JP2007074660A - アクセス制御システム - Google Patents

Abstract

【課題】認証証明書発行部と認可証明書発行部とを、別々のネットワーク上に配置できるようにし、リソース管理コスト、リソース管理エリアを分散化する。
【解決手段】ネットワーク内のノードを認証し認証証明書を発行する認証証明書発行サーバ２０１と、それとは異なるネットワークに属し、認証証明書によって認証されたノードが要求するサービスの認可証明書を発行する認可証明書発行サーバ２０２、２０３とを含むシステムにおいて、サービス要求ノード２０６が移動し、それらネットワークを接続先とすることにより、それらサーバ同士の間で秘密鍵を共有し、かつ、認証証明書発行サーバ２０１とサービス提供ノード群２０４、２０５との間で秘密鍵を共有する。
【効果】移動可能なノード２０６を介することにより、直接接続できない認証証明書発行サーバ２０１と認可証明書発行サーバ２０２、２０３とが、通信することができる。
【選択図】 図１

Description

本発明はアクセス制御システムに関し、特に複数のノードが、互いに隣接するノードとの間に確立する接続に基づいて構成されるネットワークにおける、認証証明書及び認可証明書を用いた分散アクセス制御システムに関する。

従来の分散認証方式、分散アクセス制御方式について説明する。
非特許文献１のような従来の分散認証方式、分散アクセス制御方式では、サービスを利用するノードが、証明書発行サーバに認証証明書を要求する。ノードは、取得した認証証明書と利用したいサービスとを証明書発行サーバに提示する。こうすることで、任意のサービス利用のための認可証明書が発行される。取得した認可証明書を、サービスを提供するノードに提示することで、目的のサービスを受けることができる。

ここで、図１６を参照し、例を示して説明する。同図において、ノード１０５Ａは、ノード１０５Ｂ、１０５Ｃ、１０５Ｄ等が提供するサービスのうち、目的のサービスを受けるため、証明書発行サーバ１０１の発行する証明書を取得する。
証明書発行サーバ１０１は、認証証明書発行部１０２と、認可証明書発行部１０３と、共有秘密鍵保持部１０４とを含んで構成されている。

まず、サービスを利用するノード１０５Ａは、認証証明書発行部１０２へ、自身の名称（Ｃａ）及び利用する認可証明書発行部の名称（ｔｇｓ）を提示する（図１６中のＰ１）。この時、同時にパスワード認証等、既存の認証方式を利用し、認証証明書発行部１０２は、ノード１０５Ａを認証し、共有秘密鍵保持部からノード１０５Ａと認証証明書発行部１０２との間で利用する共有秘密鍵（Ｋｃ）、及び認証証明書発行部１０２と認可証明書発行部１０３との間で利用する共有秘密鍵（Ｋｔｇｓ）を取得する。

次に認証証明書発行部１０２は、ノード１０５Ａと認可証明書発行部の名称（ｔｇｓ）により指定された認可証明書発行部１０３との間で利用する共有秘密鍵（Ｋｃ：ｔｇｓ）を共有秘密鍵Ｋｃで暗号化したものと、認証証明書発行部１０２により明記された、ノード１０５Ａが認可証明書発行部１０３への利用認可情報（Ｔｃ：ｔｇｓ）を、共有秘密鍵（Ｋｔｇｓ）で暗号化した認証証明書（｛Ｔｃ：ｔｇｓ｝Ｋｔｇｓ）を、ノード１０５Ａに送信する（図１６中のＰ２）。

次にノード１０５Ａは、認可証明書発行部１０３へ、新たな送信情報であることを保障するためのノード名と現在時刻とから作成されたノードの認証子（Ａｃ）を、共有秘密鍵（Ｋｃ：ｔｇｓ）で暗号化したものと、認証証明書発行部１０２により発行された自身の認証証明書（｛Ｔｃ：ｔｇｓ｝Ｋｔｇｓ）と、利用したいサービス名（ｓ）とを送信する（図１６中のＰ３）。

次に、認可証明書発行部１０３は、認証証明書発行部１０２により発行されたノード１０５Ａの認証証明書（｛Ｔｃ：ｔｇｓ｝Ｋｔｇｓ）から、ノード１０５Ａが正しく認証されていると判断し、ノード１０５Ａとサービスを提供するノードＢ〜Ｄ（１０６〜１０８）との間で利用する共有秘密鍵（Ｋｃ：ｓ）を共有秘密鍵（Ｋｃ：ｔｇｓ）で暗号化したものと、ノード１０５Ａのサービス（ｓ）に対する利用認可情報（Ｔｃ：ｓ）を認可証明書発行部１０３とサービスを提供するノード１０５Ｂ〜ノード１０５Ｄとの間で利用する共有秘密鍵（Ｋｓ）で暗号化した認可証明書（｛Ｔｃ：ｓ｝Ｋｓ）とを、ノード１０５Ａへ送信する（図１６中のＰ４）。

次にノード１０５Ａは、サービスを提供するノード１０５Ｂへ、新たな送信情報であることを保障するためのノード名と現在時刻とから作成されたノードの認証子（Ａｃ）を、共有秘密鍵（Ｋｃ：ｓ）で暗号化したものと、認可証明書発行部１０３により発行された自身の認可証明書（｛Ｔｃ：ｓ｝Ｋｓ）を送信する（図１６中のＰ５）。
最終的に、ノード１０５Ｂは、認可証明書発行部１０３により発行されたノード１０５Ａの認可証明書（｛Ｔｃ：ｓ｝Ｋｓ）から、ノード１０５Ａが正しく認可されていると判断し、ノード１０５Ａに対して、認可内容に応じたサービスを提供する（図１６中のＰ６）。

なお、ノード１０５Ａからノード１０５Ｄへ、新たな送信情報であることを保障するためのノード名と現在時刻とから作成されたノードの認証子（Ａｃ）を、共有秘密鍵（Ｋｃ：ｓ）で暗号化したものと、認可証明書発行部１０３により発行された自身の認可証明書（｛Ｔｃ：ｓ｝Ｋｓ）を送信すると（図１６中のＰ５’）、ノード１０５Ｄは、認可証明書発行部１０３により発行されたノード１０５Ａの認可証明書（｛Ｔｃ：ｓ｝Ｋｓ）から、ノード１０５Ａが正しく認可されていると判断し、ノード１０５Ａに対して、認可内容に応じたサービスを提供する（図１６中のＰ６’）。
Kerberos:The NetworkAuthenticationProtocol、[online]、[平成１７年８月１２日検索]、インターネット＜ＵＲＬ：http://web.mit.edu/kerberos/www/＞

従来例では、認証証明書発行部と認可証明書発行部は、適時、共有する秘密鍵を交換する必要があり、物理的に同一サーバ、同一ネットワークに配置し、相互に直接通信を行う必要がある。そのため、認証証明書発行部と認可証明書発行部とを、別々のネットワークに配置して運用することが不可能であるという問題がある。
また、装置同士が相互に直接通信できない場合、人間の手を介して、秘密鍵を交換する必要がある。このような手続きは、効率的でないという問題がある。
本発明は上述した従来技術の問題点を解決するためになされたものであり、その目的は認証証明書発行部と認可証明書発行部とを、別々のネットワーク上に配置できるようにし、リソース管理コスト、リソース管理エリアを分散化するアクセス制御システムを提供することである。

本発明の請求項１によるアクセス制御システムは、ネットワーク内のノードを認証し当該ノードに認証証明書を発行する認証証明書発行サーバと、前記認証証明書発行サーバの属するネットワークとは異なるネットワークに属し、前記認証証明書によって認証されたノードが要求するサービスの認可証明書を発行する認可証明書発行サーバと、前記認可証明書により認可されたサービスを提供するサービス提供ノードと、前記サービス提供ノードにサービスを要求するサービス要求ノードとを含むアクセス制御システムであって、前記サービス要求ノードは移動することによって、前記認証証明書発行サーバの属するネットワーク及び前記認可証明書発行サーバの属するネットワークにそれぞれ接続可能であり、前記認可証明書発行サーバと前記認証証明書発行サーバとの間で秘密鍵を共有し、かつ、前記認証証明書発行サーバと前記サービス提供ノードとの間で秘密鍵を共有していることを特徴とする。このようにすれば、移動可能なサービス要求ノードを介することにより、直接接続できない認証証明書発行サーバと認可証明書発行サーバとが、通信することが可能となる。

本発明の請求項２によるアクセス制御システムは、請求項１において、前記サービス要求ノードは、サービスを要求する際に、利用したいサービスを持つサービス提供ノードの属するネットワークに入ると、前記ネットワーク内に認可証明書発行サーバの通信識別子を問い合わせるようにしたことを特徴とする。このようにすれば、サービス要求に必要な認可証明書を発行する、認可証明書発行サーバの通信識別子を事前に登録しておく必要がなくなる。

