JP5720831B2 - 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム - Google Patents

個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム Download PDF

Info

Publication number
JP5720831B2
JP5720831B2 JP2014086430A JP2014086430A JP5720831B2 JP 5720831 B2 JP5720831 B2 JP 5720831B2 JP 2014086430 A JP2014086430 A JP 2014086430A JP 2014086430 A JP2014086430 A JP 2014086430A JP 5720831 B2 JP5720831 B2 JP 5720831B2
Authority
JP
Japan
Prior art keywords
personal information
registration certificate
management device
service providing
received
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2014086430A
Other languages
English (en)
Other versions
JP2014139838A (ja
Inventor
誠 畠山
誠 畠山
秀仁 五味
秀仁 五味
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2014086430A priority Critical patent/JP5720831B2/ja
Publication of JP2014139838A publication Critical patent/JP2014139838A/ja
Application granted granted Critical
Publication of JP5720831B2 publication Critical patent/JP5720831B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Strategic Management (AREA)
  • Human Resources & Organizations (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Entrepreneurship & Innovation (AREA)
  • General Business, Economics & Management (AREA)
  • Economics (AREA)
  • Accounting & Taxation (AREA)
  • Health & Medical Sciences (AREA)
  • Technology Law (AREA)
  • Marketing (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Tourism & Hospitality (AREA)
  • Multimedia (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Finance (AREA)
  • Game Theory and Decision Science (AREA)
  • Development Economics (AREA)
  • Educational Administration (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Description

本発明は、個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システムに関し、特に、信頼できる第三者がいない場合でも、個人情報の改ざんを防止し、個人情報の送受信の否認を防止できる個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システムに関する。
関連技術の情報流通保証システムの一例が、特許文献１（特開２００２−１８３４９１号公報）に記載されている。図２４に示すように、この特許文献１に記載の情報流通保証システムは、ユーザ端末、電子文書仲介装置と、サービス提供者装置とから構成されている。電子文書仲介装置は、暗号／復号部と、認証部と、通信内容保管ＤＢと、アクセス記録ＤＢから構成されており、サービス提供者装置は、暗号／復号部と認証部から構成される。
このような構成を有する情報流通保証システムは次のように動作する。
すなわち、電子文書仲介装置を介してユーザ端末とサービス提供者を暗号化された通信路で繋ぎ、サービス提供者がユーザ端末に電子文書を送付する際には、必ず電子文書仲介装置が中継する。電子文書仲介装置は、サービス提供者から受け取った電子文書をユーザ端末に転送するのではなく、一度通信内容保管ＤＢに保管し、ユーザ端末に電子文書受信通知を送付する。ユーザ端末は、電子文書受信通知を受け取った後で、電子文書にアクセスする。そのときに、電子文書仲介装置は、アクセス記録ＤＢにユーザがアクセスしたことを記録する。電子文書仲介装置は、通信内容保管ＤＢに保管されている通信内容と、ユーザ端末とサービス提供者が管理している情報を照合することで、ユーザ端末とサービス提供者のどちらが情報を改ざんしたか判断することができる。
特開２００２−１８３４９１号公報
日本電子公証機構：http://www.jnotary.com/service_new/service_new.html ベリサイン：http://www.verisign.co.jp/mpki/benefits/option/notarization.html ＸＭＬ暗号：W3C Recommendation,"XML Encryption Syntax and Processing", 10 December 2002 http://www.w3.org/TR/xmlenc-core/ ＸＭＬ署名：W3C Recommendation,"XML-Signature Syntax and Processing", 12 February 2002 http://www.w3.org/TR/xmldsig-core/
しかしながら、上述した情報流通保証システムは、以下に示す問題点を有する。
第１の問題点は、個人情報を流通させる際に第三者が個人情報の流通を監視していない状況では、サービス提供装置が個人情報の受信を否認することを防止できないということである。
その理由は、サービス提供装置が個人情報を受信したことを確認するための手段を個人情報管理装置が持たないためである。特許文献１にあるような第三者が個人情報の流通を監視している状況では、第三者はサービス提供装置と個人情報管理装置を特定しているため、否認を防止することができる。しかし、第三者が存在すると個人情報の流通を全て監視できるが、第三者に個人情報の送受信の情報を渡すため、多くの通信が発生して通信負荷が高くなる。また、第三者の流通監視サービスを利用すると、サービス利用のためのコストが発生してしまう。そこで、負荷やコストを削減するために、個人情報を送受信する装置が流通を監視することが求められる。
しかし、個人情報管理装置とサービス提供装置しか存在しない場合には、サービス提供装置が個人情報を受信したことを個人情報管理装置は確認できない。サービス提供装置が個人情報を受信したことを個人情報管理装置に伝える確認メッセージの送受信があれば、個人情報管理装置はサービス提供装置が受信したことを確認できる。しかし、このような確認メッセージをサービス提供装置が送信しない場合でもサービス提供装置は個人情報を取得し、利用できる。そのため、サービス提供装置が個人情報の送受信を否認した場合、個人情報管理装置はこれを防ぐことができない。
ここで、個人情報の流通を監視する第三者として、例えば、電子公証サービスを提供する日本電子公証機構（http://www.jnotary.com/service_new/service_new.html、非特許文献１）や、ベリサイン（http://www.verisign.co.jp/mpki/benefits/option/notarization.html、非特許文献２）等がある。これら電子公証サービスを提供する第三者が、電子公証サービス利用者から個人情報等を受け取り、その個人情報等の内容を保証する証明書を発行することによって、当該利用者や当該利用者にコンテンツ等を提供するプロバイダ等が、この証明書によって個人情報等が正しいことを確認する。
第２の問題点は、個人情報を流通させるときに第三者が個人情報の流通を監視していない状況では、流通させる個人情報が改ざんされていないことを個人情報管理装置とサービス提供装置は確認できないということである。
その理由は、個人情報管理装置とサービス提供装置は自身が送受信するメッセージのみを確認しても、通信相手が不正に情報を改ざんしていないことを確認できないためである。特許文献１に挙げた電子文書仲介装置のような第三者が個人情報の流通を全て監視している状況ならば、どちらが個人情報を不正に改ざんしているか判断できる。しかし、第三者が存在すると個人情報の流通を全て監視できるが、第三者に個人情報の送受信の情報を渡すため、多くの通信が発生して通信負荷が高くなる。また、第三者が提供する流通監視サービスを利用すると、サービス利用のためのコストが発生する。そこで、負荷やコストを削減するために、個人情報を送受信する装置が流通を監視することが求められる。
一方、第三者が存在しない場合には、個人情報管理装置とサービス提供装置はそれぞれが送受信したメッセージを確認し、改ざんしていないことを確認することになる。この状況では、サービス提供装置が個人情報管理装置からユーザの個人情報を取得したときに、ユーザが登録した個人情報と、個人情報管理装置が送付した個人情報が同じであるか判断することができない。なぜならば、サービス提供装置は、個人情報を所持していないため、改ざんを確認するための情報が無いからである。もし、個人情報管理装置が個人情報を改ざんしても、サービス提供装置は確認するための情報がないため、個人情報が改ざんされたことを検出することができない。
第３の問題点は、個人情報を流通させるときに第三者が個人情報の流通を監視していない状況では、個人情報の流通が正しく行われていることを任意のタイミングで確認できないということである。
その理由は、通信相手が送受信したメッセージを確認して、個人情報が改ざんされていたり、送受信が否認されることなく正しく流通されたことを確認できないためである。第三者が個人情報の流通を監視している状況では、全ての情報を第三者が保持しているため、その情報を参照すれば情報流通が正しく行われたことをいつでも確認できる。また、個人情報を送受信するときには、自身が何の情報を送受信したかを確認できる。しかし、個人情報の送受信が終了すると、自身の通信ログのみが残る。自身のログだけでは、第１の問題点と同様に、通信相手が処理した内容を確認できないため、情報の送受信が正しく行われていたことを示す通信相手の情報が無い。そのため、相手が送付した情報を確認できない。
（発明の目的）
本発明の目的は、公正な第三者が個人情報の送受信に関する公証を行っていない状況において、個人情報管理装置が送信した情報をサービス提供装置が受信する際に、サービス提供装置が個人情報を受信したことを否認できないようにする個人情報照合システムを提供することにある。
本発明の他の目的は、公正な第三者が個人情報流通に関する公証を行っていない状況でも、個人情報管理装置とサービス提供装置が個人情報を送受信するときに、送受信する個人情報が改ざんされた場合にその改ざんを検出することを可能にする個人情報照合システムを提供することにある。
本発明のさらに他の目的は、個人情報管理装置とサービス提供装置が、個人情報が改ざんされずに送受信されたことを任意のタイミングで確認できる個人情報照合システムを提供することにある。
本発明の個人情報照合システムは、ユーザ端末から受信した個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む個人情報登録証明書を発行して、前記ユーザ端末へ送信する、個人情報登録手段と、サービス提供装置から受信した個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信する、個人情報要求確認手段と、を含む個人情報管理装置と、前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信する、前記ユーザ端末と、前記ユーザ端末から受信した前記個人情報登録証明書を前記個人情報管理装置に送信して、当該個人情報登録証明書に対する前記個人情報を受信する、個人情報要求手段と、前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認手段と、を含むサービス提供装置と、を備える。
本発明のサービス提供装置は、ユーザ端末から受信した個人情報登録証明書を個人情報管理装置に送信して、当該個人情報登録証明書に対する個人情報を受信する、個人情報要求手段と、前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認手段と、を備えた、サービス提供装置であって、前記個人情報管理装置は、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む前記個人情報登録証明書を発行して、前記ユーザ端末へ送信し、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、前記ユーザ端末は、前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信する。
本発明の照合方法は、ユーザ端末において、個人情報を個人情報管理装置に送信し、前記個人情報管理装置において、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む個人情報登録証明書を発行して、前記ユーザ端末へ送信し、前記ユーザ端末において、前記個人情報管理装置から前記個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書をサービス提供装置へ送信し、前記サービス提供装置において、前記ユーザ端末から受信した前記個人情報登録証明書を前記個人情報管理装置に送信し、前記個人情報管理装置において、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、前記サービス提供装置において、前記個人情報管理装置から前記個人情報登録証明書に対する前記個人情報を受信し、前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する。
本発明のプログラムは、コンピュータに、ユーザ端末から受信した個人情報登録証明書を個人情報管理装置に送信して、当該個人情報登録証明書に対する個人情報を受信する、個人情報要求処理と、前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認処理と、を実行させる、サービス提供装置用のプログラムであって、前記個人情報管理装置は、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録された個人情報から生成した証明データを含む前記個人情報登録証明書を発行して、前記ユーザ端末へ送信し、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、前記ユーザ端末は、前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信する。
本発明によれば、以下に示す効果を達成することができる。
第１の効果は、サービス提供装置が個人情報の受信を否認することを、個人情報管理装置が通信負荷を抑えて低コストで防止できることである。
第２の効果は、個人情報管理装置がユーザ端末から取得した個人情報を改ざんしているか否かをサービス提供装置が低コストで検証できることである。
第３の効果は、個人情報管理装置とサービス提供装置は、個人情報が改ざんされずに送受信されたこと、また、否認されずに送受信されたことを任意のタイミングに低コストで確認できることである。
第４の効果は、適切な個人情報のみを送受信していることを主張できることである。
第５の効果は、個人情報を利用したサービスを低コストで容易に提供できることである。
本発明の第１の実施の形態の構成の概略を示す図である。 第１の実施の形態の構成を示すブロック図である。 第１の実施の形態の個人情報保管手段において記録される個人情報の例を示す図である。 第１の実施の形態の復号鍵保管手段において登録される情報（テーブル）の例を示す図である。 第１の実施の形態による個人情報管理装置及びサービス提供装置のハードウェア構成例を示すブロック図である。 第１の実施の形態の動作を示す概略図である。 第１の実施の形態の動作を示すフローチャートである。 本発明の第２の実施の形態の動作を示す概略図である。 第２の実施の形態の構成を示すブロック図である。 第２の実施の形態の個人情報登録証明書発行手段において発行され、個人情報登録証明書保管手段において保管される個人情報登録証明書の例を示す図である。 第２の実施の形態の動作において、個人情報登録に関する動作を示す概略図である。 第２の実施の形態の動作において、個人情報登録に関する動作を示すフローチャートである。 第２の実施の形態の動作において、個人情報の送受信に関する動作を示す概略図である。 第２の実施の形態の動作において、個人情報の送受信に関する動作を示すフローチャートである。 本発明の第３の実施の形態の構成を示すプロック図である。 第３の実施の形態の通信記録保管手段において保管される通信履歴の例を示す図である。 第３の実施の形態の動作において、個人情報管理装置の動作を示すフローチャートである。 第３の実施の形態の動作において、サービス提供装置の動作を示すフローチャートである。 本発明の第４の実施の形態の構成を示すブロック図である。 本発明の実施例１を示す図である。 本発明の実施例１の構成を示すブロック図である。 実施例２の構成を示すブロック図である。 実施例２の構成を示すブロック図である。 特許文献１に記載の情報の改ざんや否認を検出する電子文書配信システムを示すブロック図である。
（第１の実施の形態）
次に、本発明の第１の実施の形態について図面を参照して詳細に説明する。
（第１の実施の形態の構成）
図１は本実施の形態の構成の概略を示す図、図２は本実施の形態の構成を示すブロック図であり、図１を参照すると、本実施の形態は、ネットワーク２０００を介して個人情報管理装置１及びサービス提供装置２が接続されている。
図２を参照すると、本実施の形態は、個人情報管理装置１とサービス提供装置２とネットワーク２０００とから構成されている。
個人情報管理装置１は、個人情報保管手段１１と、個人情報要求確認手段１２と、送信情報生成部１３と、通信手段１４とを含む。さらに、送信情報生成部１３は、送信メッセージ生成手段１３１と個人情報暗号化手段１３２と復号鍵保管手段１３３と復号鍵送付手段１３４とを含む。
一方、サービス提供装置２は、個人情報要求部２１と、個人情報確認部２２と、通信手段２３とを含む。さらに、個人情報要求部２１は要求メッセージ生成手段２１１と応答確認手段２１２とを含み、個人情報確認部２２は復号鍵要求手段２２１と個人情報復号手段２２２とを含む。
これらの手段はそれぞれ概略つぎのように動作する。
個人情報保管手段１１は、個人情報管理装置１が保持する個人情報を記録する。
ここで、個人情報保管手段１１において記録される個人情報の例を図３に示す。
図３を参照すると、この個人情報は、記録する各個人情報を識別するユーザＩＤ毎に、ユーザの氏名、住所、電話番号、メールアドレスを対応付けて記録される。また、個人情報は、ユーザの購入履歴等のマーケティング情報等を含んでいてもよい。
個人情報要求確認手段１２は、他の装置が個人情報管理装置１に送付した要求メッセージを解析する処理を行う。すなわち、個人情報要求確認手段１２は、送付された要求が、個人情報の要求であるか、暗号化された個人情報を復号するための復号鍵の要求であるかを解析する。
送信メッセージ生成手段１３１は、個人情報保管手段１１から個人情報を取得し、取得した個人情報に基づいて、他の装置に送付する応答メッセージ（個人情報応答メッセージ）を生成する。
個人情報暗号化手段１３２は、送付する個人情報の暗号鍵、復号鍵を生成し、個人情報を暗号化する。ここでは、通信手段１４が通信路を暗号化（例えばＳＳＬなどを利用した暗号化）しているか否かにかかわらず必ず個人情報を暗号化する。生成した鍵は、復号鍵保管手段１３３に保管する。さらに、暗号化した情報に個人情報管理装置１自身の署名をつける。この処理によって、サービス提供装置２が個人情報を不正に改ざんした場合に、個人情報管理装置１はその改ざんに関与していないことを証明できる。なぜならば、情報を改ざんすると、個人情報管理装置１が付与した署名の検証に失敗するので、個人情報管理装置１とは別の装置が改ざんしていることを証明できからである。
復号鍵保管手段１３３は、復号鍵とそれに関連する情報を登録しておく。関連する情報とは、例えば、暗号鍵や暗号化した個人情報に関するユーザ名、個人情報の送信先である受信装置名である。すなわち、復号鍵保管手段１３３は、個人情報の主体であるユーザごとに復号鍵を管理する。
ここで、復号鍵保管手段１３３において登録される情報（テーブル）の例を図４に示す。
図４を参照すると、当該情報（テーブル）は、取得したユーザの個人情報の各属性（氏名・住所・電話番号・メールアドレス等）毎に、取得した個人情報の各属性を識別するユーザＩＤと、取得日時と、暗号化したそれらの情報を復号する復号鍵とを対応付けて登録される。なお、当該情報（テーブル）の例において、復号鍵の形式として、ＸＭＬ暗号（W3C Recommendation, "XML Encryption Syntax and Processing", 10 December 2002 http://www.w3.org/TR/xmlenc-core/、非特許文献３）及びＸＭＬ署名（W3C Recommendation, "XML-Signature Syntax and Processing", 12 February 2002 http://www.w3.org/TR/xmldsig-core/、非特許文献４）で定義された形式を用いているが、勿論、他の形式を用いてもよく、用いる形式として特に制限はない。
復号鍵送付手段１３４は、個人情報管理装置１が個人情報を暗号化して送った装置が、復号鍵を要求してきた場合に、復号鍵保管手段１３３に保管してある復号鍵を送信する。すなわち、復号鍵送付手段１３４は、メッセージＩＤ等を比較することによって、復号鍵要求メッセージと、個人情報応答メッセージとの対応関係を調べる。
通信手段１４は、個人情報暗号化手段１３２が生成した情報や、復号鍵送付手段１３４による情報を他の装置に送信したり、他の装置が個人情報管理装置１向けに送付したメッセージを受信したりする。
要求メッセージ生成手段２１１は、必要な個人情報を他の装置に要求するために要求メッセージ（個人情報要求メッセージ）を生成する。
応答確認手段２１２は、応答メッセージを確認する。確認する内容は、例えば、通信手段２３が受信した個人情報要求に対する応答メッセージ（個人情報応答メッセージ）に個人情報管理装置１の署名がついているか否か、その署名は正しいか否か、ということである。個人情報管理装置１の署名が正しくついていることを確認することによって、サービス提供装置２は、個人情報管理装置１が個人情報の送信について否認することを防ぐことができる。
復号鍵要求手段２２１は、暗号化された個人情報を受信した場合に、暗号を解くための復号鍵を要求するメッセージ（復号鍵要求メッセージ）を生成する。すなわち、復号鍵要求手段２２１は、暗号化された特定の個人情報を復号するために、当該暗号化された特定の個人情報に対応する特定の復号鍵を要求する。
個人情報復号手段２２２は、通信手段２３が受信した暗号化された個人情報を、復号鍵を用いて復号し、個人情報を取得する。
通信手段２３は、個人情報要求メッセージや復号鍵要求メッセージ等を送信する。また、暗号化された個人情報や復号鍵を受信する。
ここで、個人情報管理装置１及びサービス提供装置２のハードウェア構成例の説明をする。
図５は、本実施の形態による個人情報管理装置１及びサービス提供装置２のハードウェア構成例を示すブロック図である。
図５を参照すると、本発明による個人情報管理装置１及びサービス提供装置２は、一般的なコンピュータ装置と同様のハードウェア構成によって実現することができ、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１００１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメインメモリであり、データの作業領域やデータの一時退避領域に用いられる主記憶部１００２、ネットワーク２０００を介してデータの送受信を行う通信制御部１００３、液晶ディスプレイ、プリンタやスピーカ等の提示部１００４、キーボードやマウス等の入力部１００５、周辺機器と接続してデータの送受信を行うインタフェース部１００６、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、磁気ディスク、半導体メモリ等の不揮発性メモリから構成されるハードディスク装置である補助記憶部１００７、本情報処理装置の上記各構成要素を相互に接続するシステムバス１００８等を備えている。
本発明による個人情報管理装置１及びサービス提供装置２は、その動作を、個人情報管理装置１及びサービス提供装置２内部にそのような機能を実現するプログラムを組み込んだ、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）等のハードウェア部品からなる回路部品を実装してハードウェア的に実現することは勿論として、上記した各構成要素の各機能を提供するプログラムを、コンピュータ処理装置上のＣＰＵ１００１で実行することにより、ソフトウェア的に実現することができる。
すなわち、ＣＰＵ１００１は、補助記憶部１００７に格納されているプログラムを、主記憶部１００２にロードして実行し、個人情報管理装置１又はサービス提供装置２の動作を制御することにより、上述した各機能をソフトウェア的に実現する。
なお、後述する個人情報管理装置４、６、８、サービス提供装置５、７、９が上述のような構成を有し、上述した各機能をハードウェア的又はソフトウェア的に実現してもよい。
（第１の実施の形態の動作）
次に、図２〜図７を参照して本実施の形態の全体の動作について詳細に説明する。
前提として、ユーザは個人情報を個人情報保管手段１１に登録しているものとする。この状況で、サービス提供装置２が個人情報管理装置１に個人情報を要求して、個人情報を取得する。
まず、図６を用い、サービス提供装置２が個人情報管理装置１に個人情報を要求して個人情報を取得する動作の概略を説明する。
（１）サービス提供装置２が、サービス提供装置２の電子署名付きの個人情報要求メッセージを個人情報管理装置１に対して送信する。
（２）個人情報管理装置１が、電子署名を認証すると、要求された個人情報を暗号化する。
（３）個人情報管理装置１が、暗号化された個人情報に電子署名をつけてサービス提供装置２に対して送信する。
（４）サービス提供装置２が、暗号化された個人情報を受信し、電子署名を認証すると、サービス提供装置２の電子署名付きの復号鍵要求メッセージを個人情報管理装置１に対して送信する。
（５）個人情報管理装置１が、電子署名を認証すると、復号鍵をサービス提供装置２に対して送信する。
（６）サービス提供装置２が、暗号化された個人情報を復号して個人情報を取得する。
次いで、図２及び図７のフローチャートを用い、サービス提供装置２が個人情報管理装置１に個人情報を要求して個人情報を取得する動作を詳細に説明する。
まず、要求メッセージ生成手段２１１が個人情報要求メッセージを生成する（ステップＳ１）。この処理は、例えば、個人情報を利用する装置が、個人情報を取得する際に、要求メッセージ生成手段２１１に個人情報要求を伝えることによって開始される。
この処理によって生成する個人情報要求メッセージには、サービス提供装置２の電子署名をつける。この電子署名によって、サービス提供装置２は、個人情報を要求したことを否認することができなくなる。
次に、サービス提供装置２の通信手段２３が、個人情報管理装置１の通信手段１４に個人情報要求メッセージを送付する（ステップＳ２）。
個人情報管理装置１が個人情報要求メッセージを受信すると、個人情報要求確認手段１２が要求メッセージを確認する（ステップＳ３）。ここで、確認処理には、例えば、個人情報管理装置１で管理している個人情報であるか否かの確認、メッセージに付加されている電子署名の検証といった処理が含まれる。
確認処理が終了すると、送信メッセージ生成手段１３１が、個人情報保管手段１１から個人情報を取得し、取得した個人情報に基づいて応答メッセージを生成する（ステップＳ４）。
次に、個人情報暗号化手段１３２が前記応答メッセージを暗号化し、電子署名をつける（ステップＳ５）。このときに、暗号鍵と復号鍵を生成して、復号鍵を復号鍵保管手段１３３に登録しておく。電子署名をつけることで、サービス提供装置２での個人情報の改ざんを防止し、個人情報管理装置１は、個人情報を送付したことを否認することができなくなる。
次に、個人情報管理装置１の通信手段１４が、サービス提供装置２の通信手段２３に前記応答メッセージを送付する（ステップＳ６）。
サービス提供装置２が応答メッセージを受け取ると、応答確認手段２１２が応答メッセージを確認する（ステップＳ７）。この確認作業は、例えば、応答メッセージの電子署名の検証である。
次に、復号鍵要求手段２２１が、ステップＳ６で取得した情報を復号するための復号鍵を要求するメッセージを生成する（ステップＳ８）。
次に、サービス提供装置２の通信装置２３が、個人情報管理装置１の通信手段１４に復号鍵要求メッセージを送付する（ステップＳ９）。このメッセージには、サービス提供装置２の電子署名をつける。個人情報管理装置１とサービス提供装置２間における復号鍵要求メッセージの送受信によってａｃｋに相当する処理を行うことで、ａｃｋと同等の効果が生まれ、ａｃｋが不要になるので（復号鍵の要求を個人情報取得の確認メッセージとみなすことができるので）、署名つき復号鍵要求メッセージを受け取った個人情報管理装置１は、個人情報要求装置２が暗号化済み個人情報をすでに取得していることを否認することを防止できる。
個人情報管理装置１が復号鍵要求メッセージを受信すると、復号鍵送付手段１３４が復号鍵保管手段１３３を検索して復号鍵を取得する（ステップＳ１０）。
次に、個人情報管理装置１の通信手段１４が、サービス提供装置２の通信手段２３に復号鍵を送付する（ステップＳ１１）。
サービス提供装置２が復号鍵を取得すると、個人情報復号手段２２２が、すでに取得していた暗号化済み個人情報を復号する（ステップＳ１２）。
以上の動作によって、個人情報管理装置１は、サービス提供装置２から個人情報の受信確認のメッセージを取得できるので、個人情報の送受信の否認を防止できる。
（第１の実施の形態の効果）
次に、本実施の形態の効果について説明する。本実施の形態によれば、以下の効果を達成する。
第１に、サービス提供装置２は個人情報を自身で管理するのではなく必要に応じて個人情報管理装置１より取得する、というように構成されているため、サービス提供装置２は個人情報を管理する必要がなくなり、個人情報を管理するコストを削減できる。
第２に、サービス提供装置２が、サービス提供装置２の電子署名付きの個人情報要求メッセージを個人情報管理装置１に対して送信するため、この電子署名によって、サービス提供装置２が個人情報を要求したことを否認することを個人情報管理装置１が防止できる。
第３に、個人情報管理装置１が、暗号化された個人情報に電子署名をつけてサービス提供装置２に対して送信するため、この電子署名によって、サービス提供装置２での個人情報の改ざんを防止でき、また、個人情報管理装置１は、個人情報を送付したことを否認することができなくなる。
第４に、暗号化されている応答メッセージに対する復号鍵要求メッセージの送受信によってａｃｋに相当する処理を行うことで、ａｃｋと同等の効果が生まれるため、署名つき復号鍵要求メッセージを受け取った個人情報管理装置１は、ａｃｋによる処理を行うことなく、また、個人情報の流通を監視する第三者を必要とすることなく、個人情報要求装置２が暗号化済み個人情報をすでに取得していることを否認することを防止できる。すなわち、暗号化されている応答メッセージを受信したサービス提供装置２が必ず個人情報管理装置１へ個人情報の受信確認のメッセージ（復号鍵要求メッセージ）を送付するため、サービス提供装置２が個人情報の受信を否認することを、個人情報管理装置１は、個人情報の流通を監視する第三者を必要とすることなく通信負荷を抑えて低コストで防止できる。
（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。
（第２の実施の形態の構成）
図８は本実施の形態の構成の概略を示す図、図９は本実施の形態の構成を示すブロック図であり、図８を参照すると、本実施の形態は、ネットワーク２０００を介してユーザ端末３、個人情報管理装置４及びサービス提供装置５が接続されている。
図９を参照すると、本発明の第２の実施の形態は、ユーザ端末３と個人情報管理装置４とサービス提供装置５とネットワーク２０００から構成される。
個人情報管理装置４は、個人情報登録部４１と、個人情報要求確認部４２と、送信メッセージ生成手段４３と、通信手段４４と、個人情報保管手段４５と、個人情報登録証明書保管手段４６とを有する。さらに、個人情報登録部４１は、個人情報受付手段４１１と個人情報登録証明書発行手段４１２とを含み、個人情報要求確認部４２は個人情報登録証明書確認手段４２１と要求メッセージ確認手段４２２とを含む。
一方、サービス提供装置５は、個人情報登録証明書取得手段５１と、個人情報登録証明書保管手段５２と、個人情報確認手段５３と、個人情報要求部５４と、通信手段５５とを含む。さらに、個人情報要求部５４は要求メッセージ生成手段５４１と応答確認手段５４２とを含む。
これらの手段はそれぞれ概略つぎのように動作する。
個人情報受付手段４１１は、ユーザ端末３が登録要求した個人情報を個人情報保管手段４５に格納する。
個人情報登録証明書発行手段４１２は、個人情報に対応した個人情報登録証明書を発行する。この個人情報登録証明書は、他の装置が個人情報管理装置４に対して個人情報を要求するときに必要となる情報である。もし、この個人情報登録証明書を他の装置が提示しない場合には個人情報管理装置４は個人情報を送信しない。個人情報登録証明書には、個人情報に関連する情報と、個人情報と個人情報登録証明書を１対１に結びつける情報が含まれている。例えば、個人情報登録証明書には、個人情報の種類、個人情報を登録したユーザ、登録時刻、個人情報から生成した一方向性ハッシュ値、個人情報管理装置４の電子署名を含める。
ここで、個人情報登録証明書は、ユーザによって登録された個人情報を個人情報管理装置４が改ざんせずに管理していることを他の装置に主張するためのデータである。この証明書は、ユーザ名、登録時間、登録した個人情報名だけでなく、個人情報から生成される一方向性ハッシュ値等、登録した個人情報から一意に決まる情報を含む。
この情報を利用することで、ユーザ端末３、そのユーザ及びサービス提供装置５は、ユーザの個人情報が改ざんされていないことを確認できる。例えば、ユーザ端末３は、登録した個人情報から生成されるハッシュ値と個人情報登録証明書に含まれているハッシュ値との比較をすることによって、個人情報管理装置４が正しい情報を登録しているか否かを確認できる。また、サービス提供装置５は、個人情報管理装置４から取得した個人情報に基づいて生成されるハッシュ値と、ユーザ端末３から取得した証明書に含まれるハッシュ値を比較することで、個人情報管理装置４がユーザ端末３から取得した個人情報を改ざんせずに管理しているか否かを確認できる。
個人情報登録証明書確認手段４２１は、他の装置が個人情報管理装置４に送付した個人情報登録証明書を確認する。この確認は、例えば、個人情報登録証明書の署名を検証して個人情報登録証明書が改ざんされていないことを確認し、個人情報が個人情報保管手段４５に保管されていることを確認し、送られてきた個人情報登録証明書と同じ個人情報登録証明書が個人情報登録証明書保管手段４６に保管されていることを確認する処理である。
要求メッセージ確認手段４２２は、他の装置が個人情報管理装置４に送付した要求メッセージを解析する処理を行う。
送信メッセージ生成手段４３は、個人情報保管手段４５から個人情報を取得し、取得した個人情報に基づいて、他の装置に送付する、個人情報の要求に対する応答メッセージ（個人情報応答メッセージ）を生成する。
通信手段４４は、送信メッセージ生成手段４３が生成した情報を他の装置に送信したり、他の装置が個人情報管理装置４向けに送付したメッセージを受信したりする。
個人情報保管手段４５は、個人情報受付手段４１１が受け付けた個人情報を保管する。
個人情報登録証明書保管手段４６は、個人情報登録証明書発行手段４１２が発行した個人情報登録証明書を保管する。この個人情報登録証明書は、個人情報登録証明書確認手段４２１が個人情報登録証明書の内容を確認する際に利用する。
図１０は、個人情報登録証明書発行手段４１２において発行され、個人情報登録証明書保管手段４６において保管される個人情報登録証明書の例を示す図である。
図１０を参照すると、当該個人情報登録証明書は、個人情報受付手段４１１において格納されたユーザの個人情報の各属性（氏名・住所・電話番号・メールアドレス等）毎に、取得した個人情報の各属性を識別するユーザＩＤと、取得日時と、個人情報証明データとを対応付けて発行される。なお、個人情報証明データは、個人情報の各属性に基づいて生成されたハッシュ値であり、例えば、“1b9fb2f257720d7bcfdc8f74f002a12c”は、“山田 太郎”に基づいて生成された値である。
個人情報登録証明書取得手段５１は、個人情報を取得する際に必要となる個人情報登録証明書をユーザ端末３から取得する。
個人情報登録証明書保管手段５２は、個人情報登録証明書取得手段５１が取得した個人情報登録証明書を保管する。
個人情報確認手段５３は、個人情報管理装置１が個人情報を改ざんしていないことを確認する。そのために、例えば、取得した個人情報から一方向性のハッシュ値を求める。このハッシュ値が個人情報登録証明書に書かれているハッシュ値と同じであれば、ユーザ端末３が登録要求した情報と、個人情報管理装置４がサービス提供装置５に送付した情報が同じであることを確認できる。
要求メッセージ生成手段５４１は、必要な個人情報を他の装置に要求するために要求メッセージ（個人情報要求メッセージ）を生成する。
応答確認手段５４２は、応答メッセージを確認する。確認する内容は、例えば、通信手段５５が受信した個人情報要求に対する応答メッセージ（個人情報応答メッセージ）に個人情報管理装置４の署名がついているか否か、その署名は正しいか否か、ということである。個人情報管理装置４の署名が正しくついていることを確認することによって、サービス提供装置５は、サービス提供装置４が個人情報の送信について否認することを防ぐことができる。
通信手段５５は、個人情報要求メッセージや個人情報登録証明書を送信したり、個人情報を受信したりする。
（第２の実施の形態の動作）
次に、図９〜図１４を参照して本実施の形態の動作について説明する。この動作は、ユーザ端末３が個人情報管理装置４に個人情報を登録する動作と、サービス提供装置５が個人情報管理装置４から個人情報を取得する動作に分けられる。
まず、図９、図１１の概略図及び図１２のフローチャートを用いて、ユーザ端末３が個人情報を登録するときの動作について説明する。
ユーザ端末３は、サービスの提供を要求したサービス提供装置５から個人情報の登録要求を通知されること等によって、個人情報管理装置４に対して個人情報を送信し（図１１の（１））、個人情報受付手段４１１を介して個人情報管理装置４の個人情報保管手段４５に個人情報を登録する（図１２のステップＡ１、図１１の（２））。
次に、個人情報登録証明書発行手段４１２が、ステップＡ１で取得した個人情報に対応する個人情報登録証明書を発行する（ステップＡ２）。
さらに、個人情報登録証明書保管手段４６において、ステップＡ１で取得した個人情報とステップＡ２で発行した個人情報登録証明書を対応付けて登録する（ステップＡ３、図１１の（３））。
次に、個人情報登録証明書発行手段４１２は、ユーザ端末３に対して個人情報登録証明書を送付する（ステップＡ４、図１１の（４））。
ユーザ端末３は、個人情報登録証明書を取得すると、個人情報登録証明書と個人情報の関係が正しいか否かの確認処理をする（ステップＡ５、図１１の（５））。この処理は、例えば、ユーザ端末３がステップＡ１で個人情報管理装置４に対して送信した個人情報に対するハッシュ値と、個人情報管理装置４が発行した個人情報登録証明書に書かれているハッシュ値を比較し、登録した個人情報が正しいものであるか否かを確認する。ユーザ端末３のユーザによって、取得した個人情報登録証明書と個人情報の関係が正しいか否かの確認入力がなされてもよい。もし、ハッシュ値が異なっている場合には、個人情報管理装置４はユーザ端末３が登録要求した個人情報と異なる情報を登録していることになるので、個人情報登録処理を途中で終了する。一方、ハッシュ値が同じ場合は、個人情報管理装置４はユーザ端末３が登録要求した情報をそのまま登録したことになる。つまり、ユーザ端末３は、個人情報管理装置４が個人情報を改ざんしていないことを確認できる。
ハッシュ値が同じ場合は、ユーザ端末３が、個人情報登録証明書保管手段５２に対して個人情報登録証明書を送信し（図１１の（６））、サービス提供装置５の個人情報登録証明書取得手段５１を介し、個人情報登録証明書を個人情報登録証明書保管手段５２に登録する（ステップＡ６、図１１の（７））。ユーザ端末３が個人情報を登録要求した際に個人情報管理装置４から取得した個人情報登録証明書をあらかじめサービス提供装置５に登録しておくことで、サービス提供装置５は、任意のタイミングで個人情報管理装置４より個人情報を取得することができる。
次に、図９、図１３の概略図及び図１４のフローチャートを用いて、サービス提供装置５が、個人情報管理装置４に個人情報を要求し、個人情報を取得する動作について説明する。
まず、図１３を用い、サービス提供装置５が、個人情報管理装置４に個人情報を要求して個人情報を取得する動作の概略を説明する。
（１）サービス提供装置５が、サービス提供装置５の電子署名付きの個人情報要求メッセージ及び個人情報登録証明書を個人情報管理装置４に対して送信する。
（２）個人情報管理装置４が、電子署名及び個人情報登録証明書を確認し、要求された個人情報に基づいて応答メッセージを生成する。
（３）個人情報管理装置４が、応答メッセージに電子署名をつけてサービス提供装置５に対して送信する。
（４）サービス提供装置５が、応答メッセージを受信して電子署名を検証すると、応答メッセージを確認して個人情報を取得する。
次いで、図９及び図１４を用い、サービス提供装置５が個人情報管理装置４に個人情報を要求して個人情報を取得する動作を詳細に説明する。
この動作は、例えば、個人情報を利用するサービス提供装置５が個人情報を取得する際に、要求メッセージ生成手段５４１に個人情報要求を伝えることによって開始される。
まず、要求メッセージ生成手段５４１が、要求する個人情報に関する個人情報登録証明書があるか確認するために、個人情報登録証明書保管手段５２を検索する(図１４のステップＢ１)。個人情報登録証明書がない場合には、個人情報管理装置４とサービス提供装置５との間で個人情報の送受信を行わない。
個人情報登録証明書がある場合には、要求メッセージ生成手段５４１が個人情報登録証明書を取得して個人情報要求メッセージを生成する（ステップＢ２）。ここで、個人情報要求メッセージには、サービス提供装置５の電子署名をつける。電子署名によって、サービス提供装置５は、個人情報を要求したことを否認することができなくなる。
次に、サービス提供装置５の通信手段５５が個人情報管理装置４の通信手段４４に個人情報要求メッセージと、個人情報登録証明書をまとめて送付する（ステップＢ３）。
個人情報管理装置４が個人情報要求メッセージを受信すると、要求メッセージ確認手段４２２が要求メッセージを確認する（ステップＢ４）。ここで確認する処理は、例えば、個人情報を管理しているか確認したり、メッセージについている電子署名を検証したりする処理である。
確認処理が終了すると、個人情報登録証明書確認手段４２１が、次にサービス提供装置５から取得した個人情報登録証明書を確認する（ステップＢ５）。この確認処理は、例えば、個人情報登録証明書の電子署名を確認したり、個人情報登録証明書に対応する個人情報が個人情報保管手段４５に登録されているか確認したりする。確認作業に失敗した場合は、個人情報管理装置４は、要求メッセージ確認手段４２２においてエラーメッセージを生成し、通信手段４４を介してサービス提供装置５にエラーメッセージを送付し、個人情報の送受信を中止する（ステップＢ６）。
確認作業が正常終了すると、送信メッセージ生成手段４３が個人情報保管手段４５から個人情報を取得し、応答メッセージを生成する（ステップＢ７）。ここで生成する応答メッセージには、個人情報管理装置４が自身の電子署名をつける。署名をつけることによって、サービス提供装置５が個人情報を改ざんした場合に、その改ざんを検出することができる。
次に、個人情報管理装置４の通信手段４４が、サービス提供装置５の通信手段５５に前記応答メッセージを送付する（ステップＢ８）。
サービス提供装置５が応答メッセージを受け取ると、応答確認手段５４２が応答メッセージを確認する（ステップＢ９）。この確認作業は、例えば、応答メッセージの電子署名の検証である。
次に、個人情報確認手段５３が個人情報を確認する（ステップＢ１０）。ここで確認する処理は、例えば、個人情報から生成したハッシュ値と個人情報登録証明書に含まれているハッシュ値を比較する。同じであれば、サービス提供装置５は、個人情報管理装置４によって個人情報が改ざんされていないことを確認できる。もし、個人情報の確認に失敗した場合は、個人情報が改ざんされていると判断し、個人情報の送受信の処理を終了する。
（第２の実施の形態の効果）
次に、本実施の形態の効果について説明する。
本実施の形態では、個人情報管理装置４とサービス提供装置５は、それぞれが改ざんを検出するための手段を持っており、送受信したメッセージを確認する、というように構成されているため、個人情報管理装置４とサービス提供装置５は適切な個人情報のみを送受信していることを証明できる。
また、本実施の形態では、サービス提供装置５は個人情報を自身で管理するのではなく必要に応じて個人情報を個人情報管理装置４より取得する、というように構成されているため、サービス提供装置５は個人情報を管理する必要がなくなり、個人情報を管理するコストを削減できる。
（第３の実施の形態）
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。
（第３の実施の形態の構成）
図１５を参照すると、本発明の第３の実施の形態は、個人情報管理装置６が、図９に示した第２の実施の形態における個人情報管理装置４の構成要素に加え、通信記録保管手段６１と送信情報確認手段６２を有する点で異なる。また、サービス提供装置７が図９に示した第２の実施の形態における個人情報管理装置５の構成要素に加え、通信記録保管手段７１と送信情報確認手段７２を有する点で異なる。
通信記録保管手段６１は、通信履歴（通信記録）を保管する手段であって、個人情報管理装置６が送信または、受信したメッセージを保管する。
ここで、通信記録保管手段６１において保管される通信履歴の例を図１６に示す。
図１６を参照すると、当該通信履歴は、通信日時毎に、Receive、Send等のactionと、通信相手と、通信した際のメッセージ本文とを対応付けて保管される。なお、メッセージ本文の形式に特に制限はない。
送信情報確認手段６２は、個人情報管理装置６が送付した個人情報が正しい情報であったか確認する。
通信記録保管手段７１は、サービス提供装置７が送信または、受信したメッセージを保管する。
送信情報確認手段７２は、サービス提供装置７が送付した個人情報要求メッセージや個人情報登録証明書が正しい情報であったか確認する。
（第３の実施の形態の動作）
次に、図１５、図１７及び図１８のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
個人情報管理装置６は、個人情報送信に関するメッセージの送受信をするときに、全てのメッセージを通信記録保管手段６１に管理する。同様に、サービス提供装置７は、個人情報送信に関するメッセージの送受信をするときに、全てのメッセージを通信記録保管手段７１に管理する。
そして、個人情報管理装置６は、任意のタイミングで個人情報の流通が正しく行われていたか確認するための処理を開始する。そのための最初の処理として、個人情報管理装置６は、通信記録保管手段６１に保管されている個人情報要求メッセージを取得し、要求メッセージ確認手段４２２を用いて個人情報要求メッセージを確認する（ステップＤ１）。ここでの確認処理は、例えば、個人情報要求メッセージについている電子署名の検証や要求している個人情報を管理しているか否かを確認する処理である。
次に、個人情報管理装置６は、個人情報登録証明書確認手段４２１を用い、通信記録保管手段６１が管理している受信した個人情報登録証明書を確認する（ステップＤ２）。この確認処理は、例えば、個人情報登録証明書の署名を検証するといった個人情報登録証明書の有効性を確認する処理である。
次に、個人情報管理装置６は、送信情報確認手段６２を用い、通信記録保管手段６１が管理している送信情報を確認する（ステップＤ３）。この処理は、例えば、電子署名がついていたか、などを確認する処理である。
一方、サービス提供装置７での確認処理は、まず、送信情報確認手段７２を用い、送信した個人情報要求メッセージを確認する（ステップＥ１）。この要求メッセージは、通信記録保管手段７１で管理されている。ステップＥ１では、例えば、要求メッセージについている署名の検証等である。
次に、サービス提供装置７は、送信情報確認手段７２を用い、個人情報管理装置６に送信した個人情報登録証明書を確認する（ステップＥ２）。ここで確認する個人情報登録証明書は、通信記録保管手段７１に登録されている個人情報登録証明書である。ここでは、例えば、署名や個人情報登録証明書有効期限等の個人情報登録証明書の有効であるか否かを確認する。
次に、サービス提供装置７は、個人情報確認手段５３を利用し、受信した個人情報を確認する（ステップＥ３）。ここでは、例えば、受信したメッセージの署名検証や、個人情報登録証明書と個人情報の対応を確認する処理を行う。
（第３の実施の形態の効果）
次に、本実施の形態の効果について説明する。
本実施の形態では、個人情報を扱う個人情報管理装置６及びサービス提供装置７は、個人情報を正しく送受信した証拠をいつでも提出することができる。その理由は、個人情報を扱う個人情報管理装置６及びサービス提供装置７は、全ての通信ログを管理しており、任意のタイミングで通信ログを用いてどの個人情報を送受信したか確認できるためである。
（第４の実施の形態）
次に、本発明の第４の実施の形態について図面を参照して詳細に説明する。
（第４の実施の形態の構成）
図１９を参照すると、本発明の第４の実施の形態は、第１、第２及び第３の実施の形態と同様に、個人情報管理装置Ａと、サービス提供装置Ｃとを備える。
個人情報管理用プログラムＢは、個人情報管理装置Ａの動作を制御し、サービス提供装置Ｃからの要求に従って、個人情報をサービス提供装置Ｃに送付したり、個人情報を取得するための個人情報登録証明書を発行したりする。
個人情報管理装置Ａは、個人情報管理用プログラムＢの制御により第１、第２及び第３の実施の形態における個人情報管理装置１、４、６による処理と同一の処理を実行する。
個人情報受信用プログラムＤは、サービス提供装置Ｃの動作を制御し、個人情報要求メッセージを個人情報管理装置Ａへ送付し、個人情報を受信する。
サービス提供装置Ｃは、個人情報受信用プログラムＤの制御により第１、第２及び第３の実施の形態におけるサービス提供装置２、５、７による処理と同一の処理を実行する。
次に、具体的な実施例を用いて本発明の実施例１の動作を説明する。
図２０に示すように、モバイルキャリア（個人情報管理装置）は携帯電話（ユーザ端末）のユーザの個人情報を管理している。コンテンツプロバイダ（サービス提供装置）は、モバイルキャリアより個人情報を取得して、ユーザの携帯電話にコンテンツを提供している。このコンテンツプロバイダが必要とする個人情報は、ユーザの連絡先（電話番号と住所）と課金情報（クレジットカード番号や銀行口座番号）であり、ユーザの全ての情報がモバイルキャリアに登録されているわけではないものとする。なお、説明の便宜を図るため、図２０及び図２１（後述）においてネットワーク２０００を省略する。
この状況で、まず、（１）ユーザの要求により携帯電話がコンテンツプロバイダにコンテンツの購入を要求する。
ここで、コンテンツプロバイダは、個人情報を取得するための個人情報登録証明書が無いために、（２）携帯電話のユーザに対して、モバイルキャリアでの個人情報登録を要求する。
そこで、（３）ユーザの個人情報を入力された携帯電話が、モバイルキャリアで個人情報を登録する。
登録が終了すると、（４）携帯電話は、モバイルキャリアより個人情報取得のための個人情報登録証明書を取得する。
次に、（５）携帯電話からコンテンツプロバイダに個人情報登録証明書が送付される。
コンテンツプロバイダが個人情報登録証明書を取得すると、（６）個人情報登録証明書と個人情報要求メッセージを送付する。
モバイルキャリアは、この要求を受け取ると、（７）暗号化した個人情報をコンテンツプロバイダに送付する。
コンテンツプロバイダは、個人情報を取得すると、（８）個人情報を利用してコンテンツをユーザ端末に送付する。
このモバイルキャリアとコンテンツプロバイダの構成は、例えば図２１のようになる。
モバイルキャリアＥは、個人情報管理装置６とアクセス制御装置Ｇを備える。
アクセス制御装置Ｇは、モバイルキャリアＥがコンテンツプロバイダＦに個人情報を送付してよいか否かを判断する装置である。もしアクセス制御装置Ｇが個人情報の送受信を認めない場合は、送信メッセージ生成手段４３は個人情報保管手段４５より個人情報を取得せず、送信メッセージを生成しない。
また、コンテンツプロバイダＦは、サービス提供装置７とコンテンツ配信装置Ｈを備える。
コンテンツ配信装置Ｈは、ユーザの個人情報に基づいて、ユーザにコンテンツを販売する装置である。ユーザがコンテンツの購入を要求する場合は、最初にユーザ端末３はコンテンツ配信装置Ｈにアクセスする。コンテンツ配信装置Ｈは、要求メッセージ生成手段５４１に個人情報を要求し、個人情報確認手段５３から個人情報を取得する。個人情報を取得したコンテンツ配信装置Ｈはユーザ端末３にコンテンツを配信する。
次に、具体的な実施例を用いて本発明の実施例２を説明する。
図２２に示す例では、図２０及び図２１に示す実施例１と異なり、コンテンツプロバイダＩが通信手段Ｊ及びコンテンツ配信装置Ｈを備え、サービス提供装置７及びプロキシ装置Ｋを備え、コンテンツプロバイダＩ、モバイルキャリアＥ及び携帯電話（ユーザ端末３）と接続するプロキシサーバＬが、モバイルキャリアＥより個人情報を取得して、コンテンツプロバイダＩから配信されたコンテンツをユーザの携帯電話に提供している。なお、図２３に示すように、プロキシサーバＬが個人情報を取得した後において、個人情報に基づいて提供されるコンテンツが、プロキシサーバＭを経由されずに、コンテンツプロバイダＩによって直接ユーザの携帯電話に提供されてもよい。なお、説明の便宜を図るため、図２２及び図２３においてネットワーク２０００を省略する。
上述した各実施の形態による無線通信システムの構成の概要を以下に述べる。
第１の個人情報照合システムは、個人情報をユーザ端末から取得し必要に応じて他の装置へ開示する個人情報管理装置（図２の１）と、個人情報を他の装置から取得するサービス提供装置（図２の２）からなる。
個人情報管理装置は、入力された個人情報を管理する個人情報保管手段（図２の１１）と、他の装置が送信した個人情報の要求や復号鍵の要求を解析する個人情報要求確認手段（図２の１２）と、他の装置に送付する個人情報を含むメッセージを生成する送信情報生成部（図２の１３）と、他の装置と通信をする通信手段（図２の１４）とを備え、送信情報生成部は、送付する個人情報を確認する送信メッセージ生成手段（図２の１３１）と、個人情報を暗号化する暗号鍵と復号鍵を生成してから個人情報を暗号化する個人情報暗号化手段（図２の１３２）と、個人情報暗号化手段で暗号化した鍵に対応する復号鍵を登録する復号鍵保管手段（図２の１３３）と、復号鍵を他の装置へ送付する復号鍵送付手段（図２の１３４）とを備える。
サービス提供装置は、個人情報を要求する個人情報要求部（図２の２１）と、受信した個人情報を確認する個人情報確認部（図２の２２）と、他の装置と通信をする通信手段（図２の２３）とを備える。個人情報要求部は、個人情報を個人情報管理装置に要求するためのメッセージを生成する要求メッセージ生成手段（図２の２１１）と、要求メッセージに対応する応答メッセージを確認する応答確認手段（図２の２１２）とを備え、個人情報確認部は、受信した個人情報が暗号化されているときに復号鍵を要求する復号鍵要求手段（図２の２２１）と、暗号化された個人情報を復号化する個人情報復号手段（図２の２２２）とを備える。
このような構成を採用し、サービス提供装置が個人情報を個人情報管理装置に要求し、個人情報管理装置が要求を受け入れて個人情報を送付する場合は、個人情報管理装置が個人情報を暗号化してサービス提供装置に送付する。暗号化された個人情報を受信したサービス提供装置は、復号鍵を個人情報管理装置に要求する。復号鍵要求を受け取った個人情報管理装置は、復号鍵を個人情報要求装置に送付する。個人情報要求装置は、復号鍵と暗号化された個人情報がそろうと、個人情報を復号し、個人情報を利用できる状態にする。ここで、個人情報管理装置とサービス提供装置は、復号鍵を要求するメッセージを個人情報の取得確認のメッセージとしてみなすと、個人情報の送受信の否認ができなくなる。以上の動作によって、本発明の第１の目的を達成することができる。
また、第２の個人情報照合システムは、個人情報をユーザ端末から取得し必要に応じて他の装置へ開示する個人情報管理装置（図９の１）と、個人情報を他の装置から取得するサービス提供装置（図９の２）とユーザ端末（図９の３）からなり、個人情報の管理を行う個人情報管理装置において、利用者の個人情報を管理する個人情報管理装置に登録された個人情報と一意に対応して当該個人情報が登録されたことを示す個人情報登録証明情報を保管する手段と、個人情報管理装置に対し、個人情報登録証明情報と共に利用者の個人情報の要求を送付する手段と、個人情報管理装置で生成され、かつ個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する手段と、取得した個人情報を確認する手段とを含み、通信回線を介して利用者に対してサービスを提供するサービス提供装置において、利用者の個人情報を管理する個人情報管理装置に登録された個人情報と一意に対応して当該個人情報が登録されたことを示す個人情報登録証明情報を保管する手段と、個人情報管理装置に対し、個人情報登録証明情報と共に利用者の個人情報の要求を送付する手段と、個人情報管理装置で生成され、かつ個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する手段と、取得した個人情報を確認する手段とを含むことを特徴とする。
個人情報管理装置は、入力された個人情報を登録する個人情報登録部（図９の１１）と、他の装置が送信した個人情報の要求を処理する個人情報要求確認部（図９の１２）と、他の装置に送付する個人情報を含むメッセージを生成する送信メッセージ生成手段（図９の１３）と、他の装置と通信をする通信手段（図９の１４）と、個人情報を管理する個人情報保管手段（図９の１５）と、個人情報と１対１に対応する個人情報登録証明書を保管する個人情報登録証明書保管手段（図９の１６）とを備える。個人情報登録証明書には、個人情報を取得するための情報が記述されており、個人情報に関連した情報だけでなく当該個人情報から生成される一方向性ハッシュ値のような個人情報から一意に生成される情報が含まれているものとする。つまり、個人情報登録証明書と個人情報は１対１に対応しており、個人情報管理装置は、これら２つの情報を保持していれば、個人情報登録証明書に対応する個人情報を確認することができる。個人情報管理装置は、この個人情報登録証明書を開示した装置に対してのみ個人情報を開示する。さらに、個人情報登録部は、個人情報の登録を受け付ける個人情報受付手段（図９の１１１）と、個人情報を管理するための個人情報登録証明書を発行する個人情報登録証明書発行手段（図９の１１２）とを備え、個人情報要求確認部は、他の装置から送られた個人情報登録証明書を確認する個人情報登録証明書確認手段（図９の１２１）と、他の装置から送られた要求内容を確認する要求メッセージ確認手段（図９の１２２）とを備える。
サービス提供装置は、個人情報を取得するための個人情報登録証明書を受け取る個人情報登録証明書取得手段（図９の２１）と、個人情報登録証明書を保管する個人情報登録証明書保管手段（図９の２２）と、受信した個人情報を確認する個人情報確認手段（図９の２３）と、個人情報を要求する個人情報要求部（図９の２４）と、他の装置と通信する通信手段（図９の２５）とを備える。個人情報要求部は、個人情報登録証明書保管手段から個人情報登録証明書を取得し個人情報を個人情報管理装置に要求するためのメッセージを生成する要求メッセージ生成手段（図９の２４１）と、要求メッセージに対応する応答メッセージを確認する応答確認手段（図９の２４２）とを備える。
このような構成を採用し、ユーザ端末が個人情報を個人情報管理装置に登録する際には、ユーザ端末が個人情報を個人情報管理装置に入力し、個人情報管理装置は個人情報に関する個人情報登録証明書をユーザ端末に対して発行し、ユーザ端末に送付する。ユーザ端末は、個人情報登録証明書を取得すると、個人情報登録証明書の内容を検証する。さらに、ユーザ端末は、個人情報登録証明書をあらかじめサービス提供装置に登録しておく。一方、サービス提供装置は、個人情報を利用する際には個人情報登録証明書を利用し、個人情報要求メッセージを生成し、個人情報登録証明書とともに個人情報要求メッセージを個人情報管理装置に送付する。個人情報管理装置は、メッセージを受信すると個人情報登録証明書の内容を確認し、個人情報登録証明書の検証に成功した場合には個人情報をサービス提供装置に送付する。サービス提供装置は、個人情報を受信すると個人情報の内容を検証して個人情報を利用する。ここで、個人情報管理装置とサービス提供装置間で交換されるメッセージは全てメッセージ生成装置の電子署名をつける。ユーザ端末が個人情報登録証明書の内容を検証することで個人情報管理装置での個人情報の改ざんを検証し、個人情報管理装置の電子署名を個人情報につけることによってサービス提供装置での個人情報の改ざんを検証することができる。以上によって、本発明の第２の目的を達成することができる。
また、第３の個人情報照合システムは、第１の個人情報の改ざん検出システムの構成に加え、個人情報管理装置（図１５の４）が、通信ログを管理する通信記録保管手段（図１５の４１）と、送信情報確認手段（図１５の４２）とを備え、サービス提供装置（図１５の５）が、通信ログを管理する通信記録保管手段（図１５の５１）と、送信情報確認手段（図１５の５２）とを備える。このような構成を採用し、個人情報管理装置４とサービス提供装置５が、それぞれ通信ログを管理し、送信情報確認手段や個人情報登録証明書確認手段、個人情報要求確認手段、応答確認手段を用いてログを確認することで、個人情報の流通の正しさを任意のタイミングで確認できるようにすることにより本発明の第３の目的を達成することができる。
上述した各実施の形態により以下のす効果を達成することができる。
第１の効果は、サービス提供装置が個人情報の受信を否認することを、個人情報管理装置が通信負荷を抑えて低コストで防止できることである。
その理由は、個人情報の流通を監視する第三者を必要とすることなく、サービス提供装置が必ず個人情報管理装置へ個人情報の受信確認のメッセージを送付するからである。装置間で送受信される個人情報は暗号化されているので、サービス提供装置は個人情報を受信した後に復号鍵の要求を送信する。この復号鍵の要求は、個人情報の受信確認とみなされるので個人情報の送受信が行われたことを確認することができ、サービス提供装置の否認を防止できる。
第２の効果は、個人情報管理装置がユーザ端末から取得した個人情報を改ざんしているか否かをサービス提供装置が低コストで検証できることである。
その理由は、個人情報の流通を監視する第三者を必要とすることなく、サービス提供装置はユーザ端末から取得した個人情報に関連する情報が含まれている個人情報登録証明書と、個人情報管理装置から取得した個人情報を比較できるからである。サービス提供装置は個人情報を取得するための個人情報登録証明書をユーザから取得するため、個人情報登録証明書にはユーザ端末が登録した正しい個人情報に関連する情報が記述されている。一方、個人情報管理装置から取得した個人情報は、改ざんされている可能性がある。正しい個人情報に関連する情報と、個人情報管理装置から取得した個人情報を比較することで、個人情報が改ざんされていないか確認できる。
第３の効果は、個人情報管理装置とサービス提供装置は、個人情報が改ざんされずに送受信されたこと、また、否認されずに送受信されたことを任意のタイミングに低コストで確認できることである。
その理由は、個人情報の流通を監視して個人情報を保持する第三者を必要とすることなく、それぞれの装置が個人情報の送受信に関する通信のログを全て保存し、いつでも送受信した内容を検証するための手段を持っているからである。送受信した個人情報や個人情報登録証明書、復号鍵の送受信に関するメッセージを個人情報管理装置とサービス提供装置は全て保存する。これにより、個人情報の送受信が終わっても、いつでも個人情報の改ざんや否認に関する検証ができる。
第４の効果は、適切な個人情報のみを送受信していることを主張できることである。
その理由は、個人情報の流通を監視する第三者を必要とすることなく、個人情報を送受信するときに、何の情報を誰が誰に送受信したかを確認できるためである。個人情報を送受信するときに改ざんと否認を防止できるため、何の情報を誰が誰に送付したかを個人情報管理装置とサービス提供装置は確認することができる。そのため、不要な個人情報を取得していない場合には、それを証明することができる。
第５の効果は、個人情報を利用したサービスを低コストで容易に提供できることである。
その理由は、個人情報の流通を監視して個人情報を保持する第三者を必要とすることなく、また、個人情報を自身で管理しなくても、個人情報を安全に取得できるからである。個人情報を自身で管理すると、管理コストがかかり、プライバシ漏洩のリスクに対応する必要がある。また、個人情報保護法等に対応する必要もある。しかし、個人情報の流通の際、個人情報管理装置と受信装置は正しい情報を送受信したことを確認できるため、安全に個人情報を取得できる。そのため、他の装置が個人情報を管理していれば、自身が直接管理していなくても、個人情報を送受信することで、個人情報を利用したサービスを提供することができる。
以上好ましい実施の形態をあげて本発明を説明したが、本発明は必ずしも、上記実施の形態に限定されるものでなく、その技術的思想の範囲内において様々に変形して実施することができる。
この出願は、２００７年２月６日に出願された日本出願特願２００７−２６６７３号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
本発明によれば、第三者がいない状況でも個人情報の委託業務を請け負うことが可能な個人情報管理のためのプログラムといった用途に適用できる。また、モバイルキャリアやＩＳＰなどの個人情報を管理している業者が、個人情報を管理していない業者に対して、第三者を経由せずに個人情報の管理代行サービスを提供するといった用途にも適用可能である。また、テレフォンセンタなどの業務を外部事業者へ委託する場合、個人情報を委託元が一括管理し、必要に応じて委託先事業者が個人情報を取得、利用するといった用途にも適用可能である。

Claims (8)

  1. ユーザ端末から受信した個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む個人情報登録証明書を発行して、前記ユーザ端末へ送信する、個人情報登録手段と、
    サービス提供装置から受信した個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信する、個人情報要求確認手段と、
    を含む個人情報管理装置と、
    前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信する、前記ユーザ端末と、
    前記ユーザ端末から受信した前記個人情報登録証明書を前記個人情報管理装置に送信して、当該個人情報登録証明書に対する前記個人情報を受信する、個人情報要求手段と、
    前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認手段と、
    を含むサービス提供装置と、
    を備え、
    前記証明データは、前記個人情報をもとに生成されるハッシュ値である、
    個人情報照合システム。
  2. 前記ユーザ端末は、前記個人情報登録証明書に含まれる証明データと前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、
    前記サービス提供装置の前記個人情報確認手段は、前記ユーザ端末から受信した前記個人情報登録証明書に含まれる証明データと前記個人情報管理装置から受信した前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、
    請求項１に記載の個人情報照合システム。
  3. ユーザ端末から受信した個人情報登録証明書を個人情報管理装置に送信して、当該個人情報登録証明書に対する個人情報を受信する、個人情報要求手段と、
    前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認手段と、
    を備えた、サービス提供装置であって、
    前記個人情報管理装置は、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む前記個人情報登録証明書を発行して、前記ユーザ端末へ送信し、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、
    前記ユーザ端末は、前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信し、
    前記証明データは、前記個人情報をもとに生成されるハッシュ値である、
    サービス提供装置。
  4. 前記ユーザ端末は、前記個人情報登録証明書に含まれる証明データと前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、
    前記個人情報確認手段は、前記ユーザ端末から受信した前記個人情報登録証明書に含まれる証明データと前記個人情報管理装置から受信した前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、
    請求項３に記載のサービス提供装置。
  5. ユーザ端末において、個人情報を個人情報管理装置に送信し、
    前記個人情報管理装置において、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録した個人情報から生成した証明データを含む個人情報登録証明書を発行して、前記ユーザ端末へ送信し、
    前記ユーザ端末において、前記個人情報管理装置から前記個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書をサービス提供装置へ送信し、
    前記サービス提供装置において、前記ユーザ端末から受信した前記個人情報登録証明書を前記個人情報管理装置に送信し、
    前記個人情報管理装置において、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、
    前記サービス提供装置において、前記個人情報管理装置から前記個人情報登録証明書に対する前記個人情報を受信し、前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認し、
    前記証明データは、前記個人情報をもとに生成されるハッシュ値である、
    照合方法。
  6. 前記ユーザ端末において、前記個人情報登録証明書に含まれる証明データと前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、
    前記サービス提供装置において、前記ユーザ端末から受信した前記個人情報登録証明書に含まれる証明データと前記個人情報管理装置から受信した前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、
    請求項５に記載の照合方法。
  7. コンピュータに、
    ユーザ端末から受信した個人情報登録証明書を個人情報管理装置に送信して、当該個人情報登録証明書に対する個人情報を受信する、個人情報要求処理と、
    前記ユーザ端末から受信した前記個人情報登録証明書を用いて、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、個人情報確認処理と、
    を実行させる、サービス提供装置用のプログラムであって、
    前記個人情報管理装置は、前記ユーザ端末から受信した前記個人情報を登録するとともに、当該登録された個人情報から生成した証明データを含む前記個人情報登録証明書を発行して、前記ユーザ端末へ送信し、前記サービス提供装置から受信した前記個人情報登録証明書に対する前記個人情報を前記サービス提供装置へ送信し、
    前記ユーザ端末は、前記個人情報を前記個人情報管理装置に送信して、当該個人情報に対する前記個人情報登録証明書を受信し、当該個人情報登録証明書を用いて、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、改ざんされていない場合に、当該個人情報登録証明書を前記サービス提供装置へ送信し、
    前記証明データは、前記個人情報をもとに生成されるハッシュ値である、
    プログラム。
  8. 前記ユーザ端末は、前記個人情報登録証明書に含まれる証明データと前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置における前記個人情報の改ざん有無を確認し、
    前記個人情報確認処理は、前記ユーザ端末から受信した前記個人情報登録証明書に含まれる証明データと前記個人情報管理装置から受信した前記個人情報から生成した証明データとを比較することにより、前記個人情報管理装置から受信した前記個人情報の改ざん有無を確認する、
    請求項７に記載のプログラム。
JP2014086430A 2007-02-06 2014-04-18 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム Expired - Fee Related JP5720831B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2014086430A JP5720831B2 (ja) 2007-02-06 2014-04-18 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2007026673 2007-02-06
JP2007026673 2007-02-06
JP2014086430A JP5720831B2 (ja) 2007-02-06 2014-04-18 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2008558065A Division JPWO2008099739A1 (ja) 2007-02-06 2008-02-06 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム

Publications (2)

Publication Number Publication Date
JP2014139838A JP2014139838A (ja) 2014-07-31
JP5720831B2 true JP5720831B2 (ja) 2015-05-20

Family

ID=39689977

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2008558065A Pending JPWO2008099739A1 (ja) 2007-02-06 2008-02-06 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム
JP2014086430A Expired - Fee Related JP5720831B2 (ja) 2007-02-06 2014-04-18 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2008558065A Pending JPWO2008099739A1 (ja) 2007-02-06 2008-02-06 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム

Country Status (3)

Country Link
US (1) US20100319061A1 (ja)
JP (2) JPWO2008099739A1 (ja)
WO (1) WO2008099739A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI738724B (zh) * 2017-02-21 2021-09-11 亞洲住網資訊股份有限公司 動態企業資源規劃方法及動態企業資源規劃系統

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110078779A1 (en) * 2009-09-25 2011-03-31 Song Liu Anonymous Preservation of a Relationship and Its Application in Account System Management
KR101923487B1 (ko) 2011-09-29 2018-11-30 삼성전자 주식회사 통신 연결 서비스 제공 방법 및 장치
US9467424B2 (en) 2011-10-07 2016-10-11 Salesforce.Com, Inc. Methods and systems for proxying data
US20140259132A1 (en) * 2013-03-06 2014-09-11 Go Daddy Operating Company, LLC System for creating a security certificate
US20140259131A1 (en) * 2013-03-06 2014-09-11 Go Daddy Operating Company, LLC Method for creating a security certificate
JP6168415B2 (ja) * 2014-05-27 2017-07-26 パナソニックＩｐマネジメント株式会社 端末認証システム、サーバ装置、及び端末認証方法
JP6548172B2 (ja) * 2017-06-12 2019-07-24 パナソニックＩｐマネジメント株式会社 端末認証システム、サーバ装置、及び端末認証方法
JP7287207B2 (ja) 2019-09-13 2023-06-06 富士通株式会社 情報処理装置、制御プログラムおよび制御方法
CN110932869A (zh) * 2019-12-02 2020-03-27 北京合游时空科技有限公司 证书实名认证的方法、装置及设备
CN113849851A (zh) 2020-06-28 2021-12-28 中兴通讯股份有限公司 代理方法、设备及计算机可读存储介质

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5608778A (en) * 1994-09-22 1997-03-04 Lucent Technologies Inc. Cellular telephone as an authenticated transaction controller
US6675153B1 (en) * 1999-07-06 2004-01-06 Zix Corporation Transaction authorization system
JP2001222219A (ja) * 2000-02-10 2001-08-17 Hitachi Ltd ネットワーク通信記録方式および装置
JP2002139998A (ja) * 2000-11-01 2002-05-17 Sony Corp 属性確認処理を含むデータ通信システムおよび属性確認処理を含むデータ通信方法
US20020083008A1 (en) * 2000-12-22 2002-06-27 Smith Christopher F. Method and system for identity verification for e-transactions
JP2002229953A (ja) * 2001-01-30 2002-08-16 Canon Inc 個人情報管理システム及びその方法
JP3917463B2 (ja) * 2002-05-28 2007-05-23 日本電信電話株式会社 個人情報流通管理方法，個人情報流通管理システムおよび個人情報流通管理用プログラム
JP2004102872A (ja) * 2002-09-12 2004-04-02 Mitsubishi Electric Corp 個人情報保護オンライン・コマース・システム
US7568098B2 (en) * 2003-12-02 2009-07-28 Microsoft Corporation Systems and methods for enhancing security of communication over a public network
KR100648064B1 (ko) * 2004-01-14 2006-11-23 주식회사 케이티프리텔 인증용 무선 단말기 및 이를 이용한 전자 거래 시스템 및그 방법
JP2005341095A (ja) * 2004-05-26 2005-12-08 Hitachi Ltd 端末装置、公開鍵の正当性を判断する方法、およびプログラム
TWI394466B (zh) * 2005-02-04 2013-04-21 Qualcomm Inc 無線通信之安全引導
JP4664107B2 (ja) * 2005-03-31 2011-04-06 株式会社日立製作所 事業者側装置、利用者側装置、個人情報閲覧更新システムおよび個人情報閲覧更新方法
JP2007018050A (ja) * 2005-07-05 2007-01-25 Sony Ericsson Mobilecommunications Japan Inc 携帯端末装置、暗証番号認証プログラム、及び暗証番号認証方法
AU2007295134A1 (en) * 2006-09-15 2008-03-20 Comfact Ab Method and computer system for ensuring authenticity of an electronic transaction
JP2010505161A (ja) * 2006-09-29 2010-02-18 スカンメル，ダン 電子取引でユーザのアイデンティティを検証するシステムおよび方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI738724B (zh) * 2017-02-21 2021-09-11 亞洲住網資訊股份有限公司 動態企業資源規劃方法及動態企業資源規劃系統

Also Published As

Publication number Publication date
WO2008099739A1 (ja) 2008-08-21
JP2014139838A (ja) 2014-07-31
US20100319061A1 (en) 2010-12-16
JPWO2008099739A1 (ja) 2010-05-27

Similar Documents

Publication Publication Date Title
JP5720831B2 (ja) 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システム
AU2021206913B2 (en) Systems and methods for distributed data sharing with asynchronous third-party attestation
US7676433B1 (en) Secure, confidential authentication with private data
US7788499B2 (en) Security tokens including displayable claims
US8117459B2 (en) Personal identification information schemas
US9264902B1 (en) Systems and methods for remote authorization of financial transactions using public key infrastructure (PKI)
JP5403481B2 (ja) 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置
US20090133107A1 (en) Method and device of enabling a user of an internet application access to protected information
JP2002091299A (ja) 電子署名システム、電子署名方法、電子署名の仲介方法、電子署名の仲介システム、情報端末および記録媒体
JP2002271312A (ja) 公開鍵管理方法
US20080294896A1 (en) Method and System for Transmitting and Receiving User's Personal Information Using Agent
US20220321357A1 (en) User credential control system and user credential control method
JP5084468B2 (ja) 権限委譲システム、権限委譲方法および権限委譲プログラム
JP2008282212A (ja) 認証装置及び認証システム
JP2003338816A (ja) 個人情報認証を行うサービス提供システム
KR101449806B1 (ko) 디지털 정보 상속 방법
JP2009031849A (ja) 電子申請用証明書発行システムおよび電子申請受付システム、並びにそれらの方法およびプログラム
JP2004297333A (ja) デジタル証明書の認定システム、デジタル証明書の認定サーバ、ｐｋｉトークン、デジタル証明書の認定方法、及びプログラム
JP2002132996A (ja) 情報存在証明サーバ、情報存在証明方法、および情報存在証明制御プログラム
Pashalidis et al. Privacy in identity and access management systems
EP4050923A1 (en) Systems and methods of access validation using distributed ledger identity management
JP2013097512A (ja) ログイン認証システムおよび方法
JP2002207694A (ja) 情報転送追跡装置、個人情報管理システム、その方法及びプログラムを記録した記録媒体
JP2023155626A (ja) 情報通知システム、情報通知方法、及び情報通知アプリケーションプログラム
JP2002123789A (ja) 電子フォーム配信システム及び電子書類提出システム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20140418

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20141128

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20141209

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20150203

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20150224

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20150309

R150 Certificate of patent or registration of utility model

Ref document number: 5720831

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees