JP2008219670A - デジタル証明書配布システム、デジタル証明書配布方法、及びデジタル証明書配布プログラム - Google Patents

Abstract

【課題】端末装置でのデジタル証明書の保存失敗を検出した場合に、有効なデジタル証明書を複数の端末装置に配布してしまうことを防止して簡易な操作で再度デジタル証明書の配布を行う。
【解決手段】デジタル証明書配布システムにおいて、パスワードと、複数のデジタル証明書のシリアル番号及び状態情報とを所定の識別情報に対応付けて格納する格納手段と、端末装置からパスワードを受信し、当該パスワードが前記格納手段に格納されたパスワードと一致する場合に、当該パスワードに対応し、前記状態情報が未配布を示すデジタル証明書を取得し、そのデジタル証明書を前記端末装置に配布する手段と、前記デジタル証明書が前記端末装置に正常に保存されたことが確認できた場合に、当該デジタル証明書に対応する状態情報を有効とするとともに、それ以外のデジタル証明書に対応するシリアル番号を削除又は無効化する状態変更手段とを備える。
【選択図】図１

Description

本発明は、情報家電機器等の端末装置にデジタル証明書を配布する技術に関するものである。

現在、インターネット等のネットワークに接続できる通信機能を備えた家電製品（テレビ、冷蔵庫、エアコン等、以下、情報家電機器という）が普及しつつある。情報家電機器でのインターネットサービスの利用にあたって、ユーザにパソコンでインターネットの各種サービスを受ける場合のような複雑な操作をすることを要求する仕組みでは、ユーザに受け入れられず、情報家電機器でのインターネットサービスの利用が普及しないと考えられる。

従って、テレビのリモコンを扱うような操作の感覚の範囲で、かつ信頼性、安全性を確保した方法で情報家電機器でのインターネットサービスが利用できなければならない。信頼性、安全性確保の観点から、情報家電機器に機器認証のための機能が付加され、情報家電機器の機器認証にデジタル証明書を使用することが提案されている。

機器認証に使用するデジタル証明書を情報家電機器にインストールする方法としては、情報家電機器の製造メーカが情報家電機器製造時にデジタル証明書をプリインストールする方法の他、機器認証を利用してサービスを提供するサービスサイト等からインターネットを介してデジタル証明書を配布して情報家電機器にインストールする方法があり、本発明では後者を対象としている。

デジタル証明書をインターネット上のサイトから情報家電機器にダウンロードして使用する場合、多くのユーザが確実に利用できるようにするため、ダウンロード及びインストールが簡単な操作でかつ安全に実施できる必要があり、このようなデジタル証明書のダウンロード及びインストールを可能とする方法として、パスワードを用いてデジタル証明書をダウンロードし、情報家電機器にインストールする方法が特許文献１、２に開示されている。
特開２００４−３５５３９６号公報 特開２００６−０６７５１５号公報

さて、安全でかつ簡単な操作を実現する重要な要素として、操作ミスや通信の中断等によりインストールの過程で異常が生じた時の対応がある。一般に、リテラシの低いユーザは予想外のアクションにより、正常でない手順に陥り、デジタル証明書のインストールに失敗する可能性が高い。情報家電機器によるインターネットサービス利用の普及の観点から、この状態に速やかに対応し、再度デジタル証明書を簡単な操作で配布する仕組みが必要である。デジタル証明書のインストールに失敗した場合、従来技術では、通常、ユーザはデジタル証明書を発行するサイト等に対して再発行を依頼するところからやり直さなければならず、簡易な操作で再配布を行う従来技術はない。

しかし、仮に簡単に再配布を行う仕組みがある場合、インターネットに関する知識が高く悪意のあるユーザが、デジタル証明書のインストールに成功したのにわざとデジタル証明書のインストールに失敗したように見せかけて、インストールが成功した機器とは別の機器に再度デジタル証明書を配布させることが考えられる。つまり、サービスサイトに１台の情報家電機器に対するサービスを申し込んでいるにもかかわらず、複数の情報家電機器にデジタル証明書をインストールして、サービスの提供を受けようとすることは十分に想定できる。デジタル証明書の再配布を行う際にはこのような行為を防止する必要がある。

本発明は上記の点に鑑みてなされたものであり、パスワードを用いてデジタル証明書を情報家電機器等の端末装置にダウンロードしてインストールする技術において、端末装置でのデジタル証明書のインストール失敗を検出した場合に、有効なデジタル証明書を複数の端末装置に配布してしまうことを防止しながら簡易な操作で再度デジタル証明書の配布を行う技術を提供することを目的とする。

上記の課題は、ネットワークに接続された端末装置に対してデジタル証明書を配布するデジタル証明書配布システムであって、パスワードと、複数のデジタル証明書のシリアル番号と、当該複数のデジタル証明書の状態情報とを当該複数のデジタル証明書に共通に含まれる所定の識別情報に対応付けて格納する格納手段と、前記端末装置からパスワードを受信し、当該パスワードが前記格納手段に格納されたパスワードと一致する場合に、当該パスワードに対応し、前記状態情報が未配布を示すデジタル証明書を取得し、そのデジタル証明書を前記端末装置に前記ネットワークを介して配布する配布手段と、前記デジタル証明書が前記端末装置に正常に保存されたことを確認するための確認手段と、前記確認手段により、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できた場合に、前記格納手段における当該デジタル証明書に対応する状態情報を有効とするとともに、それ以外のデジタル証明書に対応するシリアル番号を削除又は無効化する状態変更手段と、を備えたことを特徴とするデジタル証明書配布システムにより解決できる。

