JP2006190271A

JP2006190271A - ジョブ要求管理方法

Info

Publication number: JP2006190271A
Application number: JP2005362811A
Authority: JP
Inventors: Francois Ragnet; ラグネーフランソワ; Victor Ciriza; シリサヴィクター; Olivier Fambon; ファムボンオリヴィエ; Yves Hoppenot; オペノーイブ
Original assignee: Xerox Corp
Current assignee: Xerox Corp
Priority date: 2004-12-17
Filing date: 2005-12-16
Publication date: 2006-07-20
Anticipated expiration: 2025-12-16
Also published as: EP1672556B1; EP1672556A2; US20060136726A1; JP4787013B2; US7562223B2; EP1672556A3

Abstract

【課題】ジョブ要求の機密性を確保する。
【解決手段】秘密鍵と公開鍵の発行を受けている文書処理システムにてジョブ要求を管理するための方法であって、対称鍵を用いて暗号化されたジョブ情報を示す第１の部分と、受信側の公開鍵を用いて暗号化された前記対称鍵を示す第２の部分と、を有するジョブ要求を受信し、前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵を受信し、前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵を、前記文書処理システムの秘密鍵を用いて復号し、復号された対称鍵を用いて前記ジョブ要求の前記第１の部分を復号し、復号されたジョブ要求の実行を開始する。
【選択図】図１

Description

以下は、大略的には、複合機におけるジョブ要求のセキュア（安全）なリリースの管理のための方法及び装置に関する。

個人的な情報を電子的に記録することがますます増え、共有の公開された複合機がますます普及してきているので、共有される複合機における電子文書の電子的な伝送、キャプチャ、及び処理についての秘密性を維持することは重要である。プリンタなどの複合機において、ジョブのセキュアなリリース（ジョブを実行開始できるようにすること）を管理するためのソリューションとして様々なものが存在する。例えば、ある複合機は、リモートのワークステーションからジョブを送信する時点でユーザがプリントジョブにパスワードを関連づけることができるようにするセキュア・プリント・リリース機能を提供している。そのプリンタ（複合機）は、対応する正しいパスワードが入力されるまでそのプリントジョブを保持する。

印刷要求をセキュアにリリースするための更なるソリューションは、メッセージベース又はセッションベースのものである（すなわち、前者は非同期的な通信に基づくものであり、後者は同期的な通信に基づくものである）。更に、入手可能なそのようなソリューションは、公開鍵暗号方式又は公開鍵基盤（ＰＫＩ）又はその両方を用いていたりする。普通ＰＫＩインフラを用いる場合、個人、組織、コンピュータ機器等のようないかなるエンティティに対して公開鍵／秘密鍵の鍵ペアが発行される（公開鍵は公開され、秘密鍵は秘密に保たれる）。ＰＫＩインフラは、インターネットのようなセキュア（安全）でない通信チャネルを介して印刷要求がセキュアに送信できるようにする。認証局（ＣＡ）（VeriSign社やEntrust社など）は、例えば公開鍵とその所有者との間のつながりを証明するのに用いられ、これにより１つのエンティティ（例えばプリンタ）が証明書に署名している他のエンティティ（例えば印刷要求の送信者）を信用できるようになる。

以下に列挙する文献及び米国特許明細書は、印刷ジョブ要求のセキュアなリリースを可能にするための既存のソリューションの例である。

"Printing Protocol", Xerox System Integration Standard, XNSS 118404, April 1984 "Xerox Network Systems Architecture", General Information Manual, XNSG 068504, April 1985 米国特許第６３７８０７０号明細書米国特許第６６８８２３０号明細書米国特許第６７１１６７７号明細書

しかし、そのようなソリューションがあるとしても、暗号化された印刷要求をセキュアにリリースすることがモバイルコンピュータ機器から非同期に実行できるようなシステムを提供できれば有益であろう。また、既存の暗号インフラを利用して、複合機へ送信される文書ジョブ要求の機密性、完全性（欠落のないこと）、忠実性（原本への忠実さ）、及びリリースを確保するための方法を提供することができれば有益であろう。

