JP5493679B2

JP5493679B2 - 復号鍵送信装置、コンピュータプログラム、復号鍵送信システム及び復号鍵送信方法

Info

Publication number: JP5493679B2
Application number: JP2009238568A
Authority: JP
Inventors: 章王枩浦
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2009-10-15
Filing date: 2009-10-15
Publication date: 2014-05-14
Anticipated expiration: 2029-10-15
Also published as: JP2011087134A

Description

本発明は、第三者に盗み見られないよう暗号化されたデータを復号するための復号鍵を送信する復号鍵送信装置、コンピュータプログラム、復号鍵送信システム及び復号鍵送信方法に関する。

通信手段の一つとして、ネットワークを介して送受信される電子メールが用いられている。電子メールの送受信に、例えばパーソナルコンピュータ（以下、パソコンと言う）を用いた場合、送信された電子メールは、受信者側でパソコンを起動し、メールチェックを行わない限りメールサーバに格納され続ける。このため、送信者は、送信した電子メールが受信者に受信され、閲覧されたか否かを把握することができない場合がある。そこで、受信者に電子メールが受信されたことを送信者に知らせることができる機能を備えた電子メールシステムがある（例えば特許文献１参照）。

特開２００１−５３７８２号公報

ところで、送信先を誤って電子メールを送信する場合がある。このような場合、送信者は、電子メールの送信を取りやめることができず、誤った送信先で電子メールが閲覧されるといった問題が発生する。斯かる問題は特許文献１では解決することができない。

本発明はかかる事情に鑑みてなされたものであり、その目的とするところは、暗号化したデータを復号するための復号鍵の送信を制御することで、データの閲覧を制御することができる復号鍵送信装置、コンピュータプログラム、復号鍵送信システム及び復号鍵送信方法を提供することにある。

本願に開示する復号鍵送信装置は、データが暗号化された暗号データを復号するための復号鍵、及び暗号データを識別する識別情報を関連付ける。復号鍵に関連付けられた識別情報を受信した場合、受信した識別情報の送信元に対して、識別情報に関連付けられた復号鍵を送信する。

本願に開示する復号鍵送信装置の一観点によれば、暗号データの復号に必要な復号鍵は、暗号データの識別情報と関連付けされていない場合には、識別情報を用いて復号鍵を要求してきた送信元に対して送信されない。従って、暗号データを扱うユーザは、復号鍵送信装置に対して、扱う暗号データに係る復号鍵及び識別情報を送信しないことで、暗号データの復号を禁止させることができる。従って、暗号データの復号の可否を制御することで、データの閲覧制御が可能となる。

実施の形態に係るデータ送信システムを模式的に示す概略図である。パソコン及びメールサーバ装置が有する電気的構成を模式的に示すブロック図である。参照テーブル及びメール閲覧管理テーブルを模式的に示す図である。暗号メールの送信処理の動作を示すフローチャートである。閲覧鍵の登録処理の動作を示すフローチャートである。閲覧鍵取得処理の動作を示すフローチャートである。閲覧鍵取得処理の動作を示すフローチャートである。閲覧鍵取得処理の動作を示すフローチャートである。閲覧鍵取得処理の動作を示すフローチャートである。

以下、本発明に係る復号鍵送信装置、コンピュータプログラム、復号鍵送信システム及び復号鍵送信方法の好適な実施の形態について図面を参照して説明する。以下の実施の形態では、本発明に係る復号鍵送信装置をメールサーバ装置とし、作成した電子メールを暗号化し、暗号化した電子メールをメールサーバ装置を介して端末装置間で送受信するデータ送信システムとして説明する。

（実施形態１）
図１は、本実施の形態に係るデータ送信システムを模式的に示す概略図である。

本実施の形態に係るデータ送信システムは、電子メールの作成、送受信及び閲覧などを行う端末装置としてのパソコン１ａ，１ｂ、及びパソコン１ａ，１ｂ間での電子メールの送受信を可能にするメールサーバ装置２ａ，２ｂなどを備えている。パソコン１ａ，１ｂそれぞれは、ネットワーク３ａ，３ｂを介してメールサーバ装置２ａ，２ｂと通信可能としてある。またメールサーバ装置２ａ，２ｂは、ネットワーク３ｃを介して通信可能としてある。ネットワーク３ａ，３ｂ，３ｃは、Local Area Network（ＬＡＮ）、Wide Area Network（ＷＡＮ）、又は電話回線網などである。以下の説明では、パソコン１ａにおいて電子メールを作成し、作成した電子メールをメールサーバ装置２ａ，２ｂを介してパソコン１ｂに送信し、パソコン１ｂで電子メールを閲覧するものとして説明する。

パソコン１ａ（送信側端末装置）は、ユーザにより操作され、電子メールを作成する。作成される電子メールは、メール本文及びメールヘッダなどを含んでいる。メールヘッダには、電子メールを正しく配送するための情報、例えば送信元（From）、受信先（To）、経由（Received）、題名（Subject）、及びメッセージＩＤなどが記述されている。メッセージＩＤ（識別情報）は電子メール固有の番号である。メッセージＩＤは、電子メールの作成時に自動で割り当てられてもよいし、ユーザにより設定されてもよい。また電子メールは、テキスト形式又はHyperText Markup Language（ＨＴＭＬ）形式の何れの形式であってもよい。

パソコン１ａは、作成した電子メールを暗号化鍵を用いて暗号化する。電子メールの暗号化とは、具体的には電子メールに含まれるメール本文を第三者に盗み見られないよう暗号化することを言う。暗号化鍵は、ユーザにより設定されてもよいし、乱数などを用いて生成されてもよい。暗号化された電子メール（以下、暗号メールと言う）には、閲覧プログラムが添付される。閲覧プログラムは、暗号化された電子メールを復号するためのアプリケーションプログラムであり、暗号メールの受信先（本実施の形態ではパソコン１ｂ）で実行される。パソコン１ａは、閲覧プログラムが添付された暗号メールを、ネットワーク３ａを介してメールサーバ装置２ａに送信する。この時の通信プロトコルは、Simple Mail Transfer Protocol（ＳＭＴＰ）が用いられる。なお、閲覧プログラムは、ユーザの操作により暗号メールに添付されるようにしてもよいし、電子メールを作成するとき又は暗号化するときに自動的に添付されるようにしてもよい。

またパソコン１ａは、暗号メールを復号する際に用いられる閲覧鍵（復号鍵）を生成する。復号鍵は、暗号化鍵と同一であってもよいし、暗号化鍵と異なるものであってもよい。パソコン１ａは、生成した閲覧鍵をメールサーバ装置２ａに登録する。なお、パソコン１ａは、閲覧鍵を暗号メールに添付してメールサーバ装置２ａへ送信するようにしてもよい。

メールサーバ装置２ａ（サーバ装置、復号鍵送信装置）は、パソコン１ａから送信された暗号メールを受信し、メールヘッダに記述されている受信先（To）の内容に従って、ＳＭＴＰを用いて暗号メールを転送する。本実施の形態では、メールサーバ装置２ａはネットワーク３ｃを介してメールサーバ装置２ｂに転送する。またメールサーバ装置２ａは、パソコン１ａから送信された閲覧鍵の登録を行う。閲覧鍵を登録するメールサーバ装置２ａは、暗号メールの受信先であるパソコン１ｂから閲覧鍵の要求を受け付けるようになっている。閲覧鍵の要求を受け付け、対応する閲覧鍵が登録されている場合には、メールサーバ装置２ａは閲覧鍵をパソコン１ｂへ送信する。

メールサーバ装置２ｂは、メールサーバ装置２ａから送信された暗号メールを受信し、一時的に記憶する。メールサーバ装置２ｂは、パソコン１ｂから暗号メールの要求を受け付け、要求してきたパソコン１ｂへの暗号メールを記憶している場合、該当する暗号メールをパソコン１ｂへ送信する。このときの通信プロトコルは、Post Office Protocol（ＰＯＰ）又はInternet Message Access Protocol(ＩＭＡＰ)が用いられる。

パソコン１ｂ（受信側端末装置、外部装置）は、ユーザにより操作され、メールサーバ装置２ｂにアクセスし、自身宛の暗号メールを要求する。メールサーバ装置２ｂに暗号メールが記憶されている場合、パソコン１ｂはメールサーバ装置２ｂから暗号メールを受信する。またパソコン１ｂは、受信した暗号メールに添付されている閲覧プログラムを起動させる。閲覧プログラムは、ユーザの操作により起動してもよいし、暗号メールの受信時に自動で起動してもよい。閲覧プログラムが起動したパソコン１ｂは、受信した暗号メールを復号するための閲覧鍵をメールサーバ装置２ｂを介してメールサーバ装置２ａへ要求する。パソコン１ｂは、要求した閲覧鍵をメールサーバ装置２ａから受信した場合、受信した閲覧鍵を用いて暗号メールを復号する。これにより、パソコン１ｂのユーザは、電子メールのメール本文を閲覧することができる。

パソコン１ｂは、暗号メールに添付された閲覧プログラムを実行することで、閲覧鍵を取得し、暗号メールを復号することができるため、パソコン１ｂに復号するためのアプリケーションなどを用意する必要がなくなる。すなわち、パソコン１ａのユーザは、暗号メールの受信先であるパソコン１ｂの環境を考慮することなく暗号メールを送信することができる。

図２は、パソコン１ａ，１ｂ及びメールサーバ装置２ａ，２ｂが有する電気的構成を模式的に示すブロック図である。以下の説明では、パソコン１ａ及びメールサーバ装置２ａについて説明するが、パソコン１ｂ及びメールサーバ装置２ｂは、パソコン１ａ及びメールサーバ装置２ａと同様であるため説明は省略する。

パソコン１ａは、Central Processing Unit（ＣＰＵ）１１、Read Only Memory（ＲＯＭ）１２、Random Access Memory（ＲＡＭ）１３、通信部１４、入力装置１５及表示装置１６などを備えている。ＲＯＭ１２には、パソコン１ａとして動作させるために必要な種々の制御プログラムが予め格納されている。ＣＰＵ１１は、所定のタイミングに従って、制御プログラムをＲＯＭ１２から適宜ＲＡＭ１３に読み出して実行すると共に、ハードウェア各部の動作を制御する。ＲＡＭ１３は、Static RAM（ＳＲＡＭ）又はフラッシュメモリなどで構成されており、ＣＰＵ１１による制御プログラムの実行時に発生する種々のデータを一時的に記憶する。

通信部１４は、ネットワーク３ａを介してメールサーバ装置２ａとのデータ通信を可能にする。データ通信は、有線又は無線の何れで行ってもよい。入力装置１５は、例えばキーボード及びマウスなどであって、電子メールの作成などのユーザの操作を受け付ける。表示装置１６は、例えば液晶ディスプレイで構成され、ＣＰＵ１１からの指示に従って、パソコン１ａの動作状況、入力装置１５を介して入力された情報、ユーザに対して通知すべき情報などを表示する。

メールサーバ装置２ａは、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、通信部２４及び大容量記憶装置２５などを備えている。ＲＯＭ２２には、メールサーバ装置２ａとして動作させるために必要な種々の制御プログラムが予め格納されている。ＣＰＵ２１は、所定のタイミングに従って、制御プログラムをＲＯＭ２２から適宜ＲＡＭ２３に読み出して実行すると共に、ハードウェア各部の動作を制御する。ＲＡＭ２３は、ＳＲＡＭ又はフラッシュメモリなどで構成されており、ＣＰＵ２１による制御プログラムの実行時に発生する種々のデータを一時的に記憶する。

通信部２４は、ネットワーク３ａ，３ｃを介してパソコン１ａ及びメールサーバ装置２ｂとのデータ通信を可能にする。大容量記憶装置２５は、例えばハードディスクなどである。メールサーバ装置２ａの場合、大容量記憶装置２５には、後述の参照テーブル及びメール閲覧管理テーブルなどが記憶される。メールサーバ装置２ｂの場合、パソコン１ａから送信された暗号メールなどが一時的に記憶される。なお、メールサーバ装置２ｂの場合、暗号メールはＲＡＭ２３に記憶されるようにしてもよい。

以下に、メールサーバ装置２ａの大容量記憶装置２５に記憶される参照テーブル及びメール閲覧管理テーブルについて説明する。

図３は、参照テーブル及びメール閲覧管理テーブルを模式的に示す図である。参照テーブル３１及びメール閲覧管理テーブル３２は、暗号メールを復号するための閲覧鍵を管理するためのテーブルであって、パソコン１ａがメールサーバ装置２ａに閲覧鍵を登録する際に生成され、大容量記憶装置２５に記憶される。

参照テーブル３１は、暗号メールを識別するメッセージＩＤとインデックス値とを関連付けて格納している。メッセージＩＤは、閲覧鍵の登録時にパソコン１ａからメールサーバ装置２ａへ送信される。閲覧鍵をメッセージＩＤと共に受信することで、メールサーバ装置２ａは、登録する閲覧鍵がどの暗号メールを復号するためのものであるかを把握することができる。インデックス値は、参照すべきメール閲覧管理テーブル３２へのポインタである。

参照テーブル３１は、メールサーバ装置２ａが暗号メールの受信先から閲覧鍵の要求を受け付けた場合に参照される。例えば、メールサーバ装置２ａは、閲覧鍵の要求時にメッセージＩＤを受信し、受信したメッセージＩＤを参照テーブル３１から検索する。そしてメールサーバ装置２ａは、検索したメッセージＩＤに対応するインデックス値に基づいて、メール閲覧管理テーブル３２を参照する。

メール閲覧管理テーブル３２は、登録する閲覧鍵と、有効フラグ及び閲覧期間とにインデックス値（図中では「０」）を割り当てて格納している。有効フラグは、閲覧鍵の要求を受け付けたときに、メールサーバ装置２ａが閲覧鍵を送信するか否かを決定するためのフラグである。例えば有効フラグがオフの場合、メールサーバ装置２ａは閲覧鍵を送信せず、オンの場合、閲覧鍵を送信する。閲覧期間は、暗号メールの受信先が閲覧鍵を取得できる期間である。メールサーバ装置２ａは、閲覧期間外に閲覧鍵の要求を受け付けた場合、その要求を無効とし、閲覧鍵を送信しない。

なお、メール閲覧管理テーブル３２は、閲覧鍵の登録を行うパソコン１ａから変更可能となっている。例えば、オンとなっている有効フラグをパソコン１ａからオフに変更することができる。また閲覧鍵の取得できる期間を、パソコン１ａから延長又は短縮させることができる。有効フラグ及び閲覧期間の初期値は、メール閲覧管理テーブル３２の生成時に所定の値が設定されてもよいし、閲覧鍵の登録を行う際にパソコン１ａから設定されてもよい。閲覧期間には、閲覧鍵の登録からの経過時間が指定されていてもよいし、閲覧鍵の取得が可能な期限の最終日が指定されていてもよい。

次に、上述のパソコン１ａ，１ｂ及びメールサーバ装置２ａ，２ｂを備えるデータ送信システムの動作について詳述する。以下に説明するパソコン１ａ，１ｂ及びメールサーバ装置２ａ，２ｂの動作は、それぞれＣＰＵ１１及びＣＰＵ２１により実行される。

図４は、暗号メールの送信処理の動作を示すフローチャートである。暗号メールの送信処理は、パソコン１ａで作成した電子メールを暗号化し、暗号メールを受信先であるパソコン１ｂへ送信する処理である。図４は、暗号メールを送信するパソコン１ａ、及び暗号メールを転送するメールサーバ装置２ａ，２ｂそれぞれの動作を並列に示している。

パソコン１ａは、ユーザの操作を受け付けて電子メールを作成し（Ｓ１）、作成した電子メールを暗号化する（Ｓ２）。パソコン１ａはメールサーバ装置２ａへ暗号メールを送信し（Ｓ３）、メールサーバ装置２ａはパソコン１ａから受信した暗号メールを、メールヘッダの内容に従って転送する（Ｓ４）。メールサーバ装置２ｂは、メールサーバ装置２ａから転送された暗号メールをＲＡＭ２３又は大容量記憶装置２５などに一時的に記憶する（Ｓ５）。

メールサーバ装置２ｂは、パソコン１ｂから暗号メールが要求されたか否かを判定する（Ｓ６）。暗号メールが要求されていない場合（Ｓ６：ＮＯ）、メールサーバ装置２ｂは要求されるまで待機する。暗号メールが要求された場合（Ｓ６：ＹＥＳ）、メールサーバ装置２ｂは、要求してきたパソコン１ｂへ暗号メールを送信し（Ｓ７）、送信済みとなった暗号メールを削除する（Ｓ８）。

図５は、閲覧鍵の登録処理の動作を示すフローチャートである。閲覧鍵の登録処理は、パソコン１ａで生成した閲覧鍵をメールサーバ装置２ａに登録する処理である。図５は、パソコン１ａ及びメールサーバ装置２ａそれぞれの動作を並列に示している。

パソコン１ａは、閲覧鍵を生成する（Ｓ１１）。パソコン１ａは、例えば電子メールの暗号化と同時に閲覧鍵を生成する。次にパソコン１ａは、メッセージＩＤと共に閲覧鍵をメールサーバ装置２ａへ送信する（Ｓ１２）。このとき送信されるメッセージＩＤは、登録する閲覧鍵により復号できる暗号メールに係るメッセージＩＤである。パソコン１ａから閲覧鍵を受信したメールサーバ装置２ａは、受信した閲覧鍵をメッセージＩＤと関連付けて大容量記憶装置２５へ格納する（Ｓ１３）。すなわち、メールサーバ装置２ａは、図３に示す参照テーブル３１及びメール閲覧管理テーブル３２を生成し、大容量記憶装置２５へ格納する。

パソコン１ａは、有効フラグ又は閲覧期間を変更する操作を受け付けたか否かを判定する（Ｓ１４）。変更操作を受け付けていない場合（Ｓ１４：ＮＯ）、パソコン１ａはＳ１７に処理を移す。変更操作を受け付けた場合（Ｓ１４：ＹＥＳ）、パソコン１ａは変更要求をメールサーバ装置２ａへ送信する（Ｓ１５）。変更要求を受信したメールサーバ装置２ａは、変更要求に従ってメール閲覧管理テーブル３２を更新する（Ｓ１６）。例えば、メールサーバ装置２ａは、オンとなっている有効フラグをオフに変更し、あるいは、閲覧期間を延長又は短縮する。

これにより、受信先を誤って暗号メールを送信した場合であっても、オンとなった有効フラグをオフにすることで、暗号メールの受信先に閲覧鍵を取得させないようにできる。すなわち、暗号メールのメール本文が受信先で閲覧されないようにできる。また暗号メールを送信してから長時間経過した後に、暗号メールの受信先が暗号メールを受信した場合であっても、閲覧期間を延長させることで、暗号メールの受信先での暗号メールの閲覧を可能にさせることができる。このように、有効フラグ又は閲覧期間を変更可能とすることで、暗号メールの閲覧制御が可能となる。

次にパソコン１ａは、メールサーバ装置２ａに記憶されている閲覧鍵を削除する操作を受け付けたか否かを判定する（Ｓ１７）。削除操作を受け付けていない場合（Ｓ１７：ＮＯ）、パソコン１ａは処理をＳ１４に移す。削除操作を受け付けた場合（Ｓ１７：ＹＥＳ）、パソコン１ａは削除要求をメールサーバ装置２ａへ送信する（Ｓ１８）。削除要求を受信したメールサーバ装置２ａは、対応する参照データ及びメール閲覧管理テーブル３２を削除する（Ｓ１９）。これにより、暗号メールの受信先は閲覧鍵を取得することができなくなり、暗号メールの閲覧を不可とすることができる。なおメールサーバ装置２ａは、閲覧鍵を登録してから所定時間経過後に、閲覧鍵を削除するようにしてもよい。

図６及び図７は、閲覧鍵取得処理の動作を示すフローチャートである。閲覧鍵取得処理は、暗号メールを受信したパソコン１ｂがメールサーバ装置２ａに対して閲覧鍵を要求し、取得する処理である。なおメールサーバ装置２ｂは、パソコン１ｂとメールサーバ装置２ａとの間でデータを転送する動作のみを行うため、図６及び図７ではメールサーバ装置２ｂの動作は省略している。

パソコン１ｂは、メールサーバ装置２ｂから暗号メールを受信し（Ｓ３１）、受信した暗号メールに添付されている閲覧プログラムを実行する（Ｓ３２）。パソコン１ｂは、ユーザの操作により閲覧プログラムの実行を開始してもよいし、暗号メールを受信したときに実行を開始してもよい。閲覧プログラムを実行したパソコン１ｂは、暗号メールを復号するために閲覧鍵を要求する（Ｓ３３）。具体的には、パソコン１ｂは、受信した暗号メールのメッセージＩＤを、メールサーバ装置２ｂを介してメールサーバ装置２ａへ送信する。

送信されたメッセージＩＤを受信したメールサーバ装置２ａは、メッセージＩＤに対応する閲覧鍵を検索し（Ｓ３４）、受信したメッセージＩＤに対応する閲覧鍵があるか否かを判定する（Ｓ３５）。具体的には、メールサーバ装置２ａは、大容量記憶装置２５に記憶してある参照テーブル３１から、受信したメッセージＩＤを検索する。閲覧鍵がある場合（Ｓ３５：ＹＥＳ）、すなわち参照テーブル３１から受信したメッセージＩＤを検索できた場合、メールサーバ装置２ａは有効フラグがオンであるか否かを判定する（Ｓ３６）。メールサーバ装置２ａは、検索したメッセージＩＤに対応するインデックス値を参照テーブル３１から取得し、インデックス値に対応するメール閲覧管理テーブル３２を参照する。これにより、メールサーバ装置２ａは有効フラグがオンであるか否かを判定できる。

有効フラグがオンである場合（Ｓ３６：ＹＥＳ）、メールサーバ装置２ａは、同様に閲覧期間を参照し、閲覧期間内であるか否かを判定する（Ｓ３７）。受け付けた閲覧鍵の要求が閲覧期間内であるか否かを判定することで、無制限に暗号メールが復号可能とすることを回避でき、暗号メールのセキュリティを向上させることができる。閲覧期間内である場合（Ｓ３７：ＹＥＳ）、メールサーバ装置２ａは閲覧鍵をパソコン１ｂへ送信する（Ｓ３８）。パソコン１ｂは、送信された閲覧鍵を受信し、閲覧鍵を用いて暗号メールを復号する（Ｓ３９）。これにより、パソコン１ｂでは、パソコン１ａから送信された暗号メールのメール本文の閲覧が可能となる。

閲覧鍵がない場合（Ｓ３５：ＮＯ）、有効フラグがオンでない場合（Ｓ３６：ＮＯ）、又は閲覧期間内でない場合（Ｓ３７：ＮＯ）、メールサーバ装置２ａはエラーを、メールサーバ装置２ｂを介してパソコン１ｂに送信する（Ｓ４０）。エラーが送信されたパソコン１ｂは表示装置１６などにエラーを報知する（Ｓ４１）。

以上説明したように、本実施の形態では、暗号メールの受信先であるパソコン１ｂは、メールサーバ装置２ａから閲覧鍵を取得することで、受信した暗号メールを復号し、閲覧できる。そして、暗号メールを復号するための閲覧鍵を管理するメール閲覧管理テーブル３２は、暗号メールの送信元であるパソコン１ａから変更可能としてある。これにより、暗号メールを送信した後であっても、パソコン１ａから暗号メールの閲覧制御が可能となる。また、パソコン１ｂは、暗号メールに添付された閲覧プログラムを実行することで、閲覧鍵を取得し、暗号メールを復号することができるため、パソコン１ｂに復号するためのアプリケーションなどを用意する必要がなくなる。すなわち、暗号メールの送信者は、受信先のパソコン環境を考慮することなく暗号メールを送信することができる。

なお、本実施の形態では、パソコン１ｂは、閲覧プログラムを実行することでメールサーバ装置２ａから閲覧鍵を取得する処理を行っているが、閲覧鍵の取得方法はこれに限定されることはない。例えばパソコン１ｂは、予め用意された専用のアプリケーションプログラムを実行することで、閲覧鍵を取得する処理を行ってもよい。この場合、パソコン１ａは、暗号メールに閲覧プログラムを添付する必要がないため、送信データ容量を小さくすることができる。また、パソコン１ａで作成した電子メールは、メールサーバ装置２ａ，２ｂからパソコン１ｂに送信されているが、メールサーバ装置２ａから直接パソコン１ｂに送信されてもよい。

（実施形態２）
次に、第２の実施の形態について説明する。本実施の形態では、暗号メールの受信先へ閲覧鍵を送信する際に、閲覧鍵を暗号化する点で第１の実施の形態と相違する。以下、第１の実施の形態との相違点についてのみ説明し、第１の実施の形態と同様の構成については、同じ符合を付して説明は省略する。

暗号メールの受信先であるパソコン１ｂのＣＰＵ１１は、メールサーバ装置２ａに対して閲覧鍵を要求する際に乱数を発生させる。発生させた乱数は、ＲＡＭ１３などに一時的に記憶させ、メッセージＩＤと共にメールサーバ装置２ａへ送信する。

閲覧鍵の要求を受け付けたメールサーバ装置２ａは、メッセージＩＤに基づいて閲覧鍵を検索する。有効フラグがオンで、かつ、閲覧期間内であれば、メールサーバ装置２ａは、検索した閲覧鍵をパソコン１ｂへ送信する。このとき、メールサーバ装置２ａは、メッセージＩＤと共に受信した乱数を暗号化鍵として、送信する閲覧鍵を暗号化する。

閲覧鍵を要求したパソコン１ｂは、メールサーバ装置２ａから暗号化された閲覧鍵を受信する。そしてパソコン１ｂは、ＲＡＭ１３に記憶させた乱数を復号鍵として、暗号化された閲覧鍵を復号する。その後、パソコン１ｂは、復号した閲覧鍵を用いて暗号メールを復号する。

次に、本実施の形態に係るデータ送信システムの動作について詳述する。暗号メールの送信処理及び閲覧鍵の登録処理は、第１の実施の形態と同様であるため説明は省略する。

図８及び図９は、閲覧鍵取得処理の動作を示すフローチャートである。

パソコン１ｂは、メールサーバ装置２ｂから暗号メールを受信し（Ｓ４１）、受信した暗号メールに添付されている閲覧プログラムを実行する（Ｓ４２）。パソコン１ｂは、乱数を発生させ（Ｓ４３）、発生させた乱数をＲＡＭ１３などに記憶する（Ｓ４４）。閲覧プログラムを実行したパソコン１ｂは、暗号メールを復号するために閲覧鍵を要求する（Ｓ４５）。具体的には、パソコン１ｂは、受信した暗号メールのメッセージＩＤ及びＳ４３で発生させた乱数を、メールサーバ装置２ｂを介してメールサーバ装置２ａへ送信する。

送信されたメッセージＩＤ及び乱数を受信したメールサーバ装置２ａは、メッセージＩＤに対応する閲覧鍵を検索し（Ｓ４６）、受信したメッセージＩＤに対応する閲覧鍵があるか否かを判定する（Ｓ４７）。閲覧鍵がある場合（Ｓ４７：ＹＥＳ）、すなわち参照テーブル３１から受信したメッセージＩＤを検索できた場合、メールサーバ装置２ａは、メール閲覧管理テーブル３２を参照して、有効フラグがオンであるか否かを判定する（Ｓ４８）。

有効フラグがオンである場合（Ｓ４８：ＹＥＳ）、メールサーバ装置２ａは、同様に閲覧期間を参照し、閲覧期間内であるか否かを判定する（Ｓ４９）。閲覧期間内である場合（Ｓ４９：ＹＥＳ）、メールサーバ装置２ａは、受信した乱数を暗号化鍵として閲覧鍵を暗号化する（Ｓ５０）。その後、メールサーバ装置２ａは、暗号化した閲覧鍵をパソコン１ｂへ送信する（Ｓ５１）。

暗号化された閲覧鍵を受信したパソコン１ｂは、ＲＡＭ１３に記憶してある乱数を取得し（Ｓ５２）、取得した乱数を復号鍵として、暗号化された暗号メールを復号する（Ｓ５３）。これにより、パソコン１ｂでは、パソコン１ａから送信された暗号メールのメール本文の閲覧が可能となる。

閲覧鍵がない場合（Ｓ４７：ＮＯ）、有効フラグがオンでない場合（Ｓ４８：ＮＯ）、又は閲覧期間内でない場合（Ｓ４９：ＮＯ）、メールサーバ装置２ａはエラーを、メールサーバ装置２ｂを介してパソコン１ｂに送信する（Ｓ５４）。エラーが送信されたパソコン１ｂは表示装置１６などにエラーを報知する（Ｓ５５）。

以上説明したように、本実施の形態では、パソコン１ｂがメールサーバ装置２ａから取得する閲覧鍵は暗号化してあるため、第三者により不正に閲覧鍵が取得されても、暗号メールが復号されることを防止できる。また、閲覧鍵は、パソコン１ｂで発生させた乱数で暗号化されているため、パソコン１ｂは、暗号化された閲覧鍵を復号するための復号鍵をメールサーバ装置２ａから取得する必要がない。これにより、閲覧鍵を復号するための復号鍵が、パソコン１ｂとメールサーバ装置２ａとの通信途中で不正取得されるおそれがなくなるため、セキュリティを向上させることができる。

以上、本発明の好適な実施の形態について、具体的に説明したが、各構成及び動作等は適宜変更可能であって、上述の実施の形態に限定されることはない。例えば、上述の実施の形態では、電子メールを暗号化して、送受信する場合について説明したが、暗号化して送受信する対象は、電子メールに限定されることはない。例えば、テキストファイル、プログラムファイル又はその他、パソコンなどで扱えるファイルであってもよい。また電子メールを生成する端末装置は、パソコン以外に、携帯電話機又はPersonal Digital Assistant（ＰＤＡ）などであってもよい。メールサーバ装置２ａ，２ｂは、一般的なパソコンであってもよい。

以下に、上述の実施形態を含む実施形態に関し、更に付記を開示する。

（付記１）
データが暗号化された暗号データを復号するための復号鍵、及び前記暗号データを識別する識別情報を受信する受信手段と、
該受信手段が受信した復号鍵及び識別情報を関連付ける手段と、
復号鍵に関連付けられた識別情報を受信したか否かを判定する受信判定手段と、
前記受信判定手段が受信したと判定した場合、受信した識別情報の送信元に対して、前記識別情報に関連付けられた復号鍵を送信する復号鍵送信手段と
を備える復号鍵送信装置。

（付記２）
前記受信判定手段が受信したと判定した場合、受信した識別情報に関連付けられた復号鍵を送信するか否かを判定する送信判定手段
をさらに備えており、
前記復号鍵送信手段は、
前記送信判定手段が送信すると判定した場合、復号鍵を送信するようにしてある
付記１に記載の復号鍵送信装置。

（付記３）
復号鍵の送信の禁止命令を受信する手段
をさらに備えており、
前記送信判定手段は、
禁止命令を受信した場合、復号鍵を送信しないと判定するようにしてある
付記２に記載の復号鍵送信装置。

（付記４）
前記送信判定手段は、
所定期間内に識別情報を受信した場合、復号鍵を送信すると判定するようにしてある
付記２又は３に記載の復号鍵送信装置。

（付記５）
前記送信判定手段は、
前記受信手段が復号鍵及び識別情報を受信してから所定時間経過した場合、復号鍵を送信しないと判定するようにしてある
付記２又は３に記載の復号鍵送信装置。

（付記６）
前記受信判定手段は、
乱数を発生する外部装置から乱数及び識別情報を受信したか否かを判定するようにしてあり、
前記受信判定手段が受信したと判定した場合、受信した識別情報に関連付けられた復号鍵を、受信した乱数を用いて暗号化する手段
をさらに備えており、
前記復号鍵送信手段は、
暗号化された復号鍵を前記外部装置へ送信するようにしてある
付記１から５の何れか一つに記載の復号鍵送信装置。

（付記７）
暗号データを受信する手段と
受信した暗号データを転送する手段と
を備える付記１から６の何れか一つに記載の復号鍵送信装置。

（付記８）
データが暗号化された暗号データを識別する識別情報を受信し、受信した識別情報に関連付けられた復号鍵を送信するコンピュータで実行されるコンピュータプログラムであって、
コンピュータを、
受信した暗号データを復号するための復号鍵、及び前記暗号データを識別する識別情報を関連付ける手段、
復号鍵に関連付けられた識別情報を受信したか否かを判定する手段
として機能させるコンピュータプログラム。

（付記９）
データを暗号化した暗号データを、該暗号データを識別する識別情報を含めて送信する送信側端末装置、
該送信側端末装置から暗号データを受信し、該暗号データを転送するサーバ装置、及び、
該サーバ装置から転送された暗号データを受信する受信側端末装置
を備えており、
前記送信側端末装置は、
暗号データを復号するための復号鍵を前記サーバ装置へ送信する手段
を有し、
前記サーバ装置は、
前記送信側端末装置から受信した暗号データの識別情報及び復号鍵を関連付ける手段
を有し、
前記受信側端末装置は、
受信した暗号データの識別情報を前記サーバ装置へ送信する識別情報送信手段
を有し、
前記サーバ装置は、
前記受信側端末装置から識別情報を受信した場合、受信した識別情報に復号鍵が関連付けられているか否かを判定する手段と、
復号鍵が関連付けられていると判定した場合、関連付けられた復号鍵を、前記識別情報を送信した前記受信側端末装置へ送信する復号鍵送信手段と
をさらに有し、
前記受信側端末装置は、
前記サーバ装置から受信した復号鍵を用いて、受信した暗号データを復号する手段
をさらに有する復号鍵送信システム。

（付記１０）
前記サーバ装置は、
前記受信側端末装置から識別情報を受信した場合、復号鍵を送信するか否かを判定する判定手段
をさらに有しており、
前記復号鍵送信手段は、
前記判定手段が送信すると判定した場合、復号鍵を送信するようにしてある
付記９に記載の復号鍵送信システム。

（付記１１）
前記送信側端末装置は、
前記サーバ装置に復号鍵の送信を禁止させる手段
をさらに有しており、
前記サーバ装置の判定手段は、
前記送信側端末装置により復号鍵の送信が禁止された場合、復号鍵を送信しないと判定するようにしてある
付記１０に記載の復号鍵送信システム。

（付記１２）
前記サーバ装置の判定手段は、
前記送信側端末装置から識別情報を受信してから所定期間経過した場合、復号鍵を送信しないと判定するようにしてある
付記１０又は１１に記載の復号鍵送信システム。

（付記１３）
前記受信側端末装置は、
暗号データの受信時に乱数を発生する発生手段
をさらに有しており、
前記識別情報送信手段は、
前記発生手段が発生した乱数を、識別情報と共に前記サーバ装置へ送信するようにしてあり、
前記サーバ装置は、
前記受信側端末装置から識別情報及び乱数を受信した場合、前記識別情報に関連付けられた復号鍵を、前記乱数を用いて暗号化する手段
をさらに有しており、
前記復号鍵送信手段は、
暗号化された復号鍵を前記受信側端末装置へ送信するようにしてあり、
前記受信側端末装置は、
前記サーバ装置から送信された暗号化された復号鍵を、前記発生手段が発生した乱数を用いて復号する手段
をさらに有している付記９から１２の何れか一つに記載の復号鍵送信システム。

（付記１４）
データを暗号化した暗号データを、該暗号データを識別する識別情報を含めて送信する送信側端末装置、
該送信側端末装置から暗号データを受信し、該暗号データを転送するサーバ装置、及び、
該サーバ装置から転送された暗号データを受信する受信側端末装置
を備えるシステムにおける復号鍵送信方法であって、
前記送信側端末装置は、
暗号データを復号するための復号鍵を前記サーバ装置へ送信し、
前記サーバ装置は、
前記端末装置から受信した暗号データの識別情報及び復号鍵を関連付けし、
前記受信側端末装置は、
受信した暗号データの識別情報を前記サーバ装置へ送信し、
前記サーバ装置は、
前記受信側端末装置から識別情報を受信した場合、受信した識別情報に復号鍵が関連付けられているか否かを判定し、
復号鍵が関連付けられていると判定した場合、関連付けられた復号鍵を、前記識別情報を送信した前記受信側端末装置へ送信し、
前記受信側端末装置は、
前記サーバ装置から受信した復号鍵を用いて、受信した暗号データを復号する
復号鍵送信方法。

１ａパソコン（送信側端末装置）
１ｂパソコン（受信側端末装置、外部装置）
２ａメールサーバ装置（サーバ装置、復号鍵送信装置）
２ｂメールサーバ装置
３ａ，３ｂ，３ｃネットワーク

Claims

データが暗号化された暗号データを復号するための復号鍵、及び前記暗号データを識別する識別情報を受信する受信手段と、
該受信手段が受信した復号鍵及び識別情報を関連付ける手段と、
復号鍵に関連付けられた識別情報を受信したか否かを判定する受信判定手段と、
該受信判定手段が識別情報を受信したと判定した場合、該識別情報に関連付けられた復号鍵を送信するか否かを判定する送信判定手段と、
該送信判定手段が送信すると判定した場合、前記識別情報の送信元に対して、前記識別情報に関連付けられた復号鍵を送信する復号鍵送信手段と、
前記復号鍵の送信を禁止する禁止命令を該復号鍵の送信元より受信する手段と
を備え、
前記送信判定手段は、前記禁止命令を受信した場合、前記復号鍵を送信しないと判定する復号鍵送信装置。
前記送信判定手段は、
所定期間内に識別情報を受信した場合、復号鍵を送信すると判定するようにしてある
請求項１に記載の復号鍵送信装置。
前記受信判定手段は、
乱数を発生する外部装置から乱数及び識別情報を受信したか否かを判定するようにしてあり、
前記受信判定手段が受信したと判定した場合、受信した識別情報に関連付けられた復号鍵を、受信した乱数を用いて暗号化する手段
をさらに備えており、
前記復号鍵送信手段は、
暗号化された復号鍵を前記外部装置へ送信するようにしてある
請求項１又は２に記載の復号鍵送信装置。
前記暗号データの送信先に対し、該暗号データの識別情報を自装置へ送信する処理を実行させるためのプログラムを送信する手段
をさらに備える請求項１から３の何れか一つに記載の復号鍵送信装置。
データが暗号化された暗号データを識別する識別情報を受信し、受信した識別情報に関連付けられた復号鍵を送信するコンピュータで実行されるコンピュータプログラムであって、
コンピュータを、
受信した暗号データを復号するための復号鍵、及び前記暗号データを識別する識別情報を関連付ける手段、
復号鍵に関連付けられた識別情報を受信したか否かを判定する手段、
前記識別情報を受信したと判定した場合、該識別情報に関連付けられた復号鍵を送信するか否かを判定する手段、及び
前記復号鍵の送信を禁止する禁止命令を該復号鍵の送信元より受信した場合、該復号鍵を送信しないと判定する手段
として機能させるコンピュータプログラム。
データを暗号化した暗号データを、該暗号データを識別する識別情報を含めて送信する送信側端末装置、
該送信側端末装置から暗号データを受信し、該暗号データを転送するサーバ装置、及び、
該サーバ装置から転送された暗号データを受信する受信側端末装置
を備えており、
前記送信側端末装置は、
暗号データを復号するための復号鍵を前記サーバ装置へ送信する手段
を有し、
前記サーバ装置は、
前記送信側端末装置から受信した暗号データの識別情報及び復号鍵を関連付ける手段
を有し、
前記受信側端末装置は、
受信した暗号データの識別情報を前記サーバ装置へ送信する識別情報送信手段
を有し、
前記サーバ装置は、
前記受信側端末装置から識別情報を受信した場合、受信した識別情報に復号鍵が関連付けられているか否かを判定する手段と、
復号鍵が関連付けられていると判定した場合、関連付けられた復号鍵を、前記識別情報を送信した前記受信側端末装置へ送信するか否かを判定する送信判定手段と、
該送信判定手段が送信すると判定した場合、前記受信側端末装置へ前記復号鍵を送信する復号鍵送信手段と、
前記復号鍵の送信を禁止する禁止命令を該復号鍵の送信元より受信する手段と
をさらに有し、
前記送信判定手段は、前記禁止命令を受信した場合、前記復号鍵を送信しないと判定し、
前記受信側端末装置は、
前記サーバ装置から受信した復号鍵を用いて、受信した暗号データを復号する手段
をさらに有する復号鍵送信システム。
データを暗号化した暗号データを、該暗号データを識別する識別情報を含めて送信する送信側端末装置、
該送信側端末装置から暗号データを受信し、該暗号データを転送するサーバ装置、及び、
該サーバ装置から転送された暗号データを受信する受信側端末装置
を備えるシステムにおける復号鍵送信方法であって、
前記送信側端末装置は、
暗号データを復号するための復号鍵を前記サーバ装置へ送信し、
前記サーバ装置は、
前記送信側端末装置から受信した暗号データの識別情報及び復号鍵を関連付けし、
前記受信側端末装置は、
受信した暗号データの識別情報を前記サーバ装置へ送信し、
前記サーバ装置は、
前記受信側端末装置から識別情報を受信した場合、受信した識別情報に復号鍵が関連付けられているか否かを判定し、
復号鍵が関連付けられていると判定した場合、関連付けられた復号鍵を、前記識別情報を送信した前記受信側端末装置へ送信するか否かを判定し、
前記復号鍵の送信を禁止する禁止命令を該復号鍵の送信元より受信した場合、該復号鍵を送信しないと判定し、
前記復号鍵を送信すると判定した場合、前記受信側端末装置へ前記復号鍵を送信し、
前記受信側端末装置は、
前記サーバ装置から受信した復号鍵を用いて、受信した暗号データを復号する
復号鍵送信方法。