WO2011055486A1 - アクセス制御システム、通信端末、サーバ、およびアクセス制御方法 - Google Patents
アクセス制御システム、通信端末、サーバ、およびアクセス制御方法 Download PDFInfo
- Publication number
- WO2011055486A1 WO2011055486A1 PCT/JP2010/005970 JP2010005970W WO2011055486A1 WO 2011055486 A1 WO2011055486 A1 WO 2011055486A1 JP 2010005970 W JP2010005970 W JP 2010005970W WO 2011055486 A1 WO2011055486 A1 WO 2011055486A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- request
- content
- authentication
- server
- information
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/102—Entity profiles
Definitions
- the web server can determine the client terminal by referring to the UA. Specifically, it is possible to determine the type of web browser program being used (hereinafter also simply referred to as web browser or browser) and the model name of the client terminal. However, for example, it is not possible to determine which application is an application that runs on a web browser, such as a web application.
- a method of notifying the result of the authentication processing performed by the client terminal can be considered.
- the client terminal performs an authentication process for determining whether or not the application provided by the web server A is reliable by verifying an SSL (Secure Sockets Layer) certificate transmitted from the web server A.
- the application transmits the result of the authentication process to the access destination server B.
- the web server B can determine whether it is a connection request from a reliable application based on the transmitted authentication result, and can perform access restriction (connection process restriction).
- Patent Document 1 uses an access control server for determining whether or not connection to a service providing server is possible, there is a problem that it is expensive to install and manage the system. Further, the system described in Patent Literature 1 determines whether or not connection to a service providing server is possible for each user, and the web server originally permits connection by an application used by the user who is permitted to connect. Access that is not intended to be performed may occur.
- a communication terminal is a communication terminal that requests a server to execute processing via a communication network, performs authentication processing of the content using an electronic certificate attached to the content, and authenticates by authentication processing.
- Authentication means that indicates that the authenticated content is authenticated by the authentication processing and manages the authentication information that is information based on the electronic certificate in association with each other, and the request content information that indicates the content authentication information and the processing requested to the server Including a request means for transmitting a request including a request to a server that executes processing in accordance with content authentication information and request content information.
- a communication terminal is a communication terminal that requests a server to execute processing via a communication network, and performs authentication processing of the content using an electronic certificate attached to the content.
- the authentication means for managing the content authenticated by the authentication processing and the authentication information of the content indicating that the content has been authenticated by the authentication processing in association with the authentication information
- Verification means for verifying whether or not the electronic certificate used in the content authentication process is a predetermined electronic certificate
- the electronic certificate used by the verification means in the authentication process is a predetermined electronic certificate
- a request including content authentication information and request content information indicating processing requested from the server is applied to the content authentication information and request content information. Characterized by comprising a request unit that transmits to a server that executes processing Te.
- the access control system includes a communication terminal 2 and a server 3, and an application server 1 is connected to the communication terminal 2.
- the communication terminal 2 is also connected to the server 3.
- the application server 1 includes an application storage unit 11 in which an application 12 that is an application program provided to the communication terminal 2 is stored.
- the application 12 is downloaded by the communication terminal 2.
- the certificate verification process is, for example, a process of determining whether or not a certificate stored in the certificate storage unit 24 matches a certificate added to the application 12. Note that the certificate verification process may be performed by other methods.
- FIG. 4 is a flowchart showing request processing.
- the case where the communication terminal 2 accesses the server 3 based on the program control of the application 12 downloaded by the communication terminal 2 in the process of step S21 described above (when the connection request (access request) is made) will be described as an example.
- the request execution unit 27 sends an instruction (hereinafter simply referred to as an access request) to make an access request to the server 3 based on the program control of the application 12 while the application execution unit 27 is executing the application 12 stored in the application storage unit 22. (Step S41).
- the request unit 26 Upon receiving the access request, the request unit 26 acquires authentication information corresponding to the application 12 from the authentication information storage unit 25 (step S42). Specifically, it tries to acquire authentication information. In the example shown in FIG. 3, since authentication information associated with the URL of the application 12 is stored in the authentication information storage unit 25 (Yes in step S43), the ID of the application 12 (specifically, the application 12 The hash value of the certificate, which is the authentication information, is obtained using the URL indicating the storage location of the certificate as a key. After obtaining the authentication information, the request unit 26 adds the authentication information to the access request (step S44), and transmits the request (access request information) to the server 3 (step S45).
- FIG. 5 is an explanatory diagram illustrating an example of access request information according to the present embodiment.
- FIG. 6 is a flowchart showing the request authentication process.
- the request reception means 31 receives an access request (specifically, access request information) from the communication terminal 2 (step S61), passes the access request information to the request authentication means 32, and performs verification (step S62).
- an access request specifically, access request information
- the request authentication unit 32 extracts the authentication information from the access request information, and confirms whether or not it matches the certificate stored in the certificate storage unit 33 in advance.
- the request authentication unit 32 since the hash value of the certificate is included as the authentication information in the access request information, the request authentication unit 32 stores the certificate stored in the certificate storage unit 33 in advance. A hash value is calculated, and it is confirmed whether or not the hash value of the calculation result matches the hash value indicated by the authentication information.
- Step S64 since the hash value included in the access request information matches the hash value of the certificate issued by the certification authority a (CA_1), access to the data001 by the application 12 is permitted (Step S64). Yes).
- the request receiving unit 31 retrieves the data (data001) from the service storage unit 34 (step S65) and returns a response to the communication terminal 2 (step S66). Specifically, the extracted data (data001) is transmitted to the communication terminal 2.
- FIG. 13 is an explanatory diagram showing an example of the hash value of the root certificate issued by each certification authority.
- the hash value of the certificate is calculated in advance as shown in FIG. 13, and each hash value is associated with the ID of the CA that issued the certificate. According to this, since the hash value indicated by the authentication information transmitted from the communication terminal 2 matches the hash value of CA_1, the request source application (the application server 1 storing the request source) is surely approved by CA_1. I understand that.
- a present Example was targeting web application, it is not restricted to this.
- it can be applied to a JAVA (registered trademark) application.
- JAVAVM Java Virtual Machine
- JAVA Virtual Machine which is the execution environment of the JAVA application, authenticates the application and manages the certificate associated with the application.
- JAVAVM Java Virtual Machine
- it can be realized by JAVAVM detecting it, adding a hash value of a certificate corresponding to the request and transmitting it to the server.
- the process execution unit 104 executes the process when the access control unit 103 determines to execute the process indicated by the request content information.
