特開 2024-70732 デバイス、コンピュータプログラム、および、方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024070732

(43)【公開日】2024-05-23

(54)【発明の名称】デバイス、コンピュータプログラム、および、方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20240516BHJP

   H04L 9/32 20060101ALI20240516BHJP

   G06F 21/44 20130101ALI20240516BHJP

【ＦＩ】

G06F21/62

H04L9/32 200D

G06F21/44

【審査請求】未請求

【請求項の数】11

【出願形態】ＯＬ

(21)【出願番号】P 2022181421

(22)【出願日】2022-11-11

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

(71)【出願人】

【識別番号】000005267

【氏名又は名称】ブラザー工業株式会社

(74)【代理人】

【識別番号】110001058

【氏名又は名称】鳳国際弁理士法人

(72)【発明者】

【氏名】柳 哲

(57)【要約】

【課題】デバイスの記憶装置に情報が不正に格納されることを抑制する。
【解決手段】デバイスは、検証要求を外部装置に送信し、検証要求に応じて外部装置から検証情報を受信し、情報送信要求を外部装置に送信し、情報送信要求に応じて外部装置から送信される特定情報を受信する。デバイスは、検証情報の検証結果が肯定的である場合に、特定情報を記憶装置に格納し、検証情報の検証結果が否定的である場合に、特定情報を記憶装置に格納しない。特定情報は、仲介サーバの位置情報と、デバイスに割り当てられる識別情報と、を含む。デバイスは、記憶装置に格納される特定情報を用いて仲介サーバにアクセスして、アクセス情報を仲介サーバから取得し、取得されるアクセス情報を用いて対象サーバにアクセスして、特定のサービスを利用するための設定情報を対象サーバから取得する。
【選択図】 図２

【特許請求の範囲】

【請求項1】

インターネットに接続可能なデバイスであって、
記憶装置と、
検証要求を外部装置に送信する検証要求送信部と、
前記検証要求に応じて前記外部装置から送信される検証情報を受信する検証情報受信部と、
情報送信要求を前記外部装置に送信する情報送信要求送信部と、
前記情報送信要求に応じて前記外部装置から送信される特定情報を受信する特定情報受信部であって、前記特定情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記特定情報受信部と、
前記検証情報を検証する検証部と、
前記検証情報の検証結果が肯定的である場合に、前記特定情報を前記記憶装置に格納し、前記検証情報の検証結果が否定的である場合に、前記特定情報を前記記憶装置に格納しない格納処理部と、
前記記憶装置に格納される前記特定情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得部と、
を備える、デバイス。

【請求項2】

請求項１に記載のデバイスであって、
前記特定情報受信部は、さらに、前記外部装置から認証情報を受信し、
前記格納処理部は、前記検証情報の検証結果が肯定的である場合に、前記認証情報に基づく情報を前記記憶装置に格納し、前記検証情報の検証結果が否定的である場合に、前記認証情報に基づく情報を前記記憶装置に格納せず、
前記第２取得部は、
前記記憶装置に格納される前記認証情報に基づく情報を用いて、前記対象サーバとの間で認証処理を実行し、
前記認証処理の結果が肯定的である場合に、前記設定情報を前記対象サーバから取得する、デバイス。

【請求項3】

請求項１に記載のデバイスであって、
前記外部装置は、第１外部装置と、前記第１外部装置とは異なる第２外部装置と、を含み、
前記検証要求送信部は、前記検証要求を前記第１外部装置に送信し、
前記検証情報受信部は、前記検証情報を前記第１外部装置から受信し、
前記情報送信要求送信部は、前記情報送信要求を前記第２外部装置に送信し、
前記特定情報受信部は、前記特定情報を前記第２外部装置から受信する、デバイス。

【請求項4】

請求項１に記載のデバイスであって、
前記デバイスの前記記憶装置は、公開鍵を格納し、
前記外部装置の記憶装置は、前記公開鍵と対応する秘密鍵を格納し、
前記検証要求送信部は、元情報を含む前記検証要求を前記外部装置に送信し、
前記検証情報受信部は、前記秘密鍵を用いた署名処理を前記元情報に対して実行して得られる署名付データを前記検証情報として受信し、
前記検証部は、前記公開鍵を用いて前記署名付データを検証する、デバイス。

【請求項5】

請求項１に記載のデバイスであって、
前記検証要求送信部は、前記情報送信要求送信部が前記情報送信要求を送信した後に、前記検証要求を送信する、デバイス。

【請求項6】

請求項１に記載のデバイスであって、
前記情報送信要求送信部は、前記検証情報の検証結果が肯定的である場合に、前記情報送信要求を送信し、前記検証情報の検証結果が否定的である場合に、前記情報送信要求を送信しない、デバイス。

【請求項7】

請求項１に記載のデバイスであって、さらに、
前記検証情報の検証結果が肯定的である場合に、前記特定情報を用いて生成されるメッセージ認証コードを前記外部装置に送信し、前記検証情報の検証結果が否定的である場合に、前記メッセージ認証コードを前記外部装置に送信しない認証コード送信部を備える、デバイス。

【請求項8】

請求項１に記載のデバイスであって、
前記検証要求送信部は、ＩＰ（Internet Protocol）ネットワークを用いて、前記検証要求を送信し、
前記検証情報受信部は、前記ＩＰネットワークを用いて、前記検証情報を受信する、デバイス。

【請求項9】

請求項１に記載のデバイスであって、さらに、
前記検証情報の検証結果の履歴を記録する記録処理部を備える、デバイス。

【請求項10】

インターネットに接続可能なデバイスのためのコンピュータプログラムであって、
検証要求を外部装置に送信する検証要求送信機能と、
前記検証要求に応じて前記外部装置から送信される検証情報を受信する検証情報受信機能と、
情報送信要求を前記外部装置に送信する情報送信要求送信機能と、
前記情報送信要求に応じて前記外部装置から送信される特定情報を受信する特定情報受信機能であって、前記特定情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記特定情報受信機能と、
前記検証情報を検証する検証機能と、
前記検証情報の検証結果が肯定的である場合に、前記特定情報を前記デバイスの記憶装置に格納し、前記検証情報の検証結果が否定的である場合に、前記特定情報を前記記憶装置に格納しない格納処理機能と、
前記記憶装置に格納される前記特定情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得機能であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得機能と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得機能と、
を前記デバイスに搭載されるコンピュータに実現させるコンピュータプログラム。

【請求項11】

インターネットに接続可能なデバイスが実行する方法であって、
検証要求を外部装置に送信する検証要求送信工程と、
前記検証要求に応じて前記外部装置から送信される検証情報を受信する検証情報受信工程と、
情報送信要求を前記外部装置に送信する情報送信要求送信工程と、
前記情報送信要求に応じて前記外部装置から送信される特定情報を受信する特定情報受信工程であって、前記特定情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記特定情報受信工程と、
前記検証情報を検証する検証工程と、
前記検証情報の検証結果が肯定的である場合に、前記特定情報を前記デバイスの記憶装置に格納し、前記検証情報の検証結果が否定的である場合に、前記特定情報を前記記憶装置に格納しない格納処理工程と、
前記記憶装置に格納される前記特定情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得工程であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得工程と、
取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得工程と、
を備える方法。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書は、インターネットに接続可能なデバイス、コンピュータプログラム、および、方法に関する。

【背景技術】

【0002】

デバイスをインターネットに接続することによって、様々なサービスを利用可能な仕組みが知られている。非特許文献１の技術では、デバイスの製造工程において、デバイス毎にユニークな情報を含む特定情報（クレデンシャルと呼ばれる）をデバイスに格納する。デバイスの製造者は、該特定情報に紐付くチケット（バウチャーと呼ばれる）を発行する。デバイスの利用者が、利用を望むサービスを提供するクラウドサーバにチケットを登録すると、デバイスは、クラウドサーバと自動的に接続され、サービスを利用可能な状態になる。この技術では、利用すべきサービスをデバイスの製造後に容易に選択することができるとともに、デバイスとクラウドサーバとのセキュアな接続を実現することができる。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】"FIDO Device Onboard Specification 1.1"，［online］，令和4年4月19日,FIDO Alliance，［令和4年10月10日検索］，インターネット＜URL:https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html＞

