TWI252662B - Method and apparatus for accelerating public-key certificate validation - Google Patents
Method and apparatus for accelerating public-key certificate validation Download PDFInfo
- Publication number
- TWI252662B TWI252662B TW093102546A TW93102546A TWI252662B TW I252662 B TWI252662 B TW I252662B TW 093102546 A TW093102546 A TW 093102546A TW 93102546 A TW93102546 A TW 93102546A TW I252662 B TWI252662 B TW I252662B
- Authority
- TW
- Taiwan
- Prior art keywords
- path
- public key
- key certificate
- validity
- certificate
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
- H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models
- H04L9/007—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models involving hierarchical structures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
- H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Description
l252662 (1) 故、發明說明 【發明所屬之技術領域】 本發明係有關於,在公鑰基礎架構(Public Key ^frastructure:以下簡稱ρκΐ)中,關於針對某台終端所 收到的電子手續的署名予以驗證所需之公鑰憑證,確認其 有效性的適用技術。 【先前技術】 民間系、公共系之各式各樣的組織、團體中,先前, 爲了讓書面進行的各種手續走向電子化,而積極進行pki 的導入、整備。 圖 12 係在 PKI 中,認證台(Certificate Authority: 以下稱C A )有複數個時,各C a之關係的例圖。 如圖所示,進行公鑰憑證之發行及其管理的各C a, 是具有以根C A 1爲頂點之樹狀構造的群組。該群組係稱 爲安全網域,是以一個政策管理機關爲依據而運用PKI的 單位。根CA1,係對其本身下;[階位置的各CA2l〜CA2n 發行公鑰憑證。又,C A 2 i〜C A 2 n,係對其本身下1階位 置的各CA3!〜CA3n】發行公鑰憑證。如此,在樹狀結構 上,位於上位的CA會對其本身下1階的CA發行公鑰憑 證。然後,在樹狀結構上,位於最下位的Ca (以下稱爲 終端個體憑證發行CA ) CASl〜CAsnm,係對進行電子手 續的使用者(終端個體:End Entity,以下稱EE ) EE!〜 EEX發行公鑰憑證。 -5- 1252662 (2) EE! 〜EEX各個裝置在電子文書之署名產生之際所使 用的密鑰(署名鑰)的正當性,是以收容其本身的終端收 容認證台C A s !〜C A s n m所發行的公鑰憑證來證明之;終端 收容認證台CASl〜CAsnm各個裝置所發行的公鑰憑證之署 名產生之際所使用之密鑰的正當性,是以收容其本身的憑 證台CA ( S-1 ) I〜CA ( s-1 ) n ( ;所發行的公鑰憑證來 證明之。因此,EE】〜EEX各個裝置在電子文書之署名產 生之際所使用的密鑰,最終會藉由根認證台C A 1所發行 的公鑰憑證來證明。將該EE!〜EEX之裝置在產生屬明之 際所使用的密鑰的正當性最終予以證明的認證台,換言之 ’受到EE!〜EEX所信賴,在樹上,最上位的CA稱爲信 賴起點 CA ( trust anchor CA)。 再來,圖12中,EE】裝置針對欲送信至EEX裝置的 電子文書,會以E E !所保持之本身的密鑰進行署名。然後 ,有署名的電子文書中’附加有CASl所發行之和前記密 鑰成對的EE!的公鑰憑證,送信至ΕΕχ裝置。 ΕΕΧ裝置,可將自EE】裝置收取到電子文書之署名, 使用添附在該當電子文書內的EE】的公鑰憑證予以驗證。 可是,由於££1的公鑰憑證並非EEX之憑證發行CASnm所 發行,因此,EEX,若不經由本身的信賴起點CA也就是 根C A 1來確認其爲證明該當公鑰憑證的有效性,就無法 信賴該當公鑰憑證。公鑰憑證之有效性確認處理,是用以 下的程序而進行。(1 )檢索出從信賴起點C A起至公鑰 憑證發行源CA止的路徑:將信賴起點CA (此處爲根 -6- 1252662 (3) C A 1 )當作起點C A,調查起點C A所發行之公鑰憑證的發 行目標,該當發行目標中含有C A的時候則再調查該當 CA所發行之公鑰憑證的發行目標,持續上述處理直到該 當公鑰憑證的發行目標,是含有E E憑證發行C A (此處 爲發行E E !之公鑰憑證的C A s I )爲止,以檢索出自信賴 起點CA起至EE憑證發行CA止的路徑。(2 )檢索路徑 的驗證:從上記(1 )所檢索到的路徑上的各CA手中, 取得該當CA對於路徑上之下一階側CA所發行過的公鑰 憑證。然後,將有效性確認對象之公鑰憑證(此處爲,對 EE憑證發行CASl發行的公鑰憑證)的署名,以發行該當 公鑰憑證的CA (此處爲EE憑證發行CASl )之上1階CA 所發行之公鑰憑證來予以驗證,當能夠驗證時,則將該當 上1階CA所發行之公鑰憑證的署名再以更上1階的CA 所發行的公鑰憑證來予以驗證,持續該處理直到該當上1 階CA是信賴起點CA爲止。然後,當此種公鑰憑證之署 名驗證到達了信賴起點爲止時,就能確認有效性確認對象 之公鑰憑證的有效性。 EEX裝置,可將自EE!裝置收取到電子文書之署名, 使用添附在該當電子文書內的EE !的公鑰憑證予以驗證, 同時,藉由按照上記(1) 、 (2)之程序確認該當電子文 書之署名驗證所使用的E E 1的公鑰憑證之有效性’而可 確認該當電子文書的正當性。 此外,以上當中,是以公鑰憑證的有效性確認處理是 在EE裝置上進行爲前提。可是,公鑰憑證的有效性確認 1252662 (4) 處理的負荷很重,爲了使其在EE上進行’該當EE裝置 需要有高處理能力。於是’制定有關網際網路各種技術之 標準化的團體 IETF ( Internet Engineering Task Force )提 出,在設置一透過網路連接EE裝置的憑證有效性確認台 (Validation Authority,以下稱 VA),在該當 VA 裝置 中,替代該當EE來進行公鑰憑證的有效性確認。在VA 裝置中進行公鑰憑證的有效性確認時,首先,E E裝置會 將公鑰憑證的有效性確認的委託,發送至VA裝置。接著 ,在VA裝置上,進行上記(1 ) 、( 2 )之處理,最後, 將其結果送至EE裝置。 此時,爲了縮短EE裝置從發出公鑰憑證的有效性確 認之委託起,至獲知其結果爲止的所費時間,而有以下方 法被提出。 在VA裝置中’事先定期地將路徑予以檢索,並登錄 在路徑資料庫中存放。然後,當有某台EE裝置送來公鑰 憑證的有效性確認之委託時,就在V A裝置的路徑資料庫 中,檢索出對應的路徑,並將檢索到的路徑進行驗證,藉 此以確認前記公鑰憑證的有效性(例如參照專利文獻1 ) 〇 另一個方法是,在VA裝置中,事先定期地將所有路 徑予以檢索’並將檢索到的路徑進行驗證。只有驗證成功 的路徑(有效路徑),才會登錄在路徑資料庫保存。然後 ’當有某台EE裝置送來公鏡憑證的有效性確認之委託時 ,就調查在V A裝置的路徑資料庫中,是否有對應路徑被 -8- (5) 1252662 登錄’錯此確認前記公鑰憑證的有效性(例如參照專利文 獻2 ) 〔專利文獻1〕 美國專利第6 1 3 4 5 5 0號說明書 〔專利文獻2〕 美國專利申請公開第2 〇 〇 2 / 〇 4 6 3 4 〇號說明書 【發明內容】 〔發明所欲解決之課題〕 上記專利文獻2所記載的方法中,係當收到來自EE 裝置之公鑰憑證的有效性確認委託所對應的路徑,不存在 於路徑資料庫中時,就判斷有效性確認對象憑證爲並非有 效者。可是,若依照此方法,當路徑檢索時不存在的路徑 ’在收到來自EE裝置之公鑰憑證的有效性確認委託之時 又重新存在的情況下,有效的公鑰憑證就會被判斷成無效 。上記專利文獻2中,並未記載有關此種情況之處理。 又,上記專利文獻1中,也未記載有關當收到來自 EE裝置之公鑰憑證的有效性確認委託所對應的路徑,並 未登錄在路徑資料庫中時之處理。 如此,當VA所收到之有效性確認委託所對應的路徑 並未登錄在路徑資料庫中時,藉由重新進行路徑檢索、驗 證,就可將適切的結果予以回應。但是,此情況之有效性 確認處理的時間太長,是爲課題。 目前,民間、公共體系之各種組織、團體中,都在積 -9 - (6) 1252662 極進行P KI的導入、整被,可以預想其結果爲,多數的安 全網域並列存在,而變成複雜的p KI構成。甚至,一旦利 用ρ K I的應用軟體普及,可預想到將來會有許許多多的有 效性確認委託。此種狀況下,從E E開始委託公鑰憑證的 有效性確認起,至獲知其結果爲止所耗費的時間會越來越 長,導致服務品質的下降。 〔用以解決課題之手段〕 本發明係提供,當路徑檢索時不曾存在的路徑,在路 徑檢索時以後才形成的情況下,也能回應適切的結果之技 術’及/或使得EE開始委通公鑰憑證的有效性確認起至 獲知結果爲止的所費時間更爲縮短之技術。 具體而言,本發明中,透過網路連接至複數終端裝置 (EE裝置)或CA裝置的VA裝置,係反應某台EE裝置 的委託,而進行用來確認公鑰憑證之有效性的以下處理。 關於因發行公鑰憑證而被賦予關係的所有CA,將所 有存在的路徑予以檢索,並針對前記路徑檢索所偵測到的 路徑進行驗證。又,將位於所測得之路徑之端點的EE憑 證發行CA之,關於其所發行之EE憑證的憑證撤銷淸單 (Certificate Revocation List,以下稱爲 CRL)予以取得 。針對所取得之CRL,除了確認該當CRL是否爲有效期 限內,還藉由該當CRL之發行CA的公鑰憑證,進行該當 CRL的署名驗證。然後,將可驗證的路徑,和不可驗證的 路徑,予以分類,登錄在路徑資料庫中。該路徑畜料庫作 -10- (7) 1252662 成處理,是獨立於從E E來的公鑰憑證的有效性確認委託 ,而按照所定的規則,重複進行,例如定期地進行。 然後,當有來自某台EE的公鑰憑證的有效性確認委 託時,調查對應於其的路徑,是否已經登錄在路徑資料庫 中,若是有在路徑資料庫中被登錄成可驗證之路徑,則使 用已登錄在路徑資料庫中的C RL,確認該當公鑰憑證是否 失效,藉此以確認該當公鑰憑證之有效性。 另一方面,對應該當公鑰憑證的路徑,若是以無法驗 證之路徑而被登錄在路徑資料路徑資料庫時,則調查是否 有除了該當登錄之非有效路徑外,還有其他有效路徑;當 爲不存在時,則認定該當公鑰憑證係無法驗證。當有新的 路徑或CRL被偵測出來的時候,則使用該當路徑或CRL 來確認公鑰憑證的有效性,並將該當驗證結果,一倂追加 登錄至路徑資料庫。 又,當有效性確認委託之公鑰憑證所對應之路徑或 C RL,並未登錄在路徑資料庫中時,藉由重新進行路徑或 C RL之檢索、驗證處理,以確認上記公鑰憑證之有效性。 此時,當有新的路徑或CRL被偵測出時,則將該當路徑 或該當CRL的驗證結果,一倂追加登錄至路徑資料庫。
若根據本發明,則當收到來自EE的公鑰憑證的有效 性確認委託時,即使當路徑檢索時之後有新路徑形成的情 況下,上記(1 ) 、 ( 2 )所示,該當 EE之信賴起點CA
起至該當公鑰憑證之EE憑證發行CA止的路徑之檢索、 已偵測出之路徑的驗證,以及對應於該當公鑰憑證的CRL -11 - (8) 1252662 之署名的驗證,就沒有必要進行。又,當對應於有效性確 §忍委託的路徑,是被登錄成無法驗證之路徑時,則只需進 行路徑檢索、驗證,較少的處理即可。因此,從某台E E 開始委託公鑰憑證的有效性確認起,至該當有效姓被確認 爲止的所需時間,可以縮短。 【實施方式】 圖1係本發明之一實施形態所適用之P K I系統的槪略 構成圖。 本實施形態之P KI系統,係由··進行電子手續之複數 EE】裝置(1 1 )〜EEN裝置(1 1 )(總稱爲EE裝置(i ! )),及進行公鑰憑證發行業務的CA!裝置(13)〜CAm 裝置(1 3 ),及公鑰憑證之有效性確認台V A ( 1 4 ),及 將其分別予以連接的網際網路等之網路(以下稱爲NET ) 1 6所構成。 圖2係圖1所示P KI系統中之各C A的關係之一例圖 〇 如圖所示’本實施形態的P KI系統,是以民間係民間 系、政府系這類複數安全網域SD(SD1〜SD2)並存爲前 提。又,各安全網域SD之根CA (圖2中爲CAh、CA2i ),係例如’除了對橋接認證台C A b r i d g e發行公鏡憑證 ,還取得自CAbridge發行之公鑰憑證,而和〔Abridge之 間進行相互驗證。藉此,隸屬於某安全網域S D之C A和 隸屬於其他安全網域SD之CA彼此間,就形成了 一個路 -12- 1252662 (9) 徑,其爲可用來將某一方C A所發行之公鑰憑證白勺 ,在另一方C A上確§忍° 接著,針對構成圖1之ρκ 1系統的各裝置予以 首先,使用圖3來說明Ε Ε裝置(1丨)t E E裝置(1 1 ),係具有:處理部3 0 a和記憶吾 及用來透過N E T 1 6和其他裝置進行通訊之通訊部 使用者(EE )所作成之電子文書或從其他EE所收 子文書之輸出入或接受來自使用者之指示的的輸 30d。 處理部30a,係具有:對電子文書產生署名的 生部3 1,及進行署名之驗證的的署名驗證部3 2, 控制EE裝置之各部的控制部3 3。 記憶部3 Ob,係具有:將利用者所作成之電子 以保持的電子文書保持部3 4,及密鑰(署名鑰) 此成對之公鑰的公鑰憑證,及將運用該當EE裝g 信賴C A之自我署名憑證予以保持的金鑰保持部3 ί 自其他Ε Ε所收取之附有署名的電子文書和公鑰憑 保持的驗證對象保持部3 6。 在此種構成中,控制部3 3,係一旦透過輸出7 ,收到指示要將保持在電子文書保持部3 4中的某 文書送信至其他ΕΕ之指示,則將該當電子文書自 書保持部3 4讀出,將其交予署名產生部3 1。署名 3 1,係使用被保存在金鑰保持部3 5的密鑰而對所 該當電子文書產生署名。 有效性 說明。 ;30b, 0c,及 到的電 出入部 署名產 及統籌 文書予 ,及與 【之 EE ,及將 證予以 .部 30d 件電子 電子文 產生部 交付的 -13- Ϊ252662 (10) 控制部3 3,係在自電子文書保持部3 4讀出之電子文 書中附上署名產生部3 1所產生的署名,作成附有署名的 電子文書,並將所作成之附有署名的電子文書和金鑰保持 部3 5中所保持的公鑰憑證,透過通訊部3 0 c,送信至使 用者所指示的送信目標之E E裝置。控制部3 3,係一旦透 過通訊部3 0c ’收取到來自其他EE裝置之附有署名的電 +文書和公鑰憑證,則除了將它們賦予關連而保持在驗證 對象保持部3 6中,還將驗證它們之要求通知予署名驗證 部32。 署名驗證部3 2收到該要求後,將保持在驗證對象保 持部3 6中的附有署名的電子文書的署名,使用對應之公 輸憑證而予以驗證。署名驗證部3 2,係將上記署名驗證 所用的公鑰憑證之有效性確認委託,送信至V A裝置(1 4 )。此時,因應所需,可在前記確認委託中,包含有藉由 前記附有署名的電子文書所欲進行之電子程序之相關原則 (policy )(例如,交易額等之信賴度)的驗證委託。然 後,在V A裝置(1 4 )上,只有當亦含有上記原則之驗證 的該當公鏡憑S登之有效性是已被確認時,才將附有署名的 電子文書視爲正當者,因應所需而自輸出入部3〇d輸出。 接著,使用圖4說明CA裝置(13)。 C A裝置(1 3 ),係具備:處理部4 〇 a、記憶部4 〇 b、 用來透過NET16和其他裝置進行通訊之通訊部4〇c,及公 鑰憑證等輸出入或接受來自該當裝置之操作者之指示或進 行處理結果之輸出的輸出入部4 0 d。 •14- 1252662 (11) 處理部40a,係具有:發行公鑰憑證之發行部4 1,及 管理發行部4 1所發行之公鑰憑證的管理部42,及統籌控 制EE裝置之各部的控制部43。 記憶部4 0 b,係具有:將發行部4 1所發行之公鏡憑 證予以保持的公鑰憑證資料庫44,及將記述著公鑰憑證 資料庫44所保持之各公鑰憑證之發行目標的發行目標管 理淸單予以保持的發行目標管理淸單保持部4 5,及失效 憑證淸單保持部46。 此種構成中,控制部43,一旦透過輸出入部40d或 通訊部4 0 c收到公鑰憑證之發行委託時,則將該要旨傳達 至發行部4 1。發行部4 1在收到此後,針對其產生公鑰憑 證。此時,會以C A的密鑰在公鑰憑證加上署名。又,因 應所需,在公鑰憑證,可以記述有:該當公鑰憑證的有效 期限、非信賴之其他認證台的名稱(Name Constrairm) 、該當公鑰憑證之有效性確認所能容許之最大路徑常(路 徑上容許之最大認證台數)、表示電子手續之交易額等原 則。然後,所產生的公鑰憑證透過輸出入部4 0 d或通訊部 40c’藉由郵寄或通訊,交付至發行委託源。又,除了將 該公鑰憑證登錄至公鑰憑證資料庫44以外,還將該發行 目標(也就是發行依賴源)的資訊,記錄在發行目標管理 淸單保持部4 5所保持之發行目標管理淸單中。 控制部4 3,係一旦透過輸出入部4 0 d或通訊部4 0 c, 收取到公鑰憑證之失效委託,則將該要旨傳達至管理部 42。管理部42收到此後,除了將失效對象的公鑰憑證從 -15- 1252662 (12) 公鑰憑證資 行目標之資 發行目標管 作成記述著 鑰憑證的相 證淸單保持 證淸單中, 此外, 自其他裝置 憑證淸單保 之公鑰憑證 部 40c ,回 使用的通訊 Protocol)) 管理部 各公鑰憑證 發行目標資 發行目標管 接著, 如圖所 記憶部5 0 b 部 50c 、進 指示的輸出 處理部 料庫4 4中予以刪除,還將g亥呈公療葡 訊,從發行目標管理淸單保持部4 5 理淸單中刪除。然後,管理部42, 因失效委託而自公鑰憑證資料庫4 4 關資訊的失效憑證淸單,並將其保持 部 4 6。此外,管理部 4 2,在所作成 還記述有下次失效憑證淸單的作成預; 控制部43,係一旦透過通訊部40c, 的公鑰憑證之失效資·訊之詢問時,便 持部4 6所保持的失效憑證淸單,調 是否已經失效。然後,能將其結果, 答至來詢問的其他裝置。(此種詢問 協定有,OCSP ( Online Certificatic ο 42,係調查被存放在公鑰憑證資料庫 之有效期限,並將超過有效期限的公 訊,自發行目標管理淸單保持部4 5 理淸單中刪除。 使用圖5,說明VA裝置(14 )。 示,VA裝置(14 ),係具有:處理 、用來透過ΝΕΤ16和其他裝置進行通 行公鑰憑證等之輸出輸入或接受來自 入部50d 。 5 0 a,係具備:路徑檢索部5 1、路 憑證的發 所保存之 會定期地 刪除之公 在失效憑 之失效憑 定時間。 收取到來 檢索失效 查所詢問 透過通訊 和回答所 )n Status 44中的 鑰憑證之 所保持之 咅 P 5 0a、 訊之通訊 使用者之 徑驗證部 •16- (13) 1252662 5 2、有效期限/失效狀態調查部5 3、有效性確認部5 4, 及統籌控制VA裝置之各部的控制部55。又,記憶部5〇b ’具有:路徑資料庫5 6、失效憑證淸單作成預定日時資 料庫5 7。其中路徑資料庫5 6,係具有:有效路徑資料庫 5 6 A、非有效路徑資料庫5 6 B。 路徑檢索部5 1,係例如定期地,將任意C A視爲信賴 起點CA,檢索出從該當信賴起點CA起,至發行EE憑證 的所有E E憑證發行C A爲止的路徑,並取得所偵測之路 徑的EE憑證發行CA所發行之EE憑證相關失效憑證淸單 (CRL )。信賴起點CA,係所有CA,或可藉由設定而將 一部份CA視爲信賴起點CA,來進行檢索。 路徑驗證部5 2,係路徑檢索部5 1每次進行路徑檢索 時,就進行該當路徑檢索部5 1所偵測到之路徑的驗證。 又,當路徑檢索部5 1能夠取得對應於該當路徑的CRL時 ,就進行該當CRL的驗證。然後,位於該當路徑之兩端 的信賴起點之名稱、EE憑證發行CA之名稱的配對,將 其對應於構成該當路徑之各CA名、各憑證及EE憑證相 關之CRL,反映該當驗證結果,登錄在有效路徑資料庫 5 6A,或是非有效路徑資料庫56B。 有效期限/失效狀態調查部5 3,係針對被登錄在有 效路徑資料庫5 6 A之每一路徑,調查構成該當路徑的各 公鑰憑證之有效期限或有無失效。然後,因應該當結果來 更新路徑資料庫5 6。又,有效期限/失效狀態調查部5 3 ,係將從各CA之失效憑證淸單保持部46所取得之失效 -17- (14) 1252662 憑證淸單所描述之下次失效憑證淸單作成預定日時,對應 於CA,登錄至失效憑證淸單作成預定日時資料庫57中。 有效性確認部54,係依從EE裝置來的委託,將信賴 起點CA視爲信賴的起點,進行公鑰憑證的有效性確認。 此外,圖3〜圖5所示之每一台EE裝置(n) 裝置(1 3 )和V A裝置(丨4 ),係例如,如圖6所示,具 備CPU61、記憶體62、硬碟等外部記憶裝置63、自cD__
ROM等具有可攜性之記憶媒體69讀取資訊的讀取裝置M 用來透過NET16和其他裝置進行通訊之通訊裝置65 鍵盤或滑鼠等輸入裝置66、顯示器或印表機等輸出裝置 67’以及和這些裝置進行資料收授的介面68,是可在一 般的電子計算機上就能構築。 然後’藉由CPU61執行從外部記憶裝置63載入至記 憶體62上的所定程式,就可實現上述各部處理。亦即, 通訊部30c、40c、50c,係藉由CPU61利用通訊裝置65 而實現;輸出入部30d、40d、50d,係藉由CPU61利用輸 入裝置66或輸出裝置67或讀取裝置64而實現;而且記 憶部3 0 b、4 0 b、5 0 b,係藉由C P U 6 1利用記憶體6 2或外 部記憶裝置6 3而實現。又,處理部3 0 a、4 0 a、5 0 a,係 以C P U 6 1之處理程序而實現。 上記之所定程式,可事先存放在外部記憶裝置63, 或可存放在上記電子計算機可利用之記憶媒體6 9內,透 過讀取裝置64,因應所需而讀出,或是,亦可爲屬於上 記電子計算機可利用之通訊媒體的網路或從連接在網路上 •18- (15) 1252662 利用載波傳輸之其他裝置,因應所需而下載,導入外部記 憶裝置6 3者。 接著’說明上記構成之V A裝置(1 4 )的動作。 本實施形態之VA裝置(14)的動作,係分成路徑檢 索、驗證及管理動作,以及公鑰憑證的有效性確認動作。 使用圖7〜圖8的流程圖,說明V A裝置(1 4 )上所 進行之路徑檢索、驗證及管理動作。 控制部5 5,係一旦經過了 v a之營運者所制定之所定 時間(例如1日)(步驟S 1 00 1 ),則將路徑資料庫5 6 之登錄內容予以淸除(步驟S 1 0 0 2 ),並向路徑檢索部5 1 委託路徑檢索。路徑檢索部5 1收到此後,就將任意C A 視爲信賴起點CA,檢索至EE憑證發行CA爲止之路徑( 步驟 S 1 0 0 3 )。 具體而言,路徑檢索部5 1,係存取信賴起點C A,將 憑證管理中心所發行、保持在發行目標管理淸單保持部 4 5之公鑰憑證的發行目標資訊予以取得。然後,當所獲 得之各發行目標爲CA時,則存取各發行目標,再調查被 保持在發行目標管理淸單保持部45之,各CA所發行之 公鑰憑證的發行目標。此處理,會一直持續直到公鑰憑證 的發行目標爲EE爲止,藉此以檢索出自信賴起點CA起 至EE憑證發行CA爲止之路徑。此處,爲了防止路徑回 圈造成上記處理無限循環,而當自某台CA獲得之發行目 標中,是含有已經存在於目前爲止已經形成之部份路徑之 CA時,就不進行將該當CA視爲發行目標之上記處理, -19- (16) 1252662 並取得曾經向位於路徑端點之EE發行過憑證的CA所發 行之CRL。 步驟S1003中之路徑檢索處理’以圖2表示之各CA 的關係爲例,進行更具體之說明。 首先,路徑檢索部5 1 ’將信賴起點 c A視爲 C Abridge而進行路徑檢索。路徑檢索部51 ’係存取 CAbridge,取得被保持在發行目標管理淸單保持部45中 之,CAbridge所發行過的公鑰憑證的發行目標之資訊, 也就是CA! !、CA21的資訊。 接著,路徑檢索部51 ’會注目在從CAbridge所獲得 之發行目標(CAM、CA21 )中之其中任一者,執行以下之 處理。亦即,若注目之發行目標爲CA (以下將其稱爲注 目 CA ),則設定CAbridge—注目CA此一部份路徑。然 後,存取注目CA之發行目標管理淸單保持部45,再取得 該當注目CA已發行過公鑰憑證之發行目標之資訊。此處 ,若令受注目的發行目標爲 CAU,則設定 CAbridge — CA! !此一部份路徑,並從CAM,取得發行目標資訊,也 就是 CAbridge、CA12、CA132 資訊。 接著,路徑檢索部5 1,會調查在從認證台C Α η獲得 之發行目標(CAbridge、CA12、CA】3)中,是否含有部份 路徑上之CA (以下稱作回圈CA )。當含有時則將發行目 標排除在注目對象以外。因此,此處,會將CAbridge排 除在注目對象以外。接著,路徑檢索部5 1,會調查從 CAh所獲得之發行目標中是否含有EE。當某台CA所發 -20- (17) 1252662 行憑證的發行目標中含有EE時,該CA就成爲EE憑證發 行C A。可是,由於從C A η所獲得之發行目標中並未含有 ΕΕ,因此CA!】並非ΕΕ憑證發行CA。因此,CAbridge — C Α η此一部份路徑,會一直延長直到E E憑證發行C A爲 止,而注目在從CAh所獲得之回圈CA除外的發行目標 (CA!2、CAl3)之中的任何一者。 若已注目之發行目標爲CA,則將連接該注目CA的 部份路徑,設定在至其爲止已設定之部份路徑中。然後, 存取該CA之發行目標管理淸單保持部45,再取得該當注 目CA已發行過之公鑰憑證的發行目標之資訊。此處,假 設已注目之發行目標爲CA12,則設定CAbridge — CAh -CA12此一路徑,從CA12取得發行目標之資訊,也就是 E E 1、E E 2。 接著,路徑檢索部5 1,會調查從C A ! 2取得之發行目 標(EE】、EE2)當中,是否含有回圈CA。若含有時則將 該發行目標排除在注目對象以外。此處’由於不含有回圈 CA,因此路徑檢索部51會進入下一處理,調查從CA12 取得之發行目標當中,是否含有EE。此處,由於所取得 之發行目標全部都是EE,因此CAu就是EE憑證發行CA 。於是,就將該CA12視爲端點的路徑’偵測成從信賴起 點 CAbridge起,至 EE憑證發行 CAI2爲止之路徑( CAbridge - CA】i — CA。)。 再者,路徑檢索部5 1,當偵測出至E E憑證發行c A 爲止的路徑時,會存取失效憑證淸單保持部4 6,取得將 -21 - 1252662 (18) 該當E E憑證發行C A !2所發行之c R L。 接著,路徑檢索部5 1,會調查從位於所偵測到之略 徑上之端點的 CA 12取得之發行目標資訊中,是否含有_ 未注目的發行目標(回圏C A以外之C A ),若還有it卜& 發行目標,則將其視爲注目C A,持續上記處理。另\ 面,若沒有此種C A,則調查從位於前一位置之C a η取轉 之發行目標資訊中’是否含有還未注目的發行目標_ CA以外之CA )。然後,若還有此種發行目標,則將其_ 爲注目C A,持續上記處理。此處,因爲從C a i !取得之赛 行目標資訊中’ C A13仍未受到注目,因此藉由將其_胃 注目CA而進行上記處理,偵測出從CAbridge至EE憑譜 發行 CA13爲止的路徑(CAbridge — CAh — CA13)以及 CA13所發行之CRL。 如此,路徑檢索部5 1,係針對位於所偵測路徑上之 每台CA,持續進行上記處理,直到從該當Ca所取得之 發行目標資訊中’都沒有仍未被注目之發行目標(回圈 CA以外之CA) ’以偵測出從CAbridge至EE憑證發行 C A爲止的路徑。 以上,是將任意CA視爲信賴起點 CA時的步驟 S 1 0 0 3之處理。 如後述,關於將CAh、CA21分別視爲信賴起點CA 時,也是同樣地進行路徑檢索。 控制部5 5,係一旦路徑檢索部5 1偵測出路徑(步驟 S 1 004爲Yes ),則向路徑驗證部52委託路徑之驗證。路 -22- (19) 1252662 徑驗證部5 2收到此後,就進行路徑檢索部5 1所測出之路 徑的驗證(步驟S 1 0 0 5 )。 具體而言,是針對路徑檢索部5 1所測出之每一路徑 ,進行以下處理。
亦即,首先,路徑驗證部5 2,係存取至路徑上之各 CA的公鑰憑證資料庫44,將各CA對於位在該當路徑上 之下一 C A (存取目標C A爲E E憑證發行C A時則爲E E ) 所發行過之公鑰憑證予以取得。
接著,路徑驗證部52,係將位於路徑最後之EE憑證 發行CA所發行之公鑰憑證的署名,以EE憑證發行CA 之公鑰憑證進行驗證,當可驗證時則將該當EE憑證發行 C A之公鑰憑證的署名再以前一位置之C A的公鑰憑證進 行驗證。持續該處理直到該當前一位置之認證台成爲信賴 起點CA爲止,以驗證該當路徑。再者,關於該當EE憑 證發行CA所發行的CRL,是以該當EE憑證發行CA之 公鑰憑證來予以驗證。 例如,圖2中,當要驗證從CAbridge至EE憑證發行 CA]2爲止之路徑(CAbridge — CA】〗 — CA12)以及CRL時 ,首先,將EE憑證發行CA12之公鑰憑證之署名,使用 路徑中之ca12之前一位置之CAh之公鑰憑證來予以驗證 。然後,當能夠驗證時,就將c A Μ之公鑰憑證的署名, 使用路徑中之較CAn更前一位置的CAbridge的公鑰憑證 來予以驗證。然後,當其爲可驗證時,更進一步,針對該 當EE憑證發行CA12所發行之CRL,是以該當EE憑證發 -23- (20) 1252662 仃CAu之公鑰憑證來予以驗證k當該路徑及CRL 驗遠時’則將c A b r i d g e起至E E憑證發行c A ! 2爲 @ _爲暫時可驗證。 接著,路徑驗證部5 2 ’若路徑爲暫時可驗證 旦在從該當路徑上之各認證台C A所取得之公鑰憑 疋否有非信賴之其他認證台的名稱(Name Constr 或δ亥當公鑰憑證之有效性確認用之容許最大路徑長 上之谷許最大認證台數)等之限制的描述。當有這 時’就調查該當路徑是否滿足該限制,只有當其爲 ’才將該^路徑視爲已完成認證。 然後,控制部5 5,係如上述般,若對於路徑 5 1所測出之每一路徑之路徑驗證部5 2的驗證結束 行登錄處理。控制部5 5,當路徑驗證部5 2上的路 完成時(步驟S 1 0 0 6,Y e s ) ’則將該當路徑和信 C A、E E憑證發行C A、E E憑證發行c A所發行之 賦予對應關係,登錄在有效路徑資料庫5 6 A (步驟 ),進入步驟S 1 0 0 3。又,控制部5 5,係當路徑 5 2上的路徑無法驗證時(步驟S 1 0 0 6,N 〇 ),則 路徑和信賴起點CA、EE憑證發行CA、EE憑證發 所發行之C R L,賦予對應關係,登錄在非有效路徑 56B (步驟S1008),進入步驟S1003。 控制部5 5,係將步驟s 1 0 0 3〜步驟S 1 0 〇 8之步 複進行直到檢測不到路徑(步驟S 1 004,No )爲止 生路徑資料庫5 6。此時,將全部的C A視爲信賴起
都爲可 止的路 ,則調 證中, a i n t s ) (路徑 類描述 滿足時 檢索部 ,則進 徑驗證 賴起點 CRL, S 1 007 驗證部 將該當 卜行CA 資料庫 驟,重 ,並產 丨點C A • 24- 1252662 (21) ,檢索所有對應之路徑。C A的構成爲圖2的情況下,則 將CA!】、CA;n、CA bridge之三台CA視爲信賴起點CA, 而--檢索對應之所有路徑。 步驟S 1 0 0 3〜步驟S 1 00 8爲止的處理進行之結果,當 各C A爲如圖2所示之關係的情況下,路徑檢索部5 1所 偵測出的所有路徑,如圖9所示。 另一方面,有效期限/失效狀態調查部5 3,會調查 登錄在有效路徑資料庫5 6 A之公鑰憑證中,是否存在有 效期限過期之公鑰憑證(步驟s 1 0 0 9 )。當有有效期限過 期之公鑰憑證存在時,則存取該當公鑰憑證之發行源CA 之公鑰憑證資料庫44,檢索出對該當公鑰憑證之發行源 重新發行過的公鑰憑證(步驟S 1 0 1 0 )。 然後,若在前記發行源C A之公鑰憑證資料庫4 4中 沒有存在此種公鑰憑證,則將對應於前記有效期限過期之 公鑰憑證過而登錄之路徑的相關資訊,從有效路徑資料庫 5 6 A中予以刪除,並登錄至非有效路徑資料庫5 6 B (步驟 S 1 0 1 1 )。另一方面,若前記發行源C A之公鑰憑證資料 庫44中存在有此種公鑰憑證,則將其予以取得。然後, 代替該當有效期限過期之公鑰憑證改用新取得之公鑰憑證 ,將登錄在有效路徑資料庫5 6 A之路徑的驗證,以相同 於上記步驟S 1 005的要領進行之(步驟S1012 )。 然後,當路徑爲完成驗證時(步驟S1 013,Yes ), 則將對應於該當路徑而登錄在有效路徑資料庫5 6 A的前 記有效期限過期之公鑰憑證,置換成新取得之公鑰憑證( -25- (22) 1252662 步驟 s 1 Ο 1 4 )。另一方面,當路徑無法驗證時(步驟 S1013’ No),則將對應於前記有效期限過期之公鑰憑證 而登錄之路徑,從有效路徑資料庫5 6 A中予以刪除,並 將置換成新取得之公鑰憑證的路徑,置換至非有效路徑資 料庫56B (步驟S1015 )。 接著,有效期限/失效狀態調查部5 3,會調查失效 憑證淸單作成預定日時資料庫5 7,檢索已經經過之失效 憑證淸單作成預定日時所對應之C A (步驟S 1 0 1 6 )。當 此種認證台C A爲存在時(步驟S 1 0 1 7,Y e s ),則存取該 當CA之失效憑證淸單保持部46,取得該當CA所發行之 最新失效憑證淸單(步驟S 1 0 1 8 )。然後,失效憑證淸單 作成預定日時資料庫57中,將對應於該當認證台CA而 登錄之失效憑證淸單作成預定日時,更新成已取得之最新 失效憑證淸單中所描述之失效憑證淸單作成預定日時(步 驟 S 1 〇 1 9 ) 〇 然後,有效期限/失效狀態調查部5 3,會調查已取 得之最新之失效憑證淸單所描述之公鏡憑證,是否登錄在 有效路徑資料庫56A中(步驟S 1 02 0 )。當有登錄時,將 對應該當公鑰憑證之路徑的相關資訊從有效路徑資料庫 56A中刪除,登錄至非有效路徑資料庫56B中(步驟 S 1 02 1 )。 接著,針對公鑰憑證之有效性確認動作予以說明。 圖10〜圖11,係用來說明本實施形態之VA裝置( 1 4 )所進行之公鑰憑證之有效性確認動作的流程圖。 -26- 1252662 (23) 控制部55,係一旦透過通訊部50c,從EE收取到, 至少含有該當E E所信賴之信賴起點c a之名稱的其他E E 之公鑰憑證的有效性確認委託(步驟S 200 1 ),則將該要 旨通知至有效性確認部5 4。 有效性確認部5 4收到此後,會調查被憑證之有效性 確認委託之描述所特定之信賴起點C A、發行該當憑證之 憑證發行CA所對應之路徑,是否被登錄在有效路徑 資料庫56A中(步驟S2002)。 其結果’若憑證之有效性確認委託所描述之信賴起點 CA、發行該當憑證之EE憑證發行CA所對應之路徑,可 以確認是被登錄在有效路徑資料庫 56A (步驟 S2 002, Yes),則有效性確認部54,會使用身爲該當路徑之端點 的EE憑證發行CA之公鑰憑證,進行EE憑證之署名驗證 。再者,有效性確認部5 4,會使用對應於該當路徑而登 錄之CRL,確認EE憑證是否已經失效(步驟S2003 )。 當EE憑證之署名驗證失敗時(步驟S 2 003,No ), 或EE憑證爲記述在CRL中且已經失效時,有效性確認部 5 4,會判斷EE憑證爲非有效者,並將其要旨,透過通訊 部5 0c,通知委託源之EE (步驟S2009 )。 另一方面,各憑證中,具有能夠描述非信賴之認證台 名所致之限制、或該當公鑰憑證之有效性確認所需之容許 最大路徑長(路徑上之容許最大認證台數)。步驟S 2003 中,當EE憑證之署名驗證,以及是否已失效之確認爲成 功時(Yes的情況),則再度調查EE憑證及該當路徑中 -27- (24) 1252662 所含之各C A的憑證當中,是否有描述上述之限制(步驟 S2 004 ) 〇 當沒有這類描述時,就進入步驟S 2 0 0 6。 步驟S 2 0 0 6中,有效性確認部5 4,會調查從e E裝置
(1 1 )收取到的確認委託中,是否含有表示欲對該當EE 進行之電子手續的交易額等之原則(p 〇丨丨c y )。 當含有原則時’則再調查E E憑證及構成該當路徑之 各公繪憑證中,是否有滿足前記原則之原則的描述(步驟 S2 007 )。 當EE憑證及該當路徑中,不具有滿足前記原則之原 則描述時,則將EE憑證,判斷爲無法利用在委託源EE 所δλ進行之電子程序所需之公鏡憑證之有效性確認者,並 將公鑰憑證爲非有效之要旨,透過通訊部5 〇 c,通知至Ε Ε 裝置(11)(步驟S2009)。 另一方面,當從ΕΕ收取到的確認委託中不含有表示 曰亥當ΕΕ所欲進行之電子手續之原則時(步驟S2 006,No )’或即使有含,但該當路徑及EE憑證所描述之原則爲 滿足前記原則時(步驟S 2 0 0 7,Y e s ),則判斷公鑰憑證 爲有效’並將公鑰憑證爲有效之要旨,透過通訊部50c, 通知至委託源EE (步驟S2008 )。 又,於步驟S2 002中,憑證之有效性確認委託中所描 述之’對應於信賴起點C A、發行該當憑證之ε E憑證發 行C A的路徑,並非登錄在有效路徑資料庫5 6 a時(步驟 s 2 0 0 2 ’ N 〇 ),則確認該當路徑是否有被登錄在非有效路 -28· (25) 1252662 徑資料庫5 6 B (步驟S 2 Ο 1 Ο )。當非有效路徑資料庫5 6 B 中’並未登錄該當路徑時(步驟S 2 Ο 1 〇,N 〇 ),則進入圖 1 1的步驟S 2 Ο 1 2。 步驟S 2 Ο 1 2中,路徑檢索部5 1,會檢索自確認委託 所ί田述之is賴起點C A起’至確s忍k彳象之E E憑證爲止的 路徑。該檢索,係異於聽從路徑檢索部5 1所事先制定之 所定規則而進行者,而是臨時進行。 路徑檢索部5 1,係當無法偵測到自信賴起點C A起至 E E憑證止之路徑時(步驟s 2 Ο 1 3,N 〇 ),則有效性確認 部54 ’會將EE憑證爲非有效之要旨,透過通訊部50c, 通知至委託源之EE (步驟S2019)。另一方面,當路徑 檢索部5 1,偵測出自信賴起點C a起至EE憑證爲止的路 徑時(步驟S20] 3,Yes ),則於路徑驗證部52中,進行 已測出之路徑的驗證(步驟S 2 01 4 )。 當所測出之路徑爲可驗證時(步驟 S 2 0 1 5,Y e s ), 則將自該當路徑之信賴起點CA起,至EE憑證發行CA 爲止的路徑,及EE憑證發行CA所發行之CRL,登錄至 有效路徑資料庫(步驟S 2 0 1 6 )。然後,有效性確認部5 4 ’會將EE憑證爲有效之要旨,透過通訊部50c,通知至 委託源E E (步驟s 2 0 1 7 )。 另一方面,在步驟S 2 0 1 5中,當所測出之路徑爲不可 驗證時(步驟S2015,No ),則將自該當路徑之信賴起點 CA起,至EE憑證發行CA爲止的路徑,及EE憑證發行 CA所發行之CRL,登錄至非有效路徑資料庫56B (步驟 -29- (26) 1252662 S 2 Ο 1 8 )。然後’進入步驟s 2 Ο 1 1,進行檢索找出除了至 目則爲止所測出的路徑以外’是否存在其他路徑,並同樣 地執行之後的步驟。 又’圖10之步驟S2〇】〇中,當非苻效路徑資料庫 5 6B中,有登錄該當路徑時(步驟§2〇1〇,Yes ),又在 S亥當已登錄之路徑以外’偵測到對應於有效性確認委託之 路徑時(步驟S 2 Ο 1 1,Y e s ),則進入步驟§ 2 Ο 1 4,進行該 當已測出之路徑的驗證、登錄處理(步驟S2 4〜步驟 S2019) 〇 另一方面,當除了該當已登錄之路徑以外,沒有偵測 到其他對應於有效性確認委託的路徑時(步驟S2〇 1丨,No ),則有效性確認部5 4,會將公鑰憑證不具有效性之要 旨,透過通訊部50c,通知至委託源EE (步驟S2009)。 以上之實施形態中,信賴起點C A起至E E憑證發行 C A止之路徑的檢索及驗證,係依從獨立於來自E E之公 鑰憑證的有效性確認的所定規則,例如,爲定期地進行。 已檢索、驗證之路徑,會分類成有效路徑或非有效路 徑’而登錄在路徑資料庫中保存。然後,藉由調查對應於 有效性確認委託之路徑,是被當作有效路徑而登錄,還是 被當作非有效路徑而登錄,以判斷該當EE憑證是否爲有 效。 此時,對應於該當有效性確認委託的路徑,若被登錄 成非有效路徑時,則針對是否存在該當非有效路徑以外之 對應路徑,進行檢索、驗證、確認。又,對應於該當有效 •30- (27) 1252662 性確認委託的路徑,沒有被登錄在路徑資料庫 時進行路徑檢索、驗證。因此,即使當確認台 化時,也因根據最新路徑資訊而進行驗證,故 切的有效性確認結果。此外,藉由將非有效之 取當中,使得自公鑰憑證收授起,至該當有效 所需時間能夠縮短。 又,在本態中,進行路徑登錄之際,會將 點之EE憑證發行CA所發行的CRL,和該當 結果一倂登錄。然後,當收到來自某台E E之 公鑰憑證的有效性確認時,就使用該當CRL E E憑證是否爲失效。因此,可更加縮短公鑰 1生確認的所費時間。 此外,本發明並非侷限於上記實施形態, 圍以內可有各種變形。 例如,上記實施形態中,V A係在將路徑 庫之際,分類成有效路徑資料庫5 6 A及非有 庫 5 6B,兩個資料庫而登錄。可是,亦可在一 ’附加代表該當路徑之狀態的旗標,來分類有 有效路徑。 此外’上記實施形態中,雖然爲了說明理 假定如圖2所示,E E憑證發行c A係只對E E 證’而其他C A是只對C A發行公鑰憑證,但 對EE和CA兩者都發行公鑰憑證之CA時, 發明。 中時,則臨 之構成有變 可回應出適 路徑放在快 性確認爲止 位於路徑端 CRL之驗證 公鑰憑證之 ,確認該當 憑證之有效 在該要旨範 登錄至資料 效路徑資料 個資料庫中 效路徑和非 解方便,而 發行公鏡憑 即使當含有 亦能適用本 -31 - (28) 1252662 此外,上記實施形態中,雖然爲了說明理解方便,而 假定C A的構成是階層構造,但即使當C a的構成爲更複 雜之網狀(m e s h )構造,本發明亦能適用。 〔發明之效果〕 若根據本發明,則即使當路徑檢索時之後有新路徑形 成的情況下,也能將適切的結果予以回應,及/或可以縮 短從某台EE開始委託公鑰憑證的有效性確認起,至該當 有效姓被確認爲止的所需時間。 【圖式簡單說明】 〔圖1〕本發明之一實施形態所適用之PKI系統的槪 略構成圖。 〔圖2〕圖1所示PKI系統之各CA的關係之一例圖 〇 〔圖3〕圖1所示EE之槪略構成圖。 〔圖4〕圖1所示CA之槪略構成圖。 〔圖5〕圖1所示VA之槪略構成圖。 〔圖6〕圖1〜圖5所示各EE、VA、CA的硬體構成 例圖。 〔圖7〕用來說明圖5所示VA上所進行之路徑的檢 索、驗證以及管理動作之流程圖。 〔圖8〕用來說明圖5所示VA上所進行之路徑的檢 索、驗證以及管理動作之流程圖。 -32- (29) 1252662 〔圖9〕當各CA爲圖2所示之關係時,VA的路徑檢 索部5 1所偵測之所有路徑之圖。 〔圖1 〇〕用來說明圖5所示V A所進行之公鑰憑證之 有效性確認動作之流程。 〔圖1 1〕用來說明圖5所示VA所進行之公鑰憑證之 有效性確認動作之流程。 〔圖1 2〕在先前之PKI中,當認證台有複數台情況 下,CA關係之一例圖。 〔符號說明〕 C A…認證台 VA…憑證之有效性確認台 EE···終端個體 SD…安全網域 1 1 …E E 1 1 2 …E E n 13··· C A 1 14*·· C Α μ
1 5 …V A
1 6 …V A 3 0a、4 0a、50a.··處理部 3 0b 、 4 0b 、 5 0b···言己 1意音β 3 0c、4 0c、5 0c.··通訊部 30d、40d、50d·.·輸出入部 (30) (30)1252662 3 1…署名產生部 32···署名驗證部 33、43、5 5…控制部 34···電子文書保持部 35…金鑰保持部 36…驗證對象保持部 41…發行部 42…管理部 4 4…公鑰憑證資料庫 45…發行目標管理淸單保持部 46…失效憑證淸單保持部 51…路徑檢索部 52…路徑驗證部 5 3…有效期限/失效狀態調查部 54…有效性確認部 56…路徑資料庫 56A…有效路徑資料庫 5 6B…非有效路徑資料庫 5 7…失效憑證淸單作成預定日時資料庫 6 1*·· CPU 62…記憶體 π.··夕t部言己m裝® 64…讀取裝置 65···通訊裝置 -34- (31) (31)1252662 6 6…輸入裝置 6 7…輸出裝置 6 8…介面 0 9···言己® $某骨豊
-35-
Claims (1)
- (1) 1252662 拾、申請專利範圍 1 . 一種公鑰憑證之有效性確認方法,係屬於在憑證 之有效性確認台裝置上,回應委託而進行之公鑰憑證之有 效性確認方法,其特徵爲,具備: 事先進行路徑之檢索及已檢索之路徑的驗證步驟;及 將前記檢索和驗證的結果,依據事先制定的基準,將 前記路徑予以分類,登錄至資料庫的路徑登錄步驟;及 接受來自終端裝置之公鑰憑證的有效性確認委託,使 用事先已登錄之路徑進行驗證的有效性確認步驟。 2 .如申請專利範圍第1項之公鑰憑證之有效性確認 方法,其中, 於前記有效性確認步驟中,當對應於該當有效性確認 委託的有效路徑並未登錄時,則藉由重新進行路徑檢索以 及驗證,進行前記公鑰憑證之有效性確認。 3. 如申請專利範圍第1項之公鑰憑證之有效性確認 方法,其中, 在前記路徑登錄步驟中,前記所謂事先制定之基準, 係反映驗證結果,而分成有效路徑或非有效路徑; 前記有效性確認步驟中,對應於該當有效性確認委託 之路徑,是被當作成有效路徑或非有效路徑而登錄在前記 資料庫時,則依從前記登錄結果,進行前記被委託之公鑰 憑證的有效性確認。 4. 如申請專利範圍第3項之公鑰憑證之有效性確認 方法,其中,具有: -36- (2) 1252662 在前記有效性確認步驟中,即使對應該當有效性確認 委託的路徑,被登錄成有效路徑時,該當公鑰憑證或該當 路徑所含之公鑰憑證中,有記述著限制事項時,則因應前 記有效性確認委託而進行路徑驗證,並調查該當公鑰憑證 及該當路徑,是否滿足前記限制事項之步驟;及 若滿足限制事項,則判斷爲有效路徑之步驟。5. 如申請專利範圍第3項之公鑰憑證之有效性確認 方法,其中,具有: 在前記有效性確認步驟中,即使對應該當有效性確認 委託的路徑,被登錄成有效路徑時,該當公鑰憑證或該當 路徑所含之公鑰憑證中,有記載著原則(policy )時,則 因應前記有效性確認委託而進行路徑驗證,並調查該當公 鑰憑證及該當路徑,是否滿足電子手續之原則的步驟;及 若滿足前記原則時,則判斷爲有效路徑之步驟。6. 如申請專利範圍第3項之公鑰憑證之有效性確認 方法,其中,前記路徑登錄步驟,具有: 將自信賴起點CA起,至發行終端個體憑證之認證台 爲止的路徑予以檢索之步驟;及 將發行該當終端個體憑證之認證台所發行之有關終端 個體憑證的失效淸單予以取得、驗證之步驟;及 將該當失效淸單的驗證結果,和失效淸單一倂登錄之 步驟。 7. 如申請專利範圍第6項之公鑰憑證之有效性確認 方法,其中, -37- (3) 1252662 在前記有效性確認步驟中,當對應於該當有效性確認 委託之路徑,是被當作有效路徑而登錄在前記資料庫中時 ,則不進行前記失效淸單的驗證,而確認該當公鑰憑證爲 並非失效。 -38-
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2003351509A JP3894181B2 (ja) | 2003-10-10 | 2003-10-10 | 公開鍵証明書検証の高速化方法、および装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
TW200514404A TW200514404A (en) | 2005-04-16 |
TWI252662B true TWI252662B (en) | 2006-04-01 |
Family
ID=34309264
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
TW093102546A TWI252662B (en) | 2003-10-10 | 2004-02-04 | Method and apparatus for accelerating public-key certificate validation |
Country Status (8)
Country | Link |
---|---|
US (2) | US7558952B2 (zh) |
EP (2) | EP1523126B1 (zh) |
JP (1) | JP3894181B2 (zh) |
KR (1) | KR100625154B1 (zh) |
CN (2) | CN100435510C (zh) |
DE (1) | DE602004006571T2 (zh) |
SG (1) | SG114659A1 (zh) |
TW (1) | TWI252662B (zh) |
Families Citing this family (56)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7290133B1 (en) * | 2000-11-17 | 2007-10-30 | Entrust Limited | Method and apparatus improving efficiency of end-user certificate validation |
EP1692596B1 (en) | 2003-11-19 | 2016-03-09 | Assa Abloy Ab | Distributed delegated path discovery and validation |
ATE450950T1 (de) * | 2004-04-30 | 2009-12-15 | Research In Motion Ltd | System und verfahren zur prüfung digitaler zertifikate |
EP1784943A4 (en) | 2004-08-31 | 2011-08-03 | Ntt Docomo Inc | RECEPTION OF CRYPTOGRAPHIC DIGITAL CERTIFICATES |
US20060107326A1 (en) * | 2004-11-12 | 2006-05-18 | Demartini Thomas | Method, system, and device for verifying authorized issuance of a rights expression |
US7266692B2 (en) | 2004-12-17 | 2007-09-04 | Ntt Docomo, Inc. | Use of modular roots to perform authentication including, but not limited to, authentication of validity of digital certificates |
US7315941B2 (en) | 2004-12-17 | 2008-01-01 | Ntt Docomo Inc. | Multi-certificate revocation using encrypted proof data for proving certificate's validity or invalidity |
JP4534799B2 (ja) * | 2005-02-28 | 2010-09-01 | 富士通株式会社 | 無線基地局 |
EP1826695A1 (en) * | 2006-02-28 | 2007-08-29 | Microsoft Corporation | Secure content descriptions |
EP1801720A1 (en) * | 2005-12-22 | 2007-06-27 | Microsoft Corporation | Authorisation and authentication |
WO2007149850A2 (en) * | 2006-06-22 | 2007-12-27 | Koninklijke Philips Electronics, N.V. | Hierarchical deterministic pairwise key predistribution scheme |
JP4858027B2 (ja) * | 2006-09-11 | 2012-01-18 | パナソニック株式会社 | 電子証明書管理装置 |
US8938400B2 (en) | 2006-12-20 | 2015-01-20 | International Business Machines Corporation | Apparatus, system, and method for checking the health of encryption key managers |
JP5130722B2 (ja) * | 2007-01-19 | 2013-01-30 | セイコーエプソン株式会社 | 認証装置及び方法 |
JP4594962B2 (ja) * | 2007-06-04 | 2010-12-08 | 株式会社日立製作所 | 検証サーバ、プログラム及び検証方法 |
US20080319909A1 (en) * | 2007-06-25 | 2008-12-25 | Perkins George S | System and method for managing the lifecycle of encryption keys |
US7908252B1 (en) * | 2008-03-19 | 2011-03-15 | Crossroads Systems, Inc. | System and method for verifying paths to a database |
US8595484B2 (en) * | 2008-07-29 | 2013-11-26 | Motorola Solutions, Inc. | Method and device for distributing public key infrastructure (PKI) certificate path data |
US8130146B2 (en) * | 2008-07-29 | 2012-03-06 | Motorola Solutions, Inc. | Method for measuring the time of arrival of radio signals |
GB2463467B (en) | 2008-09-11 | 2013-03-06 | F Secure Oyj | Malware detection method and apparatus |
GB2495648A (en) * | 2008-09-11 | 2013-04-17 | F Secure Oyj | Maintaining a database of trusted public keys in a plurality of computer devices |
KR20100100134A (ko) * | 2009-03-05 | 2010-09-15 | 한국전자통신연구원 | 네트워크 로봇 서비스를 위한 보안 서비스 방법 및 장치 |
JP5452099B2 (ja) * | 2009-07-01 | 2014-03-26 | 株式会社日立製作所 | 証明書の有効性確認方法、証明書検証サーバ、プログラム及び記憶媒体 |
US8275991B2 (en) * | 2009-07-10 | 2012-09-25 | Cahn Robert S | On-line membership verification |
US8321663B2 (en) * | 2009-12-31 | 2012-11-27 | General Instrument Corporation | Enhanced authorization process using digital signatures |
JP2011193416A (ja) * | 2010-03-17 | 2011-09-29 | Hitachi Ltd | 証明書の有効性確認方法、検証サーバ、プログラム及び記憶媒体 |
TW201220804A (en) * | 2010-11-09 | 2012-05-16 | Chunghwa Telecom Co Ltd | comprising the steps of generating change information; transmitting; signing and issuing the latest message; transmitting to each web domain; sending a request message by a user end; and receiving a response message by the user end |
CA2824696A1 (en) * | 2011-01-28 | 2012-08-02 | Royal Canadian Mint/Monnaie Royale Canadienne | Controlled security domains |
US8910290B2 (en) * | 2011-08-15 | 2014-12-09 | Bank Of America Corporation | Method and apparatus for token-based transaction tagging |
US9253197B2 (en) | 2011-08-15 | 2016-02-02 | Bank Of America Corporation | Method and apparatus for token-based real-time risk updating |
US8806602B2 (en) | 2011-08-15 | 2014-08-12 | Bank Of America Corporation | Apparatus and method for performing end-to-end encryption |
US8539558B2 (en) | 2011-08-15 | 2013-09-17 | Bank Of America Corporation | Method and apparatus for token-based token termination |
US8950002B2 (en) | 2011-08-15 | 2015-02-03 | Bank Of America Corporation | Method and apparatus for token-based access of related resources |
US8789143B2 (en) * | 2011-08-15 | 2014-07-22 | Bank Of America Corporation | Method and apparatus for token-based conditioning |
US8726361B2 (en) * | 2011-08-15 | 2014-05-13 | Bank Of America Corporation | Method and apparatus for token-based attribute abstraction |
US9055053B2 (en) | 2011-08-15 | 2015-06-09 | Bank Of America Corporation | Method and apparatus for token-based combining of risk ratings |
US8572683B2 (en) | 2011-08-15 | 2013-10-29 | Bank Of America Corporation | Method and apparatus for token-based re-authentication |
US8752124B2 (en) | 2011-08-15 | 2014-06-10 | Bank Of America Corporation | Apparatus and method for performing real-time authentication using subject token combinations |
US9306932B2 (en) | 2011-12-16 | 2016-04-05 | Motorola Solutions, Inc. | Utilizing a stapling technique with a server-based certificate validation protocol to reduce overhead for mobile communication devices |
US9503269B2 (en) | 2011-12-16 | 2016-11-22 | Motorola Solutions, Inc. | Utilizing a stapling technique with a server-based certificate validation protocol to reduce overhead for mobile communication devices |
US8925059B2 (en) * | 2012-06-08 | 2014-12-30 | Lockheed Martin Corporation | Dynamic trust connection |
JP5967822B2 (ja) | 2012-10-12 | 2016-08-10 | ルネサスエレクトロニクス株式会社 | 車載通信システム及び装置 |
US9667616B2 (en) * | 2013-01-08 | 2017-05-30 | Mitsubishi Electric Corporation | Authentication processing apparatus, authentication processing system, authentication processing method and authentication processing program |
US9407644B1 (en) * | 2013-11-26 | 2016-08-02 | Symantec Corporation | Systems and methods for detecting malicious use of digital certificates |
WO2015128895A1 (ja) * | 2014-02-26 | 2015-09-03 | 三菱電機株式会社 | 証明書管理装置、及び証明書管理方法 |
US10114939B1 (en) * | 2014-09-22 | 2018-10-30 | Symantec Corporation | Systems and methods for secure communications between devices |
US10333696B2 (en) | 2015-01-12 | 2019-06-25 | X-Prime, Inc. | Systems and methods for implementing an efficient, scalable homomorphic transformation of encrypted data with minimal data expansion and improved processing efficiency |
KR102639075B1 (ko) * | 2016-11-30 | 2024-02-22 | 현대자동차주식회사 | 차량용 진단기 및 그 인증서 관리 방법 |
US10341327B2 (en) | 2016-12-06 | 2019-07-02 | Bank Of America Corporation | Enabling secure connections by managing signer certificates |
US10805080B2 (en) * | 2017-01-06 | 2020-10-13 | Microsoft Technology Licensing, Llc | Strong resource identity in a cloud hosted system |
US10375057B2 (en) * | 2017-01-27 | 2019-08-06 | Visa International Service Association | Systems and methods for certificate chain validation of secure elements |
US10749692B2 (en) * | 2017-05-05 | 2020-08-18 | Honeywell International Inc. | Automated certificate enrollment for devices in industrial control systems or other systems |
US11146407B2 (en) * | 2018-04-17 | 2021-10-12 | Digicert, Inc. | Digital certificate validation using untrusted data |
CN110008682B (zh) * | 2019-03-31 | 2020-12-29 | 西安邮电大学 | 一种基于pki更新不同类型存储介质中的数据的方法 |
EP3851923B1 (de) * | 2020-01-14 | 2023-07-12 | Siemens Aktiengesellschaft | Leitsystem für technische anlagen mit zertifikatsmanagement |
US12026172B2 (en) | 2020-12-15 | 2024-07-02 | Bank Of America Corporation | System and method for automatically validating data stored in multiple locations |
Family Cites Families (19)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5825880A (en) * | 1994-01-13 | 1998-10-20 | Sudia; Frank W. | Multi-step digital signature method and system |
BR9608416A (pt) | 1995-06-05 | 1998-12-29 | Certco Llc | Método e sistema em múltiplas etapas de assinatura digital |
US5745574A (en) | 1995-12-15 | 1998-04-28 | Entegrity Solutions Corporation | Security infrastructure for electronic transactions |
US6272538B1 (en) * | 1996-07-30 | 2001-08-07 | Micron Technology, Inc. | Method and system for establishing a security perimeter in computer networks |
JPH1145259A (ja) | 1997-07-25 | 1999-02-16 | Canon Inc | ハイパーテキスト閲覧装置及び方法及び記憶媒体 |
US6397329B1 (en) * | 1997-11-21 | 2002-05-28 | Telcordia Technologies, Inc. | Method for efficiently revoking digital identities |
US6226743B1 (en) * | 1998-01-22 | 2001-05-01 | Yeda Research And Development Co., Ltd. | Method for authentication item |
US6134550A (en) * | 1998-03-18 | 2000-10-17 | Entrust Technologies Limited | Method and apparatus for use in determining validity of a certificate in a communication system employing trusted paths |
US6073242A (en) * | 1998-03-19 | 2000-06-06 | Agorics, Inc. | Electronic authority server |
US7213262B1 (en) * | 1999-05-10 | 2007-05-01 | Sun Microsystems, Inc. | Method and system for proving membership in a nested group using chains of credentials |
GB2357228B (en) * | 1999-12-08 | 2003-07-09 | Hewlett Packard Co | Method and apparatus for discovering a trust chain imparting a required attribute to a subject |
JP2001320356A (ja) * | 2000-02-29 | 2001-11-16 | Sony Corp | 公開鍵系暗号を使用したデータ通信システムおよびデータ通信システム構築方法 |
JP3588042B2 (ja) * | 2000-08-30 | 2004-11-10 | 株式会社日立製作所 | 証明書の有効性確認方法および装置 |
JP2002099211A (ja) * | 2000-09-21 | 2002-04-05 | Sony Corp | 公開鍵証明書発行要求処理システムおよび公開鍵証明書発行要求処理方法 |
US7290133B1 (en) * | 2000-11-17 | 2007-10-30 | Entrust Limited | Method and apparatus improving efficiency of end-user certificate validation |
US7203753B2 (en) * | 2001-07-31 | 2007-04-10 | Sun Microsystems, Inc. | Propagating and updating trust relationships in distributed peer-to-peer networks |
JP3890959B2 (ja) * | 2001-11-22 | 2007-03-07 | 株式会社日立製作所 | 公開鍵証明書の生成システム及び検証システム |
US7367044B2 (en) * | 2002-06-14 | 2008-04-29 | Clink Systems, Ltd. | System and method for network operation |
JP2004214751A (ja) * | 2002-12-27 | 2004-07-29 | Hitachi Ltd | 証明書経路情報管理システム及び証明書経路管理方法 |
-
2003
- 2003-10-10 JP JP2003351509A patent/JP3894181B2/ja not_active Expired - Lifetime
-
2004
- 2004-02-04 TW TW093102546A patent/TWI252662B/zh not_active IP Right Cessation
- 2004-02-26 KR KR1020040012892A patent/KR100625154B1/ko active IP Right Grant
- 2004-02-27 CN CNB2004100072951A patent/CN100435510C/zh not_active Expired - Fee Related
- 2004-02-27 CN CN2008101259446A patent/CN101312394B/zh not_active Expired - Fee Related
- 2004-03-01 SG SG200401519A patent/SG114659A1/en unknown
- 2004-03-01 US US10/788,417 patent/US7558952B2/en not_active Expired - Fee Related
- 2004-03-01 EP EP04004721A patent/EP1523126B1/en not_active Expired - Lifetime
- 2004-03-01 DE DE602004006571T patent/DE602004006571T2/de not_active Expired - Lifetime
- 2004-03-01 EP EP07010174A patent/EP1835658A1/en not_active Withdrawn
-
2009
- 2009-06-19 US US12/488,051 patent/US8516245B2/en not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
DE602004006571T2 (de) | 2008-01-24 |
CN101312394A (zh) | 2008-11-26 |
KR100625154B1 (ko) | 2006-09-20 |
CN100435510C (zh) | 2008-11-19 |
EP1835658A1 (en) | 2007-09-19 |
SG114659A1 (en) | 2005-09-28 |
CN101312394B (zh) | 2011-06-29 |
DE602004006571D1 (de) | 2007-07-05 |
JP2005117514A (ja) | 2005-04-28 |
EP1523126B1 (en) | 2007-05-23 |
US7558952B2 (en) | 2009-07-07 |
US8516245B2 (en) | 2013-08-20 |
TW200514404A (en) | 2005-04-16 |
US20050081037A1 (en) | 2005-04-14 |
JP3894181B2 (ja) | 2007-03-14 |
EP1523126A1 (en) | 2005-04-13 |
KR20050035062A (ko) | 2005-04-15 |
CN1606269A (zh) | 2005-04-13 |
US20090259842A1 (en) | 2009-10-15 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
TWI252662B (en) | Method and apparatus for accelerating public-key certificate validation | |
AU2022204148B2 (en) | Methods and apparatus for providing blockchain participant identity binding | |
JP3588042B2 (ja) | 証明書の有効性確認方法および装置 | |
EP2187590B1 (en) | Method of validation public key certificate and validation server | |
JP5452099B2 (ja) | 証明書の有効性確認方法、証明書検証サーバ、プログラム及び記憶媒体 | |
RU2434340C2 (ru) | Инфраструктура верификации биометрических учетных данных | |
EP3966997B1 (en) | Methods and devices for public key management using a blockchain | |
JP4474845B2 (ja) | Crl発行通知機能付き認証基盤システム | |
JP5576985B2 (ja) | 署名に用いる暗号アルゴリズムの決定方法、検証サーバおよびプログラム | |
JP2007518369A (ja) | Ocsp及び分散型ocspのための効率的に署名可能なリアルタイム・クレデンシャル | |
JP2011193416A (ja) | 証明書の有効性確認方法、検証サーバ、プログラム及び記憶媒体 | |
WO2021105816A1 (en) | Methods and devices for automated digital certificate verification | |
JP5785875B2 (ja) | 公開鍵証明書の検証方法、検証サーバ、中継サーバおよびプログラム | |
JP2013225938A (ja) | 公開鍵証明書の検証方法及び検証サーバ | |
JP4529936B2 (ja) | 公開鍵証明書検証の高速化方法、および装置 | |
JP5018849B2 (ja) | Crl発行通知機能付き認証基盤システム | |
JP4582030B2 (ja) | Crl発行通知機能付き認証基盤システム | |
JP5158125B2 (ja) | 公開鍵証明書の有効性確認方法、プログラムおよび記憶媒体 | |
JP2004297639A (ja) | 公開鍵証明書の失効情報提供方法、および装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
MM4A | Annulment or lapse of patent due to non-payment of fees |