JP2012044694A - Relay processing device, relay processing method, and program - Google Patents
Relay processing device, relay processing method, and program Download PDFInfo
- Publication number
- JP2012044694A JP2012044694A JP2011223910A JP2011223910A JP2012044694A JP 2012044694 A JP2012044694 A JP 2012044694A JP 2011223910 A JP2011223910 A JP 2011223910A JP 2011223910 A JP2011223910 A JP 2011223910A JP 2012044694 A JP2012044694 A JP 2012044694A
- Authority
- JP
- Japan
- Prior art keywords
- communication
- processing device
- ssl
- information
- relay
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
本発明は、中継処理装置、中継処理方法及びプログラムに関し、特に、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認するための技術に関するものである。 The present invention relates to a relay processing apparatus, a relay processing method, and a program, and in particular, when relaying data by encrypted communication, the data can be inspected and the authenticity of a communication partner is confirmed based on a genuine certificate. It is about the technology to do.
近年、インターネットを介した情報交換が活発になるにつれて、ウィルス・マルウェアによる被害や、企業などにおける顧客情報、営業機密等の情報漏洩による社会的信用の失墜や賠償請求による金銭的損失など、情報セキュリティにかかわる問題が深刻化している。 In recent years, as information exchange via the Internet has become active, information security such as damage caused by viruses and malware, loss of social credibility due to customer information in companies, leakage of information such as trade secrets, and monetary loss due to claims for compensation The problem related to is getting worse.
このような問題に対して、ファイアーウォールやアンチウィルスソフトをはじめとするソフトウェア、情報処理装置によって対策がとられるのが一般的になっている。 In general, countermeasures against such problems are taken by firewalls, antivirus software and other software, and information processing devices.
特に、インターネットの利用の大半を占めるＷｅｂ通信においては、企業などの組織では、ファイアーウォール、ＵＲＬフィルタリングソフト、アンチウィルスソフト、コンテンツフィルタリングソフト等のシステムによって、業務外利用と考えられるサイトへのアクセス禁止、ダウンロードデータのウィルス検査・駆除、情報漏えいと考えられる外部送信データのアクセス制御等の対策が実施されている。 In particular, in web communications, which accounts for the majority of Internet usage, organizations such as corporations are prohibited from accessing sites that are considered to be used outside of work by systems such as firewalls, URL filtering software, antivirus software, and content filtering software. Measures such as virus inspection / disinfection of downloaded data and access control of externally transmitted data, which is considered to be information leakage, are being implemented.
これらの対策は、利用者の端末装置において実施されるとともに、組織内のネットワークとインターネットとの境界領域に設置された中継処理システムにおいて、中継されるデータの内容を検査することによって実現されている。 These measures are implemented in the user terminal device, and are realized by inspecting the contents of the relayed data in the relay processing system installed in the boundary area between the network in the organization and the Internet. .
しかしながら、Ｗｅｂの通信プロトコルであるＨＴＴＰなどに対して暗号化機能を提供するＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）・ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信に関しては、クライアント端末（単にクライアントとも言う）とサーバの間で通信されるデータが暗号化されている。上記のようなセキュリティを管理する中継処理システムでは、当該暗号化されたデータをトンネルリング（素通し）することでしか処理できないため、通信内容を検査することができず、どのようなアプリケーションプロトコルで接続しているのか、どのような情報を送信しているのか、どのような情報をダウンロードしているか、を中継処理システムにおいて検査・制御することができない。 However, with regard to SSL (Secure Socket Layer) / TLS (Transport Layer Security) communication that provides an encryption function for HTTP, which is a Web communication protocol, communication between a client terminal (also simply referred to as a client) and a server. Data to be encrypted is encrypted. In the relay processing system that manages the security as described above, the encrypted data can only be processed by tunneling (through), so the communication contents cannot be inspected, and any application protocol is used for connection. The relay processing system cannot inspect and control what information is being transmitted, what information is being transmitted, and what information is being downloaded.
このため、組織内外の境界領域において防御壁としてセキュリティを高めるネットワークセキュリティシステム（中継処理システムなど）にとっては、通信内容の詳細な検査とアクセス制御が適用できずにいわば抜け穴となってしまっている。 For this reason, a network security system (such as a relay processing system) that enhances security as a defensive wall in the boundary area inside and outside the organization is a loophole because it cannot apply detailed inspection of communication contents and access control.
このような問題点に対する解決策として、中間者（ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅ）手法といわれる方式（中間者方式）によって、暗号化通信の内容を中継処理システムにおいて一旦平文に戻した上で通信データの検査を実施することが、非特許文献１に記載されている。 As a solution to such a problem, communication is performed after the content of encrypted communication is once returned to plain text in the relay processing system by a method called a man-in-the-middle method (man-in-the-middle method). Non-Patent Document 1 describes that data inspection is performed.
通常のプロキシサーバにおいては、ＳＳＬ（ＴＬＳを含む）上のＨＴＴＰ通信（ＨＴＴＰＳ）を中継する場合、一方（例えばクライアントとプロキシサーバとの間）のトランスポート層コネクションと、もう一方（例えばプロキシサーバとＷｅｂサーバとの間）のトランスポート層コネクションを両方向に橋渡し（トンネリング）することで実現しており、この時、ＳＳＬコネクションはクライアントとＷｅｂサーバ間で確立されている。 In a normal proxy server, when relaying HTTP communication (HTTPS) over SSL (including TLS), one (for example, between a client and a proxy server) transport layer connection and the other (for example, a proxy server) This is realized by bridging (tunneling) the transport layer connection between the Web server and the Web server. At this time, the SSL connection is established between the client and the Web server.
これに対し、中間者方式では、クライアントとプロキシサーバとの間で１つのＳＳＬコネクションを確立し、他方のプロキシサーバとＷｅｂサーバとの間でも別のＳＳＬコネクションを確立し、両ＳＳＬコネクションとの間でアプリケーション層データ（ＨＴＴＰトランザクションデータ）を橋渡しすることで中継処理を実現している。このような形態をとることにより、中継処理システムは、暗号化された中継データ（通信データ）を一旦、復号することができ、復号化された平文データに対して検査等の処理を行うことが可能になっている。 On the other hand, in the intermediary method, one SSL connection is established between the client and the proxy server, and another SSL connection is established between the other proxy server and the Web server. Thus, relay processing is realized by bridging application layer data (HTTP transaction data). By adopting such a form, the relay processing system can once decrypt the encrypted relay data (communication data) and perform processing such as inspection on the decrypted plaintext data. It is possible.
また、特許文献１には、中間者方式をベースにして、クライアントがサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホストに基づいてプロキシサーバが作成し、クライアントに提供することが記載されている。 In Patent Document 1, a proxy server creates a temporary encryption communication relay permit that a client receives for server authentication based on a man-in-the-middle system based on a host of a Web server during communication. It is described that it provides.
しかしながら、非特許文献１では、クライアント側のＳＳＬコネクション（クライアント端末とプロキシサーバとの間でのＳＳＬコネクション）とＷｅｂサーバ側のＳＳＬコネクション（プロキシサーバとＷｅｂサーバとの間でのＳＳＬコネクション）とが互いに独立して異なっているため、クライアント端末がＷｅｂサーバのサーバ公開鍵証明書を取得することができず、ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証を該Ｗｅｂサーバに対して実行することが出来ない。 However, in Non-Patent Document 1, there is an SSL connection on the client side (SSL connection between the client terminal and the proxy server) and an SSL connection on the Web server side (SSL connection between the proxy server and the Web server). Since they are different from each other, the client terminal cannot acquire the server public key certificate of the Web server, and server authentication provided by SSL (including TLS) may be executed for the Web server. I can't.
すなわち、クライアント端末は、中継処理装置（プロキシサーバ）との間のＳＳＬコネクションで提供される中継処理装置のサーバ公開鍵証明書をＷｅｂサーバの証明書として取得してしまうため、真正な証明書に基づき通信相手の真正性を確認することが難しい。このサーバ公開鍵証明書は中継処理装置のものであるので、通常は１つに固定化され、通信先であるＷｅｂサーバが異なる場合でも常に同じ証明書がクライアント端末に提供されてしまうためである。 That is, since the client terminal acquires the server public key certificate of the relay processing device provided by the SSL connection with the relay processing device (proxy server) as the certificate of the Web server, It is difficult to confirm the authenticity of the communication partner based on this. This server public key certificate is for the relay processing apparatus, so it is usually fixed to one, and the same certificate is always provided to the client terminal even when the communication destination Web server is different. .
また同様に、Ｗｅｂサーバは、ＳＳＬ（ＴＬＳを含む）の機能であるクライアント認証をクライアント端末に対して実行できない。Ｗｅｂサーバは、中継処理装置との間のＳＳＬコネクションで提供される中継処理装置のクライアント公開鍵証明書をクライアントの証明書として取得することしか出来ない。それゆえ、Ｗｅｂサーバは、真正な証明書に基づきクライアント端末の真正性を確認することが難しい。 Similarly, the Web server cannot execute client authentication, which is a function of SSL (including TLS), on the client terminal. The Web server can only acquire the client public key certificate of the relay processing apparatus provided by the SSL connection with the relay processing apparatus as the client certificate. Therefore, it is difficult for the Web server to confirm the authenticity of the client terminal based on the authentic certificate.
ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証機能およびクライアント認証機能は、通信相手が正しい通信相手であるかを認証するための仕組みであり、悪意がある第三者がサーバやクライアント端末へのなりすましを行えないようにするため機能である。例えば、上記従来技術のように、サーバ認証が有効に働かないと、利用者がサーバ側のなりすましを発見することができず、本来の意図とは違う悪意のあるサーバへ機密情報、個人情報などを送信するなどの脆弱性が生じてしまう。 The server authentication function and client authentication function provided by SSL (including TLS) is a mechanism for authenticating whether a communication partner is a correct communication partner, and a malicious third party impersonates a server or client terminal. It is a function to prevent you from being able to perform. For example, as in the above prior art, if server authentication does not work effectively, the user cannot find the impersonation on the server side, and confidential information, personal information, etc. to a malicious server different from the original intention Vulnerabilities such as sending
また、上記特許文献１では、クライアント端末がサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホスト名に基づいてプロキシサーバが作成し、クライアント端末に提供していることが記載されている。しかしながら、この暗号通信中継許可証も依然として、本来の接続先であるＷｅｂサーバが有する真のサーバ公開鍵証明書とは異なる。 Further, in Patent Document 1, a temporary encryption communication relay permit received by a client terminal for server authentication is created by a proxy server based on the host name of the Web server during communication and provided to the client terminal. It is described. However, this encrypted communication relay permit is still different from the true server public key certificate of the Web server that is the original connection destination.
すなわち、クライアント端末は、プロキシサーバが作り出して提示される、本物とは異なるサーバ公開鍵証明書を、Ｗｅｂサーバのサーバ公開鍵証明書として取得する。それゆえ、クライアント端末は、利用者はＷｅｂサーバが有する真のサーバ公開鍵証明書を確認また検証することができず、Ｗｅｂサーバのなりすましを防ぐ機能が有効に働かなくなっているといえる。 That is, the client terminal obtains a server public key certificate that is created and presented by the proxy server and is different from the real one as the server public key certificate of the Web server. Therefore, it can be said that the client terminal cannot confirm and verify the true server public key certificate possessed by the Web server, and the function of preventing the Web server spoofing does not work effectively.
また、上記特許文献１では、クライアント認証に関しても、プロキシサーバが備えるクライアント公開鍵証明書をＷｅｂサーバに提示するという方法が提案されているが、クライアント端末が記憶している、クライアント端末のクライアント公開鍵証明書を、Ｗｅｂサーバに提供することができない。このため、情報提供処理装置においても真のクライアント認証を実施することができない。 Also, in the above-mentioned Patent Document 1, a method of presenting a client public key certificate included in a proxy server to a Web server is also proposed for client authentication. However, client disclosure of a client terminal stored in the client terminal is proposed. The key certificate cannot be provided to the Web server. For this reason, true client authentication cannot be performed even in the information provision processing device.
すなわち、クライアントとプロキシサーバとの間のＳＳＬコネクションと、Ｗｅｂサーバとプロキシサーバとの間のＳＳＬコネクションとを独立して確立し、クライアント端末とＷＥＢサーバとが、プロキシサーバを介して暗号化通信を行う場合に、ＳＳＬの通信規約により、各ＳＳＬコネクションを確立する際に送受信される公開鍵証明書は、各ＳＳＬコネクションを確立する各装置間の公開鍵証明書である。それゆえ、ＳＳＬの通信規約を変更しない限り、クライアント端末は、真正な証明書に基づき通信相手（クライアント端末とＷｅｂサーバ）の真正性を確認することは出来ない。 In other words, an SSL connection between the client and the proxy server and an SSL connection between the Web server and the proxy server are established independently, and the client terminal and the WEB server perform encrypted communication via the proxy server. When performing, according to the SSL communication protocol, the public key certificate transmitted and received when establishing each SSL connection is a public key certificate between the apparatuses establishing each SSL connection. Therefore, unless the SSL communication protocol is changed, the client terminal cannot confirm the authenticity of the communication partner (client terminal and Web server) based on the authentic certificate.
また、例えば、プロキシサーバが、プロキシサーバで検査するために一旦復号されたデータに、他のデータを追加して、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信することや、プロキシサーバで記憶されているＷＥＢサーバのサーバ公開鍵証明書を、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信すること等が考えられるが、これを実現するためには、ＳＳＬの規約（ＳＳＬプロトコル）を拡張しなければ実現することはできない。 For example, the proxy server adds other data to the data once decrypted for inspection by the proxy server, encrypts the data based on the SSL protocol, and transmits it to the client terminal. It is conceivable that the server public key certificate of the stored WEB server is encrypted based on the SSL protocol and transmitted to the client terminal. In order to realize this, the SSL protocol (SSL protocol) is considered. It cannot be realized without extending.
なぜなら、ＳＳＬプロトコルは、通信エンドポイント間での通信データの暗号化とエンティティ認証を提供することを目的とするものであり、プロキシサーバのような通信エンドポイント（クライアントとＷｅｂサーバ）以外の通信エンティティを認証するための仕組みは規定されておらず、ＳＳＬコネクションのクライアント側エンティティの公開鍵証明書（クライアント端末の公開鍵証明書）とサーバ側エンティティの公開鍵証明書（Ｗｅｂサーバの公開鍵証明書）以外の公開鍵証明書を交換する方法は規定されていないからである。また、ＳＳＬ通信でデータがカプセル化されるＨＴＴＰＳプロトコルにおいても、プロキシサーバとＷｅｂサーバとのＳＳＬ通信を確立する際にプロキシサーバが取得したＷｅｂサーバのサーバ公開鍵証明書の情報を、プロキシサーバがクライアント端末に送信するための方法が規定されていないからである。 This is because the SSL protocol is intended to provide communication data encryption and entity authentication between communication endpoints, and a communication entity other than a communication endpoint (client and Web server) such as a proxy server. Is not defined, and the public key certificate of the client side entity of the SSL connection (public key certificate of the client terminal) and the public key certificate of the server side entity (public key certificate of the Web server) This is because a method for exchanging public key certificates other than () is not defined. Also, in the HTTPS protocol in which data is encapsulated by SSL communication, the proxy server obtains information on the server public key certificate of the Web server acquired by the proxy server when establishing SSL communication between the proxy server and the Web server. This is because the method for transmitting to the client terminal is not defined.
そのため、従来、暗号化通信の各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にし、真正な証明書に基づき通信相手の真正性を確認することは困難であった。 Therefore, conventionally, when relaying data by encrypted communication without changing each communication protocol of encrypted communication, the data can be inspected and the authenticity of the communication partner is confirmed based on the authentic certificate. Was difficult.
本発明は上記の課題を解決するためになされたものであり、その目的は、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる仕組みを提供することである。 The present invention has been made in order to solve the above-described problems. The purpose of the present invention is to make it possible to inspect the data when relaying data by encrypted communication, and to communicate with the other party based on a genuine certificate. It is to provide a mechanism for confirming authenticity.
本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置であって、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。 The present invention is a relay processing device that relays communication data communicated between a client terminal and an information processing device, and establishes a first SSL communication used for communication of the communication data with the client terminal. 1 establishing means, second establishing means for establishing second SSL communication used in communication of the communication data with the information processing apparatus, and the information when establishing the second SSL communication with the second establishing means A transmission unit configured to transmit the public key certificate of the information processing apparatus acquired from the processing apparatus to the client terminal that establishes a first SSL communication by the first establishment unit.
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置の中継処理方法であって、前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。 The present invention is also a relay processing method of a relay processing device for relaying communication data communicated between a client terminal and an information processing device, wherein the first establishing means of the relay processing device includes the client terminal and A first establishment step of establishing a first SSL communication used in communication of the communication data; and a second establishment unit of the relay processing device is used in communication of the communication data with the information processing device. A second establishment step of establishing SSL communication, and disclosure of the information processing device acquired from the information processing device when the transmission means of the relay processing device establishes second SSL communication in the second establishment step Transmitting means for transmitting the key certificate to the client terminal that establishes the first SSL communication in the first establishing step.
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置で読み取り実行可能なプログラムであって、前記中継処理装置を、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とする。 The present invention is also a program readable and executable by a relay processing device that relays communication data communicated between a client terminal and an information processing device, the relay processing device being connected to the client terminal and the communication data. A first establishing means for establishing a first SSL communication used in the communication of the information processing apparatus; a second establishing means for establishing a second SSL communication used for communicating the information processing apparatus and the communication data; and the second establishing means. When the second SSL communication is established by the means, the public key certificate of the information processing apparatus acquired from the information processing apparatus is transmitted to the client terminal that establishes the first SSL communication by the first establishment means. It is made to function as a transmission means to transmit.
本発明によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。 According to the present invention, when relaying data by encrypted communication, the data can be inspected, and the authenticity of the communication partner can be confirmed based on the authentic certificate.
以下、添付図面を参照して、本発明を好適な実施形態に従って詳細に説明する。 Hereinafter, the present invention will be described in detail according to preferred embodiments with reference to the accompanying drawings.
＜第１の実施形態＞
（システムの構成と管理表）
図１は、本発明の実施形態における中継処理システムの構成を示す図である。
<First Embodiment>
(System configuration and management table)
FIG. 1 is a diagram showing a configuration of a relay processing system in an embodiment of the present invention.
尚、図１のネットワーク上に接続される各種端末と各種装置の構成は、一例であり、用途や目的に応じて様々な構成例があることは言うまでもない。 Note that the configurations of various terminals and various devices connected to the network in FIG. 1 are merely examples, and it goes without saying that there are various configuration examples depending on applications and purposes.
中継処理システムは、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０から構成される。利用者端末１１０と中継処理装置１２０、中継処理装置１２０と情報提供処理装置１５０とはそれぞれネットワークを介して相互に通信可能に接続されている。
The relay processing system includes a
利用者端末１１０は、本発明のクライアント端末の適用例である。また、中継処理装置１２０は、本発明の中継処理装置の適用例である。また、情報提供処理装置１５０は、本発明の情報処理装置の適用例である。
The
利用者端末１１０は、情報提供処理装置１５０が提供するコンテンツデータを取得し表示するために使用する情報処理装置である。利用者端末１１０は、閲覧処理部１１１と拡張機能処理部１１２と暗号鍵保存部１１３と管理表保存部１１４とＣＡ証明書保存部１１５とを備えている。
The
閲覧処理部１１１は、一般にＷｅｂブラウザと呼ばれるＨＴＴＰプロトコル、ＨＴＴＰＳプロトコルのクライアントプログラムに相当する機能処理部である。閲覧処理部１１１は、利用者からの指示を受付け、中継処理装置１２０を経由して情報提供処理装置１５０へ通信要求メッセージを送信し、該通信要求メッセージに対して情報提供処理装置１５０から応答された通信応答メッセージを受信し、該通信応答メッセージを整形したものを利用者端末１１０のＣＲＴ２１０等に表示する機能を備えている。この時、閲覧処理部１１１と中継処理装置１２０のクライアント通信部１２１との間で開設される通信コネクションをプロキシ回線１６１とする。
The
ここで、プロキシ回線１６１（第１のＳＳＬ通信）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信を示している。プロキシ回線１６１（第１のＳＳＬ通信）は、後述する制御通信（制御回線１６２）とは、異なる通信である。
Here, the proxy line 161 (first SSL communication) is SSL-encrypted communication established between the
暗号鍵保存部１１３は、利用者端末の公開鍵証明書に対応する秘密鍵を記憶する記憶領域である。
The encryption
閲覧処理部１１１は、情報提供処理装置１５０との間でＨＴＴＰＳによる通信を行う場合で、かつ情報提供処理装置１５０からＳＳＬ（ＴＬＳを含む）のクライアント認証が要求された場合に、暗号鍵保存部１１３に記憶されている公開鍵証明書と秘密鍵を用いてクライアント認証要求に応答する機能を備えている。
The
拡張機能処理部１１２は、閲覧処理部１１１と相互に接続されており、閲覧処理部１１１の通信処理に対して割り込み処理を実行する機能を備える。また、拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８と通信することができ、ＨＴＴＰＳ通信要求イベント発生時に、該ＨＴＴＰＳ通信の通信方式を中継処理装置へ問い合わせる機能と、問い合わせた結果情報を利用者へ提示し確認もしくは選択を求める機能と、前記確認もしくは選択の結果の情報を中継処理装置へ送信する機能を備える。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がもつサーバ公開鍵証明書を制御処理通信部１２８から取得する機能と、該サーバ公開鍵証明書を検証する機能を備えている。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がクライアント認証を要求した場合には、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書情報を制御処理通信部１２８へ送信する機能と制御処理通信部１２８から送信される署名対象データ（メッセージダイジェスト）を受信し、該署名対象データに対して暗号鍵保存部１１３に記憶されているクライアント秘密鍵によって署名を行う機能と該署名データを制御処理通信部１２８へ送信する機能とを備えている。拡張機能処理部１１２と中継処理装置１２０の制御処理通信部１２８との間で開設（確立）される通信コネクションを制御回線１６２とする。
The extended
なお、制御回線１６２は、利用者端末１１０と中継処理装置１２０との間で、ＳＳＬによる暗号化通信の回線として開設（確立）される。これにより、利用者端末１１０は、中継処理装置１２０のなりすましを防止することが可能となる。
The
すなわち、中継処理装置１２０は、利用者端末１１０との間で制御通信（制御回線１６２）を確立する（通信確立手段）。ここで、制御通信（制御回線１６２）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信のコネクションであって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信路を示している。
That is, the
中継処理装置１２０は、制御通信（制御回線１６２）の確立を、一般的なＳＳＬ通信の確立の手順で行う。
The
管理表保存部１１４は、クライアント通信方式キャッシュ表とサーバ証明書キャッシュ表を記憶する記憶領域である。
The management
（クライアント通信方式キャッシュ表の説明） (Explanation of client communication method cache table)
クライアント通信方式キャッシュ表は、図１６で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０の閲覧処理部１１１が特定の情報提供処理装置１５０との通信方式を決定した際に該通信方式を保持するためのものである。レコードは、サーバ識別子欄と決定日時欄と通信方式欄とをもつ。
The client communication system cache table is a storage area having a data structure as shown in FIG. Each row record is for holding the communication method when the
サーバ識別子欄は、通信先となる情報提供処理装置１５０を識別するための情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。決定日時欄は、通信方式が決定された日時情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
The server identifier column is a place for storing a combination of the host name and TCP port number of the information
通信方式欄に保存される値としては、”直接”と”代理”との２つの種類がある。”直接”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理が行われることを意味する値である。”代理”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式で処理されることを意味する値である。
There are two types of values stored in the communication method column: “direct” and “proxy”. “Direct” is a value that means that the
クライアント通信方式キャッシュ表（図１６）が保持している各レコードは、その決定日時の情報に基づきキャッシュがクリア（削除）される。例えば、利用者端末１１０により、各レコードが定期的に検査され、決定日時欄の値が検査日時と比較され適当に決められた有効時間（例えば６時間）以上古い日時を表している場合には削除される。また、利用者端末１１０の閲覧処理部１１１に相当するブラウザプロセスが終了した時には、表（図１６）のすべてのレコードが削除されるものとする。
For each record held in the client communication method cache table (FIG. 16), the cache is cleared (deleted) based on the information of the determination date. For example, when each record is periodically inspected by the
利用者端末１１０は、情報提供処理装置１５０へのアクセス要求があった時、クライアント通信方式キャッシュ表を参照し、該情報提供処理装置１５０との通信方式に関する情報の再利用が可能であれば、利用者に都度通信方式の確認または選択させる処理を行わずに通信を開始することができる。
When the
（サーバ証明書キャッシュ表の説明） (Explanation of server certificate cache table)
サーバ証明書キャッシュ表は、図１７で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０が代理方式でアクセスしたことがある特定の情報提供処理装置１５０との通信時に使用したＳＳＬセッションＩＤ（単にセッションＩＤとも言う）とサーバ公開鍵証明書を保持するためのものである。レコードは、サーバ識別子欄と最終利用日時欄とセッションＩＤ欄とサーバ証明書欄とをもつ。
The server certificate cache table is a storage area having a data structure as shown in FIG. Each row record holds an SSL session ID (also simply referred to as a session ID) and a server public key certificate used when communicating with a specific information
サーバ識別子欄は、通信した情報提供処理装置１５０を識別するための情報で情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。最終利用日時欄は、該レコードによって表される通信処理を実施した日時情報を保存する場所である。セッションＩＤ欄は、前記通信で中継処理装置１２０から通知されたＳＳＬセッションＩＤの値を保存する場所である。サーバ証明書欄は、前記通信で中継処理装置１２０から取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。
The server identifier column is information for identifying the information providing
サーバ証明書キャッシュ表が保持している各レコードは、定期的に検査され、通常ブラウザ等のソフトウェアである閲覧処理部１１１が管理しているＳＳＬセッションキャッシュ情報（ブラウザがＳＳＬセッション再開処理のためにキャッシュしている情報）と突き合わせ処理を行い、ＳＳＬセッションキャッシュ情報の中に同じセッションＩＤが存在しない場合には、該レコードは削除される。
Each record held in the server certificate cache table is periodically inspected, and SSL session cache information managed by the
利用者端末１１０が情報提供処理装置１５０に対して、中継処理装置１２０を経由して代理方式でアクセスする時で、かつ利用者端末１１０と中継処理装置１２０とのＳＳＬセッションでセッション再開機能が利用された場合に、利用者端末１１０がサーバ証明書キャッシュ表を参照することにより、利用者端末１１０を操作する利用者による、前記情報提供処理装置１５０のサーバ公開鍵証明書の確認のための内容表示要求に対して、都度、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を使って表示処理を行うことができる。すなわち、利用者端末１１０は、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を表示することができる。
When the
ＣＡ証明書保存部１１５は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる利用者端末１１０が信頼するＣＡ証明書を記憶する記憶領域である。
The CA
中継処理装置１２０は、一般にプロキシサーバと呼ばれるプログラムまたは装置がもつ機能を備える情報処理装置である。中継処理装置１２０は、利用者端末１１０から送信される通信要求メッセージを受信し、宛先である情報提供処理装置１５０へ該通信要求メッセージを中継し、該情報提供処理装置１５０から応答される通信応答メッセージを、該利用者端末１１０へ中継することができる。
The
中継処理装置１２０は、クライアント通信部１２１と、サーバ通信部１２２と、クライアント側暗号処理部１２３と、通信制御部１２４と、サーバ側暗号処理部１２５と、代理用暗号鍵保存部１２６と、サーバ暗号鍵保存部１２７と、制御処理通信部１２８と、管理表保存部１２９と、付加機能処理部１３０と、ＣＡ証明書保存部１３１と、から構成される。
The
クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続要求を受け付け、通信要求メッセージを受信し、通信応答メッセージを閲覧処理部１１１に送信する機能を備える。
The
サーバ通信部１２２は、情報提供処理装置１５０のサーバ処理部１５１へ接続し、通信要求メッセージを送信し、通信応答メッセージをサーバ処理部１５１から受信する機能を備える。
The
クライアント側暗号処理部１２３は、中継処理装置１２０における通信方式が代理方式の場合に、利用者端末１１０の閲覧処理部１１１との通信回線（プロキシ回線１６１）において、ＳＳＬ（ＴＬＳを含む）を確立するためのサーバ側処理を行う機能を備える。
The client-side
通信制御部１２４は、クライアント通信部１２１が行う処理と、クライアント側暗号処理部１２３が行う処理と、付加機能処理部１３０が行う処理と、サーバ通信部１２２が行う処理と、サーバ側暗号処理部１２５が行う処理と、制御処理通信部１２８が行う処理と、の間で同期制御処理を行う機能をもつ。また、通信制御部１２４は、該同期制御処理において関連する情報を、管理表保存部１２９へ記憶させる機能と、管理表保存部１２９を参照する機能と、を備えている。
The
サーバ側暗号処理部１２５は、中継処理装置１２０における通信方式が代理方式の場合に、情報提供処理装置１５０のサーバ処理部１５１との通信回線（サーバ回線１６３）において、ＳＳＬ（ＴＬＳを含む）コネクションのクライアント側処理を行う機能を備える。
When the communication method in the
ここで、サーバ回線１６３（第２のＳＳＬ通信）は、中継処理装置１２０と情報提供処理装置１５０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信である。
Here, the server line 163 (second SSL communication) is SSL encrypted communication established between the
図１の例では、１つの物理的な通信回線を介して利用者端末１１０と中継処理装置１２０が相互に通信可能に接続されている。また、図１の例では、中継処理装置１２０と情報提供処理装置１５０とが相互に通信可能に接続されている。
In the example of FIG. 1, the
代理用暗号鍵保存部１２６は、中継処理装置１２０における通信方式が代理方式の場合に、前記プロキシ回線１６１ 上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
The proxy encryption
制御処理通信部１２８は、ＨＴＴＰＳサーバとしての機能を備える機能処理部であり、利用者端末１１０の拡張機能処理部１１２との間で安全な通信コネクション（前記制御回線１６２）を開設し、利用者端末１１０の拡張機能処理部１１２が送信する通信要求メッセージを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ通信応答メッセージを送信する機能と、利用者端末１１０の拡張機能処理部１１２からの特定の通信先に関する通信方式の問い合わせに対して、管理表保存部１２９の通信方式決定表の情報に基づいて通信方式を回答する機能と、利用者端末１１０の拡張機能処理部１１２から特定の通信先に関する通信方式の決定情報を受信し、該決定情報を管理表保存部１２９のプロキシ通信方式キャッシュ表に保存する機能と、利用者端末１１０の拡張機能処理部１１２へ情報提供処理装置１５０のサーバ公開鍵証明書を送信する機能と、利用者端末１１０の拡張機能処理部１１２からサーバ公開鍵証明書の検証結果を受信する機能と、通信制御部１２４へ検証結果を通知する機能と、利用者端末１１０の拡張機能処理部１１２へクライアント認証要求情報を送信する機能と、利用者端末１１０の拡張機能処理部１１２からクライアント公開鍵証明書を受信する機能と、通信制御部１２４から署名対象データを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ前記署名対象データを送信する機能と、利用者端末１１０の拡張機能処理部１１２から署名データを受信する機能と、通信制御部１２４へ前記署名データを通知する機能と、を備える。
The control
サーバ暗号鍵保存部１２７は、前記制御回線１６２上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
The server encryption
管理表保存部１２９は、通信方式決定表とプロキシ通信方式キャッシュ表と代理通信セッション管理表を記憶するための記憶領域である。
The management
（通信方式決定表の説明） (Explanation of communication method determination table)
通信方式決定表（図８）は、プロキシ回線１６１によるＨＴＴＰＳ通信に先立ち、該ＨＴＴＰＳ通信をどのように中継するか（通信方式）を決定するために使用される表である。通信方式決定表のレコードは、サーバ条件とクライアント条件と通信方式から構成される。通信方式決定表の例を図８で示す。通信方式決定表（図８）は、通信方式設定情報の適用例である。
The communication method determination table (FIG. 8) is a table used to determine how to relay the HTTPS communication (communication method) prior to the HTTPS communication through the
サーバ条件はドメイン名欄とカテゴリー欄から構成される。ドメイン名欄は、通信における情報提供処理装置１５０のホスト名の文字列条件を保存する場所である。「＊」はワイルドカード文字列を表し、任意の文字列にマッチする。カテゴリー欄は、通信における情報提供処理装置１５０のカテゴリーを保存する場所である。カテゴリーとは、任意の情報提供処理装置１５０がその提供するコンテンツに応じて属する分野のことである。中継処理装置１２０は、利用者端末１１０から送信される暗号化通信の要求イベントに含まれるＵＲＬ（ホスト名を含む）に従って、当該ＵＲＬのカテゴリーを判定する。例として、中継処理装置１２０が予めホスト名とカテゴリーとの対応を示す対応表を備え、当該対応表を参照して、利用者端末１１０から入力された当該ＵＲＬのホスト名に対応するカテゴリーを決定（判定）することなどが考えられる。
ここで、サーバ条件は、利用者端末１１０から送信されるデータの中継先の情報提供処理装置１５０を示す中継先情報の適用例である。
Server conditions consist of a domain name field and a category field. The domain name column is a place for storing the character string condition of the host name of the information
Here, the server condition is an application example of relay destination information indicating the information
クライアント条件は、アドレス欄と認証グループ欄から構成される。アドレス欄は、通信における利用者端末のＩＰアドレス条件を保存する場所である。ＩＰアドレスの個別指定の他、ワイルドカード文字列やネットワークアドレス表現によって、複数のアドレスを表すことができる。認証グループ欄は、利用者端末１１０の利用者が属するグループ名を保存する場所である。
The client condition is composed of an address field and an authentication group field. The address column is a place for storing the IP address condition of the user terminal in communication. In addition to individual designation of IP addresses, a plurality of addresses can be represented by a wild card character string or network address expression. The authentication group column is a place where the group name to which the user of the
通信方式欄は、確立が許可された通信方式を保存する場所である。すなわち、通信方式欄は、データの中継を可能とするために、確立が許可された通信方式（通信方式情報）が設定されている。 The communication method column is a place for storing a communication method permitted to be established. That is, in the communication method column, a communication method (communication method information) permitted to be established is set in order to enable data relay.
通信方式欄に保存される値としては、”直接”（直接通信方式）と”代理”（代理通信方式）と”選択”の３つの種類がある。”直接”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬ（ＴＬＳを含む）コネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理を指示する値である。”代理”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式を指示する値である。”選択”（選択情報）は利用者端末１１０の利用者に直接方式か代理方式かを選択させることを指示する値である。
There are three types of values stored in the communication method column: “direct” (direct communication method), “proxy” (proxy communication method), and “select”. “Direct” is a value for instructing the tunnel processing to be performed in the normal proxy server without terminating the SSL (including TLS) connection of the HTTPS communication in the
（プロキシ通信方式キャッシュ表の説明） (Description of proxy communication method cache table)
プロキシ通信方式キャッシュ表（図９）は、特定のＨＴＴＰＳ通信に対して適用する通信方式を記憶するために利用される表である。プロキシ通信方式キャッシュ表のレコードは、クライアント識別子欄、サーバ識別子欄、有効期限欄、通信方式欄から構成される。プロキシ通信方式キャッシュ表の例を図９で示す。 The proxy communication method cache table (FIG. 9) is a table used for storing a communication method applied to a specific HTTPS communication. The record of the proxy communication method cache table includes a client identifier field, a server identifier field, an expiration date field, and a communication method field. An example of the proxy communication method cache table is shown in FIG.
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報（利用者端末を特定するクライアント特定情報）として、利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。閲覧処理部識別子は、例えばプロセスＩＤを使うことが想定される。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として、情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。有効期限欄は、対象レコードの有効期限情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
The client identifier column includes the IP address of the
プロキシ通信方式キャッシュ表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、有効期限欄の日時が、検査日時より古い場合には削除される。
Each record held in the proxy communication method cache table is periodically inspected by the
（代理通信セッション管理表の説明） (Explanation of proxy communication session management table)
代理通信セッション管理表（図１０）は、代理方式で中継する通信に関するセッション情報を記憶しておくために利用される表である。代理通信セッション管理表のレコードは、クライアント識別子欄、サーバ識別子欄、最終利用日時欄、クライアント側ハンドシェイク情報（セッションＩＤ―Ｃ欄、共通鍵その他―Ｃ欄、クライアント証明書欄）、サーバ側ハンドシェイク情報（セッションＩＤ―Ｓ欄、共通鍵その他―Ｓ欄、サーバ証明書欄、クライアント認証要求欄）から構成される。代理通信セッション管理表の例を図１０で示す。 The proxy communication session management table (FIG. 10) is a table used for storing session information related to communication relayed by the proxy method. The records of the proxy communication session management table include a client identifier field, a server identifier field, a last use date / time field, client-side handshake information (session ID-C field, common key and others-C field, client certificate field), server-side hand It is composed of shake information (session ID—S field, common key and others—S field, server certificate field, client authentication request field). An example of the proxy communication session management table is shown in FIG.
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報として利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。最終利用日時欄は、対象レコードによって表される通信が行われた日時情報を保存する場所である。セッションＩＤ―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。クライアント証明書欄は、利用者端末１１０から取得したクライアント公開鍵証明書を保存する場所である。セッションＩＤ―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。サーバ証明書欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。クライアント認証要求欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０からのクライアント認証要求情報を保存する場所である。
The client identifier column is a place where information combining the IP address of the
代理通信セッション管理表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、最終利用日時欄の値が、検査日時と比較され、適当に決められた有効時間（例えば１２時間）以上古い日時を表している場合には削除される。
Each record held in the proxy communication session management table is periodically inspected by the
付加機能処理部１３０は、中継処理対象の通信がＨＴＴＰの場合と、ＨＴＴＰＳの場合でも中継方式が代理方式の場合に、利用者端末１１０から受信する通信要求メッセージと情報提供処理装置１５０から受信する通信応答メッセージとに対して、付加機能処理を行う機能を備える。付加機能処理とは、例えば、プロキシサーバにおいて一般に実施されるキャッシュ機能や、セキュリティゲートウェイ等で実施されるコンテンツフィルタリング機能、ウィルス検査・駆除機能、アクセス制御機能などに対応している。これらの機能は、通常はＨＴＴＰＳ通信のように通信メッセージが暗号化されている場合には適用（実施）できないが、本実施例に示す代理方式のようにＨＴＴＰＳ通信であっても中継処理装置において暗号化通信メッセージを平文化する手法を用いれば適用（実施）できるようになる。
The additional
ＣＡ証明書保存部１３１は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる、中継処理装置１２０が信頼するＣＡ証明書を記憶する記憶領域である。
The CA
情報提供処理装置１５０は、利用者端末１１０から送られた通信要求メッセージを受信し、該通信要求メッセージの内容に基づき通信応答メッセージを応答する情報処理装置である。情報提供処理装置１５０は、サーバ処理部１５１とサーバ暗号鍵保存部１５２とを備えている。
The information
サーバ処理部１５１は、一般にＷｅｂサーバと知られるプログラムに相当する機能処理部である。サーバ処理部１５１はＨＴＴＰプロトコルとＨＴＴＰＳプロトコルのサーバ機能を備えている。 The server processing unit 151 is a function processing unit corresponding to a program generally known as a Web server. The server processing unit 151 has server functions of HTTP protocol and HTTPS protocol.
サーバ暗号鍵保存部１５２は、サーバ処理部１５１がＨＴＴＰＳによる暗号化通信を行う場合に使用するサーバ公開鍵証明書と秘密鍵を記憶するための記憶領域である。
The server encryption
次に、図１の利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０の各種端末のハードウェア構成について、図２を用いて説明する。利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０は、一般に知られている情報処理装置である。
Next, the hardware configuration of various terminals of the
図２は、本発明の実施形態における各種端末のハードウェア構成を示す図である。 FIG. 2 is a diagram illustrating a hardware configuration of various terminals according to the embodiment of the present invention.
ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。
The
また、ＲＯＭ２０２あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ ／ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
Further, the
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０３にロードして、プログラムを実行することで各種動作を実現するものである。
The
また、入力コントローラ（入力Ｃ）２０５は、キーボード２０９や不図示のマウス等のポインティングデバイスからの入力を制御する。
An input controller (input C) 205 controls input from a pointing device such as a
ビデオコントローラ（ＶＣ）２０６は、ＣＲＴディスプレイ（ＣＲＴ）２１０等の表示器にへの表示を制御する。表示器はＣＲＴだけでなく、液晶ディスプレイでも構わない。これらは必要に応じて管理者が使用するものである。本発明には直接関係があるものではない。 A video controller (VC) 206 controls display on a display device such as a CRT display (CRT) 210. The display device may be a liquid crystal display as well as a CRT. These are used by the administrator as needed. The present invention is not directly related.
メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピーディスク（登録商標 ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュメモリ等の外部メモリ２１１へのアクセスを制御する。
A memory controller (MC) 207 is a hard disk (HD), floppy disk (registered trademark FD) or PCMCIA card slot for storing boot programs, browser software, various applications, font data, user files, editing files, various data, and the like. Controls access to an
通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、ネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。 A communication I / F controller (communication I / FC) 208 is connected to and communicates with an external device via a network, and executes communication control processing in the network. For example, Internet communication using TCP / IP is possible.
