署名システム、署名装置、署名検証装置及びプログラム
【課題】ユーザの指定した第１の電子文書とは異なる第２の電子文書に電子署名が施された場合でも、第２の電子文書に署名していないことを証明できる可能性を高める。
【解決手段】電子文書処理装置１０は、署名対象の電子文書を印刷装置２０に印刷させる。ユーザは、印刷結果の紙文書３０に対し署名デバイス４０で手書き署名を施す。手書き署名済みの紙文書３０はドロワー５０に保管される。署名デバイス４０はその手書き署名の筆跡データを取得し、電子文書のハッシュ値と筆跡データとを結合したデータに対してユーザの署名鍵を用いて電子署名を施す。電子署名の値は、電子文書及び筆跡データと共に、ドロワー５０内の紙文書３０と対応づけて文書管理システム６０に登録される。署名検証システム７０は、登録された電子文書の電子署名の検証が成功すると、更にそれに対応づけられた筆跡データとドロワー５０内の紙文書３０上の手書き署名とを比較する。
【解決手段】電子文書処理装置１０は、署名対象の電子文書を印刷装置２０に印刷させる。ユーザは、印刷結果の紙文書３０に対し署名デバイス４０で手書き署名を施す。手書き署名済みの紙文書３０はドロワー５０に保管される。署名デバイス４０はその手書き署名の筆跡データを取得し、電子文書のハッシュ値と筆跡データとを結合したデータに対してユーザの署名鍵を用いて電子署名を施す。電子署名の値は、電子文書及び筆跡データと共に、ドロワー５０内の紙文書３０と対応づけて文書管理システム６０に登録される。署名検証システム７０は、登録された電子文書の電子署名の検証が成功すると、更にそれに対応づけられた筆跡データとドロワー５０内の紙文書３０上の手書き署名とを比較する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は署名システム、署名装置、署名検証装置及びプログラムに関する。
【背景技術】
【０００２】
特許文献１に開示された装置は、手書きサイン，拇印，印鑑などを入力するアクション電子化手段、電子原本入力手段、電子原本表示手段、手書きサイン，拇印，印鑑のデータを電子署名技術で関連付ける署名処理手段、電子署名出力手段を一体的に構成したものである。署名処理手段は入力手段を介し電子原本を外部から受け取り、表示手段に渡して表示する。さらにアクション電子化手段からアクションデータを受け取り、電子原本とアクションデータとを合わせてアクション添付電子原本とし、このハッシュ値を計算する。署名鍵と対応する公開鍵証明書を取得し、ハッシュ値を署名鍵で暗号化し、公開鍵証明書を添付して電子署名とし、この電子署名とアクション添付電子原本とを合わせて署名添付電子原本とし、出力手段に渡して外部に出力する。
【０００３】
特許文献２には、手書き文書をスキャナで読み取り、読取結果の画像データに対してユーザの電子署名を施すことで、手書き文書の画像に電子署名を行う装置が開示されている。
【０００４】
【特許文献１】特開２００３−１３４１０８号公報
【特許文献２】特開２００３−３１８８８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明は、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、ユーザが第２の電子文書には署名していないことを証明できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
請求項１に係る発明は、電子文書を印刷し、前記電子文書に対応する紙文書を生成する印刷手段と、前記紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、前記電子署名値と、前記電子文書と、前記筆跡情報と、前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、を互いに対応づける対応付け手段と、前記電子文書に対応づけられた前記電子署名値が、前記電子文書と当該電子文書に対応づけられた前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、前記電子文書に対応づけられた前記筆跡情報と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、とを比較することで、前記筆跡情報を検証する手書き署名検証手段と、を備える署名システムである。
【０００７】
請求項２に係る発明は、請求項１に係る発明において、前記電子署名検証手段による検証が成功した場合でも、前記手書き署名検証手段による検証が失敗した場合には、前記電子文書に関して何らかの不正が行われた可能性がある旨の情報を通知する通知手段、を更に備える。
【０００８】
請求項３に係る発明は、電子文書の印刷結果である紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、前記電子署名値及び前記筆跡情報を、前記電子文書及び前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、対応づけできるように出力する出力手段と、を備える署名装置である。
【０００９】
請求項４に係る発明は、電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報に対する電子署名値と、を取得する取得手段と、前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段と、を備える署名検証装置である。
【００１０】
請求項５に係る発明は、コンピュータを、電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量と前記筆跡情報から生成される情報に対する電子署名値と、を取得する取得手段、前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段、として機能させるためのプログラムである。
【発明の効果】
【００１１】
請求項１，２，４又は５に係る発明によれば、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、手書き署名を施した紙文書又はこれを読み取った画像によりユーザが第２の電子文書には署名していないことを証明できる。
【００１２】
請求項３に係る発明によれば、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、ユーザが第２の電子文書には署名していないことを証明できるようにするための情報を生成することができる。
【発明を実施するための最良の形態】
【００１３】
まず図１を参照して、実施形態のシステムの概略構成を説明する。このシステムは、電子文書に対する電子署名と、その電子文書の印刷出力である紙文書への手書き署名とを組み合わせた署名及びその検証のための仕組みを提供する。
【００１４】
このシステムでは、電子文書処理装置１０が保持する署名対象の電子文書（文書ファイル）を印刷装置２０で印刷し、印刷結果の紙文書３０に対して、ユーザがペンを内蔵した署名デバイス４０により手書きで署名を行う。このようにして紙文書３０に手書きで施されたユーザの署名を、以下では手書き署名と呼ぶ。手書き署名を施された紙文書３０は、例えば信頼できる文書格納庫（ドロワー５０）に保管される。また、署名デバイス４０は、手書き署名の筆跡、すなわちペン先の軌跡であるストロークを検知する機能を備えており、その筆跡を表す筆跡データを生成する。また、署名デバイス４０は、ユーザの電子署名用の鍵（署名鍵、例えば公開鍵暗号系における秘密鍵）を記憶すると共に、電子署名機能を備えており、電子文書処理装置１０から署名対象の電子文書を取得し、その電子文書と手書き署名の筆跡データとを結合したデータに対して電子署名を施す。そして、署名デバイス４０が生成した電子署名の情報は、その電子文書、これに対応する手書き署名済みの紙文書、及び手書き署名の筆跡データと対応づけて、文書管理システム６０に登録される。
【００１５】
図２に、ドロワー５０に保管された署名済みの紙文書３０と、文書管理システム６０に登録された電子文書（登録電子文書１００）との対応関係の一例を概念的に示す。この例では、登録文書１００には、文書ＩＤ１０２，電子文書１０４，筆跡データ１０６，及び電子署名値１０８が含まれる。文書ＩＤ１０２は、この登録文書１００に対して文書管理システム６０が付与した一意な識別情報である。電子文書１０４は、署名対象の電子文書のデータそのものである。筆跡データ１０６は、その電子文書１０４の印刷出力である紙文書３０に対してユーザが施した手書き署名３２の筆跡データである。電子署名値１０８は、電子文書１０４と筆跡データ１０６とを連結したデータに対し、そのユーザの署名鍵により施した電子署名の署名値を含んだ署名情報である。また、紙文書３０上には、対応する登録文書１００の文書ＩＤ１０２を表す識別情報３４が、印刷（例えばバーコード印刷）その他の方式で埋め込まれている。文書ＩＤ１０２と識別情報３４は、登録文書１００と紙文書３０とを対応づける役割を果たしている。
【００１６】
署名デバイス４０により電子的方法及び手書きの両方の署名が施され、文書管理システム６０に保存された電子文書に対し、署名の検証が要求されると、署名検証システム７０は、まずその電子文書に対応づけられた電子署名を検証する。そして、その検証が成功した（すなわち真正な電子署名であると判定された）場合には、更にドロワー５０に保管された当該電子文書に対応する紙文書上の手書き署名と、当該電子文書に対応づけて文書管理システム６０に保存されている筆跡データを照合し、両者が同じ手書き署名を表しているかどうかを検証する。この検証が成功した（すなわち手書き署名と筆跡データとが一致すると判定された）場合に、その電子文書が、ユーザが署名を行った真正なものであると判定する。
【００１７】
次に、図３及び図４を参照して、この実施形態におけるユーザ署名のためのシステムについて更に詳しく説明する。図３及び図４において、図１に示したシステムの要素と同様の要素には同一の符号を付す。
【００１８】
電子文書処理装置１０は、１以上の電子文書を保持している。電子文書処理装置１０は、保持している電子文書の表示又は編集等の機能を持っていてもよい。また、電子文書処理装置１０は、電子文書を作成する機能を持っていてもよい。電子文書処理装置１０は、保持している電子文書に対してユーザの署名を求め、その署名結果の文書を文書管理システム６０に登録する。電子文書処理装置１０は、ユーザに対し署名を要求する処理を行うものであればどのようなものでもよい。例えば医師に対し電子カルテの内容に対する署名を要求する電子カルテシステム、責任者に対し承認の結果として署名を要求する稟議システム、遠隔で確定申告を行うシステムなどがそれに相当する。
【００１９】
最近では署名に用いる署名鍵はユーザ個人に帰属するものという意識から、電子文書処理装置１０内ではなく、それとは独立した例えばＩＣカードのようなデバイスで署名鍵を
管理するシステムが現れている。本実施形態でも署名鍵はペン型の署名デバイス４０内で管理されるものとする。
【００２０】
署名デバイス４０は、ペン型のデバイスであり、実際に紙文書３０に対し手書き署名を行うためのペン先であるペン４３に加え、電子署名のための情報処理を行うためのプロセッサ、メモリ、プログラムなどと、手書き署名の筆跡を読み取るためのカメラその他のハードウエア及びプログラムを備えている。すなわち、署名デバイス４０は、電子文書処理装置１０から署名対象の電子文書に関するデータを受け取る文書データ入力装置４１と、ペン４３による手書き署名の筆跡データを取得するための筆跡データ取得装置４５と、内蔵するユーザの署名鍵を用いて文書データ入力装置に入力された情報および筆跡データに対する署名値を計算する署名値計算装置４７と、筆跡データおよび署名値を出力するデータ出力装置４９とを備える。
【００２１】
筆跡データ取得装置４５にて筆跡データを取得する方法はいくつか考えることができる。例えば、一例として、署名デバイス４０に加速度センサーを内蔵させ、このセンサーの計測結果から署名デバイス４０の動きを分析し、その動きの情報を筆跡データとして得る方法がある。また、別の方法として、手書き記入の際の下敷きとしてデジタイザ機能を備えたタブレットデバイスを用い、署名デバイス４０のペン先の時々刻々の位置をタブレットデバイスから取得し、取得したペン先の位置の時間変化を筆跡データとして得る方法もある。
【００２２】
また、更に別の方法として、いわゆるデジタルペンを用いる方法がある。この方法の一例では、紙面上での各点の位置を表す位置情報をドットパターンなどのコードパターンとして電子文書の画像に重畳して用紙に印刷し、又はそのようなコードパターンがあらかじめ印刷された用紙に電子文書の画像を印刷し、その位置情報を用いて筆跡データを求める（例えば特開２００７−０４１６９１号公報）。この種の方式では、署名デバイス４０に内蔵されたカメラで、署名作業の際の各時点でのペン先の位置にある位置情報を検知し、それら各時点でのペン先の位置（紙面上での二次元位置）の連なりを表す筆跡データを得る。なお、この種の方式では、コードパターンにより、各点の位置情報の他に、その用紙又はページを識別する識別情報を表現することもできるので、この識別情報と登録文書１００の文書ＩＤ１０２とを同じ値とするか、又は両者の対応付けを行えば、紙文書３０上の特定の位置に識別情報３４をバーコード等の形で印刷する必要はない。
【００２３】
印刷装置２０は電子文書の画像を印刷できればよく、一般的なプリンタで構わない。ただし、前述の筆跡データの取得方法の一つとして、紙面に位置情報を埋め込む方法を採用する場合には、紙面に位置情報を埋め込む機能を持つ必要がある。ただし、電子文書処理装置１０が電子文書の画像に位置情報を重畳した画像データを生成する場合には、印刷装置２０はそのような機能を持たなくてもよい。
【００２４】
紙文書３０に持たせる識別情報３４は、バーコードなどの機械可読コード画像として、或いは人間にとって可読な例えば文字列などとして、紙文書３０上の特定の位置に印刷してもよい。また、上述のように、紙面に印刷される位置情報表示用にコードパターンに、その識別情報３４の内容を持たせてもよい。また、ＲＦＩＤタグなどのデータ保持可能な微小デバイスが装着或いは漉き込まれた用紙を用いる場合には、識別情報３４の値を用紙中のそのデバイスに書き込んでもよい。
【００２５】
署名値計算装置４７は、ユーザの署名鍵を用い、例えば公開鍵暗号方式等を利用した公知の電子署名アルゴリズムに従って、対象となるデータについての署名値を計算する。そして、（例えばＸＭＬ署名等の標準に従って）その署名値を対象となるデータに対応づける処理を行う。
【００２６】
文書管理システム６０は、署名デバイス４０によりユーザの電子署名及び手書き署名が施された電子文書（登録文書１００）を保存し、管理するシステムである。図３では、登録文書１００のうちの電子文書１０４、筆跡データ１０６、電子署名値１０８がそれぞれ電子文書ＤＢ（データベース）６２、筆跡データＤＢ６４、及び署名値ＤＢ６６に分かれて保管される例を示しているが、これは一例に過ぎない。電子文書１０４と筆跡データ１０６と電子署名値１０８を互いに対応づけて管理するものであれば、データベースの構成の仕方はどのようなものであってもよい。なお、文書管理システム６０内で互いに対応づけて管理された電子文書１０４と筆跡データ１０６と電子署名値１０８とは、更に文書管理システム６０の外部にあるドロワー５０に保管された紙文書３０と、例えば文書ＩＤ１０２（識別情報３４）を介して対応づけられている。
【００２７】
また、文書管理システム６０は、必ずしも１台のコンピュータ装置に実装される必要はない。電子文書１０４、筆跡データ１０６、及び電子署名値１０８が、手書き署名済みの紙文書３０と対応づけて記憶されれば十分である。したがって、例えば、電子文書１０４、筆跡データ１０６、及び電子署名値１０８を、それぞれ文書ＩＤ１０２と対応づけて別々の記憶装置に保存するなどの構成をとってもよい。
【００２８】