前記確認手段により、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できなかった場合に、エラーメッセージを前記端末装置に送信するエラー通知手段を更に備えることとしてもよい。

また、前記配布手段は、前記端末装置から受信したパスワードが、前記格納手段に格納されたパスワードと一致する場合に、前記デジタル証明書に対応する状態情報を確認待ちとするとともに、デジタル証明書送付を前記端末装置に要求し、前記端末装置から受信した応答の中に、前記格納手段に確認待ちとして格納されているデジタル証明書がないことを確認する手段を有してもよく、この場合、前記手段により、前記応答の中に前記格納手段に確認待ちとして格納されているデジタル証明書がないことを確認した場合に、前記デジタル証明書を前記端末装置に配布するようにしてもよい。

また、前記端末装置の認証要求を受けて、当該端末装置に対してデジタル証明書送付を要求し、当該端末装置から受信したデジタル証明書の正当性を確認するとともに、当該デジタル証明書のシリアル番号が、前記格納手段に有効なものとして含まれているか否かを確認する認証手段を更に備えることとしてもよい。

本発明によれば、パスワードを用いてデジタル証明書を情報家電機器等の端末装置にダウンロードしてインストールする技術において、端末装置でのデジタル証明書のインストール失敗を検出した場合に、有効なデジタル証明書を複数の端末装置に配布してしまうことを防止しながら簡易な操作で再度デジタル証明書の配布を行うことが可能となる。

以下、図面を参照して本発明の実施の形態について説明する。

（システム構成について）
図１に本発明の実施の形態におけるシステムの全体構成例を示す。図１に示すシステムは、ユーザが使用する端末装置１と、ネットワークサービスを提供するサービスシステム３が通信ネットワーク５に接続される構成をとる。なお、以下の説明では通信ネットワーク５はインターネットであるものとする。

端末装置１は、例えばHTTP（Hyper Text Transfer Protocol）を用いてサービスシステム３にアクセスしてインターネットサービスを受ける装置であり、サービスシステム３からダウンロードしたデジタル証明書をインストールして安全に保管する機能を備えている。また、端末装置１は、サービスシステム３との間でSSL(Secure Socket Layer)／TLS(Transport Layer Security) 等を用いて安全な通信路を確立する機能を備え、SSL／TLSのハンドシェークの中でサービスシステム３からの要求に対応し、サービスシステム３から取得して保持しているデジタル証明書とその保有の正当性を示すデータをサービスシステム３に送信する機能を備えている。

端末装置１は例えば家庭内における情報家電機器である。なお、端末装置１は必ずしも情報家電機器に限られるわけではないが、ダウンロードしたデジタル証明書を他の装置にエクスポートすること、つまり複製して他の装置でも使用可能とすることを防止する手段を備えるかもしくはエクスポートすることが困難である装置である。例えば、端末装置１のデジタル証明書保管領域に耐タンパ性を持たせている。また、情報家電機器は、他の装置と通信を行うための手段が一般的にはなく、エクスポートは困難である。

サービスシステム３は、認証を必要とするサービスを端末装置１に提供するシステムであり、インターネット上ではあるサービスサイトを構成する。

図１に示すように、サービスシステム３は、認証部３１、デジタル証明書発行部３３、デジタル証明書配布部３５、サービス提供部３７、サービス受付部３９、及びデータベース部４１を備えている。

認証部３１は、サービス提供部３９からの要求により端末装置１の認証を行う機能部であり、端末装置１の認証が正常に完了すると、サービス提供部３９に端末装置１にサービスを提供する旨の許可を与える。端末装置１の認証は、SSL／TLSのハンドシェークの中で端末装置１（SSL／TLSではクライアントと呼ぶ）にデジタル証明書の送付を要求し、送られたデジタル証明書とその保有の正当性を示すデータを確認することにより実施する。

また、本実施の形態における端末装置１の認証では、デジタル証明書の一般的な正当性確認に加え、デジタル証明書内のID及びシリアル番号をデータベース部４１に格納されているデータと照合することによる確認も行う。

デジタル証明書発行部３３は、端末装置１の認証に必要なデジタル証明書を発行する機能部である。デジタル証明書を生成する際に用いるシリアル番号及びIDはデータベース部４１から指定された値を用い、また、IDが同一でシリアル番号が異なる複数のデジタル証明書を発行する。発行したデジタル証明書はデータベース部４１に格納する。なお、データベース部４１にはデジタル証明書と対応付けられた情報のみを格納し、デジタル証明書自身は図示しないサーバ等に格納することとしてもよい。

デジタル証明書配布部３５は、端末装置１からデジタル証明書のダウンロードの要求を受け付け、端末装置１から受信する配布パスワード（以下単にパスワードと呼ぶ）に対応するデジタル証明書をデータベース部４１から取得し、それを端末装置１に送信する。また、デジタル証明書配布に係る端末装置１とのデータの送受信は、例えばクライアント認証を行わないSSL／TLSによる暗号化通信路を介して行うことが望ましい。

