JP2017175228A - 情報処理装置、情報処理システム、情報処理方法及びプログラム - Google Patents

Abstract

【課題】 同一機器の設置処理、返却処理、初期化処理等を複数回実施する場合でも、効率よく、当該機器とサーバ装置との間の通信の安全性を確保できるようにする。
【解決手段】 サービスサーバ２００において、契約管理部２２４がユーザ端末１００に対するサービス提供契約の情報を登録し、ユーザ端末１００からの所定のアクセスに応じて、登録したサービス提供契約からそのアクセス元のユーザ端末１００に対するサービス提供契約を検索し、発見したサービス提供契約に対して識別情報を付す。証明書取得部２２３が、ＣＡ３００から、その識別情報を含む電子証明書である個別証明書を取得する。アクセス受付部２２１が、上記個別証明書をアクセス元のユーザ端末１００に送信する。さらに、上記個別証明書を用いて認証した機器に対して、その個別証明書に含まれる識別情報が示すサービス提供契約に従ったサービスの提供を許可する。
【選択図】 図３

Description

この発明は、情報処理装置、情報処理システム、情報処理方法及びプログラムに関する。

近年、ユーザ側環境に配置するクライアント装置に対してクラウド環境に配置されたサーバ装置からサービスを提供し、これらを連携させて装置の機能を拡張することが行われている。ユーザ側環境に配置されたデジタル複合機（ＭＦＰ）等の画像処理装置について、画像処理装置のメーカ等、保守作業を担当する業者がインターネットを介して監視する遠隔監視システムを構成する等である。

この場合において、クライアント装置からサーバ装置が提供するサービスを利用する場合、そのサーバ装置に対し、種々の情報を提供する必要がある。このため、その送信経路上におけるデータの改ざんや盗み見、あるいは装置のなりすましを防止すべく、クライアント装置とサーバ装置との間ではＳＳＬ（Secure Socket Layer）による相互認証及び暗号化通信が行われていたり、クライアント装置からサーバ装置への送信データにデータ署名しサーバで署名検証することが行われている。

相互認証を行うためには、クライアント装置及びサーバ装置共に、それぞれ秘密鍵を有している必要がある。秘密鍵は、遠隔監視システムのセキュリティを担保するために絶対に漏洩してはいけない情報である。
サービスを受けるクライアント装置に対してこの秘密鍵と、秘密鍵に対応する電子証明書（公開鍵証明書）を安全に設定するための技術として、従来から、特許文献１及び特許文献２に記載の技術が知られている。

特許文献１には、第１証明書を用いて確保した通信経路で、サービスの提供を受ける際に用いる第２証明書をクライアントに設定する技術が記載されている。
特許文献２には、プロダクトキーに対するライセンスの認証に成功した時に証明書更新を実施する方式で、ＰＣ（パーソナルコンピュータ）ソフトのように複製が配布されるプログラムに対しても一意な電子証明書を適切に割り当てる技術が記載されている。
また、これらとは別に、特許文献３には、クライアント装置に記憶させた公開鍵証明書を無効化する技術が記載されている。

特許文献１あるいは特許文献２に記載のような、クライアント装置に対して秘密鍵及び公開鍵証明書を設定する従来の手法は、クライアント装置の製造工程や初回設置時に適した構成にはなっている。しかし、クラウド環境のサーバ装置において同一機器の設置処理（アクティベーション）、返却処理（アクティベーション解除）、初期化処理等を複数回実施したりする機器のアクティベーションのライフサイクル全体について十分考慮された手法とは言い難かった。すなわち、例えば同一機器を複数の利用者にレンタルして使いまわしたりするサービスを提供する場合に好適な手法ではなかった。

この発明は、このような事情に鑑みてなされたものであり、同一機器の設置処理、返却処理、初期化処理等を複数回実施する場合でも、効率よく、当該機器とサーバ装置との間の通信の安全性を確保できるようにすることを目的とする。

この発明の情報処理装置は、上記の目的を達成するため、機器に対するサービス提供契約の情報を登録する登録手段と、機器からの所定のアクセスに応じて、上記登録手段が登録するサービス提供契約から該アクセス元の機器に対するサービス提供契約を検索する検索手段と、上記検索手段が発見したサービス提供契約に対して識別情報を付すと共に、所定の認証局から、該識別情報を含む電子証明書である個別証明書を取得する証明書取得手段と、上記証明書取得手段が取得した個別証明書を上記アクセス元の機器に送信する証明書送信手段と、上記個別証明書を用いて認証した機器に対して、該個別証明書に含まれる識別情報が示すサービス提供契約に従ったサービスの提供を許可する制御手段とを設けたものである。

上記構成によれば、同一機器の設置処理、返却処理、初期化処理等を複数回実施する場合でも、効率よく、当該機器とサーバ装置との間の通信の安全性を確保できるようにすることができる。

この発明の情報処理装置の一実施形態であるサービスサーバを含む、各種装置の配置例を示す図である。 図１に示すサービスサーバのハードウェア構成を示す図である。 図１に示すユーザ端末、サービスサーバ及びＣＡが備える機能のうち、証明書、サービス提供契約及びサービスの取り扱いに関連する機能の構成を示す図である。 ユーザ端末がとり得る状態及びその遷移を示す図である。 ユーザ端末における個別証明書の設定状態及びその遷移を示す図である。 出荷状態においてユーザ端末及びサービスサーバが記憶する証明書とＣＡにおける個別証明書の登録状態を示す図である。 設置状態においてユーザ端末及びサービスサーバが記憶する証明書とＣＡにおける個別証明書の登録状態を示す図である。 未設置状態においてユーザ端末及びサービスサーバが記憶する証明書とＣＡにおける個別証明書の登録状態を示す図である。 ユーザ端末とサービスサーバが行うＳＳＬを用いた相互認証処理の手順を示す図である。 ユーザ端末の設置動作の手順を示すシーケンス図である。 ユーザ端末がサービスサーバからサービスの提供を受ける動作の手順を示すシーケンス図である。 サービスサーバがサービス提供契約を無効化し、個別証明書を返却させる動作の手順を示すシーケンス図である。 ユーザ端末が個別証明書を返却する動作の手順を示すシーケンス図である。 ユーザ端末がユーザ端末自身を初期化する動作の手順を示すシーケンス図である。 ユーザ端末の再設置動作の変形例の手順を示すシーケンス図である。

以下、この発明の実施形態について、図面を参照しつつ説明する。
図１に、この発明の情報処理装置の一実施形態であるサービスサーバを含む、各種装置の配置例を示す。
図１の例において、サービスサーバ２００が、この発明の情報処理装置の一実施形態である。このサービスサーバ２００は、インターネットＮに接続される装置に対して広くサービスを提供するため、クラウド環境２０に配置されている（ただし、インターネットＮ以外の、ローカルネットワーク等のネットワークを用いることも妨げられない）。
ＣＡ（認証局）３００は、サービスサーバ２００及びユーザ端末１００に使用させる電子証明書を発行する認証局である。サービスサーバ２００と運営者が同じであっても異なっていてもよい。

また、ユーザ端末１００−１〜ｎ（以下、個体を区別する必要がない場合には「−」以降の数字がない符号を用いる。他の符号についても同様である）は、サービスサーバ２００が提供するサービスを利用するユーザが使用する端末装置である。具体的には、ユーザ端末１００は、ＰＣ（パーソナルコンピュータ）、タブレット型コンピュータ、スマートフォン等の汎用性の高い機器であっても、ＭＦＰ（デジタル複合機）、プリンタ、ファクシミリ通信装置、プロジェクタ、電子会議システム等の特定用途向けの機器であってもよい。いずれにせよ、インターネットＮを介してサービスサーバ２００にアクセスして認証を受け、サービスサーバ２００が提供するサービスを利用する機能を備えていればよい。

各ユーザ端末１００は、サービスサーバ２００が提供するサービスの利用契約（サービスサーバ２００側から見ればサービスの提供契約）の識別情報を含む電子証明書である個別証明書を用いてサービスサーバ２００に認証を受けた場合に、サービスサーバ２００が提供するサービスを利用可能である。この点については後述する。
ユーザ端末１００が配置されるユーザ環境１０は、自宅、会社、学校、公共ネットワークなど、ユーザがユーザ端末１００を使用する任意のネットワーク環境である。なお、図１では各ユーザ環境１０にユーザ端末１００を１台配置しているが、複数台配置されていてよいことはもちろんである。また、ユーザ環境１０にユーザ端末１００以外の装置があってもよいことはもちろんである。

以上のサービスサーバ２００が第１情報処理装置に該当し、ユーザ端末１００が第２情報処理装置に該当し、これらの装置がこの発明の情報処理システムの実施形態を構成する。

次に、図２に、図１に示したサービスサーバ２００のハードウェア構成を示す。
図２に示すように、サービスサーバ２００は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ（ハードディスクドライブ）２０４、通信Ｉ／Ｆ（インタフェース）２０５、操作部２０６、表示部２０７を備え、これらをシステムバス２０８により接続した構成としている。

そして、ＣＰＵ２０１が、ＲＡＭ２０３をワークエリアとしてＲＯＭ２０２あるいはＨＤＤ２０４に記憶されたプログラムを実行することにより、サービスサーバ２００全体を制御し、図３を用いて後述するものをはじめとする種々の機能を実現する。
ＲＯＭ２０２及びＨＤＤ２０４は、不揮発性記憶媒体（記憶手段）であり、ＣＰＵ２０１が実行する各種プログラムや後述する各種データを格納している。
通信Ｉ／Ｆ２０５は、インターネットＮを介してユーザ端末１００等の他の装置と通信するためのインタフェースである。

操作部２０６は、ユーザからの操作を受け付けるための操作手段であり、各種のキー、ボタン、タッチパネル等により構成することができる。
表示部２０７は、サービスサーバ２００の動作状態や設定内容、メッセージ等をユーザに提示するための提示手段であり、液晶ディスプレイやランプ等を備える。

なお、操作部２０６及び表示部２０７は外付けであってもよい。また、サービスサーバ２００がユーザからの操作を直接受ける必要がない（通信Ｉ／Ｆ２０５を介して接続された外部装置により操作を受け付けたり情報の提示を行ったりすればよい）場合には、操作部２０６や表示部２０７を設けなくてよい。

ユーザ端末１００も、図２に示した範囲のハードウェア構成は基本的に共通である。ただし、機種や性能が同じである必要はないし、ＨＤＤ２０４に代えて他の記憶手段を用いることもできる。
以上説明してきた各装置の機能において特徴的な点の一つは、サービスサーバ２００が、ユーザ端末１００等の機器に対するサービスの提供契約の情報と、ユーザ端末１００に使用させる個別証明書とを対応付けて管理し、上記提供契約と個別証明書とでライフサイクルを共通化した点である。以下、この点について詳細に説明する。

図３に、ユーザ端末１００、サービスサーバ２００、およびＣＡ３００が備える機能のうち、証明書、サービス提供契約及びサービスの取り扱いに関連する機能の構成を示す。図３に示す各部の機能は、各装置のＣＰＵが、所要のプログラムを実行して所要のハードウェアを制御することにより実現されるものである。

図３に示すように、ユーザ端末１００は、要求送信部１２１、登録要求部１２２、証明書登録部１２３、動作要求部１２４を備える。
このうち要求送信部１２１は、他の各部からの要求に基づき、サービスサーバ２００に対して、何からの動作の実行を求める要求を送信する機能を備える。要求送信部１２１による要求の送信には、オペレータの指示に従って、オペレータからの要求を伝えるものと、ユーザ端末１００自身からの要求を伝えるものとがある。

いずれの場合も、要求送信部１２１は、サービスサーバ２００のアクセス受付部２２１に対し、後述の個別証明書あるいは共通証明書を用いたデバイス認証の要求を行う。そして、その認証が成功した後、アクセス受付部２２１に対して動作の要求を送信する。なお、共通証明書はサービスサーバ２００にサービスの提供を受ける複数の装置が共通して使用する電子証明書、個別証明書はサービスサーバ２００のサービス提供契約と紐付けられた、契約に固有の電子証明書である。ユーザ端末１００が認証に用いる証明書は基本的には個別証明書であり、共通証明書を用いるのは特殊な場合である。

登録要求部１２２は、ユーザの指示に従いあるいは自動的に、サービスサーバ２００に対し、ユーザ端末１００をサービスの提供対象として登録すること（設置）、ユーザ端末１００のサービスの提供対象としての登録を解除すること（返却）、およびユーザ端末１００を出荷時の状態に戻すこと（初期化）の要求を行う機能を備える。これらの要求は、要求送信部１２１からサービスサーバ２００に送信させる。

証明書登録部１２３は、ユーザ端末１００がサービスサーバ２００との通信に使用する証明書を登録する機能を備える。どのような証明書を登録するかについては、ユーザ端末１００の状態により異なり、詳細は後述する。
動作要求部１２４は、サービスサーバ２００に対し、サービスの提供に係る種々の動作を要求する機能を備える。この要求は、要求送信部１２１からサービスサーバ２００に送信させる。

次に、サービスサーバ２００は、アクセス受付部２２１、認証処理部２２２、証明書取得部２２３、契約管理部２２４、契約確認部２２５、要求処理部２２６、証明書無効化部２２７を備える。
これらのうちアクセス受付部２２１は、ユーザ端末１００からの、共通証明書又は個別証明書を用いた認証の要求を受け付け、認証処理部２２２にそれらを用いたデバイス認証を行わせる機能を備える。また、アクセス受付部２２１は、認証済みのユーザ端末１００から受信した受信した要求を、その要求を処理する処理部に渡して処理させる。

認証処理部２２２は、アクセス受付部２２１からの要求に従い、共通証明書又は個別証明書を用いたデバイス認証を行う機能を備える。その際、証明書の有効性等について、必要に応じてＣＡ３００の証明書管理部３２２に問い合わせる。
証明書取得部２２３は、アクセス受付部２２１からの要求に従い、ＣＡ３００に個別証明書を発行させてこれを取得する機能を備える。

契約管理部２２４は、サービスサーバ２００の機能によりユーザ端末１００にサービスを提供する旨のサービス提供契約の情報を登録して管理する登録手段の機能を備える。また、契約管理部２２４に契約を登録する動作は、登録手順の動作である。契約管理部２２４が管理する契約情報は、ここでは表１に示すものである。

この契約情報には、「管理ＩＤ」、「ＡＩＤ」、「ユーザ」、「提供サービス」、「アクティベーションコード」、「契約期間」等の情報が含まれる。
このうち「管理ＩＤ」は、各サービス提供契約を管理するための、契約自体の識別情報である。
「ＡＩＤ」は、アクティベーションＩＤであり、サービス提供契約に従ってユーザ端末１００にサービスを提供する際にユーザ端末１００及び適用される契約を識別するために用いる識別情報である。

「ユーザ」は、契約相手のユーザの情報である。ユーザのアカウントが別途登録されていれば、契約情報として管理するのはユーザＩＤのみでよい。そうでない場合は、連絡先等も管理するとよい。
「提供サービス」は、該当の契約によりユーザ端末１００に提供するサービスの種類や範囲である。

「アクティベーションコード」は、該当の契約に従ったサービスの提供対象としてユーザ端末１００を登録する際に用いる認証情報である。このアクティベーションコードは、サービスの提供者からユーザへ、電子メール、紙に印刷しての配付等、何らかの方法で伝達する。また、ユーザは、ユーザ端末１００を操作してサービスサーバ２００に対して設置を要求させる際に、ユーザ端末１００にこのアクティベーションコードを入力してサービスサーバ２００に送信させる。
「契約期間」は、該当の契約の有効期間である。
契約情報に、これら以外の情報が含まれていても構わないことは、もちろんである。

次に、契約確認部２２５は、個別証明書を用いて認証されたユーザ端末１００から、サービス提供に係る要求を受け付けた場合に、アクセス受付部２２１からの指示に従い、その動作要求が、そのユーザ端末１００に適用される契約の範囲内のものであるか否かを確認する機能を備える。

要求処理部２２６は、アクセス受付部２２１が受け付けた要求に従って、サービスサーバ２００が要求元にサービスを提供するための処理を行う機能を備える。
証明書無効化部２２７は、アクセス受付部２２１からの指示に従い、ユーザ端末１００に対して発行した個別証明書を無効化する機能を備える。ただし、無効化の方法には２通りあり、この点については後に詳述する。

次に、ＣＡ３００は、証明書発行部３２１及び証明書管理部３２２を備える。
これらのうち証明書発行部３２１は、サービスサーバ２００の証明書取得部２２３からの要求に基づき、指定されたＡＩＤを含む個別証明書を発行する機能を備える。
証明書管理部３２２は、発行済みの証明書を管理する機能を備える。この例では、証明書管理部３２２は共通証明書と個別証明書の双方を管理する。証明書管理部３２２が管理する証明書情報は、ここでは表２に示すものである。

この証明書情報には、「証明書ＩＤ」、「証明書」、「ＡＩＤ」、「状態」の情報が含まれる。
このうち「証明書ＩＤ」は、証明書を管理するための、証明書自体の識別情報である。
「証明書」は、発行した証明書のデータである。
「ＡＩＤ」は、該当の証明書に記載したＡＩＤである。なお、このデータが「common」である証明書は、共通証明書である。
「状態」は、証明書の状態であり、「有効」と「無効」がある。
なお、表２の例で証明書ＩＤに抜けがあるのは、一旦発行した証明書を、発行済みという情報も含めて削除する場合があるためであり、この点については後述する。

次に、図４を用いて、本実施形態のシステムにおいてユーザ端末１００が取り得る状態及びその遷移について説明する。
ユーザ端末１００は、そのメーカーにおいて製造され、出荷される状態では、出荷状態４１である。この出荷状態４１では、サービスサーバ２００によるサービスの提供対象とはなっていない。サービスサーバ２００においても、サービス提供契約にＡＩＤが付与されていない。

その後、ユーザ端末１００がユーザ環境１０に搬入され、ユーザあるいはサービススタッフにより、ユーザ端末１００をサービスサーバ２００によるサービスの提供対象として登録する「設置」の操作が行われると、ユーザ端末１００は、設置状態４２に移行する。なお、このときまでに、ユーザがサービス提供者とサービス提供契約を結び、その情報が契約管理部２２４に登録されていることが前提である。この「設置」の動作は、「アクティベーション」と呼ばれる、サービスを有効にするための動作に該当する。

設置状態４２では、ユーザ端末１００は、サービスサーバによるサービスの提供対象としてサービスサーバ２００に認識される。この認識は、サービスサーバ２００において、上記ユーザとのサービス提供契約にＡＩＤを割り当て、そのＡＩＤを含む個別証明書をユーザ端末１００に設定させて、ユーザ端末を、そのＡＩＤを付与を含む個別証明書を用いて認証することにより得られる。

また、設置状態４２において、「初期化」の操作が行われると、ユーザ端末１００は出荷状態４１に戻る。この「初期化」は、ユーザ端末１００に設定された個別証明書を削除し、サービスサーバ２００側でもその個別証明書を発行した旨の記録を削除し、サービス提供契約に設定したＡＩＤも削除して、サービスサーバ２００やＣＡ３００における登録も含めて、ユーザ端末１００が出荷された時の状態に戻すものである。なお、ユーザ端末１００に対するサービスの提供中に、何らかの理由でそのサービスに係るＡＩＤ以外の契約情報が変更されていた場合には、その契約情報を元に戻す必要はない。

また、設置状態４２において「返却」の動作が行われると、ユーザ端末１００は未設置状態４３に移行する。この「返却」の動作は、ユーザの操作に従いユーザ端末１００からサービスサーバ２００へ要求することもできるし、サービスサーバ２００が何らかのイベントあるいは管理者等からの指示等に応じて実行することもできる。また、この「返却」の動作は、ユーザ端末１００をサービスサーバ２００によるサービスの提供対象から外す動作である。この「返却」の動作は、「アクティベーション解除」と呼ばれる、サービスを無効にするための動作に該当する。

具体的には、ユーザ端末１００に対して発行した個別証明書をＣＡ３００に無効化させることにより、以後、ユーザ端末１００がサービスサーバ２００から個別証明書を用いた認証を受けられなくするものである。このことにより、ユーザ端末１００はサービスサーバ２００が提供するサービスを利用できなくなる。また、ユーザ端末１００側でも、個別証明書をサービスサーバ２００との通信に使用しないよう設定を行う。ただし、サービスサーバ２００において、サービス提供契約に付与したＡＩＤは残したままである。従って、無効な個別証明書に含まれるＡＩＤが付与されていることになる。

「初期化」と「返却」の違いは、個別証明書及びＡＩＤの削除を行うか否かにある。「返却」では、個別証明書及びＡＩＤ自体は削除しないため、ユーザ端末１００が以前どの契約に従ってサービスの提供を受けていたかは、返却後でも把握可能である。また、一旦無効化した個別証明書を再度有効化することが許容される場合、再度「設置」を行う際に、一旦無効化した個別証明書を再利用することができる。
なお、未設置状態４３からでも、設置状態４２の場合と同様に「初期化」を行い、ユーザ端末１００を出荷状態４１に戻すことができる。

なお、図４に示したユーザ端末１００の各状態は、ユーザ端末１００に設定される個別証明書の状態と対応している。図５に、ユーザ端末１００における個別証明書の設定状態及びその遷移を示す。
まず、出荷状態４１においては、ユーザ端末１００に個別証明書は設定されておらず、設定状態は証明書なし５１である。この状態から「設置」の動作がなされ個別証明書がユーザ端末１００に設定されると、設定状態は、有効な個別証明書が設定されている証明書あり５２に移行する。この設定に当たってユーザ端末１００がサービスサーバ２００へ個別証明書の送信を要求するためのコマンドが「getkey」である。

また、証明書あり５２の状態で「初期化」の動作がなされると、設定状態は証明書なし５１へ戻る。このときにユーザ端末１００がサービスサーバ２００へ初期化を要求するためのコマンドが「deletekey」である。
また、証明書あり５２の状態で「返却」の動作がなされると、設定状態は、個別証明書が記憶はされているが無効である証明書無効５３に移行する。このときにユーザ端末１００がサービスサーバ２００へ返却を要求するためのコマンドが「removekey」である。
証明書無効５３の状態から「getkey」コマンドにより再設置して証明書あり５２の状態へ移行することも、証明書無効５３の状態から「deletekey」コマンドにより初期化して証明書なし５１の状態へ移行することも、図４の状態遷移と対応するものである。

次に、図６乃至図８を用いて、図４及び図５に示した各状態において、ユーザ端末１００及びサービスサーバ２００が記憶する証明書と、ＣＡ３００における個別証明書の登録状態について説明する。なお、ＣＡ３００については、ユーザ端末１００に設定されている個別証明書の登録状態を示している。

まず、図６乃至図８からわかるように、全ての状態で、ユーザ端末１００は共通公開鍵証明書及びこれと対応する秘密鍵と、サーバルート証明書とを記憶している。また、サービスサーバ２００は、サーバ公開鍵証明書及び秘密鍵と、ＣＡルート証明書とを記憶している。

共通公開鍵証明書及びこれと対応する秘密鍵は、サービスサーバ２００との間の相互認証及び暗号化通信において、ユーザ端末１００側の公開鍵証明書及び秘密鍵として用いられる。ただし、共通公開鍵証明書及びこれと対応する秘密鍵は、サービスサーバ２００からサービスの提供を受け得る装置が共通して用いるものである。ただし、サービスの提供を受け得る全ての装置に共通とする必要はない。例えば、ファームウェアに埋め込んでユーザ端末１００にダウンロードさせ、ファームウェアが共通する装置の間でのみ、共通に用いるようにしてもよい。また、秘密鍵が流出した場合には、流出した秘密鍵及び対応する共通公開鍵証明書を無効にすると共に、新たな共通公開鍵証明書及びこれと対応する秘密鍵を、新しいバージョンのファームウェアに埋め込んで配付することにより、共通公開鍵証明書及びこれと対応する秘密鍵を更新することができる。

ＣＡルート証明書は、共通公開鍵証明書を発行した認証局（ここではＣＡ３００とする）の証明書であり、サービスサーバ２００は、ユーザ端末１００から送信される共通公開鍵証明書が改ざん等されていないことを、ＣＡルート証明書を用いて確認することができる。
また、サーバ公開鍵証明書及び秘密鍵は、ユーザ端末１００との間の相互認証及び暗号化通信において、サービスサーバ２００側の公開鍵証明書及び秘密鍵として用いられる、サービスサーバ２００に固有の証明書及び秘密鍵である。サーバルート証明書は、サーバ公開鍵証明書を発行した認証局（ここではＣＡ３００以外の認証局とする）の証明書であり、ユーザ端末１００は、サービスサーバ２００から送信されるサーバ公開鍵証明書が改ざん等されていないことを、サーバルート証明書を用いて確認することができる。

図６の出荷状態においては、ユーザ端末１００に個別証明書が設定されていないため、各装置が記憶する証明書は以上述べたもののみであり、ＣＡ３００にも、個別証明書の情報は登録されていない。また、ユーザ端末１００には、共通公開鍵証明書をサービスサーバ２００との通信に用いることが設定されている。

図７の設置状態では、ユーザ端末１００に個別証明書（より詳細には個別公開鍵証明書及びこれと対応する秘密鍵）が記憶される。これに対応して、ＣＡ３００にも、その個別証明書が発行済みでかつ有効である旨の情報が登録される。個別公開鍵証明書及びこれと対応する秘密鍵も、サービスサーバ２００との間の相互認証及び暗号化通信において、ユーザ端末１００側の公開鍵証明書及び秘密鍵として用いられる。また、サービスサーバ２００に登録されたサービス提供契約と対応付けられ、サービス提供契約に付されたＡＩＤが記載されたものである。ここでは、個別公開鍵証明書も、共通公開鍵証明書と同じ認証局が発行したものとし、ＣＡルート証明書にて、改ざん等されていないことを確認できる。

設置状態では、ユーザ端末１００には、個別公開鍵証明書をサービスサーバ２００との通信に用いることが設定されている。そして、ユーザ端末１００は、個別公開鍵証明書を用いてサービスサーバ２００に認証を受けることにより、どのＡＩＤのサービス提供契約に基づくサービス提供対象かを、サービスサーバ２００に認識させることができる。

図８の未設置状態でも、図７の設置状態の場合と同じ証明書がユーザ端末１００及びサービスサーバ２００に記憶されている。しかし、ＣＡにおいて個別公開鍵証明書が無効である旨が登録されているため、サービスサーバ２００において、個別公開鍵証明書を用いた認証は失敗する。また、ユーザ端末１００においては、共通公開鍵証明書をサービスサーバ２００との通信に用いることが設定されている。従って、認証に関する実質的な動作は、図６の出荷状態と同様となる。

次に、図９に、ユーザ端末１００とサービスサーバ２００が、図６乃至図８を用いて説明した証明書等を用いて行うＳＳＬを用いた相互認証処理の手順を示す。なお、ユーザ端末１００が使用する証明書が個別公開鍵証明書であっても共通公開鍵証明書であっても図９の手順は変わらない。図９には、これらを合わせて、クライアント側の公開鍵証明書という意味で、「クライアント公開鍵証明書」と記載している。また、これと対応する秘密鍵を「クライアント秘密鍵」と記載している。

図９の手順において、通信の開始時に、ユーザ端末１００は、ＳＳＬバージョン番号、サポートしている暗号セット、及び乱数等をサービスサーバ２００に送信する（Ｓ３０１）。続いて、サービスサーバ２００は、ＳＳＬバージョン番号、使用する暗号セット、及び乱数等をユーザ端末１００に送信する（Ｓ３０２）。続いて、サービスサーバ２００は、ユーザ端末１００にサーバ公開鍵証明書を送信する（Ｓ３０３）。続いて、サービスサーバ２００は、ユーザ端末１００に証明書の提示を要求する（Ｓ３０４）。その後、サービスサーバ２００は、ユーザ端末１００からの応答を待つ。

サーバ公開鍵証明書を受信すると、ユーザ端末１００は、サーバルート証明書を用いて当該サーバ公開鍵証明書を検証する（Ｓ３０５）。サーバ公開鍵証明書の正当性が確認された場合、ユーザ端末１００は、クライアント公開鍵証明書をサービスサーバ２００に送信する（Ｓ３０６）。続いて、ユーザ端末１００は、ここまでやり取りしたデータのハッシュ値から計算したプリマスターシークレット（乱数）をサーバ公開鍵証明書に含まれるサーバ公開鍵で暗号化する（Ｓ３０７）。続いて、ユーザ端末１００は、暗号化されたプリマスターシークレットをサービスサーバ２００に送信する（Ｓ３０８）。続いて、ユーザ端末１００は、ここまでやり取りしたデータを使って計算された乱数データにクライアント秘密鍵で署名を行う（Ｓ３０９）。続いて、ユーザ端末１００は、署名された乱数データをサービスサーバ２００に送信する（Ｓ３１０）。続いて、ユーザ端末１００は、２つのシードとプリマスターシークレットとに基づいてセッション鍵を作成する（Ｓ３１１）。

続いて、サービスサーバ２００は、受信したクライアント公開鍵証明書をサービスサーバ２００が有するＣＡルート証明書を用いて検証する。また、サービスサーバ２００は、署名付きデータをクライアント公開鍵証明書を用いて検証する。更に、サービスサーバ２００は、サーバ秘密鍵で復号したプリマスターシークレットと２つのシードとによりセッション鍵を作成する（Ｓ３１２）。

続いて、ユーザ端末１００は、「今後この共通鍵でデータを送信する旨」のメッセージと、ＳＳＬ認証終了メッセージをサービスサーバ２００に送信する（Ｓ３１３）。続いて、サービスサーバ２００は、「今後この共通鍵でデータを送信する旨」のメッセージと、ＳＳＬ認証終了メッセージをユーザ端末１００に送信する（Ｓ３１４）。以降はセッション鍵による暗号化通信が開始される。斯かる暗号化通信によって、ユーザ端末１００は、サービスサーバ２００に対する機器情報等の送信を行う。したがって、ユーザ端末１００において、正当な個別公開鍵証明書が導入されていない場合は、同図の認証を通過することができず、その後の通信を行うことができない。

なお、図９の処理は、サービスサーバ２００が証明書の持ち主以外の偽造サーバだと秘密鍵を持っていないので、ユーザ端末１００から送信されたプリマスターシークレットが復号することはできず、また、ユーザ端末１００が証明書の持ち主以外の偽造クライアントだとサービスサーバ２００においてユーザ端末１００からの署名が確認できない、という理論から相互認証を達成している。

以降の図１０乃至図１４のシーケンス図に示す動作において、認証処理は、ユーザ端末１００からの要求に基づきサービスサーバ２００が行うように記載している。しかし、これは説明を簡単にするためであり、実際には認証処理において図９に示すような相互認証が行われる。ただし、相互認証は必須ではなく、サービスサーバ２００がユーザ端末１００を認証するのみでもよい。

次に、以上説明してきた各装置が実行する、ユーザ端末１００の状態遷移及びユーザ端末１００へのサービス提供に関する動作の手順について説明する。ここで用いる図１０乃至図１４のシーケンス図では、ユーザ端末１００、サービスサーバ２００、およびＣＡ３００が動作の主体となっているが、図３に示した各部の機能と動作との対応関係については随時説明を加える。

まず図１０に、ユーザ端末１００の設置動作の手順を示す。
ユーザがユーザ端末１００を操作して、サービスサーバ２００が提供するサービスを利用するためのアプリケーション（汎用ブラウザでもよい）を起動して、サービスサーバ２００へのアクセスを指示すると、ユーザ端末１００は図１０の動作を開始する。なお、ユーザ端末１００に個別証明書が設定されていればユーザ端末１００は図１１の動作を実行するので、実際には設定されている証明書により動作が分岐することになる。

図１０の動作において、ユーザ端末１００は、共通証明書をサービスサーバ２００との間の通信に使用することが設定されている（すなわち状態が出荷状態４１あるいは未設置状態４３である）ことを検出すると（Ｓ１１）、サービスサーバ２００に対し、共通証明書を用いた認証を要求する（Ｓ１２）。この要求は、要求送信部１２１の機能によるものである。

サービスサーバ２００では、アクセス受付部２２１がこの要求を受け付け、認証処理部２２２に認証処理を実行させる。認証処理部２２２は、ＣＡ３００の証明書管理部３２２に、受け取った共通証明書の状態を問い合わせる（Ｓ１３）。
この問い合わせに対する回答としては、該当の証明書を発行したことがあり、現在でも有効である、を意味する「ＯＫ」、該当の証明書を発行したことがあるが、有効期限が過ぎている、を意味する「Expire」、該当の証明書を発行したことがあるが、無効化されている、を意味する「Invalid」、該当の証明書を発行したことはない、を意味する「Error」のいずれかである。また、証明書管理部３２２から、失効済みの証明書のリストである失効リストを定期的に取得し、認証の度に証明書管理部３２２に問い合わせすることなく、その失効リストに載っていない証明書は有効であると判断するようにしてもよい。

いずれにせよ、ステップＳ１３で共通証明書が有効状態（ＯＫ）であれば、その共通証明書を用いた認証処理を行う（Ｓ１４）。共通証明書が無効状態あるいは発行記録がなければ、認証処理は直ちに認証失敗とする。ここでは、認証が成功したとし、この場合、サービスサーバ２００はユーザ端末１００に認証成功の認証結果を伝える（Ｓ１５）。

これを受けたユーザ端末１００は、登録要求部１２２の機能により、ユーザからアクティベーションコードの入力を受け付ける（Ｓ１６）。このアクティベーションコードは、上述のように予めユーザに通知されており、ユーザ端末１００に適用するサービス提供契約を特定するために用いる。
ユーザ端末１００は、要求送信部１２１の機能により、ステップＳ１６で入力されたアクティベーションコードを含む個別証明書要求（図５のgetkeyコマンド）をサービスサーバ２００に送信する（Ｓ１７）。

サービスサーバ２００では、アクセス受付部２２１がこの要求を受け付け、要求に応じて、契約管理部２２４の機能により、アクティベーションコードで特定される契約を検索して、発見された契約にＡＩＤが付与済みでなければＡＩＤを付与する（Ｓ１８）。ＡＩＤは、サービスサーバ２００内でユニークであれば、任意の値でよい。ステップＳ１８の検索が検索手順の動作であり、検索手段の機能と対応する。また、共通証明書を用いた認証要求と、その後のステップＳ１７の要求が、機器からの所定のアクセスに該当する。

次に、サービスサーバ２００は、証明書取得部２２３の機能により、ステップＳ１８で付与したＡＩＤ（付与済みであれば既に付与されていたＡＩＤ）を含む個別証明書を、ＣＡ３００に対して要求する（Ｓ１９）。
この要求を受けたＣＡ３００は、証明書発行部３２１の機能により、指定されたＡＩＤを記載した個別証明書（及び対応する秘密鍵）を発行する（Ｓ２０）。また、証明書管理部３２２の機能によりその発行した個別証明書を有効な証明書として表２の証明書情報に登録する（Ｓ２１）。その後、ＣＡ３００は、サービスサーバ２００の証明書取得部２２３に、発行した個別証明書を渡す（Ｓ２２）。以上のステップＳ１８乃至Ｓ２２におけるＡＩＤ付与と個別証明書の取得に関する動作が証明書取得手順の動作であり、証明書取得手段の機能と対応する。

サービスサーバ２００では、アクセス受付部２２１が証明書取得部２２３から上記の個別証明書を取得し、ステップＳ１７の要求に対する応答としてユーザ端末１００に送信する（Ｓ２３）。この送信の動作が証明書送信手順の動作であり、証明書送信手段の機能と対応する。
ユーザ端末１００では、証明書登録部１２３が、ステップＳ２３で渡された個別証明書を、サービスサーバ２００に対する通信の際に使用する証明書として登録する（Ｓ２４）。

以上の動作により、ユーザ端末１００は、共通証明書をクレデンシャルとして用いて、サービス提供契約とＡＩＤにより紐付けられた個別証明書の発行を受け、以後サービスサーバ２００に認証を受ける際に使用できるように登録することができる。サービスサーバ２００から見れば、ユーザ端末１００からの所定のアクセスに応じて、ユーザ端末１００に適用するサービス提供契約の識別情報を含む個別証明書を取得して、ユーザ端末１００に送信し、設定させることができる。従って、以後、個別証明書を用いてユーザ端末１００を認証した場合、個別証明書に含まれる識別情報により特定されるサービス提供契約に従ってそのユーザ端末１００にサービスを提供すればよい。
なお、図１０の動作は、ユーザの指示によらず、ユーザ端末１００が、ネットワークに接続されたことを等をトリガに自動的に開始するようにしてもよい。

次に、図１１に、ユーザ端末１００がサービスサーバ２００からサービスの提供を受ける動作の手順を示す。
図１０で説明したように、ユーザがユーザ端末１００を操作してサービスサーバ２００へのアクセスを指示し、そのときに、個別証明書をサービスサーバ２００との間の通信に使用することが設定されている（すなわち状態が設置状態４２である）ことを検出すると（Ｓ３１）、ユーザ端末１００は、サービスサーバ２００に対し、個別証明書を用いた認証を要求する（Ｓ３２）。この要求は、要求送信部１２１の機能によるものである。

