(57)【要約】【課題】電子証明書の検証要求を受け付ける度に発生する、パス構築・パス検証に必要なディレクトリサーバへのアクセスを発生させない証明書検証装置を提供する。【解決手段】電子証明書の有効性検証を行なう証明書検証サーバ２が、検証クライアント１からの証明書検証リクエストを受付けて、ディレクトリサーバ３を検索して証明書の認証パスを構築し検証を行なうプロセスにおいて、証明書認証パスを検証した結果をキャッシュしておく。【選択図】図１
2006287455.tif 000002
【特許請求の範囲】
【請求項１】
電子署名されたデータの認証パスを構築して証明書の有効性検証を行なう際に、キャッシュ部から検証済み認証パスを検索し、
キャッシュが存在している場合には、キャッシュされた検証済み認証パスを用い、
キャッシュが存在していない場合には、認証局が発行した公開鍵証明書及び失効リストを登録して公開するディレクトリサーバを検索して、パス構築に必要な証明書を取得し、検索結果を検証済み認証パスとしてキャッシュすることを特徴とする証明書検証装置。
【請求項２】
キャッシュしている証明書または失効リストのキャッシュクリア操作と同期して、検証済み認証パスのキャッシュをクリアすることを特徴とする請求項１に記載の証明書検証装置。
【請求項３】
電子署名されたデータの認証パスを構築して証明書の有効性検証を行なう際に、キャッシュ部から検証済み認証パスを検索し、
キャッシュが存在している場合には、キャッシュされた検証済み認証パスを用い、
キャッシュが存在していない場合には、認証局が発行した公開鍵証明書及び失効リストを登録して公開するディレクトリサーバを検索して、パス構築に必要な証明書を取得し、検索結果を検証済み認証パスとしてキャッシュすることを特徴とする証明書検証方法。
【請求項４】
キャッシュしている証明書または失効リストのキャッシュクリア操作と同期して、検証済み認証パスのキャッシュをクリアすることを特徴とする請求項３に記載の証明書検証方法。
【請求項５】
電子証明書の有効性検証を行なう証明書検証サーバであって、
証明書検証クライアントから受信した証明書検証要求メッセージを解読して検証対象証明書と信頼証明書を取得する送受信部と、
認証局が発行した公開鍵証明書及び失効リストを登録して公開するディレクトリサーバにアクセスし、送受信部が取得した２つの証明書間の認証パスの構築に必要な証明書を取得するパス構築部と、
認証局が発行した公開鍵証明書及び失効リストを登録して公開するディレクトリサーバにアクセスし、パス構築部が構築した認証パスの各々の証明書に対応する失効リストを取得し失効検証を行なうパス検証部と、
パス検証部が検証した認証パスのキャッシュを行なうキャッシュ部とを備えることを特徴とする証明書検証サーバ。
【請求項６】
前記パス構築部は、キャッシュしている証明書または失効リストのキャッシュクリア操作と同期して、検証済み認証パスのキャッシュをクリアすることを特徴とする請求項５に記載の証明書検証サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、証明書検証サーバのレスポンス応答時間の高速化方法に関する。
【背景技術】
【０００２】
従来、証明書検証サーバの高速化手法の一例として、パス構築・パス検証に使用する電子証明書や証明書失効リスト（ＣＲＬ）をサーバ上にキャッシュしておく方法がある。
【０００３】
また、証明書の有効性確認にかかる時間を短縮するため、検証が成立したパスを端末収容認証局に対応付けてパスＤＢに登録し、証明書の有効性確認依頼があった場合、パスＤＢに登録されているか否かを調べ、登録されていれば有効と判断する証明書の有効性確認方法がある（例えば、特許文献１参照）。
【特許文献１】特開２００２−７２８７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の方法ではキャッシュした証明書から証明書認証パスを構築し、キャッシュしたＣＲＬから証明書認証パスの有効性を検証する必要があった。そのため大規模なＰＫＩ(Public Key Infrastructure)環境での運用や、証明書検証サーバへアクセスするクライアント数が増加した場合のレスポンス低下を防ぐことは困難であった。
【０００５】
そこで本発明は、電子証明書の検証要求を受け付ける度に発生する、パス構築・パス検証に必要なディレクトリサーバへのアクセスを発生させない証明書検証装置及び方法並びに証明書検証サーバを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述の課題を解決するため、本発明は、電子証明書の有効性検証を行なう証明書検証サーバが、検証クライアントからの証明書検証リクエストを受付けて、ディレクトリサーバを検索して証明書の認証パスを構築し検証を行なうプロセスにおいて、証明書認証パスを検証した結果をキャッシュしておくことを特徴とする。
【０００７】
以上の構成によって、サーバの負荷軽減と、レスポンスの応答時間を軽減することができる。
【発明の効果】
【０００８】
本発明による第１の効果は、証明書検証クライアントからの検証要求を受け付ける度に発生する、パス構築・パス検証に必要なディレクトリサーバへのアクセスを発生させないことである。その理由は、キャッシュによりディレクトリサーバからの証明書及び失効リストの検索対象は、検証を行なうＰＫＩの規模に２次関数的に比例するため、非常に煩雑で高いネットワークの負荷を低減できるからである。
【０００９】
第２の効果は、検証済み認証パスをキャッシュすることにより、キャッシュしている証明書及び失効リストを使用した、キャッシュ中のパス構築・パス検証を発生させないことである。その理由は、キャッシュしている証明書及び失効リストが増加すると、キャッシュ中の認証パスの構築でさえも非常に負荷の高い処理となり、キャッシュ効果が低減してしまうからである。
【００１０】
第３の効果は、単に取得した証明書及び失効リストをキャッシュしているシステムと同等のキャッシュ鮮度を保つことができることである。その理由はキャッシュしている証明書または失効リストのキャッシュクリア操作と同期して、検証済み認証パスのキャッシュをクリアするからである。
【発明を実施するための最良の形態】
【００１１】
次に、本発明の最良の形態について図面を参照して説明する。
【実施例１】
【００１２】
図１は、本発明による証明書検証システムの構成を示し、証明書検証クライアント１と、証明書検証サーバ２と、ディレクトリサーバ３と、認証局システム４と、電子署名実行端末５と、これらを相互に接続するインターネット等の通信ネットワーク６から構成されている。
【００１３】
証明書検証クライアント１は、送受信部１１と、検証対象証明書取得部１２と、信頼証明書取得部１３を備えている。
【００１４】
送受信部１１は、通信ネットワーク６を通じて証明書検証要求メッセージを証明書検証サーバ２に送信し。証明書検証応答メッセージを証明書検証サーバ２から受信する。検証対象証明書取得部１２は、電子署名文章から証明書の取得を行ない送受信部１１に渡す。信頼証明書取得部１３は、証明書検証クライアントで保持している証明書の中から、信頼の基準とする証明書を取得し、送受信部１１に渡す。
【００１５】
証明書検証サーバ２は、送受信部２１と、パス構築部２２と、パス検証部２３と、キャッシュ部２４を備えている。
【００１６】
送受信部２１は、証明書検証クライアント１から受信した証明書検証要求メッセージを解読して検証対象証明書と信頼証明書を取得する。パス構築部２２は、通信ネットワーク６を通じてディレクトリサーバ３にアクセスし、送受信部２１が取得した２つの証明書間の認証パスの構築に必要な証明書を取得する。パス検証部２３は、通信ネットワーク６を通じてディレクトリサーバ３にアクセスし、パス構築部２２が構築した認証パスの各々の証明書に対応する失効リストを取得し失効検証を行なう。キャッシュ部２４は、パス検証部２３が検証した認証パスのキャッシュを行なう。
【００１７】
ディレクトリサーバ３は、証明書公開部３１と失効リスト公開部３２を備えている。
【００１８】
証明書公開部３１、失効リスト公開部３２は、複数の認証局システム４が発行した公開鍵証明書及び失効リストの保管と公開を行なう。
【００１９】
認証局システム４は、登録部４１と発行部４２を備えている。
【００２０】
登録部４１は、電子署名実行端末５や、認証局システム４とは別の認証局システムの登録状況に基づいて証明書発行要求を発行部４２に通知する。発行部４２は、証明書発行要求に対して公開鍵証明書を発行する。
【００２１】
電子署名実行端末５は、証明書取得部５１と署名部５２を備えている。
【００２２】
証明書取得部５１は、認証局システム４に対して証明書発行要求を行い、発行された公開鍵証明書を受け取る。署名部５２は、署名対象データに対して電子署名を行なう。
【００２３】
次に、図２、図３、図４、図５を参照して本実施例の全体の処理について説明する。
【００２４】
図２は、証明書検証サーバを利用するにあたっての、電子署名実行端末及び認証局システムへの証明書発行の処理を示す。認証局システムの登録部は利用者データを含む公開鍵証明書の発行を発行部に申請する（Ａ１）。認証局システムの発行部は公開鍵証明書を発行し（Ａ２）、電子署名実行端末の証明書取得部または他の認証局システムに配布する（Ａ３）。
【００２５】
また、他の認証局システムに配布した証明書はディレクトリサーバの証明書公開部に公開鍵証明書を登録する（Ａ４）。登録部への申請、電子署名実行端末及び他の認証局システムへ証明書の配布方法及び秘密鍵の配布方法は、認証局システムに依存する部分であり問わない。
【００２６】
次に図３は、証明書検証サーバを利用するにあたっての、証明書失効の処理を示す。認証局システムの登録部は、公開鍵証明書の失効を発行部に申請する（Ｂ１）。認証局システムの発行部は、証明書失効リストを発行し（Ｂ２）、ディレクトリサーバの失効リスト公開部に登録する（Ｂ３）。
【００２７】
次に図４は、証明書検証クライアントが証明書検証サーバにアクセスする処理を示す。電子署名実行端末の署名部は、電子署名対象データへ署名を行い証明書検証クライアントの送受信部に送信する（Ｃ１）。送信方法は電子署名実行端末と証明書検証クライアントでの定義に依存する部分であり問わない。
【００２８】
証明書検証クライアントの送受信部は、受信した電子署名データを検証対象証明書取得部に渡し（Ｃ２）、取得した証明書を送受信部に渡す（Ｃ３）。信頼証明書取得部は、証明書検証クライアントで保持している信頼証明書リストから選択した証明書を送受信部に渡す（Ｃ４）。送受信部は、検証対象証明書及び信頼証明書を証明書検証要求のパラメータとして設定して、証明書検証サーバに送付する（Ｃ５）。
【００２９】
証明書検証サーバの送受信部は、受信した証明書検証要求を検証サーバの内部に展開し、証明書検証結果を証明書検証クライアントの送受信部に送信する（Ｃ６）。
【００３０】
次に図５は、証明書検証サーバが証明書のパス検証を行い、パス検証結果をキャッシュに保管する処理を示す。証明書検証サーバの送受信部は、受信した証明書検証要求から証明書を取り出し（Ｄ１）、検証対象証明書をパス構築部に渡し（Ｄ２）、信頼証明書をパス構築部に渡す（Ｄ３）。パス構築部は検証対象証明書を発行したＣＡ(Certificate Authority：認証局)証明書から信頼証明書までの検証済み認証パスをキャッシュ部から検索する（Ｄ４）。キャッシュが存在している場合には、認証パスをパス検証部に渡し（Ｄ９）、パス検証部は検証済み認証パスを送受信部に渡す（Ｄ１２）。
【００３１】
Ｄ４でキャッシュが存在していない場合には、ディレクトリサーバの証明書公開部に対して、検証対象証明書を発行したＣＡ証明書を検索して取得し（Ｄ５〜Ｄ６）、信頼証明書から検証対象証明書を発行したＣＡ証明書間のパス構築に必要な証明書を検索して取得する（Ｄ７〜Ｄ８）。ここでパス構築部は複数のディレクトリサーバにアクセスする場合があるが、ディレクトリサーバの構成に依存する部分であるためその手法は問わない。
【００３２】
パス構築部は、取得した証明書を用いて認証パスを構築し、パス検証部へ渡す（Ｄ９）。パス検証部は、ディレクトリサーバの失効リスト公開部を検索して失効リストを取得し（Ｄ１０〜Ｄ１１）、認証パス中に含まれる各証明書の失効確認を行なった結果を検証済み認証パスとしてキャッシュ部及び送受信部に渡す（Ｄ１２）。
【００３３】
また、パス構築部は、キャッシュしている証明書または失効リストのキャッシュ保有時間が過ぎるとキャッシュクリア操作を行う。さらに、このキャッシュクリア操作または操作者によるキャッシュクリア操作と同期して、検証済み認証パスのキャッシュをクリアする。
【実施例２】
【００３４】
次に本発明の第２の実施例について説明する。
【００３５】
証明書の認証パスの構築・検証手法として、証明書検証サーバを利用せずに、証明書検証クライアントが自らディレクトリサーバにアクセスして認証パスの構築・検証を行なうシステムとすることが考えられる。
【００３６】
本実施例では、第１の実施例と同様に、検証済み認証パスをキャッシュすることにより、ディレクトリサーバへのアクセスを低減し、パス構築結果を得ることができる。
【産業上の利用可能性】
【００３７】
本発明によれば、データベースから検索した結果を繰り返し表示する情報検索プログラムや、自然言語処理や辞書機能など入出力値が予想されるようなプログラムに広く適用できる。
【図面の簡単な説明】
【００３８】
【図１】本発明のシステム構成図である。
【図２】証明書発行の処理を示すシーケンス図である。
【図３】証明書失効の処理を示すシーケンス図である。
【図４】証明書検証サーバへのアクセス処理を示すシーケンス図である。
【図５】パス検証結果をキャッシュに保管する処理を示すシーケンス図である。
【符号の説明】
【００３９】
１  証明書検証クライアント
２  証明書検証サーバ
３  ディレクトリサーバ
４  認証局システム
５  電子署名実行端末
６  通信ネットワーク
【図１】
2006287455.tif 000003
【図２】
2006287455.tif 000004
【図３】
2006287455.tif 000005
【図４】
2006287455.tif 000006
【図５】
2006287455.tif 000007