データ変換システム、鍵サーバ及びそのためのプログラム、及びデータ変換方法
【課題】暗号化光ディスクの鍵ペアの管理は、エンドユーザには負担が大きい。
【解決手段】鍵作成申請文書と、これに関連付けられる鍵ファイルと、文書を管理する文書テーブルを鍵サーバに用意する。クライアントは鍵サーバによって、鍵ファイルの作成状況を確認できると共に、鍵ファイルをダウンロードすることができる。クライアントを操作するユーザは、ダウンロードされる鍵ファイルの在り処を意識せずに、データの暗号化或は復号化を実行できる。
【解決手段】鍵作成申請文書と、これに関連付けられる鍵ファイルと、文書を管理する文書テーブルを鍵サーバに用意する。クライアントは鍵サーバによって、鍵ファイルの作成状況を確認できると共に、鍵ファイルをダウンロードすることができる。クライアントを操作するユーザは、ダウンロードされる鍵ファイルの在り処を意識せずに、データの暗号化或は復号化を実行できる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、公開鍵暗号方式に基づくデータの暗号化及び復号化システムに適用して好適な技術に関する。
【背景技術】
【０００２】
近年、文書や画像を電子化した電子ファイルを磁気ディスクなどの記録媒体に格納して、納品先に郵送または配送する電子納品が行われている。これらの電子納品において、いわゆる機密情報を電子納品する場合には、高度な機密性を担保するセキュリティ対策を施さなければならない。
【０００３】
高度な機密性を担保するセキュリティ対策として、出願人は、公開鍵暗号方式に基づく鍵ペアを作成し、公開鍵をＣＤ−Ｒ等の追記録型光ディスクに記録し、この公開鍵を用いてデータを暗号化して追記録型光ディスクに記録する技術を開発した（特許文献１参照）。
【特許文献１】特開２００６−２０２５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１によれば、極めて高度な機密性を光ディスクに実現することができる。
しかし、鍵ペアはデータを搬送する目的に応じてその都度作成されるものである。つまり、暗号化処理を施した光ディスクを作成するに連れて、鍵ペアは増えていく。
この鍵ペアは、特に秘密鍵においては機密性を保持しつつ管理していかなければならない。
暗号化光ディスクを作成するに連れて増え続ける鍵ペアを、機密性を保持しながら管理し続けることは、エンドユーザレベルでは困難である。例えば、管理するパソコンのハードディスクがクラッシュする等で鍵ペアが失われたら、取り返しが付かなくなってしまう。
【０００５】
本発明はかかる点に鑑みてなされたものであり、ユーザを鍵ペアの管理から開放し、利便性を向上することができるデータ変換システム、鍵サーバ及びそのためのプログラム、及びデータ変換方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するための本発明は、鍵サーバに、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データを、文書に関連付けて、その文書名と、鍵データの状態の各フィールドを有する文書テーブルを用意する。
そして、鍵サーバは、クライアントに文書テーブルの内容を閲覧可能に表示させ、選択された文書に関連する鍵データをクライアントに送信する。
クライアントは、受信した鍵データを用いて、任意のデータを暗号化すると共に、暗号化されたデータを復号するものである。
【発明の効果】
【０００７】
本発明により、ユーザを鍵ペアの管理から開放し、利便性を向上することができるデータ変換システム、鍵サーバ及びそのためのプログラム、及びデータ変換方法を提供できる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の実施の形態を、図１〜図１７を参照して説明する。
【０００９】
図１は、本発明の実施の形態の例である、光ディスク記録再生システムの全体概略図である。
通常、光ディスクはスタンドアロンのパソコンでデータの記録再生が完結するが、本実施形態の光ディスクは、データを暗号化してディスクに記録し、再生は暗号化したデータの復号を必要とする。その際に、暗号化のための公開鍵及び復号化のための秘密鍵を鍵サーバがデータベース化して管理している。したがって、クライアントのパソコン（以下「クライアントＰＣ」と略す）は鍵サーバから必要な鍵ファイルをダウンロードして、暗号化又は復号化を行う必要がある。つまり、クライアントＰＣだけでは光ディスクの記録及び再生ができない。そこで、クライアントサーバシステムを構築し、このシステム全体で光ディスクの記録及び再生を行う。
【００１０】
本実施形態を説明する前に、本実施形態で使用する光ディスクについて説明する。
本実施形態にて使用する暗号化光ディスクは、ＲＯＭ領域と追記録領域を有するハイブリッドディスクを構成する、追記録型ＣＤ−Ｒ媒体である。
ＲＯＭ領域には、ディスクの状態の検出と、所定のメニュー画面を表示する等のプログラムが格納されている。
暗号化光ディスクにおいて、全てのデータは暗号化された上で記録される。暗号化されたデータは、所定の鍵を用いて復号処理を行ってから再生される。
【００１１】
暗号化及び復号化は、周知の公開鍵暗号方式を用いる。
より詳細には、先ず乱数発生機能にて自動生成した共通鍵で対象ファイルを暗号化する。
次に、その共通鍵を公開鍵で暗号化する。
復号の際には、秘密鍵で共通鍵を復号した後、復号された共通鍵で対象ファイルを復号化する。
このような処理を行う理由は、公開鍵による暗号化処理は演算量が膨大で時間がかかることに因る。このため、暗号化処理を行うデータの実体は演算量が少なく高速な共通鍵で暗号化し、その共通鍵を公開鍵で暗号化する。共通鍵はデータ量が少ないので、演算処理が比較的短時間で済む。
実際の暗号化光ディスクでは共通鍵と公開鍵を用いた暗号処理を行っているが、これ以降の説明では共通鍵の説明は省略する。この、共通鍵と公開鍵を併用する暗号化処理は、演算処理速度向上のための技術であり、また周知でもあるからである。これ以降の説明で、「公開鍵によるファイルの暗号化」「秘密鍵によるファイルの復号化」は、共通鍵を介した暗号化或は復号化処理を含むものである。
【００１２】
図１はある会社の社屋内部に敷設されている社内ＬＡＮと、その上に構築されている光ディスク記録再生システムを示す概略図である。
光ディスク記録再生システム１０１は、社内ＬＡＮ１０２を介して、クライアントＰＣ１０３、１０４及び１０５、及び鍵サーバ１０６により成り立つ。クライアントＰＣ１０３、１０４及び１０５にはそれぞれＣＤ−Ｒドライブ１０７が装着されている。
このクライアントサーバシステムは、所定のソフトウェアにて構成される。例えばインターナショナル・ビジネス・マシーンズ・コーポレーションのロータス・ノーツ（「ロータス」及び「ノーツ」共に登録商標）である。
【００１３】
図２はクライアントＰＣの内部ブロック図である。
クライアントＰＣ１０３は周知のコンピュータ装置である。
バス２０２上にはＣＰＵ２０３、ＲＯＭ２０４、ＲＡＭ２０５、ＡＴＡＰＩインターフェース２０６、ＮＩＣ２０７、ＵＳＢインターフェース２０８が接続されている。
ＡＴＡＰＩインターフェース２０６には固定磁気ディスク装置（以下「ＨＤＤ」と略す）２０９とＣＤ−Ｒドライブ（光ディスク装置）１０７が接続されている。
ＵＳＢインターフェース２０８にはキーボード２１１とマウス２１２が接続されている。
不揮発性ストレージであるＨＤＤ２０９には、図示しないＯＳと、鍵データベースクライアントプログラムが格納されている。
なお、後述する光ディスク記録再生プログラムは、暗号化光ディスクのＲＯＭ領域に格納されているが、光ディスク装置１０７に暗号化光ディスクを装着すると、一時的にＨＤＤ２０９にコピーされて実行される。
クライアントＰＣ１０３で稼動するＯＳは、例えばマイクロソフト社のＷｉｎｄｏｗｓ（登録商標）である。勿論、ＯＳはこれに限られるものではない。
ＮＩＣ２０７は社内ＬＡＮ１０２に接続されている。
なお、上記構成はごく一般的なパソコンの周辺機器接続例を示すものであり、必ずしもこの形態に固定されるものではない。
ここで、クライアントＰＣ１０３には必ず光ディスク装置１０７が接続されている必要があることを記しておく。なお、光ディスク装置１０７がクライアントＰＣ１０３に接続されるインターフェースは、ＡＴＡＰＩインターフェース２０６に限られない。ＵＳＢインターフェース２０８でも良いし、周知のＳＣＳＩ、ＩＥＥＥ１３９４等でも良い。
【００１４】
図３はクライアントＰＣ１０３内部の機能ブロック図である。
クライアントＰＣ１０３内では、光ディスク記録再生プログラム３０２と鍵データベースクライアントプログラム３０３の、二つのプログラムが別個独立して稼動している。
但し、鍵データベースクライアントプログラム３０３と光ディスク記録再生プログラム３０２は、特定ディレクトリ３０４を介してファイルの読み書きを行っている。
【００１５】
鍵サーバ操作部ともいえる鍵データベースクライアントプログラム３０３は、特定ディレクトリ３０４に三つのファイルを作成する。社内ＬＡＮ１０２を通じて鍵サーバ１０６から鍵ファイル３０５をダウンロードし、特定ディレクトリ３０４に配置する。次に、特定ディレクトリ３０４にｉｎｉファイル３０６を作成し、ｉｎｉファイル３０６の作成完了後、フラグファイル３０７を作成する。
ｉｎｉファイル３０６は比較的小さなサイズのテキストファイルであり、光ディスク記録再生プログラム３０２の動作を制御する各種情報が記録されている。本実施形態では特に、鍵ファイル３０５のフルパス名（ファイルの在り処）が記録されている。ファイル名は例えば「CryptDiscAction.ini」である。
フラグファイル３０７は０バイトのファイルである。光ディスク記録再生プログラム３０２は、このファイルの有無を検出して、ｉｎｉファイル３０６の読み込みを行う。
【００１６】
データ変換部ともいえる光ディスク記録再生プログラム３０２は、特定ディレクトリ３０４を常時監視している。特定ディレクトリ３０４上にフラグファイル３０７を見つけたら、ｉｎｉファイル３０６を読み込む。ｉｎｉファイル３０６には鍵ファイル３０５の在り処が書かれているので、当該鍵ファイル３０５を読み出す。読み出した鍵ファイル３０５は、任意のファイルの暗号化或は復号化処理に用いられる。
このように、鍵ファイル３０５を直接読み込まずに、フラグファイル３０７の存在を監視してからｉｎｉファイル３０６を読み込むのは、安全上の理由による。光ディスク記録再生プログラム３０２のポーリングのタイミングがｉｎｉファイル３０６の作成途中だった場合、鍵ファイル３０５のフルパス名を誤った内容で読み込んでしまう虞がある。そこでこれを防ぐために、ｉｎｉファイル３０６の作成を完了したときにフラグファイル３０７を作成し、フラグファイル３０７の存在をｉｎｉファイル３０６を読み込むきっかけにする。こうすることで、光ディスク記録再生プログラム３０２がｉｎｉファイル３０６をその作成途中に読み込むことがなくなる。
【００１７】
なお、暗号化処理の際、光ディスクの状態によっては、鍵サーバ１０６から鍵ファイル３０５を読み出すか、或は光ディスク内に記録されている公開鍵ファイルを読み出すかの、いずれかの動作が選択される。この、公開鍵ファイル及び動作の詳細については後述する。
また、光ディスク記録再生プログラム３０２は、ユーザによる終了処理の際に、特定ディレクトリ３０４から鍵ファイル３０５、ｉｎｉファイル３０６及びフラグファイル３０７を削除する。
【００１８】
光ディスク記録再生プログラム３０２の内部は、大まかに三つの機能よりなる。
ディスク判定部３１０は、ディスクの記録状態を検出し、それに応じたメニュー画面を表示する。ディスクの記録状態とは、暗号化光ディスクの対記録領域が
・未フォーマット状態（いわゆる「生ディスク」）
・フォーマットが済んでいるが、ファイナライズがされていない状態（追記録可能状態）
・ファイナライズされている状態（追記録不可状態）
の三つである。
記録プログラム３０８及び再生プログラム３０９は、ディスク判定部３１０が生成するメニュー画面によって起動される。
【００１９】
記録プログラム３０８は公開鍵ファイルを読む暗号化部を内包する。暗号化部は公開鍵ファイルを読み込むことで起動し、記録プログラム３０８の記録機能が有効化する。公開鍵ファイルは、暗号化光ディスクが未フォーマット状態のときは、特定ディレクトリ３０４から読み込む。暗号化光ディスクがフォーマット済みでファイナライズがされていない状態のときは、暗号化光ディスク（ＣＤ−Ｒドライブ１０７）から読み込む。
再生プログラム３０９は秘密鍵を読む復号化部を内包する。復号化部は秘密鍵を読み込むことで起動し、再生プログラム３０９の再生機能が有効化する。秘密鍵は、特定ディレクトリ３０４から読み込む。
【００２０】
鍵データともいえる鍵ファイル３０５は、公開鍵暗号方式に則ったものであり、鍵ファイル３０５の内部には、公開鍵データと秘密鍵データの両方が収められている。
記録プログラムが暗号化光ディスクのフォーマットを行うと、鍵ファイル３０５の公開鍵データのみをファイル化して、暗号化光ディスクに記録する。これを公開鍵ファイルと呼ぶ。
【００２１】
暗号化光ディスクは、未フォーマット状態では、追記録領域に何も書かれていない。
記録プログラム３０８によってフォーマットを行うと、公開鍵ファイルを追記録領域に書き込む。以後の追記録は、この公開鍵ファイルを用いて暗号化する。
【００２２】
図４は鍵サーバ１０６の内部を機能的に示す概略ブロック図である。
鍵サーバ１０６もまた、ハードウェアの構成上は、クライアントＰＣ１０３と同様の、一般的なパソコンと変わらない。
【００２３】
ＨＤＤ等よりなる不揮発性ストレージ４０２には、文書テーブル４０３とユーザテーブル４０４の、二つのテーブルが設けられている。
文書テーブル４０３は、文書ファイル４０５のファイル名と、その文書ファイル４０５にまつわる様々な情報が列挙格納されている。
ユーザテーブル４０４は、ユーザを一意に識別するユーザＩＤとパスワードの組等のフィールドが設けられている。これはユーザ認証や、文書作成者或は文書閲覧者を識別するための情報として利用される。
一人のユーザは複数の文書を作成するので、ユーザテーブル４０４と文書テーブル４０３との間には、一対多の関係がある。つまり、文書テーブル４０３のユーザＩＤフィールドには、同じユーザＩＤの値のレコードが複数存在する。図４ではこの関係を矢印Ａ４１１及びＡ４１２にて示している。
【００２４】
一方、文書テーブル４０３の各レコードと、文書ファイル４０５及び鍵ファイル３０５とは、それぞれ一対一の関係にある。図４ではこの関係を矢印Ａ４１３にて示している。
また、後述するＡＣＬ４０６の各レコードは、文書ファイル４０５及び鍵ファイル３０５のファイル名と、アクセスを許されるユーザとのテーブルを構成する。したがって、ＡＣＬ４０６のファイル名フィールドには、少なくとも文書ファイル４０５及び鍵ファイル３０５のファイル名が格納されている。
【００２５】
鍵サーバ１０６は単に鍵ファイル３０５を列挙格納しているだけではない。鍵ファイル３０５はその性格上、限定された者だけが利用可能になっていなければならない。そのためには、多数の鍵ファイル３０５を多くのユーザに提供する際に、当該鍵ファイル３０５が誰のものなのか、いつ作られたのか等の、諸元となる情報が必要である。そこで、鍵サーバ１０６は文書サーバを構成し、鍵ファイル３０５はその文書からリンクとして管理する形式を採用している。文書の形式はリンクを生成できる形式であればなんでもよい。例えばｈｔｍｌ文書やＸＭＬ文書が利用可能である。
【００２６】
不揮発性ストレージ４０２には、図示しないＯＳによってファイルシステムが形成されている。このファイルシステムは、ユーザが作成したファイルに対し、アクセス制御を付与することができる。このアクセス制御の機能はＡＣＬ（Access Control List）と呼ばれる、公知の技術である。図４中ではＡＣＬ４０６を明示的なリスト形式で表示しているが、実際はユーザが任意に作成できるファイルとは異なり、ファイルシステムの中に構築されるものである。
【００２７】
文書作成部４０７は文書ファイル４０５を作成するユーザインターフェースを提供する。鍵申請者が利用するものである。
文書閲覧部４０８は文書ファイル４０５を閲覧するユーザインターフェースを提供する。この文書閲覧部４０８は、鍵申請者及び承認担当者によって利用される。承認担当者は、多くの場合、鍵申請者の上司や他部門の者が担当となる。
暗号鍵作成部４０９は文書閲覧部４０８から起動され、鍵ファイル３０５を作成する。
暗号鍵作成部４０９が鍵ファイル３０５の作成を完了したら、文書閲覧部４０８はこれを受けて文書テーブル４０３内の文書状態フィールドの内容を更新する。
【００２８】
図５は文書テーブル４０３の中身の一例である。
ファイル名フィールド５０２は文書番号でもあり、文書作成部４０７にて作成された文書ファイル４０５のファイル名が格納される。文書番号は文書作成部４０７が自動で生成する。
文書状態フィールド５０３は前述の通り、文書の状態を示す。つまり、鍵発行申請文書の作成途中（「作成中」）か、鍵発行の承認待ち（「承認依頼中」）か、承認後作成途中段階（「鍵発行待ち」）か、鍵ファイル３０５の作成が完了したか（「鍵発行完了」）の、いずれかの値が格納される。
利用目的フィールド（簡易説明）５０４は、鍵申請者が文書作成時に記入する項目である。
最終更新日フィールド５０５は、文書の状態に応じて変更される、最終更新日時である。
【００２９】
図６は鍵データベースクライアントプログラム３０３が表示する、文書一覧表示画面の一部である。
図５の文書テーブル４０３の中身に加えて、作成者フィールド６０２が追加されていることがわかる。作成者はＡＣＬ４０６から取得される。
文書閲覧者はこの画面から任意の一つのレコードを選択して、マウスカーソルを合わせ、クリックする。すると、文書の内容が表示される。
【００３０】
図７（ａ）、（ｂ）及び（ｃ）、図８（ｄ）及び（ｅ）は、文書閲覧部４０８が表示する文書閲覧画面である。なお、図７（ｃ）は画面の一部であり、図７（ｂ）と相違する部分だけを示す。
図７（ａ）は、申請者が文書を作成中の状態における、文書閲覧部４０８が表示する文書閲覧画面である。所定のユーザ認証処理を行った後、文書作成部４０７を起動し、所定の項目を入力して文書作成作業を終了すると、この画面が表示される。ユーザ認証が行われているので、申請者は既にログイン済みのユーザ自身である。
「文書状態」欄７０６は「1.作成中」という表示になっている。
申請者は、利用目的欄７０３、ＣＤ内容欄７０４にそれぞれ必要事項を記入する。必要事項記入後、「承認依頼」ボタン７０５を押すと、文書ファイルが鍵サーバ１０６内部にて作成されると共に、承認者にメールが送信される。
なお、「編集モード」ボタン７０７を押すと、文書作成部４０７が起動され、利用目的欄７０３、ＣＤ内容欄７０４が編集可能になる。
【００３１】
図７（ｂ）は、申請者が図７（ａ）において文書に必要事項記入後、「承認依頼」ボタン７０５を押した後の状態における、文書閲覧部４０８が表示する文書閲覧画面である。
「文書状態」欄７１６は「2.承認依頼中」という表示になっている。
【００３２】
図７（ｃ）は、申請者が図７（ａ）において文書に必要事項記入後、「承認依頼」ボタン７０５を押した後、当該文書を承認者が閲覧したときの、文書閲覧画面の一部である。
図７（ｃ）は、基本的には図７（ｂ）と同じだが、申請者には表示されないボタンが幾つかある。それが、「審査」ボタン７２２、「承認」ボタン７２３、「非審査・非承認」ボタン７２４である。
承認者が「審査」ボタン７２２を押すと、更なる別の承認者へメールが送信される。このとき文書状態は変更されず、別の承認者が当該文書を開くと図７（ｃ）に示す画面になる。
承認者が「承認」ボタン７２３を押すと、文書閲覧部４０８は、審査の結果、鍵発行を承認した旨のメールを申請者に送信すると共に、暗号鍵作成部４０９を起動し、鍵ファイル３０５を作成させる。
承認者が「非審査・非承認」ボタン７２４を押すと、文書閲覧部４０８は、審査の結果、鍵発行を非承認した旨のメールを申請者に送信する。
【００３３】
図８（ｄ）は、承認者が図７（ｃ）において鍵発行を承認すべく「承認」ボタン７２３を押した直後、申請者がメールを受信し、これを受けてすぐに文書を閲覧したときの文書閲覧画面である。このとき、暗号鍵作成部４０９による鍵ファイル３０５の作成は完了していない。このため、「文書状態」欄８０６は「5.鍵発行待ち」という表示になっている。
【００３４】
図８（ｅ）は、図８（ｄ）から程なくして暗号鍵作成部４０９による鍵ファイル３０５の作成が完了したときに、申請者が文書を閲覧したときの文書閲覧画面である。「文書状態」欄８０６は「6.鍵発行完了」という表示になっている。
この画面で「鍵の使用」ボタン８１５を押すと、鍵データベースクライアントプログラム３０３は、図３にて説明した、鍵ファイル３０５のダウンロードと、ｉｎｉファイル３０６及びフラグファイル３０７の作成を、特定ディレクトリ３０４に対して行う。
【００３５】
図９は鍵サーバ１０６を中心に、鍵申請者と鍵承認者（例えば鍵申請者の上司）との手続きの流れと、鍵サーバ１０６の動作の変化を時系列で表示したフロー図である。図７（ａ）の状態である。
鍵申請者が文書作成部４０７を起動し、鍵申請文書を作成する。
次に、「承認依頼」ボタン７０５を押す（Ｓ９０１）。すると、文書作成部４０７は文書テーブル４０３に新規レコードを追加する。当該新規レコードには、
・作成した文書ファイル４０５のファイル名をファイル名フィールド５０２に、
・「承認依頼中」を文書状態フィールド５０３に（Ｔ９２１）、
・鍵申請者によって入力された利用目的の文章（文字列データ）を利用目的フィールド５０４に、
・文書テーブル４０３にレコード追加を行った日時を最終更新日フィールド５０５に
記入する。これが図７（ｂ）の状態である。
次に、鍵サーバは文書作成を受けて、指定した宛先にメールを送信する（Ｓ９０３）。ここでは上司になる。
上司はメールを受信したら、当該文書を閲覧する（Ｓ９０４）。図７（ｃ）の状態である。
鍵サーバ１０６は上司のクライアントＰＣから文書閲覧要求を受信して、当該文書の内容を送信し、表示させる（Ｓ９０５）。
上司は文書の内容を見て、適切と判断したら、「承認」ボタン７２３を押す（Ｓ９０６）。
【００３６】
鍵サーバ１０６は承認のアクションを受信すると、暗号鍵作成部４０９を起動する（Ｓ９０７）。それと共に、先に追加したレコードの文書状態フィールド５０３を「鍵発行待ち」と書き換える（Ｔ９２２）。図８（ｄ）の状態である。
