JP3908982B2 - ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 - Google Patents
ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 Download PDFInfo
- Publication number
- JP3908982B2 JP3908982B2 JP2002154678A JP2002154678A JP3908982B2 JP 3908982 B2 JP3908982 B2 JP 3908982B2 JP 2002154678 A JP2002154678 A JP 2002154678A JP 2002154678 A JP2002154678 A JP 2002154678A JP 3908982 B2 JP3908982 B2 JP 3908982B2
- Authority
- JP
- Japan
- Prior art keywords
- electronic certificate
- communication
- cug
- certificate
- actor
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、ＣＵＧ（Closed User Group)管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体に係り、特に、インターネット上で任意のアクタ同士が直接通信しながら、ＣＵＧを構成するシステムにおいて、接続する可能性のあるアクタに対する認証情報の管理をアクセス管理サーバが代行するＣＵＧ（Closed User Group)管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体に関する。
【０００２】
【従来の技術】
従来、任意のアクタ同士が直接に通信するＣＵＧを構築する場合は、ＣＵＧに属するすべてのアクタに登録されている証明書または、証明書を発行した認証局をアクセスリストとしてアクタの端末内に保存し、通信開始に際し、送られてきた証明書とアクセスリストを照合することによりアクセス管理が行われている。実際には、以下のような処理が行われる。
【０００３】
図１０は、従来のシステムにおける動作のシーケンスチャートである。
【０００４】
アクタ装置Ａが認証局装置１０から証明書ａを取得し（ステップ１０）、同様に、アクタ装置Ｂが証明書ｂを取得する（ステップ１１）。信頼する認証局と信頼する証明書の情報をアクセスリストに保存する（ステップ１２）。
【０００５】
アクタ装置Ａからアクタ装置Ｂに証明書ａを含んだアクセス要求を送信する（ステップ１３）。
【０００６】
アクタ装置Ｂは、受け取った証明書ａをアクセスリストと照合して（ステップ１４）、通信可能か否かを確認する（ステップ１５）。また、証明書ａの有効性を認証局が発行するＣＲＬ(Certificate Revocation List) と照合して（ステップ１６）検査する（ステップ１７）。
【０００７】
通信可能な場合には、アクタ装置Ｂは、アクタ装置Ａに証明書ｂを含んだ認証情報を送信する（ステップ１８）。
【０００８】
アクタ装置Ａは受け取った証明書ｂをアクセスリストと照合して（ステップ１９）、通信可能か否かを確認する（ステップ２０）。また、証明書の有効性をＣＲＬと照合して（ステップ２１）検査する（ステップ２２）。
【０００９】
ステップ１９、ステップ２１において通信可能な場合には、認証情報に基づいて、通信情報を暗号化するための秘密鍵を交換し（ステップ２３）、暗号化通信を開始する（ステップ２４）。
【００１０】
また、特開2001-523853 に、ネットワーク接続オブジェクトを使用して、ネットワークへ接続するようにコンピュータを構成する方法及びシステムが開示されている。ネットワークへの各接続に対して、当該ネットワークに接続するための構成情報を、接続オブジェクトの中に維持する。当該構成情報は、バインディング情報と共に、デバイス、プロトコル、及び他のコンピュータ及びネットワークの属性値情報を含むことができる。接続オブジェクトは、動作中のネットワーク構成から独立したファイルなどとして保存され、動作中の構成に適用されて、ネットワーク構成を変更する。接続オブジェクトにおいて識別されたネットワーキングコンポーネントを、あるシステム上で利用可能なネットワーキングコンポーネントと調和させるプロセスも含む。コンピュータやネットワークを代表するネットワーク接続オブジェクトにおいて、認証情報が分散して管理されることになる。
また、特開2002-026988 に、ＶＰＮ（仮想私設網）において、ＮＡＴ（ネットワーク・アドレス変換）とＩＰセキュリティ（ＩＰＳｅｃ）との双方を並行して実現する方法が開示されている。その方法として、
VPN NAT タイプ「ａ送信元−アウトバウンド」IP NAT,
VPN NAT タイプ「ｂ送信先−アウトバウンド」IP NAT，
VPN NAT タイプ「ｃインバウンド−送信元」IP NAT，
VPN NAT タイプ「ｄインバウンド−送信先」IP NAT
からなる４タイプのVPN NAT のうちの１つまたは、組み合わせを実行することにより、VPN NAT において、ＩＰセキュリティを実現する。これは、動的にＮＡＴ規則１２８、１３０を生成し、それらと人手で、または動的に生成した（ＩＫＥ）セキュリティ連合とを関連付けた後に、このセキュリティ連合を使うＩＰセキュリティを開始することを含む。そして、アウトバウンド・データグラムとインバウンド・データグラムに対してＩＰセキュリティを実行するときに、ＮＡＴ機能も実行する。プライベート・ネットワークを代表するＮＡＴ機能において、ＩＫＥの認証が分散して管理されることになる。
【００１１】
また、「M.Thomas, M.Froh, Cybersafe, M.Hur, D.McGrew, J.Vilhuber, S.Medvinsky 著、“Kerberized Internet Negotiation of Keys(KINK) ”2001年10月20日」は、Kerberos認証を使ったIPSec SA(Security Association)の設定と維持のための、安価かつ容易に管理可能で暗号化されたプロトコルを定義している。KINKは、ISAKMP(Internet SA and Key Management Protocol) のQuick Modeペイロードを再利用して、IPSec SAを生成、削除、維持する。Kerberosは、信頼できる第三者によるサーバ・クライアント間の認証を与える。サーバ・クライアント間の認証には、KDC(Key Distribution Ceneter) が資格証明書を作るためにTicketが使われる。但し、KDC は、すべてのユーザ鍵を管理するため、KDC から鍵情報を持ち出せば、ユーザへの成り済ましが可能になる。
【００１２】
【発明が解決しようとする課題】
しかしながら、上記従来のアクセスリストはＣＵＧ構成メンバを表しており、ＣＵＧを集中的に制御する管理者が存在する場合、アクタの持つアクセスリストを管理者が更新する必要がある。さらに、ＣＵＧ構成メンバが頻繁に変更される場合、または、１つの端末が多数の端末と通信する可能性がある場合、
１） アクセスリストを更新するために負荷がかかる；
２） アクセスリストの保存にアクタの資源を採られる；
という問題がある。また、集中的に管理される場合でも、
３） 管理者がユーザの鍵情報を持つため、ＣＵＧ構成メンバになりすますことができる；
４） 管理者がユーザ間のセッション鍵情報を持つためＣＵＧ内の通信を盗聴できる；
という問題がある。
【００１３】
また、更なる問題は、多数のアクタ間でＣＵＧを構成するためには、アクタ内に保存する認証情報が増加し、アクタのリソースを消費すると共に、ＣＵＧメンバの変更の際に、全アクタの設定を変更する必要があることである。
【００１４】
その理由は、アクタ単位でＣＵＧを構成する場合、ＣＵＧへの認証情報をアクタ毎に分散して管理していたためである。
【００１５】
さらに、Kerberosを用いて認証処理を実現する場合、KDC がアクタの鍵情報とセッション鍵の両方を管理するため、KDC が全アクタの完全な信頼点とならないことである。
その理由は、KDC の管理者は、アクタの鍵を用いて成り済ましを行うことができ、セッション鍵を用いて通信を盗聴することができるためである。
【００１６】
本発明は、上記の点に鑑みなされたもので、認証情報をアクセス管理サーバが集中的に管理することにより、アクタにおける認証情報を最小化することが可能なＣＵＧ管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体を提供することを目的とする。
【００１７】
更なる目的は、アクセス管理サーバ管理者によるアクタへの成り済ましを防止し、アクタのプロファイル漏洩も最小化して、セキュリティを向上することが可能なＣＵＧ管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体を提供することである。
【００１８】
【課題を解決するための手段】
図１は、本発明の原理を説明するための図である。
【００２０】
