JP4898156B2 - 電子署名生成システム、スキャナ装置、電子署名生成方法、電子署名生成プログラム及び記録媒体 - Google Patents

Description

本発明は、電子署名生成システム、スキャナ装置、電子署名生成方法、電子署名生成プログラム及び記録媒体に関し、特にネットワークを介して接続するスキャナ装置において読み取られた画像に対する電子署名を生成する電子署名生成システム、スキャナ装置、電子署名生成方法、電子署名生成プログラム及び記録媒体に関する。

近年施行されるｅ文書法に代表されるように、従来は紙で保存していた文書を電子形態で保存することが普及し始めている。ただし電子データは紙の場合と異なり、改ざんや複製や生成時刻の詐称が容易に行えるため、それらに対抗して証拠性を持たせるための技術的な対策が必要となる。その対策の一環として、生成された電子データに電子署名（スキャナ装置の電子署名あるいはスキャン実施者の電子署名）やスキャナ装置とネットワークを介して接続されている外部サーバによるタイムスタンプの付与等が行われている（例えば特許文献１）。
特開２００３−３０４２４３号公報

しかしながら、スキャナ装置において当該スキャナ装置固有の電子署名（以下「機器署名」という。）を画像データに付与するための機能を各スキャナ装置に実装することは、各スキャナ装置の製造コストを増大させるという問題がある。また、署名鍵および署名計算アルゴリズムは定期的に更新される必要があるが、各スキャナ装置に対して更新処理（アップデート）を実施するのには膨大な運用コストがかかるという問題もある。

また、特許文献１では、外部サーバに電子署名を計算させるシステムが提案されているが、対象となっているのはＰＣ（Personal Computer）やサーバからなる文書管理システムであり、スキャナ装置が関連するe文書法案関連の話には特に言及されていない。また、特許文献１において署名に用いる鍵はサーバに固有な鍵とされているため、端末（スキャナ装置）固有の署名鍵による電子署名を計算することはできず、電子署名を付与した端末（スキャナ装置）を特定することはできないという問題がある。

本発明は、上記の点に鑑みてなされたものであって、スキャンされた画像に対する電子署名のためのアルゴリズムをスキャナ装置に実装しなくてもスキャンを実行したスキャナ装置又はユーザを証明することのできる電子署名生成システム、スキャナ装置、電子署名生成方法、電子署名生成プログラム及び記録媒体の提供を目的とする。

そこで上記課題を解決するため、本発明は、ネットワークを介して接続するスキャナ機能を有する装置において読み取られた画像に対する電子署名を生成する電子署名生成システムであって、前記スキャナ機能を有する装置を識別する機器識別情報と、前記スキャナ機能を有する装置において読み取られた画像に基づくハッシュ値とを受信する第一の受信手段と、前記スキャナ機能を有する装置に対応する秘密鍵を保持する第一の秘密鍵保持手段と、前記画像の読み取りを指示したユーザを識別するユーザ識別情報を受信する第二の受信手段と、前記ユーザに対応する秘密鍵を保持する第二の秘密鍵保持手段と、前記機器識別情報に基づいて前記第一の秘密鍵保持手段から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第一の電子署名を生成し、前記ユーザ識別情報に基づいて前記第二の秘密鍵保持手段から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第二の電子署名を生成する電子署名生成手段とを有することを特徴とする。

また、上記課題を解決するため、本発明は、上記電子署名生成システムとネットワークを介して接続するスキャナ機能を有する装置であって、画像を読み取る画像読取り手段と、前記画像に基づくハッシュ値を算出するハッシュ値算出手段と、当該スキャナ機能を有する装置を識別する機器識別情報及び当該スキャナ機能を有する装置において前記画像の読取りを指示したユーザを識別するユーザ識別情報と、前記ハッシュ値とを前記電子署名生成システムに送信する送信手段とを有することを特徴とする。

また、上記課題を解決するため、本発明は、上記電子署名生成システムにおける電子署名生成方法、前記電子署名生成方法を前記電子署名生成システムに実行させるための電子署名生成プログラム、又は前記電子署名生成プログラムを記録した記録媒体としてもよい。

本発明によれば、スキャンされた画像に対する電子署名のためのアルゴリズムをスキャナ装置に実装しなくてもスキャンを実行したスキャナ装置又はユーザを証明することのできる電子署名生成システム、スキャナ装置、電子署名生成方法、電子署名生成プログラム及び記録媒体を提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。図１は、第一の実施の形態における文書管理システムの構成例を示す図である。

図１において文書管理システム１は、インターネット等のネットワーク５１によって接続されたスキャナ装置１０及び署名生成サーバ２０と、スキャナ装置１０にＬＡＮ（Local Area Network）等のネットワーク５２によって接続された文書管理サーバ３０とより構成されている。

スキャナ装置１０は、紙文書を電子化する装置、すなわち紙文書を読み込み（スキャン）、読み込んだ情報に基づいて画像データを生成する装置である。

署名生成サーバ２０は、スキャナ装置１０によって生成された画像データに対する電子署名を生成する機能が実装されたコンピュータであり、例えば、所定のベンダによって提供されている。署名生成サーバ２０によって生成される電子署名としては、画像データが特定のスキャナ装置１０によって生成されたことを証明する電子署名（以下「機器署名」という。）と、スキャンが特定のユーザの指示によって実行されたことを証明する電子署名（以下「操作者署名」という。）とがある。

文書管理サーバ３０は、スキャナ装置１０によって生成された画像データであって、署名生成サーバ２０によって生成された電子署名が付された画像データを保存するための文書管理ＤＢ（Data Base）を備えたコンピュータである。

なお、ネットワーク５１及び５２は、有線又は無線の別は問わない。

図２は、第一の実施の形態における文書管理システムの機能構成例及び処理手順を説明するための図である。

図２において、スキャナ装置１０は、光学読取り部１１、ユーザＩ／Ｆ部１２、ユーザ認証部１３、署名リクエスト部１４、ハッシュ計算部１５、ファイル生成部１６及びファイル保存部１７等より構成される。これら各部は、例えば、ＣＤ−ＲＯＭ等の記録媒体５０１に記録されたプログラムがスキャナ装置１０にインストールされ、そのプログラムがスキャナ装置１０における非図示のＣＰＵによって処理されることにより実現される。

また、署名生成サーバ２０は、リクエスト受付部２１、機器認証部２２、及び署名トークン計算部２３等より構成される。これら各部は、例えば、ＣＤ−ＲＯＭ等の記録媒体５０２に記録されたプログラムが署名生成サーバ２０にインストールされ、そのプログラムが署名生成サーバ２０における非図示のＣＰＵによって処理されることにより実現される。

以下、図２を用いて文書管理システム１の処理手順について説明する。

まず、スキャン実施者７０(以下「ユーザ７０」という。)は、スキャナ装置１０に対してＩＣカードを提示したりすること等によりユーザ認証を受ける（Ｓ１０１）。但し、ユーザの認証情報はＩＣカードに記録された情報に限られず、一般的なユーザＩＤ及びパスワード等であってもよい。なお、画像データに対して操作者署名を付す必要が無い場合は、ユーザ認証は必ずしも受ける必要はない。

オペレーションパネル等のユーザＩ／Ｆ部１２を介して入力された認証情報はユーザ認証部１３に出力される（Ｓ１０２）。ユーザ認証部１３は、認証情報に基づいてユーザ７０を認証する。ユーザが認証された場合、ユーザ認証部１３は、ユーザ７０が正当なユーザであることを署名リクエスト部１４に通知する（Ｓ１０３）。

認証されると、ユーザ７０は、ユーザＩ／Ｆ部１２を通じて、「機器署名の付与の要否」、「操作者署名の付与の要否」、「スキャンされることにより生成される電子データ（画像データ）の文書名」、「最終的な送信又は保管先（ここでは、文書管理サーバ３０であるが、例えば、ｅ−ｍａｉｌアドレス等であってもよい。）」といったスキャン情報を指定した上で、スキャナ装置１０に対して紙文書６０のスキャンを指示する（Ｓ１０４）。なお、ユーザによるスキャン情報の入力は必須ではない。例えば、必ず機器署名を付与するというような既定値を予めスキャナ装置１０に設定しておいてもよい。

ユーザ７０によるスキャン指示に応じ、スキャナ装置１０の光学読取り部１１は、紙文書６０を光学的に読取り（Ｓ１０５）、読み取られた情報に基づいて画像データ６１を生成する（Ｓ１０６）。

続いて、ハッシュ計算部１５は、画像データ６１に対して一方向性関数（例えばＳＨＡ−１）を適用し、電子署名の生成に利用するためのハッシュ値６２を生成する（Ｓ１０７、Ｓ１０８）。

続いて、署名リクエスト部１４は、スキャナ装置１０内に保存されている機器情報１８を取得し（Ｓ１０９）、取得された機器情報１８を署名生成サーバ２０に対して送信することにより、署名生成サーバ２０に対してスキャナ装置１０の認証を要求する（Ｓ１１０）。ここで、スキャナ装置１０の認証とは、スキャナ装置１０が署名生成サーバ２０を提供しているベンダによって製造された正当な機器であることを証明することをいう。

機器情報１８は、署名生成サーバ２０のリクエスト受付部２１によって受信され、機器認証部２２に出力される（Ｓ１１１）。機器認証部２２は、機器情報１８と、署名生成サーバ２０に保存されている機器登録情報２４とに基づいてスキャナ装置１０の認証を行う（Ｓ１１２）。具体的には、機器情報１８としてスキャナ装置１０内の耐タンパ性デバイスに記録され、外部には知られえない当該スキャナ装置１０のＩＤ及びパスワードを照合したり、ＰＫＩベースのチャレンジ・レスポンス方式によって認証を行えばよい。なお、機器認証部２２による認証結果はリクエスト受付部２１に出力され（Ｓ１１３）、リクエスト受付部２１によってスキャナ装置１０に送信される（Ｓ１１４）。

スキャナ装置１０が認証されると、署名リクエスト部１４は、画像データ６１に対する電子署名の生成要求（以下「署名リクエスト」という。）を署名生成サーバ２０へ送信する（Ｓ１１５）。署名リクエストには、スキャナ装置１０を一意に識別するための機器ＩＤ、ユーザ７０のユーザＩＤ、各スキャンジョブを識別するためのジョブＩＤ、及び文書名（署名設定情報８１）と、ハッシュ値６２と等の情報が含まれている。

なお、スキャナ装置１０がどの署名生成サーバ２０にリクエストを送信するかについてはスキャナ装置１０内に送信先のＩＰアドレスを登録しておくことで判断すればよい。また、署名リクエストの送受信のためのやりとりはファイアウォールを越えなければならないケースも考えられるので、ＳＯＡＰ（Simple Object Access Protocol） ｏｖｅｒ ＨＴＴＰ（HyperText Transfer Protocol）等によるＷｅｂサービスによって実現することが望ましい。

署名生成サーバ２０のリクエスト受付部２１が署名リクエストを受信すると、署名トークン計算部２３は、署名リクエストに含まれているハッシュ値６２に基づいて機器署名と操作者署名とを生成する（Ｓ１１６）。

機器署名は、署名生成サーバ２０に、各スキャナ装置１０ごとに保存されている複数のスキャナ秘密鍵１０１のうち、署名リクエストに含まれている機器ＩＤに対応するスキャナ秘密鍵１０１によってハッシュ値６２を暗号化することによって生成される。

また、操作者署名は、署名生成サーバ２０に、ユーザごとに保存されている複数のユーザ秘密鍵７１のうち、署名リクエストに含まれているユーザＩＤに対応するユーザ秘密鍵７１によってハッシュ値６２を暗号化することにより生成される。

なお、ここで生成された機器署名及び操作者署名を総称する場合、以下「署名トークン６３」という。署名トークン６３は、例えばPKCS#7やXML Signatureといったフォーマットで生成してもよい。また、署名トークン６３には署名リクエストに含まれていた情報も含まれる。

続いて、リクエスト受付部２１は、生成された署名トークン６３をスキャナ装置１０に送信する（Ｓ１１７）。

スキャナ装置１０において署名リクエスト部１４が署名トークン６３を受信すると、ファイル生成部１６は、画像データに署名トークン６３を付与したファイル（以下「署名付ファイル６４」という。）を生成し、生成された署名付ファイル６４をファイル保存部１７に出力する（Ｓ１１８）。ファイル保存部１７は、署名付ファイル６４をスキャナ装置１０内の所定の記録媒体に保存したり（Ｓ１１９）、又は、文書管理サーバ３０に送信したりすることにより（Ｓ１２０）永続化する。

上述したように、第一の実施の形態における文書管理システム１によれば、各スキャナ装置１０に、当該スキャナ装置１０固有の署名鍵又はユーザ固有の署名鍵や署名計算のためのアルゴリズムを実装しなくても、どのスキャナ装置１０又はどのユーザによってスキャンが実施されたのか、及び画像データが改ざんされていないことを証明することができる。したがって、スキャナ装置１０の製造コストを低下させることもできる。

なお、スキャンされた画像データの機器に関する証拠性（どのスキャナ装置１０で電子化されたか）は、スキャナ装置１０および署名生成サーバ２０を提供するベンダが保証すればよい。

また、署名のための秘密鍵の有効期限が切れたり暗号アルゴリズムが弱体化したりすることによって鍵やアルゴリズムを入れ替える必要が生じた場合、署名生成サーバ１０のみを更新すればよく、かかる保守作業の工数を軽減させることもできる。

なお、上記においては機器署名と操作者署名の双方が画像データに付与される例について説明したが、必ずしも双方が同時に付与される必要はない。すなわち、少なくともいずれか一方が付与されていれば画像データが改ざんされていないことは証明することができる。したがって、スキャナ装置１０又はユーザのいずれか一方を特定する必要がない場合は、その電子署名を付与しないといった運用を採用してもよい。

また、ユーザ７０によってスキャンの指示が行われる際に、画像データの保存先をユーザに入力させるようにしてもよい。その場合、その保存先に応じてスキャナ装置１０又は署名生成サーバ２０が機器署名生成の要否及び操作者署名生成の要否を判断するようにしてもよい。また、機器署名及び操作者署名の付与の要否をユーザに入力させるようにしてもよい。

更に、機器署名又は操作者署名が付与される場合は、スキャナ装置１０の光学読取り部１１が読み取り条件（解像度等）を自動的に特定の範囲に固定することにより、機器署名又は操作者署名が付与される画像データの画質を一定のものとするようにしてもよい。

次に、第二の実施の形態について説明する。図３は、第二の実施の形態における文書管理システムの構成例を示す図である。図３中、図１と同一部分には同一符号を付し、その説明は省略する。図３の文書管理システム２においては、課金管理サーバ４０がＬＡＮ等のネットーク５３（有線又は無線の別は問わない。）を介して署名生成サーバ２０に接続されている。

図４は、第二の実施の形態における文書管理システムの機能構成例及び処理手順を説明するための図である。図４中、図２と同一部分には同一符号を付し、その説明は省略する。

図４において、課金管理サーバ４０は、課金情報算出部４１及び課金情報ＤＢ４２等より構成される。これら各部は、例えば、ＣＤ−ＲＯＭ等の記録媒体５０３に記録されたプログラムが課金管理サーバ４０にインストールされ、そのプログラムが課金管理サーバ４０における非図示のＣＰＵによって処理されることにより実現される。

第二の実施の形態において、署名生成サーバ２０の署名トークン計算部２３は、機器署名と操作者署名とを生成するたびにその旨を課金管理サーバ４０の課金情報算出部４１に通知する（Ｓ２０１）。この通知には、機器ＩＤ及びユーザＩＤが含まれている。

課金情報算出部４１は、署名生成サーバ２０からの通知に基づいて課金情報（料金）を算出し、算出した値を課金情報ＤＢ４２に登録する（Ｓ２０２）。より詳しくは、課金情報算出部４１は、機器ＩＤ及びユーザＩＤに基づいて、スキャナ装置１０ごと若しくはユーザごと、又はスキャナ装置１０とユーザとの組み合わせごとに管理されている課金情報を課金情報ＤＢ４２から検索する。続いて、検索された値に新たに算出された値を加え、その結果によって課金情報ＤＢ４２の値を更新する。

なお、署名生成サーバ２０が機器ＩＤ又はユーザＩＤごとの署名生成履歴を保持しておき、料金を請求するタイミング（例えば、一ヶ月おき）で、署名の生成回数等を課金管理サーバ４０に通知するようにしてよい。

また、署名生成サーバ２０における機能と課金管理サーバ４０における機能とは必ずしも別個のコンピュータに実装する必要はなく、一つのコンピュータ上に実現してもよい。すなわち、署名生成サーバ２０が課金情報算出部４１及び課金情報ＤＢ４２を有していても良い。

上述したように、第二の実施の形態における文書管理システム２によれば、電子署名を生成するサービスを有料で提供することができる。

以上、本発明の好ましい実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

第一の実施の形態における文書管理システムの構成例を示す図である。 第一の実施の形態における文書管理システムの機能構成例及び処理手順を説明するための図である。 第二の実施の形態における文書管理システムの構成例を示す図である。 第二の実施の形態における文書管理システムの機能構成例及び処理手順を説明するための図である。

符号の説明

１、２ 文書管理システム
１０ スキャナ装置
１１ 光学読取り部
１２ ユーザＩ／Ｆ部
１３ ユーザ認証部
１４ 署名リクエスト部
１５ ハッシュ計算部
１６ ファイル生成部
１７ ファイル保存部
１８ 機器情報
２０ 署名生成サーバ
２１ リクエスト受付部
２２ 機器認証部
２３ 署名トークン計算部
２４ 機器登録情報
３０ 文書管理サーバ
４０ 課金管理サーバ
４１ 課金情報算出部
４２ 課金情報ＤＢ
６０ 紙文書
６１ 画像データ
６２ ハッシュ値
６３ 署名トークン
６４ 署名付ファイル
７０ スキャン実施者（ユーザ）
８１ 署名設定情報
５０１、５０２、５０３ 記録媒体

Claims (7)

1. ネットワークを介して接続するスキャナ機能を有する装置において読み取られた画像に対する電子署名を生成する電子署名生成システムであって、
   前記スキャナ機能を有する装置を識別する機器識別情報と、前記スキャナ機能を有する装置において読み取られた画像に基づくハッシュ値とを受信する第一の受信手段と、
   前記スキャナ機能を有する装置に対応する秘密鍵を保持する第一の秘密鍵保持手段と、
   前記画像の読み取りを指示したユーザを識別するユーザ識別情報を受信する第二の受信手段と、
   前記ユーザに対応する秘密鍵を保持する第二の秘密鍵保持手段と、
   前記機器識別情報に基づいて前記第一の秘密鍵保持手段から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第一の電子署名を生成し、前記ユーザ識別情報に基づいて前記第二の秘密鍵保持手段から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第二の電子署名を生成する電子署名生成手段とを有することを特徴とする電子署名生成システム。
2. 前記第一の受信手段は前記スキャナ機能を有する装置の認証情報を受信し、
   前記認証情報に基づいて前記スキャナ機能を有する装置を認証する機器認証手段を有し、
   前記電子署名生成手段は、前記機器認証手段によって前記スキャナ機能を有する装置が認証された場合に前記第一の電子署名及び前記第二の電子署名を生成することを特徴とする請求項１記載の電子署名生成システム。
3. 前記電子署名生成手段による前記電子署名の生成回数に基づく課金情報を算出する課金情報算出手段を有することを特徴とする請求項１又は２記載の電子署名生成システム。
4. 請求項１乃至３いずれか一項記載の電子署名生成システムとネットワークを介して接続するスキャナ機能を有する装置であって、
   画像を読み取る画像読取り手段と、
   前記画像に基づくハッシュ値を算出するハッシュ値算出手段と、
   当該スキャナ機能を有する装置を識別する機器識別情報及び当該スキャナ機能を有する装置において前記画像の読取りを指示したユーザを識別するユーザ識別情報と、前記ハッシュ値とを前記電子署名生成システムに送信する送信手段とを有することを特徴とする、スキャナ機能を有する装置。
5. ネットワークを介して接続するスキャナ機能を有する装置において読み取られた画像に対する電子署名を生成する電子署名生成システムにおける電子署名生成方法であって、
   前記スキャナ機能を有する装置を識別する機器識別情報と、前記スキャナ機能を有する装置において読み取られた画像に基づくハッシュ値とを受信する第一の受信手順と、
   前記スキャナ機能を有する装置に対応する秘密鍵を保持する第一の秘密鍵保持手順と、
   前記画像の読み取りを指示したユーザを識別するユーザ識別情報を受信する第二の受信手順と、
   前記ユーザに対応する秘密鍵を保持する第二の秘密鍵保持手順と、
   前記機器識別情報に基づいて前記第一の秘密鍵保持手順から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第一の電子署名を生成し、前記ユーザ識別情報に基づいて前記第二の秘密鍵保持手順から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第二の電子署名を生成する電子署名生成手順とを有することを特徴とする電子署名生成方法。
6. ネットワークを介して接続するスキャナ機能を有する装置において読み取られた画像に対する電子署名をコンピュータに生成させる電子署名生成プログラムであって、
   前記スキャナ機能を有する装置を識別する機器識別情報と、前記スキャナ機能を有する装置において読み取られた画像に基づくハッシュ値とを受信する第一の受信手順と、
   前記スキャナ機能を有する装置に対応する秘密鍵を保持する第一の秘密鍵保持手順と、
   前記画像の読み取りを指示したユーザを識別するユーザ識別情報を受信する第二の受信手順と、
   前記ユーザに対応する秘密鍵を保持する第二の秘密鍵保持手順と、
   前記機器識別情報に基づいて前記第一の秘密鍵保持手順から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第一の電子署名を生成し、前記ユーザ識別情報に基づいて前記第二の秘密鍵保持手順から前記秘密鍵を選択し、選択された前記秘密鍵と前記ハッシュ値とに基づいて第二の電子署名を生成する電子署名生成手順とを有することを特徴とする電子署名生成プログラム。
7. 請求項６記載の電子署名生成プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images