程なくして暗号鍵作成部４０９が鍵作成を完了すると（Ｓ９０８）、鍵ファイル３０５のリンクを文書ファイル４０５に記入し、先に追加したレコードの文書状態フィールド５０３を、「鍵発行完了」と書き換える（Ｔ９２３）。図８（ｅ）の状態である。
その後、鍵申請者は文書を閲覧すると（Ｓ９０９）、文書閲覧要求に呼応して鍵サーバ１０６は要求された文書の内容を表示する（Ｓ９１０）。鍵申請者は文書に埋め込まれている鍵ファイル３０５のリンクをクリックして鍵送信要求を鍵サーバに発信する（Ｓ９１１）。すると、鍵サーバ１０６は鍵ファイル３０５を鍵申請者のクライアントＰＣに送信する（Ｓ９１２）。
【００３７】
図１０（ａ）及び（ｂ）は、ディスク判定部３１０が作成する、フォーマット及び記録用メニューの表示画面を示す。
図１０（ａ）は、未フォーマット状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、記録プログラムが鍵ファイル３０５を待っている状態のメニュー画面１００１である。
この状態では、「初期化＋書き込み」ボタン１００２及び「初期化」ボタン１００３はグレイアウト（ウィンドウ画面色と同じ灰色の表示で、文字が薄く表示される）され、ボタンとしての機能が無効化されている。
なお、表示メッセージ１００４は「未使用の暗号化光ディスクです。鍵ファイルを選択してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００３８】
図１０（ｂ）は、図１０（ａ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。すなわち、鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ３０４上にダウンロードし、これを光ディスク記録再生プログラム３０２内の記録プログラム３０８が読み込んだ状態である。
記録プログラム３０８内の暗号化部は、鍵ファイル３０５に含まれる暗号鍵データを読み込むことで有効化される。そして、これに呼応してグレイアウトされていた「初期化＋書き込み」ボタン１００２及び「初期化」ボタン１００３が明確に表示（縁が表示され、文字が濃く表示される）され、ボタンとしての機能が有効化される。そして、表示メッセージ１００５は「鍵が正常に認識されました。」という表示に変更される。
【００３９】
図１１（ｃ）及び（ｄ）は、ディスク判定部３１０が作成する記録・再生用メニューの表示画面を示す。
図１１（ｃ）は、フォーマットが済んでファイナライズがされていない状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、再生プログラム３０９が鍵ファイル３０５を待っている状態のメニュー画面１１０１である。
この状態では、「暗号（書き込み）」ボタン１１０２は有効であるものの、「復号（読み出し）」ボタン１１０３はグレイアウトされ、ボタンとしての機能が無効化されている。つまり、一旦フォーマットが済んでいる暗号化光ディスクには、暗号化のための公開鍵ファイルが書き込まれているので、データを暗号化して書き込むことは、任意のＣＤ−Ｒドライブを備えるパソコンであれば可能である。しかし、復号には秘密鍵が必要になるので、鍵サーバ１０６から鍵ファイル３０５を入手して、鍵ファイル３０５中の秘密鍵データを読み込むまでは、「復号（読み出し）」ボタン１１０３はグレイアウトされる。
なお、表示メッセージ１１０４は「暗号する場合は、暗号（書き込み）ボタンを押下してください。復号する場合は、鍵ファイルを選択後、復号（読み出し）ボタンを押下してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００４０】
図１１（ｄ）は、（ｃ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ上にダウンロードし、これを光ディスク記録再生プログラム３０２内の再生プログラム３０９が読み込んだ状態である。
再生プログラム３０９内の復号化部は、鍵ファイル３０５を読み込んだことで有効化される。そして、これに呼応してグレイアウトされていた「復号（読み出し）」ボタン１１０３が明確に表示され、ボタンとしての機能が有効化される。そして、表示メッセージ１１０５は「対応する鍵ファイルを認識済みです。」という表示に変更される。
【００４１】
図１２（ｅ）及び（ｆ）は、ディスク判定部３１０が作成する再生用メニューの表示画面を示す。
図１２（ｅ）は、ファイナライズされた状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、再生プログラムが鍵ファイル３０５を待っている状態の画面である。このメニュー画面１２０１は、ディスク判定部３１０が作成する。
この状態では、「暗号（書き込み）」ボタン１２０２及び「復号（読み出し）」ボタン１２０３はグレイアウトされ、ボタンとしての機能が無効化されている。
なお、表示メッセージ１２０４は「鍵ファイルを選択してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００４２】
図１２（ｆ）は、（ｅ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ上にダウンロードし、これを光ディスク記録再生プログラム３０２内の再生プログラム３０９が読み込んだ状態である。
再生プログラム３０９内の復号化部は、鍵ファイル３０５を読み込んだことで有効化される。そして、これに呼応してグレイアウトされていた「復号（読み出し）」ボタン１２０３が明確に表示され、ボタンとしての機能が有効化される。そして、表示メッセージ１２０５は「対応する鍵ファイルを認識済みです。」という表示に変更される。
なお、図１２（ｅ）の時点で、光ディスク装置１０７に装着された暗号化光ディスクは、ファイナライズ済みのディスクである。すなわち、データの記録ができない。したがって、「暗号（書き込み）」ボタン１２０２は図１２（ｆ）の時点でもグレイアウトされたままの状態である。
【００４３】
図１３は、暗号化光ディスクを光ディスク装置１０７に装着した直後の、動作のフローである。暗号化光ディスクのＲＯＭ領域に格納されている自動実行プログラムの動作であり、ディスク判定部３１０の動作に該当する。
暗号化光ディスクを光ディスク装置１０７に装着すると、ＯＳが暗号化光ディスクのＲＯＭ領域に記録されている自動実行プログラムを見つけ、自動実行プログラムを起動する（Ｓ１３０１）。自動実行プログラムは、最初に光ディスクの状態をチェックする（Ｓ１３０２及びＳ１３０４）。その結果、暗号化光ディスクの追記録領域が未フォーマット状態であれば（Ｓ１３０２のＹ）、フォーマット及び記録用メニューを起動する（Ｓ１３０３）。
暗号化光ディスクの追記録領域がフォーマット済みで且つファイナライズが済んでいない状態であれば（Ｓ１３０４のＹ）、記録及び再生用メニューを起動する（Ｓ１３０５）。
暗号化光ディスクの追記録領域がフォーマット済みで且つファイナライズが済んだ状態であれば（Ｓ１３０４のＮ）、再生用メニューを起動する（Ｓ１３０６）。
以上、暗号化光ディスクの状態に応じた、ステップＳ１３０３、Ｓ１３０５、Ｓ１３０６のいずれかのメニューは、ユーザによる終了操作等によって終了する（Ｓ１３０７）。
【００４４】
図１４はフォーマット及び記録メニューのフローチャートである。ディスク判定部３１０の動作を示すものである。
ディスク判定部３１０は、フォーマット及び記録用メニューとしての動作を開始すると（Ｓ１４０１）、初期画面を表示する（Ｓ１４０２）。図１０（ａ）のメニュー画面１００１がこれに該当する。
次に、特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１４０３）。
フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み（Ｓ１４０４）、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み、暗号化機能を有効化する（Ｓ１４０５）。このとき、メニュー画面１００１は図１０（ｂ）の状態になる。そして、ファイル記録用画面を表示し（Ｓ１４０６）、終了する（Ｓ１４０７）。
【００４５】
図１５及び図１６は記録・再生用メニューのフローチャートである。ディスク判定部３１０の動作である。
ディスク判定部３１０は、記録・再生用メニューとしての動作を開始すると（Ｓ１５０１）、最初に暗号化光ディスクの追記録領域に記録されている、暗号化のための公開鍵ファイルを読み出す（Ｓ１５０２）。そして、暗号化機能を有効化する（Ｓ１５０３）。次に、初期画面を表示する（Ｓ１５０４）。図１１（ｃ）のメニュー画面１１０１がこれに該当する。
これ以降はループ処理である。
「暗号（書き込み）」ボタン１１０２が押されたことを検出すると（Ｓ１６０５）、暗号化画面（データ記録用画面）を表示済みか否かチェックし（Ｓ１６０６）、未だ起動していなければ起動する（Ｓ１６０７）。
【００４６】
次に、復号化のための秘密鍵ファイル３０５を未だ読んでいないか、検証する（Ｓ１６０８）。未だ読んでいなければ、次に特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１６０９）。フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み（Ｓ１６１０）、正しい秘密鍵ファイル３０５であるか否か検証する（Ｓ１６１１）。
正しい秘密鍵ファイル３０５であれば、復号化機能を起動し、画面を更新し、復号ボタンを有効化する（Ｓ１６１２）。図１１（ｄ）のメニュー画面１１０１がこれに該当する。もし、誤った秘密鍵ファイル３０５であれば、エラーメッセージのダイアログボックスを表示する（Ｓ１６１３）。
【００４７】
「復号（読み出し）」ボタン１１０３が押されたことを検出すると（Ｓ１６１４）、復号化画面（データ再生用画面）を表示済みか否かチェックし（Ｓ１６１５）、未だ起動していなければ起動する（Ｓ１６１６）。
なお、誤った秘密鍵ファイル３０５を読んでしまうと、ステップＳ１６０８でＮになる。このとき、「復号（読み出し）」ボタン１１０３はグレイアウトされたままなので、ステップＳ１６１４は常にＮとなる。
【００４８】
図１７は再生用メニューのフローチャートである。ディスク判定部３１０の動作を示すものである。
ディスク判定部３１０は、再生用メニューとしての動作を開始すると（Ｓ１７０１）、初期画面を表示する（Ｓ１７０２）。図１２（ｅ）のメニュー画面１２０１がこれに該当する。
次に、特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１７０３）。
フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み（Ｓ１７０４）、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み、復号化機能を有効化する（Ｓ１７０５）。このとき、メニュー画面１２０１は図１２（ｆ）の状態になる。そして、ファイル再生用画面を表示し（Ｓ１７０６）、終了する（Ｓ１７０７）。
【００４９】
本実施形態には、以下のような応用例が考えられる。
（１）上記実施形態では、光ディスク記録再生プログラム３０２は鍵データベースクライアントプログラム３０３とは独立して稼動していた。このため、光ディスク記録再生プログラム３０２は特定ディレクトリ３０４をポーリングする必要があった。この代わりに、鍵データベースクライアントプログラム３０３が光ディスク記録再生プログラム３０２に対してプロセス間通信を行って、能動的に鍵データベースクライアントプログラム３０３を制御して、鍵ファイル３０５等を読み込ませるように構成することもできる。
プロセス間通信は名前付パイプやメッセージ送受信等、様々な形態が考えられる。
【００５０】
（２）実施形態のシステムをｗｅｂアプリケーションサーバとｗｅｂブラウザにて構成することができる。
【００５１】
（３）記録媒体は光ディスクに限られない。不揮発性ストレージを構成する交換型記録媒体であれば、可撓性磁気ディスク、固定磁気ディスク、光磁気ディスク等のディスク状記録媒体に留まらず、ＵＳＢメモリ等のフラッシュメモリも利用可能である。
【００５２】
（４）更に、前述のような物理的媒体の存在も必須ではない。例えば電子メール等のメッセージ、特にＭＩＭＥ（Multipurpose Internet Mail Extension：ＴＣＰ／ＩＰネットワーク上の電子メールにおいて、各国語や画像、音声、動画等を扱うための規格。ヘッダに境界文字列を定義し、添付する各々のメッセージを境界文字列で区切る。）マルチパートメッセージに、本実施形態の鍵サーバを導入し、電子メール送受信プログラム（ＭＵＡ：Mail Users Agent）が、本実施形態のような暗号化・復号化処理を行うように構成することもできる。この場合、鍵サーバは自ずとｗｅｂアプリケーションサーバの形態になり、電子メールメッセージを構成するＭＩＭＥマルチパートメッセージには、暗号鍵と暗号メッセージをマルチパート形式で記述することとなる。
【００５３】
（５）図４では文書テーブル４０３と文書ファイル４０５と鍵ファイル３０５を夫々別個独立に設けていたが、これらを統合することもできる。
文書ファイル４０５と鍵ファイル３０５は、ＭＩＭＥマルチパートメッセージの形式にて一体化することができる。この場合、鍵データベースクライアントプログラム３０３は、メッセージ（文書ファイル４０５）を読むと同時に鍵ファイル３０５に相当するデータを受信できることとなる。つまり、鍵サーバ１０６に対し、明示の鍵ファイル３０５をダウンロードする処理は不要になる。
文書テーブル４０３と文書ファイル４０５或は鍵ファイル３０５は、文書テーブル４０３の一フィールドとして、文書ファイル４０５に記述される内容をフィールドの値として格納することができる。
なお、文書テーブル４０３と文書ファイル４０５或は鍵ファイル３０５を統合化する設計を行う際には、ＡＣＬ４０６を不揮発性ストレージ４０２に構築されるファイルシステムとは独立して保持する必要がある。
【００５４】
本実施形態においては、光ディスク記録再生システムを開示した。
暗号化光ディスクの記録及び再生に必要な鍵ファイルをサーバで一元管理することにより、鍵ファイルの紛失や漏洩を防止できる。また、クライアントプログラムと光ディスク記録再生プログラムとが鍵ファイルの読み込みにおいて連携する機能を持たせることで、ユーザは鍵ファイルを明示的に保存する等の意識をせずに、データの暗号化及び復号化を実現できる。
【００５５】
以上、本発明の実施形態例について説明したが、本発明は上記実施形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含むことは言うまでもない。
【図面の簡単な説明】
【００５６】
【図１】本発明の一実施の形態による光ディスク記録再生システムの全体概略図である。
【図２】クライアントＰＣの内部ブロック図である。
【図３】クライアントＰＣ内部の機能ブロック図である。
【図４】鍵サーバの内部を機能的に示す概略ブロック図である。
【図５】文書テーブルの中身の一例を示す図である。
【図６】鍵データベースクライアントプログラムが表示する、文書一覧表示画面の一部を示す図である。
【図７】文書閲覧部が表示する文書閲覧画面を示す図である。
【図８】文書閲覧部が表示する文書閲覧画面を示す図である。
【図９】鍵申請者と鍵承認者（上司）との手続きの流れと、鍵サーバの動作の変化を時系列で表示したフロー図である。
【図１０】記録プログラムの表示画面を示す図である。
【図１１】記録・再生プログラムの表示画面を示す図である。
【図１２】再生プログラムの表示画面を示す図である。
【図１３】暗号化光ディスクを光ディスク装置に装着した直後の動作を示すフローチャートである。
【図１４】フォーマット及び記録プログラムのフローチャートである。
【図１５】記録・再生プログラムのフローチャートである。
【図１６】記録・再生プログラムのフローチャートである。
【図１７】再生プログラムのフローチャートである。
【符号の説明】
【００５７】
１０１…光ディスク記録再生システム、１０２…社内ＬＡＮ、１０３、１０４、１０５…クライアントＰＣ、１０６…鍵サーバ、１０７…ＣＤ−Ｒドライブ、２０２…バス、２０３…ＣＰＵ、２０４…ＲＯＭ、２０５…ＲＡＭ、２０６…ＡＴＡＰＩインターフェース、２０７…ＮＩＣ、２０８…ＵＳＢインターフェース、２０９…固定磁気ディスク装置、２１１…キーボード、２１２…マウス、３０２…光ディスク記録再生プログラム、３０３…鍵データベースクライアントプログラム、３０４…特定ディレクトリ、３０５…鍵ファイル、３０６…ｉｎｉファイル、３０７…フラグファイル、３０８…記録プログラム、３０９…再生プログラム、３１０…ディスク判定部、４０２…不揮発性ストレージ、４０３…文書テーブル、４０４…ユーザテーブル、４０５…文書ファイル、４０６…ＡＣＬ、４０７…文書作成部、４０８…文書閲覧部、４０９…暗号鍵作成部、５０２…ファイル名フィールド、５０３…文書状態フィールド、５０４…利用目的フィールド、５０５…最終更新日フィールド、６０２…作成者フィールド、７０６、７１６、８０６、８１６…「文書状態」欄、７０３…利用目的欄、７０４…ＣＤ内容欄、７０５…「承認依頼」ボタン、７０７…「編集モード」ボタン、７２２…「審査」ボタン、７２３…「承認」ボタン、７２４…「非審査・非承認」ボタン、８１５…「鍵の使用」ボタン、１００１、１１０１、１２０１…メニュー画面、１００２…「初期化＋書き込み」ボタン、１００３…「初期化」ボタン、１００４、１００５、１１０４、１１０５、１２０４、１２０５…表示メッセージ、１１０２、１２０２…「暗号（書き込み）」ボタン、１１０３、１２０３…「復号（読み出し）」ボタン
【技術分野】
【０００１】
本発明は、公開鍵暗号方式に基づくデータの暗号化及び復号化システムに適用して好適な技術に関する。
【背景技術】
【０００２】
近年、文書や画像を電子化した電子ファイルを磁気ディスクなどの記録媒体に格納して、納品先に郵送または配送する電子納品が行われている。これらの電子納品において、いわゆる機密情報を電子納品する場合には、高度な機密性を担保するセキュリティ対策を施さなければならない。
【０００３】
高度な機密性を担保するセキュリティ対策として、出願人は、公開鍵暗号方式に基づく鍵ペアを作成し、公開鍵をＣＤ−Ｒ等の追記録型光ディスクに記録し、この公開鍵を用いてデータを暗号化して追記録型光ディスクに記録する技術を開発した（特許文献１参照）。
【特許文献１】特開２００６−２０２５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１によれば、極めて高度な機密性を光ディスクに実現することができる。
しかし、鍵ペアはデータを搬送する目的に応じてその都度作成されるものである。つまり、暗号化処理を施した光ディスクを作成するに連れて、鍵ペアは増えていく。
この鍵ペアは、特に秘密鍵においては機密性を保持しつつ管理していかなければならない。
暗号化光ディスクを作成するに連れて増え続ける鍵ペアを、機密性を保持しながら管理し続けることは、エンドユーザレベルでは困難である。例えば、管理するパソコンのハードディスクがクラッシュする等で鍵ペアが失われたら、取り返しが付かなくなってしまう。
【０００５】
本発明はかかる点に鑑みてなされたものであり、ユーザを鍵ペアの管理から開放し、利便性を向上することができるデータ変換システム、鍵サーバ及びそのためのプログラム、及びデータ変換方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するための本発明は、鍵サーバに、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データを、文書に関連付けて、その文書名と、鍵データの状態の各フィールドを有する文書テーブルを用意する。
そして、鍵サーバは、クライアントに文書テーブルの内容を閲覧可能に表示させ、選択された文書に関連する鍵データをクライアントに送信する。
クライアントは、受信した鍵データを用いて、任意のデータを暗号化すると共に、暗号化されたデータを復号するものである。
【発明の効果】
【０００７】
本発明により、ユーザを鍵ペアの管理から開放し、利便性を向上することができるデータ変換システム、鍵サーバ及びそのためのプログラム、及びデータ変換方法を提供できる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の実施の形態を、図１〜図１７を参照して説明する。
【０００９】
図１は、本発明の実施の形態の例である、光ディスク記録再生システムの全体概略図である。
通常、光ディスクはスタンドアロンのパソコンでデータの記録再生が完結するが、本実施形態の光ディスクは、データを暗号化してディスクに記録し、再生は暗号化したデータの復号を必要とする。その際に、暗号化のための公開鍵及び復号化のための秘密鍵を鍵サーバがデータベース化して管理している。したがって、クライアントのパソコン（以下「クライアントＰＣ」と略す）は鍵サーバから必要な鍵ファイルをダウンロードして、暗号化又は復号化を行う必要がある。つまり、クライアントＰＣだけでは光ディスクの記録及び再生ができない。そこで、クライアントサーバシステムを構築し、このシステム全体で光ディスクの記録及び再生を行う。
【００１０】
本実施形態を説明する前に、本実施形態で使用する光ディスクについて説明する。
本実施形態にて使用する暗号化光ディスクは、ＲＯＭ領域と追記録領域を有するハイブリッドディスクを構成する、追記録型ＣＤ−Ｒ媒体である。
ＲＯＭ領域には、ディスクの状態の検出と、所定のメニュー画面を表示する等のプログラムが格納されている。
暗号化光ディスクにおいて、全てのデータは暗号化された上で記録される。暗号化されたデータは、所定の鍵を用いて復号処理を行ってから再生される。
【００１１】
暗号化及び復号化は、周知の公開鍵暗号方式を用いる。
より詳細には、先ず乱数発生機能にて自動生成した共通鍵で対象ファイルを暗号化する。
次に、その共通鍵を公開鍵で暗号化する。
復号の際には、秘密鍵で共通鍵を復号した後、復号された共通鍵で対象ファイルを復号化する。
