JP4704055B2 - 公開鍵証明書失効リスト更新システムおよび方法、ならびにサービス提供サーバ、プログラム - Google Patents

Description

本発明は、公開鍵証明書失効リスト更新システムおよび方法、ならびに認証局サーバ、プログラムに関する。

公開鍵認証基盤（ＰＫＩ）は、多くのアプリケーションで利用されているが、公開鍵証明書を利用する際には、公開鍵証明書の検証が必要であり、検証処理には、公開鍵証明書の発行局（認証局）から、失効している公開鍵証明書が記載された失効リスト（ＣＲＬ：Certificate Revocation List）の取得が必要である。

ＣＲＬを利用するサービス提供者等が、最認証局から常に最新のリストを入手できるように、ＣＲＬの更新周期より短い周期で自身がローカルなデータベースに保存しているリストが最新か否かを判断し、最新のものでなければ更新するデータベースの保守技術が知られている（例えば、特許文献１参照）。
特開２００４−５６６３５号公報

ところで、上記した失効リストを取得する方式の１つとして、デルタＣＲＬ方式がある。デルタＣＲＬ方式は、ベースＣＲＬとデルタＣＲＬの２種類を発行する方式であり、認証局がすべての失効情報を含むベースＣＲＬを定期的に発行し、その期間の合間にベースＣＲＬに対する差分情報をデルタＣＲＬとして配信する方式である。
上記したデルタＣＲＬ方式は、ベースＣＲＬの発行が前提であるため、トータルの通信データサイズが増大してしまうという問題がある。また、デルタＣＲＬは、以前のデルタＣＲＬ情報を含むため、データが冗長であった。また、有効期限切れの証明書は、次のベースＣＲＬが提供されるまで認識できず、従って、検証の際、必要以上に大きなリストを参照しなければならないという問題があった。

本発明は上記事情に基づいてなされたものであり、上記したデルタＣＲＬ方式を基に、トータルのデータ送信サイズ、処理効率を改善し、このことにより、効率的な失効情報の提供を実現する、公開鍵証明書失効リスト更新システムおよび方法、ならびに認証局サーバ、プログラムを提供することを目的とする。

上記した課題を解決するために本発明は、認証局サーバと、前記認証局サーバから配信されるデルタＣＲＬを基に作成した自身の失効リストから、対象となる公開鍵証明書の有効性を検証するサービス提供サーバとがネットワークを介して接続されて成る公開鍵証明書失効リスト更新システムであって、ベースＣＲＬを生成し、前記サービス提供サーバからの要求に基づき、前回提供したベースＣＲＬとの差分情報を生成し、前記デルタＣＲＬとして配信する前記認証局サーバと、次回デルタＣＲＬ取得時間を管理し、その取得時間になったときに前記認証局サーバに対してデルタＣＲＬの配信を要求し、受信した前記デルタＣＲＬに基づき、自身の失効リスト、および次回デルタＣＲＬ取得時間を更新する前記サービス提供サーバと、を具備し、前記認証局サーバが、前記差分情報を生成する際、新たに失効したそれぞれの公開鍵証明書の有効期限を取得して、前記新たに失効した公開鍵証明書の該当証明書番号に付加して配信し、前記デルタＣＲＬを受信したサービス提供サーバが、前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックして有効期限が超過したものを消去することを特徴とする。

また、本発明は、前回受信したベースＣＲＬとの差分情報であるデルタＣＲＬを基に作成される自身の失効リストと次回デルタＣＲＬ取得時間とを管理し、対象となる公開鍵証明書の有効性を検証するサービス提供サーバであって、デルタＣＲＬを受信し、前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックして、有効期限が超過したものを消去することを特徴とする。

また、本発明は、認証局サーバと、前記認証局サーバから配信されるデルタＣＲＬを基に作成した自身の失効リストから検証の対象となる公開鍵証明書の有効性を検証するサービス提供サーバとがネットワークを介して接続され、前記サービス提供サーバが次回デルタＣＲＬ取得時間を管理し、その取得時間になったときに前記認証局サーバにデルタＣＲＬの配信を要求するステップと、前記認証局サーバがベースＣＲＬを作成し、前記サービス提供サーバからの要求に基づき、新たに失効したそれぞれの公開鍵証明書の有効期限を取得して、前記新たに失効した公開鍵証明書の該当証明書番号に付加することにより、前回配信したベースＣＲＬとの差分情報を生成し、前記デルタＣＲＬとして配信するステップと、前記サービス提供者が、受信した前記デルタＣＲＬに基づき、自身の失効リストおよび次回デルタＣＲＬ取得時間を更新するステップと、前記サービス提供サーバが、前記受信したデルタＣＲＬに含まれる公開鍵証明書の有効期限情報を定期的にチェックして有効期限が超過したものを消去するステップと、を有することを特徴とする。

また、本発明は、前回受信したベースＣＲＬとの差分情報であるデルタＣＲＬを基に作成される自身の失効リストと次回デルタＣＲＬ取得時間とを管理し、対象となる公開鍵証明書の有効性を検証するサービス提供サーバに用いられるプログラムであって、デルタＣＲＬを受信する第１の処理と、前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックする第２の処理と、有効期限が超過したものを消去する第３の処理と、をコンピュータに実行させることを特徴とする。

本発明によれば、認証局サーバが、デルタＣＲＬ発行時に、差分情報として、有効期限切れでリストから消してもかまわない公開鍵証明書のリストも含めて送信することによりデルタＣＲＬのみで運用が可能になり、トータルのデータ送信サイズの削減、および処理効率の改善をはかることができる。
また、失効リストの証明書番号毎に、その証明書の有効期限情報を含めることで、受信したエンティティ（サービス提供サーバ）が主体的に自身の失効情報を更新できるようになり、このことにより、デルタＣＲＬのみで運用することが可能となり、トータルのデータ送信サイズの削減、および処理効率の改善がはかれ、より効率的な運用が可能となる。

なお、ここで、「デルタＣＲＬ」とは、認証局が定期的に発行するすべての失効情報を含むベースＣＲＬに対し、その期間の合間に発行するベースＣＲＬに対する差分情報をいう。

図１、図２は、本発明実施形態に係わるデルタＣＲＬのデータ構造の一例を示す図である。
図１に示す例では、デルタＣＲＬ情報に、その期間に失効した公開鍵証明書の証明書番号リストと、その期間に有効期限切れとなった証明書番号リストが電子署名付きで記述されている。また、図２に示す例では、証明書番号にその証明書の有効期限が付加され、リストに電子署名付きで記述されている。

すなわち、前者（図１）は、認証局が、デルタＣＲＬ発行時、差分情報として、有効期限切れでリストから消しても構わない公開鍵証明書のリストも含めて配信する例であり、また、後者（図２）は、失効リストの証明書番号毎、その公開鍵証明書の有効期限情報を含めて配信する例であり、いずれも受信したエンティティ、ここでは、サービス提供者が主体的に自身の失効情報を更新するようにしている。このことにより、デルタＣＲＬのみで運用が可能になり、効率的な管理を実現する。以下に詳細説明を行う。

図３は、本発明実施形態に係わる公開鍵証明書失効リスト更新システムのシステム構成の一例を示すブロック図である。
本発明実施形態に係わる公開鍵証明書失効リスト更新システムは、認証局サーバ１と、サービス提供サーバ２とがネットワーク３を介して接続されることにより構成されている。なお、図示していないが、サービス提供サーバ２には、ネットワーク３を介して店舗サーバもしくはＰＣやネットワーク接続環境を持つ携帯電話等の利用者端末が接続される。ここでは更に、認証局サーバ１と、サービス提供サーバ２のそれぞれの内部構成をブロック図により機能展開して示してある。

