JP2002353959A - 認証システム及び認証方法並びに認証用プログラム - Google Patents
認証システム及び認証方法並びに認証用プログラムInfo
- Publication number
- JP2002353959A JP2002353959A JP2001161610A JP2001161610A JP2002353959A JP 2002353959 A JP2002353959 A JP 2002353959A JP 2001161610 A JP2001161610 A JP 2001161610A JP 2001161610 A JP2001161610 A JP 2001161610A JP 2002353959 A JP2002353959 A JP 2002353959A
- Authority
- JP
- Japan
- Prior art keywords
- certificate
- client
- key
- authentication
- mapping information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【課題】信頼するＣＡが異なる複数のクライアントと同
時にＳＳＬ通信を行うことができる認証システム及び認
証方法並びに認証用プログラムの提供。 【解決手段】複数の証明書の各々と鍵とに鍵ＩＤを付与
して管理する証明書格納手段１１０と、クライアントの
識別名と鍵ＩＤとのマッピング情報を記憶するマッピン
グ情報格納部１３０と、デフォルトの鍵ＩＤとマッピン
グファイルの位置情報を記憶するコンフィグレーション
情報格納部１２０と、マッピング情報を参照して、クラ
イアントに発行する証明書を切り替える証明書取得部１
０６とを少なくとも有し、ＬＤＡＰ結合要求に際して抽
出される識別名を用いることにより、特別な拡張オペレ
ーションを追加することなくクライアントを識別して所
望の証明書を発行することができ、また、鍵ＩＤを用い
ることにより証明書と鍵とを安全に管理することができ
る。
時にＳＳＬ通信を行うことができる認証システム及び認
証方法並びに認証用プログラムの提供。 【解決手段】複数の証明書の各々と鍵とに鍵ＩＤを付与
して管理する証明書格納手段１１０と、クライアントの
識別名と鍵ＩＤとのマッピング情報を記憶するマッピン
グ情報格納部１３０と、デフォルトの鍵ＩＤとマッピン
グファイルの位置情報を記憶するコンフィグレーション
情報格納部１２０と、マッピング情報を参照して、クラ
イアントに発行する証明書を切り替える証明書取得部１
０６とを少なくとも有し、ＬＤＡＰ結合要求に際して抽
出される識別名を用いることにより、特別な拡張オペレ
ーションを追加することなくクライアントを識別して所
望の証明書を発行することができ、また、鍵ＩＤを用い
ることにより証明書と鍵とを安全に管理することができ
る。
Description
【０００１】
【発明の属する技術分野】本発明は、認証システム及び
認証方法並びに認証用プログラムに関し、特に、ＬＤＡ
Ｐ（Ｌｉｇｈｔｗｅｉｇｈｔ ＤｉｒｅｃｔｏｒｙＡｃ
ｃｅｓｓ Ｐｒｏｔｏｃｏｌ）において、ＳＳＬ（Ｓｅ
ｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行う場合
に、通信相手によって送信するサーバ証明書を切り替え
ることのできる認証システム及び認証方法並びに認証用
プログラムに関する。
認証方法並びに認証用プログラムに関し、特に、ＬＤＡ
Ｐ（Ｌｉｇｈｔｗｅｉｇｈｔ ＤｉｒｅｃｔｏｒｙＡｃ
ｃｅｓｓ Ｐｒｏｔｏｃｏｌ）において、ＳＳＬ（Ｓｅ
ｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行う場合
に、通信相手によって送信するサーバ証明書を切り替え
ることのできる認証システム及び認証方法並びに認証用
プログラムに関する。
【０００２】
【従来の技術】ＳＳＬ認証では、通信相手に自分の身元
を証明するために、証明書を送信する。サーバ認証にお
いて、クライアント側では、サーバから送信された証明
書によってサーバの身元を確認する際、その証明書が有
効であることを確かめるために、有効期限や証明書の発
行元が信頼のできる認証局（ＣＡ：Ｃｅｒｔｉｆｉｃａ
ｔｅ Ａｕｔｈｏｒｉｔｙ）であるかの確認を行う。
を証明するために、証明書を送信する。サーバ認証にお
いて、クライアント側では、サーバから送信された証明
書によってサーバの身元を確認する際、その証明書が有
効であることを確かめるために、有効期限や証明書の発
行元が信頼のできる認証局（ＣＡ：Ｃｅｒｔｉｆｉｃａ
ｔｅ Ａｕｔｈｏｒｉｔｙ）であるかの確認を行う。
【０００３】従来、サーバ証明書としてどの証明書を使
用するかということは、サーバのコンフィグレーション
ファイルなどに証明書ファイルと鍵ファイルのパスを指
定するというように、通信相手に依らず同じ証明書が使
われていた。
用するかということは、サーバのコンフィグレーション
ファイルなどに証明書ファイルと鍵ファイルのパスを指
定するというように、通信相手に依らず同じ証明書が使
われていた。
【０００４】
【発明が解決しようとする課題】しかしながら、上述し
た従来の認証方法では、以下に示す問題がある。
た従来の認証方法では、以下に示す問題がある。
【０００５】第１の問題点は、互いに信頼関係のない異
なる認証局のみを信頼する異なるクライアントに対し
て、同時にＳＳＬプロトコルを用いた通信を行うことが
できないということである。その理由は、通常サーバ側
の証明書は１つに限られているためである。
なる認証局のみを信頼する異なるクライアントに対し
て、同時にＳＳＬプロトコルを用いた通信を行うことが
できないということである。その理由は、通常サーバ側
の証明書は１つに限られているためである。
【０００６】また、第２の問題点は、証明書と鍵が安全
に管理されないということである。その理由は、ファイ
ル形式のままでは、容易に書き換えや紛失が発生するた
めである。
に管理されないということである。その理由は、ファイ
ル形式のままでは、容易に書き換えや紛失が発生するた
めである。
【０００７】本発明は、上記問題点に鑑みてなされたも
のであって、その第１の目的は、信頼するＣＡが異なる
複数のクライアントと同時にＳＳＬ通信を行うことを可
能にする認証システム及び認証方法並びに認証用プログ
ラムを提供することにある。
のであって、その第１の目的は、信頼するＣＡが異なる
複数のクライアントと同時にＳＳＬ通信を行うことを可
能にする認証システム及び認証方法並びに認証用プログ
ラムを提供することにある。
【０００８】また、本発明の第２の目的は、データベー
スを利用して、より安全に証明書と鍵を管理することが
可能な認証システム及び認証方法並びに認証用プログラ
ムを提供することにある。
スを利用して、より安全に証明書と鍵を管理することが
可能な認証システム及び認証方法並びに認証用プログラ
ムを提供することにある。
【０００９】
【課題を解決するための手段】上記目的を達成するた
め、本発明の認証システムは、ネットワークを介して接
続される複数のクライアントとサーバとにおける認証シ
ステムであって、前記サーバに、複数の証明書を管理す
る手段と、各々の前記クライアントと該クライアントが
信頼する認証局が発行した証明書とを関連づけるマッピ
ング情報を記憶する手段と、前記マッピング情報を参照
して、前記クライアントに送信する証明書を切り替える
手段と、を少なくとも有するものである。
め、本発明の認証システムは、ネットワークを介して接
続される複数のクライアントとサーバとにおける認証シ
ステムであって、前記サーバに、複数の証明書を管理す
る手段と、各々の前記クライアントと該クライアントが
信頼する認証局が発行した証明書とを関連づけるマッピ
ング情報を記憶する手段と、前記マッピング情報を参照
して、前記クライアントに送信する証明書を切り替える
手段と、を少なくとも有するものである。
【００１０】本発明においては、前記証明書管理手段に
おいて、前記証明書と鍵とのペアに鍵ＩＤが付与され、
該鍵ＩＤによって前記証明書と前記鍵とが管理されるこ
とが好ましい。
おいて、前記証明書と鍵とのペアに鍵ＩＤが付与され、
該鍵ＩＤによって前記証明書と前記鍵とが管理されるこ
とが好ましい。
【００１１】また、本発明においては、前記マッピング
情報が、前記クライアントの識別名と前記鍵ＩＤとを含
む構成とすることができ、前記クライアントの識別名
が、該クライアントからのＬＤＡＰ結合要求に際して抽
出されることが好ましい。
情報が、前記クライアントの識別名と前記鍵ＩＤとを含
む構成とすることができ、前記クライアントの識別名
が、該クライアントからのＬＤＡＰ結合要求に際して抽
出されることが好ましい。
【００１２】また、本発明においては、前記マッピング
情報が、前記クライアントのＩＰアドレスと前記鍵ＩＤ
とを含む構成とすることもでき、前記クライアントのＩ
Ｐアドレスが、該クライアントからのＬＤＡＰ開設要求
に際して抽出されることが好ましい。
情報が、前記クライアントのＩＰアドレスと前記鍵ＩＤ
とを含む構成とすることもでき、前記クライアントのＩ
Ｐアドレスが、該クライアントからのＬＤＡＰ開設要求
に際して抽出されることが好ましい。
【００１３】本発明の認証方法は、ネットワークを介し
