知財求人 - 知財ポータルサイト「IP Force」
特開2024-171583改ざん防止装置、サーバ装置、改ざん防止方法、プログラム及び記録媒体
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024171583
(43)【公開日】2024-12-12
(54)【発明の名称】改ざん防止装置、サーバ装置、改ざん防止方法、プログラム及び記録媒体
(51)【国際特許分類】
G06F 21/64 20130101AFI20241205BHJP
H04L 9/32 20060101ALI20241205BHJP
【ＦＩ】
G06F21/64
H04L9/32 200D
【審査請求】未請求
【請求項の数】10
【出願形態】ＯＬ
(21)【出願番号】P 2023088665
(22)【出願日】2023-05-30
(71)【出願人】
【識別番号】000232092
【氏名又は名称】ＮＥＣソリューションイノベータ株式会社
(74)【代理人】
【識別番号】100115255
【弁理士】
【氏名又は名称】辻丸 光一郎
(74)【代理人】
【識別番号】100201732
【弁理士】
【氏名又は名称】松縄 正登
(74)【代理人】
【識別番号】100154081
【弁理士】
【氏名又は名称】伊佐治 創
(74)【代理人】
【識別番号】100227019
【弁理士】
【氏名又は名称】安 修央
(72)【発明者】
【氏名】石田 州裕
(72)【発明者】
【氏名】丸山 若菜
(72)【発明者】
【氏名】佐野 雄気
(72)【発明者】
【氏名】山上 辰典
(72)【発明者】
【氏名】佐々木 俊介
(57)【要約】
【課題】 データの改ざんを防止できる改ざん防止装置を提供する。
【解決手段】 本開示の改ざん防止装置は、ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
【選択図】 図１
【解決手段】 本開示の改ざん防止装置は、ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
【選択図】 図１
【特許請求の範囲】
【請求項1】
ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止装置。
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止装置。
【請求項2】
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、請求項１記載の改ざん防止装置。
前記改ざん防止用情報記録部は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、請求項１記載の改ざん防止装置。
【請求項3】
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、請求項１または２記載の改ざん防止装置。
前記改ざん防止用情報記録部は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、請求項１または２記載の改ざん防止装置。
【請求項4】
前記真正性担保用情報取得部は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、請求項１または２記載の改ざん防止装置。
前記改ざん防止用情報記録部は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、請求項１または２記載の改ざん防止装置。
【請求項5】
検証用ハッシュ算出部、検証部を含み、
前記検証用ハッシュ算出部は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証部は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、請求項１または２記載の改ざん防止装置。
前記検証用ハッシュ算出部は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証部は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、請求項１または２記載の改ざん防止装置。
【請求項6】
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証部は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、請求項５記載の改ざん防止装置。
前記検証部は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、請求項５記載の改ざん防止装置。
【請求項7】
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証部は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、請求項５記載の改ざん防止装置。
前記検証部は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、請求項５記載の改ざん防止装置。
【請求項8】
請求項１または２に記載の改ざん防止装置を含む、サーバ装置。
【請求項9】
ハッシュ算出工程、真正性担保用情報取得工程、及び改ざん防止用情報記録工程を含み、
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止方法。
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止方法。
【請求項10】
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラム。
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、改ざん防止装置、サーバ装置、改ざん防止方法、プログラム及び記録媒体に関する。
【背景技術】
【0002】
企業の業務システムにおいて、業務アプリケーションが生成する業務データは、記録媒体に記録され、管理される。例えば、特許文献１には、業務データ等のデータを管理するための複数のストレージ装置を含むデータ管理システムが記載されている。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０２０－６７６８１号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、特許文献１のシステムは、業務データのバックアップを取ることは可能であるが、業務データ自体、またはバックアップデータの改ざんは防止できず、改ざんを受けた場合に検知することもできない。
【0005】
そこで本開示は、データの改ざんを防止できる改ざん防止装置を提供することを目的とする。
【課題を解決するための手段】
【0006】
前記目的を達成するために、本開示の改ざん防止装置は、
ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
【0007】
本開示のサーバ装置は、前記本開示の改ざん防止装置を含む。
【0008】
本開示の改ざん防止方法は、
ハッシュ算出工程、真正性担保用情報取得工程、及び改ざん防止用情報記録工程を含み、
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
ハッシュ算出工程、真正性担保用情報取得工程、及び改ざん防止用情報記録工程を含み、
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
【0009】
本開示のプログラムは、
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムである。
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムである。
【0010】
本開示の記録媒体は、
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【0011】
本開示によれば、データの改ざんを防止できる。
【図面の簡単な説明】
【0012】
【発明を実施するための形態】
【0013】
次に、本開示の実施形態について図を用いて説明する。本開示は、以下の実施形態には限定されない。以下の各図において、同一部分には、同一符号を付している。また、各実施形態の説明は、特に言及がない限り、互いの説明を援用でき、各実施形態の構成は、特に言及がない限り、組合せ可能である。
【0014】
［実施形態１］
本実施形態では、本開示の第１の改ざん防止装置について図１を用いて説明する。図１は、本実施形態の改ざん防止装置１０の一例の構成を示すブロック図である。図１に示すように、改ざん防止装置１０（以下、「本装置１０」ともいう）は、ハッシュ算出部１１、真正性担保用情報取得部１２、及び改ざん防止用情報記録部１３を含む。また、図示していないが、本装置１０は、例えば、取得部、記憶部、入力部、及び出力部を含んでもよい。
本実施形態では、本開示の第１の改ざん防止装置について図１を用いて説明する。図１は、本実施形態の改ざん防止装置１０の一例の構成を示すブロック図である。図１に示すように、改ざん防止装置１０（以下、「本装置１０」ともいう）は、ハッシュ算出部１１、真正性担保用情報取得部１２、及び改ざん防止用情報記録部１３を含む。また、図示していないが、本装置１０は、例えば、取得部、記憶部、入力部、及び出力部を含んでもよい。
【0015】
