JP3883756B2 - 認証局装置並びに認証局装置の制御方法及び認証局装置の制御方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 - Google Patents
認証局装置並びに認証局装置の制御方法及び認証局装置の制御方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 Download PDFInfo
- Publication number
- JP3883756B2 JP3883756B2 JP26509999A JP26509999A JP3883756B2 JP 3883756 B2 JP3883756 B2 JP 3883756B2 JP 26509999 A JP26509999 A JP 26509999A JP 26509999 A JP26509999 A JP 26509999A JP 3883756 B2 JP3883756 B2 JP 3883756B2
- Authority
- JP
- Japan
- Prior art keywords
- service
- application
- applicant
- certificate authority
- certificate
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 238000000034 method Methods 0.000 title claims description 15
- 238000012795 verification Methods 0.000 claims description 8
- 238000010586 diagram Methods 0.000 description 9
- 230000008520 organization Effects 0.000 description 5
- 238000006243 chemical reaction Methods 0.000 description 2
- 239000000284 extract Substances 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、公開鍵暗号を利用するシステムにおいて、公開鍵と公開鍵の持ち主を証明するために公開鍵証明書を発行し、利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ：Certification Authority）に関するものである。
【０００２】
【従来の技術】
認証局（ＣＡ）は利用者からの申請に基づき、本人であることを確認した上で、証明書の発行、無効化を行う。通常、利用者の証明書が勝手に変更されてはならないので、申請者が、他の利用者の証明書の発行や無効化を認証局（ＣＡ）に申請しても認証局（ＣＡ）は、証明書の発行や無効化を許さないようにしている。
【０００３】
しかし、新規に認証局（ＣＡ）システムを導入するなど組織の構成員全員に証明書を発行する必要がある場合や、組織改変に伴う多数の利用者の証明書の無効化、発行を行う場合には、個々の利用者が証明書の変更（無効化、発行）を認証局（ＣＡ）に対して行うのは、個々の利用者に申請手続きの負担がかかることや、個々の利用者が申請をし忘れる可能性があり、問題である。
【０００４】
個々の利用者が個別に認証局（ＣＡ）に対して申請を行うよりは、特定の利用者がまとめて証明書の変更を行う方が効率的であるが、従来の認証局（ＣＡ）では、利用者は、他の利用者の証明者の変更を行うことができなかった。
【０００５】
【発明が解決しようとする課題】
本発明は、このような状況を鑑み、認証局（ＣＡ）があらかじめ定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などの認証局（ＣＡ）が行うサービス（ＣＡサービス）を可能とする認証局（ＣＡ）および認証局（ＣＡ）制御方法を実現したものである。
【０００６】
【課題を解決するための手段】
上記目的を達成するために、本発明にあっては、利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ）において、
申請書を作成した利用者（申請者）を表す申請者識別名Ａと、該申請書によりＣＡサービスを受ける利用者（サービス対象者）を表すサービス対象者識別名Ｂと、該申請書により上記認証局（ＣＡ）に実行を要求するＣＡサービスの種別を表すサービス種別Ｃと、
該申請書の申請者のディジタル署名Ｄと、を含む申請者からの上記申請書を受付けて、受付けた該申請書の上記申請者識別名Ａをキーとして、上記認証局（ＣＡ）が保持する上記証明書データベースから、該申請者の公開鍵証明書を検索し、検索した上記公開鍵証明書で受付けた該申請書の上記ディジタル署名Ｄを署名検証し、受け付けた該申請書が、上記申請者識別名Ａで表される申請者によって作成されたものであることを検証し、受付けた該申請書が、上記申請者識別名Ａで表される申請者によって作成されたものであると検証された場合に、該申請書の上記申請者識別名Ａと、該申請書の上記サービス対象者識別名Ｂとが一致するか否かを比較し、該申請書の上記サービス対象者識別名Ｂとが一致しなかった場合に、予め定義したサービス許可条件定義を参照して、該申請書のサービス種別Ｃで表されるＣＡサービスの実行の可否を判定し、該申請書の申請者識別名Ａと該申請書のサービス対象者識別名Ｂとが一致した場合、および、該申請書のサービス種別Ｃで表されるＣＡサービスの実行が可と判定された場合に、該申請書のサービス対象者識別名Ｂで表されるサービス対象者に対して、該申請書のサービス種別Ｃで表されるＣＡサービスを実行することにより、
認証局（ＣＡ）が予め定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などのＣＡサービスを行うことができる認証局及び認証局制御方法を実現することができる。
【０００７】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態について説明する。
図１は、認証局（ＣＡ）の構成を示すブロック図である。
認証局（ＣＡ）１は、申請書署名検証手段２、証明書データベース2-1、申請者・対象者比較手段３、サービス可否判定手段４、サービス許可条件定義4-1、サービス実行手段５とから構成される。
【０００８】
申請書署名検証手段２は、証明書データベース2-1をもとに、申請者からの申請の検証結果を申請者・対象者比較手段３に通知する。
申請者・対象者比較手段３は、申請者・対象者が同一か比較し、比較結果をサービス可否判定手段４とサービス実行手段５に通知する。
サービス可否判定手段４は、サービス許可条件定義4-1をもとにサービス可否を判定し、サービス実行手段５に通知する。
また、サービス実行手段５はＣＡサービスを実行する。
【０００９】
図２は、認証局（ＣＡ）が保持する証明書データベースの例である。
この例では、利用者識別名（DN:Distinguished Name）が「c=jp; o=Acorp; ou=manage; cn=suzuki」である証明書１、「c=jp; o=Acorp; ou=sales; cn=sato」である証明書２、「c=jp; o=Acorp; ou=sales; cn=tanaka」である証明書３、「c=jp; o=Acorp; ou=develop; cn=fujiwara」である証明書４の、４つの証明書を保持している。
【００１０】
図３は、認証局（ＣＡ）が保持するサービス許可条件定義の例である。
認証局（ＣＡ）は、予め、このサービス許可条件を定義しておく。
この例では、
申請者の指定の仕方としては、
・利用者識別名（DN）を指定する
・DNの要素の条件を指定する
・申請者欄の他の欄に該当しなかったその他の申請者を表す場合には「default」を入れる
のいずれかで指定している。
【００１１】
サービス対象者の指定の仕方としては
・DNを指定する
・DNの要素の条件を指定する
・サービス対象者の他の欄に該当しなかったその他のサービス対象者を表す場合には「default」を入れる
・すべてのサービス対象者を表す場合には「all」を入れる
のいずれかで指定している。
【００１２】
サービス可否欄が「１」の場合はサービスを許可し、「０」の場合は許可しないことを表す。
具体的に図３のサービス許可条件定義は、
DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」で、かつ、組織単位を表す「ou」が「manage」である申請者は、DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」である利用者（サービス対象者）に対して、証明書の発行、参照のＣＡサービスが許可されており、「c=jpかつo=Acorp」以外である利用者（サービス対象者）に対しては、参照のＣＡサービスのみ許可されていることを表す。
【００１３】
DNが「c=jp; o=Acorp; ou=sales; cn=sato」である申請者は、DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」で、かつ、組織単位を表す「ou」が「sales」である利用者（サービス対象者）に対して、証明書の発行、無効化、参照のＣＡサービスが許可されており、「c=jpかつo=Acorpかつou=sales」以外である利用者（サービス対象者）に対しては、参照のサービスのみ許可されていることを示す。
【００１４】
DNの要素が 「c=jpかつo=Acorpかつou=manage」でもなく、DNが「c=jp; o=Acorp; ou=sales; cn=sato」でもない申請者は、すべての利用者に対して証明書参照のサービスが許可されていることを示す。
図４は、申請書の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=sales; cn=sato」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=sales; cn=tanaka」であり、
サービス種別は「無効化」であり、
申請者のディジタル署名がなされていることを示している。
【００１５】
図５は、申請書の他の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=manage; cn=suzuki」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=develop; cn=yamada」であり、
サービス種別は「発行」であり、
サービス対象者の公開鍵を含んでおり、
申請者のディジタル署名がなされていることを示している。
【００１６】
図６は、申請書の他の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=develop; cn=fujiwara」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=manage; cn=suzuki」であり、
サービス種別は「無効化」であり、
申請者のディジタル署名がなされていることを示している。
【００１７】
図７は、申請者の処理を表すフローチャートである。
s1-1 申請者は申請書を作成する。
s1-2 作成した申請書を認証局（ＣＡ）に送信する。
s1-3 終了。
図８は、認証局（ＣＡ）の処理を表すフローチャートである。
s2-1 認証局（ＣＡ）は、申請者から申請書を受け取る。
s2-2 申請者の申請者識別名をキーとして、認証局（ＣＡ）が保持する証明書データベースから、申請者の公開鍵証明書を検索する。
s2-3 検索した公開鍵証明書で申請書の前記ディジタル署名を署名検証する。
s2-4 申請書が、申請者識別名で表される申請者によって作成されたものであるか否かを判断する。申請書が申請者識別名で表される申請者によって作成されたものでなければ終了する。
s2-5 申請者が、申請者識別名で表される申請者によって作成されたものであれば、サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるか比較する。
s2-6 サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるか否かを判断する。サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるならば、s2-9サービス対象者＝申請者に対してサービス種別で表されるサービスを実行する。
s2-7 サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が異なるならば、サービス許可条件定義を参照することにより、申請書記載のサービス種別で表されるサービスの実行可否を判定する。
s2-8 申請書記載のサービス種別で表されるサービスの実行可能であるか否かを判断する。実行不可ならば、s2-10サービスを実行することなく終了する。
s2-9 申請書記載のサービス種別で表されるサービスの実行可能ならば、サービス対象者に対して、サービス種別で表されるサービスを実行する。
s2-10 終了。
【００１８】
認証局（ＣＡ）が図４に示される申請書（申請者識別名：c=jp; o=Acorp; ou=sales; cn=sato、
サービス対象者識別名：c=jp; o=Acorp; ou=sales; cn=tanaka、サービス種別：無効化、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=sales; cn=sato」に対応する証明書２を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書２を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」で表される申請者によって作成されたものであれば、申請者識別名である「c=jp; o=Acorp; ou=sales; cn=sato」と、サービス対象者識別名である「c=jp; o=Acorp; ou=sales; cn=tanaka」とを比較し、一致しないので、サービス許可条件定義を参照し、サービス許可条件定義の申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」のレコードを見ると、サービス対象者識別名「c=jp; o=Acorp; ou=sales; cn=tanaka」は、「c=jpかつo=Acorpかつou=sales」の条件を満たしており、このレコードのサービス可否を見ると、無効化は許可されているので、認証局（ＣＡ）は、サービス対象者「c=jp; o=Acorp; ou=sales; cn=tanaka」の証明書の無効化を行う。
【００１９】
認証局（ＣＡ）が図５で示される申請書（申請者識別名：c=jp; o=Acorp; ou=manage; cn=suzuki、サービス対象者識別名：c=jp; o=Acorp; ou=develop; cn=yamada、サービス種別：発行、 サービス対象者の公開鍵、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」に対応する証明書１を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書１を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」で表される申請者によって作成されたものであれば、
申請者識別名である「c=jp; o=Acorp; ou=manage; cn=suzuki」と、サービス対象者識別名である「c=jp; o=Acorp; ou=develop; cn=yamada」とを比較し、一致しないので、サービス許可条件定義を参照し、
サービス許可条件定義の申請者を見ると、申請者DN「c=jp; o=Acorp; ou=manage; cn=suzuki」は、申請者の条件「c=jpかつo=Acorpかつou=manage」にあてはまるので、該当するレコードを見ると、サービス対象者識別名「c=jp; o=Acorp; ou=develop; cn=yamada」は、「c=jpかつo=Acorp」の条件を満たしており、このレコードのサービス可否を見ると、発行は許可されているので、認証局（ＣＡ）は、申請書からサービス対象者の公開鍵を取り出し、サービス対象者「c=jp; o=Acorp; ou=develop; cn=yamada」の公開鍵証明書の発行を行う。
【００２０】
認証局（ＣＡ）が図６で示される申請書（申請者識別名：c=jp; o=Acorp; ou=develop; cn=fujiwara、サービス対象者識別名：c=jp; o=Acorp; ou=manage; cn=suzuki、サービス種別：無効化、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」に対応する証明書４を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書４を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」で表される申請者によって作成されたものであれば、
申請者識別名である「c=jp; o=Acorp; ou=develop; cn=fujiwara」と、サービス対象者識別名である「c=jp; o=Acorp; ou=manage; cn=suzuki」とを比較し、一致しないので、サービス許可条件定義を参照し、
申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」は、「c=jpかつo=Acorpかつou=manage」ではなく、「c=jp; o=Acorp; ou=sales; cn=sato」でもないので、「default」レコードを見ると、「all」、すなわち、すべてのサービス対象者に対して、無効化は許可されていないので、認証局（ＣＡ）は、無効化を行うことなく、処理を終了する。
【００２１】
図９は、本発明を適用した認証局（ＣＡ）システムのコンピュータハードウェア構成例を示すブロック図を示す。
この認証局（ＣＡ）システムは、ＣＰＵやメモリ等を有するコンピュータ10と、アクセス主体となるユーザが利用する利用者端末11と、記録媒体12とから構成される。
【００２２】
記録媒体12は、CD-ROM、磁気ディスク装置、半導体メモリ等のコンピュータが読み取り可能な記録媒体12であり、ここに記録されたプログラムはコンピュータ10に読み取られ、コンピュータ10の動作を制御し、本発明の実施の形態を実現する。
【００２３】
【発明の効果】
以上説明したように本発明は上記記載の構成を備えることにより次の効果を奏するものである。
１、認証局（ＣＡ）は、認証局（ＣＡ）が予め定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などのＣＡサービスを行うことができる。
２、新規に認証局（ＣＡ）システムを導入するなど組織の構成員全員に証明書を発行する必要がある場合や、組織改変に伴う多数の利用者の証明書の無効化、発行を行う場合においては、特定の利用者が、認証局（ＣＡ）に対して、まとめて証明書の変更申請を行うことができる。
３、個々の利用者が個別に認証局（ＣＡ）に対して申請を行う場合に比べて、個々の利用者に申請手続きの負担をかけることなく、個々の利用者の申請のし忘れを防げるので、効率的である。
【図面の簡単な説明】
【図１】認証局（ＣＡ）の構成を表すブロック図。
【図２】認証局（ＣＡ）が保持する証明書データベースの例を示す図。
【図３】認証局（ＣＡ）が保持するサービス許可条件定義の例を示す図。
【図４】申請書の例を示す図。
【図５】申請書の他の例を示す図。
【図６】申請書の他の例を示す図。
【図７】申請者の処理を表すフローチャート。
【図８】認証局（ＣＡ）の処理を表すフローチャート。
【図９】 本発明を適用した認証局（ＣＡ）システムのハードウェア構成例を示すブロック図。
【符号の説明】
１ 認証局（ＣＡ）
２ 申請書署名検証手段
2-1 証明書データベース
３ 申請者・対象者比較手段
４ サービス可否判定手段
4-1 サービス許可条件定義
５ サービス実行手段
【発明の属する技術分野】
本発明は、公開鍵暗号を利用するシステムにおいて、公開鍵と公開鍵の持ち主を証明するために公開鍵証明書を発行し、利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ：Certification Authority）に関するものである。
【０００２】
【従来の技術】
認証局（ＣＡ）は利用者からの申請に基づき、本人であることを確認した上で、証明書の発行、無効化を行う。通常、利用者の証明書が勝手に変更されてはならないので、申請者が、他の利用者の証明書の発行や無効化を認証局（ＣＡ）に申請しても認証局（ＣＡ）は、証明書の発行や無効化を許さないようにしている。
【０００３】
しかし、新規に認証局（ＣＡ）システムを導入するなど組織の構成員全員に証明書を発行する必要がある場合や、組織改変に伴う多数の利用者の証明書の無効化、発行を行う場合には、個々の利用者が証明書の変更（無効化、発行）を認証局（ＣＡ）に対して行うのは、個々の利用者に申請手続きの負担がかかることや、個々の利用者が申請をし忘れる可能性があり、問題である。
【０００４】
個々の利用者が個別に認証局（ＣＡ）に対して申請を行うよりは、特定の利用者がまとめて証明書の変更を行う方が効率的であるが、従来の認証局（ＣＡ）では、利用者は、他の利用者の証明者の変更を行うことができなかった。
【０００５】
【発明が解決しようとする課題】
本発明は、このような状況を鑑み、認証局（ＣＡ）があらかじめ定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などの認証局（ＣＡ）が行うサービス（ＣＡサービス）を可能とする認証局（ＣＡ）および認証局（ＣＡ）制御方法を実現したものである。
【０００６】
【課題を解決するための手段】
上記目的を達成するために、本発明にあっては、利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ）において、
申請書を作成した利用者（申請者）を表す申請者識別名Ａと、該申請書によりＣＡサービスを受ける利用者（サービス対象者）を表すサービス対象者識別名Ｂと、該申請書により上記認証局（ＣＡ）に実行を要求するＣＡサービスの種別を表すサービス種別Ｃと、
該申請書の申請者のディジタル署名Ｄと、を含む申請者からの上記申請書を受付けて、受付けた該申請書の上記申請者識別名Ａをキーとして、上記認証局（ＣＡ）が保持する上記証明書データベースから、該申請者の公開鍵証明書を検索し、検索した上記公開鍵証明書で受付けた該申請書の上記ディジタル署名Ｄを署名検証し、受け付けた該申請書が、上記申請者識別名Ａで表される申請者によって作成されたものであることを検証し、受付けた該申請書が、上記申請者識別名Ａで表される申請者によって作成されたものであると検証された場合に、該申請書の上記申請者識別名Ａと、該申請書の上記サービス対象者識別名Ｂとが一致するか否かを比較し、該申請書の上記サービス対象者識別名Ｂとが一致しなかった場合に、予め定義したサービス許可条件定義を参照して、該申請書のサービス種別Ｃで表されるＣＡサービスの実行の可否を判定し、該申請書の申請者識別名Ａと該申請書のサービス対象者識別名Ｂとが一致した場合、および、該申請書のサービス種別Ｃで表されるＣＡサービスの実行が可と判定された場合に、該申請書のサービス対象者識別名Ｂで表されるサービス対象者に対して、該申請書のサービス種別Ｃで表されるＣＡサービスを実行することにより、
認証局（ＣＡ）が予め定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などのＣＡサービスを行うことができる認証局及び認証局制御方法を実現することができる。
【０００７】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態について説明する。
図１は、認証局（ＣＡ）の構成を示すブロック図である。
認証局（ＣＡ）１は、申請書署名検証手段２、証明書データベース2-1、申請者・対象者比較手段３、サービス可否判定手段４、サービス許可条件定義4-1、サービス実行手段５とから構成される。
【０００８】
申請書署名検証手段２は、証明書データベース2-1をもとに、申請者からの申請の検証結果を申請者・対象者比較手段３に通知する。
申請者・対象者比較手段３は、申請者・対象者が同一か比較し、比較結果をサービス可否判定手段４とサービス実行手段５に通知する。
サービス可否判定手段４は、サービス許可条件定義4-1をもとにサービス可否を判定し、サービス実行手段５に通知する。
また、サービス実行手段５はＣＡサービスを実行する。
【０００９】
図２は、認証局（ＣＡ）が保持する証明書データベースの例である。
この例では、利用者識別名（DN:Distinguished Name）が「c=jp; o=Acorp; ou=manage; cn=suzuki」である証明書１、「c=jp; o=Acorp; ou=sales; cn=sato」である証明書２、「c=jp; o=Acorp; ou=sales; cn=tanaka」である証明書３、「c=jp; o=Acorp; ou=develop; cn=fujiwara」である証明書４の、４つの証明書を保持している。
【００１０】
図３は、認証局（ＣＡ）が保持するサービス許可条件定義の例である。
認証局（ＣＡ）は、予め、このサービス許可条件を定義しておく。
この例では、
申請者の指定の仕方としては、
・利用者識別名（DN）を指定する
・DNの要素の条件を指定する
・申請者欄の他の欄に該当しなかったその他の申請者を表す場合には「default」を入れる
のいずれかで指定している。
【００１１】
サービス対象者の指定の仕方としては
・DNを指定する
・DNの要素の条件を指定する
・サービス対象者の他の欄に該当しなかったその他のサービス対象者を表す場合には「default」を入れる
・すべてのサービス対象者を表す場合には「all」を入れる
のいずれかで指定している。
【００１２】
サービス可否欄が「１」の場合はサービスを許可し、「０」の場合は許可しないことを表す。
具体的に図３のサービス許可条件定義は、
DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」で、かつ、組織単位を表す「ou」が「manage」である申請者は、DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」である利用者（サービス対象者）に対して、証明書の発行、参照のＣＡサービスが許可されており、「c=jpかつo=Acorp」以外である利用者（サービス対象者）に対しては、参照のＣＡサービスのみ許可されていることを表す。
【００１３】
DNが「c=jp; o=Acorp; ou=sales; cn=sato」である申請者は、DNの要素のうち、国を表す「c」が「jp」で、かつ、組織を表す「o」が「Acorp」で、かつ、組織単位を表す「ou」が「sales」である利用者（サービス対象者）に対して、証明書の発行、無効化、参照のＣＡサービスが許可されており、「c=jpかつo=Acorpかつou=sales」以外である利用者（サービス対象者）に対しては、参照のサービスのみ許可されていることを示す。
【００１４】
DNの要素が 「c=jpかつo=Acorpかつou=manage」でもなく、DNが「c=jp; o=Acorp; ou=sales; cn=sato」でもない申請者は、すべての利用者に対して証明書参照のサービスが許可されていることを示す。
図４は、申請書の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=sales; cn=sato」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=sales; cn=tanaka」であり、
サービス種別は「無効化」であり、
申請者のディジタル署名がなされていることを示している。
【００１５】
図５は、申請書の他の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=manage; cn=suzuki」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=develop; cn=yamada」であり、
サービス種別は「発行」であり、
サービス対象者の公開鍵を含んでおり、
申請者のディジタル署名がなされていることを示している。
【００１６】
図６は、申請書の他の例である。
この例では、
申請者識別名は「c=jp; o=Acorp; ou=develop; cn=fujiwara」であり、
サービス対象者識別名は「c=jp; o=Acorp; ou=manage; cn=suzuki」であり、
サービス種別は「無効化」であり、
申請者のディジタル署名がなされていることを示している。
【００１７】
図７は、申請者の処理を表すフローチャートである。
s1-1 申請者は申請書を作成する。
s1-2 作成した申請書を認証局（ＣＡ）に送信する。
s1-3 終了。
図８は、認証局（ＣＡ）の処理を表すフローチャートである。
s2-1 認証局（ＣＡ）は、申請者から申請書を受け取る。
s2-2 申請者の申請者識別名をキーとして、認証局（ＣＡ）が保持する証明書データベースから、申請者の公開鍵証明書を検索する。
s2-3 検索した公開鍵証明書で申請書の前記ディジタル署名を署名検証する。
s2-4 申請書が、申請者識別名で表される申請者によって作成されたものであるか否かを判断する。申請書が申請者識別名で表される申請者によって作成されたものでなければ終了する。
s2-5 申請者が、申請者識別名で表される申請者によって作成されたものであれば、サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるか比較する。
s2-6 サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるか否かを判断する。サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が同一であるならば、s2-9サービス対象者＝申請者に対してサービス種別で表されるサービスを実行する。
s2-7 サービス対象者を表すサービス対象者識別名と、申請者を表す申請者識別名が異なるならば、サービス許可条件定義を参照することにより、申請書記載のサービス種別で表されるサービスの実行可否を判定する。
s2-8 申請書記載のサービス種別で表されるサービスの実行可能であるか否かを判断する。実行不可ならば、s2-10サービスを実行することなく終了する。
s2-9 申請書記載のサービス種別で表されるサービスの実行可能ならば、サービス対象者に対して、サービス種別で表されるサービスを実行する。
s2-10 終了。
【００１８】
認証局（ＣＡ）が図４に示される申請書（申請者識別名：c=jp; o=Acorp; ou=sales; cn=sato、
サービス対象者識別名：c=jp; o=Acorp; ou=sales; cn=tanaka、サービス種別：無効化、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=sales; cn=sato」に対応する証明書２を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書２を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」で表される申請者によって作成されたものであれば、申請者識別名である「c=jp; o=Acorp; ou=sales; cn=sato」と、サービス対象者識別名である「c=jp; o=Acorp; ou=sales; cn=tanaka」とを比較し、一致しないので、サービス許可条件定義を参照し、サービス許可条件定義の申請者識別名「c=jp; o=Acorp; ou=sales; cn=sato」のレコードを見ると、サービス対象者識別名「c=jp; o=Acorp; ou=sales; cn=tanaka」は、「c=jpかつo=Acorpかつou=sales」の条件を満たしており、このレコードのサービス可否を見ると、無効化は許可されているので、認証局（ＣＡ）は、サービス対象者「c=jp; o=Acorp; ou=sales; cn=tanaka」の証明書の無効化を行う。
【００１９】
認証局（ＣＡ）が図５で示される申請書（申請者識別名：c=jp; o=Acorp; ou=manage; cn=suzuki、サービス対象者識別名：c=jp; o=Acorp; ou=develop; cn=yamada、サービス種別：発行、 サービス対象者の公開鍵、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」に対応する証明書１を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書１を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=manage; cn=suzuki」で表される申請者によって作成されたものであれば、
申請者識別名である「c=jp; o=Acorp; ou=manage; cn=suzuki」と、サービス対象者識別名である「c=jp; o=Acorp; ou=develop; cn=yamada」とを比較し、一致しないので、サービス許可条件定義を参照し、
サービス許可条件定義の申請者を見ると、申請者DN「c=jp; o=Acorp; ou=manage; cn=suzuki」は、申請者の条件「c=jpかつo=Acorpかつou=manage」にあてはまるので、該当するレコードを見ると、サービス対象者識別名「c=jp; o=Acorp; ou=develop; cn=yamada」は、「c=jpかつo=Acorp」の条件を満たしており、このレコードのサービス可否を見ると、発行は許可されているので、認証局（ＣＡ）は、申請書からサービス対象者の公開鍵を取り出し、サービス対象者「c=jp; o=Acorp; ou=develop; cn=yamada」の公開鍵証明書の発行を行う。
【００２０】
認証局（ＣＡ）が図６で示される申請書（申請者識別名：c=jp; o=Acorp; ou=develop; cn=fujiwara、サービス対象者識別名：c=jp; o=Acorp; ou=manage; cn=suzuki、サービス種別：無効化、申請者のディジタル署名）を受け取った場合の動作を説明する。
認証局（ＣＡ）は、図２で示される証明書データベース、図３で示されるサービス許可条件定義を保持している。
１．申請書から申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」を取得する。
２．利用者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」に対応する証明書４を認証局（ＣＡ）内の証明書データベースより取得する。
３．取得した証明書４を用いて、申請書になされた署名を検証する。
４．申請書が申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」で表される申請者によって作成されたものであれば、
申請者識別名である「c=jp; o=Acorp; ou=develop; cn=fujiwara」と、サービス対象者識別名である「c=jp; o=Acorp; ou=manage; cn=suzuki」とを比較し、一致しないので、サービス許可条件定義を参照し、
申請者識別名「c=jp; o=Acorp; ou=develop; cn=fujiwara」は、「c=jpかつo=Acorpかつou=manage」ではなく、「c=jp; o=Acorp; ou=sales; cn=sato」でもないので、「default」レコードを見ると、「all」、すなわち、すべてのサービス対象者に対して、無効化は許可されていないので、認証局（ＣＡ）は、無効化を行うことなく、処理を終了する。
【００２１】
図９は、本発明を適用した認証局（ＣＡ）システムのコンピュータハードウェア構成例を示すブロック図を示す。
この認証局（ＣＡ）システムは、ＣＰＵやメモリ等を有するコンピュータ10と、アクセス主体となるユーザが利用する利用者端末11と、記録媒体12とから構成される。
【００２２】
記録媒体12は、CD-ROM、磁気ディスク装置、半導体メモリ等のコンピュータが読み取り可能な記録媒体12であり、ここに記録されたプログラムはコンピュータ10に読み取られ、コンピュータ10の動作を制御し、本発明の実施の形態を実現する。
【００２３】
【発明の効果】
以上説明したように本発明は上記記載の構成を備えることにより次の効果を奏するものである。
１、認証局（ＣＡ）は、認証局（ＣＡ）が予め定義した特定の利用者からの申請に限り、他の利用者に対して、証明書の発行、無効化などのＣＡサービスを行うことができる。
２、新規に認証局（ＣＡ）システムを導入するなど組織の構成員全員に証明書を発行する必要がある場合や、組織改変に伴う多数の利用者の証明書の無効化、発行を行う場合においては、特定の利用者が、認証局（ＣＡ）に対して、まとめて証明書の変更申請を行うことができる。
３、個々の利用者が個別に認証局（ＣＡ）に対して申請を行う場合に比べて、個々の利用者に申請手続きの負担をかけることなく、個々の利用者の申請のし忘れを防げるので、効率的である。
【図面の簡単な説明】
【図１】認証局（ＣＡ）の構成を表すブロック図。
【図２】認証局（ＣＡ）が保持する証明書データベースの例を示す図。
【図３】認証局（ＣＡ）が保持するサービス許可条件定義の例を示す図。
【図４】申請書の例を示す図。
【図５】申請書の他の例を示す図。
【図６】申請書の他の例を示す図。
【図７】申請者の処理を表すフローチャート。
【図８】認証局（ＣＡ）の処理を表すフローチャート。
【図９】 本発明を適用した認証局（ＣＡ）システムのハードウェア構成例を示すブロック図。
【符号の説明】
１ 認証局（ＣＡ）
２ 申請書署名検証手段
2-1 証明書データベース
３ 申請者・対象者比較手段
４ サービス可否判定手段
4-1 サービス許可条件定義
５ サービス実行手段
Claims (3)
- 利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ）の装置（以下、認証局装置という）において、
上記認証局装置は、証明書データベースを備えた申請書署名検証手段、申請者・対象者比較手段、予め定義したサービス許可条件定義を備えたサービス可否判定手段およびサービス実行手段から構成され、
上記申請書署名検証手段は、
申請書を作成した利用者（申請者）を表す申請者識別名Ａと、該申請書によりＣＡサービスを受ける利用者（サービス対象者）を表すサービス対象者識別名Ｂと、
該申請書により上記認証局（ＣＡ）に実行を要求するＣＡサービスの種別を表すサービス種別Ｃと、
該申請書の申請者のディジタル署名Ｄと、
を含む申請者からの申請書を受付け、
受付けた該申請書の申請者識別名Ａをキーとして、上記認証局装置が保持する上記証明書データベースから、上記申請者の公開鍵証明書を検索し、
検索した上記公開鍵証明書で受付けた該申請書のディジタル署名Ｄを署名検証し、
受付けた該申請書が、申請者識別名Ａで表される上記申請者によって作成されたものであることを検証し、
上記申請者・対象者比較手段は、
上記申請書署名検証手段により、受付けた該申請書が、申請者識別名Ａで表される上記申請者によって作成されたものであると検証された場合に、
該申請書の申請者識別名Ａと、該申請書のサービス対象者識別名Ｂとが一致するか否かを比較し、
上記サービス可否判定手段は、
上記申請者・対象者比較手段の結果、申請者識別名Ａと該申請書のサービス対象者識別名Ｂとが一致しなかった場合に、予め定義した上記サービス許可条件定義を参照して、該申請書のサービス種別Ｃで表されるＣＡサービスの実行の可否を判定し、
上記サービス実行手段は、
上記申請者・対象者比較手段の結果、該申請書の申請者識別名Ａと該申請書のサービス対象者識別名Ｂとが一致した場合、および、上記サービス可否判定手段の結果、該申請書のサービス種別Ｃで表されるＣＡサービスの実行が可と判定された場合に、
該申請書のサービス対象者識別名Ｂで表されるサービス対象者に対して、該申請書のサービス種別Ｃで表されるＣＡサービスを実行すること
を特徴とする認証局（ＣＡ）装置。 - 利用者からの申請書に基づき、公開鍵証明書の発行、無効化、参照などのＣＡサービスを行う認証局（ＣＡ）の装置（以下、認証局装置という）の制御方法において、
申請書署名検証手段が、
申請書を作成した利用者（申請者）を表す申請者識別名Ａと、申請書によりＣＡサービスを受ける利用者（サービス対象者）を表すサービス対象者識別名Ｂと、
申請書により上記認証局（ＣＡ）に実行を要求するＣＡサービスの種別を表すサービス種別Ｃと、
申請書の申請者のディジタル署名Ｄと、
を含む申請者からの申請書を受付ける手順１と、
受け付けた該申請書の申請者識別名Ａをキーとして、上記認証局装置が保持する上記申請書・証明書データベースから、上記申請者の公開鍵証明書を検索する手順２と、
検索した上記公開鍵証明書で受付けた該申請書のディジタル署名Ｄを署名検証する手順３と、
受付けた該申請書が、申請者識別名Ａで表される申請者によって作成されたものであることを検証する手順４と、
申請者・対象者比較手段が、
受付けた該申請書が、申請者識別名Ａで表される上記申請者によって作成されたものであると検証された場合に、
該申請書の申請者識別名Ａと、該申請書のサービス対象者識別名Ｂとが一致するか否かを比較する手順５と、
サービス可否判定手段が、
上記手順５の結果、該申請書の申請者識別名Ａと、該申請書のサービス対象者識別名Ｂとが一致しなかった場合に、予め定義したサービス許可条件定義を参照して、該申請書のサービス種別Ｃで表されるＣＡサービスの実行の可否を判定する手順６と、
サービス実行手段が、
上記手順５の結果、該申請書の申請者識別名Ａと該申請書のサービス対象者識別名Ｂとが一致した場合、および、手順６の結果、該申請書のサービス種別Ｃで表されるＣＡサービスの実行が可と判定された場合に、
該申請書のサービス対象者識別名Ｂで表されるサービス対象者に対して、該申請書のサービス種別Ｃで表されるＣＡサービスを実行する手順７を備えたこと
を特徴とする認証局装置の制御方法。 - コンピュータを請求項１に記載の認証局装置として機能させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP26509999A JP3883756B2 (ja) | 1999-09-20 | 1999-09-20 | 認証局装置並びに認証局装置の制御方法及び認証局装置の制御方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP26509999A JP3883756B2 (ja) | 1999-09-20 | 1999-09-20 | 認証局装置並びに認証局装置の制御方法及び認証局装置の制御方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001092354A JP2001092354A (ja) | 2001-04-06 |
| JP3883756B2 true JP3883756B2 (ja) | 2007-02-21 |
Family
ID=17412601
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP26509999A Expired - Lifetime JP3883756B2 (ja) | 1999-09-20 | 1999-09-20 | 認証局装置並びに認証局装置の制御方法及び認証局装置の制御方法をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3883756B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB2382006A (en) * | 2001-11-06 | 2003-05-14 | Ibm | Digital certificate containing the identity of an entity which will rely on the certificate |
| JP3842664B2 (ja) * | 2002-02-13 | 2006-11-08 | 日本電信電話株式会社 | ネットワークシステムおよびネットワークシステムの制御方法 |
| JP2003258786A (ja) * | 2002-02-27 | 2003-09-12 | Nippon Telegr & Teleph Corp <Ntt> | 公開鍵証明書検索装置、公開鍵証明書検索方法、コンピュータプログラムおよびコンピュータプログラムを記録した記録媒体 |
| JP2006261729A (ja) * | 2005-03-15 | 2006-09-28 | Kyocera Mita Corp | 画像形成装置及びこれを備える電子認証システム |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07160198A (ja) * | 1993-12-03 | 1995-06-23 | Fujitsu Ltd | 暗号通信における公開鍵登録方法および公開鍵証明書の発行局 |
| JPH07334577A (ja) * | 1994-06-10 | 1995-12-22 | Brother Ind Ltd | サービス提供システム |
-
1999
- 1999-09-20 JP JP26509999A patent/JP3883756B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2001092354A (ja) | 2001-04-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11700117B2 (en) | System for credential storage and verification | |
| US11792181B2 (en) | Digital credentials as guest check-in for physical building access | |
| US11641278B2 (en) | Digital credential authentication | |
| US11698979B2 (en) | Digital credentials for access to sensitive data | |
| US11627000B2 (en) | Digital credentials for employee badging | |
| US11770261B2 (en) | Digital credentials for user device authentication | |
| US11531783B2 (en) | Digital credentials for step-up authentication | |
| US11792180B2 (en) | Digital credentials for visitor network access | |
| US20190319939A1 (en) | Digital credentials for primary factor authentication | |
| US8250095B2 (en) | Intersystem single sign-on | |
| US8683196B2 (en) | Token renewal | |
| US8387136B2 (en) | Role-based access control utilizing token profiles | |
| US7571473B1 (en) | Identity management system and method | |
| US11683177B2 (en) | Digital credentials for location aware check in | |
| JP7196174B2 (ja) | 委任アイデンティティを使用した認証方法、システム、プログラム | |
| US8112790B2 (en) | Methods and apparatus for authenticating a remote service to another service on behalf of a user | |
| EP3776421A1 (en) | System for credential storage and verification | |
| US20040078573A1 (en) | Remote access system, remote access method, and remote access program | |
| WO2019191213A1 (en) | Digital credential authentication | |
| CA2782713A1 (en) | System and methods for identity attribute validation | |
| WO2018153018A1 (zh) | 密钥更新方法及系统 | |
| US20230229804A1 (en) | Consent-driven privacy disclosure control processing | |
| US11522713B2 (en) | Digital credentials for secondary factor authentication | |
| WO2019191215A1 (en) | Digital credentials for secondary factor authentication | |
| CN110602023A (zh) | 个人信息安全管控方法、装置和计算机可读存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040326 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20060111 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060824 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060829 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20061003 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20061031 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20061115 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 3883756 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101124 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101124 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111124 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111124 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121124 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121124 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131124 Year of fee payment: 7 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |