JP2014150518A - ユーザ端末、鍵生成管理装置、及びプログラム - Google Patents

Abstract

【課題】端末を使用するユーザの利便性を保ちつつ、端末紛失時等における情報漏洩リスクを低減し、セキュリティを高めるための技術を提供する。
【解決手段】鍵生成管理装置にネットワークを介して接続されるユーザ端末３は、当該ユーザ端末から送信される認証情報に基づく当該ユーザ端末の認証に成功した場合に暗号鍵を送信する前記鍵生成管理装置から、当該暗号鍵を受信し、当該暗号鍵を一時的に格納する一時データ格納部３３と、アプリケーションのデータとして、前記暗号鍵で暗号化した特定アプリケーションのデータのみを格納する特定データ格納部３２と、前記特定アプリケーション以外のアプリケーションのデータを格納する一般データ格納部３６と、前記暗号鍵を用いて前記特定アプリケーションのデータの復号を行う暗号化・復号処理部４４と、を備える。
【選択図】図３

Description

本発明は、ユーザ端末に暗号化データを保存する技術に関するものであり、特に、データを暗号化するための暗号鍵の生成、管理を行う技術に関連するものである。

スマートフォンやタブレット端末の普及に伴い、私用の端末をビジネスに用いるケースが増えている。私用端末をビジネスに用いるにあたっては、公私分離を行い、ビジネス部分についてはセキュリティを担保することが求められている。一般的には、データを暗号鍵を用いて暗号化する等が考えられるが、暗号鍵を端末内に保持しておくことは、端末紛失時等における情報漏洩リスクが高い。そのため、暗号鍵を端末内に保持しておくのではなく、サーバ等へ暗号鍵を要求する技術が従来から知られている。

特開２００９-１７２９４号公報

上記従来技術において、情報漏洩リスクを低減し、セキュリティを高めるためには利用した鍵をユーザ端末においてすぐに消去することが考えられるが、これではデータ参照時に常にサーバへの接続が必須となりユーザの利便性が悪い。一方、鍵を消去せずに端末内に残しておくことは、端末紛失時の情報漏洩リスクが依然として残ることになる。

本発明は上記の点に鑑みてなされたものであり、端末を使用するユーザの利便性を保ちつつ、端末紛失時等における情報漏洩リスクを低減し、セキュリティを高めるための技術を提供することを目的とする。

上記の課題を解決するために、本発明は、鍵生成管理装置にネットワークを介して接続されるユーザ端末であって、
当該ユーザ端末から送信される認証情報に基づく当該ユーザ端末の認証に成功した場合に暗号鍵を送信する前記鍵生成管理装置から、当該暗号鍵を受信し、当該暗号鍵を一時的に格納する一時データ格納手段と、
アプリケーションのデータとして、前記暗号鍵で暗号化した特定アプリケーションのデータのみを格納する特定データ格納手段と、
前記特定アプリケーション以外のアプリケーションのデータを格納する一般データ格納手段と、
前記暗号鍵を用いて前記特定アプリケーションのデータの復号を行う手段と、を備えることを特徴とするユーザ端末として構成される。

また、本発明は、ユーザ端末にネットワークを介して接続される鍵生成管理装置であって、
暗号鍵と認証情報とを対応付けて格納する格納手段と、
前記ユーザ端末から送信される認証情報に基づいて、当該ユーザ端末の認証を行い、認証に成功した場合に、当該認証情報に対応する前記暗号鍵を前記ユーザ端末に送信する暗号鍵送信手段と、を備え、
前記ユーザ端末における特定データ格納手段には、アプリケーションのデータとして、前記暗号鍵で暗号化した特定アプリケーションのデータのみが格納され、前記ユーザ端末における一般データ格納手段には、前記特定アプリケーション以外のアプリケーションのデータが格納されることを特徴とする鍵生成管理装置として構成してもよい。

本発明によれば、ユーザ端末で暗号鍵を一時的に保管することとしたので、端末を使用するユーザの利便性を保ちつつ、端末紛失時等における情報漏洩リスクを低減し、セキュリティを高めることが可能となる。

本発明の実施の形態に係るシステムの全体構成図である。 第１の実施の形態における鍵生成管理装置１の機能構成図である。 第１の実施の形態におけるユーザ端末３の機能構成図である。 初期設定時の動作を説明するための図である。 ログイン時の動作を説明するための図である。 一時データ格納部のデータ削除を説明するための図である。 第２の実施の形態における鍵生成管理装置１の機能構成図である。 第２の実施の形態におけるユーザ端末３の機能構成図（第１の例）である。 第２の実施の形態におけるユーザ端末３の機能構成図（第２の例）である。 第３の実施の形態における鍵生成管理装置１の機能構成図である。 第３の実施の形態におけるユーザ端末３の機能構成図である。 ログイン時の動作を説明するための図である。 第４の実施の形態における鍵生成管理装置１の機能構成図である。 第４の実施の形態におけるユーザ端末３の機能構成図である。 動作の流れを説明するための図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

［第１の実施の形態］
（システム構成）
図１に、本発明の第１の実施の形態に係る鍵管理システムの全体構成を示す。図１に示すように、本実施の形態の鍵管理システムは、鍵生成管理装置１とユーザ端末３がネットワーク２を介して接続された構成を有している。

鍵生成管理装置１は、ユーザ端末３からの初期設定操作に基づいて秘密鍵（以降、鍵と呼ぶ）を生成し、保管するとともに、ユーザ端末３からの要求に基づいて、ユーザ端末３に鍵を提供する等の処理を行う装置である。ユーザ端末３は、本実施の形態では、例えばスマートフォンなどの携帯端末を想定しているが、本発明においてユーザ端末３は特定の種類の端末に限られるわけではなく、ＰＣ等でもよい。

＜鍵生成管理装置１＞
図２に、鍵生成管理装置１の機能構成図を示す。図２に示すように、鍵生成管理装置１は、制御部１１、ユーザ認証部１２、鍵提供用認証部１３、鍵生成部１４、クライアント識別ＩＤ生成部１５、データ格納部１６を有する。以下、各機能部の概要を説明する。より詳細な事項については後の動作説明のところで述べる。

制御部１１は、データの入出力や処理の流れを制御する機能部である。ユーザ認証部１２は、初期設定時に、ユーザ端末３から受信するユーザＩＤとパスワードに基づいてユーザ認証を行う機能部である。鍵提供用認証部１３は、ユーザ端末３から受信するログイン情報に基づいて、認証を行い、認証に成功した場合に鍵をユーザ端末３に提供する機能部である。

鍵生成部１４は、ユーザ認証部１２による認証に成功した場合に、ユーザに対応する鍵を生成し、データ格納部１６に格納する機能部である。クライアント識別ＩＤ生成部１５は、ユーザ認証部１２による認証に成功した場合に、ユーザ端末３に対応するクライアント識別ＩＤ（端末識別コード）を生成し、データ格納部１６に格納する機能部である。データ格納部１６は、複数のテーブルからなるデータベースを構成する機能部であり、物理的には、不揮発性メモリ、ハードディスク等により実現される。

本実施の形態、第２、第３、及び第４の実施の形態における鍵生成管理装置１は、１つ又は複数のコンピュータ（サーバ）に、実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、情鍵生成管理装置１の各部が有する機能は、当該鍵生成管理装置１を構成するコンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。また、上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

