文書管理システム、文書操作装置及びプログラム
【課題】ポリシー管理装置と通信できない文書操作装置でも、ポリシー管理装置のセキュリティポリシーに従って、紙文書に対するユーザの操作を制御できるようにする。
【解決手段】ポリシー管理装置１０内の各ポリシーには一意な秘密鍵と公開鍵が割り当てられる。チケット発行装置１４はユーザのトークン２１０に対し、ポリシー管理装置１０内のユーザに関連するポリシーの秘密鍵に対応するチケット情報とそのポリシーに対応する操作条件とが公開鍵と対応づけて書き込まれる。印刷装置１２は、印刷した紙文書２２０に対しその文書に対応するポリシーの公開鍵を埋め込む。ユーザが紙文書２２０とトークン２１０をセットし、紙文書２２０への操作を指示すると、文書操作装置１００は紙文書２２０の公開鍵を読み取り、その公開鍵と操作内容と乱数とをトークン２１０に送り、トークン２１０からの応答がその公開鍵で復号できる場合に操作を実行する。
【解決手段】ポリシー管理装置１０内の各ポリシーには一意な秘密鍵と公開鍵が割り当てられる。チケット発行装置１４はユーザのトークン２１０に対し、ポリシー管理装置１０内のユーザに関連するポリシーの秘密鍵に対応するチケット情報とそのポリシーに対応する操作条件とが公開鍵と対応づけて書き込まれる。印刷装置１２は、印刷した紙文書２２０に対しその文書に対応するポリシーの公開鍵を埋め込む。ユーザが紙文書２２０とトークン２１０をセットし、紙文書２２０への操作を指示すると、文書操作装置１００は紙文書２２０の公開鍵を読み取り、その公開鍵と操作内容と乱数とをトークン２１０に送り、トークン２１０からの応答がその公開鍵で復号できる場合に操作を実行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、文書管理システム、文書操作装置及びプログラムに関する。
【背景技術】
【０００２】
特許文献１に開示された画像処理装置は、非対称公開鍵暗号方式に基づく公開鍵を、複写動作時に紙文書上に人間の視覚には目立ちにくい形で埋め込む暗号鍵画像生成部を有する。ユーザは、その紙文書を複写する場合、画像処理装置に秘密鍵を入力する。入力した秘密鍵が紙文書の公開鍵に対応する正しいものである場合にのみ、画像処理装置はその紙文書を複写する。
特許文献２に開示された装置は、紙面に文書を作成した個人の情報と機密レベルから決まる情報を埋め込む。そして、その紙文書をその装置で利用する際に、認証したユーザの個人情報と、紙面に埋め込まれた個人情報と機密レベルとから、操作の可否の判定を行う。
【０００３】
特許文献３に開示されたシステムでは、スキャンした紙文書の画像を暗号化し、セキュリティポリシーと結びつけて保存する。保存した文書の印刷が指示された場合には、指示したユーザを認証し、そのユーザがその文書を印刷する権利を持つかどうかをその文書に対応づけられたセキュリティポリシーにより確認し、印刷可と確認された場合のみ、暗号化された画像を復号して印刷する。
【０００４】
特許文献４に開示されたシステムでは、文書を用紙に印刷する際に、その文書にあらかじめ設定されているセキュリティレベルをその用紙のＲＦＩＤ(Radio Frequency IDentification)タグに書き込む。ユーザの持つＩＤカードには、そのユーザのセキュリティレベルが書き込まれている。ユーザが出力機器に紙文書をセットし、複写やＦＡＸ送信等の処理の実行を指示すると、出力機器はその紙文書のＲＦＩＤタグのセキュリティレベルと、そのユーザのＩＤカードのセキュリティレベルを比較し、後者が前者を下回る場合には処理を実行しない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１１−２１５３５１号公報
【特許文献２】特開２００６−１６７９８６号公報
【特許文献３】特開２００７−０２６１０９号公報
【特許文献４】特開２００７−１６８３７２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できるようにすることを目的とする。
【課題を解決するための手段】
【０００７】
請求項１に係る発明は、ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、ユーザが携帯する携帯証明装置と、前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、を備え、前記文書操作装置は、前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備え、前記携帯証明装置は、前記文書操作装置の前記送信手段から受け取った前記問合せに含まれる前記操作が、当該携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件を満たす場合に、当該携帯証明装置が記憶する認証補助情報のうち当該問合せに含まれる前記公開鍵情報に対応する認証補助情報と、当該携帯証明装置の前記固有情報と、当該問合せに含まれる認証用データとを用いて、検証データを生成する検証データ生成手段と、生成された検証データを前記文書操作装置に返信する返信手段と、を備える、文書管理システムである。
【０００８】
請求項２に係る発明は、前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、前記検証データ生成手段は、前記認証補助情報と前記固有情報と前記認証用データとに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、ことをと特徴とする請求項１に記載の文書管理システムである。
【０００９】
請求項３に係る発明は、紙文書に対する操作の指示をユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備える文書操作装置である。
【００１０】
請求項４に係る発明は、コンピュータを、紙文書に対する操作の指示をユーザから受け付ける指示受付手段、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、として機能させるためのプログラムである。
【００１１】
請求項５に係る発明は、ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、ユーザが携帯する携帯証明装置と、前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、を備え、前記文書操作装置は、前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備え、前記携帯証明装置は、当該携帯証明装置が記憶する認証補助情報のうち前記文書操作装置の前記送信手段から受け取った問合せに含まれる前記認証用データと、当該携帯証明装置の前記固有情報と、を用いて、検証補助データを生成する検証補助データ生成手段と、当該携帯証明装置が記憶する文書操作条件及び認証補助情報のうち前記問合せに含まれる前記公開鍵情報に対応する文書操作条件及び認証補助情報と、前記検証補助データとを含む応答データを前記文書操作装置に返信する返信手段と、を備える、文書管理システムである。
【００１２】
請求項６に係る発明は、前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、前記検証補助データ生成手段は、前記認証用データと前記固有情報とに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、ことをと特徴とする請求項５に記載の文書管理システムである。
【００１３】
請求項７に係る発明は、紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備える文書操作装置である。
【００１４】
請求項８に係る発明は、紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、として機能させるためのプログラムである。
【発明の効果】
【００１５】
請求項１，３，４に係る発明によれば、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できる。
【００１６】
請求項２に係る発明によれば、携帯証明装置内に記憶された文書操作条件が改ざんされた場合に、紙文書に対する操作が実行されないようにすることができる。
【００１７】
請求項５，７，８に係る発明によれば、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できるとともに、更に文書操作条件が満たされるかどうかの検査を文書操作装置側で行うことができる。
【００１８】
請求項６に係る発明によれば、携帯証明装置内に記憶された文書操作条件が改ざんされた場合に、紙文書に対する操作が実行されないようにすることができる。
【図面の簡単な説明】
【００１９】
【図１】実施形態のシステム構成の例を示す図である。
【図２】ポリシー定義のデータ内容の一例を示す図である。
【図３】文書管理情報のデータ内容の一例を示す図である。
【図４】チケット発行装置が管理する、ユーザＩＤとトークン固有秘密情報との対応を表す情報の一例を示す図である。
【図５】ディレクトリサーバが記憶するユーザとグループの対応関係を示す情報の例を示す図である。
【図６】文書操作装置の内部構成の一例を示す図である。
【図７】実施形態のシステムでの処理の流れの例を説明するためのシーケンス図である。
【図８】変形例における処理の流れの例を説明するためのシーケンス図である。
【図９】第２の変形例における公開鍵テーブルの一例を示す図である。
【発明を実施するための形態】
【００２０】
図１に、実施形態のシステム構成の一例を示す。このシステムは、ローカルエリアネットワークなどのネットワーク１８に接続されたポリシー管理装置１０、印刷装置１２、チケット発行装置１４、ディレクトリサーバ１６、及びＰＣ（パーソナルコンピュータ）２０と、そのネットワーク１８に接続されていない文書操作装置１００とを含んでいる。
【００２１】
ポリシー管理装置１０は、管理対象の文書についてのセキュリティ（情報保護）のための制御又は管理を行う装置である。管理対象の文書には、紙文書も電子文書も含まれる。ここで、電子文書とは、文書をあらかじめ定められたデータ形式で表現した電子的なデータである。電子文書には、例えば、ワードプロセッサや表計算等のアプリケーションで作成された文書ファイルも、紙文書をスキャンして得た画像データファイルも含まれる。紙文書は、紙面に文書内容を筆記又は印刷したものである。このポリシー管理装置１０での管理対象となる紙文書は、ポリシー管理装置１０に登録された管理対象の電子文書を印刷したものである。すなわち、このシステムでは、ポリシー管理装置１０が管理する電子文書には、当該文書を一意に示す識別情報、すなわちこの実施形態では文書公開鍵、が付与されている。その電子文書を印刷する際に、その識別情報が文書内容と共に用紙に印刷されたり、用紙に装着されたＲＦＩＤタグなどの記録媒体に書き込まれたりすることで、印刷結果の紙文書が、ポリシー管理装置１０の管理対象となる。
【００２２】
ポリシー管理装置１０は、各電子文書（ひいてはその印刷結果の紙文書）に対してセキュリティポリシー（以下、単に「ポリシー」と呼ぶ）を割り当てる。ポリシーは、各ユーザが文書に対してどのような操作を許可されているのかを記述した情報であり、逆の観点で言えば、ポリシーは、各ユーザが電子文書の操作についてどのような制限を受けるのかを表す情報である。ポリシーは、文書の保護方針を示す文書保護方針情報と呼ぶこともできる。なお、文書に対する操作には、例えば閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信などが含まれる。
【００２３】
ユーザがある電子文書に対するある操作を要求した場合、ポリシー管理装置１０がその電子文書に割り当てられたポリシーを参照することで、そのユーザがその電子文書に対してその操作を許可されているか否かを判定する。そして、許可されている場合にのみ要求が受け入れられる。なお、後述するように、ユーザのみではなく、ユーザが属するグループに許可される操作か否かを含めて判定するようにしてもよい。
【００２４】
このような制御のために、ポリシー管理装置１０は、個々のポリシーを定義するポリシー定義情報と、各文書に対しどのポリシーが割り当てられているのかを示す文書管理情報とを記憶している。