モバイル又はローミングコンピュータ装置からのジョブ要求のセキュアなリリース（実行開始）を可能にするためのソリューションを求める要望に応え、ここでは、秘密鍵と公開鍵の発行を受けている文書処理システムにてジョブ要求を管理するための方法、装置、製品を開示する。この方法では、対称鍵を用いて暗号化されたジョブ情報を示す第１の部分と、受信側の公開鍵を用いて暗号化された前記対称鍵を示す第２の部分と、ジョブ／受信者識別情報を示す第３の部分（この第３の部分は必須ではない）と、を含むジョブ要求を受信し、（受信側から）前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵を受信し（これは前記ジョブ要求のリリースを示す）、前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵（これは受信側から受信したもの）を前記文書処理システムの秘密鍵を用いて復号し、復号された対称鍵を用いて前記ジョブ要求の前記第１の部分を復号し、復号されたジョブ要求の実行を文書処理システムにて開始する（ここでジョブ要求は、印刷、スキャン、格納、電子メール、翻訳、変換などのサービスのうちの１つ又は組合せであってよい）。

更に、ここでは、文書処理システムにてスキャンジョブ要求を実行するための方法、装置、製品を開示する。この方法は、公開鍵及び秘密鍵を有するモバイル装置との無線通信セッションを開き、無線通信セッションを介してモバイル装置からスキャンパラメータを含んだスキャンジョブ要求を受信し、物理的な文書をスキャンしてその物理的な文書の電子的表現を記録し、その物理的な文書の電子的表現をモバイル装置に送信し、モバイル装置から、その物理的な文書の電子的表現をモバイル装置の秘密鍵と受信者装置の公開鍵とを用いて暗号化したものを受信し、その文書の電子的表現を暗号化したものをその受信者装置へと送信する。

以下、図面を参照して説明を行う。図面で、互いに同一又は類似の部分には同一の参照符号を付した。

Ａ．システムを構成する要素と処理
図１は、図２〜図３に示される動作を実行するための要素群の組合せの一例を概略的に示すブロック図である。図１に示される要素群の中には、インターネットのような有線又は無線のネットワーク１０２が含まれる。ネットワーク１０２は、送信側装置(submitter device)１０４，モバイル（またはローミング(roaming)）装置１０６，複合機１０８（ここでは文書処理システムとも呼ぶ）の間の通信のためのものである。また、ネットワーク１０２には、更に、（送信側装置１０４，受信側装置１０６，及び複合機１０８，及びそれらのユーザ等（もちろんこれらに限られるものではない）のエンティティのデジタル証明書を発行したり、登録したり、或いはその両方を行う）グローバルな公開鍵レジストリ又は認証局１１０が接続されてもよい。更に、ジョブ登録部１１２が、複合機１０８の一部をなしていてもよい。またその代わりに、ジョブ登録部１１２が、ネットワーク１０２を介して複合機１０８と通信可能に接続されるサーバ（図示省略）上で利用可能となっていてもよい。

図２，図３は、複合機（ＭＦＤ:MultiFunciton Device）におけるジョブ要求のセキュアなリリースを可能とするために、図１に示された装置により実行される動作の概略的な流れを示す。まず２０２において、コンピュータ機器における送信部１０４は、ジョブ要求（又は文書サービス要求）を組み立てる。ジョブ要求は、印刷、スキャン、ファイル登録、翻訳、（文書データの）拡充(enrichment)、修正、変換等のうちの１つ又は複数の組合せを実行することを含む。例えば、印刷サービス及びスキャンサービスの詳細は図２及び図３に示されるが、スキャン又は印刷サービス又はその両方に代えて、又はそれらに追加して、別のサービスを用いることももちろん可能であることは了解されるであろう。更に、スキャン及び印刷サービスの動作が図２及び３に個別に示されるが、ここに記述される方法を用いてスキャン及び印刷の組合せを実行してももちろんよい。

図２の２０２に詳細に示すように、一実施例での印刷ジョブ要求の作成では、例えばＰＤＬ（ページ記述言語）（PostScript（登録商標）など）を用いて、印刷可能な(print ready)文書を作成する。この文書には、印刷属性（プリファレンス）が含まれる。印刷属性は、例えば、部数、複写品質、片面／両面印刷、用紙サイズ、用紙の色などを含む。２０２の別の例では、スキャンジョブ要求が組み立てられ、この要求はスキャン解像度やスキャン画像ファイルフォーマット（例えばＴＩＦＦ，ＰＤＦ，ＪＰＥＧなど）、格納場所、送信先アドレス（例えば電子メールアドレスやファックス番号など）、転送プロトコル（電子メール、ファックス、ＳＭＳ、ｆｔｐなど）などのようなスキャンパラメータの指定を含む。スキャンした文書を格納する場所を示すファイル・ロケーションは、そのロケーションにアクセスするためのパスワードを含んでいてもよい。

図２の２０４で、送信側装置１０４は、セキュア文書エンベロープ（ＳＤＥ:secure document envelop）を構築する。セキュア文書エンベロープは、様々な暗号化された部分を含み、場合によっては暗号化されない部分も含み得る。対称鍵及び（公開／秘密鍵ペアからの））公開鍵は、セキュアでない通信チャンネルを介してエンティティ間で送信されるＳＤＥにおける情報に関係する部分を暗号化したり復号したりするのにそれぞれ用いられる。送信側装置１０４で準備されたＳＤＥのうち複合機１０８だけにしか読まれたくない部分は、対称鍵（すなわちセッション鍵）を用いて暗号化される。送信側装置１０４で準備されたＳＤＥのうち他の部分、すなわち受信側装置１０６だけにしか読まれたくない（ただしそれは受信側装置がそれ以外の判断を下すまでのことである）部分は、受信者の公開鍵を用いて暗号化される。

対称鍵や公開／秘密鍵ペアを用いた情報の暗号化の仕方は、エンティティが通信を行うかもしれないセキュアでない通信チャンネルを介して送信されたＳＤＥの暗号化された内容を盗聴者が論理的に推理するのを許さない。更に、対称鍵と公開／秘密鍵ペアの両方を用いることで、以下のような機能を提供する。(A) 対称鍵は、ジョブ要求の内容が不正にいじられたり（タンパー）、破壊されたり、盗まれたり、複合機の外に送信されたり、或いはそれらのうちの２以上がなされたりすることがないようにする（複合機は、そのジョブ要求の内容やその対称鍵を共用しないものとする）。(B) 受信者の公開鍵で暗号化された対称鍵は、受信者がその暗号化された対称鍵を自分の秘密鍵を用いて復号する場合を除いて（これによりセキュアなリリースが可能となる）、その対称鍵を用いてジョブ要求の内容へのアクセスが行われることがないようにする。

一例を挙げて更に詳しく説明すると、ＳＤＥは、(i) ジョブ情報を示し、対称鍵を用いて暗号化される第１の部分と、(ii)その対称鍵を示し、受信者の公開鍵で暗号化される第２の部分と、(iii) ジョブ／受信者（ジョブ又は受信者又はその両方）の識別情報（これは最初に複合機の公開鍵を用いて暗号化されていてもよい）を示す第３の部分と、を有する。他の例では、暗号化されたデータの他の組合せや配列を規定してもよい。例えばある例では、第３の部分は２２６で受信者へと送信される前に更に受信者の公開鍵で暗号化されてもよい。この点については後で詳しく説明する。

