情報処理装置及び暗号鍵管理方法及びプログラム
【課題】携帯端末装置が認証サーバと通信することなく暗号鍵を利用可能とし、かつ端末の紛失・盗難発生時における暗号鍵の漏洩を防止する。
【解決手段】携帯端末装置１０１の電源投入前に暗号鍵１０２を不揮発性メモリ４０４に格納させておき、携帯端末装置１０１の電源投入時に、暗号鍵保護部４０１が暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５に移動させ、ユーザ認証部４０３がユーザ認証を実施し、ユーザ認証が失敗した場合に、暗号鍵保護部４０１が揮発性メモリ４０５から暗号鍵１０２を消去する。
【解決手段】携帯端末装置１０１の電源投入前に暗号鍵１０２を不揮発性メモリ４０４に格納させておき、携帯端末装置１０１の電源投入時に、暗号鍵保護部４０１が暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５に移動させ、ユーザ認証部４０３がユーザ認証を実施し、ユーザ認証が失敗した場合に、暗号鍵保護部４０１が揮発性メモリ４０５から暗号鍵１０２を消去する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号通信に用いられる鍵を管理する技術に関する。
特に、携帯端末装置において、暗号通信に用いられる鍵を管理する技術に関する。
【背景技術】
【０００２】
複数の通信機器において、暗号アルゴリズムの鍵を共有し、通信機器間の通信内容の電子署名や暗号化を行うことによって、通信内容の盗聴防止や改ざん検出を実現することができる。
この時、暗号アルゴリズムとして共通鍵暗号アルゴリズムを用いる場合は、全ての通信機器が同一の共通鍵を共有する必要がある。
また、暗号アルゴリズムとして公開鍵暗号アルゴリズムを用いる場合は、全ての通信機器が機器自身の秘密鍵と他の機器の公開鍵を持っている必要がある。
即ち、通信機器間で、秘密鍵または秘密鍵に対応付けされた公開鍵を共有する必要がある。
この時、通信機器の紛失・盗難が発生し、通信機器から暗号鍵が取り出された場合、暗号化通信が復号されて内容が解読される可能性がある。
従って、暗号鍵という通信機器にとっての機密情報の漏洩を防止する必要がある。
【０００３】
従来の通信機器における暗号鍵等の機密情報の漏洩防止技術としては、以下のような技術がある。
特許文献１には、携帯電話機等の通信可能な端末から内部の個人情報や機密情報等の漏洩を防止するシステムについての記載がある。
この情報漏洩防止システムでは、端末内の機密情報を二つに分割して一方とＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）情報を認証サーバに登録しておき、認証サーバにおけるＰＩＮ情報を用いた認証が成功した時のみ、機密情報の半分を認証サーバから端末に転送する。
端末内の機密情報は、ＰＩＮ情報を用いた利用者認証が規定回数以上失敗した場合に削除される。
認証サーバから取得した機密情報の半分は揮発性メモリに保持されて、電源断およびリセット時に消去される。
分割された他方の機密情報は、端末内に保持しており、両情報が揃った時に機密情報全体が復元できる。
これによって、電源投入前の端末には機密情報の半分しか存在しないため、この状態の端末の紛失・盗難による機密情報の漏洩を防止していた。
また、動作中の端末においては、ＰＩＮ情報が判らない限り、機密情報にアクセスすることができなかった。
【０００４】
特許文献２には、携帯端末装置内の個人データの不正利用を防止するシステムについての記述がある。
この個人データ不正利用防止システムでは、電源投入毎に端末内のＲＯＭに格納された端末認証情報をネットワーク経由で認証サーバに送信して認証を行い、認証に成功すると端末内のＲＡＭ（揮発性メモリ）に個人データ利用可否情報を書き込み、ユーザの個人データへのアクセスが発生すると、個人データ利用可否情報に基づいてアクセスを許可する。
端末紛失時は、認証サーバの登録情報を一時的に抹消または変更することによって、認証失敗が発生するようにして個人データへのアクセスを防止する。
また、端末の電源投入後、所定時間を経過すると個人データ利用可否情報を消去し、再度認証サーバを用いた端末認証を要求する。
これによって、端末紛失時に認証サーバの管理者に連絡することで個人データの不正利用を防止していた。
また、電源投入中に端末を紛失した場合でも、所定時間経過後であれば、個人データの不正利用を防止していた。
【０００５】
特許文献３には、移動体通信における暗号鍵更新システムについての記述がある。
この暗号鍵更新システムでは、移動体と各無線基地局装置の間で、無線通信区間の暗号化に用いる暗号鍵を生成・更新する。
移動体の識別情報を通信する可能性のある無線基地局装置に事前配布しておき、走行中の移動体から送信される乱数を受信した基地局装置及び移動体にて、識別情報と乱数から暗号鍵を生成する。
移動体は、現時点で最後に検出された無線基地局装置と最後に通信してからの経過時間を計測し、一定時間を経過していた場合、無線基地局装置との通信可能エリアから離脱したとみなして、無線基地局装置との通信用暗号鍵を全て削除する。
これによって、移動体において使用されなくなった暗号鍵の管理が不要となる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−２４９５０７号公報
【特許文献２】特開２００８−５０４２号公報
【特許文献３】特開２００６−１２９４３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来の通信機器における機密情報の漏洩防止技術には、以下のような課題がある。
まず、特許文献１の機密情報漏洩防止システムでは、機密情報の半分を認証サーバに置いておくため、電源投入後、認証サーバと認証のための通信を行って機密情報をダウンロードする必要があり、認証サーバが動作していない状態や認証サーバとの通信ができない状態では、機密情報が利用できないという課題がある。
また、ＰＩＮ情報が破られた場合、動作中の端末から機密情報が漏洩するという課題がある。
【０００８】
また、特許文献２の個人データ不正利用防止システムでは、端末と認証サーバが通信することによる認証によって、個人データ利用可否情報を制御しているため、認証サーバが動作していない状態や認証サーバとの通信ができない状態では、機密情報である個人データが利用できないという課題がある。
電源投入後、所定時間経過後に個人データ利用可否情報を消去する場合、所定時間内であれば個人データを不正利用される可能性があり、かつ所定時間毎に認証サーバと通信しなければならないという課題がある。
【０００９】
また、特許文献３の暗号鍵更新システムでは、暗号鍵の使用終了後、所定の時間が経過すると暗号鍵を削除しており、移動体と無線基地局装置の間の暗号鍵であれば、無線基地局装置の圏外に移動することで暗号鍵の使用終了と見なすことができる。
しかしながら、携帯端末装置同士の通信に用いる暗号鍵の場合、無線基地局装置の圏外に移動することは暗号鍵の使用終了と見なすことはできないため暗号鍵は消去できず、この間に携帯端末装置の紛失・盗難が発生した場合に携帯端末装置に残っている暗号鍵が漏洩する可能性があるという課題がある。
あるいは、無線基地局装置の圏外に移動する度に暗号鍵を消去した場合、無線基地局装置をまたがる度に、携帯端末装置間で暗号鍵を共有し直さなければならないという課題がある。
【００１０】
この発明は上記のような課題を解決することを主な目的としており、携帯端末装置等の情報処理装置が認証サーバと通信することなく機密情報である暗号鍵を利用可能とし、かつ端末の紛失・盗難発生時における情報処理装置内の暗号鍵の漏洩を防止することを目的とする。
【課題を解決するための手段】
【００１１】
本発明に係る情報処理装置は、
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記情報処理装置の電源投入時に前記ユーザ認証部によるユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする。
【発明の効果】
【００１２】
本発明によれば、電源未投入の状態では不揮発性メモリで暗号鍵を保管しているので、電源投入後にサーバと通信することなく暗号鍵を利用でき、サーバが停止しているために情報処理装置の機能を利用できないといった事態を回避することができる。
また、電源投入時にユーザ認証を行い、認証に失敗した場合に暗号鍵を消去するようにしているので、情報処理装置の紛失・盗難発生時に、不正に情報処理装置を起動して暗号鍵を利用しようとする試みを阻止することができる。
また、電源投入中の間は揮発性メモリ上に暗号鍵を保管しているので、電源投入中の情報処理装置の紛失・盗難発生時に、電源を投入したままの状態で情報処理装置を分解して暗号鍵を取り出そうとする試みを阻止することができる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係る携帯端末装置の構成例を示す図。
【図３】実施の形態１に係る携帯端末装置の電源投入時の処理例を示すフローチャート図。
【図４】実施の形態１に係る携帯端末装置の電源断時の処理例を示すフローチャート図。
【図５】実施の形態２〜４に係るシステム構成例を示す図。
【図６】実施の形態２に係る暗号鍵の内部形式を示す図。
【図７】実施の形態２に係る携帯端末装置の構成例を示す図。
【図８】実施の形態２に係る携帯端末装置の処理例を示すフローチャート図。
【図９】実施の形態３に係る携帯端末装置の構成例を示す図。
【図１０】実施の形態３に係る携帯端末装置の処理例を示すフローチャート図。
【図１１】実施の形態４に係る携帯端末装置の構成例を示す図。
【図１２】実施の形態４に係る携帯端末装置の処理例を示すフローチャート図。
【図１３】実施の形態５に係るシステム構成例を示す図。
【図１４】実施の形態５に係る携帯端末装置の構成例を示す図。
【図１５】実施の形態５に係る携帯端末装置の処理例を示すフローチャート図。
【図１６】実施の形態６に係る携帯端末装置の構成例を示す図。
【図１７】実施の形態６に係る携帯端末装置の処理例を示すフローチャート図。
【図１８】実施の形態１に係る携帯端末装置の電源投入時の処理例を示すフローチャート図。
【図１９】実施の形態１〜６に係る携帯端末装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１４】
実施の形態１．
図１は実施の形態１におけるシステム構成図である。
図１において、携帯端末装置１０１はネットワーク１０３を介して他の携帯端末装置１０１と通信する端末装置である。
携帯端末装置１０１は、情報処理装置の例である。
暗号鍵１０２は携帯端末装置１０１間の通信内容を暗号化するための鍵である。
ネットワーク１０３は携帯端末装置１０１間の通信路として用いられるネットワークである。
【００１５】
次に、図２に基づき、実施の形態１における携帯端末装置１０１の機能について説明する。
図２は実施の形態１における携帯端末装置１０１の内部ブロック図である。
図２において、暗号鍵保護部４０１は不揮発性メモリ４０４および揮発性メモリ４０５を用いて暗号鍵１０２を保管し、ユーザ認証部４０３を用いてユーザ認証を行い、携帯端末装置１０１の紛失・盗難があったと見なした場合は暗号鍵１０２を消去する。
電源スイッチ４０２は携帯端末装置１０１の起動・終了時に押されるスイッチである。
ユーザ認証部４０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ４０４は携帯端末装置１０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ４０５は携帯端末装置１０１の電源投入中のみデータを保持可能なメモリである。
【００１６】
次に動作について説明する。
まず、携帯端末装置１０１の電源を入れた場合の動作について説明する。
図３は、実施の形態１における携帯端末装置１０１の電源投入時の動作を示すフローチャートである。
【００１７】
電源投入前、暗号鍵１０２は携帯端末装置１０１の不揮発性メモリ４０４上に保管されている。
ユーザが電源スイッチ４０２を押して携帯端末装置１０１の電源を入れると、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５へ移動する（Ｓ１０１）（暗号鍵保護ステップ）。
次に、暗号鍵保護部４０１はユーザ認証部４０３を用いてユーザの認証を行う（Ｓ１０２）（ユーザ認証ステップ）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ１０３）、成功の場合は、そのまま携帯端末装置１０１が起動する。
失敗の場合は、暗号鍵保護部４０１は暗号鍵１０２を揮発性メモリ４０５から消去する（Ｓ１０４）（暗号鍵保護ステップ）。
なお、認証情報の入力は所定の回数の再入力を許可し、その回数を超えてエラーが発生した場合は認証失敗と判定してよい。
【００１８】
次に、携帯端末装置１０１の電源を切る場合の動作について説明する。
図４は、実施の形態１における携帯端末装置１０１の電源断時の動作を示すフローチャートである。
【００１９】
電源投入中、暗号鍵１０２は携帯端末装置１０１の揮発性メモリ４０５上に保管されている。
ユーザが電源スイッチ４０２を押して携帯端末装置１０１の電源を切ろうとすると、暗号鍵保護部４０１はユーザ認証部４０３を用いてユーザの認証を行う（Ｓ２０１）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ２０２）、成功の場合は暗号鍵１０２を揮発性メモリ４０５から不揮発性メモリ４０４へ移動して、携帯端末装置１０１の電源を切る（Ｓ２０３）。
失敗の場合は、暗号鍵１０２を揮発性メモリ４０５から消去して、携帯端末装置１０１の電源を切る（Ｓ２０４）。
【００２０】
以上のように、携帯端末装置１０１は電源未投入の状態では不揮発性メモリ４０４上に暗号鍵１０２を保管しているので、電源投入後にサーバと通信することなく機密情報である暗号鍵１０２を利用できる。
また、携帯端末装置１０１の電源投入時にユーザ認証を行い、認証に失敗した場合に携帯端末装置１０１が紛失・盗難にあったと見なして暗号鍵１０２を消去するようにしているので、携帯端末装置１０１の紛失・盗難発生時、不正に携帯端末装置１０１を起動して暗号鍵１０２を利用しようとする試みを防止することができる。
また、携帯端末装置１０１は電源投入中の間は揮発性メモリ４０５上に暗号鍵１０２を保管しているので、電源投入中の携帯端末装置１０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを防止することができる。
また、携帯端末装置１０１の電源断時にユーザ認証を行い、認証に失敗した場合に携帯端末装置１０１が紛失・盗難にあったと見なして暗号鍵１０２を消去するようにしているので、携帯端末装置１０１の紛失・盗難発生時、一旦電源を落としてから携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを防止することができる。
これらの携帯端末装置１０１の電源投入から電源断までの一連の手順において、携帯端末装置１０１はサーバと通信する必要がないため、サーバが停止しているために携帯端末装置１０１の機能を利用できないといった障害を生じることがなく、システム全体の可用性を高めることができる。
【００２１】
なお、図３に示す方式に代えて、図１８に示す方式にすることも可能である。
図１８の方式では、まず、ユーザ認証を行い（Ｓ８０１）、ユーザ認証に成功した場合（Ｓ８０２でＹＥＳ）に、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５に移動させる（Ｓ８０３）。
一方、ユーザ認証に成功した場合（Ｓ８０２でＹＥＳ）は、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から消去する（Ｓ８０４）。
【００２２】
上記のように、図３の方式はユーザ認証に先立って暗号鍵１０２を揮発性メモリ４０５に移動させるので、ユーザ認証の間に携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを阻止することができる。
この点で、図１８の方式は図３の方式に比べるとセキュリティ強度は低い。
しかし、図１８のＳ８０１からＳ８０３の間の時間は１、２秒程度であるため、極端にセキュリティ強度が落ちるわけではなく、用途によっては図１８に示す方式を採用することも可能である。
【００２３】
以上、本実施の形態では、
ネットワークを介して他の端末と通信可能な携帯端末装置において、電源投入前には不揮発性メモリに暗号鍵を保管し、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００２４】
また、本実施の形態では、
複数の携帯端末装置を備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００２５】