なお、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ＣＲＴ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ＣＲＴ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。
Note that the
本発明を実現するためのプログラムは外部メモリ２１１に記録されており、必要に応じてＲＡＭ２０３にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、本発明に係わるプログラムが用いる前述した暗号鍵保存部１１３、管理表保存部１１４、ＣＡ証明書保存部１１５、代理用暗号鍵保存部１２６、サーバ暗号鍵保存部１２７、管理表保存部１２９、ＣＡ証明書保存部１３１、及びサーバ暗号鍵保存部１５２は、外部メモリ２１１に格納されている。
A program for realizing the present invention is recorded in the
（暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー） (Communication message exchange flow when relaying encrypted communication by proxy method)
次に、暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの１つのケースを、図１１を用いて説明する。
Next, one case of a communication message exchange flow among the
図１１は、本発明の実施形態における暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
FIG. 11 is a communication message between the
なお、図１１中のステップＳ１１５０からステップＳ１１５４で示される破線で囲われた通信は、制御回線１６２を介して行われる。それ以外の利用者端末１１０と中継処理装置１２０との間の通信は、プロキシ回線１６１を介して行われる。
Note that the communication surrounded by the broken lines shown in steps S1150 to S1154 in FIG. 11 is performed via the
また、中継処理装置１２０と情報提供処理装置１５０との間の通信は、サーバ回線１６３を介して行われる。
Communication between the
また、図１１と図１２においては、ＳＳＬ（ＴＬＳを含む）規格において必要とされるメッセージ（ＣｈａｎｇｅＣｉｐｈｅｒＳｐｅｃ等）は、一般的なＳＳＬ（ＴＬＳを含む）規格に基づく、一般に知られている処理であるため、ここでは説明を省略している。 In FIG. 11 and FIG. 12, a message (such as ChangeCipherSpec) required in the SSL (including TLS) standard is a generally known process based on a general SSL (including TLS) standard. Therefore, the description is omitted here.
ステップＳ１１０１では、利用者端末１１０において、利用者が閲覧処理部１１１が提供するブラウザ画面において、情報提供処理装置１５０上のコンテンツを指し示すＵＲＬをアドレスバーなどへ入力するか、または既にブラウザ画面に表示中のコンテンツの中の該ＵＲＬへのリンク文字列をクリックするか、によってコンテンツ取得要求が指示される。
In step S1101, in the
ステップＳ１１０２では、コンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって拡張機能処理部１１２の処理が起動される。拡張機能処理部１１２では、該コンテンツ取得要求に含まれる該ＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳ（暗号化通信）であるか否かを判定する。すなわち、利用者端末１１０は、コンテンツ取得要求に含まれる暗号化通信によるデータの送受信を要求しているのか否かを判定する。
In step S1102, the extended
そして、利用者端末１１０は、該スキーマがＨＴＴＰＳである（暗号化通信を介したデータの送受信の要求である）と判定された場合、中継処理装置１２０における通信方式を決定するために、中継処理装置１２０に対して通信方式の問い合わせを行う。すなわち、利用者端末１１０は、後述する通信方式問い合わせ要求メッセージを中継処理装置１２０に送信する。
When the
ステップＳ１１０３では、中継処理装置１２０は、利用者端末１１０から送信された問い合わせ（通信方式問い合わせ要求メッセージ）に含まれる情報提供処理装置１５０の識別子（サーバ識別子）と利用者端末１１０の閲覧処理部識別子（クライアント識別子）との情報を元に、管理表保存部１２９の通信方式決定表（図８）から通信方式を決定し、該通信方式を利用者端末１１０へ応答する。この例では”選択”が応答される。
In step S1103, the
すなわち、中継処理装置１２０は、通信方式が“選択”と決定された場合、例えば、図１４に示すダイアログボックス（通信方式選択ダイアログボックスとも言う）の画面を表示するための画面情報を、利用者端末１１０に送信する。
That is, when the communication method is determined to be “selected”, the
ステップＳ１１０４では、利用者端末１１０は、ステップＳ１１０３で受信した通信方式が”選択”であったため、図１４で例を示すような画面（選択ダイアログボックスとも言う）を表示する。
In step S1104, since the communication method received in step S1103 is “select”, the
すなわち、ステップＳ１１０３で送信された画面情報に従って、図１４の画面を表示する。 That is, the screen of FIG. 14 is displayed according to the screen information transmitted in step S1103.
ステップＳ１１０５では、利用者端末１１０において、利用者は前記選択ダイアログボックスを使用して”直接”、”代理”のいずれかから通信方式を選択する。例では利用者は”許可する”を選択して通信方式”代理”が選択される。
In step S1105, at the
すなわち、ステップＳ１１０５では、利用者により、選択ダイアログボックスを介して、”許可する”ボタンか、”許可しない”ボタンが押下され、”許可する”ボタンが押下された場合は、通信方式が“代理”と決定され、”許可しない”ボタンが押下された場合は、通信方式が“直接”と決定される。ここの例では、利用者により”許可する”ボタンが選択され通信方式が”代理”と決定される。 That is, in step S1105, if the user presses the “permit” button or the “not permit” button via the selection dialog box, and the “permit” button is pressed, the communication method is “proxy”. When the “Do not allow” button is pressed, the communication method is determined as “Direct”. In this example, the “allow” button is selected by the user, and the communication method is determined to be “proxy”.
ステップＳ１１０６では、利用者端末１１０は、選択結果（通信方式通知メッセージとも言う）（ここでの例では選択方式としての”代理”と、サーバ識別子と、クライアント識別子と、有効期限とが通信方式通知メッセージに含まれる。）を中継処理装置１２０へ送信する。
In step S1106, the
中継処理装置１２０は該選択結果を受信し、該選択結果（”代理”）を管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。
The
ステップＳ１１０７では、利用者端末１１０は、コンテンツ取得要求に関する通信方式を決定され、中継処理装置１２０への通信方式通知メッセージの通知（送信）も完了したことを受けて、閲覧処理部１１１が該コンテンツ取得要求の処理を再開する。閲覧処理部１１１は、中継処理装置１２０のクライアント通信部１２１へ接続してプロキシ回線１６１を開設し、該プロキシ回線１６１上でＣＯＮＮＥＣＴメソッドによるプロキシリクエストを送信する。ＣＯＮＮＥＣＴメソッドによるプロキシリクエストとは、Ｗｅｂブラウザ等のクライアントがプロキシサーバを経由してＨＴＴＰＳサーバへ接続する際に発行されるリクエストであり、次の形式をもつ。
In step S <b> 1107, the
ＣＯＮＮＥＣＴ ホスト名：ポート番号 ＨＴＴＰ／１．０ CONNECT host name: port number HTTP / 1.0
また、拡張機能処理部１１２は、閲覧処理部１１１に、上記のプロキシリクエストにクライアント識別子をヘッダーとして追加するよう指示する。
プロキシリクエストの例を示す。
Further, the extended
An example of a proxy request is shown.
ＣＯＮＮＥＣＴ ｗｗｗ．ｘｘｘ．ｃｏ．ｊｐ：４４３ ＨＴＴＰ／１．０
Ｕｓｅｒ―Ａｇｅｎｔ： ＸＸＸＸＸ／Ｘ．Ｘ
Ｘ―ｃｌｉｅｎｔ―ｉｄ： １０．１０．１０．１：３４９２６３
CONNECT www. xxx. co. jp: 443 HTTP / 1.0
User-Agent: XXXX / X. X
X-client-id: 10.10.10.1:349263
次に、中継処理装置１２０は、受信した前記プロキシリクエストから、サーバ識別子（ホスト名：ポート番号）とクライアント識別子（Ｘ―ｃｌｉｅｎｔ―ｉｄ）を取得し、これらをキーに管理表保存部１２９のプロキシ通信方式キャッシュ表から通信方式欄を参照し、値”代理”を取得する。そして、中継処理装置１２０は、代理方式の中継処理の情報を管理するための記憶領域として、管理表保存部１２９の代理通信セッション管理表に新規レコード（代理通信セッションレコードと呼ぶ）を作成する。
Next, the
ステップＳ１１０８では、中継処理装置１２０は、サーバ識別子の情報を元に情報提供処理装置１５０へＴＣＰ接続し、サーバ回線１６３を開設する。
In step S1108, the
ステップＳ１１０９では、中継処理装置１２０は、ＴＣＰ接続が成功したことを受け、利用者端末１１０へ「ＨＴＴＰ／１．０ ２００」という接続成功メッセージを返し、情報提供処理装置１５０へ中継可能であることを伝える。
In step S <b> 1109, the
ステップＳ１１１０では、利用者端末１１０は、前記プロキシ回線１６１上でＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬのハンドシェイクを開始する。
In step S1110, the
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた中継処理装置１２０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３３でハンドシェイクの処理が終了するまで、プロキシ回線１６１を確立する処理を行う。
Upon receiving the Client Hello message, the
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０からハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
In order to establish an SSL encrypted communication line, handshake processing is started from step S1110. When the handshake process is completed in step S1133, a proxy line 161 (SSL encrypted communication line) can be established. The
ステップＳ１１１１では、中継処理装置１２０は、サーバ回線１６３上で、情報提供処理装置１５０との間でＳＳＬのセッションを開設（確立）するために、サーバ側暗号処理部１２５で生成したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信する。
In step S <b> 1111, the
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた情報提供処理装置１５０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３１でハンドシェイクの処理が終了するまで、サーバ回線１６３を確立する処理を行う。
Upon receiving the Client Hello message, the information
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１１からハンドシェイクの処理を開始する。そして、ステップＳ１１３１でハンドシェイクの処理が終了すると、サーバ回線１６３（ＳＳＬによる暗号化通信の回線）を確立することができる。サーバ回線１６３は、本発明の第２のＳＳＬ通信の適用例である。
In order to establish an SSL encrypted communication line, handshake processing is started from step S1111. When the handshake process is completed in step S1131, the server line 163 (SSL encrypted communication line) can be established. The
ステップＳ１１１１では、中継処理装置は、前記サーバ回線１６３上でＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬハンドシェイクを開始する。
In step S1111, the relay processing device transmits an SSL Client Hello message on the
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０でハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
In order to establish a line for encrypted communication by SSL, handshake processing is started in step S1110. When the handshake process is completed in step S1133, a proxy line 161 (SSL encrypted communication line) can be established. The
以下にステップＳ１１１０以降の処理について説明する。
図１１は、通信方式が”代理”（代理方式）の場合について説明する。
まず、利用者端末１１０は、ステップＳ１１１０でＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏ）を送信する。
The processing after step S1110 will be described below.
FIG. 11 illustrates a case where the communication method is “proxy” (proxy method).
First, the
図１１は、通信方式が”代理”の場合のシーケンス図であるので、中継処理装置１２０は、該ＳＳＬハンドシェイクで受信した各メッセージは、そのまま情報提供処理装置１５０へ中継せずに、自身がサーバとしてハンドシェイクを行う。
Since FIG. 11 is a sequence diagram when the communication method is “proxy”, the
中継処理装置１２０は、自身がサーバとしてハンドシェイクの処理に応じるために、利用者端末１１０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを送信する。
The
まず、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッション情報（セッションＩＤを含む）が記憶されているか否かを判定する。
First, the
そして、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
If the
一方、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
そして、中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
On the other hand, if the
Then, the
図１１では、利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。 FIG. 11 illustrates a case where the session ID is not included in the SSL Client Hello message received from the user terminal 111 (a case where a new SSL session is used without resuming the SSL session).
利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。 The case where the session ID is included in the SSL Client Hello message received from the user terminal 111 (when the SSL session is resumed) will be described later with reference to FIG.
中継処理装置１２０は、ステップＳ１１１０で利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。そして、中継処理装置１２０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
When the
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信する（ステップＳ１１１２）。
Then, the
さらに、中継処理装置１２０は、当該生成されたセッションＩＤを代理通信セッション管理表（図１０）のセッションＩＤーＣ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
Further, the
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
Upon receiving the SSL Server Hello message including the session ID from the
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
Next, the
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、外部メモリ２１１などのメモリに記憶する。
The
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
Then, the
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
Upon receiving the SSL Server Hello Done message from the
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
Further, the
利用者端末１１０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
When the
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
Also, the
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
Then, the
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
Then, the
The
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
Then, the relay processing device sends the server public key certificate (including the server public key) included in the SSL Server Certificate message transmitted to the
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
The secret key used here is stored in the proxy encryption
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
Next, the
中継処理装置１２０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
When the
次に、ステップＳ１１１５以降の処理について説明する。 Next, processing after step S1115 will be described.
中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、中継処理装置１２０をクライアントとして、情報提供処理装置１５０に、ＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ）を送信する（ステップＳ１１１１）。
When the
情報提供処理装置１５０は、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに応答して、中継処理装置１２０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージ（ステップＳ１１１５）、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージ（ステップＳ１１１６）、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージ（ステップＳ１１１７）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ（ステップＳ１１１８）の各メッセージを送信する。
以下に、ステップＳ１１１５からステップＳ１１１８について、説明する。
In response to the SSL Client Hello message received from the
Hereinafter, steps S1115 to S1118 will be described.
まず、中継処理装置１２０は、過去に情報提供処理装置１５０との通信で利用したＳＳＬのセッション情報（セッションＩＤ）が記憶されているか否かを判定する。
First, the
具体的には、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されているか否かを中継処理装置１２０が判定する。
Specifically, in the past, when the
そして、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する。
In the past, the
一方、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する（Ｓ１１１１）。
On the other hand, when the
そして、情報提供処理装置１５０は、中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
Then, the information
図１１では、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。 FIG. 11 illustrates a case where the session ID is not included in the SSL Client Hello message received from the relay processing device 120 (when a new SSL session is used without resuming the SSL session).
中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。 A case where the session ID is included in the SSL Client Hello message received from the relay processing device 120 (when the SSL session is resumed) will be described later with reference to FIG.
情報提供処理装置１５０は、ステップＳ１１１１で中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。
When receiving the SSL Client Hello message from the
そして、情報提供処理装置１５０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
When it is determined that the session ID is not included in the SSL Client Hello message, the information
そして、情報提供処理装置１５０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する（ステップＳ１１１５）。
Then, the information
さらに、情報提供処理装置１５０は、当該生成されたセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
Further, the information
中継処理装置１２０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを情報提供処理装置１５０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤを、代理通信セッション管理表（図１０）のセッションＩＤーＳ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
When the
次に、情報提供処理装置１５０は、サーバ暗号鍵保存部１５２に記憶されている情報提供処理装置１５０のサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを中継処理装置１２０に送信する。
Next, the information
ステップＳ１１１６では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得する。
In step S1116, the
中継処理装置１２０は、ＣＡ証明書保存部１３１に記憶されているＣＡ公開鍵証明書などを使って該サーバ公開鍵証明書が信頼できるか否かの検証処理を実施する。ここでの例では、該検証が成功し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
The
ステップＳ１１１７では、中継処理装置１２０は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ メッセージ（クライアント認証の要求情報）を受信し、該メッセージに含まれるクライアント認証に関する要求条件の情報（署名アルゴリズム、ＣＡ識別名）を、前記代理通信セッションレコードのクライアント認証要求欄に保存する。
In step S1117, the
そして、情報提供処理装置１５０は、情報提供処理装置１５０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを中継処理装置１２０に送信する。
Then, the information
ステップＳ１１１８では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信する。
In step S <b> 1118, the
ステップＳ１１１９では、利用者端末１１０は、制御回線１６２を使って中継処理装置１２０へ情報提供処理装置１５０のサーバ公開鍵証明の取得要求メッセージを送信する。
In
ステップＳ１１２０では、中継処理装置１２０は、利用者端末１１０から送信された取得要求メッセージに応答して、代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明を取得し、該サーバ公開鍵証明書を利用者端末１１０へ送信する。（送信手段）
In step S1120, in response to the acquisition request message transmitted from the
ステップＳ１１２１では、利用者端末１１０は、受信した前記サーバ公開鍵証明書の検証処理を行う。まず、利用者端末１１０は、利用者端末１１０のＣＡ証明書保存部１１５に記憶されている信頼するＣＡ（認証局）の公開鍵証明書によって、該サーバ公開鍵証明書の信頼性を検証する。次に、利用者端末１１０は、該サーバ公開鍵証明書に記載されている主体者情報（ＣＮ属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性）が、情報提供処理装置１５０のホスト名と一致するかどうかを確認する。利用者端末１１０は、その他、該サーバ公開鍵証明書の有効期限、失効状態確認など一般にサーバ公開鍵証明書の信頼性を検証するための処理を実行する。
In step S1121, the
次に、通常のブラウザでは、サーバ公開鍵証明書の情報として表示されるのはステップＳ１１１３で受信した中継処理装置１２０のサーバ公開鍵証明書であるが、拡張機能処理部１１２と協働する閲覧処理部１１１は、図１５に示すダイアログボックスを表示するなどして、ステップＳ１１２０で受信した情報提供処理装置１５０の前記サーバ公開鍵証明書の情報を、利用者に確認させる。
Next, in a normal browser, it is the server public key certificate of the
すなわち、閲覧処理部１１１は、ステップＳ１１２０で受信した情報提供処理装置１５０のサーバ公開鍵証明書の情報を含む画面（図１５）を表示する。
That is, the
また、利用者に一時的に確認させるだけでなく、ブラウザの画面上で表示中のコンテンツを提供した情報提供処理装置１５０のサーバ公開鍵証明書を利用者がいつでも参照できるように、該ダイアログボックスなどのサーバ公開鍵証明書の内容を確認するための手段を呼び出すボタン等をブラウザの画面上に付加しておく。そのブラウザの画面の例を図１８で示す。
In addition, the dialog box can be used so that the user can refer to the server public key certificate of the information providing
通常（通信方式が直接の場合）は、図１８の１８０１で示す場所に、表示中のコンテンツを提供した情報提供処理装置１５０の識別名（ホスト名）が表示され、該情報提供処理装置１５０のサーバ公開鍵証明書を表示するためのリンクになっている。しかし、本発明の代理方式の場合は、ここには中継処理装置１２０の識別名と、中継処理装置１２０のサーバ公開鍵証明書に関する情報を表示することになる。
Normally (when the communication method is direct), the identification name (host name) of the information
このため、図１８の例では、１８０２で示す場所に、本来のコンテンツ提供者である情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を表示するようにしている。このように、代理方式であっても情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を利用者がいつでも確認できるようにすることによって、利用者へコンテンツの提供者の真正性に関わる情報の確認を行うための手段を提供している。
For this reason, in the example of FIG. 18, the identification name of the information
最後に、利用者端末１１０は、サーバ公開鍵証明書の検証が成功すれば、管理表保存部１１４のサーバ証明書キャッシュ表（図１７）に新規レコードを作成し、情報提供処理装置１５０の該サーバ公開鍵証明書と、情報提供処理装置１５０の前記サーバ識別子と、ステップＳ１１１２のＳｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれたセッションＩＤとを共に保存する。
Finally, if the verification of the server public key certificate is successful, the
ステップＳ１１２２では、利用者端末１１０は、サーバ公開鍵証明書の検証に成功し、その検証結果を中継処理装置１２０へ通知する。
In step S1122, the
ステップＳ１１２３では、中継処理装置１２０は、代理通信セッションレコードのクライアント認証要求欄の値を確認し、代理通信セッションレコードのクライアント認証要求欄に値が格納されていると判定されると、ステップＳ１１１７において情報提供処理装置１５０からクライアント認証の要求があったと判定する。そして、中継処理装置１２０は、これ（クライアントの認証要求）に対応するために、利用者端末１１０へ、前記クライアント認証要求欄の値を含めたクライアント証明書要求メッセージを送信する。
In step S1123, the
ステップＳ１１２４では、利用者端末１１０は、中継処理装置１２０からクライアント証明書要求メッセージを受信すると、該クライアント認証要求で示された条件に合致する公開鍵証明書を、暗号鍵保存部１１３から検索し取得する。そして、利用者端末１１０は、該条件に合致する公開鍵証明書が複数ある場合は、通常のブラウザにおけるＳＳＬクライアント認証時の動作と同じように、ダイアログボックスを表示するなどして、利用者にどの公開鍵証明書を使って情報提供処理装置１５０へ認証されるのかを選択させ、利用者端末１１０の公開鍵証明書を１つ決定する。
In step S1124, when the
ステップＳ１１２５では、利用者端末１１０は、利用者端末１１０の公開鍵証明書を中継処理装置１２０へ送信する。
In step S1125, the
ステップＳ１１２６では、中継処理装置１２０は、利用者端末１１０の公開鍵証明書を利用者端末から受信し、代理通信セッションレコードのクライアント証明書欄に保存する。そして、中継処理装置１２０は、情報提供処理装置１５０へ、該公開鍵証明書を含むＣｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。すなわち、中継処理装置１２０は、利用者端末の公開鍵証明書を、サーバ回線１６３を介して情報提供処理装置１５０に送信する（公開鍵送信手段）。
次に、中継処理装置１２０は、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
In step S1126, the
Next, the
また、中継処理装置１２０は、ここで生成されたマスターシークレットに従って、サーバ回線１６３を介して情報提供処理装置１５０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵を代理通信セッションレコード（図１０）の共通鍵その他−Ｓの欄に記憶する。
Also, the
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
When the
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
In addition, the
そして、中継処理装置１２０は、情報提供処理装置１５０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
Then, the
そして、中継処理装置１２０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを情報提供処理装置１５０に送信する。
情報提供処理装置１５０は、中継処理装置１２０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
Then, the
The information
そして、情報提供処理装置１５０は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、中継処理装置１２０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
Then, the information
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられてサーバ暗号鍵保存部１５２に記憶されており、情報提供処理装置１５０が中継処理装置１２０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
Note that the secret key used here is stored in the server encryption
次に、情報提供処理装置１５０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、情報提供処理装置１５０は、該生成された共通鍵の情報を、外部メモリ２１１などのメモリに記憶する。
Next, the information
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
When the
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
In addition, the
ＳＳＬ（ＴＬＳを含む）の規約では、クライアント認証は、まず、利用者端末１１０と情報提供処理装置１５０が共有している情報（ハンドシェイクで互いに交換したメッセージを連結した情報のメッセージダイジェスト）に対して署名した情報（署名データ）を、利用者端末１１０が、情報提供処理装置１５０に送信する。すなわち、利用者端末１１０は、当該メッセージダイジェストを、利用者端末１１０がＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージで情報提供処理装置１５０へ送信した公開鍵に対応する秘密鍵で署名した情報（署名データ）を、情報提供処理装置１５０へ送信する。そして、情報提供処理装置１５０が、利用者端末１１０から受信した該署名データを該公開鍵で復号し、情報提供処理装置１５０のメモリに記憶されている、利用者端末１１０と共有している情報（該メッセージダイジェスト）と同一であるか否か判定することで、クライアント認証を実施している。
In the SSL (including TLS) protocol, client authentication is performed for information shared by the
以降で説明するステップＳ１１２７からステップＳ１１２８は、利用者端末１１０と中継処理装置１２０とが連携して署名データを作成する処理を行う。
In steps S1127 to S1128 described below, the
ステップＳ１１２７では、中継処理装置１２０は、それまで情報提供処理装置１５０とＳＳＬのハンドシェイクで交換した各メッセージを連結したデータにハッシュ関数を適用したメッセージダイジェスト（署名対象データ）を生成する。そして、中継処理装置１２０は利用者端末１１０へ該署名対象データを送信する。
In step S <b> 1127, the
利用者端末１１０は、中継処理装置１２０から署名対象データを受信し、該署名対象データに対してステップＳ１１２５で送信した利用者端末１１０の公開鍵証明書に対応する秘密鍵で署名を行い（暗号化を行い）、署名データを作成する。
The
そして、ステップＳ１１２８では、利用者端末１１０は、中継処理装置１２０へ該署名データを送信する。そして、中継処理装置１２０は、利用者端末１１０から該署名データを受信する。
In
ステップＳ１１２９では、中継処理装置１２０は、該署名データを含むＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する。
In step S <b> 1129, the
すなわち、中継処理装置１２０は、Ｓ１１２６で送信されたクライアント端末の公開鍵証明書に対応する秘密鍵を用いて署名対象データを暗号化することにより生成される署名データを、サーバ回線１６３を介して情報提供処理装置に送信する（署名データ送信手段）。
That is, the
そして、情報提供処理装置１５０は、中継処理装置１２０から受信した該メッセージ（署名データ）を上記の方法で検証することによって、利用者端末１１０のクライアント認証を実施する。
Then, the information
ステップＳ１１３０、ステップＳ１１３１では、中継処理装置１２０と情報提供処理装置１５０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、サーバ回線１６３上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるサーバ回線１６３を確立する。
In steps S1130 and S1131, the
ステップＳ１１３２、ステップＳ１１３３では、利用者端末１１０と中継処理装置１２０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、前記プロキシ回線１６１上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるプロキシ回線１６１を確立する。
In steps S1132 and S1133, the
ステップＳ１１３４では、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、プロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを、中継処理装置１２０へ送信する。
In step S1134, the
すなわち、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して、当該暗号化された暗号化通信要求メッセージを中継処理装置１２０に送信する。
That is, the
ステップＳ１１３５では、中継処理装置１２０は、利用者端末１１０から受信した暗号化通信要求メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて復号化し、当該復号することで得られる通信要求メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信要求メッセージへアクセス制御等の付加機能処理を実行する。この例ではアクセス制御処理を行い、アクセスが許可されるとする。
In step S1135, the
すなわち、中継処理装置１２０は、通信要求メッセージの内容を解析して、情報提供処理装置１５０への通信要求メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行い、情報提供処理装置１５０への通信要求メッセージの送信を許可すると判定された場合は、当該通信要求メッセージを情報提供処理装置１５０に送信するように制御する。一方、中継処理装置１２０は、情報提供処理装置１５０への通信要求メッセージの送信を許可しないと判定された場合は、当該通信要求メッセージを情報提供処理装置１５０には送信しないように制御する。
In other words, the
次に、該通信要求メッセージをサーバ回線１６３上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを生成し、該メッセージを情報提供処理装置１５０へ送信する。
Next, an encrypted communication request message is generated by encrypting the communication request message by the method decided by the SSL handshake on the
すなわち、中継処理装置１２０は、通信要求メッセージを情報提供処理装置１５０に送信するように制御する場合、該通信要求メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて暗号化して、当該暗号化することにより生成される暗号化通信要求メッセージを情報提供処理装置１５０へ送信する。
That is, when the
ステップＳ１１３６では、情報提供処理装置１５０は、中継処理装置１２０から受信した暗号化通信要求メッセージを中継処理装置１２０と共有している共通鍵を用いて復号化し、当該復号することにより通信要求メッセージを生成する。
In step S1136, the information
そして、情報提供処理装置１５０は、中継処理装置１２０からの通信要求メッセージの応答メッセージとして通信応答メッセージを作成し、該通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して暗号化通信応答メッセージを生成し、該暗号化通信応答メッセージを中継処理装置１２０へ送信する。
Then, the information
ステップＳ１１３７では、中継処理装置１２０は、情報提供処理装置１５０から受信した暗号化通信応答メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて復号化して通信応答メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信応答メッセージへアクセス制御等の付加機能処理を実行する。
In step S <b> 1137, the
すなわち、中継処理装置１２０は、通信応答メッセージの内容を解析することにより、利用者端末１１０への通信応答メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行う。ここでの例では、中継処理装置１２０は、付加機能処理として通信応答メッセージ内のウィルス検査処理を行い、その結果、通信応答メッセージにはウィルスが検知されなかったとする。
That is, the
中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可すると判定された場合は、当該通信応答メッセージを利用者端末１１０送信するように制御する。一方、中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可しないと判定された場合は、当該通信応答メッセージを利用者端末１１０には送信しないように制御する。
When it is determined that the transmission of the communication response message to the
次に、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージをプロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信応答メッセージを生成し、該メッセージを利用者端末１１０へ送信する。
Next, when the
すなわち、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて暗号化することによって、暗号化通信応答メッセージを生成し、当該暗号化通信メッセージを利用者端末１１０に送信する。
That is, when the
利用者端末１１０は、中継処理装置１２０から受信した暗号化通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて復号化することによって、通信応答メッセージを生成し、該通信応答メッセージを閲覧処理部１１１の画面へ表示するなどの処理を行う。
The
ステップＳ１１３８では、情報提供処理装置１５０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを中継処理装置１２０へ送信する。
In step S1138, the information
ステップＳ１１３９では、中継処理装置１２０は、同じく終了通知メッセージを、情報提供処理装置１５０へ送信する。これにより、サーバ回線１６３を終了させる。
In step S <b> 1139, the
ステップＳ１１４０において、中継処理装置１２０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを利用者端末１１０へ送信する。
In step S1140, the
ステップＳ１１４１において、利用者端末１１０は、同じく終了通知メッセージを、中継処理装置１２０へ送信する。これにより、前記プロキシ回線１６１を終了させる。
上述したＳＳＬの暗号化通信の確立手順は、一例であり、上述したメッセージ以外のメッセージを装置間で送受信して暗号化通信を確立するようにしてもよい。
In step S <b> 1141, the
The procedure for establishing the SSL encrypted communication described above is an example, and the encrypted communication may be established by transmitting / receiving messages other than the messages described above between the devices.
以上で、ＳＳＬの暗号化通信（回線）を介して通信される通信データを、通信方式が代理方式（“代理”）の場合に、中継する際の通信メッセージ交換フローの例の説明を終了する。 This is the end of the description of the example of the communication message exchange flow when relaying the communication data communicated via the SSL encrypted communication (line) when the communication method is the proxy method (“proxy”). .
（セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー） (Communication message exchange flow when encrypted communication by session resumption function is relayed by proxy method)
次に、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローについて、図１２を用いて説明する。
Next, the user who relays the encrypted communication data by the proxy method and opens the SSL session by the session resumption function in the SSL connection of the
図１２は、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
FIG. 12 shows a case where data to be encrypted is relayed by a proxy method, and when an SSL session is established by the session resumption function between the SSL connection of the
セッション再開機能とは、過去に開設して終了させたセッションを再開するための機能であり、ＳＳＬにおいてセッションを新規に作成せずに再開させた場合はセッションを確立するために必要なセッション鍵（共通鍵）の生成、交換に関わる負荷の高い処理を省略できるために、性能向上のために利用される機能である。 The session resuming function is a function for resuming a session that has been opened and ended in the past. When a session is resumed without creating a new session in SSL, a session key ( This is a function used to improve performance because processing with high load related to generation and exchange of a common key can be omitted.
なお、図１２中の利用者端末１１０と中継処理装置１２０との間のすべての通信はプロキシ回線１６１上で行われる。
Note that all communication between the
ステップＳ１２０１の処理は、前述したステップＳ１１０１の処理と同じである。 The process in step S1201 is the same as the process in step S1101 described above.
次に、利用者端末１１０は、ステップＳ１２０１におけるコンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって、拡張機能処理部１１２の処理が起動される。利用者端末１１０の拡張機能処理部１１２では、該コンテンツ取得要求のＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳであることから、中継処理装置１２０における通信方式を決定するための処理を行う。利用者端末１１０は、中継処理装置１２０へ問い合わせを行う前に、過去に中継処理装置１２０との通信で用いられた情報が利用できないかどうかを調べるために、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）を参照し、該コンテンツ取得要求に含まれるＵＲＬから情報提供処理装置１５０のサーバ識別子（ホスト名：ポート番号）を生成し、該サーバ識別子をキーにしてクライアント通信方式キャッシュ表（図１６）のレコードを検索する。ここの例では、利用者端末１１０は、検索の結果、該サーバ識別子を条件として満たすレコードを発見し、該レコードの通信方式欄を参照し、通信方式を”代理”と判定する。なお、検索の結果、通信方式が”直接”であると判定された場合は、通常の方式（直接方式）で利用者端末１１０と情報提供処理装置１５０とが直接、ＳＳＬの暗号化通信回線を確立するように制御する。
Next, in the
ステップＳ１２０２では、利用者端末１１０は前述したステップＳ１１０７と同じ処理を行う。
In step S1202, the
ステップＳ１２０３では、中継処理装置１２０は前述したステップＳ１１０８と同じ処理を行う。
In step S1203, the
ステップＳ１２０４では、中継処理装置１２０は前述したステップＳ１１０９と同じ処理を行う。
In step S1204, the
ステップＳ１２０５では、利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているので再開可能であると判定し、キャッシュされているセッション情報のセッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているか否かを判定した結果、ＳＳＬのセッション情報がキャッシュされていないと判定した場合は、図１１のステップＳ１１１０で説明した通り、セッションＩＤを付加していないＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
In step S1205, the
The
ステップＳ１２０６では、中継処理装置１２０は、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコードを取得し、該レコードの通信方式欄の値（”代理”）から、中継を代理方式で実施することを判定（決定）する。
In step S1206, the
次に、中継処理装置１２０は、管理表保存部１２９の代理通信セッション管理表（図１０）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコード（代理通信セッションレコードと呼ぶ）を取得する。代理通信セッション管理表（図１０）は、代理通信記憶手段の適用例である。
Next, the
中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄を参照し、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージのセッションＩＤ（第１のセッション識別情報）と同じならば、中継処理装置１２０側もセッション再開が可能と判定する（判定手段）。
The
すなわち、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一であるか否かを判定し、同一であると判定された場合は、中継処理装置１２０もセッションの再開が可能であると判定する。一方、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一ではないと判定された場合は、中継処理装置１２０はセッションの再開が不可能であると判定する。ここで、中継処理装置１２０は、セッションの再開が不可能であると判定された場合は、これ以降の処理は実行しない。ここでの例では、セッション再開は可能と判定され、利用者端末１１０へ該セッションＩＤを付加したＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する。
That is, the
ステップＳ１２０７では、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値があるか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤ（第２のセッション識別情報）の値があると判定された場合に、サーバ回線１６３においてもセッションを再開することができると判定し、該セッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０へ送信する。一方、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値が無いと判定された場合は、サーバ回線１６３においてはセッションを再開することが出来ないと判定し、これ以降の処理を実行しないように制御する。
In step S1207, the
ステップＳ１２０８では、情報提供処理装置１５０は、中継処理装置１２０から受信したセッションＩＤで識別されるＳＳＬのセッション情報が情報提供処理装置１５０においても利用可能なことを確認したのち、中継処理装置１２０へ、該セッションＩＤを付加したＳｅｒｖｅｒ Ｈｅｌｌｏメッセージを応答する。これは、中継処理装置１２０と情報提供処理装置１５０の間におけるサーバ回線１６３のＳＳＬコネクションにおいても、セッション再開の合意がとれたことを意味する。
In step S <b> 1208, the information
ステップＳ１２０９では、情報提供処理装置１５０は中継処理装置１２０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
In step S1209, the information
ステップＳ１２１０では、中継処理装置１２０は情報提供処理装置１５０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
In step S <b> 1210, the
以上をもって、中継処理装置１２０と情報提供処理装置１５０の間のサーバ回線１６３のＳＳＬハンドシェイク処理を終了する。
With the above, the SSL handshake process of the
ステップＳ１２１１では、中継処理装置１２０は利用者端末１１０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
In step S1211, the
ステップＳ１２１０では、利用者端末１１０は中継処理装置１２０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
In step S <b> 1210, the
以上をもって、利用者端末１１０と中継処理装置１２０と間のプロキシ回線１６１のＳＳＬハンドシェイク処理を終了する。
Thus, the SSL handshake process of the
以降は、図１１を用いて説明した、ステップＳ１１３４からステップＳ１１４１までの処理と同じ処理を、図１２におけるステップＳ１２１３からステップＳ１２２０までの処理で実施する。 Thereafter, the same processing as that from step S1134 to step S1141 described with reference to FIG. 11 is performed by the processing from step S1213 to step S1220 in FIG.
以上で、セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フローの例の説明を終了する。 This is the end of the description of the example of the communication message exchange flow when the encrypted communication by the session resuming function is relayed by the proxy method.
以上、説明したように、セッション再開機能を利用した中継処理では、ＳＳＬハンドシェイク処理を大幅に短縮し、計算負荷の高い処理を省略することができる。また、上記で説明した手順によれば、セッション再開機能を利用した場合でも、利用者端末１１０は、セッションを開設した通信時（図１１のステップＳ１１２１）に管理表保存部１１４のサーバ証明書キャッシュ表に保存しておいたサーバ証明書欄を参照することにより、情報提供処理装置１５０のサーバ公開鍵証明書を、中継処理装置１２０から送信されることなく利用者に提示することができ、利用者に通信相手の真正性を確認する手段を与えることが可能となっている。なお、クライアント認証に関しては、情報提供処理装置１５０は、情報提供処理装置１５０のメモリに記憶されているセッション情報の中に利用者端末１１０の公開鍵証明書をキャッシュしているために再度、中継処理装置１２０にクライアント認証の要求情報を送信し検証処理を行うことも省略できている。
As described above, in the relay process using the session resumption function, the SSL handshake process can be significantly shortened, and a process with a high calculation load can be omitted. Further, according to the procedure described above, even when the session resuming function is used, the
（中継処理装置１２０における通信処理フロー） (Communication processing flow in the relay processing device 120)
次に、利用者端末１１０が中継処理装置１２０を経由して情報提供処理装置１５０へ暗号化通信（代理方式による暗号化通信）を行う場合の中継処理装置１２０の処理フローを、図３を用いて説明する。
Next, the processing flow of the
なお、図３に示すステップＳ３０１からステップＳ３２０は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
Note that steps S301 to S320 illustrated in FIG. 3 are realized by the
ステップＳ３０１では、中継処理装置１２０は、利用者端末１１０から情報提供処理装置１５０への暗号化通信の要求の発生を元に通信方式を決定する処理（通信方式決定処理）を行う（図１１のステップＳ１１０１からステップＳ１１０６）。
In step S301, the
通信方式決定処理では、利用者端末１１０が要求する通信に対する中継処理装置１２０における通信方式が決定され、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に、決定された通信方式を通信方式欄にもつ新しいレコードが作成される。該レコードの通信方式欄の値は、”直接”か”代理”または”選択なし”のいずれかになる。処理の詳細は図４を用いて後述する。
In the communication method determination process, the communication method in the
ステップＳ３０２では、クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続を受け付け、ＳＳＬ（ＴＬＳを含む）のプロキシ接続プロトコルに則ったＣＯＮＮＥＣＴメソッドによる接続要求メッセージ（情報提供処理装置１５０とのＳＳＬ通信の要求の情報）を受信し、通信制御部１２４へ該接続要求メッセージを渡す（図１１のステップＳ１１０７）。
すなわち、中継処理装置１２０は、利用者端末１１０から、情報提供処理装置１５０へのＳＳＬ通信の要求を受信する（受信手段）。
In step S302, the
That is, the
すなわち、中継処理装置１２０は、利用者端末１１０からＳＳＬ通信の要求を受信したことを条件に、プロキシ回線１６１の確立、及びサーバ回線１６３の確立を開始するように制御する（制御手段）。
In other words, the
以降、中継処理装置１２０のクライアント通信部１２１と利用者端末１１０の閲覧処理部１１１との間で開設される接続回線をプロキシ回線１６１と呼ぶ。
Hereinafter, a connection line established between the
次に、通信制御部１２４は、該接続要求メッセージのＣＯＮＮＥＣＴメソッドで指定された情報提供処理装置１５０のホスト名とポート番号からサーバ識別子（ホスト名：ポート番号）を作成し、また該接続要求メッセージのリクエストヘッダーからクライアント識別子（ＩＰアドレス：閲覧処理部識別子）を取得する。そして、通信制御部１２４は、該サーバ識別子と該クライアント識別子をキーにして、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）からレコードを検索し、検索結果、該レコードの通信方式を取得する。該通信方式はステップＳ３０１において記憶された値である。
Next, the
通信制御部１２４は、通信方式が”直接”又は”代理”であった場合には、ＣＯＮＮＥＣＴメソッドで渡されたホスト名とポート番号をサーバ通信部１２２へ渡し、サーバ通信部１２２は該ホスト名の情報提供処理装置１５０の該ポート番号へ接続する（図１１のステップＳ１１０８）。接続が失敗すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へエラーメッセージを応答（送信）して終了する。接続が成功すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へＨＴＴＰ応答コード２００を応答する（図１１のステップＳ１１０９）。以降、前記中継処理装置１２０のサーバ通信部１２２と情報提供処理装置１５０のサーバ処理部１５１との間で開設される接続回線をサーバ回線１６３と呼ぶ。
When the communication method is “direct” or “proxy”, the
また、通信制御部１２４は、通信方式が”代理”であった場合には、サーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表（図１０）からレコードを検索する。通信制御部１２４は、該キーに一致するレコードがなかった場合には、サーバ識別子とクライアント識別子を、それぞれサーバ識別子欄とクライアント識別子欄にもつ新しいレコードを作成する。通信制御部１２４は、検索で発見されたレコード又は新規作成したレコードを中継処理装置１２０のＲＡＭ２０３に記憶させる。以降、このレコードを代理通信セッションレコードと呼び通信制御部１２４において参照できるものとする。
Further, when the communication method is “proxy”, the
ステップＳ３０３では、ステップＳ３０２で取得した通信方式によって処理を分岐させる。すなわち、中継処理装置１２０は、ステップＳ３０２で取得した通信方式が、”直接”であるか、”代理”であるか、”選択なし”であるかを判定する。前記通信方式が”直接”であった場合はステップＳ３０４へ進み、”代理”であった場合はステップＳ３０５へ進み、”選択なし”であった場合はステップＳ３１９へ進む。
In step S303, the process is branched according to the communication method acquired in step S302. That is, the
（直接プロキシ処理）
ステップＳ３０４では、通常のプロキシサーバが行う方式（直接方式）によって暗号化通信（ＨＴＴＰＳ通信）されるデータを中継する。
(Direct proxy processing)
In step S304, data to be encrypted (HTTPS communication) is relayed by a method (direct method) performed by a normal proxy server.
すなわち、中継処理装置１２０は、利用者端末１１０と情報提供処理装置１５０との間で送受信されるデータを素通しして中継する。これにより、従来のように、クライアント端末と情報処理装置との間でＳＳＬによる暗号化通信（第３のＳＳＬ通信）が確立される。
That is, the
そして、中継処理装置１２０は、ここで確立された暗号化通信を用いて、利用者端末１１０と情報提供処理装置１５０との間で通信される通信データを中継する。
The
通信制御部１２４は、ステップＳ３０２において通信制御部１２４が利用者端末１１０へＨＴＴＰ応答コード２００を応答した後、クライアント通信部１２１が利用者端末１１０の閲覧処理部１１１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、サーバ通信部１２２から情報提供処理装置１５０のサーバ処理部１５１へ送信する。また、通信制御部１２４は、サーバ通信部１２２が情報提供処理装置１５０のサーバ処理部１５１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、クライアント通信部１２１から利用者端末１１０の閲覧処理部１１１へ送信する。そして、通信制御部１２４は、サーバ回線１６３が情報提供処理装置１５０から切断されるかもしくはプロキシ回線１６１が利用者端末１１０から切断されるかのいずれかが発生すると反対側の通信回線も切断し、全ての処理を終了する。
After the
なお、この直接方式による中継処理では、通信要求メッセージ、通信応答メッセージとも暗号化されたまま中継するので、通信制御部１２４を経由する際、中継処理装置１２０は、付加機能処理部１３０における付加機能処理（通信メッセージ検査や通信応答キャッシュなど）は実行しない。
In the relay processing by the direct method, both the communication request message and the communication response message are relayed while being encrypted. Therefore, when passing through the
（中継拒否通知） (Relay rejection notification)
ステップＳ３１９では、通信制御部１２４は、アクセスを許可しない旨の通信応答メッセージを作成し、クライアント通信部１２１を経由して該通信応答メッセージを利用者端末１１０の閲覧処理部１１１へ送信し、プロキシ回線１６１を切断し処理を終了する。
In step S319, the
（代理方式：利用者端末１１０とのＳＳＬハンドシェイク処理） (Proxy method: SSL handshake processing with the user terminal 110)
ステップＳ３０５では、通信制御部１２４は、クライアント側暗号処理部１２３に対して前記プロキシ回線１６１においてＳＳＬセッションを開始するよう指示する。クライアント側暗号処理部１２３は、該プロキシ回線１６１においてクライアント通信部１２１を経由して、利用者端末１１０の閲覧処理部１１１から送信されるＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信し、ＳＳＬハンドシェイク処理を開始する。ＳＳＬのハンドシェイク方法には、セッションを新規に開始するケースと過去のセッションを再開するケースの２通りがある。
In step S305, the
まず、セッションを新規に開始するケースについて説明する。 First, a case where a session is newly started will be described.
中継処理装置１２０は、前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中にセッションＩＤが含まれているか否かを判定し、セッションＩＤが含まれていると判定された場合であって、該セッションＩＤが前記代理通信セッションレコードのセッションＩＤーＣ欄の値と同一と判定された場合、クライアント側のＳＳＬコネクションでセッションを再開し、一方、同一でない場合は、利用者端末１１０側のＳＳＬコネクションは新規のセッションを開始する。
The
すなわち、ＳＳＬセッションを新規に開始する処理では、中継処理装置１２０のクライアント側暗号処理部１２３は、利用者端末１１０から送信されたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１１のステップＳ１１１０）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏ、Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを順次送信する（図１１のステップＳ１１１２、ステップＳ１１１３、ステップＳ１１１４）。
That is, in the process of newly starting an SSL session, the client-side
具体的には、中継処理装置１２０は、ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定した場合は、新規のセッションを作成するため新規の固有のセッションＩＤを生成する。
Specifically, when it is determined that the session ID is not included in the SSL Client Hello message, the
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含む該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信し、当該生成されたセッションＩＤを代理通信セッションレコードのセッションＩＤーＣ欄に保存する。該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
Then, the
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
Upon receiving the SSL Server Hello message including the session ID from the
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
Next, the
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、当該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書を外部メモリ２１１などのメモリに記憶する。
The
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
Then, the
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
Upon receiving the SSL Server Hello Done message from the
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
Further, the
利用者端末１１０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
When the
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
Also, the
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
Then, the
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
Then, the
The
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
Then, the relay processing device sends the server public key certificate (including the server public key) included in the SSL Server Certificate message transmitted to the
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
The secret key used here is stored in the proxy encryption
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
Next, the
中継処理装置１２０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
When the
次に、ＳＳＬセッションを再開するケースについて説明する。 Next, a case where the SSL session is resumed will be described.
中継処理装置１２０は、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージにセッションＩＤが含まれていると判定され、当該セッションＩＤが、前記代理通信セッションレコードのセッションＩＤーＣ欄に含まれていると判定された場合に、ＳＳＬセッションを再開すると判定する（Ｓ３０６：ＹＥＳ）。ここで、中継処理装置１２０が、利用者端末１１０から、セッションＩＤを含むＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信したことは、ＳＳＬ通信の再開要求を受信したことを意味する。このとき、共通鍵その他ーＣ欄には既に当該ＳＳＬセッション用の共通鍵が保存されている。クライアント側暗号処理部１２３は、利用者端末１１０からの前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１２のステップＳ１２０５）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する（図１２のステップＳ１２０６）。
The
（代理用暗号鍵保存部１２６のサーバ公開鍵証明書について） (About the server public key certificate of the proxy encryption key storage unit 126)
代理用暗号鍵保存部１２６に記憶されているサーバ公開鍵証明書に関して説明する。該サーバ公開鍵証明書は、プロキシ回線１６１のＳＳＬコネクションにおけるサーバ認証用のサーバ公開鍵証明書である。通常のプロキシ接続（直接方式による通信）においては、該サーバ公開鍵証明書は、情報提供処理装置１５０のサーバ暗号鍵保存部１５２に記憶されているサーバ公開鍵証明書が情報提供処理装置１５０から提示されるが、本実施例の代理方式では、中継処理装置１２０の代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書が代わりに提示される。そのため該サーバ公開鍵証明書は、任意の情報提供処理装置１５０に対して有効と判定されるものでなければならない。このため、本実施例の代理方式では、該サーバ公開鍵証明書は、非特許文献１で示されているように、情報提供処理装置１５０のホスト名が記載される主体者のＣｏｍｍｏｎ Ｎａｍｅ（ＣＮ）属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性にワイルドカードを用いて任意の情報提供処理装置１５０を表す。サーバ公開鍵証明書とホスト名を元にした情報提供処理装置１５０の身元確認方法に関しては、ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」に記載されている。
The server public key certificate stored in the proxy encryption
また、該サーバ公開鍵証明書には、主体者のＤＮ（識別名）の中のＣｏｍｍｏｎ Ｎａｍｅより上の階層に、中継処理装置１２０のホスト名を属性値としてもつようにし、エンドポイント（情報提供処理装置１５０）の確認とともに中継点（中継処理装置１２０）の確認も同時に実施できるようにする。
In addition, the server public key certificate has the host name of the
ＤＮ（主体者識別名）の例を示す。
ｃｎ＝＊．＊．＊、ｏｕ＝ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ，ｏ＝ＸＸＸ Ｉｎｃ．，ｃ＝ｊｐ
An example of DN (subject identifier) is shown.
cn = *. *. *, Ou = proxy. xxx. com, o = XXX Inc. , C = jp
この例では、ｃｎはワイルドカードで表され、ホスト名に３つのドメインコンポーネントをもつ任意の情報提供処理装置１５０に対する代理用のサーバ公開鍵証明書であることを表している。代理用暗号鍵保存部１２６では、任意の情報提供処理装置１５０のサーバ公開鍵証明書として利用できるように、ワイルドカードのドメインコンポーネントが例えば２から１０までに対応するｃｎをもつサーバ公開鍵証明書を予め記憶しておき、通信セッションにおける情報提供処理装置１５０のホスト名のドメインコンポーネントの数によって前記サーバ公開鍵証明書から適切なものが選択されるようにしておく。
In this example, cn is represented by a wild card and represents a proxy server public key certificate for an arbitrary information
また、Ｃｏｍｍｏｎ Ｎａｍｅ（ｃｎ）の一つ上位のｏｕ属性値として中継処理装置１２０のホスト名（上記例：ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ）を記載している。該ｏｕ属性値はプロキシ回線１６１上のＳＳＬコネクションにおける中継処理装置１２０の真正性確認に用いることができる。これは制御回線１６２で利用者端末１１０の拡張機能処理部１１２が明示的に接続する中継処理装置１２０のホスト名と前記属性値が同じであることで検証することができる。
In addition, the host name of the relay processing device 120 (the above example: proxy.xxx.com) is described as the ou attribute value one level higher than Common Name (cn). The ou attribute value can be used for authenticity confirmation of the
ステップＳ３０６では、ステップＳ３０５において新規セッションを開設していればステップＳ３０７へ進み、セッションの再開機能を使っていればステップＳ３１６へ進む。 In step S306, if a new session is established in step S305, the process proceeds to step S307, and if the session resuming function is used, the process proceeds to step S316.
ステップＳ３０７では、サーバ側暗号処理部１２５は、ステップＳ３０２で開設したサーバ回線１６３を介して、サーバ通信部１２２を経由してＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信し、ＳＳＬハンドシェイク処理を新規に開始する（図１１のステップＳ１１１１からステップＳ１１１８）。
In step S307, the server-side
サーバ側暗号処理部１２５は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ（オプション）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ等を受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
The server-side
また、サーバ側暗号処理部１２５が前記Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は（図１１のステップＳ１１１７）、情報提供処理装置１５０がＳＳＬクライアント認証を要求していることを意味するので、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄に該Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージには、クライアント認証の条件を示す署名アルゴリズムと情報提供処理装置１５０が信用しているルートＣＡの識別名情報が含まれている。
Further, when the server-side
ステップＳ３０８では、制御処理通信部１２８は該代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明書を利用者端末１１０へ制御回線１６２を介して送信し、利用者端末１１０において該サーバ公開鍵証明書を検証させ、情報提供処理装置１５０に対するサーバ認証を実施させるステップである。そして、制御処理通信部１２８は、その検証結果を通信制御部１２４へ渡す（図１１のステップＳ１１１９からステップＳ１１２２）。ステップＳ３０８の詳細処理は、図５を用いて後述する。
In step S308, the control
ステップＳ３０９では、通信制御部１２４は、制御処理通信部１２８から渡されたステップＳ３０８におけるサーバ認証処理の結果が、成功であればステップＳ３１０へ進み、失敗であればステップＳ３２０へ進む。ここで、通信制御部１２４は、ステップＳ３０８で、利用者端末１１０から検証が成功した旨を受信した場合は、サーバ認証処理の結果が、成功として判定し、一方、利用者端末１１０から、検証が成功しなかった旨を受信した場合は、サーバ認証処理の結果が、失敗として判定する。
In step S309, the
ステップＳ３１０では、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄を参照し、値が存在すればステップＳ３１１へ進み、値が存在しなければステップＳ３１２へ進む。
In step S310, the
ステップＳ３１１では、中継処理装置１２０は、利用者端末１１０と連携することにより、情報提供処理装置１５０から要求されたクライアント認証に応答するための処理を行う（図１１のステップＳ１１２３からステップＳ１１２９）。ステップＳ３１１の詳細処理は、図６を用いて後述する。
In step S311, the
ステップＳ３１２では、サーバ側暗号処理部１２５において、サーバ通信部１２２を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを情報提供処理装置１５０に送信して、前記サーバ回線１６３におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３０からステップＳ１１３１）。
In step S312, the server-side
ステップＳ３１３では、クライアント側暗号処理部１２３において、クライアント通信部１２１を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄを利用者端末１１０に送信して、プロキシ回線１６１におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３２からステップＳ１１３３）。
In step S313, the client-side
ステップＳ３１４では、既に確立した、プロキシ回線１６１のＳＳＬセッションと、サーバ回線１６３のＳＳＬセッションと、の２つのＳＳＬセッションの間でアプリケーションメッセージを中継する。この時、付加機能処理部１３０において平文化されたメッセージに対して、付加機能による処理が実行される（図１１のステップＳ１１３４からステップＳ１１３７）。詳細は後述する。
In step S314, the application message is relayed between the two SSL sessions, the already established SSL session of the
ステップＳ３１５では、ステップＳ３１４におけるアプリケーションメッセージの交換が終了すると、情報提供処理装置１５０もしくは利用者端末１１０からＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージによるセッション終了通知が送信される。クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５において該メッセージを受信すると、クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５はＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージを返信しＳＳＬセッションを終了し、通信回線（プロキシ回線、又はサーバ回線）を切断する。次に反対側のＳＳＬセッションの終了処理と通信回線（プロキシ回線、又はサーバ回線）の切断処理を実施する。
In step S315, when the exchange of the application message in step S314 ends, a session end notification by an SSL close notification message is transmitted from the information providing
（ＳＳＬセッション再開機能を使う場合）
ステップＳ３１６では、通信制御部１２４は、サーバ回線１６３においてＳＳＬセッションの再開が可能か否かを判定する。
(When using the SSL session resume function)
In step S316, the
すなわち、通信制御部１２４は、利用者端末１１０から受信したセッションＩＤが含まれている代理通信セッションレコードのセッションＩＤーＳ欄に値が存在するか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在すると判定された場合、サーバ側暗号処理部１２５から該セッションＩＤの値を付加したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを、サーバ通信部１２２を経由してサーバ回線を介して情報提供処理装置１５０へ送信する。
That is, the
次に、サーバ側暗号処理部１２５は、情報提供処理装置１５０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれているか否かを判定し、該セッションＩＤが含まれていると判定された場合は、セッション再開が可能と判定しステップＳ３１２へ進む。
Next, the server-side
通信制御部１２４は、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在しない場合、もしくは存在してもＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれていなければ、セッション再開は不可と判定しステップＳ３１７へ進む。
If there is no value in the session ID-S field of the proxy communication session record, or if the SSL is not included in the SSL Server Hello message, the
ステップＳ３１７では、通信制御部１２４は、ステップＳ３０７と同様に、サーバ回線１６３上で新しいＳＳＬセッションを開始する。
In step S317, the
通信制御部１２４は、情報提供処理装置１５０からのＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると、該メッセージからサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書と代理通信セッションレコードのサーバ証明書欄の値とを比較する。当該比較の結果、両者が同一でなかった場合は、代理通信セッションレコードのサーバ証明書欄を該サーバ公開鍵証明書で上書き保存する。
Upon receiving the SSL Server Certificate message from the information
また、通信制御部１２４は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は、ステップＳ３０７と同様に代理通信セッションレコードのクライアント認証要求欄に該ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。
In addition, when receiving the SSL Certificate Request message from the information providing
ステップＳ３１８では、通信制御部１２４は、ステップＳ３１７におけるサーバ公開鍵証明書の比較の結果を参照し、真（同一）ならばステップＳ３１０へ進み、偽（同一ではない）ならば再度サーバ公開鍵証明書を利用者端末１１０で検証させるためにステップＳ３０８へ進む。
In step S318, the
（エラー処理） (Error handling)
ステップＳ３２０では、制御処理通信部１２８は、ステップＳ３０８におけるサーバ証明書の検証処理が失敗したことを通信制御部１２４へ通知し、通信制御部１２４は、サーバ側暗号処理部１２５に情報提供処理装置１５０とのＳＳＬハンドシェイク処理をエラー終了するように通知し、サーバ側暗号処理部１２５は、サーバ通信部１２２を経由して、サーバ回線１６３を介してＳＳＬのＳＳＬ ｂａｄ ｃｅｒｔｉｆｉｃａｔｅ ａｌｅｒｔメッセージを情報提供処理装置１５０へ送信し、サーバ回線１６３を切断し、終了する。
In step S320, the control
（図４ 通信方式決定処理の詳細）
次に、図３におけるステップＳ３０１の詳細である利用者端末１１０と中継処理装置１２０とにおける通信方式決定処理のフローを、図４を用いて説明する。
(Fig. 4 Details of communication method decision processing)
Next, the flow of communication method determination processing between the
図４に示すステップＳ４０１からステップＳ４０３、ステップＳ４０６からステップＳ４０８の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
The processing from step S 401 to step
また、ステップＳ４０４、ステップＳ４０５、ステップＳ４０９の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
Further, the processing of step S404, step S405, and step S409 is executed and implemented by the
なお、図４で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
It is assumed that the communication between the
ステップＳ４０１では、利用者端末１１０の閲覧処理部１１１は、利用者が”ｈｔｔｐｓ：／／・・・”形式のＵＲＬのリンクをクリックしたり、アドレスバーに入力するなどして、情報提供処理装置１５０への暗号化通信の要求イベントを検知すると、拡張機能処理部１１２へ該ＵＲＬを渡し制御を移す。
In step S401, the
ステップＳ４０２では、利用者端末１１０の拡張機能処理部１１２は、当該ＵＲＬの中のホスト名とポート番号からサーバ識別子（サイト情報）を生成し、該サーバ識別子をキーに管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）からレコードを検索する。
In step S402, the extended
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがあれば該レコードの通信方式欄の値を通信方式とし処理を終了する。この場合は、利用者端末１１０のクライアント通信方式キャッシュ表の該レコード（キャッシュ情報）が存在すれば、中継処理装置１２０のプロキシ通信方式キャッシュ表（図９）にも同じ通信条件のキャッシュ情報が存在する。
If there is a record that matches the conditions in the search process, the extended
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがなければ新規に通信方式を決定するためにステップＳ４０３へ進む。
If there is no record that matches the conditions in the search process, the extended
ステップＳ４０３では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する。すなわち、利用者端末１１０と中継処理装置１２０との間でＳＳＬによる暗号化通信の回線（制御回線１６２）を確立する。この接続回線を制御回線１６２と呼ぶ。利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０２で生成したサーバ識別子と、利用者端末１１０のＩＰアドレスと閲覧処理部１１１識別子からなるクライアント識別子と、をもつ通信方式問い合わせ要求メッセージを中継処理装置１２０へ送信する。
In step S403, the extended
ステップＳ４０４では、中継処理装置１２０の制御処理通信部１２８が、ステップＳ４０３の通信方式問い合わせ要求メッセージを受信し、サーバ識別子とクライアント識別子を取得する（受付手段）。サーバ識別子は、中継先情報の適用例である。また、クライアント識別子（ＩＰアドレス）は、クライアント情報の適用例である。
In step S404, the control
ステップＳ４０５では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０４で取得した情報提供処理装置１５０を識別するサーバ識別子と、利用者端末１１０の閲覧処理部１１１を識別するクライアント識別子と、を元に管理表保存部１２９の通信方式決定表（通信方式設定情報）（図８）のサーバ条件とクライアント条件に合致するレコードを検索し、合致するレコードの通信方式を、確立が許可された通信の通信方式として決定する（通信決定手段）。
In step S405, the control
サーバ条件のドメイン名欄との照合は、サーバ識別子から情報提供処理装置１５０のホスト名を取り出し、該ホスト名とドメイン名欄の値に対して文字列パターンマッチングを行う。サーバ条件のカテゴリー欄との照合は、ホスト名（ドメイン名）をカテゴリーに変換する。ここでは不図示の、ホスト名（ドメイン名）とカテゴリーとが対応付けられた変換テーブル等を用いて、サーバ識別子から取り出したホスト名から、当該ホスト名に対応するカテゴリーを算出（決定）し、該カテゴリーとカテゴリー欄の値を比較する。クライアント条件のアドレス欄の照合は、クライアント識別子からＩＰアドレスを取り出し、該ＩＰアドレスと値との照合を行う。クライアント条件の認証グループ欄の照合は、中継処理装置１２０が利用者端末１１０の閲覧処理部１１１の利用者を認証した場合に入力された利用者の属性値と照合するにより行う。中継処理装置１２０が利用者端末１１０の閲覧処理部１１１を利用する利用者を認証する手段に関しては詳細には記載しないが、例えば、プロキシ回線１６１上でＨＴＴＰのプロキシ認証を実施する手段や制御回線１６２のＨＴＴＰＳトランザクションにおいてＳＳＬクライアント認証やＨＴＴＰダイジェスト認証等を実施する手段を使うことができる。
In the comparison with the domain name field of the server condition, the host name of the information
また、通信方式決定表では、図８の８０４で示されるような全ての通信要求条件に合致するレコードを持たせ必ず通信方式が決定されるようにしておく。 In the communication method determination table, a record that matches all the communication request conditions as indicated by 804 in FIG. 8 is provided so that the communication method is always determined.
すなわち、通信方式決定表（図８）は、各レコードの条件を判断する優先順位を有しており、一番上のレコードから下のレコードに向って、順次、各レコードの条件に合致するかの判断がなされる。 That is, the communication method determination table (FIG. 8) has a priority order for determining the condition of each record, and whether the condition of each record is met sequentially from the top record to the bottom record. Judgment is made.
次に、制御処理通信部１２８は、検索の結果、得られたレコードの通信方式欄の値を、利用者端末１１０の拡張機能処理部１１２へ応答メッセージとして送信する。
Next, the control
ここでは、中継処理装置１２０は、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０は、中継処理装置１２０から受信した通信方式欄の値に従って、後述する図１３又は図１４に示す画面を表示する。
Here, the
他の方法としては、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）に従って決定される図１３又は図１４に示す画面を表示するための画面情報を中継処理装置１２０が利用者端末１１０に送信し、当該画面情報を受信した利用者端末１１０が、当該画面情報に従って図１３又は１４の画面を表示するようにしてもよい。
As another method, the screen information for displaying the screen shown in FIG. 13 or FIG. 14 determined according to the value (“direct”, “select”, or “proxy”) in the communication method column of the obtained record is relayed. The
すなわち、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して“選択（通信方式が選択を示す情報）”（“選択”は指示情報の適用例である）が通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（直接または代理）を選択するための画面情報（図１４）を、制御回線を介して利用者端末に送信する（通信方式送信手段）（ステップＳ４０５）。ここで送信される画面情報、又は通信方式は、通信方式指示情報の適用例である。
That is, the
また、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して、通信方式が代理を示す情報が、通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（“代理”または“通信しない”）を選択するための画面情報（図１３）を、制御回線を介して利用者端末に送信する（ステップＳ４０５）。
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式を選択するための画面情報を中継処理装置１２０から受信する。
In addition, the
In step S <b> 406, the extended
すなわち、利用者端末１１０は、中継処理装置から画面情報を受信すると、当該画面情報に従って、図１３又は図１４に示す画面を表示する。図１４は、指示画面の適用例である。 このように、利用者端末１１０を操作しているユーザ（操作ユーザ）は、確立が許可される通信方式として、“代理”（代理通信方式）が決定された場合、代理通信方式で通信するか、通信自体を行わないかの選択しか行えず、通信を行うためには、必ず代理通信方式が選ばれることになる。すなわち、中継処理装置１２０は、確立が許可される通信方式として代理通信方式が決定されたことを条件に、代理通信方式による通信が確立されることとなる。
That is, when the
次に、中継処理装置１２０が、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０が、中継処理装置１２０から受信した通信方式欄の値に従って、図１３又は図１４に示す画面を表示する場合について説明する。
Next, the
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式（直接または代理または選択）を中継処理装置１２０から受信する。
In step S <b> 406, the extended
ステップＳ４０７では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０６で受信した通信方式の値に基づき、図１３又は図１４に示すダイアログボックスを表示する。
In step S407, the extended
このとき、通信方式が”直接”の場合は、ダイアログボックスは表示しない。すなわち、通信方式が“直接”（直接通信方式）の場合は、確立する通信の通信方式が“直接”（直接通信方式）となる。 At this time, if the communication method is "direct", the dialog box is not displayed. That is, when the communication method is “direct” (direct communication method), the communication method to be established is “direct” (direct communication method).
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”代理”の場合は、図１３に例を示すようなダイアログボックス（画面）を表示し、利用者に、”利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号されセキュリティ検査等の付加機能処理が適用される”という旨のメッセージを表示し承諾するか否かを選択させる。利用者端末１１０は、図１３の画面において利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２は通信方式を”代理”のままにし、「許可しない」ボタンをクリックした場合には通信方式を”選択なし”という値に更新する。
If the communication method received in step S406 is “proxy”, the
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”選択”の場合は、図１４に例を示すようなダイアログボックス（画面）を表示し、利用者に、利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号しセキュリティ検査等の付加機能処理を実行するか、もしくは情報提供処理装置１５０との間はエンドツーエンドの暗号化通信を行い、中継処理装置１２０では平文化通信メッセージが検査や記録できないようにするか、を選択させる。利用者端末１１０は、図１４の画面において、利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２における通信方式を”代理”という値に更新し、「許可しない」ボタンをクリックした場合には通信方式を”直接”という値に更新する。
When the communication method received in step S406 is “selection”, the
次に、拡張機能処理部１１２は、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）にサーバ識別子と決定日時と、選択された通信方式の値からなる新しいレコードを作成する。
Next, the extended
ステップＳ４０８では、利用者端末１１０の拡張機能処理部１１２は、利用者により選択されたボタンが「許可する」ボタンである場合（すなわち、通信方式が“代理”の場合）、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する（制御回線１６２の開設）。
In step S408, when the button selected by the user is the “permit” button (that is, when the communication method is “proxy”), the extended
また、拡張機能処理部１１２は、利用者により、図１４の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“直接”の場合）、制御回線１６２は開設しない。また、拡張機能処理部１１２は、利用者により、図１３の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“選択なし”の場合）、制御回線１６２は開設しない。
Further, when the button selected by the user via the screen of FIG. 14 is a “not permitted” button (that is, when the communication method is “direct”), the extended
そして、利用者端末１１０の拡張機能処理部１１２は、サーバ識別子と、クライアント識別子と、ステップＳ４０７において選択された通信方式の値と、ステップＳ４０７で決定した通信方式の中継処理装置１２０における有効期限と、をもつ通信方式通知メッセージを中継処理装置１２０へ送信する。
Then, the extended
該有効期限は通信方式の中継処理装置１２０上での利用可能な有効期限として表し、ステップＳ４０７の処理日時から数時間程度（所定時間）進めた日時などを用いる。
The expiration date is expressed as an expiration date that can be used on the
ステップＳ４０９では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０８の通信方式通知メッセージ（選択結果）を受信し（通信方式受信手段）、当該通信方式通知メッセージに含まれる、サーバ識別子とクライアント識別子と決定された通信方式と有効期限とからなるレコードを作成し、該レコードを管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。以上で、通信方式決定処理を終了する。
In step S409, the control
（図５ サーバ証明書検証処理の詳細） (Figure 5 Details of server certificate verification process)
次に、図３におけるステップＳ３０８の詳細である利用者端末１１０と中継処理装置１２０とにおけるサーバ証明書検証処理のフローを、図５を用いて説明する。
Next, the flow of the server certificate verification process in the
図５に示すステップＳ５０３、ステップＳ５０５からステップＳ５０７の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
The processes in steps S503 and S505 to S507 shown in FIG. 5 are executed and implemented by the
また、ステップＳ５０１、ステップＳ５０２、ステップＳ５０４、ステップＳ５０８の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
Further, the processing of step S501, step S502, step S504, and step S508 is executed and implemented by the
なお、図５で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
Note that the communication between the
ステップＳ５０１では、中継処理装置１２０の通信制御部１２４は、代理通信セッションレコードのサーバ証明書欄から情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書の有効性を検証する。
In step S501, the
検証項目としては、該サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１３１中に記憶されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。
The verification items include whether the signing authority (CA) in the certification path of the server public key certificate matches that stored in the CA
ステップＳ５０２では、中継処理装置１２０は、ステップＳ５０１の前記サーバ公開鍵証明書の検証が成功したか否かを判定し、成功したと判定されればステップＳ５０４へ進み、失敗したと判定されたのであれば、失敗という結果情報を通信制御部１２４へ通知し終了する。
In step S502, the
ステップＳ５０３では、利用者端末１１０の拡張機能処理部１１２は、制御回線１６２を介して、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、情報提供処理装置１５０のサーバ識別子と利用者端末１１０のクライアント識別子と共に、情報提供処理装置１５０のサーバ公開鍵証明書の取得要求メッセージを送信する（図１１のステップＳ１１１９）。
In step S503, the extended
ステップＳ５０４では、制御処理通信部１２８は、ステップＳ５０１で送られたサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から当該キーに一致するレコードを検索する。そして、制御処理通信部１２８は、管理表保存部１２９の代理通信セッション管理表の中から一致するレコード（代理通信セッションレコード）を取得する。そして該レコードのサーバ証明書欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２０）（送信手段）。
In step S504, the control
すなわち、中継処理装置１２０は、サーバ回線１６３の暗号化通信の回線を確立する際に用いられる（情報提供処理装置１５０から取得した）情報提供処理装置１５０のサーバ公開鍵証明書を、制御回線１６２を介して利用者端末１１０に送信する。
That is, the
ステップＳ５０５では、拡張機能処理部１１２は、ステップＳ５０３で受信したサーバ公開鍵証明書の有効性を検証する（図１１のステップＳ１１２１）。検証手段としては閲覧処理部１１１によってＳＳＬハンドシェイク中に実施されるサーバ証明書の検証と同程度の検証を実施する。検査項目としては、前記サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１１５中の保存されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。さらに、拡張機能処理部１１２は、サーバ公開鍵証明書中の主体者名と情報提供処理装置１５０のホスト名が一致するか否かを確認する（ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」記載の方法）。
In step S505, the extended
ステップＳ５０６では、拡張機能処理部１１２は、ステップＳ５０３で実施した検証結果とサーバ公開鍵証明書の内容を、ダイアログボックスを用いて表示し、利用者へサーバ公開鍵証明書を信頼して通信を継続するか否かの確認を取る（図１１のステップＳ１１２１）。図１５にダイアログボックスの例を示す。
In step S506, the extended
拡張機能処理部１１２は、図１５に示す画面内の「許可する」ボタンが押下されたか否かを判定して、押下されたと判定された場合は、確認結果として検証が成功した旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。一方、拡張機能処理部１１２は、「許可する」ボタンが押下されず、「許可しない」ボタンが押下されたと判定された場合は、確認結果として検証が成功しなかった旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。
The extended
ステップＳ５０７では、拡張機能処理部１１２は、ステップＳ５０４で実施した利用者による情報提供処理装置１５０のサーバ公開鍵証明書の確認結果を検証結果として中継処理装置１２０の制御処理通信部１２８へ送信する（図１１のステップＳ１１２２）。
In step S507, the extended
ステップＳ５０８では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を受信し、該結果を通信制御部１２４へ通知する。
In step S508, the control
以上で、サーバ証明書検証処理を終了する。 This completes the server certificate verification process.
ここでは、利用者端末１１０は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を、最終的な検証結果として、中継処理装置１２０に送信しているが、拡張機能処理部１１２が実行する検証処理の結果を、最終的な検証結果として中継処理装置１２０に送信するようにしてもよい。
Here, the
（図６ クライアント認証処理の詳細） (Fig. 6 Details of client authentication process)
次に、図３におけるステップＳ３１１の詳細である利用者端末１１０と中継処理装置１２０とにおけるクライアント認証処理のフローを、図６を用いて説明する。
Next, the flow of the client authentication process in the
図６に示すステップＳ６０１、ステップＳ６０３からステップＳ６０５、ステップＳ６１０、ステップＳ６１１、ステップＳ６１３、ステップＳ６１４は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
Step S601, step S603 to step S605, step S610, step S611, step S613, and step S614 shown in FIG. 6 are executed and implemented by the
また、ステップＳ６０３、ステップＳ６０６からステップＳ６１２、ステップＳ６１５、ステップＳ６１６は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
Further, Step S603, Step S606 to Step S612, Step S615, and Step S616 are executed and implemented by the
なお、図６で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
Note that the communication between the
ステップＳ６０１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し（制御回線１６２の開設）、サーバ識別子とクライアント識別子と共に、情報提供処理装置１５０のクライアント認証条件の取得要求メッセージを送信する。
In step S601, the extended
ステップＳ６０２では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ６０１で受信したサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から、当該キーに一致するレコードを検索する。そして、中継処理装置１２０の制御処理通信部１２８は、検索の結果、管理表保存部１２９の代理通信セッション管理表の中から得られたレコード（代理通信セッションレコード）を取得する。
In step S602, the control
そして、中継処理装置１２０の制御処理通信部１２８は、取得された該代理通信セッションレコードのクライアント認証要求欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２３）。
Then, the control
ステップＳ６０３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０１で中継処理装置１２０から受信したクライアント認証要求の値を解析し、条件となっている署名アルゴリズムやＣＡ識別名を取得し、それらの条件に適合するクライアント公開鍵証明書を、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書群の中から取得する（図１１のステップＳ１１２４）。
In step S603, the extended
ステップＳ６０４では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０３で取得したクライアント公開鍵証明書の内容を含むダイアログボックス等を表示することで利用者へ示す。そして、利用者端末１１０の拡張機能処理部１１２は、情報提供処理装置１５０へのクライアント認証に利用する証明書として、当該クライアント公開鍵証明書の使用の可否の選択を受け付ける（図１１のステップＳ１１２４）。もし、ステップＳ６０３で取得したクライアント公開鍵証明書が複数の場合は、拡張機能処理部１１２は、ダイアログボックス等を表示してクライアント認証に用いるクライアント公開鍵証明書として利用者に１つを選択させた後に確認処理を行う（使用の可否の選択を受け付ける）。拡張機能処理部１１２は、ステップＳ６０３において条件に適合するクライアント公開鍵証明書がなかった場合は何もしない。
In step S604, the extended
ステップＳ６０５では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において利用者が利用確認した（利用者により選択された）クライアント公開鍵証明書を中継処理装置１２０へ送信する（図１１のステップＳ１１２５）。また、拡張機能処理部１１２は、ステップＳ６０４においてクライアント公開鍵証明書がなかった場合は該当なしの旨のメッセージを送信する。
In step S605, the extended
ステップＳ６０６では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０からクライアント公開鍵証明書を受信し、該クライアント公開鍵証明書を通信制御部１２４へ渡す。すなわち、ステップＳ６０６では、中継処理装置１２０は、制御回線１６２を用いて、利用者端末１１０からクライアント公開鍵証明書を取得する（取得手段）。
In
ステップＳ６０７では、中継処理装置１２０の通信制御部１２４は、当該クライアント公開鍵証明書を代理通信セッションレコードのクライアント証明書欄に保存する。
In step S607, the
次に、通信制御部１２４は、該クライアント公開鍵証明書をサーバ側暗号処理部１２５に渡す。サーバ側暗号処理部１２５は、サーバ回線１６３における情報提供処理装置１５０とのＳＳＬハンドシェイク処理において、該クライアント公開鍵証明書を含んだＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを作成し情報提供処理装置１５０へ送信する（図１１のステップＳ１１２６）（公開鍵送信手段）。中継処理装置１２０は、ステップＳ６０６においてクライアント公開鍵証明書がないメッセージを受信していた場合は、サーバ側暗号処理部１２５は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの証明書領域は空のままにして、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。
Next, the
ステップＳ６０８では、中継処理装置１２０の制御処理通信部１２８は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの中にクライアント公開鍵証明書がない場合は、中継処理装置１２０側の処理を終了する。制御処理通信部１２８は、中継処理装置１２０の制御処理通信部１２８は、当該メッセージの中にクライアント公開鍵証明書があった場合はステップＳ６０９へ進む。
In step S608, the control
ステップＳ６０９では、中継処理装置１２０の通信制御部１２４は、ＳＳＬ（ＴＬＳを含む）の規約に基づいて署名対象データを作成する。例えば、ＴＬＳ／１．０における署名対象データは、ＲＦＣ２２４６の「７．４．８．ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージ」に記載されているように、ＳＳＬ ＣｌｉｅｎｔＨｅｌｌｏメッセージから現在までのメッセージで、ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージを除く、送信または受信した全てのハンドシェイクメッセージを連結したデータのメッセージダイジェスト値となる。すなわち、署名対象データは、サーバ回線１６３の暗号化通信を確立するために情報提供処理装置１５０と通信したデータである。中継処理装置１２０の通信制御部１２４は、作成した署名対象データを制御処理通信部１２８へ渡す。
In step S609, the
ステップＳ６１０では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において条件に適合するクライアント公開鍵証明書がなかった場合は、利用者端末側の処理を終了する。拡張機能処理部１１２は、クライアント公開鍵証明書があった場合はステップＳ６１１へ進む。
In step S610, the extended
ステップＳ６１１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、署名対象データ要求メッセージを中継処理装置１２０に送信する。利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０がステップＳ６１２において送信した署名対象データを受信する。
In step S611, the extended
ステップＳ６１２では、中継処理装置１２０の制御処理通信部１２８は、当該署名対象データ要求メッセージを利用者端末１１０から受信すると、ステップＳ６０９で生成された署名対象データを利用者端末１１０の拡張機能処理部１１２へ送信する（図１１のステップＳ１１２７）。
In step S612, when receiving the signature target data request message from the
ステップＳ６１３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０５で中継処理装置１２０へ送信したクライアント公開鍵証明書と対になる秘密鍵を暗号鍵保存部１１３から取得し、該秘密鍵を用いてステップＳ６１１で受信した署名対象データに対して署名処理を施して（暗号化して）署名データを作成する。
In step S613, the extended
ステップＳ６１４では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、ステップＳ６１３で作成した署名データを中継処理装置１２０に送信する（図１１のステップＳ１１２８）。
In step S614, the extended
ステップＳ６１５では、中継処理装置１２０の制御処理通信部１２８は、当該署名データを利用者端末１１０から受信し、該署名データを通信制御部１２４へ渡す。
In step S615, the control
ステップＳ６１６では、中継処理装置１２０の通信制御部１２４は、当該署名データをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は該署名データを含んだＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する（図１１のステップＳ１１２９）（署名データ送信手段）。
In step S616, the
以上で、クライアント認証処理を終了する。 This completes the client authentication process.
（図７ ＡＰデータ中継処理の詳細） (Fig. 7 Details of AP data relay processing)
次に、図３におけるステップＳ３１４の詳細である中継処理装置１２０におけるＡＰ（アプリケーション）データ（通信データ）の中継処理のフローを、図７を用いて説明する。
なお、図７に示すステップＳ７０１からステップＳ７１３は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
Next, the flow of relay processing of AP (application) data (communication data) in the
Note that steps S701 to S713 illustrated in FIG. 7 are realized by the
ステップＳ７０１では、クライアント通信部１２１は、プロキシ回線１６１を介して利用者端末１１０から暗号化通信要求メッセージを受信し、該暗号化通信要求メッセージをクライアント側暗号処理部１２３へ渡す。
In step S <b> 701, the
ステップＳ７０２では、クライアント側暗号処理部１２３は、当該暗号化通信要求メッセージ（第１の暗号化データ）を、代理通信セッションレコード（図１０の現在処理対象のレコード）の共通鍵その他ーＣ欄の記憶されている共通鍵（第１の共通鍵）を用いて復号化し（第１復号手段）、当該復号化された平文化通信要求メッセージを作成する。クライアント側暗号処理部１２３は、該平文化通信要求メッセージを通信制御部１２４へ渡す。
In step S702, the client side
ステップＳ７０３では、通信制御部１２４は、平文化通信要求メッセージ（第１の暗号化データを復号することにより得られる通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、前記平文化通信要求メッセージに対して付加機能（検査）を実行する（第１検査手段）。付加機能処理部１３０は、付加機能の実行結果（検査結果）として、中継処理の継続可否を示す中継可否判定結果と、中継用の平文化通信要求メッセージと、を通信制御部１２４へ渡す。
In step S703, the
付加機能（検査処理）の例としては、例えば、平文化通信要求メッセージに対し、キーワード検査を行って機密情報として外部への送信が禁止されているデータが含まれているか否かを検査する処理などがある。その結果、平文化通信要求メッセージに禁止されているデータが含まれていなかったと判定されれば、中継可否判定結果は”可”となり、中継用の平文化通信要求メッセージは、元の平文化通信要求メッセージに対して「検査済み」であるヘッダーが付加されたメッセージとなるケースなどが想定されている。このように、付加機能処理部１３０は、復号されたデータを検査する付加機能の処理（検査処理）を行う。
As an example of the additional function (inspection process), for example, a process for inspecting whether or not data that is prohibited from being transmitted to the outside as confidential information is included by performing keyword inspection on a plain culture communication request message and so on. As a result, if it is determined that the prohibited data is not included in the plaintext communication request message, the relay availability determination result is “Yes”, and the plaintext communication request message for relay is the original plaintext communication request message. It is assumed that the request message is a message with a header “inspected” added. As described above, the additional
ステップＳ７０４では、通信制御部１２４は、付加機能の処理の結果、中継可否判定結果が”可”ならばステップＳ７０５へ進み、”不可”ならばステップＳ７１３へ進む（第１決定手段）。
In step S704, the
ステップＳ７０５では、通信制御部１２４は、中継用の平文化通信要求メッセージをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は、該中継用の平文化通信要求メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信要求メッセージを作成する。
In step S705, the
ステップＳ７０６では、サーバ側暗号処理部１２５は、中継用の暗号化通信要求メッセージをサーバ通信部１２２へ渡し、サーバ通信部１２２は、該中継用の暗号化通信要求メッセージを情報提供処理装置１５０のサーバ処理部１５１へ送信する。
In step S706, the server-side
ステップＳ７０７では、サーバ通信部１２２は情報提供処理装置１５０のサーバ処理部１５１から暗号化された暗号化通信応答メッセージ（第２の暗号化データ）を受信し、該暗号化通信応答メッセージをサーバ側暗号処理部１２５へ渡す。
In step S707, the
ステップＳ７０８では、サーバ側暗号処理部１２５は、該暗号化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵（第２の共通鍵）を用いて復号化して（第２復号手段）、当該復号された平文化通信応答メッセージを作成する。サーバ側暗号処理部１２５は、該平文化通信応答メッセージを通信制御部１２４へ渡す。
In step S708, the server-side
ステップＳ７０９では、通信制御部１２４は、平文化通信応答メッセージ（第２の暗号化データを復号することにより得られた通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、該平文化通信応答メッセージに対して付加機能を実行する（第２検査手段）。付加機能処理部１３０は、前記付加機能の実行結果として、中継処理の継続可否を示す中継可否判定結果と、中継用平文化通信応答メッセージと、を通信制御部１２４へ渡す。
In step S709, the
付加機能の例としては、例えば、平文化通信応答メッセージに対しアンチウィルス処理を行うなどがある。この場合、付加機能処理部１３０は、平文化通信応答メッセージにウィルスが含まれているか否かを検査して、平文化通信応答メッセージにウィルスが含まれていると判定されれば、中継可否判定結果は”不可”となる。この場合、中継処理装置１２０は、中継用の平文化通信応答メッセージを利用者端末１１０には送信せず、”ウィルスが検知されたため通信回線を遮断しました”等のメッセージを利用者端末１１０に送信するなどが想定されている。
As an example of the additional function, for example, an anti-virus process is performed on the Heibun communication response message. In this case, the additional
すなわち、中継処理装置１２０は、付加機能処理部１３０による付加機能の実行結果として、中継可否判定結果が”不可”の場合は、平文化通信応答メッセージを利用者端末１１０には送信せず、一方、中継可否判定結果が“可”の場合は、平文化通信応答メッセージを利用者端末１１０に中継することを決定する（第２決定手段）。
In other words, the
付加機能処理部１３０による検査結果として中継可否判定結果が“可”の場合（例えば、平文化通信応答メッセージにウィルスが含まれていないと判定された場合）、ステップＳ７１０では、通信制御部１２４は、中継用の平文化通信応答メッセージをクライアント側暗号処理部１２３へ渡し、クライアント側暗号処理部１２３は、該中継用の平文化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して中継用の暗号化通信応答メッセージを作成する。
If the relay result determination result is “possible” as an inspection result by the additional function processing unit 130 (for example, when it is determined that a virus is not included in the Ping culture communication response message), in step S710, the
ステップＳ７１１では、クライアント側暗号処理部１２３は、中継用の暗号化通信応答メッセージをクライアント通信部１２１へ渡し、クライアント通信部１２１は、該中継用の暗号化通信応答メッセージを、利用者端末１１０の閲覧処理部１１１へ送信する。
In step S711, the client side
ステップＳ７１２では、通信制御部１２４は平文化通信応答メッセージなどからアプリケーション通信（ＨＴＴＰトランザクション）を終了するかどうか判定し、終了すると判定すれば処理を終了する。継続すると判定すればステップＳ７０１へ進む。
In step S712, the
ステップＳ７１３では、通信制御部１２４は、ステップＳ７０３で生成された中継可否判定結果（中継可否判定結果が”不可”）と中継用の平文化通信要求メッセージに基づき、「リクエスト送信は禁止されました」等の中継用の平文化通信応答メッセージを作成して、ステップＳ７１０へ進む。ステップＳ７１０では、中継処理装置１２０は、ここで生成された中継用の平文化通信応答メッセージを、代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信応答メッセージを作成し、ステップＳ７１１で利用者端末１１０に送信する。
In step S713, the
以上で、ＡＰデータ中継処理を終了する。 This is the end of the AP data relay process.
以上説明したように、本実施形態によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。 As described above, according to the present embodiment, when data by encrypted communication is relayed, the data can be inspected, and the authenticity of the communication partner can be confirmed based on the authentic certificate.
さらに、本実施形態によれば、例えば、銀行の預金などのＷｅｂページを利用者端末で閲覧する場合、中継処理装置で、利用者端末の操作ユーザのパスワードなどの個人の情報も検査してしまうことが低減される。 Furthermore, according to the present embodiment, for example, when a Web page such as a bank deposit is viewed on a user terminal, personal information such as a password of an operation user of the user terminal is also checked by the relay processing device. Is reduced.
すなわち、Ｗｅｂサイトに応じて、通信されるデータを検査するか否かを決定することができるため、情報漏えい等のセキュリティを向上させると共に、個人の情報を取得し検査しないように制御することも可能である。 That is, since it is possible to determine whether or not to check the data to be communicated according to the website, it is possible to improve security such as information leakage and to control not to acquire and check personal information. Is possible.
また、本実施形態によれば、情報提供処理装置は、通信相手である利用者端末の真正性を確認することができるようになる。 Moreover, according to this embodiment, the information provision processing apparatus can confirm the authenticity of the user terminal that is the communication partner.
また、本発明によれば、代理方式による暗号化通信を再開する場合、既に記憶されているセッションＩＤや共通鍵を用いて再開することが可能となる。 Further, according to the present invention, when the encrypted communication by the proxy method is resumed, it can be resumed by using the session ID and the common key that are already stored.
以上、実施形態例を詳述したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。 Although the embodiments have been described in detail above, the present invention can take an embodiment as, for example, a system, an apparatus, a method, a program, or a storage medium, and specifically includes a plurality of devices. The present invention may be applied to a system that is configured, or may be applied to an apparatus that includes a single device.
＜第２の実施形態＞ <Second Embodiment>
第１の実施形態では、ＨＴＴＰＳ（ＨＴＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む））通信において、利用者端末１１０が中継処理装置１２０（プロキシサーバ）へＣＯＮＮＥＣＴメソッドで接続し情報提供処理装置１５０（Ｗｅｂサーバ）への通信をトンネリングする仕組みに対して、暗号化通信情報を復号化し付加機能を実行する方法と、その場合においてもエンティティ認証を有効に機能させる方法について説明した。しかしながら、ＣＯＮＮＥＣＴメソッドによる中継プロトコルはＨＴＴＰ通信に限定されない汎用のトランスポート通信のトンネリング手法であるため、たとえば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＰＯＰ３ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＳＭＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）等のＳＳＬ（ＴＬＳを含む）を使う他の通信プロトコルの場合でも同様の構成で適用することができる。
In the first embodiment, in HTTPS (HTTP over SSL (including TLS)) communication, the
例えば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）に適用する場合は、利用者端末１１０の閲覧処理部１１１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）クライアント機能を備えたメールユーザエージェントであり、情報提供処理装置１５０のサーバ処理部１５１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）機能を備えたＩＭＡＰサーバとなる。
For example, when applied to IMAP over SSL (including TLS), the
以上説明したように、本実施の形態によれば、各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認することができる。 As described above, according to this embodiment, when relaying data by encrypted communication without changing each communication protocol, the data can be inspected and communication is performed based on a genuine certificate. The authenticity of the other party can be confirmed.
また、制御回線もＳＳＬ通信であるので、中継処理装置自体のなりすましも防止できる。 次に、図１９、及び図２０を用いて、本発明における中継処理装置の機能について説明する。 Further, since the control line is also SSL communication, spoofing of the relay processing device itself can be prevented. Next, functions of the relay processing apparatus according to the present invention will be described with reference to FIGS. 19 and 20.
図１９は、本発明における中継処理装置の機能ブロック図である。１９０１は、本発明における中継処理装置を示している。
FIG. 19 is a functional block diagram of the relay processing apparatus according to the present invention.
すなわち、１９０１は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
That is, 1901 is a
ここで、本実施例の利用者端末１１０は、本発明のクライアント端末の適用例である。また、本実施例の情報提供処理装置１５０は、本発明の情報処理装置の適用例である。 １９０２は、クライアント端末と通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立部である。 １９０３は、情報処理装置と通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立部である。
Here, the
１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、第１の確立部により第１のＳＳＬ通信を確立するクライアント端末に送信する送信部である。 1904 is a client that establishes the first SSL communication by the first establishing unit, and the public key certificate of the information processing device acquired from the information processing device when the second establishing unit establishes the second SSL communication. It is a transmission part which transmits to a terminal.
次に、図２０を用いて、本発明における中継処理装置の機能について説明する。 Next, functions of the relay processing apparatus according to the present invention will be described with reference to FIG.
図２０は、本発明における中継処理装置の機能ブロック図である。 FIG. 20 is a functional block diagram of the relay processing apparatus according to the present invention.
２０００は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
A
１９０２、１９０３、１９０４は、図１９で説明した機能と同様であるため、ここでは説明を省略する。 ２００１は、クライアント端末と制御通信を確立する通信確立部である。
また、送信部１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、通信確立部により確立された制御通信を用いて、第１の確立部により第１のＳＳＬ通信の確立を行うクライアント端末に送信する。
In addition, the
２００２は、クライアント端末から、情報処理装置へのＳＳＬ通信の要求を受信する受信部である。
A receiving
２００３は、受信部でクライアント端末からＳＳＬ通信の要求を受信したことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する制御部である。 In 2003, the first establishing unit establishes the first SSL communication and the second establishing unit establishes the second SSL communication on the condition that the receiving unit receives the SSL communication request from the client terminal. It is a control part which controls to.
２００４は、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する中継部である。
２００５は、クライアント端末から送信される通信データの中継先の情報処理装置を示す中継先情報に対して、通信データの中継を許可する通信方式として、中継部で第３のＳＳＬ通信を用いて通信データの中継を行う直接通信方式か、第１確立部により確立される第１のＳＳＬ通信、及び第２確立部により確立される第２のＳＳＬ通信を用いて通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶部である。 2005 is a communication method for permitting relaying of communication data for relay destination information indicating an information processing apparatus that is a relay destination of communication data transmitted from a client terminal. A proxy communication method for relaying communication data using a direct communication method for relaying data or a first SSL communication established by a first establishment unit and a second SSL communication established by a second establishment unit It is a storage unit for storing communication method setting information in which communication method information indicating the above is set.
２００６は、通信データを中継する中継先情報をクライアント端末から受け付ける受付部である。
２００７は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定部である。 In 2007, between the communication method setting information stored in the storage unit and the relay destination information received by the reception unit, between the information processing apparatus and the client terminal of the relay destination indicated by the relay destination information received by the reception unit. It is a communication determination part which determines whether the communication system which permits communication of this is a direct communication system, or a proxy communication system.
ここで、制御部２００３は、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。
Here, the
また、中継部２００４は、更に、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として直接通信方式が決定されたことを条件に、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する。
In addition, the
また、記憶部に記憶されている通信方式設定情報は、更に、中継先情報に対して、クライアント端末を示すクライアント情報が設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信決定部は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報と、受付部で受け付けたクライアント情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置と、受付部で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定する。 Further, in the communication method setting information stored in the storage unit, client information indicating a client terminal is further set with respect to the relay destination information, and the reception unit is a client of the client terminal that has received the relay destination information. The communication determination unit further receives information, and the communication determination unit receives the relay destination information received by the reception unit according to the communication method setting information stored in the storage unit, the relay destination information received by the reception unit, and the client information received by the reception unit. The communication method for permitting communication between the information processing apparatus of the relay destination shown in FIG. 5 and the client terminal indicated by the client information received by the receiving unit is determined.
記憶部に記憶された通信方式設定情報の通信方式情報は、通信を行う通信方式を、クライアント端末の操作ユーザよる指示に従って決定することを示す指示情報を更に含んでいる。 The communication method information of the communication method setting information stored in the storage unit further includes instruction information indicating that a communication method for performing communication is determined according to an instruction from the user operating the client terminal.
２００８は、受付部で受け付けた中継先情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報をクライアント端末に送信する通信方式送信部である。 In 2008, when the communication method information of the communication method setting information stored in the storage unit with respect to the relay destination information received by the receiving unit is the instruction information, an instruction screen for receiving a communication method instruction is displayed on the client terminal. It is a communication system transmission part which transmits the communication system instruction information for displaying to a client terminal.
２００９は、通信方式送信部で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、クライアント端末から受信する通信方式受信部である。 2009 is a communication method reception for receiving, from the client terminal, communication method information indicating a communication method instructed by an operation user of the client terminal via an instruction screen displayed according to the communication method instruction information transmitted by the communication method transmitting unit. Part.
また、通信決定部は、更に、通信方式受信部で受信した通信方式情報に示される通信方式を、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間で通信を行う通信方式として決定し、制御部は、更に、通信決定部で、情報処理装置とクライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。 Further, the communication determining unit further determines the communication method indicated by the communication method information received by the communication method receiving unit between the information processing apparatus at the relay destination indicated by the relay destination information received by the receiving unit and the client terminal. The communication unit determines the communication method for performing communication, and the control unit further sets the first condition on the condition that the communication determining unit determines the proxy communication method as the communication method for performing communication between the information processing apparatus and the client terminal. Control is performed so that the establishment unit establishes the first SSL communication and the second establishment unit establishes the second SSL communication.
また、記憶部に記憶されている通信方式設定情報は、中継先情報に対して、クライアント端末を示すクライアント情報が更に設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信方式送信部は、受付部で受け付けた中継先情報、及びクライアント情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式を指示するための指示画面をクライアント端末に表示するための通信方式指示情報をクライアント端末に送信する。 In the communication method setting information stored in the storage unit, client information indicating the client terminal is further set with respect to the relay destination information, and the reception unit receives the client information of the client terminal that has received the relay destination information. The communication method transmission unit instructs the communication method when the communication method information of the communication method setting information stored in the storage unit for the relay destination information and the client information received by the reception unit is the instruction information. The communication method instruction information for displaying the instruction screen for the client terminal is transmitted to the client terminal.
２０１０は、通信確立部で確立した制御通信を用いてクライアント端末からクライアント端末の公開鍵証明書を取得する取得部である。 2010 is an acquisition unit that acquires the public key certificate of the client terminal from the client terminal using the control communication established by the communication establishment unit.
２０１１は、取得部で取得したクライアント端末の公開鍵証明書を、第２確立部で第２のＳＳＬ通信を確立する際に用いられる中継処理装置の公開鍵証明書として情報処理装置に送信する公開鍵送信部である。 2011, a public key certificate of the client terminal acquired by the acquiring unit is transmitted to the information processing device as a public key certificate of the relay processing device used when the second establishing unit establishes the second SSL communication. It is a key transmission unit.
２０１２は、第２確立部で第２のＳＳＬ通信を確立するために情報処理装置と通信したデータが、公開鍵送信部により情報処理装置に送信したクライアント端末の公開鍵証明書に対応する秘密鍵を用いて暗号化されることにより生成される署名データを情報処理装置に送信する署名データ送信部である。 2012 is a secret key corresponding to the public key certificate of the client terminal in which the data communicated with the information processing device to establish the second SSL communication by the second establishing unit is transmitted to the information processing device by the public key transmitting unit. This is a signature data transmission unit that transmits signature data generated by being encrypted to the information processing apparatus.
２０１３は、第１確立部により確立された第１のＳＳＬ通信を用いてクライアント端末から受信した、通信データが暗号化された第１の暗号化データを、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵を用いて復号する第１復号部である。 2013 is the first SSL communication in which the first establishment unit receives the first encrypted data obtained by encrypting the communication data received from the client terminal using the first SSL communication established by the first establishment unit. It is the 1st decoding part which decodes using the 1st common key produced | generated when establishing.
２０１４は、第１復号部で第１の暗号化データを復号することにより得られる通信データを検査する第１検査部である。
２０１５は、第１検査部による検査結果に従って、第１検査部で検査された通信データを情報処理装置に中継するか否かを決定する第１決定部である。
２０１６は、第２確立部により確立された第２のＳＳＬ通信を用いて情報処理装置から受信した、通信データが暗号化された第２の暗号化データを、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵を用いて復号する第２復号部である。 In 2016, the second encrypted data obtained by encrypting the communication data received from the information processing apparatus using the second SSL communication established by the second establishing unit is sent to the second SSL by the second establishing unit. The second decryption unit decrypts the second common key generated when establishing communication.
２０１７は、第２復号部で第２の暗号化データを復号することにより得られた通信データを検査する第２検査部である。
２０１８は、第２検査部による検査結果に従って、第２検査部で検査された通信データをクライアント端末に中継するか否かを決定する第２決定部である。 2018 is a 2nd determination part which determines whether the communication data test | inspected by the 2nd test | inspection part are relayed to a client terminal according to the test result by a 2nd test | inspection part.
２０１９は、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵と、該第１のＳＳＬ通信のセッションを識別する第１のセッション識別情報と、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵と、該第２のＳＳＬ通信のセッションを識別する第２のセッション識別情報とを関連付けて記憶する代理通信記憶部である。 2019 includes a first common key generated when the first establishing unit establishes the first SSL communication, first session identification information for identifying the session of the first SSL communication, and a second establishing unit The proxy communication storage unit stores the second common key generated when the second SSL communication is established in association with the second session identification information for identifying the second SSL communication session.
２０２０は、クライアント端末から情報処理装置への、第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信部である。 2020 is a restart request receiving unit that receives an SSL communication restart request including the first session identification information from the client terminal to the information processing apparatus.
２０２１は、再開要求受信部で受信した、ＳＳＬ通信の再開要求に含まれる第１のセッション識別情報が、代理通信記憶部に記憶されているかを判定する判定部である。 2021 is a determination unit that determines whether the first session identification information included in the SSL communication restart request received by the restart request reception unit is stored in the proxy communication storage unit.
２０２２は、判定部で、第１のセッション識別情報が代理通信記憶部に記憶されていると判定された場合に、該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された第１の共通鍵を用いてクライアント端末と第１のＳＳＬ通信を再開し、かつ該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された、第２の共通鍵と、第２のセッション識別情報とを用いて情報処理装置と第２のＳＳＬ通信を再開する通信再開部である。
When the
なお、通信確立部２００１で確立される制御通信はＳＳＬ通信である。
Note that the control communication established by the
以上、本発明の一実施形態を詳述したが、本発明は、例えば、システム、装置、方法、装置で実行可能なプログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。 Although one embodiment of the present invention has been described in detail above, the present invention can take an embodiment as, for example, a system, apparatus, method, program executable by the apparatus, or a storage medium. In addition, the present invention may be applied to a system composed of a plurality of devices, or may be applied to an apparatus composed of a single device.
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。 Another object of the present invention is to supply a storage medium storing software program codes for realizing the functions of the above-described embodiments to a system or apparatus, and the computer (or CPU or MPU) of the system or apparatus stores the storage medium. Needless to say, this can also be achieved by reading and executing the program code stored in.
この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、プログラムコード自体及びそのプログラムコードを記憶した記憶媒体は本発明を構成することになる。 In this case, the program code itself read from the storage medium realizes the functions of the above-described embodiments, and the program code itself and the storage medium storing the program code constitute the present invention.
プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。 As a storage medium for supplying the program code, for example, a flexible disk, a hard disk, an optical disk, a magneto-optical disk, a CD-ROM, a CD-R, a magnetic tape, a nonvolatile memory card, a ROM, or the like can be used.
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（基本システム或いはオペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。 Further, by executing the program code read by the computer, not only the functions of the above-described embodiments are realized, but also an OS (basic system or operating system) running on the computer based on the instruction of the program code. Needless to say, a case where the function of the above-described embodiment is realized by performing part or all of the actual processing and the processing is included.
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。 Further, after the program code read from the storage medium is written in a memory provided in a function expansion board inserted into the computer or a function expansion unit connected to the computer, the function is determined based on the instruction of the program code. It goes without saying that the CPU or the like provided in the expansion board or function expansion unit performs part or all of the actual processing and the functions of the above-described embodiments are realized by the processing.
１１０ 利用者端末
１１１ 閲覧処理部
１１２ 拡張機能処理部
１１３ 暗号鍵保存部
１１４ 管理表保存部
１１５ ＣＡ証明書保存部
１２０ 中継所処理装置
１２１ クライアント通信部
１２２ サーバ通信部
１２３ クライアント側暗号処理部
１２４ 代理通信制御部
１２５ サーバ側暗号処理部
１２６ 代理用暗号鍵保存部
１２７ サーバ暗号鍵保存部
１２８ 制御処理通信部
１２９ 管理表保存部
１３０ 付加機能処理部
１３１ ＣＡ証明書保存部
１５０ 情報提供処理装置
１５１ サーバ処理部
１５２ サーバ暗号鍵保存部
１６１ プロキシ回線
１６２ 制御回線
１６３ サーバ回線
110
Claims (16)
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置。 A relay processing device that relays communication data communicated between a client terminal and an information processing device,
First establishing means for establishing first SSL communication used for communication of the communication data with the client terminal;
Second establishing means for establishing second SSL communication used for communication of the information processing apparatus and the communication data;
The public key certificate of the information processing apparatus acquired from the information processing apparatus when the second establishment means establishes the second SSL communication, and the first establishment means establishes the first SSL communication. Transmitting means for transmitting to the client terminal;
A relay processing apparatus comprising:
を更に備え、
前記送信手段は、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記通信確立手段により確立された制御通信を用いて、前記第１の確立手段により第１のＳＳＬ通信の確立を行う前記クライアント端末に送信することを特徴とする請求項１に記載の中継処理装置。 Communication establishment means for establishing control communication with the client terminal;
Further comprising
The transmission means uses the communication establishment means to establish the public key certificate of the information processing apparatus acquired from the information processing apparatus when the second establishment means establishes the second SSL communication. The relay processing apparatus according to claim 1, wherein the first SSL is transmitted to the client terminal that establishes the first SSL communication by the first establishing means.
前記受信手段で前記クライアント端末からＳＳＬ通信の要求を受信したことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御する制御手段と、
を更に備えることを特徴とする請求項１又は２に記載の中継処理装置。 Receiving means for receiving a request for SSL communication from the client terminal to the information processing apparatus;
The first establishing means establishes the first SSL communication and the second establishing means establishes the second SSL communication on condition that the receiving means receives the SSL communication request from the client terminal. Control means for controlling
The relay processing apparatus according to claim 1, further comprising:
前記クライアント端末から送信される前記通信データの中継先の情報処理装置を示す中継先情報に対して、前記通信データの中継を許可する通信方式として、前記中継手段で前記第３のＳＳＬ通信を用いて前記通信データの中継を行う直接通信方式か、前記第１確立手段により確立される第１のＳＳＬ通信、及び前記第２確立手段により確立される第２のＳＳＬ通信を用いて前記通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶手段と、
前記通信データを中継する中継先情報を前記クライアント端末から受け付ける受付手段と、
前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定手段と、
を更に備え、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項３に記載の中継処理装置。 Relay means for relaying communication data communicated between the client terminal and the information processing device using third SSL communication established between the client terminal and the information processing device;
As a communication method for permitting relaying of the communication data with respect to relay destination information indicating an information processing apparatus that is a relay destination of the communication data transmitted from the client terminal, the relay unit uses the third SSL communication. Using the direct communication method for relaying the communication data, the first SSL communication established by the first establishment means, and the second SSL communication established by the second establishment means. Storage means for storing communication method setting information in which communication method information indicating whether a proxy communication method for relaying is set;
Accepting means for accepting from the client terminal relay destination information for relaying the communication data;
According to the communication method setting information stored in the storage unit and the relay destination information received by the receiving unit, between the information processing apparatus of the relay destination indicated by the relay destination information received by the receiving unit and the client terminal Communication determining means for determining whether the communication method permitting communication in the direct communication method or the proxy communication method;
Further comprising
The control means further includes the first establishing means on the condition that the communication determining means determines a proxy communication method as a communication method permitting communication between the information processing apparatus and the client terminal. 4. The relay processing apparatus according to claim 3, wherein control is performed so as to establish first SSL communication by the second SSL communication and to establish second SSL communication by the second establishing means.
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信決定手段は、前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報と、前記受付手段で受け付けたクライアント情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と、前記受付手段で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定することを特徴とする請求項５に記載の中継処理装置。 In the communication method setting information stored in the storage means, client information indicating the client terminal is further set for the relay destination information.
The accepting means further accepts client information of the client terminal that accepted the relay destination information;
The communication determination unit is configured to receive the relay destination information received by the receiving unit according to the communication method setting information stored in the storage unit, the relay destination information received by the receiving unit, and the client information received by the receiving unit. 6. The relay according to claim 5, wherein a communication method permitting communication between the information processing apparatus of the relay destination shown in FIG. 5 and the client terminal indicated by the client information received by the receiving unit is determined. Processing equipment.
前記受付手段で受け付けた中継先情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信する通信方式送信手段と、
前記通信方式送信手段で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、前記クライアント端末から受信する通信方式受信手段と、
を更に備え、
前記通信決定手段は、更に、前記通信方式受信手段で受信した通信方式情報に示される通信方式を、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間で通信を行う通信方式として決定し、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項５又は６に記載の中継処理装置。 The communication method information of the communication method setting information stored in the storage means further includes instruction information indicating that a communication method for performing the communication is determined according to an instruction from an operation user of the client terminal,
When the communication method information of the communication method setting information stored in the storage unit for the relay destination information received by the receiving unit is the instruction information, an instruction screen for receiving the communication method instruction is displayed on the client terminal. Communication method transmission means for transmitting communication method instruction information for display on the client terminal;
Communication method receiving means for receiving, from the client terminal, communication method information indicating a communication method instructed by a user operating the client terminal via an instruction screen displayed in accordance with the communication method instruction information transmitted by the communication method transmitting means. When,
Further comprising
The communication determination unit further includes a communication method indicated by the communication method information received by the communication method receiving unit between the information processing apparatus of the relay destination indicated by the relay destination information received by the receiving unit and the client terminal. Decided as the communication method to communicate between,
The control means is further configured so that the communication determining means determines the proxy communication method as a communication method for performing communication between the information processing apparatus and the client terminal, on the condition that the first establishing means determines the first communication means. 7. The relay processing apparatus according to claim 5, wherein control is performed so that establishment of one SSL communication and establishment of second SSL communication by the second establishment unit are performed.
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信方式送信手段は、前記受付手段で受け付けた中継先情報、及びクライアント情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式を指示するための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信することを特徴とする請求項７に記載の中継処理装置。 In the communication method setting information stored in the storage means, client information indicating the client terminal is further set with respect to the relay destination information,
The accepting means further accepts client information of the client terminal that accepted the relay destination information;
The communication method transmitting means, when the communication method information of the communication method setting information stored in the storage means for the relay destination information and client information received by the receiving means is the instruction information, 8. The relay processing apparatus according to claim 7, wherein communication method instruction information for displaying an instruction screen for instructing the client terminal is transmitted to the client terminal.
前記取得手段で取得したクライアント端末の公開鍵証明書を、前記第２確立手段で第２のＳＳＬ通信を確立する際に用いられる前記中継処理装置の公開鍵証明書として前記情報処理装置に送信する公開鍵送信手段と、
を更に備えることを特徴とする請求項１乃至８の何れか１項に記載の中継処理装置。 Obtaining means for obtaining a public key certificate of the client terminal from the client terminal using control communication established by the communication establishing means;
The client terminal public key certificate acquired by the acquiring unit is transmitted to the information processing apparatus as the public key certificate of the relay processing apparatus used when the second establishing unit establishes the second SSL communication. Public key transmission means;
The relay processing apparatus according to claim 1, further comprising:
前記第１復号手段で前記第１の暗号化データを復号することにより得られる通信データを検査する第１検査手段と、
前記第１検査手段による検査結果に従って、前記第１検査手段で検査された通信データを前記情報処理装置に中継するか否かを決定する第１決定手段と、
を更に備えることを特徴とする請求項１乃至１０の何れか１項に記載の中継処理装置。 The first encrypted data obtained by encrypting the communication data received from the client terminal using the first SSL communication established by the first establishing means is transmitted to the first establishing means by the first establishing means. First decryption means for decrypting using the first common key generated when establishing SSL communication;
First inspection means for inspecting communication data obtained by decrypting the first encrypted data by the first decryption means;
First determining means for determining whether to relay the communication data inspected by the first inspecting means to the information processing device according to the inspection result by the first inspecting means;
The relay processing device according to claim 1, further comprising:
前記２復号手段で前記第２の暗号化データを復号することにより得られた通信データを検査する第２検査手段と、
前記第２検査手段による検査結果に従って、前記第２検査手段で検査された通信データを前記クライアント端末に中継するか否かを決定する第２決定手段と、
を更に備えることを特徴とする請求項１乃至１１の何れか１項に記載の中継処理装置。 Second encrypted data obtained by encrypting the communication data received from the information processing apparatus using the second SSL communication established by the second establishing means is transmitted to the second established means by the second establishing means. Second decryption means for decrypting using the second common key generated when establishing the SSL communication;
Second inspection means for inspecting communication data obtained by decrypting the second encrypted data by the two decryption means;
Second determining means for determining whether to relay the communication data inspected by the second inspecting means to the client terminal according to the inspection result by the second inspecting means;
The relay processing device according to claim 1, further comprising:
前記クライアント端末から前記情報処理装置への、前記第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信手段と、
前記再開要求受信手段で受信した、ＳＳＬ通信の再開要求に含まれる前記第１のセッション識別情報が、前記代理通信記憶手段に記憶されているかを判定する判定手段と、
前記判定手段で、当該第１のセッション識別情報が前記代理通信記憶手段に記憶されていると判定された場合に、当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された前記第１の共通鍵を用いて前記クライアント端末と前記第１のＳＳＬ通信を再開し、かつ当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された、当該第２の共通鍵と、当該第２のセッション識別情報とを用いて前記情報処理装置と前記第２のＳＳＬ通信を再開する通信再開手段と、
を更に備えることを特徴とする請求項１乃至１２の何れか１項に記載の中継処理装置。 A first common key generated when the first establishing means establishes the first SSL communication, first session identification information for identifying a session of the first SSL communication, and the second establishing means. Proxy communication storage means for storing the second common key generated when establishing the second SSL communication and second session identification information for identifying the second SSL communication session in association with each other,
Resumption request receiving means for receiving a resumption request for SSL communication including the first session identification information from the client terminal to the information processing apparatus;
A determination unit that determines whether the first session identification information included in the SSL communication restart request received by the restart request reception unit is stored in the proxy communication storage unit;
When the determination unit determines that the first session identification information is stored in the proxy communication storage unit, the determination unit stores the proxy communication storage unit in association with the first session identification information. Resuming the first SSL communication with the client terminal using a first common key and the second common key stored in the proxy communication storage means in association with the first session identification information; Communication resuming means for resuming the information processing apparatus and the second SSL communication using the second session identification information;
The relay processing device according to claim 1, further comprising:
前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、
前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、
前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置の中継処理方法。 A relay processing method of a relay processing device that relays communication data communicated between a client terminal and an information processing device,
A first establishing step in which a first establishing means of the relay processing device establishes a first SSL communication used for communication of the communication data with the client terminal;
A second establishing step in which the second establishing means of the relay processing device establishes a second SSL communication used for communication of the communication data with the information processing device;
When the transmission means of the relay processing device establishes second SSL communication in the second establishing step, the public key certificate of the information processing device acquired from the information processing device is used in the first establishing step. Transmitting means for transmitting to the client terminal establishing the first SSL communication by:
A relay processing method for a relay processing apparatus, comprising:
前記中継処理装置を、
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とするプログラム。
A program that can be read and executed by a relay processing device that relays communication data communicated between a client terminal and an information processing device,
The relay processing device;
First establishing means for establishing first SSL communication used for communication of the communication data with the client terminal;
Second establishing means for establishing second SSL communication used for communication of the information processing apparatus and the communication data;
The public key certificate of the information processing apparatus acquired from the information processing apparatus when the second establishment means establishes the second SSL communication, and the first establishment means establishes the first SSL communication. A program that functions as a transmission unit that transmits to the client terminal.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011223910A JP5704044B2 (en) | 2009-12-25 | 2011-10-11 | Relay processing device, relay processing method and program |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009296424 | 2009-12-25 | ||
| JP2009296424 | 2009-12-25 | ||
| JP2011223910A JP5704044B2 (en) | 2009-12-25 | 2011-10-11 | Relay processing device, relay processing method and program |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010256742A Division JP4879347B2 (en) | 2009-12-25 | 2010-11-17 | Relay processing device, relay processing method and program |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2012044694A true JP2012044694A (en) | 2012-03-01 |
| JP2012044694A5 JP2012044694A5 (en) | 2014-03-20 |
| JP5704044B2 JP5704044B2 (en) | 2015-04-22 |
Family
ID=44538334
Family Applications (3)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010256742A Active JP4879347B2 (en) | 2009-12-25 | 2010-11-17 | Relay processing device, relay processing method and program |
| JP2011152227A Active JP5626148B2 (en) | 2009-12-25 | 2011-07-08 | Relay processing device, relay processing method and program |
| JP2011223910A Active JP5704044B2 (en) | 2009-12-25 | 2011-10-11 | Relay processing device, relay processing method and program |
Family Applications Before (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010256742A Active JP4879347B2 (en) | 2009-12-25 | 2010-11-17 | Relay processing device, relay processing method and program |
| JP2011152227A Active JP5626148B2 (en) | 2009-12-25 | 2011-07-08 | Relay processing device, relay processing method and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (3) | JP4879347B2 (en) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014232914A (en) * | 2013-05-28 | 2014-12-11 | 住友電工システムソリューション株式会社 | Communication system, communication adapter, server, mobile terminal, and communication method |
| WO2016053980A1 (en) * | 2014-09-29 | 2016-04-07 | Akamai Technologies, Inc. | Https request enrichment |
| US10749849B2 (en) | 2015-12-07 | 2020-08-18 | Nec Corporation | Data communication device, communication system, data relay method, and recording medium with stored program |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104919833B (en) * | 2012-12-20 | 2019-11-08 | 爱尔比奎特公司 | Efficient head unit communication is integrated |
| JP5614465B2 (en) * | 2013-01-30 | 2014-10-29 | 沖電気工業株式会社 | Encryption communication device, proxy server, encryption communication device program, and proxy server program |
| US9154488B2 (en) * | 2013-05-03 | 2015-10-06 | Citrix Systems, Inc. | Secured access to resources using a proxy |
| JP6354336B2 (en) * | 2014-05-29 | 2018-07-11 | ブラザー工業株式会社 | Client device, service execution system, and program |
| JP6529820B2 (en) * | 2015-05-13 | 2019-06-12 | 株式会社 インターコム | Communication device and program |
| CN108833541A (en) * | 2018-06-15 | 2018-11-16 | 北京奇安信科技有限公司 | A kind of method and device of identification terminal information |
| KR102086739B1 (en) * | 2018-06-27 | 2020-03-09 | 주식회사 수산아이앤티 | Electronic re-signing method to support various digital signature algorithms in secure sockets layer decryption device |
| KR102046340B1 (en) * | 2018-06-28 | 2019-11-20 | 액세스모션 주식회사 | Method for blocking contents on network |
| JP6705602B1 (en) * | 2019-01-24 | 2020-06-03 | Ｎｅｃプラットフォームズ株式会社 | Relay device, relay method, and control program |
Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002111747A (en) * | 2000-07-24 | 2002-04-12 | Ntt Docomo Inc | Repeater, communication terminal and server |
| JP2002244557A (en) * | 2001-02-16 | 2002-08-30 | Atr Adaptive Communications Res Lab | Cryptographic communication system and authentication method used therefor |
| JP2004206573A (en) * | 2002-12-26 | 2004-07-22 | Toshiba Corp | Data transfer device, server device, information providing system, data transfer method, and program |
| JP2004341860A (en) * | 2003-05-16 | 2004-12-02 | Hitachi Ltd | Session management method |
| WO2006093021A1 (en) * | 2005-02-28 | 2006-09-08 | Nec Corporation | Communication device, communication system, communication method, and program |
| WO2006093079A1 (en) * | 2005-02-28 | 2006-09-08 | Nec Corporation | Communication system, communication apparatus, communication method, and program |
| JP2008090458A (en) * | 2006-09-29 | 2008-04-17 | Brother Ind Ltd | Communication method, communication system, and server, client and computer program that constitute communication system |
| JP2008129673A (en) * | 2006-11-17 | 2008-06-05 | Nippon Telegr & Teleph Corp <Ntt> | User authentication system and method, gateway for use therein, program, and recording medium |
| US20080130900A1 (en) * | 2003-10-20 | 2008-06-05 | Hsieh Vincent W | Method and apparatus for providing secure communication |
| JP2008252456A (en) * | 2007-03-30 | 2008-10-16 | Toshiba Corp | Communication apparatus, and communication method |
| WO2009060899A1 (en) * | 2007-11-07 | 2009-05-14 | Nippon Telegraph And Telephone Corporation | Common key setting method, relay device, and program |
Family Cites Families (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002082907A (en) * | 2000-09-11 | 2002-03-22 | Nec Corp | Security function substitution method in data communication and its system, and recording medium |
| JP3842100B2 (en) * | 2001-10-15 | 2006-11-08 | 株式会社日立製作所 | Authentication processing method and system in encrypted communication system |
| JP4712330B2 (en) * | 2003-09-12 | 2011-06-29 | 株式会社リコー | COMMUNICATION DEVICE, COMMUNICATION SYSTEM, COMMUNICATION METHOD, AND PROGRAM |
| JP2005141333A (en) * | 2003-11-04 | 2005-06-02 | Matsushita Electric Ind Co Ltd | Access relay unit and network access method |
| JP2006086907A (en) * | 2004-09-17 | 2006-03-30 | Fujitsu Ltd | Setting information distribution device and method, program, medium, and setting information receiving program |
| US20060061803A1 (en) * | 2004-09-20 | 2006-03-23 | Kabushiki Kaisha Toshiba | Image forming system and communication method |
| US7877794B2 (en) * | 2004-11-29 | 2011-01-25 | International Business Machines Corporation | Relay apparatus, relay method and program therefor |
| JP2008287587A (en) * | 2007-05-18 | 2008-11-27 | Fuji Xerox Co Ltd | Electronic mail system |
| JP2009031976A (en) * | 2007-07-26 | 2009-02-12 | Fuji Xerox Co Ltd | E-mail system |
| JP2009060244A (en) * | 2007-08-30 | 2009-03-19 | Softbank Mobile Corp | Relay server, information acquisition system, relay server program, and information relay processing method |
| JP5476866B2 (en) * | 2009-08-28 | 2014-04-23 | コニカミノルタ株式会社 | COMMUNICATION DEVICE, COMMUNICATION METHOD, COMMUNICATION PROGRAM, AND COMMUNICATION SYSTEM |
-
2010
- 2010-11-17 JP JP2010256742A patent/JP4879347B2/en active Active
-
2011
- 2011-07-08 JP JP2011152227A patent/JP5626148B2/en active Active
- 2011-10-11 JP JP2011223910A patent/JP5704044B2/en active Active
Patent Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002111747A (en) * | 2000-07-24 | 2002-04-12 | Ntt Docomo Inc | Repeater, communication terminal and server |
| JP2002244557A (en) * | 2001-02-16 | 2002-08-30 | Atr Adaptive Communications Res Lab | Cryptographic communication system and authentication method used therefor |
| JP2004206573A (en) * | 2002-12-26 | 2004-07-22 | Toshiba Corp | Data transfer device, server device, information providing system, data transfer method, and program |
| JP2004341860A (en) * | 2003-05-16 | 2004-12-02 | Hitachi Ltd | Session management method |
| US20080130900A1 (en) * | 2003-10-20 | 2008-06-05 | Hsieh Vincent W | Method and apparatus for providing secure communication |
| WO2006093021A1 (en) * | 2005-02-28 | 2006-09-08 | Nec Corporation | Communication device, communication system, communication method, and program |
| WO2006093079A1 (en) * | 2005-02-28 | 2006-09-08 | Nec Corporation | Communication system, communication apparatus, communication method, and program |
| JP2008090458A (en) * | 2006-09-29 | 2008-04-17 | Brother Ind Ltd | Communication method, communication system, and server, client and computer program that constitute communication system |
| JP2008129673A (en) * | 2006-11-17 | 2008-06-05 | Nippon Telegr & Teleph Corp <Ntt> | User authentication system and method, gateway for use therein, program, and recording medium |
| JP2008252456A (en) * | 2007-03-30 | 2008-10-16 | Toshiba Corp | Communication apparatus, and communication method |
| WO2009060899A1 (en) * | 2007-11-07 | 2009-05-14 | Nippon Telegraph And Telephone Corporation | Common key setting method, relay device, and program |
Non-Patent Citations (1)
| Title |
|---|
| ""Ｗｅｂアクセス管理の要 プロキシ／キャッシュ・サーバーまるわかり パート３"", 日経ＮＥＴＷＯＲＫ, vol. 第１０８号, JPN6014037365, 28 March 2009 (2009-03-28), JP, pages 059 - 061, ISSN: 0002991695 * |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014232914A (en) * | 2013-05-28 | 2014-12-11 | 住友電工システムソリューション株式会社 | Communication system, communication adapter, server, mobile terminal, and communication method |
| WO2016053980A1 (en) * | 2014-09-29 | 2016-04-07 | Akamai Technologies, Inc. | Https request enrichment |
| US10749849B2 (en) | 2015-12-07 | 2020-08-18 | Nec Corporation | Data communication device, communication system, data relay method, and recording medium with stored program |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5704044B2 (en) | 2015-04-22 |
| JP5626148B2 (en) | 2014-11-19 |
| JP2011151785A (en) | 2011-08-04 |
| JP2011237822A (en) | 2011-11-24 |
| JP4879347B2 (en) | 2012-02-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5704044B2 (en) | Relay processing device, relay processing method and program | |
| CN110708170B (en) | Data processing method and device and computer readable storage medium | |
| US10554420B2 (en) | Wireless connections to a wireless access point | |
| US9137017B2 (en) | Key recovery mechanism | |
| KR100621420B1 (en) | Network connection system | |
| US20190238334A1 (en) | Communication system, communication client, communication server, communication method, and program | |
| EP2180633A1 (en) | Client device, server device, and program | |
| CN108243176B (en) | Data transmission method and device | |
| KR101744747B1 (en) | Mobile terminal, terminal and method for authentication using security cookie | |
| US20180294980A1 (en) | Management of secret data items used for server authentication | |
| JP2008250931A (en) | System for restoring distributed information, information utilizing device, and verification device | |
| JP2012137975A (en) | Relay processor, control method for the same and program | |
| JP2015115893A (en) | Communication method, communication program, and relay device | |
| US11722303B2 (en) | Secure enclave implementation of proxied cryptographic keys | |
| WO2014067925A1 (en) | Telecommunications chip card | |
| EP4096160A1 (en) | Shared secret implementation of proxied cryptographic keys | |
| JP2008269381A (en) | Authentication server and on-line service system | |
| CN102118386B (en) | Relay device and relay processing method | |
| EP4145763A1 (en) | Exporting remote cryptographic keys | |
| KR102211033B1 (en) | Agency service system for accredited certification procedures | |
| JP4998314B2 (en) | Communication control method and communication control program | |
| US20090254756A1 (en) | Data communication method | |
| CN111935164B (en) | Https interface request method | |
| KR101708880B1 (en) | Integrated lon-in apparatus and integrated log-in method | |
| JP2005222488A (en) | User authentication system, information distribution server and user authentication method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20120130 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20120130 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20130531 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20130531 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20131118 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20140131 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20140902 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20141104 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20150127 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20150209 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5704044 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313115 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |