JP2008236341A - サーバ証明書発行システム - Google Patents

Abstract

【課題】ドメイン登録システムとサーバ証明書の発行システムとが連携したサーバ証明書発行システムを実現する。
【解決手段】クライアント（１）からのドメイン登録要求及び証明書の発行要求を含む登録申請は、登録申込受付機関（２）により受け付けられる。登録申込受付機関は、ドメイン登録機関（３）に対してドメインの登録を要求し、そのドメイン登録が完了すると、証明書申請情報とドメイン完了通知が証明書発行要求受付機関（４）に送付される。証明書発行要求受付機関は、PKIキーペアを生成すると共にCSRファイルを作成し、認証機関（５）に送付する。認証機関により作成されたデジタル証明書は、証明書発行要求受付機関に送付され、パスワードで暗号化されてクライアントのWebサーバ（８）にダウンロードされる。
【選択図】 図１

Description

本発明は、ドメイン登録システムとSSL証明書発行システムとが連携した新規なサーバ証明書発行システムに関するものである。

WebサーバとWebブラウザとの間のインターネット通信を安全に行うため、公開鍵暗号基盤（PKI：Public Key Infrastructure）を利用したSSL（Secure Socket Layer）が実用化されている。SSLが導入された通信システムでは、信頼できる第三者機関である認証機関（認証局：ＣＡ）から発行されたサーバ証明書（SSL証明書）を用いて暗号化処理が行われるため、なりすまし、改ざん、盗聴等が防止され、一層セキュアなインターネット通信が確保される。

認証機関がSSL証明書（デジタル証明書，サーバ証明書）を発行する際、SSL証明書の発行申請者の同一性確認（本人確認）が重要であり、同一性の確認方法として、ドメイン認証を利用したサーバ証明書発行システムが実用化されている（例えば、特許文献１参照）。このドメイン認証を利用したサーバ証明書発行システムの概略を以下に説明する。初めに、ユーザは、ドメイン登録機関に対してドメイン名の登録申請を行い、自己のドメイン名についてドメイン登録を取得する。次に、ユーザは、対となる秘密鍵と公開鍵とを生成すると共にサーバ証明書の発行要求（CSR）を作成し、作成したCSRを添付して認証機関（認証局）に証明書の発行を申請する。認証機関は、受け取った申請がドメイン登録者からの正式な申請であることを確認するため、申請情報に含まれるドメイン登録情報に基づき、本人確認のための審査を実施する。この審査に当たり、認証機関は、ドメイン登録機関に対して問い合わせを行い、ドメイン登録情報を確認する。さらに、申請者に確認のメールを送り、申請者の承認を確認する。そして、正式なドメイン登録者からの申請であることが確認できた場合に限り、デジタル署名を行ってSSL証明書が発行される。
特表２００５−５０６７３７号公報

SSL証明書の発行に際し、認証機関は、ドメイン登録機関への登録情報の確認を行うと共にユーザの電子メールアドレスを用いて正式なドメイン登録者からの申請であるか否かの確認を行っている。しかながら、申請の真正性確認のための多大な労力を要しているが、真正性の確認に限界があり、誤発行する危険性が潜在している。

また、ドメイン登録とデジタル証明書の発行とは、別の機関に対する申請作業であるため、ユーザにとって申請手続が煩雑化する欠点もある。特に、新たにWebサーバを立ち上げる場合、ドメイン登録の取得、Webサーバの構築、及びSSL証明書の取得を順次実施する必要があり、システムの稼働開始日とSSL証明書の開始日をタイムリーに一致させることがスケジュール的に困難になる問題点も指摘されている。この場合、SSL証明書の有効期間の開始日を先日付を用いる予約可能なシステムとすれば、Webサーバのシステム稼働日とSSL証明書の有効期間の開始日とを一致させることが可能である。

さらに、ユーザにとって、PKIキーペアの生成及びCSRファイルの作成作業は不慣れで煩雑な作業であり、多大な労力と時間を必要とする問題点も指摘されている。

本発明の目的は、ドメイン登録システムとサーバ証明書の発行システムとを連携させ、誤発行が解消されたネットワークサービスシステムを実現することにある。
本発明の別の目的は、ドメイン登録とデジタル証明書の発行とをほぼ同時に行うことができるネットワークサービスシステムを提供することにある。
さらに、本発明の別の目的は、ユーザにとって煩雑なPKIキーペアの生成及びCSRファイルの作成作業が解消されたサーバ証明書発行システムを実現することにある。

本発明によるサーバ証明書発行システムは、ネットワークに接続され、クライアントからのドメイン登録要求及びデジタル証明書の発行要求を含む登録申請を受け付ける登録申込受付機関と、
登録申込受付機関からのデジタル証明書の発行要求を受け取り、署名要求ファイル（CSRファイル）を生成する証明書発行要求受付機関と、
証明書発行要求受付機関からのデジタル証明書の発行要求に応じて、デジタル証明書を作成し、作成したデジタル証明書を証明書発行要求受付機関に発行する認証機関とを具えるサーバ証明書発行システムであって、
前記登録申込受付機関は、クライアントから登録申請されたドメイン名について、ドメイン登録機関に対して登録を申請する手段と、ドメイン登録機関からの登録完了情報を受け取る手段と、ドメイン登録機関からの登録完了通知の受信に応じて、デジタル証明書の発行要求を証明書発行要求受付手段に送出する手段とを有し、
前記証明書発行要求受付機関は、登録申込受付機関からの証明書発行要求を受け取る手段と、対となる公開鍵と秘密鍵とのキーペアを生成するキーペア生成手段と、生成されたキーペアの公開鍵を含むCSRファイルを作成する手段と、作成したCSRファイルを認証機関に送付する手段と、認証機関から送付されたデジタル証明書の受領に応じて、受け取ったデジタル証明書及び対となる秘密鍵を含む情報を暗号化してファイルを作成する手段と、作成したファイルを前記クライアントのWebサーバに送出する手段とを有することを特徴とする。

本発明は、ドメイン登録システムと証明書発行システムとが連携した新たなサーバ証明書発行システムを構築する。すなわち、クライアントからドメインの登録要求と証明書の発行要求とを含む登録申請がされた際、ドメイン登録システムにおいてドメイン登録を行い、証明書発行申請情報と共にドメイン登録の完了情報を証明書発行システム側に送出し、証明書発行システム側において引き継ぎ、キーペアファイルの作成及びCSRファイルの作成を行う。このように、ドメイン登録システムと証明書発行システムとを連携させることにより、認証機関における本人確認作業が大幅に軽減されると共に、PKIキーペアの生成及びCSRファイルの作成が認証機関側において行われ、ユーザの負担が大幅に軽減される。

本発明によるサーバ証明書発行システムの好適実施例は、登録申込受付機関は、前記証明書発行要求受付機関に対して証明書の発行を要求する際、ユーザから送られてきた証明書の発行申請情報と当該ドメインに関する登録情報とを証明書発行要求受付機関に送出し、当該証明書発行要求受付機関は、受領した証明書発行申請情報とドメイン登録情報とに基づいてCSRファイルを作成するか否かを判断することを特徴とする。本発明によるサーバ証明書発行システムでは、ドメイン登録者と証明書申請者とが同一であるため、証明書発行要求受付機関の本人確認作業が大幅に軽減される。

本発明によるサーバ証明書発行システムの別の好適実施例は、証明書の有効期間の開始日を証明書の発効日よりも先の日付をとし、前記証明書発行要求受付機関は、証明書の有効期間の開始日以前にクライアントのWebサーバに証明書を発効することを特徴とする。本発明によるサーバ証明書発行システムでは、Webサーバが構築される前に証明書の発効が可能であるため、証明書の有効期間の開始日をWebサーバの稼働開始日に一致させることが可能である。

本発明によるサーバ証明書発行システムの別の好適実施例は、クライアントからの登録申請にはデジタル証明書暗号化用のパスワードが含まれ、前記証明書発行要求受付機関は、登録申請に含まれるデジタル証明書暗号化用のパスワードを用いて前記秘密鍵及びデジタル証明書を暗号化してファイルを作成することを特徴とする。

本発明では、ドメイン登録システムとサーバ証明書発行システムとが連携しているので、登録機関の本人確認作業の負担が大幅に軽減すると共に、PKIキーペアの生成及びCSRファイルの作成が認証機関側において実行されるため、クライアントの煩雑な作業も軽減される。さらに、証明書の有効期間の開始日を予約することができるので、証明書の有効期間の開始日とWebサーバの稼働開始日とを一致させることも可能になる。

図１は本発明によるサーバ証明書発行システムの一例を示す線図である。自己のドメイン名についてドメイン登録を希望すると共にサーバ証明書の発行を希望するユーザは、ネットワークを介してユーザ端末１から登録申込受付機関２に登録申込を行う。登録申込を行うユーザとして、例えば新たなWebサーバの立ち上げを予定している事業者が想定される。また、登録申込受付機関２は、ドメイン登録を代行する事業者、指定事業者、インターネットサービスプロバイダ（ＩＳＰ）等が該当する。尚、図面を明瞭にするため、１つの登録申込受付機関だけを図示したが、登録申込受付機関は複数存在することも可能である。ユーザからの登録申込は、ドメイン登録に必要な情報及びSSL証明書の発行に必要な情報を含んでいる。SSL証明書の発行申請に必要な情報として、例えば以下の情報が含まれる。
ア．登録申請者のコモンメーム（FQDN）
イ．証明書有効開始日及び有効期間
ウ．登録申請者の電子メールアドレス
エ．証明書暗号化用のパスワード（例えば、pkcs12フォーム）

ユーザからの登録申込を受け取った登録申込受付機関２は、ドメイン名の登録に必要な情報が含まれているか否かを審査すると共に証明書の発行に必要な情報が含まれているか否かも審査する。所定の情報が添付されていることを確認した場合、登録申請受付機関２は、当該ドメイン名についてドメイン登録機関３に対してドメイン登録の申請を行う。ドメイン登録機関３は、ドメイン名の登録及び管理を行う機関が該当し、例えば日本レジストリサービス（JPRS）が該当する。ドメイン登録機関３は、登録申請されたドメイン名について審査を行い、登録要件を満たしていない場合当該ドメインについて登録を拒否することを決定し、その旨を登録申込受付機関２に通知する。登録要件を満たしていると判断した場合、申請されたドメイン名について登録を行い、当該ドメイン名について登録が承認され、登録手続が完了したことを示す登録完了通知を登録申込受付機関２に送付する。当該登録完了通知は、登録されたドメイン名、当該ドメインの登録者の名称、及び登録者の電子メールアドレス等の情報を含んでいる。

登録申込受付機関２は、申請したドメイン名について登録が完了した旨の登録完了通知を受けると、証明書発行要求受付機関４に対し、証明書発行要求を送付する。当該証明書発行要求には、ドメイン登録機関３から送付された登録完了通知及びSSL証明書の発行申請情報が含まれる。従って、証明書発行要求受付機関４は、ユーザから提出された証明書申請情報とドメイン登録完了通知とを照合するだけで、証明書の発行申請者とドメイン登録者との同一性が即座に判断することができ、本人確認のための煩雑な手続が不要である。すなわち、本システムでは、同一のユーザがSSL証明書の発行要求とドメイン登録要求を行うから、SSL証明書の発行申請者とドメイン登録者とは必ず一致する。従って、SSL証明書の発行に際し、格別な本人確認作業が不要になる利点が達成される。

証明書発行要求受付機関４は、登録申込受付機関２からの証明書発行要求を受け付け、ドメイン登録情報とSSL証明書申請情報とを受け継ぎ、証明書の発行に必要な情報の作成を開始する。初めに、対となる秘密鍵と公開鍵のキーペアを作成すると共に証明書署名要求ファイル（CSRファイル）を作成する。作成したCSRファイルは、認証機関５に送付される。尚、生成された秘密鍵及びCSRファイルは、鍵管理用の暗号鍵で暗号化して鍵管理サーバに保管する。

認証機関５に送付されたCSRファイルは、登録局（ＲＡ）６のシステムを経て認証局７のシステム（ＣＡ）に送付され、CSRファイルに含まれる公開鍵が認証機関の秘密鍵により電子的に署名され、SSL証明書が作成される。

認証機関により作成されたSSL証明書は、登録局を経て証明書発行要求受付機関４に送付される。証明書発行要求受付機関は、CSRファイル作成時の情報から暗号化用のパスワードを取り出し、SSL証明書と対となる秘密鍵をpkcs12フォーマットにエクスポートし、ダウンロード領域に格納する。そして、ユーザ宛てにSSL証明書のダウンロードの準備が完了したことを通知する。

ユーザは、ダウンロードの通知メールを受け取ると、通知メールのガイドに従い、pkcs12のフォーマットのSSL証明書をダウンロードし、事前に設定したパスワードで解凍し、自己のWebサーバ８にインストールする。

登録申込受付機関２の構成について説明する。図２は、登録申込受付機関の一例を示す線図である。登録申込受付機関は、通信手段１０を有し、当該通信手段１０及びネットワークを介して情報の交換を行う。ユーザからの登録申込は、登録申込受付手段１１に入力し、ドメイン登録に必要な情報及びSSL証明書の発行に必要な情報が含まれているか否か審査される。審査の結果、必要な情報が含まれていない場合、当該登録申込を拒否する。当該登録申込がドメイン登録及びSSL証明書の発行に必要な情報が含まれている場合、当該ユーザから登録申込を受け付ける。

ユーザからの登録申込が受け付けられると、ドメイン登録申請手段１２が駆動し、ドメイン登録機関３に対してドメイン登録の申請が行われる。当該申請には、ドメイン登録に必要な情報が添付される。当該ドメイン名についてドメイン登録が行われると、ドメイン登録機関から登録完了通知が送付され、登録完了通知受信手段１３により受信される。登録完了通知が受信されると、証明書発行要求送付手段１４が駆動し、証明書発行要求受付機関４に対して証明書の発行要求が送信される。当該証明書の発行要求には、証明書の発行申請情報及びドメイン登録情報並び証明書暗号化のためのパスワードが含まれる。

図３は、証明書発行要求受付機関４の一例を示す線図である。登録申込受付機関２からの証明書発行要求は、通信手段２０を介して証明書発行要求受信サーバ２１により受信され、ドメイン登録情報と証明書申請情報が引き継がれる。当該サーバは、発行要求に含まれる情報を確認し、キーペア生成サーバ２２に対してPKIキーペアの生成を指令すると共にCSRファイル生成サーバ２３に対してCSRファイルの生成を指令する。CSRファイルサーバ２３には、キーペア生成サーバ２２により作成された公開鍵が送出されると共に証明書発行要求受信サーバから証明書申請情報が送出され、CSRファイルサーバは、これらの情報に基づいて公開鍵情報を含むCSRファイルを生成する。生成されたCSRファイルは通信手段を介して認証機関５に送出される。また、当該CSRファイル及び秘密鍵は、鍵管理用の暗号鍵を用いて暗号化して鍵管理サーバ２４に保管する。

認証機関により署名されたSSL証明書は、SSL証明書受信サーバ２５により受信され、ファイル作成サーバ２６に送出される。ファイル作成サーバ２６では、SSL証明書及び対となる秘密鍵は暗号化用のパスワードを用いてpkc12のフォーマットにエクスポートしてダウンロード領域に格納する。

図４は本発明によるサーバ証明書発行システムの変形例を示す線図である。図４において、図１で用いた構成要素と同一の構成要素には同一符号を付して説明する。本例では、証明書発行要求を受け付ける証明書発行要求受付機関と認証機関の登録局とがネットワーク上において一体化して単一の機関として機能する。すなわち、登録局３０は、登録申込受付機関２からの証明書の発行要求を受け付けるサーバ、KPIキーペアを生成するサーバ、CSRファイルを生成するサーバ、及び、SSL証明書を受信するサーバを有する。そして、生成したCSRファイルを発行局７に送出し、発行局により作成されたSSL証明書を受信し、クライアントのWebサーバ８に送出する。このように、証明書発行要求を受け付け機関と登録局とがネットワーク上において単一の機関として機能することも可能である。

上記サーバ証明書発行システムにおいて、登録機関は、登録申込受付機関からの証明書の発行要求を受け付けた後、PKIキーペアを生成し、CSRファイルを作成し、発行局（認証機関）へCSRを送信し、その応答として発行局からのSSL証明書を受信し、SSL証明書及び対となる秘密鍵を暗号化用のパスワードを用いて、pkc12のフォーマットにエクスポートしてダウンロード領域に格納する。これを一連の処理として実行し、対となる秘密鍵はファイル上に一度も格納することなく安全に削除する。尚、発行局へのCSR送信後、SSL証明書の受信までは、ネットワーク接続により瞬時の処理となる。

さらに、ユーザからのドメイン登録要求と証明書の発行要求を受け付ける機関２と、PKIキーペアの生成サーバ及びCSRファイル生成サーバを有する証明書発行要求受付機関４とがネットワーク上単一の機関として機能することも可能である。

本発明によるサーバ証明書発行システムの一例を示す線図である。 登録申込受付機関の一例の構成を示す線図である。 本発明による証明書発行要求受付機関の一例を示す線図である。 本発明によるサーバ証明書発行システムの変形例を示す線図である。

符号の説明

１ ユーザ端末
２ 登録申込受付機関
３ ドメイン登録機関
４ 証明書発行要求受付機関
５ 認証機関
６ 登録局
７ 発行局
８ Webサーバ
１０，２０ 通信手段
１１ 登録申込受付手段
１２ ドメイン登録申請手段
１３ 登録完了受信手段
１４ 証明書発行要求送付手段
２１ 証明書発行要求受信サーバ
２２ キーペア生成サーバ
２３ CSRファイル生成サーバ
２４ 鍵管理サーバ
２５ SSL証明書受信サーバ
２６ ファイル作成サーバ

Claims (9)

1. ネットワークに接続され、クライアントからのドメインの登録要求及びデジタル証明書の発行要求を含む登録申請を受け付ける登録申込受付機関と、
   登録申込受付機関からのデジタル証明書の発行要求を受け取り、署名要求ファイル（CSRファイル）を生成する証明書発行要求受付機関と、
   証明書発行要求受付機関からのデジタル証明書の発行要求に応じて、デジタル証明書を作成し、作成したデジタル証明書を証明書発行要求受付機関に発行する認証機関とを具えるサーバ証明書発行システムであって、
   前記登録申込受付機関は、クライアントから登録申請されたドメイン名について、ドメイン登録機関に対して登録を申請する手段と、ドメイン登録機関からの登録完了情報を受け取る手段と、ドメイン登録機関からの登録完了通知の受信に応じて、デジタル証明書の発行要求を証明書発行要求受付手段に送出する手段とを有し、
   前記証明書発行要求受付機関は、登録申込受付機関からの証明書発行要求を受け取る手段と、対となる公開鍵と秘密鍵とのキーペアを生成するキーペア生成手段と、生成されたキーペアの公開鍵を含むCSRファイルを作成する手段と、作成したCSRファイルを認証機関に送付する手段と、認証機関から送付されたデジタル証明書の受領に応じて、受け取ったデジタル証明書及び対となる秘密鍵を含む情報を暗号化してファイルを作成する手段と、作成したファイルを前記クライアントのWebサーバに送出する手段とを有することを特徴とするサーバ証明書発行システム。
2. 請求項１に記載のサーバ証明書発行システムにおいて、前記登録申込受付機関は、前記証明書発行要求受付機関に対して証明書の発行を要求する際、ユーザから送られてきた証明書の発行申請情報と当該ドメインに関する登録情報とを証明書発行要求受付機関に送出し、当該証明書発行要求受付機関は、受領した証明書発行申請情報とドメイン登録情報とに基づいてCSRファイルを作成するか否かを判断することを特徴とするサーバ証明書発行システム。
3. 請求項１又は２に記載のサーバ証明書発行システムにおいて、証明書の有効期間の開始日を証明書の発効日よりも先の日付とし、前記証明書発行要求受付機関は、証明書の有効期間の開始日以前にクライアントのWebサーバに証明書を発行することを特徴とするサーバ証明書発行システム。
4. 請求項１、２又は３に記載のサーバ証明書発行システムにおいて、クライアントからの登録申請にはデジタル証明書暗号化用のパスワードが含まれ、前記証明書発行要求受付機関は、登録申請に含まれるデジタル証明書暗号化用のパスワードを用いて前記秘密鍵及びデジタル証明書を暗号化してファイルを作成することを特徴とするサーバ証明書発行システム。
5. 請求項４に記載のサーバ証明書発行システムにおいて、前記証明書発行要求受付機関は、前記生成した秘密鍵と認証機関から受け取ったデジタル証明書とを、クライアントからの登録申請に含まれるパスワードを用いてエクスポートして管理する鍵管理手段を有することを特徴とするサーバ証明書発行システム。
6. 請求項１から５までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記登録申請受付機関と証明書発行要求受付機関とが一体化され、ネットワーク上において単一の機関として機能することを特徴とするサーバ証明書発行システム。
7. 請求項１から５までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記証明書発行要求受付機関と認証機関の登録局とが一体化され、ネットワーク上において単一の機関として機能することを特徴とするサーバ証明書発行システム。
8. ネットワークに接続され、クライアントからのドメインの登録要求及びデジタル証明書の発行要求を含む登録申請を受け付ける登録申込受付機関と、
   登録申込受付機関からのデジタル証明書の発行要求を受け取り、署名要求ファイル（CSRファイル）を生成する登録機関と、
   登録機関からのデジタル証明書の発行要求に応じて、デジタル証明書を作成し、作成したデジタル証明書を前記登録機関に発行する発行機関とを具えるサーバ証明書発行システムであって、
   前記登録申込受付機関は、クライアントから登録申請されたドメイン名について、ドメイン登録機関に対して登録を申請する手段と、ドメイン登録機関からの登録完了情報を受け取る手段と、ドメイン登録機関からの登録完了通知の受信に応じて、デジタル証明書の発行要求を登録機関に送出する手段とを有し、
   前記登録機関は、登録申込受付機関からの証明書発行要求を受け取る手段と、対となる公開鍵と秘密鍵とのキーペアを生成するキーペア生成手段と、生成されたキーペアの公開鍵を含むCSRファイルを作成する手段と、作成したCSRファイルを前記発行機関に送付する手段と、発行機関から送付されたデジタル証明書の受領に応じて、受け取ったデジタル証明書及び対となる秘密鍵を含む情報を暗号化してファイルを作成する手段と、作成したファイルを前記クライアントのWebサーバに送出する手段とを有することを特徴とするサーバ証明書発行システム。
9. 請求項８に記載のサーバ証明書発行システムにおいて、前記登録機関は、キーペアの生成処理、CSRファイルの作成処理、発行機関へのCSRファイルの送付処理、発行されたデジタル証明書の受領、及び、デジタル証明書と秘密鍵を含むファイルの暗号化処理を一連の処理として実行し、秘密鍵とパスワードをファイル上に残すことなく保護することを特徴とするサーバ証明書発行システム。

Images