また、本実施の形態では、
携帯端末装置が、不揮発性メモリ上に暗号鍵を保管する暗号鍵保護部であって、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動する鍵移動ステップと、端末が紛失・盗難にあった可能性が低い脅威レベルを検出すると暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去する鍵更新ステップと、端末が紛失・盗難にあった可能性が高いレベルの脅威を検出した時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去するユーザ認証・鍵消去ステップと、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する鍵保存・消去ステップとを備える暗号鍵保護方法を説明した。
【００２６】
また、本実施の形態では、
不揮発性メモリ上に暗号鍵を保管する暗号鍵保護部であって、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動する鍵移動処理と、端末が紛失・盗難にあった可能性が低い脅威レベルを検出すると暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去する鍵更新処理と、端末が紛失・盗難にあった可能性が高いレベルの脅威を検出した時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去するユーザ認証・鍵消去処理と、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する鍵保存・消去処理とを通信端末に実行させる暗号鍵保護プログラムを説明した。
【００２７】
実施の形態２．
実施の形態２では、携帯端末装置２０１において基地局装置２０３からの圏外滞在時間を計測し、一定時間を超えた場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００２８】
図５は、実施の形態２のシステム構成図である。
図５において、携帯端末装置２０１は基地局装置２０３およびコアネットワーク２０４を介して他の携帯端末装置２０１と通信する端末である。
暗号鍵２０２は携帯端末装置２０１間の通信内容を暗号化するための鍵である。
基地局装置２０３は携帯端末装置２０１と無線通信を行ってコアネットワーク２０４へ接続するアクセスポイントである。
コアネットワーク２０４は基地局装置２０３を介して携帯端末装置２０１間の通信路として用いられるバックボーンネットワークである。
【００２９】
次に、図６に基づき、実施の形態２における暗号鍵２０２について説明する。
図６は、暗号鍵２０２の内部形式を示した図である。
図６において、鍵データ２２１は携帯端末装置２０１間の暗号化通信に用いられる鍵そのものであり、暗号アルゴリズムの種類、パラメータ、鍵の値等から構成される。
鍵世代番号２２２は鍵データ２２１の現在の世代を表す数字であり、更新を行う度に１ずつ値が加算される。
属性２２３は鍵データ２２１に付属する値（鍵の有効期限、携帯端末装置２０１の紛失・盗難と見なして鍵更新や鍵消去を行う判定基準等）が存在する場合に、それらの値を格納する。
【００３０】
次に、図７に基づき、実施の形態２における携帯端末装置２０１の機能について説明する。
図７は実施の形態２における携帯端末装置２０１の内部ブロック図である。
【００３１】
図７において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と時計５０８から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７はいずれかの基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計５０８は現在日時を保持し、基地局装置２０３からの電波に時刻情報が含まれていた場合は値の補正を行う。
【００３２】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００３３】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図８は、実施の形態２における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００３４】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１が基地局装置圏外へ移動したこと（いずれの基地局装置からも電波を受信していないこと）を検出した場合、暗号鍵保護部５０１は時計５０８を用いて基地局装置圏外滞在時間ｔの計測を開始する（Ｓ３０１）。
基地局装置圏外滞在時間ｔが所定の値ｔ１（第１の閾値）を超えるまでの間、即ちｔ≦ｔ１の間は何もしない（Ｓ３０２）。
この間に携帯端末装置２０１が基地局装置圏内に戻った場合（再び基地局装置からの電波を受信した場合）は、フローチャートの先頭に戻る。
基地局装置圏外滞在時間ｔが所定の値ｔ１を超えた場合、即ちｔ＞ｔ１となった場合は、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ３０３）。
基地局装置圏外での滞在が続く場合は、基地局装置圏外滞在時間ｔの計測を継続し、基地局装置圏外滞在時間ｔが所定の値ｔ２（但し、ｔ１＜ｔ２）（第２の閾値）を超えるまでの間、即ちｔ≦ｔ２の間は何もしない（Ｓ３０４）。
この間に携帯端末装置２０１が基地局装置圏内に戻った場合は、フローチャートの先頭に戻る。
基地局装置圏外滞在時間ｔが所定の値ｔ２を超えた場合、即ちｔ＞ｔ２となった場合、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ３０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ３０６）、失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ３０７）。
なお、所定の値ｔ１、ｔ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００３５】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００３６】
以上のように、基地局装置２０３からの電波が届かない圏外滞在時間ｔがｔ１を超えた時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、携帯端末装置２０１を基地局装置圏外に持ち出すことで遠隔操作による暗号鍵２０２の消去を回避しつつ電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３からの電波が届かない圏外滞在時間ｔがｔ２を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００３７】
なお、図８では、ｔ＞ｔ２となった場合に（Ｓ３０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ３０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ３０７）が、用途によってはｔ＞ｔ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００３８】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、基地局装置からの電波を未受信の状態になると基地局装置圏外滞在時間ｔの計測を開始し、滞在時間ｔが所定の時間ｔ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、滞在時間ｔが所定の時間ｔ２（但し、ｔ１＜ｔ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００３９】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、基地局装置からの電波を未受信の状態になると基地局装置圏外滞在時間ｔの計測を開始し、滞在時間ｔが所定の時間ｔ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、滞在時間ｔが所定の時間ｔ２（但し、ｔ１＜ｔ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００４０】
実施の形態３．
実施の形態３では、携帯端末装置２０１において基地局装置２０３からの電波を用いて現在のエリアを測定し、一定のエリアの移動を検出した場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００４１】
実施の形態３のシステム構成図は、実施の形態２のシステム構成図（図５）と同一である。
【００４２】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００４３】
次に、図９に基づき、実施の形態３における携帯端末装置２０１の機能について説明する。
図９は実施の形態３における携帯端末装置２０１の内部ブロック図である。
【００４４】
図９において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と移動距離算出部５０９から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７は基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
移動距離算出部５０９は基地局電波受信部５０７で受信したエリア情報から携帯端末装置２０１の大まかな移動距離を記録する。
【００４５】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００４６】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図１０は、実施の形態３における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００４７】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１と基地局装置２０３との通信確立を検出後、異なる基地局装置２０３の基地局装置圏へ移動したことを検出した場合（基地局電波受信部５０７が電波を受信している基地局装置が変化した場合）、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ４０１）。
そして、暗号鍵保護部５０１は移動距離算出部５０９を用いて基地局装置情報から、異なる基地局装置２０３の基地局装置圏へ移動してからの概算移動距離ｄを計算する（Ｓ４０２）。
移動距離算出部５０９は、基地局電波受信部５０７が受信した電波に基づき、基地局電波受信部５０７が受信した電波の送信元の基地局装置２０３の所在位置を判断して、携帯端末装置２０１の概算移動距離ｄを算出する。
【００４８】
概算移動距離ｄが所定の閾値ｄ０を超えていない場合、即ちｄ≦ｄ０の場合は、フローチャートの先頭に戻る（Ｓ４０３）。
概算移動距離ｄが所定の値ｄ０を超えた場合、即ちｄ＞ｄ０の場合は、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ４０４）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ４０５）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ４０６）。
なお、所定の値ｄ０は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００４９】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００５０】
以上のように、基地局装置２０３の圏内から異なる基地局装置２０３の圏内へ移動した時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３の位置情報から計算した概算移動距離ｄがｄ０を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００５１】
なお、図１０のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置２０１が異なる基地局装置２０３の基地局装置圏へ移動したことを検出することも考えられる。
この場合には、携帯端末装置２０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部５０１は、Ｓ４０１において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部５０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００５２】
また、図１０では、ｄ＞ｄ０となった場合に（Ｓ４０３でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ４０４）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ４０６）が、用途によってはｄ＞ｄ０となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００５３】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、ｄが所定の上限値ｄ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００５４】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、ｄが所定の上限値ｄ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００５５】
実施の形態４．
実施の形態４では、携帯端末装置２０１において基地局装置２０３からの電波を用いて現在のエリアを測定して移動速度を計算し、一定の速度以上の移動を検出した場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００５６】
実施の形態４のシステム構成図は、実施の形態２のシステム構成図（図５）と同一である。
【００５７】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００５８】
次に、図１１に基づき、実施の形態４における携帯端末装置２０１の機能について説明する。
図１１は実施の形態３における携帯端末装置２０１の内部ブロック図である。
【００５９】
図１１において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と時計５０８と移動距離算出部５０９から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７は基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計５０８は現在日時を保持し、基地局装置２０３からの電波に時刻情報が含まれていた場合は値の補正を行う。
移動距離算出部５０９は基地局電波受信部５０７で受信したエリア情報から携帯端末装置２０１の大まかな移動距離を記録する。
なお、本実施の形態では、移動距離算出部５０９は移動速度算出部の例でもある。
【００６０】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００６１】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図１２は、実施の形態４における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００６２】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１と基地局装置２０３との通信確立を検出した場合、暗号鍵保護部５０１は時計５０８を用いて基地局装置圏内滞在時間ｔの計測を開始する（Ｓ５０１）。
基地局電波受信部５０７により異なる基地局装置２０３の基地局装置圏へ移動したことを検出した場合、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ５０２）。
そして、暗号鍵保護部５０１は移動距離算出部５０９を用いて基地局装置情報から、異なる基地局装置２０３の基地局装置圏へ移動してからの概算移動距離ｄを計算する（Ｓ５０３）。
単位時間毎の移動距離（移動速度）Ｓ＝ｄ／ｔが所定の閾値Ｓ０を超えていない場合、即ちＳ≦Ｓ０の場合は、フローチャートの先頭に戻る（Ｓ５０４）。