＜ユーザ端末３＞
図３に、ユーザ端末３の機能構成図を示す。本例でのユーザ端末３は、鍵管理アプリ部３１、特定データ格納部３２、一時データ格納部３３、特定アプリ部３４、一般アプリ部３５、一般データ格納部３６、表示・操作部３７、データ送受信部３８を有する。以下、各機能部の概要を説明する。より詳細な事項については後の動作説明のところで述べる。

鍵管理アプリ部３１は、本発明に係る鍵管理を行う機能部であり、鍵管理アプリケーションが実行されることで実現される。特定データ格納部３２は、鍵管理アプリ部３１により暗号化されたデータが格納される格納部であり、例えば、ハードディスク、不揮発性メモリ等から構成される。特定アプリ部３４は、暗号化したデータを特定データ格納部３２に格納するとともに、当該データを暗号化・復号処理部４４へ渡し、復号処理を行う特定のアプリケーション（本実施の形態では特定アプリケーションと呼ぶ）による機能部である。なお、「アプリケーション」は、コンピュータの機能を有するユーザ端末３において実行されるプログラムであり、「アプリ」と呼ぶ場合もある。

一般アプリ部３５は、特定アプリケーションでない一般的なアプリケーションによる機能部であり、特定データ格納部３２を利用することはできず、一般データ格納部３６を利用できる。

一時データ格納部３３は、鍵管理アプリ部３１に関わる処理に用いるデータを一時的に記憶する格納部であり、ＲＡＭ等におけるメモリ領域に相当する。

表示・操作部３７は、表示及び操作を行う機能部であり、本実施の形態ではタッチスクリーンを想定している。データ送受信部３８は、通信機能を持ち、ネットワーク２を介して鍵生成管理装置１とデータ通信を行う機能を有する。

なお、図３では、特定アプリ部３４と一般アプリ部３５を１つづつ示しているが、これは一例であり、これらそれぞれが複数個あってもよい。また、特定アプリ部３４と一般アプリ部３５がなくてもよい。

図３に示すように、鍵管理アプリ部３１は、主な機能部として、初期設定処理部４１、ログイン処理部４２、一時データ削除部４３、暗号化・復号処理部４４、ワイプ処理部４５を有する。

初期設定処理部４１は、ユーザによる初期設定操作情報を鍵生成管理装置１に送信し、鍵生成管理装置１から鍵とクライアント識別ＩＤを受信し、鍵を一時データ格納部３３に格納し、クライアント識別ＩＤを暗号化して特定データ格納部３２に格納する等の処理を行う機能部である。

ログイン処理部４２は、初期設定が終了し、ログアウト状態になっている場合においてログイン処理を行う機能部であり、ユーザにより入力された暗証番号（初期設定時に指定したもの、以降、これをＰＩＮと呼ぶ。ＰＩＮは認証コードの一種である。）と、保持しているクライアント識別ＩＤとを鍵生成管理装置１に送信し、鍵生成管理装置１から鍵を受信し、鍵を一時データ格納部３３に格納する機能部である。

一時データ削除部４３は、予め設定した所定の条件に基づいて、一時データ格納部３３に格納されたデータを削除する機能部である。暗号化・復号処理部４４は、ユーザＩＤ及びパスワードを鍵で暗号化して特定データ格納部３２に格納するとともに、当該特定データ格納部３２から当該暗号化データを読み出して復号したり、特定アプリ部３４からのデータを鍵で暗号化して特定データ格納部３２に格納するとともに、当該特定データ格納部３２から当該暗号化データを読み出して復号する機能等を有する。

また、鍵管理アプリ部３１は、例えばカメラ等の一般的なアプリに相当する機能部を備えてもよく、当該機能部は、暗号化・復号処理部４４を介して、データを暗号化して特定データ格納部３２に格納し、特定データ格納部３２から暗号化データを読み出して復号し、復号されたデータを取得できる。

ワイプ処理部４５は、例えば、外部から予め定められた命令を受けた場合に、特定データ格納部３２に格納された全てのデータを削除する機能を有する。予め定められた命令は、表示・操作部３７から入力されることとしてもよいし、データ送受信部３８を介して、遠隔の装置からネットワーク２を介して受信することとしてもよい。

本実施の形態、第２、第３、及び第４の実施の形態におけるユーザ端末３における鍵管理アプリ部３１は、コンピュータ（スマートフォン等の携帯端末を含む）に、実施の形態で説明する鍵管理アプリ部３１の処理内容を記述したアプリケーションプログラムを実行させることにより実現可能である。すなわち、ユーザ端末３における鍵管理アプリ部３１の各部が有する機能は、当該コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、鍵管理アプリ部３１の各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。また、上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

（システムの動作）
以下、上記の構成を有する本実施の形態に係る鍵管理システムの動作を説明する。

＜初期設定＞
まず、図４のシーケンス図を参照して初期設定時の動作を説明する。図４には、各シーケンスの状態において、ユーザ端末３における特定データ格納部３２と一時データ格納部３３に格納されているデータ、及び入力データが示され、鍵生成管理装置１におけるデータ格納部１６に格納されているデータが示されている。

ユーザ端末３（鍵管理アプリ部３１）の初期設定処理部４１により表示される入力画面から、ユーザはユーザＩＤ、パスワード、ＰＩＮを入力する（ステップ１）。ここでのユーザＩＤ及びパスワードは、予めシステム側に登録したデータである。ＰＩＮはユーザが自分で決めるデータである。

初期設定処理部４１は、ユーザ端末３内から、ユーザ端末３に固有の情報である端末固有識別情報を取得し、上記入力されたデータとともに、データ送受信部３８を介して、鍵生成管理装置１に送信する（ステップ２）。ユーザ端末３において、入力されたデータのうち、ユーザＩＤとパスワードは一時データ格納部３３に格納される。

端末固有識別情報は、例えば、ユーザ端末３のＯＳ（オペレーティングシステム）に組み込まれているＩＤであるが、これに限られるわけではない。

ユーザＩＤ、パスワード、ＰＩＮ、及び端末固有識別情報を受信した鍵生成管理装置１において、ユーザ認証部１２が、ユーザＩＤ、パスワードにより認証を行う（ステップ３）。認証は、鍵生成管理装置１が予め登録されたユーザＩＤ及びパスワードを保持し、この保持したユーザＩＤ及びパスワードと、受信したユーザＩＤ及びパスワードとを照合することにより行う。もしくは、予め登録されたユーザＩＤ及びパスワードは、外部の装置にあり、ユーザ認証部１２が当該外部の装置に問い合わせることで認証を行うこととしてもよい。なお、本実施の形態におけるユーザＩＤ、パスワードは、特定アプリケーション（特定アプリ部３４）により、ネットワーク上のサービスを利用する場合にも用いられるデータである。また、鍵管理アプリ部３１が、アプリの機能を含む場合に、当該機能がネットワーク上のサービスを利用する場合にも用いられるデータである。

ステップ３の認証に失敗した場合は以降の処理は行われない。本例では認証に成功したものとする。続いて、鍵生成部１３が、ユーザＩＤに基づき鍵（図４ではＫｅｙと表示、以降、Ｋｅｙと呼ぶ）を生成し、クライアント識別ＩＤ生成部１５が、端末固有識別情報に基づきクライアント識別ＩＤ（図４ではＣＬ−ＩＤと表示、以降、ＣＬ−ＩＤと呼ぶ）を生成し、それぞれデータ格納部１６に格納する（ステップ４）。また、ユーザ端末３から受信したユーザＩＤとＰＩＮもデータ格納部１６に格納される。これらのデータは、テーブルのレコードとして、互いに対応付けられて格納される。なお、本発明における暗号鍵の方式は特定の方式に限られないが、例えば、共通鍵暗号方式、もしくは公開鍵暗号方式を使用することができる。