- An access control system in which the verification means verifies whether the electronic certificate used in the content authentication process matches the electronic certificate stored in the storage means in advance. According to such a configuration, when the communication terminal 200 accesses the server 100, the server 100 can determine whether or not the content of the access source is authenticated by the originally installed certificate. Therefore, it is not necessary to perform authentication processing on the server 100 side, and the processing load on the server 100 can be reduced.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
通信端末の端末認証手段は、コンテンツと当該コンテンツの認証情報を対応付けて管理する。コンテンツの実行動作に伴ってのサーバにアクセスする場合に、リクエスト手段は、コンテンツに対応付けられた認証情報含むリクエストをサーバに送信する。サーバは、通信端末からのリクエストを受け、サーバ認証手段によってリクエストの認証を行う。アクセス制御手段は、ポリシ情報格納手段に格納されているポリシ情報とにもとづきアクセス制御を行う。
Description
本発明は、アクセス制御システム、通信端末、サーバ、およびアクセス制御方法に関し、特に通信ネットワークを介したサービスの提供に適用することができるアクセス制御システム、通信端末、サーバ、およびアクセス制御方法に関する。
インターネットを介して、多くのウェブサービスが提供されている。サーバ（ウェブサーバ）は、クライアント端末の要求に応じてサービスを提供する。提供するサービスは、具体的には、例えば、ウェブサイトによる情報提供、ウェブアプリケーション（アプリケーションプログラム）の提供、その他情報の提供などである。ウェブサーバには、クライアント端末ごとに表示レイアウトの変更やサービスの提供可否を決定しているものがある。
クライアント端末の判別手段として、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）のリクエストヘッダに付与されるユーザエージェント（Ｕｓｅｒ Ａｇｅｎｔ：ＵＡ）がよく利用されている。
ウェブサーバは、ＵＡを参照することでクライアント端末を判別できる。具体的には、使用されているウェブブラウザプログラム（以下、単にウェブブラウザやブラウザともいう）の種類や、クライアント端末の機種名を判別できる。しかし、例えば、ウェブアプリケーションのようにウェブブラウザ上で動作するアプリケーションがいずれのアプリケーションであるのかを判定することはできない。
このため、ウェブサーバは、信頼できるアプリケーションにはサービスを提供するがそれ以外には提供しない、などの判断をすることができない。そのような判断を可能にするためには、クライアント端末で動作するアプリケーションからウェブサーバにアクセスする際、すなわち、例えば、クライアント端末が、搭載しているアプリケーションプログラムの制御に従って、インターネットを介してウェブサーバに接続要求を行った際、クライアント端末からウェブサーバに対して要求元アプリケーションの素性を通知する仕組みが必要となる。なお、アプリケーションの素性とは、例えば、当該アプリケーションの出所（具体的には、例えば、当該アプリケーションの作成者や、当該作成者を認証した機関）のことである。
アプリケーションの素性確認は、認証処理によって行われ、認証処理にはアプリケーションに付与されている署名を用いることが多い。認証処理では、署名に用いられた証明書が信頼できる認証機関（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ：ＣＡ）によって発行されたものかを検証し、それをもってアプリケーションが信頼できるか否かを判断する。信頼できるＣＡであるか否かは、一般に、ルート証明書と呼ばれる大元の認証機関の証明書によって判断される。
そして、ウェブサーバに対してアプリケーションの素性を通知する方法として、クライアント端末が行った認証処理の結果を通知するという方法が考えられる。例えば、クライアント端末が、ウェブサーバＡから送信されたＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）証明書を検証することによってウェブサーバＡが提供するアプリケーションが信頼できるか否かを判定する認証処理を行う。そして、アプリケーションがアクセス先のサーバＢに認証処理の結果を送信する。ウェブサーバＢは、送信された認証結果にもとづいて、信頼できるアプリケーションからの接続要求であるか否かを判断し、アクセス制限（接続処理の制限）を行うことができる。
特許文献１には、サービス提供サーバへの接続の可否を判断するアクセス制御サーバを備えたシステムが記載されている。
ウェブブラウザが保持するルート証明書はユーザによって追加可能であるので、前述したウェブサーバにアプリケーションの素性を通知する方法では、ルート証明書等の情報がウェブサーバにとっては信頼できない情報である場合がある。しかし、そのような追加されたルート証明書によってアプリケーションの認証処理が行われた場合であっても、クライアント端末はアプリケーションを信頼できるものとして認証してしまう。すると、クライアント端末に搭載された当該アプリケーションによるウェブサーバへの要求は、信頼できるアプリケーションからの要求として当該ウェブサーバに認識されてしまうので、ウェブサーバが本来接続を許可することを意図していないアクセスが行われてしまうおそれがある。つまり、ルート証明書が追加された場合には、ウェブサーバが本来拒絶すべき接続要求が許可されてしまうおそれがある。
なお、特許文献１に記載されているシステムは、サービス提供サーバへの接続の可否を判断するためのアクセス制御サーバを用いるので、システムの導入および管理に費用がかかるという問題がある。また、特許文献１に記載されているシステムは、ユーザごとにサービス提供サーバへの接続の可否を判断しており、接続が許可されているユーザが使用するアプリケーションによって、ウェブサーバが本来接続を許可することを意図していないアクセスが行われてしまうおそれがある。
本発明は、サーバが接続を許可することを意図していないアプリケーションからのアクセスの要求に対して、アクセスを許可しないようにすることができるアクセス制御システム、通信端末、サーバ、およびアクセス制御方法を提供することを目的とする。
本発明によるアクセス制御システムは、サーバ、およびサーバに通信ネットワークを介して接続される通信端末を備えたアクセス制御システムであって、通信端末は、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理する端末認証手段と、サーバにアクセスする場合に、当該コンテンツの認証情報と、サーバに要求する処理を示す要求内容情報とを含むリクエストをサーバに送信するリクエスト手段とを含み、サーバは、通信端末が送信したリクエストに含まれる認証情報および要求内容情報にもとづいて、リクエストに応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、通信端末が送信したリクエストに含まれる認証情報にもとづいてリクエストの認証を行うサーバ認証手段と、サーバ認証手段がリクエストを認証した場合に、ポリシ情報格納手段に格納されているポリシ情報と、リクエストに含まれる認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、アクセス制御手段が要求内容情報によって示される処理を実行すると決定した場合に、処理を実行する処理実行手段とを含むことを特徴とする。
本発明による他の態様のアクセス制御システムは、サーバ、およびサーバに通信ネットワークを介して接続される通信端末を備えたアクセス制御システムであって、通信端末は、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理する端末認証手段と、サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証手段と、検証手段が認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、コンテンツの認証情報と、サーバに要求する処理を示す要求内容情報とを含むリクエストをサーバに送信するリクエスト手段とを含み、サーバは、通信端末が送信したリクエストに含まれる認証情報および要求内容情報にもとづいて、リクエストに応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、ポリシ情報格納手段に格納されているポリシ情報と、リクエストに含まれる認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、アクセス制御手段が要求内容情報によって示される処理を実行すると決定した場合に、処理を実行する処理実行手段とを含むことを特徴とする。
本発明による通信端末は、通信ネットワークを介してサーバに処理の実行を要求する通信端末であって、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報である認証情報とを対応付けて管理する認証手段と、コンテンツの認証情報およびサーバに要求する処理を示す要求内容情報を含むリクエストをコンテンツの認証情報および要求内容情報に応じて処理を実行するサーバに送信するリクエスト手段を備えたことを特徴とする。
本発明による他の態様の通信端末は、通信ネットワークを介してサーバに処理の実行を要求する通信端末であって、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるそのコンテンツの認証情報とを対応付けて管理する認証手段と、サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証手段と、検証手段が認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、コンテンツの認証情報と、サーバに要求する処理を示す要求内容情報とを含むリクエストをコンテンツの認証情報および要求内容情報に応じて処理を実行するサーバに送信するリクエスト手段を備えたことを特徴とする。
本発明によるサーバは、通信端末が通信ネットワークを介して送信した要求に応じて処理を実行するサーバであって、通信端末が送信した要求を示す要求内容情報と、通信端末が処理を実行しているコンテンツの電子証明書にもとづく認証情報とにもとづいて、要求に応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、通信端末が送信した認証情報にもとづいて要求の認証を行う認証手段と、認証手段が要求を認証した場合に、ポリシ情報格納手段に格納されているポリシ情報と、認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、アクセス制御手段が要求内容情報によって示される処理を実行すると決定した場合に、処理を実行する処理実行手段とを備えたことを特徴とする。
本発明による他の態様のサーバは、通信端末が通信ネットワークを介して送信した要求に応じて処理を実行するサーバであって、通信端末が送信した要求を示す要求内容情報と、通信端末が処理を実行しているコンテンツの電子証明書にもとづく認証情報とにもとづいて、要求に応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、ポリシ情報格納手段に格納されているポリシ情報と、認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、アクセス制御手段が要求内容情報によって示される処理を実行すると決定した場合に、処理を実行する処理実行手段とを備えたことを特徴とする。
本発明によるアクセス制御方法は、通信端末の要求に応じてサーバが処理を実行するアクセス制御方法であって、通信端末が、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理し、サーバにアクセスする場合に、当該コンテンツの認証情報と、サーバに要求する処理を示す要求内容情報とを含むリクエストをサーバに送信し、サーバが、通信端末が送信したリクエストに含まれる認証情報にもとづいてリクエストを認証する処理を行い、リクエストを認証した場合に、リクエストに応じた処理を実行するか否かを示すポリシ情報と、リクエストに含まれる認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定し、要求内容情報によって示される処理を実行すると決定した場合に、処理を実行することを特徴とする。
本発明による他の態様のアクセス制御方法は、通信端末の要求に応じてサーバが処理を実行するアクセス制御方法であって、通信端末が、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理し、サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証処理を行い、検証処理で、認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、当該コンテンツの認証情報と、サーバに要求する処理を示す要求内容情報とを含むリクエストをサーバに送信し、サーバが、リクエストに応じた処理を実行するか否かを示すポリシ情報と、リクエストに含まれる認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定し、要求内容情報によって示される処理を実行すると決定した場合に、処理を実行することを特徴とする。
本発明によれば、サーバが接続を許可することを意図していないアプリケーションからのアクセスの要求に対して、アクセスを許可しないようにすることができる。つまり、アプリケーションごとにアクセス制御をすることができる。
実施形態１．
本発明による第１の実施形態のアクセス制御システムについて、図面を参照して説明する。図１は、本発明による第１の実施形態のアクセス制御システムの構成例を示すブロック図である。
本発明による第１の実施形態のアクセス制御システムについて、図面を参照して説明する。図１は、本発明による第１の実施形態のアクセス制御システムの構成例を示すブロック図である。
図１に示すように、本発明による第１の実施形態のアクセス制御システムは、通信端末２とサーバ３とを含み、通信端末２にはアプリケーションサーバ１が接続される。なお、通信端末２は、サーバ３にも接続される。
アプリケーションサーバ１は、通信端末２に提供されるアプリケーションプログラムであるアプリケーション１２が格納されたアプリケーション格納部１１を含む。アプリケーション１２は、通信端末２によってダウンロードされる。
通信端末２は、アプリケーション取得手段２１と、アプリケーション格納部２２と、アプリケーション認証手段２３と、証明書格納部２４と、認証情報格納部２５と、リクエスト手段２６と、アプリケーション実行手段２７とを含む。
サーバ３は、リクエスト受付手段３１と、リクエスト認証手段３２と、証明書格納部３３と、サービス格納部３４と、アクセス制御手段３５と、ポリシ格納部３６とを含む。
次に、ブロック図およびフローチャートを参照して本実施形態のアクセス制御システムの動作について説明する。
アクセス制御システムの動作は、（１）通信端末２が実行するアプリケーション認証処理、（２）通信端末２からサーバ３へのリクエスト処理、（３）サーバ３が実行するリクエスト認証処理、の３つの動作に分けられる。以下、本実施形態におけるそれぞれの処理について説明する。
まず、（１）通信端末２が実行するアプリケーション認証処理について、図面を参照して説明する。図２は、アプリケーション認証処理を示すフローチャートである。通信端末２のアプリケーション取得手段２１は、アプリケーションサーバ１からアプリケーション１２をダウンロード（ＤＬ）する（ステップＳ２１）。
アプリケーション１２に証明書が付加されている場合（ステップＳ２２のＹｅｓ）、アプリケーション認証手段２３は、証明書検証処理（認証処理）を行う（ステップＳ２３）。なお、証明書（電子証明書）とは、例えば、ＣＡ等が電子的な方法で署名した電子データである。証明書には、例えば、証明書保持者名、証明書保持者の公開鍵、ＣＡのＩＤ、およびＣＡによる電子署名などが含まれる。
証明書検証処理は、例えば、証明書格納部２４に格納されている証明書と、アプリケーション１２に付加されている証明書とが合致するか否かを判断する処理である。なお、他の方法によって証明書検証処理が行われてもよい。
アプリケーション認証手段２３は、ステップＳ２３における証明書検証処理で、証明書格納部２４に格納されている証明書と、アプリケーション１２に付加されている証明書とが合致すると判断した場合に（ステップＳ２４のＹｅｓ）、認証情報格納部２５に検証結果として認証情報を格納する（ステップＳ２５）。具体的には、アプリケーション認証手段２３は、認証情報格納部２５に、アプリケーション情報と認証情報とを対応付けて格納する。認証情報は、証明書格納部２４に格納されている証明書とアプリケーション１２に付加されている証明書とが合致すると判断された場合に、認証情報格納部２５に検証結果として格納されるので、認証情報が認証情報格納部２５に格納されているということは、当該認証情報に対応付けられているアプリケーション情報によって示されるアプリケーションが証明書検証処理（認証処理）で認証されたということである。
図３は、認証情報格納部２５に対応付けられて格納されているアプリケーション情報と検証結果との例を示す説明図である。図３に示す例では、アプリケーション情報は、アプリケーション１２の格納場所を示すＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）である。また、図３に示す例では、認証情報は、アプリケーション１２に付加されていた証明書のハッシュ値である。図３に示す例では、アプリケーション情報は「ｈｔｔｐ：／／ａｐｐｓｅｒｖｅｒ１／ａｐｐ１２」である。図３に示す例では、認証情報であるハッシュ値は「９２ｑ８ｓｌｄｋｆｊｄ０３８ｕ」である。そして、図３には、アプリケーション１２のアプリケーション情報であるアプリケーション１２の格納場所を示すＵＲＬと、アプリケーション１２に付加されていた証明書のハッシュ値とが対応付けられて認証情報格納部２５に格納されていることが示されている。本例では、認証情報は、アプリケーション１２に付加されていた証明書のハッシュ値である。
そして、アプリケーション取得手段２１は、ステップＳ２１の処理でアプリケーションサーバ１からダウンロードしたアプリケーション１２をアプリケーション格納部２２に格納する（ステップＳ２６）。
次に、（２）通信端末２からサーバ３へのリクエスト処理について説明する。図４は、リクエスト処理を示すフローチャートである。上述したステップＳ２１の処理で通信端末２がダウンロードしたアプリケーション１２のプログラム制御にもとづいて、通信端末２がサーバ３にアクセスする場合（接続要求（アクセス要求）する場合）を例に説明する。アプリケーション実行手段２７が、アプリケーション格納部２２に格納されているアプリケーション１２の実行中に、アプリケーション１２のプログラム制御にもとづいてサーバ３にアクセス要求を行う指示（以下、単にアクセス要求という）をリクエスト手段２６に出力する（ステップＳ４１）。
リクエスト手段２６は、アクセス要求を受け取ると、認証情報格納部２５からアプリケーション１２に対応する認証情報を取得する（ステップＳ４２）。具体的には、認証情報の取得を試みる。図３に示す例では、認証情報格納部２５に、アプリケーション１２のＵＲＬに対応付けられた認証情報が格納されているので（ステップＳ４３のＹｅｓ）、アプリケーション１２のＩＤ（具体的には、アプリケーション１２の格納場所を示すＵＲＬ）をキーとして認証情報である証明書のハッシュ値を得る。リクエスト手段２６は、認証情報取得後、アクセス要求に認証情報を付加し（ステップＳ４４）、サーバ３にリクエスト（アクセス要求情報）を送信する（ステップＳ４５）。図５は、本実施形態のアクセス要求情報の例を示す説明図である。図５に示す例では、アクセス要求情報には、要求元のアプリケーションＩＤ（アプリケーション１２のＵＲＬ）、要求する内容（要求内容情報）、認証情報が含まれる。図５に示す例では、アクセス要求情報は、アプリケーション１２がサーバ３にｄａｔａ００１の送信を要求する情報である。
次に、（３）サーバ３が実行するリクエスト認証処理について、図面を参照して説明する。図６は、リクエスト認証処理を示すフローチャートである。リクエスト受付手段３１は、通信端末２からのアクセス要求（具体的には、アクセス要求情報）を受け（ステップＳ６１）、リクエスト認証手段３２にアクセス要求情報を渡し、検証を行う（ステップＳ６２）。
リクエスト認証手段３２は、アクセス要求情報から認証情報を取り出し、証明書格納部３３に予め格納されている証明書と合致するか否かを確認する。本例では、図５に示すように、アクセス要求情報に認証情報として証明書のハッシュ値が含まれているので、リクエスト認証手段３２は、証明書格納部３３に予め格納されている証明書のハッシュ値を計算し、計算結果のハッシュ値と認証情報によって示されるハッシュ値とが合致するか否かを確認する。
ここでは、認証情報によって示されるハッシュ値が証明書格納部３３に予め格納されている認証機関ａ（ＣＡ＿１）によって発行された証明書のハッシュ値と合致したこととする。その後、アクセス制御手段３５は、ポリシ格納部３６に格納されているポリシを参照して、アクセス可否の判定を行う（ステップＳ６３）。なお、ポリシ（ポリシ情報）とは、どの認証機関が発行した証明書を有するアプリケーションに、どのデータへのアクセスを許可するのかを示す情報である。ポリシ格納部３６には、認証機関のＩＤ（例えば、ＣＡ＿１やＣＡ＿２、ＣＡ＿３）と、認証機関のＩＤごとにアクセスを許可するデータ（例えば、ｄａｔａ００１やｄａｔａ００２、ｄａｔａ００３、ｄａｔａ００４）とが格納されている。
