JP3592544B2 - 鍵管理方式及び鍵管理方法及び鍵管理プログラムを記録した記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、例えばサービスプロバイダが多数の利用者にサービスを提供するインターネットサービスの分野において、サービス提供サーバ内の個人情報等の重要な利用者情報を秘匿するための鍵管理の方式、その方法、及びプログラム記録媒体に関するものである。
【０００２】
【従来の技術】
情報の秘匿の主な手段としてアクセス制御と暗号化がある。
アクセス制御は、情報の秘匿で最も一般的に用いられている技術であるが、セキュリティホールの存在や、内部犯行等のサービス提供サーバへの不正侵入により、情報の漏洩が問題視されている。
【０００３】
このような場合に有効とされているのが暗号化である。
インターネット（広域電子計算機網）で一般的に利用されているコンテンツの暗号化は、サーバ側に暗号化されたコンテンツを蓄積しておき、利用者は暗号化されたコンテンツをサーバから利用者端末上にダウンロードする。復号鍵はあらかじめ利用者端末上に持っておくか、利用時にダウンロードする。そして、利用者端末上で復号化を行う方式が一般的である。
【０００４】
この方式は、復号化する主体が一つのみの場合は有効である。しかし、複数の主体が鍵を利用し復号化を行う必要がある場合、上記方式では問題が発生する。
例えば、復号化を行う主体として利用者と管理者、及びサービス提供サーバを扱う場合を考える。ここで、サービス提供サーバ自身が利用者の情報の復号を行うというのは、サービスサーバ自身が自動的に行う定期バッチ処理等を想定するためである。例えば、サービス提供サーバが、利用者ごとに提供したサービスに対する課金などのために月末ごとにその処理を一斉に行う。
【０００５】
このような場合、一般に利用者は、例えば情報サービスの提供を受けるために、予め登録した自己の住所、クレジット番号など自分の情報のみを復号でき、管理者とサービス提供サーバは利用者全員のこれら登録情報を復号できる。しかし、ここで以下の問題が発生する。
１．多数の利用者全員に利用者毎の鍵やそれを管理するツールを配布する必要があり、かつ、利用者に鍵や復号化を意識させてしまう。
２．管理者は利用者全員の鍵を管理する必要があり、サービスが大規模になると管理が繁雑になる可能性がある。
３．サービス提供サーバは利用者全員の鍵を管理する必要があり、不正侵入を考えた場合、利用者全員の鍵を盗まれる危険性がある。
【０００６】
【発明が解決しようとする課題】
この発明は、このような背景のもとになされたものであり、
鍵を安全に集中管理すること、
多数の利用者、及び、管理者に鍵や復号処理を意識させないこと、
サービス提供サーバが定期バッチ処理をする際、鍵を安全に使用すること、
を目的とするものである。
【０００７】
【課題を解決するための手段】
従来の問題点を解決するために、鍵管理サーバを設け、利用者毎の鍵の集中管理を行い、鍵自体を利用者の認証情報、また管理者の認証情報でそれぞれ暗号化して鍵管理サーバに保管する。
これより、従来の方式と比較して、利用者や管理者が鍵管理をする必要がなくなり、また、鍵管理サーバへ不正侵入された場合にも、鍵自体が利用者や管理者の認証情報で暗号化されているため、鍵を使用される危険を回避できる。また、利用者や管理者は、各自の認証情報をサービス提供サーバに渡すだけで個人情報を参照可能であり、鍵や復号化処理を全く意識する必要がなくなる。
【０００８】
ところで、上記方式の環境において、サービス提供サーバ自身が定期バッチ処理を行う際に、情報を参照するために復号化を行う必要が生じる。このため上記方式を用いると、利用者全員の鍵を復号する必要が生じ、定期バッチ処理を行うプロセスが管理者の認証情報を使用する必要がある。このため管理者の認証情報をファイル中に、または定期バッチ処理を行うプロセスがメモリ中に保有することが想定されるが、サービス提供サーバへ不正侵入された場合、この認証情報が盗まれる危険性がある。
【０００９】
よって認証情報を複数に分割し、サービス提供サーバと鍵管理サーバとの各サーバのメモリ上に保有させ、分割した認証情報自身を定期的に更新させる。定期バッチ処理時には、この複数の分割された情報から認証情報を復元し、その認証情報を鍵の復号化に使用する。ここでメモリ中の情報を盗むという作業は非常に時間のかかる作業である。よって、１つの分割した認証情報を盗んだとしても、他の分割した認証情報はすでに更新されてしまうといったように、認証情報を復元するのは極めて困難となる。
【００１０】
【発明の実施の形態】
図１はこの発明を説明する全体の構成図である。鍵管理サーバ１−１、サービス提供サーバ１−２、管理者端末１−３はファイアウォール１−５を介してインターネット１−６と接続され、インターネット１−６には利用者端末１−４が接続されている。
【００１１】
サーバ１−１、１−２、端末１−３、ファイアウォール１−５によりサービスプロバイダのサブネットが構成される。
利用者は利用者端末１−４からインターネット１−６、ファイアウォール１−５を経由して、サービス提供サーバ１−２内の利用者毎の情報の登録、参照、変更を行う。管理者は管理者端末１−３から、サービス提供サーバ１−２内の利用者全員の個人情報の登録、参照、変更、削除を行う。サービス提供サーバ１−２は定期バッチ処理において、サービス提供サーバ１−２自身内の個人情報の参照、変更、例えば集計値の変更などを行う。
【００１２】
利用者Ａは自分の情報のみを登録、参照、変更可能なため、サービス提供サーバ１−２内の利用者Ａの個人情報は利用者Ａ用の鍵で暗号化されている。この利用者の暗号化された個人情報１−７はサーバ１−２内に収容されている。なお鍵の種類についてはここでは説明を簡単にするため「共通鍵」を用いた。
鍵管理サーバ１−１内の鍵は、すべて利用者や管理者の認証情報で暗号化し管理される。つまり利用者Ａの鍵は２個管理され、一方は利用者Ａの認証情報で暗号化された鍵１−８ａと、他方は管理者の認証情報で暗号化された鍵１−８ｂとである。このように鍵自体を認証情報で暗号化して管理することにより鍵管理サーバに不正侵入されても鍵の内容が漏洩することはない。また、このような方式の暗号化をすることにより、利用者は自分の鍵のみ使用することができ、管理者は利用者全員の鍵を使用することができる。また、サービス提供サーバ１−２の定期バッチ処理プロセスに、管理者の認証情報を保有させることにより（１−９）、サービス提供サーバは利用者全員の鍵を鍵管理サーバ１−１から取得、使用することができる。
【００１３】
図２に利用者や管理者が個人情報を復号化し参照する例を示す。手順は図２、図３に示すように以下のとおりである。
(1)利用者（や管理者）は、利用者の情報を参照する時、利用者端末１−４（管理者端末１−３）から認証情報１０をサービス提供サーバ１−２上でメッセージ管理を行うＣＧＩ機能（またはメッセージ管理を行うＣＧＩと同等の機能。以下、ＣＧＩ機能とする）、つまり仲介機能１１に送る。
(2)ＣＧＩ機能が認証情報１０を鍵管理サーバの復号化機能１２に渡す。
(3)復号化機能１２が認証情報１０を用いて、対応する認証情報で暗号化された鍵１３を復号し、復号化された鍵１４をサービス提供サーバ１−２のＣＧＩ機能１１に渡す。
(4)ＣＧＩ機能１１が鍵１４をサービス提供サーバ１−１の復号化機能１５に渡す。
(5)復号化機能１５が鍵１４を用いて、対応する暗号化された利用者の情報１６を復号しその復号化された利用者の情報１７を、ＣＧＩ機能１１に渡す。
(6)ＣＧＩ機能１１が、利用者の情報１７を利用者端末１−４（管理者１−３）に送る。
【００１４】
図４に鍵分割・更新の方式を用いた場合の、鍵分割・更新の手順、及び、サービス提供サーバが定期バッチ処理時に情報を参照する例を示す。手順は図４、図５に示すように以下のとおりである。なお、説明を簡単にするために、ここでは認証情報は２分割とした。
(1)管理者は管理者端末１−３から定期業務開始の命令とともに管理者の認証情報２０をサービス提供サーバ１−２に送る。
(2)サービス提供サーバ１−２には定期業務プロセス（機能）２１が常駐し、このプロセス２１−１により、管理者の認証情報２０は鍵管理サーバ１−１のセッション管理機能２２に渡される。
(3)セッション管理機能２２が管理者の認証情報２０を２つ２０ａ，２０ｂに分割し、一方２０ａはセッション管理機能２２で保有し、他方２０ｂは定期業務機能２１−１へ渡す。
(4)セッション管理機能２２が分割された２つの認証情報２０ａ，２０ｂを定期的に２０ａ−１，２０ｂ−１，２０ａ−２，２０ｂ−２，…と更新する。
(5)定期バッチ処理時には定期業務プロセス２１（２１−３）は分割された認証情報２０ｂ（２０ｂ−２）をセッション管理機能２２へ渡す。このバッチ処理時期は定期業務プロセス２１が自動的に判断する。
(6)セッション管理機能２２で管理者の認証情報２０が復元され、復号化機能２３に渡される。
(7)復号化機能２３は、管理者の認証情報２０を用いて暗号化された鍵２４を復号化し、その復号化された鍵２５をサービス提供サーバ１−２の定期業務機能２１（２１−４）に渡す。
(8)定期業務機能２１（２１−５）は鍵２５を復号化機能２６に渡す。
(9)復号化機能２６は鍵２５を用いて、暗号化された利用者の情報２７を復号化し、その復号化された利用者の情報２８を定期業務機能２１（２１−５）に渡し、定期業務が実施される。例えば月末の集計処理が行われる。
【００１５】
前記分割認証情報２０ａ，２０ｂの更新は、その更新後のもの２０ａ−ｉ、２０ｂ−ｉを組合わせれば、元認証情報２０を復元できるものであり、例えば認証情報２０をビット２分割し、その分割された認証情報２０ａ，２０ｂに対し、定期的、例えば５分ごとにストリーム暗号化して更新を行う。この更新は同期して行う。例えばセッション管理機能２２がその分割認証情報２０ａを更新するとこのことを、定期業務プロセス２１へ通知して分割認証情報２０ｂの更新も行う。このように情報を分割し、更新し、更新後の情報から元情報を得る技術は例えばプロアクティブ シークレットシェアなど他の手法によることもできる。
【００１６】
【発明の効果】
以上に示したように、この発明により、サービスプロバイダがサービス提供サーバ内の利用者毎の情報を暗号化し管理する際に、鍵を安全にかつ簡便に集中管理することができる。それにより利用者や管理者に鍵を配布しなくてよいだけでなく、鍵の存在や、復号化処理をまったく意識させないという利点がある。
【００１７】
また、復号化に必要となる管理者の認証情報の対盗聴性をより高めることができる。
【図面の簡単な説明】
【図１】この発明の全体のシステム構成例を示す図。
【図２】この発明の実装時において、利用者や管理者が暗号化された情報を復号する際の信号の流れを示す図。
【図３】図２の処理手順を示す流れ図。
【図４】この発明の実装時において、鍵分割・更新の例、及び、サービス提供サーバ自身が定期バッチ処理時に、暗号化された情報を復号する際の信号の流れを示す図。
【図５】図４の処理手順を示す流れ図。

Claims (4)

1. 利用者の情報に鍵を用いてサービス提供サーバにアクセスすることを利用者端末と管理者端末に可能とする情報処理システムの鍵管理方式において、
   鍵管理サーバが設けられ、
   上記鍵管理サーバ内に、
   上記サービス提供サーバの複数の利用者のそれぞれの認証情報で暗号化された該利用者のそれぞれの鍵と、
   上記サービス提供サーバの管理者の認証情報で暗号化された上記複数の利用者のそれぞれの鍵とが保管され、
   上記管理者の認証情報が、上記サービス提供サーバと上記鍵管理サーバのそれぞれのメモリ上に複数に分割して配置され、
   かつ、これら分割された認証情報を定期的に同期して更新する手段が設けられていることを特徴とする鍵管理方式。
2. 利用者の情報に鍵を用いてサービス提供サーバにアクセスすることを利用者端末と管理者端末に可能とする情報処理システムの鍵管理方法において、
   鍵管理サーバを設け、
   その鍵管理サーバ内に、上記サービス提供サーバの複数の利用者のそれぞれの認証情報でその利用者の鍵を暗号化して保管し、またサービス提供サーバの管理者の認証情報で、上記複数の利用者の各鍵を暗号化して保管し、
   上記管理者の上記認証情報を、複数に分割し、これらを上記サービス提供サーバと上記鍵管理サーバにそれぞれ分割保管し、
   これら分割された認証情報を定期的に更新し、
   暗号化された利用者の鍵を復号化する際に、各更新された分割認証情報を集めて元認証情報を復元することを特徴とする鍵管理方法。
3. サービス提供サーバから認証情報を受信すると、その認証情報で該当する暗号化鍵を復号化する処理と、
   上記復号化された鍵を上記サービス提供サーバへ送る処理と、
   上記サービス提供サーバから受信した認証情報を２分割し、その一方を保管し、他方を上記サービス提供サーバへ送り、そこに保管させる処理と、
   上記分割された認証情報を定期的に更新すると共にその更新ごとに上記サービス提供サーバへ更新指示を行う処理と、
   上記サービス提供サーバから更新分割認証情報を受信して、その更新分割認証情報と、鍵管理サーバ内の更新分割認証情報とから上記認証情報を復元して上記復号化に用いる処理とを鍵管理サーバのコンピュータに実行させるプログラムを記録した記録媒体。
4. 端末から認証情報を受信すると鍵管理サーバへ送る処理と、
   上記鍵管理サーバから鍵を受信すると、その鍵を用いて該当する暗号化利用者の情報を復号化して、上記端末へ送る処理と、
   上記鍵管理サーバから分割認証情報を受信するとこれを保管する処理と、
   上記鍵管理サーバから更新通知を受信すると上記保管している分割認証情報を更新する処理と、
   定期業務時期になると、上記更新分割認証情報を上記鍵管理サーバへ送る処理と、
   をサービス提供サーバのコンピュータに実行させるプログラムを記録した記録媒体。

Images