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記技術において、デバイスに格納される特定情報が不正に格納される場合には、デバイスとクラウドサーバとのセキュアな接続が実現できない可能性がある。

【0005】

本明細書は、インターネットに接続可能なデバイスの記憶装置に情報が不正に格納されることを抑制できる技術を開示する。

【課題を解決するための手段】

【0006】

本明細書に開示された技術は、以下の適用例として実現することが可能である。

【0007】

［適用例１］インターネットに接続可能なデバイスであって、記憶装置と、検証要求を外部装置に送信する検証要求送信部と、前記検証要求に応じて前記外部装置から送信される検証情報を受信する検証情報受信部と、情報送信要求を前記外部装置に送信する情報送信要求送信部と、前記情報送信要求に応じて前記外部装置から送信される特定情報を受信する特定情報受信部であって、前記特定情報は、前記インターネットを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記特定情報受信部と、前記検証情報を検証する検証部と、前記検証情報の検証結果が肯定的である場合に、前記特定情報を前記記憶装置に格納し、前記検証情報の検証結果が否定的である場合に、前記特定情報を前記記憶装置に格納しない格納処理部と、前記記憶装置に格納される前記特定情報を用いて、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報と対応付けられたアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記インターネットを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、取得される前記アクセス情報を用いて、前記対象サーバにアクセスして、前記特定のサービスを利用するための設定情報を前記対象サーバから取得する第２取得部と、を備える、デバイス。

【0008】

例えば、位置情報が不正に格納されると、不正な仲介サーバにデバイスがアクセスする可能性がある。また、識別情報が不正に格納されると、不正なアクセス情報がデバイスに提供され、不正な対象サーバにデバイスがアクセスする可能性がある。上記構成によれば、検証情報の検証結果が肯定的である場合に、位置情報と識別情報とを含む特定情報を記憶装置に格納し、検証情報の検証結果が否定的である場合に、特定情報を記憶装置に格納しない。この結果、デバイスの記憶装置に特定情報が不正に格納されることを抑制することができる。

【0009】

なお、本明細書に開示された技術は、種々の形態で実現可能であり、例えば、デバイスのための方法、デバイスおよび方法の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、等の形態で実現することができる。

【図面の簡単な説明】

【0010】

【図1】製造工程におけるシステム１０００Ａの構成を示すブロック図。

【図2】第１実施例のクレデンシャル格納処理のシーケンス図。

【図3】クレデンシャル情報ＣＩとバウチャーＶＣとの一例を示す図。

【図4】使用時におけるシステム１０００Ｂの構成を示すブロック図。

【図5】データベースおよび該データベースに格納される情報の説明図。

【図6】システム１０００Ｂの事前準備およびサービス処理のフローチャート。

【図7】プリンタ１００とサーバ３００Ａと仲介サーバ４００との処理を示すシーケンス図。

【図8】第２実施例のクレデンシャル格納処理のフローチャート。

【図9】第３実施例のクレデンシャル格納処理のフローチャート。

【発明を実施するための形態】

【0011】

Ａ．第１実施例
Ａ－１．製造工程におけるシステムの構成
図１は、プリンタ１００の製造工程におけるシステム１０００Ａの構成を示すブロック図である。システム１０００Ａは、プリンタ１００と、設定装置１０と、検証用装置２０と、を備えている。システム１０００Ａは、後述するクレデンシャル格納処理を実行するためのシステムである。

【0012】

プリンタ１００は、プリンタ１００のコントローラとして、ＣＰＵ１１０と、ＤＲＡＭなどの揮発性記憶装置１２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置１３０と、を備えている。また、プリンタ１００は、画像を表示する液晶ディスプレイなどの表示部１４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部１５０と、セキュリティチップ１６０と、印刷機構１７０と、通信インタフェース（ＩＦ）１８０と、を備えている。

【0013】

通信ＩＦ１８０は、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0014】

ＣＰＵ１１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置１２０は、ＣＰＵ１１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置１３０には、プリンタ１００を制御するためのコンピュータプログラムＰＧｐと、公開鍵ＰＫと、検証履歴テーブルＨＴと、が格納されている。

【0015】

コンピュータプログラムＰＧｐと公開鍵ＰＫとは、本実施例では、プリンタ１００の製造時に不揮発性記憶装置１３０に予め格納されて提供される。ＣＰＵ１１０は、コンピュータプログラムＰＧｐを実行することによって、プリンタ１００に関連する様々な処理を実行する。例えば、ＣＰＵ１１０は、後述するように、サーバ３００Ａ～３００Ｄのいずれかと協働して、ユーザに対して所定のサービス（例えば、後述するセットアップサービスや消耗材管理サービスや印刷サービス）を提供する処理（以下、サービス処理とも呼ぶ）を実行する。また、ＣＰＵ１１０は、サービス処理に先立って、製造工程において、設定装置１０および検証用装置２０と協働して、後述するクレデンシャル格納処理を実行する。また、ＣＰＵ１１０は、後述する端末装置２００や対象サーバ（例えば、サーバ３００Ａ）や仲介サーバ４００と協働して、サービス処理の事前準備を実行する。

【0016】

公開鍵ＰＫは、後述するクレデンシャル格納処理において、検証用装置２０から送信される署名付データを検証するために用いられる。検証履歴テーブルＨＴは、該署名付データの検証結果を記録するためのテーブルである。

【0017】

セキュリティチップ１６０は、例えば、ＴＣＧ（Trusted Computing Group）によって定義されたセキュリティの仕様に準拠したＴＰＭ（Trusted Platform Module）である。セキュリティチップ１６０は、図示しないプロセッサやメモリを備えるＩＣチップであり、本実施例では、後述するクレデンシャル情報ＣＩを安全に格納するために用いられる。

【0018】

印刷機構１７０は、ＣＰＵ１１０の制御に従って、印刷を実行する。本実施例の印刷機構１７０は、複数種類のインク（例えば、シアンとマゼンタとイエロとブラックとの４種類のインク）を色材として用いて、画像を記録媒体に印刷するインクジェット方式の印刷機構である。これに代えて、印刷機構１７０は、トナーを色材として用いて、画像を記録媒体に印刷する電子写真方式の印刷機構であっても良い。

【0019】

設定装置１０は、プリンタ１００の製造事業者が所有する計算機であり、例えば、パーソナルコンピュータである。設定装置１０は、コントローラとして、ＣＰＵ１１と、ＤＲＡＭなどの揮発性記憶装置１２と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置１３と、通信ＩＦ１８と、を備えている。通信ＩＦ１８は、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0020】

揮発性記憶装置１２は、ＣＰＵ１１が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置１３には、コンピュータプログラムＰＧｓと、バウチャー関連情報ＶＩと、が格納されている。

【0021】

ＣＰＵ１１は、コンピュータプログラムＰＧｓを実行することによって、プリンタ１００および検証用装置２０と協働して、後述するクレデンシャル格納処理を実行する。バウチャー関連情報ＶＩは、クレデンシャル格納処理において用いられる。

【0022】

検証用装置２０は、プリンタ１００の製造事業者が所有する計算機であり、例えば、パーソナルコンピュータである。検証用装置２０は、コントローラとして、ＣＰＵ２１と、ＤＲＡＭなどの揮発性記憶装置２２と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置２３と、通信ＩＦ２８と、を備えている。通信ＩＦ２８は、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0023】

揮発性記憶装置２２は、ＣＰＵ２１が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置２３には、コンピュータプログラムＰＧｔと、秘密鍵ＳＫと、が格納されている。秘密鍵ＳＫは、上述したプリンタ１００の不揮発性記憶装置１３０に格納される公開鍵ＰＫと対応する秘密鍵である。

【0024】

ＣＰＵ２１は、コンピュータプログラムＰＧｔを実行することによって、プリンタ１００および設定装置１０と協働して、後述するクレデンシャル格納処理を実行する。秘密鍵ＳＫは、後述するクレデンシャル格納処理において、署名付データを生成するために用いられる。

