携帯端末用暗号化ファイル管理システムとその方法と、それらの装置とそのプログラム
【課題】暗号化ファイルのファイル管理の安全性を確保しながら使い勝手を良くする。
【解決手段】ネットワークに接続され、ユーザの操作によりユーザ認証を要求して保存している暗号化ファイルを復号化する携帯端末は、状況計測部と、ユーザ認証情報要求部と、記録部と、暗号化ファイル管理部とを備える。状況計測部は、携帯端末の状況を計測して状況情報を出力する。ユーザ認証情報要求部は、状況情報に応じたユーザ認証情報をユーザに要求する。記録部は、暗号化されたファイルを保存する。暗号化ファイル管理部は、ユーザ認証情報と状況情報と、認証サーバから入力される承認結果を入力として、状況情報に見合ったユーザ認証情報の場合で、且つ、ユーザ認証情報が上記認証サーバで承認された場合に、上記暗号化されたファイルの復号化を行う。
【解決手段】ネットワークに接続され、ユーザの操作によりユーザ認証を要求して保存している暗号化ファイルを復号化する携帯端末は、状況計測部と、ユーザ認証情報要求部と、記録部と、暗号化ファイル管理部とを備える。状況計測部は、携帯端末の状況を計測して状況情報を出力する。ユーザ認証情報要求部は、状況情報に応じたユーザ認証情報をユーザに要求する。記録部は、暗号化されたファイルを保存する。暗号化ファイル管理部は、ユーザ認証情報と状況情報と、認証サーバから入力される承認結果を入力として、状況情報に見合ったユーザ認証情報の場合で、且つ、ユーザ認証情報が上記認証サーバで承認された場合に、上記暗号化されたファイルの復号化を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、携帯端末のファイル管理機能において、特に暗号化された機密情報ファイルを管理する携帯端末用暗号化ファイル管理システムとその方法と、それらの装置とそのプログラムに関する。
【背景技術】
【０００２】
ノートＰＣ（Personal Computer）やＰＤＡ（Personal Digital Assistants）が普及し、場所を問わずにコンピュータが使用できるモバイルコンピューティングが可能になって来た。これらの携帯端末が不特定の場所で使用されるようになった結果、機密情報の管理上、従来には無かった問題が発生するようになって来ている。例えば、公衆の場所で機密情報の覗き見を許してしまうことがある。又は、携帯端末を紛失、若しくは盗難されることで例えば顧客情報等の機密情報が漏洩してしまうことが社会問題化している。
【０００３】
不特定な場所でのコンピュータの使用を制限することで機密情報（以降、「機密ファイル」とも称する。）の漏洩を防止する考えとして、例えば特許文献１に開示されたものが知られている。図９に特許文献１のモバイル端末管理システム９０のシステム構成を示して簡単に説明する。モバイル端末管理システム９０は、モバイル端末１０３と、管理用計算機１０４と、ＧＰＳ衛星９０１とで構成される。モバイル端末１０３と管理用計算機１０４は、公衆ネットワークと組織内ネットワークを介して接続されている。
【０００４】
モバイル端末１０３内の機密ファイルを使用する際には、管理用計算機１０４によるモバイル端末１０３の位置情報による認証を必要とする。モバイル端末１０３の位置情報は、モバイル端末１０３に設けられた図示しないＧＰＳ位置測定機能が、ＧＰＳ衛星９０１からの測位電波を受信して、モバイル端末１０３の位置する場所の緯度と経度を計算して求められる。管理用計算機１０４が、その位置情報に応じて機密ファイルの使用許可を与えるものである。したがって、機密ファイルを使用できる場所を、例えば関連する事業所や使用者（ユーザ）の自宅等の限定された範囲に制限することができる。その結果、公衆の場所での機密情報の覗き見を防ぐことができる。また、モバイル端末１０３の紛失や盗難があった場合でも、特定の場所以外での機密ファイルの悪用を防ぐことができる。
【特許文献１】特開２００３−２５６２８７号公報（図９）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、従来の方法では、機密ファイルを使用できる場所が限定されてしまうので、柔軟性に乏しく使い勝手が悪かった。ＧＰＳ位置測定機能のみを用いた従来例では、屋内においてＧＰＳ衛星からの測位電波を受信できるのが、窓際に限られてしまうので特に使い難かった。ＲＦＩＤ（Radio Frequency Identification）を併用する方法も考えられるが、ＲＦＩＤの電波が存在する範囲でしか使えない欠点は、ＧＰＳ位置測定機能と同様である。
【０００６】
また、上記した従来方法では、最初から機密情報の略取を目的とした携帯端末の盗難に対応することができない課題がある。機密情報の略取を目的とする者は、機密ファイルが記録された記録装置（ハードディスクドライブ等）を携帯端末から取り出し、機密ファイルを解読してしまう。つまり、携帯端末が盗難された場合は、携帯端末内に機密ファイルを残して置くこと自体が問題である。このように、位置情報によって機密ファイルの使用制限を行うだけの方法では、機密情報の管理として不十分であった。
【０００７】
機密情報が漏洩した場合の損失は非常に大きく、場合によっては企業の存続にも関わる事態に発展することもある。したがって、管理をより厳しくした機密ファイルのファイル管理方法が求められている。一方、機密情報の管理を単純に厳しくしただけでは使い勝手の悪いものになってしまう恐れがある。携帯端末の置かれた状況に応じて求められる機密情報に関する安全保障の水準（以降、「セキュリティ強度」と称する。）も変化するので、そのセキュリティ強度の変化に対応できるファイル管理方法が求められている。
【０００８】
この発明は、このような点に鑑みてなされたものであり、携帯端末の置かれた状況に応じて十分な安全性を確保しながら使い勝手の良い携帯端末用暗号化ファイル管理システムとその方法と、それらの装置とそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
この発明の携帯端末用暗号化ファイル管理システムは、ネットワークに接続され、ユーザの操作によりユーザ認証を要求して保存している暗号化ファイルを復号化する携帯端末と、ユーザ認証を行う認証サーバと、から成る。携帯端末が、状況計測部と、ユーザ認証情報要求部と、記録部と、暗号化ファイル管理部とを備える。状況計測部は、携帯端末の状況を計測して状況情報を出力する。ユーザ認証情報要求部は、状況情報に応じたユーザ認証情報をユーザに要求する。記録部は、暗号化されたファイルを保存する。暗号化ファイル管理部は、ユーザ認証情報と状況情報と、認証サーバから入力される承認結果を入力として、状況情報に見合ったユーザ認証情報の場合で、且つ、ユーザ認証情報が上記認証サーバで承認された場合に、上記暗号化されたファイルの復号化を行う。
【発明の効果】
【００１０】
この発明の携帯端末用暗号化ファイル管理システムは、状況計測部が携帯端末の置かれた状況を計測して状況情報を出力する。その状況情報に応じてユーザ認証情報要求部がユーザ認証情報をユーザに要求する。そして、暗号化ファイル管理部が状況情報に見合ったユーザ認証情報の場合に暗号化ファイルの復号化を行う。したがって、携帯端末の置かれた状況の変化を検知してその状況に見合ったセキュリティ強度で暗号化ファイルを管理することができるので安全性が高い。また、携帯端末の状況に応じたユーザ認証情報をユーザに要求するので、柔軟性を持った使い勝手の良い携帯端末用暗号化ファイル管理システムを提供することができる。
【発明を実施するための最良の形態】
【００１１】
以下、この発明の実施の形態を図面を参照して説明する。複数の図面中同一のものには同じ参照符号を付し、説明は繰り返さない。
【実施例１】
【００１２】
図１にこの発明の一例である携帯端末用暗号化ファイル管理システム１０のシステム構成を示す。携帯端末用暗号化ファイル管理システム１０は、認証サーバ１２と、携帯端末１６とが、ネットワーク（以降、「ＮＷ」と称する。）１４を介して接続されている。認証サーバ１２はユーザを認証する。携帯端末１６は、ユーザの操作により認証サーバ１２に認証を要求する。
【００１３】
