JP7474170B2 - 情報処理装置、制御方法及びプログラム - Google Patents

Description

本開示は、情報処理装置等に関する。

従来より、画像形成装置のシステム設定を、ＰＣ（パーソナルコンピュータ）等の外部の装置を用いて行う技術が用いられており、その際のセキュリティを確保するための技術も提案されている。

例えば、画像形成装置において、セキュリティ機能を有する管理プロトコルにより要求を受信したか否かに基づき、設定変更を受け付けるか否かの判断を行う技術が提案されている（例えば、特許文献１参照）。また、画像形成装置と携帯端末がネットワーク接続されたシステムにおいて、携帯端末を画像形成装置の外部表示装置とした場合にパスワード入力を行う際に携帯端末の画面から入力する時はパスワードを表示し、本体の操作画面から入力する場合はパスワードを非表示にする技術が提案されている（例えば、特許文献２参照）。

特開２００９－２２３８６２号公報 特開２００９－４４３４９号公報

画像形成装置のシステム設定をＰＣ（パーソナルコンピュータ）等の外部の装置を用いて行う場合、例えば、パスワード等、第三者に対して秘匿にされるべきデータ（秘匿データ）は、全てアスタリスク（＊）や黒丸（●）等で表示される。このような表示を一般的にマスク表示という。マスク表示により、秘匿データの内容は、ユーザや第三者に視認されなくなる。しかし、ユーザは、パスワード等を入力したときに、何の文字を入力したかを確認できず、また、設定後に秘匿データの内容を再確認することができなかった。

一方、秘匿データを可視化するためのマークを設ける技術もあるが、秘匿データを可視化するためには、秘匿データが画像形成装置からＰＣ等の端末装置に送信される必要がある。ここで、通信経路上を攻撃者が監視している場合は、ネットワークパケットの取得やプロキシからの漏洩により、通信中のデータが傍受される恐れがある。このとき、秘匿データが暗号化されていない、又は、暗号強度が弱く復号が容易であるといったように、通信路がセキュアではない場合、秘匿データが漏洩したり復号されたりする可能性がある。

そのため、通信経路がセキュアであるか否かといった状態に基づき秘匿データが送受信され、当該秘匿データがＰＣ等の端末装置において適切に可視化される必要がある。このような課題を解決する技術は、特許文献１や特許文献２には開示されていない。

上述した課題に鑑み、本開示は、セキュアな通信を介して受信されたデータのマスク表示を解除する表示ボタンを適切に表示する情報処理装置等を提供することを目的とする。

上述した課題を解決するための第１の実施態様は、
通信路を介してデータを送受信する通信部と、表示部と、制御部とを備えた情報処理装置において、
前記制御部は、
前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行い、
前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示し、
前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データを前記表示部に表示する、
ことを特徴とする情報処理装置である。

上述した課題を解決するための第２の実施態様は、
通信路を介してデータを送受信する通信部と、表示部とを備えた情報処理装置の制御方法であって、
前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行うステップと、
前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示するステップと、
前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データを前記表示部に表示するステップと、
を含むことを特徴とする制御方法である。

上述した課題を解決するための第３の実施態様は、
通信路を介してデータを送受信する通信部と、表示部とを備えた情報処理装置のコンピュータに、
前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行う機能と、
前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示する機能と、
前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データを前記表示部に表示する機能と、
を実現させることを特徴とするプログラムである。

本開示によれば、本開示は、セキュアな通信を介して受信データのマスク表示を解除する表示ボタンを適切に表示することが可能となる。

第１実施形態における全体構成を説明するための図である。 第１実施形態における機能構成を説明するための図である。 第１実施形態における管理データのデータ構造の一例を示す図である。 第１実施形態における端末装置のメイン処理の流れを説明するためのフロー図である。 第１実施形態における処理の流れを説明するためのシーケンス図である。 第１実施形態における処理の流れを説明するためのシーケンス図である。 第１実施形態における動作例を示す図である。 第１実施形態における動作例を示す図である。 第２実施形態における処理の流れを説明するためのシーケンス図である。 第３実施形態における処理の流れを説明するためのシーケンス図である。

以下、図面を参照して、本開示を実施するための一実施形態について説明する。なお、以下の実施形態は、本開示を説明するための一例であり、特許請求の範囲に記載した発明の技術的範囲が、以下の記載に限定されるものではない。

［１．第１実施形態］
［１．１ 全体構成］
本実施形態のシステム１の全体構成を、図１に基づいて説明する。図１に示すように、システム１は、端末装置１０と画像形成装置２０とが、ネットワークＮＷを介して接続される。本実施形態では、ネットワークＮＷは、ＬＡＮ（Local Area Network）といったネットワークであるとして説明するが、各装置が相互にデータを交換可能であれば、ＬＡＮ以外のネットワーク（例えば、インターネット等の外部ネットワーク）であってもよい。

端末装置１０は、例えば、スマートフォンや、タブレット、ＰＣ（Personal Computer）等によって構成される情報処理装置である。

画像形成装置２０は、画像を記録媒体（例えば、記録用紙）に形成することで出力（印刷）する印刷装置（プリンタ）である。

［１．２ 機能構成］
つづいて、システム１を構成する端末装置１０及び画像形成装置２０の機能構成を、図２を参照して説明する。図２に示すように、端末装置１０及び画像形成装置２０は、通信部１４０及び通信部２５０を介して接続される。

［１．２．１ 端末装置］
端末装置１０は、制御部１００、入力部１１０、表示部１２０、記憶部１３０、通信部１４０を備えて構成される。

制御部１００は、端末装置１０の全体を制御するための機能部である。制御部１００は、記憶部１３０に記憶されている各種プログラムを読み出して実行することにより各種機能を実現しており、１又は複数の演算装置（例えば、ＣＰＵ（Central Processing Unit））により構成されている。

入力部１１０は、端末装置１０を使用するユーザの操作を受け付けるための機能部である。入力部１１０は、マウス、キーボードといった種々の操作装置や、タッチ入力を検出する入力装置によって構成される。タッチ入力を検出する方式は、例えば、抵抗膜方式、赤外線方式、電磁誘導方式、静電容量方式といった、一般的な検出方式であればよい。

表示部１２０は、各種情報を表示するための機能部であり、例えば、ＬＣＤ（Liquid crystal display）、有機ＥＬ（electro-luminescence）パネル、マイクロＬＥＤ（Light Emitting Diode）ディスプレイ等の表示装置により構成される。

なお、端末装置１０は、入力部１１０と表示部１２０とが一体に形成されたタッチパネルを備えてもよい。

記憶部１３０は、端末装置１０の動作に必要な各種プログラムや、各種データを記憶する機能部である。記憶部１３０は、例えば、半導体メモリであるＳＳＤ（Solid State Drive）や、ＨＤＤ（Hard Disk Drive）等の記憶装置により構成される。

通信部１４０は、端末装置１０が画像形成装置２０等の外部の装置と、ネットワーク（通信路）を介してデータの通信を行うための機能部である。通信部１４０は、例えば、有線／無線ＬＡＮで利用されるＮＩＣ（Network Interface Card）や、ＬＴＥ（Long Term Evolution）／ＬＴＥ－Ａ（LTE-Advanced）／ＬＡＡ（License-Assisted Access using LTE）／５Ｇ回線に接続可能な通信モジュールにより構成される。

制御部１００は、プログラムを実行することにより、設定画面表示部１０２、判定部１０４、表示切替制御部１０６として機能する。

設定画面表示部１０２は、画像形成装置２０の設定画面を表示部１２０に表示する。設定画面表示部１０２は、例えば、専用のアプリケーションを実行することにより実現されてもよいし、Ｗｅｂブラウザによって実現されてもよい。設定画面は、例えば、Ｗｅｂページとして構成されてもよいし、アプリの画面として構成されてもよい。

設定画面表示部１０２は、画像形成装置２０に対して、設定画面を表示するために必要なデータを取得するための要求（設定画面要求）を送信する。また、設定画面表示部１０２は、当該要求の応答として画像形成装置２０から設定画面を表示するために必要なデータ（設定画面データ）を受信する。設定画面データには、設定画面を構成するために用いられるレイアウトデータが含まれる。設定画面表示部１０２は、レイアウトデータに基づき、所定の位置に所定の表示要素を配置した設定画面を表示する。表示要素とは、例えば、テキストボックス、ラベル、ボタンといったＧＵＩ（Graphical User Interface）の部品（コントロール、ウィジェット）である。

また、設定画面データには、設定項目毎の設定値データが含まれる。設定画面表示部１０２は、設定項目毎に、当該設定項目に対応する設定値データが所定の表示要素に入力された状態又は表示された状態にする。

なお、画像形成装置２０から受信する設定値データの一部は、秘匿データであってもよい。本実施形態における秘匿データとは、第三者に対して秘密にされるデータである。秘匿データは、例えば、通信経路上を攻撃者に監視され、ネットワークパケットの取得やプロキシからの漏洩により、通信中のデータが傍受されたとしても、漏洩することを避けるべきデータであり、一例としては、パスワードである。なお、秘匿データは、パスワード以外でも、画像形成装置２０における所定の設定値（例えば、ＩＰ（Internet Protocol）アドレス等のアドレス情報、個人情報、連絡先等）であってもよい。

どの項目の設定値データが秘匿データであるかを示すデータは、レイアウトデータに含まれていてもよいし、設定値データの属性として含まれていてもよい。設定値データに秘匿データが含まれる場合、設定画面表示部１０２は、秘匿データをマスク表示された状態にする。マスク表示とは、入力又は表示されているデータがユーザによって視認されない状態（可視化されていない状態）となっている表示態様である。一例として、マスク表示は、秘匿データに含まれる文字を、１文字ずつ当該文字とは異なるマスク文字（例えば、アスタリスク（＊）や、円（●）といった記号）に置き換えて表示した表示態様である。

判定部１０４は、マスク表示されたデータを表示するための可視化用のマークを、設定画面に表示するか否かを判定する。

可視化用のマークは、マスク表示がされている秘匿データを可視化するための操作を受け付けるマークである。識別表示は、例えば、Ｗｅｂページのパスワード設定欄の横や隅に表示されるボタンやラベル、スイッチなどである。本実施形態では、可視化用のマークが、ボタン（表示ボタン）であるとして説明する。

表示切替制御部１０６は、表示ボタンの表示の制御や、表示ボタンが選択された場合において、マスク表示を解除する制御を行う。例えば、表示切替制御部１０６は、設定画面に秘匿データを入力又は表示する表示要素が含まれる場合、当該表示要素の周辺や内部に、表示ボタンを表示する。

また、表示切替制御部１０６は、表示ボタンがユーザによって選択されている間や、表示ボタンがユーザによって選択された後一定時間が経過するまでの間、秘匿データのマスク表示を解除して、秘匿データを可視化する。また、表示切替制御部１０６は、表示ボタンが選択される操作が終了したときや、表示ボタンがユーザによって選択された後一定時間が経過したときに、秘匿データのマスク表示を行う。

なお、表示切替制御部１０６は、表示ボタンが選択される度に、秘匿データのマスク表示を解除した状態と、秘匿データがマスク表示された状態とを切り替えてもよい。

［１．２．２ 画像形成装置］
画像形成装置２０は、制御部２００、画像入力部２１０、画像形成部２２０、入力部２３０、表示部２４０、通信部２５０、記憶部２６０を備えて構成される。

制御部２００は、画像形成装置２０の全体を制御するための機能部である。制御部２００は、記憶部２６０に記憶されている各種プログラムを読み出して実行することにより各種機能を実現しており、１又は複数の演算装置（例えば、ＣＰＵ）により構成されている。

