JP2014167675A - 文書権限管理システム、端末装置、文書権限管理方法、およびプログラム - Google Patents

Abstract

【課題】オフライン環境下での保護文書の利用において、最新の権利ポリシ情報の適用と機密漏洩の防止とを図り得る、文書権限管理システム、端末装置、文書権限管理方法、及びプログラムを提供する。
【解決手段】文書権限管理システム１００は、権利ポリシに基づいて、文書利用のパス情報を発行する管理サーバ３０と、権利ポリシに基づいて文書保護を行い、文書利用が求められると、パス情報の発行を管理サーバ３０に要求する端末装置１０と、管理サーバと無線通信可能な通信端末５０とを備える。端末装置１０は、オフライン状態で文書利用が求められると、パス情報の発行を求めるための認証用情報を通信端末５０で受取可能な形式で作成する。通信端末５０は、認証用情報を受け取り、これを管理サーバ３０に送信し、パス情報が送信されてくると、パス情報を端末装置１０によって受取可能な形式とする。
【選択図】図１

Description

本発明は、保護対象となる文書のユーザ権限を管理するための、文書権限管理システム、端末装置、文書権限管理方法、およびこれらを実現するためのプログラムに関する。

近年の情報漏えいによる被害の拡大に伴い、機密情報を有する文書を保護する技術としてＩＲＭ（Information Rights Management）技術に注目が集まっている。ＩＲＭ技術は、単に文書を暗号化するだけでなく、ユーザに対して、閲覧、印刷、コピーなどの文書への操作に関する権限（以下「権利ポリシ情報」と記載する。）を付与することを特徴とする技術である（例えば、特許文献１参照。）。

ＩＲＭ技術によって権利ポリシ情報の付与と暗号化とがなされた文書（以下「保護文書」と記載する。）をユーザが利用する場合、ユーザは、ネットワークを介して、権利ポリシ情報を管理する管理サーバにアクセスし、認証を行う必要がある。そして、認証が認められると、ユーザは、管理サーバから、自身に許可された権利ポリシ情報を取得し、これを用いて保護文書を復号化し、付与された権利ポリシ情報の範囲で利用することができる。このように、ＩＲＭ技術によれば、ユーザは、付与された権利ポリシ情報の範囲でしか文書を利用できないため、情報漏洩が抑制される。

但し、ＩＲＭ技術を用いた場合は、オフライン環境では、ユーザは、権利ポリシ情報管理サーバにアクセスできないため、保護文書を利用できないという問題がある。このため、オフライン環境下でも、保護文書を利用にできるようにすることが求められている。

例えば、特許文献２は、オンライン環境下で利用者の権利ポリシ情報をキャッシュ情報として取得し、これをクライアント端末に保管するシステムを開示している。特許文献２に開示されたシステムによれば、ユーザは、オフライン環境では、キャッシュした情報を利用して、保護文書にアクセスすることができるので、上述の問題は解消されると考えられる。

また、その他に、自己復号型保護文書を作成する方法が知られている（非特許文献１参照）。この方法では、自己復号型保護文書を作成する段階で、権利ポリシ情報と保護文書とが一つの文書とされ、更に、この文書に対してはパスワードが設定される。この場合、利用者は、オフライン環境であっても、パスワードを知っていれば、文書を利用できる。なお、反対に、利用の際にパスワードを知らなければ、クライアント端末にログインできている利用者であっても、文書を利用することは不可能であるので、情報漏洩が抑制される。

特開２００９−１９９３９０号公報 特開２００７−２０７１７１号公報

「DATA Clasys 配布型オフラインオプション」、[online]、２０１０年、株式会社ネスコ、［平成２５年２月２６日検索］、インターネット(URL:http://www.dataclasys.com/dataclasys/offline/index.html)

しかしながら、特許文献２に開示されたシステムでは、一度オンライン環境でキャッシュを作成する作業が必要である。また、キャッシュ作成後に、管理サーバ側で、権利ポリシ情報が変更される可能性があるが、この場合に、変更内容をキャッシュに反映できないため、最新の権利ポリシ情報を適用できないという問題がある。

また、特許文献２に開示されたシステムでは、キャッシュ作成時のオンライン下で認証が行なわれ、保護文書の利用時には認証が求められない仕様となっている。このため、クライアント端末にログインできている利用者ならだれでも保護文書にアクセスできることから、セキュリティ性が低いという問題もある。

また、非特許文献１に開示された自己復号型保護文書を作成する方法では、権利ポリシ情報が自己復号型保護文書の作成時に設定される。このため、作成後に権利ポリシ情報を変更することができず、この方法でも、最新の権利ポリシ情報を適用できないという問題がある。また、この方法では、パスワードは、自己復号型保護文書の作成時に設定され、パスワード変更は以降できないため、パスワードの漏洩及び流用に対しての対策が取れないという問題もある。

本発明の目的の一例は、上記問題を解消し、オフライン環境下での保護文書の利用において、最新の権利ポリシ情報の適用と機密漏洩の防止とを図り得る、文書権限管理システム、端末装置、文書権限管理方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面における文書権限管理システムは、保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
前記管理サーバとの間で無線通信可能な通信端末とを備え、
前記端末装置は、前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成し、
前記通信端末は、前記認証用情報を受け取った場合は、これを前記管理サーバに送信し、前記管理サーバが、前記認証用情報が正当であると認めて、前記パス情報を送信してくると、送信してきた前記パス情報を前記端末装置によって受け取り可能な形式とする、
ことを特徴とする。

上記目的を達成するため、本発明の一側面における端末装置は、保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバから、前記権利ポリシを受け取り、受け取った前記権利ポリシに基づいて前記文書の保護を行なう、端末装置であって、
前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、保護文書制御部を備え、
前記保護文書制御部は、
前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、
ことを特徴とする。

また、上記目的を達成するため、本発明の一側面における文書権限管理方法は、保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
前記管理サーバとの間で無線通信可能な通信端末とを用いた、文書権限管理方法であって、
（ａ）前記端末装置と前記管理サーバとの間がオフライン状態にある場合に、前記文書の利用が求められると、前記端末装置が、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成する、ステップと、
（ｂ）前記通信端末が、前記認証用情報を受け取った場合に、これを前記管理サーバに送信する、ステップと、
（ｃ）前記管理サーバによって、前記認証用情報が正当であると認められ、前記パス情報が前記通信端末に送信されてくると、更に、前記通信端末が、送信されてきた前記パス情報を前記端末装置によって受け取り可能な形式とする、ステップと、
を有することを特徴とする。

