JP4526574B2 - 暗号データ管理システム、および暗号データ管理方法 - Google Patents

Description

本発明は暗号データを管理する暗号データ管理システム、および暗号データ管理方法に関し、特に秘密鍵を格納したデバイスを接続することで暗号データの復号を可能とする暗号データ管理システム、および暗号データ管理方法に関する。

一般的に、コンピュータシステムを使用するには、ユーザ認証が行われる。ユーザ認証は、サーバに記憶された各ユーザの認証情報と、ユーザ自身が入力した認証情報とが照合される。このような認証システムには、サーバとは別の場所にあるエージェントが認証を行うシステムや、作業対象のコンピュータシステムに代理人の認証情報を予め登録しておき、該当する代理人に秘密情報へのアクセスを許可するシステムなどが考えられている（例えば、特許文献１、特許文献２参照）。

なお、高い安全性が要求されるシステムでは、ユーザ認証に加えて、公開鍵でデータを暗号化することで重要な情報を保護する。この暗号化されたデータは、そのデータの所有者のみが保持する秘密鍵でのみ復号可能である。このような公開鍵型の暗号の運用では秘密鍵を、耐タンパ性を有するデバイスに内蔵する。耐タンパ性を有するデバイスは、秘密鍵を外部に取り出すことができない構造となっていると共に、その秘密鍵を用いたデータの暗号化／復号機能を有している。例えば、公開鍵で暗号化された暗号データを復号するには、秘密鍵を有するデバイスに暗号データを入力し、そのデバイスが秘密鍵を用いて復号する。このような耐タンパ性を有するデバイスにＩＣカードがある。

このような秘密鍵により秘密情報を保護した場合、原則として、秘密鍵の所有者自身がＩＣカードを携帯して、秘密鍵の所有者が必要とされる場所に出向くことになる。
特開２００６−４０１８２号公報 特開２００２−２２２１６８号公報

ところで、企業などでコンピュータシステムを運用する場合、そのコンピュータシステムの保守管理を他の企業に委託することがある。コンピュータシステムの保守管理の作業には、秘密情報に対するアクセスが必要となる場合もある。このような作業が発生する度に、コンピュータシステムの所有者が作業現場にＩＣカードを持参して立ち会っていたのでは、業務上の効率が良くない。そのため、所有者は、秘密情報を利用した保守管理作業の権限を代理人に委任していた。

しかし、代理人に所有者の権限を完全に渡すのは、システムの安全性の面で好ましくない。すなわち、秘密情報を利用した作業を代理人に委任するには、秘密鍵を内蔵したＩＣカードを貸与することが必要である。ＩＣカードを貸与してしまうと、代理人が所有者と同じ権限を得ることになり所有者にとってリスクが大きい。しかも、管理対象のシステムの設置場所が、所有者の所在地から遠隔地の場合もある。このような遠隔地に出向く作業者に対してＩＣカードを貸与してしまうと、所有者による代理人の監視が困難となり、さらにリスクが増してしまう。

本発明はこのような点に鑑みてなされたものであり、暗号データ復号用の鍵を内蔵するデバイスを代理人に持参させずに、暗号データを用いた作業を代理人に委任可能とする暗号データ管理システム、および暗号データ管理方法を提供することを目的とする。

上記課題を解決するために、管理対象システム内の暗号データを管理するための暗号データ管理システムが提供される。暗号データ管理システムは、代理人側装置と所有者側装置とを有する。代理人側装置は、代理人からの操作入力に応答して、該代理人の代理権を示す認証情報を所有者側装置に送信する送信手段と、管理対象装置から暗号データを含むデータ処理要求が出力されると、データ処理要求を所有者側装置に転送すると共に、その後データ処理要求に応答して所有者側装置から返される処理結果を管理対象装置に転送する転送手段とを有する。所有者側装置は、代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段と、代理人側装置から代理人の認証情報を受信した場合、認証情報を認証する代理人認証手段と、代理人側装置からのデータ処理要求を受信した場合、前記代理人認証手段によって認証が正常に行われ、かつ、データ処理要求に対して委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、予め登録されている鍵を用いて、許可されたデータ処理要求に含まれる暗号データの復号を伴うデータ処理を実行する実行手段と、実行手段による処理結果を代理人側装置に送信する結果送信手段とを有する。

このような暗号データ管理システムによれば、代理人側装置により、代理人からの操作入力に応答して、代理権を有することを示す認証情報が所有者側装置に送信される。すると、所有者側装置により、認証情報が認証される。その後、管理対象システムから暗号データを含むデータ処理要求が出力されると、代理人側装置により、データ処理要求が所有者側装置に転送される。代理人側装置を操作している代理人が正しく認証されており、かつ代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、データ処理要求に含まれる暗号データの復号を伴うデータ処理が実行され、処理結果が代理人側装置に送信される。そして、代理人側装置により、処理結果が管理対象システムに転送される。

また、上記暗号データ管理システムと同様の処理を行う暗号データ管理方法が提供される。

上記暗号データ管理システムでは、代理人に鍵を持たせずに、委任条件の範囲内でのみ代理人に対して暗号データの復号を伴う処理を実行させることができる。

以下、本発明の実施の形態を図面を参照して説明する。
図１は、実施の形態の概要を示す図である。暗号データ管理システムは、管理対象装置１、代理人側装置２、代理人側装置２にネットワークで接続された所有者側装置３で構成される。

管理対象装置１は、暗号データ記憶手段１ａと、データ処理要求手段１ｂとを有する。暗号データ記憶手段１ａは、所有者側装置３が有する鍵３ａでのみ復号可能である。例えば、公開鍵方式であれば、鍵３ａが秘密鍵であり、その秘密鍵に対応する公開鍵で暗号化された暗号データが、暗号データ記憶手段１ａに格納される。データ処理要求手段１ｂは、暗号データ記憶手段１ａ内の暗号データに対するアクセスを検出すると、アクセス対象の暗号データを含むデータ処理要求を代理人側装置２に送信する。

代理人側装置２は、送信手段２ａと転送手段２ｂとを有する。送信手段２ａは、代理人からの操作入力に応答して、代理人が代理権を有することを示す認証情報を所有者側装置３に送信する。転送手段２ｂは、管理対象装置１から暗号データを含むデータ処理要求が出力されると、データ処理要求を所有者側装置３に転送する。そして、転送手段２ｂは、データ処理要求に応答して所有者側装置３から返される処理結果を管理対象装置１に転送する。

所有者側装置３は、鍵３ａ、委任条件記憶手段３ｂ、代理人認証手段３ｃ、処理要求許否判定手段３ｄ、データ処理手段３ｅ、結果送信手段３ｆを有する。なお、鍵３ａ、処理要求許否判定手段３ｄ、およびデータ処理手段３ｅにより、処理を実行するための実行手段３ｇが構成される。

鍵３ａは、管理対象装置１に格納されている暗号データを復号するためのデータである。委任条件記憶手段３ｂは、代理人を認証するための照合用認証情報と、代理人側装置２を使用する代理人の委任条件とを予め記憶している。代理人認証手段３ｃは、代理人側装置２から認証情報を受け取ると、認証情報に基づいて代理人側装置２を操作している代理人を認証する。処理要求許否判定手段３ｄは、代理人側装置２からのデータ処理要求を受け取ると、代理人側装置２を操作している代理人が正しく認証されており、かつ委任条件記憶手段３ｂに示される代理人の委任条件の範囲内の処理であればデータ処理要求に応じた処理を許可する。データ処理手段３ｅは、データ処理要求に応じた処理が許可されると、鍵３ａを用いて、許可されたデータ処理要求に含まれる暗号データの復号を伴うデータ処理を実行する。結果送信手段３ｆは、処理結果を代理人側装置２に送信する。

このような暗号データ管理システムによれば、代理人側装置２により、代理人からの操作入力に応答して、代理権を有することを示す認証情報が所有者側装置３に送信される。すると、所有者側装置３により、認証情報に基づいて代理人側装置２を操作している代理人が認証される。その後、管理対象装置１から暗号データを含むデータ処理要求が出力されると、代理人側装置２により、データ処理要求が所有者側装置３に転送される。代理人側装置２を操作している代理人が正しく認証されており、かつ代理人側装置２を使用する代理人の委任条件が予め格納された委任条件記憶手段３ｂに示される代理人の委任条件の範囲内の処理であれば、所有者側装置３の処理要求許否判定手段３ｄによりデータ処理要求に応じた処理が許可される。処理が許可されると、データ処理手段３ｅにより、許可されたデータ処理要求に含まれる暗号データの復号を伴うデータ処理が実行される。処理結果は、結果送信手段３ｆにより代理人側装置２に送信される。そして、代理人側装置２により、処理結果が管理対象装置１に転送される。

