通信システム、通信装置、通信制御方法および通信制御プログラム
【課題】一時的な不正を行なった通信装置を迅速にブロックでき、かつ、当該通信装置が不正を行なわなくなった場合に少ない手順で復帰できる通信システム、通信装置、通信制御方法および通信制御プログラムを提供すること。
【解決手段】共通のローカルエリアネットワークによって接続された複数のノードは、インターネットに接続可能であり、かつ、自身の電子証明書を保持可能なＭＦＰ１と、インターネットに接続不能であるＭＦＰ＿ＬＭとを含む。ＭＦＰ１は、ＭＦＰ＿ＬＭの状況を監視することで、ＭＦＰ＿ＬＭの不正の有無を検知する（ステップＳ１０２，Ｓ１０４）。ＭＦＰ＿ＬＭの不正が検知された場合に、ＭＦＰ＿ＬＭとの通信を制限する（ステップＳ１０６）。ＭＦＰ１によりＭＦＰ＿ＬＭの不正が解消されたことが検知された場合には、ＭＦＰ＿ＬＭとの通信の制限が解除される。
【解決手段】共通のローカルエリアネットワークによって接続された複数のノードは、インターネットに接続可能であり、かつ、自身の電子証明書を保持可能なＭＦＰ１と、インターネットに接続不能であるＭＦＰ＿ＬＭとを含む。ＭＦＰ１は、ＭＦＰ＿ＬＭの状況を監視することで、ＭＦＰ＿ＬＭの不正の有無を検知する（ステップＳ１０２，Ｓ１０４）。ＭＦＰ＿ＬＭの不正が検知された場合に、ＭＦＰ＿ＬＭとの通信を制限する（ステップＳ１０６）。ＭＦＰ１によりＭＦＰ＿ＬＭの不正が解消されたことが検知された場合には、ＭＦＰ＿ＬＭとの通信の制限が解除される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信装置、通信制御方法および通信制御プログラムに関し、特に、電子証明書を利用したセキュア通信が可能な通信システム、通信装置、通信制御方法および通信制御プログラムに関する。
【背景技術】
【０００２】
従来から、電子証明書を利用したセキュア通信が可能な通信システムが存在する。電子証明書は、認証局と呼ばれる証明書発行装置（以下「ＣＡ（Certificate Authority）」という）によって発行および管理される。ＣＡは、また、ＣＲＬ（Certificate Revocation List）を配布する。ＣＲＬは、誤発行などの理由で有効期間内に失効させられた電子証明書の一覧で、電子証明書の受取人は、証明書とＣＲＬとを照合することにより、電子証明書が現在も有効であるかどうかを確認できる。
【０００３】
一方で、特許文献１には、機器の認証システムにおいて、通信相手が有効か無効かを判断するためにブラックリストとホワイトリストとを同時に保持する提案もなされている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】ＷＯ２００５／０５２８０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ある通信装置が何らの不正を行なう場合、安全上、その通信装置との通信をブロックする必要がある。上述のようなＣＲＬへの登録をＣＡに依頼することも可能であるが、一度ＣＲＬに登録されると、その電子証明書または通信装置は利用できなくなってしまう。したがって、通信装置が行なった不正がたとえばウィルス感染など一時的なものである場合にまでＣＲＬに登録すると、ウィルスが駆除されてもその電子証明書または通信装置は使うことができず、不都合をきたす。
【０００６】
そのため、一時的な不正の場合には、その不正を行なった通信装置の通信をブロックするとともに、少ない手順で復帰できるシステムが必要となる。
【０００７】
上記特許文献１の技術では、ブラックリストとホワイトリストがあるため、各通信装置は、どちらが新しいかを判断しなければならない。また、受取ったリストによって通信相手が有効か無効かの判断をしなければならず、自分自身で通信相手の監視を行なえない。したがって、迅速に、不正を行なった通信装置のブロックおよびブロック解除を行なうことができない。
【０００８】
本発明は、上記のような問題を解決するためになされたものであって、その目的は、一時的な不正を行なった通信装置を迅速にブロックでき、かつ、当該通信装置が不正を行なわなくなった場合に少ない手順で復帰できる通信システム、通信装置、通信制御方法および通信制御プログラムを提供することである。
【課題を解決するための手段】
【０００９】
この発明のある局面に従う通信システムは、電子証明書を利用したセキュア通信が可能な通信システムであって、共通のローカルエリアネットワークによって接続された複数のノードを備え、複数のノードは、インターネットに接続可能であり、かつ、自身の電子証明書を保持可能な第１の通信装置と、インターネットに接続不能である第２の通信装置とを含む。第１の通信装置は、第２の通信装置の状況を監視することで、第２の通信装置の不正の有無を検知するための第１の監視手段と、第１の監視手段により第２の通信装置の不正が検知された場合に、第２の通信装置との通信を制限するための制限手段とを有し、制限手段は、第１の監視手段により第２の通信装置の不正が解消されたことが検知された場合には、第２の通信装置との通信の制限を解除する。
【００１０】
好ましくは、複数のノードは、自身の電子証明書を保持可能な第３の通信装置をさらに含み、第１の通信装置は、ローカルエリアネットワーク内で有効なブラックリストを管理するための管理手段をさらに有し、管理手段は、第１の監視手段により第２の通信装置の不正が検知された場合に、第２の通信装置の電子証明書を失効させるための失効特定情報を記述したブラックリストを第３の通信装置に配布する。
【００１１】
好ましくは、ブラックリストには、さらに、第２の通信装置の復帰条件が記述される。
好ましくは、失効特定情報は、第２の通信装置の電子証明書を特定するための情報、および、第２の通信装置を特定するための情報の少なくともいずれかを含む。
【００１２】
好ましくは、第３の通信装置は、第２の通信装置の状況を監視するための第２の監視手段を有し、第１の監視手段は、さらに、第２の監視手段が検知した第２の通信装置の状況の情報を受けて、第２の通信装置の不正の有無を検知する。
【００１３】
好ましくは、第１の監視手段は、第２の通信装置が、予め定められた監視ポリシーを犯しているかどうかを監視することによって、不正の有無を検知する。
【００１４】
好ましくは、監視ポリシーは、第２の通信装置と他の通信装置との通信制限の違反を含む。
【００１５】
好ましくは、復帰条件は、監視ポリシーを再び満足するために必要な条件を示す。
好ましくは、復帰条件は、第２の通信装置に管理者操作が入ったことが検知されたことを示す条件を含む。
【００１６】
好ましくは、ブラックリストには、第１の通信装置の署名がなされている。
好ましくは、管理手段は、第１の監視手段によって第２の通信装置の不正が解消されたことが検知された場合には、第２の通信装置との通信の制限を解除するための解除情報を第３の通信装置に送信するための手段をさらに有する。
【００１７】
好ましくは、解除情報は、第２の通信装置についての失効特定情報が削除されたブラックリストである。
【００１８】
好ましくは、ブラックリストには、不正を行なった第２の通信装置の通信を制限する期間を示す有効期限がさらに記述される。
【００１９】
好ましくは、第１の通信装置は、第２の通信装置の電子証明書を代理で取得および保持する。
【００２０】
この発明の他の局面に従う通信装置は、電子証明書を利用したセキュア通信が可能な通信装置であって、自身の電子証明書を保持するための記憶手段と、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するための監視手段と、監視手段により他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するための制限手段とを有し、制限手段は、監視手段により他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除する。
【００２１】
この発明のさらに他の局面に従う通信制御方法は、電子証明書を利用したセキュア通信が可能な通信装置を制御するための方法であって、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するステップと、他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するステップと、他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除するステップとを含む。
【００２２】
この発明のさらに他の局面に従う通信制御プログラムは、電子証明書を利用したセキュア通信が可能な通信装置を制御するためのプログラムであって、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するステップと、他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するステップと、他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除するステップとを含む。
【発明の効果】
【００２３】
本発明によると、インターネットに接続可能な通信装置自身が、ローカルエリアネットワーク内の通信装置の監視を行なう。したがって、監視下の通信装置が一時的な不正を行なった場合、当該通信装置との通信を迅速にブロック（または電子証明書を利用停止）できるとともに、当該通信装置が不正を行なわなくなった場合には少ない手順で復帰させることが可能となる。
【図面の簡単な説明】
【００２４】
【図１】本発明の実施の形態１に係る通信システムの構成を模式的に示す図である。
【図２】本発明の実施の形態１におけるネットワーク（イントラネット）の構成を模式的に示す図である。
【図３】本発明の実施の形態１に係る通信装置（ＭＦＰ）の概略のハードウェア構成を示す図である。
【図４】本発明の実施の形態１に係るＣＡのハードウェア構成を模式的に示す図である。
【図５】本発明の実施の形態１に係るＰＣのハードウェア構成を模式的に示す図である。
【図６】図１に示したＭＦＰ１の機能構成を示す図である。
【図７】図１に示したＭＦＰ２，３の機能構成を示す図である。
【図８】図１に示したＭＦＰ＿ＬＭの機能構成を示す図である。
【図９】本発明の実施の形態１において、電子証明書を代理取得する際のデータの流れを示す図である。
【図１０】本発明の実施の形態１における、電子証明書の代理取得処理を示すフローチャートである。
【図１１】本発明の実施の形態１において、電子証明書を利用した通信の仲介処理の際のデータの流れを示す図である。
【図１２】本発明の実施の形態１における、電子証明書を利用した仲介処理を示すフローチャートである。
【図１３】本発明の実施の形態１におけるローカルＣＲＬのデータ構造例を示す図である。
【図１４】本発明の実施の形態１における不正監視処理を示すフローチャートである。
【図１５】本発明の実施の形態１における復帰監視処理を示すフローチャートである。
【図１６】本発明の実施の形態２に係る通信システムの構成を模式的に示す図である。
【発明を実施するための形態】
【００２５】
本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００２６】
［実施の形態１］
＜通信システムの概要について＞
図１は、本発明の実施の形態１に係る通信システムの構成を模式的に示す図である。
【００２７】
図１を参照して、通信システムは、複数の通信装置として、たとえば、ＭＦＰ（Multi Function Peripheral）１０Ａ，１０Ｂ，１０Ｃ，１０Ｌを含む。なお、本実施の形態では、複数の通信装置の全てがＭＦＰとして説明するが、これらの全てまたは一部は、直接的または間接的に電子証明書を利用した通信が可能な装置であれば、ＰＣ（Personal Computer）、複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【００２８】
ＭＦＰ１０Ａ，１０Ｂ，１０Ｃ，１０Ｌは、ＬＡＮ（Local Area Network）の一形態である共通のイントラネットに接続されたノードを構成している。ＭＦＰ１０Ａ，１０Ｂ，１０Ｃは、各々、インターネットを介して外部のＣＡ（証明書発行装置）３０やＰＣ４０と通信可能であるのに対し、ＭＦＰ１０Ｌは、イントラネット外の装置と直接通信することはできない。ＭＦＰ１０Ｌは、イントラネット内でのみ通信が可能なローカルな通信装置であり、外部装置と通信する場合は、ＭＦＰ１０Ａを仲介して行なう。また、ＭＦＰ１０Ａ〜１０Ｃは、各々、ＣＡ３０で発行された、自身の電子証明書を保持している。これに対し、ＭＦＰ１０Ｌは、自身の電子証明書を保持することができないため、ＭＦＰ１０Ａが、ＭＦＰ１０Ｌの電子証明書を保持している。したがって、ＭＦＰ１０Ｌが他の通信装置（イントラネット内外を問わない）とセキュア通信するためには、ＭＦＰ１０Ａを仲介としてデータの送受信を行なう。
【００２９】
本実施の形態において、ＭＦＰ１０Ｌのような、インターネットに接続不能であり、かつ、自身の電子証明書がイントラネット内の他の通信装置（ＭＦＰ１０Ａ）によって代理で保持されるＭＦＰを、「ＭＦＰ＿ＬＭ」と表わす。「Ｌ」はローカルを意味し、「Ｍ」は“mini”の略であり、他のＭＦＰより簡易な構成（電子証明書を自分で保持できない）であることを示している。
【００３０】
図１において、ＭＦＰ１０Ａ、ＭＦＰ１０Ｂ、ＭＦＰ１０Ｃ、およびＭＦＰ１０Ｌは、それぞれ、「ＭＦＰ１」、「ＭＦＰ２」、「ＭＦＰ３」、および「ＭＦＰ＿ＬＭ」と示されている。以下の説明において、特に必要がない限り、図１に示した名称を用いて説明する。
【００３１】
図１においては、ＭＦＰ＿ＬＭは１つしか示されていないが複数のＭＦＰ＿ＬＭが含まれてもよい。
【００３２】
図２は、本発明の実施の形態１におけるネットワーク（イントラネット）５０の構成を模式的に示す図である。
【００３３】
イントラネット５０には、複数の通信装置すなわちＭＦＰ１〜３およびＭＦＰ＿ＬＭが含まれる。各通信装置は、イーサネット（登録商標）ケーブル３を通じてハブ４と接続され、相互に通信することができる。ハブ４は、ルータ５を介して、図示しない別のネットワークセグメントと接続されている。
【００３４】
再び図１を参照して、ＭＦＰ１〜３間の通信は、各々の電子証明書を用いたＳＳＬ（Secure Socket Layer）通信が行なわれる。ＳＳＬは、セキュア通信のためのプロトコルの一種であり、他のプロトコル（たとえばＰＣＴ（Private Communication Technology）など）が用いられてもよい。ＭＦＰ１とＭＦＰ＿ＬＭとは、共通鍵暗号化方式で暗号化されたデータの通信を行なってもよい。
【００３５】
このような通信システムにおいて、通常のＣＲＬが発行される場合の手順について簡単に説明する。たとえば、ＭＦＰ１が、ＭＦＰ＿ＬＭの不正を検知すると、ＭＦＰ＿ＬＭの電子証明書をＣＲＬに登録するようＣＡに依頼する。依頼を受けたＣＡは、ＭＦＰ＿ＬＭの電子証明書（ＭＦＰ＿ＬＭの公開鍵証明書のシリアル番号）を追加したＣＲＬを、電子証明書を利用した通信を行なうＭＦＰ１〜３に配布する。
【００３６】
これに対し、本実施の形態の通信システムでは、ＭＦＰ１は、証明書のハンドリング機能を持たないＭＦＰ＿ＬＭの動作がポリシーを守っているかを監視する。ポリシー違反が検知されると、イントラネット５０内の他装置に、イントラネット５０内でのみ有効なブラックリスト（以下「ローカルＣＲＬ」という）が配布される。
【００３７】
なお、ＭＦＰ２，３においても、ＭＦＰ＿ＬＭの動作がポリシーを守っているかが監視されてもよい。
【００３８】
＜ハードウェア構成について＞
図３は、本発明の実施の形態１に係る各ＭＦＰ１０（１０Ａ，１０Ｂ，１０Ｃ，１０Ｌ）の概略のハードウェア構成を示す図である。
【００３９】
図３を参照して、各ＭＦＰは、制御部１００と、メモリ部１０２と、画像読取部１０４と、プリント部１０６と、通信インターフェイス１０８と、操作パネル部１１０と、記憶部１１２とを含む。
【００４０】
制御部１００は、代表的にＣＰＵ（Central Processing Unit）などの演算装置から構成され、プログラムを実行することで本実施の形態に従う監視処理を実現する。メモリ部１０２は、代表的にＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、制御部１００で実行されるプログラムやプログラムの実行に必要なデータなどを保持する。画像読取部１０４は、原稿を読み取って画像を取得する。プリント部１０６は、紙媒体などへの印刷処理を行なう。プリント部１０６は、プリント処理に係るハードウェア構成に加えて、各部の作動を制御するための制御装置をも含む。
【００４１】
通信インターフェイス１０８は、イントラネット５０内でデータを送受信したり、インターネットを介してＣＡ３０やＰＣ４０との間でデータを送受信したりする。通信インターフェイス１０８は、たとえば、ＬＡＮアダプタおよびそれを制御するドライバソフトなどを含む。操作パネル部１１０は、たとえば、液晶表示装置やタッチパネルなどから構成される表示パネルと、複数の操作ボタンとを含む。記憶部１１２は、代表的にハードディスク装置やフラッシュメモリなどの不揮発性の記憶装置であり、制御部１００の動作のためのプログラムや制御部１００で生成されたローカルＣＲＬなどを格納する。
【００４２】
各ＭＦＰは、さらに、着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体にアクセス可能なメディアドライブ（図示せず）を含んでもよい。
【００４３】
図４は、本発明の実施の形態１に係るＣＡ３０のハードウェア構成を模式的に示す図である。
【００４４】
図４を参照して、ＣＡ３０は、当該ＣＡ３０の動作を全体的に制御するＣＰＵ３５０、ＣＰＵ３５０のワークエリアとして機能するＲＡＭ（Random Access Memory）３５４、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）３５６、各種情報を表示するためのモニタ３５８、ユーザからの指示を受付けるためのキーボードなどの入力部３６０、クライアント装置などと通信するための通信インターフェイス３６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）３６４、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体３５２Ａにアクセスするメディアドライブ３５２とを備えている。
【００４５】
図５は、本発明の実施の形態１に係るＰＣ４０のハードウェア構成を模式的に示す図である。
【００４６】
図５を参照して、ＰＣ４０も、ＣＡ３０と同様に、当該ＰＣ４０の動作を全体的に制御するＣＰＵ４５０、ＣＰＵ４５０のワークエリアとして機能するＲＡＭ４５４、プログラムやデータなどを記憶するＲＯＭ４５６、各種情報を表示するためのモニタ４５８、ユーザからの指示を入力するためのキーボードなどの入力部４６０、他の装置と通信するための通信インターフェイス４６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）４６４、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体４５２Ａにアクセスするメディアドライブ４５２とを備えている。
【００４７】
＜機能構成について＞
ＭＦＰ１（ＭＦＰ１０Ａ）の機能構成を図６に示す。
【００４８】
図６を参照して、ＭＦＰ１は、その機能として、データ受信部２０２と、データ解析部２０３と、証明書処理部２０４と、監視部２０５と、制限部２０６と、ローカルＣＲＬ管理部２０７と、データ保持部２０８と、その他処理部２０９と、データ作成部２１１と、データ送信部２１２とを含む。
【００４９】
データ受信部２０２は、ネットワーク２０１上を流れるパケットを受信する。ネットワーク２０１は、図２に示したイントラネット５０に対応している。
【００５０】
データ解析部２０３は、データ受信部２０２が受信したパケットの中から所定のデータを抽出し、自装置に必要な情報であるかどうかをフィルタリングする。自装置にとって必要な情報であり、かつ、その情報が自装置に関する処理命令であれば、その情報は、証明書処理部２０４、監視部２０５、およびその他処理部２０９のいずれかにて処理される。
【００５１】
証明書処理部２０４は、ＣＡ３０に対し、証明書の発行を依頼する。また、通常のＣＲＬと照合することで、通信相手（ＭＦＰ＿ＬＭは除く）から送られてきた証明書が有効なものであるかを検証する。証明書処理部２０４は、さらに、ローカルＣＲＬ管理部２０７で管理されているローカルＣＲＬをチェックし、通信相手から送られてきた証明書の検証を行なう。送られてきた証明書または通信相手の情報がローカルＣＲＬに記載されていれば、その証明書はＮＧであると判断し、当該通信相手との通信をブロックする。
【００５２】
また、証明書処理部２０４は、代理での証明書管理を行なう。具体的には、制御対象のＭＦＰ＿ＬＭの電子証明書を代理で管理する。より具体的には、ＣＡ３０に対し、ＭＦＰ＿ＬＭの電子証明書の発行を代理で依頼したり、発行されたＭＦＰ＿ＬＭの電子証明書を使って、代理で他の装置（たとえばＰＣ４０など）にデータを送信したりする。代理での電子証明書の管理については後に詳述する。
【００５３】
監視部２０５は、ＭＦＰ＿ＬＭの状況を監視することで、ＭＦＰ＿ＬＭの不正の有無を検知する。具体的には、ＭＦＰ＿ＬＭが、予め設定されたポリシーを違反していないかどうかをチェックする。チェックの結果、違反を検出した場合、制限部２０６に通信のブロックを依頼するとともに、ローカルＣＲＬ管理部２０７に、違反したＭＦＰ＿ＬＭの電子証明書を失効させるための失効特定情報を出力する。また、監視部２０５は、ローカルＣＲＬに記載された失効特定情報により特定可能な通信装置の不正が解消されたかどうかの監視も行なう。
【００５４】
「失効特定情報」は、ＭＦＰ＿ＬＭの電子証明書を特定するための情報（証明書のシリアル番号）、および、ＭＦＰ＿ＬＭ自体を特定するための情報（機器ＩＤ、アドレスなど）の少なくともいずれかを含む。
【００５５】
制限部２０６は、監視部２０５およびローカルＣＲＬ管理部２０７からの依頼に応じて、ＭＦＰ＿ＬＭとの通信のブロック（制限）およびブロックの解除を行なう。
【００５６】
ローカルＣＲＬ管理部２０７は、監視部２０５にてポリシーを違反するデバイス（ＭＦＰ＿ＬＭ）が検知された場合に、監視部２０５より取得した失効特定情報をローカルＣＲＬに記載し、イントラネット５０内の他の通信装置（ＭＦＰ２，３）に発行する。
【００５７】
また、証明書代理デバイスではないＭＦＰ２，３もローカルＣＲＬの発行機能を有する場合には、ローカルＣＲＬ管理部２０７は、他の通信装置（ＭＦＰ２，３）から送られてきたローカルＣＲＬに従った操作（処理）を行なう。具体的には、受取ったローカルＣＲＬを読み込み、リストに記載されている失効特定情報で特定される電子証明書による通信をブロックするよう制限部２０６に依頼したり、リスト内に記載されている復帰条件のチェックを監視部２０５に依頼したりする。また、監視部２０５にて不正の解消が確認された場合には、リストから該当する失効特定情報を削除する。また、必要に応じて、他の通信装置に、更新したローカルＣＲＬを配布する。
【００５８】
データ保持部２０８は、自身の電子証明書、ＭＦＰ＿ＬＭの電子証明書、および、ローカルＣＲＬを保持する。ローカルＣＲＬのデータ構造例については後述する。また、データ保持部２０８は、監視ポリシーおよび、各ポリシーと対応付けられた復帰条件を予め記憶する。
【００５９】
その他処理部２０９は、上記以外の処理を行なう。具体的には、情報の提供、更新、問合せおよび管理などが行なわれる。
【００６０】
データ作成部２１１は、データをネットワークパケットの形に整形する。データ送信部２１２は、データ作成部２１１によって整形されたネットワークパケットを、指示された送り先に送信する。
【００６１】
図６に示した機能構成のうち、データ受信部２０２およびデータ送信部２１２の機能は、たとえば図２に示した通信インターフェイス１０８によって実現される。データ解析部２０３、証明書処理部２０４、監視部２０５、制限部２０６、ローカルＣＲＬ管理部２０７およびその他処理部２０９の機能は、図２に示した制御部１００がメモリ部１０２に格納されたソフトウェアを実行することによって実現される。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがメモリ部１０２に格納されている。なお、これらのうちの少なくとも１つは、ハードウェアで実現されてもよい。データ保持部２０８は、たとえば図２に示した記憶部１１２によって実現される。
【００６２】
ＭＦＰ２，３（ＭＦＰ１０Ｂ，１０Ｃ）の機能構成を図７に示す。図７において、図６に示したＭＦＰ１と同様または相当する構成については同じ符号を付けている。したがって、それらについての説明は繰返さない。
【００６３】
図７を参照して、ＭＦＰ２，３は、ＭＦＰ１の機能構成に含まれていた証明書処理部２０４に代えて、証明書処理部２０４＃を有する。それ以外の機能構成は、ＭＦＰ１と同様である。
【００６４】
証明書処理部２０４＃は、ＭＦＰ１の証明書処理部２０４に含まれていた、代理での証明書管理の機能を有さない。
【００６５】
ＭＦＰ２，３のデータ保持部２０８には、自装置の電子証明書以外の証明書は記憶されない。
【００６６】
ＭＦＰ＿ＬＭ（ＭＦＰ１０Ｌ）の機能構成を図８に示す。図８においても、図６に示したＭＦＰ１と同様または相当する構成については同じ符号を付けている。したがって、それらについての説明は繰返さない。
【００６７】
図８を参照して、ＭＦＰ＿ＬＭは、ＭＦＰ１の機能構成に含まれていた証明書処理部２０４、監視部２０５、制限部２０６およびローカルＣＲＬ管理部２０７を有さず、代わりに、送受信管理部２２０を有する。また、電子証明書や監視ポリシーを記憶したデータ保持部２０８を有さない。
【００６８】
送受信管理部２２０は、証明書代理デバイスであるＭＦＰ１との間で送受信されるデータを管理する。また、他の通信装置（ＭＦＰ１〜３のいずれか）からの要求に応じて現在のＭＦＰ＿ＬＭの状況を応答する場合には、現在の状況を収集して、メッセージを作成したりする。作成されたメッセージは、データ作成部２１１およびデータ送信部２１２を介して、要求してきた通信装置に送信される。
【００６９】
＜証明書代理デバイスの処理＞
ここで、ＭＦＰ１が実行する電子証明書の代理取得および通信の仲介について、図９〜図１２を参照して説明する。
【００７０】
（電子証明書の代理取得について）
図９は、本発明の実施の形態１において、電子証明書を代理取得する際のデータの流れを示す図である。図１０は、本発明の実施の形態１における、電子証明書の代理取得処理を示すフローチャートである。図１０のフローチャートに示す処理は、予めプログラムとしてＭＦＰ１のメモリ部１０２に格納されており、ＭＦＰ１の制御部１００がこのプログラムを読み出して実行することにより、代理取得処理の機能が実現される。代理取得処理は、代表的に、ＭＦＰ１の証明書処理部２０４によって制御されてよい。
【００７１】
・ＯＰ−１
まず、ＭＦＰ＿ＬＭの送受信管理部２２０は、自機の特定情報を、代理デバイスであるＭＦＰ１に送信する。ここで送信される特定情報には、ＭＦＰ＿ＬＭのシリアル番号（機器ＩＤ）、ＭＡＣアドレス、公開鍵暗号化方式の秘密鍵または公開鍵等を含めることができる。また、当該特定情報には、ＭＦＰ＿ＬＭがソフトウェアであるときには、当該ソフトウェアについてのライセンスキーであってもよい。また、当該特定情報には、当該特定情報自体の有効期限が設けられていてもよい。
【００７２】
有効期限の具体的な利用態様としては、ＭＦＰ１が、当該有効期限が過ぎた場合に、ＭＦＰ＿ＬＭから受信した当該特定情報を、ＣＡ３０に電子証明書の発行要求をすることなく、破棄することが考えられる。
【００７３】
他の利用態様としては、ＭＦＰ＿ＬＭが、当該有効期限内にのみ有効な一時的な共通鍵を生成して暗号化し、このように暗号化された情報を当該共通鍵とともにＭＦＰ１に送信し、ＭＦＰ１が、当該期間のみ特定情報を復号化してＣＡ３０に対してＭＦＰ＿ＬＭの電子証明書の発行要求をすることができるようにしてもよい。
【００７４】
さらに他の利用態様としては、ＭＦＰ＿ＬＭが、特定情報送信前に、秘密鍵と公開鍵を生成し、公開鍵をＭＦＰ１に送信する。ＭＦＰ＿ＬＭは、上記した特定情報の有効期限が切れると、秘密鍵を消去する。ＭＦＰ１は、ＣＡ３０に電子証明書の発行要求をする際に、ＭＦＰ＿ＬＭの公開鍵で暗号化した特定情報要求データ（ＭＦＰ＿ＬＭに対して特定情報の送信を要求するデータ）をＭＦＰ＿ＬＭに送信する。そして、ＭＦＰ＿ＬＭは、上記のように生成した秘密鍵で特定情報要求データを復号化できることを確認した後、上記特定情報をＭＦＰ１に送信する。
【００７５】
・ＯＰ−２
ＭＦＰ１は、証明書処理部２０４において自機の電子証明書を読出し、ＣＡ３０とＳＳＬを使ってハンドシェイクを行なう（ステップＳＡ１０）。
【００７６】
ＭＦＰ１は、ステップＳＡ１０におけるハンドシェイクが成功したかを判断する（ステップＳＡ２０）。成功したと判断するとＭＦＰ＿ＬＭからの情報の送信に応じて、ＭＦＰ＿ＬＭの電子証明書の発行要求（ＣＳＲ（Certificate Signing Request））を生成する。ハンドシェイクが失敗すると、ＭＦＰ＿ＬＭに対し、証明書の取得失敗を通知する（ステップＳＡ８０）。
【００７７】
ＭＦＰ１は、ＣＳＲに、通常の電子証明書の発行要求情報に加えて、付加情報を含めることもできる。付加情報とは、通信の代行・仲介を行なうＭＦＰ１の機器を特定するための特定情報や電子証明書の有効期限、ＭＦＰ＿ＬＭの電子証明書の有効期限を含む。
【００７８】
・ＯＰ−３
ＭＦＰ１は、ＯＰ−２で生成したＣＳＲを、ＣＡ３０に送信する（ステップＳＡ３０）。
【００７９】
・ＯＰ−４
ＣＡ３０は、ＭＦＰ１からＣＳＲを受信すると、これに応じて、ＭＦＰ＿ＬＭの電子証明書を生成する。
【００８０】
なお、ＣＡ３０によるＭＦＰ＿ＬＭの電子証明書の発行の条件として、ＣＡ３０がＭＦＰ１の認証に成功したことを含めてもよい。この場合、ＭＦＰ１は、証明書発行要求情報に、付加情報として、ＭＦＰ１の機器特定情報が含める。ＣＡ３０は、当該機器特定情報に基づいて、ＭＦＰ１の認証を試みる。
【００８１】
また、ＭＦＰ１とＣＡ３０とがＳＳＬハンドシェイクを行なう際に、ＣＡ３０に送信されるＭＦＰ１の電子証明書を利用してＭＦＰ１の認証を行ない、当該認証の成功を条件として、ＣＡ３０がＭＦＰ＿ＬＭの電子証明書を発行するようにしてもよい。
【００８２】
また、ＣＡ３０がＭＦＰ＿ＬＭの電子証明書を生成する際に、ＭＦＰ＿ＬＭの電子証明書の有効期限をＭＦＰ１の電子証明書の有効期限と同時または当該有効期限より先に切れるようにするよう設定しても良い。本実施の形態では、ＭＦＰ＿ＬＭの電子証明書を利用した通信は、ＭＦＰ１を介して行なわれることから、ＭＦＰ１の電子証明書の有効期限が切れれば、ＭＦＰ１は、ＭＦＰ＿ＬＭとＰＣ４０との通信を仲介できなくなる。よって、ＭＦＰ＿ＬＭの電子証明書の有効期限をＭＦＰ１の電子証明書の有効期限と同じまたはそれよりも短くすることにより、ＭＦＰ＿ＬＭの電子証明書の有効期限が無駄に長く設定されることを回避できる。
【００８３】
また、ＭＦＰ１は、付加情報としてＭＦＰ＿ＬＭの電子証明書の有効期限に関する情報を生成し、ＣＡ３０に送信する証明書発行要求情報に含めてもよい。ＣＡ３０は、当該付加情報に応じて、ＭＦＰ＿ＬＭの電子証明書の有効期限を設定する。
【００８４】
・ＯＰ−５
ＣＡ３０は、ＯＰ−４で生成したＭＦＰ＿ＬＭの電子証明書をＭＦＰ１へ送信する。ＭＦＰ１は、ＣＡ３０から、ＭＦＰ＿ＬＭの電子証明書の生成の成否を、ＳＳＬ通信により取得し（ステップＳＡ４０）、ＭＦＰ＿ＬＭの電子証明書の生成を、ＣＡ３０が成功したか否かを判断する（ステップＳＡ５０）。
【００８５】
・ＯＰ−６
ＣＡ３０によってＭＦＰ＿ＬＭの電子証明書の生成が行なわれると、ＭＦＰ１は、ＣＡ３０から受信したＭＦＰ＿ＬＭの電子証明書を保存する（ステップＳＡ６０）。また、ＭＦＰ＿ＬＭに、当該ＭＦＰ＿ＬＭの電子証明書の取得に成功したことを通知して、処理を終了させる。
【００８６】
・ＯＰ−７
ＭＦＰ１は、ＣＡ３０からＭＦＰ＿ＬＭの電子証明書を受信したことに応じて、ＭＦＰ＿ＬＭに対して、当該ＭＦＰ＿ＬＭの電子証明書が発行されたこと（取得に成功したこと）を通知する（ステップＳＡ７０）。
【００８７】
一方、ＣＡ３０によってＭＦＰ＿ＬＭの電子証明書の生成が行なわれなかった場合には、ＭＦＰ＿ＬＭに対して、当該ＭＦＰ＿ＬＭの電子証明書の取得に失敗したことを通知して、処理を終了させる（ステップＳＡ８０）。
【００８８】
（通信の仲介処理について）
図１１は、本発明の実施の形態１において、電子証明書を利用した通信の仲介処理の際のデータの流れを示す図である。図１２は、本発明の実施の形態１における、電子証明書を利用した仲介処理を示すフローチャートである。図１２のフローチャートに示す処理は、予めプログラムとしてＭＦＰ１のメモリ部１０２に格納されており、ＭＦＰ１の制御部１００がこのプログラムを読み出して実行することにより、仲介処理の機能が実現される。仲介処理も、代表的に、ＭＦＰ１の証明書処理部２０４によって制御されてよい。
【００８９】
まず、ＭＦＰ１は、ＭＦＰ＿ＬＭから、社外サーバなどのＰＣ４０との通信の要求を受けると（ステップＳＢ１０）、ＭＦＰ＿ＬＭの電子証明書を読み込む（ステップＳＢ２０）。そして、当該電子証明書を用いてＰＣ４０とＳＳＬハンドシェイクを行なう（ステップＳＢ３０）。
【００９０】
なお、ＭＦＰ＿ＬＭが、ＭＦＰ１に対して、ＰＣ４０との通信の仲介を要求する際に、チケットをＭＦＰ１に送信し、ＭＦＰ１は、自機がＣＡ３０に対して証明書発行要求を送信したノード（ＭＦＰ＿ＬＭ）からの通信仲介要求であることを確認し、このことを条件に、ＭＦＰ１は通信の仲介のための処理を開始してもよい。
【００９１】
また、ＭＦＰ＿ＬＭからＭＦＰ１に対しての通信仲介要求の際に、ＭＦＰ＿ＬＭのアドレスや通信経路情報等をＭＦＰ１に対して送信し、ＭＦＰ１は、ＭＦＰ＿ＬＭが同一ネットワーク（イントラネット５０）上に存在することを確認したことを条件として、通信を仲介するための処理（上記したＰＣ４０とのハンドシェイク等）を開始してもよい。
【００９２】
ＰＣ４０との通信が確立すると（ステップＳＢ４０でＹＥＳ）、ＭＦＰ１は、その旨をＭＦＰ＿ＬＭに通知する。ＰＣ４０とのハンドシェイクが失敗した場合（ステップＳＢ４０でＮＯ）、ＭＦＰ＿ＬＭに対し、通信エラーを通知して処理を終了する（ステップＳＢ９０）。
【００９３】
・ＯＰ−８
上記通信確立の通知を受けると、ＭＦＰ＿ＬＭは、ＰＣ４０に送信するためのデータ（仲介データ）を、ＭＦＰ１に送信する。ＭＦＰ１は、仲介データを取得する（ステップＳＢ５０）。
【００９４】
ここで、ＰＣ４０は、ＭＦＰ１から送信される機器特定情報や電子証明書を利用して、通信を仲介するＭＦＰ１をも認証してもよい。つまり、ＭＦＰ１とＣＡ３０とがＳＳＬハンドシェイクを行なう際に、まず、ＭＦＰ１がＣＡ３０にＭＦＰ１の電子証明書を送信し、ＣＡ３０は、ＭＦＰ１を認証する。当該ＭＦＰ１が認証された後、ＭＦＰ＿ＬＭの電子証明書を用いてハンドシェイクを行なうようにしてもよい。
【００９５】
・ＯＰ−９
ＭＦＰ１は、ＭＦＰ＿ＬＭから送信されてきたデータを、ＭＦＰ＿ＬＭの電子証明書を用いたＳＳＬ通信にてＰＣ４０へ送信する（ステップＳＢ６０）。
【００９６】
・ＯＰ−１０
ＰＣ４０は、ＭＦＰ＿ＬＭから、ＭＦＰ１を介して送信されてきたデータを受信し、当該受信したデータに応じた処理を実行する。
【００９７】
・ＯＰ−１１
ＰＣ４０は、ＭＦＰ＿ＬＭに送信するデータを、ＭＦＰ１へ送信する。ＰＣ４０は、ＭＦＰ１との間で、当該ＰＣ４０の電子証明書を用いたセキュアな通信が可能である。
【００９８】
・ＯＰ−１２
ＭＦＰ１は、ＰＣ４０からデータを受信すると（ステップＳＢ７０）、イントラネット５０内のＭＦＰ＿ＬＭに、当該データを送信する（ステップＳＢ８０）。ＭＦＰ＿ＬＭでは、当該受信したデータに応じた処理が実行される。
【００９９】
このように、ＭＦＰ＿ＬＭが電子証明書の発行を受ける機能を有していない場合であっても、ＭＦＰ１が、ＭＦＰ＿ＬＭの代理で電子証明書を取得することができる。また、ＭＦＰ１が、ＭＦＰ＿ＬＭとＰＣ４０との間でのＭＦＰ＿ＬＭの電子証明書を用いた通信を仲介することにより、ＰＣ４０が、ＭＦＰ＿ＬＭ自体の正当性を確認しつつ、ＭＦＰ＿ＬＭとデータの送受信をすることができる。これにより、たとえば、イントラネット５０の外に存在するサーバ（ＰＣ４０など）とＭＦＰ＿ＬＭとの間で、ＭＦＰ＿ＬＭのメンテナンス情報等の情報を、セキュア通信によって送受信することができる。
【０１００】
ＭＦＰ１は、イントラネット５０外の通信装置とインターネットを介した通信を行なう場合、ＭＦＰ＿ＬＭの代理デバイスとして機能する。したがって、ＭＦＰ１は、ＭＦＰ＿ＬＭが何らかの不正を行なう場合には、それを検知して止めるシステムが安全上必要である。
【０１０１】
本実施の形態では、ＭＦＰ＿ＬＭの不正およびＭＦＰ＿ＬＭの復帰の両方を監視するシステムを提供する。
【０１０２】
＜ローカルＣＲＬのデータ構造＞
図１３は、本発明の実施の形態１におけるローカルＣＲＬ６０のデータ構造例を示す図である。
【０１０３】
図１３を参照して、ローカルＣＲＬ６０は、たとえば４つの項目すなわち、デバイス（証明書）と、復帰条件と、有効期限と、登録日とを含む。デバイス（証明書）の項目には、失効特定情報として、通信をブロックすべきデバイスの機器特定情報（機器ＩＤまたはアドレス）が記録される。また／または、証明書特定情報（証明書のシリアル番号）が記録されてもよい。復帰条件の項目には、検知された不正が解消されたことを示す条件が復帰条件として記録される。つまり、違反した監視ポリシーを再び満足するために必要な条件が記録される。有効期限の項目には、イントラネット５０内で通信をブロックすべき期間（期日）が記録される。登録日の項目には、当該ローカルＣＲＬ６０に登録された日にち、すなわち不正が検知された日にちが記録される。
【０１０４】
なお、ローカルＣＲＬ６０には、有効期限が含まれなくてもよい。
＜不正監視処理＞
本実施の形態において、ＭＦＰ＿ＬＭの不正を監視する処理について説明する。
【０１０５】
図１４は、本発明の実施の形態１における不正監視処理を示すフローチャートである。図１４の処理は定期的に行なわれる。なお、図１４では、ＭＦＰ１がＭＦＰ＿ＬＭの不正を監視することとしているが、他のＭＦＰ２，３においてもＭＦＰ＿ＬＭの不正を監視してもよい。
【０１０６】
図１４を参照して、ＭＦＰ１の監視部２０５は、ＭＦＰ＿ＬＭについて、予め設定された監視ポリシーをチェックする（ステップＳ１０２）。ＭＦＰ１がチェックする監視ポリシーはたとえば次のようなものである。
ａ） ＭＦＰ２，３との通信エラーが規定値以上
ｂ） ＭＦＰ２，３との通信量（再送回数含む）が規定値以上
ｃ） ＭＦＰ１が知らない装置との通信が発生している
ｄ） ＭＦＰ＿ＬＭからのメッセージにウィルスが含有されている
ｅ） ＭＦＰ１で復号化できない暗号化がなされている（署名、パスワードのミスマッチを含む）
ｆ） 規定値以上の大容量のデータを送信してきている
ｇ） 利用規定時刻以外（たとえば深夜）の時刻に通信が発生
ｈ） ＭＦＰ＿ＬＭのスペックが、ポリシー設定時と違っている（ＩＰアドレス、ＭＡＣアドレス、ＯＳを含む）
ｉ） ＭＦＰ１が知らないプロトコルを利用している
ｊ） ＭＦＰ１を経由して、別の装置へ証明書の代理発行依頼を行なっている（二重発行を検知した場合を含む）
ｋ） ＭＦＰ＿ＬＭからＣＲＬ発行要求が規定回数以上
ｌ） ＭＦＰ＿ＬＭがブロードキャストを行なった
たとえばａ），ｂ）に示されるように、監視ポリシーには、イントラネット５０内の他のＭＦＰ２，３との通信制限を記載したものが含まれる。なお、ＭＦＰ２またはＭＦＰ３が監視処理を行なう場合には、ａ）〜ｌ）のポリシーのうちの一部（たとえばｊ）のポリシー）は、監視対象に含まれなくてもよい。
【０１０７】
ＭＦＰ１の監視部２０５がＭＦＰ＿ＬＭの不正を検出すると（ステップＳ１０４にてＹＥＳ）、つまり、上記ポリシーａ）〜ｌ）のいずれかに該当すると、制限部２０６によって、ＭＦＰ＿ＬＭの通信がブロックされる（ステップＳ１０６）。また、ローカルＣＲＬ管理部２０７によって、ローカルＣＲＬの生成または更新が行なわれる（ステップＳ１０８）。具体的には、既に、データ保持部２０８にローカルＣＲＬが記憶されている場合には、そのローカルＣＲＬが更新され、記憶されていない場合には、新たにローカルＣＲＬが生成される。ローカルＣＲＬ管理部２０７は、たとえば、ＭＦＰ＿ＬＭの電子証明書のシリアル番号（証明書特定情報）をローカルＣＲＬに記載し、当該シリアル番号に対応付けて、復帰条件、有効期限、および登録日をさらに記載する。
【０１０８】
ローカルＣＲＬに記載される復帰条件は、たとえば次のようなものである。
Ａ） ウィルスチェック完了を確認
Ｂ） 管理者操作完了（メカニカルスイッチ（リセットボタンなど）、特定の秘密情報がデフォルトに変更）
Ｃ） 通信量安定（ＤｏＳなどのような高負荷通信をしなくなった）
Ｄ） ログインユーザの変更を確認
Ｅ） デバイスの動作モード変更（一般モード⇒セキュリティモード、インターネット接続モード⇒イントラネット接続モード、など）
Ｆ） 上記以外で、監視ポリシーを違反した減少が解消されたことを確認
なお、このような復帰条件は、予め、データ保持部２０８において、各監視ポリシーと対応付けて記憶されているものであってよい。具体的には、たとえば、ｄ）のポリシー（ＭＦＰ＿ＬＭからのメッセージにウィルスが含有されている）と対応付けてＡ）の復帰条件（ウィルスチェック完了を確認）が記憶されている。
【０１０９】
あるいは、不正を行なったローカル通信装置（ＭＦＰ＿ＬＭ）の状況に応じた復帰条件が記載されてもよい。具体的には、ＭＦＰ＿ＬＭが、ウィルスチェックソフトをダウンロードできないような相当古い規格のデバイスである場合には、「ＲＯＭをＵＰデート済み」といった復帰条件がさらに記載されてもよい。
【０１１０】
また、ある不正が検知された後、さらに別の不正が検知される場合には、複数の復帰条件が記載されてもよい。
【０１１１】
ローカルＣＲＬに記載される有効期限は、不正の種類に関わらず固定であってもよいし、不正の種類に応じて定められたものであってもよい。有効期限に関する情報も、たとえばデータ保持部２０８に予め格納されていてよい。
【０１１２】
ＭＦＰ１のローカルＣＲＬ管理部２０７は、ローカルＣＲＬに自己署名を行ない、ＭＦＰ２およびＭＦＰ３に署名後のローカルＣＲＬを発行する（ステップＳ１１０）。ローカルＣＲＬへの署名には、自身が持つ秘密鍵が用いられる。ＭＦＰ１の公開鍵は、他のＭＦＰ２，３に公開されている。
【０１１３】
ＭＦＰ２およびＭＦＰ３は、データ受信部２０２においてローカルＣＲＬを受信する（ステップＳ１１２）。受信したローカルＣＲＬは、データ解析部２０３を介してローカルＣＲＬ管理部２０７に渡される。
【０１１４】
ローカルＣＲＬ管理部２０７は、まず、ローカルＣＲＬへ施された署名が正当であるかどうかを、ＭＦＰ１の公開鍵を用いて検証する。ローカルＣＲＬが検証を通過すると、ローカルＣＲＬ管理部２０７は、データ保持部２０８内のローカルＣＲＬを更新する（ステップＳ１１４）。たとえば、データ保持部２０８内のローカルＣＲＬを、受取ったローカルＣＲＬによって上書きしてもよいし、受取ったローカルＣＲＬにおいて更新された部分のみを追加および削除してもよい。
【０１１５】
このように、本実施の形態ではローカルＣＲＬに発行者の電子署名が付加されるため、ローカルＣＲＬを受取ったＭＦＰ２，３は、ローカルＣＲＬが正式なもの、改竄されたものでないことを検証することができる。受取ったローカルＣＲＬが検証を通過しなかった場合には、たとえば、そのローカルＣＲＬは棄却される。
【０１１６】
上述のような処理によってローカルＣＲＬが配布されると、不正を犯したＭＦＰ＿ＬＭの復帰監視ステータスに移行する。なお、不正監視処理と後述の復帰監視処理とは並行して行なわれてよい。したがって、ローカルＣＲＬに記載されたＭＦＰ＿ＬＭに対しても、継続的に（定期的に）図１４に示される不正監視処理を行なってもよい。
【０１１７】
＜復帰監視処理＞
本実施の形態において、ＭＦＰ＿ＬＭの復帰を監視する処理について説明する。
【０１１８】
図１５は、本発明の実施の形態１における復帰監視処理を示すフローチャートである。
図１５を参照して、証明書の管理を代理で行なう機能を持たないＭＦＰ２および３の監視部２０５は、各々、ＭＦＰ１に対して、ＭＦＰ＿ＬＭが復帰条件を満たしたか否かの確認を依頼する（ステップＳ２０２）。確認の依頼は、ＭＦＰ２および３のデータ保持部２０８にローカルＣＲＬが存在する場合に、たとえば定期的に行なわれる。
【０１１９】
ＭＦＰ１の監視部２０５は、ＭＦＰ２または３からの依頼に基づき、ローカルＣＲＬに記載の復帰条件をチェックする（ステップＳ２０４）。具体的には、たとえば、復帰条件がＡ）のウィルスチェック完了であった場合、ＭＦＰ＿ＬＭにおいてウィルスチェックが完了されたかどうかをチェックする。このような確認に際し、ＭＦＰ１は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ＿ＬＭに通知し、ＭＦＰ＿ＬＭは、通知された復帰条件に関わる現時点の情報を返信するようにしてもよい。
【０１２０】
ＭＦＰ１の監視部２０５は、ＭＦＰ＿ＬＭが復帰条件を満たしていないと判断した場合（ステップＳ２０６にてＮＯ）、問合せしてきたＭＦＰ２または３に対し、復帰不可能信号を送信することで、復帰ＮＧを通知する（ステップＳ２０８）。復帰ＮＧの通知を受けたＭＦＰ２または３は、この処理を終了する（ステップＳ２１０）。
【０１２１】
これに対し、ＭＦＰ＿ＬＭが復帰条件を満たしていると判断した場合（ステップＳ２０６にてＹＥＳ）、問合せしてきたＭＦＰ２または３に対し、ＭＦＰ＿ＬＭの通信の制限を解除するための解除情報として復帰可能信号を送信することで、復帰ＯＫを通知する（ステップＳ２１２）。復帰可能を確認したＭＦＰ１と、復帰ＯＫの通知を受けたＭＦＰ２または３とは、データ保持部２０８内のローカルＣＲＬからＭＦＰ＿ＬＭの証明書特定情報（または機器特定情報）を削除する（ステップＳ２１６，Ｓ２１８）。これにより、復帰監視処理は終了される。
【０１２２】
なお、本実施の形態では、ＭＦＰ２および３は、ＭＦＰ１を介してＭＦＰ＿ＬＭの復帰を確認したが、ＭＦＰ＿ＬＭに対して直接確認してもよい。その場合、ＭＦＰ２および３は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ＿ＬＭに通知する。ＭＦＰ＿ＬＭは、確認の依頼を受けると、復帰条件に関わる現時点の情報を返信する。ＭＦＰ２および３は、ＭＦＰ＿ＬＭからの返信内容に応じて、ローカルＣＲＬからＭＦＰ＿ＬＭについての失効情報を削除し、ブロックを解除する。
【０１２３】
ＭＦＰ１は、ＭＦＰ２および３からの依頼に基づかなくても、定期的にＭＦＰ＿ＬＭの復帰確認をしてもよい。ＭＦＰ＿ＬＭの復帰が確認されると、ＭＦＰ１は、ＭＦＰ＿ＬＭの証明書特定情報を削除したローカルＣＲＬをＭＦＰ２，３に配布してもよい。または、復帰条件を回復しない場合、ＭＦＰ１は、ローカルＣＲＬに記載の有効期限内にローカルＣＲＬを発行し続け、有効期限を過ぎても回復しない場合は、有効期限を延長（書き換え）してもよい。
【０１２４】
また、図１５の復帰監視処理では、ＭＦＰ２，３は、復帰可能信号を受けて、自装置内のローカルＣＲＬを更新することとしたが、ＭＦＰ１より更新されたローカルＣＲＬを取得することによって自装置内のローカルＣＲＬを更新してもよい。つまり、ＭＦＰ＿ＬＭの通信の制限を解除するための解除情報として、更新後のローカルＣＲＬが用いられてもよい。
【０１２５】
また、ＭＦＰ２および３は、自身で保持しているローカルＣＲＬに記載された有効期限を過ぎた場合に、再度、ＭＦＰ１にローカルＣＲＬの配布を要求し、最新のローカルＣＲＬを取得してもよい。このようにすることで、何らかの理由で復帰可能信号が受取れていなかった場合にでも確実にＭＦＰ＿ＬＭが復帰可能かどうかを確認することができる。
【０１２６】
また、ローカルＣＲＬにおいて、復帰条件の確認タイミングをさらに記載することとしてもよい。確認タイミングとしては、一定時間経過後（たとえば、１０分毎、２４時間毎、など）、スケジュール確認（具体的な日にち）、所定のイベント発生時（たとえばデータ受信時）などが記載されてよい。ＭＦＰ１〜３は、ローカルＣＲＬに記載された確認タイミングに応じて、ＭＦＰ＿ＬＭの復帰を確認してもよい。
【０１２７】
また、ＭＦＰ１あるいはＭＦＰ２，３は、ＭＦＰ＿ＬＭが一向に（有効期限近くになっても）復帰条件を満足しない場合には、ＣＡ３０に対し、ＭＦＰ＿ＬＭの電子証明書を、ＣＡ３０が管理するＣＲＬに登録するよう依頼をしてもよい。
【０１２８】
以上のように、本実施の形態によると、一時的な不正を定義したポリシーを犯したＭＦＰ＿ＬＭが存在すると、そのＭＦＰ＿ＬＭのイントラネット５０内での通信をブロックするためのローカルＣＲＬが発行される。ＭＦＰ＿ＬＭはイントラネット５０外の装置と直接通信する機能を有していないので、ローカルＣＲＬの発行によってイントラネット５０内外のセキュリティを十分に維持することができる。
【０１２９】
また、ローカルＣＲＬには、不正を犯したＭＦＰ＿ＬＭの復帰条件が記載されることで、ホワイトリストが並存される形態よりも処理を容易化することができる。また、復帰条件を満たしたかを確認することによって、一時的な不正を犯したＭＦＰ＿ＬＭを自動的に復帰させることができる。これにより、従来よりも少ない手順でＭＦＰ＿ＬＭとのセキュア通信を復活させることができる。
【０１３０】
なお、ローカルＣＲＬには、必ずしも復帰条件が記載されなくてもよい。この場合、各ＭＦＰ１〜３は、ローカルＣＲＬに記載された有効期限内は無条件にＭＦＰ＿ＬＭとの通信をブロックすることになる。
【０１３１】
［実施の形態２］
上記実施の形態１では、インターネットに接続不能でありかつ電子証明書を保持する機能を有さない通信装置（ＭＦＰ＿ＬＭ）の不正を検知するものであったが、実施の形態２では、インターネットに接続不能であるが電子証明書を保持する機能を有する通信装置の不正を検知する。
【０１３２】
以下に、実施の形態１と異なる部分のみ説明する。
図１６は、本発明の実施の形態２に係る通信システムの構成を模式的に示す図である。
【０１３３】
図１６を参照して、通信システムは、複数の通信装置として、たとえば、ＭＦＰ１０Ａ，１０Ｌ１，１０Ｌ２，１０Ｌ３を含む。なお、本実施の形態においても、複数の通信装置の全てがＭＦＰとして説明するが、これらの全てまたは一部は、他装置との通信機能を有する装置であれば、ＰＣ、複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【０１３４】
ＭＦＰ１０Ａは、実施の形態１と同様である。ＭＦＰ１０Ｌ１，１０Ｌ２，１０Ｌ３は、イントラネットにのみ接続しているローカルな通信装置である。ＭＦＰ（Multi Function Peripheral）１０Ａ，１０Ｌ１，１０Ｌ２，１０Ｌ３は、各々、ＣＡ３０で発行された電子証明書を保持している。ただし、電子証明書の取得は、ＭＦＰ１０Ａのみによって行なわれる。
【０１３５】
本実施の形態において、ＭＦＰ１０Ｌ１，１０Ｌ２，１０Ｌ３のような、イントラネットにのみ接続しているＭＦＰをそれぞれ「ＭＦＰ＿Ｌ１」、「ＭＦＰ＿Ｌ２」および「ＭＦＰ＿Ｌ３」と表わす。
【０１３６】
ＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３の機能構成は、図７に示した構成と同等であってよい。ただし、データ保持部２０８には、自身の証明書が保持される。
【０１３７】
本実施の形態におけるＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３は自身の電子証明書を扱う機能を有しているため、ＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３は、互いに不正および復帰を監視し合うこことができる。
【０１３８】
本実施の形態において、ＭＦＰ１が監視するポリシーには、上記ａ）〜ｌ）に加え、ｍ）として、ＭＦＰ＿Ｌ２，Ｌ３からポリシーを犯しているとの報告を一定数以上受信した場合、が含まれる。
【０１３９】
各ＭＦＰで実行される不正監視処理、および、復帰監視処理の流れは実施の形態１と同様であってよい。
【０１４０】
また、本実施の形態のＭＦＰ１を制御する方法（不正監視方法および復帰監視方法）を、プログラムとして提供することもできる。このようなプログラムは、当該プログラムをコンピュータが読取可能な一時的でない（non-transitory）記録媒体に記録される。このような「コンピュータ読取可能な記録媒体」は、たとえば、ＣＤ−ＲＯＭ（Compact Disc-ROM）などの光学媒体や、メモリカードなどの磁気記録媒体などを含む。また、このようなプログラムをコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
【０１４１】
なお、本実施の形態に係るプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に係るプログラムに含まれ得る。
【０１４２】
また、本実施の形態に係るプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に係るプログラムに含まれ得る。なお、プログラム製品は、プログラム自体と、プログラムが記憶された記憶媒体とを含む。
【０１４３】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１４４】
３ イーサネット（登録商標）ケーブル、４ ハブ、５ ルータ、１０Ａ，１０Ｂ，１０Ｃ，１０Ｌ，１０Ｌ１，１０Ｌ２，１０Ｌ３ ＭＦＰ、５０ イントラネット、１００ 制御部、１０２ メモリ部、１０４ 画像読取部、１０６ プリント部、１０８ 通信インターフェイス、１１０ 操作パネル部、１１２ 記憶部、２０１ ネットワーク、２０２ データ受信部、２０３ データ解析部、２０４ 証明書処理部、２０５ 監視部、２０６ 制限部、２０７ ローカルＣＲＬ管理部、２０８ データ保持部、２０９ その他処理部、２１１ データ作成部、２１２ データ送信部、２２０ 送受信管理部、３５０，４５０ ＣＰＵ、３５２，４５２ メディアドライブ、３５２Ａ，４５２Ａ 記録媒体、３５４，４５４ ＲＡＭ、３５６，４５６ ＲＯＭ、３５８，４５８ モニタ、３６０，４６０ 入力部、３６２，４６２ 通信インターフェイス。
【技術分野】
【０００１】
本発明は、通信システム、通信装置、通信制御方法および通信制御プログラムに関し、特に、電子証明書を利用したセキュア通信が可能な通信システム、通信装置、通信制御方法および通信制御プログラムに関する。
【背景技術】
【０００２】
従来から、電子証明書を利用したセキュア通信が可能な通信システムが存在する。電子証明書は、認証局と呼ばれる証明書発行装置（以下「ＣＡ（Certificate Authority）」という）によって発行および管理される。ＣＡは、また、ＣＲＬ（Certificate Revocation List）を配布する。ＣＲＬは、誤発行などの理由で有効期間内に失効させられた電子証明書の一覧で、電子証明書の受取人は、証明書とＣＲＬとを照合することにより、電子証明書が現在も有効であるかどうかを確認できる。
【０００３】
一方で、特許文献１には、機器の認証システムにおいて、通信相手が有効か無効かを判断するためにブラックリストとホワイトリストとを同時に保持する提案もなされている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】ＷＯ２００５／０５２８０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ある通信装置が何らの不正を行なう場合、安全上、その通信装置との通信をブロックする必要がある。上述のようなＣＲＬへの登録をＣＡに依頼することも可能であるが、一度ＣＲＬに登録されると、その電子証明書または通信装置は利用できなくなってしまう。したがって、通信装置が行なった不正がたとえばウィルス感染など一時的なものである場合にまでＣＲＬに登録すると、ウィルスが駆除されてもその電子証明書または通信装置は使うことができず、不都合をきたす。
【０００６】
そのため、一時的な不正の場合には、その不正を行なった通信装置の通信をブロックするとともに、少ない手順で復帰できるシステムが必要となる。
【０００７】
上記特許文献１の技術では、ブラックリストとホワイトリストがあるため、各通信装置は、どちらが新しいかを判断しなければならない。また、受取ったリストによって通信相手が有効か無効かの判断をしなければならず、自分自身で通信相手の監視を行なえない。したがって、迅速に、不正を行なった通信装置のブロックおよびブロック解除を行なうことができない。
【０００８】
本発明は、上記のような問題を解決するためになされたものであって、その目的は、一時的な不正を行なった通信装置を迅速にブロックでき、かつ、当該通信装置が不正を行なわなくなった場合に少ない手順で復帰できる通信システム、通信装置、通信制御方法および通信制御プログラムを提供することである。
【課題を解決するための手段】
【０００９】
この発明のある局面に従う通信システムは、電子証明書を利用したセキュア通信が可能な通信システムであって、共通のローカルエリアネットワークによって接続された複数のノードを備え、複数のノードは、インターネットに接続可能であり、かつ、自身の電子証明書を保持可能な第１の通信装置と、インターネットに接続不能である第２の通信装置とを含む。第１の通信装置は、第２の通信装置の状況を監視することで、第２の通信装置の不正の有無を検知するための第１の監視手段と、第１の監視手段により第２の通信装置の不正が検知された場合に、第２の通信装置との通信を制限するための制限手段とを有し、制限手段は、第１の監視手段により第２の通信装置の不正が解消されたことが検知された場合には、第２の通信装置との通信の制限を解除する。
【００１０】
好ましくは、複数のノードは、自身の電子証明書を保持可能な第３の通信装置をさらに含み、第１の通信装置は、ローカルエリアネットワーク内で有効なブラックリストを管理するための管理手段をさらに有し、管理手段は、第１の監視手段により第２の通信装置の不正が検知された場合に、第２の通信装置の電子証明書を失効させるための失効特定情報を記述したブラックリストを第３の通信装置に配布する。
【００１１】
好ましくは、ブラックリストには、さらに、第２の通信装置の復帰条件が記述される。
好ましくは、失効特定情報は、第２の通信装置の電子証明書を特定するための情報、および、第２の通信装置を特定するための情報の少なくともいずれかを含む。
【００１２】
好ましくは、第３の通信装置は、第２の通信装置の状況を監視するための第２の監視手段を有し、第１の監視手段は、さらに、第２の監視手段が検知した第２の通信装置の状況の情報を受けて、第２の通信装置の不正の有無を検知する。
【００１３】
好ましくは、第１の監視手段は、第２の通信装置が、予め定められた監視ポリシーを犯しているかどうかを監視することによって、不正の有無を検知する。
【００１４】
好ましくは、監視ポリシーは、第２の通信装置と他の通信装置との通信制限の違反を含む。
【００１５】
好ましくは、復帰条件は、監視ポリシーを再び満足するために必要な条件を示す。
好ましくは、復帰条件は、第２の通信装置に管理者操作が入ったことが検知されたことを示す条件を含む。
【００１６】
好ましくは、ブラックリストには、第１の通信装置の署名がなされている。
好ましくは、管理手段は、第１の監視手段によって第２の通信装置の不正が解消されたことが検知された場合には、第２の通信装置との通信の制限を解除するための解除情報を第３の通信装置に送信するための手段をさらに有する。
【００１７】
好ましくは、解除情報は、第２の通信装置についての失効特定情報が削除されたブラックリストである。
【００１８】
好ましくは、ブラックリストには、不正を行なった第２の通信装置の通信を制限する期間を示す有効期限がさらに記述される。
【００１９】
好ましくは、第１の通信装置は、第２の通信装置の電子証明書を代理で取得および保持する。
【００２０】
この発明の他の局面に従う通信装置は、電子証明書を利用したセキュア通信が可能な通信装置であって、自身の電子証明書を保持するための記憶手段と、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するための監視手段と、監視手段により他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するための制限手段とを有し、制限手段は、監視手段により他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除する。
【００２１】
この発明のさらに他の局面に従う通信制御方法は、電子証明書を利用したセキュア通信が可能な通信装置を制御するための方法であって、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するステップと、他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するステップと、他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除するステップとを含む。
【００２２】
この発明のさらに他の局面に従う通信制御プログラムは、電子証明書を利用したセキュア通信が可能な通信装置を制御するためのプログラムであって、共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、他の通信装置の不正の有無を検知するステップと、他の通信装置の不正が検知された場合に、他の通信装置との通信を制限するステップと、他の通信装置の不正が解消されたことが検知された場合には、他の通信装置との通信の制限を解除するステップとを含む。
【発明の効果】
【００２３】
本発明によると、インターネットに接続可能な通信装置自身が、ローカルエリアネットワーク内の通信装置の監視を行なう。したがって、監視下の通信装置が一時的な不正を行なった場合、当該通信装置との通信を迅速にブロック（または電子証明書を利用停止）できるとともに、当該通信装置が不正を行なわなくなった場合には少ない手順で復帰させることが可能となる。
【図面の簡単な説明】
【００２４】
【図１】本発明の実施の形態１に係る通信システムの構成を模式的に示す図である。
【図２】本発明の実施の形態１におけるネットワーク（イントラネット）の構成を模式的に示す図である。
【図３】本発明の実施の形態１に係る通信装置（ＭＦＰ）の概略のハードウェア構成を示す図である。
【図４】本発明の実施の形態１に係るＣＡのハードウェア構成を模式的に示す図である。
【図５】本発明の実施の形態１に係るＰＣのハードウェア構成を模式的に示す図である。
【図６】図１に示したＭＦＰ１の機能構成を示す図である。
【図７】図１に示したＭＦＰ２，３の機能構成を示す図である。
【図８】図１に示したＭＦＰ＿ＬＭの機能構成を示す図である。
【図９】本発明の実施の形態１において、電子証明書を代理取得する際のデータの流れを示す図である。
【図１０】本発明の実施の形態１における、電子証明書の代理取得処理を示すフローチャートである。
【図１１】本発明の実施の形態１において、電子証明書を利用した通信の仲介処理の際のデータの流れを示す図である。
【図１２】本発明の実施の形態１における、電子証明書を利用した仲介処理を示すフローチャートである。
【図１３】本発明の実施の形態１におけるローカルＣＲＬのデータ構造例を示す図である。
【図１４】本発明の実施の形態１における不正監視処理を示すフローチャートである。
【図１５】本発明の実施の形態１における復帰監視処理を示すフローチャートである。
【図１６】本発明の実施の形態２に係る通信システムの構成を模式的に示す図である。
【発明を実施するための形態】
【００２５】
本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００２６】
［実施の形態１］
＜通信システムの概要について＞
図１は、本発明の実施の形態１に係る通信システムの構成を模式的に示す図である。
【００２７】
図１を参照して、通信システムは、複数の通信装置として、たとえば、ＭＦＰ（Multi Function Peripheral）１０Ａ，１０Ｂ，１０Ｃ，１０Ｌを含む。なお、本実施の形態では、複数の通信装置の全てがＭＦＰとして説明するが、これらの全てまたは一部は、直接的または間接的に電子証明書を利用した通信が可能な装置であれば、ＰＣ（Personal Computer）、複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【００２８】
ＭＦＰ１０Ａ，１０Ｂ，１０Ｃ，１０Ｌは、ＬＡＮ（Local Area Network）の一形態である共通のイントラネットに接続されたノードを構成している。ＭＦＰ１０Ａ，１０Ｂ，１０Ｃは、各々、インターネットを介して外部のＣＡ（証明書発行装置）３０やＰＣ４０と通信可能であるのに対し、ＭＦＰ１０Ｌは、イントラネット外の装置と直接通信することはできない。ＭＦＰ１０Ｌは、イントラネット内でのみ通信が可能なローカルな通信装置であり、外部装置と通信する場合は、ＭＦＰ１０Ａを仲介して行なう。また、ＭＦＰ１０Ａ〜１０Ｃは、各々、ＣＡ３０で発行された、自身の電子証明書を保持している。これに対し、ＭＦＰ１０Ｌは、自身の電子証明書を保持することができないため、ＭＦＰ１０Ａが、ＭＦＰ１０Ｌの電子証明書を保持している。したがって、ＭＦＰ１０Ｌが他の通信装置（イントラネット内外を問わない）とセキュア通信するためには、ＭＦＰ１０Ａを仲介としてデータの送受信を行なう。
【００２９】
本実施の形態において、ＭＦＰ１０Ｌのような、インターネットに接続不能であり、かつ、自身の電子証明書がイントラネット内の他の通信装置（ＭＦＰ１０Ａ）によって代理で保持されるＭＦＰを、「ＭＦＰ＿ＬＭ」と表わす。「Ｌ」はローカルを意味し、「Ｍ」は“mini”の略であり、他のＭＦＰより簡易な構成（電子証明書を自分で保持できない）であることを示している。
【００３０】
図１において、ＭＦＰ１０Ａ、ＭＦＰ１０Ｂ、ＭＦＰ１０Ｃ、およびＭＦＰ１０Ｌは、それぞれ、「ＭＦＰ１」、「ＭＦＰ２」、「ＭＦＰ３」、および「ＭＦＰ＿ＬＭ」と示されている。以下の説明において、特に必要がない限り、図１に示した名称を用いて説明する。
【００３１】
図１においては、ＭＦＰ＿ＬＭは１つしか示されていないが複数のＭＦＰ＿ＬＭが含まれてもよい。
【００３２】
図２は、本発明の実施の形態１におけるネットワーク（イントラネット）５０の構成を模式的に示す図である。
【００３３】
イントラネット５０には、複数の通信装置すなわちＭＦＰ１〜３およびＭＦＰ＿ＬＭが含まれる。各通信装置は、イーサネット（登録商標）ケーブル３を通じてハブ４と接続され、相互に通信することができる。ハブ４は、ルータ５を介して、図示しない別のネットワークセグメントと接続されている。
【００３４】
再び図１を参照して、ＭＦＰ１〜３間の通信は、各々の電子証明書を用いたＳＳＬ（Secure Socket Layer）通信が行なわれる。ＳＳＬは、セキュア通信のためのプロトコルの一種であり、他のプロトコル（たとえばＰＣＴ（Private Communication Technology）など）が用いられてもよい。ＭＦＰ１とＭＦＰ＿ＬＭとは、共通鍵暗号化方式で暗号化されたデータの通信を行なってもよい。
【００３５】
このような通信システムにおいて、通常のＣＲＬが発行される場合の手順について簡単に説明する。たとえば、ＭＦＰ１が、ＭＦＰ＿ＬＭの不正を検知すると、ＭＦＰ＿ＬＭの電子証明書をＣＲＬに登録するようＣＡに依頼する。依頼を受けたＣＡは、ＭＦＰ＿ＬＭの電子証明書（ＭＦＰ＿ＬＭの公開鍵証明書のシリアル番号）を追加したＣＲＬを、電子証明書を利用した通信を行なうＭＦＰ１〜３に配布する。
【００３６】
これに対し、本実施の形態の通信システムでは、ＭＦＰ１は、証明書のハンドリング機能を持たないＭＦＰ＿ＬＭの動作がポリシーを守っているかを監視する。ポリシー違反が検知されると、イントラネット５０内の他装置に、イントラネット５０内でのみ有効なブラックリスト（以下「ローカルＣＲＬ」という）が配布される。
【００３７】
なお、ＭＦＰ２，３においても、ＭＦＰ＿ＬＭの動作がポリシーを守っているかが監視されてもよい。
【００３８】
＜ハードウェア構成について＞
図３は、本発明の実施の形態１に係る各ＭＦＰ１０（１０Ａ，１０Ｂ，１０Ｃ，１０Ｌ）の概略のハードウェア構成を示す図である。
【００３９】
図３を参照して、各ＭＦＰは、制御部１００と、メモリ部１０２と、画像読取部１０４と、プリント部１０６と、通信インターフェイス１０８と、操作パネル部１１０と、記憶部１１２とを含む。
【００４０】
制御部１００は、代表的にＣＰＵ（Central Processing Unit）などの演算装置から構成され、プログラムを実行することで本実施の形態に従う監視処理を実現する。メモリ部１０２は、代表的にＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、制御部１００で実行されるプログラムやプログラムの実行に必要なデータなどを保持する。画像読取部１０４は、原稿を読み取って画像を取得する。プリント部１０６は、紙媒体などへの印刷処理を行なう。プリント部１０６は、プリント処理に係るハードウェア構成に加えて、各部の作動を制御するための制御装置をも含む。
【００４１】
通信インターフェイス１０８は、イントラネット５０内でデータを送受信したり、インターネットを介してＣＡ３０やＰＣ４０との間でデータを送受信したりする。通信インターフェイス１０８は、たとえば、ＬＡＮアダプタおよびそれを制御するドライバソフトなどを含む。操作パネル部１１０は、たとえば、液晶表示装置やタッチパネルなどから構成される表示パネルと、複数の操作ボタンとを含む。記憶部１１２は、代表的にハードディスク装置やフラッシュメモリなどの不揮発性の記憶装置であり、制御部１００の動作のためのプログラムや制御部１００で生成されたローカルＣＲＬなどを格納する。
【００４２】
各ＭＦＰは、さらに、着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体にアクセス可能なメディアドライブ（図示せず）を含んでもよい。
【００４３】
図４は、本発明の実施の形態１に係るＣＡ３０のハードウェア構成を模式的に示す図である。
【００４４】
図４を参照して、ＣＡ３０は、当該ＣＡ３０の動作を全体的に制御するＣＰＵ３５０、ＣＰＵ３５０のワークエリアとして機能するＲＡＭ（Random Access Memory）３５４、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）３５６、各種情報を表示するためのモニタ３５８、ユーザからの指示を受付けるためのキーボードなどの入力部３６０、クライアント装置などと通信するための通信インターフェイス３６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）３６４、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体３５２Ａにアクセスするメディアドライブ３５２とを備えている。
【００４５】
図５は、本発明の実施の形態１に係るＰＣ４０のハードウェア構成を模式的に示す図である。
【００４６】
図５を参照して、ＰＣ４０も、ＣＡ３０と同様に、当該ＰＣ４０の動作を全体的に制御するＣＰＵ４５０、ＣＰＵ４５０のワークエリアとして機能するＲＡＭ４５４、プログラムやデータなどを記憶するＲＯＭ４５６、各種情報を表示するためのモニタ４５８、ユーザからの指示を入力するためのキーボードなどの入力部４６０、他の装置と通信するための通信インターフェイス４６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）４６４、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体４５２Ａにアクセスするメディアドライブ４５２とを備えている。
【００４７】
＜機能構成について＞
ＭＦＰ１（ＭＦＰ１０Ａ）の機能構成を図６に示す。
【００４８】
図６を参照して、ＭＦＰ１は、その機能として、データ受信部２０２と、データ解析部２０３と、証明書処理部２０４と、監視部２０５と、制限部２０６と、ローカルＣＲＬ管理部２０７と、データ保持部２０８と、その他処理部２０９と、データ作成部２１１と、データ送信部２１２とを含む。
【００４９】
データ受信部２０２は、ネットワーク２０１上を流れるパケットを受信する。ネットワーク２０１は、図２に示したイントラネット５０に対応している。
【００５０】
データ解析部２０３は、データ受信部２０２が受信したパケットの中から所定のデータを抽出し、自装置に必要な情報であるかどうかをフィルタリングする。自装置にとって必要な情報であり、かつ、その情報が自装置に関する処理命令であれば、その情報は、証明書処理部２０４、監視部２０５、およびその他処理部２０９のいずれかにて処理される。
【００５１】
証明書処理部２０４は、ＣＡ３０に対し、証明書の発行を依頼する。また、通常のＣＲＬと照合することで、通信相手（ＭＦＰ＿ＬＭは除く）から送られてきた証明書が有効なものであるかを検証する。証明書処理部２０４は、さらに、ローカルＣＲＬ管理部２０７で管理されているローカルＣＲＬをチェックし、通信相手から送られてきた証明書の検証を行なう。送られてきた証明書または通信相手の情報がローカルＣＲＬに記載されていれば、その証明書はＮＧであると判断し、当該通信相手との通信をブロックする。
【００５２】
また、証明書処理部２０４は、代理での証明書管理を行なう。具体的には、制御対象のＭＦＰ＿ＬＭの電子証明書を代理で管理する。より具体的には、ＣＡ３０に対し、ＭＦＰ＿ＬＭの電子証明書の発行を代理で依頼したり、発行されたＭＦＰ＿ＬＭの電子証明書を使って、代理で他の装置（たとえばＰＣ４０など）にデータを送信したりする。代理での電子証明書の管理については後に詳述する。
【００５３】
監視部２０５は、ＭＦＰ＿ＬＭの状況を監視することで、ＭＦＰ＿ＬＭの不正の有無を検知する。具体的には、ＭＦＰ＿ＬＭが、予め設定されたポリシーを違反していないかどうかをチェックする。チェックの結果、違反を検出した場合、制限部２０６に通信のブロックを依頼するとともに、ローカルＣＲＬ管理部２０７に、違反したＭＦＰ＿ＬＭの電子証明書を失効させるための失効特定情報を出力する。また、監視部２０５は、ローカルＣＲＬに記載された失効特定情報により特定可能な通信装置の不正が解消されたかどうかの監視も行なう。
【００５４】
「失効特定情報」は、ＭＦＰ＿ＬＭの電子証明書を特定するための情報（証明書のシリアル番号）、および、ＭＦＰ＿ＬＭ自体を特定するための情報（機器ＩＤ、アドレスなど）の少なくともいずれかを含む。
【００５５】
制限部２０６は、監視部２０５およびローカルＣＲＬ管理部２０７からの依頼に応じて、ＭＦＰ＿ＬＭとの通信のブロック（制限）およびブロックの解除を行なう。
【００５６】
ローカルＣＲＬ管理部２０７は、監視部２０５にてポリシーを違反するデバイス（ＭＦＰ＿ＬＭ）が検知された場合に、監視部２０５より取得した失効特定情報をローカルＣＲＬに記載し、イントラネット５０内の他の通信装置（ＭＦＰ２，３）に発行する。
【００５７】
また、証明書代理デバイスではないＭＦＰ２，３もローカルＣＲＬの発行機能を有する場合には、ローカルＣＲＬ管理部２０７は、他の通信装置（ＭＦＰ２，３）から送られてきたローカルＣＲＬに従った操作（処理）を行なう。具体的には、受取ったローカルＣＲＬを読み込み、リストに記載されている失効特定情報で特定される電子証明書による通信をブロックするよう制限部２０６に依頼したり、リスト内に記載されている復帰条件のチェックを監視部２０５に依頼したりする。また、監視部２０５にて不正の解消が確認された場合には、リストから該当する失効特定情報を削除する。また、必要に応じて、他の通信装置に、更新したローカルＣＲＬを配布する。
【００５８】
データ保持部２０８は、自身の電子証明書、ＭＦＰ＿ＬＭの電子証明書、および、ローカルＣＲＬを保持する。ローカルＣＲＬのデータ構造例については後述する。また、データ保持部２０８は、監視ポリシーおよび、各ポリシーと対応付けられた復帰条件を予め記憶する。
【００５９】
その他処理部２０９は、上記以外の処理を行なう。具体的には、情報の提供、更新、問合せおよび管理などが行なわれる。
【００６０】
データ作成部２１１は、データをネットワークパケットの形に整形する。データ送信部２１２は、データ作成部２１１によって整形されたネットワークパケットを、指示された送り先に送信する。
【００６１】
図６に示した機能構成のうち、データ受信部２０２およびデータ送信部２１２の機能は、たとえば図２に示した通信インターフェイス１０８によって実現される。データ解析部２０３、証明書処理部２０４、監視部２０５、制限部２０６、ローカルＣＲＬ管理部２０７およびその他処理部２０９の機能は、図２に示した制御部１００がメモリ部１０２に格納されたソフトウェアを実行することによって実現される。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがメモリ部１０２に格納されている。なお、これらのうちの少なくとも１つは、ハードウェアで実現されてもよい。データ保持部２０８は、たとえば図２に示した記憶部１１２によって実現される。
【００６２】
ＭＦＰ２，３（ＭＦＰ１０Ｂ，１０Ｃ）の機能構成を図７に示す。図７において、図６に示したＭＦＰ１と同様または相当する構成については同じ符号を付けている。したがって、それらについての説明は繰返さない。
【００６３】
図７を参照して、ＭＦＰ２，３は、ＭＦＰ１の機能構成に含まれていた証明書処理部２０４に代えて、証明書処理部２０４＃を有する。それ以外の機能構成は、ＭＦＰ１と同様である。
【００６４】
証明書処理部２０４＃は、ＭＦＰ１の証明書処理部２０４に含まれていた、代理での証明書管理の機能を有さない。
【００６５】
ＭＦＰ２，３のデータ保持部２０８には、自装置の電子証明書以外の証明書は記憶されない。
【００６６】
ＭＦＰ＿ＬＭ（ＭＦＰ１０Ｌ）の機能構成を図８に示す。図８においても、図６に示したＭＦＰ１と同様または相当する構成については同じ符号を付けている。したがって、それらについての説明は繰返さない。
【００６７】
図８を参照して、ＭＦＰ＿ＬＭは、ＭＦＰ１の機能構成に含まれていた証明書処理部２０４、監視部２０５、制限部２０６およびローカルＣＲＬ管理部２０７を有さず、代わりに、送受信管理部２２０を有する。また、電子証明書や監視ポリシーを記憶したデータ保持部２０８を有さない。
【００６８】
送受信管理部２２０は、証明書代理デバイスであるＭＦＰ１との間で送受信されるデータを管理する。また、他の通信装置（ＭＦＰ１〜３のいずれか）からの要求に応じて現在のＭＦＰ＿ＬＭの状況を応答する場合には、現在の状況を収集して、メッセージを作成したりする。作成されたメッセージは、データ作成部２１１およびデータ送信部２１２を介して、要求してきた通信装置に送信される。
【００６９】
＜証明書代理デバイスの処理＞
ここで、ＭＦＰ１が実行する電子証明書の代理取得および通信の仲介について、図９〜図１２を参照して説明する。
【００７０】
（電子証明書の代理取得について）
図９は、本発明の実施の形態１において、電子証明書を代理取得する際のデータの流れを示す図である。図１０は、本発明の実施の形態１における、電子証明書の代理取得処理を示すフローチャートである。図１０のフローチャートに示す処理は、予めプログラムとしてＭＦＰ１のメモリ部１０２に格納されており、ＭＦＰ１の制御部１００がこのプログラムを読み出して実行することにより、代理取得処理の機能が実現される。代理取得処理は、代表的に、ＭＦＰ１の証明書処理部２０４によって制御されてよい。
【００７１】
・ＯＰ−１
まず、ＭＦＰ＿ＬＭの送受信管理部２２０は、自機の特定情報を、代理デバイスであるＭＦＰ１に送信する。ここで送信される特定情報には、ＭＦＰ＿ＬＭのシリアル番号（機器ＩＤ）、ＭＡＣアドレス、公開鍵暗号化方式の秘密鍵または公開鍵等を含めることができる。また、当該特定情報には、ＭＦＰ＿ＬＭがソフトウェアであるときには、当該ソフトウェアについてのライセンスキーであってもよい。また、当該特定情報には、当該特定情報自体の有効期限が設けられていてもよい。
【００７２】
有効期限の具体的な利用態様としては、ＭＦＰ１が、当該有効期限が過ぎた場合に、ＭＦＰ＿ＬＭから受信した当該特定情報を、ＣＡ３０に電子証明書の発行要求をすることなく、破棄することが考えられる。
【００７３】
他の利用態様としては、ＭＦＰ＿ＬＭが、当該有効期限内にのみ有効な一時的な共通鍵を生成して暗号化し、このように暗号化された情報を当該共通鍵とともにＭＦＰ１に送信し、ＭＦＰ１が、当該期間のみ特定情報を復号化してＣＡ３０に対してＭＦＰ＿ＬＭの電子証明書の発行要求をすることができるようにしてもよい。
【００７４】
さらに他の利用態様としては、ＭＦＰ＿ＬＭが、特定情報送信前に、秘密鍵と公開鍵を生成し、公開鍵をＭＦＰ１に送信する。ＭＦＰ＿ＬＭは、上記した特定情報の有効期限が切れると、秘密鍵を消去する。ＭＦＰ１は、ＣＡ３０に電子証明書の発行要求をする際に、ＭＦＰ＿ＬＭの公開鍵で暗号化した特定情報要求データ（ＭＦＰ＿ＬＭに対して特定情報の送信を要求するデータ）をＭＦＰ＿ＬＭに送信する。そして、ＭＦＰ＿ＬＭは、上記のように生成した秘密鍵で特定情報要求データを復号化できることを確認した後、上記特定情報をＭＦＰ１に送信する。
【００７５】
・ＯＰ−２
ＭＦＰ１は、証明書処理部２０４において自機の電子証明書を読出し、ＣＡ３０とＳＳＬを使ってハンドシェイクを行なう（ステップＳＡ１０）。
【００７６】
ＭＦＰ１は、ステップＳＡ１０におけるハンドシェイクが成功したかを判断する（ステップＳＡ２０）。成功したと判断するとＭＦＰ＿ＬＭからの情報の送信に応じて、ＭＦＰ＿ＬＭの電子証明書の発行要求（ＣＳＲ（Certificate Signing Request））を生成する。ハンドシェイクが失敗すると、ＭＦＰ＿ＬＭに対し、証明書の取得失敗を通知する（ステップＳＡ８０）。
【００７７】
ＭＦＰ１は、ＣＳＲに、通常の電子証明書の発行要求情報に加えて、付加情報を含めることもできる。付加情報とは、通信の代行・仲介を行なうＭＦＰ１の機器を特定するための特定情報や電子証明書の有効期限、ＭＦＰ＿ＬＭの電子証明書の有効期限を含む。
【００７８】
・ＯＰ−３
ＭＦＰ１は、ＯＰ−２で生成したＣＳＲを、ＣＡ３０に送信する（ステップＳＡ３０）。
【００７９】
・ＯＰ−４
ＣＡ３０は、ＭＦＰ１からＣＳＲを受信すると、これに応じて、ＭＦＰ＿ＬＭの電子証明書を生成する。
【００８０】
なお、ＣＡ３０によるＭＦＰ＿ＬＭの電子証明書の発行の条件として、ＣＡ３０がＭＦＰ１の認証に成功したことを含めてもよい。この場合、ＭＦＰ１は、証明書発行要求情報に、付加情報として、ＭＦＰ１の機器特定情報が含める。ＣＡ３０は、当該機器特定情報に基づいて、ＭＦＰ１の認証を試みる。
【００８１】
また、ＭＦＰ１とＣＡ３０とがＳＳＬハンドシェイクを行なう際に、ＣＡ３０に送信されるＭＦＰ１の電子証明書を利用してＭＦＰ１の認証を行ない、当該認証の成功を条件として、ＣＡ３０がＭＦＰ＿ＬＭの電子証明書を発行するようにしてもよい。
【００８２】
また、ＣＡ３０がＭＦＰ＿ＬＭの電子証明書を生成する際に、ＭＦＰ＿ＬＭの電子証明書の有効期限をＭＦＰ１の電子証明書の有効期限と同時または当該有効期限より先に切れるようにするよう設定しても良い。本実施の形態では、ＭＦＰ＿ＬＭの電子証明書を利用した通信は、ＭＦＰ１を介して行なわれることから、ＭＦＰ１の電子証明書の有効期限が切れれば、ＭＦＰ１は、ＭＦＰ＿ＬＭとＰＣ４０との通信を仲介できなくなる。よって、ＭＦＰ＿ＬＭの電子証明書の有効期限をＭＦＰ１の電子証明書の有効期限と同じまたはそれよりも短くすることにより、ＭＦＰ＿ＬＭの電子証明書の有効期限が無駄に長く設定されることを回避できる。
【００８３】
また、ＭＦＰ１は、付加情報としてＭＦＰ＿ＬＭの電子証明書の有効期限に関する情報を生成し、ＣＡ３０に送信する証明書発行要求情報に含めてもよい。ＣＡ３０は、当該付加情報に応じて、ＭＦＰ＿ＬＭの電子証明書の有効期限を設定する。
【００８４】
・ＯＰ−５
ＣＡ３０は、ＯＰ−４で生成したＭＦＰ＿ＬＭの電子証明書をＭＦＰ１へ送信する。ＭＦＰ１は、ＣＡ３０から、ＭＦＰ＿ＬＭの電子証明書の生成の成否を、ＳＳＬ通信により取得し（ステップＳＡ４０）、ＭＦＰ＿ＬＭの電子証明書の生成を、ＣＡ３０が成功したか否かを判断する（ステップＳＡ５０）。
【００８５】
・ＯＰ−６
ＣＡ３０によってＭＦＰ＿ＬＭの電子証明書の生成が行なわれると、ＭＦＰ１は、ＣＡ３０から受信したＭＦＰ＿ＬＭの電子証明書を保存する（ステップＳＡ６０）。また、ＭＦＰ＿ＬＭに、当該ＭＦＰ＿ＬＭの電子証明書の取得に成功したことを通知して、処理を終了させる。
【００８６】
・ＯＰ−７
ＭＦＰ１は、ＣＡ３０からＭＦＰ＿ＬＭの電子証明書を受信したことに応じて、ＭＦＰ＿ＬＭに対して、当該ＭＦＰ＿ＬＭの電子証明書が発行されたこと（取得に成功したこと）を通知する（ステップＳＡ７０）。
【００８７】
一方、ＣＡ３０によってＭＦＰ＿ＬＭの電子証明書の生成が行なわれなかった場合には、ＭＦＰ＿ＬＭに対して、当該ＭＦＰ＿ＬＭの電子証明書の取得に失敗したことを通知して、処理を終了させる（ステップＳＡ８０）。
【００８８】
（通信の仲介処理について）
図１１は、本発明の実施の形態１において、電子証明書を利用した通信の仲介処理の際のデータの流れを示す図である。図１２は、本発明の実施の形態１における、電子証明書を利用した仲介処理を示すフローチャートである。図１２のフローチャートに示す処理は、予めプログラムとしてＭＦＰ１のメモリ部１０２に格納されており、ＭＦＰ１の制御部１００がこのプログラムを読み出して実行することにより、仲介処理の機能が実現される。仲介処理も、代表的に、ＭＦＰ１の証明書処理部２０４によって制御されてよい。
【００８９】
まず、ＭＦＰ１は、ＭＦＰ＿ＬＭから、社外サーバなどのＰＣ４０との通信の要求を受けると（ステップＳＢ１０）、ＭＦＰ＿ＬＭの電子証明書を読み込む（ステップＳＢ２０）。そして、当該電子証明書を用いてＰＣ４０とＳＳＬハンドシェイクを行なう（ステップＳＢ３０）。
【００９０】
なお、ＭＦＰ＿ＬＭが、ＭＦＰ１に対して、ＰＣ４０との通信の仲介を要求する際に、チケットをＭＦＰ１に送信し、ＭＦＰ１は、自機がＣＡ３０に対して証明書発行要求を送信したノード（ＭＦＰ＿ＬＭ）からの通信仲介要求であることを確認し、このことを条件に、ＭＦＰ１は通信の仲介のための処理を開始してもよい。
【００９１】
また、ＭＦＰ＿ＬＭからＭＦＰ１に対しての通信仲介要求の際に、ＭＦＰ＿ＬＭのアドレスや通信経路情報等をＭＦＰ１に対して送信し、ＭＦＰ１は、ＭＦＰ＿ＬＭが同一ネットワーク（イントラネット５０）上に存在することを確認したことを条件として、通信を仲介するための処理（上記したＰＣ４０とのハンドシェイク等）を開始してもよい。
【００９２】
ＰＣ４０との通信が確立すると（ステップＳＢ４０でＹＥＳ）、ＭＦＰ１は、その旨をＭＦＰ＿ＬＭに通知する。ＰＣ４０とのハンドシェイクが失敗した場合（ステップＳＢ４０でＮＯ）、ＭＦＰ＿ＬＭに対し、通信エラーを通知して処理を終了する（ステップＳＢ９０）。
【００９３】
・ＯＰ−８
上記通信確立の通知を受けると、ＭＦＰ＿ＬＭは、ＰＣ４０に送信するためのデータ（仲介データ）を、ＭＦＰ１に送信する。ＭＦＰ１は、仲介データを取得する（ステップＳＢ５０）。
【００９４】
ここで、ＰＣ４０は、ＭＦＰ１から送信される機器特定情報や電子証明書を利用して、通信を仲介するＭＦＰ１をも認証してもよい。つまり、ＭＦＰ１とＣＡ３０とがＳＳＬハンドシェイクを行なう際に、まず、ＭＦＰ１がＣＡ３０にＭＦＰ１の電子証明書を送信し、ＣＡ３０は、ＭＦＰ１を認証する。当該ＭＦＰ１が認証された後、ＭＦＰ＿ＬＭの電子証明書を用いてハンドシェイクを行なうようにしてもよい。
【００９５】
・ＯＰ−９
ＭＦＰ１は、ＭＦＰ＿ＬＭから送信されてきたデータを、ＭＦＰ＿ＬＭの電子証明書を用いたＳＳＬ通信にてＰＣ４０へ送信する（ステップＳＢ６０）。
【００９６】
・ＯＰ−１０
ＰＣ４０は、ＭＦＰ＿ＬＭから、ＭＦＰ１を介して送信されてきたデータを受信し、当該受信したデータに応じた処理を実行する。
【００９７】
・ＯＰ−１１
ＰＣ４０は、ＭＦＰ＿ＬＭに送信するデータを、ＭＦＰ１へ送信する。ＰＣ４０は、ＭＦＰ１との間で、当該ＰＣ４０の電子証明書を用いたセキュアな通信が可能である。
【００９８】
・ＯＰ−１２
ＭＦＰ１は、ＰＣ４０からデータを受信すると（ステップＳＢ７０）、イントラネット５０内のＭＦＰ＿ＬＭに、当該データを送信する（ステップＳＢ８０）。ＭＦＰ＿ＬＭでは、当該受信したデータに応じた処理が実行される。
【００９９】
このように、ＭＦＰ＿ＬＭが電子証明書の発行を受ける機能を有していない場合であっても、ＭＦＰ１が、ＭＦＰ＿ＬＭの代理で電子証明書を取得することができる。また、ＭＦＰ１が、ＭＦＰ＿ＬＭとＰＣ４０との間でのＭＦＰ＿ＬＭの電子証明書を用いた通信を仲介することにより、ＰＣ４０が、ＭＦＰ＿ＬＭ自体の正当性を確認しつつ、ＭＦＰ＿ＬＭとデータの送受信をすることができる。これにより、たとえば、イントラネット５０の外に存在するサーバ（ＰＣ４０など）とＭＦＰ＿ＬＭとの間で、ＭＦＰ＿ＬＭのメンテナンス情報等の情報を、セキュア通信によって送受信することができる。
【０１００】
ＭＦＰ１は、イントラネット５０外の通信装置とインターネットを介した通信を行なう場合、ＭＦＰ＿ＬＭの代理デバイスとして機能する。したがって、ＭＦＰ１は、ＭＦＰ＿ＬＭが何らかの不正を行なう場合には、それを検知して止めるシステムが安全上必要である。
【０１０１】
本実施の形態では、ＭＦＰ＿ＬＭの不正およびＭＦＰ＿ＬＭの復帰の両方を監視するシステムを提供する。
【０１０２】
＜ローカルＣＲＬのデータ構造＞
図１３は、本発明の実施の形態１におけるローカルＣＲＬ６０のデータ構造例を示す図である。
【０１０３】
図１３を参照して、ローカルＣＲＬ６０は、たとえば４つの項目すなわち、デバイス（証明書）と、復帰条件と、有効期限と、登録日とを含む。デバイス（証明書）の項目には、失効特定情報として、通信をブロックすべきデバイスの機器特定情報（機器ＩＤまたはアドレス）が記録される。また／または、証明書特定情報（証明書のシリアル番号）が記録されてもよい。復帰条件の項目には、検知された不正が解消されたことを示す条件が復帰条件として記録される。つまり、違反した監視ポリシーを再び満足するために必要な条件が記録される。有効期限の項目には、イントラネット５０内で通信をブロックすべき期間（期日）が記録される。登録日の項目には、当該ローカルＣＲＬ６０に登録された日にち、すなわち不正が検知された日にちが記録される。
【０１０４】
なお、ローカルＣＲＬ６０には、有効期限が含まれなくてもよい。
＜不正監視処理＞
本実施の形態において、ＭＦＰ＿ＬＭの不正を監視する処理について説明する。
【０１０５】
図１４は、本発明の実施の形態１における不正監視処理を示すフローチャートである。図１４の処理は定期的に行なわれる。なお、図１４では、ＭＦＰ１がＭＦＰ＿ＬＭの不正を監視することとしているが、他のＭＦＰ２，３においてもＭＦＰ＿ＬＭの不正を監視してもよい。
【０１０６】
図１４を参照して、ＭＦＰ１の監視部２０５は、ＭＦＰ＿ＬＭについて、予め設定された監視ポリシーをチェックする（ステップＳ１０２）。ＭＦＰ１がチェックする監視ポリシーはたとえば次のようなものである。
ａ） ＭＦＰ２，３との通信エラーが規定値以上
ｂ） ＭＦＰ２，３との通信量（再送回数含む）が規定値以上
ｃ） ＭＦＰ１が知らない装置との通信が発生している
ｄ） ＭＦＰ＿ＬＭからのメッセージにウィルスが含有されている
ｅ） ＭＦＰ１で復号化できない暗号化がなされている（署名、パスワードのミスマッチを含む）
ｆ） 規定値以上の大容量のデータを送信してきている
ｇ） 利用規定時刻以外（たとえば深夜）の時刻に通信が発生
ｈ） ＭＦＰ＿ＬＭのスペックが、ポリシー設定時と違っている（ＩＰアドレス、ＭＡＣアドレス、ＯＳを含む）
ｉ） ＭＦＰ１が知らないプロトコルを利用している
ｊ） ＭＦＰ１を経由して、別の装置へ証明書の代理発行依頼を行なっている（二重発行を検知した場合を含む）
ｋ） ＭＦＰ＿ＬＭからＣＲＬ発行要求が規定回数以上
ｌ） ＭＦＰ＿ＬＭがブロードキャストを行なった
たとえばａ），ｂ）に示されるように、監視ポリシーには、イントラネット５０内の他のＭＦＰ２，３との通信制限を記載したものが含まれる。なお、ＭＦＰ２またはＭＦＰ３が監視処理を行なう場合には、ａ）〜ｌ）のポリシーのうちの一部（たとえばｊ）のポリシー）は、監視対象に含まれなくてもよい。
【０１０７】
ＭＦＰ１の監視部２０５がＭＦＰ＿ＬＭの不正を検出すると（ステップＳ１０４にてＹＥＳ）、つまり、上記ポリシーａ）〜ｌ）のいずれかに該当すると、制限部２０６によって、ＭＦＰ＿ＬＭの通信がブロックされる（ステップＳ１０６）。また、ローカルＣＲＬ管理部２０７によって、ローカルＣＲＬの生成または更新が行なわれる（ステップＳ１０８）。具体的には、既に、データ保持部２０８にローカルＣＲＬが記憶されている場合には、そのローカルＣＲＬが更新され、記憶されていない場合には、新たにローカルＣＲＬが生成される。ローカルＣＲＬ管理部２０７は、たとえば、ＭＦＰ＿ＬＭの電子証明書のシリアル番号（証明書特定情報）をローカルＣＲＬに記載し、当該シリアル番号に対応付けて、復帰条件、有効期限、および登録日をさらに記載する。
【０１０８】
ローカルＣＲＬに記載される復帰条件は、たとえば次のようなものである。
Ａ） ウィルスチェック完了を確認
Ｂ） 管理者操作完了（メカニカルスイッチ（リセットボタンなど）、特定の秘密情報がデフォルトに変更）
Ｃ） 通信量安定（ＤｏＳなどのような高負荷通信をしなくなった）
Ｄ） ログインユーザの変更を確認
Ｅ） デバイスの動作モード変更（一般モード⇒セキュリティモード、インターネット接続モード⇒イントラネット接続モード、など）
Ｆ） 上記以外で、監視ポリシーを違反した減少が解消されたことを確認
なお、このような復帰条件は、予め、データ保持部２０８において、各監視ポリシーと対応付けて記憶されているものであってよい。具体的には、たとえば、ｄ）のポリシー（ＭＦＰ＿ＬＭからのメッセージにウィルスが含有されている）と対応付けてＡ）の復帰条件（ウィルスチェック完了を確認）が記憶されている。
【０１０９】
あるいは、不正を行なったローカル通信装置（ＭＦＰ＿ＬＭ）の状況に応じた復帰条件が記載されてもよい。具体的には、ＭＦＰ＿ＬＭが、ウィルスチェックソフトをダウンロードできないような相当古い規格のデバイスである場合には、「ＲＯＭをＵＰデート済み」といった復帰条件がさらに記載されてもよい。
【０１１０】
また、ある不正が検知された後、さらに別の不正が検知される場合には、複数の復帰条件が記載されてもよい。
【０１１１】
ローカルＣＲＬに記載される有効期限は、不正の種類に関わらず固定であってもよいし、不正の種類に応じて定められたものであってもよい。有効期限に関する情報も、たとえばデータ保持部２０８に予め格納されていてよい。
【０１１２】
ＭＦＰ１のローカルＣＲＬ管理部２０７は、ローカルＣＲＬに自己署名を行ない、ＭＦＰ２およびＭＦＰ３に署名後のローカルＣＲＬを発行する（ステップＳ１１０）。ローカルＣＲＬへの署名には、自身が持つ秘密鍵が用いられる。ＭＦＰ１の公開鍵は、他のＭＦＰ２，３に公開されている。
【０１１３】
ＭＦＰ２およびＭＦＰ３は、データ受信部２０２においてローカルＣＲＬを受信する（ステップＳ１１２）。受信したローカルＣＲＬは、データ解析部２０３を介してローカルＣＲＬ管理部２０７に渡される。
【０１１４】
ローカルＣＲＬ管理部２０７は、まず、ローカルＣＲＬへ施された署名が正当であるかどうかを、ＭＦＰ１の公開鍵を用いて検証する。ローカルＣＲＬが検証を通過すると、ローカルＣＲＬ管理部２０７は、データ保持部２０８内のローカルＣＲＬを更新する（ステップＳ１１４）。たとえば、データ保持部２０８内のローカルＣＲＬを、受取ったローカルＣＲＬによって上書きしてもよいし、受取ったローカルＣＲＬにおいて更新された部分のみを追加および削除してもよい。
【０１１５】
このように、本実施の形態ではローカルＣＲＬに発行者の電子署名が付加されるため、ローカルＣＲＬを受取ったＭＦＰ２，３は、ローカルＣＲＬが正式なもの、改竄されたものでないことを検証することができる。受取ったローカルＣＲＬが検証を通過しなかった場合には、たとえば、そのローカルＣＲＬは棄却される。
【０１１６】
上述のような処理によってローカルＣＲＬが配布されると、不正を犯したＭＦＰ＿ＬＭの復帰監視ステータスに移行する。なお、不正監視処理と後述の復帰監視処理とは並行して行なわれてよい。したがって、ローカルＣＲＬに記載されたＭＦＰ＿ＬＭに対しても、継続的に（定期的に）図１４に示される不正監視処理を行なってもよい。
【０１１７】
＜復帰監視処理＞
本実施の形態において、ＭＦＰ＿ＬＭの復帰を監視する処理について説明する。
【０１１８】
図１５は、本発明の実施の形態１における復帰監視処理を示すフローチャートである。
図１５を参照して、証明書の管理を代理で行なう機能を持たないＭＦＰ２および３の監視部２０５は、各々、ＭＦＰ１に対して、ＭＦＰ＿ＬＭが復帰条件を満たしたか否かの確認を依頼する（ステップＳ２０２）。確認の依頼は、ＭＦＰ２および３のデータ保持部２０８にローカルＣＲＬが存在する場合に、たとえば定期的に行なわれる。
【０１１９】
ＭＦＰ１の監視部２０５は、ＭＦＰ２または３からの依頼に基づき、ローカルＣＲＬに記載の復帰条件をチェックする（ステップＳ２０４）。具体的には、たとえば、復帰条件がＡ）のウィルスチェック完了であった場合、ＭＦＰ＿ＬＭにおいてウィルスチェックが完了されたかどうかをチェックする。このような確認に際し、ＭＦＰ１は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ＿ＬＭに通知し、ＭＦＰ＿ＬＭは、通知された復帰条件に関わる現時点の情報を返信するようにしてもよい。
【０１２０】
ＭＦＰ１の監視部２０５は、ＭＦＰ＿ＬＭが復帰条件を満たしていないと判断した場合（ステップＳ２０６にてＮＯ）、問合せしてきたＭＦＰ２または３に対し、復帰不可能信号を送信することで、復帰ＮＧを通知する（ステップＳ２０８）。復帰ＮＧの通知を受けたＭＦＰ２または３は、この処理を終了する（ステップＳ２１０）。
【０１２１】
これに対し、ＭＦＰ＿ＬＭが復帰条件を満たしていると判断した場合（ステップＳ２０６にてＹＥＳ）、問合せしてきたＭＦＰ２または３に対し、ＭＦＰ＿ＬＭの通信の制限を解除するための解除情報として復帰可能信号を送信することで、復帰ＯＫを通知する（ステップＳ２１２）。復帰可能を確認したＭＦＰ１と、復帰ＯＫの通知を受けたＭＦＰ２または３とは、データ保持部２０８内のローカルＣＲＬからＭＦＰ＿ＬＭの証明書特定情報（または機器特定情報）を削除する（ステップＳ２１６，Ｓ２１８）。これにより、復帰監視処理は終了される。
【０１２２】
なお、本実施の形態では、ＭＦＰ２および３は、ＭＦＰ１を介してＭＦＰ＿ＬＭの復帰を確認したが、ＭＦＰ＿ＬＭに対して直接確認してもよい。その場合、ＭＦＰ２および３は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ＿ＬＭに通知する。ＭＦＰ＿ＬＭは、確認の依頼を受けると、復帰条件に関わる現時点の情報を返信する。ＭＦＰ２および３は、ＭＦＰ＿ＬＭからの返信内容に応じて、ローカルＣＲＬからＭＦＰ＿ＬＭについての失効情報を削除し、ブロックを解除する。
【０１２３】
ＭＦＰ１は、ＭＦＰ２および３からの依頼に基づかなくても、定期的にＭＦＰ＿ＬＭの復帰確認をしてもよい。ＭＦＰ＿ＬＭの復帰が確認されると、ＭＦＰ１は、ＭＦＰ＿ＬＭの証明書特定情報を削除したローカルＣＲＬをＭＦＰ２，３に配布してもよい。または、復帰条件を回復しない場合、ＭＦＰ１は、ローカルＣＲＬに記載の有効期限内にローカルＣＲＬを発行し続け、有効期限を過ぎても回復しない場合は、有効期限を延長（書き換え）してもよい。
【０１２４】
また、図１５の復帰監視処理では、ＭＦＰ２，３は、復帰可能信号を受けて、自装置内のローカルＣＲＬを更新することとしたが、ＭＦＰ１より更新されたローカルＣＲＬを取得することによって自装置内のローカルＣＲＬを更新してもよい。つまり、ＭＦＰ＿ＬＭの通信の制限を解除するための解除情報として、更新後のローカルＣＲＬが用いられてもよい。
【０１２５】
また、ＭＦＰ２および３は、自身で保持しているローカルＣＲＬに記載された有効期限を過ぎた場合に、再度、ＭＦＰ１にローカルＣＲＬの配布を要求し、最新のローカルＣＲＬを取得してもよい。このようにすることで、何らかの理由で復帰可能信号が受取れていなかった場合にでも確実にＭＦＰ＿ＬＭが復帰可能かどうかを確認することができる。
【０１２６】
また、ローカルＣＲＬにおいて、復帰条件の確認タイミングをさらに記載することとしてもよい。確認タイミングとしては、一定時間経過後（たとえば、１０分毎、２４時間毎、など）、スケジュール確認（具体的な日にち）、所定のイベント発生時（たとえばデータ受信時）などが記載されてよい。ＭＦＰ１〜３は、ローカルＣＲＬに記載された確認タイミングに応じて、ＭＦＰ＿ＬＭの復帰を確認してもよい。
【０１２７】
また、ＭＦＰ１あるいはＭＦＰ２，３は、ＭＦＰ＿ＬＭが一向に（有効期限近くになっても）復帰条件を満足しない場合には、ＣＡ３０に対し、ＭＦＰ＿ＬＭの電子証明書を、ＣＡ３０が管理するＣＲＬに登録するよう依頼をしてもよい。
【０１２８】
以上のように、本実施の形態によると、一時的な不正を定義したポリシーを犯したＭＦＰ＿ＬＭが存在すると、そのＭＦＰ＿ＬＭのイントラネット５０内での通信をブロックするためのローカルＣＲＬが発行される。ＭＦＰ＿ＬＭはイントラネット５０外の装置と直接通信する機能を有していないので、ローカルＣＲＬの発行によってイントラネット５０内外のセキュリティを十分に維持することができる。
【０１２９】
また、ローカルＣＲＬには、不正を犯したＭＦＰ＿ＬＭの復帰条件が記載されることで、ホワイトリストが並存される形態よりも処理を容易化することができる。また、復帰条件を満たしたかを確認することによって、一時的な不正を犯したＭＦＰ＿ＬＭを自動的に復帰させることができる。これにより、従来よりも少ない手順でＭＦＰ＿ＬＭとのセキュア通信を復活させることができる。
【０１３０】
なお、ローカルＣＲＬには、必ずしも復帰条件が記載されなくてもよい。この場合、各ＭＦＰ１〜３は、ローカルＣＲＬに記載された有効期限内は無条件にＭＦＰ＿ＬＭとの通信をブロックすることになる。
【０１３１】
［実施の形態２］
上記実施の形態１では、インターネットに接続不能でありかつ電子証明書を保持する機能を有さない通信装置（ＭＦＰ＿ＬＭ）の不正を検知するものであったが、実施の形態２では、インターネットに接続不能であるが電子証明書を保持する機能を有する通信装置の不正を検知する。
【０１３２】
以下に、実施の形態１と異なる部分のみ説明する。
図１６は、本発明の実施の形態２に係る通信システムの構成を模式的に示す図である。
【０１３３】
図１６を参照して、通信システムは、複数の通信装置として、たとえば、ＭＦＰ１０Ａ，１０Ｌ１，１０Ｌ２，１０Ｌ３を含む。なお、本実施の形態においても、複数の通信装置の全てがＭＦＰとして説明するが、これらの全てまたは一部は、他装置との通信機能を有する装置であれば、ＰＣ、複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【０１３４】
ＭＦＰ１０Ａは、実施の形態１と同様である。ＭＦＰ１０Ｌ１，１０Ｌ２，１０Ｌ３は、イントラネットにのみ接続しているローカルな通信装置である。ＭＦＰ（Multi Function Peripheral）１０Ａ，１０Ｌ１，１０Ｌ２，１０Ｌ３は、各々、ＣＡ３０で発行された電子証明書を保持している。ただし、電子証明書の取得は、ＭＦＰ１０Ａのみによって行なわれる。
【０１３５】
本実施の形態において、ＭＦＰ１０Ｌ１，１０Ｌ２，１０Ｌ３のような、イントラネットにのみ接続しているＭＦＰをそれぞれ「ＭＦＰ＿Ｌ１」、「ＭＦＰ＿Ｌ２」および「ＭＦＰ＿Ｌ３」と表わす。
【０１３６】
ＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３の機能構成は、図７に示した構成と同等であってよい。ただし、データ保持部２０８には、自身の証明書が保持される。
【０１３７】
本実施の形態におけるＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３は自身の電子証明書を扱う機能を有しているため、ＭＦＰ＿Ｌ１、ＭＦＰ＿Ｌ２およびＭＦＰ＿Ｌ３は、互いに不正および復帰を監視し合うこことができる。
【０１３８】
本実施の形態において、ＭＦＰ１が監視するポリシーには、上記ａ）〜ｌ）に加え、ｍ）として、ＭＦＰ＿Ｌ２，Ｌ３からポリシーを犯しているとの報告を一定数以上受信した場合、が含まれる。
【０１３９】
各ＭＦＰで実行される不正監視処理、および、復帰監視処理の流れは実施の形態１と同様であってよい。
【０１４０】
また、本実施の形態のＭＦＰ１を制御する方法（不正監視方法および復帰監視方法）を、プログラムとして提供することもできる。このようなプログラムは、当該プログラムをコンピュータが読取可能な一時的でない（non-transitory）記録媒体に記録される。このような「コンピュータ読取可能な記録媒体」は、たとえば、ＣＤ−ＲＯＭ（Compact Disc-ROM）などの光学媒体や、メモリカードなどの磁気記録媒体などを含む。また、このようなプログラムをコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
【０１４１】
なお、本実施の形態に係るプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に係るプログラムに含まれ得る。
【０１４２】
また、本実施の形態に係るプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に係るプログラムに含まれ得る。なお、プログラム製品は、プログラム自体と、プログラムが記憶された記憶媒体とを含む。
【０１４３】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１４４】
３ イーサネット（登録商標）ケーブル、４ ハブ、５ ルータ、１０Ａ，１０Ｂ，１０Ｃ，１０Ｌ，１０Ｌ１，１０Ｌ２，１０Ｌ３ ＭＦＰ、５０ イントラネット、１００ 制御部、１０２ メモリ部、１０４ 画像読取部、１０６ プリント部、１０８ 通信インターフェイス、１１０ 操作パネル部、１１２ 記憶部、２０１ ネットワーク、２０２ データ受信部、２０３ データ解析部、２０４ 証明書処理部、２０５ 監視部、２０６ 制限部、２０７ ローカルＣＲＬ管理部、２０８ データ保持部、２０９ その他処理部、２１１ データ作成部、２１２ データ送信部、２２０ 送受信管理部、３５０，４５０ ＣＰＵ、３５２，４５２ メディアドライブ、３５２Ａ，４５２Ａ 記録媒体、３５４，４５４ ＲＡＭ、３５６，４５６ ＲＯＭ、３５８，４５８ モニタ、３６０，４６０ 入力部、３６２，４６２ 通信インターフェイス。
【特許請求の範囲】
【請求項１】
電子証明書を利用したセキュア通信が可能な通信システムであって、
共通のローカルエリアネットワークによって接続された複数のノードを備え、
前記複数のノードは、
インターネットに接続可能であり、かつ、自身の前記電子証明書を保持可能な第１の通信装置と、
インターネットに接続不能である第２の通信装置とを含み、
前記第１の通信装置は、
前記第２の通信装置の状況を監視することで、前記第２の通信装置の不正の有無を検知するための第１の監視手段と、
前記第１の監視手段により前記第２の通信装置の不正が検知された場合に、前記第２の通信装置との通信を制限するための制限手段とを有し、
前記制限手段は、前記第１の監視手段により前記第２の通信装置の不正が解消されたことが検知された場合には、前記第２の通信装置との通信の制限を解除する、通信システム。
【請求項２】
前記複数のノードは、自身の前記電子証明書を保持可能な第３の通信装置をさらに含み、
前記第１の通信装置は、前記ローカルエリアネットワーク内で有効なブラックリストを管理するための管理手段をさらに有し、
前記管理手段は、前記第１の監視手段により前記第２の通信装置の不正が検知された場合に、前記第２の通信装置の前記電子証明書を失効させるための失効特定情報を記述した前記ブラックリストを前記第３の通信装置に配布する、請求項１に記載の通信システム。
【請求項３】
前記ブラックリストには、さらに、前記第２の通信装置の復帰条件が記述される、請求項２に記載の通信システム。
【請求項４】
前記失効特定情報は、前記第２の通信装置の前記電子証明書を特定するための情報、および、前記第２の通信装置を特定するための情報の少なくともいずれかを含む、請求項３に記載の通信システム。
【請求項５】
前記第３の通信装置は、前記第２の通信装置の状況を監視するための第２の監視手段を有し、
前記第１の監視手段は、さらに、前記第２の監視手段が検知した前記第２の通信装置の状況の情報を受けて、前記第２の通信装置の不正の有無を検知する、請求項３に記載の通信システム。
【請求項６】
前記第１の監視手段は、前記第２の通信装置が、予め定められた監視ポリシーを犯しているかどうかを監視することによって、不正の有無を検知する、請求項３に記載の通信システム。
【請求項７】
前記監視ポリシーは、前記第２の通信装置と他の通信装置との通信制限の違反を含む、請求項６に記載の通信システム。
【請求項８】
前記復帰条件は、前記監視ポリシーを再び満足するために必要な条件を示す、請求項６に記載の通信システム。
【請求項９】
前記復帰条件は、前記第２の通信装置に管理者操作が入ったことが検知されたことを示す条件を含む、請求項８に記載の通信システム。
【請求項１０】
前記ブラックリストには、前記第１の通信装置の署名がなされている、請求項３に記載の通信システム。
【請求項１１】
前記管理手段は、前記第１の監視手段によって前記第２の通信装置の不正が解消されたことが検知された場合には、前記第２の通信装置との通信の制限を解除するための解除情報を前記第３の通信装置に送信するための手段をさらに有する、請求項３に記載の通信システム。
【請求項１２】
前記解除情報は、前記第２の通信装置についての前記失効特定情報が削除された前記ブラックリストである、請求項３に記載の通信システム。
【請求項１３】
前記ブラックリストには、不正を行なった前記第２の通信装置の通信を制限する期間を示す有効期限がさらに記述される、請求項３に記載の通信システム。
【請求項１４】
前記第１の通信装置は、前記第２の通信装置の前記電子証明書を代理で取得および保持する、請求項１に記載の通信システム。
【請求項１５】
電子証明書を利用したセキュア通信が可能な通信装置であって、
自身の前記電子証明書を保持するための記憶手段と、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するための監視手段と、
前記監視手段により前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するための制限手段とを有し、
前記制限手段は、前記監視手段により前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除する、通信装置。
【請求項１６】
電子証明書を利用したセキュア通信が可能な通信装置を制御するための方法であって、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するステップと、
前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するステップと、
前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除するステップとを含む、通信制御方法。
【請求項１７】
電子証明書を利用したセキュア通信が可能な通信装置を制御するためのプログラムであって、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するステップと、
前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するステップと、
前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除するステップとを含む、通信制御プログラム。
【請求項１】
電子証明書を利用したセキュア通信が可能な通信システムであって、
共通のローカルエリアネットワークによって接続された複数のノードを備え、
前記複数のノードは、
インターネットに接続可能であり、かつ、自身の前記電子証明書を保持可能な第１の通信装置と、
インターネットに接続不能である第２の通信装置とを含み、
前記第１の通信装置は、
前記第２の通信装置の状況を監視することで、前記第２の通信装置の不正の有無を検知するための第１の監視手段と、
前記第１の監視手段により前記第２の通信装置の不正が検知された場合に、前記第２の通信装置との通信を制限するための制限手段とを有し、
前記制限手段は、前記第１の監視手段により前記第２の通信装置の不正が解消されたことが検知された場合には、前記第２の通信装置との通信の制限を解除する、通信システム。
【請求項２】
前記複数のノードは、自身の前記電子証明書を保持可能な第３の通信装置をさらに含み、
前記第１の通信装置は、前記ローカルエリアネットワーク内で有効なブラックリストを管理するための管理手段をさらに有し、
前記管理手段は、前記第１の監視手段により前記第２の通信装置の不正が検知された場合に、前記第２の通信装置の前記電子証明書を失効させるための失効特定情報を記述した前記ブラックリストを前記第３の通信装置に配布する、請求項１に記載の通信システム。
【請求項３】
前記ブラックリストには、さらに、前記第２の通信装置の復帰条件が記述される、請求項２に記載の通信システム。
【請求項４】
前記失効特定情報は、前記第２の通信装置の前記電子証明書を特定するための情報、および、前記第２の通信装置を特定するための情報の少なくともいずれかを含む、請求項３に記載の通信システム。
【請求項５】
前記第３の通信装置は、前記第２の通信装置の状況を監視するための第２の監視手段を有し、
前記第１の監視手段は、さらに、前記第２の監視手段が検知した前記第２の通信装置の状況の情報を受けて、前記第２の通信装置の不正の有無を検知する、請求項３に記載の通信システム。
【請求項６】
前記第１の監視手段は、前記第２の通信装置が、予め定められた監視ポリシーを犯しているかどうかを監視することによって、不正の有無を検知する、請求項３に記載の通信システム。
【請求項７】
前記監視ポリシーは、前記第２の通信装置と他の通信装置との通信制限の違反を含む、請求項６に記載の通信システム。
【請求項８】
前記復帰条件は、前記監視ポリシーを再び満足するために必要な条件を示す、請求項６に記載の通信システム。
【請求項９】
前記復帰条件は、前記第２の通信装置に管理者操作が入ったことが検知されたことを示す条件を含む、請求項８に記載の通信システム。
【請求項１０】
前記ブラックリストには、前記第１の通信装置の署名がなされている、請求項３に記載の通信システム。
【請求項１１】
前記管理手段は、前記第１の監視手段によって前記第２の通信装置の不正が解消されたことが検知された場合には、前記第２の通信装置との通信の制限を解除するための解除情報を前記第３の通信装置に送信するための手段をさらに有する、請求項３に記載の通信システム。
【請求項１２】
前記解除情報は、前記第２の通信装置についての前記失効特定情報が削除された前記ブラックリストである、請求項３に記載の通信システム。
【請求項１３】
前記ブラックリストには、不正を行なった前記第２の通信装置の通信を制限する期間を示す有効期限がさらに記述される、請求項３に記載の通信システム。
【請求項１４】
前記第１の通信装置は、前記第２の通信装置の前記電子証明書を代理で取得および保持する、請求項１に記載の通信システム。
【請求項１５】
電子証明書を利用したセキュア通信が可能な通信装置であって、
自身の前記電子証明書を保持するための記憶手段と、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するための監視手段と、
前記監視手段により前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するための制限手段とを有し、
前記制限手段は、前記監視手段により前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除する、通信装置。
【請求項１６】
電子証明書を利用したセキュア通信が可能な通信装置を制御するための方法であって、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するステップと、
前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するステップと、
前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除するステップとを含む、通信制御方法。
【請求項１７】
電子証明書を利用したセキュア通信が可能な通信装置を制御するためのプログラムであって、
共通のローカルエリアネットワーク内の、インターネットに接続不能な他の通信装置の状況を監視することで、前記他の通信装置の不正の有無を検知するステップと、
前記他の通信装置の不正が検知された場合に、前記他の通信装置との通信を制限するステップと、
前記他の通信装置の不正が解消されたことが検知された場合には、前記他の通信装置との通信の制限を解除するステップとを含む、通信制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２０１１−９７５２７（Ｐ２０１１−９７５２７Ａ）
【公開日】平成２３年５月１２日（２０１１．５．１２）
【国際特許分類】
【出願番号】特願２００９−２５２２１９（Ｐ２００９−２５２２１９）
【出願日】平成２１年１１月２日（２００９．１１．２）
【出願人】（３０３０００３７２）コニカミノルタビジネステクノロジーズ株式会社 (12,802)
【Ｆターム（参考）】
【公開日】平成２３年５月１２日（２０１１．５．１２）
【国際特許分類】
【出願日】平成２１年１１月２日（２００９．１１．２）
【出願人】（３０３０００３７２）コニカミノルタビジネステクノロジーズ株式会社 (12,802)
【Ｆターム（参考）】
[ Back to top ]