JP2020052682A - 情報処理装置、情報処理方法、プログラム及びセキュアエレメント - Google Patents

Abstract

【課題】ＩＤ及びパスワードを使用せずに認証を適切に行うことできる情報処理装置等を提供する。【解決手段】情報処理装置１は、署名者の署名又は捺印を識別するための署名捺印データと、前記署名又は捺印の記入対象である文書を印刷するプリンタ、又は該文書の読み取りを許可されたスキャナの識別情報であって、前記プリンタが前記文書に印刷する識別情報とを記憶する記憶部と、前記文書を読み取る読取部と、前記署名捺印データに基づき、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定する第１判定部と、前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する第２判定部とを備えることを特徴とする。【選択図】図１

Description

本発明は、情報処理装置、情報処理方法、プログラム及びセキュアエレメントに関する。

コンピュータシステムにおける認証手段として、ＩＤ、パスワード等を入力することにより認証を行うことが一般的に行われている。例えば特許文献１では、公共エリアに設置されている現金自動預け払い機等のネットワーキング端末装置を利用した保険業務支援システムであって、利用者が保険金の支給等の手続を行う場合に、ネットワーキング端末装置にＩＤ及びパスワードを入力して認証を行い、所定の提出書類をスキャンさせて保険会社に送信し、サインパッドで署名を行うことで手続を完了する保険業務支援システムが開示されている。

特許第５７０５８６６号公報

しかしながら、特許文献１に係る発明のようなコンピュータシステムにおいて、マルウェア、ソーシャルクラッキングなどの攻撃によりＩＤ、パスワード等が漏洩する、あるいは辞書攻撃によりＩＤ、パスワード等が破られることで、重要な情報が搾取、改竄等されるハッキングの被害が後を絶たない。

一つの側面では、ＩＤ及びパスワードを使用せずに認証を適切に行うことできる情報処理装置等を提供することを目的とする。

一つの側面では、情報処理装置は、署名者の署名又は捺印を識別するための署名捺印データと、前記署名又は捺印の記入対象である文書を印刷するプリンタ、又は該文書の読み取りを許可されたスキャナの識別情報であって、前記プリンタが前記文書に印刷する識別情報とを記憶する記憶部と、前記文書を読み取る読取部と、前記署名捺印データに基づき、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定する第１判定部と、前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する第２判定部とを備えることを特徴とする。

一つの側面では、ＩＤ及びパスワードを使用せずに認証を適切に行うことできる。

実施の形態１の概要を示す模式図である。 複合機の構成例を示すブロック図である。 認証処理に関する説明図である。 印刷処理の処理手順の一例を示すフローチャートである。 認証処理の処理手順の一例を示すフローチャートである。 実施の形態２の概要を示す説明図である。 実施の形態２に係る認証処理の処理手順の一例を示すフローチャートである。 実施の形態３に係る複合機の構成例を示すブロック図である。 上述した形態の複合機の動作を示す機能ブロック図である。

以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
図１は、実施の形態１の概要を示す模式図である。本実施の形態では、ＩＤ、パスワード等の手段を用いず、所定の文書を光学的に読み取り、読み取った文書に記入されている署名又は捺印を元に認証を行う複合機（情報処理装置）１について説明する。複合機１は、少なくともプリンタ機能及びスキャナ機能を有する複合機であり、文書の印刷、及び当該文書の読み取りを行う装置である。例えば複合機１はオフィス向けの機器であり、オフィス内の所定の箇所に設置されている。

本実施の形態に係る複合機１はプリンタ及びスキャナとして機能するだけでなく、オフィスの種々の情報管理を行うファイルサーバ、及びオフィス内の各機器のネットワーク通信を中継するルータとしても機能する。複合機１はハードディスク等の大容量記憶装置を備え、自装置でスキャンした文書のデータ、あるいはパーソナルコンピュータ、多機能端末、その他の機器から取得したデータを保存し、管理する。また、複合機１はオフィス内の各機器に通信接続され、保存してあるデータに各機器がアクセス可能とする。このように、複合機１は一般的な複合機、ファイルサーバ、及びルータを一の筐体に統合した装置であり、オフィス内のＩＴインフラを管理するプラットフォームとして機能する。

ところで、ファイルサーバ等の情報処理装置においてデータ管理を行う場合に、ファイルサーバに接続されたクライアント端末に入力されるＩＤ、パスワード等によって、ファイルサーバにアクセスする者の権限を確認することが一般的に行われている。しかし、ＩＤ、パスワードによって権限を確認する場合、上述の如く攻撃者のハッキングによってＩＤ、パスワードが漏洩する、あるいはＩＤ、パスワードが破られる等の事態が発生し、攻撃者が正当権限者になりすましてファイルサーバの情報を搾取、改竄等する被害が多い。このような不正なアクセスはファイルサーバのログファイルに記録されるが、ログファイルを検査すること自体が稀であり、セキュリティ上の有効な手段となっていない。

そこで本実施の形態では、ＩＤ、パスワード等の手段ではなく、正当な権限を有する者の署名又は捺印を認証手段として用いる。詳細は後述するように、複合機１は、文書に記入されている署名又は捺印と、当該文書に併せて印刷されている自装置の識別情報とを認証手段として用い、スキャンした文書が自装置で印刷した文書であり、かつ、正当な権限を有する者が署名又は捺印した文書か否かを判定する。ＩＤ、パスワード等を使用しないことで、ハッキング耐性を向上し、セキュリティを強固にした複合機１を提供する。

図２は、複合機１の構成例を示すブロック図である。複合機１は、制御部１１、主記憶部１２、通信部１３、表示部１４、操作部１５、画像読取部１６、画像形成部１７、補助記憶部１８、及びセキュアエレメント１９を有する。
制御部１１は、一又は複数のＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等の演算処理装置を有し、補助記憶部１８に記憶されたプログラムＰを読み出して実行することにより、複合機１に係る種々の情報処理、制御処理等を行う。主記憶部１２は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、フラッシュメモリ等の一時記憶領域であり、制御部１１が演算処理を実行するために必要なデータを一時的に記憶する。通信部１３は、通信に関する処理を行うための処理回路等を含み、外部と情報の送受信を行う。表示部１４は、複合機１の操作メニュー等を表示するディスプレイであり、制御部１１からの指令に従い画像を表示する。操作部１５は、タッチパネル、メカニカルキー等の入力インターフェイスであり、利用者からの操作入力を受け付ける。

画像読取部１６は、ＣＣＤ（Charge Coupled Device）等を備えたスキャナユニットであり、所定の原稿台又は原稿トレイにセットされた原稿（文書）を光学的に読み取る。画像形成部１７は、電子写真方式、インクジェット方式等で原稿を印刷するプリンタユニットであり、通信部１３を介して取得した印刷データ、画像読取部１６により読み取った原稿データ等から原稿を印刷する。

補助記憶部１８は、ハードディスク等の不揮発性メモリであり、制御部１１が処理を実行するために必要なプログラムＰ、その他のデータを記憶している。また、補助記憶部１８は、画像読取部１６が読み取った文書のスキャンデータＤを記憶する。

セキュアエレメント１９は、耐タンパ性を有するセキュリティチップであり、例えばＴＰＭ（Trusted Platform Module）、ＳＩＭ（Subscriber Identity Module）等のＩＣチップである。本実施の形態では複合機１にセキュアエレメント１９が搭載され、セキュアエレメント１９が、画像読取部１６により読み取られた文書に記入されている署名、捺印等の認証を行う。セキュアエレメント１９は、識別情報１９１、署名捺印データ１９２、鍵情報１９３を記憶（格納）している。識別情報１９１は、複合機１の個体を識別可能な情報であり、例えば製造番号、あるいは複合機１を使用する企業（使用者）に対して製造元が割り当てた企業識別子など、複合機１毎に固有の情報である。署名捺印データ１９２は、文書に印刷されている署名又は捺印を、画像解析等の手段で識別するためのデータである。鍵情報１９３は、例えば共通鍵暗号方式の共通鍵であり、後述するように、識別情報１９１の暗号化及び復号に必要な暗号鍵である。

図３は、認証処理に関する説明図である。図３に基づき、複合機１が実行する処理の概要について説明する。
上述の如く、複合機１はプリンタ機能を有し、種々の原稿を印刷する。ここで複合機１は、所定の権限を有する人物（以下では「承認者」と呼ぶ）に承認してもらいたい内容と、日付などの附帯情報とを含む文書を印刷する。例えば図３左側に示すように、当該文書は稟議書のような社内文書であり、一又は複数の承認者それぞれの署名又は捺印を記入する記入欄４１と、二次元バーコード４２とを含む。

複合機１はユーザからの操作指示に従い、記入欄４１を含む文書を印刷する。記入欄４１は、承認者が署名又は捺印を行うための記入欄である。なお、文書は署名及び捺印の双方を必要とする文書であってもよく、署名及び捺印のいずれかのみを必要とする文書であってもよい。図３では、記入欄４１が捺印欄であるものとして図示してある。

なお、図３に示すように、複合機１が印刷する文書には、本来の承認者が記入する記入欄４１のほかに、代理者が記入する代理記入欄４１ａが含まれ得る。代理者が本来の承認者に代わって署名又は捺印を行う場合、「代理」の横にあるチェックボックス４１ｂにチェックした上で署名又は捺印を行う。後述するように、チェックボックス４１ｂにチェックが入っている場合、複合機１は代理者の署名又は捺印に基づく認証を行う。

当該文書を印刷する場合、複合機１は、自装置の識別情報１９１を暗号化し、暗号化した識別情報１９１を二次元バーコード４２に変換して当該文書に印刷する。識別情報１９１は、複合機１の個体を識別可能な情報であり、例えば製造番号、あるいは複合機１を使用する企業毎に製造元が割り当てた企業識別子などである。識別情報１９１は複合機１の製造元メーカで配番管理されており、複合機１毎に固有の値が割り与えられている。識別情報１９１は複合機１本体よりもセキュリティの高いセキュアエレメント１９に格納されている。

複合機１はセキュアエレメント１９に格納されている識別情報１９１を暗号化する。例えば複合機１は、セキュアエレメント１９に格納（記憶）されている鍵情報１９３を用いて暗号化を行う。上述の如く、鍵情報１９３は共通鍵暗号方式の共通鍵である。なお、共通鍵暗号方式は暗号化アルゴリズムの一例であって、複合機１は他のアルゴリズムを用いて暗号化を行ってもよい。

また、複合機１はセキュアエレメント１９から識別情報１９１を既に暗号化した値を出力させるようにしてもよく、複合機１本体（つまり図２の制御部１１）で暗号化を行ってもよい。つまり、セキュアエレメント１９が識別情報１９１を保持していればよく、暗号化を行う処理主体はセキュアエレメント１９でなくともよい。

複合機１は、暗号化した識別情報１９１から二次元バーコード４２を生成する。二次元バーコード４２は、例えばＱＲコード（登録商標）等である。図３では二次元バーコード４２がＱＲコードであるものとして図示してある。なお、複合機１はＱＲコードのような二次元バーコード４２に代えて、一次元のバーコードを用いてもよい。

このように複合機１は、印刷元である自装置を識別可能な識別情報１９１を予め文書に印刷する。これにより複合機１は、当該文書をスキャンした場合に、当該文書が自装置で印刷された文書であるか否かを識別情報１９１から判定することができる。

各承認者は、記入欄４１に署名又は捺印を記入する。あるいは図３に示すように、代理者がチェックボックス４１ｂにチェックを入れた上で、代理記入欄４１ａに署名又は捺印を記入してもよい。

複合機１は、文書をデータベース上（つまり自装置の補助記憶部１８）に保存するため、画像読取部１６を介して当該文書を読み取る。この場合に複合機１は、上述の署名又は捺印、及び識別情報１９１に基づく認証を行うことで、セキュリティチェックを行う。

複合機１は、文書を読み取った画像データから、記入欄４１に記入された署名又は捺印、及び二次元バーコード４２を抽出する。また、複合機１は、文書に印刷されている日付等のように、文書の印刷時期を特定可能な附帯情報を併せて抽出する。

複合機１は、抽出した署名又は捺印のデータをセキュアエレメント１９に入力し、承認者の署名又は捺印が真正なものか否か、認証を行わせる。例えば複合機１は、画像解析等の手段で署名又は捺印の形状等に係る画像特徴量を抽出する。複合機１は、抽出した署名又は捺印の特徴量のデータをセキュアエレメント１９に入力する。セキュアエレメント１９は、正当権限を有する承認者の署名又は捺印に係る画像特徴量を署名捺印データ１９２として予め記憶してあり、入力された署名又は捺印の特徴量とのパターンマッチングを行って真正性を判定する。セキュアエレメント１９は、判定結果、すなわち認証結果を複合機１本体に出力する。

なお、複合機１はチェックボックス４１ｂへのチェックを認識した場合、代理記入欄４１ａに記入されている代理者の署名又は捺印に係る特徴量を抽出し、セキュアエレメント１９に入力して認証を行わせる。これにより、企業実務に応じて柔軟に対応した運用を行うことができる。

なお、複合機１はパターンマッチング以外にも、例えばディープラーニング、ＳＶＭ（Support Vector Machine）、ベイジアンネットワーク等の機械学習手法を用いて署名又は捺印の真正性を判定してもよい。すなわち、複合機１は承認者の署名又な捺印の特徴量を学習した学習済みモデルを署名捺印データ１９２として予め保持し、スキャンした文書から抽出した署名又は捺印の画像データを当該学習済みモデルに入力して判定を行う。このように、複合機１は機械学習手法を用いて認証を行ってもよい。

また、上記ではセキュアエレメント１９内で認証処理を行うものとしたが、セキュアエレメント１９は認証に必要な署名捺印データ１９２を保持するのみで、認証処理はセキュアエレメント１９外の複合機１本体で行ってもよい。すなわち、複合機１の制御部１１が認証時に署名捺印データ１９２をセキュアエレメント１９から読み出し、パターンマッチング等を行ってもよい。このように、複合機１は少なくともセキュアエレメント１９に署名捺印データ１９２を記憶していればよく、署名又は捺印の認証処理を行う処理主体はセキュアエレメント１９であってもよく、複合機１の汎用的な処理を行う制御部１１であってもよい。

次に複合機１は、文書に印刷されている識別情報１９１の認証を行う。例えば複合機１は、二次元バーコード４２を読み取ったデータをセキュアエレメント１９に入力し、認証を行わせる。セキュアエレメント１９は鍵情報１９３を用い、二次元バーコード４２で暗号化されている識別情報１９１を復号する。上述の如く、セキュアエレメント１９は複合機１の識別情報１９１が記憶している。セキュアエレメント１９は、復号した識別情報１９１と、記憶されている識別情報１９１とが一致するか否かを判定する。セキュアエレメント１９は、識別情報１９１に関する判定結果、すなわち認証結果を出力する。

なお、上述の署名又は捺印の認証と同じく、識別情報１９１の認証もセキュアエレメント１９内で行ってもよく、セキュアエレメント１９外の複合機１本体で行ってもよい。

また、上記では識別情報１９１が複合機１に固有の製造番号、企業識別子等であるものとして説明したが、本実施の形態に係る識別情報１９１は複合機１を特定可能な情報であればよく、製造番号、企業識別子等に限定されない。例えば識別情報１９１を複合機１の設置位置を示す位置情報（例えばＧＰＳ（Global Positioning System）による座標値）とし、文書を印刷した複合機１の位置情報と、文書を読み取った複合機１の位置情報とを照合することで認証を行ってもよい。また、識別情報１９１を個々の文書に配番されるプリントアウトシーケンス番号とし、複合機１は、スキャンした文書に印刷されているプリントアウトシーケンス番号が、自装置で印刷した文書のプリントアウトシーケンス番号と照合することで認証を行ってもよい。このように、識別情報１９１は文書を印刷した複合機１と、文書を読み取った複合機１との同一性を判定可能な情報であればよく、複合機１に固有の情報に限定されない。

また、複合機１は署名又は捺印、及び識別情報１９１の認証だけでなく、その他の認証基準を設けて認証を行ってもよい。具体的には、複合機１は文書毎に読取可能期間を設定し、文書を読み取った読取時点が読取可能期間内であるか否かを判定する。例えば複合機１は、文書から読み取った日付等の附帯情報に基づき、現時点、つまり文書の読取時点が読取可能期間内か否かを判定する。例えば複合機１は、文書を印刷した日付から一定の期間内（例えば１ヶ月以内）を読取可能期間に設定し、現在の日付が、文書に印刷されている日付から一定の期間内であるか否かを判定する。読取可能期間内であると判定した場合、複合機１は認証に成功したものと判定する。

なお、上記では読取可能期間が一定の期間であるものとして説明したが、例えば重要文書である場合は読取可能期間を短く設定するというように、複合機１は文書毎に異なる読取可能期間を設定してもよい。

上述の如く、複合機１は署名又は捺印、識別情報１９１、読取可能期間等のように、文書に記載されている事項から認証を行う。複合機１は、各認証に成功した場合、文書を読み取った画像データをスキャンデータＤとして複合機１内部のデータベース（すなわち補助記憶部１８）に記憶する。

この場合に複合機１は、外部からのハッキングによってスキャンデータＤが搾取される事態に備え、文書の画像データに対して電子透かし情報を合成した上で記憶する。例えば複合機１は、所定の隠し地紋を文書画像の背景に重畳し、スキャンデータＤとして記憶する。

以上より、複合機１は承認者の署名又は捺印に基づく認証を行うため、ＩＤ、パスワード等による認証を行う場合と比較してハッキング耐性を向上させ、セキュリティを強固にすることができる。さらに、複合機１は識別情報１９１に基づく認証を行うことで、文書の印刷元である複合機１でのみスキャンを可能にする。これにより、例えばプリントアウトされた文書の入手、あるいは文書のスキャンデータＤの入手等によって偽の文書（用紙）が作成される虞を低減することができ、セキュリティをより強固にすることができる。

図４は、印刷処理の処理手順の一例を示すフローチャートである。図４に基づき、複合機１が実行する文書の印刷処理の処理内容について説明する。
複合機１のセキュアエレメント１９は、鍵情報１９３を用いて、複合機１を識別するための識別情報１９１を暗号化する（ステップＳ１１）。識別情報１９１は、複合機１の個体を識別可能な情報であり、例えば製造番号、あるいは複合機１を使用する企業（使用者）毎に製造元から割り当てられた企業識別子などである。例えばセキュアエレメント１９は、共通鍵暗号方式の共通鍵等の鍵情報１９３に基づき、識別情報１９１を暗号化する。制御部１１は、暗号化された識別情報１９１をセキュアエレメント１９から取得し、当該識別情報１９１を符号化した二次元バーコード４２を生成する（ステップＳ１２）。

制御部１１は、一又は複数の承認者それぞれが署名又は捺印を記入するための記入欄４１と、上述の二次元バーコード４２とを含む文書を印刷する（ステップＳ１３）。例えば制御部１１は、記入欄４１、二次元バーコード４２のほかに、承認者に承認してもらいたい内容、及び日付等の附帯情報が記載された文書を印刷する。制御部１１は、一連の処理を終了する。

図５は、認証処理の処理手順の一例を示すフローチャートである。図５に基づき、複合機１が実行する文書の認証処理の処理内容について説明する。
複合機１の制御部１１は、画像読取部１６を介して、承認者の署名又は捺印と、複合機１の識別情報１９１とが記載された文書を読み取る（ステップＳ３１）。具体的には上述の如く、制御部１１は、署名又は捺印が記入された記入欄４１と、識別情報１９１が暗号化して記述された二次元バーコード４２とを含む文書をスキャンする。

制御部１１は、読み取った文書の画像データから、承認者の署名又は捺印と、上述の二次元バーコード４２とを抽出する（ステップＳ３２）。制御部１１は他にも文書から日付等の情報を抽出し、抽出した各種データをセキュアエレメント１９に入力する。セキュアエレメント１９は、鍵情報１９３を用い、二次元バーコード４２で暗号化して記述されている識別情報１９１を復号する（ステップＳ３３）。

セキュアエレメント１９は、自らが保持している署名又は捺印の認証用の署名捺印データ１９２に基づき、文書から読み取った署名又は捺印が真正な署名又は捺印であるか否かを判定する（ステップＳ３４）。例えば制御部１１は、画像解析等の手法を用いてパターンマッチングを行い、署名又は捺印の特徴量の同一性を判定してもよく、機械学習手法を用いて判定を行ってもよい。真正な署名又は捺印でないと判定した場合（Ｓ３４：ＮＯ）、セキュアエレメント１９は一連の処理を終了する。

真正な署名又は捺印であると判定した場合（Ｓ３４：ＹＥＳ）、セキュアエレメント１９は、二次元バーコードから復号した識別情報１９１が、自らが保持している複合機１の識別情報１９１と一致するか否かを判定する（ステップＳ３５）。すなわちセキュアエレメント１９は、当該文書が自装置で印刷されたものか否かを判定する。識別情報１９１が一致しないと判定した場合（Ｓ３５：ＮＯ）、セキュアエレメント１９は一連の処理を終了する。

識別情報１９１が一致すると判定した場合（Ｓ３５：ＹＥＳ）、セキュアエレメント１９は、文書から読み取った日付に基づき、現時点で当該文書の読取可能期間であるか否かを判定する（ステップＳ３６）。読取可能期間でないと判定した場合（Ｓ３６：ＮＯ）、セキュアエレメント１９は一連の処理を終了する。

読取可能期間であると判定した場合（Ｓ３６：ＹＥＳ）、セキュアエレメント１９は認証に成功した旨を制御部１１に通知する。制御部１１は、画像読取部１６が読み取った文書の画像データに対して電子透かし情報を合成する（ステップＳ３７）。制御部１１は、電子透かし情報を合成した文書の画像データをスキャンデータＤとして補助記憶部１８に記憶し（ステップＳ３８）、一連の処理を終了する。

なお、上記では文書の印刷及び読取を同一の複合機１で行うものとして説明したが、本実施の形態はこれに限定されるものではない。後述する実施の形態２のように、文書を印刷するプリンタと、文書の読み取りを行うスキャナとは別々の装置であってもよい。プリンタ及びスキャナは、文書の印刷元であるプリンタの識別情報１９１、あるいは文書の読取を許可されているスキャナの識別情報１９１を共有し、プリンタは識別情報１９１を印字した文書を印刷する。スキャナは当該文書を読み取り、上述の認証処理を行う。このように、文書の印刷元又は読取先の対応関係を識別情報１９１から検証可能であればよく、プリンタ及びスキャナは同一の複合機１に構成されずともよい。

また、複合機１内部で一連の処理を行うものとしたが、複合機１に接続された外部の情報処理装置が複合機１から文書のスキャンデータＤを取得し、上述の処理を行ってもよい。

また、上記では複合機１が識別情報１９１を暗号化した上で二次元バーコード４２に変換するものとしたが、本実施の形態はこれに限定されるものではなく、複合機１は識別情報１９１を暗号化することなく二次元バーコード４２に変換して文書に印刷してもよい。すなわち、複合機１は識別情報１９１を符号化した二次元バーコード４２を生成し、文書に印刷可能であればよく、識別情報１９１の暗号化は必須ではない。

以上より、本実施の形態１によれば、署名又は捺印に基づく認証を行うことで、ＩＤ、パスワード等による認証を行う場合と比較してハッキング耐性を向上させ、セキュリティを強固にすることができる。さらに、識別情報１９１に基づく認証を行うことで、例えばプリントアウトされた文書の入手、あるいは文書のスキャンデータＤの入手等によって偽の文書（用紙）が作成される虞を低減することができ、セキュリティをより強固にすることができる。

また、本実施の形態１によれば、文書を印刷するプリンタと、文書の読み取りを許可されたスキャナとを一体の複合機１として構成することで、よりローカライズされた構成となり、外部からのハッキング耐性を向上させてセキュリティを強固にすることができる。

また、本実施の形態１によれば、複合機１の製造番号、又は企業（使用者）毎に割り当てられた企業識別子のように、個々の複合機１に固有の情報を識別情報１９１とすることで、外部からのハッキング耐性をより向上させることができる。

また、本実施の形態１によれば、読取可能期間を併せて認証基準として用いることで、よりセキュリティを向上させることができる。

また、本実施の形態１によれば、識別情報１９１を二次元バーコード４２に変換（符号化）して文書に印刷しておき、スキャンの際に二次元バーコード４２が表す識別情報１９１を復号することで、よりセキュリティを向上させることができる。

また、本実施の形態１によれば、識別情報１９１を暗号化した上で二次元バーコード４２に変換し、文書に印刷しておくことで、セキュリティをより強固にすることができる。

また、本実施の形態１によれば、複数の承認者（署名者）の署名又は捺印を認証することで、稟議書、決済書のような企業実務に対応する運用を行うことができると同時に、セキュリティを向上させることができる。

また、本実施の形態１によれば、ハードディスク等の大容量の記録媒体（補助記憶部１８）を組み込んだファイルサーバとして複合機１を構成し、スキャンした画像のデータを複合機１内部で保存、管理することで、ハッキング耐性を向上させ、セキュリティをより強固なものとすることができる。

また、本実施の形態１によれば、スキャンデータＤを保存する場合に電子透かし情報を合成した上で保存することで、スキャンデータＤが搾取された場合に備えることができる。

また、本実施の形態１によれば、耐タンパ性を有するセキュアエレメント１９において識別情報１９１及び署名捺印データ１９２の管理、及び一連の認証処理を行うことで、外部からのハッキング耐性をより向上させることができる。

（実施の形態２）
本実施の形態では、文書の印刷及び読取を別々の複合機１で行う形態であって、各複合機１の間でＶＰＮ（Virtual Private Network）等の秘匿通信路を確立し、識別情報１９１に関する秘匿通信を行って認証する形態について述べる。なお、実施の形態１と重複する内容については同一の符号を付して説明を省略する。
図６は、実施の形態２の概要を示す説明図である。本実施の形態では、同一企業内の二拠点のオフィスに配置された二台の複合機１が、それぞれ文書の印刷及び読取を行う形態について説明する。以下の説明では便宜上、各複合機１を符号１ａ、１ｂで表す。本実施の形態では、承認者から承認をもらう文書の作成者と、承認者とが別々のオフィスに勤務しているものとする。

実施の形態１と同じく、文書の作成者は承認者に承認してもらいたい内容等を記載した文書を作成する。ここで、作成者が勤務しているオフィスに複合機１ａが設置されているものとする。図６に示すように、複合機１ａは作成者の操作指示に従い、記入欄４１と、二次元バーコード４２とを含む文書を出力する。なお、複合機１ａは、自装置の識別情報１９１を暗号化して記述した二次元バーコード４２を文書上に出力する。

なお、複合機１ａは後述するＶＰＮ通信等により他の複合機１ｂに文書の電子データを送信し、プリントアウトさせてもよい。あるいは、複合機１ａが自ら文書を印刷し、作成者は郵送等の手段で承認者宛に文書を送付してもよい。つまり、複合機１ａは承認者が承認する文書を出力可能であればよく、プリントアウトを行う複合機１は複合機１ａ、１ｂのいずれであってもよい。

承認者は、出力された文書の記入欄４１に署名又は捺印を行う。承認者のオフィスに設置されている複合機１ｂは、当該文書を読み取り、実施の形態１と同様に認証を行う。すなわち、複合機１ｂは承認者の署名又は捺印、識別情報１９１、読取可能期間等を元に判定を行う。

ここで複合機１ｂは、識別情報１９１の認証を行う場合に、秘匿通信路を介して複合機１ａと通信を行い、出力元である複合機１ａの識別情報１９１を取得する。秘匿通信路は、例えばＶＰＮ通信に係る通信路であり、公衆通信網において仮想的に構築された専用回線である。複合機１ａ、１ｂは通信内容を暗号化したＶＰＮ通信（秘匿通信）を行い、情報を送受信する。

例えば複合機１ｂは、文書から読み取った識別情報１９１が自装置の識別情報１９１と異なると判定した場合、複合機１ａとＶＰＮ通信を行い、識別情報１９１の送信を要求する。複合機１ａは、複合機１ｂからの要求に従って自装置の識別情報１９１を返信する。複合機１ｂは、複合機１ａの識別情報１９１が、文書から読み取った識別情報１９１と一致するか否かを判定する。

識別情報１９１が一致すると判定した場合、つまり認証に成功した場合、例えば複合機１ｂは自装置の補助記憶部１８にスキャンデータＤを保存する。複合機１ｂは、ＶＰＮに係る通信路を介して作業者の端末装置から送信要求を受け付けた場合、保存してあるスキャンデータＤを送信する。あるいは複合機１ｂは、認証に成功した場合、ＶＰＮに係る通信路を介して、認証直後にスキャンデータＤを複合機１ａに送信するようにしてもよい。

なお、上記では文書を読み取った複合機１ｂが識別情報１９１の認証を行うものとして説明したが、複合機１ｂは識別情報１９１の認証を行うよう複合機１ａに認証要求を行い、文書の出力元である複合機１ａが認証を行って認証結果を返信するようにしてもよい。すなわち複合機１ｂは、他の複合機１ａとの間で識別情報１９１に関する通信を行い、スキャンした文書に印刷されている識別情報１９１と、他の複合機１ａの識別情報１９１との同一性を判定可能であればよい。

また、上記ではＶＰＮのような秘匿通信路を介して識別情報１９１に関する通信を行うものとしたが、秘匿通信を行う構成は必須ではない。すなわち、複合機１ａ、１ｂは識別情報１９１を送受信して認証を行うことができればよく、通信内容を暗号化せずともよい。

図７は、実施の形態２に係る認証処理の処理手順の一例を示すフローチャートである。図７に基づき、本実施の形態に係る複合機１ｂが実行する文書の認証処理の処理内容について説明する。
複合機１ｂのセキュアエレメント１９は、文書から読み取った識別情報１９１が自装置の識別情報１９１と一致しないと判定した場合（Ｓ３５：ＮＯ）、以下の処理を実行する。セキュアエレメント１９は、他の複合機１ａとの間で秘匿通信路を介して通信を行い、当該他の複合機１ａの識別情報１９１を取得する（ステップＳ２０１）。秘匿通信路は、上述の如くＶＰＮ通信を行う通信路であり、他の複合機１ａとの間の通信を暗号化して処理する仮想的な専用回線である。

セキュアエレメント１９は、他の複合機１ａの識別情報１９１が、文書から読み取った識別情報１９１と一致するか否かを判定する（ステップＳ２０２）。一致しないと判定した場合（Ｓ２０２：ＮＯ）、セキュアエレメント１９は一連の処理を終了する。一致すると判定した場合（Ｓ２０２：ＹＥＳ）、セキュアエレメント１９は処理をステップＳ３６に移行する。

以上より、本実施の形態２によれば、他の複合機１ａから出力された文書の認証も適切に行うことができ、一連の運用をより柔軟に行うことができる。

また、本実施の形態２によれば、ＶＰＮのように通信内容を暗号化した秘匿通信路を介して識別情報１９１の送受信を行う。これにより、識別情報１９１に基づく認証処理をより安全に行うことができる。

（実施の形態３）
実施の形態１では、耐タンパ性を有するセキュアエレメント１９に認証に必要なデータを格納しておき、認証処理を行う形態について説明した。本実施の形態では、複合機１において仮想的に構築されたトラステッド実行環境（ＴＥＥ；Trusted Execution Environment）において認証処理を行う形態について説明する。
図８は、実施の形態３に係る複合機１の構成例を示すブロック図である。本実施の形態に係る複合機１は、ＴｒｕｓｔＺｏｎｅ（登録商標）と称される技術を用いることによって、ソフトウェア（ＯＳ、アプケーションなど）の実行環境を、通常実行環境（ＲＥＥ；Rich Execution Environment）５０と、トラステッド実行環境６０とに分離している。

通常実行環境５０は、広く一般的に利用されている汎用ＯＳ５１の実行環境であり、トラステッド実行環境６０へのアクセスが制限される以外に、特段の機能制約がない実行環境である。汎用ＯＳ５１は、通常実行環境５０においてＯＳの機能を果たすソフトウェアであり、アプリケーション５２からの要求に応じて、複合機１に接続されたハードウェアの制御等を含む各種ＯＳ機能を提供する。制御部１１は、汎用ＯＳ５１上でアプリケーション５２を実行することで、文書の印刷、読取等に関する複合機１の基本的な処理を実行する。

トラステッド実行環境６０は、セキュリティ機能を隔離する目的で、同一のＣＰＵ（制御部１１）上で通常実行環境５０とは別に提供される独立した実行環境である。トラステッド実行環境６０は、通常実行環境５０からのアクセスが制限されており、実行可能な機能も限定されている。なお、トラステッド実行環境６０は上述のＴＥＥに限定されるものではなく、通常実行環境５０と分離され、セキュリティ上より安全な実行環境であれば、どのような実行環境であってもよい。複合機１は、セキュリティ上保護すべきソフトウェア及びデータをトラステッド実行環境６０に配置すると共に、通常実行環境５０及び複合機１の外部からのアクセスを制限することで、安全性を確保する。

上述のように、通常実行環境５０からトラステッド実行環境６０にはアクセスできないように制限されており、通常実行環境５０からはトラステッド実行環境６０の存在を認識できない。通常実行環境５０からトラステッド実行環境６０で実行する処理を呼び出すためには、ソフトウェア上実現されるセキュアモニタ７０を経由しなければならない。

トラステッドＯＳ６１は、トラステッド実行環境６０においてＯＳの機能を果たすソフトウェアであり、アプリケーション６２からの要求に応じて、セキュリティ機能を中心としたＯＳ機能を提供する。制御部１１は、トラステッドＯＳ６１上でアプリケーション６２を実行することで、署名又は捺印の認証、識別情報１９１の認証等を含む、セキュリティ上重要な処理を実行する。

なお、本実施の形態では、複合機１の各種機能をＯＳ、アプリケーションのいずれで実装されるかは本質的事項ではなく、実装者が適宜選択すべき設計事項であることから、ＯＳ、アプリケーションの機能分担については説明を省略する。

図８に示すように、本実施の形態において複合機１の制御部１１は、トラステッド実行環境６０に識別情報１９１、署名捺印データ１９２、及び鍵情報１９３を配置してある。制御部１１は、画像読取部１６が読み取った文書の画像データを、セキュアモニタ７０を介して通常実行環境５０からトラステッド実行環境６０に入力する。制御部１１は、トラステッド実行環境において署名又は捺印の認証、識別情報１９１の認証等を行う。制御部１１は、認証結果をトラステッド実行環境６０から通常実行環境５０に出力し、認証結果に応じて文書のスキャンデータＤを記憶する。

セキュアエレメント１９に代えてトラステッド実行環境６０を実装する以外は実施の形態１と共通するため、本実施の形態では詳細な図示及び説明を省略する。

以上より、本実施の形態３によれば、複合機１に仮想的に構築されるトラステッド実行環境６０において一連の認証処理を行うことにより、実施の形態１と同様の効果を奏する。

（実施の形態４）
図９は、上述した形態の複合機１の動作を示す機能ブロック図である。制御部１１がプログラムＰを実行することにより、複合機１は以下のように動作する。
記憶部９１は、署名者の署名又は捺印を識別するための署名捺印データと、前記署名又は捺印の記入対象である文書を印刷するプリンタ、又は該文書の読み取りを許可されたスキャナの識別情報であって、前記プリンタが前記文書に印刷する識別情報とを記憶する。読取部９２は、前記文書を読み取る。第１判定部９３は、前記署名捺印データに基づき、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定する。第２判定部９４は、前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する。

本実施の形態４は以上の如きであり、その他は実施の形態１から３と同様であるので、対応する部分には同一の符号を付してその詳細な説明を省略する。

今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

１ 複合機（情報処理装置）
１１ 制御部
１２ 主記憶部
１３ 通信部
１４ 表示部
１５ 操作部
１６ 画像読取部
１７ 画像形成部
１８ 補助記憶部
Ｐ プログラム
Ｄ スキャンデータ
１９ セキュアエレメント
１９１ 識別情報
１９２ 署名捺印データ
１９３ 鍵情報
５０ 通常実行環境
６０ トラステッド実行環境
７０ セキュアモニタ

Claims (17)

1. 署名者の署名又は捺印を識別するための署名捺印データと、前記署名又は捺印の記入対象である文書を印刷するプリンタ、又は該文書の読み取りを許可されたスキャナの識別情報であって、前記プリンタが前記文書に印刷する識別情報とを記憶する記憶部と、
   前記文書を読み取る読取部と、
   前記署名捺印データに基づき、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定する第１判定部と、
   前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する第２判定部と
   を備えることを特徴とする情報処理装置。
2. 前記情報処理装置は、前記プリンタ及びスキャナを一体に構成した複合機であり、
   前記識別情報を含む前記文書を印刷する印刷部を備え、
   前記第２判定部は、前記読取部が読み取った前記文書に印刷されている前記識別情報が、前記印刷部が前記文書に印刷した前記識別情報であるか否かを判定する
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記識別情報は、前記複合機に固有の製造番号、又は前記複合機の使用者に割り当てられた識別子である
   ことを特徴とする請求項２に記載の情報処理装置。
4. 他の複合機との間で前記識別情報に関する通信を行う通信部を備え、
   前記第２判定部は、前記文書に含まれる前記識別情報が、前記他の複合機の前記識別情報と一致するか否かを判定する
   ことを特徴とする請求項２又は３に記載の情報処理装置。
5. 前記通信部は、通信内容を暗号化した秘匿通信路を介して、前記他の複合機との間の通信を行う
   ことを特徴とする請求項４に記載の情報処理装置。
6. 前記印刷部は、前記文書の印刷時期を特定可能な附帯情報を前記文書に印刷し、
   前記読取部は、前記文書から前記附帯情報を読み取り、
   読み取った前記附帯情報に基づき、前記文書の読取時点が予め規定された所定の読取可能期間であるか否かを判定する第３判定部を備える
   ことを特徴とする請求項２〜５のいずれか１項に記載の情報処理装置。
7. 前記文書は、前記識別情報を符号化したバーコードが印刷されており、
   前記読取部は、前記バーコードを読み取り、
   読み取った前記バーコードから前記識別情報を復号する復号部を備え、
   前記第２判定部は、復号した前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する
   ことを特徴とする請求項１〜６のいずれか１項に記載の情報処理装置。
8. 前記バーコードは、暗号化された前記識別情報が記述されており、
   前記記憶部は、前記識別情報の復号に必要な鍵情報を記憶しており、
   前記復号部は、前記鍵情報を用いて前記識別情報を復号する
   ことを特徴とする請求項７に記載の情報処理装置。
9. 前記記憶部は、複数の署名者それぞれに対応する前記署名捺印データを記憶し、
   前記第１判定部は、前記複数の署名者それぞれに対応する前記署名捺印データに基づき、前記文書に記入されている複数の前記署名又は捺印それぞれが真正であるか否かを判定する
   ことを特徴とする請求項１〜８のいずれか１項に記載の情報処理装置。
10. 前記第１及び第２判定部の判定結果に応じて、前記文書を読み取ったスキャンデータを記憶する第２記憶部を備える
    ことを特徴とする請求項１〜９のいずれか１項に記載の情報処理装置。
11. 前記文書のスキャンデータに対して電子透かし情報を合成する合成部を備え、
    前記第２記憶部は、前記電子透かし情報を合成した前記スキャンデータを記憶する
    ことを特徴とする請求項１０に記載の情報処理装置。
12. 耐タンパ性を有するセキュアエレメントを備え、
    前記セキュアエレメントは、前記記憶部、第１判定部及び第２判定部を構成する
    ことを特徴とする請求項１〜１１のいずれか１項に記載の情報処理装置。
13. 第１の実行環境と、該第１の実行環境からのアクセスが制限された第２の実行環境とを備え、
    前記第１の実行環境は、前記読取部を構成し、
    前記第２の実行環境は、前記記憶部、第１判定部及び第２判定部を構成する
    ことを特徴とする請求項１〜１２のいずれか１項に記載の情報処理装置。
14. 署名又は捺印が記入された文書であって、該文書を印刷するプリンタ、又は前記文書の読み取りを許可されたスキャナの識別情報が印刷されている前記文書を読取部により読み取り、
    署名者の署名又は捺印を識別するための署名捺印データを記憶する記憶部を参照して、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定し、
    前記識別情報を記憶する前記記憶部を参照して、前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する
    処理をコンピュータに実行させる情報処理方法。
15. 署名又は捺印が記入された文書であって、該文書を印刷するプリンタ、又は前記文書の読み取りを許可されたスキャナの識別情報が印刷されている前記文書を読取部により読み取り、
    署名者の署名又は捺印を識別するための署名捺印データを記憶する記憶部を参照して、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定し、
    前記識別情報を記憶する前記記憶部を参照して、前記文書に印刷されている前記識別情報が、前記記憶部に記憶されている前記識別情報と一致するか否かを判定する
    処理をコンピュータに実行させるプログラム。
16. 読取部を備えた情報処理装置に搭載されるセキュアエレメントであって、
    署名者の署名又は捺印を識別するための署名捺印データと、前記署名又は捺印の記入対象である文書を印刷するプリンタ、又は該文書の読み取りを許可されたスキャナの識別情報であって、前記プリンタが前記文書に印刷する識別情報とを格納する格納部と、
    前記読取部が読み取った前記文書のデータを取得する取得部と、
    前記署名捺印データに基づき、前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定する第１判定部と、
    前記文書に印刷されている前記識別情報が、前記格納部に格納されている前記識別情報と一致するか否かを判定する第２判定部と
    を備えることを特徴とするセキュアエレメント。
17. 第１の実行環境において、署名又は捺印が記入された文書であって、該文書を印刷するプリンタ、又は前記文書の読み取りを許可されたスキャナの識別情報が印刷されている前記文書を読取部により読み取り、
    署名者の署名又は捺印を識別するための署名捺印データと、前記識別情報とを、前記第１の実行環境からのアクセスが制限された第２の実行環境に保持し、
    前記第１の実行環境から前記第２の実行環境に、読み取った前記文書のデータを入力し、
    前記第２の実行環境において、
    前記署名捺印データに基づき、読み取った前記文書に記入されている前記署名又は捺印が真正な前記署名又は捺印であるか否かを判定し、
    前記文書に印刷されている前記識別情報が、保持してある前記識別情報と一致するか否かを判定する
    処理をコンピュータに実行させるプログラム。

Images