JP6745864B2

JP6745864B2 - 機密情報管理システム

Info

Publication number: JP6745864B2
Application number: JP2018237213A
Authority: JP
Inventors: 弘道新野
Original assignee: Nippon Telegraph and Telephone East Corp
Current assignee: Nippon Telegraph and Telephone East Corp
Priority date: 2018-12-19
Filing date: 2018-12-19
Publication date: 2020-08-26
Anticipated expiration: 2038-12-19
Also published as: JP2020099023A

Description

本発明は、機密情報を管理する技術に関する。

情報漏洩時の影響を考えると、機密情報が含まれる電子ファイルの暗号化は必須である。電子ファイルの暗号化には、様々な方法が用いられる。例えば、非特許文献１に記載の技術では、指定の場所（例えばパーソナルコンピュータのローカルディスクあるいはファイルサーバ）に格納された電子ファイルを自動的に暗号化する。指定の場所において管理される限り、暗号化された電子ファイルは、利用者が明示的に復号する必要は無く、既存のアプリケーションでそのまま利用可能である。電子ファイルが流出しても、流出した電子ファイルは暗号化されているので機密情報の漏洩を防止できる。

また、簡単に電子ファイルを暗号化する方法としては、ワープロソフトウェア、表計算ソフトウェア、およびデータベースソフトウェアなどのアプリケーションが備えたパスワード機能を用いる方法がある。利用者は、アプリケーションの機能を用いて電子ファイルにパスワードを設定し、電子ファイルを暗号化しておく。パスワードが設定された電子ファイルを操作する際、利用者はパスワードを入力する。入力したパスワードが正しければ電子ファイルが復号されて、電子ファイルの操作が可能となる。電子ファイルが流出しても、パスワードが分からなければ電子ファイルの中身を見ることができないので、機密情報の漏洩を防止できる。

"InfoCage FileShell"、［online］、日本電気株式会社、［平成30年12月3日検索］、インターネット〈 URL：https://jpn.nec.com/infocage/fileshell/〉

しかしながら、指定の場所に格納された電子ファイルが自動的に暗号化される場合、暗号化した電子ファイルのサイズが非常に大きいときは、その電子ファイルを扱うアプリケーションの応答が悪くなるという問題があった。例えば、自動的に暗号化される場所に格納したデータベースファイルで数万件の顧客情報などを管理する際、データベースアプリケーションで暗号化されたデータベースファイルにアクセスするとデータベースアプリケーションが無応答になる等の不具合が発生することがあった。そのため、そのデータベースファイルを利用する際、やむを得ず非暗号化領域において利用されることもあり、機密情報の漏洩リスクが生じていた。

アプリケーションのパスワード機能を用いる場合、電子ファイルにはパスワードが１つしか登録できないため、１つのパスワードを利用者全員に公開する必要がある。悪意のある利用者が電子ファイルおよびパスワードを流出させることで、容易に電子ファイルに含まれる機密情報を漏洩させることができてしまうという問題があった。利用者に悪意がなくとも、端末がウィルスに感染した場合、電子ファイルおよびパスワードが流出したり、電子ファイルに含まれるデータが消失したりするおそれがあった。また、パスワードは、複雑かつ不規則なものが望ましいが、パスワードを複雑にしすぎるとパスワードを暗記することはほぼ不可能となるうえ、利用者の利便性が損なわれてしまう。さらに、パスワードの管理は利用者個々に委ねられるため、パスワードが適切に扱われているか把握することが難しい。

パスワードを利用者に公開しない方法として、アプリケーション内に電子ファイルのパスワードを埋め込む方法が考えられる。利用者の認証はアプリケーションで制御する。アプリケーション内にパスワードを埋め込むことで、利用者にパスワードを公開する必要がなく、さらにパスワードを複雑なものにできる。これにより、悪意のある利用者が電子ファイルを流出させたとしても、パスワードは分からないので機密情報の漏洩リスクを低減できる。

しかしながら、アプリケーション内にパスワードを埋め込んだ場合、パスワードの変更の都度、アプリケーションを再配布しなければならないという問題があった。

本発明は、上記に鑑みてなされたものであり、利用者の利便性を損なうことなく、電子ファイルに含まれる機密情報の漏洩を防止することを目的とする。

本発明に係る機密情報管理システムは、アクセスパスワードで機密情報ファイルを暗号化する管理者端末と、前記アクセスパスワードを生成するための公開パスワードを管理するパスワード管理装置と前記機密情報ファイルを利用するクライアント端末を有する機密情報管理システムであって、前記パスワード管理装置は、前記公開パスワードを保持する記憶部と、前記クライアント端末からの要求に応じて前記公開パスワードを通知する通知部を備え、前記管理者端末は、公開パスワードの登録を受け付けて前記パスワード管理装置に記憶させる登録部と、秘密鍵を保持し、当該秘密鍵と前記公開パスワードからアクセスパスワードを生成する生成部と、前記アクセスパスワードで前記機密情報ファイルを暗号化する設定部を備え、前記クライアント端末は、前記パスワード管理装置から前記公開パスワードを取得する取得部と、前記秘密鍵を保持し、当該秘密鍵と前記公開パスワードから前記アクセスパスワードを生成する生成部と、前記アクセスパスワードを用いて前記機密情報ファイルへアクセスするアクセス部を備え、前記秘密鍵を含むように拡張した前記機密情報ファイルを扱うアプリケーションを、格納した電子データが自動的に暗号化される場所に格納しておき、コンピュータに当該アプリケーションを実行させて前記クライアント端末の各部として機能させることを特徴とする。

上記機密情報管理システムにおいて、前記登録部は、入力された前記公開パスワードが所定の基準を満たさない場合に、前記公開パスワードに所定の文字列を付与し、前記所定の文字列を付与した公開パスワードを前記パスワード管理装置に記憶させ、前記生成部は、前記秘密鍵と前記所定の文字列を付与した公開パスワードから前記アクセスパスワードを生成することを特徴とする。

上記機密情報管理システムにおいて、前記登録部は、前記公開パスワードの更新指示を受け付けて、任意の文字列からなる前記公開パスワードを生成して前記パスワード管理装置に記憶させることを特徴とする。

本発明によれば、利用者の利便性を損なうことなく、電子ファイルに含まれる機密情報の漏洩を防止することができる。

本実施形態の機密情報管理システムを含む全体構成図である。パスワード管理装置の構成を示す機能ブロック図である。公開パスワードから自動生成されるアクセスパスワードの例を示す図である。クライアント端末の構成を示す機能ブロック図である。機密情報管理システムの処理の流れを示すシーケンス図である。機密情報管理システムが機密情報ファイルにパスワードを設定する別の処理の流れを示すシーケンス図である。

以下、本発明の実施の形態について図面を用いて説明する。

図１は、本実施形態の機密情報管理システムを含む全体構成図である。同図の機密情報管理システムは、管理者端末１、１台以上のクライアント端末２、およびパスワード管理装置３を有する。管理者端末１、クライアント端末２、およびパスワード管理装置３はネットワークを介して接続される。機密情報ファイルを格納する機密情報ファイルサーバ４がネットワークに接続されて、管理者端末１とクライアント端末２からアクセス可能である。

機密情報ファイルは、アクセスパスワードで暗号化され、複数の利用者で共有可能な電子ファイルである。機密情報ファイルは、例えば、ＭＤＢ形式あるいはＡＣＣＤＢ形式のデータベースファイルである。機密情報ファイルは、データベースファイルに限定するものではなく、ファイルにパスワードを設定できるものであれば、他の種類のファイルであってもよい。

機密情報ファイルに設定されたアクセスパスワードは、パスワード管理装置３の管理する公開パスワードおよび管理者端末１とクライアント端末２の保持する秘密鍵から生成したものである。

管理者端末１は、機密情報ファイルを管理するための端末である。管理者端末１は、公開パスワードをパスワード管理装置３に記憶させるとともに、公開パスワードを秘密鍵で変換してアクセスパスワードを生成し、生成したアクセスパスワードを用いて機密情報ファイルを暗号化する。

クライアント端末２は、機密情報ファイルを利用するための端末である。クライアント端末２が機密情報ファイルにアクセスする際、クライアント端末２はパスワード管理装置３へ公開パスワードを問い合わせ、得られた公開パスワードを秘密鍵で変換してアクセスパスワードを生成し、生成したアクセスパスワードを用いて機密情報ファイルにアクセスする。

管理者端末１とクライアント端末２は、共通の秘密鍵を保持し、共通の変換方法によりアクセスパスワードを生成する。管理者の使用するクライアント端末２を管理者端末１として用いてもよい。

パスワード管理装置３は、公開パスワードを管理する。パスワード管理装置３は、管理者端末１から公開パスワードを受信して保持する。パスワード管理装置３は、管理者端末１およびクライアント端末２からの要求に応じて公開パスワードを返信する。

機密情報ファイルサーバ４は、機密情報ファイルを保持する。機密情報ファイルサーバ４にアクセス可能な装置を管理者端末１とクライアント端末２に限定してもよい。機密情報ファイルはアクセスパスワードで暗号化されているので、万が一、機密情報ファイルが流出したとしても、アクセスパスワードが知られない限り機密情報ファイル内の情報が漏洩することはない。アクセスパスワードは、機密情報ファイルにアクセスする際に公開パスワードと秘密鍵に基づいて生成されるので、利用者がアクセスパスワードを直接目にすることはなく、公開パスワード、秘密鍵、および変換方法の全てを知らなければアクセスパスワードを生成できない。

次に、本実施形態の管理者端末１、パスワード管理装置３およびクライアント端末２について説明する。

図２は、本実施形態の管理者端末１とパスワード管理装置３の構成を示す機能ブロック図である。

管理者端末１は、登録部１１、生成部１２、および設定部１３を有する。

登録部１１は、公開パスワードを入力すると、公開パスワードをパスワード管理装置３に記憶させるとともに、公開パスワードを生成部１２に渡す。

生成部１２は、秘密鍵を保持しており、公開パスワードを受け取ると、秘密鍵と公開パスワードからアクセスパスワードを生成する。生成部１２は、アクセスパスワードとして、例えば、半角文字および全角文字が混在した、２５６種類の文字を２０文字並べた長さのアクセスパスワードを生成する。この場合のアクセスパスワードは１．４６×１０⁴⁸通りとなる。

図３に、公開パスワードとその公開パスワードを元に自動生成されたアクセスパスワードの例を示す。例えば、図３（ａ）に示すように公開パスワードが全て同じ文字である場合、あるいは図３（ｂ）に示すように公開パスワードが短いフレーズの繰り返しである場合であっても、様々な種類の文字が混ざった複雑なアクセスパスワードが生成される。また、図３（ｃ）に示すように公開パスワードが１文字だけ異なる場合、あるいは図３（ｄ）に示すように公開パスワードが半角文字と全角文字で異なる場合であっても、互いに全く異なる複雑なアクセスパスワードが生成される。

設定部１３は、生成部１２の生成したアクセスパスワードを機密情報ファイルサーバ４の保持する機密情報ファイルに設定し、機密情報ファイルを暗号化する。管理者端末１は、暗号化に用いたアクセスパスワードを記憶せずに破棄する。

パスワード管理装置３は、通知部３１および記憶部３２を有する。

通知部３１は、管理者端末１およびクライアント端末２からの要求に応じて、記憶部３２の記憶する公開パスワードを管理者端末１およびクライアント端末２へ通知する。

記憶部３２は、公開パスワードを記憶する。公開パスワードは、非特許文献１の技術により自動的に暗号化される場所に格納してもよい。

図４は、本実施形態のクライアント端末２の構成を示す機能ブロック図である。

クライアント端末２は、取得部２１、生成部２２、およびアクセス部２３を有する。

取得部２１は、パスワード管理装置３に公開パスワードを要求し、公開パスワードを受信し、公開パスワードを生成部２２に渡す。取得部２１は、機密情報ファイルにアクセスする際に、公開パスワードをパスワード管理装置３から取得するので、利用者は公開パスワードを覚えておく必要がなく、管理者は公開パスワードを変更したことを利用者に通知する必要もない。

生成部２２は、管理者端末１の生成部１２と同じ秘密鍵を保持しており、公開パスワードを受け取ると、生成部１２と同じ方法で秘密鍵と公開パスワードからアクセスパスワードを生成する。

アクセス部２３は、生成部２２の生成したアクセスパスワードを用いて機密情報ファイルサーバ４の保持する機密情報ファイルにアクセスする。クライアント端末２は、機密情報ファイルにアクセス後、アクセスパスワードを記憶せずに破棄する。

管理者端末１、クライアント端末２、およびパスワード管理装置３が備える各部は、演算処理装置、記憶装置等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムは管理者端末１、クライアント端末２、およびパスワード管理装置３が備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。

管理者端末１とパスワード管理装置３を１台の装置で構成することも考えられるが、１台の装置内に公開パスワードと秘密鍵が存在することになる。したがって、セキュリティの観点から、本実施例のように、管理者端末１とパスワード管理装置３を別々の装置で構成することが好ましい。

管理者端末１およびクライアント端末２は、機密情報ファイルを扱うアプリケーションをカスタマイズ・拡張して構成してもよい。例えば、アプリケーションの機能を拡張するために提供されたプログラミング言語を用いて取得部２１、生成部２２、およびアクセス部２３の機能を実装する。拡張されたアプリケーションを非特許文献１の技術により自動的に暗号化される場所に格納してもよい。これにより、リバースエンジニアリングによる秘密鍵等の漏洩を防止できる。

次に、本実施形態の機密情報管理システムの動作について説明する。

図５は、本実施形態の機密情報管理システムの処理の流れを示すシーケンス図である。同図では、機密情報ファイルの暗号化処理および暗号化された機密情報ファイルへのアクセス処理を示している。

まず、機密情報ファイルの暗号化処理について説明する。

管理者が管理者端末１に公開パスワードを入力すると、管理者端末１は、公開パスワードをパスワード管理装置３に送信し、パスワード管理装置３は、公開パスワードを記憶部３２に登録する（ステップＳ１１）。

管理者端末１は、新たな公開パスワードが登録されると、秘密鍵と新たな公開パスワードからアクセスパスワードを生成する（ステップＳ１２）。

管理者端末１は、ステップＳ１２で生成したアクセスパスワードで機密情報ファイルサーバ４の保持する機密情報ファイルを暗号化する（ステップＳ１３）。管理者端末１は、機密情報ファイルを暗号化後、アクセスパスワードを破棄する。

以上の処理により、機密情報ファイルがアクセスパスワードで暗号化される。

アクセスパスワードを更新する場合、ステップＳ１２で、管理者端末１は、新たな公開パスワードから新たなアクセスパスワードを生成するとともに、古い公開パスワードから現在のアクセスパスワードを生成する。古い公開パスワードはパスワード管理装置３から取得できる。ステップＳ１３で、管理者端末１は、現在のアクセスパスワードで機密情報ファイルを復号した後、新たなアクセスパスワードで機密情報ファイルを暗号化する。新たなアクセスパスワードで機密情報ファイルを暗号化した後は、古い公開パスワードをパスワード管理装置３から削除してもよい。

なお、ステップＳ１１で入力された公開パスワードが所定の基準を満たさない場合に、登録部１１は、公開パスワードに所定の文字列を付与し、所定の文字列を付与した公開パスワードをパスワード管理装置３に記憶させるとともに、生成部１２に渡してもよい。例えば、公開パスワードの所定の基準が６文字以上である場合、ステップＳ１１で５文字以下の公開パスワードが入力されると、登録部１１は、公開パスワードを再度入力させることなく、固定の文字列を追加したり、入力された公開パスワードを繰り返して所定の基準を満たしたり、入力された公開パスワードを逆順にして繰り返したりする。あるいは、公開パスワードの所定の基準が英数字と記号の全てを含むことである場合、含んでいない種類の文字を追加してもよい。

続いて、機密情報ファイルへのアクセス処理について説明する。

クライアント端末２は、パスワード管理装置３に対して公開パスワードを要求する（ステップＳ２１）。

パスワード管理装置３は、クライアント端末２からの要求に応じて公開パスワードを通知する（ステップＳ２２）。パスワード管理装置３は、クライアント端末２を認証後に、公開パスワードを通知してもよい。パスワード管理装置３は、公開パスワードを平文でクライアント端末２に通知してもよい。仮に、公開パスワードを第三者が入手できたとしても、第三者は、秘密鍵およびアクセスパスワードへの変換方法を知らない限り、機密情報ファイルにアクセスできない。

クライアント端末２は、公開パスワードを受信すると、秘密鍵と公開パスワードからアクセスパスワードを生成する（ステップＳ２３）。

クライアント端末２は、ステップＳ２３で生成したアクセスパスワードで機密情報ファイルサーバ４の保持する機密情報ファイルにアクセスする（ステップＳ２４）。機密情報ファイルサーバ４は、クライアント端末２を認証後に、機密情報ファイルへのアクセスを許可してもよい。クライアント端末２は、機密情報ファイルにアクセス後、アクセスパスワードを破棄する。

なお、機密情報ファイルが複数存在する場合、機密情報ファイルごとに公開パスワードを設定してもよい。例えば、ステップＳ１１で、管理者端末１は、暗号化する機密情報ファイルの情報（ファイル名等）と公開パスワードをパスワード管理装置３へ送信し、パスワード管理装置３は、機密情報ファイルの情報と公開パスワードの組を記憶部３２に登録する。機密情報ファイルにアクセスする際は、ステップＳ２１で、クライアント端末２は、アクセスしたい機密情報ファイルの情報をパスワード管理装置３へ送信して公開パスワードを要求する。ステップＳ２２で、パスワード管理装置３は、その機密情報ファイルに対応する公開パスワードをクライアント端末２に通知する。

次に、機密情報ファイルにパスワードを設定する別の処理について説明する。

図６は、本実施形態の機密情報管理システムが機密情報ファイルにパスワードを設定する別の処理の流れを示すシーケンス図である。図６の処理では、管理者端末１が公開パスワードの更新要求を受けると、管理者端末１自身が公開パスワードを生成する。パスワード管理装置３が公開パスワードを管理し、要求に応じて公開パスワードを返信するので、管理者および利用者は公開パスワードを知らなくてもよい。

管理者端末１は、公開パスワードの更新要求を受けると、公開パスワードを生成し（ステップＳ３１）、生成した公開パスワードをパスワード管理装置３に登録する（ステップＳ３２）。

管理者端末１は、秘密鍵とステップＳ３２で生成した公開パスワードからアクセスパスワードを生成する（ステップＳ３３）。

管理者端末１は、ステップＳ３３で生成したアクセスパスワードで機密情報ファイルサーバ４の保持する機密情報ファイルを暗号化する（ステップＳ３４）。管理者端末１は、機密情報ファイルを暗号化後、アクセスパスワードを破棄する。

機密情報ファイルへのアクセスは、図５のステップＳ２１〜Ｓ２４と同様の処理で行うことができる。

以上説明したように、本実施形態によれば、管理者端末１が公開パスワードの登録を受け付け、公開パスワードをパスワード管理装置３に記憶させるとともに、秘密鍵と公開パスワードからアクセスパスワードを生成し、アクセスパスワードを機密情報ファイルに設定し、クライアント端末２は、パスワード管理装置３に公開パスワードを要求し、秘密鍵と公開パスワードからアクセスパスワードを生成し、アクセスパスワードを用いて機密情報ファイルにアクセスすることにより、パスワード管理装置３が公開パスワードを管理しておき、クライアント端末２が機密情報ファイルにアクセスする度に公開パスワードを問い合わせるので、パスワードの更新および管理の負担を軽減できる。また、管理者端末１とクライアント端末２が共通の秘密鍵を保持し、クライアント端末２が機密情報ファイルにアクセスする際に機密情報ファイルに設定されたアクセスパスワードを秘密鍵と公開パスワードから生成するので、機密情報ファイルのアクセスパスワードの流出を防止できる。

１…管理者端末
１１…登録部
１２…生成部
１３…設定部
２…クライアント端末
２１…取得部
２２…生成部
２３…アクセス部
３…パスワード管理装置
３１…通知部
３２…記憶部
４…機密情報ファイルサーバ

Claims

アクセスパスワードで機密情報ファイルを暗号化する管理者端末と、前記アクセスパスワードを生成するための公開パスワードを管理するパスワード管理装置と前記機密情報ファイルを利用するクライアント端末を有する機密情報管理システムであって、
前記パスワード管理装置は、
前記公開パスワードを保持する記憶部と、
前記クライアント端末からの要求に応じて前記公開パスワードを通知する通知部を備え、
前記管理者端末は、
公開パスワードの登録を受け付けて前記パスワード管理装置に記憶させる登録部と、
秘密鍵を保持し、当該秘密鍵と前記公開パスワードからアクセスパスワードを生成する生成部と、
前記アクセスパスワードで前記機密情報ファイルを暗号化する設定部を備え、
前記クライアント端末は、
前記パスワード管理装置から前記公開パスワードを取得する取得部と、
前記秘密鍵を保持し、当該秘密鍵と前記公開パスワードから前記アクセスパスワードを生成する生成部と、
前記アクセスパスワードを用いて前記機密情報ファイルへアクセスするアクセス部を備え、
前記秘密鍵を含むように拡張した前記機密情報ファイルを扱うアプリケーションを、格納した電子データが自動的に暗号化される場所に格納しておき、コンピュータに当該アプリケーションを実行させて前記クライアント端末の各部として機能させる
ことを特徴とする機密情報管理システム。
前記登録部は、入力された前記公開パスワードが所定の基準を満たさない場合に、前記公開パスワードに所定の文字列を付与し、前記所定の文字列を付与した公開パスワードを前記パスワード管理装置に記憶させ、
前記生成部は、前記秘密鍵と前記所定の文字列を付与した公開パスワードから前記アクセスパスワードを生成する
ことを特徴とする請求項１に記載の機密情報管理システム。
前記登録部は、前記公開パスワードの更新指示を受け付けて、任意の文字列からなる前記公開パスワードを生成して前記パスワード管理装置に記憶させる
ことを特徴とする請求項１に記載の機密情報管理システム。