JP2003218859A - データストリーム及びデータアーカイブのためのデジタル署名の実施 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワークにわたって転送されるデータフ
ァイルの真正性を保証し検証するためのより効率的な方
法、装置及び生産物を提供する。 【解決手段】 データの真正性を検証する方法は、識別
子と、電子署名とデータファイルの識別子を持つ署名フ
ァイルを持つようなデータファイルを少なくとも１つ提
供する。電子署名はコンピュータシステムによって検証
され、データファイル内の識別子はコンピュータシステ
ムを使用して署名ファイル内の識別子と比較される。デ
ータファイルの識別子は、証明認証、サイト証明、ソフ
トウェア配布者の識別子、サイト名の少なくとも１つを
持ち、データの真正性の検証には証明認証、前記サイト
証明、前記ソフトウェア配布者の識別子、前記サイト名
の少なくとも１つに関するセキュリティレベルの設定が
ある。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、一般に計算資源の
間のデータの共有に関するものである。より詳細には、
本発明は、コンピュータシステム上で処理されているデ
ータの真正性（authenticity）を保証し（secure）また
証明するための方法、装置、及び生産物に関するもので
ある。

【０００２】

【従来の技術】インターネットといったネットワーク化
されたコンピュータ環境の人気が高くなるにつれて、共
有されている情報を安全な（secure）方法でネットワー
ク化されたコンピュータ間において伝送する方法を用意
する要求が高まってきた。例えば、インターネットのユ
ーザがデータの形式で情報を他のユーザに送るとき、受
け手のユーザにとって、受け取ったデータが何らかの方
法で変質されていなかったこと、さもなければ改変され
ていなかったこと、を検証することが有益なことがあ
る。さらに、受け手のユーザは、受け取ったデータが詐
称者からではなく送り手ユーザから実際に送られたこと
を検証することが有益であることを見いだすこともあ
る。

【０００３】その結果、コンピュータネットワークや他
のデータリンクにわたって転送されたデータのセキュリ
ティを増す方法やアルゴリズムが、一定の成果ととも
に、開発されまた展開されてきた。もっと安全な方法に
は、データを送るに先立ってその全部または一部を暗号
化し、また同様にして、送られたデータを使うに先立っ
てそれを復号化することを含む傾向がある。そのような
暗号化や復号化の技術には、例えばコンピュータシステ
ムを用い「署名アルゴリズム」を走らせることによっ
て、暗号化データをデータファイルに付加し、そのデー
タファイル内のデータを暗号化したり、さもなければ変
形したりすることを含む。

【０００４】現在、今日使用されているいくつかの署名
アルゴリズムがある。１つの著名な署名アルゴリズム
は、実際には、メッセージ・ダイジェスト（Message Di
gest）アルゴリズムとＲＳＡ暗号アルゴリズムを組み合
わせ（例えば、ＭＤ５とＲＳＡの組み合わせ、ＭＤ２と
ＲＳＡの組み合わせ等）である。ＲＳＡ付きのメッセー
ジ・ダイジェストは、カルフォルニアのレッドウッド・
シティ（Redwood City）にあるメッセージ・データ・セ
キュリティ（Message Data Security）社から入手可能
である。他の有名な署名アルゴリズムは、ＤＳＡ暗号化
アルゴリズムである。ＤＳＡ暗号化アルゴリズムは、米
国政府から入手可能であり、署名アルゴリズムとして私
的な団体によって限られた目的のために用いることがで
きる。これらの署名アルゴリズムを、限定された詳しさ
で以下に説明する。

【０００５】ＲＳＡアルゴリズム付きのメッセージ・ダ
イジェストは、データファイルに付加できる「電子署名
（デジタル署名、digital signature）」を生成する性
能（capability）を含む。電子署名は、基本的には、ユ
ーザが受け取ったデータファイルの出所（source）が真
正であることを証明できるメカニズムである。電子署名
は、典型的には、関連のデータファイルに伴って、他の
ユーザに対して発生され、また供給されることができる
データの特別な続き（sequence）である。ほとんどの署
名アルゴリズムの裏にある基本的なコンセプトは、すべ
てのユーザ（例えば、個人や会社や政府など）が「私的
キー（private key）」や「公開キー（public key）」
の両方を含む「キーの対」を有していることである。キ
ー（鍵）は、例えば、数の続きである。私的キーは、単
一のユーザに割り当てられまたそのユーザによって秘密
に保たれるも独自のキーである。私的キーは、割り当て
られたユーザによって使用され署名アルゴリズムを用い
データファイルのための電子署名を創り出す。それに対
して、公開キーは、典型的にはすべての他のユーザに対
して利用できるようにされる。公開キーは、受け取った
データファイルに関する電子署名が真正である（例え
ば、その電子署名がその私的キーで創り出された）こと
を検証するために、これらの他のユーザによって用いら
れることができる。検証プロセスは、同じ署名アルゴリ
ズムで達成される。原理的には、このような検証プロセ
スは、受け取ったデータの出所の真正性において比較的
高い水準の信頼度を提供できる。

【０００６】電子署名発生アルゴリズムに加えて、デー
タファイルが何らかの方法で変質されていなかったこと
の真正性を証明するために用いられるアルゴリズムも存
在する。これらのアルゴリズムは、典型的には「一方向
ハッシュ関数（one-way hashfunction）」として知られ
ている。そのようなアルゴリズムの一例は、上にて紹介
されたメッセージ・ダイジェストである。一方向ハッシ
ュ関数は、通常はキーを必要としない。一方向ハッシュ
関数は、典型的には、データファイルに挿入される付加
的なデータを含んである。そのため、データファイルを
受け取ったとき、そのハッシュ関数は、そのハッシュ関
数が発生されて以来、そのデータファイル内のどのデー
タも改変されていないことを検証するために使用でき
る。しかしながら、ハッシュ関数は、誰がそれを送った
いった、関連したファイルについての何事もユーザは必
ずしも推論できないという点で典型的には限定されてい
る。多くの署名アルゴリズムが一方向ハッシュ関数を内
部の構成部品として使っている点を言及しておく。

【０００７】インターネットといった比較的にオープン
でセキュリティに欠けるネットワークに対しては、受け
取ったデータファイルを使うに先立ってそれらが真正で
あること証明することはユーザにとって有益である。そ
のようなデータファイルには、制限されるものではない
が、コンピュータプログラム、グラフィックス、テキス
ト、写真、音声、ビデオ、叉はコンピュータシステム内
での使用に適する他の情報などがある。データファイル
のタイプがどんなものであっても、真正性の証明は、上
述したような署名アルゴリズム叉は暗号化アルゴリズム
の類似タイプで達成されることができる。例示によれ
ば、もしデータファイルがソフトウェアプログラムなら
ば、そのプログラムがユーザのコンピュータをウィルス
に感染させるトロイの木馬（Trojan Horse）を含んでい
ると困るので、ユーザのコンピュータシステムをソフト
ウェアプログラムにさらすに先立ってそのプログラムが
信頼できる権限者によって送られたことが真正であると
証明することをユーザが望むかもしれない。そのような
場合においては、送り手のユーザは上述したように、デ
ータの真正性を証明できる。

【０００８】別な例は、受け手のユーザが、自分のコン
ピュータの画面に表示するに先立ってテキストファイル
及び画像データファイル、叉はテキストファイル若しく
は画像データファイルが真正であると証明することを望
む場合である。これは、望ましくない内容を有するテキ
スト及び画像の表示を制御するために有効である。例え
ば、親たちは成人ものの主題や資料に関係する絵やテキ
ストに対する子供が行うあらゆるアクセスを制限したい
かもしれない。これは、そのデータファイル（例えば、
テキストファイル叉は画像ファイル）が信頼できる出所
から来たことを検証することによって達成されることで
きる。同様に、テキストファイルや画像ファイルの供給
者は、商標や他の知的所有権の使用を制御するように認
可又は真正性の「スタンプ」を与えたいかもしれない。

【０００９】

【発明が解決しようとする課題】残念ながら、暗号化す
ることと復号化すること、署名することと検証するこ
と、及び／叉はハッシュ関数を生成すること、のプロセ
スは、送り手及び受け手のユーザのコンピュータ資源に
追加の負荷をかける（place）。この負荷は、いくつか
のデータファイルを送ったりまた受けたりするユーザに
対して度合いが増す。例えば、ワールドワイドウェブ
（World-Wide Web）として知られるインターネットの側
面が成長すると、ユーザ間における多数の（multiple）
データファイルの転送において激増することに至る。こ
のような多数のデータファイルは、Ｊａｖａ^TMアプレッ
ト（Java applet）といったオブジェクト指向のソフト
ウェアプロセスを構成するコンポーネント叉はオブジェ
クトをしばしば含む。そのような多数のデータファイル
の転送の際にユーザのコンピュータ資源上にかけ得る潜
在的な負荷を例示するためには、そのファイルの各々の
ために電子署名を検証することに関連する結果として生
じる処理時間を計算することのみを必要とする。例え
ば、仮にＪａｖａ^TMアプレットが電子的に署名された
（データファイルも含む）２００個ものＪａｖａ^TMクラ
スファイルを含むとすると、通常のデスクトップコンピ
ュータ上で平均検証時間が１秒であると仮定して、ユー
ザはデータファイルを受けた後にアプレットを使うため
に約２００秒もの間待たなくてはならないでしょう。そ
のような時間遅れは、コンピュータネットワーク環境の
効率を著しく縮小させる可能性がある。このことは、リ
アル（またはリアルに近い）タイムでのストリーム方式
の音声叉はビデオのデータファイルといった、時間が決
められた処理に関係するデータファイルに関してはまさ
に真実となる。

【００１０】従って、望まれていることは、データファ
イルの真正性を保証しまた検証するための、特にコンピ
ュータネットワークにわたって転送されると意図される
データファイルについての、より効率的な方法、装置お
よび生産物である。

【００１１】

【課題を解決するための手段】本発明は、コンピュータ
ネットワークをわたって転送されると意図されるデータ
ファイルのような、データファイルの真正性を保証しま
た検証するための、より効率的な方法、装置および生産
物を提供する。本発明の１つの側面に従って、データの
真正性を検証するための方法は識別子と署名ファイルと
を含む少なくとも１つのデータファイルを提供すること
を伴い、この署名ファイルは電子署名だけでなく、デー
タファイルのための識別子を含む。そして、電子署名は
コンピュータシステムを使用して検証され、そのデータ
ファイル内の識別子はコンピュータシステムを使って署
名ファイル内の識別子と比較される。

【００１２】１つの実施例として、そのデータファイル
のための識別子は、少なくとも１つの証明の認証、サイ
ト証明、ソフトウェア配布者の識別子、またはサイト名
を含み、またデータの真正性を検証することは少なくと
も１つの証明の認証、前記サイト証明、前記ソフトウェ
ア配布者の識別子、前記サイト名のためのセキュリティ
レベルを設定することを伴う。そのような実施例におい
ては、データファイルがコンピュータシステムにダウン
ロードされ、そしてそのデータファイルがアプレットで
ありまたその電子署名が検証されると、データの真正性
の検証することは、そのアプレットへブランドを付ける
こととそれに応じてアプレットを動作させることを伴
う。

【００１３】本発明の別の側面では、識別子を含んだ少
なくとも１つのデータファイルと、電子署名に加えてデ
ータファイルのための識別子を含む署名ファイルとの真
正性を検証するための装置は、電子署名を検証するベリ
ファイヤ（verifier）と、データファイル内の識別子と
署名ファイル内の識別子を比較するためのコンパレータ
（comparator）とを含む。別の実施例においては、その
コンパレータは一方向ハッシュ関数アルゴリズムを含
む。

【００１４】本発明のさらに別の側面においては、識別
子を含み、且つデータファイルのためのその識別子と電
子署名とを有する署名ファイルに関連づけられる、デー
タファイルの真正性を検証するために用意されるコンピ
ュータシステムは、プロセッサと、プロセッサに結合さ
れるメモリと、電子署名を検証しまたデータファイル内
の識別子を署名ファイル内の識別子を比較するために用
意されたベリファイヤとを含む。ある実施例において
は、そのデータファイルのための識別子は証明の認証、
サイト証明、ソフトウェア配布者の識別子、およびサイ
ト名のうちの少なくとも１つを含む。そのような実施例
においては、ヴェリファイヤは証明認証、サイト証明、
ソフトウェア開発者の識別子、およびサイト名のうちの
少なくとも１つのためのセキュリティレベルを設定する
ように調整されている。別の実施例では、データファイ
ルはアプレットであり、ベリファイアはアプレットにブ
ランドを付け、且つそのアップレットを動作させるため
に用意されている。

【００１５】本発明は、データの真正性を検証するため
の、コンピュータで実現される方法であって、該方法
は、少なくとも１つのデータファイルと署名ファイルと
を受け取る工程を備え、該データファイルと該署名ファ
イルは別個であり、該データファイルは識別子を含み、
該署名ファイルは該データファイルのための該識別子と
電子署名とを含み、該方法は、該署名ファイルの真正性
を判断するためにコンピュータシステムを使用して署名
ファイルの処理する工程を備える。

【００１６】本発明の方法は、該コンピュータシステム
を使用して、該データファイル内の該識別子と該署名フ
ァイル内の該識別子を比較し該データファイルの真正性
を判定する工程を更に含むことができ、署名ファイルを
処理する該工程は、該署名ファイルの真正性を判定する
ためにコンピュータシステムを使用して該電子署名を処
理する工程を更に含むことができる。

【００１７】本発明の方法は、該データファイル内の該
識別子と該署名ファイル内の該識別子が一致するとき、
該データファイルを署名されたものとしてマーキングす
る工程を更に含むことができる。

【００１８】本発明の方法は、該データファイルの該識
別子と該署名ファイルの該識別子とが一致しないとき、
該データファイルを無視すること、該データファイルの
ロードを中止すること、及びユーザに警告すること、の
群から選択される少なくとも１つを、該データファイル
の該識別子と該署名ファイルの該識別子とが一致しない
とき、更に含むことができる。

【００１９】本発明の方法では、該コンピュータシステ
ムを使用して該データファイル内の該識別子を該署名フ
ァイルの該識別子と比較する該工程が、第２のデータフ
ァイルに対して繰り返されるようにしてもよい。

【００２０】本発明の方法では、該電子署名を処理する
該工程は、署名アルゴリズムを用いて該電子署名を検証
する工程を更に含むことができ、該署名アルゴリズムは
キー付きのアルゴリズムであり、該署名アルゴリズムは
ＤＳＡアルゴリズムとメッセージ・ダイジェスト及びＲ
ＳＡアルゴリズムの組み合わせとから成る群から選択さ
れることができる。

【００２１】本発明の方法では、該識別子は、１方向ハ
ッシュ関数アルゴリズム及びサイクリック冗長チェック
サムアルゴリズムの一方を使用して発生されるようにし
てもよい。

【００２２】本発明の方法では、該データファイル内の
該識別子を該署名ファイル内の該識別子と比較する工程
は、１方向ハッシュアルゴリズムを用いて１つ以上の該
識別子を発生する工程を更に含むことができる。

【００２３】本発明の方法では、該データファイル内の
該識別子を該署名ファイル内の該識別子と比較する該工
程は、サイクリック冗長チェックサムアルゴリズムを用
いて１つ以上の該識別子をチェックする工程を更に含む
ことができる。

【００２４】本発明の方法では、該データファイルと該
署名ファイルとを受け取る該工程は、ネットワーク接続
されたコンピュータ間で該データファイルと該署名ファ
イルを転送する工程を、更に含むことができる。

【００２５】本発明の方法では、該データファイル内の
該識別子は、証明の認証、サイト証明、ソフトウェア配
布者の識別子、及びサイト名のうちの少なくとも１つを
含むことができ、当該方法は、前記証明の認証、前記サ
イト証明、前記ソフトウェア配布者の識別子、前記サイ
ト名の少なくとも１つに対してセキュリティレベルの設
定を含むことができる。

【００２６】本発明の方法は、該データファイルを該コ
ンピュータシステムにダウンロードする工程を含み、該
データファイルがアプレットを備えるとき、そして該電
子署名が検証されるとき、当該方法は、検証されたもの
として該アプレットにブランドを付ける（brand）工
程、及び該アプレットを動作させる工程を含むことがで
きる。

【００２７】本発明の方法は、該データファイルがアプ
レットを備えるとき、そして該署名が検証されないと
き、当該方法は未署名のデータファイルが該コンピュー
タ上での実行に対して受け入れ可能か否かを決定する工
程、未署名のデータファイルが前記コンピュータ上での
実行に対して受け入れ可能でない場合に該アプレットを
停止する工程、を含むことができる。

【００２８】本発明の方法は、該未署名のデータファイ
ルが前記コンピュータ上での実行に対して受け入れ可能
と決定されるとき、該アプレットにブランドを付ける工
程を含むことができる。

【００２９】本発明の方法は、アプレットを動作させる
工程と、該アプレットがセキュリティチェックを駆動す
るアクションを実行するか否かを決定する工程とを含む
ことができ、該セキュリティチェックは、該ブランドを
セキュリティレベルと比較する工程、該セキュリティチ
ェックが満たされるとき該アクションを許容しかつセキ
ュリティチェックが満足されない場合該アクションを許
容しない工程を含むことができる。

【００３０】本発明の方法は、該コンピュータシステム
を使用して遠隔のサイトとデータ通信の接続を確立する
工程と、該サイトが安全な接続を要求しているか否かを
決定する工程と、安全な接続が要求されているという決
定に応じて、該サイトに対するサイト証明が妥当である
か否かを決定する工程とを含むことができる。

【００３１】本発明は、少なくとも１つのデータファイ
ルと署名ファイルとの真正性を検証するための装置であ
って、該データファイルは識別子を含み、該署名ファイ
ルは該データファイルのための該識別子と電子署名とを
含み、当該装置は電子署名を処理し該署名ファイルの真
正性を決定するためのプロセッサを備え、該装置はコン
ピュータシステムを使用して該データファイル内の該識
別子を該署名ファイル内の該識別子と比較し該データフ
ァイルの真正性を判断するためコンパレータを備え、該
プロセッサは該コンピュータシステムを使用して該電子
署名を処理し該署名ファイルの真正性を決定するように
更に配置されている。

【００３２】本発明の装置では、該コンピュータシステ
ムを使用して該データファイル内の該識別子を該署名フ
ァイル内の該識別子と比較するための該コンパレータ
は、該データファイルの該識別子と該署名ファイルの該
識別子とが一致するとき、署名されたものとして該デー
タをマークするためのマーカを含むことができる。

【００３３】本発明は、データの真正性を検証する際の
使用のためにコンピュータで利用できる媒体上に具体化
されたコンピュータで可読なプログラムコードを有する
コンピュータで利用できる媒体、を含んだコンピュータ
プログラム生産物であって、該プログラムは、コンピュ
ータシステムで以下のａ）少なくとも１つのデータファ
イルと署名ファイルとを受け取ることであって、該デー
タファイルは識別子を含み、該署名ファイルは該データ
ファイルのための該識別子と電子署名を含み、ｂ）コン
ピュータシステムを使用して該署名ファイルを処理し該
署名ファイルの真正性を判断すること、をもたらすため
の、コンピュータで可読なプログラムコードを含む。