【００２５】
図２にポリシー定義情報のデータ内容の一例を例示する。この例では、１つのポリシーのポリシー定義情報には、そのポリシーの識別情報である「ポリシーＩＤ」、そのポリシーの「名称」、そのポリシーを作成した「作成者」の識別情報、そのポリシーに付与された「公開鍵」と「秘密鍵」の鍵ペア、及びそのポリシーの内容を示す情報が含まれる。ポリシーの内容を示す情報は、例えば、そのポリシーが割り当てられた文書に対する操作が許可されるユーザ（「対象」）ごとに、そのユーザに許可される操作の種類のリストと、その許可の有効期限を示す情報とを含む。なお、「対象」の一例として図２に示された「マネージャ」は、組織内でのユーザの職位の一種であり、各部署の「マネージャ」から構成されるグループと解することができる。
【００２６】
図２の例では、ポリシーＩＤが「P0012002」のポリシーは、「名称」が「プロジェクトX公開資料」であり、「社員A」が作成し、「開発部１課」のメンバーにはポリシーの適用、ポリシーが適用された文書に対する閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることなどを示している。また、この例ではＲＳＡ公開鍵暗号を前提としており、「公開鍵」＝(e, n)のうちのeが「AQAB」、nが「Iga9Y7kaeT78ar83aTlIohK3...」であり、秘密鍵dが「A478SeouGa4REraIE34qk....」であることを示している。なお、e, nはいずれもBASE64形式で表現している。
【００２７】
図３に文書管理情報の一例を示す。この例では、個々の文書ごとに、その識別情報である「文書ＩＤ」、その文書に適用されたポリシーの「ポリシーＩＤ」、その文書をポリシー管理装置１０に登録した「登録者」のユーザＩＤ、及びその登録が行われた「登録日時」が含まれる。
【００２８】
図２及び図３の例では、文書ＩＤが「D000000132000」の文書は、「開発部１課」のメンバーに対し、閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることが分かる。
【００２９】
なお、文書に対するポリシーの割り当ては、例えば、その文書の作成者或いは管理者が公知の方法で行えばよい。
【００３０】
再び図１の説明に戻ると、ユーザが、例えばＰＣ２０を操作することで、ポリシーが割り当てられた電子文書に対するある操作（例えば印刷）を要求したとする。この場合、その電子文書の文書ＩＤと、要求したユーザのユーザＩＤと、そのユーザが要求した操作の種類を示す情報を含んだ問合せがそのＰＣ２０からポリシー管理装置１０に送られる。ポリシー管理装置１０は、その問合せに係る文書ＩＤに対応するポリシーＩＤを文書管理情報から特定し、問合せに含まれるユーザＩＤに対し、その問合せ内の操作の種類が許可されるかどうかを、そのポリシーＩＤに対応するポリシー定義を参照して判定し、その判定結果を含む応答をＰＣ２０に返す。ＰＣ２０は、その応答が許可を示す場合はユーザから要求された操作をその文書に対して実行し、その応答が不許可を示す場合はその操作を実行せずに、エラー処理（例えば「その操作は許可されていません」などのエラーメッセージの表示）を行う。
【００３１】
ネットワーク１８に接続された印刷装置１２は、ユーザ２００からのＰＣ２０を介する指示に応じて、電子文書を用紙に印刷して出力する。印刷装置１２は、印刷のみの単機能の装置であってもよいし、ネットワーク通信可能な複写機又は複合機（印刷、スキャン、コピー、ＦＡＸ送信などの機能を兼ね備えた装置）であってもよい。
【００３２】
ここで、印刷対象の電子文書がポリシー管理装置１０により管理されている文書（すなわち、図３に例示した文書管理情報にポリシーとの対応付けが登録されている文書）である場合は、ポリシー管理装置１０で印刷が許可された場合にのみ印刷装置１２は印刷を実行する。また、この場合、印刷装置１２は、その電子文書に割り当てられたポリシーの公開鍵(e, n)を、その電子文書の印刷結果である紙文書２２０に埋め込む。
【００３３】
公開鍵の埋込は、例えば公開鍵を、文字列、或いはバーコードなどの画像コード２２２のように機械により認識できる形式で表現したものを、電子文書が表す画像と共に用紙（例えば用紙紙面上のあらかじめ指定された位置）に印刷することで行えばよい。例えば、ＰＣ２０が電子文書の画像内容に公開鍵を表す文字列又は画像コード２２２を重畳した画像を表す（例えばページ記述言語で記述された）印刷データを生成して印刷装置１２に送ってもよい。また、印刷装置１２が、公開鍵の文字列又は画像コードを電子文書の画像に重畳してもよい。
【００３４】
また、用紙にＲＦＩＤタグ等のような読み書き可能なメモリを含んだデバイスが装着されている場合は、印刷装置１２は、そのデバイスに対してデータを書き込む書込装置により、そのデバイスに対して公開鍵を書き込んでもよい。
【００３５】
また、紙文書２２０に埋め込む公開鍵は、ポリシー管理装置１０が印刷許可の旨の応答に対応づける形でＰＣ２０（ＰＣ２０が印刷可否の問合せを行う場合）又は印刷装置１２（印刷装置１２が問合せを行う場合）に提供すればよい。また、この代わりに、ＰＣ２０に配布される電子文書に対し、その公開鍵の情報を属性情報として持たせておき、ＰＣ２０がポリシー管理装置１０から印刷の許可を受けると、その公開鍵を印刷装置１２に渡して印刷或いはデバイスへの書き込みを指示するようにしてもよい。
【００３６】
このような紙文書２２０への情報の埋込については、従来様々な方式が開発されており、この実施形態ではそれら従来のどの方式を用いてもよい。
【００３７】
なお、以上では、公開鍵(e, n)を用紙に埋め込むとしたが、実施形態のシステム全体でeを固定値とし、nのみがポリシーごとに異なるようにして、用紙にはnのみを埋め込むようにしてもよい。
【００３８】
ＰＣ２０は、ユーザが操作するパーソナルコンピュータであり、インストールされた各種のアプリケーションにより、電子文書に対して操作を行う。この例では、ＰＣ２０には、トークンリーダライタ２２が接続されている。トークンリーダライタ２２は、ユーザが携帯するトークン２１０に対してデータを読み書きするための装置である。
【００３９】
トークン２１０は、各ユーザに対してそれぞれ一意に割り当てられた身分証であり、データを格納するメモリと、後述する認証のための演算処理を実行するプロセッサ、及びその演算処理を記述したプログラムを有する。トークン２１０は、例えば接触式又は非接触式で外部とデータのやりとりが可能なＩＣカードやＵＳＢトークンなどの形のものでよい。
【００４０】
トークン２１０が備えるメモリには、当該トークン２１０に一意的に付与された固有秘密情報(u)と、チケット発行装置１４より発行されたチケット(T)が記憶される。固有秘密情報(u)は、トークン２１０自体（ひいてはそれを携帯するユーザ）のいわば認証情報であり、この情報は書き換えできないようになっている。チケット(T)は、当該トークン２１０が割り当てられたユーザに対して付与された、文書に対する操作の許可条件を示す情報である。チケット(T)は、当該ユーザに何らかの操作を許可しているポリシーごとに、チケット発行装置１４から発行される。トークン２１０内のメモリには、複数のチケット(T)を記憶することもできる。なお、チケット(T)が含む情報内容の具体的な例については、後で詳しく説明する。
【００４１】
また、トークン２１０のプロセッサは、後述するスタンドアローンの文書操作装置１００に対してユーザが紙文書を投入し、その紙文書に対する操作を要求した場合に、文書操作装置１００からチャレンジ(C) として、乱数(r)、当該紙文書の公開鍵(e,n)、ユーザ２００が要求した操作内容(o)の組を受け取ると、公開鍵(e,n)に対応するチケット(T)を特定し、要求された操作内容(o)がチケット(T)に記載された条件(L)を満たすことを確認した後、チケット(T)に含まれるチケット鍵(t)と、条件(L)と、トークン固有秘密情報(u)と、乱数(r) とからレスポンス(R)を計算し、文書操作装置１００へ返す。
【００４２】
ＰＣ２０には、チケット発行装置１４からチケット(T)を取得し、トークンリーダライタ２２を介してトークン２１０に書き込むためのプログラムがインストールされている。ユーザ２００が、ＰＣ２０のそのプログラムを起動して、チケット発行装置１４にチケット(T)の発行を要求すると、チケット発行装置１４がそのユーザ２００に対応するチケット(T)を発行する。そのプログラムは、チケット発行装置１４から発行されたチケット(T)をトークンリーダライタ２２にセットされたトークン２１０に書き込む。
【００４３】
なお、この例ではユーザ２００は、トークンリーダライタ２２を備えるＰＣ２０を操作してチケット(T)を取得したが、この他にも、ネットワーク１８に接続された複合機等、トークンリーダライタ２２を備える他の種類の装置を介してチケット(T)をトークン２１０に取得してもよい。
【００４４】
チケット発行装置１４は、ユーザ２００からの要求に応じて、そのユーザ２００に対応するチケット(T)を発行する。チケット発行装置１４は、各ユーザ２００のトークン２１０ごとのトークン固有秘密情報(u)と、どのトークンがどのユーザ２００に所持されているかを表す情報（例えば、図４に例示する、ユーザＩＤとトークン固有秘密情報との対応を表す情報）とを管理している。そして、ポリシー管理装置１０にて管理されるポリシーにて文書に対する操作が許可されているユーザが所持するトークン２１０に対し、少なくともポリシーに関連付けられた秘密鍵(d)と、そのトークン２１０の固有秘密情報(u)と、ポリシーに記述されている操作の内容（図２における「許可される操作」）としての条件(L)と、からチケット鍵(t)を生成し、チケット鍵(t)、条件(L)、及びそのポリシーの公開鍵(e, n)の組を含んだチケット(T)を発行する。
【００４５】
例えば、このチケット発行の処理では、まずユーザ２００がＰＣ２０を操作して、ネットワーク１８を介してチケット発行装置１４にログインし、チケット発行を要求する。チケット発行装置１４は、そのユーザ２００に割り当てられたトークン２１０の固有秘密情報(u)を読み出すと共に、ポリシー管理装置１０に対してそのユーザに対して何らかの操作を許可しているポリシーの情報を要求する。この要求に対し、ポリシー管理装置１０は、自らが管理しているポリシー定義情報を調べることで、そのユーザに対して何らかの操作を許可しているポリシーを特定し、特定したポリシーごとに、そのポリシーの公開鍵(e, n)（eをシステムで固定としている場合はnのみでもよい）と、そのユーザに対して「許可される操作」のリストと、その許可の「有効期限」と、を含んだ情報をチケット発行装置１４に返す。そのユーザに対して「許可される操作」は、そのユーザ個人に対して許可される操作だけでなく、そのユーザが属するグループに対して許可される操作も含まれる。ユーザがどのグループに属するかは、ディレクトリサーバ１６を参照して特定すればよい。ディレクトリサーバ１６には、図５に例示するように、各ユーザが所属するグループを表す情報が記憶されている。
【００４６】
このチケット発行装置１４のチケット発行処理の流れを、具体例を用いて説明する。ＰＣ２０から社員Aが所有するトークンに対するチケットの発行を要求された場合、チケット発行装置１４は、ポリシー管理装置１０に対し社員Aが関連するポリシーの問い合わせを行う。ポリシー管理装置１０は、図２のポリシー定義情報、及びディレクトリサーバ１６が持つ図５のグループ情報から、社員Aは「プロジェクトX公開資料」のポリシーに関係しており、該ポリシーが割り当てられた文書に対し、閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることが分かる。なお、操作「適用」は、当該ポリシーを文書に対して適用（割り当て）する操作であり、既にポリシー割り当てを受けてポリシー管理装置１０に登録された文書に対してはそのような操作は不要なので、この場合許可される操作のリストには「適用」は含まれない。ポリシー管理装置１０は、そのポリシーの公開鍵（e＝「AQAB」、n＝「Iga9Y7kaeT78ar83aTlIohK3...」）と、許可される操作のリスト（閲覧、編集、印刷、スキャン、コピー、ＦＡＸ）と、許可の有効期限（2020年12月31日）の情報と、を含む応答をチケット発行装置１４に返す。
【００４７】
この応答を受け取ったチケット発行装置１４は、条件(L)を以下のように定める。
