JP4680543B2 - ログ作成システム及びログ作成方法 - Google Patents

Description

この発明は、入退出時に入退出者が電子機器を操作することで署名付きログデータが作成され、これを必要に応じて検証することでセキュアに管理するシステムに関するものである。

従来の入退出管理は、典型的には、タイムスタンプあるいは個人が所有するカード（社員証など）を出入り口に設置した管理装置に通すことにより管理する方式である。また、特許文献１の「作業管理システム及び管理方法」によれば、作業者の作業時間と場所を特定し、認証する管理システムである。構成として、現場に特定の登録済みの固定電話を設置して、この固定電話からのみ作業者識別情報（ＩＤ）および作業開始時間、作業終了時間の場所情報を受付け、入退出ログとして取得する。そしてログを管理者が署名して保存する方式が示されている。

他の入退室管理システム相当として、特許文献２の「ネットワークを介したセキュリティ管理方法およびシステム」によれば、家庭への訪問者が悪意を持つ場合の事前対処を目的として、訪問者の署名を登録会社がオンライン認証して配達員の正当性を保証するシステムが示されている。
特開２００３−２１６７９２号公報 特開２００３−１４１６６４号公報

従来の入退出管理のシステムで、署名が行われていないものに関しては、個人を特定するＩＤの偽造が容易であるので、そのデータが本人によるものであるという保証が必ずしも出来ず、ログ取得後のデータの真正性を保障できない。
また、特許文献１に示されるシステムでは、署名は個人でなく管理者であることから、個人の特定に関して同様に、保障が出来ないという課題がある。
更に特許文献２による方式は、単に本人であることを認証するだけであり、その場所にその時間に居たことをログとして残すことに署名をするものではない。従って場所と時間、更には内容を本人が承認して残すログに関しては、データの正当性を保証するシステムがない、という課題がある。

この発明は上記のような課題を解決するためになされたもので、例えばＰＩＮ情報の入力が正しい場合にのみ操作続行を行うようなＩＣカード利用による署名や、指紋情報、顔情報、音声情報などを用いて成りすまし困難な個人情報と共に入退出日時と場所の情報を含めて署名されたデータを検証することで、特定の人物の入退出情報として日時、場所情報の保証を行う入退出管理システムを得ることを目的とする。

この発明に係るログ検証システムは、携帯電子機器に保持された特定者の第１の署名情報と、別に入力された上記特定者の第２の署名情報とを比較して、一致している場合はこの署名情報と、所定の場所または所定の時間情報とを共にし第１の署名情報を用いて署名した保管用データを作成するログ作成装置と、
上記特定者に関するログ検証要求があると、上記保管用データを検索してこのログ検証要求に該当するログを取得して、この取得した該当するログ中の上記特定者の署名情報を抽出し、抽出したこの抽出署名情報から上記特定者の公開鍵情報を得て、取得した公開鍵を用いて上記該当するログを検証するログ検証装置、とで構成される。

この発明によれば、本人のものと確認された情報と電子署名により、本人の入退出情報としての日時、場所情報のログの正当性を保証できる効果がある。

実施の形態１．
例えばＩＣカード内に収められた個人情報と共に入退出日時と場所の情報を含めて署名されたデータを検証することで、特定者としての個人の入退出情報である日時、場所情報の保証を行うシステムを説明する。
図１は本実施の形態におけるログデータ作成と検証システムの構成を示す図である。ここでは、携帯電子機器１は、個人情報を含むＩＣカードであり、ＰＩＮがパスワードである場合を例とする。また図１では図示していないが、管理対象である部屋の入退室用のゲートと、ログ作成装置４とが接続されており、後で述べるように、デバイス１とデバイス２との署名情報が一致する場合のみ、ゲートが開く構成である。
図１において、ＩＣカード１は個人が所有する携帯電子機器であり、個人が署名に使用する情報である。詳しくは、個人の秘密鍵および証明書（証明書情報）および個人を識別するためのログ情報の一部を保持していて、情報読取り用の第１デバイス２が内容を読取るようになっている。パスワードを読取る第２デバイス３は、直接入力される個人の署名情報を読取る読取り部を持つ。
ログ作成装置４は、第１デバイス２と第２デバイス３と接続して、場所情報および日時情報と個人情報を含めたログ情報に対して電子署名が可能で、データをログ管理サーバに送信する機能を持つ。またログ管理サーバ５は、ログ作成装置４から送信されたデータを保持する機能を持つ装置である。