認証サーバ１２は、通信インターフェース部１２１と、ユーザ認証部１２２と、制御部１２４を備える。携帯端末１６は、通信インターフェース１６１と、暗号化ファイル管理部１６２と、記録部１６３と、ユーザ認証情報要求部１６４と、状況計測部１６５を備える。図２に認証サーバ１２と携帯端末１６の動作シーケンスを示す。携帯端末１６の状況計測部１６５が、携帯端末１６の置かれた状況を計測して状況情報を出力する（ステップＳ１６５）。状況情報としては、例えば上記した従来例と同じようにＧＰＳ位置測定機能による携帯端末が置かれた場所の緯度経度情報の他に、加速度情報や、ＲＦＩＤの利用等（詳しくは後述する）が考えられる。ユーザ認証情報要求部１６４は、状況情報に応じたユーザ認証情報をユーザに要求して、図示しないキーボード等から例えばＯＴＰ（One Time Password）や、指紋センサや網膜センサによる生体認識情報等のユーザ認証情報を入手する（ステップＳ１６４）。暗号化ファイル管理部１６２は、入手したユーザ認証情報を、通信インターフェース部１６１を介してＮＷ１４の先に接続された認証サーバ１２に送信して認証要求する（ステップＳ３０）。認証サーバ１２のユーザ認証部１２２は、認証サーバ１２の通信インターフェース部１２１を介して入手したユーザ認証情報を認証し、認証結果を携帯端末１６に送信する（ステップＳ３１）。携帯端末１６の暗号化ファイル管理部１６２は、認証サーバ１２からの認証結果と、ユーザ認証情報要求部１６４からのユーザ認証情報と、状況計測部１６５からの状況情報を入力として、ユーザ認証情報が状況情報に見合った場合で、且つ、認証結果が承認された場合に、記録部１６３に記録されている暗号化ファイル１６３ａを復号化して編集可能にする（ステップＳ１６２）。
【００１４】
携帯端末１６と認証サーバ１２は、例えばＲＯＭ、ＲＡＭ、ＣＰＵ等で構成されるコンピュータに所定のプログラムが読み込まれて、ＣＰＵがそのプログラムを実行することで実現されるものである。それぞれの制御部１６６，１２４が、それぞれのプログラムにしたがって各部の動作を、上記した過程で制御する。その結果、携帯端末１６の置かれた状況に応じて十分な安全性を確保しながら、使い勝手の良い携帯端末用暗号化ファイル管理システムを実現することができる。
【００１５】
次に暗号化ファイル管理部１６２と、ユーザ認証情報要求部１６４と、状況計測部１６５のより具体的な構成例を示して動作をより詳しく説明する。携帯端末１６と認証サーバ１２の動作フローを図３と図４に示す。図１に示す様に、暗号化ファイル管理部１６２は、状況認証情報判断部１６２１と、暗号鍵一時記録部１６２３を備えた認証サーバ連携部１６２２と、ファイル管理部１６２４と、暗号化部１６２５と、復号化部１６２６とで構成される。
【００１６】
状況計測部１６５は、例えばＧＰＳ位置測定機能を持ち、ＧＰＳ衛星からの測位電波を受信して携帯端末１６の位置情報を状況情報として暗号化ファイル管理部１６２に出力する（ステップＳ１６５１、図３参照）。状況情報は、暗号化ファイル管理部１６２を介してユーザ認証情報要求部１６４に入力される。ユーザ認証情報要求部１６４の状況判断部１６４１は、状況情報から携帯端末１６の置かれている状況を判断する（ステップＳ１６４１ａ）。状況情報から緊急事態（詳しくは後述する）と判断（ステップＳ１６４１ｂのＹ）すると、この例では、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。状況判断部１６４１が、状況情報からセキュリティ強度を上げる事態と判断する（ステップＳ１６４１ｃ）と、ユーザ情報要求部１６４２は、その状況に見合ったユーザ認証情報をユーザに要求する（ステップＳ１６４２ａ）。セキュリティ強度を上げずに済む状況としては、例えば社内で携帯端末１６を使用する場合が考えられる。この場合は例えばユーザＩＤとパスワードのみでユーザ認証を行う。
【００１７】
セキュリティ強度を上げる事態とは、例えば、携帯端末が社外で使用されている状況が考えられる。その場合は、通常のユーザＩＤとパスワードの他に上長の許可を得ていることを表わす識別コードを要求する。携帯端末１６を操作するユーザは、その要求に対してユーザＩＤとパスワードと識別コードをキーボード等の入力手段を用いてユーザ認証情報要求部１６４に入力する（ステップＳ１６４２ｂ）。ユーザ認証情報要求部１６４に入力されたユーザ認証情報は、暗号化ファイル管理部１６２に入力される。暗号化ファイル管理部１６２の状況認証情報判断部１６２１は、ユーザ認証情報が状況計測部１６５から入力される状況情報に見合ったものかを判断する（ステップＳ１６２１）。ユーザ認証情報が状況情報に見合ったものであった場合、状況認証情報判断部１６２１は、認証サーバ連携部１６２２に認証サーバ１２に対するユーザ認証情報の送信を指示する。状況認証情報判断部１６２１は、その指示に従い認証サーバ１２に認証要求をする（ステップＳ１６２２ａ）。ユーザ認証情報が状況情報に見合わない場合は、この例では上記した緊急事態の場合（ステップＳ１６４１ｂのＹ）と同じようにファイル管理部１６２４が、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。
【００１８】
認証サーバ１２のユーザ認証部１２２は、携帯端末１６からのユーザ認証情報を受信する（ステップＳ１２２１、図４参照）。そしてユーザ認証情報を認証する（ステップＳ１２２２）。ユーザ認証部１２２は、ユーザ認証情報が正当でありユーザを承認できる場合（ステップＳ１２２３のＹ）は、承認された結果を表わす認証結果と、暗号化ファイル１６３ａを復号化する共通鍵を、携帯端末１６に送信する（ステップＳ１２２５）。ユーザを否認する場合（ステップＳ１２２３Ｎ）は、否認された結果を表わす認証結果のみを携帯端末１６に送信する（ステップＳ１２２４）。
【００１９】
携帯端末１６の認証サーバ連携部１６２２は、認証サーバ１２の認証結果を受信する（ステップＳ１６２２ｂ）。認証サーバ連携部１６２２は、認証結果が承認された場合、共通鍵を暗号鍵一時記録部１６２３に記録すると共にファイル管理部１６２４に暗号化ファイル１６３ａの復号化を指示する。復号化部１６２６は、暗号鍵一時記録部１６２３から共通鍵を読み出して暗号化ファイル１６３ａを復号化する（ステップＳ１６２６）。認証結果が否認の場合は、上記した緊急事態の場合と同様にファイル管理部１６２４が、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。図３の動作フローでは省略しているが、暗号化部１６２５は、復号化された後に編集されたファイルを、再び暗号化して記録部１６３に記録する。
【００２０】
ここで緊急事態について図５に示す状況計測部１６５を用いて説明する。緊急事態とは、例えば携帯端末１６が盗難に遭い、暗号化ファイル１６３ａが略取されることが想定される事態である。想定される状況情報としては、例えば過大な加速度が携帯端末１６に加わった場合や、ハードディスクドライブ（以降、「ＨＤＤ」と称する。）を取り外す目的で携帯端末１６の筺体が開けられた場合等が考えられる。もちろん、上記したＧＰＳ位置測定機能でも、測定された場所がある特定の場所の場合に緊急事態と判断するようにしても良い。しかし、ＧＰＳ位置測定機能の位置情報だけで緊急事態を判断するのは、誤判断の可能性が高く危険である。よって、図５に示すような他の方式の状況計測部１６５を用いることで、緊急事態の判断の精度を上げる方法が考えられる。
【００２１】
図５（ａ）に示す状況計測部１６５は、加速度検出部５０とＡＤ変換部５１とで構成される。加速度検出部５０は、例えば圧電素子等で形成された加速度センサを備え、加速度センサに加わる加速度に比例した電圧値を生成する。ＡＤ変換部５１は、加速度検出部５０が生成する電圧値をディジタル値に変換して状況情報とする。
【００２２】
携帯端末は、液晶パネルやＨＤＤ等の衝撃に対して弱い部品から構成されるため、丁重に扱われるのが一般的である。しかし、携帯端末が盗難に会った場合は、乱雑に扱われ携帯端末に通常は加わらないような過大な加速度が加わる状況が想定できる。図５（ａ）に示す状況計測部１６５は、その過大な加速度を検出するものである。
【００２３】
図５（ｂ）に示す状況計測部１６５´は、筺体オープン検知スイッチ５２と抵抗５３とで構成される。筺体オープン検知スイッチ５２の一端は携帯端末の正電源に接続され、その他端には抵抗５３の一端が接続され、さらに抵抗５３の他端が携帯端末の負電源に接続されている。筺体オープン検知スイッチ５２の他端と抵抗５３の一端との接続点が状況情報の出力端子とされている。携帯端末の筺体は、通常は分解されることがない。筺体が分解されない状態では、筺体オープン検知スイッチ５２は閉じた状態にあり、携帯端末の正電源から負電源に向けて電流が流れるので、抵抗５３の一端である状況情報は正電源の電圧値となる。悪意の第三者が携帯端末の筺体を分解した場合には、筺体オープン検知スイッチ５２が開状態となり、状況情報は負電源の電圧値に変化する。この状態情報の変化を暗号化ファイル管理部１６２の状況認証情報判断部１６２１が検出した場合、ファイル管理部１６２４はただちに暗号化ファイル１６３ａを消去する。と同時に暗号鍵一時記録部１６２３に共通鍵が記録されていれば、共通鍵も消去する。このようにすることで暗号化ファイル１６３ａが第三者に渡ってしまうことを防止することができる。
【００２４】
なお、筺体オープン検知スイッチ５２が開状態になった場合は、その情報のみで緊急事態と判断して良いと思われる。一方、加速度検出の場合は、誤って携帯端末を落とすなどして過大な加速度を携帯端末に与えてしまう場合も容易に想定されるので、単独での使用は危険である。
【００２５】
そこで、図６に示すように複数の状況計測部を併用する方法が考えられる。図６に示す状況計測部６０は、ＧＰＳ位置測定機能６１と、加速度検出機能６２と、筺体オープン検知スイッチ６３と、ＲＦＩＤ６４と、紛失防止用センサ６５とを備える。ＧＰＳ位置測定機能６１は上記したそれと同じものである。加速度検出機能部６２も図５（ａ）で説明済みの状況計測部１６５と同じものである。筺体オープン検知スイッチ６３も図５（ｂ）で説明済みの状況計測部１６５´と同じものである。ＲＦＩＤ６４は、例えば電波方式のアクティブタグの利用が考えられ、特定の会議室等の限定された位置情報を得るものである。紛失防止用センサ６５は、例えば、携帯端末とユーザ間を微弱電波の無線で接続し、電界強度が一定値以上あるか否かで携帯端末とユーザとの物理的な距離の大きさを測定するものである。このようにＧＰＳ位置測定機能６１〜紛失防止用センサ６５は、それぞれが状況計測部を構成するものである。これらの各状況計測部の出力する状況情報を、暗号化ファイル管理部１６２及びユーザ認証情報要求部１６４が並列に処理をして状況判断することで、状況判断の精度を向上させることができる。例えば、紛失防止用センサ６５の状況情報が、携帯端末とユーザとの距離が離れている状態を表わしている時に、加速度検出機能部６２が過大な加速度を検出した場合、緊急事態と判定するなどの対応が考えられる。このように複数の状況計測部を組み合わせて用いることで、状況判断の精度を向上させる効果が期待できる。
【００２６】
以上述べたように携帯端末用暗号化ファイル管理システム１０によれば、携帯端末１６を社内で使用する場合は、例えば通常のユーザＩＤとパスワードのみでユーザ認証を行う。携帯端末１６を社外で使用する場合は、例えば上長の許可を得ていることを表わす識別コードとユーザＩＤとパスワードでユーザ認証を行う。このように、状況で変化するセキュリティ強度の大きさに応じて暗号化ファイルを管理することができる。更に緊急事態の場合は、暗号化ファイルをロック又は消去するので、第三者による機密情報の悪用を完全に防止することが可能である。なお、状況情報に見合ったユーザ認証情報が得られない場合も、緊急事態と同様に暗号化ファイルをロック又は消去する例で説明を行ったが、その場合は、なりすましが難しい例えば生体情報等のユーザ認証情報を再度ユーザに求めるようにしても良い。
【実施例２】
【００２７】
この発明の携帯端末用暗号化ファイル管理システムの実施例２として、認証サーバ１２側に認証状況データ記録部１２５を備えた構成を説明する。実施例２は、認証サーバ１２側でも携帯端末の状況情報の判定を行うようにしたものである。認証状況データ記録部１２５を図１に破線で示す。携帯端末１６側の構成と動作は基本的には実施例１と同じであるが、認証要求時にユーザ認証情報に加えて状況情報を、認証サーバ１２に送信する点が異なる。実施例２の認証サーバ１２の動作フローを図７に示して説明する。
【００２８】
ステップＳ１２２３のユーザ認証までの動作フローは、状況情報の受信（ステップＳ１２２６）が加わった点のみが異なるだけで実施例１と同じである。認証サーバ１２のユーザ認証部１２２は、携帯端末１６から送信された状況情報を元に、認証状況データ記録部１２５を参照して状況認証を行う（ステップＳ１２２７）。携帯端末の状況が認証される（ステップＳ１２２８のＹ）と、ユーザ認証部１２２は、ユーザ認証と状況認証の結果が承認されたことを表わす認証結果と共通鍵を携帯端末に送信する（ステップＳ１２２４）。携帯端末の状況が否認される（ステップＳ１２２８のＮ）と、否認結果を携帯端末１６に送信する（ステップＳ１２２５）。
【００２９】
このように認証サーバ１２側でも携帯端末１６の状況を判断するようにすると、携帯端末用暗号化ファイル管理システムをより使い易くすることができる。例えば、上記した例のようにユーザが社外で携帯端末１６を使用する場合に、急な外出や出張で事前に上長の使用許可を得られない場合も考えられる。そのような場合には、実施例１に示した携帯端末１６側だけで状況情報を判断する方法では、社外で携帯端末を使用することができない。実施例２の構成であれば、外出後でも携帯端末を使用可能にすることが可能である。つまり、電子メールや電話等で外出先から上長に使用許可を願い出て、ＮＷ１４に接続された上長のＰＣから認証サーバ１２の認証状況データ記録部１２４に使用許可情報を書き込んでもらえば良い。このように認証サーバ１２に認証状況データ記録部１２５を設け、認証サーバ１２側でも携帯端末の状況の認証を行うようにすることで、携帯端末用暗号化ファイル管理システムの使い勝手をより良くすることが可能になる。
【００３０】
また、認証サーバ１２側が主導権を持ってより積極的に携帯端末の暗号化ファイルの管理を行うことも可能になる。例えば、盗まれた携帯端末１６から認証サーバ１２に認証要求があった場合、事前に認証状況データ記録部１２５に盗難された携帯端末である情報を書き込んで置くことで、直ちに携帯端末１６の暗号化ファイル１６３ａを消去するように携帯端末１６を制御することも可能である。
【実施例３】
【００３１】
この発明の携帯端末用暗号化ファイル管理システムの実施例３として、携帯端末１６に状況情報だけを記録する状況データ記録部１６６を設けた構成例を示す。実施例１と２の説明は、状況計測部１６５が携帯端末を使用する時だけ動作する前提で行った。例えば、携帯端末１６を使用する場所の緯度経度情報を、ＧＰＳ位置測定機能でその都度測定していた。それらの状況情報の履歴が必要な場合は、例えば制御部１６６を形成するＲＡＭ、又は、暗号化ファイル１６３ａが記録された記録部１６３（ＨＤＤ）に記録することになる。
【００３２】
状況情報の履歴は重要な情報であるため、悪意の第三者による改竄を容易にできないようにする必要がある。しかし、通常のＰＣのＲＡＭやＨＤＤに記録したのでは、第三者に容易に発見されて改竄されてしまう恐れがある。状況情報の情報量は、暗号化ファイル１６３ａ等と比較すると小さな情報量なので、容量の小さなフラッシュメモリー(flash memory)に独立させて記録することで、第三者からの発見を難しくすることができる。また、状況データ記録部１６６を耐タンパ性能を持ったチップで構成することで、更に第三者による状況情報の改竄を困難にすることができる。耐タンパ性とは、物理的かつ論理的に内部の情報を読み取られることに対する耐性のことである。
【００３３】
状況情報の履歴の改竄を容易にできないようにすることで、状況情報の履歴を状況情報として積極的に利用することが考えられる。例えば、携帯端末の緯度経度情報の履歴が、出張計画と合っているかは、有効な状況情報の判断基準になる。また、状況計測部１６５と状況データ記録部１６６を、ユーザが携帯端末を使用しない時に動作させることでより有効な状況情報を得ることができる。例えば、上記した加速度検出機能による状態計測部は、携帯端末１６を未使用時にも連続して計測可能にすることで、携帯端末１６がどのように扱われたかについてのより正確な情報を得ることが可能になる。
【００３４】
このように携帯端末に状況データ記録部１６６を設けることで、悪意の第三者による改竄を容易にできないようにすると共に、状況情報の履歴を有効に利用できるようにする効果が得られる。
【００３５】
なお、上記した出張計画と携帯端末の位置情報の履歴との整合を見て携帯端末の状況情報を判断する方式を、例えば状態遷移方式とすると、他に危険度点数方式やルール方式が考えられる。危険度点数方式とは、図６で説明した複数の状況計測部を併用する場合において、各状況計測部の出力する状況情報のそれぞれに点数を付けて、その点数の合計で携帯端末の状況を判断する方式である。例えば、筺体オープンスイッチ６３が開放された場合は１００点、また、ユーザが携帯端末１６から離れている状況を４０点、その状況において過大な加速度が携帯端末１６に加わった場合を６０点としてその合計が１００点になったら緊急事態とする方式である。ルール方式は、上記した例のように社外で携帯端末を使用する場合は上長の許可を必要とするといったように、その状況に応じた規則を予め決めておくものである。なお、これらの方式を組み合わせて使って携帯端末の状況を判断しても良い。
【００３６】
また、緊急事態を判断する方法として状況計測部１６５が、ハードウェアで状態を検出する例のみを示して説明を行ったが、ユーザ認証情報をソフトウェアで処理して緊急事態を判断する方法もある。例えば、ユーザ認証の基本情報であるユーザＩＤを複数回間違える場合や、存在しないユーザＩＤで何度も認証要求されることは通常は考えられない。このような異常な状況を、ソフトウェアで検出して緊急事態と判断しても良い。また、携帯端末１６を接続しているネットワークの種類をＰＳＩＤ等で分類して、携帯端末１６の位置をソフトウェアで論理的に求める状況計測部も考えられる。その状況計測部を、論理的な位置検出部６６として図６に破線で示す。
【００３７】
以上述べたように、この発明の携帯端末用暗号化ファイル管理システムは、携帯端末の置かれた状況の変化を検出して、その状況変化に見合ったセキュリティ強度でファイル管理を行う考えである。この発明の技術思想に基づく携帯端末用暗号化ファイル管理システムとその方法と、それらの装置は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能である。例えば、携帯端末１６はノートＰＣを想定した例で説明を行ったが、暗号化ファイル管理部１６２と記録部１６３のみの機能を、例えばＵＳＢポートに直接挿入されるＵＳＢメモリの形状で構成しても良い。その場合は、ユーザ認証情報要求部１６４と、状況計測部１６５と、制御部１６６の各機能は、そのＵＳＢメモリ形状をしたこの発明の携帯端末が挿入される例えばノートＰＣ側のものを使用する。このように、携帯端末の形態も一台のノートＰＣに限定されない。
【００３８】
また、上記した実施例は、携帯端末１６と認証サーバ１２とがオンラインの場合を説明したが、携帯端末１６をオフラインで用いることも当然できる。その場合の携帯端末１６の動作フローを図８に示す。オンラインの動作フローの図３とは、認証サーバ１２とのやり取りの部分ステップＳ１６２２ａ〜ステップＳ１６２２ｃが無いことが異なるだけである。このように携帯端末をオフラインで使用しても、携帯端末の置かれた状況に応じて十分な安全性を確保しながら暗号化ファイルの復号化を行うことが可能である。
【００３９】
なお、上記した方法及び装置において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
【００４０】
また、上記装置における処理手段をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、各装置における処理手段がコンピュータ上で実現される。
【００４１】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ-ＲＡＭ（Random Access Memory）、ＣＤ-ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ-Ｒ（Recordable）/ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto Optical disc）等を、半導体メモリとしてフラッシュメモリー等を用いることができる。
【００４２】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記録装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００４３】
また、各手段は、コンピュータ上で所定のプログラムを実行させることにより構成することにしてもよいし、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【図面の簡単な説明】
【００４４】
【図１】この発明の携帯端末用暗号化ファイル管理システム１０のシステム構成を示す図。
【図２】携帯端末用暗号化ファイル管理システム１０における認証サーバ１２と携帯端末１６の動作シーケンスを示す図。
【図３】携帯端末１６の動作フローを示す図。
【図４】認証サーバ１２の動作フローを示す図。
【図５】状況計測部１６５の一例を示す図であり、（ａ）は加速度検出部、（ｂ）は筺体オープンスイッチで構成される状況計測部を示す。
【図６】複数の状況計測部を併用する方法を示す図。
【図７】実施例２の認証サーバの動作フローを示す図。
【図８】携帯端末１６がオフラインで動作する場合の動作フローを示す図。
【図９】特許文献１に開示されたモバイル端末管理システムのシステム構成を示す図。
【技術分野】
【０００１】
この発明は、携帯端末のファイル管理機能において、特に暗号化された機密情報ファイルを管理する携帯端末用暗号化ファイル管理システムとその方法と、それらの装置とそのプログラムに関する。
【背景技術】
【０００２】
ノートＰＣ（Personal Computer）やＰＤＡ（Personal Digital Assistants）が普及し、場所を問わずにコンピュータが使用できるモバイルコンピューティングが可能になって来た。これらの携帯端末が不特定の場所で使用されるようになった結果、機密情報の管理上、従来には無かった問題が発生するようになって来ている。例えば、公衆の場所で機密情報の覗き見を許してしまうことがある。又は、携帯端末を紛失、若しくは盗難されることで例えば顧客情報等の機密情報が漏洩してしまうことが社会問題化している。
【０００３】
不特定な場所でのコンピュータの使用を制限することで機密情報（以降、「機密ファイル」とも称する。）の漏洩を防止する考えとして、例えば特許文献１に開示されたものが知られている。図９に特許文献１のモバイル端末管理システム９０のシステム構成を示して簡単に説明する。モバイル端末管理システム９０は、モバイル端末１０３と、管理用計算機１０４と、ＧＰＳ衛星９０１とで構成される。モバイル端末１０３と管理用計算機１０４は、公衆ネットワークと組織内ネットワークを介して接続されている。
【０００４】
モバイル端末１０３内の機密ファイルを使用する際には、管理用計算機１０４によるモバイル端末１０３の位置情報による認証を必要とする。モバイル端末１０３の位置情報は、モバイル端末１０３に設けられた図示しないＧＰＳ位置測定機能が、ＧＰＳ衛星９０１からの測位電波を受信して、モバイル端末１０３の位置する場所の緯度と経度を計算して求められる。管理用計算機１０４が、その位置情報に応じて機密ファイルの使用許可を与えるものである。したがって、機密ファイルを使用できる場所を、例えば関連する事業所や使用者（ユーザ）の自宅等の限定された範囲に制限することができる。その結果、公衆の場所での機密情報の覗き見を防ぐことができる。また、モバイル端末１０３の紛失や盗難があった場合でも、特定の場所以外での機密ファイルの悪用を防ぐことができる。
【特許文献１】特開２００３−２５６２８７号公報（図９）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、従来の方法では、機密ファイルを使用できる場所が限定されてしまうので、柔軟性に乏しく使い勝手が悪かった。ＧＰＳ位置測定機能のみを用いた従来例では、屋内においてＧＰＳ衛星からの測位電波を受信できるのが、窓際に限られてしまうので特に使い難かった。ＲＦＩＤ（Radio Frequency Identification）を併用する方法も考えられるが、ＲＦＩＤの電波が存在する範囲でしか使えない欠点は、ＧＰＳ位置測定機能と同様である。
【０００６】
また、上記した従来方法では、最初から機密情報の略取を目的とした携帯端末の盗難に対応することができない課題がある。機密情報の略取を目的とする者は、機密ファイルが記録された記録装置（ハードディスクドライブ等）を携帯端末から取り出し、機密ファイルを解読してしまう。つまり、携帯端末が盗難された場合は、携帯端末内に機密ファイルを残して置くこと自体が問題である。このように、位置情報によって機密ファイルの使用制限を行うだけの方法では、機密情報の管理として不十分であった。
【０００７】
機密情報が漏洩した場合の損失は非常に大きく、場合によっては企業の存続にも関わる事態に発展することもある。したがって、管理をより厳しくした機密ファイルのファイル管理方法が求められている。一方、機密情報の管理を単純に厳しくしただけでは使い勝手の悪いものになってしまう恐れがある。携帯端末の置かれた状況に応じて求められる機密情報に関する安全保障の水準（以降、「セキュリティ強度」と称する。）も変化するので、そのセキュリティ強度の変化に対応できるファイル管理方法が求められている。
【０００８】
この発明は、このような点に鑑みてなされたものであり、携帯端末の置かれた状況に応じて十分な安全性を確保しながら使い勝手の良い携帯端末用暗号化ファイル管理システムとその方法と、それらの装置とそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
この発明の携帯端末用暗号化ファイル管理システムは、ネットワークに接続され、ユーザの操作によりユーザ認証を要求して保存している暗号化ファイルを復号化する携帯端末と、ユーザ認証を行う認証サーバと、から成る。携帯端末が、状況計測部と、ユーザ認証情報要求部と、記録部と、暗号化ファイル管理部とを備える。状況計測部は、携帯端末の状況を計測して状況情報を出力する。ユーザ認証情報要求部は、状況情報に応じたユーザ認証情報をユーザに要求する。記録部は、暗号化されたファイルを保存する。暗号化ファイル管理部は、ユーザ認証情報と状況情報と、認証サーバから入力される承認結果を入力として、状況情報に見合ったユーザ認証情報の場合で、且つ、ユーザ認証情報が上記認証サーバで承認された場合に、上記暗号化されたファイルの復号化を行う。
【発明の効果】
【００１０】
この発明の携帯端末用暗号化ファイル管理システムは、状況計測部が携帯端末の置かれた状況を計測して状況情報を出力する。その状況情報に応じてユーザ認証情報要求部がユーザ認証情報をユーザに要求する。そして、暗号化ファイル管理部が状況情報に見合ったユーザ認証情報の場合に暗号化ファイルの復号化を行う。したがって、携帯端末の置かれた状況の変化を検知してその状況に見合ったセキュリティ強度で暗号化ファイルを管理することができるので安全性が高い。また、携帯端末の状況に応じたユーザ認証情報をユーザに要求するので、柔軟性を持った使い勝手の良い携帯端末用暗号化ファイル管理システムを提供することができる。
【発明を実施するための最良の形態】
【００１１】
以下、この発明の実施の形態を図面を参照して説明する。複数の図面中同一のものには同じ参照符号を付し、説明は繰り返さない。
【実施例１】
【００１２】
図１にこの発明の一例である携帯端末用暗号化ファイル管理システム１０のシステム構成を示す。携帯端末用暗号化ファイル管理システム１０は、認証サーバ１２と、携帯端末１６とが、ネットワーク（以降、「ＮＷ」と称する。）１４を介して接続されている。認証サーバ１２はユーザを認証する。携帯端末１６は、ユーザの操作により認証サーバ１２に認証を要求する。
【００１３】
認証サーバ１２は、通信インターフェース部１２１と、ユーザ認証部１２２と、制御部１２４を備える。携帯端末１６は、通信インターフェース１６１と、暗号化ファイル管理部１６２と、記録部１６３と、ユーザ認証情報要求部１６４と、状況計測部１６５を備える。図２に認証サーバ１２と携帯端末１６の動作シーケンスを示す。携帯端末１６の状況計測部１６５が、携帯端末１６の置かれた状況を計測して状況情報を出力する（ステップＳ１６５）。状況情報としては、例えば上記した従来例と同じようにＧＰＳ位置測定機能による携帯端末が置かれた場所の緯度経度情報の他に、加速度情報や、ＲＦＩＤの利用等（詳しくは後述する）が考えられる。ユーザ認証情報要求部１６４は、状況情報に応じたユーザ認証情報をユーザに要求して、図示しないキーボード等から例えばＯＴＰ（One Time Password）や、指紋センサや網膜センサによる生体認識情報等のユーザ認証情報を入手する（ステップＳ１６４）。暗号化ファイル管理部１６２は、入手したユーザ認証情報を、通信インターフェース部１６１を介してＮＷ１４の先に接続された認証サーバ１２に送信して認証要求する（ステップＳ３０）。認証サーバ１２のユーザ認証部１２２は、認証サーバ１２の通信インターフェース部１２１を介して入手したユーザ認証情報を認証し、認証結果を携帯端末１６に送信する（ステップＳ３１）。携帯端末１６の暗号化ファイル管理部１６２は、認証サーバ１２からの認証結果と、ユーザ認証情報要求部１６４からのユーザ認証情報と、状況計測部１６５からの状況情報を入力として、ユーザ認証情報が状況情報に見合った場合で、且つ、認証結果が承認された場合に、記録部１６３に記録されている暗号化ファイル１６３ａを復号化して編集可能にする（ステップＳ１６２）。
【００１４】
携帯端末１６と認証サーバ１２は、例えばＲＯＭ、ＲＡＭ、ＣＰＵ等で構成されるコンピュータに所定のプログラムが読み込まれて、ＣＰＵがそのプログラムを実行することで実現されるものである。それぞれの制御部１６６，１２４が、それぞれのプログラムにしたがって各部の動作を、上記した過程で制御する。その結果、携帯端末１６の置かれた状況に応じて十分な安全性を確保しながら、使い勝手の良い携帯端末用暗号化ファイル管理システムを実現することができる。
【００１５】
次に暗号化ファイル管理部１６２と、ユーザ認証情報要求部１６４と、状況計測部１６５のより具体的な構成例を示して動作をより詳しく説明する。携帯端末１６と認証サーバ１２の動作フローを図３と図４に示す。図１に示す様に、暗号化ファイル管理部１６２は、状況認証情報判断部１６２１と、暗号鍵一時記録部１６２３を備えた認証サーバ連携部１６２２と、ファイル管理部１６２４と、暗号化部１６２５と、復号化部１６２６とで構成される。
【００１６】
状況計測部１６５は、例えばＧＰＳ位置測定機能を持ち、ＧＰＳ衛星からの測位電波を受信して携帯端末１６の位置情報を状況情報として暗号化ファイル管理部１６２に出力する（ステップＳ１６５１、図３参照）。状況情報は、暗号化ファイル管理部１６２を介してユーザ認証情報要求部１６４に入力される。ユーザ認証情報要求部１６４の状況判断部１６４１は、状況情報から携帯端末１６の置かれている状況を判断する（ステップＳ１６４１ａ）。状況情報から緊急事態（詳しくは後述する）と判断（ステップＳ１６４１ｂのＹ）すると、この例では、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。状況判断部１６４１が、状況情報からセキュリティ強度を上げる事態と判断する（ステップＳ１６４１ｃ）と、ユーザ情報要求部１６４２は、その状況に見合ったユーザ認証情報をユーザに要求する（ステップＳ１６４２ａ）。セキュリティ強度を上げずに済む状況としては、例えば社内で携帯端末１６を使用する場合が考えられる。この場合は例えばユーザＩＤとパスワードのみでユーザ認証を行う。
【００１７】
セキュリティ強度を上げる事態とは、例えば、携帯端末が社外で使用されている状況が考えられる。その場合は、通常のユーザＩＤとパスワードの他に上長の許可を得ていることを表わす識別コードを要求する。携帯端末１６を操作するユーザは、その要求に対してユーザＩＤとパスワードと識別コードをキーボード等の入力手段を用いてユーザ認証情報要求部１６４に入力する（ステップＳ１６４２ｂ）。ユーザ認証情報要求部１６４に入力されたユーザ認証情報は、暗号化ファイル管理部１６２に入力される。暗号化ファイル管理部１６２の状況認証情報判断部１６２１は、ユーザ認証情報が状況計測部１６５から入力される状況情報に見合ったものかを判断する（ステップＳ１６２１）。ユーザ認証情報が状況情報に見合ったものであった場合、状況認証情報判断部１６２１は、認証サーバ連携部１６２２に認証サーバ１２に対するユーザ認証情報の送信を指示する。状況認証情報判断部１６２１は、その指示に従い認証サーバ１２に認証要求をする（ステップＳ１６２２ａ）。ユーザ認証情報が状況情報に見合わない場合は、この例では上記した緊急事態の場合（ステップＳ１６４１ｂのＹ）と同じようにファイル管理部１６２４が、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。
【００１８】
認証サーバ１２のユーザ認証部１２２は、携帯端末１６からのユーザ認証情報を受信する（ステップＳ１２２１、図４参照）。そしてユーザ認証情報を認証する（ステップＳ１２２２）。ユーザ認証部１２２は、ユーザ認証情報が正当でありユーザを承認できる場合（ステップＳ１２２３のＹ）は、承認された結果を表わす認証結果と、暗号化ファイル１６３ａを復号化する共通鍵を、携帯端末１６に送信する（ステップＳ１２２５）。ユーザを否認する場合（ステップＳ１２２３Ｎ）は、否認された結果を表わす認証結果のみを携帯端末１６に送信する（ステップＳ１２２４）。
【００１９】