サービス提供部３７は、端末装置１の認証が必要なサービスを提供するための機能部である。サービス提供部３７は、端末装置１からID等を用いたサービス提供要求を受け付けると、認証部３１に端末装置１の認証を依頼し、認証部３１により端末装置１の認証が成功した場合に、当該IDに対応する端末装置１に対してサービスを提供する。なお、認証機能とサービス提供機能の連携方法については様々な方法が提案されているが、本発明は特定の方法に限定されない。

サービス受付部３９は、ユーザからサービスの申し込みを受けるための機能部である。例えばネットワークを介してユーザ情報とともにサービスの申し込みを受信すると、当該ユーザに対してデジタル証明書配布のためのパスワードをデータベース部４１から取得し、ユーザに送付する。なお、サービスの申し込み及び配布パスワードの送付方法はネットワークを利用したオンラインによる方法に限定されるわけではない。

データベース部４１にはサービス提供に係わる種々のデータ（ユーザ管理情報、機器管理情報等）が格納されるが、以下、本発明に係わるデータベース構造について説明する。

データベース部４１は、サービス受付部３９から受信するサービス申し込みに対し、ユーザ情報に対応付けられるパスワードを格納する。そして、同一IDでシリアル番号の異なる複数のデジタル証明書の発行をデジタル証明書発行部３３に依頼し、発行されたデジタル証明書を受け取ると、上記パスワード、デジタル証明書に記載されたID及びシリアル番号、及びデジタル証明書を対応付けて格納する。また、当該IDはユーザ管理情報やユーザが保持する機器の機器管理情報等と対応付けられている。従って、当該IDはユーザを識別するための識別情報であるとともに、機器を識別するための識別情報でもある。

図２に、データベース部４１が格納するデータの例を示す。図２において、パスワード、ID、シリアル番号、デジタル証明書は上述したとおりのものである。

図２に示すステータスは、端末装置１におけるデジタル証明書の状態を示す情報であり、各シリアル番号に対応付けられているものである。ステータス"未配布"はまだサービスシステム３からデジタル証明書を端末装置１に配布していない状態を示す。サービスシステム３がデジタル証明書を端末装置１に配布したが、端末装置１に正しく配布されインストール（保存ともいう）されたことをサービスシステム３が確認できていない場合はステータスは"確認待ち"となる。また、サービスシステム３がデジタル証明書を端末装置１に配布し、端末装置１に正しく配布されインストールされたことをサービスシステム３が確認できた場合はステータスは"有効"となる。また、IDに対応付けられた複数のデジタル証明書のうち１つのデジタル証明書が正しく配布されたことを確認できた後、その他のデジタル証明書およびシリアル番号は削除又は無効化され、それに対応するステータスは"レコード削除"となる。

また、端末装置１に正しくデジタル証明書が配布されインストールされたことが確認された場合、及び、一定のデジタル証明書配布期間が過ぎた場合はパスワードは削除又は無効化される。

また、端末装置１に正しくデジタル証明書が配布されインストールされたことが確認された後のデジタル証明書を用いた端末装置１の認証においては、デジタル証明書自体の正当性確認とともに、IDとシリアル番号の確認が行われる。

なお、図２の例ではIDに対して３つのデジタル証明書が発行される場合の例を示しているが、３つに限られないことはいうまでもない。

図３にデジタル証明書を構成する主な項目の例を示す。図３に示すデジタル証明書の中の"シリアル番号"をデータベース部４１に格納されるシリアル番号として使用し、サブジェクトの中のCNの値をデータベース部４１に格納されるIDとして使用する。

（動作手順）
次に、本実施の形態におけるサービスシステム３と端末装置１の処理の流れを図４〜図９のシーケンスチャートを用いて説明する。また、図４〜図９にはデータベース部４１におけるデータの状態が示されており、それらを適宜参照して説明を行う。

＜正常動作＞
まず、端末装置１におけるデジタル証明書のダウンロード及びインストールが正常に行われる場合の動作例を図４を参照して説明する。

端末装置１のユーザはオンライン又は郵送等の方法により、サービスシステム３からサービスの提供を受けるために、予めデジタル証明書の申請をサービスシステム３側に対して実施し、インターネット又は郵送等の方法により、デジタル証明書ダウンロードに必要なパスワードを入手している。

また、前述したとおり、サービスシステム３は、上記ユーザの端末装置１に対応するIDに対応付けられたシリアル番号が異なる複数のデジタル証明書を発行し、パスワードと対応付けて記憶手段（データベース部４１）に格納する。図４にはデータベース部４１が格納するパスワード、ID、シリアル番号、ステータスを示している。なお、デジタル証明書自体はデータベース部４１もしくは他の装置にIDとシリアル番号に対応付けて格納されているものとする。

図４に示すように、サービスシステム３において、最初の状態では、各シリアル番号のデジタル証明書のステータスを"未配布"としておく。

ユーザが端末装置１に対して所定の操作をすることにより、端末装置１はサービスシステム３が提供するWebページにアクセスする。そして、ユーザはそのWebページの画面におけるパスワード入力欄を利用して、端末装置１にパスワードを入力し、端末装置１は当該パスワードをサービスシステム３に送信することによりデジタル証明書のダウンロードを要求する（ステップ１）。

サービスシステム３は受信したパスワードがデータベース部４１に登録されたものかどうかの確認を行う（ステップ２）。ここでパスワードがデータベース部４１に登録されたものでない場合、サービスシステム３は端末装置１にエラーを返す等の処理を行う。