図７は、ポリシ格納部３６に格納されているポリシの例を示す説明図である。図７に示す例では、認証機関ａ（ＣＡ＿１）が発行した証明書を有するアプリケーションに、ｄａｔａ００１，ｄａｔａ００２，ｄａｔａ００３へのアクセスを許可し、認証機関ｂ（ＣＡ＿２）が発行した証明書を有するアプリケーションに、ｄａｔａ００３，ｄａｔａ００４へのアクセスを許可し、認証機関ｃ（ＣＡ＿３）が発行した証明書を有するアプリケーションに、ｄａｔａ００２へのアクセスを許可するポリシがポリシ格納部３６に格納されていることが示されている。
本例では、アクセス要求情報に含まれるハッシュ値は認証機関ａ（ＣＡ＿１）が発行した証明書のハッシュ値と合致するので、アプリケーション１２によるｄａｔａ００１へのアクセスは許可されることになる（ステップＳ６４のＹｅｓ）。アクセス許可になった場合（ステップＳ６４のＹｅｓ）、リクエスト受付手段３１は、サービス格納部３４からデータ（ｄａｔａ００１）を取り出し（ステップＳ６５）、通信端末２にレスポンスを返す（ステップＳ６６）。具体的には、取り出したデータ（ｄａｔａ００１）を通信端末２に送信する。
本実施形態では、通信端末２がアプリケーションの認証情報をサーバ３に送信するので、サーバ３がどのアプリケーション（具体的には、どの認証機関で認証されたアプリケーション）の動作にもとづく要求なのかを把握することができる。また、サーバ３が認証情報を検証するので、通信端末２が行った認証処理の正当性を確認している。さらに、サーバ３のポリシ格納部３６に格納されているポリシでアクセス制御を行うことができる。すなわち、通信端末２のユーザによって証明書格納部２４に証明書が追加され、その証明書によってアプリケーションが認証されたとしても、サーバ３のリクエスト認証処理およびポリシを用いたアクセス制御でアクセスを拒絶可能であるため、サーバ３が意図しないアクセスを行われることはない。つまり、サーバ３に所定の認証機関によって発行された証明書にもとづくポリシを設定して、アプリケーションごとのアクセス制御を行うことができる。
すなわち、本実施形態では、サーバがリクエスト元のコンテンツごとにアクセス制限を行うことができる。その理由は、通信端末がリクエストにコンテンツの認証情報を付加してサーバに送信するからである。また、サーバのポリシでアクセス制限を行うことができることである。その理由は、通信端末から送信される認証情報にもとづいて、サーバ側が、自身のポリシで再度認証するための仕組みを有しているからである。
実施形態２．
本発明の第２の実施形態のアクセス制御システムについて、図面を参照して説明する。図８は、本発明による第２の実施形態のアクセス制御システムの構成例を示すブロック図である。
本発明の第２の実施形態のアクセス制御システムについて、図面を参照して説明する。図８は、本発明による第２の実施形態のアクセス制御システムの構成例を示すブロック図である。
図８に示すように、本発明の第２の実施形態のアクセス制御システムには、図１に示す第１の実施形態における通信端末２に、追加証明書格納部２８と検証手段２９とが追加されている。また、本発明の第２の実施形態のアクセス制御システムにおけるサーバ３は、リクエスト認証手段３２と証明書格納部３３とを含んでいない。追加証明書格納部２８には、通信端末２のユーザによって追加された証明書が格納される。検証手段２９は、証明書検証処理で、アプリケーション１２に付加されている証明書に合致する証明書が証明書格納部２４に格納されている証明書であるのか否かを検証する。
本実施形態のアクセス制御システムの動作について説明する。本実施形態では、図２に示す（１）通信端末２が実行するアプリケーション認証処理におけるステップＳ２３の処理で、アプリケーション１２に付加されている証明書が、証明書格納部２４に格納されている証明書、または追加証明書格納部２８に格納されている証明書に合致するか否かを判断する。その他の処理は図２に示す第１の実施形態の（１）通信端末２が実行するアプリケーション認証処理と同様なため、説明を省略する。
次に、本実施形態の（２）通信端末２からサーバ３へのリクエスト処理について説明する。図９は、本実施形態において図４に示す第１の実施形態の（２）通信端末２からサーバ３へのリクエスト処理に追加される処理を示すフローチャートである。
第１の実施形態では、図４に示すステップＳ４２の処理で、リクエスト手段２６が認証情報を取得していたが、本実施形態では、リクエスト手段２６が認証情報を取得した後に、検証手段２９が認証情報格納部２５から認証情報を取得する（ステップＳ９１）。
また、第１の実施形態では、図４に示すステップＳ４３の処理で認証情報がある場合は、認証情報を付加する処理（ステップＳ４４）が行われていた。しかし、第２の実施形態では、ステップＳ４４の処理を行う前に、検証手段２９が認証情報の検証を行う（ステップＳ９１）。検証手段２９は、認証情報が、（１）通信端末２が実行するアプリケーション認証処理におけるステップＳ２３の処理で、証明書格納部２４に格納されている証明書によって検証されたか否かを確認する。
具体的には、証明書格納部２４に格納されている証明書のハッシュ値を計算し、図３に例示されているアプリケーション１２に付加されていた証明書のハッシュ値と合致するか否かを確認する。検証手段２９は、合致した場合には、証明書格納部２４に格納されている証明書によって検証されたアプリケーションからの要求であると判断する。合致しない場合は、追加証明書格納部２８に格納されている追加された証明書によって検証されたと判断する。
証明書格納部２４に格納されている証明書によって検証されたことが判断された場合（Ｓ９２のＹｅｓ）、ステップＳ４４の処理に移行する。第１の実施形態のステップＳ４４の処理では、リクエスト手段２６が、アクセス要求に認証情報としてハッシュ値を付加したが、第２の実施形態では、リクエスト手段２６が、ステップＳ４４の処理でアクセス要求に認証機関のＩＤを付加する。図１０は、本実施形態のアクセス要求情報の例を示す説明図である。図１０に示す本実施形態のアクセス要求情報には、要求元のアプリケーションＩＤ（アプリケーション１２のＵＲＬ）、要求する内容、認証機関のＩＤが含まれる。なお、リクエスト手段２６は、証明書格納部２４に格納されている証明書から認証機関のＩＤを取得する。
次に、本実施形態の（３）サーバ３が実行するリクエスト認証処理について説明する。第１の実施形態では、図６に示すステップＳ６２でアクセス要求情報の検証処理を行っていたが、本実施形態では、ステップＳ６１の処理後にステップＳ６３の処理に移行し、ステップＳ６２の処理は行われない。すなわち、図１０に示すように、サーバ３には、通信端末２から送信される認証情報に認証機関のＩＤが含まれるので、ステップＳ６１の処理後にはステップＳ６３のアクセス可否判定に移行する。その後の処理は、第１の実施の形態と同様であるので、説明を省略する。
本実施の形態では、通信端末２において、もともとインストールされている（予め認証情報格納部２５に格納されている）証明書と追加された（追加証明書格納部２８に格納されている）証明書とが分けて管理されている。そして、アプリケーションの証明書のハッシュ値がもともとインストールされている証明書のハッシュ値と合致した場合には、認証機関のＩＤがサーバ３に送信されるように構成されている。このため、通信端末２がサーバ３にアクセスする際、サーバ３は、アクセス元のアプリケーションがもともとインストールされている証明書によって認証されているか否かを判断することができる。従って、第１の実施形態と異なり、サーバ３側でリクエスト認証処理を行う必要がない。よって、サーバ３の処理負担を軽減することができる。
なお、本実施形態は、第１の実施形態においてサーバ３側で管理している証明書（証明書格納部３３に格納されている証明書）が通信端末２で管理している証明書（証明書格納部２４に格納されている証明書）と同一であることが前提である。
以下に、本発明の他の実施形態について述べる。以上に述べた第１の実施形態では、図２に示すステップＳ２５の処理で、認証情報格納部２５に証明書のハッシュ値を格納した。このハッシュ値は、独自のハッシュ関数を用いて証明書からハッシュ値を計算してもよいし、証明書に格納されているフィンガープリントを使用してもよい。さらに、証明書に格納されている暗号化フィンガープリントを複合したものを使用してもよい。
さらに、第１の実施形態では、通信端末２からサーバ３に送信される認証情報は、証明書のハッシュ値としていたが、これに限らない。すなわち、証明書そのものを送信してもよい。
さらに、第１の実施形態では、図６に示すステップＳ６２において、サーバ３のリクエスト認証手段３２は、通信端末２からのリクエストがあったときに証明書格納部３３に格納されている証明書のハッシュ値を計算していたがこれに限られない。すなわち、リクエスト認証手段３２が、証明書格納部３３に格納されている証明書のハッシュ値を予め計算しておき、リクエストがあった際は、比較だけ行うように構成されていてもよい。
さらに、第１の実施形態では、通信端末２からサーバ３へのリクエスト前に、リクエスト手段２６が認証情報格納部２５からリクエスト元のアプリケーションに対応した認証情報を取得していたがこれに限られない。すなわち、リクエスト手段２６がリクエスト元のアプリケーションに対応した認証情報を取得できればよい。例えば、リクエスト元のアプリケーションに対応した証明書を取得するようなｇｅｔＣｅｒｔｉｆｉｃａｔｅ（）関数などのＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）があり、これをリクエスト手段２６が発行することで証明書を取得し、その証明書からハッシュ値を計算し、サーバ３に送信する、といった流れであってもよい。この方法によれば、通信端末２が行うアプリケーション認証処理時に認証結果を認証情報格納部２５に格納する必要はない。
さらに、第１の実施形態および第２の実施形態では、サーバ３の証明書格納部３３に格納されている証明書は更新されないことが前提であったが、これに限られない。また、更新された証明書を通信端末２に通知し、通信端末２において証明書格納部２４に格納された証明書を更新する手段が設けられていてもよい。この場合、通信端末２に証明書更新手段を設け、サーバ３から通知、または通信端末２が定期的にポーリングし、証明書格納部２４に格納されている証明書を更新する仕組みが設けられていてもよい。
さらに、第２の実施形態では、図８に示したように証明書格納部２４と追加証明書格納部２８とが分けられていたが、同じ格納部であってもよく、論理的に分かれていればよい。すなわち、通信端末２からサーバ３にリクエストを送信する前に、検証手段２９によってもともとインストールされていた証明書によってアプリケーションが検証されているか否かがわかるように構成されていればよい。
さらに、第１の実施形態および第２の実施形態では、通信端末２がサーバ３にリクエストを送信する際、図５に例示したようにアプリケーションＩＤも送信していたが、これに限られない。すなわち、認証情報、つまり誰にお墨付きをもらったアプリケーションであるのかという認証機関の情報がアクセス要求情報に含まれていれば、アプリケーションＩＤは送信されなくてもよい。
さらに、第１の実施形態および第２の実施形態では、図６に示すステップＳ６３のアクセス可否判定において、図７に例示したＣＡのＩＤとアクセス可能データとの対応付けテーブルが用いられていたが、対応付けの組み合わせはこれに限られない。すなわち、ＵＲＬとアクセス可能データとの対応付けであってもよいし、ＣＡのＩＤとＵＲＬとアクセス可能データとの組合せであってもよい。