【００３４】本発明のコンピュータプログラムコード生
産物は、該コンピュータシステムを使用して該データフ
ァイル内の該識別子を該署名ファイル内の該識別子と比
較し該データファイルの真正性を決定するための生産物
であって、該署名ファイルを処理することは該コンピュ
ータシステムを使用して該電子署名を処理し該署名ファ
イルの真正性を決定することを含むことができる。

【００３５】本発明のコンピュータプログラムコード生
産物は、該コンピュータシステムを使用して該データフ
ァイル内の該識別子を該署名ファイル内の該識別子と比
較することは、該データファイル内の該識別子と該署名
ファイル内の該識別子とが一致するとき、該データファ
イルを署名されたものとしてマークすることを含むこと
ができる。

【００３６】本発明とそれについてのさらなる利点を、
添付図面と共に以下の記述を参照することによって最も
よく理解できる。

【００３７】

【発明の実施の形態】本発明のいくつかの実施例は、任
意の数のデータファイルに対して単一の電子署名のみの
実施とその検証を要求することによって、出所ユーザの
コンピュータシステムと受け手ユーザのコンピュータシ
ステムとの両方にかけられた計算要求を減少させる新規
の方法、装置および生産物（product）を供給する。本
発明の実施例に従うと、データファイルを個々に署名す
る必要がない。その代わりに、１つの別個の（separat
e）署名ファイルが電子的に署名され後に検証されると
きに署名ファイルが対応するデータファイルがこれらの
データファイルの各々に対して署名アルゴリズムを実行
することなく真正性を証明できるように、その別個の署
名ファイルが創り出される。ある実施例においては、署
名ファイルは、転送されるべき個々のデータファイルに
関連付けられた、一方向ハッシュ関数といった、「識別
子」のリストを含む。そのため、署名ファイルは、基本
的には、データファイルの各々のための電子署名と暗号
的に同等なものである。

【００３８】このため、本発明の１つの実施例に関し
て、ユーザは各データファイルのために独自の識別子を
含む署名ファイルを創り出すことができる。この署名フ
ァイルは、署名アルゴリズムを使って電子的に署名され
ることができる。そして、署名された署名ファイルとデ
ータファイルとを受け手のユーザに送ることができ、そ
のユーザは適切な署名アルゴリズムを使ってその電子署
名を検証できる。一旦、電子署名が検証されると、署名
ファイル内にある識別子をデータファイル内の識別子に
比較できる。与えられたデータファイル内の識別子が署
名ファイル内の対応する識別子と一致するならば、真正
であるとしてそのデータファイルは検証され得る。する
と、受け手ユーザは、真正性について確信を持って、そ
の検証されたデータファイルを処理することを進めるこ
とができる。その結果、電子的に署名しまた後にデータ
ファイルの各々に対して電子署名を検証する必要がもは
やないので、計算による遅れを縮小できる。

【００３９】図１は、データ形式の情報を受け手ユーザ
のコンピュータシステム１４と交換するためにデータリ
ンク１６にわたって結合された出所ユーザのコンピュー
タシステム１２を、ブロックダイアグラムによって表現
されるものとして、ネットワーク化された計算環境１０
を示す。出所ユーザのコンピュータシステム１２は、例
えば、インターネットに関連づけられたウェブサーバと
いったサーバコンピュータの形式をとることができる。
同様に、受け手ユーザのコンピュータシステム１４は、
例えば、データリンク１６にわたってウェブサーバにネ
ットワーク接続されたクライアントシステムの形式をと
ることができる。そのようなケースでは、データリンク
１６は、したがって、インターネットや他の接続された
ネットワークの一部か、または、全体を表わすことがで
きる。データリンク１６は、また、１つ以上のローカル
エリアネットワーク（ＬＡＮｓ）、広域エリアネットワ
ーク（ＷＡＮｓ）、「イントラネット」若しくは「エク
ストラネット」、叉は他の同様の電子通信若しくはデー
タのネットワークを表わし得る。

【００４０】図２は、図１に従う、送り手ユーザまたは
受け手ユーザのいずれかが使用できる典型的なコンピュ
ータシステム２０を示す。代わりに、コンピュータシス
テム２０は、コンピュータに使える生産物を介してデー
タを受け取ることの能力があるスタンドアロンのコンピ
ュータであっても良い。コンピュータシステム２０は、
１つ以上のプロセッサ２２、主記憶２４、２次記憶２
６、１つ以上の入力／出力（Ｉ／Ｏ）デバイス２８、１
つ以上のネットワーク通信デバイス３０、１つ以上のバ
ス３２を含む。

【００４１】プロセッサ２２は、コンピュータ命令を実
行する能力を提供する。プロセッサ２２は、例えば、市
場で入手できる多くのデスクトップコンピュータ、ラッ
プトップコンピュータ、ワークステーション、メインフ
レームコンピュータ内で見られるようなマイクロプロセ
ッサ、中央処理装置（ＣＰＵ）、マイクロコントローラ
であり得る。また、プロセッサ２２は、特定目的コンピ
ュータ若しくは大型フレームコンピュータ、通信交換ノ
ード、叉は他のネットワーク化された計算デバイス内で
典型的に使われるプロセッサといった従来のプロセッサ
叉はカスタマイズ若しくはセミカスタマイズされたプロ
セッサの形式をとることもできる。プロセッサ２２は、
バス３２へのデータを出力するため、またバス３２から
のデータを入力するために結合されている。

【００４２】バス３２は、２つ以上のノード間におい
て、データを転送すること叉はさもなければデータを移
動することの能力を持っている。例えば、バス３２は、
共有の汎用バスの形式をとることができ、叉は特定ノー
ド間において特定タイプのデータを転送するために専用
にされることができる。バス３２は、データを転送でき
るノード間の経路を確立する際に使うためのインターフ
ェース回路構成およびソフトウェアを含むことができ
る。プロセッサ２２といった、あるデバイスは、内部ノ
ード間においてデータを転送するための１つ以上のバス
３２を内部に含むこともできることが認識される。デー
タは、処理済データ、アドレス、及び制御信号を含むこ
とができる。

【００４３】主記憶２４は典型的には、データの格納お
よび検索のために備えている。主記憶２４は、例えば、
ランダムアクセスメモリ（ＲＡＭ）叉は同様の回路であ
り得る。主記憶２４はバス３２を介して、プロセッサ２
２といった他のデバイス叉は回路によってアクセスされ
得る。

【００４４】２次記憶２６は、典型的にはデータの付加
的な格納及び検索のために備えている。２次記憶２６
は、例えば、磁気ディスクドライブ、磁気テープドライ
ブ、ＣＤＲＯＭといった光学的に読み取り可能なデバイ
ス、ＰＣＭＣＩＡカードといった半導体メモリ、叉は同
様のデバイスの形式をとることができる。２次記憶２６
は、バス３２を介して、プロセッサ２２といった他のデ
バイス叉は回路からアクセスされ得る。２次記憶２６
は、例えばその上に具現化されたコンピュータで可読な
コードを有するコンピュータで利用可能な媒体を含むコ
ンピュータプログラム生産物からデータをアクセスし叉
は読むことができる。

【００４５】入出力デバイス２８は典型的には、ユーザ
に対するインタフェースを提供し、それを介してデータ
が共有される。入出力デバイス２８は、例えば、キーボ
ード、タブレット及び指示ペン、音声認識器及び手書き
文字認識器、叉は別のコンピュータといったよく知られ
た他の入力装置の形式をとることができる。入出力デバ
イス２８は、例えば、ディスプレイモニタ、フラット・
パネル・ディスプレイ、叉はプリンタの形式をとること
もできる。入出力デバイス２８は、バス３２を介して、
プロセッサ２２といった他のデバイス叉は回路によって
アクセスされ得る。

【００４６】ネットワーク通信デバイス３０は典型的に
は、他のコンピュータシステムといった他の計算資源お
よびデバイスへのインタフェースを提供する。ネットワ
ーク通信デバイス３０は典型的には、データ通信リンク
およびデータ通信リンクネットワークにわたってデータ
通信の標準およびプロトコルを実現するインタフェース
のハードウェア及びソフトウェアを含む。例えば、ネッ
トワーク・コネクションを用いて、プロセッサ２２はネ
ットワークにわたってデータ（すなわち情報）を送り及
び受け取ることができる。上述したデバイス及び方法
は、コンピュータのハードウェア及びソフトウェアの分
野の当業者には精通していることである。

【００４７】図３（ａ）は、本発明の実施例に従う、ア
ーカイブ（記録保管所）のデータ構造３００の実施例を
示す。データ構造３００は、署名ファイル３０２といく
つかのデータファイル３０４〜３１４とを含む。ファイ
ル３０４〜３１４は、任意のデジタルビット列でもよ
く、例えば、Ｊａｖａ^TMクラスファイル、画像ファイ
ル、音声ファイル、テキストファイル、および付加的な
署名ファイルであってもよい。

【００４８】図３（ｂ）は、署名ファイル３０２の具体
例である。ある実施例においては、署名ファイル３０２
はヘッダファイルであることを留意すべきである。図示
された実施例においては、署名ファイル３０２には、デ
ータファイル３０４〜３１４の各々のための少なくとも
１つの識別子３１６を含む。オプションとして、署名フ
ァイル３０２は、データファイル３０４〜３１４の各々
のための付加的なデータ３１８も含むことができる。例
えば、付加的なデータ３１８は、ファイルの名前、ファ
イル作成者、ファイルの日付、ファイルの版数、ファイ
ルのレート付け（例えば、「親の指導が必要」といった
映画のレート付け）、またはユーザが署名ファイル３０
２内に含めたい真正性の証明される他の任意にデータに
ついての情報を更に備える。

【００４９】署名ファイル３０２は、識別子ＩＤ３２０
と電子署名３２２とを更に含む。識別子ＩＤ３２０は、
署名ファイル３０２に列記された識別子を創り出すため
に用いられるアルゴリズムを決定するために必要な情報
を提供する。電子署名３２２は、その署名ファイルのた
めに創り出された電子署名を表わす。もちろん、電子署
名３２２の構造は、それを創り出すために用いられる署
名アルゴリズムに依存する。

【００５０】図４は、本発明の実施例に従い、１つ以上
のデータファイルを発生するためのステップ４０２を含
む方法４００を図示する。例えば、ステップ４０２は、
テキストファイルを発生するためのテキストプログラ
ム、音声やビデオのファイルを発生するための記録プロ
グラム、画像もしくは映像のファイルを発生するための
グラフィックスプログラム、クラスファイルやプログラ
ムファイルを発生するためのプログラミング言語、叉は
データファイルを発生する能力がある他の任意の機構を
使用することを含むことができる。

【００５１】ステップ４０２で１つ以上のデータファイ
ルを発生したら、ステップ４０４はこれらのデータファ
イルの各々について識別子を発生する。例えば、ステッ
プ４０４で生成された識別子は、一方向ハッシュ関数ア
ルゴリズムによって発生されることができ、また代わり
にサイクリック冗長性チェックサム（ＣＲＣ、cyclicre
dunduncy checksum）等の形式をとることもできる。し
かしながら、一般的に一方向ハッシュ関数アルゴリズム
はより大きなセキュリティに備える傾向にあり、なぜな
ら、そのような関数は簡単には叉は効率的には破られる
ことができず、またさもなければリバースエンジニアさ
れることができないからである。例として、ＭＤ５及び
ＳＨＡといった一方向ハッシュ関数アルゴリズムは典型
的には、暗号的に安全であると考えられる。そのような
アルゴリズムは、コンピュータ科学の分野の当業者に知
られるであろう。

【００５２】次に、ステップ４０６は、ステップ４０４
で発生されるような識別子を列記し、またはコンパイル
する署名ファイルを創り出すことを含む。署名ファイル
は、例えば、識別子を列記するテキストファイルであっ
てもよい。オプションとして、署名ファイルは、例え
ば、各ファイルの名、各ファイルの著者名、ファイルの
版数、ファイルの日付スタンプ、各データファイルに関
係する他のデータを更に含んでもよい。ステップ４０６
はさらに、データファイルからのそのようなデータを問
い合わせ、たどり（トレースし、trace）、選択し、集
め、叉は与える（render）１以上のプログラムを含むこ
とができる。ステップ４０６は、例えば、バッチモード
でデータファイルを処理し適当な識別子及び付加的なデ
ータを集めることによって、実行できる。当業者は、方
法４００におけるステップを促進するある方法で、署名
ファイルに列記されるデータを特定的に、順番に並べ、
グループ分けし、叉は配置することが、（例えば、効率
の面で）有益であることを認識するであろう。例えば、
識別子に加えてファイル名及び作成者をグループ分けす
ることは有益であろう。

【００５３】一旦、署名ファイルが創り出されたら、ス
テップ４０８は署名アルゴリズムを使って署名ファイル
に電子的に署名することを含む。適切な署名アルゴリズ
ムの例示は、メッセージダイジェストアルゴリズムおよ
びＲＳＡ暗号化アルゴリズムを組み合わせたもの（例え
ば、ＲＳＡを持つＭＤ５、若しくはＲＳＡ持つＭＤ２
等）、または（上記で説明した）ＤＳＡアルゴリズムを
含む。ステップ４０８は、例えば、公開キー叉は私的キ
ーを手段として署名アルゴリズムを用いて署名ファイル
のための電子署名を発生することを含む（例えば、上記
のシュナイヤ（Schneier）を参照せよ）。

【００５４】ステップ４０８からの署名された署名ファ
イルは、次に、ステップ４１０において受け手ユーザに
送られ、提供され、または利用できるようにされる。例
えば、ステップ４１０は、署名された署名ファイルをデ
ータバス、データリンク、インターネット、他のコンピ
ュータ若しくはデータ通信のネットワーク若しくはリン
クにわたって転送されることを含むことができる。加え
て、ステップ４１０は例えば、署名ファイルを磁気記憶
媒体や光学的記憶媒体のようなコンピュータで読み込め
る媒体に格納すること、及びコンピュータで読み込み可
能な媒体上の署名された署名ファイルをあるコンピュー
タから別のコンピュータに移動することを含むことがで
きることが認識される。

【００５５】受け取り叉はアクセスのときに、ステップ
４１２における受け手ユーザは、ステップ４１０におい
て送られ、叉は利用できるようにされた署名された署名
ファイルの真正性を検証する。ステップ４１２は例え
ば、キーを手段として署名アルゴリズムを用いて、署名
された署名ファイル上の電子署名を検証することを含む
ことができる。

【００５６】ステップ４１４は、ステップ４１２で決定
されたものとして電子署名の有効性（validity）が方法
４００を終了するか叉は継続するかのいずれかである決
定を示す。方法４００を中断するとか叉は回避する（pr
eempt）というように表示がされる一方で、また署名済
の署名ファイルのステップ４１２におけるその検証が失
敗したことを、ある方法で記録し若しくは識別し、また
は発する（address）別のプロセス、例えば警告若しく
は通知プロセス、またはログプロセス、を呼びだすこと
をステップ４１４は含むことができということが認識さ
れる。

【００５７】ステップ４１４での決定がそのファイルが
正当である（すなわち、真正である）場合、プロセス
は、署名ファイルからの少なくとも識別子を格納するこ
とを含むステップ４１６へ続く。本発明のある実施例に
おいては、識別子がセキュア地帯（secure location）
に格納される。セキュア地帯は、例えば受け手のコンピ
ュータシステムのＲＡＭであってもよく、なぜならこの
メモリはプロセスが終了するときに容易にクリアされる
からである。代わりに、識別子はディスクドライブまた
はテープドライブに格納されることもでき、そこでは識
別子はある後のステージで検索できる。当業者は、いろ
いろなデータ記憶デバイス及び他のコンピュータシステ
ム構成が様々な及び潜在的なセキュリティリスク（つま
り、ある記憶デバイスは他よりもより安全である）を引
き起こす（pose）ことを認識するであろう。また、ステ
ップ４１４で記憶された署名ファイルの信用性を増しま
た保証するために、暗号化やファイルアクセスの特権と
いった、さらなるセキュリティの方策（measure）を使
用できることも認識できる。

【００５８】ステップ４１６で識別子がセキュア地帯に
記憶されてしまうと、次に対象のデータファイル、また
はステップ４０６において署名ファイルにその識別子が
列記されたデータファイルがステップ４１８に表示され
るようなループに合わせて処理されることができる。ス
テップ４１８は、例えば、署名ファイルに列記されてい
る識別子の数に基づいて、ステップ４２０に入る回数を
繰り返し制御するカウンタ機構を含むことができる。例
えば、署名ファイル列記されたｎ個の識別子がある（つ
まり、ロードされるべきｎ個のデータファイルがある）
とならば、繰り返しループは、ｉ＝１からｉ＝ｎまで数
え上げし若しくは代わりにｉ＝ｎからｉ＝１に数え上げ
することができ、又は、以下に提供されるように方法４
００内の残りのステップに合わせて、データファイルの
全てがロードされたとき若しくはそのロードすることが
試みられたときを決定する。

【００５９】ステップ４２０は、ｉ番目のデータファイ
ルをロードすることを含む。ステップ４２０は、例え
ば、ダウンロードし、アップロードし、同時通信し（br
oadcast）、またはさもなければｉ番目のデータファイ
ルをある場所から別の場所に移動するいずれかのために
ステップ４１０内の任意の方法を使用できる。一旦、ｉ
番目のデータファイルがロードされたら、ステップ４２
２は（そのデータファイルのために）適切な識別子アル
ゴリズムを使ってｉ番目のデータファイルのための識別
子を提供し、計算し、または発生することを含むことが
できる。

【００６０】次に、ステップ４２４は、ステップ４１６
で格納された署名ファイル内に、ｉ番目のデータファイ
ルに関して、列記された識別子と、ステップ４２２で提
供された識別子を比較することを含む。識別子が一致す
ると、そのときｉ番目のデータファイルを真正であるも
のとして検証する。識別子が一致しないならば、そのと
きｉ番目のデータファイルは検証されなかったとみな
す。

【００６１】ステップ４２６は、ステップ４２４で決定
されるような識別子の正当性がステップ４１８の繰り返
しループを中断するか継続するかの判断を表示する。ｉ
番目のデータファイルのための識別子がステップ４２４
で検証されたなら、ステップ４２６は、ｉ番目のデータ
ファイルが真正であるとして検証されたことを、マーキ
ングし（印を付け、marking）、または何らかの方法で
記録し若しくは確立することを含むステップ４２８へ進
むことによって、ステップ４１８の繰り返しループを継
続する。ステップ４２８は、例えば、ｉ番目のデータフ
ァイルを送り手ユーザによって署名されたものとして、
修正しまたはマーキングすることを含むことができる。

【００６２】一方、ｉ番目のデータファイルのための識
別子が真正なものとしてステップ４２４で検証されるこ
とができないと、そのときステップ４２６はステップ４
３０に進むことによってステップ４１８の繰り返しルー
プを中断する。ステップ４３０は、ステップ４２８を避
けまたステップ４１８に逆進するように、ある方法でス
テップ４１８の繰り返しループを中断することを含む。
ステップ４３０は、例えばｉ番目のデータファイルを無
視することを含むことができる。ステップ４３０に加え
て、ｉ番目のデータファイルが真正でないことをともか
く記録しまた識別するために、別のステップを方法４０
０に含むことができる。

【００６３】このように、上記のデータ構造およびステ
ップを用いて、いくつかのデータファイルを送っている
ユーザは、各データファイルに対して個別の電子署名を
発生する必要があるというよりもむしろ、送り手ユーザ
が１つの署名ファイルを創り出しまたそのファイルに電
子的に署名するだけでよいので、関連する処理時間を縮
小できるでしょう。同様に、上記のデータ構造やステッ
プを用いて、いくつかのデータファイルを受け取ってい
るユーザは、関連する電子署名の暗号を解くことによっ
て真正であるとして各データファイルを検証しなければ
ならないというよりはむしろ、その署名ファイルの真正
であることを検証するのみ必要であるので、関連する処
理時間を減少できるでしょう。そのような混成の（ハイ
ブリッドな、hybrid）検証プロセスは、署名プロセスと
検証プロセスを実質的に合理化できる。その結果、デー
タファイルは、電子署名され、そして後に短い時間で真
正性が証明されまた処理される。

【００６４】加えて、ステップ４３０は，ステップ４２
４において真正性を検証するために、試みられているロ
ードを中止するオプションのステップ４３２、及び／叉
はその失敗を警告しまた警報を出すオプションのステッ
プ４３４、へ導くことができる。一旦、ステップ４３０
とオプションのステップ４３２及び／叉はステップ４３
４は完了すると、方法４００はステップ４１８に戻り、
その中の繰り返しループを完了する。ステップ４１８の
繰り返しループが完了したら、方法４００を終了する。

【００６５】本発明の実施例においては、署名した各認
証のために、証明（certificate）が創出され、つまり
署名ファイル内に列記される独自の識別子が証明として
具体化される。一般的には、証明とは典型的には送り手
コンピュータシステムかまたは受け手のコンピュータシ
ステムのいずれかであるサイトが自分自身を識別するた
めに使用できるトークンである。いくつかのサイトは１
つの証明に関連付けられることができる。代わりに、い
くつかの証明が１つのサイトに関連付けられことができ
る。

【００６６】出所のユーザのコンピュータシステムや受
け手ユーザのコンピュータシステムは、データファイル
だけでなく、例えばカリフォルニア、マウンテンビュー
ウのサンマイクロシステム（Sun Microsystems of Moun
tain View, California）から入手できるＪａｖａ^TMプ
ログラミング言語で書かれた「アプレット」の形式であ
るコンピュータソフトウェアを交換するように構成され
ることができる。ここで使われた「アプレット」は、出
所のコンピュータ又は典型的にはサーバからクライアン
トのマシンに伝えられる（pass）ように構成され、また
例えばブラウザのような、既にクライアントにインスト
ールされているソフトウェアと連携して実行される、ソ
フトウェアプログラムである。記述されている実施例で
は、アプレットはクラスファイルから具現化された（in
stantiate）ものであり、クラスファイルは、図３
（ａ）に関して述べられたように、アーカイブのデータ
構造にまとめられグループ化され、出所のコンピュー
タ、つまりサーバ、からクライアントのマシンにダウン
ロードされる。典型的には、アプレットは、実行するよ
うにブラウザソフトウエア自身が構成されていない様々
な計算タスクを実行することによって、ブラウザソフト
エアに追加の機能を提供する。このため、アプレットを
ダウンロードするユーザは、そうしなければブラウザソ
フトエアに利用可能でない追加の機能をブラウザソフト
ウエアに提供できる。そのような追加の能力は、例えば
データベースに対するカスタムインタフェースを含む。

【００６７】与えられたアプレット、例えばＪａｖａ^TM
アプレットがアクセスできるオペレーションを制御する
ために、出所コンピュータおよびクライアントマシンの
いずれか上で、ブラウザに関連したセキュリティマネー
ジャを使用できる。換言すれば、セキュリティマネージ
ャは、アプレットが実行することを許可するアクション
を制御するために、またはアプレットに対する特権を拡
張するために、使用されることができる。アプレットに
許可されるアクションは大きく変化しうるが、一般的に
は、そのアクションは読むおよび書くアクションであ
る。アプレットに関連する異なる証明およびサイトに対
する許可を設定するための柔軟性をユーザに与えるため
に、セキュリティマネージャの内部において、異なるセ
キュリティレベルを実現できる。一般的に、ユーザは特
別の証明若しくはサイト、または一群の証明およびサイ
トを選択でき、そしてそのユーザの選択に関してのセキ
ュリティレベルを設定できる。

【００６８】セキュリティレベルを実現するためにセキ
ュリティマネージャを使うことは、一般的には、安全で
なく、安心できず、若しくは信頼できないアプレットア
クションだけでなく、どのアプレットアクションが安全
であり、安心でき、若しくは信頼あできるかを、識別す
ることにつながる。安全なアクションは、一般的には、
システムセキュリティを危険にすること、またはクライ
アント若しくはサーバ上に格納されている情報が衝突す
る（corrupt）こと、に関して重大な可能性があるとみ
なされない。例として、安全なアクションは読み出し専
用アクション、または特定のディレクトリに対する読み
出し専用アクションがあり得る。一方、安全でない（un
secure）アクションは、一般的にはシステムセキュリテ
ィを違反することに関して、またはたクライアント若し
くはサーバに格納されている情報に損害を与えることに
関してあらゆる可能性のあるアクションである。安全で
ないアクションは、制限するものでないが、書き込みア
クション、削除アクション、名前替アクション、および
機密文書へのアクセスを要求するような読み出しアクシ
ョンを含むことができる。安全でないアクションは、保
護（プロテクト、protect）される遠隔サイトへの接続
の確立するための要求を更に含む。

【００６９】本発明の実施例として、Ｊａｖａ^TMアプレ
ットを実行できるブラウザは、例としてはＨｏｔＪａｖ
ａ^TMブラウザ（カリフォルニア、マウンテンビューのサ
ンマイクロエレクトロニクスから入手可能）といった、
高セキュリティレベル、中セキュリティレベル、低セキ
ュリティレベル、不信頼レベルを含むセキュリティレベ
ルを持ったセキュリティマネージャを有している。高セ
キュリティレベルにすれば、あらゆる安心でないアクシ
ョンを遮断する一方で、基本的にはアプレットは一組の
安心できるアクションと共にまたは制約と共に動作する
ことが可能になる。記述された実施例においては、高セ
キュリティレベルにすれば、安心でないアクション、例
えば信頼できないと考えられるどのアクションに対する
アクセスも拒否する一方で、アプレットが安全であるア
クション、例えば信頼できると考えられるほとんどのア
クションを実行することが可能になる。

【００７０】中セキュリティレベルは、潜在的に安心で
ないアクションに対する認証を認める能力（ability）
をユーザに提供する一方で、アプレットが安心な制約と
共に動作することを可能にするために使用され得る。中
セキュリティレベルを用いると、安心できる、例えば許
容可能な、アクションでないかもしれないアクションを
ユーザインタフェースを介してユーザに警告できる。記
述された実施例においては、アクティビティ（活動、ac
tivity）を記述する対話ボックスが現われ、ユーザは、
実行される潜在的に安心でないアクションに対する許可
を拒否することまたは認めることのいずれかを促され
る。低セキュリティレベルにすると、アプレットが最小
の制約と共に動作し、また記述された実施例では、潜在
的に安心でないアクションをユーザに警告しない。不信
頼セキュリティレベルは、安心でないと知られている証
明及びサイトを識別するために用いられる。

【００７１】次に図５を参照して、本発明の実施例に従
って、セキュリティマネージャにおけるセキュリティレ
ベルを設定することと関連づけられるステップが記述さ
れる。ある実施例では、セキュリティレベルは、信頼及
び検証の設定のレベルとしても知られているが、前述し
たように、高セキュリティレベル、中セキュリティレベ
ル、低セキュリティレベル、及び不信頼セキュリティレ
ベルである。セキュリティレベルは、適切なグラフィカ
ルユーザインタフェース（GUI）の使用を通してユーザ
によって設定されることができるが、セキュリティレベ
ルを設定するために任意の適切な方法を使用できること
を認識すべきである。

【００７２】セキュリティマネージャ５００においてセ
キュリティレベルを設定するプロセスが始まり、そして
ステップ５０２で証明の認証（authority）に関するセ
キュリティレベルが設定される。証明の認証は、個々の
証明と証明の群との両方に適用されるべき異なるセキュ
リティのレベル、つまり優先度を可能にする。一般的に
は、証明の認証は、限定されるものではないが、どのよ
うに特定の証明が使われるかを識別する情報を含む。例
として、証明の認証は、ある証明が他の証明を保証しま
たは真正性を証明することを可能にするために設定され
ることができる。

【００７３】証明の認証のためのセキュリティレベルが
設定されると、ステップ５０４でサイトの証明のための
セキュリティレベルが設定される。サイトの証明は、ト
ランザクション処理（transaction）を成す安全なコネ
クション（connection）を開始するために、所与のサイ
トが使用できる証明である。サイトの証明のためのセキ
ュリティレベルは、一般的に、セキュア・ソケット・レ
イヤ（secure socketlayer：ＳＳＬ）標準プロトコル
と、安全なトランザクションが起こるべきコネクション
の真正性を証明するために使用できるセキュリティの認
証とを明記することを伴う。そのような安全な通信の技
術が、悪漢のサイト若しくは潜在的に安全でないサイト
を識別するため、またそれ故、そのようなサイトとの通
信を避けることによって伝達できるより安全なチャネル
を提供するために使用できる。

【００７４】ステップ５０６では、ソフトウェア配布者
のためのセキュリティレベルが設定される。イントラネ
ットの環境においては、イントラネットは安全な環境で
あると通常は考えられているので、ソフトウェアは通常
は証明と共に配布されない。それ故、そのような安全な
環境で配布されたソフトウェアは、一般に安全であると
仮定される。しかしながら、例えばインターネット環境
といった、ソフトウェアが証明と共に配布される環境に
関しては、その証明に関連付けられたソフトウェアコー
ドがブラウザの実行に対して信頼できるかどうかを決定
するためにその証明を使用できる。

【００７５】サイト名のためのセキュリティレベルが、
ステップ５０８で設定される。サイト名のためのセキュ
リティレベルの設定のプロセスは、サイトのためにセキ
ュリティレベルが設定されるときそのセキュリティレベ
ルはそのサイトに関連するすべてのソフトウェアに適用
されるという点を除いて、ソフトウェア配布者の設定の
プロセスと本質的に同じである。サイト名の許可を設定
することは、一般にはシステムの資源にみだりに変更す
る（tamper）ほとんどないリスクと共に、証明のないソ
フトウェアをテストすることを可能にする。次に、証明
タイプがステップ５１０で設定される。証明タイプを設
定すると、どのように証明が使われるべきかを決定する
こと、またどのように証明が使われることを期待するか
に基づいて証明のための認証を選択することを伴う。証
明サイトがステップ５１０で設定された後に、セキュリ
ティレベルの設定のプロセスが終了する。セキュリティ
レベルが設定される順番が、特定のセキュリティマネー
ジャの要求に依存して大きく変わり得ることを認識すべ
きである。

【００７６】ある実施例においては、セキュリティレベ
ルを設定するために、追加の「高度な（advanced）」設
定を使用できる。１つの実施例では、高度の設定は、個
人の証明認証、サイト証明、ソフトウェア配布者、叉は
サイト名のための特定の注文で特製にされた（カスタマ
イズされた、customized）セキュリティレベルをユーザ
が設定することを可能にするために、グラフィカルユー
ザインターフェース（ＧＵＩ）まはた類似したインター
フェースを通してユーザが変更できる細分性（グラニュ
ラリティ、granularity）の制御である。さらに、高度
な設定は、一群の証明の認証、サイト証明、ソフトウェ
ア配布者、またはサイト名のためのセキュリティレベル
をユーザがカスタマイズすることを可能にするように構
成できる。このため、高度なセッティングにすると、一
般的に、セキュリティレベルを制御する際に、また全体
的な証明の取り扱いの際に柔軟になる。例として、高度
な設定の使用を介して、ユーザは特定のサイト証明を中
セキュリティレベルに設定でき、一方ではサイト証明に
関連するセキュリティ許可を読み出しアクセスのみの許
容に制限することを明記できる。加えて、高度なセッテ
ィングを使用し、所与のセキュリティレベルにおける仕
様を置き換え（override）でき、例えば高度なセッティ
ングを使用し所与のセキュリティレベルでは通常は許さ
れていないような許可を認める（grant）ことができ
る。

【００７７】記述された実施例においては、高度な設定
は、上述したように高セキュリティレベル、中セキュリ
ティレベル、低セキュリティレベル、および不信頼レベ
ルに加えて、サイト証明、例えば選択されたセキュリテ
ィレベルに加えて実施されることができるサイト証明、
について特定の許可をユーザが選択することを可能にす
るために付加的なオプションが利用可能であるように、
提供される。これらの特別な許可は、これらに限られる
わけではないが、ユーザに警告メッセージを与えずにア
プレットがウィンドウを開けることを許したり、警告の
対話を用いまたｈ用いずにアプレットが自動的に局所的
なアプリケーションを始める（launch）ことを許した
り、警告の対話を与えることなしにアプレットがすべて
のプロパティにアクセスすることを許したり、また警告
の対話を与えることなしにアプレットが実行を開始する
ことを許したりすることを含むことができる。

【００７８】図６は、本発明の実施例に従った高度の設
定を例示するブラウザインターフェースを図式的に表
す。前に述べたように、高度な設定は、ブラウザインタ
フェースと共に提供されるセキュリティレベルに加え
て、可能にしたり不可能にしたりできる特定の許可を選
択するために使用される。ブラウザインタフェース５６
０は任意の適当なブラウザインタフェース５６０であっ
てもよいが、記述された実施例においては、ブラウザイ
ンタフェース５６０はＨｏｔＪａｖａ^TMブラウザの基本
的な表現となっている。示されるように、ブラウザイン
ターフェース５６０には高度な設定のディスプレイ・ウ
ィンドウ５６４がある。ディスプレイ・ウィンドウ５６
４の第１の領域５６８は、サイト及び証明５７０とサイ
ト及び証明の群とを列記して、それらのセキュリティ許
可をカスタマイズする。 "Applet Permissions"（アプ
レットの許可）５７２、 "File Access"（ファイルアク
セス）５７４、"Network Access"（ネットワークアクセ
ス）５７６は、カスタマイズできる許可の中にある。
記述された実施例では、選択５８０は、"File Access"
（ファイルアクセス）５７４、つまりアプレットがアク
セスすることを許容するファイル、に関する設定を示
す。

【００７９】第２のサブ領域５８２は、選択されたとき
に、選択された設定、つまり"Applet Permissions"（ア
プレットの許可）５７２のコマンドを使って決定される
設定、を持つアプレットが読み取ることを許すファイル
とディレクトリ５８４を表示する。同様に、第３のサブ
領域５８８は、適切な許可を持つアプレットが書きこむ
ことが許すファイルやディレクトリ５９０を表示してい
る。「"Warn beforegranting access to other files"
（他のファイルへのアクセスを許す前に警告せよ）」オ
プション５９４、叉は「"Warn when applet tries to d
elete a files"（アプレットがファイルを削除しようと
するときに警告せよ）」オプション５９６の例のような
付加的な選択可能なオプションにすると、ユーザがセキ
ュリティオプションを更にカスタマイズすることを可能
にする。

【００８０】図７は、本発明の１つの実施例に従う、検
証の設定を用いるアプレットを実行する一つのプロセス
に関連付けられたステップを図示するフローチャートで
ある。検証の設定を実施するプロセスが開始し、ステッ
プ６０２において、アプレットは、それが実行されるべ
きローカルなマシンへダウンロードされる。記述された
実施例においては、アプレットをダウンロードすること
は、クラスファイル、それからそのアプレットが具体例
をあげて示される（instantiate）ファイル、を含むア
ーカイブファイル、つまりアーカイブデータ構造、の少
なくとも一部をダウンロードすることを伴う。そのアプ
レットがダウンロードされた後、署名されたアーカイブ
ストリームがステップ６０４で受け取られる。記述され
た実施例においては、アーカイブストリームはＪａｖａ
^TMアーカイブファイルに関連した電子署名を含む。

【００８１】ステップ６０６では、その署名されたアー
カイブストリーム内の署名が妥当（valid）であるか、
つまり、その署名が既知の且つ受け入れ可能なものであ
るか、に関して決定がなされる。署名されたアーカイブ
ストリームは前述した署名された署名ファイルの一実施
例であることを認識すべきである。アーカイブストリー
ム内の署名が妥当であるかどうかの決定は、既知の認証
を見つけるまで、署名ファイル内に認証、例えば証明、
の一続き（chain）を体系的にチェックすることを伴
う。そして、既知の認証が妥当性に関してチェックされ
る。例として、証明"Ａ"は、妥当な証明であると知られ
ている証明"Ｂ"によって保証できる（vouch）。する
と、証明"Ｂ"が妥当であると知られているので、証明"
Ａ"が妥当であると決めてかかることができる。

【００８２】決定がその署名が妥当であるということな
らば、プロセスフローは、アプレットに「ブランドを付
ける（brand）」ステップ６０８に進む。アプレットに
ブランドを付けしまたはマーキングすることは、一般的
にはそのアプレットに署名者を結び付ける（attach）
か、または、そのアプレットの妥当性を識別するために
使用できる識別子をアプレットに結び付けることを指
す。一旦、アプレットに適切にブランド付けされたら、
そのアプレットはステップ６１０で実行される、つまり
動作する。そのアプレットが動作している中、そのアプ
レット内の様々なアクションが呼び出される。

【００８３】ステップ６１２で、そのアプレットが動作
を終了したかどうかに関する決定がなされる。言い換え
ると、そのアプレットに関連する各アクションが実行さ
れたか、または、以下に述べるように実行することを許
可されないか、のいずれかが決定される。アプレットの
実行が完了したことが決定されたら、アプレットを実行
するプロセスは終了する。アプレットの実行が終了して
いないこととが決定されると、ステップ６１４で、その
アプレットのアクションがセキュリティチェックを駆動
する（trigger）かどうかが決定される。すなわち、ス
テップ６１４では、特定のアプレットのアクションがユ
ーザのシステムのセキュリティに潜在的に害となる決定
されたアクションの範囲に納まるかどうかの決定がなさ
れる。そのようなアクションは、コンピュータ技術分野
の当業者、特に、コンピュータセキュリティ技術の当業
者とって、よく知られている。例として、ユーザのシス
テムセキュリティに潜在的に害であるアクションは、制
限されるものではないが、制約されていない書き込みア
クセス、システム資源の変更、及び他のシステムへのオ
ープンな伝達を含む。

【００８４】アプレットのアクションがセキュリティチ
ェックを駆動するなら、ステップ６１６において、ステ
ップ６０８でそのアプレット上に置かれた（place）ブ
ランドは前にユーザによって与えられたセキュリティ設
定、すなわち許可レベル、と比較される。ある実施例に
おいては、セキュリティ設定をアプレット上のブランド
と比較することは、ユーザインタフェースを介してユー
ザに相談することを伴う。そのような実施例において
は、ユーザはセキュリティ設定の迂回路（バイパス）を
正当と認めることができ、すなわち、ユーザはセキュリ
ティ設定を置き換えし（override）特定のアクションを
許し叉は否定することのいずれかができる。ステップ６
１６から、プロセスの制御は、アプレットアクションの
セキュリティが満足されているかどうかの決定であるス
テップ６１８に進む。セキュリティが満足されている
と、そのアプレット上に置かれたブランドがセキュリテ
ィ設定と好ましくは照合するという事実、または、ユー
ザがそのアプレットのアクションを正当と認めたという
事実、という理由（virtue）のいずれかに基づき、ステ
ップ６２０でそのアプレットのアクションが許される。
すると、プロセス制御はステップ６１０に戻り、そして
アプレットの実行が継続する。一方、ステップ６１８で
セキュリティが満足されていないと、アプレットのアク
ションはステップ６２２で許可されない。アプレットの
アクションが不許可にされた後、プロセス制御はアプレ
ットの実行が継続されるステップ６１０に戻る。

【００８５】アプレットのアクションがステップ６１４
でセキュリティチェックを駆動しないと、プロセスフロ
ーはアプレットが動作することを継続するステップ６１
０に戻る。プロセスフローは、アプレットが実行するこ
とを終了するか、または、現在のアプレットのアクショ
ンがセキュリティチェックを駆動するという決定がステ
ップ６１４でなされ、その場合に前述のようにステップ
６１８に進むか、のいずれかまで、ステップ６１０と６
１４の間のループを継続する。

【００８６】ステップ６０６における署名の妥当性のチ
ェックに戻って、署名が妥当でないという決定がされる
と、そのアーカイブは署名されていないとみなされて、
そしてプロセスのフローは、未署名のストリームを受け
入れるかどうかの決定がなされるステップ６２４へ進
む。記述された実施例では、未署名のストリームが受け
入れられるべきかどうかの決定が、ユーザインタフェー
スの使用を介してユーザによってなされる。例として、
署名が妥当でないけれどユーザがそのアプレットを動作
させるという決定をすることができることを表示する警
告の対話を用いて、ユーザを促すことができる。未署名
のストリームが受け入れられるべきだという決定がなさ
れると、プロセスフローはステップ６０８に移り、そこ
ではアプレットは適切であるとしてブランドが付けら
れ、例えばそのアプレットに関連づけられるストリーム
が未署名であることを示すためにブランド付けされる。
未署名のストリームが受け入れられるべきでないという
決定がステップ６２４でなされると、そのアプレットは
停止させられ、つまりステップ６２６において動作する
ことを禁止させられて、そしてアプレットの実行プロセ
スは終了する。

【００８７】次に、図８を参照して、コンピュータネッ
トワークにわたる接続を達成することに関連するステッ
プが、本発明の実施例に従って説明される。接続を成す
プロセス７００は、望まれている接続が定義されるステ
ップ７０２で始まる。記述された実施例では、望まれて
いる接続を定義することは、接続が望まれているサイト
のための汎用参照言語（ＵＲＬ）アドレスを特定するこ
とを伴う。接続が定義された後、ステップ７０４におい
て、接続が望まれているサイトへ通信が確立される。

【００８８】ステップ７０４から、プロセスの制御は、
サイトが安全な接続を要求しているかに関する判断が成
されるステップ７０６に進む。ある実施例では、安全な
接続は当業者によって理解されているように、セキュリ
ティソケット層（ＳＳＬ）越しの（over）接続である。
安全な接続が要求されていないことが決定されると、そ
のサイトへの接続がステップ７０８でなされ、そして接
続を達成するプロセスは完了する。

【００８９】サイトが安全な接続を要求していることが
決定されると、ステップ７１０において、そのサイトに
関連するサイト証明が妥当なものであるかどうかが決定
される。サイト証明が信頼されていないサイト、つまり
安心でないことが既知であるサイト、に関する妥当な証
明であることもあるから、妥当なサイト証明は必ずしも
信頼されたサイト証明ではないことを認識すべきであ
る。サイト証明が妥当であれば、プロセスフローはステ
ップ７１２に進み、それはそのサイト証明が信頼できる
ものかどうかの決である。そのサイト証明が信頼できる
という決定がなされると、プロセスフローは、そのサイ
トへの接続がなされるステップ７０８に進む。また、サ
イト証明が信頼できないという決定がなされると、ステ
ップ７１４で、そのサイトと（ステップ７０４で）達成
されていた通信は終了する。同様に、サイト証明が妥当
でないという判断がステップ７１０でなされると、その
サイトとの通信はステップ７１４で終了する。

【００９０】上述したような、本発明の実施例は、コン
ピュータシステムに格納されたデータを伴う様々なプロ
セスステップを採用している。これらのステップは物理
的な量に物理的な操作（manipulation）を要求するステ
ップである。通常、必ずしもそうではないが、これらの
量は、格納されたり、転送されたり、組み合わされた
り、比較されたり、その他の操作されることが可能な電
気的信号または磁気的信号の形態をとっている。ときに
は、主に一般の用法の理由に関しては、ビット、値、要
素、変数、文字、データ構造などとして、これらの信号
を参照することが便利である。しかしながら、このよう
な用語また類似の用語の全ては、適当な物理量と関連付
けられるべきものであり、またこれらの物理的な量に適
用される単なる便利なラベルに過ぎないことを覚えてお
くべきである。

【００９１】さらに、実行される操作はしばしば、発生
すること、算定する（caluculate）こと、計算する（co
mpute）こと、マーキング、無視すること、中止するこ
と、警報すること、検証すること、署名すること、送す
ること、受け取ること、創り出すこと、繰り返すこと、
識別すること、動作させること、比較することといった
用語で参照される。本発明の実施例の一部分を構成する
オペレーションのどれかにおいては、これらのオペレー
ションはマシンのオペレーションである。本発明の実施
例のオペレーションを実行する有効なマシンは、汎用の
デジタルコンピュータか、または他の類似のデバイスを
含む。どの場合でも、コンピュータを操作するオペレー
ションの方法と計算自体の方法との区別を心に抱くべき
である。本発明の１つの実施例は、電気的または他の物
理的な信号の処理においてコンピュータを操作し他の望
まれた物理的な信号を発生するための方法のステップに
関連する。

【００９２】本発明の実施例はまた、これらのオペレー
ションを実行するための装置（apparatus）に関連す
る。この装置は、要求された目的のために特別に構築さ
れたものであってもよいし、コンピュータ内に格納され
たコンピュータプログラムによって選択的に起動され
（activate）または再構成される汎用のコンピュータで
あってもよい。ここで提示されたプロセスは、本来、特
定のコンピュータまたは他の装置に関連していない。特
に、ここであげた技術に従って書かれたコンピュータプ
ログラムと共にさまざまな汎用のコンピュータを使用で
きるし、また、もっと特殊な装置を構築し要求された方
法のステップを実行することはもっと便利である。さま
ざまなこれらのマシンのための要求構造は、上述した記
述から明らかである。

【００９３】加えて、本発明の実施例は、さまざまなコ
ンピュータで実施される（implemented）オペレーショ
ンを実行するためのプログラム命令を含む、コンピュー
タで可読な媒体にも更に関連している。この媒体および
プログラム命令は、本発明の実施例の目的のために特に
設計されまた構築されたものでもよく、または、それら
はコンピュータソフトウェア技術分野の当業者によく知
られまた利用可能な種類のものであってもよい。コンピ
ュータで可読な媒体の例は、制限されるものではない
が、ハードディスク、フロッピー（登録商標）ディス
ク、及び磁気テープといった磁気的メディア、ＣＤ−Ｒ
ＯＭディスクといった光学的メディア、光ディスク（fl
optical disk）といった磁気光学的メディア、並びに読
み出し専用メモリデバイス（ＲＯＭ）及びランダムアク
セスメモリ（ＲＡＭ）といったプログラム命令を格納し
また実行するために特に配置されたハードウェアデバイ
スを含む。プログラム命令の例は、コンパイラによって
生成されるようなマシンコード、およびインタプリタを
使ってコンピュータによって実行できる高水準コードを
含むファイルを含む。

【００９４】前述の発明は理解を明晰にする目的のため
にある程度の詳しさで記述されたが、添付された特許請
求の範囲の内で、ある程度の変更や変形を行うことが可
能であることは明らかである。例えば、識別子や署名の
アルゴリズムは、輸出の法令に合わせて、さらに選択さ
れたり、変形されたり、使用を制限されたりする。これ
は、データファイルの世界的な交換を考慮するために、
ネットワーク化されたコンピュータにおいては特に真実
となる。

【００９５】加えて、検証の設定を利用するアプレット
を実行することに伴われるステップだけでなく、サイト
への接続を行うために伴われるステップもまた、順序変
更できる。本発明の精神や範囲を離れることなく、ステ
ップを削除したり追加したりすることが可能である。

【００９６】さらに、いくつかのセキュリティレベルの
みが記述されたが、特定のコンピュータシステムの要求
に合わせて、セキュリティレベルは大きく変化できるこ
とを理解するべきである。したがって、記述された実施
例は、例示的であって制限的でないものとしてとらえる
べきであり、この発明はここで与えられた詳細に制限さ
れるものではなく、以下の特許請求の範囲および等価物
の全範囲によって定義されるべきである。

【００９７】

【発明の効果】以上説明したように、データファイルの
真正性を保証しまた検証するための、特にコンピュータ
ネットワークにわたって転送されると意図されるデータ
ファイルについての、より効率的な方法、装置および生
産物が提供される。

【図面の簡単な説明】

【図１】図１は、ネットワーク化されたコンピュータ環
境を表す構成図である。

【図２】図２は、図１のネットワーク化されたコンピュ
ータ環境で使われる典型的なコンピュータシステムを表
わす構成図である。

【図３】図３（ａ）は、本発明の実施例で用いられる、
アーカイブのデータ構造の実施例であって、署名ファイ
ルが含まれている構成図である。図３（ｂ）は、本発明
の実施例で用いられる、署名ファイルの実施例を表わす
構成図である。

【図４】図４は、署名ファイルを持ったデータ構造で使
われる、本発明の実施例のフローチャートである。

【図５】図５は、本発明の実施例に合わせて、セキュリ
ティマネージャの中にセキュリティレベルをセッティン
グすることに関するステップを表わすフローチャートで
ある。

【図６】図６は、本発明の実施例に合わせた、高度セッ
ティングを表わすブラウザインターフェースをダイアグ
ラムで表現した構成図である。

【図７】図７は、本発明の実施例に合わせた、検証のセ
ッティングを用いるアプレットの実行に関するステップ
を表わすフローチャートである。

【図８】図８は、本発明の実施例に合わせた、コンピュ
ータネットワークを介した接続の確立に関するステップ
を表わすフローチャートである。

【符号の説明】

１０…計算環境、１２…送り手ユーザのコンピュータ、
１６…データリンク、１４…受け手ユーザのコンピュー
タ、２０…コンピュータシステム、２２…プロセッサ、
２４…主記憶、２６…２次記憶、２８…入出力デバイ
ス、３０…ネットワーク通信インターフェース、３２…
バス、３０２…署名ファイル、３０４…ファイル１、３
０６…ファイル２、３１４…ファイルｎ、３２０…識別
子ＩＤ、３２２…署名

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ベンジャミン ジェイ． レナウド アメリカ合衆国， カリフォルニア州， ウッドサイド， チャップマン ロード 152 (72)発明者 ジョン シー． パンプッチ アメリカ合衆国， カリフォルニア州， モーガンヒル， バレット アヴェニュー 735 (72)発明者 エイブリル イー． ホシーズ ウィルシ ャー アメリカ合衆国， カリフォルニア州， パロ アルト， エマーソン ストリート 1085 Ｆターム(参考） 5J104 AA09 LA06 NA12

Claims (16)

【特許請求の範囲】
1. 【請求項１】 データの真正性を検証するための、コン
   ピュータで実現される方法であって、 少なくとも１つのデータファイルと署名ファイルとを受
   け取る工程を備え、該データファイルと該署名ファイル
   は別個であり、該データファイルは識別子を含み、該署
   名ファイルは該データファイルのための該識別子と電子
   署名とを含み、 該署名ファイルの真正性を判断するためにコンピュータ
   システムを使用して署名ファイルの処理する工程を備え
   る、方法。
2. 【請求項２】 請求項１に記載された、データの真正性
   を検証するための、コンピュータで実現される方法であ
   って、 該コンピュータシステムを使用して、該データファイル
   内の該識別子と該署名ファイル内の該識別子を比較し該
   データファイルの真正性を判定する工程を更に含み、署
   名ファイルを処理する該工程は、該署名ファイルの真正
   性を判定するためにコンピュータシステムを使用して該
   電子署名を処理する工程、を更に含む方法。
3. 【請求項３】 請求項２に記載の方法であって、該デー
   タファイル内の該識別子と該署名ファイル内の該識別子
   が一致するとき、該データファイルを署名されたものと
   してマーキングする工程を、更に含む方法。
4. 【請求項４】 請求項２及び請求項３のいずれか１つに
   記載の方法であって、 該データファイルの該識別子と該署名ファイルの該識別
   子とが一致しないとき、該データファイルを無視するこ
   と、該データファイルのロードを中止すること、及びユ
   ーザに警告すること、の群から選択される少なくとも１
   つを、該データファイルの該識別子と該署名ファイルの
   該識別子とが一致しないとき、更に含む方法。
5. 【請求項５】 データの真正性を検証するための、コン
   ピュータで実現される請求項２〜請求項４のいずれか１
   つに記載された方法であって、 該コンピュータシステムを使用して該データファイル内
   の該識別子を該署名ファイルの該識別子と比較する該工
   程が、第２のデータファイルに対して繰り返される、方
   法。
6. 【請求項６】 先行する請求項のいずれか１つに記載さ
   れた、データの真正性を検証するための、コンピュータ
   で実現される方法であって、 該電子署名を処理する該工程は、署名アルゴリズムを用
   いて該電子署名を検証する工程を更に含み、該署名アル
   ゴリズムはキー付きのアルゴリズムであり、該署名アル
   ゴリズムはＤＳＡアルゴリズムとメッセージ・ダイジェ
   スト及びＲＳＡアルゴリズムの組み合わせとから成る群
   から選択される、方法。
7. 【請求項７】 先行する請求項のいずれか１つに記載さ
   れた、データの真正性を検証するための、コンピュータ
   で実現される方法であって、 該識別子は、１方向ハッシュ関数アルゴリズム及びサイ
   クリック冗長チェックサムアルゴリズムの一方を使用し
   て発生される、方法。
8. 【請求項８】 先行する請求項のおずれか１つに記載さ
   れた、データの真正性を検証するための、コンピュータ
   で実現される方法であって、 該データファイル内の該識別子を該署名ファイル内の該
   識別子と比較する工程は、１方向ハッシュアルゴリズム
   を用いて１つ以上の該識別子を発生する工程を、更に含
   む方法。
9. 【請求項９】 先行する請求項のいずれか１つに記載さ
   れた、データの真正性を検証するための、コンピュータ
   で実現される方法であって、 該データファイル内の該識別子を該署名ファイル内の該
   識別子と比較する該工程は、サイクリック冗長チェック
   サムアルゴリズムを用いて１つ以上の該識別子をチェッ
   クする工程を、更に含む方法。
10. 【請求項１０】 先行する請求項のいずれか１つに記載
    された、データの真正性を検証するための、コンピュー
    タで実現される方法であって、該データファイルと該署
    名ファイルとを受け取る該工程は、ネットワーク接続さ
    れたコンピュータ間で該データファイルと該署名ファイ
    ルを転送する工程を、更に含む方法。
11. 【請求項１１】 先行する請求項のいずれか１つに記載
    された、データの真正性を検証するための、コンピュー
    タで実現される方法であって、 該データファイル内の該識別子は、証明の認証、サイト
    証明、ソフトウェア配布者の識別子、及びサイト名のう
    ちの少なくとも１つを含み、 当該方法は、前記証明の認証、前記サイト証明、前記ソ
    フトウェア配布者の識別子、前記サイト名の少なくとも
    １つに対してセキュリティレベルの設定を含む、方法。
12. 【請求項１２】 請求項１１に記載された、データの真
    正性を検証するための、コンピュータで実現される方法
    であって、該データファイルを該コンピュータシステム
    にダウンロードする工程を含み、該データファイルがア
    プレットを備えるとき、そして該電子署名が検証される
    とき、当該方法は、検証されたものとして該アプレット
    にブランドを付ける（brand）工程、及び該アプレット
    を動作させる工程を含む、方法。
13. 【請求項１３】 請求項１２に記載された、データの真
    正性を検証するための、コンピュータで実現される方法
    であって、 該データファイルがアプレットを備えるとき、そして該
    署名が検証されないとき、当該方法は未署名のデータフ
    ァイルが該コンピュータ上での実行に対して受け入れ可
    能か否かを決定する工程、未署名のデータファイルが前
    記コンピュータ上での実行に対して受け入れ可能でない
    場合に該アプレットを停止する工程、を含む方法。
14. 【請求項１４】 請求項１３に記載された、データの真
    正性を検証するための、コンピュータで実現される方法
    であって、 該未署名のデータファイルが前記コンピュータ上での実
    行に対して受け入れ可能と決定されるとき、該アプレッ
    トにブランドを付ける工程、を含む方法。
15. 【請求項１５】 請求項１４に記載された、データの真
    正性を検証するための、コンピュータで実現される方法
    であって、 アプレットを動作させる工程と、該アプレットがセキュ
    リティチェックを駆動するアクションを実行するか否か
    を決定する工程とを含み、該セキュリティチェックは、
    該ブランドをセキュリティレベルと比較する工程、該セ
    キュリティチェックが満たされるとき該アクションを許
    容しかつセキュリティチェックが満足されない場合該ア
    クションを許容しない工程、を含む方法。
16. 【請求項１６】 先行する請求項のいずれか１つに記載
    された、データの真正性を検証するための、コンピュー
    タで実現される方法であって、 該コンピュータシステムを使用して遠隔のサイトとデー
    タ通信の接続を確立する工程と、該サイトが安全な接続
    を要求しているか否かを決定する工程と、安全な接続が
    要求されているという決定に応じて、該サイトに対する
    サイト証明が妥当であるか否かを決定する工程と、を含
    む方法。