本装置１０は、例えば、前記各部を含む１つの装置でもよいし、前記各部が、通信回線網を介して接続可能な装置でもよい。また、本装置１０は、通信回線網を介して、後述する外部装置と接続可能である。通信回線網は、特に制限されず、公知のネットワークを使用でき、例えば、有線でも無線でもよい。通信回線網は、例えば、インターネット回線、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）、電話回線、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＤＴＮ（Ｄｅｌａｙ Ｔｏｌｅｒａｎｔ Ｎｅｔｗｏｒｋｉｎｇ）、ＬＰＷＡ（Ｌｏｗ Ｐｏｗｅｒ Ｗｉｄｅ Ａｒｅａ）、Ｌ５Ｇ（ローカル５Ｇ）、等があげられる。無線通信としては、例えば、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ローカル５Ｇ、ＬＰＷＡ等が挙げられる。前記無線通信としては、各装置が直接通信する形態（Ａｄ Ｈｏｃ通信）、インフラストラクチャ（infrastructure通信）、アクセスポイントを介した間接通信等であってもよい。本装置１０は、例えば、システムとしてサーバに組み込まれていてもよい。また、本装置１０は、例えば、本開示のプログラムがインストールされたパーソナルコンピュータ（ＰＣ、例えば、デスクトップ型、ノート型）、スマートフォン、タブレット端末等であってもよい。本装置１０は、対象物を撮像可能な撮像端末（例えば、カメラ付きのスマートフォン、タブレット端末等）であってもよいし、前記撮像端末と通信可能な装置であってもよい。さらに、本装置１０は、例えば、前記各部のうち少なくとも一つがサーバ上にあり、その他の前記各部が端末上にあるような、クラウドコンピューティングやエッジコンピューティング等の形態であってもよい。
【0016】
図２に、本装置１０のハードウェア構成のブロック図を例示する。本装置１０は、例えば、中央処理装置（ＣＰＵ、ＧＰＵ等）１０１、メモリ１０２、バス１０３、記憶装置１０４、入力装置１０５、出力装置１０６、通信デバイス１０７等を含む。本装置１０の各部は、それぞれのインタフェース（Ｉ／Ｆ）により、バス１０３を介して相互に接続されている。
【0017】
中央処理装置１０１は、コントローラ（システムコントローラ、Ｉ／Ｏコントローラ等）等により、他の構成と連携動作し、本装置１０の全体の制御を担う。本装置１０において、中央処理装置１０１により、例えば、本開示のプログラムやその他のプログラムが実行され、また、各種情報の読み込みや書き込みが行われる。具体的には、例えば、中央処理装置１０１が、ハッシュ算出部１１、真正性担保用情報取得部１２、及び改ざん防止用情報記録部１３として機能する。また、本装置１０が前記取得部、前記出力部を含む場合、中央処理装置１０１は、前記取得部、前記出力部として機能してもよい。本装置１０は、演算装置として、ＣＰＵ、ＧＰＵ（Graphics Processing Unit）、ＡＰＵ（Accelerated Processing Unit）等の他の演算装置を備えてもよいし、これらの組合せを備えてもよい。
【0018】
バス１０３は、例えば、外部装置とも接続できる。前記外部装置は、例えば、外部記憶装置（外部データベース等）、プリンタ、外部入力装置、外部表示装置、スピーカ等の音声出力装置、カメラ等の外部撮像装置、ビーコン、ならびに加速度センサ、地磁気センサ、方向センサ、赤外線センサ、動体センサ、および位置センサ等の各種センサ等があげられる。本装置１０は、例えば、バス１０３に接続された通信デバイス１０７により、外部ネットワーク（前記通信回線網）に接続でき、外部ネットワークを介して、ユーザの端末等の他の装置と接続することもできる。
【0019】
メモリ１０２は、例えば、メインメモリ（主記憶装置）が挙げられる。中央処理装置１０１が処理を行う際には、例えば、後述する記憶装置１０４に記憶されている本開示のプログラム等の種々の動作プログラムを、メモリ１０２が読み込み、中央処理装置１０１は、メモリ１０２からデータを受け取って、プログラムを実行する。前記メインメモリは、例えば、ＲＡＭ（ランダムアクセスメモリ）である。また、メモリ１０２は、例えば、ＲＯＭ（読み出し専用メモリ）であってもよい。
【0020】
記憶装置１０４は、例えば、前記メインメモリ（主記憶装置）に対して、いわゆる補助記憶装置ともいう。前述のように、記憶装置１０４には、本開示のプログラムを含む動作プログラムが格納されている。記憶装置１０４は、例えば、記録媒体と、記録媒体に読み書きするドライブとの組合せであってもよい。前記記録媒体は、特に制限されず、例えば、内蔵型でも外付け型でもよく、ＨＤ（ハードディスク）、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＣＤ－ＲＷ、ＭＯ、ＤＶＤ、フラッシュメモリー、メモリーカード等が挙げられる。記憶装置１０４は、例えば、記録媒体とドライブとが一体化されたハードディスクドライブ（ＨＤＤ）、及びソリッドステートドライブ（ＳＳＤ）であってもよい。本装置１０が、例えば、前記記憶部を含む場合、記憶装置１０４が前記記憶部として機能する。記憶装置１０４は、例えば、データベースの情報、ハッシュ値、真正性担保用情報、改ざん防止用情報等を記憶してもよい。
【0021】
本装置１０において、メモリ１０２及び記憶装置１０４は、ログ情報、外部データベース（図示せず）や外部の装置から取得した情報、本装置１０によって生成した情報、本装置１０が処理を実行する際に用いる情報等の種々の情報を記憶することも可能である。なお、少なくとも一部の情報は、例えば、メモリ１０２及び記憶装置１０４以外の外部サーバに記憶されていてもよいし、複数の端末にブロックチェーン技術等を用いて分散して記憶されていてもよい。
【0022】
本装置１０は、例えば、さらに、入力装置１０５、出力装置１０６を備える。入力装置１０５は、例えば、タッチパネル、トラックパッド、マウス等のポインティングデバイス；キーボード；カメラ、スキャナ等の撮像手段；ＩＣカードリーダ、磁気カードリーダ等のカードリーダ；マイク等の音声入力手段；等があげられる。出力装置１０６は、例えば、ＬＥＤディスプレイ、液晶ディスプレイ等の表示装置；スピーカ等の音声出力装置；プリンタ；等があげられる。本実施形態１において、入力装置１０５と出力装置１０６とは、別個に構成されているが、入力装置１０５と出力装置１０６とは、タッチパネルディスプレイのように、一体として構成されてもよい。
【0023】
つぎに、本実施形態の改ざん防止方法の一例を、図３のフローチャートに基づき説明する。本実施形態の改ざん防止方法は、例えば、図１から図２に示す改ざん防止装置１０を用いて、次のように実施する。なお、本実施形態の改ざん防止方法は、図１から図２の改ざん防止装置１０の使用には限定されない。
【0024】
本装置１０は、例えば、各部の処理に先立って、前記取得部により、データベースの情報を取得してもよい。前記データベースの種類は、特に制限されず、例えば、階層型データベースでもよいし、リレーショナル型データベースでもよいしNoSQL型データベースでもよいし、ネットワーク型データベースでもよい。また、前記データベースは、例えば、分散型データベースであってもよい。前記リレーショナル型データベースの情報が含む列は、１列でもよいし、２列以上の複数でもよい。前記リレーショナル型データベースの情報が含む行は、例えば、１行でもよいし、２行以上の複数でもよい。前記データベースが階層型データベースまたはネットワーク型データベースである場合、前記データベースが含むノードは、例えば、１つでもよいし、２以上の複数でもよい。前記データベースの情報の種類は、特に制限されず、例えば、任意の種類のデータベースに記録された情報があげられる。前記データベースの情報の具体例としては、例えば、業務データがあげられる。前記業務データは、特に制限されず、例えば、業務処理実行アプリケーションが取り扱い、記録しているデータがあげられる。前記取得部は、例えば、バス１０３を介して接続された通信デバイス１０７により、本装置１０外部のデバイスから前記データベースの情報を取得できる。前記外部のデバイスは、例えば、前記データベースの情報を記憶した外部サーバである。また、前記取得部は、例えば、本装置１０のメモリ１０２または記憶装置１０４等の記憶部に記憶されたデータベースの情報を取得してもよい。この場合、本装置１０は、例えば、サーバ装置（データベースサーバ）であるということもできる。前記取得部は、例えば、前記データベースの情報について、前記データベースの行ごとに取得してもよい。この場合、前記取得部は、前記行の識別情報（例えば、ＩＤ）を合わせて取得してもよい。また、前記取得部は、例えば、前記データベースの情報を更新した更新者の情報を併せて取得してもよい。前記更新者の情報は、例えば、前記更新者を特定する更新者識別情報があげられる。前記更新者識別情報は、例えば、前記更新者を識別可能な情報であれば特に制限されない。前記更新者識別情報は、例えば、氏名または名称、ニックネーム、年齢、住所、電話番号、メールアドレス、ID、パスワード等の更新者自身の情報でもよいし、更新者の端末の情報であってもよい。前記更新者の端末の情報は、例えば、電話番号、メールアドレス、ID、パスワード、ＩＰアドレス、ＭＡＣアドレス、端末の機器固有情報（端末のシリアルナンバー、国際移動体装置識別番号（International Mobile Equipment Identifier）等の識別番号）等の情報があげられる。
【0025】
ハッシュ算出部１１は、データベースの情報に基づいてハッシュ値を算出する（Ｓ１、ハッシュ算出工程）。ハッシュ算出部１１は、例えば、ハッシュ関数を用いて前記データベースの情報からハッシュ値を算出できる。ハッシュ算出部１１は、例えば、所定の集合データ毎に前記ハッシュ値を算出することが好ましい。具体例として、前記データベースがリレーショナル型データベース等の、データが行および列で構成されたデータベースである場合、ハッシュ算出部１１は、例えば、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出してもよい。この場合、ハッシュ算出部１１は、例えば、前記ハッシュ関数を用いて、前記合成値に基づいて前記行ごとのハッシュ値を算出する。なお、本開示はこれには限定されず、例えば、前記データベースが階層型データベースまたはネットワーク型データベース等の、データがノードにより構成されたデータベースである場合、ハッシュ算出部１１は、例えば、ノード毎にデータから前記ハッシュ値を算出できる。また、この場合、ハッシュ算出部１１は、例えば、複数のノードが含むデータの合成値を算出し、前記合成値に基づいて前記ハッシュ値を算出してもよい。
【0026】
また、ハッシュ算出部１１は、例えば、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出してもよい。前記ソルト値は、特に制限されず、例えば、任意の値が使用できる。この場合、ハッシュ算出部１１は、例えば、前記データベースの情報または前記合成値に、ランダムな文字列（ソルト）を不可し、前記データベースの情報または前記合成値に前記ソルトが結合された情報に基づいてハッシュ値を算出できる。前記ソルト値は、例えば、固定の文字列でもよいし、都度異なる文字列でもよく、後者の場合、ユーザ毎に異なる文字列であることが好ましい。ハッシュ算出部が前記データベースの情報にソルト値を付与することにより、例えば、レインボーテーブル攻撃を回避することができるため、より効果的に改ざんを抑制できる。
【0027】
ハッシュ算出部１１の処理のタイミングは、特に制限されず、任意のタイミングで実行できるが、例えば、前記データベースの更新毎に前記ハッシュ値の算出を行うことが好ましい。これにより、前記データベースの情報が更新されるたびに本装置１０による改ざん防止用情報が記録できるため、より確実にデータの改ざんを防止できる。
【0028】
真正性担保用情報取得部１２は、前記ハッシュ値に対する真正性担保用情報を取得する（Ｓ２、真正性担保用情報取得工程）。真正性担保用情報取得部１２は、例えば、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得する。前記真正性担保用情報は、例えば、タイムスタンプトークン、または、前記ハッシュ値が秘密鍵により暗号化された暗号化データの少なくとも一方を含み、前記タイムスタンプトークンと前記暗号化データの双方を含むことが好ましい。
【0029】
前記真正性担保用情報が、タイムスタンプトークンを含む場合、真正性担保用情報取得部１２は、例えば、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得できる。真正性担保用情報取得部１２は、例えば、本装置１０により生成したタイムスタンプトークン（ローカルタイムスタンプ）を取得してもよいし、本装置１０外の装置が生成したタイムスタンプトークン（例えば、インターネット上のタイムスタンプ認証局が生成したタイムスタンプトークン）を取得してもよい。前者の場合、真正性担保用情報取得部１２は、例えば、公知のローカルタイムスタンプ発行方法を用いて前記真正性担保用情報（タイムスタンプトークン）を取得できる。前記公知のローカルタイムスタンプ発行方法としては、一例として、例えば、特開2023-064977号公報等に記載の方法が採用できる。後者の場合、真正性担保用情報取得部１２は、例えば、前記ハッシュ値をタイムスタンプ認証局（タイムスタンプサーバ）に送付する。前記タイムスタンプサーバは、例えば、本装置１０から取得した前記ハッシュ値と前記タイムスタンプサーバの時刻情報（タイムスタンプ付与時刻、受付時刻ともいう）とを対象に、秘密鍵を用いて電子署名してタイムスタンプトークンを生成する。そして、前記タイムスタンプサーバは、前記タイムスタンプトークンと、前記秘密鍵に対応する公開鍵とを本装置１０に出力する。前記公開鍵は、例えば、電子証明書に含まれていてもよい。そして、真正性担保用情報取得部１２は、前記タイムスタンプサーバから前記タイムスタンプトークンと前記公開鍵とを取得できる。また、前記タイムスタンプサーバは、例えば、発行したタイムスタンプトークンと本装置１０により送付されたハッシュ値とを紐づけて記録し、タイムスタンプ台帳を作成してもよい。
【0030】
前記真正性担保用情報が、前記暗号化データを含む場合、真正性担保用情報取得部１２は、例えば、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得できる。真正性担保用情報取得部１２は、例えば、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得してもよい。この場合、真正性担保用情報取得部１２は、例えば、前記データベースの情報と紐づけて取得した更新者識別情報により更新者を特定する。そして、真正性担保用情報取得部１２は、例えば、特定した更新者と対応する秘密鍵により暗号化された暗号化データを取得できる。
【0031】
前記真正性担保用情報が前記暗号化データを含む場合の処理の一例について説明する。まず、真正性担保用情報取得部１２の処理に先立って、ユーザ（例えば、データベースの更新者）が所有する暗号化データ生成端末に対して、ユーザ毎の公開鍵と秘密鍵とのキーペアを発行する。前記キーペアの発行は、本装置１０が実行してもよいし、別途鍵管理サーバが実行してもよい。そして、本装置１０または前記鍵管理サーバは、発行した前記キーペアのうち、少なくとも秘密鍵を前記暗号化データ生成端末に送信する。本装置１０または前記鍵管理サーバは、発行したキーペアのうち、前記公開鍵を、ユーザの識別情報と紐づけて記憶し、秘密鍵は管理せず破棄する。前記公開鍵には、例えば、有効期間が併せて紐づけられていてもよい。つぎに、真正性担保用情報取得部１２は、例えば、前記暗号化データ生成端末に前記ハッシュ値を送信する。前記暗号化データ生成端末は、予め、前記ユーザ（例えば、前記データベースの更新者）毎の秘密鍵を用いて、受信したハッシュ値を暗号化し、前記暗号化データを生成する。つぎに、前記暗号化データ生成端末は、本装置１０に生成した前記暗号化データと、前記更新者識別情報とを送信する。また、前記暗号化データ生成端末は、例えば、前記暗号化データをデジタル署名として前記ハッシュ値に付与し、前記デジタル署名が付与された前記ハッシュ値を本装置１０に送信してもよい。真正性担保用情報取得部１２は、例えば、前記暗号化データ生成端末から前記暗号化データと前記更新者識別情報とを取得できる。
【0032】
改ざん防止用情報記録部１３は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する（Ｓ３、改ざん防止用情報記録工程）。改ざん防止用情報記録部１３は、例えば、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。前記改ざん防止用情報記録部は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録してもよい。前記真正性担保用情報が、タイムスタンプトークンを含む場合、改ざん防止用情報記録部１２は、例えば、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録できる。前記真正性担保用情報が、前記暗号化データを含む場合、改ざん防止用情報記録部１３は、例えば、前記ハッシュ値と前記暗号化データとを紐づけて記録できる。また、改ざん防止用情報記録部１３は、例えば、前記ハッシュ値と、前記暗号化データと、前記更新者識別情報とを紐づけて記録してもよい。また、改ざん防止用情報記録部１３は、例えば、前記データベースの更新日時をさらに紐づけて記録してもよい。改ざん防止用情報記録部１３は、例えば、本装置１０の記憶装置１０４に前記改ざん防止用情報を記録してもよいし、本装置１０外の記録媒体に前記改ざん防止用情報を記録してもよい。
【0033】
改ざん防止装置１０は、ハッシュ算出部１１によりデータベースの情報に基づいてハッシュ値を算出し、真正性担保用情報取得部１２は、前記ハッシュ値に対する真正性担保用情報を取得し、改ざん防止用情報記録部１３は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録できる。このため、改ざん防止装置１０によれば、例えば、データベースの情報の真正性を担保でき、データの改ざんを防止できる。前記改ざん防止用情報として、前記タイムスタンプトークンを含む場合、前記ハッシュ値のもととなったデータベースの情報が前記タイムスタンプトークンの発行時刻に存在したことを証明できる。前記暗号化データは、例えば、前記ユーザ（データベースの更新者）毎のデジタル署名が付与されたデータであるため、前記改ざん防止用情報が前記暗号化データを含む場合、記録されたデータが、間違いなく更新者により更新されたこと（本人性）を担保することが可能になる。
【0034】
［実施形態２］
実施形態２は、本開示の第２の改ざん防止装置の例である。
実施形態２は、本開示の第２の改ざん防止装置の例である。
【0035】
図４は、記録データ改ざん防止装置１０Ａの一例の構成を示すブロック図である。図４に示すように、記録データ改ざん防止装置１０Ａは、実施形態１の記録データ改ざん防止装置１０の構成に加えて、検証用ハッシュ算出部１４、検証部１５、改ざん通知部１６を含む。記録データ改ざん防止装置１０Ａのハードウェア構成は、図２の記録データ改ざん防止装置１０のハードウェア構成において、中央処理装置１０１が、図１の記録データ改ざん防止装置１０の構成に代えて、図４の記録データ改ざん防止装置１０Ａの構成を備える以外は同様である。以下、検証用ハッシュ算出部１４、検証部１５、改ざん通知部１６の処理を説明する。検証用ハッシュ算出部１４、検証部１５、改ざん通知部１６の処理は、例えば、前記実施形態１で説明した図３のフローチャートにおける任意の位置に適宜挿入できるが、図５に示すように、Ｓ３の後に挿入されることが好ましい。
【0036】
検証用ハッシュ算出部１４は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出する（Ｓ４、検証用ハッシュ算出工程）。前記改ざん検知対象データベースは、例えば、前記実施形態１のＳ１においてハッシュ算出部１１がハッシュ値を算出した前記データベースの情報である。検証用ハッシュ算出部１４は、例えば、前記実施形態１のＳ１と同様にして実施できる。Ｓ１において、ハッシュ算出部１１が前記データベースの情報にソルト値を付与している場合、検証用ハッシュ算出部１４は、例えば、前記Ｓ１において付与されたソルト値と同値のソルト値を前記改ざん検知対象データベースの情報に付与して検証用ハッシュ値を算出できる。
【0037】
検証部１５は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する（Ｓ５、検証工程）。検証部１５は、例えば、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合する場合（Ｓ５、Ｙｅｓ）、改ざんの可能性がない（または可能性が低い）と判定し、本装置１０Ａによる処理を終了してもよい（ＥＮＤ）。検証部１５は、例えば、前記検証用ハッシュ値と前記改ざん防止用情報とが整合しない場合（Ｓ５、Ｎｏ）、改ざんの可能性ありと判定し、本装置１０Ａは、後述する改ざん通知部１６による処理を実行できる。
【0038】
検証部１５による処理の一例について、さらに具体的に説明する。
【0039】
検証部１５は、例えば、前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証できる（ハッシュ検証工程）。前記ハッシュ検証は、例えば、前記ハッシュ値と前記検証用ハッシュ値との値が一致するか否かを検証する工程である。ハッシュ検証工程によれば、記録されたハッシュ値と検証用ハッシュ値が整合するか否かを検証できるため、例えば、前記改ざん検知対象データベースの情報（例えば、業務データ）自体が改ざんを受けた場合に、改ざんを検知できる。
【0040】
また、検証部１５は、例えば、前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証してもよい。
【0041】
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、検証部１５は、例えば、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証できる（暗号化データ検証工程）。また、前記真正性担保用情報が、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを含む場合、検証部１５は、まず、前記検証用データベースの情報と紐づけて取得した前記更新者識別情報により、前記検証データベースを更新した更新者を特定する。つぎに、検証部１５は、前記更新者識別情報と対応する公開鍵を、例えば、本装置１０Ａの記憶装置１０４または前記鍵管理サーバから取得する。そして、検証部１５は、例えば、取得した前記公開鍵を用いて、前記暗号化データを復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証できる。
【0042】
前記真正性担保用情報が、タイムスタンプトークンを含む場合、検証部１５は、例えば、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証できる（タイムスタンプ検証工程）。前記タイムスタンプ検証工程は、例えば、公知のタイムスタンプ検証方法を用いて実行できる。検証部１５は、例えば、前記タイムスタンプトークンを取得したタイムスタンプサーバの公開鍵を用いて前記タイムスタンプトークンが含むハッシュ値を復号して復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証することにより、前記タイムスタンプ検証工程を実行できる。前記公開鍵は、例えば、本装置１０Ａが保存していてもよいし、本装置１０Ａ外の記憶装置（例えば、前記タイムスタンプサーバ）が保存していてもよい。前記タイムスタンプ検証工程において、検証部１５は、例えば、さらに、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証してもよい。この場合、検証部１５は、例えば、前記タイムスタンプサーバの公開鍵を用いて前記タイムスタンプトークンが含むタイムスタンプサーバの日時を復号し、復号したタイムスタンプサーバの日時と前記更新日時との乖離が規定値未満であるか否かを検証できる。前記規定値は、特に制限されず、例えば、任意の値が設定できる。
【0043】
また、前記タイムスタンプ検証工程において、検証部１５は、例えば、前記タイムスタンプサーバに前記検証用ハッシュ値が記録されているかを検証してもよい。この場合、検証部１５は、例えば、前記検証用ハッシュ値と本装置１０Ａが記録しているタイムスタンプトークンとを前記タイムスタンプサーバに送付する。前記タイムスタンプサーバは、前記タイムスタンプ台帳から前記検証用ハッシュ値を検索し、前記検証用ハッシュ値が前記タイムスタンプ台帳に存在するか否かを判定する。前記タイムスタンプ台帳に前記検証用ハッシュ値と同値のハッシュ値が存在する場合、前記タイムスタンプサーバは、さらに、受信したタイムスタンプトークンと前記タイムスタンプ台帳に記録されたタイムスタンプトークンとが整合するかを判定する。そして、タイムスタンプサーバは、前記タイムスタンプ台帳に前記検証用ハッシュ値と同値のハッシュ値がない場合、または前記受信したタイムスタンプトークンと前記タイムスタンプ台帳に記録されたタイムスタンプトークンとが整合しない場合に、改ざん可能性ありと本装置１０に通知してもよい。
【0044】
検証部１５は、例えば、前記ハッシュ検証工程、前記暗号化データ検証工程、および前記タイムスタンプ検証工程のうち、少なくとも一つの工程を実行してもよいし、複数の工程を実行してもよい。後者の場合、検証部１５は、全ての工程を実行してもよいし、一部の工程を実行してもよい。検証部１５が複数の工程を実行する場合、その実行順序は、特に制限されず、例えば、任意の順序で実行できる。
【0045】
改ざん通知部１６は、検証部１５の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する（Ｓ６、改ざん通知工程）。改ざん通知部１６は、例えば、前記検証用ハッシュ値と、前記改ざん防止情報とが整合しない場合（Ｓ５、Ｎｏ）に、前記改ざん検知対象データベースの改ざん可能性ありと通知できる。また、改ざん通知部１６は、例えば、前記検証用ハッシュ値と、前記改ざん防止情報とが整合する場合（Ｓ５、Ｙｅｓ）に、前記改ざん検知対象データベースの改ざん可能性なしと通知してもよい。本装置１０Ａの出力装置（例えば、ディスプレイ）１０６に通知してもよいし、本装置１０Ａ外の装置に通知してもよい。前記装置は、例えば、前記改ざん検知対象データベース、前記更新者の端末等があげられる。前記更新者の端末は、例えば、前記暗号化データ生成端末でもよいし、他の端末でもよい。
【0046】
本装置１０Ａは、検証用ハッシュ算出部１４により、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、検証部１５により、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証し、改ざん通知部１６により、検証部１５の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知できる。このため、本装置１０Ａによれば、改ざん検知対象データベースのデータを検証でき、改ざんを抑制できる。
【0047】
［実施形態３］
実施形態３は、改ざん防止装置１０（１０，１０Ａ）の利用例を説明する。以下の説明においては、前記データベースとして、業務データを記録した業務用データベースの改ざんを防止する場合を例に挙げて説明するが、本開示は以下の例示には何ら制限されない。また、以下の説明においては、説明の便宜上、前記真正性担保用情報がタイムスタンプトークンを含む場合と暗号化データを含む場合との処理を分けて記載するが、前述のように、本装置１０は、例えば、前記真正性担保用情報がタイムスタンプトークンを含む場合と暗号化データを含む場合の処理の少なくとも一方を実行できればよく、いずれも実行可能であることが好ましい。
実施形態３は、改ざん防止装置１０（１０，１０Ａ）の利用例を説明する。以下の説明においては、前記データベースとして、業務データを記録した業務用データベースの改ざんを防止する場合を例に挙げて説明するが、本開示は以下の例示には何ら制限されない。また、以下の説明においては、説明の便宜上、前記真正性担保用情報がタイムスタンプトークンを含む場合と暗号化データを含む場合との処理を分けて記載するが、前述のように、本装置１０は、例えば、前記真正性担保用情報がタイムスタンプトークンを含む場合と暗号化データを含む場合の処理の少なくとも一方を実行できればよく、いずれも実行可能であることが好ましい。
【0048】
【0049】
まず、改ざん防止用情報の記録について、図６を用いて説明する。図６の（１）に示すように、データベースの更新者により、業務用データベースの情報が更新される。改ざん防止装置１０（以下、本装置１０という）は、更新されたデータベースの情報（ID:111、内容：AAA事案、更新日付：2022/1/1）を行ごとに取得する。
【0050】
つぎに、本装置１０のハッシュ算出部１１は、前記データベースの行ごとの情報の合成値を算出する。そして、ハッシュ算出部１１は、前記合成値にさらにソルト値を付与し、前記合成値とソルト値を合成したソルト合成値を算出する。そして、図６の（２）に示すように、ハッシュ算出部１１は、ハッシュ関数を用いて前記ソルト合成値からハッシュ値（OHSDIJHFI）を算出する。
【0051】
つぎに、図６の（３）に示すように、真正性担保用情報取得部１２は、タイムスタンプサーバに前記ハッシュ値を送信する。前記タイムスタンプサーバは、本装置１０から受け取ったハッシュ値に対応するタイムスタンプトークン（HOIIIRHGDONHO）を発行し、本装置１０に前記タイムスタンプトークンを送信する。また、タイムスタンプサーバは、前記ハッシュ値とタイムスタンプトークンとを紐づけて記録し、タイムスタンプ台帳を作成する。本装置１０の真正性担保用情報取得部１２は、前記タイムスタンプトークンを取得する。そして、改ざん防止用情報記録部１３は、前記ハッシュ値（OHSDIJHFI）と、前記タイムスタンプトークン（HOIIIRHGDONHO）とを紐づけて改ざん防止用情報として記録する。これにより、本装置１０は、業務データの改ざんを防止するための改ざん防止用情報を記録できる。
【0052】
つぎに、記録した改ざん防止用情報を用いた改ざん検知について、図７を用いて説明する。本装置１０Ａは、図７の（１）に示すように、改ざん検知対象となるデータベースを参照し、改ざん検知対象となるデータベースの情報を行ごとに取得する。
【0053】
つぎに、検証用ハッシュ算出部１４は、前記データベースの行ごとの情報の合成値を算出する。そして、図７の（２）に示すように、検証用ハッシュ算出部１４は、前記合成値にさらにソルト値を付与し、前記合成値とソルト値を合成したソルト合成値を算出する。そして、検証用ハッシュ算出部１４は、ハッシュ関数を用いて前記ソルト合成値から検証用ハッシュ値を算出する。
【0054】
つぎに、検証部１５は、前記検証用ハッシュ値と、前記ハッシュ値とが整合するかどうかを検証する（ハッシュ検証工程）。ここで、前記検証用ハッシュ値と前記ハッシュ値とが整合しない場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
【0055】
つぎに、図７の（３）に示すように、検証部１５は、前記タイムスタンプサーバにアクセスし、前記タイムスタンプサーバのタイムスタンプ台帳に前記検証用ハッシュ値が記録されているかを検証する（タイムスタンプ検証工程）。ここで、前記タイムスタンプサーバのタイムスタンプ台帳に前記検証用ハッシュ値が記録されていない場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
【0056】
つぎに、図７の（４）および（５）に示すように、検証部１５は、前記タイムスタンプトークンを取得したタイムスタンプサーバの公開鍵を用いて前記タイムスタンプトークンが含むハッシュ値を復号して復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する。また、同様に、検証部１５は、前記タイムスタンプサーバの公開鍵を用いて前記タイムスタンプトークンが含むタイムスタンプサーバの日時を復号し、復号したタイムスタンプサーバの日時と前記更新日時との乖離が規定値未満であるか否かを検証する。
ここで、前記検証用ハッシュ値と前記復号ハッシュ値とが整合しない場合、および／または復号したタイムスタンプサーバの日時と前記更新日時との乖離が規定値を超える場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
ここで、前記検証用ハッシュ値と前記復号ハッシュ値とが整合しない場合、および／または復号したタイムスタンプサーバの日時と前記更新日時との乖離が規定値を超える場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
【0057】
【0058】
まず、事前準備として、図８に示すように、鍵管理サーバは、ユーザ（データベースの更新者）が所有する暗号化データ生成端末に対して、ユーザ毎の公開鍵と秘密鍵とのキーペアを発行する。そして、前記鍵管理サーバは、発行した前記キーペアのうち、秘密鍵を前記暗号化データ生成端末に送信する。また、前記鍵管理サーバは、発行した前記キーペアのうち、前記公開鍵を、ユーザの識別情報と紐づけて記憶し、秘密鍵は管理せず破棄する。
【0059】
つぎに、図８の（１）に示すように、データベースの更新者（ユーザＡ）により、業務用データベースの情報が更新される。本装置１０は、更新されたデータベースの情報を行ごとに取得する（ID:111、内容：AAA事案、更新日付：2022/1/1）。また、本装置１０は、前記データベースの情報と紐づけて、前記データベースを更新した更新者識別情報（更新者：Ａさん）を併せて取得する。
【0060】
つぎに、本装置１０のハッシュ算出部１１は、前記データベースの行ごとの情報の合成値を算出する。そして、ハッシュ算出部１１は、前記合成値にさらにソルト値を付与し、前記合成値とソルト値を合成したソルト合成値を算出する。そして、図８の（２）に示すように、ハッシュ算出部１１は、ハッシュ関数を用いて前記ソルト合成値からハッシュ値（OHSDIJHFI）を算出する。
【0061】
つぎに、図８の（３）に示すように、真正性担保用情報取得部１２は、前記更新者識別情報により特定した前記更新者の暗号化データ生成端末に、前記ハッシュ値を送信する。前記暗号化データ生成端末は、前記更新者毎の秘密鍵を用いて前記ハッシュ値を暗号化することにより、前記ハッシュ値にデジタル署名（HOIIIRHGDONHO）を行い、前記デジタル署名が付与された前記ハッシュ値を暗号化データとして本装置１０に送信する。
本装置１０の真正性担保用情報取得部１２は、前記暗号化データを取得する。そして、改ざん防止用情報記録部１３は、前記ハッシュ値と、前記暗号化データと、前記更新者識別情報とを紐づけて改ざん防止用情報として記録する。これにより、本装置１０は、業務データの改ざんを防止するための改ざん防止用情報を記録できる。
本装置１０の真正性担保用情報取得部１２は、前記暗号化データを取得する。そして、改ざん防止用情報記録部１３は、前記ハッシュ値と、前記暗号化データと、前記更新者識別情報とを紐づけて改ざん防止用情報として記録する。これにより、本装置１０は、業務データの改ざんを防止するための改ざん防止用情報を記録できる。
【0062】
つぎに、記録した改ざん防止用情報を用いた改ざん検知について、図９を用いて説明する。本装置１０Ａは、図９の（１）に示すように、改ざん検知対象となるデータベースを参照し、改ざん検知対象となるデータベースの情報を行ごとに取得する。また、本装置１０は、前記改ざん検知対象となるデータベースの情報と紐づけて、前記データベースを更新した更新者識別情報（更新者：Ａさん）を併せて取得する。
【0063】
つぎに、検証用ハッシュ算出部１４は、前記データベースの行ごとの情報の合成値を算出する。そして、図９の（２）に示すように、検証用ハッシュ算出部１４は、前記合成値にさらにソルト値を付与し、前記合成値とソルト値を合成したソルト合成値を算出する。そして、検証用ハッシュ算出部１４は、ハッシュ関数を用いて前記ソルト合成値から検証用ハッシュ値を算出する。
【0064】
つぎに、検証部１５は、前記検証用ハッシュ値と、前記ハッシュ値とが整合するかどうかを検証する（ハッシュ検証工程）。ここで、前記検証用ハッシュ値と前記ハッシュ値とが整合しない場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
【0065】
つぎに、検証部１５は、前記更新者識別情報（更新者：Ａさん）に対応する公開鍵（Ａさんの公開鍵）を前記鍵管理サーバから取得する。検証部１５は、前記公開鍵で前記暗号化データを復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する（暗号化データ検証工程）。ここで、前記検証用ハッシュ値と前記復号ハッシュ値とが整合しない場合、検証部１５は、前記検証用データベースの情報に改ざんの可能性があると判定できる。この場合、改ざん通知部１６は、前記改ざん検知対象データベースの改ざん可能性ありと通知する。
【0066】
本装置１０は、例えば、上記利用例のような処理により、データベースの情報の改ざんを効果的に防止することが可能である。
【0067】
［実施形態４］
実施形態４は、本開示のサーバ装置の例である。
実施形態４は、本開示のサーバ装置の例である。
【0068】
本開示のサーバ装置は、前記本開示の改ざん防止装置（改ざん防止装置１０、１０Ａ）を含むことを特徴とし、その他の構成は特に制限されない。前記サーバ装置は、例えば、データベースサーバであることが好ましい。前記サーバ装置は、例えば、前記本開示の改ざん防止装置の各処理を実行するためのプログラムがインストールされたサーバ装置であってもよいし、前記本開示の改ざん防止装置と通信可能なサーバ装置であってもよい。後者の場合、本開示のサーバ装置と前記本開示の改ざん防止装置との接続は、有線でも無線でもよい。前記サーバ装置は、例えば、前記改ざん防止装置を含むため、データの改ざんを防止できる。
【0069】
［実施形態５］
本実施形態のプログラムは、前述の改ざん防止方法の各工程を、コンピュータに実行させるためのプログラムである。具体的に、本実施形態のプログラムは、コンピュータに、ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を実行させるためのプログラムである。
本実施形態のプログラムは、前述の改ざん防止方法の各工程を、コンピュータに実行させるためのプログラムである。具体的に、本実施形態のプログラムは、コンピュータに、ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を実行させるためのプログラムである。
【0070】
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する。
【0071】
また、本実施形態のプログラムは、コンピュータを、ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順として機能させるプログラムということもできる。
【0072】
本実施形態のプログラムは、前記本開示の改ざん防止装置および改ざん防止方法における記載を援用できる。前記各手順は、例えば、「手順」を「処理」と読み替え可能である。また、本実施形態のプログラムは、例えば、コンピュータ読み取り可能な記録媒体に記録されてもよい。前記記録媒体は、例えば、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）である。前記記録媒体は、特に制限されず、例えば、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、ハードディスク（ＨＤ）、フラッシュメモリー（例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢフラッシュメモリー、ＳＤ／ＳＤＨＣカード等）、光ディスク（例えば、ＣＤ‐Ｒ／ＣＤ‐ＲＷ、ＤＶＤ‐Ｒ／ＤＶＤ‐ＲＷ、ＢＤ‐Ｒ／ＢＤ‐ＲＥ等）、光磁気ディスク（ＭＯ）、フロッピー（登録商標）ディスク（ＦＤ）等があげられる。また、本実施形態のプログラム（例えば、プログラミング製品、又はプログラム製品ともいう）は、例えば、外部のコンピュータから配信される形態であってもよい。前記「配信」は、例えば、通信回線網を介した配信でもよいし、有線で接続された装置を介した配信であってもよい。本実施形態のプログラムは、配信された装置にインストールされて実行されてもよいし、インストールされずに実行されてもよい。
【0073】
以上、実施形態を参照して本開示を説明したが、本開示は、上記実施形態に限定されるものではない。本開示の構成や詳細には、本開示のスコープ内で当業者が理解しうる様々な変更をできる。
【0074】
＜付記＞
上記の実施形態の一部または全部は、以下の付記のように記載されうるが、以下には限られない。
（付記１）
ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止装置。
（付記２）
前記ハッシュ算出部は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得部は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記１記載の改ざん防止装置。
（付記３）
前記ハッシュ算出部は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記１または２記載の改ざん防止装置。
（付記４）
前記ハッシュ算出部は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録部は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記１から３のいずれかに記載の改ざん防止装置。
（付記５）
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記１から４のいずれかに記載の改ざん防止装置。
（付記６）
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記１から５のいずれかに記載の改ざん防止装置。
（付記７）
前記真正性担保用情報取得部は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記１から６のいずれかに記載の改ざん防止装置。
（付記８）
検証用ハッシュ算出部、検証部を含み、
前記検証用ハッシュ算出部は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証部は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記１から７のいずれかに記載の改ざん防止装置。
（付記９）
前記検証部は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記８記載の改ざん防止装置。
（付記１０）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証部は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記８または９記載の改ざん防止装置。
（付記１１）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証部は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記８から１０のいずれかに記載の改ざん防止装置。
（付記１２）
改ざん通知部を含み、
前記改ざん通知部は、前記検証部の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記８から１１のいずれかに記載の改ざん防止装置。
（付記１３）
付記１から１２のいずれかに記載の改ざん防止装置を含む、サーバ装置。
（付記１４）
データベースサーバである、付記１３記載のサーバ装置。
（付記１５）
ハッシュ算出工程、真正性担保用情報取得工程、及び改ざん防止用情報記録工程を含み、
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止方法。
（付記１６）
前記ハッシュ算出工程は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記１５記載の改ざん防止方法。
（付記１７）
前記ハッシュ算出工程は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記１５または１６記載の改ざん防止方法。
（付記１８）
前記ハッシュ算出工程は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録工程は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記１５から１７のいずれかに記載の改ざん防止方法。
（付記１９）
前記真正性担保用情報取得工程は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記１５から１８のいずれかに記載の改ざん防止方法。
（付記２０）
前記真正性担保用情報取得工程は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記１５から１９のいずれかに記載の改ざん防止方法。
（付記２１）
前記真正性担保用情報取得工程は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記１５から２０のいずれかに記載の改ざん防止方法。
（付記２２）
検証用ハッシュ算出工程、検証工程を含み、
前記検証用ハッシュ算出工程は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証工程は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記１５から２１のいずれかに記載の改ざん防止方法。
（付記２３）
前記検証工程は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記２２記載の改ざん防止方法。
（付記２４）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証工程は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記２２または２３記載の改ざん防止方法。
（付記２５）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証工程は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記２２から２４のいずれかに記載の改ざん防止方法。
（付記２６）
改ざん通知工程を含み、
前記改ざん通知工程は、前記検証工程の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記２２から２５のいずれかに記載の改ざん防止方法。
（付記２７）
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラム。
（付記２８）
前記ハッシュ算出手順は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記２７記載のプログラム。
（付記２９）
前記ハッシュ算出手順は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記２７または２８記載のプログラム。
（付記３０）
前記ハッシュ算出手順は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録手順は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記２７から２９のいずれかに記載のプログラム。
（付記３１）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記２７から３０のいずれかに記載のプログラム。
（付記３２）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記２７から３１のいずれかに記載のプログラム。
（付記３３）
前記真正性担保用情報取得手順は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記２７から３２のいずれかに記載のプログラム。
（付記３４）
検証用ハッシュ算出手順、検証手順を含み、