L = "operation=[view,edit,print,scan,copy,fax]; valid_to=[2020-12-31]"
ここで、"operation=[]"は、許可される操作のリストを表し、その内容"[view,edit,print,scan,copy,fax]"はこの順に閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の各操作種類を表す。また、"valid_to=[2020-12-31]"は、その許可される操作のリストの有効期限が020年12月31日であることを示す。また、チケット発行装置１４は、チケット鍵(t)を以下の式により算出する。
t = d - f(u, n, L) mod Φ(n)
【００４８】
ここで、f(u, n, L)はトークン固有秘密情報(u)、公開鍵の法数(n)、及び条件(L)を引数に取る一方向性関数であり、例えばSHAなどのセキュアハッシュ関数がその一例である。Φ(n)はオイラー関数であり、RSA暗号でn=p*qの場合、Φ(n)=(p-1)(q-1)となる。
【００４９】
そして、チケット発行装置１４は、求めた条件(L)とチケット鍵(t)と公開鍵(e, n)との組み合わせを含んだ情報をチケット(T)として生成し、ＰＣ２０を介してトークン２１０に配布する。
【００５０】
ここで、社員Fのように"P0012002"のポリシーにおいて、「開発２課」としての立場と、「マネージャ」としての立場で条件が異なる場合は、両方の権利（すなわち、許可された操作種類のリスト）の論理和をとったものをLとして１つのチケットの発行を行ってもよいし、個々の立場に対してそれぞれチケットを発行してもよい。
【００５１】
また、チケット発行装置１４は、ユーザが複数のポリシーに関係している場合、関係しているポリシーの数だけチケットの発行を行ってもよい。この代わりに、ユーザが関係する複数のポリシーのリストを、ＰＣ２０を介してユーザに提示し、その中でユーザが選択したポリシーについてのみチケットを発行してもよい。
【００５２】
このようにして発行されたチケット(T)は、トークンリーダライタ２２によりトークン２１０に書き込まれる。
このようなチケット(T)の発行は、例えば、特開平１０-９３５５０号公報に開示された本願の発明者らが提案した方法と同様の方法を用いればよい。
【００５３】
以上の例では、ポリシー管理装置１０、チケット発行装置１４及びディレクトリサーバ１６を別々の装置とした場合の例であるが、これは一例に過ぎない。それら三種の装置の機能のうちの二種以上を１つの装置に実装してももちろんよい。
【００５４】
文書操作装置１００は、紙文書を読み取って、その読取結果の文書画像についての操作を行う装置である。例えば、複写機、複合機、スキャナ、ＦＡＸ装置などがその一例である。ここで、文書操作装置１００は、ポリシー管理装置１０と通信できない状態にあるとする。この状態は、文書操作装置１００がいわゆるスタンドアローン状態（すなわちどのネットワークにも接続されていない状態）にある場合のみならず、ポリシー管理装置１０とは接続されていないネットワークに接続されている場合も含むものとする。
【００５５】
この場合、仮にその紙文書に文書ＩＤを埋め込んでおいたとしても、その紙文書を投入したユーザに、そのユーザが要求する操作を行う権利があるかどうかをポリシー管理装置１０に問い合わせることはできない。そこで、この実施形態では、紙文書に埋め込まれたポリシーの公開鍵情報と、ユーザが携帯するトークン２１０との連携により、ユーザが要求した操作が許可されるかどうかを判定する。
【００５６】
図６に文書操作装置１００の内部構成の一例を示す。この例は、文書操作装置１００が複合機である場合の例である。この場合、文書操作装置１００は、用紙に画像を印刷する印刷装置１０２、原稿の紙面上の画像を光学的に読み取るスキャン装置１０４、及び外部の装置との間で電話回線を介してＦＡＸ通信を行うＦＡＸ装置１０６を備える。紙文書のコピーは、スキャン装置１０４で読み取った画像を印刷装置１０２で用紙に印刷することにより実現される。ＵＩ（ユーザインタフェース）機構１０８は、文書操作装置１００の状態を表示したり、文書操作装置１００に対するユーザからの入力を受け付けたりするユーザインタフェースである。ＵＩ機構１０８は、液晶タッチパネルや、テンキー、スタートボタンなどの機械的なボタン、などの入出力装置と、その入出力装置に対するメニュー表示や入出力装置からの入力の解釈などのためのプログラム等を備える。例えば、ユーザは、複写、スキャン、ＦＡＸ送信など、自分が希望する操作の種類をＵＩ機構１０８に対して指定する。なお、図示は省略したが、文書操作装置１００は、ネットワーク（ただしこのネットワークはポリシー管理装置１０には接続されていない）との間で通信を行う通信装置を備えていてもよく、そのネットワーク上の装置から印刷指示を受け取り、その指示に応じて印刷装置１０２により印刷を行ってもよい。
【００５７】
実行制御部１１０は、ＵＩ機構１０８を介して入力されたユーザ２００の指示、又はネットワークを介した他の装置からのユーザの指示に応じて、印刷装置１０２、スキャン装置１０４又はＦＡＸ装置１０６を制御することで、ユーザ２００からの指示に応じた処理を実行する。ここで、実行制御部１１０は、スキャン装置１０４の原稿送り装置（図示省略）又はプラテンにセットされた紙文書２２０に対する操作の指示を、ＵＩ機構１０８を介してユーザから受けた場合に、その操作を許可するかどうかを判定する。この判定は、その紙文書２２０に埋め込まれた公開鍵(e, n)と、そのユーザ２００が携帯するトークン２１０とを用いて行われる。この判定のために、文書公開鍵認識部１１２は、セットされた操作対象の紙文書２２０から、埋め込まれている公開鍵を認識する。例えば、公開鍵がバーコード等の画像コードの形で紙文書２２０に印刷されている場合は、紙文書２２０をスキャンして得た画像からその画像コードを特定し、特定した画像コードを解析することでそのコードが表す公開鍵の値を認識すればよい。また、公開鍵が紙文書２２０に装着されたＲＦＩＤタグなどのデバイスに記憶されている場合は、そのデバイスと通信して公開鍵を取得すればよい。また、ユーザ２００が携帯するトークン２１０は、文書操作装置１００に付属するトークンリーダライタ１２０にセットされ、トークンリーダライタ１２０を介して実行制御部１１０と通信する。
【００５８】
公開鍵が埋め込まれた紙文書２２０に対するコピー、スキャン、ＦＡＸ送信などの操作がユーザから指示された場合、実行制御部１１０は、以下のステップを実行することで権利認証、すなわちユーザがその文書に対してその操作を行うことが許されるか否かの判定、を行う。なお、この例では、公開鍵は画像コードの形で紙文書２２０に印刷されているものとする。
（１）紙文書２２０のスキャンを行い、紙面に埋め込まれた公開鍵の画像コード２２２を読み取り、その画像コード２２２を認識することで公開鍵(e,n)を特定する。
（２）乱数(r)を生成し、乱数(r)、公開鍵(e,n)、ユーザが指示した操作内容(o)（例えばコピー、ＦＡＸ送信など）の組を、チャレンジ(C)として、トークンリーダライタ１２０を介したそのユーザのトークン２１０に対し送信する。
（３）トークン２１０から、そのチャレンジ（C)に対するレスポンス(R)を受信する。
（４）ステップ（１）で特定した公開鍵(e,n)を用いて、レスポンス(R)がチャレンジ(C)に対応するか否かを判定する。
（５）検証結果が正しい場合のみ、ユーザが指示した操作を実行する。
【００５９】
次に、図７を参照して、この文書操作装置１００に対しユーザが紙文書をセットして操作を指示したときに行われる処理の流れを、トークン２１０が行う処理も含めて説明する。
【００６０】
ユーザがスキャン装置１０４の原稿読取装置に紙文書をセットし、ＵＩ機構１０８からその文書に対する操作（例えばコピーやＦＡＸ送信など）を指示すると（Ｓ１０）、スキャン装置１０４がその紙文書の画像を読み取り、文書公開鍵認識部１１２がその画像から公開鍵(e,n)を認識する（Ｓ１２）。実行制御部１１０は、乱数(r)を生成し、生成した乱数(r)、認識した公開鍵(e,n)、及びユーザが指示した操作の内容(o)の３つ組みを、チャレンジ(C)の情報として、トークンリーダライタ１２０を介してトークン２１０に送信する（Ｓ１４）。
【００６１】
チャレンジ(C)を受け取ったトークン２１０は、自身のメモリ内から、チャレンジ(C)に含まれる公開鍵(e,n)を含んだチケット(T)を探す（Ｓ１６）。もし、該当するチケット(T)が見つからない場合は、そのユーザにはその文書を操作する権利がないと判断し、エラー情報を実行制御部１１０に返す。エラー情報を受け取った実行制御部１１０は、指示された操作を行う権利がユーザに無いことを示すメッセージを例えばＵＩ機構１０８の表示装置を介して提示し、処理を終了する。
該当するチケット(T)が見つかった場合、トークン２１０は、チャレンジ(C)に含まれる操作内容(o)が、そのチケット(T)に含まれる条件(L)を満たすか否かを判定する（Ｓ１８）。具体例で説明すると、チケット(T)に含まれる条件(L)が
L = "operation=[view,edit,print,scan,copy ]; valid_to=[2020-12-31]"
であり、ユーザが入力した操作内容(o)が、
o= "operation=copy"
であった場合、その操作内容は条件(L)のoperationのリストに含まれる。そこで更に、実行制御部１１０の内蔵時計が示す現在時刻が、条件(L)に含まれる有効期限である2020年12月31日以前であるかどうかを判定する。有効期限の条件も満足されれば、条件(L)が満足されたと判定する。
【００６２】
仮に例えば操作内容(o)が
o= "operation=fax"
である場合や、現在時刻が2020年12月31以降である場合は、条件(L)が満たされないと判定する。条件(L)が満たされない場合は、紙文書の公開鍵(e,n)に対応するチケット(T)が他にないかメモリ内を調べ、そのようなチケットが見つかれば同様に条件(L)を満たすかどうかを判定する。その公開鍵(e,n)に対応するチケット(T)がメモリ内から見つからない場合は、トークン２１０は、要求元のユーザに当該文書を操作する権利がないと判断し、エラー情報を文書操作装置に返す。
以上のようにして条件(L)を満たすチケット(T)が見つかった場合、トークン２１０は、例えば以下の式にてレスポンス(R)を計算し（Ｓ２０）、実行制御部１１０に返す（Ｓ２２）。
R = rt・rf(u,n,L) mod n
【００６３】
トークン２１０からレスポンス(R)を受け取った実行制御部１１０は、以下の式よりr'を計算し、この計算結果がＳ１４で生成した乱数rに等しいかどうかを判定する（Ｓ２４）。
r' = Re mod n
【００６４】
このときrとr'が等しければ権利認証に成功したと判定し、紙文書に対する操作を実行し（Ｓ２６）、その捜査の結果を出力する（Ｓ２８）。rとr'が等しくなければ、権利認証に失敗したとしてその旨をユーザに通知し、処理を終了する。
【００６５】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
r' = Re mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、r'とrは等しくなる。
【００６６】
以上のようにして、文書操作装置１００では、紙文書に埋め込まれた公開鍵とユーザの携帯するトークン２１０とから、そのユーザがその紙文書に対して、要求した操作を行う権利を持つのかどうかを判定する。この判定の際、文書操作装置１００は、ポリシー管理装置１０との通信を行わなくてよい。
【００６７】
この例では、乱数rに対してチケット(T)とトークン２１０を用いて署名値を計算したものをレスポンス(R)とし、公開鍵(e,n)を用いて署名の検証を行うこととしているが、検証の方法は、前記の署名検証に基づくものに限らない。例えば、乱数(r)を生成し、乱数(r)を公開鍵(e,n)で暗号化したものと、乱数(r)、当該紙文書の公開鍵(e,n)およびユーザが要求した操作内容(o)の組をチャレンジ(C) として、チケット(T)とトークン２１０を用いて同様の計算を行い、チャレンジ(C)に含まれる乱数(r)を公開鍵(e,n)で暗号化したものが正しく復号されていることに基づき検証を行ってもよい。
【００６８】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