【0025】

プリンタ１００と、設定装置１０と、検証用装置２０と、はローカルエリアネットワークＬＮを介して通信可能に接続されている。ローカルエリアネットワークＬＮは、ＩＰ（Internet Protocol）ネットワークである。ここで、ＩＰネットワークは、ＯＳＩ（Open Systems Interconnection）参照モデルにおけるネットワーク層のプロトコルとしてＩＰ（Internet Protocol）が用いられるネットワークである。

【0026】

Ａ－２．クレデンシャル格納処理
クレデンシャル格納処理は、製造工程において、プリンタ１００と設定装置１０とによって協働して実行される。クレデンシャル格納処理は、プリンタ１００にクレデンシャル情報ＣＩを格納するとともに、設定装置１０が後述するオンボーディング処理等で用いられるバウチャーＶＣを生成する処理である。

【0027】

図２は、第１実施例のクレデンシャル格納処理のシーケンス図である。図３は、クレデンシャル情報ＣＩとバウチャーＶＣとの一例を示す図である。図２のクレデンシャル格納処理は、例えば、製造工程の最後に、図１にシステム１０００Ａとして示すように、プリンタ１００と、設定装置１０および検証用装置２０と、がローカルエリアネットワークＬＮを介して通信可能に接続された状態で実行される。クレデンシャル格納処理は、例えば、作業者がプリンタ１００に対して、所定の開始指示を入力すると開始される。

【0028】

Ｓ２では、プリンタ１００（ＣＰＵ１１０）は、情報送信要求を設定装置１０に対して送信する。プリンタ１００と設定装置１０との間の通信は、例えば、ＨＴＴＰＳ（Hypertext Transfer Protocol Secure）に従って実行される。

【0029】

設定装置１０（ＣＰＵ１１）は、情報送信要求を受信すると、Ｓ４にて、クレデンシャル情報を生成する。本実施例では、この時点で生成されるクレデンシャル情報は、図２に示すように、プロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、を含んでいる。

【0030】

プロトコル情報ＰＩは、「FIDO Device Onboarding (FDO) Specification」（以下、ＦＤＯ仕様書とも呼ぶ）に規定されたプロトコルのバージョンを示す情報である。後述する仲介サーバ４００とプリンタ１００との通信や、対象サーバとプリンタ１００との通信は、プロトコル情報ＰＩによって示されたバージョンのプロトコルを用いて実行される。

【0031】

ＧＵＩＤは、プリンタ１００を識別する識別子であり、設定装置１０が生成して割り当てる。仲介サーバ情報ＲＳＩは、後述する仲介サーバ４００と通信の接続を行うための情報である。仲介サーバ情報ＲＳＩは、例えば、仲介サーバ４００の所在を示す位置情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、を含む。公開鍵Ｐｋｍは、プリンタ１００の製造事業者が保有する秘密鍵と対応する公開鍵である。デバイス情報ＤＩは、プリンタ１００に関する情報であり、プリンタ１００の製造事業者が任意に記述可能な情報である。仲介サーバ情報ＲＳＩと公開鍵Ｐｋｍとデバイス情報ＤＩとは、例えば、バウチャー関連情報ＶＩ（図１）に含まれている。

【0032】

Ｓ６では、設定装置１０は、Ｓ４にて生成されたクレデンシャル情報を、情報送信要求に対する応答としてプリンタ１００に送信する。

【0033】

プリンタ１００は、クレデンシャル情報を受信すると、Ｓ８にて、検証要求をローカルエリアネットワークＬＮ内にブロードキャストする。これによって、検証要求は、ローカルエリアネットワークＬＮに接続された装置、すなわち、設定装置１０と検証用装置２０とに送信される。検証要求には、ランダムデータが含まれる。ランダムデータは、ランダムに選択された所定個数の文字を含む文字列を示す。なお、変形例では、ランダムデータに代えて、他のデータ、例えば、予め用意された複数個のデータから選択された１つのデータを検証要求に含めても良い。

【0034】

設定装置１０は、検証要求を受信しても、何も処理を実行しない。検証用装置２０（ＣＰＵ２１）は、検証要求を受信すると、Ｓ１０にて、検証要求に含まれるランダムデータに対して署名処理を実行して、署名付データを生成する。具体的には、検証用装置２０は、Ｓ８にて受信された検証要求に含まれるランダムデータを、予め定められたハッシュ関数を用いてハッシュ化して、ハッシュ値を取得する。検証用装置２０は、予め定められた公開鍵暗号方式に従って、当該ハッシュ値を、不揮発性記憶装置２３に格納された秘密鍵ＳＫを用いて暗号化する。検証用装置２０は、暗号化されたハッシュ値を署名情報としてランダムデータに付加することによって署名付データを生成する。

【0035】

Ｓ１２では、検証用装置２０は、検証要求に対する応答として、署名付データをプリンタ１００に送信する。

【0036】

プリンタ１００は、署名付データを受信すると、Ｓ１４にて、署名付データを検証する。具体低には、プリンタ１００は、署名付データに付加された署名情報を、不揮発性記憶装置１３０に格納された公開鍵ＰＫを用いて復号することによって、ハッシュ値を取得する。プリンタ１００は、さらに、署名付データに含まれるランダムデータを、予め定められたハッシュ関数を用いてハッシュ化して、ハッシュ値を取得する。なお、変形例では、プリンタ１００は、署名付データに含まれるランダムデータに代えて、Ｓ８にて検証要求に含めたランダムデータをハッシュ化して、ハッシュ値を取得しても良い。プリンタ１００は、署名情報から取得したハッシュ値が、ランダムデータから取得したハッシュ値と一致するか否かを検証する。

【0037】

Ｓ１５では、プリンタ１００は、Ｓ１４での検証結果を検証履歴テーブルＨＴ（図１）に記録する。図３（Ｃ）には、検証履歴テーブルＨＴの一例が示されている。検証履歴テーブルＨＴには、署名付データの検証が実行された日時、すなわち、図２のクレデンシャル格納処理が実行された日時と、検証結果と、が対応付けて記録される。プリンタ１００は、Ｓ１２での検証において、署名情報から取得したハッシュ値がランダムデータから取得したハッシュ値と一致する場合には、肯定的な検証結果を検証履歴テーブルＨＴに記録する。プリンタ１００は、Ｓ１２での検証において、署名情報から取得したハッシュ値がランダムデータから取得したハッシュ値と一致しない場合には、否定的な検証結果を検証履歴テーブルＨＴに記録する。図３（Ｃ）の検証履歴テーブルＨＴに記録された「ＯＫ」の文言は、肯定的な検証結果を意味する。

【0038】

Ｓ１６では、プリンタ１００は、Ｓ１４での検証結果が肯定的であるか否定的であるかを判断する。検証結果が肯定的である場合には（Ｓ１６：ＹＥＳ）、プリンタ１００は、Ｓ１８にて、シークレットを生成する。シークレットは、例えば、ランダムに生成される所定サイズの文字列である。

【0039】

Ｓ２０では、プリンタ１００は、Ｓ１８にて生成したシークレットと、Ｓ６にて受信したクレデンシャル情報と、を用いて、最終的なクレデンシャル情報ＣＩを生成し、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納する。図３（Ａ）には、最終的なクレデンシャル情報ＣＩの一例が示されている。クレデンシャル情報ＣＩは、Ｓ６にて受信されたクレデンシャル情報のうちのプロトコル情報ＰＩと仲介サーバ情報ＲＳＩとＧＵＩＤとデバイス情報ＤＩとを含む。最終的なクレデンシャル情報ＣＩは、さらに、公開鍵ハッシュＰＫＨと、Ｓ２８にて生成されたシークレットと、を含む。公開鍵ハッシュＰＫＨは、Ｓ６にて受信したクレデンシャル情報のうちの公開鍵ＰＫｍを所定のハッシュ関数を用いて変換することによって得られるハッシュ値である。

【0040】

Ｓ２２では、プリンタ１００は、ＨＭＡＣ（Keyed-Hashing for Message Authentication Code）を生成する。ＨＭＡＣは、秘密鍵とメッセージとハッシュ関数を用いて算出されるメッセージ認証コードである。本実施例では、シークレットを秘密鍵とし、Ｓ６にて受信したクレデンシャル情報をメッセージとして、ＨＭＡＣが算出される。Ｓ２４では、プリンタ１００は、生成したＨＭＡＣを設定装置１０に送信する。