て接続される複数のクライアントとサーバとにおける認
証方法であって、前記サーバにおいて、複数の証明書を
格納するステップと、各々の前記クライアントと該クラ
イアントが信頼する認証局が発行した証明書とを関連づ
けるマッピング情報を作成し、記憶するステップと、前
記クライアントからのサーバ証明書の送信要求に対し
て、前記マッピング情報を参照して、前記クライアント
に送信する証明書を切り替えるステップと、を少なくと
も実行するものである。
て接続される複数のクライアントとサーバとにおける認
証方法であって、前記サーバにおいて、複数の証明書を
格納するステップと、各々の前記クライアントと該クラ
イアントが信頼する認証局が発行した証明書とを関連づ
けるマッピング情報を作成し、記憶するステップと、前
記クライアントからのサーバ証明書の送信要求に対し
て、前記マッピング情報を参照して、前記クライアント
に送信する証明書を切り替えるステップと、を少なくと
も実行するものである。
【００１４】本発明においては、前記証明書の格納に際
して、前記証明書と鍵とのペアに鍵ＩＤを付与して格納
することが好ましい。
して、前記証明書と鍵とのペアに鍵ＩＤを付与して格納
することが好ましい。
【００１５】また、本発明のプログラムは、コンピュー
タに、少なくとも、複数の証明書の各々と鍵とのペアに
鍵ＩＤを付与して格納する処理と、クライアントを特定
する情報と前記鍵ＩＤとのマッピング情報を作成し、記
憶する処理と、前記クライアントからのサーバ証明書の
送信要求に対して、前記クライアントを特定する情報を
抽出する処理と、前記マッピング情報を参照して、前記
クライアントに送信する証明書を選択する処理と、を実
行させるものである。
タに、少なくとも、複数の証明書の各々と鍵とのペアに
鍵ＩＤを付与して格納する処理と、クライアントを特定
する情報と前記鍵ＩＤとのマッピング情報を作成し、記
憶する処理と、前記クライアントからのサーバ証明書の
送信要求に対して、前記クライアントを特定する情報を
抽出する処理と、前記マッピング情報を参照して、前記
クライアントに送信する証明書を選択する処理と、を実
行させるものである。
【００１６】本発明においては、前記クライアントを特
定する情報が、ＬＤＡＰ結合要求に際して抽出された前
記クライアントの識別名、又は、ＬＤＡＰ開設要求に際
して抽出された前記クライアントのＩＰアドレスからな
る構成とすることができる。
定する情報が、ＬＤＡＰ結合要求に際して抽出された前
記クライアントの識別名、又は、ＬＤＡＰ開設要求に際
して抽出された前記クライアントのＩＰアドレスからな
る構成とすることができる。
【００１７】このように、本発明のＬＤＡＰサーバにお
ける証明書切り替えシステムは、複数の証明書と鍵のペ
アを管理する手段と、クライアントの識別名（ＤＮ：Ｄ
ｉｓｔｉｎｇｉｓｈｅｄ Ｎａｍｅ）と証明書のマッピ
ング情報、又は、クライアントのＩＰアドレスと証明書
のマッピング情報から利用する証明書を取得する手段と
を備え、各クライアントに対応する証明書を選択し送信
するよう動作することにより、信頼するＣＡが異なる複
数のクライアントと同時にＳＳＬ通信を行うことが可能
となる。
ける証明書切り替えシステムは、複数の証明書と鍵のペ
アを管理する手段と、クライアントの識別名（ＤＮ：Ｄ
ｉｓｔｉｎｇｉｓｈｅｄ Ｎａｍｅ）と証明書のマッピ
ング情報、又は、クライアントのＩＰアドレスと証明書
のマッピング情報から利用する証明書を取得する手段と
を備え、各クライアントに対応する証明書を選択し送信
するよう動作することにより、信頼するＣＡが異なる複
数のクライアントと同時にＳＳＬ通信を行うことが可能
となる。
【００１８】
【発明の実施の形態】本発明に係る認証システムは、そ
の好ましい一実施の形態において、複数の証明書の各々
と鍵とに鍵ＩＤを付与して管理する証明書格納手段と、
クライアントの識別名又はＩＰアドレスと鍵ＩＤとのマ
ッピング情報を記憶するマッピング情報格納部と、デフ
ォルトの鍵ＩＤとマッピングファイルの位置情報を記憶
するコンフィグレーション情報格納部と、マッピング情
報を参照して、クライアントに送信する証明書を切り替
える証明書取得部とを少なくとも有し、クライアントか
らのＬＤＡＰ結合要求又はＬＤＡＰ開設要求に際して抽
出される識別名又はＩＰアドレスを用いることにより、
特別な拡張オペレーションを追加することなくクライア
ントを識別して所望の証明書を送信することができ、ま
た、鍵ＩＤを用いることにより証明書と鍵とを安全に管
理することができる。以下に図面を参照して説明する。
の好ましい一実施の形態において、複数の証明書の各々
と鍵とに鍵ＩＤを付与して管理する証明書格納手段と、
クライアントの識別名又はＩＰアドレスと鍵ＩＤとのマ
ッピング情報を記憶するマッピング情報格納部と、デフ
ォルトの鍵ＩＤとマッピングファイルの位置情報を記憶
するコンフィグレーション情報格納部と、マッピング情
報を参照して、クライアントに送信する証明書を切り替
える証明書取得部とを少なくとも有し、クライアントか
らのＬＤＡＰ結合要求又はＬＤＡＰ開設要求に際して抽
出される識別名又はＩＰアドレスを用いることにより、
特別な拡張オペレーションを追加することなくクライア
ントを識別して所望の証明書を送信することができ、ま
た、鍵ＩＤを用いることにより証明書と鍵とを安全に管
理することができる。以下に図面を参照して説明する。
【００１９】［実施の形態１］まず、本発明の第１の実
施形態に係る認証システム及び認証方法並びに認証用プ
ログラムについて、図１乃至図４を参照して説明する。
図１は、第１の実施形態に係る認証用証明書切り替えシ
ステムの構成を示すブロック図である。また、図２は、
本認証用証明書切り替えシステムのサーバとクライアン
ト間の通信の順序を示す流れ図であり、図３及び図４
は、認証用証明書切り替えシステムの動作を示す流れ図
である。
施形態に係る認証システム及び認証方法並びに認証用プ
ログラムについて、図１乃至図４を参照して説明する。
図１は、第１の実施形態に係る認証用証明書切り替えシ
ステムの構成を示すブロック図である。また、図２は、
本認証用証明書切り替えシステムのサーバとクライアン
ト間の通信の順序を示す流れ図であり、図３及び図４
は、認証用証明書切り替えシステムの動作を示す流れ図
である。
【００２０】図１を参照すると、本発明の第１の実施形
態に係る認証用証明書切り替えシステムは、プログラム
制御により動作するＬＤＡＰサーバ１００と、証明書格
納手段１１０と、コンフィグレーション情報格納部１２
０と、マッピング情報格納部１３０と証明書格納部１４
０とから構成されている。
態に係る認証用証明書切り替えシステムは、プログラム
制御により動作するＬＤＡＰサーバ１００と、証明書格
納手段１１０と、コンフィグレーション情報格納部１２
０と、マッピング情報格納部１３０と証明書格納部１４
０とから構成されている。
【００２１】また、ＬＤＡＰサーバ１００は、通信部１
０１と、制御部１０２と、オペレーション処理部１０３
と、ディレクトリアクセス部１０４と、オペレーション
キュー管理部１０５と、証明書取得部１０６とを含み構
成されている。
０１と、制御部１０２と、オペレーション処理部１０３
と、ディレクトリアクセス部１０４と、オペレーション
キュー管理部１０５と、証明書取得部１０６とを含み構
成されている。
【００２２】これらの手段はそれぞれ概略つぎのように
動作する。通信部１０１は、クライアントとの通信を行
う。制御部１０２は、クライアント数などの制限に関し
てチェックを行う。各オペレーション処理部１０３は、
クライアントからのオペレーションに従って、結合、結
合解放、検索、追加、削除、変更などの処理を行う。デ
ィレクトリアクセス部１０４は、検索や追加、削除など
のオペレーションに従って、実際にディレクトリに対す
る処理を行う。オペレーションキュー管理部１０５は、
各クライアントからのオペレーション情報を保持する。
結合操作時にクライアントから送信されるＬＤＡＰクラ
イアントの識別名（ＤＮ）の情報もここに保持される。
証明書取得部１０６は、オペレーションキュー管理部１
０５からクライアントのＤＮの情報を取得し、コンフィ
グレーション情報格納部１２０およびマッピング情報格
納部１３０を参照して、クライアントに対応する証明書
を、証明書格納部１４０から取得する。
動作する。通信部１０１は、クライアントとの通信を行
う。制御部１０２は、クライアント数などの制限に関し
てチェックを行う。各オペレーション処理部１０３は、
クライアントからのオペレーションに従って、結合、結
合解放、検索、追加、削除、変更などの処理を行う。デ
ィレクトリアクセス部１０４は、検索や追加、削除など
のオペレーションに従って、実際にディレクトリに対す
る処理を行う。オペレーションキュー管理部１０５は、
各クライアントからのオペレーション情報を保持する。
結合操作時にクライアントから送信されるＬＤＡＰクラ
イアントの識別名（ＤＮ）の情報もここに保持される。
証明書取得部１０６は、オペレーションキュー管理部１
０５からクライアントのＤＮの情報を取得し、コンフィ
グレーション情報格納部１２０およびマッピング情報格
納部１３０を参照して、クライアントに対応する証明書
を、証明書格納部１４０から取得する。
【００２３】証明書格納手段１１０は、証明書と鍵のペ
アを識別するための名前である鍵ＩＤを付けて登録す
る。コンフィグレーション情報格納部１２０には、ＳＳ
Ｌ利用時に使用するデフォルトの証明書の情報や証明書
切り替え機能の利用の有無、およびマッピングファイル
位置の情報などを保持する。マッピング情報格納部１３
０ は、ＤＮと証明書の鍵ＩＤとのマッピング情報を保
持する。証明書格納部１４０は、証明書格納手段１１０
を使って登録された証明書と鍵を、鍵ＩＤによって管理
する。
アを識別するための名前である鍵ＩＤを付けて登録す
る。コンフィグレーション情報格納部１２０には、ＳＳ
Ｌ利用時に使用するデフォルトの証明書の情報や証明書
切り替え機能の利用の有無、およびマッピングファイル
位置の情報などを保持する。マッピング情報格納部１３
０ は、ＤＮと証明書の鍵ＩＤとのマッピング情報を保
持する。証明書格納部１４０は、証明書格納手段１１０
を使って登録された証明書と鍵を、鍵ＩＤによって管理
する。
【００２４】次に、図１及び図２のフローチャートを参
照して本実施の形態の全体の動作について詳細に説明す
る。
照して本実施の形態の全体の動作について詳細に説明す
る。
【００２５】まず、最初に、証明書の登録と、マッピン
グ情報格納部１３０およびコンフィグレーション情報格
納部１２０の設定を行う。証明書の登録には、証明書格
納手段１１０を利用する。サーバ証明書と鍵のペアを指
定し、鍵ＩＤを付けて登録できる。マッピング情報格納
部１３０の設定として、ＤＮと鍵ＩＤのペアを記述した
ファイルを用意する。コンフィグレーション情報格納部
１２０の設定としては、デフォルトの鍵ＩＤとマッピン
グファイルの位置を指定する。
グ情報格納部１３０およびコンフィグレーション情報格
納部１２０の設定を行う。証明書の登録には、証明書格
納手段１１０を利用する。サーバ証明書と鍵のペアを指
定し、鍵ＩＤを付けて登録できる。マッピング情報格納
部１３０の設定として、ＤＮと鍵ＩＤのペアを記述した
ファイルを用意する。コンフィグレーション情報格納部
１２０の設定としては、デフォルトの鍵ＩＤとマッピン
グファイルの位置を指定する。
【００２６】この状態での動作を説明する。まず、クラ
イアントからＬＤＡＰ開局要求が出され（図２のステッ
プＡ１）、サーバ側でＬＤＡＰ開局のための処理を行い
クライアントに応答を返す（ステップＡ２）。次に、ク
ライアントからＬＤＡＰ結合要求（バインドオペレーシ
ョン）が出され（ステップＡ３）、サーバ側で結合のた
めの認証処理を行う。このとき、図１のオペレーション
キュー管理部１０５に、バインド時のＤＮの情報が保持
される（ステップＡ４）。結合処理の後、クライアント
に応答を返す（ステップＡ５）。さらに、結合の成功に
引き続いて、クライアントからＳＴＡＲＴ ＴＬＳオペ
レーションを送ることにより、ＳＳＬの開始を要求する
（ステップＡ６）。サーバ側はこの要求を受けて、証明
書取得部（図１の１０６）で、送信すべき証明書を選択
する（ステップＡ７）。
イアントからＬＤＡＰ開局要求が出され（図２のステッ
プＡ１）、サーバ側でＬＤＡＰ開局のための処理を行い
クライアントに応答を返す（ステップＡ２）。次に、ク
ライアントからＬＤＡＰ結合要求（バインドオペレーシ
ョン）が出され（ステップＡ３）、サーバ側で結合のた
めの認証処理を行う。このとき、図１のオペレーション
キュー管理部１０５に、バインド時のＤＮの情報が保持
される（ステップＡ４）。結合処理の後、クライアント
に応答を返す（ステップＡ５）。さらに、結合の成功に
引き続いて、クライアントからＳＴＡＲＴ ＴＬＳオペ
レーションを送ることにより、ＳＳＬの開始を要求する
（ステップＡ６）。サーバ側はこの要求を受けて、証明
書取得部（図１の１０６）で、送信すべき証明書を選択
する（ステップＡ７）。
【００２７】そして、取得した証明書をサーバ証明書と
して、クライアントに送信する（ステップＡ８）。クラ
イアントでは、送られた証明書を使って、サーバ認証を
行う（ステップＡ９）。すなわち、サーバ証明書の有効
性と証明書によるサーバの身元の確認を行う。証明書の
有効性については、有効期限の確認とともに、サーバ証
明書の発行元のルートＣＡがクライアントの信頼するＣ
Ａリストに含まれるか照合し、証明書が信頼できるもの
かということを確認する。
して、クライアントに送信する（ステップＡ８）。クラ
イアントでは、送られた証明書を使って、サーバ認証を
行う（ステップＡ９）。すなわち、サーバ証明書の有効
性と証明書によるサーバの身元の確認を行う。証明書の
有効性については、有効期限の確認とともに、サーバ証
明書の発行元のルートＣＡがクライアントの信頼するＣ
Ａリストに含まれるか照合し、証明書が信頼できるもの
かということを確認する。
【００２８】サーバ認証の成功に続いて、サーバからク
ライアント証明書の要求があれば、クライアント証明書
を送信し（ステップＡ１０）、クライアント認証を行い
応答を返す（ステップＡ１１）。認証に成功すれば、Ｓ
ＳＬプロトコルを使った通信を開始する（ステップＡ１
２）。
ライアント証明書の要求があれば、クライアント証明書
を送信し（ステップＡ１０）、クライアント認証を行い
応答を返す（ステップＡ１１）。認証に成功すれば、Ｓ
ＳＬプロトコルを使った通信を開始する（ステップＡ１
２）。
【００２９】サーバ証明書の選択時の処理（ステップＡ
７）の流れを、図３を参照して詳細に説明する。
７）の流れを、図３を参照して詳細に説明する。
【００３０】まず、コンフィグレーション情報格納部
（図１の１２０）を参照し、マッピングファイルの指定
があるかどうかを確認する（図３のステップＢ１）。指
定がない場合は、デフォルトの鍵ＩＤを取得する処理に
移る（ステップＢ４）。次に、オペレーションキュー管
理部（図１の１０５）を参照して、バインド時のＤＮの
情報を取得する（ステップＢ２）。この時点でバインド
オペレーションが行われていなかった場合は、デフォル
トの鍵ＩＤを取得する処理に移る（ステップＢ４）。
（図１の１２０）を参照し、マッピングファイルの指定
があるかどうかを確認する（図３のステップＢ１）。指
定がない場合は、デフォルトの鍵ＩＤを取得する処理に
移る（ステップＢ４）。次に、オペレーションキュー管
理部（図１の１０５）を参照して、バインド時のＤＮの
情報を取得する（ステップＢ２）。この時点でバインド
オペレーションが行われていなかった場合は、デフォル
トの鍵ＩＤを取得する処理に移る（ステップＢ４）。
【００３１】バインド時のＤＮとマッピングファイルの
取得に成功したら、マッピングファイルを参照しＤＮに
対応する証明書ＩＤを検索する（ステップＢ３）。この
とき、ＤＮに対応する鍵ＩＤが見つからなければ、デフ
ォルトの鍵ＩＤを取得する処理に移る（ステップＢ
４）。デフォルトの鍵ＩＤは、コンフィグレーション情
報格納部（図１の１２０）を参照して取得する（ステッ
プＢ４）。取得できなかった場合は、証明書取得に失敗
する。このようにして得られた鍵ＩＤに対して、対応す
る証明書と鍵を証明書格納部（図１の１４０）から検索
し、証明書を取得する（ステップＢ５）。
取得に成功したら、マッピングファイルを参照しＤＮに
対応する証明書ＩＤを検索する（ステップＢ３）。この
とき、ＤＮに対応する鍵ＩＤが見つからなければ、デフ
ォルトの鍵ＩＤを取得する処理に移る（ステップＢ
４）。デフォルトの鍵ＩＤは、コンフィグレーション情
報格納部（図１の１２０）を参照して取得する（ステッ
プＢ４）。取得できなかった場合は、証明書取得に失敗
する。このようにして得られた鍵ＩＤに対して、対応す
る証明書と鍵を証明書格納部（図１の１４０）から検索
し、証明書を取得する（ステップＢ５）。
【００３２】このように、本実施形態の認証用証明書切
り替えシステム及び切り替え方法によれば、ＳＴＡＲＴ
ＴＬＳオペレーションをバインドオペレーションの後
に行うことが可能である性質を利用して、バインド時の
情報を利用するように構成されているため、特別な拡張
オペレーションを追加することなく、クライアントを識
別し、証明書を切り替えることができる。
り替えシステム及び切り替え方法によれば、ＳＴＡＲＴ
ＴＬＳオペレーションをバインドオペレーションの後
に行うことが可能である性質を利用して、バインド時の
情報を利用するように構成されているため、特別な拡張
オペレーションを追加することなく、クライアントを識
別し、証明書を切り替えることができる。
【００３３】次に、具体例を用いて本実施の形態の動作
について説明する。まず、証明書格納ＤＢに、証明書と
鍵を登録する。例では、”ｓｅｒｖｅｒ１”という鍵Ｉ
Ｄを付けた証明書と、”ｓｅｒｖｅｒ２”という鍵ＩＤ
を付けた証明書が格納されている状態を示している。証
明書”ｓｅｒｖｅｒ１”は、認証局ＣＡ１から発行され
たものであり、証明書”ｓｅｒｖｅｒ２”は、認証局Ｃ
Ａ２から発行されたものである。
について説明する。まず、証明書格納ＤＢに、証明書と
鍵を登録する。例では、”ｓｅｒｖｅｒ１”という鍵Ｉ
Ｄを付けた証明書と、”ｓｅｒｖｅｒ２”という鍵ＩＤ
を付けた証明書が格納されている状態を示している。証
明書”ｓｅｒｖｅｒ１”は、認証局ＣＡ１から発行され
たものであり、証明書”ｓｅｒｖｅｒ２”は、認証局Ｃ
Ａ２から発行されたものである。
【００３４】次に、マッピングファイルに、ＤＮと鍵Ｉ
Ｄのペアを指定する。例では、”ｏ＝Ｃｏｍｐａｎｙ
Ｂ，ｃ＝ＪＰ ｓｅｒｖｅｒ２”と指定されている様子
を示している。これは、ＤＮが”ｏ＝Ｃｏｍｐａｎｙ
Ｂ，ｃ＝ＪＰ”の下位であれば”ｓｅｒｖｅｒ２”の証
明書を使うという意味である。コンフィグレーション情
報に、デフォルトの鍵ＩＤとマッピングファイル位置を
指定する。例では、デフォルトの鍵ＩＤが”ｓｅｒｖｅ
ｒ１”であり、マッピングファイル位置が”/etc/ldapd
/dn_keyid.map”であることを示している。
Ｄのペアを指定する。例では、”ｏ＝Ｃｏｍｐａｎｙ
Ｂ，ｃ＝ＪＰ ｓｅｒｖｅｒ２”と指定されている様子
を示している。これは、ＤＮが”ｏ＝Ｃｏｍｐａｎｙ
Ｂ，ｃ＝ＪＰ”の下位であれば”ｓｅｒｖｅｒ２”の証
明書を使うという意味である。コンフィグレーション情
報に、デフォルトの鍵ＩＤとマッピングファイル位置を
指定する。例では、デフォルトの鍵ＩＤが”ｓｅｒｖｅ
ｒ１”であり、マッピングファイル位置が”/etc/ldapd
/dn_keyid.map”であることを示している。
【００３５】クライアントからＳＳＬ開始要求があった
場合に、通常はコンフィグレーションに指定されている
デフォルトの証明書”ｓｅｒｖｅｒ１” が使用され
る。例えばクライアント１に対しては、証明書”ｓｅｒ
ｖｅｒ１”が送信される。クライアント１では、信頼す
るＣＡがＣＡ１であるため、その他に問題がなければサ
ーバ認証に成功する。
場合に、通常はコンフィグレーションに指定されている
デフォルトの証明書”ｓｅｒｖｅｒ１” が使用され
る。例えばクライアント１に対しては、証明書”ｓｅｒ
ｖｅｒ１”が送信される。クライアント１では、信頼す
るＣＡがＣＡ１であるため、その他に問題がなければサ
ーバ認証に成功する。
【００３６】ところが、ＣＡ１を信頼していないクライ
アント２に対しては、証明書”ｓｅｒｖｅｒ１”を使っ
た場合に、サーバ認証に失敗する。このとき、ＳＳＬ開
始要求の前に、”ｃｎ＝ｕｓｅｒ２，ｏ＝Ｃｏｍｐａｎ
ｙＢ，ｃ＝ＪＰ”というＤＮでバインドオペレーション
を行っておくと、マッピングファイルを照合して、送信
する証明書が”ｓｅｒｖｅｒ２”に切り替えられる。こ
れによって、クライアント２との通信においてもサーバ
認証が成功し、ＳＳＬ通信が可能になる。
アント２に対しては、証明書”ｓｅｒｖｅｒ１”を使っ
た場合に、サーバ認証に失敗する。このとき、ＳＳＬ開
始要求の前に、”ｃｎ＝ｕｓｅｒ２，ｏ＝Ｃｏｍｐａｎ
ｙＢ，ｃ＝ＪＰ”というＤＮでバインドオペレーション
を行っておくと、マッピングファイルを照合して、送信
する証明書が”ｓｅｒｖｅｒ２”に切り替えられる。こ
れによって、クライアント２との通信においてもサーバ
認証が成功し、ＳＳＬ通信が可能になる。
【００３７】［実施の形態２］次に、本発明の第２の実
施形態に係る認証システム及び認証方法並びに認証用プ
ログラムについて、図５乃至図８を参照して説明する。
図５は、第２の実施形態に係る認証用証明書切り替えシ
ステムの構成を示すブロック図である。また、図６は、
本認証用証明書切り替えシステムのサーバとクライアン
ト間の通信の順序を示す流れ図であり、図７及び図８
は、認証用証明書切り替えシステムの動作を示す流れ図
である。なお、本実施の形態は、クライアントを識別す
る手段としてバインド時のＤＮではなく、ＩＰアドレス
を使用していることを特徴とするものである。
施形態に係る認証システム及び認証方法並びに認証用プ
ログラムについて、図５乃至図８を参照して説明する。
図５は、第２の実施形態に係る認証用証明書切り替えシ
ステムの構成を示すブロック図である。また、図６は、
本認証用証明書切り替えシステムのサーバとクライアン
ト間の通信の順序を示す流れ図であり、図７及び図８
は、認証用証明書切り替えシステムの動作を示す流れ図
である。なお、本実施の形態は、クライアントを識別す
る手段としてバインド時のＤＮではなく、ＩＰアドレス
を使用していることを特徴とするものである。
【００３８】図５を参照すると、本発明の第２の実施形
態に係る認証用証明書切り替えシステムは、図１と同様
に、プログラム制御により動作するＬＤＡＰサーバ２０
０と、証明書格納手段２１０と、コンフィグレーション
情報格納部２２０と、マッピング情報格納部２３０と証
明書格納部２４０とから構成されている。
態に係る認証用証明書切り替えシステムは、図１と同様
に、プログラム制御により動作するＬＤＡＰサーバ２０
０と、証明書格納手段２１０と、コンフィグレーション
情報格納部２２０と、マッピング情報格納部２３０と証
明書格納部２４０とから構成されている。
【００３９】また、ＬＤＡＰサーバ２００は、通信部２
０１と、制御部２０２と、オペレーション処理部２０３
と、ディレクトリアクセス部２０４と、オペレーション
キュー管理部２０５と、証明書取得部２０６とを含み構
成されている。
０１と、制御部２０２と、オペレーション処理部２０３
と、ディレクトリアクセス部２０４と、オペレーション
キュー管理部２０５と、証明書取得部２０６とを含み構
成されている。
【００４０】これらの手段はそれぞれ概略つぎのように
動作する。通信部２０１、制御部２０２、各オペレーシ
ョン処理部２０３、ディレクトリアクセス部２０４の動
作は、図１の１０１、１０２、１０３、１０４の動作と
同一である。オペレーションキュー管理部２０５は、各
クライアントからのオペレーション情報を保持する。ク
ライアントとの接続時の情報もここに保持される。証明
書取得部２０６は、オペレーションキュー管理部２０５
からクライアントのＩＰアドレスの情報を取得し、コン
フィグレーション情報格納部２２０およびマッピング情
報格納部２３０を参照して、クライアントに対応する証
明書を、証明書格納部２４０から取得する。
動作する。通信部２０１、制御部２０２、各オペレーシ
ョン処理部２０３、ディレクトリアクセス部２０４の動
作は、図１の１０１、１０２、１０３、１０４の動作と
同一である。オペレーションキュー管理部２０５は、各
クライアントからのオペレーション情報を保持する。ク
ライアントとの接続時の情報もここに保持される。証明
書取得部２０６は、オペレーションキュー管理部２０５
からクライアントのＩＰアドレスの情報を取得し、コン
フィグレーション情報格納部２２０およびマッピング情
報格納部２３０を参照して、クライアントに対応する証
明書を、証明書格納部２４０から取得する。
【００４１】また、証明書格納手段２１０とコンフィグ
レーション情報格納部２２０は、図１の１１０、１２０
と同一である。マッピング情報格納部２３０は、ＩＰア
ドレスと証明書の鍵ＩＤとのマッピング情報を保持す
る。証明書格納部２４０は、図１の１４０と同一であ
る。
レーション情報格納部２２０は、図１の１１０、１２０
と同一である。マッピング情報格納部２３０は、ＩＰア
ドレスと証明書の鍵ＩＤとのマッピング情報を保持す
る。証明書格納部２４０は、図１の１４０と同一であ
る。
【００４２】次に、図５及び図６のフローチャートを参
照して本実施形態の全体の動作について詳細に説明す
る。
照して本実施形態の全体の動作について詳細に説明す
る。
【００４３】まず、最初に、証明書の登録と、マッピン
グ情報格納部２３０およびコンフィグレーション情報格
納部２２０の設定を行う。証明書の登録とコンフィグレ
ーション情報の設定は、図１の場合と同様である。マッ
ピング情報格納部２３０の設定として、ＩＰアドレスと
鍵ＩＤのペアを記述したファイルを用意する。
グ情報格納部２３０およびコンフィグレーション情報格
納部２２０の設定を行う。証明書の登録とコンフィグレ
ーション情報の設定は、図１の場合と同様である。マッ
ピング情報格納部２３０の設定として、ＩＰアドレスと
鍵ＩＤのペアを記述したファイルを用意する。
【００４４】この状態での動作を説明する。まず、クラ
イアントからＬＤＡＰ開局要求が出される（図６のステ
ップＣ１）。サーバ側では、ＬＤＡＰ開局のための処理
を行う。このとき、接続時の情報としてクライアントの
ＩＰアドレスなどの情報を保持する（ステップＣ２）。
そして、クライアントに応答を返す（ステップＣ３）。
接続後、クライアントからＳＴＡＲＴ ＴＬＳオペレー
ションを送ることにより、ＳＳＬの開始を要求する（ス
テップＣ４）。サーバ側は、要求を受けて、証明書取得
部（図５の２０６）で、送信すべき証明書を選択する
（ステップＣ５）。
イアントからＬＤＡＰ開局要求が出される（図６のステ
ップＣ１）。サーバ側では、ＬＤＡＰ開局のための処理
を行う。このとき、接続時の情報としてクライアントの
ＩＰアドレスなどの情報を保持する（ステップＣ２）。
そして、クライアントに応答を返す（ステップＣ３）。
接続後、クライアントからＳＴＡＲＴ ＴＬＳオペレー
ションを送ることにより、ＳＳＬの開始を要求する（ス
テップＣ４）。サーバ側は、要求を受けて、証明書取得
部（図５の２０６）で、送信すべき証明書を選択する
（ステップＣ５）。
【００４５】そして、取得した証明書をサーバ証明書と
して、クライアントに送信する（ステップＣ６）。クラ
イアントでは、送られた証明書を使ってサーバ認証を行
う（ステップＣ７）。すなわち、サーバ証明書の有効性
と証明書によるサーバの身元の確認を行う。証明書の有
効性については、有効期限の確認とともに、サーバ証明
書の発行元のルートＣＡがクライアントの信頼するＣＡ
リストに含まれるか照合し、証明書が信頼できるものか
ということを確認する。
して、クライアントに送信する（ステップＣ６）。クラ
イアントでは、送られた証明書を使ってサーバ認証を行
う（ステップＣ７）。すなわち、サーバ証明書の有効性
と証明書によるサーバの身元の確認を行う。証明書の有
効性については、有効期限の確認とともに、サーバ証明
書の発行元のルートＣＡがクライアントの信頼するＣＡ
リストに含まれるか照合し、証明書が信頼できるものか
ということを確認する。
【００４６】サーバ認証の成功に続いて、サーバからク
ライアント証明書の要求があれば、クライアント証明書
を送信し（ステップＣ８）、クライアント認証を行い応
答を返す（ステップＣ９）。認証に成功すれば、ＳＳＬ
プロトコルを使った通信を開始する（ステップＣ１
０）。
ライアント証明書の要求があれば、クライアント証明書
を送信し（ステップＣ８）、クライアント認証を行い応
答を返す（ステップＣ９）。認証に成功すれば、ＳＳＬ
プロトコルを使った通信を開始する（ステップＣ１
０）。
【００４７】サーバ証明書の選択時（ステップＣ５）の
処理の流れを、図７を参照して詳細に説明する。
処理の流れを、図７を参照して詳細に説明する。
【００４８】まず、コンフィグレーション情報格納部
（図５の２２０）を参照し、マッピングファイルの指定
があるかどうかを確認する（図７のステップＤ１）。指
定がない場合は、デフォルトの鍵ＩＤを取得する処理に
移る（ステップＤ４）。次に、オペレーションキュー管
理部（図５の２０５）を参照して、接続しているクライ
アントのＩＰアドレスを取得する（ステップＤ２）。
（図５の２２０）を参照し、マッピングファイルの指定
があるかどうかを確認する（図７のステップＤ１）。指
定がない場合は、デフォルトの鍵ＩＤを取得する処理に
移る（ステップＤ４）。次に、オペレーションキュー管
理部（図５の２０５）を参照して、接続しているクライ
アントのＩＰアドレスを取得する（ステップＤ２）。
【００４９】ＩＰアドレスとマッピングファイルの取得
に成功したら、マッピングファイルを参照し、ＩＰアド
レスに対応する証明書ＩＤを検索する（ステップＤ
３）。このとき、ＩＰアドレスに対応する鍵ＩＤが見つ
からなければ、デフォルトの鍵ＩＤを取得する処理に移
る（ステップＤ４）。デフォルトの鍵ＩＤは、コンフィ
グレーション情報格納部（図５の２２０）を参照して取
得する（ステップＤ４）。取得できなかった場合は、証
明書取得に失敗する。このようにして得られた鍵ＩＤに
対して、対応する証明書と鍵を、証明書格納部（図５の
２４０）から検索し、証明書を取得する（ステップＤ
５）。
に成功したら、マッピングファイルを参照し、ＩＰアド
レスに対応する証明書ＩＤを検索する（ステップＤ
３）。このとき、ＩＰアドレスに対応する鍵ＩＤが見つ
からなければ、デフォルトの鍵ＩＤを取得する処理に移
る（ステップＤ４）。デフォルトの鍵ＩＤは、コンフィ
グレーション情報格納部（図５の２２０）を参照して取
得する（ステップＤ４）。取得できなかった場合は、証
明書取得に失敗する。このようにして得られた鍵ＩＤに
対して、対応する証明書と鍵を、証明書格納部（図５の
２４０）から検索し、証明書を取得する（ステップＤ
５）。
【００５０】このように、本実施の形態に係る認証用証
明書切り替えシステムによれば、クライアントの識別に
ＩＰアドレスを使用しているため、ＬＤＡＰ開局直後の
ＳＳＬ要求にも対応することができる。
明書切り替えシステムによれば、クライアントの識別に
ＩＰアドレスを使用しているため、ＬＤＡＰ開局直後の
ＳＳＬ要求にも対応することができる。
【００５１】次に、具体例を用いて本実施の形態の動作
を説明する。まず、証明書格納ＤＢに、証明書と鍵を登
録する。例では、”ｓｅｒｖｅｒ１”という鍵ＩＤを付
けた証明書と、”ｓｅｒｖｅｒ２”という鍵ＩＤを付け
た証明書が格納されている状態を示している。証明書”
ｓｅｒｖｅｒ１”は、認証局ＣＡ１から発行されたもの
であり、証明書”ｓｅｒｖｅｒ２”は、認証局ＣＡ２か
ら発行されたものである。マッピングファイルに、ＩＰ
アドレスと鍵ＩＤのペアを指定する。
を説明する。まず、証明書格納ＤＢに、証明書と鍵を登
録する。例では、”ｓｅｒｖｅｒ１”という鍵ＩＤを付
けた証明書と、”ｓｅｒｖｅｒ２”という鍵ＩＤを付け
た証明書が格納されている状態を示している。証明書”
ｓｅｒｖｅｒ１”は、認証局ＣＡ１から発行されたもの
であり、証明書”ｓｅｒｖｅｒ２”は、認証局ＣＡ２か
ら発行されたものである。マッピングファイルに、ＩＰ
アドレスと鍵ＩＤのペアを指定する。
【００５２】例では、”２００．２０．２０．２０ ｓ
ｅｒｖｅｒ２”と指定されている様子を示している。こ
れは、ＩＰアドレスが”２００．２０．２０．２０”で
あれば”ｓｅｒｖｅｒ２”の証明書を使うという意味で
ある。コンフィグレーション情報に、デフォルトの鍵Ｉ
Ｄとマッピングファイル位置を指定する。また、例で
は、デフォルトの鍵ＩＤが”ｓｅｒｖｅｒ１”であり、
マッピングファイル位置が”/etc/ldapd/dn_keyid.ma
p”であることを示している。
ｅｒｖｅｒ２”と指定されている様子を示している。こ
れは、ＩＰアドレスが”２００．２０．２０．２０”で
あれば”ｓｅｒｖｅｒ２”の証明書を使うという意味で
ある。コンフィグレーション情報に、デフォルトの鍵Ｉ
Ｄとマッピングファイル位置を指定する。また、例で
は、デフォルトの鍵ＩＤが”ｓｅｒｖｅｒ１”であり、
マッピングファイル位置が”/etc/ldapd/dn_keyid.ma
p”であることを示している。
【００５３】クライアントからＳＳＬ開始要求があった
場合に、通常はコンフィグレーションに指定されている
デフォルトの証明書”ｓｅｒｖｅｒ１”が使用される。
例えばクライアント１に対しては、証明書”ｓｅｒｖｅ
ｒ１”が送信される。クライアント１では、信頼するＣ
ＡがＣＡ１であるため、その他に問題がなければサーバ
認証に成功する。
場合に、通常はコンフィグレーションに指定されている
デフォルトの証明書”ｓｅｒｖｅｒ１”が使用される。
例えばクライアント１に対しては、証明書”ｓｅｒｖｅ
ｒ１”が送信される。クライアント１では、信頼するＣ
ＡがＣＡ１であるため、その他に問題がなければサーバ
認証に成功する。
【００５４】ところが、ＣＡ１を信頼していないクライ
アント２に対しては、証明書”ｓｅｒｖｅｒ１”を使っ
た場合に、サーバ認証に失敗する。そこで、マッピング
ファイルを指定しておけば、送信する証明書が”ｓｅｒ
ｖｅｒ２”に切り替えられ、クライアント２との通信に
おいてもサーバ認証が成功し、ＳＳＬ通信が可能にな
る。
アント２に対しては、証明書”ｓｅｒｖｅｒ１”を使っ
た場合に、サーバ認証に失敗する。そこで、マッピング
ファイルを指定しておけば、送信する証明書が”ｓｅｒ
ｖｅｒ２”に切り替えられ、クライアント２との通信に
おいてもサーバ認証が成功し、ＳＳＬ通信が可能にな
る。
【００５５】
【発明の効果】以上説明したように、本発明の認証用証
明書切り替えシステム及び切り替え方法によれば、下記
記載の効果を奏する。
明書切り替えシステム及び切り替え方法によれば、下記
記載の効果を奏する。
【００５６】本発明の第１の効果は、互いに信頼関係の
ない異なるＣＡのみを信頼する複数のクライアントに対
して、同時にＳＳＬ認証および通信を行うことができる
ということである。その理由は、クライアント毎にサー
バの証明書を切り替えることができるためである。
ない異なるＣＡのみを信頼する複数のクライアントに対
して、同時にＳＳＬ認証および通信を行うことができる
ということである。その理由は、クライアント毎にサー
バの証明書を切り替えることができるためである。
【００５７】また、本発明の第２の効果は、証明書と鍵
をより安全に管理できるということである。その理由
は、データベースに格納し管理を行っており、ファイル
形式のまま証明書と鍵を保持する必要がなくなるためで
ある。
をより安全に管理できるということである。その理由
は、データベースに格納し管理を行っており、ファイル
形式のまま証明書と鍵を保持する必要がなくなるためで
ある。
【図１】本発明の第１の実施形態に係る認証用証明書切
り替えシステムの構成を示すブロック図である。
り替えシステムの構成を示すブロック図である。
【図２】本発明の第１の実施形態に係る認証用証明書切
り替えシステムのサーバとクライアント間の通信の順序
を示す流れ図である。
り替えシステムのサーバとクライアント間の通信の順序
を示す流れ図である。
【図３】本発明の第１の実施形態に係る認証用証明書切
り替えシステムの動作を示す流れ図である。
り替えシステムの動作を示す流れ図である。
【図４】本発明の第１の実施形態に係る認証用証明書切
り替えシステムの動作の具体例を示す図である。
り替えシステムの動作の具体例を示す図である。
【図５】本発明の第２の実施形態に係る認証用証明書切
り替えシステムの構成を示すブロック図である。
り替えシステムの構成を示すブロック図である。
【図６】本発明の第２の実施形態に係る認証用証明書切
り替えシステムのサーバとクライアント間の通信の順序
を示す流れ図である。
り替えシステムのサーバとクライアント間の通信の順序
を示す流れ図である。
【図７】本発明の第２の実施形態に係る認証用証明書切
り替えシステムの動作を示す流れ図である。
り替えシステムの動作を示す流れ図である。
【図８】本発明の第２の実施形態に係る認証用証明書切
り替えシステムの動作の具体例を示す図である。
り替えシステムの動作の具体例を示す図である。
１００ ＬＤＡＰサーバ １０１ 通信部 １０２ 制御部 １０３ 各オペレーション処理部 １０４ ディレクトリアクセス部 １０５ オペレーションキュー管理部 １０６ 証明書取得部 １１０ 証明書格納手段 １２０ コンフィグレーション情報格納部 １３０ マッピング情報格納部 １４０ 証明書格納部 ２００ ＬＤＡＰサーバ ２０１ 通信部 ２０２ 制御部 ２０３ 各オペレーション処理部 ２０４ ディレクトリアクセス部 ２０５ オペレーションキュー管理部 ２０６ 証明書取得部 ２１０ 証明書格納手段 ２２０ コンフィグレーション情報格納部 ２３０ マッピング情報格納部 ２４０ 証明書格納部
Claims (14)
- 【請求項１】ネットワークを介して接続される複数のク
ライアントとサーバとにおける認証システムであって、 前記サーバに、複数の証明書を管理する手段と、各々の
前記クライアントと該クライアントが信頼する認証局が
発行した証明書とを関連づけるマッピング情報を記憶す
る手段と、前記マッピング情報を参照して、前記クライ
アントに送信する証明書を切り替える手段と、を少なく
とも有することを特徴とする認証システム。 - 【請求項２】前記証明書管理手段において、前記証明書
と鍵とのペアに鍵ＩＤが付与され、該鍵ＩＤによって前
記証明書と前記鍵とが管理されることを特徴とする請求
項１記載の認証システム。 - 【請求項３】前記マッピング情報が、前記クライアント
の識別名と前記鍵ＩＤとを含むことを特徴とする請求項
２記載の認証システム。 - 【請求項４】前記クライアントの識別名が、該クライア
ントからのＬＤＡＰ結合要求に際して抽出されることを
特徴とする請求項３記載の認証システム。 - 【請求項５】前記マッピング情報が、前記クライアント
のＩＰアドレスと前記鍵ＩＤとを含むことを特徴とする
請求項２記載の認証システム。 - 【請求項６】前記クライアントのＩＰアドレスが、該ク
ライアントからのＬＤＡＰ開設要求に際して抽出される
ことを特徴とする請求項５記載の認証システム。 - 【請求項７】ネットワークを介して接続される複数のク
ライアントとサーバとにおける認証方法であって、 前記サーバにおいて、複数の証明書を格納するステップ
と、各々の前記クライアントと該クライアントが信頼す
る認証局が発行した証明書とを関連づけるマッピング情
報を作成し、記憶するステップと、前記クライアントか
らのサーバ証明書の送信要求に対して、前記マッピング
情報を参照して、前記クライアントに送信する証明書を
切り替えるステップと、を少なくとも実行することを特
徴とする認証方法。 - 【請求項８】前記証明書の格納に際して、前記証明書と
鍵とのペアに鍵ＩＤを付与して格納することを特徴とす
る請求項７記載の認証方法。 - 【請求項９】前記マッピング情報を、前記クライアント
の識別名と前記鍵ＩＤとを用いて作成することを特徴と
する請求項８記載の認証方法。 - 【請求項１０】前記クライアントの識別名を、該クライ
アントからのＬＤＡＰ結合要求に際して抽出することを
特徴とする請求項９記載の認証方法。 - 【請求項１１】前記マッピング情報を、前記クライアン
トのＩＰアドレスと前記鍵ＩＤとを用いて作成すること
を特徴とする請求項８記載の認証方法。 - 【請求項１２】前記クライアントのＩＰアドレスを、該
クライアントからのＬＤＡＰ開設要求に際して抽出する
ことを特徴とする請求項１１記載の認証方法。 - 【請求項１３】コンピュータに、 少なくとも、複数の証明書の各々と鍵とのペアに鍵ＩＤ
を付与して格納する処理と、クライアントを特定する情
報と前記鍵ＩＤとのマッピング情報を作成し、記憶する
処理と、前記クライアントからのサーバ証明書の送信要
求に対して、前記クライアントを特定する情報を抽出す
る処理と、前記マッピング情報を参照して、前記クライ
アントに送信する証明書を選択する処理と、を実行させ
るための認証用プログラム。 - 【請求項１４】前記クライアントを特定する情報が、Ｌ
ＤＡＰ結合要求に際して抽出された前記クライアントの
識別名、又は、ＬＤＡＰ開設要求に際して抽出された前
記クライアントのＩＰアドレスからなることを特徴とす
る請求項１３記載の認証用プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001161610A JP3724564B2 (ja) | 2001-05-30 | 2001-05-30 | 認証システム及び認証方法並びに認証用プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001161610A JP3724564B2 (ja) | 2001-05-30 | 2001-05-30 | 認証システム及び認証方法並びに認証用プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002353959A true JP2002353959A (ja) | 2002-12-06 |
| JP3724564B2 JP3724564B2 (ja) | 2005-12-07 |
Family
ID=19004862
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001161610A Expired - Fee Related JP3724564B2 (ja) | 2001-05-30 | 2001-05-30 | 認証システム及び認証方法並びに認証用プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3724564B2 (ja) |
Cited By (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005027312A (ja) * | 2003-06-30 | 2005-01-27 | Microsoft Corp | 透過仮想プライベートネットワークを用いたネットワーク構成の複雑さの低減 |
| EP1515519A2 (en) | 2003-09-12 | 2005-03-16 | Ricoh Company, Ltd. | A communications apparatus, communications system, and method of setting certificate |
| JP2005267520A (ja) * | 2004-03-22 | 2005-09-29 | Ntt Comware Corp | 証明書相互認証システム、及び証明書相互認証方法 |
| US7451307B2 (en) | 2003-09-22 | 2008-11-11 | Ricoh Company, Ltd. | Communication apparatus, communication system, communication apparatus control method and implementation program thereof |
| JP2009501973A (ja) * | 2005-07-14 | 2009-01-22 | マイクロソフト コーポレーション | プロトコルのためのユーザ・マッピング情報拡張子 |
| KR100893070B1 (ko) * | 2002-09-19 | 2009-04-17 | 엘지전자 주식회사 | 무선통신 시스템의 멀티캐스트 서비스 제공 및 수신 방법, 그리고 그 장치 |
| US7546455B2 (en) | 2003-12-16 | 2009-06-09 | Ricoh Company, Ltd. | Digital certificate transferring method, digital certificate transferring apparatus, digital certificate transferring system, program and recording medium |
| US7584351B2 (en) | 2004-01-09 | 2009-09-01 | Ricoh Company, Ltd. | Method of transferring digital certificate,apparatus for transferring digital certificate, and system, program, and recording medium for transferring digital certificate |
| US7634654B2 (en) | 2004-01-09 | 2009-12-15 | Ricoh Company, Ltd. | Method of nullifying digital certificate, apparatus for nullifying digital certificate, and system, program, and recoring medium for nullifying digital certificate |
| US7647494B2 (en) | 2005-06-08 | 2010-01-12 | International Business Machines Corporation | Name transformation for a public key infrastructure (PKI) |
| US7694333B2 (en) | 2003-07-25 | 2010-04-06 | Ricoh Company, Ltd. | Communication apparatus, communication system, certificate transmission method, anomaly detection method and a program therefor |
| US7809945B2 (en) | 2004-07-20 | 2010-10-05 | Ricoh Company, Ltd. | Examination apparatus, communication system, examination method, computer-executable program product, and computer-readable recording medium |
| US8015399B2 (en) | 2003-09-30 | 2011-09-06 | Ricoh Company, Ltd. | Communication apparatus, communication system, certificate transmission method and program |
| CN102195983A (zh) * | 2011-05-12 | 2011-09-21 | 深圳Tcl新技术有限公司 | 网络终端加密认证方法及服务器 |
| JP2014503159A (ja) * | 2011-01-19 | 2014-02-06 | ナチュラル セキュリティー | 第２の通信装置を用いて第１の通信装置を認証する方法 |
| JP2015513810A (ja) * | 2012-01-27 | 2015-05-14 | マイクロソフト コーポレーション | サーバー・ネーム・インディケーション（ｓｎｉ）を伴わない暗黙的なｓｓｌ証明書管理 |
| JP2018007277A (ja) * | 2013-10-01 | 2018-01-11 | キヤノン株式会社 | 画像処理装置 |
| WO2019092825A1 (ja) * | 2017-11-09 | 2019-05-16 | 三菱電機株式会社 | 情報処理装置及び情報処理方法 |
| CN111526025A (zh) * | 2020-07-06 | 2020-08-11 | 飞天诚信科技股份有限公司 | 一种实现终端解绑和重绑的方法及系统 |
-
2001
- 2001-05-30 JP JP2001161610A patent/JP3724564B2/ja not_active Expired - Fee Related
Cited By (27)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100893070B1 (ko) * | 2002-09-19 | 2009-04-17 | 엘지전자 주식회사 | 무선통신 시스템의 멀티캐스트 서비스 제공 및 수신 방법, 그리고 그 장치 |
| JP2005027312A (ja) * | 2003-06-30 | 2005-01-27 | Microsoft Corp | 透過仮想プライベートネットワークを用いたネットワーク構成の複雑さの低減 |
| JP4558389B2 (ja) * | 2003-06-30 | 2010-10-06 | マイクロソフト コーポレーション | 透過仮想プライベートネットワークを用いたネットワーク構成の複雑さの低減 |
| US7694333B2 (en) | 2003-07-25 | 2010-04-06 | Ricoh Company, Ltd. | Communication apparatus, communication system, certificate transmission method, anomaly detection method and a program therefor |
| US8578466B2 (en) | 2003-07-25 | 2013-11-05 | Ricoh Company, Ltd. | Communication apparatus, communication system, certificate transmission method, anomaly detection method and a program therefor |
| EP1515519A2 (en) | 2003-09-12 | 2005-03-16 | Ricoh Company, Ltd. | A communications apparatus, communications system, and method of setting certificate |
| US8612762B2 (en) | 2003-09-12 | 2013-12-17 | Ricoh Company, Ltd. | Communications apparatus, communications system, and method of setting certificate |
| US8291225B2 (en) | 2003-09-12 | 2012-10-16 | Ricoh Company, Ltd. | Communications apparatus, communications system, and method of setting certificate |
| US7647501B2 (en) | 2003-09-12 | 2010-01-12 | Ricoh Company, Ltd. | Communications apparatus, communications system, and method of setting certificate |
| US7451307B2 (en) | 2003-09-22 | 2008-11-11 | Ricoh Company, Ltd. | Communication apparatus, communication system, communication apparatus control method and implementation program thereof |
| US8015399B2 (en) | 2003-09-30 | 2011-09-06 | Ricoh Company, Ltd. | Communication apparatus, communication system, certificate transmission method and program |
| US7546455B2 (en) | 2003-12-16 | 2009-06-09 | Ricoh Company, Ltd. | Digital certificate transferring method, digital certificate transferring apparatus, digital certificate transferring system, program and recording medium |
| US7634654B2 (en) | 2004-01-09 | 2009-12-15 | Ricoh Company, Ltd. | Method of nullifying digital certificate, apparatus for nullifying digital certificate, and system, program, and recoring medium for nullifying digital certificate |
| US7584351B2 (en) | 2004-01-09 | 2009-09-01 | Ricoh Company, Ltd. | Method of transferring digital certificate,apparatus for transferring digital certificate, and system, program, and recording medium for transferring digital certificate |
| JP4601979B2 (ja) * | 2004-03-22 | 2010-12-22 | エヌ・ティ・ティ・コムウェア株式会社 | 証明書相互認証システム、及び証明書相互認証方法 |
| JP2005267520A (ja) * | 2004-03-22 | 2005-09-29 | Ntt Comware Corp | 証明書相互認証システム、及び証明書相互認証方法 |
| US7809945B2 (en) | 2004-07-20 | 2010-10-05 | Ricoh Company, Ltd. | Examination apparatus, communication system, examination method, computer-executable program product, and computer-readable recording medium |
| US7647494B2 (en) | 2005-06-08 | 2010-01-12 | International Business Machines Corporation | Name transformation for a public key infrastructure (PKI) |
| JP2009501973A (ja) * | 2005-07-14 | 2009-01-22 | マイクロソフト コーポレーション | プロトコルのためのユーザ・マッピング情報拡張子 |
| JP2014503159A (ja) * | 2011-01-19 | 2014-02-06 | ナチュラル セキュリティー | 第２の通信装置を用いて第１の通信装置を認証する方法 |
| CN102195983A (zh) * | 2011-05-12 | 2011-09-21 | 深圳Tcl新技术有限公司 | 网络终端加密认证方法及服务器 |
| CN102195983B (zh) * | 2011-05-12 | 2015-08-19 | 深圳Tcl新技术有限公司 | 网络终端加密认证方法及服务器 |
| JP2015513810A (ja) * | 2012-01-27 | 2015-05-14 | マイクロソフト コーポレーション | サーバー・ネーム・インディケーション（ｓｎｉ）を伴わない暗黙的なｓｓｌ証明書管理 |
| JP2018007277A (ja) * | 2013-10-01 | 2018-01-11 | キヤノン株式会社 | 画像処理装置 |
| WO2019092825A1 (ja) * | 2017-11-09 | 2019-05-16 | 三菱電機株式会社 | 情報処理装置及び情報処理方法 |
| JPWO2019092825A1 (ja) * | 2017-11-09 | 2020-08-20 | 三菱電機株式会社 | 情報処理装置及び情報処理方法 |
| CN111526025A (zh) * | 2020-07-06 | 2020-08-11 | 飞天诚信科技股份有限公司 | 一种实现终端解绑和重绑的方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3724564B2 (ja) | 2005-12-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2002353959A (ja) | 認証システム及び認証方法並びに認証用プログラム | |
| US7512974B2 (en) | Computer system and program to update SSL certificates | |
| US8024789B2 (en) | Communication apparatus, program and method | |
| JP4579546B2 (ja) | 単一サインオンサービスにおけるユーザ識別子の取り扱い方法及び装置 | |
| US6105131A (en) | Secure server and method of operation for a distributed information system | |
| US6112305A (en) | Mechanism for dynamically binding a network computer client device to an approved internet service provider | |
| US6895511B1 (en) | Method and apparatus providing for internet protocol address authentication | |
| US6615347B1 (en) | Digital certificate cross-referencing | |
| JP4782986B2 (ja) | パブリックキー暗号法を用いたインターネット上でのシングルサインオン | |
| US6275941B1 (en) | Security management method for network system | |
| US6108789A (en) | Mechanism for users with internet service provider smart cards to roam among geographically disparate authorized network computer client devices without mediation of a central authority | |
| US6988195B2 (en) | Vault controller supervisor and method of operation for managing multiple independent vault processes and browser sessions for users in an electronic business system | |
| US20030226036A1 (en) | Method and apparatus for single sign-on authentication | |
| WO2005006204A1 (ja) | データベースアクセス制御方法、データベースアクセス制御装置、代理処理サーバ装置、データベースアクセス制御のためのプログラム、および該プログラムを記録した記録媒体 | |
| JP2007110377A (ja) | ネットワークシステム | |
| JP2008511232A (ja) | 制御認証のためのパーソナルトークンおよび方法 | |
| JP2008526173A (ja) | 情報セキュリティの認証方法及びシステム | |
| US7013388B2 (en) | Vault controller context manager and methods of operation for securely maintaining state information between successive browser connections in an electronic business system | |
| JP2728033B2 (ja) | コンピュータネットワークにおけるセキュリティ方式 | |
| US20020095578A1 (en) | System, method, and program for ensuring originality | |
| CN103825899A (zh) | 信息处理设备和信息处理设备的控制方法 | |
| EP1436966B1 (en) | A method of providing an access request to a same server based on a unique identifier | |
| KR20030016073A (ko) | 웹 상에서 쿠키를 통한 사용자 인증 방법 및 인증 시스템 | |
| US20040039945A1 (en) | Authentication method and authentication apparatus | |
| US20040030700A1 (en) | Document management system, document management apparatus, authentication method, program for implementing the method, and storage medium storing the program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050601 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050607 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050808 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050831 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050913 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080930 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100930 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110930 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120930 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130930 Year of fee payment: 8 |
|
| LAPS | Cancellation because of no payment of annual fees |