R = ((re)t・(re)f(u,n,L) ) mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、レスポンス(R)は最初に生成した乱数(r)と等しくなる。
【００６９】
次に、変形例を説明する。上記実施形態では、トークン２１０がチケットを持っていなければチケット鍵(t)を推測できないため、認証を成功させることはできない。しかし、条件(L)の確認をトークン２１０にて行うため、トークン２１０がポリシーに対して発行されたチケット(T)さえ持っていれば、条件(L)を無視してレスポンス(R)を生成することで不正を行うことも考えられる。このような点を改善したものとして、以下のような変形例を説明する。
【００７０】
ポリシー管理装置１０及び印刷装置１２については、上記実施形態と同じ振舞いをするため説明を省略する。チケット発行装置１４も上記実施形態の場合とほぼ同じ振舞いを行うが、チケット(T)として、チケット鍵(t)と条件(L)以外に、チケット鍵(t)と条件(L)に対する署名値(sign)を含む点が異なる。
T = [t, L, sign]
【００７１】
この署名値signは、例えば、チケット発行装置１４の秘密鍵を[t, L]に対して適用することにより得られるデジタル署名の値である。このようなチケット(T)がポリシーの公開鍵(e, n)と対応づけてトークン２１０に保存される。
【００７２】
図８を参照して、この変形例の処理の流れを説明する。
【００７３】
ステップＳ１０〜Ｓ１８までは上記実施形態と同様の処理でよいため、説明を割愛する。この変形例ではトークン２１０は認証情報(s)を以下の式で計算し（Ｓ３０）、特定したチケット(T)と認証情報(s)の組をレスポンス(R)として文書操作装置に返す（Ｓ３２）。
s = rf(u,n,L) mod n
【００７４】
トークンからレスポンス(R)を受け取った実行制御部１１０は、まずレスポンス(R)に含まれるチケット(T)が改ざんされていないかどうかを、チケット(T)に含まれる署名値(sign)により確認を行う（Ｓ３４）。この署名確認では、例えばチケット発行装置１４の公開鍵（これはあらかじめ文書操作装置１００に登録しておく）を用いればよい。署名確認によりチケット(T)の改ざんが検知された場合は、不正が行われたとしてユーザにその旨を通知し、処理を終了する。
【００７５】
署名確認によりチケット(T)の改ざんがないことが分かった場合、実行制御部１１０は、次に、ユーザがＳ１０で入力した操作内容(o)がチケット(T)に含まれる条件(L)を満たしていることを確認する（Ｓ３４）。条件(L)を満たさない場合は、不正が行われたとしてユーザにその旨を通知し、処理を終了する。以上のチェックがすべて成功した場合、実行制御部１１０は、以下の式よりr'を計算し、この計算結果がＳ１４で生成した乱数rに等しいかどうかを判定する（Ｓ２４）。
r' = (rt ・s)e mod n
【００７６】
このとき、rとr'が等しければ認証に成功したと判定し、紙文書に対する操作を実行する（Ｓ２６）。rとr'が等しくなければ、認証に失敗したとしてその旨をユーザに通知し、処理を終了する。
【００７７】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
r' = (rt・s)e mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、r'とrは等しくなる。
【００７８】
このように、この変形例では、検証側である文書操作装置１００の実行制御部１１０にて、ユーザの指示した操作がチケット(T)中の条件(L)を満たすかどうかを確認する。なお、レスポンス(R)内のチケット(T)に含まれる条件(L)を改ざんすることで文書操作装置１００をだます攻撃が考えられるが、このような改ざんは、チケット(T)の署名(sign)を検証することで検知可能である。また、別のチケット（別のポリシーに対応するチケットや別のトークン２１０に対応するチケット）をレスポンス(R)に含めることもできるが、この場合、トークン２１０で計算する認証情報(s)とチケット鍵(t)の対応が崩れ、rとr'が等しくならない。
【００７９】
この例においても、乱数(r)に対し、チケット(T)とトークン２１０を用いて署名値を計算し、公開鍵(e,n)を用いて署名の検証を行うことで、レスポンス(R)がチャレンジ(C)に対応するものであることを検証しているが、前述の実施例と同様に、事前に乱数(r)を公開鍵(e,n)で暗号化したものをチャレンジ(C)に含め、チケット(T)とトークン２１０を用いて復号を行い、結果がもとの乱数(r)と等しくなる（正しく復号される）ことに基づきレスポンス(R)がチャレンジ(C)に対応するものであることを検証しても良い。
【００８０】
次に第２の変形例を説明する。
【００８１】
紙面に印刷して埋め込める情報の量には限度がある。このため、埋め込み方法（例えば画像コードの形式）によっては公開鍵(e,n)そのものを埋め込むことができない場合がある。そのための回避手段についてこの第２の変形例にて説明する。
【００８２】
この変形例では、ポリシーの公開鍵(e,n)の代わりに、その公開鍵を一意的に識別する公開鍵ＩＤを紙文書に埋め込む。そして、各文書操作装置１００には、図９に示すように、公開鍵ＩＤと公開鍵(e,n)との対応関係を表す公開鍵テーブルを登録しておく。例えば、公開鍵テーブルの内容がすべての文書操作装置１００で共通になるよう出荷時に予め設定しておけばよい。この場合、ポリシー管理装置１０は各ポリシーに対し、そのテーブルにある公開鍵を割り振り、印刷装置１２から文書を印刷出力する場合は、その文書に割り当てられたポリシーの公開鍵ＩＤを紙面に埋め込むようにすればよい。また、ポリシーの作成時に生成された公開鍵を後から文書操作装置１００がインポートできるようにしてもよい。
【００８３】
文書操作装置１００は、操作に先立ち、紙文書の紙面から公開鍵ＩＤを認識し、公開鍵テーブルを参照することでその公開鍵ＩＤに対応する公開鍵(e, n)を特定する。公開鍵を特定する以外の振舞いは、上述の実施形態又は最初の変形例と同じでよいので、これ以上の説明は省略する。
【００８４】
以上に例示したポリシー管理装置１０、チケット発行装置１４、ＰＣ２０、文書操作装置１００の実行制御部１１０は、例えば、汎用のコンピュータに上述の各機能モジュールの処理を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとしてＣＰＵ等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダ・ライタなどが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。
【符号の説明】
【００８５】
１０ ポリシー管理装置、１２ 印刷装置、１４ チケット発行装置、１６ ディレクトリサーバ、２０ ＰＣ、２２ トークンリーダライタ、２００ ユーザ、２１０ トークン、２２０ 紙文書、２２２ 公開鍵を表す画像コード、１００ 文書操作装置、１２０ トークンリーダライタ。
【技術分野】
【０００１】
本発明は、文書管理システム、文書操作装置及びプログラムに関する。
【背景技術】
【０００２】
特許文献１に開示された画像処理装置は、非対称公開鍵暗号方式に基づく公開鍵を、複写動作時に紙文書上に人間の視覚には目立ちにくい形で埋め込む暗号鍵画像生成部を有する。ユーザは、その紙文書を複写する場合、画像処理装置に秘密鍵を入力する。入力した秘密鍵が紙文書の公開鍵に対応する正しいものである場合にのみ、画像処理装置はその紙文書を複写する。
特許文献２に開示された装置は、紙面に文書を作成した個人の情報と機密レベルから決まる情報を埋め込む。そして、その紙文書をその装置で利用する際に、認証したユーザの個人情報と、紙面に埋め込まれた個人情報と機密レベルとから、操作の可否の判定を行う。
【０００３】
特許文献３に開示されたシステムでは、スキャンした紙文書の画像を暗号化し、セキュリティポリシーと結びつけて保存する。保存した文書の印刷が指示された場合には、指示したユーザを認証し、そのユーザがその文書を印刷する権利を持つかどうかをその文書に対応づけられたセキュリティポリシーにより確認し、印刷可と確認された場合のみ、暗号化された画像を復号して印刷する。
【０００４】
特許文献４に開示されたシステムでは、文書を用紙に印刷する際に、その文書にあらかじめ設定されているセキュリティレベルをその用紙のＲＦＩＤ(Radio Frequency IDentification)タグに書き込む。ユーザの持つＩＤカードには、そのユーザのセキュリティレベルが書き込まれている。ユーザが出力機器に紙文書をセットし、複写やＦＡＸ送信等の処理の実行を指示すると、出力機器はその紙文書のＲＦＩＤタグのセキュリティレベルと、そのユーザのＩＤカードのセキュリティレベルを比較し、後者が前者を下回る場合には処理を実行しない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１１−２１５３５１号公報
【特許文献２】特開２００６−１６７９８６号公報
【特許文献３】特開２００７−０２６１０９号公報
【特許文献４】特開２００７−１６８３７２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できるようにすることを目的とする。
【課題を解決するための手段】
【０００７】
請求項１に係る発明は、ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、ユーザが携帯する携帯証明装置と、前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、を備え、前記文書操作装置は、前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備え、前記携帯証明装置は、前記文書操作装置の前記送信手段から受け取った前記問合せに含まれる前記操作が、当該携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件を満たす場合に、当該携帯証明装置が記憶する認証補助情報のうち当該問合せに含まれる前記公開鍵情報に対応する認証補助情報と、当該携帯証明装置の前記固有情報と、当該問合せに含まれる認証用データとを用いて、検証データを生成する検証データ生成手段と、生成された検証データを前記文書操作装置に返信する返信手段と、を備える、文書管理システムである。
【０００８】
請求項２に係る発明は、前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、前記検証データ生成手段は、前記認証補助情報と前記固有情報と前記認証用データとに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、ことをと特徴とする請求項１に記載の文書管理システムである。
【０００９】
請求項３に係る発明は、紙文書に対する操作の指示をユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備える文書操作装置である。
【００１０】
請求項４に係る発明は、コンピュータを、紙文書に対する操作の指示をユーザから受け付ける指示受付手段、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、として機能させるためのプログラムである。
【００１１】
請求項５に係る発明は、ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、ユーザが携帯する携帯証明装置と、前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、を備え、前記文書操作装置は、前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備え、前記携帯証明装置は、当該携帯証明装置が記憶する認証補助情報のうち前記文書操作装置の前記送信手段から受け取った問合せに含まれる前記認証用データと、当該携帯証明装置の前記固有情報と、を用いて、検証補助データを生成する検証補助データ生成手段と、当該携帯証明装置が記憶する文書操作条件及び認証補助情報のうち前記問合せに含まれる前記公開鍵情報に対応する文書操作条件及び認証補助情報と、前記検証補助データとを含む応答データを前記文書操作装置に返信する返信手段と、を備える、文書管理システムである。
