JP7234014B2 - 情報処理装置、情報処理システム、およびその制御方法 - Google Patents

Description

本発明は、画像処理装置で実行されるプリント、コピー等のジョブについて、ジョブを実行したユーザーや、印刷された画像等をログ情報として記録することのできる情報処理システムに関する。

紙文書からの機密情報の漏洩抑止・追跡を目的として、スキャナやプリンターを備えたＭＦＰ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）には文書トラッキング機能が搭載されたものがある。特許文献１では、ＭＦＰは、印刷、コピー、ＦＡＸ送受信などのジョブを実行する際に、画像データを含むジョブの実行ログ（以下、ジョブログと呼ぶ）を記録し、外部サーバーへ転送する。管理者は、外部サーバーに保存されたジョブログ情報から検索を行い、ユーザーが過去に実行したジョブの内容を参照することができる。

特開２００７－１６６１７８号公報

近年、企業内のデータをクラウドサービスで一元管理するという動きが進んでおり、従来、イントラネットのサーバーで管理していたジョブログもクラウドサービスで管理する必要性が高まっている。顧客の機密情報をインターネット上のクラウドサービスで管理する上で、最も重要な課題はセキュリティー・プライバシーである。セキュリティーの観点から、クラウドでは、データを暗号化して保存することが一般的である。

クラウドサービスでは、データを検索する際にはクラウド上に保存された復号鍵などを使用して、クラウド上でデータを復号している。しかしながら、クラウド上で顧客の機密情報を復号するのはプライバシーの観点から問題があるかもしれない。

そこで、本発明は上述の問題点に鑑みなされたものであり、画像処理装置が暗号化したジョブログを外部サーバーで保存し、保存されたジョブログを外部サーバー上で暗号化したまま検索する仕組みを提供することを目的とする。

本発明の情報処理装置は、複製されてできた２つの第１の鍵のなかの１つを用いて画像処理装置で暗号化された複数のジョブログを管理するサーバーとネットワークを介して通信する情報処理装置であって、ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する暗号化手段と、前記暗号化された値を含む検索要求を前記サーバーに送信する要求手段と、前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得手段と、前記暗号化されたジョブログを復号する復号手段と、を有し、前記サーバーでは前記検索要求に含まれる前記暗号化された値を用いて、前記管理された複数のジョブログを復号することなく検索処理が実行されることを特徴とする。

本発明によれば、画像処理装置が暗号化したジョブログを外部サーバーで保存し、保存されたジョブログを外部サーバー上で暗号化したまま検索する仕組みを提供できる。

システム構成を示す図である。 ＭＦＰ、Ｗｅｂサーバー、およびＰＣのハードウェア構成を示す図である。 ＭＦＰ、Ｗｅｂサーバー、およびＰＣのソフトウェア構成を示す図である。 ＰＣの操作画面を示す図である。 ＰＣおよびＭＦＰが鍵をインポートする処理を表すフローチャートである。 鍵のインポートなどのために用いるＪａｖａＳｃｒｉｐｔ（登録商標）の例を示す図である。 ＭＦＰがジョブログを送信する処理を表すフローチャートである。 ジョブログ登録時のＨＴＴＰメッセージを示す図である。 Ｗｅｂサーバーが暗号化ジョブログを登録する処理を表すフローチャートである。 ＰＣがジョブ属性を検索する処理を表すフローチャートである。 ジョブログの検索時に用いるＨＴＴＰメッセージを示す図である。 Ｗｅｂサーバーによるジョブログの検索処理を表すフローチャートである。 実施例２におけるＭＦＰがジョブログを送信する処理を表すフローチャートである。 実施例２におけるＰＣがジョブ属性を検索する処理を表すフローチャートである。 実施例２におけるジョブログの検索時に用いるＨＴＴＰメッセージを示す図である。

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施の形態は特許請求の範囲に係る発明を限定するものでなく、また実施の形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

（第１実施例）
図１は、本発明の情報処理システムの構成例である。本システムは、イントラネット１００、インターネット１０１、ＭＦＰ１０２、ＰＣ１０３、Ｗｅｂサーバー１０４から構成される。ＭＦＰ１０２は１台ではなく、複数台、ネットワーク上に設置されていてもよい。

イントラネット１１０は、ＭＦＰ１０２とＰＣ１０３が通信を行うためのネットワーク基盤である。インターネット１０１は、ＭＦＰ１０２またはＰＣ１０３が、Ｗｅｂサーバー１０４と通信を行うためのネットワーク基盤である。ＭＦＰ１０２は、画像処理装置の一例であり、プリンターなどであってもよい。また、ＭＦＰ１０２は、インターネット１０１を経由してＷｅｂサーバー１０４と接続されており、１以上のジョブログを含むジョブログ情報を、Ｗｅｂサーバー１０４へ送信する。

ＰＣ１０３は、管理者などが利用するノートパソコンなどのＰＣである。ＰＣ１０３は、イントラネット１００を経由してＭＦＰ１０２と接続されており、ジョブログを暗号化するための鍵データをＭＦＰ１０２へ送信、登録する。また、ＰＣ１０３は、インターネット１０１を経由してＷｅｂサーバー１０４と接続されており、Ｗｅｂサーバー１０４へジョブログ検索要求を送信して、その検索結果を受信する。

図２（ａ）は、本実施例のＭＦＰ１０２のハードウェア構成の一例である。ＭＦＰ１０２は、ＣＰＵ２０１、ＣＰＵ２０１のワークエリアを提供するＲＡＭ２０２、後述するフローチャートにかかるプログラムやそのほかのソフトウェア、さらには様々な設定を記憶する記憶装置２０３（ＨＤＤやＮＶＲＡＭ等でもよい）を備える。さらに、ユーザーがコマンドの入力を行う入力装置２０４、画面表示を行う表示装置２０５、他機器とネットワークによる通信を行うネットワーク装置２０６、メインバス２００により構成されている。尚、本実施例は特に断らない限り、ＭＦＰ１０１、Ｗｅｂサーバー１０２、ＰＣ１０３は、ＣＰＵ２０１がメインバス２００を介してＲＡＭ２０２、記憶装置２０３、入力装置２０４、表示装置２０５、ネットワーク装置２０６を制御する。ＭＦＰ１０１には、その他にスキャン装置２０７、プリント装置２０８、ファクス装置２０９がメインバス２００に接続されている。また、入力装置２０４は、タッチパネルディスプレイのように表示装置２０５が兼ねてもよい。

図２（ｂ）は、本実施例のＰＣ１０３、Ｗｅｂサーバー１０４などを実現する情報処理装置のハードウェア構成の一例である。情報処理装置は、ＣＰＵ２１１、ＣＰＵ２１１のワークエリアを提供するＲＡＭ２１２、後述するフローチャートにかかるプログラムやそのほかのソフトウェア、さらには様々な設定を記憶する記憶装置２１３（ＨＤＤやＮＶＲＡＭ等でもよい）を備える。さらに、ユーザーがコマンドの入力を行う入力装置２１４、画面表示を行う表示装置２１５、他機器とネットワークによる通信を行うネットワーク装置２１６、メインバス２１０により構成されている。尚、本実施例は特に断らない限り、Ｗｅｂサーバー１０２、ＰＣ１０３は、ＣＰＵ２１１がメインバス２１０を介して図示されたほかの構成を制御する。また、入力装置２１４は、タッチパネルディスプレイのように表示装置２０５が兼ねてもよい。なお、Ｗｅｂサーバー１０２は、入力装置２１４と表示装置２０５を有していなくてもよい。

図３は、本実施例におけるＭＦＰ１０２、ＰＣ１０３、Ｗｅｂサーバー１０４のソフトウェア構成を説明するための図である。図３に示す各機能部は、ＭＦＰ１０２が備えるＣＰＵ２０１、ＰＣ１０３、またはＷｅｂサーバー１０４のそれぞれが備えるＣＰＵ２１１が、本実施例にかかる制御プログラムを実行することにより実現される。

ＭＦＰ１０２は、ジョブ実行部３０１、通信部３０２、暗号化部３０３、および記憶部３０４を有する。また、ＰＣ１０３は、通信部３１０、スクリプト処理部３１１、表示部３１２、暗号化部３１３および記憶部３１４を有する。また、Ｗｅｂサーバー１０４は、通信部３２０および記憶部３２１を有する。

まず、ＭＦＰ１０２のソフトウェア構成について説明する。ジョブ実行部３０１は、スキャン装置２０７、プリント装置２０８、ファクス装置２０９、およびネットワーク装置２０６を制御して、コピー、プリント、ファクス送信、ファクス受信、およびスキャン送信を処理するジョブを実行する機能を有する。また、ジョブ実行部３０１は、ジョブの実行ごとに、該ジョブに紐づくジョブ属性とジョブ画像をジョブログとして記憶部３０４に格納する。表Ａに、記憶部３０４に格納されるジョブログの一例を示す。ジョブ画像とは、ジョブ実行時にＭＦＰ１０２から出力された画像を示す画像データである。

ジョブログは、ジョブ属性とジョブ画像から構成される。ジョブ属性には、ＭＦＰ１０２を識別するための情報であるデバイスＩＤ、ジョブ名、ユーザー名、日時、ジョブ種別が含まれる。表Ａに示すジョブログは、ユーザー“ｕｓｅｒ１”が２０１８／１１／１９ １８：４６にデバイス“ＡＢＣ００１”で実行した“ＷｅｅｋｌｙＲｅｐｏｒｔ．ｄｏｃ”という名前のプリントジョブであることを表している。

通信部３０２は、Ｗｅｂサーバー１０４またはＰＣ１０３とＨＴＴＰプロトコルに従って通信する機能を有する。通信部３０２は、ＰＣ１０３からジョブログを暗号化するために用いる鍵データを受信したり、Ｗｅｂサーバー１０４へ暗号化されたジョブログを送信したりする。なお、通信部３０２は通信チャネルをＴＬＳで暗号化する。

暗号化部３０３は、記憶部３０４に格納されたジョブログを暗号化する機能を有する。暗号化部３０３は、ジョブ属性をＦＰＥ（Ｆｏｒｍａｔ Ｐｒｅｓｅｒｖｉｎｇ Ｅｎｃｒｙｐｔｉｏｎ）に従って暗号化したり、ジョブ画像を共通鍵と公開鍵を組み合わせて暗号化したりする。ＦＰＥは共通鍵暗号化の一種であるが、暗号化された値に一意性があるため暗号化されたままデータを検索することが可能である。ＭＦＰ１０３の暗号化処理の詳細については図４を用いて後述する。

記憶部３０４は、ジョブログおよび鍵データを記憶装置２０３に保存する。記憶部３０４は、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）が搭載されたＣＰＵ２０１の場合、鍵データをＴＰＭで暗号化して保存しても良い。

続いて、ＰＣ１０３のソフトウェア構成について説明する。通信部３１０は、ネットワーク装置２１６を介して、ＭＦＰ１０２またはＷｅｂサーバー１０４とＨＴＴＰプロトコルに従って通信する機能を有する。通信部３１０は、Ｗｅｂサーバー１０４から操作画面を含むコンテンツを受信したり、ＭＦＰ１０２へジョブログを暗号化する鍵データを送信したり、Ｗｅｂサーバーへジョブログ検索要求を送信してその検索結果としてジョブログを受信したりする。通信部３１０は通信チャネルをＴＬＳで暗号化する。

スクリプト処理部３１１は、通信部３１０が受信したコンテンツに含まれるＪａｖａＳｃｒｉｐｔを解析し、鍵データのインポート、検索値の暗号化、およびジョブログの復号化を制御する。

表示部３１２は、Ｗｅｂサーバー１０４から受信したコンテンツに含まれるＨＴＭＬおよびＣＳＳを解釈して、表示装置２１５に操作画面を表示する機能を有する。また表示部３１２は、入力装置２１４からの入力操作を受け付ける機能を有する。

表示部３１２が表示する管理画面は、鍵データをＰＣ１０３およびＭＦＰ１０２へインポートしたり、Ｗｅｂサーバー１０４に格納されたジョブログを検索してジョブ画像を参照したりするための画面を含む。ＰＣ１０３が表示する管理画面については図５を用いて後述する。

暗号化部３１３は、ジョブログ検索要求を暗号化したり、暗号化済みのジョブログを復号したりする機能を有する。記憶部３１４は、ジョブログ暗号化に使用される鍵データを、ＰＣ１０３の記憶装置２１３に保存する機能を有する。具体的には、ジョブ属性暗号化に使用される共通鍵と、およびジョブ画像復号化に使用される鍵ペア（公開鍵と秘密鍵）を保存する。

続いて、Ｗｅｂサーバー１０４のソフトウェア構成について説明する。通信部３２０は、ネットワーク装置２１６を介して、ＭＦＰ１０２またはＰＣ１０３とＨＴＴＰプロトコルに従って通信する機能を有する。通信部３２０は、ＭＦＰ１０２から送信されるジョブログを受信したり、ＰＣ１０３から送信される検索要求を受信して、ＰＣ１０３へジョブログを応答したりする。通信部３２０は通信チャネルをＴＬＳで暗号化する。

記憶部３２１は、ＭＦＰ１０２から受信した１以上のジョブログをＷｅｂサーバー１０４の記憶装置２１３に、ジョブログ情報として保存する機能を有する。記憶部３２１は、ジョブログ情報を、ジョブ属性をデータベースに、ジョブ画像をファイルシステムにそれぞれ格納して管理する。検索部３２２は、ジョブログの検索要求を受け付けて、検索処理を行う。

表Ｂは、記憶部３２１で管理するジョブログ情報を格納するデータベースを模式化した図である。データベースは、デバイスＩＤ、ジョブ名、ユーザー名、日時、ジョブ種別、画像ファイルパス、およびセッションキーを含む。デバイスＩＤ、ジョブ名、ユーザー名、日時、およびジョブ種別はＭＦＰ１０２から送信される各ジョブログのジョブ属性を示している。また、セッションキーは、ＭＦＰ１０２がジョブ画像を暗号化する共通鍵である。各ジョブ属性およびセッションキーはそれぞれＭＦＰ１０２で暗号化済みである。

ここで、表Ｂでは、説明のために各値を平文で表しているが、実際には、記憶部３２１は暗号化されたままで、格納し、管理している。ジョブ画像パスは、ファイルシステムに格納されたジョブ画像のファイルパスである。ジョブ画像も、ジョブ属性と同様にＭＦＰ１０２で暗号化済みである。このようにＭＰＦ１０２から受信されたジョブログに含まれる情報は、暗号化されたまま管理されている。ＭＦＰ１０２の暗号化処理の詳細については図７を用いて後述する。

つぎに、図４の示す画面遷移図を用いて、ＰＣ１０３が表示する管理画面について説明する。

まず、ログイン画面４０１は、ＩＤとパスワードを入力してＷｅｂサーバー１０４へログインするための画面である。ログイン画面４０１でログインが成功するとメインメニュー画面４０２へ進む。メインメニュー画面４０２は、初期設定とログ検索を開始するための画面である。メインメニュー画面４０２は初期設定ボタンおよびログ検索ボタンを含む。初期設定ボタンが押下されると、初期設定画面４０３へ進む。また、ログ検索ボタンが押下されると、ログ検索画面へ進む。初期設定画面４０３はＰＣ１０３とＭＦＰ１０２の初期設定をするための画面である。初期設定画面４０３は、ＰＣ設定ボタンおよびデバイス設定ボタンを含む。ＰＣ設定ボタンが押下されると、ＰＣ設定画面４０４へ遷移する。デバイス設定ボタンが押下されると、ＭＦＰ設定画面４０５へ遷移する。ＰＣ設定画面４０４は、ジョブログを暗号化するための鍵データをＰＣ１０３にインポートする画面である。

ＰＣ設定画面４０４は、共通鍵ファイル入力フィールド、鍵ペアファイル入力フィールド、および鍵登録ボタンを含む。共通鍵入力フィールドには、ジョブ属性暗号化に使用される共通鍵のファイルパスが指定される。鍵ペア入力フィールドには、ジョブ画像暗号化に使用される鍵ペア（公開鍵と秘密鍵）のファイルパスが指定される。鍵登録ボタンが押下されると、指定された鍵データが記憶部３１４に格納される。ＰＣ設定画面では、予めユーザーによって容易された鍵ファイルをインポートするＵＩだけでなく、ＰＣで鍵を生成するためのＵＩを提供してもよい。

ＭＦＰ設定画面４０５は、ジョブログ暗号化に使用される鍵データをＭＦＰ１０２にインポートする画面である。ＭＦＰ設定画面４０５は、管理ＭＦＰ一覧および鍵登録ボタンを含む。鍵登録ボタンが押下されると、管理ＭＦＰ一覧より指定されたＭＦＰ１０２に鍵データをインポートするために、デバイス認証画面４０６へ進む。ここでＭＦＰ１０２にインポートする鍵データはＰＣ設定画面４０４において予めＰＣ１０３にインポートされた鍵データである。デバイス認証画面４０６は、ＩＤとパスワードを入力してＭＦＰ１０２に認証するための画面である。認証に成功すると、ＰＣ１０３からエクスポートされた鍵データがＭＦＰ１０２にインポートされる。

ログ検索画面４０７は、Ｗｅｂサーバー１０４に格納されたジョブログを検索するための画面である。ログ検索画面４０７は、検索値入力フィールドおよび検索ボタンを含む。検索ボタンが押下されると、ＰＣ１０３は、指定されたジョブ属性について、検索値に一致するジョブ属性値を持つジョブログがＷｅｂサーバー１０４に存在するかどうか検索する。Ｗｅｂサーバー１０４で検索処理が完了すると、検索結果画面４０８へ進む。検索結果画面４０８は、検索されたジョブログを確認するための画面である。検索結果画面は、ジョブログ一覧および開くボタンを含む。ジョブログ一覧は検索されたジョブログ情報の一覧である。開くボタンが押下されると、ジョブログ一覧より指定されたジョブログのログ画像を表示する。

ジョブログを検索するときには、暗号化部３１３が、検索するジョブ属性値をＦＰＥに従って暗号化する。また、暗号化部３１３は、ジョブログのジョブ画像を共通鍵と公開鍵を組み合わせて、暗号化されたデータを復号して、ジョブログを閲覧可能にする。暗号化に使用される鍵データは予め記憶部３１４に格納されている。ＰＣ１０３の暗号化処理の詳細については図１０を用いて後述する。

続いて図５に示すフローチャートを用いて、ＰＣ１０３およびＭＦＰ１０２が鍵データをインポートする処理の流れを説明する。図５のフローチャートで示す処理を実行するための各制御プログラムは、各装置のＲＡＭまたは記憶装置のいずれかに記憶されておりＣＰＵにより実行されるものである。Ｓ５０１～Ｓ５０４、Ｓ５０８に記載の処理はＰＣ１０３で実行され、Ｓ５０５～Ｓ５０７の処理はＭＦＰ１０２で実行される。

図５に示すフローチャートは、ＰＣ１０３の表示部３１２が管理画面を表示する指示を受け付けると、Ｓ５０１の処理を開始する。

Ｓ５０１では、ＰＣ１０３の通信部３１０がＷｅｂサーバー１０４へ管理画面を取得するＨＴＴＰリクエストを送信し、Ｗｅｂサーバー１０４から管理画面をコンテンツとして含むＨＴＴＰレスポンスを受信する。Ｓ５０２では、ＰＣ１０３の表示部３１２がコンテンツを解釈して管理画面を表示装置２１５に表示する。そして、ＰＣ１０３の表示部３１２は、前述の管理画面の遷移に従って入力装置２０４から操作指示を受け付けることで、ＰＣ設定画面４０４を表示する。Ｓ５０３では、ＰＣ１０３のスクリプト処理部３１１がコンテンツに含まれるＪａｖａＳｃｒｉｐｔを解釈して、指定された共通鍵と鍵ペアを記憶部３１４へ格納する。

図６で、鍵のインポートなどのために用いるＪａｖａＳｃｒｉｐｔの例を示す。図６（ａ）は指定されたファイルパスから各鍵データを読み込むＪａｖａＳｃｒｉｐｔである。また、図６（ｂ）は指定された各鍵データを記憶部３１４のデータベースに登録するＪａｖａＳｃｒｉｐｔである。図では、コメント行を用いて、実行される命令を説明している。

つぎに、Ｓ５０４では、ＰＣ１０３のスクリプト処理部３１１がコンテンツに含まれるＪａｖａＳｃｒｉｐｔを解釈して、指定されたＭＦＰのアドレス（ＩＰアドレスまたはホスト名）に、複製された共通鍵と公開鍵を送信する。鍵ペアに含まれる鍵データの内、ＭＦＰ１０２でのジョブ画像の暗号化に使用するのは公開鍵のみであるため、ここでは秘密鍵は送信されない。図６（ｃ）は指定されたＭＦＰ１０２のアドレスに対して、指定された認証情報を設定して、共通鍵データおよび公開鍵データを含むＨＴＴＰリクエストを送信するＪａｖａＳｃｒｉｐｔである。

Ｓ５０５では、ＭＦＰ１０２の通信部３０２が、ＰＣ１０３から共通鍵データおよび公開鍵データを含むＨＴＴＰリクエストを受信する。Ｓ５０６では、ＭＦＰ１０２の記憶部３０４が、受信した共通鍵データおよび公開鍵データを記憶装置２０３に保存する。Ｓ５０７では、ＭＦＰ１０２の通信部３２１が、鍵データのインポート成功を応答するＨＴＴＰレスポンスをＰＣ１０３へ送信する。

Ｓ５０８では、ＰＣ１０３の通信部３１０がＭＦＰ１０２から鍵データのインポート成功を応答するＨＴＴＰレスポンスを受信すると、ＭＦＰ１０２へ鍵データがインポートされたことを通知するＨＴＴＰリクエストをＷｅｂサーバー１０４へ送信する。そして、ＰＣ１０３の通信部３１０がＷｅｂサーバー１０４からＨＴＴＰレスポンスを受信すると、処理を終了する。

図５で説明したように、ＭＦＰ１０２でジョブログの暗号化に使用する各鍵データは、インターネットを経由せずに、ＰＣ１０３からＭＦＰ１０２へイントラネット経由で安全に送信される。また、各鍵データはＰＣ１０３またはＭＦＰ１０２に保持され、Ｗｅｂサーバー１０４には保持されないためより安全である。本実施の形態では、予めユーザーが用意した鍵データをＰＣ１０３およびＭＦＰ１０２にインポートするが、実施形態はこれに限定されない。ＰＣ１０３の暗号化部３１３が鍵データを生成して、生成した鍵データをＰＣ１０３およびＭＦＰ１０２にインポートしてもよい。

続いて、図７に示すフローチャートを用いて、ＭＦＰ１０２がジョブログをＷｅｂサーバー１０４へ送信する処理の流れを説明する。図７のフローチャートで示す処理を実行するための制御プログラムはＲＡＭ２０２または記憶装置２０３のいずれかに記憶されており、ＣＰＵ２０１により実行されるものである。

図７に示すフローチャートは、ＭＦＰ１０２がジョブログを送信する処理を表すフローチャートである。ＭＦＰ１０２のジョブ実行部３０１によりジョブログを記憶部３０４に格納された際に本処理が開始される。

Ｓ７０１では、ＭＦＰ１０２の暗号化部３０３が、記憶部３０４に格納されたジョブログを取得する。表Ａに示したように、ジョブログは、ジョブ属性とジョブ画像から構成される。ジョブ属性には、ジョブ名、ユーザー名、日時、ジョブ種別が含まれる。Ｓ７０２では、ＭＦＰ１０２の暗号化部３０３が、記憶部３０４に格納された共通鍵を取得する。共通鍵は前述のとおりＰＣ１０３から予めインポートされたものである。Ｓ７０３では、ＭＦＰ１０２の暗号化部３０３が、取得した共通鍵を使用して、各ジョブ属性値をＦＰＥ暗号化する。

Ｓ７０４では、ＭＦＰ１０２の暗号化部３０３が、共通鍵を生成する。この共通鍵をセッションキーと呼ぶことにする。Ｓ７０５では、ＭＦＰ１０２の暗号化部３０３が、セッションキーを使用して、ジョブ画像を暗号化する。ジョブ属性値は検索対象のため、全てのジョブに対して同じ鍵を使用して暗号化する。一方で、ジョブ画像については、ジョブ毎に異なる鍵を使用することで、鍵漏洩時のセキュリティーのリスクを低減している。つぎにＳ７０６では、ＭＦＰ１０２の暗号化部３０３が、記憶部３０４に格納された公開鍵を取得する。公開鍵は前述の通りＰＣ１０３から予めインポートされたものである。Ｓ７０７では、ＭＦＰ１０２の暗号化部３０３が、公開鍵を使用してセッションキーを暗号化する。セッションキーを復号するには秘密鍵が必要であり、秘密鍵を保持するＰＣ１０３しかジョブ画像を復号できない。

Ｓ７０８では、ＭＦＰ１０２の通信部３０２が暗号化ジョブログ登録を要求するＨＴＴＰリクエストをＷｅｂサーバー１０４へ送信する。図８に暗号化ジョブログ登録時のＨＴＴＰメッセージを示す。

図８（ａ）は、Ｓ７０８で送信されるＨＴＴＰリクエストの一例である。ＨＴＴＰリクエストヘッダーには、Ｗｅｂサーバー１０４のＵＲＬ情報およびＷｅｂサーバー１０４の認証情報を含む。またＨＴＴＰリクエストボディーには、ジョブ属性として、デバイスＩＤ、ジョブ名、ユーザー名、ジョブ種別、日時、それに加えてセッションキーをＪＳＯＮ形式で含む。図８（ａ）では、説明のために各属性値を平文で表したが、実際には前述の通り、それぞれの値はＦＰＥ暗号化されている。

つぎに、Ｓ７０９では、ＭＦＰ１０２の通信部３０２が、Ｗｅｂサーバー１０４からジョブ画像アップロード先情報を含むＨＴＴＰレスポンスを受信する。図８（ｂ）は、Ｓ７０９で受信するＨＴＴＰレスポンスの一例である。このＨＴＴＰレスポンスボディーは、ジョブ画像アップロード先情報を、ＪＳＯＮ形式で含む。ジョブ画像アップロード先情報は、暗号化ジョブ画像をアップロードするＵＲＬと、アップロードを許可するためのアクセスキーを含む。

Ｓ７１０では、ＭＦＰ１０２の通信部３０２が、暗号化ジョブ画像をアップロードするためのＨＴＴＰリクエストを送信する。図８（ｃ）は、Ｓ７１０で送信するＨＴＴＰリクエストの一例である。ＨＴＴＰリクエストヘッダーは、暗号化ジョブ画像をアップロードするＵＲＬおよびアクセスキーを含む。ＨＴＴＰリクエストボディーには、ジョブ画像としてＰＤＦデータが含まれている。図８（ｃ）では、説明のためにジョブ画像を平文で表したが、実際には前述の通りジョブ画像はセッションキーを使用して暗号化されている。ＭＦＰ１０２の通信部３０２は、Ｗｅｂサーバー１０４からアップロード完了を応答するＨＴＴＰレスポンスを受信すると、処理を終了する。

このように、ＭＦＰ１０２がＷｅｂサーバー１０４へ送信するジョブ属性およびジョブ画像は全て暗号化されている。本実施形では、ＭＦＰ１０２のジョブ実行部３０１がジョブログを記憶部３０４に格納すると、ジョブログ取得処理を開始したが、実施形態はこれに限定されない。予め設定されたスケジュールに従って、定期的に未送信の１以上のジョブログについて、まとめてジョブログ取得処理を開始してもよい。

続いて、図９に示すフローチャートを用いて、Ｗｅｂサーバー１０４がＭＦＰ１０２から受け付けるジョブログ情報を登録する処理の流れを説明する。図９のフローチャートで示す処理を実行するための制御プログラムはＲＡＭ２１２または記憶装置２１３のいずれかに記憶されており、ＣＰＵ２１１により実行されるものである。

図９に示すフローチャートは、Ｗｅｂサーバー１０４がジョブログの登録要求を受信すると、開始される処理を示す。

Ｓ９０１では、Ｗｅｂサーバー１０４の通信部３２０が、ジョブログの登録を要求するＨＴＴＰリクエストを受信して、ＨＴＴＰリクエストボディーにＪＳＯＮ形式で含まれる、デバイスＩＤ、ジョブ名、ユーザー名、ジョブ種別、日時、およびセッションキーを読み取る。

Ｓ９０２では、Ｗｅｂサーバー１０４の記憶部３２１が、デバイスＩＤ、ジョブ名、ユーザー名、ジョブ種別、日時、セッションキー、および画像ファイルパスをデータベースに登録する。画像ファイルパスは、ジョブ画像を保存するファイルシステム上のファイルパスである。

Ｓ９０３では、Ｗｅｂサーバー１０４の通信部３２０が、ジョブ画像アップロード先情報を含むＨＴＴＰレスポンスをＭＦＰ１０２へ送信する。ジョブ画像アップロード先情報は、暗号化ジョブ画像をアップロードするＵＲＬと、アップロードを許可するためのアクセスキーを含む。このとき、Ｗｅｂサーバー１０４は、アクセスキーによってアクセス元を制限した上で、一時的に暗号化ジョブ画像のアップロードを許可する。

Ｓ９０４では、Ｗｅｂサーバー１０４の通信部３２０が、暗号化ジョブ画像をアップロードするためのＨＴＴＰリクエストを受信する。Ｓ９０４では、Ｗｅｂサーバー１０４の記憶部３２１が、ＨＴＴＰリクエストに含まれるジョブ画像を、予めデータベースに登録したファイルパスに保存する。そして、Ｗｅｂサーバー１０４の通信部３２０が、アップロード完了を応答するＨＴＴＰレスポンスをＭＦＰ１０２へ送信すると、処理を終了する。

このように、Ｗｅｂサーバー１０４がデータベースに登録するジョブ属性およびジョブ画像は全て暗号化されている。

続いて、図１０に示すフローチャートを用いて、ＰＣ１０３が暗号化されたジョブログを検索する際の処理を説明する。図１０のフローチャートで示す処理を実行するための制御プログラムはＲＡＭ２１２または記憶装置２１３のいずれかに記憶されており、ＣＰＵ２１１により実行されるものである。

図１０に示す処理は、ＰＣ１０３のスクリプト処理部３１１がログ検索指示を受け付けた場合に開始される。

Ｓ１００１では、ＰＣ１０３のスクリプト処理部３１１が、管理画面のコンテンツに含まれるＪａｖａＳｃｒｉｐｔを解釈して、記憶部３１４に保存された共通鍵を取得する。Ｓ１００２では、スクリプト処理部３１１が、前記検索指示とともに受け付けた検索値を共通鍵でＦＰＥ暗号化する。Ｓ１００３では、ＰＣ１０３の通信部３１０が、ジョブ属性を検索するために、暗号化された検索値などを含むＨＴＴＰリクエストをＷｅｂサーバー１０４へ送信する。

図１１（ａ）は、Ｓ１００３で送信されるＨＴＴＰリクエストの一例である。リクエストヘッダーには、Ｗｅｂサーバー１０４のＵＲＬ情報およびＷｅｂサーバー１０４の認証情報を含む。またＨＴＴＰリクエストボディーには、検索対象の属性名と検索値をＪＳＯＮ形式で含む。図１１（ａ）の例では、ユーザー名が“ｕｓｅｒ１”でかつ、ジョブ種別がファクス送信であるジョブログを検索することを表している。ここで、図１１（ａ）では説明のため検索値を平文で表したが、実際には属性名と検索値などの検索対象のデータはそれぞれＦＰＥ暗号化されている。

つぎに、Ｓ１００４では、ＰＣ１０３の通信部３１０が、Ｗｅｂサーバー１０４から検索結果を含むＨＴＴＰレスポンスを受信する。図１１（ｂ）は、Ｓ１００４で受信するＨＴＴＰレスポンスの一例である。ＨＴＴＰレスポンスボディーには、暗号化ジョブ画像をダウンロードするＵＲＬ、ダウンロードを許可するためのアクセスキー、およびセッションキーを含む。なお、暗号化されたジョブ属性を含むデータを一緒にダウンロードすることも可能である。

つぎにＳ１００５では、ＰＣ１０３の通信部３１０が、暗号化ジョブ画像をダウンロードするためのＨＴＴＰリクエストをＷｅｂサーバー１０４へ送信し、対象のデータをダウンロードする。図１１（ｃ）は、Ｓ１００５で送信されるＨＴＴＰリクエストの一例である。ＨＴＴＰリクエストヘッダーには、暗号化ジョブ画像のＵＲＬ情報およびダウンロードを許可するためのアクセスキーを含む。このように、ＰＣ１０３は暗号化された検索値を含むリクエストを送信することで、暗号化ジョブ画像を取得することができる。

Ｓ１００６からＳ１００８で暗号化されたジョブログの復号処理が実行される。まず、Ｓ１００６では、ＰＣ１０３の暗号化部３１１が、ＰＣ１０３の記憶部３１４から秘密鍵を取得する。Ｓ１００７では、暗号化部３１１が、受信したセッションキーを秘密鍵で復号する。Ｓ１００８では、暗号化部３１１が、復号されたセッションキーを用いて、暗号化ジョブ画像を復号する。この際に、暗号化されたジョブ属性を含むデータもダウンロードされていた場合には、ジョブ属性についても共通鍵を用いて復号される。このように、本実施例では、秘密鍵を保持するＰＣ１０３しか、暗号化されたジョブ画像を復号できない。

本処理によれば、ＰＣ１０３では、表示部３０３が、復号されたジョブ画像とそれに対応するジョブログの属性情報をと含む検索結果画面４０８を表示することができる。

図１２に示すフローチャートを用いて、Ｗｅｂサーバー１０４が暗号化済みのジョブログの属性情報を復号することなく検索する処理の流れを説明する。図１２のフローチャートで示す処理を実行するための制御プログラムはＲＡＭ２１２または記憶装置２１３のいずれかに記憶されており、ＣＰＵ２１１により実行されるものである。図１２に示すフローチャートは、Ｗｅｂサーバー１０４がＰＣ１０３からの検索要求を受信すると、開始される。

Ｓ１２０１では、Ｗｅｂサーバー１０４の通信部３２０が、ジョブログを検索するための検索要求であるＨＴＴＰリクエストを受信する。検索部３２２は、ＨＴＴＰリクエストボディーにＪＳＯＮ形式で含まれる属性名と検索値を読み取る。属性名と検索値などの検索キーとなる情報は暗号化されている。

Ｓ１２０２では、検索部３２２は、属性名の検索値に一致するジョブ属性の値を含むジョブログを検索する。検索の結果として、記憶部３２１が該当するジョブログを、表Ｂで示したデータベースから取得する。ここで、ＰＣ１０３でＦＰＥ暗号化された検索値と、ＭＦＰ１０２でＦＰＥ暗号化されたジョブ属性に含まれる値とは、それぞれ同じ共通鍵を使用して暗号化されているため、暗号化後の値に一意性があり、暗号化したまま一致検索が可能である。

Ｓ１２０３では、Ｗｅｂサーバー１０４の通信部３２０が、検索結果を応答するＨＴＴＰレスポンスをＰＣ１０３へ送信する。前述の通り、ＨＴＴＰレスポンスには、暗号化ジョブ画像をダウンロードするＵＲＬ、ダウンロードを許可するためのアクセスキー、およびセッションキーが含まれる。このとき、Ｗｅｂサーバー１０４は、アクセスキーによってアクセス元を制限した上で、一時的に暗号化ジョブ画像ダウンロードを許可する。ＵＲＬなどの情報は、前述した表Ｂ内の検索結果に該当するジョブログのレコードを参照することで設定される。

Ｓ１２０４では、Ｗｅｂサーバー１０４の通信部３２０が、ジョブ画像のダウンロードを要求するＨＴＴＰリクエストをＰＣ１０３から受信する。前述の通り、ＨＴＴＰリクエストには、ジョブ画像のＵＲＬ情報およびダウンロードを許可するためのアクセスキーを含む。Ｓ１２０５では、Ｗｅｂサーバー１０４の通信部３２０が、受信したアクセスキーを検証したうえで、ＰＣ１０３へ暗号化されたジョブ画像を応答する。このように、Ｗｅｂサーバー１０４は、暗号化された検索値を用いることで、暗号化したままのジョブログの検索処理を実現する。

（第２実施例）
第１実施例では、ＰＣ１０３から１以上のＭＦＰ１０２に対して共通の鍵データをインポートする構成としていた。しかしながら、鍵漏洩時のセキュリティリスクを低減するために、デバイス間で異なる共通鍵を使用する構成でもよい。具体的には、デバイス間で同じ共通鍵とデバイス間で異なる共通鍵の２つを使用してジョブ属性を暗号化する。以下に図１３～図１５を用いて、第１実施例との差分を説明する。

図１３は、第２実施例における、前述した図７のＭＦＰ１０２における処理の拡張である。図７との差異は、Ｓ１３０３の処理である。

Ｓ１３０３では、ＭＦＰ１０２の暗号化部３０３は、本処理の対象となるＭＦＰ１０２のデバイスＩＤを、複数のＭＦＰ間で同じ共通鍵である統一鍵を使用して暗号化する。デバイスＩＤは、ＭＦＰ１０２のシリアル番号などの識別情報である。そして、ＭＦＰ１０２の暗号化部３０３は、その他のジョブ属性を各ＭＦＰで異なる共通鍵を使用して暗号化する。

図１４は、第２実施例における、前述した図１０で示すＰＣ１０３における処理の拡張である。図１０との差異は、Ｓ１４０２とＳ１４０３の処理である。

Ｓ１４０３では、ＰＣ１０３の暗号化部３１３は、デバイスＩＤを、統一鍵を使用して暗号化する。そして、暗号化部３１３は、検索に用いる属性値をデバイスごとで異なる共通鍵を使用して暗号化する。このときデバイスＩＤを、統一鍵を使用して暗号化するのは、Ｗｅｂサーバー１０４のデータベース上でデバイスＩＤを主キーとするためである。

つぎに、Ｓ１３０３では、ＰＣ１０３の通信部３２１が、暗号化済みのデバイスＩＤ、および、検索するジョブ属性の値を含む検索要求を、Ｗｅｂサーバー１０４へ送信する。

図１５は、第２実施例におけるジョブ属性検索時のＨＴＴＰメッセージを示す。図１１との差異は図１５（ａ）である。Ｓ１４０３で説明したように、デバイスＩＤと検索値を用いて、Ｗｅｂサーバーの管理対象のデバイス全てを対象に検索処理を実行するための指示が含まれている。

図１５（ａ）の例では、管理対象のＭＦＰ１０２“ＡＢＣ００１”、“ＡＢＣ００２”、“ＡＢＣ００３“について、ユーザー名が”ｕｓｅｒ１“かつジョブ種別がファクス送信であるジョブログを検索することを表している。図１５では、説明のためにデバイスＩＤおよび検索値を平文で表している。しかしながら実際には、デバイスＩＤ”ＡＢＣ００１“、”ＡＢＣ００２“、および”ＡＢＣ００３“は、統一鍵を使用してＦＰＥ暗号化されている。また、検索値の“ｕｓｅｒ１”および”ｓｃａｎｆａｘ”は、デバイス”ＡＢＣ００１“、”ＡＢＣ００２“、”ＡＢＣ００３“の３台でそれぞれ異なる共通鍵を使用して、ＦＰＥ暗号化されている。

第２実施例では、１台のＭＦＰ１０２の共通鍵が漏洩しても、その他のＭＦＰ１０２のジョブ属性が復号されることはない。

（他の実施例）
本発明は、上述した実施形態を適宜組み合わせることにより構成された装置あるいはシステムやその方法も含まれるものとする。

ここで、本発明は、上述した実施形態の機能を実現する１以上のソフトウェア（プログラム）を実行する主体となる装置あるいはシステムである。また、その装置あるいはシステムで実行される上述した実施形態を実現するための方法も本発明の一つである。また、そのプログラムは、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給され、そのシステム或いは装置の１以上のコンピュータ（ＣＰＵやＭＰＵ等）によりそのプログラムが１以上のメモリーに読み出され、実行される。つまり、本発明の一つとして、さらにそのプログラム自体、あるいは該プログラムを格納したコンピューターにより読み取り可能な各種記憶媒体も含むものとする。また、上述した実施形態の機能を実現する回路（例えば、ＡＳＩＣ）によっても、本発明は実現可能である。

１０２ ＭＦＰ
１０３ ＰＣ
１０４ Ｗｅｂサーバー

Claims (8)

1. 複製されてできた２つの第１の鍵のなかの１つを用いて画像処理装置で暗号化された複数のジョブログを管理するサーバーとネットワークを介して通信する情報処理装置であって、
   ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する暗号化手段と、
   前記暗号化された値を含む検索要求を前記サーバーに送信する要求手段と、
   前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得手段と、
   前記暗号化されたジョブログを復号する復号手段と、を有し、
   前記サーバーでは前記検索要求に含まれる前記暗号化された値を用いて、前記管理された複数のジョブログを復号することなく検索処理が実行されることを特徴とする情報処理装置。
2. 前記ジョブログは、属性情報と、対応するジョブで出力された画像データを含み、
   公開鍵と秘密鍵のペアを管理する管理手段と、
   ジョブログに含まれる画像データの暗号化処理のために用いる前記公開鍵を前記画像処理装置にインポートさせるインポート手段と、を有し、
   前記取得手段は、前記暗号化されたジョブログとして、暗号化された画像データを取得し、
   前記復号手段は、前記暗号化された画像データの復号処理で、前記秘密鍵を用いることを特徴とする請求項１に記載の情報処理装置。
3. 前記画像処理装置は、第２の鍵を用いて画像データを暗号化したうえで当該第２の鍵を前記公開鍵で暗号化し、該暗号化された画像データと該暗号化された第２の鍵を前記サーバーに登録し、
   前記取得手段は、前記暗号化された画像データとともに前記暗号化された第２の鍵を取得して、
   前記復号手段は、前記復号処理として、前記暗号化された第２の鍵を秘密鍵で復号し、さらに復号された第２の鍵を用いて前記暗号化された画像データを復号することを特徴とする請求項２に記載の情報処理装置。
4. 前記ジョブログに含まれる属性情報は、前記画像処理装置により前記第１の鍵で暗号化されることを特徴とする請求項２または３に記載の情報処理装置。
5. 複製されてできた２つの第１の鍵のなかの１つを用いて画像処理装置で暗号化された複数のジョブログを管理するサーバーとネットワークを介して通信する情報処理装置における制御方法であって、
   ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する暗号化ステップと、
   前記暗号化された値を含む検索要求を前記サーバーに送信する要求ステップと、
   前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得ステップと、
   前記暗号化されたジョブログを復号する復号ステップと、を有し、
   前記サーバーでは前記検索要求に含まれる前記暗号化された値を用いて、前記管理された複数のジョブログを復号することなく検索処理が実行されることを特徴とする制御方法。
6. 複製されてできた２つの第１の鍵のなかの１つを用いて画像処理装置で暗号化された複数のジョブログを管理するサーバーとネットワークを介して通信する情報処理装置としてのコンピュータに、
   ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する暗号化
   ステップと、
   前記暗号化された値を含む検索要求を前記サーバーに送信する要求ステップと、
   前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得ステップと、
   前記暗号化されたジョブログを復号する復号ステップと、を実行させるためのプログラムであって、
   前記サーバーでは前記検索要求に含まれる前記暗号化された値を用いて、前記管理され
   た複数のジョブログを復号することなく検索処理が実行されることを特徴とするプログラム。
7. 情報処理装置、画像処理装置、およびサーバーを含む情報処理システムであって、
   前記画像処理装置は、
   複製されてできた２つの第１の鍵のなかの１つを用いて、１以上のジョブログを暗号化する第１暗号化手段と、
   前記暗号化された１以上のジョブログを前記サーバーに登録する登録手段と、を有し、
   前記情報処理装置は、
   ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する第２暗号化手段と、
   前記暗号化された値を含む検索要求を前記サーバーに送信する要求手段と、を有し、
   前記サーバーは、
   前記検索要求に含まれる前記暗号化された値を用いて、前記画像処理装置から登録され、管理している１以上のジョブログを復号することなく、当該暗号化された値に対応するジョブログの検索処理を実行する検索手段と、
   前記検索処理の結果を前記情報処理装置に応答する応答手段と、を有し、
   前記情報処理装置は、さらに、
   前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得手段と、
   前記暗号化されたジョブログを復号する復号手段と、
   を有することを特徴とする情報処理システム。
8. 情報処理装置、画像処理装置、およびサーバーを含む情報処理システムにおける制御方法であって、
   前記画像処理装置は、
   複製されてできた２つの第１の鍵のなかの１つを用いて、１以上のジョブログを暗号化する第１暗号化ステップと、
   前記暗号化された１以上のジョブログを前記サーバーに登録する登録ステップと、を有し、
   前記情報処理装置は、
   ジョブログを検索するための値を、もう１つの前記第１の鍵を用いて暗号化する第２暗号化ステップと、
   前記暗号化された値を含む検索要求を前記サーバーに送信する要求ステップと、を有し、
   前記サーバーは、
   前記検索要求に含まれる前記暗号化された値を用いて、前記画像処理装置から登録され、管理している１以上のジョブログを復号することなく、当該暗号化された値に対応するジョブログの検索処理を実行する検索ステップと、
   前記検索処理の結果を前記情報処理装置に応答する応答ステップと、を有し、
   前記情報処理装置は、さらに、
   前記サーバーからの応答に従い、暗号化されたジョブログを取得する取得ステップと、
   前記暗号化されたジョブログを復号する復号ステップと、
   を有することを特徴とする制御方法。

Images