JP4940648B2 - 受信装置、配信装置、プログラム及びシステム - Google Patents

Description

本発明は、文書や動画を暗号化し、それを復号する技術に関する。

文書を暗号化しておき、その文書の内容を限られたクライアントユーザに対してのみ提示する技術が提案されている。例えば特許文献１では、文書に対して信頼度レベル及び機密レベルを設定しておき、それぞれのレベルに応じた強度で暗号化を行うという提案がなされている。特許文献２には、動画の所定の領域を暗号化する一方、その他の領域にはデータ圧縮のみを行うことで、ユーザが動画の内容を視認可能な領域と、不可能な領域とを混在させるという提案がなされている。
特開平５−２４４１５０号公報 特開２００１−２１１１６４号公報

特許文献１に記載の技術では、設定された信頼度レベル及び機密度レベルに応じて暗号化の強度が決定されてしまうため、例えば一定期間が経過した後に文書の秘密を保持する必要がなくなった場合であっても、最初に決定された強度で暗号化された状態が維持されたままである。文書の秘密を保持する必要がなくなった場合には、暗号化された状態を解いてその内容を公開しておく方が望ましいと言えるが、特許文献１に記載の技術ではその要望に応えることができない。特許文献２に記載の技術では、動画に含まれる複数のオブジェクトの中から所定のオブジェクトを暗号化する一方、その他のオブジェクトに対してはデータ圧縮のみを行うが、この方法であっても、オブジェクトの秘密を保持する必要がなくなった場合にも、暗号化された状態が維持され続けることになる。
本発明は上述した背景に鑑みてなされたものであり、本発明の目的は、文書や動画の一部分についての暗号化を可能とするとともに、その暗号化された部分の暗号化した状態を保っておくべき期限が経過したときには、その部分の内容を公開することが可能な仕組みを提供することにある。

上記目的を達成するために、本発明は、各々の文書に割り当てられた文書識別情報を指定する文書指定手段と、前記文書指定手段によって指定された文書識別情報を、通信手段を介して接続された文書配信装置に送信する識別情報送信手段と、共通鍵で暗号化された領域を含む文書を表す暗号化文書データと、当該暗号化文書データが表す文書に含まれる暗号化された領域の秘密保持期限を表す期限情報と、自文書受信装置に割り当てられた秘密鍵に対応する公開鍵で暗号化された前記共通鍵とを、前記文書配信装置から前記通信手段を介して受信して記憶する記憶手段と、前記記憶手段に記憶されている暗号化文書データを表示又は出力するように指示されると、当該暗号化文書データにおいて暗号化されている領域の各々について、前記期限情報が表す秘密保持期限が経過したか否かを判断する判断手段と、前記判断手段により前記秘密保持期限が経過していないと判断された領域を復号せず、前記判断手段により前記秘密保持期限が経過したと判断された領域については、自文書受信装置に割り当てられた前記秘密鍵で前記記憶手段に記憶された共通鍵を復号し、復号した共通鍵で当該領域を復号し、その復号結果を表示または出力する復号出力手段とを備えることを特徴とする文書受信装置を提供する。
また、本発明は、各々の動画データに割り当てられた動画識別情報を指定する動画指定手段と、前記動画指定手段によって指定された動画識別情報を、通信手段を介して接続された動画配信装置に送信する識別情報送信手段と、共通鍵で暗号化されたオブジェクトを含む動画を表す暗号化動画データと、当該暗号化動画データが表す動画に含まれる暗号化されたオブジェクトの秘密保持期限を表す期限情報と、自動画受信装置に割り当てられた秘密鍵に対応する公開鍵で暗号化された前記共通鍵とを、前記動画配信装置から前記通信手段を介して受信して記憶する記憶手段と、前記記憶手段に記憶されている暗号化動画データを表示又は出力するように指示されると、当該暗号化動画データにおいて暗号化されているオブジェクトの各々について、前記期限情報が表す秘密保持期限が経過したか否かを判断する判断手段と、前記判断手段により前記秘密保持期限が経過していないと判断されたオブジェクトを復号せず、前記判断手段により前記秘密保持期限が経過したと判断されたオブジェクトについては、自動画受信装置に割り当てられた前記秘密鍵で前記記憶手段に記憶された共通鍵を復号し、復号した共通鍵で当該オブジェクトを復号し、その復号結果を表示または出力する復号出力手段とを備えることを特徴とする動画受信装置を提供する。

