JP4801777B2 - 認証処理システム、及び認証処理方法、並びにプログラム - Google Patents

Description

本発明は、認証処理システム、及び認証処理方法、並びに認証処理プログラムに関し、例えば、暗号ファイルが存在するフォルダに対してファイルアクセスをする場合に、ユーザが実際に暗号ファイルの使用を開始した時点で、ユーザのファイル操作と同期し、フォルダ単位の認証を可能とするオンデマンドの認証処理に関するものである。

認証処理システムにおいて、ユーザに認証を求めるのは、ＰＣログイン時やシステム開始時にシステムとして一回認証を行うことが一般的である。一方で、フォルダ毎に鍵情報が異なるフォルダ単位でのアクセスコントロールを有する暗号処理システムと併用する場合においては、フォルダ毎に認証処理を行うことが求められる。システム開始時に全てのフォルダの認証処理を行うことは可能だが、正当なユーザが実際に使用しないフォルダに対する認証を行い、以後アクセス可能な状態にしておくと、害意あるユーザの不正使用のリスクが大きくなる。また、実際に使用しないフォルダの鍵情報を事前にＰＣに格納しておくことは、セキュリティ的にリスクを伴う。更に、鍵情報が無い状態で暗号ファイルへのアクセスを許すことは、暗号データが復号されずに、ユーザ操作を誤るとファイル破壊を引き起こす可能性もある。

従って、ユーザが暗号ファイル使用を開始する前は暗号ファイルへのアクセスを禁止し、ユーザがファイル使用を開始した時点で認証処理を行い、認証処理成功後に初めて鍵情報をＰＣにダウンロードし、暗号ファイルへのアクセスを可能とする何らかの技術が必要になる。

このような、暗号ファイル使用開始時に認証を行って鍵情報ファイルを用いてデータファイルを復号する方式として、例えば特許文献１が提案されている。特許文献１では、暗号化されたデータファイルと、それに対応する鍵情報ファイルをＩＣカードに格納し、データファイルを開く時に認証を行って鍵情報ファイルを用いてデータファイルを復号するシステムである。
特開２００５−３５２９６１号公報

しかしながら、特許文献１では、システムにデータファイルと鍵となるファイルとを個々に持たせているため、鍵となる情報を外部から認識する事が可能である。従って、害意あるユーザが、この鍵情報を他のＩＣカードに移し変える等の手段を用いて、データファイルを不正に使用することができてしまう。

また、ＰＣログイン時やシステム開始時ではなく、ユーザのファイル操作と同期してフォルダ認証を行う場合には、暗号ファイルへのファイルアクセスを検知する、認証処理が完了するまでファイルアクセスをブロックする、認証結果に応じてファイルアクセスの許可・禁止を行う、といったファイルアクセス単位での動的な認証処理を行う必要がある。ところが、このようなファイル単位の認証は、セキュリティとしては強固となるものの、ユーザにとって使い勝手の悪いものとなってしまう。

本発明はこのような状況に鑑みてなされたものであり、セキュリティとして強固であり、かつ、ユーザにとって使い勝手の良い認証処理を提供するものである。

上記課題を解決するために、本発明では、機密フォルダからの暗号ファイル読み出し、或いは、機密フォルダへのファイルの書き込みの際に、ファイルＩ／Ｏを検知してブロックし、認証を行う。認証が成功すれば、ファイルＩ／Ｏのブロックを解除して、機密フォルダに設定された共通の鍵を用いて、読み出すべき暗号ファイルの復号、書き込むべきファイルの暗号化を行う。復号されたファイルは、アプリケーションを介してユーザに提供され、暗号化されたファイルは、機密フォルダに書き込まれる。この一連の処理は、同一の機密フォルダであってもユーザのログイン毎に実行される。つまり、前回のログインにおいて認証処理が成功し、ある機密フォルダのファイルＩ／Ｏが許可されたとしても、一旦ログアウトしてしまえば、次のログイン時に再度認証処理が実行される。