上記のようにＫｅｙはユーザＩＤから、例えば、ハッシュ関数により生成されるものであり、ユーザＩＤに一意に対応する。従って、例えば、当該ユーザＩＤを持つユーザが複数台の端末を使用する場合、複数台の端末で同じＫｅｙが使用される。これにより、例えば、ある端末で暗号化したデータをサーバで保管等を行った場合に、他の端末からでも当該暗号化データの復号を行うことができるようになる。

また、ＣＬ−ＩＤは、端末固有識別情報から、例えばハッシュ関数により生成されるものであり、端末に固有、すなわち、端末毎に異なる情報となる。

鍵生成管理装置１は、制御部１１により、ＫｅｙとＣＬ−ＩＤをユーザ端末３に送信する（ステップ５）。なお、本実施の形態及び第２の実施の形態において、鍵生成管理装置１からユーザ端末３にＫｅｙ等のデータを送る場合、例えばＳＳＬを用いることにより、暗号化して送ることとしてもよい。

ＫｅｙとＣＬ−ＩＤを受信したユーザ端末３において、鍵管理アプリ部３１の初期設定処理部４１の制御により、受信したＫｅｙは一時データ格納部３３に格納されるとともに、暗号化・復号処理部４４が、一時データ格納部３３に格納されているユーザＩＤとパスワードを、受信したＫｅｙで暗号化し、特定データ格納部３２に格納する。また、受信したＣＬ−ＩＤはユーザ端末３が保持する別の鍵で暗号化して特定データ格納部３２に格納される。この後はログイン状態に移行する。なお、Ｋｅｙを一時データ格納部３３に格納する際、Ｋｅｙを、一時データ格納部３３を構成しているメモリ上に分散して格納することとしてもよい。これにより、メモリリークの防止効果を高め、セキュリティを高めることができる。

＜ログイン処理＞
次に、図５を参照して、ログイン時の処理を説明する。図５に示す処理は、初期設定後、もしくはログイン後に、ログアウト操作等により、ログアウト状態になっており、一時データ格納部３３にデータが格納されていない状態であることを前提としている。

まず、ユーザは、鍵管理アプリ部３１のログイン処理部４２により表示される画面から、初期設定時に入力したものと同じＰＩＮを入力するログイン操作を行う（ステップ１１）。このように、ログイン時には、ＰＩＮを入力するだけでよいので、ユーザの利便性が高い。

ログイン操作を受けたログイン処理部４２は、特定データ格納部３２に格納されている暗号化されたＣＬ−ＩＤを復号し、一時データ格納部３３に格納するとともに（ステップ１２）、ＣＬ−ＩＤとＰＩＮを鍵生成管理装置１に送信する（ステップ１３）。送信後、一時データ格納部３３に格納されたＣＬ−ＩＤは削除される。

ＣＬ−ＩＤとＰＩＮを受信した鍵生成管理装置１において、鍵提供用認証部１３は、受信したＣＬ−ＩＤ及びＰＩＮと同じＣＬ−ＩＤ及びＰＩＮがデータ格納部１６に格納されているかどうかをチェックすることで認証を行う（ステップ１４）。鍵提供用認証部１３は、受信したＣＬ−ＩＤ及びＰＩＮと同じクライアントＩＤ及びＰＩＮがデータ格納部１６に格納されている場合に認証に成功したと判断する。認証に失敗した場合、例えば、認証エラーをユーザ端末３に返し、ユーザ端末３では再びＰＩＮ入力を行う。ここで、ユーザ端末３の鍵管理アプリ部３１が、所定回数認証に失敗したことを検知した場合に、特定データ格納部３２に格納されたデータを全て削除することとしてもよい。これにより、例えば、ユーザ端末３が盗難にあって、不正にログインを試みられた場合等において、重要なデータを開示してしまうことを防止できる。

認証に成功した場合、当該ＣＬ−ＩＤ及びＰＩＮに対応付けて格納されているＫｅｙをデータ格納部１６から読み出して、ユーザ端末３に送信する（ステップ１５）。

Ｋｅｙを受信したユーザ端末３では、鍵管理アプリ部３１のログイン処理部４１の制御により、暗号化・復号処理部４４が、特定データ格納部３２に格納されている暗号化されたユーザＩＤとパスワードを、受信したＫｅｙを用いて復号し、復号されたユーザＩＤとパスワード、及びＫｅｙを一時データ格納部３２に格納する（ステップ１６）。

ユーザ端末３は、一時データ格納部３２に格納されたＫｅｙを用いることにより、特定データ格納部３２に格納されているＫｅｙで暗号化された種々のデータを復号する。また、外部のサーバから、Ｋｅｙで暗号化されたデータを取得して、復号する場合もある。

＜ログイン後の特定アプリの動作について＞
上記のように、ログイン後（又は初期設定後）は、Ｋｅｙ、ユーザＩＤ、パスワードが一時データ格納部３３に格納されており、これらは特定アプリ部３４及び鍵管理アプリ部３１により利用することができる。特定アプリ部３４は、鍵管理アプリ部３１にアクセスすることにより、暗号化・復号処理部４４を利用して、データをＫｅｙで暗号化して特定データ格納部３２に格納し、暗号化されたデータを暗号化・復号処理部４４により復号して取得することができる。

また、特定アプリ部３４は、鍵管理アプリ部３１を介して、一時データ格納部３３に格納されたユーザＩＤ、パスワードを取得し、これらを利用して、例えば、ユーザＩＤ、パスワードによる認証が必要なネットワーク上のサービスを利用することができる。

また、鍵管理アプリ部３１の特定データ格納部３２には、特定アプリケーション（特定アプリ部）しかアクセスできない。そのようにするために、鍵管理アプリ部３１にアクセス判定手段が備えられる。本例では、アクセス判定手段がアクセス可能なメモリ等の記憶手段に特定アプリケーションの識別子を予め登録しておく。アクセス判定手段は、アクセスしてきたアプリケーションからの識別子が、登録された識別子であればアクセスを許可し、登録された識別子でなければアクセスを許容しない。特定アプリ部３４からのアクセスには当該識別子が含まれているので、アクセスが許可され、特定データ格納部３２にデータを暗号化して格納することができる。

すなわち、鍵管理アプリ部３１においてアプリケーションのアクセス権が識別子により設定されており、データの暗号化、復号の際に、アプリケーションを確認してアクセス権限があるかどうかを確認している。

＜データ削除について＞
まず、図６を参照して、一時データ格納部３３に格納されたデータの削除について説明する。本実施の形態における一時データ削除部４３は、一時データ格納部３３に格納されたデータの削除を行う条件を設定するための画面を表示し、入力された条件を記憶手段に格納し、当該条件に従って、一時データ格納部３３に格納されたデータであるＫｅｙ、ユーザＩＤ、パスワードを一時データ格納部３３から削除する。

本実施の形態では、上記条件として、特定アプリ部３４又は鍵管理アプリ部３１（特定アプリの一種）のログアウト操作が行われたこと、特定アプリ部３４又は鍵管理アプリ部３１に対するユーザによる操作が行われなくなってから所定時間経過したこと、などを設定できる。上記所定時間は、例えば、５分、１０分、といったように、所望の時間を設定できる。

図６の例では、例えば、特定アプリ部３４及び鍵管理アプリ部３１のいずれの操作も５分間なかった場合に一時データ格納部３３に格納されたデータの削除を行うという設定がされている場合において、ステップ２１で、一時データ削除部４３が、当該条件が満たされたことを検知し、一時データ格納部３３に格納されたデータを削除する。その後は、ログアウトされた状態になり、再度、特定アプリ部３４等を利用するためには、図５で説明したログイン操作を行う。

また、上記以外の条件として、ユーザ端末３と鍵生成管理装置１との間にログイン処理時に生成されたセッションをユーザ端末３が監視し、セッションが切れた場合にそのことを検知し、一時データ格納部３３に格納されたデータを削除することとしてもよい。

また、ワイプ処理部４５が、ワイプ命令を受けた場合、ワイプ処理部４５は、特定データ格納部３２に格納された全てのデータを削除する。なお、一般データ格納部３６に格納されたデータは、ワイプ処理部４５により削除されることはない。

［第２の実施の形態］
上述した第１の実施の形態では、所定の条件に従って、ユーザ端末３の一時データ格納部３３に格納されたデータであるＫｅｙを一時データ格納部３３から削除することとしているので、ユーザ端末３が紛失等した場合でも、Ｋｅｙが第三者に漏洩する可能性は低い。しかし、可能性は低いものの、一時データ格納部３３にＫｅｙが格納された状態でユーザ端末３が紛失等した場合には、Ｋｅｙが第三者に漏洩する恐れがある。また、鍵生成管理装置１において、不正アクセス等がなされた場合に、データ格納部１６に格納されたＫｅｙが盗まれる恐れもある。

第２の実施の形態では、上記のようなＫｅｙの漏洩の問題を解消するために、公開鍵暗号方式によりＫｅｙを暗号化する。以下、具体的な処理内容について説明する。以下では、第１の実施の形態と異なる部分について説明する。

図７に本実施の形態における鍵生成管理装置１の機能構成図を示す。図７に示すように、暗号化部１７を備える点が第１の実施の形態における鍵生成管理装置１と異なる。暗号化部１７は、ユーザ毎に発行される公開鍵を取得し、鍵生成部１４で生成されたＫｅｙを当該公開鍵で暗号化し、暗号化したＫｅｙ（"暗号化Ｋｅｙ"と記述する）をデータ格納部１６に格納する。

すなわち、本実施の形態では、図４に示した初期設定時の動作のステップ４において、ユーザＩＤに基づきＫｅｙを生成した後、Ｋｅｙをデータ格納部１６に格納する前に、暗号化部１７が、当該ユーザＩＤに対応した公開鍵によりＫｅｙを暗号化し、暗号化Ｋｅｙをデータ格納部１６に格納する。本実施の形態では、図４におけるＫｅｙは"暗号化Ｋｅｙ"に置き換わる。ただし、図４のステップ６については、後述する復号部４６により暗号化Ｋｅｙを復号し、復号により得たＫｅｙを用いてユーザＩＤとパスワードを暗号化する。また、一時データ格納部１６に格納されるＫｅｙは、暗号化Ｋｅｙとなる。

公開鍵に関し、例えば、ユーザＩＤに対応付けて予め鍵生成管理装置１の記憶手段に格納しておき、暗号化時に当該記憶手段から読み出してＫｅｙ暗号化に用いることとしてもよいし、暗号化時に、暗号化部１７が外部のサーバ等から該当ユーザＩＤに対応する公開鍵を取得してＫｅｙ暗号化に用いることとしてもよい。

このように、鍵生成管理装置１においてＫｅｙを暗号化して格納することにより、たとえ不正アクセスを受けて暗号化Ｋｅｙが漏洩したとしても、公開鍵とペアとなる秘密鍵が知られない限り、Ｋｅｙが第三者に知られることはなくなる。

図８に、本実施の形態におけるユーザ端末３の機能構成図を示す。図８に示すように、復号部４６、外部記憶媒体接続部４７を備える点が第１の実施の形態におけるユーザ端末３と異なる。

外部記憶媒体接続部４７は、Ｋｅｙを暗号化した公開鍵に対応する秘密鍵を格納した外部記憶媒体（例：ＩＣカード、ＳＤカード、ＵＳＢメモリ等）を接続（セット）し、復号部４６が、外部記憶媒体４８に格納されている秘密鍵を読み取ることができるようにする機能部である。

鍵管理アプリ部３１や特定アプリ部３４等がＫｅｙを使用する際に、復号部４６は、一時データ格納部３３に格納された暗号化Ｋｅｙを読み出し、外部記憶媒体４８から読み出した秘密鍵を用いて暗号化Ｋｅｙを復号し、復号して得たＫｅｙをメモリ等の記憶手段（これは一時データ格納部３３であってもよい）に格納する。当該記憶手段に格納されたＫｅｙは、Ｋｅｙを使用する機能部（例：暗号化・復号処理部４４）により読み出され、Ｋｅｙにより暗号化されたデータの復号に用いられる。本実施の形態では、Ｋｅｙにより暗号化されたデータの復号処理が終了した時点で、すぐにＫｅｙをメモリから削除する。この削除処理は、復号部４６が行ってもよいし、Ｋｅｙを使用した機能部が行ってもよい。

図５、図６に示した動作において、本実施の形態では、Ｋｅｙは"暗号化Ｋｅｙ"に置き換わる。特に図５のステップ１６において、暗号化Ｋｅｙを受信したユーザ端末３では、鍵管理アプリ部３１のログイン処理部４１の制御により、復号部４６が秘密鍵を用いて暗号化Ｋｅｙを復号し、暗号化・復号処理部４４が、特定データ格納部３２に格納されている暗号化されたユーザＩＤとパスワードを、復号したＫｅｙを用いて復号し、復号されたユーザＩＤとパスワード、及び暗号化Ｋｅｙを一時データ格納部３２に格納する。なお、前述したとおり、復号されたＫｅｙはすぐに削除される。

図８に示したユーザ端末３の利用者は、Ｋｅｙでの復号を要する場合にのみ外部記憶媒体４８を外部記憶媒体接続部４７にセットし、Ｋｅｙでの復号が終わったら外部記憶媒体４８を外部記憶媒体接続部４７から取り外すことを想定している。これにより、利用者は、通常、外部記憶媒体４８のセットされていないユーザ端末３を持ち運ぶことになり、仮にこのユーザ端末３が紛失等したとしてもＫｅｙが第三者に知られることはない。

本実施の形態においてＫｅｙの暗号化及び復号に用いる公開鍵暗号方式は、特定の方式に限定されるわけではなく、種々の公開鍵暗号方式を用いることができる。例えば、クラウド鍵管理型暗号方式と呼ばれる方式を用いてもよい。クラウド鍵管理型暗号方式では、秘密鍵をユーザ側に保管しない。クラウド鍵管理型暗号方式の公開鍵で暗号化された暗号化データの復号処理をユーザ端末から外部サーバ（以下、クラウド鍵サーバと呼ぶ）に要求することにより、ユーザ端末において暗号化データが復号され、データを得ることができる。クラウド鍵管理型暗号方式では、暗号化データの復号処理の際に、秘密鍵及び復号されたデータが外部に出ることはない。

クラウド鍵管理型暗号方式を用いた場合の鍵生成管理装置１の機能構成及び動作は図７を参照して説明したものと同じである。

クラウド鍵管理型暗号方式を用いた場合のユーザ端末３の機能構成を図９に示す。図９に示すように、クラウド復号部４９を備える点が第１の実施の形態でのユーザ端末３と異なる。また、秘密鍵をユーザ側で持つ必要がないので、図８に示した例と異なり、外部記憶媒体４８等の秘密鍵を記憶する手段を持たない。

鍵管理アプリ部３１や特定アプリ部３４等がＫｅｙを使用する際に、クラウド復号部４９は、一時データ格納部３３に格納された暗号化Ｋｅｙを読み出し、クラウド鍵サーバ５０に対し、ネットワークを介して暗号化Ｋｅｙの復号を要求することにより、暗号化Ｋｅｙを復号し、復号して得たＫｅｙをメモリ等の記憶手段（これは一時データ格納部３３であってもよい）に格納する。前述したとおり、当該記憶手段に格納されたＫｅｙは、Ｋｅｙを使用する機能部（例：暗号化・復号処理部４４）により読み出され、Ｋｅｙにより暗号化されたデータの復号に用いられる。本実施の形態では、Ｋｅｙにより暗号化されたデータの復号処理が終了した時点で、すぐにＫｅｙをメモリから削除する。この削除処理は、クラウド復号部４９が行ってもよいし、Ｋｅｙを使用した機能部が行ってもよい。

クラウド鍵管理型暗号方式を用いる場合についても、図５、図６に示した動作において、Ｋｅｙは"暗号化Ｋｅｙ"に置き換わる。特に図５のステップ１６において、暗号化Ｋｅｙを受信したユーザ端末３では、鍵管理アプリ部３１のログイン処理部４１の制御により、クラウド復号部４９がクラウド鍵サーバ５０を用いて暗号化Ｋｅｙを復号し、暗号化・復号処理部４４が、特定データ格納部３２に格納されている暗号化されたユーザＩＤとパスワードを、復号したＫｅｙを用いて復号し、復号されたユーザＩＤとパスワード、及び暗号化Ｋｅｙを一時データ格納部３２に格納する。復号したＫｅｙはすぐに削除される。

クラウド鍵管理型暗号方式では、暗号化Ｋｅｙを復号するための秘密鍵をユーザ側で用いる必要がないため、図８に示した例のような外部記憶媒体を使用する必要がなく、図８に示した例よりも利便性が向上する。

公開鍵暗号方式として、上記のクラウド鍵管理型暗号方式の他、ＩＢＥ（Identity Based Encryption）方式、インテリジェント暗号方式などを用いてもよい。

［第３の実施の形態］
次に、第３の実施の形態について説明する。第３の実施の形態は、第１の実施の形態に対し機能が付加された形態であり、以下ではその付加された機能について主に説明する。

第１の実施の形態（第２の実施の形態も同様）における特定アプリはビジネスで利用するビジネスアプリであり、一般アプリはプライベートで利用するプライベートアプリであることを想定している。第１の実施の形態で説明したように、一般アプリに相当する一般アプリ部３５は一般データ格納部３６にデータを保存し、特定アプリに相当する特定アプリ部３４は特定データ格納部３２にデータを保存することとしており、第１の実施の形態において、データ保存先の分離が実現されている。すなわち、データ保存先についての公私分離が実現されている。また、特定データ格納部３２により、ユーザ端末３におけるＯＳそのもののファイルシステムとは独立したファイルシステムが提供される。つまり、ユーザ端末３において複数の特定アプリが１つのファイルシステムを共有できる。

一般アプリ、及び特定アプリは、ユーザ端末３のＯＳで管理され、例えばスマートフォン上で表示されるアプリ一覧のように、これらは表示・操作部３７上で表示され、ユーザによる選択操作により起動される。つまり、第１の実施の形態では、一般アプリ、及び特定アプリは一緒に表示され、ユーザインタフェースの観点における公私分離は実現されていない。

第３の実施の形態では、例えばビジネスでの利用シーンにおいては、特定アプリ（ビジネスアプリ）のみを表示し、特定アプリのみ起動できるようにする。すなわち、第３の実施の形態では、第１の実施の形態で説明した機能に対し、以下で説明する機能を付加することで、ユーザインタフェースの観点における公私分離を実現する。以下では、ユーザ端末３が鍵生成管理装置１にログインしている状態をビジネスモードと呼ぶ。

図１０に本実施の形態における鍵生成管理装置１の機能構成図を示す。図１０に示すように、ホワイトリスト管理部１８を備える点が第１の実施の形態における鍵生成管理装置１と異なる。

本実施の形態では、データ格納部１６に、ユーザＩＤ、Ｋｅｙ、ＣＬ−ＩＤ、ＰＩＮに加えて、１つ又は複数の特定アプリ（具体的にはビジネスアプリ）の情報が、上記ユーザＩＤ等と対応付けて格納される。特定アプリの情報は、特定アプリを識別可能な情報であればどのような情報でもよいが、例えば、アプリの名前、アイコン画像、バージョン情報等が含まれてよい。特定アプリの情報の集合（リスト）をホワイトリストと呼ぶ。

ホワイトリスト管理部１８は、制御部１１から受信するユーザ端末３からの要求に基づいて、特定アプリの情報をデータ格納部１６に登録したり、ユーザ端末３からのログイン成功時に、ユーザＩＤ等に対応するホワイトリストをデータ格納部１６から読み出して、制御部１１に渡すことで、ホワイトリストをユーザ端末３に送信する機能を含む。なお、ホワイトリストの登録は、上記のようにユーザ端末３から行うこととしてもよいし、システム側（サービス提供側）で行うこととしてもよい。

図１１に、本実施の形態におけるユーザ端末３の機能構成図を示す。図１１に示すように、アプリ表示制御部５１とアプリ呼び出し制御部５２を備える点が第１の実施の形態におけるユーザ端末３と異なる。

アプリ表示制御部５１は、一時データ格納部３３に格納されているホワイトリストを参照し、当該ホワイトリストに含まれる特定アプリのアイコン（群）を選択可能に表示・操作部３７に表示する機能を含む。表示されるアプリには、一般アプリは含まれない。特定アプリの実体（プログラム）は、例えば、ユーザ端末３にインストール済みであり、ＯＳにより管理される記憶領域に格納されている。表示・操作部３７上に表示されている１つ又は複数の特定アプリのうちの１つの特定アプリが選択されることで、アプリ表示制御部５１の制御により、当該特定アプリが起動され、例えば図１１に示す特定アプリ部３４として機能する。

また、例えば、選択された特定アプリが、ユーザ端末３にインストールされていない場合、アプリ表示制御部５１が、アプリの提供サイトにアクセスし、当該提供サイトにおける当該特定アプリの販売画面を表示し、特定アプリを購入できるようにしてもよい。

また、本実施の形態では、ユーザ端末３は、鍵生成管理装置１に対するログインをしていない非ビジネスモードの場合、特定アプリを表示・操作部３７に表示せず、一般アプリのみを表示するように構成されている。

本実施の形態では、ユーザ端末３のＯＳは、あるアプリから、他のアプリ（プログラム）を呼び出す要求（例：Ｉｎｔｅｎｔ要求）を受けて、当該他のアプリを呼び出す機能を有している。この場合、特定アプリから一般アプリが呼び出され、ビジネスモードであるにも関わらず、一般アプリが起動し、表示される懸念がある。

そこで、本実施の形態では、アプリ呼び出し制御部５２を備えることとした。アプリ呼び出し制御部５２は、ビジネスモード時に、特定アプリ部３４から出されるアプリ呼び出し要求を取得し、一時データ格納部３３に格納されているホワイトリストを参照し、当該アプリ呼び出し要求により呼び出す対象としているアプリがホワイトリストの中のいずれかの特定アプリに該当する場合は呼び出しを許可し、呼び出す対象としているアプリがホワイトリストの中のいずれの特定アプリにも該当しない場合は呼び出しを禁止する制御を行う機能を含む。呼び出しを許可する場合は、呼び出し要求がＯＳに渡され、呼び出す対象としているアプリが起動される。呼び出しを禁止する場合は、呼び出し要求は破棄される。

次に、図１２を参照して、本実施の形態におけるログイン時の動作を説明する。図１２に示す処理は、初期設定後、もしくはログイン後に、ログアウト操作等により、ログアウト状態になっており、一時データ格納部３３にデータが格納されていない状態であることを前提としている。

まず、ユーザは、鍵管理アプリ部３１のログイン処理部４２により表示される画面から、初期設定時に入力したものと同じＰＩＮを入力するログイン操作を行う（ステップ３１１）。

ログイン操作を受けたログイン処理部４２は、特定データ格納部３２に格納されている暗号化されたＣＬ−ＩＤを復号し、一時データ格納部３３に格納するとともに（ステップ３１２）、ＣＬ−ＩＤとＰＩＮを鍵生成管理装置１に送信する（ステップ３１３）。送信後、一時データ格納部３３に格納されたＣＬ−ＩＤは削除される。

ＣＬ−ＩＤとＰＩＮを受信した鍵生成管理装置１において、鍵提供用認証部１３は、受信したＣＬ−ＩＤ及びＰＩＮと同じＣＬ−ＩＤ及びＰＩＮがデータ格納部１６に格納されているかどうかをチェックすることで認証を行う（ステップ３１４）。鍵提供用認証部１３は、受信したＣＬ−ＩＤ及びＰＩＮと同じクライアントＩＤ及びＰＩＮがデータ格納部１６に格納されている場合に認証に成功したと判断する。認証に失敗した場合、例えば、認証エラーをユーザ端末３に返し、ユーザ端末３では再びＰＩＮ入力を行う。

認証に成功した場合、鍵提供用認証部１３は、当該ＣＬ−ＩＤ及びＰＩＮに対応付けて格納されているＫｅｙをデータ格納部１６から読み出して、ユーザ端末３に送信とともに、ホワイトリスト管理部１８は、当該ＣＬ−ＩＤ及びＰＩＮに対応付けて格納されているホワイトリストをデータ格納部１６から読み出して、ユーザ端末３に送信する（ステップ３１５）。

Ｋｅｙ及びホワイトリストを受信したユーザ端末３では、鍵管理アプリ部３１のログイン処理部４１の制御により、暗号化・復号処理部４４が、特定データ格納部３２に格納されている暗号化されたユーザＩＤとパスワードを、受信したＫｅｙを用いて復号し、復号されたユーザＩＤとパスワード、及びＫｅｙを一時データ格納部３２に格納し、更に、ログイン処理部４１等が、ホワイトリストを一時データ格納部３３に格納する（ステップ３１６）。

その後、アプリ表示制御部５１が、一時データ格納部３３からホワイトリストを読み出し、当該ホワイトリストに含まれる特定アプリのアイコンを選択可能に表示・操作部３７に表示する。これにより、ユーザは、所望の特定アプリを起動することができる。

[第４の実施の形態]
第３の実施の形態で説明したビジネス、プライベートの公私分離を可能とする機能を用いた他の利用シーンとしては、例えば、ライセンス管理を目的とした端末分離、シークレットモードへの活用等がある。

ライセンス管理を目的とした端末分離は、企業契約ライセンスを利用するアプリが利用できるモードと、当該モード以外のプライベートモードとを分離するものである。

シークレットモードへの活用とは、私用で利用するアプリを他のアプリから分離する活用形態である。つまり、個人利用であっても端末紛失時に情報漏洩が心配されるアプリ（例：金融関連アプリ）等を、他のアプリと分けて管理するものである。

また、シークレットモードのデータ（アカウントデータを含む）を権限委譲できる仕組みを設けてもよい。例えば、長時間ログインがない状態である場合に、特定のユーザにデータを引き継ぐ仕組みを設けてもよい。これにより、例えば、死後に自動的にデータを引き継ぐサービスを実現できる。

データを引き継ぐ仕組みを第４の実施の形態として説明する。第４の実施の形態は、第１の実施の形態に対し機能が付加された形態であり、以下ではその付加された機能について主に説明する。

図１３に本実施の形態における鍵生成管理装置１の機能構成図を示す。図１３に示すように、データ引き継ぎ部１９を備える点が第１の実施の形態における鍵生成管理装置１と異なる。

データ引き継ぎ部１９は、制御部１１を介して、引き継ぎ元のユーザ端末から、特定データ格納部３２に格納されていた、Ｋｅｙ（Ｋｅｙ１とする）で暗号化されたデータを受信し、データ格納部１６に格納されているＫｅｙ１で当該データを復号し、引き継ぎ先のユーザ端末のＫｅｙ（Ｋｅｙ２とする）で当該データを暗号化し、暗号化したデータを、引き継ぎ先のユーザ端末のユーザＩＤ等と対応づけてデータ格納部１６に格納する機能を有する。また、鍵生成管理装置１が、引き継ぎ先のユーザ端末から、例えばログイン等でアクセスを受けた場合に、データ引き継ぎ部１９は、データ格納部１６に格納されている暗号化されたデータを、制御部１１を介して引き継ぎ先のユーザ端末に送信（ダウンロード）する機能を備える。

図１４に、本実施の形態におけるユーザ端末３の機能構成図を示す。図１４に示すように、引き継ぎ制御部６１を備える点が第１の実施の形態におけるユーザ端末３と異なる。

引き継ぎ制御部６１は、鍵生成管理装置１に対してログインしていない期間をカウントし、タイマが予め定めた値に達した場合に、データを特定のユーザに引き継ぐ状態になったと判定し、特定データ格納部３２に格納されている暗号化されたデータをデータ送受信部３８から鍵生成管理装置１に送信する機能を備える。また、データ送信後、引き継ぎ制御部６１は、ワイプ処理部４５に指示することにより、特定データ格納部３２に格納されているデータを削除する機能も有する。なお、データを特定のユーザに引き継ぐ状態になったと判定する契機は、ログインしていない期間が所定値に達した場合に限られるわけではなく、その他の条件を満足したときに、データを特定のユーザに引き継ぐ状態になったと判定してもよい。

本実施の形態において、Ｋｅｙにより暗号化されたデータには、Ｋｅｙにより暗号化されたユーザＩＤ及びパスワードが含まれており、データ引き継ぎにより、当該ユーザＩＤ及びパスワードも引き継がれる。従って、引き継ぎ先のユーザは、引き継ぎ元のユーザのアカウントを引き継ぐことができる。

次に、図１５を参照して、本実施の形態における動作の流れを説明する。本例では、引き継ぎ元となるユーザ端末Ａと、引き継ぎ先となるユーザ端末Ｂと、鍵生成管理装置１が存在し、ユーザ端末Ａ，Ｂはいずれも図１４に示す構成を備えるものとする。また、本例では、鍵生成管理装置１のデータ格納部１６に、ユーザ端末ＡのユーザＩＤ等のデータに対応付けて、引き継ぎ先がユーザ端末Ｂであることを示すユーザ端末ＢのユーザＩＤ等が予め格納されているものとする。また、ユーザ端末Ａに対応するＫｅｙをＫｅｙ−Ａとし、ユーザ端末Ｂに対応するＫｅｙをＫｅｙ−Ｂとする。

ユーザ端末Ａの引き継ぎ制御部６１は、ログインがされていない状態が所定期間経過したことを検知すると（ステップ４０１）、特定データ格納部３２に格納されているデータ（Ｋｅｙ−Ａにより暗号化されている）を鍵生成管理装置１に送信する（ステップ４０２）。更に、引き継ぎ制御部６１は、ワイプ処理部４５にデータ削除を指示し、ワイプ処理部４５が特定データ格納部３２に格納されているデータを削除する（ステップ４０３）。

