JP2011197917A - サービスシステム及びサービス方法 - Google Patents

Abstract

【課題】サービスを提供するＷｅｂサーバがクライアント証明書の発行元認証局へ接続することなく、クライアント証明書の管理を行うことができるようにする。
【解決手段】クライアント証明書の発行元のチェックを行う認証サーバ12が、Ｗｅｂサーバ13とネットワーク14との間に接続されている。認証サーバ12は、パソコン11がクライアント証明書を使用してサービスの利用のためにＷｅｂサーバにアクセスしたとき、使用されたクライアント証明書の発行元のチェックを行い、問題がない場合に、クライアント証明書が保持している固有情報をＷｅｂサーバ13に引き渡し、Ｗｅｂサーバ13は、認証サーバから引き渡された固有情報と、保持しているクライアント証明書情報データベース33とから、パソコン11が使用したクライアント証明書が真正なものであるか否かを判定する。
【選択図】図１

Description

本発明は、サービスシステム及びサービス方法に係り、特に、ＡＳＰサービス等のサービスを提供するＷｅｂサーバがクライアント証明書の発行元認証局へ接続することなく、Ｗｅｂサーバ側でクライアント証明書の管理を行い、サービスの利用制限を行うことを可能にしたクライアント証明書を用いるサービスシステム及びサービス方法に関する。

一般に、クライアント証明書は、インターネットを経由したＳＳＬ通信（Secure Socket Layer通信）に用いられるものであり、発行元である認証局からＡＳＰ（Application Service Provider）サービス等のサービスを利用するパソコンにインストールして使用される。そして、このクライアント証明書は、ユーザＩＤ、発行者、シリアル番号、有効期間等の情報を保持しており、使用された際にアクセス先のＷｅｂサーバ等が発行者等の情報をチェックし、アクセスを許可するか否かを決定するために使用される。

例えば、利用者のパソコンからクライアント証明書を用いたアクセス制御を行っているＡＳＰサービス等のサービスを提供するＷｅｂサーバに対してアクセスを行った場合、パソコンにクライアント証明書がインストールされていないと、Ｗｅｂサーバは、そのアクセスを拒否する。また、パソコンにクライアント証明書がインストールされていても、アクセス先のＷｅｂサーバが利用対象としていないクライアント証明書であった場合、発行者等のチェックによりそのアクセスが拒否される。

前述したようなクライアント証明書の利用に関する従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、クライアント証明書自体にユーザ情報を埋め込んでおき、このクライアント証明書を使用してＡＳＰサービス等のサービスを提供する装置にアクセスが行われた場合、アクセス先の装置が、クライアント証明書が保持している固有情報とシステムが保持しているユーザ情報との関連チェックを行うことにより、アプリケーションの起動権限の有無を判定するというものである。そして、この従来技術は、クライアント証明書を用いることにより、ＡＳＰサービスを提供する装置へのログインを自動化し、起動するアプリケーションをシステムに判定させるためのものであり、クライアント証明書自体のチェックについては発行者のチェックまでしか行うことができないものである。

特開２００５−１５７８４５号公報

前述した従来技術は、クライアント証明書の発行者をチェックすることはできるが、そのクライアント証明書の有効・無効の状態や、シリアル番号の管理を行うためには、クライアント証明書を使用するＡＳＰサービス等のサービスを提供するＷｅｂサーバ等の側が、クライアント証明書の発行元である認証局と回線接続を行い、クライアント証明書を使用したアクセスを受信する度に、認証局へ問合せを行う必要のあるものである。

このため、例えば、クライアント証明書をインストールしたパソコンが盗難にあった場合で、クライアント証明書を失効する手続きを行っていた場合等でも、サービス提供側は、認証局へ接続して問い合わせを行わないと、クライアント証明書が失効したという情報を取得することができないことになる。すなわち、前述した従来技術は、ＡＳＰサービス等のサービスを提供するＷｅｂサーバ等と認証局とを常時接続するための仕組みが必要となり、障害発生要因を増加させ、また、回線を維持するための費用を増加させてしまうという問題点を有している。

本発明の目的は、前述した従来技術の問題点を解決し、クライアント証明書が保持している固有情報を元に、ＡＳＰサービス等のサービスを提供するＷｅｂサーバ側でクライアント証明書をチェックすることを可能として、ＡＳＰサービス等のサービスを提供するＷｅｂサーバがクライアント証明書の発行元認証局へ接続することなく、クライアント証明書の管理を行うことができるようにしたクライアント証明書を用いるサービスシステム及びサービス方法を提供することにある。

本発明によれば前記目的は、サービスを提供するＷｅｂサーバとクライアント証明書を使用するパソコンとがインターネットを含むネットワークを介して接続されて構成されるサービスシステムにおいて、クライアント証明書の発行元のチェックを行う認証サーバが、前記Ｗｅｂサーバとネットワークとの間に接続されており、前記Ｗｅｂサーバは、クライアント証明書情報データベースを備え、前記認証サーバは、前記パソコンが前記クライアント証明書を使用してサービスの利用のために前記Ｗｅｂサーバにアクセスしたとき、使用されたクライアント証明書の発行元のチェックを行い、クライアント証明書に問題がない場合に、前記クライアント証明書が保持している固有情報をＷｅｂサーバに引き渡し、前記Ｗｅｂサーバは、前記認証サーバから引き渡された前記クライアント証明書が保持している固有情報と、自Ｗｅｂサーバが保持しているクライアント証明書情報データベースとから、前記パソコンが使用したクライアント証明書が真正なものであるか否かを判定して、サービス提供の可否を決定することにより達成される。

本発明によれば、ＡＳＰサービス等のサービスを提供するＷｅｂサーバがクライアント証明書の発行元認証局へ接続することなく、Ｗｅｂサーバ側でクライアント証明書の管理を行い、サービスの利用制限を行うことができる。

本発明の一実施形態によるＡＳＰサービスシステムの構成を示すブロック図である。 本発明の実施形態によるＡＳＰサービスシステムでのアクセス可否の判定の処理を説明するフローチャートである。 クライアント証明書情報のデータの関連を説明する図である。

以下、本発明によるサービスシステム及びサービス方法の実施形態を図面により詳細に説明する。以下に説明する本発明の実施形態は、ＡＳＰサービスを提供するＡＳＰサービスシステムを例として説明するが、本発明は、ＡＳＰサービス以外の各種のサービスを提供するサービスシステムに適用することができる。

図１は本発明の一実施形態によるＡＳＰサービスシステムの構成を示すブロック図である。

本発明の実施形態によるＡＳＰサービスシステムは、図１に示すように、クライアント証明書を使用してＡＳＰサービスの提供を受ける複数のパソコン１１がインターネット等ネットワーク１４を介して、クライアント証明書の認証機能を有する機器である認証サーバ１２に接続され、この認証サーバ１２がＡＳＰサービスを提供するＷｅｂサーバ１３に接続されて構成されている。

前述のパソコン１１、認証サーバ１２、Ｗｅｂサーバ１３は、それぞれ、情報処理装置としてよく知られているように、図示していないが、ＣＰＵ、メモリ、ＨＤＤ等の記憶装置、入出力装置を備えて構成されており、本発明で必要とする後述する各種の機能は、プログラムとして記憶装置内に格納されていて、メモリにロードされＣＰＵにより実行されることにより構築される。

前述したように構成される本発明の実施形態によるＡＳＰサービスシステムにおいて、クライアント証明書を使用してＡＳＰサービスを受けようとするパソコン１１は、ネットワーク１４を介してＡＳＰサービスを提供するＷｅｂサーバ１３にアクセスする際、使用するクライアント証明書の認証機能を有する機器である認証サーバ１２で認証（クライアント証明書の発行元のチェック）を受け、Ｗｅｂサーバ１３にアクセスする。

そして、パソコン１１は、ＡＳＰサービスを提供するＷｅｂサーバにアクセスする際、自身にインストールされているクライアント証明書を用いる。使用されたクライアント証明書は、認証機能を有する機器である認証サーバ１２によりその発行元の確認が行われる。認証サーバ１２は、クライアント証明書の発行元に問題があればアクセスされた接続を不可とし、発行元に問題がない場合、受け取ったクライアント証明書が保持している固有情報をＷｅｂサーバ１３へ転送する。

Ｗｅｂサーバ１３は、図示していない画面表示のプログラムにより認証サーバ１２から転送されてきたクライアント証明書の情報を受け取り、受け取ったクライアント証明書情報と自サーバ内に保持しているクライアント証明書情報データベース３３とを元に、使用されたクライアント証明書が真正なものか否かを確認してパソコン１１からのアクセスの可否の判定を行う。その際、Ｗｅｂサーバ１３は、アクセスを許可するクライアント証明書キー情報３２を参照し、アクセスに使用されたクライアント証明書に該当する場合にアクセス可とし、システムログインのためのユーザＩＤ、パスワード入力欄を持つ画面情報をパソコン１１に送信して表示させる。また、Ｗｅｂサーバ１３は、アクセスを許可するクライアント証明書キー情報３２がアクセスに使用されたクライアント証明書に該当しない場合にアクセス不可とし、エラーメッセージをパソコン１１に送信して表示させ、ログインできないことをパソコン１１のユーザに通知する。

図２は本発明の実施形態によるＡＳＰサービスシステムでのアクセス可否の判定の処理を説明するフローチャートであり、次に、これについて説明する。

（１）パソコン１１は、ＡＳＰサービスを利用するため、クライアント証明書を使用し、インターネット等のネットワーク１４を経由してＡＳＰサービスを提供するＷｅｂサーバ１３（https://・・）へアクセスする。その際、クライアント証明書の認証機能を有する機器である認証サーバ１２は、パソコン１１に対してクライアント証明書を要求する（ステップ２０１）。

（２）クライアント証明書の認証機能を有する機器である認証サーバ１２は、パソコン１１にクライアント証明書がインストール済みであるか否かのクライアント証明書の有無のチェックを行うと共に、クライアント証明書がパソコン１１にインストール済みであった場合、クライアント証明書の発行元のチェックを行う（ステップ２０２）。

（３）認証サーバ１２は、ステップ２０２でのチェックで、クライアント証明書がパソコン１１にインストールされていない場合や、クライアント証明書の発行元が正しくない場合、パソコン１１からＷｅｂサーバ１３へのアクセスを拒否する（ステップ２０３）。

（４）ステップ２０２でのチェックで、クライアント証明書がパソコン１１にインストールされていて、かつ、クライアント証明書に問題がない場合、認証サーバ１２は、パソコン１１が使用するクライアント証明書が保持している固有情報をＷｅｂサーバ１３に引き渡し、パソコン１１からＷｅｂサーバ１３へのアクセスを行わせる。Ｗｅｂサーバ１３は、認証サーバ１２からクライアント証明書の情報が引き渡されると、許可するクライアント証明書のキー情報３２と使用されたクライアント証明書のキー情報とを前方一致で比較することにより、パソコンが使用したクライアント証明書が許可する証明書か否かを判定し、キー情報が一致せず、クライアント証明書が許可する証明書でなかった場合、エラーメッセージをパソコンに送信して表示させる（ステップ２０４、２０５）。

（５）ステップ２０４の判定で、キー情報が一致し、クライアント証明書が許可する証明書であった場合、Ｗｅｂサーバ１３は、自サーバ内に保存しているクライアント証明書情．報データベースに利用されたクライアント証明書の情報が登録されているか否かを、クライアント証明書自体のユーザＩＤを元に判定する（ステップ２０６）。

（６）ステップ２０６の判定で、利用されたクライアント証明書がデータベースに登録されていなかった場合、Ｗｅｂサーバ１３は、パソコン１１が使用したクライアント証明書の情報をデータベースに追加する（ステップ２０７）。

（７）ステップ２０６の判定で、利用されたクライアント証明書がデータベースに登録済であった場合、Ｗｅｂサーバ１３は、該当データの失効登録済かを判定し、失効登録がされていた場合、エラーメッセージをパソコン１１に送信して表示させる（ステップ２０８、２０５）。

（８）ステップ２０８の判定で、失効登録がされていなかった場合、Ｗｅｂサーバ１３は、データベースに登録済のクライアント証明書のシリアル番号と、使用されたクライアント証明書のシリアル番号とを比較し、使用されたクライアント証明書のシリアル番号の値より登録済のクライアント証明書のシリアル番号が大きければ、古いクライアント証明書が使用されたとして、エラーメッセージをパソコン１１に送信して表示させる。なお、本発明の実施形態では、最新のシリアル番号の登録を行うことにより、古いクライアント証明書が使用された場合に、エラーとする仕組みとしている（ステップ２０９、２０５）。

（９）ステップ２０９のクライアント証明書のシリアル番号の比較で、登録済のクライアント証明書のシリアル番号の値が使用されたクライアント証明書のシリアル番号の値より小さかった場合、Ｗｅｂサーバ１３は、データベース内のクライアント証明書のシリアル番号の値を、使用されたクライアント証明書のシリアル番号の値に更新する（ステップ２１０）。

（10）ステップ２０７の処理の後、ステップ２１０の処理の後、あるいは、ステップ２０９のクライアント証明書のシリアル番号の比較で、登録済のクライアント証明書のシリアル番号の値が使用されたクライアント証明書のシリアル番号の値に一致していた場合、使用されたクライアント証明書が真正なものであると判定し、システムログインのためのユーザＩＤ及びパスワードの入力欄を持つ画面情報をパソコン１１に送信して表示させ、ここでの処理を終了する（ステップ２１１）。

図３はクライアント証明書情報のデータの関連を説明する図であり、次に、図３を参照して、図２に示して説明したフローの中でのクライアント証明書の情報のデータについて説明する。

ステップ２０４の処理で、認証機能を有する機器である認証サーバ１２からＷｅｂサーバ１３が引き継いだクライアント証明書が保持している固有情報は、図３にクライアント証明書情報３１として示しているように、パソコン１１を使用しているユーザのユーザＩＤと、クライアント証明書のシリアル番号及び有効期限とである。また、Ｗｅｂサーバ１３が、ステップ２０４の処理で、パソコン１１が使用したクライアント証明書が許可する証明書か否かを判定するために使用した情報は、図３に利用可能なクライアント証明書キー情報３２として示しているように、１または複数のユーザＩＤである。

Ｗｅｂサーバ１３は、前述のクライアント証明書管理情報３１とクライアント証明書キー情報３２とを比較して、引き継いだクライアント証明書が許可されたものであるか否かを判定している。そして、引き継いだクライアント証明書が許可されたものであった場合、ステップ２０６の判定の処理で、クライアント証明書情報データベース３３を参照して、クライアント証明書がクライアント証明書情報データベース内に登録済みか否かを判定する。クライアント証明書情報データベース３３に格納されているクライアント証明書情報は、ユーザＩＤ、シリアル番号、有向期限、初回登録日時、更新日時、最終アクセス日時、エラー発生日時、及び、失効フラグである。

ステップ２０６の判定の処理で、クライアント証明書がクライアント証明書情報データベース内に登録済みでなく、ステップ２０７の処理で追加するデータは、図３に追加処理３４として示しているように、ユーザＩＤ、シリアル番号、有向期限、初回登録日時、更新日時、及び、最終アクセス日時である。また、ステップ２０６の判定の処理で、クライアント証明書がクライアント証明書情報データベース内に登録済みで、ステップ２１０の処理で更新されるデータは、図３に更新処理３５として示しているように、シリアル番号、更新日時、及び、最終アクセス日時である。さらに、ステップ２０９のシリアル番号の比較の処理による判定で古いクライアント証明書が使用されていた場合、ステップ２０８の判定で失効が登録されていた場合、あるいは、ステップ２０４の判定で許可されないクライアント証明書が使用されていた場合に実行されるステップ２０５のエラーの処理において、図３にエラー処理３０６として示しているように、エラー発生時日時を登録することにより、不正アクセスの記録を残す。

前述したような処理により、エラーとならない全クライアント証明書の情報がデータベースに登録されることになる。

なお、Ｗｅｂサーバ１３は、何等かの方法で、パソコン１１が使用するクライアント証明書の失効が通知された場合、その管理者がＷｅｂサーバ１３の持つ表示装置にクライアント証明書情報管理画面を表示して、その画面からクライアント証明書情報データベース３３に失効登録する。

前述した本発明の実施形態によれば、Ｗｅｂサーバ１３は、認証機能を有する機器である認証サーバ１２からクライアント証明書情報を引き継ぎ、許可するクライアント証明書情報、クライアント証明書情報データベースとの比較を行うことにより、障害発生要因を増加させず、また、クライアント証明書の発行元認証局に回線接続することなく、アクセス管理を行うことができる。

なお、本発明は、前述で説明した実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、前述した実施形態では、データベース上に存在しないクライアント証明書を用いてアクセスされた場合にも、使用されたクライアント証明書が確かなものである場合、自動的にデータを登録するものとしているが、本発明は、未登録のクライアント証明書である場合はエラーとするようにしてもよい。

本発明は、インターネット等のネットワークを介するサービスにおいて、クライアント証明書の認証を行う場合で、発行元認証局と接続することができない場合、または、接続するためのコストを削減したい場合等に利用することができる。

１１ クライアント
１２ 認証サーバ
１３ Ｗｅｂサーバ
３１ クライアント証明書情報
３２ クライアント証明書キー情報
３３ クライアント証明書情報データベース
３４ 追加処理
３５ 更新処理
３６ エラー処理
３７ クライアント証明書情報管理画面

Claims (5)

1. サービスを提供するＷｅｂサーバとクライアント証明書を使用するパソコンとがインターネットを含むネットワークを介して接続されて構成されるサービスシステムにおいて、
   クライアント証明書の発行元のチェックを行う認証サーバが、前記Ｗｅｂサーバとネットワークとの間に接続されており、前記Ｗｅｂサーバは、クライアント証明書情報データベースを備え、
   前記認証サーバは、前記パソコンが前記クライアント証明書を使用してサービスの利用のために前記Ｗｅｂサーバにアクセスしたとき、使用されたクライアント証明書の発行元のチェックを行い、クライアント証明書に問題がない場合に、前記クライアント証明書が保持している固有情報をＷｅｂサーバに引き渡し、
   前記Ｗｅｂサーバは、前記認証サーバから引き渡された前記クライアント証明書が保持している固有情報と、自Ｗｅｂサーバが保持しているクライアント証明書情報データベースとから、前記パソコンが使用したクライアント証明書が真正なものであるか否かを判定して、サービス提供の可否を決定することを特徴とするサービスシステム。
2. 前記Ｗｅｂサーバは、許可するクライアント証明書のキー情報を有し、使用されたクライアント証明書が、許可するキー情報を有していた場合で、前記認証サーバから引き渡されたクライアント証明書の情報が前記クライアント証明書情報データベースに登録されていない場合、前記引き渡されたクライアント証明書の情報を前記クライアント証明書情報データベースに登録することを特徴とする請求項１記載のサービスシステム。
3. 前記クライアント証明書の情報として、シリアル番号を有し、前記Ｗｅｂサーバは、前記シリアル番号によりクライアント証明書の新旧判定を行い、前記クライアント証明書情報データベース内の登録済の情報を更新することを特徴とする請求項１または２記載のサービスシステム。
4. 前記クライアント証明書の情報として、クライアント証明書の情報が失効されているか否かを示す失効フラグを有し、前記Ｗｅｂサーバは、前記失効フラグによりクライアント証明書の情報の失効を判定することを特徴とする請求項１、２または３記載のサービスシステム。
5. サービスを提供するＷｅｂサーバとクライアント証明書を使用するパソコンとがインターネットを含むネットワークを介して接続されて構成されるサービスシステムにおけるサービス方法において、
   クライアント証明書の発行元のチェックを行う認証サーバが、前記Ｗｅｂサーバとネットワークとの間に接続されており、前記Ｗｅｂサーバは、クライアント証明書情報データベースを備え、
   前記認証サーバは、前記パソコンが前記クライアント証明書を使用してサービスの利用のために前記Ｗｅｂサーバにアクセスしたとき、使用されたクライアント証明書の発行元のチェックを行い、クライアント証明書に問題がない場合に、前記クライアント証明書が保持している固有情報をＷｅｂサーバに引き渡し、
   前記Ｗｅｂサーバは、前記認証サーバから引き渡された前記クライアント証明書が保持している固有情報と、自Ｗｅｂサーバが保持しているクライアント証明書情報データベースとから、前記パソコンが使用したクライアント証明書が真正なものであるか否かを判定して、サービス提供の可否を決定することを特徴とするサービス方法。