JP2022149811A - 画像形成装置、画像形成方法及び画像形成プログラム - Google Patents

Abstract

【課題】許可リスト型のマルウェア対策機能を採用しつつ、プログラムの柔軟な運用を可能とする。【解決手段】画像形成装置は、暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、復号されたデータを使用してデジタル署名を検証する署名検証部と、予め設定されている許可リストに登録されているプログラムと、デジタル署名が検証されたプログラムの実行を許可する実行可否判定部と、画像形成媒体上に画像を形成する画像形成部と、実行が許可されたプログラムの実行によって画像形成部を制御する制御部とを備える。【選択図】図１

Description

本発明は、画像形成装置を制御する画像形成プログラム（ファームウェア）に関し、特に画像形成プログラムのセキュリティと運用の柔軟性を向上させる技術に関する。

近年、オフィスに設置されている複合機その他の画像形成装置に対してもサイバー攻撃が行われるようになり、セキュリティ脅威の１つとしてマルウェア感染がある。マルウェア感染は、画像形成装置にマルウェアを感染させ、画像形成装置内の情報の搾取やオフィスネットワークへの不正侵入の原因となる。このような脅威への対抗策として、画像形成装置にも許可リスト（いわゆるホワイトリスト）型のマルウェア対策機能が搭載されつつある。これに伴い、許可リストの管理負担を軽減する技術も提案されている（特許文献１）。

特開２０１４－９６１４２号公報

しかしながら、許可リスト型のマルウェア対策機能は、悪意のないプログラムの動作を誤って止めてしまうこともある。特に、画像形成装置に対してメインテナンス作業やデバッグ作業といった画像形成装置の使用を制限するような場合において、その作業に必要なプログラムを迅速に使用することが望まれるような場合もある。

本発明は、このような状況に鑑みてなされたものであり、許可リスト型のマルウェア対策機能を採用しつつ、プログラムの柔軟な運用を可能とする技術を提供することを目的とする。

本発明の画像形成装置は、暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証部と、予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定部と、画像形成媒体上に画像を形成する画像形成部と、前記実行が許可されたプログラムの実行によって画像形成部を制御する制御部とを備える。

本発明の画像形成方法は、暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証工程と、予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定工程と、画像形成媒体上に画像を形成する画像形成工程と、前記実行が許可されたプログラムの実行によって画像形成工程を制御する制御工程とを備える。

本発明は、画像形成装置を制御するための画像形成プログラムを提供する。前記画像形成プログラムは、暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証部と、予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定部と、画像形成媒体上に画像を形成する画像形成部と、前記実行が許可されたプログラムの実行によって画像形成部を制御する制御部として前記画像形成装置を機能させる。

本発明によれば、許可リスト型のマルウェア対策機能を採用しつつ、プログラムの柔軟な運用を可能とすることができる。

本発明の一実施形態に係る画像形成装置の全体構成を示す概略構成図である。 一実施形態に係る画像形成装置のファームウェアの管理状態を示す説明図である。 一実施形態に係るメインテナンス用の特殊プログラムの運用状態を示す説明図である。 一実施形態に係るメインテナンス処理の内容を示すフローチャートである。

以下、本発明を実施するための形態（以下、「実施形態」という）を、図面を参照して説明する。

図１は、本発明の一実施形態に係る画像形成装置１００を示す概略構成図である。画像形成装置１００は、制御部１１０と、画像読取部１２０と、記憶部１４０と、通信インターフェース部１５０（通信Ｉ／Ｆとも呼ばれる。）と、ＵＳＢソケット１５１と、画像形成部１６０と、ＦＡＸ通信部１７０とを備えている。画像形成装置１００は、通信インターフェース部１５０と、ルーター６００と、インターネットとを介してサポートサーバ８００に接続可能である。

画像読取部１２０は、原稿から画像を読み取ってデジタルデータである画像データＩＤを生成する。画像形成部１６０は、画像データＩＤやパーソナルコンピュータ（図示略）から受信した印刷ジョブに基づいて画像形成媒体上（図示せず）に画像を形成して排出する。印刷媒体は、画像形成媒体とも呼ばれる。ＦＡＸ通信部１７０は、ＦＡＸの送受信を実行する。ＦＡＸの送信では、２値化処理が実行される。

制御部１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の制御手段を備えている。また、制御部１１０は、各種Ｉ／Ｏ、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、バス、その他ハードウェア等のインターフェースに関連するコントローラー機能を備えている。制御部１１０は、画像形成装置１００の全体を制御する。制御部１１０は、実行可否判定部１１１と、署名検証部１１２とを備えている。実行可否判定部１１１及び署名検証部１１２の機能については後述する。

記憶部１４０は、ハードディスク暗号化機能を有し、非一時的な不揮発性の記録媒体であるハードディスクドライブを含む記憶装置である。記憶部１４０は、複数のファームウェアを格納するファームウェア格納領域１４１と、公開鍵を格納する公開鍵格納領域１４２と、許可リストを格納する許可リスト格納領域１４３とを有している。公開鍵格納領域１４２には、予め秘密鍵Ｓｋｓに対応する公開鍵Ｐｋｓが格納されているものとする（図３参照）。

図２は、一実施形態に係る画像形成装置のファームウェアの管理状態を示す説明図である。図２（ａ）は、画像形成装置１００の各機能で使用されるファームウェアを示している。具体的には、たとえば印刷機能は、ＰＤＬ解析プログラム、色変換プログラム及びハーフトーンプログラムを使用する。送信機能は、画像読取プログラム及びＰＤＦ化プログラムを使用する。メインテナンス機能は、許可リストを使用して各ファームウェアの実行を管理するファームウェア管理プログラム（単に管理プログラムとも呼ばれる。）を使用する。管理プログラムは、記憶部１４０のうち書き換え不能な領域に画像形成装置１００の製造時に格納されている。許可リストは、管理プログラムによってのみ書き換え可能である。

図２（ｂ）は、画像形成装置１００で使用される許可リスト１４３Ｌを示している。許可リスト１４３Ｌは、許可リスト格納領域１４３に格納され、画像形成装置１００での実行が許可されているプログラムのリストである。許可リスト１４３Ｌには、プログラム１乃至４が許可リストとして登録され、画像形成装置１００におけるプログラム１乃至４のみの実行が許可されている。制御部１１０の実行可否判定部１１１は、このように安全性が確認されているプログラムの実行のみを許可し、ウィルスやマルウェアによる攻撃に対処している。この例では、プログラム９は、許可リスト１４３Ｌに登録されていない。

しかしながら、たとえば画像形成装置１００に対するメインテナンス（保守作業）やデバッグなどにおいて、新規に開発された対策プログラムその他の特殊なプログラムの実行が望まれる場合も存在する。許可リストを使用するセキュリティ管理は、このような問題に対して柔軟性に欠けるという問題がある。この例では、プログラム９は、仮に悪意のない対策プログラムであったとしても未知のプログラムとして実行が許可されていない。本願発明者は、このような問題に対して以下の解決方法を提案する。

図３は、一実施形態に係るメインテナンス用の特殊プログラムの運用状態を示す説明図である。この例では、画像形成装置１００において何らかの不具合が発生し、開発拠点ＤＬが対策プログラムを開発した状況が想定されている。この例では、開発拠点ＤＬは、対策プログラムとして特殊プログラムＳＰを開発したものとする。特殊プログラムＳＰは、画像形成装置１００においては未知のプログラムなので実行が許可されていない。

図３（ａ）は、開発拠点ＤＬにおいて特殊プログラムＳＰが準備される様子を示している。開発拠点ＤＬは、特殊プログラムＳＰのデジタル署名Ｓｄを生成する。デジタル署名Ｓｄは、機械語に翻訳されたオブジェクトコードとしての特殊プログラムＳＰのハッシュ値を秘密鍵Ｓｋｓで暗号化したものである。ハッシュ値は、ダイジェストとも呼ばれ、ハッシュ関数を使用することによって算出可能である。秘密鍵Ｓｋｓは、開発拠点ＤＬから漏洩しないように厳重に管理されているものとする。開発拠点ＤＬでは、特殊プログラムＳＰとデジタル署名Ｓｄとが一緒にＵＳＢメモリＭに保存される。ＵＳＢメモリＭは、保守作業を専門とするサービスマンによって使用される。

図４は、一実施形態に係るメインテナンス処理の内容を示すフローチャートである。サービスマンは、特殊プログラムＳＰとデジタル署名Ｓｄとを暗号化されたデータとして格納するＵＳＢメモリＭをもって画像形成装置１００が設定されているオフィスを訪問する。ステップＳ１０では、サービスマンは、画像形成装置１００を操作し、必要なパスワードを入力して画像形成装置１００の作動モードをメインテナンス作動モードとする。

ステップＳ２０では、サービスマンは、ＵＳＢソケット１５１にＵＳＢメモリＭを挿入する。通信インターフェース部１５０は、ＵＳＢメモリＭを検知し、暗号化されたデータを検知する。通信インターフェース部１５０は、暗号化されたデータを検知に応じて、その旨を制御部１１０に通知する。

ステップＳ３０では、制御部１１０の実行可否判定部１１１は、画像形成装置１００が特定作動モード（この例では、メインテナンスモード及びデバッグモード）にあるか否かを判断する。画像形成装置１００が特定作動モードにある場合には、制御部１１０は、処理をステップＳ４０に進める。一方、画像形成装置１００が特定作動モードにない場合には、制御部１１０は、処理をステップＳ１００に進める。ステップＳ１００では、制御部１１０は、警戒処理を実行する。警戒処理では、制御部１１０は、ＵＳＢメモリＭからの暗号化されたデータの読み出しを中止して画像形成装置１００の操作表示部（図示略）にＵＳＢメモリＭのデータが使用できない旨の警告画面（図示略）を表示する。

ステップＳ４０では、制御部１１０の署名検証部１１２は、暗号化されたデータの取得に応じて、復号処理を実行する。復号処理では、署名検証部１１２は、ＵＳＢメモリＭから秘密鍵Ｓｋｓで暗号化された特殊プログラムＳＰとデジタル署名Ｓｄとを読み出し、秘密鍵Ｓｋｓに対応する公開鍵Ｐｋｓを使用して復号する。公開鍵Ｐｋｓは、公開鍵格納領域１４２から読み出されて使用される。

ステップＳ５０では、署名検証部１１２は、署名検知処理を実行する。署名検知処理では、署名検証部１１２は、復号されたデータ内においてデジタル署名を探索する。署名検証部１１２は、デジタル署名が検出できなかった場合には、その旨を画像形成装置１００の操作表示部（図示略）に表示する。署名検証部１１２は、デジタル署名の検出に応じて処理をステップＳ５０に進める。この例では、署名検証部１１２は、ＵＳＢメモリＭ内においてデジタル署名Ｓｄを検出することになる。

ステップＳ６０では、署名検証部１１２は、公開鍵ＰＫｓが真正のものであるか否かを判断する。具体的には、署名検証部１１２は、通信インターフェース部１５０を使用してサポートサーバ８００に対してデジタル証明書を要求する。本実施形態では、サポートサーバ８００は、秘密鍵Ｓｋｓ及び公開鍵Ｐｋｓの真正性を証明するための公開鍵証明書認証局として機能する。署名検証部１１２は、サポートサーバ８００から取得したデジタル証明書に基づいて公開鍵ＰＫｓの真正性を確認する。

公開鍵ＰＫｓが真正であると判断された場合には、制御部１１０は、処理をステップＳ６０に進める。一方、公開鍵ＰＫｓの真正であると判断されなかった場合には、制御部１１０は、処理をステップＳ１００に進める。ステップＳ１００では、制御部１１０は、警戒処理を実行する。警戒処理では、制御部１１０は、ＵＳＢメモリＭからデータの読み出しを中止して画像形成装置１００の操作表示部（図示略）に画像形成装置１００の点検が必要である警告画面を表示する。

ステップＳ７０では、署名検証部１１２は、署名検証としてハッシュ値の一致性を確認する（図３（ｂ）参照）。署名検証部１１２は、第１に、ハッシュ関数を使用して、機械語に翻訳されたオブジェクトコードとしての特殊プログラムＳＰのハッシュ値を算出する。署名検証部１１２は、第２に、公開鍵ＰＫｓで復号されたデジタル署名であるハッシュ値を取得する。

署名検証部１１２は、双方のハッシュ値が一致する場合には、特殊プログラムＳＰの真正性と完全性、すなわち特殊プログラムＳＰが公開鍵ＰＫｓに対応する秘密鍵Ｓｋｓで暗号化され、改ざんされていないことを確認することができる。秘密鍵Ｓｋｓは、開発拠点ＤＬから漏洩しないように厳重に管理されているので、特殊プログラムＳＰが開発拠点ＤＬから提供され、改善されていないものであることを確認することができる。

ステップＳ８０では、制御部１１０の実行可否判定部１１１は、例外処理として許可リスト１４３Ｌに登録されていない特殊プログラムＳＰの画像形成装置１００での実行を許可する。ステップＳ９０では、サービスマンは、特殊プログラムＳＰを使用してメインテナンス操作を実行することができる。

このように、一実施形態に係る画像形成装置１００は、許可リスト型のマルウェア対策機能を採用しつつ、プログラムの柔軟な運用を可能として円滑なメインテナンス業務を実現することができる。本実施形態では、画像形成装置１００が特定作動モードにあるか否かを判断し、特定作動モードにある場合にのみ許可リストに登録されていないプログラムの実行を許可するので、マルウェアによる攻撃がより困難な構成を実現している。

本発明は、上記実施形態だけでなく、以下のような変形例でも実施することができる。

変形例１：上記実施形態では、必要なパスワードを入力して画像形成装置の作動モードをメインテナンス作動モードとし、メインテナンス作動モードでのみ署名検証部１１２は、暗号化されたデータの署名の検証を実行している。しかしながら、本発明の作動は、メインテナンス作動モードに限られず、たとえば管理者モード、すなわち画像形成装置の所定の設定変更を可能とし、所定のパスワードの入力によって作動する特定作動モードで作動するものであればよい。

変形例２：特定作動モードは、比較的にセキュリティレベルが高い側の第１の作動モードと、比較的にセキュリティレベルが低い側の第２の作動モードとを含む複数の作動モードを有してもよい。この場合、暗号化されたデータは、特定作動モードのうち実行を許可すべき作動モードを特定するデータを含むようにしてもよく、実行可否判定部は、特定された作動モードでおいてのみ署名が検証されたプログラムの実行を許可するようにしてもよい。

変形例３：上記実施形態では、画像形成装置は、ＵＳＢメモリを使用して暗号化されたデータを取得しているが、ＵＳＢメモリ経由に限定される、他の記憶媒体やネットワークを経由して取得してもよい。

変形例４：上記実施形態では、サポートサーバ８００が公開鍵証明書認証局として機能しているが、公開鍵証明書認証局の使用は必須ではなく、たとえば公開鍵をＲＯＭ等の書き換え不可能な領域に格納してもよい。さらに、公開鍵は、サポートサーバ８００が発行したデジタル証明書とともに、暗号化されたデータに格納してもよい。画像形成装置は、このデジタル証明書によって真正性が保証された公開鍵を本発明に使用してもよい。

１００ 画像形成装置
１１０ 制御部
１１１ 実行可否判定部
１１２ 署名検証部
１２０ 画像読取部
１４０ 記憶部
１４１ ファームウェア格納領域
１４２ 公開鍵格納領域
１４３ 許可リスト格納領域
１５０ 通信インターフェース部
１６０ 画像形成部
１７０ ＦＡＸ通信部
８００ サポートサーバ

Claims (5)

1. 暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証部と、
   予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定部と、
   画像形成媒体上に画像を形成する画像形成部と、
   前記実行が許可されたプログラムの実行によって画像形成部を制御する制御部と、
   を備える画像形成装置。
2. 請求項１記載の画像形成装置であって、
   前記制御部は、前記画像形成装置の所定の設定変更を可能とし、所定のパスワードの入力によって作動する特定作動モードを有し、
   前記署名検証部は、前記特定作動モードにおいてのみ前記復号を実行する画像形成装置。
3. 請求項２記載の画像形成装置であって、
   前記特定作動モードは、比較的にセキュリティレベルが高い側の第１の作動モードと、比較的にセキュリティレベルが低い側の第２の作動モードとを含む複数の作動モードを有し、
   前記暗号化されたデータは、前記特定作動モードのうち実行を許可すべき作動モードを特定するデータを含み、
   前記実行可否判定部は、前記特定された作動モードでおいてのみ前記デジタル署名が検証されたプログラムの実行を許可する画像形成装置。
4. 暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証工程と、
   予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定工程と、
   画像形成媒体上に画像を形成する画像形成工程と、
   前記実行が許可されたプログラムの実行によって画像形成工程を制御する制御工程と、
   を備える画像形成方法。
5. 画像形成装置を制御するための画像形成プログラムであって、
   暗号化されたデータの取得に応じて予め設定されている公開鍵で復号し、前記復号されたデータを使用して前記復号されたデータに含まれているプログラムの真正性と完全性とを表すデジタル署名を検証する署名検証部と、
   予め設定されている許可リストに登録されているプログラムと、前記デジタル署名が検証されたプログラムの実行を許可する実行可否判定部と、
   画像形成媒体上に画像を形成する画像形成部と、
   前記実行が許可されたプログラムの実行によって画像形成部を制御する制御部として前記画像形成装置を機能させる画像形成プログラム。
   
   

Images