次に、具体的な実施例を用いて本発明によるアクセス制御システムの動作を説明する。本実施例では、通信端末（通信端末２）が、搭載しているウェブブラウザの起動中にウェブサーバ（アプリケーションサーバ１）に格納されているウェブアプリケーションを実行し、サーバ（サーバ３）に格納されているデータにアクセスする場合を例に説明する。
まず、（１）通信端末２が行うアプリケーション認証処理について説明する。通信端末２のユーザは、ウェブブラウザを用いてウェブサーバ（アプリケーションサーバ１）にアクセスする（接続処理を行う）。ウェブサーバのＵＲＬが「ｈｔｔｐｓ」で始まる場合には、ＳＳＬ通信が行われることが示されており、ウェブサーバと通信端末２との間で証明書のやり取りが行われる。
具体的には、アプリケーション認証手段２３が、例えば、ウェブサーバが信頼できる認証機関によってウェブアプリケーションが承認されているかを、アプリケーションサーバ１から送信された証明書と、証明書格納部２４に格納されているルート証明書とを用いて確認する。本実施例では、アプリケーションサーバ１が信頼されていることを前提とし、認証情報格納部２５にアプリケーションサーバ１のＵＲＬとルート証明書のハッシュ値とが対応付けられて格納されているとする。図１１は、本実施例において、認証情報格納部２５に格納されたウェブサーバのＵＲＬと証明書のハッシュ値とを示す説明図である。図１１に示すように、本実施例では、認証情報格納部２５には、ウェブサーバのＵＲＬである「ｈｔｔｐｓ：ａｐｐｓｅｒｖｅｒ１．ｃｏｍ」と、ルート証明書のハッシュ値である「３ｊｌｓｄｋ０ｄｌ０３ｊ０８１７ｅｕｂ」とが格納されている。
ルート証明書を用いたウェブアプリケーションの確認後、ウェブサイトのＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ファイルを表示する。このＨＴＭＬファイルにウェブアプリケーションが組み込まれている場合、そのブラウザの起動中にウェブアプリケーションが実行される。具体的には、アプリケーション格納部２２に格納されたウェブアプリケーションをアプリケーション実行手段２７が実行する。
次に、（２）通信端末２からサーバ３へのリクエスト処理について説明する。ウェブアプリケーションは、サーバ３のＡＰＩを発行する（具体的には、例えば、ＡＰＩキーを発行する）ことで、サーバ３のサービス格納部３４に格納されたデータのリクエストを行う。これは例えば、「ｃａｌｌ（ｈｔｔｐ：／／ａｐｐｓｅｒｖｅｒ３．ｃｏｍ？ｇｅｔＤａｔａ（“ｄａｔａ００１”））」などのＡＰＩを発行することで、サーバ３に「ｄａｔａ００１」の送信を要求する。
ウェブアプリケーションが本ＡＰＩを発行すると、リクエスト手段２６はこれを検知する（具体的には、例えば、リクエスト手段２６は、ウェブアプリケーションのプログラム制御にもとづいてアプリケーション実行手段２７がＡＰＩキーを発行したことを検知する）。そして、認証情報格納部２５からリクエスト元のウェブアプリケーション（実際にはウェブアプリケーション配信元のサーバ。つまりアプリケーションサーバ１）に対応した認証情報を取り出す。リクエスト手段２６は、この認証情報を付加して、サーバ３にリクエスト（具体的には、例えば、アクセス要求情報）を送信する。図１２は、ＨＴＴＰリクエストヘッダに認証情報を付加する例を示す説明図である。図１２に示す例では、リクエスト元アプリケーションの情報として「ｒｅｆｅｒｅｒ」を設定し、認証情報として「ｘ－ｃｅｒｔ－ｈａｓｈ」を設定している。
次に、（３）サーバ３が実行するリクエスト認証処理について説明する。リクエスト受付手段３１が通信端末２からのリクエストを受けた際（例えば、通信端末２が送信したアクセス要求情報を受信した際）、リクエスト認証手段３２は、ＨＴＴＰヘッダから認証情報を取得する。ＨＴＴＰヘッダから認証情報を取得する方法には、例えば、「ｇｅｔＨＴＴＰＨｅａｄｅｒ（“ｒｅｆｅｒｅｒ”）」などのＡＰＩを呼び出し、リクエスト元のウェブアプリケーションの情報と認証情報とを取得する方法がある。リクエスト認証手段３２は、取得した認証情報と証明書格納部３３に格納されている証明書とが合致するか否か検証する。
図１３は、各認証機関が発行したルート証明書のハッシュ値の例を示す説明図である。本実施例では、図１３に示すように証明書のハッシュ値が予め計算されていることとし、各ハッシュ値が証明書の発行元のＣＡのＩＤと対応付けられていることとする。これによると、通信端末２が送信した認証情報によって示されるハッシュ値とＣＡ＿１のハッシュ値とが合致するため、リクエスト元のアプリケーション（を格納しているアプリケーションサーバ１）が確かにＣＡ＿１によって承認されていることがわかる。
ここで合致しない場合には、通信端末２は、リクエスト元のアプリケーション（アプリケーションサーバ１に格納されているアプリケーション）は信頼できるアプリケーションであると認識するが、サーバ３は（サーバ３のポリシでは）、それ（アプリケーションサーバ１に格納されているアプリケーション）は信頼できないアプリケーションである、と認識する。例えば、通信端末２において、ユーザによって追加された証明書（追加証明書）によってアプリケーションが認証されると、そのように（通信端末２が送信した認証情報によって示されるハッシュ値とＣＡ＿１のハッシュ値とが合致しない）なると考えられる。つまり、リクエスト（具体的には、例えば、アクセス要求情報）に追加証明書のハッシュ値が付与されて送信されると、サーバ側にはこの証明書は存在しない（例えば、サーバ３の証明書格納部３３に格納されていない）ので、リクエスト認証の段階で、リクエストに付与されている証明書と自身が保持する証明書が合致しない、という結果になる。
認証処理を終えると、アクセス制御手段３５は、ＣＡ＿１（によって発行された証明書を有するアプリケーション）に対するポリシを確認する。これは、前述した図７に示したように、ＣＡ＿１が発行した証明書を有するアプリケーションに、ｄａｔａ００１へのアクセスを許可するポリシがポリシ格納部３６に格納されているため、アクセス権があると判断される。その後、リクエスト受付手段３１は、サービス格納部３４に格納されているｄａｔａ００１を取り出し、ＨＴＴＰのレスポンスに追加し、通信端末２に返す（送信する）。
なお、本実施例は、ウェブアプリケーションを対象としていたが、これに限らない。例えば、ＪＡＶＡ（登録商標）アプリケーションなどにも適用できる。ＪＡＶＡアプリケーションのダウンロード時にその実行環境であるＪＡＶＡＶＭ（ＪＡＶＡ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）がアプリケーションの認証を行い、アプリケーションとアプリケーションに対応付けられた証明書を管理する。ＪＡＶＡアプリケーションからサーバにデータの送信要求があった際は、ＪＡＶＡＶＭがそれを検知し、リクエストに対応する証明書のハッシュ値を付加してサーバに送信することで実現できる。
本発明は、その他のアプリケーションにも適用できる。すなわち、機器固有のネイティブアプリケーションや、スクリプト言語で作成されたアプリケーションなどにも適用できる。また、アプリケーションに限らず、コンテンツにも適用できる。すなわち、ＨＴＭＬファイルなどにも適用できる。ＨＴＭＬファイルの場合は、自身のタグ（Ａタグなど）でイメージファイルを読み込む際、他サイトにリンクが貼られている場合がある。その他サイトにおいて、どのＨＴＭＬファイルからアクセスされたのかを判断し、イメージファイルの提供に関するアクセス制御を行う、などに利用できる。
次に、本発明の概要について説明する。図１４は、本発明の概要を示すブロック図である。図１４に示すように、本発明によるアクセス制御システムは、サーバ（図１に示されたサーバ３に相当）１００と通信端末（図１に示された通信端末２に相当）２００とを備える。そして、通信端末２００は、端末認証手段（図１に示されたアプリケーション認証手段２３に相当）２０１、およびリクエスト手段（図１に示されたリクエスト手段２６に相当）２０２を含む。また、サーバ１００は、ポリシ情報格納手段（図１に示されたポリシ格納部３６に相当）１０１、サーバ認証手段（図１に示されたリクエスト認証手段３２に相当）１０２、アクセス制御手段（図１に示されたアクセス制御手段３５に相当）１０３および処理実行手段（図１に示されたリクエスト受付手段３４に相当）１０４を含む。
端末認証手段２０１は、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、認証処理で認証したコンテンツと、認証処理で認証されたことを示し、電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理する。
リクエスト手段２０２は、コンテンツの実行動作に伴ってサーバ１００にアクセスする場合に、当該コンテンツの認証情報と、サーバ１００に要求する処理を示す要求内容情報とを含むリクエストをサーバ１００に送信する。
ポリシ情報格納手段１０１は、通信端末２００が送信したリクエストに含まれる認証情報および要求内容情報にもとづいて、リクエストに応じた処理を実行するか否かを示すポリシ情報を予め格納する。
サーバ認証手段１０２は、通信端末２００が送信したリクエストに含まれる認証情報にもとづいてリクエストの認証を行う。
アクセス制御手段１０３は、サーバ認証手段１０２がリクエストを認証した場合に、ポリシ情報格納手段１０１に格納されているポリシ情報と、リクエストに含まれる認証情報および要求内容情報とにもとづいて、要求内容情報によって示される処理を実行するか否かを決定する。
処理実行手段１０４は、アクセス制御手段１０３が要求内容情報によって示される処理を実行すると決定した場合に、処理を実行する。
そのような構成により、通信端末２００のリクエスト手段２０２がコンテンツの認証情報をサーバ１００に送信するので、サーバ１００がどのコンテンツ（具体的には、どの認証機関で認証されたコンテンツ）の動作にもとづく要求なのかを把握することができる。そして、サーバ１００のアクセス制御手段１０３がポリシ情報格納手段１０１に格納されているポリシ情報にもとづいて当該要求に応じた処理を実行するか否かを決定するので、サーバ１００のポリシ情報格納手段１０１に格納されているポリシ情報にもとづいてアクセス制御を行うことができる。よって、例えば、通信端末２００のユーザによって証明書が追加され、その証明書によってコンテンツが認証されていたとしても、サーバ１００のポリシ情報にもとづいてアクセスを拒絶可能であるため、サーバ１００が意図しないアクセスを行われることはない。つまり、サーバ１００に所定の認証機関によって発行された証明書にもとづくポリシを設定して、コンテンツごとにアクセス制御を行うことができる。
上記の各実施形態には、以下のようなアクセス制御システムも開示されている。
端末認証手段２０１が、コンテンツの電子証明書のハッシュ値、フィンガープリント、または電子証明書自体を当該コンテンツの認証情報として当該コンテンツに対応付けて管理するアクセス制御システム。
検証手段が、コンテンツの認証処理で用いられた電子証明書が予め記憶手段に記憶されている電子証明書に合致するか否かを検証するアクセス制御システム。そのような構成によれば、通信端末２００がサーバ１００にアクセスする際、サーバ１００は、アクセス元のコンテンツがもともとインストールされている証明書によって認証されているか否かを判断することができる。よって、サーバ１００側で認証処理を行う必要がなくなり、サーバ１００の処理負担を軽減することができる。
