JP2024079912A - 情報処理装置 - Google Patents

Abstract

【課題】情報漏洩の防止を図る。
【解決手段】情報処理装置１は、装置１０、装置２０および周辺装置３０を備える。装置１０と装置２０は、物理的な接続または分離が可能であり、装置１０は持ち運びが可能であるが、装置２０は、持ち運びを不可とする構造を有している。装置１０、２０が物理的に接続した場合に装置１０、２０とで通信が実行される。制御部１ａは、データを暗号鍵で暗号化して暗号データを生成して暗号鍵を装置２０に転送し、暗号データの復号化を行う場合には装置２０から暗号鍵を取得する。記憶部１ｂは、暗号データを保存する。記憶部２ｂは、装置１０側で生成された暗号鍵を保存する。通信インタフェース部２ａは、周辺装置３０と制御部１ａとの通信インタフェースを制御する。
【選択図】図１

Description

本発明は、情報処理装置に関する。

コンピュータ等の情報処理装置では、持ち出し時に紛失や盗難等によって装置内部に保存されている情報が漏洩する危険性がある。情報を暗号化して対策を行った場合でも、紛失・盗難時に解読される可能性があるため、暗号化された情報を安全に運用管理することが重要である。

関連技術としては、例えば、端末の利用者が所定距離を歩行して持ち出したか否かを判定し、所定距離を歩行して持ち出したと判定した場合に、端末に格納されている情報の利用を制限する技術が提案されている。

特開２０１１－０８７１７９号公報

情報処理装置の情報漏洩対策として、保存された情報の暗号化の対策が取られている。また、正当なユーザによる情報処理装置の利用が想定されている場合、暗号データと、その暗号データを復号化するための暗号鍵とが同一の情報処理装置に格納されることがある。

しかし、正当なユーザによって情報処理装置が持ち出された際に紛失・盗難が発生した場合、暗号データと暗号鍵とが同一の情報処理装置に格納されていると、暗号データを復号化する解析が他者によって行われる危険性がある。また、暗号データの解析が他者によって行われなかったとしても、暗号データと暗号鍵とを格納している情報処理装置の紛失・盗難が発生した時点で情報漏洩扱いとなる。
１つの側面では、本発明は、情報漏洩の防止を図った情報処理装置を提供することを目的とする。

上記課題を解決するために、情報処理装置が提供される。情報処理装置は、対向装置に接続される場合に、データを暗号鍵で暗号化して暗号データを生成して暗号鍵を対向装置に転送し、暗号データの復号化を行う場合には対向装置から暗号鍵を取得する制御部と、暗号データを保存する第１の記憶部と、を備えて、持ち運び可能な第１の装置と、第１の装置に対して物理的な接続または分離が可能であり、物理的に接続することで第１の装置との通信が行われる対向装置であって、暗号鍵を保存する第２の記憶部と、周辺装置と制御部との通信インタフェースを制御する通信インタフェース部と、を備えて、持ち運びを不可とする構造を有する第２の装置と、を有する。

１側面によれば、情報漏洩を防止することが可能になる。

情報処理装置の一例を説明するための図である。 情報処理装置の構成の一例を示す図である。 情報処理装置のハードウェアの一例を示す図である。 情報処理装置の実施の形態の一例を示す図である。 情報処理装置の実施の形態の一例を示す図である。 データの暗号化処理の一例を示すフローチャートである。 暗号データの復号化処理の一例を示すフローチャートである。 情報処理装置の実施の形態の一例を示す図である。 秘密分散処理の一例を示すフローチャートである。 秘密分散された暗号データの復号化処理の一例を示すフローチャートである。

以下、本実施の形態について図面を参照して説明する。なお、本明細書および図面において実質的に同一の機能を有する要素については、同一の符号を付することにより重複説明を省略する場合がある。

図１は情報処理装置の一例を説明するための図である。情報処理装置１は、装置１０（第１の装置）、装置２０（第２の装置）および周辺装置３０を備える。装置１０と装置２０は、物理的な接続または分離が可能である。また、装置１０は持ち運びが可能であるが、装置２０は持ち運びを不可とする構造を有している。

装置１０は、制御部１ａおよび記憶部１ｂ（第１の記憶部）を含む。制御部１ａは、装置１０が装置２０に接続されている場合、データを暗号鍵で暗号化して暗号データを生成して暗号鍵を装置２０に転送する。また、制御部１ａは、暗号データの復号化を行う場合には装置２０から暗号鍵を取得する。記憶部１ｂは、暗号データ保存する。なお、制御部１ａの機能は、例えば、情報処理装置１が備える図示しないプロセッサが、所定のプログラムを実行することによって実現することができる。

装置２０は、通信インタフェース部２ａおよび記憶部２ｂ（第２の記憶部）を含み、装置１０に対して物理的に接続した場合に装置１０との通信が実行される。記憶部２ｂは、装置１０側で生成された暗号鍵を保存する。通信インタフェース部２ａは、周辺装置３０と制御部１ａとの通信インタフェースを制御する。周辺装置３０は、情報処理装置１を使用する際の入出力装置であって、例えば、キーボード、マウスおよびディスプレイ等の汎用的な機器を含む。

このように、情報処理装置１では、持ち運び可能な装置１０と、持ち運び不可な装置２０とを物理的に接続、分離できる構造としており、装置１０の記憶部１ｂには暗号データが保存され、装置２０の記憶部２ｂには暗号鍵が保存される。

そして、制御部１ａは、装置１０と装置２０とが物理的に接続することで、装置２０側から暗号鍵を取得して、装置１０に保存されている暗号データを復号化する。これにより、情報処理装置１の使用時には、持ち運び不可な装置２０に対して装置１０を接続することにより暗号データの復号化が可能になるため、装置１０の持ち出し時における情報漏洩を防止することが可能になる。

次に情報処理装置１の構成および動作について以降詳しく説明する。なお、以降では、装置１０をメイン装置１０、装置２０をＩ／Ｏ装置２０と呼ぶ場合がある。
図２は情報処理装置の構成の一例を示す図である。情報処理装置１は、メイン装置１０、Ｉ／Ｏ装置２０を備え、周辺装置３０として、ディスプレイ３１、キーボード３２およびマウス３３を備える。

メイン装置１０は、コンピュータ本体である。Ｉ／Ｏ装置２０は、メイン装置１０と、ディスプレイ３１、キーボード３２およびマウス３３等の周辺装置３０との入出力インタフェースを行う。

メイン装置１０は、Ｉ／Ｏ装置２０に対して接続または分離が可能であり、持ち運びが可能な物理形状を有する。また、Ｉ／Ｏ装置２０は、持ち運びを不可とする構造を有する。図２の例では、Ｉ／Ｏ装置２０は、柱等の固定物５にワイヤで接続されて持ち運びができない状態になっている。

情報処理装置１が使用される場合、メイン装置１０はＩ／Ｏ装置２０に接続することで使用され、メイン装置１０がＩ／Ｏ装置２０に接続した状態でなければ、コンピュータとして使用することはできない。

メイン装置１０とＩ／Ｏ装置２０とが接続した場合、例えば、ソレノイド等を用いた物理的ロックを用いて固定された状態となる。また、持ち運びの際は、メイン装置１０がＩ／Ｏ装置２０から取り外されて、メイン装置１０のみが持ち出される。メイン装置１０は、周辺装置３０が接続されたＩ／Ｏ装置２０と容易に分離でき、軽量な状態で持ち運ぶことができる。

図３は情報処理装置のハードウェアの一例を示す図である。メイン装置１０は、プロセッサ１１、メモリ１２ａ、ストレージ１２ｂおよびＢＩＯＳ（Basic Input Output System）ストレージ１２ｃを含む。情報処理装置１は、プロセッサ１１によって全体が制御されている。プロセッサ１１は制御部１ａの機能を有している。プロセッサ１１には、バスｂｓを介してメモリ１２ａ、ストレージ１２ｂおよびＢＩＯＳストレージ１２ｃが接続されている。プロセッサ１１は、マルチプロセッサであってもよい。

プロセッサ１１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

メモリ１２ａは、情報処理装置１の主記憶装置として使用される。メモリ１２ａには、プロセッサ１１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１２ａには、プロセッサ１１による処理に利用する各種データが格納される。メモリ１２ａとしては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

ストレージ１２ｂは、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。また、ストレージ１２ｂは、記憶部１ｂの機能を有する。ストレージ１２ｂは、情報処理装置１の補助記憶装置として使用される。ストレージ１２ｂには、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ１２ｂとしては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。

ＢＩＯＳストレージ１２ｃは、ＯＳが起動する前に動作して、プロセッサ１１、ストレージ１２ｂおよび周辺装置３０等の管理と制御を行うためのＢＩＯＳファームウェアを格納している。

Ｉ／Ｏ装置２０は、Ｉ／Ｏ部２および暗号鍵格納モジュール２ｍを有する。また、Ｉ／Ｏ部２は、通信インタフェース部２ａの機能を有し、暗号鍵格納モジュール２ｍは、記憶部２ｂの機能を有する。Ｉ／Ｏ部２は、画像インタフェース２１、入力インタフェース２２、光学ドライブ装置２３、機器接続インタフェース２４、ネットワークインタフェース２５を含む。

また、周辺装置３０は、ディスプレイ３１、キーボード３２、マウス３３、光ディスク３４、メモリ装置３５、メモリリーダライタ３６およびメモリカード３７を含む。
画像インタフェース２１は、ディスプレイ３１に対して画像インタフェースを行う。また、画像インタフェース２１は、画像処理を行う演算装置であるＧＰＵ（Graphics Processing Unit）を有しており、グラフィックコントローラとして使用される。画像インタフェース２１は、プロセッサ１１からの命令に従って、画像をディスプレイ３１の画面に表示させる。ディスプレイ３１としては、有機ＥＬ（Electro Luminescence）を用いた表示装置や液晶表示装置などがある。

入力インタフェース２２には、キーボード３２とマウス３３とが接続されている。入力インタフェース２２は、キーボード３２やマウス３３から送られてくる信号をプロセッサ１１に送信する。なお、マウス３３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

光学ドライブ装置２３は、レーザ光などを利用して、光ディスク３４に記録されたデータの読み取り、または光ディスク３４へのデータの書き込みを行う。光ディスク３４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク３４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（Re Writable）などがある。

機器接続インタフェース２４は、情報処理装置１に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース２４には、メモリ装置３５やメモリリーダライタ３６を接続することができる。メモリ装置３５は、機器接続インタフェース２４との通信機能を搭載した記録媒体である。メモリリーダライタ３６は、メモリカード３７へのデータの書き込み、またはメモリカード３７からのデータの読み出しを行う装置である。メモリカード３７は、カード型の記録媒体である。

ネットワークインタフェース２５は、ネットワーク４に接続されている。ネットワークインタフェース２５は、ネットワーク４を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。ネットワークインタフェース２５は、例えばスイッチやルータなどの有線通信装置にケーブルで接続される有線通信インタフェースである。またネットワークインタフェース２５は、基地局やアクセスポイントなどの無線通信装置に電波によって通信接続される無線通信インタフェースであってもよい。

暗号鍵格納モジュール２ｍは、暗号鍵を保存管理するセキュリティチップである。また、暗号鍵格納モジュール２ｍにＴＰＭ（Trusted Platform Module）が使用された場合には、ＯＳ等のソフトウェアが改ざんされていないことを確認する処理機能も含まれる。

情報処理装置１は、以上のようなハードウェアによって、本発明の処理機能を実現することができる。情報処理装置１は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、本発明の処理機能を実現する。情報処理装置１に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。

例えば、情報処理装置１に実行させるプログラムをストレージ１２ｂに格納しておくことができる。プロセッサ１１は、ストレージ１２ｂ内のプログラムの少なくとも一部をメモリ１２ａにロードし、プログラムを実行する。また情報処理装置１に実行させるプログラムを、光ディスク３４、メモリ装置３５、メモリカード３７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１１からの制御により、ストレージ１２ｂにインストールされた後、実行可能となる。またプロセッサ１１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

図４は情報処理装置の実施の形態の一例を示す図である。情報処理装置１－１は、メイン装置１０、Ｉ／Ｏ装置２０－１および周辺装置３０－１を備える。Ｉ／Ｏ装置２０－１は、Ｉ／Ｏ部２として、ＵＳＢ（Universal Serial Bus）－ＨＵＢ２－１、ＨＤＭＩ（High-Definition Multimedia Interface：ＨＤＭＩは登録商標）インタフェース２１ａおよびＬＡＮ（Local Area Network）インタフェース２５ａを含む。また、Ｉ／Ｏ装置２０－１は、ＴＰＭ２ｍ－１を含む。周辺装置３０－１には、ディスプレイ３１、キーボード３２およびマウス３３が含まれる。

メイン装置１０とＩ／Ｏ装置２０－１との接続時、制御部１ａとＵＳＢ－ＨＵＢ２－１は、汎用的なＵＳＢ－Ｃインタフェースを介して接続される。ＴＰＭ２ｍ－１は、専用インタフェースＩＦ１によってメイン装置１０内のバスｂｓに接続される。専用インタフェースＩＦ１は、例えば、Ｉ^２Ｃ（Inter-Integrated Circuit：Ｉ^２Ｃは登録商標）を利用することができる。

キーボード３２およびマウス３３は、ＵＳＢインタフェースを介してＵＳＢ－ＨＵＢ２－１に接続され、ディスプレイ３１は、ＨＤＭＩインタフェース２１ａを介してＵＳＢ－ＨＵＢ２－１に接続される。ＬＡＮ４１は、ＬＡＮインタフェース２５ａを介してＵＳＢ－ＨＵＢ２－１に接続される。

ここで、情報処理装置１－１を通常使用する事務所や自宅などには、ディスプレイ３１、キーボード３２およびマウス３３が接続されたＩ／Ｏ装置２０－１が設置される。Ｉ／Ｏ装置２０－１は、例えば、物理的な鍵などを利用して移動ができない状態にする。

また、Ｉ／Ｏ装置２０－１には、内部の機密情報や動作などを外部から解析や改変されることを防ぐ耐タンパ性を有する暗号鍵格納モジュール２ｍとして、ＴＰＭ２ｍ－１が実装されている。

一方、メイン装置１０は、制御部１ａ、メモリ１２ａ、ストレージ１２ｂおよびＢＩＯＳストレージ１２ｃを含む一体構造になっており、Ｉ／Ｏ装置２０－１に対して分離して持ち運びが可能な物理形状になっている。情報処理装置１－１を起動する際に要するＯＳやＢＩＯＳは、メイン装置１０側に格納される。

情報処理装置１－１を使用する場合、メイン装置１０とＩ／Ｏ装置２０－１とが接続された状態で使用される。メイン装置１０とＩ／Ｏ装置２０－１とが接続された状態でストレージ１２ｂ内の重要度の高い情報が暗号化され、Ｉ／Ｏ装置２０－１に実装されているＴＰＭ２ｍ－１に暗号鍵が格納される。

メイン装置１０は、持ち運びの際に分離することが可能であるが、メイン装置１０のストレージ１２ｂ内のデータの暗号化に用いた暗号鍵は、Ｉ／Ｏ装置２０－１に存在する。このため、メイン装置１０の単体での暗号データの復号化や、Ｉ／Ｏ機能を有する他の装置にメイン装置１０を接続しての暗号データの復号化はできなくなる。

暗号鍵が格納されたＩ／Ｏ装置２０－１は、移動できない状態になっているため、暗号化された情報を利用する場合、利用場所を限定することができる。また、メイン装置１０のみでは暗号データを復号化することができないため、メイン装置１０が万が一盗難・紛失にあった場合でも情報漏洩とはみなされない。

図５は情報処理装置の実施の形態の一例を示す図である。情報処理装置１－２は、メイン装置１０、Ｉ／Ｏ装置２０－２ａ、２０－２ｂおよび周辺装置３０－２ａ、３０－２ｂを備える。

Ｉ／Ｏ装置２０－２ａは、ＵＳＢ－ＨＵＢ２－２ａ、ＨＤＭＩインタフェース２１－２ａ、ＬＡＮインタフェース２５－２ａおよびＴＰＭ２ｍ－２ａを含む。周辺装置３０－２ａには、ディスプレイ３１ａ、キーボード３２ａおよびマウス３３ａが含まれる。

メイン装置１０とＩ／Ｏ装置２０－２ａとの接続時、制御部１ａとＵＳＢ－ＨＵＢ２－２ａは、ＵＳＢ－Ｃインタフェースを介して接続され、ＴＰＭ２ｍ－２ａは、専用インタフェースＩＦ１によってメイン装置１０内のバスｂｓに接続される。

キーボード３２ａおよびマウス３３ａは、ＵＳＢインタフェースを介してＵＳＢ－ＨＵＢ２－２ａに接続され、ディスプレイ３１ａは、ＨＤＭＩインタフェース２１－２ａを介してＵＳＢ－ＨＵＢ２－２ａに接続される。ＬＡＮ４１ａは、ＬＡＮインタフェース２５－２ａを介してＵＳＢ－ＨＵＢ２－２ａに接続される。

一方、Ｉ／Ｏ装置２０－２ｂは、ＵＳＢ－ＨＵＢ２－２ｂ、ＨＤＭＩインタフェース２１－２ｂ、ＬＡＮインタフェース２５－２ｂおよびＴＰＭ２ｍ－２ｂを含む。周辺装置３０－２ｂには、ディスプレイ３１ｂ、キーボード３２ｂおよびマウス３３ｂが含まれる。

メイン装置１０とＩ／Ｏ装置２０－２ｂとの接続時、制御部１ａとＵＳＢ－ＨＵＢ２－２ｂは、ＵＳＢ－Ｃインタフェースを介して接続され、ＴＰＭ２ｍ－２ｂは、専用インタフェースＩＦ１によってメイン装置１０内のバスｂｓに接続される。

キーボード３２ｂおよびマウス３３ｂは、ＵＳＢインタフェースを介してＵＳＢ－ＨＵＢ２－２ｂに接続され、ディスプレイ３１ｂは、ＨＤＭＩインタフェース２１－２ｂを介してＵＳＢ－ＨＵＢ２－２ｂに接続される。ＬＡＮ４１ｂは、ＬＡＮインタフェース２５－２ｂを介してＵＳＢ－ＨＵＢ２－２ｂに接続される。

ここで、メイン装置１０とＩ／Ｏ装置２０－２ａとが接続している場合に、メイン装置１０のストレージ１２ｂ内のデータの暗号化に用いた暗号鍵は、Ｉ／Ｏ装置２０－２ａ内のＴＰＭ２ｍ－２ａに格納される。また、この暗号鍵は複製されて、メイン装置１０とＩ／Ｏ装置２０－２ｂとが接続している場合には、Ｉ／Ｏ装置２０－２ｂ内のＴＰＭ２ｍ－２ｂに対して、複製された暗号鍵が格納される。

これにより、メイン装置１０は、複製された暗号鍵を保存する複数のＩ／Ｏ装置２０－２ａ、２０－２ｂで使用することができる。例えば、事務所にＩ／Ｏ装置２０－２ａを設置し、自宅にＩ／Ｏ装置２０－２ｂを設置することにより、メイン装置１０のみを持ち運びすることで、同じ暗号化された情報を別々の場所で取り扱うことができる。

図６はデータの暗号化処理の一例を示すフローチャートである。
〔ステップＳ１１〕制御部１ａは、メイン装置１０がＩ／Ｏ装置２０に接続されているか否かを判定する。メイン装置１０がＩ／Ｏ装置２０に接続されていることを検出した場合はステップＳ１２の処理に進み、メイン装置１０にＩ／Ｏ装置２０が接続していないことを検出した場合は処理を終了する。

〔ステップＳ１２〕制御部１ａは、暗号化ソフトウェアドライバ（復号化の機能も有している）を駆動する。
〔ステップＳ１３〕制御部１ａは、Ｉ／Ｏ装置２０に暗号鍵格納モジュール２ｍ（図４の例ではＴＰＭ２ｍ－１）が実装されているか否かを判定する。暗号鍵格納モジュール２ｍが実装されていることを検出した場合はステップＳ１５の処理に進み、暗号鍵格納モジュール２ｍの未実装を検出した場合はステップＳ１４の処理に進む。

〔ステップＳ１４〕制御部１ａは、メイン装置１０に接続しているＩ／Ｏ装置２０は暗号化／復号化処理に対して非対応の装置であると認識して、エラーメッセージをディスプレイ３１に表示する。

〔ステップＳ１５〕制御部１ａは、暗号化ソフトウェアドライバを通じてデータを暗号鍵で暗号化する。
〔ステップＳ１６〕制御部１ａは、暗号鍵格納モジュール２ｍの所定記憶領域に暗号鍵を格納する。なお、暗号鍵によって暗号化された暗号データは、メイン装置１０内のストレージ１２ｂに格納される。

図７は暗号データの復号化処理の一例を示すフローチャートである。
〔ステップＳ２１〕制御部１ａは、メイン装置１０がＩ／Ｏ装置２０に接続されているか否かを判定する。メイン装置１０がＩ／Ｏ装置２０に接続されていることを検出した場合はステップＳ２２の処理に進み、メイン装置１０にＩ／Ｏ装置２０が接続していないことを検出した場合は処理を終了する。

〔ステップＳ２２〕制御部１ａは、暗号化ソフトウェアドライバを駆動する。
〔ステップＳ２３〕制御部１ａは、Ｉ／Ｏ装置２０に暗号鍵格納モジュール２ｍ（図４の例ではＴＰＭ２ｍ－１）が実装されているか否かを判定する。暗号鍵格納モジュール２ｍが実装されていることを検出した場合はステップＳ２５の処理に進み、暗号鍵格納モジュール２ｍの未実装を検出した場合はステップＳ２４の処理に進む。

〔ステップＳ２４〕制御部１ａは、メイン装置１０に接続しているＩ／Ｏ装置２０は暗号化／復号化処理に対して非対応の装置であると認識して、エラーメッセージをディスプレイ３１に表示する。

〔ステップＳ２５〕制御部１ａは、暗号鍵格納モジュール２ｍから暗号鍵の読み出しが可能か否かを判定する。暗号鍵を読み出せた場合はステップＳ２７の処理に進み、読み出せない場合はステップＳ２６の処理に進む。

〔ステップＳ２６〕制御部１ａは、メイン装置１０に接続しているＩ／Ｏ装置２０は、メイン装置１０に格納している暗号データを復号するための暗号鍵を保存していない不一致の装置であると認識して、エラーメッセージをディスプレイ３１に表示する。
〔ステップＳ２７〕制御部１ａは、ストレージ１２ｂに保存されている暗号データを、読み出した暗号鍵で復号化する。

図８は情報処理装置の実施の形態の一例を示す図である。情報処理装置１－３は、メイン装置１０、Ｉ／Ｏ装置２０－３および周辺装置３０－１を備える。
Ｉ／Ｏ装置２０－３は、ＵＳＢ－ＨＵＢ２－１、ＨＤＭＩインタフェース２１ａ、ＬＡＮインタフェース２５ａを含み、さらにストレージ２ｍ－３を含む。ストレージ２ｍ－３は、ＵＳＢを介してＵＳＢ－ＨＵＢ２－１に接続される。メイン装置１０とＩ／Ｏ装置２０－３との接続時、制御部１ａとＵＳＢ－ＨＵＢ２－１は、ＵＳＢ－Ｃインタフェースを介して接続される。

ここで、制御部１ａは、秘密分散によってデータを分割してメイン装置１０およびＩ／Ｏ装置２０－３に暗号データを保存する。この場合、制御部１ａは、原ファイル（原データ）ｆ０を暗号化した後に分割して分散ファイルｆ１（第１の暗号データ）および分散ファイルｆ２（第２の暗号データ）を生成する。分散ファイルｆ１、ｆ２のサイズについては例えば、分散ファイルｆ２のサイズは分散ファイルｆ１のサイズよりも小さい。制御部１ａは、分散ファイルｆ１をメイン装置１０のストレージ１２ｂに保存し、他方の分散ファイルｆ２をＩ／Ｏ装置２０－３のストレージ２ｍ－３に保存する。

分散ファイルｆ１、ｆ２をメイン装置１０とＩ／Ｏ装置２０－３とに別々に保存しており、メイン装置１０がＩ／Ｏ装置２０－３に接続して分散ファイルｆ１、ｆ２が揃わない限り原ファイルｆ０に復号することができない。このように、メイン装置１０とＩ／Ｏ装置２０－３で情報の秘密分散を行うことで、メイン装置１０のみで情報の解読を行うことを不可能にして情報漏洩の防止を図る。なお、分散ファイルｆ１、ｆ２を作成したときの暗号鍵は、ストレージ２ｍ－３に保存しておいてもよい。

図９は秘密分散処理の一例を示すフローチャートである。
〔ステップＳ３１〕制御部１ａは、メイン装置１０がＩ／Ｏ装置２０に接続されているか否かを判定する。メイン装置１０がＩ／Ｏ装置２０に接続されていることを検出した場合はステップＳ３２の処理に進み、メイン装置１０にＩ／Ｏ装置２０が接続していないことを検出した場合は処理を終了する。

〔ステップＳ３２〕制御部１ａは、秘密分散ソフトウェアドライバを駆動する。
〔ステップＳ３３〕制御部１ａは、Ｉ／Ｏ装置２０に分散ファイルを格納するストレージ（図８の例ではストレージ２ｍ－３）が実装されているか否かを判定する。ストレージ２ｍ－３が実装されていることを検出した場合はステップＳ３５の処理に進み、ストレージ２ｍ－３の未実装を検出した場合はステップＳ３４の処理に進む。

〔ステップＳ３４〕制御部１ａは、Ｉ／Ｏ装置２０は秘密分散処理の非対応装置であると認識して、エラーメッセージをディスプレイ３１に表示する。
〔ステップＳ３５〕制御部１ａは、秘密分散ソフトウェアドライバを通じて原ファイルｆ０を暗号化して２分割し、分散ファイルｆ１、ｆ２を生成する。
〔ステップＳ３６〕制御部１ａは、分散ファイルｆ２をストレージ２ｍ－３に格納する。なお、分散ファイルｆ１は、メイン装置１０のストレージ１２ｂに格納される。

図１０は秘密分散された暗号データの復号化処理の一例を示すフローチャートである。
〔ステップＳ４１〕制御部１ａは、メイン装置１０がＩ／Ｏ装置２０に接続されているか否かを判定する。メイン装置１０がＩ／Ｏ装置２０に接続されていることを検出した場合はステップＳ４２の処理に進み、メイン装置１０にＩ／Ｏ装置２０が接続していないことを検出した場合は処理を終了する。

〔ステップＳ４２〕制御部１ａは、秘密分散ソフトウェアドライバを駆動する。
〔ステップＳ４３〕制御部１ａは、Ｉ／Ｏ装置２０に分散ファイルを格納するストレージ２ｍ－３が実装されているか否かを判定する。ストレージ２ｍ－３が実装されている場合はステップＳ４５の処理に進み、ストレージ２ｍ－３の未実装を検出した場合はステップＳ４４の処理に進む。

〔ステップＳ４４〕制御部１ａは、メイン装置１０に接続しているＩ／Ｏ装置２０は秘密分散処理に対して非対応の装置であると認識して、エラーメッセージをディスプレイ３１に表示する。

〔ステップＳ４５〕制御部１ａは、ストレージ２ｍ－３から分散ファイルｆ２の読み出しが可能か否かを判定する。分散ファイルｆ２を読み出せた場合はステップＳ４７の処理に進み、読み出せない場合はステップＳ４６の処理に進む。

〔ステップＳ４６〕制御部１ａは、メイン装置１０に接続しているＩ／Ｏ装置２０は、秘密分散にもとづく分散ファイルｆ２を保存していない不一致の装置であると認識して、エラーメッセージをディスプレイ３１に表示する。

〔ステップＳ４７〕制御部１ａは、ストレージ２ｍ－３から読み出した分散ファイルｆ２と、ストレージ１２ｂから読み出した分散ファイルｆ１とを、復号化する。

以上説明したように、本発明によれば、メイン装置のストレージに格納した情報を暗号化し、その暗号鍵をＩ／Ｏ装置に格納する。Ｉ／Ｏ装置は、持ち出し不可の状態になっているため、メイン装置のストレージに格納された情報を持ち出した場合の情報漏洩を防止することができる。

上記で説明した本発明の情報処理装置の処理機能は、コンピュータによって実現することができる。この場合、情報処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶部、光ディスク、光磁気記録媒体、半導体メモリ等がある。磁気記憶部には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープ等がある。光ディスクには、ＣＤ－ＲＯＭ／ＲＷ等がある。光磁気記録媒体には、ＭＯ（Magneto Optical disk）等がある。

プログラムを流通させる場合、例えば、そのプログラムが記録されたＣＤ－ＲＯＭ等の可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶部に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶部に格納する。そして、コンピュータは、自己の記憶部からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。

また、コンピュータは、ネットワークを介して接続されたサーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。また、上記の処理機能の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤ等の電子回路で実現することもできる。

以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

１ 情報処理装置
１０、２０ 装置
１ａ 制御部
１ｂ、２ｂ 記憶部
２ａ 通信インタフェース部
３０ 周辺装置

Claims (7)

1. 対向装置に接続される場合に、データを暗号鍵で暗号化して暗号データを生成して前記暗号鍵を前記対向装置に転送し、前記暗号データの復号化を行う場合には前記対向装置から前記暗号鍵を取得する制御部と、前記暗号データを保存する第１の記憶部と、を備えて、持ち運び可能な第１の装置と、
   前記第１の装置に対して物理的な接続または分離が可能であり、物理的に接続することで前記第１の装置との通信が行われる前記対向装置であって、前記暗号鍵を保存する第２の記憶部と、周辺装置と前記制御部との通信インタフェースを制御する通信インタフェース部と、を備えて、持ち運びを不可とする構造を有する第２の装置と、
   を有する情報処理装置。
2. 前記制御部は、
   前記第１の装置と前記第２の装置との接続状態を判定し、前記第１の装置と前記第２の装置との接続を検出した場合に前記第２の装置に対する前記第２の記憶部の実装状態を判定し、
   前記第２の記憶部の実装を検出した場合に前記データを暗号化して、前記暗号データを前記第１の記憶部に保存し、前記暗号鍵を前記第２の記憶部に保存する、
   請求項１記載の情報処理装置。
3. 前記制御部は、
   前記第１の装置と前記第２の装置との接続状態を判定し、前記第１の装置と前記第２の装置との接続を検出した場合に前記第２の装置に対する前記第２の記憶部の実装状態を判定し、
   前記第２の記憶部の実装を検出した場合に前記第２の記憶部から前記暗号鍵を読み出し可能か否かを判定し、
   前記暗号鍵の読み出しが可能と認識した場合に前記暗号鍵を読み出して、読み出した前記暗号鍵で前記暗号データを復号化する、
   請求項２記載の情報処理装置。
4. 前記制御部は、前記第１の装置に対して接続または分離が可能な前記第２の装置が複数台存在する場合、前記暗号鍵を複製し、複製した前記暗号鍵を複数の前記第２の装置に備えられる前記第２の記憶部のそれぞれに格納する、
   請求項１記載の情報処理装置。
5. 対向装置に接続される場合に、データを暗号化して第１の暗号データおよび第２の暗号データを生成して前記第２の暗号データを前記対向装置に転送する制御部と、前記第１の暗号データを保存する第１の記憶部と、を備えて、持ち運び可能な第１の装置と、
   前記第１の装置に対して物理的な接続または分離が可能であり、物理的に接続することで前記第１の装置との通信が行われる前記対向装置であって、前記第２の暗号データを保存する第２の記憶部と、周辺装置と前記制御部との通信インタフェースを制御する通信インタフェース部と、を備えて、持ち運びを不可とする構造を有する第２の装置と、
   を有する情報処理装置。
6. 前記制御部は、
   前記第１の装置と前記第２の装置との接続状態を判定し、前記第１の装置と前記第２の装置との接続を検出した場合に前記第２の装置に対する前記第２の記憶部の実装状態を判定し、
   前記第２の記憶部の実装を検出した場合に前記データを暗号化して前記第１の暗号データと前記第２の暗号データとに分割する、
   請求項５記載の情報処理装置。
7. 前記制御部は、
   前記第１の装置と前記第２の装置との接続状態を判定し、前記第１の装置と前記第２の装置との接続を検出した場合に前記第２の装置に対する前記第２の記憶部の実装状態を判定し、
   前記第２の記憶部の実装を検出した場合に前記第２の記憶部から前記第２の暗号データを読み出し可能か否かを判定し、
   前記第２の暗号データの読み出しが可能と認識した場合に前記第２の暗号データを読み出して、前記第１の暗号データおよび前記第２の暗号データを復号化する、
   請求項６記載の情報処理装置。

Images