JP7379400B2 - 情報処理システム、サーバ装置、情報処理方法及びプログラム - Google Patents

Description

本発明の実施形態は情報処理システム、サーバ装置、情報処理方法及びプログラムに関する。

一般にサイバーフィジカルシステム（ＣＰＳ）では現場に置かれたデバイスとクラウド上のサーバとが通信・連携することでシステムとしての機能を果たす。その際、サーバは通信相手となるデバイスを認証し、信頼できるデバイスとのみ通信するよう設定されなければならない。そのため、新しいデバイスをＣＰＳに組み入れる際には、サーバが新しいデバイスを信頼できるものとして認証できるように、初期登録作業が行われる。

特開２０１１－４５０１６号公報

本発明が解決しようとする課題は、アクティベーション鍵が万が一漏洩した場合でも、漏洩したアクティベーション鍵を攻撃者が不正に用いることを困難にすることである。

実施形態の情報処理システムは、サーバ装置と、デバイスとを備える。前記サーバ装置は、第１のアクティベーション鍵記憶部と処理部とを備える。第１のアクティベーション鍵記憶部は、前記サーバ装置のサービスを前記デバイスが受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、前記アクティベーション鍵を識別するアクティベーション鍵識別子と、前記アクティベーション鍵で有効にできる前記デバイス鍵の数を示す最大アクティベーション数と、前記アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶する。処理部は、前記デバイスから、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、前記第１のデバイス鍵を第１のデバイス鍵記憶部に記憶する。前記デバイスは、第２のデバイス鍵記憶部と、第２のアクティベーション鍵記憶部と、アクティベーション要求部と、を備える。第２のデバイス鍵記憶部は、前記第１のデバイス鍵を記憶する。第２のアクティベーション鍵記憶部は、前記第１のアクティベーション鍵と、前記第１のアクティベーション鍵識別子とを記憶する。アクティベーション要求部は、前記アクティベーションリクエストを前記サーバ装置に送信する。

第１実施形態の情報処理システムの装置構成の例を示す図。 第１実施形態のサーバ装置の機能構成の例を示す図。 第１実施形態のデバイスの機能構成の例を示す図。 第１実施形態の設定ツールの機能構成の例を示す図。 第１実施形態の初期登録作業の処理シーケンスの例を示す図。 第１実施形態の設定作業の処理シーケンスの例を示す図。 第１実施形態のサービス提供の処理シーケンスの例を示す図。 第１実施形態の不正検出の処理シーケンスの例を示す図。 第２実施形態のサーバ装置の機能構成の例を示す図。 第２実施形態のデバイスの機能構成の例を示す図。 第２実施形態の設定ツールの機能構成の例を示す図。 第２実施形態の設定作業の処理シーケンスの例を示す図。 第１及び第２実施形態のサーバ装置のハードウェア構成の例を示す図。

以下に添付図面を参照して、情報処理システム、サーバ装置、情報処理方法及びプログラムの実施形態を詳細に説明する。

新しいデバイスをＣＰＳに組み入れる際の初期登録作業では、デバイスの識別情報などをサーバに登録する作業が行われる。この登録作業において、デバイスの認証に用いる暗号鍵が不正に漏洩してしまうと、不正なデバイスが正規のデバイスになり替わってサーバに接続できることになる。そのため、初期登録作業においては鍵の漏洩リスクを最小化し、万が一漏洩した場合でもサーバへの不正接続をなるべく早く遮断するための仕組みが重要となる。

以下、アクティベーション鍵が万が一漏洩した場合でも、それを検出し、漏洩した鍵を速やかに無効化するとともに、漏洩した鍵を攻撃者が不正に用いることを困難にする実施形態について説明する。

（第１実施形態）
はじめに、第１実施形態の情報処理システムの装置構成の例について説明する。

［装置構成の例］
図１は第１実施形態の情報処理システム１００の装置構成の例を示す図である。第１実施形態の情報処理システム１００は、サーバ装置１、デバイス２ａ～２ｃ、通信ネットワーク３ａ及び３ｂ、登録ツール４及び設定ツール５を備える。

以下、デバイス２ａ～２ｃを区別しない場合には、単にデバイス２という。同様に、通信ネットワーク３ａ及び３ｂを区別しない場合には、単に通信ネットワーク３という。

サーバ装置１は、デバイス２、登録ツール４及び設定ツール５と通信して様々なサービスを提供する。サーバ装置１は、例えばクラウドサービス上に構築され、インターネットなどの通信ネットワークを介してデバイス２などと通信する。サーバ装置１及びデバイス２などの間の通信はＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などの技術で保護される。デバイス２などはサーバ装置１と通信する際、サーバ装置１の電子証明書を検証することでサーバ装置１を認証する。

デバイス２は、例えばセンサー及びアクチュエータなどの物理世界の状態を計測したり制御したりする機能を備える機器である。また、デバイス２は、通信ネットワーク３を介してサーバ装置１と通信する機能を持つ。デバイス２は、まず、初期登録場所１０１にて登録者１０２によって初期登録作業が施される（図１の例では、デバイス２ａ）。その後、デバイス２は、設置者１０４によって設置場所１０３に設置され（図１の例では、デバイス２ｂ及び２ｃ）、サーバ装置１と連携してその機能を果たす。

通信ネットワーク３ａは、サーバ装置１と、登録ツール４及びデバイス２ａと、が通信するためのネットワークである。通信ネットワーク３ａは、例えばインターネット、初期登録場所１０１のＬＡＮ（ローカルエリアネットワーク）、及び、それらをつなぐアクセスネットワークなどを含む。

また、通信ネットワーク３ｂは、サーバ装置１と、設定ツール５並びにデバイス２ｂ及び２ｃと、が通信するためのネットワークである。同様に、通信ネットワーク３ｂは、例えばインターネット、設置場所１０３のＬＡＮ、及び、それらをつなぐアクセスネットワークなどを含む。

初期登録場所１０１は、登録者１０２がデバイス２ａの初期登録作業を行う場所である。例えば、初期登録場所１０１は、デバイス２ａを製造する工場である。登録者１０２は、デバイス２ａの初期登録作業を行う作業者である。登録者１０２はサーバ装置１にユーザアカウントを持ち、アクティベーション鍵ペアの発行及び閲覧の権限を持つ。初期登録作業では、登録ツール４が、登録者１０２の操作に基づいて、デバイス２ａにアクティベーション鍵（後述）をインストールする。

登録ツール４は、例えば登録者１０２が初期登録作業で使うツール（例えばノートＰＣなど）である。図１の例では、登録ツール４は、サーバ装置１及びデバイス２ａと通信し、登録者１０２の操作に従って初期登録作業を実施する。

設置場所１０３は、デバイス２が最終的に設置される場所である。設置場所１０３は、例えば、登録者１０２の顧客が所有する家屋及び施設等である。図１の例では、デバイス２ｂ及び２ｃが、サーバ装置１と連携して、設置場所１０３（物理世界）の状態の計測及び制御をする。

設置者１０４は、デバイス２を設置場所１０３に設置する作業者である。設置者１０４は、例えば登録者１０２から委託を受けた者である。設置者１０４はサーバ装置１にユーザアカウントを持ち、後述するアクティベーショントークンの発行、及び、不正検出時のリボケーション（漏洩した鍵の無効化）等の権限を持つ。図１の例では、設置者１０４は、登録者１０２及び当該登録者１０２の顧客等によって指定された場所にデバイス２ｂ及び２ｃを置き、設定ツール５を用いてデバイス２ｂ及び２ｃに設定作業を施す。設定作業が完了すると、デバイス２ｂ及び２ｃはサーバ装置１からサービスを受けられるようになる。

設定ツール５は、例えば設置者１０４が設定作業で用いるツール（例えばノートＰＣなど）である。設定ツール５はサーバ装置１及びデバイス２ｂ及び２ｃと通信し、設置者１０４の操作に従って設定作業を実施する。

［サーバ装置の機能構成の例］
図２は第１実施形態のサーバ装置１の機能構成の例を示す図である。第１実施形態のサーバ装置１は、通信部１１、認証部１２、ユーザアカウント記憶部１３、アクティベーション鍵記憶部１４、デバイス鍵記憶部１５、発行部１６、アクティベーショントークン記憶部１７、サーバ鍵記憶部１８及び処理部１９を備える。

通信部１１は、通信先とメッセージの送受信をする。例えば、通信部１１は、通信ネットワーク３を通じてデバイス２、登録ツール４及び設定ツール５へメッセージを送信する。また例えば、通信部１１は、通信ネットワーク３を通じてデバイス２、登録ツール４及び設定ツール５からメッセージを受信する。

認証部１２は、通信部１１で受信されたメッセージを認証する。つまり、認証部１２は、そのメッセージを送信した主体を識別し、その結果に応じてメッセージの処理の方法、及び、処理の可否等を決定する。認証部１２は、ユーザアカウント記憶部１３、アクティベーション鍵記憶部１４及びデバイス鍵記憶部１５に記録された情報に基づいて受信メッセージを認証する。

ユーザアカウント記憶部１３は、サーバ装置１の提供する機能を使うことのできるユーザの情報を記憶する。ユーザアカウント記憶部１３には、ユーザアカウントごとに、例えば以下のような情報が記録される。
・ユーザ識別子
・ユーザの電子メールアドレス
・ユーザのパスワード（暗号化又はハッシュ関数を施したパスワードデータ）
・ユーザ種別（登録者又は設置者）

ユーザアカウント記憶部１３にアカウント情報を持つユーザは、ユーザ識別子、電子メールアドレス及びパスワード等の情報を用いてサーバ装置１にログインし、ユーザ種別に応じた権限の範囲内でサーバ装置１の機能を使うことができる。

アクティベーション鍵記憶部１４は、アクティベーション鍵を記憶する。アクティベーション鍵は、デバイス２の設定作業において、当該デバイス２のデバイス鍵をサーバ装置１上で有効化（アクティベート）するために用いられる暗号鍵である。アクティベーション鍵（秘密鍵及び公開鍵のペア）は、初期登録作業において登録ツール４によってデバイス２にインストールされる。

アクティベーション鍵記憶部１４には、アクティベーション鍵ごとに、例えば以下のような情報が記録される。
・アクティベーション鍵識別子
・アクティベーション鍵の秘密鍵データ
・アクティベーション鍵の公開鍵データ
・最大アクティベーション数：このアクティベーション鍵で有効化できるデバイス鍵の最大数
・現在アクティベーション数：このアクティベーション鍵で現在までに有効化させたデバイス鍵の数
・（このアクティベーション鍵によって有効化された）デバイス鍵の識別子リスト

デバイス鍵記憶部１５は、デバイス鍵を記憶する。デバイス鍵はデバイス２ごとに異なる暗号鍵であり、設定作業の完了後、デバイス２がサーバ装置１のサービスを受ける際に使用される。デバイス鍵（公開鍵）は設定作業によってデバイス２からサーバ装置１に送られ、有効化される。デバイス鍵記憶部１５には、例えば以下のような情報が記録される。
・デバイス鍵識別子
・デバイス鍵の公開鍵データ
・デバイス鍵の有効期限
・このデバイス鍵を有効化する際に用いられたアクティベーション鍵の識別子

発行部１６は、設定作業においてアクティベーショントークンを新規発行する。アクティベーショントークンは、設置者１０４が、あるデバイス鍵のアクティベーションを認可したことの証である。

アクティベーショントークン記憶部１７は、発行されたアクティベーショントークンを記憶する。アクティベーショントークン記憶部１７は、アクティベーショントークンごとに、例えば以下のような情報を記録する。
・アクティベーショントークン文字列
・対応するアクティベーション鍵識別子
・アクティベーショントークンの有効期限

サーバ鍵記憶部１８は、サーバ装置１が発行するメッセージに認証コードを付与するために使われるサーバ鍵を記憶する。例えば認証コードが電子署名である場合、サーバ鍵は、公開鍵及び秘密鍵のペアである。

処理部１９は、認証部１２によって認証を受けたメッセージを送信元から受信し、その受信メッセージで示されるリクエストを処理する。処理部１９は、必要に応じて、受信メッセージに対する返信メッセージを作成し、メッセージの送信元に返信する。

［デバイスの機能構成の例］
図３は第１実施形態のデバイス２の機能構成の例を示す図である。第１実施形態のデバイス２は、通信部３１、アクティベーション鍵記憶部３２、アクティベーショントークン記憶部３３、登録ツール受付部３４、設定ツール受付部３５、デバイス鍵記憶部３６、無線ＬＡＮ認証情報記憶部３７、アクティベーション要求部３８、サービス要求部３９及びデバイス識別タグ４０を備える。

通信部３１は、通信ネットワーク３を介して、サーバ装置１とメッセージの送受信を行う。

アクティベーション鍵記憶部３２は、デバイス２のデバイス鍵を有効化するために使われるアクティベーション鍵ペア（公開鍵及び秘密鍵）と、アクティベーション鍵を識別するアクティベーション鍵識別子と、を記憶する。

アクティベーショントークン記憶部３３は、デバイス２のデバイス鍵を有効化するために使われるアクティベーショントークンを記憶する。

登録ツール受付部３４は、初期登録作業において登録ツール４からアクティベーション鍵ペアを受け取り、当該アクティベーション鍵ペアをアクティベーション鍵記憶部３２に記憶する。

設定ツール受付部３５は、設定作業において設定ツール５からアクティベーショントークンを受け取り、当該アクティベーショントークンをアクティベーショントークン記憶部３３に記憶する。

デバイス鍵記憶部３６は、デバイス２のデバイス鍵ペア（公開鍵及び秘密鍵）を記憶する。

無線ＬＡＮ認証情報記憶部３７は、設置場所１０３に展開される無線ＬＡＮのアクセス認証情報（例えば、ＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ）及びパスワード）を記憶する。

アクティベーション要求部３８は、設定作業時にサーバ装置１にアクティベーションリクエストを送り、デバイス２のデバイス鍵を有効化する。アクティベーションリクエストには、アクティベーション鍵による認証コードが付与される。認証コードは、例えばアクティベーション鍵（秘密鍵）による電子署名である。なお、アクティベーション鍵が共通鍵である場合は、認証コードは、例えば当該共有鍵によるメッセージ認証コード（ＭＡＣ：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）である。

また、アクティベーションリクエストには、デバイス鍵（秘密鍵）による電子署名が付与される。アクティベーション要求部３８は、アクティベーションリクエストに当該電子署名を含めることで、デバイス２がデバイス鍵（秘密鍵）を所有していることを証明する。

サービス要求部３９は、設定作業が行われた後、サーバ装置１にサービスリクエストを送る。サービスリクエストにはデバイス鍵による署名が付与される。

デバイス識別タグは、デバイス固有識別子を示すタグである。デバイス識別タグは、例えば、識別子情報を印字したラベル、識別子情報をＱＲコード（登録商標）に印刷したラベル、及び、識別子情報を記録したＲＦＩＤタグ等である。

［設定ツールの機能構成］
図４は第１実施形態の設定ツール５の機能構成の例を示す図である。第１実施形態の設定ツール５は、サーバ通信部５１、デバイス通信部５２、記憶部５３、読取部５４及び処理部５５を備える。

サーバ通信部５１は、通信ネットワーク３を介してサーバ装置１と通信する。サーバ通信部５１により送信されるメッセージには、設定ツールのユーザ（例えば設置者１０４）の認証情報（例えばユーザ識別子及びパスワード）が含まれていてもよい。

デバイス通信部５２は、設定作業が行われるときに、デバイス２と通信する。

記憶部５３は、設置対象のデバイス２に関する情報を記録する。記憶部５３は、設置デバイスリストを記憶する。設置デバイスリストは、設置対象のデバイス２ごとに、例えば以下の情報を含む。

・設置対象のデバイス２のデバイス固有識別子
・設置対象のデバイス２にインストールされているアクティベーション鍵の識別子

読取部５４は、設置対象のデバイス２の持つデバイス識別タグを読み取る。読取部５４は、例えばＱＲコードを読み取るカメラ及びＲＦＩＤ（ｒａｄｉｏ ｆｒｅｑｕｅｎｃｙ ｉｄｅｎｔｉｆｉｅｒ）リーダ等である。

処理部５５は、デバイス識別タグと、設置デバイスリストとを照合する。

第１実施形態の情報処理システム１００に新たなデバイス２を追加する場合、まず登録ツール４が、登録者１０２の操作に基づく初期登録作業を実施する。初期登録作業の実施前の時点において、デバイス２はアクティベーション鍵を持たず、サーバ装置１はそのデバイス２のデバイス鍵を持たない。なお、デバイス２は初期登録作業の実施前の時点で自身のデバイス鍵を持っていてもよいし、後述する設定作業時に初めてデバイス鍵を生成してもよい。

［初期登録作業の処理例］
図５は第１実施形態の初期登録作業の処理シーケンスの例を示す図である。図５の処理シーケンスではサーバ装置１が新たなアクティベーション鍵を発行し、登録ツール４が、登録者１０２の操作に基づいて、当該アクティベーション鍵をデバイス２にインストールする。

はじめに、登録ツール４が、登録者１０２の操作に応じて、サーバ装置１にアクティベーション鍵作成リクエストを送る（ステップＳ１）。なお、登録ツール４及びサーバ装置１は通信ネットワーク３ａを介して通信する。

次に、サーバ装置１の通信部１１が、アクティベーション鍵作成リクエストを受信すると、認証部１２が、当該アクティベーション鍵作成リクエストが登録者１０２によるものであるかを認証する（ステップＳ２）。この認証には、例えばユーザアカウント記憶部１３に記憶されたユーザ識別子及びパスワードを用いたパスワード認証を用いてもよい。また例えば、この認証には、ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｆｌｏｗ （ＲＦＣ ６７４９）で予め取得したトークンによる認証を用いてもよい。

次に、認証部１２によってリクエストの正当性が確認されると、処理部１９は新しいアクティベーション鍵（秘密鍵及び公開鍵のペア）をランダムに生成し、アクティベーション鍵記憶部１４に記憶する（ステップＳ３）。その際、処理部１９は、最大アクティベーション数、現在アクティベーション数はともに０にセットし、デバイス鍵の識別子リストは空のリストとして初期化する。

次に、通信部１１は、ステップＳ３の処理によって生成されたアクティベーション鍵を登録ツール４に返信する（ステップＳ４）。

次に、登録ツール４は、サーバ装置１から受信したアクティベーション鍵をデバイス２に転送することにより、当該アクティベーション鍵をデバイス２にインストールする（ステップＳ５）。なお、登録ツール４及びデバイス２は、初期登録作業中に有効な通信方法を介して通信する。初期登録作業中に有効な通信方法は、例えば初期登録場所１０１に存在するＬＡＮ、Ｂｌｕｅｔｏｏｔｈによる無線通信、ＲＳ２３２及びＪＴＡＧ等による通信、赤外線通信、並びに、超音波通信等である。これらの通信方法は、初期登録作業中のみ有効になるようにしてもよい。

次に、デバイス２のアクティベーション鍵記憶部３２は、登録ツール４から受信されたアクティベーション鍵を記憶する（ステップＳ６）。

なお、上記処理シーケンスでは、サーバ装置１が新たなアクティベーション鍵を作成したが、登録ツール４が、既存のアクティベーション鍵をサーバ装置１からダウンロードしてデバイス２にインストールしてもよい。その場合、登録ツール４は、例えば登録者１０２の操作に応じて、アクティベーション鍵取得リクエストをサーバ装置１に送信する。サーバ装置１は、アクティベーション鍵取得リクエストを認証した後、当該アクティベーション鍵取得リクエストで指定されたアクティベーション鍵を、アクティベーション鍵記憶部１４から読み出し、登録ツール４に返信する。

また、上記処理シーケンスでは新しいアクティベーション鍵を生成する際、最大アクティベーション数を０に初期化したが、０よりも大きな数として初期化してもよい。初期登録作業によってアクティベーション鍵をインストールされたデバイス２は設置場所１０３に輸送され、設置者１０４によって所定の位置に設置された後、設定作業が施される。その際、設置者１０４の使う設定ツール５の記憶部５３には、あらかじめ設置対象とするデバイス２のデバイス固有識別子とそのデバイス２の持つアクティベーション鍵識別子のリストとが記憶される。記憶部５３にこれらの情報を格納する作業は、設置者１０４自身か、設置者１０４に設置作業を依頼する者（例えば登録者１０２）が行う。

［設定作業の処理例］
図６は第１実施形態の設定作業の処理シーケンスの例を示す図である。はじめに、設定ツール５の読取部５４が、設置者１０４の操作に応じて、設置対象のデバイス２のデバイス識別タグを読み取る（ステップＳ１１）。

次に、処理部５５が、ステップＳ１１の処理により読み取られたデバイス識別タグから特定されるデバイス２が、設置対象であることを確認する（ステップＳ１２）。具体的には、処理部５５は、デバイス識別タグから読み取ったデバイス固有識別子と、記憶部５３の設置デバイスリストに含まれるデバイス固有識別子とを照合する。設置デバイスリストに対応するエントリが存在しない場合、その旨を設置者１０４に通知し、設置者１０４は、設置作業を中止する。処理部５５は、対応するエントリが存在する場合、設置対象のデバイス２のアクティベーション鍵識別子を記憶部５３から読み出す。

次に、サーバ通信部５１は、サーバ装置１にアクティベーショントークン発行リクエストを送信する（ステップＳ１３）。アクティベーショントークン発行リクエストには設置対象のデバイス２のアクティベーション鍵識別子、及び、設置者１０４の認証情報が含まれる。

次に、サーバ装置１の通信部１１は、アクティベーショントークン発行リクエストを設定ツール５から受信すると、それが設置者１０４によるものであるかを認証する（ステップＳ１４）。この認証には、アクティベーショントークン発行リクエストに含まれる認証情報（例えばユーザ識別子及びパスワード）と、ユーザアカウント記憶部１３に記録された認証情報（例えばユーザ識別子及びパスワード）とを用いたパスワード認証を用いてもよいし、ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｆｌｏｗで予め取得したトークンによる認証を用いてもよい。認証部１２は、認証が不合格となった場合、アクティベーショントークン発行リクエストを破棄し、通信部１１が、設定ツール５にエラーを返信する。

次に、処理部１９が、認証部１２によってアクティベーショントークン発行リクエストの正当性が確認されると、当該アクティベーショントークン発行リクエストに含まれるアクティベーション鍵識別子に該当するアクティベーション鍵記憶部１４のエントリの最大アクティベーション数に１を加算する（ステップＳ１５）。本実施形態では、この時点で当該エントリの最大アクティベーション数は１、現在アクティベーション数は０となる。

次に、発行部１６は、アクティベーショントークンを作成し、当該アクティベーショントークンを設定ツール５へ返信する（ステップＳ１６）。具体的には、処理部１９はアクティベーショントークン記憶部１７に新しいエントリを作成し、アクティベーショントークン文字列フィールドにランダム生成した文字列をセットする。処理部１９は、当該エントリの「対応するアクティベーション鍵識別子」フィールドには、設定ツール５から受信したアクティベーショントークン発行リクエストに含まれるアクティベーション鍵識別子をセットする。処理部１９は、有効期限フィールドには現在時刻から適切な時間（例えば、１０分）だけ未来の時刻をセットする。処理部１９は、エントリの作成が完了したら、アクティベーショントークン（アクティベーショントークン文字列フィールドにランダム生成した文字列）を設定ツール５に返信する。

次に、設定ツール５のサーバ通信部５１が、サーバ装置１からアクティベーショントークンを受信すると、デバイス通信部５２が、当該アクティベーショントークンをデバイス２に入力する（ステップＳ１７）。ここでは、設定ツール５及びデバイス２は、初期登録作業のときと同様の方法で通信を行う。デバイス２はアクティベーショントークンを自身のアクティベーショントークン記憶部１７に記憶する。

次に、デバイス通信部５２は、設置場所１０３に展開されている無線ＬＡＮアクセス認証情報（例えば、ＳＳＩＤ及びパスワード）をデバイス２に入力する（ステップＳ１８）。無線ＬＡＮアクセス認証情報は、設定ツール５にあらかじめ記憶されていてもよいし、設置者１０４が設定ツール５に無線ＬＡＮアクセス認証情報を入力してもよい。デバイス２は、設定ツール５から受信した無線ＬＡＮアクセス認証情報を無線ＬＡＮ認証情報記憶部３７に記憶する。これにより、デバイス２は設置場所１０３の無線ＬＡＮを介してサーバ装置１と通信できるようになる。

次に、デバイス２の通信部３１は、アクティベーションリクエストをサーバ装置１に送り、デバイス２のデバイス鍵の有効化を要求する（ステップＳ１９）。デバイス２はアクティベーションリクエストに以下の情報を含める。
・デバイス鍵（公開鍵）
・アクティベーション鍵識別子
・アクティベーショントークン文字列
・このアクティベーションリクエストを作成した時刻
・ランダムに生成したリクエスト識別文字列
・以上の全ての情報についてデバイス鍵（秘密鍵）で作成した電子署名
・以上の全ての情報についてアクティベーション鍵（秘密鍵）で作成した電子署名

次に、サーバ装置１の通信部１１は、デバイス２からアクティベーションリクエストを受信すると、当該アクティベーションリクエストの正当性を認証する（ステップＳ２０）。具体的には、認証部１２は、まず、アクティベーションリクエストに記載されたアクティベーション鍵識別子に該当するアクティベーション鍵（公開鍵）をアクティベーション鍵記憶部１４から読み出し、その公開鍵でアクティベーションリクエストに付与された認証コード（第１実施形態では、電子署名）を検証する。認証部１２は、検証の結果、アクティベーションリクエストが不正なものだと判定された場合、アクティベーションリクエストを破棄し、処理を中止する。

次に、処理部１９が、デバイス２から受信されたアクティベーションリクエストに含まれるアクティベーショントークンの有効性を検証する（ステップＳ２１）。具体的には、処理部１９は、アクティベーションリクエストに含まれるアクティベーショントークンを用いて、アクティベーショントークン記憶部１７を照合し、該当するエントリを取り出す。処理部１９は、該当エントリに記載された有効期限が現在時刻よりも後の時刻であることを検証する。更に、処理部１９は、該当エントリに記載されたアクティベーション鍵識別子と受信リクエストに記載されたアクティベーション鍵識別子とが同一であることを検証する。

なお、処理部１９は、更に他の検証処理を行ってもよい。処理部１９は、例えば、アクティベーションリクエストに記載される作成時刻が現在時刻に十分に近い過去の時刻であることを更に検証してもよい。また例えば、処理部１９は、アクティベーションリクエストのリクエスト識別文字列が一定期間内に初めて受信されるものであることを更に検証してもよい。また例えば、処理部１９は、アクティベーションリクエストに含まれるデバイス鍵（公開鍵）がデバイス鍵記憶部１５に未登録であることを更に検証してもよい。また例えば、処理部１９は、アクティベーションリクエストに含まれる電子署名を、アクティベーションリクエストに含まれるデバイス鍵（公開鍵）で検証できることを、更に検証してもよい。

処理部１９は、処理部１９で行われる検証処理のうち、いずれか一つでも不合格となった場合、アクティベーションリクエストを破棄し、処理を中止する。

次に、処理部１９は、上記の検証によってアクティベーションリクエストの正当性を確認すると、当該アクティベーションリクエストに記載されたアクティベーション鍵識別子に該当するエントリをアクティベーション鍵記憶部１４から読み出し、その現在アクティベーション数が最大アクティベーション数未満であることを検証する（ステップＳ２２）。現在アクティベーション数が最大アクティベーション数未満でない場合、処理部１９は、アクティベーション数エラーレスポンスを作成し、通信部１１が、当該アクティベーション数エラーレスポンスをデバイス２に返信する（詳細は後述）。

次に、現在アクティベーション数が最大アクティベーション数未満の場合、サーバは現在アクティベーション数に１を加算し、アクティベーション鍵記憶部１４を更新する（ステップＳ２３）。本実施形態では、この時点で最大アクティベーション数は１、現在アクティベーション数は１となる。

次に、処理部１９は、アクティベーションリクエストに含まれるデバイス鍵（公開鍵）のエントリをデバイス鍵記憶部１５に新規登録する（ステップＳ２４）。その際、処理部１９は、新規登録エントリのデバイス鍵識別子を新たに発行し、有効期限は現在時刻から適切な時間だけ先の日時（例えば、１週間後）にセットし、「デバイス鍵を有効化する際に用いられたアクティベーション鍵の識別子」フィールドには、アクティベーションリクエストに含まれるアクティベーション鍵識別子をセットする。

次に、通信部１１が、新規登録したデバイス鍵の登録情報（デバイス鍵識別子及び有効期限）をデバイス２に返信する（ステップＳ２５）。

上記処理シーケンスでは、設定ツール５はアクティベーショントークンと、設置場所１０３の無線ＬＡＮアクセス認証情報をデバイス２に入力する際に、登録ツール４と同様の方法でデバイス２と通信した。別の方法としては、設置者１０４が、デバイス２の備える入出力装置を直接操作してこれらの情報を伝えてもよい。例えば、デバイス２がキーボードとディスプレイとを備えている場合、設置者１０４がアクティベーショントークンを示す文字列を、そのキーボードで直接、デバイス２に入力してもよい。その場合、設定ツール５は、入力されたアクティベーショントークンを示す文字列をディスプレイなどに表示して設置者１０４に提示する。同様に、設置場所１０３の無線ＬＡＮアクセス認証情報も、設置者１０４がデバイス２のキーボードで直接入力してもよい。

また、上記処理シーケンスでは、処理部１９は、設定ツール５から送信されたアクティベーショントークン発行リクエストに応答して、アクティベーショントークン記憶部１７に新規エントリを作成し、その新規エントリに対応するアクティベーショントークンを設定ツール５に返信していた。別の方法としては、アクティベーショントークンを示す文字列自体に、設定ツール５で必要な情報を埋め込んでもよい。例えば、処理部１９は、アクティベーショントークン発行リクエストに含まれるアクティベーション鍵識別子、及び、アクティベーショントークンの有効期限に対し、サーバ鍵記憶部１８に記憶されたサーバ鍵（秘密鍵）で電子署名を付与したデータを生成してもよい。そして、通信部１１が、処理部１９により生成されたデータを、文字列にエンコードし、当該文字列をアクティベーショントークンとして設定ツール５に送ってもよい。その際のエンコードにはＪＳＯＮ Ｗｅｂ Ｔｏｋｅｎ （ＲＦＣ ７５１９）などの方式を使ってもよい。その後、サーバ装置１が、デバイス２からアクティベーションリクエストを受信した際には、当該アクティベーションリクエストに含まれるアクティベーショントークンの電子署名を、サーバ鍵（公開鍵）で検証し、トークン内部に含まれるアクティベーション鍵識別子及び有効期限を用いて上記の処理シーケンスを実施すればよい。

上記図６の設定作業が完了すると、デバイス２はサーバ装置１からサービスの提供を受けられるようになる。

［サービス提供の処理例］
図７は第１実施形態のサービス提供の処理シーケンスの例を示す図である。はじめに、デバイス２のサービス要求部３９は、サービスリクエストを作成し、サーバ装置１に送る（ステップＳ３１）。サービスリクエストは以下の情報を含む。
・要求するサービス固有の情報
・デバイス鍵識別子
・サービスリクエストを作成した時刻
・ランダムに生成したリクエスト識別文字列
・以上の全ての情報についてデバイス鍵（秘密鍵）で作成した電子署名

次に、サーバ装置１の認証部１２は、デバイス２からサービスリクエストを受信すると、当該サービスリクエストに含まれるデバイス鍵識別子を取得し、当該デバイス鍵識別子によりデバイス鍵記憶部１５を照合し、対応するエントリを読み出す（ステップＳ３２）。

次に、認証部１２は、ステップＳ３２の処理により読み出されたエントリに含まれる有効期限が現在時刻よりも後の時刻であることを検証する（ステップＳ３３）。有効期限が現在時刻よりも後の時刻でない場合、サーバ装置１は処理を中止し、通信部１１が、デバイス２にエラーメッセージを返信する。

次に、有効期限が現在時刻よりも後の時刻である場合、認証部１２は、当該エントリから取得したデバイス鍵（公開鍵）を用いて、ステップＳ３１で送信されたサービスリクエストの電子署名を検証する（ステップＳ３４）。なお、認証部１２は、さらに他の検証を行ってもよい。例えば、認証部１２は、サービスリクエストに含まれる作成時刻が、現在時刻に十分に近い過去の時刻であることを更に検証してもよい。また例えば、認証部１２は、サービスリクエストに含まれるリクエスト識別文字列が、一定期間内に初めて受信されるリクエスト識別文字列であることを更に検証してもよい。いずれか一つの検証が不合格となった場合、サーバ装置１は処理を中止し、通信部１１が、デバイス２にエラーメッセージを返信する。

次に、処理部１９が、ステップＳ３１で送信されたサービスリクエストに含まれるサービス固有情報を読み取り、要求されたサービスを実施する（ステップＳ３５）。

次に、通信部１１は、ステップＳ３５で実施しれたサービスの結果をサービスレスポンスとしてデバイス２に返信する（ステップＳ３６）。

上記のように、サービスリクエストは有効期限内のデバイス鍵による電子署名を用いて認証される。

サーバ装置１はデバイス２に提供するサービスの一つとして、デバイス鍵の更新サービスを持つ。デバイス鍵を更新する際、デバイス２はまず新しいデバイス鍵ペアを生成し、新しいデバイス鍵（公開鍵）と新しいデバイス鍵（秘密鍵）による電子署名とを含む更新リクエストを作り、さらに古いデバイス鍵による電子署名を付与してサーバ装置１に送る。サーバ装置１は上記シーケンスに従い、古いデバイス鍵を用いて更新リクエストを認証する。また、サーバ装置１は新しいデバイス鍵（秘密鍵）による電子署名を、受信した新しいデバイス鍵（公開鍵）で検証する。これらの検証に合格した場合、サーバ装置１は新しいデバイス鍵（公開鍵）で古いデバイス鍵を差し替えるようにデバイス鍵記憶部１５を更新する。

本実施形態の初期登録作業、設定作業及びサービス提供の処理シーケンスは以下の特徴によりセキュリティを高めている。
・サービス提供の認証に用いるデバイス鍵はデバイス２ごとに異なる。これにより、デバイス鍵が漏洩した際の影響を抑えられる。
・デバイス鍵（秘密鍵）は常にデバイス内部にあり、外部とやり取りされない。これにより、デバイス鍵の漏洩の可能性が抑えられる。
・デバイス２がデバイス鍵を有効化するためにはアクティベーショントークンが必要であり、アクティベーショントークンはサーバ装置１にユーザアカウントを持つ設置者１０４が発行する必要がある。これにより、サーバ装置１にアカウントを持たない攻撃者がアクティベーション鍵を盗み出した場合でも、不正なデバイス鍵の有効化を防ぐことができる。
・アクティベーション鍵ごとに、有効化できるデバイス鍵（アクティベーション数）の上限が管理されており、上限を超える有効化はできない。これにより、攻撃者がアクティベーション鍵及びアクティベーショントークンを盗み出した場合でも、不正なデバイス鍵の有効化を防ぐことができる。
・アクティベーション鍵の最大アクティベーション数は、アクティベーショントークン発行時になって初めて加算される。これにより、新規デバイス鍵の有効化を実施可能な時間を短くする。これは攻撃者が不正なデバイス鍵を有効化できる時間を短くすることにつながる。

上記のように、本実施形態を実施した情報処理システム１００では、攻撃者が不正なデバイス鍵を有効化するのは極めて困難であるが、依然として理論的には可能である。しかしながら、本実施形態では、そのような場合でもデバイス鍵の不正な有効化を検出し、速やかに対応できる。

［不正検出の処理の例］
図８は第１実施形態の不正検出の処理シーケンスの例を示す図である。図８の例は、攻撃者１０５が不正デバイス２ｅを有効化させたことを検出する処理シーケンスを示す。

前提として、攻撃者は何らかの方法で正規デバイス２ｄにインストールされたアクティベーション鍵ペアを盗み出しており、自身の持つ不正デバイス２ｅにインストール済みであるとする。その状態で、正規デバイス２ｄの設定作業が開始され、設定ツール５がアクティベーショントークン発行リクエストを送信したとする。

はじめに、サーバ装置１の通信部１１が、図６に記載の手続きでアクティベーショントークン発行リクエストを検証、処理し、アクティベーショントークンを返信する（ステップＳ４１）。ここで、攻撃者１０５は何らかの方法で設定ツール５がサーバ装置１から受信したアクティベーショントークンを盗み出す（ステップＳ４２）。これは例えば、設定ツール５にあらかじめスパイウェアをインストールしておくことで実現される。攻撃者１０５は、ステップＳ４２で盗んだアクティベーショントークンを不正デバイス２ｅにインストールする。

次に、不正デバイス２ｅは、攻撃者１０５が盗み出したアクティベーション鍵及びアクティベーショントークンと、不正デバイス２ｅのデバイス鍵を用いてアクティベーションリクエストを作成し、当該アクティベーションリクエストをサーバ装置１に送る（ステップＳ４３）。

次に、サーバ装置１は、図６に記載の手続きでアクティベーションリクエストを認証及び検証する（ステップＳ４４）。ここで、不正デバイス２ｅは正規デバイス２ｄに対して発行されたアクティベーション鍵及びアクティベーショントークンを盗み出しているため、サーバ装置１はこの時点で不正を検出できない。

次に、サーバ装置１の処理部１９が、当該アクティベーション鍵の現在アクティベーション数に１を加算する（ステップＳ４５）。本実施形態では、この時点で当該アクティベーション鍵の最大アクティベーション数は１、現在アクティベーション数は１となる。

次に、処理部１９は、ステップＳ４３で、不正デバイス２ｅから送信されたアクティベーションリクエストに含まれるデバイス鍵（公開鍵）のエントリをデバイス鍵記憶部１５に登録し、当該エントリの登録時に発行したデバイス鍵識別子などの情報を不正デバイス２ｅに返信する（ステップＳ４６）。

その後、設定ツール５が、図６に記載の手続きでアクティベーショントークン及び設置場所１０３の無線ＬＡＮ認証情報などを正規デバイス２ｄに入力する（ステップＳ４７）。

正規デバイス２ｄは、図６に記載の手続きでアクティベーションリクエストをサーバ装置１に送信する（ステップＳ４８）。

次に、サーバ装置１の認証部１２及び処理部１９は、ステップＳ４８で送信されたアクティベーションリクエストを認証及び検証する（ステップＳ４９）。検証は合格となり、サーバ装置１は処理を継続する。

次に、サーバ装置１は、図６に記載の手続きに従い、現在アクティベーション数が最大アクティベーション数未満であることを検証する（ステップＳ５０）。図８の例の場合、不正デバイス２ｅが既に自身のデバイス鍵を有効化しているため、現在アクティベーション数は最大アクティベーション数と同じ値になっている。そのため、この検証は不合格となる。

次に、処理部１９が、アクティベーション数エラーレスポンスを作成し、正規デバイス２ｄに返信する（ステップＳ５１）。アクティベーション数エラーレスポンスは以下の情報を含む。
・エラーが発生したアクティベーション鍵識別子
・エラーが発生したアクティベーショントークン文字列
・本レスポンスの有効期限（例えば、現在時刻より３０分先の時刻）
・以上の全ての情報についてサーバ鍵（秘密鍵）で作成した電子署名

次に、正規デバイス２ｄが、サーバ装置１から受信したアクティベーション数エラーレスポンスを設定ツール５に転送する（ステップＳ５２）。転送方法は、例えば設定ツール５がアクティベーショントークンなどを正規デバイス２ｄに入力する際に用いられた通信方法と同じでもよい。また例えば、転送方法は、正規デバイス２ｄの備えるディスプレイにＱＲコードとしてアクティベーション数エラーレスポンスを表示し、設定ツール５のカメラでそれを読み取るなどの方法でもよい。また、その際に正規デバイス２ｄは、設置者１０４の注意を喚起し、アクティベーション数エラーレスポンスの読み取りを促してもよい。具体的には、正規デバイス２ｄは、スピーカーから音を鳴らしたり、ＬＥＤを点滅させたりするなどして設置者１０４の注意を喚起してもよい。

次に、設定ツール５のサーバ通信部５１が、サーバ装置１にリボケーションリクエストを送る（ステップＳ５３）。リボケーションリクエストは、正規デバイス２ｄの持つアクティベーション鍵が攻撃者１０５によって盗まれたとして、そのアクティベーション鍵及びそれによって有効化された全てのデバイス鍵を無効化することをサーバ装置１に要求するリクエストである。リボケーションリクエストは正規デバイス２ｄから転送されたアクティベーション数エラーレスポンス、及び、設置者１０４の認証情報を含む。

次に、サーバ装置１の通信部１１は、設定ツール５からリボケーションリクエストを受信すると、認証部１２が、それが設置者１０４によるものであることを認証する（ステップＳ５４）。この認証には、リボケーションリクエストに含まれる認証情報（例えばユーザ識別子及びパスワード）と、ユーザアカウント記憶部１３に記録された認証情報（例えばユーザ識別子及びパスワード）とを用いたパスワード認証を用いてもよいし、ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｆｌｏｗで予め取得したトークンによる認証を用いてもよい。認証部１２は、認証が不合格となった場合、リボケーションリクエストを破棄し、通信部１１が、設定ツール５にエラーを返信する。

次に、サーバ装置１の処理部１９が、リボケーションリクエストに含まれるアクティベーション数エラーレスポンスの正当性を検証する（ステップＳ５５）。具体的には、処理部１９は、まず、アクティベーション数エラーレスポンスに付与された電子署名が、サーバ装置１のサーバ鍵によるものであることを検証する。次に、処理部１９は、アクティベーション数エラーレスポンスの有効期限が現在時刻よりも後の時刻であることを検証する。これらのいずれかの検証が不合格となった場合、サーバ装置１はリボケーションリクエストを破棄し、通信部１１が、設定ツール５にエラーを返信する。

次に、処理部１９は、ステップＳ５５の検証が合格の場合、漏洩したアクティベーション鍵を無効化する（ステップＳ５６）。具体的には、処理部１９は、アクティベーション数エラーレスポンスに含まれるアクティベーション鍵識別子を持つエントリを、アクティベーション鍵記憶部１４から削除する。また、処理部１９は、当該アクティベーション鍵識別子を持つデバイス鍵のエントリをデバイス鍵記憶部１５から削除する。

上記の処理シーケンスによって、サーバ装置１は攻撃者１０５によって盗み出されたアクティベーション鍵及びそれによって有効化された不正デバイス２ｅのデバイス鍵を無効化できるので、不正デバイス２ｅがサーバ装置１のサービス提供を受けることを防ぐことができる。また、サーバ装置１はリボケーションリクエストを認証するにあたり、設置者１０４のユーザアカウント認証、及び、サーバ自身の署名を含むアクティベーション数エラーレスポンスの存在を要求する。これにより、アクティベーション鍵の無効化機能自体が攻撃者に悪用されることを防ぐことができる。

なお、第１実施形態ではサーバ鍵、アクティベーション鍵及びデバイス鍵はいずれも非対称鍵（秘密鍵及び公開鍵のペア）を想定したが、これらはいずれも対称鍵（共有鍵）でもよい。ただし、デバイス鍵を対称鍵とする場合、アクティベーションリクエストで鍵自体をデバイス２からサーバ装置１に送ることになり、デバイス鍵の漏洩リスクが高まる。これを防ぐために、図６でデバイス鍵自体をアクティベーションリクエストとして送る代わりに、デバイス２とサーバ装置１との間でＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵交換アルゴリズムを実施し、デバイス２及びサーバ装置１のそれぞれが共通のデバイス鍵を生成・記録してもよい。

以上説明したように、第１実施形態の情報処理システム１００は、サーバ装置１と、デバイス２とを備える。サーバ装置１では、アクティベーション鍵記憶部１４（第１のアクティベーション鍵記憶部）が、サーバ装置１のサービスをデバイス２が受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、アクティベーション鍵を識別するアクティベーション鍵識別子と、アクティベーション鍵で有効にできるデバイス鍵の数を示す最大アクティベーション数と、アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶する。処理部１９が、デバイス２から、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、第１のデバイス鍵をデバイス鍵記憶部１５（第１のデバイス鍵記憶部）に記憶する。デバイス２では、デバイス鍵記憶部３６（第２のデバイス鍵記憶部）は、デバイス２のデバイス鍵（第１のデバイス鍵）を記憶する。アクティベーション鍵記憶部３２（第２のアクティベーション鍵記憶部）は、第１のアクティベーション鍵と、第１のアクティベーション鍵識別子とを記憶する。アクティベーション要求部３８は、アクティベーションリクエストをサーバ装置１に送信する。

これにより第１実施形態の情報処理システムによれば、アクティベーション鍵が万が一漏洩した場合でも、漏洩したアクティベーション鍵を攻撃者が不正に用いることを困難にすることができる（例えば図８参照）。

（第２実施形態）
次に第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第１の実施形態では、設定作業においてデバイス２は設定ツール５と双方向に通信し、アクティベーショントークン及びアクティベーション数エラーレスポンスなどの情報をやり取りしていた。しかし、例えば、デバイス２のコストを下げるため、デバイス２のサイズを小さくするため、または設定作業の簡略化のため等の理由で、デバイス２が双方向通信機能を持てないことがある。第２実施形態では、デバイス２が双方向通信機能の持たない場合の実施形態について説明する。

［サーバ装置の機能構成］
図９は第２実施形態のサーバ装置１－２の機能構成の例を示す図である。第２実施形態のサーバ装置１－２は、通信部１１、認証部１２、ユーザアカウント記憶部１３、アクティベーション鍵記憶部１４、デバイス鍵記憶部１５、発行部１６、アクティベーショントークン記憶部１７、サーバ鍵記憶部１８、処理部１９及び認可コード記憶部２０を備える。第１実施形態のサーバ装置１の構成との違いは、本実施形態では、さらに認可コード記憶部２０を備える点である。

認可コード記憶部２０は、ＯＡｕｔｈ２．０ Ｄｅｖｉｃｅ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｇｒａｎｔ（ＲＦＣ ８６２８）に従ってサーバ装置１が発行する認可コードを記憶する。認可コード記憶部２０のエントリには、以下の情報が記録される。
・デバイスコード
・ユーザコード
・有効期限
・認可リクエストに使われたアクティベーション鍵識別子
・検証完了フラグ

［デバイスの機能構成］
図１０は第２実施形態のデバイス２－２の機能構成の例を示す図である。第２実施形態のデバイス２―２は、通信部３１、アクティベーション鍵記憶部３２、アクティベーショントークン記憶部３３、登録ツール受付部３４、設定ツール受付部３５、デバイス鍵記憶部３６、無線ＬＡＮ認証情報記憶部３７、アクティベーション要求部３８、サービス要求部３９、デバイス識別タグ４０、ディスプレイ４１、無線ＬＡＮ設定ボタン４２及びアクティベーショントークン要求部４３を備える。第１実施形態のデバイス２の構成との違いは、本実施形態では、設定ツール受付部３５の代わりに、ディスプレイ４１、無線ＬＡＮ設定ボタン４２及びアクティベーショントークン要求部４３を更に備える点である。

ディスプレイ４１は、設定作業において、ユーザコード及びアクティベーション数エラーレスポンス等を表示することにより、設定ツール５に伝達する。

無線ＬＡＮ設定ボタン４２は、設定作業において、設置場所１０３の無線ＬＡＮ認証情報を取得するために用いられる。

アクティベーショントークン要求部４３は、アクティベーショントークンをサーバ装置１から取得するためのリクエスト処理を行う。

［設定ツールの機能構成］
図１１は第２実施形態の設定ツール５の機能構成の例を示す図である。第１実施形態の設定ツールは、サーバ通信部５１、記憶部５３、読取部５４、処理部５５及びカメラ５６を備える。本実施形態では、デバイス通信部５２の代わりに、カメラ５６を更に備える点である。

カメラ５６は、設定作業において、デバイス２のディスプレイ４１に表示される情報を読み取る。なお、カメラ５６は、読取部５４と同一でもよい。

第２実施形態の初期登録作業の処理シーケンス、及び、サービス提供の処理シーケンスは、第１実施形態と同じである。設定作業の処理シーケンスでは、本実施形態のデバイス２－２は、第１実施形態のデバイス２よりも情報の入力機能が制限されるため、異なる処理シーケンスを採用する。具体的には、デバイス２－２はＯＡｕｔｈ２．０ Ｄｅｖｉｃｅ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｇｒａｎｔ（ＲＦＣ ８６２８）に従ってアクティベーショントークンをサーバ装置１から取得する。

［設定作業の処理例］
図１２は第２実施形態の設定作業の処理シーケンスの例を示す図である。ステップＳ６１及びＳ６２の説明は、第１実施形態のステップＳ１１及びＳ１２（図６参照）と同じなので省略する。

次に、デバイス２―２は、設置者１０４の操作に応じて、ＷｉＦｉ Ｐｒｏｔｅｃｔｅｄ Ｓｅｔｕｐ（ＷＰＳ）を用いてデバイス２－２に無線ＬＡＮ認証情報を設定する（ステップＳ６３）。具体的には、例えばデバイス２－２は、設置者１０４から無線ＬＡＮ設定ボタン４２の押下を受け付ける。また、設置場所１０３の無線ＬＡＮアクセスポイントは、デバイス２－２の無線ＬＡＮ設定ボタン４２が押下された後、設置者１０４からＷＰＳボタンの押下を受け付ける。ＷＰＳの自動設定機能により、デバイス２－２は設置場所１０３の無線ＬＡＮ認証情報を取得し、設置場所１０３の無線ＬＡＮを介して通信ネットワーク３ｂに接続できるようになる。

次に、デバイス２－２の通信部３１は、サーバ装置１－２に認可リクエストを送信する（ステップＳ６４）。認可リクエストは、設置者１０４に対するデバイス鍵の有効化の許可を、デバイス２－２が間接的に求めるリクエストである。認可リクエストには、以下の情報が含まれる。
・デバイス２－２の持つアクティベーション鍵識別子
・認可リクエストの作成時刻
・デバイス２－２でランダムに生成されたリクエスト識別文字列
・以上の全ての情報についてアクティベーション鍵（秘密鍵）で作成された電子署名

次に、サーバ装置１－２の通信部１１は、デバイス２－２から認可リクエストを受信すると、認証部１２が、当該認可リクエストの正当性を認証する（ステップＳ６５）。具体的には、認証部１２は、認可リクエストに含まれるアクティベーション鍵識別子で識別されるアクティベーション鍵（公開鍵）で認可リクエストに付与された電子署名を検証する。なお、認証部１２はさらに他の検証を行ってもよい。認証部１２は、例えば、認可リクエストに含まれる作成時刻が、現在時刻に十分に近い過去の時刻であることを更に検証してもよい。また例えば、認証部１２は、認可リクエストに含まれるリクエスト識別文字列が一定期間内に初めて受信されるものであることを更に検証してもよい。認証部１２は、検証の結果、認可リクエストが不正なものだと判定された場合、認可リクエストの処理を中止し、デバイス２－２にエラーメッセージを返信する。

次に、処理部１９は、認可コード記憶部２０に新しいエントリを作成し、認可コードを発行する（ステップＳ６６）。その際、処理部１９は、デバイスコードフィールド及びユーザコードフィールドにはそれぞれ異なるランダムな文字列を生成してセットする。処理部１９は、有効期限フィールドには、現在時刻より適切な時間だけ先の値（例えば、１０分後）をセットする。処理部１９は、「認可リクエストに使われたアクティベーション鍵識別子」フィールドには、認可リクエストに含まれるアクティベーション鍵識別子をセットする。そして、処理部１９は、検証完了フラグフィールドには「未完了」をセットする。

次に、処理部１９は、認可レスポンスを作成し、通信部１１が、当該認可レスポンスをデバイス２－２に返す。認可レスポンスには以下の情報が含まれる。
・ステップＳ６６で生成されたデバイスコード
・ステップＳ６６で生成されたユーザコード
・ステップＳ６６でセットされた有効期限
・検証ＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｎｄｉｃａｔｏｒ）。
なお、検証ＵＲＩはサーバ装置１－２があらかじめ用意しているＵＲＩである。後のステップで設定ツール５－２が、設置者１０４の操作入力に応じて、このＵＲＩにアクセスし、サーバ装置１－２が当該アクセスに応答する。

次に、デバイス２－２が、サーバ装置１－２から受信された認可レスポンスを一時的に記録し、検証ＵＲＩとユーザコードとをディスプレイ４１に表示する（ステップＳ６８）。ディスプレイ４１は、例えば、検証ＵＲＩをＱＲコードで表示し、ユーザコードを文字列で表示する。また例えば、ディスプレイ４１は、サーバ装置１－２が認可レスポンスにユーザコードを内蔵した検証ＵＲＩを含めていた場合、当該検証ＵＲＩをＱＲコードとして表示するだけでもよい。また例えば、デバイス２－２は、ディスプレイ４１に、これらの情報を表示する際、設置者１０４の注意を引くために音を鳴らしたり、ＬＥＤを点滅させたりする等してもよい。

次に、設定ツール５－２のカメラ５６が、設置者１０４の操作に応じて、デバイス２－２のディスプレイ４１に表示された検証ＵＲＩ及びユーザコードを読み取る（ステップＳ６９）。

次に、サーバ通信部５１が、ステップＳ６９で読み取られた検証ＵＲＩにアクセスする（ステップＳ７０）。サーバ装置１－２は、設定ツール５－２から検証ＵＲＩ宛てに送られたリクエストに応答し、デバイス鍵の有効化に対する許可を設置者１０４に求める検証Ｗｅｂページを設定ツール５－２に返信する。

次に、サーバ装置１－２の認証部１２は、検証Ｗｅｂページにアクセスしている者が設置者１０４であることを認証する（ステップＳ７１）。ステップＳ７１の認証は、例えば、ユーザアカウント記憶部１３に記憶された設置者１０４のユーザ識別子及びパスワードによる認証でもよいし、ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｆｌｏｗで予め取得されたトークンによる認証でもよい。

次に、設定ツール５－２のサーバ通信部５１は、検証Ｗｅｂページを介してユーザコードをサーバ装置１に送信すると、サーバ装置１の処理部１９が当該ユーザコードを検証する（ステップＳ７２）。具体的には、例えば、設置者１０４が、デバイス２－２のディスプレイ４１からユーザコードを読み取り、検証Ｗｅｂページのフォームが、設置者１０４から当該ユーザコードの入力を受け付けてもよい。また例えば、設定ツール５が、デバイス２－２のディスプレイ４１から直接、ユーザコードを読み取ってサーバ装置１－２に送信してもよい。処理部１９は、設定ツール５－２からユーザコードを受信すると、認可コード記憶部２０から当該ユーザコードを含むエントリを読み出す。処理部１９は、当該エントリの有効期限フィールドが現在時刻よりも後の時刻であること、及び、検証完了フラグが「未完了」であることを検証する。いずれかの検証が不合格だった場合、処理部１９は処理を中止し、検証Ｗｅｂページにエラーメッセージを表示する。

次に、ステップＳ７２の検証に合格した場合、処理部１９は当該エントリを更新し、検証完了フラグフィールドに「完了」をセットする（ステップＳ７３）。

次に、処理部１９は、ステップＳ７３で更新されたエントリの「認可リクエストに使われたアクティベーション鍵識別子」フィールドを読み出し、このアクティベーション鍵識別子を含むエントリをアクティベーション鍵記憶部１４から読み出す。処理部１９は、そのエントリの最大アクティベーション数に１を加算する（ステップＳ７４）。

次に、デバイス２－２のアクティベーショントークン要求部４３は、通信部３１を介して、アクティベーショントークン発行リクエストをサーバ装置１－２に送る（ステップＳ７５）。なお、このアクティベーショントークン発行リクエストの送信は、デバイス２－２がユーザコードと検証ＵＲＩをディスプレイ４１に表示した後、設置者１０４の行為とは非同期に実施される。アクティベーショントークン発行リクエストには以下の情報が含まれる。
・認可レスポンスでサーバ装置１－２から受信したデバイスコード
・デバイス２－２の持つアクティベーション鍵識別子
・アクティベーショントークン発行リクエストを作成した時刻
・ランダムに生成されたアクティベーショントークン発行リクエスト識別文字列
・以上の全ての情報についてアクティベーション鍵（秘密鍵）で作成された電子署名

次に、サーバ装置１－２の通信部１１は、デバイス２－２からアクティベーショントークン発行リクエストを受信すると、処理部１９が、そのアクティベーショントークン発行リクエストの正当性を認証する（ステップＳ７６）。具体的には、処理部１９は、認可リクエストの認証の時と同様に、アクティベーション鍵（公開鍵）による電子署名検証などを行う。

次に、ステップＳ７６の検証に合格した場合、発行部１６が、アクティベーショントークン発行リクエストに含まれるデバイスコードの検証を行う（ステップＳ７７）。具体的には、発行部１６は、アクティベーショントークン発行リクエストに含まれるデバイスコードに対応するユーザコードを設定ツール５－２から受信済みであることを確認する。また、発行部１６は、受信されたデバイスコードを含むエントリを認可コード記憶部２０から読み出す。発行部１６は、当該エントリの有効期限が現在時刻よりも後の時刻であること、当該エントリのアクティベーション鍵識別子がリクエストに含まれるアクティベーション鍵識別子と同一であること、及び、当該エントリの検証完了フラグが「完了」であることを検証する。いずれか一つの検証に不合格だった場合、発行部１６は処理を中止し、通信部１１がデバイス２－２にエラーメッセージを返信する。

なお、デバイス２－２によるアクティベーショントークン発行リクエストの送信が設置者１０４の作業よりも早すぎた場合、リクエスト送信時点で検証完了フラグが「未完了」であることは十分あり得る。デバイス２－２は、その旨を示すエラーメッセージをサーバ装置１－２から受け取った場合、適切な時間だけ待機してから再度、アクティベーショントークン発行リクエストをサーバ装置１－２に送信する。

次に、ステップＳ７７の検証に合格した場合、発行部１６はアクティベーショントークンを発行し、デバイス２－２に返信する（ステップＳ７８）。この際の手続きは第１実施形態と同様である。

以上の処理シーケンスにより、デバイス２－２は設定ツール５－２を介することなく、サーバ装置１－２から直接アクティベーショントークンを取得できる。その後、デバイス２－２は第１実施形態と同様の手続きに従い、アクティベーショントークンを用いてデバイス２－２のデバイス鍵を有効化する。本実施形態で発行されるアクティベーショントークンも、第１実施形態と同様、サーバ装置１－２から認証を受けた設置者１０４が検証Ｗｅｂページにて明確に認可を与えなければ発行できないものとなっている。これにより、攻撃者１０５による不正なアクティベーショントークン発行を防ぐことができる。

なお、上記の例ではデバイス２－２はディスプレイ４１を使用し、設定ツール５－２がカメラ５６を使用することで、ユーザコード及び検証ＵＲＩを伝達していたが、ユーザコード及び検証ＵＲＩを他の方法で伝達してもよい。例えば、ユーザコード及び検証ＵＲＩを赤外線通信、可視光通信、音声通信、及び超音波通信などの方法で伝達してもよい。

また、上記処理シーケンスはＯＡｕｔｈ２．０ Ｄｅｖｉｃｅ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｇｒａｎｔ規格に則ったものだが、本規格に厳密に従わなくても本実施形態を実施できる。例えば上記処理シーケンスでは、デバイス２－２はアクティベーショントークンをサーバ装置１－２から取得してからアクティベーションリクエストを送信しているが、両者を一つにまとめることも可能である。この場合、デバイス２－２は、図１２のアクティベーショントークン発行リクエストにデバイス鍵（公開鍵）も含め、サーバ装置１－２はアクティベーション鍵によるリクエスト認証及びデバイスコードの検証をもってリクエストの正当性を検証する。これらの検証に合格した場合、サーバ装置１－２はアクティベーション数の検証と加算とを行い、デバイス鍵を登録する。

攻撃者１０５が不正デバイス２ｅを有効化させたことを検出する処理シーケンスについては、本実施形態においても第１実施形態の処理シーケンス（図８参照）と同様である。ただし、正規デバイス２ｄがアクティベーション数エラーレスポンスを設定ツール５－２に転送する際には、図１２においてユーザコード及び検証ＵＲＩを設定ツール５－２に表示する際と同様の通信方法を用いる。

最後に、第１及び第２実施形態のサーバ装置１～１－２のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図１３は第１及び第２実施形態のサーバ装置１～１－２のハードウェア構成の例を示す図である。

サーバ装置１～１－２は、制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信ＩＦ３０６を備える。制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信ＩＦ３０６は、バス３１０を介して接続されている。

制御装置３０１は、補助記憶装置３０３から主記憶装置３０２に読み出されたプログラムを実行する。主記憶装置３０２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及び、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメモリである。補助記憶装置３０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、及び、メモリカード等である。

表示装置３０４は表示情報を表示する。表示装置３０４は、例えば液晶ディスプレイ等である。入力装置３０５は、サーバ装置１～１－２して動作させるコンピュータを操作するためのインタフェースである。入力装置３０５は、例えばキーボードやマウス等である。なお、表示装置３０４及び入力装置３０５は、サーバ装置１～１－２と接続可能な外部の管理端末等の表示機能及び入力機能を利用してもよい。

通信ＩＦ３０６は、他の装置と通信するためのインタフェースである。

コンピュータで実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

またコンピュータで実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。またコンピュータで実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

またコンピュータで実行されるプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

コンピュータで実行されるプログラムは、上述のサーバ装置１～１－２の機能構成（機能ブロック）のうち、プログラムによっても実現可能な機能ブロックを含むモジュール構成となっている。当該各機能ブロックは、実際のハードウェアとしては、制御装置３０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置３０２上にロードされる。すなわち上記各機能ブロックは主記憶装置３０２上に生成される。

なお上述した各機能ブロックの一部又は全部をソフトウェアにより実現せずに、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能を実現する場合、各プロセッサは、各機能のうち１つを実現してもよいし、各機能のうち２つ以上を実現してもよい。

また第１及び第２実施形態のサーバ装置１～１－２の動作形態は任意でよい。第１及び第２実施形態のサーバ装置１～１－２を、例えばネットワーク上のクラウドシステムを構成する装置として動作させてもよい。

また第１及び第２実施形態のデバイス２、登録ツール４及び設定ツール５～５－２の主要部のハードウェア構成も、サーバ装置１～１－２のハードウェア構成と同様である。なお、デバイス２ついては、ハードウェア構成の一部（例えば表示装置３０４及び入力装置３０５等）の削除、またはハードウェア構成の一部（例えば各種センサ、及び、撮像装置等）の追加をしてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ サーバ装置
２ デバイス
３ 通信ネットワーク
４ 登録ツール
５ 設定ツール
１１ 通信部
１２ 認証部
１３ ユーザアカウント記憶部
１４ アクティベーション鍵記憶部
１５ デバイス鍵記憶部
１６ 発行部
１７ アクティベーショントークン記憶部
１８ サーバ鍵記憶部
１９ 処理部
２０ 認可コード記憶部
３１ 通信部
３２ アクティベーション鍵記憶部
３３ アクティベーショントークン記憶部
３４ 登録ツール受付部
３５ 設定ツール受付部
３６ デバイス鍵記憶部
３７ 無線ＬＡＮ認証情報記憶部
３８ アクティベーション要求部
３９ サービス要求部
４０ デバイス識別タグ
５１ サーバ通信部
５２ デバイス通信部
５３ 記憶部
５４ 読取部
５５ 処理部
５６ カメラ
３０１ 制御装置
３０２ 主記憶装置
３０３ 補助記憶装置
３０４ 表示装置
３０５ 入力装置
３０６ 通信ＩＦ

Claims (12)

1. サーバ装置と、デバイスとを備え、
   前記サーバ装置は、
   前記サーバ装置のサービスを前記デバイスが受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、前記アクティベーション鍵を識別するアクティベーション鍵識別子と、前記アクティベーション鍵で有効にできる前記デバイス鍵の数を示す最大アクティベーション数と、前記アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶する第１のアクティベーション鍵記憶部と、
   前記デバイスから、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、前記第１のデバイス鍵を第１のデバイス鍵記憶部に記憶する処理部と、を備え、
   前記デバイスは、
   前記第１のデバイス鍵を記憶する第２のデバイス鍵記憶部と、
   前記第１のアクティベーション鍵と、前記第１のアクティベーション鍵識別子とを記憶する第２のアクティベーション鍵記憶部と、
   前記アクティベーションリクエストを前記サーバ装置に送信するアクティベーション要求部と、
   を備える情報処理システム。
2. 前記アクティベーション要求部は、前記第１のアクティベーション鍵による認証コードを更に含む前記アクティベーションリクエストを前記サーバ装置に送信し、
   前記サーバ装置は、
   前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵により前記認証コードを検証し、前記認証コードが不正な場合、前記アクティベーションリクエストを破棄する認証部を更に備える、
   請求項１に記載の情報処理システム。
3. 前記デバイス鍵は、デバイス公開鍵及びデバイス秘密鍵のペアであり、
   前記アクティベーション要求部は、前記第１のデバイス鍵のデバイス秘密鍵によるデバイス電子署名を更に含む前記アクティベーションリクエストを前記サーバ装置に送信し、
   前記処理部は、前記アクティベーションリクエストに含まれるデバイス公開鍵により前記デバイス電子署名を検証し、検証に合格しない場合、前記アクティベーションリクエストを破棄する、
   請求項１又は２に記載の情報処理システム。
4. 前記サーバ装置は、
   サーバ鍵を記憶するサーバ鍵記憶部を更に備え、
   前記処理部は、前記第１の現在アクティベーション数が、前記第１の最大アクティベーション数未満でない場合、前記サーバ鍵による認証コードと、前記第１のアクティベーション鍵識別子とを含むアクティベーション数エラーレスポンスを、前記デバイスに返信する、
   請求項２に記載の情報処理システム。
5. 前記情報処理システムは、
   設定ツールを更に備え、
   前記アクティベーション要求部は、前記サーバ装置から前記アクティベーション数エラーレスポンスを受信すると、前記アクティベーション数エラーレスポンスを前記設定ツールに転送し、
   前記設定ツールは、前記デバイスから前記アクティベーション数エラーレスポンスを受信すると、前記アクティベーション数エラーレスポンスを含むリボケーションリクエストを前記サーバ装置に送信し、
   前記処理部は、前記設定ツールから前記リボケーションリクエストを受信すると、前記アクティベーション数エラーレスポンスに含まれる前記認証コードを、前記サーバ鍵で検証し、検証に合格した場合、前記アクティベーション数エラーレスポンスに含まれる前記第１のアクティベーション鍵識別子で識別される第１のアクティベーション鍵と、前記第１のアクティベーション鍵によって有効にされたデバイス鍵とを無効にする、
   請求項４に記載の情報処理システム。
6. 前記サーバ装置は、
   前記デバイスの設置者の認証情報を記憶するユーザアカウント記憶部を更に備え、
   前記設定ツールは、前記認証情報を更に含むリボケーションリクエストを前記サーバ装置に送信し、
   前記認証部は、前記設定ツールから前記リボケーションリクエストを受信すると、前記リボケーションリクエストに含まれる前記認証情報を、前記ユーザアカウント記憶部を参照して検証し、検証に合格しない場合、前記リボケーションリクエストを破棄する、
   請求項５に記載の情報処理システム。
7. 前記サーバ装置は、
   前記デバイスの設置者の認証情報を記憶するユーザアカウント記憶部と、
   アクティベーショントークンを発行する発行部と、を更に備え、
   前記設定ツールは、前記認証情報と、前記第１のアクティベーション鍵識別子と、を含むアクティベーショントークン発行リクエストを前記サーバ装置に送信し、前記サーバ装置から、前記第１のアクティベーション鍵識別子に対応する第１のアクティベーショントークンを受信すると、前記第１のアクティベーショントークンを前記デバイスに送信し、
   前記処理部は、前記設定ツールから前記アクティベーショントークン発行リクエストを受信すると、前記アクティベーショントークン発行リクエストに含まれる前記認証情報を、前記ユーザアカウント記憶部を参照して検証し、検証に合格した場合、前記第１のアクティベーション鍵識別子により識別される前記第１のアクティベーション鍵の前記第１の最大アクティベーション数を増やし、
   前記発行部は、前記第１のアクティベーション鍵識別子に対応する第１のアクティベーショントークンを前記設定ツールに返信し、
   前記アクティベーション要求部は、前記第１のアクティベーショントークンを更に含むアクティベーションリクエストを前記サーバ装置に送信し、
   前記処理部は、前記第１のアクティベーショントークンが有効でない場合、前記アクティベーションリクエストを破棄する、
   請求項５に記載の情報処理システム。
8. 前記デバイスは、
   前記第１のアクティベーション鍵識別子を含む認可リクエストを前記サーバ装置へ送信した後、前記アクティベーショントークン発行リクエストを前記サーバ装置に送信するアクティベーショントークン要求部を更に備え、
   前記処理部は、前記デバイスから前記認可リクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される前記第１のアクティベーション鍵に対応するデバイスコードとユーザコードとを認可コード記憶部に記憶し、前記デバイスコードと前記ユーザコードとを前記デバイスに返信し、
   前記設定ツールは、前記デバイスから前記ユーザコードを取得し、前記ユーザコードを前記サーバ装置に送信し、
   前記処理部は、前記設定ツールから前記ユーザコードを受信すると、前記ユーザコードに対応する前記第１のアクティベーション鍵の前記第１の最大アクティベーション数を増やし、
   前記アクティベーショントークン要求部は、前記デバイスコードを更に含む前記アクティベーショントークン発行リクエストを前記サーバ装置に送信し、
   前記発行部は、前記デバイスから前記アクティベーショントークン発行リクエストを受信すると、前記アクティベーショントークン発行リクエストに含まれる前記デバイスコードに対応する前記ユーザコードを前記設定ツールから受信済みであることを確認した場合、前記アクティベーショントークンを前記デバイスに返信する、
   請求項７に記載の情報処理システム。
9. 前記デバイスは、
   前記ユーザコードを表示するディスプレイを更に備え、
   前記設定ツールは、
   前記ディスプレイに表示されたユーザコードを撮像するカメラを備える、
   請求項８に記載の情報処理システム。
10. サーバ装置のサービスをデバイスが受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、前記アクティベーション鍵を識別するアクティベーション鍵識別子と、前記アクティベーション鍵で有効にできる前記デバイス鍵の数を示す最大アクティベーション数と、前記アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶するアクティベーション鍵記憶部と、
    前記デバイスから、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、前記第１のデバイス鍵をデバイス鍵記憶部に記憶する処理部と、
    を備えるサーバ装置。
11. サーバ装置が、前記サーバ装置のサービスをデバイスが受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、前記アクティベーション鍵を識別するアクティベーション鍵識別子と、前記アクティベーション鍵で有効にできる前記デバイス鍵の数を示す最大アクティベーション数と、前記アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶するステップと、
    前記サーバ装置が、前記デバイスから、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、前記第１のデバイス鍵をデバイス鍵記憶部に記憶するステップと、
    を含む情報処理方法。
12. サーバ装置のサービスをデバイスが受けるときに使用されるデバイス鍵を有効にするアクティベーション鍵と、前記アクティベーション鍵を識別するアクティベーション鍵識別子と、前記アクティベーション鍵で有効にできる前記デバイス鍵の数を示す最大アクティベーション数と、前記アクティベーション鍵で有効にされた現在のアクティベーション鍵の数を示す現在アクティベーション数と、を記憶するアクティベーション鍵記憶部を備えるサーバ装置を、
    前記デバイスから、第１のデバイス鍵と、第１のアクティベーション鍵識別子とを含むアクティベーションリクエストを受信すると、前記第１のアクティベーション鍵識別子により識別される第１のアクティベーション鍵の第１の現在アクティベーション数が、第１の最大アクティベーション数未満である場合、前記第１のデバイス鍵をデバイス鍵記憶部に記憶する処理部、
    として機能させるためのプログラム。

Images