ユーザ端末Ａから暗号化データを受信した鍵生成管理装置１において、データ引き継ぎ部１９が、Ｋｅｙ−Ａで暗号化データを復号する（ステップ４０４）。また、データ格納部１６に格納されているユーザ端末Ａに対応するデータに基づき、引き継ぎ先がユーザ端末Ｂであると判断し、ユーザ端末Ｂのデータ格納領域からＫｅｙ−Ｂを取得し、Ｋｅｙ−Ｂでデータを暗号化してユーザ端末Ｂのデータ格納領域に格納する（ステップ４０５）。

その後、ユーザ端末Ｂからログイン等による鍵生成管理装置１へのアクセスが生じると（ステップ４０６）、データ引き継ぎ部１９は、Ｋｅｙ−Ｂで暗号化されたデータを読み出し（ステップ４０７）、ユーザ端末Ｂに送信する（ステップ４０８）。ユーザ端末Ｂでは、受信したデータが特定データ格納部３２に格納され、Ｋｅｙ−Ｂにより適宜復号されて利用される。

なお、上記の例では、引き継ぎ先を示す情報を鍵生成管理装置１に保持することとしているが、ユーザ端末Aに予め引き継ぎ先を示す情報を格納しておき、データを鍵生成管理装置１に送信するときに引き継ぎ先を示す情報も送信することとしてもよい。

また、上記の例において、引き継ぎ元のＫｅｙ−Ａを、引き継ぎ先で利用できるようにしてもよい。その場合、引き継ぎ先のユーザが鍵生成管理装置１へアクセスした際に、自分（引き継ぎ先のユーザ）のＫｅｙ−Ｂを利用するか、引き継ぎ元のＫｅｙ−Ａを利用するかを選択できるようにし、引き継ぎ元のＫｅｙ−Ａの利用を選択した場合には、引き継ぎデータ（Ｋｅｙ−Ａにより暗号化）とＫｅｙ−Ａをダウンロードして利用できるようにしてもよい。

なお、その他の利用シーンとしては、公公分離もある。例えば、派遣社員によるユーザ端末の利用を想定し、派遣元のアプリと派遣先アプリとを分離する。また、捜査機関や外務関連業務向けに、業務別にアプリを分離することもできる。更に、セキュリティをより強固にする目的で、契約会社別にアプリを分離して業務を遂行することもできる。

（実施の形態のまとめ、効果）
以上、説明したように、本実施の形態では、Ｋｅｙの生成、管理を鍵生成管理装置１で行い、ユーザ端末３で必要な一定期間のみＫｅｙを一時的に保管可能な領域に保管することで、ユーザの利便性を保ちつつ、セキュリティを担保することが可能となる。

例えば、特定アプリケーションとして、ビジネス用のアプリを用い、特定データ格納部３２には、暗号化したビジネス用データのみを格納し、一般データ格納部３６には、私用で用いる一般アプリによるデータを格納することにより、ユーザ端末３において公私分離を実現できる。

また、第２の実施の形態で説明したように、Ｋｅｙを公開鍵で暗号化して保存することにより、よりセキュリティを高めることが可能となる。

第２の実施の形態で説明した暗号化、及び復号のための構成は、第３、第４の実施の形態に適用してもよい。また、第３の実施の形態における構成に、第４の実施の形態の引き継ぎ機能を追加してもよい。更に、第２、第３、第４の実施の形態の機能を組み合わせてもよい。

以下、本明細書に開示される構成を例示的に列挙する。
（第１項）
ユーザ端末と鍵生成管理装置とを備えた鍵管理システムであって、
前記鍵生成管理装置は、
暗号鍵と認証情報とを対応付けて格納する格納手段と、
前記ユーザ端末から送信される認証情報に基づいて、当該ユーザ端末の認証を行い、認証に成功した場合に、当該認証情報に対応する前記暗号鍵を前記ユーザ端末に送信する暗号鍵送信手段と、を備え、
前記ユーザ端末は、
暗号化されたデータを格納する特定データ格納手段と、
前記鍵生成管理装置から受信した暗号鍵を一時的に格納する一時データ格納手段と、
前記暗号鍵を用いてデータの復号を行う手段と、
予め設定された所定の条件に基づいて、前記一時データ格納手段から前記暗号鍵を削除する一時データ削除手段と、を備える
ことを特徴とする鍵管理システム。
（第２項）
前記ユーザ端末から送信される前記認証情報は、ユーザにより入力された認証コードと、前記ユーザ端末が保持する端末識別コードとを含む
ことを特徴とする第１項に記載の鍵管理システム。
（第３項）
前記鍵生成管理装置は、
初期設定時に前記ユーザ端末からユーザＩＤ、認証コード、及び端末固有識別情報を含む初期設定情報を受信し、前記ユーザＩＤから前記暗号鍵を生成し、前記端末固有識別情報から前記端末識別コードを生成し、当該暗号鍵、当該端末識別コード、及び前記認証コードを前記格納手段に格納するとともに、前記暗号鍵と前記端末識別コードを前記ユーザ端末に送信する手段を備え、
前記ユーザ端末は、前記暗号鍵を用いて前記端末識別コード以外のデータを暗号化して前記特定データ格納手段に格納する手段を備える
ことを特徴とする第２項に記載の鍵管理システム。
（第４項）
前記ユーザ端末は、前記端末識別コードを、前記暗号鍵とは別の暗号鍵を用いて暗号化して前記特定データ格納手段に格納する手段を備える
ことを特徴とする第３項に記載の鍵管理システム。
（第５項）
前記ユーザ端末は、前記鍵生成管理装置から受信した暗号鍵を用いて特定アプリケーションのデータを暗号化し、前記特定データ格納手段に格納する手段を備える
ことを特徴とする第１項ないし第４項のうちいずれか１項に記載の鍵管理システム。
（第６項）
前記ユーザ端末は、予め保持した特定アプリケーションの識別子を用いて、アプリケーションから前記特定データ格納手段へのアクセスの許否を判定するアクセス判定手段を備える
ことを特徴とする第１項ないし第５項のうちいずれか１項に記載の鍵管理システム。
（第７項）
前記所定の条件は、前記ユーザ端末における特定のアプリケーションに対するログアウト操作がなされたこと、もしくは、当該特定のアプリケーションに対する操作が所定時間無かったことである
ことを特徴とする第１項ないし第６項のうちいずれか１項に記載の鍵管理システム。
（第８項）
前記ユーザ端末は、所定の命令を受けたときに、前記特定データ格納手段に格納された全てのデータを削除するワイプ処理手段を備える
ことを特徴とする第１項ないし第７項のうちいずれか1項に記載の鍵管理システム。
（第９項）
前記暗号鍵は、公開鍵により暗号化された鍵であることを特徴とする第１項ないし第８項のうちいずれか1項に記載の鍵管理システム。
（第１０項）
前記ユーザ端末は、所定の条件を満たした場合に、前記特定データ格納手段に格納されたデータを前記鍵生成管理装置に送信し、当該特定データ格納手段に格納されたデータを削除する手段を備える
ことを特徴とする第１項ないし第９項のうちいずれか1項に記載の鍵管理システム。
（第１１項）
ユーザ端末と鍵生成管理装置を備えた鍵管理システムが実行する鍵管理方法であって、
前記鍵生成管理装置は、暗号鍵と認証情報とを対応付けて格納する格納手段を備えており、
前記鍵生成管理装置が、前記ユーザ端末から送信された認証情報に基づいて、当該ユーザ端末の認証を行い、認証に成功した場合に、当該認証情報に対応する前記暗号鍵を前記ユーザ端末に送信するステップと、
前記ユーザ端末が、前記鍵生成管理装置から受信した暗号鍵を一時データ格納手段に一時的に格納するステップと、
前記ユーザ端末が、前記暗号鍵を用いて特定データ格納手段に格納されたデータの復号を行うステップと、
前記ユーザ端末が、予め設定された所定の条件に基づいて、前記一時データ格納手段から前記暗号鍵を削除するステップと、
を備えることを特徴とする鍵管理方法。
（第１２項）
第１項ないし第１０項のうちいずれか１項に記載の鍵管理システムで用いられるユーザ端末。
（第１３項）
鍵生成管理装置にネットワークを介して接続されるユーザ端末であって、
当該ユーザ端末から送信される認証情報に基づく当該ユーザ端末の認証に成功した場合に暗号鍵を送信する前記鍵生成管理装置から、当該暗号鍵を受信し、当該暗号鍵を一時的に格納する一時データ格納手段と、
前記暗号鍵を用いてデータの復号を行う手段と、
予め設定された所定の条件に基づいて、前記一時データ格納手段から前記暗号鍵を削除する一時データ削除手段と、
を備えることを特徴とするユーザ端末。
（第１４項）
予め保持した特定アプリケーションの識別子を用いて、アプリケーションから前記特定データ格納手段へのアクセスの許否を判定するアクセス判定手段
を備えることを特徴とする第１３項に記載のユーザ端末。
（第１５項）
前記認証に成功した場合に、前記鍵生成管理装置から１つ又は複数の特定アプリケーションを示す情報を受信し、当該１つ又は複数の特定アプリケーションを選択可能に表示するアプリケーション表示制御手段
を備えることを特徴とする第１３項又は第１４項に記載のユーザ端末。
（第１６項）
前記特定アプリケーションから他のアプリケーションの呼び出し要求を受信し、当該他のアプリケーションが前記１つ又は複数の特定アプリケーションに含まれていない場合に、当該他のアプリケーションの呼び出しを禁止するアプリケーション呼び出し制御手段
を備えることを特徴とする第１５項に記載のユーザ端末。
（第１７項）
第１項ないし第１０項のうちいずれか１項に記載の鍵管理システムで用いられる鍵生成管理装置。
（第１８項）
ユーザ端末にネットワークを介して接続される鍵生成管理装置であって、
暗号鍵と認証情報とを対応付けて格納する格納手段と、
前記ユーザ端末から送信される認証情報に基づいて、当該ユーザ端末の認証を行い、認証に成功した場合に、当該認証情報に対応する前記暗号鍵を前記ユーザ端末に送信する暗号鍵送信手段と、
を備えることを特徴とする鍵生成管理装置。
（第１９項）
コンピュータを、第１２項ないし第１６項のうちいずれか１項に記載のユーザ端末における各手段として機能させるためのプログラム。
（第２０項）
コンピュータを、第１７項又は第１８項に記載の鍵生成管理装置における各手段として機能させるためのプログラム。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１ 鍵生成管理装置
２ ネットワーク
３ ユーザ端末
１１ 制御部
１２ ユーザ認証部
１３ 鍵提供用認証部
１４ 鍵生成部
１５ クライアント識別ＩＤ生成部
１６ データ格納部
１７ 暗号化部
１８ ホワイトリスト管理部
１９ データ引き継ぎ部
３１ 鍵管理アプリ部
３２ 特定データ格納部
３３ 一時データ格納部
３４ 特定アプリ部
３５ 一般アプリ部
３６ 一般データ格納部
３７ 表示・操作部
３８ データ送受信部
４１ 初期設定処理部
４２ ログイン処理部
４３ 一時データ削除部
４４ 暗号化・復号処理部
４５ ワイプ処理部
４６ 復号部
４７ 外部記憶媒体接続部
４８ 外部記憶媒体
４９ クラウド復号部
５０ クラウド鍵サーバ
５１ アプリ表示制御部
５２ アプリ呼び出し制御部
６１ 引き継ぎ制御部

Claims (9)

1. 鍵生成管理装置にネットワークを介して接続されるユーザ端末であって、
   当該ユーザ端末から送信される認証情報に基づく当該ユーザ端末の認証に成功した場合に暗号鍵を送信する前記鍵生成管理装置から、当該暗号鍵を受信し、当該暗号鍵を一時的に格納する一時データ格納手段と、
   アプリケーションのデータとして、前記暗号鍵で暗号化した特定アプリケーションのデータのみを格納する特定データ格納手段と、
   前記特定アプリケーション以外のアプリケーションのデータを格納する一般データ格納手段と、
   前記暗号鍵を用いて前記特定アプリケーションのデータの復号を行う手段と、
   を備えることを特徴とするユーザ端末。
2. 予め設定された所定の条件に基づいて、前記一時データ格納手段から前記暗号鍵を削除する一時データ削除手段
   を備えることを特徴とする請求項１に記載のユーザ端末。
3. 予め保持した特定アプリケーションの識別子を用いて、アプリケーションから前記特定データ格納手段へのアクセスの許否を判定するアクセス判定手段
   を備えることを特徴とする請求項１又は２に記載のユーザ端末。
4. 前記認証に成功した場合に、前記鍵生成管理装置から１つ又は複数の特定アプリケーションを示す情報を受信し、当該１つ又は複数の特定アプリケーションを選択可能に表示するアプリケーション表示制御手段
   を備えることを特徴とする請求項１ないし３のうちいずれか１項に記載のユーザ端末。
5. 前記特定アプリケーションから他のアプリケーションの呼び出し要求を受信し、当該他のアプリケーションが前記１つ又は複数の特定アプリケーションに含まれていない場合に、当該他のアプリケーションの呼び出しを禁止するアプリケーション呼び出し制御手段
   を備えることを特徴とする請求項１ないし４のうちいずれか１項に記載のユーザ端末。
6. コンピュータを、請求項１ないし５のうちいずれか１項に記載のユーザ端末における各手段として機能させるためのプログラム。
7. ユーザ端末にネットワークを介して接続される鍵生成管理装置であって、
   暗号鍵と認証情報とを対応付けて格納する格納手段と、
   前記ユーザ端末から送信される認証情報に基づいて、当該ユーザ端末の認証を行い、認証に成功した場合に、当該認証情報に対応する前記暗号鍵を前記ユーザ端末に送信する暗号鍵送信手段と、を備え、
   前記ユーザ端末における特定データ格納手段には、アプリケーションのデータとして、前記暗号鍵で暗号化した特定アプリケーションのデータのみが格納され、前記ユーザ端末における一般データ格納手段には、前記特定アプリケーション以外のアプリケーションのデータが格納される
   ことを特徴とする鍵生成管理装置。
8. 前記格納手段には１つ又は複数の特定アプリケーションを示す情報が格納されており、
   前記暗号鍵送信手段は、前記認証に成功した場合に、前記暗号鍵と前記１つ又は複数の特定アプリケーションを示す情報とを前記ユーザ端末に送信し、
   前記ユーザ端末において、当該１つ又は複数の特定アプリケーションが選択可能に表示される
   ことを特徴とする請求項７に記載の鍵生成管理装置。
9. コンピュータを、請求項７又は８に記載の鍵生成管理装置における各手段として機能させるためのプログラム。

Images