単位時間毎の移動距離Ｓが所定の値Ｓ０を超えた場合、即ちＳ＞Ｓ０の場合は、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ５０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ５０６）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ５０７）。
なお、所定の値Ｓ０は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００６３】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００６４】
以上のように、基地局装置２０３の圏内から異なる基地局装置２０３の圏内へ移動した時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３の位置情報および携帯端末装置２０１内部の時計５０８から計算した移動速度ＳがＳ０を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００６５】
なお、実施の形態３と同様に、図１２のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置２０１が異なる基地局装置２０３の基地局装置圏へ移動したことを検出することも考えられる。
この場合には、携帯端末装置２０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部５０１は、Ｓ５０２において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部５０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００６６】
また、図１２では、Ｓ＞Ｓ０となった場合に（Ｓ５０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ５０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ５０７）が、用途によってはＳ＞Ｓ０となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００６７】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、ある基地局装置からの電波を受信した状態になると当該基地局装置圏内滞在時間ｔの計測を開始し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、移動速度（単位時間毎の移動距離）Ｓ＝ｄ／ｔが所定の上限値Ｓ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００６８】
以上、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、ある基地局装置からの電波を受信した状態になると当該基地局装置圏内滞在時間ｔの計測を開始し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、移動速度（単位時間毎の移動距離）Ｓ＝ｄ／ｔが所定の上限値Ｓ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００６９】
実施の形態５．
実施の形態５では、携帯端末装置３０１においてＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）衛星３０５からのＧＰＳ信号３０６を用いて現在位置を測定し、一定の距離の移動を検出した場合、携帯端末装置３０２が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００７０】
図１３は、実施の形態５のシステム構成図である。
【００７１】
図１３において、携帯端末装置３０１は基地局装置３０３およびコアネットワーク３０４を介して他の携帯端末装置３０１と通信すると共に、ＧＰＳ衛星３０５から発信されるＧＰＳ信号３０６を受信する端末である。
暗号鍵２０２は携帯端末装置３０１間の通信内容を暗号化するための鍵である。
基地局装置３０３は携帯端末装置３０１と無線通信を行ってコアネットワーク３０４へ接続するアクセスポイントである。
コアネットワーク３０４は基地局装置３０３を介して携帯端末装置３０１間の通信路として用いられるバックボーンネットワークである。
ＧＰＳ衛星３０５はＧＰＳ信号３０６を送信するＧＰＳシステムの人工衛星である。
ＧＰＳ信号３０６はＧＰＳ衛星３０５によって送信される時刻情報と軌道情報を含む信号である。
ＧＰＳ衛星３０５は測位衛星の例であり、また、ＧＰＳ信号３０６は位置情報の例である。
【００７２】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００７３】
次に、図１４に基づき、実施の形態５における携帯端末装置３０１の機能について説明する。
図１４は実施の形態５における携帯端末装置３０１の内部ブロック図である。
【００７４】
図１４において、暗号鍵保護部６０１は不揮発性メモリ６０４および揮発性メモリ６０５を用いて暗号鍵２０２を保管し、移動距離算出部６０９とＧＰＳ信号受信部６１０から携帯端末装置３０１の紛失・盗難の可能性を検出すると、暗号鍵更新部６０６を用いて暗号鍵２０２を更新し、携帯端末装置３０１の紛失・盗難の可能性が高い場合、ユーザ認証部６０３を用いてユーザ認証を行い、携帯端末装置３０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ６０２は携帯端末装置３０１の起動・終了時に押されるスイッチである。
ユーザ認証部６０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ６０４は携帯端末装置３０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ６０５は携帯端末装置３０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部６０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部６０７は基地局装置３０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
移動距離算出部６０９はＧＰＳ信号受信部６１０で計算した現在位置を用いて携帯端末装置３０１の移動距離を記録する。
ＧＰＳ信号受信部６１０はＧＰＳ衛星３０５から送信されたＧＰＳ信号３０６を受信して受信地点の正確な三次元位置を計算する。
ＧＰＳ信号受信部６１０は位置情報受信部の例である。
【００７５】
次に動作について説明する。
携帯端末装置３０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００７６】
次に、携帯端末装置３０１の電源投入中の動作について説明する。
図１５は、実施の形態５における携帯端末装置３０１の電源投入中の動作を示すフローチャートである。
【００７７】
電源投入中、暗号鍵２０２は携帯端末装置３０１の揮発性メモリ６０５上に保管されている。
暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、移動距離算出部６０９を用いて電源投入後の移動距離ｄ（電源を投入した位置を起点位置とする移動距離ｄ）を計測する（Ｓ６０１）。
移動距離ｄが所定の値ｄ１（第１の閾値）を超えるまでの間、即ちｄ≦ｄ１の間は移動距離ｄの計測を続ける（Ｓ６０２）。
移動距離ｄが所定の値ｄ１を超えた場合、即ちｄ＞ｄ１となった場合は、暗号鍵保護部６０１は暗号鍵更新部６０６を用いて揮発性メモリ６０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ６０３）。
その後、暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、移動距離算出部６０９を用いて電源投入後の移動距離ｄの計測を継続する（Ｓ６０４）。
移動距離ｄが所定の値ｄ２（但し、ｄ１＜ｄ２）（第２の閾値）を超えるまでの間、即ちｄ≦ｄ２の間は移動距離ｄの計測を続ける（Ｓ６０５）。
移動距離ｄが所定の値ｄ２を超えた場合、即ちｄ＞ｄ２となった場合、暗号鍵保護部６０１はユーザ認証部６０３を用いてユーザの認証を行う（Ｓ６０６）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ６０７）、成功の場合は、電源投入後の移動距離ｄをリセット（ｄ＝０）し、フローチャートの先頭に戻る（Ｓ６０８）。
失敗の場合は、暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ６０９）。
なお、所定の値ｄ１、ｄ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部６０１で規定された値を使用する。
【００７８】
また、携帯端末装置３０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００７９】
以上のように、電源投入後の移動距離ｄがｄ１を超えた時点で携帯端末装置３０１が紛失・盗難にあった可能性があると見なして、携帯端末装置３０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置３０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
さらに、電源投入後の移動距離ｄがｄ２を超える度にユーザ認証を行い、認証に失敗した場合に携帯端末装置３０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、不正に携帯端末装置３０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００８０】
なお、図１５のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置３０１の移動距離ｄがｄ１を超える（Ｓ６０２でＹＥＳ）ことも考えられる。
この場合には、携帯端末装置３０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部６０１は、Ｓ６０３において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部６０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００８１】
また、図１５では、ｄ＞ｄ２となった場合に（Ｓ６０５でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ６０６）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ６０９）が、用途によってはｄ＞ｄ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００８２】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能であり、またＧＰＳ衛星からのＧＰＳ信号を受信可能な携帯端末装置において、受信したＧＰＳ信号から移動距離算出部を用いて電源投入後の移動距離ｄを計算し、ｄが所定の上限値ｄ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｄが所定の距離ｄ２（但しｄ１＜ｄ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００８３】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置と複数のＧＰＳ衛星とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、受信したＧＰＳ信号から移動距離算出部を用いて電源投入後の移動距離ｄを計算し、ｄが所定の上限値ｄ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｄが所定の距離ｄ２（但しｄ１＜ｄ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００８４】
実施の形態６．
実施の形態６では、携帯端末装置３０１においてＧＰＳ衛星３０５からのＧＰＳ信号３０６を用いて現在位置を測定して移動速度を計算し、一定の速度以上の移動を検出した場合、携帯端末装置３０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００８５】
実施の形態６のシステム構成図は、実施の形態５のシステム構成図（図１３）と同一である。
【００８６】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００８７】
次に、図１６に基づき、実施の形態６における携帯端末装置３０１の機能について説明する。
図１６は実施の形態６における携帯端末装置３０１の内部ブロック図である。
【００８８】
図１６において、暗号鍵保護部６０１は不揮発性メモリ６０４および揮発性メモリ６０５を用いて暗号鍵２０２を保管し、時計６０８と移動距離算出部６０９とＧＰＳ信号受信部６１０から携帯端末装置３０１の紛失・盗難の可能性を検出すると、暗号鍵更新部６０６を用いて暗号鍵２０２を更新し、携帯端末装置３０１の紛失・盗難の可能性が高い場合、ユーザ認証部６０３を用いてユーザ認証を行い、携帯端末装置３０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ６０２は携帯端末装置３０１の起動・終了時に押されるスイッチである。
ユーザ認証部６０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ６０４は携帯端末装置３０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ６０５は携帯端末装置３０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部６０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部６０７は基地局装置３０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計６０８は現在日時を保持し、ＧＰＳ信号受信部６１０で受信したＧＰＳ信号３０６に含まれる時刻情報を用いて値の補正を行う。
移動距離算出部６０９はＧＰＳ信号受信部６１０で計算した現在位置を用いて携帯端末装置３０１の移動距離を記録する。
移動距離算出部６０９は、移動速度算出部の例でもある。
ＧＰＳ信号受信部６１０はＧＰＳ衛星３０５から送信されたＧＰＳ信号３０６を受信して受信地点の正確な三次元位置を計算する。
ＧＰＳ信号受信部６１０は、位置情報受信部の例である。
【００８９】
次に動作について説明する。
携帯端末装置３０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００９０】
次に、携帯端末装置３０１の電源投入中の動作について説明する。
図１７は、実施の形態６における携帯端末装置３０１の電源投入中の動作を示すフローチャートである。
【００９１】
電源投入中、暗号鍵２０２は携帯端末装置３０１の揮発性メモリ６０５上に保管されている。
暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、時計６０８と移動距離算出部６０９を用いて移動速度（単位時間毎の移動距離）ｓを計測する（Ｓ７０１）。
移動速度ｓが所定の値ｓ１（第１の閾値）を超えていない場合、即ちｓ≦ｓ１の場合はフローチャートの先頭に戻る（Ｓ７０２）。
移動速度ｓが所定の値ｓ１を超えていた場合、即ちｓ＞ｓ１の場合は、暗号鍵保護部６０１は暗号鍵更新部６０６を用いて揮発性メモリ６０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ７０３）。
移動速度ｓが所定の値ｓ２（但し、ｓ１＜ｓ２）（第２の閾値）を超えていない場合、即ちｓ≦ｓ２の場合はフローチャートの先頭に戻る（Ｓ７０４）。
移動速度ｓが所定の値ｓ２を超えていた場合、即ちｓ＞ｓ２の場合、暗号鍵保護部６０１はユーザ認証部６０３を用いてユーザの認証を行う（Ｓ７０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ７０６）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ７０７）。
なお、所定の値ｓ１、ｓ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部６０１で規定された値を使用する。
【００９２】
また、携帯端末装置３０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００９３】
以上のように、移動速度ｓがｓ１を超えた時点で携帯端末装置３０１が紛失・盗難にあった可能性があると見なして、携帯端末装置３０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置３０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、移動速度ｓがｓ２を超えていた場合は、暗号鍵２０２の更新に加えてユーザ認証を行い、認証に失敗した場合に携帯端末装置３０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、不正に携帯端末装置３０１および更新された暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００９４】
なお、図１７のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置３０１の移動速度ｓがｓ１を超える（Ｓ７０２でＹＥＳ）ことも考えられる。
この場合には、携帯端末装置３０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部６０１は、Ｓ７０３において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部６０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００９５】
また、図１７では、ｓ＞ｓ２となった場合に（Ｓ７０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ７０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ７０７）が、ｓ＞ｓ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００９６】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能であり、またＧＰＳ衛星からのＧＰＳ信号を受信可能な携帯端末装置において、受信したＧＰＳ信号から時計と移動距離算出部を用いて移動速度（単位時間毎の移動距離）ｓを計算し、ｓが所定の上限値ｓ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｓが所定の距離ｓ２（但しｓ１＜ｓ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００９７】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置と複数のＧＰＳ衛星とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、受信したＧＰＳ信号から時計と移動距離算出部を用いて移動速度（単位時間毎の移動距離）ｓを計算し、ｓが所定の上限値ｓ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｓが所定の距離ｓ２（但しｓ１＜ｓ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００９８】
なお、実施の形態１〜６では、携帯端末装置を情報処理装置の例として説明しているが、情報処理装置の例としては、警察官が所持する小型無線機（トランシーバ）や鉄道車両に設置された非常用無線機などの「無線通信機器」も含まれ、これら「無線通信機器」にも本願発明は適用可能である。
【００９９】
最後に、実施の形態１〜６に示した携帯端末装置１０１、２０１、３０１のハードウェア構成例について説明する。
図１９は、実施の形態１〜６に示す携帯端末装置１０１、２０１、３０１のハードウェア資源の一例を示す図である。
なお、図１９の構成は、あくまでも携帯端末装置１０１、２０１、３０１のハードウェア構成の一例を示すものであり、携帯端末装置１０１、２０１、３０１のハードウェア構成は図１９に記載の構成に限らず、他の構成であってもよい。
【０１００】
図１９において、携帯端末装置１０１、２０１、３０１は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。
また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
実施の形態１〜６で説明した「不揮発性メモリ４０４」は磁気ディスク装置９２０、ＳＳＤ等により、「揮発性メモリ４０５」はＲＡＭ９１４により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。
【０１０１】
通信ボード９１５は、図１に示すように、ネットワークに接続されている。
例えば、通信ボード９１５は、無線通信網を介して、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていてもよい。
【０１０２】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【０１０３】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【０１０４】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
携帯端末装置１０１、２０１、３０１の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０１０５】
上記プログラム群９２３には、実施の形態１〜６の説明において「〜部」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０１０６】
ファイル群９２４には、実施の形態１〜６の説明において、「〜の判断」、「〜の計算」、「〜の認証」、「〜の比較」、「〜の生成」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜６で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０１０７】
また、実施の形態１〜６の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、実施の形態１〜６で説明したフローチャートに示すステップ、手順、処理により、本発明に係る暗号鍵管理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、実施の形態１〜６の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜６の「〜部」の手順や方法をコンピュータに実行させるものである。
【０１０８】
このように、実施の形態１〜６に示す携帯端末装置１０１、２０１、３０１は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０１０９】
１０１ 携帯端末装置、１０２ 暗号鍵、１０３ ネットワーク、２０１ 携帯端末装置、２０２ 暗号鍵、２０３ 基地局装置、２０４ ネットワーク、３０１ 携帯端末装置、３０３ 基地局装置、３０４ ネットワーク、３０５ ＧＰＳ衛星、３０６ ＧＰＳ信号、４０１ 暗号鍵保護部、４０２ 電源スイッチ、４０３ ユーザ認証部、４０４ 不揮発性メモリ、４０５ 揮発性メモリ、５０１ 暗号鍵保護部、５０２ 電源スイッチ、５０３ ユーザ認証部、５０４ 不揮発性メモリ、５０５ 揮発性メモリ、５０６ 暗号鍵更新部、５０７ 基地局電波受信部、５０８ 時計、５０９ 移動距離算出部、６０１ 暗号鍵保護部、６０２ 電源スイッチ、６０３ ユーザ認証部、６０４ 不揮発性メモリ、６０５ 揮発性メモリ、６０６ 暗号鍵更新部、６０７ 基地局電波受信部、６０８ 時計、６０９ 移動距離算出部、６１０ ＧＰＳ信号受信部。
【技術分野】
【０００１】
本発明は、暗号通信に用いられる鍵を管理する技術に関する。
特に、携帯端末装置において、暗号通信に用いられる鍵を管理する技術に関する。
【背景技術】
【０００２】
複数の通信機器において、暗号アルゴリズムの鍵を共有し、通信機器間の通信内容の電子署名や暗号化を行うことによって、通信内容の盗聴防止や改ざん検出を実現することができる。
この時、暗号アルゴリズムとして共通鍵暗号アルゴリズムを用いる場合は、全ての通信機器が同一の共通鍵を共有する必要がある。
また、暗号アルゴリズムとして公開鍵暗号アルゴリズムを用いる場合は、全ての通信機器が機器自身の秘密鍵と他の機器の公開鍵を持っている必要がある。
即ち、通信機器間で、秘密鍵または秘密鍵に対応付けされた公開鍵を共有する必要がある。
この時、通信機器の紛失・盗難が発生し、通信機器から暗号鍵が取り出された場合、暗号化通信が復号されて内容が解読される可能性がある。
従って、暗号鍵という通信機器にとっての機密情報の漏洩を防止する必要がある。
【０００３】
従来の通信機器における暗号鍵等の機密情報の漏洩防止技術としては、以下のような技術がある。
特許文献１には、携帯電話機等の通信可能な端末から内部の個人情報や機密情報等の漏洩を防止するシステムについての記載がある。
この情報漏洩防止システムでは、端末内の機密情報を二つに分割して一方とＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）情報を認証サーバに登録しておき、認証サーバにおけるＰＩＮ情報を用いた認証が成功した時のみ、機密情報の半分を認証サーバから端末に転送する。
端末内の機密情報は、ＰＩＮ情報を用いた利用者認証が規定回数以上失敗した場合に削除される。
認証サーバから取得した機密情報の半分は揮発性メモリに保持されて、電源断およびリセット時に消去される。
分割された他方の機密情報は、端末内に保持しており、両情報が揃った時に機密情報全体が復元できる。
これによって、電源投入前の端末には機密情報の半分しか存在しないため、この状態の端末の紛失・盗難による機密情報の漏洩を防止していた。
また、動作中の端末においては、ＰＩＮ情報が判らない限り、機密情報にアクセスすることができなかった。
【０００４】
特許文献２には、携帯端末装置内の個人データの不正利用を防止するシステムについての記述がある。
この個人データ不正利用防止システムでは、電源投入毎に端末内のＲＯＭに格納された端末認証情報をネットワーク経由で認証サーバに送信して認証を行い、認証に成功すると端末内のＲＡＭ（揮発性メモリ）に個人データ利用可否情報を書き込み、ユーザの個人データへのアクセスが発生すると、個人データ利用可否情報に基づいてアクセスを許可する。
端末紛失時は、認証サーバの登録情報を一時的に抹消または変更することによって、認証失敗が発生するようにして個人データへのアクセスを防止する。
また、端末の電源投入後、所定時間を経過すると個人データ利用可否情報を消去し、再度認証サーバを用いた端末認証を要求する。
これによって、端末紛失時に認証サーバの管理者に連絡することで個人データの不正利用を防止していた。
また、電源投入中に端末を紛失した場合でも、所定時間経過後であれば、個人データの不正利用を防止していた。
【０００５】
特許文献３には、移動体通信における暗号鍵更新システムについての記述がある。
この暗号鍵更新システムでは、移動体と各無線基地局装置の間で、無線通信区間の暗号化に用いる暗号鍵を生成・更新する。
移動体の識別情報を通信する可能性のある無線基地局装置に事前配布しておき、走行中の移動体から送信される乱数を受信した基地局装置及び移動体にて、識別情報と乱数から暗号鍵を生成する。
移動体は、現時点で最後に検出された無線基地局装置と最後に通信してからの経過時間を計測し、一定時間を経過していた場合、無線基地局装置との通信可能エリアから離脱したとみなして、無線基地局装置との通信用暗号鍵を全て削除する。
これによって、移動体において使用されなくなった暗号鍵の管理が不要となる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−２４９５０７号公報
【特許文献２】特開２００８−５０４２号公報
【特許文献３】特開２００６−１２９４３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来の通信機器における機密情報の漏洩防止技術には、以下のような課題がある。
まず、特許文献１の機密情報漏洩防止システムでは、機密情報の半分を認証サーバに置いておくため、電源投入後、認証サーバと認証のための通信を行って機密情報をダウンロードする必要があり、認証サーバが動作していない状態や認証サーバとの通信ができない状態では、機密情報が利用できないという課題がある。
また、ＰＩＮ情報が破られた場合、動作中の端末から機密情報が漏洩するという課題がある。
【０００８】
また、特許文献２の個人データ不正利用防止システムでは、端末と認証サーバが通信することによる認証によって、個人データ利用可否情報を制御しているため、認証サーバが動作していない状態や認証サーバとの通信ができない状態では、機密情報である個人データが利用できないという課題がある。
電源投入後、所定時間経過後に個人データ利用可否情報を消去する場合、所定時間内であれば個人データを不正利用される可能性があり、かつ所定時間毎に認証サーバと通信しなければならないという課題がある。
【０００９】
また、特許文献３の暗号鍵更新システムでは、暗号鍵の使用終了後、所定の時間が経過すると暗号鍵を削除しており、移動体と無線基地局装置の間の暗号鍵であれば、無線基地局装置の圏外に移動することで暗号鍵の使用終了と見なすことができる。
しかしながら、携帯端末装置同士の通信に用いる暗号鍵の場合、無線基地局装置の圏外に移動することは暗号鍵の使用終了と見なすことはできないため暗号鍵は消去できず、この間に携帯端末装置の紛失・盗難が発生した場合に携帯端末装置に残っている暗号鍵が漏洩する可能性があるという課題がある。
あるいは、無線基地局装置の圏外に移動する度に暗号鍵を消去した場合、無線基地局装置をまたがる度に、携帯端末装置間で暗号鍵を共有し直さなければならないという課題がある。
【００１０】
この発明は上記のような課題を解決することを主な目的としており、携帯端末装置等の情報処理装置が認証サーバと通信することなく機密情報である暗号鍵を利用可能とし、かつ端末の紛失・盗難発生時における情報処理装置内の暗号鍵の漏洩を防止することを目的とする。
【課題を解決するための手段】
【００１１】
本発明に係る情報処理装置は、
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記情報処理装置の電源投入時に前記ユーザ認証部によるユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする。
【発明の効果】
【００１２】
本発明によれば、電源未投入の状態では不揮発性メモリで暗号鍵を保管しているので、電源投入後にサーバと通信することなく暗号鍵を利用でき、サーバが停止しているために情報処理装置の機能を利用できないといった事態を回避することができる。
また、電源投入時にユーザ認証を行い、認証に失敗した場合に暗号鍵を消去するようにしているので、情報処理装置の紛失・盗難発生時に、不正に情報処理装置を起動して暗号鍵を利用しようとする試みを阻止することができる。
また、電源投入中の間は揮発性メモリ上に暗号鍵を保管しているので、電源投入中の情報処理装置の紛失・盗難発生時に、電源を投入したままの状態で情報処理装置を分解して暗号鍵を取り出そうとする試みを阻止することができる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係る携帯端末装置の構成例を示す図。
【図３】実施の形態１に係る携帯端末装置の電源投入時の処理例を示すフローチャート図。
【図４】実施の形態１に係る携帯端末装置の電源断時の処理例を示すフローチャート図。
【図５】実施の形態２〜４に係るシステム構成例を示す図。
【図６】実施の形態２に係る暗号鍵の内部形式を示す図。
【図７】実施の形態２に係る携帯端末装置の構成例を示す図。
【図８】実施の形態２に係る携帯端末装置の処理例を示すフローチャート図。
【図９】実施の形態３に係る携帯端末装置の構成例を示す図。
【図１０】実施の形態３に係る携帯端末装置の処理例を示すフローチャート図。
【図１１】実施の形態４に係る携帯端末装置の構成例を示す図。
【図１２】実施の形態４に係る携帯端末装置の処理例を示すフローチャート図。
【図１３】実施の形態５に係るシステム構成例を示す図。
【図１４】実施の形態５に係る携帯端末装置の構成例を示す図。
【図１５】実施の形態５に係る携帯端末装置の処理例を示すフローチャート図。
【図１６】実施の形態６に係る携帯端末装置の構成例を示す図。
【図１７】実施の形態６に係る携帯端末装置の処理例を示すフローチャート図。
【図１８】実施の形態１に係る携帯端末装置の電源投入時の処理例を示すフローチャート図。
【図１９】実施の形態１〜６に係る携帯端末装置のハードウェア構成例を示す図。
【発明を実施するための形態】
【００１４】
実施の形態１．
図１は実施の形態１におけるシステム構成図である。
図１において、携帯端末装置１０１はネットワーク１０３を介して他の携帯端末装置１０１と通信する端末装置である。
携帯端末装置１０１は、情報処理装置の例である。
暗号鍵１０２は携帯端末装置１０１間の通信内容を暗号化するための鍵である。
ネットワーク１０３は携帯端末装置１０１間の通信路として用いられるネットワークである。
【００１５】
次に、図２に基づき、実施の形態１における携帯端末装置１０１の機能について説明する。
図２は実施の形態１における携帯端末装置１０１の内部ブロック図である。
図２において、暗号鍵保護部４０１は不揮発性メモリ４０４および揮発性メモリ４０５を用いて暗号鍵１０２を保管し、ユーザ認証部４０３を用いてユーザ認証を行い、携帯端末装置１０１の紛失・盗難があったと見なした場合は暗号鍵１０２を消去する。
電源スイッチ４０２は携帯端末装置１０１の起動・終了時に押されるスイッチである。
ユーザ認証部４０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ４０４は携帯端末装置１０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ４０５は携帯端末装置１０１の電源投入中のみデータを保持可能なメモリである。
【００１６】
次に動作について説明する。
まず、携帯端末装置１０１の電源を入れた場合の動作について説明する。
図３は、実施の形態１における携帯端末装置１０１の電源投入時の動作を示すフローチャートである。
【００１７】
電源投入前、暗号鍵１０２は携帯端末装置１０１の不揮発性メモリ４０４上に保管されている。
ユーザが電源スイッチ４０２を押して携帯端末装置１０１の電源を入れると、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５へ移動する（Ｓ１０１）（暗号鍵保護ステップ）。
次に、暗号鍵保護部４０１はユーザ認証部４０３を用いてユーザの認証を行う（Ｓ１０２）（ユーザ認証ステップ）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ１０３）、成功の場合は、そのまま携帯端末装置１０１が起動する。
失敗の場合は、暗号鍵保護部４０１は暗号鍵１０２を揮発性メモリ４０５から消去する（Ｓ１０４）（暗号鍵保護ステップ）。
なお、認証情報の入力は所定の回数の再入力を許可し、その回数を超えてエラーが発生した場合は認証失敗と判定してよい。
【００１８】
次に、携帯端末装置１０１の電源を切る場合の動作について説明する。
図４は、実施の形態１における携帯端末装置１０１の電源断時の動作を示すフローチャートである。
【００１９】
電源投入中、暗号鍵１０２は携帯端末装置１０１の揮発性メモリ４０５上に保管されている。
ユーザが電源スイッチ４０２を押して携帯端末装置１０１の電源を切ろうとすると、暗号鍵保護部４０１はユーザ認証部４０３を用いてユーザの認証を行う（Ｓ２０１）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ２０２）、成功の場合は暗号鍵１０２を揮発性メモリ４０５から不揮発性メモリ４０４へ移動して、携帯端末装置１０１の電源を切る（Ｓ２０３）。
失敗の場合は、暗号鍵１０２を揮発性メモリ４０５から消去して、携帯端末装置１０１の電源を切る（Ｓ２０４）。
【００２０】
以上のように、携帯端末装置１０１は電源未投入の状態では不揮発性メモリ４０４上に暗号鍵１０２を保管しているので、電源投入後にサーバと通信することなく機密情報である暗号鍵１０２を利用できる。
また、携帯端末装置１０１の電源投入時にユーザ認証を行い、認証に失敗した場合に携帯端末装置１０１が紛失・盗難にあったと見なして暗号鍵１０２を消去するようにしているので、携帯端末装置１０１の紛失・盗難発生時、不正に携帯端末装置１０１を起動して暗号鍵１０２を利用しようとする試みを防止することができる。
また、携帯端末装置１０１は電源投入中の間は揮発性メモリ４０５上に暗号鍵１０２を保管しているので、電源投入中の携帯端末装置１０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを防止することができる。
また、携帯端末装置１０１の電源断時にユーザ認証を行い、認証に失敗した場合に携帯端末装置１０１が紛失・盗難にあったと見なして暗号鍵１０２を消去するようにしているので、携帯端末装置１０１の紛失・盗難発生時、一旦電源を落としてから携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを防止することができる。
これらの携帯端末装置１０１の電源投入から電源断までの一連の手順において、携帯端末装置１０１はサーバと通信する必要がないため、サーバが停止しているために携帯端末装置１０１の機能を利用できないといった障害を生じることがなく、システム全体の可用性を高めることができる。
【００２１】
なお、図３に示す方式に代えて、図１８に示す方式にすることも可能である。
図１８の方式では、まず、ユーザ認証を行い（Ｓ８０１）、ユーザ認証に成功した場合（Ｓ８０２でＹＥＳ）に、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から揮発性メモリ４０５に移動させる（Ｓ８０３）。
一方、ユーザ認証に成功した場合（Ｓ８０２でＹＥＳ）は、暗号鍵保護部４０１は暗号鍵１０２を不揮発性メモリ４０４から消去する（Ｓ８０４）。
【００２２】
上記のように、図３の方式はユーザ認証に先立って暗号鍵１０２を揮発性メモリ４０５に移動させるので、ユーザ認証の間に携帯端末装置１０１を分解して暗号鍵１０２を取り出そうとする試みを阻止することができる。
この点で、図１８の方式は図３の方式に比べるとセキュリティ強度は低い。
しかし、図１８のＳ８０１からＳ８０３の間の時間は１、２秒程度であるため、極端にセキュリティ強度が落ちるわけではなく、用途によっては図１８に示す方式を採用することも可能である。
【００２３】
以上、本実施の形態では、
ネットワークを介して他の端末と通信可能な携帯端末装置において、電源投入前には不揮発性メモリに暗号鍵を保管し、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００２４】
また、本実施の形態では、
複数の携帯端末装置を備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００２５】
また、本実施の形態では、
携帯端末装置が、不揮発性メモリ上に暗号鍵を保管する暗号鍵保護部であって、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動する鍵移動ステップと、端末が紛失・盗難にあった可能性が低い脅威レベルを検出すると暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去する鍵更新ステップと、端末が紛失・盗難にあった可能性が高いレベルの脅威を検出した時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去するユーザ認証・鍵消去ステップと、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する鍵保存・消去ステップとを備える暗号鍵保護方法を説明した。
【００２６】
また、本実施の形態では、
不揮発性メモリ上に暗号鍵を保管する暗号鍵保護部であって、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動する鍵移動処理と、端末が紛失・盗難にあった可能性が低い脅威レベルを検出すると暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去する鍵更新処理と、端末が紛失・盗難にあった可能性が高いレベルの脅威を検出した時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去するユーザ認証・鍵消去処理と、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する鍵保存・消去処理とを通信端末に実行させる暗号鍵保護プログラムを説明した。
【００２７】
実施の形態２．
実施の形態２では、携帯端末装置２０１において基地局装置２０３からの圏外滞在時間を計測し、一定時間を超えた場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００２８】
図５は、実施の形態２のシステム構成図である。
図５において、携帯端末装置２０１は基地局装置２０３およびコアネットワーク２０４を介して他の携帯端末装置２０１と通信する端末である。
暗号鍵２０２は携帯端末装置２０１間の通信内容を暗号化するための鍵である。
基地局装置２０３は携帯端末装置２０１と無線通信を行ってコアネットワーク２０４へ接続するアクセスポイントである。
コアネットワーク２０４は基地局装置２０３を介して携帯端末装置２０１間の通信路として用いられるバックボーンネットワークである。
【００２９】
次に、図６に基づき、実施の形態２における暗号鍵２０２について説明する。
図６は、暗号鍵２０２の内部形式を示した図である。
図６において、鍵データ２２１は携帯端末装置２０１間の暗号化通信に用いられる鍵そのものであり、暗号アルゴリズムの種類、パラメータ、鍵の値等から構成される。
鍵世代番号２２２は鍵データ２２１の現在の世代を表す数字であり、更新を行う度に１ずつ値が加算される。
属性２２３は鍵データ２２１に付属する値（鍵の有効期限、携帯端末装置２０１の紛失・盗難と見なして鍵更新や鍵消去を行う判定基準等）が存在する場合に、それらの値を格納する。
【００３０】
次に、図７に基づき、実施の形態２における携帯端末装置２０１の機能について説明する。
図７は実施の形態２における携帯端末装置２０１の内部ブロック図である。
【００３１】
図７において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と時計５０８から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７はいずれかの基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計５０８は現在日時を保持し、基地局装置２０３からの電波に時刻情報が含まれていた場合は値の補正を行う。
【００３２】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００３３】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図８は、実施の形態２における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００３４】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１が基地局装置圏外へ移動したこと（いずれの基地局装置からも電波を受信していないこと）を検出した場合、暗号鍵保護部５０１は時計５０８を用いて基地局装置圏外滞在時間ｔの計測を開始する（Ｓ３０１）。
基地局装置圏外滞在時間ｔが所定の値ｔ１（第１の閾値）を超えるまでの間、即ちｔ≦ｔ１の間は何もしない（Ｓ３０２）。
この間に携帯端末装置２０１が基地局装置圏内に戻った場合（再び基地局装置からの電波を受信した場合）は、フローチャートの先頭に戻る。
基地局装置圏外滞在時間ｔが所定の値ｔ１を超えた場合、即ちｔ＞ｔ１となった場合は、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ３０３）。
基地局装置圏外での滞在が続く場合は、基地局装置圏外滞在時間ｔの計測を継続し、基地局装置圏外滞在時間ｔが所定の値ｔ２（但し、ｔ１＜ｔ２）（第２の閾値）を超えるまでの間、即ちｔ≦ｔ２の間は何もしない（Ｓ３０４）。
この間に携帯端末装置２０１が基地局装置圏内に戻った場合は、フローチャートの先頭に戻る。
基地局装置圏外滞在時間ｔが所定の値ｔ２を超えた場合、即ちｔ＞ｔ２となった場合、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ３０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ３０６）、失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ３０７）。
なお、所定の値ｔ１、ｔ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００３５】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００３６】
以上のように、基地局装置２０３からの電波が届かない圏外滞在時間ｔがｔ１を超えた時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、携帯端末装置２０１を基地局装置圏外に持ち出すことで遠隔操作による暗号鍵２０２の消去を回避しつつ電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３からの電波が届かない圏外滞在時間ｔがｔ２を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００３７】
なお、図８では、ｔ＞ｔ２となった場合に（Ｓ３０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ３０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ３０７）が、用途によってはｔ＞ｔ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００３８】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、基地局装置からの電波を未受信の状態になると基地局装置圏外滞在時間ｔの計測を開始し、滞在時間ｔが所定の時間ｔ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、滞在時間ｔが所定の時間ｔ２（但し、ｔ１＜ｔ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００３９】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、基地局装置からの電波を未受信の状態になると基地局装置圏外滞在時間ｔの計測を開始し、滞在時間ｔが所定の時間ｔ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、滞在時間ｔが所定の時間ｔ２（但し、ｔ１＜ｔ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００４０】
実施の形態３．
実施の形態３では、携帯端末装置２０１において基地局装置２０３からの電波を用いて現在のエリアを測定し、一定のエリアの移動を検出した場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００４１】
実施の形態３のシステム構成図は、実施の形態２のシステム構成図（図５）と同一である。
【００４２】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００４３】
次に、図９に基づき、実施の形態３における携帯端末装置２０１の機能について説明する。
図９は実施の形態３における携帯端末装置２０１の内部ブロック図である。
【００４４】
図９において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と移動距離算出部５０９から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７は基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
移動距離算出部５０９は基地局電波受信部５０７で受信したエリア情報から携帯端末装置２０１の大まかな移動距離を記録する。
【００４５】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００４６】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図１０は、実施の形態３における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００４７】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１と基地局装置２０３との通信確立を検出後、異なる基地局装置２０３の基地局装置圏へ移動したことを検出した場合（基地局電波受信部５０７が電波を受信している基地局装置が変化した場合）、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ４０１）。
そして、暗号鍵保護部５０１は移動距離算出部５０９を用いて基地局装置情報から、異なる基地局装置２０３の基地局装置圏へ移動してからの概算移動距離ｄを計算する（Ｓ４０２）。
移動距離算出部５０９は、基地局電波受信部５０７が受信した電波に基づき、基地局電波受信部５０７が受信した電波の送信元の基地局装置２０３の所在位置を判断して、携帯端末装置２０１の概算移動距離ｄを算出する。
【００４８】
概算移動距離ｄが所定の閾値ｄ０を超えていない場合、即ちｄ≦ｄ０の場合は、フローチャートの先頭に戻る（Ｓ４０３）。
概算移動距離ｄが所定の値ｄ０を超えた場合、即ちｄ＞ｄ０の場合は、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ４０４）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ４０５）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ４０６）。
なお、所定の値ｄ０は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００４９】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００５０】
以上のように、基地局装置２０３の圏内から異なる基地局装置２０３の圏内へ移動した時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３の位置情報から計算した概算移動距離ｄがｄ０を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００５１】
なお、図１０のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置２０１が異なる基地局装置２０３の基地局装置圏へ移動したことを検出することも考えられる。
この場合には、携帯端末装置２０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部５０１は、Ｓ４０１において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部５０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００５２】
また、図１０では、ｄ＞ｄ０となった場合に（Ｓ４０３でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ４０４）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ４０６）が、用途によってはｄ＞ｄ０となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００５３】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、ｄが所定の上限値ｄ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００５４】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、ｄが所定の上限値ｄ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００５５】
実施の形態４．
実施の形態４では、携帯端末装置２０１において基地局装置２０３からの電波を用いて現在のエリアを測定して移動速度を計算し、一定の速度以上の移動を検出した場合、携帯端末装置２０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００５６】
実施の形態４のシステム構成図は、実施の形態２のシステム構成図（図５）と同一である。
【００５７】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００５８】
次に、図１１に基づき、実施の形態４における携帯端末装置２０１の機能について説明する。
図１１は実施の形態３における携帯端末装置２０１の内部ブロック図である。
【００５９】
図１１において、暗号鍵保護部５０１は不揮発性メモリ５０４および揮発性メモリ５０５を用いて暗号鍵２０２を保管し、基地局電波受信部５０７と時計５０８と移動距離算出部５０９から携帯端末装置２０１の紛失・盗難の可能性を検出すると、暗号鍵更新部５０６を用いて暗号鍵２０２を更新し、携帯端末装置２０１の紛失・盗難の可能性が高い場合、ユーザ認証部５０３を用いてユーザ認証を行い、携帯端末装置２０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ５０２は携帯端末装置２０１の起動・終了時に押されるスイッチである。
ユーザ認証部５０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ５０４は携帯端末装置２０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ５０５は携帯端末装置２０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部５０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部５０７は基地局装置２０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計５０８は現在日時を保持し、基地局装置２０３からの電波に時刻情報が含まれていた場合は値の補正を行う。
移動距離算出部５０９は基地局電波受信部５０７で受信したエリア情報から携帯端末装置２０１の大まかな移動距離を記録する。
なお、本実施の形態では、移動距離算出部５０９は移動速度算出部の例でもある。
【００６０】
次に動作について説明する。
携帯端末装置２０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００６１】
次に、携帯端末装置２０１の電源投入中の動作について説明する。
図１２は、実施の形態４における携帯端末装置２０１の電源投入中の動作を示すフローチャートである。
【００６２】
電源投入中、暗号鍵２０２は携帯端末装置２０１の揮発性メモリ５０５上に保管されている。
基地局電波受信部５０７により携帯端末装置２０１と基地局装置２０３との通信確立を検出した場合、暗号鍵保護部５０１は時計５０８を用いて基地局装置圏内滞在時間ｔの計測を開始する（Ｓ５０１）。
基地局電波受信部５０７により異なる基地局装置２０３の基地局装置圏へ移動したことを検出した場合、暗号鍵保護部５０１は暗号鍵更新部５０６を用いて揮発性メモリ５０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ５０２）。
そして、暗号鍵保護部５０１は移動距離算出部５０９を用いて基地局装置情報から、異なる基地局装置２０３の基地局装置圏へ移動してからの概算移動距離ｄを計算する（Ｓ５０３）。
単位時間毎の移動距離（移動速度）Ｓ＝ｄ／ｔが所定の閾値Ｓ０を超えていない場合、即ちＳ≦Ｓ０の場合は、フローチャートの先頭に戻る（Ｓ５０４）。
単位時間毎の移動距離Ｓが所定の値Ｓ０を超えた場合、即ちＳ＞Ｓ０の場合は、暗号鍵保護部５０１はユーザ認証部５０３を用いてユーザの認証を行う（Ｓ５０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ５０６）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ５０５から消去する（Ｓ５０７）。
なお、所定の値Ｓ０は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部５０１で規定された値を使用する。
【００６３】
また、携帯端末装置２０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００６４】
以上のように、基地局装置２０３の圏内から異なる基地局装置２０３の圏内へ移動した時点で携帯端末装置２０１が紛失・盗難にあった可能性があると見なして、携帯端末装置２０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置２０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、基地局装置２０３の位置情報および携帯端末装置２０１内部の時計５０８から計算した移動速度ＳがＳ０を超えた時点でユーザ認証を行い、認証に失敗した場合に携帯端末装置２０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置２０１の紛失・盗難発生時、不正に携帯端末装置２０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００６５】
なお、実施の形態３と同様に、図１２のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置２０１が異なる基地局装置２０３の基地局装置圏へ移動したことを検出することも考えられる。
この場合には、携帯端末装置２０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部５０１は、Ｓ５０２において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部５０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００６６】
また、図１２では、Ｓ＞Ｓ０となった場合に（Ｓ５０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ５０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ５０７）が、用途によってはＳ＞Ｓ０となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００６７】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能な携帯端末装置において、ある基地局装置からの電波を受信した状態になると当該基地局装置圏内滞在時間ｔの計測を開始し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、移動速度（単位時間毎の移動距離）Ｓ＝ｄ／ｔが所定の上限値Ｓ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００６８】
以上、本実施の形態では、
複数の基地局装置と複数の携帯端末装置とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、ある基地局装置からの電波を受信した状態になると当該基地局装置圏内滞在時間ｔの計測を開始し、異なる基地局装置圏への移動を検出した時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去した後、現在および以前の基地局装置情報から概算移動距離ｄを計算し、移動速度（単位時間毎の移動距離）Ｓ＝ｄ／ｔが所定の上限値Ｓ０を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００６９】
実施の形態５．
実施の形態５では、携帯端末装置３０１においてＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）衛星３０５からのＧＰＳ信号３０６を用いて現在位置を測定し、一定の距離の移動を検出した場合、携帯端末装置３０２が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００７０】
図１３は、実施の形態５のシステム構成図である。
【００７１】
図１３において、携帯端末装置３０１は基地局装置３０３およびコアネットワーク３０４を介して他の携帯端末装置３０１と通信すると共に、ＧＰＳ衛星３０５から発信されるＧＰＳ信号３０６を受信する端末である。
暗号鍵２０２は携帯端末装置３０１間の通信内容を暗号化するための鍵である。
基地局装置３０３は携帯端末装置３０１と無線通信を行ってコアネットワーク３０４へ接続するアクセスポイントである。
コアネットワーク３０４は基地局装置３０３を介して携帯端末装置３０１間の通信路として用いられるバックボーンネットワークである。
ＧＰＳ衛星３０５はＧＰＳ信号３０６を送信するＧＰＳシステムの人工衛星である。
ＧＰＳ信号３０６はＧＰＳ衛星３０５によって送信される時刻情報と軌道情報を含む信号である。
ＧＰＳ衛星３０５は測位衛星の例であり、また、ＧＰＳ信号３０６は位置情報の例である。
【００７２】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００７３】
次に、図１４に基づき、実施の形態５における携帯端末装置３０１の機能について説明する。
図１４は実施の形態５における携帯端末装置３０１の内部ブロック図である。
【００７４】
図１４において、暗号鍵保護部６０１は不揮発性メモリ６０４および揮発性メモリ６０５を用いて暗号鍵２０２を保管し、移動距離算出部６０９とＧＰＳ信号受信部６１０から携帯端末装置３０１の紛失・盗難の可能性を検出すると、暗号鍵更新部６０６を用いて暗号鍵２０２を更新し、携帯端末装置３０１の紛失・盗難の可能性が高い場合、ユーザ認証部６０３を用いてユーザ認証を行い、携帯端末装置３０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ６０２は携帯端末装置３０１の起動・終了時に押されるスイッチである。
ユーザ認証部６０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ６０４は携帯端末装置３０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ６０５は携帯端末装置３０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部６０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部６０７は基地局装置３０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
移動距離算出部６０９はＧＰＳ信号受信部６１０で計算した現在位置を用いて携帯端末装置３０１の移動距離を記録する。
ＧＰＳ信号受信部６１０はＧＰＳ衛星３０５から送信されたＧＰＳ信号３０６を受信して受信地点の正確な三次元位置を計算する。
ＧＰＳ信号受信部６１０は位置情報受信部の例である。
【００７５】
次に動作について説明する。
携帯端末装置３０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００７６】
次に、携帯端末装置３０１の電源投入中の動作について説明する。
図１５は、実施の形態５における携帯端末装置３０１の電源投入中の動作を示すフローチャートである。
【００７７】
電源投入中、暗号鍵２０２は携帯端末装置３０１の揮発性メモリ６０５上に保管されている。
暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、移動距離算出部６０９を用いて電源投入後の移動距離ｄ（電源を投入した位置を起点位置とする移動距離ｄ）を計測する（Ｓ６０１）。
移動距離ｄが所定の値ｄ１（第１の閾値）を超えるまでの間、即ちｄ≦ｄ１の間は移動距離ｄの計測を続ける（Ｓ６０２）。
移動距離ｄが所定の値ｄ１を超えた場合、即ちｄ＞ｄ１となった場合は、暗号鍵保護部６０１は暗号鍵更新部６０６を用いて揮発性メモリ６０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ６０３）。
その後、暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、移動距離算出部６０９を用いて電源投入後の移動距離ｄの計測を継続する（Ｓ６０４）。
移動距離ｄが所定の値ｄ２（但し、ｄ１＜ｄ２）（第２の閾値）を超えるまでの間、即ちｄ≦ｄ２の間は移動距離ｄの計測を続ける（Ｓ６０５）。
移動距離ｄが所定の値ｄ２を超えた場合、即ちｄ＞ｄ２となった場合、暗号鍵保護部６０１はユーザ認証部６０３を用いてユーザの認証を行う（Ｓ６０６）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ６０７）、成功の場合は、電源投入後の移動距離ｄをリセット（ｄ＝０）し、フローチャートの先頭に戻る（Ｓ６０８）。
失敗の場合は、暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ６０９）。
なお、所定の値ｄ１、ｄ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部６０１で規定された値を使用する。
【００７８】
また、携帯端末装置３０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００７９】
以上のように、電源投入後の移動距離ｄがｄ１を超えた時点で携帯端末装置３０１が紛失・盗難にあった可能性があると見なして、携帯端末装置３０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置３０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
さらに、電源投入後の移動距離ｄがｄ２を超える度にユーザ認証を行い、認証に失敗した場合に携帯端末装置３０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、不正に携帯端末装置３０１およびその暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００８０】
なお、図１５のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置３０１の移動距離ｄがｄ１を超える（Ｓ６０２でＹＥＳ）ことも考えられる。
この場合には、携帯端末装置３０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部６０１は、Ｓ６０３において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部６０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００８１】
また、図１５では、ｄ＞ｄ２となった場合に（Ｓ６０５でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ６０６）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ６０９）が、用途によってはｄ＞ｄ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００８２】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能であり、またＧＰＳ衛星からのＧＰＳ信号を受信可能な携帯端末装置において、受信したＧＰＳ信号から移動距離算出部を用いて電源投入後の移動距離ｄを計算し、ｄが所定の上限値ｄ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｄが所定の距離ｄ２（但しｄ１＜ｄ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００８３】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置と複数のＧＰＳ衛星とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、受信したＧＰＳ信号から移動距離算出部を用いて電源投入後の移動距離ｄを計算し、ｄが所定の上限値ｄ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｄが所定の距離ｄ２（但しｄ１＜ｄ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００８４】
実施の形態６．
実施の形態６では、携帯端末装置３０１においてＧＰＳ衛星３０５からのＧＰＳ信号３０６を用いて現在位置を測定して移動速度を計算し、一定の速度以上の移動を検出した場合、携帯端末装置３０１が紛失・盗難にあった可能性があると見なして暗号鍵２０２の更新または消去を行うことによる暗号鍵２０２の漏洩防止について説明する。
【００８５】
実施の形態６のシステム構成図は、実施の形態５のシステム構成図（図１３）と同一である。
【００８６】
暗号鍵２０２は、実施の形態２における暗号鍵２０２（図６）と同一である。
【００８７】
次に、図１６に基づき、実施の形態６における携帯端末装置３０１の機能について説明する。
図１６は実施の形態６における携帯端末装置３０１の内部ブロック図である。
【００８８】
図１６において、暗号鍵保護部６０１は不揮発性メモリ６０４および揮発性メモリ６０５を用いて暗号鍵２０２を保管し、時計６０８と移動距離算出部６０９とＧＰＳ信号受信部６１０から携帯端末装置３０１の紛失・盗難の可能性を検出すると、暗号鍵更新部６０６を用いて暗号鍵２０２を更新し、携帯端末装置３０１の紛失・盗難の可能性が高い場合、ユーザ認証部６０３を用いてユーザ認証を行い、携帯端末装置３０１の紛失・盗難があったと見なした場合は暗号鍵２０２を消去する。
電源スイッチ６０２は携帯端末装置３０１の起動・終了時に押されるスイッチである。
ユーザ認証部６０３はパスワード・指紋・光彩等を用いてユーザの認証を行う。
不揮発性メモリ６０４は携帯端末装置３０１が電源投入中であるか否かにかかわらずデータを保持可能なメモリである。
揮発性メモリ６０５は携帯端末装置３０１の電源投入中のみデータを保持可能なメモリである。
暗号鍵更新部６０６は暗号鍵２０２を入力とし、ハッシュ関数等の一方向性演算を行うことによって次世代の暗号鍵２０２を生成する。
基地局電波受信部６０７は基地局装置３０３からの電波を受信し、現在圏内にいるエリアの情報等を取得する。
時計６０８は現在日時を保持し、ＧＰＳ信号受信部６１０で受信したＧＰＳ信号３０６に含まれる時刻情報を用いて値の補正を行う。
移動距離算出部６０９はＧＰＳ信号受信部６１０で計算した現在位置を用いて携帯端末装置３０１の移動距離を記録する。
移動距離算出部６０９は、移動速度算出部の例でもある。
ＧＰＳ信号受信部６１０はＧＰＳ衛星３０５から送信されたＧＰＳ信号３０６を受信して受信地点の正確な三次元位置を計算する。
ＧＰＳ信号受信部６１０は、位置情報受信部の例である。
【００８９】
次に動作について説明する。
携帯端末装置３０１の電源を入れた場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００９０】
次に、携帯端末装置３０１の電源投入中の動作について説明する。
図１７は、実施の形態６における携帯端末装置３０１の電源投入中の動作を示すフローチャートである。
【００９１】
電源投入中、暗号鍵２０２は携帯端末装置３０１の揮発性メモリ６０５上に保管されている。
暗号鍵保護部５０１はＧＰＳ信号受信部６１０により携帯端末装置３０１の現在位置情報を取得し、時計６０８と移動距離算出部６０９を用いて移動速度（単位時間毎の移動距離）ｓを計測する（Ｓ７０１）。
移動速度ｓが所定の値ｓ１（第１の閾値）を超えていない場合、即ちｓ≦ｓ１の場合はフローチャートの先頭に戻る（Ｓ７０２）。
移動速度ｓが所定の値ｓ１を超えていた場合、即ちｓ＞ｓ１の場合は、暗号鍵保護部６０１は暗号鍵更新部６０６を用いて揮発性メモリ６０５上の暗号鍵２０２を更新（新たな暗号鍵２０２を生成）し、更新前の暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ７０３）。
移動速度ｓが所定の値ｓ２（但し、ｓ１＜ｓ２）（第２の閾値）を超えていない場合、即ちｓ≦ｓ２の場合はフローチャートの先頭に戻る（Ｓ７０４）。
移動速度ｓが所定の値ｓ２を超えていた場合、即ちｓ＞ｓ２の場合、暗号鍵保護部６０１はユーザ認証部６０３を用いてユーザの認証を行う（Ｓ７０５）。
ユーザによるパスワード、指紋、光彩等の認証情報が入力されると、ユーザ認証結果の判定が行われ（Ｓ７０６）、成功の場合は、フローチャートの先頭に戻る。
失敗の場合は、暗号鍵２０２を揮発性メモリ６０５から消去する（Ｓ７０７）。
なお、所定の値ｓ１、ｓ２は、暗号鍵２０２の属性２２３に設定されていた場合はその値を使用し、そうでない場合は暗号鍵保護部６０１で規定された値を使用する。
【００９２】
また、携帯端末装置３０１の電源を切る場合の動作については、実施の形態１における携帯端末装置１０１の動作と同一である。
【００９３】
以上のように、移動速度ｓがｓ１を超えた時点で携帯端末装置３０１が紛失・盗難にあった可能性があると見なして、携帯端末装置３０１の暗号鍵２０２を更新して以前の鍵を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、電源を投入したままの状態で携帯端末装置３０１を分解して暗号鍵２０２を取り出そうとする試みを防止することができる。
また、移動速度ｓがｓ２を超えていた場合は、暗号鍵２０２の更新に加えてユーザ認証を行い、認証に失敗した場合に携帯端末装置３０１が紛失・盗難にあったと見なして暗号鍵２０２を消去するようにしているので、携帯端末装置３０１の紛失・盗難発生時、不正に携帯端末装置３０１および更新された暗号鍵２０２を利用しようとする試みを防止することができる。
また、これらの効果に加えて、実施の形態１で示した効果が得られることは言うまでもない。
【００９４】
なお、図１７のフローにおいて、暗号鍵２０２を用いた暗号通信中に、携帯端末装置３０１の移動速度ｓがｓ１を超える（Ｓ７０２でＹＥＳ）ことも考えられる。
この場合には、携帯端末装置３０１が暗号鍵２０２を消去しても暗号通信を継続できるような構成であれば、暗号鍵保護部６０１は、Ｓ７０３において更新前の暗号鍵を消去する。
一方、暗号鍵２０２を消去すると暗号通信を継続できないような構成であれば、暗号鍵保護部６０１は暗号通信が完了した後に更新前の暗号鍵を消去する。
【００９５】
また、図１７では、ｓ＞ｓ２となった場合に（Ｓ７０４でＹＥＳ）、暗号鍵保護部５０１がユーザ認証部５０３を用いてユーザの認証を行い（Ｓ７０５）、ユーザ認証に失敗したら、暗号鍵２０２を消去するようにしている（Ｓ７０７）が、ｓ＞ｓ２となった時点でユーザ認証を行わずに即座に暗号鍵２０２を消去するようにしてもよい。
【００９６】
以上、本実施の形態では、
コアネットワークおよびコアネットワークに接続された各基地局装置を介して他の端末と通信可能であり、またＧＰＳ衛星からのＧＰＳ信号を受信可能な携帯端末装置において、受信したＧＰＳ信号から時計と移動距離算出部を用いて移動速度（単位時間毎の移動距離）ｓを計算し、ｓが所定の上限値ｓ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｓが所定の距離ｓ２（但しｓ１＜ｓ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える携帯端末装置を説明した。
【００９７】
また、本実施の形態では、
複数の基地局装置と複数の携帯端末装置と複数のＧＰＳ衛星とを備える通信システムにおいて、上記携帯端末装置は、電源投入時には暗号鍵を不揮発性メモリから揮発性メモリへ移動した後、ユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、受信したＧＰＳ信号から時計と移動距離算出部を用いて移動速度（単位時間毎の移動距離）ｓを計算し、ｓが所定の上限値ｓ１を超えた時には暗号鍵更新部を用いて揮発性メモリ上の暗号鍵を更新して更新前の暗号鍵を消去し、ｓが所定の距離ｓ２（但しｓ１＜ｓ２）を超えた時にはユーザ認証部を用いてユーザ認証を行い、認証に失敗した場合は暗号鍵を揮発性メモリから消去し、電源断時にはユーザ認証部を用いてユーザ認証を行い、認証に成功した場合は暗号鍵を揮発性メモリから不揮発性メモリへ移動し、認証に失敗した場合は暗号鍵を揮発性メモリから消去する暗号鍵保護部を備える通信システムを説明した。
【００９８】
なお、実施の形態１〜６では、携帯端末装置を情報処理装置の例として説明しているが、情報処理装置の例としては、警察官が所持する小型無線機（トランシーバ）や鉄道車両に設置された非常用無線機などの「無線通信機器」も含まれ、これら「無線通信機器」にも本願発明は適用可能である。
【００９９】
最後に、実施の形態１〜６に示した携帯端末装置１０１、２０１、３０１のハードウェア構成例について説明する。
図１９は、実施の形態１〜６に示す携帯端末装置１０１、２０１、３０１のハードウェア資源の一例を示す図である。
なお、図１９の構成は、あくまでも携帯端末装置１０１、２０１、３０１のハードウェア構成の一例を示すものであり、携帯端末装置１０１、２０１、３０１のハードウェア構成は図１９に記載の構成に限らず、他の構成であってもよい。
【０１００】
図１９において、携帯端末装置１０１、２０１、３０１は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。
また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
実施の形態１〜６で説明した「不揮発性メモリ４０４」は磁気ディスク装置９２０、ＳＳＤ等により、「揮発性メモリ４０５」はＲＡＭ９１４により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。
【０１０１】
通信ボード９１５は、図１に示すように、ネットワークに接続されている。
例えば、通信ボード９１５は、無線通信網を介して、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていてもよい。
【０１０２】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【０１０３】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【０１０４】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
携帯端末装置１０１、２０１、３０１の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０１０５】
上記プログラム群９２３には、実施の形態１〜６の説明において「〜部」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０１０６】
ファイル群９２４には、実施の形態１〜６の説明において、「〜の判断」、「〜の計算」、「〜の認証」、「〜の比較」、「〜の生成」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜６で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０１０７】
また、実施の形態１〜６の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、実施の形態１〜６で説明したフローチャートに示すステップ、手順、処理により、本発明に係る暗号鍵管理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、実施の形態１〜６の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜６の「〜部」の手順や方法をコンピュータに実行させるものである。
【０１０８】
このように、実施の形態１〜６に示す携帯端末装置１０１、２０１、３０１は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０１０９】
１０１ 携帯端末装置、１０２ 暗号鍵、１０３ ネットワーク、２０１ 携帯端末装置、２０２ 暗号鍵、２０３ 基地局装置、２０４ ネットワーク、３０１ 携帯端末装置、３０３ 基地局装置、３０４ ネットワーク、３０５ ＧＰＳ衛星、３０６ ＧＰＳ信号、４０１ 暗号鍵保護部、４０２ 電源スイッチ、４０３ ユーザ認証部、４０４ 不揮発性メモリ、４０５ 揮発性メモリ、５０１ 暗号鍵保護部、５０２ 電源スイッチ、５０３ ユーザ認証部、５０４ 不揮発性メモリ、５０５ 揮発性メモリ、５０６ 暗号鍵更新部、５０７ 基地局電波受信部、５０８ 時計、５０９ 移動距離算出部、６０１ 暗号鍵保護部、６０２ 電源スイッチ、６０３ ユーザ認証部、６０４ 不揮発性メモリ、６０５ 揮発性メモリ、６０６ 暗号鍵更新部、６０７ 基地局電波受信部、６０８ 時計、６０９ 移動距離算出部、６１０ ＧＰＳ信号受信部。
【特許請求の範囲】
【請求項１】
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記情報処理装置の電源投入時に前記ユーザ認証部によるユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする情報処理装置。
【請求項２】
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記ユーザ認証部によるユーザ認証が成功した場合に前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記不揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする情報処理装置。
【請求項３】
前記ユーザ認証部は、
前記情報処理装置の電源断時にユーザ認証を行い、
前記暗号鍵保護部は、
前記ユーザ認証部によるユーザ認証が成功した場合に前記暗号鍵を前記揮発性メモリから前記不揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去することを特徴とする請求項１又は２に記載の情報処理装置。
【請求項４】
前記情報処理装置は、更に、
無線通信に用いられる複数の基地局装置のうちのいずれかからの電波を受信する基地局電波受信部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜３のいずれかに記載の情報処理装置。
【請求項５】
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項４に記載の情報処理装置。
【請求項６】
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項５に記載の情報処理装置。
【請求項７】
前記情報処理装置は、更に、
無線通信に用いられる複数の基地局装置のうちのいずれかからの電波を受信する基地局電波受信部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜６のいずれかに記載の情報処理装置。
【請求項８】
前記情報処理装置は、更に、
前記情報処理装置の移動距離を算出する移動距離算出部を有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記基地局電波受信部が電波を受信している基地局装置が変化してからの移動距離を前記移動距離算出部に算出させ、算出された移動距離が所定の閾値を超えている場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項７に記載の情報処理装置。
【請求項９】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が前記閾値を超えている場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項８に記載の情報処理装置。
【請求項１０】
前記移動距離算出部は、
前記基地局電波受信部が受信した電波に基づき、前記基地局電波受信部が受信した電波の送信元の基地局装置の所在位置を判断して、前記情報処理装置の移動距離を算出することを特徴とする請求項８又は９に記載の情報処理装置。
【請求項１１】
前記情報処理装置は、更に、
前記情報処理装置の移動速度を算出する移動速度算出部を有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記基地局電波受信部が電波を受信している基地局装置が変化してからの前記情報処理装置の移動速度を前記移動速度算出部に算出させ、算出された移動速度が所定の閾値を超えている場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項７〜１０のいずれかに記載の情報処理装置。
【請求項１２】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が前記閾値を超えている場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１１に記載の情報処理装置。
【請求項１３】
前記移動距離算出部は、
前記基地局電波受信部が受信した電波に基づき、前記基地局電波受信部が受信した電波の送信元の基地局装置の所在位置を判断して、前記基地局電波受信部が電波を受信している基地局装置が変化してからの前記情報処理装置の移動距離を算出し、算出した移動距離と、前記基地局電波受信部が電波を受信している基地局装置が変化してからの時間とを用いて、前記情報処理装置の移動速度を算出することを特徴とする請求項１１又は１２に記載の情報処理装置。
【請求項１４】
前記情報処理装置は、更に、
所定の測位衛星から、前記情報処理装置の所在位置を導出可能な位置情報を受信し、受信した位置情報に基づき、前記情報処理装置の所在位置を導出する位置情報受信部と、
前記位置情報受信部により導出された所在位置に基づき、所定の起点位置からの前記情報処理装置の移動距離を算出する前記移動距離算出部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜１３のいずれかに記載の情報処理装置。
【請求項１５】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１４に記載の情報処理装置。
【請求項１６】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１５に記載の情報処理装置。
【請求項１７】
前記情報処理装置は、更に、
所定の測位衛星から、前記情報処理装置の所在位置を導出可能な位置情報を受信し、受信した位置情報に基づき、前記情報処理装置の所在位置を導出する位置情報受信部と、
前記位置情報受信部により導出された所在位置に基づき、前記情報処理装置の移動速度を算出する前記移動速度算出部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜１６のいずれかに記載の情報処理装置。
【請求項１８】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１７に記載の情報処理装置。
【請求項１９】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１８に記載の情報処理装置。
【請求項２０】
電源投入前に暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリとを有するコンピュータが行う暗号鍵管理方法であって、
前記コンピュータが、前記コンピュータの電源投入時にユーザ認証を行うユーザ認証ステップと、
前記コンピュータが、前記コンピュータの電源投入時にユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、ユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護ステップとを有することを特徴とする暗号鍵管理方法。
【請求項２１】
電源投入前に暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリとを有するコンピュータに、
前記コンピュータの電源投入時にユーザ認証を行うユーザ認証処理と、
前記コンピュータの電源投入時にユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、ユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護処理とを実行させることを特徴とするプログラム。
【請求項１】
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記情報処理装置の電源投入時に前記ユーザ認証部によるユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする情報処理装置。
【請求項２】
暗号鍵を用いる情報処理装置であって、
前記情報処理装置の電源投入前に前記暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリと、
前記情報処理装置の電源投入時にユーザ認証を行うユーザ認証部と、
前記ユーザ認証部によるユーザ認証が成功した場合に前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記不揮発性メモリから前記暗号鍵を消去する暗号鍵保護部とを有することを特徴とする情報処理装置。
【請求項３】
前記ユーザ認証部は、
前記情報処理装置の電源断時にユーザ認証を行い、
前記暗号鍵保護部は、
前記ユーザ認証部によるユーザ認証が成功した場合に前記暗号鍵を前記揮発性メモリから前記不揮発性メモリに移動し、前記ユーザ認証部によるユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去することを特徴とする請求項１又は２に記載の情報処理装置。
【請求項４】
前記情報処理装置は、更に、
無線通信に用いられる複数の基地局装置のうちのいずれかからの電波を受信する基地局電波受信部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜３のいずれかに記載の情報処理装置。
【請求項５】
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項４に記載の情報処理装置。
【請求項６】
前記暗号鍵保護部は、
前記基地局電波受信部がいずれの基地局装置からの電波も受信していない時間が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項５に記載の情報処理装置。
【請求項７】
前記情報処理装置は、更に、
無線通信に用いられる複数の基地局装置のうちのいずれかからの電波を受信する基地局電波受信部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜６のいずれかに記載の情報処理装置。
【請求項８】
前記情報処理装置は、更に、
前記情報処理装置の移動距離を算出する移動距離算出部を有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記基地局電波受信部が電波を受信している基地局装置が変化してからの移動距離を前記移動距離算出部に算出させ、算出された移動距離が所定の閾値を超えている場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項７に記載の情報処理装置。
【請求項９】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が前記閾値を超えている場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項８に記載の情報処理装置。
【請求項１０】
前記移動距離算出部は、
前記基地局電波受信部が受信した電波に基づき、前記基地局電波受信部が受信した電波の送信元の基地局装置の所在位置を判断して、前記情報処理装置の移動距離を算出することを特徴とする請求項８又は９に記載の情報処理装置。
【請求項１１】
前記情報処理装置は、更に、
前記情報処理装置の移動速度を算出する移動速度算出部を有し、
前記暗号鍵保護部は、
前記情報処理装置の移動により前記基地局電波受信部が電波を受信している基地局装置が変化した場合に、前記基地局電波受信部が電波を受信している基地局装置が変化してからの前記情報処理装置の移動速度を前記移動速度算出部に算出させ、算出された移動速度が所定の閾値を超えている場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項７〜１０のいずれかに記載の情報処理装置。
【請求項１２】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が前記閾値を超えている場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１１に記載の情報処理装置。
【請求項１３】
前記移動距離算出部は、
前記基地局電波受信部が受信した電波に基づき、前記基地局電波受信部が受信した電波の送信元の基地局装置の所在位置を判断して、前記基地局電波受信部が電波を受信している基地局装置が変化してからの前記情報処理装置の移動距離を算出し、算出した移動距離と、前記基地局電波受信部が電波を受信している基地局装置が変化してからの時間とを用いて、前記情報処理装置の移動速度を算出することを特徴とする請求項１１又は１２に記載の情報処理装置。
【請求項１４】
前記情報処理装置は、更に、
所定の測位衛星から、前記情報処理装置の所在位置を導出可能な位置情報を受信し、受信した位置情報に基づき、前記情報処理装置の所在位置を導出する位置情報受信部と、
前記位置情報受信部により導出された所在位置に基づき、所定の起点位置からの前記情報処理装置の移動距離を算出する前記移動距離算出部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜１３のいずれかに記載の情報処理装置。
【請求項１５】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１４に記載の情報処理装置。
【請求項１６】
前記暗号鍵保護部は、
前記移動距離算出部により算出された移動距離が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１５に記載の情報処理装置。
【請求項１７】
前記情報処理装置は、更に、
所定の測位衛星から、前記情報処理装置の所在位置を導出可能な位置情報を受信し、受信した位置情報に基づき、前記情報処理装置の所在位置を導出する位置情報受信部と、
前記位置情報受信部により導出された所在位置に基づき、前記情報処理装置の移動速度を算出する前記移動速度算出部と、
前記暗号鍵以外の新たな暗号鍵を生成する暗号鍵更新部とを有し、
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が所定の第１の閾値を超えた場合に、前記暗号鍵更新部に新たな暗号鍵を生成させるとともに、前記暗号鍵を前記揮発性メモリから消去し、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリに保管させることを特徴とする請求項１〜１６のいずれかに記載の情報処理装置。
【請求項１８】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が所定の第２の閾値（第１の閾値＜第２の閾値）を超えた場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１７に記載の情報処理装置。
【請求項１９】
前記暗号鍵保護部は、
前記移動速度算出部により算出された移動速度が前記第２の閾値を超えた場合に、前記ユーザ認証部にユーザ認証を行わせ、前記ユーザ認証部によるユーザ認証が失敗した場合に、前記暗号鍵更新部により生成された新たな暗号鍵を前記揮発性メモリから消去することを特徴とする請求項１８に記載の情報処理装置。
【請求項２０】
電源投入前に暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリとを有するコンピュータが行う暗号鍵管理方法であって、
前記コンピュータが、前記コンピュータの電源投入時にユーザ認証を行うユーザ認証ステップと、
前記コンピュータが、前記コンピュータの電源投入時にユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、ユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護ステップとを有することを特徴とする暗号鍵管理方法。
【請求項２１】
電源投入前に暗号鍵を保管しておく不揮発性メモリと、
揮発性メモリとを有するコンピュータに、
前記コンピュータの電源投入時にユーザ認証を行うユーザ認証処理と、
前記コンピュータの電源投入時にユーザ認証に先立ち前記暗号鍵を前記不揮発性メモリから前記揮発性メモリに移動し、ユーザ認証が失敗した場合に前記揮発性メモリから前記暗号鍵を消去する暗号鍵保護処理とを実行させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２０１１−２３９１２３（Ｐ２０１１−２３９１２３Ａ）
【公開日】平成２３年１１月２４日（２０１１．１１．２４）
【国際特許分類】
【出願番号】特願２０１０−１０７８７８（Ｐ２０１０−１０７８７８）
【出願日】平成２２年５月１０日（２０１０．５．１０）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２３年１１月２４日（２０１１．１１．２４）
【国際特許分類】
【出願日】平成２２年５月１０日（２０１０．５．１０）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]