画像入力部２１０は、画像形成装置２０に画像データを入力する。例えば、画像入力部２１０は、画像を読み取って画像データを生成することが可能なスキャナ装置等により構成される。スキャナ装置は、例えば、ＣＣＤ（Charge Coupled Device）やＣＩＳ（Contact Image Sensor）等のイメージセンサによって画像を電気信号に変換し、電気信号を量子化及び符号化することでデジタルデータを生成する。なお、画像入力部２１０は、ＵＳＢ（Universal Serial Bus）メモリや、ＳＤカード等の記憶媒体に記憶された画像データを入力してもよいし、通信部２５０を介して他の装置から取得された画像データを入力してもよい。

画像形成部２２０は、画像データに基づく画像を記録媒体（例えば記録用紙）に形成する。画像形成部２２０は、例えば、電子写真方式を利用したレーザプリンタ等により構成される。

入力部２３０は、ユーザによる操作指示を受け付ける。入力部２３０は、例えば、ハードキー（例えば、テンキー）やボタン等により構成される。表示部２４０は、ユーザに各種情報を表示する。表示部２４０は、例えば、ＬＣＤ等の表示装置により構成される。なお、画像形成装置２０は、入力部２３０と表示部２４０とが一体に形成されたタッチパネルを備えてもよい。入力を検出する方式は、例えば、抵抗膜方式、赤外線方式、電磁誘導方式、静電容量方式といった、一般的な検出方式であればよい。

通信部２５０は、画像形成装置２０が、端末装置１０等の外部の装置と、ネットワーク（通信路）を介してデータの通信を行うための機能部である。通信部２５０は、例えば、有線／無線ＬＡＮで利用されるＮＩＣによって構成される。

記憶部２６０は、画像形成装置２０の動作に必要な各種プログラムや、各種データを記憶する。記憶部２６０は、例えば、半導体メモリであるＳＳＤや、ＨＤＤ等の記憶装置により構成される。

記憶部２６０には、画像形成装置２０が管理するデータである管理データ２６２が記憶される。管理データ２６２は、例えば、画像形成装置２０が通信する他の装置（例えば、メールサーバやファイルサーバ）のデータであったり、画像形成装置２０を利用するユーザのデータであったり、画像形成装置２０に設定されたデータ（設定情報）であったりする。

本実施形態では、管理データ２６２としてメールサーバのデータが記憶されることとして説明する。管理データ２６２には、例えば、図３に示すように、メールサーバのサーバ名（例えば、「mail1.exampe1.com」）と、メールサーバにログインするために用いられるログイン名（例えば、「ｍａｉｌ１」）及びパスワード（例えば、「ａａａａａａａａ」）とが記憶される。なお、本実施形態では、パスワードが秘匿データであるとして説明する。

制御部２００は、プログラムを実行することにより、画像処理部２０２及び設定画面データ提供部２０４として機能する。

画像処理部２０２は、画像データ（例えば、画像入力部２１０によって入力された画像データ）に各種画像処理を施す機能部である。例えば、画像処理部２０２は、画像データの鮮鋭化処理を行ったり、色変換処理を行ったりする。

設定画面データ提供部２０４は、他の装置（例えば、端末装置１０）から設定画面要求を受信し、当該要求の応答として、設定画面のレイアウトデータや管理データ２６２に記憶されたデータを含む設定画面データを提供（送信）する。

［１．３ 処理の流れ］
図４を参照して、本実施形態における端末装置１０のメイン処理について説明する。はじめに、制御部１００（設定画面表示部１０２）は、通信部１４０を介して、画像形成装置２０に設定画面要求を送信する（ステップＳ１０２）。

つづいて、制御部１００（設定画面表示部１０２）は、通信部１４０を介して、画像形成装置２０から、設定画面要求に対する応答として、設定画面データを受信する（ステップＳ１０４）。

ここで、ステップＳ１０４において、端末装置１０と画像形成装置２０との通信路がセキュアである場合、制御部１００（設定画面表示部１０２）は、画像形成装置２０から秘匿データを含む設定値データを受信する。一方で、制御部１００（設定画面表示部１０２）は、端末装置１０と画像形成装置２０との通信路がセキュアではない場合は、画像形成装置２０から秘匿データの代わりとなるデータを含む設定値データを受信する。

秘匿データの代わりとなるデータとは、秘匿データとは異なるデータであって、設定画面において秘匿データが入力又は表示される表示要素に所定の表示を行うために用いられるデータである。秘匿データの代わりとなるデータは、例えば、秘匿データと同じ文字数によって構成されるランダムな文字列である。

つづいて、制御部１００（設定画面表示部１０２）は、ステップＳ１０４において受信した設定画面データに基づき設定画面を生成する（ステップＳ１０６）。例えば、制御部１００（設定画面表示部１０２）は、レイアウトデータに基づきテキストボックスを配置したり、テキストボックスに設定値データが入力された状態にしたりする。

つづいて、制御部１００（設定画面表示部１０２）は、設定画面において、秘匿データが表示される表示要素に入力又は表示された設定値データをマスク表示する（ステップＳ１０８）。これにより、制御部１００（設定画面表示部１０２）は、ステップＳ１０４において秘匿データを受信していた場合は、当該秘匿データをマスク表示する。一方で、制御部１００（設定画面表示部１０２）は、ステップＳ１０４において秘匿データの代わりとなるデータを受信していた場合は、当該秘匿データの代わりとなるデータをマスク表示する。

つづいて、制御部１００（設定画面表示部１０２）は、ステップＳ１０６において生成し、ステップＳ１０８において所定のデータをマスク表示した設定画面を、表示部１２０に表示する（ステップＳ１１０）。

つづいて、制御部１００（判定部１０４）は、表示ボタンを設定画面に表示するか否かを判定する。本実施形態では、制御部１００（判定部１０４）は、端末装置１０と画像形成装置２０との間の通信路がセキュアであるか否かを判定する（ステップＳ１１２）。

通信路がセキュアである場合とは、例えば、端末装置１０と画像形成装置２０との間で、ＨＴＴＰＳ（Hypertext Transfer Protocol Secure）通信がされている場合（ＴＬＳ（Transport Layer Security）暗号化がなされている場合）である。一方で、通信路がセキュアでない場合とは、ＨＴＴＰ（Hypertext Transfer Protocol）通信が行われている場合（ＴＬＳ暗号化がなされていない場合）である。

制御部１００（判定部１０４）は、例えば、ＵＲＬ（Uniform Resource Locator）に含まれるスキーム名や、通信に用いるプロトコルやポート番号等に基づいて、通信路がセキュアであるか否かの判定を行う。

ステップＳ１１２において、通信路がセキュアであると判定された場合、制御部１００（表示切替制御部１０６）は、マスク表示がされたデータが入力又は表示される表示要素の周囲や内部に、表示ボタンを表示する（ステップＳ１１４）。

つづいて、制御部１００（表示切替制御部１０６）は、表示ボタンが選択されたか否かを判定する（ステップＳ１１６）。表示ボタンが選択された場合、制御部１００（表示切替制御部１０６）は、ステップＳ１０８においてマスク表示がされたデータのマスク表示を解除する（ステップＳ１１８）。

ここで、通信路がセキュアである場合、ステップＳ１０４において、制御部１００（設定画面表示部１０２）によって秘匿データが受信され、ステップＳ１０８において、制御部１００（設定画面表示部１０２）によって秘匿データがマスク表示される。したがって、マスク表示された秘匿データは、ステップＳ１１８において、制御部１００（表示切替制御部１０６）によってマスク表示が解除される。この結果、秘匿データの内容が、設定画面に表示される。

なお、制御部１００（表示切替制御部１０６）は、表示ボタンの選択が解除された場合や、表示ボタンが選択されてから一定時間が経過した場合に、秘匿データを再びマスク表示する。また、制御部１００（表示切替制御部１０６）は、表示ボタンが選択される度に、秘匿データのマスク表示が解除された状態と秘匿データがマスク表示された状態とを切り替えてもよい。

つづいて、制御部１００（設定画面表示部１０２）は、設定が終了したか否かを判定する（ステップＳ１２０）。設定が終了していない場合は、制御部１００は、ステップＳ１１６に戻る（ステップＳ１２０；Ｎｏ→ステップＳ１１６）。設定が終了している場合は、制御部１００は、メイン処理を終了する（ステップＳ１２０；Ｙｅｓ）。

なお、ステップＳ１１２において、制御部１００（判定部１０４）によって、通信路がセキュアではないことが判定された場合、制御部１００（表示切替制御部１０６）は、ステップＳ１１４からステップＳ１１８までの処理をスキップ（省略）する。したがって、通信路がセキュアではない場合、設定画面には、表示ボタンが表示されない。

通信路がセキュアではない場合は、制御部１００（設定画面表示部１０２）は、画像形成装置２０から受信したランダムな文字列をマスク表示する。ここで、設定画面に表示ボタンが表示されないため、制御部１００（表示切替制御部１０６）は、当該ランダムな文字列のマスク表示を解除する処理を実行しない。

上述した処理により、端末装置１０と画像形成装置２０との間の通信路がセキュアであれば、端末装置１０の表示部１２０に表示される設定画面に含まれる表示ボタンにより、画像形成装置２０から受信された秘匿データの表示状態を切り替えることができる。一方で、端末装置１０と画像形成装置２０との間の通信路がセキュアでない場合は、秘匿データの代わりとなるデータが送受信されるため、通信中のデータが漏洩しても、秘匿データ自体は漏洩しない。また、端末装置１０において、秘匿データの代わりとなるデータの表示状態は切り替えられることがない。さらに、ユーザは、マスク表示されたランダムな文字列を確認することで、画像形成装置２０に秘匿データが記憶されているか否かといったことや、秘匿データの文字数を確認することができる。

つづいて、図５及び図６を参照して、本実施形態における端末装置１０と画像形成装置２０との処理のシーケンスを説明する。

図５は、端末装置１０と画像形成装置２０との間の通信路がセキュアでない場合において、端末装置１０の表示部１２０に設定画面が表示されるまでに実行される、端末装置１０及び画像形成装置２０の処理のシーケンスを示す図である。

はじめに、端末装置１０の制御部１００（設定画面表示部１０２）は、画像形成装置２０に対して、設定画面要求を送信する（Ｓ１００２）。画像形成装置２０の制御部２００（設定画面データ提供部２０４）は、設定画面要求を受信した場合、端末装置１０との通信に用いる通信路がセキュアであるか否かを判定する（Ｓ１００４）。これにより、端末装置１０と画像形成装置２０との間の通信路がセキュアでないことが、制御部２００によって判定される。

つづいて、制御部２００は、管理データ２６２を読み出して、端末装置１０に送信する設定値データを取得する。なお、設定値データの一部は秘匿データであるとする。

ここで、Ｓ１００４において、端末装置１０と画像形成装置２０との間の通信路がセキュアでないことが判定されている。したがって、制御部２００（設定画面データ提供部２０４）は、通信部２５０を介して、設定画面データとして、レイアウトデータとランダムな文字列のデータを含む設定値データとを端末装置１０に送信する（Ｓ１００６）。

つづいて、端末装置１０の制御部１００（設定画面表示部１０２）は、設定画面データに基づき、設定画面を生成する（Ｓ１００８）。また、制御部１００（設定画面表示部１０２）は、秘匿データが表示される表示要素に入力又は表示された設定値データをマスク表示し（Ｓ１０１０）、表示部１２０に設定画面を表示する（Ｓ１０１２）。これにより、秘匿データの代わりとなるデータとして受信されたランダムな文字列がマスク表示される。

つづいて、端末装置１０の制御部１００（判定部１０４）は、通信路がセキュアであるか否かを判定する（Ｓ１０１４）。これにより、端末装置１０と画像形成装置２０との間の通信路がセキュアでないことが、制御部１００（判定部１０４）によって判定される。この場合、制御部１００（表示切替制御部１０６）は、表示ボタンを表示する処理をスキップするため、設定画面には表示ボタンは表示されない。

図６は、端末装置１０と画像形成装置２０との間の通信路がセキュアである場合において、端末装置１０の表示部１２０に設定画面が表示されるまでに実行される、端末装置１０及び画像形成装置２０の処理のシーケンスを示す図である。

はじめに、端末装置１０の制御部１００（設定画面表示部１０２）は、画像形成装置２０に対して、設定画面要求を送信する（Ｓ１００２）。画像形成装置２０の制御部２００（設定画面データ提供部２０４）は、設定画面要求を受信した場合、端末装置１０と画像形成装置２０との間の通信路がセキュアであるか否かを判定する（Ｓ１００４）。これにより、端末装置１０と画像形成装置２０との間の通信路がセキュアであることが、制御部２００によって判定される。

つづいて、制御部２００は、管理データ２６２を読み出して、端末装置１０に送信する設定値データを取得する。なお、設定値データの一部は秘匿データであるとする。

ここで、Ｓ１００４において、端末装置１０と画像形成装置２０との間の通信路がセキュアであることが判定されている。したがって、制御部２００（設定画面データ提供部２０４）は、通信部２５０を介して、設定画面データとして、レイアウトデータと秘匿データとを含む設定値データとを端末装置１０に送信する（Ｓ１１０２）。

つづいて、端末装置１０の制御部１００（設定画面表示部１０２）は、図５のＳ１００８からＳ１０１２までの処理を実行する。これにより、秘匿データがマスク表示される。また、制御部１００（判定部１０４）は、通信路がセキュアであるか否かの判定を行う（Ｓ１０１４）。これにより、端末装置１０と画像形成装置２０との間の通信路がセキュアであることが、制御部１００（判定部１０４）によって判定される。

つづいて、制御部１００（表示切替制御部１０６）は、設定画面に表示ボタンを表示する（Ｓ１１０４）。これにより、端末装置１０と画像形成装置２０との間の通信路がセキュアである場合における設定画面には、表示ボタンが表示される。

［１．４ 動作例］
つづいて、図を参照して、本実施形態の動作例を説明する。図７は、端末装置１０と画像形成装置２０との間の通信路が暗号化されていない場合に、端末装置１０の表示部１２０に表示される設定画面Ｗ１００の表示例である。設定画面Ｗ１００は、画像形成装置２０が接続するメールサーバの設定画面の表示例であり、メールサーバのサーバ名と、メールサーバにログインするために用いられるログイン名及びパスワードを入力するための表示要素を含む。パスワードを入力するための表示要素は、入力欄Ｅ１００として表示される。

メールサーバにログインするためのパスワードが秘匿データである場合、図７の入力欄Ｅ１００には、秘匿データの代わりにランダムな文字列がマスク表示される。ここで、設定画面Ｗ１００には、入力欄Ｅ１００に入力されているデータを可視化するための表示ボタンが含まれない。したがって、ユーザは、入力欄Ｅ１００に入力されているデータを視認することができない。

図８は、端末装置１０と画像形成装置２０との間の通信路が暗号化されている場合に、端末装置１０の表示部１２０に表示される設定画面の表示例である。設定画面Ｗ１１０は、図７に示した設定画面Ｗ１００と同様に、メールサーバにログインするためのパスワードが秘匿データである場合における、画像形成装置２０が接続するメールサーバの設定画面の表示例である。

図８（ａ）は、設定画面Ｗ１１０が表示部１２０に最初に表示された時点における設定画面Ｗ１１０の表示例である。設定画面Ｗ１１０には、パスワードを入力するための表示要素である入力欄Ｅ１１０が含まれる。設定画面Ｗ１１０が表示部１２０に最初に表示された時点では、パスワードがマスク表示されている。

設定画面Ｗ１１０には、表示ボタンＢ１１０が含まれる。ユーザによって表示ボタンＢ１１０が選択された場合、表示部１２０には、図８（ｂ）に示した設定画面Ｗ１２０が表示部１２０に表示される。設定画面Ｗ１２０には、パスワードを入力するための表示要素である入力欄Ｅ１２０が含まれる。入力欄Ｅ１２０には、パスワードがそのまま表示される。

これにより、ユーザは、表示ボタンを選択することでパスワードの内容を視認することができる。なお、ユーザによって設定画面Ｗ１２０に含まれる表示ボタンＢ１２０の選択が解除された場合、図８（ａ）に示した設定画面Ｗ１１０が表示部１２０に表示される。このように、表示ボタンが選択される度にパスワードの表示態様が切り替わり、パスワードがマスク表示されたりそのまま表示されたりする。

なお、秘匿データが画像形成装置２０に記憶されていない場合は、図７に示した設定画面Ｗ１００の入力欄Ｅ１００や、図８に示した設定画面の入力欄Ｅ１１０及びＥ１２０には、何らの表示がされない。この場合、ユーザは、秘匿データが画像形成装置２０に記憶されていないことを視認することができる。

本実施形態では、メールサーバの情報の入力及び表示を行う設定画面の例について説明したが、本実施形態において説明した技術は、メールサーバの情報以外の入力及び表示を行う設定画面に適用してもよい。また、本実施形態において説明した技術は、ログイン画面など、設定画面以外の画面に適用してもよい。すなわち、秘匿データの入力や表示を行う画面が表示される場合に、本実施形態において説明した技術を適用することができる。

また、本実施形態では、端末装置１０と通信を行う装置は画像形成装置２０以外の装置であってもよい。端末装置１０と通信を行う装置は、例えば、サーバ装置等、所定のサービスを提供する情報処理装置であってもよいし、他の端末装置であってもよい。

また、本実施形態では、端末装置１０と画像形成装置２０との通信路がセキュアでない場合は、秘匿データと同じ文字数によって構成されたランダムな文字列が送受信されることとして説明したが、別のデータが送られてもよい。例えば、端末装置１０と画像形成装置２０との通信路がセキュアでない場合、画像形成装置２０から端末装置１０に対して、秘匿データの文字数が送受信されてもよい。この場合、端末装置１０の制御部１００（設定画面表示部１０２）は、秘匿データを表示する表示要素に、受信した文字数分のマスク文字を表示すればよい。

さらに、より安全性を高めるために、端末装置１０と画像形成装置２０との通信路がセキュアでない場合は、秘匿データの文字数と一致しない文字数や、秘匿データの文字数と一致しない文字数によって構成されるランダムな文字列が送受信されてもよい。これにより、端末装置１０と画像形成装置２０との間で通信されるデータが傍受されても、秘匿データの文字数が漏洩することがなくなる。なお、端末装置１０と画像形成装置２０との通信路がセキュアでない場合は、画像形成装置２０に秘匿データが記憶されているか否かを示すフラグデータが送受信されてもよい。制御部１００（設定画面表示部１０２）は、秘匿データが記憶されていることを示すフラグデータを受信した場合、所定のマスク表示を行うことで、ユーザに対して、画像形成装置２０に秘匿データが記憶されているか否かを確認させることができる。

本実施形態によれば、端末装置１０と画像形成装置２０との間の通信路として、ＨＴＴＰＳプロトコルが利用されていない（ＴＬＳ暗号化がされていない）場合、秘匿データの代わりとなるデータが送受信される。したがって、本実施形態のシステムによれば、通信路が傍受されることにより、秘匿データが平文で漏洩することを防ぐことができる。一方で、秘匿データの代わりとなるデータが送受信されることで、本実施形態のシステムによれば、ユーザに対して、画像形成装置において秘匿データが設定されているか否かを視認させることができる。

また、本実施形態のシステムによれば、端末装置１０と画像形成装置２０との間の通信路として、ＨＴＴＰＳプロトコルが利用されている場合（ＴＬＳ暗号化がされている場合）、通信路を介して送受信された秘匿データを表示させることができる。

このように、本実施形態によれば、画像形成装置に設定（又は入力）されたパスワード等の秘匿データを確認可能な画面を画像形成装置と通信可能な端末装置に表示させる際に、通信経路上から秘匿データが漏洩しないように安全を確保した上で、秘匿データをユーザに確認させることができる。

［２．第２実施形態］
つづいて、第２実施形態について説明する。第２実施形態は、通信路の暗号化の強度に基づき、通信路がセキュアであるか否かを判定する実施形態である。

本実施形態では、端末装置１０及び画像形成装置２０は、通信路がセキュアであることを判定するための閾値を共有する。

本実施形態では、図５及び図６におけるＳ１００４において、制御部２００（設定画面データ提供部２０４）は、通信路の暗号化強度が所定の閾値に満たない場合は、通信路がセキュアではないと判定する。この場合は、制御部２００（設定画面データ提供部２０４）は、端末装置１０に対して、秘匿データを送信せず、秘匿データの代わりとなるデータを送信する。

一方で、制御部２００（設定画面データ提供部２０４）は、通信路の暗号化強度が所定の閾値以上である場合は、通信路がセキュアであると判定する。この場合は、制御部２００（設定画面データ提供部２０４）は、端末装置１０に対して、秘匿データを送信する。

また、本実施形態では、図４におけるステップＳ１１２と、図５及び図６におけるＳ１０１４とにおいて、制御部１００（判定部１０４）は、通信路の暗号化強度が所定の閾値に満たない場合は、通信路がセキュアではないと判定する。この場合は、制御部１００（表示切替制御部１０６）は、設定画面に表示ボタンを表示しない。

一方で、制御部１００（判定部１０４）は、通信路の暗号化強度が所定の閾値以上である場合は、通信路がセキュアであると判定する。この場合は、制御部１００（表示切替制御部１０６）は、設定画面に表示ボタンを表示する。

通信路の暗号化強度は、通信を行うためのプロトコルの種類やバージョンに基づいて判定されればよい。また、通信路がセキュアであるか否かを判定するために用いられる閾値は、画像形成装置２０の管理者などにより設定され、変更される。このように閾値を変更可能とすることで、計算機能力が向上した場合における秘匿データの復号化のリスクが増大した場合に、閾値を上げることにより対応することができる。

このように、本実施形態によれば、通信時の暗号化強度が弱い場合には、表示ボタンが表示されないようにできる。これにより、暗号化強度が強い場合にのみ秘匿データが送受信されるため、傍受された暗号化データの復号化リスクを軽減することができる。

また、本実施形態によれば、通信路がセキュアであるか否かを判定するための閾値を変更することが可能である。したがって、計算機能力の向上により、傍受された暗号化データの復号化のリスクが増大した場合に、閾値を上げることにより対応することができる。

特に、画像形成装置においては、ＳＳＬ（Secure Sockets Layer）／ＴＬＳ等のセキュア通信の有効／無効を切り替える設定があり、セキュア通信が無効な場合は画像形成装置と端末装置間のデータは平文で送信されることがあり、悪意のある者にパスワードが漏洩する危険がある。また、画像形成装置と端末装置間のセキュア通信に使用される暗号セットの強度は相互のネゴシエーションで決定される。そのため、古い端末装置が使用された場合等は、画像形成装置と端末装置間のセキュア通信において、復号化が容易な強度の弱い暗号セットが選択される可能性がある。本実施形態によれば、強度の弱い暗号セットが選択される場合には、パスワード等の秘匿データの送受信及び可視化を行わないことで、パスワード等の秘匿データの漏洩を防止することができる。一方で、画像形成装置と端末装置間のセキュア通信において強度の強い暗号セットが選択される場合には、パスワード等の秘匿データが入力された時に、ユーザに入力内容を確認させることができる。

［３．第３実施形態］
つづいて、第３実施形態について説明する。第３実施形態は、端末装置１０と画像形成装置２０との間の通信路がセキュアであり、画像形成装置２０から端末装置１０に秘匿データが送信される場合において、画像形成装置２０が、秘匿データの表示を許可するか否かを決定する実施形態である。第３実施形態は、第１実施形態の図６を図９に置き換えたものであり、同一の機能部及び処理には同一の符号を付し、説明については省略する。

図９は、端末装置１０と画像形成装置２０との間の通信路がセキュアである場合において、端末装置１０の表示部１２０に設定画面が表示されるまでに実行される、端末装置１０及び画像形成装置２０の処理のシーケンスを示す図である。

本実施形態では、制御部２００（設定画面データ提供部２０４）は、Ｓ１００４において端末装置１０と画像形成装置２０との間の通信路がセキュアであることを判定したあと、さらに、端末装置１０に秘匿データの表示を許可するか否かを判定する（Ｓ２００２）。例えば、制御部２００（設定画面データ提供部２０４）は、以下のように、秘匿データの表示の許否を判定する。

（１）ユーザの属性に基づく判定方法
制御部２００（設定画面データ提供部２０４）は、端末装置１０を利用するユーザが有する権限、ユーザの役職、ユーザの所属等、ユーザに関する属性の情報に基づき、秘匿データの表示許否を判定する。例えば、制御部２００（設定画面データ提供部２０４）は、端末装置１０を利用するユーザが画像形成装置２０の管理権限を有していなければ、秘匿データの表示を許可しない。一方、制御部２００（設定画面データ提供部２０４）は、端末装置１０を利用するユーザが画像形成装置２０の管理権限を有していれば、秘匿データの表示を許可する。

（２）端末装置１０に基づく判定方法
制御部２００（設定画面データ提供部２０４）は、設定画面要求を送信した端末装置１０の送信元の情報や属性に基づいて、秘匿データの表示の許否を判定する。例えば、制御部２００（設定画面データ提供部２０４）は、設定画面要求を送信した端末装置１０が特定のグループ（ドメイン）やネットワークに属す場合に秘匿データの表示を許可する。一方で、制御部２００（設定画面データ提供部２０４）は、設定画面要求を送信した端末装置１０が特定のグループ等に属しない場合は、秘匿データの表示を許可しない。

（３）画像形成装置２０の設定に基づく判定方法
制御部２００（設定画面データ提供部２０４）は、画像形成装置２０において秘匿データの表示を許可するか否かを示す設定が記憶されている場合は、当該設定に基づき、秘匿データの許否を判定する。例えば、制御部２００（設定画面データ提供部２０４）は、画像形成装置２０において、秘匿データの表示を許可することを示す設定がされていた場合は、秘匿データの表示を許可する。一方で、制御部２００（設定画面データ提供部２０４）は、秘匿データの表示を許可しないことを示す設定がされていた場合は、秘匿データの表示を許可しない。

つづいて、制御部２００（設定画面データ提供部２０４）は、端末装置１０に対して、レイアウトデータ及び秘匿データと、Ｓ２００２における判定された表示許否を示すデータ（例えば、フラグデータ）を送信する（Ｓ２００４）。

また、制御部１００（表示切替制御部１０６）は、画像形成装置２０から受信した表示許否を示すデータに基づいて、表示ボタンの表示を行うか否かを判定する（Ｓ２００６）。ステップＳ２００４において、秘匿データの表示が許可されていることを示すデータを受信した場合は、制御部１００（表示切替制御部１０６）は、設定画面に表示ボタンを表示する（Ｓ２００６；Ｙｅｓ→Ｓ１１０４）。一方で、ステップＳ２００４において、秘匿データの表示が許可されていないことを示すデータを受信した場合は、制御部１００（表示切替制御部１０６）は、Ｓ１１０４の処理をスキップ（省略）する（Ｓ２００６；Ｎｏ）。この場合は、表示ボタンが設定画面に表示されない。

なお、本実施形態において、第３実施形態は、端末装置１０と画像形成装置２０との間の通信路がセキュアではない場合は、端末装置１０及び画像形成装置２０は、第１実施形態の図５に示した処理を実行すればよい。

本実施形態によれば、端末装置のユーザや端末装置の属性といった情報に基づき、秘匿データの表示許否を切り替えることが可能となる。これにより、通信路がセキュアな場合において、例えば、管理権限を有しないユーザに対して、秘匿データが漏洩してしまうことを防ぐことが可能となる。

［４．第４実施形態］
つづいて、第４実施形態について説明する。第４実施形態は、端末装置１０と画像形成装置２０との間の通信路がセキュアであり、画像形成装置２０から端末装置１０に秘匿データが送信される場合において、端末装置１０が、利用状況に基づき、秘匿データの表示を許可するか否かを決定する実施形態である。第４実施形態は、第１実施形態の図６を図１０に置き換えたものであり、同一の機能部及び処理には同一の符号を付し、説明については省略する。

図１０は、端末装置１０と画像形成装置２０との間の通信路がセキュアである場合において、端末装置１０の表示部１２０に設定画面が表示されるまでに実行される、端末装置１０及び画像形成装置２０の処理のシーケンスを示す図である。

本実施形態では、端末装置１０と画像形成装置２０とは、図１０に示すように、Ｓ１００２からＳ１０１４までの処理を実行する。

つづいて、端末装置１０の制御部１００（判定部１０４）は、利用状況に基づき、秘匿データの表示の許否を判定する（Ｓ３００２）。利用状況は、例えば、ユーザの属性、端末装置１０が所属するグループやネットワーク、端末装置１０の設定の状況等である。

具体的には、第３実施形態のＳ２００２のように、制御部１００（判定部１０４）は、端末装置１０を利用するユーザが管理権限を有していれば秘匿データの表示を許可し、管理権限を有していなければ秘匿データの表示を許可しない。また、制御部１００（判定部１０４）は、接続しているネットワークが特定のドメインやネットワークに属すか否かに基づき、秘匿データの表示の許否を判定してもよい。また、制御部１００（判定部１０４）は、端末装置１０に記憶された設定の内容（例えば、秘匿データの表示許否を示すフラグデータ）に基づいて、秘匿データの表示の許否を判定してもよい。

秘匿データの表示を許可する場合、制御部１００（表示切替制御部１０６）は、設定画面に表示ボタンを表示する（Ｓ３００２；Ｙｅｓ→Ｓ１１０４）。一方、秘匿データの表示を許可しない場合、制御部１００（表示切替制御部１０６）は、Ｓ１１０４の処理をスキップ（省略）する（Ｓ３００２；Ｎｏ）。これにより、設定画面は表示ボタンが表示されない状態となる。

上述した処理により、端末装置１０は、画像形成装置２０から秘匿データを受信した場合であっても、当該秘匿データの表示を許可するか否かを切り替えることが可能となる。

本実施形態によれば、端末装置は、画像形成装置から秘匿データを受信した場合であっても、端末装置の利用状況（例えば、端末装置の利用者や端末装置の属性）に基づき、柔軟に秘匿データの表示許否を設定することが可能となる。

［５．変形例］
本発明は上述した各実施の形態に限定されるものではなく、種々の変更が可能である。すなわち、本発明の要旨を逸脱しない範囲内において適宜変更した技術的手段を組み合わせて得られる実施の形態についても本発明の技術的範囲に含まれる。また、上述した実施形態は、説明の都合上、それぞれ別に説明している部分があるが、技術的に可能な範囲で組み合わせて実行してもよいことは勿論である。

また、実施形態において各装置で動作するプログラムは、上述した実施形態の機能を実現するように、ＣＰＵ等を制御するプログラム（コンピュータを機能させるプログラム）である。そして、これら装置で取り扱われる情報は、その処理時に一時的に一時記憶装置（例えば、ＲＡＭ）に蓄積され、その後、各種ＲＯＭ（Read Only Memory）やＨＤＤ等の記憶装置に格納され、必要に応じてＣＰＵによって読み出し、修正・書き込みが行なわれる。

ここで、プログラムを格納する記録媒体としては、半導体媒体（例えば、ＲＯＭや、不揮発性のメモリカード等）、光記録媒体・光磁気記録媒体（例えば、ＤＶＤ（Digital Versatile Disc）、ＭＯ（Magneto Optical Disc）、ＭＤ（Mini Disc）、ＣＤ（Compact Disc）、ＢＤ（Blu-ray（登録商標） Disc）等）、磁気記録媒体（例えば、磁気テープ、フレキシブルディスク等）等の何れであってもよい。また、ロードしたプログラムを実行することにより、上述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、オペレーティングシステムあるいは他のアプリケーションプログラム等と共同して処理することにより、本発明の機能が実現される場合もある。

また、市場に流通させる場合には、可搬型の記録媒体にプログラムを格納して流通させたり、インターネット等のネットワークを介して接続されたサーバコンピュータに転送したりすることができる。この場合、サーバコンピュータの記憶装置も本発明に含まれるのは勿論である。

１ システム
１０ 端末装置
１００ 制御部
１０２ 設定画面表示部
１０４ 判定部
１０６ 表示切替制御部
１１０ 入力部
１２０ 表示部
１３０ 記憶部
１４０ 通信部
２０ 画像形成装置
２００ 制御部
２０２ 画像処理部
２０４ 設定画面データ提供部
２１０ 画像入力部
２２０ 画像形成部
２３０ 入力部
２４０ 表示部
２５０ 通信部
２６０ 記憶部
２６２ 管理データ

Claims (9)

1. 通信路を介してデータを送受信する通信部と、表示部と、制御部とを備えた情報処理装置において、
   前記制御部は、
   前記通信部により、セキュアな通信路を介してデータを受信するときは秘匿データを含むデータを受信し、
   前記通信部により、セキュアでない通信路を介してデータを受信するときは前記秘匿データの代わりとなるデータを含むデータを受信し、
   前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行い、
   前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示し、
   前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データに含まれる前記秘匿データを前記表示部に表示する、
   ことを特徴とする情報処理装置。
2. 前記制御部は、前記データがセキュアではない通信路を介して受信された場合には、前記表示ボタンを前記表示部に表示しないことを特徴とする請求項１に記載の情報処理装置。
3. 前記制御部は、前記データがセキュアではない通信路を介して受信された場合には、前記表示部に、前記データの代替となるデータを表示することを特徴とする請求項２に記載の情報処理装置。
4. 前記制御部は、前記通信部に接続されている通信路の暗号化強度に基づいて通信路がセキュアであるか否かを判定することを特徴とする請求項１から３の何れか一項に記載の情報処理装置。
5. 前記通信部は、さらに前記データの表示許否を示すデータを受信し、
   前記制御部は、前記データがセキュアな通信路を介して受信された場合であって、前記データの表示を許可することを示すデータが受信された場合に、前記表示ボタンを前記表示部に表示することを特徴とする請求項１から４の何れか一項に記載の情報処理装置。
6. 前記制御部は、前記データがセキュアな通信路を介して受信された場合であって、前記情報処理装置の利用状況に応じて前記データの表示を許可する場合に、前記表示ボタンを前記表示部に表示することを特徴とする請求項１から４の何れか一項に記載の情報処理装置。
7. 前記利用状況はユーザの属性であることを特徴とする請求項６に記載の情報処理装置。
8. 通信路を介してデータを送受信する通信部と、表示部とを備えた情報処理装置の制御方法であって、
   前記通信部により、セキュアな通信路を介してデータを受信するときは秘匿データを含むデータを受信するステップと、
   前記通信部により、セキュアでない通信路を介してデータを受信するときは前記秘匿データの代わりとなるデータを含むデータを受信するステップと、
   前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行うステップと、
   前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示するステップと、
   前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データに含まれる前記秘匿データを前記表示部に表示するステップと、
   を含むことを特徴とする制御方法。
9. 通信路を介してデータを送受信する通信部と、表示部とを備えた情報処理装置のコンピュータに、
   前記通信部により、セキュアな通信路を介してデータを受信するときは秘匿データを含むデータを受信する機能と、
   前記通信部により、セキュアでない通信路を介してデータを受信するときは前記秘匿データの代わりとなるデータを含むデータを受信する機能と、
   前記通信部を介して受信されたデータに基づいて、前記表示部にマスク表示を行う機能と、
   前記データがセキュアな通信路を介して受信された場合には、表示ボタンを前記表示部に表示する機能と、
   前記表示ボタンが選択された場合は、前記データのマスク表示を解除して、当該データに含まれる前記秘匿データを前記表示部に表示する機能と、
   を実現させることを特徴とするプログラム。

Images