更に、上記目的を達成するため、本発明の一側面におけるプログラムは、保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバからの、前記権利ポリシの受け取りと、受け取った前記権利ポリシに基づく前記文書の保護とを、コンピュータによって行なうためのプログラムであって、
前記コンピュータに、
（ａ）前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、ステップと、
（ｂ）前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、ステップと、
を実行させることを特徴とする。

以上のように本発明によれば、オフライン環境下での保護文書の利用において、最新の権利ポリシ情報の適用と機密漏洩の防止とを図ることができる。

図１は、本発明の実施の形態における文書権限管理システムの概略構成を示すブロック図である。 図２は、本発明の実施の形態における保護文書権限管理システムの構成を具体的に示すブロック図である。 図３は、本発明の実施の形態で用いられる権利ポリシ情報の一例を示す図である。 図４は、本発明の実施の形態で用いられる権利ポリシテンプレートの一例を示す図である。 図５は、本発明の実施の形態で用いられるユーザ情報の一例を示す図である。 図６は、本発明の実施の形態における端末装置で行なわれる文書保護処理を示すフロー図である。 図７は、本発明の実施の形態における保護文書のデータ構成の一例を示す図である。 図８は、本実施の形態における端末装置のオフライン環境下での動作を示すフロー図である。 図９は、本実施の形態における通信端末の動作を示すフロー図である。 図１０は、本発明の実施の形態における管理サーバの動作を示すフロー図である。 図１１は、本発明の実施の形態におけるユーザ管理サーバの動作を示すフロー図である。 図１２は、本発明の実施の形態において端末装置が生成する認証用情報の一例を示す図である。 図１３は、本実施の形態で生成される完全認証情報の一例を示す図である。 図１４は、本実施の形態で生成されるパス情報の一例を示す図である。 図１５は、本発明の実施の形態における端末装置を実現するコンピュータの一例を示すブロック図である。

（実施の形態）
以下、本発明の実施の形態における、文書権限管理システム、端末装置、文書権限管理方法、およびプログラムについて、図１〜図１５を参照しながら説明する。

［システム構成］
最初に、図１を用いて、本発明の実施の形態における文書権限管理システムの構成について説明する。図１は、本発明の実施の形態における文書権限管理システムの概略構成を示すブロック図である。

図１に示すように、本発明の実施の形態における文書権限管理システム１００は、保護対象となる文書のユーザ権限を管理するためのシステムであり、主に、クライアント端末である端末装置１０と、管理サーバ３０と、通信端末５０とを備えている。なお、図１の例では、１つの端末装置１０のみが図示されているが、本実施の形態において端末装置１０の数は特に限定されるものではない。

このうち、管理サーバ３０は、保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、権利ポリシに基づいて、文書を利用するためのパス情報を発行する。通信端末５０は、管理サーバとの間で無線通信が可能な端末装置、例えば、携帯電話、スマートフォン、タブレット端末などである。

また、端末装置１０は、管理サーバ３０から受け取った権利ポリシに基づいて文書１の保護を行っている。更に、端末装置１０は、管理サーバ３０との間がオンライン状態にあるときは、文書１の利用が求められると、管理装置１０に認証用情報を送り、文書１を利用するためのパス情報の発行を要求する。管理サーバ３０は、送られてきた認証用情報が正当であるかどうかを判定し、正当である場合は、端末装置１０にパス情報を送信する。

ところで、端末装置１０は、管理サーバ３０との間がオンライン状態にあるときは、管理サーバ３０に直接パスの発行を求めることができるが、管理サーバ３０との間がオフライン状態にあるときは、直接パスの発行を求めることは不可能である。このため、端末装置１０は、管理サーバ３０との間がオフライン状態にあるときに、保護している文書（以下「保護文書」と記載する。）１の利用が求められると、パス情報の発行を求めるための認証用情報を通信端末５０で受け取り可能な形式で作成する。

そして、通信端末５０は、認証用情報を受け取った場合は、これを管理サーバ３０に送信する。また、通信端末５０は、管理サーバ３０が、認証用情報が正当であると認めて、パス情報を送信してくると、送信してきたパス情報を端末装置１０によって受け取り可能な形式とする。

このように、本実施の形態では、端末装置１０と管理サーバ３０とがオフライン状態にあるときは、通信端末５０を介して、保護文書１の利用に必要なパス情報の発行及び送信が行なわれる。このため、本実施の形態によれば、オフライン環境下での保護文書１の利用が可能となる。また、パス情報は、キャッシュされた情報ではなく、要求がある度に、管理サーバによって発行されるので、最新の権利ポリシ情報の適用が可能となり、更には機密漏洩の防止も図られる。

また、図１に示すように、本実施の形態では、文書権限管理システム１００は、ユーザ情報を管理するユーザ管理サーバ７０を備えている。ユーザ情報は、後述するように、管理サーバ３０における認証処理の際に利用される。また、ユーザ情報は、ユーザ毎の、ユーザ名、ＩＤ、パスワード、所属するグループ名等を特定する情報である。

また、端末装置１０は、上述した機能を実現するために保護文書制御部１１を備えている。保護文書制御部１１は、まず、権利ポリシに基づいて、保護対象となる文書１の保護を実行する。また、保護文書制御部１１は、管理サーバ３０との間がオンライン状態にあるときに、保護文書１の利用が求められると、保護文書１を利用するためのパス情報の発行を管理サーバ３０に要求する。

更に、保護文書制御部１１は、管理サーバ３０との間がオフライン状態にあるときに、保護文書１の利用が求められると、パス情報の発行を求めるための認証用情報を、通信端末５０で受け取り可能な形式で作成する。

そして、保護文書制御部１１は、通信端末５０が認証用情報を受け取ってこれを管理サーバ３０に送信し、そして、管理サーバ３０が、認証用情報が正当であると認め、パス情報を通信端末５０に送信してきた場合に、通信端末５０から、端末装置１０による受け取りが可能な形式となったパス情報を取得する。また、本実施の形態においては、保護文書制御部１１は、端末装置１０にインストールされたプログラムによって構築されている。

続いて、図２を用いて、本実施の形態における保護文書権限管理システムの構成を更に具体的に説明する。図２は、本発明の実施の形態における保護文書権限管理システムの構成を具体的に示すブロック図である。