認証局サーバ１は、ここではベースＣＲＬを生成し、サービス提供サーバ２から発行される失効情報（デルタＣＲＬ）取得要求に基づき、前回配信したベースＣＲＬとの差分情報を生成し、当該差分情報をデルタＣＲＬとして配信する失効情報生成・配信手段として機能し、失効情報要求受理部１１と、失効情報取得部１２と、失効情報作成部１３と、失効情報整形部１４と、失効情報配信部１５とで構成される。

失効情報要求受理部１１は、サービス提供サーバ２から発行される失効情報取得要求を受信して失効情報取得部１２へ供給する。また、失効情報取得部１２は、ベースＣＲＬを取得し、失効情報作成部１３へ供給する。
失効情報作成部１３は、取得したベースＣＲＬを基に、以前デルタＣＲＬ配信時に作成したベースＣＲＬとの差分情報を生成するための演算を実行して失効情報整形部１４へ供給する。また、失効情報整形部１４は、失効情報作成部１３で生成された差分情報に電子署名を施してデルタＣＲＬとして整形し、失効情報配信部１５へ供給する。失効情報配信部１５は、整形されたデルタＣＲＬを要求のあったサービス提供サーバ２へ配信する。

一方、サービス提供サーバ２は、失効情報要求部２１と、失効情報受信部２２と、失効情報格納部２３と、失効情報確認部２４で構成される。
失効情報要求部２１は、認証局サーバ１に対してデルタＣＲＬの取得要求を発行する。また、失効情報受信部２２は、失効情報要求部２１で発行されたデルタＣＲＬ取得要求に従い、認証局サーバ１から配信されるデルタＣＲＬを受信して失効情報格納部２３へ保存する。更に、失効情報確認部２４は、失効情報格納部２３に保存されたデルタＣＲＬを基に、自身が作成した失効リストと、次回デルタＣＲＬ取得時刻とを管理する。また、更新され保存された失効リストから、対象となる公開鍵証明書の有効性を検証する機能も併せ持つ。

図４、図５は、本発明実施形態に係わる動作を説明するために引用したフローチャートであり、認証局サーバ１、サービス提供サーバ２のそれぞれの処理手順が示されている。
以下、図４、図５に示すフローチャートを参照しながら、図３に示す本発明実施形態の動作について詳細に説明する。

まず、図１に示すデルタＣＲＬを用いた場合の認証局サーバ１とサービス提供サーバ２との間の失効情報のやりとりから説明する。
サービス提供サーバ２は、認証局より認証サーバ１を介して配信される、図１に示すデータ構造を持つデルタＣＲＬを失効情報受信部２２で受信し、失効情報格納部２３に保存する。そして失効情報確認部２４は、失効情報格納部２３に保存されたデルタＣＲＬを基に自身が作成した失効リストと、次回デルタＣＲＬ取得時刻とを管理している。

失効情報要求部２１は、次回デルタＣＲＬ取得時刻になったら（図５、Ｓ５５“Ｙｅｓ”）、ネットワーク３を介して認証局サーバ１に対しデルタＣＲＬの取得要求を発行する（Ｓ５６）。
失効情報要求受理部１１でデルタＣＲＬの発行要求を受信した認証局サーバ１は（図４、Ｓ４１“Ｙｅｓ”）、失効情報作成部１３で現在のベースＣＲＬを作成し（Ｓ４２）、以前デルタＣＲＬ配信時に作成したベースＣＲＬとの差分情報（増えた証明書番号と減った証明書番号）を生成するための演算を実行する（Ｓ４３）。そして、失効情報整形部１４で電子署名を施すことにより失効情報作成部１３で演算され生成された差分情報を整形し、失効情報配信部１５を介してデルタＣＲＬとして配信する（Ｓ４４）。

一方、サービス提供サーバ２は、失効情報受信部２２で受信したデルタＣＲＬを基に（Ｓ５７“Ｙｅｓ”）、自身の失効リスト、および次回デルタＣＲＬ取得時刻を更新して失効情報格納部２３に保存する（Ｓ５８）。
そして、失効情報確認部２４は、更新され保存された失効リストから、対象となる公開鍵証明書の有効性を検証する。

次に、図２に示すデルタＣＲＬを用いた場合の認証局サーバ１とサービス提供サーバ２との間の失効情報のやりとりについて説明する。
サービス提供サーバ２は、失効情報確認部２４において、認証局から認証サーバ１を介して配信される、図２に示すデータ構造を持つデルタＣＲＬを基に作成した失効リストと、次回デルタＣＲＬ取得時刻を管理している。また、失効リストの各証明書番号は、失効情報確認部２４においてその公開鍵証明書の有効期限とともに管理されている。更に、失効情報確認部２４は、定期的に公開鍵証明書の有効期限をチェックして（Ｓ５９）、有効期限が超過したものは（図５、Ｓ６０“Ｙｅｓ”）、失効情報格納部２３に保存された失効リストから消去する（Ｓ６１）。

失効情報確認部２４は、次回デルタＣＲＬ取得時刻になったら（Ｓ５５“Ｙｅｓ”）、認証局サーバ１に対し、失効情報要求部２１によりデルタＣＲＬの取得要求を発行する（Ｓ５６）。
デルタＣＲＬの取得要求を、失効情報要求受理部１１を介して受信した認証局サーバ１は（図４、Ｓ５７“Ｙｅｓ”）、失効情報作成部１３で現在のベースＣＲＬを作成し（Ｓ４２）、以前デルタＣＲＬ配信時に作成したベースＣＲＬとの差分情報（増えた証明書番号のみ）を生成するための演算を実行する（Ｓ４３）。また、失効情報取得部１２を介してそれぞれの証明書の有効期限を取得して証明書番号に付加し、失効情報整形部１４で差分情報を整形した後電子署名を施し、失効情報配信部１５によりデルタＣＲＬとして配信する（Ｓ４４）。

一方、サービス提供サーバ２は、失効情報確認部２４で、失効情報受信部２２により受信したデルタＣＲＬを基に（図５、Ｓ５７“Ｙｅｓ”）、自身の失効リストに証明書番号を加えると共に、次回デルタＣＲＬ取得時刻を更新して失効情報格納部２３に保存する（Ｓ５８）。
そして、失効情報確認部２４は、更新され保存された失効リストから、対象となる公開鍵証明書の有効性を検証する。

以上説明のように本発明は、認証局サーバ１が、デルタＣＲＬ発行時に、差分情報として、有効期限切れでリストから消してもかまわない公開鍵証明書のリストも含めて送信することにより、あるいは、失効リストの証明書番号毎に、その証明書の有効期限情報を含めることで、受信したエンティティ（サービス提供サーバ２）が主体的に自身の失効情報を更新できるようになり、このことにより、デルタＣＲＬのみで運用することが可能となり、トータルのデータ送信サイズの削減、および処理効率の改善がはかれ、効率的な運用を可能とするものである。

なお、図３に示す、認証サーバ１の失効情報生成・配信手段を構成する、失効情報要求受理部１１と、失効情報取得部１２と、失効情報作成部１３と、失効情報整形部１４と、失効情報配信部１５、ならびに、サービス提供サーバ２を構成する失効情報要求部２１と、失効情報受信部２２と、失効情報格納部２３と、失効情報確認部２４のそれぞれで実行される手順をコンピュータ読取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって本発明の認証サーバ、もしくは公開鍵証明書失効リスト更新システムが実現されるものとする。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明の実施形態に係わるデルタＣＲＬのデータ構造の一例を示した図である。 本発明の実施形態に係わるデルタＣＲＬのデータ構造の一例を示した図である。 本発明の実施形態に係わる公開鍵証明書失効リスト更新システムのシステム構成の一例を示すブロック図である。 本発明の実施形態に係わる認証サーバの動作を説明するために引用したフローチャートである。 本発明の実施形態に係わるサービス提供サーバの動作を説明するために引用したフローチャートである。

符号の説明

１…認証局サーバ、２…サービス提供サーバ、３…ネットワーク、１１…失効情報要求受理部、１２…失効情報取得部、１３…失効情報作成部、１４…失効情報整形部、１５…失効情報配信部、２１…失効情報要求部、２２…失効情報受信部、２３…失効情報格納部、２４…失効情報確認部

Claims (4)

1. 認証局サーバと、前記認証局サーバから配信されるデルタＣＲＬを基に作成した自身の失効リストから、対象となる公開鍵証明書の有効性を検証するサービス提供サーバとがネットワークを介して接続されて成る公開鍵証明書失効リスト更新システムであって、
   ベースＣＲＬを生成し、前記サービス提供サーバからの要求に基づき、前回提供したベースＣＲＬとの差分情報を生成し、前記デルタＣＲＬとして配信する前記認証局サーバと、
   次回デルタＣＲＬ取得時間を管理し、その取得時間になったときに前記認証局サーバに対してデルタＣＲＬの配信を要求し、受信した前記デルタＣＲＬに基づき、自身の失効リスト、および次回デルタＣＲＬ取得時間を更新する前記サービス提供サーバと、
   を具備し、
   前記認証局サーバは、前記差分情報を生成する際、新たに失効したそれぞれの公開鍵証明書の有効期限を取得して、前記新たに失効した公開鍵証明書の該当証明書番号に付加して配信し、
   前記デルタＣＲＬを受信したサービス提供サーバは、前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックして有効期限が超過したものを消去することを特徴とする公開鍵証明書失効リスト更新システム。
2. 前回受信したベースＣＲＬとの差分情報であるデルタＣＲＬを基に作成される自身の失効リストと次回デルタＣＲＬ取得時間とを管理し、対象となる公開鍵証明書の有効性を検証するサービス提供サーバであって、
   デルタＣＲＬを受信し、前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックして、有効期限が超過したものを消去することを特徴とするサービス提供サーバ。
3. 認証局サーバと、前記認証局サーバから配信されるデルタＣＲＬを基に作成した自身の失効リストから検証の対象となる公開鍵証明書の有効性を検証するサービス提供サーバとがネットワークを介して接続され、
   前記サービス提供サーバが次回デルタＣＲＬ取得時間を管理し、その取得時間になったときに前記認証局サーバにデルタＣＲＬの配信を要求するステップと、
   前記認証局サーバがベースＣＲＬを作成し、前記サービス提供サーバからの要求に基づき、新たに失効したそれぞれの公開鍵証明書の有効期限を取得して、前記新たに失効した公開鍵証明書の該当証明書番号に付加することにより、前回配信したベースＣＲＬとの差分情報を生成し、前記デルタＣＲＬとして配信するステップと、
   前記サービス提供者が、受信した前記デルタＣＲＬに基づき、自身の失効リストおよび次回デルタＣＲＬ取得時間を更新するステップと、
   前記サービス提供サーバが、前記受信したデルタＣＲＬに含まれる公開鍵証明書の有効期限情報を定期的にチェックして有効期限が超過したものを消去するステップと、
   を有することを特徴とする公開鍵証明書失効リスト更新方法。
4. 前回受信したベースＣＲＬとの差分情報であるデルタＣＲＬを基に作成される自身の失効リストと次回デルタＣＲＬ取得時間とを管理し、対象となる公開鍵証明書の有効性を検証するサービス提供サーバに用いられるプログラムであって、
   デルタＣＲＬを受信する第１の処理と、
   前記デルタＣＲＬに含まれる公開鍵証明書の有効期限を定期的にチェックする第２の処理と、
   有効期限が超過したものを消去する第３の処理と、
   をコンピュータに実行させるプログラム。

Images