JP6358529B2

JP6358529B2 - 通信機器

Info

Publication number: JP6358529B2
Application number: JP2014003547A
Authority: JP
Inventors: 洋一増田; 健司安; 尚弘福田; 智樹高添; 藏前　健治; 健治藏前
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2014-01-10
Filing date: 2014-01-10
Publication date: 2018-07-18
Anticipated expiration: 2034-01-10
Also published as: WO2015104628A1; EP3094040A1; JP2015132943A; EP3094040A4

Description

本発明は、対象機器と認証する通信機器、認証システム、認証方法、認証プログラム及び記憶媒体に関する。

認証局であるサーバにより発行された電子証明書を用いて機器同士が相互認証を行う技術が知られている。このような技術を用いた認証システムにおいて、機器が電子証明書の失効リストをサーバから取得することにより、失効した電子証明書を保有する不正な機器との接続を禁止することができる（特許文献１参照）。

特開２００６−２１７１６０号公報

しかしながら、例えば新築の住戸等、外部ネットワークに未接続の環境に認証システムを設置する場面において、サーバへの接続がないまま機器の認証が必要な場合がある。一方、失効リストを取得できない機器は、有効な証明書を保有しない不正な機器と接続する恐れがある。また、機器が信頼出来ない機器を経由してサーバに接続する場合、失効リストが信頼できない機器により改竄される恐れがある。

本発明は、上記問題点を鑑み、サーバに未接続の環境であっても容易に設置、施工可能であり、信頼できない機器のアクセスを制限できる通信機器、認証システム、認証方法、認証プログラム及び記憶媒体を提供することを目的とする。

上記目的を達成するために、本発明の第１の態様は、通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器であって、前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定する条件判定部と、前記条件判定部により前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可する暫定許可部と、前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認する有効性確認部と、前記有効性確認部により前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可する確定許可部とを備える通信機器であることを要旨する。

また、本発明の第２の態様に係る認証システムは、第１の態様に係る通信機器において、有効性確認部が、サーバに通信を暗号化するよう要求する暗号化要求部を有することを特徴とする。

また、本発明の第３の態様に係る認証システムは、第１または第２の態様に係る通信機器において、有効性確認部が、対象機器に証明書の更新を要求する更新要求部を有することを特徴とする。

本発明の第４の態様は、通信機器と、通信機器に接続された対象機器と、対象機器に対して証明書を発行したサーバとを備える認証システムであることを要旨とし、通信機器は、サーバに接続されていない場合、証明書が所定の条件を満たすか否かを判定する条件判定部と、条件判定部により証明書が所定の条件を満たすと判定された場合、対象機器に対して所定のアクセス制限を設定して接続を許可する暫定許可部と、サーバに接続された場合、サーバにより証明書の有効性を確認する有効性確認部と、有効性確認部により証明書が有効であると確認された場合、対象機器に対してアクセス制限を解除して接続を許可する確定許可部とを備えることを特徴とする。

また、本発明の第５の態様に係る認証システムは、第４の態様に係る認証システムにおいて、有効性確認部が、サーバに通信を暗号化するよう要求する暗号化要求部を有し、サーバが、暗号化要求部の要求に応じて、通信機器との通信を暗号化する暗号処理部を有することを特徴とする。

また、本発明の第６の態様に係る認証システムは、第４または第５の態様に係る認証システムにおいて、有効性確認部が、対象機器に証明書の更新を要求する更新要求部を有し、対象機器が、更新要求部の要求に応じて、サーバに証明書の更新を要求する更新処理部を有することを特徴とする。

また、本発明の第７の態様に係る認証システムは、第６の態様に係る認証システムにおいて、サーバが、更新処理部の要求に応じて、再発行の日時が埋め込まれた新たな証明書を再発行し、有効性確認部が、更新要求部の要求の日時と、再発行の日時とを比較することにより、新たな証明書の有効性を確認することを特徴とする。

本発明の第８の態様は、通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて使用される認証方法であって、前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップとを含む認証方法であることを要旨とする。

本発明の第９の態様は、通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器を動作させるための認証プログラムであって、前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップとを含む処理をコンピュータに実行させるための認証プログラムであることを要旨とする。

本発明の第１０の態様は、通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器を動作させるための認証プログラムが記憶された記憶媒体であって、前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップとを含む処理をコンピュータに実行させるための前記認証プログラムが記憶されたコンピュータ読み取り可能な記憶媒体であることを要旨とする。

本発明によれば、サーバに未接続の環境であっても容易に設置、施工可能であり、信頼できない機器のアクセスを制限できる通信機器、認証システム、認証方法、認証プログラム及び記憶媒体を提供することができる。

本発明の第１実施形態に係る認証システムの基本的な構成を説明するブロック図である。本発明の第１実施形態に係る認証システムが備える通信機器の動作を説明するフローチャートである。本発明の第１実施形態に係る認証システムの動作を説明するシーケンス図である。本発明の第２実施形態に係る認証システムの基本的な構成を説明するブロック図である。本発明の第２実施形態に係る認証システムの動作を説明するシーケンス図である。本発明の第３実施形態に係る認証システムの基本的な構成を説明するブロック図である。本発明の第３実施形態に係る認証システムの動作を説明するシーケンス図である。

次に、図面を参照して、本発明の第１〜第３実施形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付し、重複する説明を省略している。以下に示す実施形態は、本発明の技術的思想を具体化するための装置や方法を例示するものであって、下記の実施形態に例示した装置や方法に構成を特定するものでない。本発明の技術的思想は、特許請求の範囲に記載された技術的範囲内において、種々の変更を加えることができる。

（第１実施形態）
本発明の第１実施形態に係る認証システムは、図１に示すように、通信機器１と、内部ネットワーク６を介して通信機器１と通信可能に接続されたＨＥＭＳコントローラ２と、外部ネットワーク５と通信可能に接続されたサーバ３とを備える。

内部ネットワーク６は、例えばＨＡＮ(Home Area Network)等のローカルな通信ネットワークからなる。内部ネットワーク６は、通信機器１及びＨＥＭＳコントローラ２の他、１または複数の通信機器１ａが接続されてもよい。内部ネットワーク６は、ＨＥＭＳコントローラ２及び通信機器１，１ａが互いに通信可能に接続されることにより、ホームエネルギー管理システム（ＨＥＭＳ）を構成する。内部ネットワーク６は、有線であってもよく、無線であってもよい。

外部ネットワーク５は、例えばインターネット等の広域通信ネットワークである。サーバ３は、通信機器１，１ａ及びＨＥＭＳコントローラ２に対して公開鍵証明書等の電子証明書を発行し、発行した電子証明書を管理する認証局である。サーバ３は、それぞれ、通信機器１，１ａ及びＨＥＭＳコントローラ２に対して、公開鍵証明書である証明書１５，１５ａ及び証明書２５を発行する。証明書１５，１５ａ及び証明書２５には、サーバ３による電子署名（デジタル署名）が含まれる。サーバ３は、その他、失効した公開鍵証明書のリストである証明書失効リスト３１を保有する。

ＨＥＭＳコントローラ２は、ＨＥＭＳを構成する通信機器１，１ａと接続されることにより、通信機器１，１ａの稼働状態を取得及び管理したり、通信機器１，１ａの動作を制御したりする。ＨＥＭＳコントローラ２は、通信機器１，１ａと相互認証することにより接続を確立する。ＨＥＭＳコントローラ２は、外部ネットワーク５に接続されることにより、サーバ３に接続し、通信機器１，１ａとサーバ３との通信を中継することができる。ここで、通信機器１，１ａはサーバ３との通信を行う際、必ずしもＨＥＭＳコントローラ２を経由する必要はなく、直接または他の通信機器経由で通信を行っても良い。

通信機器１は、例えばエアコン、ＩＨ調理器、太陽電池モジュール、分電盤等、ＨＥＭＳコントローラ２と通信可能な機器である。通信機器１は、条件判定部１１と、暫定許可部１２と、有効性確認部１３と、確定許可部１４とを備える。通信機器１は、内部ネットワーク６を介してＨＥＭＳコントローラ２及び通信機器１ａと相互認証可能である。以下、通信機器１が相互認証する対象機器を、ＨＥＭＳコントローラ２として例示的に説明する。

条件判定部１１は、内部ネットワーク６が外部ネットワーク５に通信可能に接続されていない場合、すなわち、通信機器１がサーバ３と通信可能に接続されていない場合、ＨＥＭＳコントローラ２が保有する証明書２５が所定の条件を満たすか否かを判定する。

暫定許可部１２は、条件判定部１１により証明書２５が所定の条件を満たすと判定された場合、ＨＥＭＳコントローラ２に対する仮認証が成功したとして、ＨＥＭＳコントローラ２に対して所定のアクセス制限を設定して通信機器１との接続を許可する。

有効性確認部１３は、内部ネットワーク６が外部ネットワーク５に通信可能に接続された場合、すなわち、通信機器１がサーバ３と通信可能に接続された場合、サーバ３により証明書２５の有効性を確認する。

確定許可部１４は、有効性確認部１３により証明書２５が有効であると確認された場合、ＨＥＭＳコントローラ２に対する認証が成功したとして、ＨＥＭＳコントローラ２に対して、暫定許可部１２が設定したアクセス制限を解除して通信機器１との接続を許可する。

−通信機器の動作−
図２に示すフローチャートを用いて、第１実施形態に係る認証システムが備える通信機器１の動作の一例を説明する。

先ず、ステップＳ１において、条件判定部１１は、ＨＥＭＳである内部ネットワーク６が外部ネットワーク５に接続されており、通信機器１がサーバ３と通信可能に接続されているか否かを判定する。通信機器１がサーバ３と通信可能に接続されていないと判定した場合、条件判定部１１は、ステップＳ２に処理を進める。通信機器１がサーバ３と通信可能に接続されていると判定した場合、条件判定部１１は、ステップＳ５に処理を進める。

ステップＳ２において、条件判定部１１は、ＨＥＭＳコントローラ２に証明書２５を要求してＨＥＭＳコントローラ２から証明書２５を取得する。条件判定部１１は、取得した証明書２５に対する検証を行い、証明書２５が所定の条件を満たすか否かを判定する。条件判定部１１が判定する所定の条件は、証明書２５が明らかな偽造でない適正なものであること、証明書２５に有効期限が設定されている場合、有効期限を過ぎていないこと等である。通信機器１は、所定の条件を満たすが、現状においてサーバ３に有効性を確認できない証明書２５を保有するＨＥＭＳコントローラ２に対して、暫定的に接続を許可するよう構成される。

ステップＳ３において、暫定許可部１２は、ステップＳ２において証明書２５が所定の条件を満たすと判定された場合、ＨＥＭＳコントローラ２との仮認証が成立したと見なし、ステップＳ４に処理を進める。一方、暫定許可部１２は、ステップＳ２において証明書２５が所定の条件を満たさないと判定された場合、ＨＥＭＳコントローラ２に対する仮認証が失敗したと見なし、アクセスは許可せず処理を終了する。

ステップＳ４において、暫定許可部１２は、ＨＥＭＳコントローラ２に対して所定のアクセス制限を設定して通信機器１との接続を許可する。暫定許可部１２が設定する所定のアクセス制限は、例えば、通信機器１の稼働状態等、通信機器１に関する情報の取得のみを許可し、通信機器１の稼働状態の変更等を制御することを禁止する等、ＨＥＭＳコントローラ２による制御範囲を制限するものである。その他、所定のアクセス制限は、ＨＥＭＳコントローラ２によるアクセスを許可する有効期限を設定してもよく、アクセス回数を制御の種類毎に設定してもよい。また、所定のアクセス制限として、ＨＥＭＳコントローラ２からのアクセスを禁止してもよい。

このように、暫定許可部１２は、ＨＥＭＳの設置において必要最低限のアクセスのみをＨＥＭＳコントローラ２に対して許可する。通信機器１の稼働状態は、例えば、エアコンの場合、電源状態、消費電力、設定温度等であり、太陽電池モジュールの場合、発電量等である。暫定許可部１２は、ステップＳ４の後、ステップＳ１に処理を戻す。

ステップＳ１において通信機器１がサーバ３と通信可能に接続されていると判定された場合、ステップＳ５において、有効性確認部１３は、証明書２５の検証を行った上でサーバ３により証明書２５の有効性を確認する。ここで、既に仮認証により証明書２５の検証が完了している場合は、証明書２５の検証は省略してもよい。

ステップＳ６において、確定許可部１４は、ステップＳ５において証明書２５が有効であると確認された場合、ＨＥＭＳコントローラ２に対する認証が成立したと見なし、ステップＳ７に処理を進める。一方、確定許可部１４は、ステップＳ５において証明書２５が有効であると確認できなかった場合、ＨＥＭＳコントローラ２に対する認証が失敗したと見なし、アクセスを禁止して処理を終了する。

ステップＳ７において、確定許可部１４は、ステップＳ４において暫定許可部１２によりＨＥＭＳコントローラ２に対して設定された所定のアクセス制限を解除して通信機器１との接続を許可し、処理を終了する。

−認証方法−
図３に示すシーケンス図を用いて、第１実施形態に係る認証システムの動作の一例を説明する。認証局であるサーバ３は、予め、ステップＰ１，Ｐ２において、通信機器１及びＨＥＭＳコントローラ２に対して、それぞれ証明書１５，２５を発行する。証明書１５，２５は、サーバ３が保有する公開鍵３６と併せて発行される。ステップＰ１，Ｐ２は、例えば、通信機器１及びＨＥＭＳコントローラ２の工場出荷時等になされる。

先ず、通信機器１及びＨＥＭＳコントローラ２が、外部ネットワーク５に未接続の環境の内部ネットワーク６に接続されると、ステップＳ１０１において、通信機器１及びＨＥＭＳコントローラ２は、証明書１５，２５を用いて相互認証する。例えば、通信機器１の有効性確認部１３及びＨＥＭＳコントローラ２は、それぞれ、証明書１５，２５を互いに送信し、受信した証明書２５，１５のデジタル署名を検証し、証明書２５，１５がサーバ３により発行された証明書であることを検証する。ここで、証明書２５，１５の内容が所定の条件を満たさなければ認証失敗となる。更に、通信機器１の有効性確認部１３及びＨＥＭＳコントローラ２は、それぞれ、受信した証明書２５，１５に対応する秘密鍵を認証相手が保持しているかの検証を行う。これにより、認証相手がサーバ３より発行された正規の秘密鍵と公開鍵証明書のペアを保持していることを確認し相互認証を行うことができる。

ステップＳ１における相互認証が成功すると、ステップＳ１０２において、通信機器１の暫定許可部１２は、ＨＥＭＳコントローラ２に対する仮認証が成功したと見なし、ＨＥＭＳコントローラ２に対して所定のアクセス制限を設定して接続を許可する。また、ステップＳ１の相互認証において、通信機器１及びＨＥＭＳコントローラ２は、例えば公開鍵暗号を用いた鍵交換によってセッション鍵（共通秘密鍵）を共有することができる。通信機器１及びＨＥＭＳコントローラ２は、以降の相互間の通信内容を、共有したセッション鍵を用いて暗号化してもよい。また、やりとりされる通信メッセージは、改竄検知のためセッション鍵を用いて生成したメッセージ認証コードが付与されることが望ましい。

ステップＳ１０３において、ＨＥＭＳコントローラ２は、通信機器１に対して、所定のアクセス制限の範囲内の制御をすることができる。

ステップＳ１０４において、通信機器１及びＨＥＭＳコントローラ２が外部ネットワーク５に接続され、サーバ３に接続される。ステップＳ１０５において、通信機器１の有効性確認部１３は、サーバ３に接続されたことに応じて、サーバ３に対して証明書失効リスト３１を要求するメッセージを送信する。

ステップＳ１０６において、サーバ３は、ステップＳ１０５において通信機器１から送信されたメッセージに応じて、証明書失効リスト３１を通信機器１に送信する。有効性確認部１３は、ステップＳ１０６において送信された証明書失効リスト３１と、ＨＥＭＳコントローラ２が保有する証明書２５とを比較することにより、証明書２５の有効性を確認する。有効性確認部１３は、証明書２５が証明書失効リスト３１に含まれない場合、証明書２５が有効であると確認する。

或いは、ステップＳ１０５において、有効性確認部１３は、サーバ３に対して、証明書２５の有効性を問い合わせするメッセージを送信するようにしてもよい。サーバ３は、有効性確認部１３の問い合わせに応じて、ステップＳ１０６において、証明書２５が有効であるか否かを示すメッセージを通信機器１に送信すればよい。この場合、証明書失効リスト３１を要求、受信する場合と比べて、内部ネットワーク６及び外部ネットワーク５における通信機器１のトラフィックを低減することができる。但し、対象機器が多数の場合等、証明書失効リスト３１を１回取得し、取得した証明書失効リスト３１を対象機器毎に照会する方がトラフィックを低減できる場合があるため、認証システムのトポロジーに応じて、有効性確認部１３の動作を変更すればよい。また、有効性確認部１３は、サーバ３に対して、証明書失効リスト３１のうち、内部ネットワーク６内に相当する所定の範囲のみを通信機器１に送信するよう要求するメッセージを送信するようにしてもよい。

有効性確認部１３により証明書２５が有効であると確認された場合、ステップＳ１０７において、確定許可部１４は、ＨＥＭＳコントローラ２に対する認証が成功したと見なす。確定許可部１４は、ＨＥＭＳコントローラ２に対する認証が成功したことに応じて、暫定許可部１２によりＨＥＭＳコントローラ２に対して設定された所定のアクセス制限を解除して通信機器１との接続を許可する。

ステップＳ１０８において、ＨＥＭＳコントローラ２は、アクセス制限なく、通信機器１に対して可能な制御をすることができる。

第１実施形態に係る認証システムによれば、外部ネットワーク５に未接続の環境であっても、容易に設置、施工が可能であり、かつ、なりすまし等の可能性がある信頼できない機器からのアクセスを制限することができる。

（第２実施形態）
本発明の第２実施形態に係る認証システムは、図４に示すように、通信機器１が暗号化要求部１３１を有する有効性確認部１３Ａを備え、サーバ３Ａが暗号処理部３２を備える点等で第１実施形態と異なる。第２実施形態において、通信機器１は、認証する対象機器であるＨＥＭＳコントローラ２を介してサーバ３Ａに接続する。第２実施形態において説明しない他の構成、作用及び効果は、第１実施形態と実質的に同様であるので重複する説明を省略する。

暗号化要求部１３１は、サーバ３Ａに対して、通信機器１との通信を、通信機器１が保有する公開鍵１６を用いて暗号化するよう要求するメッセージを送信する。公開鍵１６は、証明書１５に関連付けられ、暗号化アルゴリズムを示す。暗号処理部３２は、暗号化要求部１３１の要求に応じて、通信機器１との通信を暗号化する。

−認証方法−
図５に示すシーケンス図を用いて、第２実施形態に係る認証システムの動作の一例を説明する。ステップＰ１〜Ｐ２、ステップＳ１０１〜ステップＳ１０４及びステップＳ１０７〜ステップＳ１０８における処理は、第１実施形態と実質的に同様である。

ステップＳ１１１において、有効性確認部１３Ａの暗号化要求部１３１は、証明書失効リスト３１を公開鍵１６を用いて暗号化して送信するよう要求するメッセージを、サーバ３Ａが保有する公開鍵３６を用いて暗号化してサーバ３Ａに送信する。

ステップＳ１１２において、暗号処理部３２は、暗号化要求部１３１が送信したメッセージをサーバ３Ａが保有する秘密鍵により復号し、暗号化要求部１３１の要求に応じて、証明書失効リスト３１を含む応答メッセージを、公開鍵１６を用いて暗号化する。

ステップＳ１１３において、暗号処理部３２は、暗号化した証明書失効リスト３１を含む応答メッセージを通信機器１に送信する。有効性確認部１３Ａは、ステップＳ１１３において送信された証明書失効リスト３１を、通信機器１が保有する秘密鍵を用いて復号する。有効性確認部１３Ａは、復号された証明書失効リスト３１と、証明書２５とを比較することにより、証明書２５の有効性を確認する。有効性確認部１３Ａは、証明書２５が証明書失効リスト３１に含まれない場合、証明書２５が有効であると確認する。

或いは、ステップＳ１１１において、暗号化要求部１３１は、サーバ３Ａに対して、証明書２５の有効性を示すメッセージを、公開鍵１６を用いて暗号化して送信するよう要求するメッセージをサーバ３Ａに送信するようにしてもよい。暗号化要求部１３１は、サーバ３Ａに送信するメッセージを、公開鍵３６を用いて暗号化する。この場合、サーバ３Ａは、有効性確認部１３の問い合わせに応じて、ステップＳ１１２において証明書２５が有効であるか否かを示すメッセージを公開鍵１６を用いて暗号化し、ステップＳ１１３において通信機器１に送信すればよい。

なお、暗号化要求部１３１は、ステップＳ１１１において送信する要求メッセージに、毎回異なるランダム値を含めて送信するようにしてもよい。この場合、サーバ３Ａは、ステップＳ１１３において送信する応答メッセージに、要求メッセージと同じランダム値を含めて送信する。これにより、要求メッセージや応答メッセージを盗聴してコピーするリプレイ攻撃への対策が可能である。

第２実施形態に係る認証システムによれば、外部ネットワーク５に未接続の環境であっても、容易に設置、施工が可能であり、かつ、なりすまし等の可能性がある信頼できない機器からのアクセスを制限することができる。

また、第２実施形態に係る認証システムによれば、暗号処理部３２によりサーバ３Ａと通信機器１との間の通信内容が暗号化される。よって、第２実施形態に係る認証システムは、サーバ３Ａと通信機器１との間を中継する認証対象機器が信頼できない場合であっても、認証対象機器による証明書失効リスト３１の改竄を防止し、認証システムの信頼性、堅牢性を向上できる。

（第３実施形態）
本発明の第３実施形態に係る認証システムは、図６に示すように、通信機器１が更新要求部１３２を有する有効性確認部１３Ｂを備え、ＨＥＭＳコントローラ２Ｂが更新処理部２１を備える点等で第１及び第２実施形態と異なる。第３実施形態において、通信機器１は、認証する対象機器であるＨＥＭＳコントローラ２Ｂを介してサーバ３に接続する。第３実施形態において説明しない他の構成、作用及び効果は、第１及び第２実施形態と実質的に同様であるので重複する説明を省略する。

更新要求部１３２は、ＨＥＭＳコントローラ２Ｂに対して、証明書２５の更新を要求するメッセージを送信する。更新処理部２１は、更新要求部１３２の要求に応じて、サーバ３により証明書２５を更新する。

−認証方法−
図７に示すシーケンス図を用いて、第３実施形態に係る認証システムの動作の一例を説明する。ステップＰ１〜Ｐ２、ステップＳ１０１〜ステップＳ１０４及びステップＳ１０７〜ステップＳ１０８における処理は、第１及び第２実施形態と実質的に同様である。

ステップＳ１２１において、有効性確認部１３Ｂの更新要求部１３２は、証明書２５の更新を要求するメッセージを、ＨＥＭＳコントローラ２に送信する。

ステップＳ１２２において、ＨＥＭＳコントローラ２の更新処理部２１は、更新要求部１３２の要求に応じて、証明書２５の再発行を依頼するメッセージをサーバ３に送信する。サーバ３は、更新処理部２１の依頼に応じて、再発行の日時、再発行の依頼の日時、または有効期間の開始の日時を示す時刻情報が埋め込まれた新たな証明書２５を再発行する。

ステップＳ１２３において、サーバ３は、再発行した新たな証明書２５をＨＥＭＳコントローラ２に送信する。ステップＳ１２４において、更新処理部２１は、既に保有する証明書２５をサーバ３から送信された新たな証明書２５に置き換えることにより、証明書２５を更新する。

ステップＳ１２５において、通信機器１及びＨＥＭＳコントローラ２は、証明書１５及び新たな証明書２５を用いて相互認証する。有効性確認部１３Ｂは、証明書２５に埋め込まれた時刻情報と、ステップＳ１２１における要求の日時とを比較することにより、証明書２５の有効性を確認する。有効性確認部１３Ｂは、証明書２５の時刻情報がステップＳ１２１における要求の日時以降のものである場合、証明書２５が有効であると確認する。

仮に、ステップＳ１２２において証明書２５の再発行を依頼する際、ＨＥＭＳコントローラ２が既に保有する証明書２５が失効していると、サーバ３による証明書２５の再発行は行われず、証明書２５の更新は行われない。よって、有効性確認部１３Ｂは、新たな証明書２５の時刻情報を検証することにより、再発行された新たな証明書２５の有効性を確実に確認することができる。

第３実施形態に係る認証システムによれば、外部ネットワーク５に未接続の環境であっても、容易に設置、施工が可能であり、かつ、なりすまし等の可能性がある信頼できない機器からのアクセスを制限することができる。

また、第３実施形態に係る認証システムによれば、更新要求部１３２の要求により認証対象機器が証明書の更新をする。よって、第３実施形態に係る認証システムは、サーバ３Ａと通信機器１との間を中継する認証対象機器が信頼できない場合であっても、認証対象機器の証明書の有効性を確認することができ、認証システムの信頼性、堅牢性を向上できる。

（その他の実施形態）
上記のように、本発明を第１〜第３実施形態によって記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

例えば、既に述べた第１〜第３実施形態において、通信機器１，１ａ、ＨＥＭＳコントローラ２及びサーバ３の各機能は、コンピュータに実行させるための認証プログラムにより実現可能である。認証プログラムは、コンピュータ読み取り可能な記憶媒体に記憶されてもよく、ネットワークを介してコンピュータに取得されてもよい。

また、既に述べた第１〜第３実施形態において、有効性確認部１３は、内部ネットワーク６に接続されたＨＥＭＳコントローラ２以外の通信機器１ａにより、証明書２５の有効性を確認するようにしてもよい。この場合、通信機器１ａは、例えば、予めサーバ３から取得した証明書失効リスト３１や、予め有効と見なされた機器を示すリスト等を保有するようにすればよい。

上記の他、第１〜第３実施形態を相互に応用した構成等、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１，１ａ通信機器
２，２ＢＨＥＭＳコントローラ（対象機器）
３，３Ａサーバ
１１条件判定部
１２暫定許可部
１３，１３Ａ，１３Ｂ有効性確認部
１４確定許可部
１５，１５ａ，２５証明書
２１更新処理部
３１証明書失効リスト
３２暗号処理部
１３１暗号化要求部
１３２更新要求部

Claims

通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器であって、
前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定する条件判定部と、
前記条件判定部により前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可する暫定許可部と、
前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認する有効性確認部と、
前記有効性確認部により前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可する確定許可部と
を備えることを特徴とする通信機器。
前記有効性確認部は、前記サーバに通信を暗号化するよう要求する暗号化要求部を有することを特徴とする請求項１に記載の通信機器。
前記有効性確認部は、前記対象機器に前記証明書の更新を要求する更新要求部を有することを特徴とする請求項１または２に記載の通信機器。
通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムであって、
前記通信機器は、
前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定する条件判定部と、
前記条件判定部により前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して接続を許可する暫定許可部と、
前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認する有効性確認部と、
前記有効性確認部により前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して接続を許可する確定許可部と
を備えることを特徴とする認証システム。
前記有効性確認部は、前記サーバに通信を暗号化するよう要求する暗号化要求部を有し、前記サーバは、前記暗号化要求部の要求に応じて、前記通信機器との通信を暗号化する暗号処理部を有することを特徴とする請求項４に記載の認証システム。
前記有効性確認部は、前記対象機器に前記証明書の更新を要求する更新要求部を有し、
前記対象機器は、前記更新要求部の要求に応じて、前記サーバに前記証明書の更新を要求する更新処理部を有することを特徴とする請求項４または５に記載の認証システム。
前記サーバは、前記更新処理部の要求に応じて、再発行の日時が埋め込まれた新たな証明書を再発行し、
前記有効性確認部は、前記更新要求部の要求の日時と、前記再発行の日時とを比較することにより、前記新たな証明書の有効性を確認することを特徴とする請求項６に記載の認証システム。
通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて使用される認証方法であって、
前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、
前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、
前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、
前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップと
を含むことを特徴とする認証方法。
通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器を動作させるための認証プログラムであって、
前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、
前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、
前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、
前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップと
を含む処理をコンピュータに実行させるための認証プログラム。
通信機器と、前記通信機器に接続された対象機器と、前記対象機器に対して証明書を発行したサーバとを備える認証システムにおいて用いられる前記通信機器を動作させるための認証プログラムが記憶された記憶媒体であって、
前記通信機器が前記対象機器に対して証明書を発行した前記サーバに接続されていない場合、前記証明書が所定の条件を満たすか否かを判定するステップと、
前記判定するステップにおいて前記証明書が前記所定の条件を満たすと判定された場合、前記対象機器に対して所定のアクセス制限を設定して、前記通信機器への接続を許可するステップと、
前記通信機器が前記サーバに接続された場合、前記サーバにより前記証明書の有効性を確認するステップと、
前記確認するステップにおいて前記証明書が有効であると確認された場合、前記対象機器に対して前記アクセス制限を解除して、前記通信機器への接続を許可するステップと
を含む処理をコンピュータに実行させるための前記認証プログラムが記憶されたコンピュータ読み取り可能な記憶媒体。