【００１２】
請求項６に係る発明は、前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、前記検証補助データ生成手段は、前記認証用データと前記固有情報とに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、ことをと特徴とする請求項５に記載の文書管理システムである。
【００１３】
請求項７に係る発明は、紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、を備える文書操作装置である。
【００１４】
請求項８に係る発明は、紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段、前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、として機能させるためのプログラムである。
【発明の効果】
【００１５】
請求項１，３，４に係る発明によれば、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できる。
【００１６】
請求項２に係る発明によれば、携帯証明装置内に記憶された文書操作条件が改ざんされた場合に、紙文書に対する操作が実行されないようにすることができる。
【００１７】
請求項５，７，８に係る発明によれば、文書保護方針記憶装置と通信できない文書操作装置でも、文書保護方針記憶装置が記憶している文書保護方針情報に従って、紙文書に対してユーザが要求する操作の実行を制御できるとともに、更に文書操作条件が満たされるかどうかの検査を文書操作装置側で行うことができる。
【００１８】
請求項６に係る発明によれば、携帯証明装置内に記憶された文書操作条件が改ざんされた場合に、紙文書に対する操作が実行されないようにすることができる。
【図面の簡単な説明】
【００１９】
【図１】実施形態のシステム構成の例を示す図である。
【図２】ポリシー定義のデータ内容の一例を示す図である。
【図３】文書管理情報のデータ内容の一例を示す図である。
【図４】チケット発行装置が管理する、ユーザＩＤとトークン固有秘密情報との対応を表す情報の一例を示す図である。
【図５】ディレクトリサーバが記憶するユーザとグループの対応関係を示す情報の例を示す図である。
【図６】文書操作装置の内部構成の一例を示す図である。
【図７】実施形態のシステムでの処理の流れの例を説明するためのシーケンス図である。
【図８】変形例における処理の流れの例を説明するためのシーケンス図である。
【図９】第２の変形例における公開鍵テーブルの一例を示す図である。
【発明を実施するための形態】
【００２０】
図１に、実施形態のシステム構成の一例を示す。このシステムは、ローカルエリアネットワークなどのネットワーク１８に接続されたポリシー管理装置１０、印刷装置１２、チケット発行装置１４、ディレクトリサーバ１６、及びＰＣ（パーソナルコンピュータ）２０と、そのネットワーク１８に接続されていない文書操作装置１００とを含んでいる。
【００２１】
ポリシー管理装置１０は、管理対象の文書についてのセキュリティ（情報保護）のための制御又は管理を行う装置である。管理対象の文書には、紙文書も電子文書も含まれる。ここで、電子文書とは、文書をあらかじめ定められたデータ形式で表現した電子的なデータである。電子文書には、例えば、ワードプロセッサや表計算等のアプリケーションで作成された文書ファイルも、紙文書をスキャンして得た画像データファイルも含まれる。紙文書は、紙面に文書内容を筆記又は印刷したものである。このポリシー管理装置１０での管理対象となる紙文書は、ポリシー管理装置１０に登録された管理対象の電子文書を印刷したものである。すなわち、このシステムでは、ポリシー管理装置１０が管理する電子文書には、当該文書を一意に示す識別情報、すなわちこの実施形態では文書公開鍵、が付与されている。その電子文書を印刷する際に、その識別情報が文書内容と共に用紙に印刷されたり、用紙に装着されたＲＦＩＤタグなどの記録媒体に書き込まれたりすることで、印刷結果の紙文書が、ポリシー管理装置１０の管理対象となる。
【００２２】
ポリシー管理装置１０は、各電子文書（ひいてはその印刷結果の紙文書）に対してセキュリティポリシー（以下、単に「ポリシー」と呼ぶ）を割り当てる。ポリシーは、各ユーザが文書に対してどのような操作を許可されているのかを記述した情報であり、逆の観点で言えば、ポリシーは、各ユーザが電子文書の操作についてどのような制限を受けるのかを表す情報である。ポリシーは、文書の保護方針を示す文書保護方針情報と呼ぶこともできる。なお、文書に対する操作には、例えば閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信などが含まれる。
【００２３】
ユーザがある電子文書に対するある操作を要求した場合、ポリシー管理装置１０がその電子文書に割り当てられたポリシーを参照することで、そのユーザがその電子文書に対してその操作を許可されているか否かを判定する。そして、許可されている場合にのみ要求が受け入れられる。なお、後述するように、ユーザのみではなく、ユーザが属するグループに許可される操作か否かを含めて判定するようにしてもよい。
【００２４】
このような制御のために、ポリシー管理装置１０は、個々のポリシーを定義するポリシー定義情報と、各文書に対しどのポリシーが割り当てられているのかを示す文書管理情報とを記憶している。
【００２５】
図２にポリシー定義情報のデータ内容の一例を例示する。この例では、１つのポリシーのポリシー定義情報には、そのポリシーの識別情報である「ポリシーＩＤ」、そのポリシーの「名称」、そのポリシーを作成した「作成者」の識別情報、そのポリシーに付与された「公開鍵」と「秘密鍵」の鍵ペア、及びそのポリシーの内容を示す情報が含まれる。ポリシーの内容を示す情報は、例えば、そのポリシーが割り当てられた文書に対する操作が許可されるユーザ（「対象」）ごとに、そのユーザに許可される操作の種類のリストと、その許可の有効期限を示す情報とを含む。なお、「対象」の一例として図２に示された「マネージャ」は、組織内でのユーザの職位の一種であり、各部署の「マネージャ」から構成されるグループと解することができる。
【００２６】
図２の例では、ポリシーＩＤが「P0012002」のポリシーは、「名称」が「プロジェクトX公開資料」であり、「社員A」が作成し、「開発部１課」のメンバーにはポリシーの適用、ポリシーが適用された文書に対する閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることなどを示している。また、この例ではＲＳＡ公開鍵暗号を前提としており、「公開鍵」＝(e, n)のうちのeが「AQAB」、nが「Iga9Y7kaeT78ar83aTlIohK3...」であり、秘密鍵dが「A478SeouGa4REraIE34qk....」であることを示している。なお、e, nはいずれもBASE64形式で表現している。
【００２７】
図３に文書管理情報の一例を示す。この例では、個々の文書ごとに、その識別情報である「文書ＩＤ」、その文書に適用されたポリシーの「ポリシーＩＤ」、その文書をポリシー管理装置１０に登録した「登録者」のユーザＩＤ、及びその登録が行われた「登録日時」が含まれる。
【００２８】
図２及び図３の例では、文書ＩＤが「D000000132000」の文書は、「開発部１課」のメンバーに対し、閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることが分かる。
【００２９】
なお、文書に対するポリシーの割り当ては、例えば、その文書の作成者或いは管理者が公知の方法で行えばよい。
【００３０】
再び図１の説明に戻ると、ユーザが、例えばＰＣ２０を操作することで、ポリシーが割り当てられた電子文書に対するある操作（例えば印刷）を要求したとする。この場合、その電子文書の文書ＩＤと、要求したユーザのユーザＩＤと、そのユーザが要求した操作の種類を示す情報を含んだ問合せがそのＰＣ２０からポリシー管理装置１０に送られる。ポリシー管理装置１０は、その問合せに係る文書ＩＤに対応するポリシーＩＤを文書管理情報から特定し、問合せに含まれるユーザＩＤに対し、その問合せ内の操作の種類が許可されるかどうかを、そのポリシーＩＤに対応するポリシー定義を参照して判定し、その判定結果を含む応答をＰＣ２０に返す。ＰＣ２０は、その応答が許可を示す場合はユーザから要求された操作をその文書に対して実行し、その応答が不許可を示す場合はその操作を実行せずに、エラー処理（例えば「その操作は許可されていません」などのエラーメッセージの表示）を行う。
【００３１】
ネットワーク１８に接続された印刷装置１２は、ユーザ２００からのＰＣ２０を介する指示に応じて、電子文書を用紙に印刷して出力する。印刷装置１２は、印刷のみの単機能の装置であってもよいし、ネットワーク通信可能な複写機又は複合機（印刷、スキャン、コピー、ＦＡＸ送信などの機能を兼ね備えた装置）であってもよい。
【００３２】
ここで、印刷対象の電子文書がポリシー管理装置１０により管理されている文書（すなわち、図３に例示した文書管理情報にポリシーとの対応付けが登録されている文書）である場合は、ポリシー管理装置１０で印刷が許可された場合にのみ印刷装置１２は印刷を実行する。また、この場合、印刷装置１２は、その電子文書に割り当てられたポリシーの公開鍵(e, n)を、その電子文書の印刷結果である紙文書２２０に埋め込む。
【００３３】
公開鍵の埋込は、例えば公開鍵を、文字列、或いはバーコードなどの画像コード２２２のように機械により認識できる形式で表現したものを、電子文書が表す画像と共に用紙（例えば用紙紙面上のあらかじめ指定された位置）に印刷することで行えばよい。例えば、ＰＣ２０が電子文書の画像内容に公開鍵を表す文字列又は画像コード２２２を重畳した画像を表す（例えばページ記述言語で記述された）印刷データを生成して印刷装置１２に送ってもよい。また、印刷装置１２が、公開鍵の文字列又は画像コードを電子文書の画像に重畳してもよい。
【００３４】
また、用紙にＲＦＩＤタグ等のような読み書き可能なメモリを含んだデバイスが装着されている場合は、印刷装置１２は、そのデバイスに対してデータを書き込む書込装置により、そのデバイスに対して公開鍵を書き込んでもよい。
【００３５】
また、紙文書２２０に埋め込む公開鍵は、ポリシー管理装置１０が印刷許可の旨の応答に対応づける形でＰＣ２０（ＰＣ２０が印刷可否の問合せを行う場合）又は印刷装置１２（印刷装置１２が問合せを行う場合）に提供すればよい。また、この代わりに、ＰＣ２０に配布される電子文書に対し、その公開鍵の情報を属性情報として持たせておき、ＰＣ２０がポリシー管理装置１０から印刷の許可を受けると、その公開鍵を印刷装置１２に渡して印刷或いはデバイスへの書き込みを指示するようにしてもよい。
【００３６】
このような紙文書２２０への情報の埋込については、従来様々な方式が開発されており、この実施形態ではそれら従来のどの方式を用いてもよい。
【００３７】
なお、以上では、公開鍵(e, n)を用紙に埋め込むとしたが、実施形態のシステム全体でeを固定値とし、nのみがポリシーごとに異なるようにして、用紙にはnのみを埋め込むようにしてもよい。
【００３８】
ＰＣ２０は、ユーザが操作するパーソナルコンピュータであり、インストールされた各種のアプリケーションにより、電子文書に対して操作を行う。この例では、ＰＣ２０には、トークンリーダライタ２２が接続されている。トークンリーダライタ２２は、ユーザが携帯するトークン２１０に対してデータを読み書きするための装置である。
【００３９】
トークン２１０は、各ユーザに対してそれぞれ一意に割り当てられた身分証であり、データを格納するメモリと、後述する認証のための演算処理を実行するプロセッサ、及びその演算処理を記述したプログラムを有する。トークン２１０は、例えば接触式又は非接触式で外部とデータのやりとりが可能なＩＣカードやＵＳＢトークンなどの形のものでよい。
【００４０】
トークン２１０が備えるメモリには、当該トークン２１０に一意的に付与された固有秘密情報(u)と、チケット発行装置１４より発行されたチケット(T)が記憶される。固有秘密情報(u)は、トークン２１０自体（ひいてはそれを携帯するユーザ）のいわば認証情報であり、この情報は書き換えできないようになっている。チケット(T)は、当該トークン２１０が割り当てられたユーザに対して付与された、文書に対する操作の許可条件を示す情報である。チケット(T)は、当該ユーザに何らかの操作を許可しているポリシーごとに、チケット発行装置１４から発行される。トークン２１０内のメモリには、複数のチケット(T)を記憶することもできる。なお、チケット(T)が含む情報内容の具体的な例については、後で詳しく説明する。
【００４１】
また、トークン２１０のプロセッサは、後述するスタンドアローンの文書操作装置１００に対してユーザが紙文書を投入し、その紙文書に対する操作を要求した場合に、文書操作装置１００からチャレンジ(C) として、乱数(r)、当該紙文書の公開鍵(e,n)、ユーザ２００が要求した操作内容(o)の組を受け取ると、公開鍵(e,n)に対応するチケット(T)を特定し、要求された操作内容(o)がチケット(T)に記載された条件(L)を満たすことを確認した後、チケット(T)に含まれるチケット鍵(t)と、条件(L)と、トークン固有秘密情報(u)と、乱数(r) とからレスポンス(R)を計算し、文書操作装置１００へ返す。
【００４２】
ＰＣ２０には、チケット発行装置１４からチケット(T)を取得し、トークンリーダライタ２２を介してトークン２１０に書き込むためのプログラムがインストールされている。ユーザ２００が、ＰＣ２０のそのプログラムを起動して、チケット発行装置１４にチケット(T)の発行を要求すると、チケット発行装置１４がそのユーザ２００に対応するチケット(T)を発行する。そのプログラムは、チケット発行装置１４から発行されたチケット(T)をトークンリーダライタ２２にセットされたトークン２１０に書き込む。
【００４３】
なお、この例ではユーザ２００は、トークンリーダライタ２２を備えるＰＣ２０を操作してチケット(T)を取得したが、この他にも、ネットワーク１８に接続された複合機等、トークンリーダライタ２２を備える他の種類の装置を介してチケット(T)をトークン２１０に取得してもよい。
【００４４】
チケット発行装置１４は、ユーザ２００からの要求に応じて、そのユーザ２００に対応するチケット(T)を発行する。チケット発行装置１４は、各ユーザ２００のトークン２１０ごとのトークン固有秘密情報(u)と、どのトークンがどのユーザ２００に所持されているかを表す情報（例えば、図４に例示する、ユーザＩＤとトークン固有秘密情報との対応を表す情報）とを管理している。そして、ポリシー管理装置１０にて管理されるポリシーにて文書に対する操作が許可されているユーザが所持するトークン２１０に対し、少なくともポリシーに関連付けられた秘密鍵(d)と、そのトークン２１０の固有秘密情報(u)と、ポリシーに記述されている操作の内容（図２における「許可される操作」）としての条件(L)と、からチケット鍵(t)を生成し、チケット鍵(t)、条件(L)、及びそのポリシーの公開鍵(e, n)の組を含んだチケット(T)を発行する。
【００４５】
例えば、このチケット発行の処理では、まずユーザ２００がＰＣ２０を操作して、ネットワーク１８を介してチケット発行装置１４にログインし、チケット発行を要求する。チケット発行装置１４は、そのユーザ２００に割り当てられたトークン２１０の固有秘密情報(u)を読み出すと共に、ポリシー管理装置１０に対してそのユーザに対して何らかの操作を許可しているポリシーの情報を要求する。この要求に対し、ポリシー管理装置１０は、自らが管理しているポリシー定義情報を調べることで、そのユーザに対して何らかの操作を許可しているポリシーを特定し、特定したポリシーごとに、そのポリシーの公開鍵(e, n)（eをシステムで固定としている場合はnのみでもよい）と、そのユーザに対して「許可される操作」のリストと、その許可の「有効期限」と、を含んだ情報をチケット発行装置１４に返す。そのユーザに対して「許可される操作」は、そのユーザ個人に対して許可される操作だけでなく、そのユーザが属するグループに対して許可される操作も含まれる。ユーザがどのグループに属するかは、ディレクトリサーバ１６を参照して特定すればよい。ディレクトリサーバ１６には、図５に例示するように、各ユーザが所属するグループを表す情報が記憶されている。
【００４６】
このチケット発行装置１４のチケット発行処理の流れを、具体例を用いて説明する。ＰＣ２０から社員Aが所有するトークンに対するチケットの発行を要求された場合、チケット発行装置１４は、ポリシー管理装置１０に対し社員Aが関連するポリシーの問い合わせを行う。ポリシー管理装置１０は、図２のポリシー定義情報、及びディレクトリサーバ１６が持つ図５のグループ情報から、社員Aは「プロジェクトX公開資料」のポリシーに関係しており、該ポリシーが割り当てられた文書に対し、閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の操作が2020年12月31日まで許可されることが分かる。なお、操作「適用」は、当該ポリシーを文書に対して適用（割り当て）する操作であり、既にポリシー割り当てを受けてポリシー管理装置１０に登録された文書に対してはそのような操作は不要なので、この場合許可される操作のリストには「適用」は含まれない。ポリシー管理装置１０は、そのポリシーの公開鍵（e＝「AQAB」、n＝「Iga9Y7kaeT78ar83aTlIohK3...」）と、許可される操作のリスト（閲覧、編集、印刷、スキャン、コピー、ＦＡＸ）と、許可の有効期限（2020年12月31日）の情報と、を含む応答をチケット発行装置１４に返す。
【００４７】
この応答を受け取ったチケット発行装置１４は、条件(L)を以下のように定める。
L = "operation=[view,edit,print,scan,copy,fax]; valid_to=[2020-12-31]"
ここで、"operation=[]"は、許可される操作のリストを表し、その内容"[view,edit,print,scan,copy,fax]"はこの順に閲覧、編集、印刷、スキャン、コピー、ＦＡＸ送信の各操作種類を表す。また、"valid_to=[2020-12-31]"は、その許可される操作のリストの有効期限が020年12月31日であることを示す。また、チケット発行装置１４は、チケット鍵(t)を以下の式により算出する。
t = d - f(u, n, L) mod Φ(n)
【００４８】
ここで、f(u, n, L)はトークン固有秘密情報(u)、公開鍵の法数(n)、及び条件(L)を引数に取る一方向性関数であり、例えばSHAなどのセキュアハッシュ関数がその一例である。Φ(n)はオイラー関数であり、RSA暗号でn=p*qの場合、Φ(n)=(p-1)(q-1)となる。
【００４９】
そして、チケット発行装置１４は、求めた条件(L)とチケット鍵(t)と公開鍵(e, n)との組み合わせを含んだ情報をチケット(T)として生成し、ＰＣ２０を介してトークン２１０に配布する。
【００５０】
ここで、社員Fのように"P0012002"のポリシーにおいて、「開発２課」としての立場と、「マネージャ」としての立場で条件が異なる場合は、両方の権利（すなわち、許可された操作種類のリスト）の論理和をとったものをLとして１つのチケットの発行を行ってもよいし、個々の立場に対してそれぞれチケットを発行してもよい。
【００５１】
また、チケット発行装置１４は、ユーザが複数のポリシーに関係している場合、関係しているポリシーの数だけチケットの発行を行ってもよい。この代わりに、ユーザが関係する複数のポリシーのリストを、ＰＣ２０を介してユーザに提示し、その中でユーザが選択したポリシーについてのみチケットを発行してもよい。
【００５２】
このようにして発行されたチケット(T)は、トークンリーダライタ２２によりトークン２１０に書き込まれる。
このようなチケット(T)の発行は、例えば、特開平１０-９３５５０号公報に開示された本願の発明者らが提案した方法と同様の方法を用いればよい。
【００５３】
以上の例では、ポリシー管理装置１０、チケット発行装置１４及びディレクトリサーバ１６を別々の装置とした場合の例であるが、これは一例に過ぎない。それら三種の装置の機能のうちの二種以上を１つの装置に実装してももちろんよい。
【００５４】
文書操作装置１００は、紙文書を読み取って、その読取結果の文書画像についての操作を行う装置である。例えば、複写機、複合機、スキャナ、ＦＡＸ装置などがその一例である。ここで、文書操作装置１００は、ポリシー管理装置１０と通信できない状態にあるとする。この状態は、文書操作装置１００がいわゆるスタンドアローン状態（すなわちどのネットワークにも接続されていない状態）にある場合のみならず、ポリシー管理装置１０とは接続されていないネットワークに接続されている場合も含むものとする。
【００５５】
この場合、仮にその紙文書に文書ＩＤを埋め込んでおいたとしても、その紙文書を投入したユーザに、そのユーザが要求する操作を行う権利があるかどうかをポリシー管理装置１０に問い合わせることはできない。そこで、この実施形態では、紙文書に埋め込まれたポリシーの公開鍵情報と、ユーザが携帯するトークン２１０との連携により、ユーザが要求した操作が許可されるかどうかを判定する。
【００５６】
図６に文書操作装置１００の内部構成の一例を示す。この例は、文書操作装置１００が複合機である場合の例である。この場合、文書操作装置１００は、用紙に画像を印刷する印刷装置１０２、原稿の紙面上の画像を光学的に読み取るスキャン装置１０４、及び外部の装置との間で電話回線を介してＦＡＸ通信を行うＦＡＸ装置１０６を備える。紙文書のコピーは、スキャン装置１０４で読み取った画像を印刷装置１０２で用紙に印刷することにより実現される。ＵＩ（ユーザインタフェース）機構１０８は、文書操作装置１００の状態を表示したり、文書操作装置１００に対するユーザからの入力を受け付けたりするユーザインタフェースである。ＵＩ機構１０８は、液晶タッチパネルや、テンキー、スタートボタンなどの機械的なボタン、などの入出力装置と、その入出力装置に対するメニュー表示や入出力装置からの入力の解釈などのためのプログラム等を備える。例えば、ユーザは、複写、スキャン、ＦＡＸ送信など、自分が希望する操作の種類をＵＩ機構１０８に対して指定する。なお、図示は省略したが、文書操作装置１００は、ネットワーク（ただしこのネットワークはポリシー管理装置１０には接続されていない）との間で通信を行う通信装置を備えていてもよく、そのネットワーク上の装置から印刷指示を受け取り、その指示に応じて印刷装置１０２により印刷を行ってもよい。
【００５７】
実行制御部１１０は、ＵＩ機構１０８を介して入力されたユーザ２００の指示、又はネットワークを介した他の装置からのユーザの指示に応じて、印刷装置１０２、スキャン装置１０４又はＦＡＸ装置１０６を制御することで、ユーザ２００からの指示に応じた処理を実行する。ここで、実行制御部１１０は、スキャン装置１０４の原稿送り装置（図示省略）又はプラテンにセットされた紙文書２２０に対する操作の指示を、ＵＩ機構１０８を介してユーザから受けた場合に、その操作を許可するかどうかを判定する。この判定は、その紙文書２２０に埋め込まれた公開鍵(e, n)と、そのユーザ２００が携帯するトークン２１０とを用いて行われる。この判定のために、文書公開鍵認識部１１２は、セットされた操作対象の紙文書２２０から、埋め込まれている公開鍵を認識する。例えば、公開鍵がバーコード等の画像コードの形で紙文書２２０に印刷されている場合は、紙文書２２０をスキャンして得た画像からその画像コードを特定し、特定した画像コードを解析することでそのコードが表す公開鍵の値を認識すればよい。また、公開鍵が紙文書２２０に装着されたＲＦＩＤタグなどのデバイスに記憶されている場合は、そのデバイスと通信して公開鍵を取得すればよい。また、ユーザ２００が携帯するトークン２１０は、文書操作装置１００に付属するトークンリーダライタ１２０にセットされ、トークンリーダライタ１２０を介して実行制御部１１０と通信する。
【００５８】
公開鍵が埋め込まれた紙文書２２０に対するコピー、スキャン、ＦＡＸ送信などの操作がユーザから指示された場合、実行制御部１１０は、以下のステップを実行することで権利認証、すなわちユーザがその文書に対してその操作を行うことが許されるか否かの判定、を行う。なお、この例では、公開鍵は画像コードの形で紙文書２２０に印刷されているものとする。
（１）紙文書２２０のスキャンを行い、紙面に埋め込まれた公開鍵の画像コード２２２を読み取り、その画像コード２２２を認識することで公開鍵(e,n)を特定する。
