JP2016082302A - 共有認証情報更新システム - Google Patents

Abstract

【課題】複数に利用者が一つの端末を共用する場合に、ある利用者によって共用の認証情報が更新された後、他の利用者がオフライン環境下であっても更新後の認証情報を使用することを可能とする共有認証情報更新システムを提供すること。
【解決手段】 複数の利用者で共用する共用端末と通信可能なサーバ装置であって、共用端末の第１の利用者が前記共用端末において使用する暗復号鍵の新しいバージョンである新暗復号鍵を生成し、この新暗復号鍵を、第１の利用者と共用する第２の利用者を特定する。そして、特定した第２の利用者に特有の情報である秘密情報を取得する。また、取得した第２の利用者の秘密情報を使用して、新暗復号鍵を暗号化する。新暗復号鍵と、暗号化された新暗復号鍵である暗号化済新暗復号鍵と、を共用端末に送信する。
【選択図】図２

Description

本発明は、複数の利用者が共有する認証情報の変更方法に関する。

近年、パソコン、スマートフォンやタブレット端末等（以下、「スマートデバイス」という）をビジネスで活用する企業が増えている。スマートデバイスのビジネス活用方法としては、例えば、営業担当者がスマートデバイスを用いて顧客先で商品の説明や契約手続きを行う、工場作業者が資料をスマートデバイスに表示させながら作業の指示や点検を行う、というような活用方法が増えつつある。また、コスト削減などの理由から、スマートデバイスを各部署に何台か配布して、複数人の担当者でこれらを共用で使用させるケースもある。

このような業務活用においては、提案書や設計書などの機密書類をスマートデバイス内に保存した状態で社外へ持ち出すことから、スマートデバイス内に保存された機密情報を暗号化などによって安全に保護する必要がある。また、これに加えて、許可された利用者間でのみデータの閲覧を可能にする等の仕組みが必要とされる。このような場合には、共用のＩＤ／パスワードを発行して利用者に配布する、または、各利用者が暗号化されたデータの復号鍵を管理する、などの方法が考えられる。しかし、これらのパスワードや復号鍵が常に同じものであることはセキュリティ上望ましくないため、あるタイミングで適宜更新する必要がある。パスワードや復号鍵を複数の利用者が共有する時、ある利用者が更新したパスワードや復号鍵を、他の利用者にも何らかの方法で共有させる必要がある。

このような問題を解決する方法として、特許文献１には、各利用者が携行するＩＣカード内に共用機器のＩＤ／パスワードを保存しておき、ある利用者やシステム管理者が共用機器のパスワードを更新すると、他の利用者のパスワードもその後における最初の認証時に更新されるといった仕組みが開示されている。

特開２０１１−２４２９５８号公報

しかしながら、特許文献１の方法では、パスワードの更新にはパスワードを管理しているサーバとの通信が必要である。よって、ある利用者によって共用のパスワードや鍵が変更された後に、他の利用者が共用機器を使用するために自身のパスワード等の変更をしようとしても、地下や飛行機内などのオフライン環境下ではパスワード等の変更ができず、共用端末を利用できないという問題があった。

本発明は、上記課題に鑑みてなされたものであり、ある利用者によって共用の認証情報が更新された後、他の利用者がオフライン環境下であっても更新後の認証情報を使用することを可能とする共有認証情報更新システムを提供することを目的とする。

上記課題を解決するために、本発明の一態様は、複数の利用者で共用する共用端末と通信可能なサーバ装置であって、前記共用端末の第１の利用者が前記共用端末において使用する暗復号鍵の新しいバージョンである新暗復号鍵を生成する新暗復号鍵生成部と、前記新暗復号鍵を、前記第１の利用者と共用する第２の利用者を特定する同一暗復号鍵利用者特定部と、前記第２の利用者に特有の情報である秘密情報を取得する秘密情報取得部と、前記第２の利用者の前記秘密情報を使用して、前記新暗復号鍵を暗号化する暗号化部と、前記新暗復号鍵と、前記暗号化部において暗号化された新暗復号鍵である暗号化済新暗復号鍵と、を前記共用端末に送信する暗復号鍵送信部と、を備えるサーバ装置である。

また、本発明の他の態様は、上記のサーバ装置と、共用端末と、を含むシステムであって、前記共用端末は、前記サーバ装置から送信された前記新暗復号鍵と、前記暗号化済新暗復号鍵と、を受信する暗復号鍵受信部と、前記新暗復号鍵と、前記暗号化済新暗復号鍵と、を前記共用端末内に保持する暗復号鍵記憶部と、を備えることを特徴とするシステムである。

また、本発明の他の態様は、複数の利用者で共用する共用端末と通信可能なサーバ装置が実行する方法であって、前記共用端末の第１の利用者が前記共用端末において使用する暗復号鍵の新しいバージョンである新暗復号鍵を生成するステップと、前記新暗復号鍵を、前記第１の利用者と共用する第２の利用者を特定するステップと、前記第２の利用者に特有の情報である秘密情報を取得するステップと、前記第２の利用者の前記秘密情報を使用して、前記新暗復号鍵を暗号化するステップと、前記新暗復号鍵と、前記暗号化部において暗号化された新暗復号鍵である暗号化済新暗復号鍵と、を前記共用端末に送信するステップと、を含む方法である。

また、本発明の他の態様は、上記方法を前記サーバ装置に実行させるためのコンピュータプログラムである。

なお、暗復号鍵の暗号化およびその復号は、１つの暗復号鍵に対して行われてもよいし、複数の暗復号鍵に対して行われてもよい。また、複数の暗復号鍵に対して行う場合には、それぞれの暗復号鍵に対して暗号化および復号を行うようになっていてもよいし、複数の暗復号鍵をまとめて暗号化および復号を行うようになっていてもよい。

本発明によれば、複数に利用者が一つの端末を共用する場合に、ある利用者によって共用の認証情報が更新された後、他の利用者がオフライン環境下であっても更新後の認証情報を使用することが可能である。

本発明の一実施形態に係る共有認証情報更新システムにおける共用端末の構成の一例を示す図である。 本発明の一実施形態に係る共有認証情報更新システムにおけるサーバ装置の構成の一例を示す図である。 本発明の一実施形態に係る共有認証情報更新システムにおける共用端末の暗復号鍵ＤＢが保持する情報の一例を示す図である。 本発明の一実施形態に係る共有認証情報更新システムにおける共用端末の新暗復号鍵ＤＢが保持する情報の一例を示す図である。 本発明の一実施形態に係る共有認証情報更新システムにおけるサーバ装置の利用者ＤＢが保持する情報の一例を示す図である。 本発明の一実施形態に係る共有認証情報更新システムにおけるサーバ装置の秘密情報ＤＢが保持する情報の一例を示す図である。 本発明の一実施形態に係る共用認証情報更新システムにおけるオンライン処理の一例を示すシーケンス図である。 本発明の一実施形態に係る共用認証情報更新システムにおけるオフライン処理の一例を示すシーケンス図である。 本発明の一実施形態に係る共用端末およびサーバ装置のハードウェア構成の一例を示す図である。

以下、図面を参照しながら、本発明の実施の形態について説明する。なお、以下の説明において参照する各図では、他の図と同等の部分は同一符号によって示される。
（共有認証情報更新システムの概要）
まず、本実施形態に係る共有認証情報更新システムの概要について説明する。また、以下においては、説明の便宜上、一例として、共用端末内のファイルごとに利用者のアクセス権等が設定されている、すなわち、ファイルごとに複数の利用者で共用する暗復号鍵がそれぞれ存在するものとして説明する。なお、本明細書においては、複数の利用者がアクセスするデータ・記憶領域等（ここではファイル）を暗号化する暗号鍵および復号する復号鍵を総称して「暗復号鍵」という。

共用端末のある利用者（利用者Ａ）について、あるファイルにアクセスするための暗復号鍵（またはパスワード）を更新する際に、すべての利用者の暗復号鍵を管理しているサーバ装置は、更新対象の暗復号鍵を利用者Ａと共有している他の利用者を検索する。ここで例えば、他の利用者（利用者Ｂ、利用者Ｃ）が見つかった場合、サーバ装置は、更新された暗復号鍵を利用者Ｂのみが知る利用者Ｂの秘密の情報（以下、「秘密情報」という）を用いて暗号化する。同様に、サーバ装置は、利用者Ｃに関しても、更新された暗復号鍵を利用者Ｃのみが知る利用者Ｃの秘密情報を用いて暗号化する。そして、サーバ装置は、この異なる利用者Ｂと利用者Ｃの秘密情報によってそれぞれ暗号化された更新後の新しい暗復号鍵を共用端末に送信する。共用端末は、取得された利用者Ａの最新の暗復号鍵のみならず、利用者Ｂと利用者Ｃの秘密情報によってそれぞれ暗号化された更新後の新しい暗復号鍵を、暗号化されたまま自端末内の記憶装置に保存しておく。

後日、例えば利用者Ｂが共用端末にログインした場合（または何らかのタイミングで）、共用端末は、利用者Ｂの暗復号鍵が更新されていることを検出する。そして、共用端末は、利用者Ｂの秘密情報を利用者Ｂに入力させる（秘密情報は各利用者が事前にサーバ装置に登録しておく）。共用端末は、入力された秘密情報を用いて、（利用者Ｂの秘密情報で暗号化されたまま共用端末に保存されている）新しい暗復号鍵を復号し、更新前の古い暗復号鍵と入れ替える。

このように、利用者Ａが暗復号鍵を更新する際に、利用者Ａの暗復号鍵の更新と同時に、この更新された暗復号鍵を共用している他の利用者の秘密情報で暗号化された（更新後の）暗復号鍵をも共用端末に保持させる。そして、他の利用者が共用端末にログインした場合等のタイミングで、すでに共用端末に保持されているその利用者のための（秘密情報で暗号化されている）暗復号鍵を読み出し、秘密情報で暗復号鍵を復号して利用可能な状態とする。

このような仕組みにより、ある利用者によって共有の暗復号鍵が更新された場合でも、ファイルを共用する他の利用者が新しい暗復号鍵を使用することが可能になる。また、ある利用者が暗復号鍵を更新した後、他の利用者は、オフライン状態であっても更新された暗復号鍵を利用することが可能である。

なお、以下の説明においては、ある利用者が他の利用者に先んじて暗復号鍵の更新をサーバ装置にアクセスして行う場合を、「オンラインによる更新」などと言う。また、ある利用者によるオンライン更新の後に、他の利用者がサーバ装置にアクセスせずに共用端末内で暗復号鍵を利用する場合を「オフラインによる利用」などと言う。

（共有認証情報更新システムの構成）
本実施形態に係る共有認証情報更新システムは、複数の利用者が共同で使用する共用端末と、各利用者の暗復号鍵の管理を行うサーバ装置とを含んで構成される。共用端末は、複数の利用者が共同で使用する端末である。主には、スマートフォン、タブレット型コンピュータ、ノート型パソコン、等の可搬型端末が想定されるが、これに限定されるものではなく、複数の利用者が共用するコンピュータ端末であればよい。

（共用端末の構成）
図１は、共用端末の構成の一例を示す図である。共用端末１の構成は、大まかには、入力手段１０、出力手段２０、認証手段３０、通信手段４０、記憶手段５０、および暗復号機能管理手段６０に分けられる。入力手段１０は、利用者からの入力を受け付けるためのユーザインタフェースを提供する。具体的には、例えば、タッチパネル、入力ボタン、キーボード、マウス、等の入力デバイスを用いて実現されうる。出力手段２０は、共用端末１から利用者に音声や画像等の情報を伝えるユーザインタフェースを提供する。具体的には、例えば、ディスプレイ、スピーカ、等の出力デバイスを用いて実現されうる。

また、認証手段３０は、利用者の認証を行う機能を提供する。通信手段４０は、後述するサーバ装置と各種データの送受信を行う機能を有する。記憶手段５０は、暗復号鍵データ、利用者情報、利用者が共用する共用ファイル等のデータなどの各種データを共用端末１のハードディスク等の記憶領域にデータベース等の各種形式で記憶保持する機能を提供する。暗復号機能管理手段６０は、暗復号鍵の更新、暗復号鍵の読み出し、共用ファイルの暗復号などの暗復号に関する機能を提供する。以下、各手段における具体的な構成例について説明する。

［入力手段］
入力手段１０は、認証情報受付部１０１と、秘密情報受付部１０２と、ファイル利用要求受付部１０３とを備える。

（認証情報受付部）
認証情報受付部１０１は、利用者がタッチパネル等の入力デバイスを使用して入力する利用者認証情報を受け付ける。利用者認証情報は、ユーザ認証を行うための情報であり、例えば利用者を一意に特定するための識別情報（以下、「利用者ＩＤ」という）と、パスワードとの組み合わせである。

（秘密情報受付部）
秘密情報受付部１０２は、利用者がタッチパネル等の入力デバイスを使用して入力する秘密情報を受け付ける。秘密情報は、利用者のみが知る秘密の情報であって、例えば利用者の好きな動物、好きなスポーツ、出身学校名、などの情報である。より具体的には、共有認証情報更新システムがあらかじめ複数種類の秘密情報を質問という形式で準備しておき、利用者はこの中から一つを選択して回答する、という形で入力するようになっていてもよい。例えば、共用端末１のディスプレイに、「あなたの好きな動物は？」、「あなたの好きなスポーツは？」、「あなたの出身学校は？」などの質問がプルダウンメニューで共用端末１のディスプレイに表示され、利用者はこの中から一つ選択する。そして、共用端末１のディスプレイに表示される入力ボックスに、質問の回答を入力する、というようにして、秘密情報を設定することができる。ただし、これらは秘密情報の一例であって、これらに限定されるものではない。秘密情報は各利用者に特有の情報であればよく、その内容や形式は様々なものが考えられる。例えば、利用者本人のみが知りうる情報や単なるパスワードのようなものであってもよく、さらに、これらの情報を特定の規則や数式で変換したもの等であってもよい。

（ファイル利用要求受付部）
ファイル利用要求受付部１０３は、利用者が共用端末１内の共用のファイルにアクセスするための要求を受け付ける。具体的には例えば、共用端末１のディスプレイに表示される共用ファイルのアイコンをダブルクリックすることでファイルを開く操作が行われたことを検出すること等が該当する。

［出力手段］
出力手段２０は、秘密情報入力画面出力部２０１と、データ出力部２０２とを備える。

（秘密情報入力画面出力部）
秘密情報入力画面出力部２０１は、利用者が秘密情報を入力するための秘密情報入力画面を共用端末１のディスプレイに表示出力する機能を有する。秘密情報入力画面は、具体的には例えば、上述したように、あらかじめ準備されている各種の質問を利用者に選択させるためのプルダウンメニューと、この中から利用者が選択した質問に対する回答を入力するための入力ボックスとを備える画面である。

（データ出力部）
音声や画像等の情報を共用端末１のディスプレイに表示する、スピーカから音声出力する、等によって、利用者に対してデータの出力を行う。

［認証手段］
認証手段３０は、オンライン認証要求部３０１と、オフライン認証検証部３０２とを備える。

（オンライン認証要求部）
オンライン認証要求部３０１は、ある利用者がオンラインにて暗復号鍵の更新を行う場合に、サーバ装置へのアクセスおよび暗復号鍵の更新に関する処理を要求するための機能を有する。サーバ装置へ暗復号鍵の更新処理を要求する際には、オンライン認証要求部３０１は、後述の情報送信部４０１を介してサーバ装置へ利用者認証情報を送信する。

（オフライン認証検証部）
オフライン認証検証部３０２は、ある利用者によってオンラインによる暗復号鍵の更新が行われた後、他の利用者がオフラインにて暗復号鍵の更新・利用を行う場合に、後述する利用者情報ＤＢ５０２を参照して利用者認証を行う機能を有する。

［通信手段］
通信手段４０は、情報送信部４０１と、情報受信部４０２とを備える。

（情報送信部）
情報送信部４０１は、サーバ装置へ各種のデータを送信する機能を有する。本実施形態においては、情報送信部４０１は、主に、利用者ＩＤおよびパスワードを含む利用者認証情報と、共用端末１を一意に識別する識別情報（以下、「端末ＩＤ」という）とを、サーバ装置へ送信する。

（情報受信部）
情報受信部４０２は、サーバ装置から各種のデータを受信する機能を有する。なお、情報送信部４０１および情報受信部４０２におけるデータの送受信は、例えばネットワークを介して、符号化されたパケットデータの形式で行われる。また、データの送受信は有線通信であっても無線通信であってもよい。

［記憶手段］
記憶手段５０は、ファイルＤＢ（データベース）５０１と、利用者情報ＤＢ５０２と、暗復号鍵ＤＢ５０３と、新暗復号鍵ＤＢ５０４とを備える。

（ファイルＤＢ）
ファイルＤＢ５０１は、複数の利用者が共同で使用する共用ファイルを保存するデータベースである。

（利用者情報ＤＢ）
利用者情報ＤＢ５０２は、共用端末１の各利用者の認証情報（利用者ＩＤとパスワード）を保持するデータベースである。また、パスワードはハッシュ値の形式で保存されていてもよい。利用者がオフラインにて暗復号鍵の更新を行う際に利用者認証を行う場合、上述したオフライン認証検証部３０２は、この利用者情報ＤＢ５０２を参照して利用者認証を行う。

（暗復号鍵ＤＢ）
暗復号鍵ＤＢ５０３は、共用端末１内で各利用者の暗復号鍵を保持するデータベースである。図３は、暗復号鍵ＤＢ５０３が保持する情報の一例を示す図である。図３の例においては、暗復号鍵ＤＢ５０３は、各暗復号鍵を共有する利用者を示す「利用者範囲」、暗復号鍵のバージョンを示す「暗復号鍵バージョン」、暗復号鍵の有効期限を示す「有効期限」、暗復号鍵を示す「暗復号鍵値」を関連付けて保持する。例えば、「利用者範囲」が“Ａ＆Ｂ”である暗復号鍵は、利用者Ａと利用者Ｂとがその暗復号鍵を共有していることを示す。なお、セキュリティの観点から、暗復号鍵は何らかの方法で暗号化して暗復号鍵ＤＢ５０３に保持されることが望ましい。

（新暗復号鍵ＤＢ）
新暗復号鍵ＤＢ５０４は、サーバ装置２から送信される、利用者の秘密情報で暗号化された新しい（更新後の）暗復号鍵を格納するデータベースである（詳細は後述する）。図４は、新暗復号鍵ＤＢ５０４が保持する情報の一例を示す図である。図４の例においては、新暗復号鍵ＤＢ５０４は、利用者を一意に示す「利用者ＩＤ」、「利用者範囲」、「暗復号鍵バージョン」、秘密情報で暗号化された暗復号鍵である「暗復号鍵値」を関連付けて保持している。

［暗復号機能管理手段］
暗復号機能管理手段６０は、ファイル管理部６０１と、暗復号鍵管理部６０２と、暗復号部６０３とを備える。

（ファイル管理部）
ファイル管理部６０１は、ファイル利用要求受付部１０３において受け付けられたファイル利用の要求に応じて、ファイルＤＢ５０１にアクセスして、要求された共用ファイルに関する処理（例えば、ファイルを開く処理）を実行する。

（暗復号鍵管理部）
暗復号鍵管理部６０２は、暗復号鍵ＤＢ５０３および新暗復号鍵ＤＢ５０４にアクセスして、各利用者の暗復号鍵の読み出し、書き込み、削除などの各種処理を実行する機能を有する。

（暗復号部）
暗復号部６０３は、共用ファイルを暗復号鍵で暗号化する（その後、ファイル管理部６０２によって暗号化された共用ファイルはファイルＤＢ５０１に保存される）、暗号化されて保存されている共用ファイルを、ファイル管理部６０１を介して読み出して復号する（復号されたデータはデータ出力部２０２に渡されて共用ファイルの内容をディスプレイに表示出力等する）、等の処理を行う。

（サーバ装置の構成）
図２は、サーバ装置の構成の一例を示す図である。サーバ装置２の構成は、大まかには、通信手段１５、認証手段２５、記憶手段３５、および暗復号鍵管理手段４５に分けられる。

通信手段１５は、共用端末１と各種データの送受信を行う機能を有する。認証手段２５は、ある利用者がオンラインにて暗復号鍵の更新を行う場合にサーバ装置２へアクセスするが、この時、利用者の認証を行う機能を有する。

記憶手段３５は、利用者情報、各利用者の暗復号鍵データ、各利用者の秘密情報などの各種データをサーバ装置２のハードディスク等の記憶領域にデータベース等の各種形式で保持する機能を有する。暗復号鍵管理部４５は、暗復号鍵の検索、読み出し、更新、および秘密情報の検索、等の暗復号鍵の更新に関する各種処理を実行する。以下、各手段における具体的な構成例について説明する。

［通信手段］
通信手段１５は、情報受信部１５１と、情報送信部１５２とを備える。

（情報受信部）
情報受信部１５１は、共用端末１から各種のデータを受信する機能を有する。本実施形態においては、情報受信部１５１は、主に、利用者ＩＤおよびパスワードを含む利用者認証情報と、共用端末１を一意に識別する端末ＩＤとを、共用端末１から受信する。

（情報送信部）
情報送信部１５２は、共用端末１へ各種のデータを送信する機能を有する。なお、情報受信部１５１および情報送信部１５２におけるデータの送受信は、例えばネットワークを介して、符号化されたパケットデータの形式で行われる。また、データの送受信は有線通信であっても無線通信であってもよい。

［認証手段］
認証手段２５は、オンライン認証検証部２５１を備える。

（オンライン認証検証部）
オンライン認証検証部２５１は、ある利用者がオンラインにて暗復号鍵の更新を行う場合に、後述の利用者情報ＤＢ３５１を参照して利用者の認証を行う機能を有する。

［記憶手段］
記憶手段３５は、利用者情報ＤＢ３５１と、暗復号鍵ＤＢ３５２と、秘密情報ＤＢ３５３とを備える。

（利用者情報ＤＢ）
利用者情報ＤＢ３５１は、各共用端末の各利用者の認証情報（利用者ＩＤとパスワード）を保持するデータベースである。

図５は、利用者ＤＢ３５１が保持する情報の一例を示す図である。図５の例においては、「端末ＩＤ」、「利用者ＩＤ」、ハッシュ値化された「パスワード」、を関連付けて保持している。利用者がオンラインにて暗復号鍵の更新を行う場合、上述したオンライン認証検証部２５１は、共用端末１から受信した利用者ＩＤ、パスワード、および端末ＩＤを検索キーとして、この利用者情報ＤＢ３５１を検索する。そして、検索キーの端末ＩＤ、利用者ＩＤ、パスワードの組み合わせが利用者情報ＤＢ３５１に保存されていれば、認証成功という検索結果をオンライン認証検証部２５１に返す。

（暗復号鍵ＤＢ）
暗復号鍵ＤＢ３５２は、サーバ装置２内で各利用者の暗復号鍵を保持するデータベースである。図３に示されるような、共用端末１の暗復号鍵ＤＢ５０３と同様の構成を有する。

（秘密情報ＤＢ）
秘密情報ＤＢ３５３は、各利用者の秘密情報を保持するデータベースである。図６は、秘密情報ＤＢ３５３が保持する情報の一例を示す図である。図６の例においては、「利用者ＩＤ」、利用者ＩＤで特定される利用者の「質問」、質問に対する答えに該当する「秘密情報」が関連付けて保持されている。例えば、利用者“Ａ”の場合、“好きな動物は？”という問いに対して“猫”という答えの組み合わせが秘密情報となっている。なお、図６に示される秘密情報は一例であり、これに限定されるものではなく、利用者本人のみが知る情報であればよい。

［暗復号鍵管理手段］
暗復号鍵管理手段４５は、暗復号鍵取得部４５１と、新暗復号鍵群生成部４５２と、同一暗復号鍵利用者特定部４５３と、秘密情報取得部４５４と、暗号化部４５５とを備える。

（暗復号鍵取得部）
暗復号鍵取得部４５１は、ある利用者がオンラインにて認証を行い、暗復号鍵を取得する際に、暗復号鍵ＤＢ３５２を参照して、その利用者の１つまたは複数の暗復号鍵（暗復号鍵群）を検索して取得する。

（新暗復号鍵群生成部）
新暗復号鍵群生成部４５２は、暗復号鍵取得部４５１において検索された１つまたは複数の暗復号鍵のうち、更新されるべき暗復号鍵が存在する場合には、新たな暗復号鍵を生成する。更新されるべき暗復号鍵は、例えば各暗復号鍵の「有効期限」が切れているか否かで判断することができる。新たに生成した暗復号鍵は暗復号鍵ＤＢ３５２へ格納する。

付言すると、暗復号鍵の暗号化およびその復号は、１つの暗復号鍵に対して行われてもよいし、複数の暗復号鍵に対して行われてもよい。また、複数の暗復号鍵に対して行う場合には、それぞれの暗復号鍵に対して暗号化および復号を行うようになっていてもよいし、複数の暗復号鍵をまとめて暗号化および復号を行うようになっていてもよい。（本明細書を通じて同様。）

（同一暗復号鍵利用者特定部）
同一暗復号鍵利用者特定部４５３は、ある利用者がオンラインにて暗復号鍵の更新を行う際に、暗復号鍵ＤＢ３５２にアクセスして、更新を行おうとしている暗復号鍵（すなわち、新暗復号鍵群生成部４５２において新しく暗復号鍵を生成したもの）を共用している利用者を特定する。他の利用者の特定は、例えば、暗復号鍵ＤＢ３５２に保存されている「利用者範囲」によって特定できる。例えば、暗復号鍵ＤＢ３５２が図３に示されるようなデータを有しているとすると、「利用者範囲」が“Ａ＆Ｂ”である暗復号鍵を利用者Ａが更新しようとしているのであれば（新暗復号鍵群生成部４５２にてこの暗復号鍵の新しいバージョンを生成した場合）、これを共有している“利用者Ｂ”が特定される。

（秘密情報取得部）
秘密情報取得部４５４は、同一暗復号鍵利用者特定部４５３で特定された更新対象の暗復号鍵を共用している利用者の利用者ＩＤをキーとして秘密情報ＤＢ３５３を検索し、利用者の秘密情報を取得する。

（暗号化部）
（暗復号鍵群／新暗復号鍵群）暗号化部４５５は、オンライン認証検証部２５１にて認証された利用者について、この利用者のパスワードから暗号鍵を生成し、暗復号鍵取得部４５１にて検索された暗復号鍵群、および新暗復号鍵群生成部４５２にて生成された新暗復号鍵群を暗号化する。また、暗号化部４５５は、同一暗復号鍵利用者特定部４５３で検索された利用者について、秘密情報取得部４５４で取得された秘密情報を用いて、新暗復号鍵群を暗号化する。

（処理例）
以下、本実施形態に係る共有認証情報更新システムにおける処理の流れについて説明する。
（オンラインによる暗復号鍵の更新）
図７は、ある利用者がオンラインにて暗復号鍵の更新を実行する場合の処理シーケンスの一例を示す図である。

利用者がタッチパネル等の入力デバイスを用いて利用者認証情報（例えば、利用者ＩＤおよびパスワード）を入力すると、共用端末１の認証情報受付部１０１は入力された利用者認証情報を受け付ける（ステップＳ１１）。認証情報受付部１０１において受け付けられた利用者認証情報は、オンライン認証要求部３０１を介して、情報送信部４０１に渡される。情報送信部４０１は、この利用者認証情報を、共用端末１を一意に識別するための端末ＩＤとともにサーバ装置２へ送信する。また、この時、更新対象の共用ファイルの利用者範囲と暗復号鍵のバージョンの組み合わせを一緒に送信する。

サーバ装置２の情報受信部１５１は、共用端末１からの利用者認証情報、端末ＩＤ、および更新対象の共用ファイルの利用者範囲と暗復号鍵のバージョンの組み合わせを受信すると、オンライン認証検証部２５１へ、利用者の認証処理を命令する。オンライン認証検証部２５１は、利用者認証情報内の「パスワード」のハッシュ値を計算する。そして、利用者情報ＤＢ３５１を参照して、受信した端末ＩＤと利用者ＩＤとの組み合わせを検索する。その結果、検索結果とともに利用者情報ＤＢ３５１に保存されているパスワード（ハッシュ値）と、共用端末１から受信したパスワードから計算されたハッシュ値とを比較して、正当な利用者であるか検証する（ステップＳ１２）。利用者が正当であった場合には、オンライン認証検証部２５１は、利用者認証情報および端末ＩＤを暗復号鍵取得部４５１へ渡す。なお、利用者が認証できなかった場合には、例えば、共用端末１にその旨を通知するメッセージを送信し、共用端末１のディスプレイにこのメッセージを表示して処理を終了する。

利用者の認証が成功した場合には、暗復号鍵検証部４５１は、利用者認証情報のうちの利用者ＩＤを検索キーとして暗復号鍵ＤＢ３５２を参照し、検索キーである利用者ＩＤが暗復号鍵ＤＢ３５２の「利用者範囲」に含まれる暗復号鍵を検索する（すなわち、この利用者が使用している暗復号鍵を検索する）。そして、検索結果として、１つまたは複数の暗復号鍵を含む暗復号鍵群を取得する（ステップＳ１３）。

取得された暗復号鍵群に含まれる各暗復号鍵の有効期限と、現在の時刻とを比較し（ステップＳ１４）、有効期限が現在時刻より古い（有効期限が切れている）暗復号鍵については、以下のステップＳ１５〜Ｓ１７の処理を行う。

新暗復号鍵群生成部４５２は、有効期限が切れている１つまたは複数の暗復号鍵について、それぞれ、新しいバージョンの暗復号鍵を生成する（ステップＳ１５）。生成方法は乱数や鍵導出関数など、一般的かつ安全性が担保された方法であれば構わない。この時、暗復号鍵ＤＢ３５２には、新しいバージョンが生成された暗復号鍵について、「暗復号鍵バージョン」が“１”加算された、上記生成された暗復号鍵の行が追加される（この新しいバージョンが生成された（すなわち、更新された）１つまたは複数の暗復号鍵を新暗復号鍵群という）。

さらに、同一暗復号鍵利用者特定部４５３は、更新された各暗復号鍵のそれぞれについて、ステップＳ１３にて取得された暗復号鍵群の「利用者範囲」に基づいて、各鍵を共用している他の利用者を特定する。また、秘密情報取得部４５４は、特定された他の利用者の利用者ＩＤを検索キーとして、他の利用者の秘密情報を秘密情報ＤＢ３５３から取得する（ステップＳ１６）。そして、暗号化部４５５は、他の利用者について、ステップＳ１６で取得された秘密情報を用いて、新暗復号鍵群を暗号化する（ステップＳ１７）。なお、利用者の秘密情報は各利用者があらかじめ登録しておけばよい。

また、ステップＳ１４において、取得された暗復号鍵群に含まれる各暗復号鍵の有効期限が、現在時刻より先の期限（有効期限が切れていない）である暗復号鍵については、以下のステップＳ３１〜Ｓ３２の処理を行う。すなわち、ステップＳ１１において共用端末１から送信された暗復号鍵のバージョンが、ステップＳ１３において取得された暗復号鍵のバージョンよりも古い場合（ステップＳ３１：Ｙｅｓ）、共用端末１から送信された古いバージョンの暗復号鍵を暗復号鍵ＤＢ３５２から取得する（ステップＳ３２）。その後、ステップＳ１６に移行し、この古いバージョンの暗復号鍵について、ステップＳ１６以降の処理を上述と同様に実行する。すなわち、同一暗復号鍵利用者特定部４５３が、この古いバージョンの（１つまたは複数の）暗復号鍵の「利用者範囲」に基づいて、各鍵を利用している他の利用者を特定する。そして、特定された他の利用者の利用者ＩＤを検索キーとして、各利用者の秘密情報を秘密情報ＤＢ３５３から取得する（ステップＳ１６）。暗号化部４５５は、他の利用者について、ステップＳ１６で取得された秘密情報を用いて、新暗復号鍵群を暗号化する（ステップＳ１７）。なお、ステップＳ３１において、共用端末１から送信された暗復号鍵のバージョンが、ステップＳ１３において取得された暗復号鍵のバージョンよりも同一もしくは新しいと判断された場合には（ステップＳ３１：Ｎｏ）、以下に説明するステップＳ１８に移行する。

次に、暗号化部４５５は、ステップＳ１２にて認証された利用者（暗復号鍵を更新しようとしている利用者）のパスワードから暗号鍵を生成する。そして、この暗号鍵を用いて、ステップＳ１３にて取得された利用者の暗復号鍵群、およびステップＳ１５にて生成された利用者の新暗復号鍵群を暗号化する。パスワードを使用して暗号化を行う方法として、例えば、“ＰＢＫＤＦ２”等の鍵導出関数を採用することができる。そして、情報送信部１５２は、パスワードによって暗号化された利用者の暗復号鍵群および利用者の新暗復号鍵群、ならびにステップＳ１７にて秘密情報で暗号化された他の利用者の新暗復号鍵群を共用端末１に送信する（ステップＳ１８）。また、共用端末１の情報受信部４０２は、サーバ装置２から送信されるこれらの情報を受信する（ステップＳ１９）。また、共用端末１の暗復号鍵管理部６０２は、本処理を実行中の利用者の暗復号鍵群および新暗復号鍵群を復号した後、暗復号鍵群と新暗復号鍵群をまとめて再暗号化して暗復号鍵ＤＢ５０３に格納する。さらに、暗復号鍵管理部６０２は、他の利用者の秘密情報で暗号化された他の利用者の新暗復号鍵群を（暗号化されたまま）新暗復号鍵ＤＢ５０４に格納する。ここで、暗復号鍵群と新暗復号鍵群をまとめて再暗号化する、とは、たとえば、暗復号鍵群と新暗復号鍵群とを所定の方法で連結して連結した結果を（本処理を実行中の）利用者のパスワードで暗号化することを示す。あるいは、暗復号鍵群を利用者のパスワードで暗号化したものと、新暗復号鍵群を（本処理を実行中の）利用者のパスワードで暗号化したものを連結することとしても良い。

以後、上記の更新処理を実行した利用者が共用端末１内の共用ファイルにアクセスしようとした場合には、共用端末１の暗復号鍵管理部６０２が、暗復号鍵ＤＢ５０３に保存されている新しい暗復号鍵を用いてファイルを復号することができる。以後、他の利用者が共用ファイルにアクセスする場合の処理を以下に説明する。

（オフラインによる暗復号鍵の更新）
図８は、図７の処理によって、ある利用者がオンラインにて暗復号鍵の更新を実行した後に、他の利用者がオフラインにて暗復号鍵を利用する場合の処理シーケンスの一例を示す図である。

例えば、利用者が共用端末１を使用するために、タッチパネル等の入力デバイスを用いて利用者認証情報（例えば、利用者ＩＤおよびパスワード）を入力すると、共用端末１の認証情報受付部１０１は、この利用者認証情報を受け付ける（ステップＳ２１）。認証情報受付部１０１において受け付けられた利用者認証情報は、オフライン認証検証部３０２に渡される。オフライン認証検証部３０２は、利用者情報ＤＢ５０２を参照して受信した利用者ＩＤを検索する。その結果、検索結果のパスワード（ハッシュ値）と、ステップＳ２１にて受け付けたパスワードから計算されたハッシュ値とを比べて、正当な利用者であるかを検証する（ステップＳ２２）。

利用者が正当であると認証されると、オフライン認証検証部３０２は、利用者認証情報を暗復号鍵管理部６０２に渡す。暗復号鍵管理部６０２は、暗復号鍵ＤＢ５０３を参照して、利用者ＩＤをキーとして、この利用者の暗復号鍵群を検索して取得し、利用者のパスワードで復号する（ステップＳ２３）。

次に、暗復号鍵管理部６０２は、新暗復号鍵ＤＢ５０４を参照して、利用者ＩＤをキーとして、この利用者の暗復号鍵を検索する（ステップＳ２４）。なお、本ステップにて取得される（１つまたは複数の）暗復号鍵は、事前に図７の処理シーケンスによってサーバ装置２から取得された更新後の１つまたは複数の新暗復号鍵を、この利用者特有の秘密情報を用いて暗号化したものである。

ステップＳ２４において暗復号鍵が１つも検索されなかった場合は、すなわち更新された暗復号鍵が存在しないということであり（ステップＳ２５：Ｎｏ）、この場合は処理を終了する。ステップＳ２４において１つまたは複数の新暗復号鍵が検索された場合には（ステップＳ２５：Ｙｅｓ）、秘密情報入力画面出力部２０１が、利用者に秘密情報を入力させるための秘密情報入力画面を、共用端末１のディスプレイ等に出力表示することで、利用者に秘密情報の入力を要求する（ステップＳ２６）。そして、秘密情報受付部１０２は、利用者が秘密情報入力画面に入力した秘密情報を受け付ける（ステップＳ２７）。

ステップＳ２７にて受け付けられた利用者の秘密情報は、暗復号鍵管理部６０２に渡される。そして、暗復号鍵管理部６０２はこの秘密情報を使用して、ステップＳ２４で取得された新暗復号鍵群を復号し（ステップＳ２８）、復号した新暗復号鍵を、暗復号鍵ＤＢ５０３に登録する（ステップＳ２９）。なお、ここで利用者が入力した秘密情報がサーバ装置２の秘密情報ＤＢ３５３に保存されているものと異なっていた場合には、復号することはできないため、共用端末１のディスプレイにエラー表示をして利用者に再度、秘密情報を入力するよう促すようになっていてもよい。

暗復号鍵管理部６０２は、上述したように利用者の秘密情報を使いステップＳ２４で取得された新暗復号鍵群を復号した後、正しく復号されているかどうかを確認し（たとえば鍵とともに、サーバからＭＡＣ：Message Authentication Codeを受信して鍵と対応付けて記憶しておき、ＭＡＣを使って復号が正しくできたか否かを確認することとしても良い）、正しく復号されていない場合には再度秘密情報を入力するよう促す処理を行うこととしても良い。（所定回数以上正しく復号されない場合には、認証画面にロックをかける、ファイルＤＢ等に記憶されているデータを消去する、等の所定の不正ログインリスク等に対する処理を実施することとしても良い。）

また、暗復号鍵管理部６０２は、利用者の秘密情報を使いステップＳ２４で取得された新暗復号鍵群が正しく復号され、暗復号鍵ＤＢ５０３に記憶された場合に、正しく復号された新暗復号鍵群を新暗復号鍵ＤＢ５０４から削除することとしても良い。

また、ＭＡＣ以外に復号できたか否かを確認する方法として、図７のステップＳ１８において新暗復号鍵群がサーバ装置２から送付される時に、ステップＳ１７で使用された秘密情報も一緒に送付されるようになっていてもよい。そして、上記ステップＳ２７において利用者が入力した秘密情報を受け付けた時点で、サーバ装置２から送付されていた秘密情報と照合し、同一内容でない場合にはエラー表示する等となっていてもよい。

以上の処理によって、更新後の暗復号鍵が使用可能な状態となる。以後、この利用者がファイル利用要求受付部１０３を介してファイルＤＢ５０１に格納されている共用ファイルを利用する際は、ファイル管理部６０１によって共用ファイルがファイルＤＢ５０１から読み出されるとともに、暗復号鍵管理部６０２によって新しい更新後の暗復号鍵が暗復号鍵ＤＢ５０３から読み出される。そして、暗復号部６０３にて、共用ファイルが更新後の暗復号鍵を用いて復号されて、データ出力部２０２によって、利用者が利用可能なようにディスプレイ等に出力される。

（共通鍵を利用する他の利用者が共通鍵を更新した後に、ある利用者がオンラインによって共通鍵を更新する場合）
まずは、図７を用いて説明したオンラインによる暗復号鍵の更新の際と同様に認証等がなされ、サーバ装置２は、パスワードによって暗号化された利用者（現在、オフラインにて鍵の更新処理をしようとしている利用者。本説明内において“利用者Ｘ”という。）の暗復号鍵群および利用者（利用者Ｘ）の新暗復号鍵群、ならびにステップＳ１７にて秘密情報で暗号化された他の利用者の新暗復号鍵群を共用端末１に送信する（ステップＳ１８）。このとき、利用者Ｘの暗復号鍵群の中には、他の利用者が共用端末１を利用した時に更新された共通鍵の情報も含まれている。したがって、共用端末１は、暗復号鍵群を共用端末１の暗復号鍵ＤＢ５０３に記憶した後、暗復号鍵ＤＢ５０３の中で利用者ＸのＩＤが「利用者範囲」に該当するエントリを抽出し、抽出された各エントリの“利用者範囲”と利用者Ｘの“利用者ＩＤ”を検索キーとして、新暗復号鍵ＤＢ５０４の中から対応するエントリを特定する。

そして、暗復号鍵ＤＢ５０３から抽出されたエントリのバージョン情報の値が新暗復号鍵ＤＢ５０４の中から対応すると特定されたエントリのバージョン情報の値以上である場合、新暗復号鍵ＤＢ５０４の特定されたエントリを削除する。（これにより、エントリ削除により不要となった暗復号鍵の情報が共通端末１の中に残らないようにし、セキュリティレベルを上げることができる。）なお、暗復号鍵ＤＢ５０３で抽出されたエントリのバージョン情報の値が新暗復号鍵ＤＢ５０４の中から対応すると特定されたエントリのバージョン情報の値よりも小さい場合には何らかのエラーが生じていると考えられるため、所定のエラー処理を実施することとしても良い。

（ハードウェア構成例）
共用端末１およびサーバ装置２は、一般的なコンピュータ装置と同様のハードウェア構成によって実現可能である。図９は、共用端末１およびサーバ装置２のハードウェア構成の一例を示す図である。図９に示されるコンピュータ装置７は、一例として、プロセッサ７１と、ＲＡＭ７２と、ＲＯＭ７３と、ハードディスク装置７４と、リムーバブルメモリ７５と、通信インタフェース７６と、ディスプレイ／タッチパネル７７と、スピーカ７８と、キーボード／キーパット７９とを備える。図１および図２に示される共用端末１およびサーバ装置２の各構成の機能は、例えば、プロセッサ７１が、ハードディスク装置７４にあらかじめ格納されたプログラムをメモリに読み出して実行することで実現可能である。また、共用端末１がスマートフォン等の無線通信可能な端末であれば、通信インタフェース７６は、無線通信のインタフェースであってもよい。

（まとめ）
上記説明したように、本実施形態に係る共有認証情報更新システムによれば、ある利用者によって共用の認証情報が更新された後、他の利用者がオフライン環境下であっても更新後の認証情報を使用することが可能となる。また、特許文献１の方法では、全ての利用者がパスワードを更新するまでは過去の（脆弱な可能性のある）パスワードが利用可能な状態であり、例えば権限のない第三者に盗まれる等して悪用される可能性があるという問題もあった。しかしながら、本実施形態の共有認証情報更新システムによれば、利用者が共用端末にログインした時に、その利用者の新しい暗復号鍵が存在するかを判断し、存在すれば秘密情報を入力させて暗復号鍵を使用可能な状態とする（すなわち、暗復号鍵を更新する）。このため、古い暗復号鍵が長い期間、使用可能な状態のままとなることを避けることができるため、古い暗復号鍵を第三者に悪用される可能性が低減される。

なお、上記実施形態においては、複数の利用者で共用するものをファイルとしたが、これに限定されるものではない。例えば、フォルダごとに利用者のアクセス権が決定されていてもよいし、記憶領域のある特定の部分ごと等であってもよい。

また、図８を用いて説明した暗復号鍵の更新処理が実行されるタイミングは、上記説明では、利用者が共用端末１を使用する際のログイン時としたが、これに限定する趣旨ではない。例えば、ログイン後に利用者が任意で指定したタイミングで行われる、いずれかの共用ファイルにアクセスする際に行われる、定期的に暗復号鍵の更新確認を行う、等となっていてもよい。

ここまで、本発明の一実施形態について説明したが、本発明は上述の実施形態に限定されず、その技術的思想の範囲内において種々異なる形態にて実施されてよいことは言うまでもない。

本発明の範囲は、図示され記載された例示的な実施形態に限定されるものではなく、本発明が目的とするものと均等な効果をもたらすすべての実施形態をも含む。さらに、本発明の範囲は、各請求項により画される発明の特徴の組み合わせに限定されるものではなく、すべての開示されたそれぞれの特徴のうち特定の特徴のあらゆる所望する組み合わせによって画されうる。

１ 共用端末
１０１ 認証情報受付部
１０２ 秘密情報受付部
１０３ ファイル利用要求受付部
２０１ 秘密情報入力画面出力部
２０２ データ出力部
３０１ オンライン認証要求部
３０２ オフライン認証検証部
４０１ 情報送信部
４０２ 情報受信部
５０１ ファイルＤＢ
５０２ 利用者情報ＤＢ
５０３ 暗復号鍵ＤＢ
５０４ 新暗復号鍵ＤＢ
６０１ ファイル管理部
６０２ 暗復号鍵管理部
６０３ 暗復号部
２ サーバ装置
１５１ 情報受信部
１５２ 情報送信部
２５１ オンライン認証検証部
３５１ 利用者情報ＤＢ
３５２ 暗復号鍵ＤＢ
３５３ 秘密情報ＤＢ
４５１ 暗復号鍵取得部
４５２ 新暗復号鍵群生成部
４５３ 同一暗復号鍵利用者特定部
４５４ 秘密情報取得部
４５５ 暗号化部

Claims (5)

1. 複数の利用者で共用する共用端末と通信可能なサーバ装置であって、
   前記共用端末の第１の利用者が前記共用端末において使用する暗復号鍵の新しいバージョンである新暗復号鍵を生成する新暗復号鍵生成部と、
   前記新暗復号鍵を、前記第１の利用者と共用する第２の利用者を特定する同一暗復号鍵利用者特定部と、
   前記第２の利用者に特有の情報である秘密情報を取得する秘密情報取得部と、
   前記第２の利用者の前記秘密情報を使用して、前記新暗復号鍵を暗号化する暗号化部と、
   前記新暗復号鍵と、前記暗号化部において暗号化された新暗復号鍵である暗号化済新暗復号鍵と、を前記共用端末に送信する暗復号鍵送信部と、
   を備えるサーバ装置。
2. 請求項１に記載のサーバ装置と、共用端末と、を含むシステムであって、
   前記共用端末は、
   前記サーバ装置から送信された前記新暗復号鍵と、前記暗号化済新暗復号鍵と、を受信する暗復号鍵受信部と、
   前記新暗復号鍵と、前記暗号化済新暗復号鍵と、を前記共用端末内に保持する暗復号鍵記憶部と、
   を備えることを特徴とするシステム。
3. 前記共用端末は、
   前記第２の利用者を認証するための認証情報を受け付け、前記第２の利用者の認証を実行する認証情報検証部と、
   前記第２の利用者の認証が成功した後に、前記第２の利用者からの秘密情報の入力を受け付ける秘密情報受付部と、
   前記秘密情報受付部で受け付けられた前記第２の利用者の秘密情報を用いて、前記暗復号鍵記憶部に記憶されている前記暗号化済新暗復号鍵を復号する暗復号鍵復号部と、
   をさらに備えることを特徴とする請求項２に記載のシステム。
4. 複数の利用者で共用する共用端末と通信可能なサーバ装置が実行する方法であって、
   前記共用端末の第１の利用者が前記共用端末において使用する暗復号鍵の新しいバージョンである新暗復号鍵を生成するステップと、
   前記新暗復号鍵を、前記第１の利用者と共用する第２の利用者を特定するステップと、
   前記第２の利用者に特有の情報である秘密情報を取得するステップと、
   前記第２の利用者の前記秘密情報を使用して、前記新暗復号鍵を暗号化するステップと、
   前記新暗復号鍵と、前記暗号化部において暗号化された新暗復号鍵である暗号化済新暗復号鍵と、を前記共用端末に送信するステップと、
   を含む方法。
5. 請求項４に記載の方法を前記サーバ装置に実行させるためのコンピュータプログラム。

Images