図２は本実施の形態における、例えば管理装置側にある、ログデータ検証に関するシステムの構成を示す図である。図２において、ログ管理サーバ５は図１のそれと同一のものであり、ログ検証装置７は、ログ管理サーバ５と接続して、また検証対象情報８としてのキーワードを受付けて取得する機能を持つ。そしてこの検証対象情報８を基にログ管理サーバ５から保持している該当ログデータを検索して取得し、この取得したログデータから個人情報を取得し、この取得した個人情報をもとにディレクトリサーバ６から個人の公開鍵を取得し、この取得した公開鍵を用いて取得したログデータの検証を行う。

図３に本実施の形態におけるログ作成装置４が行う動作フローチャートを示す。また図４に本実施の形態におけるログ検証装置７が行う動作フローチャートを示す。更に図５にログデータのサンプルとして、ＸＭＬ文書形式の場合のデータ例を示す。
次に動作について説明する。
まずログデータ作成時の動作を説明する。図３において、携帯電子機器１としてのＩＣカードを第１デバイス２に接続し、ログ作成装置４はＳ３１で、秘密鍵および証明書とその他の個人情報、例えば携帯電子機器に記憶されている個人を示すシステム運用範囲内での一意な情報（社員番号、国民年金番号など）を取得または使用する。更に入退室者が第２デバイス３に識別用のＰＩＮ入力を行い、これをＳ３２で取得する。このＰＩＮ情報としては、パスワード、指紋情報、顔情報、音声情報など認証できるものなら何でもよい。

ログ作成装置４は情報読取り機能４３により、両方の第１デバイス２からのＩＣカード（携帯電子機器１）内に登録されている上記のパスワード等のＰＩＮ情報と、第２デバイス３から入力されたＰＩＮ入力とをＳ３３で照合して、正しい場合は入退室のゲートが開き、かつ操作を続行指示し、これらのＰＩＮがくい違っている場合は、操作は中止して入場拒否する。 操作を続行指示すると更にＳ３４で、ログ作成装置４内の日時情報作成機能４１と場所情報作成機能４２で保持または生成された日時および場所データと、個人識別情報（個人識別情報は、携帯電子機器１から読み取った個人識別情報および、指紋情報、顔情報、音声情報など個人を特定できるものであれば何でもよい。）を合わせてデータとしてまとめる。このデータ対して署名データ作成機能４４がＳ３５で、携帯電子機器１内の秘密鍵および証明書を用いて署名生成する。そしてこの署名生成したデータをログデータとして、データ送信機能４５がＳ３６でログ管理サーバ５に送信する。
ログ管理サーバ５は、この送信された署名付データをログ管理サーバ５内で保持する。（その他必要に応じて情報を追加し署名作成しログデータとしてもよい。）例として保管するデータ形式をＸＭＬ形式としたものを示したものが図５である。

次に、ログデータ検証時の動作について説明する。
ログ管理サーバ５は、上記ログデータ作成時のログサーバと同一のものであり、これに接続されたログ検証装置７に対して取得するログを指定する。また例えばＸＭＬ形式で記述されたログデータの場合、タグや属性を指定する。ログ検証装置７は、この取得指定されたログデータをログ管理サーバ５から検索して、Ｓ４２で該当するログデータを取得する。次にＳ４２で取得したログデータから個人識別情報を取り出し、これをもとにディレクトリサーバから署名検証に用いる個人の公開鍵情報を取得する。最後にＳ４３で取得した公開鍵を用いて、ログデータを検証する。