（１）第１実施形態
（１−１）構成
図１は、本発明の第１実施形態に係る文書配信システムの構成を示した図である。この文書配信システム１は、サーバ装置１０と、クライアント装置２０ａ，２０ｂ及び２０ｃと、時間認証装置３０と、ネットワーク４０とを備えている。時間認証装置３０は、現在日時を計時しており、その日時を示す情報（以下、時刻情報）をネットワーク４０を介して提供することが可能な装置である。この時間認証装置３０によって計時される日時は、文書が暗号化された状態を保持する期限（以下、秘密保持期限）が到来したか否かを判断する基準となるから、信頼度の高いものが求められる。この時間認証装置３０としては、例えば、公的機関である政府が設置する原子時計に基づいて公式時間を提供する装置などが挙げられる。ネットワーク４０は、例えばイントラネットやインターネット等であるが、そのネットワーク規模や、通信線が有線であるか無線であるかに関しては特に限定されない。また、図１では３台のクライアント装置２０ａ，２０ｂおよび２０ｃのみを示したが、実際にはより多数のクライアント装置を備えるものであってもよい。なお、以下では、複数のクライアント装置のそれぞれを特に区別する必要がない場合には「クライアント装置２０」と総称する。

サーバ装置１０は、複数の文書を表す文書データと、その文書データを暗号化するための共通鍵と、クライアント装置２０ａ，２０ｂ，２０ｃのそれぞれに割り当てられた秘密鍵に対応する公開鍵とを記憶している。一方、クライアント装置２０ａ，２０ｂ，２０ｃはそれぞれ自身に割り当てられた秘密鍵を記憶している。なお、サーバ装置１０とクライアント装置２０のそれぞれには各装置を操作する操作者が存在するが、これらの混同を避けるために、以下ではサーバ装置１０の操作者を「管理ユーザ」、クライアント装置２０の操作者を「クライアントユーザ」という。

次に、サーバ装置１０とクライアント装置２０の構成についてそれぞれ説明する。
図２は、サーバ装置１０のハードウェア構成を示したブロック図である。サーバ装置１０は、ＣＰＵ（Central Processing Unit）１１と、ＲＯＭ（Read Only Memory）１２と、ＲＡＭ（Random Access Memory）１３と、各種データを記憶するＨＤ（Hard Disk）のような記憶部１４と、管理ユーザの入力を受け付けるキーボードやマウス等の操作部１５と、各種情報を表示する液晶ディスプレイ装置のような表示部１６と、サーバ装置１０がネットワーク４０を介してクライアント装置２０や時間認証装置３０と通信を行うための通信部１７とを備えている。記憶部１４には、複数の文書を表す複数の文書データが、各文書に割り当てられた文書識別情報と対応付けて記憶されているほか、ＣＰＵ１１が後述する動作を実行するための手順が記述されたプログラムが記憶されている。本実施形態において、文書はある決められた条件に従って領域毎に分離されて管理されるようになっている。これらの各領域については秘密保持期限がそれぞれ設定されており、この秘密保持期限などの情報は後で詳述する管理テーブルに記述されている。記憶部１４にはこの管理テーブルも記憶されている。

図３は、記憶部１４に記憶された管理テーブルの一例を示した図である。ここでは、図４に概念的に示すように、文書Ｄの内容が３つの領域Ａ，Ｂ，Ｃに分離された例が示されている。領域Ａは例えば文書のタイトルが記述された領域であり、領域Ｂはその本文が記述された領域であり、領域Ｃは画像（イメージ）が記述された領域である。文書Ｄには図３に示すように文書識別情報「Ｄｉｄ００１」が割り当てられており、上述した領域Ａ，Ｂ，Ｃにはそれぞれ領域識別情報「Ａｒｅａ１」、「Ａｒｅａ２」及び「Ａｒｅａ３」が割り当てられているものとする。領域Ａ，Ｂ，Ｃがそれぞれ文書のタイトル、本文、画像である場合、これらを重要度の最も高いものから順に羅列すると、領域Ｂ（本文），Ｃ（画像），Ａ（タイトル）とする。重要度の高い領域ほど、公開許可を厳しくしてクライアントユーザへの公開を制限する必要があるため、秘密保持期限を長く設定する必要がある。したがって、領域識別情報「Ａｒｅａ１」の領域Ａの秘密保持期限を「２００５／１２／１」とし、「Ａｒｅａ２」の領域Ｂの秘密保持期限を「２００５／１２／３０」とし、「Ａｒｅａ３」の領域Ｃの秘密保持期限を「２００５／１２／１５」とする。また、それぞれの領域の暗号化処理に用いる暗号鍵として、それぞれ異なる共通鍵を用いる。図３，４では、領域識別情報「Ａｒｅａ１」の領域Ａを共通鍵「Ｋｅｙ１」を用いて暗号化し、「Ａｒｅａ２」の領域Ｂを共通鍵「Ｋｅｙ２」を用いて暗号化し、「Ａｒｅａ３」の領域Ｃを共通鍵「Ｋｅｙ３」を用いて暗号化する例が示されている。なお、図４の例では、３つの領域に分離する例を示しているが、これよりも少ない領域や多くの領域に分割することも可能である。

図５は、クライアント装置２０のハードウェア構成を示したブロック図である。クライアント装置２０は、ＣＰＵ２１と、ＲＯＭ２２と、ＲＡＭ２３と、各種データを記憶するＨＤのような記憶部２４と、クライアントユーザの入力を受け付けるキーボードやマウス等の操作部２５と、各種情報を表示する液晶ディスプレイ装置のような表示部２６と、クライアント装置２０がネットワーク４０を介してサーバ装置１０や時間認証装置３０との通信を行うための通信部２７とを備えている。記憶部２４には、暗号化された文書（以下、暗号化文書）を復号するために必要な秘密鍵が全て記憶されているものとし、さらにＣＰＵ２１が後述する動作を実行するための手順が記述されたプログラムが記憶されている。

クライアント装置２０は、文書識別情報を指定して文書を要求する。サーバ装置１０のＣＰＵ１１は、クライアント装置２０から送信されてくる文書識別情報を受信すると、その文書識別情報に対応する暗号化文書をクライアント装置２０に送信する。クライアント装置２０のＣＰＵ２１は、暗号化文書を受信すると、その暗号化文書に含まれる領域の各々について、秘密保持期限と時間認証装置３０から取得した時刻情報を照合する。ＣＰＵ２１は、ある領域について、時間認証装置３０から取得した時刻が秘密保持期限を経過していれば、記憶部２４に記憶にされた秘密鍵で当該領域を復号し、平文化処理をして表示部２６に表示する。また、ある領域について、時間認証装置３０から取得した時刻が秘密保持期限を経過していなければ、当該領域の暗号化状態が保持されるため、ＣＰＵ２１は、復号処理を行うことはできないため、クライアントユーザはその内容を閲覧することができない。

（１−２）動作
はじめに、サーバ装置１０が文書データを記憶し、管理テーブルを作成する処理について説明する。管理ユーザは文書作成ソフトウェアを用いて文書を作成すると、その文書を領域単位で分離した状態でサーバ装置１０の記憶部１４に記憶させる。具体的には、管理ユーザが、文書を表示部１６に表示させた状態で、例えばタイトルが記述された領域、本文が表示された領域、画像が存在する領域をそれぞれ別々に操作部１５のマウスでドラッグするなどして指定する。ＣＰＵ１１は、この操作に応じて、作成された文書に文書識別情報を割り当てて管理テーブルに記述するとともに、上記の各領域を分離して記憶部１４に記憶させる。つまり、ＣＰＵ１１は、各領域に領域識別情報を割り当てて管理テーブルに記述し、さらに、その領域識別情報と各領域の文書上の位置を示す位置情報とを対応付けて記憶部１４に記憶させる。

次に、管理ユーザは、各領域の秘密保持期限を設定する。具体的には、管理ユーザが、文書のタイトルが記述された領域に対しては２００５／１２／１という秘密保持期限を入力し、本文が表示された領域に対しては２００５／１２／３０という秘密保持期限を入力し、画像が存在する領域に対しては２００５／１２／１５という秘密保持期限を入力する。ＣＰＵ１１は、この操作に応じて、入力された秘密保持期限を管理テーブルに書き込む。さらに、ＣＰＵ１１は、各々の領域を暗号化するための共通鍵を決定し、その共通鍵ＩＤを管理テーブルに書き込む。以上の処理によって、管理テーブルが作成される。

次に、図６は、サーバ装置１０のＣＰＵ１１が、記憶部１４に記憶されたプログラムに従って、入力された文書データを領域毎に暗号化した暗号化文書データを記憶してクライアント装置２０に送信する際に実行する手順を示したフローチャートである。
図６において、ＣＰＵ１１は、前述したような手順で文書データを記憶部１４に記憶させる（Ｓ１０１）。そして、ＣＰＵ１１は、文書を暗号化するために必要なソフトウェアを起動する（Ｓ１０２）。ＣＰＵ１１は、当該文書が表す文書データを記憶部１４から読み出してＲＡＭ１３にロードする（Ｓ１０３）。

次に、ＣＰＵ１１は、文書データが表す文書の各領域について以降のステップＳ１０５及びＳ１０６の処理を施したか否かを判断する（Ｓ１０４）。文書の各領域についてステップＳ１０５及びＳ１０６の処理を施していない場合は（Ｓ１０４；ＮＯ）、ＣＰＵ１１は、上記文書データが表す文書のある領域に着目し、管理テーブルにおいて、その領域の領域識別情報（ここでは「Ａｒｅａ１」とする）に割り当てられた共通鍵ＩＤ「Ｋｅｙ１」を参照して暗号化に用いる共通鍵を特定し、その共通鍵を用いて上記領域の内容を暗号化する（Ｓ１０５）。次に、ＣＰＵ１１は、暗号化に用いた共通鍵そのものを、クライアント装置２０の秘密鍵に対応する公開鍵を用いて暗号化する（Ｓ１０６）。クライアントユーザＡのクライアント装置２０ａに暗号化文書を提供する際は、領域Ａを暗号化するのに用いた共通鍵Ｋｅｙ１をそのクライアント装置２０ａの秘密鍵に対応する公開鍵で暗号化し、クライアントユーザＢのクライアント装置２０ｂに暗号化文書を提供する際は、領域Ａを暗号化するのに用いた共通鍵Ｋｅｙ１をそのクライアント装置の秘密鍵に対応する公開鍵で暗号化したものを提供する。これと同様に、領域Ｂ及び領域Ｃについても、それぞれ対応する公開鍵で共通鍵Ｋｅｙ２、Ｋｅｙ３を暗号化する。

そして、ＣＰＵ１１は、文書データが表す文書の全ての領域についてステップＳ１０５及びＳ１０６の処理を施したと判断した場合には（Ｓ１０４；ＹＥＳ）、当該暗号化文書データに、暗号化に用いた暗号化された共通鍵及び管理テーブルを対応付けて記憶部１４に記憶させる（Ｓ１０７）。

そして、ＣＰＵ１１はクライアント装置２０からの文書要求を受信すると（Ｓ１０８；ＹＥＳ）、記憶部１４に記憶された暗号化文書データと、暗号化された共通鍵と、領域識別情報及び秘密保持期限を示す情報（秘密保持期限情報）をクライアント装置２０へ送信する（Ｓ１０９）。

次に、図７は、クライアント装置２０が文書を復号する過程を示したフローチャートである。まず、クライアント装置２０のＣＰＵ２１は、クライアントユーザの操作に応じて、サーバ装置１０へ文書要求を送信する（Ｓ２０１）。この文書要求には、文書識別情報が含まれている。この文書要求に応じて、サーバ装置１０から暗号化文書データ、暗号化された共通鍵、領域識別情報及び秘密保持期限情報が送信されてくるので、クライアント装置２０の通信部２７はこれを受信し、記憶部２４に記憶する（Ｓ２０２）。次に、ＣＰＵ２１は、例えばユーザの操作によって記憶部２４に記憶されている暗号化文書データを表示するように指示されると、これを復号するために必要なソフトウェアを起動し（Ｓ２０３）、それらを読み込む（Ｓ２０４）。

次に、ＣＰＵ２１は、時間認証装置３０から時刻情報を取得して（Ｓ２０５）、暗号化文書の各領域について以降のステップＳ２０７〜Ｓ２０９の処理を施したか否かを判断する（Ｓ２０６）。暗号化文書の各領域についてステップＳ２０７〜Ｓ２０９の処理を施していない場合は（Ｓ２０６；ＮＯ）、ＣＰＵ２１は、上記暗号化文書データが表す暗号化文書のある領域に着目し、設定された秘密保持期限とＳ２０５で時間認証装置３０から取得した時刻情報を照合する。ＣＰＵ２１が、当該領域について、時間認証装置３０から取得した時刻情報が秘密保持期限を経過していないと判断すれば（Ｓ２０７；ＹＥＳ）、当該領域に対する処理は終了し、ステップＳ２０６に戻って次の領域に対する処理へと移行する。一方、ＣＰＵ２１が、当該領域について、時間認証装置３０から取得した時刻が秘密保持期限を経過していると判断すれば（Ｓ２０７；ＮＯ）、記憶部２４に記憶された秘密鍵で共通鍵を復号し（Ｓ２０８）、復号した共通鍵で暗号化文書の当該領域を復号する（Ｓ２０９）。

ＣＰＵ２１が暗号化文書の全ての領域について上述した処理を実行すると（Ｓ２０６；ＹＥＳ）、これらの領域を合成して、暗号化される前の文書（つまり平文）を作成し（Ｓ２１０）、その平文を記憶して表示する（Ｓ２１１）。このようにすれば、クライアント装置２０が、時間認証装置３０から取得した時刻が秘密保持期限を経過していないと判断した領域については、暗号化状態が保持されるため、クライアントユーザは当該領域の内容を閲覧することはできない。一方、クライアント装置２０が、時間認証装置３０から取得した時刻が秘密保持期限を経過していると判断した領域については、秘密鍵で暗号化に用いられた公開鍵及びこの公開鍵で暗号化された領域を復号して、平文化処理をして表示するため、クライアントユーザは、当該領域の内容を閲覧することができる。

以降、ＣＰＵ２１は、記憶部２４に記憶されている暗号化文書データを表示するように指示される度に、上述したステップＳ２０３〜Ｓ２１１の処理を実行する。これによって、暗号化文書データを表示するように指示された日時が各領域に対応する秘密保持期限を経過している場合には、その領域が復号されて表示されることになるが、暗号化文書データを表示するように指示された日時が各領域に対応する秘密保持期限を経過していない場合には、その領域は復号されず、暗号化されたまま（つまりユーザが視認不可能な状態のまま）となる。

ここで、具体的な例について、図３の管理テーブルの内容に沿って説明する。例えば、２００５／１２／１０に、クライアント装置２０ａ（クライアントユーザＡ）が、サーバ装置１０から、図３に示した文書識別情報「Ｄｉｄ００１」の文書に対する暗号化文書を受信した場合を想定する。このとき、クライアント装置２０ａは、時間認証装置３０から時刻情報を取得すると、各々の領域について秘密保持期限と照合し、それを経過しているか否か判断する。現在日時が２００５／１２／１０であるから、領域識別情報「Ａｒｅａ１」の領域Ａについては、秘密保持期限２００５／１２／１を経過しているため、領域Ａを復号可能であると判断する。そして、クライアント装置２０ａは、自身が所持する秘密鍵で、領域Ａの暗号化に用いた共通鍵「Ｋｅｙ１」を復号し、復号された共通鍵「Ｋｅｙ１」で領域Ａを復号する。また、領域識別情報「Ａｒｅａ２」の領域Ｂについては、秘密保持期限１２／３０を経過していないため、クライアント装置２０ａは、領域Ｂの暗号化に用いた共通鍵「Ｋｅｙ２」の復号は可能であるが、領域Ｂの復号は不可能であると判断する。同様に、領域識別情報「Ａｒｅａ３」の領域Ｃについても、秘密保持期限１２／１５を経過していないため、クライアント装置２０ａは、領域Ｃの暗号化に用いた共通鍵「Ｋｅｙ３」の復号は可能であるが、領域Ｃの復号は不可能であると判断する。よって、クライアント装置２０ａは、領域識別情報「Ａｒｅａ１」の領域Ａのみを復号したため、領域Ａの平文化処理をして表示する。したがって、クライアントユーザＡは、領域Ａの内容を閲覧することができ、領域Ｂ及び領域Ｃの内容を閲覧することはできない。

以上説明した第１実施形態によれば、サーバ装置１０が、文書の一部の領域を暗号化して、各々の領域に暗号化状態を保持する秘密保持期限を設定して、クライアント装置２０に提供すると、クライアント装置２０は、時間認証装置３０から取得した時刻情報より、各々の領域について設定された秘密保持期限を経過したと判断するまで、その領域を復号することができない。したがって、文書において暗号化された領域について所定の期間だけ内容を秘密にすることができる。

（２）第２実施形態
次に、本発明の第２実施形態について説明する。
第１実施形態では、管理ユーザが文書において領域を任意に指定し、その重要度を判断して領域単位の秘密保持期限を設定していたが、以下に説明する第２実施形態では、サーバ装置１０自身が文書のレイアウト解析を行い、その結果得られたレイアウトに従って領域毎に分離し、更に各領域の重要度を判断して秘密保持期限を設定する。記憶部１４にはＣＰＵ１１がこれらの動作を行うための手順が記述されたプログラムが記憶されている。この第２実施形態のプログラムの内容以外の構成は、図２に示した内容と同じであるので説明を省略する。

サーバ装置１０のＣＰＵ１１は、文書データが入力されると、記憶部１４に記憶されたプログラムに従って、まずその文書データが表す文書に含まれるテキスト（文字）やイメージ（画像）などを抽出してレイアウト解析を行い、その結果得られた各領域（テキスト領域やイメージ領域）について秘密保持期限を決定する。具体的には、文書における位置を表す位置情報と、秘密保持期限（ないし秘密保持期限を特定するための情報）とを対応付けて記憶部１４に記憶しておく。そして、ＣＰＵ１１は、レイアウト解析によって得られた各領域の位置を特定し、当該位置に対応付けて記憶されている秘密保持期限を管理テーブルに書き込む。

文書中の位置情報と秘密保持期限とを対応付けて記憶する場合、例えば、文書の冒頭の領域に位置するタイトルについては秘密保持期間を比較的短い１週間とし、文書の中頃にある文章（説明文）については秘密保持期間をもう少し長くして４週間とし、文書の最後の領域にある文章（結論）については秘密保持期間を最も長くして２ヶ月とする、といった具合である。そして、ＣＰＵ１１は、文書ファイルの属性情報として記述された文書作成日付や文書中の日付を参照して、その日付から上記の各領域の秘密保持期間だけ経過した日時を秘密保持期限として管理テーブルに書き込む。この第２実施形態によれば、管理ユーザが手作業で各領域を指定して秘密保持期限を設定するような手間を省くことができる。

（３）変形例
上述した実施形態は次のような変形が可能である。
上述した第１実施形態及び第２実施形態では、クライアント装置２０が、サーバ装置１０に通信要求を送信し、暗号化文書や共通鍵と共に、領域識別情報及び秘密保持期限情報を受信していたが、当該情報は暗号化されておらず、クライアント装置２０が当該情報を受信すると、クライアントユーザは、当該情報の内容を閲覧することができ、各々の領域の秘密保持期限を全て知ることが可能であった。この方法以外に、サーバ装置１０が、当該情報を暗号化してクライアント装置２０に提供する方法もある。暗号化の方法は、例えば、サーバ装置１０が当該情報全体に秘密保持期限を設定し、クライアント装置２０が記憶する秘密鍵に対応する公開鍵や共通鍵で暗号化する方法もある。また、文書の領域毎に対応する当該情報を暗号化し、例えば各々の領域について設定された秘密保持期限の１週間前に復号を許可するという方法もある。また、クライアント装置２０がある領域を復号すると、次回に秘密保持期限を迎える領域に対応する当該情報の復号を許可する方法もある。前述のような、サーバ装置１０が領域識別情報及び秘密保持期限情報も暗号化する場合は、それに必要な暗号鍵や管理テーブルの情報も記憶し、クライアント装置２０に必要な情報を提供する。

上述した第１実施形態及び第２実施形態では、文書の各々の領域に対して異なる秘密保持期限を設定していたが、これ以外にも、動画に含まれる複数のオブジェクトに対してそれぞれ異なる秘密保持期限を設定する方法もある。例えば図３の管理テーブルを用いて、以下の３つのオブジェクトから動画が形成されることとし、動画に含まれる「背景」を示すオブジェクトを領域識別情報「Ａｒｅａ１」の領域Ａとし、「人物」を示すオブジェクトを領域識別情報「Ａｒｅａ２」の領域Ｂとし、「建物」を示すオブジェクトを領域識別情報「Ａｒｅａ３」の領域Ｃとする。例えば管理ユーザが各々のオブジェクトを指定すると、サーバ装置１０は、指定されたオブジェクト毎に分離するようにすればよい。この方法によれば、クライアントユーザは、２００５／１２／１を経過すれば動画に含まれる領域Ａの「背景」を閲覧することができ、２００５／１２／１５を経過すれば動画に含まれる領域Ａの「背景」及び領域Ｃの「建物」を閲覧することができ、２００５／１２／３０を経過すれば領域Ａの「背景」、領域Ｃの「建物」及び領域Ｂの「人物」、つまり、動画全体を閲覧することができるようになる。オブジェクト毎の秘密保持期限は管理ユーザが指定すればよい。管理ユーザは、重要だと思われるオブジェクトの秘密保持期限を長く設定することにより、クライアントユーザが徐々に動画の内容を理解することができるようにすることができる。それぞれのオブジェクトに異なる秘密保持期限を設定し、動画が表す動画データの全体に対してこの状態を保持させれば、クライアントユーザは各オブジェクトの秘密保持期限が経過するまで動画の一部を閲覧することができないため、動画の所定のオブジェクトに対して一定期間の秘密が保持されることになる。

上述した第２実施形態では、サーバ装置１０が、管理テーブルを作成する処理において文書中の位置に基づいて秘密保持期限を設定していたが、これ以外にも、キーワードに基づいて秘密保持期限を設定する方法がある。例えば個人名や住所等の個人情報に関わるキーワードや、「極秘」や「機密」などのように重要な意味そのものを表すキーワードや、「発売日」や「価格」などといった商取引上で重要だと考えられるキーワードと、第２実施形態で例示したような秘密保持期限（ないし秘密保持期限を特定するための情報）とを対応付けて記憶部１４に記憶させておく。そして、ＣＰＵ１１は、文書データが表す文書に含まれるキーワードを抽出し、抽出したキーワードに対応付けて記憶されている秘密保持期限（期間）と、文書ファイルの属性情報や文書中の日付から特定される作成日付とに基づいて各領域の秘密保持期限を特定し、これを管理テーブルに書き込む。

また、次のような方法もある。
文書中に複数の解像度の異なる画像領域が存在する場合、解像度の高い画像ほど重要な情報とし、秘密保持期限を長く設定する。具体的には、解像度のレベルと、秘密保持期限（ないし秘密保持期限を特定するための情報）とを予め対応付けて記憶部１４に記憶しておく。ＣＰＵ１１は、文書データが表す文書に含まれる画像領域を抽出し、抽出した画像領域の解像度に対応付けて記憶されている秘密保持期限（期間）と、文書ファイルの属性情報や文書中の日付から特定される作成日付とに基づいて各領域の秘密保持期限を特定し、これを管理テーブルに書き込む。例えば同じ画像について、解像度の低いサムネイルと、解像度の高いオリジナルの画像とを文書中に含む場合、サムネイルを早い時期に公開してオリジナル画像を公開するというように、時間の経過と共に徐々により詳細な情報を公開することが可能になる。

また、次のような方法もある。
上述した第１実施形態及び第２実施形態では、クライアント装置２０が復号に必要な秘密鍵を予め記憶しているものとし、暗号化文書の復号が許可されるか否かは、時間認証装置３０から取得した時刻情報と領域毎に設定された秘密保持期限とを照合することのみにより判断していたが、復号に必要な秘密鍵をサーバ装置１０等のクライアント装置２０以外の装置が記憶しておくという方法もある。例えば復号鍵をサーバ装置１０が管理する場合、サーバ装置１０は、クライアント装置２０ａに対して暗号化文書を送信した後、送信した暗号化文書のある領域の秘密保持期限が経過すると、当該領域を暗号化するために用いた暗号鍵に対応する復号鍵をクライアント装置２０ａに送信する。また、サーバ装置１０とは別の鍵管理装置が復号鍵を管理する場合も、その鍵管理装置が、クライアント装置２０ａに送信された各々の領域の秘密保持期限を経過する度に、復号鍵の送信を行うことを指示すればよい。クライアント装置２０ａに送信された各々の領域の秘密保持期限を経過したか否かの判断は、鍵管理装置が行ってもよいし、サーバ装置１０が行ってその判断結果を鍵管理装置に通知するようにしてもよい。これにより、サーバ装置１０は、暗号化文書の復号を許可するクライアント装置２０を選択することができ、また、クライアント装置２０は秘密保持期限が経過するまで復号鍵を入手できないため、暗号化文書の秘密を保持するためのセキュリティレベルが向上することが期待できる。また、サーバ装置１０や鍵管理装置が復号鍵をそのままの状態で送信することは危険な場合もあるため、この復号鍵を暗号化して送信することが望ましい。また、暗号化文書を送信する際には無線ネットワークを用いる一方、復号鍵を送信する際には有線ネットワークを用いるなど、暗号化文書と復号鍵をそれぞれ、別の経路を用いて送信するようにしてもよい。

サーバ装置１０は、クライアント装置２０ほど信用度の高い時刻情報を得られなくてもよい。例えばサーバ装置１０が計時プログラムによって自身で現在日時を計時できる場合には、それを用いて秘密保持期限を設定するようにしてもよい。ただし、秘密保持期限を正確に厳守する必要がある場合には、サーバ装置１０はクライアント装置２０と同一の現在日時を共有する必要があるため、クライアント装置２０と同様に時間認証装置３０から時間情報を取得すべきである。

なお、サーバ装置１０のＣＰＵ１１やクライアント装置２０のＣＰＵ２１が実行するプログラムは、コンピュータによって読み取り可能な磁気記録媒体、光記録媒体あるいはＲＯＭなどの記録媒体に記録してサーバ装置１０に提供することができる。また、インターネットのようなネットワーク経由でサーバ装置１０やクライアント装置２０にダウンロードさせることも可能である。
また、クライアント装置２０は、暗号化文書の復号結果を表示しなくても、例えば記録媒体に記憶したり、別の表示装置に送信するなどのように、復号結果を出力するようにしてもよい。

本発明の実施形態に係るネットワーク構成を概念的に示した図である。 同実施形態に係るサーバ装置のハードウェア構成を示したブロック図である。 同実施形態に係る管理テーブルの一例を示した図である。 同実施形態に係る文書配信システムが行う処理の過程を説明する図である。 同実施形態に係るクライアント装置のハードウェア構成を示したブロック図である。 同実施形態に係るサーバ装置のＣＰＵの実行手順を示すフローチャートである。 同実施形態に係るクライアント装置のＣＰＵの実行手順を示すフローチャートである。

符号の説明

１…文書配信システム、１０…サーバ装置、２０，２０ａ，２０ｂ，２０ｃ…クライアント装置、３０…時間認証装置、４０…ネットワーク、１１，２１…ＣＰＵ、１２，２２…ＲＯＭ、１３，２３…ＲＡＭ、１４，２４…記憶部、１５，２５…操作部、１６，２６…表示部、１７，２７…通信部。

Claims (4)

1. 各々の文書に割り当てられた文書識別情報を指定する文書指定手段と、
   前記文書指定手段によって指定された文書識別情報を、通信手段を介して接続された文書配信装置に送信する識別情報送信手段と、
   共通鍵で暗号化された領域を含む文書を表す暗号化文書データと、当該暗号化文書データが表す文書に含まれる暗号化された領域の秘密保持期限を表す期限情報と、自文書受信装置に割り当てられた秘密鍵に対応する公開鍵で暗号化された前記共通鍵とを、前記文書配信装置から前記通信手段を介して受信して記憶する記憶手段と、
   前記記憶手段に記憶されている暗号化文書データを表示又は出力するように指示されると、当該暗号化文書データにおいて暗号化されている領域の各々について、前記期限情報が表す秘密保持期限が経過したか否かを判断する判断手段と、
   前記判断手段により前記秘密保持期限が経過していないと判断された領域を復号せず、前記判断手段により前記秘密保持期限が経過したと判断された領域については、自文書受信装置に割り当てられた前記秘密鍵で前記記憶手段に記憶された共通鍵を復号し、復号した共通鍵で当該領域を復号し、その復号結果を表示または出力する復号出力手段と
   を備えることを特徴とする文書受信装置。
2. 各々の動画データに割り当てられた動画識別情報を指定する動画指定手段と、
   前記動画指定手段によって指定された動画識別情報を、通信手段を介して接続された動画配信装置に送信する識別情報送信手段と、
   共通鍵で暗号化されたオブジェクトを含む動画を表す暗号化動画データと、当該暗号化動画データが表す動画に含まれる暗号化されたオブジェクトの秘密保持期限を表す期限情報と、自動画受信装置に割り当てられた秘密鍵に対応する公開鍵で暗号化された前記共通鍵とを、前記動画配信装置から前記通信手段を介して受信して記憶する記憶手段と、
   前記記憶手段に記憶されている暗号化動画データを表示又は出力するように指示されると、当該暗号化動画データにおいて暗号化されているオブジェクトの各々について、前記期限情報が表す秘密保持期限が経過したか否かを判断する判断手段と、
   前記判断手段により前記秘密保持期限が経過していないと判断されたオブジェクトを復号せず、前記判断手段により前記秘密保持期限が経過したと判断されたオブジェクトについては、自動画受信装置に割り当てられた前記秘密鍵で前記記憶手段に記憶された共通鍵を復号し、復号した共通鍵で当該オブジェクトを復号し、その復号結果を表示または出力する復号出力手段と
   を備えることを特徴とする動画受信装置。
3. 前記通信手段を介して接続された時間認証装置から現在日時を表す日時情報を取得する日時情報取得手段を備え、
   前記判断手段は、前記日時情報取得手段が取得した日時情報が表す現在日時に基づいて前記秘密保持期限が経過したか否かを判断することを特徴とする請求項１記載の文書受信装置。
4. 文書受信装置のコンピュータを、
   各々の文書に割り当てられた文書識別情報を指定されると、指定された文書識別情報を、通信手段を介して接続された文書配信装置に送信する識別情報送信手段と、
   共通鍵で暗号化された領域を含む文書を表す暗号化文書データと、当該暗号化文書データが表す文書に含まれる暗号化された領域の秘密保持期限を表す期限情報と、前記文書受信装置に割り当てられた秘密鍵に対応する公開鍵で暗号化された前記共通鍵とを、前記文書配信装置から前記通信手段を介して受信して記憶する記憶手段と、
   前記記憶手段に記憶されている暗号化文書データを表示又は出力するように指示されると、当該暗号化文書データにおいて暗号化されている領域の各々について、前記期限情報が表す秘密保持期限が経過したか否かを判断する判断手段と、
   前記判断手段により前記秘密保持期限が経過していないと判断された領域を復号せず、前記判断手段により前記秘密保持期限が経過したと判断された領域については、前記文書受信装置に割り当てられた前記秘密鍵で前記記憶手段に記憶された共通鍵を復号し、復号した共通鍵で当該領域を復号し、その復号結果を表示または出力する復号出力手段
   として機能させるためのプログラム。

Images