JP2013097795A

JP2013097795A - 機器

Info

Publication number: JP2013097795A
Application number: JP2012234459A
Authority: JP
Inventors: Toshiji Sato; 俊至佐藤
Original assignee: Toshiba Corp; Toshiba TEC Corp
Current assignee: Toshiba Corp; Toshiba TEC Corp
Priority date: 2011-10-27
Filing date: 2012-10-24
Publication date: 2013-05-20
Anticipated expiration: 2032-10-24
Also published as: JP5576921B2

Abstract

【課題】ストレージ装置内のデータへのアクセスが不可能となることを防止する技術を提供すること。
【解決手段】
一般に、実施形態によれば、機器１は、認証を不適合と判定する場合に暗号化済みデータの解読用暗号鍵を消去するストレージ装置に接続する機器であって、第１記憶領域３３と、第２記憶領域３４と、制御部３１と、を備える。第１記憶領域は、データを記憶する。第２記憶領域は、データを記憶する。制御部は、認証情報を第１、第２記憶領域にそれぞれ保存し、ストレージ装置による認証を受ける前に第１、第２記憶領域の各認証情報が一致するか否かを判定し、第１、第２記憶領域の各認証情報が一致する場合、認証情報に基づくストレージ装置による認証を受ける。
【選択図】図２

Description

この明細書に記載の実施形態は、ストレージ装置へのアクセス制御技術に関する。

データの流出や漏洩を防止するための認証機能を有するＨＤＤ（Hard disk drive）が知られる（例えば、特許文献１）。このＨＤＤは、接続する機器がＨＤＤに読み書きする前に、機器から認証情報を受信して認証を行い、認証を適合と判定する場合のみアクセスを許可する。このＨＤＤは、認証を不適合と判定する場合、もしくは機器が認証をせずにＨＤＤ内のデータを読み出そうとする場合、ディスク上に記録された暗号化データの解読に必要な暗号鍵を自動的に消去し、ＨＤＤ内の全データを解読不能にする。これにより、このＨＤＤが盗難などされてもデータの漏洩が防止される。

しかしながら、従来の機器では、このＨＤＤに接続される機器として正規のものであっても、機器内のメモリに保存される認証情報がノイズ等により壊れている場合、ＨＤＤに接続することで、ＨＤＤに認証不適合と判定されて暗号鍵が消去されてしまう。このように、従来の機器では、認証情報が壊れている場合、ＨＤＤ内のデータへのアクセスが不可能となってしまうという問題がある。

この明細書は、ストレージ装置内のデータへのアクセスが不可能となることを防止する技術を提供することを目的とする。

一般に、実施形態によれば、機器は、認証を不適合と判定する場合に暗号化済みデータの解読用暗号鍵を消去するストレージ装置に接続する機器であって、第１記憶領域と、第２記憶領域と、制御部と、を備える。第１記憶領域は、データを記憶する。第２記憶領域は、データを記憶する。制御部は、認証情報を第１、第２記憶領域にそれぞれ保存し、ストレージ装置による認証を受ける前に第１、第２記憶領域の各認証情報が一致するか否かを判定し、第１、第２記憶領域の各認証情報が一致する場合、認証情報に基づくストレージ装置による認証を受ける。

画像形成装置の概略構成図である。画像形成装置の構成を示すブロック図である。画像形成装置のセットアップ動作についてのフローチャートである。画像形成装置の電源ＯＮ時のフローチャートである。ＨＤＤへのアクセス処理停止後の画像形成装置のフローチャートである。他のリストアの方法を示すフローチャートである。第２実施形態におけるセットアップ動作を示すフローチャートである。画像形成装置の電源ＯＮ時の動作例を示すフローチャートである。第３実施形態におけるセットアップ動作を示すフローチャートである。画像形成装置の電源ＯＮ時の動作例を示すフローチャートである。

以下、実施形態について図面を参照しつつ説明する。
（第１実施形態）
図１は、画像形成装置１００（機器）の概略構成図である。
画像形成装置１は、ＭＦＰ（Multi Function Peripheral）であり、画像読取部Ｒ、画像形成部Ｐ、表示部１１、および操作入力部１５を備える。表示部１１は、タッチパネル１１１であり、画像形成装置１の設定情報や動作ステータス、ログ情報、ユーザへの通知を表示する。操作入力部１５は、タッチパネル１１１および操作キー１１２を備え、ユーザの操作入力を受け付ける。画像読取部Ｒは、ＡＤＦ１２(Auto Document Feeder) や原稿台１３１にセットされたシートを、走査光学系１３にてＣＣＤ１３２(Charge Coupled Device)により読み取る。これにより、画像形成装置１において画像データが生成される。

画像形成部Ｐは、ピックアップローラ２１１により給紙カセット１４からシートを取り出した後、搬送ローラ２１２によってシートを画像転写部２による転写位置Ｐまで搬送する。画像転写部２は、画像データに基づいてレーザユニット２２１によりレーザを用いて現像器ユニット２２２の感光体２２２１Ｃ〜２２２１Ｋ上に静電潜像を形成する。現像器ユニット２２２は、感光体２２２１Ｃ〜２２２１Ｋ上の静電潜像を現像し、感光体２２２１Ｃ〜２２２１Ｋ上に各色毎のトナー像を形成する。感光体２２２１Ｃ〜２２２１Ｋは、転写ベルト２２３上に各色のトナー像を重ねて転写し１枚のカラートナー像を形成する。転写ベルト２２３は、転写位置Ｐにてシートにトナー像を転写する。トナー像が転写されたシートは、定着器２３により加熱押圧されて画像が定着した後、排紙トレイ２４に排紙される。

図２は、画像形成装置１の構成を示すブロック図である。
画像形成装置１は、前記各要素の他、通信Ｉ／Ｆ１６、制御ボード３、およびＨＤＤ４（ストレージ装置）を備える。通信Ｉ／Ｆ１６は、外部装置と無線または有線により通信する。

制御ボード３は、演算処理装置（例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit））であるプロセッサ３１（制御部）、主記憶装置であるＲＡＭ３２（Random Access Memory）、および不揮発性記憶装置であり電源供給のＯＦＦ時にもデータを保持する第１フラッシュメモリ３３、第２フラッシュメモリ３４、および第３フラッシュメモリ３５を備える。後述するが、第１、第２、第３フラッシュメモリ３３、３４、３５は、それぞれＨＤＤ４に対する認証情報を保存するために用いられる。第１、第２フラッシュメモリ３３、３４内の認証情報は、正しい認証情報を確定するために用いられ、第３フラッシュメモリ３５内の認証情報は、第１、第２フラッシュメモリ３３、３４内のいずれかの認証情報が破損している場合のバックアップ用として用いられる。

プロセッサ３１は、画像形成装置１における各種処理を行う。プロセッサ３１は、第１、第２、第３フラッシュメモリ３３、３４、３５やＨＤＤ４に格納されているプログラムをＲＡＭ３２にロードし、ロードされたプログラムを実行することにより種々の機能を実現する。プロセッサ３１が実現する機能のうち一部もしくは全部をＡＳＩＣ（Application Specific Integrated Circuit）が行ってもよい。

ＨＤＤ４は、背景技術で説明した認証機能付きのＨＤＤであり、暗号鍵を用いて暗号化した暗号化済み記録データをディスク上に記録する。ＨＤＤ４は、暗号化済み記録データを読み出す際に、暗号鍵を用いて該データを解読する必要がある。ＨＤＤ４は、接続する機器がＨＤＤ４に読み書きする前に、機器から認証情報を受信して認証を行い、認証を適合と判定する場合のみアクセスを許可する。ＨＤＤ４は、認証を不適合と判定する場合、暗号鍵を自動的に消去し、ＨＤＤ４内の全データを解読不能にする。

以下、まず画像形成装置１のセットアップ動作について図３のフローチャートを参照して説明する。画像形成装置１のセットアップ動作は、例えば製品出荷前に画像形成装置１に認証機能付きのＨＤＤ４を組み入れた場合の動作である。
画像形成装置１００が電源ＯＮされてユーザの操作により保守モードで起動されると、制御ボード３は、事前に規定されている信号をＨＤＤ４に送信し、返信される信号が規定のものであるか否かを判定することで、画像形成装置１に組み入れられているＨＤＤ４が、認証機能を有しかつ事前に定義された製品や規格を有するものであるか否かを判定する。

制御ボード３は、ＨＤＤ４が認証機能を有する規定タイプのものである場合、ＨＤＤ４の初期化を行い、ＨＤＤ４の認証情報を作成する（Ａｃｔ１）。本実施形態では、ＨＤＤ４内の記憶領域に暗号鍵が事前に記憶されているものとし、制御ボード３はその暗号鍵を用いて、該暗号鍵とマッチする認証情報を生成する。なお、認証情報の生成は、ＨＤＤ４を特定できる情報が生成できればどのような従来技術を用いて行ってもよい。

制御ボード３は、生成した認証情報を第１、第２、第３フラッシュメモリ３３、３４、３５にそれぞれ保存する（Ａｃｔ２）。なお、本実施形態では、正しい認証情報を確定させるために、同じ認証情報を別々の不揮発性記憶装置（第１、第２フラッシュメモリ３３，３４）に保存するが、認証情報を保存する一方あるいは両方の不揮発性記憶装置として、ＴＰＭ（Trusted Platform Module）等のセキュリティチップを用いてもよい。また、同じ認証情報を別々の不揮発性記憶装置に保存しなくてもよく、１つの不揮発性記憶装置における異なる記憶領域にそれぞれ保存してもよい。また、認証情報を不揮発性記憶装置に保存する際に、ＨＤＤ４内の暗号鍵とは異なる鍵を用いて暗号化し、制御ボード３によるＨＤＤ４へのアクセスシステムにおけるセキュリティ上の脆弱性を低減させてもよい。また、本実施形態では、同じ制御ボード３上に第１、第２フラッシュメモリ３３、３４があるが、異なる制御ボードや異なる電気系統上に第１、第２フラッシュメモリ３３、３４があってもよい。

次に、上記セットアップ動作が行われた後の運用時における画像形成装置１の電源ＯＮ時の動作例を、図４のフローチャートを参照して説明する。
画像形成装置１が電源ＯＮ状態となる場合、制御ボード３は、ＨＤＤ４による認証を受ける前に、第１、第２フラッシュメモリ３３、３４に保存された認証情報を比較する（Ａｃｔ１１）。制御ボード３は、第１、第２フラッシュメモリ３３、３４内の各認証情報が一致する場合（Ａｃｔ１１：ＹＥＳ）、認証情報は正しいことが確定するので、該認証情報に基づいてＨＤＤ４による認証を受ける。これにより、制御ボード３は、ＨＤＤ４により認証され、ＨＤＤ４に対し、データの読み込み、書き込み、およびフォーマット等のアクセスが可能となる（Ａｃｔ１２）。

制御ボード３は、第１、第２フラッシュメモリ３３、３４内の各認証情報が一致せずいずれかの認証情報が破損している場合（Ａｃｔ１１：ＮＯ）、ＨＤＤ４による認証を受けずに表示部１１に「ＨＤＤ４に対する認証情報が破損しているためサービスマンを呼んで下さい」等のエラーメッセージを表示する（Ａｃｔ１３）。制御ボード３は、ＨＤＤ４へのアクセス処理を停止し、ＨＤＤ４による認証を受けることを不可な状態とする（Ａｃｔ１４）。

続いて、ＨＤＤ４へのアクセス処理を停止した後の画像形成装置１の動作例を、図５のフローチャートを参照して説明する。
制御ボード３は、サービスマン等による操作入力部１５への操作入力により、第１、第２フラッシュメモリ３３、３４内の認証情報を削除するとともに第３フラッシュメモリ３５内のバックアップ用の認証情報を第１、第２フラッシュメモリ３３、３４へ複製し、第１、第２フラッシュメモリ３３、３４内の各認証情報をリストアする（Ａｃｔ２１）。なお、制御ボード３は、エラーメッセージを表示することなく自動で該リストアを行った後、第１〜第３フラッシュメモリ３３〜３５内のいずれかの正しい認証情報に基づいてＨＤＤ４による認証を受けてもよい。

図６は、他のリストアの方法を示すフローチャートである。
第１、第２フラッシュメモリ３３、３４内の認証情報のリストア方法としては、以下の方法であってもよい。以下の方法によって認証情報をリストアする場合、バックアップ用の第３フラッシュメモリ３５は無くてもよい。
まず、サービスマンが操作入力部１５へ操作入力することにより、制御ボード３は、第１、第２フラッシュメモリ３３、３４内の各認証情報を表示部１１に表示する等して出力する（Ａｃｔ３１）。

サービスマンが第１、第２フラッシュメモリ３３、３４内の認証情報を検証し、正しい認証情報がいずれかであるかを判定する（Ａｃｔ３２）。第１フラッシュメモリ３３内の認証情報が正しい場合（Ａｃｔ３２：ＹＥＳ）、サービスマンが操作入力部１５を操作入力することにより、制御ボード３は、第１フラッシュメモリ３３内の認証情報を第２フラッシュメモリ３４内に複製し、第２フラッシュメモリ３４内の認証情報をリストアする（Ａｃｔ３３）。反対に、第２フラッシュメモリ３４内の認証情報が正しい場合（Ａｃｔ３２：ＮＯ）、制御ボード３は、第２フラッシュメモリ３４内の認証情報を用いて第１フラッシュメモリ３３内の認証情報をリストアする（Ａｃｔ３４）。なお、制御ボード３は、自動で第１、第２フラッシュメモリ３３、３４内の認証情報のいずれが正しいかを判定し、正しい側の認証情報を用いて破損した側の認証情報をリストアしてもよい。

（第２実施形態）
図７は、画像形成装置１のセットアップ動作を示すフローチャートである。
本実施形態では、制御ボード３は、ＨＤＤ４の初期化を行い、ＨＤＤ４の認証情報を作成（Ａｃｔ１）した後、該認証情報を第１、第２フラッシュメモリ３３、３４に保存する。この際、制御ボード３は、認証情報に対する電子署名を作成し、第１、第２フラッシュメモリ３３、３４のいずれか一方または両方において、認証情報の原本性を保証するために該電子署名と共に認証情報を保存する（Ａｃｔ２Ａ）。

図８は、画像形成装置１の電源ＯＮ時の動作例を示すフローチャートである。
制御ボード３は、ＨＤＤ４による認証を受ける前に電子署名の確認を行い（Ａｃｔ１０Ａ）、電子署名が正しい場合において（Ａｃｔ１０Ａ：ＹＥＳ）、第１、第２フラッシュメモリ３３、３４内の認証情報が一致する場合（Ａｃｔ１１：ＹＥＳ）、ＨＤＤ４による認証を受ける（Ａｃｔ１２）。制御ボード３は、電子署名が正しくない場合（Ａｃｔ１０Ａ：ＮＯ）、および第１、第２フラッシュメモリ３３、３４内の認証情報が一致しない場合（Ａｃｔ１１：ＮＯ）、表示部１１にエラーメッセージを表示する（Ａｃｔ１３）。なお、第１、第２フラッシュメモリ３３、３４の両方に電子署名と共に認証情報が保存される場合、Ａｃｔ１０Ａでは、第１、第２フラッシュメモリ３３、３４の両方の電子署名が共に正しいか否かを判定する（共に正しい場合のみＡｃｔ１１へ進む）。

（第３実施形態）
図９は、画像形成装置１のセットアップ動作を示すフローチャートである。
本実施形態では、制御ボード３は、ＨＤＤ４の初期化を行い、ＨＤＤ４の認証情報を作成（Ａｃｔ１）した後、該認証情報を第１、第２フラッシュメモリ３３、３４に保存する。この際、制御ボード３は、認証情報のＨＡＳＨ値を作成し、第１、第２フラッシュメモリ３３、３４のいずれか一方または両方において、該ＨＡＳＨ値と共に認証情報を保存する（Ａｃｔ２Ｂ）。

図１０は、画像形成装置１の電源ＯＮ時の動作例を示すフローチャートである。
制御ボード３は、ＨＤＤ４による認証を受ける前に、ＨＡＳＨ値と共に保存されている認証情報のＨＡＳＨ値を算出し、算出したＨＡＳＨ値と、保存されているＨＡＳＨ値とを比較する（Ａｃｔ１０Ｂ）。制御ボード３は、算出したＨＡＳＨ値と保存されているＨＡＳＨ値とが一致する場合において（Ａｃｔ１０Ｂ：ＹＥＳ）、第１、第２フラッシュメモリ３３、３４内の認証情報が一致する場合（Ａｃｔ１１：ＹＥＳ）、ＨＤＤ４による認証を受ける（Ａｃｔ１２）。制御ボード３は、算出したＨＡＳＨ値と保存されているＨＡＳＨ値とが一致しない場合（Ａｃｔ１０Ｂ：ＮＯ）、および第１、第２フラッシュメモリ３３、３４内の認証情報が一致しない場合（Ａｃｔ１１：ＮＯ）、表示部１１にエラーメッセージを表示する（Ａｃｔ１３）。なお、第１、第２フラッシュメモリ３３、３４の両方にＨＡＳＨ値と共に認証情報が保存される場合、Ａｃｔ１０Ｂでは、第１、第２フラッシュメモリ３３、３４の両方において、算出したＨＡＳＨ値と保存されているＨＡＳＨ値とが共に一致するか否かを判定する（共に一致した場合のみＡｃｔ１１へ進む）。

前記各実施形態では、制御ボード３は、ＨＤＤ４による認証を受ける前に、物理的に異なる位置にある２つの記憶領域に保存した認証情報が一致することを確認し、正しいことが確定した該認証情報を用いてＨＤＤ４による認証を受ける。制御ボード３は、２つの記憶領域にそれぞれ保存した認証情報が一致しない場合、ＨＤＤ４による認証を受けない。これにより、前記各実施形態では、破損した認証情報を用いてＨＤＤ４による認証を受けてしまうことを防止でき、ＨＤＤ４内のデータへのアクセスが不可能となることを防止できる。

前記各実施形態では、ストレージ装置の例としてＨＤＤを説明したが、ストレージ装置は、暗号化済みデータおよび暗号化済みデータの解読用暗号鍵を保持し、接続する機器の認証を不適合と判定する場合に解読用暗号鍵を消去する装置であれば、ＨＤＤに限定されず、ＵＳＢ(Universal Serial Bus)メモリ等の不揮発性に記憶する記憶装置であってもよい。また、前記各実施形態では、ストレージ装置を備える機器またはストレージ装置と無線あるいは有線により接続する機器として画像形成装置を例示したが、該機器は、タブレット型やデスクトップ型のコンピュータであってもよいし、携帯電話機であってもよい。

本実施形態では、装置内部に発明を実施する機能が予め記録されている場合で説明をしたが、これに限らず同様の機能をネットワークから装置にダウンロードしても良いし、同様の機能を記録媒体に記憶させたものを装置にインストールしてもよい。
記録媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記録媒体であれば、その形態は何れの形態であってもよい。具体的に、記録媒体としては、例えば、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体、コンピュータプログラムを保持するデータベース、あるいは他のコンピュータ並びにそのデータベースなどが挙げられる。インストールやダウンロードにより得る機能は、装置内部のＯＳ等と共働してその機能を実現させるものであってもよい。プログラムは、その一部または全部が、動的に生成される実行モジュールであってもよい。
前記各実施形態における各処理の順序は、前記実施形態で例示した順序と異なっていてもよい。

本発明は、その精神または主要な特徴から逸脱することなく、他の様々な形で実施することができる。そのため、前述の実施の形態はあらゆる点で単なる例示に過ぎず、限定的に解釈してはならない。本発明の範囲は、特許請求の範囲によって示すものであって、明細書本文には、なんら拘束されない。さらに、特許請求の範囲の均等範囲に属する全ての変形、様々な改良、代替および改質は、すべて本発明の範囲内のものである。

１…機器（画像形成装置）、３１…制御部（プロセッサ）、３３…第１記憶領域（第１フラッシュメモリ）、３４…第２記憶領域（第２フラッシュメモリ）。

特開２００８−５４０８号公報

Claims

認証を不適合と判定する場合に暗号化済みデータの解読用暗号鍵を消去するストレージ装置に接続する機器であって、
データを記憶する第１記憶領域と、
データを記憶する第２記憶領域と、
認証情報を前記第１、第２記憶領域にそれぞれ保存し、前記ストレージ装置による認証を受ける前に前記第１、第２記憶領域の各認証情報が一致するか否かを判定し、前記第１、第２記憶領域の各認証情報が一致する場合、前記認証情報に基づく前記ストレージ装置による認証を受ける制御部と、
を備えることを特徴とする機器。
請求項１に記載の機器において、
前記制御部は、認証情報に対する電子署名を作成し、前記第１、第２記憶領域の少なくとも一方において前記電子署名と共に認証情報を保存し、前記ストレージ装置による認証を受ける前に前記電子署名が正しいか否かを判定し、前記電子署名が正しい場合、前記第１、第２記憶領域の各認証情報が一致するか否かを判定することを特徴とする機器。
請求項１に記載の機器において、
前記制御部は、認証情報のＨＡＳＨ値を作成し、前記第１、第２記憶領域の少なくとも一方において前記ＨＡＳＨ値と共に認証情報を保存し、前記ストレージ装置による認証を受ける前に、前記ＨＡＳＨ値と共に保存された認証情報のＨＡＳＨ値を算出し、算出した該ＨＡＳＨ値と、認証情報と共に保存された前記ＨＡＳＨ値とが一致するか否かを判定し、一致する場合、前記第１、第２記憶領域の各認証情報が一致するか否かを判定することを特徴とする機器。
請求項１から請求項３のいずれかに記載の機器において、
前記第１記憶領域は、第１不揮発性記憶装置内の記憶領域であり、
前記第２記憶領域は、前記第１不揮発性記憶装置とは異なる第２不揮発性記憶装置内の記憶領域であることを特徴とする機器。
請求項１から請求項３のいずれかに記載の機器において、
前記第１、第２記憶領域は、１つの不揮発性記憶装置内にあることを特徴とする機器。