JP4475506B2

JP4475506B2 - 電子メールシステム

Info

Publication number: JP4475506B2
Application number: JP2004080588A
Authority: JP
Inventors: 千晶亀田; 仁志熊谷
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 2004-03-19
Filing date: 2004-03-19
Publication date: 2010-06-09
Anticipated expiration: 2024-03-19
Also published as: JP2005267379A

Description

本発明は、正規あるいは不正な利用者による電子メールを介した機密情報の漏洩防止を図る電子メールシステムに関する。

従来の電子メールおよび電子メールを介したデータの管理では、受信者がメールを処理したときにその状態（ログインユーザ、マシン情報など）を送信者に送ることで受信者の状態を確認し、送信者が電子メールの処理を促せるようにしている（例えば、下記特許文献１参照）。
また、送信される電子メールの内容を隠蔽し、通信路や間違った受信者のもとでは正しい内容が閲覧できないようにしているものもある（例えば、下記の非特許文献１参照）。
また、電子メールの内容を中継サーバでチェックし、予め登録された送信不可文字列がある場合には電子メールの送信を失敗させているものもある（例えば、下記の非特許文献２、３参照）。
特開平４−２９４６５５号公報情報処理振興事業協会セキュリティセンター、「ＰＫＩ関連技術解説７．２Ｓ／ＭＩＭＥ」、[online]、２００２年３月１８日、ＩＰＡＩＳＥＣ、[平成１４年８月１日検索]、インターネット＜URL: http://www.ipa.go.jp/security/pki/index.html＞株式会社フォーバルクリエーティブ、MIME SWEEPER、[online]、２００２年５月２１日、[平成１４年８月１日検索]、インターネット＜URL:http://www.forvalcreative.com/jpn/pro/mail/main.html＞ＮＥＣソフト株式会社、GUARDIAN WALL、[online]、２００２年、[平成１４年８月１日検索]、インターネット＜URL:http://www.necsoft.com/soft/guardian/wall/＞

しかしながら、特許文献１に記載の技術は、電子メールで送られたデータに対する保護が行われていないため、送信者が意図していない第三者にデータの内容が漏れてしまうという問題がある。
また、非特許文献１の記載の技術では、電子メールの送信者が指定した受信者に対して電子メールの内容を暗号化する方式であり、電子メールの中継中あるいは指定された受信者以外では内容を正しく復号化することができないものの、悪意のある正規ユーザが機密ファイルを漏洩しようとする場合には、何ら支障なく漏洩することができてしまうという問題がある。
また、非特許文献２および非特許文献３で挙げたような電子メールを中継して内容をチェックする方法では、中継する全ての電子メールに対して予め設定した語句による検索で不正と思われる内容の電子メールを全て送信禁止にすることができるものの、中継サーバを使わない電子メール送信や、内容を暗号化したり隠語を使った電子メールに対しては無防備であるという問題がある。
本発明の目的は、正規ユーザおよび非正規ユーザによる不正な情報漏洩を防止することができる電子メールシステムを提供することにある。

上記目的を達成するために、本発明に係る電子メールシステムは、ファイルの実体とそのラベル情報を格納した記憶手段を備え、前記送信者端末における電子メールに添付する機密ファイル取得要求に対し対応するラベル情報を前記記憶手段から取得し、前記送信者端末に返すファイルサーバと、前記ラベル情報が添付された電子メールを送信者端末から受信し、前記ラベル情報内に含まれるアクセス権限情報に基づき送信者および受信者が当該ラベル情報に対応するファイルへのアクセス権限を有するか否かを前記ファイルサーバに問い合わせ、アクセス権限を有する確認応答があった場合にのみ前記ラベル情報を送信先の受信者端末に送信する中継サーバと、前記中継サーバに対し前記ファイルサーバがアクセス権限を有するものとして確認応答したファイルの実体を前記記憶手段から取得して暗号化し、認証サーバの暗号化機密ファイルに格納するファイルサーバのアクセス制御手段と、前記ラベル情報を受信した受信者端末からのファイル要求に対し、受信者の認証を行ない、正当な受信者であった場合には前記アクセス制御手段で暗号化した前記ラベル情報に対応するファイル実体をファイル要求応答として受信者端末に送信する認証サーバと、受信者端末で受信した前記暗号化されたファイル実体を前記ファイル要求応答に含まれる復号鍵によって復号し、閲覧可能にする受信者端末の機密ファイル閲覧手段とを備えることを特徴とする。
また、前記認証サーバは、受信者端末からのファイル要求に含まれる閲覧プログラムが正規のものであることを示す署名に基づき閲覧プログラムの正当性を判定し、正当な閲覧プログラムであった場合のみ前記暗号化したファイル実体の送信を許可する手段をさらに備えることを特徴とする。
また、ファイルの実体とそのラベル情報を格納した記憶手段を備え、前記送信者端末における電子メールに添付する機密ファイル取得要求に対し対応するラベル情報を前記記憶手段から取得し、前記送信者端末に返すファイルサーバと、前記ラベル情報が添付された電子メールを送信者端末から受信し、前記ラベル情報内に含まれるアクセス権限情報に基づき送信者および受信者が当該ラベル情報に対応するファイルへのアクセス権限を有するか否かを前記ファイルサーバに問い合わせ、アクセス権限を有する確認応答があった場合にのみ前記ラベル情報を送信先の受信者端末に送信する中継サーバと、前記中継サーバに対し前記ファイルサーバがアクセス権限を有するものとして確認応答したファイルの実体を前記記憶手段から取得して暗号化し、認証サーバの暗号化機密ファイルに格納する前記ファイルサーバのアクセス制御手段と、前記ラベル情報を受信した受信者端末からのファイル要求に対し、該要求に含まれている認証トークンまたはパスワードにより受信者の認証を行ない、受信者端末から受信した前記認証トークンまたはパスワードが予め配布したものと一致していた場合は前記アクセス制御手段で暗号化したファイル実体をファイル要求応答として受信者端末に送信する認証サーバと、受信者端末で受信した前記暗号化されたファイル実体を前記ファイル要求応答に含まれる復号鍵によって復号し、閲覧可能にする受信者端末の機密ファイル閲覧手段とを備えることを特徴とする。
また、前記認証サーバは、受信者端末からのファイル要求に含まれる閲覧プログラムが正規のものであることを示す署名に基づき閲覧プログラムの正当性を判定し、正当な閲覧プログラムであった場合のみ前記暗号化したファイル実体の送信を許可する手段をさらに備えることを特徴とする。

本発明によれば、正規ユーザおよび非正規ユーザによる不正な情報漏洩を防止することができる電

以下、添付図面を参照して、本発明の好適な実施の形態を詳細に説明する。
図１は、本発明の一実施の形態を示すブロック図である。
図において１、５、６、８、１２は一般的なコンピュータを示し、機密ファイルを格納しているコンピュータをファイルサーバ１、電子メール送信者が利用するコンピュータを送信者コンピュータ５（送信者端末）、電子メールを中継するコンピュータを中継サーバ６、機密ファイルダウンロード要求に従って受信者認証を行ない、機密ファイルを返すコンピュータを認証サーバ８、受信者が利用するコンピュータを受信者コンピュータ１２（受信者端末）と呼ぶ。１４は認証時に必要となる認証トークン情報を格納したメモリカードやＩＣカードなどの記憶装置である。

ファイルサーバ１には、機密ファイルに付帯するラベル情報などを格納するためのデータベース３と、機密ファイル取得要求に対して対応するラベル情報を返すラベル情報管理部２と、中継サーバ６から渡されたラベル情報の認証制御を行うとともに該当する機密ファイルを暗号化して認証サーバ８に格納するためのアクセス制御部４が存在する。
中継サーバ６には、電子メールに添付されたラベル情報を解析してアクセス制御部４に要求を出す中継制御部７が存在する。
認証サーバ８には、受信者コンピュータ１２からの機密ファイルダウンロード要求を解析し、アクセスの可否を行う認証制御部１０と、アクセス制御部４から転送された暗号化機密ファイル９が存在する。

