WO2010023779A1

WO2010023779A1 - サーバ証明書発行システム及び本人認証方法

Info

Publication number: WO2010023779A1
Application number: PCT/JP2009/001571
Authority: WO
Inventors: 木戸啓介; 中條一郎
Original assignee: Ｇｍｏグローバルサイン株式会社
Priority date: 2008-08-27
Filing date: 2009-04-03
Publication date: 2010-03-04
Also published as: US8250361B2; EP2320375B1; JP2010056717A; JP4252620B1; EP2320375A4; CN101925920B; CN101925920A; US20100275012A1; EP2320375A1

Abstract

【課題】　証明書発行の対象となるWebサーバの実在性を確認でき、セキュリティが一層向上したサーバ証明書発行システムを実現する。【解決手段】　本発明によるサーバ証明書発行システムでは、SSL証明書の形態のテスト証明書を用いて本人認証を行う。Webサーバ、コミュニケーションさ又はロードバランサは、登録サーバ（６）に対してサーバ証明書発行要求を送信する。登録サーバは、テスト証明書発行機関（８）に対してテスト証明書の発行を要求する。テスト証明書発行サーバは、生成したテスト証明書を登録サーバに送信する。登録サーバは、テスト証明書を対応するサーバに送信し、インストールすることを求める。登録サーバは、サーバに対してSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証し、SSLプロトコルが確立された場合に限り、サーバ証明書発行要求を有効であると認定する。

Description

サーバ証明書発行システム及び本人認証方法

　本発明は、サーバ証明書の申込からダウンロードまでの一連の処理が自動的に実行されるサーバ証明書発行システムに関するものである。
　さらに、本発明は、サーバ証明書発行システムにおいて実施される本人認証方法に関するものである。

　WebサーバとWebブラウザとの間のインターネット通信を安全に行うため、公開鍵暗号基盤（PKI：Public Key Infrastructure）を利用したSSL（Secure Socket Layer）が実用化されている。SSLが導入された通信システムでは、信頼できる第三者機関である認証機関（認証局：ＣＡ）から発行されたサーバ証明書（SSL証明書）を用いて暗号化処理が行われるため、なりすまし、改ざん、盗聴等が防止され、一層セキュアなインターネット通信が確保される。

　認証機関がサーバ証明書を発行する際、サーバ証明書の発行要求者の同一性確認（本人確認）が重要であり、同一性確認の方法として、ドメイン認証を利用したサーバ証明書発行システムが実用化されている（例えば、特許文献１参照）。この既知の本人確認方法では、サーバ証明書の発行要求があった際、登録サーバはドメイン登録機関のデータベース（Whois 情報）にアクセスし、当該Webサーバについてサーバ証明書の発行を承認する権限を有する承認者と連絡をとり、電話やe-mail等の連絡手段を用いて証明書の発行要求を承認するか否かが検証され、承認者の承認が得られた場合に限り証明書が発行されている。

特表２００５－５０６７３７号公報

従来のドメイン認証を利用した本人確認方法では、証明書の発行について承認権限を有する者をWhois情報に基づいて検索し、検索された承認者の承認に基づいて本人確認が行われている。しかし、Approver-Email.方式の認証方法では、承認権限を有する者の承認を得ているにすぎず、証明書の発行対象となるWebサーバの実在性が確認されていないため、セキュリティ上の問題があった。また、E-mailによる本人確認では、E-mailが盗聴された場合など、セキュリティ上の問題が発生する危険性が潜在している。さらに、登録機関は、ドメイン登録サーバのデータベースにアクセスして承認者を検索しなければならず、登録機関における本人確認作業が煩雑になる欠点もあった。しかも、電話等の連絡手段により承認確認を得なければならず、証明書の発行を自動化する上で大きな障害となっていた。

　本発明の目的は、証明書発行の対象となる各種サーバの実在性を確認でき、セキュリティが一層向上したサーバ証明書発行システムを実現することにある。
　本発明の別の目的は、サーバ証明書の発行の申込からダウンロードまでの一連の処理が自動的に実行されるサーバ証明書発行システムを実現することにある。
　さらに、本発明の別の目的は、上述したサーバ証明書発行システムに用いられる本人認証方法を提供することにある。

本発明によるサーバ証明書発行システムは、登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバと、試験用のテスト証明書を発行するテスト証明書発行機関により管理され、ネットワークを介して登録サーバから送られてくるテスト証明書発行要求を受信し、テスト証明書を発行するテスト証明書発行サーバとを具えるサーバ証明書発行システムであって、
前記Webサーバ、コミュニケーションサーバ又はロードバランサは、自己のアドレス情報を含むサーバ証明書発行要求を生成する手段と、生成したサーバ証明書発行要求をネットワークを介して前記登録サーバに送信する手段と、前記テスト証明書発行サーバにより生成され、本人認証のために登録サーバから送られてくるテスト証明書をインストールする手段とを有し、
前記登録サーバは、前記Webサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受信する手段と、サーバ証明書発行要求の受信に応じて、前記テスト証明書発行サーバに対してテスト証明書発行要求を送信する手段と、テスト証明書発行サーバにより生成されたテスト証明書を受信し、受信したテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する手段と、前記サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスして、当該サーバ又はロードバランサにインストールされているテスト証明書を検証する検証手段と、署名要求ファイルを証明書発行サーバに送信する手段とを有し、
前記テスト証明書発行サーバは、登録サーバから送られてくるテスト証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成する手段と、生成されたテスト証明書を前記登録サーバに送信する手段とを有し、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効であると認定することを特徴とする。

本発明では、本人認証は、テスト証明書発行機関により生成されるSSL証明書の形態のテスト証明書を用いて行われる。すなわち、Webサーバ、コミュニケーションサーバ又はロードバランサから登録サーバに対してサーバ証明書の発行要求がされた場合、登録サーバは、テスト証明書発行サーバに対してテスト証明書発行要求を送信する。テスト証明書発行サーバは、サーバ証明書発行要求に含まれる公開鍵とコモンネーム又はCSRを用いてSSL証明書の形態のテスト証明書を生成する。生成されたテスト証明書はテスト証明書発行サーバから登録サーバに送信され、登録サーバから証明書発行要求に含まれるアドレスのサーバに送信されテスト証明書をインストールすることが求められる。次に、登録サーバは、サーバ証明書発行要求に含まれるアドレス情報により特定されるサーバにSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証する。すなわち、テスト証明書をインストールするためには、テスト証明書と共に対応する秘密鍵が必要である。そして、対応する秘密鍵が存在しない場合、SSLプロトコルでアクセスしても登録サーバと当該サーバとの間にSSL通信プロトコルが確立されることはない。従って、登録サーバが当該サーバにアクセスした際、当該サーバと登録サーバとの間にSSLプロトコルのセッションが確立されることは、サーバ証明書発行要求により特定されるサーバに、テスト証明書に対応する秘密鍵が存在することになる。この検証により、証明書の発行対象であるサーバの実在性が確認される。さらに、サーバ証明書の申込者が当該サーバについて管理権限を有する者であるか否かも検証される。この結果、従来のドメイン認証よりも一層セキュリティの高い本人認証が行われる。特に、インストールされるテスト証明書はSSL証明書の形態をしているので、検証作業は高いセキュリティ環境のもとで行われる利点が達成される。さらに、検証作業において、SSLセッションが確立されているか否かが検証されると共にインストールされているテスト証明書に含まれる証明書情報と送信されたテスト証明書に含まれる証明書情報とを照合することにより行われるので、全ての作業は、電子データを処理することにより実行される。この結果、本人認証の一連の処理は、登録サーバにより管理されるコンピュータシステムにおいて自動的に実行される。

　本発明による別のサーバ証明書発行システムは、登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバとを具えるサーバ証明書発行システムであって、
前記Webサーバ、コミュニケーションサーバ又はロードバランサは、自己のアドレス情報を含むサーバ証明書発行要求を生成する手段と、生成したサーバ証明書発行要求をネットワークを介して前記登録サーバに送信する手段と、本人認証のために登録サーバから送られてくるテスト証明書をインストールする手段とを有し、
前記登録サーバは、前記Webサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受信する手段と、サーバ証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成する手段と、生成されたテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する手段と、前記サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスして、当該サーバ又はロードバランサにインストールされているテスト証明書を検証する検証手段と、署名要求ファイルを証明書発行サーバに送信する手段とを有し、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、受信したサーバ証明書発行システム発行要求を有効なものであると認定することを特徴とする。

　登録機関は、Webサーバ等に公開鍵証明書がインストールされるか否かを試験するためテスト証明書を発行することが認められている。そこで、本発明では、Webサーバから登録サーバにサーバ証明書の発行要求がされた際、登録サーバにおいてテスト証明書を生成する。生成されたテスト証明書は、秘密鍵と共にWebサーバに送信され、インストールすることが求められる。インストールが完了した後、発行サーバはサーバ証明書発行要求に含まれるアドレスのWebサーバにアクセスしてSSLセッションが確立されるか否か検証する。

本実施例においては、Webサーバから登録サーバに対してCSRを含むサーバ証明書発行要求が送信された場合であっても、登録サーバが生成したキーペアを用いてテスト証明書を生成することができる。

本発明による本人認証方法は、登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバと、試験用のテスト証明書を発行するテスト証明書発行機関により管理され、ネットワークを介して登録サーバから送られてくるテスト証明書発行要求を受取り、テスト証明書を発行するテスト証明書発行サーバとを具えるサーバ証明書発行システムにおいて実施される本人認証方法であって、
　前記登録サーバは、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求の受信に応じて、テスト証明書発行要求を生成し、生成されたテスト証明書をテスト証明書発行サーバに送信する工程と、
　前記テスト証明書発行サーバは、テスト証明書発行要求の受信に応じて、
公開鍵証明書のフォーマット形式のテスト証明書を生成し、生成したテスト証明書を前記登録サーバに送信する工程と、
　前記登録サーバは、受信したテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する工程と、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受信したテスト証明書をインストールする工程と、
　前記登録サーバは、受信したサーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証する工程とを具え、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効なものと認定することを特徴とする。

本発明による別の本人認証方法は、登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバとを具えるサーバ証明書発行システムにおいて実施される本人認証方法であって、
　前記登録サーバは、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成し、生成されたテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する工程と、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受信したテスト証明書をインストールする工程と、
　前記登録サーバは、受信したサーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証する工程とを具え、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効なものと認定することを特徴とする。

　本発明によれば、SSL証明書の形態をしたテスト証明書を用いて本人認証を行っているので、SSLプロトコルが確立された高いセキュリティ環境下において本人認証が行われる。この結果、従来のドメイン認証方法よりも一層高いセキュリティ環境下においてサーバ証明書が発行される。さらに、本人認証は、電子データを比較することにより行われるので、コンピュータシステム及び通信手段を利用することにより、サーバ証明書の申込からインストールまでの処理を自動的に行うことができる。

本発明によるサーバ証明書発行システムの全体構成を示す線図である。本発明によるWebサーバの一例を示す線図である。本発明によるサーバ証明書発行システムの第１実施例を示す図である。 Webサーバに実装されたSSL証明書発行管理プログラムの一例を示す線図である。登録サーバのコンピュータシステムのCSRの送信機能までを示す図である。登録サーバのコンピュータシステムのCSR送信機能以後の機能を示す図である。本発明によるサーバ証明書発行システムの第２実施例を示す図である。登録サーバにおいてテスト証明書を生成する実施例における登録サーバのコンピュータシステムを示す図である。登録サーバにおいてCSRを生成する実施例における登録サーバのコンピュータシステムを示す図である。本発明によるサーバ証明書発行システムの第３実施例を示す図である。第３実施例の登録サーバのコンピュータシステムを示す図である。本発明によるサーバ証明書発行システムの第４実施例を示す図である。本発明によるサーバ証明書発行システムの第５実施例を示す図である。第５実施例の登録サーバのコンピュータシステムを示す図である。本発明によるサーバ証明書発行システムの第６実施例を示す図である。第６実施例の登録サーバのコンピュータシステムを示す図である。

　図１は本発明によるサーバ証明書発行システムの全体構成を示す線図である。ネットワーク１には、ユーザ端末２ａ～２ｎ及びWebサーバ３ａ～３ｍが接続されている。また、ネットワーク１には、通信機器として機能するサーバであるコミュニケーションサーバ４も接続され、さらにロードバランサ（図示せず）も接続されている。さらに、ネットワーク１には、ホスティング事業者に管理が委託されているWebサーバも接続されている。各ユーザは、ユーザ端末を介して自己が所有し又は管理し或いは使用権限を有するWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスして作動させることができる。さらに、ネットワーク１には、証明書の発行要求を受け付ける登録機関により管理される登録サーバ６及び登録サーバから送られてくる署名要求ファイルを受取りサーバ証明書を発行する証明書発行機関により管理される証明書発行サーバ７が接続されている。さらに、ネットワーク１には、試験のために用いられるテスト証明書を発行するテスト証明書発行機関により管理されるテスト証明書発行サーバ８も接続されている。テスト証明書は、特定の環境下においてサーバ証明書がインストールされるか否かを確認するため、又は、特定の業務プログラムの動作を試験するために用いられるSSL証明書の形態をした証明書データであり、テスト証明書発行機関により発行される。このテスト証明書は、各種サーバから登録サーバを介して送られてくる署名要求ファイルについて、テスト証明書発行サーバにおいてテスト証明書発行機関の秘密鍵を用いてデジタル署名することにより生成される。尚、テスト証明書発行機関は、登録機関又は発行機関が兼務する場合があり、そのような場合、テスト証明書は登録機関又は発行機関から発行されることになる。

　各ユーザは、自己が所有し又は管理するWebサーバについてサーバ証明書の発行を希望する場合、ユーザ端末及びネットワークを介してWebサーバにアクセスしてサーバ証明書発行要求を生成し、ネットワークを介して登録サーバ６に送信する。また、コミュニケーションサーバ４及びロードバランサについても、Webサーバと同様にサーバ証明書を発行することができる。この場合、当該コミュニケーションサーバ又はロードバランサの管理者は、端末及びネットワークを介してコミュニケーションサーバ４にアクセスし、サーバ証明書発行要求を生成して登録サーバ６に送信する。さらに、ホスティング事業者の管轄下にあるWebサーバについては、使用権限を有するユーザが自己のWebサーバにアクセスしてサーバ証明書発行要求を生成して登録サーバに送信することができる。或いは、Webサーバの管理がホスティング事業者に委託されている場合、ユーザは、ホスティング事業者にサーバ証明書の発行申込を委託することができる。この場合、ホスティング事業者が、証明書の対象となるWebサーバにアクセスしてサーバ証明書発行要求を生成し、生成されたサーバ証明書発行要求はWebサーバから登録サーバに送信される。

証明書発行サーバからサーバ証明書が生成された場合、生成されたサーバ証明書は登録サーバを介してWebサーバ、コミュニケーションサーバ又はロードバランサにダウンロードされる。尚、サーバ証明書の申込からダウンロードまでの一連の処理は、Webサーバ及びコミュニケーションサーバを含む各種サーバについて同一であるため、以下の説明においてWebサーバを例にして説明する。

　本例では、サーバ証明書の発行要求から発行された証明書のダウンロードまでの各種の機能は、Webサーバ又はコミュニケーションサーバに実装されているコントロールパネルにより実行する。各Webサーバには、主としてWeb及びメールの設定及び管理を行うコントロールパネルが実装され、コントロールパネルの制御のもとでSSL証明書の発行及び管理が行われる。例えばWebサーバの管理者がサーバ証明書の発行を希望する場合、この管理者は、ネットワークを介して自己が管理するWebサーバにアクセスし、コントロールパネルのメニューを表示させる。そして、表示されたメニューから、メニュー「SSL証明書の発行」をクリックする。メニュー「SSL証明書の発行」がクリックされると、コントロールパネルは、サーバ証明書の申込情報を入力するための入力画面を表示する。サーバ証明書発行の申込情報として、以下の情報を含む。
　ア．当該Webサーバのコモンネーム（FQDN：Fully Qualified Domain Name）又はＩＰアドレス
　イ．申込管理者の名前及び電子メールアドレス
　ウ．証明書の有効開始日及び有効期間
　エ．証明書の種類

