JP5942612B2

JP5942612B2 - 情報記憶装置及びそのアクセス判定方法

Info

Publication number: JP5942612B2
Application number: JP2012127895A
Authority: JP
Inventors: 尚棋國重
Original assignee: Toppan Inc
Current assignee: Toppan Inc
Priority date: 2012-06-05
Filing date: 2012-06-05
Publication date: 2016-06-29
Anticipated expiration: 2032-06-05
Also published as: JP2013254240A

Description

本発明は、情報記憶装置及びそのアクセス判定方法に関する。

従来、ＩＣチップを内蔵したＩＣカードのメモリエリアに対するアクセス制御に関する携帯可能電子装置が開示されている（特許文献１参照）。特許文献１の携帯可能電子装置は、複数のエリアを有するメモリ部と、メモリ部にアクセスするための制御部とを備えている。

携帯可能電子装置は、エリアへのアクセスに用いる複数の認証情報（キーデータ）と外部からの認証情報との照合結果を認証情報ごとに記憶すると共に、エリアへのアクセスの際に必要な認証情報の組み合わせも記憶する。そして、エリアへのアクセスの際には、認証情報の組み合わせの各照合結果に基づいて、アクセス可能か否かが判定される。このため、メモリ部のエリア毎にアクセスに必要となる認証情報の組み合わせを任意に設定でき、各エリアへのアクセス条件を細かく設定できる。

また、ＩＣカードと端末との通信方式や暗号化技術は、国際的なデファクトスタンダードであるＥＭＶ規格によって規定され、セキュアメッセージングの仕様についても規定されている（非特許文献１）。

特許第２８３１６６０号公報

ＥＭＶｖ４．３Ｂｏｏｋ２ＳｅｃｕｒｉｔｙａｎｄＫｅｙＭａｎａｇｅｍｅｎｔ（２０１１年１１月）

特許文献１の携帯可能電子装置は、メモリ部のエリア毎に細かい認証条件を設定できるものの、エリア毎にユーザを制限する場合では、それぞれ異なる認証条件を設定する必要がある。このため、アクセスできるファイルの数が多くなると、それに従って多くの認証条件の設定が必要になり、設定が複雑になる問題があった。また、通信電文を暗号化（セキュアメッセージング）する場合にはセキュアメッセージング用認証鍵が使用される。しかし、セキュアメッセージング用鍵は、特許文献１のようなユーザの制限（認証）に使用できなかった。
また、特許文献２は、セキュアメッセージングの仕様に関する技術であるが、上記のようにユーザの制限に使用できない問題があった。

本発明は、このような実情を鑑みて提案されたものであり、認証用鍵を用いることなく、第三者による盗聴を防止しながら、アクセス可能なユーザを制限することができる情報記憶装置及びそのアクセス判定方法を提供することを目的とする。

本発明に係る情報記憶装置は、１つ以上のファイルを記憶するファイル記憶手段と、前記ファイル記憶手段に記憶されたいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵に基づくアクセス要求を受信する受信手段と、前記ファイル記憶手段に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶するアクセス権情報記憶手段と、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、を示したステータス情報を記憶するステータス情報記憶手段と、前記アクセス権情報記憶手段及び前記ステータス情報記憶手段を参照して、前記受信手段により受信されたアクセス要求のセキュアメッセージング用鍵が前記対象ファイルのアクセス権を有し、かつ、前記各セキュアメッセージング用鍵によるセキュアメッセージングが有効である場合に、前記対象ファイルへのアクセスが可能と判定するアクセス判定手段と、を備えたことを特徴とする。

前記受信手段は、前記ファイル記憶手段に記憶された各ファイルのいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵又は認証用鍵に基づくアクセス要求を受信し、前記アクセス権情報記憶手段は、前記ファイル記憶手段に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵又は認証用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵又は各認証用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶し、前記ステータス情報記憶手段は、複数のセキュアメッセージング用鍵又は認証用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、認証用鍵による認証が有効であるか否かと、を示したステータス情報を記憶し、前記アクセス判定手段は、前記アクセス権情報記憶手段及び前記ステータス情報記憶手段を参照して、前記受信手段により受信されたアクセス要求のセキュアメッセージング用鍵又は認証用鍵が前記対象ファイルのアクセス権を有し、かつ、前記各セキュアメッセージング用鍵によるセキュアメッセージング又は認証用鍵による認証が有効である場合に、前記対象ファイルへのアクセスが可能と判定することを特徴とする。

本発明に係る情報記憶装置のアクセス判定方法は、ファイル記憶部に記憶された１つ以上のファイルのうちのいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵に基づくアクセス要求を受信し、前記ファイル記憶部に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶するアクセス権情報記憶部と、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、を示したステータス情報を記憶するステータス情報記憶部とを参照して、前記受信されたアクセス要求のセキュアメッセージング用鍵が前記対象ファイルのアクセス権を有し、かつ、前記セキュアメッセージング用鍵によるセキュアメッセージングが有効である場合に、前記対象ファイルへのアクセスが可能と判定することを特徴とする。

本発明によれば、認証用鍵を用いることなく、第三者による盗聴を防止しながら、アクセス可能なユーザを制限する。

情報処理システムの構成を示すブロック図である。ＩＣカード内のメモリ領域に記憶されているファイル（データ）を示す図である。ファイルαのアクセス権の構成を示す図である。ファイルβのアクセス権の構成を示す図である。ファイルθのアクセス権の構成を示す図である。セキュリティステータスの構成を示す図である。アクセス要求判定ルーチンを示すフローチャートである。セキュリティステータスの他の構成を示す図である。セキュリティステータスの他の構成を示す図である。セキュリティステータスの他の構成を示す図である。ＩＣカード内のメモリ領域に記憶されているファイル（データ）を示す図である。

以下、本発明の実施の形態について説明する。
［第１実施形態］
図１は、第１実施形態に係る情報処理システム１の構成を示すブロック図である。情報処理システム１は、情報端末装置１０と、情報端末装置１０からのアクセス要求に対してアクセス可否を判定するＩＣカード３０と、を備えている。

情報端末装置１０は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１１、ＲＯＭ１２（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＲＡＭ（ＲａｍｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）１３、バス１４、インターフェイス（Ｉ／Ｆ）１５、リーダライタ（Ｒ／Ｗ）１６、入力部１７、ディスプレイ１８、磁気ディスク１９を備えている。

ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、インターフェイス１５は、バス１４によって相互に接続されている。Ｒ／Ｗ１６、入力部１７、ディスプレイ１８及び磁気ディスク１９は、インターフェイス１５によって相互に接続されている。ＲＯＭ１２は、不揮発性の読み出し専用メモリである。ＲＯＭ１２には、オペレーティングシステム（以下、「ＯＳ」という。）などの基本ソフトウェアが記憶されている。

ＣＰＵ１１は、ＲＯＭ１２に記憶されているＯＳや、磁気ディスク１９から読み出されてＲＡＭ１３に展開されたプログラム（アプリケーションプログラム）に従って、各種の処理を実行する。ＲＡＭ１３は、記憶しているデータの書き換えが可能な揮発性のメモリであって、ＣＰＵ１１が各種の処理を実行する上において必要なプログラムなどを記憶する。

インターフェイス１５は、Ｒ／Ｗ１６、入力部１７、ディスプレイ１８及び磁気ディスク１９の間における情報の入出力を管理する。インターフェイス１５は、バス１４を介して、ＣＰＵ１１、ＲＯＭ１２及びＲＡＭ１３に接続されている。Ｒ／Ｗ１６は、ＩＣカード３０の接触端子と接触して電気的に導通し、ＣＰＵ１１及びＩＣカード３０間の通信を媒介する。

入力部１７は、例えばキーボードやポインティングデバイスなどであり、ユーザの操作に応じて、ユーザからの各種の指令、その他必要な情報などを入力する。ディスプレイ１８は、例えばＬＣＤ（液晶表示装置）であり、文字や画像など各種情報を表示する。磁気ディスク１９には、暗号化／復号アプリケーションプログラム、プログラムの実行に必要なデータが記憶されている。

ＩＣカード３０は、情報端末装置１０のＲ／Ｗ１６に挿入され、情報端末装置１０と通信可能である。ＩＣカード３０は、Ｒ／Ｗ１６から電源の供給を受けて接触通信を行う通信部３１、通信部３１に接続されているＣＰＵ３２、ＣＰＵ３２に接続されているＲＡＭ３３、ＲＯＭ３４及び不揮発性メモリ３５を備えている。

ＲＡＭ３３には、例えば、不揮発性メモリ３５から読み出されて展開されたセキュリティステータスが記憶されている。セキュリティステータスは、起動時やリセット時はデフォルト値に設定されるが、オペレータからの指示に応じて適宜変更される。ＲＯＭ３４には、ＣＰＵ３２の制御プログラム（実行ルーチン）、ＩＣカード３０内の各ファイルに対応するアクセス権が記憶されている。

不揮発性メモリ３５は、ＣＰＵ３２が実行するプログラム、プログラムの実行に必要なデータを記憶している。さらに、不揮発性メモリ３５は、ファイルα，β，θと、ファイルα，β，θへの通信内容の盗聴を防止するためのセキュアメッセージング（ＳＭ）用鍵Ａ、ＳＭ用鍵Ｂと、デフォルト時のセキュリティステータスと、を記憶している。

図２は、ＩＣカード３０内のメモリ領域に記憶されているファイル（データ）を示す図である。ＩＣカード３０のメモリ領域は、ＲＡＭ３３、ＲＯＭ３４、不揮発性メモリ３５の各記憶領域を仮想的に１つに表現したものである。
ＩＣカード３０のメモリ領域には、ファイルα及びそのアクセス権、ファイルβ及びそのアクセス権、ファイルθ及びそのアクセス権が記憶されている。さらに、そのメモリ領域には、鍵Ａ（ＳＭ用鍵Ａ）、鍵Ｂ（ＳＭ用鍵Ｂ）、セキュリティステータスが記憶されている。

図３はファイルαのアクセス権、図４はファイルβのアクセス権、図５はファイルθのアクセス権のそれぞれの構成を示す図である。図３から図５に示すように、アクセス権は、ファイル毎に定められている。
例えば図３に示すように、ファイルαについては、鍵ＩＤ＿Ａが“ＴＲＵＥ”であり、鍵ＩＤ＿Ｂ〜鍵ＩＤ＿Ｈが“−”である。ここで、“ＴＲＵＥ”は、ファイルにアクセスするために認証用鍵による認証又はＳＭ用鍵によるＳＭが必要であることを示す。“−”は、“ＴＲＵＥ”又は“ＦＡＬＳＥ”を問わないことを示す。したがって、ファイルαにアクセスするためには、認証用鍵Ａによる認証又はＳＭ用鍵ＡによるＳＭが必要である。

また、図４によれば、ファイルβにアクセスするためには、認証用鍵Ｂによる認証又はＳＭ用鍵ＢによるＳＭが必要である。図５によれば、ファイルθにアクセスするためには、認証用鍵Ａ及び認証用鍵Ｂによる認証、又は、認証用鍵Ａによる認証及びＳＭ用鍵ＢによるＳＭ、又は、ＳＭ用鍵ＡによるＳＭ及び認証用鍵Ｂによる認証、またはＳＭ用鍵Ａ及びＳＭ用鍵ＢによるＳＭが必要である。

図６は、セキュリティステータスの構成を示す図である。セキュリティステータスは、鍵ＩＤ毎に、鍵ＩＤが示す鍵が有効か否かを示す情報である。具体的に、セキュリティステータスは、鍵ＩＤ毎に、ＳＭ用鍵でのＳＭ通信によるコマンドが有効か（ＳＭ用鍵によるＳＭ通信が有効か）否かを示すと共に、認証用鍵による認証が有効か否かを示すフラグ（ＴＲＵＥ／ＦＡＬＳＥ）を有している。このセキュリティステータスは、起動時あるいはリセット時に各ステータスがリセットされることで「ＦＡＬＳＥ」に更新される。また、このセキュリティステータスは、認証が有効か否か、またはＳＭ用鍵でのＳＭ通信が有効か否かが鍵ＩＤによってのみ管理されるため、認証とＳＭのステータス管理に違いはない。この鍵の認証または鍵によるＳＭが有効の場合、その鍵ＩＤのステータスがＣＰＵ３２によって「ＴＲＵＥ」に書き換えられる。

鍵ＩＤにおいては、ＳＭ用鍵であるか認証用鍵であるかは、鍵の属性情報によって区別される。すなわち、その鍵が認証用鍵であるかＳＭ用鍵であるかについては、ＩＣカード３０に格納された鍵ファイルの属性として設定されている。ここで、ＳＭ用鍵及び認証用鍵は、同様のフォーマットで構成されており、鍵ＩＤ及び付属情報（鍵サイズ、アルゴリズムなどの情報）を有している。ＳＭ用鍵及び認証用鍵は、同一の鍵ＩＤを付与してもよい。同一の鍵ＩＤの場合、同一のＩＤを持つＳＭ用鍵によるＳＭ又は認証用鍵による認証が行われることで、どちらの鍵でもセキュリティステータスが有効とすることができる。また、別のＩＤを有し、ファイルがアクセス権を両方のＩＤが必須、又はいずれかのＩＤが必須としてもよい。

図６では、鍵ＩＤ＿Ａ、鍵ＩＤ＿Ｂ、・・・、鍵ＩＤ＿Ｈ（以下、鍵ＩＤ＿Ｘの鍵を「鍵Ｘ」とする。）でそれぞれ特定されるＳＭ用鍵又は認証用鍵について、当該ＳＭ用鍵によるＳＭ通信が有効か、当該認証用鍵による認証が有効か、が示されている。具体的には、鍵ＩＤに紐付いたＳＭ用鍵によるＳＭが有効である場合又は鍵ＩＤに紐付いた認証用鍵が認証済み（有効）である場合は、ステータスが“ＴＲＵＥ”となる。

このように、セキュリティステータスは、認証用鍵であるかＳＭ用鍵であるかを考慮することなく、鍵ＩＤ毎にフラグ（有効か否か）を示すだけで、認証用鍵が認証されているか（有効か）又はＳＭ用鍵によるＳＭが有効か、を定義している。なお、セキュリティステータスは、ＩＣカード３０の起動時にはデフォルト値（図６）に設定されているが、情報端末装置１０からの制御や通信状況によって適宜変更可能である。

（一般的な認証用鍵の利用）
一般に、ＩＣカード内に、ファイルαにアクセスするための認証用鍵Ａ、ファイルβにアクセスするための認証用鍵Ｂがある場合、次のようにファイルにアクセス可能なユーザが制限される。

ＩＣカードのユーザＡ、Ｂが存在する場合、認証用鍵ＡはユーザＡのみに通知され、認証用鍵ＢはユーザＢのみに通知される。この結果、各ユーザのアクセス状況は次の通りである。
ユーザＡは、認証用鍵Ａが認証された場合に、ファイルαにアクセスが可能となる。
ユーザＡは、認証用鍵Ｂを知らないので、ファイルβにアクセスできない。
ユーザＢは、認証用鍵Ｂが認証された場合に、ファイルβにアクセスが可能となる。
ユーザＢは、認証用鍵Ａを知らないので、ファイルαにアクセスできない。

（一般的なセキュアメッセージング用鍵の利用）
ＩＣカードと情報端末装置（Ｒ／Ｗ）間の通信盗聴対策として、ＩＣカードと情報端末装置との間の通信を暗号化するセキュアメッセージング（ＳＭ）がある。そこで、ＩＣカード内に秘密保持の必要な秘密ファイルが格納されている場合、秘密ファイルへのアクセス通信を第三者に盗聴されるのを防止するため、ＳＭ鍵を用いたセキュアメッセージングにより秘密ファイルへアクセスする必要がある。

秘密ファイルへのアクセスする場合、ＳＭ用鍵を用いたＳＭによる通信が行われているかどうかが判断される。そして、ＳＭによる通信が行われている場合はアクセス可能、行われていない場合はアクセス不可能と判定され、ＳＭが有効か否かによってアクセスが制限されていた。

（認証用鍵、ＳＭ用鍵の利用時の問題）
ファイルによって利用者を制限し、かつ盗聴対策も行いたい場合、上記の認証用鍵及びＳＭ用鍵を利用する必要がある。その場合、ＩＣカードには、上記の例の場合では、認証用鍵Ａ、認証用鍵Ｂ、ＳＭ用鍵の３種類の鍵を格納しておく必要がある。また、ＩＣカードに格納された鍵が何であるかについて、情報端末装置 (ホスト側)でも管理しておく必要がある。
しかし、ファイルの数に応じて鍵の種類が増えると、その管理コストが増大する問題がある。さらに、認証用鍵の認証によるアクセス制限と、ＳＭ用鍵によるセキュアメッセージングは、全く別の仕組みで管理する必要があった。

一般に、ＳＭ用鍵はユーザＡとユーザＢで共通しているため、例えば、ユーザＢがファイルＢにアクセスしている内容を、ユーザＡが盗聴することが可能である。そこで、ＳＭ用鍵としてＳＭ用鍵Ａ及びＳＭ用鍵Ｂの２種類を用意すれば、ユーザＡはＳＭ用鍵Ａを、ユーザＢはＳＭ用鍵Ｂを利用することで、互いに盗聴することを防止できる。

しかし、このような方法では、認証用鍵Ａ、認証用鍵Ｂ、ＳＭ用鍵Ａ、ＳＭ用鍵Ｂの計４種類の鍵が必要になって、ＩＣカードに格納する鍵が増大してしまい、鍵の管理コストの負担が大きくなる問題がある。

そこで、本実施形態に係る情報処理システム１においては、ＩＣカード３０は、第三者による盗聴を防止するためにＳＭ用鍵を用いると共に、認証用鍵を使用せずに、アクセス権及びセキュリティステータスを用いて、次のルーチンを実行することによって、ファイルにアクセス可能なユーザを制限する。

図７は、ＩＣカード３０のＣＰＵ３２によるアクセス要求判定ルーチンを示すフローチャートである。
ステップＳ１では、ＣＰＵ３２は、通信部３１を介して、アクセス要求の前に、アクセス要求コマンドをＳＭにて受信する。
ステップＳ２では、ＣＰＵ３２は、アクセス要求コマンドを受信した際のＳＭに用いたＳＭ用鍵がどれであるかをセキュリティステータスとしてＲＡＭ３３に記憶する。
ステップＳ３では、ＣＰＵ３２は、対象ファイルの読み出し要求、又は対象ファイルへの書き込み要求であるアクセス要求を受信すると、ステップＳ４へ進む。

ステップＳ４では、ＣＰＵ３２は、ＲＯＭ３４に記憶されたアクセス権を参照して、ステップＳ１で用いられたＳＭ用鍵が対象ファイルに対してアクセス権を有するか否かを判定する。アクセス権を有する場合はステップＳ５に進み、アクセス権がない場合はステップＳ６に進む。
ステップＳ５では、ＣＰＵ３２は、ＲＡＭ３３に記憶されているセキュリティステータスを参照して、対象ファイルに対してアクセス権を有する鍵によるＳＭ又は認証が有効であるか否かを判定する。有効である場合はステップＳ７へ進み、有効でない場合はステップＳ６に進む。

ステップＳ７では、ＣＰＵ３２は、通信部３１を介して、アクセス要求に応じた処理を行う。例えば、アクセス要求がファイルの読み出しである場合には、ファイルの読み出しを行って読み出し結果を情報処理端末１０に対して返信し、アクセス要求が書き込みである場合には、書き込みを行って書き込んだ結果を情報端末装置１０に対して返信する。
一方、ステップＳ６では、ＣＰＵ３２は、通信部３１を介して、情報端末装置１０に対してアクセス不許可を返信する。これにより、情報端末装置１０は、ＩＣカード３０のファイルに対してアクセスができず、当該ファイルの読み出し又は書き込みが禁止される。

（セキュアメッセージングのないアクセス要求の場合）
ここで、セキュリティステータスが図６に示すように構成され、対象ファイルに対してセキュアメッセージングのない（鍵を使用しない）アクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵ＩＤ＿Ａに対応する鍵Ａである。しかし、上記アクセス要求は、鍵を使用していないので、許可されない。
ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵ＩＤ＿Ｂに対応する鍵Ｂである。しかし、上記アクセス要求は、鍵Ｂを使用していないので、許可されない。

（鍵Ａによるセキュアメッセージングでのアクセス要求の場合）
図８は、セキュリティステータスの他の構成を示す図である。例えば、セキュリティステータスが図８に示すように鍵ＩＤ＿Ａのステータスが「ＴＲＵＥ」であり、他の鍵ＩＤのステータスが「ＦＡＬＳＥ」であって、対象ファイルに対して鍵Ａによるセキュアメッセージングでのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵ＩＤ＿Ａに対応する鍵Ａである。さらに、図８に示すセキュリティステータスによると、鍵Ａは有効である。このため、鍵Ａによるセキュアメッセージングでのアクセス要求は許可される。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵ＩＤ＿Ｂに対応する鍵Ｂであり、鍵Ａではない。このため、鍵Ａによるセキュアメッセージングでのアクセス要求は許可されない。

ファイルθに対するアクセス要求の場合、ファイルθのアクセス権（図５）によると、ファイルθのアクセス権を有するのは鍵Ａ及び鍵Ｂの両方である。このため、鍵Ｂのない鍵Ａによるセキュアメッセージングでのアクセス要求は許可されない。

（鍵Ｂによるセキュアメッセージングでのアクセス要求の場合）
図９は、セキュリティステータスの他の構成を示す図である。例えば、セキュリティステータスが図９に示すように鍵ＩＤ＿Ｂのステータスが「ＴＲＵＥ」であり、他の鍵ＩＤのステータスが「ＦＡＬＳＥ」であって、対象ファイルに対して鍵Ｂによるセキュアメッセージングでのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａであり、鍵Ｂではない。このため、鍵Ｂによるセキュアメッセージングでのファイルαに対するアクセス要求は許可されない。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂである。さらに、図９に示すセキュリティステータスによると、鍵Ｂは有効である。このため、鍵Ｂによるセキュアメッセージングでのファイルβに対するアクセス要求は許可される。

ファイルθに対するアクセス要求の場合、ファイルθのアクセス権（図５）によると、ファイルθのアクセス権を有するのは鍵Ａ及び鍵Ｂである。このため、鍵Ａのない鍵Ｂによるセキュアメッセージングでのファイルθに対するアクセス要求は許可されない。

（鍵Ａ及び鍵Ｂの両方によるセキュアメッセージングでのアクセス要求の場合）
図１０は、セキュリティステータスの他の構成を示す図である。ここでは、鍵Ａは暗号化機能を有するＳＭ用鍵、鍵Ｂはメッセージ認証機能を有するＳＭ用鍵とする。そして、セキュリティステータスが図１０に示すように鍵ＩＤ＿Ａと鍵ＩＤ＿Ｂのステータスが「ＴＲＵＥ」であり、他の鍵ＩＤのステータスが「ＦＡＬＳＥ」であって、対象ファイルに対して鍵Ａ及び鍵Ｂの両方によるセキュアメッセージングでのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａである。そして、図１０に示すセキュリティステータスによると、鍵Ａは有効である。このため、鍵Ａ及び鍵Ｂの両方によるセキュアメッセージングでのアクセス要求は許可される。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂである。そして、図１０に示すセキュリティステータスによると、鍵Ｂは有効である。このため、鍵Ａ及び鍵Ｂの両方によるセキュアメッセージングでのアクセス要求は許可される。

ファイルθに対するアクセス要求の場合、ファイルθのアクセス権（図５）によると、ファイルθのアクセス権を有するのは鍵Ａ及び鍵Ｂである。そして、図１０に示すセキュリティステータスによると、鍵Ａ及び鍵Ｂは共に有効である。このため、鍵Ａ及び鍵Ｂの両方によるセキュアメッセージングでのアクセス要求は許可される。

以上のように、本実施形態に係るＩＣカード３０は、対象ファイルに対してＳＭ用鍵を用いたセキュアメッセージングでのアクセス要求があった場合、アクセス要求のＳＭ用鍵が、対象ファイルのアクセス権を有しかつ有効である場合に、アクセスを許可する。

すなわち、ＩＣカード３０は、鍵ＩＤによって定義されたアクセス権及びセキュリティステータスを用いてユーザを制限するので、認証用鍵及びＳＭ用鍵を区別しなくて済み、認証とセキュアメッセージングを別の仕組みで管理する必要がない。この結果、ＩＣカード３０は、認証用鍵がなくても、どのＳＭ用鍵を使ったかを確認するだけで、対象ファイルに対してアクセスを許可するユーザを自由に制限することができ、鍵管理コストを抑制することができる。

例えば、ＩＣカード内のファイルＡ及びファイルＢについて、第三者による盗聴を防止すると共にアクセス可能なユーザを制限する場合、従来は４種類の鍵が必要であった。
これに対して、本実施形態の係るＩＣカード３０は、アクセス権及びセキュリティステータスを利用することで、２種類のＳＭ用鍵Ａ及びＳＭ用鍵Ｂだけでアクセス可能なユーザを制限することができる。

［第２実施形態］
つぎに、本発明の第２実施形態について説明する。なお、第１実施形態と同じ部位や処理ステップには同じ符号を付し、重複する説明は省略すると共に、主に異なる点について説明する。

図１１は、ＩＣカード３０内のメモリ領域に記憶されているファイル（データ）を示す図である。ＩＣカード３０のメモリ領域には、ファイルα及びそのアクセス権、ファイルβ及びそのアクセス権、ファイルθ及びそのアクセス権が記憶されている。さらに、そのメモリ領域には、鍵Ａ（ＳＭ用鍵Ａ）、鍵Ｂ（認証用鍵Ｂ）、セキュリティステータスが記憶されている。すなわち、本実施形態では、ＳＭ用鍵と認証用鍵が使用される。

また、第２実施形態においても、図７に示すアクセス要求判定ルーチンが実行される。この結果、ＩＣカード３０は、次に示すようなアクセス要求があった場合でも、アクセス可能なユーザを制限できる。

（セキュアメッセージング及び認証のないアクセス要求の場合）
セキュリティステータスが図６に示すように構成され、対象ファイルに対してセキュアメッセージング及び認証がない（鍵を使用しない）アクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａである。しかし、上記アクセス要求は、鍵を使用していないので、許可されない。
ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂである。しかし、上記アクセス要求は、鍵を使用していないので、許可されない。

（鍵Ａによるセキュアメッセージングでのアクセス要求の場合）
セキュリティステータスが図８に示すように構成され、対象ファイルに対して鍵Ａによるセキュアメッセージングでのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａである。さらに、図８に示すセキュリティステータスによると、鍵Ａは有効である。このため、鍵Ａによるセキュアメッセージングでのアクセス要求は許可される。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂであり、鍵Ａではない。このため、鍵Ａによるセキュアメッセージングでのアクセス要求は許可されない。

（鍵Ｂによる認証を行った上でのアクセス要求の場合）
セキュリティステータスが図９に示すように構成され、対象ファイルに対して鍵Ｂによる認証を行った上でのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａであり、鍵Ｂではない。このため、鍵Ｂによる認証を行った上でのアクセス要求は許可されない。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂである。さらに、図９に示すセキュリティステータスによると、鍵Ｂは有効である。このため、鍵Ｂによる認証を行った上でのアクセス要求は許可される。

ファイルθに対するアクセス要求の場合、ファイルθのアクセス権（図５）によると、ファイルθのアクセス権を有するのは鍵Ａ及び鍵Ｂである。このため、鍵Ａのない鍵Ｂによる認証を行った上でのアクセス要求は許可されない。

（鍵Ｂによる認証を行った上で鍵Ａによるセキュアメッセージングでのアクセス要求の場合）
セキュリティステータスが図１０に示すように構成され、対象ファイルに対して、鍵Ｂによる認証を行った上で鍵Ａによるセキュアメッセージングでのアクセス要求があった場合は、次のようになる。

ファイルαに対するアクセス要求の場合、ファイルαのアクセス権（図３）によると、ファイルαのアクセス権を有するのは鍵Ａである。そして、図１０に示すセキュリティステータスによると、鍵Ａは有効である。このため、鍵Ｂによる認証を行った上で鍵Ａによるセキュアメッセージングでのアクセス要求は許可される。

ファイルβに対するアクセス要求の場合、ファイルβのアクセス権（図４）によると、ファイルβのアクセス権を有するのは鍵Ｂである。そして、図１０に示すセキュリティステータスによると、鍵Ｂは有効である。このため、鍵Ｂによる認証を行った上で鍵Ａによるセキュアメッセージングでのアクセス要求は許可される。

ファイルθに対するアクセス要求の場合、ファイルθのアクセス権（図５）によると、ファイルθのアクセス権を有するのは鍵Ａ及び鍵Ｂである。そして、図１０に示すセキュリティステータスによると、鍵Ａ及び鍵Ｂは共に有効である。このため、鍵Ｂによる認証を行った上で鍵Ａによるセキュアメッセージングでのアクセス要求は許可される。

以上のように、第２実施形態に係るＩＣカード３０は、第１実施形態と同様に、鍵ＩＤを使用したアクセス権及びセキュリティステータスを用いることで、アクセス要求で使用された鍵がＳＭ用鍵であるか認証用鍵であるかを区別することなく、ファイルにアクセス可能なユーザを制限することができる。

