CN101312394A - 公开密钥证件的有效性确认方法 - Google Patents

公开密钥证件的有效性确认方法 Download PDF

Info

Publication number
CN101312394A
CN101312394A CNA2008101259446A CN200810125944A CN101312394A CN 101312394 A CN101312394 A CN 101312394A CN A2008101259446 A CNA2008101259446 A CN A2008101259446A CN 200810125944 A CN200810125944 A CN 200810125944A CN 101312394 A CN101312394 A CN 101312394A
Authority
CN
China
Prior art keywords
path
key certificate
validation
accelerating public
public
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2008101259446A
Other languages
English (en)
Other versions
CN101312394B (zh
Inventor
熊谷洋子
藤城孝宏
锻忠司
羽根慎吾
下之薗仁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Publication of CN101312394A publication Critical patent/CN101312394A/zh
Application granted granted Critical
Publication of CN101312394B publication Critical patent/CN101312394B/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models
    • H04L9/007—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models involving hierarchical structures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明提供一种高速化验证公开密钥证件的方法和装置。即使是在进行路径检索以后存在新路径的场合，也能应答适当的结果，而且，也能缩短终端实体从委托公开密钥证件的有效性确认到知道其结果所花费的时间。证件的有效性确认局预先定期地检索、验证路径和失效证件表，按照该验证结果，分成有效路径和无效路径，并向数据库登录。另外，在存在来自终端实体的证件有效性确认委托的场合，调查与该委托对应的路径被登录在有效路径数据库还是无效路径数据库中，并判断该公开密钥证件的有效性。另一方面，在与该有效性确认委托对应的路径没有被登录在数据库中的场合，通过重新进行路径检索、验证，进行该公开密钥证件的有效性确认。

Description

公开密钥证件的有效性确认方法
本申请为同一申请人于2004年2月27日提交的申请号为200410007295.1、发明名称为“高速化验证公开密钥证件的方法和装置”的中国专利申请的分案申请。
技术领域
本发明涉及用于在公开密钥基础设施(Public Key Infrastructrure：以下叫做“PKI”)中验证对于某终端接受的电子手续的署名的公开密钥证件，并涉及适用于确认其有效性的技术。
背景技术
在民用系统、公共系统的各种组织、团体中，为了将以前在书面上进行的各种手续电子化，而正在进行PKI的引入、配备。
图12表示在PKI中有多个认证局(Certificate Authority：以下，叫做“CA”)时的各CA之间的关系的例子。
如图示那样，进行公开密钥证件的发行及其管理的各CA形成具有以路由CA1为顶点的树形构造的组。该组叫做保密区域，是在1个政策管理机关的基础上被运用的PKI的单位。路由CA1向位于从其自身位置起下游一层的各个CA21～CA2n发行公开密钥证件。另外，各个CA21～CA2n向位于从其自身位置起下一层的各个CA31～CA3n1发行公开密钥证件。这样，在树(形结构)上，位置上一层的CA向位于其自身的下一层的CA发行公开密钥证件。然后，位置在最下层的CAs1～CAsnm(以下，叫做“末端实体证件发行CA”)向办理电子手续的用户(末端实体：以下叫做“EE”)EE1～EEx发行公开密钥证件。
在EE1～EEx各自的装置生成电子文档时使用的保密密钥(署名密钥)的正当性通过由容纳自身的终端收容认证局CAs1～CAsnm发行的公开密钥证件被证明，在生成由终端收容认证局CAs1～CAsnm各自的装置发行的公开密钥证件的署名时使用的保密密钥的正当性通过由容纳自身的认证局CA(s-1)～CA(s-1)n(m-1)发行的公开密钥证件被证明。因此，在EE1～EEx各个装置生成署名时使用的保密密钥最终通过由路由认证局CA发行的公开密钥证件被证明。将最终证明该EE1～EEx的装置在生成署名时所使用的密钥的正当性的认证局，换言之，EE1～EEx所信赖的、树形结构最上层的CA叫做委托机构(trustanchor)CA。
那么，在图12中，EE1装置用EE1保持的自身的保密密钥对于应发送到EEx装置的电子文档进行署名。然后在已署名的电子文档中，附加与CA1发行的该保密密钥对等的EE1的公开密钥证件，并发送到EEx装置。
EEx装置可使用被附加在该电子文档中的EE1的公开密钥证件来验证从EE1接收的电子文档的署名。但是，由于EE1的公开密钥证件不是EEx的证件发行CAsnm发行的，如果EEx没有确认该公开密钥证件的有效性是通过作为其自身的委托机构CA的路由CA1而被证明的，那么就不能信赖该公开密钥证件。该公开密钥证件的有效性确认处理通过以下次序进行。(1)从委托机构CA到公开密钥证件发行源的路径检索：以委托机构CA(此处是路由CA1)作为起点CA，调查起点CA发行的公开密钥证件的发行目的地，当在该发行目的地中包含CA时，反复进行调查该CA发行的公开密钥证件的发行目的地的处理，直到在该公开密钥证件的发行目的地中包含EE证件发行CA(此处是发行EE1的公开密钥证件的CAs1)为止，并检索从委托机构CA到EE证件发行CA的路径。(2)检索的路径的验证：根据通过该(1)检索的路径上的各CA，得到对路径上位于该CA的下一层侧的CA发行的公开密钥证件。然后用比发行了该公开密钥证件的CA(此处是EE证件发行CAs1)上一层的CA所发行的公开密钥证件，验证有效性确认对象的公开密钥证件(此处为EE证件发行CAs1对EE1发行的公开密钥证件)的署名，在可验证的场合，连续进行用再上一层的CA所发行的公开密钥证件验证该上一层的CA所发行的公开密钥证件的署名的处理，直到该上一层的CA变成委托机构CA为止。然后，在这样的公开密钥证件的署名验证可进行到委托机构时，确认有效性确认对象的公开密钥证件的有效性被确认。
在EEx装置使用被添加到电子文档中的EE1的公开密钥证件验证从EE1装置接收的该电子文档的署名的同时，通过按照该(1)、(2)所示的次序确认在该电子文档的署名验证中所使用的EE1的公开密钥证件的有效性，能够确认该电子文档的正当性。
此外，以上将用EE装置进行公开密钥证件的有效性确认处理作为前提。但是，公开密钥证件的有效性确认处理的负载大，为了用EE进行该处理，对该EE装置要求高的处理能力。因此，设置经由网络与EE装置连接的证件有效性确认局(以下，叫做“ValidationAuthority：VA”)，在该VA装置中代替该EE进行公开密钥证件的有效性确认的技术由作为确定与英特网有关的各种技术的标准化的组织的IETF(Internet Research Task Force)建议。在VA装置中，在进行公开密钥证件的有效性确认的场合，首先，EE装置将公开密钥证件的有效性确认委托送交VA装置。接着，在VA装置中，进行该(1)、(2)的处理，最后，将该结果送交EE装置。
这时，作为用于缩短从EE装置委托公开密钥证件的有效性确认到知道该结果所花费的时间的方法，包括如下方法。
在VA装置中，预先定期地检索路径，并登录到路径数据库中。然后，在存在来自某个EE装置的公开密钥证件的有效性确认委托的场合，通过在VA装置的路径数据库中检索相对应的路径，并进行检索出的路径的验证，来确认该公开密钥证件的有效性(例如，参照专利文献1)。
另外，还有一种方法，在VA装置中，预先定期地检索全部路径，进行检索出的路径的验证。只将验证成功的路径(有效路径)预先登录到路径数据库中。然后，在存在来自某个EE装置的公开密钥证件的有效性确认委托的场合，通过调查相对应的路径是否被登录在VA装置的路径数据库中，来确认该公开密钥证件的有效性(例如，参照专利文献2)。
【专利文献1】
美国专利第6134550号说明书
【专利文献2】
美国专利申请公开第2002/046340号说明书
发明内容
使用在该专利文献2中所记载的方法，在与从EE装置接收的公开密钥证件的有效性确认委托对应的路径没有被登录到路径数据库中的场合，判定有效性确认对象证件无效。但是，若遵照该方法，那么在接收来自EE装置的公开密钥证件的有效性确认委托时，新存在在路径检索时不存在的路径的场合，会将有效的公开密钥证件判断为无效。在该专利文献2中，关于这样场合的处理没有被记述。
另外，在该专利文献1中，也没有记述对应于从EE装置接收的公开密钥证件的有效性确认委托的路径没有被登录在路径数据库中时的处理。
这样，在对应于VA接收的有效性确认委托的路径没有被登录在路径数据库中的场合，通过重新进行路径检索、验证，能够应答适当的结果。但是，存在该场合的有效性确认处理时间变长的问题。
目前，在民用系统、公共系统的各种组织、团体中，进行PKI的引入、配备，其结果，可以预想到多个保密区域并列在一起，变成复杂的PKI构成。而且，若利用PKI的应用被普及，那么可以预想将形成大量的有效性确认委托。在这样的场合，从EE委托公开密钥证件的有效性确认到知道其结果所花费的时间将变长，并招致服务质量的下降。
本发明提供在路径检索时不存在的路径在路径检索之后被形成的场合下，也能应答适当的结果的技术，和/或进一步缩短从EE委托公开密钥证件的有效性确认到知道其结果所花费的时间的技术。
具体地说，在本发明中，经由网络，与多个终端装置(EE装置)和CA装置连接的VA装置按照某个EE装置的委托，为确认公开密钥证件的有效性而进行以下的处理。
针对通过发行公开密钥证件而被涉及的全部CA，检索存在的全部路径，并对通过该路径检索而检测出的路径进行验证。另外，取得与位于检测出的路径端点的EE证件发行CA所发行的EE证件相关的失效表(Certificate Revocation List，以下，叫做“CRL”)。对于已取得的CRL，确认该CRL是在有效期间内，同时，利用该CRL的发行CA的公开密钥证件进行该CRL的署名验证。然后，将可验证的路径和不可验证的路径进行分类，并登录在路径数据库中。该路径数据库生成处理独立于来自EE的公开密钥证件的有效性确认委托，按照规定的规则重复，例如定期地进行。
然后，当存在来自某个EE的公开密钥证件的有效性确认委托时，调查与它对应的路径是否被登录在路径数据库中，在作为可验证路径被登录在数据库中时，通过使用登录在数据库中的CRL来确认该公开密钥证件是否失效，可确认该公开密钥证件的有效性。
另一方面，在与该公开密钥证件对应的路径作为不可验证的路径被登录到数据库中时，除被登录的该无效路径外，调查有效路径是否存在，在不存在的场合，认为该公开密钥证件为不能验证的证件。当检测出新的路径和CRL的场合，使用该路径和该CRL确认该公开密钥证件的有效性，以该验证结果为基础，在路径数据库中进行追加登录。
另外，在对应于已存在有效性确认委托的公开密钥证件的路径和CRL没有被登录在路径数据库中时，通过重新进行路径和CRL的检索、验证处理，来确认该公开密钥证件的有效性。这时，在检测出新的路径和CRL的场合，以该路径和该CRL的验证结果为基础在路径数据库中进行追加登录。
依据本发明，当从某个EE接收了公开密钥证件的有效性确认委托时，即使在路径检索之后形成新的路径的场合，也能够应答适当的结果。而且，与有效性确认委托对应的路径在作为可验证的路径登录时，没有必要进行如上述(1)、(2)所示的、从该EE的委托机构CA到该公开密钥证件的EE证件发行CA的路径检索、检测出的路径验证、以及与该公开密钥证件对应的CRL的署名验证。另外，当与有效性确认委托对应的路径作为不能验证的路径登录时，能够用少量的处理进行路径检索、验证。因此，能缩短从某个EE委托公开密钥证件的有效性确认到该有效性被确认所花费的时间。
依据本发明，即使在路径检索之后形成新的路径的场合下，也能够应答适当的结果，和/或能够缩短从EE委托公开密钥证件的有效性确认到知道其结果所花费的时间。
附图说明
图1是表示本发明的一个实施形态所适用的PKI系统的概略构成的图。
图2是表示在图1所示的PKI系统中的各CA的关系的一例的图。
图3是表示图1所示的EE的概略构成的图。
图4是表示图1所示的VA的概略构成的图。
图5是表示图1所示的VA的概略构成的图。
图6是表示图3～图5所示的EE、CA以及VA的各自硬件构成例子的图。
图7是用于说明用图5所示的VA进行的路径检索、验证以及管理动作的流程图。
图8是用于说明用图5所示的VA进行的路径检索、验证以及管理动作的流程图。
图9是表示在各CA具有图2所示的关系时，由VA的路径检索部分51检测出的全部路径的图。
图10是用于说明用图5所示的VA进行的公开密钥证件的有效性确认动作的流程图。
图11是用于说明用图5所示的VA进行的公开密钥证件的有效性确认动作的流程图。
图12是表示在现有的PKI中，存在多个认证局时的CA关系的一例的图。
具体实施方式
图1是表示本发明的一个实施形态所适用的PKI系统的概略构成的图。
本实施例的PKI系统由办理电子手续的多个EE1装置(11)～EEN装置(11)(总称为“EE装置”)，进行公开密钥证件发行业务的CA1装置(13)～CAM装置(13)，公开密钥证件的有效性确认局VA(14)，以及分别与各部件连接的英特网等网络(以下，叫做“NET”)16组成。
图2是表示在图1所示的系统中的各CA的关系的一例的图。
如图所示那样，在本实施形态的PKI系统中，以所谓的民用系统、政府系统等多个保密区域SD(SD1～SD2)并存为前提。另外，各保密区域SD的路由CA(在图2中为CA11、CA21)，例如，通过在向桥式认证局CAbridge发行公开密钥证件的同时，接受从CAbridge发行公开密钥证件，进行与CAbridge之间的相互认证。通过这么做，在属于某个保密区域SD的CA和属于其它保密区域SD的CA之间，形成用于在一方的CA中能确认另一方的CA所发行的公开密钥证件的有效性的路径。
接着，说明关于构成图1的PKI系统的各装置。
首先，使用图3说明EE装置(11)。
EE装置(11)具有处理部分30a和存储部分30b，经由NET16用于与其它装置通信的通信部分30c，以及进行用户(EE)生成的电子文档和从其它的EE接收的电子文档的输入输出以及接收来自用户的指示的输入输出部分30d。
处理部分30a具有生成对电子文档的署名的署名生成部分31，进行署名验证的署名验证部分32，以及总控制EE装置的各部分的控制部分33。
存储部分30b具有用于保持用户生成的电子文档的电子文档保持部分34，用于保持保密密钥(署名密钥)、与之相对的公开密钥的公开密钥证件、运用该EE装置的EE所信赖的CA的自己署名证件的密钥保持部分35，以及用于保持附有从其它EE接收的署名的电子文档和公开密钥证件的验证对象保持部分36。
在这样的构成中，控制部分33经由输入输出部分30d从用户接收到表示应将保持在电子文档保持部分34中的电子文档发送到其它EE的的指示时，从电子文档保持部分34中读出该电子文档，并将它传送到署名生成部分31。署名生成部分31使用保持在密钥保持部分35中的保密密钥生成对所传送的该电子文档的署名。
控制部分33将在署名生成部分31中所生成的署名附加到从电子文档保持部分34读出的电子文档中，生成附有署名的电子文档，并经由通信部分30c向用户所指示的发送目的地的EE装置发送所生成的附有署名的电子文档和保持在密钥保持部分35中的公开密钥证件。若控制部分33经由通信部分30c从其它EE装置接收到附有署名的电子文档和公开密钥证件，那么使它们相关联，并保持在验证对象保持部分36中，同时，将这些验证请求通知给署名验证部分32。
署名验证部分32接收该请求后，使用对应的公开密钥证件验证保持在验证对象保持部分36中的附有署名的电子文档的署名。署名验证部分32将该署名验证中所使用的公开密钥证件的有效性确认委托发送给VA装置(14)。这时，按照要求，将想要用该附有署名的电子文档进行的与电子手续有关的政策(例如，交易额等的可靠性)的验证委托包含在该确认委托中。然后，在VA装置(14)中，只在也包含该政策验证的该公开密钥证件的有效性被确认时，才将附有署名的电子文档作为正当的文档处理，并根据需要从输入输出部分30d输出。
接着，使用图4说明CA装置(13)。
CA装置(13)具有处理部分40a，存储部分40b，用于经由NET16进行与其它装置通信的通信部分40c，进行公开密钥证件等的输入输出、来自该装置的操作者的指示的接收以及处理结果的输出的输入输出部分40d。
处理部分40a具有发行公开密钥证件的发行部分41，进行由发行部分41发行的公开密钥证件的管理的管理部分42，以及总体控制CA装置的各部分的控制部分43。
存储部分40b具有用于保持发行部分41发行的公开密钥证件的公开密钥证件数据库44，用于保持记述了保持在公开密钥证件数据库44中的各公开密钥证件的发行目的地的发行目的地管理表的发行目的地管理表保持部分45，以及失效证件表保持部分46。
在这样的构成中，控制部分43若经由输入输出部分40d接收公开密钥证件的发行委托，就将该内容传给发行部分41。发行部分41在接收它之后，生成与之相对应的公开密钥证件。这时，用CA的保密密钥在公开密钥证件中进行署名。另外，根据需要，在公开密钥证件中，记述该公开密钥证件的有效期限、没有委托的其它认证局的名称(Name Constrains)用于该公开密钥证件的有效性确认的所容许的最大路径长度(路径上容许的最大认证局个数)以及表示电子手续的交易额等政策。然后，经由输入输出部分40d或通信部分40c，通过邮送或通信将已生成的公开密钥证件发送给发行委托源。在将该公开密钥证件登录在公开密钥证件数据库44中的同时，将它的发行目的地(即发行委托源)的信息记述在发行目的地管理表保持部分45中所保持的发行目的地管理表中。
控制部分43若经由输入输出部分40d或通信部分40c接收公开密钥证件的失效委托，那么就将该委托传送到管理部分42。管理部分42接受它之后，从公开密钥证件数据库43中删除失效对象的公开密钥证件，同时，从发行目的地管理表保持部分44所保持的发行目的地管理表中删除该公开密钥证件的发行目的地的信息。然后，管理部分42定期地生成记述关于因失效委托而从公开密钥证件数据库43中删除的公开密钥证件信息的失效证件表，并将它保持在失效证件表保持部分45中。此外，管理部分42使下次预定生成失效证件表的时日记述在所生成的失效证件表中。
另外，控制部分43若经由通信部分40c从其它装置接收关于公开密钥证件的失效信息的询问，就检索失效证件表保持部分45中所保持的失效证件表，并调查所询问的公开密钥证件是否失效。然后，也能够经由通信部分40c在进行询问的其它装置中应答该结果。(作为在这样的询问应答中使用的通信协议，包括OSCP(Online Certificationstatus protocol)。
管理部分42调查在公开密钥证件数据库44中所存储的各公开密钥证件的有效期限，也进行从发行管理表保持部分45中所保持的发行管理表中删除超过有效期限的公开密钥证件的发行目的地信息。
接着，使用图5说明VA装置(14)。
如图5所示那样，VA装置(14)具有处理部分50a，存储部分50b，用于经由英特网NET16与其它装置进行通信的通信部分50c，以及进行公开密钥证件等的输入输出和来自用户指示的接收的输入输出部分50d。
处理部分50a具有路径检索部分51，路径验证部分52，有效期限/失效状态调查部分53，有效性确认部分54，以及总体控制VA装置的各部分的控制部分55。另外，存储部分50b具有路径数据库56，以及失效证件表生成预定时日数据库57。其中，路径数据库56具有有效路径数据库56A，以及无效路径数据库56B。
路径检索部分51，例如定期地将任意CA作为委托机构CA，检索从该委托机构CA到发行EE证件的全部EE证件发行CA的路径。另外，取得检测出的路径的EE证件发行CA所发行的、关于EE证件的失效证件表(CRL)。委托机构CA能够通过设置全部的CA或设定作为一部分的CA来进行检索。
路径验证部分52每当在路径检索部分51中进行路径检索，进行对该路径检索部分51中检测出的路径的验证。在路径检索部分51中能取得与该路径对应的CRL的场合，进行该CRL的验证。然后，与变成位于该路径两端的委托机构CA的名称和EE证件发行CA的名称对相对应地，根据该验证结果将构成该路径的各CA名、各证件、以及有关EE证件的CRL登录在有效路径数据库56A或无效的数据库56B中。
有效期限/失效状态调查部分53对于登录在有效路径数据库56A中的各个路径调查构成该路径的各公开密钥证件的有效期限和有无失效。然后，根据该结果，更新路径数据库56。另外，有效期限/失效状态调查部分53将从各CA的失效证件表保持部分46得到的失效证件表中所记述的下次失效证件表生成预定时日与该CA相对应地登录在失效证件表生成预定时日数据库57中。
有效性确认部分54按照来自EE装置的委托，将委托机构CA作为委托起点，进行公开密钥证件的有效性确认。
此外，图3～图5所示的各EE装置(11)，CA装置(13)和VA装置(14)，例如能建立在一般的电子计算机上，该计算机具备象图6所示那样的CPU61，存储器62，硬盘等外部存储装置63，从具有CD-ROM等移动性存储媒体69中读取信息的读取装置64，用于经由NET16与其它装置通信的通信装置65，键盘和鼠标等输入装置66，监视器和打印机等输出装置67，以及在这些装置之间进行数据发送接收的接口68。
然后，CPU61通过执行从外部存储装置63装入到存储器62上的规定程序，能实现该各处理部分。即，通信部分30c、40c、50c通过CPU61利用通信装置66而实现，输入输出部分30d、40d、50d通过CPU61利用输入装置66、输出装置67和读取装置64而实现，以及存储部分30b、40b、50b通过CPU61利用存储器62和外部存储装置63而实现。另外，处理部分30a、40a、50a作为CPU61的处理而实现。
该规定程序可以预先存储在外部存储装置63中，也可以存储在该电子计算机可利用的存储媒体69中，经由读取装置64，根据需要被读出，或者，从与利用在作为该电子计算机可利用的通信媒体的网络或英特网上传输的载波的通信装置相连接的其它装置，根据需要被下载，并被引入到外部存储装置63。
接着，说明该构成的VA装置(14)的动作。
本实施形态的VA装置(14)的动作被分成路径检索、验证和管理动作，以及公开密钥证件的有效性确认动作。
使用图7～图8的流程图说明在VA装置(14)中所进行的路径检索、验证和管理动作。
控制部分55若经过由VA的经营者决定的规定时间(例如1日)(步骤S1001)，那么将一次清除路径数据库56的登录内容(S1002)，并在路径检索部分51中委托路径检索。路径检索部分51接收该委托后，检索到以任意CA为委托机构CA时的EE证件发行CA的路径(步骤S1003)。
具体地说，路径检索部分51访问委托机构CA，得到委托机构CA发行的并被保持在发行目的地管理表保持部分45中的公开密钥证件的发行目的地信息。然后，在得到的各发行目的地是CA的场合下，访问各发行目的地，再调查保持在发行目的地管理表保持部分45中的、各CA所发行的公开密钥证件的发行目的地。通过将该处理持续到公开密钥证件的发行目的地变为EE，检索从委托机构CA到EE证件发行CA的路径。此处，为了防止通过路径环路使该处理无限地反复，当在从某个CA得到的发行目的地中包含在之前形成的部分路径中存在的CA时，不进行将该CA设定为发行目的地的该处理。另外，取得向位于路径端点的EE发行证件的CA所发行的CRL。
以各CA具有图2所示的关系的情况为例，更具体地说明在步骤S1003中的路径检索处理。
首先，路径检索部分51将委托机构CA作为CAbridge进行路径检索。路径检索部分51访问CA bridge，得到CA11、CA21的信息，作为保持在发行目的地管理表保持部分45中的、CA bridge发行的公开密钥证件的发行目的地信息。
接着，路径检索部分51对从CAbridge得到的发行目的地(CA11、CA21)中的任何一个，实行以下的处理。即，若所关注的发行目的地是CA(以下，假定叫做“关注CA”)，就设定所谓CAbridge-关注CA的部分路径。然后，访问关注CA的发行目的地管理表保持部分45，得到该关注CA所发行的公开密钥证件的发行目的地信息。此处，假定关注的发行目的地是CA11，设定所谓的CAbridge-CA11部分路径，从CA11得到CAbridge、CA12、CA13的信息，作为发行目的地的信息。
接着，路径检索部分51调查在从认证局CA11得到的发行目的地(CAbridge、CA12、CA13)中是否包含部分路径上的CA(以下，假定叫做“环路CA”)。若包含，则将该发行目的地从关注对象中排除。因此，此处，将CAbridge从关注对象中排除。接着，路径检索部分51调查在从CA11得到的发行目的地中是否包含EE。在某个CA发行的证件的发行目的地中包含EE的场合，使该CA成为EE证件发行CA。但是，由于从CA11得到的发行目的地中没有包含EE，因此CA11不是EE证件发行CA。因此，应将CAbridge-CA11的部分路径延长到EE证件发行CA，并关注除从CA11得到的环路CA以外的发行目的地(CA12、CA13)中的任何1个。
若所关注的发行目的地是CA，那么在以前设定的部分路径中设定连接该关注CA的部分路径。然后，访问该关注CA的发行目的地管理表保持部分45，得到该关注CA发行的公开密钥证件的发行目的地的信息。此处，假定所关注的发行目的地是CA12，设定所谓的CAbridge-CA11-CA12路径，从CA12得到EE1、EE2，作为发行目的地的信息。
接着，路径检索部分51调查在从CA12得到的发行目的地(EE1、EE2)中是否包含环路CA。若包含，则将该发行目的地从关注对象中排除。此处，因为没有包含环路CA，所以路径检索部分51移向下一个处理，调查从CA12得到的发行目的地中是否包含EE。此处，因为得到的发行目的地全部是EE，所以CA12是EE证件发行CA。因此，检测出以该CA12为端点的路径作为从委托机构CAbridge到EE证件发行CA12的路径(CAbridge-CA11-CA12)。
此外，路径检索部分51在检测出到EE证件发行CA的路径时，访问失效证件表保持部分46，并取得该EE证件发行CA12所发行的CRL。
接着，路径检索部分51调查在从位于检测出的路径端点上的CA12得到的发行目的地的信息中是否有还未被关注的发行目的地(环路CA以外的CA)，若有那样的发行目的地，则将它作为关注CA继续该处理。另一方面，若没有那样的发行目的地，就调查在从位于前1个的CA11得到的发行目的地的信息中是否有还未被关注的发行目的地(环路CA以外的CA)。然后，若有那样的发行目的地，就将它作为关注CA，继续该处理。此处，由于在从CA11得到的发行目的地信息中，还未对CA13关注，因此通过将它作为关注CA进行该处理，检测出从CAbridge到EE证件发行CA13的路径(CAbridge-CA11-CA13)和CA13所发行的CRL。
这样，路径检索部分51对于位于检测出的路径上的每个CA，通过继续该处理直到在从该CA得到的发行目的地的信息中没有还未被关注的发行目的地为止，检测出从CAbridge到各EE证件发行CA的路径。
以上是以任意CA为委托机构时的步骤S1003的处理。
象后述的那样，即使将CA11、CA21各自的CA作为委托机构CA，也同样地进行路径检索。
控制部分55若通过路径检索部分51检测出路径(在步骤S1004中为YES)，那么在路径验证部分52委托路径验证，路径验证部分52接收之后，进行对路径检索部分51检测出的路径的验证(步骤S1005)。
具体地说，对于由路径检索部分51检测出的各个路径进行以下的处理。
即，首先，路径验证部分52访问路径上各CA的公开密钥证件数据库44，并得到各CA对位于该路径上的下1个CA(在访问目的地CA为EE证件发行CA时是EE)发行的公开密钥证件。
接着，路径验证部分52利用EE证件发行CA的公开密钥证件来验证位于路径最后的EE证件发行CA所发行的公开密钥证件的署名，在能验证的场合，利用位于再前一个的CA的公开密钥证件来验证该EE证件发行CA的公开密钥证件的署名。通过将该处理持续到位于该前一个的认证局CA变成委托机构CA为止，来验证该路径。此外，利用该EE证件发行CA的公开密钥证件来对该EE证件发行CA所发行的CRL进行验证。
例如，在验证图2中从CAbridge到EE证件发行CA12的路径(CAbridge-CA11-CA12)和CRL时，首先，使用路径中位于CA12的前1个的CA11的公开密钥证件来验证EE证件发行CA12的公开密钥证件的署名。然后，在能验证的场合，使用路径中位于比CA11更前1个的CAbridge的公开密钥证件来验证CA11的公开密钥证件的署名。然后，在能进行该验证的场合，使用该EE证件发行CA12的公开密钥证件对该EE证件发行CA12所发行的CRL进行验证。在能验证该路径和CRL的场合，假定能验证从CAbridge到EE证件发行CA12的路径。
接着，若路径验证部分52假定不能验证路径，就调查在从该路径上各认证局CA得到的公开密钥证件中是否有关于未委托的其它认证局名称(Name Constrains)和用于该公开密钥证件的有效性确认所容许的最大路径长度(路径上容许的最大认证局个数)等限制的记述。在有那样的记述的场合，调查该路径是否满足该限制，只有在满足的场合，才能验证该路径。
那么，如上述那样做之后，若验证部分52完成了对路径检索部分51检测出的各个路径的验证，控制部分55就进行登录处理。控制部分55在路径验证部分52能验证路径的场合(在步骤S1006中为Yes)，使该路径与委托机构CA、EE证件发行CA、EE证件发行CA所发行的CRL相对应地登录在有效路径数据库56A中(步骤S1007)，并向步骤S1003转移。另外，控制部分55在路径验证部分52不能验证路径的场合(在步骤S1006中为No)，使该路径与委托机构CA、EE证件发行CA、EE证件发行CA所发行的CRL相对应地登录在无效路径数据库56B中(步骤S1008)，并向步骤S1003转移。
控制部分55反复执行步骤S1003～步骤S1008，直到没有路径被检测出为止(在步骤S1004中为No)，并生成路径数据库56。这时，将全部CA作为委托机构，检索对应的全部路径。在CA构成如图2所示的场合，将CA11、CA21、CAbridge这3个CA作为委托机构，检索分别与各CA对应的全部路径。
进行步骤S1003～步骤S1008中处理的结果是，在各CA具有图2所示的关系时，由路径检索部分51检测出的全部路径变成图9所示那样。
另一方面，有效期限/失效状态调查部分53调查在登录在有效路径数据库56A中的公开密钥证件中是否有限定有效期限的公开密钥证件(步骤S1009)。在有限定有效期限的公开密钥证件时，访问该公开密钥证件的发行源CA的公开密钥证件数据库44，并检索对该公开密钥证件的发行目的地重新发行的公开密钥证件(步骤S1010)。
然后，若在该发行源CA的公开密钥证件数据库44中没有那样的公开密钥证件，就将有关与该限定有效期限的公开密钥证件对应登录的路径的信息从有效路径数据库56A中删除，并登录到无效路径数据库56B中(步骤S1011)。另一方面，若在该发行源CA的公开密钥证件数据库44中有那样的公开密钥证件，那么就得到该证件。然后，使用代替该限定有效期限的公开密钥证件的、重新得到的公开密钥证件，与该步骤S1005相同地进行对与该限定有效期限的公开密钥证件相对应地登录在有效路径数据库56A中的路径的验证(步骤S1012)。
那么，在能验证路径的场合(在步骤S1013中为Yes)，将与该路径对应地登录在有效路径数据库56A中的该限定有效期限的公开密钥证件置换为重新得到的公开密钥证件(步骤S1014)。另一方面，在路径不能验证的场合(在步骤S1013中为No)，将与该限定有效期限的公开密钥证件对应登录的路径从有效路径数据库31中删除，并将置换为重新得到的公开密钥证件的路径置换到无效路径数据库中(步骤S1015)。
接着，有效期限/失效状态调查部分53调查失效证件表生成预定时日数据库57，并检索与已经过期的失效证件表生成预定时日对应的CA(步骤S1016)。在存在那样的认证局CA的场合(在步骤S1017中为Yes)，访问该CA的失效证件表保持部分46，并得到该CA发行的最新的失效证件表(步骤S1018)。然后，将与该认证局CA对应登录到失效证件表生成预定时日数据库57中的失效证件表生成预定时日变更为记述在所得到的最新失效证件表中的失效证件表生成预定时日(步骤S1019)。
然后，有效期限/失效状态调查部分53调查记述在所得到的最新失效证件表中的公开密钥证件是否登录在有效路径数据库56A中(步骤S1020)，在登录于其中的场合，从有效的路径数据库56A中删除有关与该公开密钥证件对应的路径的信息，并登录到无效路径数据库56B中(步骤S1021)。
下面，说明关于公开密钥证件的有效性确认动作。
图10～图11是用于说明在本实施形态的VA装置(14)中进行的公开密钥证件的有效性确认动作的流程图。
若控制部分55经由通信部分50c，从EE接收到至少包含了该EE委托的委托机构CA的名称的、其它EE的公开密钥证件的有效性确认委托(步骤S2001)，就将其通知给有效确认部分54。
有效确认部分54接收之后，调查与根据证件有效性确认委托的记述而指定的委托机构CA和发行了该证件的EE证件发行CA相对应的路径是否被登录在有效路径数据库56A中(步骤S2002)。
如果其结果能确认与在证件有效性确认委托中记述的委托机构CA和发行了该证件的EE证件发行CA相对应的路径被登录在有效路径数据库56A中(在步骤S2002中为Yes)，那么有效性确认部分54使用作为该路径端点的EE证件发行CA的公开密钥证件进行EE证件的署名验证。有效性确认部分54还使用与该路径对应登录的CRL来确认EE证件是否没有失效(步骤S2003)。
在EE证件的署名验证失败的场合(在步骤S2003中为No)，或EE证件被记述在CRL中并被失效的场合，有效性确认部分54判断为EE证件无效，并将该旨意经由通信部分50c通知给委托源的EE(步骤S2009)。
另一方面，在各证件中具有能够记述对未委托的认证局名称的限制和用于该公开密钥证件的有效性确认所容许的最大路径长度(路径上容许的最大认证局个数)的扩展项。在步骤S2003中，EE证件的署名验证和是否没有失效的确认成功的场合(Yes的场合)，调查包含在EE证件和该路径中的各CA的证件中是否记述了该限制(步骤S2004)。
在没有那样的限制记述时，转移到步骤S2006。
在有那样的限制的记述的场合，转移到步骤S2005，并调查EE证件是否满足该限制。在EE证件违反限制事项的场合，有效性确认部分54经由通信部分50c将公开密钥证件无效通知给委托源的EE装置(11)(步骤S2009)。在EE证件没有违反限制事项的场合，转移到步骤S2006。
在步骤S2006中，有效性确认部分54调查在从EE装置(11)接收的确认委托中是否包含表示该EE要进行的电子手续的交易额等政策。
在包含政策的场合，再调查在EE证件和构成该路径的各个公开密钥证件中是否有满足该政策的政策记述(步骤S2007)。
当在EE证件和该路径中没有满足该政策的政策记述的场合，判断为在用于委托源的EE要进行的电子手续的公开密钥证件的有效性确认中不能利用EE证件，并经由通信部分50c将公开密钥证件无效的旨意通知给委托源的EE装置(11)(步骤S2009)。
另一方面，在从EE接收的确认委托中不包含表示该EE想要进行的电子手续的政策时(在步骤S2006中为No)，或者，在即便包含、在该路径和EE证件中所记述的政策也满足该政策时(在步骤S2007中为Yes)，判断为公开密钥证件为有效，并经由通信部分50c将公开密钥证件有效的旨意通知给委托源的EE(步骤S2008)。
另外，在步骤S2002中，当与在证件的有效性确认中所记述的委托源CA和发行了该证件的EE证件发行CA相对应的路径没有被登录在有效路径数据库56A中时(在S2002中为No)，确认该路径是否登录在无效路径数据库56B中(步骤S2010)。当该路径没有被登录在无效数据库56B中时(在步骤S2010中为No)，转移到图11的步骤S2012。
在步骤S2012中，路径检索部分51检索从确认委托记述的委托机构CA到确认对象的EE证件的路径。该检索与路径检索部分51按照预定的规定规则进行的检索不同，是临时进行的。
在路径检索部分51没有检测出从委托机构CA到EE证件的路径的场合(在步骤S2013中为No)，有效性确认部分54经由通信部分50c将EE证件无效的旨意通知给委托源的EE(步骤S2019)。另一方面，在检索部分51检测出从委托源CA到EE证件的路径的场合(在步骤S2013中为Yes)，在路径验证部分52中验证检测出的路径(步骤S2014)。
在能验证检测出的路径时(在步骤S2015中为Yes)，向有效路径数据库登录从该路径的委托机构CA到EE证件发行CA的路径以及EE证件发行CA所发行的CRL(步骤S2016)。然后，有效性确认部分54经由通信部分50c将EE证件有效的旨意通知给委托源的EE(步骤S2017)。
另一方面，在不能验证检测出的路径的场合(在步骤S2015中为No)，向无效路径数据登录从该路径的委托机构CA到EE证件发行CA的路径和EE证件发行CA所发行的CRL(步骤S2018)。然后，向步骤S2011转移，除此前检测出的路径以外，进行路径是否存在的检索，并同样地实行其后的步骤。
另外，在图10的步骤2010中，当该路径被登录在无效路径数据库56B中时(在步骤S2010中为Yes)，以及除该登录路径外，还检测出与有效性确认委托对应的路径时(在步骤S2011中为Yes)，向步骤S2014转移，并进行对该检测出的路径的验证、登录处理(步骤S2014～步骤S2019)。
另一方面，在除该登录路径外，没有检测出与有效性确认对应的路径时(在步骤S2011中为No)，有效性确认部分54经由通信部分50c将公开密钥证件无效的旨意通知给委托源的EE(步骤S2009)。
在以上的实施形态中，按照与来自EE的公开密钥证件的有效性确认委托无关的规定规则，例如定期地进行时从委托机构CA到各EE证件发行CA的路径的检索和验证。
经检索、验证的路径被分成有效路径和无效路径，并登录在路径数据库中。然后，通过调查与有效性确认委托相对应的路径是作为有效路径被登录，还是作为无效路径被登录，来判断该EE证件是否有效。
这时，在与该有效性确认委托对应的路径被登录在无效路径数据库中时，检索、验证是否存在除该无效路径以外的对应路径，并进行确认。在对应于该有效性确认委托的路径没有被登录在路径数据库时，临时进行路径检索、验证。因此，在认证局的构成发生变化的场合，由于利用最新的路径信息进行验证，因此也能够应答适当的有效性确认结果。另外，通过缓存(cache)无效路径，能够缩短从接收公开密钥证件到确认该有效性所花费的时间。
另外，在本实施形态中，在登录路径时，与该CRL的验证结果一起登录由作为路径端点的EE证件发行CA所发行的CRL。然后，在从某个EE接收了公开密钥证件的有效性确认委托的场合，使用该CRL确认该EE证件是否失效。因此，能够进一步缩短在公开密钥证件的有效性确认中所花费的时间。
此外，本发明不应受该实施形态的限制，在其发明构思的范围内可以有各种变形。
例如，在该实施形态中，在VA将路径登录在数据库中时，分成有效路径数据库56A和无效路径数据库56B这2个数据库进行登录。但是，也可以在1个数据库中，附加表示该路径状态的标志，从而对有效路径和无效路径进行分类。
另外，在该实施形态中，为了便于说明，如图2所示，假定EE证件发行CA只对EE发行公开密钥证件，其它CA只对CA发行公开密钥证件，本发行也适用于包含向EE和CA双方发行公开密钥证件的CA的情况。
另外，在该实施形态中，为了便于说明，如图2所示，将CA的构成假定为分层结构，但本发时也适用于CA片构成为更复杂的网状结构的场合。

Claims (6)

1.一种公开密钥证件的有效性确认方法，其中在包括对终端实体发行公开密钥证件的终端实体证件发行认证局的、由多个认证局构成的公开密钥基础设施中，由计算机确认用于所述终端实体操作的终端实体装置生成的署名的验证的、所述终端实体证件发行认证局发行的公开密钥证件的有效性，其特征在于，
所述计算机独立地进行如下步骤：
将从成为起点认证局的认证局到任一个终端实体证件发行认证局为止的有效的路径登录到数据库中的路径登录步骤；以及
接收任一个所述终端实体证件发行认证局发行的公开密钥证件的有效性确认委托，利用在所述数据库中登录的信息，判断被委托所述有效性确认的公开密钥证件的有效性，并输出所述判断结果的有效性确认步骤，
所述计算机在所述路径登录步骤中，进行如下步骤：
检索从所述起点认证局到成为端点的所述终端实体证件发行认证局为止的路径的第一步骤；
验证所述第一步骤的所述检索检测出的路径的第二步骤；以及
将在所述第二步骤的验证中成功的路径作为有效的路径登录到所述数据库中的第三步骤，
所述计算机在所述有效性确认步骤中的动作如下：
进行第四步骤，调查所述数据库中是否登录有从由所述有效性确认委托特定的、所述有效性确认委托的委托源作为委托机构的起点认证局到发行了作为所述有效性确认委托的对象的公开密钥证件的、成为端点的终端实体证件发行认证局为止的路径，
在所述第四步骤中，在所述调查的路径作为有效的路径登录在所述数据库中的情况下，进行第五步骤，利用对成为所述调查的路径的端点的终端实体证件发行认证局发行的公开密钥证件，进行作为所述有效性确认委托的对象的公开密钥证件的署名验证，在所述署名验证成功的情况下，判断为作为所述有效性确认委托的对象的公开密钥证件有效，并输出该判断结果，
在所述第四步骤中，在所述调查的路径没有作为有效的路径登录在所述数据库的情况下，进行第六步骤，检索将从作为所述委托机构的起点认证局到发行了作为所述有效性确认委托的对象的公开密钥证件的、成为端点的所述终端实体证件发行认证局为止的路径作为部分路径包含，并从作为所述委托机构的起点认证局到成为作为所述有效性确认委托的对象的公开密钥证件的发行目的地的所述终端实体为止的路径，
在所述第六步骤的所述检索中，在检索到从作为所述委托机构的起点认证局到成为作为所述有效性确认委托的对象的公开密钥证件的发行目的地的所述终端实体为止的所述路径的情况下，进行如下步骤：
验证包含所述部分路径的、从作为所述委托机构的起点认证局到成为作为所述有效性确认委托的对象的公开密钥证件的发行目的地的所述终端实体为止的所述检测出的路径的第七步骤；
根据所述第七步骤的验证结果，判断作为所述有效性确认委托的对象的公开密钥证件的有效性，并输出该判断结果的第八步骤；以及
将在所述第七步骤的验证中成功的所述路径中包含的所述部分路径作为有效的路径登录到所述数据库的第九步骤。
2.如权利要求1所述的公开密钥证件的有效性确认方法，其特征在于，
所述计算机在所述有效性确认步骤的所述第六步骤中，在没有检测出所述特定的路径的情况下，进行第十步骤，判断为作为所述有效性确认委托的对象的公开密钥证件无效，并输出该判断结果。
3.如权利要求1或2所述的公开密钥证件的有效性确认方法，其特征在于，
所述计算机的动作如下：
在所述第二步骤中，进行第十一步骤，对于所述终端实体证件发行认证局发行的公开密钥证件，利用对该终端实体证件发行认证局发行的公开密钥证件验证该终端实体证件发行认证局发行的失效表，
在所述第十一步骤的验证成功的情况下，进行第十二步骤，在所述第三步骤中，将所述失效表作为有效的失效表与所述登录的路径相对应地登录到所述数据库中，
进行第十三步骤，在所述第七步骤中，对于成为所述部分路径的端点的所述终端实体证件发行认证局发行的公开密钥证件，利用对该终端实体证件发行认证局发行的公开密钥证件验证该终端实体证件发行认证局发行的失效表，
在所述第十三步骤的验证成功的情况下，进行第十四步骤，在第九步骤中，将所述失效表作为有效的失效表与登录的所述部分路径相对应地登录到所述数据库中。
4.如权利要求3所述的公开密钥证件的有效性确认方法，其特征在于，
所述计算机的动作如下：
在所述第五步骤中还进行如下步骤：
进行第十五步骤，利用与所述调查的路径相对应地登录的有效的所述失效表，调查作为所述有效性确认委托的对象的所述公开密钥证件是否失效；以及
进行第十六步骤，在所述第五步骤的所述署名验证成功、且在所述第十五步骤中作为所述有效性确认委托的对象的公开密钥证件没有失效的情况下，判断为作为该有效性确认委托的对象的公开密钥证件有效，而在所述署名验证失败或作为所述有效性确认委托的对象的公开密钥证件失效时，判断为作为该有效性确认委托的对象的公开密钥证件无效。
5.如权利要求1-4中的任一项所述的公开密钥证件的有效性确认方法，其特征在于，
所述计算机的动作如下：
在所述有效性确认步骤的所述第四步骤中调查的所述路径作为有效的路径被登录在所述数据库中的情况下，在第五步骤中，
进行第十七步骤，调查作为该有效性确认委托的对象的公开密钥证件或所述调查的路径中包含的其他的所述认证局发行的其他的公开密钥证件中是否包含限制事项，在包含所述限制事项的情况下，调查所述调查的路径是否违反所述限制事项，若所述调查的路径不违反所述限制事项，则判断为作为所述有效性确认委托的对象的公开密钥证件有效。
6.如权利要求1-4中的任一项所述的公开密钥证件的有效性确认方法，其特征在于，
所述计算机的动作如下：
在所述有效性确认步骤的所述第四步骤中调查的所述路径作为有效的路径被登录在所述数据库中的情况下，在第五步骤中，
进行第十八步骤，在所述有效性确认委托中包含政策，并调查作为该有效性确认委托的对象的公开密钥证件或所述调查的路径中包含的其他的所述认证局发行的其他的公开密钥证件的内容是否满足所述有效性委托中包含的政策，其中在作为所述有效性确认委托的对象的公开密钥证件或所述其他的公开密钥证件的内容满足所述政策的情况下，判断为作为所述有效性确认委托的对象的公开密钥证件有效。
CN2008101259446A 2003-10-10 2004-02-27 公开密钥证件的有效性确认方法 Expired - Fee Related CN101312394B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2003351509A JP3894181B2 (ja) 2003-10-10 2003-10-10 公開鍵証明書検証の高速化方法、および装置
JP351509/2003 2003-10-10

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CNB2004100072951A Division CN100435510C (zh) 2003-10-10 2004-02-27 高速化验证公开密钥证件的方法和装置

Publications (2)

Publication Number Publication Date
CN101312394A true CN101312394A (zh) 2008-11-26
CN101312394B CN101312394B (zh) 2011-06-29

Family

ID=34309264

Family Applications (2)

Application Number Title Priority Date Filing Date
CNB2004100072951A Expired - Fee Related CN100435510C (zh) 2003-10-10 2004-02-27 高速化验证公开密钥证件的方法和装置
CN2008101259446A Expired - Fee Related CN101312394B (zh) 2003-10-10 2004-02-27 公开密钥证件的有效性确认方法

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CNB2004100072951A Expired - Fee Related CN100435510C (zh) 2003-10-10 2004-02-27 高速化验证公开密钥证件的方法和装置

Country Status (8)

Country Link
US (2) US7558952B2 (zh)
EP (2) EP1835658A1 (zh)
JP (1) JP3894181B2 (zh)
KR (1) KR100625154B1 (zh)
CN (2) CN100435510C (zh)
DE (1) DE602004006571T2 (zh)
SG (1) SG114659A1 (zh)
TW (1) TWI252662B (zh)

Families Citing this family (55)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7290133B1 (en) * 2000-11-17 2007-10-30 Entrust Limited Method and apparatus improving efficiency of end-user certificate validation
CA2544273C (en) * 2003-11-19 2015-01-13 Corestreet, Ltd. Distributed delegated path discovery and validation
ATE450950T1 (de) * 2004-04-30 2009-12-15 Research In Motion Ltd System und verfahren zur prüfung digitaler zertifikate
WO2006026737A2 (en) * 2004-08-31 2006-03-09 Ntt Docomo Inc. Revocation of cryptographic digital certificates
US20060107326A1 (en) * 2004-11-12 2006-05-18 Demartini Thomas Method, system, and device for verifying authorized issuance of a rights expression
US7266692B2 (en) * 2004-12-17 2007-09-04 Ntt Docomo, Inc. Use of modular roots to perform authentication including, but not limited to, authentication of validity of digital certificates
US7315941B2 (en) 2004-12-17 2008-01-01 Ntt Docomo Inc. Multi-certificate revocation using encrypted proof data for proving certificate's validity or invalidity
JP4534799B2 (ja) * 2005-02-28 2010-09-01 富士通株式会社 無線基地局
EP1826695A1 (en) * 2006-02-28 2007-08-29 Microsoft Corporation Secure content descriptions
EP1801720A1 (en) * 2005-12-22 2007-06-27 Microsoft Corporation Authorisation and authentication
CN101473626B (zh) * 2006-06-22 2013-09-18 皇家飞利浦电子股份有限公司 分级确定性成对密钥预分发方案
JP4858027B2 (ja) * 2006-09-11 2012-01-18 パナソニック株式会社 電子証明書管理装置
US8938400B2 (en) 2006-12-20 2015-01-20 International Business Machines Corporation Apparatus, system, and method for checking the health of encryption key managers
JP5130722B2 (ja) * 2007-01-19 2013-01-30 セイコーエプソン株式会社 認証装置及び方法
JP4594962B2 (ja) * 2007-06-04 2010-12-08 株式会社日立製作所 検証サーバ、プログラム及び検証方法
US20080319909A1 (en) * 2007-06-25 2008-12-25 Perkins George S System and method for managing the lifecycle of encryption keys
US7908252B1 (en) * 2008-03-19 2011-03-15 Crossroads Systems, Inc. System and method for verifying paths to a database
US8130146B2 (en) * 2008-07-29 2012-03-06 Motorola Solutions, Inc. Method for measuring the time of arrival of radio signals
US8595484B2 (en) * 2008-07-29 2013-11-26 Motorola Solutions, Inc. Method and device for distributing public key infrastructure (PKI) certificate path data
GB2495648A (en) * 2008-09-11 2013-04-17 F Secure Oyj Maintaining a database of trusted public keys in a plurality of computer devices
GB2463467B (en) 2008-09-11 2013-03-06 F Secure Oyj Malware detection method and apparatus
KR20100100134A (ko) * 2009-03-05 2010-09-15 한국전자통신연구원 네트워크 로봇 서비스를 위한 보안 서비스 방법 및 장치
JP5452099B2 (ja) * 2009-07-01 2014-03-26 株式会社日立製作所 証明書の有効性確認方法、証明書検証サーバ、プログラム及び記憶媒体
US8275991B2 (en) * 2009-07-10 2012-09-25 Cahn Robert S On-line membership verification
US8321663B2 (en) * 2009-12-31 2012-11-27 General Instrument Corporation Enhanced authorization process using digital signatures
JP2011193416A (ja) * 2010-03-17 2011-09-29 Hitachi Ltd 証明書の有効性確認方法、検証サーバ、プログラム及び記憶媒体
TW201220804A (en) * 2010-11-09 2012-05-16 Chunghwa Telecom Co Ltd comprising the steps of generating change information; transmitting; signing and issuing the latest message; transmitting to each web domain; sending a request message by a user end; and receiving a response message by the user end
EP2668737A4 (en) * 2011-01-28 2016-01-06 Royal Canadian Mint Monnaie Royale Canadienne TAXED SECURITY DOMAINS
US8789143B2 (en) * 2011-08-15 2014-07-22 Bank Of America Corporation Method and apparatus for token-based conditioning
US8806602B2 (en) 2011-08-15 2014-08-12 Bank Of America Corporation Apparatus and method for performing end-to-end encryption
US8910290B2 (en) * 2011-08-15 2014-12-09 Bank Of America Corporation Method and apparatus for token-based transaction tagging
US8539558B2 (en) 2011-08-15 2013-09-17 Bank Of America Corporation Method and apparatus for token-based token termination
US9253197B2 (en) 2011-08-15 2016-02-02 Bank Of America Corporation Method and apparatus for token-based real-time risk updating
US9055053B2 (en) 2011-08-15 2015-06-09 Bank Of America Corporation Method and apparatus for token-based combining of risk ratings
US8950002B2 (en) 2011-08-15 2015-02-03 Bank Of America Corporation Method and apparatus for token-based access of related resources
US8572683B2 (en) 2011-08-15 2013-10-29 Bank Of America Corporation Method and apparatus for token-based re-authentication
US8726361B2 (en) * 2011-08-15 2014-05-13 Bank Of America Corporation Method and apparatus for token-based attribute abstraction
US8752124B2 (en) 2011-08-15 2014-06-10 Bank Of America Corporation Apparatus and method for performing real-time authentication using subject token combinations
US9306932B2 (en) 2011-12-16 2016-04-05 Motorola Solutions, Inc. Utilizing a stapling technique with a server-based certificate validation protocol to reduce overhead for mobile communication devices
US9503269B2 (en) 2011-12-16 2016-11-22 Motorola Solutions, Inc. Utilizing a stapling technique with a server-based certificate validation protocol to reduce overhead for mobile communication devices
US8925059B2 (en) * 2012-06-08 2014-12-30 Lockheed Martin Corporation Dynamic trust connection
JP5967822B2 (ja) * 2012-10-12 2016-08-10 ルネサスエレクトロニクス株式会社 車載通信システム及び装置
CN104904156B (zh) * 2013-01-08 2018-09-18 三菱电机株式会社 认证处理装置、认证处理系统以及认证处理方法
US9407644B1 (en) * 2013-11-26 2016-08-02 Symantec Corporation Systems and methods for detecting malicious use of digital certificates
JP6289606B2 (ja) * 2014-02-26 2018-03-07 三菱電機株式会社 証明書管理装置、及び証明書管理方法
US10114939B1 (en) * 2014-09-22 2018-10-30 Symantec Corporation Systems and methods for secure communications between devices
US10333696B2 (en) 2015-01-12 2019-06-25 X-Prime, Inc. Systems and methods for implementing an efficient, scalable homomorphic transformation of encrypted data with minimal data expansion and improved processing efficiency
KR102639075B1 (ko) * 2016-11-30 2024-02-22 현대자동차주식회사 차량용 진단기 및 그 인증서 관리 방법
US10341327B2 (en) 2016-12-06 2019-07-02 Bank Of America Corporation Enabling secure connections by managing signer certificates
US10805080B2 (en) * 2017-01-06 2020-10-13 Microsoft Technology Licensing, Llc Strong resource identity in a cloud hosted system
US10375057B2 (en) * 2017-01-27 2019-08-06 Visa International Service Association Systems and methods for certificate chain validation of secure elements
US10749692B2 (en) * 2017-05-05 2020-08-18 Honeywell International Inc. Automated certificate enrollment for devices in industrial control systems or other systems
US11146407B2 (en) * 2018-04-17 2021-10-12 Digicert, Inc. Digital certificate validation using untrusted data
CN110008682B (zh) * 2019-03-31 2020-12-29 西安邮电大学 一种基于pki更新不同类型存储介质中的数据的方法
EP3851923B1 (de) * 2020-01-14 2023-07-12 Siemens Aktiengesellschaft Leitsystem für technische anlagen mit zertifikatsmanagement

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5825880A (en) * 1994-01-13 1998-10-20 Sudia; Frank W. Multi-step digital signature method and system
CN1192834A (zh) 1995-06-05 1998-09-09 塞特科有限公司 多步数字签名方法和系统
US5745574A (en) * 1995-12-15 1998-04-28 Entegrity Solutions Corporation Security infrastructure for electronic transactions
US6272538B1 (en) * 1996-07-30 2001-08-07 Micron Technology, Inc. Method and system for establishing a security perimeter in computer networks
JPH1145259A (ja) 1997-07-25 1999-02-16 Canon Inc ハイパーテキスト閲覧装置及び方法及び記憶媒体
US6397329B1 (en) * 1997-11-21 2002-05-28 Telcordia Technologies, Inc. Method for efficiently revoking digital identities
US6226743B1 (en) * 1998-01-22 2001-05-01 Yeda Research And Development Co., Ltd. Method for authentication item
US6134550A (en) * 1998-03-18 2000-10-17 Entrust Technologies Limited Method and apparatus for use in determining validity of a certificate in a communication system employing trusted paths
US6073242A (en) * 1998-03-19 2000-06-06 Agorics, Inc. Electronic authority server
US7213262B1 (en) * 1999-05-10 2007-05-01 Sun Microsystems, Inc. Method and system for proving membership in a nested group using chains of credentials
GB2357228B (en) * 1999-12-08 2003-07-09 Hewlett Packard Co Method and apparatus for discovering a trust chain imparting a required attribute to a subject
JP2001320356A (ja) * 2000-02-29 2001-11-16 Sony Corp 公開鍵系暗号を使用したデータ通信システムおよびデータ通信システム構築方法
JP3588042B2 (ja) * 2000-08-30 2004-11-10 株式会社日立製作所 証明書の有効性確認方法および装置
JP2002099211A (ja) * 2000-09-21 2002-04-05 Sony Corp 公開鍵証明書発行要求処理システムおよび公開鍵証明書発行要求処理方法
US7290133B1 (en) * 2000-11-17 2007-10-30 Entrust Limited Method and apparatus improving efficiency of end-user certificate validation
US7203753B2 (en) * 2001-07-31 2007-04-10 Sun Microsystems, Inc. Propagating and updating trust relationships in distributed peer-to-peer networks
JP3890959B2 (ja) * 2001-11-22 2007-03-07 株式会社日立製作所 公開鍵証明書の生成システム及び検証システム
US7367044B2 (en) * 2002-06-14 2008-04-29 Clink Systems, Ltd. System and method for network operation
JP2004214751A (ja) * 2002-12-27 2004-07-29 Hitachi Ltd 証明書経路情報管理システム及び証明書経路管理方法

Also Published As

Publication number Publication date
TWI252662B (en) 2006-04-01
US7558952B2 (en) 2009-07-07
US8516245B2 (en) 2013-08-20
JP3894181B2 (ja) 2007-03-14
KR20050035062A (ko) 2005-04-15
DE602004006571D1 (de) 2007-07-05
JP2005117514A (ja) 2005-04-28
DE602004006571T2 (de) 2008-01-24
KR100625154B1 (ko) 2006-09-20
US20050081037A1 (en) 2005-04-14
EP1523126A1 (en) 2005-04-13
TW200514404A (en) 2005-04-16
US20090259842A1 (en) 2009-10-15
EP1523126B1 (en) 2007-05-23
CN101312394B (zh) 2011-06-29
CN100435510C (zh) 2008-11-19
EP1835658A1 (en) 2007-09-19
SG114659A1 (en) 2005-09-28
CN1606269A (zh) 2005-04-13

Similar Documents

Publication Publication Date Title
CN101312394B (zh) 公开密钥证件的有效性确认方法
JP3588042B2 (ja) 証明書の有効性確認方法および装置
US8195933B2 (en) Method and system for computing digital certificate trust paths using transitive closures
EP1372293B1 (en) Authentication and authorization infrastructure system with notification function for issuance of certificate revocation list
AU2003259136B2 (en) A remote access service enabling trust and interoperability when retrieving certificate status from multiple certification authority reporting components
EP2271049A2 (en) Certificate validation method and certificate validation server and storage medium
JP2002073566A (ja) 個人認証適用データ処理システム、個人認証適用データ処理方法、および情報処理装置、並びにプログラム提供媒体
JP2002175279A (ja) 個人認証システム、個人認証方法、および情報処理装置、並びにプログラム提供媒体
JP2006503378A (ja) 保護された電子的な文書を送信するための方法および装置
JP2002169465A (ja) 公開鍵証明書利用システム、公開鍵証明書利用方法、および情報処理装置、並びにプログラム提供媒体
JP2002169464A (ja) 個人識別証明書リンクシステム、情報処理装置、および情報処理方法、並びにプログラム提供媒体
CN108696348A (zh) 一种实现ca互信的方法、装置、系统和电子设备
JP2007511983A (ja) 分散委任されたパス発見及び検証
CN113486367B (zh) 高性能可拓展的分布式账本的自主动态数字身份管理架构
JP4529936B2 (ja) 公開鍵証明書検証の高速化方法、および装置
Yeh et al. Applying lightweight directory access protocol service on session certification authority
Johner et al. Deploying a public key infrastructure
Casola et al. Interoperable grid pkis among untrusted domains: an architectural proposal
JP5158125B2 (ja) 公開鍵証明書の有効性確認方法、プログラムおよび記憶媒体
Denker et al. PKI and revocation survey
Kapidzic et al. COST-PEM certificates verification: An alternative procedure

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110629

Termination date: 20200227

CF01 Termination of patent right due to non-payment of annual fee