JP3396162B2 - 認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体 - Google Patents
認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体Info
- Publication number
- JP3396162B2 JP3396162B2 JP09640398A JP9640398A JP3396162B2 JP 3396162 B2 JP3396162 B2 JP 3396162B2 JP 09640398 A JP09640398 A JP 09640398A JP 9640398 A JP9640398 A JP 9640398A JP 3396162 B2 JP3396162 B2 JP 3396162B2
- Authority
- JP
- Japan
- Prior art keywords
- user
- information
- management table
- request
- history management
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】
【発明の属する技術分野】本発明は，ネットワーク上で
本人性の確認を行うための認証システムおよび方法に関
する．より具体的には，本発明は，認証システムの構成
方式および構成方法に関するものである．認証システム
は，コンピュータネットワーク上でＥＤＩ（電子データ
交換）やＥＣ（電子商取引）を実現する際に，送信デー
タの秘匿性や改ざん防止の目的で利用される公開鍵暗号
方式に関して，その公開鍵の所有者を証明する機関であ
る．
本人性の確認を行うための認証システムおよび方法に関
する．より具体的には，本発明は，認証システムの構成
方式および構成方法に関するものである．認証システム
は，コンピュータネットワーク上でＥＤＩ（電子データ
交換）やＥＣ（電子商取引）を実現する際に，送信デー
タの秘匿性や改ざん防止の目的で利用される公開鍵暗号
方式に関して，その公開鍵の所有者を証明する機関であ
る．
【０００２】
【従来の技術】コンピュータネットワーク上でＥＤＩ
（電子データ交換）やＥＣ（電子商取引）を実現する際
には，盗聴／なりすまし／改ざん／送信否認などの脅威
が想定されるため，それを防御するために暗号通信やデ
ィジタル署名通信が用いられるのが一般的である．この
暗号方式は，参考文献「Diffie, W. and Helman, M. :
New Directions in Cryptography, IEEE Trans. Inf. T
heory, IT-22,6 pp.644 654, 1976」で発表されてお
り，世の中で広く知られるところとなっている．この公
開鍵暗号方式では，一般に広く公開しておく公開鍵と，
自分のみが知り得る秘密鍵の２種類の鍵を用いて通信を
行うが，ここで，公開鍵を単に周知するだけでは他人を
装って周知する「なりすまし」と呼ばれる脅威が考えら
れることから，公開鍵の持ち主を証明する第三者機関が
必要であり，それが一般に認証システムと呼ばれるもの
である．
（電子データ交換）やＥＣ（電子商取引）を実現する際
には，盗聴／なりすまし／改ざん／送信否認などの脅威
が想定されるため，それを防御するために暗号通信やデ
ィジタル署名通信が用いられるのが一般的である．この
暗号方式は，参考文献「Diffie, W. and Helman, M. :
New Directions in Cryptography, IEEE Trans. Inf. T
heory, IT-22,6 pp.644 654, 1976」で発表されてお
り，世の中で広く知られるところとなっている．この公
開鍵暗号方式では，一般に広く公開しておく公開鍵と，
自分のみが知り得る秘密鍵の２種類の鍵を用いて通信を
行うが，ここで，公開鍵を単に周知するだけでは他人を
装って周知する「なりすまし」と呼ばれる脅威が考えら
れることから，公開鍵の持ち主を証明する第三者機関が
必要であり，それが一般に認証システムと呼ばれるもの
である．
【０００３】認証システムは，日本の実社会で，実印の
持ち主を証明する印鑑証明書を役所が発行するのと同様
に，ディジタル通信の世界で，公開鍵の持ち主を証明す
る公開鍵証明証を発行・管理する手段を持ったシステム
であるということができる．従来のこの公開鍵証明証の
発行・管理を行う認証システムにおいては，通常，以下
のような機能が実現されている．
持ち主を証明する印鑑証明書を役所が発行するのと同様
に，ディジタル通信の世界で，公開鍵の持ち主を証明す
る公開鍵証明証を発行・管理する手段を持ったシステム
であるということができる．従来のこの公開鍵証明証の
発行・管理を行う認証システムにおいては，通常，以下
のような機能が実現されている．
【０００４】○公開鍵登録機能………利用者が申請した
公開鍵に対して，公開鍵証明証を作成／登録／発行す
る．
公開鍵に対して，公開鍵証明証を作成／登録／発行す
る．
【０００５】○証明証参照機能………認証システムで管
理している公開鍵証明証を利用者から参照可能とする．
理している公開鍵証明証を利用者から参照可能とする．
【０００６】○公開鍵無効化機能…… 公開鍵証明証を
無効化し，無効化リストに掲載する．
無効化し，無効化リストに掲載する．
【０００７】○無効化リスト参照機能…無効化された公
開鍵証明証の一覧を利用者から参照可能とする．
開鍵証明証の一覧を利用者から参照可能とする．
【０００８】これらの機能は，コンピュータシステムや
暗号アルゴリズムが提供する一般的な手段を用いて構築
可能であり，申請時に申請書を用いた依頼を行うこと，
認証システムと利用者の間ではディジタル署名通信を行
うこと，公開鍵証明証や無効化リストはディレクトリや
データベースに管理しておくこと，などの基本的な構成
方式については，一般的方法であると認知されている．
暗号アルゴリズムが提供する一般的な手段を用いて構築
可能であり，申請時に申請書を用いた依頼を行うこと，
認証システムと利用者の間ではディジタル署名通信を行
うこと，公開鍵証明証や無効化リストはディレクトリや
データベースに管理しておくこと，などの基本的な構成
方式については，一般的方法であると認知されている．
【０００９】さて，認証システムでは，多数の利用者の
公開鍵証明証を管理するための保管方式として，ディレ
クトリの概念（X.500,ISO/IEC/DIS 9594-1）が広く利用
されている．ディレクトリを用いて情報を管理する場
合，各情報は木構造上の各位置において管理され，木構
造の最上位から情報が管理されている位置までの経路情
報が，各情報に対する識別子となり，この識別子を一般
にＤＮ（DistinguishedName）と呼んでいる．公開鍵証
明証をディレクトリで管理する場合の例を，図５を用い
て説明する．図５に示される木構造は，公開鍵証明証の
所有者を識別するための木構造であり，識別情報を表す
階層の最上位に国名，最下位に所有者個人の一般名が示
されている．この木構造を用いて，「鈴木」を識別する
と，そのＤＮは，
公開鍵証明証を管理するための保管方式として，ディレ
クトリの概念（X.500,ISO/IEC/DIS 9594-1）が広く利用
されている．ディレクトリを用いて情報を管理する場
合，各情報は木構造上の各位置において管理され，木構
造の最上位から情報が管理されている位置までの経路情
報が，各情報に対する識別子となり，この識別子を一般
にＤＮ（DistinguishedName）と呼んでいる．公開鍵証
明証をディレクトリで管理する場合の例を，図５を用い
て説明する．図５に示される木構造は，公開鍵証明証の
所有者を識別するための木構造であり，識別情報を表す
階層の最上位に国名，最下位に所有者個人の一般名が示
されている．この木構造を用いて，「鈴木」を識別する
と，そのＤＮは，
【００１０】Ｃ＝日本，Ｌ＝神奈川，ＳＴ＝横浜，ＣＮ
＝鈴木
＝鈴木
【００１１】として最上位からの階層で示される．ここ
で，Ｃは国名，Ｌは地方名，ＳＴは地域名，ＣＮは一般
名である．このように，一般に公開鍵証明証の所有者を
識別するＤＮは，その所有者の名前（一般名）に，居住
地や所属する組織などの所有者に関する情報をあわせた
形式で表され，公開鍵証明証の発行時において認証シス
テムによって付与される．また，各利用者の公開鍵証明
証は，図５に示すように，その所有者を識別するＤＮが
指し示すところにそれぞれ保管され，公開鍵証明証の参
照や削除など，公開鍵証明証に対する操作が必要な場合
には，ディレクトリに対して対象公開鍵証明証の所有者
のＤＮを指定して，処理を実行することになる．
で，Ｃは国名，Ｌは地方名，ＳＴは地域名，ＣＮは一般
名である．このように，一般に公開鍵証明証の所有者を
識別するＤＮは，その所有者の名前（一般名）に，居住
地や所属する組織などの所有者に関する情報をあわせた
形式で表され，公開鍵証明証の発行時において認証シス
テムによって付与される．また，各利用者の公開鍵証明
証は，図５に示すように，その所有者を識別するＤＮが
指し示すところにそれぞれ保管され，公開鍵証明証の参
照や削除など，公開鍵証明証に対する操作が必要な場合
には，ディレクトリに対して対象公開鍵証明証の所有者
のＤＮを指定して，処理を実行することになる．
【００１２】次に，公開鍵証明証を用いて，通信相手の
本人性を確認するための一般的な方法について述べる．
図６に示すように，コンピュータネットワークを介して
通信相手の本人確認を行う場合，送信者は，送信情報に
対して自分のみが知りうる秘密鍵を用いて電子署名を作
成し，これを文書（送信情報）に付与して（），通信
相手に送付する（）．受信者は，この電子署名が確か
に送信者によって付与されたものであることを検証する
ため，認証システムに対して送信者のＤＮを指定して，
送信者の公開鍵証明証を取得し（），これに含まれる
公開鍵を用いて電子署名を検証することにより，電子署
名の付与者が，ＤＮで指し示される利用者であることを
確認することが可能となる（）．
本人性を確認するための一般的な方法について述べる．
図６に示すように，コンピュータネットワークを介して
通信相手の本人確認を行う場合，送信者は，送信情報に
対して自分のみが知りうる秘密鍵を用いて電子署名を作
成し，これを文書（送信情報）に付与して（），通信
相手に送付する（）．受信者は，この電子署名が確か
に送信者によって付与されたものであることを検証する
ため，認証システムに対して送信者のＤＮを指定して，
送信者の公開鍵証明証を取得し（），これに含まれる
公開鍵を用いて電子署名を検証することにより，電子署
名の付与者が，ＤＮで指し示される利用者であることを
確認することが可能となる（）．
【００１３】
【発明が解決しようとする課題】前述のように，認証シ
ステムが管理する公開鍵証明証の所有者を識別する識別
子にはＤＮが用いられ，通常このＤＮは，所有者の個人
名に，その所有者が居住する地名情報や所属する組織名
などの情報をあわせた形で表現される．
ステムが管理する公開鍵証明証の所有者を識別する識別
子にはＤＮが用いられ，通常このＤＮは，所有者の個人
名に，その所有者が居住する地名情報や所属する組織名
などの情報をあわせた形で表現される．
【００１４】さてここで，１人の利用者に対して，認証
システムが複数のＤＮを付与している場合を考える．こ
のような状況は，例えばその利用者が住所を変更した
り，所属する組織を変更するなどして，それまで付与さ
れていたＤＮが，もはや自分を識別するための情報とし
て適切でなくなったためにＤＮを変更する場合や，複数
の組織に所属している利用者が，各所属に対応するＤＮ
を付与されているなどの場合に発生することが想定され
る．しかしながら，従来の公開鍵証明証を用いた本人確
認処理では，署名検証に用いる公開鍵証明証の所有者識
別子であるＤＮによって利用者を識別するため，異なる
ＤＮで管理される公開鍵証明証により署名検証が行われ
た通信相手は，これがたとえ同一利用者であっても異な
る利用者として識別されてしまうという問題が生じるこ
とになる．この問題が生じる例として，通信相手の利用
者のＤＮが変更された場合の例を図７に示す．
システムが複数のＤＮを付与している場合を考える．こ
のような状況は，例えばその利用者が住所を変更した
り，所属する組織を変更するなどして，それまで付与さ
れていたＤＮが，もはや自分を識別するための情報とし
て適切でなくなったためにＤＮを変更する場合や，複数
の組織に所属している利用者が，各所属に対応するＤＮ
を付与されているなどの場合に発生することが想定され
る．しかしながら，従来の公開鍵証明証を用いた本人確
認処理では，署名検証に用いる公開鍵証明証の所有者識
別子であるＤＮによって利用者を識別するため，異なる
ＤＮで管理される公開鍵証明証により署名検証が行われ
た通信相手は，これがたとえ同一利用者であっても異な
る利用者として識別されてしまうという問題が生じるこ
とになる．この問題が生じる例として，通信相手の利用
者のＤＮが変更された場合の例を図７に示す．
【００１５】図７は，ＤＮ１（Ｃ＝日本，Ｌ＝神奈川，
ＳＴ＝横浜，ＣＮ＝利用者Ｂ）の識別子を持つ利用者Ｂ
が，システムＡに対して利用者登録を行い，後日利用者
ＢのＤＮがＤＮ２（Ｃ＝日本，Ｌ＝東京，ＳＴ＝世田
谷，ＣＮ＝利用者Ｂ）に変更された場合，システムＡで
は，ＤＮが異なるＤＮ１とＤＮ２の利用者を同一利用者
として認識することができず，これを別利用者として扱
わざるをえないことを意味している．
ＳＴ＝横浜，ＣＮ＝利用者Ｂ）の識別子を持つ利用者Ｂ
が，システムＡに対して利用者登録を行い，後日利用者
ＢのＤＮがＤＮ２（Ｃ＝日本，Ｌ＝東京，ＳＴ＝世田
谷，ＣＮ＝利用者Ｂ）に変更された場合，システムＡで
は，ＤＮが異なるＤＮ１とＤＮ２の利用者を同一利用者
として認識することができず，これを別利用者として扱
わざるをえないことを意味している．
【００１６】そこで以上に示した問題を解決するため，
本人確認処理を行う利用者が，通信相手の公開鍵証明証
のＤＮ情報から，これが付与されている利用者が誰であ
るかを一意に識別可能となる認証方法，およびこれを実
現する認証システムの構成ならびに認証方法および認証
システムにおいて用いられるプログラムを記録した記録
媒体を提供することに，本発明の目的がある．
本人確認処理を行う利用者が，通信相手の公開鍵証明証
のＤＮ情報から，これが付与されている利用者が誰であ
るかを一意に識別可能となる認証方法，およびこれを実
現する認証システムの構成ならびに認証方法および認証
システムにおいて用いられるプログラムを記録した記録
媒体を提供することに，本発明の目的がある．
【００１７】
【課題を解決するための手段】上記課題を解決するた
め，本発明は，同一個人に対して払い出された公開鍵証
明証の所有者特定情報の履歴を管理し，任意の所有者特
定情報がどの特定個人に対して払い出されたものである
かの情報を必要に応じて他のシステムへ提供することを
特徴としている．
め，本発明は，同一個人に対して払い出された公開鍵証
明証の所有者特定情報の履歴を管理し，任意の所有者特
定情報がどの特定個人に対して払い出されたものである
かの情報を必要に応じて他のシステムへ提供することを
特徴としている．
【００１８】また，請求項１および３記載の発明は，各
利用者に対して付与したＤＮ（Distinguished Name）の
履歴を管理し，各ＤＮが付与された利用者を識別する情
報を提供することにより，コンピュータネットワーク上
での公開鍵証明証を用いた本人確認の際に，公開鍵証明
証の所有者識別子であるＤＮから，通信相手の利用者を
一意に識別することが可能となる本人認証方法を実現す
るため，システム初期生成処理において，ＤＮ付与履歴
管理テーブル作成手段を用いて各利用者に対して付与し
たＤＮの履歴を管理するためのＤＮ付与履歴管理テーブ
ルを作成し，利用者からのＤＮ初回付与／ＤＮ追加付与
／ＤＮ無効化／ＤＮ変更依頼受付処理において，ＤＮ付
与サービス受付手段を用いて利用者からの依頼を受け付
け，利用者の身元確認処理において，身元確認手段を用
いて，ＤＮ初回付与の依頼の場合には確認した身元確認
情報を前記テーブルに格納し，ＤＮ追加付与／ＤＮ無効
化／ＤＮ変更の依頼の場合には利用者が提示した身元確
認情報が前記ＤＮ付与履歴管理テーブル内の身元確認情
報と一致することによってその本人性を確認し，ＤＮ初
回付与の依頼の場合には，利用者ＩＤ払い出し処理にお
いて，利用者ＩＤ払い出し手段を用いて利用者に対して
一意かつ不変な利用者ＩＤを払い出し，ＤＮ付与履歴管
理テーブル登録処理において，ＤＮ付与履歴管理テーブ
ル登録手段を用いて，ＤＮ初回付与の依頼の場合には付
与したＤＮの情報を前記ＤＮ付与履歴管理テーブルに保
存し，ＤＮ追加付与の依頼の場合には追加付与したＤＮ
の情報を前記ＤＮ付与履歴管理テーブルに保存し，ＤＮ
無効化の依頼の場合には前記ＤＮ付与履歴管理テーブル
内に登録されている対象ＤＮを無効ＤＮの欄へ移動さ
せ，ＤＮ変更の依頼の場合には前記ＤＮ付与履歴管理テ
ーブル内に登録されている変更前のＤＮを無効ＤＮの欄
へ移動させるとともに変更後のＤＮを前記ＤＮ付与履歴
管理テーブルに登録し，公開鍵証明証の管理情報への反
映処理において，公開鍵証明証管理へのＤＮ情報反映手
段を用いてＤＮ付与履歴管理テーブルに登録されたＤＮ
情報を，公開鍵証明証を管理する機能部に対して通知
し，これを公開鍵証明証を管理する木構造に反映させる
ことにより，利用者に対して付与したＤＮを管理するこ
とを特徴としている．
利用者に対して付与したＤＮ（Distinguished Name）の
履歴を管理し，各ＤＮが付与された利用者を識別する情
報を提供することにより，コンピュータネットワーク上
での公開鍵証明証を用いた本人確認の際に，公開鍵証明
証の所有者識別子であるＤＮから，通信相手の利用者を
一意に識別することが可能となる本人認証方法を実現す
るため，システム初期生成処理において，ＤＮ付与履歴
管理テーブル作成手段を用いて各利用者に対して付与し
たＤＮの履歴を管理するためのＤＮ付与履歴管理テーブ
ルを作成し，利用者からのＤＮ初回付与／ＤＮ追加付与
／ＤＮ無効化／ＤＮ変更依頼受付処理において，ＤＮ付
与サービス受付手段を用いて利用者からの依頼を受け付
け，利用者の身元確認処理において，身元確認手段を用
いて，ＤＮ初回付与の依頼の場合には確認した身元確認
情報を前記テーブルに格納し，ＤＮ追加付与／ＤＮ無効
化／ＤＮ変更の依頼の場合には利用者が提示した身元確
認情報が前記ＤＮ付与履歴管理テーブル内の身元確認情
報と一致することによってその本人性を確認し，ＤＮ初
回付与の依頼の場合には，利用者ＩＤ払い出し処理にお
いて，利用者ＩＤ払い出し手段を用いて利用者に対して
一意かつ不変な利用者ＩＤを払い出し，ＤＮ付与履歴管
理テーブル登録処理において，ＤＮ付与履歴管理テーブ
ル登録手段を用いて，ＤＮ初回付与の依頼の場合には付
与したＤＮの情報を前記ＤＮ付与履歴管理テーブルに保
存し，ＤＮ追加付与の依頼の場合には追加付与したＤＮ
の情報を前記ＤＮ付与履歴管理テーブルに保存し，ＤＮ
無効化の依頼の場合には前記ＤＮ付与履歴管理テーブル
内に登録されている対象ＤＮを無効ＤＮの欄へ移動さ
せ，ＤＮ変更の依頼の場合には前記ＤＮ付与履歴管理テ
ーブル内に登録されている変更前のＤＮを無効ＤＮの欄
へ移動させるとともに変更後のＤＮを前記ＤＮ付与履歴
管理テーブルに登録し，公開鍵証明証の管理情報への反
映処理において，公開鍵証明証管理へのＤＮ情報反映手
段を用いてＤＮ付与履歴管理テーブルに登録されたＤＮ
情報を，公開鍵証明証を管理する機能部に対して通知
し，これを公開鍵証明証を管理する木構造に反映させる
ことにより，利用者に対して付与したＤＮを管理するこ
とを特徴としている．
【００１９】また，請求項２および４記載の発明は，利
用者ＩＤ参照依頼受付処理において，利用者ＩＤ参照依
頼受付手段を用いて本人確認処理を行う利用者からの利
用者ＩＤ参照依頼を受け付けて参照対象ＤＮを取得し，
利用者ＩＤ検索処理において，利用者ＩＤ検索手段を用
いて取得したＤＮが付与されている利用者の利用者ＩＤ
を，ＤＮ履歴管理テーブル内を検索して取得し，結果送
付処理において，利用者ＩＤ送付手段を用いて取得した
利用者ＩＤを依頼者に対して送付することにより，任意
のＤＮに対してこれが付与された利用者を一意に指し示
す情報を，本人確認処理を行う利用者に対して提供可能
とすることを特徴としている．
用者ＩＤ参照依頼受付処理において，利用者ＩＤ参照依
頼受付手段を用いて本人確認処理を行う利用者からの利
用者ＩＤ参照依頼を受け付けて参照対象ＤＮを取得し，
利用者ＩＤ検索処理において，利用者ＩＤ検索手段を用
いて取得したＤＮが付与されている利用者の利用者ＩＤ
を，ＤＮ履歴管理テーブル内を検索して取得し，結果送
付処理において，利用者ＩＤ送付手段を用いて取得した
利用者ＩＤを依頼者に対して送付することにより，任意
のＤＮに対してこれが付与された利用者を一意に指し示
す情報を，本人確認処理を行う利用者に対して提供可能
とすることを特徴としている．
【００２０】また，上記各請求項に係る発明は，１また
は複数のコンピュータを用いて実現される場合に，その
コンピュータで実行されるプログラムを計算機読み取り
可能な記録媒体に記録して頒布することができる．
は複数のコンピュータを用いて実現される場合に，その
コンピュータで実行されるプログラムを計算機読み取り
可能な記録媒体に記録して頒布することができる．
【００２１】
【発明の実施の形態】まず，本発明の要点について図１
〜図３を参照して説明する．公開鍵証明証を用いた本人
確認処理を行う際に，異なる複数のＤＮが同一利用者に
対して付与されたものであることを確認可能とするに
は，これらのＤＮが付与された利用者を一意に識別する
ための情報が，本人確認処理を行う利用者に対して提供
されればよい．そこで本発明では，各利用者に対して付
与されたＤＮおよびその付与履歴を認証システムにおい
て管理し，本人確認処理を行う利用者が，署名検証の際
に用いた公開鍵証明証のＤＮが付与された利用者の情報
を取得可能とすることにより，ＤＮ単位の本人識別では
なく，利用者単位の本人識別を可能としている．この特
徴を有する本人認証方式およびこれを実現する認証シス
テムの構成を図１に示す．図１に示す本人認証方式で
は，従来の認証システムにおいて実現されている公開鍵
証明証の発行・管理を行う手段に加えて，
〜図３を参照して説明する．公開鍵証明証を用いた本人
確認処理を行う際に，異なる複数のＤＮが同一利用者に
対して付与されたものであることを確認可能とするに
は，これらのＤＮが付与された利用者を一意に識別する
ための情報が，本人確認処理を行う利用者に対して提供
されればよい．そこで本発明では，各利用者に対して付
与されたＤＮおよびその付与履歴を認証システムにおい
て管理し，本人確認処理を行う利用者が，署名検証の際
に用いた公開鍵証明証のＤＮが付与された利用者の情報
を取得可能とすることにより，ＤＮ単位の本人識別では
なく，利用者単位の本人識別を可能としている．この特
徴を有する本人認証方式およびこれを実現する認証シス
テムの構成を図１に示す．図１に示す本人認証方式で
は，従来の認証システムにおいて実現されている公開鍵
証明証の発行・管理を行う手段に加えて，
【００２２】◎利用者に対して付与したＤＮの履歴を管
理する手段（符号：Ａ１０）
理する手段（符号：Ａ１０）
【００２３】◎任意のＤＮに対してこれを付与された利
用者を一意に指し示す情報を，本人確認処理を行う利用
者に対して提供する手段（Ａ２０）
用者を一意に指し示す情報を，本人確認処理を行う利用
者に対して提供する手段（Ａ２０）
【００２４】が用意されることにより，通信相手をＤＮ
により識別していた従来の本人認証方式（図６）に比べ
て，そのＤＮが付与された利用者を一意に識別する情報
を認証システムから得られるため，利用者単位の本人識
別が可能となり，異なる複数のＤＮが同一利用者に対し
て付与された場合においても，その事実を本人確認処理
において確認することが可能となる．
により識別していた従来の本人認証方式（図６）に比べ
て，そのＤＮが付与された利用者を一意に識別する情報
を認証システムから得られるため，利用者単位の本人識
別が可能となり，異なる複数のＤＮが同一利用者に対し
て付与された場合においても，その事実を本人確認処理
において確認することが可能となる．
【００２５】なお，図１に示す認証方式では，図６と比
較して，電子署名付与の処理に先だって認証システム
からＤＮ／利用者の識別子の付与を受ける処理（）
と，受信者において認証システムから，送信者のＤＮを
用いて利用者識別子の情報の提供を受ける処理（）が
追加されている．なお，図１における電子署名付与，
送信，公開鍵証明証取得，署名検証の各処理は，
図２における電子署名付与，送信，公開鍵証明証取
得，署名検証の各処理に対応するものである．
較して，電子署名付与の処理に先だって認証システム
からＤＮ／利用者の識別子の付与を受ける処理（）
と，受信者において認証システムから，送信者のＤＮを
用いて利用者識別子の情報の提供を受ける処理（）が
追加されている．なお，図１における電子署名付与，
送信，公開鍵証明証取得，署名検証の各処理は，
図２における電子署名付与，送信，公開鍵証明証取
得，署名検証の各処理に対応するものである．
【００２６】では以下において，本発明による認証シス
テムを実現するために必要となる上記の２つの手段につ
いて説明する．まず，各利用者に対して付与したＤＮの
履歴を管理する手段について，図２に示すシステムフロ
ーを用いて述べる．なお，図２において，左右方向の矢
印は各処理において呼び出す手段を指し示すものであ
り，上下方向の矢印は処理の流れを示すものである．
テムを実現するために必要となる上記の２つの手段につ
いて説明する．まず，各利用者に対して付与したＤＮの
履歴を管理する手段について，図２に示すシステムフロ
ーを用いて述べる．なお，図２において，左右方向の矢
印は各処理において呼び出す手段を指し示すものであ
り，上下方向の矢印は処理の流れを示すものである．
【００２７】（１）システム初期生成処理
【００２８】認証システムの立ち上げ時におけるシステ
ム初期生成処理において，ＤＮ付与履歴管理テーブル作
成手段１を用いて，各利用者に対して付与したＤＮの履
歴を管理するためのテーブル100を用意する．本発明で
は，ＤＮを付与した利用者を一意に識別するための情報
として，各利用者に対して一意かつ不変な利用者ＩＤを
用意し，これをキーとして各利用者に対して付与したＤ
Ｎの履歴を管理する．そこでこのＤＮ付与履歴管理テー
ブル100には，利用者ＩＤ，利用者の一意性を確認する
身元確認情報，登録したＤＮ，無効としたＤＮのそれぞ
れの情報を管理することになる．
ム初期生成処理において，ＤＮ付与履歴管理テーブル作
成手段１を用いて，各利用者に対して付与したＤＮの履
歴を管理するためのテーブル100を用意する．本発明で
は，ＤＮを付与した利用者を一意に識別するための情報
として，各利用者に対して一意かつ不変な利用者ＩＤを
用意し，これをキーとして各利用者に対して付与したＤ
Ｎの履歴を管理する．そこでこのＤＮ付与履歴管理テー
ブル100には，利用者ＩＤ，利用者の一意性を確認する
身元確認情報，登録したＤＮ，無効としたＤＮのそれぞ
れの情報を管理することになる．
【００２９】（２）ＤＮ初回付与／ＤＮ追加付与／ＤＮ
無効化／ＤＮ変更（サービス） 依頼受付処理
無効化／ＤＮ変更（サービス） 依頼受付処理
【００３０】利用者からのＤＮの付与に関する依頼に対
して，ＤＮ付与サービス受付手段２を用いて受け付け
る．ここでは利用者の依頼種別を識別し，次の処理へ振
り分ける処理を行う．
して，ＤＮ付与サービス受付手段２を用いて受け付け
る．ここでは利用者の依頼種別を識別し，次の処理へ振
り分ける処理を行う．
【００３１】（３）依頼者の身元確認処理
【００３２】（２）で受け付けたサービス依頼者の本人
性を，身元確認手段３を用いて確認する．この身元確認
は，利用者に自分の身元を保証する情報を提示してもら
い，これを認証システムが確認することによって行う．
利用者からの依頼が，ＤＮ初回付与依頼の場合には，こ
こで確認した身元確認情報をＤＮ履歴管理テーブル100
の該当箇所に格納する，また，利用者からの依頼が，Ｄ
Ｎ追加付与／ＤＮ無効化／ＤＮ変更依頼であった場合に
は，利用者が提示した身元確認情報が，ＤＮ付与履歴管
理テーブル100内の身元確認情報と一致することを確認
する．これにより，登録済みの情報に対して本人以外の
利用者による操作を防止し，各利用者に対するＤＮの付
与履歴を確実に管理することが可能となる．
性を，身元確認手段３を用いて確認する．この身元確認
は，利用者に自分の身元を保証する情報を提示してもら
い，これを認証システムが確認することによって行う．
利用者からの依頼が，ＤＮ初回付与依頼の場合には，こ
こで確認した身元確認情報をＤＮ履歴管理テーブル100
の該当箇所に格納する，また，利用者からの依頼が，Ｄ
Ｎ追加付与／ＤＮ無効化／ＤＮ変更依頼であった場合に
は，利用者が提示した身元確認情報が，ＤＮ付与履歴管
理テーブル100内の身元確認情報と一致することを確認
する．これにより，登録済みの情報に対して本人以外の
利用者による操作を防止し，各利用者に対するＤＮの付
与履歴を確実に管理することが可能となる．
【００３３】（４）利用者ＩＤ払い出し処理
【００３４】利用者からの依頼がＤＮ初回付与依頼であ
った場合，その利用者には利用者ＩＤが付与されていな
いため，利用者ＩＤ払い出し手段４を用いて，その利用
者に対して一意かつ不変な利用者ＩＤを払い出す．
った場合，その利用者には利用者ＩＤが付与されていな
いため，利用者ＩＤ払い出し手段４を用いて，その利用
者に対して一意かつ不変な利用者ＩＤを払い出す．
【００３５】（５）ＤＮ付与履歴管理テーブル登録処理
【００３６】利用者からの依頼に応じて，ＤＮ付与履歴
管理テーブル登録手段５を用いて，ＤＮの付与情報をＤ
Ｎ付与履歴管理テーブル100に保存する．利用者からの
依頼がＤＮ初回付与依頼であった場合には，付与したＤ
ＮをＤＮ付与履歴管理テーブル100内の登録ＤＮの欄に
保存する．利用者からの依頼がＤＮ追加付与依頼であっ
た場合には，追加付与したＤＮをＤＮ付与履歴管理テー
ブル100内の登録ＤＮの欄に追加する．利用者からの依
頼がＤＮ無効化依頼であった場合には，対象ＤＮを登録
ＤＮの欄から無効ＤＮの欄へ移動させる．利用者からの
依頼がＤＮ変更依頼であった場合には，変更前のＤＮを
登録ＤＮの欄から無効ＤＮの欄へ移動させ，変更後のＤ
Ｎを登録ＤＮの欄に追加する．
管理テーブル登録手段５を用いて，ＤＮの付与情報をＤ
Ｎ付与履歴管理テーブル100に保存する．利用者からの
依頼がＤＮ初回付与依頼であった場合には，付与したＤ
ＮをＤＮ付与履歴管理テーブル100内の登録ＤＮの欄に
保存する．利用者からの依頼がＤＮ追加付与依頼であっ
た場合には，追加付与したＤＮをＤＮ付与履歴管理テー
ブル100内の登録ＤＮの欄に追加する．利用者からの依
頼がＤＮ無効化依頼であった場合には，対象ＤＮを登録
ＤＮの欄から無効ＤＮの欄へ移動させる．利用者からの
依頼がＤＮ変更依頼であった場合には，変更前のＤＮを
登録ＤＮの欄から無効ＤＮの欄へ移動させ，変更後のＤ
Ｎを登録ＤＮの欄に追加する．
【００３７】（６）公開鍵証明証の管理情報への反映処
理
理
【００３８】ＤＮは公開鍵証明証の所有者識別子であ
り，公開鍵証明証を管理するための木構造を構成する要
素であるため，（５）の処理によってＤＮの情報が変更
された場合，その情報を公開鍵証明証を管理する機能部
に対して通知し，これを反映させる必要がある．そこ
で，公開鍵証明証管理へのＤＮ情報反映手段６を用い
て，（５）の処理によりＤＮ付与履歴管理テーブル100
の登録ＤＮ欄にＤＮが追加された場合には，このＤＮを
木構造に追加することを公開鍵証明証を管理する機能部
に対して依頼し，無効ＤＮ欄にＤＮが追加された場合に
は，このＤＮを木構造から削除することを依頼する．
り，公開鍵証明証を管理するための木構造を構成する要
素であるため，（５）の処理によってＤＮの情報が変更
された場合，その情報を公開鍵証明証を管理する機能部
に対して通知し，これを反映させる必要がある．そこ
で，公開鍵証明証管理へのＤＮ情報反映手段６を用い
て，（５）の処理によりＤＮ付与履歴管理テーブル100
の登録ＤＮ欄にＤＮが追加された場合には，このＤＮを
木構造に追加することを公開鍵証明証を管理する機能部
に対して依頼し，無効ＤＮ欄にＤＮが追加された場合に
は，このＤＮを木構造から削除することを依頼する．
【００３９】以上に示した処理方法及びそれらが呼び出
す手段を用いることにより，認証システムにおいて，各
利用者に対して付与したＤＮの履歴を管理することが可
能となる．
す手段を用いることにより，認証システムにおいて，各
利用者に対して付与したＤＮの履歴を管理することが可
能となる．
【００４０】なお，図２に示した各手段についてその機
能をまとめると以下のようになる．ＤＮ付与履歴管理テ
ーブル作成手段１…システム初期生成処理において，利
用者ＩＤ，身元確認情報，現存するＤＮ，無効なＤＮの
情報を管理するＤＮ付与履歴管理テーブルを設けるため
の手段．ＤＮ付与サービス受付手段２…利用者からのＤ
Ｎ付与依頼に関するサービス申請を受け付ける手段．Ｄ
Ｎ付与依頼に関するサービスには，ＤＮ初回付与サービ
ス，ＤＮ追加付与サービス，ＤＮ無効化サービス，ＤＮ
変更サービスがある．身元確認手段３…利用者からのＤ
Ｎの付与に関するサービス申請を受け付けた際に，依頼
者の身元を確認し，その本人性を確認する手段．利用者
ＩＤ払い出し手段４…各利用者に対する初回のＤＮ付与
処理において，利用者を一意に指し示す情報として用い
るための，一意かつ不変な利用者ＩＤを払い出す手段．
ＤＮ付与履歴管理テーブル登録手段５…各利用者に対し
て付与したＤＮの情報を，ＤＮ付与履歴管理テーブルへ
登録・管理する手段．公開鍵証明証管理へのＤＮ情報反
映手段６…ＤＮ付与履歴管理テーブル登録手段５を用い
ることにより，利用者に対して付与したＤＮ情報が更新
された場合，その情報を公開鍵証明証を管理する機能部
に対して反映する手段．
能をまとめると以下のようになる．ＤＮ付与履歴管理テ
ーブル作成手段１…システム初期生成処理において，利
用者ＩＤ，身元確認情報，現存するＤＮ，無効なＤＮの
情報を管理するＤＮ付与履歴管理テーブルを設けるため
の手段．ＤＮ付与サービス受付手段２…利用者からのＤ
Ｎ付与依頼に関するサービス申請を受け付ける手段．Ｄ
Ｎ付与依頼に関するサービスには，ＤＮ初回付与サービ
ス，ＤＮ追加付与サービス，ＤＮ無効化サービス，ＤＮ
変更サービスがある．身元確認手段３…利用者からのＤ
Ｎの付与に関するサービス申請を受け付けた際に，依頼
者の身元を確認し，その本人性を確認する手段．利用者
ＩＤ払い出し手段４…各利用者に対する初回のＤＮ付与
処理において，利用者を一意に指し示す情報として用い
るための，一意かつ不変な利用者ＩＤを払い出す手段．
ＤＮ付与履歴管理テーブル登録手段５…各利用者に対し
て付与したＤＮの情報を，ＤＮ付与履歴管理テーブルへ
登録・管理する手段．公開鍵証明証管理へのＤＮ情報反
映手段６…ＤＮ付与履歴管理テーブル登録手段５を用い
ることにより，利用者に対して付与したＤＮ情報が更新
された場合，その情報を公開鍵証明証を管理する機能部
に対して反映する手段．
【００４１】次に，上記で述べたＤＮ付与履歴情報に基
づいて，任意のＤＮに対してこれを付与された利用者を
一意に指し示す情報を，本人確認処理を行う利用者に対
して提供する手段について説明する．以下では，図１に
示したように，本人確認処理を行う利用者が公開鍵証明
証を用いて通信相手の本人確認を行う際に，署名検証に
用いた公開鍵証明証のＤＮから，その通信相手を一意に
指し示す情報を認証システムから取得することを想定
し，認証システムにおいて必要となる手段およびこれを
呼び出す処理を，図３を用いて説明する．
づいて，任意のＤＮに対してこれを付与された利用者を
一意に指し示す情報を，本人確認処理を行う利用者に対
して提供する手段について説明する．以下では，図１に
示したように，本人確認処理を行う利用者が公開鍵証明
証を用いて通信相手の本人確認を行う際に，署名検証に
用いた公開鍵証明証のＤＮから，その通信相手を一意に
指し示す情報を認証システムから取得することを想定
し，認証システムにおいて必要となる手段およびこれを
呼び出す処理を，図３を用いて説明する．
【００４２】（１）利用者ＩＤ参照依頼受付処理
【００４３】本人確認処理を行う利用者が，署名検証に
用いた公開鍵証明証のＤＮが付与された利用者を識別す
るために，認証システムに対して依頼する利用者ＩＤ参
照依頼を，利用者ＩＤ参照依頼受付手段７を用いて受け
付ける．この受付手段７では，本人確認処理を行う利用
者から，対象ＤＮを取得する．
用いた公開鍵証明証のＤＮが付与された利用者を識別す
るために，認証システムに対して依頼する利用者ＩＤ参
照依頼を，利用者ＩＤ参照依頼受付手段７を用いて受け
付ける．この受付手段７では，本人確認処理を行う利用
者から，対象ＤＮを取得する．
【００４４】（２）利用者ＩＤ検索処理
【００４５】（１）で取得したＤＮが付与されている利
用者の利用者ＩＤを，利用者ＩＤ検索手段８を用いて，
ＤＮ付与履歴管理テーブル100内を検索して取得する．
用者の利用者ＩＤを，利用者ＩＤ検索手段８を用いて，
ＤＮ付与履歴管理テーブル100内を検索して取得する．
【００４６】（３）結果送付処理
【００４７】（２）で検索された利用者ＩＤを，利用者
ＩＤ送付手段９を用いて依頼者に送付する．これを受け
取った利用者は，署名検証に用いた公開鍵証明証のＤＮ
が付与された利用者を一意に識別可能となるため，利用
者単位の本人識別が可能となる．
ＩＤ送付手段９を用いて依頼者に送付する．これを受け
取った利用者は，署名検証に用いた公開鍵証明証のＤＮ
が付与された利用者を一意に識別可能となるため，利用
者単位の本人識別が可能となる．
【００４８】以上に示した処理方法及びそれらが呼び出
す手段を用いることにより，認証システムにおいて，任
意のＤＮに対してこれを付与された利用者を一意に指し
示す情報を，本人確認処理を行う利用者に対して提供す
ることが可能となる．
す手段を用いることにより，認証システムにおいて，任
意のＤＮに対してこれを付与された利用者を一意に指し
示す情報を，本人確認処理を行う利用者に対して提供す
ることが可能となる．
【００４９】なお，図３に示した各手段の機能について
以下にまとめて述べる．利用者ＩＤ参照依頼受付手段７
…一般利用者からの利用者ＩＤ参照依頼に対して，これ
を受け付け，一般利用者から識別依頼対象であるＤＮを
取得する手段．利用者ＩＤ検索手段８…利用者ＩＤ参照
依頼受付手段７で取得されたＤＮが付与されている利用
者の利用者ＩＤを，ＤＮ付与履歴管理テーブル内を検索
することにより取得する手段．利用者ＩＤ送付手段９…
利用者ＩＤ検索手段８で検索された利用者ＩＤを依頼者
に対して送付する手段．
以下にまとめて述べる．利用者ＩＤ参照依頼受付手段７
…一般利用者からの利用者ＩＤ参照依頼に対して，これ
を受け付け，一般利用者から識別依頼対象であるＤＮを
取得する手段．利用者ＩＤ検索手段８…利用者ＩＤ参照
依頼受付手段７で取得されたＤＮが付与されている利用
者の利用者ＩＤを，ＤＮ付与履歴管理テーブル内を検索
することにより取得する手段．利用者ＩＤ送付手段９…
利用者ＩＤ検索手段８で検索された利用者ＩＤを依頼者
に対して送付する手段．
【００５０】本発明の具体的な実施形態を，図４を用い
て説明する．図４は，利用者ＡとシステムＢとの間のや
り取りにおいて，利用者Ａが異なるＤＮを用いてシステ
ムＢに対してアクセスした場合に，本発明により，シス
テムＢがそれらの申請を同一利用者からの申請であるこ
とを認識できることを示している．つまり本発明によ
り，本人確認処理を行う利用者は，ＤＮ単位の本人識別
ではなく，利用者単位の本人識別を行うことが可能とな
ることを示している．
て説明する．図４は，利用者ＡとシステムＢとの間のや
り取りにおいて，利用者Ａが異なるＤＮを用いてシステ
ムＢに対してアクセスした場合に，本発明により，シス
テムＢがそれらの申請を同一利用者からの申請であるこ
とを認識できることを示している．つまり本発明によ
り，本人確認処理を行う利用者は，ＤＮ単位の本人識別
ではなく，利用者単位の本人識別を行うことが可能とな
ることを示している．
【００５１】なお，図４においては，上述したＤＮ付与
サービス受付手段２，利用者ＩＤ参照依頼手段７，およ
び利用者ＩＤ送付手段９が，サービス提供の窓口となる
機能部１０を構成し，利用者ＩＤ払い出し手段４とＤＮ
付与履歴管理テーブル作成手段が，サービス提供におけ
る初期化に関する機能部１１を構成している．また，Ｄ
Ｎ付与履歴管理テーブルへの参照処理に関する機能部１
２は，身元確認手段３と利用者ＩＤ検索手段８からな
り，ＤＮ付与履歴管理テーブルへの登録処理に関する機
能部１３および公開鍵証明証管理機能部との連携に関す
る機能部１４は，それぞれＤＮ付与履歴管理テーブル登
録手段５および公開鍵証明証管理へのＤＮ情報反映手段
６から構成されている．また，システムＢは本人確認処
理を行うための利用者ＩＤ参照機能と署名検証機能を備
えている．
サービス受付手段２，利用者ＩＤ参照依頼手段７，およ
び利用者ＩＤ送付手段９が，サービス提供の窓口となる
機能部１０を構成し，利用者ＩＤ払い出し手段４とＤＮ
付与履歴管理テーブル作成手段が，サービス提供におけ
る初期化に関する機能部１１を構成している．また，Ｄ
Ｎ付与履歴管理テーブルへの参照処理に関する機能部１
２は，身元確認手段３と利用者ＩＤ検索手段８からな
り，ＤＮ付与履歴管理テーブルへの登録処理に関する機
能部１３および公開鍵証明証管理機能部との連携に関す
る機能部１４は，それぞれＤＮ付与履歴管理テーブル登
録手段５および公開鍵証明証管理へのＤＮ情報反映手段
６から構成されている．また，システムＢは本人確認処
理を行うための利用者ＩＤ参照機能と署名検証機能を備
えている．
【００５２】また，図４において，認証システム内の鎖
線で囲んだ各機能（手段）は，本発明が特徴とする構成
である．なお，丸数字は処理の流れの順序の例を示した
ものである．
線で囲んだ各機能（手段）は，本発明が特徴とする構成
である．なお，丸数字は処理の流れの順序の例を示した
ものである．
【００５３】初回ＤＮ付与申請
【００５４】利用者Ａからの最初のＤＮ付与申請が認証
システムに対して行われた場合，認証システムは，以下
の処理を行う．
システムに対して行われた場合，認証システムは，以下
の処理を行う．
【００５５】（ａ）ＤＮ付与サービス受付手段２を用い
て，申請を受け付ける．
て，申請を受け付ける．
【００５６】（ｂ）身元確認手段３を用いて，申請者の
身元確認を行う．
身元確認を行う．
【００５７】（ｃ）利用者ＩＤ払い出し手段４を用い
て，利用者Ａに対して一意かつ不変な利用者ＩＤ（この
例では１００１０）を払い出す．
て，利用者Ａに対して一意かつ不変な利用者ＩＤ（この
例では１００１０）を払い出す．
【００５８】（ｄ）ＤＮ付与履歴管理テーブル登録手段
５を用いて，利用者ＩＤ（１００１０），付与したＤＮ
（ＤＮ１），身元確認に用いた情報（例えば戸籍謄本の
情報）をＤＮ付与履歴管理テーブル100に登録する．
５を用いて，利用者ＩＤ（１００１０），付与したＤＮ
（ＤＮ１），身元確認に用いた情報（例えば戸籍謄本の
情報）をＤＮ付与履歴管理テーブル100に登録する．
【００５９】（ｅ）公開鍵証明証管理へのＤＮ情報反映
手段６を用いて，公開鍵証明証を管理する機能部（証明
証管理部；従来のＣＡシステムで実現される機能）に対
して，付与したＤＮ（ＤＮ１）を木構造に追加すること
を依頼する．
手段６を用いて，公開鍵証明証を管理する機能部（証明
証管理部；従来のＣＡシステムで実現される機能）に対
して，付与したＤＮ（ＤＮ１）を木構造に追加すること
を依頼する．
【００６０】利用者ＡからシステムＢへの申請
【００６１】利用者Ａは，において認証システムから
付与されたＤＮ（ＤＮ１）で管理される公開鍵を用いる
ことにより検証可能な電子署名を付与した申請書を，シ
ステムＢに対して送付する．
付与されたＤＮ（ＤＮ１）で管理される公開鍵を用いる
ことにより検証可能な電子署名を付与した申請書を，シ
ステムＢに対して送付する．
【００６２】システムＢにおける申請書の電子署名検
証
証
【００６３】システムＢは，従来の認証システムにおい
て実現されている公開鍵参照サービスを用いて，電子署
名の検証に必要なＤＮ（ＤＮ１）で管理される公開鍵証
明証を取得し，これを用いて，申請書が確かにＤＮ１の
保持者から送付されたものであることを確認する．
て実現されている公開鍵参照サービスを用いて，電子署
名の検証に必要なＤＮ（ＤＮ１）で管理される公開鍵証
明証を取得し，これを用いて，申請書が確かにＤＮ１の
保持者から送付されたものであることを確認する．
【００６４】利用者ＩＤ参照
【００６５】システムＢは，の署名検証に用いた公開
鍵証明証のＤＮ（ＤＮ１）が付与された利用者を識別す
るため，認証システムに対して利用者ＩＤの参照依頼を
行う．認証システムでは，以下の処理を行う．
鍵証明証のＤＮ（ＤＮ１）が付与された利用者を識別す
るため，認証システムに対して利用者ＩＤの参照依頼を
行う．認証システムでは，以下の処理を行う．
【００６６】（ａ）利用者ＩＤ参照依頼受付手段７を用
いて，システムＢからの依頼申請を受け付け，識別対象
であるＤＮ（ＤＮ１）を取得する．
いて，システムＢからの依頼申請を受け付け，識別対象
であるＤＮ（ＤＮ１）を取得する．
【００６７】（ｂ）利用者ＩＤ検索手段８を用いて，取
得したＤＮ（ＤＮ１）が付与された利用者ＩＤ（１００
１０）を，ＤＮ付与履歴管理テーブル100を検索するこ
とにより取得する．
得したＤＮ（ＤＮ１）が付与された利用者ＩＤ（１００
１０）を，ＤＮ付与履歴管理テーブル100を検索するこ
とにより取得する．
【００６８】（ｃ）利用者ＩＤ送付手段９を用いて，
（ｂ）で取得された利用者ＩＤ（１００１０）をシステ
ムＢに対して送付する．
（ｂ）で取得された利用者ＩＤ（１００１０）をシステ
ムＢに対して送付する．
【００６９】ＤＮ追加付与申請
【００７０】利用者Ａが，認証システムに対して，ＤＮ
の追加付与の申請を行った場合，認証システムは以下の
処理を行う．
の追加付与の申請を行った場合，認証システムは以下の
処理を行う．
【００７１】（ａ）ＤＮ付与サービス受付手段２を用い
て，申請を受け付ける．
て，申請を受け付ける．
【００７２】（ｂ）身元確認手段を用いて，ＤＮ付与履
歴管理テーブル100に保管されている利用者Ａの身元確
認情報を利用者ＩＤ（１００１０）をキーに参照し，こ
れと利用者Ａが提示した身元確認情報とを比較して，同
一利用者であることを確認する．
歴管理テーブル100に保管されている利用者Ａの身元確
認情報を利用者ＩＤ（１００１０）をキーに参照し，こ
れと利用者Ａが提示した身元確認情報とを比較して，同
一利用者であることを確認する．
【００７３】（ｃ）ＤＮ付与履歴管理テーブル登録手段
５を用いて，追加付与したＤＮ（ＤＮ２）をＤＮ付与履
歴管理テーブル100の登録ＤＮ欄へ追加する．
５を用いて，追加付与したＤＮ（ＤＮ２）をＤＮ付与履
歴管理テーブル100の登録ＤＮ欄へ追加する．
【００７４】（ｄ）公開鍵証明証管理へのＤＮ情報反映
手段６を用いて，公開鍵証明証を管理する機能部（証明
管理部）に対して，追加付与したＤＮ（ＤＮ２）を木構
造に追加することを依頼する．
手段６を用いて，公開鍵証明証を管理する機能部（証明
管理部）に対して，追加付与したＤＮ（ＤＮ２）を木構
造に追加することを依頼する．
【００７５】利用者ＡからシステムＢへの申請
【００７６】利用者Ａは，上記において認証システム
から付与されたＤＮ（ＤＮ２）で管理される公開鍵を用
いることにより検証可能な電子署名を付与した申請書
を，システムＢに対して送付する．
から付与されたＤＮ（ＤＮ２）で管理される公開鍵を用
いることにより検証可能な電子署名を付与した申請書
を，システムＢに対して送付する．
【００７７】システムＢにおける申請書の電子署名検
証
証
【００７８】システムＢは，上記と同様に，従来の認
証システムにおいて実現されている公開鍵参照サービス
を用いて，電子署名の検証に必要なＤＮ（ＤＮ２）で管
理される公開鍵証明証を取得し，これを用いて，申請書
が確かにＤＮ２の保持者から送付されたものであること
を確認する．
証システムにおいて実現されている公開鍵参照サービス
を用いて，電子署名の検証に必要なＤＮ（ＤＮ２）で管
理される公開鍵証明証を取得し，これを用いて，申請書
が確かにＤＮ２の保持者から送付されたものであること
を確認する．
【００７９】利用者ＩＤ参照
【００８０】システムＢは，と同様に，の署名検証
に用いた公開鍵証明証のＤＮ（ＤＮ２）を保持する利用
者を識別するため，認証システムに対して利用者ＩＤの
参照依頼を行う．認証システムでは，と同様の処理が
行われ，システムＢに対して利用者ＩＤ（１００１０）
が送付される．このときシステムＢは，の時に受信し
た利用者ＩＤ（１００１０）と同一のものであることを
確認することにより，の申請者との申請者が同一利
用者であることが確認可能となる．
に用いた公開鍵証明証のＤＮ（ＤＮ２）を保持する利用
者を識別するため，認証システムに対して利用者ＩＤの
参照依頼を行う．認証システムでは，と同様の処理が
行われ，システムＢに対して利用者ＩＤ（１００１０）
が送付される．このときシステムＢは，の時に受信し
た利用者ＩＤ（１００１０）と同一のものであることを
確認することにより，の申請者との申請者が同一利
用者であることが確認可能となる．
【００８１】以上，本発明による手段を用いることによ
り，公開鍵証明証を用いて通信相手の本人確認処理を行
う利用者が，署名検証に用いた公開鍵証明証のＤＮか
ら，その通信相手を一意に指し示す情報を認証システム
から取得することが可能となり，申請に用いたＤＮに依
存することなく通信相手の本人識別が可能となる．
り，公開鍵証明証を用いて通信相手の本人確認処理を行
う利用者が，署名検証に用いた公開鍵証明証のＤＮか
ら，その通信相手を一意に指し示す情報を認証システム
から取得することが可能となり，申請に用いたＤＮに依
存することなく通信相手の本人識別が可能となる．
【００８２】なお，上述した各手段および各システム
は，ワークステーション，パーソナルコンピュータ等の
電子計算機を用いて実現することができる．また，その
際に本発明の方法，方式を実現するプログラムは，磁気
媒体，光磁気媒体に記録して，あるいはコンピュータネ
ットワークを介して，配布することが可能である．
は，ワークステーション，パーソナルコンピュータ等の
電子計算機を用いて実現することができる．また，その
際に本発明の方法，方式を実現するプログラムは，磁気
媒体，光磁気媒体に記録して，あるいはコンピュータネ
ットワークを介して，配布することが可能である．
【００８３】
【発明の効果】以上の説明から明らかなように，本発明
の方法とそれを実現する手段を用いることによって，公
開鍵証明証を用いて通信相手の本人確認処理を行う利用
者が，署名検証に用いた公開鍵証明証のＤＮから，その
通信相手を一意に指し示す情報を認証システムから取得
することが可能となるため，ＤＮに依存しない利用者単
位の本人識別が可能となり，通信相手のＤＮが変更され
たり，通信相手に複数のＤＮが付与されている場合にお
いても，それらのＤＮを保持する通信相手が同一の通信
相手であることを確認することが可能となる．
の方法とそれを実現する手段を用いることによって，公
開鍵証明証を用いて通信相手の本人確認処理を行う利用
者が，署名検証に用いた公開鍵証明証のＤＮから，その
通信相手を一意に指し示す情報を認証システムから取得
することが可能となるため，ＤＮに依存しない利用者単
位の本人識別が可能となり，通信相手のＤＮが変更され
たり，通信相手に複数のＤＮが付与されている場合にお
いても，それらのＤＮを保持する通信相手が同一の通信
相手であることを確認することが可能となる．
【図１】 本発明における本人認証方法を示すシステム
フローである．
フローである．
【図２】 本発明におけるＤＮの付与履歴を管理するた
めに必要となる各手段を示したシステムフローである．
めに必要となる各手段を示したシステムフローである．
【図３】 本発明において管理されるＤＮ付与履歴管理
情報を利用者に対して提供するための手段を示したシス
テムフローである．
情報を利用者に対して提供するための手段を示したシス
テムフローである．
【図４】 本発明が具体的に使われる様子の例を示した
システムフローである．
システムフローである．
【図５】 ディレクトリ内において構成される木構造の
例を示した図である．
例を示した図である．
【図６】 公開鍵証明証が木構造で管理される例を示し
た図である．
た図である．
【図７】 同一人物に対して異なるＤＮが付与された場
合の問題について示した図である．
合の問題について示した図である．
１…ＤＮ付与履歴管理テーブル作成手段
２…ＤＮ付与サービス受付手段
３…身元確認手段
４…利用者ＩＤ払い出し手段
５…ＤＮ付与履歴管理テーブル登録手段
６…公開鍵証明証管理へのＤＮ情報反映手段
７…利用者ＩＤ参照依頼受付手段
８…利用者ＩＤ検索手段
９…利用者ＩＤ送付手段
１０…サービス提供の窓口となる機能部
１１…サービス提供における初期化に関する機能部
１２…ＤＮ付与履歴管理テーブルへの参照処理に関する
機能部 １３…ＤＮ付与履歴管理テーブルへの登録処理に関する
機能部 １４…公開鍵証明証管理機能部との連携に関する機能部
機能部 １３…ＤＮ付与履歴管理テーブルへの登録処理に関する
機能部 １４…公開鍵証明証管理機能部との連携に関する機能部
─────────────────────────────────────────────────────
フロントページの続き
(58)調査した分野(Int.Cl.7，ＤＢ名)
H04L 9/08
H04L 9/32
ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (5)
- 【請求項１】 認証システムにおいて，各利用者に対し
て付与したＤＮ（Distinguished Name）の履歴を管理
し，各ＤＮが付与された利用者を識別する情報を提供す
ることにより，コンピュータネットワーク上での公開鍵
証明証を用いた本人確認の際に，公開鍵証明証の所有者
識別子であるＤＮから，通信相手の利用者を一意に識別
することが可能となる本人認証方法を実現するため， システム初期生成処理において，ＤＮ付与履歴管理テー
ブル作成手段を用いて各利用者に対して付与したＤＮの
履歴を管理するためのＤＮ付与履歴管理テーブルを作成
し， 利用者からのＤＮ初回付与／ＤＮ追加付与／ＤＮ無効化
／ＤＮ変更依頼受付処理において，ＤＮ付与サービス受
付手段を用いて利用者からの依頼を受け付け， 利用者の身元確認処理において，身元確認手段を用い
て，ＤＮ初回付与の依頼の場合には確認した身元確認情
報を前記テーブルに格納し，ＤＮ追加付与／ＤＮ無効化
／ＤＮ変更の依頼の場合には利用者が提示した身元確認
情報が前記ＤＮ付与履歴管理テーブル内の身元確認情報
と一致することによってその本人性を確認し，ＤＮ初回付与の依頼の場合には， 利用者ＩＤ払い出し処
理において，利用者ＩＤ払い出し手段を用いて利用者に
対して一意かつ不変な利用者ＩＤを払い出し， ＤＮ付与履歴管理テーブル登録処理において，ＤＮ付与
履歴管理テーブル登録手段を用いて，ＤＮ初回付与の依
頼の場合には付与したＤＮの情報を前記ＤＮ付与履歴管
理テーブルに保存し，ＤＮ追加付与の依頼の場合には追
加付与したＤＮの情報を前記ＤＮ付与履歴管理テーブル
に保存し，ＤＮ無効化の依頼の場合には前記ＤＮ付与履
歴管理テーブル内に登録されている対象ＤＮを無効ＤＮ
の欄へ移動させ，ＤＮ変更の依頼の場合には前記ＤＮ付
与履歴管理テーブル内に登録されている変更前のＤＮを
無効ＤＮの欄へ移動させるとともに変更後のＤＮを前記
ＤＮ付与履歴管理テーブルに登録し， 公開鍵証明証の管理情報への反映処理において，公開鍵
証明証管理へのＤＮ情報反映手段を用いてＤＮ付与履歴
管理テーブルに登録されたＤＮ情報を，公開鍵証明証を
管理する機能部に対して通知し，これを公開鍵証明証を
管理する木構造に反映させることにより，利用者に対し
て付与したＤＮを管理することを特徴とするＤＮ情報管
理システム． - 【請求項２】 請求項１記載のＤＮ情報管理システムに
おいて， 利用者ＩＤ参照依頼受付処理において，利用者ＩＤ参照
依頼受付手段を用いて本人確認処理を行う利用者からの
利用者ＩＤ参照依頼を受け付けて参照対象ＤＮを取得
し， 利用者ＩＤ検索処理において，利用者ＩＤ検索手段を用
いて取得したＤＮが付与されている利用者の利用者ＩＤ
を，ＤＮ履歴管理テーブル内を検索して取得し， 結果送付処理において，利用者ＩＤ送付手段を用いて取
得した利用者ＩＤを依頼者に対して送付することによ
り，任意のＤＮに対してこれが付与された利用者を一意
に指し示す情報を，本人確認処理を行う利用者に対して
提供可能とすることを特徴とするＤＮ情報管理システ
ム． - 【請求項３】 認証システムにおける認証方法におい
て，各利用者に対して付与したＤＮ（Distinguished Na
me）の履歴を管理し，各ＤＮが付与された利用者を識別
する情報を提供することにより，コンピュータネットワ
ーク上での公開鍵証明証を用いた本人確認の際に，公開
鍵証明証の所有者識別子であるＤＮから，通信相手の利
用者を一意に識別することが可能となる本人認証方法を
実現するため， システム初期生成処理において，ＤＮ付与履歴管理テー
ブル作成手段を用いて各利用者に対して付与したＤＮの
履歴を管理するためのテーブルを作成し， 利用者からのＤＮ初回付与／ＤＮ追加付与／ＤＮ無効化
／ＤＮ変更依頼受付処理において，ＤＮ付与サービス受
付手段を用いて利用者からの依頼を受け付け， 利用者の身元確認処理において，身元確認手段を用い
て，ＤＮ初回付与の依頼の場合には確認した身元確認情
報を前記テーブルに格納し，ＤＮ追加付与／ＤＮ無効化
／ＤＮ変更の依頼の場合には利用者が提示した身元確認
情報が前記ＤＮ付与履歴管理テーブル内の身元確認情報
と一致することによってその本人性を確認し，ＤＮ初回付与の依頼の場合には， 利用者ＩＤ払い出し処
理において，利用者ＩＤ払い出し手段を用いて利用者に
対して一意かつ不変な利用者ＩＤを払い出し， ＤＮ付与履歴管理テーブル登録処理において，ＤＮ付与
履歴管理テーブル登録手段を用いて，ＤＮ初回付与の依
頼の場合には付与したＤＮの情報を前記ＤＮ付与履歴管
理テーブルに保存し，ＤＮ追加付与の依頼の場合には追
加付与したＤＮの情報を前記ＤＮ付与履歴管理テーブル
に保存し，ＤＮ無効化の依頼の場合には前記ＤＮ付与履
歴管理テーブル内に登録されている対象ＤＮを無効ＤＮ
の欄へ移動させ，ＤＮ変更の依頼の場合には前記ＤＮ付
与履歴管理テーブル内に登録されている変更前のＤＮを
無効ＤＮの欄へ移動させるとともに変更後のＤＮを前記
ＤＮ付与履歴管理テーブルに登録し， 公開鍵証明証の管理情報への反映処理において，公開鍵
証明証管理へのＤＮ情報反映手段を用いてＤＮ付与履歴
管理テーブルに登録されたＤＮ情報を，公開鍵証明証を
管理する機能部に対して通知し，これを公開鍵証明証を
管理する木構造に反映させることにより，利用者に対し
て付与したＤＮを管理することを特徴とするＤＮ情報管
理方法． - 【請求項４】 請求項３記載のＤＮ情報管理方法におい
て， 利用者ＩＤ参照依頼受付処理において，利用者ＩＤ参照
依頼受付手段を用いて本人確認処理を行う利用者からの
利用者ＩＤ参照依頼を受け付けて参照対象ＤＮを取得
し， 利用者ＩＤ検索処理において，利用者ＩＤ検索手段を用
いて取得したＤＮが付与されている利用者の利用者ＩＤ
を，ＤＮ履歴管理テーブル内を検索して取得し， 結果送付処理において，利用者ＩＤ送付手段を用いて取
得した利用者ＩＤを依頼者に対して送付することによ
り，任意のＤＮに対してこれが付与された利用者を一意
に指し示す情報を，本人確認処理を行う利用者に対して
提供可能とすることを特徴とするＤＮ情報管理方法． - 【請求項５】 請求項１〜４のいずれか１項に記載のＤ
Ｎ情報管理方法またはＤＮ情報管理システムをコンピュ
ータを用いて実現する際に該コンピュータで実行される
プログラムを記録した計算機読み取り可能な記録媒体．
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP09640398A JP3396162B2 (ja) | 1998-04-08 | 1998-04-08 | 認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP09640398A JP3396162B2 (ja) | 1998-04-08 | 1998-04-08 | 認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH11298469A JPH11298469A (ja) | 1999-10-29 |
| JP3396162B2 true JP3396162B2 (ja) | 2003-04-14 |
Family
ID=14164006
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP09640398A Expired - Fee Related JP3396162B2 (ja) | 1998-04-08 | 1998-04-08 | 認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3396162B2 (ja) |
Families Citing this family (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20000072644A (ko) * | 2000-09-16 | 2000-12-05 | 최선정 | 외부인에 의한 사용자 계정의 침입 감지 및 계정내 정보보호 방법 |
| KR20020095815A (ko) * | 2001-06-15 | 2002-12-28 | (주) 비씨큐어 | 인증서 기반의 전자 신분증 발급 시스템 및 방법 |
| WO2003105002A1 (ja) * | 2002-06-11 | 2003-12-18 | 株式会社帝国データバンク | 汎用的組織内個人認証システム |
| US10003459B2 (en) | 2013-04-30 | 2018-06-19 | Sony Corporation | Information processing device, wireless communication system, information processing method, and program |
| JP2020028128A (ja) * | 2018-08-14 | 2020-02-20 | 株式会社ｂｉｔＦｌｙｅｒ Ｂｌｏｃｋｃｈａｉｎ | 電子署名を確認するための装置、方法及びそのためのプログラム |
| WO2020036208A1 (ja) * | 2018-08-14 | 2020-02-20 | 株式会社ｂｉｔＦｌｙｅｒ Ｂｌｏｃｋｃｈａｉｎ | 電子署名を確認するための装置、方法及びそのためのプログラム |
| JP6706451B2 (ja) * | 2019-01-19 | 2020-06-10 | 株式会社ｂｉｔＦｌｙｅｒ Ｂｌｏｃｋｃｈａｉｎ | 電子署名を確認するための装置、方法及びそのためのプログラム |
-
1998
- 1998-04-08 JP JP09640398A patent/JP3396162B2/ja not_active Expired - Fee Related
Non-Patent Citations (1)
| Title |
|---|
| ディジタル署名と暗号技術，株式会社プレンティスホール出版，１９９７年１２月２４日，初版，ｐ．２１５−３３３ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH11298469A (ja) | 1999-10-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7383434B2 (en) | System and method of looking up and validating a digital certificate in one pass | |
| US6553493B1 (en) | Secure mapping and aliasing of private keys used in public key cryptography | |
| US6941476B2 (en) | Information storage | |
| US6892300B2 (en) | Secure communication system and method of operation for conducting electronic commerce using remote vault agents interacting with a vault controller | |
| US20030145223A1 (en) | Controlled access to credential information of delegators in delegation relationships | |
| US20030163701A1 (en) | Method and apparatus for public key cryptosystem | |
| US20220173891A1 (en) | Apparatus and method for managing personal information | |
| US20100043064A1 (en) | Method and system for protecting sensitive information and preventing unauthorized use of identity information | |
| CA2408589A1 (en) | Url-based certificate in a pki | |
| EP1162780B1 (en) | System and method for cross directory authentication in a public key infrastructure | |
| JP2004514988A (ja) | サービスへの匿名アクセス | |
| KR20110056997A (ko) | 아이덴티티 관리서버, 시스템 및 관리 방법 | |
| US11985252B1 (en) | Resolving and managing blockchain domains | |
| KR100731491B1 (ko) | 인증서 폐지목록 분산 관리 방법 | |
| RU2373572C2 (ru) | Система и способ для разрешения имен | |
| US7013388B2 (en) | Vault controller context manager and methods of operation for securely maintaining state information between successive browser connections in an electronic business system | |
| JP2002513522A (ja) | ユーザ制御の匿名通信を確立しかつ維持する方法およびシステム | |
| JP3396162B2 (ja) | 認証システムおよび認証方法ならびに該システムまたは方法を実現するためのプログラムを記録した記録媒体 | |
| US6611916B1 (en) | Method of authenticating membership for providing access to a secure environment by authenticating membership to an associated secure environment | |
| CN111914024B (zh) | 证书存储和查询区块链构建方法、装置、系统、查询方法 | |
| WO2001061920A1 (en) | The method and the system for accessing multiple services using a single identifier | |
| JP3946808B2 (ja) | 認証システムにおける利用者情報管理装置 | |
| WO2007097514A1 (en) | Apparatus and method for issuing certificate with user's consent | |
| KR100243404B1 (ko) | 인터넷 웹 기반의 인증국 인증서 취소 목록 실시간 조회 방법과그 시스템 | |
| JPH10276186A (ja) | 認証システムにおける公開鍵証明証の有効期限通知方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080207 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090207 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090207 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100207 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110207 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110207 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120207 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130207 Year of fee payment: 10 |
|
| LAPS | Cancellation because of no payment of annual fees |