JP2001101054A

JP2001101054A - アクセス権限委譲方法

Info

Publication number: JP2001101054A
Application number: JP27570299A
Authority: JP
Inventors: Kazunori Horikiri; 和典堀切
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 1999-09-29
Filing date: 1999-09-29
Publication date: 2001-04-13
Anticipated expiration: 2019-09-29
Also published as: JP4359974B2; US20060190995A1; US7392535B2; US7058971B1

Abstract

(57)【要約】【課題】サービス・オブジェクトが散在するオブジェ
クト空間上において、オブジェクトに関する権限情報を
サブジェクト（ユーザ）間で安全に転送する。【解決手段】クライアントとサーバ間では、クライア
ントのユーザ情報と秘密情報が共有されている。権限情
報を委譲するクライアントは、自身が持つ権限内容を弱
めた権限情報を生成し、生成した権限情報と秘密情報と
を連結したビット列に対して一方向性関数や暗号化関数
を適用することで、秘密情報を知らない第３者が改竄不
能な保護化権限情報を生成する。保護化権限情報を用い
ることで、アクセス権限を安全に委譲することができ
る。また、サーバは、秘密情報を用いて保護化権限情報
を解析することで、オブジェクト要求するクライアント
が正当か否かを安全に確認することができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、サービス・オブジ
ェクトが散在するオブジェクト空間上において、オブジ
ェクトに関するアクセス権限を記述した「ケイパビリテ
ィ」をサブジェクト（ユーザ）間で安全に転送するアク
セス権限委譲方法に関する。

【０００２】更に詳しくは、本発明は、複数のホストが
ネットワーク接続され且つネットワーク上にオブジェク
トが散在する分散コンピューティング環境において、オ
ブジェクトに関するアクセス権限を記述した「ケイパビ
リティ」をホスト（ユーザ）間で安全に転送するため
の、アクセス権限委譲方法に関する。

【０００３】

【従来の技術】昨今の情報技術（ＩＴ）分野における急
速な進歩とともに、ワークステーションやパーソナル・
コンピュータなどの各種の汎用コンピュータ・システム
が開発・製造され、大学等の研究機関や企業のオフィ
ス、一般家庭内に広く普及している。

【０００４】コンピュータ・システム上では、テキスト
形式の文書ファイルや、音声ファイル、画像ファイルな
ど、デジタイズされた様々な資源オブジェクトを取り扱
うことができる。

【０００５】最近では、多くのコンピュータ・システム
は、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）や
インターネットなどのネットワークに接続され、分散コ
ンピューティング環境に置かれている。分散コンピュー
ティング環境下では、各ユーザはプログラムやデータな
ど資源オブジェクトの所在を特に認識する必要がなくな
る。さらに、コンピュータにおいて実行される手続きや
メソッドも、ネットワーク上で分散して保持され、管理
されている。

【０００６】例えば、ネットワーク上のある１つのコン
ピュータ上で動作しているプロセスが、他のコンピュー
タ上で動作するプロセスの手続きを呼び出して実行させ
るという、「遠隔手続き呼び出し（ＲＰＣ：Ｒｅｍｏｔ
ｅＰｒｏｃｅｄｕｒｅＣａｌｌ）」、若しくは、
「遠隔メソッド呼び出し（ＲＭＩ：ＲｅｍｏｔｅＭｅ
ｔｈｏｄＩｎｖｏｃａｔｉｏｎ）」と呼ばれる手法も
広汎に採り入れられている。実行される手続きのインタ
ーフェースを予め記述し、呼び出し側及び実行側の双方
のコンピュータに配置しておくことによって、このよう
な遠隔手続き呼び出しを好適に実現することができる。

【０００７】その反面、ファイルなどの夫々の共有資源
オブジェクト（Ｏｂｊｅｃｔ）に対して、誰（Ｓｕｂｊ
ｅｃｔ）にどの程度のアクセス操作（Ｖｅｒｂ）を許容
するか、といった「アクセス権（ＡｃｃｅｓｓＰｒｉ
ｖｉｌｅｇｅｓ）」に関する管理方法や管理システムが
重要な技術的課題となってくる。アクセス権の制御は、
Ｓ（Ｓｕｂｊｅｃｔ：主体）−Ｖ（Ｖｅｒｂ：アクセス
操作）−Ｏ（Ｏｂｊｅｃｔ：操作対象としてのファイル
など）の関係に見立てて記述し、管理することができ
る。Ｓすなわちサブジェクトとは、ファイル操作を望む
ユーザ、ユーザ・アカウント、又はユーザ識別情報とほ
ぼ同義と把握されたい。

【０００８】ここで言うオブジェクト（Ｏ）に対するア
クセス操作（Ｖ）の権限としては、例えば以下のような
ものが挙げられる。（１）ファイルを読み出す権利（２）ファイルに書き込む（更新する）権利（３）ファイルを新規作成する権利（４）ファイルを削除する権利（５）ファイルを検索する権利（６）ファイル名などのファイル属性を変更する権利

【０００９】全てのユーザに対して無制限なアクセス権
を許容してしまうと、ファイルが勝手に複製、改竄、又
は削除されてしまうなど悪用や乱用が横行する危険が発
生する。この結果、あるユーザは予期しない不利益を被
り、時として致命傷を負う。アクセス権を適切に管理し
なければ、分散コンピューティング環境の崩壊をも招来
するであろう。

【００１０】オブジェクトに対するアクセス権の管理方
法として、「アクセス制御マトリックス」なる概念が、
当業界において古くから知られている。このアクセス制
御マトリックスは、以下の［表１］に示すように、誰
（Ｓｕｂｊｅｃｔ）に、ファイルなどの各オブジェクト
（Ｏｂｊｅｃｔ）に対してどの程度のアクセス権（Ｖｅ
ｒｂ）を与えたかを一覧表示したテーブル形式で記述さ
れる。

【００１１】

【表１】

【００１２】［表１］に示す例では、例えば”Ａｌｅ
ｘ”なる主体すなわちユーザ・アカウントには、オブジ
ェクトとしての”Ｆｉｌｅ＃１”に対する読み出し（Ｒ
ｅａｄ）及び書き込み（Ｗｒｉｔｅ）というアクセス操
作が許容されているが、”Ｆｉｌｅ＃２”に対しては読
み出しのみ許され…、”Ｂｏｂ”なる主体には…となっ
ている。

【００１３】アクセス制御マトリックスを各カラム毎に
切り出したものは、オブジェクトが各サブジェクトすな
わちユーザに対して許容した操作権限を記述した情報で
あり、「アクセス制御リスト（ＡｃｃｅｓｓＣｏｎｔ
ｒｏｌＬｉｓｔ：ＡＣＬ）」と呼ばれる。例えば、
［表１］に示した例では、”Ｆｉｌｅ＃１”に相当する
カラムは、該オブジェクトに対してＡｌｅｘ，Ｂｏｂ，
Ｃｏｄの各々に与えられた操作権限を示したアクセス制
御リストである。サーバ用若しくは開発プラットフォー
ム用のオペレーティング・システム（ＯＳ）として広汎
に普及している”Ｕｎｉｘ”は、簡略形式のアクセス制
御リストを使用している。

【００１４】また、アクセス制御マトリックスを各行毎
に切り出したものは、サブジェクトすなわちユーザが各
々のオブジェクトに対して許容された操作権限を記述し
た情報であり、「権限情報」若しくは「ケイパビリティ
（Ｃａｐａｂｉｌｉｔｙ）」と呼ばれる。例えば、「表
１」に示すアクセス制御マトリックスの第１行はユー
ザ”Ａｌｅｘ”に関するケイパビリティに相当し、ま
た、第２行はユーザ”Ｂｏｂ”に関するケイパビリティ
に相当する。

【００１５】ケイパビリティは、オブジェクトへのアク
セスを許容する一種の鍵の役割を持つ。すなわち、ケイ
パビリティを所有するサブジェクトすなわちユーザに
は、オブジェクトへのアクセスが許可される。例えば、
無数のホストがＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏ
ｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎ
ｅｔＰｒｏｔｏｃｏｌ）接続されてなるネットワーク
（例えばインターネット）上では、ケイパビリティをＵ
ＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔ
ｏｒ）文字列の中で記述して、ＨＴＴＰ（Ｈｙｐｅｒ
ＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）メッ
セージとしてホスト間で交換することもできる。

【００１６】例えば、ＡｌｅｘがＣｏｄにケイパビリテ
ィを渡すことによって、Ｃｏｄは、各オブジェクトに対
してＡｌｅｘと同等の操作権限を所有することができ
る。ケイパビリティを引き継いだＣｏｄは、Ａｌｅｘの
不在中も、Ａｌｅｘの代理として各オブジェクトにアク
セスして、Ａｌｅｘの任務を代行することができる。

【００１７】しかしながら、ケイパビリティを無制限に
譲渡しあるいは貸し与えてしまうと、ケイパビリティの
悪用・乱用により、思わぬ不利益を受ける可能性があ
る。このため、ケイパビリティの譲渡者は、ケイパビリ
ティに有効期限や使用許可回数を付加したり、オブジェ
クトの操作権限を制限する（例えばフル・アクセスを読
み出しのみに限定する）など、権限内容を弱めてケイパ
ビリティを渡すことが好ましい。

【００１８】また、ケイパビリティを譲り受けたサブジ
ェクトが、ケイパビリティの内容を簡単に解釈できるよ
うな形式で渡したのでは、譲受者はケイパビリティの内
容を改竄して権限を勝手に強めたり、無断でケイパビリ
ティを複製して、オブジェクトを無制限にアクセス操作
してしまうであろう。また、ケイパビリティの転送を傍
受する第三者も、同様に、オブジェクトを不正に操作で
きてしまう。

【００１９】以上を要言するならば、ネットワーク上の
各ホスト間でケイパビリティを安全に転送することがオ
ブジェクトを保護する上で重要な技術的課題となる訳で
ある。

【００２０】オブジェクトのアクセス制御に関しては、
既に幾つかの技術が提案されている。

【００２１】例えば特開平５−８１２０４号公報には、
分散型コンピュータ・システムにおけるアクセス制御に
ついて開示されている。同公報によれば、ケイパビリテ
ィに相当する特権属性証明書（ＰＡＣ）の代理使用を制
御すると同時に、ＰＡＣを多くの目的のために使用でき
る方法が提供されている。すなわち、ＰＡＣを配布する
際には、これに開始者実体に相当する開始者資格付与属
性を含めるようにするとともに、暗号的に開始者資格付
与属性を有した暗号キーを開始者実体に配布するように
なっている。

【００２２】しかしながら、特開平５−８１２０４号公
報に開示された方法によれば、使用期限やアクセス回数
など、ケイパビリティのバリエーションには対応できな
い。また、開始実体者がケイパビリティを弱めたＰＡＣ
を自由に作成する方法については一切言及していない。

【００２３】また、特開平９−３１９６５９号公報に
は、非分散型のコンピュータ・システムにおいて、各ユ
ーザに異なるケイパビリティを割り当てる方式について
開示されている。同公報によれば、コンピュータ機能の
全体はケイパビリティ・セットを有するイベント・セッ
トに細分化されており、ユーザがコンピュータ・システ
ム上で実行しようとする特定のジョブに応じてケイパビ
リティが与えられるようになっている。

【００２４】しかしながら、特開平９−３１９６５９号
公報に係る発明は、ケイパビリティを安全に守ることが
できない分散環境に適用されたものではない。また、同
公報は、オブジェクト間でケイパビリティの検査を安全
に行う方法については一切言及していない。

【００２５】また、特開平９−２５１４２５号公報に
は、分散システムにおけるシステム資源へのアクセスの
セキュリティ制御について開示している。同公報に開示
されるセキュリティ制御システムによれば、グループ識
別標識を記憶しておき、これをターゲット・オブジェク
トに結び付け、次にメンバーシップ検査を使用して、タ
ーゲット・オブジェクトへのアクセスを要求するクライ
アントがターゲットに対するアクセス権限を有するグル
ープ・メンバーであるか否かを判断するようになってい
る。

【００２６】しかしながら、特開平９−２５１４２５号
公報では、使用期限やアクセス回数など、ケイパビリテ
ィのバリエーションには対応する手法については開示し
ていない。また、あるケイパビリティの保有者が新たに
ケイパビリティを生成したりこれを無効化する手法につ
いても一切言及していない。

【００２７】また、分散ＯＳ（オペレーティング・シス
テム）として当業界では周知の”Ａｍｏｅｂａ”は、譲
渡可能で且つ偽造が困難なケイパビリティを提供してい
る。これは以下の機構により実現される。（１）クライアントがオブジェクト生成要求をサーバに
送信する。（２）サーバは、オブジェクトを生成して、オブジェク
ト番号と乱数を割り当てる。乱数は、オブジェクト番号
でインデックス付けされたオブジェクト・テーブルに格
納される。（３）サーバは、乱数をキーとして権限と乱数を暗号化
したチェック・フィールドを含むケイパビリティを生成
する。（４）ケイパビリティをクライアントに返す。（５）クライアントが、サーバに対して、ケイパビリテ
ィを提示したアクセス要求を出す。（６）サーバは、ケイパビリティからオブジェクト番号
とチェック・フィールドを抽出し、オブジェクト・テー
ブルに格納されている乱数を基にチェック・フィールド
から権限と乱数を復号化する。（７）復号の結果得られた乱数がオブジェクト・テーブ
ルに格納された乱数と一致するかどうか検証する。（８）要求された操作がケイパビリティに記述された権
限に合致すれば、サーバはその操作を実行する。

【００２８】Ａｍｏｅｂａでは、さらに、ケイパビリテ
ィの保持者が権限を弱めた新しいケイパビリティを生成
するために、以下の機構も備えている。（１）クライアントとサーバがＮ個の可換な一方向性関
数を共有する。（２）クライアントが第２の権限を生成する。（３）クライアントが第１の権限と第２の権限との差
分の権限に該当する番号と対応付けた一方向性関数を全
て適用して、第２のチェック・フィールドを生成する。（４）サーバが、第２の権限と第２のチェック・フィー
ルドを含むケイパビリティを受信する。（５）サーバは、権限フィールドに従い、一方向性関数
を順次適用して、クライアントが提示したチェック・フ
ィールドと一致した場合に、その操作を実行する。

【００２９】しかしながら、Ａｍｏｅｂａは、Ｎ個の可
換な一方向性関数を用いてＮ個の権限の可否を記述する
方法については規定しているが、使用権限や回数といっ
た権限についての多くのバリエーションに対応する点に
ついては考慮していない。また、ケイパビリティの無効
化に関しては、サーバで保持されている乱数を変更する
ことによってあるオブジェクトについての全てのケイパ
ビリティを無効化する手法が規定されているが、特定の
ケイパビリティを無効化する手法については言及してい
ない。例えば、あるケイパビリティの保持者が生成した
ケイパビリティや、これから派生したケイパビリティの
みを無効化する点は一切規定していない。また、Ａｍｏ
ｅｂａではオブジェクトにアクセスするためのオブジェ
クト番号自体については一切プロテクトがかけられてい
ない。

【００３０】また、Ｗｅｂ上で公開されたＢｊｏｒｎ
Ｎ．Ｆｒｅｅｍａｎ−Ｂｅｎｓｏｎの論文”Ｕｓｉｎ
ｇｔｈｅＷｅｂｔｏＰｒｉｖａｔｅＩｎｆｏ
ｒｍａｔｉｏｎ −ｏｒ− ＡＳｈｏｒｔＰａｐｅ
ｒＡｂｏｕｔＰａｓｓｗｏｒｄＰｒｏｔｅｃｔｉ
ｏｎＷｉｔｈｏｕｔＣｌｉｅｎｔＭｏｄｉｆｉｃ
ａｔｉｏｎ”（ＵＲＬは”ｈｔｔｐ：／／ｗｗｗ１．ｃ
ｅｒｎ．ｃｈ／ｗｗｗ９４／ＰｒｅｌｉｍＰｒｏｃｓ．
ｈｔｍｌ”）では、機密性のあるＵＲＬ（すなわちケイ
パビリティ）の取り扱いについて開示されている。同論
文に記載された方式は以下の手順に従う。（１）サーバがログイン名とパスワードの組からなるパ
スワード・リストを生成・保持する。また、サーバは暗
号鍵を保持している。（２）クライアントがログイン名とパスワードの組から
なるメッセージをサーバに送信する。（３）サーバは、パスワード・リストを検索し、クライ
アントから送信されたログイン名とパスワードの組が見
つかれば、このログイン名とパスワードを暗号鍵で暗号
化した文字列をアクセス・キーとして、ＵＲＬに含めて
クライアントに送信する。（４）クライアントは、受け取ったＵＲＬを用いてサー
バにアクセス要求する。（５）サーバは、受信したＵＲＬからアクセス・キーを
抽出し、暗号鍵を用いて復号化して、もとのログイン名
とパスワードの組を得る。そして、これがパスワード・
リストに登録されているかどうかを検査する。（６）登録されていれば、サーバは対応するオブジェク
トへのアクセスを許可する。