パスワードがデータベース部４１に登録されたものである場合、サービスシステム３は、例えばSSL／TLSのハンドシェーク手順の中のクライアント証明書要求手順を利用して、デジタル証明書要求を端末装置１に送信する（ステップ３）。なお、図４〜図９において、枠で囲んだ部分の手順についてはSSL／TLSのハンドシェーク手順の中のクライアント証明書要求手順を利用し得ることを示している。

そして、サービスシステム３は端末装置１から応答を受信する（ステップ４）。そして、サービスシステム３は、サービスシステム３が端末装置１に提供した正当なデジタル証明書であって、ステータスが「確認待ち」であるデジタル証明書を端末装置１が保有していないことを確認する（ステップ５）。なお、この段階では、端末装置１はデジタル証明書を保有していないので、ステップ４の応答としては、「デジタル証明書なし」を示す応答が返される。なお、端末装置１が本サービスシステム３と関係のないデジタル証明書を保有している可能性があるが、端末装置１の機能として、この無関係なデジタル証明書を送付しないようにする機能を持っているものとする。例えば、サービスシステム４からの要求電文のIPアドレスやHTTPアドレスの情報により送るべきデジタル証明書を選別する機能を持っているものとする。

ステップ５において、確認待ちの正当なデジタル証明書を端末装置１が保有していないことを確認した場合、サービスシステム３は、端末装置１から受信したパスワードと対応付けられたデジタル証明書のうちの１つをデータベース部４１から取得し、そのデジタル証明書に対応するステータスを「未配布」から「確認待ち」に変更し（ステップ６）、そのデジタル証明書を端末装置１に送信する（ステップ７）。

端末装置１は、サービスシステム３から送信されたデジタル証明書を受信し、インストールを行い、適切な記憶場所に保存する（ステップ８）。また、端末装置１は、正しくデジタル証明書を保存できたかどうかをサービスシステム３に通知する（ステップ９）。なお、ステップ８、ステップ９については特許文献２に開示された技術を用いることができる。

本例では端末装置１は正しくデジタル証明書を保存できた旨がサービスシステム３に通知される。それを確認した後、サービスシステム３はステップ３と同様に、デジタル証明書要求を端末装置１に送信し（ステップ１０）、端末装置１からデジタル証明書を含む応答を受信する（ステップ１１）。

そして、サービスシステム３は、データベース部４１を参照することにより、ステップ１１で受信したデジタル証明書の正当性確認を行うとともに、そのデジタル証明書のIDとシリアル番号がデータベース部４１において「確認待ち」となっているデジタル証明書のID及びシリアル番号と一致するかどうかの確認を行う（ステップ１２）。本例ではここでの確認に成功するものとする。

サービスシステム３は、確認に成功したデジタル証明書のステータスを「確認待ち」から「有効」に変更する（ステップ１３）。更に、サービスシステム３は、確認に成功したデジタル証明書のシリアル番号以外のシリアル番号のシリアル番号及びそのデジタル証明書及びステータスをデータベース部４１から削除又は無効化する（ステップ１４）。また、サービスシステム３はパスワードを削除又は無効化し、ユーザ管理情報及び機器管理情報をデジタル証明書のIDと対応付ける。なお、この対応付けは予め行っておくこととしてもよい。

そして、サービスシステム３は、端末装置１に対してデジタル証明書取得完了通知を送信する（ステップ１６）。これにより、端末装置１は、ステップ８でインストールしたデジタル証明書が今後サービスシステム３からサービスを受ける場合の認証に使用できる有効なものであることを把握する。

その後、ユーザが端末装置１を利用してサービスシステム３からサービスを受けようとして、サービスシステム３にアクセスすると（ステップ１７）、サービスシステム３はSSL／TLSのハンドシェーク手順の中で、端末装置１のデジタル証明書とその保有の正当性を示すデータを受け取り（ステップ１９）、IDとシリアル番号の確認を含むデジタル証明書の確認を行い（ステップ２０）、認証OKであれば（ステップ２１）、サービス提供を行う（ステップ２２）。

＜失敗時の動作例＞
次に、端末装置１が正常にデジタル証明書の保存までできなかった場合の動作例を図５、図６を用いて説明する。

図５において、ステップ１〜ステップ６までの動作は正常時の場合と同様である。本例では、ステップ７のデジタル証明書送信時、ステップ８におけるデジタル証明書のインストール時等で異常が発生し、ステップ９でデジタル証明書が正しく保存されなかった旨の通知がサービスシステム３になされる。また、正しく保存が行われたにも係わらず正しく保存されなかった旨の通知がサービスシステム３になされる場合もあり得る。これらの場合、例えば、サービスシステム３はステップ１０〜１２を実行することなくエラーメッセージを端末装置１に送信する。

また、保存まで正しく行われたか否かに係わらず、ステップ９において何も通知がない場合もあり得、そのような場合を考慮して、サービスシステム３は、ステップ７でデジタル証明書を配布してから後の時間を計測し、予め定めた時間にステップ９の通知がなかった場合に異常と判定し、エラーメッセージを端末装置１に送信する。

また、ステップ９における通知が正常になされた場合、サービスシステム３はステップ１０のデジタル証明書要求を端末装置１に送信し、その後のデジタル証明書を受信するが、ステップ１２においてそのデジタル証明書が正常でないと判断する場合があり得、その場合にもエラーメッセージを端末装置１に送信する。

上記のエラーメッセージには、例えば、再度パスワードを入力するWebページにアクセスし、配布パスワードを入力することを促すメッセージが含まれる。その後、図６に示す動作に移る。なお、このとき、サービスシステム３はエラーメッセージを送信するとともに、端末装置１がアクセスするWebページをパスワード入力用Webページ変更する機能を備えてもよい。

図６において、ステップ１〜４の動作は正常時のステップ１〜４の動作と同様である。ただし、現在のデータベース部４１の状態は図６に示すとおり、シリアル番号"０１００１"に対応するデジタル証明書のステータスが「確認待ち」になっている。

図６のステップ５において正常時のステップ５の場合と同様に、サービスシステム３は、端末装置１が「確認待ち」のステータスの正しいデジタル証明書を保有していないことの確認を行う。

端末装置１で正常にデジタル証明書の保存が行われたにも係わらず、サービスシステム３にその旨の通知がなかった場合等には、ステップ４において、そのデジタル証明書が端末装置１からサービスシステム３に送付され、ステップ５において、サービスシステム３は端末装置１が「確認待ち」のステータスの正しいデジタル証明書を保持していることを確認できる。つまり、サービスシステム３は、ステップ４で受信したデジタル証明書の正当性確認とともに、そのIDとシリアル番号が、データベース部４１に存在し、それらに対応するデジタル証明書のステータスが「確認待ち」であることを確認できる。

この場合、サービスシステム３は、図６におけるステップ６〜１２の処理を行うことなく、正常時の動作（図４）におけるステップ１３以降の処理を実行する。

一方、図６のステップ５において、端末装置１が「確認待ち」のステータスのデジタル証明書を保有していないことの確認がなされた場合、ステップ６以降の処理を実行する。図６におけるステップ６以降の処理は正常時（図４）のステップ６以降の処理と同様である。ただし、図６のステップ７〜ステップ１２において端末装置１へのデジタル証明書の保存が失敗したと再度判断した場合、図５のステップ１からの処理に戻る。

また、端末装置１へのデジタル証明書の保存が成功した場合、ステップ１４において、前回払い出してインストールに失敗した確認待ちのデジタル証明書についてもそのデジタル証明書、シリアル番号及びステータスがデータベース部４１から削除又は無効化されることになる。
＜悪意のあるユーザに係わる例＞
次に、ユーザがデジタル証明書保存に失敗したように見せかけて複数の端末装置にデジタル証明書をインストールする場合の動作例について図７〜図９を参照して説明する。

図７に示すように、ユーザは正常時の場合と同様にしてデジタル証明書を端末装置１に正しく保存する（ステップ１〜８）。

その後、正常動作ではステップ９でデジタル証明書の保存まで成功した旨の通知を行うが、本例では当該ユーザは端末装置１を操作して当該通知が行われないようにする。もしくは、当該通知を行うためにユーザによる操作が必要な場合には、当該操作を行わないようにする。また、デジタル証明書の保存が失敗した旨の通知を行うことも考えられる。

この場合、図５で説明した失敗時の動作と同様に、端末装置１に再度パスワードの入力を促す旨のエラーメッセージが送信される。

また、ステップ９では正常時と同様の通知をサービスシステム３に送信し、デジタル証明書要求を受信した後（ステップ１０）に、正しくないデジタル証明書を応答として返すよう端末装置１を操作することも考えられる。その場合、ステップ１２におけるデジタル証明書確認でエラーが発生し、端末装置１に再度パスワードの入力を促す旨のエラーメッセージが送信される。

この時点で端末装置１に払い出されたデジタル証明書のステータスは「確認待ち」のままである。

次に、図８に示すように、ユーザは端末装置１とは別の端末装置２を用いてデジタル証明書をその端末装置２に保存するための操作を行う。ここでは、正常時のステップ１〜１１６と同様の処理であるステップ１〜１６が実行される
図８の場合、端末装置２は「確認待ち」のデジタル証明書を保有していないので、ステップ５において端末装置２が「確認待ち」ステータスのデジタル証明書を保持していないことの確認がなされ、デジタル証明書の配布、確認のための一連の処理が正常に行われる。そして、ステップ１４において、今回配布したデジタル証明書以外のデジタル証明書のシリアル番号等はデータベース部４１から削除又は無効化される。従って、図７で説明した端末装置１に配布して「確認待ち」となっていたデジタル証明書のシリアル番号"０１００１"はデータベース部４１から削除又は無効化されることになる。

その後、図９（ａ）に示すように、正常時のステップ１７からの処理と同様にして、ユーザは端末装置２を利用してサービスシステム３からサービスを受けようとして、サービスシステム３にアクセスすると、サービスシステム３はSSL／TLSのハンドシェーク手順の中で、端末装置２のデジタル証明書とその保有の正当性を示すデータを受け取り（ステップ１９）、IDとシリアル番号の確認を含むデジタル証明書の確認を行う。端末装置２については、デジタル証明書のIDとシリアル番号は有効なものとしてデータベース部４１に格納されているのでデジタル証明書の確認に成功し、端末装置２に対してサービス提供がなされる。

一方、図９（ｂ）に示すように、最初にデジタル証明書を格納した端末装置１を利用してサービスシステム３からサービスを受けようとして、サービスシステム３にアクセスすると、サービスシステム３はSSL／TLSのハンドシェーク手順の中で、端末装置１のデジタル証明書とその保有の正当性を示すデータを受け取り（ステップ１９）、IDとシリアル番号の確認を含むデジタル証明書の確認を行う。ここではサービスシステム３は、デジタル証明書自体は有効であることを確認するが、当該デジタル証明書のIDとシリアル番号はデータベース部４１に有効に存在しないため、IDとシリアル番号の照合の段階でデジタル証明書正当性確認に失敗する（ステップ２１）。これにより、ユーザは端末装置１を用いてはサービスシステム３からサービスを受けることができず、端末装置１にインストールしたデジタル証明書が無効であることを知る。

（装置の詳細構成）
図１０に端末装置１の機能構成例を示す。図１０に示すように、端末装置１は、通信ネットワーク５を介して他の装置と通信を行う通信部１１、端末装置１のユーザが指示する情報を入力する入力部１２、端末装置１で処理された情報を表示する表示部１３、デジタル証明書をサービスシステム３からダウンロードし、インストールを行い、インストール成否の通知を送信する証明書取得部１４、サービスシステム３によるクライアント認証のためにデジタル証明書をサービスシステム３に送信する機能を含む認証機能部１５、制御対象となる機器本体部（例えば、エアコンの場合には、エアコン本来の機能に関するハードウェア及びソフトウェア）１６、及び記憶部１７を少なくとも備える。

サービスシステム３は図１に示した各機能部を別々のコンピュータを用いて構成してもよいし、複数の機能部を１つのコンピュータで構成し、全体を１台又は複数台のコンピュータで構成してもよい。

図１１に、本発明に係わる機能を備えたデジタル証明書配布システム５０の構成を示す。図１１に示すように、デジタル証明書配布システム５０は、前述した認証部３１、デジタル証明書配布部３５、及びデータベース部４１を含む。これらは１つの装置で実現してもよいし、別々の装置で実現してもよい。

認証部３１は、端末装置にデジタル証明書の要求を行い、応答に含まれるデジタル証明書の正当性を確認する証明書確認部３１１と、デジタル証明書の正当性を確認できなかった場合に端末装置１にエラーメッセージを送信するエラー通知部３１２を少なくとも有している。

また、デジタル証明書配布部３５は、パスワードの確認を行うパスワード認証部３５１と、パスワード認証の後に、デジタル証明書要求を認証部３１に依頼するとともに、端末装置１が確認待ちステータスのデジタル証明書を保持していない旨の通知を認証部３１から受けた場合にデジタル証明書の配布を行う証明書送信部３５２と、端末装置１からの通知に基づきデジタル証明書が正常に端末装置１に保存されたかどうかの確認を行い、正常に端末装置１に保存されていない場合にエラーメッセージを端末装置１に送信する保存確認／エラー通知部３５３と、データベース部４１の状態変更等を行うデータベース制御部３５４とを少なくとも備えている。データベース部４１には前述したデータが格納されている。なお、デジタル証明書配布システム５０の機能区分は図１１に示した例に限られるものではなく、本実施の形態で説明した処理を実行できるのであればどのような機能区分でもよい。

また、デジタル証明書配布システム５０は、CPU、記憶装置等を有するコンピュータに、本発明に係るプログラムを搭載することにより実現することが可能である。この場合、データベース部４１はデジタル証明書配布システム５０の外部にあることとしてもよい。

（フローチャート）
次に、図１２、１３のフローチャートを参照して、デジタル証明書配布システムの処理動作を説明する。

デジタル証明書配布部３５が、端末装置１からパスワードを受信すると、そのパスワードがデータベース部４１に登録されたものかどうかの確認を行う（ステップ５１）。ここでパスワードがデータベース部４１に登録されたものでない場合、端末装置１にエラーを返す等の処理を行う（ステップ５２）。

パスワードがデータベース部４１に登録されたものである場合、認証部３１はデジタル証明書要求を端末装置１に送信する（ステップ５３）。認証部３１が端末装置１から応答を受信し（ステップ５４）、ステータスが確認待ちになっているデジタル証明書を端末装置１が保有していないか否かを確認する（ステップ５５）。ステータスが確認待ちになっているデジタル証明書を端末装置１が保有していると判定された場合にはステップ６４に進む。

端末装置１が確認待ちのデジタル証明書を保有していないと判定された場合は、デジタル証明書配布部３５は、端末装置１から受信したパスワードと対応付けられたデジタル証明書に対応するステータスを「未配布」から「確認待ち」に変更し（ステップ５６）、そのデジタル証明書を端末装置１に送信する（ステップ５７）。

デジタル証明書配布部３５は、端末装置１からデジタル証明書を保存できたかどうかの通知を受ける（ステップ５８）。正しく保存できていないと判定された場合（ステップ５９にNo)は、デジタル証明書配布部３５は、再度パスワード入力を行うことを促すエラーメッセージを端末装置１に送信する（ステップ６０）。正しく保存できたと判定された場合（ステップ５９にYes)は、デジタル証明書配布部３５は認証部３１にデジタル証明書確認を依頼し、認証部３１は、デジタル証明書要求を行って（ステップ６１）、応答を受信する（ステップ６２）。

そして、認証部３１は、デジタル証明書の正当性確認を行うとともに、データベース部４１を参照してそのデジタル証明書のIDとシリアル番号がデータベース部４１において「確認待ち」となっているデジタル証明書のID及びシリアル番号と一致するかどうかの確認を行う（ステップ６３）。ここでの確認に失敗した場合、ステップ６０のエラー通知を行う。

また、ここでの確認に成功した場合、認証部３１はその旨をデジタル証明書配布部３５に通知し、デジタル証明書配布部３５は、確認に成功したデジタル証明書のステータスを「確認待ち」から「有効」に変更する（図１３のステップ６４）。更に、デジタル証明書配布部３５は、確認に成功したデジタル証明書のシリアル番号以外のシリアル番号及びそのデジタル証明書及びステータス、及びパスワードをデータベース部４１から削除又は無効化する（ステップ６５）。そして、デジタル証明書配布部３５は取得確認完了通知を端末装置１に送信する（ステップ６６）。

その後、端末装置１からのサービス要求に応じて、認証部３１が認証依頼を受けると（ステップ６７）、認証部３１は、デジタル証明書要求（ステップ６８）及び応答受信（ステップ６９）を行って、IDとシリアル番号の確認を含むデジタル証明書の確認を行い（ステップ７０）、認証OKであればその旨の通知をサービス提供部３７に対して行う（ステップ７１）。

（本実施の形態のサービスシステムの効果）
本実施の形態で説明したサービスシステムにより、ユーザによるデジタル証明書のダウンロード、インストール、もしくはインストール後のデジタル証明書確認の過程で何らかの不具合があり、デジタル証明書が正常に保存されたことが確認できなかった場合に、ユーザは、再度、同じパスワードを入力するだけで同じIDのデジタル証明書をダウンロードすることが可能となる。つまり、従来のようにデジタル証明書の再発行から依頼する必要はない。

また、本実施の形態では、サービスシステムが、同じIDで複数発行したデジタル証明書のIDとシリアル番号でデジタル証明書を管理するデータベース部４１を備え、デジタル証明書配布先の端末装置とサービスシステム間で最初に認証できることを確認したシリアル番号のデジタル証明書のみをデータベース部４１で有効とし、その時点で、発行した同じIDでシリアル番号の異なる証明書を無効化している。

ここで、デジタル証明書により認証を行う場合は、端末等から送られたデジタル証明書の正当性確認と、端末等がデジタル証明書に記載された公開鍵とペアになる秘密鍵を保有しているかどうかを確認することが一般的であるが、本実施の形態のシステムでは、これに加えて、デジタル証明書のIDとシリアル番号をデータベース部４１で確認し、それが有効であるかどうかを確認している。

従って、悪意のあるユーザに対して同じIDのデジタル証明書が複数の機器にインストールできたように見えたとしても、上記の仕組みから有効なシリアル番号を持つデジタル証明書は１つだけであり、また、デジタル証明書の認証時にIDとシリアル番号の確認を行うことから、悪意のあるユーザが複数の機器でデジタル証明書による認証を行おうとしても、１つの機器のみでしか認証に成功せず、複数機器を不正に利用することはできない。

なお、ダウンロードする段階で別の端末にダウンロードすることに対しては、特許文献１で提案されているように、ダウンロードするファイルの暗号鍵を予め端末に設定しておく方法がある程度有効である。しかし、この方法では、コストの観点から１台１台の端末に別の暗号鍵を設定することは想定しておらず、機種等の単位で同じ暗号鍵を使用することを想定している。このため、同じ機種の端末を複数所有するユーザは容易に不正なインストールが可能になってしまう。一方、本実施の形態のようなデータベースの管理方式を用いることにより、このような問題は解消される。

今後、情報家電機器によるインターネットサービス利用が進展するに伴い、家庭内で機器認証を利用する機会が増大する。その機器認証には、一般的に機器を購入後にデジタル証明書をインストールしてそのデジタル証明書を使用する場合が多くあると考えられる、しかし、機器を購入し、自宅に設置した後に、ユーザがデジタル証明書をインストールする場合に、その手順が複雑であれば、デジタル証明書をインストールしないユーザが発生し、みすみす快適にインターネットを利用する機会をなくしてしまい、インターネットサービス側から見てもビジネスのチャンスを失うことになる。

本実施の形態で説明したシステムにより、上記のような事態が発生しないように、不正利用を防止しつつ、パソコンリテラシの低いユーザにわかりやすくデジタル証明書をインストールする手段を提供でき、情報家電機器をインターネットに接続して、家庭生活を便利で快適なものにすることに貢献できる。

なお、本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明の実施の形態におけるシステムの全体構成例を示す図である。 データベース部４１が格納するデータの例を示す図である。 デジタル証明書を構成する主な項目の例を示す図である。 デジタル証明書のダウンロード及びインストールが正常に行われる場合の動作例を示す図である。 正常にデジタル証明書の保存までできなかった場合の動作例を示す図である。 正常にデジタル証明書の保存までできなかった場合の動作例を示す図である。 悪意のあるユーザに係わる動作例を示す図である。 悪意のあるユーザに係わる動作例を示す図である。 悪意のあるユーザに係わる動作例を示す図である。 端末装置１の機能構成例を示す図である。 デジタル証明書配布システム５０の構成例を示す図である。 デジタル証明書配布システム５０の動作のフローチャートである。 デジタル証明書配布システム５０の動作のフローチャートである。

符号の説明

１、２ 端末装置
１１ 通信部
１２ 入力部
１３ 表示部１
１４ 証明書取得部
１５ 認証機能部
１６ 機器本体部
１７ 記憶部
３ サービスシステム
３１ 認証部
３１１ デジタル証明書確認部
３１２ エラー通知部
３３ デジタル証明書発行部
３５ デジタル証明書配布部
３５１ パスワード認証部
３５２ 証明書送信部
３５３ 保存確認／エラー通知部
３５４ データベース制御部
３７ サービス提供部
３９ サービス受付部
４１ データベース部
５ 通信ネットワーク
５０ デジタル証明書配布システム

Claims (6)

1. ネットワークに接続された端末装置に対してデジタル証明書を配布するデジタル証明書配布システムであって、
   パスワードと、複数のデジタル証明書のシリアル番号と、当該複数のデジタル証明書の状態情報とを当該複数のデジタル証明書に共通に含まれる所定の識別情報に対応付けて格納する格納手段と、
   前記端末装置からパスワードを受信し、当該パスワードが前記格納手段に格納されたパスワードと一致する場合に、当該パスワードに対応し、前記状態情報が未配布を示すデジタル証明書を取得し、そのデジタル証明書を前記端末装置に前記ネットワークを介して配布する配布手段と、
   前記デジタル証明書が前記端末装置に正常に保存されたことを確認するための確認手段と、
   前記確認手段により、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できた場合に、前記格納手段における当該デジタル証明書に対応する状態情報を有効とするとともに、それ以外のデジタル証明書に対応するシリアル番号を削除又は無効化する状態変更手段と、
   を備えたことを特徴とするデジタル証明書配布システム。
2. 前記確認手段により、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できなかった場合に、エラーメッセージを前記端末装置に送信するエラー通知手段を更に備えたことを特徴とする請求項１に記載のデジタル証明書配布システム。
3. 前記配布手段は、前記端末装置から受信したパスワードが、前記格納手段に格納されたパスワードと一致する場合に、前記デジタル証明書に対応する状態情報を確認待ちとするとともに、デジタル証明書送付を前記端末装置に要求し、前記端末装置から受信した応答の中に、前記格納手段に確認待ちとして格納されているデジタル証明書がないことを確認する手段を有し、
   前記手段により、前記応答の中に前記格納手段に確認待ちとして格納されているデジタル証明書がないことを確認した場合に、前記デジタル証明書を前記端末装置に配布することを特徴とする請求項１に記載のデジタル証明書配布システム。
4. 前記端末装置の認証要求を受けて、当該端末装置に対してデジタル証明書送付を要求し、当該端末装置から受信したデジタル証明書の正当性を確認するとともに、当該デジタル証明書のシリアル番号が、前記格納手段に有効なものとして含まれているか否かを確認する認証手段を更に備えたことを特徴とする請求項１ないし３のうちいずれか１項に記載のデジタル証明書配布システム。
5. パスワードと、複数のデジタル証明書のシリアル番号と、当該複数のデジタル証明書の状態情報とを当該複数のデジタル証明書に共通に含まれる所定の識別情報に対応付けて格納する格納手段にアクセスする手段を備え、ネットワークに接続された端末装置に対してデジタル証明書を配布するデジタル証明書配布システムが実行するデジタル証明書配布方法であって、
   前記端末装置からパスワードを受信し、当該パスワードが前記格納手段に格納されたパスワードと一致する場合に、当該パスワードに対応し、前記状態情報が未配布を示すデジタル証明書を取得し、そのデジタル証明書を前記端末装置に前記ネットワークを介して配布する配布ステップと、
   前記デジタル証明書が前記端末装置に正常に保存されたことを確認する確認ステップと、
   前記確認ステップにより、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できた場合に、前記格納手段における当該デジタル証明書に対応する状態情報を有効とするとともに、それ以外のデジタル証明書に対応するシリアル番号を削除又は無効化する状態変更ステップと、
   を備えたことを特徴とするデジタル証明書配布方法。
6. コンピュータを、ネットワークに接続された端末装置に対してデジタル証明書を配布するデジタル証明書配布システムとして機能させるデジタル証明書配布プログラムであって、コンピュータを、
   パスワードと、複数のデジタル証明書のシリアル番号と、当該複数のデジタル証明書の状態情報とを当該複数のデジタル証明書に共通に含まれる所定の識別情報に対応付けて格納する格納手段にアクセスする手段、
   前記端末装置からパスワードを受信し、当該パスワードが前記格納手段に格納されたパスワードと一致する場合に、当該パスワードに対応し、前記状態情報が未配布を示すデジタル証明書を取得し、そのデジタル証明書を前記端末装置に前記ネットワークを介して配布する配布手段、
   前記デジタル証明書が前記端末装置に正常に保存されたことを確認するための確認手段、
   前記確認手段により、前記デジタル証明書が前記端末装置に正常に保存されたことを確認できた場合に、前記格納手段における当該デジタル証明書に対応する状態情報を有効とするとともに、それ以外のデジタル証明書に対応するシリアル番号を削除又は無効化する状態変更手段、
   として機能させるデジタル証明書配布プログラム。

Images