本発明は、上述した実施形態に限定されるものではなく、特許請求の範囲に記載された事項の範囲内での設計上の変更にも適用可能である。例えば、ＩＣカード３０に記憶されているアクセス権に複数の鍵を指定した場合は、指定したすべての鍵が有効である場合にアクセス許可となっている（鍵Ａ，鍵ＢをＴＲＵＥ（必要）とした場合は「鍵Ａ，鍵Ｂの両方がＴＲＵＥ」となった場合にアクセス可能）が、指定した鍵のいずれかが有効である場合にアクセス許可（鍵Ａ，鍵ＢをＴＲＵＥとした場合に「鍵Ａ又は鍵ＢがＴＲＵＥ」となった場合にアクセス可能）してもよい。また、それらを組み合わせてもよい（鍵Ａ，鍵Ｂ，鍵Ｃ，鍵Ｄを指定した場合、「鍵Ａ，鍵Ｂのいずれかもしくは両方がＴＲＵＥ」、かつ「鍵Ｃ，鍵Ｄのいずれかもしくは両方がＴＲＵＥ」の場合にアクセス許可）。また、セキュアメッセージングにおいて、セキュアメッセージング用鍵によるセキュアメッセージングを行う場合、セキュアメッセージング用鍵を用いて派生させた鍵を用いたセキュアメッセージングとしてもよい。
また、ＩＣカード３０としては、接触型カード、非接触型カードに限らず、それらを組み合わせたハイブリッド・カード、２Ｗａｙアクセス・カードにも適応可能である。

また、図１における情報端末装置１０、あるいはＩＣカード３０の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより鍵更新管理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。

３０ＩＣカード
３１通信部
３２ＣＰＵ
３３ＲＡＭ
３４ＲＯＭ
３５不揮発性メモリ

Claims

１つ以上のファイルを記憶するファイル記憶手段と、
前記ファイル記憶手段に記憶されたいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵に基づくアクセス要求を受信する受信手段と、
前記ファイル記憶手段に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶するアクセス権情報記憶手段と、
複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、を示したステータス情報を記憶するステータス情報記憶手段と、
前記アクセス権情報記憶手段及び前記ステータス情報記憶手段を参照して、前記受信手段により受信されたアクセス要求のセキュアメッセージング用鍵が前記対象ファイルのアクセス権を有し、かつ、前記セキュアメッセージング用鍵によるセキュアメッセージングが有効である場合に、前記対象ファイルへのアクセスが可能と判定するアクセス判定手段と、
を備えたことを特徴とする情報記憶装置。
前記受信手段は、前記ファイル記憶手段に記憶された各ファイルのいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵又は認証用鍵に基づくアクセス要求を受信し、
前記アクセス権情報記憶手段は、前記ファイル記憶手段に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵又は認証用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵又は各認証用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶し、
前記ステータス情報記憶手段は、複数のセキュアメッセージング用鍵又は認証用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、認証用鍵による認証が有効であるか否かと、を示したステータス情報を記憶し、
前記アクセス判定手段は、前記アクセス権情報記憶手段及び前記ステータス情報記憶手段を参照して、前記受信手段により受信されたアクセス要求のセキュアメッセージング用鍵又は認証用鍵が前記対象ファイルのアクセス権を有し、かつ、前記セキュアメッセージング用鍵によるセキュアメッセージング又は認証用鍵による認証が有効である場合に、前記対象ファイルへのアクセスが可能と判定する
ことを特徴とする請求項１記載の情報記憶装置。
ファイル記憶部に記憶された１つ以上のファイルのうちのいずれか１つの対象ファイルに対して、セキュアメッセージング用鍵に基づくアクセス要求を受信し、
前記ファイル記憶部に記憶された各ファイルに対応して設けられ、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵の当該ファイルへのアクセス権の有無と、を示したアクセス権情報を記憶するアクセス権情報記憶部と、複数のセキュアメッセージング用鍵のそれぞれの鍵識別情報と、各セキュアメッセージング用鍵によるセキュアメッセージングが有効であるか否かと、を示したステータス情報を記憶するステータス情報記憶部とを参照して、前記受信されたアクセス要求のセキュアメッセージング用鍵又は認証用鍵が前記対象ファイルのアクセス権を有し、かつ、前記セキュアメッセージング用鍵によるセキュアメッセージングが有効である場合に、前記対象ファイルへのアクセスが可能と判定する
ことを特徴とする情報記憶装置のアクセス判定方法。