【００３１】また、同論文では、クライアントがパスワ
ードの変更を行うことでＵＲＬを無効化することができ
る点を言及している。

【００３２】しかしながら、同論文では、ある１つのオ
ブジェクトについての正当で且つ異なるＵＲＬ（すなわ
ちケイパビリティ）を複数生成する点については開示し
ていない。

【００３３】以上を総括すると、従来技術では下記のよ
うな問題があった。すなわち、（１）使用期限や有効使用回数などの権限内容に多種多
様なバリエーションに対応しながらケイパビリティを安
全に管理し委譲することが困難である。（２）該当するオブジェクトに関する全てのケイパビリ
ティを無効化するのではなく、一部のケイパビリティの
みを無効化することは困難である。（３）ケイパビリティを所有するサブジェクトが、ケイ
パビリティが持つ権限の内容を変更した（弱めた）ケイ
パビリティを自由に生成し、且つ、これを安全に管理し
委譲し、あるいは無効化することができない。

【００３４】

【発明が解決しようとする課題】本発明の目的は、サー
ビス・オブジェクトが散在するオブジェクト空間上にお
いて、オブジェクトに関するアクセス権限を記述した
「ケイパビリティ」をサブジェクト（ユーザ）間で安全
に転送することができる、優れたアクセス権限委譲方法
を提供することにある。

【００３５】本発明の更なる目的は、複数のホストがネ
ットワーク接続され且つネットワーク上にオブジェクト
が散在する分散コンピューティング環境において、オブ
ジェクトに関するアクセス権限を記述した「ケイパビリ
ティ」を、ホスト（ユーザ）間で安全に転送することが
できる、優れたアクセス権限委譲方法を提供することに
ある。

【００３６】本発明の更なる目的は、ケイパビリティを
保有するサブジェクトが権限内容を変更したケイパビリ
ティを自由に生成し、且つ、他のサブジェクトに安全に
委譲することができる、優れたアクセス権限委譲方法を
提供することにある。

【００３７】本発明の更なる目的は、ケイパビリティを
保有するサブジェクトが権限内容を変更したケイパビリ
ティを自由に生成し、且つ、生成されたケイパビリティ
をオブジェクトの管理者が安全に検査することができ
る、優れたアクセス権限委譲方法を提供することにあ
る。

【００３８】

【課題を解決するための手段及び作用】本発明は、上記
課題を参酌してなされたものであり、その第１の側面
は、オブジェクトを提供する１以上のサーバと、オブジ
ェクトを要求する１以上のクライアントとがネットワー
ク接続され、クライアントが所有する権限情報に従った
オブジェクトに対するアクセス操作が許容されるコンピ
ューティング環境下で、各クライアント間及びクライア
ント−サーバ間でアクセス権限を安全に委譲するための
アクセス権限委譲方法であって、（ａ）各クライアント
がユーザ情報と秘密情報を保持するステップと、（ｂ）
サーバが各クライアントのユーザ情報と秘密情報を保持
するステップと、（ｃ）クライアントが権限情報を生成
するステップと、（ｄ）クライアントが、少なくとも権
限情報と秘密情報とからなる情報に対して所定の演算操
作を適用して保護化権限情報を生成するステップと、
（ｅ）クライアントが、ユーザ情報と権限情報と保護化
権限情報を他のクライアントに送信するステップと、
（ｆ）他のクライアントが、ユーザ情報と権限情報と保
護化権限情報をサーバに送信して、オブジェクトへのア
クセスを要求するステップと、（ｇ）サーバが、ステッ
プ（ｆ）において受信した権限情報が有効か否かを検査
するステップと、（ｈ）サーバが、少なくとも権限情報
と秘密情報とからなる情報に対して所定の演算操作を適
用して保護化権限情報を生成するステップと、（ｉ）サ
ーバが、ステップ（ｆ）において受信した保護化権限情
報とステップ（ｈ）において生成した保護化権限情報と
を比較するステップと、（ｊ）ステップ（ｉ）における
比較の結果、両者が一致することに応答してオブジェク
トに対するアクセスが許容されるステップと、を具備す
ることを特徴とするアクセス権限委譲方法である。

【００３９】また、本発明の第２の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続され、ク
ライアントが所有する権限情報に従ったオブジェクトに
対するアクセス操作が許容されるオブジェクト空間上
で、各クライアント間及びクライアント−サーバ間でア
クセス権限を安全に委譲するためのアクセス権限委譲方
法であって、（Ａ）各クライアントがユーザ情報と秘密
情報を保持するステップと、（Ｂ）サーバが各クライア
ントのユーザ情報と秘密情報を保持するステップと、
（Ｃ）クライアントが権限情報を生成するステップと、
（Ｄ）クライアントが、少なくとも権限情報と秘密情報
とからなる情報に対して所定の演算操作を適用して第１
の保護化権限情報を生成するステップと、（Ｅ）クライ
アントが、ユーザ情報と権限情報と第１の保護化権限情
報を他のクライアントに送信するステップと、（Ｆ）他
のクライアントが、サーバからチャレンジ文字列を受信
するステップと、（Ｇ）他のクライアントが、少なくと
もチャレンジ文字列と第１の保護化権限情報とからなる
情報に対して所定の演算操作を適用して第２の保護化権
限情報を生成するステップと、（Ｈ）他のクライアント
が、ユーザ情報と権限情報と第２の保護化権限情報をサ
ーバに送信して、オブジェクトへのアクセスを要求する
ステップと、（Ｉ）サーバが、ステップ（Ｈ）において
受信した権限情報が有効か否かを検査するステップと、
（Ｊ）サーバが、少なくとも権限情報と秘密情報とから
なる情報に対して所定の演算操作を適用して第１の保護
化権限情報を生成するステップと、（Ｋ）サーバが、少
なくともチャレンジ文字列とステップ（Ｊ）において生
成した第１の保護化権限情報とからなる情報に対して所
定の演算操作を適用して第２の保護化権限情報を生成す
るステップと、（Ｌ）サーバが、ステップ（Ｈ）におい
て受信した第２の保護化権限情報とステップ（Ｋ）にお
いて生成した第２の保護化権限情報とを比較するステッ
プと、（Ｍ）ステップ（Ｎ）における比較の結果、両者
が一致することに応答してオブジェクトに対するアクセ
スが許容されるステップと、を具備することを特徴とす
るアクセス権限委譲方法である。

【００４０】また、本発明の第３の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続され、ク
ライアントが所有する権限情報に従ったオブジェクトに
対するアクセス操作が許容されるオブジェクト空間上
で、各クライアント間及びクライアント−サーバ間でア
クセス権限を安全に委譲するためのアクセス権限委譲方
法であって、（ａ）各クライアントがユーザ情報と秘密
情報を保持するステップと、（ｂ）サーバが各クライア
ントのユーザ情報と秘密情報を保持するステップと、
（ｃ）クライアントが権限情報を生成するステップと、
（ｄ）クライアントが、秘密情報を用いて権限情報を暗
号化して保護化権限情報を生成するステップと、（ｅ）
クライアントが、ユーザ情報と保護化権限情報を他のク
ライアントに送信するステップと、（ｆ）他のクライア
ントが、ユーザ情報と保護化権限情報をサーバに送信し
て、オブジェクトへのアクセスを要求するステップと、
（ｇ）サーバが、ユーザ情報に対応する秘密情報を用い
て保護化権限情報を復号化して、権限情報を生成するス
テップと、（ｈ）サーバが、ステップ（ｇ）において生
成した権限情報が有効か否かを検査するステップと、
（ｉ）ステップ（ｈ）における有効性の検査結果に従っ
て、オブジェクトに対するアクセスが許容されるステッ
プと、を具備することを特徴とするアクセス権限委譲方
法である。

【００４１】また、本発明の第４の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続され、ク
ライアントが所有する権限情報に従ったオブジェクトに
対するアクセス操作が許容されるオブジェクト空間上
で、各クライアント間及びクライアント−サーバ間でア
クセス権限を安全に委譲するためのアクセス権限委譲方
法であって、（Ａ）各クライアントがユーザ情報と秘密
情報を保持するステップと、（Ｂ）サーバが各クライア
ントのユーザ情報と秘密情報を保持するステップと、
（Ｃ）クライアントが権限情報を生成するステップと、
（Ｄ）クライアントが、秘密情報を用いて権限情報を暗
号化して第１の保護化権限情報を生成するステップと、
（Ｅ）クライアントが、ユーザ情報と権限情報と第１の
保護化権限情報を他のクライアントに送信するステップ
と、（Ｆ）他のクライアントが、サーバからチャレンジ
文字列を受信するステップと、（Ｇ）他のクライアント
が、第１の保護化権限情報を用いてチャレンジ文字列を
暗号化して第２の保護化権限情報を生成するステップ
と、（Ｈ）他のクライアントが、ユーザ情報と権限情報
と第２の保護化権限情報をサーバに送信して、オブジェ
クトへのアクセスを要求するステップと、（Ｉ）サーバ
が、ステップ（Ｈ）において受信した権限情報が有効か
否かを検査するステップと、（Ｊ）サーバが、秘密情報
を用いて権限情報を暗号化して第１の保護化権限情報を
生成するステップと、（Ｋ）サーバが、ステップ（Ｊ）
において生成した第１の保護化権限情報を用いてチャレ
ンジ文字列を暗号化して第２の保護化権限情報を生成す
るステップと、（Ｌ）サーバが、ステップ（Ｈ）におい
て受信した第２の保護化権限情報とステップ（Ｋ）にお
いて生成した第２の保護化権限情報とを比較するステッ
プと、（Ｍ）ステップ（Ｎ）における比較の結果、両者
が一致することに応答してオブジェクトに対するアクセ
スが許容されるステップと、を具備することを特徴とす
るアクセス権限委譲方法である。

【００４２】また、本発明の第５の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続されたオ
ブジェクト空間上で、各クライアント間及び／又はクラ
イアント−サーバ間で秘密情報を安全に管理するための
情報管理方法であって、第１のクライアントが第２のク
ライアントに秘密情報を送信するステップと、第１のク
ライアントが第２のクライアントに暗号化鍵を送信する
ステップと、第２のクライアントが、前記暗号化鍵を用
いて前記秘密情報を暗号化した後に、２次記憶装置に格
納するステップと、を具備することを特徴とする情報管
理方法である。

【００４３】また、本発明の第６の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続されたオ
ブジェクト空間上で、各クライアント間及び／又はクラ
イアント−サーバ間で秘密情報を安全に管理するための
情報管理方法であって、第１のクライアントが、暗号化
鍵を用いて秘密情報を暗号化して、保護化秘密情報を生
成するステップと、第１のクライアントが第２のクライ
アントに前記保護化秘密情報を送信するステップと、第
２のクライアントが前記保護化秘密情報を２次記憶装置
に格納するステップと、第１のクライアントが、前記暗
号化鍵で暗号化された情報を復号化するための復号化鍵
を、第２のクライアントに送信するステップと、第２の
クライアントが、復号化鍵を用いて保護化秘密情報を復
号化して、秘密情報を得るステップと、を具備すること
を特徴とする情報管理方法である。

【００４４】本発明の第６の側面に係る情報管理方法に
おいて、前記暗号化鍵と前記復号化鍵は、同一鍵すなわ
ち「対称鍵暗号方式」の鍵であっても、あるいは、暗号
化鍵（秘密鍵）で暗号化した情報は復号化鍵（公開鍵）
でしか復号化できないような「公開鍵暗号方式」におけ
る鍵の組み合わせであってもよい。

【００４５】また、本発明の第７の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続されたオ
ブジェクト空間上で、各クライアント間及び／又はクラ
イアント−サーバ間で秘密情報を安全に管理するための
情報管理方法であって、第１のクライアントが第２のク
ライアントに秘密情報を送信するステップと、第２のク
ライアントが、情報を暗号化するための暗号化鍵と、暗
号化鍵で暗号化された暗号化情報を復号化するための復
号化鍵とを保持するステップと、第２のクライアントが
復号化鍵を第１のクライアントに送信するステップと、
第２のクライアントが、前記秘密情報を前記暗号化鍵で
暗号化した保護化秘密情報を２次記憶装置に格納するス
テップと、第２のクライアントが、前記復号化鍵を用い
て保護化秘密情報を復号化して前記秘密情報を得るステ
ップと、を具備することを特徴とする情報管理方法であ
る。

【００４６】また、本発明の第８の側面は、オブジェク
トを提供する１以上のサーバと、オブジェクトを要求す
る１以上のクライアントとがネットワーク接続されたオ
ブジェクト空間上で、各クライアント間及び／又はクラ
イアント−サーバ間で秘密情報を安全に管理するための
情報管理方法であって、第１のクライアントが第２のク
ライアントに第１の秘密情報を送信するステップと、第
２のクライアントが第１のクライアントにチャレンジ文
字列を送信するステップと、第１のクライアントが前記
チャレンジ文字列と第２の秘密情報に対して所定の演算
処理を適用して暗号鍵を生成するステップと、第１のク
ライアントが第２のクライアントに前記暗号鍵を送信す
るステップと、第２のクライアントが、前記暗号鍵を用
いて前記秘密情報を暗号化して得た保護化秘密情報を２
次記憶装置に格納するステップと、を具備することを特
徴とする情報管理方法である。

【００４７】

【作用】本発明は、例えばＬＡＮ（ＬｏｃａｌＡｒｅ
ａＮｅｔｗｏｒｋ）やインターネットのような分散コ
ンピューティング環境において適用される。かかる分散
コンピューティング環境下では、オブジェクトを提供す
る１以上のサーバと、オブジェクトを要求する１以上の
クライアントとがネットワーク接続され、いわゆる「オ
ブジェクト空間」が形成されている。オブジェクト空間
の一例は、各ホストがＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓ
ｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／Ｉｎｔ
ｅｒｎｅｔＰｒｏｔｏｃｏｌ）接続された分散コンピ
ューティング環境下で展開される、ＨＴＭＬ（Ｈｙｐｅ
ｒＴｅｘｔＭａｒｋｕｐＬａｎｇｕａｇｅ）形式
で記述されたＨＴＴＰ（ＨｙｐｅｒＴｅｘｔＴｒａ
ｎｓｆｅｒＰｒｏｔｏｃｏｌ）オブジェクトが提供さ
れるＷＷＷ（ＷｏｒｌｄＷｉｄｅＷｅｂ）情報空間
である。

【００４８】オブジェクト空間上では、各クライアント
のオブジェクトに対するアクセス権限は「権限情報」若
しくは「ケイパビリティ（ｃａｐａｂｉｌｉｔｙ）」と
いう形式で記述される。したがって、クライアントは、
基本的には、自身のユーザ情報と自身に付与された権限
情報を、オブジェクトを管理し提供するサーバに提示す
ることによって、オブジェクトへのアクセスが許容され
る。

【００４９】さらに、クライアントから権限情報を引き
継いだ他のクライアントも、元のクライアントのユーザ
情報と権限情報とを提示することによって、オブジェク
トへのアクセスが許容される。しかしながら、無制限に
権限情報を譲渡してしまうと、譲受者による権限情報の
乱用や不充分な安全管理のために、譲渡者であるクライ
アントは、権限情報の悪用や乱用、あるいは権限情報の
無断の複製や改竄によって、不測の不利益を被りかねな
い。

【００５０】そこで、権限情報の譲渡者は、オブジェク
トに対する無制限のアクセスを排除するために、権限内
容を弱めた権限情報（例えば、有効期限や使用許可回数
などを付加したり、オブジェクトの操作権限を制限した
権限情報）を委譲することが好ましい。また、委譲した
後に、権限情報が勝手に改竄されないように（例えば、
勝手に有効期限を書き換えたり、操作権限を強化したり
されないように）、権限情報を安全に送信できるように
対策を講じる必要がある。

【００５１】本発明は、各クライアントとサーバ間で、
クライアントのユーザ情報と秘密情報が共有されている
ことを前提とする。秘密情報は、パスワード等を指し、
例えば所定の情報に暗号化関数を適用する際の秘密鍵と
して利用することができる。

【００５２】本発明の第１の側面によれば、権限情報を
委譲するクライアントは、自身が持つ権限内容を弱めた
権限情報を生成し、生成した権限情報と秘密情報とを連
結したビット列に対して所定の演算操作を適用すること
で、改竄などの悪用の危険を排した保護化権限情報を生
成することができる。

【００５３】ここで言う所定の演算操作の一例は「一方
向性関数」である。一方向性関数は、逆関数を求めるこ
とが極めて困難な関数であり、該関数を適用する前の引
数の値を推測することを不可能にする作用がある。した
がって、秘密情報を知らない第３者が保護化権限情報を
勝手に改竄することはできない。

【００５４】クライアントは、アクセス権限を委譲した
い他のクライアントに対して、自身のユーザ情報と、新
たに生成した権限情報と、保護化権限情報とを送信す
る。そして、他のクライアントは、譲受したユーザ情
報、権限情報、及び保護化権限情報を添付して、サーバ
に対してオブジェクトに対するアクセス要求を行うこと
ができる。

【００５５】一方のサーバは、まず、権限情報が有効か
否か、すなわち、オブジェクトに対してクライアントが
要求する操作が権限情報で許容された範囲内か否かを検
査する。検査結果が否定的であれば、該アクセス要求は
不正なアクセスとして拒絶される。

【００５６】次いで、サーバは、アクセス要求メッセー
ジで受け取ったユーザ情報と秘密情報とを連結したビッ
ト列に対して、所定の演算操作、例えば一方向性関数を
適用して、保護化権限情報を再現してみる。そして、こ
の再現された保護化権限情報を、アクセス要求メッセー
ジで受け取った保護化権限情報と比較照合することで、
アクセス要求クライアントが正当な権限を有するか否か
を安全に判断することができる。両者が一致すればアク
セス要求は受理され、両者が一致しなければアクセス要
求は不正アクセスとして拒絶される。すなわち、サーバ
は、委譲されたアクセス権限を安全に検査することがで
きる訳である。

【００５７】また、本発明の第２の側面に係るアクセス
権限委譲方法では、認証処理のために、「チャレンジ文
字列」と呼ぶ１回限り使用する数字を基に暗号化してや
り取りする「チャレンジ・レスポンス認証」を採用す
る。

【００５８】まず、権限情報を委譲するクライアント
は、自身が持つ権限内容を弱めた権限情報を生成する。
そして、生成した権限情報と秘密情報とを連結したビッ
ト列に対して一方向性関数などの演算操作を適用するこ
とで、悪用の危険を排した第１の保護化権限情報を生成
する。秘密情報を知らない第３者は、第１の保護化権限
情報を勝手に改竄することはできない。

【００５９】クライアントは、アクセス権限を委譲した
い他のクライアントに対して、自身のユーザ情報と、新
たに生成した権限情報と、第１の保護化権限情報を送信
する。

【００６０】サーバは、クライアントからのアクセス要
求に対して、チャレンジ文字列を返信する。これに対
し、クライアントは、チャレンジ文字列と第１の保護化
権限情報を連結したビット列に対して一方向性関数など
の所定の演算操作を適用して、悪用の危険を排した第２
の保護化権限情報を生成する。チャレンジ文字列を知ら
ない第３者は、第２の保護化権限情報を勝手に改竄する
ことはできない。

【００６１】次いで、クライアントは、譲受したユーザ
情報、権限情報、及び第２の保護化権限情報を添付し
て、サーバに対してオブジェクトに対するアクセス要求
を改めて行う。

【００６２】サーバは、アクセス要求に応答して、権限
情報が有効か否か、すなわち、オブジェクトに対してク
ライアントが要求する操作が権限情報で許容された範囲
内か否かを検査する。検査結果が否定的であれば、該ア
クセス要求は不正なアクセスとして拒絶される。

【００６３】次いで、サーバは、アクセス要求メッセー
ジで受け取ったユーザ情報と秘密情報とを連結したビッ
ト列に対して一方向性関数などの所定の演算操作を適用
して、第１の保護化権限情報を再現してみる。さらに、
チャレンジ文字列と第１の保護化権限情報を連結したビ
ット列に対して一方向性関数などの所定の演算操作を適
用して、第２の保護化権限情報を再現してみる。そし
て、この再現された第２の保護化権限情報を、アクセス
要求メッセージで受け取った第２の保護化権限情報と比
較照合することで、アクセス要求クライアントが正当な
権限を有するか否かを安全に判断することができる。両
者が一致すればアクセス要求は受理され、両者が一致し
なければアクセス要求は不正アクセスとして拒絶され
る。すなわち、サーバは、委譲されたアクセス権限を安
全に検査することができる訳である。

【００６４】また、本発明の第３の側面に係るアクセス
権限委譲方法は、委譲する権限情報を保護化する所定の
演算操作として、一方向性関数ではなく暗号化関数を用
いたものである。クライアントとサーバの間で共有され
る秘密情報を暗号化関数の暗号鍵として用いることがで
きる。暗号化方式としては、対称秘密鍵方式又は公開鍵
暗号方式^/*/の双方を適用することができる。

【００６５】まず、権限情報を委譲するクライアント
は、自身が持つ権限内容を弱めた権限情報を生成し、次
いで、秘密情報を用いて権限情報を暗号化して、悪用の
危険を排した保護化権限情報を生成する。したがって、
秘密情報を知らない第３者は、保護化権限情報を勝手に
改竄することはできない。

【００６６】クライアントは、アクセス権限を委譲した
い他のクライアントに対して、自身のユーザ情報と保護
化権限情報を送信する。そして、他のクライアントは、
譲受したユーザ情報と保護化権限情報を添付して、サー
バに対してオブジェクトに対するアクセス要求を行う。

【００６７】一方のサーバは、まず、ユーザ情報に対応
する秘密情報を用いて保護化権限情報を復号化して、権
限情報を生成する。

【００６８】次いで、サーバは、権限情報が有効か否
か、すなわち、オブジェクトに対してクライアントが要
求する操作が権限情報で許容された範囲内か否かを検査
する。検査結果が否定的であれば、該アクセス要求は不
正なアクセスとして拒絶される。すなわち、サーバは、
委譲されたアクセス権限を安全に検査することができる
訳である。

【００６９】また、本発明の第４の側面に係るアクセス
権限委譲方法は、第３の側面に対していわゆる「チャレ
ンジ文字列」と呼ぶ１回限り使用する数字を基に暗号化
してやり取りする「チャレンジ・レスポンス認証」を適
用したものである。「チャレンジ・レスポンス認証」は
「ゼロ知識証明」の一種である（前述）。

【００７０】まず、権限情報を委譲するクライアント
は、自身が持つ権限内容を弱めた権限情報を生成する。
そして、秘密情報を用いて権限情報を暗号化して、悪用
の危険を排した第１の保護化権限情報を生成する。秘密
情報を知らない第３者は、第１の保護化権限情報を勝手
に改竄することはできない。

【００７１】クライアントは、アクセス権限を委譲した
い他のクライアントに対して、自身のユーザ情報と、新
たに生成した権限情報と、第１の保護化権限情報を送信
する。

【００７２】サーバは、クライアントからのアクセス要
求に対して、チャレンジ文字列を返信する。これに対
し、クライアントは、第１の保護化権限情報を用いてチ
ャレンジ文字列を暗号化して、悪用の危険を排した第２
の保護化権限情報を生成する。チャレンジ文字列を知ら
ない第３者は、第２の保護化権限情報を勝手に改竄する
ことはできない。

【００７３】次いで、クライアントは、譲受したユーザ
情報、権限情報、及び第２の保護化権限情報を添付し
て、サーバに対してオブジェクトに対するアクセス要求
を改めて行う。

【００７４】サーバは、アクセス要求に応答して、権限
情報が有効か否か、すなわち、オブジェクトに対してク
ライアントが要求する操作が権限情報で許容された範囲
内か否かを検査する。検査結果が否定的であれば、該ア
クセス要求は不正なアクセスとして拒絶される。

【００７５】次いで、サーバは、秘密情報を用いて権限
情報を暗号化して、第１の保護化権限情報を再現してみ
る。さらに、再現された第１の保護化権限情報を用いて
チャレンジ文字列を暗号化して、第２の保護化権限情報
を再現してみる。そして、この再現された第２の保護化
権限情報を、アクセス要求メッセージで受け取った第２
の保護化権限情報と比較照合することで、アクセス要求
クライアントが正当な権限を有するか否かを安全に判断
することができる。両者が一致すればアクセス要求は受
理され、両者が一致しなければアクセス要求は不正アク
セスとして拒絶される。すなわち、サーバは、委譲され
たアクセス権限を安全に検査することができる訳であ
る。

【００７６】上述したように、本発明の第１乃至第４の
側面に係るアクセス権限委譲方法によれば、クライアン
トは、悪用の危険を排した保護化権限情報を送信するこ
とで他のクライアントに対してアクセス権限を安全に委
譲することができる。しかしながら、アクセス権限を譲
受した他のクライアントが、保護化権限情報をハード・
ディスクのような２次記憶装置に無防備に格納してしま
うと、第三者がハード・ディスクを攻撃したり不正侵入
したりして、保護化権限情報自体が漏洩してしまう危険
がある。漏洩した結果、第三者による保護化権限情報を
用いた不正アクセスを回避することは困難となってしま
う。

【００７７】本発明の第５乃至第８の側面に係る情報管
理方法は、このような技術的課題を鑑みたものであり、
保護化権限情報のような秘密性の高い情報を２次記憶装
置に安全に格納する方法を提供するものである。

【００７８】本発明のさらに他の目的、特徴や利点は、
後述する本発明の実施例や添付する図面に基づくより詳
細な説明によって明らかになるであろう。

【００７９】《注釈》＊：対称秘密鍵方式とは、通信の相手どうしで同一の秘
密鍵を共有する方式であり、暗号化するために用いた秘
密鍵と同じ鍵を用いて暗号化情報を復号化することがで
きる。これに対し、公開鍵暗号方式とは、一方の鍵で暗
号化した暗号化情報は他方の鍵でしか復号化できないと
いう性質を持つ２個の鍵の組み合わせて暗号化する方式
であり、一方の鍵をユーザ個人が秘密裏に保持する「秘
密鍵」として保持し、他方の鍵を第３者に公開する「公
開鍵」として用いるのが一般的である。例えば公開鍵を
用いて暗号化することによって秘密鍵の所有者に秘密文
書を安全に送信することができる。また、秘密鍵を用い
て暗号化した署名を送信することにより、受信者は公開
鍵を用いて署名を認証することができる。

【００８０】

【発明の実施の形態】本発明は、例えばＬＡＮ（Ｌｏｃ
ａｌＡｒｅａＮｅｔｗｏｒｋ）やインタネットのよ
うな分散コンピューティング環境において適用される。
ネットワーク上の各コンピュータ・システムすなわち
「ホスト」は、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏ
ｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎ
ｅｔＰｒｏｔｏｃｏｌ）のような所定の通信プロトコ
ルに従って相互接続されている。

【００８１】かかる分散コンピューティング環境下で
は、オブジェクトを提供する１以上のサービス・オブジ
ェクトと、オブジェクトを要求する１以上のクライアン
トとがネットワーク接続され、いわゆる「オブジェクト
空間」が形成されている。例えば、インターネット上で
公開されている広域情報提供システムＷＷＷ（Ｗｏｒｌ
ｄＷｉｄｅＷｅｂ）では、ＨＴＭＬ（Ｈｙｐｅｒ
ＴｅｘｔＭａｒｋｕｐＬａｎｇｕａｇｅ）形式で記述
されたハイパーテキスト・オブジェクトが、ＨＴＴＰ
（ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔ
ｏｃｏｌ）プロトコルに従って提供される。

【００８２】各オブジェクトは、ＵＲＬ（Ｕｎｉｆｏｒ
ｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）と呼ばれる所
定書式の文字列によってオブジェクト空間上で一意に指
定される。ＵＲＬとは、ネットワークなどの資源空間上
で資源の名称やその在り処を特定するための文字列であ
り、スキーム名（プロトコル名）：／／ホスト名（ドメ
イン名）：ポート番号／パス名（ファイル名）」という
形式で記述される（周知）。クライアントは、所望のＨ
ＴＴＰオブジェクトに関するＵＲＬを含んだＨＴＴＰメ
ッセージを送信することによって、ＨＴＴＰサーバに対
してオブジェクトへのアクセス（すなわちオブジェクト
に対する操作）を要求することができる。

【００８３】このようなオブジェクト空間上では、各ク
ライアントのＨＴＴＰオブジェクトに対するアクセス権
限は「権限情報」若しくは「ケイパビリティ（ｃａｐａ
ｂｉｌｉｔｙ）」という形式で記述される。各クライア
ントは、基本的には、自身のユーザ情報と自身に付与さ
れた権限情報をサーバすなわちサービス・オブジェクト
に提示することによって、オブジェクトへのアクセスが
許容される。ＨＴＴＰプロトコルでは、ケイパビリティ
をＵＲＬ文字列の中で記述して、ＨＴＴＰメッセージと
してホスト間で交換することも許容される。

【００８４】また、クライアントは、権限情報を含んだ
ＵＲＬを他のクライアントに引き渡すという形式で、オ
ブジェクトに対するアクセス権限を委譲することができ
る。但し、既に［従来の技術］の欄でも説明したよう
に、無制限に権限情報を譲渡してしまうと、譲渡者であ
るクライアントは、権限情報の悪用や乱用、権限情報の
無断の複製や改竄によって、不測の不利益を被りかねな
い。

【００８５】以下で説明するように、本発明の各実施形
態では、権限情報の譲渡者は、オブジェクトに対する不
正なアクセスを排除するために、権限内容を弱めた権限
情報（例えば、有効期限や使用許可回数などを付加した
り、オブジェクトの操作権限を弱めた権限情報）を委譲
することにした。また、委譲した後に、権限情報が勝手
に改竄されないように（例えば、勝手に有効期限を書き
換えたり、操作権限を強化したりされないように）、権
限情報を安全に送信できるように対策を講じた。

【００８６】１．第１の実施形態図１には、本発明の第１の実施形態に係る分散コンピュ
ーティング環境を模式的に示している。第１の実施形態
は、権限情報に一方向性関数ＭＤを適用することによっ
てアクセス権限の安全な委譲を実現するものである。以
下、各部について説明する。

【００８７】インターネットのようなネットワーク１０
上には、無数のホストがＴＣＰ／ＩＰ接続されている。
ホストの一部は、ＨＴＴＰオブジェクトを提供するＨＴ
ＴＰサーバ３００…であり、また、他の一部は、サーバ
に対してオブジェクトへのアクセスを要求するクライア
ント１００，２００…である。なお、サーバの実体は、
ＨＴＴＰサーバ・アプリケーションを稼動する汎用コン
ピュータであり、また、クライアントは、ＷＷＷブラウ
ザなどのクライアント・アプリケーションを稼動する汎
用コンピュータである。

【００８８】図１に示す例では、ＨＴＴＰサーバ３００
は、”ｈｔｔｐ：／／ｗｗｗ３００”なるＵＲＬで表さ
れるものとする。また、ＨＴＴＰサーバ３００は、アク
セス制御オブジェクト３０１と、参照番号３９１〜３９
Ｎで示されるＮ個のＨＴＴＰオブジェクトを所有してい
る。各ＨＴＴＰオブジェクト３９１〜３９Ｎはそれぞ
れ” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅｃｔ３９
１”，…，” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅ
ｃｔ３９Ｎ”なるＵＲＬで示されるものとする。また、
アクセス制御オブジェクト３０１は、各ＨＴＴＰオブジ
ェクト３９１〜３９Ｎに対するアクセス要求を制御する
ためのオブジェクトである。但し、アクセス制御オブジ
ェクト３０１は、ＨＴＴＰオブジェクト３９１〜３９Ｎ
と同じサーバ３００上に存在する必要は必ずしもなく、
例えば別のホスト（図示しない）上に存在してＨＴＴＰ
サーバ３００から遠隔的に呼び出されて所定のアクセス
制御処理を起動するようにしてもよい。

【００８９】各クライアント１００…は、ユーザを識別
可能なユーザ情報と、秘密情報としてのパスワードを保
持している。図１に示す例では、クライアント１００
は、ユーザ情報”ｕｓｅｒｉｄ１”とパスワード”ｐａ
ｓｓｗｏｒｄ１”を保持しているものとする。

【００９０】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、各クライアント１００…に関するユ
ーザ情報とパスワードの組み合わせ（ｕｓｅｒｉｄ１，
ｐａｓｓｗｏｒｄ１），（ｕｓｅｒｉｄ２，ｐａｓｓｗ
ｏｒｄ２）…を「パスワード管理表」（仮称）として保
管している。

【００９１】本実施形態では、ＨＴＴＰ１．１のＢａｓ
ｉｃＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｃｈｅｍｅ
（基本認証法）に従ってＨＴＴＰメッセージが交換され
るものとする。すなわち、クライアント１００は、以下
に示すようなＨＴＴＰリクエストを発行することによ
り、ＨＴＴＰオブジェクト３９１のＧＥＴメソッドを起
動することができる。

【００９２】

【数１】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｂａｓｉｃａｕｔｈ
ｄａｔａ

【００９３】但し、”ａｕｔｈｄａｔａ”は、ユーザ情
報とパスワードを連結したビット列ｕｓｅｒｉｄ１：ｐ
ａｓｓｗｏｒｄ１を、改行のないｂａｓｅ６４エンコー
ド法でエンコードした文字列である。なお、ここで言
う”ｂａｓｅ６４”とは、ＭＩＭＥ（Ｍｕｌｔｉｐｕｒ
ｐｏｓｅＩｎｔｅｒｎｅｔＭａｉｌＥｘｔｅｎｓ
ｉｏｎｓ）を利用した電子メールの添付ファイルの符号
化方式であり、文字列や添付ファイルを全て６４個のア
ルファベットや数字などのＡＳＣＩＩ（Ａｍｅｒｉｃａ
ｎＳｔａｎｄａｒｄＣｏｄｅｆｏｒＩｎｆｏｒ
ｍａｔｉｏｎＩｎｔｅｒｃｈａｎｇｅ）コードに変換
する。

【００９４】次いで、クライアント１００がクライアン
ト２００に権限情報を委譲する場合を例にとって、本実
施形態に係るアクセス権限委譲方法について説明する。

【００９５】権限情報は、以下の各事柄を含む文字列で
構成される（但し、例示に過ぎず、使用許可回数など他
の事柄を権限情報に含んでいてもよい）。

【００９６】● オブジェクト名の列 ● メソッド名の列 ● 有効期間開始日時 ● 有効期間終了日時

【００９７】ここで、クライアント１００が、クライア
ント２００にアクセス権限を委譲するために、以下の権
限情報文字列ｃａｐａｂｉｌｉｔｙ１を生成したとす
る。

【００９８】

【数２】

【００９９】上記の権限情報文字列は、”／ｏｂｊｅｃ
ｔ３９１”で表されるＨＴＴＰオブジェクト３９１に対
して、ＧＥＴメソッドのみを、世界時で１９９９年の４
月２４日１０時０分４８秒から１９９９年の４月２５日
１０時０分４８秒の間だけ実行することのできる権利を
表している。

【０１００】本実施例では、クライアント２００は、Ｈ
ＴＴＰサーバ３００のみを対象とするため、オブジェク
ト名としてサーバ内での名前のみを取り扱う。但し、一
般には、オブジェクト名としてＵＲＬ等のグローバルな
識別子を用いることにより、複数のＨＴＴＰサーバのオ
ブジェクトを識別するようにしてもよい。

【０１０１】次いで、クライアント１００は、この権限
情報ｃａｐａｂｉｌｉｔｙ１に対して秘密情報としての
ｐａｓｓｗｏｒｄ１を文字列後方からビット連結して、
一方向性関数ＭＤ（ＭｅｓｓａｇｅＤｉｇｅｓｔ）を
適用して、以下に示す保護化権限情報ｃａｐａｂｉｌｉ
ｔｙＭＤ１を生成する。

【０１０２】

【数３】

【０１０３】一方向性関数ＭＤは、逆関数を求めること
が極めて困難な関数であり、該関数ＭＤを適用する前の
引数の値を推測することを不可能にする作用がある。し
たがって、秘密情報ｐａｓｓｗｏｒｄ１を知らない第３
者が保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１を勝手
に改竄することはできない。

【０１０４】次いで、クライアント１００は、少なくと
も、 ● ｕｓｅｒｉｄ１（ユーザ情報） ● ｃａｐａｂｉｌｉｔｙ１（権限情報） ● ｃａｐａｂｉｌｉｔｙＭＤ１（保護化権限情報）からなる情報を、他のクライアント２００に対して送信
する。

【０１０５】既に述べたように、秘密情報ｐａｓｓｗｏ
ｒｄ１を知らない第３者（クライアント２００を含む）
は、保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１を改竄
することができない。したがって、クライアント１００
は、他のクライアント２００に対して、ＨＴＴＰオブジ
ェクト３９１に対するアクセス権限を安全に委譲するこ
とができる訳である。

【０１０６】他方、上記の情報を受信したクライアント
２００は、クライアント１００の代理として、ＨＴＴＰ
オブジェクト３９１にアクセスするサービスを提供す
る。

【０１０７】クライアント２００は、ＨＴＴＰオブジェ
クト３９１にアクセスするためには、少なくとも以下の
情報を含む要求メッセージをＨＴＴＰサーバ３００に送
信する。

【０１０８】● オブジェクト名 ● メソッド名 ● ユーザ名 ● 権限情報 ● 権限情報のメッセージ・ダイジェスト

【０１０９】本実施例では、以下に示すような要求メッ
セージを送信する。

【０１１０】

【数４】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｃａｐａｂｉｌｉｔｙ
ｃａｐ１

【０１１１】ここで、文字列ｃａｐ１は、ユーザ名と権
限情報と権限情報のメッセージ・ダイジェストを”：”
を用いて連結して、改行のないｂａｓｅ６４エンコード
法（前述）でエンコードした文字列であるとする。

【０１１２】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、上記の要求メッセージ中のＡｕｔｈ
ｏｒｉｚａｔｉｏｎフィールドから、以下の情報を取り
出す。 ● ユーザ情報 ● 権限情報 ● 権限情報のメッセージ・ダイジェスト

【０１１３】さらに、アクセス制御オブジェクト３０１
は、取り出したこれらの情報を基に、以下に示すアルゴ
リズム１（図２を参照のこと）を実行することによっ
て、クライアント２００がＨＴＴＰオブジェクト３９１
に対するアクセス権限を正当に委譲された者か否かを判
断することができる。

【０１１４】アルゴリズム１：（ステップ１）Ａｕｔｈｏｒｉｚａｔｉｏｎフィールド
から抽出したユーザ名をｕｓｅｒｉｄとする。

【０１１５】（ステップ２）Ａｕｔｈｏｒｉｚａｔｉｏ
ｎフィールドから抽出した権限情報をｃａｐａｂｉｌｉ
ｔｙとする。

【０１１６】（ステップ３）Ａｕｔｈｏｒｉｚａｔｉｏ
ｎフィールドから抽出した権限情報のメッセージ・ダイ
ジェストをｃａｐａｂｉｌｉｔｙＭＤとする。

【０１１７】（ステップ４）ｕｓｅｒｉｄに相当するパ
スワードをパスワード管理表から取得する。該管理表か
ら取得されたパスワードをｐａｓｓｗｏｒｄとする。他
方、対応するパスワードが登録されていない場合は、ク
ライアント２００からの要求メッセージは不正アクセス
であるとして、本アルゴリズムを終了する。

【０１１８】（ステップ５）権限情報ｃａｐａｂｉｌｉ
ｔｙと秘密情報ｐａｓｓｗｏｒｄとをビット連結して、
一方向性関数ＭＤを適用し、その結果をｄｉｇｅｓｔと
する。

【０１１９】（ステップ６）ｄｉｇｅｓｔを、要求メッ
セージに含まれるｃａｐｃａｂｉｌｉｔｙＭＤと比較す
る。両者が等しくない場合には、クライアント２００か
らの要求メッセージは不正アクセスであるとして、本ア
ルゴリズムを終了する。両者が一致する場合には次ステ
ップへ進む。

【０１２０】（ステップ７）Ａｕｔｏｒｉｚａｔｉｏｎ
フィールドから取り出されたｃａｐａｂｉｌｉｔｙを基
に、クライアント２００が要求するメソッド（すなわち
オブジェクトに対する処理内容）、対象オブジェクト、
有効期限などの、権限の有効性をチェックする。要求が
ｃａｐａｂｉｌｉｔｙで許可されないものであれば、不
正アクセスであるとして本アルゴリズムを終了する。許
可されている範囲内であれば、正当なアクセスであると
して本アルゴリズムを終了する。

【０１２１】アルゴリズム１を実行した結果、正当アク
セスであることが判明した場合には、アクセス制御オブ
ジェクト３０１は、ＨＴＴＰオブジェクト３９１に対し
てＧＥＴメソッドを起動するメッセージを送信する。

【０１２２】図３には、本実施形態において、クライア
ント１００、クライアント２００及びＨＴＴＰサーバ３
００間で実行されるトランザクションを図解している。
以下、同図を参照しながら説明する。

【０１２３】トランザクションの前提として、クライア
ント１００は、ＨＴＴＰサーバ３００に対するアクセス
のアカウント（利用者資格）として、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。また、ＨＴＴＰサーバ３００の
アクセス制御オブジェクト３０１は、各クライアント１
００…についてのユーザ情報とパスワードの組み合わせ
（ｕｓｅｒｉｄ１，ｐａｓｓｗｏｒｄ１），（ｕｓｅｒ
ｉｄ２，ｐａｓｓｗｏｒｄ２）…を「パスワード管理
表」として保管している。

【０１２４】クライアント１００は、ＨＴＴＰオブジェ
クト３９１へのアクセスに関し、クライアント２００に
与えてもよい権限情報ｃａｐａｂｉｌｉｔｙ１を作成す
る（Ｔｒ１）。

【０１２５】次いで、クライアント１００は、権限情報
ｃａｐａｂｉｌｉｔｙ１の後ろに自己の秘密情報ｐａｓ
ｓｗｏｒｄ１をビット連結したビット列に一方向性関数
ＭＤを適用して、保護化権限情報ｃａｐａｂｉｌｉｔｙ
ＭＤ１を作成する（Ｔｒ２）。

【０１２６】次いで、クライアント１００は、ユーザ情
報ｕｓｅｒｉｄ１と権限情報ｃａｐａｂｉｌｉｔｙ１、
及び保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１をクラ
イアント２００に送信することで、アクセス権限を安全
に委譲する（Ｔｒ３）。

【０１２７】アクセス権限を委譲されたクライアント２
００は、ＨＴＴＰサーバ３００に対してＨＴＴＰオブジ
ェクト３９１へのアクセス要求を送信する（Ｔｒ４）。
このアクセス要求には、クライアント１００のユーザ名
ｕｓｅｒｉｄ１、権限情報ｃａｐａｂｉｌｉｔｙ１、及
び保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１を添付す
る。

【０１２８】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、クライアント２００のアクセス要求
の正当性を検証する（Ｔｒ５）。該検証は、上述のアル
ゴリズム１（図２を参照のこと）が規定する処理手順に
従う。

【０１２９】検証結果が成功裡に終了した場合には、ア
クセス制御オブジェクト３０１はアクセス要求を受理す
る（Ｔｒ６）。より具体的には、要求されているメソッ
ド（例えばＧＥＴメソッド）を起動する。

【０１３０】２．第２の実施形態次いで、本発明の第２
の実施形態について説明する。第２の実施形態は、上記
と同様、図１に示すような分散コンピューティング環境
に適用可能である。第２の実施形態は、権限情報に一方
向性関数を適用するとともに、「チャレンジ文字列」と
呼ぶ１回限り使用する数字を基に暗号化してやり取りす
る「チャレンジ・レスポンス認証」を採用するものであ
る。

【０１３１】本実施形態において、ＨＴＴＰサーバ３０
０は、”ｈｔｔｐ：／／ｗｗｗ３００”なるＵＲＬで表
されるものとする。また、ＨＴＴＰサーバ３００は、ア
クセス制御オブジェクト３０１と、参照番号３９１〜３
９Ｎで示されるＮ個のＨＴＴＰオブジェクトを所有して
いる。各ＨＴＴＰオブジェクト３９１〜３９Ｎはそれぞ
れ” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅｃｔ３９
１”，…，” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅ
ｃｔ３９Ｎ”なるＵＲＬで示されるものとする。

【０１３２】アクセス制御オブジェクト３０１は、各Ｈ
ＴＴＰオブジェクト３９１〜３９Ｎに対するアクセス要
求を制御するためのオブジェクトである。但し、アクセ
ス制御オブジェクト３０１は、ＨＴＴＰオブジェクト３
９１〜３９Ｎと同じサーバ３００上に存在する必要は必
ずしもなく、例えば別のサーバ（図示しない）上に存在
してＨＴＴＰサーバ３００から遠隔的に呼び出されて所
定のアクセス制御処理を起動するようにしてもよい。

【０１３３】各クライアント１００…は、ユーザを識別
可能なユーザ情報と、秘密情報としてのパスワードを保
持している。クライアント１００は、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。

【０１３４】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、各クライアント１００…に関するユ
ーザ情報とパスワードの組み合わせ（ｕｓｅｒｉｄ１，
ｐａｓｓｗｏｒｄ１），（ｕｓｅｒｉｄ２，ｐａｓｓｗ
ｏｒｄ２）…を「パスワード管理表」（仮称）として保
管している。

【０１３５】本実施形態では、ＨＴＴＰ１．１のＤｉｇ
ｅｓｔＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｃｈｅｍｅ
（基本認証法）に従ってＨＴＴＰメッセージが交換され
るものとする。すなわち、クライアント１００は、以下
に示すようなＨＴＴＰリクエストを発行することによ
り、ＨＴＴＰオブジェクト３９１のＧＥＴメソッドを起
動することができる。

【０１３６】

【数５】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｄｉｇｅｓｔｄｉｇ
ｅｓｔ−ｒｅｓｐｏｎｓｅ

【０１３７】但し、” ｄｉｇｅｓｔ−ｒｅｓｐｏｎｓ
ｅ”は、ＨＴＴＰ１．１の規定に基づき生成された認証
データである。

【０１３８】次いで、クライアント１００がクライアン
ト２００に権限情報を委譲する場合を例にとって、本実
施形態に係るアクセス権限委譲方法について説明する。

【０１３９】権限情報は、以下の各事柄を含む文字列で
構成される（但し、例示に過ぎず、使用許可回数など他
の事柄を権限情報に含んでいてもよい）。

【０１４０】● オブジェクト名の列 ● メソッド名の列 ● 有効期間開始日時 ● 有効期間終了日時

【０１４１】ここで、クライアント１００が、クライア
ント２００にアクセス権限を委譲するために、以下の権
限情報文字列ｃａｐａｂｉｌｉｔｙ１を生成したとす
る。

【０１４２】

【数６】

【０１４３】上記の権限情報文字列は、”／ｏｂｊｅｃ
ｔ３９１”で表されるＨＴＴＰオブジェクト３９１に対
して、ＧＥＴメソッドのみを、世界時で１９９９年の４
月２４日１０時０分４８秒から１９９９年の４月２５日
１０時０分４８秒の間だけ実行することのできる権利を
表している。

【０１４４】本実施例では、クライアント２００は、Ｈ
ＴＴＰサーバ３００のみを対象とするため、オブジェク
ト名としてサーバ内での名前のみを取り扱う。但し、一
般には、オブジェクト名としてＵＲＬ等のグローバルな
識別子を用いることにより、複数のＨＴＴＰサーバのオ
ブジェクトを識別するようにしてもよい。

【０１４５】次いで、クライアント１００は、この権限
情報ｃａｐａｂｉｌｉｔｙ１に対して秘密情報としての
ｐａｓｓｗｏｒｄ１を文字列後方からビット連結して、
一方向性関数ＭＤ（ＭｅｓｓａｇｅＤｉｇｅｓｔ）を
適用して、以下に示す保護化権限情報ｃａｐａｂｉｌｉ
ｔｙＭＤ１を生成する。

【０１４６】

【数７】

【０１４７】一方向性関数ＭＤは、逆関数を求めること
が極めて困難な関数であり、該関数ＭＤを適用する前の
引数の値を推測することを不可能にする作用がある。し
たがって、秘密情報ｐａｓｓｗｏｒｄ１を知らない第３
者が保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１を勝手
に改竄することはできない。

【０１４８】次いで、クライアント１００は、少なくと
も、 ● ｕｓｅｒｉｄ１（ユーザ情報） ● ｃａｐａｂｉｌｉｔｙ１（権限情報） ● ｃａｐａｂｉｌｉｔｙＭＤ１（保護化権限情報）からなる情報を、他のクライアント２００に対して送信
する。

【０１４９】既に述べたように、秘密情報ｐａｓｓｗｏ
ｒｄ１を知らない第３者（クライアント２００を含む）
は、保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１を改竄
することができない。したがって、クライアント１００
は、他のクライアント２００に対して、ＨＴＴＰオブジ
ェクト３９１に対するアクセス権限を安全に委譲するこ
とができる訳である。

【０１５０】他方、上記の情報を受信したクライアント
２００は、クライアント１００の代理として、ＨＴＴＰ
オブジェクト３９１にアクセスするサービスを提供す
る。

【０１５１】クライアント２００は、ＨＴＴＰオブジェ
クト３９１にアクセスするために、まず、以下に示すよ
うなメッセージをＨＴＴＰサーバ３００に送信する。

【０１５２】

【数８】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ１．１

【０１５３】この場合、要求メッセージに認証データが
含まれていないため、ＨＴＴＰサーバ３００は、以下の
ような応答メッセージをクライアント２００に送信す
る。

【０１５４】

【数９】

【０１５５】上記のうち、ｎｏｎｃｅに代入された文字
列は、「チャレンジ・レスポンス認証」を行うための
「チャレンジ文字列」である。「チャレンジ・レスポン
ス認証」とは、パスワード認証を安全に実施するための
技術であり、１回限り使用するチャレンジ文字列を基に
暗号化してメッセージ交換する方式である。

【０１５６】クライアント２００は、少なくともチャレ
ンジ文字列ｎｏｎｃｅと保護化権限情報ｃａｐａｂｉｌ
ｉｔｙＭＤ１とをビット連結した文字列のメッセージ・
ダイジェストを計算する。この場合の例で言えば、以下
の式を計算することになる。すなわち、

【０１５７】

【数１０】

【０１５８】また、その他の文字列もさらに連結するよ
うにしてもよい。例えば、ＨＴＴＰ／１．１のように以
下の式を計算してもよい。

【０１５９】

【数１１】

【０１６０】上記の計算結果をｒｅｓｐｏｎｓｅ１とす
る。クライアント２００は、ＨＴＴＰオブジェクト３９
１にアクセスするためには、以下のような要求メッセー
ジをＨＴＴＰサーバ３００に送信する。

【０１６１】

【数１２】

【０１６２】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、上記の要求メッセージ中のＡｕｔｈ
ｏｒｉｚａｔｉｏｎフィールドから、以下の情報を取り
出す。 ● ユーザ情報 ● 権限情報 ● 権限情報のメッセージ・ダイジェスト

【０１６３】さらに、アクセス制御オブジェクト３０１
は、取り出したこれらの情報を基に、以下に示すアルゴ
リズム２（図４を参照のこと）を実行することによっ
て、クライアント２００がＨＴＴＰオブジェクト３９１
に対するアクセス権限を正当に委譲された者か否かを判
断することができる。

【０１６４】アルゴリズム２：（ステップ１１）Ａｕｔｈｏｒｉｚａｔｉｏｎフィール
ドから抽出したユーザ名をｕｓｅｒｉｄとする。

【０１６５】（ステップ１２）Ａｕｔｈｏｒｉｚａｔｉ
ｏｎフィールドから抽出した権限情報をｃａｐａｂｉｌ
ｉｔｙとする。

【０１６６】（ステップ１３）Ａｕｔｈｏｒｉｚａｔｉ
ｏｎフィールドから抽出された権限情報のメッセージ・
ダイジェストをｒｅｓｐｏｎｓｅとする。

【０１６７】（ステップ１４）クライアント２００に送
信したメッセージ中のｎｏｎｃｅフィールドの値をｎｏ
ｎｃｅ１とする。

【０１６８】（ステップ１５）ｕｓｅｒｉｄに相当する
パスワードをパスワード管理表から取得する。該管理表
から取得されたパスワードをｐａｓｓｗｏｒｄとする。
他方、対応するパスワードが登録されていない場合は、
クライアント２００からの要求メッセージは不正アクセ
スであるとして、本アルゴリズムを終了する。

【０１６９】（ステップ１６）一方向性関数の値ＭＤ
（ｎｏｎｃｅ１＋ＭＤ（ｃａｐａｂｉｌｉｔｙ＋
ｐａｓｓｗｏｒｄ））を計算し、計算結果をｄｉｇｅ
ｓｔとする。

【０１７０】（ステップ１７）ｄｉｇｅｓｔをｒｅｓｐ
ｏｎｓｅと比較する。両者が等しくない場合には、クラ
イアント２００からの要求メッセージは不正アクセスで
あるとして、本アルゴリズムを終了する。両者が一致す
る場合には次ステップへ進む。

【０１７１】（ステップ１８）ｃａｐａｂｉｌｉｔｙを
基に、クライアント２００が要求するメソッド（すなわ
ちオブジェクトに対する処理内容）、対象オブジェク
ト、有効期限などの、権限の有効性をチェックする。要
求がｃａｐａｂｉｌｉｔｙで許可されないものであれ
ば、不正アクセスであるとして本アルゴリズムを終了す
る。許可されている範囲内であれば、正当なアクセスで
あるとして本アルゴリズムを終了する。

【０１７２】アルゴリズム２を実行した結果、正当アク
セスであることが判明した場合には、アクセス制御オブ
ジェクト３０１は、ＨＴＴＰオブジェクト３９１に対し
てＧＥＴメソッドを起動するメッセージを送信する。

【０１７３】図５には、本実施形態において、クライア
ント１００、クライアント２００及びＨＴＴＰサーバ３
００間で実行されるトランザクションを図解している。
以下、同図を参照しながら説明する。

【０１７４】トランザクションの前提として、クライア
ント１００は、ＨＴＴＰサーバ３００に対するアクセス
のアカウント（利用者資格）として、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。また、ＨＴＴＰサーバ３００の
アクセス制御オブジェクト３０１は、各クライアント１
００…についてのユーザ情報とパスワードの組み合わせ
（ｕｓｅｒｉｄ１，ｐａｓｓｗｏｒｄ１），（ｕｓｅｒ
ｉｄ２，ｐａｓｓｗｏｒｄ２）…を「パスワード管理
表」として保管している。

【０１７５】クライアント１００は、ＨＴＴＰオブジェ
クト３９１へのアクセスに関し、クライアント２００に
与えてもよい権限情報ｃａｐａｂｉｌｉｔｙ１を作成す
る（Ｔｒ１１）。

【０１７６】次いで、クライアント１００は、権限情報
ｃａｐａｂｉｌｉｔｙ１の後ろに自己の秘密情報ｐａｓ
ｓｗｏｒｄ１をビット連結したビット列に一方向性関数
ＭＤを適用して、保護化権限情報ｃａｐａｂｉｌｉｔｙ
ＭＤ１を作成する（Ｔｒ１２）。

【０１７７】次いで、クライアント１００は、ユーザ情
報ｕｓｅｒｉｄ１と権限情報ｃａｐａｂｉｌｉｔｙ１、
及び保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ１をクラ
イアント２００に送信することで、アクセス権限を安全
に委譲する（Ｔｒ１３）。

【０１７８】アクセス権限を委譲されたクライアント２
００は、ＨＴＴＰサーバ３００に対してＨＴＴＰオブジ
ェクト３９１へのアクセス要求を送信する（Ｔｒ１
４）。

【０１７９】該アクセス要求には認証データが含まれて
いないので、ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、チャレンジ文字列ｎｏｎｃｅを含ん
だ応答メッセージを送信する（Ｔｒ１５）。

【０１８０】クライアント２００は、チャレンジ文字列
ｎｏｎｃｅと保護化権限情報ｃａｐａｂｉｌｉｔｙＭＤ
１をビット連結したビット列のメッセージ・ダイジェス
トｒｅｓｐｏｎｓｅを生成する（Ｔｒ１６）。

【０１８１】そして、クライアント２００は、改めて、
ＨＴＴＰサーバ３００に対してＨＴＴＰオブジェクト３
９１へのアクセス要求を送信する（Ｔｒ１７）。このア
クセス要求には、クライアント１００のユーザ名ｕｓｅ
ｒｉｄ１、権限情報ｃａｐａｂｉｌｉｔｙ１、及びメッ
セージ・ダイジェストｒｅｓｐｏｎｓｅを添付する。

【０１８２】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、クライアント２００のアクセス要求
の正当性を検証する（Ｔｒ１８）。該検証は、上述のア
ルゴリズム１（図４を参照のこと）が規定する処理手順
に従う。

【０１８３】検証結果が成功裡に終了した場合には、ア
クセス制御オブジェクト３０１はアクセス要求を受理す
る（Ｔｒ１９）。より具体的には、要求されているメソ
ッド（例えばＧＥＴメソッド）を起動する。

【０１８４】３．第３の実施形態次いで、本発明の第３の実施形態について説明する。第
２の実施形態は、上記と同様、図１に示すような分散コ
ンピューティング環境に適用可能である。但し、第３の
実施形態は、上記の第１及び第２の実施形態とは相違
し、権限情報に対して一方向性関数ではなく暗号化関数
を適用することによってアクセス権限の安全な委譲を実
現するものである。以下に示す例では、対称暗号鍵方式
を用いた場合について説明するが、公開暗号鍵方式を用
いても同様に本発明の効果を奏する点を充分理解された
い。

【０１８５】本実施形態において、ＨＴＴＰサーバ３０
０は、”ｈｔｔｐ：／／ｗｗｗ３００”なるＵＲＬで表
されるものとする。また、ＨＴＴＰサーバ３００は、ア
クセス制御オブジェクト３０１と、参照番号３９１〜３
９Ｎで示されるＮ個のＨＴＴＰオブジェクトを所有して
いる。各ＨＴＴＰオブジェクト３９１〜３９Ｎはそれぞ
れ” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅｃｔ３９
１”，…，” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅ
ｃｔ３９Ｎ”なるＵＲＬで示されるものとする。

【０１８６】アクセス制御オブジェクト３０１は、各Ｈ
ＴＴＰオブジェクト３９１〜３９Ｎに対するアクセス要
求を制御するためのオブジェクトである。但し、アクセ
ス制御オブジェクト３０１は、ＨＴＴＰオブジェクト３
９１〜３９Ｎと同じサーバ３００上に存在する必要は必
ずしもなく、例えば別のホスト（図示しない）上に存在
してＨＴＴＰサーバ３００から遠隔的に呼び出されて所
定のアクセス制御処理を起動するようにしてもよい。

【０１８７】各クライアント１００…は、ユーザを識別
可能なユーザ情報と、秘密情報としてのパスワードを保
持している。クライアント１００は、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。

【０１８８】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、各クライアント１００…に関するユ
ーザ情報とパスワードの組み合わせ（ｕｓｅｒｉｄ１，
ｐａｓｓｗｏｒｄ１），（ｕｓｅｒｉｄ２，ｐａｓｓｗ
ｏｒｄ２）…を「パスワード管理表」（仮称）として保
管している。

【０１８９】また、アクセス制御オブジェクト３０１
は、オブジェクトに対するアクセス権限を与えたクライ
アント・ユーザに対する「ケイパビリティ（ｃａｐａｂ
ｉｌｉｔｙ）」を保持している。ケイパビリティとは、
アクセス制御マトリックス（前述）を行毎すなわちユー
ザ毎に切り出した情報であり、ユーザが各ＨＴＴＰオブ
ジェクトに対して許容された操作権限を記述した情報で
ある。

【０１９０】各クライアント１００…は、ＨＴＴＰサー
バ３００に対して自己のユーザ情報とパスワードを提示
することによって、自身に与えられたケイパビリティす
なわち権限情報の範囲内でＨＴＴＰオブジェクト３９１
…に対するアクセス操作が許容される。

【０１９１】本実施形態では、ＨＴＴＰ１．１のＢａｓ
ｉｃＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｃｈｅｍｅ
（基本認証法）に従ってＨＴＴＰメッセージが交換され
るものとする。すなわち、クライアント１００は、以下
に示すようなＨＴＴＰリクエストを発行することによ
り、ＨＴＴＰオブジェクト３９１のＧＥＴメソッドを起
動することができる。

【０１９２】

【数１３】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｂａｓｉｃａｕｔｈ
ｄａｔａ

【０１９３】但し、”ａｕｔｈｄａｔａ”は、ユーザ情
報とパスワードを連結したビット列ｕｓｅｒｉｄ１：ｐ
ａｓｓｗｏｒｄ１を、改行のないｂａｓｅ６４エンコー
ド法（前述）でエンコードした文字列である。

【０１９４】次いで、クライアント１００がクライアン
ト２００に権限情報を委譲する場合を例にとって、本実
施形態に係るアクセス権限委譲方法について説明する。

【０１９５】権限情報は、以下の各事柄を含む文字列で
構成される（但し、例示に過ぎず、使用許可回数など他
の事柄を権限情報に含んでいてもよい）。 ● オブジェクト名の列 ● メソッド名の列 ● 有効期間開始日時 ● 有効期間終了日時

【０１９６】ここで、クライアント１００が、クライア
ント２００にアクセス権限を委譲するために、以下の権
限情報文字列ｃａｐａｂｉｌｉｔｙ１を生成したとす
る。

【０１９７】

【数１４】

【０１９８】上記の権限情報文字列は、”／ｏｂｊｅｃ
ｔ３９１”で表されるＨＴＴＰオブジェクト３９１に対
して、ＧＥＴメソッドのみを、世界時で１９９９年の４
月２４日１０時０分４８秒から１９９９年の４月２５日
１０時０分４８秒の間だけ実行することのできる権利を
表している。

【０１９９】本実施例では、クライアント２００は、Ｈ
ＴＴＰサーバ３００のみを対象とするため、オブジェク
ト名としてサーバ内での名前のみを取り扱う。但し、一
般には、オブジェクト名としてＵＲＬ等のグローバルな
識別子を用いることにより、複数のＨＴＴＰサーバのオ
ブジェクトを識別するようにしてもよい。＃ｄ次いで、クライアント１００は、自己の秘密情報ｐａｓ
ｓｗｏｒｄ１を用いてこの権限情報ｃａｐａｂｉｌｉｔ
ｙ１を暗号化して、以下に示す保護化権限情報ｃａｐａ
ｂｉｌｉｔｙＣＲ１を生成する。

【０２００】

【数１５】

【０２０１】上記のうち暗号化関数ＣＲＹＰＴは、例え
ば、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａ
ｎｄａｒｄ）やＲＣ２、ＲＣ４、ＲＣ５などの任意の対
称鍵暗号系を用いることができる。ＤＥＳとは、米国政
府が標準暗号として認定した共通鍵暗号方式のことであ
る。鍵は５６ビットの固定長（８ビットのパリティ・ビ
ットを含めて６４ビット）であり、まず５６ビット長の
鍵から４８ビット長の鍵を１６個作り、その鍵を使って
６４ビット長に分けたデータ・ブロックを１６回だけ攪
拌処理する。

【０２０２】また、ＲＣ２、ＲＣ４及びＲＣ５は、米Ｒ
ＳＡデータ・セキュリティ社が開発した共通鍵暗号方式
である。このうち、ＲＣ２はブロック毎にデータを暗号
化するブロック暗号であり、暗号鍵の長さを可変にでき
る。ＲＣ４は「ストリーム型」と呼ぶ暗号方式を採用す
る。ＲＣ５は鍵長、データ・ブロック長ともに可変の暗
号方式である。

【０２０３】元の権限情報に対してこのような暗号化関
数ＣＲＹＰＴを適用することによって、秘密情報ｐａｓ
ｓｗｏｒｄ１を知らない第３者が保護化権限情報ｃａｐ
ａｂｉｌｉｔｙＣＲ１を勝手に改竄することはできな
い。

【０２０４】次いで、クライアント１００は、少なくと
も、 ● ｕｓｅｒｉｄ１（ユーザ情報） ● ｃａｐａｂｉｌｉｔｙＣＲ１（保護化権限情報）からなる情報を、他のクライアント２００に対して送信
する。

【０２０５】既に述べたように、秘密情報ｐａｓｓｗｏ
ｒｄ１を知らない第３者（クライアント２００を含む）
は、保護化権限情報ｃａｐａｂｉｌｉｔｙＣＲ１を改竄
することができない。したがって、クライアント１００
は、他のクライアント２００に対して、ＨＴＴＰオブジ
ェクト３９１に対するアクセス権限を安全に委譲するこ
とができる訳である。

【０２０６】他方、上記の情報を受信したクライアント
２００は、クライアント１００の代理として、ＨＴＴＰ
オブジェクト３９１にアクセスするサービスを提供す
る。

【０２０７】クライアント２００は、ＨＴＴＰオブジェ
クト３９１にアクセスするためには、少なくとも以下の
情報を含む要求メッセージをＨＴＴＰサーバ３００に送
信する。

【０２０８】● オブジェクト名 ● メソッド名 ● ユーザ名 ● 暗号化された権限情報

【０２０９】本実施例では、以下に示すような要求メッ
セージを送信する。

【０２１０】

【数１６】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｃａｐａｂｉｌｉｔｙ
ｃａｐ１

【０２１１】ここで、文字列ｃａｐ１は、ユーザ名と暗
号化された権限情報とを”：”を用いて連結して改行の
ないｂａｓｅ６４エンコード法（前述）でエンコードし
た文字列であるとする。

【０２１２】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、上記の要求メッセージ中のＡｕｔｈ
ｏｒｉｚａｔｉｏｎフィールドから、以下の情報を取り
出す。 ● ユーザ情報 ● 暗号化された権限情報

【０２１３】さらに、アクセス制御オブジェクト３０１
は、取り出したこれらの情報を基に、以下に示すアルゴ
リズム３（図６を参照のこと）を実行することによっ
て、クライアント２００がＨＴＴＰオブジェクト３９１
に対するアクセス権限を正当に委譲された者か否かを判
断することができる。

【０２１４】アルゴリズム３：（ステップ２１）Ａｕｔｈｏｒｉｚａｔｉｏｎフィール
ドから抽出したユーザ名をｕｓｅｒｉｄとする。

【０２１５】（ステップ２２）Ａｕｔｈｏｒｉｚａｔｉ
ｏｎフィールドから抽出した暗号化された権限情報をｃ
ａｐａｂｉｌｉｔｙＣＲとする。

【０２１６】（ステップ２３）ｕｓｅｒｉｄに相当する
パスワードをパスワード管理表から取得する。該管理表
から取得されたパスワードをｐａｓｓｗｏｒｄとする。
他方、対応するパスワードが登録されていない場合は、
クライアント２００からの要求メッセージは不正アクセ
スであるとして、本アルゴリズムを終了する。

【０２１７】（ステップ２４）暗号化された権限情報ｃ
ａｐａｂｉｌｉｔｙＣＲを、秘密情報ｐａｓｓｗｏｒｄ
を用いて復号化する。復号化結果をｃａｐａｂｉｌｉｔ
ｙとする。

【０２１８】（ステップ２５）復号化された権限情報ｃ
ａｐａｂｉｌｉｔｙが正しい文法規則に則っているか否
かを判断する。正しくない場合には、クライアント２０
０からの要求メッセージは不正アクセスであるとして、
本アルゴリズムを終了する。正しい場合には次ステップ
へ進む。

【０２１９】（ステップ２６）復号化されたｃａｐａｂ
ｉｌｉｔｙを基に、クライアント２００が要求するメソ
ッド（すなわちオブジェクトに対する処理内容）、対象
オブジェクト、有効期限などの、権限の有効性をチェッ
クする。要求がｃａｐａｂｉｌｉｔｙで許可されないも
のであれば、不正アクセスであるとして本アルゴリズム
を終了する。許可されている範囲内であれば、正当なア
クセスであるとして本アルゴリズムを終了する。

【０２２０】アルゴリズム３を実行した結果、正当アク
セスであることが判明した場合には、アクセス制御オブ
ジェクト３０１は、ＨＴＴＰオブジェクト３９１に対し
てＧＥＴメソッドを起動するメッセージを送信する。

【０２２１】図７には、本実施形態において、クライア
ント１００、クライアント２００及びＨＴＴＰサーバ３
００間で実行されるトランザクションを図解している。
以下、同図を参照しながら説明する。

【０２２２】トランザクションの前提として、クライア
ント１００は、ＨＴＴＰサーバ３００に対するアクセス
のアカウント（利用者資格）として、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。また、ＨＴＴＰサーバ３００の
アクセス制御オブジェクト３０１は、各クライアント１
００…についてのユーザ情報とパスワードの組み合わせ
（ｕｓｅｒｉｄ１，ｐａｓｓｗｏｒｄ１），（ｕｓｅｒ
ｉｄ２，ｐａｓｓｗｏｒｄ２）…を「パスワード管理
表」として保管している。

【０２２３】クライアント１００は、ＨＴＴＰオブジェ
クト３９１へのアクセスに関し、クライアント２００に
与えてもよい権限情報ｃａｐａｂｉｌｉｔｙ１を作成す
る（Ｔｒ２１）。

【０２２４】次いで、クライアント１００は、自己の秘
密情報ｐａｓｓｗｏｒｄ１を用いて権限情報ｃａｐａｂ
ｉｌｉｔｙ１を暗号化して、保護化権限情報ｃａｐａｂ
ｉｌｉｔｙＣＲ１を作成する（Ｔｒ２２）。

【０２２５】次いで、クライアント１００は、保護化権
限情報ｃａｐａｂｉｌｉｔｙＣＲ１をクライアント２０
０に送信することで、アクセス権限を安全に委譲する
（Ｔｒ２３）。

【０２２６】アクセス権限を委譲されたクライアント２
００は、ＨＴＴＰサーバ３００に対してＨＴＴＰオブジ
ェクト３９１へのアクセス要求を送信する（Ｔｒ２
４）。このアクセス要求には、クライアント１００のユ
ーザ名ｕｓｅｒｉｄ１と保護化権限情報ｃａｐａｂｉｌ
ｉｔｙＣＲ１を添付する。

【０２２７】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、クライアント２００のアクセス要求
の正当性を検証する（Ｔｒ２５）。該検証は、上述のア
ルゴリズム３（図６を参照のこと）が規定する処理手順
に従う。

【０２２８】検証結果が成功裡に終了した場合には、ア
クセス制御オブジェクト３０１はアクセス要求を受理す
る（Ｔｒ２６）。より具体的には、要求されているメソ
ッド（例えばＧＥＴメソッド）を起動する。

【０２２９】４．第４の実施形態次いで、本発明の第４の実施形態について説明する。第
４の実施形態は、上記と同様、図１に示すような分散コ
ンピューティング環境に適用可能である。第４の実施形
態は、権限情報を暗号化するとともに、クライアント−
ＨＴＴＰサーバ間のアクセス要求の際に「チャレンジ・
レスポンス認証」（前述）を用いることによってアクセ
ス権限の安全な委譲を実現するものである。

【０２３０】本実施形態において、ＨＴＴＰサーバ３０
０は、”ｈｔｔｐ：／／ｗｗｗ３００”なるＵＲＬで表
されるものとする。また、ＨＴＴＰサーバ３００は、ア
クセス制御オブジェクト３０１と、参照番号３９１〜３
９Ｎで示されるＮ個のＨＴＴＰオブジェクトを所有して
いる。各ＨＴＴＰオブジェクト３９１〜３９Ｎはそれぞ
れ” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅｃｔ３９
１”，…，” ｈｔｔｐ：／／ｗｗｗ３００／ｏｂｊｅ
ｃｔ３９Ｎ”なるＵＲＬで示されるものとする。

【０２３１】アクセス制御オブジェクト３０１は、各Ｈ
ＴＴＰオブジェクト３９１〜３９Ｎに対するアクセス要
求を制御するためのオブジェクトである。但し、アクセ
ス制御オブジェクト３０１は、ＨＴＴＰオブジェクト３
９１〜３９Ｎと同じサーバ３００上に存在する必要は必
ずしもなく、例えば別のサーバ（図示しない）上に存在
してＨＴＴＰサーバ３００から遠隔的に呼び出されて所
定のアクセス制御処理を起動するようにしてもよい。

【０２３２】各クライアント１００…は、ユーザを識別
可能なユーザ情報と、秘密情報としてのパスワードを保
持している。クライアント１００は、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。

【０２３３】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、各クライアント１００…に関するユ
ーザ情報とパスワードの組み合わせ（ｕｓｅｒｉｄ１，
ｐａｓｓｗｏｒｄ１），（ｕｓｅｒｉｄ２，ｐａｓｓｗ
ｏｒｄ２）…を「パスワード管理表」（仮称）として保
管している。

【０２３４】また、アクセス制御オブジェクト３０１
は、オブジェクトに対するアクセス権限を与えたクライ
アント・ユーザに対する「ケイパビリティ（ｃａｐａｂ
ｉｌｉｔｙ）」を保持している。ケイパビリティとは、
アクセス制御マトリックス（前述）を行毎すなわちユー
ザ毎に切り出した情報であり、ユーザが各ＨＴＴＰオブ
ジェクトに対して許容された操作権限を記述した情報で
ある。

【０２３５】各クライアント１００…は、ＨＴＴＰサー
バ３００に対して自己のユーザ情報とパスワードを提示
することによって、自身に与えられたケイパビリティす
なわち権限情報の範囲内でＨＴＴＰオブジェクト３９１
…に対するアクセス操作が許容される。

【０２３６】本実施形態では、ＨＴＴＰ１．１のＤｉｇ
ｅｓｔＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｃｈｅｍｅ
（基本認証法）に従ってＨＴＴＰメッセージが交換され
るものとする。すなわち、クライアント１００は、以下
に示すようなＨＴＴＰリクエストを発行することによ
り、ＨＴＴＰオブジェクト３９１のＧＥＴメソッドを起
動することができる。

【０２３７】

【数１７】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ／１．１Ａｕｔｈｏｒｉｚａｔｉｏｎ：Ｄｉｇｅｓｔｄｉｇ
ｅｓｔ−ｒｅｓｐｏｎｓｅ

【０２３８】但し、” ｄｉｇｅｓｔ−ｒｅｓｐｏｎｓ
ｅ”は、ＨＴＴＰ１．１の規定に基づき生成された認証
データである。

【０２３９】次いで、クライアント１００がクライアン
ト２００に権限情報を委譲する場合を例にとって、本実
施形態に係るアクセス権限委譲方法について説明する。

【０２４０】権限情報は、以下の各事柄を含む文字列で
構成される（但し、例示に過ぎず、使用許可回数など他
の事柄を権限情報に含んでいてもよい）。 ● オブジェクト名の列 ● メソッド名の列 ● 有効期間開始日時 ● 有効期間終了日時

【０２４１】ここで、クライアント１００が、クライア
ント２００にアクセス権限を委譲するために、以下の権
限情報文字列ｃａｐａｂｉｌｉｔｙ１を生成したとす
る。

【０２４２】

【数１８】

【０２４３】上記の権限情報文字列は、”／ｏｂｊｅｃ
ｔ３９１”で表されるＨＴＴＰオブジェクト３９１に対
して、ＧＥＴメソッドのみを、世界時で１９９９年の４
月２４日１０時０分４８秒から１９９９年の４月２５日
１０時０分４８秒の間だけ実行することのできる権利を
表している。

【０２４４】次いで、クライアント１００は、自己の秘
密情報ｐａｓｓｗｏｒｄ１を用いてこの権限情報ｃａｐ
ａｂｉｌｉｔｙ１を暗号化して、以下に示す保護化権限
情報ｃａｐａｂｉｌｉｔｙＣＲ１を生成する。

【０２４５】

【数１９】

【０２４６】上記のうち暗号化関数ＣＲＹＰＴは、例え
ば、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａ
ｎｄａｒｄ）やＲＣ２、ＲＣ４、ＲＣ５などの任意の対
称鍵暗号系（前述）を用いることができる。元の権限情
報に対してこのような暗号化を適用することによって、
秘密情報ｐａｓｓｗｏｒｄ１を知らない第３者が保護化
権限情報ｃａｐａｂｉｌｉｔｙＣＲ１を勝手に改竄する
ことはできない。

【０２４７】次いで、クライアント１００は、少なくと
も、 ● ｕｓｅｒｉｄ１（ユーザ情報） ● ｃａｐａｂｉｌｉｔｙ１（権限情報） ● ｃａｐａｂｉｌｉｔｙＣＲ１（保護化権限情報）からなる情報を、他のクライアント２００に対して送信
する。

【０２４８】既に述べたように、秘密情報ｐａｓｓｗｏ
ｒｄ１を知らない第３者（クライアント２００を含む）
は、保護化権限情報ｃａｐａｂｉｌｉｔｙＣＲ１を改竄
することができない。したがって、クライアント１００
は、他のクライアント２００に対して、ＨＴＴＰオブジ
ェクト３９１に対するアクセス権限を安全に委譲するこ
とができる訳である。

【０２４９】他方、上記の情報を受信したクライアント
２００は、クライアント１００の代理として、ＨＴＴＰ
オブジェクト３９１にアクセスするサービスを提供す
る。

【０２５０】クライアント２００は、ＨＴＴＰオブジェ
クト３９１にアクセスするために、まず、以下に示すよ
うなメッセージをＨＴＴＰサーバ３００に送信する。

【０２５１】

【数２０】ＧＥＴ／ｏｂｊｅｃｔ３９１ＨＴＴＰ１．１

【０２５２】この場合、要求メッセージに認証データが
含まれていないため、ＨＴＴＰサーバ３００は、以下の
ような応答メッセージをクライアント２００に送信す
る。

【０２５３】

【数２１】

【０２５４】上記のうち、ｎｏｎｃｅに代入された文字
列は、「チャレンジ・レスポンス認証」を行うための
「チャレンジ文字列」（前述）である。

【０２５５】クライアント２００は、保護化権限情報ｃ
ａｐａｂｉｌｉｔｙＣＲ１を用いてチャレンジ文字列ｎ
ｏｎｃｅを暗号化した値を計算する。この場合の例で言
えば、以下の式を計算することになる。すなわち、

【０２５６】

【数２２】

【０２５７】また、その他の文字列もさらに連結するよ
うにしてもよい。例えば、ＨＴＴＰ／１．１のように以
下の式を計算してもよい。

【０２５８】

【数２３】

【０２５９】上記の計算結果をｒｅｓｐｏｎｓｅ１とす
る。クライアント２００は、ＨＴＴＰオブジェクト３９
１にアクセスするためには、以下のような要求メッセー
ジをＨＴＴＰサーバ３００に送信する。

【０２６０】

【数２４】

【０２６１】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、上記の要求メッセージ中のＡｕｔｈ
ｏｒｉｚａｔｉｏｎフィールドから、以下の情報を取り
出す。 ● ユーザ情報 ● 権限情報 ● 権限情報を暗号化した値

【０２６２】さらに、アクセス制御オブジェクト３０１
は、取り出したこれらの情報を基に、以下に示すアルゴ
リズム４（図８を参照のこと）を実行することによっ
て、クライアント２００がＨＴＴＰオブジェクト３９１
に対するアクセス権限を正当に委譲された者か否かを判
断することができる。

【０２６３】アルゴリズム４：（ステップ３１）Ａｕｔｈｏｒｉｚａｔｉｏｎフィール
ドから抽出したユーザ名をｕｓｅｒｉｄとする。

【０２６４】（ステップ３２）Ａｕｔｈｏｒｉｚａｔｉ
ｏｎフィールドから抽出した権限情報をｃａｐａｂｉｌ
ｉｔｙとする。

【０２６５】（ステップ３３）Ａｕｔｈｏｒｉｚａｔｉ
ｏｎフィールドから抽出された権限情報の暗号化値をｒ
ｅｓｐｏｎｓｅとする。

【０２６６】（ステップ３４）クライアント２００に送
信したメッセージ中のｎｏｎｃｅフィールドの値をｎｏ
ｎｃｅ１とする。

【０２６７】（ステップ３５）ｕｓｅｒｉｄに相当する
パスワードをパスワード管理表から取得する。該管理表
から取得されたパスワードをｐａｓｓｗｏｒｄとする。
他方、対応するパスワードが登録されていない場合は、
クライアント２００からの要求メッセージは不正アクセ
スであるとして、本アルゴリズムを終了する。

【０２６８】（ステップ３６）暗号化関数の値ＣＲＹＰ
Ｔ（ｎｏｎｃｅ１，ＣＲＹＰＴ（ｃａｐａｂｉｌｉｔ
ｙ，ｐａｓｓｗｏｒｄ））を計算し、計算結果をｄｉ
ｇｅｓｔとする。

【０２６９】（ステップ３７）ｄｉｇｅｓｔをｒｅｓｐ
ｏｎｓｅと比較する。両者が等しくない場合には、クラ
イアント２００からの要求メッセージは不正アクセスで
あるとして、本アルゴリズムを終了する。両者が一致す
る場合には次ステップへ進む。

【０２７０】（ステップ３８）ｃａｐａｂｉｌｉｔｙを
基に、クライアント２００が要求するメソッド（すなわ
ちオブジェクトに対する処理内容）、対象オブジェク
ト、有効期限などの、権限の有効性をチェックする。要
求がｃａｐａｂｉｌｉｔｙで許可されないものであれ
ば、不正アクセスであるとして本アルゴリズムを終了す
る。許可されている範囲内であれば、正当なアクセスで
あるとして本アルゴリズムを終了する。

【０２７１】アルゴリズム４を実行した結果、正当アク
セスであることが判明した場合には、アクセス制御オブ
ジェクト３０１は、ＨＴＴＰオブジェクト３９１に対し
てＧＥＴメソッドを起動するメッセージを送信する。

【０２７２】図９には、本実施形態において、クライア
ント１００、クライアント２００及びＨＴＴＰサーバ３
００間で実行されるトランザクションを図解している。
以下、同図を参照しながら説明する。

【０２７３】トランザクションの前提として、クライア
ント１００は、ＨＴＴＰサーバ３００に対するアクセス
のアカウント（利用者資格）として、ユーザ情報”ｕｓ
ｅｒｉｄ１”とパスワード”ｐａｓｓｗｏｒｄ１”を保
持しているものとする。また、ＨＴＴＰサーバ３００の
アクセス制御オブジェクト３０１は、各クライアント１
００…についてのユーザ情報とパスワードの組み合わせ
（ｕｓｅｒｉｄ１，ｐａｓｓｗｏｒｄ１），（ｕｓｅｒ
ｉｄ２，ｐａｓｓｗｏｒｄ２）…を「パスワード管理
表」として保管している。

【０２７４】クライアント１００は、ＨＴＴＰオブジェ
クト３９１へのアクセスに関し、クライアント２００に
与えてもよい権限情報ｃａｐａｂｉｌｉｔｙ１を作成す
る（Ｔｒ３１）。

【０２７５】次いで、クライアント１００は、自己の秘
密情報ｐａｓｓｗｏｒｄ１を用いて権限情報ｃａｐａｂ
ｉｌｉｔｙ１を暗号化して、保護化権限情報ｃａｐａｂ
ｉｌｉｔｙＣＲＹＰＴ１を作成する（Ｔｒ３２）。

【０２７６】次いで、クライアント１００は、ユーザ情
報ｕｓｅｒｉｄ１と権限情報ｃａｐａｂｉｌｉｔｙ１、
及び保護化権限情報ｃａｐａｂｉｌｉｔｙＣＲＹＰＴ１
をクライアント２００に送信することで、アクセス権限
を委譲する（Ｔｒ３３）。

【０２７７】アクセス権限を委譲されたクライアント２
００は、ＨＴＴＰサーバ３００に対してＨＴＴＰオブジ
ェクト３９１へのアクセス要求を送信する（Ｔｒ３
４）。

【０２７８】該アクセス要求には認証データが含まれて
いないので、ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、チャレンジ文字列ｎｏｎｃｅを含ん
だ応答メッセージを送信する（Ｔｒ３５）。

【０２７９】クライアント２００は、保護化権限情報ｃ
ａｐａｂｉｌｉｔｙＣＲ１を用いてチャレンジ文字列ｎ
ｏｎｃｅを暗号化して、ｒｅｓｐｏｎｓｅを生成する
（Ｔｒ３６）。

【０２８０】そして、クライアント２００は、改めて、
ＨＴＴＰサーバ３００に対してＨＴＴＰオブジェクト３
９１へのアクセス要求を送信する（Ｔｒ３７）。このア
クセス要求には、クライアント１００のユーザ名ｕｓｅ
ｒｉｄ１、権限情報ｃａｐａｂｉｌｉｔｙ１、及びｒｅ
ｓｐｏｎｓｅを添付する。

【０２８１】ＨＴＴＰサーバ３００のアクセス制御オブ
ジェクト３０１は、クライアント２００のアクセス要求
の正当性を検証する（Ｔｒ３８）。該検証は、上述のア
ルゴリズム１（図８を参照のこと）が規定する処理手順
に従う。

【０２８２】検証結果が成功裡に終了した場合には、ア
クセス制御オブジェクト３０１はアクセス要求を受理す
る（Ｔｒ３９）。より具体的には、要求されているメソ
ッド（例えばＧＥＴメソッド）を起動する。

【０２８３】５．保護化権限情報の安全な保存方法上述した第１〜第４の実施形態によれば、クライアント
１００は、他のクライアント２００に対してＨＴＴＰオ
ブジェクトへのアクセス権限を委譲するに際し、自らの
パスワードｐａｓｓｗｏｒｄ１をそのまま渡したり、ク
ライアント２００に与える権限情報ｃａｐａｂｉｌｉｔ
ｙ１そのものを送信することはせず、権限情報ｃａｐａ
ｂｉｌｉｔｙ１に対して一方向性関数ＭＤや暗号化関数
ＣＲＹＰＴを適用して、権限情報を不正に改竄できない
ような「保護化権限情報」の形態にしてから委譲するよ
うにした。

【０２８４】この結果、権限情報の内容を勝手に書き換
えてＨＴＴＰオブジェクトに不正アクセスされる機会
（例えば有効期限を無断で延長したり、有効使用回数を
増やしたり、オブジェクトへの操作権限を強化したすす
ること）を、好適に排除することができる。

【０２８５】しかしながら、保護された形式であれ、権
限情報を複製することで、権限を正当に譲受していない
者さえＨＴＴＰオブジェクトにアクセスすることが可能
になってしまう。

【０２８６】例えば、図１０に示すように、クライアン
ト１００から正当にアクセス権限を譲受したクライアン
ト２００が、自らは権限情報を正当にのみ使用していた
としても、保護化権限情報を格納した２次記憶装置（例
えばハード・ディスク装置）２０１が攻撃を受けること
で、保護化権限情報は漏洩し、悪用を許してしまいかね
ない。メモリ空間すなわち揮発的なメモリ上にロードさ
れた保護化権限情報をプロテクトすることは比較的容易
であるが、ファイル空間すなわちローカル・ディスク上
の格納された情報をプロテクトすることは容易ではな
い。特に、分散コンピューティング環境では、リモート
のホスト装置間で互いのローカル・ディスクはトランス
パレントな状態なので、攻撃を受け易い。

【０２８７】以下では、クライアント２００が委譲され
た保護化権限情報をローカル・ディスクに安全且つ不揮
発的に格納する方法について説明する。

【０２８８】５−１．方法１まず、クライアント１００は、他のクライアント２００
に保護化権限情報を送信する。

【０２８９】次いで、クライアント１００は、クライア
ント２００に対して暗号化鍵を送信する。

【０２９０】クライアント２００は、保護化権限情報を
自身のローカル・ディスク２０１に格納するときには、
受信した暗号化鍵を用いて暗号化してから行う。この結
果、不正クライアントがローカル・ディスク２０１に攻
撃を仕掛けても、保護化権限情報は暗号化されているの
で、万一漏洩しても悪用される心配がない。

【０２９１】クライアント２００がＨＴＴＰオブジェク
ト３９１へのアクセス要求を行うときには、ローカル・
ディスク２０１から保護化権限情報を取り出すととも
に、暗号化鍵で復号化して用いればよい。保護化権限情
報はクライアント２００のメモリ上にしか存在しないの
でセキュリティ管理が容易となる点を充分理解された
い。

【０２９２】ＨＴＴＰサーバ３００に対するアクセス要
求及び認証の処理手順は上記に従う。

【０２９３】５−２．方法２まず、クライアント１００は、暗号化鍵を用いて保護化
権限情報を暗号化して、２重に保護化された権限情報を
生成する。

【０２９４】次いで、クライアント１００は、他のクラ
イアント２００に、２重に保護化された権限情報を送信
する。

【０２９５】そして、クライアント２００は、受け取っ
た保護化権限情報をローカル・ディスク２０１にそのま
ま格納する。この保護化権限情報は二重に保護され、そ
のままアクセス要求に使用することはできない。したが
って、不正クライアントがローカル・ディスク２０１に
攻撃を仕掛けても、保護化権限情報は暗号化されている
ので、万一漏洩しても悪用される心配がない。

【０２９６】クライアント２００がオブジェクトのアク
セス要求を発行したいときには、２重に保護化された権
限情報を復号化するための復号化鍵を、クライアント１
００から受け取ればよい。

【０２９７】そして、クライアント２００は、受け取っ
た復号化鍵を用いて２重に保護化された権限情報を復号
化することで、利用可能な形式の保護化権限情報を得る
ことができる。保護化権限情報はクライアント２００の
メモリ上にしか存在しないのでセキュリティ管理が容易
となる点を充分理解されたい。

【０２９８】ＨＴＴＰサーバ３００に対するアクセス要
求及び認証の処理手順は上記に従う。

【０２９９】なお、暗号化鍵と復号化鍵は、対称鍵暗号
方式における同一鍵であっても、あるいは公開鍵暗号方
式における秘密鍵と公開鍵の組み合わせであってもよ
い。

【０３００】５−３．方法３まず、クライアント１００は、他のクライアント２００
に保護化権限情報を送信する。

【０３０１】クライアント２００は、情報を暗号化する
ための暗号化鍵と、暗号化鍵で暗号化された暗号化情報
を復号化するための復号化鍵とを用意しておく。暗号化
鍵と復号化鍵は、公開鍵暗号方式における秘密鍵と公開
鍵の組み合わせでよい。

【０３０２】クライアント２００は、復号化鍵をクライ
アント１００に送信する。復号化鍵をローカル・ディス
ク２０１に格納してしまうと、不正クライアントがロー
カル・ディスク２０１に攻撃を仕掛けて、外部に漏洩す
る危険がある。このため、クライアント２００は、クラ
イアント１００に復号化鍵を送信した後、直ちに復号化
鍵を廃棄しておくことが好ましい。

【０３０３】そして、クライアント２００は、保護化権
限情報をさらに暗号化鍵で暗号化してから、ローカル・
ディスクに格納する。この結果、不正クライアントがロ
ーカル・ディスク２０１に攻撃を仕掛けても、保護化権
限情報は暗号化されているので、万一漏洩しても悪用さ
れる心配がない。

【０３０４】クライアント２００は、オブジェクトのア
クセス要求を発行したいときには、２重に保護化された
権限情報をローカル・ディスク２０１から取り出すとと
もに、復号化鍵を用いてこれを復号化して、元の保護化
権限情報を再現すればよい。但し、クライアント２００
が復号化鍵を廃棄してしまっている場合には、クライア
ント１００から復号化鍵を改めて取り寄せればよい。保
護化権限情報はクライアント２００のメモリ上にしか存
在しないのでセキュリティ管理が容易となる点を充分理
解されたい。

【０３０５】ＨＴＴＰサーバ３００に対するアクセス要
求及び認証の処理手順は上記に従う。

【０３０６】５−４．方法４まず、クライアント１００は、他のクライアント２００
に保護化権限情報を送信する。

【０３０７】次いで、クライアント２００は、クライア
ント１００に「チャレンジ・レスポンス認証」（前述）
を行うためのチャレンジ文字列を送信する。

【０３０８】次いで、クライアント１００は、受信した
チャレンジ文字列と所定の秘密情報に対して所定の演算
処理を適用して暗号鍵を生成する。そして、クライアン
ト１００は、生成した暗号鍵をクライアント２００に送
信する。

【０３０９】これに対し、クライアント２００は、受信
した暗号鍵を用いて保護化権限情報を暗号化してから、
ローカル・ディスク２０１に格納する。この結果、不正
クライアントがローカル・ディスク２０１に攻撃を仕掛
けても、保護化権限情報は暗号化されているので、万一
漏洩しても悪用される心配がない。

【０３１０】クライアント２００がＨＴＴＰオブジェク
ト３９１へのアクセス要求を行うときには、ローカル・
ディスク２０１から保護化権限情報を取り出すととも
に、暗号化鍵で復号化して用いればよい。保護化権限情
報はクライアント２００のメモリ上にしか存在しないの
でセキュリティ管理が容易となる点を充分理解された
い。

【０３１１】ＨＴＴＰサーバ３００に対するアクセス要
求及び認証の処理手順は上記に従う。

【０３１２】なお、上記の各方法では、保護化権限情報
を安全且つ不揮発的にローカル・ディスク２０１に格納
する場合を例にとって説明したが、格納する情報は保護
化権限情報に限定されず、他の秘密性の高い情報（例え
ばユーザのパスワードなど）の格納にも応用することが
できる。

【０３１３】［追補］以上、特定の実施例を参照しなが
ら、本発明について詳解してきた。しかしながら、本発
明の要旨を逸脱しない範囲で当業者が該実施例の修正や
代用を成し得ることは自明である。すなわち、例示とい
う形態で本発明を開示してきたのであり、限定的に解釈
されるべきではない。本発明の要旨を判断するために
は、冒頭に記載した特許請求の範囲の欄を参酌すべきで
ある。

【０３１４】なお、ＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏ
ｕｒｃｅＬｏｃａｔｏｒ）については、例えばＲＦＣ
（ＲｅｑｕｅｓｔＦｏｒＣｏｍｍｅｎｔｓ）１７３
８やＲＦＣ１８０８などに記述されている。また、ＨＴ
ＭＬ（ＨｙｐｅｒＴｅｘｔＭａｒｋｕｐＬａｎｇｕ
ａｇｅ）については、例えばＲＦＣ１８６６に記述され
ている。また、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔＴｒ
ａｎｓｆｅｒＰｒｏｔｏｃｏｌ）については、例えば
ＲＦＣ１９４５やＲＦＣ２０６８に記述されている。

【０３１５】

【発明の効果】以上詳記したように、本発明によれば、
オブジェクトに関するアクセス権限を記述した「ケイパ
ビリティ」をサブジェクト（ユーザ）間で安全に転送す
ることができる、優れたアクセス権限委譲方法を提供す
ることができる。

【０３１６】また、本発明によれば、複数のホストがネ
ットワーク接続され且つネットワーク上にオブジェクト
が散在する分散コンピューティング環境において、オブ
ジェクトに関するアクセス権限を記述した「ケイパビリ
ティ」を、ホスト（ユーザ）間で安全に転送することが
できる、優れたアクセス権限委譲方法を提供することが
できる。

【０３１７】また、本発明によれば、ケイパビリティを
保有するサブジェクトが権限内容を変更したケイパビリ
ティを自由に生成し、且つ、他のサブジェクトに安全に
委譲することができる、優れたアクセス権限委譲方法を
提供することができる。

【０３１８】また、本発明によれば、ケイパビリティを
保有するサブジェクトが権限内容を変更したケイパビリ
ティを自由に生成し、且つ、生成されたケイパビリティ
をオブジェクトの管理者が安全に検査することができ
る、優れたアクセス権限委譲方法を提供することができ
る。

【図面の簡単な説明】

【図１】本発明の実施形態に係る分散コンピューティン
グ環境を模式的に示した図である。

【図２】本発明の第１の実施形態において、アクセス権
限オブジェクト３０１がアクセスの正当性を判断するた
めの処理手順を示したフローチャートである。

【図３】本発明の第１の実施形態において、クライアン
ト１００、クライアント２００及びＨＴＴＰサーバ３０
０間で実行されるトランザクションを図解していたもの
である。

【図４】本発明の第２の実施形態において、アクセス権
限オブジェクト３０１がアクセスの正当性を判断するた
めの処理手順を示したフローチャートである。

【図５】本発明の第２の実施形態において、クライアン
ト１００、クライアント２００及びＨＴＴＰサーバ３０
０間で実行されるトランザクションを図解していたもの
である。

【図６】本発明の第３の実施形態において、アクセス権
限オブジェクト３０１がアクセスの正当性を判断するた
めの処理手順を示したフローチャートである。

【図７】本発明の第３の実施形態において、クライアン
ト１００、クライアント２００及びＨＴＴＰサーバ３０
０間で実行されるトランザクションを図解していたもの
である。

【図８】本発明の第４の実施形態において、アクセス権
限オブジェクト３０１がアクセスの正当性を判断するた
めの処理手順を示したフローチャートである。

【図９】本発明の第４の実施形態において、クライアン
ト１００、クライアント２００及びＨＴＴＰサーバ３０
０間で実行されるトランザクションを図解していたもの
である。

【図１０】本発明の実施形態に係る分散コンピューティ
ング環境を模式的に示した図であり、より具体的にはク
ライアント２００の２次記憶装置に格納した保護化権限
情報が不正利用される様子を図解したものである。

【符号の説明】

１００，２００…クライアント３００…ＨＴＴＰサーバ３０１…アクセス制御オブジェクト３９１〜３９Ｎ…ＨＴＴＰオブジェクト

Claims

【特許請求の範囲】

【請求項１】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、各クライアント間及びクラ
イアント−サーバ間でアクセス権限を安全に委譲するた
めのアクセス権限委譲方法であって、（ａ）各クライア
ントがユーザ情報と秘密情報を保持するステップと、
（ｂ）サーバが各クライアントのユーザ情報と秘密情報
を保持するステップと、（ｃ）クライアントが権限情報
を生成するステップと、（ｄ）クライアントが、少なく
とも権限情報と秘密情報とからなる情報に対して所定の
演算操作を適用して保護化権限情報を生成するステップ
と、（ｅ）クライアントが、ユーザ情報と権限情報と保
護化権限情報を他のクライアントに送信するステップ
と、（ｆ）他のクライアントが、ユーザ情報と権限情報
と保護化権限情報をサーバに送信して、オブジェクトへ
のアクセスを要求するステップと、（ｇ）サーバが、ス
テップ（ｆ）において受信した権限情報が有効か否かを
検査するステップと、（ｈ）サーバが、少なくとも権限
情報と秘密情報とからなる情報に対して所定の演算操作
を適用して保護化権限情報を生成するステップと、
（ｉ）サーバが、ステップ（ｆ）において受信した保護
化権限情報とステップ（ｈ）において生成した保護化権
限情報とを比較するステップと、（ｊ）ステップ（ｉ）
における比較の結果、両者が一致することに応答してオ
ブジェクトに対するアクセスが許容されるステップと、
を具備することを特徴とするアクセス権限委譲方法。
【請求項２】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で動作するクライアントが、他
のクライアントに対してアクセス権限を安全に委譲する
ためのアクセス権限委譲方法であって、（ａ）サーバと
共有すべきユーザ情報と秘密情報を保持するステップ
と、（ｂ）権限情報を生成するステップと、（ｃ）少な
くとも権限情報と秘密情報とからなる情報に対して所定
の演算操作を適用して、他のクライアントに安全に委譲
することができる保護化権限情報を生成するステップ
と、を具備することを特徴とするアクセス権限委譲方
法。
【請求項３】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で動作するサーバが、アクセス
権限を委譲されたクライアントからのアクセス要求に対
して安全に応答するためのアクセス権限委譲方法であっ
て、（ｆ）ユーザ情報と権限情報と保護化権限情報を含
んだアクセス要求を受信するステップと、（ｇ）ステッ
プ（ｆ）において受信した権限情報が有効か否かを検査
するステップと、（ｈ）少なくとも権限情報と秘密情報
とからなる情報に対して所定の演算操作を適用して保護
化権限情報を生成するステップと、（ｉ）ステップ
（ｆ）において受信した保護化権限情報とステップ
（ｈ）において生成した保護化権限情報とを比較するス
テップと、（ｊ）ステップ（ｉ）における比較の結果、
両者が一致することに応答してオブジェクトに対するア
クセスを許容するステップと、を具備することを特徴と
するアクセス権限委譲方法。
【請求項４】前記の所定の演算操作とは、被演算子の各
々を連結したビット列に対して一方向性関数を適用する
ことであることを特徴とする請求項１、２、又は３のい
ずれかに記載のアクセス権限委譲方法。
【請求項５】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、各クライアント間及びクラ
イアント−サーバ間でアクセス権限を安全に委譲するた
めのアクセス権限委譲方法であって、（Ａ）各クライア
ントがユーザ情報と秘密情報を保持するステップと、
（Ｂ）サーバが各クライアントのユーザ情報と秘密情報
を保持するステップと、（Ｃ）クライアントが権限情報
を生成するステップと、（Ｄ）クライアントが、少なく
とも権限情報と秘密情報とからなる情報に対して所定の
演算操作を適用して第１の保護化権限情報を生成するス
テップと、（Ｅ）クライアントが、ユーザ情報と権限情
報と第１の保護化権限情報を他のクライアントに送信す
るステップと、（Ｆ）他のクライアントが、サーバから
チャレンジ文字列を受信するステップと、（Ｇ）他のク
ライアントが、少なくともチャレンジ文字列と第１の保
護化権限情報とからなる情報に対して所定の演算操作を
適用して第２の保護化権限情報を生成するステップと、
（Ｈ）他のクライアントが、ユーザ情報と権限情報と第
２の保護化権限情報をサーバに送信して、オブジェクト
へのアクセスを要求するステップと、（Ｉ）サーバが、
ステップ（Ｈ）において受信した権限情報が有効か否か
を検査するステップと、（Ｊ）サーバが、少なくとも権
限情報と秘密情報とからなる情報に対して所定の演算操
作を適用して第１の保護化権限情報を生成するステップ
と、（Ｋ）サーバが、少なくともチャレンジ文字列とス
テップ（Ｊ）において生成した第１の保護化権限情報と
からなる情報に対して所定の演算操作を適用して第２の
保護化権限情報を生成するステップと、（Ｌ）サーバ
が、ステップ（Ｈ）において受信した第２の保護化権限
情報とステップ（Ｋ）において生成した第２の保護化権
限情報とを比較するステップと、（Ｍ）ステップ（Ｎ）
における比較の結果、両者が一致することに応答してオ
ブジェクトに対するアクセスが許容されるステップと、
を具備することを特徴とするアクセス権限委譲方法。
【請求項６】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、ユーザ情報と権限情報と第
１の保護化権限情報を譲受したクライアントとサーバと
の間でアクセス権限を安全に委譲するためのアクセス権
限委譲方法であって、（Ｆ）サーバが、オブジェクトへ
のアクセスを要求するクライアントに対してチャレンジ
文字列を送信するステップと、（Ｇ）クライアントが、
少なくともチャレンジ文字列と第１の保護化権限情報と
からなる情報に対して所定の演算操作を適用して第２の
保護化権限情報を生成するステップと、（Ｈ）クライア
ントが、ユーザ情報と権限情報と第２の保護化権限情報
をサーバに送信して、オブジェクトのアクセスを要求す
るステップと、（Ｉ）サーバが、ステップ（Ｈ）におい
て受信した権限情報が有効か否かを検査するステップ
と、（Ｊ）サーバが、少なくとも権限情報と秘密情報と
からなる情報に対して所定の演算操作を適用して第１の
保護化権限情報を生成するステップと、（Ｋ）サーバ
が、少なくともチャレンジ文字列とステップ（Ｊ）にお
いて生成した第１の保護化権限情報とからなる情報に対
して所定の演算操作を適用して第２の保護化権限情報を
生成するステップと、（Ｌ）サーバが、ステップ（Ｈ）
において受信した第２の保護化権限情報とステップ
（Ｋ）において生成した第２の保護化権限情報とを比較
するステップと、（Ｍ）ステップ（Ｎ）における比較の
結果、両者が一致することに応答して、サーバがオブジ
ェクトに対するアクセスを許容するステップと、を具備
することを特徴とするアクセス権限委譲方法。
【請求項７】前記の所定の演算操作とは、被演算子の各
々を連結したビット列に対して一方向性関数を適用する
ことであることを特徴とする請求項５又は６のい
ずれかに記載のアクセス権限委譲方法。
【請求項８】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、各クライアント間及びクラ
イアント−サーバ間でアクセス権限を安全に委譲するた
めのアクセス権限委譲方法であって、（ａ）各クライア
ントがユーザ情報と秘密情報を保持するステップと、
（ｂ）サーバが各クライアントのユーザ情報と秘密情報
を保持するステップと、（ｃ）クライアントが権限情報
を生成するステップと、（ｄ）クライアントが、秘密情
報を用いて権限情報を暗号化して保護化権限情報を生成
するステップと、（ｅ）クライアントが、ユーザ情報と
保護化権限情報を他のクライアントに送信するステップ
と、（ｆ）他のクライアントが、ユーザ情報と保護化権
限情報をサーバに送信して、オブジェクトへのアクセス
を要求するステップと、（ｇ）サーバが、ユーザ情報に
対応する秘密情報を用いて保護化権限情報を復号化し
て、権限情報を生成するステップと、（ｈ）サーバが、
ステップ（ｇ）において生成した権限情報が有効か否か
を検査するステップと、（ｉ）ステップ（ｈ）における
有効性の検査結果に従って、オブジェクトに対するアク
セスが許容されるステップと、を具備することを特徴と
するアクセス権限委譲方法。
【請求項９】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で動作するクライアントが、他
のクライアントに対してアクセス権限を安全に委譲する
ためのアクセス権限委譲方法であって、（ａ）サーバと
共有すべきユーザ情報と秘密情報を保持するステップ
と、（ｂ）権限情報を生成するステップと、（ｄ）秘密
情報を用いて権限情報を暗号化して、他のクライアント
に安全に委譲することができる保護化権限情報を生成す
るステップと、を具備することを特徴とするアクセス権
限委譲方法。
【請求項１０】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で動作するサーバが、アクセス
権限を委譲されたクライアントからのアクセス要求に対
して安全に応答するためのアクセス権限委譲方法であっ
て、（ｆ）ユーザ情報と保護化権限情報を含んだアクセ
ス要求を受信するステップと、（ｇ）ユーザ情報に対応
する秘密情報を用いて保護化権限情報を復号化して、権
限情報を生成するステップと、（ｈ）ステップ（ｇ）に
おいて生成した権限情報が有効か否かを検査するステッ
プと、（ｉ）ステップ（ｈ）における有効性の検査結果
に従って、オブジェクトに対するアクセスを許容するス
テップと、を具備することを特徴とするアクセス権限委
譲方法。
【請求項１１】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、各クライアント間及びクラ
イアント−サーバ間でアクセス権限を安全に委譲するた
めのアクセス権限委譲方法であって、（Ａ）各クライア
ントがユーザ情報と秘密情報を保持するステップと、
（Ｂ）サーバが各クライアントのユーザ情報と秘密情報
を保持するステップと、（Ｃ）クライアントが権限情報
を生成するステップと、（Ｄ）クライアントが、秘密情
報を用いて権限情報を暗号化して第１の保護化権限情報
を生成するステップと、（Ｅ）クライアントが、ユーザ
情報と権限情報と第１の保護化権限情報を他のクライア
ントに送信するステップと、（Ｆ）他のクライアント
が、サーバからチャレンジ文字列を受信するステップ
と、（Ｇ）他のクライアントが、第１の保護化権限情報
を用いてチャレンジ文字列を暗号化して第２の保護化権
限情報を生成するステップと、（Ｈ）他のクライアント
が、ユーザ情報と権限情報と第２の保護化権限情報をサ
ーバに送信して、オブジェクトへのアクセスを要求する
ステップと、（Ｉ）サーバが、ステップ（Ｈ）において
受信した権限情報が有効か否かを検査するステップと、
（Ｊ）サーバが、秘密情報を用いて権限情報を暗号化し
て第１の保護化権限情報を生成するステップと、（Ｋ）
サーバが、ステップ（Ｊ）において生成した第１の保護
化権限情報を用いてチャレンジ文字列を暗号化して第２
の保護化権限情報を生成するステップと、（Ｌ）サーバ
が、ステップ（Ｈ）において受信した第２の保護化権限
情報とステップ（Ｋ）において生成した第２の保護化権
限情報とを比較するステップと、（Ｍ）ステップ（Ｎ）
における比較の結果、両者が一致することに応答してオ
ブジェクトに対するアクセスが許容されるステップと、
を具備することを特徴とするアクセス権限委譲方法。
【請求項１２】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続され、クライアントが所有する権限情
報に従ったオブジェクトに対するアクセス操作が許容さ
れるオブジェクト空間上で、ユーザ情報と権限情報と第
１の保護化権限情報を譲受したクライアントとサーバと
の間でアクセス権限を安全に委譲するためのアクセス権
限委譲方法であって、（Ｆ）サーバが、オブジェクトへ
のアクセスを要求するクライアントに対してチャレンジ
文字列を送信するステップと、（Ｇ）クライアントが、
第１の保護化権限情報を用いてチャレンジ文字列を暗号
化して第２の保護化権限情報を生成するステップと、
（Ｈ）クライアントが、ユーザ情報と権限情報と第２の
保護化権限情報をサーバに送信して、オブジェクトのア
クセスを要求するステップと、（Ｉ）サーバが、ステッ
プ（Ｈ）において受信した権限情報が有効か否かを検査
するステップと、（Ｊ）サーバが、秘密情報を用いて権
限情報を暗号化して第１の保護化権限情報を生成するス
テップと、（Ｋ）サーバが、ステップ（Ｊ）において生
成した第１の保護化権限情報を用いてチャレンジ文字列
を暗号化して第２の保護化権限情報を生成するステップ
と、（Ｌ）サーバが、ステップ（Ｈ）において受信した
第２の保護化権限情報とステップ（Ｋ）において生成し
た第２の保護化権限情報とを比較するステップと、
（Ｍ）ステップ（Ｎ）における比較の結果、両者が一致
することに応答して、サーバがオブジェクトに対するア
クセスを許容するステップと、を具備することを特徴と
するアクセス権限委譲方法。
【請求項１３】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続されたオブジェクト空間上で、各クラ
イアント間及び／又はクライアント−サーバ間で秘密情
報を安全に管理するための情報管理方法であって、第１のクライアントが第２のクライアントに秘密情報を
送信するステップと、第１のクライアントが第２のクライアントに暗号化鍵を
送信するステップと、第２のクライアントが、前記暗号化鍵を用いて前記秘密
情報を暗号化した後に、２次記憶装置に格納するステッ
プと、を具備することを特徴とする情報管理方法。
【請求項１４】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続されたオブジェクト空間上で、各クラ
イアント間及び／又はクライアント−サーバ間で秘密情
報を安全に管理するための情報管理方法であって、第１のクライアントが、暗号化鍵を用いて秘密情報を暗
号化して、保護化秘密情報を生成するステップと、第１のクライアントが第２のクライアントに前記保護化
秘密情報を送信するステップと、第２のクライアントが前記保護化秘密情報を２次記憶装
置に格納するステップと、第１のクライアントが、前記暗号化鍵で暗号化された情
報を復号化するための復号化鍵を、第２のクライアント
に送信するステップと、第２のクライアントが、復号化鍵を用いて保護化秘密情
報を復号化して、秘密情報を得るステップと、を具備す
ることを特徴とする情報管理方法。
【請求項１５】前記暗号化鍵と前記復号化鍵は同一鍵で
あることを特徴とする請求項１４に記載の情報管理方
法。
【請求項１６】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続されたオブジェクト空間上で、各クラ
イアント間及び／又はクライアント−サーバ間で秘密情
報を安全に管理するための情報管理方法であって、第１のクライアントが第２のクライアントに秘密情報を
送信するステップと、第２のクライアントが、情報を暗号化するための暗号化
鍵と、暗号化鍵で暗号化された暗号化情報を復号化する
ための復号化鍵とを保持するステップと、第２のクライアントが復号化鍵を第１のクライアントに
送信するステップと、第２のクライアントが、前記秘密情報を前記暗号化鍵で
暗号化した保護化秘密情報を２次記憶装置に格納するス
テップと、第２のクライアントが、前記復号化鍵を用いて保護化秘
密情報を復号化して前記秘密情報を得るステップと、を
具備することを特徴とする情報管理方法。
【請求項１７】オブジェクトを提供する１以上のサーバ
と、オブジェクトを要求する１以上のクライアントとが
ネットワーク接続されたオブジェクト空間上で、各クラ
イアント間及び／又はクライアント−サーバ間で秘密情
報を安全に管理するための情報管理方法であって、第１のクライアントが第２のクライアントに第１の秘密
情報を送信するステップと、第２のクライアントが第１のクライアントにチャレンジ
文字列を送信するステップと、第１のクライアントが前記チャレンジ文字列と第２の秘
密情報に対して所定の演算処理を適用して暗号鍵を生成
するステップと、第１のクライアントが第２のクライアントに前記暗号鍵
を送信するステップと、第２のクライアントが、前記暗号鍵を用いて前記秘密情
報を暗号化して得た保護化秘密情報を２次記憶装置に格
納するステップと、を具備することを特徴とする情報管
理方法。