受信者コンピュータ１２には、ラベル情報をもとに認証サーバ８から暗号化機密ファイル９をダウンロードして閲覧するための機密ファイル閲覧部１３が存在する。
送信者コンピュータ５で機密ファイルを電子メールで送信する場合、まず電子メールソフトウェアがファイルサーバ１から機密ファイルを添付しようとする。このとき、ラベル情報管理部２は機密ファイルへのアクセスを受け取り、データベース３のファイル管理テーブル８０から該当する機密ファイルのラベル情報を結果ファイルとして送信者コンピュータ５の電子メールソフトウェアに返信する。
送信者コンピュータ５の電子メールソフトウェアは、中継サーバ６にラベル情報を添付した電子メールを送信する。すなわち、機密ファイルを添付するのでなく、そのラベル情報を添付した電子メールを中継サーバ６に送信する。
機密ファイルのラベル情報は、例えば図２の２０に示すように、ラベル識別子、ファイルサーバＩＤ、ファイルＩＤ，認証サーバアドレス、認証サーバポート、暗号化アクセス権限情報、ファイル鍵暗号用鍵、チェックサムなどで構成されている。
このうち、暗号化アクセス権限情報は、図３の３０に示すように、機密ファイルの送信を許可された送信者の属性を示す送信許可属性リストと、機密ファイルの閲覧を許可された受信者の属性を示す閲覧許可属性リストとから構成されている。
ここで、認証サーバアドレスおよび認証サーバポートは、受信者コンピュータ１２の機密ファイル閲覧部１３に予め組み込んでおけば不要である。
なお、送信者コンピュータ５から複数の機密ファイルを添付して送信する場合には、それぞれの機密ファイルのラベル情報が添付される。

中継サーバ６は電子メールを受け取ると、添付されたラベル情報２０のファイルサーバＩＤに基づき該当するファイルサーバ１のアクセス制御部４に対してアクセス制御確認要求を行う。
アクセス権限確認要求は、図４の４０に示すように、送信者アドレス、受信者アドレスリスト、ラベル情報数、ラベルリスト等で構成されている。
ラベルリストは、送信者コンピュータ５がｎ個の機密ファイルを添付して送信しようとしていた場合には図２のラベル情報２０がｎ個連なったものである。

アクセス制御部４は、アクセス制御確認要求４０を受け取ると電子メールの送信元と送信先に関連付けられた属性情報をそれぞれデータベース３のユーザ管理テーブル９０（図９）から取得し、ラベル情報２０に格納されたアクセス権限情報３０と付き合わせ、送信者がアクセス権限情報３０の送信許可属性リストの属性を持っており、かつ、受信者がアクセス権限情報３０の閲覧許可属性リストの属性を持っているときに限り許可とする。すなわち、送信者と受信者の両方が機密ファイルへのアクセスを許可されているかを確認する。送信者と受信者の両方が許可されている場合のみ許可とする。許可した場合、送信対象の機密ファイルに暗号化処理を施した後、認証サーバ８に暗号化機密ファイル９として送信して格納させ、中継制御部７には許可のアクセス制御確認応答を返す。
アクセス権限確認応答は、図５の５０に示すように、結果数、アクセス制御結果の情報から構成されている。
ここで結果数とは、添付されているラベル情報のうち、アクセス権限が正しいと判断されたものの数を示す。例えば、５つのラベル情報のうち、アクセス権限が正しいものが２つあれば、結果数は２となる。また、アクセス制御結果は、１回のアクセス制御確認要求に対する適否をＴＲＵＥまたはＦＡＬＳＥで示す。図４のアクセス制御確認要求で複数のラベル情報が添付された場合は、それらに対して一括してアクセス権限の確認を行ない、アクセス権限が全て正しければアクセス制御結果はＴＲＵＥ、不正なものが１つでもあればアクセス制御結果はＦＡＬＳＥとなる。例えば、ラベル情報１、結果数１の場合はＴＲＵＥ、ラベル情報５、結果数２の場合はＦＡＬＳＥとなる。

中継サーバ６の中継制御部７は、アクセス制御部４からのアクセス制御確認応答に従い電子メールの中継可否を決定する。すなわち、アクセス制御確認応答のアクセス制御結果がＹＥＳであれば、電子メールの中継を可とし、ＮＯであれば中継を不可とする。電子メールの中継を可とした場合、送信者コンピュータ５から受信したラベル情報２０付きの電子メールを受信者コンピュータ１２に送信する。
受信者コンピュータ１２では、受信したメールに添付されたラベル情報２０に関連付けられた機密ファイルを閲覧するために機密ファイル閲覧部１３を起動する。
機密ファイル閲覧部１３を構成する閲覧プログラムは、予め受信者コンピュータ１２に配布しておくか、電子メールの添付ファイルとして受信者コンピュータ１２に送信しておく。

起動された機密ファイル閲覧部１３は、ユーザにパスワードの入力を要求し、認証トークンの格納装置１４に格納されている認証トークン情報１００（図１０）の読み込みを行ない、ラベル情報２０の読み込みを行う。認証トークン１４は事前に作成し、受信者に予め配布しておく。
機密ファイル閲覧部１３がラベル情報２０を読み込むと、ラベル情報２０の認証サーバアドレスの認証サーバ８の認証サーバポートに接続して機密ファイルダウンロード要求を送信する。
機密ファイルダウンロード要求は、図６の６０に示すように、認証トークンＩＤ，受信者のパスワード、閲覧コンピュータ名、閲覧コンピュータＭＡＣアドレス、閲覧時ログインユーザ名、閲覧ＯＳ名、閲覧時刻、ファイルサーバＩＤ、ファイルＩＤ、閲覧プログラム署名で構成されている。
閲覧プログラム署名とは、機密ファイル閲覧部１３を構成する閲覧プログラムが正規のものであることを示す電子署名である。

認証サーバ８では、機密ファイル閲覧部１３が送信した機密ファイルダウンロード要求６０を受信し、機密ファイルダウンロード要求６０から認証トークンＩＤとパスワードを取り出し、データベース１１の認証トークン管理テーブル１１０（図１１）の登録内容と比較する。認証が成功すると、認証サーバ８は、暗号化機密ファイル９を機密ファイル閲覧部１３に機密ファイルダウンロード応答として返す。
機密ファイルダウンロード応答は、図７の７０に示すように、受信者の認証制御結果、エラーコード、暗号化したファイル鍵、機密ファイル長、暗号化機密ファイルから構成される。
暗号化したファイル鍵は、暗号化機密ファイル９を復号するための鍵である。
受信者コンピュータ１２の機密ファイル閲覧部１３では、暗号化機密ファイル９を復号鍵で復号し、内容を表示する。機密ファイル閲覧部１３で処理上一時ファイルの作成が必要な場合は暗号化処理を行うことで内容の漏洩を防止する。
また、機密ファイル閲覧部１３では、表示された機密ファイルの内容の全部または一部は別ファイルへの保存や印刷ができないよう、ファイルへの保存機能や印刷機能などの提供を行わない。

図８は、ファイルサーバ１のデータベース３に登録されているファイル管理テーブル８０の例を示すものであり、機密ファイルのファイルＩＤ、ラベル情報、機密ファイル名が登録されている。
図９は、認証サーバ８のデータベース１１に登録されているユーザ管理テーブル９０の例を示すものであり、機密ファイルの閲覧を許可された受信者のメールアドレスとその属性が登録されている。
図１０は、受信者に予め配布された認証トークン１４の例を示すものであり、受信者のメールアドレス、認証トークンＩＤで構成されている。
図１１は、認証サーバ８のデータベース１１に登録された認証トークン管理テーブル１１０の登録情報の例を示すものであり、受信者のメールアドレス、認証トークンＩＤ、パスワード（ハッシュ値）が受信者毎に登録されている。

図１２は、中継サーバ６の中継制御部７の処理の流れを示すフローチャートである。
図１２において、中継サーバ６は、送信者コンピュータ５から電子メールを受信した場合、ラベル情報２０が添付されているか否かをチェックする（ステップ１２０１，１２０２）。ラベル情報２０が添付されていなければ、即ちファイルが添付されていないか、機密ファイル以外のファイルのみが添付されている場合には、ノーチェックでメールを送信する（ステップ１２０８）。
しかし、ラベル情報２０が添付されていた場合、アクセス制御確認要求４０（図４参照）をファイルサーバ１のアクセス制御部４に送信する（ステップ１２０３）。
これに対し、アクセス制御部４からアクセス制御確認応答５０を受信したならば（ステップ１２０４）、確認結果がＴＲＵＥか否かによって該電子メールを中継するか否かを判断し（ステップ１２０５）、ＴＲＵＥであれば当該電子メールを送信先宛に送信する（ステップ１２０６）。しかし、ＴＲＵＥでなければ、当該電子メールの送信を失敗させる（ステップ１２０７）。

図１３はファイルサーバ１のアクセス制御部４の処理の流れを示すフローチャートである。
アクセス制御部４では、まず中継サーバ６からアクセス制御確認要求４０を受信すると、ステップ１３０２〜１３１４の処理をラベルリストに格納されているラベル情報数分繰返す。
すなわち、ラベルリスト中のラベル情報２０のファイルＩＤからデータベース３のファイル管理テーブル８０（図８参照）を検索し（ステップ１３０３）、該当する機密ファイルのエントリがあるかどうかを調べ（ステップ１３０４）、該当する機密ファイルのエントリが存在しない場合には失敗通知を中継サーバ６に返す（ステップ１３１６）。
該当する機密ファイル名が取得できた場合には、アクセス制御確認要求４０に格納された送信者アドレスと受信者アドレスをデータベース３のユーザ管理テーブル９０（図９参照）から検索し、それぞれの属性情報を取得する（ステップ１３０５，１３０６）。
次に、ラベルリストに格納されているラベル情報２０の暗号化アクセス権限情報を、図７のファイル鍵（ファイルサーバの中では暗号化されていない）を復号鍵として復号し（ステップ１３０７）、格納されている属性が、データベース３から取得した送信者、受信者に含まれている場合にだけ機密ファイルを正当に送受信可能である送受信者であるものとして送受信を許可する（ステップ１３０８、１３０９）。送受信者の属性が一致していない場合には、機密ファイルに対して正当な送受信権限が与えられていない者として失敗通知を返す（ステップ１３１６）。
許可した場合には機密ファイルの暗号化のために一時的な鍵を生成し（ステップ１３１０）、機密ファイルを暗号化する（ステップ１３１０）。
暗号化に使用した鍵はラベル情報２０のファイル鍵暗号用鍵で暗号化して（ステップ１３１２）、暗号化機密ファイルとともに認証サーバ８に転送して登録する（ステップ１３１３）。
複数のラベル情報２０がアクセス制御確認要求４０に含まれている場合は、前記処理をラベル数分繰り返し、全て成功した場合に成功通知（ＴＲＵＥ）をアクセス制御確認応答５０として中継サーバ６に返す（ステップ１３１５）。
なお、本実施例では全て成功した場合のみ成功通知（ＴＲＵＥ）を行うようにしているが、上記のラベル情報５、結果数２の例のように、一部のラベル情報のアクセス権限のみ正しいと判断された場合には、当該ラベル情報のみを送付の対象として、成功通知（ＴＲＵＥ）またはファイルが一部欠如していることを知らせるための警告通知（ＷＡＲＮＩＮＧ）をアクセス制御確認応答５０に返すような処理内容にしてもよい。

図１４は、認証サーバ８の認証制御部１０の処理の流れを示すフローチャートである。
認証サーバ８の認証制御部１０では、受信者コンピュータ１２から機密ファイルダウンロード要求６０（図６参照）を受信した場合（ステップ１４０１）、該要求６０に含まれている閲覧プログラム署名に基づき機密ファイル閲覧部１３の閲覧プログラムが正規のものであるかを確認し（ステップ１４０２，１４０３）、正規のものであれば、受信者が入力した認証トークンＩＤとパスワードがデータベース１１のユーザ管理テーブル９０（図９参照）に登録された正規の受信者であるかを確認する（ステップ１４０４、１４０５）。
正規の受信者でなければ、受信者コンピュータ１２に失敗通知を返す（ステップ１４０９）。
正規の受信者であった場合、機密ファイルダウンロード要求６０に含まれているファイルＩＤをもとに認証サーバ８内に格納されている暗号化機密ファイル９を検索する（ステップ１４０６）。
該当するファイルＩＤの暗号化機密ファイル９が存在する場合には、暗号化機密ファイル９を機密ファイルダウンロード応答７０に設定して返す（ステップ１４０７，１４０８）。該当する暗号化機密ファイル９が存在しない場合には機密ファイルダウンロード要求に失敗のエラーコードを設定して返す（ステップ１４０７，１４０９）。このとき、処理の成功、失敗に関わらず機密ファイルダウンロード要求６０に含まれている閲覧コンピュータ名、閲覧コンピュータＭＡＣアドレス、閲覧時ログインユーザ名、閲覧ＯＳ名、閲覧時刻をログ情報として記録する。
このログ情報は不正アクセスなどのアクセス状況を追跡する場合に使用する。

図１５は受信者コンピュータ１２での機密ファイル閲覧部１３の処理の流れを示すフローチャートである。
受信者コンピュータ１２では機密ファイル閲覧部１３を用いた機密ファイルの閲覧処理を行う。図１５のフローチャートのように、閲覧プログラムを起動する（ステップ１５０１）と、受信者にパスワードの入力を要求し（ステップ１５０２）、さらに認証トークン情報１００を読み込み（ステップ１５０３）、また機密ファイルのラベル情報２０を読み込み（ステップ１５０４）、閲覧しようとしている環境情報（閲覧コンピュータ名、閲覧コンピュータＭＡＣアドレス、閲覧時ログインユーザ名、閲覧ＯＳ名、閲覧時刻）を取得し（ステップ１５０５）、ラベル情報２０内の認証サーバアドレスと認証サーバポートに従い該当する認証サーバ８に機密ファイルダウンロード要求６０を送信する（ステップ１５０６）。
これに対し、機密ファイルダウンロード応答７０（図７参照）を受信し（ステップ１５０７）、結果が成功であった場合には、機密ファイルダウンロード応答７０に含まれているファイル鍵をラベル情報２０内のファイル鍵暗号用鍵を使って復号し（ステップ１５０８，１５０９）、復号化したファイル鍵を使ってダウンロードした暗号化機密ファイル９を復号する（ステップ１５１０）。その後、復号した機密ファイルの閲覧処理を行う（ステップ１５１１）。
閲覧が終わったならば、閲覧プログラムを終了させる(ステップ１５１２)。

以上のように、本実施形態においては、ファイルサーバ１に格納された機密ファイルのラベル情報のみを電子メールに添付し、中継サーバ６で送信者および受信者が当該機密ファイルへ正当なアクセス権限を持つ者であるかを確認した後、受信者コンピュータ１２に送信し、受信者コンピュータ１２では認証トークン１４およびパスワードによって受信者認証を認証サーバ８で受け、受信者認証が成功した場合にのみ認証サーバ８から暗号化された機密ファイルを受取り、その暗号化された機密ファイルを機密ファイルダウンロード応答７０に含まれるファイル鍵によって復号して閲覧可能なように構成しているため、ファイルサーバ１のデータベース３に予め登録されている送信者のみが機密ファイルを電子メールに添付して送信することが許され、しかもデータベース３および認証サーバ８のデータベース１１に予め登録されている受信者のみが機密ファイルを閲覧することが許される。
従って、特定の組織に属する正規ユーザであってもデータベース３に登録されていないユーザでない場合には、機密ファイルのラベル情報については電子メールに添付して送信することができたとしても、中継サーバ６によりラベル情報および機密ファイル自体の送信が許可されなくなり、機密ファイルそのものの外部流出を防止することができる。
また、データベース３に予め登録されている送信者が故意または誤ってデータベース３および１１に登録されていない受信者に機密ファイルのラベル情報を送信したとしても、前記と同様に、中継サーバ６によりラベル情報および機密ファイル自体の送信が許可されなくなり、機密ファイルそのものの外部流出を防止することができる。
さらに、受信者コンピュータ１２の受信者がデータベース３，１１に予め登録されている正規の受信者であったとしても、機密ファイル閲覧部１３の閲覧プログラムが正規のものであるかを署名によって確認し、ファイルサーバ１を含むシステムの管理者が配布した正規の閲覧プログラムでない場合には、機密ファイルのダウンロードを許可しないようにしているため、不正な閲覧プログラムを用いて機密ファイルをコピーしたり、印刷する行為、あるいは第３者に転送するなどの不正行為を行うことができない。
また、システムの管理者が配布した正規の閲覧プログラムであったとしても、この閲覧プログラムではファイルコピーや印刷機能が禁止されているため、正規の受信者であったとしても機密ファイルをコピーしたり、印刷する行為、あるいは第３者に転送するなどの不正行為を行うことができない。
これにより、正規の受信者による機密ファイルの漏洩を防止することができる。
また、中継サーバ６を迂回した電子メール送信に対しては、ラベル情報のみが流出するだけに止まり、機密ファイルそのものを持ち出すことはできない。
さらに、ラベル情報から実際の機密ファイルを閲覧するためには認証サーバ８へのアクセスを必要とすることで、ラベル情報受信者が閲覧したときの時刻や環境情報を取得することができ、機密情報に対するアクセスの履歴を追跡することが可能となる。