本発明（請求項１）は、インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（ Closed User Group ）を構成するためのＣＵＧ管理方法において、
アクタ装置Ａは、認証局装置から発行された電子証明書ａを用いて、通信相手のアクタ装置Ｂにアクセス要求を送信し（ステップ１）、
アクタ装置Ｂは、アクセス要求に含まれる電子証明書ａに自らの電子証明書ｂを用いて署名し（ステップ２）、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として、アクセス管理サーバに送信し（ステップ３）、
アクセス管理サーバは、アクタ装置Ｂからの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬと照合することにより、通信可否を判断し（ステップ４）、判断結果をアクタ装置Ｂに送信し（ステップ５）、
アクタ装置Ｂは、アクタ装置Ａに対して、アクセス要求に対して電子証明書ｂを付与したアクセス応答を送信し（ステップ６）、
アクタ装置Ａでは、アクセス応答に付加されている電子証明書ｂに電子証明書ａを用いて署名し（ステップ７）、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求としてアクセス管理サーバに送信し（ステップ８）、
アクセス管理サーバは、アクタ装置Ａからの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、アクセスリスト及びＣＲＬと照合することにより、通信可否を判断し（ステップ９）、判断結果をアクタ装置Ａに送信し（ステップ１０）、
認証後、アクタ装置Ａとアクタ装置Ｂ間で通信を行う（ステップ１１）。
【００２２】
また、本発明（請求項２）は、認証局装置において、必要に応じて、電子証明書を失効させる。
【００２３】
また、本発明（請求項３）は、アクセスリストを、電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、ＣＲＬの形式に変換し、ＣＲＬとして保存し、
アクセス管理サーバは、ＣＲＬのみを参照する。
【００２４】
図２は、本発明の原理構成図である。
【００２５】
本発明（請求項４）は、複数のアクタ装置２００と、ＣＵＧに属するすべてのアクタに対して登録されている証明書を発行する認証局装置１００と、アクタ装置２００からの電子証明書が付加された通信可否要求に応じて、通信可否を判断し、通信可否の判断結果を該アクタ装置に送信するアクセス管理サーバ３００と、を有し、インターネット上で任意のアクタ装置２００間で直接通信しながらＣＵＧを構成するためのＣＵＧ提供システムであって、
通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト２０と、
電子証明書の有効性を規定するＣＲＬ３０と、を有し、
アクタ装置２００は、
他のアクタ装置から、認証局装置１００から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求としてアクセス管理サーバ３００に送信する通信可否問い合わせ手段２２０と、
アクセス管理サーバ３００からの通信可否の判断結果を受信し、該判断結果に基づいて、相手のアクタ装置との通信を行う通信手段２６０と、を有し、
アクセス管理サーバ３００は、
アクタ装置２００からの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、アクセスリスト及びＣＲＬと照合することにより、通信可否を判断する通信可否判定手段３１０と、
通信可否判定手段３１０における判断結果を該アクタ装置に返却する判断結果送信手段３２０と、を有する。
【００２７】
また、本発明（請求項５）は、認証局装置１００において、必要に応じて、電子証明書を失効させる手段を更に有する。
【００２８】
また、本発明（請求項６）は、アクセス管理サーバ２００の通信可否判定手段２１０において、
アクセスリストを、電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、ＣＲＬの形式に変換し、ＣＲＬとして保存されている場合に、該ＣＲＬのみを参照する手段を含む。
【００２９】
本発明（請求項７）は、インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（Closed User Group)を構成するシステムにおいて、該アクタ装置とネットワークを介して接続されたアクセス管理サーバとして利用されるコンピュータに実行させるＣＵＧ提供プログラムであって、
前記アクタ装置が、他のアクタ装置から、認証局装置から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として送信した通信可否判断要求を受信するステップと、
前記アクタ装置からの通信可否判断要求に含まれる前記電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬ(Certificate Revocation List)を照合することにより、通信可否を判断する通信可否判定ステップと、
前記通信可否判定ステップにおける判断結果を該アクタ装置に返却する判断結果送信ステップと、を実行させる。
【００３０】
本発明（請求項８）は、請求項９記載のＣＵＧ提供プログラムを格納した記憶媒体である。
【００３１】
上記のように、本発明では、アクセス管理サーバが、ＣＵＧ構成メンバを規定したアクセスリストと電子証明書の有効性を規定するＣＲＬを保存することにより、アクタには、認証情報を保存する必要がなくなる。
【００３２】
また、通信可能な通信元アクタの電子証明書ＩＤと通信先アクタの電子証明書ＩＤの組によりアクセスリストを構成することにより、アクセス管理サーバがアクタの秘密情報を保存する必要がなくなる。
【００３３】
【発明の実施の形態】
以下、図面と共に本発明の実施の形態について説明する。
【００３４】
図３は、本発明の一実施の形態におけるシステム構成を示す。
【００３５】
同図に示すシステムは、認証局１００、アクタ装置２００、アクセス管理サーバ３０、アクセスリスト２０、ＣＲＬ３０から構成される。
【００３６】
同図に示す認証局１００Ａ，１００Ｂは、図４に示すように、それぞれ、アクタの身元を証明する電子証明書を発行する電子証明書発行部１１０と、当該電子証明書を失効させる電子証明書失効部１２０を有する。
【００３７】
同図に示すアクタ装置２００Ａ，２００Ｂは、それぞれ、図５に示すように、電子証明書を使って相手のアクタ装置にアクセス要求を行うアクセス要求部２１０、通信可否判定をアクセス管理サーバ３００に問い合わせる問い合わせ部２２０、電子証明書を使ってアクセス要求に対する応答を受信する応答受信部２３０、通信可能となった他のアクタ装置との間で鍵交換を行う鍵交換部２４０、他のアクタ装置２００と暗号化通信を行う暗号化通信部２５０から構成される。
【００３８】
同図に示すアクセス管理サーバ３００は、図６に示すように、通信者の電子証明書の組をアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判定する通信可否判定部３１０と、通信可否判定部３１０で判定された結果をアクタ装置１００へ返却する応答部３２０から構成される。
【００３９】
上記の構成により、アクタ装置１００の保存する情報は、自らの電子証明書とアクセス管理サーバ３００のアドレスのみとなる。
【００４０】
また、アクセス管理サーバ３００に保存される情報は、公開されている電子証明書ＩＤをキーとする、電子証明書の無効情報と通信可能な組み合わせの情報のみである。
【００４１】
次に、上記の構成における動作を説明する。
【００４２】
図７は、本発明の一実施の形態における動作のシーケンスチャートである。
【００４３】
同図のＳ１００で示される範囲の動作は、従来技術を用いて、アクタ装置２００が、認証局装置１００から電子証明書を取得し、ＣＲＬを配布する手順を示している。
【００４４】
アクタ装置１００Ａは、認証局装置１００から発行された電子証明書ａを含むアクセス要求をアクタ装置１００Ｂへ送る（ステップ１０１）。
【００４５】
アクタ装置１００Ｂは、アクセス要求に含まれる電子証明書ａに自らの電子証明書ｂを用いて署名し、アクセス管理サーバ３００に通信可否判定要求（電子証明書ａ＋電子証明書ｂ＋署名）を送る（ステップ１０２）。このように、自らの署名を付けて通信可否判断要求を送ることにより、他アクタによる成り済ましを防ぎ、かつ、通信の発起アクタの電子証明書と対応アクタの電子証明書の組を作ることができる。
【００４６】
アクセス管理サーバ３００は、通信可否判定部３１０において、電子証明書ａと電子証明書ｂの組み合わせをアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判定し、応答部３２０よりアクタ装置２００Ｂへ通信可否判断応答を送る（ステップ１０３）。
【００４７】
アクタ装置２００Ｂは、アクセス要求部２１０により、自らの電子証明書ｂを用いて、アクタ装置１００Ａへアクセス応答を送る（ステップ１０４）。
【００４８】
アクタ装置２００Ａは、問い合わせ部２２０において、アクセス応答に付いている電子証明書ｂに自らの電子証明書ａを用いて署名し、アクセス管理サーバ３００へ通信可否判断要求（電子証明書ｂ＋電子証明書ａ＋署名）を送る（ステップ１０５）。
【００４９】
アクセス管理サーバ３００は、アクタ装置２００Ｂの場合と同様に、アクタ装置２００Ａへ通信可否判断応答を送る（ステップ１０６）。
【００５０】
これらの認証が終わった後、アクタ装置２００Ａとアクタ装置２００Ｂは、鍵交換部２４０において暗号鍵を交換し（ステップ１０７）、暗号化通信部２５０において暗号通信を開始する（ステップ１０８）。
【００５１】
その後、一定時間が経過した場合、または、一定量の通信が行われた場合には、再度、アクセス要求を繰り返すことにより、アクタ装置２００が分散している環境においても一定間隔でアクタ装置２００のアクセス権を更新することができる。
【００５２】
【実施例】
以下、図面と共に本発明の実施例を説明する。
【００５３】
［第１の実施例］
アクタ装置２００の通信機能を実現するため、インターネット通信可能なデバイス（ＩＰデバイス）が利用できる。ＩＰデバイスは、ＣＵＧを形成するため、ＩＰＳｅｃなどによる暗号化通信機能と、ＩＫＥ（Internet Key Exchange)等の認証と暗号鍵交換機能を持つ必要がある。当該ＩＰデバイスのＩＫＥ機能により、図５に示す、通信開始時に電子証明書を使って相手のＩＰデバイス鍵交換要求を起こすアクセス要求部２１０、証明書の有効性をオンラインで証明書の状態を問い合わせる問い合わせ部２２０、電子証明書を使って相手のＩＰデバイスに鍵交換応答を返す鍵交換部２４０を実現でき、さらに、ＩＰＳｅｃ機能により、暗号化通信を行う暗号化通信部２５０を実現できる。但し、オンライン証明証状態要求に自らの証明書を用いて署名し、成り済ましを防ぐと共に、通信の発起ＩＰデバイスの電子証明書と応答ＩＰＤデバイスの電子証明書の組を作らなければならない。
【００５４】
次に、上記のＩＰＳｅｃ機能及び、ＩＫＥ機能を用いた構成における動作を説明する。
【００５５】
以下、図３に示すアクタ装置をＩＰデバイスとして説明する。
【００５６】
▲１▼ ＩＰデバイスＡは、ＩＰデバイスＢへの通信開始の際に、ＩＫＥ機能を用いて、発行された電子証明書ａを付加した鍵交換要求を送る。
【００５７】
▲２▼ ＩＰデバイスＢは、当該鍵交換要求に付加されている電子証明書ａに自らの電子証明書ｂを用いて署名し、証明書を検証するアクセス管理サーバ３００へオンライン証明証状態要求を送信する。このように、自らの署名を付加して通信可否判断要求を送ることにより、他ＩＰデバイスを用いた成り済ましを防ぎ、かつ、通信の発起ＩＰデバイスの電子証明書と応答アクタの電子証明書の組を作ることができる。
【００５８】
▲３▼ アクセス管理サーバ３００は、電子証明書ａと電子証明証ｂの組み合わせをアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判断し、アクタ装置（ＩＰデバイスＢ）へ通信可否判断応答を送る。
【００５９】
▲４▼ ＩＰデバイスＢは、自らの電子証明書ｂを付加して、ＩＰデバイスＡへアクセス応答を送る。
【００６０】
▲５▼ ＩＰデバイスＡは、アクセス応答に付加されている電子証明書ｂに自らの電子証明書ａを用いて署名し、アクセス管理サーバ３００へ通信可否判断要求を送る。
【００６１】
▲６▼ アクセス管理サーバ３００は、ＩＰデバイスＢと同様に、ＩＰデバイスＡへ通信可否判断応答を送る。
【００６２】
▲７▼ これらの認証が終わった後、ＩＰデバイスＡとＩＰデバイスＢは暗号鍵を交換し、暗号通信を開始する。その後一定時間が経過した場合、または、一定量の通信が行われた場合には、再度、アクセス要求を繰り返すことにより、アクタが分散している環境においても、一定間隔でアクタのアクセス権を更新することができる。
【００６３】
［第２の実施例］
本実施例では、前述の第１の実施例の方法に加えて、ＣＵＧの管理者がアクセス権を与えるアクタ装置に電子証明書を発行し、必要に応じてこれを失効させられる認証局を導入できる。この電子証明書は、従来の技術と同様に、アクタ装置の公開鍵に対して署名を行うものであるが、電子証明書の保有がアクセス権を表すように意味付けすることにより、前述の方法に比べて、システム構成を簡略化できる。
【００６４】
図８は、本発明の他の実施例のシステム構成図である。
【００６５】
認証局１００は、図４に示すように、ＣＵＧへのアクセス権を意味する証明書をアクタ装置に発行する電子証明書発行部１１０と、失効させる電子証明書失効部１２０を有する。アクタ装置２００とアクセス管理サーバ３００は、それぞれ図５と図６の機能を有する。
【００６６】
アクタ装置２００とアクセス管理サーバ３００は、図８の構成により、アクセスリスト２０には、ＣＵＧの認証局１００から証明書を発行しているメンバのうち、通信可能な組み合わせが不可能な組み合わせのどちらかを記述すればよいため、検索対象が少なくなるようにアクセスリスト２０を構成できる。また、アクセス管理サーバ３００は、ＣＲＬ３０を検証すれば済むようになり、通信可否判定に係る時間が減少する。
【００６７】
［第３の実施例］
本実施例では、前述の第２の実施例の方法に加えて、アクセスリスト２０をＣＲＬ３０へ変換する方法について説明する。第１・第２の実施例では、アクセス管理サーバ３００は、アクセスリスト２０とＣＲＬ３０の２つの情報を検索する必要があったが、アクセスリスト２０をＣＲＬ形式へ変換することにより、ＣＲＬの情報のみを検索すればよくなり、システム構成を簡略化できる。
【００６８】
図９は、本発明の第３の実施例のシステム構成図である。同図に示すように、アクセス管理サーバ３００は、通信者（アクタ装置Ａ・アクタ装置Ｂ）の証明書の組をＣＲＬ３０のみを照合して通信の可否を判断し、アクタ装置へ返答する機能を持つ。認証局１００とアクタ装置２００は、それぞれ図４、図５の機能を持つ。図９の構成のアクセスリスト２０には、ＣＵＧの認証局１００から証明書を発行しているメンバのうち、通信不可能な証明書ＩＤの組み合わせを記述してある。ここで、証明書ａから通信不可能な証明書の集合は、前述の第２の実施例と同様に、証明書ａに対する証明書失効情報に置換される。そこで、判定元の証明書毎に異なるビューを持てるようにＣＲＬ３０を構築すれば、２つの通信可否判定情報をＣＲＬ形式に統一できる。その結果、ＣＲＬ３０に対して最適化された非常に高速な検索システムを利用できるようになる。
【００６９】
また、上記の実施の形態及び実施例におけるアクセス管理サーバ３００の動作をプログラムとして構築し、アクセス管理サーバとして利用されるコンピュータにインストールする、または、ネットワークを介して流通させることも可能である。
【００７０】
また、構築されたプログラムをアクセス管理サーバとして利用されるコンピュータに接続されるハードディスクや、フレキシブルディスク、ＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発明を実施する際にインストールすることも可能である。
【００７１】
なお、本発明は、上記の実施の形態及び実施例に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【００７２】
【発明の効果】
上述のように、本発明によれば、以下のような効果を奏する。
【００７３】
第１には、様々なアクタ間でＣＵＧを簡便に生成、または、変更でき、また、モバイル環境などにおいて資源の限られたアクタ同士でもＣＵＧを構成できる。従って、ユーザの嗜好に合わせたコンテンツや通信環境を持つプライベート・ネットワークを提供するサービスを実現することができる。
【００７４】
その理由は、ＣＵＧメンバが変更した場合に、アクセス管理サーバのアクセスリストを変更するだけで、新たなメンバ認証を実現できるからである。例えば、電子証明書ｃを持つアクタＣをメンバに入れる場合、アクセスリストに通信可能な電子証明書ＩＤの組として（電子証明書ａ，電子証明書ｃ）と、（電子証明書ｂ，電子証明書ｃ）を追加すれば、アクタａまたは、アクタｂに変更を加えることなく、例えば、アクタｃからアクタａへ通信することが可能となる。
【００７５】
第２には、外部からアクタへのアクセスを制限することができ、セキュリティを向上させることができる。
【００７６】
その理由は、全アクタが双方向に通信を開始できるというアクセスポリシを持つＣＵＧを構成した場合、認証局からの電子証明書を持って入ればアクセス可能であると判定できるため、アクセスリストに情報を保存する必要がない。また、アクタａがＣＵＧから外れてアクセス権を失った場合にも、アクタａに関する多数のアクセス不可リストを作成することがなく、電子証明書を失効させて１つの電子証明書失効情報をＣＲＬへ登録すればよいため、検索対象を少なくすることが可能である。
【００７７】
第３には、汎用のシステムに変更を加えることなく、本発明の機能を実現できる。
【００７８】
その理由は、アクタａとアクタｂが通信できないというアクセスポリシを持つＣＵＧを構成した場合（電子証明書ａ，電子証明書ｂ）の組がアクセスリストに用意される。これを元に、ＣＲＬでは、電子証明書ａに対するＣＲＬに電子証明書ｂが統合され、電子証明書ｂに対するＣＲＬに電子証明書ａが統合される。これにより、アクセス管理サーバにＯＣＳＰレスポンダなど既存の電子証明書有効性検索システムを流用することができ、安価に高速なシステムを構築することが可能となる。
【図面の簡単な説明】
【図１】本発明の原理を説明するための図である。
【図２】本発明の原理構成図である。
【図３】本発明の一実施の形態におけるシステム構成図である。
【図４】本発明の一実施の形態における認証局装置の構成図である。
【図５】本発明の一実施の形態におけるアクタ装置の構成図である。
【図６】本発明の一実施の形態におけるアクセス管理サーバの構成図である。
【図７】本発明の一実施の形態における動作のシーケンスチャートである。
【図８】本発明の第２の実施例のシステム構成図である。
【図９】本発明の第３の実施例のシステム構成図である。
【図１０】従来のシステムにおける動作のシーケンスチャートである。
【符号の説明】
１０ 電子証明書
２０ アクセスリスト
３０ ＣＲＬ
１００ 認証局装置
２００ アクタ装置
２１０ アクセス要求部
２２０ 通信可否問い合わせ手段、問い合わせ部
２３０ 応答受信部
２４０ 鍵交換部
２５０ 暗号化通信部
２６０ 通信手段
３００ アクセス管理サーバ
３１０ 通信可否判定手段、通信可否判定部
３２０ 判断結果送信手段、応答部
【発明の属する技術分野】
本発明は、ＣＵＧ（Closed User Group)管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体に係り、特に、インターネット上で任意のアクタ同士が直接通信しながら、ＣＵＧを構成するシステムにおいて、接続する可能性のあるアクタに対する認証情報の管理をアクセス管理サーバが代行するＣＵＧ（Closed User Group)管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体に関する。
【０００２】
【従来の技術】
従来、任意のアクタ同士が直接に通信するＣＵＧを構築する場合は、ＣＵＧに属するすべてのアクタに登録されている証明書または、証明書を発行した認証局をアクセスリストとしてアクタの端末内に保存し、通信開始に際し、送られてきた証明書とアクセスリストを照合することによりアクセス管理が行われている。実際には、以下のような処理が行われる。
【０００３】
図１０は、従来のシステムにおける動作のシーケンスチャートである。
【０００４】
アクタ装置Ａが認証局装置１０から証明書ａを取得し（ステップ１０）、同様に、アクタ装置Ｂが証明書ｂを取得する（ステップ１１）。信頼する認証局と信頼する証明書の情報をアクセスリストに保存する（ステップ１２）。
【０００５】
アクタ装置Ａからアクタ装置Ｂに証明書ａを含んだアクセス要求を送信する（ステップ１３）。
【０００６】
アクタ装置Ｂは、受け取った証明書ａをアクセスリストと照合して（ステップ１４）、通信可能か否かを確認する（ステップ１５）。また、証明書ａの有効性を認証局が発行するＣＲＬ(Certificate Revocation List) と照合して（ステップ１６）検査する（ステップ１７）。
【０００７】
通信可能な場合には、アクタ装置Ｂは、アクタ装置Ａに証明書ｂを含んだ認証情報を送信する（ステップ１８）。
【０００８】
アクタ装置Ａは受け取った証明書ｂをアクセスリストと照合して（ステップ１９）、通信可能か否かを確認する（ステップ２０）。また、証明書の有効性をＣＲＬと照合して（ステップ２１）検査する（ステップ２２）。
【０００９】
ステップ１９、ステップ２１において通信可能な場合には、認証情報に基づいて、通信情報を暗号化するための秘密鍵を交換し（ステップ２３）、暗号化通信を開始する（ステップ２４）。
【００１０】
また、特開2001-523853 に、ネットワーク接続オブジェクトを使用して、ネットワークへ接続するようにコンピュータを構成する方法及びシステムが開示されている。ネットワークへの各接続に対して、当該ネットワークに接続するための構成情報を、接続オブジェクトの中に維持する。当該構成情報は、バインディング情報と共に、デバイス、プロトコル、及び他のコンピュータ及びネットワークの属性値情報を含むことができる。接続オブジェクトは、動作中のネットワーク構成から独立したファイルなどとして保存され、動作中の構成に適用されて、ネットワーク構成を変更する。接続オブジェクトにおいて識別されたネットワーキングコンポーネントを、あるシステム上で利用可能なネットワーキングコンポーネントと調和させるプロセスも含む。コンピュータやネットワークを代表するネットワーク接続オブジェクトにおいて、認証情報が分散して管理されることになる。
また、特開2002-026988 に、ＶＰＮ（仮想私設網）において、ＮＡＴ（ネットワーク・アドレス変換）とＩＰセキュリティ（ＩＰＳｅｃ）との双方を並行して実現する方法が開示されている。その方法として、
VPN NAT タイプ「ａ送信元−アウトバウンド」IP NAT,
VPN NAT タイプ「ｂ送信先−アウトバウンド」IP NAT，
VPN NAT タイプ「ｃインバウンド−送信元」IP NAT，
VPN NAT タイプ「ｄインバウンド−送信先」IP NAT
からなる４タイプのVPN NAT のうちの１つまたは、組み合わせを実行することにより、VPN NAT において、ＩＰセキュリティを実現する。これは、動的にＮＡＴ規則１２８、１３０を生成し、それらと人手で、または動的に生成した（ＩＫＥ）セキュリティ連合とを関連付けた後に、このセキュリティ連合を使うＩＰセキュリティを開始することを含む。そして、アウトバウンド・データグラムとインバウンド・データグラムに対してＩＰセキュリティを実行するときに、ＮＡＴ機能も実行する。プライベート・ネットワークを代表するＮＡＴ機能において、ＩＫＥの認証が分散して管理されることになる。
【００１１】
また、「M.Thomas, M.Froh, Cybersafe, M.Hur, D.McGrew, J.Vilhuber, S.Medvinsky 著、“Kerberized Internet Negotiation of Keys(KINK) ”2001年10月20日」は、Kerberos認証を使ったIPSec SA(Security Association)の設定と維持のための、安価かつ容易に管理可能で暗号化されたプロトコルを定義している。KINKは、ISAKMP(Internet SA and Key Management Protocol) のQuick Modeペイロードを再利用して、IPSec SAを生成、削除、維持する。Kerberosは、信頼できる第三者によるサーバ・クライアント間の認証を与える。サーバ・クライアント間の認証には、KDC(Key Distribution Ceneter) が資格証明書を作るためにTicketが使われる。但し、KDC は、すべてのユーザ鍵を管理するため、KDC から鍵情報を持ち出せば、ユーザへの成り済ましが可能になる。
【００１２】
【発明が解決しようとする課題】
しかしながら、上記従来のアクセスリストはＣＵＧ構成メンバを表しており、ＣＵＧを集中的に制御する管理者が存在する場合、アクタの持つアクセスリストを管理者が更新する必要がある。さらに、ＣＵＧ構成メンバが頻繁に変更される場合、または、１つの端末が多数の端末と通信する可能性がある場合、
１） アクセスリストを更新するために負荷がかかる；
２） アクセスリストの保存にアクタの資源を採られる；
という問題がある。また、集中的に管理される場合でも、
３） 管理者がユーザの鍵情報を持つため、ＣＵＧ構成メンバになりすますことができる；
４） 管理者がユーザ間のセッション鍵情報を持つためＣＵＧ内の通信を盗聴できる；
という問題がある。
【００１３】
また、更なる問題は、多数のアクタ間でＣＵＧを構成するためには、アクタ内に保存する認証情報が増加し、アクタのリソースを消費すると共に、ＣＵＧメンバの変更の際に、全アクタの設定を変更する必要があることである。
【００１４】
その理由は、アクタ単位でＣＵＧを構成する場合、ＣＵＧへの認証情報をアクタ毎に分散して管理していたためである。
【００１５】
さらに、Kerberosを用いて認証処理を実現する場合、KDC がアクタの鍵情報とセッション鍵の両方を管理するため、KDC が全アクタの完全な信頼点とならないことである。
その理由は、KDC の管理者は、アクタの鍵を用いて成り済ましを行うことができ、セッション鍵を用いて通信を盗聴することができるためである。
【００１６】
本発明は、上記の点に鑑みなされたもので、認証情報をアクセス管理サーバが集中的に管理することにより、アクタにおける認証情報を最小化することが可能なＣＵＧ管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体を提供することを目的とする。
【００１７】
更なる目的は、アクセス管理サーバ管理者によるアクタへの成り済ましを防止し、アクタのプロファイル漏洩も最小化して、セキュリティを向上することが可能なＣＵＧ管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体を提供することである。
【００１８】
【課題を解決するための手段】
図１は、本発明の原理を説明するための図である。
【００２０】
本発明（請求項１）は、インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（ Closed User Group ）を構成するためのＣＵＧ管理方法において、
アクタ装置Ａは、認証局装置から発行された電子証明書ａを用いて、通信相手のアクタ装置Ｂにアクセス要求を送信し（ステップ１）、
アクタ装置Ｂは、アクセス要求に含まれる電子証明書ａに自らの電子証明書ｂを用いて署名し（ステップ２）、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として、アクセス管理サーバに送信し（ステップ３）、
アクセス管理サーバは、アクタ装置Ｂからの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬと照合することにより、通信可否を判断し（ステップ４）、判断結果をアクタ装置Ｂに送信し（ステップ５）、
アクタ装置Ｂは、アクタ装置Ａに対して、アクセス要求に対して電子証明書ｂを付与したアクセス応答を送信し（ステップ６）、
アクタ装置Ａでは、アクセス応答に付加されている電子証明書ｂに電子証明書ａを用いて署名し（ステップ７）、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求としてアクセス管理サーバに送信し（ステップ８）、
アクセス管理サーバは、アクタ装置Ａからの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、アクセスリスト及びＣＲＬと照合することにより、通信可否を判断し（ステップ９）、判断結果をアクタ装置Ａに送信し（ステップ１０）、
認証後、アクタ装置Ａとアクタ装置Ｂ間で通信を行う（ステップ１１）。
【００２２】
また、本発明（請求項２）は、認証局装置において、必要に応じて、電子証明書を失効させる。
【００２３】
また、本発明（請求項３）は、アクセスリストを、電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、ＣＲＬの形式に変換し、ＣＲＬとして保存し、
アクセス管理サーバは、ＣＲＬのみを参照する。
【００２４】
図２は、本発明の原理構成図である。
【００２５】
本発明（請求項４）は、複数のアクタ装置２００と、ＣＵＧに属するすべてのアクタに対して登録されている証明書を発行する認証局装置１００と、アクタ装置２００からの電子証明書が付加された通信可否要求に応じて、通信可否を判断し、通信可否の判断結果を該アクタ装置に送信するアクセス管理サーバ３００と、を有し、インターネット上で任意のアクタ装置２００間で直接通信しながらＣＵＧを構成するためのＣＵＧ提供システムであって、
通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト２０と、
電子証明書の有効性を規定するＣＲＬ３０と、を有し、
アクタ装置２００は、
他のアクタ装置から、認証局装置１００から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求としてアクセス管理サーバ３００に送信する通信可否問い合わせ手段２２０と、
アクセス管理サーバ３００からの通信可否の判断結果を受信し、該判断結果に基づいて、相手のアクタ装置との通信を行う通信手段２６０と、を有し、
アクセス管理サーバ３００は、
アクタ装置２００からの通信可否判断要求に含まれる電子証明書ａと電子証明書ｂの組について、アクセスリスト及びＣＲＬと照合することにより、通信可否を判断する通信可否判定手段３１０と、
通信可否判定手段３１０における判断結果を該アクタ装置に返却する判断結果送信手段３２０と、を有する。
【００２７】
また、本発明（請求項５）は、認証局装置１００において、必要に応じて、電子証明書を失効させる手段を更に有する。
【００２８】
また、本発明（請求項６）は、アクセス管理サーバ２００の通信可否判定手段２１０において、
アクセスリストを、電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、ＣＲＬの形式に変換し、ＣＲＬとして保存されている場合に、該ＣＲＬのみを参照する手段を含む。
【００２９】
本発明（請求項７）は、インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（Closed User Group)を構成するシステムにおいて、該アクタ装置とネットワークを介して接続されたアクセス管理サーバとして利用されるコンピュータに実行させるＣＵＧ提供プログラムであって、
前記アクタ装置が、他のアクタ装置から、認証局装置から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として送信した通信可否判断要求を受信するステップと、
前記アクタ装置からの通信可否判断要求に含まれる前記電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬ(Certificate Revocation List)を照合することにより、通信可否を判断する通信可否判定ステップと、
前記通信可否判定ステップにおける判断結果を該アクタ装置に返却する判断結果送信ステップと、を実行させる。
【００３０】
本発明（請求項８）は、請求項９記載のＣＵＧ提供プログラムを格納した記憶媒体である。
【００３１】
上記のように、本発明では、アクセス管理サーバが、ＣＵＧ構成メンバを規定したアクセスリストと電子証明書の有効性を規定するＣＲＬを保存することにより、アクタには、認証情報を保存する必要がなくなる。
【００３２】
また、通信可能な通信元アクタの電子証明書ＩＤと通信先アクタの電子証明書ＩＤの組によりアクセスリストを構成することにより、アクセス管理サーバがアクタの秘密情報を保存する必要がなくなる。
【００３３】
【発明の実施の形態】
以下、図面と共に本発明の実施の形態について説明する。
【００３４】
図３は、本発明の一実施の形態におけるシステム構成を示す。
【００３５】
同図に示すシステムは、認証局１００、アクタ装置２００、アクセス管理サーバ３０、アクセスリスト２０、ＣＲＬ３０から構成される。
【００３６】
同図に示す認証局１００Ａ，１００Ｂは、図４に示すように、それぞれ、アクタの身元を証明する電子証明書を発行する電子証明書発行部１１０と、当該電子証明書を失効させる電子証明書失効部１２０を有する。
【００３７】
同図に示すアクタ装置２００Ａ，２００Ｂは、それぞれ、図５に示すように、電子証明書を使って相手のアクタ装置にアクセス要求を行うアクセス要求部２１０、通信可否判定をアクセス管理サーバ３００に問い合わせる問い合わせ部２２０、電子証明書を使ってアクセス要求に対する応答を受信する応答受信部２３０、通信可能となった他のアクタ装置との間で鍵交換を行う鍵交換部２４０、他のアクタ装置２００と暗号化通信を行う暗号化通信部２５０から構成される。
【００３８】
同図に示すアクセス管理サーバ３００は、図６に示すように、通信者の電子証明書の組をアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判定する通信可否判定部３１０と、通信可否判定部３１０で判定された結果をアクタ装置１００へ返却する応答部３２０から構成される。
【００３９】
上記の構成により、アクタ装置１００の保存する情報は、自らの電子証明書とアクセス管理サーバ３００のアドレスのみとなる。
【００４０】
また、アクセス管理サーバ３００に保存される情報は、公開されている電子証明書ＩＤをキーとする、電子証明書の無効情報と通信可能な組み合わせの情報のみである。
【００４１】
次に、上記の構成における動作を説明する。
【００４２】
図７は、本発明の一実施の形態における動作のシーケンスチャートである。
【００４３】
同図のＳ１００で示される範囲の動作は、従来技術を用いて、アクタ装置２００が、認証局装置１００から電子証明書を取得し、ＣＲＬを配布する手順を示している。
【００４４】
アクタ装置１００Ａは、認証局装置１００から発行された電子証明書ａを含むアクセス要求をアクタ装置１００Ｂへ送る（ステップ１０１）。
【００４５】
アクタ装置１００Ｂは、アクセス要求に含まれる電子証明書ａに自らの電子証明書ｂを用いて署名し、アクセス管理サーバ３００に通信可否判定要求（電子証明書ａ＋電子証明書ｂ＋署名）を送る（ステップ１０２）。このように、自らの署名を付けて通信可否判断要求を送ることにより、他アクタによる成り済ましを防ぎ、かつ、通信の発起アクタの電子証明書と対応アクタの電子証明書の組を作ることができる。
【００４６】
アクセス管理サーバ３００は、通信可否判定部３１０において、電子証明書ａと電子証明書ｂの組み合わせをアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判定し、応答部３２０よりアクタ装置２００Ｂへ通信可否判断応答を送る（ステップ１０３）。
【００４７】
アクタ装置２００Ｂは、アクセス要求部２１０により、自らの電子証明書ｂを用いて、アクタ装置１００Ａへアクセス応答を送る（ステップ１０４）。
【００４８】
アクタ装置２００Ａは、問い合わせ部２２０において、アクセス応答に付いている電子証明書ｂに自らの電子証明書ａを用いて署名し、アクセス管理サーバ３００へ通信可否判断要求（電子証明書ｂ＋電子証明書ａ＋署名）を送る（ステップ１０５）。
【００４９】
アクセス管理サーバ３００は、アクタ装置２００Ｂの場合と同様に、アクタ装置２００Ａへ通信可否判断応答を送る（ステップ１０６）。
【００５０】
これらの認証が終わった後、アクタ装置２００Ａとアクタ装置２００Ｂは、鍵交換部２４０において暗号鍵を交換し（ステップ１０７）、暗号化通信部２５０において暗号通信を開始する（ステップ１０８）。
【００５１】
その後、一定時間が経過した場合、または、一定量の通信が行われた場合には、再度、アクセス要求を繰り返すことにより、アクタ装置２００が分散している環境においても一定間隔でアクタ装置２００のアクセス権を更新することができる。
【００５２】
【実施例】
以下、図面と共に本発明の実施例を説明する。
【００５３】
［第１の実施例］
アクタ装置２００の通信機能を実現するため、インターネット通信可能なデバイス（ＩＰデバイス）が利用できる。ＩＰデバイスは、ＣＵＧを形成するため、ＩＰＳｅｃなどによる暗号化通信機能と、ＩＫＥ（Internet Key Exchange)等の認証と暗号鍵交換機能を持つ必要がある。当該ＩＰデバイスのＩＫＥ機能により、図５に示す、通信開始時に電子証明書を使って相手のＩＰデバイス鍵交換要求を起こすアクセス要求部２１０、証明書の有効性をオンラインで証明書の状態を問い合わせる問い合わせ部２２０、電子証明書を使って相手のＩＰデバイスに鍵交換応答を返す鍵交換部２４０を実現でき、さらに、ＩＰＳｅｃ機能により、暗号化通信を行う暗号化通信部２５０を実現できる。但し、オンライン証明証状態要求に自らの証明書を用いて署名し、成り済ましを防ぐと共に、通信の発起ＩＰデバイスの電子証明書と応答ＩＰＤデバイスの電子証明書の組を作らなければならない。
【００５４】
次に、上記のＩＰＳｅｃ機能及び、ＩＫＥ機能を用いた構成における動作を説明する。
【００５５】
以下、図３に示すアクタ装置をＩＰデバイスとして説明する。
【００５６】
▲１▼ ＩＰデバイスＡは、ＩＰデバイスＢへの通信開始の際に、ＩＫＥ機能を用いて、発行された電子証明書ａを付加した鍵交換要求を送る。
【００５７】
▲２▼ ＩＰデバイスＢは、当該鍵交換要求に付加されている電子証明書ａに自らの電子証明書ｂを用いて署名し、証明書を検証するアクセス管理サーバ３００へオンライン証明証状態要求を送信する。このように、自らの署名を付加して通信可否判断要求を送ることにより、他ＩＰデバイスを用いた成り済ましを防ぎ、かつ、通信の発起ＩＰデバイスの電子証明書と応答アクタの電子証明書の組を作ることができる。
【００５８】
▲３▼ アクセス管理サーバ３００は、電子証明書ａと電子証明証ｂの組み合わせをアクセスリスト２０及びＣＲＬ３０と照合して通信の可否を判断し、アクタ装置（ＩＰデバイスＢ）へ通信可否判断応答を送る。
【００５９】
▲４▼ ＩＰデバイスＢは、自らの電子証明書ｂを付加して、ＩＰデバイスＡへアクセス応答を送る。
【００６０】
▲５▼ ＩＰデバイスＡは、アクセス応答に付加されている電子証明書ｂに自らの電子証明書ａを用いて署名し、アクセス管理サーバ３００へ通信可否判断要求を送る。
【００６１】
▲６▼ アクセス管理サーバ３００は、ＩＰデバイスＢと同様に、ＩＰデバイスＡへ通信可否判断応答を送る。
【００６２】
▲７▼ これらの認証が終わった後、ＩＰデバイスＡとＩＰデバイスＢは暗号鍵を交換し、暗号通信を開始する。その後一定時間が経過した場合、または、一定量の通信が行われた場合には、再度、アクセス要求を繰り返すことにより、アクタが分散している環境においても、一定間隔でアクタのアクセス権を更新することができる。
【００６３】
［第２の実施例］
本実施例では、前述の第１の実施例の方法に加えて、ＣＵＧの管理者がアクセス権を与えるアクタ装置に電子証明書を発行し、必要に応じてこれを失効させられる認証局を導入できる。この電子証明書は、従来の技術と同様に、アクタ装置の公開鍵に対して署名を行うものであるが、電子証明書の保有がアクセス権を表すように意味付けすることにより、前述の方法に比べて、システム構成を簡略化できる。
【００６４】
図８は、本発明の他の実施例のシステム構成図である。
【００６５】
認証局１００は、図４に示すように、ＣＵＧへのアクセス権を意味する証明書をアクタ装置に発行する電子証明書発行部１１０と、失効させる電子証明書失効部１２０を有する。アクタ装置２００とアクセス管理サーバ３００は、それぞれ図５と図６の機能を有する。
【００６６】
アクタ装置２００とアクセス管理サーバ３００は、図８の構成により、アクセスリスト２０には、ＣＵＧの認証局１００から証明書を発行しているメンバのうち、通信可能な組み合わせが不可能な組み合わせのどちらかを記述すればよいため、検索対象が少なくなるようにアクセスリスト２０を構成できる。また、アクセス管理サーバ３００は、ＣＲＬ３０を検証すれば済むようになり、通信可否判定に係る時間が減少する。
【００６７】
［第３の実施例］
本実施例では、前述の第２の実施例の方法に加えて、アクセスリスト２０をＣＲＬ３０へ変換する方法について説明する。第１・第２の実施例では、アクセス管理サーバ３００は、アクセスリスト２０とＣＲＬ３０の２つの情報を検索する必要があったが、アクセスリスト２０をＣＲＬ形式へ変換することにより、ＣＲＬの情報のみを検索すればよくなり、システム構成を簡略化できる。
【００６８】
図９は、本発明の第３の実施例のシステム構成図である。同図に示すように、アクセス管理サーバ３００は、通信者（アクタ装置Ａ・アクタ装置Ｂ）の証明書の組をＣＲＬ３０のみを照合して通信の可否を判断し、アクタ装置へ返答する機能を持つ。認証局１００とアクタ装置２００は、それぞれ図４、図５の機能を持つ。図９の構成のアクセスリスト２０には、ＣＵＧの認証局１００から証明書を発行しているメンバのうち、通信不可能な証明書ＩＤの組み合わせを記述してある。ここで、証明書ａから通信不可能な証明書の集合は、前述の第２の実施例と同様に、証明書ａに対する証明書失効情報に置換される。そこで、判定元の証明書毎に異なるビューを持てるようにＣＲＬ３０を構築すれば、２つの通信可否判定情報をＣＲＬ形式に統一できる。その結果、ＣＲＬ３０に対して最適化された非常に高速な検索システムを利用できるようになる。
【００６９】
また、上記の実施の形態及び実施例におけるアクセス管理サーバ３００の動作をプログラムとして構築し、アクセス管理サーバとして利用されるコンピュータにインストールする、または、ネットワークを介して流通させることも可能である。
【００７０】
また、構築されたプログラムをアクセス管理サーバとして利用されるコンピュータに接続されるハードディスクや、フレキシブルディスク、ＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発明を実施する際にインストールすることも可能である。
【００７１】
なお、本発明は、上記の実施の形態及び実施例に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【００７２】
【発明の効果】
上述のように、本発明によれば、以下のような効果を奏する。
【００７３】
第１には、様々なアクタ間でＣＵＧを簡便に生成、または、変更でき、また、モバイル環境などにおいて資源の限られたアクタ同士でもＣＵＧを構成できる。従って、ユーザの嗜好に合わせたコンテンツや通信環境を持つプライベート・ネットワークを提供するサービスを実現することができる。
【００７４】
その理由は、ＣＵＧメンバが変更した場合に、アクセス管理サーバのアクセスリストを変更するだけで、新たなメンバ認証を実現できるからである。例えば、電子証明書ｃを持つアクタＣをメンバに入れる場合、アクセスリストに通信可能な電子証明書ＩＤの組として（電子証明書ａ，電子証明書ｃ）と、（電子証明書ｂ，電子証明書ｃ）を追加すれば、アクタａまたは、アクタｂに変更を加えることなく、例えば、アクタｃからアクタａへ通信することが可能となる。
【００７５】
第２には、外部からアクタへのアクセスを制限することができ、セキュリティを向上させることができる。
【００７６】
その理由は、全アクタが双方向に通信を開始できるというアクセスポリシを持つＣＵＧを構成した場合、認証局からの電子証明書を持って入ればアクセス可能であると判定できるため、アクセスリストに情報を保存する必要がない。また、アクタａがＣＵＧから外れてアクセス権を失った場合にも、アクタａに関する多数のアクセス不可リストを作成することがなく、電子証明書を失効させて１つの電子証明書失効情報をＣＲＬへ登録すればよいため、検索対象を少なくすることが可能である。
【００７７】
第３には、汎用のシステムに変更を加えることなく、本発明の機能を実現できる。
【００７８】
その理由は、アクタａとアクタｂが通信できないというアクセスポリシを持つＣＵＧを構成した場合（電子証明書ａ，電子証明書ｂ）の組がアクセスリストに用意される。これを元に、ＣＲＬでは、電子証明書ａに対するＣＲＬに電子証明書ｂが統合され、電子証明書ｂに対するＣＲＬに電子証明書ａが統合される。これにより、アクセス管理サーバにＯＣＳＰレスポンダなど既存の電子証明書有効性検索システムを流用することができ、安価に高速なシステムを構築することが可能となる。
【図面の簡単な説明】
【図１】本発明の原理を説明するための図である。
【図２】本発明の原理構成図である。
【図３】本発明の一実施の形態におけるシステム構成図である。
【図４】本発明の一実施の形態における認証局装置の構成図である。
【図５】本発明の一実施の形態におけるアクタ装置の構成図である。
【図６】本発明の一実施の形態におけるアクセス管理サーバの構成図である。
【図７】本発明の一実施の形態における動作のシーケンスチャートである。
【図８】本発明の第２の実施例のシステム構成図である。
【図９】本発明の第３の実施例のシステム構成図である。
【図１０】従来のシステムにおける動作のシーケンスチャートである。
【符号の説明】
１０ 電子証明書
２０ アクセスリスト
３０ ＣＲＬ
１００ 認証局装置
２００ アクタ装置
２１０ アクセス要求部
２２０ 通信可否問い合わせ手段、問い合わせ部
２３０ 応答受信部
２４０ 鍵交換部
２５０ 暗号化通信部
２６０ 通信手段
３００ アクセス管理サーバ
３１０ 通信可否判定手段、通信可否判定部
３２０ 判断結果送信手段、応答部
Claims (8)
- インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（Closed User Group)を構成するためのＣＵＧ管理方法において、
アクタ装置Ａは、認証局装置から発行された電子証明書ａを用いて、通信相手のアクタ装置Ｂにアクセス要求を送信し、
前記アクタ装置Ｂは、前記アクセス要求に含まれる前記電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として前記アクセス管理サーバに送信し、
前記アクセス管理サーバは、前記アクタ装置Ｂからの前記通信可否判断要求に含まれる前記電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬ（Certificate Revocation List）と照合することにより、通信可否を判断し、判断結果を前記アクタ装置Ｂに送信し、
前記アクタ装置Ｂは、前記アクタ装置Ａに対して、前記アクセス要求に対して前記電子証明書ｂを付与したアクセス応答を送信し、
前記アクタ装置Ａでは、前記アクセス応答に付加されている前記電子証明書ｂに前記電子証明書ａを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として前記アクセス管理サーバに送信し、
前記アクセス管理サーバは、前記アクタ装置Ａからの前記通信可否判断要求に含まれる前記電子証明書ａと電子証明書ｂの組について、前記アクセスリスト及び前記ＣＲＬと照合することにより、通信可否を判断し、判断結果を前記アクタ装置Ａに送信し、
認証後、前記アクタ装置Ａと前記アクタ装置Ｂ間で通信を行うことを特徴とするＣＵＧ管理方法。 - 前記認証局装置において、
必要に応じて、前記電子証明書を失効させる請求項１記載のＣＵＧ管理方法。 - 前記アクセスリストを、前記電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、前記ＣＲＬの形式に変換し、ＣＲＬとして保存し、
前記アクセス管理サーバは、
前記ＣＲＬのみを参照する請求項１記載のＣＵＧ管理方法。 - 複数のアクタ装置と、
ＣＵＧ（Closed User Group)に属するすべてのアクタに対して登録されている証明書を発行する認証局装置と、
前記アクタ装置からの電子証明書が付加された通信可否要求に応じて、通信可否を判断し、通信可否の判断結果を該アクタ装置に送信するアクセス管理サーバと、
を有し、インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧを構成するためのＣＵＧ提供システムであって、
通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリストと、
電子証明書の有効性を規定するＣＲＬ(Certificate Revocation List) と、を有し、
前記アクタ装置は、
他のアクタ装置から、前記認証局装置から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として前記アクセス管理サーバに送信する通信可否問い合わせ手段と、
前記アクセス管理サーバからの前記通信可否の判断結果を受信し、該判断結果に基づいて、相手のアクタ装置との通信を行う通信手段と、を有し、
前記アクセス管理サーバは、
前記アクタ装置からの前記通信可否判断要求に含まれる前記電子証明書ａと前記電子証明書ｂの組について、前期アクセスリスト及び前記ＣＲＬと照合することにより、通信可否を判断する通信可否判断手段と、
前記通信可否判断手段における判断結果を該アクタ装置に返却する判断結果送信手段と、
を有することを特徴とするＣＵＧ提供システム。 - 前記認証局装置は、必要に応じて、前記電子証明書を失効させる手段を更に有する請求項４記載のＣＵＧ提供システム。
- 前記アクセス管理サーバの通信可否判定手段は、
前記アクセスリストを、前記電子証明書ａから通信不可能な証明書の集合を、該電子証明書ａに対する証明書失効情報に変換することにより、前記ＣＲＬの形式に変換し、該ＣＲＬとして保存される場合に、該ＣＲＬのみを参照する手段を含む請求項４記載のＣＵＧ提供システム。 - インターネット上で任意のアクタ装置間で直接通信しながらＣＵＧ（Closed User Group)を構成するシステムにおいて、該アクタ装置とネットワークを介して接続されたアクセス管理サーバとして利用されるコンピュータに実行させるＣＵＧ提供プログラムであって、
前記アクタ装置が、他のアクタ装置から、認証局装置から発行された電子証明書ａを用いたアクセス要求を受け取ると、該アクセス要求に含まれる該電子証明書ａに自らの電子証明書ｂを用いて署名し、該電子証明書ａと該電子証明書ｂの組及び該署名を通信可否判断要求として送信した通信可否判断要求を受信するステップと、
前記アクタ装置からの通信可否判断要求に含まれる前記電子証明書ａと電子証明書ｂの組について、通信元のアクタ装置の電子証明書ＩＤと通信先のアクタ装置の電子証明書ＩＤの組を要素とする集合により表現されたアクセスリスト及び、電子証明書の有効性を規定するＣＲＬ(Certificate Revocation List)を照合することにより、通信可否を判断する通信可否判定ステップと、
前記通信可否判定ステップにおける判断結果を該アクタ装置に返却する判断結果送信ステップと、を実行させることを特徴とするＣＵＧ提供プログラム。 - 請求項７記載のＣＵＧ提供プログラムを格納したことを特徴とするＣＵＧ提供プログラムを格納した記憶媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002154678A JP3908982B2 (ja) | 2002-05-28 | 2002-05-28 | ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002154678A JP3908982B2 (ja) | 2002-05-28 | 2002-05-28 | ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003345742A JP2003345742A (ja) | 2003-12-05 |
| JP3908982B2 true JP3908982B2 (ja) | 2007-04-25 |
Family
ID=29771416
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002154678A Expired - Lifetime JP3908982B2 (ja) | 2002-05-28 | 2002-05-28 | ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3908982B2 (ja) |
Families Citing this family (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CA2872032A1 (en) * | 2004-01-09 | 2005-08-04 | Corestreet, Ltd. | Signature-efficient real time credentials for ocsp and distributed ocsp |
| US8601283B2 (en) | 2004-12-21 | 2013-12-03 | Sandisk Technologies Inc. | Method for versatile content control with partitioning |
| TW200636554A (en) * | 2004-12-21 | 2006-10-16 | Sandisk Corp | Memory ststem with versatile content control |
| US8051052B2 (en) | 2004-12-21 | 2011-11-01 | Sandisk Technologies Inc. | Method for creating control structure for versatile content control |
| US7748031B2 (en) | 2005-07-08 | 2010-06-29 | Sandisk Corporation | Mass storage device with automated credentials loading |
| JP5052809B2 (ja) * | 2006-03-31 | 2012-10-17 | 株式会社エヌ・ティ・ティ・データ | 認証システム、認証サーバおよびプログラム |
| US8613103B2 (en) | 2006-07-07 | 2013-12-17 | Sandisk Technologies Inc. | Content control method using versatile control structure |
| US8140843B2 (en) | 2006-07-07 | 2012-03-20 | Sandisk Technologies Inc. | Content control method using certificate chains |
| US8639939B2 (en) | 2006-07-07 | 2014-01-28 | Sandisk Technologies Inc. | Control method using identity objects |
| US8245031B2 (en) | 2006-07-07 | 2012-08-14 | Sandisk Technologies Inc. | Content control method using certificate revocation lists |
| US8266711B2 (en) | 2006-07-07 | 2012-09-11 | Sandisk Technologies Inc. | Method for controlling information supplied from memory device |
| JP4837470B2 (ja) * | 2006-07-19 | 2011-12-14 | Ｋｄｄｉ株式会社 | Ｖｐｎサーバホスティングシステム、ｖｐｎ構築方法、およびコンピュータプログラム |
| US9104618B2 (en) | 2008-12-18 | 2015-08-11 | Sandisk Technologies Inc. | Managing access to an address range in a storage device |
-
2002
- 2002-05-28 JP JP2002154678A patent/JP3908982B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003345742A (ja) | 2003-12-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102970299B (zh) | 文件安全保护系统及其方法 | |
| Xue et al. | A dynamic secure group sharing framework in public cloud computing | |
| US7181620B1 (en) | Method and apparatus providing secure initialization of network devices using a cryptographic key distribution approach | |
| US8756423B2 (en) | System and method for establishing a secure group of entities in a computer network | |
| US20090158394A1 (en) | Super peer based peer-to-peer network system and peer authentication method thereof | |
| WO2019137067A1 (zh) | 密钥分发方法、装置及系统 | |
| JP4770423B2 (ja) | ディジタル証明書に関する情報の管理方法、通信相手の認証方法、情報処理装置、ｍｆｐ、およびコンピュータプログラム | |
| US20090240941A1 (en) | Method and apparatus for authenticating device in multi domain home network environment | |
| US20100154040A1 (en) | Method, apparatus and system for distributed delegation and verification | |
| US8402511B2 (en) | LDAPI communication across OS instances | |
| KR20140127303A (ko) | 다중 팩터 인증 기관 | |
| JP2011523520A (ja) | ネットワーク内のステーション分散識別方法 | |
| CA2407482A1 (en) | Security link management in dynamic networks | |
| JP3908982B2 (ja) | ＣＵＧ（ＣｌｏｓｅｄＵｓｅｒＧｒｏｕｐ）管理方法及びＣＵＧ提供システム及びＣＵＧ提供プログラム及びＣＵＧ提供プログラムを格納した記憶媒体 | |
| US20180375850A1 (en) | Secure communication network | |
| WO2008002081A1 (en) | Method and apparatus for authenticating device in multi domain home network environment | |
| Pippal et al. | CTES based Secure approach for Authentication and Authorization of Resource and Service in Clouds | |
| JP2007067631A (ja) | Ｖｐｎサーバホスティングシステム、およびｖｐｎ構築方法 | |
| CN107493294A (zh) | 一种基于非对称加密算法的ocf设备的安全接入与管理控制方法 | |
| US7526560B1 (en) | Method and apparatus for sharing a secure connection between a client and multiple server nodes | |
| EP1619822A1 (en) | Delegation protocol | |
| JP2007310619A (ja) | 認証方式及びこれを用いた認証システム | |
| JP4499575B2 (ja) | ネットワークセキュリティ方法およびネットワークセキュリティシステム | |
| JP4837470B2 (ja) | Ｖｐｎサーバホスティングシステム、ｖｐｎ構築方法、およびコンピュータプログラム | |
| Ingle et al. | EGSI: TGKA based security architecture for group communication in grid |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040310 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060704 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060901 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060926 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20061122 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20061130 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070116 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070119 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 3908982 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110126 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110126 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120126 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130126 Year of fee payment: 6 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |