JP4946582B2

JP4946582B2 - 情報処理装置及び情報処理プログラム

Info

Publication number: JP4946582B2
Application number: JP2007104164A
Authority: JP
Inventors: 隆徳益井
Original assignee: Fuji Xerox Co Ltd; Fujifilm Business Innovation Corp
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2007-04-11
Filing date: 2007-04-11
Publication date: 2012-06-06
Anticipated expiration: 2027-04-11
Also published as: US20080256626A1; JP2008262363A; US8302184B2

Description

本発明は、ユーザー認証に用いられる認証媒体であって当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体を利用して処理を実行する情報処理装置及び情報処理プログラムに関する。

近年では、セキュリティ対策として、個人の秘密鍵を格納したＩＣ（Integrated Circuit）カード（スマートカード）を利用する場合が少なくない。例えば、ユーザーが画像形成装置を利用する場合、画像形成装置搭載のセキュリティアプリケーションは、ユーザーにＩＣカードを挿着させ、ＰＩＮ（Personal Identification Number）を入力させる。これにより、画像形成装置は、ユーザー認証を行うと共にＩＣカードに格納された秘密鍵をスキャン文書の電子署名や暗号化されている電子文書（暗号化文書）の復号等に利用することができる。

ところで、ＩＣカードには、暗号プロセッサ搭載のＩＣカードと暗号プロセッサが搭載されていないＩＣカードの２種類のタイプがある。ＩＣカードは、秘密鍵やＰＩＮの記憶手段を有しているが、暗号プロセッサ搭載のＩＣカードは、更に画像形成装置等のデバイスからの指示に応じてユーザー認証や暗号化等の機能を実現するソフトウェア及びこのソフトウェアを実行するプロセッサが搭載されたＩＣカードである。そして、記憶手段に記憶された秘密鍵等のデータは、外部からの読出しが禁止されている。

これに対し、暗号プロセッサが搭載されていないＩＣカードは、暗号プロセッサが搭載されていない、メモリのみのＩＣカードである。従って、暗号プロセッサを搭載していないＩＣカードを利用する場合、ＩＣカードに格納された秘密鍵は、デバイスから読み出されて利用されることになる（例えば、特許文献１）。

このように、ＩＣカードの種類によってＩＣカードに格納された秘密鍵の利用形態が異なってくるが、暗号プロセッサが搭載されていないＩＣカードを利用すると、ＩＣカードが取り外された後でも秘密鍵がデバイスのメモリ上に残されたままになる可能性があるため、セキュリティ上必ずしも万全であるとは言えない。

これに対し、暗号プロセッサ搭載のＩＣカードを利用すると、ＩＣカードは、デバイスからの指示に応じて秘密鍵を利用した暗号化などの処理を内部にて実施し、その結果をデバイスへ返信することになる。つまり、秘密鍵は、外部へ読み出されることがないので、セキュリティの強化を図る上でより効果的である。

特開２００３−２２４７２８号公報特開２００２−２５９３０５号公報

ただ、秘密鍵がＩＣカードの内部のみに存在するということは、デバイスにおいて秘密鍵を利用する処理が実行されている間、ＩＣカードをアクセス可能な状態のままデバイスに挿着しておかなければならないことになる。例えば、大量のページの原稿をスキャンしてデジタル署名を付加してから電子文書を送信するなど、画像形成装置における処理時間が長くなることが明らかな場合、ユーザーは、ＩＣカードを画像形成装置に挿着し、ログインした状態のまま画像形成装置から離れて他の業務を行うことが容易に想像できる。この例のように、ユーザー認証された状態のＩＣカードが画像形成装置に挿着されたままにしておくと、秘密鍵が第三者により不正利用されてしまう可能性が生じてくる。このように、ＩＣカードから秘密鍵の読出しを禁止することによってセキュリティの強化を図る一方で、ＩＣカードの利用形態によっては、個人所有のＩＣカードが不正利用されてしまう可能性が生じてくる。

本発明は、暗号プロセッサ搭載の認証媒体の不正利用をより確実に防止することを目的とする。

本発明に係る情報処理装置は、ユーザー認証に用いられる認証媒体であって当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体が挿着された状態でユーザー認証を行うことで、当該ユーザーによる装置の利用を可能とする確認済み状態に設定するユーザー認証手段と、前記認証媒体に記憶された秘密鍵を利用した秘密鍵処理を含むジョブを実行するジョブ実行手段と、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの実行を禁止するジョブ実行禁止手段と、ユーザーインタフェース手段と、を有し、前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、前記ユーザーインタフェース手段への表示を不正操作防止用画面に切り替える表示切替指示部を有することを特徴とする。

また、前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの起動を阻止することを特徴とする。

また、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、ジョブ実行開始を当該ユーザーに通知する通知手段を有することを特徴とする。

本発明に係る情報処理プログラムは、コンピュータを、ユーザー認証に用いられる認証媒体であって当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体が挿着された状態でユーザー認証を行うことで、当該ユーザーによる前記コンピュータの利用を可能とする確認済み状態に設定するユーザー認証手段、前記認証媒体に記憶された秘密鍵を利用した秘密鍵処理を含むジョブを実行するジョブ実行手段、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの実行を禁止するジョブ実行禁止手段、ユーザーインタフェース手段、として機能させ、前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、前記ユーザーインタフェース手段への表示を不正操作防止用画面に切り替えることを特徴とする。

本発明によれば、認証媒体に記憶された秘密鍵を用いた処理が完了したことに基づいて、ユーザー認証に伴い設定された当該ユーザーの確認済み状態をユーザー未確認状態に変更するようにしたので、情報処理装置に認証媒体が残された状態においても認証媒体に記憶された秘密鍵の不正利用を、より確実に防止することができる。

また、認証媒体に記憶された秘密鍵を用いた処理が完了したことに基づいて、認証されたユーザーに秘密鍵の利用完了を通知するようにしたので、情報処理装置からの認証媒体が抜去可能であることを当該ユーザーに知らせることができる。

また、ジョブの実行が開始されたことに基づいて、新たなジョブの実行を禁止することができるので、情報処理装置に認証媒体が残された状態においても認証媒体に記憶された秘密鍵の不正利用を、より確実に防止することができる。

以下、図面に基づいて、本発明の好適な実施の形態について説明する。

実施の形態１．
図１は、本発明に係る情報処理装置の一実施の形態である画像形成装置のハードウェア構成図である。画像形成装置は、情報処理装置であるコンピュータを内部に搭載した画像処理装置であり、本実施の形態では、コピー機能、スキャナ機能等各種機能を搭載した複合機を想定している。図１において、ＣＰＵ１は、リードオンリメモリ（ＲＯＭ）９に格納されたプログラムにしたがってスキャナ４やプリンタエンジン６等本装置に搭載された各種機構の動作制御を行う。アドレスデータバス２は、ＣＰＵ１の制御対象となる各種機構と接続してデータの通信を行う。操作パネル３は、ユーザーからの指示の受け付け、情報の表示を行うユーザーインタフェース手段である。スキャナ４は、ユーザーがセットした原稿を読み取り、電子データとしてＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）２５等に蓄積する。ＨＤＤ２５は、スキャナ４を使用して読み取った電子文書などを格納する。プリンタエンジン６は、ＣＰＵ１で実行される制御プログラムからの指示に従い出力用紙上に画像を印字する。ネットワークインタフェース（Ｉ／Ｆ）７は、ネットワーク１２を接続し、ユーザー端末装置１４との間で電子文書等の送受信、ブラウザ経由による本装置へのアクセスなどに利用される。ランダムアクセスメモリ（ＲＡＭ）８は、プログラム実行時のワークメモリや電子データ送受信時の通信バッファとして利用される。ＲＯＭ９は、本装置の制御や電子データの暗号、電子データの送受信に関する各種プログラムが格納されている。各種プログラムが実行されることで後述する各構成要素が所定の処理機能を発揮する。ＩＣカードリーダー１０は、挿着されたＩＣカードとの間でデータの送受信を行う。

ここで、本実施の形態においてユーザー認証に用いる認証媒体は、当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体であり、前述した暗号プロセッサ搭載のＩＣカードの利用を想定している。これに伴い、画像形成装置２０には、ＩＣカードリーダー１０が接続されることになる。ここで、プロセッサというのは、プログラムの実行や各種の演算などを集中的に行なうチップのことをいうが、認証媒体に搭載されたプロセッサは、特に認証媒体に記憶されたソフトウェアを実行する。また、ＩＣカードは、ＩＣが組み込まれたカードである。ところで、スマートカードとは、ＣＰＵ，メモリなどの半導体を組み込んだプラスティックカードのことを言うが、同じ認証媒体をＩＣカードまたはスマートカードと称する場合もある。本実施の形態では、これらをＩＣカードで総称することにする。なお、現在において暗号プロセッサを搭載してユーザー認証に用いられる認証媒体としては、ＩＣカードが主流を成していると考えられるが、例えばＵＳＢ（Universal Serial Memory）メモリ等の記憶媒体に暗号プロセッサが搭載されユーザー認証に用いられるようになった場合には、この記憶媒体も本発明の認証媒体に該当する。

図２は、本実施の形態における画像形成装置２０のブロック構成図である。なお、本実施の形態の説明に必要でない構成要素については図から省略した。

画像形成装置２０は、ユーザー認証部２１、データ処理部２２、秘密鍵処理完了検知部２３、ユーザー確認状態リセット部２４及び抜取り許可通知部２５を有している。ユーザー認証部２１は、ＩＣカードがＩＣカードリーダー１０に挿着された状態でユーザー認証を行う。データ処理部２２は、ユーザーから指示されたデータ処理を実行するが、本実施の形態においては、ＩＣカードに記憶された秘密鍵を利用した処理を実行することになる。本実施の形態では、ＩＣカードに記憶された秘密鍵を利用したデータ処理を、特に秘密鍵処理と称することにした。秘密鍵処理完了検知部２３は、データ処理部２２が実行している秘密鍵処理の実行完了を検知する。データ処理部２２に含まれるデジタル署名処理部２６及び復号処理部２７は、それぞれ秘密鍵処理を実行する手段として設けられている。このうち、デジタル署名処理部２６は、ＩＣカードに記憶された秘密鍵を用いて、入力された電子文書に付加するデジタル署名を生成する。また、復号処理部２７は、ＩＣカードに記憶された秘密鍵を用いて、入力された暗号化文書の復号を行う。各処理の詳細については追って説明する。

ところで、本実施の形態における画像形成装置２０では、画像形成装置２０を利用するユーザーがＩＣカードをＩＣカードリーダー１０に挿入するだけでは、ユーザーはまだ未認証状態であり、画像処理装置２０の利用は不可能な状態にある。次に、ユーザーがＰＩＮを操作パネル３から入力し、ＩＣカード側で正しく照合された場合に、ユーザーが認証された状態となり、画像形成装置２０の利用が可能な状態となる。一方、ＩＣカードでも、同様にユーザーの確認状態が管理され、ユーザーのＰＩＮが正しく照合されまでは、ユーザー未確認状態であり、ＩＣカード内の秘密鍵の利用が不可能な状態となる。この状態は、ＩＣカードの秘密鍵の利用が制限されているという意味でブロック状態とも呼ばれる。さらに、ＩＣカードでＰＩＮが正しく照合され、ユーザー確認済み状態となると、ＩＣカードの秘密鍵が利用可能な状態となる。この状態は、ＩＣカードの秘密鍵の利用の制限が解除された状態という意味でアンブロック状態とも呼ばれる。このように、画像処理装置２０のユーザー認証状態とＩＣカードのユーザー確認状態は独立に制御されている。

ユーザー認証部２１は、ユーザー認証を行うことで、画像形成装置２０を当該ユーザーの認証済み状態に設定し、ＩＣカードを当該ユーザーの確認済み状態に設定する。これに対し、画像形成装置２０の認証済み状態を未認証状態に、ＩＣカードの確認済み状態を未確認状態に設定変更するのは、一般にユーザー操作によりログアウトが明示的に指示された場合、あるいはＩＣカードがＩＣカードリーダー１０から抜去されることによる自動ログアウトした場合であるが、本実施の形態におけるユーザー確認状態リセット部２４は、秘密鍵処理完了検知部２３により秘密鍵処理の完了が検知された時点で、ユーザー認証に伴い設定された当該ユーザーのＩＣカードの確認済み状態を未確認状態に変更する。抜取り許可通知部２５は、秘密鍵処理完了検知部２３により秘密鍵処理の完了が検知された時点で、秘密鍵処理完了を認証されているユーザーに通知することで、ＩＣカードが抜取り可能であることを通知する。

画像形成装置２０における各構成要素２１〜２５は、画像形成装置２０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。

また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵ１がインストールプログラムを順次実行することで各種処理が実現される。

