JP2024022079A

JP2024022079A - 情報処理装置および情報処理装置の制御方法

Info

Publication number: JP2024022079A
Application number: JP2022125414A
Authority: JP
Inventors: 琢真安川; Takuma Yasukawa
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2022-08-05
Filing date: 2022-08-05
Publication date: 2024-02-16

Abstract

【課題】暗号鍵を複数のパーティションで共通化する構成において、特定のパーティションの暗号データを復号できない状態にし、他のパーティションの暗号データを復号できる状態を維持することが可能となる情報処理装置及びその制御方法を提供する。【解決手段】複数のパーティションでデータを記憶する際や読み出す際に用いる暗号鍵を共通にする構成の情報処理装置において、情報処理装置のＣＰＵは、第１領域に記憶された暗号データをデータ処理できない状態にする指示に基づいて、消去手段によって共通の暗号鍵を消去せずに、管理手段によって、前記第１領域に対応する管理情報レコードを示す第１情報を消去する。【選択図】図５

Description

本発明は、情報処理装置および情報処理装置の制御方法に関する。

近年の情報処理装置は、多くの場合、ＨＤＤ（ハードディスクドライブ）やＳＳＤ（ソリッドステートドライブ）といった大容量の記憶装置を備えている。これらの記憶装置は、例えば、情報処理装置を動作させるファームウェアやアプリケーション、ユーザ毎の個別の設定値、アプリケーションやファームウェアアップデート時のワークといった用途ごとの領域（パーティション）に論理的に分割して利用される。

セキュリティの観点から、パーティションは、用途に応じてデータを読み出せなくする機能が求められる。一般的に、パーティション毎に適切なファイルシステムを介して管理されるため、データを読み出せなくする方法として、パーティションに対するフォーマット処理（Ｌｉｎｕｘ（登録商標）における“ｍｋｆｓ”）がある。

ＨＤＤやＳＳＤは、通常着脱可能であるため、持ち出された場合のリスクに備えて、装置全体またはパーティション毎にデータを暗号化するケースがある。そしてセキュリティの観点からＨＤＤやＳＳＤに記憶した暗号データを無効化するケースがある。無効化する方法として、例えば、特許文献１のようにＨＤＤの暗号化チップを破棄したりすることで暗号データを復号不能にすることでデータを無効化する方法がある。また、暗号鍵が破棄されることによって、暗号データを復号不能にし、データを無効化する方法がある。

特開２００８－２１３４４号公報

複数のパーティションの各々で記憶するデータを暗号化する構成において各々のパーティションに対応して鍵情報を持たせると暗号鍵を保持する容量が必要となる。しかしながら、暗号鍵を記憶するメモリには、その他のプログラムも格納されており、充分な容量を確保することが出来ない場合がある。

そこで暗号鍵を保持するための容量を削減するために、複数のパーティションでデータを記憶する際や読み出す際に用いる暗号鍵を共通にする構成が存在する。

このような構成において、例えば、特定のパーティションのデータを無効化する場合には、データを暗号化するために用いた暗号鍵を破棄してしまうと、暗号鍵を共通化していたパーティションの暗号データを復号できなくなってしまう。

本発明は、暗号鍵を複数のパーティションで共通化する構成において、特定のパーティションの暗号データを復号できない状態にし、他のパーティションの暗号データを復号できる状態を維持することを目的とする。

本発明は、情報処理装置であって、暗号鍵に基づいてデータの暗号化又は復号化のデータ処理を行うデータ処理手段と、記憶領域が複数のパーティション領域に分割され、前記複数のパーティション領域に少なくとも第１領域と第２領域を含む不揮発性の第１記憶手段と、前記第１領域と前記第２領域に記憶されたデータに前記データ処理を行う際に用いる共通の暗号鍵を記憶する第２記憶手段と、前記複数のパーティション領域のうち第１領域と前記共通の暗号鍵を用いることを示す第１情報を関連付けた管理情報を少なくとも管理する管理手段と、前記第２記憶手段に記憶した暗号鍵を消去する消去手段と、を有し、前記第１領域に記憶された暗号データを前記データ処理できない状態にする指示に基づいて、前記消去手段によって前記共通の暗号鍵を消去せずに前記管理手段によって前記第１情報を消去することを特徴とする。

本発明によれば、暗号鍵を複数のパーティションで共通化した際に、特定のパーティションの暗号データを復号できない状態にし、他のパーティションの暗号データを復号できる状態を維持することが可能となる。

情報処理装置の構成を示すブロック図である。ＳＳＤのパーティション構成の一例である。パーティションと暗号鍵の管理情報テーブルの一例である。コントローラソフトの構成図である。データ無効要求時の制御フローチャートである。データ無効方法の選択画面の一例である。パーティションと暗号鍵の管理情報テーブルの一例である。データ無効要求時の制御フローチャートである。データ消去要求時の制御フローチャートである。データ消去方法の選択画面の一例である。