このようにして、認証された代理人が使用する代理人側装置２を介したデータ処理要求であれば、その代理人に与えられた委任条件の範囲内で暗号データの復号を伴う処理が所有者側装置で実行される。すなわち、鍵３ａは、所有者側装置３に置いたまま、代理人に対して暗号データを用いたデータ処理を伴う管理対象装置１の保守管理を委任できる。その結果、所有者は、管理対象装置１に格納された暗号データを完全に自由に処理できる権限を代理人に与えずに済み、情報保護のためのリスクが軽減される。

このような技術は、管理対象装置１が遠隔地にある場合に特に有用である。代理人が遠隔地に出向いて管理対象装置１の保守管理を行う場合、所有者の監視が行き届かなくなるためである。

なお、所有者側装置３の鍵３ａは、常に所有者側装置３に格納しておくよりも、ＩＣカードに格納しておき、必要なときに所有者側装置３にＩＣカードを挿入するようにした方が、セキュリティ上好ましい。そこで、ＩＣカードで鍵を管理する場合を例に採り、以下に実施の形態を具体的に説明する。

［第１の実施の形態］
図２は、本実施の形態のシステム構成例を示す図である。本実施の形態にかかる暗号データ管理システムは、代理人デバイス１００、所有者デバイス２００、および管理対象システム３００で構成される。代理人デバイス１００は、所有者の代理として管理対象システム３００の保守管理を行う作業者（代理人）が所持する装置である。所有者デバイス２００は、管理対象システム３００に格納されている情報の所有者の所在値で設置された装置である。管理対象システム３００は、所有者の情報を保持していると共に、その情報の一部を公開鍵で暗号化して管理しているコンピュータシステムである。

代理人デバイス１００は、デバイス本体１０１、カード型プローブ１０２、およびＩＣカードリーダライタ１０３で構成される。デバイス本体１０１は、例えば、ノート型のコンピュータである。デバイス本体１０１は無線通信機能によって、無線基地局４０を介してネットワーク１０に接続される。代理人デバイス１００に代理人ＩＣカード３０を加えたものが、代理人側装置である。

デバイス本体１０１に対して、例えば、ＵＳＢ（Universal Serial Bus）などの通信手段でカード型プローブ１０２やＩＣカードリーダライタ１０３が接続されている。カード型プローブ１０２は、管理対象システム３００が有するＩＣカードリーダライタ３０２に挿入可能であり、ＩＣカードリーダライタ３０２に対して通常のＩＣカードと認識させることができる。ＩＣカードリーダライタ１０３は、挿入された代理人ＩＣカード３０内のデータを読み取る。

所有者デバイス２００は、デバイス本体２０１とＩＣカードリーダライタ２０２とで構成される。デバイス本体２０１は、例えば、所有者の使用しているコンピュータである。デバイス本体２０１はネットワーク１０に接続されている。ＩＣカードリーダライタ２０２は、挿入された所有者ＩＣカード２０とデータの受け渡しを行う。所有者デバイス２００に所有者ＩＣカード２０を加えたものが、所有者側装置である。

管理対象システム３００は、暗号データを格納するデバイス本体３０１とＩＣカードリーダライタ３０２とで構成される。デバイス本体３０１は、例えば、大規模なデータベースシステムにおけるセキュリティ管理を行うコンピュータである。ＩＣカードリーダライタ３０２は、カード型プローブ１０２を介したデータの受け渡しを行う。

図３は、本実施の形態に用いる代理人デバイスのハードウェア構成例を示す図である。代理人デバイス１００のデバイス本体１０１は、ＣＰＵ（Central Processing Unit）１０１ａによって装置全体が制御されている。ＣＰＵ１０１ａには、バス１０１ｋを介してＲＡＭ（Random Access Memory）１０１ｂ、ハードディスクドライブ（ＨＤＤ:Hard Disk Drive）１０１ｃ、グラフィック処理装置１０１ｄ、入力インタフェース１０１ｆ、外部機器接続インタフェース１０１ｉおよび無線通信インタフェース１０１ｊが接続されている。

ＲＡＭ１０１ｂは、デバイス本体１０１の主記憶装置として使用される。ＲＡＭ１０１ｂには、ＣＰＵ１０１ａに実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０１ｂには、ＣＰＵ１０１ａによる処理に必要な各種データが格納される。ＨＤＤ１０１ｃは、デバイス本体１０１の二次記憶装置として使用される。ＨＤＤ１０１ｃには、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、二次記憶装置としては、フラッシュメモリなどの半導体記憶装置を使用することもできる。

グラフィック処理装置１０１ｄには、モニタ１０１ｅが接続されている。グラフィック処理装置１０１ｄは、ＣＰＵ１０１ａからの命令に従って、画像をモニタ１０１ｅの画面に表示させる。モニタ１０１ｅとしては、例えば液晶表示装置がある。

入力インタフェース１０１ｆには、キーボード１０１ｇとポインティングデバイス１０１ｈとが接続されている。入力インタフェース１０１ｆは、キーボード１０１ｇやポインティングデバイス１０１ｈから送られてくる信号を、バス１０１ｋを介してＣＰＵ１０１ａに送信する。なお、ポインティングデバイス１０１ｈとしては、マウス、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

外部機器接続インタフェース１０１ｉは、外部機器と通信する通信インタフェースである。外部機器接続インタフェース１０１ｉとして、例えばＵＳＢインタフェースなどがある。外部機器接続インタフェース１０１ｉには、カード型プローブ１０２とＩＣカードリーダライタ１０３とが接続されている。

無線通信インタフェース１０１ｊは、無線でデータ通信を行うことができる通信インタフェースである。無線通信インタフェース１０１ｊは、無線基地局４０と無線通信を行う。

以上のようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３では代理人デバイス１００のハードウェア構成を示したが、所有者デバイス２００や管理対象システム３００も同様のハードウェア構成で実現することができる。ただし、所有者デバイス２００に無線通信インタフェースに代えて、ネットワーク１０に直接接続可能なネットワークインタフェースが設けられている。

次に、暗号データの管理機能について説明する。
図４は、暗号データ管理機能を示すブロック図である。所有者ＩＣカード２０には、所有者カード識別子２１、秘密鍵２２、およびデータ処理部２３を有している。所有者カード識別子２１は、所有者ＩＣカード２０を一意に識別するための識別情報である。所有者カード識別子２１は、所有者ＩＣカード２０内のＲＯＭ（Read Only Memory）などに固定的に記憶されている。秘密鍵２２は、管理対象システム３００の暗号データ記憶部３２０に格納された暗号データを復号するための鍵データである。秘密鍵２２は、所有者ＩＣカード２０内の耐タンパ性の高いメモリに記憶されている。

データ処理部２３は、秘密鍵２２を用いてデータの暗号化および復号を行う。例えば、所有者ＩＣカード２０内に設けられた暗号化／復号回路が、データ処理部２３として機能する。

代理人ＩＣカード３０はメモリを有し、そのメモリ内に代理人認証情報３１と代理人カード識別子３２が記憶されている。代理人認証情報３１は、代理人を認証するための認証情報である。本実施の形態では、認証情報として代理人のユーザ名とパスワードとの組みが用いられる。代理人認証情報３１は、所有者ＩＣカード２０を有する所有者によって、代理人ＩＣカード３０に設定される。代理人カード識別子３２は、代理人ＩＣカード３０を一意に識別するための識別情報である。

代理人デバイス１００は、暗号通信部１１０、接続要求部１２０、および処理要求中継部１３０を有している。暗号通信部１１０は、所有者デバイス２００との間で暗号によるデータ通信を行う。

接続要求部１２０は、代理人から操作入力に応答して、所有者デバイス２００に対する接続要求を行う。具体的には、接続要求部１２０は、接続を指示する操作入力が行われると、代理人認証情報３１と代理人カード識別子３２とを代理人ＩＣカード３０から読み出す。次に、接続要求部１２０は、代理人認証情報３１と代理人カード識別子３２を含む接続要求を、暗号通信部１１０を介して所有者デバイス２００に送信する。

なお、接続要求部１２０は、代理人認証情報３１を代理人ＩＣカード３０から読み取るのではなく、代理人による操作入力によって取得してもよい。
処理要求中継部１３０は、管理対象システム３００から出された暗号データの処理要求を所有者デバイス２００に転送する。具体的には、処理要求中継部１３０は、管理対象システム３００から、暗号データ記憶部３２０内の暗号データを含む処理要求を受け取ると、代理人ＩＣカード３０から代理人カード識別子３２を取得する。そして、処理要求中継部１３０は、代理人カード識別子３２を付与した処理要求を暗号通信部１１０を介して所有者デバイス２００に送信する。

所有者デバイス２００は、暗号通信部２１０、委任条件記憶部２２０，認証部２３０、および処理要求許否判定部２４０を有している。暗号通信部２１０は、代理人デバイス１００との間で暗号によるデータ通信を行う。

委任条件記憶部２２０は、代理人ＩＣカード３０を有する代理人の認証情報、およびその代理人に対して付与する委任条件を記憶する記憶機能である。例えば、所有者デバイス２００のデバイス本体２０１が有するＨＤＤの記憶領域の一部が、委任条件記憶部２２０として使用される。

認証部２３０は、代理人デバイス１００から送られた接続要求に基づいて、代理人の認証を行う。具体的には、認証部２３０は、接続要求から代理人カード識別子３２と代理人認証情報３１とを抽出する。次に、認証部２３０は、代理人カード識別子３２と、所有者ＩＣカード２０内の所有者カード識別子２１との組みに対応する認証情報を、委任条件記憶部２２０から検索する。そして、認証部２３０は、検索で該当した認証情報と、接続要求に含まれていた代理人認証情報３１とを照合する。照合の結果合致すれば、認証部２３０は、正しい代理人であると認証し、認証結果を代理人デバイス１００に通知する。また、認証部２３０は、正しく認証された場合、認証した代理人カード識別子３２と所有者カード識別子２１との組を、処理要求許否判定部２４０に通知する。

処理要求許否判定部２４０は、代理人デバイス１００から送られた処理要求に基づいて、処理要求の許否判定を行う。具体的には、処理要求許否判定部２４０は、代理人デバイス１００から処理要求を受け取ると、処理要求に付与された代理人カード識別子３２に基づいて、認証された代理人からの処理要求かどうかを判断する。次に、処理要求許否判定部２４０は、委任条件記憶部２２０から、代理人カード識別子３２と所有者ＩＣカード２０の所有者カード識別子２１との組みに対応する委任条件を取得する。そして、処理要求許否判定部２４０は、処理要求が、代理人に対する委任条件内の処理か否かを判断する。処理要求許否判定部２４０は、認証された代理人からの委任条件内の処理要求であれば、処理要求を所有者ＩＣカード２０に送信する。また、処理要求許否判定部２４０は、所有者ＩＣカード２０から処理結果を受け取ると、暗号通信部２１０を介して処理結果を代理人デバイス１００に送信する。

管理対象システム３００は、セキュリティ管理部３１０と暗号データ記憶部３２０とを有している。セキュリティ管理部３１０は、管理対象システム３００内のデータのセキュリティを管理する。管理対象システム３００内の各種プログラムを実行するプロセスが暗号データにアクセスする場合、セキュリティ管理部３１０を介したアクセスのみ許される。すなわち、代理人がシステムの保守管理の作業において、暗号データの復号が必要となると、セキュリティ管理部３１０に対して暗号データを指定した復号要求が出される。

セキュリティ管理部３１０は、セキュリティ管理の一機能として、ＩＣカード処理要求部３１１を有している。ＩＣカード処理要求部３１１は、暗号データに対するアクセスがあったときに、所有者ＩＣカード２０に対して暗号データの処理を要求する。具体的には、ＩＣカード処理要求部３１１は、暗号データの復号要求を受け取ると、暗号データ記憶部３２０から指定された暗号データを取得する。そして、ＩＣカード処理要求部３１１は、取得した暗号データの復号処理を示す処理要求を代理人デバイス１００に対して送信する。なお、管理対象システム３００と代理人デバイス１００とは、管理対象システム３００のＩＣカードリーダライタ３０２と、そのＩＣカードリーダライタ３０２に挿入された代理人デバイス１００のカード型プローブ１０２によって接続されている。従って、ＩＣカード処理要求部３１１は、ＩＣカードリーダライタ３０２に代理人ＩＣカード３０が挿入されているものと認識している。

暗号データ記憶部３２０は、暗号データを記憶している。暗号データは、所有者ＩＣカード２０内の秘密鍵２２と同時に生成された公開鍵で暗号化されている。この公開鍵で暗号化された暗号データは、秘密鍵２２でのみ復号可能である。

次に、委任条件記憶部２２０の内容について説明する。
図５は、委任条件記憶部のデータ構造例を示す図である。委任条件記憶部２２０には、代理人カード識別子、代理人認証情報、所有者カード識別子、許可日時、および許可回数の欄が設けられている。

代理人カード識別子の欄には、代理人に渡した代理人ＩＣカード３０の識別情報（代理人カード識別子）が設定される。代理人認証情報の欄には、代理人の認証情報が設定される。図５の例では、認証情報として、代理人のユーザ名とパスワードとが設定されている。所有者カード識別子の欄には、所有者が有する所有者ＩＣカード２０の識別情報（所有者カード識別子）が設定される。許可日時の欄には、代理人に代理権を許可する日時（許可日時）が設定される。なお、許可日時の欄には、開始日時と終了日時とにより期間を設定することもできる。許可回数の欄には、所有者ＩＣカード２０によるデータ処理を許可する回数（許可回数）が設定される。

このように、委任条件記憶部２２０には、所有者ＩＣカード２０と代理人ＩＣカードとの組に対応づけて、代理人の認証情報と委任条件（許可日時と許可回数）とが設定されている。従って、委任条件記憶部２２０を参照すれば、代理人の認証と、その代理人からの処理要求の許否判定とが可能となる。

以上のような構成のシステムにおいて、所有者ＩＣカード２０を所有者の手元に置いたまま、遠隔地にある管理対象システム３００内の暗号データの復号を含むデータ処理を行うことができる。以下、暗号データの復号を含むデータ処理について説明する。

図６は、正常にデータ処理が実行される場合の処理手順を示すシーケンス図である。図６には、管理対象システム３００、代理人デバイス１００、所有者デバイス２００、および所有者ＩＣカード２０の処理が示されている。以下、図６に示す処理をステップ番号に沿って説明する。

［ステップＳ１１］代理人デバイス１００は、代理人からの操作入力に応答して、所有者デバイス２００に対して接続要求を送信する。具体的には、代理人デバイス１００の接続要求部１２０は、所有者デバイス２００との接続を指示する操作入力を受け付ける。次に接続要求部１２０は、代理人ＩＣカード３０から代理人認証情報３１と代理人カード識別子３２とを取得する。そして、接続要求部１２０は、代理人認証情報３１と代理人カード識別子３２とを含む接続要求を生成する。生成された接続要求は暗号通信部１１０で暗号化され、無線通信経由で所有者デバイス２００に送信される。

［ステップＳ１２］所有者デバイス２００は、接続要求に応じて代理人のユーザ認証を行う。具体的には、代理人デバイス１００から送られた接続要求は、まず所有者デバイス２００の暗号通信部２１０で受け取られる。暗号通信部２１０は、受信した接続要求を復号し、認証部２３０に渡す。認証部２３０は、所有者ＩＣカード２０から所有者カード識別子２１を取得する。次に、認証部２３０は、取得した所有者カード識別子２１と接続要求に含まれている代理人カード識別子３２との組に対応する認証情報を、委任条件記憶部２２０から検索する。そして、認証部２３０は、検索によって該当した認証情報と、接続要求に含まれていた代理人認証情報３１とを照合する。認証部２３０は、照合によって、ユーザ名とパスワードとが一致すれば、代理人が正しく本人であると認証する。

［ステップＳ１３］認証部２３０は、正しく認証できた場合、認証されたことを示す認証通知を代理人デバイス１００に送信する。具体的には、認証部２３０は、認証通知を暗号通信部２１０に渡す。暗号通信部２１０は、認証通知を暗号化して代理人デバイス１００に送信する。代理人デバイス１００では、暗号化された認証通知を暗号通信部１１０が受け取る。暗号通信部１１０は、認証通知を復号し、接続要求部１２０に渡す。承認通知を受け取った接続要求部１２０は、認証に成功したことを代理人デバイス１００のモニタ１０１ｅに表示する。

