特開 2024-70731 デバイス、コンピュータプログラム、および、方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024070731

(43)【公開日】2024-05-23

(54)【発明の名称】デバイス、コンピュータプログラム、および、方法

(51)【国際特許分類】

   G06F 21/44 20130101AFI20240516BHJP

【ＦＩ】

G06F21/44

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022181420

(22)【出願日】2022-11-11

(71)【出願人】

【識別番号】000005267

【氏名又は名称】ブラザー工業株式会社

(74)【代理人】

【識別番号】110001058

【氏名又は名称】鳳国際弁理士法人

(72)【発明者】

【氏名】井上 卓弥

(57)【要約】

【課題】デバイスの記憶装置に情報が不正に格納されることを抑制する。
【解決手段】デバイスは、情報送信要求を外部装置に送信し、情報送信要求に応じて外部装置から送信される第１情報と第２情報とを受信し、第２情報が特定条件を満たすか否かを判断し、第２情報が特定条件を満たす場合に、第１情報を記憶装置に格納し、第２情報が特定条件を満たさない場合に、第１情報を記憶装置に格納しない。第１情報は、仲介サーバの位置情報と、デバイスに割り当てられる識別情報と、を含む。デバイスは、記憶装置に格納される第１情報を用いて仲介サーバにアクセスして、アクセス情報を仲介サーバから取得し、取得されるアクセス情報を用いて対象サーバにアクセスして、特定のサービスを利用するための設定情報を対象サーバから取得する。
【選択図】 図２

【特許請求の範囲】

【請求項1】

インターネットに接続可能なデバイスであって、
記憶装置と、
情報送信要求を外部装置に送信する送信部と、
前記情報送信要求に応じて前記外部装置から送信される第１情報と第２情報とを受信する受信部であって、前記第１情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記受信部と、
前記第２情報が特定条件を満たすか否かを判断する判断部と、
前記第２情報が前記特定条件を満たす場合に、前記第１情報を前記記憶装置に格納し、前記第２情報が前記特定条件を満たさない場合に、前記第１情報を前記記憶装置に格納しない格納処理部と、
前記記憶装置に格納される前記第１情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得部と、
を備える、デバイス。

【請求項2】

請求項１に記載のデバイスであって、
前記受信部は、さらに、前記外部装置から認証情報を受信し、
前記格納処理部は、前記第２情報が前記特定条件を満たす場合に、前記認証情報に基づく情報を前記記憶装置に格納し、前記第２情報が特定条件を満たさない場合に、前記認証情報に基づく情報を前記記憶装置に格納せず、
前記第２取得部は、
前記記憶装置に格納される前記認証情報に基づく情報を用いて、前記対象サーバとの間で認証処理を実行し、
前記認証処理の結果が肯定的である場合に、前記設定情報を前記対象サーバから取得する、デバイス。

【請求項3】

請求項１に記載のデバイスであって、
前記特定条件は、前記第２情報が、予め定められた特定の文字列を含むことを含む、デバイス。

【請求項4】

請求項１に記載のデバイスであって、
前記特定条件は、前記第２情報のデータサイズが、予め定められた特定のデータサイズであることを含む、デバイス。

【請求項5】

請求項１に記載のデバイスであって、
前記送信部は、さらに、特定情報を前記外部装置に送信し、
前記特定条件は、前記第２情報が、前記特定情報に対して予め定められた特定の変換処理を実行して得られる情報であることを含む、デバイス。

【請求項6】

請求項１に記載のデバイスであって、さらに、
複数個の条件の中から前記特定条件を選択する選択部を備え、
前記送信部は、さらに、前記選択部によって選択される前記特定条件を示す情報を前記外部装置に送信し、
前記判断部は、前記第２情報が、前記選択部によって選択される前記特定条件を満たすか否かを判断する、デバイス。

【請求項7】

請求項１に記載のデバイスであって、
前記受信部は、複数個の前記特定条件に対応する複数個の前記第２情報を受信し、
前記判断部は、複数個の前記第２情報のそれぞれが、対応する前記特定条件を満たすか否かを判断し、
前記格納処理部は、複数個の前記第２情報のそれぞれが、対応する前記特定条件を満たす場合に、前記第１情報を前記記憶装置に格納し、複数個の前記第２情報のうちの少なくとも１つが、対応する前記特定条件を満たさない場合に、前記第１情報を前記記憶装置に格納しない、デバイス。

【請求項8】

インターネットに接続可能なデバイスのためのコンピュータプログラムであって、
情報送信要求を外部装置に送信する送信機能と、
前記情報送信要求に応じて前記外部装置から送信される第１情報と第２情報とを受信する受信機能であって、前記第１情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記受信機能と、
前記第２情報が特定条件を満たすか否かを判断する判断機能と、
前記第２情報が前記特定条件を満たす場合に、前記第１情報を前記デバイスの記憶装置に格納し、前記第２情報が前記特定条件を満たさない場合に、前記第１情報を前記記憶装置に格納しない格納処理機能と、
前記記憶装置に格納される前記第１情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得機能であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得機能と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得機能と、
を前記デバイスに搭載されるコンピュータに実現させるコンピュータプログラム。

【請求項9】

インターネットに接続可能なデバイスが実行する方法であって、
情報送信要求を外部装置に送信する送信工程と、
前記情報送信要求に応じて前記外部装置から送信される第１情報と第２情報とを受信する受信工程であって、前記第１情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記受信工程と、
前記第２情報が特定条件を満たすか否かを判断する判断工程と、
前記第２情報が前記特定条件を満たす場合に、前記第１情報を前記デバイスの記憶装置に格納し、前記第２情報が前記特定条件を満たさない場合に、前記第１情報を前記記憶装置に格納しない格納処理工程と、
前記記憶装置に格納される前記第１情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得工程であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得工程と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得工程と、
を備える方法。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書は、インターネットに接続可能なデバイス、コンピュータプログラム、および、方法に関する。

【背景技術】

【0002】

デバイスをインターネットに接続することによって、様々なサービスを利用可能な仕組みが知られている。非特許文献１の技術では、デバイスの製造工程において、デバイス毎にユニークな情報を含む特定情報（クレデンシャルと呼ばれる）をデバイスに格納する。デバイスの製造事業者は、該特定情報に紐付くチケット（バウチャーと呼ばれる）を発行する。デバイスの利用者が、利用を望むサービスを提供するクラウドサーバにチケットを登録すると、デバイスは、クラウドサーバと自動的に接続され、サービスを利用可能な状態になる。この技術では、利用すべきサービスをデバイスの製造後に容易に選択することができるとともに、デバイスとクラウドサーバとのセキュアな接続を実現することができる。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】"FIDO Device Onboard Specification 1.1"，［online］，令和4年4月19日,FIDO Alliance，［令和4年10月10日検索］，インターネット＜URL:https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html＞

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記技術において、デバイスに格納される特定情報が不正に格納される場合には、デバイスとクラウドサーバとのセキュアな接続が実現できない可能性がある。

【0005】

本明細書は、インターネットに接続可能なデバイスの記憶装置に情報が不正に格納されることを抑制できる技術を開示する。

【課題を解決するための手段】

【0006】

本明細書に開示された技術は、以下の適用例として実現することが可能である。

【0007】

［適用例１］インターネットに接続可能なデバイスであって、記憶装置と、情報送信要求を外部装置に送信する送信部と、前記情報送信要求に応じて前記外部装置から送信される第１情報と第２情報とを受信する受信部であって、前記第１情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記受信部と、前記第２情報が特定条件を満たすか否かを判断する判断部と、前記第２情報が前記特定条件を満たす場合に、前記第１情報を前記記憶装置に格納し、前記第２情報が前記特定条件を満たさない場合に、前記第１情報を前記記憶装置に格納しない格納処理部と、前記記憶装置に格納される前記第１情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得部と、を備える、デバイス。

【0008】

例えば、位置情報が不正に格納されると、不正な仲介サーバにデバイスがアクセスする可能性がある。また、識別情報が不正に格納されると、不正なアクセス情報がデバイスに提供され、不正な対象サーバにデバイスがアクセスする可能性がある。上記実施例によれば、第２情報が特定条件を満たす場合には、位置情報と識別情報とを含む第１情報を記憶装置に格納し、第２情報が特定条件を満たさない場合に、第１情報を記憶装置に格納しない。この結果、デバイスの記憶装置に第１情報が不正に格納されることを抑制することができる。

【0009】

なお、本明細書に開示された技術は、種々の形態で実現可能であり、例えば、デバイスのための方法、デバイスおよび方法の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、等の形態で実現することができる。

【図面の簡単な説明】

【0010】

【図1】製造工程におけるシステム１０００Ａの構成を示すブロック図。

【図2】第１、第２実施例のクレデンシャル格納処理のシーケンス図。

【図3】クレデンシャル情報ＣＩとバウチャーＶＣとの一例を示す図。

【図4】使用時におけるシステム１０００Ｂの構成を示すブロック図。

【図5】データベースおよび該データベースに格納される情報の説明図。

【図6】システム１０００Ｂの事前準備およびサービス処理のフローチャート。

【図7】プリンタ１００とサーバ３００Ａと仲介サーバ４００との処理を示すシーケンス図。

【図8】第３、第４実施例のクレデンシャル格納処理のシーケンス図。

【図9】第５実施例のクレデンシャル格納処理のシーケンス図。

【図10】第６実施例のクレデンシャル格納処理のシーケンス図。

【発明を実施するための形態】

【0011】

Ａ．第１実施例
Ａ－１．製造工程におけるシステムの構成
図１は、プリンタ１００の製造工程におけるシステム１０００Ａの構成を示すブロック図である。システム１０００Ａは、プリンタ１００と、設定装置１０と、を備えている。システム１０００Ａは、後述するクレデンシャル格納処理を実行するためのシステムである。

【0012】

プリンタ１００は、プリンタ１００のコントローラとして、ＣＰＵ１１０と、ＤＲＡＭなどの揮発性記憶装置１２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置１３０と、を備えている。また、プリンタ１００は、画像を表示する液晶ディスプレイなどの表示部１４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部１５０と、セキュリティチップ１６０と、印刷機構１７０と、通信インタフェース（ＩＦ）１８０と、を備えている。

【0013】

通信ＩＦ１８０は、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0014】

ＣＰＵ１１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置１２０は、ＣＰＵ１１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置１３０には、プリンタ１００を制御するためのコンピュータプログラムＰＧｐが格納されている。

【0015】

コンピュータプログラムＰＧｐは、本実施例では、プリンタ１００の製造時に不揮発性記憶装置１３０に予め格納されて提供される。ＣＰＵ１１０は、コンピュータプログラムＰＧｐを実行することによって、プリンタ１００に関連する様々な処理を実行する。例えば、ＣＰＵ１１０は、後述するように、サーバ３００Ａ～３００Ｄのいずれかと協働して、ユーザに対して所定のサービス（例えば、後述するセットアップサービスや消耗材管理サービスや印刷サービス）を提供する処理（以下、サービス処理とも呼ぶ）を実行する。また、ＣＰＵ１１０は、サービス処理に先立って、製造工程において、設定装置１０と協働して、後述するクレデンシャル格納処理を実行する。また、ＣＰＵ１１０は、後述する端末装置２００や対象サーバ（例えば、サーバ３００Ａ）や仲介サーバ４００と協働して、サービス処理の事前準備を実行する。

【0016】

セキュリティチップ１６０は、例えば、ＴＣＧ（Trusted Computing Group）によって定義されたセキュリティの仕様に準拠したＴＰＭ（Trusted Platform Module）である。セキュリティチップ１６０は、図示しないプロセッサやメモリを備えるＩＣチップであり、本実施例では、後述するクレデンシャル情報ＣＩを安全に格納するために用いられる。

【0017】

印刷機構１７０は、ＣＰＵ１１０の制御に従って、印刷を実行する。本実施例の印刷機構１７０は、複数種類のインク（例えば、シアンとマゼンタとイエロとブラックとの４種類のインク）を色材として用いて、画像を記録媒体に印刷するインクジェット方式の印刷機構である。これに代えて、印刷機構１７０は、トナーを色材として用いて、画像を記録媒体に印刷する電子写真方式の印刷機構であっても良い。

【0018】

設定装置１０は、プリンタ１００の製造事業者が所有する計算機であり、例えば、パーソナルコンピュータである。設定装置１０は、コントローラとして、ＣＰＵ１１と、ＤＲＡＭなどの揮発性記憶装置１２と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置１３と、通信ＩＦ１８と、を備えている。通信ＩＦ１８は、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0019】

揮発性記憶装置１２は、ＣＰＵ１１が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置１３には、コンピュータプログラムＰＧｓと、バウチャー関連情報ＶＩと、が格納されている。

【0020】

ＣＰＵ１１は、コンピュータプログラムＰＧｓを実行することによって、プリンタ１００と協働して、後述するクレデンシャル格納処理を実行する。バウチャー関連情報ＶＩは、クレデンシャル格納処理において用いられる。

【0021】

Ａ－２．クレデンシャル格納処理
クレデンシャル格納処理は、製造工程において、プリンタ１００と設定装置１０とによって協働して実行される。クレデンシャル格納処理は、プリンタ１００にクレデンシャル情報ＣＩを格納するとともに、設定装置１０が後述するオンボーディング処理等で用いられるバウチャーＶＣを生成する処理である。

【0022】

図２は、第１、第２実施例のクレデンシャル格納処理のシーケンス図である。図３は、クレデンシャル情報ＣＩとバウチャーＶＣとの一例を示す図である。図２のクレデンシャル格納処理は、例えば、製造工程の最後に、プリンタ１００と設定装置１０とがローカルエリアネットワークＬＮを介して通信可能に接続された状態で実行される。クレデンシャル格納処理は、例えば、作業者がプリンタ１００に対して、所定の開始指示を入力すると開始される。

【0023】

Ｓ２では、プリンタ１００（ＣＰＵ１１０）は、情報送信要求を設定装置１０に対して送信する。プリンタ１００と設定装置１０との間の通信は、例えば、ＨＴＴＰＳ（Hypertext Transfer Protocol Secure）に従って実行される。

【0024】

設定装置１０（ＣＰＵ１１）は、情報送信要求を受信すると、Ｓ４にて、クレデンシャル情報を生成する。本実施例では、この時点で生成されるクレデンシャル情報は、図２に示すように、プロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、を含んでいる。

【0025】

プロトコル情報ＰＩは、「FIDO Device Onboarding (FDO) Specification」（以下、ＦＤＯ仕様書とも呼ぶ）に規定されたプロトコルのバージョンを示す情報である。後述する仲介サーバ４００とプリンタ１００との通信や、対象サーバとプリンタ１００との通信は、プロトコル情報ＰＩによって示されたバージョンのプロトコルを用いて実行される。

【0026】

ＧＵＩＤは、プリンタ１００を識別する識別子であり、設定装置１０が生成して割り当てる。仲介サーバ情報ＲＳＩは、後述する仲介サーバ４００と通信の接続を行うための情報である。仲介サーバ情報ＲＳＩは、例えば、仲介サーバ４００の所在を示す位置情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、を含む。公開鍵Ｐｋｍは、プリンタ１００の製造事業者が保有する秘密鍵と対応する公開鍵である。仲介サーバ情報ＲＳＩと公開鍵Ｐｋｍとは、例えば、バウチャー関連情報ＶＩ（図１）に含まれている。

【0027】

デバイス情報ＤＩは、プリンタ１００に関する情報であり、プリンタ１００の製造事業者が任意に記述可能な情報である。本実施例では、デバイス情報ＤＩは、予め定められた特定の文字列を接頭語(prefix)として含む文字列である。例えば、デバイス情報ＤＩには、接頭語「XXXX0123」と、プリンタ１００の型番「PR-ABCD」)と、を組み合わせた文字列「XXXX0123_PR-ABCD」が用いられる。デバイス情報ＤＩは、例えば、バウチャー関連情報ＶＩ（図１）に含まれている。

【0028】

Ｓ６では、設定装置１０は、Ｓ４にて生成されたクレデンシャル情報を、情報送信要求に対する応答としてプリンタ１００に送信する。

【0029】

プリンタ１００は、クレデンシャル情報を受信すると、Ｓ１０にて、クレデンシャル情報に含まれるデバイス情報ＤＩが特定条件を満たすか否かを判断する。本実施例では、プリンタ１００は、デバイス情報ＤＩが特定の文字列「XXXX0123」を接頭語として含む場合には、デバイス情報ＤＩは特定条件を満たすと判断し、デバイス情報ＤＩが特定の文字列「XXXX0123」を接頭語として含まない場合には、デバイス情報ＤＩは特定条件を満たさないと判断する。

【0030】

デバイス情報ＤＩが特定条件を満たす場合には（Ｓ１０：ＹＥＳ）、プリンタ１００は、Ｓ１２にて、シークレットを生成する。シークレットは、例えば、ランダムに生成される所定サイズの文字列である。

【0031】

Ｓ１４では、プリンタ１００は、Ｓ１２にて生成したシークレットと、Ｓ６にて受信したクレデンシャル情報と、を用いて、最終的なクレデンシャル情報ＣＩを生成し、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納する。図３（Ａ）には、最終的なクレデンシャル情報ＣＩの一例が示されている。クレデンシャル情報ＣＩは、Ｓ６にて受信されたクレデンシャル情報のうちのプロトコル情報ＰＩと仲介サーバ情報ＲＳＩとＧＵＩＤとデバイス情報ＤＩとを含む。最終的なクレデンシャル情報ＣＩは、さらに、公開鍵ハッシュＰＫＨと、Ｓ１２にて生成されたシークレットと、を含む。公開鍵ハッシュＰＫＨは、Ｓ６にて受信したクレデンシャル情報のうちの公開鍵ＰＫｍを所定のハッシュ関数を用いて変換することによって得られるハッシュ値である。

【0032】

Ｓ１６では、プリンタ１００は、ＨＭＡＣ（Keyed-Hashing for Message Authentication Code）を生成する。ＨＭＡＣは、秘密鍵とメッセージとハッシュ関数を用いて算出されるメッセージ認証コードである。本実施例では、シークレットを秘密鍵とし、Ｓ６にて受信したクレデンシャル情報をメッセージとして、ＨＭＡＣが算出される。Ｓ１８では、プリンタ１００は、生成したＨＭＡＣを設定装置１０に送信する。

【0033】

設定装置１０は、ＨＭＡＣを受信すると、Ｓ１８にて、該ＨＭＡＣと、Ｓ４にて生成したクレデンシャル情報と、を用いて、バウチャーＶＣを生成する。図３（Ｂ）には、バウチャーＶＣの一例が示されている。図３（Ｂ）のバウチャーＶＣは、バウチャーヘッダＶＨを含んでいる。バウチャーヘッダＶＨは、上述したプロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、ＨＭＡＣと、を含んでいる。バウチャーＶＣは、後述するように、１以上のエントリＥＴを含み得るが、この時点では、バウチャーＶＣは、エントリＥＴを含んでいない。

【0034】

Ｓ２２では、設定装置１０は、完了通知をプリンタ１００に送信して、処理を終了する。プリンタ１００は、完了通知を受信すると、処理を終了する。以上の説明から解るように、クレデンシャル格納処理が終了すると、プリンタ１００のセキュリティチップ１６０には、クレデンシャル情報ＣＩが格納された状態になる。

【0035】

Ｓ１０にて、デバイス情報ＤＩが特定条件を満たさない場合には（Ｓ１０：ＮＯ）、プリンタ１００は、Ｓ１２～Ｓ１８を実行することなく、クレデンシャル格納処理を中断する。すなわち、この場合には、プリンタ１００は、シークレットを生成せず、クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。さらに、プリンタ１００は、ＨＭＡＣを設定装置１０に送信せず、中断通知等を設定装置１０に送信することもない。製造工程にて、正当な設定装置１０と、プリンタ１００と、の間で、クレデンシャル格納処理が行われる場合に、クレデンシャル格納処理が中断されることは想定されていない。不正な設定装置と、プリンタ１００と、の間で、クレデンシャル格納処理が行われる場合に、クレデンシャル格納処理が中断されることが想定される。

【0036】

Ａ－３．使用時におけるシステムの構成
図４は、プリンタ１００の使用時におけるシステム１０００Ｂの構成を示すブロック図である。システム１０００Ｂは、プリンタ１００と、プリンタ１００の販売会社が所有する端末装置２００と、プリンタを用いるサービスを提供するサーバ３００Ａ～３００Ｄと、仲介サーバ４００と、を備える。プリンタ１００は、上述したクレデンシャル格納処理の後の状態であるので、プリンタ１００のセキュリティチップ１６０には、クレデンシャル情報ＣＩが格納されている。

【0037】

端末装置２００は、計算機であり、例えば、パーソナルコンピュータである。変形例では、端末装置２００は、スマートフォンやタブレットコンピュータであっても良い。端末装置２００は、例えば、プリンタ１００を販売する販売会社が所有する計算機である。

【0038】

端末装置２００は、コントローラとして、ＣＰＵ２１０と、ＤＲＡＭなどの揮発性記憶装置２２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置２３０と、を備えている。また、端末装置２００は、画像を表示する液晶ディスプレイなどの表示部２４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部２５０と、通信ＩＦ２８０と、を備えている。通信ＩＦは、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0039】

揮発性記憶装置２２０は、ＣＰＵ２１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置２３０には、ブラウザプログラムＢＰが格納されている。

【0040】

ＣＰＵ２１０は、ブラウザプログラムＢＰを実行することによって、ＷＥＢブラウザとして機能する。ＷＥＢブラウザとして機能するＣＰＵ２１０は、後述するバウチャーＶＣをサーバ３００Ａ～３００Ｄに登録する処理を実行する。

【0041】

サーバ３００Ａ～３００Ｄは、例えば、サービスを提供する事業者が運用する計算機、例えば、クラウドサーバである。例えば、サーバ３００Ａ～３００Ｄを運用する事業者は、プリンタ１００を製造する事業者や、該事業者とは異なるサードパーティである。サーバ３００Ａ～３００Ｄは、それぞれ、互いに異なる２以上の事業者によって運用される２以上のサーバを含み得る。サーバ３００Ａ～３００Ｄによって提供されるサービスを、それぞれ、サービスＡ～サービスＤとする。サービスＡ～サービスＤは、例えば、セットアップサービスや消耗材管理サービスや印刷サービスを含む。セットアップサービスは、例えば、ドライバやアプリケーションなどのプログラムをプリンタ１００にインストールすることや所定の設定を行うサービスである。消耗材管理サービスは、例えば、インクなどのプリンタ１００の消耗材の残量を管理し、消耗材の消耗に応じて該消耗材をユーザに配送するサービスである。印刷サービスは、例えば、ユーザの端末から送信される画像ファイルを用いて印刷ジョブを生成してプリンタ１００に送信することによって、プリンタ１００に印刷を行わせるサービスである。

【0042】

サーバ３００Ａは、コントローラとしてのＣＰＵ３１０と、ＤＲＡＭなどの揮発性記憶装置３２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置３３０と、通信インタフェース（ＩＦ）３８０と、を備えている。通信ＩＦ３８０は、インターネットＩＴに接続可能なインタフェースであり、例えば、イーサネット（登録商標）に準拠した有線のインタフェースである。

【0043】

ＣＰＵ３１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置３２０は、ＣＰＵ３１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置３３０には、コンピュータプログラムＰＧａと、後述するバウチャーデータベースＶＤＢと、が格納されている。

【0044】

コンピュータプログラムＰＧａは、例えば、サーバ３００Ａを運用する事業者によってアップロードされる形態で提供される。サーバ３００ＡのＣＰＵ３１０は、コンピュータプログラムＰＧａを実行することによって、プリンタ１００と協働して、提供すべきサービスを実現するためのサービス処理を実行する。また、ＣＰＵ３１０は、サービス処理に先立って、端末装置２００やサーバ３００Ａや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0045】

サーバ３００Ｂ～３００Ｄは、上述したサーバ３００Ａと同様の構成３１０～３８０（図示省略）を備えている。サーバ３００Ｂ～３００Ｄの構成の説明は省略する。

【0046】

仲介サーバ４００は、例えば、所定の事業者（例えば、サービスを提供する事業者やプリンタ１００を製造する事業者）が運用する計算機、例えば、クラウドサーバである。仲介サーバ４００は、サーバ３００Ａと同様に、コントローラとしてのＣＰＵ４１０と、揮発性記憶装置４２０と、通信ＩＦ４８０と、を備えている。揮発性記憶装置４２０は、ＣＰＵ４１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置４３０には、コンピュータプログラムＰＧｂと、後述するアクセス情報データベースＡＤＢと、が格納されている。

【0047】

コンピュータプログラムＰＧｂは、例えば、仲介サーバ４００を運用する事業者によってアップロードされる形態で提供される。仲介サーバ４００のＣＰＵ４１０は、コンピュータプログラムＰＧｂを実行することによって、プリンタ１００や端末装置２００やサーバ３００Ａ～３００Ｄや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0048】

プリンタ１００と、端末装置２００と、サーバ３００Ａ～３００Ｄと、仲介サーバ４００とは、それぞれ、インターネットＩＴに接続されている。このために、これらの装置１００～４００は、互いに、インターネットＩＴを介して、通信可能である。

【0049】

図５は、データベースおよび該データベースに格納される情報の説明図である。図５（Ａ）には、サーバ３００Ａ～３００Ｄの不揮発性記憶装置３３０に格納されるバウチャーデータベースＶＤＢの一例が示されている。バウチャーデータベースＶＤＢには、１以上のバウチャーＶＣ（例えば、図５（Ａ）のＶＣ１、ＶＣ２）が格納されている。

【0050】

図５（Ｂ）には、バウチャーＶＣの一例が図示されている。バウチャーＶＣは、デバイス（本実施例では、プリンタ１００）の所有権を証明するデータである。バウチャーＶＣは、上述したバウチャーヘッダＶＨと、１以上のエントリＥＴ（例えば、図５（Ｂ）のＥＴ１、ＥＴ２）と、を含む。

【0051】

エントリＥＴは、公開鍵Ｐｋｓと、署名データＳＤと、を含む。エントリＥＴは、バウチャーＶＣの受け渡し、すなわち、バウチャーＶＣの所有者の変更が行われる度に、１つずつ追加される情報である。公開鍵Ｐｋｓは、受け渡し先が保有する秘密鍵に対応する公開鍵であり、署名データＳＤは、受け渡し元が保有する秘密鍵を用いて公開鍵Ｐｋｓを含む情報を暗号化して得られるデータである。図５（Ｂ）のバウチャーＶＣは、２個のエントリＥＴ１、ＥＴ２を含んでいる。したがって、図５（Ｂ）のバウチャーＶＣは、２回の受け渡しが行われたことが解る。

