当該端末の登録情報を秘匿しつつ、開示管理装置上の登録情報を元にした確実な端末識別情報の指定を可能とする。
【解決手段】インターネットなどの第１通信ネットワークにＰＣ−ＡとＰＣ−Ｂが接続されており、それぞれが第１通信ネットワーク上での通信機能を備え、ＰＣ−Ｂには例えばプリンタなどの端末装置が接続されているとき、ＰＣ−Ａのパーソナルネットへの上記端末装置の取り込みを安全に行うものである。このためには、例えば携帯電話ネットワークなどの第３者に認証された第２通信ネットワーク上の通信装置を使用する。また、ＰＣ−Ａの使用者にＰＣ−Ｂの使用者情報の開示がないようにするために、ＰＣ−ＡとＰＣ−Ｂとの仲介として第１通信ネットワークに接続された管理装置を使用して、上記端末装置に関する情報だけで、上記の取り込みを行う。
【選択図】図４

Description

この発明は、ネットワーク上の任意のデバイス同士で通信を行うプラットフォームを利用する際に、デバイスのオーナー情報を参照する手法に関し、特に、プライバシを保障した機器間接続方法に関している。

ネットワーク環境下では、コンピューター（ＰＣ）の各ユーザは、そのコンピューターに属する周辺装置として、そのネットワークから自由に選択して登録し、使用することができる。例えば、ユーザＡは、ユーザＢとＣがそれぞれ所有しネットワークに接続されたプリンタとスキャナを、ユーザＡが使用するＰＣに常時接続されたプリンタやスキャナと同じように使用することができる。このような構成は、パーソナルネットワークのひとつの形態である。

しかし、この場合、ユーザＡが、自身の所有している複数の機器（携帯電話、ＰＣ、情報家電など）を接続しようとする場合でも、指定した機器が自分が接続しようとしたものでなく、他人のＰＣ下にある上記の機器を自分のＰＣ下にあるものと錯誤して指定してしまう操作ミスが発生する場合がある。また、操作ミス以外に、第３者がＰＣ名を詐称するなりすまし行為や、意図的に誤った機器を接続するように誘導するなどのフィッシング行為等を行うことによって、ユーザＡが意図したものでない機器を指定しまう、などの問題が発生する場合がある。このような誤接続により、例えば文書ファイルや写真データが漏洩する、という問題が起こる。

ここで、個人情報の漏洩防止の観点からは、任意の端末およびそれに付随した周辺装置等の登録情報を、他のユーザーから参照可能な状態となるネットワーク構成は避ける必要がある。しかし、上記のようにパーソナルネットワークを構成するためには、ユーザＡは、接続しようとする当該端末を信頼できるものと判断することができる程度に正確な上記周辺装置の端末識別情報を入手する必要があり、上記の個人情報の漏洩防止の観点に背反する。

上記の背反を回避できるものとして、例えば、特許文献１の開示がある。これは、任意の端末同士で容易に通信を行うことを可能とする技術であり、特に、端末間通信共有鍵を共有することでセキュリティの高い端末間通信を可能としている。この開示は、以下の管理装置に関するものであり、複数の通信端末装置毎に、各通信端末装置と共有される共有鍵を記憶する共有鍵記憶部と、複数の通信端末装置毎に、ネットワーク情報を記憶するネットワーク情報記憶部と、前記通信端末装置から暗号化された通信要求を受信し、前記共有鍵を用いて復号化し、当該通信端末装置を認証する認証部と、前記認証部によって認証された場合に、前記通信要求に基づいて他の通信端末装置のネットワーク情報を前記ネットワーク情報記憶部から読み出し、当該ネットワーク情報を前記共有鍵を用いて暗号化し、前記通信要求の送信元である前記通信端末装置に送信する管理部と、他の通信装置から認証基盤を経由して前記通信端末装置の端末識別情報を受信し、前記共有鍵を生成し、生成された前記共有鍵と前記端末識別情報とを前記共有鍵記憶部に登録し、前記他の通信装置に対し前記認証基盤を経由して前記共有鍵を送信する、共有鍵生成部と、を備えるものである。この管理装置が、他の通信装置から認証基盤を経由して通信端末装置の端末識別情報を受信し、共有鍵を生成し、生成された共有鍵と端末識別情報とを共有鍵記憶部に登録し、他の通信装置に対し認証基盤を経由して共有鍵を送信し、通信端末装置から暗号化された通信要求を受信し、共有鍵を用いて復号化し、当該通信端末装置を認証し、認証部によって認証された場合に、通信要求に基づいて他の通信端末装置のネットワーク情報をネットワーク情報記憶部から読み出し、当該ネットワーク情報を共有鍵を用いて暗号化し、通信要求の送信元である通信端末装置に送信する。