また、所有者デバイス２００の認証部２３０は、正しく認証した代理人カード識別子３２と所有者カード識別子２１との組を処理要求許否判定部２４０に渡す。
［ステップＳ１４］代理人は、管理対象システム３００に対して操作入力を行い、保守管理の作業を行う。管理対象システム３００のセキュリティ管理部３１０は、保守管理作業中に暗号データ３２０へのアクセスを検出すると、アクセス対象の暗号データを暗号データ記憶部３２０から取得する。そして、セキュリティ管理部３１０内のＩＣカード処理要求部３１１は、暗号データを含むデータ処理要求を代理人デバイス１００に対して送信する。

［ステップＳ１５］代理人デバイス１００は、取得したデータ処理要求を所有者デバイス２００に転送する。具体的には、管理対象システム３００から送信されたデータ処理要求は、代理人デバイス１００の処理要求中継部１３０で受け取られる。処理要求中継部１３０は、管理対象システム３００から暗号データを含むデータ処理要求を受け取ると、代理人ＩＣカード３０から代理人カード識別子３２を取得し、データ処理要求に代理人カード識別子を付与する。そして、処理要求中継部１３０は、データ処理要求を暗号通信部１１０に渡す。暗号通信部１１０は、受け取ったデータ処理要求を暗号化し、所有者デバイス２００に送信する。

［ステップＳ１６］所有者デバイス２００は許否判定を行う。具体的には、代理人デバイス１００から送られたデータ処理要求は、所有者デバイス２００の暗号通信部２１０で受け取られる。暗号通信部２１０は、暗号化されたデータ処理要求を復号し、処理要求許否判定部２４０に渡す。処理要求許否判定部２４０は、委任条件記憶部２２０を参照し、データ処理要求を許可するか否かを判定する。この処理の詳細は後述する（図９参照）。図６の例では、データ処理要求を許可するものとする。

［ステップＳ１７］代理人デバイス１００は、データ処理要求を所有者ＩＣカード２０に送信する。具体的には、所有者デバイス２００の処理要求許否判定部２４０は、データ処理要求を許可した場合、データ処理要求から代理人カード識別子３２を消去する。そして、処理要求許否判定部２４０は、代理人カード識別子３２を取り除いたデータ処理要求を、所有者ＩＣカード２０に送信する。

［ステップＳ１８］所有者ＩＣカード２０は、データ処理要求に応じたデータ処理を行う。具体的には、所有者ＩＣカード２０では、データ処理要求をデータ処理部２３が受け取る。データ処理部２３は、データ処理要求に含まれる暗号データを秘密鍵２２を用いて復号する。

［ステップＳ１９］データ処理部２３は、復号された平文のデータを処理結果として、所有者デバイス２００に送信する。
［ステップＳ２０］所有者デバイス２００は、所有者ＩＣカード２０から受け取った処理結果を、代理人デバイス１００に送信する。具体的には、所有者デバイス２００の処理要求許否判定部２４０は、所有者ＩＣカード２０から受け取った処理結果を、暗号通信部２１０に渡す。暗号通信部２１０は、処理要求許否判定部２４０から受け取った処理結果を暗号化し、代理人デバイス１００に送信する。

［ステップＳ２１］代理人デバイス１００は、所有者デバイス２００から処理結果を受け取ると、その処理結果を管理対象システム３００に転送する。具体的には、代理人デバイス１００では、暗号通信部１１０が処理結果を受け取る。暗号通信部１１０は、受け取った処理結果を復号し、処理要求中継部１３０に渡す。処理要求中継部１３０は、管理対象システム３００から出されたデータ処理要求に対する応答として、処理結果を管理対象システム３００に送信する。管理対象システム３００では、入力された処理結果に基づいて、保守管理に伴うデータ処理を実行する。

このようにして、所有者ＩＣカード２０に格納されている秘密鍵２２を用いた暗号データの複合が行われる。
次に、代理人の認証がエラーとなる場合の処理について説明する。

図７は、認証エラーとなる場合の処理手順を示すシーケンス図である。以下、図７に示す処理をステップ番号に沿って説明する。
［ステップＳ３１］代理人デバイス１００は、代理人からの操作入力に応答して、所有者デバイス２００に対して接続要求を送信する。詳細は図６のステップＳ１１と同様である。

［ステップＳ３２］所有者デバイス２００は、接続要求に応じて代理人のユーザ認証を行う。詳細は図６のステップＳ１２と同様である。図７の例では、委任条件記憶部２２０から取得した認証情報と、接続要求に含まれていた代理人認証情報３１とが合致しなかったものとする。

［ステップＳ３３］所有者デバイス２００の認証部２３０は、認証エラーを代理人デバイス１００に通知する。具体的には、認証部２３０は、認証エラーを示すメッセージ（認証エラーメッセージ）を暗号通信部２１０に渡す。暗号通信部２１０は、認証エラーメッセージを暗号化し、代理人デバイス１００に送信する。代理人デバイス１００では、暗号通信部１１０が認証エラーメッセージを受信する。暗号通信部１１０は、復号した認証エラーメッセージを接続要求部１２０に渡す。接続要求部１２０は、認証に失敗したことをモニタ１０１ｅに表示する。

［ステップＳ３４］代理人は、暗号データを利用しない保守管理作業であれば、管理対象システム３００を用いた作業が可能である。しかし、代理人が管理対象システム３００に対して暗号データを使用した指示を入力すると、管理対象システム３００のセキュリティ管理部３１０が、保守管理作業中に暗号データ３２０へのアクセスを検出する。すると、セキュリティ管理部３１０は、アクセス対象の暗号データを暗号データ記憶部３２０から取得する。そして、セキュリティ管理部３１０内のＩＣカード処理要求部３１１は、暗号データを含むデータ処理要求を代理人デバイス１００に対して送信する。

［ステップＳ３５］代理人デバイス１００は、取得したデータ処理要求を所有者デバイス２００に転送する。詳細は図６のステップＳ１５と同様である。
［ステップＳ３６］所有者デバイス２００は許否判定を行う。詳細は図６のステップＳ１６と同様である。図７の例では、認証部２３０によって代理人の認証が成功していない。そのため、認証部２３０から処理要求許否判定部２４０に対して、代理人ＩＣカード３０の代理人カード識別子３２が通知されていない。処理要求許否判定部２４０では、データ処理要求に付与されている代理人カード識別子３２が、認証部２３０から通知されていないことで、未認証の代理人からのデータ処理要求であると認識する。その結果、処理要求許否判定部２４０は、データ処理要求を拒否する旨の判定を行う。

［ステップＳ３７］所有者デバイス２００は、無効結果を代理人デバイス１００に送信する。具体的には、所有者デバイス２００の処理要求許否判定部２４０は、データ処理要求が無効であることを示す情報（無効結果）を、暗号通信部２１０に渡す。暗号通信部２１０は、処理要求許否判定部２４０から受け取った処理結果を暗号化し、代理人デバイス１００に送信する。

［ステップＳ３８］代理人デバイス１００は、所有者デバイス２００から無効結果を受け取ると、その無効結果を管理対象システム３００に転送する。具体的には、代理人デバイス１００では、暗号通信部１１０が無効結果を受け取る。暗号通信部１１０は、受け取った無効結果を復号し、処理要求中継部１３０に渡す。処理要求中継部１３０は、管理対象システム３００から出されたデータ処理要求に対する応答として、無効結果を管理対象システム３００に送信する。管理対象システム３００では、無効結果が返されたことにより、暗号データを用いた処理がエラー終了する。

このように、正しく認証していない代理人からのデータ処理要求は、所有者デバイス２００で拒否される。
また、代理人が管理対象システム３００の保守管理作業を行う間、所有者は、所有者ＩＣカード２０を所有者デバイス２００のＩＣカードリーダライタ２０２に挿入しておく必要がある。代理人が作業を介したときに所有者ＩＣカード２０がＩＣカードリーダライタ２０２に挿入されていたとしても、所有者が所有者ＩＣカード２０をＩＣカードリーダライタ２０２から抜いてしまえば、以後、暗号データを用いた処理は実行されない。すなわち、所有者は、代理人が予定外の作業を行っていることを知った場合、所有者ＩＣカード２０をＩＣカードリーダライタ２０２から抜くことで、重要なデータを保護できる。

図８は、所有者ＩＣカードが抜かれた場合の処理手順を示すシーケンス図である。以下、図８に示す処理をステップ番号に沿って説明する。
［ステップＳ４１］代理人デバイス１００は、代理人からの操作入力に応答して、所有者デバイス２００に対して接続要求を送信する。詳細は図６のステップＳ１１と同様である。

［ステップＳ４２］所有者デバイス２００は、接続要求に応じて代理人のユーザ認証を行う。詳細は図６のステップＳ１２と同様である。図８の例では、この段階では所有者ＩＣカード２０がＩＣカードリーダライタ２０２に挿入されており、代理人を正しく認証したものとする。

［ステップＳ４３］認証部２３０は、正しく認証できた場合、認証されたことを示す認証通知を代理人デバイス１００に送信する。詳細は、図６のステップＳ１３と同様である。

［ステップＳ４４］代理人は、管理対象システム３００に対して操作入力を行い、保守管理の作業を行う。その間に所有者が、所有者ＩＣカード２０をＩＣカードリーダライタ２０２から抜き取ったものとする。その後の保守管理作業中に管理対象システム３００のセキュリティ管理部３１０が暗号データ３２０へのアクセスを検出すると、セキュリティ管理部３１０はアクセス対象の暗号データを暗号データ記憶部３２０から取得する。そして、セキュリティ管理部３１０内のＩＣカード処理要求部３１１は、暗号データを含むデータ処理要求を代理人デバイス１００に対して送信する。

［ステップＳ４５］代理人デバイス１００は、取得したデータ処理要求を所有者デバイス２００に転送する。詳細は、図６のステップＳ１５と同様である。
［ステップＳ４６］所有者デバイス２００は許否判定を行う。詳細は、図６のステップＳ１６と同様である。図８の例では、データ処理要求を許可するものとする。

［ステップＳ４７］代理人デバイス１００は、データ処理要求を所有者ＩＣカード２０に送信する。詳細は、図６のステップＳ１７と同様である。図８の例では、データ処理要求を許可するものとする。このとき、所有者ＩＣカード２０は既にＩＣカードリーダライタ２０２から抜かれている。そのため、所有者ＩＣカード２０からの処理結果の応答はない。

［ステップＳ４８］代理人デバイス１００は、タイムアウトを検出する。具体的には、代理人デバイスの処理要求許否判定部２４０は、データ処理要求を所有者ＩＣカード２０に送信してから時間の計測を開始する。処理要求許否判定部２４０には、予めデータ処理要求に対する応答の待ち時間が定義されている。そして、処理要求許否判定部２４０は、データ処理要求を送信してからの経過時間が待ち時間を超えると、タイムアウトと判定する。

［ステップＳ４９］処理要求許否判定部２４０は、無効結果を代理人デバイス１００に送信する。詳細は、図７のステップＳ３７と同様である。
［ステップＳ５０］代理人デバイス１００は、所有者デバイス２００から無効結果を受け取ると、その無効結果を管理対象システム３００に転送する。詳細は、図７のステップＳ３８と同様である。

このようにして、所有者ＩＣカード２０が抜かれた場合、以後の暗号データを用いた処理が禁止される。すなわち、所有者は、管理対象システム３００から離れた場所にいても、代理人への代理権を撤回する必要が生じれば、代理権を即座に撤回できる。

次に、処理要求許否判定部２４０が実行する処理について詳細に説明する。
図９は、処理要求許否判定処理の手順を示すフローチャートである。以下、図９に示す処理をステップ番号に沿って説明する。

［ステップＳ６１］処理要求許否判定部２４０は、代理人デバイス１００から送られたデータ処理要求を、暗号通信部２１０を介して取得する。
［ステップＳ６２］処理要求許否判定部２４０は、代理人を認証済か否かを判断する。具体的には、処理要求許否判定部２４０は、認証部２３０から通知された代理人カード識別子と所有者カード識別子との組を、既認証カード情報として保持している。そして、処理要求許否判定部２４０は、データ処理要求を受け取ると、そのデータ処理要求に付与された代理人カード識別子３２を取得すると共に、所有者ＩＣカード２０から所有者カード識別子２１を取得する。処理要求許否判定部２４０は、取得した代理人カード識別子３２と所有者カード識別子２１との組が予め認証部２３０から渡されている既認証カード情報に一致するか否かを判定する。取得した代理人カード識別子３２と所有者カード識別子２１との組と合致する既認証カード情報があれば、処理要求許否判定部２４０は認証済と判断する。認証済であれば、処理がステップＳ６３に進められる。認証済でなければ、処理がステップＳ６８に進められる。

［ステップＳ６３］処理要求許否判定部２４０は、許可日時内か否かを判断する。具体的には、処理要求許否判定部２４０は、所有者ＩＣカード２０から所有者カード識別子２１を取得する。そして、処理要求許否判定部２４０は、データ処理要求の代理人カード識別子３２と所有者カード識別子２１との組に対応する委任条件（許可日時と許可回数）を、委任条件記憶部２２０から抽出する。処理要求許否判定部２４０は、抽出した委任条件の許可日時が現在の日時を含んでいるか否かを判断する。現在の日時が許可日時内であれば、処理がステップＳ６４に進められる。現在の日時が許可日時外であれば、処理がステップＳ６８に進められる。

［ステップＳ６４］処理要求許否判定部２４０は、データ処理回数が許可回数内か否かを判断する。具体的には、処理要求許否判定部２４０は、認証部２３０から受け取った代理人カード識別子３２と所有者カード識別子２１との組（既認証カード情報）に対応付けて、データ処理回数を記憶している。データ処理回数は、認証部２３０から既認証カード情報を渡されたときに０に初期化されている。そして、処理要求許否判定部２４０は、ステップＳ６３で抽出した委任条件の許可回数が、データ処理回数より１以上大きいか否かを判断する。すなわち、今回のデータ処理要求に基づくデータ処理を許可しても、許可回数を超えないことを確認する。許可回数が、データ処理回数より１以上大きい場合、処理要求許否判定部２４０は、許可回数内であると判断する。許可回数内であれば、処理がステップＳ６５に進められる。許可回数外であれば、処理がステップＳ６８に進められる。

［ステップＳ６５］処理要求許否判定部２４０は、所有者ＩＣカード２０にデータ処理要求を転送する。この際、処理要求許否判定部２４０は、データ処理要求に付加されていた代理人カード識別子は、転送するデータ処理要求から除去する。

［ステップＳ６６］処理要求許否判定部２４０は、所有者ＩＣカード２０から処理結果が返されたか否かを判断する。処理結果が返された場合、処理がステップＳ６９に進められる。処理結果が返されていなければ、処理がステップＳ６７に進められる。

［ステップＳ６７］処理要求許否判定部２４０は、タイムアウトとなったか否かを判断する。具体的には、処理要求許否判定部２４０は、データ処理要求を転送してからの経過時間が、予め設定された待ち時間を超えた場合、タイムアウトと判断する。タイムアウトとなった場合、処理がステップＳ６８に進められる。タイムアウトとなっていなければ、処理がステップＳ６６に進められ、所有者ＩＣカード２０から処理結果が返されるのを待つ。

［ステップＳ６８］処理要求許否判定部２４０は、認証エラーとなった場合、現在の日時が許可日時外の場合、今回のデータ処理要求を許可すると許可回数を超えてしまう場合、およびタイムアウトが発生した場合には、代理人デバイス１００に対して無効結果を応答する。その後、処理が終了する。

［ステップＳ６９］処理要求許否判定部２４０は、所有者ＩＣカード２０から処理結果を受け取ると、データ処理回数をカウントアップする。
［ステップＳ７０］処理要求許否判定部２４０は、処理結果を代理人デバイス１００に応答する。

このようにして、所有者が設定した委任条件の範囲内でのみ、代理人による暗号データを用いた処理を許可することができる。
なお、上記の実施の形態は公開鍵方式を前提としており、暗号データは公開鍵によって暗号化されているものとしているが、所有者ＩＣカード内の秘密鍵を暗号化と復号との両方で使用することもできる。なお、平文のデータを秘密鍵２２で暗号化する場合、管理対象システム３００から送信されるデータ処理要求には、暗号データに代えて暗号化すべき平文のデータが含まれる。また、所有者ＩＣカード２０では、秘密鍵２２を用いた暗号化が行われ、暗号データが処理結果として送信される。

［第２の実施の形態］
第１の実施の形態では、ＩＣカードリーダライタ３０２にカード型プローブ１０２を挿入することで、管理対象システム３００と代理人デバイス１００とを接続しているが、他の方法で接続することもできる。

図１０は、ＵＳＢインタフェースによる接続例を示す図である。なお、図１０内の図２と同じ構成要素には図２と同じ符号を付し、説明を省略する。
管理対象システム４１０は、デバイス本体４１１を有している。デバイス本体４１１は、ＵＳＢインタフェース規格に従ってデータ通信を行うＵＳＢコントローラが内蔵されている。また、代理人デバイス４２０は、デバイス本体４２１とＩＣカードリーダライタ４２２とを有している。ＩＣカードリーダライタ４２２は、代理人ＩＣカード３０を挿入することができ、代理人ＩＣカード３０内のメモリに対するリード／ライトを行う。デバイス本体４２１には、ＵＳＢコントローラが内蔵されている。管理対象システム４１０のデバイス本体４１１と代理人デバイス４２０のデバイス本体４２１とは、ＵＳＢケーブル５１で接続されている。

なお、管理対象システム４１０の機能は、図４に示した管理対象システム３００の機能と同じである。また、代理人デバイス４２０の機能は、図４に示した代理人デバイス１００の機能と同じである。

このような接続形態とすることで、管理対象システム４１０に対して、カード型プローブを有していない代理人デバイス４２０を接続できる。管理対象システム４１０では、暗号データのデータ処理要求を、ＵＳＢケーブル５１で接続された代理人デバイス４２０に対して送信する。これにより、暗号データのデータ処理要求を、代理人デバイス４２０を介して所有者デバイス２００に送信することができる。

［第３の実施の形態］
第３の実施の形態は、代理人ＩＣカードを仮想的なデバイスとして代理人デバイスのデバイス本体に組み込んだものである。

図１１は、代理人ＩＣカードの機能をデバイス本体に内蔵した例を示す図である。なお、図１１内の図２と同じ構成要素には図２と同じ符号を付し、説明を省略する。
図１１の例では、代理人デバイス４３０は、デバイス本体４０１とカード型プローブ４０２とを有している。デバイス本体４０１は、仮想代理人ＩＣカード４３２を内蔵している。仮想代理人ＩＣカード４３２は、図４に示した代理人ＩＣカード３０の機能をデバイス本体４０１内にソフトウェア的に実現したものである。なお、代理人デバイス４３０は、図４に示した管理対象システム３００の機能を含んでいる。

このような形態とすることで、代理人ＩＣカードを用いずに代理人の認証情報などの管理をすることができる。
［第４の実施の形態］
第４の実施の形態は、複数の所有者ＩＣカードを同時使用可能としたものである。

図１２は、複数の所有者ＩＣカードを同時に使用可能な所有者デバイスの例である。なお、図１２内の図２と同じ構成要素には図２と同じ符号を付し、説明を省略する。
所有者デバイス４４０は、デバイス本体４４１と複数のＩＣカードリーダライタ４４２〜４４４を有している。ＩＣカードリーダライタ４４２〜４４４には、それぞれ個別の所有者ＩＣカード２０ａ，２０ｂ，２０ｃが挿入される。所有者ＩＣカード２０ａ，２０ｂ，２０ｃは、それぞれ個別の秘密鍵を有している。なお、所有者デバイス４４０は、図４に示した所有者デバイス２００の機能を含んでいる。

このような所有者デバイス４４０を用いることで、管理対象システム３００内のデータを異なる公開鍵で暗号化しておき、各公開鍵に対応する暗号鍵を有する所有者ＩＣカードが接続されている場合のみに、暗号データを用いたデータ処理を可能とすることができる。

［第５の実施の形態］
第５の実施の形態は、複数の所有者ＩＣカードを仮想的なデバイスとして所有者デバイスのデバイス本体に組み込んだものである。

図１３は、複数の所有者ＩＣカードの機能をデバイス本体に内蔵した例を示す図である。なお、図１３内の図２と同じ構成要素には図２と同じ符号を付し、説明を省略する。
所有者デバイス５００は、暗号通信部５１０、委任条件記憶部５２０、認証部５３０、処理要求許否判定部５４０、データ処理部５５０、複数の仮想所有者ＩＣカード５６０，５７０，５８０を有している。暗号通信部５１０、委任条件記憶部５２０、認証部５３０、および処理要求許否判定部５４０は、それぞれ図４に示した所有者デバイス２００内の同名の要素と同じ機能を有している。ただし、処理要求許否判定部５４０は、データ処理要求を転送する場合、データ処理部５５０に対して転送する。

データ処理部５５０は、処理要求許否判定部５４０から転送されたデータ処理要求に応じて、各仮想所有者ＩＣカード５６０，５７０，５８０内の秘密鍵５６２，５７２，５８２を用いたデータ処理を行う。データ処理は、例えば、データの暗号化や復号である。

仮想所有者ＩＣカード５６０，５７０，５８０は、図４に示した所有者ＩＣカード２０の機能を所有者デバイス５００内にソフトウェア的に実現したものである。各仮想所有者ＩＣカード５６０，５７０，５８０には、それぞれ所有者カード識別子５６１，５７１，５８１と秘密鍵５６２，５７２，５８２とが含まれている。

このように、複数の仮想所有者ＩＣカード５６０，５７０，５８０を用いることで、複数の所有者ＩＣカードを同時に使用する場合であっても、所有者デバイスに複数のＩＣカードリーダライタを接続する必要がなくなる。

［第６の実施の形態］
第６の実施の形態は、公開鍵方式の暗号技術を用いて代理人認証を行うものである。なお、第６の実施の形態のシステム全体のハードウェア構成は、図２に示した第１の実施の形態と同様である。

図１４は、公開鍵方式で代理人認証を行うシステムの機能ブロック図である。なお、図１４内の図４と同じ構成機能の要素には同じ符号を付し、説明を省略する。
この例では、代理人ＩＣカード６０には、代理人カード識別子６１、秘密鍵６２、およびデータ処理部６３が含まれている。代理人カード識別子６１は、代理人ＩＣカード６０を一意に識別するための識別情報である。秘密鍵６２は、代理人ＩＣカード６０用の公開鍵で暗号化されたデータを復号するための鍵情報である。データ処理部６３は、秘密鍵６２を用いて暗号データの復号処理を行う処理機能である。

代理人デバイス６００は、暗号通信部６１０、接続要求部６２０、および処理要求中継部６３０を有している。暗号通信部６１０は、図４に示した暗号通信部１１０と同じ機能を有している。処理要求中継部６３０は、図４に示した処理要求中継部１３０と同じ機能を有している。

接続要求部６２０は、所有者デバイス７００との接続を指示する操作入力が行われると、所有者デバイス７００に対して接続要求を、暗号通信部６１０を介して送信する。すると、所有者デバイス７００からは、乱数を公開鍵で暗号化した暗号データ（暗号化乱数列）が返信される。暗号化乱数列を受け取った接続要求部６２０は、暗号化乱数列を代理人ＩＣカード６０のデータ処理部６３に渡す。データ処理部６３からは、暗号化乱数を秘密鍵６２で復号することで得られる乱数列が返される。乱数を受け取った接続要求部６２０は、その乱数列を認証情報として、暗号通信部６１０を介して所有者デバイス７００に送信する。

所有者デバイス７００は、暗号通信部７１０、委任条件記憶部７２０、認証部７３０、および処理要求許否判定部７４０を有している。暗号通信部７１０は図４に示した暗号通信部２１０と同じ機能を有している。処理要求許否判定部７４０は図４に示した処理要求許否判定部２４０と同じ機能を有している。

委任条件記憶部７２０は、代理人ＩＣカード６０に格納された秘密鍵６２に対応する公開鍵と委任条件とを記憶する。公開鍵は秘密鍵６２と同時に生成されており、この公開鍵で暗号化したデータは、秘密鍵６２でのみ復号できる。

認証部７３０は、代理人デバイス６００からの接続要求に応じて代理人の認証処理を行う。具体的には、認証部７３０は、代理人デバイス６００から接続要求を受け取ると、乱数列を発生させメモリに格納する。次に、認証部７３０は、代理人ＩＣカード６０に対応する公開鍵を委任条件記憶部７２０から取得し、取得した公開鍵で乱数列を暗号化する。この際、暗号化前の乱数列は、メモリ内にそのまま保存される。そして、認証部７３０は、暗号化した乱数列（暗号化乱数列）を代理人デバイス６００に送信する。その後、代理人デバイス６００から認証情報としての乱数列が送られると、認証部７３０は、受信した乱数列とメモリに保存してある乱数列とを照合する。乱数列の値が一致すれば、認証成功と判断される。