［端末装置］
図２に示すように、端末装置１０は、保護文書制御部１１において、文書情報抽出部１２と、乱数生成部１３と、認証用情報生成部１４と、権利ポリシ情報格納部１５、認証用情報コード化部１６と、認証用情報表示部１７と、パス情報取得部１８と、パス情報デコード部１９と、パス情報照合部２０と、共通鍵取得部２１と、アクセス制御部２２とを備えている。

文書情報抽出部１２は、保護文書１から認証に必要な文書情報を抽出する。乱数生成部１３は、認証用情報に含める乱数を生成する。認証用情報生成部１４は、認証用情報を生成する。また、権利ポリシ情報格納部１５は、管理サーバ３０から取得した権利ポリシ情報テンプレート（後述の図４参照）を格納している。認証用情報コード化部１６は、認証用情報をコード化する。認証用情報表示部１７は、コード化した認証用情報を端末装置１０の表示画面（図１及び図２において図示せず）に表示する。

パス情報取得部１８は、オフライン環境下で、ユーザによるパス情報の入力を受け付ける。パス情報デコード部１９は、コード化されたパス情報が入力されると、これをデコードする。パス情報照合部２０は、認証用情報に含めた乱数と、パス情報から取得した乱数とが一致するかどうかを確認する。

共通鍵取得部２１は、パス情報から取得した共通鍵を利用して保護文書１を復号する。アクセス制御部２２は、パス情報から取得した権利ポリシ情報に従って、保護文書１の利用を制御する。

［通信装置］
また、図２に示すように、通信端末５０は、認証用情報取得部５１と、認証用情報デコード部５２と、ユーザ認証情報取得部５３と、認証用情報送信部５４と、パス情報受信部５５と、パス情報コード化部５６と、パス情報表示部５７とを備えている。

認証用情報取得部５１は、利用者の操作に応じて、端末装置１０の画面に表示されている認証用情報の入力を受け付ける。認証用情報デコード部５２は、コード化された認証用情報が入力されると、これをデコードする。ユーザ認証情報取得部５３は、ユーザの認証情報を取得する。認証用情報送信部５４は、デコードした認証用情報と利用者のユーザ認証情報とを管理サーバ３０に送信する。

パス情報受信部５５は、管理サーバ３０から返信されるパス情報を受信する。パス情報コード化部５６は、受信したパス情報をコード化する。パス情報表示部５７は、コード化したパス情報を、通信端末５０の表示画面（図１及び図２において図示せず）に表示する。

［管理サーバ］
また、図２に示すように、管理サーバ３０は、権利ポリシ情報管理データベース３１と、認証用情報受信部３２と、認証用情報解析部３３と、権利ポリシ取得部３４と、ユーザ情報要求部３５と、ユーザ情報受信部３６とを備えている。また、管理サーバ３０は、これらに加え、アクセス制御情報取得部３７と、共通鍵抽出部３８と、パス情報生成部３９と、パス情報暗号化部４０と、パス情報送信部４１と、権利ポリシ情報編集部４２も備えている。

権利ポリシ情報管理データベース３１は、後述する権利ポリシ情報を管理している。また、以降の説明において、「データベース」は「ＤＢ」と表記する場合がある。権利ポリシ情報編集部４２は、権利ポリシ情報管理ＤＢ３１に管理されている権利ポリシ情報の編集、権利ポリシ情報の新規作成などを行なう。

認証用情報受信部３２は、通信端末５０から送信される認証用情報を受信する。認証用情報解析部３３は、取得した認証用情報を解析し、解析結果を各部に分配する。権利ポリシ取得部３４は、認証用情報から取得される権利ポリシＩＤを利用して、権利ポリシ情報管理ＤＢ３１から、該当する権利ポリシの最新の情報を取得する。

ユーザ情報要求部３５は、ユーザ情報を取得するため、認証用情報受信部３２で受信された認証用情報に含まれるユーザ認証情報を、ユーザ管理サーバ７０に送信する。ユーザ情報受信部３６は、ユーザ管理サーバ７０から返信されるユーザ情報を受信する。

アクセス制御情報取得部３７は、受信したユーザ情報と、取得された権利ポリシ情報とから、ユーザに付与されるべきアクセス制御情報を特定する。共通鍵抽出部３８は、認証用情報から取得した文書暗号鍵（サーバ保護）を利用して、文書の暗号化に使用した共通鍵を取得し、これを文書暗号鍵（クライアント保護）に変換する。

パス情報生成部３９は、認証用情報から取得した乱数、文書ＩＤ、アクセス制御情報取得部３７によって取得されアクセス制御情報、及び共通鍵抽出部３８によって取得された文書暗号鍵（クライアント保護）を用いて、パス情報を生成する。パス情報暗号化部４０は、生成されたパス情報を、端末装置１０の保護文書制御部１１の公開鍵で暗号化する。パス情報送信部４１は、暗号化したパス情報を通信端末５０に送信する。

［ユーザ管理サーバ］
また、図２に示すように、ユーザ管理サーバ７０は、ユーザ情報管理ＤＢ７１と、ユーザ情報照会部７２と、ユーザ情報返却部７３と、ユーザ情報編集部７４とを備えている。

ユーザ情報管理ＤＢ７１は、ユーザ情報（後述の図５参照）を格納し、これを管理している。ユーザ情報照会部７２は、管理サーバ３０から送信されてきたユーザ認証情報をユーザ情報管理ＤＢ７１に照会し、該当するユーザの存在を確認する。そして、ユーザが存在する場合は、ユーザ情報照会部７２は、ユーザ情報管理ＤＢ７１から、該当するユーザについてのユーザ情報（ユーザ名、ＩＤ、パスワード、所属するグループ名等）を取得する。

ユーザ情報返却部７３は、ユーザ情報照会部によって取得されたユーザ情報を、要求元の管理サーバ３０に返信する。ユーザ情報編集部７４は、ユーザ情報管理ＤＢ７１に管理されているユーザ情報の編集、新規ユーザの追加、新規グループの設定等を行なう。

なお、本実施の形態では、端末装置１０（保護文書制御部１１）及び管理サーバ３０は、双方で送受信する、認証用情報、パス情報、及び共通鍵を暗号化するため、それぞれ、公開鍵と秘密鍵とのペアを有しているものとする。