以上のように、ログデータとしてＩＣカード情報の入力、指紋情報入力、顔情報入力、音声情報入力など個人を特定するデータなら何でも個人情報として用いる事が可能で、この個人情報のデータを、場所情報、日時を含めて署名するようにしているので、後にデータを検証しても、検証が成功すればデータの真正性が立証される。もし検証が不成功であれば、データに何らかの誤りがあることがわかり、真正性が立証されない。また検証時に個人情報を用いてディレクトリサーバ６から検証に用いる鍵を特定すれば、他人が署名したログデータでないことを保証できるため、更にログデータの真正性を保証できる。

また検証時に個人情報を用いてディレクトリサーバ６から検証に用いる鍵を特定することにより、他人が署名したログデータでないことを保障できるため、ログデータの真正性が増す。
また、入場時のみでもよいのだが、退場時にもログデータ作成を行うことで在場時間の管理なども可能となる。
更にまた、ログデータをタグ形式にすることで理解しやすく検索しやすい効率的な状態でデータの管理を行うことも出来る。
また、ＰＩＮ入力が間違った場合は操作の中止ができるので、ログデータ作成の操作が完了しなかった場合は自動ドアなどの扉と連動させて入場または退場を拒否することも可能である。
また、上記扉の替わりに一人づつ入退場用させるための入退場バーなどと連動させることで、１回のログデータ作成操作で一人のみを通すことができ、一人の操作で二人以上入場してしまうといった不具合を防ぐことが可能である。

実施の形態２．
上記の実施の形態１では、ＩＣカードを用いたログデータを作成しているが、本実施の形態ではＩＣカードなしに、例えば指紋情報のみでログデータを作成する実施の形態を説明する。このログ作成後の、ログデータ検証については実施の形態１と同様なので、説明を省略する。
本実施の形態における構成を説明するが、この場合は携帯電子機器１（ＩＣカード）と第１デバイス２は不要である。従って図１の構成で、第１デバイス２が無く、第２デバイス３ｂが個人情報を識別する。この場合の個人情報は、指紋情報、顔情報、音声情報など個人の特定が可能であるものならなんでもよい。
また、ここで入力情報の認証を行う場合は、ログ作成装置４内または他に認証用のデータを保持する機能および認証機能を用意して認証を行う。

次に動作を説明する。この場合の動作フローも、図３を用いて行う。
先ず第２デバイス３ｂがＳ３２で指紋情報、顔情報等の個人情報を取得する。Ｓ３３で認証に成功した場合はＳ３４以下の操作を続行し、失敗した場合は操作を中止する。認証を行わない場合は操作の中止はないため、直接の入場拒否はできず、ログの取得のみ行うことが可能である。
操作を続行する場合はＳ３４で、ログ作成装置４内で保持または生成された日時および場所データと個人人識別情報をあわせてデータとする。そしてＳ３５で、このデータ対して図示されていない署名生成装置内に保持されている管理者の秘密鍵および証明書を用いて署名生成する。Ｓ３６でこのデータをログデータとしてログ管理サーバ５へ送信し、ログ管理サーバ５内で保管する。
また、ログデータには指紋、顔写真、音声そのものの情報などを個人情報として残す。検証時には、図にはないが検証装置収められた管理者の公開鍵を用いて署名検証を行い、ログ情報に改ざんがなかったことを確かめる。本人確認は、ログ内の顔や音声の情報をあらかじめ登録済である情報と直接比較して行う。

このように、ＩＣカード等の携帯電子機器１を用いずに署名作成する場合は、署名は管理者側が行うこととなるが、個人情報として指紋、顔、音声などの確実に個人を特定できる情報を署名要素として入れることで、その後のログは署名した人物に関するものであること確実に保証できる。即ち、後にログデータの検証が必要になった場合も、特定の個人に関するデータであることを保証することができる。

この発明の実施の形態１におけるログ作成装置と検証システムの構成を示す図である。 実施の形態１におけるログデータ検証に関するシステムの構成を示す図である。 実施の形態１におけるログ作成装置が行う動作を示すフロー図である。 実施の形態１におけるログ検証装置が行う動作を示すフロー図である。 実施の形態１におけるログデータ例であるＸＭＬ文書形式のデータを示す図である。