即ち、本発明による認証処理システムは、プログラムを実行するコンピュータを用いて、フォルダ内に格納されている暗号ファイルへのアクセス時に認証処理を実行する、認証処理システムである。そして、暗号ファイルは、フォルダ毎に共通の暗号鍵で暗号化されている。当該認証処理システムは、暗号ファイルへのアクセスを検知するアクセス検知手段と、アクセス検知手段が暗号ファイルへのアクセスを検知した場合に、暗号ファイルへのアクセスを一時的にブロックするアクセスブロック手段と、アクセスがブロックされた状態で、認証処理を実行する認証手段と、認証処理の結果が認証成功の場合、暗号ファイルへのアクセスブロックを解除して暗号化ファイルへのアクセスを許可し、認証処理の結果が認証失敗の場合、暗号ファイルへのアクセスを禁止する、アクセス許可手段と、共通の暗号鍵を用いて、アクセスが許可された暗号ファイルを復号する暗号処理手段と、を備える。

当該認証処理システムは、さらに、アクセス検知手段が暗号ファイルへのアクセスを検知した場合に、暗号ファイルが属するフォルダの認証状態を判定する認証状態判定手段を備え、認証状態が「未認証」及び「認証中」の場合、アクセスブロック手段が、暗号化ファイルへのアクセスを一時的にブロックし、認証状態が「認証済」の場合、暗号処理手段が、共通の暗号鍵を用いて前記暗号ファイルを復号する。なお、認証手段は、認証処理を、ユーザのログイン毎に実行する。

当該認証処理システムは、さらに、暗号ファイルに対する認証処理開始のタイミングを管理する認証タイミング管理手段を備え、アクセス検知手段は、複数のフォルダに含まれる各暗号ファイルへのそれぞれのアクセスを検知し、認証タイミング管理手段は、各暗号ファイルに対する認証処理開始についてのタイムアウト発生を検知し、タイムアウトとなった暗号ファイルへのアクセスを禁止する。また、当該認証処理システムは、さらに、暗号ファイルに対する認証処理の時間を監視し、タイムアウトとなった認証処理に対応する暗号ファイルへのアクセスを禁止する認証処理時間管理手段を備える。

当該認証処理システムにおいて、アクセス検知手段は、一のフォルダに含まれる複数の暗号ファイルへのそれぞれのアクセスを検知し、アクセス許可手段は、複数の暗号ファイルのうち最初にアクセスされた暗号ファイルへの認証処理が成功した場合に、複数の暗号ファイルに対する全てのアクセスブロックを解除する。また、アクセス許可手段は、最初にアクセスされた暗号ファイルへの認証処理が失敗の場合に、複数の暗号ファイルに対する全てのアクセスを禁止する。

本発明による認証処理システムは、プログラムを実行するコンピュータを用いて、機密フォルダ内にファイルを書き込むときに認証処理を実行する、認証処理システムであって、機密フォルダ内のファイルは、共通の暗号鍵で暗号化されるようになっている。そして、当該認証処理システムは、機密フォルダへのファイル書き込み動作を検知するアクセス検知手段と、アクセス検知手段がファイル書き込み動作を検知した場合に、ファイルの書き込みを一時的にブロックするアクセスブロック手段と、書き込みがブロックされた状態で、認証処理を実行する認証手段と、認証処理の結果が認証成功の場合、書き込みのブロックを解除し、認証処理の結果が認証失敗の場合、機密フォルダに対するファイルの書き込みを禁止する、アクセス許可手段と、共通の暗号鍵を用いて、ブロック解除されたファイルを暗号化して、機密フォルダに書き込む暗号処理手段と、を備える。

本発明は、さらに、コンピュータを上述の認証処理システムとして機能させるプログラム、及び上述の認証処理システムに対応する認証処理方法を提供する。

さらなる本発明の特徴は、以下本発明を実施するための最良の形態および添付図面によって明らかになるものである。

本発明によれば、暗号ファイルが存在するフォルダに対してファイルアクセスする場合に、ユーザが実際にファイルの使用を開始した時点で、ユーザのファイル操作と同期してフォルダ毎の認証を行うことで、不正アクセスのリスクを軽減する。また、ユーザが実際に必要な鍵情報のみをＰＣに格納することでセキュリティリスクを軽減することが可能になる。

本発明の実施形態による認証処理システムの概略構成を示す図である。 フォルダ認証処理を説明するためのフローチャートである。 複数フォルダ認証の概念を説明するための図である。 複数フォルダ認証処理を説明するためのフローチャートである。 複数ファイルアクセス時のフォルダ認証の概念を説明するための図である。 複数ファイルアクセス時のフォルダ認証処理を説明するためのフローチャートである。

