JP2023169938A - 認証局管理システム、認証局管理方法、およびプログラム - Google Patents

Abstract

【課題】認証局が提供するＡＰＩに依らずに、該認証局からも証明情報の発行を可能にする認証局管理装置を提供すること。【解決手段】認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する要求受信部と、認証局と対応付けられたモジュールであって、認証局生成データを認証局から取得する手順を実行するモジュールを選択するモジュール選択部と、選択されたモジュールが取得した認証局生成データを、他の装置に送信するデータ送信部とを備える、認証局管理装置である。【選択図】図１

Description

本発明は、認証局管理装置、認証局管理方法、およびプログラムに関する。

従来、電子証明情報の発行を受けていない認証局からも証明情報の発行を可能にすることを目的とする証明発行方法がある（特許文献１参照）。この証明発行方法では、まず、エンドエンティティが、第１認証局が発行した審査証明情報を認証局証明情報の発行依頼と併せて証明発行依頼装置へ送る。証明発行依頼装置は、エンドエンティティが送信した審査証明情報を信頼し、第２認証局へ認証局証明情報の発行を依頼する。第２認証局は、証明発行依頼装置を信頼し、証明発行依頼装置の依頼に基づき、認証局証明情報を発行する。

特開２００７－０２８０６１号公報

しかしながら、従来の証明発行方法においては、証明発行依頼装置は、第２認証局の接続先の情報としてＵＲＬ（Universal Resource Locator）を保持しているのみであるため、第２認証局が提供するＡＰＩ（Application Programming Interface）によっては接続できないことがあるという問題がある。

本発明は、このような事情に鑑みてなされたもので、認証局が提供するＡＰＩに依らずに、該認証局からも証明情報の発行を可能にする認証局管理装置、認証局管理方法、およびプログラムを提供する。

この発明は上述した課題を解決するためになされたもので、本発明の一態様は、認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する要求受信部と、前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択するモジュール選択部と、前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信するデータ送信部とを備える、認証局管理装置である。

また、本発明の他の一態様は、上述の認証局管理装置であって、前記要求は、前記認証局を示す情報を含み、前記認証局を示す情報に基づき、前記認証局が管理認証局であるか外部認証局であるかを判定し、前記認証局が外部認証局であると判定したときに、前記モジュール選択部に前記認証局と対応付けられたモジュールの選択の実行を指示する認証局判定部を備える。

また、本発明の他の一態様は、上述の認証局管理装置であって、前記要求は、前記認証局を示す情報を含み、前記認証局を示す情報に基づき、前記認証局と対応付けられたモジュールがあるか否かを判定し、前記認証局と対応付けられたモジュールがあると判定したときに、前記モジュール選択部に前記認証局と対応付けられたモジュールの選択の実行を指示する認証局判定部を備える。

また、本発明の他の一態様は、上述の認証局管理装置であって、前記認証局生成データは、電子証明書または証明書失効リストを含む。

また、本発明の他の一態様は、認証局管理装置による認証局管理方法であって、認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する過程と、前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択する過程と、前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信する過程とを有する。

また、本発明の他の一態様は、コンピュータを、認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する要求受信部、前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択するモジュール選択部、前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信するデータ送信部として機能させるためのプログラムである。

この発明によれば、認証局が提供するＡＰＩに依らずに、該認証局からも証明情報の発行が可能になる。

この発明の第１の実施形態による認証局管理システム１００の構成を示す概略ブロック図である。 同実施形態による認証局管理装置２０の構成を示す概略ブロック図である。 同実施形態における接続情報記憶部２０２の記憶内容例を示すテーブルである。 同実施形態における認証局管理システム１００の動作を説明するフローチャートである。 同実施形態における認証手順の第１の例を示すシーケンス図である。 同実施形態における認証手順の第２の例を示すシーケンス図である。 この発明の第２の実施形態における認証局管理システム１００ａの構成を示す概略ブロック図である。 同実施形態におけるフロントエンド２１が記憶するクライアント装置１０ａと認証局との対応関係の例を示すテーブルである。

＜第１の実施形態＞
以下、図面を参照して、本発明の第１の実施形態について説明する。図１は、この発明の第１の実施形態による認証局管理システム１００の構成を示す概略ブロック図である。認証局管理システム１００は、１つまたは複数のクライアント装置１０、認証局管理装置２０、１つまたは複数の管理認証局３０、１つまたは複数の外部認証局４０、ネットワーク５０を備える。認証局管理システム１００は、管理認証局３０、または外部認証局４０によって生成される電子証明書、証明書失効リストなどの認証局生成データを、認証局管理装置２０を介して、クライアント装置１０に配布することができる。これにより、クライアント装置１０は、認証局管理装置２０に認証されていれば、管理認証局３０、または外部認証局４０による認証局生成データを、これらの認証局に認証されているか否かに係わらず、取得することができる。なお、外部認証局４０は、プライベート認証局であってもよいし、パブリック認証局であってもよい。

クライアント装置１０は、認証局生成データを必要とするコンピュータであり、ＩｏＴ（Internet of Things）機器(ＩｏＴセンサーデバイス、スマートスピーカー、自動車等のインターネットが接続可能な機器)、スマートフォン、タブレット端末、パーソナルコンピュータ、サーバマシンなどのいずれであってもよい。クライアント装置１０は、ネットワーク５０により、認証局管理装置２０と通信可能に接続される。クライアント装置１０は、認証局生成データの要求を認証局管理装置２０に送信し、その応答として、認証局生成データを受信する。認証局生成データの要求は、認証局（Certificate Authority）を示す情報であるＣＡ＿ｉｄを含む。また、この要求は、ＣＳＲ(Certificate Signing Request)及びそれに類する情報や、要求する認証局生成データを示す情報、例えば、クライアント証明書、サーバ証明書、データ署名用証明書、プログラム検証用証明書、証明書失効リストなどのいずれかを示す情報を含んでもよい。また、この要求は、管理認証局３０または外部認証局４０に接続する際の認証情報、接続プロトコル情報、接続先ＵＲＬ、各種入力パラメータのいずれかを含んでもよい。なお、この要求にいずれの情報が含まれるかが、要求先の認証局の仕様に依存していてもよい。

認証局管理装置２０は、１つまたは複数のコンピュータがソフトウェアを実行することで実現される。認証局管理装置２０は、ネットワーク５０により、クライアント装置１０、外部認証局４０と通信可能に接続される。また、認証局管理装置２０は、ネットワーク５０とは異なる手段（不図示）もしくはネットワーク５０により、管理認証局３０と通信可能に接続される。認証局管理装置２０は、クライアント装置１０から、認証局生成データの要求を受信する。認証局管理装置２０は、受信した要求に含まれるＣＡ＿ｉｄに対応する管理認証局３０、または外部認証局４０から認証局生成データを取得し、クライアント装置１０に送信する。

管理認証局３０は、認証局管理装置２０を管理、運営する組織により、管理、運営されている認証局であり、認証局管理装置２０を介して、証明書、証明書失効リストなどの発行を行う。外部認証局４０は、認証局管理装置２０を管理、運営する組織とは異なる組織により、管理、運営されている認証局であり、外部認証局４０によって認証局生成データを取得するための手順が異なっていてもよい。ネットワーク５０は、インターネットなどのネットワークである。

図２は、本実施形態による認証局管理装置２０の構成を示す概略ブロック図である。認証局管理装置２０は、要求受信部２０１、接続情報記憶部２０２、ＣＡ判定部（認証局判定部）２０３、管理認証局接続部２０４、データ送信部２０５、モジュール選択部２０６、モジュール実行部２０７、モジュール記憶部２０８を備える。要求受信部２０１は、認証局生成データの要求であって、クライアント装置１０からの要求を受信する。接続情報記憶部２０２は、ＣＡ＿ｉｄに対応付けて、該ＣＡ＿ｉｄの認証局の接続情報を記憶する。接続情報は、その認証局が、管理認証局３０と外部認証局４０とのいずれであるかを識別する情報と、外部認証局４０であれば、その外部認証局４０から認証局生成データを取得する手順を実行するモジュールを示す情報を含む。このモジュールは、ＪＡＶＡＳＣＲＩＰＴ（登録商標）などのスクリプトであってもよいし、実行ファイルであってもよい。

ＣＡ判定部２０３は、要求受信部２０１が受信した要求に含まれるＣＡ＿ｉｄに対応付けられた接続情報を、接続情報記憶部２０２から読み出し、読み出した接続情報を用いて、該ＣＡ＿ｉｄの認証局が管理認証局３０と外部認証局４０とのうちいずれであるかを判定する。ＣＡ判定部２０３は、ＣＡ＿ｉｄの認証局が管理認証局３０であると判定したときは、管理認証局接続部２０４に認証局生成データの取得を指示する。また、ＣＡ判定部２０３は、ＣＡ＿ｉｄの認証局が外部認証局４０であると判定したときは、モジュール選択部２０６に該認証局と対応付けられたモジュールの選択の実行を指示する。管理認証局接続部２０４は、要求受信部２０１が受信した要求に含まれるＣＡ＿ｉｄの認証局が管理認証局３０であるとＣＡ判定部２０３が判定したときに、該ＣＡ＿ｉｄの管理認証局３０から認証局生成データを取得する。

モジュール選択部２０６は、要求受信部２０１が受信した要求に含まれるＣＡ＿ｉｄの認証局が外部認証局４０であるとＣＡ判定部２０３が判定したときに、該ＣＡ＿ｉｄの認証局と対応付けられたモジュールを選択し、該モジュールの実行をモジュール実行部２０７に指示する。なお、該ＣＡ＿ｉｄの認証局と対応付けられたモジュールは、該ＣＡ＿ｉｄに対応付けられた接続情報が示すモジュールであり、モジュール選択部２０６は、ＣＡ判定部２０３が読み出した接続情報を用いて、該モジュールを選択する。認証局と対応付けられたモジュールは、その認証局が提供しているＡＰＩであって、その認証局から認証局生成データを取得するためのＡＰＩに応じた手順を実行する。これにより、その認証局に独自の手順であっても、認証局生成データを取得することができる。

モジュール実行部２０７は、モジュール選択部２０６により実行を指示されたモジュールをモジュール記憶部２０８から読み出し、実行する。モジュール実行部２０７は、該モジュールを実行することにより、外部認証局４０から認証局生成データを取得する。なお、モジュール実行部２０７が実行するモジュールは、要求受信部２０１が受信した要求に、認証情報、接続プロトコル情報、接続先ＵＲＬ、各種入力パラメータなどが含まれるときは、外部認証局４０から認証局生成データを取得する際に、これらの情報を用いてもよい。データ送信部２０５は、管理認証局接続部２０４またはモジュール実行部２０７が取得した認証局生成データを、要求受信部２０１が受信した要求への応答として、クライアント装置１０に送信する。

なお、ＣＡ判定部２０３は、要求受信部２０１が受信した要求に含まれるＣＡ＿ｉｄに対応付けられた接続情報を、接続情報記憶部２０２から読み出し、読み出した接続情報を用いて、該ＣＡ＿ｉｄの認証局と対応付けられたモジュールがあるか否かを判定してもよい。そして、ＣＡ判定部２０３は、ＣＡ＿ｉｄの認証局と対応付けられたモジュールがないと判定したときは、管理認証局接続部２０４に認証局生成データの取得を指示する。また、ＣＡ判定部２０３は、ＣＡ＿ｉｄの認証局と対応付けられたモジュールがあると判定したときは、モジュール選択部２０６に該認証局と対応付けられたモジュールの選択の実行を指示する。また、この場合、接続情報は、その認証局と対応付けられたモジュールがあれば、その外部認証局４０から認証局生成データを取得する手順を実行するモジュールを示す情報を含む。これにより、認証局が管理認証局３０であるか外部認証局４０であるかに関わらず、モジュールを用いた認証局生成データの取得を行うことができる。

図３は、本実施形態における接続情報記憶部２０２の記憶内容例を示すテーブルである。接続情報記憶部２０２は、ＣＡ＿ｉｄと対応付けて、接続情報を記憶する。図３の例では、接続情報は、項目「管理ＣＡ」と、項目「接続モジュール」を含む。項目「管理ＣＡ」は、当該接続情報が対応付けられたＣＡ＿ｉｄの管理認証局３０を示す情報であり、該管理認証局３０を呼び出すための情報である。項目「管理ＣＡ」は、管理認証局３０の識別情報であってもよいし、管理認証局３０のＵＲＬであってもよい。また、管理認証局３０が、認証局管理装置２０と同じコンピュータ上に実装されている場合には、管理認証局３０としてコンピュータを機能させるためのプログラムのファイル名であってもよい。

項目「接続モジュール」は、当該接続情報が対応付けられたＣＡ＿ｉｄの外部認証局４０から認証局生成データを取得するための手順を実行するモジュールを示す情報であり、該モジュールを呼び出すための情報である。項目「接続モジュール」は、該モジュールの識別情報であってもよいし、該モジュールのファイル名であってもよい。

図３の例では、項目「ＣＡ＿ｉｄ」の値「０００１」に対応付けて、接続情報として項目「管理ＣＡ」の値「管理ＣＡ０００１」を記憶しているが、項目「接続モジュール」は値がない。これにより、ＣＡ＿ｉｄが「０００１」である認証局は、管理認証局３０であり、その管理認証局３０を示す情報は「管理ＣＡ０００１」であることを示している。同様に、項目「ＣＡ＿ｉｄ」の値「０００３」に対応付けて、接続情報として項目「管理ＣＡ」の値「管理ＣＡ０００３」を記憶しているが、接続モジュールは値がない。これにより、ＣＡ＿ｉｄが「０００３」である認証局は、管理認証局３０であり、その管理認証局３０を示す情報は「管理ＣＡ０００３」であることを示している。

また、項目「ＣＡ＿ｉｄ」の値「０００４」に対応付けて、接続情報として項目「接続モジュール」の値「モジュール０００４」を記憶しているが、項目「管理ＣＡ」は値がない。これにより、ＣＡ＿ｉｄが「０００４」である認証局は、外部認証局４０であり、その外部認証局４０を示す情報は「モジュール０００４」であることが示されている。同様に、項目「ＣＡ＿ｉｄ」の値「０００８」に対応付けて、接続情報として項目「接続モジュール」の値「モジュール０００８」を記憶しているが、項目「管理ＣＡ」は値がない。これにより、ＣＡ＿ｉｄが「０００８」である認証局は、外部認証局４０であり、その外部認証局４０を示す情報は「モジュール０００８」であることが示されている。

このように、図３の例では、項目「管理ＣＡ」と項目「接続モジュール」のうち、いずれが値を持つかで、管理認証局３０と外部認証局４０のうちの何れであるかを示している。なお、接続情報は、管理認証局３０と外部認証局４０のうちの何れであるかを明示的に示す情報を含んでいてもよい。

図４は、本実施形態における認証局管理システム１００の動作を説明するフローチャートである。まず、クライアント装置１０と認証局管理装置２０のＣＡ管理機能部２１０との間で、認証を行う（シーケンスＳ１）。この認証は、認証局管理装置２０によるクライアント装置１０の認証であってもよいし、相互認証であってもよい。

次に、クライアント装置１０は、認証局生成データの要求を、認証局管理装置２０に送信する（シーケンスＳ２）。この要求を受信した認証局管理装置２０のＣＡ管理機能部２１０は、該要求に含まれるＣＡ＿ｉｄに対応付けられた接続情報を接続情報記憶部２０２から読み出す（シーケンスＳ３）。ＣＡ管理機能部２１０は、読み出した接続情報を参照して、シーケンスＳ２で送信された要求に含まれるＣＡ＿ｉｄの認証局が、管理認証局３０であるか外部認証局４０であるかを判定する。外部認証局４０であるときは、シーケンスＳ４ａが行われ、管理認証局３０であるときは、シーケンスＳ４ｂが行われる。

シーケンスＳ４ａは、シーケンスＳａ１からシーケンスＳａ６を含む。シーケンスＳ４ａでは、まず、ＣＡ管理機能部２１０が、シーケンスＳ３で読み出した接続情報が示すモジュールの実行をモジュール実行部２０７に指示する（シーケンスＳａ１）。モジュール実行部２０７は、指示されたモジュールをモジュール記憶部２０８から読み出して実行する（シーケンスＳａ２）。該モジュールを実行することにより、モジュール実行部２０７は、該モジュールに対応する外部認証局４０との間で認証を行う（シーケンスＳａ３）。この認証は、外部認証局４０による認証局管理装置２０の認証であってもよいし、相互認証であってもよい。

モジュールを実行しているモジュール実行部２０７は、外部認証局４０に認証局生成データを要求し（シーケンスＳａ４）、その応答として送信された認証局生成データを取得する（シーケンスＳａ５）。これら、シーケンスＳａ３、Ｓａ４、Ｓａ５の手順、プロトコルなどは、外部認証局４０に応じたものであり、モジュールによって定義されている。モジュール実行部２０７は、取得した認証局生成データをＣＡ管理機能部２１０に渡す（シーケンスＳａ６）。

シーケンスＳ４ｂは、シーケンスＳｂ１とシーケンスＳｂ２を含む。シーケンスＳ４ｂでは、ＣＡ管理機能部２１０が、シーケンスＳ３で読み出した接続情報が示す管理認証局３０に認証局生成データを要求し（シーケンスＳｂ１）、その応答として送信された認証局生成データを取得する（シーケンスＳｂ２）。

シーケンスＳ４ａまたはシーケンスＳ４ｂの後、ＣＡ管理機能部２１０は、シーケンスＳ２の要求への応答として、取得した認証局生成データをクライアント装置１０に送信する（シーケンスＳ５）。

図５は、本実施形態における認証手順の第１の例を示すシーケンス図である。図５における認証手順は、Ｂ装置６００が、Ａ装置５００を認証する手順であり、図４のシーケンスＳ１、Ｓａ３において用いることができる。例えば、認証局管理装置２０が、クライアント装置１０を認証するシーケンスＳ１の場合、認証局管理装置２０がＢ装置６００に対応し、クライアント装置１０が、Ａ装置５００に対応する。

図５に示すシーケンスでは、まず、Ｂ装置６００が、チャレンジコードを生成する（シーケンスＳｃ１）。チャレンジコードは、例えば、乱数であり、毎回異なる値であることが望ましい。Ｂ装置６００は、生成したチャレンジコードをＡ装置５００に送信する（シーケンスＳｃ２）。Ａ装置５００は、受信したチャレンジコードを、保持している鍵で暗号化する（シーケンスＳｃ３）。この鍵は、Ａ装置５００とＢ装置６００の共通鍵であってもよいし、Ａ装置５００の秘密鍵であってもよい。

Ａ装置５００は、暗号化されたチャレンジコードをＢ装置６００に送信する（シーケンスＳｃ４）。Ｂ装置６００は、シーケンスＳｃ４で送信された、暗号化されたチャレンジコードを受信し、これを保持している鍵で復号する。この鍵は、シーケンスＳｃ３で用いた鍵に対応する鍵であり、Ａ装置５００とＢ装置６００の共通鍵、またはＡ装置５００の公開鍵である。Ｂ装置６００は、復号結果と、シーケンスＳｃ１で生成したチャレンジコードと比較し、一致していれば、Ａ装置５００の認証に成功したと判断する（シーケンスＳｃ５）。

図６は、本実施形態における認証手順の第２の例を示すシーケンス図である。図６における認証手順は、Ａ装置５００とＢ装置６００が、相互に認証する手順であり、図４のシーケンスＳ１、Ｓａ３において用いることができる。例えば、シーケンスＳ１で、クライアント装置１０と認証局管理装置２０が相互認証する場合、クライアント装置１０と認証局管理装置２０のどちらか一方がＡ装置５００に対応し、他方がＢ装置６００に対応する。図６におけるシーケンスＳｃ１からＳｃ５は、図５と同様であるので説明を省略する。シーケンスＳｃ５の後、Ｂ装置６００は、シーケンスＳｃ１で生成したチャレンジコードを、保持している鍵で暗号化する（シーケンスＳｃ６）。この鍵は、Ａ装置５００とＢ装置６００の共通鍵であってもよいし、Ｂ装置６００の秘密鍵であってもよい。

Ｂ装置６００は、暗号化したチャレンジコードをＡ装置５００に送信する（シーケンスＳｃ７）。Ａ装置５００は、シーケンスＳｃ７で送信された、暗号化されたチャレンジコードを受信し、これを保持している鍵で復号する。この鍵は、シーケンスＳｃ６で用いた鍵に対応する鍵であり、Ａ装置５００とＢ装置６００の共通鍵、またはＢ装置６００の公開鍵である。Ａ装置５００は、復号結果と、シーケンスＳｃ２で受信したチャレンジコードと比較し、一致していれば、Ｂ装置６００の認証に成功したと判断する（シーケンスＳｃ８）。

このように、本実施形態における認証局管理装置２０は、要求受信部２０１と、モジュール選択部２０６と、データ送信部２０５とを備える。要求受信部２０１は、認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する。モジュール選択部２０６は、認証局と対応付けられたモジュールであって、認証局生成データを認証局から取得する手順を実行するモジュールを選択する。データ送信部２０５は、選択されたモジュールが取得した認証局生成データを、他の装置に送信する。これにより、認証局生成データを認証局から取得する際に、認証局各々に応じたモジュールを用いることができるので、認証局生成データを認証局から取得する手順が、認証局によって異なっていても、認証局管理装置２０は、認証局生成データを取得することができる。

＜第２の実施形態＞
第１の実施形態では、クライアント装置１０が送信する認証局生成データの要求に認証局を示す情報が含まれていた。第２の実施形態では、クライアント装置１０ａと認証局管理装置２０との間に、フロントエンド２１を配置する。そして、クライアント装置１０ａが送信する認証局生成データの要求は、認証局を示す情報を含んでおらず、フロントエンド２１が、クライアント装置１０ａに応じた認証局を選択する。

図７は、この発明の第２の実施形態における認証局管理システム１００ａの構成を示す概略ブロック図である。認証局管理システム１００ａは、１つまたは複数のクライアント装置１０ａ、認証局管理装置２０ａ、フロントエンド２１、管理認証局３０、外部認証局４０、ネットワーク５０を含む。図７において、図１の各部に対応する部分には同一の符号を付し、説明を省略する。クライアント装置１０ａは、図１のクライアント装置１０と同様であるが、認証局生成データの要求に認証局を示す情報を含めない。

フロントエンド２１は、クライアント装置１０ａと認証局管理装置２０ａとの間に配置される。フロントエンド２１は、例えば、認証局管理装置２０ａが提供するサービスを含む複数のサービスのためのフロンドエンドである。なお、フロントエンド２１および認証局管理装置２０ａが、ネットワーク５０に接続されており、フロントエンド２１は、論理的な接続におけるクライアント装置１０ａと認証局管理装置２０ａとの間に配置されていてもよい。フロントエンド２１は、クライアント装置１０ａからの要求を、その要求内容に応じたサービスの装置に振り分ける。

また、フロントエンド２１は、クライアント装置１０ａと認証局との対応関係を記憶している。フロントエンド２１は、クライアント装置１０ａから認証局生成データの要求を受信すると、該クライアント装置１０ａに対応付けられている認証局を示す情報とともに該要求を、認証局管理装置２０に送信する。認証局管理装置２０ａは、クライアント装置１０ａとフロントエンド２１を介して通信するが、それ以外は、図１の認証局管理装置２０と同様である。なお、認証局管理装置２０ａは、クライアント装置１０ａを認証せず、フロントエンド２１が、クライアント装置１０ａを認証するようにしてもよい。

図８は、本実施形態におけるフロントエンド２１が記憶するクライアント装置１０ａと認証局との対応関係の例を示すテーブルである。図８に示すように、フロントエンド２１は、クライアント装置１０ａの識別情報であるＤｅｖｉｃｅ＿ｉｄと、認証局の識別情報であるＣＡ＿ｉｄとを対応付けて記憶する。図８の例では、Ｄｅｖｉｃｅ＿ｉｄの値「０１０１０」と対応付けて、ＣＡ＿ｉｄの値「０００１」を記憶し、Ｄｅｖｉｃｅ＿ｉｄの値「０１０２１」と対応付けて、ＣＡ＿ｉｄの値「０００３」を記憶し、Ｄｅｖｉｃｅ＿ｉｄの値「０３２１５」と対応付けて、ＣＡ＿ｉｄの値「０００１」を記憶している。

本実施形態においても、第１の実施形態と同様に、認証局生成データを認証局から取得する手順が、認証局によって異なっていても、認証局管理装置２０ａは、認証局生成データを取得することができる。

なお、上述の各実施形態において、外部認証局４０は、認証局管理装置２０を管理、運営する組織とは異なる組織により、管理、運営されている認証局であるとして説明したが、認証局管理装置２０を管理、運営する組織により、管理、運営されている認証局であってもよい。

また、図１、図２における認証局管理装置２０、２０ａの機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより認証局管理装置２０、２０ａを実現してもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

以上、この発明の実施形態の図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１０、１０ａ クライアント装置
２０、２０ａ 認証局管理装置
２１ フロントエンド
３０ 管理認証局
４０ 外部認証局
５０ ネットワーク
１００ 認証局管理システム
２０１ 要求受信部
２０２ 接続情報記憶部
２０３ ＣＡ判定部
２０４ 管理認証局接続部
２０５ データ送信部
２０６ モジュール選択部
２０７ モジュール実行部
２０８ モジュール記憶部
２１０ ＣＡ管理機能部

本発明は、認証局管理システム、認証局管理方法、およびプログラムに関する。

本発明は、このような事情に鑑みてなされたもので、認証局が提供するＡＰＩに依らずに、該認証局からも証明情報の発行を可能にする認証局管理システム、認証局管理方法、およびプログラムを提供する。

Claims (6)

1. 認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する要求受信部と、
   前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択するモジュール選択部と、
   前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信するデータ送信部と
   を備える、認証局管理装置。
2. 前記要求は、前記認証局を示す情報を含み、
   前記認証局を示す情報に基づき、前記認証局が管理認証局であるか外部認証局であるかを判定し、前記認証局が外部認証局であると判定したときに、前記モジュール選択部に前記認証局と対応付けられたモジュールの選択の実行を指示する認証局判定部を備える、
   請求項１に記載の認証局管理装置。
3. 前記要求は、前記認証局を示す情報を含み、
   前記認証局を示す情報に基づき、前記認証局と対応付けられたモジュールがあるか否かを判定し、前記認証局と対応付けられたモジュールがあると判定したときに、前記モジュール選択部に前記認証局と対応付けられたモジュールの選択の実行を指示する認証局判定部を備える、
   請求項１に記載の認証局管理装置。
4. 前記認証局生成データは、電子証明書または証明書失効リストを含む、請求項１から請求項３のいずれかの項に記載の認証局管理装置。
5. 認証局管理装置による認証局管理方法であって、
   認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する過程と、
   前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択する過程と、
   前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信する過程と
   を有する、認証局管理方法。
6. コンピュータを、
   認証局によって生成される認証局生成データの要求であって、他の装置からの要求を受信する要求受信部、
   前記認証局と対応付けられたモジュールであって、前記認証局生成データを、前記認証局から取得する手順を実行するモジュールを選択するモジュール選択部、
   前記選択されたモジュールが取得した前記認証局生成データを、前記他の装置に送信するデータ送信部
   として機能させるためのプログラム。

Images