【0041】

設定装置１０は、ＨＭＡＣを受信すると、Ｓ２６にて、該ＨＭＡＣと、Ｓ４にて生成したクレデンシャル情報と、を用いて、バウチャーＶＣを生成する。図３（Ｂ）には、バウチャーＶＣの一例が示されている。図３（Ｂ）のバウチャーＶＣは、バウチャーヘッダＶＨを含んでいる。バウチャーヘッダＶＨは、上述したプロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、ＨＭＡＣと、を含んでいる。バウチャーＶＣは、後述するように、１以上のエントリＥＴを含み得るが、この時点では、バウチャーＶＣは、エントリＥＴを含んでいない。

【0042】

Ｓ２８では、設定装置１０は、完了通知をプリンタ１００に送信して、処理を終了する。プリンタ１００は、完了通知を受信すると、処理を終了する。以上の説明から解るように、クレデンシャル格納処理が終了すると、プリンタ１００のセキュリティチップ１６０には、クレデンシャル情報ＣＩが格納された状態になる。

【0043】

Ｓ１６にて、検証結果が否定的である場合には（Ｓ１６：ＮＯ）、プリンタ１００は、Ｓ１８～Ｓ２４を実行することなく、クレデンシャル格納処理を中断する。すなわち、この場合には、プリンタ１００は、シークレットを生成せず、クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。さらに、プリンタ１００は、ＨＭＡＣを設定装置１０に送信せず、中断通知等を設定装置１０に送信することもない。製造工程にて、正当な設定装置１０と、プリンタ１００と、の間で、クレデンシャル格納処理が行われる場合に、クレデンシャル格納処理が中断されることは想定されていない。不正な設定装置と、プリンタ１００と、の間で、クレデンシャル格納処理が行われる場合に、クレデンシャル格納処理が中断されることが想定される。

【0044】

Ａ－３．使用時におけるシステムの構成
図４は、プリンタ１００の使用時におけるシステム１０００Ｂの構成を示すブロック図である。システム１０００Ｂは、プリンタ１００と、プリンタ１００の販売会社が所有する端末装置２００と、プリンタを用いるサービスを提供するサーバ３００Ａ～３００Ｄと、仲介サーバ４００と、を備える。プリンタ１００は、上述したクレデンシャル格納処理の後の状態であるので、プリンタ１００のセキュリティチップ１６０には、クレデンシャル情報ＣＩが格納されている。

【0045】

端末装置２００は、計算機であり、例えば、パーソナルコンピュータである。変形例では、端末装置２００は、スマートフォンやタブレットコンピュータであっても良い。端末装置２００は、例えば、プリンタ１００を販売する販売会社が所有する計算機である。

【0046】

端末装置２００は、コントローラとして、ＣＰＵ２１０と、ＤＲＡＭなどの揮発性記憶装置２２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置２３０と、を備えている。また、端末装置２００は、画像を表示する液晶ディスプレイなどの表示部２４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部２５０と、通信ＩＦ２８０と、を備えている。通信ＩＦは、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0047】

揮発性記憶装置２２０は、ＣＰＵ２１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置２３０には、ブラウザプログラムＢＰが格納されている。

【0048】

ＣＰＵ２１０は、ブラウザプログラムＢＰを実行することによって、ＷＥＢブラウザとして機能する。ＷＥＢブラウザとして機能するＣＰＵ２１０は、後述するバウチャーＶＣをサーバ３００Ａ～３００Ｄに登録する処理を実行する。

【0049】

サーバ３００Ａ～３００Ｄは、例えば、サービスを提供する事業者が運用する計算機、例えば、クラウドサーバである。例えば、サーバ３００Ａ～３００Ｄを運用する事業者は、プリンタ１００を製造する事業者や、該事業者とは異なるサードパーティである。サーバ３００Ａ～３００Ｄは、それぞれ、互いに異なる２以上の事業者によって運用される２以上のサーバを含み得る。サーバ３００Ａ～３００Ｄによって提供されるサービスを、それぞれ、サービスＡ～サービスＤとする。サービスＡ～サービスＤは、例えば、セットアップサービスや消耗材管理サービスや印刷サービスを含む。セットアップサービスは、例えば、ドライバやアプリケーションなどのプログラムをプリンタ１００にインストールすることや所定の設定を行うサービスである。消耗材管理サービスは、例えば、インクなどのプリンタ１００の消耗材の残量を管理し、消耗材の消耗に応じて該消耗材をユーザに配送するサービスである。印刷サービスは、例えば、ユーザの端末から送信される画像ファイルを用いて印刷ジョブを生成してプリンタ１００に送信することによって、プリンタ１００に印刷を行わせるサービスである。

【0050】

サーバ３００Ａは、コントローラとしてのＣＰＵ３１０と、ＤＲＡＭなどの揮発性記憶装置３２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置３３０と、通信インタフェース（ＩＦ）３８０と、を備えている。通信ＩＦ３８０は、インターネットＩＴに接続可能なインタフェースであり、例えば、イーサネット（登録商標）に準拠した有線のインタフェースである。

【0051】

ＣＰＵ３１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置３２０は、ＣＰＵ３１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置３３０には、コンピュータプログラムＰＧａと、後述するバウチャーデータベースＶＤＢと、が格納されている。

【0052】

コンピュータプログラムＰＧａは、例えば、サーバ３００Ａを運用する事業者によってアップロードされる形態で提供される。サーバ３００ＡのＣＰＵ３１０は、コンピュータプログラムＰＧａを実行することによって、プリンタ１００と協働して、提供すべきサービスを実現するためのサービス処理を実行する。また、ＣＰＵ３１０は、サービス処理に先立って、端末装置２００やサーバ３００Ａや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0053】

サーバ３００Ｂ～３００Ｄは、上述したサーバ３００Ａと同様の構成３１０～３８０（図示省略）を備えている。サーバ３００Ｂ～３００Ｄの構成の説明は省略する。

【0054】

仲介サーバ４００は、例えば、所定の事業者（例えば、サービスを提供する事業者やプリンタ１００を製造する事業者）が運用する計算機、例えば、クラウドサーバである。仲介サーバ４００は、サーバ３００Ａと同様に、コントローラとしてのＣＰＵ４１０と、揮発性記憶装置４２０と、通信ＩＦ４８０と、を備えている。揮発性記憶装置４２０は、ＣＰＵ４１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置４３０には、コンピュータプログラムＰＧｂと、後述するアクセス情報データベースＡＤＢと、が格納されている。

【0055】

コンピュータプログラムＰＧｂは、例えば、仲介サーバ４００を運用する事業者によってアップロードされる形態で提供される。仲介サーバ４００のＣＰＵ４１０は、コンピュータプログラムＰＧｂを実行することによって、プリンタ１００や端末装置２００やサーバ３００Ａ～３００Ｄや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0056】

プリンタ１００と、端末装置２００と、サーバ３００Ａ～３００Ｄと、仲介サーバ４００とは、それぞれ、インターネットＩＴに接続されている。このために、これらの装置１００～４００は、互いに、インターネットＩＴを介して、通信可能である。

【0057】

図５は、データベースおよび該データベースに格納される情報の説明図である。図５（Ａ）には、サーバ３００Ａ～３００Ｄの不揮発性記憶装置３３０に格納されるバウチャーデータベースＶＤＢの一例が示されている。バウチャーデータベースＶＤＢには、１以上のバウチャーＶＣ（例えば、図５（Ａ）のＶＣ１、ＶＣ２）が格納されている。

【0058】

図５（Ｂ）には、バウチャーＶＣの一例が図示されている。バウチャーＶＣは、デバイス（本実施例では、プリンタ１００）の所有権を証明するデータである。バウチャーＶＣは、上述したバウチャーヘッダＶＨと、１以上のエントリＥＴ（例えば、図５（Ｂ）のＥＴ１、ＥＴ２）と、を含む。