ドロワー５０は、手書き署名済みの紙文書３０を物理的に保管する保管庫である。保管された紙文書３０は、ユーザが電子文書／紙文書に電子／手書き署名を行ったことの物理的な証拠となる。なお、手書き署名済みの紙文書３０そのものを保管する代わりに、或いはこれに加えて、その紙文書３０をスキャンして得た読取画像データを保存するようにしてもよい。この場合、読取画像データは、例えば、識別情報３４を解析して得た文書ＩＤ１０２と対応づけて、データベースに保存しておけばよい。
【００２９】
次に図４を参照して、本システムの署名時の動作について説明する。
【００３０】
ユーザが電子文書に自らの署名を付すこととした場合、ユーザは、例えば電子文書処理装置１０に対して署名対象の電子文書を指定し、署名を施す旨の指示を行う。この指示に応じて、（１）電子文書処理装置１０は印刷装置２０に対し、その電子文書の画像を表すデータを送り、印刷指示を行う。（２）印刷装置２０は、送付されたデータを元に印刷を行い、電子文書が印刷された紙文書３０を出力する。
【００３１】
次にユーザは、（３）印刷された紙文書３０に対し署名デバイス４０のペン４３を用いて手書きで署名を行う。このとき署名デバイス４０は、筆跡データ取得装置４５により手書き署名の筆跡データ１０６を取得する。（４）手書き署名済みの紙文書３０はドロワー５０まで送られ、（５）ドロワー５０に格納される。ドロワー５０は、例えばこのシステムが設置されたオフィスに設けられた文書保管庫であってもよいし、署名された紙文書を安全に保管する業者又は公的機関の文書保管庫であってもよい。
【００３２】
次に署名デバイス４０は、（６）電子文書処理装置１０から署名対象の電子文書のハッシュ値を受け取る（文書データ入力装置４１）。電子文書のハッシュ値ではなく、電子文書そのものを受け取り、署名デバイス４０にてハッシュ値を計算してもよいが、通信量の削減のためここではハッシュ値を取得するものとする。
【００３３】
電子文書のハッシュ値を受け取った署名デバイス４０では、（７）署名値計算装置４７が、筆跡データとハッシュ値に対する署名値を計算する。具体的には、例えば、電子文書のハッシュ値と筆跡データとを連結させ、その連結結果のデータのハッシュ値を計算し、計算結果のハッシュ値に対して、内蔵するユーザの署名鍵で暗号化処理を行う。また、別の例として、電子文書のハッシュ値と筆跡データのハッシュ値とを連結し、その連結データに対するハッシュ値を計算し、この計算結果を署名鍵で暗号化してもよい。また、電子文書そのものと筆跡データとを連結したもののハッシュ値を、署名鍵で暗号化することで、署名値を計算してもよい。（８）署名デバイス４０は、このようにして計算された署名値と筆跡データを電子文書処理装置１０へ返す。
【００３４】
筆跡データと署名値を受け取った電子文書処理装置１０は、（９）これらのデータを署名対象の電子文書と合わせて文書管理システム６０へ送る。このとき、電子文書処理装置１０は、署名デバイス４０から受け取った署名値の検証を行ってもよい。電子文書処理装置１０で署名値の検証を行うことで、例えば署名デバイス４０がわざと別の電子文書に対する署名値を計算するなどという不正行為が検知できる（電子文書処理装置１０は、署名デバイス４０から不正の濡れ衣を着せることを避けられる）。
【００３５】
（１０）文書管理システム６０は、送られてきた電子文書、筆跡データ、署名値とを互いに対応づけて保存する。
【００３６】
次に、このようにして文書管理システム６０に登録された署名済みの電子文書（登録文書１００）の署名を検証するシステムについて、図５を参照して説明する。
【００３７】
署名検証システム７０は、電子署名の検証を行う電子署名検証装置７２と、筆跡データの検証を行う筆跡データ検証装置７８を備えている。検証鍵ＤＢ７４には、各ユーザの電子署名を検証するための検証鍵（例えば当該ユーザの公開鍵）が登録されている。検証鍵ＤＢ７４は、電子署名検証装置７２又は署名検証システム７０のプログラムがインストールされたコンピュータ内に設けられてもよいし、そのコンピュータにネットワークを介して接続されるリポジトリとして構成してもよい。スキャナ７６は、紙文書の紙面を光学的に読み取り、紙面の画像を表す画像データを生成する。スキャナ７６は、筆跡データ検証装置７８に対しその画像データを供給する。
【００３８】
図６は、この署名検証システム７０を用いた署名検証処理の一例を示している。この手順では、文書管理システム６０内にある登録文書１００に付された署名を検証する場合、ユーザは、その登録文書１００を指定する情報を署名検証システム７０に入力し、署名検証の実行を指示する。この指示を受けた場合、まず署名検証システム７０内の電子署名検証装置７２が、その指定情報が表す登録文書１００（すなわち電子文書１０４と筆跡データ１０６と電子署名値１０８とを含み、ドロワー５０内の紙文書３０との対応付けの情報（例えば文書ＩＤ１０２）を含むデータ）を文書管理システム６０から受け取る（Ｓ１０）。なお、ユーザが事前に文書管理システム６０から登録文書１００を取得し、これを署名検証システム７０に入力してもよい。次に、電子署名検証装置７２が、電子署名値１０８に含まれる検証鍵を特定する情報（鍵ＩＤなど）を用いて、検証鍵ＤＢ７４から検証鍵を検索して取得する（Ｓ１２）。検証鍵、電子文書、筆跡データ、署名値がそろったら、電子署名検証装置７２は、署名の検証を行う（Ｓ１４）。具体的には、電子文書のハッシュ値を計算し、そのハッシュ値と筆跡データを連結させたデータのハッシュ値を更に計算する。そして、この計算の結果と、署名値を検証鍵で復号したものとが一致するかどうかを調べる。一致した場合は検証成功とし、一致しない場合は検証失敗とする。この段階での検証失敗（Ｓ１６の判定結果が否定（Ｎ））は、電子文書、筆跡データ、署名値の何れかが改ざんされたことを意味する。この場合は、登録文書１００そのものが信頼できないので、処理を終える。
【００３９】
電子署名の検証に成功した場合（Ｓ１６の判定結果が肯定（Ｙ））、次に筆跡データ検証装置７８により筆跡データの検証を行う。これにはまず検証対象の電子文書に対応する紙文書をドロワー５０から探索する。この探索では、ドロワー５０内の紙文書３０の中から、登録文書１００の文書ＩＤ１０２に対応する識別情報３４を持つものを特定すればよい。そのような紙文書３０が見つかると、その紙文書３０をスキャナ７６で読み込み（Ｓ１８）、画像データに変換する。一方、登録文書１００中の筆跡データ１０６（これは時系列順に並んだ座標の列、乃至ベクトルデータなどとして表現されている）も、画像データ（例えばビットマップ画像）へ変換する。そして、スキャナ７６で読み取った画像データ中の手書き署名の画像と筆跡データ１０６が表す手書き署名の画像データとの比較を行い、一致の度合いを計算する（Ｓ２０）。画像の一致の度合いの計算には、既存の画像の比較技術を用いてよい。画像の比較を行う際に、事前に画像の傾きや大きさなどを、従来技術を用いて修正しても良い。ステップＳ２０の判定において一致の度合いが予め定めた閾値以上であるかどうかを判定する（Ｓ２２）。一致度合いが閾値に達しない場合は検証失敗と判定し、閾値以上の場合は検証成功と判定する。
【００４０】
その他、署名検証システム７０に付属するモニター上に筆跡の一致度合いを数値で表示したり、両者の手書き署名画像のうち一致している部分と一致していない部分を判別可能な状況で表示したりして、ユーザ（検証を指示した者）に両者の一致、不一致を判断させるようにしてもよい。
【００４１】
筆跡データ検証装置７８での検証が失敗した場合、署名検証システム７０は、検証対象の登録文書１００に対し何らかの不正が行われている可能性がある旨を示す情報を、例えばモニターを介してユーザ（検証を指示した者）に通知する。
【００４２】
例えば、電子文書処理装置１０が不正を働き、署名者が署名を行おうとしている文書Ａではない文書Ｂに対して署名をさせようとする場合、文書Ａのハッシュ値の代わりに文書Ｂのハッシュ値を署名デバイス４０に渡す攻撃が想定される。
【００４３】
この場合、署名デバイス４０は渡された文書Ｂのハッシュ値と、文書Ａの印刷出力に対する手書き署名の筆跡データを元に電子署名を行うことになる。ここで、電子文書処理装置１０がその電子署名の結果（電子署名値）と共に文書管理システム６０に登録する電子文書を文書Ｂにすり替えておけば、電子署名検証装置７２における電子署名の検証は成功してしまう。
【００４４】
ところが、そのとき署名者が行った手書き署名を持つ文書Ｂの紙文書は存在しないため、筆跡データ検証装置７８での検証は成功しない。すなわち、署名者は、文書Ａの画像を印刷した紙文書の内容を確認した上で手書き署名を施すので、署名者のそのときの手書き署名は文書Ａの紙文書上に正しく施されることになる。手書き署名の筆跡は、同じ人でも毎回異なるので、文書Ａの紙文書に行った手書き署名と同じ筆跡の手書き署名を持つ別の紙文書は存在しない。同じ筆跡と見なす幅（一致度合いの閾値）をある程度見込んだとしても、文書Ａへの手書き署名と同じ手書き署名を持つ別の紙文書が存在する確率は極めて低い。このため、電子文書処理装置１０が署名対象の電子文書をすり替える不正を行った場合には、署名結果である登録文書１００は極めて高い確率で筆跡検証が失敗することとなり、有効な文書として機能しない。
【００４５】
その代わりに、そのとき署名者が手書き署名を施した文書Ａの紙文書はドロワー５０内に存在する。文書Ａの紙文書に記された手書き署名と、文書Ｂに関連付けられた筆跡データとを筆跡データ検証装置７８で比較すれば、両者の一致が見出される。このため、署名者が署名をしたのは文書Ａであって、文書Ｂではないことが分かる。
【００４６】
図５及び図６の例では、ドロワー５０に保管した手書き署名済みの紙文書そのものを用いて筆跡検証を行ったが、これは必須のことではない。この代わりに、その紙文書のスキャン結果の画像データを保管しておき、その画像データ中の手書き署名と登録文書１００中の筆跡データ１０６とを比較することで筆跡検証を行ってもよい。例えば上述のような電子文書処理装置１０による不正等の検知へ利用するためには、紙文書をスキャンしてスキャン結果の画像データを保管するシステムを、電子文書処理装置１０とは別の装置としておけばよい。
【００４７】
以上のシステムにおいて、署名デバイス４０は、ユーザ個人の物であり、その中に内蔵されている署名鍵や、上述の各種の機能は、そのユーザにとって信頼できるとみなせる。この場合、電子文書処理装置１０，文書管理システム６０が仮に不正を働いたとしても、署名デバイス４０が生成するデータ自体は信頼でき、またドロワー５０に保管されている紙文書３０に対する改ざんは困難なので、その不正は電子署名検証又は手書き署名筆跡検証の失敗をもたらすこととなる。
【００４８】
以上に例示した実施形態のシステムにおいて、電子文書処理装置１０，文書管理システム６０，署名検証システム７０は、典型的には、それぞれ個別のコンピュータ上に実現される。ただし、これらのうちの２以上が同一のコンピュータ上に実現されてももちろん構わない。また、署名検証システム７０の内部機能（電子署名検証装置７２及び筆跡データ検証装置７８など）がそれぞれ相互に通信可能な別のコンピュータ上に実現されてもよい。
【００４９】
電子文書処理装置１０，文書管理システム６０，署名検証システム７０，及び署名デバイス４０のうち情報処理を行う部分は、典型的には、汎用のコンピュータにそれら各装置が実行する上述の機能を記述したプログラムを実行させることにより実現される。コンピュータは、例えば、ハードウエアとして、図７に示すように、ＣＰＵ２００等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）２０２およびリードオンリメモリ（ＲＯＭ）２０４等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）２０６を制御するＨＤＤコントローラ２０８、各種Ｉ／Ｏ（入出力）インタフェース２１０、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース２１２等が、例えばバス２１４を介して接続された回路構成を有する。また、そのバス２１４に対し、例えばＩ／Ｏインタフェース２１０経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ２１６、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダ・ライタ２１８、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭ２０２に読み出されＣＰＵ２００等のマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。
【図面の簡単な説明】
【００５０】
【図１】実施形態のシステムの概略構成を説明するための図である。
【図２】実施形態における文書管理の考え方を説明するための図である。
【図３】実施形態のシステムのうち、文書に署名を施す部分の一例を示す図である。
【図４】文書に対して署名を施す処理の流れを説明するための図である。
【図５】実施形態のシステムのうち、文書に付された署名を検証する部分の一例を示す図である。
【図６】署名検証の処理の一例を示すフローチャートである。
【図７】コンピュータのハードウエア構成の一例を示す図である。
【符号の説明】
【００５１】
１０ 電子文書処理装置、２０ 印刷装置、３０ 紙文書、３２ 署名、３４ 識別情報、４０ 署名デバイス、４１ 文書データ入力装置、４３ ペン、４５ 筆跡データ取得装置、４７ 署名値計算装置、４９ データ出力装置、５０ ドロワー、６０ 文書管理システム、７０ 署名検証システム、７２ 電子署名検証装置、７６ スキャナ、７８ 筆跡データ検証装置、１００ 登録文書。
【技術分野】
【０００１】
本発明は署名システム、署名装置、署名検証装置及びプログラムに関する。
【背景技術】
【０００２】
特許文献１に開示された装置は、手書きサイン，拇印，印鑑などを入力するアクション電子化手段、電子原本入力手段、電子原本表示手段、手書きサイン，拇印，印鑑のデータを電子署名技術で関連付ける署名処理手段、電子署名出力手段を一体的に構成したものである。署名処理手段は入力手段を介し電子原本を外部から受け取り、表示手段に渡して表示する。さらにアクション電子化手段からアクションデータを受け取り、電子原本とアクションデータとを合わせてアクション添付電子原本とし、このハッシュ値を計算する。署名鍵と対応する公開鍵証明書を取得し、ハッシュ値を署名鍵で暗号化し、公開鍵証明書を添付して電子署名とし、この電子署名とアクション添付電子原本とを合わせて署名添付電子原本とし、出力手段に渡して外部に出力する。
【０００３】
特許文献２には、手書き文書をスキャナで読み取り、読取結果の画像データに対してユーザの電子署名を施すことで、手書き文書の画像に電子署名を行う装置が開示されている。
【０００４】
【特許文献１】特開２００３−１３４１０８号公報
【特許文献２】特開２００３−３１８８８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明は、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、ユーザが第２の電子文書には署名していないことを証明できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
請求項１に係る発明は、電子文書を印刷し、前記電子文書に対応する紙文書を生成する印刷手段と、前記紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、前記電子署名値と、前記電子文書と、前記筆跡情報と、前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、を互いに対応づける対応付け手段と、前記電子文書に対応づけられた前記電子署名値が、前記電子文書と当該電子文書に対応づけられた前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、前記電子文書に対応づけられた前記筆跡情報と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、とを比較することで、前記筆跡情報を検証する手書き署名検証手段と、を備える署名システムである。
【０００７】
請求項２に係る発明は、請求項１に係る発明において、前記電子署名検証手段による検証が成功した場合でも、前記手書き署名検証手段による検証が失敗した場合には、前記電子文書に関して何らかの不正が行われた可能性がある旨の情報を通知する通知手段、を更に備える。
【０００８】
請求項３に係る発明は、電子文書の印刷結果である紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、前記電子署名値及び前記筆跡情報を、前記電子文書及び前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、対応づけできるように出力する出力手段と、を備える署名装置である。
【０００９】
請求項４に係る発明は、電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報に対する電子署名値と、を取得する取得手段と、前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段と、を備える署名検証装置である。
【００１０】
請求項５に係る発明は、コンピュータを、電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量と前記筆跡情報から生成される情報に対する電子署名値と、を取得する取得手段、前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段、として機能させるためのプログラムである。
【発明の効果】
【００１１】
請求項１，２，４又は５に係る発明によれば、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、手書き署名を施した紙文書又はこれを読み取った画像によりユーザが第２の電子文書には署名していないことを証明できる。
【００１２】
請求項３に係る発明によれば、ユーザが署名対象として指定した電子文書とは異なる第２の電子文書に電子署名が施された場合でも、ユーザが第２の電子文書には署名していないことを証明できるようにするための情報を生成することができる。
【発明を実施するための最良の形態】
【００１３】
まず図１を参照して、実施形態のシステムの概略構成を説明する。このシステムは、電子文書に対する電子署名と、その電子文書の印刷出力である紙文書への手書き署名とを組み合わせた署名及びその検証のための仕組みを提供する。
【００１４】
このシステムでは、電子文書処理装置１０が保持する署名対象の電子文書（文書ファイル）を印刷装置２０で印刷し、印刷結果の紙文書３０に対して、ユーザがペンを内蔵した署名デバイス４０により手書きで署名を行う。このようにして紙文書３０に手書きで施されたユーザの署名を、以下では手書き署名と呼ぶ。手書き署名を施された紙文書３０は、例えば信頼できる文書格納庫（ドロワー５０）に保管される。また、署名デバイス４０は、手書き署名の筆跡、すなわちペン先の軌跡であるストロークを検知する機能を備えており、その筆跡を表す筆跡データを生成する。また、署名デバイス４０は、ユーザの電子署名用の鍵（署名鍵、例えば公開鍵暗号系における秘密鍵）を記憶すると共に、電子署名機能を備えており、電子文書処理装置１０から署名対象の電子文書を取得し、その電子文書と手書き署名の筆跡データとを結合したデータに対して電子署名を施す。そして、署名デバイス４０が生成した電子署名の情報は、その電子文書、これに対応する手書き署名済みの紙文書、及び手書き署名の筆跡データと対応づけて、文書管理システム６０に登録される。
【００１５】
図２に、ドロワー５０に保管された署名済みの紙文書３０と、文書管理システム６０に登録された電子文書（登録電子文書１００）との対応関係の一例を概念的に示す。この例では、登録文書１００には、文書ＩＤ１０２，電子文書１０４，筆跡データ１０６，及び電子署名値１０８が含まれる。文書ＩＤ１０２は、この登録文書１００に対して文書管理システム６０が付与した一意な識別情報である。電子文書１０４は、署名対象の電子文書のデータそのものである。筆跡データ１０６は、その電子文書１０４の印刷出力である紙文書３０に対してユーザが施した手書き署名３２の筆跡データである。電子署名値１０８は、電子文書１０４と筆跡データ１０６とを連結したデータに対し、そのユーザの署名鍵により施した電子署名の署名値を含んだ署名情報である。また、紙文書３０上には、対応する登録文書１００の文書ＩＤ１０２を表す識別情報３４が、印刷（例えばバーコード印刷）その他の方式で埋め込まれている。文書ＩＤ１０２と識別情報３４は、登録文書１００と紙文書３０とを対応づける役割を果たしている。
【００１６】
署名デバイス４０により電子的方法及び手書きの両方の署名が施され、文書管理システム６０に保存された電子文書に対し、署名の検証が要求されると、署名検証システム７０は、まずその電子文書に対応づけられた電子署名を検証する。そして、その検証が成功した（すなわち真正な電子署名であると判定された）場合には、更にドロワー５０に保管された当該電子文書に対応する紙文書上の手書き署名と、当該電子文書に対応づけて文書管理システム６０に保存されている筆跡データを照合し、両者が同じ手書き署名を表しているかどうかを検証する。この検証が成功した（すなわち手書き署名と筆跡データとが一致すると判定された）場合に、その電子文書が、ユーザが署名を行った真正なものであると判定する。
【００１７】
次に、図３及び図４を参照して、この実施形態におけるユーザ署名のためのシステムについて更に詳しく説明する。図３及び図４において、図１に示したシステムの要素と同様の要素には同一の符号を付す。
【００１８】
電子文書処理装置１０は、１以上の電子文書を保持している。電子文書処理装置１０は、保持している電子文書の表示又は編集等の機能を持っていてもよい。また、電子文書処理装置１０は、電子文書を作成する機能を持っていてもよい。電子文書処理装置１０は、保持している電子文書に対してユーザの署名を求め、その署名結果の文書を文書管理システム６０に登録する。電子文書処理装置１０は、ユーザに対し署名を要求する処理を行うものであればどのようなものでもよい。例えば医師に対し電子カルテの内容に対する署名を要求する電子カルテシステム、責任者に対し承認の結果として署名を要求する稟議システム、遠隔で確定申告を行うシステムなどがそれに相当する。
【００１９】
最近では署名に用いる署名鍵はユーザ個人に帰属するものという意識から、電子文書処理装置１０内ではなく、それとは独立した例えばＩＣカードのようなデバイスで署名鍵を
管理するシステムが現れている。本実施形態でも署名鍵はペン型の署名デバイス４０内で管理されるものとする。
【００２０】
署名デバイス４０は、ペン型のデバイスであり、実際に紙文書３０に対し手書き署名を行うためのペン先であるペン４３に加え、電子署名のための情報処理を行うためのプロセッサ、メモリ、プログラムなどと、手書き署名の筆跡を読み取るためのカメラその他のハードウエア及びプログラムを備えている。すなわち、署名デバイス４０は、電子文書処理装置１０から署名対象の電子文書に関するデータを受け取る文書データ入力装置４１と、ペン４３による手書き署名の筆跡データを取得するための筆跡データ取得装置４５と、内蔵するユーザの署名鍵を用いて文書データ入力装置に入力された情報および筆跡データに対する署名値を計算する署名値計算装置４７と、筆跡データおよび署名値を出力するデータ出力装置４９とを備える。
【００２１】
筆跡データ取得装置４５にて筆跡データを取得する方法はいくつか考えることができる。例えば、一例として、署名デバイス４０に加速度センサーを内蔵させ、このセンサーの計測結果から署名デバイス４０の動きを分析し、その動きの情報を筆跡データとして得る方法がある。また、別の方法として、手書き記入の際の下敷きとしてデジタイザ機能を備えたタブレットデバイスを用い、署名デバイス４０のペン先の時々刻々の位置をタブレットデバイスから取得し、取得したペン先の位置の時間変化を筆跡データとして得る方法もある。
【００２２】
また、更に別の方法として、いわゆるデジタルペンを用いる方法がある。この方法の一例では、紙面上での各点の位置を表す位置情報をドットパターンなどのコードパターンとして電子文書の画像に重畳して用紙に印刷し、又はそのようなコードパターンがあらかじめ印刷された用紙に電子文書の画像を印刷し、その位置情報を用いて筆跡データを求める（例えば特開２００７−０４１６９１号公報）。この種の方式では、署名デバイス４０に内蔵されたカメラで、署名作業の際の各時点でのペン先の位置にある位置情報を検知し、それら各時点でのペン先の位置（紙面上での二次元位置）の連なりを表す筆跡データを得る。なお、この種の方式では、コードパターンにより、各点の位置情報の他に、その用紙又はページを識別する識別情報を表現することもできるので、この識別情報と登録文書１００の文書ＩＤ１０２とを同じ値とするか、又は両者の対応付けを行えば、紙文書３０上の特定の位置に識別情報３４をバーコード等の形で印刷する必要はない。
【００２３】
印刷装置２０は電子文書の画像を印刷できればよく、一般的なプリンタで構わない。ただし、前述の筆跡データの取得方法の一つとして、紙面に位置情報を埋め込む方法を採用する場合には、紙面に位置情報を埋め込む機能を持つ必要がある。ただし、電子文書処理装置１０が電子文書の画像に位置情報を重畳した画像データを生成する場合には、印刷装置２０はそのような機能を持たなくてもよい。
【００２４】
紙文書３０に持たせる識別情報３４は、バーコードなどの機械可読コード画像として、或いは人間にとって可読な例えば文字列などとして、紙文書３０上の特定の位置に印刷してもよい。また、上述のように、紙面に印刷される位置情報表示用にコードパターンに、その識別情報３４の内容を持たせてもよい。また、ＲＦＩＤタグなどのデータ保持可能な微小デバイスが装着或いは漉き込まれた用紙を用いる場合には、識別情報３４の値を用紙中のそのデバイスに書き込んでもよい。
【００２５】
署名値計算装置４７は、ユーザの署名鍵を用い、例えば公開鍵暗号方式等を利用した公知の電子署名アルゴリズムに従って、対象となるデータについての署名値を計算する。そして、（例えばＸＭＬ署名等の標準に従って）その署名値を対象となるデータに対応づける処理を行う。
【００２６】
文書管理システム６０は、署名デバイス４０によりユーザの電子署名及び手書き署名が施された電子文書（登録文書１００）を保存し、管理するシステムである。図３では、登録文書１００のうちの電子文書１０４、筆跡データ１０６、電子署名値１０８がそれぞれ電子文書ＤＢ（データベース）６２、筆跡データＤＢ６４、及び署名値ＤＢ６６に分かれて保管される例を示しているが、これは一例に過ぎない。電子文書１０４と筆跡データ１０６と電子署名値１０８を互いに対応づけて管理するものであれば、データベースの構成の仕方はどのようなものであってもよい。なお、文書管理システム６０内で互いに対応づけて管理された電子文書１０４と筆跡データ１０６と電子署名値１０８とは、更に文書管理システム６０の外部にあるドロワー５０に保管された紙文書３０と、例えば文書ＩＤ１０２（識別情報３４）を介して対応づけられている。
【００２７】
また、文書管理システム６０は、必ずしも１台のコンピュータ装置に実装される必要はない。電子文書１０４、筆跡データ１０６、及び電子署名値１０８が、手書き署名済みの紙文書３０と対応づけて記憶されれば十分である。したがって、例えば、電子文書１０４、筆跡データ１０６、及び電子署名値１０８を、それぞれ文書ＩＤ１０２と対応づけて別々の記憶装置に保存するなどの構成をとってもよい。
【００２８】
ドロワー５０は、手書き署名済みの紙文書３０を物理的に保管する保管庫である。保管された紙文書３０は、ユーザが電子文書／紙文書に電子／手書き署名を行ったことの物理的な証拠となる。なお、手書き署名済みの紙文書３０そのものを保管する代わりに、或いはこれに加えて、その紙文書３０をスキャンして得た読取画像データを保存するようにしてもよい。この場合、読取画像データは、例えば、識別情報３４を解析して得た文書ＩＤ１０２と対応づけて、データベースに保存しておけばよい。
【００２９】
次に図４を参照して、本システムの署名時の動作について説明する。
【００３０】
ユーザが電子文書に自らの署名を付すこととした場合、ユーザは、例えば電子文書処理装置１０に対して署名対象の電子文書を指定し、署名を施す旨の指示を行う。この指示に応じて、（１）電子文書処理装置１０は印刷装置２０に対し、その電子文書の画像を表すデータを送り、印刷指示を行う。（２）印刷装置２０は、送付されたデータを元に印刷を行い、電子文書が印刷された紙文書３０を出力する。
【００３１】
次にユーザは、（３）印刷された紙文書３０に対し署名デバイス４０のペン４３を用いて手書きで署名を行う。このとき署名デバイス４０は、筆跡データ取得装置４５により手書き署名の筆跡データ１０６を取得する。（４）手書き署名済みの紙文書３０はドロワー５０まで送られ、（５）ドロワー５０に格納される。ドロワー５０は、例えばこのシステムが設置されたオフィスに設けられた文書保管庫であってもよいし、署名された紙文書を安全に保管する業者又は公的機関の文書保管庫であってもよい。
【００３２】
次に署名デバイス４０は、（６）電子文書処理装置１０から署名対象の電子文書のハッシュ値を受け取る（文書データ入力装置４１）。電子文書のハッシュ値ではなく、電子文書そのものを受け取り、署名デバイス４０にてハッシュ値を計算してもよいが、通信量の削減のためここではハッシュ値を取得するものとする。
【００３３】
電子文書のハッシュ値を受け取った署名デバイス４０では、（７）署名値計算装置４７が、筆跡データとハッシュ値に対する署名値を計算する。具体的には、例えば、電子文書のハッシュ値と筆跡データとを連結させ、その連結結果のデータのハッシュ値を計算し、計算結果のハッシュ値に対して、内蔵するユーザの署名鍵で暗号化処理を行う。また、別の例として、電子文書のハッシュ値と筆跡データのハッシュ値とを連結し、その連結データに対するハッシュ値を計算し、この計算結果を署名鍵で暗号化してもよい。また、電子文書そのものと筆跡データとを連結したもののハッシュ値を、署名鍵で暗号化することで、署名値を計算してもよい。（８）署名デバイス４０は、このようにして計算された署名値と筆跡データを電子文書処理装置１０へ返す。
【００３４】
筆跡データと署名値を受け取った電子文書処理装置１０は、（９）これらのデータを署名対象の電子文書と合わせて文書管理システム６０へ送る。このとき、電子文書処理装置１０は、署名デバイス４０から受け取った署名値の検証を行ってもよい。電子文書処理装置１０で署名値の検証を行うことで、例えば署名デバイス４０がわざと別の電子文書に対する署名値を計算するなどという不正行為が検知できる（電子文書処理装置１０は、署名デバイス４０から不正の濡れ衣を着せることを避けられる）。
【００３５】
（１０）文書管理システム６０は、送られてきた電子文書、筆跡データ、署名値とを互いに対応づけて保存する。
【００３６】
次に、このようにして文書管理システム６０に登録された署名済みの電子文書（登録文書１００）の署名を検証するシステムについて、図５を参照して説明する。
【００３７】
署名検証システム７０は、電子署名の検証を行う電子署名検証装置７２と、筆跡データの検証を行う筆跡データ検証装置７８を備えている。検証鍵ＤＢ７４には、各ユーザの電子署名を検証するための検証鍵（例えば当該ユーザの公開鍵）が登録されている。検証鍵ＤＢ７４は、電子署名検証装置７２又は署名検証システム７０のプログラムがインストールされたコンピュータ内に設けられてもよいし、そのコンピュータにネットワークを介して接続されるリポジトリとして構成してもよい。スキャナ７６は、紙文書の紙面を光学的に読み取り、紙面の画像を表す画像データを生成する。スキャナ７６は、筆跡データ検証装置７８に対しその画像データを供給する。
【００３８】
図６は、この署名検証システム７０を用いた署名検証処理の一例を示している。この手順では、文書管理システム６０内にある登録文書１００に付された署名を検証する場合、ユーザは、その登録文書１００を指定する情報を署名検証システム７０に入力し、署名検証の実行を指示する。この指示を受けた場合、まず署名検証システム７０内の電子署名検証装置７２が、その指定情報が表す登録文書１００（すなわち電子文書１０４と筆跡データ１０６と電子署名値１０８とを含み、ドロワー５０内の紙文書３０との対応付けの情報（例えば文書ＩＤ１０２）を含むデータ）を文書管理システム６０から受け取る（Ｓ１０）。なお、ユーザが事前に文書管理システム６０から登録文書１００を取得し、これを署名検証システム７０に入力してもよい。次に、電子署名検証装置７２が、電子署名値１０８に含まれる検証鍵を特定する情報（鍵ＩＤなど）を用いて、検証鍵ＤＢ７４から検証鍵を検索して取得する（Ｓ１２）。検証鍵、電子文書、筆跡データ、署名値がそろったら、電子署名検証装置７２は、署名の検証を行う（Ｓ１４）。具体的には、電子文書のハッシュ値を計算し、そのハッシュ値と筆跡データを連結させたデータのハッシュ値を更に計算する。そして、この計算の結果と、署名値を検証鍵で復号したものとが一致するかどうかを調べる。一致した場合は検証成功とし、一致しない場合は検証失敗とする。この段階での検証失敗（Ｓ１６の判定結果が否定（Ｎ））は、電子文書、筆跡データ、署名値の何れかが改ざんされたことを意味する。この場合は、登録文書１００そのものが信頼できないので、処理を終える。
【００３９】
電子署名の検証に成功した場合（Ｓ１６の判定結果が肯定（Ｙ））、次に筆跡データ検証装置７８により筆跡データの検証を行う。これにはまず検証対象の電子文書に対応する紙文書をドロワー５０から探索する。この探索では、ドロワー５０内の紙文書３０の中から、登録文書１００の文書ＩＤ１０２に対応する識別情報３４を持つものを特定すればよい。そのような紙文書３０が見つかると、その紙文書３０をスキャナ７６で読み込み（Ｓ１８）、画像データに変換する。一方、登録文書１００中の筆跡データ１０６（これは時系列順に並んだ座標の列、乃至ベクトルデータなどとして表現されている）も、画像データ（例えばビットマップ画像）へ変換する。そして、スキャナ７６で読み取った画像データ中の手書き署名の画像と筆跡データ１０６が表す手書き署名の画像データとの比較を行い、一致の度合いを計算する（Ｓ２０）。画像の一致の度合いの計算には、既存の画像の比較技術を用いてよい。画像の比較を行う際に、事前に画像の傾きや大きさなどを、従来技術を用いて修正しても良い。ステップＳ２０の判定において一致の度合いが予め定めた閾値以上であるかどうかを判定する（Ｓ２２）。一致度合いが閾値に達しない場合は検証失敗と判定し、閾値以上の場合は検証成功と判定する。
【００４０】
その他、署名検証システム７０に付属するモニター上に筆跡の一致度合いを数値で表示したり、両者の手書き署名画像のうち一致している部分と一致していない部分を判別可能な状況で表示したりして、ユーザ（検証を指示した者）に両者の一致、不一致を判断させるようにしてもよい。
【００４１】
筆跡データ検証装置７８での検証が失敗した場合、署名検証システム７０は、検証対象の登録文書１００に対し何らかの不正が行われている可能性がある旨を示す情報を、例えばモニターを介してユーザ（検証を指示した者）に通知する。
【００４２】
例えば、電子文書処理装置１０が不正を働き、署名者が署名を行おうとしている文書Ａではない文書Ｂに対して署名をさせようとする場合、文書Ａのハッシュ値の代わりに文書Ｂのハッシュ値を署名デバイス４０に渡す攻撃が想定される。
【００４３】
この場合、署名デバイス４０は渡された文書Ｂのハッシュ値と、文書Ａの印刷出力に対する手書き署名の筆跡データを元に電子署名を行うことになる。ここで、電子文書処理装置１０がその電子署名の結果（電子署名値）と共に文書管理システム６０に登録する電子文書を文書Ｂにすり替えておけば、電子署名検証装置７２における電子署名の検証は成功してしまう。
【００４４】
ところが、そのとき署名者が行った手書き署名を持つ文書Ｂの紙文書は存在しないため、筆跡データ検証装置７８での検証は成功しない。すなわち、署名者は、文書Ａの画像を印刷した紙文書の内容を確認した上で手書き署名を施すので、署名者のそのときの手書き署名は文書Ａの紙文書上に正しく施されることになる。手書き署名の筆跡は、同じ人でも毎回異なるので、文書Ａの紙文書に行った手書き署名と同じ筆跡の手書き署名を持つ別の紙文書は存在しない。同じ筆跡と見なす幅（一致度合いの閾値）をある程度見込んだとしても、文書Ａへの手書き署名と同じ手書き署名を持つ別の紙文書が存在する確率は極めて低い。このため、電子文書処理装置１０が署名対象の電子文書をすり替える不正を行った場合には、署名結果である登録文書１００は極めて高い確率で筆跡検証が失敗することとなり、有効な文書として機能しない。
【００４５】
その代わりに、そのとき署名者が手書き署名を施した文書Ａの紙文書はドロワー５０内に存在する。文書Ａの紙文書に記された手書き署名と、文書Ｂに関連付けられた筆跡データとを筆跡データ検証装置７８で比較すれば、両者の一致が見出される。このため、署名者が署名をしたのは文書Ａであって、文書Ｂではないことが分かる。
【００４６】
図５及び図６の例では、ドロワー５０に保管した手書き署名済みの紙文書そのものを用いて筆跡検証を行ったが、これは必須のことではない。この代わりに、その紙文書のスキャン結果の画像データを保管しておき、その画像データ中の手書き署名と登録文書１００中の筆跡データ１０６とを比較することで筆跡検証を行ってもよい。例えば上述のような電子文書処理装置１０による不正等の検知へ利用するためには、紙文書をスキャンしてスキャン結果の画像データを保管するシステムを、電子文書処理装置１０とは別の装置としておけばよい。
【００４７】
以上のシステムにおいて、署名デバイス４０は、ユーザ個人の物であり、その中に内蔵されている署名鍵や、上述の各種の機能は、そのユーザにとって信頼できるとみなせる。この場合、電子文書処理装置１０，文書管理システム６０が仮に不正を働いたとしても、署名デバイス４０が生成するデータ自体は信頼でき、またドロワー５０に保管されている紙文書３０に対する改ざんは困難なので、その不正は電子署名検証又は手書き署名筆跡検証の失敗をもたらすこととなる。
【００４８】
以上に例示した実施形態のシステムにおいて、電子文書処理装置１０，文書管理システム６０，署名検証システム７０は、典型的には、それぞれ個別のコンピュータ上に実現される。ただし、これらのうちの２以上が同一のコンピュータ上に実現されてももちろん構わない。また、署名検証システム７０の内部機能（電子署名検証装置７２及び筆跡データ検証装置７８など）がそれぞれ相互に通信可能な別のコンピュータ上に実現されてもよい。
【００４９】
電子文書処理装置１０，文書管理システム６０，署名検証システム７０，及び署名デバイス４０のうち情報処理を行う部分は、典型的には、汎用のコンピュータにそれら各装置が実行する上述の機能を記述したプログラムを実行させることにより実現される。コンピュータは、例えば、ハードウエアとして、図７に示すように、ＣＰＵ２００等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）２０２およびリードオンリメモリ（ＲＯＭ）２０４等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）２０６を制御するＨＤＤコントローラ２０８、各種Ｉ／Ｏ（入出力）インタフェース２１０、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース２１２等が、例えばバス２１４を介して接続された回路構成を有する。また、そのバス２１４に対し、例えばＩ／Ｏインタフェース２１０経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ２１６、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダ・ライタ２１８、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭ２０２に読み出されＣＰＵ２００等のマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。