更に別の例では、ＳＤＥは以下を用いて規定される。すなわち、まず(a) ジョブ送信者情報。これは(a1)ユーザ名と、(a2)送信者の公開鍵（認証／暗号化に用いられる）とを有する。次に(b) 複合機情報。これは、(b1)複合機のデバイス名と、(b2)複合機のデバイス識別情報／アドレス（例えばＵＲＬ）と、(b3)複合機のデバイス公開鍵（認証／暗号化に用いられる）とを有する。次に(c) 受信側装置情報。これは、(c1)装置名、(c2)ネットワークアドレス（例えばＭＡＣアドレス）、(c3)装置タイプ（例えばＲＦＩＤ、Bluetoothなど）、(c4)装置の公開鍵、を有する。そして、(d) 文書情報。これは、(d1)文書のレンダリング（表現）、エンコード又は送信のためのフォーマット（例えば出力文書フォーマット、入力文書フォーマット、送信フォーマットなど）と、(d2)暗号化方式（例えば対称方式、非対称方式）及び暗号データ（例えばデジタル署名、非対称鍵）と、(d3)暗号化された要素群（例えば、ＰＤＬでエンコードされた文書とジョブ属性（例えばタイトル、作成日、ページ数、画像のある面、用紙など）、又は文書のためのプレースホルダー（確保領域）（例えば、入力／出力フォーマットのスキャン、ファックス、電子メール、格納等、文書属性、ページ数等）を有する。

図２の２０６において、ＳＤＥがジョブ要求を処理する複合機（又は単機能装置）へと送信される。複合機（ＭＦＤ）１０８は、文書の記録、文書の送信、文書処理、文書のアーカイブ保存、及び文書の印刷のうちの１つ乃至複数の組合せを実行することができる。文書記録機能には、例えば、スキャン、文書検索、ビデオ記録、ファックス送信データの受信、電子メール・メッセージの受信（例えば、組み込みの電子メールクライアントを用いる）、等の機能が含まれていてもよい。文書送信には、例えば、文書のアーカイブまたは保存、ファックスの送信、（例えば組み込みの電子メールクライアントを用いた）電子メール・メッセージの送信、セッション・ベースの送信（例えばＨＴＴＰＳのセッション）などが含まれ得る。文書処理には、画像のクリーニング（image cleaning)、文書の翻訳、文書フォーマットの変換、光学文字認識（ＯＣＲ）、文書の拡充(enrichment)等のような、画像又はコンテンツ又はその両方についての処理が含まれ得る。文書の印刷は、電子信号を、紙、透明シート、カード用紙などのような物理的な媒体の上に再生すること一般を指す。

ＳＤＥを複合機に送信するといった場合、複合機へと直接に送信する場合に限られる訳ではなく、２０８又は２１０といった１つ又は複数のレベルの途中段階を経て間接的に複合機へと達する場合も含まれる。１つの例では、文書は、印刷プロトコルの標準を用いて受信される。別の例では、文書は、電子メールとして、又は埋め込まれた文書のフェッチ処理の結果として、又はＨＴＴＰ（HyperText Transfer Protocol Secure）アップロードセッションの送信として、受信される。そのような各種レベルの間接的な送信には、ゲートウェイを介したローカル又はプリントサーバでのスプーリング、又は、ゲートウェイ及び／又はプロキシサーバを介した送信、専用、半公共、及びインターネットのような公共のネットワークを介した送信、又はそれらの組合せが含まれる。各レベルの間接的な送信２０８及び２１０（もし存在するならば）の間、ＳＤＥは盗聴の試みに対する保護のために暗号化されている。

図２の２１８において、送信側装置１０４が受信側装置１０６として機能（例えば送信側が受信側の公開鍵へのアクセスを有するか、又は受信側がジョブ要求を知る他の方法を持っているか、送信側と受信側の鍵ペアが等価であるか、送信側装置と受信側装置が等価である）しない場合、又は送信側装置と受信側装置との間に通信リンクがない場合又は中断された通信リンクがある場合、送信側装置１０４は、受信者又は受信側装置１０６に対して、ジョブ要求のペンディング（保留又は未決の状態）の通知を送信する。これを受信者が２２０で受信する。ジョブ要求のペンディングの通知は、例えば、ジョブ識別情報（例えばタイトル又は番号の識別情報）を含むこともできる。これにより、受信者は、ジョブと、そのジョブ要求を処理しようとしている複合機を識別するための複合機識別情報（例えば、複合機の場所を示すマップへのリンク。これは、その複合機が他の複合機にジョブのリダイレクトを行ったかどうかにより更新される）を識別することができる。

図２の２１２において、送信側装置１０４からＳＤＥを受け取ると、複合機１０８は、ジョブ／受信者識別情報を抽出する。この識別情報は、複合機の公開鍵を用いて暗号化されている（この場合これは複合機の秘密鍵を用いて復号できる）。２１４で、ジョブ／受信者識別情報がジョブ登録部１１２（別の例では、その送信についての送信者又は受信者又はその両方に対して通知を行うことを行ってもよい）に追加される。ジョブ／受信者識別情報は、ジョブ識別情報、受信者名、受信者の公開鍵、送信日、有効期限日などのうちの１つ又は複数を指定するものであってよい。少なくとも、ジョブ／受信者識別情報は、ジョブ要求がペンディング状態になっている受信側装置を複合機１０８が識別（又は認識）するのに必要な情報を含む。そのような識別／認識のための情報はどのようなものを含んでいるにせよ、そのような識別／認識ができるものであればよい。そのような識別／認識に応じ、複合機１０８は、２１６にて、（受信者の公開鍵で暗号化された対称鍵を復号するために）受信者の秘密鍵を有するか或いはその秘密鍵にアクセスできる受信側装置１０６との間で通信セッションを確立するように動作する。

１つの例では、２１６において、複合機１０８がジョブ登録部１１２に記録されたジョブ受信側と通信セッションを確立するとき、そのような受信側デバイスは、通信チャンネルを介してローカルの無線通信セッションを複合機との間で確立するように動作するローミング（すなわちモバイル）装置である。通信チャンネルを確立するために、複合機と受信側装置は、１又は複数の個別の通信チャンネルにて行われる１又は複数の無線接続（又はセッション）を確立するための１又は複数の送受信機を内蔵している。例えば、図１に示した例では、複合機１０８は、通信チャンネル１１４を介して、受信側ローミング装置１０６をサーチし、これと通信セッションを確立する。

１つの例では、２１６において、受信側装置１０６は、少なくとも１つの（短距離の）無線接続を、近接(proximity)ネットワークを介して複合機との間で確立するよう動作する。短距離接続は、例えばBluetooth仕様や８０２．１１ファミリー（ＷｉＦｉ-Wireless Fidelityとしても知られる）に準拠した技術等を用いてＲＦ（高周波）で、又は例えばＩｒＤＡ(infrared Data Association)規格に準拠した技術を用いてＩＲ（赤外線）で、確立することもできる。ローミング装置の例には、例えば、携帯電話機、ＰＤＡ(Personal Digital Assistant)、ポータブルコンピュータ、コミュニケータ、ポータブルカメラなどがある。もっと一般的にいえば、例えば、ローミング装置１０６は、通信チャンネルを介して複合機１０８に接続されると、有線又は無線又はその両方の接続の組合せを用いて、ネットワークを介して、或いは直接に接続される。

更に、複合機１０８は、登録ユーザ又は未登録ユーザ（すなわちゲストユーザ）が操作する受信側装置に対してサービスを提供するための、装置固有の能力（或いは機能）を１又は複数有していてもよい。一つの例では、複合機１０８の機能は、当該サービスの性質や当該サービスが提供される場所に応じて、無料で或いは料金と引き替えに提供されるようにしてもよい。更に、複合機は、近接ネットワークのためのネットワークアクセスポイント（すなわち、受信側装置１０６との短距離無線接続とインターネット１０２などの有線接続ベースのネットワークとの間のブリッジ）としての働きをなすための機能を内蔵していてもよい。

更に詳しくは、２１６の例に示すように、複合機１０８は、２２２にて自分のジョブ登録部１１２内で識別されるコンピュータ機器をサーチする。このサーチは、例えば発見要求を発信したり、当該複合機のローカル無線ネットワークに登録している装置の発見要求を監視したりすることにより行うことができる。２２４では、受信側装置１０６は、複合機１０８との通信セッションを確立することにより、そのサーチに応答する。２２６にて、複合機は、暗号化した対称鍵を送信する。ここで、受信側が当該ジョブ要求を識別できるようにジョブ／受信者識別情報を一緒に送信してもよい。別の例では、複合機は、受信側装置の公開鍵を用いて暗号化したジョブ／受信者識別情報を送信する（従ってこの場合、受信側装置に対し、その識別情報を読むために、その受信側装置の秘密鍵を用いてその識別情報を復号するよう要求することになる）。

図２の２２８において、受信側装置は、複合機においてジョブ要求をリリースする（すなわち、ＳＤＥに示されたジョブ要求を複合機が実行できるようにする）ことを決定する。受信側装置１０６によるこの決定により、複合機１０８から受信した暗号化された対称鍵を秘密鍵を用いて復号する処理、及び復号された対称鍵を複合機１０８の公開鍵を用いて暗号化する処理が行われる。２３２において、暗号化された対称鍵は、複合機に対して送信される。２３４において、複合機は暗号化された対称鍵を自分の秘密鍵を用いて復号する。別の例では、受信側装置は、自身の公開鍵で暗号化された対称鍵を、送信側装置から受信した通知の一部として２２０で受信する。この例では、２１６で複合機と受信側装置との間で確立された通信セッションに応じて、送信側装置から受信し、復号された対称鍵は、２３２で、複合機の公開鍵を用いて暗号化されて、複合機へと送信される。

図３の２３６において、復号された対称鍵を用い、ＰＤＬで記述された文書が復号される（或いは、この代わりにスキャンパラメータがが復号される）。２３８で、ジョブキューが（これは必須ではないが）、当該ジョブ要求を処理するように再順位付けされる。ここでは、一つの例では、ＰＤＬで記述された文書をレンダリング（描画）する。別の例では、復号されたスキャンパラメータを用いてスキャンジョブが起動され、その結果を電子的に記録するか、送信するか、格納するか、或いはそれのうち２以上の組合せを実行する。どのようなジョブ要求を受けても、複合機は、２１６で受信側装置といったん通信セッションが確立されると、ジョブキューの順位付けのやり直しを開始するようにしてもよい。

図３の２４０でジョブ要求が完了すると、ジョブ情報がジョブ登録部１１２から削除される。ジョブ登録部１１２は、送信側装置１０４に対しジョブ要求が完了した旨の通知を送ってもよい。別の例では、送信側装置１０４は、２４２で、受信側装置から又はジョブ登録部１１２（これがジョブ要求のステータスを識別する）へのリンクを介して、又はその両方で、ジョブ完了の通知を受け取ってもよい。この例では、送信側装置１０４は、定期的にジョブ登録１１２に対して問合せを行って、送信したジョブ要求の今のステータスを求めるようにしてもよい。更にこの例では、（複合機又は送信側装置から受信側装置への終了の通知により）ジョブ要求は終了してもよい。

ここに示した印刷要求のセキュアなリリースの方式では、(a) ジョブ処理の一連の流れ（又は更に広くいえばワークフロー）のすべての範囲で文書内容とパラメータが保護され、(b) 複合機での文書ジョブ要求のリリース（すなわち実行の模倣又は開始：imitation of performance）は、送信側装置と複合機との間での非対称暗号方式での交換をトリガとして行われ、(c) 複合機でジョブ要求をリリースする受信側装置が、近接ネットワークを介して複合機と通信することで、直接に又は即時に又はその両方で複合機とコンタクトできるようにし、(d) ジョブ登録部がステータス情報を記録することにより、ジョブ要求をリリースできる装置を複合機が能動的にサーチして識別できるようにし、(e) ジョブ登録部が、送信側装置によりステータス情報が識別できるようにするための場所（ロケーション）を提供し、(f) 必須ではないが、複合機のジョブ・キューは、ジョブ要求のリリースと結び付けられる受信者の接近を識別して受け入れるべく優先順位付けをやり直してもよい（ここで、受信者の接近は、例えば、近接ネットワーク又はＧＰＳ座標から求められる位置／追跡情報により識別してもよい）。

Ｂ．スキャンの場合の変形例
図４は、スキャンされた文書を配布するための変形例を示し、この変形例は、動作要素として、送信者装置３０２，スキャン装置３０４，及び受信者装置３０６を備える。３０８の処理では、送信者装置は、図１に示されたモバイル装置１０６のようなモバイル装置又はローミング装置を備えていてもよいが、スキャン要求３０８を組み立てる。この要求は、ワークフローの一部として１乃至複数の他のサービスを含んでいてもよい（例えば米国特許出願シリアル番号10/605874号"Method And Apparatus For Controlling Document Service Request From A Mobile Device"に示されているように）。

３１０において、送信者装置３０２は短距離無線チャンネルを介してスキャン装置３０４に対してそのスキャン要求を送信する。スキャン装置は物理的な文書（例えばハードコピー）の電子的な表現（例えばデジタル画像）を記録することができる単機能機又は複合機などである。スキャン要求を受け取ると、スキャン装置３０４は３１２にて当該文書の電子的表現を一時ファイルに格納する。一時ファイルの内容は、文書がスキャンされるにつれて間欠的に（例えばブロックごと又はページごとに）、又はスキャンが完了したときに、３１４で送信者装置３０２へと返信される。

スキャンされた文書全部を受け取ると、送信者装置３０２は、そのスキャンされた文書を二重に暗号化する。まず、スキャンされた文書は、認証目的のために、送信者の秘密鍵を用いて暗号化される。続いて秘密保護のために、秘密鍵で暗号化されたその文書が、受信者（又は受信者装置）に属する公開鍵にを用いて暗号化される。当業者ならば分かるように、二重暗号化は逆の順序で実行してもよい。すなわち、スキャンされた文書をまず受信者の公開鍵で暗号化し、その後送信者の秘密鍵で暗号化してもよい。

３１８で、二重暗号化されたスキャン文書の内容が受信者情報と共に送信者装置３０２からスキャン装置３０４へと送信され、これは更に３２０で受信者へ再送信される。再送信では、どのような形の電子的なメッセージ又はセッションの交換又はその両方を用いて送信を行ってもよい。二重暗号化された文書を受け取ると、受信者装置３０６は、３２２で、受信者の秘密鍵と送信者の公開鍵を用いてその文書を復号する。

Ｃ．暗号ネットワークサービス
ここに示した実施形態を実現するのに用いられた暗号処理は、暗号ネットワークサービスを用いて実行することもできる。例えば、暗号ネットワークサービスは、送信側装置１０４が図２の２０４でＰＤＬ文書を暗号化するために、また受信側装置１０６が図２の２２８でセッション鍵を暗号化するために、また複合機１０８が図３の２３４でセッション鍵を復号し、２３６でＰＤＬで示された文書を復号するために、用いることができる。暗号ネットワークサービスの詳細は、Berson, T. A., Dean, D., Franklin, M. K., Smetters, D. K. and Spreitzer, M. J.が２００１年２月７〜９日のInternet SocietyのNetwork and Distributed Systems Security Symposium（ネットワーク及び分散システムセキュリティシンポジウム）で発表した"Cryptography As A Network Service"という標題の文献、及び米国特許出願シリアル番号09/596652, 標題“System, Method And Article Of Manufacture For Providing Cryptography Services Utilizing A Network”に示される。

Ｄ．その他
以上に示した諸要素の更なる背景は、米国特許出願シリアル番号10/737973, 標題“System And Method For Providing Document Services”、及び米国特許出願シリアル番号10/605874, 標題“Method And Apparatus For Controlling Document Service Requests From A Mobile Device”、及び米国出願シリアル番号10/202027, 標題“Electronic Filing System With Scan-Placeholders”の各米国出願に示される。

当業者ならば、ＩＴＵＸ．５０９標準は、多くの標準の中で、証明書の一部を構成する情報を規定し、その情報のデータフォーマットを記述するものの１つのであることを理解されるであろう。大略的には、証明書は公開鍵暗号システムに依拠しており、このシステムでは秘密鍵と公開鍵とがペアとして用いられ、そのペアが秘密保護（すなわち暗号化による）又は認証（すなわちデジタル署名）又はその両方のために用いられる。公開鍵・秘密鍵の鍵ペアの発行対象であるエンティティは、例えば、ユーザ、又はユーザのシステム（例えばデスクトップ型コンピュータ、ノート型コンピュータ、ＰＤＡなど）に基づいている。したがって、ユーザの装置又はユーザ又はその両方に対し、それぞれ鍵ペアが発行されてもよい。証明書を用いる応用の例には、ＳＳＬ(Secure Socket Layer)プロトコルをサポートするウェブブラウザや、セキュアな電子メール標準であるＳ／ＭＩＭＥ(Secure/Multipurpose Internet Mail Extensions)等がある。

また、当業者ならば理解できるように、本明細書及び図面に示した本システムの各要素を実装するのに、汎用コンピュータシステムを用いることができる。汎用コンピュータの一例は、ハードウエアとソフトウエアを含む。このハードウエアとしては、例えば、プロセッサ（ＣＰＵ）、メモリ（ＲＯＭ、ＲＡＭなど）、持続性の記憶装置（例えば、ＣＤ−ＲＯＭ、ハードディスクドライブ、フレキシブルディスクドライブ、テープドライブなど）、ユーザ入出力装置、及びネットワーク入出力装置を備えるものがある。ユーザ入出力装置の中には、例えばカメラ、マイク、スピーカー、キーボード、ポインティングデバイス（例えばポインティングスティック、マウスなど）、及びディスプレイ装置などが含まれ得る。ネットワーク入出力装置は、例えば、インターネットなどのネットワークと接続されてもよい。上述した汎用コンピュータのソフトウエアの中には、オペレーティングシステムが含まれてもよい。

図２〜図３に示される動作を実行するための要素群の構成の例を示す概略的なブロック図である。複合機でのセキュアなジョブのリリースを可能にするための、図１に示される要素群により実行される動作の概略的なフローチャートである。複合機でのセキュアなジョブのリリースを可能にするための、図１に示される要素群により実行される動作の概略的なフローチャートである。スキャンされた文書を配布するための変形例を示す図である。

符号の説明

１０２インターネット、１０４送信側装置、１０６受信側装置、１０８複合機、１１０認証局、１１２ジョブ登録部。

Claims

秘密鍵と公開鍵の発行を受けている文書処理システムにてジョブ要求を管理するための方法であって、
対称鍵を用いて暗号化されたジョブ情報を示す第１の部分と、受信側の公開鍵を用いて暗号化された前記対称鍵を示す第２の部分と、を有するジョブ要求を受信し、
前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵を受信し、
前記文書処理システムの公開鍵を用いて暗号化された前記対称鍵を、前記文書処理システムの秘密鍵を用いて復号し、
復号された対称鍵を用いて前記ジョブ要求の前記第１の部分を復号し、
復号されたジョブ要求の実行を開始する、
方法。
請求項１記載の方法であって、前記ジョブ要求の受信において、ジョブ／受信者識別情報を示す第３の部分を含むジョブ要求を受信する、ことを特徴とする方法。
請求項２記載の方法であって、更に前記ジョブ要求の前記第３の部分と前記第２の部分を前記受信側に送信する、ことを特徴とする方法。
請求項３記載の方法であって、前記第３の部分は前記文書処理システムの公開鍵を用いて暗号化され、前記文書処理システムにより復号される、方法。