【0052】

図５（Ｃ）には、アクセス情報データベースＡＤＢの一例が図示されている。アクセス情報データベースＡＤＢは、１以上のアクセス情報ＡＩが、ＧＵＩＤと対応付けて記録されている。図５（Ｃ）の例では、アクセス情報ＡＩ１は、ＧＵＩＤ「ＩＤ１」と対応付けて記録され、アクセス情報ＡＩ２は、ＧＵＩＤ「ＩＤ２」と対応付けて記録される。各アクセス情報ＡＩは、対応付けられたＧＵＩＤによって識別されるデバイス（例えば、プリンタ１００）に送信されるべき情報である。

【0053】

図５（Ｄ）は、アクセス情報ＡＩの一例が図示されている。アクセス情報ＡＩは、デバイス（例えば、プリンタ１００）と協働してサービス処理を実行すべき対象サーバ（例えば、サーバ３００Ａ）にアクセスするための情報である。アクセス情報ＡＩは、例えば、対象サーバの所在を示す情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、接続に用いるプロトコルの情報と、を含む。

【0054】

Ａ－４．システム１０００Ｂの事前準備およびサービス処理の概略
図６は、システム１０００Ｂの事前準備およびサービス処理のフローチャートである。図６のＳ２００～Ｓ６００は、サービス処理（図６のＳ７００）に先だって行われる事前準備である。

【0055】

Ｓ２００では、プリンタ１００を製造事業者から販売会社にバウチャーＶＣとプリンタ１００とが受け渡される。具体的には、販売会社は、秘密鍵と公開鍵ＰＫｓ１とのキーペアを準備し、プリンタ１００を発注する際に、販売会社の端末装置２００から製造事業者の計算機（例えば、図示しないＷＥＢサーバを含む計算機システム）に公開鍵ＰＫｓ１を送信する。製造事業者の計算機は、該公開鍵ＰＫｓ１と、該公開鍵ＰＫｓ１を製造事業者の秘密鍵を用いて暗号化して得られる署名データＳＤ１と、を含むエントリＥＴ１（図５（Ｂ））を生成する。製造事業者の秘密鍵は、バウチャーヘッダＶＨ（図３（Ｂ）、図５（Ｂ））に含まれる公開鍵ＰＫｍ（図３（Ｂ）、図５（Ｂ））に対応する秘密鍵である。製造事業者の計算機は、設定装置１０によって生成されたバウチャーＶＣ（図３（Ｂ））に、１個のエントリＥＴ１を付加して、エントリＥＴ１が付加されたバウチャーＶＣを、販売会社の端末装置２００に送信する。また、製造事業者は、プリンタ１００を販売会社に納品する。

【0056】

Ｓ３００では、販売会社がバウチャーＶＣを対象サーバに登録する。例えば、ユーザは、販売会社からプリンタ１００を購入する際に、プリンタ１００を用いて利用可能なサービスＡ～Ｄの中から利用するサービスについて利用契約を結ぶ。ここで、利用するサービスを提供するサーバを対象サーバとも呼ぶ。以下では、サービスＡを提供するサーバ３００Ａ（図４）が対象サーバであるとして説明を行う。具体的には、販売会社の担当者は、端末装置２００を操作して、サーバ３００Ａが提供するＷＥＢページにアクセスして、所定の操作を行う。これによって、端末装置２００とサーバ３００Ａとの間でバウチャーＶＣをサーバ３００Ａに登録する処理が実行される。

【0057】

具体的には、サーバ３００Ａは、秘密鍵と公開鍵ＰＫｓ２とのキーペアを保有しており、端末装置２００に公開鍵ＰＫｓ２を送信する。端末装置２００は、該公開鍵ＰＫｓ２と、該公開鍵ＰＫｓ２を、販売会社の秘密鍵（公開鍵ＰＫｓ１に対応する秘密鍵）を用いて暗号化して得られる署名データＳＤ２と、を含むエントリＥＴ２（図５（Ｂ））を生成する。端末装置２００は、Ｓ２００にて受信したバウチャーＶＣにエントリＥＴ２を追加したバウチャーＶＣ（図５（Ｂ））をサーバ３００Ａに送信する。サーバ３００Ａは、受信したバウチャーＶＣをバウチャーデータベースＶＤＢ（図５（Ａ））に格納する。これによって、バウチャーＶＣがサーバ３００Ａに登録される。

【0058】

なお、変形例では、販売会社からユーザにバウチャーＶＣが受け渡され、ユーザが、自身の端末装置から対象サーバ（例えば、サーバ３００Ａ）にバウチャーＶＣを登録しても良い。

【0059】

Ｓ４００では、対象サーバが仲介サーバ４００にアクセス情報ＡＩを登録する。アクセス情報ＡＩの登録は、ＦＤＯ仕様書に規定されたＴＯ０（Transfer Ownership Protocol 0）に従って実行される。例えば、対象サーバであるサーバ３００Ａから仲介サーバ４００に、プリンタ１００がサーバ３００Ａにアクセスするためのアクセス情報ＡＩ（図５（Ｄ））と、プリンタ１００のＧＵＩＤと、が送信される。仲介サーバ４００は、受信したアクセス情報ＡＩをプリンタ１００のＧＵＩＤと対応付けてアクセス情報データベースＡＤＢ（図４、図５（Ｃ））に格納する。これによって、アクセス情報ＡＩがプリンタ１００のＧＵＩＤと対応付けて仲介サーバ４００に登録される。

【0060】

Ｓ４５０では、販売会社がユーザにプリンタ１００を納品する。ユーザは、納品されたプリンタ１００をインターネットＩＴに接続可能に設置して、プリンタ１００の電源を投入する。

【0061】

プリンタ１００の電源が投入されると、プリンタ１００は、Ｓ５００にて、仲介サーバ４００からアクセス情報ＡＩ（図５（Ｄ））を取得する。Ｓ６００では、アクセス情報ＡＩを用いて、プリンタ１００と対象サーバとの間でオンボーディング処理が実行される。オンボーディング処理によって、プリンタ１００とサーバ３００Ａとは、サービス処理を実行することができる状態になる。Ｓ５００とＳ６００の処理については、シーケンス図を参照して後述する。

【0062】

Ｓ７００では、プリンタ１００と対象サーバ（例えば、サーバ３００Ａ）とは、協働して、サービス処理を実行する。サービス処理は、例えば、サーバ３００Ａが提供するサービスＡが消耗材管理サービスである場合には、プリンタ１００が定期的にインクなどの消耗材の残量情報をサーバ３００Ａに送信する処理を含む。

【0063】

Ａ－５．プリンタ１００とサーバ３００Ａ、４００との処理の詳細
次に、上述した事前準備のうち、プリンタ１００とサーバ３００Ａとの間の処理と、プリンタ１００と仲介サーバ４００との処理について、さらに、説明する。

【0064】

図７は、プリンタ１００とサーバ３００Ａと仲介サーバ４００との処理を示すシーケンス図である。このシーケンス図のうち、Ｓ２２、Ｓ２４は、仲介サーバ４００からアクセス情報を取得するための処理であり、図６のＳ５００に相当する。Ｓ２６、Ｓ２８は、サーバ３００Ａが提供するサービスＡを利用可能にするための処理であり、図６のＳ６００に相当する。Ｓ３０は、サービス処理であり、図６のＳ７００に相当する。

【0065】

プリンタ１００の電源が投入されると、プリンタ１００は、Ｓ２２では、プリンタ１００は、セキュリティチップ１６０に格納されたクレデンシャル情報ＣＩ（図３（Ａ））のうち、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、を読み出す。

【0066】

Ｓ２４では、プリンタ１００は、仲介サーバ４００との間でアクセス情報取得処理を実行する。アクセス情報取得処理は、ＦＤＯ仕様書に規定されたＴＯ１（Transfer Ownership Protocol 1）に従って実行される。具体的には、プリンタ１００は、仲介サーバ情報ＲＳＩを用いて、仲介サーバ情報ＲＳＩに含まれる位置情報（ＵＲＬやＩＰアドレス）によって示される仲介サーバ４００にアクセスする。プリンタ１００は、クレデンシャル情報ＣＩに含まれるＧＵＩＤ、すなわち、自身を識別するＧＵＩＤを仲介サーバ４００に送信する。仲介サーバ４００は、アクセス情報データベースＡＤＢにおいて、受信したＧＵＩＤに対応付けられたアクセス情報ＡＩをプリンタ１００に送信する。これによって、プリンタ１００は、サーバ３００Ａにアクセスするためのアクセス情報ＡＩを取得する。プリンタ１００は、アクセス情報ＡＩを不揮発性記憶装置１３０に格納する。

【0067】

Ｓ２６では、プリンタ１００は、オンボーディング処理に用いるべき情報を読み出す。例えば、不揮発性記憶装置１３０からアクセス情報ＡＩが読み出され、セキュリティチップ１６０からクレデンシャル情報ＣＩのうち、オンボーディング処理に用いるべき情報が読み出される。

【0068】

Ｓ２８では、プリンタ１００は、サーバ３００Ａとの間でオンボーディング処理を実行する。オンボーディング処理は、ＦＤＯ仕様書に規定されたＴＯ２（Transfer Ownership Protocol 2）に従って実行される。具体的には、プリンタ１００は、アクセス情報ＡＩに含まれる位置情報（ＵＲＬやＩＰアドレス）によって示される対象サーバであるサーバ３００Ａにアクセスする。プリンタ１００は、サーバ３００Ａとの間で、認証処理と、サービス準備処理と、を含む。

【0069】

認証処理は、プリンタ１００と対象サーバとの間で、互いに相手の正当性を確認する処理である。例えば、プリンタ１００は、所定のフォーマット（例えば、ＥＡＴ（Entity Attestation Token）フォーマット）に従うトークンをサーバ３００Ａに送信し、サーバ３００Ａは、該トークンの正当性を指定された公開鍵を用いて検証することで、プリンタ１００の正当性を確認する。

【0070】

サーバ３００Ａは、さらに、所定のメッセージと、秘密鍵を用いて該メッセージを暗号化することによって得られる署名データと、をプリンタ１００に送信する。サーバ３００Ａは、プリンタ１００から送信されるＧＵＩＤに対応付けられたバウチャーＶＣをバウチャーデータベースＶＤＢから取得してプリンタ１００に送信する。プリンタ１００は、受信したバウチャーＶＣのバウチャーヘッダＶＨに含まれる公開鍵ＰＫｍを、クレデンシャル情報ＣＩに含まれる公開鍵ハッシュＰＫＨを用いて検証する。具体的には、プリンタ１００は、公開鍵ＰＫｍを所定のハッシュ関数を用いて変換することによってハッシュ値を生成する。プリンタ１００は、該ハッシュ値がクレデンシャル情報ＣＩに含まれる公開鍵ハッシュＰＫＨと一致するか否かを確認する。

【0071】

プリンタ１００は、バウチャーＶＣに含まれるエントリＥＴ１、ＥＴ２を順次に検証する。例えば、プリンタ１００は、検証済みの公開鍵ＰＫｍを用いてエントリＥＴ１を検証する。プリンタ１００は、検証済みのエントリＥＴ１に含まれる公開鍵ＰＫｓ１を用いてエントリＥＴ２を検証する。最後にプリンタ１００は、検証済みのエントリＥＴ２に含まれる公開鍵ＰＫｓ２を用いて、サーバ３００Ａから送信された署名データを検証することで、サーバ３００Ａの正当性を確認する。

【0072】

サービス準備処理は、認証処理によって互いの正当性が確認された後に、プリンタ１００とサーバ３００Ａとの間でサービス処理を実行するために必要なサービス設定情報を交換する処理である。サービス準備処理が完了すると、プリンタ１００とサーバ３００Ａとは、サービス処理を実行することができる状態になる。プリンタ１００がサーバ３００Ａから取得するサービス設定情報は、例えば、プリンタ１００とサーバ３００Ａとの間でサービス処理に関する通信を行う際に用いられるトークンや、フォーマット情報や、プロトコル情報を含む。

【0073】

ここで、プリンタ１００がサーバ３００Ａの正当性を確認できる場合、すなわち、認証処理の結果が肯定的である場合には、プリンタ１００は、サービス準備処理を実行して、サービス設定情報をサーバ３００Ａから取得する。一方、プリンタ１００がサーバ３００Ａの正当性を確認できない場合、すなわち、認証処理の結果が否定的である場合には、プリンタ１００は、サービス準備処理を実行せず、サービス設定情報を取得しない。

【0074】

オンボーディング処理後のＳ３０では、プリンタ１００と対象サーバ（サーバ３００Ａ）とは、協働して、サービス処理を実行する。

【0075】

以上説明した本実施例では、ＦＤＯ仕様書に規定された手法を用いるので、例えば、以下の利点がある。上記手法では、ユーザや販売会社は、ユーザが利用することを望むサービスを提供する対象サーバにバウチャーＶＣを登録する（図６のＳ３００）ことによってサービスの提供を受けることができる。このために、ユーザや販売会社は、ユーザが提供を受けるべきサービスを容易に選択できる。

【0076】

また、プリンタ１００は、対象サーバのアクセス情報ＡＩを仲介サーバ４００から取得できる（図６のＳ５００）。このために、プリンタ１００の製造工程の段階では、仲介サーバ４００に接続するための仲介サーバ情報ＲＳＩがプリンタ１００（不揮発性記憶装置１３０）に格納されていれば良く、対象サーバのアクセス情報ＡＩがプリンタ１００に格納されている必要がない。また、プリンタ１００は、対象サーバと協働してサービス処理を実行するために必要なサービス設定情報を対象サーバから取得できる（図６のＳ６００）。このために、プリンタ１００の製造工程の段階では、サービス設定情報がプリンタ１００に記憶されている必要がない。このために、プリンタ１００の製造工程の段階で、利用すべきサービスを想定しておく必要がなく、例えば、プリンタ１００の製造後に提供が開始されたサービスや、プリンタ１００の製造時には製造事業者に認識されていなかった第三者が提供するサービスであったとしても、ユーザはプリンタ１００を用いて該サービスを利用することができる。この結果、サービスの柔軟な提供と利用とを実現できる。例えば、サービスの提供者は、プリンタ１００の改造等を行うことなく、新たなサービスを事後的に追加することもできる。例えば、ユーザや販売会社は、利用するサービスの選択や変更を容易に行うことができる。また、プリンタ１００の製造事業者、販売業者、ユーザのいずれも、例えば、出荷時や使用時にユーザが希望するサービスに接続できるようにプリンタ１００をカスタマイズする必要がないため、プリンタ１００の製造事業者、販売業者、ユーザの負担を軽減できる。

【0077】

さらに、上記手法では、バウチャーＶＣの検証やトークンの検証を行うことによって、プリンタ１００と対象サーバとは、互いの正当性を確認することができる。そして、プリンタ１００や対象サーバは、相手の正当性を確認できない場合には、オンボーディング処理の実行を拒否できる。このために、プリンタ１００が意図しないサーバに接続される、プリンタ１００とは異なる不正なデバイスが対象サーバに接続されるなどのセキュリティ上の問題が生じることを抑制できる。

【0078】

さらに、上記実施例によれば、プリンタ１００は、クレデンシャル情報ＣＩを格納するための記憶装置としてのセキュリティチップ１６０を備えている。プリンタ１００は、情報送信要求を設定装置１０に送信する（図２のＳ２）。プリンタ１００は、情報送信要求に応じて設定装置１０から送信されるクレデンシャル情報を受信する（図２のＳ６）。受信されたクレデンシャル情報は、仲介サーバ４００の位置情報を含む仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩとを含む。プリンタ１００は、デバイス情報ＤＩが特定条件を満たすか否かを判断する（図２のＳ１０）。本実施例の特定条件は、デバイス情報ＤＩが特定の文字列「XXXX0123」を接頭語として含むことである。プリンタ１００は、デバイス情報ＤＩが特定条件を満たす場合に（Ｓ１０にてＹＥＳ）、仲介サーバ情報ＲＳＩとＧＵＩＤとを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納する（図２のＳ１４）。プリンタ１００は、デバイス情報ＤＩが特定条件を満たさない場合に（Ｓ１０にてＮＯ）、処理を中断するので、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。プリンタ１００は、セキュリティチップ１６０に格納される仲介サーバ情報ＲＳＩとＧＵＩＤとを用いて、仲介サーバ４００にアクセスして、ＧＵＩＤと対応付けられたアクセス情報ＡＩを仲介サーバ４００から取得する（図７のＳ２２、Ｓ２４）。プリンタ１００は、アクセス情報ＡＩを用いて、対象サーバ（例えば、サーバ３００Ａ）にアクセスして、対象サーバが提供するサービスを利用するためのサービス設定情報を対象サーバから取得する（図７のＳ２８）。

【0079】

例えば、仲介サーバ情報ＲＳＩが不正にプリンタ１００に格納されると、不正な仲介サーバにプリンタ１００がアクセスする可能性がある。また、ＧＵＩＤが不正にプリンタ１００に格納されると、不正なアクセス情報がプリンタ１００に提供され、不正な対象サーバにプリンタ１００がアクセスする可能性がある。本実施例によれば、デバイス情報ＤＩが特定条件を満たす場合には、仲介サーバ情報ＲＳＩとＧＵＩＤとを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納し、デバイス情報ＤＩが特定条件を満たさない場合に、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。この結果、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0080】

例えば、仮に、図２のＳ１０の処理を行うことなく、図２のＳ６にて情報送信要求に対する応答としてクレデンシャル情報を受信した場合に、常に、図２のＳ１２～Ｓ２２の処理が行われるとする。この場合には、例えば、プリンタ１００が情報送信要求を送信する送信先が不正な設定装置であったとしても、該不正な設定装置から受信したクレデンシャル情報がプリンタ１００のセキュリティチップ１６０に格納される。本実施例によれば、不正な設定装置が特定条件を満たすデバイス情報ＤＩを含むクレデンシャル情報を送信しない限り、不正な設定装置から送信されるクレデンシャル情報がプリンタ１００のセキュリティチップ１６０に格納されることはない。したがって、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0081】

さらに、上記実施例によれば、図２のＳ６にてプリンタ１００が受信するクレデンシャル情報は、オンボーディング処理にて認証情報として用いられる公開鍵ＰＫｍを含んでいる。すなわち、プリンタ１００は、図２のＳ６にて公開鍵ＰＫｍを設定装置１０から受信する。プリンタ１００は、デバイス情報ＤＩが特定条件を満たす場合に（Ｓ１０にてＹＥＳ）、公開鍵ＰＫｍに基づく情報である公開鍵ハッシュＰＫＨを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納する。プリンタ１００は、デバイス情報ＤＩが特定条件を満たさない場合に（Ｓ１０にてＮＯ）、公開鍵ハッシュＰＫＨを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。この結果、プリンタ１００のセキュリティチップ１６０に不正な認証情報（例えば、公開鍵）に基づく情報（例えば、公開鍵ハッシュ）が格納されることを抑制することができる。この結果、例えば、不正な対象サーバとの間の認証処理が、不正な認証情報に基づいて実行されることで、不正な対象サーバとの間の認証処理が肯定的な結果になる不具合を抑制できる。したがって、プリンタ１００が不正な対象サーバにオンボードされることを抑制できる。

【0082】

さらに、上記実施例によれば、デバイス情報ＤＩが満たすべき特定条件は、デバイス情報ＤＩが予め定められた特定の文字列「XXXX0123」を含むことである。この結果、特定の文字列を認識している外部装置（例えば、設定装置１０）に限って、プリンタ１００にクレデンシャル情報ＣＩを格納させることができる。したがって、例えば、特定の文字列を秘密に管理することで、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0083】

以上の説明から解るように、第１実施例のＧＵＩＤと仲介サーバ情報ＲＳＩとは、第１情報の例であり、デバイス情報ＤＩは、第２情報の例である。第１実施例のプリンタ１００は、デバイスの例であり、設定装置１０は、外部装置の例である。

【0084】

Ｂ．第２実施例
第２実施例では、クレデンシャル格納処理を継続するか中断するかを判断するための特定条件が、第１実施例とは異なる。第２実施例の特定条件は、デバイス情報ＤＩのデータサイズが、予め定められた特定のデータサイズであることである。予め定められた特定のデータサイズは、例えば、１２８ビットである。

【0085】

このために、第２実施例では、図２のＳ４にて、設定装置１０がクレデンシャル情報を生成する際に、設定装置１０は、クレデンシャル情報に含まれるデバイス情報ＤＩのデータサイズを特定のデータサイズ（１２８ビット）とする。

【0086】

そして、図２のＳ１０では、プリンタ１００は、設定装置１０から受信したクレデンシャル情報に含まれるデバイス情報ＤＩのデータサイズが特定のデータサイズ（１２８ビット）であるか否かを判断する。プリンタ１００は、デバイス情報ＤＩのデータサイズが特定のデータサイズ（１２８ビット）である場合には（Ｓ１０：ＹＥＳ）、Ｓ１２に処理を進め、デバイス情報ＤＩのデータサイズが特定のデータサイズ（１２８ビット）ではない場合には（Ｓ１０：ＮＯ）、クレデンシャル格納処理を中断する。第２実施例の他の処理や構成は第１実施例と同じであるので、その説明を省略する。

【0087】

以上説明した第２実施例によれば、特定のデータサイズを認識している外部装置（例えば、設定装置１０）に限って、プリンタ１００にクレデンシャル情報ＣＩを格納させることができる。したがって、例えば、特定のデータサイズを秘密に管理することで、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0088】

Ｃ．第３実施例
第３実施例では、クレデンシャル格納処理を継続するか中断するかを判断するための特定条件が、第１実施例とは異なる。図８は、第３、第４実施例のクレデンシャル格納処理のシーケンス図である。

【0089】

図８のＳ２Ｂでは、プリンタ１００は、情報送信要求を設定装置１０に対して送信する。このときに、プリンタ１００は、図２のＳ２とは異なり、情報送信要求に、プリンタ１００のシリアル番号を含める。変形例では、シリアル番号に代えて、他の情報、例えば、ランダムに生成された数字や文字列が情報送信要求に含めて送信されても良い。

【0090】

設定装置１０は、シリアル番号を含む情報送信要求を受信すると、Ｓ４Ｂにて、クレデンシャル情報を生成する。第３実施例では、第１実施例（図２）とは異なり、デバイス情報ＤＩは、クレデンシャル格納処理を継続するか中断するかを判断するために用いられない。このために、Ｓ４Ｂにて生成されるデバイス情報ＤＩは、特定の文字列「XXXX0123」を接頭語として含む必要はない。４Ｂにて生成されるクレデンシャル情報に含まれる他の情報は、第１実施例と同じである。

【0091】

Ｓ５Ｂでは、設定装置１０は、情報送信要求に含まれるシリアル番号に対して、特定の変換処理を実行して、変換済情報を生成する。第３実施例の特定の変換処理は、暗号化処理である。例えば、設定装置１０は、予め定められた共通鍵や初期化ベクトル（initialization vector）を用いて、予め定められた暗号化アルゴリズムに従って、シリアル番号を暗号化する。これによって、変換済情報が生成される。

【0092】

Ｓ６Ｂでは、設定装置１０は、Ｓ４Ｂにて生成したクレデンシャル情報と、Ｓ５Ｂにて生成した変換済情報と、を、情報送信要求に対する応答としてプリンタ１００に送信する。

【0093】

プリンタ１００は、クレデンシャル情報と変換済情報とを受信すると、Ｓ１０Ｂにて、変換済情報が特定条件を満たすか否かを判断する。本実施例の特定条件は、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致することである。本実施例では、プリンタ１００の不揮発性記憶装置１３０またはセキュリティチップ１６０には、上述した予め定められた共通鍵や初期化ベクトルが格納されている。このために、プリンタ１００は、設定装置１０と同様の暗号化処理を実行することができる。プリンタ１００は、自身のシリアル番号に対して、予め定められた共通鍵や初期化ベクトルを用いて、予め定められた暗号化アルゴリズムに従って、シリアル番号を暗号化する。これによって、変換済情報が生成される。プリンタ１００は、設定装置１０から受信した変換済情報と、自身で生成した変換済情報と、を比較して、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致するか否かを判断する。

【0094】

プリンタ１００は、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致する場合には（Ｓ１０Ｂ：ＹＥＳ）、Ｓ１２に処理を進める。図８のＳ１２～Ｓ２２の処理は、図２の同符号の処理と同一であるので、説明を省略する。プリンタ１００は、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致しない場合には（Ｓ１０Ｂ：ＮＯ）、図８のＳ１２以降の処理を実行することなく、クレデンシャル格納処理を中断する。

【0095】

以上説明したように、第３実施例によれば、プリンタ１００は、シリアル番号を設定装置１０に送信する（図８のＳ４Ｂ）。そして、クレデンシャル格納処理を継続するか中断するかを判断するための特定条件は、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致すること、換言すれば、受信した変換済情報が、シリアル番号に対して特定の変換処理（本実施例では暗号化処理）を実行して得られる情報であることである。この結果、特定の変換処理を実行できる外部装置（例えば、設定装置１０）に限って、プリンタ１００にクレデンシャル情報ＣＩを格納させることができるので、デバイスの記憶装置にクレデンシャル情報ＣＩが不正に格納されることを抑制することができる。したがって、例えば、特定の変換処理に用いる情報、例えば、用いるべきアルゴリズムの情報、共通鍵、初期化ベクトルを秘密に管理することで、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0096】

以上の説明から解るように、第３実施例のＧＵＩＤと仲介サーバ情報ＲＳＩとは、第１情報の例であり、変換済情報は、第２情報の例である。

【0097】

Ｄ．第４実施例
上記第３実施例において、特定の変換処理は、暗号化処理であるが、特定の変換処理は、暗号化処理に限らず、他の処理が用いられても良い。第４実施例では、特定の変換処理として、ハッシュ化処理が用いられる。

【0098】

第４実施例では、図８のＳ５Ｂにて、設定装置１０は、シリアル番号に対して予め定められた文字列（ソルトと呼ばれる）を付加する。設定装置１０は、ソルトが付加された後のシリアル番号に対して、予め定められたハッシュ関数を用いてハッシュ化処理を実行して、ハッシュ値を算出する。算出されたハッシュ値が第４実施例の変換済情報である。

【0099】

第４実施例では、図８のＳ１０Ｂにて、プリンタ１００は、自身のシリアル番号に対して、予め定められたソルトとハッシュ関数とを用いて、ハッシュ化処理を実行して、変換済情報を生成する。プリンタ１００は、設定装置１０から受信した変換済情報と、自身で生成した変換済情報と、を比較して、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致するか否かを判断する。第４実施例の他の処理は、第３実施例と同一であるので、説明を省略する。

【0100】

以上説明した第３実施例によれば、第３実施例と同様に、プリンタ１００は、シリアル番号を設定装置１０に送信する（図８のＳ４Ｂ）。そして、クレデンシャル格納処理を継続するか中断するかを判断するための特定条件は、設定装置１０から受信した変換済情報が、自身で生成した変換済情報と一致すること、換言すれば、受信した変換済情報が、シリアル番号に対して特定の変換処理（本実施例ではハッシュ化処理）を実行して得られる情報であることである。この結果、特定の変換処理を実行できる外部装置（例えば、設定装置１０）に限って、プリンタ１００にクレデンシャル情報ＣＩを格納させることができるので、デバイスの記憶装置に第１情報が不正に格納されることを抑制することができる。

【0101】

Ｅ．第５実施例
第５実施例では、クレデンシャル格納処理を継続するか中断するかを判断するための特定条件の候補として、複数個の条件が準備されている。複数個の条件は、例えば、第１～第４実施例のそれぞれの特定条件である。すなわち、第５実施例の複数個の条件は、以下の４つである。
（１）受信したデバイス情報ＤＩが特定の文字列を接頭語として含むこと
（２）受信したデバイス情報ＤＩのデータサイズが、予め定められた特定のデータサイズであること
（３）受信した変換済情報が、シリアル番号に対して所定の暗号化処理を実行して得られる情報であること
（４）受信した変換済情報が、シリアル番号に対して所定のハッシュ化処理を実行して得られる情報であること

【0102】

なお、変形例では、複数個の条件は、この４つの条件に限らず、他の様々な条件を含んでも良い。例えば、複数個の条件のうちの１つは、デバイス情報ＤＩが第１の文字列を含むことであり、他の１つは、デバイス情報ＤＩが第１の文字列とは異なる第２の文字列を含むことであっても良い。複数個の条件のうちの１つは、デバイス情報ＤＩが第１のデータサイズであることであり、他の１つは、デバイス情報ＤＩが第１のデータサイズとは異なる第２のデータサイズであることであっても良い。

【0103】

図９は、第５実施例のクレデンシャル格納処理のシーケンス図である。図９のＳ１Ｃでは、プリンタ１００は、上記の４つの条件の中から、使用すべき１つの特定条件を選択する。特定条件は、例えば、乱数を用いて、ランダムに選択される。

【0104】

Ｓ２Ｃでは、プリンタ１００は、情報送信要求を設定装置１０に対して送信する。このときに、プリンタ１００は、図２のＳ２とは異なり、情報送信要求に、条件指定番号を含める。条件指定番号は、４つの条件の中から選択された特定条件を示す情報であり、例えば、１～４のいずれかの番号である。上述した条件（３）、または、条件（４）が指定される場合には、情報送信要求には、さらに、第３、第４実施例と同様に、シリアル番号が含められる。

【0105】

設定装置１０は、情報送信要求を受信すると、Ｓ４Ｃにて、クレデンシャル情報を生成する。Ｓ５Ｃでは、設定装置１０は、条件指定番号によって指定された特定条件に従って検証情報を生成する。上記の条件（１）が指定された場合には、第１実施例で説明したように、設定装置１０は、特定の文字列を接頭語として含むデバイス情報ＤＩを検証情報として生成する。上記条件（２）が指定された場合には、第２実施例で説明したように、設定装置１０は、特定のデータサイズのデバイス情報ＤＩを検証情報として生成する。上記の条件（３）が指定された場合には、第３実施例で説明したように、設定装置１０は、シリアル番号に対して暗号化処理を実行することによって得られる変換済情報を、検証情報として生成する。上記の条件（４）が指定された場合には、設定装置１０は、シリアル番号に対してハッシュ化処理を実行することによって得られる変換済情報を、検証情報として生成する。

【0106】

Ｓ６Ｃでは、設定装置１０は、クレデンシャル情報を、情報送信要求に対する応答としてプリンタ１００に送信する。条件（１）、（２）が指定された場合には、第１、第２実施例と同様に、検証情報としてのデバイス情報ＤＩを含むクレデンシャル情報がプリンタ１００に送信される。条件（３）、（４）が指定された場合には、第３、第４実施例と同様に、デバイス情報ＤＩを含むクレデンシャル情報とは別に、検証情報としての変換済情報がプリンタ１００に送信される。

【0107】

Ｓ１０Ｃでは、プリンタ１００は、設定装置１０から受信した検証情報（デバイス情報ＤＩまたは変換済情報）が、Ｓ１Ｃにて選択された特定条件を満たすか否かを判断する。判断の具体的な手法は、第１～第４実施例にて説明したとおりであるので、その説明を省略する。

【0108】

プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たす場合には（Ｓ１０Ｃ：ＹＥＳ）、Ｓ１２に処理を進める。図９のＳ１２～Ｓ２２の処理は、図２の同符号の処理と同一であるので、説明を省略する。プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たさない場合には（Ｓ１０Ｃ：ＮＯ）、図９のＳ１２以降の処理を実行することなく、クレデンシャル格納処理を中断する。

【0109】

以上説明した本実施例によれば、プリンタ１００は、複数個の条件の中から特定条件を選択し（図９（Ｓ１Ｃ））、選択された特定条件を示す条件指定番号を設定装置１０に送信する（図９（Ｓ２Ｃ）。プリンタ１００は、設定装置１０から受信した検証情報が、選択された特定条件を満たすか否かを判断する。このように、本実施例では、複数個の条件の中から選択される特定条件が用いられるので、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報ＣＩが不正に格納されることをさらに効果的に抑制することができる。例えば、ランダムに選択される特定条件に応じて、適切な検証情報をプリンタ１００に送信できる外部装置に限って、プリンタ１００にクレデンシャル情報ＣＩを格納させることができるので、デバイスの記憶装置にクレデンシャル情報ＣＩが不正に格納される可能性が大幅に低減できる。

【0110】

以上の説明から解るように、第５実施例のＧＵＩＤと仲介サーバ情報ＲＳＩとは、第１情報の例であり、検証情報（変換済情報またはデバイス情報ＤＩ）は、第２情報の例である。

【0111】

Ｆ．第６実施例
第５実施例では、複数個の特定条件を用いてクレデンシャル格納処理を継続するか中断するかが判断される。図１０は、第５実施例のクレデンシャル格納処理のシーケンス図である。図１０のＳ１Ｄでは、プリンタ１００は、第４実施例にて説明した４つの条件の中から、使用すべき３つの特定条件を選択する。特定条件は、例えば、乱数を用いて、ランダムに選択される。

【0112】

Ｓ２Ｄでは、プリンタ１００は、情報送信要求を設定装置１０に対して送信する。このときに、プリンタ１００は、第５実施例と同様に、情報送信要求に、条件指定番号を含める。条件指定番号は、選択された３つの特定条件のうちの１つ目の条件を示す情報である。上述した条件（３）、または、条件（４）が指定される場合には、第５実施例と同様に、情報送信要求には、さらに、シリアル番号が含められる。

【0113】

設定装置１０は、情報送信要求を受信すると、Ｓ４Ｄにて、図９のＳ４Ｃと同様に、クレデンシャル情報を生成する。Ｓ５Ｄでは、図９のＳ５Ｃと同様に、設定装置１０は、条件指定番号によって指定された特定条件に従って検証情報（デバイス情報ＤＩまたは変換済情報）を生成する。Ｓ６Ｄでは、図９のＳ６Ｃと同様に、設定装置１０は、クレデンシャル情報を、情報送信要求に対する応答としてプリンタ１００に送信する。条件（１）、（２）が指定された場合には、第１、第２実施例と同様に、検証情報としてのデバイス情報ＤＩを含むクレデンシャル情報がプリンタ１００に送信される。条件（３）、（４）が指定された場合には、第３、第４実施例と同様に、デバイス情報ＤＩを含むクレデンシャル情報とは別に、検証情報としての変換済情報がプリンタ１００に送信される。

【0114】

Ｓ１０Ｄでは、プリンタ１００は、設定装置１０から受信した検証情報（デバイス情報ＤＩまたは変換済情報）が、Ｓ１Ｄにて選択された１つ目の特定条件を満たすか否かを判断する。判断の具体的な手法は、第１～第４実施例にて説明したとおりであるので、その説明を省略する。

【0115】

プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たす場合には（Ｓ１０Ｄ：ＹＥＳ）、Ｓ１１Ｄに処理を進める。プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たさない場合には（Ｓ１０Ｄ：ＮＯ）、Ｓ１１Ｄ以降の処理を実行することなく、クレデンシャル格納処理を中断する。

【0116】

Ｓ１１Ｄでは、プリンタ１００は、Ｓ１Ｄにて選択された３つの特定条件のうちの２つ目の条件を示す条件指定番号を含む検証情報要求を設定装置１０に対して送信する。上述した条件（３）、または、条件（４）が指定される場合には、検証情報要求には、さらに、シリアル番号が含められる。Ｓ１１Ｄにて送信される検証情報要求は、Ｓ２Ｄにて送信される情報送信要求と同じデータでも良いし、Ｓ２Ｄにて送信される情報送信要求とは異なるデータでも良い。

【0117】

Ｓ１２Ｄでは、設定装置１０は、Ｓ５Ｄと同様に、条件指定番号によって指定された特定条件に従って検証情報（デバイス情報ＤＩまたは変換済情報）を生成する。Ｓ１３Ｄでは、設定装置１０は、生成した検証情報をプリンタ１００に送信する。

【0118】

Ｓ１５Ｄでは、プリンタ１００は、設定装置１０から受信した検証情報（デバイス情報ＤＩまたは変換済情報）が、Ｓ１Ｄにて選択された２つ目の特定条件を満たすか否かを判断する。プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たす場合には（Ｓ１５Ｄ：ＹＥＳ）、Ｓ１６Ｄに処理を進める。プリンタ１００は、設定装置１０から受信した検証情報が特定条件を満たさない場合には（Ｓ１５Ｄ：ＮＯ）、Ｓ１６Ｄ以降の処理を実行することなく、クレデンシャル格納処理を中断する。

【0119】

Ｓ１６Ｄでは、プリンタ１００は、Ｓ１Ｄにて選択された３つの特定条件のうちの３つ目の条件を示す条件指定番号を含む検証情報要求を設定装置１０に対して送信する。上述した条件（３）、または、条件（４）が指定される場合には、検証情報要求には、さらに、シリアル番号が含められる。Ｓ１６Ｄにて送信される検証情報要求は、Ｓ２Ｄにて送信される情報送信要求と同じデータでも良いし、Ｓ２Ｄにて送信される情報送信要求とは異なるデータでも良い。

【0120】

Ｓ１７Ｄでは、設定装置１０は、Ｓ５Ｄと同様に、条件指定番号によって指定された特定条件に従って検証情報（デバイス情報ＤＩまたは変換済情報）を生成する。Ｓ１８Ｄでは、設定装置１０は、生成した検証情報をプリンタ１００に送信する。

【0121】

Ｓ２０Ｄでは、プリンタ１００は、設定装置１０から受信した検証情報（デバイス情報ＤＩまたは変換済情報）が、Ｓ１Ｄにて選択された３つ目の特定条件を満たすか否かを判断する。設定装置１０から受信した検証情報が特定条件を満たす場合には（Ｓ２０Ｄ：ＹＥＳ）、図２のＳ１２～Ｓ２２の処理が実行される。設定装置１０から受信した検証情報が特定条件を満たさない場合には（Ｓ２０Ｄ：ＮＯ）、プリンタ１００は、図２のＳ１２～Ｓ２２の処理を実行することなく、クレデンシャル格納処理を中断する。

【0122】

以上説明した本実施例によれば、プリンタ１００は、複数個の特定条件に対応する複数個の検証情報を受信する（図１０のＳ６Ｄ、Ｓ１３Ｄ、Ｓ１８Ｄ）。プリンタ１００は、複数個の検証情報のそれぞれが、対応する特定条件を満たすか否かを判断する（図１０のＳ１０Ｃ、Ｓ１５Ｄ、Ｓ２０Ｄ）。プリンタ１００は、複数個の検証情報のそれぞれが、対応する前記特定条件を満たす場合に（図１０のＳ１０ＣにてＹＥＳ、かつ、Ｓ１５ＤにてＹＥＳ、かつ、Ｓ２０ＤにてＹＥＳ）、クレデンシャル情報をセキュリティチップ１６０に格納する。プリンタ１００は、複数個の検証情報のうちの少なくとも１つが、対応する特定条件を満たさない場合に（図１０のＳ１０ＣにてＮＯ、または、Ｓ１５ＤにてＮＯ、または、Ｓ２０ＤにてＮＯ）、クレデンシャル情報をセキュリティチップ１６０に格納しない。この結果、複数個の検証情報のそれぞれが、対応する特定条件を満たす場合に限って、プリンタ１００にクレデンシャル情報が格納されるので、プリンタ１００にクレデンシャル情報が不正に格納されることをより確実に抑制することができる。

【0123】

Ｇ．変形例
（１）上記各実施例にて説明したクレデンシャル格納処理は、一例であり、適宜に変更され得る。例えば、第１実施例において特定の文字列を含むデバイス情報ＤＩが、検証情報としてプリンタ１００に送信されている。これに代えて、特定の文字列を含む検証情報は、クレデンシャル情報とは別に、クレデンシャル格納処理を継続するか中断するかを判断するためだけに用いる情報として、プリンタ１００に送信されても良い。

【0124】

（２）第１、第２実施例において、デバイス情報ＤＩが満たすべき特定条件は、適宜に変更され得る。例えば、特定条件は、デバイス情報ＤＩが特定の文字列を含み、かつ、デバイス情報ＤＩが特定のデータサイズであることであっても良い。

【0125】

（３）第３、第４実施例において、暗号化処理やハッシュ化処理の対象となるシリアル番号は、情報送信要求に含めて、プリンタ１００から設定装置１０に送信される。これに代えて、シリアル番号は、情報送信要求とは別に、プリンタ１００から設定装置１０に送信されても良い。

【0126】

（４）第５実施例において、条件指定番号は、情報送信要求に含めて、プリンタ１００から設定装置１０に送信される。これに代えて、条件指定番号は、情報送信要求とは別に、プリンタ１００から設定装置１０に送信されても良い。

【0127】

（６）第６実施例において、複数個の特定条件は、プリンタ１００によってランダムに選択されている。これに代えて、複数個の特定条件は、予め定められた複数個の特定条件であっても良い。この場合には、プリンタ１００から設定装置１０に条件指定番号を送信しなくても良い。

【0128】

（７）第６実施例において、プリンタ１００は、選択された３つの特定条件を示す条件指定番号を、図１０のＳ２Ｄ、Ｓ１１Ｄ、Ｓ１６Ｄの３回に分けて１つずつ設定装置１０に送信している。これに代えて、プリンタ１００は、３つの条件指定番号をＳ２Ｄにてまとめて設定装置１０に送信しても良い。この場合には、設定装置１０は、３つの特定条件に対応する３つの検証情報を、１回の通信にてまとめてプリンタ１００に送信しても良い。

【0129】

（８）上記各実施例では、デバイスとしてプリンタ１００が採用されている。これに限らず、対象サーバと協働してユーザに対してサービスを提供する他のデバイスが採用されても良い。他のデバイスを用いるサービスには、例えば、自宅やオフィスなどに設定された他のデバイス（例えば、監視カメラ、調理器具等の電化製品）を、端末装置（端末アプリケーション）から対象サーバを介して遠隔操作するサービスが含まれ得る。

【0130】

（９）上記各実施例において、プリンタ１００は、セキュリティチップ１６０を搭載し、クレデンシャル情報ＣＩは、セキュリティチップ１６０に格納される。これに代えて、クレデンシャル情報ＣＩの全部または一部は、セキュリティチップ１６０内のメモリとは異なる記憶装置に格納されても良い。

【0131】

（１０）上記実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部あるいは全部をハードウェアに置き換えるようにしてもよい。

【0132】

以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

【符号の説明】

【0133】

１０００Ａ,１０００Ｂ…システム,１０…設定装置,１１…ＣＰＵ,１２…揮発性記憶装置,１３…不揮発性記憶装置,１８…通信ＩＦ,１００…プリンタ,１１０…ＣＰＵ,１２０…揮発性記憶装置,１３０…不揮発性記憶装置,１４０…表示部,１５０…操作部,１６０…セキュリティチップ,１７０…印刷機構,１８０…通信ＩＦ,２００…端末装置,３００Ａ～３００Ｄ…サーバ,３１０…ＣＰＵ,３２０…揮発性記憶装置,３３０…不揮発性記憶装置,３８０…通信ＩＦ,４００…仲介サーバ,４１０…ＣＰＵ,４２０…揮発性記憶装置,４３０…不揮発性記憶装置,４８０…通信ＩＦ,ＡＤＢ…アクセス情報データベース,ＡＩ…アクセス情報,ＢＰ…ブラウザプログラム,ＣＩ…クレデンシャル情報,ＩＴ…インターネット,ＬＮ…ローカルエリアネットワーク,ＰＧａ,ＰＧｂ,ＰＧｐ,ＰＧｓ…コンピュータプログラム,ＶＣ…バウチャー,ＶＤＢ…バウチャーデータベース

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】