［権利ポリシ情報］
続いて、図３及び図４を用いて、本実施の形態で用いられる権利ポリシ情報について説明する。図３は、本発明の実施の形態で用いられる権利ポリシ情報の一例を示す図である。図４は、本発明の実施の形態で用いられる権利ポリシテンプレートの一例を示す図である。

権利ポリシ情報は、上述したように、管理サーバ３０の権利ポリシ情報管理ＤＢ３１に格納されている。また、権利ポリシ情報は、管理サーバ３０の管理者の操作入力により、権利ポリシ情報編集部４２によって作成され、その後、権利ポリシ情報管理ＤＢ３１に格納される。

図３に示すように、権利ポリシ情報は、１または２以上の権利ポリシで構成されている。各権利ポリシには、一意の権利ポリシＩＤが付与されている。また、各権利ポリシには、ユーザ毎またはグループ毎に許可された操作内容、例えば、フルコントロール、閲覧、編集、保存、印刷、コピーなどが登録されている。

また、権利ポリシ情報は、端末装置１０への配布に際して、図４に示す権利ポリシテンプレートとされ、その後、各端末装置１０の保護文書制御部１１に配布される。そして、各端末装置１０に配布された権利ポリシテンプレートは、保護文書制御部内の権利ポリシ情報格納部１５に格納され、そこで管理される。

図４に示すように、権利ポリシテンプレートは、権利ポリシ情報管理ＤＢ３１で管理されている権利ポリシに、管理サーバＵＲＬと、管理サーバの公開鍵（Ｐｓｖ）とを付与することによって作成されている。なお、管理サーバＵＲＬは、管理サーバ３０での認証時にアクセスされるＵＲＬである。

［ユーザ情報］
続いて、図５を用いて、本実施の形態で用いられるユーザ情報について説明する。図５は、本発明の実施の形態で用いられるユーザ情報の一例を示す図である。

ユーザ情報は、上述したように、ユーザ管理サーバ７０のユーザ情報管理ＤＢ７１に格納されている。また、ユーザ情報は、ユーザ管理サーバ７０の管理者の操作入力により、ユーザ情報編集部７４によって作成され、その後、ユーザ情報管理ＤＢ７１に格納される。図５に示すように、ユーザ情報は、ユーザ毎の、ユーザ名、ユーザＩＤ、パスワード、および、所属するグループ名等によって構成されている。

［システム動作］
次に、本発明の実施の形態における保護文書権限管理システム１００の動作について図を用いて説明する。以下の説明においては、適宜図１〜図５を参酌する。また、本実施の形態１では、保護文書権限管理システム１００を動作させることによって、保護文書権限管理方法が実施される。よって、本実施の形態における保護文書権限管理方法の説明は、以下の保護文書権限管理装置１００の動作説明に代える。

本実施の形態では、事前の準備として、管理サーバ３０において、図３に示した権利ポリシ情報の作成が行なわれ、各端末装置５０に必要な権利ポリシが配布される。また、ユーザ管理サーバ７０においてユーザ情報が作成される。

［文書保護処理］
最初に、権利ポリシテンプレート（図４参照）を利用して文書を保護する際の端末装置１０での処理について図６を用いて説明する。権利ポリシテンプレートを利用した文書の保護とは、端末装置１０の権利ポリシ情報格納部１５に格納されている権利ポリシテンプレートの情報を利用して、文書にアクセス制御情報を付与した状態で、この文書を暗号化することをいう。

図６は、本発明の実施の形態における端末装置で行なわれる文書保護処理を示すフロー図である。図６に示すように、まず、保護文書制御部１１は、共通鍵（Ｋ）を生成し（ステップＡ１）、共通鍵（Ｋ）を用いて文書を暗号化する（ステップＡ２）。

次に、保護文書制御部１１は、権利ポリシ情報格納部１５に格納されている権利ポリシテンプレートから、管理サーバ３０の公開鍵情報（Ｐｓｖ）を取得し、共通鍵（Ｋ）を、公開鍵情報（Ｐｓｖ）を用いて暗号化（Ｐｓｖ［Ｋ］）する（ステップＡ３）。

次に、保護文書制御部１１は、ステップＡ２で暗号化した文書に、権利ポリシテンプレートの情報（権利ポリシＩＤと管理サーバＵＲＬ）を付与する（ステップＡ４）。さらに、保護文書制御部１１は、ステップＡ４で情報が付与された暗号化文書に、暗号化された共通鍵（Ｐｓｖ［Ｋ］）を付与する（ステップＡ５）。なお、暗号化された共通鍵は、「文書暗号鍵」と表記する。

この結果、図７に示す保護文書が生成される。図７は、本発明の実施の形態における保護文書のデータ構成の一例を示す図である。図７に示すように、保護文書（暗号化された文書）には、権利ポリシＩＤ、管理サーバＵＲＬ、暗号化された共通鍵（Ｐｓｖ［Ｋ］）に加え、作成者、作成日、および一意の文書ＩＤも付与される。

［端末装置がオフライン環境下にあるときの動作］
続いて、図８〜図１１を用いて、オフライン環境下にある端末装置１０で保護文書を利用する場合のシステムの動作について説明する。図８は、本実施の形態における端末装置のオフライン環境下での動作を示すフロー図である。図９は、本実施の形態における通信端末の動作を示すフロー図である。図１０は、本発明の実施の形態における管理サーバの動作を示すフロー図である。図１１は、本発明の実施の形態におけるユーザ管理サーバの動作を示すフロー図である。

端末装置での動作：
まず、端末装置１０がオフライン環境にある場合に、ユーザが端末装置１０上で保護文書を使用しようとすると、保護文書制御部１１が介入し、以下の処理が行なわれる。図８に示すように、文書情報抽出部１２は、保護文書１から文書ＩＤ、文書暗号鍵（Ｐｓｖ［Ｋ］）、権利ポリシＩＤ、および、権利ポリシ管理サーバＵＲＬを取得する（ステップＳ１）。また、文書情報抽出部１２は、これらを認証用情報生成部１４に受け渡し、文書ＩＤについては、パス情報照合部２０にも受け渡す。

次に、文書情報抽出部１２は、保護文書制御部１１の公開鍵（Ｐｃｌ）を取得し、これも認証用情報生成部１４に受け渡す（ステップＳ２）。

また、ステップＳ２の後、またはステップＳ１及びＳ２と平行して、乱数生成部１３は乱数を生成し、生成した乱数を、認証用情報生成部１４、およびパス情報照合部２０に受け渡す（ステップＳ３）。