【0059】

エントリＥＴは、公開鍵Ｐｋｓと、署名データＳＤと、を含む。エントリＥＴは、バウチャーＶＣの受け渡し、すなわち、バウチャーＶＣの所有者の変更が行われる度に、１つずつ追加される情報である。公開鍵Ｐｋｓは、受け渡し先が保有する秘密鍵に対応する公開鍵であり、署名データＳＤは、受け渡し元が保有する秘密鍵を用いて公開鍵Ｐｋｓを含む情報を暗号化して得られるデータである。図５（Ｂ）のバウチャーＶＣは、２個のエントリＥＴ１、ＥＴ２を含んでいる。したがって、図５（Ｂ）のバウチャーＶＣは、２回の受け渡しが行われたことが解る。

【0060】

図５（Ｃ）には、アクセス情報データベースＡＤＢの一例が図示されている。アクセス情報データベースＡＤＢは、１以上のアクセス情報ＡＩが、ＧＵＩＤと対応付けて記録されている。図５（Ｃ）の例では、アクセス情報ＡＩ１は、ＧＵＩＤ「ＩＤ１」と対応付けて記録され、アクセス情報ＡＩ２は、ＧＵＩＤ「ＩＤ２」と対応付けて記録される。各アクセス情報ＡＩは、対応付けられたＧＵＩＤによって識別されるデバイス（例えば、プリンタ１００）に送信されるべき情報である。

【0061】

図５（Ｄ）は、アクセス情報ＡＩの一例が図示されている。アクセス情報ＡＩは、デバイス（例えば、プリンタ１００）と協働してサービス処理を実行すべき対象サーバ（例えば、サーバ３００Ａ）にアクセスするための情報である。アクセス情報ＡＩは、例えば、対象サーバの所在を示す情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、接続に用いるプロトコルの情報と、を含む。

【0062】

Ａ－４．システム１０００Ｂの事前準備およびサービス処理の概略
図６は、システム１０００Ｂの事前準備およびサービス処理のフローチャートである。図６のＳ２００～Ｓ６００は、サービス処理（図６のＳ７００）に先だって行われる事前準備である。

【0063】

Ｓ２００では、プリンタ１００を製造事業者から販売会社にバウチャーＶＣとプリンタ１００とが受け渡される。具体的には、販売会社は、秘密鍵と公開鍵ＰＫｓ１とのキーペアを準備し、プリンタ１００を発注する際に、販売会社の端末装置２００から製造事業者の計算機（例えば、図示しないＷＥＢサーバを含む計算機システム）に公開鍵ＰＫｓ１を送信する。製造事業者の計算機は、該公開鍵ＰＫｓ１と、該公開鍵ＰＫｓ１を製造事業者の秘密鍵を用いて暗号化して得られる署名データＳＤ１と、を含むエントリＥＴ１（図５（Ｂ））を生成する。製造事業者の秘密鍵は、バウチャーヘッダＶＨ（図３（Ｂ）、図５（Ｂ））に含まれる公開鍵ＰＫｍ（図３（Ｂ）、図５（Ｂ））に対応する秘密鍵である。製造事業者の計算機は、設定装置１０によって生成されたバウチャーＶＣ（図３（Ｂ））に、１個のエントリＥＴ１を付加して、エントリＥＴ１が付加されたバウチャーＶＣを、販売会社の端末装置２００に送信する。また、製造事業者は、プリンタ１００を販売会社に納品する。

【0064】

Ｓ３００では、販売会社がバウチャーＶＣを対象サーバに登録する。例えば、ユーザは、販売会社からプリンタ１００を購入する際に、プリンタ１００を用いて利用可能なサービスＡ～Ｄの中から利用するサービスについて利用契約を結ぶ。ここで、利用するサービスを提供するサーバを対象サーバとも呼ぶ。以下では、サービスＡを提供するサーバ３００Ａ（図４）が対象サーバであるとして説明を行う。具体的には、販売会社の担当者は、端末装置２００を操作して、サーバ３００Ａが提供するＷＥＢページにアクセスして、所定の操作を行う。これによって、端末装置２００とサーバ３００Ａとの間でバウチャーＶＣをサーバ３００Ａに登録する処理が実行される。

【0065】

具体的には、サーバ３００Ａは、秘密鍵と公開鍵ＰＫｓ２とのキーペアを保有しており、端末装置２００に公開鍵ＰＫｓ２を送信する。端末装置２００は、該公開鍵ＰＫｓ２と、該公開鍵ＰＫｓ２を、販売会社の秘密鍵（公開鍵ＰＫｓ１に対応する秘密鍵）を用いて暗号化して得られる署名データＳＤ２と、を含むエントリＥＴ２（図５（Ｂ））を生成する。端末装置２００は、Ｓ２００にて受信したバウチャーＶＣにエントリＥＴ２を追加したバウチャーＶＣ（図５（Ｂ））をサーバ３００Ａに送信する。サーバ３００Ａは、受信したバウチャーＶＣをバウチャーデータベースＶＤＢ（図５（Ａ））に格納する。これによって、バウチャーＶＣがサーバ３００Ａに登録される。

【0066】

なお、変形例では、販売会社からユーザにバウチャーＶＣが受け渡され、ユーザが、自身の端末装置から対象サーバ（例えば、サーバ３００Ａ）にバウチャーＶＣを登録しても良い。

【0067】

Ｓ４００では、対象サーバが仲介サーバ４００にアクセス情報ＡＩを登録する。アクセス情報ＡＩの登録は、ＦＤＯ仕様書に規定されたＴＯ０（Transfer Ownership Protocol 0）に従って実行される。例えば、対象サーバであるサーバ３００Ａから仲介サーバ４００に、プリンタ１００がサーバ３００Ａにアクセスするためのアクセス情報ＡＩ（図５（Ｄ））と、プリンタ１００のＧＵＩＤと、が送信される。仲介サーバ４００は、受信したアクセス情報ＡＩをプリンタ１００のＧＵＩＤと対応付けてアクセス情報データベースＡＤＢ（図４、図５（Ｃ））に格納する。これによって、アクセス情報ＡＩがプリンタ１００のＧＵＩＤと対応付けて仲介サーバ４００に登録される。

【0068】

Ｓ４５０では、販売会社がユーザにプリンタ１００を納品する。ユーザは、納品されたプリンタ１００をインターネットＩＴに接続可能に設置して、プリンタ１００の電源を投入する。

【0069】

プリンタ１００の電源が投入されると、プリンタ１００は、Ｓ５００にて、仲介サーバ４００からアクセス情報ＡＩ（図５（Ｄ））を取得する。Ｓ６００では、アクセス情報ＡＩを用いて、プリンタ１００と対象サーバとの間でオンボーディング処理が実行される。オンボーディング処理によって、プリンタ１００とサーバ３００Ａとは、サービス処理を実行することができる状態になる。Ｓ５００とＳ６００の処理については、シーケンス図を参照して後述する。

【0070】

Ｓ７００では、プリンタ１００と対象サーバ（例えば、サーバ３００Ａ）とは、協働して、サービス処理を実行する。サービス処理は、例えば、サーバ３００Ａが提供するサービスＡが消耗材管理サービスである場合には、プリンタ１００が定期的にインクなどの消耗材の残量情報をサーバ３００Ａに送信する処理を含む。

【0071】

Ａ－５．プリンタ１００とサーバ３００Ａ、４００との処理の詳細
次に、上述した事前準備のうち、プリンタ１００とサーバ３００Ａとの間の処理と、プリンタ１００と仲介サーバ４００との処理について、さらに、説明する。

【0072】

図７は、プリンタ１００とサーバ３００Ａと仲介サーバ４００との処理を示すシーケンス図である。このシーケンス図のうち、Ｓ２２、Ｓ２４は、仲介サーバ４００からアクセス情報を取得するための処理であり、図６のＳ５００に相当する。Ｓ２６、Ｓ２８は、サーバ３００Ａが提供するサービスＡを利用可能にするための処理であり、図６のＳ６００に相当する。Ｓ３０は、サービス処理であり、図６のＳ７００に相当する。

【0073】

プリンタ１００の電源が投入されると、プリンタ１００は、Ｓ２２では、プリンタ１００は、セキュリティチップ１６０に格納されたクレデンシャル情報ＣＩ（図３（Ａ））のうち、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、を読み出す。

【0074】

Ｓ２４では、プリンタ１００は、仲介サーバ４００との間でアクセス情報取得処理を実行する。アクセス情報取得処理は、ＦＤＯ仕様書に規定されたＴＯ１（Transfer Ownership Protocol 1）に従って実行される。具体的には、プリンタ１００は、仲介サーバ情報ＲＳＩを用いて、仲介サーバ情報ＲＳＩに含まれる位置情報（ＵＲＬやＩＰアドレス）によって示される仲介サーバ４００にアクセスする。プリンタ１００は、クレデンシャル情報ＣＩに含まれるＧＵＩＤ、すなわち、自身を識別するＧＵＩＤを仲介サーバ４００に送信する。仲介サーバ４００は、アクセス情報データベースＡＤＢにおいて、受信したＧＵＩＤに対応付けられたアクセス情報ＡＩをプリンタ１００に送信する。これによって、プリンタ１００は、サーバ３００Ａにアクセスするためのアクセス情報ＡＩを取得する。プリンタ１００は、アクセス情報ＡＩを不揮発性記憶装置１３０に格納する。

【0075】

Ｓ２６では、プリンタ１００は、オンボーディング処理に用いるべき情報を読み出す。例えば、不揮発性記憶装置１３０からアクセス情報ＡＩが読み出され、セキュリティチップ１６０からクレデンシャル情報ＣＩのうち、オンボーディング処理に用いるべき情報が読み出される。

【0076】

Ｓ２８では、プリンタ１００は、サーバ３００Ａとの間でオンボーディング処理を実行する。オンボーディング処理は、ＦＤＯ仕様書に規定されたＴＯ２（Transfer Ownership Protocol 2）に従って実行される。具体的には、プリンタ１００は、アクセス情報ＡＩに含まれる位置情報（ＵＲＬやＩＰアドレス）によって示される対象サーバであるサーバ３００Ａにアクセスする。プリンタ１００は、サーバ３００Ａとの間で、認証処理と、サービス準備処理と、を含む。

【0077】

認証処理は、プリンタ１００と対象サーバとの間で、互いに相手の正当性を確認する処理である。例えば、プリンタ１００は、所定のフォーマット（例えば、ＥＡＴ（Entity Attestation Token）フォーマット）に従うトークンをサーバ３００Ａに送信し、サーバ３００Ａは、該トークンの正当性を指定された公開鍵を用いて検証することで、プリンタ１００の正当性を確認する。

【0078】

サーバ３００Ａは、さらに、所定のメッセージと、秘密鍵を用いて該メッセージを暗号化することによって得られる署名データと、をプリンタ１００に送信する。サーバ３００Ａは、プリンタ１００から送信されるＧＵＩＤに対応付けられたバウチャーＶＣをバウチャーデータベースＶＤＢから取得してプリンタ１００に送信する。プリンタ１００は、受信したバウチャーＶＣのバウチャーヘッダＶＨに含まれる公開鍵ＰＫｍを、クレデンシャル情報ＣＩに含まれる公開鍵ハッシュＰＫＨを用いて検証する。具体的には、プリンタ１００は、公開鍵ＰＫｍを所定のハッシュ関数を用いて変換することによってハッシュ値を生成する。プリンタ１００は、該ハッシュ値がクレデンシャル情報ＣＩに含まれる公開鍵ハッシュＰＫＨと一致するか否かを確認する。

【0079】

プリンタ１００は、バウチャーＶＣに含まれるエントリＥＴ１、ＥＴ２を順次に検証する。例えば、プリンタ１００は、検証済みの公開鍵ＰＫｍを用いてエントリＥＴ１を検証する。プリンタ１００は、検証済みのエントリＥＴ１に含まれる公開鍵ＰＫｓ１を用いてエントリＥＴ２を検証する。最後にプリンタ１００は、検証済みのエントリＥＴ２に含まれる公開鍵ＰＫｓ２を用いて、サーバ３００Ａから送信された署名データを検証することで、サーバ３００Ａの正当性を確認する。

【0080】

サービス準備処理は、認証処理によって互いの正当性が確認された後に、プリンタ１００とサーバ３００Ａとの間でサービス処理を実行するために必要なサービス設定情報を交換する処理である。サービス準備処理が完了すると、プリンタ１００とサーバ３００Ａとは、サービス処理を実行することができる状態になる。プリンタ１００がサーバ３００Ａから取得するサービス設定情報は、例えば、プリンタ１００とサーバ３００Ａとの間でサービス処理に関する通信を行う際に用いられるトークンや、フォーマット情報や、プロトコル情報を含む。

【0081】

ここで、プリンタ１００がサーバ３００Ａの正当性を確認できる場合、すなわち、認証処理の結果が肯定的である場合には、プリンタ１００は、サービス準備処理を実行して、サービス設定情報をサーバ３００Ａから取得する。一方、プリンタ１００がサーバ３００Ａの正当性を確認できない場合、すなわち、認証処理の結果が否定的である場合には、プリンタ１００は、サービス準備処理を実行せず、サービス設定情報を取得しない。

【0082】

オンボーディング処理後のＳ３０では、プリンタ１００と対象サーバ（サーバ３００Ａ）とは、協働して、サービス処理を実行する。

【0083】

以上説明した本実施例では、ＦＤＯ仕様書に規定された手法を用いるので、例えば、以下の利点がある。上記手法では、ユーザや販売会社は、ユーザが利用することを望むサービスを提供する対象サーバにバウチャーＶＣを登録する（図６のＳ３００）ことによってサービスの提供を受けることができる。このために、ユーザや販売会社は、ユーザが提供を受けるべきサービスを容易に選択できる。

【0084】

また、プリンタ１００は、対象サーバのアクセス情報ＡＩを仲介サーバ４００から取得できる（図６のＳ５００）。このために、プリンタ１００の製造工程の段階では、仲介サーバ４００に接続するための仲介サーバ情報ＲＳＩがプリンタ１００（不揮発性記憶装置１３０）に格納されていれば良く、対象サーバのアクセス情報ＡＩがプリンタ１００に格納されている必要がない。また、プリンタ１００は、対象サーバと協働してサービス処理を実行するために必要なサービス設定情報を対象サーバから取得できる（図６のＳ６００）。このために、プリンタ１００の製造工程の段階では、サービス設定情報がプリンタ１００に記憶されている必要がない。このために、プリンタ１００の製造工程の段階で、利用すべきサービスを想定しておく必要がなく、例えば、プリンタ１００の製造後に提供が開始されたサービスや、プリンタ１００の製造時には製造事業者に認識されていなかった第三者が提供するサービスであったとしても、ユーザはプリンタ１００を用いて該サービスを利用することができる。この結果、サービスの柔軟な提供と利用とを実現できる。例えば、サービスの提供者は、プリンタ１００の改造等を行うことなく、新たなサービスを事後的に追加することもできる。例えば、ユーザや販売会社は、利用するサービスの選択や変更を容易に行うことができる。また、プリンタ１００の製造事業者、販売業者、ユーザのいずれも、例えば、出荷時や使用時にユーザが希望するサービスに接続できるようにプリンタ１００をカスタマイズする必要がないため、プリンタ１００の製造事業者、販売業者、ユーザの負担を軽減できる。

【0085】

さらに、上記手法では、バウチャーＶＣの検証やトークンの検証を行うことによって、プリンタ１００と対象サーバとは、互いの正当性を確認することができる。そして、プリンタ１００や対象サーバは、相手の正当性を確認できない場合には、オンボーディング処理の実行を拒否できる。このために、プリンタ１００が意図しないサーバに接続される、プリンタ１００とは異なる不正なデバイスが対象サーバに接続されるなどのセキュリティ上の問題が生じることを抑制できる。