符号の説明

１ 携帯電子機器（ＩＣカード）、２ （情報読取り）第１デバイス、３ （情報読取り）第２デバイス、４ ログ作成装置、５ ログ管理サーバ、６ ディレクトリサーバ、７ ログ検証装置、８ 検証対象情報、４１ 日時情報作成機能、４２ 場所情報作成機能、４３ 情報読取り機能、４４ 署名データ作成機能、４５ データ送信機能、５１ ログデータ保持機能、７１ 検証対象情報取得機能、７２ 検証対象のログ情報検索・取得機能、７３ 個人識別情報読取り機能、７４ 公開鍵検索・取得機能、７５ 署名検証機能、Ｓ３１ 個人情報取得ステップ、Ｓ３２ ＰＩＮ情報取得ステップ、Ｓ３３ ＰＩＮ情報の検証ステップ、Ｓ３４ ログデータをまとめるステップ、Ｓ３５ 署名作成ステップ、Ｓ３６ ログ管理サーバへ送信するステップ、Ｓ４１ ログデータ取得ステップ、Ｓ４２ 公開鍵取得ステップ、Ｓ４３ 公開鍵による検証ステップ。

Claims (6)

1. 特定者が所持する携帯電子機器に保持された上記特定者を特定する第１の個人情報と上記特定者の秘密鍵とを上記携帯電子機器から読み取る第１デバイスと、
   上記特定者を特定する第２の個人情報を上記特定者から取得する第２デバイスと、
   場所データを生成する場所情報作成機能と、
   日時データを生成する日時情報作成機能と、
   上記第１デバイスが読み取った第１の個人情報と、上記第２デバイスが取得した第２の個人情報とを照合して上記特定者を認証する情報読取り機能と、
   上記情報読取り機能が上記特定者を認証した場合に、上記第２デバイスが取得した第２の個人情報と、上記場所情報作成機能が生成した場所データと、上記日時情報作成機能が生成した日時データとを合わせてデータとしてまとめ、上記第２の個人情報と上記場所データと上記日時データとをまとめたデータに対して、上記第１デバイスが読み取った上記特定者の秘密鍵を用いて署名して保管用データを作成する署名データ生成機能と、
   上記署名データ生成機能が署名した保管用データを保持するログ管理サーバとを有することを特徴とするログ作成システム。
2. 上記ログ作成システムは、更に、
   上記ログ管理サーバが保持した保管用データを取得し、上記特定者の公開鍵を用いて、取得した保管用データの署名を検証するログ検証装置を有することを特徴とする請求項１に記載のログ作成システム。
3. 上記ログ作成システムは、更に、入退室のゲートを有し、
   上記情報読取り機能が上記特定者を認証しない場合は、上記ゲートを閉じて入場を拒否することを特徴とする請求項１または請求項２に記載のログ作成システム。
4. 特定者が所持する携帯電子機器に保持された上記特定者を特定する第１の個人情報と上記特定者の秘密鍵とを上記携帯電子機器から読み取り、
   上記特定者を特定する第２の個人情報を上記特定者から取得し、
   場所データを生成し、
   日時データを生成し、
   読み取った第１の個人情報と、取得した第２の個人情報とを照合して上記特定者を認証し、
   上記特定者を認証した場合に、取得した第２の個人情報と、生成した場所データと、生成した日時データとを合わせてデータとしてまとめ、
   上記第２の個人情報と上記場所データと上記日時データとをまとめたデータに対して、読み取った上記特定者の秘密鍵を用いて署名して保管用データを作成し、
   作成した保管用データを保持することを特徴とするログ作成方法。
5. 上記ログ作成方法は、更に、
   保持した保管用データを取得し、
   上記特定者の公開鍵を用いて、上記保管用データの署名を検証することを特徴とする請求項４に記載のログ作成方法。
6. 上記ログ作成方法は、更に、
   上記特定者を認証しない場合に、入退室のゲートを閉じて入場を拒否することを特徴とする請求項４または請求項５に記載のログ作成方法。

Images