JP4047592B2 - 通信接続システム、方法、プログラム及び電子投票システム - Google Patents
通信接続システム、方法、プログラム及び電子投票システム Download PDFInfo
- Publication number
- JP4047592B2 JP4047592B2 JP2002019029A JP2002019029A JP4047592B2 JP 4047592 B2 JP4047592 B2 JP 4047592B2 JP 2002019029 A JP2002019029 A JP 2002019029A JP 2002019029 A JP2002019029 A JP 2002019029A JP 4047592 B2 JP4047592 B2 JP 4047592B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- relay device
- security
- policy
- domain
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、異なるドメイン間で情報をセキュアに通信する際に用いられる通信方法、プログラム及びシステムに係り、特に、他のドメインから不正パケットの流入を阻止し得る通信接続システム、方法、プログラム及び電子投票システムに関する。
【０００２】
【従来の技術】
従来、異なるドメインに属する各エンティティ装置が互いに情報をセキュアに通信する際に、各エンティティ装置が互いに電子メールシステムの一部の場合、ＰＧＰ(Pretty Good Privacy)やＳ／ＭＩＭＥ(Secure Multimedia Internet Mail Extensions)などの暗号メールにより、送信者の確認や電文の秘匿が行われている。
【０００３】
一方、各エンティティ装置が互いにＷＷＷ(World Wide Web)におけるクライアント／サーバシステムの一部の場合、ＳＳＬ(secure sockets layer)により、相互認証や通信データの秘匿が行われている。
【０００４】
このように、各エンティティ装置間のセキュア通信の際に、暗号メールやＳＳＬ等を利用するアプリケーションにより、セキュアに保護される層が異なることから、場合によっては、ユーザはアプリケーションに対応してセキュアに保護される層を把握しておく必要がある。
【０００５】
また、各ドメイン間でセキュリティポリシーが異なる際に、例えば通信相手側の認証精度が当方の要求水準よりも低いときのように、正当な通信相手か否かの疑問が残る場合でも、認証結果が肯定的であれば通信相手側に接続されて通信が実行される。この場合の接続は、通信相手が不正なエンティティ装置であると、セキュリティホールとなって不正なパケットを流入させてしまう可能性がある。
【０００６】
【発明が解決しようとする課題】
以上説明したように、異なるドメインに属する各エンティティ装置間のセキュア通信では、場合により、ユーザがアプリケーションに応じてセキュアに保護される層を把握しておく必要がある。
【０００７】
また、異なるセキュリティポリシーをもつ他のドメインのエンティティ装置と通信する際には、通信相手が不正なエンティティ装置の場合、不正なパケットを流入させる可能性がある。
【０００８】
本発明は上記実情を考慮してなされたもので、アプリケーションに応じてセキュアに保護される層を把握でき、且つ、異なるドメインとの通信の際に、不正なパケットの流入を阻止し得る通信接続システム、方法、プログラム及び電子投票システムを提供することにある。
【０００９】
【課題を解決するための手段】
第１の発明は、互いに異なるドメインに属するエンティティ装置間で各々の中継装置とオープンなネットワークとを介してセキュア通信を接続するための通信接続システムであって、前記各中継装置としては、自己の属するドメインのエンティティ装置から受けた、個人認証の認証方式及び認証精度を含む認証関連情報と、当該エンティティ装置が前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とからセキュリティポリシーを作成するポリシー作成手段と、前記ポリシー作成手段により作成されたセキュリティポリシーを各中継装置間で交換するポリシー交換手段と、前記ポリシー交換手段により得られた相手のセキュリティポリシー内の認証関連情報とセキュリティ情報とに関し、自己のセキュリティポリシーに適合するか否かを各々検証するポリシー検証手段と、前記ポリシー検証手段による両者の検証結果が正当のとき、前記接続のための鍵交換を行なう鍵交換手段と、を備えた通信接続システムである。
【００１０】
（作用）
従って、第１の発明は以上のような手段を講じたことにより、異なるドメイン間のセキュア通信の際に、個人認証の認証精度とアプリケーションのセキュリティ情報とを含むセキュリティポリシーを交換しあい、認証精度とセキュリティ情報との両者の検証結果が正当なときのみ、セキュア通信を接続する構成により、通信要求者の正当性を認証精度とセキュリティ情報との両方から検証できるので、不正なパケットの流入を防止することができる。
【００１１】
なお、上記第１の発明は、全体を「システム」として表現した場合を示すが、これに限らず、全体又は各装置毎の「装置」、「方法」、「プログラム」又は「記憶媒体」等として表現してもよいことは言うまでもない。
【００１２】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る通信接続システムを含むネットワーク構成を示す模式図である。図示するように、互いに異なるドメインＡ，Ｂがインターネット等のオープンなネットワークＮＷを介して互いに接続されている。
【００１３】
ここで、ドメイン（第１ドメイン）Ａは、利用者側のｎ個のＰＣ(Personal Computer)端末（第１エンティティ装置）ＴＡ１０１〜ＴＡ１０ｎがＬＡＮ１及び第１ゲートウェイ（第１中継装置）ＧＷ２０を介してネットワークＮＷに接続された構成となっている。
【００１４】
同様に、ドメイン（第２ドメイン）Ｂは、認証者側のｍ個のＰＣ端末（第２エンティティ装置）ＴＢ３０１〜ＴＢ３０ｍがＬＡＮ２及び第２ゲートウェイ（第２中継装置）ＧＷ４０を介してネットワークＮＷに接続された構成となっている。なお、第１及び第２ゲートウェイＧＷ２０，ＧＷ４０は、それぞれルータに代えてもよい。また、認証者側の各ＰＣ端末ＴＢ３０１〜ＴＢ３０ｍは、個人使用の端末又は共同使用の端末でもよいし、ＷＷＷサーバ等のようにサービスを提供するサーバに代えてもよい。
【００１５】
図２は上記通信接続システムの構成を示す模式図である。ここで、各ＰＣ端末ＴＡ１０１〜ＴＡ１０ｎは、互いに同一構成のため、ＴＡ１０１を例に挙げて説明する。同様に、各ＰＣ端末ＴＢ３０１〜ＴＢ３０ｍも互いに同一構成のため、ＴＢ３０１を例に挙げて説明する。
【００１６】
利用者側のＰＣ端末ＴＡ１０１は、メモリ部１１、センサ部１２及び認識部１３からなるセンサ装置１４に接続されており、端末鍵メモリ部１５、セキュリティ情報生成部１６、ポリシー情報生成部１７及びＧＷ認証部１８を備えている。
【００１７】
メモリ部１１は、利用者の生体情報を照合するための予め設定された照合データ、照合用の設定情報（精度等）、機器認証用鍵、公開鍵証明書及び認証用機器ＩＤが認識部１３から読出可能に予め記憶されている。
【００１８】
ここで、照合データは、利用者の指紋、虹彩、声紋、筆跡、キーストローク等の任意のもの（種類及び精度）が使用可能であるが、ここでは指紋情報の高精度の値を用いるものとする。また、照合データは、センサ装置１４に設けられた耐タンパー性のメモリ部１１内、もしくはセンサ装置１４に装着されるスマートカード内の耐タンパーメモリに格納されており、不正な読出から保護されている。
【００１９】
機器認証用鍵は、自装置１４の認証に用いられる公開鍵ペアであり、公開鍵証明書により公開鍵の有効性が証明されている。
【００２０】
公開鍵証明書は、予めＴＴＰ(Trusted Third Party)である証明書発行機関から発行され、前述した公開鍵ペア（機器認証用鍵）のうちの公開鍵を含むものである。なお、同様に、他の装置ＴＡ１０１，ＧＷ２０，ＴＢ３０１，ＧＷ４０で用いられる公開鍵証明書も証明書発行機関から発行され、公開鍵を含むものである。
【００２１】
秘密鍵は、この公開鍵ペアのうちの他方の鍵であり、メモリ部１１のうちの耐タンパー領域（又は他の耐タンパーメモリ）に格納されて秘匿されている。
【００２２】
認証用機器ＩＤは自装置１４の認証に用いられる識別情報であり、自装置の電子署名に使用されるものである。
【００２３】
センサ部１２は、利用者の指紋を測定し、得られた指紋情報を認識部１３に入力する機能をもっている。
【００２４】
認識部１３は、センサ部１２から入力された指紋情報の正当性をメモリ部１１の照合データに基づいて認証し、認証結果（ＯＫ又はＮＧ）を含む認証結果署名を生成し、得られた認証結果署名をＰＣ端末ＴＡ１０１に出力する機能と、ＰＣ端末１０１から受ける電子署名を検証する機能とをもっている。
【００２５】
ここで、認証結果署名は、図３に示すように、認証方法ｃ１、認証機器ＩＤｃ２、認証精度（他人排除率ＦＡＲ又は本人拒否率ＦＲＲ）ｃ３、認証結果ｃ４、ｃ１〜ｃ４に対する電子署名としての認証署名データｃ５、及び認証機器の公開鍵証明書ｃ６からなるデータ群ｃ１〜ｃ６である。
【００２６】
続いて、ＰＣ端末ＴＡ１０１の各要素を、端末鍵メモリ部１５、セキュリティ情報生成部１６、ポリシー情報生成部１７及びＧＷ認証部１８の順に説明する。
【００２７】
端末鍵メモリ部１５は、自装置ＴＡ１０１の公開鍵ペア及び公開鍵証明書がＧＷ認証部１８から読出可能に予め記憶されている。
【００２８】
セキュリティ情報生成部１６は、利用者の操作により、通信に関するセキュリティ情報を生成し、このセキュリティ情報をポリシー情報生成部１７に送出する機能をもっている。
ここで、セキュリティ情報は、図４に示すように、送信先アドレスｓ１、アプリケーションｓ２、アプリケーションが行なうセキュリティｓ３，ｓ３１〜ｓ３２、他の層で行なうセキュリティｓ４，ｓ４１，ｓ４１１，ｓ４２，ｓ４２１〜ｓ４２８、を示すデータ群である。
【００２９】
なお、アプリケーションが行なうセキュリティｓ３としては、例えば、暗号アルゴリズムｓ３１及び暗号鍵長ｓ３２がある。
また、他の層で行なうセキュリティｓ４としては、例えばＳＳＬ方式ｓ４１及びそのバージョンｓ４１１などがあり、また例えばＩＰｓｅｃ方式ｓ４２及びその認証アルゴリズムｓ４２１、認証モードｓ４２２、認証用鍵ｓ４２３、暗号アルゴリズムｓ４２４、暗号モードｓ４２５、暗号鍵ｓ４２６、送信元アドレスｓ４２７、有効期限ｓ４２８などがある。
【００３０】
ポリシー情報生成部１７は、センサ装置１４を認証する機能と、認証結果が真のときにはセンサ装置１４による個人認証を実行可能とする機能とを有し、また、セキュリティポリシーを生成するためのポリシー情報のうち、セキュリティ情報生成部１６から送出されたセキュリティ情報と、センサ装置１４の認識部１３から出力された認証結果署名とを順次、ＧＷ認証部１８に送出する機能とをもっている。但し、認証結果署名は、予めセンサ装置１４とポリシー情報生成部１７との間で、ＰＣ端末ＴＡ１０１のネットワーク層により正当性が検証される。
【００３１】
ここで、ポリシー情報は、図５に示すように、図３に示した認証結果署名と、図４に示したセキュリティ情報とを備えたものである。
ＧＷ認証部１８は、端末鍵メモリ部１５内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ１を介して第１ゲートウェイＧＷ２０と相互認証を行なう機能と、相互認証の結果が正当を示すとき、ポリシー情報生成部１７から送出されたポリシー情報をＬＡＮ１を介して第１ゲートウェイＧＷ２０に送信する機能をもっている。
【００３２】
第１ゲートウェイＧＷ２０は、ＧＷ鍵メモリ部２１、端末認証部２２、セキュリティポリシー生成部２３及び交換部２４を備えている。
【００３３】
ＧＷ鍵メモリ部２１は、自装置ＧＷ２０の公開鍵ペア及び公開鍵証明書が端末認証部２２から読出可能に予め記憶されている。
【００３４】
端末認証部２２は、ＧＷ鍵メモリ２１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ１を介してＰＣ端末ＴＡ１０１と相互認証を行なう機能と、相互認証の結果が正当を示すとき、ＰＣ端末ＴＡ１０１から送信されたポリシー情報をセキュリティポリシー生成部２３に送出する機能をもっている。
【００３５】
セキュリティポリシー生成部２３は、端末認証部２２から送出されたポリシー情報に基づいて、利用者側のセキュリティポリシーデータを作成し、得られた利用者側のセキュリティポリシーデータを交換部２４に送出する機能をもっている。
【００３６】
ここで、利用者側のセキュリティポリシーデータは、認証者側のＰＣ端末ＴＢ３０１との通信を行うためのデータであり、図５に示したポリシー情報を含む内容となっている。
【００３７】
交換部２４は、ＩＰｓｅｃプロトコル（以下、ＩＰｓｅｃという）に基づいて、セキュリティポリシーデータをＳＡ(Security Association)として、第２ゲートウェイＧＷ４０との間でＳＡ交換を行なう機能と、ＳＡ交換により、セキュア通信を許可する機能をもっている。なお、ＳＡは、各装置間の接続情報であり、暗号化に必要なパラメータ群（認証方式、認証用の鍵、暗号方式、暗号鍵、暗号鍵の寿命など）を意味している。
【００３８】
