JP2015005956A - 情報処理装置、制御方法およびプログラム - Google Patents

Abstract

【課題】 装置を使用する使用者の権限（ユーザアカウント）を削除した場合にその使用者の鍵ペア（秘密鍵及び公開鍵証明書）を削除すると、当該使用者から送信された文書の署名の検証が出来なくなってしまう。【解決手段】 情報処理装置において、装置を使用する使用者を認証する認証手段と、前記認証手段により認証される使用者毎に秘密鍵と公開鍵証明書を記憶する記憶手段と、前記装置の使用者における装置の使用権限が削除された場合、前記記憶手段に記憶されている前記使用者の秘密鍵及び公開鍵証明書のうち、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御する制御手段と、を有することを特徴とする。【選択図】 図４

Description

本発明は、装置を使用する使用者の秘密鍵及び公開鍵証明書を記憶する情報処理装置に関するものである。

従来、公開鍵暗号基盤（ＰＫＩ；Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の仕組みを利用することより電子データ（以下、文書という）に対して電子署名（以下、署名と略す）を付与して送信する機能を備えた情報処理装置が知られている。この機能を備えた情報処理装置によって送信された文書を受信する受信側の情報処理装置は、当該文書に付与された署名を検証することによって、文書の改ざんの有無や、なりすましの有無を確認することができる。なお、文書の送信時における署名の付与には公開鍵暗号方式における秘密鍵が利用される。また、文書の受信時における署名の検証にはその秘密鍵に対応した公開鍵証明書（一般的には公開鍵データを含むＸ．５０９公開鍵証明書の形式）が必要となる。

ところで、一般的に、オフィスにおいて共有されるコピー機能やプリント機能を備えた複合機では、複合機を使用する使用者毎にユーザＩＤとパスワードを管理者が設定することにより、装置にログインするための権限（アカウント）を付与している。そして、使用者は、複合機にログインし、自身の鍵ペア（秘密鍵と公開鍵証明書）を当該使用者に関連づけたデータとして登録することが可能である。登録された鍵ペアとしての秘密鍵と公開証明書は、例えば原稿をスキャンして送信する文書に署名を付与する時に必要となる。また鍵ペアは、送信時だけでなく、外部装置から署名付きの文書を受信した場合に署名の検証用にも使用される。

複合機を使用する使用者の使用権限（ユーザアカウント）は、管理者により削除されることがある。例えば部署の異動や転勤などの理由により、使用していた装置の使用権限を失うことがある。このような場合、一般に、異動前に使用していた複合機の当該使用者のユーザアカウントは管理者により削除される。

このような場合に、使用者の装置の使用権限が失されたにも関わらずその使用者の鍵ペアを複合機に保持し続けることは、機密情報の漏洩につながる可能性がありセキュリティ上のリスクとなる。特許文献１では、情報処理装置においてユーザのログイン権限を無効にする際に、ユーザと対応付けられているユーザ固有のデータをすべて削除することによりセキュリティ上のリスクを回避する方法が提案されている。

特開２００６−２７０３５３号公報

特許文献１で提案されている方法によれば、ユーザアカウントを削除した場合はログイン権限の無効化により当該ユーザの鍵ペア（秘密鍵と公開鍵証明書）も削除される。

しかしながら、ユーザアカウントの削除に応じて当該ユーザの秘密鍵と公開鍵を削除した場合、次のような課題がある。

例えば、部署異動などの理由により、利用していた複合機のユーザアカウントが削除される場合を考える。このような場合、ユーザアカウントが削除された後に、その使用者が異動先の複合機から異動前の（アカウントが削除された）複合機へ署名付きの文書を送信する場合がある。このとき、異動前の複合機において当該使用者の公開鍵証明書が削除されていると、送信された文書に付与された署名の検証ができなくなる。

つまり、文書の送信者が確かにその者自身でありなりすましはされておらず、且つ、データの内容は改ざんされていないことを異動前の装置に対して証明することができなくなるという利便性での課題がある。

本発明は、このような課題に鑑みて、装置を使用する使用者の使用権限を削除した場合のセキュリティを考慮しつつ、利便性も維持することが可能となる情報処理装置の提供を目的とする。

上記目的を達成するために、本発明に係る情報処理装置は、装置を使用する使用者を認証する認証手段と、前記認証手段により認証される使用者毎に秘密鍵と公開鍵証明書を記憶する記憶手段と、前記装置の使用者における装置の使用権限が削除された場合、前記記憶手段に記憶されている前記使用者の秘密鍵及び公開鍵証明書のうち、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御する制御手段と、を有することを特徴とすることを特徴とする。

本発明によれば、装置を使用する使用者の使用権限を削除した場合のセキュリティを維持しつつ、利便性も維持することができる。

ネットワーク構成を示す図である。 複合機のハードウェア構成を示す図である。 複合機のソフトウェア構成を示す図である。 ログイン権限（アカウント）を削除した場合の鍵ペアの削除処理に関するフローチャートである。 アカウント管理情報の例である。 鍵ペア管理情報の例である。 署名付きデータ受信時の署名検証処理に関するフローチャートである。 ＣＡ証明書管理情報の例である。 アカウント管理画面の例１である。 アカウント管理画面の例２である。 第２の実施形態におけるログイン権限（アカウント）を削除した場合の鍵ペアの削除処理に関するフローチャートである。 第２の実施形態における証明書自動削除設定画面の例である。 第２の実施形態における鍵ペア管理情報の例である。

以下、本発明を実施するための実施形態について図面を用いて説明する。

（第１の実施形態）
第１の実施形態では、コピー機能やプリント機能を持った複合機において、ユーザアカウント（複合機の使用権限を持つ使用者の情報）を削除した時に当該ユーザアカウントの公開鍵証明書を削除せずに保持し続ける制御について説明する。なお複合機は情報処理装置の一例であり、本発明はこれに限定されるものではない。例えばＰＣやサーバ、プリンタ、スキャナなどの複数の使用者によって使用される装置に適用してもよい。

これにより複合機にログインすることが可能であった使用者が異動した場合などに、異動後の複合機から異動前の複合機へ署名付き文書を送信した場合であっても、異動前の複合機で署名の検証が可能となる。

図１は第１の実施形態におけるネットワーク構成図である。

複合機１０１、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）１０２は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１１０を介して通信可能に接続されている。

複合機１０１は、コピー機能、プリント機能、スキャン機能、およびファクシミリ機能を備える。ＰＣ１０２は、インストールされているプリンタドライバを介して複合機１０１へ印刷データを送信することが可能である。また複合機１０１は、ＬＡＮ１１０を介してＰＣ１０２から鍵ペア（秘密鍵及び公開鍵）をインポートすることが可能である。また、複合機１０１へのログインやアカウントの作成・削除は管理者がＰＣ１０２から行うことが可能である。

なお、図１の例ではＬＡＮ１１０に接続されている複合機およびＰＣはそれぞれ１台ずつであるが、本発明はこれに限定するものではない。複数の複合機やＰＣがＬＡＮ１１０に接続されていてもよい。

図２、図３はそれぞれ、本実施形態の複合機１０１のハードウェア構成図、ソフトウェア構成図である。

まず図２を用いて複合機１０１のハードウェア構成について説明する。コントロールユニット２００は、画像入力デバイスであるスキャナ２０１と、画像出力デバイスであるプリンタ２０２とを接続する。更にコントロールユニット２００は、ＬＡＮ１１０および電話回線（不図示）に接続し、外部装置と通信して情報の入出力を行う。

ＣＰＵ２０５は複合機１０１全体を制御するプロセッサである。ＲＡＭ２０６はＣＰＵ２０５が動作するためのシステムワークメモリであり、画像データやユーザＩＤ・パスワードなどを一時記憶するためのメモリでもある。ＲＯＭ２０７はブートＲＯＭでありシステムのブートプログラムが格納されている。ＨＤＤ２０８はハードディスクドライブであり、システムソフトウェア、アプリケーション、画像データを格納する。またＨＤＤ２０８は、秘密鍵、証明書、ＣＡ証明書、アカウント管理情報、鍵ペア管理情報、ＣＡ証明書管理情報等のデータを格納する。

本実施形態における後述のフローチャートを実行するためのプログラムはこのＨＤＤ２０８に格納される。そして、ＨＤＤ２０８に格納されたプログラムは、ＲＡＭ２０６にロードされ、ＣＰＵ２０５によって実行される。

本実施形態で説明するフローチャートの各ステップは、ＨＤＤ２０８に記憶した制御プログラムをＣＰＵ２０５が実行することで実現される。ただし、ＣＰＵ２０５以外のプロセッサが当該フローチャートの各ステップを実行したり、あるいはＣＰＵ２０５と当該他のプロセッサとが協働して各ステップを実行したりしてもよい。

操作部インターフェース２０９は、液晶タッチパネルを有した操作部２１０とのインターフェース部であり、操作部２１０に表示する画面情報を操作部２１０へ出力する。また操作部インターフェース２０９は、操作部２１０に備えられたキーボードから使用者又は管理者が入力した情報をＣＰＵ２０５に伝える役割をする。例えば操作部２１０は、ユーザアカウントの削除の指示が入力されると、その指示をＣＰＵ２０５に伝える役割をする。

ＬＡＮアダプタ２１１は、ＬＡＮ１１０を介してパケットデータの送受信を制御し、必要な情報をＣＰＵ２０５に伝える役割をする。例えばＬＡＮアダプタ２１１は、ＬＡＮ１１０を介してユーザアカウントの削除の指示が入力されると、その指示をＣＰＵ２０５に伝える役割をする。

ＭＯＤＥＭ２１２は、不図示の電話回線に接続してデジタル信号からアナログ信号への変換等を行う。ＳＲＡＭ２１３は、高速動作可能な不揮発性の半導体メモリである。ＲＴＣ２１４は、リアルタイムクロックであり、コントロールユニット２００に電源が入っていない状態でも現在時刻をカウントする処理を行う。以上のデバイスがシステムバス２１５上に配置される。

ＩｍａｇｅＢｕｓＩ／Ｆ２１６は、システムバス２１５と画像データを高速で転送する画像バス２１７とを接続してデータ構造を変換するためのバスブリッジである。画像バス２１７は、ＰＣＩバスまたはＩＥＥＥ１３９４で構成される。画像バス２１７上には以下のデバイスが配置される。

ＲＩＰ部２１８はラスターイメージプロセッサであり、ＰＤＬコードをビットマップイメージに展開する。デバイスＩ／Ｆ部２１９は、スキャナ２０１及びプリンタ２０２をコントロールユニット２００に接続し、画像データの同期系／非同期系の変換を行う。画像処理部２２０は、画像データに対し補正、加工、編集、解像度変換等を行う。

次に図３を用いて複合機１０１のソフトウェア構成について説明する。

暗号処理部３０３は、署名の生成、暗号化又は復号化、署名の検証、公開鍵証明書の解析、などの各種の暗号化に関連する処理を行うソフトウェアである。

認証部３０５は、操作部２１０から入力されたユーザＩＤ・パスワードを基に当該使用者が装置を使用する使用権限を持つ者であるかを認証するソフトウェアである。認証部３０５は、ＨＤＤ２０８に記憶されたアカウント管理情報３１１（ユーザＩＤ・パスワード）と入力されたユーザＩＤ・パスワードとを照合し、ユーザ認証を行う。ユーザ認証に成功すると、ユーザＩＤ・パスワードを入力した使用者が複合機１０１を使用する（ログインする）ことを許可し、ユーザ認証に失敗すると、当該使用者が複合機１０１を使用する（ログインする）ことを禁止又は制限する。

鍵管理部３０６は、鍵ペアやＣＡ証明書を管理するためのソフトウェアである。鍵管理部３０６は、ＨＤＤ２０８に記憶された鍵ペア管理情報３１２（秘密鍵３０８と公開鍵証明書３０９とを含む情報）を、装置にログイン可能な使用者毎に記憶する。鍵ペアは、使用者が複合機１０１にログインした後、鍵ペアを複合機１０１にインポートする指示が与えられた時にＨＤＤ２０８に記憶される。本実施形態では、Ｘ．５０９形式の公開鍵証明書を２０００個まで管理することができる。

また鍵管理部３０６は、ＨＤＤ２０８に記憶されたＣＡ証明書管理情報３１３によって、認証局（ＣＡ；Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ）が発行したＣＡ証明書の情報を管理する。

アカウント管理部３０７は、アカウント管理情報３１１を管理するソフトウェアであり、ユーザアカウント（装置の使用権限を持つ使用者の情報）の追加又は削除を行うとともにアカウント管理情報３１１の更新を行う。アカウント管理情報３１１は、例えば図５のような管理テーブルである。図５に示すように、アカウント管理部３０７は、アカウント管理情報３１１として、使用者を識別するためのユーザＩＤやパスワードをＨＤＤ２０８に記憶する。なお、図５の例では、ユーザＩＤとパスワードのみを示しているが、これ以外の情報を管理してもよく、例えば、複合機１０１の印刷機能の使用許可又は禁止を示す情報や、送信機能の使用許可又は禁止を示す情報等を管理していてもよい。

鍵管理部３０６は、秘密鍵３０８、公開鍵証明書３０９又はＣＡ証明書３１０の追加や削除を行うと同時に、鍵ペア管理情報３１２、ＣＡ証明書管理情報３１３の更新を行う。鍵ペア管理情報３１２は例えば図６のような管理テーブルで管理され、ＣＡ証明書管理情報は例えば図８のような管理テーブルで管理される。

以上で、複合機１０１のハードウェア構成およびソフトウェア構成について説明した。以上の構成に基づく複合機１０１の文書送信動作および文書受信動作を簡単に説明する。

まず文書送信動作について説明する。複合機１０１は、認証部３０５で認証された使用者の指示に従い、スキャナ２０１で原稿を読み取って得られた画像データをもとに画像処理部２２０でＴＩＦＦやＰＤＦ、ＪＰＥＧ等の画像ファイルを作成する。そして、作成した画像ファイルを、ＬＡＮアダプタ２１１を介してＦＴＰ、ＳＭＢ、ＷｅｂＤＡＶ、ＳＭＴＰ等の通信プロトコルに従って送信する。

本実施形態では、複合機１０１は、上述した文書送信機能を用いて文書を送信する際に、認証した使用者毎に記憶されている鍵ペア（秘密鍵及び公開鍵証明書）を用いて署名を当該文書に付与することができる。具体的には、複合機１０１のＣＰＵ２０５は、認証部３０５で使用者を認証してログインを許可すると、当該使用者から文書の送信宛先や署名を付与するための設定を受け取る。そして、ＣＰＵ２０５は、認証された使用者の秘密鍵をＨＤＤ２０８から取得し、この秘密鍵を用いて文書の署名を生成する。そして、当該使用者の公開鍵証明書を文書に添付して送信する。これにより、この署名付き文書を受信した装置側では、文書とともに受信した公開鍵証明書を用いて文書の改ざんの有無やなりすましの有無を確認することができる。

次に文書受信動作について説明する。複合機１０１は、ＬＡＮアダプタ２１１を介してＰＣ１０２からＰＤＬデータを文書として所定の通信プロトコルを用いて受信する機能を持ち、複合機１０１は、ＲＩＰ部２１８および画像処理部２２０を用いて、受信した文書から画像データを生成する。そして、生成した画像データをプリンタ２０２で印刷する。また複合機１０１は、ＬＡＮアダプタ２１１を介してＳＭＴＰプロトコル又はＰＯＰ３プロトコルを用いて電子メール文書を受信し、画像処理部２２０で所定のフォーマット画像に変更した後、プリンタ２０２で印刷することもできる。

本実施形態では、複合機１０１は、この文書受信機能を用いて文書を受信した時に、受信した文書の署名の検証を行うことができる。すなわち、受信文書の署名を検証する設定がされている場合（これは管理者が予めセキュリティ設定として登録しておくものとする）、文書に付与されている署名を暗号処理部３０３により検証する。すなわち、複合機１０１は、署名の有効期限切れ、信頼できるＣＡに紐付いていない、失効している等の問題を検知した場合にエラーとする（エラー情報を印刷する）。この受信時の署名検証機能により、受信者は文書の改ざんの有無やなりすましの有無を確認することができる。

次に、図４を用いて、第１の実施形態の複合機１０１に登録されているユーザアカウントを削除した場合の鍵情報を削除する処理について説明する。図４のフローチャートに示す各ステップは、ＨＤＤ２０８からＲＡＭ２０６にロードされたプログラムをＣＰＵ２０５が実行することにより実現される。

本実施形態では、ユーザアカウントの追加又は削除を行う権限を持つ者は管理者のみである。ただし、例えばアカウント管理の権限をもつ特別の使用者が管理者と同様の権限を持っていてもよい。

まずＣＰＵ２０５は、操作部２１０を介し管理者からユーザＩＤの指定を受け付けるとともに、指定されたユーザＩＤのユーザアカウントを削除する要求を受け付ける。この削除の要求に従い、ＣＰＵ２０５は、指定されたユーザＩＤのユーザアカウントを削除する（Ｓ４０１）。なお、ユーザアカウントが削除されると、そのユーザアカウントで識別される使用者は、これ以降、複合機１０１にログインして装置を使用することができなくなる。

図９及び図１０は、管理者がユーザアカウントを削除するための操作画面の例である。本実施形態では、図９及び図１０の操作画面は操作部２１０に表示される。ただし、アカウント管理部３０７がＷＥＢアプリケーションとして複合機１０１内に実装されている場合等も考えられる。この場合には、ＬＡＮ１１０に接続されたＰＣ１０２から複合機１０１に接続することにより、遠隔のＰＣ１０２のＷＥＢブラウザで表示するようにしてもよい。

図９では、「ＵｓｅｒＡ」、「ＵｓｅｒＢ」、「ＵｓｅｒＣ」、「ＵｓｅｒＤ」の４人の使用者が複合機１０１の使用権限（ユーザアカウント）を持っている例を示している。管理者は、図９の操作画面で指定したユーザのユーザアカントを削除しようとする場合、図９の画面の右側にある削除ボタンを押下する。この削除ボタンが押下されると、図１０の操作画面が操作部２１０に表示される、図１０の画面で管理者によりＯＫボタンを押下すると、Ｓ４０１の処理が実行される。

Ｓ４０１において、ＣＰＵ２０５は、ユーザアカウントの削除に成功したか否かを確認し、ユーザアカウントの削除に失敗したと判断した場合にはエラー画面を操作部２１０に表示し、本処理を終了する。例えば、Ａｄｍｉｎ（管理者）のユーザアカウントの削除要求をした場合等にエラー画面を表示する。

ＣＰＵ２０５は、指定されたユーザＩＤのユーザアカウントの削除に成功した場合、そのユーザアカウントに対応する使用者の鍵ペア（秘密鍵及び公開鍵証明書）がＨＤＤ２０８に存在するか否かを確認する（Ｓ４０３）。鍵ペアが存在すると判断した場合、ＣＰＵ２０５は、その鍵ペアのうち秘密鍵をＨＤＤ２０８から削除する（Ｓ４０４）。このときＣＰＵ２０５は、秘密鍵の削除に伴い、鍵ペア管理情報３１２を更新する。一方、Ｓ４０３で鍵ペアが存在しないと判断した場合には本処理を終了する。

ＣＰＵ２０５は、アカウントの削除がされた使用者の公開鍵証明書をＨＤＤ２０８から削除するか否かを判断する（Ｓ４０５）。この判断は、秘密鍵とともに公開鍵証明書を削除するか否かを予め管理者が設定しておき、当該設定に従って判断してもよい。また、アカウントの削除指示があった時に管理者に問い合わせ、この問い合わせの結果に基づき判断してもよい。

ＣＰＵ２０５は、公開鍵証明書を削除すると判断すると、アカウントの削除がされた使用者の公開鍵証明書をＨＤＤ２０８から削除する（Ｓ４０６）。このときＣＰＵ２０５は、公開鍵証明書の削除に伴い鍵ペア管理情報３１２を更新する。

以上の制御により、本実施形態によれば、ユーザアカウントが削除された場合でも公開鍵証明書はＨＤＤ２０８に保持することが可能なため、当該使用者の指示で別の装置から複合機１０１へ送信した文書の署名検証が可能となる。

次に、図７を用いて第１の実施形態の複合機１０１が文書を受信した時の署名検証の制御について説明する。図７のフローチャートに示す各ステップは、ＨＤＤ２０８からＲＡＭ２０６にロードされたプログラムをＣＰＵ２０５が実行することにより実現される。

ＣＰＵ２０５は、ＬＡＮアダプタ２１１を介して、電子データ（文書）を受信すると（Ｓ７００）、装置の設定を確認し、受信時に文書の署名検証を行うか否かを判定する（Ｓ７０１）。なお当該装置の設定は、ＳＲＡＭ２１３又はＨＤＤ２０８に記憶されており、管理者が予め登録しておくものとする。なお、ここで受信する電子データの形式は特に限定されないが、例えばプリンタドライバから受信したＰＤＬデータやメールサーバ（不図示）から受信する電子メール等である。

受信時に文書の署名検証を行うと判定した場合、Ｓ７０１ａに進み、ＣＰＵ２０５は、受信した文書に署名が付加されているか否かを判断する。署名が付加されていないと判断すると、ＣＰＵ２０５はエラーであると判定し、Ｓ７１６に進み、そのエラーの種別を示すエラーコードと、送信者、受信者、受信時刻、ジョブＩＤ等をログとしてＨＤＤ２０８に記録する。更にＳ７１７に進み、ＣＰＵ２０５は、上記ログとして記録した内容と共に、エラーレポートをプリンタ２０２に印刷させる。このとき、「受信文書に署名が付加されていないため印刷できませんでした」等のエラー情報や、「受信文書の署名の検証に失敗しました」等のエラー情報を印字するようにしてもよい。

また受信した文書が例えばＥメールである場合には、送信元メールアドレスや送信先メールアドレス、メッセージＩＤ、件名（Ｓｕｂｊｅｃｔ）の少なくとも１つを印字してもよい。例えば受信した文書がＰＣ１０２〜１０４から送信されたＰＤＦ等のファイルである場合には、その受信ファイルのファイル名、送信元のホスト名やＩＰアドレス、受信文書の所有者、受信時刻、等を印字してもよい。

次に、ＣＰＵ２０５は、署名付きの文書に添付された公開証明書が自己署名証明書であるかを判定する（Ｓ７０２）。ここでは、文書に添付されている証明書を解析し、証明書発行先と証明書発行元が同一である場合に自己署名証明書であると判定する。

ＣＰＵ２０５は、署名付きの文書に添付されている証明書が自己署名証明書である場合、複合機１０１に同じ発行者の証明書があるか否かを、ＨＤＤ２０８内の鍵ペア管理情報３１２を参照することで確認する（Ｓ７０３）。本実施形態では、ユーザアカウントが削除された使用者の公開証明書は上述したように削除されない。そのため、もしユーザアカウントが過去に削除されたユーザから送信された文書を受信した場合、その公開鍵証明書はＨＤＤ２０８内に存在していることになる。

ＣＰＵ２０５は、Ｓ７０３で検証対象の証明書と同じ発行者の証明書がＨＤＤ２０８に記憶されている場合、その証明書によって検証対象の証明書の署名を検証する（Ｓ７０４）。

ＣＰＵ２０５は、Ｓ７０３で検証対象の証明書と同じ発行者の証明書が保持されていない場合、検証対象の証明書を複合機１０１で保持する証明書によって検証できないため、検証結果をＮＧとする（Ｓ７１２）。

Ｓ７０５で、ＣＰＵ２０５は、Ｓ７０４で検証結果がＯＫであった場合、添付された証明書は信頼できる証明書であると判断し、添付された証明書に記載されている公開鍵を用いて受信文書に付与された署名を検証する（Ｓ７０６）。

ＣＰＵ２０５は、Ｓ７０６で検証結果がＯＫであった場合（Ｓ７０７）、受信した署名付き文書の検証結果として検証結果をＯＫとする（Ｓ７０８）。

ＣＰＵ２０５は、Ｓ７０５またはＳ７０７で検証結果がＮＧであった場合に、受信した著名付き文書の検証結果として検証結果をＮＧとする（Ｓ７１２）。

Ｓ７０２で、受信した著名付き文書に添付されている公開鍵証明書が自己署名証明書でない場合（すなわちＣＡ証明書である場合）、Ｓ７０９に処理を進める。Ｓ７０９では、ＣＰＵ２０５は、ＨＤＤ２０８に記憶されたＣＡ証明書によって当該証明書を検証するための証明書パスが確立できるかを確認する（Ｓ７０９）。ここでの証明書パスとはＲＦＣ５２８０に記載される証明書パスと同じ意味である。また、証明書パスが確立可能か否かは、例えば図８のＣＡ証明書管理情報３１３を参照することで確認することができる。

図８の例では、ＣＡ＿１、ＣＡ＿２の証明書はルート証明書であるのでパスが確立できるといえる。またＣＡ＿３の証明書は、証明書発行者として特定されるＣＡ＿１の証明書がルート証明書であるためパスが確立できるといえる。一方、ＣＡ＿４の証明書は、証明書発行者として特定されるＣＡ＿５の証明書が存在しないためパスが確立できない。

ＣＰＵ２０５は、Ｓ７０９で証明書パスの確立が可能である場合、添付された証明書を含む証明書パス上の全ての証明書の署名検証を行う（Ｓ７１０）。

ＣＰＵ２０５は、Ｓ７１０で検証結果がすべてＯＫであった場合、検証結果をＯＫとする（Ｓ７１１）。

ＣＰＵ２０５は、Ｓ７０９、Ｓ７１０において、それぞれ証明書パスの確立不可能、証明書パス上のすべての証明書の検証に成功しなかった場合は検証結果がＮＧと判断する（Ｓ７１２）。

次にＣＰＵ２０５は、Ｓ７０８、Ｓ７１１、Ｓ７１２の判断結果を確認し、検証結果がＯＫであればＳ７１４に進み、受信ログにＯＫを記録し、受信文書の印刷をプリンタ２０２に行わせる。なお、受信文書をＨＤＤ２０８の所定の記憶領域（ＢＯＸ）に蓄積したりしてもよい。

またＳ７１５で、ＣＰＵ２０５は、受信した文書が転送条件に合致するか否かを確認し、転送条件に合致する場合に受信した文書を指定の宛先へ転送するようにしてもよい。

以上の制御により、本実施形態によれば、複合機１０１は、異動などの理由によりユーザアカウントが削除された場合でも公開鍵証明書はＨＤＤ２０８に保持されるため、当該使用者の指示で別の装置から複合機１０１へ送信した文書の署名検証が可能となる。

（第２の実施形態）
第１の実施形態では複合機１０１において、ユーザアカウント削除時の使用者の公開鍵証明書を削除せずに保持し続ける例を示した。

第２の実施形態では、管理者がユーザアカウントの削除を指示した時に公開鍵証明書を削除するか否かを選択可能にする例を説明する。

図１１を用いて、第２の実施形態の複合機１０１に登録されているユーザアカウントを削除した場合の鍵ペアの削除処理について説明する。図１１のフローチャートに示す各ステップは、ＨＤＤ２０８からＲＡＭ２０６にロードされたプログラムをＣＰＵ２０５が実行することにより実現される。なお、Ｓ１１０１〜Ｓ１１０４の処理は、第１の実施形態における図４のＳ４０１〜Ｓ４０４と同じであるため説明は省略する。

ＣＰＵ２０５は、アカウントを削除した使用者に対応する秘密鍵を削除した後、操作部２１０に例えば図１２の操作画面を表示することで、管理者に対し、当該使用者の公開鍵証明書を削除するか否かを指示させる（Ｓ１１０８）。

ＣＰＵ２０５は、Ｓ１１０８で「今すぐ削除」が管理者から指示された場合、ＨＤＤ２０８から公開鍵証明書を削除する（Ｓ１１０７）。このとき、ＣＰＵ２０５は、公開鍵証明書の削除に伴い鍵ペア管理情報３１２を更新する。

ＣＰＵ２０５は、Ｓ１１０８において「今すぐ削除」が指示されなかった場合、「無期限」が選択されたかを確認する（Ｓ１１０９）。「無期限」が指示された場合、ＣＰＵ２０５は、当該使用者の証明書を削除せずに終了する。「無期限」が指示されなかった場合、ＣＰＵ２０５は、管理者の指示した時間を当該使用者の証明書保持期間として鍵ペア管理情報３１２に設定する（Ｓ１１１０）。例えば、図１３はＩＤ：ＵｓｅｒＡの証明書であるＵｓｅｒＡ．ｃｅｒの自動削除設定に関し、現在日時が２０１４／１２／１であるタイミングで、「１ヶ月」が指示された場合、２０１５／１／１が指定時間として設定される。

なお、ＣＰＵ２０５は、複合機１０１を起動した時やシャットダウン時に、鍵ペア管理情報３１２に設定された指定時間を経過している証明書の有無を確認し、指定時間が経過している証明書がある場合には削除する。

以上の制御により、第２の実施形態によれば、管理者がアカウント削除時に公開鍵証明書を削除するか否かを選択することが可能である。

第２の実施形態によれば、ユーザアカウントの削除時は公開鍵証明書を削除せず、指定時間を経過した場合に削除する選択が可能となり、一律にアカウント削除ユーザの公開鍵証明書が削除されずに残ることを回避することが可能となる。

（その他の実施形態）
また、本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施例の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を装置に供給し、その装置のコンピュータ（ＣＰＵ、ＭＰＵ、又は他の電気回路）が記憶媒体に格納されたプログラムコードを読み出す処理である。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。また前記記憶媒体は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）であってもよい。さらに、前記記憶媒体は、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）やＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ、フラッシュメモリ、メモリカード等であってもよい。また、上述した実施例の１又は複数の機能は、１つのプロセッサによって実現されてもよいし、複数のプロセッサによって実現されてもよいし、ネットワーク上の複数のコンピュータによって実現されてもよい。

１０１ 複合機
１０２ ＰＣ
１１０ ＬＡＮ
２０５ ＣＰＵ
２０６ ＲＡＭ
２０７ ＲＯＭ
２０８ ＨＤＤ
２１０ 操作部
２０１ スキャナ
２０２ プリンタ

Claims (11)

1. 装置を使用する使用者を認証する認証手段と、
   前記認証手段により認証される使用者毎に秘密鍵と公開鍵証明書を記憶する記憶手段と、
   前記装置の使用者における装置の使用権限が削除された場合、前記記憶手段に記憶されている前記使用者の秘密鍵及び公開鍵証明書のうち、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御する制御手段と、
   を有することを特徴とする情報処理装置。
2. 文書を送受信することが可能な通信手段を更に有し、
   前記制御手段は、前記認証された使用者の指示に従い前記通信手段により文書を送信する場合、前記記憶手段に記憶された秘密鍵と公開鍵証明書を用いて当該文書に署名を付与して送信することを特徴とする請求項１に記載の情報処理装置。
3. 前記制御手段は、前記通信手段により文書を受信する場合、前記記憶手段に記憶された公開鍵証明書を用いて当該文書に付与されている署名を検証することを特徴とする請求項２に記載の情報処理装置。
4. 前記通信手段から受信した文書を印刷する印刷手段を更に有し、
   前記制御手段は、前記通信手段から受信した文書に付与されている署名の検証が成功した場合に前記印刷手段に前記受信した文書の印刷を行わせることを特徴とする請求項３に記載の情報処理装置。
5. 前記印刷手段は、前記制御手段による前記署名の検証に失敗した場合、署名の検証に失敗したことを示すエラー情報を印刷することを特徴とする請求項４に記載の情報処理装置。
6. 前記通信手段により送受信する文書は電子メール文書であることを特徴とする請求項２ないし５のいずれか１項に記載の情報処理装置。
7. 前記制御手段は、管理者からの指示に基づき前記使用者における装置の使用権限を削除することを特徴とする請求項１ないし６のいずれか１項に記載の情報処理装置。
8. 前記制御手段は、前記装置の使用者における装置の使用権限が削除された場合で、かつ前記管理者が公開鍵証明書を削除しないことを指示した場合、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御することを特徴とする請求項７に記載の情報処理装置。
9. 前記制御手段は、前記装置の使用者における装置の使用権限が削除された場合で、かつ前記管理者が指定時間が経過した後に公開鍵証明書を削除することを指示した場合、前記秘密鍵の削除時には前記公開鍵証明書を削除せず、前記指定時間が経過した後に前記公開鍵証明書を削除するように制御することを特徴とする請求項７に記載の情報処理装置。
10. 装置を使用する使用者毎に秘密鍵と公開鍵証明書とを記憶する記憶手段を備えた情報処理装置の制御方法であって、
    装置を使用する使用者を認証する認証ステップと、
    前記装置の使用者における装置の使用権限が削除された場合、前記記憶手段に記憶されている前記使用者の秘密鍵及び公開鍵証明書のうち、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御する制御ステップと、
    を有することを特徴とする制御方法。
11. 装置を使用する使用者毎に秘密鍵と公開鍵証明書とを記憶する記憶手段を備えた情報処理装置に、
    装置を使用する使用者を認証する認証ステップと、
    前記装置の使用者における装置の使用権限が削除された場合、前記記憶手段に記憶されている前記使用者の秘密鍵及び公開鍵証明書のうち、前記秘密鍵を削除して前記公開鍵証明書を削除しないように制御する制御ステップと、
    を実行させることを特徴とするプログラム。

Images