添付図面を参照して本発明の各実施例を詳しく説明する。なお、以下の実施例は特許請求の範囲に係る発明を限定するものではなく、また各実施例で説明されている特徴の組み合わせのすべてが本発明の解決手段に必須のものとは限らない。本実施形態では、情報処理装置の一例として画像形成装置を用いて説明するがこれに限らない。

（実施例１）
＜装置の説明＞
図１は、情報処理装置１００のハードウェア構成図の一例である。

ＣＰＵ２１０を含む制御部２００は、情報処理装置１００全体の動作を制御する。ＣＰＵ２１０は、ＳＳＤ２１８に記憶された制御プログラムを読み出して読取制御や印刷制御、ファームアップデート制御などの各種制御処理を実行する。

また、ＳＳＤ２１８は、ワークエリア、またユーザデータ領域としても用いられる。なおここでは例として、不揮発性の半導体記憶装置であるＳＳＤを挙げたが、例えば、不揮発性の半導体記憶装置であるＥＭＭＣや不揮発性の磁気記憶装置であるＨＤＤであってもよい。

ＲＯＭ２９１は、リードオンリーメモリで、情報処理装置１００のＢＩＯＳ、固定パラメータ等を格納している。また、ＲＯＭ２９１は、後述のＳＳＤ２１８の各パーティションを暗号化するための暗号鍵２９２と、暗号鍵２９２のバックアップ暗号鍵２９３とパーティションと暗号鍵の管理情報テーブル４００も格納している。暗号鍵２９２は、例えば、ファームの暗号化に用いるファーム用暗号鍵、画像データの暗号化に用いる画像データ用暗号鍵、設定データの暗号化に用いる設定データ用暗号鍵、ワーク領域に格納するデータの暗号化に用いるワーク用暗号鍵を含む。

ＲＡＭ２１２は、ＣＰＵ２１０の主メモリ、ワークエリア等の一時記憶領域として用いられる。ＳＲＡＭ２１３は、不揮発メモリであり、情報処理装置１００で必要となる設定値や画像調整値などを記憶しており、電源を再投入してもデータが消えないようになっている。ＳＳＤ２１８は、ファームアップデート用のファイル格納領域を備え、画像データやユーザデータ等も記憶する。

操作部Ｉ／Ｆ２１５は、操作部２２０と制御部２００とを接続する。操作部２２０には、タッチパネル機能を有する液晶表示部やキーボードなどが備えられている。プリンタＩ／Ｆ２１６は、プリンタエンジン２２１と制御部２００とを接続する。プリンタエンジン２２１内に含む図示しないＲＯＭにはプリンタエンジンファーム２３１が格納されている。

プリンタエンジン２２１で印刷すべき画像データはプリンタＩ／Ｆ２１６を介して制御部２００からプリンタエンジン２２１に転送され、プリンタエンジン２２１において記録媒体上に印刷される。スキャナＩ／Ｆ２１７は、スキャナエンジン２２２と制御部２００とを接続する。スキャナエンジン２２２内に含む図示しないＲＯＭにはスキャナエンジンファーム２３２が格納されている。スキャナエンジン２２２は、原稿上の画像を読み取って画像データを生成し、スキャナＩ／Ｆ２１７を介して制御部２００に入力する。

ＮＩＣ（ネットワークＩ／Ｆカード）２１４は、制御部２００（情報処理装置１００）をＬＡＮ１１０に接続する。ＮＩＣ２１４は、ＬＡＮ１１０上の外部装置（例えば、外部サーバ２５０やＰＣ２６０）に画像データや情報を送信したり、逆にアップデートファームや各種情報を受信したりする。外部サーバ２５０はインターネット上に存在するケースもある。ＰＣ２６０上に存在する図示しないＷｅｂブラウザから情報処理装置１００の操作を行うこともある。Ｃｈｉｐｓｅｔ２１１はある一連の関連のある複数の集積回路のことを示す。ＲＴＣ２７０はＲｅａｌＴｉｍｅＣｌｏｃｋ（リアルタイムクロック）であり、計時専用のチップである。

外部電源２４０はＳＳＤ２１８に格納される制御プログラムからの指示により電源の供給を断つが、外部電源２４０が接続されていなくとも、図示しない内蔵電池から電源供給を受けるため、スリープ時も動作することができる。これにより、Ｃｈｉｐｓｅｔ２１１に対して一部の電源供給が行われる状態に置いては、スリープからの復帰が実現できる。

逆に、Ｃｈｉｐｓｅｔ２１１に電源供給がまったく行われないシャットダウン状態の場合には、ＲＴＣ２７０は動作することができない。ＣＰＵ２８１はＥｍｂｅｄｄｅｄＣｏｎｔｒｏｌｌｅｒ２８０のソフトウェアプログラムを実行し、情報処理装置１００の中で一部の制御を行う。ＲＡＭ２８２はランダムアクセスメモリで、ＣＰＵ２８１が情報処理装置１００を制御する際に、プログラムや一時的なデータの格納などに使用される。ＬＥＤ２９０は必要に応じて点灯し、ソフトウェアやハードウェアの異常を外部に伝えるために利用される。

＜パーティション構成＞
図２は情報処理装置１００が有するＳＳＤ２１８内のシステム領域３００のパーティション構成図の一例である。

パーティションとは、ＳＳＤ２１８の記憶領域を用途に応じて分割される単位であり、ファイルシステムによって管理される。それぞれのパーティションは、パーティション番号やパーティションサイズを有し、それぞれ個別に制御可能である。

通常ファーム格納領域３０１は、制御部２００のＣＰＵ２１０が実行する通常のソフトウェアプログラムを格納する。通常のソフトウェアプログラムは、複合機としてユーザのジョブを受け付け実行する。アップデートファーム格納領域３０２は、制御部２００のＣＰＵ２１０が実行するアップデート用のソフトウェアプログラムを格納する。

アップデート用のソフトウェアプログラムは、通常ファーム格納領域３０１のアップデートをおこなう。画像格納領域３０３は、情報処理装置１００が圧縮された画像を展開する等、一時的に使用するデータを格納する。アプリケーションデータ格納領域３０４は、設置後にユーザがインストールして利用可能であるアプリケーションとその設定値を保持する。ユーザデータ格納領域３０５は、ユーザが変更可能な設定値を格納する。アップデートワーク領域３０６は、アップデート不具合発生時のロールバックに備えたバックアップデータを保持する等、通常ファーム格納領域３０１に格納されたソフトウェアプログラムをアップデートする際のワーク領域に用いる。なお、ここでは、６種類のパーティションを例として挙げたがこれに限らない。

＜パーティションと暗号鍵の管理情報＞
図３は情報処理装置１００が有するＳＳＤ２１８内のシステム領域３００の各パーティション領域（以下、パーティション）に記憶するデータのデータ処理に用いる暗号鍵の管理情報テーブルの一例であり、管理情報テーブル４００はＲＯＭ２９１に格納される。管理情報テーブル４００は、複数の管理情報レコードを有する。管理情報レコードは、図２に示したパーティション番号とパーティション番号のパーティションに記憶するデータの暗号化／復号化のデータ処理に用いられる暗号鍵へのリンクを含む。

管理情報テーブル４００は、通常ファーム格納領域３０１とアップデートファーム格納領域３０２をパーティショングループとして構成し、共通のファーム用暗号鍵で暗号化している。さらに、管理情報テーブル４００は、アプリケーションデータ格納領域３０４とユーザデータ格納領域３０５をパーティショングループとして構成し、共通の設定データ用暗号鍵で暗号化している。また、画像格納領域３０３は、画像データ用暗号鍵で暗号化している。アップデートワーク領域３０６は、ワーク用暗号鍵で暗号化している。

管理情報レコード４０１は、通常ファーム格納領域３０１を指し示すパーティション番号１をファーム用暗号鍵で暗号化することを示す。なお、図３において、パーティション番号と暗号鍵の名称を管理情報レコードと表現するが、具体的な管理情報レコードは、パーティション番号に関連付けて暗闘鍵へのアクセスリンクが設定される構成である。

管理情報レコード４０２は、アップデートファーム格納領域３０２を指し示すパーティション番号２を、管理情報レコード４０１同様にファーム用暗号鍵で暗号化することを示す。管理情報レコード４０３は、画像格納領域３０３を指し示すパーティション番号３を画像データ用暗号鍵で暗号化することを示す。

管理情報レコード４０４は、アプリケーションデータ格納領域３０４を指し示すパーティション番号４を設定データ用暗号鍵で暗号化することを示す。管理情報レコード４０５は、ユーザデータ格納領域３０５を指し示すパーティション番号５を、管理情報レコード４０４同様に設定データ用暗号鍵で暗号化することを示す。管理情報レコード４０６は、アップデートワーク領域３０６を指し示すパーティション番号６をワーク用暗号鍵で暗号化することを示す。なお、管理情報テーブル４００は、書き換え可能である。

図４は、情報処理装置１００の制御部２００で実行され、ＭＦＰの制御を行なうコントローラソフトの構成図である。

コントローラソフトはＭＦＰ独自のエンジン制御や画像処理、ジョブ制御を実現するコントローラアプリ部分と、それ以外のオペレーティングシステム（以下ＯＳと略する）３８０から構成されている。ＯＳ３８０は、システム制御のコアとなるカーネルと、各種ハードウェアを制御しコントローラソフトに対して各種基本サービスを提供する。

ＯＳ３８０は、ストレージの暗号化を担う暗号処理部３８２、および各デバイス特有の制御を担うデバイスドライバ３８３から構成される。ストレージドライバ３８４は、ストレージのデータの読み書きを実現するデバイスドライバであり、ＳＳＤ２１８やＲＯＭ２９１に対するコマンドを送出する。暗号処理部３８２は、ストレージドライバ３８４を介して、ＲＯＭ２９１に含まれる暗号鍵２９２及び、暗号鍵２９２のバックアップであるバックアップ暗号鍵２９３を取得する。そして取得した暗号鍵を用いて、ＳＳＤ２１８内のシステム領域３００の各パーティションを復号化する。これにより各パーティションのデータを読み書きできる。

ＢＩＯＳ３７０は、ＯＳ３８０と同様に暗号処理部３７１、ストレージドライバ３７２から構成される。ＯＳ３８０は、ＳＳＤ２１８内の通常ファーム格納領域３０１に通常のソフトウェアプログラムの一部、もしくはアップデートファーム格納領域３０２にアップデート用のソフトウェアプログラムの一部として含まれる。そのため、システム起動時は、最初にＲＯＭ２９１に格納されたＢＩＯＳ３７０が動作し、暗号処理部３７１がストレージドライバ３７２を介して、暗号鍵２９２を取得し、ＳＳＤ２１８内のシステム領域３００の通常ファーム格納領域３０１を復号化する。ＢＩＯＳ３７０から正常に読み出された通常のソフトウェアプログラムは、他のパーティションを復号化する。

ＵＩ制御アプリケーション３５０は、操作部２２０の画面表示や入力受付を行なう。ＵＩ制御アプリケーション３５０は、操作部２２０やリモートユーザインタフェースを介してユーザからのパーティションを指定したデータ無効化要求も受け付ける。コントローラＡＰＩ３６０は、ＭＦＰ全体の制御受付および状態通知を外部と行なうためのＡＰＩ層であり、上位層のアプリケーション層、動作指示を受け付け、下位層のジョブ、デバイス制御モジュールに動作指示を行なう。また、コントローラＡＰＩ３６０は、下位層のジョブ、デバイスから発生する状態変化の通知を行なう。データ無効アプリケーション３５１は、コントローラＡＰＩ３６０を介してＵＩ制御アプリケーション３５０からのデータ無効化要求を受け付ける。

デバイス制御アプリケーション３５２は、各アプリケーションからのデバイス操作要求を受け付け、デバイスドライバ３８３を介して各種ハードウェアを動作させる。例えば、デバイス制御アプリケーション３５２は、ＵＩ制御アプリケーションからの操作部表示要求を受けて、操作部２２０の制御をおこなう。また、コピージョブが発生した際、デバイス制御アプリケーション３５２は、デバイスドライバ３８３を介してスキャナエンジン２２２、プリンタエンジン２２１への動作指示を行う。

図５は、データ無効化要求を受けた際の制御フローチャートである。本フローチャートは、ＣＰＵ２１０が各アプリケーションを実行することによって実現する。

Ｓ５０１においてＵＩ制御アプリケーション３５０は、ユーザからのデータ無効化要求を待つ。ＵＩ制御アプリケーション３５０は、Ｓ５０１においてユーザからあるパーティションに対するデータ無効化要求を受け付けるとデータ無効アプリケーション３５１にデータ無効化要求を通知する。

Ｓ５０２において通知を受け付けたデータ無効アプリケーション３５１は、データ無効化要求のあったパーティションが他のパーティションと暗号鍵が共通であるか否かを判定する。なお、共通とは、同じ暗号鍵が関連付けられていることを示す。また、データ無効化要求は、例えば、ユーザが、機器設定画面からデータの無効化をしたいパーティションを選択し、データ無効化指示を出すことによって出力される。なお、無効化とは、読み出した暗号データを復号できないことをいう。復号できない状況を作ることによって、ユーザは、読み出したデータを有効なデータ（理解できるデータ）として活用できない状況となる。

Ｓ５０２がＹｅｓの場合（暗号鍵が共通している場合）、データ無効アプリケーション３５１は、パーティションをグループとして管理する構成であると判断し、確認結果をＵＩ制御アプリケーション３５０に通知する。

Ｓ５０３において、データ無効アプリケーション３５１の確認結果を受けたＵＩ制御アプリケーション３５０は、無効化方法の選択画面（図６）を表示する。図６の詳細な説明は後述する。次にＳ５０４において、ＵＩ制御アプリケーション３５０は、データ無効化の対象を指定のパーティションのみとするか否かのユーザの選択を確認する。

Ｓ５０４がＹｅｓの場合（指定のパーティションのみ無効化が選択された場合）、Ｓ５０５において、データ無効アプリケーション３５１は、指定のパーティションに対応する管理情報レコードをクリアする。つまり、指定のパーティションと指定のパーティションに対応する暗号鍵の紐づけである管理情報レコードをクリアし、使用していた暗号鍵は消去しない。具体的には、例えば、図３の管理情報レコード４０４をクリアし、設定データ用暗号鍵は削除しない。なお、「クリア」の例は、後述の図７で説明する。

Ｓ５０２の説明に戻る。Ｓ５０２がＮｏ（共通していない）の場合、パーティションをグループとして管理する構成でないと判断し、Ｓ５０７に進む。Ｓ５０７において、データ無効アプリケーション３５１は、指定のパーティションと関係づけられた暗号鍵を削除する。さらに、データ無効アプリケーション３５１は、指定のパーティションに対応する管理情報レコードをクリアする（例えば、図３の管理情報レコード４０５のみをクリアし、且つ、設定データ用暗号鍵を削除する。）。

また、Ｓ５０４がＮＯの場合（関連する領域も無効化）、データ無効アプリケーション３５１は、無効化の対象が指定のパーティションだけでなく関連パーティションも含むと判断し、Ｓ５０６に進む。

Ｓ５０６において、データ無効アプリケーション３５１は、指定のパーティションと関係づけられた暗号鍵（指定のパーティションを含むパーティショングループで使用する暗号鍵）を削除する。さらに、データ無効アプリケーション３５１は、指定のパーティションを含むパーティショングループに対応する管理情報レコードをクリアする（例えば、図３の管理情報レコード４０４，４０５をクリアし、且つ、設定データ用暗号鍵を削除する。）。

なお、ここでは管理情報レコードをクリアする例を示したが、削除してもよい。削除の場合には、管理情報テーブルから、パーティション番号を含めて削除する。ただし、削除の場合には、改めてあるパーティションに暗号鍵を設定した際に、パーティション番号と暗号鍵の両方を管理情報テーブルに追加することになる。

図６は、データ無効化方法の選択画面の一例である。

選択画面６００は、指定した領域に記憶された暗号データを削除するための選択ボタン６０１と、関連する領域に記憶された暗号データも削除するための選択ボタン６０２を含む。前述したＳ５０４において選択ボタン６０１が選択されると、Ｓ５０５に遷移する。Ｓ５０４において選択ボタン６０２が選択されると、Ｓ５０６に遷移する。

次に図６が操作された際の具体的なＣＰＵ２０１の処理について説明する。

ＵＩ制御アプリケーション３５０は、パーティションのデータ無効化を実施可能なユーザメニューを提供する。ＵＩ制御アプリケーション３５０は、例えば、ユーザからアプリケーションデータ格納領域３０４のデータ無効化要求を受けると、データ無効アプリケーション３５１に通知する。データ無効アプリケーション３５１は、無効化要求のあったパーティション番号と関連する暗号鍵が共通しているパーティションを管理情報テーブル４００から割り出す。具体的には、管理情報レコード４０４と管理情報レコード４０５から、設定データ用暗号鍵をアプリケーションデータ格納領域３０４とユーザデータ格納領域３０５で共用していることを確認し、ＵＩ制御アプリケーション３５０に応答する。

ＵＩ制御アプリケーション３５０は、指定されたパーティションであるアプリケーションデータ格納領域３０４と、関連するパーティションとしてユーザデータ格納領域３０５を表示し、選択ボタン６０１と選択ボタン６０２を表示する。

これによりユーザは指定したパーティションと関連するパーティションを確認した上で、適切なデータ無効化方法を選択できる。

図７は、管理情報レコードをクリアした後の管理情報テーブルである。

まず、図７（ａ）は、図５のＳ５０４において指定した領域のみ無効化するための選択ボタン６０１をユーザが選択した場合における、無効化後の暗号鍵の管理情報テーブルの一例である。

管理情報テーブル７００ａにおいては、管理情報レコード７０１、管理情報レコード７０２、７０３、７０６は、それぞれ管理情報レコード４０１、４０２、４０３、４０６と同内容のレコードである。

管理情報レコード７０４ａは、データ無効化の対象とはならず、結果として管理情報レコード４０４と同内容となる。

管理情報レコード７０５は、ユーザデータ格納領域３０５を指し示すパーティション番号５がデータ無効化対象として選択されたため、対応の暗号鍵（リンク）の情報は消去される。これにより、ＯＳ３８０は、ユーザデータ格納領域３０５に記憶された暗号化データにアクセスしても、復号化する暗号鍵を読み出すことが出来ないため、復号化することができなくなる。（暗号データが使用できなくなって無効化される）
なお、本実施例においてクリアとは、パーティション番号を残し、対応の暗号鍵（リンク）の情報を消去することを示す。

まず、図７（ｂ）は、図５のＳ５０６において指定した領域を含むパーティショングループをする選択ボタン６０２をユーザが選択した場合における、無効化後の暗号鍵の管理情報テーブルの一例である。ここでは、図７（ａ）との差分を説明する。

管理情報レコード７０５は、ユーザデータ格納領域３０５を指し示すパーティション番号５がデータ無効化対象として選択されたため、対応の暗号鍵（リンク）はクリアされる。同様に、管理情報レコード７０４ｂは、ユーザデータ格納領域３０５のパーティショングループとしてパーティション番号４もデータ無効化対象として選択されたことになり、対応の暗号鍵（リンク）はクリアされる。

これにより、ＯＳ３８０は、ユーザデータ格納領域３０５、アプリケーションデータ格納領域３０４に記憶された暗号化データにアクセスしても、復号化する暗号鍵を読み出すことが出来ないため、復号化できなくなる。

以上説明したように、本実施例の構成においても暗号鍵を複数のパーティションで共通化する構成において、特定のパーティションの暗号データを復号できない状態にし、他のパーティションの暗号データを復号できる状態を維持することが可能である。

なお本実施例は、ユーザが特定のパーティションに対するデータ無効化を要求する際に、構成に応じたデータ無効化手段を選択可能となる。これによりユーザは指定したパーティションと関連するパーティションを確認した上で、当初の指定パーティションのみデータ無効化するか、グループパーティションも含めてデータ無効化するか、状況に合わせた適切なデータ無効化方法を選択できる。

（実施例２）
実施例１では管理情報レコードをクリアすることで、暗号データを無効化する例を示した。実施例２では、暗号鍵をバックアップしてから元の暗号鍵を破棄し、無効化対象外のパーティションを改めてバックアップした暗号鍵で暗号化することにより暗号データを無効化する例を示す。

図８は、ＣＰＵ２１０による無効化要求時の制御フローチャートである。Ｓ５０１、Ｓ５０２，Ｓ５０７は、図５と同様であるため説明を省略する。

Ｓ５０２がＹｅｓの場合（暗号鍵が共通している場合）、データ無効アプリケーション３５１は、パーティションをグループとして管理する構成であると判断し、Ｓ８０３に遷移する。

Ｓ８０３において、データ無効アプリケーション３５１は、指定のパーティションと関連する暗号鍵２９２を、バックアップ暗号鍵２９３として退避する。

次にＳ８０４において、データ無効アプリケーション３５１は、暗号鍵２９２をＲＯＭ２９１から削除する。これにより、ＯＳ３８０は、アプリケーションデータ格納領域３０４、ユーザデータ格納領域３０５に記憶された暗号化データを復号化できない状態となる。

次にＳ８０５において、データ無効アプリケーション３５１は、管理情報テーブル９００を更新する。具体的には、指定のパーティション、即ち、本例におけるユーザデータ格納領域３０５の管理情報レコードを初期化する。さらに、バックアップ暗号鍵２９３と、指定のパーティション以外のパーティション、即ち、本例におけるアプリケーションデータ格納領域３０４を関連づける。

なお、図８のフローチャートにおいても、管理情報レコードをクリアした後の管理情報テーブルは、図７と同様になる。

以上説明したように、本実施例においては、パーティションと暗号鍵の管理情報レコードを読み出せなくするだけでなく、暗号鍵のバックアップをとることで配置を変えることになり、暗号化データを復元することをさらに困難にできる。尚、バックアップ暗号鍵２９３は、暗号鍵２９２の格納先と同じＲＯＭ２９１である例を示したが、ＢＩＯＳ３７０、ＯＳ３８０が参照可能な他の領域に格納してもよい。

（実施例３）
実施例１および実施例２では、暗号鍵および管理情報レコードをクリアすることで、暗号データを無効化する例を示した。実施例３では、暗号データを削除し、更に管理情報レコードをクリアすることで、暗号データを復号できない状態にする例を示す。

図９は、ＣＰＵ２１０による無効化要求時の制御フローチャートである。Ｓ９０１においてＵＩ制御アプリケーション３５０は、ユーザからのデータ消去要求を待つ。ＵＩ制御アプリケーション３５０は、ユーザからあるパーティションに対するデータ消去要求を受け付けるとデータ無効アプリケーション３５１にデータ消去要求を通知する。Ｓ９０１を終えるとＳ５０２に遷移する。

Ｓ９０２において、データ無効アプリケーション３５１の確認結果を受けたＵＩ制御アプリケーション３５０は、消去方法の選択画面（図１０）を表示する。図１０の詳細な説明は後述する。

Ｓ９０３において、ＹＥＳの場合指定のパーティションのみ無効化が選択された場合）、Ｓ９０４において、指定のパーティションに記憶された暗号データを削除する。例えば、ＣＰＵ２１０は、ＳＳＤ２１８に対して論理消去のみ又は論理消去とＴｒｉｍコマンドによる消去を行う。なお、ここではＳＳＤを例としているが、例えば、ＨＤＤの場合には、通常の消去または上書き消去を行い、ＥＭＭＣの場合にはＳＳＤと同様の消去を行う。データの消去処理が行われるとＳ５０５に遷移する。Ｓ５０５は、図５と同様であるため説明を省略する。

Ｓ５０２の説明に戻る。Ｓ５０２がＮｏ（共通していない）の場合、パーティションをグループとして管理する構成でないと判断し、Ｓ５０７に進む。

また、Ｓ９０３がＮＯの場合（関連する領域も消去）にも、データ無効アプリケーション３５１は、無効化の対象が指定のパーティションだけでなく関連パーティションも含むと判断し、Ｓ５０６に進む。Ｓ５０６とＳ５０７は、図５と同様であるため説明を省略する。

図１０は、データ消去方法の選択画面の一例である。

選択画面１０００は、指定した領域に記憶された暗号データを削除するための選択ボタン１００１と、関連する領域に記憶された暗号データも削除するための選択ボタン１００２を含む。前述したＳ９０３において選択ボタン１００１が選択されると、Ｓ９０４に遷移する。Ｓ９０３において選択ボタン１００２が選択されると、Ｓ９０５に遷移する。

次に図１０が操作された際の具体的なＣＰＵ２０１の処理について説明する。

ＵＩ制御アプリケーション３５０は、パーティションのデータ消去を実施可能なユーザメニューを提供する。ＵＩ制御アプリケーション３５０は、例えば、ユーザからアプリケーションデータ格納領域３０４のデータ消去要求を受けると、データ無効アプリケーション３５１に通知する。データ無効アプリケーション３５１は、消去要求のあったパーティション番号と関連する暗号鍵が共通しているパーティションを管理情報テーブル４００から割り出す。具体的には、管理情報レコード４０４と管理情報レコード４０５から、設定データ用暗号鍵をアプリケーションデータ格納領域３０４とユーザデータ格納領域３０５で共用していることを確認し、ＵＩ制御アプリケーション３５０に応答する。

ＵＩ制御アプリケーション３５０は、指定されたパーティションであるアプリケーションデータ格納領域３０４と、関連するパーティションとしてユーザデータ格納領域３０５を表示し、選択ボタン１００１と選択ボタン１００２を表示する。

これによりユーザは指定したパーティションと関連するパーティションを確認した上で、適切なデータ消去方法を選択できる。

以上説明したように、本実施例の構成においても暗号鍵を複数のパーティションで共通化する構成において、特定のパーティションの暗号データを復号できない状態にし、他のパーティションの暗号データを復号できる状態を維持することが可能である。なお、本実施例の構成では、特定のパーティションの暗号データを消去し、且つ、暗号鍵にアクセスできない状態になる。つまり、特定のパーティションの暗号データを削除することでセキュリティを向上し、仮に削除された暗号データが復旧されても、暗号鍵にアクセス不能であるため復号できない状態となり、セキュリティがより強固となる。

なお、実施例３では、実施例１の変形例を説明したが、実施例２に適用してもよい。

（その他の実施形態）
以上、本発明の様々な例と実施形態を示して説明したが、本発明の趣旨と範囲は、本明細書内の特定の説明に限定されるものではない。

本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１００情報処理装置
２１０ＣＰＵ
２９１ＲＯＭ
２１８ＳＳＤ

Claims

情報処理装置であって、
暗号鍵に基づいてデータの暗号化又は復号化のデータ処理を行うデータ処理手段と、
記憶領域が複数のパーティション領域に分割され、前記複数のパーティション領域に少なくとも第１領域と第２領域を含む不揮発性の第１記憶手段と、
前記第１領域と前記第２領域に記憶されたデータに前記データ処理を行う際に用いる共通の暗号鍵を記憶する第２記憶手段と、
前記複数のパーティション領域のうち第１領域と前記共通の暗号鍵を用いることを示す第１情報を関連付けた管理情報を少なくとも管理する管理手段と、
前記第２記憶手段に記憶した暗号鍵を消去する消去手段と、を有し、
前記第１領域に記憶された暗号データを前記データ処理できない状態にする指示に基づいて、前記消去手段によって前記共通の暗号鍵を消去せずに前記管理手段によって前記第１情報を消去することを特徴とする情報処理装置。
前記管理情報は、前記複数のパーティション領域のうち第２領域と前記共通の暗号鍵を用いることを示す第２情報を関連付けた管理情報を管理し、
前記第１領域に記憶された暗号データのみを前記データ処理できない状態にする指示に基づいて、前記消去手段によって前記共通の暗号鍵を消去せず、前記管理手段によって前記第２情報を消去せず且つ前記第１情報を消去することを特徴とする請求項１に記載の情報処理装置。
前記管理情報は、前記複数のパーティション領域のうち第２領域と前記共通の暗号鍵を用いることを示す第２情報を関連付けた管理情報を管理し、
前記第１領域に記憶された暗号データおよび前記第１領域と同じ暗号鍵を用いることを示す情報に対応する領域の暗号データを前記データ処理できない状態にする指示に基づいて、前記消去手段によって前記共通の暗号鍵を消去し、前記管理手段によって、前記第１情報および前記第２情報を消去することを特徴とする請求項１に記載の情報処理装置。
前記データ処理できない状態にする指示は、前記複数のパーティション領域のうち指定された領域に記憶された暗号データを復号できない状態にする指示であることを特徴とする請求項１に記載の情報処理装置。
前記データ処理できない状態にする指示は、前記複数のパーティション領域のうち指定された領域に記憶された暗号データを削除する指示であることを特徴とする請求項１に記載の情報処理装置。
ユーザの指示を受け付ける操作手段を有し、
前記第１領域に記憶された暗号データを前記データ処理できない状態にする指示に従って、前記複数のパーティション領域に同じ暗号鍵に関連付けられた領域が複数あるか否かを判定する判定手段を有し、
前記操作手段は、
前記同じ暗号鍵に関連付けられた領域が複数ある場合に、前記第１領域に記憶されたデータおよび前記第１領域と同じ暗号鍵を用いることを示す情報に対応する領域のデータを前記データ処理できない状態にする指示と、前記第１領域に記憶されたデータのみを前記データ処理できない状態にする指示と、を選択可能に通知することを特徴とする請求項１に記載の情報処理装置。
前記消去手段は、前記第１領域に記憶されたデータのみを前記データ処理できない状態にする指示に基づいて、前記第１領域に記憶された前記暗号データを削除することを特徴とする請求項２に記載の情報処理装置。
前記消去手段は、前記第１領域に記憶された暗号データおよび前記第１領域と同じ暗号鍵を用いることを示す情報に対応する領域の暗号データを前記データ処理できない状態にする指示に基づいて、前記第１領域に記憶された前記暗号データおよび前記第２領域に記憶された前記暗号データを削除することを特徴とする請求項２に記載の情報処理装置。
前記第１記憶手段は、不揮発性の半導体記憶装置であることを特徴とする請求項１に記載の情報処理装置。
前記第１記憶手段は、不揮発性の磁気記憶装置であることを特徴とする請求項１に記載の情報処理装置。
前記第１領域は、ユーザデータを記憶する領域であり、前記第２領域は、アプリケーションデータを記憶する領域であることを特徴とする請求項１に記載の情報処理装置。
暗号鍵に基づいてデータの暗号化又は復号化のデータ処理を行うデータ処理手段と、記憶領域が複数のパーティション領域に分割され、前記複数のパーティション領域に少なくとも第１領域と第２領域を含む不揮発性の第１記憶手段と、前記第１領域と前記第２領域に記憶されたデータに前記データ処理を行う際に用いる共通の暗号鍵を記憶する第２記憶手段と、前記複数のパーティション領域のうち第１領域と前記共通の暗号鍵を用いることを示す第１情報を関連付けた管理情報を少なくとも管理する管理手段と、暗号鍵を消去する消去手段と、を有する情報処理装置の制御方法であって、
前記第１領域に記憶された暗号データを前記データ処理できない状態にする指示を受け付けるステップと、
前記第１領域に記憶された暗号データを前記データ処理できない状態にする指示に基づいて、前記消去手段によって前記共通の暗号鍵を消去せずに前記管理手段によって前記第１情報を消去するステップと、を有することを特徴とする情報処理装置の制御方法。
請求項１２に記載の制御方法を、コンピュータに実行させるためのプログラム。
請求項１３に記載のプログラムを格納したコンピュータで読み取り可能な記憶媒体。