具体的には交換部２４は、ＩＰｓｅｃに基づいて、認証者側のセキュリティーポリシーデータを利用者側のセキュリティポリシーデータにより検証し、検証結果が真のとき、セキュリティポリシー生成部２３から送出された利用者側のセキュリティポリシーデータを第２ゲートウェイＧＷ４０に送信する機能と、送信した利用者側のセキュリティーポリシーデータに関し、第２ゲートウェイＧＷ４０から、認証者側のセキュリティポリシーに適合する旨の検証結果を受けると、第２ゲートウェイＧＷ４０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう機能とをもっている。
【００３９】
なお、ＩＰｓｅｃによる通信の手順は、例えば“日経コミュニケーション「ＩＰＳＥＣ インターネットＶＰＮの基本技術 既設機器との相互運用が課題」、日経ＢＰ社、１９９８年６月１５日発行号”、などに解説されている。
【００４０】
一方、認証者側のＰＣ端末ＴＢ３０１は、利用者側のＰＣ端末ＴＡ１０１と同様に、端末鍵メモリ部３１、ポリシー情報提供部３２及びＧＷ認証部３３を備えている。
【００４１】
なお、認証側のＰＣ端末ＴＢ３０１は、ここでは例えばサーバ装置としても利用可能な観点から、ポリシー情報提供部３２を備えたものとしたが、これに限らず、利用者側のＰＣ端末ＴＡ１０１と全く同様に、センサ装置１４を備えた構成としてもよい。このように認証側のＰＣ端末ＴＢ３０１が利用者側のＰＣ端末ＴＡ１０１と同一の構成の場合、認証側と利用者側との区別は装置としては無く、送信側が利用者側となり、受信側が認証側となる。
【００４２】
端末鍵メモリ部３１は、自装置ＴＢ３０１の公開鍵ペア及び公開鍵証明書がＧＷ認証部３３から読出可能に予め記憶されている。
【００４３】
ポリシー情報提供部３２は、予め認証者の操作により、セキュア通信に関するポリシー情報が登録されており、このポリシー情報をＧＷ認証部３３に提供する機能をもっている。なお、認証側のポリシー情報は、利用者側のセキュリティポリシーの水準を判定するためのデータであるから、少なくとも図５に示した利用者側のポリシー情報のうち、認証署名データｃ５、認証機器公開鍵証明書ｃ６、認証用鍵ｓ４２３及び暗号鍵ｓ４２６を除いた同様の形式の各データを備えたものが用いられる。
【００４４】
ＧＷ認証部３３は、端末鍵メモリ部３１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介して第２ゲートウェイＧＷ４０と相互認証を行なう機能と、相互認証の結果が真のとき、第２ゲートウェイＧＷ４０からの要求により、ポリシー情報提供部３２から提供されたポリシー情報をＬＡＮ２を介して第２ゲートウェイＧＷ４０に送信する機能をもっている。
【００４５】
第２ゲートウェイＧＷ４０は、前述した第１ゲートウェイＧＷ２０と同様に、ＧＷ鍵メモリ部４１、端末認証部４２、セキュリティポリシー生成部４３及び交換部４４を備えている。
【００４６】
ＧＷ鍵メモリ部４１は、自装置ＧＷ４０の公開鍵ペア及び公開鍵証明書が端末認証部２２から読出可能に予め記憶されている。
【００４７】
端末認証部４２は、ＧＷ鍵メモリ４１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介してＰＣ端末ＴＢ３０１と相互認証を行なう機能と、相互認証の結果が真のとき、ＰＣ端末ＴＢ３０１にポリシー情報を要求し、得られたポリシー情報をセキュリティポリシー生成部４３に送出する機能をもっている。
【００４８】
セキュリティポリシー生成部４３は、端末認証部４２から送出されたポリシー情報に基づいて、認証者側のセキュリティポリシーデータを作成し、得られた認証者側のセキュリティポリシーデータを交換部４４に送出する機能をもっている。
【００４９】
ここで、認証者側のセキュリティポリシーデータは、利用者側のＰＣ端末ＴＡ１０１のセキュリティポリシーの水準を判定するためのデータであり、前述したように、図５に示したポリシー情報のうち、認証署名データｃ５、認証機器公開鍵証明書ｃ６、認証用鍵ｓ４２３及び暗号鍵ｓ４２６が省略された内容となっている。
【００５０】
交換部４４は、ＩＰｓｅｃに基づいて、セキュリティポリシー生成部４３から送出された認証者側のセキュリティポリシーデータを第１ゲートウェイＧＷ２０からの利用者側のセキュリティーポリシーデータと交換する機能と、交換により得た利用者側のセキュリティーポリシーデータを、認証者側のセキュリティポリシーデータにより検証し、検証結果がＯＫ（適合）を示すとき、第１ゲートウェイＧＷ２０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう機能とをもっている。
【００５１】
次に、以上のように構成された通信接続システムの動作を図６のシーケンス図を用いて説明する。
さて、電源投入済みのＰＣ端末ＴＡ１０１にセンサ装置１４が接続されたか、又はセンサ装置１４を接続済のＰＣ端末ＴＡ１０１に電源が投入された場合に、ＰＣ端末１０１は乱数を生成し、この乱数をセンサ装置１４に送信する（ＳＴ１）。
【００５２】
センサ装置１４においては、認識部１３が機器認証用鍵を用いてこの乱数に署名処理を施し、得られた電子署名を公開鍵証明書と共に、ＰＣ端末ＴＡ１０１に返信する（ＳＴ２）。
【００５３】
ＰＣ端末ＴＡ１０１においては、ポリシー情報生成部１３が、公開鍵証明書を検証してその検証結果が偽のときには処理を終了し、検証結果が真のときのみ電子署名を検証する。
【００５４】
また、ポリシー情報生成部１３は、電子署名の検証結果が真ならば接続されたセンサ装置１４が正当であるとして、センサ装置１４による個人認証を実行可能とする。電子署名の検証結果が偽の場合、センサ装置１４を不正であるとして、センサ装置１４による個人認証を実行不可とする。なお、センサ装置１４の個人認証を実行不可とする処理は、使用可能なアプリケーションのうち、個人認証を必要とするアプリケーションを実行不可とする旨を意味している。
【００５５】
次に、利用者側のＰＣ端末ＴＡ１０１にてアプリケーションが起動され、利用者側のＰＣ端末ＴＡ１０１から認証者側のＰＣ端末ＴＢ３０１にパケットを送信したいとする。
【００５６】
利用者側のＰＣ端末ＴＡ１０１においては、アプリケーションの動作により、アプリケーション情報を含むセキュリティ情報がセキュリティ情報生成部１６からポリシー情報生成部１７を介してＧＷ認証部１８に送出される一方、ＧＷ認証部１８が、第１ゲートウェイＧＷ２０との間で相互認証を実行する。
【００５７】
この相互認証結果が真のとき、ＧＷ認証部１８は、認証者側のＰＣ端末ＴＢ３０１への接続要求を第１ゲートウェイＧＷ２０に送信すると共に、セキュリティ情報をポリシー情報の一部として第１ゲートウェイＧＷ２０に送信する（ＳＴ３）。
【００５８】
第１ゲートウェイＧＷ２０は、ポリシー情報の一部に基づいて、認証者側のＰＣ端末ＴＢ３０１への接続に必要なセキュリティポリシーの一部を作成する。しかる後、第１ゲートウェイＧＷ２０は、認証要求を利用者側のＰＣ端末ＴＡ１０１に向けて送信する（ＳＴ４）。
【００５９】
利用者側のＰＣ端末ＴＡ１０１では、認証要求を受けると、予めステップＳＴ２の後にセンサ装置１４の検証結果が真とされた場合のみ、利用者に対して個人認証を行う旨を画面上に表示し、照合要求をセンサ装置１４に送信する（ＳＴ５）。
【００６０】
センサ装置１４は、照合要求を受けると、利用者による指の載置（指紋情報の入力）まで待機し、利用者の指がセンサ部１２に載置されると、センサ部１２がこの指の指紋情報を認識部１３に入力する。
【００６１】
認識部１３は、センサ部１２から入力された指紋情報の正当性をメモリ部１１の照合データに基づいて認証し、図３に示したように、認証結果（ＯＫ又はＮＧ）を含む認証結果署名を生成し、得られた認証結果署名をＰＣ端末ＴＡ１０１に出力する（ＳＴ６）。
【００６２】
ＰＣ端末ＴＡ１０１は、認証結果署名を受けると、図示しないネットワーク層が認証結果署名に含まれる公開鍵証明書と認証署名データとを順次検証し、各々の検証結果が真であれば、認証結果署名とその検証結果とを第１ゲートウェイＧＷ２０に送信する（ＳＴ７）。
【００６３】
第１ゲートウェイＧＷ２０は、この認証結果署名及び検証結果を受けると、利用者側のＰＣ端末ＴＡ１０１をインターネット等を介して認証者側のＰＣ端末ＴＢ３０１にセキュアに通信可能とするように、ＩＰｓｅｃを用いて第２ゲートウェイＧＷ４０と通信する。
【００６４】
具体的には、第１ゲートウェイＧＷ２０は、セキュリティポリシーの交換処理としての、ＩＰｓｅｃにおけるＳＡ交換に際し、始めに、交換部２４が接続要求とポリシーリクエストとを第２ゲートウェイＧＷ４０に送信する（ＳＴ８）。
【００６５】
第２ゲートウェイＧＷ４０は、この接続要求とポリシーリクエストに対し、交換部４４が、セキュリティポリシー生成部４３及び端末認証部４２を介して、ＰＣ端末ＴＢ３０１から認証者側のセキュリティポリシーを得る。
【００６６】
しかる後、第２ゲートウェイＧＷ４０は、交換部４４により、認証者側のセキュリティポリシーデータをＳＡとして第１ゲートウェイＧＷ２０に送信する（ＳＴ９）。
【００６７】
第１ゲートウェイＧＷ２０は、この認証者側のセキュリティポリシーデータに関して利用者側のセキュリティポリシーを満たすか否かを検証し、検証結果がＮＧ（否）であればその旨をＰＣ端末ＴＡ１０１に通知して処理を終了し（ＳＴ１２に進み、ＮＧ通知）、検証結果がＯＫ（満たす）であれば、利用者側のセキュリティポリシーデータを第２ゲートウェイＧＷ４０に送信する（ＳＴ１０）。
【００６８】
第２ゲートウェイＧＷ４０は、同様に、この利用者側のセキュリティポリシーデータに関して認証者側のセキュリティポリシーを満たすか否かを検証し、検証結果がＮＧであればその旨を第１ゲートウェイＧＷ２０を介してＰＣ端末１０１に通知して処理を終了し、検証結果がＯＫであれば、第１ゲートウェイＧＷ２０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう（ＳＴ１１）。
【００６９】
鍵交換の完了により、ＩＰｓｅｃにおける第１及び第２ゲートウェイＧＷ２０，ＧＷ４０間の通信が確立された場合、第１ゲートウェイＧＷ２０は、利用者側のＰＣ端末ＴＡ１０１へ通信が可能である旨を通知する（ＳＴ１２：ＯＫ）。
【００７０】
これにより、利用者側のＰＣ端末１０１は、ＬＡＮ１、第１ゲートウェイＧＷ２０、ネットワークＮＷ及び第２ゲートウェイＧＷ４０を介して、認証者側のＰＣ端末３０１とセキュア通信を実行する。
【００７１】
上述したように本実施形態によれば、異なるドメインＡ，Ｂ間のセキュア通信の際に、少なくとも個人認証の認証精度とアプリケーションのセキュリティ情報とを含むセキュリティポリシーを交換しあい、認証精度とセキュリティ情報との両者の検証結果が正当なときのみ、セキュア通信を接続する構成により、通信要求者の正当性を認証精度とセキュリティ情報との両方から検証できるので、不正なパケットの流入を防止することができる。
【００７２】
また、交換されるセキュリティポリシーは、利用者側及び認証側のうち、少なくとも利用者側では個人認証結果をも含むので、より確実に、正当性を検証することができる。また、認証側がＷＷＷサーバでなく、個人が操作する端末装置の場合に、認証側のセキュリティポリシーにも個人認証結果を含めることにより、一層確実に、正当性を検証することができる。
【００７３】
（第２の実施形態）
図７は本発明の第２の実施形態に係る電子投票システムの構成を示す模式図であり、前述した図面と同一の部分には同一符号を付し、改変した部分には記号「’」を付して前述した部分の説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００７４】
すなわち、本実施形態は、第１の実施形態を電子投票システムに適用した適用例であり、前述したドメインＡに対応するｎ個の投票所ドメインＡ１’〜Ａn’と、前述したドメインＢに対応する開票所ドメインＢ’とがネットワークＮＷを介して接続された電子投票システムを用いている。
【００７５】
なお、各投票所ドメインＡ１’，…，Ａｎ’は互いに同一構成のため、ここでは投票所ドメインＡ１’を例に挙げて説明する。また同様に、各ＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’は互いに同一構成のため、ここではＰＣ端末ＴＡ１０11’を例に挙げて説明する。
【００７６】
投票所ドメインＡ１’は、前述したＰＣ端末ＴＡ１０１〜ＴＡ１０ｎに対応するｎ個のＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’がＬＡＮ１1を介して投票所ゲートウェイＧＷ２０１’に接続され、投票所ゲートウェイＧＷ２０１’がネットワークＮＷに接続されている。
【００７７】
ＰＣ端末ＴＡ１０11’は、前述同様に、個人認証機能を有するセンサ装置１４（図示せず）に接続されており、前述同様の機能に加え、電子投票に関する機能をもっている。換言すると、ＰＣ端末ＴＡ１０11’は、前述したアプリケーションが電子投票用アプリケーションであり、電子投票用アプリケーションの実行により、電子投票に関する機能を実行する場合に相当する。
【００７８】
ここで、電子投票に関する機能には、例えば次の（１）〜（４）がある。
（１）予め指紋の照合データ及び投票権証が保持された投票者毎のスマートカード（例、ＩＣカード）の内容を読出す機能。
（２）センサ装置１４から受けた照合結果署名とその照合結果が真のとき、照合結果署名を投票所ＧＷ２０’に送出する機能。
（３）投票所ＧＷ２０’から受けた投票権証の検証結果が真のとき、スマートカードに投票権証を要求し、得られた投票権証を検証し、検証結果が真のときに投票者の端末操作に基づいて投票証を作成する機能。なお、投票証の作成時に用いる選挙管理委員会の公開鍵は予め端末ＴＡ１０11’内に保持されている。
【００７９】
（４）上記（３）で作成した投票証及び投票権証を１回だけ投票所ＧＷ２０’に送出する機能。
【００８０】
なお、投票権証は、投票所の入場券として機能する電子データであり、図８に示すように、投票者ＩＤ（通し番号）ｒ１、投票者氏名ｒ２、住所ｒ３、選挙区ｒ４、ｒ１〜ｒ４に対する選挙管理委員会のデジタル署名ｒ５からなるデータ群ｒ１〜ｒ５であり、予め選挙管理委員会から投票者に送付される。
【００８１】
照合結果署名は、前述した認証結果署名とほぼ同様のものであり、図９に示すように、認証方法ｃ１、認証機器ＩＤｃ２、認証精度（他人排除率ＦＡＲ又は本人拒否率ＦＲＲ）ｃ３、照合結果ｃ４’、ｃ１〜ｃ４に対する投票権証のデジタル署名ｃ５’からなるデータ群ｃ１〜ｃ５’であって、個人認証の際に、センサ装置１４により生成される。
【００８２】
投票証は、図１０に示すように、投票所ＩＤｖ１、端末ＩＤｖ２、投票結果ｖ３、ｖ１〜ｖ３に対する端末のデジタル署名ｖ４からなるデータ群ｖ１〜ｖ４であり、投票者の端末操作に基づいて、投票所のＰＣ端末ＴＡ１０11’により作成される。
【００８３】
投票所ゲートウェイＧＷ２０’は、前述した第１ゲートウェイＧＷ２０に対応するものである。
【００８４】
一方、開票所ドメインＢ’は、前述したＰＣ端末ＴＢ３０１に対応する開票サーバＴＢ３０’が開票所ゲートウェイＧＷ５０を介してｍ個の収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’に接続され、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’がネットワークＮＷに接続されている。
【００８５】
開票サーバＴＢ３０’は、前述したＰＣ端末ＴＢ３０１の機能に加え、開票所ゲートウェイＧＷ５０から転送される各投票証に基づいて、投票証に含まれる投票結果を集計し、集計結果を出力する機能をもっている。
【００８６】
次に、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’は互いに同一構成のため、ここでは収集ゲートウェイＧＷ４０１を例に挙げて説明する。
収集ゲートウェイＧＷ４０１’は、前述した第２ゲートウェイＧＷ４０の機能に加え、投票所ドメインＡ１’から受けた投票証を検証し、検証結果が真のとき、当該投票証を開票所ゲートウェイＧＷ５０に送出する機能をもっている。なお、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’や各投票所ゲートウェイＧＷ２０1’，…，ＧＷ２０n’は、それぞれ負荷分散の観点から、複数設置されている。すなわち、投票所ＧＷ２０1’と収集ＧＷ４０1’とが必ずしも接続される必要はなく、互いにポリシー交換をした投票所ＧＷ２０1’と収集ＧＷ４０ｉ’とが接続される。
【００８７】
開票所ゲートウェイＧＷ５０は、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’から受けた投票証を開票サーバに転送する機能をもっている。
【００８８】
次に、以上のように構成された電子投票システムの動作を図１１及び図１２のシーケンス図を用いて「投票権証の配布」及び「投票」の順に説明する。
（投票権証の配布：図１１）
投票者は、投票権証を受取可能とするように、予め自己の利用者端末ＴＵのメールアドレスを選挙管理委員会Ｅに届けておくものとする。なお、投票権証のデジタル署名の検証に用いる公開鍵証明書は、投票権証と共に送付されてもよく、また、選挙管理委員会のホームページ等からダウンロードされてもよい。また、投票者は、前述した照合データや鍵情報を格納するためのスマートカードＳＣを保有しているものとする。
【００８９】
さて図１１に示すように、利用者端末ＴＵは、図８に示した投票権証を選挙管理委員会Ｅから受信すると（ＳＴ２１）、投票権証を選挙管理委員会Ｅの公開鍵を用いて検証し、検証結果が真であれば、センサ装置１４に照合要求を送出する（ＳＴ２２）。
【００９０】
センサ装置１４は、前述同様に、指紋の生体情報が入力されると（ＳＴ２３）、スマートカードＳＣから照合データを読出して（ＳＴ２４）、生体情報を照合データに照合し、照合結果（ＯＫ／ＮＧ）を利用者端末ＴＵに送出する（ＳＴ２５）。
【００９１】
利用者端末ＴＵは、照合結果が真（ＯＫ）であれば、投票権証をスマートカードＳＣに入力し（ＳＴ２６）、スマートカードＳＣから書込みの完了通知を受ける（ＳＴ２７）。
【００９２】
これにより、投票権証に記載された投票者に関し、選挙管理委員会Ｅによる投票権証の配布処理が完了する。なお、上述したステップＳＴ２１〜ＳＴ２７は全ての投票者に対してそれぞれ行われる。
【００９３】
（投票：図１２）
予め開票所ドメインＢ’においては、収集ＧＷ４０１’は、例えば投票日にＩＰｓｅｃに基づいて、開票所ゲートウェイＧＷ５０と前述同様のＳＡ交換（ポリシー交換）を行ない（ＳＴ３１）、開票所ゲートウェイＧＷ５０と通信が接続されている。また、各投票所ドメインＡ１’，…，Ａｎ’の各ＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’は、予め選挙管理委員会Ｅの公開鍵を保持している。
【００９４】
一方、投票所ドメインＡ１’においては、投票者がスマートカードＳＣを持参してくると共に、投票所内のＰＣ端末ＴＡ１０11’の前に座る。
【００９５】
始めに、ＰＣ端末ＴＡ１０11’に接続されたセンサ装置１４は、投票者によりスマートカードＳＣが挿入され、投票者の指が置かれると、その指の指紋を測定して生体情報を得ると（ＳＴ３２）、スマートカードＳＣから照合データを読み出す（ＳＴ３３）。なお、スマートカードＳＣの挿入部位は、センサ装置１４又はＰＣ端末ＴＡ１０11’のいずれに設けてもよい。
【００９６】
さて、センサ装置１４は、指紋の生体情報と照合データとを照合し、照合結果が真であれば、前述同様に、図９に示した照合結果署名を生成し、得られた照合結果署名をＰＣ端末ＴＡ１０11’に出力する（ＳＴ３４）。
【００９７】
ＰＣ端末ＴＡ１０11’端末は、照合結果署名を検証し、検証結果が真であれば、前述同様に、照合結果署名とその検証結果を投票所ＧＷ２０１’に送信する（ＳＴ３５）。
【００９８】
投票所ＧＷ２０１’は、検証結果を受けると、ＩＰｓｅｃに基づいて、収集所ドメインＢ’の収集ＧＷ４０１’とＳＡ交換を行い、通信を接続する（ＳＴ３６）。
【００９９】
一方、ＰＣ端末ＴＡ１０11’は、スマートカードＳＣへ投票権証を要求し（ＳＴ３７）、投票権証をスマートカードＳＣから読出し（ＳＴ３８）、投票権証をそのデジタル署名ｒ５に基づいて検証する。
【０１００】
投票権証の検証結果が真であれば、ＰＣ端末ＴＡ１０11’は、投票者による投票結果（候補者名、政党名又は国民審査結果など）の入力又は選択操作に基づいて、投票所ＩＤｖ４、端末ＩＤｖ２、投票結果ｖ３に対してデジタル署名ｖ４を生成して図１０に示したような投票証を作成し、得られた投票証を投票所ＧＷ２０’に送信する（ＳＴ３９）。
【０１０１】
すなわち、ＰＣ端末ＴＡ１０11’から投票所ＧＷ２０１’へ送信されるデータは、投票所・端末のＩＤ情報ｖ１，ｖ２及び投票結果ｖ３に関する投票証のみであり、投票者のデータは送信されない。
【０１０２】
投票所ＧＷ２０１’は、投票証に含まれる端末ＩＤｖ２に基づいて、ＰＣ端末ＴＡ１０11’の公開鍵を選択し、この公開鍵に基づいて投票証を検証し、投票証の検証が真であれば、ＳＴ３６で接続した収集ＧＷ４０１’に投票証を送信する（ＳＴ４０）。
【０１０３】
収集ＧＷ４０１’は、投票証を受けると、投票証に含まれる投票所ＩＤｖ１と端末ＩＤｖ２に基づいて、ＰＣ端末ＴＡ１０11’の公開鍵を選択し、この公開鍵に基づいて、投票証を検証し、投票証の検証が真であれば、ＳＴ３１で接続した開票所ゲートウェイＧＷ５０に投票証を送信する（ＳＴ４１）。
【０１０４】
開票所ゲートウェイＧＷ５０は、各収集ＧＷ４０１’〜ＧＷ４０ｍ’から受けた投票証を開票サーバＴＢ３０’に転送する（ＳＴ４２）。
【０１０５】
開票サーバＴＢ３０’は、開票所ゲートウェイＧＷ５０から受けた投票証を集計し、集計結果を出力する。
【０１０６】
上述したように本実施形態によれば、第１の実施形態の効果に加え、異なるドメインＡ’，Ｂ’間のセキュア通信を含む電子投票システムを実現させることができる。
【０１０７】
なお、電子投票については、他にも様々な仕組みが提案されている。但し、本実施形態は、電子投票の仕組み自体には言及せず、投票データを安全に開票サーバへ送信するためのネットワークの接続方法に言及するものである。
【０１０８】
従って、電子投票の仕組み自体は任意であり、どの仕組みを用いても良いものとする。換言すると、アプリケーション層でどの様な電子投票システムを組み込んでも構わない、ということである。
【０１０９】
例えば、適用対象の電子投票が任意であることに関し、二重投票を防止する仕組み（ａ）〜（ｄ）を例に挙げて述べる。なお、二重投票とは、投票者が投票を行った場合、再度、同一の投票者が投票を行う不正行為である。このため、電子投票においても、二重投票を禁止する何らかの仕組みを用いる必要があると考えられる。なお、重ねて言うが、二重投票の禁止は、電子投票の仕組み自体の話であり、本実施形態の必須要件ではない。
【０１１０】
（ａ）投票者リストを用いる方式は、投票所ＧＷ２０１’が、投票者ＩＤ、投票権証及び投票済みフラグの組を示す投票済みリストを確認するものである。 すなわち、投票者がＰＣ端末ＴＡ１０11’の操作により投票をすると、ＰＣ端末ＴＡ１０11’は、ステップＳＴ３９において、投票証と投票権証を投票所ＧＷ２０１’に送信する。
【０１１１】
投票所ＧＷ２０１’は、投票権を検証した後、投票権証に基づいて、投票済みリスト内の投票者ＩＤに対応する投票済みフラグが“未投票”である旨を確認し、投票済みフラグを“投票済み”に更新する。
【０１１２】
これにより、投票者が同一の投票所で再度投票しようとしても、投票所ＧＷ２０１’の投票済みリストの確認により、２回目以降の投票が阻止される。
以下、ステップＳＴ４０以降の動作は前述同様に実行される。
【０１１３】
（ｂ）入場の際に、スマートカードを書換える方式は、スマートカード内の投票権証を確認し、入場済みデータをスマートカードに書込むものである。しかし、この方式は、入場済みデータが不正に消去される可能性があるため、採用され難いと考えられる。
【０１１４】
なお、入場時に投票権証を確認するには、スマートカードに予め投票権証の格納エリアのアクセス権限を、Ｗ(書込)：投票者、Ｒ(読出)：投票者／投票所管理者、Ｄ(削除)：投票所管理者、となるよう、ＰＩＮ(Personal Identification Number)を設定する必要がある。
【０１１５】
このため、スマートカードの二次発行時に、格納エリアに関し、投票所管理者のＰＩＮを設定する必要がある。各投票所管理者のＰＩＮは、投票者の住居変更を考慮して全て同一にする必要があり、また、後からの変更がほぼ不可能となる。従って、スマートカードを書換える方法はあまり現実的でない。
【０１１６】
（ｃ）入場の際に、スマートカードから投票権証を消去する方法は、スマートカード内の投票権証を確認し、投票権証を消去するものである。しかし、この方式は、帰宅した投票者に投票権証が再書込みされる可能性があるため、採用され難いと考えられる。
【０１１７】
この方法も（ｂ）の方法と似て、スマートカードに予め入場済みデータの格納エリアのアクセス権限を、Ｗ，Ｒ，Ｄ：投票所管理者、となるよう、ＰＩＮを設定する必要があり、あまり現実的でない。
【０１１８】
しかしながら、上記（ａ）〜（ｃ）の方式は、異なるドメイン間の通信を用いないので、本実施形態とは無関係に成立する。よって、本実施形態は、これら（ａ）〜（ｃ）の方式のうち、何れの方式を用いる電子投票システムに適用してもよい。すなわち、本実施形態は、異なるドメイン間の通信に関するものなので、異なるドメイン間の通信以外の仕組みに関しては任意の仕組みの任意のシステムに適用することができる。
【０１１９】
（第３の実施形態）
次に、本発明の第３の実施形態に係る電子投票システムについて図７及び図１２を用いて説明する。なお、本実施形態は、投票所ドメインＡ１’が投票所ＩＤにより指定された第２の実施形態とは異なり、投票者が任意の投票所ドメインＡ１’〜Ａｎ’の任意のＰＣ端末ＴＡ１０11’〜ＴＡ１０nn’で投票可能な場合について述べる。
【０１２０】
任意の投票所で投票される場合、前述したステップＳＴ３９〜ＳＴ４０において、投票証とは別に投票権証が送信される必要がある。これは、例えば投票証と投票権証とを別々のポートで送信すればよい。
【０１２１】
ここで、ステップＳＴ４０の結果、各収集ＧＷ４０１’〜ＧＷ４０ｍは、投票所ＧＷ２０１’〜ＧＷ２０ｎから投票証とは別に投票権証を受信すると、二重投票防止用の投票済みリストを生成する。ここで、投票済みリストは、前述同様のものであるが、投票証とは別に管理されるため、投票者の匿名性は維持される。
【０１２２】
各収集ＧＷ４０１’〜ＧＷ４０ｍは、投票証とは別に投票済みリストを開票所ゲートウェイＧＷ５０を介して開票サーバＴＢ３０’に送信する。
【０１２３】
開票サーバＴＢ３０’は、前述同様に投票証内の投票結果を集計する一方、各投票済みリストを統合し、この統合された投票済みリストを各収集ＧＷ４０１’〜ＧＷ４０ｍ及び各投票所ＧＷ２０１’〜ＧＷ２０ｎへ送信する。
【０１２４】
各投票所ＧＷ２０１’〜ＧＷ２０ｎや各収集ＧＷ４０１’〜ＧＷ４０ｍは、ステップＳＴ３９やＳＴ４０で受信した投票権証に関し、この統合された投票済みリストに無い旨を確認することにより、投票者の二重投票を防止する。
【０１２５】
上述したように本実施形態によれば、投票所が任意の場合であっても、第２の実施形態と同様の効果を得ることができ、さらに、二重投票を防止できる。
【０１２６】
具体的には、開票サーバＴＢ３０’が投票済みリストを統合し、この統合した投票済みリストを各収集ＧＷ４０１’〜ＧＷ４０ｍ及び各投票所ＧＷ２０１’〜ＧＷ２０ｎへ送信するので、投票者が異なる投票所で二重投票することを防止しつつ、任意の投票所での電子投票を実現させることができる。なお、同一の投票所での二重投票を防止する場合は、前述同様に、投票所ＧＷ２０１’，…，ＧＷ２０ｎ’毎にローカルに管理した投票済みリストを用いればよい。
【０１２７】
なお、上記第２又は第３の実施形態は、投票がある期間にわたって行われる場合や、ある時間間隔毎に各ＧＷ間で用いる暗号アルゴリズムを変えたい場合に、セキュリティポリシーを変化させることで対応できる。
【０１２８】
例えば、本システムにおける暗号アルゴリズムを変化させたい場合、図１３に示すように、セキュリティポリシーを変える指示を開票サーバＴＢ３０’から、開票所ゲートウェイＧＷ５０、各収集ＧＷ４０１’〜ＧＷ４０ｍ、各投票所ＧＷ２０１’〜ＧＷ２０ｎへ出すことにより、そのセキュリティポリシーでなければ接続できない仕組みを作ることができる。
【０１２９】
これにより、本システムが何らかの攻撃を受けた際に、暗号アルゴリズムやセキュリティをかける層を変化させることができるので、被害を最小限に抑えることが期待できる。
【０１３０】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１３１】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１３２】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１３３】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１３４】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１３５】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１３６】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１３７】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１３８】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１３９】
【発明の効果】
以上説明したように本発明によれば、オープンなネットワークを介した、異なるドメイン間での通信において、セキュリティポリシーを確認しあい、送信者から送信されたパケットの正当性を検証可能とすることで、不正なパケットの流入を防止することが可能となる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る通信接続システムを含むネットワーク構成を示す模式図。
【図２】同実施形態における通信接続システムの構成を示す模式図。
【図３】同実施形態における認証結果署名を説明するための模式図。
【図４】同実施形態におけるセキュリティ情報を説明するための模式図。
【図５】同実施形態におけるポリシー情報を説明するための模式図。
【図６】同実施形態における動作を説明するためのシーケンス図。
【図７】本発明の第２の実施形態に係る電子投票システムの構成を示す模式図。
【図８】同実施形態における投票権証を説明するための模式図。
【図９】同実施形態における照合結果署名を説明するための模式図。
【図１０】同実施形態における投票証を説明するための模式図。
【図１１】同実施形態における投票権証の配布動作を説明するためのシーケンス図。
【図１２】同実施形態における投票動作を説明するためのシーケンス図。
【図１３】第２又は第３の実施形態における変形動作を説明するためのシーケンス図。
【符号の説明】
Ａ，Ｂ…ドメイン
ＮＷ…ネットワーク
１，２…ＬＡＮ
ＴＡ１０１〜ＴＡ１０ｎ，ＴＢ３０１〜ＴＢ３０ｍ，ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’…ＰＣ端末
１１…メモリ部
１２…センサ部
１３…認識部
１４…センサ装置
１５，３１…端末鍵メモリ部
１６…セキュリティ情報生成部
１７…ポリシー情報生成部
１８，３３…ＧＷ認証部
ＧＷ２０，ＧＷ４０…ゲートウェイ
２１…ＧＷ鍵メモリ部
２２…端末認証部
２３…セキュリティポリシー生成部
２４…交換部
３２…ポリシー情報提供部
Ａ１’〜Ａn’…投票所ドメイン
Ｂ’…開票所ドメイン
ＧＷ２０１’〜ＧＷ２０ｎ’…投票所ゲートウェイ
ＴＢ３０’…開票サーバ
ＧＷ４０１’〜ＧＷ４０ｍ’…収集ゲートウェイ
ＧＷ５０…開票所ゲートウェイ
【発明の属する技術分野】
本発明は、異なるドメイン間で情報をセキュアに通信する際に用いられる通信方法、プログラム及びシステムに係り、特に、他のドメインから不正パケットの流入を阻止し得る通信接続システム、方法、プログラム及び電子投票システムに関する。
【０００２】
【従来の技術】
従来、異なるドメインに属する各エンティティ装置が互いに情報をセキュアに通信する際に、各エンティティ装置が互いに電子メールシステムの一部の場合、ＰＧＰ(Pretty Good Privacy)やＳ／ＭＩＭＥ(Secure Multimedia Internet Mail Extensions)などの暗号メールにより、送信者の確認や電文の秘匿が行われている。
【０００３】
一方、各エンティティ装置が互いにＷＷＷ(World Wide Web)におけるクライアント／サーバシステムの一部の場合、ＳＳＬ(secure sockets layer)により、相互認証や通信データの秘匿が行われている。
【０００４】
このように、各エンティティ装置間のセキュア通信の際に、暗号メールやＳＳＬ等を利用するアプリケーションにより、セキュアに保護される層が異なることから、場合によっては、ユーザはアプリケーションに対応してセキュアに保護される層を把握しておく必要がある。
【０００５】
また、各ドメイン間でセキュリティポリシーが異なる際に、例えば通信相手側の認証精度が当方の要求水準よりも低いときのように、正当な通信相手か否かの疑問が残る場合でも、認証結果が肯定的であれば通信相手側に接続されて通信が実行される。この場合の接続は、通信相手が不正なエンティティ装置であると、セキュリティホールとなって不正なパケットを流入させてしまう可能性がある。
【０００６】
【発明が解決しようとする課題】
以上説明したように、異なるドメインに属する各エンティティ装置間のセキュア通信では、場合により、ユーザがアプリケーションに応じてセキュアに保護される層を把握しておく必要がある。
【０００７】
また、異なるセキュリティポリシーをもつ他のドメインのエンティティ装置と通信する際には、通信相手が不正なエンティティ装置の場合、不正なパケットを流入させる可能性がある。
【０００８】
本発明は上記実情を考慮してなされたもので、アプリケーションに応じてセキュアに保護される層を把握でき、且つ、異なるドメインとの通信の際に、不正なパケットの流入を阻止し得る通信接続システム、方法、プログラム及び電子投票システムを提供することにある。
【０００９】
【課題を解決するための手段】
第１の発明は、互いに異なるドメインに属するエンティティ装置間で各々の中継装置とオープンなネットワークとを介してセキュア通信を接続するための通信接続システムであって、前記各中継装置としては、自己の属するドメインのエンティティ装置から受けた、個人認証の認証方式及び認証精度を含む認証関連情報と、当該エンティティ装置が前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とからセキュリティポリシーを作成するポリシー作成手段と、前記ポリシー作成手段により作成されたセキュリティポリシーを各中継装置間で交換するポリシー交換手段と、前記ポリシー交換手段により得られた相手のセキュリティポリシー内の認証関連情報とセキュリティ情報とに関し、自己のセキュリティポリシーに適合するか否かを各々検証するポリシー検証手段と、前記ポリシー検証手段による両者の検証結果が正当のとき、前記接続のための鍵交換を行なう鍵交換手段と、を備えた通信接続システムである。
【００１０】
（作用）
従って、第１の発明は以上のような手段を講じたことにより、異なるドメイン間のセキュア通信の際に、個人認証の認証精度とアプリケーションのセキュリティ情報とを含むセキュリティポリシーを交換しあい、認証精度とセキュリティ情報との両者の検証結果が正当なときのみ、セキュア通信を接続する構成により、通信要求者の正当性を認証精度とセキュリティ情報との両方から検証できるので、不正なパケットの流入を防止することができる。
【００１１】
なお、上記第１の発明は、全体を「システム」として表現した場合を示すが、これに限らず、全体又は各装置毎の「装置」、「方法」、「プログラム」又は「記憶媒体」等として表現してもよいことは言うまでもない。
【００１２】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る通信接続システムを含むネットワーク構成を示す模式図である。図示するように、互いに異なるドメインＡ，Ｂがインターネット等のオープンなネットワークＮＷを介して互いに接続されている。
【００１３】
ここで、ドメイン（第１ドメイン）Ａは、利用者側のｎ個のＰＣ(Personal Computer)端末（第１エンティティ装置）ＴＡ１０１〜ＴＡ１０ｎがＬＡＮ１及び第１ゲートウェイ（第１中継装置）ＧＷ２０を介してネットワークＮＷに接続された構成となっている。
【００１４】
同様に、ドメイン（第２ドメイン）Ｂは、認証者側のｍ個のＰＣ端末（第２エンティティ装置）ＴＢ３０１〜ＴＢ３０ｍがＬＡＮ２及び第２ゲートウェイ（第２中継装置）ＧＷ４０を介してネットワークＮＷに接続された構成となっている。なお、第１及び第２ゲートウェイＧＷ２０，ＧＷ４０は、それぞれルータに代えてもよい。また、認証者側の各ＰＣ端末ＴＢ３０１〜ＴＢ３０ｍは、個人使用の端末又は共同使用の端末でもよいし、ＷＷＷサーバ等のようにサービスを提供するサーバに代えてもよい。
【００１５】
図２は上記通信接続システムの構成を示す模式図である。ここで、各ＰＣ端末ＴＡ１０１〜ＴＡ１０ｎは、互いに同一構成のため、ＴＡ１０１を例に挙げて説明する。同様に、各ＰＣ端末ＴＢ３０１〜ＴＢ３０ｍも互いに同一構成のため、ＴＢ３０１を例に挙げて説明する。
【００１６】
利用者側のＰＣ端末ＴＡ１０１は、メモリ部１１、センサ部１２及び認識部１３からなるセンサ装置１４に接続されており、端末鍵メモリ部１５、セキュリティ情報生成部１６、ポリシー情報生成部１７及びＧＷ認証部１８を備えている。
【００１７】
メモリ部１１は、利用者の生体情報を照合するための予め設定された照合データ、照合用の設定情報（精度等）、機器認証用鍵、公開鍵証明書及び認証用機器ＩＤが認識部１３から読出可能に予め記憶されている。
【００１８】
ここで、照合データは、利用者の指紋、虹彩、声紋、筆跡、キーストローク等の任意のもの（種類及び精度）が使用可能であるが、ここでは指紋情報の高精度の値を用いるものとする。また、照合データは、センサ装置１４に設けられた耐タンパー性のメモリ部１１内、もしくはセンサ装置１４に装着されるスマートカード内の耐タンパーメモリに格納されており、不正な読出から保護されている。
【００１９】
機器認証用鍵は、自装置１４の認証に用いられる公開鍵ペアであり、公開鍵証明書により公開鍵の有効性が証明されている。
【００２０】
公開鍵証明書は、予めＴＴＰ(Trusted Third Party)である証明書発行機関から発行され、前述した公開鍵ペア（機器認証用鍵）のうちの公開鍵を含むものである。なお、同様に、他の装置ＴＡ１０１，ＧＷ２０，ＴＢ３０１，ＧＷ４０で用いられる公開鍵証明書も証明書発行機関から発行され、公開鍵を含むものである。
【００２１】
秘密鍵は、この公開鍵ペアのうちの他方の鍵であり、メモリ部１１のうちの耐タンパー領域（又は他の耐タンパーメモリ）に格納されて秘匿されている。
【００２２】
認証用機器ＩＤは自装置１４の認証に用いられる識別情報であり、自装置の電子署名に使用されるものである。
【００２３】
センサ部１２は、利用者の指紋を測定し、得られた指紋情報を認識部１３に入力する機能をもっている。
【００２４】
認識部１３は、センサ部１２から入力された指紋情報の正当性をメモリ部１１の照合データに基づいて認証し、認証結果（ＯＫ又はＮＧ）を含む認証結果署名を生成し、得られた認証結果署名をＰＣ端末ＴＡ１０１に出力する機能と、ＰＣ端末１０１から受ける電子署名を検証する機能とをもっている。
【００２５】
ここで、認証結果署名は、図３に示すように、認証方法ｃ１、認証機器ＩＤｃ２、認証精度（他人排除率ＦＡＲ又は本人拒否率ＦＲＲ）ｃ３、認証結果ｃ４、ｃ１〜ｃ４に対する電子署名としての認証署名データｃ５、及び認証機器の公開鍵証明書ｃ６からなるデータ群ｃ１〜ｃ６である。
【００２６】
続いて、ＰＣ端末ＴＡ１０１の各要素を、端末鍵メモリ部１５、セキュリティ情報生成部１６、ポリシー情報生成部１７及びＧＷ認証部１８の順に説明する。
【００２７】
端末鍵メモリ部１５は、自装置ＴＡ１０１の公開鍵ペア及び公開鍵証明書がＧＷ認証部１８から読出可能に予め記憶されている。
【００２８】
セキュリティ情報生成部１６は、利用者の操作により、通信に関するセキュリティ情報を生成し、このセキュリティ情報をポリシー情報生成部１７に送出する機能をもっている。
ここで、セキュリティ情報は、図４に示すように、送信先アドレスｓ１、アプリケーションｓ２、アプリケーションが行なうセキュリティｓ３，ｓ３１〜ｓ３２、他の層で行なうセキュリティｓ４，ｓ４１，ｓ４１１，ｓ４２，ｓ４２１〜ｓ４２８、を示すデータ群である。
【００２９】
なお、アプリケーションが行なうセキュリティｓ３としては、例えば、暗号アルゴリズムｓ３１及び暗号鍵長ｓ３２がある。
また、他の層で行なうセキュリティｓ４としては、例えばＳＳＬ方式ｓ４１及びそのバージョンｓ４１１などがあり、また例えばＩＰｓｅｃ方式ｓ４２及びその認証アルゴリズムｓ４２１、認証モードｓ４２２、認証用鍵ｓ４２３、暗号アルゴリズムｓ４２４、暗号モードｓ４２５、暗号鍵ｓ４２６、送信元アドレスｓ４２７、有効期限ｓ４２８などがある。
【００３０】
ポリシー情報生成部１７は、センサ装置１４を認証する機能と、認証結果が真のときにはセンサ装置１４による個人認証を実行可能とする機能とを有し、また、セキュリティポリシーを生成するためのポリシー情報のうち、セキュリティ情報生成部１６から送出されたセキュリティ情報と、センサ装置１４の認識部１３から出力された認証結果署名とを順次、ＧＷ認証部１８に送出する機能とをもっている。但し、認証結果署名は、予めセンサ装置１４とポリシー情報生成部１７との間で、ＰＣ端末ＴＡ１０１のネットワーク層により正当性が検証される。
【００３１】
ここで、ポリシー情報は、図５に示すように、図３に示した認証結果署名と、図４に示したセキュリティ情報とを備えたものである。
ＧＷ認証部１８は、端末鍵メモリ部１５内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ１を介して第１ゲートウェイＧＷ２０と相互認証を行なう機能と、相互認証の結果が正当を示すとき、ポリシー情報生成部１７から送出されたポリシー情報をＬＡＮ１を介して第１ゲートウェイＧＷ２０に送信する機能をもっている。
【００３２】
第１ゲートウェイＧＷ２０は、ＧＷ鍵メモリ部２１、端末認証部２２、セキュリティポリシー生成部２３及び交換部２４を備えている。
【００３３】
ＧＷ鍵メモリ部２１は、自装置ＧＷ２０の公開鍵ペア及び公開鍵証明書が端末認証部２２から読出可能に予め記憶されている。
【００３４】
端末認証部２２は、ＧＷ鍵メモリ２１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ１を介してＰＣ端末ＴＡ１０１と相互認証を行なう機能と、相互認証の結果が正当を示すとき、ＰＣ端末ＴＡ１０１から送信されたポリシー情報をセキュリティポリシー生成部２３に送出する機能をもっている。
【００３５】
セキュリティポリシー生成部２３は、端末認証部２２から送出されたポリシー情報に基づいて、利用者側のセキュリティポリシーデータを作成し、得られた利用者側のセキュリティポリシーデータを交換部２４に送出する機能をもっている。
【００３６】
ここで、利用者側のセキュリティポリシーデータは、認証者側のＰＣ端末ＴＢ３０１との通信を行うためのデータであり、図５に示したポリシー情報を含む内容となっている。
【００３７】
交換部２４は、ＩＰｓｅｃプロトコル（以下、ＩＰｓｅｃという）に基づいて、セキュリティポリシーデータをＳＡ(Security Association)として、第２ゲートウェイＧＷ４０との間でＳＡ交換を行なう機能と、ＳＡ交換により、セキュア通信を許可する機能をもっている。なお、ＳＡは、各装置間の接続情報であり、暗号化に必要なパラメータ群（認証方式、認証用の鍵、暗号方式、暗号鍵、暗号鍵の寿命など）を意味している。
【００３８】
具体的には交換部２４は、ＩＰｓｅｃに基づいて、認証者側のセキュリティーポリシーデータを利用者側のセキュリティポリシーデータにより検証し、検証結果が真のとき、セキュリティポリシー生成部２３から送出された利用者側のセキュリティポリシーデータを第２ゲートウェイＧＷ４０に送信する機能と、送信した利用者側のセキュリティーポリシーデータに関し、第２ゲートウェイＧＷ４０から、認証者側のセキュリティポリシーに適合する旨の検証結果を受けると、第２ゲートウェイＧＷ４０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう機能とをもっている。
【００３９】
なお、ＩＰｓｅｃによる通信の手順は、例えば“日経コミュニケーション「ＩＰＳＥＣ インターネットＶＰＮの基本技術 既設機器との相互運用が課題」、日経ＢＰ社、１９９８年６月１５日発行号”、などに解説されている。
【００４０】
一方、認証者側のＰＣ端末ＴＢ３０１は、利用者側のＰＣ端末ＴＡ１０１と同様に、端末鍵メモリ部３１、ポリシー情報提供部３２及びＧＷ認証部３３を備えている。
【００４１】
なお、認証側のＰＣ端末ＴＢ３０１は、ここでは例えばサーバ装置としても利用可能な観点から、ポリシー情報提供部３２を備えたものとしたが、これに限らず、利用者側のＰＣ端末ＴＡ１０１と全く同様に、センサ装置１４を備えた構成としてもよい。このように認証側のＰＣ端末ＴＢ３０１が利用者側のＰＣ端末ＴＡ１０１と同一の構成の場合、認証側と利用者側との区別は装置としては無く、送信側が利用者側となり、受信側が認証側となる。
【００４２】
端末鍵メモリ部３１は、自装置ＴＢ３０１の公開鍵ペア及び公開鍵証明書がＧＷ認証部３３から読出可能に予め記憶されている。
【００４３】
ポリシー情報提供部３２は、予め認証者の操作により、セキュア通信に関するポリシー情報が登録されており、このポリシー情報をＧＷ認証部３３に提供する機能をもっている。なお、認証側のポリシー情報は、利用者側のセキュリティポリシーの水準を判定するためのデータであるから、少なくとも図５に示した利用者側のポリシー情報のうち、認証署名データｃ５、認証機器公開鍵証明書ｃ６、認証用鍵ｓ４２３及び暗号鍵ｓ４２６を除いた同様の形式の各データを備えたものが用いられる。
【００４４】
ＧＷ認証部３３は、端末鍵メモリ部３１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介して第２ゲートウェイＧＷ４０と相互認証を行なう機能と、相互認証の結果が真のとき、第２ゲートウェイＧＷ４０からの要求により、ポリシー情報提供部３２から提供されたポリシー情報をＬＡＮ２を介して第２ゲートウェイＧＷ４０に送信する機能をもっている。
【００４５】
第２ゲートウェイＧＷ４０は、前述した第１ゲートウェイＧＷ２０と同様に、ＧＷ鍵メモリ部４１、端末認証部４２、セキュリティポリシー生成部４３及び交換部４４を備えている。
【００４６】
ＧＷ鍵メモリ部４１は、自装置ＧＷ４０の公開鍵ペア及び公開鍵証明書が端末認証部２２から読出可能に予め記憶されている。
【００４７】
端末認証部４２は、ＧＷ鍵メモリ４１内の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介してＰＣ端末ＴＢ３０１と相互認証を行なう機能と、相互認証の結果が真のとき、ＰＣ端末ＴＢ３０１にポリシー情報を要求し、得られたポリシー情報をセキュリティポリシー生成部４３に送出する機能をもっている。
【００４８】
セキュリティポリシー生成部４３は、端末認証部４２から送出されたポリシー情報に基づいて、認証者側のセキュリティポリシーデータを作成し、得られた認証者側のセキュリティポリシーデータを交換部４４に送出する機能をもっている。
【００４９】
ここで、認証者側のセキュリティポリシーデータは、利用者側のＰＣ端末ＴＡ１０１のセキュリティポリシーの水準を判定するためのデータであり、前述したように、図５に示したポリシー情報のうち、認証署名データｃ５、認証機器公開鍵証明書ｃ６、認証用鍵ｓ４２３及び暗号鍵ｓ４２６が省略された内容となっている。
【００５０】
交換部４４は、ＩＰｓｅｃに基づいて、セキュリティポリシー生成部４３から送出された認証者側のセキュリティポリシーデータを第１ゲートウェイＧＷ２０からの利用者側のセキュリティーポリシーデータと交換する機能と、交換により得た利用者側のセキュリティーポリシーデータを、認証者側のセキュリティポリシーデータにより検証し、検証結果がＯＫ（適合）を示すとき、第１ゲートウェイＧＷ２０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう機能とをもっている。
【００５１】
次に、以上のように構成された通信接続システムの動作を図６のシーケンス図を用いて説明する。
さて、電源投入済みのＰＣ端末ＴＡ１０１にセンサ装置１４が接続されたか、又はセンサ装置１４を接続済のＰＣ端末ＴＡ１０１に電源が投入された場合に、ＰＣ端末１０１は乱数を生成し、この乱数をセンサ装置１４に送信する（ＳＴ１）。
【００５２】
センサ装置１４においては、認識部１３が機器認証用鍵を用いてこの乱数に署名処理を施し、得られた電子署名を公開鍵証明書と共に、ＰＣ端末ＴＡ１０１に返信する（ＳＴ２）。
【００５３】
ＰＣ端末ＴＡ１０１においては、ポリシー情報生成部１３が、公開鍵証明書を検証してその検証結果が偽のときには処理を終了し、検証結果が真のときのみ電子署名を検証する。
【００５４】
また、ポリシー情報生成部１３は、電子署名の検証結果が真ならば接続されたセンサ装置１４が正当であるとして、センサ装置１４による個人認証を実行可能とする。電子署名の検証結果が偽の場合、センサ装置１４を不正であるとして、センサ装置１４による個人認証を実行不可とする。なお、センサ装置１４の個人認証を実行不可とする処理は、使用可能なアプリケーションのうち、個人認証を必要とするアプリケーションを実行不可とする旨を意味している。
【００５５】
次に、利用者側のＰＣ端末ＴＡ１０１にてアプリケーションが起動され、利用者側のＰＣ端末ＴＡ１０１から認証者側のＰＣ端末ＴＢ３０１にパケットを送信したいとする。
【００５６】
利用者側のＰＣ端末ＴＡ１０１においては、アプリケーションの動作により、アプリケーション情報を含むセキュリティ情報がセキュリティ情報生成部１６からポリシー情報生成部１７を介してＧＷ認証部１８に送出される一方、ＧＷ認証部１８が、第１ゲートウェイＧＷ２０との間で相互認証を実行する。
【００５７】
この相互認証結果が真のとき、ＧＷ認証部１８は、認証者側のＰＣ端末ＴＢ３０１への接続要求を第１ゲートウェイＧＷ２０に送信すると共に、セキュリティ情報をポリシー情報の一部として第１ゲートウェイＧＷ２０に送信する（ＳＴ３）。
【００５８】
第１ゲートウェイＧＷ２０は、ポリシー情報の一部に基づいて、認証者側のＰＣ端末ＴＢ３０１への接続に必要なセキュリティポリシーの一部を作成する。しかる後、第１ゲートウェイＧＷ２０は、認証要求を利用者側のＰＣ端末ＴＡ１０１に向けて送信する（ＳＴ４）。
【００５９】
利用者側のＰＣ端末ＴＡ１０１では、認証要求を受けると、予めステップＳＴ２の後にセンサ装置１４の検証結果が真とされた場合のみ、利用者に対して個人認証を行う旨を画面上に表示し、照合要求をセンサ装置１４に送信する（ＳＴ５）。
【００６０】
センサ装置１４は、照合要求を受けると、利用者による指の載置（指紋情報の入力）まで待機し、利用者の指がセンサ部１２に載置されると、センサ部１２がこの指の指紋情報を認識部１３に入力する。
【００６１】
認識部１３は、センサ部１２から入力された指紋情報の正当性をメモリ部１１の照合データに基づいて認証し、図３に示したように、認証結果（ＯＫ又はＮＧ）を含む認証結果署名を生成し、得られた認証結果署名をＰＣ端末ＴＡ１０１に出力する（ＳＴ６）。
【００６２】
ＰＣ端末ＴＡ１０１は、認証結果署名を受けると、図示しないネットワーク層が認証結果署名に含まれる公開鍵証明書と認証署名データとを順次検証し、各々の検証結果が真であれば、認証結果署名とその検証結果とを第１ゲートウェイＧＷ２０に送信する（ＳＴ７）。
【００６３】
第１ゲートウェイＧＷ２０は、この認証結果署名及び検証結果を受けると、利用者側のＰＣ端末ＴＡ１０１をインターネット等を介して認証者側のＰＣ端末ＴＢ３０１にセキュアに通信可能とするように、ＩＰｓｅｃを用いて第２ゲートウェイＧＷ４０と通信する。
【００６４】
具体的には、第１ゲートウェイＧＷ２０は、セキュリティポリシーの交換処理としての、ＩＰｓｅｃにおけるＳＡ交換に際し、始めに、交換部２４が接続要求とポリシーリクエストとを第２ゲートウェイＧＷ４０に送信する（ＳＴ８）。
【００６５】
第２ゲートウェイＧＷ４０は、この接続要求とポリシーリクエストに対し、交換部４４が、セキュリティポリシー生成部４３及び端末認証部４２を介して、ＰＣ端末ＴＢ３０１から認証者側のセキュリティポリシーを得る。
【００６６】
しかる後、第２ゲートウェイＧＷ４０は、交換部４４により、認証者側のセキュリティポリシーデータをＳＡとして第１ゲートウェイＧＷ２０に送信する（ＳＴ９）。
【００６７】
第１ゲートウェイＧＷ２０は、この認証者側のセキュリティポリシーデータに関して利用者側のセキュリティポリシーを満たすか否かを検証し、検証結果がＮＧ（否）であればその旨をＰＣ端末ＴＡ１０１に通知して処理を終了し（ＳＴ１２に進み、ＮＧ通知）、検証結果がＯＫ（満たす）であれば、利用者側のセキュリティポリシーデータを第２ゲートウェイＧＷ４０に送信する（ＳＴ１０）。
【００６８】
第２ゲートウェイＧＷ４０は、同様に、この利用者側のセキュリティポリシーデータに関して認証者側のセキュリティポリシーを満たすか否かを検証し、検証結果がＮＧであればその旨を第１ゲートウェイＧＷ２０を介してＰＣ端末１０１に通知して処理を終了し、検証結果がＯＫであれば、第１ゲートウェイＧＷ２０との間でセキュア通信用の鍵交換（ＩＫＥ）を行なう（ＳＴ１１）。
【００６９】
鍵交換の完了により、ＩＰｓｅｃにおける第１及び第２ゲートウェイＧＷ２０，ＧＷ４０間の通信が確立された場合、第１ゲートウェイＧＷ２０は、利用者側のＰＣ端末ＴＡ１０１へ通信が可能である旨を通知する（ＳＴ１２：ＯＫ）。
【００７０】
これにより、利用者側のＰＣ端末１０１は、ＬＡＮ１、第１ゲートウェイＧＷ２０、ネットワークＮＷ及び第２ゲートウェイＧＷ４０を介して、認証者側のＰＣ端末３０１とセキュア通信を実行する。
【００７１】
上述したように本実施形態によれば、異なるドメインＡ，Ｂ間のセキュア通信の際に、少なくとも個人認証の認証精度とアプリケーションのセキュリティ情報とを含むセキュリティポリシーを交換しあい、認証精度とセキュリティ情報との両者の検証結果が正当なときのみ、セキュア通信を接続する構成により、通信要求者の正当性を認証精度とセキュリティ情報との両方から検証できるので、不正なパケットの流入を防止することができる。
【００７２】
また、交換されるセキュリティポリシーは、利用者側及び認証側のうち、少なくとも利用者側では個人認証結果をも含むので、より確実に、正当性を検証することができる。また、認証側がＷＷＷサーバでなく、個人が操作する端末装置の場合に、認証側のセキュリティポリシーにも個人認証結果を含めることにより、一層確実に、正当性を検証することができる。
【００７３】
（第２の実施形態）
図７は本発明の第２の実施形態に係る電子投票システムの構成を示す模式図であり、前述した図面と同一の部分には同一符号を付し、改変した部分には記号「’」を付して前述した部分の説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００７４】
すなわち、本実施形態は、第１の実施形態を電子投票システムに適用した適用例であり、前述したドメインＡに対応するｎ個の投票所ドメインＡ１’〜Ａn’と、前述したドメインＢに対応する開票所ドメインＢ’とがネットワークＮＷを介して接続された電子投票システムを用いている。
【００７５】
なお、各投票所ドメインＡ１’，…，Ａｎ’は互いに同一構成のため、ここでは投票所ドメインＡ１’を例に挙げて説明する。また同様に、各ＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’は互いに同一構成のため、ここではＰＣ端末ＴＡ１０11’を例に挙げて説明する。
【００７６】
投票所ドメインＡ１’は、前述したＰＣ端末ＴＡ１０１〜ＴＡ１０ｎに対応するｎ個のＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’がＬＡＮ１1を介して投票所ゲートウェイＧＷ２０１’に接続され、投票所ゲートウェイＧＷ２０１’がネットワークＮＷに接続されている。
【００７７】
ＰＣ端末ＴＡ１０11’は、前述同様に、個人認証機能を有するセンサ装置１４（図示せず）に接続されており、前述同様の機能に加え、電子投票に関する機能をもっている。換言すると、ＰＣ端末ＴＡ１０11’は、前述したアプリケーションが電子投票用アプリケーションであり、電子投票用アプリケーションの実行により、電子投票に関する機能を実行する場合に相当する。
【００７８】
ここで、電子投票に関する機能には、例えば次の（１）〜（４）がある。
（１）予め指紋の照合データ及び投票権証が保持された投票者毎のスマートカード（例、ＩＣカード）の内容を読出す機能。
（２）センサ装置１４から受けた照合結果署名とその照合結果が真のとき、照合結果署名を投票所ＧＷ２０’に送出する機能。
（３）投票所ＧＷ２０’から受けた投票権証の検証結果が真のとき、スマートカードに投票権証を要求し、得られた投票権証を検証し、検証結果が真のときに投票者の端末操作に基づいて投票証を作成する機能。なお、投票証の作成時に用いる選挙管理委員会の公開鍵は予め端末ＴＡ１０11’内に保持されている。
【００７９】
（４）上記（３）で作成した投票証及び投票権証を１回だけ投票所ＧＷ２０’に送出する機能。
【００８０】
なお、投票権証は、投票所の入場券として機能する電子データであり、図８に示すように、投票者ＩＤ（通し番号）ｒ１、投票者氏名ｒ２、住所ｒ３、選挙区ｒ４、ｒ１〜ｒ４に対する選挙管理委員会のデジタル署名ｒ５からなるデータ群ｒ１〜ｒ５であり、予め選挙管理委員会から投票者に送付される。
【００８１】
照合結果署名は、前述した認証結果署名とほぼ同様のものであり、図９に示すように、認証方法ｃ１、認証機器ＩＤｃ２、認証精度（他人排除率ＦＡＲ又は本人拒否率ＦＲＲ）ｃ３、照合結果ｃ４’、ｃ１〜ｃ４に対する投票権証のデジタル署名ｃ５’からなるデータ群ｃ１〜ｃ５’であって、個人認証の際に、センサ装置１４により生成される。
【００８２】
投票証は、図１０に示すように、投票所ＩＤｖ１、端末ＩＤｖ２、投票結果ｖ３、ｖ１〜ｖ３に対する端末のデジタル署名ｖ４からなるデータ群ｖ１〜ｖ４であり、投票者の端末操作に基づいて、投票所のＰＣ端末ＴＡ１０11’により作成される。
【００８３】
投票所ゲートウェイＧＷ２０’は、前述した第１ゲートウェイＧＷ２０に対応するものである。
【００８４】
一方、開票所ドメインＢ’は、前述したＰＣ端末ＴＢ３０１に対応する開票サーバＴＢ３０’が開票所ゲートウェイＧＷ５０を介してｍ個の収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’に接続され、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’がネットワークＮＷに接続されている。
【００８５】
開票サーバＴＢ３０’は、前述したＰＣ端末ＴＢ３０１の機能に加え、開票所ゲートウェイＧＷ５０から転送される各投票証に基づいて、投票証に含まれる投票結果を集計し、集計結果を出力する機能をもっている。
【００８６】
次に、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’は互いに同一構成のため、ここでは収集ゲートウェイＧＷ４０１を例に挙げて説明する。
収集ゲートウェイＧＷ４０１’は、前述した第２ゲートウェイＧＷ４０の機能に加え、投票所ドメインＡ１’から受けた投票証を検証し、検証結果が真のとき、当該投票証を開票所ゲートウェイＧＷ５０に送出する機能をもっている。なお、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’や各投票所ゲートウェイＧＷ２０1’，…，ＧＷ２０n’は、それぞれ負荷分散の観点から、複数設置されている。すなわち、投票所ＧＷ２０1’と収集ＧＷ４０1’とが必ずしも接続される必要はなく、互いにポリシー交換をした投票所ＧＷ２０1’と収集ＧＷ４０ｉ’とが接続される。
【００８７】
開票所ゲートウェイＧＷ５０は、各収集ゲートウェイＧＷ４０１’，…，ＧＷ４０ｍ’から受けた投票証を開票サーバに転送する機能をもっている。
【００８８】
次に、以上のように構成された電子投票システムの動作を図１１及び図１２のシーケンス図を用いて「投票権証の配布」及び「投票」の順に説明する。
（投票権証の配布：図１１）
投票者は、投票権証を受取可能とするように、予め自己の利用者端末ＴＵのメールアドレスを選挙管理委員会Ｅに届けておくものとする。なお、投票権証のデジタル署名の検証に用いる公開鍵証明書は、投票権証と共に送付されてもよく、また、選挙管理委員会のホームページ等からダウンロードされてもよい。また、投票者は、前述した照合データや鍵情報を格納するためのスマートカードＳＣを保有しているものとする。
【００８９】
さて図１１に示すように、利用者端末ＴＵは、図８に示した投票権証を選挙管理委員会Ｅから受信すると（ＳＴ２１）、投票権証を選挙管理委員会Ｅの公開鍵を用いて検証し、検証結果が真であれば、センサ装置１４に照合要求を送出する（ＳＴ２２）。
【００９０】
センサ装置１４は、前述同様に、指紋の生体情報が入力されると（ＳＴ２３）、スマートカードＳＣから照合データを読出して（ＳＴ２４）、生体情報を照合データに照合し、照合結果（ＯＫ／ＮＧ）を利用者端末ＴＵに送出する（ＳＴ２５）。
【００９１】
利用者端末ＴＵは、照合結果が真（ＯＫ）であれば、投票権証をスマートカードＳＣに入力し（ＳＴ２６）、スマートカードＳＣから書込みの完了通知を受ける（ＳＴ２７）。
【００９２】
これにより、投票権証に記載された投票者に関し、選挙管理委員会Ｅによる投票権証の配布処理が完了する。なお、上述したステップＳＴ２１〜ＳＴ２７は全ての投票者に対してそれぞれ行われる。
【００９３】
（投票：図１２）
予め開票所ドメインＢ’においては、収集ＧＷ４０１’は、例えば投票日にＩＰｓｅｃに基づいて、開票所ゲートウェイＧＷ５０と前述同様のＳＡ交換（ポリシー交換）を行ない（ＳＴ３１）、開票所ゲートウェイＧＷ５０と通信が接続されている。また、各投票所ドメインＡ１’，…，Ａｎ’の各ＰＣ端末ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’は、予め選挙管理委員会Ｅの公開鍵を保持している。
【００９４】
一方、投票所ドメインＡ１’においては、投票者がスマートカードＳＣを持参してくると共に、投票所内のＰＣ端末ＴＡ１０11’の前に座る。
【００９５】
始めに、ＰＣ端末ＴＡ１０11’に接続されたセンサ装置１４は、投票者によりスマートカードＳＣが挿入され、投票者の指が置かれると、その指の指紋を測定して生体情報を得ると（ＳＴ３２）、スマートカードＳＣから照合データを読み出す（ＳＴ３３）。なお、スマートカードＳＣの挿入部位は、センサ装置１４又はＰＣ端末ＴＡ１０11’のいずれに設けてもよい。
【００９６】
さて、センサ装置１４は、指紋の生体情報と照合データとを照合し、照合結果が真であれば、前述同様に、図９に示した照合結果署名を生成し、得られた照合結果署名をＰＣ端末ＴＡ１０11’に出力する（ＳＴ３４）。
【００９７】
ＰＣ端末ＴＡ１０11’端末は、照合結果署名を検証し、検証結果が真であれば、前述同様に、照合結果署名とその検証結果を投票所ＧＷ２０１’に送信する（ＳＴ３５）。
【００９８】
投票所ＧＷ２０１’は、検証結果を受けると、ＩＰｓｅｃに基づいて、収集所ドメインＢ’の収集ＧＷ４０１’とＳＡ交換を行い、通信を接続する（ＳＴ３６）。
【００９９】
一方、ＰＣ端末ＴＡ１０11’は、スマートカードＳＣへ投票権証を要求し（ＳＴ３７）、投票権証をスマートカードＳＣから読出し（ＳＴ３８）、投票権証をそのデジタル署名ｒ５に基づいて検証する。
【０１００】
投票権証の検証結果が真であれば、ＰＣ端末ＴＡ１０11’は、投票者による投票結果（候補者名、政党名又は国民審査結果など）の入力又は選択操作に基づいて、投票所ＩＤｖ４、端末ＩＤｖ２、投票結果ｖ３に対してデジタル署名ｖ４を生成して図１０に示したような投票証を作成し、得られた投票証を投票所ＧＷ２０’に送信する（ＳＴ３９）。
【０１０１】
すなわち、ＰＣ端末ＴＡ１０11’から投票所ＧＷ２０１’へ送信されるデータは、投票所・端末のＩＤ情報ｖ１，ｖ２及び投票結果ｖ３に関する投票証のみであり、投票者のデータは送信されない。
【０１０２】
投票所ＧＷ２０１’は、投票証に含まれる端末ＩＤｖ２に基づいて、ＰＣ端末ＴＡ１０11’の公開鍵を選択し、この公開鍵に基づいて投票証を検証し、投票証の検証が真であれば、ＳＴ３６で接続した収集ＧＷ４０１’に投票証を送信する（ＳＴ４０）。
【０１０３】
収集ＧＷ４０１’は、投票証を受けると、投票証に含まれる投票所ＩＤｖ１と端末ＩＤｖ２に基づいて、ＰＣ端末ＴＡ１０11’の公開鍵を選択し、この公開鍵に基づいて、投票証を検証し、投票証の検証が真であれば、ＳＴ３１で接続した開票所ゲートウェイＧＷ５０に投票証を送信する（ＳＴ４１）。
【０１０４】
開票所ゲートウェイＧＷ５０は、各収集ＧＷ４０１’〜ＧＷ４０ｍ’から受けた投票証を開票サーバＴＢ３０’に転送する（ＳＴ４２）。
【０１０５】
開票サーバＴＢ３０’は、開票所ゲートウェイＧＷ５０から受けた投票証を集計し、集計結果を出力する。
【０１０６】
上述したように本実施形態によれば、第１の実施形態の効果に加え、異なるドメインＡ’，Ｂ’間のセキュア通信を含む電子投票システムを実現させることができる。
【０１０７】
なお、電子投票については、他にも様々な仕組みが提案されている。但し、本実施形態は、電子投票の仕組み自体には言及せず、投票データを安全に開票サーバへ送信するためのネットワークの接続方法に言及するものである。
【０１０８】
従って、電子投票の仕組み自体は任意であり、どの仕組みを用いても良いものとする。換言すると、アプリケーション層でどの様な電子投票システムを組み込んでも構わない、ということである。
【０１０９】
例えば、適用対象の電子投票が任意であることに関し、二重投票を防止する仕組み（ａ）〜（ｄ）を例に挙げて述べる。なお、二重投票とは、投票者が投票を行った場合、再度、同一の投票者が投票を行う不正行為である。このため、電子投票においても、二重投票を禁止する何らかの仕組みを用いる必要があると考えられる。なお、重ねて言うが、二重投票の禁止は、電子投票の仕組み自体の話であり、本実施形態の必須要件ではない。
【０１１０】
（ａ）投票者リストを用いる方式は、投票所ＧＷ２０１’が、投票者ＩＤ、投票権証及び投票済みフラグの組を示す投票済みリストを確認するものである。 すなわち、投票者がＰＣ端末ＴＡ１０11’の操作により投票をすると、ＰＣ端末ＴＡ１０11’は、ステップＳＴ３９において、投票証と投票権証を投票所ＧＷ２０１’に送信する。
【０１１１】
投票所ＧＷ２０１’は、投票権を検証した後、投票権証に基づいて、投票済みリスト内の投票者ＩＤに対応する投票済みフラグが“未投票”である旨を確認し、投票済みフラグを“投票済み”に更新する。
【０１１２】
これにより、投票者が同一の投票所で再度投票しようとしても、投票所ＧＷ２０１’の投票済みリストの確認により、２回目以降の投票が阻止される。
以下、ステップＳＴ４０以降の動作は前述同様に実行される。
【０１１３】
（ｂ）入場の際に、スマートカードを書換える方式は、スマートカード内の投票権証を確認し、入場済みデータをスマートカードに書込むものである。しかし、この方式は、入場済みデータが不正に消去される可能性があるため、採用され難いと考えられる。
【０１１４】
なお、入場時に投票権証を確認するには、スマートカードに予め投票権証の格納エリアのアクセス権限を、Ｗ(書込)：投票者、Ｒ(読出)：投票者／投票所管理者、Ｄ(削除)：投票所管理者、となるよう、ＰＩＮ(Personal Identification Number)を設定する必要がある。
【０１１５】
このため、スマートカードの二次発行時に、格納エリアに関し、投票所管理者のＰＩＮを設定する必要がある。各投票所管理者のＰＩＮは、投票者の住居変更を考慮して全て同一にする必要があり、また、後からの変更がほぼ不可能となる。従って、スマートカードを書換える方法はあまり現実的でない。
【０１１６】
（ｃ）入場の際に、スマートカードから投票権証を消去する方法は、スマートカード内の投票権証を確認し、投票権証を消去するものである。しかし、この方式は、帰宅した投票者に投票権証が再書込みされる可能性があるため、採用され難いと考えられる。
【０１１７】
この方法も（ｂ）の方法と似て、スマートカードに予め入場済みデータの格納エリアのアクセス権限を、Ｗ，Ｒ，Ｄ：投票所管理者、となるよう、ＰＩＮを設定する必要があり、あまり現実的でない。
【０１１８】
しかしながら、上記（ａ）〜（ｃ）の方式は、異なるドメイン間の通信を用いないので、本実施形態とは無関係に成立する。よって、本実施形態は、これら（ａ）〜（ｃ）の方式のうち、何れの方式を用いる電子投票システムに適用してもよい。すなわち、本実施形態は、異なるドメイン間の通信に関するものなので、異なるドメイン間の通信以外の仕組みに関しては任意の仕組みの任意のシステムに適用することができる。
【０１１９】
（第３の実施形態）
次に、本発明の第３の実施形態に係る電子投票システムについて図７及び図１２を用いて説明する。なお、本実施形態は、投票所ドメインＡ１’が投票所ＩＤにより指定された第２の実施形態とは異なり、投票者が任意の投票所ドメインＡ１’〜Ａｎ’の任意のＰＣ端末ＴＡ１０11’〜ＴＡ１０nn’で投票可能な場合について述べる。
【０１２０】
任意の投票所で投票される場合、前述したステップＳＴ３９〜ＳＴ４０において、投票証とは別に投票権証が送信される必要がある。これは、例えば投票証と投票権証とを別々のポートで送信すればよい。
【０１２１】
ここで、ステップＳＴ４０の結果、各収集ＧＷ４０１’〜ＧＷ４０ｍは、投票所ＧＷ２０１’〜ＧＷ２０ｎから投票証とは別に投票権証を受信すると、二重投票防止用の投票済みリストを生成する。ここで、投票済みリストは、前述同様のものであるが、投票証とは別に管理されるため、投票者の匿名性は維持される。
【０１２２】
各収集ＧＷ４０１’〜ＧＷ４０ｍは、投票証とは別に投票済みリストを開票所ゲートウェイＧＷ５０を介して開票サーバＴＢ３０’に送信する。
【０１２３】
開票サーバＴＢ３０’は、前述同様に投票証内の投票結果を集計する一方、各投票済みリストを統合し、この統合された投票済みリストを各収集ＧＷ４０１’〜ＧＷ４０ｍ及び各投票所ＧＷ２０１’〜ＧＷ２０ｎへ送信する。
【０１２４】
各投票所ＧＷ２０１’〜ＧＷ２０ｎや各収集ＧＷ４０１’〜ＧＷ４０ｍは、ステップＳＴ３９やＳＴ４０で受信した投票権証に関し、この統合された投票済みリストに無い旨を確認することにより、投票者の二重投票を防止する。
【０１２５】
上述したように本実施形態によれば、投票所が任意の場合であっても、第２の実施形態と同様の効果を得ることができ、さらに、二重投票を防止できる。
【０１２６】
具体的には、開票サーバＴＢ３０’が投票済みリストを統合し、この統合した投票済みリストを各収集ＧＷ４０１’〜ＧＷ４０ｍ及び各投票所ＧＷ２０１’〜ＧＷ２０ｎへ送信するので、投票者が異なる投票所で二重投票することを防止しつつ、任意の投票所での電子投票を実現させることができる。なお、同一の投票所での二重投票を防止する場合は、前述同様に、投票所ＧＷ２０１’，…，ＧＷ２０ｎ’毎にローカルに管理した投票済みリストを用いればよい。
【０１２７】
なお、上記第２又は第３の実施形態は、投票がある期間にわたって行われる場合や、ある時間間隔毎に各ＧＷ間で用いる暗号アルゴリズムを変えたい場合に、セキュリティポリシーを変化させることで対応できる。
【０１２８】
例えば、本システムにおける暗号アルゴリズムを変化させたい場合、図１３に示すように、セキュリティポリシーを変える指示を開票サーバＴＢ３０’から、開票所ゲートウェイＧＷ５０、各収集ＧＷ４０１’〜ＧＷ４０ｍ、各投票所ＧＷ２０１’〜ＧＷ２０ｎへ出すことにより、そのセキュリティポリシーでなければ接続できない仕組みを作ることができる。
【０１２９】
これにより、本システムが何らかの攻撃を受けた際に、暗号アルゴリズムやセキュリティをかける層を変化させることができるので、被害を最小限に抑えることが期待できる。
【０１３０】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１３１】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１３２】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１３３】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１３４】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１３５】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１３６】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１３７】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１３８】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１３９】
【発明の効果】
以上説明したように本発明によれば、オープンなネットワークを介した、異なるドメイン間での通信において、セキュリティポリシーを確認しあい、送信者から送信されたパケットの正当性を検証可能とすることで、不正なパケットの流入を防止することが可能となる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る通信接続システムを含むネットワーク構成を示す模式図。
【図２】同実施形態における通信接続システムの構成を示す模式図。
【図３】同実施形態における認証結果署名を説明するための模式図。
【図４】同実施形態におけるセキュリティ情報を説明するための模式図。
【図５】同実施形態におけるポリシー情報を説明するための模式図。
【図６】同実施形態における動作を説明するためのシーケンス図。
【図７】本発明の第２の実施形態に係る電子投票システムの構成を示す模式図。
【図８】同実施形態における投票権証を説明するための模式図。
【図９】同実施形態における照合結果署名を説明するための模式図。
【図１０】同実施形態における投票証を説明するための模式図。
【図１１】同実施形態における投票権証の配布動作を説明するためのシーケンス図。
【図１２】同実施形態における投票動作を説明するためのシーケンス図。
【図１３】第２又は第３の実施形態における変形動作を説明するためのシーケンス図。
【符号の説明】
Ａ，Ｂ…ドメイン
ＮＷ…ネットワーク
１，２…ＬＡＮ
ＴＡ１０１〜ＴＡ１０ｎ，ＴＢ３０１〜ＴＢ３０ｍ，ＴＡ１０11’〜ＴＡ１０1n’，…，ＴＡ１０n1’〜ＴＡ１０nn’…ＰＣ端末
１１…メモリ部
１２…センサ部
１３…認識部
１４…センサ装置
１５，３１…端末鍵メモリ部
１６…セキュリティ情報生成部
１７…ポリシー情報生成部
１８，３３…ＧＷ認証部
ＧＷ２０，ＧＷ４０…ゲートウェイ
２１…ＧＷ鍵メモリ部
２２…端末認証部
２３…セキュリティポリシー生成部
２４…交換部
３２…ポリシー情報提供部
Ａ１’〜Ａn’…投票所ドメイン
Ｂ’…開票所ドメイン
ＧＷ２０１’〜ＧＷ２０ｎ’…投票所ゲートウェイ
ＴＢ３０’…開票サーバ
ＧＷ４０１’〜ＧＷ４０ｍ’…収集ゲートウェイ
ＧＷ５０…開票所ゲートウェイ
Claims (8)
- 互いに異なるドメインに属するエンティティ装置間で各々の中継装置とオープンなネットワークとを介してセキュア通信を接続するための通信接続システムであって、
前記各中継装置は、
自己の属するドメインのエンティティ装置から受けた、個人認証の認証方式及び認証精度を含む認証関連情報と、当該エンティティ装置が前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とからセキュリティポリシーを作成するポリシー作成手段と、
前記ポリシー作成手段により作成されたセキュリティポリシーを各中継装置間で交換するポリシー交換手段と、
前記ポリシー交換手段により得られた相手のセキュリティポリシー内の認証関連情報とセキュリティ情報とに関し、自己のセキュリティポリシーに適合するか否かを各々検証するポリシー検証手段と、
前記ポリシー検証手段による両者の検証結果が正当のとき、前記接続のための鍵交換を行なう鍵交換手段と、
を備えたことを特徴とする通信接続システム。 - 第１ドメインの第１エンティティ装置に接続される一方、前記第１ドメインとは異なる第２ドメインの第２中継装置にネットワークを介して接続された第１中継装置に用いられ、前記第１エンティティ装置から前記第２ドメインへのセキュア通信を接続するための通信接続方法であって、
前記第１エンティティ装置から送信された、個人認証の認証方式、認証精度及び個人認証結果に対するデジタル署名を含む認証結果署名と、前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とを受信するステップと、
前記第１エンティティ装置から受信した認証結果署名と前記セキュリティ情報とを含むセキュリティポリシーを作成するステップと、
前記セキュア通信の接続要求を前記第２中継装置に送信するステップと、
前記接続要求の送信により、前記第２中継装置から受信した第２ドメインのセキュリティポリシーを検証すると共に、前記作成したセキュリティポリシーを前記第２中継装置に送信するステップと、
前記第２中継装置における検証完了により、前記第２中継装置に対して前記セキュア通信のための鍵交換を行なうステップと、
前記鍵交換の完了により、前記第１エンティティ装置に通信可能を通知するステップと、
を含んでいることを特徴とする通信接続方法。 - 第２ドメインの第２エンティティ装置に接続される一方、前記第２ドメインとは異なる第１ドメインの第１中継装置にネットワークを介して接続された第２中継装置に用いられ、前記第１ドメインから前記第２エンティティ装置へのセキュア通信を接続するための通信接続方法であって、
前記第１中継装置から前記セキュア通信の接続要求を受信するステップと、
前記接続要求に基づいて、前記第２エンティティ装置に対し、少なくとも個人認証の認証方式及び認証精度を含む認証関連情報と、前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とを要求するステップと、
この要求により、前記第２エンティティ装置から受信した認証関連情報と前記セキュリティ情報とを含むセキュリティポリシーを作成するステップと、
前記作成したセキュリティポリシーを前記第１中継装置に送信するステップと、
前記第１中継装置から受信した前記第１エンティティ装置のセキュリティポリシーに関し、前記第２エンティティ装置のセキュリティポリシーに含まれる認証関連情報及びセキュリティ情報に適合するか否かを検証するステップと、
前記作成したセキュリティポリシーの送信が完了し、且つ前記検証結果が正当のとき、前記第１中継装置に対して前記セキュア通信のための鍵交換に応じるステップと、
を含んでいることを特徴とする通信接続方法。 - 第２ドメインの第２エンティティ装置に対し、前記第２ドメインの第２中継装置、オープンなネットワーク及び前記第２ドメインとは異なる第１ドメインの第１中継装置を介して接続された第１エンティティ装置に用いられ、前記第２エンティティ装置へのセキュア通信を接続するための通信接続用プログラムであって、
前記第１エンティティ装置のコンピュータに、
前記セキュア通信の接続要求を前記第１中継装置に送信する機能、
前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報を前記第１中継装置に送信する機能、
個人認証の認証方式、認証精度及び個人認証結果に対するデジタル署名を含む認証結果署名を前記第１中継装置に送信する機能、
前記接続要求、前記セキュリティ情報及び前記認証結果署名の送信完了に基づいて、前記第１中継装置から通信可能の通知を受信する機能、
前記通信可能の通知に基づいて、前記アプリケーションを実行する機能、
を実現させるための通信接続用プログラム。 - 第１ドメインの第１エンティティ装置に接続される一方、前記第１ドメインとは異なる第２ドメインの第２中継装置にネットワークを介して接続された第１中継装置に用いられ、前記第１エンティティ装置から前記第２ドメインへのセキュア通信を接続するための通信接続用プログラムであって、
前記第１中継装置のコンピュータに、
前記第１エンティティ装置から送信された、個人認証の認証方式、認証精度及び個人認証結果に対するデジタル署名を含む認証結果署名と、前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とを受信する機能、
前記第１エンティティ装置から受信した認証結果署名と前記セキュリティ情報とを含むセキュリティポリシーを作成する機能、
前記セキュア通信の接続要求を前記第２中継装置に送信するステップと、
前記接続要求の送信により、前記第２中継装置から受信した第２ドメインのセキュリティポリシーを検証すると共に、前記作成したセキュリティポリシーを前記第２中継装置に送信する機能、
前記第２中継装置における検証完了により、前記第２中継装置に対して前記セキュア通信のための鍵交換を行なう機能、
前記鍵交換の完了により、前記第１エンティティ装置に通信可能を通知する機能、
を実現させるための通信接続用プログラム。 - 第２ドメインの第２エンティティ装置に接続される一方、前記第２ドメインとは異なる第１ドメインの第１中継装置にネットワークを介して接続された第２中継装置に用いられ、前記第１ドメインから前記第２エンティティ装置へのセキュア通信を接続するための通信接続用プログラムであって、
前記第２中継装置のコンピュータに、
前記第１中継装置から前記セキュア通信の接続要求を受信する機能、
前記接続要求に基づいて、前記第２エンティティ装置に対し、少なくとも個人認証の認証方式及び認証精度を含む認証関連情報と、前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とを要求する機能、
この要求により、前記第２エンティティ装置から受信した認証関連情報と前記セキュリティ情報とを含むセキュリティポリシーを作成する機能、
前記作成したセキュリティポリシーを前記第１中継装置に送信する機能、
前記第１中継装置から受信した前記第１エンティティ装置のセキュリティポリシーに関し、前記第２エンティティ装置のセキュリティポリシーに含まれる認証関連情報及びセキュリティ情報に適合するか否かを検証する機能、
前記作成したセキュリティポリシーの送信が完了し、且つ前記検証結果が正当のとき、前記第１中継装置に対して前記セキュア通信のための鍵交換に応じる機能、
を実現させるための通信接続用プログラム。 - 投票所ドメインに属する投票端末及び投票所中継装置と、オープンなネットワークと、開票所ドメインに属する収集中継装置及び開票装置とからなり、前記端末装置から前記投票所中継装置、前記ネットワーク及び前記収集中継装置を介して前記開票装置にセキュア通信を接続可能な電子投票システムであって、
前記投票所中継装置は、
前記投票端末から受けた、個人認証の認証方式及び認証精度を含む認証関連情報と、当該投票端末が前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とからセキュリティポリシーを作成する第１ポリシー作成手段と、
前記第１ポリシー作成手段により作成されたセキュリティポリシーを前記収集中継装置との間で交換する第１ポリシー交換手段と、
前記第１ポリシー交換手段により得られた相手のセキュリティポリシー内の認証関連情報とセキュリティ情報とに関し、自己のセキュリティポリシーに適合するか否かを各々検証する第１ポリシー検証手段と、
前記第１ポリシー検証手段による両者の検証結果が正当のとき、前記接続のための鍵交換を行なう第１鍵交換手段とを備え、
前記収集中継装置は、
前記開票装置から受けた、個人認証の認証方式及び認証精度を含む認証関連情報と、当該開票装置が前記セキュア通信に用いるアプリケーションのセキュリティに関するセキュリティ情報とからセキュリティポリシーを作成する第２ポリシー作成手段と、
前記第２ポリシー作成手段により作成されたセキュリティポリシーを前記投票所中継装置との間で交換する第２ポリシー交換手段と、
前記第２ポリシー交換手段により得られた相手のセキュリティポリシー内の認証関連情報とセキュリティ情報とに関し、自己のセキュリティポリシーに適合するか否かを各々検証する第２ポリシー検証手段と、
前記第２ポリシー検証手段による両者の検証結果が正当のとき、前記接続のための鍵交換を行なう第２鍵交換手段と、
を備えたことを特徴とする電子投票システム。 - 請求項７に記載の電子投票システムにおいて、
前記端末装置は、
投票者ＩＤ及び選挙管理用デジタル署名を含む投票権証を前記投票所中継装置に送信し、この投票権証が真である旨が前記投票所中継装置により検証されると、投票結果を含む投票証を前記投票所中継装置に送信し、
前記投票所中継装置は、
前記端末装置から受けた投票権証のデジタル署名を検証し、この検証結果が真であり、且つ前記投票権証内の投票者ＩＤが予め保持する投票済みリストに無いとき、この投票済みリストに前記投票者ＩＤを含めると共に、検証結果を前記端末装置に送信することを特徴とする電子投票システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002019029A JP4047592B2 (ja) | 2002-01-28 | 2002-01-28 | 通信接続システム、方法、プログラム及び電子投票システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002019029A JP4047592B2 (ja) | 2002-01-28 | 2002-01-28 | 通信接続システム、方法、プログラム及び電子投票システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003224554A JP2003224554A (ja) | 2003-08-08 |
| JP4047592B2 true JP4047592B2 (ja) | 2008-02-13 |
Family
ID=27743102
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002019029A Expired - Fee Related JP4047592B2 (ja) | 2002-01-28 | 2002-01-28 | 通信接続システム、方法、プログラム及び電子投票システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4047592B2 (ja) |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB0329502D0 (en) * | 2003-12-19 | 2004-01-28 | Nokia Corp | Control decisions in a communication system |
| US7877605B2 (en) * | 2004-02-06 | 2011-01-25 | Fujitsu Limited | Opinion registering application for a universal pervasive transaction framework |
| WO2007023756A1 (ja) * | 2005-08-24 | 2007-03-01 | Nec Corporation | 本人認証システム、ユーザ端末、サービス事業者装置、信頼性保証サーバ、これらの動作方法と動作プログラム |
| CN101207613B (zh) * | 2006-12-21 | 2012-01-04 | 松下电器产业株式会社 | 跨网域信息通信的认证方法、系统及其装置 |
| JP4820342B2 (ja) * | 2007-08-09 | 2011-11-24 | 日本電信電話株式会社 | ユーザ認証方法、ユーザ認証装置、プログラム及び記録媒体 |
| US9590967B2 (en) * | 2011-09-30 | 2017-03-07 | Intel Corporation | Application authentication policy for a plurality of computing devices |
| JP6367855B2 (ja) * | 2016-03-08 | 2018-08-01 | インテル・コーポレーション | 複数のコンピューティングデバイスのためのアプリケーション認証ポリシー |
| EP3756125B1 (en) * | 2018-02-21 | 2024-03-20 | Mastercard International Incorporated | Systems and methods for managing digital identities associated with users |
-
2002
- 2002-01-28 JP JP2002019029A patent/JP4047592B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003224554A (ja) | 2003-08-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10829088B2 (en) | Identity management for implementing vehicle access and operation management | |
| RU2434340C2 (ru) | Инфраструктура верификации биометрических учетных данных | |
| JP6494004B1 (ja) | 個人情報管理システム、サービス提供システム、方法およびプログラム | |
| AU2004254771B2 (en) | User authentication system | |
| JP4776245B2 (ja) | ユニバーサルパーベイシブトランザクションフレームワークのためのオピニオン登録アプリケーション | |
| CN100447798C (zh) | 使用便携式计算设备作为智能密钥设备的方法和系统 | |
| US6148404A (en) | Authentication system using authentication information valid one-time | |
| KR100848314B1 (ko) | 무선 단말기를 이용한 전자투표 장치 및 방법 | |
| JP4668551B2 (ja) | 個人認証デバイスとこのシステムおよび方法 | |
| US8499147B2 (en) | Account management system, root-account management apparatus, derived-account management apparatus, and program | |
| CN101741860B (zh) | 一种计算机远程安全控制方法 | |
| JP2005532736A (ja) | 生物測定学的私設キーインフラストラクチャ | |
| JP2003143136A (ja) | 本人確認システム及び装置 | |
| US20050021954A1 (en) | Personal authentication device and system and method thereof | |
| JP2007110377A (ja) | ネットワークシステム | |
| CA2299294A1 (en) | Secure transaction system | |
| CN101262342A (zh) | 分布式授权与验证方法、装置及系统 | |
| CN109962890A (zh) | 一种区块链的认证服务装置及节点准入、用户认证方法 | |
| JPH118619A (ja) | 電子証明書発行方法及びシステム | |
| JP2001186122A (ja) | 認証システム及び認証方法 | |
| CN113781689A (zh) | 一种基于区块链的门禁系统 | |
| JP4047592B2 (ja) | 通信接続システム、方法、プログラム及び電子投票システム | |
| JP2005149341A (ja) | 認証方法および装置、サービス提供方法および装置、情報入力装置、管理装置、認証保証装置、並びにプログラム | |
| JP2001331646A (ja) | 指紋照合を利用した金融取引システムおよび金融取引方法 | |
| JP2003067532A (ja) | 電子投票システム及び電子投票方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050114 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20071120 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20071122 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101130 Year of fee payment: 3 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 4047592 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101130 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111130 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111130 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121130 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131130 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |