JP2003258786A - 公開鍵証明書検索装置、公開鍵証明書検索方法、コンピュータプログラムおよびコンピュータプログラムを記録した記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 PKIで利用される多種の照合規則環境におい
て、確実に公開鍵証明書を検索することができる公開鍵
証明書検索装置を提供する。 【解決手段】 ディレクトリ１は、公開鍵証明書の検索
に際して業務システム３から公開鍵証明書の所有者名が
通知されると、公開鍵が認証局で登録された際および公
開鍵証明書の所有者名が検索ラベルに変換された際に使
用された照合規則を示す照合規則情報を照合規則情報管
理テーブル１２から抽出する。そして、照合規則情報に
応じた変換方法により前記ストリングを検索キーに変換
する。そして、検索キーで公開鍵証明書記憶部１１から
公開鍵証明書を検索する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、PKIで利用される
多種の照合規則環境において、確実に公開鍵証明書を検
索することができる公開鍵証明書検索装置、公開鍵証明
書検索方法、コンピュータプログラムおよびコンピュー
タプログラムを記録した記録媒体に関する。

【０００２】

【従来の技術】ＰＫＩ（公開鍵基盤：PublicKeyInfrast
ructure）においては、利用者の公開鍵を証明する公開
鍵証明書が認証局により発行され、ディレクトリといわ
れるコンピュータシステムに格納される。ディレクトリ
は、利用者が業務を行うとき利用される業務システムな
どからの検索要求に応じて公開鍵証明書を検索し、これ
を検索要求元に送信することで利用者の署名の検証を可
能としている。

【０００３】図４は、従来のディレクトリにおける公開
鍵証明書の検索方法を説明するための図である。なお、
図４では公開鍵証明書を証明書と略記する。

【０００４】認証局（ＣＡという）２は、利用者Ａの使
用する利用者端末４からの申請に基づき公開鍵証明書を
生成し、これを申請のあった利用者端末４へ送信する。
また、公開鍵証明書の所有者名を当該ＣＡにより採用さ
れた照合規則に応じた変換方法で公開鍵証明書の検索ラ
ベルに変換する。そして、この公開鍵証明書と検索ラベ
ルとをディレクトリ１００に送信しこれらを対応づけて
格納させる。

【０００５】なお、ＣＡ２が公開鍵証明書を登録する際
は、公開鍵証明書の所有者名となる利用者名と、予め登
録された登録者名を照合規則により名前変換した後に照
合して、その利用者名が新規登録者のものか既登録者の
ものかを判断する等の各種処理を行う。つまり、公開鍵
証明書の所有者名となる利用者名は、PrintableString
やUTF8Stringなどの様々なStringTypeをもつDistinguis
hedName(DN)で指定されるので、これらをＣＡにより採
用された照合規則による名前変換で統一した形式にして
から照合するのである。

【０００６】さて、利用者端末４の利用者が業務システ
ム３を利用する際に、利用者端末４から業務システム３
へ、この利用者Ａの署名を含む署名文書が送信され、ま
た、この利用名Ａが、この利用者の公開鍵証明書の所有
者名として通知される。業務システム３は、公開鍵証明
書の検索要求に際し、この所有者名を検索キーとしてデ
ィレクトリ１００に送信する。

【０００７】ディレクトリ１００は、この検索キーと同
一の検索ラベルに対応する公開鍵証明書を検索して業務
システム３へと送信する。

【０００８】業務システム３は、この公開鍵証明書で署
名文書の署名を検証することができ、その公開鍵証明書
のパス検証を行うことにより業務システム３の信頼する
公開鍵証明書にたどりついたときは、利用者端末４から
の利用を許可する。したがって、利用者端末４から業務
システム３が利用できるようになる。

【０００９】ところで、ＣＡにより採用される照合規則
の代表的なものは、Ｘ．５００照合とＲＦＣ２４５９照
合であり、両者はＲＦＣ２４５９で以下のように規定さ
れている。

【００１０】

【数１】 １）Ｘ．５００照合 ストリングタイプ区別：なし 大文字/小文字区別：なし スペース正規化：あり ２）ＲＦＣ２４５９照合 ストリングタイプ区別：あり 大文字/小文字区別：なし(PrintableStringの場合) あり(PrintableString以外の場合) スペース正規化：あり(PrintableStringの場合) なし(PrintableString以外の場合) ここで、 ストリングタイプ区別：あり：StringTypeが異なる場合に異なるものとみなす なし：StringTypeが異なる場合に同じものとみなす 大文字/小文字区別：あり：大文字と小文字の同じ文字を別の文字とみなす なし：大文字と小文字の同じ文字を同じ文字とみなす スペース正規化：あり：中間にある２つ以上のスペースが存在する場合、 １つとみなし、冒頭と末尾にあるスペースは削除する なし：何もしない（正規化しない） また、ＲＦＣ２２５３において、“値のDER形式の再構
成を要求する（つまりRFC2459に示されるストリング区
別を行うような）アプリケーションは、文字列でアクセ
スするべきではなく、１６進数表記でアクセスするべ
き”と規定されている。

【００１１】そのため、図４のＣＡ２がＸ．５００照合
を採用している場合や、そのＣＡがＲＦＣ２４５９照合
を採用しており、かつ発行した公開鍵証明書の所有者名
のストリングタイプがPrintableStringである場合は、
このＣＡ２は、前述した利用者Ａの公開鍵証明書の所有
者名を、文字列の”Ａ”という検索ラベルに変換してデ
ィレクトリ１００に格納する。そして、業務システム３
も同様に、ディレクトリ１００に対し、同じく文字列の
検索キー（”Ａ”）を送信する。なお、前述したように
ディレクトリ１００はこの検索キーで公開鍵証明書を検
索して業務システム３へと送信するので、業務システム
３ではこれにより署名文書の検証等を行うことができ
る。

【００１２】一方、ＲＦＣ２４５９照合を採用してお
り、かつ発行した公開鍵証明書の所有者名のストリング
タイプがPrintableString以外である場合は、公開鍵証
明書の所有者名を１６進数の検索ラベルに変換してディ
レクトリに格納し、かかる照合規則を採用する業務シス
テムはこのディレクトリに対し”文字列”の検索キーを
送信する。

【００１３】なお、文字列に関する大文字／小文字区
別、スペース正規化については、ＣＡによるディレクト
リへの格納時に行うことで照合規則による照合を可能と
している。

【００１４】

【発明が解決しようとする課題】しかしながら、上記し
た従来の公開鍵証明書の検索方法が適用されるPKIの環
境では、ＣＡにより採用された照合規則を業務システム
側で認識することができないため、業務システムにおい
て公開鍵証明書を取得できない場合がある。

【００１５】つまり、図４に示すように、Ｘ．５００照
合を採用するＣＡ２によりUTA8Stringのストリングタイ
プを持つ所有者名Ａから変換された文字列”Ａ”がディ
レクトリの検索ラベルであるときに、業務システム３が
ＲＦＣ２４５９照合に対応したアクセス方法により１６
進数の検索キー”１２０２００４１”（１２：UTF8Stri
ngを示すストリングタイプ、０２：ストリングの長さ、
００４１：ストリング”Ａ”）でディレクトリにアクセ
スした場合、このディレクトリ１００は、目的の公開鍵
証明書を検索できず、したがって業務システム３もこの
公開鍵証明書を取得できないことになる。

【００１６】そこで、本発明は上記従来の課題に鑑みな
されたものであり、その目的とするところは、PKIで利
用される多種の照合規則環境において、公開鍵が認証局
に登録された際に使用された照合規則を利用者（業務シ
ステムを含む）で認識することができないことによる課
題を解決し、確実に公開鍵証明書を検索することができ
る公開鍵証明書検索装置、公開鍵証明書検索方法、コン
ピュータプログラムおよびコンピュータプログラムを記
録した記録媒体を提供することにある。

【００１７】

【課題を解決するための手段】上記従来の課題を解決す
るために、請求項１の本発明は、公開鍵証明書と該公開
鍵証明書の所有者名から変換された検索ラベルとが対応
づけて格納される公開鍵証明書記憶手段を備え、当該公
開鍵証明書記憶手段の検索ラベルと検索キーとを照合し
て公開鍵証明書を検索する公開鍵証明書検索装置におい
て、公開鍵証明書の検索に際して与えられた当該公開鍵
証明書の所有者名を、公開鍵が認証局で登録された際お
よび当該登録後の公開鍵証明書の所有者名が公開鍵証明
書の検索ラベルに変換された際に使用された照合規則を
示す照合規則情報に応じた変換方法により検索キーに変
換する名前変換手段を備える公開鍵証明書検索装置をも
って解決手段とする。

【００１８】請求項２の本発明は、認証局から送信され
た照合規則情報が格納される照合規則情報記憶手段と、
検索キーへの変換に際して前記照合規則情報記憶手段か
ら照合規則情報を抽出する照合規則情報抽出手段とを備
える請求項１記載の公開鍵証明書検索装置をもって解決
手段とする。

【００１９】請求項３の本発明は、認証局から送信され
た照合規則情報と当該認証局を示すアカウント名とが対
応づけて格納される照合規則情報記憶手段と、検索キー
への変換に際して、前記所有者名とともに与えられたア
カウント名に対応する照合規則情報を前記照合規則情報
記憶手段から抽出する照合規則情報抽出手段とを備える
請求項１記載の公開鍵証明書検索装置をもって解決手段
とする。

【００２０】請求項４の本発明は、前記照合規則情報記
憶手段に認証局から送信された照合規則情報を設定する
照合規則情報設定手段を備える請求項２または３記載の
公開鍵証明書検索装置をもって解決手段とする。

【００２１】請求項５の本発明は、公開鍵証明書の検索
に際して与えられた当該公開鍵証明書の所有者名から複
数の照合規則情報のそれぞれに応じた変換方法で変換さ
れた検索キーのそれぞれで公開鍵証明書の検索を行う請
求項１ないし４のいずれかに記載の公開鍵証明書検索装
置をもって解決手段とする。

【００２２】請求項６の本発明は、前記公開鍵証明書記
憶手段から検索された公開鍵証明書を一時的に記憶する
公開鍵証明書スプール手段を備える請求項１ないし５の
いずれかに記載の公開鍵証明書検索装置をもって解決手
段とする。

【００２３】請求項７の本発明は、公開鍵証明書と該公
開鍵証明書の所有者名から変換された検索ラベルとが対
応づけて格納される公開鍵証明書記憶手段を備える公開
鍵証明書検索装置が、当該公開鍵証明書記憶手段の検索
ラベルと検索キーとを照合して公開鍵証明書を検索する
ときの公開鍵証明書検索方法において、公開鍵証明書の
検索に際して与えられた当該公開鍵証明書の所有者名
を、公開鍵が認証局で登録された際および当該登録後の
公開鍵証明書の所有者名が公開鍵証明書の検索ラベルに
変換された際に使用された照合規則を示す照合規則情報
に応じた変換方法により検索キーに変換する名前変換段
階を備える公開鍵証明書検索方法をもって解決手段とす
る。

【００２４】請求項８の本発明は、認証局から送信され
た照合規則情報が格納された照合規則情報記憶手段から
照合規則情報を抽出する照合規則情報抽出段階を備える
請求項７記載の公開鍵証明書検索方法をもって解決手段
とする。

【００２５】請求項９の本発明は、認証局から送信され
た照合規則情報を格納するための照合規則情報記憶手段
に認証局から送信された照合規則情報と当該認証局を示
すアカウント名とが対応づけて格納されているときに、
検索キーへの変換に際して、前記所有者名とともに与え
られたアカウント名に対応する照合規則情報を前記照合
規則情報記憶手段から抽出する照合規則情報抽出段階を
備える請求項７記載の公開鍵証明書検索方法をもって解
決手段とする。

【００２６】請求項１０の本発明は、前記照合規則情報
記憶手段に認証局から送信された照合規則情報を設定す
る照合規則情報設定段階を備える請求項８または９記載
の公開鍵証明書検索方法をもって解決手段とする。

【００２７】請求項１１の本発明は、公開鍵証明書の所
有者名から複数の照合規則情報のそれぞれに応じた変換
方法で変換された検索キーのそれぞれで公開鍵証明書の
検索を行う請求項７ないし１０のいずれか記載の公開鍵
証明書検索方法をもって解決手段とする。

【００２８】請求項１２の本発明は、前記公開鍵証明書
記憶手段から検索された公開鍵証明書を一時的に記憶す
る公開鍵証明書スプール段階を備える請求項７ないし１
１のいずれかに記載の公開鍵証明書検索方法をもって解
決手段とする。

【００２９】請求項１３の本発明は、請求項７ないし１
２のいずれかに記載の方法を実行させるコンピュータプ
ログラムをもって解決手段とする。

【００３０】請求項１４の本発明は、請求項７ないし１
２のいずれかに記載の方法を実行させるコンピュータプ
ログラムを記録した記録媒体をもって解決手段とする。

【００３１】請求項１または請求項７の本発明によれ
ば、公開鍵証明書の検索に際して与えられた当該公開鍵
証明書の所有者名を、公開鍵が認証局で登録された際お
よび当該登録後の公開鍵証明書の所有者名が公開鍵証明
書の検索ラベルに変換された際に使用された照合規則を
示す照合規則情報に応じた変換方法により検索キーに変
換する名前変換手段／段階を備えるので、PKIで利用さ
れる多種の照合規則環境において、確実に公開鍵証明書
を検索することができる。

【００３２】請求項２の本発明によれば、認証局から送
信された照合規則情報が格納される照合規則情報記憶手
段と、検索キーへの変換に際して照合規則情報記憶手段
から照合規則情報を抽出する照合規則情報抽出手段とを
備えるので、確実に公開鍵証明書を検索することができ
る。

【００３３】請求項８の本発明によれば、認証局から送
信された照合規則情報が格納された照合規則情報記憶手
段から照合規則情報を抽出する照合規則情報抽出段階を
備えるので、確実に公開鍵証明書を検索することができ
る。

【００３４】請求項３の本発明は、認証局から送信され
た照合規則情報と当該認証局を示すアカウント名とが対
応づけて格納される照合規則情報記憶手段と、検索キー
への変換に際して、所有者名とともに与えられたアカウ
ント名に対応する照合規則情報を照合規則情報記憶手段
から抽出する照合規則情報抽出手段を備えるので、公開
鍵証明書を発行した認証局をアカウント名で指定してな
された検索要求に対して、公開鍵証明書検索装置では他
の認証局から発行された公開鍵証明書を検索する処理が
行われなくなり、その結果、目的の公開鍵証明書を迅速
に検索することができる。

【００３５】請求項９の本発明によれば、認証局から送
信された照合規則情報を格納するための照合規則情報記
憶手段に認証局から送信された照合規則情報と当該認証
局を示すアカウント名とが対応づけて格納されていると
きに、検索キーへの変換に際して、所有者名とともに与
えられたアカウント名に対応する照合規則情報を照合規
則情報記憶手段から抽出する照合規則情報抽出段階を備
えるので、公開鍵証明書を発行した認証局をアカウント
名で指定してなされた検索要求に対して、公開鍵証明書
検索装置では他の認証局から発行された公開鍵証明書を
検索する処理が行われなくなり、その結果、目的の公開
鍵証明書を迅速に検索することができる。

【００３６】請求項４または請求項１０の本発明によれ
ば、照合規則情報記憶手段に認証局から送信された照合
規則情報を設定する照合規則情報設定手段／段階を備え
るので、送信された照合規則情報を自動的に照合規則情
報記憶手段に設定することができる。

【００３７】請求項５または請求項１１の本発明によれ
ば、公開鍵証明書の検索に際して与えられた当該公開鍵
証明書の所有者名から複数の照合規則情報のそれぞれに
応じた変換方法で変換された検索キーのそれぞれで公開
鍵証明書の検索を行うので、確実に公開鍵証明書を検索
することができ、複数の公開鍵証明書を検索することも
できる。

【００３８】請求項６または請求項１２の本発明によれ
ば、公開鍵証明書記憶手段から検索された公開鍵証明書
を一時的に記憶する公開鍵証明書スプール手段／段階を
備えるので、検索した公開鍵証明書を公開鍵証明書の検
索要求元に逐一送信するという煩雑な処理が不要とな
る。

【００３９】請求項１３の本発明によれば、PKIで利用
される多種の照合規則環境において、公開鍵証明書を確
実に検索することができるコンピュータプログラムを流
通させることができる。

【００４０】請求項１４の本発明によれば、PKIで利用
される多種の照合規則環境において、公開鍵証明書を確
実に検索することができるコンピュータプログラムを記
録した記録媒体を流通させることができる。

【００４１】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。図１は、本発明の実施の形態に係
る公開鍵証明書検索装置の構成とこの装置を含んで構成
されたネットワークを示す図である。図１において公開
鍵証明書検索装置（以下ディレクトリという）１、認証
局（以下ＣＡと略記する）２ＡおよびＣＡ２Ｂ、業務シ
ステム３は、共に演算装置と記憶装置とを備えるコンピ
ュータシステムであり、ネットワークとして相互通信を
可能に構成されている。また、図１の利用者端末４は業
務システム３を利用しようとする利用者名Ａの利用者
（便宜的に利用者Ａのように記す）により使用されるも
のであり、演算装置、記憶装置、表示装置および入力装
置を備える。なお、記憶装置はハードディスク装置や半
導体メモリにより構成される。入力装置はキーボードや
マウスである。表示装置はＣＲＴや液晶により構成され
る。なお、公開鍵証明書は単に証明書ともいい、図面に
おいてはこの略称で示すものとする。

【００４２】ディレクトリ１は、公開鍵証明書記憶部１
１、照合規則情報管理テーブル１２、照合規則情報設定
部１３、照合規則情報抽出部１４、名前変換部１５、公
開鍵証明書検索部１６及び公開鍵証明書スプール部１７
を備える。

【００４３】公開鍵証明書記憶部１１は、公開鍵証明書
と該公開鍵証明書を検索するための検索ラベルとが対応
づけて格納される記憶領域である。照合規則情報管理テ
ーブル１２は、ＣＡ２ＡやＣＡ２Ｂが公開鍵を登録する
際および当該登録後の公開鍵証明書の所有者名を公開鍵
証明書の検索ラベルに変換する際に使用する照合規則を
示す照合規則情報が設定される記憶領域である。照合規
則情報設定部１３は、ＣＡ２ＡやＣＡ２Ｂから送信され
たアカウント名と照合規則情報を照合規則情報管理テー
ブル１２に設定する処理部である。照合規則情報抽出部
１４は、照合規則情報管理テーブル１２に設定された照
合規則情報を抽出する処理部である。

【００４４】名前変換部１５は、公開鍵証明書の検索に
際して与えられた当該公開鍵証明書の所有者名を照合規
則情報抽出部１４が抽出した照合規則情報に応じた変換
方法により検索キーに変換する処理部である。なお、公
開鍵証明書の所有者名は、DistinguishedName(DN)で指
定される。DNは、名前のストリング（String)だけでな
く「ストリングタイプ(StringType)」を含み、例えばPr
intableStringやUTF8Stringを区別できるようになって
いる。

【００４５】公開鍵証明書検索部１６は、名前変換部１
５による所有者名からの変換処理で得られた検索キーと
公開鍵証明書記憶部１１の検索ラベルとを照合して公開
鍵証明書記憶部１１から公開鍵証明書を検索する処理部
である。

【００４６】公開鍵証明書スプール部１７は、公開鍵証
明書検索部１６により検索された公開鍵証明書を一時的
に記憶する処理部および記憶領域からなるブロックであ
る。

【００４７】なお、ディレクトリ１は、各種情報を送受
信する通信部（図示せず）を備え、通信相手からの情報
を受信してディレクトリ１内での処理に使用し、またデ
ィレクトリ１内で検索された公開鍵証明書等を通信相手
に送信することができるようになっている。また、ＣＡ
２ＡやＣＡ２Ｂから送信された公開鍵証明書と検索ラベ
ルとを対応づけて公開鍵証明書記憶部１１に格納する処
理部（図示せず）を備える。

【００４８】また、ディレクトリ１の各処理部は、コン
ピュータプログラムが該プログラムを記憶した記憶媒体
から当該ディレクトリ１に読み込まれて該システムの演
算処理装置で実行されることにより実現されるものであ
る。

【００４９】次に、実施の形態の動作を説明する。図２
は、ディレクトリ１の事前処理を示す図である。ＣＡ２
ＡやＣＡ２Ｂからは、該各ＣＡのアカウント名と、該各
ＣＡでの公開鍵登録の際および当該登録後の公開鍵証明
書の所有者名を公開鍵証明書の検索ラベルに変換する際
に使用する照合規則を示す照合規則情報が送信される。
ディレクトリ１が送信されたアカウント名と照合規則情
報を受信すると、照合規則情報設定部１３が、これらを
照合規則情報管理テーブル１２に設定する（ステップＳ
１）。

【００５０】照合規則情報は、具体的には、”ＲＦＣ２
４５９”や”Ｘ．５００”等のキャラクタコードであ
る。前者は、”ＲＦＣ２４５９照合”という照合規則を
示しており、後者は、”Ｘ．５００照合”という照合規
則を示している。また、照合規則情報としては、日本語
特有の濁音や長音を正規化する照合規則（具体的に
は、”エヌティーティー”を”エヌティティ”に正規化
するといったかな文字の照合規則）などの任意の照合規
則を示すものを設定することが可能である。

【００５１】なお、ＣＡ２ＡやＣＡ２Ｂが公開鍵登録の
際に照合規則を使用するということは、公開鍵証明書の
所有者名となる利用者名と、予め登録された登録者名と
を照合規則による名前変換を行った後に照合して、その
利用者名が新規登録者のものか既登録者のものかを判断
する等の各種処理を行うということである。つまり、公
開鍵証明書の所有者名となる利用者名は、PrintableStr
ingやUTF8Stringなどの様々なStringTypeをもつDisting
uishedName(DN)で指定されるので、これらを照合規則に
よる名前変換で統一した形式にしてから照合するのであ
る。

【００５２】ここでは、ＣＡ２Ａは、公開鍵登録と検索
ラベルへの変換の際に”ＲＦＣ２４５９照合”を使用し
ており、この照合規則を示す照合規則情報”ＲＦＣ２４
５９”が送信されて、これがＣＡ２Ａのアカウント名”
ＣＡ−Ａ”に対応づけて照合規則情報管理テーブル１２
に設定されたこととする。また、ＣＡ２Ｂは、公開鍵登
録と検索ラベルへの変換の際に”Ｘ．５００”を使用し
ており、この照合規則を示す照合規則情報”Ｘ．５０
０”が送信されて、これがＣＡ２Ｂのアカウント名”Ｃ
Ａ−Ｂ”に対応づけて照合規則情報管理テーブル１２に
設定されたこととする。

【００５３】このような事前処理が行われた後には、Ｃ
Ａ２ＡやＣＡ２Ｂは、該それぞれの認証局が発行した公
開鍵証明書をディレクトリ１に送信し、ディレクトリ１
がこれを公開鍵証明書記憶部１１に格納する。

【００５４】ここでは、業務システム３を利用しようと
している利用者Ａの公開鍵証明書（公開鍵証明書Ａ０１
とする）がＣＡ２Ｂから発行され、照合規則”Ｘ．５０
０”に応じた変換方法により公開鍵証明書Ａ０１の所有
者名、つまり利用者名Ａから変換された検索ラベルであ
る文字列”Ａ”に対応づけて公開鍵証明書記憶部１１に
格納されたこととする。なお、照合規則”Ｘ．５００”
に応じた変換方法による変換で得られる検索ラベルは文
字列であるので、検索ラベルは結果的に利用者名に等し
くなっている。また、かかる公開鍵証明書には、所有者
名ＡがSubjectとして、さらに発行者名、つまりＣＡ２
のDNがIssuerとして含まれている。

【００５５】次に、図１を参照して、ディレクトリ１に
公開鍵証明書の検索キーが送信されるまでの経過を説明
する。

【００５６】利用者端末４の利用者が業務システム３を
利用する際に、利用者端末４から業務システム３へ、こ
の利用者Ａの署名を含む署名文書が送信され、また、こ
の利用者名Ａが、この利用者の公開鍵証明書の所有者名
として通知される。

【００５７】ここでは、利用者Ａの公開鍵証明書の所有
者名”１２０２００４１”（１２：UTF8Stringを示すス
トリングタイプ、０２：ストリングの長さ、００４１：
ストリング”Ａ”）が通知されたこととする。

【００５８】業務システム３は、利用者端末４から送信
された署名文書の署名を検証するために、利用者端末４
から通知された所有者名を公開鍵証明書の検索キーとし
てディレクトリ１に送信する。

【００５９】図３は、ディレクトリ１の公開鍵証明書検
索処理を示す図である。業務システム３からの公開鍵証
明書の検索要求に際して、業務システム３からディレク
トリ１に公開鍵証明書の所有者名が通知される（ステッ
プＳ３）と、照合規則情報抽出部１４は、照合規則情報
管理テーブル１２から照合規則情報を抽出する（ステッ
プＳ５）。照合規則情報抽出部１４は、検索要求元から
通知された所有者名にアカウント名（ＣＡ−ＡまたはＣ
Ａ−Ｂ）が付されている場合は、照合規則情報管理テー
ブル１２から対応する照合規則情報（”ＲＦＣ２４５
９”または”Ｘ．５００”）を抽出する。そのため、公
開鍵証明書を発行した認証局をアカウント名で指定して
なされた検索要求に対して、他の認証局から発行された
公開鍵証明書を検索する処理が行われなくなり、その結
果、目的の公開鍵証明書を迅速に検索することができ
る。一方、アカウント名が付されていない場合は、照合
規則情報管理テーブル１２内の全照合規則情報を抽出す
る。したがって、例では、照合規則情報”ＲＦＣ２４５
９”と照合規則情報”Ｘ．５００”とが抽出される。

【００６０】次に、名前変換部１５が、業務システム３
から通知された所有者名を、抽出された照合規則情報が
示す照合規則に応じた変換方法により検索キーに変換す
る（ステップＳ７）。より詳しくは、抽出された照合規
則情報が”Ｘ．５００”であるときは、業務システム３
から通知された所有者名のストリングを文字列に変換す
る。抽出された照合規則情報が”ＲＦＣ２４５９”であ
りかつ業務システム３から通知された所有者名のストリ
ングタイプがPrintableStringの場合は、当該所有者名
のストリングを文字列に変換する。抽出された照合規則
情報が”ＲＦＣ２４５９”でありかつ業務システム３か
ら通知された所有者名のストリングタイプがPrintableS
tring以外の場合は、当該所有者名のストリングを１６
進数に変換する。

【００６１】例では、所有者名のストリングタイプがPr
intableString以外（１２：UTF8Stringを示す）である
ので、当該所有者名”１２０２００４１”は、照合規則
情報”ＲＦＣ２４５９”が示す照合規則”ＲＦＣ２４５
９照合”に応じた変換方法で１６進数の検索キー”１２
０２００４１”に変換される。また所有者名のストリン
グ”１２０２００４１”は、照合規則情報”Ｘ．５０
０”が示す照合規則”Ｘ．５００照合”に応じた変換方
法で文字列の検索キー”Ａ”に変換される。

【００６２】次に、公開鍵証明書検索部１６が、ステッ
プＳ７で得られた検索キーの１つを使用して公開鍵証明
書記憶部１１から公開鍵証明書を検索する（ステップＳ
９）。例では、一方の検索キー”１２０２００４１”と
公開鍵証明書記憶部１１の検索ラベルとを照合して公開
鍵証明書を検索する。公開鍵証明書記憶部１１には検索
キー”１２０２００４１”と同一の検索ラベルが存在し
ないので、ここでは、公開鍵証明書は検索されないが、
仮に利用者Ａが、照合規則”ＲＦＣ２４５９”を採用す
るＣＡ２Ａにも公開鍵の登録を行い、その後の処理が行
われていれば、ＣＡ２Ａから発行された公開鍵証明書が
検索される。

【００６３】次に、公開鍵証明書スプール部１７が、ス
テップＳ９で検索された公開鍵証明書を公開鍵証明書ス
プール部１７内の記憶領域に記憶（スプール）する（ス
テップＳ１１）。例では、ステップＳ９で公開鍵証明書
が検索できなかったが、仮に利用者Ａが、照合規則”Ｒ
ＦＣ２４５９”を採用するＣＡ２Ａにも公開鍵の登録を
行い、その後の処理を経て、ＣＡ２Ａから発行された公
開鍵証明書が検索されれば、その公開鍵証明書が公開鍵
証明書スプール部１７にスプールされる。

【００６４】次に、公開鍵証明書検索部１６は、ステッ
プＳ７で得られた検索キーの全てを用いて公開鍵証明書
の検索を行ったか否かを判定し、ここでＮＯと判定した
ときは、ステップＳ９へ戻り、検索に使用してい検索キ
ーの１つを使用して公開鍵証明書記憶部１１から公開鍵
証明書を検索する。

【００６５】例では、他方の検索キー”Ａ”と公開鍵証
明書記憶部１１の検索ラベルとを照合して公開鍵証明書
を検索する。公開鍵証明書記憶部１１には検索キー”
Ａ”と同一の検索ラベルが存在するので、ここでは、そ
の検索ラベル”Ａ”に対応づけて格納された公開鍵証明
書、つまり公開鍵証明書Ａ０１が検索される。そして、
公開鍵証明書スプール部１７が、検索された公開鍵証明
書Ａ０１を公開鍵証明書スプール部１７内の記憶領域に
スプールする。

【００６６】そして、ステップＳ１３では、公開鍵証明
書検索部１６は、ステップＳ７で得られた検索キーの全
てに関して公開鍵証明書の検索を行ったか否かを判定す
るが、例では、２つの検索キーを用いての公開鍵証明書
の検索がそれぞれ終了しているので、ＹＥＳと判定され
てステップＳ１５へ制御が移行する。

【００６７】ステップＳ１５では、ディレクトリ１が、
公開鍵証明書スプール部１７にスプールされた公開鍵証
明書をその検索要求元に送信する。例では、ディレクト
リ１は公開鍵証明書スプール部１７にスプールされた公
開鍵証明書Ａ０１を業務システム３に送信する。

【００６８】業務システム３は、この公開鍵証明書Ａ０
１で、利用者端末４から送信された署名文書の署名を検
証することができ、その公開鍵証明書Ａ０１のパス検証
を行うことにより業務システム３の信頼する公開鍵証明
書にたどりついたときは、利用者端末４からの利用を許
可する。したがって、このような処理が行われることに
より利用者端末４から業務システム３が利用できるよう
になる。

【００６９】以上説明したように、本実施の形態のディ
レクトリ１は公開鍵証明書と該公開鍵証明書の所有者名
から変換された検索ラベルとが対応づけて格納される公
開鍵証明書記憶手段（公開鍵証明書記憶部１１）を備
え、当該公開鍵証明書記憶手段の検索ラベルと検索キー
とを照合して公開鍵証明書を検索する公開鍵証明書検索
装置であり、検索要求に応じて公開鍵証明書検索方法を
実行することにより公開鍵証明書記憶手段から公開鍵証
明書を検索する。

【００７０】この公開鍵証明書検索装置（１）／公開鍵
証明書検索方法は、公開鍵証明書の検索に際して与えら
れた当該公開鍵証明書の所有者名を、公開鍵が認証局で
登録された際および当該登録後の公開鍵証明書の所有者
名が公開鍵証明書の検索ラベルに変換された際に使用さ
れた照合規則を示す照合規則情報に応じた変換方法によ
り検索キーに変換する名前変換手段（名前変換部１５）
／名前変換段階（ステップＳ７）を備えるので、PKIで
利用される多種の照合規則環境において、確実に公開鍵
証明書を検索することができる。

【００７１】なお、ここにいう検索とは、公開鍵証明書
記憶部１１からの検索として把握してもよいし、また検
索要求元への公開鍵証明書の送信までを含めた技術思想
として把握してもよい。

【００７２】また、公開鍵証明書検索装置（１）は、認
証局から送信された照合規則情報が格納される照合規則
情報記憶手段（照合規則情報管理テーブル１２）と、検
索キーへの変換に際して照合規則情報記憶手段（１２）
から照合規則情報を抽出する照合規則情報抽出手段（照
合規則情報抽出部１４）とを備え、公開鍵証明書検索方
法は、認証局から送信された照合規則情報が格納された
照合規則情報記憶手段（１２）から照合規則情報を抽出
する照合規則情報抽出段階（ステップＳ５）を備えるの
で、確実に公開鍵証明書を検索することができる。

【００７３】また、公開鍵証明書検索装置（１）は、認
証局から送信された照合規則情報と当該認証局を示すア
カウント名とが対応づけて格納される照合規則情報記憶
手段（１２）と、検索キーへの変換に際して、所有者名
とともに与えられたアカウント名に対応する照合規則情
報を照合規則情報記憶手段（１２）から抽出する照合規
則情報抽出手段（１４）を備え、公開鍵証明書検索方法
は、認証局から送信された照合規則情報を格納するため
の照合規則情報記憶手段（１２）に認証局から送信され
た照合規則情報と当該認証局を示すアカウント名とが対
応づけて格納されているときに、検索キーへの変換に際
して、所有者名とともに与えられたアカウント名に対応
する照合規則情報を照合規則情報記憶手段（１２）から
抽出する照合規則情報抽出段階（ステップＳ５）を備え
るので、公開鍵証明書を発行した認証局をアカウント名
で指定してなされた検索要求に対して、公開鍵証明書検
索装置では他の認証局から発行された公開鍵証明書を検
索する処理が行われなくなり、その結果、目的の公開鍵
証明書を迅速に検索することができる。

【００７４】また、公開鍵証明書検索装置（１）／公開
鍵証明書検索方法によれば、照合規則情報記憶手段（１
２）に認証局から送信された照合規則情報を設定する照
合規則情報設定手段（照合規則情報設定部１３）／照合
規則情報設定段階（ステップＳ１）を備えるので、送信
された照合規則情報を自動的に照合規則情報記憶手段
（１２）に設定することができる。

【００７５】また、公開鍵証明書検索装置（１）／公開
鍵証明書検索方法によれば、公開鍵証明書の検索に際し
て与えられた当該公開鍵証明書の所有者名から複数の照
合規則情報のそれぞれに応じた変換方法で変換された検
索キーのそれぞれで公開鍵証明書の検索を行うので、確
実に公開鍵証明書を検索することができ、複数の公開鍵
証明書を検索することもできる。

【００７６】また、公開鍵証明書検索装置（１）／公開
鍵証明書検索方法によれば、公開鍵証明書記憶手段（１
１）から検索された公開鍵証明書を一時的に記憶する公
開鍵証明書スプール手段（公開鍵証明書スプール部１
７）／公開鍵証明書スプール段階（ステップＳ１１）を
備えるので、検索した公開鍵証明書を公開鍵証明書の検
索要求元に逐一送信するという煩雑な処理が不要とな
る。

【００７７】なお、上記説明した処理を公開鍵証明書検
索装置に実行させるコンピュータプログラムは、半導体
メモリ、磁気ディスク、光ディスク、光磁気ディスク、
磁気テープなどのコンピュータ読み取り可能な記録媒体
に記録したり、インターネットなどの通信網を介して伝
送させて、広く流通させることができる。

【００７８】

【発明の効果】以上説明したように、本発明によれば、
公開鍵証明書の検索に際して与えられた所有者名を、公
開鍵が認証局で登録された際および当該登録後の公開鍵
証明書の所有者名が公開鍵証明書の検索ラベルに変換さ
れた際に使用された照合規則を示す照合規則情報に応じ
た変換方法により検索キーに変換するので、PKIで利用
される多種の照合規則環境において、公開鍵証明書を確
実に検索することができるようになり、利便性を格段に
向上させることができる。

【図面の簡単な説明】

【図１】本発明の実施の形態に係る公開鍵証明書検索装
置の構成とこの装置を含んで構成されたネットワークを
示す図である。

【図２】ディレクトリ１の事前処理を示す図である。

【図３】ディレクトリ１の公開鍵証明書検索処理を示す
図である。

【図４】従来のディレクトリにおける公開鍵証明書の検
索方法を説明するための図である。

【符号の説明】

１ 公開鍵証明書検索装置（ディレクトリ） ２Ａ，２Ｂ 認証局（ＣＡ） ３ 業務システム ４ 利用者端末 １１ 公開鍵証明書記憶部 １２ 照合規則情報管理テーブル １３ 照合規則情報設定部 １４ 照合規則情報抽出部 １５ 名前変換部 １６ 公開鍵証明書検索部 １７ 公開鍵証明書スプール部 Ａ０１ 公開鍵証明書

───────────────────────────────────────────────────── フロントページの続き (72)発明者 政本 廣志 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5J104 AA16 EA01 EA05 MA05 NA02

Claims (14)

【特許請求の範囲】
1. 【請求項１】 公開鍵証明書と該公開鍵証明書の所有者
   名から変換された検索ラベルとが対応づけて格納される
   公開鍵証明書記憶手段を備え、当該公開鍵証明書記憶手
   段の検索ラベルと検索キーとを照合して公開鍵証明書を
   検索する公開鍵証明書検索装置において、 公開鍵証明書の検索に際して与えられた当該公開鍵証明
   書の所有者名を、公開鍵が認証局で登録された際および
   当該登録後の公開鍵証明書の所有者名が公開鍵証明書の
   検索ラベルに変換された際に使用された照合規則を示す
   照合規則情報に応じた変換方法により検索キーに変換す
   る名前変換手段を備える公開鍵証明書検索装置。
2. 【請求項２】 認証局から送信された照合規則情報が格
   納される照合規則情報記憶手段と、 検索キーへの変換に際して前記照合規則情報記憶手段か
   ら照合規則情報を抽出する照合規則情報抽出手段とを備
   える請求項１記載の公開鍵証明書検索装置。
3. 【請求項３】 認証局から送信された照合規則情報と当
   該認証局を示すアカウント名とが対応づけて格納される
   照合規則情報記憶手段と、 検索キーへの変換に際して、前記所有者名とともに与え
   られたアカウント名に対応する照合規則情報を前記照合
   規則情報記憶手段から抽出する照合規則情報抽出手段と
   を備える請求項１記載の公開鍵証明書検索装置。
4. 【請求項４】 前記照合規則情報記憶手段に認証局から
   送信された照合規則情報を設定する照合規則情報設定手
   段を備える請求項２または３記載の公開鍵証明書検索装
   置。
5. 【請求項５】 公開鍵証明書の検索に際して与えられた
   当該公開鍵証明書の所有者名から複数の照合規則情報の
   それぞれに応じた変換方法で変換された検索キーのそれ
   ぞれで公開鍵証明書の検索を行う請求項１ないし４のい
   ずれかに記載の公開鍵証明書検索装置。
6. 【請求項６】 前記公開鍵証明書記憶手段から検索され
   た公開鍵証明書を一時的に記憶する公開鍵証明書スプー
   ル手段を備える請求項１ないし５のいずれかに記載の公
   開鍵証明書検索装置。
7. 【請求項７】 公開鍵証明書と該公開鍵証明書の所有者
   名から変換された検索ラベルとが対応づけて格納される
   公開鍵証明書記憶手段を備える公開鍵証明書検索装置
   が、当該公開鍵証明書記憶手段の検索ラベルと検索キー
   とを照合して公開鍵証明書を検索するときの公開鍵証明
   書検索方法において、 公開鍵証明書の検索に際して与えられた当該公開鍵証明
   書の所有者名を、公開鍵が認証局で登録された際および
   当該登録後の公開鍵証明書の所有者名が公開鍵証明書の
   検索ラベルに変換された際に使用された照合規則を示す
   照合規則情報に応じた変換方法により検索キーに変換す
   る名前変換段階を備える公開鍵証明書検索方法。
8. 【請求項８】 認証局から送信された照合規則情報が格
   納された照合規則情報記憶手段から照合規則情報を抽出
   する照合規則情報抽出段階を備える請求項７記載の公開
   鍵証明書検索方法。
9. 【請求項９】 認証局から送信された照合規則情報を格
   納するための照合規則情報記憶手段に認証局から送信さ
   れた照合規則情報と当該認証局を示すアカウント名とが
   対応づけて格納されているときに、検索キーへの変換に
   際して、前記所有者名とともに与えられたアカウント名
   に対応する照合規則情報を前記照合規則情報記憶手段か
   ら抽出する照合規則情報抽出段階を備える請求項７記載
   の公開鍵証明書検索方法。
10. 【請求項１０】 前記照合規則情報記憶手段に認証局か
    ら送信された照合規則情報を設定する照合規則情報設定
    段階を備える請求項８または９記載の公開鍵証明書検索
    方法。
11. 【請求項１１】 公開鍵証明書の所有者名から複数の照
    合規則情報のそれぞれに応じた変換方法で変換された検
    索キーのそれぞれで公開鍵証明書の検索を行う請求項７
    ないし１０のいずれかに記載の公開鍵証明書検索方法。
12. 【請求項１２】 前記公開鍵証明書記憶手段から検索さ
    れた公開鍵証明書を一時的に記憶する公開鍵証明書スプ
    ール段階を備える請求項７ないし１１のいずれかに記載
    の公開鍵証明書検索方法。
13. 【請求項１３】 請求項７ないし１２のいずれかに記載
    の方法を実行させるコンピュータプログラム。
14. 【請求項１４】 請求項７ないし１２のいずれかに記載
    の方法を実行させるコンピュータプログラムを記録した
    記録媒体。