次に、認証用情報生成部１４は、文書情報抽出部１２から受け取った文書ＩＤ、文書暗号鍵（Ｐｓｖ［Ｋ］）、権利ポリシＩＤ、権利ポリシ管理サーバＵＲＬ、及び保護文書制御部１１の公開鍵（Ｐｃｌ）に、乱数生成部１３から受け取った乱数を結合する（ステップＳ４）。これにより、図１２に示す認証用情報が生成される。認証用情報生成部１４は、生成した認証用情報を、認証用情報コード化部１６に受け渡す。図１２は、本発明の実施の形態において端末装置が生成する認証用情報の一例を示す図である。

次に、認証用情報コード化部１６は、権利ポリシ情報部１５に格納している権利ポリシテンプレートの中から、認証用情報の権利ポリシＩＤと同じＩＤを持つ権利ポリシテンプレートを特定する。そして、認証用情報コード化部１６は、特定した権利ポリシテンプレートに含まれる管理サーバの公開鍵（Ｐｓｖ）（図４参照）を取得する（ステップＳ５）。

次に、認証用情報コード化部１６は、認証用情報の管理サーバＵＲＬ以外の部分を、公開鍵（Ｐｓｖ）を用いて暗号化する（ステップＳ６）。そして、認証用情報コード化部１６は、認証用情報の全体を、ＱＲコード（登録商標）又はＢＡＳＥ６４など、暗号化された認証用情報を画面に表示できる方法で、コード化する（ステップＳ７）。また、認証用情報コード化部１６は、コード化した認証用情報を認証用情報表示部１７に受け渡す。

次に、認証用情報表示部１７は、認証用情報コード化部１６によってコード化された認証用情報を端末装置１０の表示画面に表示する（ステップＳ８）。これにより、コード化された認証情報が、ユーザに伝達される。

通信端末での動作：
次に、ステップＳ８が実行されると、図９に示すように、ユーザによる通信端末５０の操作に従い、通信端末５０の認証用情報取得部５１は、端末装置１０の画面に表示されている、認証用情報のコードを取得する（ステップＳ２１）。

具体的には、例えば、通信端末５０が、デジタルカメラを備え、ステップＳ７において、認証用情報がＱＲコード（登録商標）などの２次元コードに変換され、ステップＳ８において、２次元コードが端末装置１０の画面に表示される場合がある。この場合、認証用情報取得部５１は、ユーザが通信端末５０のデジタルカメラで撮影したコードの画像を解析することによって、認証用情報のコードを取得することができる。

また、別の例として、ステップＳ７において、ＢＡＳＥ６４によって認証用情報がコード化され、ステップＳ８において、文字列等が表示される場合もある。この場合は、ユーザによる入力操作の後、認証用情報取得部５１は、認証用情報のコードを取得することができる。

次に、認証用情報デコード部５２は、ステップＳ２１で取得されたコード化された認証用情報をデコードし、デコードした認証用情報を認証用情報法送信部５４へ受け渡す（ステップＳ２２）。

次に、ステップＳ２２の実行後またはステップＳ２１及びＳ２２と平行して、ユーザ認証情報取得部５３は、表示画面にメッセージを表示して、ユーザに、ユーザＩＤとパスワードとの入力を要求する（ステップＳ２３）。この場合、ユーザ認証情報取得部５３は、入力されたユーザＩＤおよびパスワードを、ユーザ認証情報として、認証用情報送信部５４に受け渡す。

次に、認証用情報送信部５４は、認証用情報デコード部５２から受け取った認証用情報と、ユーザ認証情報取得部５３から受け取ったユーザ認証情報（ユーザＩＤ、パスワード）とを結合し、図１３に示す完全認証情報を生成する。図１３は、本実施の形態で生成される完全認証情報の一例を示す図である。

そして、認証用情報送信部５４は、完全認証情報から管理サーバＵＲＬを取得し、完全認証情報を管理サーバ３０に送信する（ステップＳ２４）。このとき、認証用情報送信部５４は、送信する情報をＳＳＬなどの既存技術を用いて暗号化することができ、これによれば、送信する情報のセキュリティの確保がいっそう図られる。

管理サーバでの動作：
次に、ステップＳ２４が実行されると、図１０に示すように、管理サーバ３０において、認証用情報受信部３２は、通信端末５０から送付されてきた完全認証情報を受信し、それを認証用情報解析部３３へ受け渡す（ステップＳ３１）。

次に、認証用情報解析部３３は、完全認証情報における、管理サーバ３０の公開鍵（Ｐｓｖ）で暗号化された部分（本実施の形態では、ユーザＩＤ、パスワード、管理サーバＵＲＬを除く部分）を、管理サーバ３０の秘密鍵（Ｓｓｖ）を用いて復号する（ステップＳ３２）。

続いて、認証用情報解析部３３は、復号した完全認証情報における、文書暗号鍵（Ｐｓｖ［Ｋ］）、保護文書制御プログラムの公開鍵（Ｐｃｌ）を共通鍵抽出部３８に受け渡す。また、認証用情報解析部３３は、復号した完全認証情報における、権利ポリシＩＤを権利ポリシ取得部３４に受け渡し、ユーザＩＤ及びパスワードをユーザ情報要求部３５に受け渡す。また、認証用情報解析部３３は、文書ＩＤ及び乱数をパス情報生成部３９に受け渡す。

ステップＳ３２の実行後、共通鍵抽出部３８は、文書暗号鍵（Ｐｓｖ［Ｋ］）と、保護文書制御プログラムの公開鍵（Ｐｃｌ）とを取得する（ステップＳ３３）。また、共通鍵抽出部３８は、管理サーバ３０の秘密鍵（Ｓｓｖ）を取得する（ステップＳ３４）。

次に、共通鍵抽出部３８は、認証用情報解析部３３から受け取った文書暗号鍵（Ｐｓｖ［Ｋ］）を、管理サーバ３０の秘密鍵（Ｓｓｖ）を用いて復号し、共通鍵（Ｋ）を取得する（ステップＳ３５）。

続いて、共通鍵抽出部３８は、保護文書制御部１１の公開鍵（Ｐｃｌ）を用いて、共通鍵（Ｋ）を暗号化して、文書暗号鍵（Ｐｃｌ［Ｋ］）を生成する（ステップＳ３６）。そして、共通鍵抽出部３８は、文書暗号鍵（Ｐｃｌ［Ｋ］）と保護文書制御部１１の公開鍵（Ｐｃｌ）とをパス情報生成部３９へ受け渡す。

また、ステップＳ３２の実行後、権利ポリシ取得部３４は、認証用情報解析部３３から受け取った権利ポリシＩＤと同一のＩＤを有する権利ポリシを、権利ポリシ情報管理ＤＢ３１から取得し、これをアクセス制御情報取得部３７へ受け渡す（ステップＳ３７）。

また、ステップＳ３２の実行後、ユーザ情報要求部３５は、ユーザとその所属グループを特定するため、認証用情報解析部３３から受け取ったユーザＩＤ及びパスワードを、ユーザ管理サーバ７０に送信する（ステップＳ３９）。

ユーザ管理サーバでの動作：
ステップＳ３９が実行されると、ユーザ管理サーバ７０において処理が行なわれる。図１１に示すように、まず、ユーザ管理サーバ７０において、ユーザ情報照会部７２は、管理サーバ３０から送信されてきたユーザＩＤ及びパスワードを、ユーザ情報管理ＤＢ７１に照合する。そして、ユーザ情報照会部７２は、該当するユーザの存在を確認し、存在する場合は、そのユーザが所属するグループを抽出する（ステップＳ５１）。

次に、ユーザ情報照会部７２は、抽出したグループと該当するユーザとを特定する情報（以下「ユーザグループ情報」と記載する。）を、ユーザ情報返却部７３に受け渡す。これにより、ユーザ情報返却部７３は、ユーザグループ情報を、管理サーバ３０に送信する（ステップＳ５２）。

例えば、図５を例にすると、ユーザＩＤ及びパスワードが、それぞれ、“UserA”“abcdef”だった場合、ユーザは“ユーザＡ”となり、所属するグループは“グループＡ”となる。よってステップＳ５１ではグループＡが抽出され、グループＡとユーザＡがユーザグループ情報として管理サーバ３０に送信される。

管理サーバでの動作：
ステップＳ５２が実行されると、図１０に示すように、管理サーバ３０において、ユーザ情報受信部３６は、ユーザグループ情報を受信する（ステップＳ４０）。そして、ユーザ情報受信部３６は、ユーザ管理サーバ７０から返却されたユーザグループ情報をアクセス制御情報取得部３７に受け渡す。

アクセス制御情報取得部３７は、ユーザ情報受信部３６から受け取ったユーザグループ情報と、権利ポリシ取得部３４から受け取った権利ポリシとを突き合せ、該当ユーザに付与されるアクセス制御情報を特定する（ステップＳ３８）。また、アクセス制御情報取得部３７は、特定したアクセス制御情報をパス情報生成部３９に受け渡す。

また、ステップＳ３８では、ユーザに、複数のアクセス制御情報が付与されている場合がある。この場合、本実施の形態では、アクセス制御情報に対して、論理和または論理積が適用される。

例えば、図３および図５を例にすると、権利ポリシが権利ポリシＡであり、ユーザがユーザＡであるとする。この場合、ユーザＡは、グループＡにも所属するため、アクセス制御情報としては、ユーザＡの「閲覧・編集・保存・コピー」と、グループＡの「閲覧・編集・保存・印刷」とが該当する。ここで論理和とする場合は、ユーザＡは最終的に「閲覧・編集・保存・印刷・コピー」の権限を有することになる。一方、論理積とする場合、ユーザＡは最終的に「閲覧・編集・保存」の権限を有することになる。

ステップＳ３６及びステップＳ３８の実行後、パス情報生成部３９は、認証用情報解析部３３から取得した文書ＩＤ及び乱数と、共通鍵抽出部３８から取得した文書暗号鍵（Ｐｃｌ［Ｋ］）と、アクセス制御情報取得部３７から取得したアクセス制御情報とを結合する（ステップＳ４１）。これにより、図１４に示すパス情報が生成される。そして、生成したパス情報と、共通鍵抽出部３８から取得した保護文書制御部１１の公開鍵（Ｐｃｌ）とをパス情報暗号化部４０に受け渡す。図１４は、本実施の形態で生成されるパス情報の一例を示す図である。

次に、パス情報暗号化部４０は、パス情報を保護文書制御部１１の公開鍵（Ｐｃｌ）を用いて暗号化し、暗号化したパス情報をパス情報送信部４１へ受け渡す（ステップＳ４２）。

その後、パス情報送信部４１は、パス情報を通信端末５０に送信する（ステップＳ４３）。このとき、パス情報送信部４１は、送信するパス情報をＳＳＬなどの既存技術を用いて暗号化することができ、これによれば、送信するパス情報のセキュリティの確保がいっそう図られる。

通信端末での動作：
ステップＳ４３が実行されると、図９に示すように、通信端末５０においては、パス情報受信部５５は、管理サーバ３０から返却されたパス情報を受信し、これをパス情報コード化部５６に受け渡す（ステップＳ２５）。

次に、パス情報コード化部５６は、受け取ったパス情報全体を、端末装置１０の認証用情報コード化部１６と同様に、ＱＲコード（登録商標）またはＢＡＳＥ６４など、暗号化されたパス情報を画面に表示できる方法でコード化する（ステップＳ２６）。その後、パス情報コード化部５６は、コード化したパス情報をパス情報表示部５７に受け渡す。

次に、パス情報表示部５７は、パス情報コード化部５６によってコード化されたパス情報を通信端末５０の表示画面に表示する（ステップＳ２７）。これにより、コード化されたパス情報が、ユーザに伝達される。

端末装置での動作：
ステップＳ２７が実行されると、図８に示すように、ユーザによる端末装置１０の操作に従い、端末装置１０のパス情報取得部１８は、通信端末５０の画面に表示されている、パス情報を取得する（ステップＳ９）。

具体的には、例えば、端末装置１０が、デジタルカメラを備え、ステップＳ２６において、パス情報がＱＲコード（登録商標）などの２次元コードに変換され、ステップＳ２７において、２次元コードが通信装置５０の画面に表示される場合がある。この場合、パス情報取得部１８は、ユーザが端末装置１０のデジタルカメラで撮影したコードの画像を解析することによって、パス情報のコードを取得することができる。

また、別の例として、ステップＳ２６において、ＢＡＳＥ６４によって認証用情報がコード化され、ステップＳ２７において、文字列等が表示される場合もある。この場合は、ユーザによる入力操作の後、パス情報取得部１８は、パス情報のコードを取得することができる。