符号の説明

１…クライアント端末
２…ファイルサーバ
３…認証サーバ
４…ネットワーク
５…利用者
１１…フォルダ認証処理ドライバ
１２…暗号処理プログラム部
１３…上位アプリケーション
１４…リダイレクタ
１５…クライアントサービス部
１００…認証処理システム

本発明は、暗号ファイルが存在するフォルダに対してファイルアクセスする場合に、ユーザが実際にファイルの使用を開始した時点（ファイルをクリックしたり、カーソルをファイル上に合わせたとき）で、ユーザのファイル操作と同期して、フォルダ毎の認証を提供することを可能とするオンデマンドの認証処理システムを提供する。

以下、本発明による実施形態について添付図面を用いて詳細に説明する。なお、本発明による実施形態は本発明を実現する上での一例に過ぎず、本発明はこれによって限定されるものではなく、発明の本質を逸脱しない範囲で変更又は／及び改良することができる。

＜認証処理システムの構成＞
図１は、本発明の実施形態に係る認証処理システム１００の概略構成を示すブロック図である。認証処理システム１００は、フォルダ認証及び暗号ファイルの暗号化・復号化等を行うクライアント端末１と、暗号ファイルを保存するファイルサーバ２と、暗号ファイルアクセスのためのユーザ認証を行う認証サーバ３とを備え、それぞれがネットワーク４で接続されて構成されている。なお、クライアント端末１に、認証サーバ３で実行する認証プログラム及びファイルサーバ２のフォルダに対応する機密フォルダを持たせる構成を採用しても良い。

クライアント端末１では、フォルダ単位で同一フォルダ内のファイルに対する認証（以下、「フォルダ認証」という）を行うフォルダ認証処理ドライバ１１と、暗号ファイルの暗号・復号処理を行う暗号処理プログラム部１２と、ユーザ５等によって起動される上位アプリケーション１３と、指定されたファイルをネットワーク上のファイルサーバ２から検索して読み込んでくるリダイレクタ１４と、フォルダ認証を制御するクライアントサービス部１５等が稼動している。

ファイルサーバ２には、暗号ファイル２２が格納される共有機密フォルダ２１が存在している。

認証サーバ３は、クライアントサービス部１５と相互に通信し、ユーザ認証を実行する。クライアントサービス部１５は、入力部１７からユーザ５によって入力されたパスワード等を認証サーバ３に引渡して認証要求をする。認証サーバ３は、その認証要求に従って、ユーザ認証を実行し、その成否をクライアントサービス部１５に通知する。

＜暗号ファイルへのアクセス＞
次に、ユーザ５がネットワーク上の共有機密フォルダ２１に格納されている暗号ファイル２２をアクセスする手順について説明する。

ユーザ５が、クライアント端末１の上位アプリケーション１３を介して共有機密フォルダ２１の暗号ファイル２２にアクセスした場合、フォルダ認証処理ドライバ１１がファイルＩ／Ｏを検知する。フォルダ認証処理ドライバ１１は共有機密フォルダ２１の認証状態を、認証状態管理テーブル１９を用いてチェックし、未認証の場合は検知したファイルＩ／Ｏを一時的にブロックする。ここで、認証状態管理テーブル１９は、アクセスした暗号ファイルが属するフォルダに対して認証が完了しているか否かを管理するテーブルであり、フォルダ識別情報に対応して、認証中、認証済の状態を格納している。例えば、テーブル中にあるフォルダの識別情報がなければ当該フォルダは未認証の状態であることが分かるようにしても良いし、ファイルサーバにある全てのフォルダの識別情報を取得して認証済・未認証を管理するようにしても良い。なお、この認証状態管理テーブル１９は、正規ユーザ５のログアウトによってリセットされ、再度ログインしたときに各フォルダの認証状態の管理が再開される。つまり、フォルダ認証は１回のログイン中にのみ有効であり、ログアウトして次のログインが行われれば、前回にフォルダ認証済であっても再度フォルダ認証されるのである。

フォルダ認証処理ドライバ１１は、クライアントサービス部１５に対して、共有機密フォルダ２１の認証要求を通知する。そして、クライアントサービス部１５は、画面表示部１６、入力部１７を介して、ユーザ５に認証のためにパスワード等の入力を要求する。パスワード等を受取ったクライアントサービス部１５は、認証サーバ３に問合せて認証を要求し、認証がＯＫの場合は共有機密フォルダ２１の暗号鍵１８を取得して認証結果とともにフォルダ認証処理ドライバ１１に渡す。