次に、本実施の形態における秘密鍵処理を含むデータ処理の実行手順について図３に示したフローチャートを用いて説明する。

ステップ１１０において、画像形成装置２０を使用したいユーザーが所有するＩＣカードをＩＣカードリーダー１０に差し込んだ後、操作パネル３に表示された所定のログイン画面からＰＩＮを入力する。ユーザー認証部２１は、入力されたＰＩＮをＩＣカードへ送ることで当該ユーザーの認証を依頼する。ＩＣカードでは、送られてきたＰＩＮに基づき内部に存在するユーザー認証用アプリケーションがユーザー認証を実行し、その認証結果をユーザー認証部２１へ返す。ユーザー認証部２１は、その認証結果に従って次のように処理する。すなわち、認証が成功していれば、ユーザー認証部２１は、当該ユーザーによる画像形成装置２０の利用を許可し、画像形成装置２０をユーザー認証済み状態に設定し、ＩＣカードのユーザー確認状態を当該ユーザーの確認済み状態に設定する。なお、ここで設定されるユーザー確認状態は、ＩＣカードにおいて保持されるので、ユーザー認証部２１は、確認済み状態の設定をＩＣカードに要求する。一方、認証が失敗していれば、当該ユーザーによる画像形成装置２０の利用を禁止する。なお、ユーザー認証前にＩＣカードにおいて保持されるユーザー確認状態は未確認状態なので、ユーザー認証部２１は、未確認状態にあえて設定する必要はない。

ステップ１２０において、認証されたユーザーがスキャン文書にデジタル署名を付加していずれかのユーザーに送信したいとする。この場合、ユーザーは、原稿文書のスキャンとデジタル署名を、操作パネル３に表示された所定の操作画面から指示し、原稿文書をスキャナ４にセットした後スタートボタンを押下する。なお、この押下操作によって、ユーザーは、画像形成装置２０によるデータ処理が終了するまで、画像形成装置２０の前で待っている必要がない。従って、データ処理が長時間要することを把握しているユーザーは、画像形成装置２０から離れ、自分の席に戻り、パーソナルコンピュータ（ＰＣ）等で実現されるユーザー端末装置１４を使用して他の業務を行う。

スタートボタンの押下により、画像形成装置２０におけるデータ処理部２２は、署名付き電子文書生成処理を開始する。この例における秘密鍵処理はデジタル署名に相当する。従って、電子文書生成処理が開始され、原稿文書をスキャナ４により読み取ることでスキャン画像が生成されると、デジタル署名処理部２６は、スキャン画像からダイジェストを生成し、秘密鍵を用いてデジタル署名を生成する。但し、本実施の形態では、ＩＣカードから秘密鍵を読み出せないので、デジタル署名処理部２６は、生成したダイジェストをＩＣカードへ送ってデジタル署名を依頼する。デジタル署名は、原稿文書の各頁単位に行うか、あるいは、全頁をまとめて最後に行うことができる。ＩＣカードでは、送られてきたダイジェストを内部で保持する秘密鍵を用いて暗号化することでデジタル署名を生成し、そのデジタル署名をデジタル署名処理部２６へ返す。データ処理部２２は、ＩＣカードから送られてきたデジタル署名を、ダイジェストを生成したスキャン画像（電子文書）に付加し、ユーザーにより指定された宛先へ送信する。なお、この文書データ送信は、その都度行わなくても全ての電子文書にデジタル署名が付加されるのを待ってまとめて行うようにしてもよい。

以上の秘密鍵処理は、デジタル署名を付加すべきスキャン画像全てに対して繰り返し行われることになるが、以上説明したように、デジタル署名の生成には、秘密鍵がその都度必要であることから、ユーザーは、このデジタル署名が完了するまでＩＣカードをＩＣカードリーダー１０から抜き取ることができない。秘密鍵処理完了検知部２３は、このデータ処理部２２が実行中のデータ処理においてデジタル署名が完了するまで常時監視している（ステップ１３０でＮ）。そして、秘密鍵処理完了検知部２３が最後のスキャン画像（ページ）に対して付加するデジタル署名の生成が終了したことにより秘密鍵処理が完了したことを検知すると（ステップ１３０でＹ）、ユーザー確認状態リセット部２４は、ユーザー認証に伴い設定されたＩＣカードの当該ユーザーの確認済み状態を未確認状態にリセットする（ステップ１４０）。より詳細には、当該ユーザーのユーザー確認状態は、ＩＣカードにて保持されているので、ユーザー確認状態リセット部２４は、確認済み状態の設定を未確認状態に変更するようＩＣカードに要求する。

また、秘密鍵処理の完了が検知された時点で、抜取り許可通知部２５は、秘密鍵処理が完了したことによってＩＣカードが抜き取れる旨を、認証されているユーザーに通知する（ステップ１５０）。なお、通知先は、この処理の開始時に指示したり、画像形成装置２０に予め設定された通知先をそのまま利用したりすればよい。本実施の形態では、当該ユーザーが使用するユーザー端末装置１４や携帯電話への電子メールによる通知を想定しているが、操作パネル３へ表示するようにしてもよい。この場合の通知先は操作パネル３となる。電子メール等により通知を受けたユーザーは、この通知内容を参照することで画像形成装置２０まで移動し、ＩＣカードをＩＣカードリーダー１０から抜去する。

このように、秘密鍵処理の完了をユーザーに知らせることができるので、従来と比較してＩＣカードを手元から離れた状態を短期間にすることができる。

ここで、前述した処理の流れに沿って画像形成装置２０が制御するＩＣカードのユーザー確認状態について図４を用いて確認する。

図４Ａ〜Ｃは、ユーザー操作またはデータ処理に伴い発生するイベントと、画像形成装置２０が制御するＩＣカードのユーザー確認状態と、第三者により不正利用される可能性のある期間（不正可能期間）との関係を概念的に示した図であり、図４Ａは従来における関係、図４Ｂは本実施の形態における関係をそれぞれ示した図である。本実施の形態の特徴をより明確にするために、最初に図４Ａを用いて従来における画像形成装置２０が制御するＩＣカードのユーザー確認状態の遷移について説明する。

ユーザーがＩＣカードリーダー１０にＩＣカードを挿着し、ＰＩＮを入力することによってユーザー認証されると、この時点でＩＣカードは当該ユーザーの確認済み状態になることは前述したとおりである。ここで、スタートボタンの押下により、署名付き電子文書生成処理が実行され、文書スキャンが開始されることになるが、従来においては、デジタル署名が完了したことによりＩＣカードに記憶された秘密鍵が不要になった状態でもＩＣカードはＩＣカードリーダー１０に挿着されたままであり、ＩＣカードのユーザー確認済み状態がリセットされないので、第三者による不正利用が可能な状態である。つまり、画像形成装置２０から離れた認証済みのユーザーが戻ってきてＩＣカードの抜去による自動ログアウトが実施される前に、不正な第三者が画像形成装置２０を操作することによってＩＣカードに記憶された秘密鍵を用いてデジタル署名等の不正処理を行うことが可能である。つまり、従来においては、デジタル署名完了からログアウトされるまでの間が、不正利用が可能な期間として存在してしまう。

これに対し、本実施の形態においては、デジタル署名が完了したことによりＩＣカードに記憶された秘密鍵が不要になった時点で、画像形成装置２０がＩＣカードのユーザー確認状態を確認済み状態から未確認状態に設定変更する。本実施の形態によれば、図４Ｂに示したようにログアウトされるのを待たずにデジタル署名完了（秘密鍵処理終了）時点でＩＣカードの確認済み状態を未確認状態にリセットするようにしたので、不正利用が可能な期間を消失することができる。

なお、ＰＩＮ入力されてからデジタル署名が完了するまでの間、認証されたユーザーが画像形成装置２０から離れることで、例えば実行中のデータ処理のキャンセル、データ処理キャンセル後に他のデータ処理の不正実行、またＩＣカードの持ち逃げ等の不正が行われる可能性がある。しかしながら、このような不正行為は、アウトプット（署名付き電子文書）が不完全であることなどによって不正利用を容易に発見することができる。

以上では、データ処理として、署名付き電子文書生成処理を実施した場合の例を示した。続いて、他の例として、暗号化された電子文書を復号して印刷するというデータ処理について説明するが、この処理においても同様に、不正利用を極力回避することができる。この処理について上記と同じく図３に示したフローチャートを用いて説明する。なお、同じ処理は適宜省略して説明する。ここで、電子文書は、ユーザー端末装置１４などで、乱数により生成したデータ暗号鍵で電子文書を暗号化し、そのデータ暗号化鍵をユーザーの公開鍵を使って暗号化した暗号化されたデータ暗号鍵と共に暗号化文書となる。この暗号化文書は、当該ユーザーの秘密鍵によってのみ復号化することができる。

ユーザー認証後（ステップ１１０）、認証されたユーザーが保有している暗号化文書を印刷したいとする。この場合、ユーザーは、印刷対象の暗号化文書を、操作パネル３に表示された所定の操作画面から指示し、プリントボタンを押下する。なお、この押下操作によって、ユーザーは、画像形成装置２０によるデータ処理が終了するまで、画像形成装置２０の前で待っている必要がないので、上記例の同様に画像形成装置２０から離れるものとする。

プリントボタンの押下により、画像形成装置２０におけるデータ処理部２２は、印刷処理を開始する。この例における秘密鍵処理は電子文書の復号に相当する。従って、復号処理部２７は、暗号化文書に付加されている暗号化されたデータ暗号鍵を、秘密鍵を用いて復号する。但し、本実施の形態では、ＩＣカードから秘密鍵を読み出せないので、復号処理部２７は、暗号化されたデータ暗号鍵をＩＣカードへ送って復号を依頼する。ＩＣカードでは、送られてきたデータ暗号鍵を内部で保持する秘密鍵を用いて復号し、その復号により得られるデータ復号鍵を復号処理部２７へ返す。データ処理部２２は、送られてきたデータ復号鍵を用いて暗号化文書を復号することで平文を生成して、プリンタエンジン６を動作させて印刷する。なお、この印刷は、その都度行わなくても全ての暗号化文書が平文に復号されるのを待ってまとめて行うようにしてもよい。

この例では、暗号鍵の復号のために秘密鍵は１回だけ利用されることになるが、秘密鍵処理完了検知部２３が暗号鍵の復号完了を検知すると（ステップ１３０でＹ）、ユーザー確認状態リセット部２４は、ユーザー認証に伴い設定されたＩＣカードにおける当該ユーザーの確認済み状態を未確認状態にリセットする（ステップ１４０）。そして、抜取り許可通知部２５は、秘密鍵処理が完了したことによってＩＣカードが取り外せる旨を認証されているユーザーに通知する（ステップ１５０）。

なお、上記例におけるデジタル署名は、各ページに対して行う必要があるため秘密鍵処理の完了に相対的に長い時間要するのに対し、この例における秘密鍵を用いた復号は、１回だけ実施されればよいため相対的に早いうちに（ユーザーが画像形成装置２０から離れる前に）完了する可能性が高い。従って、ステップ１５０における通知は、遠隔地にいるユーザーへの通知に好適な電子メールを用いるよりも操作パネル３に表示することが好適である。

本実施の形態によれば、ＩＣカードに記憶された秘密鍵を用いた処理が完了した時点で、ユーザー認証に伴いＩＣカードに設定された当該ユーザーの確認済み状態を未確認状態に変更するようにしたので、画像形成装置２０にＩＣカードが残された状態においてもＩＣカードに記憶された秘密鍵の不正利用を、より確実に防止することができる。

なお、本実施の形態では、画像形成装置２０がＩＣカードのユーザー確認状態を未確認状態にリセットすることによって秘密鍵の不正利用を防止するようにした。ただ、秘密鍵処理の完了を通知することだけによっても、画像形成装置２０からＩＣカードが抜去可能であることを当該ユーザーに即座に知らせることができる。これにより、当該ユーザーは、最適なタイミングで画像形成装置２０に戻ることができるので、秘密鍵処理完了の通知手段を設けていない従来と比較して、秘密鍵の不正利用の防止効果を奏することができる。

実施の形態２．
図５は、本実施の形態における画像形成装置２０のブロック構成図である。なお、本実施の形態の説明に必要でない構成要素については図から省略した。画像形成装置２０は、実施の形態１と同じユーザー認証部２１、秘密鍵処理完了検知部２３及び抜取り許可通知部２５に加えて、ジョブ実行部３１、ジョブ管理部３２及び表示制御部３３を有している。ジョブ実行部３１は、上記実施の形態１と同様の構成要素であるが、ここでは実行するデータ処理をジョブとして実行することを明確にするためにジョブ実行部とした。ジョブ実行部３１により実行されるジョブにおいて秘密鍵処理は実行される。ジョブ管理部３２は、ジョブ実行部３１におけるジョブの実行管理を行うが、ジョブ実行部３１による秘密鍵処理を含むジョブの実行が開始された時点で新たなジョブの実行を禁止する手段として、ジョブ起動禁止設定部３５及び表示切替指示部３６を有している。このうち、ジョブ起動禁止設定部３５は、秘密鍵処理を含むジョブの実行が開始された時点で、ジョブ起動要求があった場合でも新たなジョブを起動しない起動禁止モードに設定する。この起動禁止モードの設定の有無は、例えばフラグ情報として内部に保持しておけばよい。ジョブ管理部３２は、この起動禁止モードの設定に応じてジョブの起動制御を行う。また、表示切替指示部３６は、秘密鍵処理を含むジョブの実行が開始された時点で、操作パネル３の表示を不正操作防止用画面に切り替えるよう表示制御部３３に指示する。表示制御部３３は、操作パネル３の表示制御を行うが、前述したように、表示切替指示部３６からの指示に応じて不正操作防止用画面を操作パネル３に表示する。

画像形成装置２０における各構成要素２１，２５，３１〜３３は、画像形成装置２０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。

次に、本実施の形態における秘密鍵処理を含むジョブの実行手順について図６に示したフローチャートを用いて説明する。なお、実施の形態１と同じ処理内容には同じステップ番号を付け、適宜説明を省略する。

ユーザーが所有するＩＣカードをＩＣカードリーダー１０に差し込んだ後、操作パネル３に表示されたログイン画面からＰＩＮを入力すると、ユーザー認証部２１は、このユーザー操作に応じてユーザー認証を行う（ステップ１１０）。ここで、認証されたユーザーがスキャン文書にデジタル署名を付加していずれかのユーザーに送信したいとする。この場合、ユーザーは、原稿文書のスキャンとデジタル署名を操作パネル３の所定の操作画面から指示し、原稿文書をスキャナ４にセットした後スタートボタンを押下する。

スタートボタンの押下により、画像形成装置２０におけるジョブ管理部３２は、ジョブの実行をジョブ実行部３１に指示する（ステップ２１０）。ジョブ実行部３１は、この指示に応じてジョブを開始する。このジョブでは、原稿文書をスキャナ４により読み取ることで、デジタル署名が付加されるスキャン画像を生成する。

以上のようにして、ジョブの実行が開始されると、ジョブ起動禁止設定部３５は、起動禁止モードに設定する（ステップ２２０）。また、表示制御部３３は、表示切替指示部３６からの指示に応じて操作パネル３の表示を不正操作防止用画面に切替表示する（ステップ２３０）。

その後、秘密鍵処理完了検知部２３は、実行中のジョブにおいてデジタル署名が完了するまで常時監視している（ステップ１３０でＮ）。そして、秘密鍵処理完了検知部２３が最後のスキャン画像（ページ）に対して付加するデジタル署名の生成が終了したことにより秘密鍵処理が完了したことを検知すると（ステップ１３０でＹ）、抜取り許可通知部２５は、秘密鍵処理が完了したことによってＩＣカードが抜き取れる旨を、認証されているユーザーに通知する（ステップ１５０）。

本実施の形態においては、以上説明したようにジョブを実行するが、ログアウトされる前に新たなジョブの起動要求があると、ジョブ管理部３２は、起動禁止モードに設定されていることを認識してジョブを新たに実行しない。

図４Ｃは、本実施の形態においてユーザー操作またはデータ処理に伴い発生するイベントと、画像形成装置２０が制御するＩＣカードのユーザー確認状態と、第三者により不正利用される可能性のある期間（不正可能期間）との関係を概念的に示した図であるが、ここで、この図４Ｃを用いて前述した処理の流れに沿って画像形成装置２０が制御するＩＣカードのユーザー確認状態について確認する。

ユーザーがＩＣカードリーダー１０にＩＣカードを挿着し、ＰＩＮを入力することによってユーザー認証されると、この時点でＩＣカードは当該ユーザーの確認済み状態になることは前述したとおりである。そして、ジョブが開始されると、上記のようにジョブ起動禁止モードに設定され、またこれと同時に不正操作防止用画面が表示される。なお、本実施の形態におけるジョブでは、実行開始と共に原稿文書のスキャンが開始されることから、図４Ｃにおいては、図４Ａ，Ｂとの比較の関係上、ジョブの実行開始を「スキャン開始」と記述した。そして、ＩＣカードの抜去による自動ログアウトに応じて画像形成装置２０はＩＣカードのユーザー確認状態を確認済み状態から未確認状態に設定変更する。なお、実施の形態１と組み合わせてデジタル署名が完了したことによりＩＣカードに記憶された秘密鍵が不要になった時点で、画像形成装置２０がＩＣカードのユーザー確認状態を未確認状態にリセットするようにしてもよいが、ここでは、本実施の形態の特徴が明確になるように組み合わせない構成とした。

まず、図４Ｃから明らかなように、本実施の形態では、ジョブ開始時点で新たなジョブが起動できないように設定した。従って、第三者が新たなジョブを起動してＩＣカードリーダー１０に挿着されたＩＣカードを不正利用しようとしても、これを未然に防止することができる。

また、本実施の形態では、ジョブの起動禁止と合わせて操作パネル３の表示を不正操作防止用画面に切り替えるようにした。この不正操作防止用画面というのは、操作パネル３の表示を見た第三者に、画像形成装置２０が今現在、新たなジョブが起動できない状態であると勘違いさせるような表示画面である。例えば、画像形成装置２０がユーザー未認証状態やＩＣカードのユーザー確認状態が未確認状態であると勘違いさせるために、ログアウトしている状態を示すログアウト画面あるいはＰＩＮ入力画面等を画面表示する。あるいは入力操作ボタンのない画面でもよい。更に操作パネル３に何も表示されていない状態や操作を何ら受け付けないようにしてもよい。このように、カモフラージュ的な画面を操作パネル３に表示することによって新たなジョブの起動を阻止する。

上記実施の形態１では、不正利用が可能な期間を消失することで、第三者による不正利用を防止するようにした。本実施の形態では、不正可能期間を消失するのではなく、新たなジョブの起動を阻止する手段を設けて不正可能期間において不正利用させないようにしたことを特徴としている。

なお、上記各実施の形態においては、説明の便宜上、指示されたデータ処理（またはジョブ）に秘密鍵処理が含まれており、また秘密鍵を１回若しくは一連の利用のみであることを前提としたが、指示された処理（またはジョブ）に秘密鍵処理が含まれているか否か、また秘密鍵処理が完了したか否かは、データ処理（またはジョブ）の指示内容等から事前に認識できるようにしておく。

また、本実施の形態では、情報処理装置として画像形成装置２０を用い、ＩＣカードに記憶された秘密鍵をデジタル署名や暗号化文書の印刷に利用する場合を例にして説明した。ただ、本発明は、汎用的なコンピュータや上記説明した画像形成装置２０のようなコンピュータ搭載のデバイスにも適用でき、情報処理装置として画像形成装置２０に限定されるものではない。また、実行する処理内容や情報処理装置の構成によって、前述した実施の形態１，２を組み合わせて適用することも可能である。

本発明に係る情報処理装置の一実施の形態である画像形成装置のハードウェア構成図である。実施の形態１における画像形成装置のブロック構成図である。実施の形態１における秘密鍵処理を含むデータ処理を示したフローチャートである。従来において、ＩＣカードを所有するユーザーの画像形成装置に対するＩＣカードのユーザー確認状態と、第三者により不正利用される可能性のある期間とを概念的に示した図である。実施の形態１において、ＩＣカードを所有するユーザーの画像形成装置に対するＩＣカードのユーザー確認状態と、第三者により不正利用される可能性のある期間とを概念的に示した図である。実施の形態２において、ＩＣカードを所有するユーザーの画像形成装置に対するＩＣカードのユーザー確認状態と、第三者により不正利用される可能性のある期間とを概念的に示した図である。実施の形態２における画像形成装置のブロック構成図である。実施の形態２における秘密鍵処理を含むジョブを実行するときの処理を示したフローチャートである。

符号の説明

１ＣＰＵ、２アドレスデータバス、３操作パネル、４スキャナ、５ハードディスクドライブ（ＨＤＤ）、６プリンタエンジン、７ネットワークインタフェース（Ｉ／Ｆ）、８ＲＡＭ、９ＲＯＭ、１０ＩＣカードリーダー、１２ネットワーク、１４ユーザー端末装置、２０画像形成装置、２１ユーザー認証部、２２データ処理部、２３秘密鍵処理完了検知部、２４ユーザー確認状態リセット部、２５許可通知部、２６デジタル署名処理部、２７復号処理部、３１ジョブ実行部、３２ジョブ管理部、３３表示制御部、３５ジョブ起動禁止設定部、３６表示切替指示部。

Claims

ユーザー認証に用いられる認証媒体であって当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体が挿着された状態でユーザー認証を行うことで、当該ユーザーによる装置の利用を可能とする確認済み状態に設定するユーザー認証手段と、
前記認証媒体に記憶された秘密鍵を利用した秘密鍵処理を含むジョブを実行するジョブ実行手段と、
前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの実行を禁止するジョブ実行禁止手段と、
ユーザーインタフェース手段と、
を有し、
前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、前記ユーザーインタフェース手段への表示を不正操作防止用画面に切り替える表示切替指示部を有することを特徴とする情報処理装置。
請求項１記載の情報処理装置において、
前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの起動を阻止することを特徴とする情報処理装置。
請求項１又は２に記載の情報処理装置において、
前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、ジョブ実行開始を当該ユーザーに通知する通知手段を有することを特徴とする情報処理装置。
コンピュータを、
ユーザー認証に用いられる認証媒体であって当該ユーザーの個人識別情報、秘密鍵及びその秘密鍵を利用したソフトウェアを記憶すると共に当該ソフトウェアを実行するプロセッサを搭載した認証媒体が挿着された状態でユーザー認証を行うことで、当該ユーザーによる前記コンピュータの利用を可能とする確認済み状態に設定するユーザー認証手段、
前記認証媒体に記憶された秘密鍵を利用した秘密鍵処理を含むジョブを実行するジョブ実行手段、
前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、新たなジョブの実行を禁止するジョブ実行禁止手段、
ユーザーインタフェース手段、
として機能させ、
前記ジョブ実行禁止手段は、前記ジョブ実行手段による秘密鍵処理を含むジョブの実行が開始されたことに基づいて、前記ユーザーインタフェース手段への表示を不正操作防止用画面に切り替えることを特徴とする情報処理プログラム。