このような処理を行う理由は、公開鍵による暗号化処理は演算量が膨大で時間がかかることに因る。このため、暗号化処理を行うデータの実体は演算量が少なく高速な共通鍵で暗号化し、その共通鍵を公開鍵で暗号化する。共通鍵はデータ量が少ないので、演算処理が比較的短時間で済む。
実際の暗号化光ディスクでは共通鍵と公開鍵を用いた暗号処理を行っているが、これ以降の説明では共通鍵の説明は省略する。この、共通鍵と公開鍵を併用する暗号化処理は、演算処理速度向上のための技術であり、また周知でもあるからである。これ以降の説明で、「公開鍵によるファイルの暗号化」「秘密鍵によるファイルの復号化」は、共通鍵を介した暗号化或は復号化処理を含むものである。
【００１２】
図１はある会社の社屋内部に敷設されている社内ＬＡＮと、その上に構築されている光ディスク記録再生システムを示す概略図である。
光ディスク記録再生システム１０１は、社内ＬＡＮ１０２を介して、クライアントＰＣ１０３、１０４及び１０５、及び鍵サーバ１０６により成り立つ。クライアントＰＣ１０３、１０４及び１０５にはそれぞれＣＤ−Ｒドライブ１０７が装着されている。
このクライアントサーバシステムは、所定のソフトウェアにて構成される。例えばインターナショナル・ビジネス・マシーンズ・コーポレーションのロータス・ノーツ（「ロータス」及び「ノーツ」共に登録商標）である。
【００１３】
図２はクライアントＰＣの内部ブロック図である。
クライアントＰＣ１０３は周知のコンピュータ装置である。
バス２０２上にはＣＰＵ２０３、ＲＯＭ２０４、ＲＡＭ２０５、ＡＴＡＰＩインターフェース２０６、ＮＩＣ２０７、ＵＳＢインターフェース２０８が接続されている。
ＡＴＡＰＩインターフェース２０６には固定磁気ディスク装置（以下「ＨＤＤ」と略す）２０９とＣＤ−Ｒドライブ（光ディスク装置）１０７が接続されている。
ＵＳＢインターフェース２０８にはキーボード２１１とマウス２１２が接続されている。
不揮発性ストレージであるＨＤＤ２０９には、図示しないＯＳと、鍵データベースクライアントプログラムが格納されている。
なお、後述する光ディスク記録再生プログラムは、暗号化光ディスクのＲＯＭ領域に格納されているが、光ディスク装置１０７に暗号化光ディスクを装着すると、一時的にＨＤＤ２０９にコピーされて実行される。
クライアントＰＣ１０３で稼動するＯＳは、例えばマイクロソフト社のＷｉｎｄｏｗｓ（登録商標）である。勿論、ＯＳはこれに限られるものではない。
ＮＩＣ２０７は社内ＬＡＮ１０２に接続されている。
なお、上記構成はごく一般的なパソコンの周辺機器接続例を示すものであり、必ずしもこの形態に固定されるものではない。
ここで、クライアントＰＣ１０３には必ず光ディスク装置１０７が接続されている必要があることを記しておく。なお、光ディスク装置１０７がクライアントＰＣ１０３に接続されるインターフェースは、ＡＴＡＰＩインターフェース２０６に限られない。ＵＳＢインターフェース２０８でも良いし、周知のＳＣＳＩ、ＩＥＥＥ１３９４等でも良い。
【００１４】
図３はクライアントＰＣ１０３内部の機能ブロック図である。
クライアントＰＣ１０３内では、光ディスク記録再生プログラム３０２と鍵データベースクライアントプログラム３０３の、二つのプログラムが別個独立して稼動している。
但し、鍵データベースクライアントプログラム３０３と光ディスク記録再生プログラム３０２は、特定ディレクトリ３０４を介してファイルの読み書きを行っている。
【００１５】
鍵サーバ操作部ともいえる鍵データベースクライアントプログラム３０３は、特定ディレクトリ３０４に三つのファイルを作成する。社内ＬＡＮ１０２を通じて鍵サーバ１０６から鍵ファイル３０５をダウンロードし、特定ディレクトリ３０４に配置する。次に、特定ディレクトリ３０４にｉｎｉファイル３０６を作成し、ｉｎｉファイル３０６の作成完了後、フラグファイル３０７を作成する。
ｉｎｉファイル３０６は比較的小さなサイズのテキストファイルであり、光ディスク記録再生プログラム３０２の動作を制御する各種情報が記録されている。本実施形態では特に、鍵ファイル３０５のフルパス名（ファイルの在り処）が記録されている。ファイル名は例えば「CryptDiscAction.ini」である。
フラグファイル３０７は０バイトのファイルである。光ディスク記録再生プログラム３０２は、このファイルの有無を検出して、ｉｎｉファイル３０６の読み込みを行う。
【００１６】
データ変換部ともいえる光ディスク記録再生プログラム３０２は、特定ディレクトリ３０４を常時監視している。特定ディレクトリ３０４上にフラグファイル３０７を見つけたら、ｉｎｉファイル３０６を読み込む。ｉｎｉファイル３０６には鍵ファイル３０５の在り処が書かれているので、当該鍵ファイル３０５を読み出す。読み出した鍵ファイル３０５は、任意のファイルの暗号化或は復号化処理に用いられる。
このように、鍵ファイル３０５を直接読み込まずに、フラグファイル３０７の存在を監視してからｉｎｉファイル３０６を読み込むのは、安全上の理由による。光ディスク記録再生プログラム３０２のポーリングのタイミングがｉｎｉファイル３０６の作成途中だった場合、鍵ファイル３０５のフルパス名を誤った内容で読み込んでしまう虞がある。そこでこれを防ぐために、ｉｎｉファイル３０６の作成を完了したときにフラグファイル３０７を作成し、フラグファイル３０７の存在をｉｎｉファイル３０６を読み込むきっかけにする。こうすることで、光ディスク記録再生プログラム３０２がｉｎｉファイル３０６をその作成途中に読み込むことがなくなる。
【００１７】
なお、暗号化処理の際、光ディスクの状態によっては、鍵サーバ１０６から鍵ファイル３０５を読み出すか、或は光ディスク内に記録されている公開鍵ファイルを読み出すかの、いずれかの動作が選択される。この、公開鍵ファイル及び動作の詳細については後述する。
また、光ディスク記録再生プログラム３０２は、ユーザによる終了処理の際に、特定ディレクトリ３０４から鍵ファイル３０５、ｉｎｉファイル３０６及びフラグファイル３０７を削除する。
【００１８】
光ディスク記録再生プログラム３０２の内部は、大まかに三つの機能よりなる。
ディスク判定部３１０は、ディスクの記録状態を検出し、それに応じたメニュー画面を表示する。ディスクの記録状態とは、暗号化光ディスクの対記録領域が
・未フォーマット状態（いわゆる「生ディスク」）
・フォーマットが済んでいるが、ファイナライズがされていない状態（追記録可能状態）
・ファイナライズされている状態（追記録不可状態）
の三つである。
記録プログラム３０８及び再生プログラム３０９は、ディスク判定部３１０が生成するメニュー画面によって起動される。
【００１９】
記録プログラム３０８は公開鍵ファイルを読む暗号化部を内包する。暗号化部は公開鍵ファイルを読み込むことで起動し、記録プログラム３０８の記録機能が有効化する。公開鍵ファイルは、暗号化光ディスクが未フォーマット状態のときは、特定ディレクトリ３０４から読み込む。暗号化光ディスクがフォーマット済みでファイナライズがされていない状態のときは、暗号化光ディスク（ＣＤ−Ｒドライブ１０７）から読み込む。
再生プログラム３０９は秘密鍵を読む復号化部を内包する。復号化部は秘密鍵を読み込むことで起動し、再生プログラム３０９の再生機能が有効化する。秘密鍵は、特定ディレクトリ３０４から読み込む。
【００２０】
鍵データともいえる鍵ファイル３０５は、公開鍵暗号方式に則ったものであり、鍵ファイル３０５の内部には、公開鍵データと秘密鍵データの両方が収められている。
記録プログラムが暗号化光ディスクのフォーマットを行うと、鍵ファイル３０５の公開鍵データのみをファイル化して、暗号化光ディスクに記録する。これを公開鍵ファイルと呼ぶ。
【００２１】
暗号化光ディスクは、未フォーマット状態では、追記録領域に何も書かれていない。
記録プログラム３０８によってフォーマットを行うと、公開鍵ファイルを追記録領域に書き込む。以後の追記録は、この公開鍵ファイルを用いて暗号化する。
【００２２】
図４は鍵サーバ１０６の内部を機能的に示す概略ブロック図である。
鍵サーバ１０６もまた、ハードウェアの構成上は、クライアントＰＣ１０３と同様の、一般的なパソコンと変わらない。
【００２３】
ＨＤＤ等よりなる不揮発性ストレージ４０２には、文書テーブル４０３とユーザテーブル４０４の、二つのテーブルが設けられている。
文書テーブル４０３は、文書ファイル４０５のファイル名と、その文書ファイル４０５にまつわる様々な情報が列挙格納されている。
ユーザテーブル４０４は、ユーザを一意に識別するユーザＩＤとパスワードの組等のフィールドが設けられている。これはユーザ認証や、文書作成者或は文書閲覧者を識別するための情報として利用される。
一人のユーザは複数の文書を作成するので、ユーザテーブル４０４と文書テーブル４０３との間には、一対多の関係がある。つまり、文書テーブル４０３のユーザＩＤフィールドには、同じユーザＩＤの値のレコードが複数存在する。図４ではこの関係を矢印Ａ４１１及びＡ４１２にて示している。
【００２４】
一方、文書テーブル４０３の各レコードと、文書ファイル４０５及び鍵ファイル３０５とは、それぞれ一対一の関係にある。図４ではこの関係を矢印Ａ４１３にて示している。
また、後述するＡＣＬ４０６の各レコードは、文書ファイル４０５及び鍵ファイル３０５のファイル名と、アクセスを許されるユーザとのテーブルを構成する。したがって、ＡＣＬ４０６のファイル名フィールドには、少なくとも文書ファイル４０５及び鍵ファイル３０５のファイル名が格納されている。
【００２５】
鍵サーバ１０６は単に鍵ファイル３０５を列挙格納しているだけではない。鍵ファイル３０５はその性格上、限定された者だけが利用可能になっていなければならない。そのためには、多数の鍵ファイル３０５を多くのユーザに提供する際に、当該鍵ファイル３０５が誰のものなのか、いつ作られたのか等の、諸元となる情報が必要である。そこで、鍵サーバ１０６は文書サーバを構成し、鍵ファイル３０５はその文書からリンクとして管理する形式を採用している。文書の形式はリンクを生成できる形式であればなんでもよい。例えばｈｔｍｌ文書やＸＭＬ文書が利用可能である。
【００２６】
不揮発性ストレージ４０２には、図示しないＯＳによってファイルシステムが形成されている。このファイルシステムは、ユーザが作成したファイルに対し、アクセス制御を付与することができる。このアクセス制御の機能はＡＣＬ（Access Control List）と呼ばれる、公知の技術である。図４中ではＡＣＬ４０６を明示的なリスト形式で表示しているが、実際はユーザが任意に作成できるファイルとは異なり、ファイルシステムの中に構築されるものである。
【００２７】
文書作成部４０７は文書ファイル４０５を作成するユーザインターフェースを提供する。鍵申請者が利用するものである。
文書閲覧部４０８は文書ファイル４０５を閲覧するユーザインターフェースを提供する。この文書閲覧部４０８は、鍵申請者及び承認担当者によって利用される。承認担当者は、多くの場合、鍵申請者の上司や他部門の者が担当となる。
暗号鍵作成部４０９は文書閲覧部４０８から起動され、鍵ファイル３０５を作成する。
暗号鍵作成部４０９が鍵ファイル３０５の作成を完了したら、文書閲覧部４０８はこれを受けて文書テーブル４０３内の文書状態フィールドの内容を更新する。
【００２８】
図５は文書テーブル４０３の中身の一例である。
ファイル名フィールド５０２は文書番号でもあり、文書作成部４０７にて作成された文書ファイル４０５のファイル名が格納される。文書番号は文書作成部４０７が自動で生成する。
文書状態フィールド５０３は前述の通り、文書の状態を示す。つまり、鍵発行申請文書の作成途中（「作成中」）か、鍵発行の承認待ち（「承認依頼中」）か、承認後作成途中段階（「鍵発行待ち」）か、鍵ファイル３０５の作成が完了したか（「鍵発行完了」）の、いずれかの値が格納される。
利用目的フィールド（簡易説明）５０４は、鍵申請者が文書作成時に記入する項目である。
最終更新日フィールド５０５は、文書の状態に応じて変更される、最終更新日時である。
【００２９】
図６は鍵データベースクライアントプログラム３０３が表示する、文書一覧表示画面の一部である。
図５の文書テーブル４０３の中身に加えて、作成者フィールド６０２が追加されていることがわかる。作成者はＡＣＬ４０６から取得される。
文書閲覧者はこの画面から任意の一つのレコードを選択して、マウスカーソルを合わせ、クリックする。すると、文書の内容が表示される。
【００３０】
図７（ａ）、（ｂ）及び（ｃ）、図８（ｄ）及び（ｅ）は、文書閲覧部４０８が表示する文書閲覧画面である。なお、図７（ｃ）は画面の一部であり、図７（ｂ）と相違する部分だけを示す。
図７（ａ）は、申請者が文書を作成中の状態における、文書閲覧部４０８が表示する文書閲覧画面である。所定のユーザ認証処理を行った後、文書作成部４０７を起動し、所定の項目を入力して文書作成作業を終了すると、この画面が表示される。ユーザ認証が行われているので、申請者は既にログイン済みのユーザ自身である。
「文書状態」欄７０６は「1.作成中」という表示になっている。
申請者は、利用目的欄７０３、ＣＤ内容欄７０４にそれぞれ必要事項を記入する。必要事項記入後、「承認依頼」ボタン７０５を押すと、文書ファイルが鍵サーバ１０６内部にて作成されると共に、承認者にメールが送信される。
なお、「編集モード」ボタン７０７を押すと、文書作成部４０７が起動され、利用目的欄７０３、ＣＤ内容欄７０４が編集可能になる。
【００３１】
図７（ｂ）は、申請者が図７（ａ）において文書に必要事項記入後、「承認依頼」ボタン７０５を押した後の状態における、文書閲覧部４０８が表示する文書閲覧画面である。
「文書状態」欄７１６は「2.承認依頼中」という表示になっている。
【００３２】
図７（ｃ）は、申請者が図７（ａ）において文書に必要事項記入後、「承認依頼」ボタン７０５を押した後、当該文書を承認者が閲覧したときの、文書閲覧画面の一部である。
図７（ｃ）は、基本的には図７（ｂ）と同じだが、申請者には表示されないボタンが幾つかある。それが、「審査」ボタン７２２、「承認」ボタン７２３、「非審査・非承認」ボタン７２４である。
承認者が「審査」ボタン７２２を押すと、更なる別の承認者へメールが送信される。このとき文書状態は変更されず、別の承認者が当該文書を開くと図７（ｃ）に示す画面になる。
承認者が「承認」ボタン７２３を押すと、文書閲覧部４０８は、審査の結果、鍵発行を承認した旨のメールを申請者に送信すると共に、暗号鍵作成部４０９を起動し、鍵ファイル３０５を作成させる。
承認者が「非審査・非承認」ボタン７２４を押すと、文書閲覧部４０８は、審査の結果、鍵発行を非承認した旨のメールを申請者に送信する。
【００３３】
図８（ｄ）は、承認者が図７（ｃ）において鍵発行を承認すべく「承認」ボタン７２３を押した直後、申請者がメールを受信し、これを受けてすぐに文書を閲覧したときの文書閲覧画面である。このとき、暗号鍵作成部４０９による鍵ファイル３０５の作成は完了していない。このため、「文書状態」欄８０６は「5.鍵発行待ち」という表示になっている。
【００３４】
図８（ｅ）は、図８（ｄ）から程なくして暗号鍵作成部４０９による鍵ファイル３０５の作成が完了したときに、申請者が文書を閲覧したときの文書閲覧画面である。「文書状態」欄８０６は「6.鍵発行完了」という表示になっている。
この画面で「鍵の使用」ボタン８１５を押すと、鍵データベースクライアントプログラム３０３は、図３にて説明した、鍵ファイル３０５のダウンロードと、ｉｎｉファイル３０６及びフラグファイル３０７の作成を、特定ディレクトリ３０４に対して行う。
【００３５】
図９は鍵サーバ１０６を中心に、鍵申請者と鍵承認者（例えば鍵申請者の上司）との手続きの流れと、鍵サーバ１０６の動作の変化を時系列で表示したフロー図である。図７（ａ）の状態である。
鍵申請者が文書作成部４０７を起動し、鍵申請文書を作成する。
次に、「承認依頼」ボタン７０５を押す（Ｓ９０１）。すると、文書作成部４０７は文書テーブル４０３に新規レコードを追加する。当該新規レコードには、
・作成した文書ファイル４０５のファイル名をファイル名フィールド５０２に、
・「承認依頼中」を文書状態フィールド５０３に（Ｔ９２１）、
・鍵申請者によって入力された利用目的の文章（文字列データ）を利用目的フィールド５０４に、
・文書テーブル４０３にレコード追加を行った日時を最終更新日フィールド５０５に
記入する。これが図７（ｂ）の状態である。
次に、鍵サーバは文書作成を受けて、指定した宛先にメールを送信する（Ｓ９０３）。ここでは上司になる。
上司はメールを受信したら、当該文書を閲覧する（Ｓ９０４）。図７（ｃ）の状態である。
鍵サーバ１０６は上司のクライアントＰＣから文書閲覧要求を受信して、当該文書の内容を送信し、表示させる（Ｓ９０５）。
上司は文書の内容を見て、適切と判断したら、「承認」ボタン７２３を押す（Ｓ９０６）。
【００３６】
鍵サーバ１０６は承認のアクションを受信すると、暗号鍵作成部４０９を起動する（Ｓ９０７）。それと共に、先に追加したレコードの文書状態フィールド５０３を「鍵発行待ち」と書き換える（Ｔ９２２）。図８（ｄ）の状態である。
程なくして暗号鍵作成部４０９が鍵作成を完了すると（Ｓ９０８）、鍵ファイル３０５のリンクを文書ファイル４０５に記入し、先に追加したレコードの文書状態フィールド５０３を、「鍵発行完了」と書き換える（Ｔ９２３）。図８（ｅ）の状態である。
その後、鍵申請者は文書を閲覧すると（Ｓ９０９）、文書閲覧要求に呼応して鍵サーバ１０６は要求された文書の内容を表示する（Ｓ９１０）。鍵申請者は文書に埋め込まれている鍵ファイル３０５のリンクをクリックして鍵送信要求を鍵サーバに発信する（Ｓ９１１）。すると、鍵サーバ１０６は鍵ファイル３０５を鍵申請者のクライアントＰＣに送信する（Ｓ９１２）。
【００３７】
図１０（ａ）及び（ｂ）は、ディスク判定部３１０が作成する、フォーマット及び記録用メニューの表示画面を示す。
図１０（ａ）は、未フォーマット状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、記録プログラムが鍵ファイル３０５を待っている状態のメニュー画面１００１である。
この状態では、「初期化＋書き込み」ボタン１００２及び「初期化」ボタン１００３はグレイアウト（ウィンドウ画面色と同じ灰色の表示で、文字が薄く表示される）され、ボタンとしての機能が無効化されている。
なお、表示メッセージ１００４は「未使用の暗号化光ディスクです。鍵ファイルを選択してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００３８】
図１０（ｂ）は、図１０（ａ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。すなわち、鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ３０４上にダウンロードし、これを光ディスク記録再生プログラム３０２内の記録プログラム３０８が読み込んだ状態である。
記録プログラム３０８内の暗号化部は、鍵ファイル３０５に含まれる暗号鍵データを読み込むことで有効化される。そして、これに呼応してグレイアウトされていた「初期化＋書き込み」ボタン１００２及び「初期化」ボタン１００３が明確に表示（縁が表示され、文字が濃く表示される）され、ボタンとしての機能が有効化される。そして、表示メッセージ１００５は「鍵が正常に認識されました。」という表示に変更される。
【００３９】
図１１（ｃ）及び（ｄ）は、ディスク判定部３１０が作成する記録・再生用メニューの表示画面を示す。
図１１（ｃ）は、フォーマットが済んでファイナライズがされていない状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、再生プログラム３０９が鍵ファイル３０５を待っている状態のメニュー画面１１０１である。
この状態では、「暗号（書き込み）」ボタン１１０２は有効であるものの、「復号（読み出し）」ボタン１１０３はグレイアウトされ、ボタンとしての機能が無効化されている。つまり、一旦フォーマットが済んでいる暗号化光ディスクには、暗号化のための公開鍵ファイルが書き込まれているので、データを暗号化して書き込むことは、任意のＣＤ−Ｒドライブを備えるパソコンであれば可能である。しかし、復号には秘密鍵が必要になるので、鍵サーバ１０６から鍵ファイル３０５を入手して、鍵ファイル３０５中の秘密鍵データを読み込むまでは、「復号（読み出し）」ボタン１１０３はグレイアウトされる。
なお、表示メッセージ１１０４は「暗号する場合は、暗号（書き込み）ボタンを押下してください。復号する場合は、鍵ファイルを選択後、復号（読み出し）ボタンを押下してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００４０】
図１１（ｄ）は、（ｃ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ上にダウンロードし、これを光ディスク記録再生プログラム３０２内の再生プログラム３０９が読み込んだ状態である。
再生プログラム３０９内の復号化部は、鍵ファイル３０５を読み込んだことで有効化される。そして、これに呼応してグレイアウトされていた「復号（読み出し）」ボタン１１０３が明確に表示され、ボタンとしての機能が有効化される。そして、表示メッセージ１１０５は「対応する鍵ファイルを認識済みです。」という表示に変更される。
【００４１】
図１２（ｅ）及び（ｆ）は、ディスク判定部３１０が作成する再生用メニューの表示画面を示す。
図１２（ｅ）は、ファイナライズされた状態の暗号化光ディスクを光ディスク装置１０７に装着した直後に、再生プログラムが鍵ファイル３０５を待っている状態の画面である。このメニュー画面１２０１は、ディスク判定部３１０が作成する。
この状態では、「暗号（書き込み）」ボタン１２０２及び「復号（読み出し）」ボタン１２０３はグレイアウトされ、ボタンとしての機能が無効化されている。
なお、表示メッセージ１２０４は「鍵ファイルを選択してください。」という表示になっている。これは、別途配布される鍵ファイル作成プログラムにて作成した鍵ファイルを手動で読み込ませることを求めるメッセージであり、過去のプログラムの互換性のための機能である。
【００４２】
図１２（ｆ）は、（ｅ）の状態から鍵ファイル３０５を読み込んだ状態の画面である。鍵データベースクライアントプログラム３０３が鍵ファイル３０５を特定ディレクトリ上にダウンロードし、これを光ディスク記録再生プログラム３０２内の再生プログラム３０９が読み込んだ状態である。
再生プログラム３０９内の復号化部は、鍵ファイル３０５を読み込んだことで有効化される。そして、これに呼応してグレイアウトされていた「復号（読み出し）」ボタン１２０３が明確に表示され、ボタンとしての機能が有効化される。そして、表示メッセージ１２０５は「対応する鍵ファイルを認識済みです。」という表示に変更される。
なお、図１２（ｅ）の時点で、光ディスク装置１０７に装着された暗号化光ディスクは、ファイナライズ済みのディスクである。すなわち、データの記録ができない。したがって、「暗号（書き込み）」ボタン１２０２は図１２（ｆ）の時点でもグレイアウトされたままの状態である。
【００４３】
図１３は、暗号化光ディスクを光ディスク装置１０７に装着した直後の、動作のフローである。暗号化光ディスクのＲＯＭ領域に格納されている自動実行プログラムの動作であり、ディスク判定部３１０の動作に該当する。
暗号化光ディスクを光ディスク装置１０７に装着すると、ＯＳが暗号化光ディスクのＲＯＭ領域に記録されている自動実行プログラムを見つけ、自動実行プログラムを起動する（Ｓ１３０１）。自動実行プログラムは、最初に光ディスクの状態をチェックする（Ｓ１３０２及びＳ１３０４）。その結果、暗号化光ディスクの追記録領域が未フォーマット状態であれば（Ｓ１３０２のＹ）、フォーマット及び記録用メニューを起動する（Ｓ１３０３）。
暗号化光ディスクの追記録領域がフォーマット済みで且つファイナライズが済んでいない状態であれば（Ｓ１３０４のＹ）、記録及び再生用メニューを起動する（Ｓ１３０５）。
暗号化光ディスクの追記録領域がフォーマット済みで且つファイナライズが済んだ状態であれば（Ｓ１３０４のＮ）、再生用メニューを起動する（Ｓ１３０６）。
以上、暗号化光ディスクの状態に応じた、ステップＳ１３０３、Ｓ１３０５、Ｓ１３０６のいずれかのメニューは、ユーザによる終了操作等によって終了する（Ｓ１３０７）。
【００４４】
図１４はフォーマット及び記録メニューのフローチャートである。ディスク判定部３１０の動作を示すものである。
ディスク判定部３１０は、フォーマット及び記録用メニューとしての動作を開始すると（Ｓ１４０１）、初期画面を表示する（Ｓ１４０２）。図１０（ａ）のメニュー画面１００１がこれに該当する。
次に、特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１４０３）。
フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み（Ｓ１４０４）、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み、暗号化機能を有効化する（Ｓ１４０５）。このとき、メニュー画面１００１は図１０（ｂ）の状態になる。そして、ファイル記録用画面を表示し（Ｓ１４０６）、終了する（Ｓ１４０７）。
【００４５】
図１５及び図１６は記録・再生用メニューのフローチャートである。ディスク判定部３１０の動作である。
ディスク判定部３１０は、記録・再生用メニューとしての動作を開始すると（Ｓ１５０１）、最初に暗号化光ディスクの追記録領域に記録されている、暗号化のための公開鍵ファイルを読み出す（Ｓ１５０２）。そして、暗号化機能を有効化する（Ｓ１５０３）。次に、初期画面を表示する（Ｓ１５０４）。図１１（ｃ）のメニュー画面１１０１がこれに該当する。
これ以降はループ処理である。
「暗号（書き込み）」ボタン１１０２が押されたことを検出すると（Ｓ１６０５）、暗号化画面（データ記録用画面）を表示済みか否かチェックし（Ｓ１６０６）、未だ起動していなければ起動する（Ｓ１６０７）。
【００４６】
次に、復号化のための秘密鍵ファイル３０５を未だ読んでいないか、検証する（Ｓ１６０８）。未だ読んでいなければ、次に特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１６０９）。フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み（Ｓ１６１０）、正しい秘密鍵ファイル３０５であるか否か検証する（Ｓ１６１１）。
正しい秘密鍵ファイル３０５であれば、復号化機能を起動し、画面を更新し、復号ボタンを有効化する（Ｓ１６１２）。図１１（ｄ）のメニュー画面１１０１がこれに該当する。もし、誤った秘密鍵ファイル３０５であれば、エラーメッセージのダイアログボックスを表示する（Ｓ１６１３）。
【００４７】
「復号（読み出し）」ボタン１１０３が押されたことを検出すると（Ｓ１６１４）、復号化画面（データ再生用画面）を表示済みか否かチェックし（Ｓ１６１５）、未だ起動していなければ起動する（Ｓ１６１６）。
なお、誤った秘密鍵ファイル３０５を読んでしまうと、ステップＳ１６０８でＮになる。このとき、「復号（読み出し）」ボタン１１０３はグレイアウトされたままなので、ステップＳ１６１４は常にＮとなる。
【００４８】
図１７は再生用メニューのフローチャートである。ディスク判定部３１０の動作を示すものである。
ディスク判定部３１０は、再生用メニューとしての動作を開始すると（Ｓ１７０１）、初期画面を表示する（Ｓ１７０２）。図１２（ｅ）のメニュー画面１２０１がこれに該当する。
次に、特定ディレクトリ３０４にフラグファイル３０７があるか否かをチェックし続ける（Ｓ１７０３）。
フラグファイル３０７が見つかったら、ｉｎｉファイル３０６を読み（Ｓ１７０４）、ｉｎｉファイル３０６に記述されている鍵ファイル３０５のフルパス名を取得し、鍵ファイル３０５を読み、復号化機能を有効化する（Ｓ１７０５）。このとき、メニュー画面１２０１は図１２（ｆ）の状態になる。そして、ファイル再生用画面を表示し（Ｓ１７０６）、終了する（Ｓ１７０７）。
【００４９】
本実施形態には、以下のような応用例が考えられる。
（１）上記実施形態では、光ディスク記録再生プログラム３０２は鍵データベースクライアントプログラム３０３とは独立して稼動していた。このため、光ディスク記録再生プログラム３０２は特定ディレクトリ３０４をポーリングする必要があった。この代わりに、鍵データベースクライアントプログラム３０３が光ディスク記録再生プログラム３０２に対してプロセス間通信を行って、能動的に鍵データベースクライアントプログラム３０３を制御して、鍵ファイル３０５等を読み込ませるように構成することもできる。
プロセス間通信は名前付パイプやメッセージ送受信等、様々な形態が考えられる。
【００５０】
（２）実施形態のシステムをｗｅｂアプリケーションサーバとｗｅｂブラウザにて構成することができる。
【００５１】
（３）記録媒体は光ディスクに限られない。不揮発性ストレージを構成する交換型記録媒体であれば、可撓性磁気ディスク、固定磁気ディスク、光磁気ディスク等のディスク状記録媒体に留まらず、ＵＳＢメモリ等のフラッシュメモリも利用可能である。
【００５２】
（４）更に、前述のような物理的媒体の存在も必須ではない。例えば電子メール等のメッセージ、特にＭＩＭＥ（Multipurpose Internet Mail Extension：ＴＣＰ／ＩＰネットワーク上の電子メールにおいて、各国語や画像、音声、動画等を扱うための規格。ヘッダに境界文字列を定義し、添付する各々のメッセージを境界文字列で区切る。）マルチパートメッセージに、本実施形態の鍵サーバを導入し、電子メール送受信プログラム（ＭＵＡ：Mail Users Agent）が、本実施形態のような暗号化・復号化処理を行うように構成することもできる。この場合、鍵サーバは自ずとｗｅｂアプリケーションサーバの形態になり、電子メールメッセージを構成するＭＩＭＥマルチパートメッセージには、暗号鍵と暗号メッセージをマルチパート形式で記述することとなる。
【００５３】
（５）図４では文書テーブル４０３と文書ファイル４０５と鍵ファイル３０５を夫々別個独立に設けていたが、これらを統合することもできる。
文書ファイル４０５と鍵ファイル３０５は、ＭＩＭＥマルチパートメッセージの形式にて一体化することができる。この場合、鍵データベースクライアントプログラム３０３は、メッセージ（文書ファイル４０５）を読むと同時に鍵ファイル３０５に相当するデータを受信できることとなる。つまり、鍵サーバ１０６に対し、明示の鍵ファイル３０５をダウンロードする処理は不要になる。
文書テーブル４０３と文書ファイル４０５或は鍵ファイル３０５は、文書テーブル４０３の一フィールドとして、文書ファイル４０５に記述される内容をフィールドの値として格納することができる。
なお、文書テーブル４０３と文書ファイル４０５或は鍵ファイル３０５を統合化する設計を行う際には、ＡＣＬ４０６を不揮発性ストレージ４０２に構築されるファイルシステムとは独立して保持する必要がある。
【００５４】
本実施形態においては、光ディスク記録再生システムを開示した。
暗号化光ディスクの記録及び再生に必要な鍵ファイルをサーバで一元管理することにより、鍵ファイルの紛失や漏洩を防止できる。また、クライアントプログラムと光ディスク記録再生プログラムとが鍵ファイルの読み込みにおいて連携する機能を持たせることで、ユーザは鍵ファイルを明示的に保存する等の意識をせずに、データの暗号化及び復号化を実現できる。
【００５５】
以上、本発明の実施形態例について説明したが、本発明は上記実施形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含むことは言うまでもない。
【図面の簡単な説明】
【００５６】
【図１】本発明の一実施の形態による光ディスク記録再生システムの全体概略図である。
【図２】クライアントＰＣの内部ブロック図である。
【図３】クライアントＰＣ内部の機能ブロック図である。
【図４】鍵サーバの内部を機能的に示す概略ブロック図である。
【図５】文書テーブルの中身の一例を示す図である。
【図６】鍵データベースクライアントプログラムが表示する、文書一覧表示画面の一部を示す図である。
【図７】文書閲覧部が表示する文書閲覧画面を示す図である。
【図８】文書閲覧部が表示する文書閲覧画面を示す図である。
【図９】鍵申請者と鍵承認者（上司）との手続きの流れと、鍵サーバの動作の変化を時系列で表示したフロー図である。
【図１０】記録プログラムの表示画面を示す図である。
【図１１】記録・再生プログラムの表示画面を示す図である。
【図１２】再生プログラムの表示画面を示す図である。
【図１３】暗号化光ディスクを光ディスク装置に装着した直後の動作を示すフローチャートである。
【図１４】フォーマット及び記録プログラムのフローチャートである。
【図１５】記録・再生プログラムのフローチャートである。
【図１６】記録・再生プログラムのフローチャートである。
【図１７】再生プログラムのフローチャートである。
【符号の説明】
【００５７】
１０１…光ディスク記録再生システム、１０２…社内ＬＡＮ、１０３、１０４、１０５…クライアントＰＣ、１０６…鍵サーバ、１０７…ＣＤ−Ｒドライブ、２０２…バス、２０３…ＣＰＵ、２０４…ＲＯＭ、２０５…ＲＡＭ、２０６…ＡＴＡＰＩインターフェース、２０７…ＮＩＣ、２０８…ＵＳＢインターフェース、２０９…固定磁気ディスク装置、２１１…キーボード、２１２…マウス、３０２…光ディスク記録再生プログラム、３０３…鍵データベースクライアントプログラム、３０４…特定ディレクトリ、３０５…鍵ファイル、３０６…ｉｎｉファイル、３０７…フラグファイル、３０８…記録プログラム、３０９…再生プログラム、３１０…ディスク判定部、４０２…不揮発性ストレージ、４０３…文書テーブル、４０４…ユーザテーブル、４０５…文書ファイル、４０６…ＡＣＬ、４０７…文書作成部、４０８…文書閲覧部、４０９…暗号鍵作成部、５０２…ファイル名フィールド、５０３…文書状態フィールド、５０４…利用目的フィールド、５０５…最終更新日フィールド、６０２…作成者フィールド、７０６、７１６、８０６、８１６…「文書状態」欄、７０３…利用目的欄、７０４…ＣＤ内容欄、７０５…「承認依頼」ボタン、７０７…「編集モード」ボタン、７２２…「審査」ボタン、７２３…「承認」ボタン、７２４…「非審査・非承認」ボタン、８１５…「鍵の使用」ボタン、１００１、１１０１、１２０１…メニュー画面、１００２…「初期化＋書き込み」ボタン、１００３…「初期化」ボタン、１００４、１００５、１１０４、１１０５、１２０４、１２０５…表示メッセージ、１１０２、１２０２…「暗号（書き込み）」ボタン、１１０３、１２０３…「復号（読み出し）」ボタン
【特許請求の範囲】
【請求項１】
鍵サーバとクライアントから構成されるデータ変換システムであって、
前記鍵サーバは、
文書の文書名と、
前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データの状態と
の各フィールドを有する文書テーブルと、
前記文書テーブルと前記文書を閲覧可能に表示する文書閲覧部と、
前記文書閲覧部によって起動され、前記鍵データを作成する暗号鍵作成部と、
前記文書を作成する文書作成部と
を備え、
前記クライアントは、
前記文書作成部及び前記文書閲覧部を操作し、前記文書テーブル及び前記文書を表示し、前記鍵データを受信する鍵サーバ操作部と、
前記鍵サーバ操作部が受信した前記鍵データを読み込み、任意のデータを暗号化すると共に、暗号化されたデータを復号するデータ変換部と
を備えることを特徴とする、データ変換システム。
【請求項２】
前記鍵サーバは更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧部は前記鍵サーバ操作部に、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を閲覧可能に表示することを特徴とする、請求項１記載のデータ変換システム。
【請求項３】
前記データ変換部は、交換型記録媒体に前記鍵データの公開鍵部分を記録することを特徴とする、請求項１記載のデータ変換システム。
【請求項４】
前記データ変換部は、データを暗号化した暗号化メッセージに前記鍵データの公開鍵部分を添付することを特徴とする、請求項１記載のデータ変換システム。
【請求項５】
文書と、
前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、
前記文書の文書名と、前記鍵データの状態の各フィールドを有する文書テーブルと、
クライアントに対し、前記文書テーブルと前記文書を閲覧可能に表示する文書閲覧部と、
前記文書閲覧部によって起動され、前記鍵データを作成する暗号鍵作成部と、
前記クライアントの操作に応じて前記文書を作成する文書作成部と
を備える鍵サーバ。
【請求項６】
更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧部は前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を閲覧可能に表示することを特徴とする、請求項５記載の鍵サーバ。
【請求項７】
コンピュータに、
文書と、前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、前記文書の文書名と前記鍵データの状態の各フィールドを有する文書テーブルと
を保持する不揮発性ストレージ機能と、
クライアントの要求に応じて、前記文書テーブルと前記文書の情報を送信する文書閲覧機能と、
前記文書閲覧機能に呼応して前記鍵データを作成する暗号鍵作成機能と、
前記クライアントの要求に応じて前記文書を作成する文書作成機能と
を実現させるためのプログラム。
【請求項８】
前記不揮発性ストレージ機能は更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧機能は前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を送信することを特徴とする、請求項７記載のプログラム。
【請求項９】
文書と、前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、前記文書の文書名と前記鍵データの状態の各フィールドを有する文書テーブルとを不揮発性ストレージに保持するステップと、
クライアントに、前記文書テーブルと前記文書の情報を送信するステップと、
前記クライアントの要求に応じて前記鍵データを作成するステップと、
前記クライアントの要求に応じて前記文書を作成するステップと、
前記文書テーブルから所望の前記文書を選択して表示するステップと、
表示した前記文書に関連付けられている前記鍵データを受信するステップと、
前記鍵データを用いて任意のデータを暗号化するステップと、
前記鍵データを用いて任意の暗号化されたデータを復号するステップと
を含むことを特徴とするデータ変換方法。
【請求項１０】
前記不揮発性ストレージは更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書テーブルと前記文書の情報を送信するステップは、前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を送信することを特徴とする、請求項９記載のデータ変換方法。
【請求項１】
鍵サーバとクライアントから構成されるデータ変換システムであって、
前記鍵サーバは、
文書の文書名と、
前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データの状態と
の各フィールドを有する文書テーブルと、
前記文書テーブルと前記文書を閲覧可能に表示する文書閲覧部と、
前記文書閲覧部によって起動され、前記鍵データを作成する暗号鍵作成部と、
前記文書を作成する文書作成部と
を備え、
前記クライアントは、
前記文書作成部及び前記文書閲覧部を操作し、前記文書テーブル及び前記文書を表示し、前記鍵データを受信する鍵サーバ操作部と、
前記鍵サーバ操作部が受信した前記鍵データを読み込み、任意のデータを暗号化すると共に、暗号化されたデータを復号するデータ変換部と
を備えることを特徴とする、データ変換システム。
【請求項２】
前記鍵サーバは更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧部は前記鍵サーバ操作部に、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を閲覧可能に表示することを特徴とする、請求項１記載のデータ変換システム。
【請求項３】
前記データ変換部は、交換型記録媒体に前記鍵データの公開鍵部分を記録することを特徴とする、請求項１記載のデータ変換システム。
【請求項４】
前記データ変換部は、データを暗号化した暗号化メッセージに前記鍵データの公開鍵部分を添付することを特徴とする、請求項１記載のデータ変換システム。
【請求項５】
文書と、
前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、
前記文書の文書名と、前記鍵データの状態の各フィールドを有する文書テーブルと、
クライアントに対し、前記文書テーブルと前記文書を閲覧可能に表示する文書閲覧部と、
前記文書閲覧部によって起動され、前記鍵データを作成する暗号鍵作成部と、
前記クライアントの操作に応じて前記文書を作成する文書作成部と
を備える鍵サーバ。
【請求項６】
更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧部は前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を閲覧可能に表示することを特徴とする、請求項５記載の鍵サーバ。
【請求項７】
コンピュータに、
文書と、前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、前記文書の文書名と前記鍵データの状態の各フィールドを有する文書テーブルと
を保持する不揮発性ストレージ機能と、
クライアントの要求に応じて、前記文書テーブルと前記文書の情報を送信する文書閲覧機能と、
前記文書閲覧機能に呼応して前記鍵データを作成する暗号鍵作成機能と、
前記クライアントの要求に応じて前記文書を作成する文書作成機能と
を実現させるためのプログラム。
【請求項８】
前記不揮発性ストレージ機能は更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書閲覧機能は前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を送信することを特徴とする、請求項７記載のプログラム。
【請求項９】
文書と、前記文書に関連付けられ、公開鍵暗号方式にて作成される、公開鍵と秘密鍵を含む鍵データと、前記文書の文書名と前記鍵データの状態の各フィールドを有する文書テーブルとを不揮発性ストレージに保持するステップと、
クライアントに、前記文書テーブルと前記文書の情報を送信するステップと、
前記クライアントの要求に応じて前記鍵データを作成するステップと、
前記クライアントの要求に応じて前記文書を作成するステップと、
前記文書テーブルから所望の前記文書を選択して表示するステップと、
表示した前記文書に関連付けられている前記鍵データを受信するステップと、
前記鍵データを用いて任意のデータを暗号化するステップと、
前記鍵データを用いて任意の暗号化されたデータを復号するステップと
を含むことを特徴とするデータ変換方法。
【請求項１０】
前記不揮発性ストレージは更に、
利用者フィールドを備えるユーザテーブルと、
前記利用者フィールドに関連する、前記文書の作成者を記録するＡＣＬと
を備え、
前記文書テーブルと前記文書の情報を送信するステップは、前記クライアントに、前記文書の文書名と、前記鍵データの状態と、前記文書の作成者の各情報を送信することを特徴とする、請求項９記載のデータ変換方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００８−１８１２２２（Ｐ２００８−１８１２２２Ａ）
【公開日】平成２０年８月７日（２００８．８．７）
【国際特許分類】
【出願番号】特願２００７−１２８６２（Ｐ２００７−１２８６２）
【出願日】平成１９年１月２３日（２００７．１．２３）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成２０年８月７日（２００８．８．７）
【国際特許分類】
【出願日】平成１９年１月２３日（２００７．１．２３）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]