なお、実施形態におけるファイルサーバ１、中継サーバ６、認証サーバ８は１つのサーバまたは２つのサーバに統合して構成することも可能である。例えば、ファイルサーバ１と中継サーバ６は機密ファイルへのアクセス権限を共同して判定しているので、これらのサーバ１，６は統合した構成にしても良い。
また、機密ファイルを対象にしているが、機密でないファイルを対象にすることも可能である。

本発明の一実施の形態の概略構成を示すブロック図である。ラベル情報の概要構成を示す図である。ラベル情報に格納するアクセス権限情報の概要構成を示す図である。アクセス制御確認要求の概要構成を示す図である。アクセス制御確認応答の概要構成を示す図である。機密ファイルダウンロード要求の概要構成を示す図である。機密ファイルダウンロード応答の概要構成を示す図である。データベース内ファイル管理テーブルの概要構成を示す図である。データベース内ユーザ管理テーブルの概要構成を示す図である。認証トークン情報の概要構成を示す図である。データベース内認証トークン情報テーブルの概要構成を示す図である。中継制御部での処理例を示すフローチャートである。アクセス制御部での処理例を示すフローチャートである。認証制御部での処理例を示すフローチャートである。機密ファイル閲覧部での処理例を示すフローチャートである。

符号の説明

１…ファイルサーバ
２…ラベル情報管理部
３…データベース
４…アクセス制御部
５…送信者コンピュータ
６…中継サーバ
７…中継制御部
８…認証サーバ
９…暗号化機密ファイル
１０…認証制御部
１１…データベース
１２…受信者コンピュータ
１３…機密ファイル閲覧部
１４…認証トークンを格納する記憶装置

Claims

送信者端末から受信者端末に電子メールを送信する電子メールシステムにおいて、
ファイルの実体とそのラベル情報を格納した記憶手段を備え、前記送信者端末における電子メールに添付する機密ファイル取得要求に対し対応するラベル情報を前記記憶手段から取得し、前記送信者端末に返すファイルサーバと、
前記ラベル情報が添付された電子メールを送信者端末から受信し、前記ラベル情報内に含まれるアクセス権限情報に基づき送信者および受信者が当該ラベル情報に対応するファイルへのアクセス権限を有するか否かを前記ファイルサーバに問い合わせ、アクセス権限を有する確認応答があった場合にのみ前記ラベル情報を送信先の受信者端末に送信する中継サーバと、
前記中継サーバに対し前記ファイルサーバがアクセス権限を有するものとして確認応答したファイルの実体を前記記憶手段から取得して暗号化し、認証サーバの暗号化機密ファイルに格納すると共に、前記暗号化に使用したファイル鍵を前記中継サーバから受信した前記ファイルの実体に対応したラベル情報に含まれるファイル鍵暗号用鍵によって暗号化し、前記認証サーバに登録するファイルサーバのアクセス制御手段と、
前記ラベル情報を受信した受信者端末からのファイル要求に対し、受信者の認証を行ない、正当な受信者であった場合には前記アクセス制御手段で暗号化した前記ラベル情報に対応するファイルの実体と前記ファイル鍵暗号用鍵によって暗号化したファイル鍵をファイル要求応答として受信者端末に送信する認証サーバと、
前記ファイル要求応答に含まれる暗号化ファイル鍵を前記中継サーバから受信したラベル情報に含まれるファイル鍵暗号用鍵によって復号し、その復号したファイル鍵によって前記認証サーバから受信した前記暗号化されたファイル実体を復号し、閲覧可能にする受信者端末の機密ファイル閲覧手段と
を備えることを特徴とする電子メールシステム。
前記認証サーバは、受信者端末からのファイル要求に含まれる閲覧プログラムが正規のものであることを示す署名に基づき閲覧プログラムの正当性を判定し、正当な閲覧プログラムであった場合のみ前記暗号化したファイル実体の送信を許可する手段をさらに備えることを特徴とする請求項１に記載の電子メールシステム。