本発明の請求項３によるアクセス制御システムは、請求項２において、前記認可証明書発行サーバの通信識別子の問い合わせを受けると、前記認可証明書発行サーバと該認可証明書発行サーバにより管理されるサービス提供ノードとの少なくとも一方が、前記認可証明書発行サーバの通信識別子を、問合せ元に応答するようにしたことを特徴とする。このようにすれば、サービス要求ノードが、サービス要求に必要な認可証明書を発行する、認可証明書発行サーバの通信識別子を知ることが可能となる。

本発明の請求項４によるアクセス制御システムは、請求項１から請求項３までのいずれか１項において、前記秘密鍵を更新する場合、前記認可証明書発行サーバは、秘密鍵更新依頼メッセージを、前記サービス要求ノードを介して前記認証証明書発行サーバに送り、前記秘密鍵更新依頼メッセージを受取った前記認証証明書発行サーバは、更新された秘密鍵を、前記サービス要求ノードを介して前記認可証明書発行サーバに送ることを特徴とする。このようにすれば、認可証明書発行サーバと認証証明書サーバとが、異なるネットワークに属していても、サービス要求ノードを介して、秘密鍵の共有が可能となる。

以上説明したように本発明は、サービス要求ノードを介することにより、直接接続できない認証証明書発行サーバと認可証明書発行サーバとが通信することができ、認証証明書発行サーバと認可証明書発行サーバとを、別のネットワークに配置することができるという効果がある。

以下、本発明の実施の形態を、図面を参照して説明する。なお、以下の説明において参照する各図では、他の図と同等部分は同一符号によって示されている。
（実施の形態）
図１は、本発明の実施形態によるアクセス制御システムの構成を示すブロック図である。
同図において、サービス提供ノード群２０４及び２０５には、サービス提供ノード６０１が属している。これらサービス提供ノード６０１には、既存の方式のノードを用いる。

認証証明書発行サーバ（AS；authentication Server）２０１は、サービス要求ノード２０６と基幹ネットワークＮによって接続されている。サービス要求ノード２０６は、自由に動き回ることができ、ネットワークＡ２０７やネットワークＢ２０８に接続することが可能である。認可証明書発行サーバ２０２（TGS；Ticket Granting Server）はネットワークＡ２０７に、認可証明書発行サーバ２０３はネットワークＢ２０８に、それぞれ属している。認可証明書発行サーバ２０２はサービス提供ノード群２０４を管理し、認可証明書発行サーバ２０３はサービス提供ノード群２０５を管理している。

（認証証明書発行サーバの構成）
図２は本発明の実施形態によるアクセス制御システムが適用されるネットワーク内の認証証明書発行サーバの構成を示すブロック図である。
認証証明書発行サーバ２０１は、通信部３０２と、共有秘密鍵保持部３０３と、共有秘密鍵生成部３０４と、認証証明書発行部３０５とを含んで構成されている。
通信部３０２は、サービス要求ノードと通信を行う。共有秘密鍵保持部３０３は、認可証明書発行サーバと共有している秘密鍵を保持する。共有秘密鍵生成部３０４は、認可証明書発行サーバと共有する秘密鍵を生成する。認証証明書発行部３０５は、サービス要求ノードを認証し、認証したサービス要求ノードに対して、認証証明書（図１６中の（２）｛Ｋｃ：ｔｇｓ｝Ｋｃ，｛Ｔｃ：ｔｇｓ｝Ｋｔｇｓ）を発行する。

（認可証明書発行サーバの構成）
図３は本発明の実施形態によるアクセス制御システムが適用されるネットワーク内の認可証明書発行サーバの構成を示すブロック図である。
認可証明書発行サーバ２０２は、通信部４０２と、共有秘密鍵保持部４０３と、証明書検証部４０４と、共有秘密鍵生成部４０５と、認可証明書発行部４０６とを含んで構成されている。なお、認可証明書発行サーバ２０３も同様の構成になっている。

通信部４０２は、サービス要求ノード、サービス提供ノードと通信を行う。共有秘密鍵保持部４０３は、認証証明書発行サーバと共有している秘密鍵、及びサービス提供ノードと共有している秘密鍵を保持する。証明書検証部４０４は、認証証明書発行サーバの発行した認証証明書を検証する。共有秘密鍵生成部４０５は、サービス提供ノードと共有している秘密鍵を保持する。認可証明書発行部４０６は、サービス要求ノードに対して、該当するサービス要求ノードの認可されているサービスに関する認可証明書（図１６中のＰ４｛Ｋｃ：ｓ｝Ｋｃ：ｔｇｓ，｛Ｔｃ：ｓ｝Ｋｓ）を発行する。

図４は、本発明の実施形態によるアクセス制御システムが適用されるネットワーク内のサービス要求ノードの構成を示すブロック図である。
サービス要求ノード２０６内の通信部５０２は、他の全てのノードと通信を行う。共有秘密鍵保持部５０３は、認証証明書発行サーバと共有している秘密鍵を保持する。認証証明書保持部５０４は、認証証明書発行サーバから発行された認証証明書を保持する。認可証明書保持部５０５は、認可証明書発行サーバから発行された認可証明書を保持する。

図５は本発明の実施形態によるアクセス制御システムが適用されるネットワーク内のサービス提供ノードの構成を示すブロック図である。
サービス提供ノード６０１内の通信部６０２は、認可証明書発行サーバ及びサービス要求ノードと通信を行う。共有秘密鍵保持部６０３は、認可証明書発行サーバと共有している秘密鍵を保持する。証明書検証部６０４は、認可証明書発行サーバの発行した認可証明書を検証する。

（分散アクセス制御の手順）
以上の構成からなる、認証証明書発行サーバ２０１、認可証明書発行サーバ２０２及び２０３、サービス提供ノード群２０４及び２０５、サービス要求ノード２０６による分散アクセス制御について説明する。
次に、ノード１０５Ａ〜１０５Ｄによる、分散アクセス制御の手順について説明する。
まず、図６に示されているフローチャート、及び、図７に示されているシーケンス図を参照して、サービス要求ノード２０６が認可証明書発行サーバ２０３の通信識別子を取得する手順について説明する。

図６において、まず、サービス要求ノード２０６は、利用したいサービスを持つ、サービス提供ノード６０１の属するネットワークに参加する（ステップ７０１）。サービス要求ノード２０６は、利用したいサービスを持つ、サービス提供ノードを管理する認可証明書発行サーバの通信識別子の問い合わせメッセージを、通信部５０２よりネットワーク内に送信する（ステップ７０２）。通信部３０２あるいは６０２により問い合わせを受信した認可証明書発行サーバ２０３、２０４及び、サービス提供ノード６０１は、自身の通信識別子、または管理される認可証明書の通信識別子を応答する（ステップ７０３）。サービス要求ノードは、サービス提供ノードを管理する認可証明書発行サーバの通信識別子を受信する（ステップ７０４）。

以上の処理においては、図７に示されているように、通信識別子が授受される。同図において、「Ｃａ」はサービス要求ノードの通信識別子、「Ｃｓ」はサービス提供ノードの通信識別子、「Ｃｔｇｓ」は認可証明書サーバの通信識別子、「Ｒｅｑ」は認可証明書サーバの通信識別子問い合わせメッセージ、である。
まず、サービス要求ノード２０６が認可証明書発行サーバの通信識別子の問い合わせを送信する（図７中のＰ８０１）。すると、認可証明書発行サーバ２０３は、自己の通信識別子を含む応答メッセージをサービス要求ノードに返信する（図７中のＰ８０２）。

（秘密鍵更新手順の一例）
次に、図８に示されているフローチャートを参照して、認可証明書発行サーバ２０３が、認証証明書発行サーバ３０１と共有している秘密鍵の更新手順について説明する。
まず、認可証明書発行サーバ２０３に、サービス要求ノード２０６からの認可証明書発行サーバの通信識別子の問い合わせメッセージ、あるいは認可証明書の発行要求メッセージが届く（ステップ９０１）。次に認可証明書発行サーバ２０３は、共有秘密鍵保持部４０３に保持する認証証明書発行サーバ３０１と共有する秘密鍵の有効期限の確認を行い、更新が必要かどうか判断する（ステップ９０２）。更新が必要な場合、認可証明書発行サーバ２０３は、サービス要求ノード２０６を介して、認証証明書発行サーバ３０１に向けて、秘密鍵の更新依頼メッセージを送信する（ステップ９０３）。秘密鍵の更新依頼メッセージを受信した、サービス要求ノード２０６は、そのメッセージを該当する認証証明書発行サーバ３０１に転送する（ステップ９０４）。秘密鍵の更新依頼メッセージを受信した、認証証明書発行サーバ３０１は、共有秘密鍵生成部３０４で該当の認可証明書発行サーバと共有する秘密鍵を生成し、サービス要求ノード２０６を介して、該当の認可証明書発行サーバに送信する（ステップ９０５）。更新された秘密鍵を受信した、サービス要求ノード２０６は、そのメッセージを該当する認可証明書発行サーバ２０３に転送する（ステップ９０６）。最終的に、認可証明書発行サーバ２０３は、更新された秘密鍵を、サービス要求ノード２０６を介して受信する（ステップ９０７）。

以上の処理においては、図９に示されている通信シーケンスが行われる。同図において、「Ｒｅｑｃ」は共有秘密鍵更新要求、「Ａｓ」は認証証明書発行サーバ、「ｔｇｓ」は認可証明書発行サーバ、「Ａｃ」はノードＡの認証子、「ＴＧＳｃ」は認可証明書発行サーバの認証子、「ＡＳｃ」は認証証明書発行サーバの認証子、「Ｋｔｇｓ」は認可証明書発行サーバの共有秘密鍵、「Ｋｔｇｓ＿ｎ」は更新された認可証明書発行サーバの共有秘密鍵である。

同図において、認可証明書発行サーバ２０３が認証証明書発行サーバ２０１に向けて、秘密鍵の更新依頼メッセージを送信すると（図９中のＰ１００１）、その更新依頼メッセージはサービス要求ノード２０６を介して認証証明書発行サーバ２０１によって受信される（図９中のＰ１００２）。すると、認証証明書発行サーバ２０１が認可証明書発行サーバ２０３に向けて、秘密鍵を送信する（図９中のＰ１００３）。この送信された秘密鍵は、認可証明書発行サーバ２０３によって受信される（図９中のＰ１００４）。

（秘密鍵更新手順の他の例）
図９を参照して説明した通信シーケンスは、公開鍵を用いて図１０のように行っても良い。同図において、「Ｒｅｑｃ」は共有秘密鍵更新要求、「ＴＧＳｃ」は認可証明書発行サーバの認証子、「ＡＳｃ」は認証証明書発行サーバの認証子、「Ｋｔｇｓ＿ｎ」は更新された認可証明書発行サーバ共有秘密鍵、「ＰＫｔｇｓ」は認可証明書発行サーバの公開鍵、「ＰＫａｓ」は認証証明書発行サーバの公開鍵、「Ｋｔｅｍｐ１」及び「Ｋｔｅｍｐ２」は一時利用鍵である。

同図において、認可証明書発行サーバ２０３が認証証明書発行サーバ２０１に向けて、公開鍵の更新依頼メッセージを送信すると（図１０中のＰ１１０１）、その更新依頼メッセージはサービス要求ノード２０６を介して認証証明書発行サーバ２０１によって受信される（図１０中のＰ１１０２）。すると、認証証明書発行サーバ２０１が認可証明書発行サーバ２０３に向けて、公開鍵を送信する（図１０中のＰ１１０３）。この送信された公開鍵は、認可証明書発行サーバ２０３によって受信される（図１０中のＰ１１０４）。
このように、公開鍵暗号方式を用いてセキュアに共通の秘密鍵を共有すれば、各サーバ、ノード間で秘密鍵を共有することが安全、かつ容易になる。

（秘密鍵の更新）
認可証明書の取得、サービス提供ノードの認可証明書発行サーバと共有する秘密鍵の更新については、図１１に示されているように、認可証明書発行サーバ２０３、サービス提供ノード１０５、サービス要求ノード２０６が全て相互通信できることを仮定しても良い。また、図１２に示されているように、認可証明書発行サーバ２０３とサービス要求ノード２０６とが直接通信できなくても、サービス提供ノード１０５がその通信の仲介を行って、認可証明書の取得及び秘密鍵の更新を実現しても良い。さらに、図１３に示されているように、認可証明書発行サーバ２０３とサービス提供ノード１０５とが直接通信できなくても、サービス要求ノード２０６がその通信の仲介を行って、認可証明書の取得及び秘密鍵の更新を実現しても良い。

（具体的な動作例）
より具体的な動作例について、図１４及び図１５を参照して説明する。両図において、サービス要求ノード２０６は通信端末であり、サービス提供ノード１０５Ｂ〜１０５Ｄはプリンタやサーバ等である。

（ブロードキャスト利用の問い合わせ）
図１４において、基幹ネットワーク内に存在している、認証証明書発行サーバ２０１とサービス要求ノード２０６との間で認証処理が行われる（図１４中のＰ１１）。その後、サービス要求ノード２０６が移動する（図１４中のＰ１２）。そして、オフィスネットワーク内の各ノードサービス提供１０５Ｂ〜１０５Ｄと通信可能な状態になると、サービス要求ノード２０６から他の装置に対し、ブロードキャストによって、認可証明書発行サーバ２０３のアドレスを問い合わせる（図１４中のＰ１３）。この問い合わせに対して、認可証明書発行サーバ２０３から回答を受信する（図１４中のＰ１４）。以上の処理の後、サービス要求ノード２０６はオフィスネットワーク内の各サービス提供ノード１０５Ｂ〜１０５Ｄが提供するサービスを受けることができる。
以上の処理の場合、ブロードキャストによってアドレス問い合わせを行うので、サービス要求ノード２０６は、認可証明書発行サーバ２０３のアドレスを知らなくても、良いというメリットがある。

（個別問い合わせ）
図１５において、基幹ネットワーク内に存在している、認証証明書発行サーバ２０１とサービス要求ノード２０６との間で認証処理が行われる（図１５中のＰ２１）。その後、サービス要求ノード２０６が移動する（図１５中のＰ２２）。そして、オフィスネットワーク内の各サービス提供ノード１０５Ｂ〜１０５Ｄと通信可能な状態になると、サービス要求ノード２０６からサービス提供ノード１０５Ｂに、個別に、認可証明書発行サーバ２０３のアドレスを問い合わせる（図１５中のＰ２３）。サービス要求ノード２０６は、サービス提供ノード１０５Ｂから、認可証明書発行サーバ２０３のアドレスについての回答を得ると（図１５中のＰ２４）、そのアドレスを用いて認可証明書発行サーバ２０３に接続を行う（図１５中のＰ２５）。これにより、認可証明書発行サーバ２０３から回答を受信することができる。

以上の処理の後、サービス要求ノード２０６はオフィスネットワーク内の各サービス提供ノード１０５Ｂ〜１０５Ｄが提供するサービスを受けることができる。
以上の処理の場合、図１４の場合とは異なり、サービス要求ノード２０６は、サービス提供ノード１０５Ｂに個別にアドレス問い合わせを行うので、オフィスネットワークを利用しなくても、Bluetooth（登録商標）、赤外線通信等の近距離無線通信や、通信ケーブル接続による通信を利用することができる。

（まとめ）
以上説明したように、本実施形態によれば、直接接続できない認証証明書発行サーバと認可証明書発行サーバとが、サービス要求ノードを介して通信することが可能となることから、認証証明書発行サーバと認可証明書発行サーバとを、別のネットワークに配置することができる。
また、各サーバ、各ノード間で秘密鍵を共有することが安全、かつ容易となることから、より安全にアクセス制御を行うことができる。
さらに、サービス要求に必要な認可証明書を発行する、認可証明書発行サーバの通信識別子を事前に登録しておく必要がなくなることから、サービス要求ノードが今まで所属したことのないネットワークに移動した際に、事前に登録無く、新たな認可証明書発行サーバと通信を開始することができる。

そして、サービス要求ノードが、サービス要求する際に必要な、認可証明書発行サーバの通信識別子を知ることが可能となることから、ネットワークを移動した先でも、サービスを要求することができる。
なお、認可証明書発行サーバと認証証明書発行サーバとが、異なるネットワークに属していても、サービス要求ノードを介して、秘密鍵の共有が可能となることから、認証証明書発行サーバと認可証明書発行サーバを、別のネットワークに配置して、アクセス制御を行うことができる。

本発明は、分散認証方式、分散アクセス制御方式によってサービスの提供を受ける場合に利用することができる。

本発明の実施形態によるアクセス制御システムの構成例を示すブロック図である。 図１中の認証証明書発行サーバの構成例を示すブロック図である。 図１中の認可証明書発行サーバの構成例を示すブロック図である。 図１中のサービス要求ノードの構成例を示すブロック図である。 図１中のサービス提供ノードの構成例を示すブロック図である。 本発明の実施形態によるアクセス制御システムにおいて、サービス提供ノードが認可証明書発行サーバの通信識別子の情報を得るための手順を示すフローチャートである。 本発明の実施形態によるアクセス制御システムにおいて、サービス提供ノードが、認可証明書発行サーバの通信識別子の情報を得るための手順を示す図である。 本発明の実施形態によるアクセス制御システムにおいて、認可証明書発行サーバが、認証証明書サーバと共有する秘密鍵を更新するための手順を示すフローチャートである。 本発明の実施形態によるアクセス制御システムにおいて、認可証明書発行サーバが、認証証明書サーバと共有する秘密鍵を更新するための手順の一例を示す図である。 本発明の実施形態によるアクセス制御システムにおいて、認可証明書発行サーバが、認証証明書発行サーバと共有する秘密鍵を更新するための手順の他の例を示す図である。 本発明の実施形態によるアクセス制御システムにおける、認可証明書発行サーバ、サービス提供ノード、サービス要求ノードの配置の一例を示す図である。 本発明の実施形態によるアクセス制御システムにおける、認可証明書発行サーバ、サービス提供ノード、サービス要求ノードの配置の配置の他の例を示す図である。 本発明の実施形態によるアクセス制御システムにおける、認可証明書発行サーバ、サービス提供ノード、サービス要求ノードの配置の別の例を示す図である。 ブロードキャストを利用した問い合わせを伴うアクセス制御システムの動作例を示す図である。 個別問い合わせを伴うアクセス制御システムの動作例を示す図である。 従来のアクセス制御システムを説明する図である。

符号の説明

１０１ 証明書発行サーバ
１０２、３０５ 認証証明書発行部
１０３、４０６ 認可証明書発行部
１０４、３０３、４０３、５０３、６０３ 共有秘密鍵保持部
１０５Ａ〜１０５Ｄ ノード
２０１、３０１ 認証証明書発行サーバ
２０２、２０３、４０１ 認可証明書発行サーバ
２０４、２０５ サービス提供ノード群
２０６ サービス要求ノード
３０２、４０２、５０２、６０２ 通信部
３０４、４０５ 共有秘密鍵生成部
４０４、６０４ 証明書検証部
５０４ 認証証明書保持部
５０５ 認可証明書保持部
６０１ サービス提供ノード
Ｎ 基幹ネットワーク

Claims (4)

1. ネットワーク内のノードを認証し当該ノードに認証証明書を発行する認証証明書発行サーバと、前記認証証明書発行サーバの属するネットワークとは異なるネットワークに属し、前記認証証明書によって認証されたノードが要求するサービスの認可証明書を発行する認可証明書発行サーバと、前記認可証明書により認可されたサービスを提供するサービス提供ノードと、前記サービス提供ノードにサービスを要求するサービス要求ノードとを含むアクセス制御システムであって、前記サービス要求ノードは移動することによって、前記認証証明書発行サーバの属するネットワーク及び前記認可証明書発行サーバの属するネットワークにそれぞれ接続可能であり、前記認可証明書発行サーバと前記認証証明書発行サーバとの間で秘密鍵を共有し、かつ、前記認証証明書発行サーバと前記サービス提供ノードとの間で秘密鍵を共有していることを特徴とするアクセス制御システム。
2. 前記サービス要求ノードは、サービスを要求する際に、利用したいサービスを持つサービス提供ノードの属するネットワークに入ると、前記ネットワーク内に認可証明書発行サーバの通信識別子を問い合わせるようにしたことを特徴とする請求項１記載のアクセス制御システム。
3. 前記認可証明書発行サーバの通信識別子の問い合わせを受けると、前記認可証明書発行サーバと該認可証明書発行サーバにより管理されるサービス提供ノードとの少なくとも一方が、前記認可証明書発行サーバの通信識別子を、問合せ元に応答するようにしたことを特徴とする請求項２記載のアクセス制御システム。
4. 前記秘密鍵を更新する場合、前記認可証明書発行サーバは、秘密鍵更新依頼メッセージを、前記サービス要求ノードを介して前記認証証明書発行サーバに送り、前記秘密鍵更新依頼メッセージを受取った前記認証証明書発行サーバは、更新された秘密鍵を、前記サービス要求ノードを介して前記認可証明書発行サーバに送ることを特徴とする請求項１から請求項３までのいずれか１項に記載のアクセス制御システム。
   
   

Images