前記検証用ハッシュ算出手順は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証手順は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記２７から３３のいずれかに記載のプログラム。
（付記３５）
前記検証手順は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記３４記載のプログラム。
（付記３６）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証手順は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記３４または３５記載のプログラム。
（付記３７）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証手順は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記３４から３６のいずれかに記載のプログラム。
（付記３８）
改ざん通知手順を含み、
前記改ざん通知手順は、前記検証手順の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記３４から３７のいずれかに記載のプログラム。
（付記３９）
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
（付記４０）
前記ハッシュ算出手順は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記３９記載の記録媒体。
（付記４１）
前記ハッシュ算出手順は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記３９または４０記載の記録媒体。
（付記４２）
前記ハッシュ算出手順は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録手順は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記３９から４１のいずれかに記載の記録媒体。
（付記４３）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記３９から４２のいずれかに記載の記録媒体。
（付記４４）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記３９から４３のいずれかに記載の記録媒体。
（付記４５）
前記真正性担保用情報取得手順は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記３９から４４のいずれかに記載の記録媒体。
（付記４６）
検証用ハッシュ算出手順、検証手順を含み、
前記検証用ハッシュ算出手順は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証手順は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記３９から４５のいずれかに記載の記録媒体。
（付記４７）
前記検証手順は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記４６記載の記録媒体。
（付記４８）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証手順は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記４６または４７記載の記録媒体。
（付記４９）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証手順は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記４６から４８のいずれかに記載の記録媒体。
（付記５０）
改ざん通知手順を含み、
前記改ざん通知手順は、前記検証手順の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記４６から４９のいずれかに記載の記録媒体。
上記の実施形態の一部または全部は、以下の付記のように記載されうるが、以下には限られない。
（付記１）
ハッシュ算出部、真正性担保用情報取得部、及び改ざん防止用情報記録部を含み、
前記ハッシュ算出部は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得部は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止装置。
（付記２）
前記ハッシュ算出部は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得部は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録部は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記１記載の改ざん防止装置。
（付記３）
前記ハッシュ算出部は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記１または２記載の改ざん防止装置。
（付記４）
前記ハッシュ算出部は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録部は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記１から３のいずれかに記載の改ざん防止装置。
（付記５）
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記１から４のいずれかに記載の改ざん防止装置。
（付記６）
前記真正性担保用情報取得部は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記１から５のいずれかに記載の改ざん防止装置。
（付記７）
前記真正性担保用情報取得部は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録部は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記１から６のいずれかに記載の改ざん防止装置。
（付記８）
検証用ハッシュ算出部、検証部を含み、
前記検証用ハッシュ算出部は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証部は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記１から７のいずれかに記載の改ざん防止装置。
（付記９）
前記検証部は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記８記載の改ざん防止装置。
（付記１０）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証部は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記８または９記載の改ざん防止装置。
（付記１１）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証部は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記８から１０のいずれかに記載の改ざん防止装置。
（付記１２）
改ざん通知部を含み、
前記改ざん通知部は、前記検証部の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記８から１１のいずれかに記載の改ざん防止装置。
（付記１３）
付記１から１２のいずれかに記載の改ざん防止装置を含む、サーバ装置。
（付記１４）
データベースサーバである、付記１３記載のサーバ装置。
（付記１５）
ハッシュ算出工程、真正性担保用情報取得工程、及び改ざん防止用情報記録工程を含み、
前記ハッシュ算出工程は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、改ざん防止方法。
（付記１６）
前記ハッシュ算出工程は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得工程は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録工程は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記１５記載の改ざん防止方法。
（付記１７）
前記ハッシュ算出工程は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記１５または１６記載の改ざん防止方法。
（付記１８）
前記ハッシュ算出工程は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録工程は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記１５から１７のいずれかに記載の改ざん防止方法。
（付記１９）
前記真正性担保用情報取得工程は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記１５から１８のいずれかに記載の改ざん防止方法。
（付記２０）
前記真正性担保用情報取得工程は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記１５から１９のいずれかに記載の改ざん防止方法。
（付記２１）
前記真正性担保用情報取得工程は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録工程は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記１５から２０のいずれかに記載の改ざん防止方法。
（付記２２）
検証用ハッシュ算出工程、検証工程を含み、
前記検証用ハッシュ算出工程は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証工程は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記１５から２１のいずれかに記載の改ざん防止方法。
（付記２３）
前記検証工程は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記２２記載の改ざん防止方法。
（付記２４）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証工程は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記２２または２３記載の改ざん防止方法。
（付記２５）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証工程は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記２２から２４のいずれかに記載の改ざん防止方法。
（付記２６）
改ざん通知工程を含み、
前記改ざん通知工程は、前記検証工程の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記２２から２５のいずれかに記載の改ざん防止方法。
（付記２７）
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラム。
（付記２８）
前記ハッシュ算出手順は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記２７記載のプログラム。
（付記２９）
前記ハッシュ算出手順は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記２７または２８記載のプログラム。
（付記３０）
前記ハッシュ算出手順は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録手順は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記２７から２９のいずれかに記載のプログラム。
（付記３１）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記２７から３０のいずれかに記載のプログラム。
（付記３２）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記２７から３１のいずれかに記載のプログラム。
（付記３３）
前記真正性担保用情報取得手順は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記２７から３２のいずれかに記載のプログラム。
（付記３４）
検証用ハッシュ算出手順、検証手順を含み、
前記検証用ハッシュ算出手順は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証手順は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記２７から３３のいずれかに記載のプログラム。
（付記３５）
前記検証手順は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記３４記載のプログラム。
（付記３６）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証手順は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記３４または３５記載のプログラム。
（付記３７）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証手順は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記３４から３６のいずれかに記載のプログラム。
（付記３８）
改ざん通知手順を含み、
前記改ざん通知手順は、前記検証手順の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記３４から３７のいずれかに記載のプログラム。
（付記３９）
ハッシュ算出手順、真正性担保用情報取得手順、及び改ざん防止用情報記録手順を含み、
前記ハッシュ算出手順は、データベースの情報に基づいてハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記ハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録し、
前記各手順を、コンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
（付記４０）
前記ハッシュ算出手順は、前記データベースの情報を少なくとも一つの行ごとに合成した合成値を算出し、前記合成値に基づいて、前記少なくとも一つの行ごとのハッシュ値を算出し、
前記真正性担保用情報取得手順は、前記少なくとも一つの行ごとのハッシュ値に対する真正性担保用情報を取得し、
前記改ざん防止用情報記録手順は、前記データベースの少なくとも一つの行ごとに、前記ハッシュ値と前記真正性担保用情報とを紐づけて改ざん防止用情報として記録する、付記３９記載の記録媒体。
（付記４１）
前記ハッシュ算出手順は、前記データベースの情報にソルト値を付与し、前記ソルト値が付与された情報に基づいてハッシュ値を算出する、付記３９または４０記載の記録媒体。
（付記４２）
前記ハッシュ算出手順は、前記データベースの更新毎に前記ハッシュ値の算出を行い、
前記改ざん防止用情報記録手順は、前記データベースの更新時刻をさらに紐づけて改ざん防止用情報として記録する、付記３９から４１のいずれかに記載の記録媒体。
（付記４３）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値に対するタイムスタンプトークンを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記ハッシュ値に対するタイムスタンプトークンとを紐づけて記録する、付記３９から４２のいずれかに記載の記録媒体。
（付記４４）
前記真正性担保用情報取得手順は、前記真正性担保用情報として、前記ハッシュ値が秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と前記暗号化データとを紐づけて記録する、付記３９から４３のいずれかに記載の記録媒体。
（付記４５）
前記真正性担保用情報取得手順は、前記データベースの更新者と対応する秘密鍵により暗号化された暗号化データを取得し、
前記改ざん防止用情報記録手順は、前記ハッシュ値と、前記暗号化データと、前記更新者を識別する更新者識別情報とを紐づけて記録する、付記３９から４４のいずれかに記載の記録媒体。
（付記４６）
検証用ハッシュ算出手順、検証手順を含み、
前記検証用ハッシュ算出手順は、改ざん検知対象データベースの情報に基づいて検証用ハッシュ値を算出し、
前記検証手順は、前記検証用ハッシュ値と、前記改ざん防止用情報とが整合するか否かを検証する、付記３９から４５のいずれかに記載の記録媒体。
（付記４７）
前記検証手順は、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記ハッシュ値とが整合するか否かを検証し、
前記検証用ハッシュ値と、前記改ざん防止用情報が含む前記真正性担保用情報とが整合するか否かを検証する、付記４６記載の記録媒体。
（付記４８）
前記真正性担保用情報が、タイムスタンプトークンを含む場合、
前記検証手順は、前記検証用ハッシュ値と、前記タイムスタンプトークンを構成するハッシュ値とが整合するか否かを検証し、且つ、前記改ざん検知対象データベースの更新日時と前記タイムスタンプトークンを構成するタイムスタンプサーバ日時との差が所定範囲内であるか否かを検証する、付記４６または４７記載の記録媒体。
（付記４９）
前記真正性担保用情報が、前記ハッシュ値が秘密鍵により暗号化された暗号化データを含む場合、
前記検証手順は、前記暗号化データを、前記秘密鍵に対応する公開鍵で復号した復号ハッシュ値を生成し、前記検証用ハッシュ値と前記復号ハッシュ値とが整合するか否かを検証する、付記４６から４８のいずれかに記載の記録媒体。
（付記５０）
改ざん通知手順を含み、
前記改ざん通知手順は、前記検証手順の検証結果に基づいて、前記改ざん検知対象データベースの改ざんの可能性を通知する、付記４６から４９のいずれかに記載の記録媒体。
【産業上の利用可能性】
【0075】
本開示によれば、データベースのデータの改ざんを防止できる。このため、本開示は、情報処理分野において広く有用である。
【符号の説明】
【0076】
１０、１０Ａ 改ざん防止装置
１１ ハッシュ算出部
１２ 真正性担保用情報取得部
１３ 改ざん防止用情報記録部
１４ 検証用ハッシュ算出部
１５ 検証部
１６ 改ざん通知部
１０１ 中央処理装置
１０２ メモリ
１０３ バス
１０４ 記憶装置
１０５ 入力装置
１０６ 出力装置
１０７ 通信デバイス
１１ ハッシュ算出部
１２ 真正性担保用情報取得部
１３ 改ざん防止用情報記録部
１４ 検証用ハッシュ算出部
１５ 検証部
１６ 改ざん通知部
１０１ 中央処理装置
１０２ メモリ
１０３ バス
１０４ 記憶装置
１０５ 入力装置
１０６ 出力装置
１０７ 通信デバイス
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
