(57)【要約】      （修正有）【課題】サーバがクライアント端末から取得した電子証明書の有効性を効率的に検証可能とする。【解決手段】証明書失効リスト管理システムは、クライアント端末を認証するための電子証明書の証明書失効リストを管理する。証明書失効リストは、失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とが関連付けられたリストである。前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより当該電子証明書が有効か否かを検証する。【選択図】図１
2014033395.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末を認証するための電子証明書の証明書失効リストを管理する証明書失効リスト管理システムであって、
失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成し、
前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより当該電子証明書が有効か否かを検証する、
証明書失効リスト管理システム。
【請求項２】
前記電子証明書には、当該電子証明書と関連付けられた認証領域を示す認証領域情報が付されており、
前記証明書失効リスト管理システムは、前記電子証明書に付された前記認証領域情報に基づいて前記証明書失効リストを参照する、
請求項１に記載の証明書失効リスト管理システム。
【請求項３】
前記証明書失効リスト管理システムは、前記証明書失効リスト全体のうち前記認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書のみを参照する、
請求項１又は２に記載の前記証明書失効リスト管理システム。
【請求項４】
前記証明書失効リスト管理システムは、前記証明書失効リストを、失効した電子証明書の認証領域毎に分割して生成し、
前記クライアント端末の認証処理を実行する場合は、前記認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書のみを含む前記証明書失効リストを選択し、選択した前記証明書失効リストを参照することにより前記電子証明書が有効か否かを検証する、
請求項３に記載の証明書失効リスト管理システム。
【請求項５】
前記証明書失効リスト管理システムは、
認証領域毎に前記証明書失効リストを分割して生成し、格納する認証局と、
前記認証局にアクセスして前記証明書失効リストを取得し、取得した前記証明書失効リストを参照することにより前記電子証明書が有効か否かを検証する検証装置と、を備え、
前記認証局は、分割して生成された前記証明書失効リストを前記認証領域に応じて異なる格納先に格納し、
前記検証装置は、前記認証処理対象の電子証明書と関連付けられた認証領域に基づいてアクセスする格納先を選択することにより取得する前記証明書失効リストを選択する、
請求項４に記載の証明書失効リスト管理システム。
【請求項６】
前記検証装置は、取得した証明書失効リストのキャッシュを格納するキャッシュ格納部を備え、
前記検証装置は、前記電子証明書が有効であるか否かを検証するときに、前記認証局に格納された前記証明書失効リストが参照可能か否かを判定し、前記証明書失効リストが参照可能ではないと判定したとき、前記キャッシュ格納部に格納された証明書失効リストのキャッシュ全体のうち、認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストのキャッシュを参照することにより前記電子証明書が有効であるか否かを検証する、
請求項５に記載の証明書失効リスト管理システム。
【請求項７】
前記検証装置は、取得した証明書失効リストのキャッシュを格納するキャッシュ格納部を備え、
前記検証装置は、前記電子証明書が有効であるか否かを検証するときに、前記認証局に格納された前記証明書失効リストが更新されているか否かを判定し、前記証明書失効リストが更新されていないと判定したとき、前記キャッシュ格納部に格納された証明書失効リストのキャッシュ全体のうち、認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストのキャッシュを参照することにより前記電子証明書が有効であるか否かを検証する、
請求項５又は６に記載の証明書失効リスト管理システム。
【請求項８】
クライアント端末を認証するための電子証明書の証明書失効リストを発行する証明書失効リスト生成装置であって、
失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成する、
証明書失効リスト生成装置。
【請求項９】
クライアント端末を認証するための電子証明書が有効であるか否かを、前記電子証明書の証明書失効リストに基づいて検証する検証装置であって、
前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより当該電子証明書が有効か否かを検証する、
検証装置。
【請求項１０】
失効した電子証明書を特定する証明書失効リストを参照して電子証明書を検証する電子証明書検証方法であって、
失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成するステップと、
前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより、当該電子証明書が有効か否かを検証するステップと、を備える
電子証明書検証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、証明書失効リスト管理システム、証明書失効リスト生成装置、検証装置及び電子証明書検証方法に関する。
【背景技術】
【０００２】
現在、コンピュータ間の通信において、公開鍵暗号方式を用いた電子署名通信や暗号通信がなされている。ここで認証局（ＣＡ:Certificate Authority）は、公開鍵証明書（ＣＡ証明書）を発行することにより、コンピュータが通信相手の正当性を確認することを可能にしている。
【０００３】
ＣＡ証明書は、何らかの理由で失効することもある。その場合に認証局は、ＣＡ証明書毎にクライアント証明書失効リスト（ＣＲＬ:Certificate Revocation List）を発行することにより、失効した証明書にかかる情報を通知する。
【０００４】
クライアント端末と公開鍵暗号方式を用いた通信を行うサーバは、以下の方法でＣＲＬを取得する。まずサーバは、ＣＡ証明書に対応するＣＲＬの格納先（ＣＤＰ）について、ＣＡ証明書毎にＣＤＰを指定する。そして、クライアント端末がサーバに接続するときに、サーバは、所望のＣＲＬをそのＣＲＬに対応するＣＤＰを参照することによって取得する。
【０００５】
関連技術として、特許文献１には、データネットワークにおける貧弱なクライアントデバイスのための集中証明書管理システムが開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開平１１−３１７７３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
クライアント端末と公開鍵暗号方式を用いた通信をするサーバにおいては、クライアントの認証領域（電子証明書の利用可能対象を特定する領域）を複数運用する場合が考えられる。その場合、サーバはクライアント端末がいずれの認証領域にアクセスする場合であっても、クライアント端末から取得したＣＡ証明書が有効であるか否かを検証するために、ＣＲＬに記載された全てのＣＡ証明書を参照する必要があった。そのため、サーバはＣＡ証明書の効率良い検証ができないという課題があった。
【０００８】
本発明は、このような問題点を解決するためになされたものであり、電子証明書の効率的な検証を可能にする証明書失効リスト管理システム、証明書失効リスト生成装置、検証装置及び電子証明書検証方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明の第一の態様は、クライアント端末を認証するための電子証明書の証明書失効リストを管理する証明書失効リスト管理システムを含む。この証明書失効リスト管理システムは、失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成し、前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより当該電子証明書が有効か否かを検証する。
【００１０】
本発明の第二の態様は、クライアント端末を認証するための電子証明書の証明書失効リストを発行する証明書失効リスト生成装置を含む。この証明書失効リスト生成装置は、失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成する。
【００１１】
本発明の第三の態様は、クライアント端末を認証するための電子証明書が有効であるか否かを、前記電子証明書の証明書失効リストに基づいて検証する検証装置を含む。この検証装置は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより当該電子証明書が有効か否かを検証する。
【００１２】
本発明の第四の態様は、失効した電子証明書を特定する証明書失効リストを参照して電子証明書を検証する電子証明書検証方法である。この電子証明書検証方法は、以下のステップ（ａ）及び（ｂ）を含む。
（ａ）失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成すること、
（ｂ）前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより、当該電子証明書が有効か否かを検証する。
【発明の効果】
【００１３】
上述した本発明の各態様により、電子証明書の効率的な検証を可能にする証明書失効リスト管理システム、証明書失効リスト生成装置、検証装置及び電子証明書検証方法を提供することができる。
【図面の簡単な説明】
【００１４】
【図１】実施の形態１にかかる証明書失効リスト管理システムの一例を示す構成図である。
【図２】実施の形態１にかかる証明書失効リスト管理システムの処理例を示すフローチャートである。
【図３】実施の形態２にかかるＳＳＬ暗号化システムの一例を示す構成図である。
【図４】実施の形態２にかかるＳＳＬ暗号化システムのゲートウェイ側の制御部を示す構成図である。
【図５】実施の形態２にかかるクライアント証明書の一例を示す図である。
【図６】実施の形態２にかかる認証局内のＣＤＰに格納された情報を示す図である。
【図７】実施の形態２にかかるＳＳＬ−ＶＰＮゲートウェイ装置の処理の詳細の一例を示す図である。
【発明を実施するための形態】
【００１５】
実施の形態１
以下、図面を参照して本発明の実施の形態について説明する。
【００１６】
図１は、実施の形態１にかかる証明書失効リスト管理システムの一例を示す構成図である。証明書失効リスト管理システム１０は、クライアント端末１１（図中ではクライアントと略記）と接続されており、クライアント端末を認証するための電子証明書の証明書失効リストを予め生成し、管理している。証明書失効リスト管理システム１０とクライアント端末１１とは、物理的には有線又は無線により接続されている。証明書失効リスト管理システム１０とクライアント端末１１とは、インターネットやＬＡＮ（Local Area Network）等のネットワークを介して接続されている。
【００１７】
証明書失効リスト管理システム１０は、失効した電子証明書を識別する電子証明書識別情報と、その電子証明書の利用可能対象を特定する認証領域とを関連付けて証明書失効リストを生成する。そして証明書失効リスト管理システム１０は認証処理を実行するときに、証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより、電子証明書が有効か否かを検証する。失効した電子証明書を識別する電子証明書識別情報は、例えば失効した電子証明書のシリアル番号といった情報である。電子証明書識別情報は、その他、失効した電子証明書を識別可能であるならば、いかなる情報であってもよい。
【００１８】
証明書失効リスト管理システム１０は、例えば電子証明書及び電子証明書に対応する証明書失効リストを生成する認証局や、クライアント端末１１の電子証明書の正当性を検証する検証装置（サーバ、ゲートウェイ等の装置）により構成される。
【００１９】
クライアント端末１１は、証明書失効リスト管理システム１０にアクセスして、電子証明書の検証処理を受ける。そして、クライアント端末１１は、電子証明書に関連付けられた証明書失効リスト管理システム１０内の認証領域にアクセスする。
【００２０】
図２は、証明書失効リスト管理システム１０の処理例を示すフローチャートである。以下、図２を用いて、認証処理のときに証明書失効リスト管理システム１０が実行する処理について説明する。
【００２１】
クライアント端末１１は、証明書失効リスト管理システム１０にアクセスする。ここで証明書失効リスト管理システム１０は、クライアント端末１１の電子証明書（認証処理対象の電子証明書）を識別する電子証明書識別情報を取得する（ステップＳ１１）。
【００２２】
次に証明書失効リスト管理システム１０は、クライアント端末１１の電子証明書と関連付けられた認証領域がどの認証領域であるかを判定する（ステップＳ１２）。
【００２３】
証明書失効リスト管理システム１０は、例えば電子証明書識別情報が付された電子証明書をクライアント端末１１から取得することにより、ステップＳ１１の処理をすることができる。あるいは、証明書失効リスト管理システム１０は、クライアント端末１１から電子証明書に関連付けられた認証領域の情報を取得することにより、ステップＳ１１の処理をしてもよい。
【００２４】
同様に、証明書失効リスト管理システム１０は、認証領域の情報が付された電子証明書をクライアント端末１１から取得することにより、ステップＳ１２の判定をすることができる。あるいは、証明書失効リスト管理システム１０は、クライアント端末１１から電子証明書に関連付けられた認証領域の情報を取得することにより、ステップＳ１２の判定をしてもよい。
【００２５】
なお、ステップＳ１１、Ｓ１２の処理は同時になされてもよいし、逆の順番でなされてもよい。
【００２６】
証明書失効リスト管理システム１０は、ステップＳ１１で取得した電子証明書識別情報と、ステップＳ１２で判定した認証領域に基づき、管理する証明書失効リストを参照する（ステップＳ１３）。ここで、証明書失効リスト管理システム１０は、証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照する。
【００２７】
上述の処理について、例を挙げて説明する。証明書失効リスト管理システム１０における認証領域が、認証領域ａ、認証領域ｂ、認証領域ｃ、認証領域ｄ、認証領域ｅ、認証領域ｆの６つあり、クライアント端末の電子証明書に関連付けられた認証領域が認証領域ａである場合を考える。ここで、証明書失効リスト管理システム１０は、証明書失効リストのうち、認証領域ａを有する電子証明書を含む一部のリストを参照する。証明書失効リスト管理システム１０は、認証領域ａのみを含むリストを参照してもよいし、認証領域ａ、ｂを含むリストを参照してもよい。あるいは、証明書失効リスト管理システム１０は、認証領域ａ〜認証領域ｅを含むリストを参照してもよいし、認証領域ａ〜認証領域ｄ及び認証領域ｆを含むリストを参照してもよい。
【００２８】
ここで、証明書失効リスト管理システム１０は、予め証明書失効リストを失効した電子証明書の認証領域毎に分けて生成していてもよい。証明書失効リスト管理システム１０は、ステップＳ１３において、認証領域ａを有する電子証明書を含む一部のリストを参照する。あるいは、証明書失効リスト管理システム１０は、１の証明書失効リストに、失効した電子証明書の電子証明書識別情報と、電子証明書の認証領域とを対応付けて記載することにより、証明書失効リストを生成してもよい。その場合、証明書失効リスト管理システム１０は、ステップＳ１３において、ステップＳ１２の処理で判定した認証領域をキーとして証明書失効リストを検索することにより、認証領域ａを有する電子証明書を含む一部のリストを参照してもよい。このようにして、証明書失効リスト管理システム１０は、失効した電子証明書と当該電子証明書の認証領域とを関連付けて前記証明書失効リストを生成している。
【００２９】
以上の処理により、証明書失効リスト管理システム１０は、認証領域ａを有する電子証明書を含む一部のリストを抽出することができる。証明書失効リスト管理システム１０は、抽出したリスト中の電子証明書を参照することにより、クライアント端末１１の電子証明書が有効か否か（失効されていないかどうか）を検証する。
【００３０】
証明書失効リスト管理システム１０は、参照した証明書失効リストに、クライアント端末１１の電子証明書の電子証明書識別情報の記載があるか否かを判定する（ステップＳ１４）。
【００３１】
証明書失効リストにクライアント端末１１の電子証明書識別情報が記載されている場合には（ステップＳ１４のＹｅｓ）、証明書失効リスト管理システム１０は認証処理対象の電子証明書が失効していると判定する（ステップＳ１５）。
【００３２】
証明書失効リストにクライアント端末１１の電子証明書が記載されていない場合には（ステップＳ１４のＮｏ）、証明書失効リスト管理システム１０は認証処理対象の電子証明書が有効であると判定する（ステップＳ１６）。
【００３３】
以上の処理において、証明書失効リスト管理システム１０は、電子証明書の有効性を検証するときに、証明書失効リストに記載された全ての電子証明書を参照する必要がない。従って、証明書失効リスト管理システム１０は、電子証明書の有効性をより早く検証できるため、電子証明書の効率的な検証を可能にすることができる。
【００３４】
なお、証明書失効リスト管理システム１０は、次のような認証局の装置（証明書失効リスト生成装置）と検証装置を含むことにより構成されていてもよい。認証局の装置は、クライアント端末を認証するための電子証明書の証明書失効リストを発行し、失効した電子証明書を識別する電子証明書識別情報と、その電子証明書の利用可能対象を特定する認証領域とを関連付けて証明書失効リストを生成する。
【００３５】
検証装置は、クライアント端末を認証するための電子証明書が有効であるか否かを、電子証明書の証明書失効リストに基づいて検証する。具体的には、検証装置は、証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより、その電子証明書が有効か否かを検証する。参照する証明書失効リストは、上述の認証局の装置により生成される。
【００３６】
実施の形態１に記載した発明の一態様には、失効した電子証明書を特定する証明書失効リストを参照して電子証明書を検証する電子証明書検証方法も含まれる。この電子証明書検証方法は、以下のステップ（ａ）及び（ｂ）を含む。
（ａ）失効した前記電子証明書を識別する電子証明書識別情報と、当該電子証明書の利用可能対象を特定する認証領域とを関連付けて前記証明書失効リストを生成すること、
（ｂ）前記クライアント端末の認証処理を実行する場合は、前記証明書失効リスト全体のうち認証処理対象の電子証明書と関連付けられた認証領域と同一の認証領域を有する電子証明書を含む一部のリストを参照することにより、当該電子証明書が有効か否かを検証する。
【００３７】
実施の形態２
以下、図面を参照して本発明の実施の形態２について説明する。図２は、本発明のクライアント証明書失効管理方式の一実施例であるＳＳＬ（Secure Socket Layer）暗号化システムを示す構成図である。ＳＳＬ暗号化システム２０は、ＳＳＬ−ＶＰＮ（Virtual Private Network）ゲートウェイ装置２７、認証局２８及び端末２９を備える。ＳＳＬ−ＶＰＮ（Virtual Private Network）ゲートウェイ装置２７は、クライアント端末２１〜２５とインターネット２６を介して、公開鍵暗号方式を用いた電子署名通信や暗号通信を実行することができる。
【００３８】
個々のクライアント端末２１〜２５は、ＳＳＬ−ＶＰＮゲートウェイ装置２７とインターネット２６を介して接続されており、暗号化にＳＳＬを利用したＶＰＮ技術を用いてＳＳＬ−ＶＰＮゲートウェイ装置２７、端末２９と通信を実行する。
【００３９】
ＳＳＬ−ＶＰＮゲートウェイ装置（検証装置）２７は、クライアント端末２１〜２５と通信を実行する装置である。またＳＳＬ−ＶＰＮゲートウェイ装置２７は、認証局２８からＣＲＬ（クライアント証明書失効リスト）２９を取得する。クライアント端末２１〜２５は、ＳＳＬ−ＶＰＮゲートウェイ装置２７が設定した端末２９の認証領域ａ、認証領域ｂの少なくともいずれかにアクセスすることができる。クライアント端末２１〜２５は、ＳＳＬ−ＶＰＮゲートウェイ装置２７において認証処理を受けることにより、端末２９にアクセスすることができる。換言すれば、ＳＳＬ−ＶＰＮゲートウェイ装置２７は、クライアント端末２１〜２５が端末２９にアクセス可能か否かを制御する装置である。
【００４０】
認証局２８は、クライアント証明書（電子証明書）及びクライアント証明書に対応するＣＲＬ２８１を発行（生成）する。ＳＳＬ−ＶＰＮゲートウェイ装置２７及び認証局２８は、図１における証明書失効リスト管理システム１０に対応する。
【００４１】
ＣＲＬ２８１は、失効したクライアント証明書を示すクライアント証明書失効リストである。ＣＲＬ２８１においては、失効したクライアント証明書を識別するシリアル番号と、電子証明書の認証領域とが関連付けられている。認証局２８は、認証領域毎にＣＲＬ２８１を複数生成し、格納している。
【００４２】
端末２９はＳＳＬ−ＶＰＮゲートウェイ装置２７に従属している装置であり、ＳＳＬ−ＶＰＮゲートウェイ装置２７を介してクライアント端末２１〜２５と接続することが可能である。
【００４３】
認証局２８、端末２９はイントラネットの内側にあってＬＡＮで接続されている装置であり、ＳＳＬ−ＶＰＮゲートウェイ装置２７を介してインターネット２６と接続されている。
【００４４】
図４は、本発明のクライアント証明書失効リスト管理方式の一実施例であるＣＲＬ管理方式を示す構成図である。図４では、ＳＳＬ−ＶＰＮゲートウェイ装置２７の制御部及び認証局２８の制御部の構成が示されている。
【００４５】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＳＳＬ−ＶＰＮゲートウェイ装置２７においてＣＲＬに関する制御を実行する。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント証明書ユーザ情報取得処理部（証明書情報取得部）３１、認証領域対応ＣＤＰ設定部（ＣＤＰ設定部）３２、認証領域対応ＣＲＬ取得部（ＣＲＬ取得部）３３、認証領域対応ＣＤＰ設定部（ＣＤＰ設定部）３４、認証領域対応ＣＲＬ取得部（ＣＲＬ取得部）３５、フラグ格納部３６、キャッシュＣＲＬ部３７、３８及び証明書有効判定部３９を備える。なお、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０における各部は、適宜ＩＣ（Integrated Circuit）等のハードウェア、プログラム等のソフトウェア等により構成される。
【００４６】
クライアント証明書ユーザ情報取得処理部３１は、ＳＳＬ−ＶＰＮゲートウェイ装置２７がクライアント端末２１〜２５のいずれかから取得したクライアント証明書から、クライアント証明書のユーザ情報として含まれる認証領域の情報を取得する。
【００４７】
認証領域対応ＣＤＰ設定部３２は、認証領域に対応するＣＤＰを予め設定する。認証領域対応ＣＤＰ設定部３２は、認証領域ａに対応するＣＤＰとしてＣＤＰ４３を設定し、その設定を設定格納部３２１に格納する。認証領域対応ＣＤＰ設定部３２は、認証領域ｂに対応するＣＤＰとしてＣＤＰ４４を設定し、その設定を設定格納部３２２に格納する。
【００４８】
認証領域対応ＣＲＬ取得部３３は、クライアント証明書ユーザ情報取得処理部３１が取得した認証領域の情報を参照する。そして、参照した認証領域に対応するＣＤＰを設定格納部３２１又は３２２を参照することにより抽出し、そのＣＤＰ（認証局制御部内のＣＤＰ４３又は４４）からＣＲＬを取得する。
【００４９】
認証領域対応ＣＤＰ設定部３４、認証領域対応ＣＲＬ取得部３５は、それぞれ認証領域対応ＣＤＰ設定部３２、認証領域対応ＣＲＬ取得部３３と同様の処理を実行する。
【００５０】
なお、図４では認証領域対応ＣＤＰ設定部、認証領域対応ＣＲＬ取得部をそれぞれ２つずつＳＳＬ−ＶＰＮゲートウェイ装置制御部３０に設けているが、それ以上の数をＳＳＬ−ＶＰＮゲートウェイ装置制御部３０に設けてもよい。認証領域対応ＣＤＰ設定部、認証領域対応ＣＲＬ取得部を複数設けることにより、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０におけるＣＲＬの取得処理をより早く実行することができる。
【００５１】
フラグ格納部３６は、認証局制御部４０内に格納されたＣＲＬが更新された場合に、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０がその旨を示すフラグを格納する格納部である。フラグ格納部３６には、ＣＲＬａ更新フラグ及びＣＲＬｂ更新フラグが格納されている。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、認証局制御部４０に格納されたＣＲＬを参照し、認証領域ａに対応するＣＲＬが更新された場合には、フラグ格納部３６に格納されたＣＲＬａ更新フラグを「１」に設定する。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、認証領域ａに対応するＣＲＬが更新されていない場合には、ＣＲＬａ更新フラグを「０」に設定する。同様に、認証領域ｂに対応するＣＲＬが更新された場合には、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、フラグ格納部３６に格納されたＣＲＬｂ更新フラグを「１」に設定する。認証領域ｂに対応するＣＲＬが更新されていない場合には、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＲＬｂ更新フラグを「０」に設定する。
【００５２】
キャッシュＣＲＬ部（キャッシュ格納部）３７、３８は、それぞれ認証領域ａ、認証領域ｂのＣＤＰに対応したＣＲＬ３７１（ＣＲＬａ）、ＣＲＬ３８１（ＣＲＬｂ）をキャッシュする。認証領域対応ＣＲＬ取得部３３、３５は、ＣＤＰ４３からＣＲＬａを取得したときに、ＣＲＬａをＣＲＬ３７１としてキャッシュＣＲＬ部３７に格納する。認証領域対応ＣＲＬ取得部３３、３５は、ＣＤＰ４４からＣＲＬｂを取得したときに、ＣＲＬｂをＣＲＬ３８１としてキャッシュＣＲＬ部３８に格納する。
【００５３】
なお、ＣＲＬ３７１は複数のリストを含んでおり、ＣＲＬ３８１は１つのリストを含んでいる。これは、認証領域ａにおける失効した電子証明書の数と、認証領域ｂにおける失効した電子証明書の数とが異なるためである。
【００５４】
証明書有効判定部３９は、認証領域対応ＣＲＬ取得部３３又は３５が取得したＣＲＬに基づいて、クライアント端末から取得したクライアント証明書が有効か否かを判定する。
【００５５】
認証局制御部４０は、クライアント証明書及びＣＲＬに関する制御を実行する。認証局制御部４０は、証明書発行処理部４１、証明書失効処理部４２、ＣＤＰ４３（ＣＤＰａ）及びＣＤＰ４４（ＣＤＰｂ）を備える。認証局制御部４０における各部は、適宜ＩＣ等のハードウェア、プログラム等のソフトウェア等により構成される。
【００５６】
証明書発行処理部４１は、クライアント証明書を発行する。証明書失効処理部４２は、証明書発行処理部４１が発行したクライアント証明書に対応するＣＲＬを発行し、ＣＤＰ４３、４４に格納する。
【００５７】
ＣＤＰ４３は、認証領域ａに対応するＣＲＬ４３１（ＣＲＬａ）を格納しており、ＣＤＰ４４は、認証領域ｂに対応するＣＲＬ４４１（ＣＲＬｂ）を格納している。換言すれば、ＣＲＬ４３１（ＣＲＬａ）には、認証領域ａに関する証明書の失効情報のみが記載されており、ＣＲＬ４４１（ＣＲＬｂ）には、認証領域ｂに関する証明書の失効情報のみが記載されている。ＣＤＰ４３、４４は、認証領域対応ＣＲＬ取得部３３、３５がＣＲＬを参照する参照先である。図４において、認証領域ａ、ｂに対し、ＣＤＰは１つずつ設定されている。
【００５８】
ＣＤＰ４３、４４は、証明書失効処理部４２がＣＲＬを格納する異なる格納先である。具体的には、ＣＤＰ４３、４４は、認証局制御部４０内の異なるメモリアドレスにある格納先である。
【００５９】
なお、ＣＲＬ４３１は複数のリストを含んでおり、ＣＲＬ４４１は１つのリストを含んでいる。これは、認証領域ａにおける失効した電子証明書の数と、認証領域ｂにおける失効した電子証明書の数とが異なるためである。
【００６０】
図５は、実施の形態２において証明書発行処理部４１が発行するクライアント証明書の一例を示した図である。図５では、クライアント証明書１〜５が例として図示されている。
【００６１】
クライアント証明書１には、クライアント証明書１のユーザを示す「Ｕｓｅｒ１」、シリアル番号（電子証明書識別情報）として「Ｓｅｒｉａｌ番号１」、認証領域として「認証領域ａ」の情報がユーザ情報として記載されて（含まれて）いる。つまり、クライアント証明書１には、クライアント証明書に関連付けられた認証領域を示す認証領域情報が付されている。
【００６２】
クライアント証明書２には、クライアント証明書２のユーザを示す「Ｕｓｅｒ２」、シリアル番号として「Ｓｅｒｉａｌ番号２」、認証領域として「認証領域ａ」の情報が記載されている。
【００６３】
クライアント証明書３には、クライアント証明書３のユーザを示す「Ｕｓｅｒ３」、シリアル番号として「Ｓｅｒｉａｌ番号３」、認証領域として「認証領域ａ」の情報が記載されている。
【００６４】
クライアント証明書４には、クライアント証明書４のユーザを示す「Ｕｓｅｒ４」、シリアル番号として「Ｓｅｒｉａｌ番号４」、認証領域として「認証領域ｂ」の情報が記載されている。
【００６５】
クライアント証明書５には、クライアント証明書５のユーザを示す「Ｕｓｅｒ５」、シリアル番号として「Ｓｅｒｉａｌ番号５」、認証領域として「認証領域ｂ」の情報が記載されている。
【００６６】
図６は、認証局制御部４０内のＣＤＰ４３、ＣＤＰ４４に格納される情報を示す図である。
【００６７】
ＣＤＰ４３には、ＣＲＬ４３１（ＣＲＬａ）、ＣＲＬａ発行情報４３２が格納されている。ＣＲＬａ発行情報４３２は、ＣＲＬ４３１の発行日、ＣＲＬ４３１の次の更新予定日、ＣＲＬ４３１に関する失効した証明書情報等の情報が記載されている。本例では、ＣＲＬａ発行情報４３２には、「Ｓｅｒｉａｌ番号３」の証明書が失効したことを示す情報が記載されている。つまり、ＣＲＬ４３１にも、「Ｓｅｒｉａｌ番号３」の証明書が失効したことを示す情報が記載されている。
【００６８】
ＣＤＰ４４には、ＣＲＬ４４１（ＣＲＬｂ）、ＣＲＬｂ発行情報４４２が格納されている。ＣＲＬｂ発行情報４４２は、ＣＲＬ４４１の発行日、ＣＲＬ４４１の次の更新予定日、ＣＲＬ４４１に記載された失効した証明書情報等の情報が記載されている。本例では、ＣＲＬｂ発行情報４４２には、「Ｓｅｒｉａｌ番号５」の証明書が失効したことを示す情報が記載されている。つまり、ＣＲＬ４４１にも、「Ｓｅｒｉａｌ番号５」の証明書が失効したことを示す情報が記載されている。
【００６９】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０が、クライアント認証の処理を実行する概要について説明する。まず、クライアント端末２１〜２５は、予め認証局２８から、それぞれクライアント証明書１〜５を取得する。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント端末２１〜２５のいずれかが認証領域にアクセスする際に、クライアント端末からクライアント証明書を取得する。
【００７０】
クライアント証明書ユーザ情報取得処理部３１は、取得したクライアント証明書に含まれる認証領域の情報を取得する。認証領域対応ＣＲＬ取得部３３又は３５は、証明書失効処理部４２が発行したＣＲＬ４３１又は４４１に更新がある場合には、クライアント証明書ユーザ情報取得処理部３１が取得した認証領域の情報に応じて、予め設定された認証領域に対応するＣＤＰ（ＣＤＰ４３又は４４）を参照する。このようにして、認証領域対応ＣＲＬ取得部３３又は３５は、認証局２８から発行されたＣＲＬを取得する。
【００７１】
認証領域対応ＣＲＬ取得部３３又は３５は、ＣＤＰ４３又は４４に格納されたＣＲＬに更新がないと、認証領域に対応したキャッシュＣＲＬ部（キャッシュＣＲＬ部３８又は３９）を参照する。認証領域対応ＣＲＬ取得部３３又は３５は、何らかの理由でＣＤＰを参照できない場合にも、認証領域に対応したキャッシュＣＲＬ部を参照する。
【００７２】
なお、認証領域対応ＣＲＬ取得部３３又は３５は、ＣＲＬ４３１又は４４１の更新の有無について、フラグ格納部３６を参照することにより判定する。認証領域対応ＣＲＬ取得部３３又は３５は、フラグ格納部３６に格納されたフラグが「１」であれば更新があり、フラグが「０」であれば更新がないと判定する。
【００７３】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、以上のようにしてＣＲＬを取得し、ＣＲＬとクライアントから取得したクライアント証明書とを照合して、クライアント証明書がＣＲＬに記載されているか否かを判定する。
【００７４】
クライアントから取得したクライアント証明書がＣＲＬに記載されている場合には、クライアントから取得したクライアント証明書は失効されたものであると認められる。その場合、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアントからのアクセスを許可しない。
【００７５】
クライアントから取得したクライアント証明書がＣＲＬに記載されていない場合には、クライアントから取得したクライアント証明書は失効していないものであると認められる。その場合、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアントからのアクセスを許可する。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、このようにして、クライアント認証を完了する。
【００７６】
図７は、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０の処理の詳細の一例を示すフローチャートである。図７を用いて、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０がクライアント証明書失効リスト（ＣＲＬ）を管理及び運用するための最良の形態の処理を説明する。
【００７７】
ここで、認証局２８は、予め証明書発行処理部４１にて、認証領域の情報として「認証領域ａ」又は「認証領域ｂ」を記載した図５に記載のクライアント証明書１〜５を発行する。さらに証明書失効処理部４２は、ＣＲＬ４３１（ＣＲＬａ）を発行し、認証領域ａに対応するＣＤＰ４３へ格納する。証明書失効処理部４２は、ＣＲＬ４４１（ＣＲＬｂ）を発行し、認証領域ｂに対応するＣＤＰ４４へ格納する。
【００７８】
認証領域対応ＣＤＰ設定部３２は、予めクライアントの認証領域に対応したＣＤＰ４３（ＣＤＰａ）とＣＤＰ４４（ＣＤＰｂ）を設定する。認証領域対応ＣＤＰ設定部３４も、同様の設定処理を実行する。また、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、認証局制御部４０内に格納されたＣＲＬ４３１（ＣＲＬａ）の更新の有無を予め確認し、更新があればフラグ格納部３６に格納されたＣＲＬａ更新フラグを「１」に設定し、更新がなければフラグ格納部３６に格納されたＣＲＬａ更新フラグを「０」に設定する。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＲＬ４４１（ＣＲＬｂ）の更新の有無を予め確認し、更新があればフラグ格納部３６に格納されたＣＲＬｂ更新フラグを「１」に設定し、更新がなければフラグ格納部３６に格納されたＣＲＬｂ更新フラグを「０」に設定する。以上の処理がなされた状態でＳＳＬ−ＶＰＮゲートウェイ装置２７の実行する処理について説明する。
【００７９】
図５に記載のクライアント証明書１を保有したクライアント端末２１は、インターネット２６を介して、ＳＳＬ−ＶＰＮゲートウェイ装置２７にアクセスする。ＳＳＬ−ＶＰＮゲートウェイ装置２７は、クライアント端末２１に対し、クライアント証明書の送付を要求する。クライアント端末２１は、ＳＳＬ−ＶＰＮゲートウェイ装置２７から出力された要求に基づいて、自身が保有するクライアント証明書１を暗号化してＳＳＬ−ＶＰＮゲートウェイ装置２７に送付する。ＳＳＬ−ＶＰＮゲートウェイ装置２７は、送付されたクライアント証明書１の復号化処理を実行する。ＳＳＬ−ＶＰＮゲートウェイ装置２７は、以上のように取得したクライアント証明書１に基づいて、以下のクライアント認証処理を実行する。
【００８０】
まずＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、取得したクライアント証明書１において、認証領域の情報が記載されているか否かを調べる（ステップＳ２１）。
【００８１】
クライアント証明書１に認証領域の情報が記載されている場合（ステップＳ２１のＹｅｓ）、クライアント証明書ユーザ情報取得処理部３１は、クライアント証明書１の認証領域の情報をクライアント証明書１から取得する（ステップＳ２２）。本例では、クライアント証明書１には、図５に示す通り「認証領域ａ」の情報が記載されている。従って、クライアント証明書ユーザ情報取得処理部３１は、「認証領域ａ」の情報を取得する。
【００８２】
クライアント証明書１に認証領域の情報が記載されていない場合（ステップＳ２１のＮｏ）、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント証明書１における標準の認証領域を、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０の記憶部（図示せず）から取得する（ステップＳ２３）。ここで記憶部には、予めクライアント証明書１の標準の認証領域が認証領域ａであると設定されている。以上のようにして、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント証明書１の認証領域が認証領域ａであると設定する処理を実行する。なお図７では、以上の処理を「標準認証領域設定」として記載している。
【００８３】
ステップＳ２２又はＳ２３の処理が実行された後、認証領域対応ＣＲＬ取得部３３は、フラグ格納部３６内のＣＲＬａ更新フラグを参照する（ステップＳ２４）。これにより、認証領域対応ＣＲＬ取得部３３は、クライアント証明書１に記載された認証領域ａに対応するＣＲＬ４３１（ＣＲＬａ）の更新の有無について判定する（ステップＳ２５）。更新の有無の判定の詳細については前述の通りである。
【００８４】
フラグ格納部３６に格納されたＣＲＬａ更新フラグが「１」の場合、すなわちＣＲＬ４３１（ＣＲＬａ）が更新されている場合には（ステップＳ２５のＹｅｓ）、認証領域対応ＣＲＬ取得部３３は、認証領域対応ＣＤＰ設定部３２内の設定格納部３２１を参照する。これにより、認証領域対応ＣＲＬ取得部３３は、認証領域ａに対応するＣＤＰとしてＣＤＰ４３（ＣＤＰａ）が予め設定されたことを検出する。
【００８５】
この検出結果に応じて、認証領域対応ＣＲＬ取得部３３は、ＣＤＰ４３を選択し、アクセスする（ステップＳ２６）。そして、認証領域対応ＣＲＬ取得部３３は、ＣＤＰ４３に格納されたＣＲＬ４３１（ＣＲＬａ）を参照することが可能か否かを判定する（ステップＳ２７）。
【００８６】
ＣＲＬ４３１（ＣＲＬａ）を参照することが可能な場合（ステップＳ２７のＹｅｓ）、認証領域対応ＣＲＬ取得部３３は、ＣＤＰ４３からＣＲＬ４３１を取得した後、ＣＲＬ４３１が正しく取得されたかどうかを検証する（ステップＳ２８）。そして認証領域対応ＣＲＬ取得部３３は、取得したＣＲＬ４３１を、認証領域ａに対応したキャッシュＣＲＬ部３８へ格納する（ステップＳ２９）。
【００８７】
ステップＳ２４において、フラグ格納部３６に格納されたＣＲＬａ更新フラグが「０」の場合、すなわちＣＲＬ４３１（ＣＲＬａ）が更新されていない場合には（ステップＳ２５のＮｏ）、認証領域対応ＣＲＬ取得部３３は、認証領域ａに対応するキャッシュＣＲＬ部３８を参照する（ステップＳ３０）。そして認証領域対応ＣＲＬ取得部３３は、キャッシュＣＲＬ部３８に格納されたＣＲＬａを取得した後、ＣＲＬａが正しく取得されたかどうかを検証する（ステップＳ３１）。
【００８８】
ステップＳ２７において、ＣＲＬ４３１（ＣＲＬａ）を参照することが不可能な場合にも（ステップＳ２７のＮｏ）、認証領域対応ＣＲＬ取得部３３は、認証領域ａに対応するキャッシュＣＲＬ部３８を参照する（ステップＳ３０）。そして認証領域対応ＣＲＬ取得部３３は、ステップＳ３１の処理を実行する。
【００８９】
クライアント端末２１ではなく、別のクライアント証明書を有するクライアント端末２２〜２５のいずれかがアクセスした場合でも、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は同様の処理を実行する。また、クライアント証明書に記載されている認証領域は認証領域ｂでもよい。すなわち、クライアント端末がアクセスしようとする認証領域は認証領域ｂでもよい。この場合、認証領域対応ＣＲＬ取得部３３は、ＣＤＰ４４に格納されたＣＲＬ４４１（ＣＲＬｂ）又はキャッシュＣＲＬ部３８に格納されたＣＲＬ３８１（ＣＲＬｂ）を取得する。
【００９０】
以下、証明書有効判定部３９は、取得したＣＲＬにおいて、クライアント端末２１から取得したクライアント証明書１を示すシリアル番号が記載されているか否かを判定することにより、クライアント証明書１が有効か失効されているかを判定する。この判定処理は図２のステップＳ１４〜Ｓ１６と同様の処理である。
【００９１】
例えば、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０がクライアント端末２１からクライアント証明書１を取得した場合には、証明書有効判定部３９は図６に記載したＣＲＬ４３１（ＣＲＬａ）を参照する。ここで、ＣＲＬ４３１にはシリアル番号として「Ｓｅｒｉａｌ番号３」が記載されているものの、クライアント証明書１を示す「Ｓｅｒｉａｌ番号１」は記載されていない。従って、証明書有効判定部３９は、クライアント証明書１が有効であると判定する。
【００９２】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０がクライアント端末２５からクライアント証明書５を取得した場合には、証明書有効判定部３９は図６に記載したＣＲＬ４４１（ＣＲＬｂ）を参照する。ここで、ＣＲＬ４４１にはクライアント証明書５を示すシリアル番号として「Ｓｅｒｉａｌ番号５」が記載されている。従って、証明書有効判定部３９は、クライアント証明書５が無効であると判定する。
【００９３】
上述の例では、認証領域対応ＣＲＬ取得部３３がＣＲＬの取得処理を実行したが、認証領域対応ＣＲＬ取得部３５が同様の取得処理を実行してもよい。この場合、認証領域対応ＣＲＬ取得部３５は、設定格納部の参照に際して、認証領域対応ＣＤＰ設定部３４内の設定格納部３４１又は３４２を参照する。
【００９４】
実施の形態２において、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、認証局制御部４０に格納された全てのＣＲＬのうち（ＣＲＬ全体のうち）、認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書を含む一部のリストを参照している。従って、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント証明書の有効性をより早く検証できるため、効率良い検証を実現することができる。
【００９５】
さらに実施の形態２において、証明書発行処理部４１は、クライアント証明書に、そのクライアント証明書と関連付けられた認証領域を示す認証領域情報を付して発行している。そのため、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、その認証領域情報を取得することにより、容易にクライアント証明書に関連付けられた認証領域を検証することができる。
【００９６】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、認証局制御部４０に格納された全てのＣＲＬのうち、認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書のみを参照している。つまり、認証処理対象のクライアント証明書における認証領域が認証領域ａであれば、認証領域ａのみに関するＣＲＬを参照する。これにより、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、他の認証領域に関するＣＲＬを参照する場合と比較して、クライアント証明書の有効性をより早く検証できるため、効率良い検証を実現することができる。
【００９７】
証明書失効処理部４２は、認証領域毎にＣＲＬを分割し、生成している。このため、失効したクライアント証明書の情報が一つのＣＲＬに全て記載されている場合と比較して、認証領域に基づくＣＲＬの管理及び運用がより容易になる。さらに、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＲＬを選択することにより、容易に認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書のみを参照することができる。
【００９８】
従来では、ＳＳＬ−ＶＰＮゲートウェイ装置２７で認証領域を複数運用する場合でも、失効されたクライアント証明書とその認証領域とはＣＲＬにおいて関連付けられていなかった。特に、管理するＣＲＬが一つの場合、ＣＲＬの効率良い管理ができなかった。本例では、ＣＲＬが認証領域毎に分割され、ＳＳＬ−ＶＰＮゲートウェイ装置２７は認証処理対象となったクライアント証明書が有する認証領域に対応したＣＲＬのみを取得することができる。そのため、管理者の運用ポリシーに沿ったクライアント失効管理を容易に実行することができる。換言すれば、クライアント証明書失効管理者の管理作業を効率的にすることができる。
【００９９】
証明書失効処理部４２は、ＣＲＬを認証領域に応じて異なる格納先に格納している。そして、認証領域対応ＣＲＬ取得部３３又は３５は、認証処理対象のクライアント証明書と関連付けられた認証領域に基づいてアクセスする格納先を選択することにより、取得するＣＲＬを選択する。これにより、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、容易に認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書のみを参照することができる。
【０１００】
ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＲＬのキャッシュを格納するキャッシュＣＲＬ部を備える。ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＤＰ内のＣＲＬが参照可能ではないと判定したとき、キャッシュＣＲＬ部に格納されたＣＲＬ全体のうち、認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書を含む一部のリストのキャッシュを参照する。このため、ＣＤＰ内のＣＲＬが何らかの理由で参照可能ではない場合でも、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は不具合なく認証対象のクライアント証明書を検証することができる。つまり、クライアント端末において認証処理のための接続が可能となる。そのため、ＳＳＬ−ＶＰＮゲートウェイ装置２７がクライアントの有効状態を判断できず、クライアントの接続先へのアクセスが一切不能になるということがない。
【０１０１】
さらに、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、ＣＤＰ内のＣＲＬが更新されていないと判定したとき、キャッシュＣＲＬ部に格納されたＣＲＬ全体のうち、認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書を含む一部のリストのキャッシュを参照する。このため、ＣＤＰ内のＣＲＬが更新されていない場合には、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は認証局制御部４０にアクセスしてＣＲＬを参照する必要がない。そのため、検証における処理速度を向上させることができる。
【０１０２】
特に、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、取得したＣＲＬを認証領域毎に分けてキャッシュＣＲＬ部に格納し、検証処理のときに、認証処理対象のクライアント証明書と関連付けられた認証領域と同一の認証領域を有するクライアント証明書のみを含むリストのキャッシュを参照している。このため、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は、クライアント証明書の有効性をより早く検証できるため、効率良い検証を実現することができる。
【０１０３】
以上のようにして、クライアント証明書認証を実行するクライアント証明書失効リスト管理システムの信頼性向上を図ることができる。
【０１０４】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
【０１０５】
例えば、実施の形態２において認証局２８はイントラネットの内側にある装置でなくてもよく、ＳＳＬ−ＶＰＮゲートウェイ装置２７とは無関係にインターネット２６に接続された装置であってもよい。端末２９は、ＳＳＬ−ＶＰＮゲートウェイ装置２７に従属していなくともよい。
【０１０６】
ＳＳＬ−ＶＰＮゲートウェイ装置２７は、実施の形態２に記載の処理を実行するようにプログラムされたサーバ等で代用することができる。
【０１０７】
電子証明書を発行する認証局と、その電子証明書に対応する証明書失効リストを発行する認証局は同一の認証局２８でなくともよく、他の認証局であってもよい。
【０１０８】
実施の形態２において、認証領域は認証領域ａ、ｂの二種類が設定されているが、それ以上の数だけ設定されていてもよい。図４において、１つの認証領域に対してＣＤＰは１つ設定されていたが、ＣＤＰは１つの認証領域に対し複数設定されていてもよい。つまり、ＣＲＬの認証領域に応じて、ＣＲＬを格納するＣＤＰが異なっていればよい。このようにしても、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０は認証領域に応じてアクセスするＣＤＰを選択することにより、認証局制御部４０に格納されている全てのＣＲＬを参照する必要がなくなる。同様に、キャッシュＣＲＬ部についても、１つの認証領域に対して１つ設定されるのではなく、１つの認証領域に対し複数設定されていてもよい。
【０１０９】
図４では、認証領域ａに対応するＣＲＬは複数あり、認証領域ｂに対応するＣＲＬは１つあった。しかし、各認証領域に対応するＣＲＬの数は任意の数でよく、また、ＣＤＰに格納されるＣＲＬの数も任意でよい。
【０１１０】
実施の形態２において、認証局２８はＣＲＬを作成して格納し、ＳＳＬ-ＶＰＮゲートウェイ装置２７はＣＲＬを取得してクライアント端末の認証処理を実行した。しかし、認証局２８が、ＳＳＬ-ＶＰＮゲートウェイ装置２７がクライアント端末から取得した電子証明書の内容を取得して、図７に示した処理を実行してもよい。
【０１１１】
認証局制御部４０は、ＣＲＬを認証領域に応じて複数生成し、格納している。つまり、失効した電子証明書の認証領域が認証領域ａか、認証領域ｂかで分けてＣＲＬを発行している。しかし、認証局制御部４０は、認証領域に基づいて分けずにＣＲＬを発行してもよい。ＣＲＬにおいて、失効した電子証明書とそれが用いられる認証領域とを対応付けて記載すれば、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０が電子証明書に付された認証領域情報に基づいてＣＲＬを参照することにより、認証局制御部４０に格納された全てのＣＲＬを参照する必要がない。ただし、ＳＳＬ−ＶＰＮゲートウェイ装置制御部３０の検証処理をより早く実現するためには、証明書失効処理部４２が、失効した電子証明書の認証領域毎に分割してＣＲＬを発行するのがより望ましい。
【符号の説明】
【０１１２】
１０  証明書失効リスト管理システム            １１  クライアント端末
２０  ＳＳＬ暗号化システム
２１、２２、２３、２４、２５  クライアント端末            ２６  インターネット
２７  ＳＳＬ−ＶＰＮゲートウェイ装置            ２８  認証局
２８１  ＣＲＬ            ２９  端末
３０  ＳＳＬ−ＶＰＮゲートウェイ装置制御部
３１  クライアント証明書ユーザ情報取得処理部
３２  認証領域対応ＣＤＰ設定部            ３２１、３２２  設定格納部
３３  認証領域対応ＣＲＬ取得部            ３４  認証領域対応ＣＤＰ設定部
３４１、３４２  設定格納部            ３５  認証領域対応ＣＲＬ取得部
３６  フラグ格納部            ３７、３８  キャッシュＣＲＬ部
３７１、３８１  ＣＲＬ            ３９  証明書有効判定部
４０  認証局制御部            ４１  証明書発行処理部
４２  証明書失効処理部            ４３、４４  ＣＤＰ
４３１、４４１  ＣＲＬ
４３２  ＣＲＬａ発行情報            ４４２  ＣＲＬｂ発行情報
【図１】
2014033395.tif 000003
【図２】
2014033395.tif 000004
【図３】
2014033395.tif 000005
【図４】
2014033395.tif 000006
【図５】
2014033395.tif 000007
【図６】
2014033395.tif 000008
【図７】
2014033395.tif 000009