携帯端末１６の認証サーバ連携部１６２２は、認証サーバ１２の認証結果を受信する（ステップＳ１６２２ｂ）。認証サーバ連携部１６２２は、認証結果が承認された場合、共通鍵を暗号鍵一時記録部１６２３に記録すると共にファイル管理部１６２４に暗号化ファイル１６３ａの復号化を指示する。復号化部１６２６は、暗号鍵一時記録部１６２３から共通鍵を読み出して暗号化ファイル１６３ａを復号化する（ステップＳ１６２６）。認証結果が否認の場合は、上記した緊急事態の場合と同様にファイル管理部１６２４が、暗号化ファイル１６３ａを使用できないようにファイルロック、又はファイルを消去する（ステップＳ１６２４）。図３の動作フローでは省略しているが、暗号化部１６２５は、復号化された後に編集されたファイルを、再び暗号化して記録部１６３に記録する。
【００２０】
ここで緊急事態について図５に示す状況計測部１６５を用いて説明する。緊急事態とは、例えば携帯端末１６が盗難に遭い、暗号化ファイル１６３ａが略取されることが想定される事態である。想定される状況情報としては、例えば過大な加速度が携帯端末１６に加わった場合や、ハードディスクドライブ（以降、「ＨＤＤ」と称する。）を取り外す目的で携帯端末１６の筺体が開けられた場合等が考えられる。もちろん、上記したＧＰＳ位置測定機能でも、測定された場所がある特定の場所の場合に緊急事態と判断するようにしても良い。しかし、ＧＰＳ位置測定機能の位置情報だけで緊急事態を判断するのは、誤判断の可能性が高く危険である。よって、図５に示すような他の方式の状況計測部１６５を用いることで、緊急事態の判断の精度を上げる方法が考えられる。
【００２１】
図５（ａ）に示す状況計測部１６５は、加速度検出部５０とＡＤ変換部５１とで構成される。加速度検出部５０は、例えば圧電素子等で形成された加速度センサを備え、加速度センサに加わる加速度に比例した電圧値を生成する。ＡＤ変換部５１は、加速度検出部５０が生成する電圧値をディジタル値に変換して状況情報とする。
【００２２】
携帯端末は、液晶パネルやＨＤＤ等の衝撃に対して弱い部品から構成されるため、丁重に扱われるのが一般的である。しかし、携帯端末が盗難に会った場合は、乱雑に扱われ携帯端末に通常は加わらないような過大な加速度が加わる状況が想定できる。図５（ａ）に示す状況計測部１６５は、その過大な加速度を検出するものである。
【００２３】
図５（ｂ）に示す状況計測部１６５´は、筺体オープン検知スイッチ５２と抵抗５３とで構成される。筺体オープン検知スイッチ５２の一端は携帯端末の正電源に接続され、その他端には抵抗５３の一端が接続され、さらに抵抗５３の他端が携帯端末の負電源に接続されている。筺体オープン検知スイッチ５２の他端と抵抗５３の一端との接続点が状況情報の出力端子とされている。携帯端末の筺体は、通常は分解されることがない。筺体が分解されない状態では、筺体オープン検知スイッチ５２は閉じた状態にあり、携帯端末の正電源から負電源に向けて電流が流れるので、抵抗５３の一端である状況情報は正電源の電圧値となる。悪意の第三者が携帯端末の筺体を分解した場合には、筺体オープン検知スイッチ５２が開状態となり、状況情報は負電源の電圧値に変化する。この状態情報の変化を暗号化ファイル管理部１６２の状況認証情報判断部１６２１が検出した場合、ファイル管理部１６２４はただちに暗号化ファイル１６３ａを消去する。と同時に暗号鍵一時記録部１６２３に共通鍵が記録されていれば、共通鍵も消去する。このようにすることで暗号化ファイル１６３ａが第三者に渡ってしまうことを防止することができる。
【００２４】
なお、筺体オープン検知スイッチ５２が開状態になった場合は、その情報のみで緊急事態と判断して良いと思われる。一方、加速度検出の場合は、誤って携帯端末を落とすなどして過大な加速度を携帯端末に与えてしまう場合も容易に想定されるので、単独での使用は危険である。
【００２５】
そこで、図６に示すように複数の状況計測部を併用する方法が考えられる。図６に示す状況計測部６０は、ＧＰＳ位置測定機能６１と、加速度検出機能６２と、筺体オープン検知スイッチ６３と、ＲＦＩＤ６４と、紛失防止用センサ６５とを備える。ＧＰＳ位置測定機能６１は上記したそれと同じものである。加速度検出機能部６２も図５（ａ）で説明済みの状況計測部１６５と同じものである。筺体オープン検知スイッチ６３も図５（ｂ）で説明済みの状況計測部１６５´と同じものである。ＲＦＩＤ６４は、例えば電波方式のアクティブタグの利用が考えられ、特定の会議室等の限定された位置情報を得るものである。紛失防止用センサ６５は、例えば、携帯端末とユーザ間を微弱電波の無線で接続し、電界強度が一定値以上あるか否かで携帯端末とユーザとの物理的な距離の大きさを測定するものである。このようにＧＰＳ位置測定機能６１〜紛失防止用センサ６５は、それぞれが状況計測部を構成するものである。これらの各状況計測部の出力する状況情報を、暗号化ファイル管理部１６２及びユーザ認証情報要求部１６４が並列に処理をして状況判断することで、状況判断の精度を向上させることができる。例えば、紛失防止用センサ６５の状況情報が、携帯端末とユーザとの距離が離れている状態を表わしている時に、加速度検出機能部６２が過大な加速度を検出した場合、緊急事態と判定するなどの対応が考えられる。このように複数の状況計測部を組み合わせて用いることで、状況判断の精度を向上させる効果が期待できる。
【００２６】
以上述べたように携帯端末用暗号化ファイル管理システム１０によれば、携帯端末１６を社内で使用する場合は、例えば通常のユーザＩＤとパスワードのみでユーザ認証を行う。携帯端末１６を社外で使用する場合は、例えば上長の許可を得ていることを表わす識別コードとユーザＩＤとパスワードでユーザ認証を行う。このように、状況で変化するセキュリティ強度の大きさに応じて暗号化ファイルを管理することができる。更に緊急事態の場合は、暗号化ファイルをロック又は消去するので、第三者による機密情報の悪用を完全に防止することが可能である。なお、状況情報に見合ったユーザ認証情報が得られない場合も、緊急事態と同様に暗号化ファイルをロック又は消去する例で説明を行ったが、その場合は、なりすましが難しい例えば生体情報等のユーザ認証情報を再度ユーザに求めるようにしても良い。
【実施例２】
【００２７】
この発明の携帯端末用暗号化ファイル管理システムの実施例２として、認証サーバ１２側に認証状況データ記録部１２５を備えた構成を説明する。実施例２は、認証サーバ１２側でも携帯端末の状況情報の判定を行うようにしたものである。認証状況データ記録部１２５を図１に破線で示す。携帯端末１６側の構成と動作は基本的には実施例１と同じであるが、認証要求時にユーザ認証情報に加えて状況情報を、認証サーバ１２に送信する点が異なる。実施例２の認証サーバ１２の動作フローを図７に示して説明する。
【００２８】
ステップＳ１２２３のユーザ認証までの動作フローは、状況情報の受信（ステップＳ１２２６）が加わった点のみが異なるだけで実施例１と同じである。認証サーバ１２のユーザ認証部１２２は、携帯端末１６から送信された状況情報を元に、認証状況データ記録部１２５を参照して状況認証を行う（ステップＳ１２２７）。携帯端末の状況が認証される（ステップＳ１２２８のＹ）と、ユーザ認証部１２２は、ユーザ認証と状況認証の結果が承認されたことを表わす認証結果と共通鍵を携帯端末に送信する（ステップＳ１２２４）。携帯端末の状況が否認される（ステップＳ１２２８のＮ）と、否認結果を携帯端末１６に送信する（ステップＳ１２２５）。
【００２９】
このように認証サーバ１２側でも携帯端末１６の状況を判断するようにすると、携帯端末用暗号化ファイル管理システムをより使い易くすることができる。例えば、上記した例のようにユーザが社外で携帯端末１６を使用する場合に、急な外出や出張で事前に上長の使用許可を得られない場合も考えられる。そのような場合には、実施例１に示した携帯端末１６側だけで状況情報を判断する方法では、社外で携帯端末を使用することができない。実施例２の構成であれば、外出後でも携帯端末を使用可能にすることが可能である。つまり、電子メールや電話等で外出先から上長に使用許可を願い出て、ＮＷ１４に接続された上長のＰＣから認証サーバ１２の認証状況データ記録部１２４に使用許可情報を書き込んでもらえば良い。このように認証サーバ１２に認証状況データ記録部１２５を設け、認証サーバ１２側でも携帯端末の状況の認証を行うようにすることで、携帯端末用暗号化ファイル管理システムの使い勝手をより良くすることが可能になる。
【００３０】
また、認証サーバ１２側が主導権を持ってより積極的に携帯端末の暗号化ファイルの管理を行うことも可能になる。例えば、盗まれた携帯端末１６から認証サーバ１２に認証要求があった場合、事前に認証状況データ記録部１２５に盗難された携帯端末である情報を書き込んで置くことで、直ちに携帯端末１６の暗号化ファイル１６３ａを消去するように携帯端末１６を制御することも可能である。
【実施例３】
【００３１】
この発明の携帯端末用暗号化ファイル管理システムの実施例３として、携帯端末１６に状況情報だけを記録する状況データ記録部１６６を設けた構成例を示す。実施例１と２の説明は、状況計測部１６５が携帯端末を使用する時だけ動作する前提で行った。例えば、携帯端末１６を使用する場所の緯度経度情報を、ＧＰＳ位置測定機能でその都度測定していた。それらの状況情報の履歴が必要な場合は、例えば制御部１６６を形成するＲＡＭ、又は、暗号化ファイル１６３ａが記録された記録部１６３（ＨＤＤ）に記録することになる。
【００３２】
状況情報の履歴は重要な情報であるため、悪意の第三者による改竄を容易にできないようにする必要がある。しかし、通常のＰＣのＲＡＭやＨＤＤに記録したのでは、第三者に容易に発見されて改竄されてしまう恐れがある。状況情報の情報量は、暗号化ファイル１６３ａ等と比較すると小さな情報量なので、容量の小さなフラッシュメモリー(flash memory)に独立させて記録することで、第三者からの発見を難しくすることができる。また、状況データ記録部１６６を耐タンパ性能を持ったチップで構成することで、更に第三者による状況情報の改竄を困難にすることができる。耐タンパ性とは、物理的かつ論理的に内部の情報を読み取られることに対する耐性のことである。
【００３３】
状況情報の履歴の改竄を容易にできないようにすることで、状況情報の履歴を状況情報として積極的に利用することが考えられる。例えば、携帯端末の緯度経度情報の履歴が、出張計画と合っているかは、有効な状況情報の判断基準になる。また、状況計測部１６５と状況データ記録部１６６を、ユーザが携帯端末を使用しない時に動作させることでより有効な状況情報を得ることができる。例えば、上記した加速度検出機能による状態計測部は、携帯端末１６を未使用時にも連続して計測可能にすることで、携帯端末１６がどのように扱われたかについてのより正確な情報を得ることが可能になる。
【００３４】
このように携帯端末に状況データ記録部１６６を設けることで、悪意の第三者による改竄を容易にできないようにすると共に、状況情報の履歴を有効に利用できるようにする効果が得られる。
【００３５】
なお、上記した出張計画と携帯端末の位置情報の履歴との整合を見て携帯端末の状況情報を判断する方式を、例えば状態遷移方式とすると、他に危険度点数方式やルール方式が考えられる。危険度点数方式とは、図６で説明した複数の状況計測部を併用する場合において、各状況計測部の出力する状況情報のそれぞれに点数を付けて、その点数の合計で携帯端末の状況を判断する方式である。例えば、筺体オープンスイッチ６３が開放された場合は１００点、また、ユーザが携帯端末１６から離れている状況を４０点、その状況において過大な加速度が携帯端末１６に加わった場合を６０点としてその合計が１００点になったら緊急事態とする方式である。ルール方式は、上記した例のように社外で携帯端末を使用する場合は上長の許可を必要とするといったように、その状況に応じた規則を予め決めておくものである。なお、これらの方式を組み合わせて使って携帯端末の状況を判断しても良い。
【００３６】
また、緊急事態を判断する方法として状況計測部１６５が、ハードウェアで状態を検出する例のみを示して説明を行ったが、ユーザ認証情報をソフトウェアで処理して緊急事態を判断する方法もある。例えば、ユーザ認証の基本情報であるユーザＩＤを複数回間違える場合や、存在しないユーザＩＤで何度も認証要求されることは通常は考えられない。このような異常な状況を、ソフトウェアで検出して緊急事態と判断しても良い。また、携帯端末１６を接続しているネットワークの種類をＰＳＩＤ等で分類して、携帯端末１６の位置をソフトウェアで論理的に求める状況計測部も考えられる。その状況計測部を、論理的な位置検出部６６として図６に破線で示す。
【００３７】
以上述べたように、この発明の携帯端末用暗号化ファイル管理システムは、携帯端末の置かれた状況の変化を検出して、その状況変化に見合ったセキュリティ強度でファイル管理を行う考えである。この発明の技術思想に基づく携帯端末用暗号化ファイル管理システムとその方法と、それらの装置は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能である。例えば、携帯端末１６はノートＰＣを想定した例で説明を行ったが、暗号化ファイル管理部１６２と記録部１６３のみの機能を、例えばＵＳＢポートに直接挿入されるＵＳＢメモリの形状で構成しても良い。その場合は、ユーザ認証情報要求部１６４と、状況計測部１６５と、制御部１６６の各機能は、そのＵＳＢメモリ形状をしたこの発明の携帯端末が挿入される例えばノートＰＣ側のものを使用する。このように、携帯端末の形態も一台のノートＰＣに限定されない。
【００３８】
また、上記した実施例は、携帯端末１６と認証サーバ１２とがオンラインの場合を説明したが、携帯端末１６をオフラインで用いることも当然できる。その場合の携帯端末１６の動作フローを図８に示す。オンラインの動作フローの図３とは、認証サーバ１２とのやり取りの部分ステップＳ１６２２ａ〜ステップＳ１６２２ｃが無いことが異なるだけである。このように携帯端末をオフラインで使用しても、携帯端末の置かれた状況に応じて十分な安全性を確保しながら暗号化ファイルの復号化を行うことが可能である。
【００３９】
なお、上記した方法及び装置において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
【００４０】
また、上記装置における処理手段をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、各装置における処理手段がコンピュータ上で実現される。
【００４１】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ-ＲＡＭ（Random Access Memory）、ＣＤ-ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ-Ｒ（Recordable）/ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto Optical disc）等を、半導体メモリとしてフラッシュメモリー等を用いることができる。
【００４２】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記録装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００４３】
また、各手段は、コンピュータ上で所定のプログラムを実行させることにより構成することにしてもよいし、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【図面の簡単な説明】
【００４４】
【図１】この発明の携帯端末用暗号化ファイル管理システム１０のシステム構成を示す図。
【図２】携帯端末用暗号化ファイル管理システム１０における認証サーバ１２と携帯端末１６の動作シーケンスを示す図。
【図３】携帯端末１６の動作フローを示す図。
【図４】認証サーバ１２の動作フローを示す図。
【図５】状況計測部１６５の一例を示す図であり、（ａ）は加速度検出部、（ｂ）は筺体オープンスイッチで構成される状況計測部を示す。
【図６】複数の状況計測部を併用する方法を示す図。
【図７】実施例２の認証サーバの動作フローを示す図。
【図８】携帯端末１６がオフラインで動作する場合の動作フローを示す図。
【図９】特許文献１に開示されたモバイル端末管理システムのシステム構成を示す図。
【特許請求の範囲】
【請求項１】
ネットワークに接続され、ユーザの操作によりユーザ認証を要求し、保存している暗号化ファイルを復号化する携帯端末と、
上記ユーザ認証を行う認証サーバと、
から成る携帯端末用暗号化ファイル管理システムにおいて、
上記携帯端末が、
上記携帯端末の状況を計測して状況情報を出力する状況計測部と、
上記状況情報に応じたユーザ認証情報を上記ユーザに要求するユーザ認証情報要求部と、
暗号化されたファイルを保存する記録部と、
上記ユーザ認証情報と上記状況情報と、上記認証サーバから入力される認証結果を入力として、上記状況情報に見合った上記ユーザ認証情報の場合で、且つ、上記認証結果が承認された場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理部と、
を備えた携帯端末用暗号化ファイル管理システム。
【請求項２】
請求項１に記載の携帯端末用暗号化ファイル管理システムにおいて、
上記認証サーバは、認証状況データ記録部を備え、
上記暗号化ファイル管理部は、上記状況情報と上記ユーザ認証情報とを上記認証サーバに送信して認証要求し、
上記認証サーバは、上記認証要求に対して上記認証状況データ記録部を参照してユーザを認証することを特徴とする携帯端末用暗号化ファイル管理システム。
【請求項３】
請求項１又は２に記載の携帯端末用暗号化ファイル管理システムにおいて、
上記携帯端末は、状況データ記録部を更に備え、
上記状況計測部は、上記携帯端末の未使用時にも動作して上記携帯端末の状況を計測し、上記状況データ記録部に上記計測結果を記録することを特徴とする携帯端末用暗号化ファイル管理システム。
【請求項４】
認証サーバが、携帯端末から送信されるユーザ認証情報を認証する認証過程を含み、
上記携帯端末が、
上記携帯端末の状況を計測して状況情報を出力する状況計測過程と、
上記状況情報に応じたユーザ認証情報を上記ユーザに要求するユーザ認証情報要求過程と、
上記ユーザ認証情報と上記状況情報を入力として、上記状況情報に見合った上記ユーザ認証情報の場合で、且つ、上記認証過程の結果が承認された場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理過程と、
を含むことを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項５】
請求項４に記載の携帯端末用暗号化ファイル管理方法において、
上記認証過程は、上記状況情報と上記ユーザ認証情報とを入力とし、認証状況データ記録部を参照してユーザを認証する過程であることを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項６】
請求項４又は５に記載の携帯端末用暗号化ファイル管理方法において、
上記状況計測過程は、上記携帯端末が未使用時にも行われて上記携帯端末の状況を計測し、上記状況データ記録部に上記計測結果を記録する過程であることを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項７】
ネットワークに接続されている時は、認証サーバにユーザ認証を要求し、ネットワークに未接続の時は、携帯端末単体でユーザを認証する携帯端末装置であって、
上記携帯端末の状況を計測して状況情報を出力する状況計測部と、
上記状況情報に応じたユーザ認証情報を要求してユーザを認証するユーザ認証部と、
暗号化されたファイルを保存する記録部と、
上記ユーザ認証情報と上記状況情報とを入力として、上記状況情報に見合った上記ユーザ認証情報の場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理部と、
を備えた携帯端末装置。
【請求項８】
請求項７に記載の携帯端末装置において、
上記状況計測部が計測した結果を記録する状況データ記録部を更に備えたことを特徴とする携帯端末装置。
【請求項９】
ネットワークに接続されたユーザを認証する認証サーバ装置であって、
認証サーバ装置は、認証状況データ記録部を備え、認証要求に対して上記認証状況データ記録部を参照してユーザを認証することを特徴とする認証サーバ装置。
【請求項１０】
請求項７乃至９の何れかに記載した各装置としてコンピュータを機能させるための装置プログラム。
【請求項１】
ネットワークに接続され、ユーザの操作によりユーザ認証を要求し、保存している暗号化ファイルを復号化する携帯端末と、
上記ユーザ認証を行う認証サーバと、
から成る携帯端末用暗号化ファイル管理システムにおいて、
上記携帯端末が、
上記携帯端末の状況を計測して状況情報を出力する状況計測部と、
上記状況情報に応じたユーザ認証情報を上記ユーザに要求するユーザ認証情報要求部と、
暗号化されたファイルを保存する記録部と、
上記ユーザ認証情報と上記状況情報と、上記認証サーバから入力される認証結果を入力として、上記状況情報に見合った上記ユーザ認証情報の場合で、且つ、上記認証結果が承認された場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理部と、
を備えた携帯端末用暗号化ファイル管理システム。
【請求項２】
請求項１に記載の携帯端末用暗号化ファイル管理システムにおいて、
上記認証サーバは、認証状況データ記録部を備え、
上記暗号化ファイル管理部は、上記状況情報と上記ユーザ認証情報とを上記認証サーバに送信して認証要求し、
上記認証サーバは、上記認証要求に対して上記認証状況データ記録部を参照してユーザを認証することを特徴とする携帯端末用暗号化ファイル管理システム。
【請求項３】
請求項１又は２に記載の携帯端末用暗号化ファイル管理システムにおいて、
上記携帯端末は、状況データ記録部を更に備え、
上記状況計測部は、上記携帯端末の未使用時にも動作して上記携帯端末の状況を計測し、上記状況データ記録部に上記計測結果を記録することを特徴とする携帯端末用暗号化ファイル管理システム。
【請求項４】
認証サーバが、携帯端末から送信されるユーザ認証情報を認証する認証過程を含み、
上記携帯端末が、
上記携帯端末の状況を計測して状況情報を出力する状況計測過程と、
上記状況情報に応じたユーザ認証情報を上記ユーザに要求するユーザ認証情報要求過程と、
上記ユーザ認証情報と上記状況情報を入力として、上記状況情報に見合った上記ユーザ認証情報の場合で、且つ、上記認証過程の結果が承認された場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理過程と、
を含むことを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項５】
請求項４に記載の携帯端末用暗号化ファイル管理方法において、
上記認証過程は、上記状況情報と上記ユーザ認証情報とを入力とし、認証状況データ記録部を参照してユーザを認証する過程であることを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項６】
請求項４又は５に記載の携帯端末用暗号化ファイル管理方法において、
上記状況計測過程は、上記携帯端末が未使用時にも行われて上記携帯端末の状況を計測し、上記状況データ記録部に上記計測結果を記録する過程であることを特徴とする携帯端末用暗号化ファイル管理方法。
【請求項７】
ネットワークに接続されている時は、認証サーバにユーザ認証を要求し、ネットワークに未接続の時は、携帯端末単体でユーザを認証する携帯端末装置であって、
上記携帯端末の状況を計測して状況情報を出力する状況計測部と、
上記状況情報に応じたユーザ認証情報を要求してユーザを認証するユーザ認証部と、
暗号化されたファイルを保存する記録部と、
上記ユーザ認証情報と上記状況情報とを入力として、上記状況情報に見合った上記ユーザ認証情報の場合に、上記暗号化されたファイルの復号化を行う暗号化ファイル管理部と、
を備えた携帯端末装置。
【請求項８】
請求項７に記載の携帯端末装置において、
上記状況計測部が計測した結果を記録する状況データ記録部を更に備えたことを特徴とする携帯端末装置。
【請求項９】
ネットワークに接続されたユーザを認証する認証サーバ装置であって、
認証サーバ装置は、認証状況データ記録部を備え、認証要求に対して上記認証状況データ記録部を参照してユーザを認証することを特徴とする認証サーバ装置。
【請求項１０】
請求項７乃至９の何れかに記載した各装置としてコンピュータを機能させるための装置プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００９−２４４９５５（Ｐ２００９−２４４９５５Ａ）
【公開日】平成２１年１０月２２日（２００９．１０．２２）
【国際特許分類】
【出願番号】特願２００８−８７６７９（Ｐ２００８−８７６７９）
【出願日】平成２０年３月２８日（２００８．３．２８）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２１年１０月２２日（２００９．１０．２２）
【国際特許分類】
【出願日】平成２０年３月２８日（２００８．３．２８）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]