ここで、上記の「他の通信装置」とは、例えば、携帯電話機である。現在の携帯電話システムでは、個々の携帯電話機は、個体識別番号によって識別され、携帯電話機の所有者は、携帯電話事業者によって上記個体識別番号と関連づけて登録されている。

また、無線の携帯電話をユーザ認証に用いる例が、特許文献２に開示されている。この開示において、無線の局所エリアネットワークにおいて動作するコンピューティング・デバイスは、公開鍵を、無線の携帯電話の広域ネットワークにおいて動作する携帯デバイスに送信する。その携帯デバイスは、その公開鍵に基づいてユーザの証明書を取得するために、無線の携帯電話の広域エリアネットワークにおいて携帯電話の運営者と共にブートストラッピングの手続きを行う。その携帯デバイスは、そのコンピューティング・デバイスにおいて、そのユーザの証明書をインストールするために、ユーザの証明書をそのコンピューティング・デバイスに送信する。そのユーザの証明書を、デジタル署名、証明および暗号化の目的のために用いたり、その無線の局所エリアネットワークおよびその無線の広域ネットワークの双方において加入者が双方のネットワークからのサービスにアクセスするときの加入者の認証に用いたりする。

また、非特許文献１に、携帯電話を利用したパーソナルネットワーク（ＰＮ：Personal Network）構築システムが記載されている。このシステムは、サーバＰＣ、クライアントＰＣ、携帯電話の３要素で構成される。ユーザは携帯電話のＮＦＣ（Near Field Communication）機能を利用して、クライアントＰＣとなるラップトップＰＣの認証手続きを行う。携帯電話において、ＰＮ構築の際の共有鍵を生成し、クライアントＰＣのＩＤと共にサーバＰＣへと携帯電話網を介してＨＴＴＰ(Hyper Text Transfer Protocol)転送し、同時にクライアントＰＣへの鍵配布を行う。サーバＰＣ上ではＰＮの生成・破棄などの状態管理が行われ、携帯電話により生成・配布された共有鍵を用いてクライアントＰＣとのセキュアな通信チャネルを確立する。サーバＰＣとクライアントＰＣの間では、ＰＮで利用されるリソース情報が遣り取りされ、複数台のクライアントＰＣに対して同様の処理を行うことで、クライアントＰＣ間のセキュアな通信チャネルとしてＰＮが構築される。

上記のＰＮは、用途に応じて選定された任意のデバイス間で論理的に構成される仮想ネットワークとして構築されるものである。図１に概要を示す様に、家庭／オフィス／モバイル環境の他、インターネットカフェや空港ラウンジのような公共／共有端末の中から、用途に応じて任意のデバイスを選び出し、オンデマンドに仮想ネットワークの構築を行う。ＰＮの構築には、任意のデバイス間でセキュアなコネクションを確立することが不可欠である。しかし、一般に、各デバイスはインターネットや公衆無線ＬＡＮなどのセキュアでない接続環境にあることが多いため、ＰＮ構築の際にはこのような環境下でいかにしてセキュアなデバイス認証（シグナリング）を行うかが最も重要である。

図２に携帯電話を利用した上記ＰＮの構築手順例を示す。ここでは、２つのデバイスA、Bについて携帯電話（Cellular Phone）を介してＰＮ登録する手順の例を示している。デバイスの登録は、
(1) Auth（認証）
携帯電話の仲介によりデバイスと認証仲介サーバ（Authentication Mediation Server）との間の共有鍵配布を行うデバイス認証、
(2) Register（登録）
得られた共有鍵を利用して認証仲介サーバとの間にセキュアチャネルを構築し、デバイスのリソース情報をＰＮ管理サーバ（PN Management Server）に登録するリソース登録、
の２つのステップによって行われる。
(0a) Pre-auth（事前認証）、(0b) Pre-register（事前登録）
また、同様の手順をもう一方のデバイスについても行っておくことで、両デバイスはＰＮ管理サーバとのインターネットを経由した経路上にセキュアな通信路を確保することができる。
(3) PN Creation（ＰＮ構築）
次に、ＰＮ管理サーバ上でＰＮを構築する処理が行われ、２つのデバイス間の共有鍵をセキュア通信路経由で配布する。
(4) Connect（接続）
そして、デバイス間共有鍵を利用して２つのデバイス間にセキュアな通信チャネルを確立し（つまり接続し）デバイスAとデバイスBで構成されるPNが生成される。
一旦デバイス間のセキュアチャネルが確立すれば、その後のデータ通信はこのチャネルを通して行われるため、認証に利用した携帯の通信経路は開放することができる。

携帯電話のセンシング機能を利用した上記ＰＮを構築するシステムを想定した通信シーケンス例を図３に示す。ここでは、ＵＳＣＰ（ユーザ主導型サービス構築プラットフォーム(USCP: User-driven Service Creation Platform)）の全体イメージの具現化と携帯電話を活用することによる利便性の確認を主な目的とするため、本来のＵＳＣＰの仕様を簡略化させている。

各ステップでの処理内容は次の通りである。
（１）携帯電話によるデバイスのＩＤ読み取り
デバイスの固有ＩＤを携帯電話が取得し、認証仲介サーバにその情報を転送する。このとき、携帯電話はＰＮ識別子を生成して、同時に送信する。さらに認証仲介サーバはＰＮ管理サーバに情報を転送し、当該デバイスの登録が行われる。
（２）共有鍵情報とＰＮ識別子の配布
認証仲介サーバは、事前に登録された関連付け情報からデバイスを見つけ、共有鍵情報とＰＮ識別子を送信する。
（３）共有リソース情報の登録
認証仲介サーバから通知を受けたデバイスは、ＰＮ識別子に対応した内部のリソースをセットアップし、認証仲介サーバＰＮ管理サーバに情報を送信する。さらに管理サーバに情報を転送する。
（４）既存ＰＮのチェック
ＰＮ管理サーバでは、既に同一の識別子を受け取っている場合にはそのデバイスのアドレス情報を返信する。
（５）単一携帯電話によるＰＮ構築
デバイスはＰＮ管理サーバの応答を受け、ＰＮのクライアントあるいはサーバとして動作する。

本願発明は、通信相手となる端末を指定する際に、当該端末の登録情報を秘匿する点において、上記非特許文献１とは異なるものである。

特開２００９―２７８３８８号公報 特表２００８−５１５３５７号公報

梅澤猛 他５名、"携帯電話を利用した Personal Network 構築システム"、「マルチメディア，分散，協調とモバイル(DICOMO2010)シンポジウム」、９３０−９３７ページ、平成２２年７月

本発明は、通信相手となる端末を指定する際に、当該端末の登録情報を秘匿しつつ、開示管理装置上の登録情報を元にした確実な端末識別情報の指定を可能とすることを目的とする。

本発明は、概略、例えばインターネットなどの第１通信ネットワークにＰＣ−ＡとＰＣ−Ｂが接続されており、それぞれが第１通信ネットワーク上での通信機能を備え、ＰＣ−Ｂには例えばプリンタなどの端末装置が接続されているとき、ＰＣ−Ａのパーソナルネットへの上記端末装置の取り込みを安全に行うものである。安全に行うためには、例えば携帯電話ネットワークなどの第３者に認証された第２通信ネットワーク上の通信装置を使用する。また、ＰＣ−Ａの使用者にＰＣ−Ｂの使用者情報が開示されないようにするために、ＰＣ−ＡとＰＣ−Ｂの間には第１通信ネットワークに接続された管理装置を使用して、上記端末装置に関する情報だけで、上記の取り込みを行う。
まず、本発明の、プライバシを保障した機器間接続方法を適用しようとする装置構成は、以下の特徴を備えるものである。
第１通信ネットワークに係属する第１通信装置と第２通信装置と、
第１通信装置の入／出力データの一部を受／送信する第３通信装置と
第２通信装置の入／出力データの一部を受／送信する第４通信装置と
第２通信装置に係属する端末装置と、
第２通信装置と、第４通信装置と、上記端末装置とのそれぞれの情報が一連の情報であるとして記録管理する管理装置と、
第３通信装置と第４通信装置が係属する第２通信ネットワークと、
第２通信ネットワークに係属し上記管理装置の入／出力データの一部を受／送信する第５通信装置と、を備える。
また、第１通信装置が上記端末装置に上記通信ネットワーク上で接続しようとするとき、以下の手順で、第１通信装置は上記端末装置に接続する。
０） 上記端末装置情報と、第２通信装置情報と第４通信装置が生成した署名情報とを、上記管理装置に登録し、
１） 第３通信装置から、第５通信装置を介して上記管理装置に、上記端末装置情報と上記署名情報とを送信して、上記端末装置のユーザ照会要求を送信し、
２） 上記管理装置は、第３通信装置からのユーザ照会要求を受信して、受信した署名情報と、登録された上記署名情報との照合を行い、
３） 上記照合の結果を、第５通信装置から上記第３通信装置を介して、第１通信装置に送信し、
４） 上記照合の結果が一致する場合は、第１通信装置は、上記端末装置に上記ネットワーク上で接続する。

上記１）において、署名をなるべく変更しないように運用する場合には、次のようにすることができる。つまり、第３通信装置は、上記端末装置の端末識別情報を送信可能な信号に変換するものであり、また、上記署名を受信するものであり、さらに、第３通信装置を介して、上記端末識別情報と受信した上記署名とを含む情報を、上記管理装置に対して送信することで、ユーザ照会要求をする。

上記１）において、署名を頻繁に変更する場合には、次のようにすることができる。つまり、第３通信装置は、上記端末装置の端末識別情報を送信可能な信号に変換するものであり、また、
１．１）第３通信装置は、第４通信装置対して署名に用いるハッシュ値の要求を送信し、
１．２）第４通信装置は、ハッシュ値を上記管理装置に送信し、
１．３）上記管理装置は、第４通信装置の情報、上記端末識別情報および上記ハッシュ値を登録して、登録した旨を第４通信装置に返答し、
１．４）第４通信装置から、第３通信装置に上記ハッシュ値を送信し、
１．５）署名に用いる上記ハッシュ値を受信するものであり、
さらに、第３通信装置を介して、上記端末識別情報と受信した上記署名とを含む情報を、上記管理装置に対して送信することで、ユーザ照会要求をする。

上記０）における登録は、信書を用いた通信で行うこともできるが、第４通信装置と第５通信装置間の電気通信や光通信を介して行うことが望ましい。

第４通信装置と第５通信装置間の上記通信で送受信される、上記端末装置情報と第２通信装置情報と第４通信装置が生成した署名情報とは、第４通信装置と第５通信装置間の共通鍵を用いて暗号化されて第４通信装置から送信され、第５通信装置で受信された情報から前記共通鍵を用いて復号されたものであることが望ましい。

上記２）における照合は、所定の関数による変換値が一致する場合に、合致するものとみなす事ができる。これによって、上記署名に異なるものを使用できるようになり、第３者による介入を抑制することができる。

上記所定の関数の簡単な例は、何らかのハッシュ関数である。

第２通信ネットワークは、例えば携帯電話ネットワークであり、第３通信装置、第４通信装置および第５通信装置にはそれぞれ携帯電話を使用することによって、第３通信装置、第４通信装置および第５通信装置は、携帯電話事業者によって認証されたものを用いることができ、秘匿通話が可能である。

本発明により、相互に通信することで合意したユーザ間において、具体的なユーザ情報を開示することなく、当該デバイスが接続しようとする端末を所有する相手であることを確認することができる。

パーソナルネットワーク（ＰＮ）の概要を示す図であり、ＰＮは用途に応じて選定された任意のデバイス間で論理的に構成される仮想ネットワークとして構築されるものであることを示す。家庭／オフィス／モバイル環境の他、インターネットカフェや空港ラウンジのような公共／共有端末の中から、用途に応じて任意のデバイスを選び出し、オンデマンドに仮想ネットワークの構築を行う。 従来の、携帯電話を利用した上記ＰＮの構築手順例を示す図である。ここでは、２つのデバイスA、Bについて携帯電話（Cellular Phone）を介してＰＮ登録する手順の例を示す。 従来の、携帯電話のセンシング機能を利用したＰＮを構築するシステムを想定した通信シーケンス例を示す図である。 本発明の実施例１の構成と通信手順を示す図である。 本発明の実施例２の構成と通信手順を示す図である。

以下に、この発明の実施の形態を図面に基づいて詳細に説明する。以下の説明においては、同じ機能あるいは類似の機能をもった装置に、特別な理由がない場合には、同じ符号を用いるものとする。

以下の例におけるＰＣは、演算装置（ＭＰＵ）部、記憶（メモリ）部、ネットワークに接続する通信部、ユーザとのインターフェースとなる入出力部、などを備えるものであり、その他、ＨＤＤ（ハードディスク装置）などの電源が切れた状態でデータを保持する補助記憶装置等を備えることが望ましい。また、携帯電話機は、個体識別符号によって識別され携帯電話事業者から認証された無線の携帯電話機である。上記ＰＣと上記携帯電話機との接続は、専用の接続コードを用いてもよく、あるいは、赤外線接続機能を用いても良い。場合によっては、表示画面を伝送手段として用いることができ、ユーザが一方から読み取って他方に入力しても良い。第３者によって認証され他の受信者には通信内容を秘匿することができる通信装置であれば、この携帯電話機の代わりに用いることができる。

図４に示すように、第１、第２通信装置に相当するコンピュータ（ＰＣ−Ａ、ＰＣ−Ｂ）、第３、第４通信装置に相当する携帯電話機（ＴＥａ、ＴＥｂ）、通信端末装置（ｎＴＥ）、管理装置（ＰＮＳＰ:パーソナルネットワークサービスプロバイダ）で構成される環境を想定する。上記携帯電話機は、携帯電話通信ネットワーク（第２通信ネットワーク）に接続され、上記通信端末は、インターネットやローカルエリアネットになどの通信ネットワーク（第１通信ネットワーク）に接続されたものである。ここで、ＰＮＳＰにはｎＴＥの端末識別情報ＩＤｎＴＥとともにｎＴＥとＰＮＳＰ間の共有鍵が登録されているとする。この共有鍵の登録は、電話や信書あるいは上記通信ネットワークを介して公開鍵方式で鍵を共有してもよい。また、ユーザＡは通信機能を持ったＰＣ−Ａと携帯電話機ＴＥａの使用者であり、ユーザＢは同様に通信機能を持ったＰＣ−Ｂと携帯電話機ＴＥｂの使用者である、と、する。

ＴＥａを使用するユーザＡがｎＴＥを、通信対象として指定し、ユーザＡのパーソナルネットワークに参加させる場合、次のようにする。
（０）ユーザＢ側では、ＴＥｂ情報とＴＥｂ上で生成された署名と共にｎＴＥ情報を管理装置に登録する。ここで、署名とは、例えば、使用者識別子（いわゆるユーザＩＤ）や認証情報（いわゆるパスワード）などである。この登録のための通信は、信書や電話、または、暗号通信を用いて行うことが望ましい。この暗号通信は、ｎＴＥとＰＮＳＰ間の上記共有鍵を用いて行うことができる。
（１）ユーザＡ側では、ＴＥａは、ｎＴＥのＩＤｎＴＥを送信可能な信号に変換する。また、一方で、上記署名を受信する。
（２）ユーザＡ側では、ＴＥａを介して、ＩＤｎＴＥと受信した上記署名とを含む情報を、ＰＮＳＰに対して送信することで、ユーザ照会要求をする。
（３）ＰＮＳＰ側では、登録されているＩＤｎＴＥと登録時のＴＥｂ情報から上記署名を抽出する。
（４）ＰＮＳＰ側では、上記ユーザ照会要求にある署名と、上記（３）で抽出した署名との一致または不一致を確認する。
（５）上記確認の結果をＴＥａに送信する。
（６）上記確認の結果が一致を意味する場合は、上記ＰＣ−Ａは、上記ｎＴＥをユーザＡのパーソナルネットワークに参加させる処理を行う。この際、（ａ）上記ｎＴＥが上記ＰＣ−Ｂを介して上記の何らかの通信ネットワークに参加（つまり接続）している場合、上記ＰＣ−Ａは、上記ＰＣ−Ｂを介して、上記ｎＴＥと通信ネットワーク上で接続し、（ｂ）上記ｎＴＥが上記の何らかの通信ネットワークに直接参加（つまり直接接続）している場合、上記ＰＣ−Ａは、上記ｎＴＥと通信ネットワーク上で接続する。

このとき、上記（３）の署名の抽出には、ＩＤｎＴＥやＴＥｂの端末ｉＤの他に、ＴＥｂの通話履歴や課金情報など、ＴＥｂと事業者認証基盤側で随時把握可能な情報を含むことができる。第三者からは推測困難な時間変化を伴う情報を含んだ署名を用いることにより、署名の偽造のリスクを低減することができる。署名の生成にはハッシュ関数など、生成された署名から元データを算出不可能な方法を用いる。

署名の生成に関しては、図５に示すように、前述の事業者認証基盤で随時把握可能な情報を利用する他に、署名要求が行われる度に任意の固有情報から生成した署名を登録することも可能である。
この場合に、ＴＥａを使用するユーザＡがｎＴＥを、通信対象として指定し、ユーザＡのパーソナルネットワークに参加させる場合、次のようにする。
（０）ユーザＢ側では、ＴＥｂ情報とＴＥｂ上で生成された署名と共にｎＴＥ情報を管理装置に登録する。ここで、署名とは、任意の固有情報から生成した署名で、例えば、ＧＰＳによる位置情報や時事刻々変化する情報である。この登録のための通信は、電気通信や光通信であり、暗号通信であることが望ましい。この暗号通信は、ｎＴＥとＰＮＳＰ間の上記共有鍵を用いて行うことができる。
（１）ユーザＡ側では、ＴＥａは、ｎＴＥのＩＤｎＴＥを送信可能な信号に変換する。また、
（１．１）ユーザＡ側では、実施例１の場合と異なり、ユーザＢ側に対して署名に用いるハッシュ値の要求を送信する。
（１．２）ユーザＢ側では、ハッシュ値を生成して、管理装置に送信する。
（１．３）管理装置側では、ＴＥｂの情報、上記ＩＤｎＴＥおよびハッシュ値を登録して、登録した旨をユーザＢ側に返答する。
（１．４）ユーザＢ側から、ユーザＡ側にハッシュ値を送信する。
（１．５）上記署名として送信されたハッシュ値を受信する。
以降（２）から（６）は、実施例１の場合と同様であり、
（２）ユーザＡ側では、ＴＥａを介して、ＩＤｎＴＥと受信した上記署名とを含む情報を、ＰＮＳＰに対して送信することで、ユーザ照会要求をする。
（３）ＰＮＳＰ側では、登録されているＩＤｎＴＥと登録時のＴＥｂ情報から上記署名を抽出する。
（４）ＰＮＳＰ側では、上記ユーザ照会要求にある署名と、上記（３）で抽出した署名との一致または不一致を確認する。
（５）上記確認の結果をＴＥａに送信する。
（６）上記確認の結果が一致を意味する場合は、上記ＰＣ−Ａは、上記ｎＴＥをユーザＡのパーソナルネットワークに参加させる処理を行う。この際、（ａ）上記ｎＴＥが上記ＰＣ−Ｂを介して上記の何らかの通信ネットワークに参加（つまり接続）している場合、上記ＰＣ−Ａは、上記ＰＣ−Ｂを介して、上記ｎＴＥと通信ネットワーク上で接続し、（ｂ）上記ｎＴＥが上記の何らかの通信ネットワークに直接参加（つまり直接接続）している場合、上記ＰＣ−Ａは、上記ｎＴＥと通信ネットワーク上で接続する。

この方式の場合、携帯電話の起動経過時間やＧＰＳ（グローバルポジショニングシステム）計測値など、当該携帯電話のみでしか巴握できない情報を基に署名を生成することや、要求される度に異なる情報を組み合わせて署名を生成することが可能であり、署名の機密性を高めることが可能である。

このように、ＴＥａのユーザＡは、ｎＴＥの登録情報を、ＴＥｂの携帯電話事業者での回線契約を担保として、ＰＮＳＰ経由で行うことができる。ＴＥａのユーザＡは、署名一致の成否のみを認知可能であり、任意の端末について登録者を割り出すことはできない。この様に、ＴＥａには、ユーザＡ側がＴＥａを介して受信した上記署名以外には情報が開示されない。特に、ＴＥｂに関する情報が殆ど開示されないため、ＴＥａのユーザＡに対して、ＴＥｂのユーザＢのプライバシを保つことができる。

本発明により、上記の何らかの通信ネットワークにおける任意のユーザのＰＣと任意の端末間で通信を行う際、管理装置に登録されている上記端末の情報を基に、ユーザが意図した端末を確実に指定することができる。これにより、ユーザが入力ミスや錯誤、あるいは悪意のあるユーザからの接続要求などにより、意図しない端末に接続許可を与えてしまうことを防ぐことが可能となる。

また、任意のユーザＸが登録した端末グループＸに対して、そのユーザＸが、前記端末グループＸに属するいずれかの端末に接続要求を行う際にも、ユーザ情報や携帯電話情報などの個人情報を開示することなく、上記端末グループＸの登録者であることを証明することが可能となる。

特に、ユーザＡが自身の所有している複数の機器（携帯電話、コンピューター、情報家電など）を、ＰＣ−Ａと接続しようとする場合、指定した機器が自分の意図した通りのものかどうかを確認することが可能であり、自分のＰＣと錯誤して他人のＰＣを指定してしまう操作ミスや、画像読み取り時のノイズが原因で意図しない機器を指定して接続してしまうなどのエラーの発生を回避可能である。例えば、デジタルカメラ、ＰＣ、プリンタ、ＴＶをＰＣ−Ａに接続して写真データを共有する場合、誤って意図しない機器を接続してしまうことで写真データが漏洩する危険を無くすことができ、安全に写真データの閲覧、バックアップ、出力などが可能となる。

ユーザ照会に利用される署名に推測が困難なものを用いることで、偽の署名で管理装置上の登録情報との整合性を得ることが困難になるため、偽造署名や署名の奪取による攻撃の危険を回避可能である。ユーザＡが、既に作成したパーソナルネットワークに対し、他のユーザ、例えばユーザＢ、からの接続要求を受ける場合、その接続要求で指定した機器の登録情報をユーザＢが確認することで、ユーザＡはユーザＢが実際の利用者であることを確認した上で接続を許可することができる。例えば、ＰＣ間を接続したビデオチャットに新たにユーザＢが参加する場合、前記ユーザＢが接続を要求しているＰＣ、例えばＰＣ−Ａの登録情報についての整合性を前記ユーザＢが確認することで、不正なユーザが信頼できるＰＣに接続要求を出す危険や、信頼できるユーザが不正なＰＣを意図せずに利用して接続してしまう危険を回避することが可能である。

上記の場合、接続を要求するユーザＢの観点からは、要求に際して不必要に個人情報を開示する必要がないためプライバシが保護される。また、ＰＣのユーザＩＤや携帯電話ＩＤなどを利用するのと異なり、開示した情報を不正に再利用される危険がない。上記ユーザ照会要求に用いる署名として、当該デバイスのみで有効な一時的なものとすることで、情報自体に再利用価値がなくなり安全性が高くなる。これにより、例えば、ストリーミング配信サービスに利用することで、ユーザＡの登録情報が第３者に悪用されて、ＰＣ―Ａが不正にアクセスされることがない。また、会議資料やパンフレットの配布を受けるために接続を要求する際に、従来は個人を特定するような情報を不必要に開示しなれぱならなかったが、本発明では、上記の情報を開示する必要がない。

Claims (8)

1. 第１通信ネットワークに係属する第１通信装置と第２通信装置と、
   第１通信装置の入／出力データの一部を受／送信する第３通信装置と
   第２通信装置の入／出力データの一部を受／送信する第４通信装置と
   第２通信装置に係属する端末装置と、
   第２通信装置と、第４通信装置と、上記端末装置とのそれぞれの情報が一連の情報であるとして記録管理する管理装置と、
   第３通信装置と第４通信装置が係属する第２通信ネットワークと、
   第２通信ネットワークに係属し上記管理装置の入／出力データの一部を受／送信する第５通信装置と、を備え、
   第１通信装置が上記端末装置に上記通信ネットワーク上で接続しようとするとき、
   ０） 上記端末装置情報と、第２通信装置情報と、第４通信装置が生成した署名情報とを、上記管理装置に登録し、
   １） 第３通信装置から、第５通信装置を介して上記管理装置に、上記端末装置情報と上記署名情報とを送信して、上記端末装置のユーザ照会要求を送信し、
   ２） 上記管理装置は、第３通信装置からのユーザ照会要求を受信して、受信した署名情報と、登録された上記署名情報との照合を行い、
   ３） 上記照合の結果を、第５通信装置から上記第３通信装置を介して、第１通信装置に送信し、
   ４） 上記照合の結果が一致する場合は、第１通信装置は、上記端末装置に上記ネットワーク上で接続する、
   ことを特徴とするプライバシを保障した機器間接続方法。
2. 上記１）において、第３通信装置は、上記端末装置の端末識別情報を送信可能な信号に変換するものであり、また、上記署名を受信するものであり、さらに、第３通信装置を介して、上記端末識別情報と受信した上記署名とを含む情報を、上記管理装置に対して送信することで、ユーザ照会要求をするものであることを特徴とする請求項１に記載のプライバシを保障した機器間接続方法。
3. 上記１）において、第３通信装置は、上記端末装置の端末識別情報を送信可能な信号に変換するものであり、また、
   １．１）第３通信装置は、第４通信装置対して署名に用いるハッシュ値の要求を送信し、
   １．２）第４通信装置は、ハッシュ値を上記管理装置に送信し、
   １．３）上記管理装置は、第４通信装置の情報、上記端末識別情報および上記ハッシュ値を登録して、登録した旨を第４通信装置に返答し、
   １．４）第４通信装置から、第３通信装置に上記ハッシュ値を送信し、
   １．５）署名に用いる上記ハッシュ値を受信するものであり、
   さらに、第３通信装置を介して、上記端末識別情報と受信した上記署名とを含む情報を、上記管理装置に対して送信することで、ユーザ照会要求をするものであることを特徴とする請求項１または請求項２のいずれか１つに記載のプライバシを保障した機器間接続方法。
4. 上記０）における登録は、第４通信装置と第５通信装置間の電気通信または光通信を介して行うことを特徴とする請求項１から請求項３のいずれか１つに記載のプライバシを保障した機器間接続方法。
5. 第４通信装置と第５通信装置間の上記通信で送受信される、上記端末装置情報と第２通信装置情報と第４通信装置が生成した署名情報とは、第４通信装置と第５通信装置間の共通鍵を用いて暗号化されて第４通信装置から送信され、第５通信装置で受信された情報から前記共通鍵を用いて復号されたものであることを特徴とする請求項４に記載のプライバシを保障した機器間接続方法。
6. 上記２）における照合は、所定の関数による変換値が一致する場合に、合致するものとみなす事を特徴とする請求項１から請求項５のいずれか１つに記載のプライバシを保障した機器間接続方法。
7. 上記所定の関数は、ハッシュ関数であることを特徴とする請求項６に記載のプライバシを保障した機器間接続方法。
8. 第３通信装置、第４通信装置および第５通信装置はそれぞれ携帯電話であり、第２通信ネットワークは携帯電話ネットワークであることを特徴とする請求項１から請求項７のいずれか１つに記載のプライバシを保障した機器間接続方法。