（２）乱数(r)を生成し、乱数(r)、公開鍵(e,n)、ユーザが指示した操作内容(o)（例えばコピー、ＦＡＸ送信など）の組を、チャレンジ(C)として、トークンリーダライタ１２０を介したそのユーザのトークン２１０に対し送信する。
（３）トークン２１０から、そのチャレンジ（C)に対するレスポンス(R)を受信する。
（４）ステップ（１）で特定した公開鍵(e,n)を用いて、レスポンス(R)がチャレンジ(C)に対応するか否かを判定する。
（５）検証結果が正しい場合のみ、ユーザが指示した操作を実行する。
【００５９】
次に、図７を参照して、この文書操作装置１００に対しユーザが紙文書をセットして操作を指示したときに行われる処理の流れを、トークン２１０が行う処理も含めて説明する。
【００６０】
ユーザがスキャン装置１０４の原稿読取装置に紙文書をセットし、ＵＩ機構１０８からその文書に対する操作（例えばコピーやＦＡＸ送信など）を指示すると（Ｓ１０）、スキャン装置１０４がその紙文書の画像を読み取り、文書公開鍵認識部１１２がその画像から公開鍵(e,n)を認識する（Ｓ１２）。実行制御部１１０は、乱数(r)を生成し、生成した乱数(r)、認識した公開鍵(e,n)、及びユーザが指示した操作の内容(o)の３つ組みを、チャレンジ(C)の情報として、トークンリーダライタ１２０を介してトークン２１０に送信する（Ｓ１４）。
【００６１】
チャレンジ(C)を受け取ったトークン２１０は、自身のメモリ内から、チャレンジ(C)に含まれる公開鍵(e,n)を含んだチケット(T)を探す（Ｓ１６）。もし、該当するチケット(T)が見つからない場合は、そのユーザにはその文書を操作する権利がないと判断し、エラー情報を実行制御部１１０に返す。エラー情報を受け取った実行制御部１１０は、指示された操作を行う権利がユーザに無いことを示すメッセージを例えばＵＩ機構１０８の表示装置を介して提示し、処理を終了する。
該当するチケット(T)が見つかった場合、トークン２１０は、チャレンジ(C)に含まれる操作内容(o)が、そのチケット(T)に含まれる条件(L)を満たすか否かを判定する（Ｓ１８）。具体例で説明すると、チケット(T)に含まれる条件(L)が
L = "operation=[view,edit,print,scan,copy ]; valid_to=[2020-12-31]"
であり、ユーザが入力した操作内容(o)が、
o= "operation=copy"
であった場合、その操作内容は条件(L)のoperationのリストに含まれる。そこで更に、実行制御部１１０の内蔵時計が示す現在時刻が、条件(L)に含まれる有効期限である2020年12月31日以前であるかどうかを判定する。有効期限の条件も満足されれば、条件(L)が満足されたと判定する。
【００６２】
仮に例えば操作内容(o)が
o= "operation=fax"
である場合や、現在時刻が2020年12月31以降である場合は、条件(L)が満たされないと判定する。条件(L)が満たされない場合は、紙文書の公開鍵(e,n)に対応するチケット(T)が他にないかメモリ内を調べ、そのようなチケットが見つかれば同様に条件(L)を満たすかどうかを判定する。その公開鍵(e,n)に対応するチケット(T)がメモリ内から見つからない場合は、トークン２１０は、要求元のユーザに当該文書を操作する権利がないと判断し、エラー情報を文書操作装置に返す。
以上のようにして条件(L)を満たすチケット(T)が見つかった場合、トークン２１０は、例えば以下の式にてレスポンス(R)を計算し（Ｓ２０）、実行制御部１１０に返す（Ｓ２２）。
R = rt・rf(u,n,L) mod n
【００６３】
トークン２１０からレスポンス(R)を受け取った実行制御部１１０は、以下の式よりr'を計算し、この計算結果がＳ１４で生成した乱数rに等しいかどうかを判定する（Ｓ２４）。
r' = Re mod n
【００６４】
このときrとr'が等しければ権利認証に成功したと判定し、紙文書に対する操作を実行し（Ｓ２６）、その捜査の結果を出力する（Ｓ２８）。rとr'が等しくなければ、権利認証に失敗したとしてその旨をユーザに通知し、処理を終了する。
【００６５】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
r' = Re mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、r'とrは等しくなる。
【００６６】
以上のようにして、文書操作装置１００では、紙文書に埋め込まれた公開鍵とユーザの携帯するトークン２１０とから、そのユーザがその紙文書に対して、要求した操作を行う権利を持つのかどうかを判定する。この判定の際、文書操作装置１００は、ポリシー管理装置１０との通信を行わなくてよい。
【００６７】
この例では、乱数rに対してチケット(T)とトークン２１０を用いて署名値を計算したものをレスポンス(R)とし、公開鍵(e,n)を用いて署名の検証を行うこととしているが、検証の方法は、前記の署名検証に基づくものに限らない。例えば、乱数(r)を生成し、乱数(r)を公開鍵(e,n)で暗号化したものと、乱数(r)、当該紙文書の公開鍵(e,n)およびユーザが要求した操作内容(o)の組をチャレンジ(C) として、チケット(T)とトークン２１０を用いて同様の計算を行い、チャレンジ(C)に含まれる乱数(r)を公開鍵(e,n)で暗号化したものが正しく復号されていることに基づき検証を行ってもよい。
【００６８】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
R = ((re)t・(re)f(u,n,L) ) mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、レスポンス(R)は最初に生成した乱数(r)と等しくなる。
【００６９】
次に、変形例を説明する。上記実施形態では、トークン２１０がチケットを持っていなければチケット鍵(t)を推測できないため、認証を成功させることはできない。しかし、条件(L)の確認をトークン２１０にて行うため、トークン２１０がポリシーに対して発行されたチケット(T)さえ持っていれば、条件(L)を無視してレスポンス(R)を生成することで不正を行うことも考えられる。このような点を改善したものとして、以下のような変形例を説明する。
【００７０】
ポリシー管理装置１０及び印刷装置１２については、上記実施形態と同じ振舞いをするため説明を省略する。チケット発行装置１４も上記実施形態の場合とほぼ同じ振舞いを行うが、チケット(T)として、チケット鍵(t)と条件(L)以外に、チケット鍵(t)と条件(L)に対する署名値(sign)を含む点が異なる。
T = [t, L, sign]
【００７１】
この署名値signは、例えば、チケット発行装置１４の秘密鍵を[t, L]に対して適用することにより得られるデジタル署名の値である。このようなチケット(T)がポリシーの公開鍵(e, n)と対応づけてトークン２１０に保存される。
【００７２】
図８を参照して、この変形例の処理の流れを説明する。
【００７３】
ステップＳ１０〜Ｓ１８までは上記実施形態と同様の処理でよいため、説明を割愛する。この変形例ではトークン２１０は認証情報(s)を以下の式で計算し（Ｓ３０）、特定したチケット(T)と認証情報(s)の組をレスポンス(R)として文書操作装置に返す（Ｓ３２）。
s = rf(u,n,L) mod n
【００７４】
トークンからレスポンス(R)を受け取った実行制御部１１０は、まずレスポンス(R)に含まれるチケット(T)が改ざんされていないかどうかを、チケット(T)に含まれる署名値(sign)により確認を行う（Ｓ３４）。この署名確認では、例えばチケット発行装置１４の公開鍵（これはあらかじめ文書操作装置１００に登録しておく）を用いればよい。署名確認によりチケット(T)の改ざんが検知された場合は、不正が行われたとしてユーザにその旨を通知し、処理を終了する。
【００７５】
署名確認によりチケット(T)の改ざんがないことが分かった場合、実行制御部１１０は、次に、ユーザがＳ１０で入力した操作内容(o)がチケット(T)に含まれる条件(L)を満たしていることを確認する（Ｓ３４）。条件(L)を満たさない場合は、不正が行われたとしてユーザにその旨を通知し、処理を終了する。以上のチェックがすべて成功した場合、実行制御部１１０は、以下の式よりr'を計算し、この計算結果がＳ１４で生成した乱数rに等しいかどうかを判定する（Ｓ２４）。
r' = (rt ・s)e mod n
【００７６】
このとき、rとr'が等しければ認証に成功したと判定し、紙文書に対する操作を実行する（Ｓ２６）。rとr'が等しくなければ、認証に失敗したとしてその旨をユーザに通知し、処理を終了する。
【００７７】
なお、トークン２１０が正しいレスポンス(R)を返した場合は、
r' = (rt・s)e mod n
= (rt・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L)) ・rf(u,n,L) ) e mod n
= (r(d - f(u,n,L) + f(u,n,L)) ) e mod n
= (r d ) e mod n
= r d・e mod n
= r
となり、r'とrは等しくなる。
【００７８】
このように、この変形例では、検証側である文書操作装置１００の実行制御部１１０にて、ユーザの指示した操作がチケット(T)中の条件(L)を満たすかどうかを確認する。なお、レスポンス(R)内のチケット(T)に含まれる条件(L)を改ざんすることで文書操作装置１００をだます攻撃が考えられるが、このような改ざんは、チケット(T)の署名(sign)を検証することで検知可能である。また、別のチケット（別のポリシーに対応するチケットや別のトークン２１０に対応するチケット）をレスポンス(R)に含めることもできるが、この場合、トークン２１０で計算する認証情報(s)とチケット鍵(t)の対応が崩れ、rとr'が等しくならない。
【００７９】
この例においても、乱数(r)に対し、チケット(T)とトークン２１０を用いて署名値を計算し、公開鍵(e,n)を用いて署名の検証を行うことで、レスポンス(R)がチャレンジ(C)に対応するものであることを検証しているが、前述の実施例と同様に、事前に乱数(r)を公開鍵(e,n)で暗号化したものをチャレンジ(C)に含め、チケット(T)とトークン２１０を用いて復号を行い、結果がもとの乱数(r)と等しくなる（正しく復号される）ことに基づきレスポンス(R)がチャレンジ(C)に対応するものであることを検証しても良い。
【００８０】
次に第２の変形例を説明する。
【００８１】
紙面に印刷して埋め込める情報の量には限度がある。このため、埋め込み方法（例えば画像コードの形式）によっては公開鍵(e,n)そのものを埋め込むことができない場合がある。そのための回避手段についてこの第２の変形例にて説明する。
【００８２】
この変形例では、ポリシーの公開鍵(e,n)の代わりに、その公開鍵を一意的に識別する公開鍵ＩＤを紙文書に埋め込む。そして、各文書操作装置１００には、図９に示すように、公開鍵ＩＤと公開鍵(e,n)との対応関係を表す公開鍵テーブルを登録しておく。例えば、公開鍵テーブルの内容がすべての文書操作装置１００で共通になるよう出荷時に予め設定しておけばよい。この場合、ポリシー管理装置１０は各ポリシーに対し、そのテーブルにある公開鍵を割り振り、印刷装置１２から文書を印刷出力する場合は、その文書に割り当てられたポリシーの公開鍵ＩＤを紙面に埋め込むようにすればよい。また、ポリシーの作成時に生成された公開鍵を後から文書操作装置１００がインポートできるようにしてもよい。
【００８３】
文書操作装置１００は、操作に先立ち、紙文書の紙面から公開鍵ＩＤを認識し、公開鍵テーブルを参照することでその公開鍵ＩＤに対応する公開鍵(e, n)を特定する。公開鍵を特定する以外の振舞いは、上述の実施形態又は最初の変形例と同じでよいので、これ以上の説明は省略する。
【００８４】
以上に例示したポリシー管理装置１０、チケット発行装置１４、ＰＣ２０、文書操作装置１００の実行制御部１１０は、例えば、汎用のコンピュータに上述の各機能モジュールの処理を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとしてＣＰＵ等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダ・ライタなどが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。