【0086】

さらに、上記実施例によれば、プリンタ１００は、クレデンシャル情報ＣＩを格納するための記憶装置としてのセキュリティチップ１６０を備えている。プリンタ１００は、検証要求を検証用装置２０に送信する（図２のＳ８）。プリンタ１００は、検証要求に応じて検証用装置２０から送信される署名付データを受信する（図２のＳ１２）。さらに、プリンタ１００は、プリンタ１００は、情報送信要求を設定装置１０に送信する（図２のＳ２）。プリンタ１００は、情報送信要求に応じて設定装置１０から送信されるクレデンシャル情報を受信する（図２のＳ６）。受信されたクレデンシャル情報は、仲介サーバ４００の位置情報を含む仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩとを含む。プリンタ１００は、署名付データを検証し（図２のＳ１４）、署名付データの検証結果が肯定的である場合に（図２のＳ１６にてＹＥＳ）、仲介サーバ情報ＲＳＩとＧＵＩＤとを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納する（図２のＳ２０）。プリンタ１００は、署名付データの検証結果が否定的である場合に（図２のＳ１６にてＮＯ）、処理を中断するので、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。プリンタ１００は、セキュリティチップ１６０に格納される仲介サーバ情報ＲＳＩとＧＵＩＤとを用いて、仲介サーバ４００にアクセスして、ＧＵＩＤと対応付けられたアクセス情報ＡＩを仲介サーバ４００から取得する（図７のＳ２２、Ｓ２４）。プリンタ１００は、アクセス情報ＡＩを用いて、対象サーバ（例えば、サーバ３００Ａ）にアクセスして、対象サーバが提供するサービスを利用するためのサービス設定情報を対象サーバから取得する（図７のＳ２８）。

【0087】

例えば、仲介サーバ情報ＲＳＩが不正にプリンタ１００に格納されると、不正な仲介サーバにプリンタ１００がアクセスする可能性がある。また、ＧＵＩＤが不正にプリンタ１００に格納されると、不正なアクセス情報がプリンタ１００に提供され、不正な対象サーバにプリンタ１００がアクセスする可能性がある。本実施例によれば、署名付データの検証結果が肯定的である場合に、仲介サーバ情報ＲＳＩとＧＵＩＤとを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納し、署名付データの検証結果が否定的である場合に、該クレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。この結果、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0088】

例えば、仮に、図２のＳ８～Ｓ１６の処理を行うことなく、図２のＳ６にて情報送信要求に対する応答としてクレデンシャル情報を受信した場合に、常に、図２のＳ１８～Ｓ２８の処理が行われるとする。この場合には、例えば、プリンタ１００が情報送信要求を送信する送信先が不正な設定装置であったとしても、該不正な設定装置から受信したクレデンシャル情報がプリンタ１００のセキュリティチップ１６０に格納される。本実施例によれば、プリンタ１００は、検証要求に対する応答として署名付データを受信し、かつ、該署名付データの検証結果が肯定的でない限り、クレデンシャル情報がプリンタ１００のセキュリティチップ１６０に格納されることはない。したがって、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを抑制することができる。

【0089】

さらに、上記実施例によれば、図２のＳ６にてプリンタ１００が受信するクレデンシャル情報は、オンボーディング処理にて認証情報として用いられる公開鍵ＰＫｍを含んでいる。すなわち、プリンタ１００は、図２のＳ６にて公開鍵ＰＫｍを設定装置１０から受信する。プリンタ１００は、署名付データの検証結果が肯定的である場合に（Ｓ１６にてＹＥＳ）、公開鍵ＰＫｍに基づく情報である公開鍵ハッシュＰＫＨを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納する。プリンタ１００は、署名付データの検証結果が肯定的でない場合に（Ｓ１６にてＮＯ）、公開鍵ハッシュＰＫＨを含むクレデンシャル情報ＣＩをセキュリティチップ１６０に格納しない。この結果、プリンタ１００のセキュリティチップ１６０に不正な認証情報（例えば、公開鍵）に基づく情報（例えば、公開鍵ハッシュ）が格納されることを抑制することができる。この結果、例えば、不正な対象サーバとの間の認証処理が、不正な認証情報に基づいて実行されることで、不正な対象サーバとの間の認証処理が肯定的な結果になる不具合を抑制できる。したがって、プリンタ１００が不正な対象サーバにオンボードされることを抑制できる。

【0090】

さらに、本実施例によれば、システム１０００Ａは、外部装置として、設定装置１０と、検証用装置２０と、を備えている。そして、プリンタ１００は、検証要求を検証用装置２０に送信し、情報送信要求を設定装置１０に送信する。この結果、例えば、不正な設定装置が用意されたとしても、正当な検証用装置２０が存在しない環境下では、クレデンシャル情報ＣＩがセキュリティチップ１６０に格納されない。この結果、プリンタ１００のセキュリティチップ１６０にクレデンシャル情報が不正に格納されることを効果的に抑制することができる。

【0091】

さらに、本実施例によれば、プリンタ１００は、ランダムデータを含む検証要求を検証用装置２０に送信する（図２のＳ８）。プリンタ１００は、秘密鍵ＳＫを用いた署名処理をランダムデータに対して実行して得られる署名付データを受信し（図２のＳ１２）、公開鍵ＰＫを用いて該署名付データを検証する（図２のＳ１４）。この結果、公開鍵と秘密鍵とを用いる公開鍵暗号方式を利用して、適切で信頼性の高い検証が実行できる。

【0092】

さらに、本実施例によれば、プリンタ１００は、図２のＳ２にて情報送信要求を送信した後に、検証要求を送信する（図２のＳ８）。上記構成によれば、プリンタ１００が情報送信要求を送信した場合、すなわち、プリンタ１００がクレデンシャル情報ＣＩの格納する可能性がある場合に限って、公開鍵ＰＫと秘密鍵ＳＫとに基づく検証（図２のＳ８～Ｓ１６）が実行される。したがって、不要な検証が実行されることを抑制できる。

【0093】

さらに、本実施例によれば、プリンタ１００は、署名付データの検証結果が肯定的である場合に（Ｓ１６にてＹＥＳ）、Ｓ６にて受信したクレデンシャル情報を用いて生成されるメッセージ認証コードであるＨＭＡＣを設定装置１０に送信する（図２のＳ２４）。プリンタ１００は、署名付データの検証結果が否定的である場合に（Ｓ１６にてＮＯ）、該ＨＭＡＣを設定装置１０に送信しない。この結果、不正な設定装置に対して、ＨＭＡＣを送信することを抑制できる。

【0094】

さらに、本実施例によれば、プリンタ１００は、ＩＰネットワークを用いて、検証用装置２０に検証要求を送信し、ＩＰネットワークを用いて、検証用装置２０から署名付データを受信する。プリンタ１００は、インターネットＩＴに接続されて使用されることが想定されている（図４）ので、インターネットＩＴとの接続に一般的に用いられるＩＰネットワークと接続するための機能を備えている。このために、プリンタ１００が、ＩＰネットワークとは異なる通信経路を用いた通信機能（例えば、Bluetooth）を備えていない場合であっても、クレデンシャル情報が不正に格納されることを抑制するための検証を行うことができる。

【0095】

さらに、本実施例によれば、プリンタ１００は、署名付データの検証結果の履歴を検証履歴テーブルＨＴに記録する（図２のＳ１５、図３（Ｃ））。出荷後に、プリンタ１００が不正な仲介サーバと通信を行った場合や、不正な対象サーバにオンボードされた場合等には、その原因を調査する必要が生じ得る。本実施例では、このような場合に、クレデンシャル情報ＣＩを格納するクレデンシャル格納処理に問題があったか否かを、検証履歴テーブルＨＴを参照することによって容易に確認することができる。

【0096】

以上の説明から解るように、第１実施例のプリンタ１００は、デバイスの例であり、設定装置１０と検証用装置２０とは外部装置の例であり、セキュリティチップ１６０は記憶装置の例であり、公開鍵ＰＫｍは認証情報の例である。また、署名付データは検証情報の例であり、ランダムデータは元情報の例である。

【0097】

Ｂ．第２実施例
第２実施例では、クレデンシャル格納処理において実行される処理の順序が第１実施例とは異なる。図８は、第２実施例のクレデンシャル格納処理のフローチャートである。第１実施例（図２）では、Ｓ２にて、プリンタ１００が情報送信要求を設定装置１０に送信し、Ｓ６にて、プリンタ１００が情報送信要求に対する応答としてクレデンシャル情報を受信した後に、プリンタ１００は検証要求をブロードキャストによって検証用装置２０に送信している。

【0098】

これに代えて、第２実施例（図８）では、先ず、Ｓ２Ｂにて、プリンタ１００は検証要求をブロードキャストによって検証用装置２０に送信する。検証用装置２０は、図２のＳ１０、Ｓ１２と同様に、署名付データを生成し（図８のＳ４Ｂ）、該署名付データをプリンタ１００に送信する（図８のＳ６Ｂ）。

【0099】

プリンタ１００は、署名付データを受信すると、図２のＳ１４、Ｓ１５と同様に、該署名付データを検証し（図８のＳ８Ｂ）、検証結果を検証履歴テーブルＨＴに記録する（図８のＳ９Ｂ）。

【0100】

プリンタ１００は、署名付データの検証結果が肯定的である場合には（図８のＳ１０Ｂ：ＹＥＳ）、プリンタ１００は、Ｓ１２Ｂにて、情報送信要求を設定装置１０に送信する。図８のＳ１２Ｂの後のＳ１４Ｂ、Ｓ１６Ｂは、図２のＳ４、Ｓ６と同一である。図８のＳ１６Ｂの後のＳ１８～Ｓ２８は、図２の同符号の処理と同一である。

【0101】

そして、プリンタ１００は、署名付データの検証結果が否定的である場合には（図８のＳ１０Ｂ：ＮＯ）、クレデンシャル格納処理を中断する。したがって、署名付データの検証結果が否定的である場合には、プリンタ１００は、情報送信要求を送信しない。すなわち、この場合には、図８のＳ１２Ｂ以降の処理は、実行されない。

【0102】

以上説明した第２実施例によれば、プリンタ１００は、署名付データの検証結果が肯定的である場合に（図８のＳ１０ＢにてＹＥＳ）、情報送信要求を設定装置１０に送信し（Ｓ１２Ｂ）、署名付データの検証結果が否定的である場合に（図８のＳ１０ＢにてＮＯ）、情報送信要求を設定装置１０に送信しない。上記構成によれば、不正な設定装置と通信が行われることを第１実施例よりもさらに抑制できる。

【0103】

Ｃ．第３実施例
図９は、第３実施例のクレデンシャル格納処理のフローチャートである。第３実施例では、設定装置１０の不揮発性記憶装置に、第１、第２実施例にて検証用装置２０の不揮発性記憶装置２３に格納される秘密鍵ＳＫが格納される。第３実施例の設定装置１０のその他の構成は、第１実施例の設定装置１０（図１）と同一である。

【0104】

第３実施例では、上記第１、第２実施例において設定装置１０と検証用装置２０とが実行する処理の両方を、設定装置１０が実行する。第３実施例では、検証用装置は不要である。

【0105】

図９のＳ２～Ｓ８は、図２の同符号の処理と同一である。第１実施例では、上述したように、設定装置１０は、図２のＳ８にてプリンタ１００からブロードキャストによって送信される検証要求を受信しても、何も処理を行わない。これに代えて、第３実施例では、設定装置１０は、図２のＳ８にてプリンタ１００からブロードキャストによって送信される検証要求を受信すると、Ｓ１０Ｃにて、署名付データを生成する。署名付データは、第１実施例の署名付データ（図２のＳ１０）と同様に、検証要求に含まれるランダムデータに対して秘密鍵ＳＫを用いた署名処理を実行することによって生成される。

【0106】

図９のＳ１２Ｃでは、設定装置１０は、生成した署名付データを、検証要求に対する応答としてプリンタ１００に送信する。これによって、図２のＳ１２と同様に、プリンタ１００は、署名付データを受信する。図９のＳ１４～Ｓ２８は、図２の同符号の処理と同一である。

【0107】

以上説明した第３実施例によれば、検証用装置が不要であるので、製造工程におけるシステム１０００Ａの装置構成を簡素化できる。

【0108】

Ｄ．変形例
（１）上記各実施例にて説明したクレデンシャル格納処理は、一例であり、適宜に変更され得る。例えば、上記各実施例では、公開鍵ＰＫと秘密鍵ＳＫとを用いる公開鍵暗号方式を利用した検証が行われている。検証の方法は、これに限らず、他の方法が採用されても良い。例えば、共有鍵を利用した検証が行われても良い。具体的には、以下の処理が実行されても良い。プリンタ１００の不揮発性記憶装置１３０と、検証用装置２０の不揮発性記憶装置２３とには、事前に同一の共有鍵が格納される。図２のＳ１０にて、検証用装置２０は、ランダムデータに対して該共有鍵を用いて暗号化することによって検証データを生成し、図２のＳ１２にて、該検証データをプリンタ１００に送信する。図２のＳ１４では、プリンタ１００は、該検証データを、共有鍵を用いて復号することによってランダムデータを取得する。プリンタ１００は、復号によって得られたランダムデータと、Ｓ８にて検証用装置２０に送信したランダムデータと、が一致するか否かを検証する。プリンタ１００は、これらの２つのランダムデータが一致する場合に、検証結果が肯定的であると判断し、これらの２つのランダムデータが一致しない場合に、検証結果が否定的であると判断する。

【0109】

（２）上記実施例では、プリンタ１００と検証用装置２０との通信は、ＩＰネットワークであるローカルエリアネットワークＬＮを用いて行われる。これに代えて、プリンタ１００と検証用装置２０との通信は、他の通信手段を用いて行われても良い。例えば、プリンタ１００と検証用装置２０との通信（図２のＳ８、Ｓ１２）は、ｗｉ－ｆｉ規格に従う無線通信を確立する際に送受信されるビーコンフレームを用いて実行されても良い。プリンタ１００と検証用装置２０との通信は、Bluetooth ClassicやBluetooth Low Energy(BLE)の規格に従う無線通信を用いて実行されても良い。

【0110】

（３）上記各実施例にて説明したクレデンシャル格納処理において、検証結果の記録（図２、図９、図９のＳ１５）は、省略されても良い。

【0111】

（４）上記各実施例では、デバイスとしてプリンタ１００が採用されている。これに限らず、対象サーバと協働してユーザに対してサービスを提供する他のデバイスが採用されても良い。他のデバイスを用いるサービスには、例えば、自宅やオフィスなどに設定された他のデバイス（例えば、監視カメラ、調理器具等の電化製品）を、端末装置（端末アプリケーション）から対象サーバを介して遠隔操作するサービスが含まれ得る。

【0112】

（５）上記各実施例において、プリンタ１００は、セキュリティチップ１６０を搭載し、クレデンシャル情報ＣＩは、セキュリティチップ１６０に格納される。これに代えて、クレデンシャル情報ＣＩの全部または一部は、セキュリティチップ１６０内のメモリとは異なる記憶装置に格納されても良い。

【0113】

（６）上記実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部あるいは全部をハードウェアに置き換えるようにしてもよい。

【0114】

以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

【符号の説明】

【0115】

１０００Ａ,１０００Ｂ…システム,１０…設定装置,１１…ＣＰＵ,１２…揮発性記憶装置,１３…不揮発性記憶装置,１８…通信ＩＦ,２０…検証用装置,２１…ＣＰＵ,２２…揮発性記憶装置,２３…不揮発性記憶装置,１００…プリンタ,１１０…ＣＰＵ,１２０…揮発性記憶装置,１３０…不揮発性記憶装置,１４０…表示部,１５０…操作部,１６０…セキュリティチップ,１７０…印刷機構,１８０…通信ＩＦ,２００…端末装置,３００Ａ～３００Ｄ…サーバ,３１０…ＣＰＵ,３２０…揮発性記憶装置,３３０…不揮発性記憶装置,３８０…通信ＩＦ,４００…仲介サーバ,４１０…ＣＰＵ,４２０…揮発性記憶装置,４３０…不揮発性記憶装置,４８０…通信ＩＦ,ＡＤＢ…アクセス情報データベース,ＡＩ…アクセス情報,ＢＰ…ブラウザプログラム,ＣＩ…クレデンシャル情報,ＩＴ…インターネット,ＬＮ…ローカルエリアネットワーク,ＰＧａ,ＰＧｂ,ＰＧｐ,ＰＧｓ,ＰＧｔ…コンピュータプログラム,ＶＣ…バウチャー,ＶＤＢ…バウチャーデータベース

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】