図１５は、委任条件記憶部のデータ構造例を示す図である。委任条件記憶部７２０には、代理人カード識別子、代理人認証情報、所有者カード識別子、許可日時、および許可回数の欄が設けられている。代理人認証情報以外の欄に格納される情報は、図５に示した委任条件記憶部２２０の同名の欄の情報と同じである。代理人認証情報の欄には、代理人の認証情報として、公開鍵が設定される。

図１６は、公開鍵による認証手順を示すシーケンス図である。図１６には、代理人ＩＣカード６０、代理人デバイス６００、および所有者デバイス７００の処理が示されている。以下、図１６に示す処理をステップ番号に沿って説明する。

［ステップＳ８１］代理人デバイス６００は、代理人からの操作入力に応答して、所有者デバイス２００に対して接続要求を送信する。具体的には、代理人デバイス６００の接続要求部６２０は、所有者デバイス７００との接続を指示する操作入力を受け付ける。次に接続要求部６２０は、代理人ＩＣカード６０から代理人カード識別子６１を取得する。そして、接続要求部６２０は、代理人カード識別子６１を含む接続要求を生成する。生成された接続要求は暗号通信部６１０で暗号化され、無線通信経由で所有者デバイス７００に送信される。

［ステップＳ８２］所有者デバイス７００は、乱数列の生成、およびその乱数列の暗号化を行う。具体的には、所有者デバイス７００の認証部７３０は、接続要求を受信すると、まず乱数列を生成する。さらに認証部７３０は、生成した乱数列を、接続要求に含まれる代理人カード識別子６１に対応付けてＲＡＭなどのメモリに格納する。次に、認証部７３０は、接続要求に含まれる代理人カード識別子６１に対応する公開鍵を、委任条件記憶部７２０から検索する。そして、認証部７３０は、メモリに格納した乱数列の複製を生成し、検索によって見つけ出した公開鍵を用いて、複製された乱数列を暗号化する。

［ステップＳ８３］所有者デバイス７００の認証部７３０は、暗号化された乱数列（暗号化乱数列）を代理人デバイスに送信する。
［ステップＳ８４］代理人デバイス６００の接続要求部６２０は、所有者デバイス７００から送られた暗号化乱数列を代理人ＩＣカード６０に転送する。

［ステップＳ８５］代理人ＩＣカード６０は、乱数列を復号する。具体的には、代理人ＩＣカード６０のデータ処理部６３は、受け取った暗号化乱数列を秘密鍵６２で復号する。

［ステップＳ８６］代理人ＩＣカード６０のデータ処理部６３は、復号された乱数列に代理人カード識別子６１を付与して代理人デバイス６００に送信する。
［ステップＳ８７］代理人デバイス６００の接続要求部６２０は、代理人ＩＣカード６０から送られた乱数列を所有者デバイス７００に転送する。

［ステップＳ８８］所有者デバイス７００は、代理人デバイス６００から送られた乱数列の照合を行う。具体的には、所有者デバイス７００の認証部７３０は、代理人デバイス６００から送られた乱数列に付与されている代理人カード識別子に基づいて、その代理人カード識別子に対応する乱数列をメモリから取り出す。そして、認証部７３０は、メモリから取り出した乱数列と、代理人デバイス６００から送られた乱数列とを照合する。照合の結果一致すれば、認証部７３０は、代理人ＩＣカード６０が正当なものであることを認証する。

［ステップＳ８９］所有者デバイス７００の認証部７３０は、正しく認証できた場合、認証したことを示す認証通知を代理人デバイスに送信する。
このようにして、不正な代理人ＩＣカード６０の使用（例えば、代理人カード識別子の偽装による不正使用）を防止することができる。なお、第６の実施の形態においても、第２〜第５の実施の形態に示したような構成の変更が可能である。

なお、上記各実施の形態の処理機能は、コンピュータによって実現することができる。その場合、代理人デバイスのデバイス本体、所有者デバイスのデバイス本体、管理対象システムのデバイス本体が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disc）などがある。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

なお、本発明は、上述の実施の形態にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変更を加えることができる。
以上説明した実施の形態の主な技術的特徴は、以下の付記の通りである。

（付記１） 代理人側装置と、所有者側装置とを有し、管理対象のシステム内の暗号データの管理を行う暗号データ管理システムであって、
前記代理人側装置は、
代理人からの操作入力に応答して、該代理人の代理権を示す認証情報を所有者側装置に送信する送信手段と、
前記管理対象装置から前記暗号データを含むデータ処理要求が出力されると、前記データ処理要求を前記所有者側装置に転送すると共に、その後前記所有者側装置から返される該データ処理要求に対応した処理結果を前記管理対象装置に転送する転送手段と、
を有し、
前記所有者側装置は、
前記代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段と、
前記代理人側装置から前記代理人の認証情報を受信した場合、該認証情報を認証する代理人認証手段と、
前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証手段による認証が正常に行われ、かつ、該データ処理要求に対して前記委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、予め登録されている鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を実行する実行手段と、
前記実行手段による処理結果を前記代理人側装置に送信する結果送信手段と、
を有する暗号データ管理システム。

（付記２） 前記所有者側装置の、前記暗号データ記憶手段内の前記暗号データは公開鍵で暗号化されており、前記所有者側装置は、前記公開鍵に対応する秘密鍵を有しており、前記実行手段は、該秘密鍵を用いて前記暗号データを復号することを特徴とする付記１記載の暗号データ管理システム。

（付記３） 前記所有者側装置は、
前記秘密鍵と、前記秘密鍵で前記暗号データの復号処理を行うデータ処理手段とを具備する所有者ＩＣカードに接続可能なＩＣカードリーダライタと、
前記委任条件記憶手段と、
前記代理人側装置から前記認証情報を受信すると、前記認証情報と前記委任条件記憶手段内の前記照合用認証情報とを照合して前記代理人側装置を操作している代理人の代理権を認証する前記代理人認証手段と、
前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証手段により前記代理人側装置から送信された前記認証情報が認証されており、かつ代理人の委任条件に示される範囲内の処理であれば、予め登録された鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を前記所有者ＩＣカード内の前記データ処理手段に実行させる処理要求許否判定手段と、
前記結果送信手段と、
を具備する所有者デバイス装置と、
を有することを特徴とする付記２記載の暗号データ管理システム。

（付記４） 前記代理人側装置は、前記認証情報を送信する際には、予め登録された前記認証情報を送信し、
前記所有者側装置は、代理権を与えた代理人を認証するための照合用認証情報が予め登録されており、前記代理人認証手段は、前記代理人側装置から前記認証情報を受け取った場合、前記認証情報と前記照合用認証情報とを照合することで認証処理を実行することを特徴とする付記１記載の暗号データ管理システム。

（付記５） 前記代理人側装置は、
前記認証情報を記憶する代理人ＩＣカードを接続可能なＩＣカードリーダライタと、代理人からの操作入力に応答して、前記代理人ＩＣカードから前記認証情報を取得し、前記認証情報を前記所有者側装置に送信する送信手段と、前記管理対象装置から出力された前記データ処理要求を前記所有者側装置に転送し、前記データ処理要求に応答して前記所有者側装置から返される処理結果を前記管理対象装置に転送する転送手段と、を有する代理人デバイス装置と、
で構成されることを特徴とする付記４記載の暗号データ管理システム。

（付記６） 前記代理人側装置は、前記認証情報を送信する際には、前記所有者側装置に対して接続要求を送信し、前記接続要求に対して応答された暗号化乱数列を予め登録された秘密鍵で復号して復号後乱数列を生成し、前記複合後乱数列を前記認証情報として前記所有者側装置に送信し、
前記所有者側装置は、代理人を認証する際には、前記代理人側装置から送られた前記接続要求に応じて乱数列を生成し、予め前記代理人側装置に対応付けて登録された公開鍵で前記乱数列を暗号化して前記暗号化乱数列を生成し、前記暗号化乱数列を前記代理人側装置に送信し、前記代理人側装置から前記認証情報として送られた前記復号後乱数列を、生成した前記乱数列と照合することで認証を行う、
ことを特徴とする付記１記載の暗号データ管理システム。

（付記７） 前記代理人側装置は、
前記秘密鍵と、前記秘密鍵で前記暗号化乱数列の復号処理を行うデータ処理手段とを有する代理人ＩＣカードと、
前記代理人ＩＣカードを接続可能なＩＣカードリーダライタと、代理人からの操作入力に応答して、前記所有者側装置に対して接続要求を送信し、前記接続要求に対して応答された前記暗号化乱数列を前記代理人ＩＣカードで復号させ、復号によって生成された前記復号後乱数列を前記認証情報として前記所有者側装置に送信する送信手段と、前記管理対象装置から出力された前記データ処理要求を前記所有者側装置に転送し、前記データ処理要求に応答して前記所有者側装置から返される処理結果を前記管理対象装置に転送する転送手段と、を有する代理人デバイス装置と、
で構成されることを特徴とする付記６記載の暗号データ管理システム。

（付記８） 前記委任条件には、代理権によるデータ処理を許可する日時が定義されていることを特徴とする付記１記載の暗号データ管理システム。
（付記９） 前記委任条件には、代理権によるデータ処理の回数の制限値が定義されていることを特徴とする付記１記載の暗号データ管理システム。

（付記１０） 前記代理人側装置は、前記管理対象システムに接続されたＩＣカードリーダライタに挿入可能なカード型プローブを有し、前記カード型プローブを介して前記データ処理要求を受け取ることを特徴とする付記１記載の暗号データ管理システム。

（付記１１） 代理人側装置と、所有者側装置とを有し、管理対象のシステム内の暗号データの管理を行う暗号データ管理システムが行うデータ管理方法であって、
前記代理人側装置は、
代理人からの操作入力に応答して、該代理人の代理権を示す認証情報を所有者側装置に送信する送信ステップと、
前記管理対象装置から前記暗号データを含むデータ処理要求が出力されると、前記データ処理要求を前記所有者側装置に転送すると共に、その後前記所有者側装置から返される該データ処理要求に対応した処理結果を前記管理対象装置に転送する転送ステップと、
を実行し、
前記所有者側装置は、
前記代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段にアクセス可能であり、
前記代理人側装置から前記代理人の認証情報を受信した場合、該認証情報を認証する代理人認証ステップと、
前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証ステップによる認証が正常に行われ、かつ、該データ処理要求に対して前記委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、予め登録されている鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を実行する実行ステップと、
前記実行ステップによる処理結果を前記代理人側装置に送信する結果送信ステップと、
を実行する暗号データ管理方法。

実施の形態の概要を示す図である。 本実施の形態のシステム構成例を示す図である。 本実施の形態に用いる代理人デバイスのハードウェア構成例を示す図である。 暗号データ管理機能を示すブロック図である。 委任条件記憶部のデータ構造例を示す図である。 正常にデータ処理が実行される場合の処理手順を示すシーケンス図である。 認証エラーとなる場合の処理手順を示すシーケンス図である。 所有者ＩＣカードが抜かれた場合の処理手順を示すシーケンス図である。 処理要求許否判定処理の手順を示すフローチャートである。 ＵＳＢインタフェースによる接続例を示す図である。 代理人ＩＣカードの機能をデバイス本体に内蔵した例を示す図である。 複数の所有者ＩＣカードを同時に使用可能な所有者デバイスの例である。 複数の所有者ＩＣカードの機能をデバイス本体に内蔵した例を示す図である。 公開鍵方式で代理人認証を行うシステムの機能ブロック図である。 委任条件記憶部のデータ構造例を示す図である。 公開鍵による認証手順を示すシーケンス図である。

符号の説明

１ 管理対象装置
１ａ 暗号データ記憶手段
２ 代理人側装置
２ａ 送信手段
２ｂ 転送手段
３ 所有者側装置
３ａ 鍵
３ｂ 委任条件記憶手段
３ｃ 代理人認証手段
３ｄ 処理要求許否判定手段
３ｅ データ処理手段
３ｆ 結果送信手段
３ｇ 実行手段
４ ネットワーク

Claims (6)

1. 代理人側装置と、所有者側装置とを有し、管理対象装置内の暗号データの管理を行う暗号データ管理システムであって、
   前記代理人側装置は、
   代理人からの操作入力に応答して、該代理人の代理権を示す認証情報を所有者側装置に送信する送信手段と、
   前記管理対象装置から前記暗号データを含むデータ処理要求が出力されると、前記データ処理要求を前記所有者側装置に転送すると共に、その後前記所有者側装置から返される該データ処理要求に対応した処理結果を前記管理対象装置に転送する転送手段と、
   を有し、
   前記所有者側装置は、
   前記代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段と、
   前記代理人側装置から前記代理人の認証情報を受信した場合、該認証情報を認証する代理人認証手段と、
   前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証手段による認証が正常に行われ、かつ、該データ処理要求に対して前記委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、予め登録されている鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を実行する実行手段と、
   前記実行手段による処理結果を前記代理人側装置に送信する結果送信手段と、
   を有する暗号データ管理システム。
2. 前記管理対象装置内の前記暗号データは公開鍵で暗号化されており、前記所有者側装置は、前記公開鍵に対応する秘密鍵を有しており、前記実行手段は、該秘密鍵を用いて前記暗号データを復号することを特徴とする請求項１記載の暗号データ管理システム。
3. 前記所有者側装置は、
   前記秘密鍵と、前記秘密鍵で前記暗号データの復号処理を行うデータ処理手段とを具備する所有者ＩＣカードに接続可能なＩＣカードリーダライタと、
   前記委任条件記憶手段と、
   前記代理人側装置から前記認証情報を受信すると、前記認証情報と前記委任条件記憶手段内の前記照合用認証情報とを照合して前記代理人側装置を操作している代理人の代理権を認証する前記代理人認証手段と、
   前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証手段により前記代理人側装置から送信された前記認証情報が認証されており、かつ代理人の委任条件に示される範囲内の処理であれば、予め登録された鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を前記所有者ＩＣカード内の前記データ処理手段に実行させる処理要求許否判定手段と、
   前記結果送信手段と、
   を具備する所有者デバイス装置と、
   を有することを特徴とする請求項２記載の暗号データ管理システム。
4. 前記代理人側装置は、前記認証情報を送信する際には、予め登録された前記認証情報を送信し、
   前記所有者側装置は、代理権を与えた代理人を認証するための照合用認証情報が予め登録されており、前記代理人認証手段は、前記代理人側装置から前記認証情報を受け取った場合、前記認証情報と前記照合用認証情報とを照合することで認証処理を実行することを特徴とする請求項１記載の暗号データ管理システム。
5. 前記代理人側装置は、
   前記認証情報を記憶する代理人ＩＣカードを接続可能なＩＣカードリーダライタと、代理人からの操作入力に応答して、前記代理人ＩＣカードから前記認証情報を取得し、前記認証情報を前記所有者側装置に送信する送信手段と、前記管理対象装置から出力された前記データ処理要求を前記所有者側装置に転送し、前記データ処理要求に応答して前記所有者側装置から返される処理結果を前記管理対象装置に転送する転送手段と、を有する代理人デバイス装置と、
   で構成されることを特徴とする請求項４記載の暗号データ管理システム。
6. 代理人側装置と、所有者側装置とを有し、管理対象装置内の暗号データの管理を行う暗号データ管理システムが行うデータ管理方法であって、
   前記代理人側装置は、
   代理人からの操作入力に応答して、該代理人の代理権を示す認証情報を所有者側装置に送信する送信ステップと、
   前記管理対象装置から前記暗号データを含むデータ処理要求が出力されると、前記データ処理要求を前記所有者側装置に転送すると共に、その後前記所有者側装置から返される該データ処理要求に対応した処理結果を前記管理対象装置に転送する転送ステップと、
   を実行し、
   前記所有者側装置は、
   前記代理人側装置を使用する代理人の委任条件が予め格納された委任条件記憶手段にアクセス可能であり、
   前記代理人側装置から前記代理人の認証情報を受信した場合、該認証情報を認証する代理人認証ステップと、
   前記代理人側装置からの前記データ処理要求を受信した場合、前記代理人認証ステップによる認証が正常に行われ、かつ、該データ処理要求に対して前記委任条件記憶手段に示される代理人の委任条件の範囲内の処理であれば、予め登録されている鍵を用いて、許可された前記データ処理要求に含まれる前記暗号データの復号を伴うデータ処理を実行する実行ステップと、
   前記実行ステップによる処理結果を前記代理人側装置に送信する結果送信ステップと、
   を実行する暗号データ管理方法。
   

Images