次に、パス情報デコード部１９は、パス情報取得部１８で取得されたパス情報のコードをデコードし、さらに、保護文書制御部１１の秘密鍵（Ｓｃｌ）を用いて、暗号化されたパス情報を復号する（ステップＳ１０）。そして、パス情報デコード部１９は、パス情報から取得した文書ＩＤ及び乱数をパス情報照合部２０へ受け渡す（ステップＳ１１）。

次に、パス情報照合部２０は、認証用情報生成部１４がステップＳ２で文書情報抽出部１２から受け取った文書ＩＤ、および乱数生成部１３から受け取った乱数を、パス情報デコード部１９から受け取った文書ＩＤおよび乱数に照合する（ステップＳ１２）。

そして、パス情報照合部２０は、照合の結果、両者が一致しているかどうかを判定する（ステップＳ１３）。ステップＳ１３の判定の結果、一致しなかった場合は、保護文書制御部１１は、処理を終了する。一方、ステップＳ１３の判定の結果、一致した場合は、パス情報照合部２０は、パス情報デコード部１９に照合で問題が無かったことを通知する。

次に、パス情報照合部２０から照合結果が問題ないことが通知されると、パス情報デコード部１９は、文書暗号化鍵（Ｐｃｌ［Ｋ］）を共通鍵取得部２１に受け渡す（ステップＳ１４）。また、パス情報デコード部は、アクセス制御情報をアクセス制御部２２に受け渡す（ステップＳ１８）。

次に、共通鍵取得部２１は、パス情報デコード部１９から受け取った文書暗号鍵（Ｐｃｌ［Ｋ］）に対して、保護文書制御部１１の秘密鍵（Ｓｃｌ）を用いて、これを復号し、共通鍵（Ｋ）を取得する（ステップＳ１５）。

次に、共通鍵取得部２１は、共通鍵（Ｋ）を用いて保護文書を復号し、保護文書を、それを利用しようとしていたアプリケーションプログラムに受け渡す（ステップＳ１７）。また、アクセス制御部２２は、パス情報デコード部１９から受け取ったアクセス制御情報に従って、保護文書を利用しているアプリケーションを制御する（ステップＳ１９）。ステップＳ１７及びＳ１９の実行後、保護文書制御部１１における処理は終了する。

［実施の形態における効果］
以上により、本実施の形態によれば、以下の効果を得ることができる。

本実施の形態では、携帯電話、スマートフォン、タブレット端末などの通信端末５０を利用して、管理サーバ３０への認証と管理サーバ３０からのパス情報の取得とを行なっている。このため、端末装置１０がオフライン環境にあっても、オンラインにすることなく、ユーザは端末装置１０上で保護文書を使用することができる。また、パス情報は、管理サーバ３０から送信されてくるので、最新の権利ポリシ情報に基づいた利用を行なうことが可能となる。更に、保護文書の作成後に、権利ポリシが変更された場合であっても、変更内容を反映させることが可能である。

また、本実施の形態では、保護文書の利用時に、管理サーバに送信する認証用情報に乱数を含め、この乱数と、管理サーバから返却されるパス情報の乱数とを照合することができる。この場合、パスワードの再利用を防ぐことが可能となり、よりいっそう情報漏洩の防止が確実となる。

［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図８に示すステップＳ１〜Ｓ１９を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における端末装置１０を実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、保護文書制御部１１として機能し、処理を行なう。

ここで、本実施の形態におけるプログラムを実行することによって、端末装置１０を実現するコンピュータについて図１５を用いて説明する。図１５は、本発明の実施の形態における端末装置を実現するコンピュータの一例を示すブロック図である。

図１５に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。

上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１２）によって表現することができるが、以下の記載に限定されるものではない。

（付記１）
保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
前記管理サーバとの間で無線通信可能な通信端末とを備え、
前記端末装置は、前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成し、
前記通信端末は、前記認証用情報を受け取った場合は、これを前記管理サーバに送信し、前記管理サーバが、前記認証用情報が正当であると認めて、前記パス情報を送信してくると、送信してきた前記パス情報を前記端末装置によって受け取り可能な形式とする、
ことを特徴とする文書権限管理システム。

（付記２）
前記端末装置が、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを前記端末装置の画面に表示し、
前記通信端末が、前記パス情報を前記端末装置での受け取りが可能な形式とするため、前記パス情報をコードに変換し、変換した前記パス情報を前記通信端末の画面に表示する、
付記１に記載の文書権限管理システム。

（付記３）
前記端末装置が、前記オフライン状態にあるときに、前記認証用情報に乱数を付加し、付加した前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記パス情報を有効とする、
付記１または２に記載の文書権限管理システム。

（付記４）
保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバから、前記権利ポリシを受け取り、受け取った前記権利ポリシに基づいて前記文書の保護を行なう、端末装置であって、
前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、保護文書制御部を備え、
前記保護文書制御部は、
前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、
ことを特徴とする端末装置。

（付記５）
前記保護文書制御部が、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを前記端末装置の画面に表示する、
付記４に記載の端末装置。

（付記６）
前記保護文書制御部が、前記オフライン状態にあるときに、前記認証用情報に乱数を付加し、付加した前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記パス情報を有効とする、
付記４または５に記載の端末装置。

（付記７）
保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
前記管理サーバとの間で無線通信可能な通信端末とを用いた、文書権限管理方法であって、
（ａ）前記端末装置と前記管理サーバとの間がオフライン状態にある場合に、前記文書の利用が求められると、前記端末装置が、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成する、ステップと、
（ｂ）前記通信端末が、前記認証用情報を受け取った場合に、これを前記管理サーバに送信する、ステップと、
（ｃ）前記管理サーバによって、前記認証用情報が正当であると認められ、前記パス情報が前記通信端末に送信されてくると、更に、前記通信端末が、送信されてきた前記パス情報を前記端末装置によって受け取り可能な形式とする、ステップと、
を有することを特徴とする文書権限管理方法。

（付記８）
前記（ａ）のステップにおいて、前記端末装置が、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを前記端末装置の画面に表示し、
前記（ｃ）のステップにおいて、前記通信端末が、前記パス情報を前記端末装置での受け取りが可能な形式とするため、前記パス情報をコードに変換し、変換した前記パス情報を前記通信端末の画面に表示する、
付記７に記載の文書権限管理方法。

（付記９）
（ｄ）前記（ａ）のステップで、前記端末装置が前記認証用情報に乱数を付加する場合に、付加された前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記端末装置が、前記パス情報を有効とする、ステップを更に有する、
付記７または８に記載の文書権限管理方法。

（付記１０）
保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバからの、前記権利ポリシの受け取りと、受け取った前記権利ポリシに基づく前記文書の保護とを、コンピュータによって行なうためのプログラムであって、
前記コンピュータに、
（ａ）前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、ステップと、
（ｂ）前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、ステップと、
を実行させるプログラム。

（付記１１）
前記（ａ）のステップにおいて、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを画面に表示する、
付記１０に記載のプログラム。

（付記１２）
（ｃ）前記（ａ）のステップにおいて前記認証用情報に乱数が付加された場合に、付加された前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記パス情報を有効とする、ステップを更に前記コンピュータに実行させる、
付記１０または１１に記載のプログラム。

以上のように、本発明によれば、オフライン環境下での保護文書の利用において、最新の権利ポリシ情報の適用と機密漏洩の防止とを図ることができる。本発明は、設計図、顧客情報などの機密情報を有し、情報漏えいによる被害を防止する必要があるシステムに有用である。

１ 保護文書
１０ 端末装置
１１ 保護文書制御部
１２ 文書情報抽出部
１３ 乱数生成部
１４ 認証用情報生成部
１５ 権利ポリシ情報格納部
１６ 認証用情報コード化部
１７ 認証用情報表示部
１８ パス情報取得部
１９ パス情報デコード部
２０ パス情報照合部
２１ 共通鍵取得部
２２ アクセス制御部
３０ 管理サーバ
３１ 権利ポリシ情報管理データベース
３２ 認証用情報受信部
３３ 認証用情報解析部
３４ 権利ポリシ取得部
３５ ユーザ情報要求部
３６ ユーザ情報受信部
３７ アクセス制御情報取得部
３８ 共通鍵抽出部
３９ パス情報生成部
４０ パス情報暗号化部
４１ パス情報送信部
４２ 権利ポリシ情報編集部
５０ 通信端末
５１ 認証用情報取得部
５２ 認証用情報デコード部
５３ ユーザ認証情報取得部
５４ 認証用情報送信部
５５ パス情報受信部
５６ パス情報コード化部
５７ パス情報表示部
１００ 文書権限管理システム
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (8)

1. 保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
   前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
   前記管理サーバとの間で無線通信可能な通信端末とを備え、
   前記端末装置は、前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成し、
   前記通信端末は、前記認証用情報を受け取った場合は、これを前記管理サーバに送信し、前記管理サーバが、前記認証用情報が正当であると認めて、前記パス情報を送信してくると、送信してきた前記パス情報を前記端末装置によって受け取り可能な形式とする、
   ことを特徴とする文書権限管理システム。
2. 前記端末装置が、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを前記端末装置の画面に表示し、
   前記通信端末が、前記パス情報を前記端末装置での受け取りが可能な形式とするため、前記パス情報をコードに変換し、変換した前記パス情報を前記通信端末の画面に表示する、
   請求項１に記載の文書権限管理システム。
3. 前記端末装置が、前記オフライン状態にあるときに、前記認証用情報に乱数を付加し、付加した前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記パス情報を有効とする、
   請求項１または２に記載の文書権限管理システム。
4. 保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバから、前記権利ポリシを受け取り、受け取った前記権利ポリシに基づいて前記文書の保護を行なう、端末装置であって、
   前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、保護文書制御部を備え、
   前記保護文書制御部は、
   前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、
   ことを特徴とする端末装置。
5. 前記保護文書制御部が、前記認証用情報を前記通信端末での受け取りが可能な形式とするため、前記認証用情報をコードに変換し、変換した前記コードを前記端末装置の画面に表示する、
   請求項４に記載の端末装置。
6. 前記保護文書制御部が、前記オフライン状態にあるときに、前記認証用情報に乱数を付加し、付加した前記乱数と、前記管理サーバから前記通信端末に送信されてきた前記パス情報に付加された乱数とが一致することを条件に、前記パス情報を有効とする、
   請求項４または５に記載の端末装置。
7. 保護対象となる文書のユーザ権限を規定する権利ポリシを管理し、前記権利ポリシに基づいて、前記文書を利用するためのパス情報を発行する、管理サーバと、
   前記管理サーバから受け取った前記権利ポリシに基づいて前記文書の保護を行い、前記文書の利用が求められたときに、前記文書を利用するための前記パス情報の発行を前記管理サーバに要求する、端末装置と、
   前記管理サーバとの間で無線通信可能な通信端末とを用いた、文書権限管理方法であって、
   （ａ）前記端末装置と前記管理サーバとの間がオフライン状態にある場合に、前記文書の利用が求められると、前記端末装置が、前記パス情報の発行を求めるための認証用情報を前記通信端末で受け取り可能な形式で作成する、ステップと、
   （ｂ）前記通信端末が、前記認証用情報を受け取った場合に、これを前記管理サーバに送信する、ステップと、
   （ｃ）前記管理サーバによって、前記認証用情報が正当であると認められ、前記パス情報が前記通信端末に送信されてくると、更に、前記通信端末が、送信されてきた前記パス情報を前記端末装置によって受け取り可能な形式とする、ステップと、
   を有することを特徴とする文書権限管理方法。
8. 保護対象となる文書のユーザ権限を設定する権利ポリシを管理する管理サーバからの、前記権利ポリシの受け取りと、受け取った前記権利ポリシに基づく前記文書の保護とを、コンピュータによって行なうためのプログラムであって、
   前記コンピュータに、
   （ａ）前記管理サーバとの間がオフライン状態にあるときに、前記文書の利用が求められると、前記文書の利用に必要なパス情報の発行を前記管理サーバに要求するための認証用情報を、前記管理サーバとの間で無線通信可能な通信端末で受け取り可能な形式で作成する、ステップと、
   （ｂ）前記通信端末が前記認証用情報を受け取ってこれを前記管理サーバに送信し、そして、前記管理サーバが、前記認証用情報が正当であると認め、前記パス情報を前記通信端末に送信してきた場合に、前記通信端末から、当該端末装置による受け取りが可能な形式となった前記パス情報を取得する、ステップと、
   を実行させるプログラム。

Images