【図面の簡単な説明】
【００５０】
【図１】実施形態のシステムの概略構成を説明するための図である。
【図２】実施形態における文書管理の考え方を説明するための図である。
【図３】実施形態のシステムのうち、文書に署名を施す部分の一例を示す図である。
【図４】文書に対して署名を施す処理の流れを説明するための図である。
【図５】実施形態のシステムのうち、文書に付された署名を検証する部分の一例を示す図である。
【図６】署名検証の処理の一例を示すフローチャートである。
【図７】コンピュータのハードウエア構成の一例を示す図である。
【符号の説明】
【００５１】
１０ 電子文書処理装置、２０ 印刷装置、３０ 紙文書、３２ 署名、３４ 識別情報、４０ 署名デバイス、４１ 文書データ入力装置、４３ ペン、４５ 筆跡データ取得装置、４７ 署名値計算装置、４９ データ出力装置、５０ ドロワー、６０ 文書管理システム、７０ 署名検証システム、７２ 電子署名検証装置、７６ スキャナ、７８ 筆跡データ検証装置、１００ 登録文書。
【特許請求の範囲】
【請求項１】
電子文書を印刷し、前記電子文書に対応する紙文書を生成する印刷手段と、
前記紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、
前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、
前記電子署名値と、前記電子文書と、前記筆跡情報と、前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、を互いに対応づける対応付け手段と、
前記電子文書に対応づけられた前記電子署名値が、前記電子文書と当該電子文書に対応づけられた前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、
前記電子文書に対応づけられた前記筆跡情報と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、とを比較することで、前記筆跡情報を検証する手書き署名検証手段と、
を備える署名システム。
【請求項２】
前記電子署名検証手段による検証が成功した場合でも、前記手書き署名検証手段による検証が失敗した場合には、前記電子文書に関して何らかの不正が行われた可能性がある旨の情報を通知する通知手段、
を更に備える請求項１記載の署名システム。
【請求項３】
電子文書の印刷結果である紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、
前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、
前記電子署名値及び前記筆跡情報を、前記電子文書及び前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、対応づけできるように出力する出力手段と、
を備える署名装置。
【請求項４】
電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報に対する電子署名値と、を取得する取得手段と、
前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、
前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段と、
を備える署名検証装置。
【請求項５】
コンピュータを、
電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量と前記筆跡情報から生成される情報に対する電子署名値と、を取得する取得手段、
前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段、
前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段、
として機能させるためのプログラム。
【請求項１】
電子文書を印刷し、前記電子文書に対応する紙文書を生成する印刷手段と、
前記紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、
前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、
前記電子署名値と、前記電子文書と、前記筆跡情報と、前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、を互いに対応づける対応付け手段と、
前記電子文書に対応づけられた前記電子署名値が、前記電子文書と当該電子文書に対応づけられた前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、
前記電子文書に対応づけられた前記筆跡情報と、前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、とを比較することで、前記筆跡情報を検証する手書き署名検証手段と、
を備える署名システム。
【請求項２】
前記電子署名検証手段による検証が成功した場合でも、前記手書き署名検証手段による検証が失敗した場合には、前記電子文書に関して何らかの不正が行われた可能性がある旨の情報を通知する通知手段、
を更に備える請求項１記載の署名システム。
【請求項３】
電子文書の印刷結果である紙文書に対して署名者が記入した手書き署名の筆跡情報を取得する取得手段と、
前記署名者の署名鍵を用いて、前記電子文書及び前記筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報から生成される情報に対する電子署名値を計算する署名値計算手段と、
前記電子署名値及び前記筆跡情報を、前記電子文書及び前記署名者により前記手書き署名が記入された後の紙文書又は当該紙文書の読取画像と、対応づけできるように出力する出力手段と、
を備える署名装置。
【請求項４】
電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量及び前記筆跡情報に対する電子署名値と、を取得する取得手段と、
前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段と、
前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段と、
を備える署名検証装置。
【請求項５】
コンピュータを、
電子文書及び当該電子文書に対応する紙文書に記入された署名者の手書き署名の筆跡を表す筆跡情報、又は、当該電子文書の特徴量と前記筆跡情報から生成される情報に対する電子署名値と、を取得する取得手段、
前記電子署名値が、前記電子文書と前記筆跡情報との組合せに対する電子署名値として正しいか否かを検証する電子署名検証手段、
前記電子文書に対応づけられた前記署名者により前記手書き署名が記入された後の紙文書の読取画像と、前記筆跡情報と、を比較することで、前記筆跡情報を検証する手書き署名検証手段、
として機能させるためのプログラム。
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図１】
【図３】
【図４】
【図５】
【図６】
【図７】
【図１】
【公開番号】特開２０１０−１５４０５１（Ｐ２０１０−１５４０５１Ａ）
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願番号】特願２００８−３２８０００（Ｐ２００８−３２８０００）
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]