【符号の説明】
【００８５】
１０ ポリシー管理装置、１２ 印刷装置、１４ チケット発行装置、１６ ディレクトリサーバ、２０ ＰＣ、２２ トークンリーダライタ、２００ ユーザ、２１０ トークン、２２０ 紙文書、２２２ 公開鍵を表す画像コード、１００ 文書操作装置、１２０ トークンリーダライタ。
【特許請求の範囲】
【請求項１】
ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、
電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、
電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、
ユーザが携帯する携帯証明装置と、
前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、
ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、
を備え、
前記文書操作装置は、
前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備え、
前記携帯証明装置は、
前記文書操作装置の前記送信手段から受け取った前記問合せに含まれる前記操作が、当該携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件を満たす場合に、当該携帯証明装置が記憶する認証補助情報のうち当該問合せに含まれる前記公開鍵情報に対応する認証補助情報と、当該携帯証明装置の前記固有情報と、当該問合せに含まれる認証用データとを用いて、検証データを生成する検証データ生成手段と、
生成された検証データを前記文書操作装置に返信する返信手段と、
を備える、文書管理システム。
【請求項２】
前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、
前記検証データ生成手段は、前記認証補助情報と前記固有情報と前記認証用データとに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、
ことをと特徴とする請求項１に記載の文書管理システム。
【請求項３】
紙文書に対する操作の指示をユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備える文書操作装置。
【請求項４】
コンピュータを、
紙文書に対する操作の指示をユーザから受け付ける指示受付手段、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、
として機能させるためのプログラム。
【請求項５】
ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、
電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、
電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、
ユーザが携帯する携帯証明装置と、
前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、
ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、
を備え、
前記文書操作装置は、
前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備え、
前記携帯証明装置は、
当該携帯証明装置が記憶する認証補助情報のうち前記文書操作装置の前記送信手段から受け取った問合せに含まれる前記認証用データと、当該携帯証明装置の前記固有情報と、を用いて、検証補助データを生成する検証補助データ生成手段と、
当該携帯証明装置が記憶する文書操作条件及び認証補助情報のうち前記問合せに含まれる前記公開鍵情報に対応する文書操作条件及び認証補助情報と、前記検証補助データとを含む応答データを前記文書操作装置に返信する返信手段と、
を備える、文書管理システム。
【請求項６】
前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、
前記検証補助データ生成手段は、前記認証用データと前記固有情報とに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、
ことをと特徴とする請求項５に記載の文書管理システム。
【請求項７】
紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備える文書操作装置。
【請求項８】
紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、
として機能させるためのプログラム。
【請求項１】
ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、
電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、
電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、
ユーザが携帯する携帯証明装置と、
前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、
ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、
を備え、
前記文書操作装置は、
前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備え、
前記携帯証明装置は、
前記文書操作装置の前記送信手段から受け取った前記問合せに含まれる前記操作が、当該携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件を満たす場合に、当該携帯証明装置が記憶する認証補助情報のうち当該問合せに含まれる前記公開鍵情報に対応する認証補助情報と、当該携帯証明装置の前記固有情報と、当該問合せに含まれる認証用データとを用いて、検証データを生成する検証データ生成手段と、
生成された検証データを前記文書操作装置に返信する返信手段と、
を備える、文書管理システム。
【請求項２】
前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、
前記検証データ生成手段は、前記認証補助情報と前記固有情報と前記認証用データとに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、
ことをと特徴とする請求項１に記載の文書管理システム。
【請求項３】
紙文書に対する操作の指示をユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備える文書操作装置。
【請求項４】
コンピュータを、
紙文書に対する操作の指示をユーザから受け付ける指示受付手段、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、
前記公開鍵読取手段が読み取った公開鍵情報と、前記ユーザから指示された前記操作を示す情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、
前記送信手段が送った問合せに対して前記携帯証明装置から返信された検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、
として機能させるためのプログラム。
【請求項５】
ユーザに許可される操作を表す文書操作条件をユーザまたはグループごとに含む１以上の文書保護方針情報を、それぞれ当該文書保護方針情報に割り当てられた秘密鍵及び公開鍵と対応づけて記憶する保護方針記憶装置と、
電子文書と、当該電子文書に割り当てられた文書保護方針情報と、の対応関係を記憶する対応関係記憶手段と、
電子文書の印刷を用紙に印刷する場合に、その電子文書に割り当てられた文書保護方針情報に対応する公開鍵を示す公開鍵情報を、その印刷結果の紙文書に埋め込む埋め込み手段と、
ユーザが携帯する携帯証明装置と、
前記携帯証明装置に対し、前記保護方針記憶装置に記憶された文書保護方針情報のうち当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件を含んだ文書保護方針情報に対応する秘密鍵と当該携帯証明装置自体の固有情報とに基づき求められる認証補助情報と、当該文書保護方針情報に含まれる当該ユーザに許可される文書操作条件とを、当該文書保護方針情報に対応する公開鍵情報と対応づけて記憶させる制御を行う記憶制御手段と、
ユーザが入力した紙文書に対して当該ユーザが指示した操作を実行するための文書操作装置と、
を備え、
前記文書操作装置は、
前記紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの前記携帯証明装置に送信する送信手段と、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備え、
前記携帯証明装置は、
当該携帯証明装置が記憶する認証補助情報のうち前記文書操作装置の前記送信手段から受け取った問合せに含まれる前記認証用データと、当該携帯証明装置の前記固有情報と、を用いて、検証補助データを生成する検証補助データ生成手段と、
当該携帯証明装置が記憶する文書操作条件及び認証補助情報のうち前記問合せに含まれる前記公開鍵情報に対応する文書操作条件及び認証補助情報と、前記検証補助データとを含む応答データを前記文書操作装置に返信する返信手段と、
を備える、文書管理システム。
【請求項６】
前記記憶制御手段が前記携帯証明装置に対して記憶させる前記認証補助情報は、前記秘密鍵と前記固有情報とに加え、更に当該文書保護方針情報に含まれる当該ユーザまたは当該ユーザが属するグループに許可される文書操作条件に基づき求められる情報であり、
前記検証補助データ生成手段は、前記認証用データと前記固有情報とに加え、更に前記携帯証明装置が記憶する文書操作条件のうち当該問合せに含まれる前記公開鍵情報に対応する文書操作条件に基づき前記検証データを生成する、
ことをと特徴とする請求項５に記載の文書管理システム。
【請求項７】
紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段と、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段と、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段と、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段と、
を備える文書操作装置。
【請求項８】
紙文書に対する操作の指示を前記ユーザから受け付ける指示受付手段、
前記紙文書に埋め込まれた公開鍵情報を読み取る公開鍵読取手段、
前記公開鍵読取手段が読み取った公開鍵情報と、認証用データと、を含む問合せを前記ユーザの携帯証明装置に送信する送信手段、
前記ユーザから指示された前記操作が、前記送信手段が送った問合せに対する前記携帯証明装置からの応答データに含まれる文書操作条件を満足し、且つ、当該応答データに含まれる認証補助情報及び検証補助データと、前記認証用データと、を用いて計算した検証データが、前記認証用データに対応するものであることを正しく検証できた場合に、前記ユーザが指示した前記操作を実行する操作実行手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１１−６００９２（Ｐ２０１１−６００９２Ａ）
【公開日】平成２３年３月２４日（２０１１．３．２４）
【国際特許分類】
【出願番号】特願２００９−２１０４７１（Ｐ２００９−２１０４７１）
【出願日】平成２１年９月１１日（２００９．９．１１）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２３年３月２４日（２０１１．３．２４）
【国際特許分類】
【出願日】平成２１年９月１１日（２００９．９．１１）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]