端末認証手段によってコンテンツに対応付けて管理される当該コンテンツの認証情報には、コンテンツの電子証明書の発行元のＩＤが含まれているアクセス制御システム。コンテンツとしてアプリケーションプログラムを扱うアクセス制御システム。
通信端末２００が検証手段（図８に示された検証手段２９に相当）を含み、サーバ１００がサーバ認証手段１０２を含まない構成が開示されている。
検証手段が、サーバ１００にアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証するように構成されている通信端末。
そのような構成によれば、前述した効果に加えて、通信端末２００側で、コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証するので、サーバ１００側で認証処理を行う必要がない。よって、サーバ１００の処理負担を軽減することができる。
以上、実施形態及び実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
この出願は、２００９年１１月９日に出願された日本特許出願２００９－２５５９０８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
本発明を、ＰＣや携帯電話機などの通信機器からウェブサービスを利用する際のアクセス制限に適用できる。
Claims (18)
- サーバと、前記サーバに通信ネットワークを介して接続される通信端末とを含むアクセス制御システムであって、
前記通信端末は、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理する端末認証手段と、
前記サーバにアクセスする場合に、当該コンテンツの認証情報と、前記サーバに要求する処理を示す要求内容情報とを含むリクエストを前記サーバに送信するリクエスト手段とを含み、
前記サーバは、前記通信端末が送信したリクエストに含まれる認証情報および要求内容情報にもとづいて、前記リクエストに応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、
前記通信端末が送信したリクエストに含まれる前記認証情報にもとづいてリクエストの認証を行うサーバ認証手段と、
前記サーバ認証手段が前記リクエストを認証した場合に、前記ポリシ情報格納手段に格納されているポリシ情報と、前記リクエストに含まれる認証情報および要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、
前記アクセス制御手段が前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する処理実行手段とを含む
ことを特徴とするアクセス制御システム。 - 端末認証手段は、コンテンツの電子証明書のハッシュ値を当該コンテンツの認証情報として当該コンテンツに対応付けて管理する
請求項１記載のアクセス制御システム。 - 端末認証手段は、コンテンツの電子証明書のフィンガープリントを当該コンテンツの認証情報として当該コンテンツに対応付けて管理する
請求項１記載のアクセス制御システム。 - 端末認証手段は、コンテンツの電子証明書を当該コンテンツの認証情報として当該コンテンツに対応付けて管理する
請求項１記載のアクセス制御システム。 - サーバ認証手段は、リクエストに含まれる認証情報によって示される電子証明書と、予め記憶手段に記憶されている電子証明書とが合致した場合に、前記リクエストを認証する
請求項１から請求項４のうちいずれか１項記載のアクセス制御システム。 - サーバと、前記サーバに通信ネットワークを介して接続される通信端末とを含むアクセス制御システムであって、
前記通信端末は、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理する端末認証手段と、
前記サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証手段と、
前記検証手段が認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、コンテンツの認証情報と、前記サーバに要求する処理を示す要求内容情報とを含むリクエストを前記サーバに送信するリクエスト手段とを含み、
前記サーバは、前記通信端末が送信したリクエストに含まれる認証情報および要求内容情報にもとづいて、前記リクエストに応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、
前記ポリシ情報格納手段に格納されているポリシ情報と、前記リクエストに含まれる認証情報および要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、
前記アクセス制御手段が前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する処理実行手段とを含む
ことを特徴とするアクセス制御システム。 - 検証手段は、コンテンツの認証処理で用いられた電子証明書が予め記憶手段に記憶されている電子証明書に合致するか否かを検証する
請求項６記載のアクセス制御システム。 - 端末認証手段によってコンテンツに対応付けて管理される当該コンテンツの認証情報には、コンテンツの電子証明書の発行元のＩＤが含まれている
請求項６記載のアクセス制御システム。 - コンテンツは、アプリケーションプログラムである
請求項１から請求項８のうちいずれか１項記載のアクセス制御システム。 - 通信ネットワークを介してサーバに処理の実行を要求する通信端末であって、
前記コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報である認証情報とを対応付けて管理する認証手段と、
前記コンテンツの認証情報およびサーバに要求する処理を示す要求内容情報を含むリクエストを前記コンテンツの認証情報および前記要求内容情報に応じて処理を実行するサーバに送信するリクエスト手段とを備えた
ことを特徴とする通信端末。 - 通信ネットワークを介してサーバに処理の実行を要求する通信端末であって、
コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報であるそのコンテンツの認証情報とを対応付けて管理する認証手段と、
前記サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証手段と、
前記検証手段が認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、コンテンツの認証情報と、前記サーバに要求する処理を示す要求内容情報とを含むリクエストを前記コンテンツの認証情報および前記要求内容情報に応じて処理を実行する前記サーバに送信するリクエスト手段とを備えた
ことを特徴とする通信端末。 - 検証手段は、コンテンツの認証処理で用いられた電子証明書が予め記憶手段に記憶されている電子証明書に合致するか否かを検証する
請求項１１記載の通信端末。 - 通信端末が通信ネットワークを介して送信した要求に応じて処理を実行するサーバであって、
前記通信端末が送信した要求を示す要求内容情報と、前記通信端末が処理を実行しているコンテンツの電子証明書にもとづく認証情報とにもとづいて、前記要求に応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、
前記通信端末が送信した認証情報にもとづいて要求の認証を行う認証手段と、
認証手段が前記要求を認証した場合に、前記ポリシ情報格納手段に格納されているポリシ情報と、前記認証情報および前記要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、
前記アクセス制御手段が前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する処理実行手段とを備えた
ことを特徴とするサーバ。 - 通信端末が通信ネットワークを介して送信した要求に応じて処理を実行するサーバであって、
前記通信端末が送信した要求を示す要求内容情報と、前記通信端末が処理を実行しているコンテンツの電子証明書にもとづく認証情報とにもとづいて、前記要求に応じた処理を実行するか否かを示すポリシ情報を予め格納するポリシ情報格納手段と、
前記ポリシ情報格納手段に格納されているポリシ情報と、前記認証情報および前記要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定するアクセス制御手段と、
前記アクセス制御手段が前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する処理実行手段とを備えた
ことを特徴とするサーバ。 - 通信端末の要求に応じてサーバが処理を実行するアクセス制御方法であって、
前記通信端末が、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理し、
前記サーバにアクセスする場合に、当該コンテンツの認証情報と、前記サーバに要求する処理を示す要求内容情報とを含むリクエストを前記サーバに送信し、
前記サーバが、前記通信端末が送信したリクエストに含まれる前記認証情報にもとづいてリクエストを認証する処理を行い、
前記リクエストを認証した場合に、前記リクエストに応じた処理を実行するか否かを示すポリシ情報と、前記リクエストに含まれる認証情報および要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定し、
前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する
ことを特徴とするアクセス制御方法。 - サーバは、リクエストに含まれる認証情報によって示される電子証明書と、予め記憶手段に記憶されている電子証明書とが合致した場合に、前記リクエストを認証する
請求項１５記載のアクセス制御方法。 - 通信端末の要求に応じてサーバが処理を実行するアクセス制御方法であって、
前記通信端末が、コンテンツに付加されている電子証明書を用いて当該コンテンツの認証処理を行い、前記認証処理で認証したコンテンツと、前記認証処理で認証されたことを示し、前記電子証明書にもとづく情報であるコンテンツの認証情報とを対応付けて管理し、
前記サーバにアクセスする場合に、当該コンテンツの認証処理で用いられた電子証明書が所定の電子証明書であるか否かを検証する検証処理を行い、
前記検証処理で、前記認証処理で用いられた電子証明書が所定の電子証明書であると判断した場合に、当該コンテンツの認証情報と、前記サーバに要求する処理を示す要求内容情報とを含むリクエストを前記サーバに送信し、
前記サーバが、前記リクエストに応じた処理を実行するか否かを示すポリシ情報と、前記リクエストに含まれる認証情報および要求内容情報とにもとづいて、前記要求内容情報によって示される処理を実行するか否かを決定し、
前記要求内容情報によって示される処理を実行すると決定した場合に、前記処理を実行する
ことを特徴とするアクセス制御方法。 - 検証処理で、コンテンツの認証処理で用いられた電子証明書が予め記憶手段に記憶されている電子証明書に合致するか否かを検証する
請求項１７記載のアクセス制御方法。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| EP10828048.8A EP2500839A4 (en) | 2009-11-09 | 2010-10-05 | ACCESS CONTROL SYSTEM, COMMUNICATION END, SERVER AND ACCESS CONTROL METHOD |
| JP2011539258A JP5644770B2 (ja) | 2009-11-09 | 2010-10-05 | アクセス制御システム、サーバ、およびアクセス制御方法 |
| US13/508,503 US8914905B2 (en) | 2009-11-09 | 2010-10-05 | Access control system, communication terminal, server, and access control method |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009255908 | 2009-11-09 | ||
| JP2009-255908 | 2009-11-09 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2011055486A1 true WO2011055486A1 (ja) | 2011-05-12 |
Family
ID=43969730
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/JP2010/005970 WO2011055486A1 (ja) | 2009-11-09 | 2010-10-05 | アクセス制御システム、通信端末、サーバ、およびアクセス制御方法 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US8914905B2 (ja) |
| EP (1) | EP2500839A4 (ja) |
| JP (1) | JP5644770B2 (ja) |
| WO (1) | WO2011055486A1 (ja) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2013012097A (ja) * | 2011-06-30 | 2013-01-17 | Yahoo Japan Corp | 情報管理装置、システム及び方法 |
| JP2015525385A (ja) * | 2012-05-23 | 2015-09-03 | スポットリンカー、 エスエル | 所定の位置内での通信のための方法及びシステム |
| JP2015528141A (ja) * | 2013-04-19 | 2015-09-24 | インテル コーポレイション | ロケーション・アプリケーションおよびロケーション・プロバイダによって信頼できる通信をおこなうための技術 |
| JP2017517956A (ja) * | 2014-05-26 | 2017-06-29 | アリババ・グループ・ホールディング・リミテッドＡｌｉｂａｂａ Ｇｒｏｕｐ Ｈｏｌｄｉｎｇ Ｌｉｍｉｔｅｄ | デジタル証明書の処理及び検証 |
| JP2018037090A (ja) * | 2011-08-31 | 2018-03-08 | フェイスブック，インク． | プロキシ認証のための方法、システム、およびコンピュータ読取り可能な記録媒体 |
| JPWO2020208913A1 (ja) * | 2019-04-11 | 2020-10-15 | ||
| JP2021103546A (ja) * | 2020-09-30 | 2021-07-15 | 北京百度網訊科技有限公司 | 証明書送信方法、証明書受信方法、クラウド及び端末機器 |
| JP2022078093A (ja) * | 2015-11-12 | 2022-05-24 | エムエックス・テクノロジーズ・インコーポレーテッド | 分散された、非集中化されたデータ集約 |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9081940B2 (en) * | 2013-03-13 | 2015-07-14 | Intel Corporation | Method and service for user transparent certificate verifications for web mashups and other composite applications |
| US9565211B2 (en) * | 2013-03-15 | 2017-02-07 | True Ultimate Standards Everywhere, Inc. | Managing exchanges of sensitive data |
| US9864873B2 (en) | 2013-03-15 | 2018-01-09 | Trustarc Inc | Managing data handling policies |
| US9225715B2 (en) * | 2013-11-14 | 2015-12-29 | Globalfoundries U.S. 2 Llc | Securely associating an application with a well-known entity |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004507848A (ja) * | 2000-08-28 | 2004-03-11 | コンテントガード ホールディングズ インコーポレイテッド | 文書分配管理並びに標準のレンダリングエンジンを用いる制御方法及び制御装置 |
| WO2006001524A1 (ja) * | 2004-06-25 | 2006-01-05 | Nec Corporation | 移動端末、移動端末のリソースアクセス制御システムおよび移動端末におけるリソースアクセス制御方法 |
| JP2007128313A (ja) * | 2005-11-04 | 2007-05-24 | Nec Corp | コンテンツ提供システム、コンテンツ提供装置、端末装置、コンテンツ提供方法およびコンテンツ取得方法 |
| JP2009054086A (ja) | 2007-08-29 | 2009-03-12 | Mitsubishi Electric Corp | 情報提供装置 |
| JP2009255908A (ja) | 2008-03-18 | 2009-11-05 | Yamaha Corp | 車体構造体、車両用支柱およびインナパネル |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6272631B1 (en) | 1997-06-30 | 2001-08-07 | Microsoft Corporation | Protected storage of core data secrets |
| WO2000077974A1 (en) * | 1999-06-11 | 2000-12-21 | Liberate Technologies | Hierarchical open security information delegation and acquisition |
| US6950809B2 (en) | 2000-03-03 | 2005-09-27 | Dun & Bradstreet, Inc. | Facilitating a transaction in electronic commerce |
| US7506034B2 (en) | 2000-03-03 | 2009-03-17 | Intel Corporation | Methods and apparatus for off loading content servers through direct file transfer from a storage center to an end-user |
| US7415607B2 (en) * | 2000-12-22 | 2008-08-19 | Oracle International Corporation | Obtaining and maintaining real time certificate status |
| JP2004062417A (ja) * | 2002-07-26 | 2004-02-26 | Nippon Telegr & Teleph Corp <Ntt> | 認証サーバ装置、サーバ装置、およびゲートウェイ装置 |
| FR2849311B1 (fr) * | 2002-12-18 | 2005-04-15 | France Telecom | Procede de communication entre deux unites, et terminal mettant en oeuvre le procede |
| US7627896B2 (en) * | 2004-12-24 | 2009-12-01 | Check Point Software Technologies, Inc. | Security system providing methodology for cooperative enforcement of security policies during SSL sessions |
| JP4601470B2 (ja) * | 2005-03-18 | 2010-12-22 | 富士通株式会社 | 電子メール転送方法及び装置 |
| JP2008136063A (ja) * | 2006-11-29 | 2008-06-12 | Tadayuki Hattori | 著作権を保護しながら著作物を効率的に情報通信網で流通させるｐ２ｐネットワーク・アプリケーション・ソフトウェア・プログラムとその配布技術 |
| EP1927930A1 (en) * | 2006-11-30 | 2008-06-04 | Sap Ag | Method and system for access control using resouce filters |
| FR2930391B1 (fr) * | 2008-04-21 | 2010-04-16 | Etsem Ltd | Terminal d'authentification d'un utilisateur. |
-
2010
- 2010-10-05 JP JP2011539258A patent/JP5644770B2/ja not_active Expired - Fee Related
- 2010-10-05 US US13/508,503 patent/US8914905B2/en not_active Expired - Fee Related
- 2010-10-05 EP EP10828048.8A patent/EP2500839A4/en not_active Withdrawn
- 2010-10-05 WO PCT/JP2010/005970 patent/WO2011055486A1/ja active Application Filing
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004507848A (ja) * | 2000-08-28 | 2004-03-11 | コンテントガード ホールディングズ インコーポレイテッド | 文書分配管理並びに標準のレンダリングエンジンを用いる制御方法及び制御装置 |
| WO2006001524A1 (ja) * | 2004-06-25 | 2006-01-05 | Nec Corporation | 移動端末、移動端末のリソースアクセス制御システムおよび移動端末におけるリソースアクセス制御方法 |
| JP2007128313A (ja) * | 2005-11-04 | 2007-05-24 | Nec Corp | コンテンツ提供システム、コンテンツ提供装置、端末装置、コンテンツ提供方法およびコンテンツ取得方法 |
| JP2009054086A (ja) | 2007-08-29 | 2009-03-12 | Mitsubishi Electric Corp | 情報提供装置 |
| JP2009255908A (ja) | 2008-03-18 | 2009-11-05 | Yamaha Corp | 車体構造体、車両用支柱およびインナパネル |
Non-Patent Citations (2)
| Title |
|---|
| HIROSHI MARUYAMA ET AL.: "Tokushu Internet, On Security of Signed Java and ActiveX Codes", COMPUTER SOFTWARE, vol. 16, no. 4, 15 July 1999 (1999-07-15), pages 23 - 32, XP008157776 * |
| See also references of EP2500839A4 |
Cited By (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2013012097A (ja) * | 2011-06-30 | 2013-01-17 | Yahoo Japan Corp | 情報管理装置、システム及び方法 |
| JP2018037090A (ja) * | 2011-08-31 | 2018-03-08 | フェイスブック，インク． | プロキシ認証のための方法、システム、およびコンピュータ読取り可能な記録媒体 |
| JP2018067328A (ja) * | 2012-05-23 | 2018-04-26 | スポットリンカー、 エスエル | 所定の位置内での通信のための方法及びシステム |
| JP2015525385A (ja) * | 2012-05-23 | 2015-09-03 | スポットリンカー、 エスエル | 所定の位置内での通信のための方法及びシステム |
| JP2015528141A (ja) * | 2013-04-19 | 2015-09-24 | インテル コーポレイション | ロケーション・アプリケーションおよびロケーション・プロバイダによって信頼できる通信をおこなうための技術 |
| US10362020B2 (en) | 2014-05-26 | 2019-07-23 | Alibaba Group Holding Limited | Processing and verifying digital certificate |
| JP2017517956A (ja) * | 2014-05-26 | 2017-06-29 | アリババ・グループ・ホールディング・リミテッドＡｌｉｂａｂａ Ｇｒｏｕｐ Ｈｏｌｄｉｎｇ Ｌｉｍｉｔｅｄ | デジタル証明書の処理及び検証 |
| JP2022078093A (ja) * | 2015-11-12 | 2022-05-24 | エムエックス・テクノロジーズ・インコーポレーテッド | 分散された、非集中化されたデータ集約 |
| JP7460669B2 (ja) | 2015-11-12 | 2024-04-02 | エムエックス・テクノロジーズ・インコーポレーテッド | 分散された、非集中化されたデータ集約 |
| JPWO2020208913A1 (ja) * | 2019-04-11 | 2020-10-15 | ||
| JP7412419B2 (ja) | 2019-04-11 | 2024-01-12 | 株式会社Ｎｔｔドコモ | ネットワークノード |
| US12075251B2 (en) | 2019-04-11 | 2024-08-27 | Ntt Docomo, Inc. | Network node |
| JP2021103546A (ja) * | 2020-09-30 | 2021-07-15 | 北京百度網訊科技有限公司 | 証明書送信方法、証明書受信方法、クラウド及び端末機器 |
| JP7114772B2 (ja) | 2020-09-30 | 2022-08-08 | ベイジン バイドゥ ネットコム サイエンス テクノロジー カンパニー リミテッド | 証明書送信方法、証明書受信方法、クラウド及び端末機器 |
| US11784830B2 (en) | 2020-09-30 | 2023-10-10 | Beijing Baidu Netcom Science Technology Co., Ltd. | Method for sending certificate, method for receiving certificate, cloud and terminal device |
Also Published As
| Publication number | Publication date |
|---|---|
| US8914905B2 (en) | 2014-12-16 |
| JPWO2011055486A1 (ja) | 2013-03-21 |
| JP5644770B2 (ja) | 2014-12-24 |
| US20120227114A1 (en) | 2012-09-06 |
| EP2500839A4 (en) | 2016-11-16 |
| EP2500839A1 (en) | 2012-09-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5644770B2 (ja) | アクセス制御システム、サーバ、およびアクセス制御方法 | |
| US8364968B2 (en) | Dynamic web services systems and method for use of personal trusted devices and identity tokens | |
| US8713644B2 (en) | System and method for providing security in browser-based access to smart cards | |
| JP6061633B2 (ja) | デバイス装置、制御方法、およびそのプログラム。 | |
| US9608966B2 (en) | Information handling device, information output device, and recording medium | |
| JP4818664B2 (ja) | 機器情報送信方法、機器情報送信装置、機器情報送信プログラム | |
| JP4070708B2 (ja) | セキュリティ確保支援プログラム及びそのプログラムを実行するサーバ装置並びにそのプログラムを記憶した記憶媒体 | |
| US20070288634A1 (en) | Computer readable recording medium storing control program, communication system and computer data signal embedded in carrier wave | |
| JP6609788B1 (ja) | 情報通信機器、情報通信機器用認証プログラム及び認証方法 | |
| WO2010059955A2 (en) | Domain based authentication scheme | |
| US8230225B2 (en) | Method and system for certified publication of content | |
| JP5991817B2 (ja) | ネットワークシステム | |
| JP5036500B2 (ja) | 属性証明書管理方法及び装置 | |
| EP2648362B1 (en) | Authorization information verification device and authorization information verification program, and authorization information verification system and authorization information verification method | |
| US20020116633A1 (en) | Data processor | |
| KR101637155B1 (ko) | 신뢰 서비스 장치를 이용한 신뢰된 아이덴티티 관리 서비스 제공 시스템 및 그 운영방법 | |
| JP4878566B2 (ja) | デジタル証明書配布システム、デジタル証明書配布方法、及びデジタル証明書配布プログラム | |
| JP2006005613A (ja) | 認証システム | |
| JP4882255B2 (ja) | 属性証明書管理装置および方法 | |
| KR101821645B1 (ko) | 자체확장인증을 이용한 키관리 방법 | |
| WO2021240613A1 (ja) | 情報処理システム、情報処理方法及びプログラム | |
| US20230129128A1 (en) | Secure and documented key access by an application | |
| JP2003091420A (ja) | 更新用プログラム、装置プログラム及びプログラム更新支援方法 | |
| JP5402301B2 (ja) | 認証用プログラム、認証システム、および認証方法 | |
| KR20030012196A (ko) | 생체 인식 기술을 이용한 웹 기반의 사용자 인증방법 및그 시스템 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 10828048 Country of ref document: EP Kind code of ref document: A1 |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 2011539258 Country of ref document: JP |
|
| REEP | Request for entry into the european phase |
Ref document number: 2010828048 Country of ref document: EP |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 2010828048 Country of ref document: EP |
|
| WWE | Wipo information: entry into national phase |
Ref document number: 13508503 Country of ref document: US |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |