JPH08102735A - 電子文書処理方法 - Google Patents

Abstract

(57)【要約】 【目的】 電子文書の送り先計算機にて読出し可能な利
用者、その時刻や場所を送信文書ごとに指定できる電子
文書処理方法を提供すること。 【構成】 第１の計算機システムから送信された電子文
書を第２の計算機システムにて受信し、該第２の計算機
システムへの該電子文書に対する読み出し要求に応じた
処理を行うための電子文書処理方法において、送信され
た、所定の暗号鍵で暗号化された電子文書および該電子
文書の読み出し条件を示すデータを受信する受信ステッ
プと、外部から前記暗号化された電子文書の読み出し要
求を受けた場合、前記読み出し条件に応じて、該要求を
許可するか否かを決定する決定ステップと、この決定ス
テップにて前記要求を許可することが決定された場合、
前記所定の暗号鍵に対応する所定の復号鍵を獲得し、該
復号鍵で前記暗号化された電子文書を復号する復号ステ
ップとを有することを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、電子文書を事前に通信
ネットワーク経由で送り先に配送し、送信者により指定
された条件が成立した場合にその内容を公開できるよう
にした電子文書配送システムに関する。

【０００２】

【従来の技術】電子会議システムあるいは計算機会議シ
ステムが徐々に普及してはいるものの、実際に人間が移
動して行なう対面会議が完全になくなるとは考えにく
い。これは、直接対面した場合とほぼ等価な臨場感を計
算機会議で実現することは不可能と考えられることが一
因である。

【０００３】その一方で、対面会議の場面に計算機技術
による支援機能がより入り込むことは予想される。例え
ば、文書の配布や発言、議論の保存・記録はより電子化
されていくだろう。移動先で必要となる文書が予め分か
っていればそれを移動先に送りつけておき、実際に移動
先に到着後、その文書を利用する形態も必要となるだろ
う。いわば、電子文書の宅配である。

【０００４】従来、電子文書の配送方法としてはフロッ
ピーディスクなどの２次記憶媒体に記録して配る方法、
電子メールなどの計算機間の通信を利用して配る方法が
存在する。このうち、通信ネットワークを利用する後者
の方法において、通信路上のデータ保護が必要な場合に
は、通信データの暗号化が行なわれる。具体例として
は、Ｉｎｔｅｒｎｅｔなどで実現されている暗号電子メ
ール（ＰｒｉｖａｃｙＥｎｈａｎｃｅｄ Ｍａｉｌ）が
ある。但し、従来の暗号電子メールは、基本的には特定
計算機の特定ユーザ宛に電子文書を暗号化して配送する
機能を実現するだけであり、通信路での盗聴防止や文書
の改ざん検出を実現するが、例えば移動先の計算機の管
理者（ｒｏｏｔ）には送信された文書は全て内容が読ま
れる可能性がある。これは、暗号電子メールの復号に必
要な秘密鍵は通常、ユーザのホームディレクトリにファ
イルとして置かれているが、ｕｎｉｘファイルシステム
のアクセス制御を利用して他のユーザからの利用を制限
しているのみであり、管理者は特権として任意のファイ
ルのアクセス権を変更可能であるためである。

【０００５】また、会議での利用文書を想定すると、会
場に到着した会議のメンバに対しては、文書を送信した
本人が到着していなくても内容を読まれても構わないと
か、あるいは、その会場に行かないメンバに対しては文
書の配送を行なわないなどの文書内容の読み出しに対す
るきめ細かな設定が行なえることが望ましいが、このよ
うな機能は、電子文書配送システムでは提供されていな
かった。

【０００６】

【発明が解決しようとする課題】このように、暗号電子
メールに代表される従来の電子文書配送システムでは、
送り先の計算機システムの管理者により送信文書の内容
が読まれる可能性があった。また、文書の読み出し条件
が固定的であるため、読み出しを許可する日時や場所、
ユーザの指定が不可能であったり、柔軟性に欠けるなど
の問題点があった。

【０００７】本発明は、上記事情を考慮してなされたも
のであり、電子文書の送り先の計算機において、読み出
し可能な利用者およびその時刻や場所を送信文書ごとに
指定可能できる電子文書処理方法を提供することを目的
とする。

【０００８】また、本発明は、上記事情を考慮してなさ
れたものであり、電子文書の送り先の計算機の管理者に
対しても内容の保護を実現できるとともに、読み出し可
能な利用者およびその時刻や場所を送信文書ごとに指定
できる電子文書処理方法を提供することを目的とする。

【０００９】

【課題を解決するための手段】本発明は、第１の計算機
システムから送信された電子文書を第２の計算機システ
ムにて受信し、該第２の計算機システムへの該電子文書
に対する読み出し要求に応じた処理を行うための電子文
書処理方法において、送信された、所定の暗号鍵で暗号
化された電子文書および該電子文書の読み出し条件を示
すデータを受信する受信ステップと、外部から前記暗号
化された電子文書の読み出し要求を受けた場合、前記読
み出し条件に応じて、該要求を許可するか否かを決定す
る決定ステップと、この決定ステップにて前記要求を許
可することが決定された場合、前記所定の暗号鍵に対応
する所定の復号鍵を獲得し、該復号鍵で前記暗号化され
た電子文書を復号する復号ステップとを有することを特
徴とする。

【００１０】また、本発明は、第１の計算機システムか
ら送信された電子文書を第２の計算機システムにて受信
し、該第２の計算機システムへの該電子文書に対する読
み出し要求に応じた処理を行うための電子文書処理方法
において、送信された、電子文書および該電子文書の読
み出しを許可する日時の情報と読み出しを許可する要求
元の存在場所の情報の少なくとも一方を含む読み出し条
件を示すデータを受信する受信ステップと、外部から前
記暗号化された電子文書の読み出し要求を受けた場合、
前記読み出し条件に時間の情報が含まれるときは現在の
時間を獲得するとともに、前記読み出し条件に要求元計
算機の存在場所の情報が含まれるときは該読み出し要求
を発生した計算機のアドレスからその存在場所を特定す
る情報を獲得し、獲得した該情報と前記受信ステップに
て得られた読み出し条件を示すデータとを対比すること
により、前記読み出し要求を許可するか否かを決定する
決定ステップとを有することを特徴とする。

【００１１】また、好ましくは、前記受信ステップで
は、前記電子文書および前記読み出し条件を示すデータ
とともに、該読み出し条件を示すデータが改ざんされた
ことを検出し得る認証コードを取り込み、前記決定ステ
ップでは、前記読み出し要求が与えられた場合、最初に
前記認証コードを検査し、この検査の結果、前記読み出
し条件を示すデータが改ざんされていないことが確認さ
れた場合に前記読み出し要求を許可するか否かを決定す
るように構成すると良い。

【００１２】

【作用】本発明では、送信者が利用する第１の計算機シ
ステムから、受信者が利用する第２の計算機システム、
例えば会議場に設けられた計算機システムなどに、事前
に電子文書を送信し、送信者が第２の計算機システムの
設置場所に到着した後で送信しておいた電子文書を読み
出して利用する際に、次のような処理が行われる。

【００１３】すなわち、第２の計算機システムでは、第
１の計算機システムから送信された、所定の暗号鍵で暗
号化された電子文書および該電子文書の読み出し条件を
示すデータを受信した後、外部から前記暗号化された電
子文書の読み出し要求を受けた場合、前記読み出し条件
に応じて、該要求を許可するか否かを決定する。ここ
で、前記要求を許可することが決定された場合に初め
て、前記所定の暗号鍵に対応する所定の復号鍵を獲得
し、該復号鍵で前記暗号化された電子文書を復号するこ
とができる。

【００１４】このとき、電子文書を復号化するための復
号鍵は読み出し時に入力するので、復号鍵の所持者だけ
が復号処理を可能とすることができ、第２の計算機シス
テムの管理者であっても配送鍵を知らない限りは内容を
読むことはできない。例えば、配送鍵を事前に会議のメ
ンバ全員で共有しておけば、会議のメンバは読み出しが
できる。このように配送鍵の管理により内容の読み出し
が可能となる受信者を特定することができる。

【００１５】さらに、第２の計算機システムが、送信文
書に添付された読み出し条件に応じてアクセス制御を行
なうことができるので、例えばアクセス日時の制限（い
つからいつの間であれば取り出しができるなど）やアク
セス場所の制限（会場内の計算機からでないと取り出し
ができないなど）を設定可能で、様々な読み出し条件に
応じてきめ細かな制御が行なえる。

【００１６】一方、本発明では、送信者が利用する第１
の計算機システムから、受信者が利用する第２の計算機
システム、例えば会議場に設けられた計算機システムな
どに、事前に電子文書を送信し、送信者が第２の計算機
システムの設置場所に到着した後で送信しておいた電子
文書を読み出して利用する際に、次のような処理が行わ
れる。

【００１７】すなわち、第２の計算機システムでは、第
１の計算機システムから送信された、電子文書および該
電子文書の読み出しを許可する日時の情報と読み出しを
許可する要求元の存在場所の情報の少なくとも一方を含
む読み出し条件を示すデータを受信した後、外部から前
記暗号化された電子文書の読み出し要求を受けた場合、
現在の時間や該要求の発生元計算機の存在場所を特定す
る情報を獲得し、獲得した該情報と読み出し条件とを対
比して、前記読み出し要求を許可するか否かを決定す
る。

【００１８】このとき、第２の計算機システムが、送信
文書に添付された読み出し条件に応じてアクセス制御を
行なうことができるので、アクセス日時の制限（いつか
らいつの間であれば取り出しができるなど）やアクセス
場所の制限（会場内の計算機からでないと取り出しがで
きないなど）を設定可能で、様々な読み出し条件に応じ
てきめ細かな制御が行なえる。

【００１９】

【実施例】以下、図面を参照しながら本発明の実施例を
説明する。図１は、本発明の一実施例に係る電子文書配
送システムの概略的な構成を示す。このシステムは、送
信者が通常利用している計算機システム（以下、ホーム
システムと呼ぶ）１０１、送信者の電子文書の送り先と
なる計算機システム（以下、移動先システムと呼ぶ）１
０２、通信ネットワーク１０３からなる。

【００２０】移動先システム１０２は、例えば会議など
で一時的に使用される計算機環境であっても良い。通信
ネットワーク１０３は、例えば広域ネットワークであ
る。この電子文書配送システムは、最低限、１つのホー
ムシステム１０１と１つの移動先システム１０２にて構
成されるが、現実的には、ホームシステム１０１を複数
備えることが想定され、さらには移動先システム１０２
をも複数備えることも考えられる。また、１つの計算機
システムに、ホームシステム１０１としての機能と移動
先システム１０２としての機能を兼備させることも可能
である。

【００２１】本実施例では、ホームシステム１０１は、
通信ネットワーク１０３に収容される１つのサブネット
を構成しており、例えば、ルータあるいはゲートウェイ
などの網間接続装置１２０、後述するような機能を有す
る少なくとも１台の端末計算機２００、ローカルネット
ワーク３４０から構成される。

【００２２】また、移動先システム１０２は、通信ネッ
トワーク１０３に収容される１つのサブネットを構成し
ており、例えば、ルータあるいはゲートウェイなどのよ
うな網間接続機能および後述するような文書管理機能を
有する文書管理計算機３００、後述するような機能を有
する少なくとも１台の端末計算機３１０、ローカルネッ
トワーク３５０から構成される。ただし、文書管理計算
機３００の機能のうち網間接続機能を取り出し、ホーム
システム１０１のように網間接続装置を設ける構成にし
ても構わない。

【００２３】なお、ホームシステム１０１は、サブネッ
トを構成せずに、ネットワークに接続できる機能を有す
る１台の計算機２００とすることも可能であり、移動先
システム１０１は、ネットワークに接続できる機能、計
算機３００の機能、計算機３１０の機能を兼ね備えた１
台の計算機とすることも可能である。

【００２４】また、ホームシステム１０１や移動先シス
テム１０２は、これらの他に、種々の構成が考えられ
る。前述したように図１のホームシステム１０１と移動
先システム１０２は、通信ネットワーク１０３を介して
接続されている。ホームシステム１０１と移動先システ
ム１０２はそれぞれ、電子文書を相互に送受信する手
段、例えば、電子メールやファイル転送プログラム（ｆ
ｔｐもしくはＡｎｏｎｙｍｏｕｓ ｆｔｐなど）を備え
ている。

【００２５】電子文書の配送主体である送信者は、ホー
ムシステム１０１内の計算機２００から移動先システム
１０２内の特定の計算機３１０に向けて電子文書を送信
する。このとき、配送主体は、移動先システム１０２に
既にアカウントを所持している場合には、ｆｔｐなどに
より文書の送信を行なうことができる。アカウントを所
持していない場合には、移動先システム１０２内の、Ａ
ｎｏｎｙｍｏｕｓ ｆｔｐの設定がなされている計算機
３１０のＩＰアドレスを知るか、移動先システム１０２
に文書を送付するための適当なメールアドレスを知る
か、あるいは移動先システム１０２の計算機管理者にア
カウントの設定を依頼するなど、文書の送信に必要な処
理を行なう。

【００２６】ところで、移動先システム１０２の計算機
管理者は、当該システム内のファイルおよびディレクト
リの使用権を操作可能であり、送信された文書の内容を
読み出すことができる。本実施例では、これを防止し、
読み出しが可能となる利用者を限定するために、送信文
書を適当な暗号鍵（以下、配送鍵と呼ぶ）で暗号化して
送信する。この配送鍵の配布を制御することにより、様
々な読み出し条件を設定することが可能となる。例え
ば、送信者自身が決定した配送鍵を秘密にしておけば、
送信者自身しか読むことはできない。あるいは、あるグ
ループで共有されている配送鍵を利用すれば、そのグル
ープのメンバは誰でも読むことができる。さらには、グ
ループのメンバのうち任意のｋ人が協力することにより
内容を読むことができるようにするなどの設定が可能で
ある。これらの具体例は、以降で説明する。

【００２７】次に、本実施例の電子文書配送システムの
より具体的な構成例を、図２および図３に示す。図２
は、ホームシステム１０１内の計算機２００の一例であ
り、図３は、移動先システム１０２内の文書管理計算機
（以下、文書管理サーバと呼ぶ）３００とそのクライア
ントである計算機（以下、クライアントと呼ぶ）３１０
の一例である。

【００２８】図２のようにホームシステム１０１内の計
算機２００は、電子文書を編集する文書編集部２０１、
編集した文書を保存する記憶部２０２、送信文書の暗号
化に利用する配布鍵を生成する配布鍵生成部２０３、配
布鍵をＩＣカードやフロッピーディスクなどから入力
し、また配布鍵生成部２０３により生成された配布鍵を
ＩＣカードやフロッピーディスクなどへ出力する配布鍵
入出力部２０４、配布鍵を利用して電子文書を暗号化す
る暗号器２０５、暗号器２０５への鍵の入力の切替え、
および生成した配布鍵の出力先の切替えを行なうスイッ
チ２０６、送り先での読み出し条件を設定する読み出し
条件設定部２０７、読み出し条件データに対し認証コー
ドを生成する認証コード生成部２０８、暗号化された文
書と認証コード付きの読み出し条件データを所定のフォ
ーマットで合成するフォーマット合成部２０９、以上に
より作成された文書を送信する通信部２１０を有する。

【００２９】読み出し条件データは、移動先システム１
０２において、受信した文書の読み出しを制御する文書
管理サーバ３００が、リード要求を受理するか拒絶する
かを判定するための基準となるデータである。一例とし
て、移動先システム１０２でのログイン名、読み出し可
能な時刻、読み出しを許可するクライアント３１０（ど
のクライアント３１０からの読み出し要求であれば許可
するか）などを指定したデータである。

【００３０】認証コードは、特定の送信者が設定したデ
ータ内容が第三者により変更されていないかどうかを検
査するために付与されるものである。一例としては、利
用者に固有の秘密鍵を利用したディジタル署名によって
行われる。

【００３１】一方、図３のように移動先システム１０２
内には、文書管理サーバ３００とそれ以外のクライアン
ト３１０が存在し、ローカルネットワーク３５０で接続
されている。

【００３２】クライアント３１０は、移動先システム１
０２にてユーザがコンソールとして使用するための計算
機であり、通常複数台用意される。ただし、１台でも構
わない。

【００３３】ユーザが使用するクライアント３１０は、
ローカルネットワーク３５０を介してデータの入出力を
行なう通信部３０１、文書管理サーバ３００から受信し
た暗号化文書の復号を行なう復号器３０２、復号に用い
る鍵をＩＣカードやフロッピーディスクなどから入力す
る復号鍵入力部３０３、文書を編集する編集部３０４、
文書を保存する記憶部３０５、利用者がコンソールから
利用しているかあるいはリモートからアクセスしている
かを検出するコンソール・アクセス検出部３０６を有す
る。

【００３４】文書管理サーバ３００は、個々の文書に対
するアクセス管理を実施する文書管理部３１１、文書を
保存する記憶部３１２、外部のシステムやローカルネッ
トワークとの通信を行なう通信部３１３、この通信部３
１３へのアクセスデータ（アクセス要求をしたクライア
ント３１０のアドレス等）を利用して当該文書管理サー
バへのアクセス要求をしたクライアント３１０の位置を
検査するアクセス位置検出部３１４、時刻情報を出力す
る時計部３１７、文書に添付された認証コードの正当性
の検査を行なう認証コード検査部３１８を有する。な
お、さらに当該文書管理サーバに固有の復号鍵を記憶す
る復号鍵記憶部３１５、この復号鍵を利用して暗号化文
書の復号を行なう復号器３１６を備えれば、後述するよ
うな機能を得ることができる。

【００３５】アクセス位置検出部３１４、復号器３１
６、認証コード検査部３１８は、文書管理部３１１の制
御下にある。アクセス位置検出部３１４と時計部３１７
の働きにより文書管理部３１１は、アクセス要求をした
クライアント（アクセス元計算機）３１０のローカルネ
ットワーク３５０上の位置に依存したアクセス制御と時
刻に依存したアクセス制御を行なうことができる。時計
部３１７およびアクセス位置検出部３１４に必要な設定
を行なうコマンドは、当該文書管理サーバ３００の管理
者にしか行なうことができないように設定しておく。例
えばＯＳにＵｎｉｘを用る場合、コマンドの実行ファイ
ルの所有者をｒｏｏｔにし、パーミッションとして所有
者（すなわちｒｏｏｔ）に実行権を与える他は、グルー
プおよびその他のユーザには、読み出し、書き込み、実
行の権利を与えないようにする。

【００３６】次に、文書管理サーバ３００内のアクセス
位置検出部３１４と、クライアント３１０内のコンソー
ル・アクセス検出部３０６により、アクセス要求元のク
ライアント３１０のネットワーク３５０上の位置を検出
する動作を説明する。読み出し条件として、アクセスを
許可するアクセス元計算機３１０のネットワークアドレ
スが設定されているものとする。例えば、移動先システ
ム１０２内の文書管理サーバ３００と同じサブネットに
属しているクライアント３１０からのアクセスは受理す
るが、それ以外からのアクセスは受理しないなどが設定
されている。

【００３７】このとき、単にアクセス元計算機のネット
ワークアドレスを検査するだけでは、不十分な場合があ
る。例えば、クライアント３１０に遠隔の計算機からリ
モートログインし、そこから文書管理サーバ３００に読
み出し要求を出す場合、文書管理サーバ３００は読み出
しを許可すると、その文書はリモートログイン端末であ
るクライアント３１０を経由して遠隔の計算機で取得さ
れてしまう。このようなことが生じないように本実施例
では、各クライアント３１０にコンソール・アクセス検
出部３０６を設けてある。例えば、ｕｎｉｘのコマンド
ｆｉｎｇｅｒで表示される端末名によりコンソール・ア
クセスを検出できる。例えばアクセス元計算機の端末名
がｃｏｎｓｏｌｅあるいはその省略形のｃｏであれば、
コンソールからのアクセスであることが分かる。それ以
外の場合には、リモートアクセスの可能性がある。

【００３８】文書管理サーバ３００のアクセス位置検出
部３１４では、ファイル転送（ｆｔｐ）や仮想端末（ｔ
ｅｌｎｅｔ）、ネットワークファイルシステム（ｎｆ
ｓ）などのサービスを提供するサーバがネットワークか
らのサービス要求に対して、要求元の計算機のアドレス
を検査するだけでなく、要求元計算機に対して例えばｆ
ｉｎｇｅｒコマンドによりコンソールアクセスのユーザ
名を問い合わせ、要求を発したユーザ名と一致している
かどうかを検査する。このようにすれば、リモートログ
インによりアクセスしている場合を検出し、排除でき
る。

【００３９】なお、各文書管理サーバ３００ごとにアク
セス位置検出部３１４を実装するのではなく、例えば、
ネットワーク中に存在する各種サーバ（例えばファイル
転送機能を提供するｆｔｐｄサーバ、リモートログイン
機能を提供するｔｅｌｎｅｔｄサーバ、透過性のあるフ
ァイルシステムを提供するｎｆｓｄサーバなど）をネッ
トワークからの要求に応じて起動するｉｎｅｔｄサーバ
のみにアクセス位置検出部３１４を実装し、ｉｎｅｔｄ
での検査に通った場合に要求したサーバが起動されるよ
うにすると手間が省けて効果的である。

【００４０】次に、図４および図５のフローチャートを
参照しながら、本実施例における情報配送手順（図４）
および情報取得手順（図５）の一例を説明する。まず、
送信者は移動先システム１０２に対する文書配送に必要
な情報（移動先システム１０２内の文書管理サーバ３０
０のＩＰアドレスやアカウント、メールアドレスなど）
を取得済みかどうかを判断する（ステップＳ１１）。

【００４１】取得していない場合には、移動先システム
１０２の計算機管理者に対し、文書配送に必要な設定を
依頼する（ステップＳ１２）。この後、移動先システム
１０２の計算機管理者から、送信に必要な情報を受け取
る（ステップＳ１３）。この手続きは、既に移動先シス
テム１０２内の文書管理サーバ３００にアカウントを持
っている場合などには不要である。

【００４２】次に、電子文書に対して配送鍵を決定し
（ステップＳ１４）、電子文書を配送鍵で暗号化する
（ステップＳ１５）。さらに、配送文書の読み出し条件
を設定する（ステップＳ１６）。読み出し条件データに
は、認証コードが添付される。さらに、先の暗号化文書
と読み出し条件データ、認証コードを所定のフォーマッ
トとしてまとめた文書を移動先１０２に送信する（ステ
ップＳ１７）。

【００４３】一方、送信文書の取り出しは、まず移動先
システム１０２のクライアント３１０にログインし（ス
テップＳ２１）、そのクライアント３１０から文書管理
サーバ３００の所定のディレクトリもしくはメールボッ
クスにアクセスして、所望の文書の読み出しを要求する
（ステップＳ２２）。文書管理サーバ３００では、個々
の文書に設定された読み出し条件と要求元の条件が合致
しているか否かを判定する（ステップＳ２３）。

【００４４】条件が合致していれば、通信部３１３を介
しての同文書のコピーを許可する。要求元クライアント
３１０には、読み出し文書のコピーが送られる（ステッ
プＳ２４）。読み出しに成功した場合には、クライアン
ト３１０に適切な配送鍵を入力し（ステップＳ２５）、
暗号を復号することにより内容を読み（ステップＳ２
６）、平文として保存したり編集を行なったりすること
が可能となる。

【００４５】本実施例では、移動先システム１０２の計
算機管理者であっても配送鍵は分からないため、暗号化
文書を復号することはできない。次に、本実施例の電子
文書配送システムを対面会議に利用し文書の事前配送を
行う場合を例として、その具体的な配送方法を説明す
る。

【００４６】電子文書の配送主体である送信者は、ホー
ムシステム１０１内の計算機（以下、ユーザ計算機と呼
ぶ）２００から、移動先システム１０２内のクライアン
ト（以下、会場計算機と呼ぶ）３１０に向けて電子文書
を送る。会場計算機３１０に電子文書を送る方法とし
て、一例として電子メールを利用する場合を説明する。

【００４７】会場計算機３１０の管理者は、設定された
会議ごとに異なるアカウントを設定する。例えば、ｍｅ
ｅｔｉｎｇ１，ｍｅｅｔｉｎｇ２，…等である。会議の
議長は、会議室の予約を会場計算機の管理者に対して要
求する。この要求に対し、管理者は予約可能の場合には
会場計算機３１０のメールアドレスを返答する。議長
は、会議メンバに対して会場計算機３１０のメールアド
レスを連絡する。この連絡手段は郵便、電話、電子メー
ルなどのどんな手段によってもよい。このようにして会
議のメンバは、会場計算機３１０に電子メールを送信で
きる状態になる。

【００４８】送信されたメールの読み出しには、ｍｅｅ
ｔｉｎｇ１，ｍｅｅｔｉｎｇ２，…なるアカウントのパ
スワードが必要であるが、これは会場に到着しないと送
信文書を取り出せないようにする場合には会場にて通知
することが好ましく、会場以外からリモートログインに
より取り出すことを許す場合にはメールアドレスと共に
通知しても良い。ただし、ｍｅｅｔｉｎｇ１などのアカ
ウントは、不特定のユーザに解放するものになるので、
システムへの攻撃を防ぐ目的から、会議の終了後すみや
かに消去するのが良い。パスワードを知る事により、利
用者は送られた電子文書の読み出しが可能となる。

【００４９】第１の応用例としては、ユーザ計算機２０
０上で作成された文書を遠隔地にある会議に持ち込む場
合に、事前に会場計算機３１０に送信し、送信者自身が
会場に到着した後に、送りつけた文書を取得するシステ
ムである。この場合、電子文書を配送鍵で暗号化して送
信するが、配送鍵は送信者が自ら設定し、会議にはその
配送鍵を持参する。このようにすると、配送鍵を知らな
い会議メンバは先に会場に到着し、会場計算機３１０に
ログインしても暗号化された文書を取得することはでき
るが、内容を読むことはできない。送信者が到着後、配
送鍵を会場にてメンバに配布することにより、他のメン
バも内容を読むことができるようになる。このように、
電子文書は当日持参せずに、配送鍵を持参するだけで、
会議にて資料を配布するのと同様の機能を実現できる。

【００５０】なお、会場にて配送鍵を配布する場合に
は、各メンバは直接対面しているため、暗号技術による
認証方式を利用する必要はなく、暗号鍵を例えば磁気デ
ィスクやＩＣカードに格納して配ったり、あるいは会場
のローカルネットワークを介した通信により行なえばよ
い。

【００５１】第２の応用例は、会議メンバは会場到着時
点で事前に配送された文書を自由に読むことのできるシ
ステムである。まず、議長は会場を予約し、会場計算機
３１０のメールアドレスを入手する。さらに、議長は乱
数により配送鍵を定め、会場計算機３１０のメールアド
レスと配送鍵の両方を会議のメンバに配布する。各メン
バは会議用文書を配送鍵にて暗号化し、会場計算機３１
０のメールアドレスに宛てに送信する。この場合、ｒｌ
ｏｇｉｎやｔｅｌｎｅｔにより会場計算機３１０にメン
バのホームシステム１０１内のユーザ計算機２００から
ログインできれば送られていた暗号化文書を取り出し、
配送鍵で復号して内容を読むことができる。実際にメン
バが会場にいなければならないようにするためには、最
も簡単には会場計算機３１０のアカウント（例えばｍｅ
ｅｔｉｎｇ１）のパスワードを会場で配布するようにす
る。また、文書管理サーバ３００のアクセス位置検出部
３１４の機能を利用することもできる。すなわち、読み
出し条件として会場計算機３１０からのアクセスに限定
して文書を送信することにより、会場計算機３１０にお
いてリモートログインとログインを識別して、送信文書
の取り出しを制限する。

【００５２】実際の会議では、当日になって代理人が出
席することが起こり得る。このような場合でも、本発明
による方式では、配送鍵と会場計算機３１０のアカウン
ト（および会場計算機３１０のパスワードが事前に配布
されている場合にはそのパスワード）を代理人に渡すだ
けで、代理人が会場に出向けば暗号化文書を読み出すこ
とができる。

【００５３】第３の応用例は、会議メンバのうち何人か
が集まると文書を読めるようにする方法である。具体的
には、会議メンバｎ人のうち任意のｋ人が会場に到着
し、そのｋ人の協力により文書を復号できるような方法
である。これは、ｋ−ｏｕｔ−ｏｆ−ｎしきい値法によ
り秘密鍵を分散配布することにより実現できる。すなわ
ち、次の手順による。

【００５４】準備として、各メンバには公開の暗号化鍵
と秘密の復号鍵が割り当てられているものとする。この
暗号化鍵と復号鍵は公開鍵暗号の鍵である。電子文書の
送信者は配布鍵を生成し、文書を配布鍵で暗号化する。
さらに、配布鍵をｋ−ｏｕｔ−ｏｆ−ｎしきい値法によ
りｎ個のピースに分割する。このピースは任意のｋ個を
集めると元の配布鍵が復元できる。このｋ−ｏｕｔ−ｏ
ｆ−ｎしきい値法は、例えば文献「暗号とデータセキュ
リティ」、Ｄ．Ｅ．Ｒ．デニング著、上園・小嶋・奥島
訳、培風館、ｐｐ．１８６−ｐｐ．１９２にて詳しく述
べられている。これらのピースの１つ１つをそれぞれの
メンバの公開暗号化鍵で暗号化したｎ個の暗号化ピース
を、暗号化文書に連結して会場計算機３１０に送る。会
場にｋ人が到着したら、そのｋ人はめいめいが１つずつ
暗号化ピースを平文のピースにする。このｋ個の平文ピ
ースから配布鍵を復元し、配布鍵を利用して暗号化文書
の内容を読むことができる。

【００５５】第４の応用例は、指定された時刻のみ配送
文書の取り出しを許可するシステムである。この場合、
会場の文書管理サーバ３００には、復号器３１６、およ
び固有の公開鍵暗号の暗号化鍵（公開）と復号鍵（秘
密）を格納した復号３１５を設ける。送信者は、電子文
書を会議メンバに予め配られた配送鍵と会場の文書管理
サーバ３００の暗号化鍵で２重に暗号化して送信する。
さらに、読み出し条件として文書の復号を許可する日時
の範囲を指定する。読み出し条件データには認証コード
が付けられる。会場計算機３１０は、送信文書の取り出
しが依頼されると、まず読み出し条件データの認証コー
ドを検査する。正当性が確認された場合には、その内部
の時計部３１７を参照し、読み出し許可範囲の日時の場
合には、文書管理サーバ３００に固有の復号鍵を利用し
て文書を復号して出力する。会場の文書管理サーバ３０
０により復号された文書は、会議のメンバがさらに配送
鍵で復号することにより内容を読むことができる。この
応用例にて、会場計算機３１０の暗号化鍵だけで暗号化
して配送することによっても、指定の時刻による取り出
しを制限することができるが、例えば指定時刻での別の
会議のメンバにより復号される可能性があり、これを防
ぐためには、上記のように特定の会議メンバ用の配送鍵
で２重に暗号化する方が好ましい。

【００５６】また、他の応用例として、会場計算機３１
０にてすべき復号処理を文書管理サーバ３００に行わせ
るように構成し、文書管理サーバ３００から会場計算機
３１０には、平文を与えるようにすることも可能であ
る。また、本発明は上述した各実施例に限定されるもの
ではなく、その要旨を逸脱しない範囲で、種々変形して
実施することができる。

【００５７】

【発明の効果】以上説明したように、本発明によれば、
送信者が利用する第１の計算機システムから、受信者が
利用する第２の計算機システムに電子文書を配送する場
合に、送り先システムの計算機管理者に対して内容を保
護可能となる。

【００５８】さらに、送信者自身が受信して利用した
り、グループの任意のメンバが利用したりするなど、利
用者を柔軟に設定できる。また、読み出しの日時や場所
を特定するなどの設定も可能であり、送信文書の読み出
し条件を様々に設定可能な柔軟な電子文書の配送システ
ムが構築できる。

【図面の簡単な説明】

【図１】本発明の一実施例に係る電子文書配送システム
の概略構成を示す図

【図２】ホームシステムの内部構成の一例を示す図

【図３】移動先システムの内部構成の一例を示す図

【図４】電子文書配送手順の一例を示すフローチャート

【図５】電子文書取得手順の一例を示すフローチャート

【符号の説明】

１０１…ホーム計算機システム、１０２…送り先計算機
システム、１０３…通信ネットワーク、１２０…網間接
続装置、２００…ホーム計算機、２０１…文書編集部、
２０２…記憶部、２０３…配布鍵生成部、２０４…配布
鍵入出力部、２０５…暗号器、２０６…スイッチ、２０
７…読み出し条件設定部、２０８…認証コード生成部、
２０９…フォーマット合成部、２１０…通信部、３００
…クライアント計算機、３０１…通信部、３０２…復号
器、３０３…復号鍵入力部、３０４…編集部、３０５…
記憶部、３０６…コンソール・アクセス検出部、３１０
…文書管理計算機、３１１…文書管理部、３１２…記憶
部、３１３…通信部、３１４…アクセス位置検出部、３
１７…時計部、３１８…認証コード検査部、３１５…復
号鍵記憶部、３１６…復号器、３４０，３５０…ローカ
ルネットワーク

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０９Ｃ 1/00 7259−5Ｊ

Claims (3)

【特許請求の範囲】
1. 【請求項１】第１の計算機システムから送信された電子
   文書を第２の計算機システムにて受信し、該第２の計算
   機システムへの該電子文書に対する読み出し要求に応じ
   た処理を行うための電子文書処理方法において、 送信された、所定の暗号鍵で暗号化された電子文書およ
   び該電子文書の読み出し条件を示すデータを受信する受
   信ステップと、 外部から前記暗号化された電子文書の読み出し要求を受
   けた場合、前記読み出し条件に応じて、該要求を許可す
   るか否かを決定する決定ステップと、 この決定ステップにて前記要求を許可することが決定さ
   れた場合、前記所定の暗号鍵に対応する所定の復号鍵を
   獲得し、該復号鍵で前記暗号化された電子文書を復号す
   る復号ステップとを有することを特徴とする電子文書処
   理方法。
2. 【請求項２】第１の計算機システムから送信された電子
   文書を第２の計算機システムにて受信し、該第２の計算
   機システムへの該電子文書に対する読み出し要求に応じ
   た処理を行うための電子文書処理方法において、 送信された、電子文書および該電子文書の読み出しを許
   可する日時の情報と読み出しを許可する要求元の存在場
   所の情報の少なくとも一方を含む読み出し条件を示すデ
   ータを受信する受信ステップと、 外部から前記暗号化された電子文書の読み出し要求を受
   けた場合、前記読み出し条件に時間の情報が含まれると
   きは現在の時間を獲得するとともに、前記読み出し条件
   に要求元計算機の存在場所の情報が含まれるときは該読
   み出し要求を発生した計算機のアドレスからその存在場
   所を特定する情報を獲得し、獲得した該情報と前記受信
   ステップにて得られた読み出し条件を示すデータとを対
   比することにより、前記読み出し要求を許可するか否か
   を決定する決定ステップとを有することを特徴とする電
   子文書処理方法。
3. 【請求項３】前記受信ステップでは、前記電子文書およ
   び前記読み出し条件を示すデータとともに、該読み出し
   条件を示すデータが改ざんされたことを検出し得る認証
   コードを取り込み、 前記決定ステップでは、前記読み出し要求が与えられた
   場合、最初に前記認証コードを検査し、この検査の結
   果、前記読み出し条件を示すデータが改ざんされていな
   いことが確認された場合に前記読み出し要求を許可する
   か否かを決定することを特徴とする請求項１または２に
   記載の電子文書処理方法。