サービスサーバ２００では、アクセス受付部２２１がこの要求を受け付け、認証処理部２２２に認証処理を実行させる。認証処理部２２２は、ＣＡ３００の証明書管理部３２２に、受け取った個別証明書の状態を問い合わせ（Ｓ３３）、有効状態であれば、その個別証明書を用いた認証処理を行う（Ｓ３４）。個別証明書が無効状態あるいは発行記録がなければ、認証処理は直ちに認証失敗とする。ここでは、認証が成功したとし、この場合、サービスサーバ２００はユーザ端末１００に認証成功の認証結果を伝える（Ｓ３５）。

これを受けたユーザ端末１００は、動作要求部１２４の機能により、サービスサーバ２００に対して、サービスサーバ２００が提供するサービスに関する動作を要求する動作要求を送信する（Ｓ３６）。
サービスサーバ２００では、アクセス受付部２２１がこの要求を受け付け、要求に応じて、契約管理部２２４を参照し、受け付けた要求が、ステップＳ３４の認証処理に用いた個別証明書に含まれるＡＩＤで特定される契約の範囲内の要求か否かを判断する（Ｓ３７）。ここでは、契約の範囲内と確認できたとすると、要求処理部２２６が要求に係る動作を実行し（Ｓ３８）、アクセス受付部２２１を介して、要求元のユーザ端末１００に実行結果の応答を返す。

ステップＳ３７で契約の範囲内でなければ、アクセス受付部２２１は、要求に係る動作は実行できない旨の応答をユーザ端末１００に返す（Ｓ３９）。
以上のステップＳ３７及びＳ３８の動作が、制御手順の動作であり、制御手段の機能と対応する。

以上の動作により、サービスサーバ２００は、個別証明書を用いて認証した機器に対して、その個別証明書に含まれるＡＩＤが示すサービス提供契約に従ったサービスの提供を行うことができる。
なお、図１２以降のシーケンス図で説明する返却や初期化の処理も、サービス提供契約に従ったサービスの提供の一種であると考えることもできる。また、図１１の動作は、ユーザの指示によらず、ユーザ端末１００が、所定時間経過等をトリガに自動的に開始するようにしてもよい。ユーザ端末１００の状態を定期的にサービスサーバ２００に通知してモニタさせる場合等である。

次に、図１２に、サービスサーバ２００が、契約無効化指示に応じてユーザ端末１００に対するサービス提供契約を無効化し、ユーザ端末１００に個別証明書を返却させる動作の手順を示す。
この場合、サービスサーバ２００は、サービス提供契約を特定した契約無効化指示を検出すると（Ｓ５１）、図１２の動作を開始する。なお、この無効化指示は、サービスサーバ２００の管理者等、人手によるものであっても、契約期限の到来等、何らかのイベントに応じて自動で発生させるものであってもよい。

いずれにせよ、サービスサーバ２００は、証明書無効化部２２７の機能により、契約管理部２２４を参照して、無効化指示に係る契約のＡＩＤに付与されているＡＩＤを特定する（Ｓ５２）。そしてその後、そのＡＩＤを含む個別証明書による認証が要求されるまで待機する。
そして、ユーザ端末１００から、ステップＳ５２で特定したＡＩＤを含む個別証明書による認証が要求されると（Ｓ５３）、図１１のステップＳ３３乃至Ｓ３４の場合と同様に認証処理を行う（Ｓ５４，Ｓ５５）。この認証が成功すると、サービスサーバ２００は、証明書無効化部２２７の機能により、ＣＡ３００に対し、ステップＳ５２で特定したＡＩＤを含む個別証明書を無効にするよう要求する（Ｓ５６）。

この要求を受けたＣＡ３００は、証明書管理部３２２の機能により、指定されたＡＩＤを記載した個別証明書が無効である旨を、表２の証明書情報に登録し（Ｓ５７）、その結果をサービスサーバ２００に返す（Ｓ５８）。
この応答を受けたサービスサーバ２００では、アクセス受付部２２１の機能により、ステップＳ５３の認証要求に対する応答として、認証成功の旨と、個別証明書無効化要求（図５のremovekeyコマンド）とを送信する（Ｓ５９）。なお、表１の契約情報中のＡＩＤは元のまま残しておいてよい。

個別無効化要求を受けたユーザ端末１００は、証明書登録部１２３に登録された証明書のうちサービスサーバ２００との通信に用いる証明書を共通証明書に変更することにより、個別証明書を、サービスサーバ２００との通信において無効化する（Ｓ６０）。そして、その応答をサービスサーバ２００へ返す（Ｓ６１）。
以上の動作において、ステップＳ５６及びＳ５９の動作が、無効化手段の機能に対応する。

以上の動作により、サービスサーバ２００は、任意のサービス提供契約を所望のタイミングで無効にし、その契約に基づきサービスを提供していたユーザ端末１００に、以後サービスを提供しないようにすることができる。ステップＳ５３でのアクセスを待つ時間は、ユーザ端末１００が定期的にサービスサーバ２００にアクセスする場合、さほど長いものとならないと考えられる。しかし、長い時間待つことになったとしても、その間にユーザ端末１００からのアクセスがなく、従ってユーザ端末１００にサービスを提供することもないので、この点は特に問題とならない。

次に、図１３に、ユーザ端末１００が、ユーザからの指示に応じて個別証明書を返却する動作の手順を示す。
この場合、ユーザ端末１００は、ユーザからの個別証明書返却指示を検出すると（Ｓ７１）、図１３の動作を開始する。そして、サービスサーバ２００から認証を受けていない状態であれば、図１１のステップＳ３２乃至Ｓ３５の場合と同様に個別証明書を用いた認証を受ける（Ｓ７２乃至Ｓ７５）。その後、登録要求部１２２の機能により、個別証明書返却要求（図５のremovekeyコマンド）をサービスサーバ２００に送信する（Ｓ７６）。

この要求を受けたサービスサーバ２００は、図１２のステップＳ５６乃至Ｓ５８の場合と同様、ＣＡ３００に要求して個別証明書が無効になったことを登録させる（Ｓ７７乃至Ｓ７９）。なお、ここで用いるＡＩＤは、ステップＳ７４の認証に用いた個別証明書に含まれるＡＩＤである。また、表１の契約情報中のＡＩＤは元のまま残しておいてよい。

ステップＳ７９の後、サービスサーバ２００は、アクセス受付部２２１の機能により、ユーザ端末１００に対し、個別証明書返却要求に対する方法として、無効化が完了したことを通知する（Ｓ８０）。この応答を受けたユーザ端末１００は、図１２のステップＳ６０の場合と同様、証明書登録部１２３に登録された証明書のうちサービスサーバ２００との通信に用いる証明書を共通証明書に変更する（Ｓ８１）。
以上の動作において、ステップＳ７７の動作が、無効化手段の機能に対応する。
以上の動作により、サービスサーバ２００は、ユーザ端末１００からの要求に応じて、そのユーザ端末１００に対し以後サービスを提供しないようにすることができる。

次に、図１４に、ユーザ端末１００が、ユーザからの指示に応じてユーザ端末１００を初期化する動作の手順を示す。
この場合、ユーザ端末１００は、ユーザからの初期化指示を検出すると（Ｓ９１）、図１４の動作を開始する。そして、サービスサーバ２００から認証を受けていない状態であれば、図１１のステップＳ３２乃至Ｓ３５の場合と同様に個別証明書を用いた認証を受ける（Ｓ９２乃至Ｓ９５）。その後、登録要求部１２２の機能により、初期化要求（図５のdeletekeyコマンド）をサービスサーバ２００に送信する（Ｓ９６）。

この要求を受けたサービスサーバ２００は、証明書無効化部２２７の機能により、ＣＡ３００に対し、ステップＳ９４の認証に用いた個別証明書に含まれるＡＩＤを含む個別証明書（認証に用いた個別証明書自体）の登録を削除するよう要求する（Ｓ９７）。このステップＳ９８の動作が、登録削除手段の機能と対応する動作である。

この要求を受けたＣＡ３００は、証明書管理部３２２の機能により、指定されたＡＩＤを記載した個別証明書を発行したことの登録を、表２の証明書情報から削除する（Ｓ９８）。このことにより、そのＡＩＤを記載した個別証明書は、初めから発行されていなかったことになる。その後、ＣＡ３００は、削除の結果をステップＳ９７の要求に対する応答としてサービスサーバ２００に返す（Ｓ９９）。

ステップＳ９９の応答を受けたサービスサーバ２００は、契約管理部２２４の機能により、表１の契約情報から、ステップＳ９４の認証に用いた個別証明書に含まれるＡＩＤを削除する（Ｓ１００）。このことにより、それまでそのＡＩＤが付与されていた契約は、ＡＩＤが付されていない状態に戻る。

ステップＳ１００の後、サービスサーバ２００は、アクセス受付部２２１の機能により、ユーザ端末１００に対し、初期化要求に対する方法として、初期化が完了したことを通知する（Ｓ１０１）。この応答を受けたユーザ端末１００は、証明書登録部１２３に登録されている個別証明書及び対応する私有鍵を削除する（Ｓ１０２）と共に、サービスサーバ２００との通信に用いる証明書を共通証明書に変更する（Ｓ１０３）。さらに、サービスサーバ２００との通信に専用のアプリを用いており、かつ出荷状態ではそのアプリがインストールされていない場合、そのアプリも削除する（Ｓ１０４）。

以上の動作により、サービスサーバ２００は、ユーザ端末１００からの要求に応じて、そのユーザ端末１００に対し以後サービスを提供しないようにすると共に、そのユーザ端末１００に使用させていた個別証明書やＡＩＤも、発行していない状態に戻すことができる。

以上説明してきたシステムにおいては、個別証明書を、サービス提供契約と対応付けて管理し、契約に付与したＡＩＤを含む個別証明書をサービス提供対象のユーザ端末に使用させる。このことにより、契約中にサービス提供対象のユーザ端末１００を交換するような場合でも、契約と、サービス提供対象のユーザ端末１００との関係を、容易に把握することができる。特に、１台のユーザ端末１００を、状況によって異なるサービス提供契約に基づき運用したい場合であっても、契約を切り替える際にアクティベーション解除と再度のアクティベーションを行うことにより、問題なく複数の契約を使い分けることができる。

また、出荷状態４１及び設置状態４２の他に、未設置状態４３を設けたことにより、同一のユーザ端末１００についてアクティベーションとアクティベーション解除を複数回繰り返す場合でも、これを効率よく管理し、ユーザ端末１００とサービスサーバ２００との間の通信の安全を確保することができる。すなわち、再度アクティベーションすることが想定される場合には、アクティベーション解除を、「返却」で行うことにより、ＡＩＤを残したままアクティベーションを解除することができる。そして、次に別のユーザ端末１００からアクティベーションを行う場合、残したＡＩＤを引き継いで利用可能である。

また、一旦無効にした個別証明書を再度有効にすることが許容される場合には、再アクティベーションの際に、個別証明書を再発行する必要はなく、アクティベーション解除の際に無効にした個別証明書を、再度有効にする設定を行うだけで足りる。従って、証明書の発行数を低減し、証明書の管理負荷を低減できる。

この構成を採用する場合には、再アクティベーション（再設置）時の図１０の動作は、図１５に示すようになる。すなわち、ステップＳ１７の要求に応じたステップＳ１８′では、アクティベーションコードで特定される契約にＡＩＤは付与済みである。従って、サービスサーバ２００は、ＣＡ３００に対して、その付与済みのＡＩＤを特定して個別証明書の有効化要求を行い（ＳＡ）、ＣＡ３００は、その要求に応じて、当該ＡＩＤを含む、一旦無効化されている個別証明書を、再度有効にする旨を表２の証明書情報に登録する（ＳＢ）。

その後の動作は、図１０のステップＳ２２以降と同様でよい。ただし、ステップＳ２２で送信する個別証明書は、証明書情報として登録されていた、発行済みの個別証明書である。ここで再度個別証明書を送信するのは、アクティべーション解除を行ったユーザ端末１００と再アクティベーションを行ったユーザ端末１００とが異なり、再アクティベーションを行ったユーザ端末１００に、まだ個別証明書が登録されていない可能性があるためである。

また、以上の他、「初期化」を行えば、個別証明書やＡＩＤを完全に削除できるため、サービス提供対象から外す装置にシステムに関する情報を残したくないというニーズや、サービスサーバ２００側に、サービス提供対象から外す装置の情報を残したくないというニーズにも対応可能である。

以上説明してきたシステムは、例えば、顧客オフィス等に設置されたユーザ端末１００である、複写機、プリンタ、ファクシミリ通信装置、デジタル複合機等の画像処理装置を、サービスサーバ２００から遠隔監視する遠隔監視システムに適用することが考えられる。
この遠隔監視システムは、監視対象の情報（各種カウンタ値や稼働状況等を示す情報。以下、「機器情報」という。）を、相互認証を経たＳＳＬ等の暗号化通信によってクラウド環境２０のサービスサーバ２００に転送する。また、サービスサーバ２００は、機器監視システムの通常運用時において、ユーザ端末１００からの機器情報を受信し、蓄積するといった機器監視サービスを提供する。さらに、その機器情報に基づき、異常の発生やサプライ切れ等を監視するサービスを提供することも考えられる。

また、サービスサーバ２００は、ユーザ端末１００からクラウド環境２０に対して行われる通信等の安全性を担保するための処理において、ユーザ端末１００とＣＡ３００との間の仲介を行う。より具体的には、ユーザ端末１００からの要求に応じ、ユーザ端末１００の設置ごとに固有の秘密鍵や公開鍵証明書等を含むデータの発行をＣＡ３００に要求し、ＣＡ３００に発行される個別証明書パッケージをユーザ端末１００に返信する。

当該秘密鍵や公開鍵証明書等（個別証明書パッケージ）は、ユーザ端末１００が機器情報を転送する際にクラウド環境２０のサービスサーバ２００との間の相互認証や暗号化通信に用いられる。なお、本実施の形態において、個別証明書パッケージは、ＰＫＣＳ（Public Key Cryptography Standards）に基づく電子証明書のパッケージである。サービスサーバ２００は、機器のアクティベーション機能も保持し、機器に関するアクティベーションを行う。

以上で実施形態の説明を終了するが、この発明において、装置の具体的な構成、具体的な処理の手順、データの形式、証明書の種類や数、通信に用いるプロトコル、ネットワークの構成等は、実施形態で説明したものに限るものではない。
例えば、上述した実施形態において、図１０等のアクティベーションにアクティベーションコードを用いていたが、これは必須ではない。これに代えて、ユーザのＩＤやパスワード等を用いて該当ユーザが結んでいる契約を検索できるようにし、その中からユーザ端末１００に紐付ける契約をユーザが選択できるようにすることも考えられる。

例えば、上述した実施形態において各装置が備えていた機能は、複数の装置に分散して設け、それらの装置を協働させて特定の機能を実現させたり、逆に、複数の装置に分散して設けられていた機能を１つの装置に統合して設けたりしてもよい。例えば、サービスサーバ２００が、複数の装置が連携してその機能を実現するものであってもよい。サービスサーバ２００とＣＡ３００が一体であってもよい。

また、この発明のプログラムの実施形態は、コンピュータに所要のハードウェアを制御させて上述した実施形態におけるユーザ端末１００、サービスサーバ２００、あるいはその他の装置の機能を実現させるためのプログラムである。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭや他の不揮発性記憶媒体（フラッシュメモリ，ＥＥＰＲＯＭ等）などに格納しておいてもよい。しかし、メモリカード、ＣＤ、ＤＶＤ、ブルーレイディスク等の任意の不揮発性記録媒体に記録して提供することもできる。それらの記録媒体に記録されたプログラムをコンピュータにインストールして実行させることにより、上述した各機能を実現させることができる。

さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部装置あるいはプログラムを記憶手段に記憶した外部装置からダウンロードし、コンピュータにインストールして実行させることも可能である。
また、以上説明してきた各実施形態及び変形例の構成は、相互に矛盾しない限り任意に組み合わせて実施可能であることは勿論である。

１０：ユーザ環境、２０：クラウド環境、１００：ユーザ端末、１２１：要求送信部、１２２：登録要求部、１２３：証明書登録部、１２４：動作要求部、２００：サービスサーバ、２０１：ＣＰＵ、２０２：ＲＯＭ、２０３：ＲＡＭ、２０４：ＨＤＤ、２０５：通信Ｉ／Ｆ、２０６：操作部、２０７：表示部、２０８：システムバス、２２１：アクセス受付部、２２２：認証処理部、２２３：証明書取得部、２２４：契約管理部、２２５：契約確認部、２２６：要求処理部、２２７：証明書無効化部、３００：認証局（ＣＡ）、３２１：証明書発行部、３２２：証明書管理部

特許第４５７６２１０号公報 特許第５０４２１０９号公報 特許第４７５８０９５号公報

Claims (11)

1. 機器に対するサービス提供契約の情報を登録する登録手段と、
   機器からの所定のアクセスに応じて、前記登録手段が登録するサービス提供契約から該アクセス元の機器に対するサービス提供契約を検索する検索手段と、
   前記検索手段が発見したサービス提供契約に対して識別情報を付すと共に、所定の認証局から、該識別情報を含む電子証明書である個別証明書を取得する証明書取得手段と、
   前記証明書取得手段が取得した個別証明書を前記アクセス元の機器に送信する証明書送信手段と、
   前記個別証明書を用いて認証した機器に対して、該個別証明書に含まれる識別情報が示すサービス提供契約に従ったサービスの提供を許可する制御手段とを備えることを特徴とする情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   前記識別情報を付したサービス提供契約を無効化する指示に応じて、前記認証局に、該識別情報を持つ個別証明書を無効化させる無効化手段を備えることを特徴とする情報処理装置。
3. 請求項２に記載の情報処理装置であって、
   前記無効化手段は、前記個別証明書の無効化を行った場合に、前記証明書送信手段による該個別証明書の送信先機器に対し、該個別証明書を使用しないよう要求することを特徴とする情報処理装置。
4. 請求項１に記載の情報処理装置であって、
   前記証明書送信手段による前記個別証明書の送信先機器から、該個別証明書の無効化を要求された場合に、前記認証局に、該個別証明書を無効化させる無効化手段を備えることを特徴とする情報処理装置。
5. 請求項２乃至４のいずれか一項に記載の情報処理装置であって、
   前記証明書取得手段は、前記検索手段が発見したサービス提供契約に既に識別情報が付されている場合に、前記認証局に、該識別情報を含む個別証明書であって一旦無効化された個別証明書を再度有効化させる再有効化手段を備えることを特徴とする情報処理装置。
6. 請求項１乃至５のいずれか一項に記載の情報処理装置であって、
   前記証明書送信手段による前記個別証明書の送信先機器から、該個別証明書の初期化を要求された場合に、前記認証局に、該個別証明書を発行した旨の記録を削除させると共に、前記登録手段における、該個別証明書に含まれる識別情報の登録を削除する登録削除手段を備えることを特徴とする情報処理装置。
7. 請求項１乃至６のいずれか一項に記載の情報処理装置であって、
   前記登録手段が登録するサービス提供契約の状態は、識別情報が付されていない第１状態と、有効な個別証明書に含まれる識別情報が付された第２状態と、無効な個別証明書に含まれる識別情報が付された第３状態とを取り得ることを特徴とする情報処理装置。
8. 第１情報処理装置と第２情報処理装置とを備え、
   前記第１情報処理装置は、
   前記第２情報処理装置に対するサービス提供契約の情報を登録する登録手段と、
   前記第２情報処理装置からの所定のアクセスに応じて、前記登録手段が登録するサービス提供契約から該アクセス元の第２情報処理装置に対するサービス提供契約を検索する検索手段と、
   前記検索手段が発見したサービス提供契約に対して識別情報を付すと共に、所定の認証局から、該識別情報を含む電子証明書である個別証明書を取得する証明書取得手段と、
   前記証明書取得手段が取得した個別証明書を前記アクセス元の第２情報処理装置に送信する証明書送信手段と、
   前記個別証明書を用いて認証した前記第２情報処理装置に対して、該個別証明書に含まれる識別情報が示すサービス提供契約に従ったサービスの提供を許可する制御手段とを備え、
   前記第２情報処理装置が、
   前記第１情報処理装置に対する前記所定のアクセスを行うアクセス手段と、
   前記第１情報処理装置から送信された個別証明書を、前記第１情報処理装置に認証を受けるための証明書として登録する証明書登録手段と、
   前記第１情報処理装置に対して、前記証明書登録手段が登録した証明書を用いた認証を要求する認証要求手段とを備えることを特徴とする情報処理システム。
9. 請求項１に記載の情報処理システムであって、
   前記第１情報処理装置が、
   前記証明書送信手段による前記個別証明書の送信先である第２情報処理装置から、該個別証明書の初期化を要求された場合に、前記認証局に、該個別証明書を発行した旨の記録を削除させると共に、前記登録手段における、該個別証明書に含まれる識別情報の登録を削除し、その後、要求元の第２情報処理装置に応答を返す登録削除手段をさらに備え、
   前記第２情報処理装置に、
   前記第１情報処理装置に対して前記個別証明書の初期化を要求する手段と、
   該初期化の要求に対して初期化完了の応答を受信した後で、前記証明書登録手段が登録している個別証明書を削除する手段とを備えることを特徴とする情報処理システム。
10. 機器に対するサービス提供契約の情報を登録手段に登録する登録手順と、
    機器からの所定のアクセスに応じて、前記登録手順で登録したサービス提供契約から該アクセス元の機器に対するサービス提供契約を検索する検索手順と、
    前記検索手順で発見したサービス提供契約に対して識別情報を付すと共に、所定の認証局から、該識別情報を含む電子証明書である個別証明書を取得する証明書取得手順と、
    前記証明書取得手順で取得した個別証明書を前記アクセス元の機器に送信する証明書送信手順と、
    前記個別証明書を用いて認証した機器に対して、該個別証明書に含まれる識別情報が示すサービス提供契約に従ったサービスの提供を許可する制御手順とを備えることを特徴とする情報処理方法。
11. コンピュータを請求項１乃至７のいずれか一項に記載の情報処理装置として機能させるためのプログラム。

Images