必要な申込情報の入力が完了すると、コントロールパネルは、キーペア及び署名要求ファイル（CSR）を生成すると共にサーバ証明書発行要求を生成する。サーバ証明書発行要求は、CSR及び付随する付加情報を含む。CSRは、公開鍵、WebサーバのFQDN、カントリーコード、企業名、住所等の情報を含む。また、付加情報は、証明書の有効期間及び証明書の種類に関する情報を含む。CSR及び付加情報を含むサーバ証明書発行要求は、ネットワークを介して登録サーバ６に送出され、登録サーバにおいて本人認証を含む審査が行われる。当該証明書発行要求が所定の要件を満たしている場合、登録サーバ６は署名要求ファイルを発行機関に設置されている証明書発行サーバ７に送り、証明書発行サーバは発行機関の秘密鍵を用いてデジタル署名を行ってサーバ証明書を作成する。作成されたサーバ証明書は登録サーバ６に送られ、ダウンロード領域に格納され、登録サーバはダウンロードが完了したことをWebサーバに通知する。Webサーバのコントロールパネルは、ダウンロード通知を受け取ると、登録サーバにダウンロード要求を行い、ダウンロードされたサーバ証明書をインストールする。すなわち、本例では、Webサーバの管理者による証明書発行要求が入力された後、Webサーバに実装されているコントロールパネルの制御のもとで、証明書の発行申込からサーバ証明書のインストールまでの一連の処理が自動的に実行される。

　図２は本発明によるWebサーバの一例の構成を示す線図である。Webサーバは、通信手段２０を有し、通信手段２０を介してユーザ端末との通信を実行する。さらに、Webサーバはコントロールパネル２１を有し、コントロールパネル２１によりメール及びWebの設定及び管理が行われる。従って、メール機能部２２及びWeb機能部２３の設定及び管理はコントロールパネル２１により行われる。Web機能部２３には、SSL証明書の制御機能部が設けられ、証明書のインストール、証明書を基にhttpsプロトコルの制御に加え、一般的にはPKI鍵ペアとCSRの生成機能等を備えている。Webサーバには、アプリケーション１～３が実装されると共にデータベース２４も実装されている。

　コントロールパネル２１は、SSL証明書発行管理プログラム２５が設けられ、このSSL証明書発行管理プログラム２５の制御のもとでサーバ証明書の発行申込から発行されたサーバ証明書のインストールまでの一連の処理が実行される。

図３は、本発明によるサーバ証明書発行システムの第１実施例を示す。図３は、Webサーバ、登録サーバ、テスト証明書発行サーバ及び証明書発行サーバ間におけるサーバ証明書の発行申込からサーバ証明書がインストールされるまでの処理手順を示す。本例では、Webサーバから登録サーバに対してサーバ証明書の発行要求が送信された際、テスト証明書発行サーバによりCSRを用いて生成されたテスト証明書を用いて本人認証を行う。テスト証明書は、公開鍵証明書の規格として標準化されているＸ．５０９規格に基づいて生成され、SSL証明書のフォーマットで表されたデータである。このテスト証明書は、テスト証明書発行サーバにおいて、テスト証明書発行機関の秘密鍵を用いてCSRにデジタル署名することにより生成される。Webサーバの管理者は、サーバ証明書の発行申込に際し、自己が管理するWebサーバにアクセスし、入力画面を表示させ、所定の申込事項を入力する。Webサーバは、コントロールパネルの制御のもとで、キーペア及びCSRを生成すると共にサーバ証明書発行要求を生成する。生成されたサーバ証明書発行要求は、ネットワークを介して登録サーバに送信される。

登録サーバは、初めにフォーマットのチェックを行い、入力情報に誤りがある場合、エラー送信を行う。次に、登録サーバは、テスト証明書発行要求を生成し、テスト証明書行サーバに送信する。テスト証明書発行要求は、テスト証明書の発行を要求する旨の表示、CSR及び付随する付加情報を含む。テスト証明書発行サーバは、CSR及び必要に応じて付随する付加情報を用いて編集し、テスト証明書発行機関の秘密鍵でデジタル署名を行ってテスト証明書を生成する。テスト証明書は、特定の環境下においてサーバ証明書がインストールされるか否かを試験するために用いられる公開鍵証明書（SSL証明書）の形態をした証明書データであり、テスト証明書発行機関から発行される。尚、テスト証明書発行機関は、正規の証明書を発行する発行機関とは名称（ＤＮ）が相違するため、利用者は受信した証明書がテスト証明書であること明確に区別することができる。テスト証明書発行サーバにより生成されたテスト証明書は、登録サーバに送信され、登録サーバからサーバ証明書発行要求に対する応答して対応するWebサーバに送信される。

Webサーバは、CSRを生成する際に作成された秘密鍵を用いて、受信したテスト証明書をインストールし、インストール完了通知を登録サーバに送信する。尚、登録サーバは、テスト証明書を送信した後所定の時間期間内にインストール完了通知を受信しない場合、エラーとして処理する。

登録サーバは、インストール完了通知を受信すると、サーバ証明書発行要求に含まれるアドレスのサーバに対してSSLプロトコルによるアクセスを行う。そして、SSLプロトコルが確立されるか否かが検証される。テスト証明書は、公開鍵証明書の規格として標準化されているＸ．５０９規格に基づいて生成され、正規のSSL証明書と同一のフォーマットを有する。従って、秘密鍵を用いてテスト証明書がインストールされている場合、登録サーバとWebサーバとの間にSSLセッションが確立され、SSLプロトコルに基づいてデータ交換が行われる。従って、登録サーバの検証手段は、Webサーバとの間にSSLプロトコルが確立されるか否か検証し、SSLプロトコルのセッションが確立されない場合エラーとして処理する。SSLプロトコルのセッションが確立されると、登録サーバとWebサーバとの間でデータ交換が行われ、登録サーバの検証手段が作動し、アクセスされたWebサーバのアドレスとCSRに含まれるアドレスとの一致性が確認されると共に、インストールされているテスト証明書に含まれている証明書情報と送信したテスト証明書に含まれている証明書情報との一致性が確認される。SSLセッションが確立されると共にアドレスの一致性及び証明書情報の一致性が確認できた場合、登録サーバは、有効なサーバ証明書発行要求であると判定する。一方、登録サーバは、SSLプロトコルでアクセスした際、SSLプロトコルが確立されない場合、本人認証できないものと判断し、エラーとして処理する。また、テスト証明書に含まれる証明書情報の一致性が確認できない場合もエラーとして処理する。

本人認証できた場合、登録サーバは、Webサーバに対して受付ＩＤと共に受付完了通知を送信する。また、証明書発行サーバに対してCSR及び付加情報を正式に送信する。

Webサーバは、登録サーバから受付完了通知を受信した場合及びエラー処理の通知を受信した場合、直ちにインストールされているテスト証明書を消去する。

証明書発行サーバは、CSR及び付加情報を受信すると、受取ったCSR及び付加情報について編集し、発行機関の秘密鍵を用いてデジタル署名を行ってサーバ証明書を生成する。生成されたサーバ証明書を登録サーバに送信する。登録サーバは、サーバ証明書を受取ると、受信したサーバ証明書をダウンロード領域に格納する。

登録サーバは、Webサーバから周期的に送られてくるステータス照会を受信し、ダウンロード領域にサーバ証明書が格納されているか否かを確認し、格納されていない場合、応答としてWebサーバに未完了通知を送信する。サーバ証明書がダウンロード領域に格納されている場合、ステータス照会の応答としてダウンロード通知を行う。Webサーバは、ダウンロード通知を受信すると、登録サーバに対してダウンロード要求を送信する。登録サーバは、受信したダウンロード要求に応じて、該当するサーバ証明書をWebサーバにダウンロードする。Webサーバは、コントロールパネルの制御のもとで、ダウンロードされたサーバ証明書をインストールする。

このように、本発明によるサーバ証明書発行システムでは、Webサーバの管理者がサーバ証明書の発行に必要な事項を入力画面に入力するだけで、サーバ証明書のインストールまでの一連の処理が自動的に実行され、管理者の手続的負担が大幅に軽減される。

図４は、Webサーバに搭載されているコントロールパネルのSSL証明書発行管理プログラムの機能を示す線図である。Webサーバの管理者からの証明書発行のためのアクセスがあると、入力画面情報生成手段３０が起動し、証明書を発行するために必要な申込情報を入力するための入力画面がモニタ上に表示される。サーバ管理者による申込情報の入力が完了すると、キーペア生成手段３１が作動して公開鍵と秘密鍵のキーペアを生成する。次に、CSR生成手段３２が作動して公開鍵を含むCSRが生成される。証明書の有効開始日及び有効期間及び証明書の種類を示す付加情報は、生成されたCSRと共にサーバ証明書発行要求生成手段３３に送出される。サーバ証明書発行要求生成手段３３において、サーバ証明書発行要求が生成され、通信手段２０及びネットワーク１を介して登録機関に設置された登録サーバに送信される。

SSL発行管理プログラムは、応答手段３４を有し、登録サーバから送られてくるテスト証明書を受信する。受信されたテスト証明書は、テスト証明書インストール手段３５により、キーペア生成手段３１により生成された秘密鍵と関連付けてインストールされる。テスト証明書のインストールが完了すると、テスト証明書インストール完了通知が応答手段３４を介して登録サーバに送信される。尚、テスト証明書発行機関の証明書については、Webサーバの信頼するルート証明書リストに含めておくことが望ましい。

登録サーバによる本人認証が終了し、登録サーバからWebサーバに対して受付完了通知が送信された場合又は本人認証できずエラーとして処理された場合、テスト証明書消去手段３６が作動してインストールされているテスト証明書は消去される。

さらに、SSL発行管理プログラムは、証明書の発行状況を登録サーバに問い合わせるステータス照会手段３７を有し、サーバ証明書発行要求を送信した後登録サーバに対して周期的に証明書の発行状況を照会すると共に登録サーバからの応答を受信する。さらに、サーバ証明書ダウンロード要求手段３８を有し、登録サーバからダウンロード通知がされた際、登録サーバに対してダウンロードの要求を行う。ダウンロードされたサーバ証明書は、サーバ証明書格納手段３９に格納され、サーバ証明書インストール手段４０によりインストールされる。

図５及び図６は、登録機関により管理される登録サーバのコンピュータシステムの一例を示す線図である。尚、図５はサーバ証明書発行要求を受信した後証明書発行サーバにCSR及び付加情報を送信するまでの機能を示し、図６はCSRを送信した後の機能を示す。Webサーバから送信された証明書発行要求は、通信手段５０を介して証明書発行要求受信手段５１により受信される。受信された証明書発行要求は、ＩＤ付与手段５２により受付ＩＤが付与され、記憶手段５３に記憶される。記憶された証明書発行要求は、審査手段５４により審査され、所定の申込事項が含まれているか否かフォーマットのチエックが行われる。所定の事項が含まれていない場合、エラーとして処理される。

フォーマットのチェックが終了した後、テスト証明書発行要求生成手段５５が作動する。テスト証明書発行要求生成手段は、テスト証明書の発行を要求する旨の表示並びにサーバ証明書発行要求に含まれるCSR及び付加情報を含む。生成されたテスト証明書発行要求は、テスト証明書発行要求送信手段５６を介してテスト証明書発行サーバに送信される。テスト証明書発行サーバは、CSR及び付加情報についてテスト証明発行機関の秘密鍵を用いてデジタル署名を行ってテスト証明書を生成する。生成されたテスト証明書は、ネットワークを介して登録サーバに送信される。

テスト証明書発行サーバから送られてくるテスト証明書は、テスト証明書受信手段５７により受信される。受信されたテスト証明書は、テスト証明書送信手段５８により対応するWebサーバに送信され、Webサーバは、テスト証明書をインストールすることが求められる。尚、テスト証明書が送信された後所定の時間期間内にインストールされない場合、エラーとして処理する。

Webサーバから送られてくるテスト証明書インストール完了通知は、インストール完了通知受信手段５９により受信される。次に、SSLプロトコルアクセス手段６０が作動し、サーバ証明書発行要求に含まれるFQDNのサーバに対してSSLプロトコルによるアクセスが行われる。テスト証明書が秘密鍵と関連付けてインストールされている場合、登録サーバとWebサーバとの間にSSLセッションが確立され、データの交換が行われる。次に、テスト証明書検証手段６１が作動し、SSLプロトコルのセッションが確立されるか否か検証されると共にWebサーバにインストールされているテスト証明書の有効性が判断される。このテスト証明書検証手段６１は、アクセスしたサーバのアドレスとCSRに含まれるアドレス情報とが一致するか否か検証すると共にWebサーバに送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致するか否かも検証する。検証結果として、SSLセッションが確立されたこと、アドレスが一致すること、及びインストールされているテスト証明書の内容と送信したテスト証明書の内容とが一致することが確認できた場合、当該サーバ証明書発行要求は、有効なサーバ証明書発行要求であると判断する。検証結果として、SSLプロトコルのセッションが確立されない場合、エラーとして処理する。

有効なサーバ証明書発行要求の場合、証明書申込受付完了通知手段６２が作動し、Webサーバに対してサーバ証明書の申込の受付が完了したことを受付ＩＤと共に送信する。また、CSR送信手段６３が作動し、サーバ証明書発行要求から取り出されたCSR及び付加情報が証明書発行サーバに送信される。

発行機関（ＩＡ）に設置された証明書発行サーバは、登録サーバから送られてくるCSR及び付加情報を受信すると、発行機関の秘密鍵を用いてデジタル署名を行ってサーバ証明書を生成し、ネットワークを介して登録サーバに送信する。

図６を参照するに、証明書発行サーバから送られてくるサーバ証明書は、サーバ証明書受信手段６４により受信され、ダウンロード領域６５に格納される。登録サーバは、Webサーバから送られてくるステータス照会を受信するステータス照会受信手段６６を有する。ステータス照会受信手段６６は、Webサーバからのステータス照会を受信すると、受付ＩＤをキーとしてダウンロード領域６５に対応するサーバ証明書が格納されているか否かを確認する。サーバ証明書が格納されていない場合、ステータス応答送信手段６７を介してWebサーバに対して未完了通知を行う。サーバ証明書が格納されている場合、ステータス応答送信手段を介してダウンロード通知を送信する。Webサーバからのダウンロード要求は、証明書ダウンロード要求受信手段６８により受信される。Webサーバからのダウンロード要求が受信されると、当該サーバ証明書は、サーバ証明書ダウンロード手段６９によりネットワークを介してWebサーバにダウンロードされる。図４に示すように、ダウンロードされたサーバ証明書は、Webサーバのサーバ証明書格納手段３９に格納され、証明書インストール手段４０によりインストールされる。

尚、Webサーバからのステータス照会を受信した時点において、サーバ証明書がダウンロード領域に格納されている場合、ステータス応答としてステータス応答送信手段６８を介して当該サーバ証明書をダウンロードすることも可能である。

本人認証のために用いられるテスト証明書の変形例について説明する。上述した実施例では、テスト証明書発行サーバにおいて、テスト証明書発行機関の秘密鍵を用いてデジタル署名することによりテスト証明書が生成された。しかし、発行機関の正規な秘密鍵を用いてデジタル署名を行うことによりテスト証明書を生成することも可能である。この場合、登録サーバは、サーバ証明書発行要求に含まれる付加情報である証明書の有効期間を数分～数時間程度に短縮した付加情報を作成し、作成した付加情報とCSRを含むテスト証明書発行要求を生成して証明書発行サーバに送信する。証明書発行サーバでは、受取ったCSR及び有効期間が短縮された付加情報について正規の秘密鍵を用いてデジタル署名を行い、テスト証明書を生成する。生成されたテスト証明書は、有効期間が数分～数時間の正規のサーバ証明書である。この有効期間が短縮された正規のサーバ証明書をテスト証明書として、登録サーバに送信し、登録サーバは対応するWebサーバに送信する。

Webサーバは、登録サーバから送られてきたテスト証明書をインストールし、インストールの完了を登録サーバに通知する。登録サーバは、当該WebサーバにSSLプロトコルでアクセスし、インストールされているテスト証明書について検証を行う。検証の結果として、SSLプロトコルが確立されたことが確認された場合、正規なサーバ証明書の発行要求であると判断する。このように、発行機関の正規な秘密鍵を用いてテスト証明書を生成することも可能である。

　図７～図９は本発明によるサーバ証明書発行システムの第２実施例を示す図である。上述したサーバ証明書発行システムでは、キーペア及びCSRはWebサーバにおいて生成したが、登録サーバにおいてキーペア及びCSRを生成することも可能である。図７は、キーペア及びCSRを登録サーバにおいて生成するサーバ証明書発行システムの一連の処理手順を示す図であり、図８及び図９は登録サーバのコンピュータシステムを示す図である。尚、図８及び図９において、図５及び図６で用いた構成要素と同一の構成要素には同一符号を付し、その説明は省略する。図７を参照するに、Webサーバにおいて申込情報が入力され、サーバ証明書発行要求が生成される。申込情報として、WebサーバのFQDN、Dn（organization、organization unit、country code 等）、証明書の有効期限、証明書の種類、連絡用のメールアドレス、及びPkcs12用のパスワード等の情報が含まれる。ここで、Pkcs12用のパスワードは、登録サーバから送られてくるテスト証明書及び秘密鍵並びにサーバ証明書及び秘密鍵を復号化するために用いられる。尚、Pkcs12の復号化プログラムは、Webサーバに標準装備されているため、Webサーバにおいて標準装備されているプログラムを用いてPkcs12の暗号化ファイルを復号化することが可能である。

　発行要求の受信に応じて、登録サーバは、キーペア生成手段７０によりキーペアを生成すると共にCSR生成手段７１によりCSRを生成する。続いて、テスト証明書発行要求生成手段５５によりCSRを含むテスト証明書発行要求が生成され、テスト証明書発行サーバに送信される。テスト証明書発行サーバは、テスト証明書発行要求に含まれるCSRを取り出し、テスト証明書発行機関の秘密鍵でデジタル署名を行い、テスト証明書を生成する。生成されたテスト証明書は、登録サーバに送信される。

　登録サーバは、Pkcs12暗号化ファイル生成手段７２により、Pkcs12用のパスワードを用いてキーペア作成時に生成された秘密鍵及びテスト証明書を暗号化し、Pkcs12暗号化ファイルを生成する。この暗号化ファイルは、テスト証明書送信手段５８により対応するWebサーバに送信される。

　Webサーバは、受信したPkcs12暗号化ファイルをパスワードを用いて復号化し、テスト証明書及び対応する秘密鍵を取り出す。続いて、Webサーバは、秘密鍵を用いて受信したサーバ証明書をインストールする。インストールした後、Webサーバは、インストール完了通知を登録サーバに送信する。尚、登録サーバとWebサーバとの間にSSLセッションが形成されている場合、高いセキュリティ環境下にあるので、登録サーバは、テスト証明書と秘密鍵を暗号化することなくWebサーバに送信することもできる。

登録サーバは、当該WebサーバにSSLプロトコルでアクセスし、インストールされているテスト証明書について検証を行う。検証工程において、SSLプロトコルのセッションが確立されるか否か検証されると共にWebサーバにインストールされているテスト証明書の有効性が判断される。検証結果として、SSLセッションが確立されたこと、及びインストールされているテスト証明書の内容と送信したテスト証明書の内容とが一致することが確認できた場合、当該サーバ証明書発行要求は、有効なサーバ証明書発行要求であると判断する。次に、証明書申込受付完了通知手段６２が作動し、Webサーバに対してサーバ証明書の申込の受付が完了したことを受付ＩＤと共に送信する。また、CSR送信手段６３が作動し、サーバ証明書発行要求から取り出されたCSRが証明書発行サーバに送信される。

証明書発行サーバは、登録サーバから送られてくるCSR及び付加情報を受信すると、発行機関の秘密鍵を用いてデジタル署名を行ってサーバ証明書を生成し、ネットワークを介して登録サーバに送信する。

登録サーバは、受信したサーバ証明書及び秘密鍵について暗号化を行い、Pkcs12ファイルを生成する。生成した暗号化ファイルはダウンロード領域６５に格納する。以下、第１実施例と同様な手順で対応するWebサーバにサーバ証明書がインストールされる。

　図１０及び図１１は本発明によるサーバ証明書発行システムの第３実施例を示す。図１０は処理手順を示し、図１１は登録サーバのコンピュータシステムを示す。尚、図１１において、図８で用いた構成要素と同一の構成要素については同一符号を付し、その説明は省略する。本例では、Webサーバ、コミュニケーションサーバ又はロードバランサは、CSRを生成せず、自己のコモンネーム及び暗号化ファイル生成用のパスワードを含むサーバ証明書発行要求を登録サーバに送信する。登録サーバは、サーバ証明書発行要求の受信に応じて、第１のキーペア生成手段８０が作動し、テスト証明書の生成に用いられる公開鍵と秘密鍵とのキーペアを生成する。生成された公開鍵及びサーバ証明書発行要求に含まれるコモンネームはテスト証明書発行要求生成手段８１に送られ、公開鍵とコモンネームを含むテスト証明書発行要求が生成される。生成されたテスト証明書発行要求は、テスト証明書発行要求送信手段８２により、テスト証明書発行サーバに送信される。

　テスト証明書発行サーバは、受信したテスト証明書発行要求から公開鍵及びコモンネームを取り出し、少なくとも公開鍵とコモンネームを含む公開鍵証明書の形式のデータを生成し、生成されたデータについて秘密鍵を用いてデジタル署名を行ってテスト証明書を生成する。生成されたテスト証明書は、登録サーバに送信される。

　登録サーバは、テスト証明書受信手段５７によりテスト証明書を受信し、暗号化ファイル生成手段８３に送出する。暗号化ファイル生成手段８３は、受信したテスト証明書及びキーペア生成手段８０により生成された秘密鍵とをパスワードを用いてPkcs12暗号化ファイルに変換し、テスト証明書送信手段５８から対応するWebサーバに送信する。

　Webサーバは、受信した暗号化ファイルをパスワードを用いて復号化し、秘密鍵及びテスト証明書を取り出す。そして、秘密鍵を用いてテスト証明書をインストールする。次に、インストール完了通知を登録サーバに送信する。尚、登録サーバとWebサーバとの間にSSLプロトコルのセッションが確立されているセキュリティ環境下の場合、登録サーバは、テスト証明書及び秘密鍵を暗号化することなくWebサーバに送信することができる。

Webサーバから送られてくるテスト証明書インストール完了通知は、インストール完了通知受信手段５９により受信される。次に、SSLプロトコルアクセス手段６０が作動し、サーバ証明書発行要求に含まれるFQDNのサーバに対してSSLプロトコルによるアクセスが行われる。さらに、テスト証明書検証手段６１が作動し、SSLプロトコルのセッションが確立されるか否か検証されると共にWebサーバにインストールされているテスト証明書の有効性が判断される。検証結果として、SSLセッションが確立されたこと、アドレスが一致すること、及びインストールされているテスト証明書の内容と送信したテスト証明書の内容とが一致することが確認できた場合、登録サーバは、当該サーバ証明書発行要求は、有効なサーバ証明書発行要求であると判断する。検証結果として、SSLプロトコルのセッションが確立されない場合、エラーとして処理する。

　サーバ証明書発行要求が有効な場合、受付完了通知送信手段６２が作動し、対応するWebサーバに受付完了通知を送信する。さらに、第２のキーペア生成手段８４が作動し、サーバ証明書を生成するために用いられるキーペアが生成される。生成された公開鍵はCSR生成手段８５に送られ、CSRが生成される。生成されたCSRは、CSR送信手段８６により証明書発行サーバに送信される。

　証明書発行サーバは、受信したCSRについて秘密鍵を用いてデジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を登録サーバに送信する。

　登録サーバは、受信したサーバ証明書及び秘密鍵をPkcs12ファイルに変換して対応するWebサーバに送信する。その後、図９に示す処理が行われる。

　上述した実施例では、登録サーバは、サーバ証明書発行要求を受信する毎に第１のキーペア生成手段８０が作動してテスト証明書生成用のキーペアが生成されている。しかし、登録サーバは、テスト証明書を生成するためだけに用いられる専用の公開鍵と秘密鍵とのキーペアを有し、固定されたキーペアを用いてテスト証明書を生成することも可能である。すなわち、登録サーバは、サーバ証明書発行要求の受信に応じて、テスト証明書生成用の公開鍵とサーバ証明書発行要求に含まれるコモンネームとをテスト証明書発行サーバに送信する。テスト証明書発行サーバは、受信したコモンネームと公開鍵を含むデータについてＸ．５０９の規格に基づいて公開鍵証明書の形式のデータを生成し、生成したデータについてデジタル署名を行ってテスト証明書を生成する。このように、テスト証明書を生成するだけに用いられる専用のキーペアを用いることにより、キーペアを生成する作業を省略することができる。

　図１２は、本発明によるサーバ証明書発行システムの第４実施例を示す。本例では、テスト証明書生成用のキーペアの生成をテスト証明書発行サーバにおいて行う。すなわち、登録サーバは、サーバ証明書発行要求を受信すると、サーバ証明書発行要求に含まれるコモンネームを取り出し、取り出されたコモンネームを含むテスト証明書発行要求を生成し、テスト証明書発行サーバに送信する。

　テスト証明書発行サーバは、テスト証明書発行要求の受信に応じて、キーペア生成手段を作動させてテスト証明書生成用の公開鍵と秘密鍵とのキーペアを生成する。そして、テスト証明書発行要求に含まれるコモンネームと生成した公開鍵とを含む公開鍵証明書の形式のデータを生成する。そして、生成したデータについて秘密鍵を用いてデジタル署名を行ってテスト証明書を生成する。生成したテスト証明書及び秘密鍵を登録サーバに送信する。

　登録サーバは、受信したテスト証明書及び秘密鍵を暗号化ファイルに変換して対応するWebサーバに送信する。その後、前述した第３実施例の処理手順が実行される。このように、テスト証明書を生成するためのキーペアは、テスト証明書発行サーバにおいて生成することも可能である。尚、テスト証明書発行サーバは、テスト証明書発行要求を受信する毎にキーペアを生成するのではなく、テスト証明書を生成するためにだけ用いられる専用の固定されたキーペアを有し、固定されたキーペアを用いてテスト証明書を生成することも可能である。

　図１３及び図１４は、本発明によるサーバ証明書発行システムの第５実施例を示す。図１３はWebサーバ、登録サーバ及び証明書発行サーバ間の処理手順を示し、図１４は登録サーバのコンピュータシステムを示す。本例では、登録サーバが本人認証に用いられるテスト証明書を生成する。尚、本例は、テスト証明書発行機関が設立されていないサーバ証明書発行システムに適用されるだけでなく、図１に示すテスト証明書発行機関が設立されているサーバ証明書発行システムにも適用される。登録サーバは、特定の環境下においてサーバ証明書がインストールされるか否か確認するため、公開鍵証明書（SSL証明書）の形態のテスト証明書を発行することが認められている。そこで、本例では、Webサーバ、コミニケーションサーバ又はロードバランサから登録サーバに対してサーバ証明書の発行要求がされた場合、登録サーバにおいてテスト証明書を生成し、生成されたテスト証明書を用いて本人認証を行う。尚、図１４において、図５で用いた構成要素と同一の構成要素には同一符号を付す。

　図１３を参照するに、Webサーバ、コミュニケーションサーバ、又はロードバランサは、キーペア及びCSRを生成する。続いて、当該Webサーバのアドレス情報及びCSRを含むサーバ証明書発行要求を生成し、ネットワークを介して登録サーバに送信する。

　登録サーバは、サーバ証明書発行要求の受信に応じて、一連の処理を行った後、テスト証明書生成手段１０１によりテスト証明書を生成する。すなわち、テスト証明書生成手段１０１は、受信したサーバ証明書発行要求からCSRを取り出し、登録サーバの秘密鍵を用いてCSRにデジタル署名を行ってテスト証明書を生成する。生成したテスト証明書は、テスト証明書送信手段１０２により対応するWebサーバに送信する。

　テスト証明書を受け取ったWebサーバは、秘密鍵を用いてテスト証明書をインストールする。続いて、インストール完了通知を登録サーバに送信する。

　Webサーバから送られてくるテスト証明書インストール完了通知は、インストール完了通知受信手段５９により受信される。次に、SSLプロトコルアクセス手段６０が作動し、サーバ証明書発行要求に含まれるFQDNのサーバに対してSSLプロトコルによるアクセスが行われる。さらに、テスト証明書検証手段６１が作動し、SSLプロトコルのセッションが確立されるか否か検証されると共にWebサーバにインストールされているテスト証明書の有効性が判断される。検証結果として、SSLセッションが確立されたこと、及びインストールされているテスト証明書の内容と送信したテスト証明書の内容とが一致することが確認できた場合、登録サーバは、当該サーバ証明書発行要求は、有効なサーバ証明書発行要求であると判断する。検証結果として、SSLプロトコルのセッションが確立されない場合、エラーとして処理する。

　サーバ証明書発行要求が有効な場合、受付完了通知送信手段６２が作動し、対応するWebサーバに受付完了通知を送信する。また、CSR送信手段６３が作動し、サーバ証明書発行要求に含まれるCSRが証明書発行サーバに送信される。

　証明書発行サーバは、受信したCSRについてデジタル署名を行ってサーバ証明書を生成し、登録サーバに送信する。登録サーバは、受け取ったサーバ証明書をダウンロード領域に格納し、対応するWebサーバにダウンロードされる。
Webサーバは、秘密鍵を用いてダウンロードされたサーバ証明書をインストールする。

　図１５及び図１６は本発明によるサーバ証明書発行システムの第６の実施例を示す図である。図１５はWebサーバ、登録サーバ及び証明書発行サーバ間の処理手順を示し、図１６は登録サーバのコンピュータシステムを示す。本例では、テスト証明書を生成するために用いられるキーペアを登録サーバにおいて生成する。Webサーバ、コミュニケーションサーバ、又はロードバランサから登録サーバに対してサーバ証明書発行要求を送信する。このサーバ証明書発行システム発行要求は、CSRを含まず、Webサーバ等のコモンネームを含む。

　サーバ証明書発行要求の受信に応じて、テスト証明書を生成するために用いられるキーペアを生成する第１のキーペア生成手段１１０が作動し、テスト証明書を生成するためにだけ用いられるキーペアを生成する。次に、テスト証明書生成手段１１１が作動してテスト証明書を生成する。テスト証明書生成手段は、サーバ証明書発行要求に含まれるコモンネームと生成された公開鍵を用いてＸ．５０９の規格に基づいて公開鍵証明書の形式のデータを生成し、少なくともコモンネームと公開鍵を含む公開鍵証明書の形態のデータを生成する。次に、生成された証明書の形態のデータに対して登録機関の秘密鍵を用いてデジタル署名を行いテスト証明書を生成する。生成されたテスト証明書及び対応する秘密鍵は、テスト証明書送信手段１１２により対応するWebサーバに送信される。

　Webサーバは、受信したテスト証明書を秘密鍵を用いてインストールする。そして、インストール完了通知を登録サーバに送信する。

　登録サーバは、インストール完了通知の受信に応じて、SSLプロトコルでアクセスし、インストールされているテスト証明書を検証する。検証の結果として、SSLプロトコルのセッションが確立され、且つ、インストールされているテスト証明書の内容と送信したテスト証明書の内容とが一致することが確認できた場合、登録サーバは、当該サーバ証明書発行要求は、有効なサーバ証明書発行要求であると判断する。そして、登録サーバは、Webサーバに対して受付完了通知を送信する。

　続いて、登録サーバのサーバ証明書生成用のキーペアを生成する第２のキーペア生成手段１１３が作動してCSRを生成するためのキーペアが生成される。さらに、CSR生成手段１１４が作動してCSRを生成する。続いて、CSR送信手段１１５が作動し、生成されたCSRを証明書発行サーバに送信する。その後、実施例４で説明した手順にしたがって処理が行われる。

本発明は上述した実施例だけに限定されず、種々の変更や変形が可能である。上述した実施例では、入力画面情報入力手段、キーペア生成手段、CSR生成手段、及びランダム検証ページ生成手段をコントロールパネルに実装した実施例について説明したが、これらの手段がWebサーバに実装され、コントロールパネルに実装されていない場合についても適用される。
さらに、上述した実施例では、１台のWebサーバを単一の者が管理する場合について説明したが、１台のWebサーバを複数の者が共用する共用型のWebサーバについても適用可能である。

さらに、上述した実施例では、Webサーバに搭載されているコントロールパネルの制御のもとでサーバ証明書の発行申込から証明書のインストールまでの処理を行った。しかし、上述したSSL証明書発行管理プログラムをWebサーバに直接構築することも可能であり、或いは、プラグイン方式により追加の機能としてWebサーバに構築することも可能である。

　１　ネットワーク
２ａ～２ｎ　ユーザ端末
　３ａ～３ｍ　Webサーバ
　４　コミュニケーションサーバ
　５　ホスティング事業者
　２０，５０　通信手段
　２１　コントロールパネル
　２２　メール機能部
　２３　Web機能部
　２４　データベース
　２５　SSL証明書発行管理プログラム
　３０　入力画面情報生成手段
　３１　キーペア生成手段
　３２　CSR生成手段
　３３　サーバ証明書発行要求生成手段
　３４　応答手段
　３５　テスト証明書インストール手段
　３６　テスト証明書消去手段
　３７　ステータス照会手段
　３８　ダウンロード要求手段
　３９　サーバ証明書格納手段
　４０　インストール手段
　５１　サーバ証明書発行要求受信手段
　５２　ＩＤ付与手段
　５３　記憶手段
　５４　審査手段
　５５　テスト証明書発行要求生成手段
　５６　テスト証明書発行要求送信手段
　５７　テスト証明書受信手段
　５８　テスト証明書送信手段
　５９　インストール完了通知受信手段
　６０　SSLプロトコルアクセス手段
　６１　テスト証明書検証手段
　６２　受付完了通知送信手段
　６３　CSR送信手段
　６４　サーバ証明書受信手段
　６５　ダウンロード領域
　６６　証明書ステージ照会受信手段
　６７　ステータス応答送信手段
　６８　証明書ダウンロード要求受信手段
　６９　サーバ証明書ダウンロード手段

Claims

登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバと、試験用のテスト証明書を発行するテスト証明書発行機関により管理され、ネットワークを介して登録サーバから送られてくるテスト証明書発行要求を受信し、テスト証明書を発行するテスト証明書発行サーバとを具えるサーバ証明書発行システムであって、
前記Webサーバ、コミュニケーションサーバ又はロードバランサは、自己のアドレス情報を含むサーバ証明書発行要求を生成する手段と、生成したサーバ証明書発行要求をネットワークを介して前記登録サーバに送信する手段と、前記テスト証明書発行サーバにより生成され、本人認証のために登録サーバから送られてくるテスト証明書をインストールする手段とを有し、
前記登録サーバは、前記Webサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受信する手段と、サーバ証明書発行要求の受信に応じて、前記テスト証明書発行サーバに対してテスト証明書発行要求を送信する手段と、テスト証明書発行サーバにより生成されたテスト証明書を受信し、受信したテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する手段と、前記サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスして、当該サーバ又はロードバランサにインストールされているテスト証明書を検証する検証手段と、署名要求ファイルを証明書発行サーバに送信する手段とを有し、
前記テスト証明書発行サーバは、登録サーバから送られてくるテスト証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成する手段と、生成されたテスト証明書を前記登録サーバに送信する手段とを有し、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効であると認定することを特徴とするサーバ証明書発行システム。
請求項１に記載のサーバ証明書発行システムにおいて、前記登録サーバは、サーバ証明書発行要求を有効であると認定した場合、前記署名要求ファイルを証明書発行サーバに送信することを特徴とするサーバ証明書発行システム。
請求項１又は２に記載のサーバ証明書発行システムにおいて、前記登録サーバからテスト証明書発行サーバに送信されるテスト証明書発行要求は、署名要求ファイル（CSR）を含み、
　前記テスト証明書発行サーバは、受信したテスト証明書発行要求に含まれるCSRについてデジタル署名を行うことによりテスト証明書を生成することを特徴とするサーバ証明書発行システム。
請求項３に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、さらに、公開鍵と秘密鍵とのキーペアを生成する手段と、生成された公開鍵を含むCSRを生成する手段とを有し、
　生成されたCSRは前記サーバ証明書発行要求に含められて登録サーバに送信され、前記登録サーバは、前記テスト証明書発行サーバに対してCSRを含むテスト証明書発行要求を送信することを特徴とするサーバ証明書発行システム。
請求項４に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、主としてWeb及びメールの設定及び管理を行うコントロールパネルを有し、前記公開鍵と秘密鍵とのキーペアを生成する手段、CSRを生成する手段、サーバ証明書発行要求を生成する手段、及び、発行されたサーバ証明書をインストールする手段は、前記コントロールパネルに実装されていることを特徴とするサーバ証明書発行システム。
請求項３に記載のサーバ証明書発行システムにおいて、前記登録サーバは、さらに、公開鍵と秘密鍵とのキーペアを生成する手段と、生成された公開鍵を含むCSRを生成する手段とを有し、生成されたCSRを含むテスト証明書発行要求をテスト証明書発行サーバに送信することを特徴とするサーバ証明書発行システム。
請求項６に記載のサーバ証明書発行システムにおいて、前記登録サーバは、テスト証明書発行サーバから送信されてきたテスト証明書を受信した際、受信したテスト証明書と共に生成された秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　前記Webサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項７に記載のサーバ証明書発行システムにおいて、前記サーバ証明書発行要求はパスワードを含み、前記登録サーバは、テスト証明書及び秘密鍵を前記パスワードを用いて暗号化し、生成した暗号化ファイルを対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、受信した暗号化ファイルを前記パスワードを用いて復号化し、受取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１又は２に記載のサーバ証明書発行システムにおいて、前記登録サーバは、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを有し、
　当該登録サーバは、サーバ証明書発行要求の受信に応じて、テスト証明書生成用の公開鍵及びサーバ証明書発行要求に含まれるコモンネームを含むテスト証明書発行要求をテスト証明書発行サーバに送信し、
　テスト証明書発行サーバは、受信したテスト証明書発行要求に含まれる公開鍵とコモンネームを用いてテスト証明書を生成し、
　前記登録サーバは、テスト証明書の受信に応じて、受信したテスト証明書及び対応する秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１又は２に記載のサーバ証明書発行システムにおいて、さらに、前記登録サーバは、テスト用証明書生成用の公開鍵と秘密鍵とのキーペアを生成する手段を有し、
　当該登録サーバは、サーバ証明書発行要求の受信に応じてキーペアを生成し、生成した公開鍵及びサーバ証明書発行要求に含まれるコモンネームを含むテスト証明書発行要求をテスト証明書発行サーバに送信し、
　テスト証明書発行サーバは、受信したテスト証明書発行要求に含まれる公開鍵とコモンネームを用いてテスト証明書を生成し、
　前記登録サーバは、テスト証明書の受信に応じて、受信したテスト証明書及び秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１又は２に記載のサーバ証明書発行システムにおいて、前記テスト証明書発行サーバは、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを生成する手段を有し、生成された公開鍵とテスト証明書発行要求に含まれるコモンネームとを用いてテスト証明書を生成し、生成したテスト証明書及び秘密鍵を前記登録サーバに送信し、
　登録サーバは、テスト証明書の受信に応じて、当該テスト証明書及び秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１から１１までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、インストールされたテスト証明書を消去する手段を有し、登録サーバから受付完了通知又はエラー処理の通知を受取った際、インストールされているテスト証明書を消去することを特徴とするサーバ証明書発行システム。
請求項１から１２までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、登録サーバに対して証明書の発行状況を問い合わせるステータス照会手段を有し、登録サーバにより付与された申込ＩＤをキーとして登録サーバに対してステータス照会を周期的に実行することを特徴とするサーバ証明書発行システム。
請求項１３に記載のサーバ証明書発行システムにおいて、前記登録サーバは、さらに、証明書発行サーバから送られてきたサーバ証明書を受信する手段と、受信したサーバ証明書をダウンロード領域に格納する手段と、前記Webサーバ、コミュニケーションサーバ又はロードバランサから送られてきたステータス照会に対して応答する手段と、ダウンロード領域に格納されているサーバ証明書を対応するサーバ又はロードバランサにダウンロードするダウンロード手段とを有し、
前記登録サーバは、前記ステータス照会を受信した際、対応するサーバ証明書がダウンロード領域に格納されているか否かを確認し、サーバ証明書が格納されている場合、当該ステータス照会に対する応答として、ダウンロード領域に格納されているサーバ証明書を対応するサーバにダウンロードし、サーバ証明書の発行申込から発行されたサーバ証明書をダウンロードするまでの処理を、一連の処理として自動的に実行することを特徴とするサーバ証明書発行システム。
請求項１から１４までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサの管理者は、端末及びネットワークを介して自己が管理するサーバにアクセスし、サーバ証明書の発行申込情報を入力するための入力画面を呼出し、入力画面に必要な申込事項を入力することを特徴とするサーバ証明書発行システム。
請求項１から１４までのいずれか１項に記載のサーバ証明書発行システムにおいて、前記Webサーバの管理がホスティング事業者に委託されており、ホスティング事業者がユーザからサーバ証明書の申込を依頼された場合、委託を受けたホスティング事業者は、対応するWebサーバにアクセスし、サーバ証明書の申込情報を入力することを特徴とするサーバ証明書発行システム。
登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバとを具えるサーバ証明書発行システムであって、
前記Webサーバ、コミュニケーションサーバ又はロードバランサは、自己のアドレス情報を含むサーバ証明書発行要求を生成する手段と、生成したサーバ証明書発行要求をネットワークを介して前記登録サーバに送信する手段と、本人認証のために登録サーバから送られてくるテスト証明書をインストールする手段とを有し、
前記登録サーバは、前記Webサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受信する手段と、サーバ証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成する手段と、生成されたテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する手段と、前記サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスして、当該サーバ又はロードバランサにインストールされているテスト証明書を検証する検証手段と、署名要求ファイルを証明書発行サーバに送信する手段とを有し、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、受信したサーバ証明書発行システム発行要求を有効なものであると認定することを特徴とするサーバ証明書発行システム。
請求項１７に記載のサーバ証明書発行システムにおいて、前記登録サーバは、サーバ証明書発行要求を有効であると認定した場合、前記署名要求ファイルを証明書発行サーバに送信することを特徴とするサーバ証明書発行システム。
請求項１７又は１８に記載のサーバ証明書発行システムにおいて、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、さらに、公開鍵と秘密鍵とのキーペアを生成する手段と、生成された公開鍵を含むCSRを生成する手段とを有し、
　前記CSRは前記サーバ証明書発行要求と共に登録サーバに送信され、
　前記登録サーバは、受信したサーバ証明書発行要求に含まれるCSRについてデジタル署名することによりテスト証明書を生成し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、前記秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１７又は１８に記載のサーバ証明書発行システムにおいて、前記登録サーバは、さらに、公開鍵と秘密鍵とのキーペアを生成する手段と、生成された公開鍵を含むCSRを生成する手段とを有し、
　当該登録サーバは、サーバ証明書発行要求の受信に応じて前記キーペア及びCSRを生成し、生成されたCSRについてデジタル署名を行うことによりテスト証明書を生成し、生成されたテスト証明書及び秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１７又は１８に記載のサーバ証明書発行システムにおいて、前記登録サーバは、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを有し、テスト証明書生成用の公開鍵とサーバ証明書発行要求に含まれるWebサーバ、コミュニケーションサーバ又はロードバランサのコモンネームとを用いてテスト証明書を生成し、生成されたテスト証明書及び秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項１７又は１８に記載のサーバ証明書発行システムにおいて、前記登録サーバは、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを生成する手段を有し、生成された公開鍵とサーバ証明書発行要求に含まれるWebサーバ、コミュニケーションサーバ又はロードバランサのコモンネームとを用いてテスト証明書を生成し、生成されたテスト証明書及び秘密鍵を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受け取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
請求項２０、２１又は２２に記載のサーバ証明書発行システムにおいて、前記サーバ証明書発行要求はパスワードを含み、前記登録サーバは、テスト証明書及び生成された秘密鍵を前記パスワードを用いて暗号化し、生成した暗号化ファイルを対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信し、前記Webサーバ、コミュニケーションサーバ又はロードバランサは、受信した暗号化ファイルを前記パスワードを用いて復号化し、受取った秘密鍵を用いてテスト証明書をインストールすることを特徴とするサーバ証明書発行システム。
登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバと、試験用のテスト証明書を発行するテスト証明書発行機関により管理され、ネットワークを介して登録サーバから送られてくるテスト証明書発行要求を受取り、テスト証明書を発行するテスト証明書発行サーバとを具えるサーバ証明書発行システムにおいて実施される本人認証方法であって、
　前記登録サーバは、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求の受信に応じて、テスト証明書発行要求を生成し、生成されたテスト証明書をテスト証明書発行サーバに送信する工程と、
　前記テスト証明書発行サーバは、テスト証明書発行要求の受信に応じて、
公開鍵証明書のフォーマット形式のテスト証明書を生成し、生成したテスト証明書を前記登録サーバに送信する工程と、
　前記登録サーバは、受信したテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する工程と、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受信したテスト証明書をインストールする工程と、
　前記登録サーバは、受信したサーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証する工程とを具え、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効なものと認定することを特徴とする本人認証方法。
請求項２４に記載の本人認証方法において、前記登録サーバからテスト証明書発行サーバに送信されるテスト証明書発行要求は、前記Webサーバ、コミュニケーションサーバ、ロードバランサ、又は登録サーバにより生成された署名要求ファイル（CSR）を含み、
　前記テスト証明書発行サーバは、受信したテスト証明書発行要求に含まれるCSRについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。
請求項２４に記載の本人認証方法において、前記テスト証明書発行要求は、前記Webサーバ、コミュニケーションサーバ又はロードバランサのコモンネームと、登録サーバにより生成された公開鍵とを含み、
　前記テスト証明書発行サーバは、受信したテスト証明書発行要求に含まれるコモンネーム及び公開鍵を含むデータについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。
請求項２４に記載の本人認証方法において、前記テスト証明書発行サーバにおいて、テスト証明書発行要求の受信に応じて、公開鍵と秘密鍵とのキーペアを生成する工程を有し、
　前記テスト証明書発行サーバは、生成した公開鍵とテスト証明書発行要求に含まれるコモンネームとを含むデータについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。
登録機関により管理され、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求を受取り、署名要求ファイルを発行機関に送信する登録サーバと、発行機関により管理され、ネットワークを介して登録サーバから送られてくる署名要求ファイルを受け取り、デジタル署名を行ってサーバ証明書を生成し、生成されたサーバ証明書を前記登録サーバに送信する証明書発行サーバとを具えるサーバ証明書発行システムにおいて実施される本人認証方法であって、
　前記登録サーバは、ネットワークを介してWebサーバ、コミュニケーションサーバ又はロードバランサから送られてくるサーバ証明書発行要求の受信に応じて、公開鍵証明書のフォーマット形式のテスト証明書を生成し、生成されたテスト証明書を対応するWebサーバ、コミュニケーションサーバ又はロードバランサに送信する工程と、
　テスト証明書を受信したWebサーバ、コミュニケーションサーバ又はロードバランサは、受信したテスト証明書をインストールする工程と、
　前記登録サーバは、受信したサーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサに対してSSLプロトコルでアクセスし、SSLプロトコルのセッションが確立されるか否かを検証する工程とを具え、
前記登録サーバは、サーバ証明書発行要求に含まれるアドレスのWebサーバ、コミュニケーションサーバ又はロードバランサにアクセスした際、SSLプロトコルのセッションが確立され、且つ、送信したテスト証明書に含まれる証明書情報とインストールされているテスト証明書に含まれる証明書情報とが一致する場合、前記サーバ証明書発行要求を有効なものと認定することを特徴とする本人認証方法。
請求項２８に記載の本人認証方法において、前記サーバ証明書発行要求は、前記Webサーバ、コミュニケーションサーバ又はロードバランサにより生成された署名要求ファイル（CSR）を含み、前記登録サーバは、受信したサーバ証明書発行要求に含まれるCSRについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。
請求項２８に記載の本人認証方法において、前記登録サーバは、前記サーバ証明書発行要求の受信に応じて、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを生成し、サーバ証明書発行要求に含まれるコモンネームと前記生成された公開鍵とを含むデータについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。
請求項２８に記載の本人認証方法において、前記登録サーバは、テスト証明書を生成するために用いられる公開鍵と秘密鍵とのキーペアを有し、前記サーバ証明書発行要求の受信に応じて、サーバ証明書発行要求に含まれるコモンネームと前記公開鍵とを含むデータについてデジタル署名を行うことによりテスト証明書を生成することを特徴とする本人認証方法。