認証結果が成功である場合、フォルダ認証処理ドライバ１１は、一時的にブロック中のファイルＩ／Ｏのブロックを解除する。フォルダ認証処理ドライバ１１は、ファイルＩ／Ｏをリダイレクタ１４に伝える。

ファイルＩ／Ｏを受け取ったリダイレクタ１４は、ファイルＩ／Ｏが読み込みの場合、ファサーバ２を検索して、共有機密フォルダ２１内の暗号ファイル２２の暗号データを読み込んで、フォルダ認証処理ドライバ１１に引き渡す。なお、ファイルＩ／Ｏが書き込みの場合、リダイレクタ１４は、共有機密フォルダ２１に書き込むべき暗号データをファイルとして格納する。

フォルダ認証処理ドライバ１１は、受け取った暗号データと、先にクライアントサービス部１５から受け取った暗号鍵１８を暗号処理プログラム部１２に引き渡す。暗号処理プログラム部１２は暗号鍵１８を使用して、暗号データを復号する。フォルダ認証処理ドライバ１１は、復号データを上位アプリケーション１３に引き渡す。

＜フォルダ認証処理＞
図２は、フォルダ認証処理を説明するためのフローチャートである。フォルダ認証処理では、フォルダ認証処理ドライバ１１がファイルＩ／Ｏ検知後に共有機密フォルダの認証状態を判別し、ファイルＩ／Ｏを制御し、フォルダ認証を行っている。

まず、ユーザ５によって共有機密フォルダ２１の暗号ファイルに関してアクセスが開始されると、フォルダ認証処理ドライバ１１が、共有機密フォルダ２１の暗号ファイル２２に関するファイルＩ／Ｏを検知する（Ｓ２０１）。そして、フォルダ認証処理ドライバ１１は、認証状態管理テーブル１９の内容をチェックすることにより暗号ファイルが格納されている共有機密フォルダの認証状態を判定する（Ｓ２０２）。認証状態が「未認証」の場合には処理はステップＳ２０３に、認証状態が「認証中」の場合には処理はステップＳ２１０に、認証状態が「認証済」の場合には処理はステップＳ２１６に、それぞれ移行する。

認証状態が「未認証」状態の場合は、フォルダ認証処理ドライバ１１は、ファイルＩ／Ｏを一時的にブロックし（Ｓ２０３）、認証開始をクライアントサービス部１５に通知する（Ｓ２０４）。クライアントサービス部１５は認証要求を認証サーバ３に通知し、認証サーバ３は、入力されたパスワード等に基づいて認証を行う。

フォルダ認証処理ドライバ１１は、クライアントサービス部１５を介して、認証結果を受信する（Ｓ２０５）。また、フォルダ認証処理ドライバ１１は、受信した認証結果を確認し、認証結果判定を行い（Ｓ２０６）、認証成功の場合はファイルＩ／Ｏのブロックを解除して（Ｓ２０７）、暗号処理プログラム部１２が、暗号ファイルの暗号／復号処理を行う（Ｓ２０８）。認証失敗の場合は、フォルダ認証処理ドライバ１１は、ファイルＩ／Ｏをアクセスエラーにする（Ｓ２０９）。アクセスエラーは、例えば、画面表示部１６に表示等され、ユーザ５に通知される。

認証状態が「認証中」状態の場合は、フォルダ認証処理ドライバ１１は、未認証状態と同様にファイルＩ／Ｏを一時的にブロックする（Ｓ２１０）。ただし、既に認証処理を開始しているので、クライアントサービス部１５への認証開始要求は行わない。また、認証結果を受信した後の処理（Ｓ２１１乃至Ｓ２１５）は、「未認証」状態の場合の処理と同一になるので、ここでは説明を省略する。

認証状態が「認証済み」の場合は、フォルダ認証処理ドライバ１１は、ファイルＩ／Ｏのブロック処理等を行わずに、暗号処理プログラム部１２が暗号ファイルの暗号／復号（Ｓ２１６）のみ行う。

＜複数フォルダへの同時アクセス発生時の処理＞
複数の共有機密フォルダへの同時アクセスが発生した場合は、フォルダ認証処理はシリアライズ化して処理される。図３は、複数の共有機密フォルダ（Ａ〜Ｅ）に対する認証処理が同時に発生した場合の処理を示した概念図である。図４は、シリアライズ化されたフォルダ認証処理を説明するためのフローチャートである。なお、図４は図２の（Ｘ）の処理が複数発生する場合に対応する。また、図３の参照番号と図４のステップの番号は対応している。

図３では、フォルダＡが認証処理中で、フォルダＢ、Ｃ及びＤが認証待ちのときに、フォルダＥ内の暗号ファイルへのアクセスが開始された状態が想定されている。フォルダＥ内の暗号ファイルへのアクセスが開始されると、暗号ファイルへのファイルＩ／Ｏが検知される（Ｓ４０１）。このとき、認証中のフォルダ数が所定値以上の場合（Ｓ４０２）には、即座にアクセスが拒否される（Ｓ４１０）。フォルダ数が所定値未満の場合には、フォルダＥは認証処理開始キューに入り（Ｓ４０３）、認証開始まで待機する（Ｓ４０４）。待機時間は予め決められており、タイムアウトの場合には（Ｓ４０５）、該当するフォルダ内の暗号ファイルへのアクセスは拒否される（Ｓ４１０）。図３で示されるように、フォルダキューはＦＩＦＯのように、入力された順番にタイムアウトか否か、或いは認証処理開始の判断がなされ、キューから出力されるようになっている。認証処理が開始されると（Ｓ４０６）、フォルダは、認証が成功すれば（Ｓ４０９）アクセス可能（Ｓ４１１）となり、認証処理に所定時間以上かかってしまったり（Ｓ４０７）、認証に失敗する（Ｓ４０８）と、当該フォルダ内の暗号ファイルへのアクセスは拒否される（Ｓ４１０）。

図３の内容をフローチャートで示すと、図４のようになる。共有機密フォルダ内の暗号ファイルへのアクセスが発生した場合、フォルダ認証処理ドライバ１１は、暗号ファイルへのファイルＩ／Ｏを検知する（Ｓ４０１）。認証中フォルダ数が最大値を超えた場合は、当該フォルダ内の暗号ファイルへのアクセスは拒否される（Ｓ４０２）。

認証フォルダ数が最大値未満であれば、フォルダ認証処理ドライバ１１は、当該フォルダを認証処理開始キューに入力する（Ｓ４０３）。既に認証中の共有機密フォルダが存在した場合は、認証処理開始キューで待機する。フォルダ認証処理ドライバ１１は、「認証開始待ち」のフォルダについてタイムアウトが発生したか否か監視して、その発生の有無を判断する（Ｓ４０５）。タイムアウトが発生した場合は、当該フォルダ内の暗号ファイルへのアクセスは拒否される（Ｓ４１０）。

フォルダ認証処理ドライバ１１は、認証処理開始が可能になった共有機密フォルダを、認証処理開始キューから出力して（Ｓ４０６）、認証処理を開始する。また、フォルダ認証処理ドライバ１１は、当該フォルダに関して、「認証処理」タイムアウトが発生したか否か監視して、その発生の有無を判断する（Ｓ４０７）。タイムアウトの場合、当該フォルダ内の暗号ファイルへのアクセスが拒否される（Ｓ４１０）。また、フォルダ認証処理ドライバ１１は、認証の成否を判断し（Ｓ４１２）、認証が失敗した場合もアクセスが拒否される（Ｓ４１０）。認証が成功した場合はアクセス許可にして、暗号処理プログラム部１２が、暗号ファイルの暗号／復号処理を行う（Ｓ４１１）。

＜同一フォルダ内の複数ファイルアクセス時の処理＞
図５は、共有機密フォルダ内の複数の暗号ファイルに対して、同時にファイルＩ／Ｏが発生した場合のフォルダ認証処理を示した概念図である。図６は、図５に相当するフォルダ認証処理を説明するためのフローチャートである。なお、図６は図２の（Ｙ）の処理が複数発生する場合に対応する。

図５において、フォルダ認証処理ドライバ１１は、フォルダＡに対する最初のファイルＩ／Ｏを検知した時点でクライアントサービス部１５に認証開始を要求する。また、認証処理中にフォルダＡに対する２番目、３番目のファイルＩ／Ｏが発生した場合、フォルダ認証処理ドライバ１１は、これら継続ファイルＩ／Ｏも一時的にブロックする。そして、フォルダ認証処理ドライバ１１は、クライアントサービス部１５からフォルダＡの認証結果を受け取った時点で、認証結果が成功であれば、ブロック中の全てのファイルＩ／Ｏを解放し、全てのファイルＩ／Ｏをリダイレクタ１４に伝える。認証結果が失敗であれば、ブロック中の全てのファイルＩ／Ｏがアクセスエラーとなる。

図６のフローチャートを参照すると、まず、フォルダ認証処理ドライバ１１は、あるフォルダ（例えば、フォルダＡ）に対する最初のファイルＩ／Ｏをブロックする。また、認証処理が完了前に、当該フォルダ（フォルダＡ）に対して続けて２番目、３番目のファイルＩ／Ｏ発生した場合は、フォルダ認証処理ドライバ１１は、これら継続ファイルＩ／Ｏも一時的にブロックする（Ｓ６０１）。そして、ブロックしたファイルＩ／Ｏは対象フォルダ毎に待ちリストに追加される。ここでは、フォルダＡの待ちリストに１〜３番目までのファイルＩ／Ｏがリスト化される（Ｓ６０２）。

フォルダ認証処理ドライバ１１は、クライアントサービス部１５からフォルダＡの認証結果を受け取った（Ｓ６０３）時点で、認証処理の成否を判断し（Ｓ６０４）、認証結果が成功であれば、ブロック中の一番目のファイルＩ／Ｏを解放し、リダイレクタ１４に伝える（Ｓ６０５）。そして、フォルダ認証処理ドライバ１１はアクセス対象の暗号ファイルを取得し、暗号処理プログラム部１２が当該暗号ファイルを復号する（Ｓ６０６）。なお、これは暗号ファイル読み出し処理の説明であるが、ファイル書き込みの場合も、認証成功後、ファイルが暗号化されて当該フォルダ（フォルダＡ）への書き込みが可能となる。

認証結果が失敗であれば、フォルダ認証処理ドライバ１１は、ブロック中の一番目のファイルＩ／Ｏをアクセスエラーにする（Ｓ６０７）。

続いて、フォルダ認証処理ドライバ１１は、リスト化されているブロック中のファイルＩ／Ｏの有無を確認し（Ｓ６０８）、リストに残っている場合は、ブロック中の全てのファイルＩ／Ｏ（図５のこのケースは２番目、３番目のファイルＩ／Ｏ）に対して、認証結果に基づいた処理を行う（Ｓ６０４〜Ｓ６０８）。

＜実施形態のまとめ＞
本実施形態では、機密フォルダからの暗号ファイル読み出し、或いは、機密フォルダへのファイルの書き込みの際に、ファイルＩ／Ｏを検知してブロックし、認証を行う。認証が成功すれば、ファイルＩ／Ｏのブロックを解除して、機密フォルダに設定された共通の鍵を用いて、読み出すべき暗号ファイルの復号、書き込むべきファイルの暗号化を行う。復号されたファイルは、アプリケーションを介してユーザに提供され、暗号化されたファイルは、機密フォルダに書き込まれる。このようにすることにより、機密フォルダに対して暗号ファイルの書き込み及び読み出しをする場合に、ユーザが実際にファイルの使用・格納を開始した時点で、フォルダ毎の認証を行うことが可能になる。また、同一フォルダに含まれる暗号ファイルについて、共通の鍵で暗号化・復号化することができるので、ユーザにとってファイル毎に別の鍵で暗号化・復号化するよりも使い勝手がよい。

上記一連の処理は、同一の機密フォルダであってもユーザのログイン毎に実行される。つまり、前回のログインにおいて認証処理が成功し、ある機密フォルダのファイルＩ／Ｏが許可されたとしても、一旦ログアウトしてしまえば、次のログイン時に再度認証処理が実行される。このようにすることにより、一度認証してしまえばそれ以降ずっと当該フォルダ内のファイルにアクセスできて、正当でないユーザ（害意を有したユーザ）によるアクセスの脅威に晒されるリスクも極めて低くなる。

また、当該認証処理システムでは、ファイルＩ／Ｏに対する認証処理開始のタイミングを管理する。そして、複数のフォルダに含まれるファイルＩ／Ｏを検知した場合には、各ファイルＩ／Ｏに対する認証処理開始についてのタイムアウト発生を検知し、タイムアウトとなったファイルＩ／Ｏに対応するフォルダへのアクセス（ファイルの書き込み及び読み出し）を禁止する。このようにすることにより、複数のフォルダに対するファイルＩ／Ｏを効率よく管理することができ、ファイルＩ／Ｏの渋滞発生も防止することができるようになる。

さらに、当該認証処理システムは、ファイルＩ／Ｏに対する認証処理の時間を監視し、タイムアウトとなった認証処理に対応するフォルダへのアクセス（ファイルの書き込み及び読み出し）を禁止する。これにより、何かの不具合等により認証処理に時間が掛かる場合に、別のファイルＩ／Ｏに対する認証処理に移行することができるようになるので、処理を効率よく進めることができるようになる。

また、当該認証処理システムにおいて、一のフォルダに対して、複数のファイルＩ／Ｏが発生する場合もある。そこで、このような場合、その複数のファイルＩ／Ｏを検知してそれらを一時的にブロックする。そして、複数のファイルＩ／Ｏのうち最初にファイルＩ／Ｏへの認証処理が成功した場合に、他のファイルＩ／Ｏに対する全てのブロックを解除する。また、最初のファイルＩ／Ｏへの認証処理が失敗の場合には、他のファイルＩ／Ｏの全てが禁止する。また、このように、１つのフォルダに対して複数のファイルＩ／Ｏがあった場合に、１つのファイルＩ／Ｏが許可（不許可）となれば、継続する別のファイルＩ／Ｏも許可（不許可）にしているので、ユーザを混乱させることもない。

なお、本発明は、実施形態の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をシステム或は装置に提供し、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フロッピィ（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、プログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。さらに、記憶媒体から読み出されたプログラムコードが、コンピュータ上のメモリに書きこまれた後、そのプログラムコードの指示に基づき、コンピュータのＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。

また、実施の形態の機能を実現するソフトウェアのプログラムコードがネットワークを介して配信されることにより、システム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ-ＲＷ、ＣＤ-Ｒ等の記憶媒体に格納され、そのシステム又は装置のコンピュータ(又はＣＰＵやＭＰＵ)が当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行することによっても、達成されるようにしてもよい。

Claims (8)

1. プログラムを実行するコンピュータを用いて、フォルダ内に格納されている暗号ファイルへのアクセス時に認証処理を実行する、認証処理システムであって、
   前記暗号ファイルは、フォルダ毎に共通の暗号鍵で暗号化されており、
   前記暗号ファイルへのアクセスを検知するアクセス検知手段と、
   前記アクセス検知手段が前記暗号ファイルへのアクセスを検知した場合に、前記暗号ファイルへのアクセスを一時的にブロックするアクセスブロック手段と、
   前記アクセスがブロックされた状態で、認証処理を実行する認証手段と、
   前記認証処理の結果が認証成功の場合、前記暗号ファイルへのアクセスブロックを解除して前記暗号化ファイルへのアクセスを許可し、前記認証処理の結果が認証失敗の場合、前記暗号ファイルへのアクセスを禁止する、アクセス許可手段と、
   前記共通の暗号鍵を用いて、アクセスが許可された暗号ファイルを復号する暗号処理手段と、を備え、
   前記アクセス検知手段は、一のフォルダに含まれる複数の暗号ファイルへのそれぞれのアクセスを検知し、
   前記アクセス許可手段は、前記複数の暗号ファイルのうち最初にアクセスされた暗号ファイルへの認証処理が成功した場合に、前記複数の暗号ファイルに対する全てのアクセスブロックを解除し、前記最初にアクセスされた暗号ファイルへの認証処理が失敗の場合に、前記複数の暗号ファイルに対する全てのアクセスを禁止することを特徴とする認証処理システム。
2. さらに、前記アクセス検知手段が前記暗号ファイルへのアクセスを検知した場合に、前記暗号ファイルが属する前記フォルダの認証状態を判定する認証状態判定手段を備え、
   前記認証状態が「未認証」及び「認証中」の場合、前記アクセスブロック手段が、前記暗号化ファイルへのアクセスを一時的にブロックし、
   前記認証状態が「認証済」の場合、前記暗号処理手段が、前記共通の暗号鍵を用いて前記暗号ファイルを復号することを特徴とする請求項１に記載の認証処理システム。
3. さらに、前記暗号ファイルに対する認証処理開始のタイミングを管理する認証タイミング管理手段を備え、
   前記アクセス検知手段は、複数のフォルダに対する複数のアクセスを検知し、
   前記認証タイミング管理手段は、前記複数のフォルダの前記複数のアクセスをアクセス発生順に整理し、
   前記認証手段は、前記アクセス発生順に従って、前記複数のフォルダに対する認証処理を実行することを特徴とする請求項１又は２に記載の認証処理システム。
4. さらに、前記暗号ファイルに対する認証処理開始のタイミングを管理する認証タイミング管理手段を備え、
   前記アクセス検知手段は、複数のフォルダに含まれる各暗号ファイルへのそれぞれのアクセスを検知し、
   前記認証タイミング管理手段は、前記各暗号ファイルに対する認証処理開始についてのタイムアウト発生を検知し、タイムアウトとなった暗号ファイルへのアクセスを禁止することを特徴とする請求項１又は２に記載の認証処理システム。
5. さらに、前記暗号ファイルに対する認証処理の時間を監視し、タイムアウトとなった認証処理に対応する暗号ファイルへのアクセスを禁止する認証処理時間管理手段を備えることを特徴とする請求項４に記載の認証処理システム。
6. コンピュータを、請求項１に記載の認証処理システムとして機能させるためのプログラム。
7. プログラムを実行するコンピュータを用いて、フォルダ内に格納されている暗号ファイルへのアクセス時に認証処理を実行する、認証処理方法であって、
   前記暗号ファイルは、フォルダ毎に共通の暗号鍵で暗号化されており、
   アクセス検知手段が、一のフォルダに含まれる複数の暗号ファイルへのそれぞれのアクセスを検知する工程と、
   前記アクセス検知手段が前記複数の暗号ファイルへのアクセスを検知した場合に、アクセスブロック手段が、前記複数の暗号ファイルへのアクセスを一時的にブロックする工程と、
   認証手段が、前記アクセスがブロックされた状態で、前記複数の暗号ファイルのうち最初にアクセスされた暗号ファイルへの認証処理を実行する工程と、
   アクセス許可手段が、前記複数の暗号ファイルのうち最初にアクセスされた暗号ファイルへの認証処理が成功した場合に、前記複数の暗号ファイルに対する全てのアクセスブロックを解除し、前記最初にアクセスされた暗号ファイルへの認証処理が失敗の場合に、前記複数の暗号ファイルに対する全てのアクセスを禁止する工程と、
   暗号処理手段が、前記共通の暗号鍵を用いて、アクセスが許可された暗号ファイルを復号する工程と、
   を備えることを特徴とする認証処理方法。
8. プログラムを実行するコンピュータを用いて、機密フォルダ内にファイルを書き込むときに認証処理を実行する、認証処理システムであって、
   前記機密フォルダ内のファイルは、共通の暗号鍵で暗号化されるようになっており、
   前記機密フォルダへのファイル書き込み動作を検知するアクセス検知手段と、
   前記アクセス検知手段が前記ファイル書き込み動作を検知した場合に、前記ファイルの書き込みを一時的にブロックするアクセスブロック手段と、
   前記書き込みがブロックされた状態で、認証処理を実行する認証手段と、
   前記認証処理の結果が認証成功の場合、前記書き込みのブロックを解除し、前記認証処理の結果が認証失敗の場合、前記機密フォルダに対する前記ファイルの書き込みを禁止する、アクセス許可手段と、
   前記共通の暗号鍵を用いて、前記ブロック解除されたファイルを暗号化して、前記機密フォルダに書き込む暗号処理手段と、を備え、
   前記アクセス検知手段は、一の機密フォルダに対する複数のファイル書き込み動作を検知し、
   前記アクセス許可手段は、前記複数のファイル書き込み動作のうち最初の書き込み動作への認証処理が成功した場合に、前記複数のファイル書き込み動作に対する全てのブロックを解除し、前記最初の書き込みへの認証処理が失敗の場合に、前記機密フォルダに対する前記複数のファイル書き込み動作を全て禁止することを特徴とする認証処理システム。

Images