(57)【要約】【課題】匿名性とセキュリティを確保すべく発信者および着信者の匿名性を保持しつつ発信者からの通信の接続を可能とするメールアクセス制御方式を提供すること。【解決手段】着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを、発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービスにおいて受け取り、該セキュア・コミュニケーション・サービスにおいて、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御する。また、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を定義し、通信ネットワーク上のメールの通信において各ユーザを各ユーザの役割識別子により識別する。【選択図】　　　図１
2004005690.tif 000002
【特許請求の範囲】
【請求項１】
それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を定義し、
通信ネットワーク上のメールの通信において各ユーザを各ユーザの役割識別子により識別する、
ことを特徴とするメールアクセス制御方法。
【請求項２】
前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする請求項１記載のメールアクセス制御方法。
【請求項３】
前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする請求項１記載のメールアクセス制御方法。
【請求項４】
それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を定義する認証局装置と、
そこでのメールの通信において各ユーザが各ユーザの役割識別子により識別される通信網と、
を有することを特徴とするメールアクセス制御を実現した通信システム。
【請求項５】
前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局装置が該認証局装置の秘密鍵により署名したものであることを特徴とする請求項４記載の通信システム。
【請求項６】
前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする請求項４記載の通信システム。
【請求項７】
コンピュータハードウェアと、
それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を、各ユーザに対して発行するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、
を有することを特徴とする、メールアクセス制御を実現した通信システムにおける認証局装置。
【請求項８】
それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を、各ユーザに対して発行する、メールアクセス制御を実現した通信システムにおける認証局装置としてコンピュータを動作させるプログラムを格納した記憶媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信網において着信者の通信網における識別子を隠蔽しつつ、通信網における識別子を隠蔽した他のユーザからの通信の接続を制御してメールの送受信を制御するメールアクセス接続制御方法、通信システム、およびメールアクセス制御プログラムを記録した記録媒体に関する。
【０００２】
【従来の技術】
インターネットの普及に伴い、メールを用いたＳＰＡＭや嫌がらせ行為が急増している。ＳＰＡＭとは受信者の時間的、経済的、精神的負担を考慮せず一方的に送り付けられるメールまたはニューズの総称である。メールによるＳＰＡＭはＵＢＥ（Ｕｎｓｏｌｉｃｉｔｅｄ　Ｂｕｌｋ　Ｅｍａｉｌ）またはＵＣＥ（Ｕｎｓｏｌｉｃｉｔｅｄ　Ｃｏｍｍｅｒｃｉａｌ　Ｅｍａｉｌ）とも呼ばれている。
【０００３】
ＳＰＡＭは受信者の年齢、性別、嗜好等を考慮せず無差別に送信されるため、受信者にとって興味のない内容や不快な内容である場合が少なくない。受信に要する時間的負担や経済的負担も小さくない。ビジネスユーザにとっては、重要なメールがＳＰＡＭに埋もれて見つかりにくくなるため業務効率の低下を招きかねない。また、大量のユーザ宛に送信されるためネットワーク資源を浪費し、最悪の場合には過負荷を引き起こす。その結果、ユーザにとって重要なメールが失われる場合もある。また、匿名でまたは他人に成りすまして送信されるため、苦情対応のために人的資源を確保しなければならない。
【０００４】
一方、嫌がらせとは特定のユーザに対し精神的苦痛を与えたり、経済的、時間的負担を負わせるために、ユーザにとって不快な内容のメールを継続的に送り続ける行為である。ＳＰＡＭと同様に、実在または架空の第三者に成りすまして送信されるため、送信者の特定は極めて困難である。また、大容量メールを送り付けられたり、短時間に大量のメールを送り付けられたりするため、システムダウンの危険性もある。
【０００５】
ＳＰＡＭや嫌がらせ行為に対し、メールシステムは以下の要件を満足することが必要である。
【０００６】
・安全性
送信者の成りすましを検出し、配送を拒否することが必要である。
【０００７】
・堅牢性
大容量メールによるシステムダウンを回避するために、メール容量を制限することが必要である。また、大量送信によるシステムダウンを回避するために、送信回数を制限することが必要である。
【０００８】
・互換性
既存のメールシステムの実装を大きく変更しないことが必要である。
【０００９】
・操作性
既存のメールシステムの操作性を大きく変更しないことが必要である。
【００１０】
ｓｅｎｄｍａｉｌ，ｑｍａｉｌ等のＭＴＡ（Ｍｅｓｓａｇｅ　Ｔｒａｎｓｆｅｒ　Ａｇｅｎｔ）はエンベロープ情報及びヘッダ情報の偽造を検出し、配送を拒否する。また、ＭＡＰＳ　ＲＢＬ　等のいわゆるブラックリストを参照して、ＳＰＡＭの発信源となっているメールサーバからの受信を拒否する。また、ＰＧＰ，Ｓ／ＭＩＭＥ，ＴＬＳ等を用いて署名確認を行うことにより他人の実メールアドレスを騙った送信を検出し、配送を拒否する。また、本文の部分的削除によってメッセージ長を制限する。
【００１１】
【発明が解決しようとする課題】
従来のメールシステムにおける実メールアドレスには以下のような問題点がある。
【００１２】
・身元を推測可能
実メールアドレスは身元を推測する上で有益な情報を含むため、嫌がらせの相手を選択することができる。例えば、実ドメインから勤務先を特定できる。また、ユーザ名から性別や氏名を推測することができる。
【００１３】
・身元から推測可能
実メールアドレスはユーザ名＠ドメイン名の形式で統一されているため、実メールアドレスを知らなくても、身元さえわかれば推測できる。例えば、氏名がわかればユーザ名の候補を絞り込むことができる。また、所属組織がわかればドメイン名の候補を絞り込むことができる。また、ユーザ名を実名とは無関係な文字列で与えている場合でも、ユーザ名の命名規則がわかれば試行錯誤的な送信によって推測できる。
【００１４】
・移転可能
実メールアドレスは人から人に移転できるため、持ち主から直接教えてもらえなくても送信できる。メールを介した移転には以下の場合がある。他人の実メールアドレスをｃｃ：行に指定すれば、Ｔｏ：行に指定したすべての受信者に移転することができる。また、第三者の実メールアドレスをＲｅｐｌｙ−Ｔｏ：行に指定し、Ｔｏ：行に指定した受信者の実メールアドレスを本文に含むメールをフォワードすれば、その実メールアドレスを第三者に移転することができる。
【００１５】
・取り消し困難
ＳＰＡＭや嫌がらせだけではなく重要なメールもよめなくなるため、実メールアドレスの取り消しは困難である。
【００１６】
匿名リメーラ（ａｎｏｎｙｍｏｕｓ　ｒｅｍａｉｌｅｒｓ）　と呼ばれる　Ｃｙｐｈｅｒｐｕｎｋ　ｒｅｍａｉｌｅｒｓ　とＭｉｘｍａｓｔｅｒ　ｒｅｍａｉｌｅｒｓ　は送信者の実メールアドレス及び実ドメインを暗号化してから配送する。この方法はｒｅｐｌｙ　ｂｌｏｃｋと呼ばれている。ｒｅｐｌｙ　ｂｌｏｃｋの暗号化及び復号化には匿名リメーラの公開鍵及び秘密鍵を用いるため、送信者以外のいかなるユーザも送信者の実メールアドレス及び実ドメインを特定することは困難である。
【００１７】
匿名リメーラは実メールアドレスを特定困難なため、実メールアドレスの移転も困難である。しかしながら、ｒｅｐｌｙ　ｂｌｏｃｋ　は移転可能であるため、受信者以外のユーザからも送信者に対し返信することが可能である。
【００１８】
偽名サーバ（ｐｓｅｕｄｏｎｙｍｏｕｓ　ｓｅｒｖｅｒ）と呼ばれるＡＳ−Ｎｏｄｅとｎｙｍ．ａｌｉａｓ．ｎｅｔ　はユーザの実メールアドレスと一意に対応した偽名アカウントを用いてメールを送受信する。偽名アカウントはユーザ側で任意に作成できるため、ユーザは実メールアドレスを推測困難な偽名アカウントを持つことが可能である。さらに、ｒｅｐｌｙ　ｂｌｏｃｋ　の利用により、ユーザの実メールアドレス及び実ドメインを偽名サーバに対し隠蔽することも可能である。これらの手段を組み合わせることによって、送信者以外のいかなるユーザも送信者の実メールアドレス及び実ドメインを特定することは困難となる。また、偽名アカウントは取り消し可能なため、実メールアドレスを取り消す必要もない。
【００１９】
偽名サーバは実メールアドレスを特定困難なため、実メールアドレスの移転も困難である。しかしながら、偽名アカウントは移転可能なため、受信者以外のユーザからも送信することが可能である。
【００２０】
さらに、ＳＰＡＭや嫌がらせ行為から受信者を保護するためには、これらの行為を行う発信者からの接続要求を拒否することも必要である。このため、通信システムは発信者の身元を一意に特定可能であることも必要である。
【００２１】
これらのことから、通信システムはユーザの実メールアドレスを隠蔽しつつ（すなわち、ユーザの匿名性を保証しつつ）、そのユーザの身元を一意に特定可能であることが求められるが、従来の通信システムにおいて、これらの両者を同時に実現することは困難であった。
【００２２】
メールシステムにおいてユーザの身元を特定するためには、そのユーザの実メールアドレスが必要である。一方、匿名リメーラは、発信者の匿名性保証のために発信者の実メールアドレスを暗号化または削除してから配送する。
【００２３】
この条件において発信者の身元を特定するためには、トラフィック解析によってメールの配送経路を追跡することが必要である。ところが、匿名リメーラはメールの配送を遅らせたり、配送順序を入れ替えたりする。また、Ｍｉｘｍａｓｔｅｒ　ｒｅｍａｉｌｅｒｓ　はメールを複数のブロックに分割してから配送する。このため、トラフィック解析による配送経路の追跡は困難であり、発信者の身元特定も困難である。
【００２４】
偽名サーバもメールの配送において匿名リメーラを利用するため、発信者の匿名性は保証できるけれども発信者の身元を一意に特定することは困難である。
【００２５】
一方、ドイツ電子署名法は、通信サービスで用いられるディジタル署名を生成するためのディジタル証明書に対し、実名に加えて偽名の記入も許可している。ディジタル証明書はユーザに対し一意に付与されるため、偽名を記載してもユーザの身元を一意に特定することが可能である。また、偽名の命名権はユーザ側にあるため、実名を推測困難な偽名を記載することが可能である。
【００２６】
本発明は、上記に鑑みてなされたもので、その目的とするところは、ＳＰＡＭや嫌がらせの原因となる実メールアドレスの問題点を解決する通信網におけるメールアクセス制御方式を提供することにある。
【００２７】
本発明の他の目的は、ユーザの識別子を隠蔽しつつ、ユーザの身元を一意に特定可能にするメールアクセス制御方式を提供することにある。
【００２８】
【課題を解決するための手段】
本発明では、実メールアドレスの移転及び取り消しの問題を解決するために、個別化アクセスチケットを用いたメールアクセス制御方式を用いる。移転の問題を解決するためには、送信者の実メールアドレスと受信者の実メールアドレスの両者を含む個別化アクセスチケット（ＰＡＴ：Ｐｅｒｓｏｎａｌｉｚｅｄ　Ａｃｃｅｓｓ　Ｔｉｃｋｅｔ）を用いて宛先を指定する。また、取り消しの問題を解決するために、信頼できる第三者機関においてＰＡＴに有効期限を設定する。そして、有効期限を過ぎたＰＡＴを提示した送信者からのメールの配送を拒否する。また、実メールアドレスを取り消す代わりにＰＡＴをセキュア・コミュニケーション・サービスで管理するセキュアな記憶装置に登録する。
【００２９】
すなわち、本発明では送信者の実メールアドレスと受信者の実メールアドレスを対にした単位で接続を制御する。このため、実メールアドレスを移転されても、移転先のユーザによってＰＡＴを取得されない限り、移転先のユーザからのメールを受信しないで済む。
【００３０】
また、本発明では有効期限を過ぎたＰＡＴ、または受信者によってデータベースに登録されたＰＡＴを提示した送信者からのメールの配送をしないため、実メールアドレスを取り消すことなく受信を拒否できる。
【００３１】
また、本発明ではＰＡＴを前記記憶装置から削除することにより受信を再開するため、実メールアドレスを再取得することなく受信を再開できる。
【００３２】
また、本発明ではメールの送信をサーバ側で拒否するため、ユーザ側での受信やダウンロードに要する時間的、経済的負担を軽減できる。
【００３３】
さらに、本発明では、ユーザの匿名性を保証しつつ、ユーザの身元特定を可能にするために、個人識別子と役割識別子を用いたメールアクセス制御方式を用いる。
【００３４】
本発明では、ユーザを一意に特定するために、個人情報に信頼できる第三者機関の秘密鍵で署名した証明書を付与する。この証明書を以下では個人識別子（ＯＩＤ：Ｏｆｆｉｃｉａｌ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）　と呼ぶ。また、ユーザの匿名性を保証しつつ身元特定を可能とするために、通信網上のユーザ識別子として個人識別子の情報を断片的に含む証明書を付与する。この証明書を以下では役割識別子（ＡＩＤ：Ａｎｏｎｙｍｏｕｓ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）と呼ぶ。
【００３５】
また、本発明では、身元を特定するために、複数のＡＩＤの同一性を判定しながらＯＩＤを再構築する。ＡＩＤの移転および取り消しの問題を解決するために、ＡＩＤをＰＡＴに含め、セキュア・コミュニケーション・サービスＳＣＳにおいてＰＡＴを検証する。
【００３６】
また、本発明では、身元を明らかにしないまま不特定多数からのアクセスを求めるユーザ側の需要に対して、ＡＩＤを不特定多数から検索可能なディレクトリで管理し、宛先としてＡＩＤを含むＰＡＴを出力する。
【００３７】
これにより、本発明ではＡＩＤはＯＩＤを断片的にしか含まないため、メールの送受信において身元を隠蔽できる。また、ＡＩＤを不特定多数から閲覧可能なディレクトリサービスに登録しても、身元を不特定多数に対して隠蔽できる。
【００３８】
また、本発明では複数のＡＩＤの同一性を判定しながらＯＩＤを再構築することにより、確率的に身元を特定できる。このため、身元を明らかにしないＳＰＡＭや嫌がらせ行為への対策を立てることが可能である。
【００３９】
また、本発明では実メールアドレスの代わりにＡＩＤをディレクトリで管理し、宛先としてＡＩＤを含むＰＡＴを出力することにより、身元を明らかにしないまま不特定多数からのアクセスを受け付けることが可能である。
【００４０】
より詳細には、本発明は、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを、発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービスにおいて受け取るステップと、該セキュア・コミュニケーション・サービスにおいて、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御するステップと、を有することを特徴とするメールアクセス制御方法を提供する。
【００４１】
また、本発明では、前記制御するステップにおいて、前記セキュア・コミュニケーション・サービスは発信者により提示された前記個別化アクセスチケットを認証し、発信者により提示された該個別化アクセスチケットが改竄されているときには、前記メールの配送を拒否することを特徴とする。
【００４２】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットを発行したセキュアな演算装置の秘密鍵により署名されており、前記制御するステップにおいて、前記セキュア・コミュニケーション・サービスは該セキュアな演算装置の公開鍵により該個別化アクセスチケット内の該セキュアな演算装置の署名を検証することにより、該個別化アクセスチケットを認証することを特徴とする。
【００４３】
また、本発明では、前記受け取るステップにおいて、前記セキュア・コミュニケーション・サービスは発信者により前記個別化アクセスチケットと共に提示された発信者識別子も受け取り、前記制御するステップにおいて、該セキュア・コミュニケーション・サービスは発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれているか否かチェックし、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれていないときには、前記メールの配送を拒否することを特徴とする。
【００４４】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットが有効である期間を示す有効期限も含み、前記制御するステップにおいて、前記セキュア・コミュニケーション・サービスは発信者により提示された該個別化アクセスチケットに含まれた有効期限をチェックし、発信者により提示された該個別化アクセスチケットが既に切れた有効期限を含んでいるときには前記メールの配送を拒否することを特徴とする。
【００４５】
また、本発明では、前記個別化アクセスチケットの有効期限は信頼できる第三者機関により設定されたものであることを特徴とする。
【００４６】
また、本発明では、各登録者の識別子と、個人情報に比べて秘密性の低い公開情報を不特定多数から検索可能な状態で管理するディレクトリ・サービスにおいて、発信者から指定された検索条件に応じて、検索条件を満たした公開情報の登録者の識別子を着信者識別子とし、検索条件と共に発信者により指定された発信者識別子を用いて、発信者に対して前記個別化アクセスチケットを発行するステップを、更に有することを特徴とする。
【００４７】
また、本発明では、そのユーザからの特定の登録者へのメールの配送が拒否されるべき特定のユーザの識別子を発信者識別子として含み、該特定の登録者の識別子を着信者識別子として含んだ個別化アクセスチケットを、予め前記セキュア・コミュニケーション・サービスに登録するステップを更に有し、前記制御するステップにおいて、該セキュア・コミュニケーション・サービスは発信者により提示された個別化アクセスチケットがそこに予め登録されたものであるときには前記メールの配送を拒否することを特徴とする。
【００４８】
また、本発明では、前記登録するステップにおいて個別化アクセスチケットを登録した前記特定の登録者からの要求により、前記セキュア・コミュニケーション・サービスにおいて登録された個別化アクセスチケットを削除するステップを、更に有することを特徴とする。
【００４９】
また、本発明では、前記個別化アクセスチケットは、前記セキュア・コミュニケーション・サービスにより発信者を認証すべきかどうか示す移転制御フラグも含み、前記制御するステップにおいて、該個別化アクセスチケットに含まれる移転制御フラグが発信者を認証すべきであることを示すときに、該セキュア・コミュニケーション・サービスは発信者により提示された発信者識別子を認証し、該発信者識別子の認証が失敗したときには前記メールの配送を拒否することを特徴とする。
【００５０】
また、本発明では、前記発信者識別子の認証は、発信者と前記セキュア・コミュニケーション・サービス間のチャレンジ／レスポンス認証により実現することを特徴とする。
【００５１】
また、本発明では、前記個別化アクセスチケットの移転制御フラグは信頼できる第三者機関により設定されたものであることを特徴とする。
【００５２】
また、本発明では、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の実メールアドレスにより与えられることを特徴とする。
【００５３】
また、本発明では、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の役割識別子により与えられ、各ユーザの役割識別子は、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだものであることを特徴とする。
【００５４】
また、本発明では、前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする。
【００５５】
また、本発明では、前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする。
【００５６】
また、本発明では、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するステップを、更に有することを特徴とする。
【００５７】
また、本発明では、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだ各ユーザの役割識別子と、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報とが定義され、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報により与えられることを特徴とする。
【００５８】
また、本発明では、前記各役割識別子のリンク情報は、前記認証局により各役割識別子に一意に付与された識別子であることを特徴とする。
【００５９】
また、本発明では、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するステップを、更に有することを特徴とする。
【００６０】
また、本発明では、前記個別化アクセスチケットは、一つの発信者識別子と一つの着信者識別子を１対１に対応付けて含むことを特徴とする。
【００６１】
また、本発明では、前記個別化アクセスチケットは、一つの発信者識別子と複数の着信者識別子を１対Ｎ（Ｎは１より大きい整数）に対応付けて含むことを特徴とする。
【００６２】
また、本発明では、前記一つの発信者識別子と複数の着信者識別子の内の一識別子は前記個別化アクセスチケットの所有者を特定する所有者識別子であり、前記一つの発信者識別子と複数の着信者識別子の内の他の識別子は該所有者が属するグループの会員を特定する会員識別子であることを特徴とする。
【００６３】
また、本発明では、各ユーザの識別子と、各ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示す各ユーザの識別子のＥｎａｂｌｅｒ　を認証局において各ユーザに発行して、該個別化アクセスチケットに含まれる所有者識別子と該所有者識別子に対応するＥｎａｂｌｅｒ　の両方をセキュアな演算装置に対して提示したユーザによってのみ該セキュアな演算装置において該個別化アクセスチケットに対する所定の演算を行えるようにするステップを、更に有することを特徴とする。
【００６４】
また、本発明では、前記認証局は、それがＥｎａｂｌｅｒ　であることを示す情報と各ユーザの識別子の実体に対し、該認証局の秘密鍵で署名したものを各ユーザの識別子のＥｎａｂｌｅｒとして発行することを特徴とする。
【００６５】
また、本発明では、前記所定の演算は、個別化アクセスチケットの新規作成、複数個別化アクセスチケットのマージ、一個別化アクセスチケットの複数個別化アクセスチケットへの分割、個別化アクセスチケットの所有者変更、個別化アクセスチケットの有効期限の変更、個別化アクセスチケットの移転制御フラグの変更、を含むことを特徴とする。
【００６６】
また、本発明では、すべてのユーザに既知である特殊な識別子と該特殊な識別子に対応する特殊なＥｎａｂｌｅｒ　を定義して、前記個別化アクセスチケットの新規生成および前記個別化アクセスチケットの所有者変更を、前記個別化アクセスチケットの所有者が、該特殊な識別子および該特殊なＥｎａｂｌｅｒ　を用いて会員識別子のＥｎａｂｌｅｒ　を使わずに行えるようにすることを特徴とする。
【００６７】
また、本発明では、前記特殊な識別子は、個別化アクセスチケットの所有者識別子としてのみ使用可能であるように定義されていることを特徴とする。
【００６８】
また、本発明では、すべてのユーザに既知である特殊な識別子を定義して、該特殊な識別子を用いて個別化アクセスチケットに読取専用属性を設定できるようにすることを特徴とする。
【００６９】
また、本発明では、前記制御するステップにおいて、前記個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権が検証された場合には、前記セキュア・コミュニケーション・サービスは、発信者により提示された発信者識別子を用いて該個別化アクセスチケットから着信者識別子を取り出し、取り出した着信者識別子を用いて前記メールを実際にメールの配送処理を行うメール転送機能が解釈可能な形式に変換し、変換後の前記メールに該個別化アクセスチケットを添付して該メール転送機能に渡すことを特徴とする。
【００７０】
さらに、本発明は、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を定義し、通信ネットワーク上のメールの通信において各ユーザを各ユーザの役割識別子により識別する、ことを特徴とするメールアクセス制御方法を提供する。
【００７１】
また、本発明では、前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする。
【００７２】
また、本発明では、前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする。
【００７３】
また、本発明では、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者の役割識別子と着信者の役割識別子を対応付けて含んだ個別化アクセスチケットを、発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービスにおいて受け取るステップと、該セキュア・コミュニケーション・サービスにおいて、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御するステップ、を更に有することを特徴とする。
【００７４】
また、本発明では、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するステップを、更に有することを特徴とする。
【００７５】
また、本発明では、前記定義するステップは、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報も定義し、各役割識別子は各役割識別子のリンク情報も含むことを特徴とする。
【００７６】
また、本発明では、前記各役割識別子のリンク情報は、前記認証局により各役割識別子に一意に付与された識別子であることを特徴とする。
【００７７】
また、本発明では、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報を対応付けて含んだ個別化アクセスチケットを、発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービスにおいて受け取るステップと、該セキュア・コミュニケーション・サービスにおいて、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御するステップ、を更に有することを特徴とする。
【００７８】
また、本発明では、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するステップを、更に有することを特徴とする。
【００７９】
さらに、本発明は、複数のユーザ端末が接続された通信網と、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを受け取り、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御して、該通信網上で発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービス装置と、を有することを特徴とするメールアクセス制御を実現した通信システムを提供する。
【００８０】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は発信者により提示された前記個別化アクセスチケットを認証し、発信者により提示された該個別化アクセスチケットが改竄されているときには、前記メールの配送を拒否することを特徴とする。
【００８１】
また、本発明では、前記個別化アクセスチケットを自身の秘密鍵により署名して発行するセキュアな演算装置を更に有し、前記セキュア・コミュニケーション・サービス装置は該セキュアな演算装置の公開鍵により該個別化アクセスチケット内の該セキュアな演算装置の署名を検証することにより、該個別化アクセスチケットを認証することを特徴とする。
【００８２】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は発信者により前記個別化アクセスチケットと共に提示された発信者識別子も受け取り、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれているか否かチェックし、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれていないときには、前記メールの配送を拒否することを特徴とする。
【００８３】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットが有効である期間を示す有効期限も含み、前記セキュア・コミュニケーション・サービス装置は発信者により提示された該個別化アクセスチケットに含まれた有効期限をチェックし、発信者により提示された該個別化アクセスチケットが既に切れた有効期限を含んでいるときには前記メールの配送を拒否することを特徴とする。
【００８４】
また、本発明では、前記個別化アクセスチケットの有効期限を設定する信頼できる第三者機関を更に有することを特徴とする。
【００８５】
また、本発明では、各登録者の識別子と、個人情報に比べて秘密性の低い公開情報を不特定多数から検索可能な状態で管理し、発信者から指定された検索条件に応じて、検索条件を満たした公開情報の登録者の識別子を着信者識別子とし、検索条件と共に発信者により指定された発信者識別子を用いて、発信者に対して前記個別化アクセスチケットを発行するディレクトリ・サービス装置を更に有することを特徴とする。
【００８６】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、そのユーザからの特定の登録者へのメールの配送が拒否されるべき特定のユーザの識別子を発信者識別子として含み、該特定の登録者の識別子を着信者識別子として含んだ個別化アクセスチケットを、予め登録し、発信者により提示された個別化アクセスチケットがそこに予め登録されたものであるときには前記メールの配送を拒否することを特徴とする。
【００８７】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、前記個別化アクセスチケットを登録した前記特定の登録者からの要求により、そこに登録された個別化アクセスチケットを削除することを特徴とする。
【００８８】
また、本発明では、前記個別化アクセスチケットは、前記セキュア・コミュニケーション・サービス装置により発信者を認証すべきかどうか示す移転制御フラグも含み、該個別化アクセスチケットに含まれる移転制御フラグが発信者を認証すべきであることを示すときに、該セキュア・コミュニケーション・サービス装置は発信者により提示された発信者識別子を認証し、該発信者識別子の認証が失敗したときには前記メールの配送を拒否することを特徴とする。
【００８９】
また、本発明では、前記発信者識別子の認証は、発信者と前記セキュア・コミュニケーション・サービス装置間のチャレンジ／レスポンス認証により実現することを特徴とする。
【００９０】
また、本発明では、前記個別化アクセスチケットの移転制御フラグを設定する信頼できる第三者機関を更に有することを特徴とする。
【００９１】
また、本発明では、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の実メールアドレスにより与えられることを特徴とする。
【００９２】
また、本発明では、それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだ各ユーザの役割識別子を発行する認証局装置を更に有し、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の役割識別子により与えられることを特徴とする。
【００９３】
また、本発明では、前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局装置が該認証局装置の秘密鍵により署名したものであることを特徴とする。
【００９４】
また、本発明では、前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局装置が該認証局装置の秘密鍵により署名したものであることを特徴とする。
【００９５】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定することを特徴とする。
【００９６】
また、本発明では、それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだ各ユーザの役割識別子と、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報とを発行する認証局装置を更に有し、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報により与えられることを特徴とする。
【００９７】
また、本発明では、前記各役割識別子のリンク情報は、前記認証局装置により各役割識別子に一意に付与された識別子であることを特徴とする。
【００９８】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定することを特徴とする。
【００９９】
また、本発明では、前記個別化アクセスチケットは、一つの発信者識別子と一つの着信者識別子を１対１に対応付けて含むことを特徴とする。
【０１００】
また、本発明では、前記個別化アクセスチケットは、一つの発信者識別子と複数の着信者識別子を１対Ｎ（Ｎは１より大きい整数）に対応付けて含むことを特徴とする。
【０１０１】
また、本発明では、前記一つの発信者識別子と複数の着信者識別子の内の一識別子は前記個別化アクセスチケットの所有者を特定する所有者識別子であり、前記一つの発信者識別子と複数の着信者識別子の内の他の識別子は該所有者が属するグループの会員を特定する会員識別子であることを特徴とする。
【０１０２】
また、本発明では、各ユーザの識別子と、各ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示す各ユーザの識別子のＥｎａｂｌｅｒ　を各ユーザに発行する認証局装置と、該個別化アクセスチケットに含まれる所有者識別子と該所有者識別子に対応するＥｎａｂｌｅｒ　の両方を提示したユーザによってのみ該個別化アクセスチケットに対する所定の演算を行うことを可能としたセキュアな演算装置と、を更に有することを特徴とする。
【０１０３】
また、本発明では、前記認証局装置は、それがＥｎａｂｌｅｒ　であることを示す情報と各ユーザの識別子の実体に対し、該認証局の秘密鍵で署名したものを各ユーザの識別子のＥｎａｂｌｅｒとして発行することを特徴とする。
【０１０４】
また、本発明では、前記所定の演算は、個別化アクセスチケットの新規作成、複数個別化アクセスチケットのマージ、一個別化アクセスチケットの複数個別化アクセスチケットへの分割、個別化アクセスチケットの所有者変更、個別化アクセスチケットの有効期限の変更、個別化アクセスチケットの移転制御フラグの変更、を含むことを特徴とする。
【０１０５】
また、本発明では、すべてのユーザに既知である特殊な識別子と該特殊な識別子に対応する特殊なＥｎａｂｌｅｒ　を定義して、前記個別化アクセスチケットの新規生成および前記個別化アクセスチケットの所有者変更を、前記個別化アクセスチケットの所有者が、該特殊な識別子および該特殊なＥｎａｂｌｅｒ　を用いて会員識別子のＥｎａｂｌｅｒ　を使わずに行えるようにしたことを特徴とする。
【０１０６】
また、本発明では、前記特殊な識別子は、個別化アクセスチケットの所有者識別子としてのみ使用可能であるように定義されていることを特徴とする。
【０１０７】
また、本発明では、すべてのユーザに既知である特殊な識別子を定義して、該特殊な識別子を用いて個別化アクセスチケットに読取専用属性を設定できるようにしたことを特徴とする。
【０１０８】
また、本発明では、前記個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権が検証された場合には、前記セキュア・コミュニケーション・サービス装置は、発信者により提示された発信者識別子を用いて該個別化アクセスチケットから着信者識別子を取り出し、取り出した着信者識別子を用いて前記メールを実際にメールの配送処理を行うメール転送機能が解釈可能な形式に変換し、変換後の前記メールに該個別化アクセスチケットを添付して該メール転送機能に渡すことを特徴とする。
【０１０９】
さらに、本発明は、それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を定義する認証局装置と、そこでのメールの通信において各ユーザが各ユーザの役割識別子により識別される通信網と、を有することを特徴とするメールアクセス制御を実現した通信システムを提供する。
【０１１０】
また、本発明では、前記各ユーザの役割識別子は、前記各ユーザの個人識別子の少なくとも一つの断片を含んだ情報に対し、前記認証局装置が該認証局装置の秘密鍵により署名したものであることを特徴とする。
【０１１１】
また、本発明では、前記各ユーザの個人識別子は、前記認証局により各ユーザに一意に付与された文字列と各ユーザの公開鍵に対し、前記認証局が該認証局の秘密鍵により署名したものであることを特徴とする。
【０１１２】
また、本発明では、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者の役割識別子と着信者の役割識別子を対応付けて含んだ個別化アクセスチケットを受け取り、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御して、前記通信網上で発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービス装置を更に有することを特徴とする。
【０１１３】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定することを特徴とする。
【０１１４】
また、本発明では、前記認証局装置は、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報も定義し、各役割識別子は各役割識別子のリンク情報も含むことを特徴とする。
【０１１５】
また、本発明では、前記各役割識別子のリンク情報は、前記認証局装置により各役割識別子に一意に付与された識別子であることを特徴とする。
【０１１６】
また、本発明では、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報を対応付けて含んだ個別化アクセスチケットを受け取り、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御して、前記通信網上で発信者と着信者間の通信を接続するセキュア・コミュニケーション・サービスを更に有することを特徴とする。
【０１１７】
また、本発明では、前記セキュア・コミュニケーション・サービス装置は、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定することを特徴とする。
【０１１８】
さらに、本発明は、コンピュータハードウェアと、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを受け取り、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御して、発信者と着信者間の通信を接続するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおけるセキュア・コミュニケーション・サービス装置を提供する。
【０１１９】
また、本発明では、前記コンピュータソフトウェアは、発信者により提示された前記個別化アクセスチケットを認証し、発信者により提示された該個別化アクセスチケットが改竄されているときには、前記メールの配送を拒否するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２０】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットを発行したセキュアな演算装置の秘密鍵により署名されており、前記コンピュータソフトウェアは、該セキュアな演算装置の公開鍵により該個別化アクセスチケット内の該セキュアな演算装置の署名を検証することにより、該個別化アクセスチケットを認証するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２１】
また、本発明では、前記コンピュータソフトウェアは、発信者により前記個別化アクセスチケットと共に提示された発信者識別子も受け取り、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれているか否かチェックし、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれていないときには、前記メールの配送を拒否するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２２】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットが有効である期間を示す有効期限も含み、前記コンピュータソフトウェアは、発信者により提示された該個別化アクセスチケットに含まれた有効期限をチェックし、発信者により提示された該個別化アクセスチケットが既に切れた有効期限を含んでいるときには前記メールの配送を拒否するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２３】
また、本発明では、前記コンピュータソフトウェアは、そのユーザからの特定の登録者へのメールの配送が拒否されるべき特定のユーザの識別子を発信者識別子として含み該特定の登録者の識別子を着信者識別子として含んだ個別化アクセスチケットを予め前記セキュア・コミュニケーション・サービスに登録し、発信者により提示された個別化アクセスチケットが前記セキュア・コミュニケーション・サービスに予め登録されたものであるときには前記メールの配送を拒否するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２４】
また、本発明では、前記コンピュータソフトウェアは、個別化アクセスチケットを登録した前記特定の登録者からの要求により、前記セキュア・コミュニケーション・サービスにおいて登録された個別化アクセスチケットを削除するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２５】
また、本発明では、前記個別化アクセスチケットは、前記セキュア・コミュニケーション・サービスにより発信者を認証すべきかどうか示す移転制御フラグも含み、前記コンピュータソフトウェアは、該個別化アクセスチケットに含まれる移転制御フラグが発信者を認証すべきであることを示すときに、発信者により提示された発信者識別子を認証し、該発信者識別子の認証が失敗したときには前記メールの配送を拒否するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２６】
また、本発明では、前記コンピュータソフトウェアは、前記発信者識別子の認証を、発信者と前記セキュア・コミュニケーション・サービス間のチャレンジ／レスポンス認証により実現するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２７】
また、本発明では、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の役割識別子により与えられ、各ユーザの役割識別子は、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだものであって、前記コンピュータソフトウェアは更に、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２８】
また、本発明では、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだ各ユーザの役割識別子と、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報とが定義され、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報により与えられ、前記コンピュータソフトウェアは更に、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するように前記コンピュータハードウェアを動作させることを特徴とする。
【０１２９】
また、本発明では、前記コンピュータソフトウェアは、前記個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権が検証された場合には、発信者により提示された発信者識別子を用いて該個別化アクセスチケットから着信者識別子を取り出し、取り出した着信者識別子を用いて前記メールを実際にメールの配送処理を行うメール転送機能が解釈可能な形式に変換し、変換後の前記メールに該個別化アクセスチケットを添付して該メール転送機能に渡すように前記コンピュータハードウェアを動作させることを特徴とする。
【０１３０】
さらに、本発明は、コンピュータハードウェアと、個別化アクセスチケットの要求をユーザから受け取り、発信者識別子と着信者識別子を対応付けて含み、自身の秘密鍵により署名された個別化アクセスチケットを発行するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおけるセキュアな演算装置を提供する。
【０１３１】
さらに、本発明は、コンピュータハードウェアと、各登録者の識別子と、個人情報に比べて秘密性の低い公開情報を不特定多数から検索可能な状態で管理し、発信者に対して、発信者から指定された検索条件に応じて、検索条件を満たした公開情報の登録者の識別子を着信者識別子とし、検索条件と共に発信者により指定された発信者識別子を用いて、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを発行するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおけるディレクトリ・サービス装置を提供する。
【０１３２】
さらに、本発明は、コンピュータハードウェアと、それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を、各ユーザに対して発行するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおける認証局装置を提供する。
【０１３３】
さらに、本発明は、コンピュータハードウェアと、各ユーザの識別子と、一般に一つの発信者識別子と複数の着信者識別子を対応付けて含みそれらの内の一識別子が所有者識別子である個別化アクセスチケットの中で該各ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示す各ユーザの識別子のＥｎａｂｌｅｒ　を各ユーザに対して発行するように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおける認証局装置を提供する。
【０１３４】
さらに、本発明は、コンピュータハードウェアと、一つの発信者識別子と複数の着信者識別子を対応付けて含みそれらの内の一識別子が所有者識別子である個別化アクセスチケットの要求をユーザから受け取り、該ユーザが該個別化アクセスチケットに含まれる所有者識別子と該ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示し該所有者識別子に対応するＥｎａｂｌｅｒ　の両方を提示したときに該個別化アクセスチケットに対する所定の演算を行うように前記コンピュータハードウェアを動作させるコンピュータソフトウェアと、を有することを特徴とする、メールアクセス制御を実現した通信システムにおけるセキュアな演算装置を提供する。
【０１３５】
さらに、本発明は、着信者にメールの送信を希望する発信者により着信者をメールの宛先として指定するために提示され、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを受け取り、該個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権を検証することにより発信者と着信者間のアクセスを制御して、発信者と着信者間の通信を接続する、メールアクセス制御を実現した通信システムにおけるセキュア・コミュニケーション・サービス装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１３６】
また、本発明では、前記プログラムは、発信者により提示された前記個別化アクセスチケットを認証し、発信者により提示された該個別化アクセスチケットが改竄されているときには、前記メールの配送を拒否するように前記コンピュータを動作させることを特徴とする。
【０１３７】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットを発行したセキュアな演算装置の秘密鍵により署名されており、前記プログラムは、該セキュアな演算装置の公開鍵により該個別化アクセスチケット内の該セキュアな演算装置の署名を検証することにより、該個別化アクセスチケットを認証するように前記コンピュータを動作させることを特徴とする。
【０１３８】
また、本発明では、前記プログラムは、発信者により前記個別化アクセスチケットと共に提示された発信者識別子も受け取り、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれているか否かチェックし、発信者により提示された該発信者識別子が発信者により提示された該個別化アクセスチケットに含まれていないときには、前記メールの配送を拒否するように前記コンピュータを動作させることを特徴とする。
【０１３９】
また、本発明では、前記個別化アクセスチケットは、該個別化アクセスチケットが有効である期間を示す有効期限も含み、前記プログラムは、発信者により提示された該個別化アクセスチケットに含まれた有効期限をチェックし、発信者により提示された該個別化アクセスチケットが既に切れた有効期限を含んでいるときには前記メールの配送を拒否するように前記コンピュータを動作させることを特徴とする。
【０１４０】
また、本発明では、前記プログラムは、そのユーザからの特定の登録者へのメールの配送が拒否されるべき特定のユーザの識別子を発信者識別子として含み該特定の登録者の識別子を着信者識別子として含んだ個別化アクセスチケットを予め前記セキュア・コミュニケーション・サービス装置に登録し、発信者により提示された個別化アクセスチケットが前記セキュア・コミュニケーション・サービス装置に予め登録されたものであるときには前記メールの配送を拒否するように前記コンピュータを動作させることを特徴とする。
【０１４１】
また、本発明では、前記プログラムは、個別化アクセスチケットを登録した前記特定の登録者からの要求により、前記セキュア・コミュニケーション・サービス装置において登録された個別化アクセスチケットを削除するように前記コンピュータを動作させることを特徴とする。
【０１４２】
また、本発明では、前記個別化アクセスチケットは、前記セキュア・コミュニケーション・サービス装置により発信者を認証すべきかどうか示す移転制御フラグも含み、前記プログラムは、該個別化アクセスチケットに含まれる移転制御フラグが発信者を認証すべきであることを示すときに、発信者により提示された発信者識別子を認証し、該発信者識別子の認証が失敗したときには前記メールの配送を拒否するように前記コンピュータを動作させることを特徴とする。
【０１４３】
また、本発明では、前記プログラムは、前記発信者識別子の認証を、発信者と前記セキュア・コミュニケーション・サービス装置間のチャレンジ／レスポンス認証により実現するように前記コンピュータを動作させることを特徴とする。
【０１４４】
また、本発明では、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者と着信者の役割識別子により与えられ、各ユーザの役割識別子は、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだものであって、前記プログラムは更に、前記発信者により使われた複数の個別化アクセスチケットに含まれた該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するように前記コンピュータを動作させることを特徴とする。
【０１４５】
また、本発明では、それにより認証局が各ユーザを一意に識別可能な各ユーザの個人識別子の断片を少なくとも一つ含んだ各ユーザの役割識別子と、それにより各役割識別子を一意に識別可能な各役割識別子のリンク情報とが定義され、前記個別化アクセスチケット内の発信者識別子と着信者識別子は発信者の役割識別子のリンク情報と着信者の役割識別子のリンク情報により与えられ、前記プログラムは更に、前記発信者により使われた複数の個別化アクセスチケットに含まれたリンク情報に対応する該発信者の複数の役割識別子の同一性を判定して、該発信者の個人識別子を再構成することにより、該発信者の身元を確率的に特定するように前記コンピュータを動作させることを特徴とする。
【０１４６】
また、本発明では、前記プログラムは、前記個別化アクセスチケットに基づいて発信者の着信者に対するアクセス権が検証された場合には、発信者により提示された発信者識別子を用いて該個別化アクセスチケットから着信者識別子を取り出し、取り出した着信者識別子を用いて前記メールを実際にメールの配送処理を行うメール転送機能が解釈可能な形式に変換し、変換後の前記メールに該個別化アクセスチケットを添付して該メール転送機能に渡すように前記コンピュータを動作させることを特徴とする。
【０１４７】
さらに、本発明は、個別化アクセスチケットの要求をユーザから受け取り、発信者識別子と着信者識別子を対応付けて含み、自身の秘密鍵により署名された個別化アクセスチケットを発行する、メールアクセス制御を実現した通信システムにおけるセキュアな演算装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１４８】
さらに、本発明は、各登録者の識別子と、個人情報に比べて秘密性の低い公開情報を不特定多数から検索可能な状態で管理し、発信者に対して、発信者から指定された検索条件に応じて、検索条件を満たした公開情報の登録者の識別子を着信者識別子とし、検索条件と共に発信者により指定された発信者識別子を用いて、発信者識別子と着信者識別子を対応付けて含んだ個別化アクセスチケットを発行する、メールアクセス制御を実現した通信システムにおけるディレクトリ・サービス装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１４９】
さらに、本発明は、それにより自身が各ユーザを一意に識別可能な各ユーザの個人識別子と、該各ユーザの個人識別子の断片を少なくとも一つ含んだ役割識別子を、各ユーザに対して発行する、メールアクセス制御を実現した通信システムにおける認証局装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１５０】
さらに、本発明は、各ユーザの識別子と、一般に一つの発信者識別子と複数の着信者識別子を対応付けて含みそれらの内の一識別子が所有者識別子である個別化アクセスチケットの中で各ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示す各ユーザの識別子のＥｎａｂｌｅｒ　を各ユーザに対して発行する、メールアクセス制御を実現した通信システムにおける認証局装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１５１】
さらに、本発明は、一つの発信者識別子と複数の着信者識別子を対応付けて含みそれらの内の一識別子が所有者識別子である個別化アクセスチケットの要求をユーザから受け取り、該ユーザが該個別化アクセスチケットに含まれる所有者識別子と該ユーザの識別子を所有者識別子として含む個別化アクセスチケットの変更権を示し該所有者識別子に対応するＥｎａｂｌｅｒ　の両方を提示したときに該個別化アクセスチケットに対する所定の演算を行う、メールアクセス制御を実現した通信システムにおけるセキュアな演算装置としてコンピュータを動作させるプログラムを格納した記憶媒体を提供する。
【０１５２】
【発明の実施の形態】
まず、図１乃至図７を参照して本発明の第１の実施形態について説明する。本発明のメールアクセス制御方法は、通信網における発信者および着信者の匿名性を保持しつつ、発信者と着信者間の双方向通信をも適宜可能とするものであり、基本的には着信者の本当の識別子を隠蔽した状態で、着信者の特性を表す情報のみを公開し、この公開された情報に基づいて、匿名性を保持したまま通信を希望する者に対して限定的なアクセス権を付与することにある。
【０１５３】
具体的には、ユーザに対して個人情報を隠蔽した役割識別子（Ａｎｏｎｙｍｏｕｓ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＡＩＤと略称する）を付与し、この役割識別子ＡＩＤをユーザの特性を表す情報である趣味、年齢、職業等のようなユーザをネットワーク上で特定はできないが、発信者にとって当該ユーザと通信する価値があるかどうかを判断するための有用な情報と組にしてネットワークに公開する。
【０１５４】
また、発信者は、前記公開された情報を閲覧または検索することにより自分が通信したい相手を捜すことができる。すなわち、発信者が発信者自身の匿名性を保持したままある相手と通信したい場合には、その相手の役割識別子を指定し、個別化アクセスチケットＰＡＴ（Ｐｅｒｓｏｎａｌｉｚｅｄ　Ａｃｃｅｓｓ　Ｔｉｃｋｅｔ）を取得する。
【０１５５】
個別化アクセスチケットＰＡＴには、発信者、着信者それぞれの役割識別子ＡＩＤの他に、移転制御フラグ、および、有効期限の各情報が記載されている。移転制御フラグは、セキュア・コミュニケーション・サービスＳＣＳ（Ｓｅｃｕｒｅ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｒｖｉｃｅ）が送信者に対し認証を実行するか否かを決定するために使用される。すなわち、移転制御フラグを立てると、ＳＣＳは、接続要求の際に、発信者に対し、例えば署名の検証等の認証を行う。また、移転制御フラグを立てない場合には、セキュア・コミュニケーション・サービスＳＣＳは認証無しで接続要求をセキュア・コミュニケーション・サービスＳＣＳが接続している物理的通信網に渡す。すなわち、移転制御は役割識別子ＡＩＤがこれを認証局ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ　Ａｕｔｈｏｒｉｔｙ）から割り当てられたユーザによって正当に利用されているかを認証するために用いられる。
【０１５６】
本発明のメールアクセス制御方法を実施する通信網においては、ユーザに対する役割識別子ＡＩＤの付与、役割識別子ＡＩＤと組み合わされた公開情報の保持、個別化アクセスチケットＰＡＴの発行、および個別化アクセスチケットＰＡＴに基づくメールアクセス制御はそれぞれ別の機関で行われている。これは、それぞれの行為に関して保持すべきセキュリティレベルに差があるので、別々の機関で実行した方がネットワーク全体のセキュリティの保持には好都合だからである。但し、公開情報の保持とＰＡＴの発行は同一の機関で行ってもよい。
【０１５７】
図１は、本第１の実施形態の通信システムの全体構成図である。本実施形態はインターネットまたはイントラネット上の電子メールサービスを対象としたものである。図１において、１は認証局ＣＡであり、個人識別子ＯＩＤの認証権限と役割識別子ＡＩＤの発行権限を有し、個人識別子ＯＩＤから役割識別子ＡＩＤを生成し、ユーザに対して役割識別子ＡＩＤを割り当てる機能を有する。３はユーザである。５はセキュア・コミュニケーション・サービスＳＣＳであり、ユーザ３からの電子メールによる接続要求に対し接続を許可するか否かを、ユーザ３から提示された個別化アクセスチケットを用いて判定する。また、ユーザ３からの要求に基づいて、電子メールによる接続要求を拒否する。また、ユーザ３からの要求に基づいて、個人識別子ＯＩＤの同一性を判定する。７はアノニマス・ディレクトリ・サービスＡＤＳであり、役割識別子ＡＩＤ、移転制御フラグの値、有効期限の値、及び、ユーザ３についての公開情報（趣味等、氏名、電話番号、実Ｅメールアドレス等の個人情報に比べ秘密性の低いと考えられる情報）を管理するデータベースである。アノニマス・ディレクトリ・サービスＡＤＳ７は、検索条件を提示したユーザ３の役割識別子ＡＩＤ、検索条件を満足する公開情報をアノニマス・ディレクトリ・サービスＡＤＳ７に登録していたユーザ３の役割識別子ＡＩＤ、ユーザ３または管理者等により与えられた移転制御フラグの値、及び、ユーザ３または管理者等により与えられた有効期限の値から個別化アクセスチケットＰＡＴを生成し、検索条件を提示したユーザ３に割り当てる機能を有する。
【０１５８】
まず、ユーザの要求に基づいて個人識別子から役割識別子ＡＩＤを生成し、そのユーザに割り当てるまでの一連の処理について説明する。
【０１５９】
図２は、個人識別子ＯＩＤ、役割識別子ＡＩＤおよび個別化アクセスチケットＰＡＴの例を示している。個人識別子ＯＩＤは、図２（ａ）に示すように、認証局ＣＡ１がユーザを一意に識別可能な規則に従う任意の文字列と公開鍵から構成される情報に対し、認証局ＣＡ１が署名したものである。また、役割識別子ＡＩＤは、図２（ｂ）に示すように、個人識別子ＯＩＤの断片とその位置情報、冗長な文字列、ＳＣＳを動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン名等）であるＳＣＳの情報から構成される情報に対し、認証局ＣＡ１が署名したものである。
【０１６０】
また、個別化アクセスチケットＰＡＴは、図２（ｃ）に示すように、移転制御フラグ、役割識別子ＡＩＤ０　、役割識別子ＡＩＤ１　、有効期限から構成される情報に対して、アノニマス・ディレクトリ・サービスＡＤＳが署名したものである。ここで、移転制御フラグの値は、０または１のいずれかであると定義する。また、有効期限はＰＡＴの使用回数、ＰＡＴが利用不可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になってから利用不可能になるまでの相対時間（寿命）のいずれか、または複数を組み合わせて定義する。
【０１６１】
更に、後述する各実施形態で説明するように、本発明は、個別化アクセスチケットＰＡＴとして、上述した１対１個別化アクセスチケットに加えて、発信者と着信者を１対Ｎに対応させている１対Ｎ個別化アクセスチケット、および役割識別子の実体を個別化アクセスチケットで指定する代わりに役割識別子を指定するリンク情報を持ち、このリンク情報で役割識別子を指定するリンク指定型個別化アクセスチケットを有し、このリンク指定型個別化アクセスチケットには上述した発信者と着信者の対応関係に基づきリンク指定型１対１個別化アクセスチケットとリンク指定型１対Ｎ個別化アクセスチケットがある。すなわち、本発明の個別化アクセスチケットには、１対１個別化アクセスチケット、１対Ｎ個別化アクセスチケット、リンク指定型１対１個別化アクセスチケット、およびリンク指定型１対Ｎ個別化アクセスチケットの４種類がある。
【０１６２】
次に、ユーザ３が役割識別子ＡＩＤを認証局ＣＡ１に対して要求する手続きについて説明する。ユーザ３は秘密鍵と公開鍵のペアを生成する。次に、ユーザ３の個人識別子ＯＩＤと認証局ＣＡ１の証明書を用いて、ユーザ３と認証局ＣＡ１との間で双方向認証を行う。次に、ユーザ３は該公開鍵を認証局ＣＡ１に任意の手段で送信する。
【０１６３】
なお、上記手続きにおいて、ユーザ３と認証局ＣＡ１間の通信を暗号化する場合もある。
【０１６４】
次に、上述した役割識別子ＡＩＤの要求に対し、認証局ＣＡ１が役割識別子ＡＩＤをユーザ３に対して交付する手続きについて説明する。認証局ＣＡ１は、ユーザ３からの公開鍵を受信すると、役割識別子ＡＩＤを生成する。次に、認証局ＣＡ１は該役割識別子ＡＩＤをユーザ３に任意の手段で送信する。ユーザ３は認証局ＣＡ１から役割識別子ＡＩＤを受信すると、受信した該役割識別子をユーザ３の記憶装置に記録する。
【０１６５】
なお、上記手続きにおいて、ユーザ３と認証局ＣＡ１間の通信を暗号化する場合もある。
【０１６６】
次に、認証局ＣＡ１における役割識別子ＡＩＤの生成処理について図３に示すフローチャートを用いて説明する。図３において、認証局ＣＡ１は個人識別子ＯＩＤの全長Ｌと等しい長さの情報を生成する。この情報を仮の役割識別子ＡＩＤとする（ステップＳ９１１）。次に、ＯＩＤの部分複写を行うために、ＯＩＤの複写範囲を指定するパラメータｐｉとｌｉの値をそれぞれ乱数発生等の任意の手段を用いて決定する（ステップＳ９１３）。ここで、Ｌは個人識別子ＯＩＤの全長と等しく、ｌｉは０≦ｐｉ≦Ｌの関係が成立する範囲で任意に定めた値とする。次に、ＯＩＤの先頭から位置ｐＩ　から位置ｐｉ　＋ｌｉ　の範囲の情報を、仮ＡＩＤの同じ位置に複写する（ステップＳ９１５）。つまり、このＯＩＤ断片は仮ＡＩＤの先頭から位置ｐｉ　と位置ｐｉ＋ｌｉ　の範囲に複写される。次に、ＯＩＤを部分複写した仮ＡＩＤの定められた範囲に、ｐｉとｌｉの値を任意の手段で暗号化して書き込む（ステップＳ９１７）。次に、これらの値を書き込んだ仮ＡＩＤの定められた範囲にセキュア・コミュニケーション・サービスＳＣＳ５を動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン等）であるＳＣＳの情報を書き込む（ステップＳ９１９）。次に、文字列を書き込んだ仮ＡＩＤに認証局ＣＡ１の秘密鍵で署名する（ステップＳ９２１）。
【０１６７】
次に、ユーザＢ３の役割識別子ＡＩＤ及び公開情報をアノニマス・ディレクトリ・サービスＡＤＳ７に登録する手続きについて説明する。登録者であるユーザＢ３とアノニマス・ディレクトリ・サービスＡＤＳ７との間で、ユーザＢ３の役割識別子ＡＩＤとＡＤＳ７の証明書を用いて、任意の手段で双方向認証を行う。次に、ユーザＢ３は、移転制御フラグの値、有効期限の値、および、趣味等の公開情報をＡＤＳ７に送信する。次に、ＡＤＳ７はユーザＢ３から受信した移転制御フラグの値、有効期限の値、すべての公開情報を、すべてユーザＢ３のＡＩＤと関連付けて記憶装置に記録する。
【０１６８】
なお、上記手続きにおいて、登録者であるユーザＢ３とＡＤＳ７間の通信を暗号化する場合もある。
【０１６９】
次に、ユーザＡ３がアノニマス・ディレクトリ・サービスＡＤＳ７に登録された公開情報を検索する手続きについて説明する。検索者であるユーザＡ３とアノニマス・ディレクトリ・サービスＡＤＳ７との間で、ユーザＡ３の役割識別子ＡＩＤとＡＤＳ７の証明書を用いて、任意の手段で双方向認証を行う。次にユーザＡ３は任意の検索条件をＡＤＳ７に送信する。次に、ＡＤＳ７は受信したすべての検索条件を記憶装置に提示し、これらの検索条件を満足する登録者の役割識別子ＡＩＤを抽出する。次に、ＡＤＳ７はユーザＡ３のＡＩＤと検索条件を満足した登録者のＡＩＤと移転制御フラグの値と有効期限の値から個別化アクセスチケットＰＡＴを生成する。次に、ＡＤＳ７は生成したＰＡＴをユーザＡ３に送信する。
【０１７０】
なお、上記手続きにおいて、検索者であるユーザＡ３とＡＤＳ７間の通信を暗号化する場合もある。
【０１７１】
１対１個別化アクセスチケットは、アノニマス・ディレクトリ・サービスＡＤＳ７の検索結果として生成する。
【０１７２】
次に、図４に示すフローチャートを参照して、ＡＤＳにおける１対１個別化アクセスチケットＰＡＴの生成処理について説明する。まず、ある定められた長さの情報を生成する。これを仮の個別化アクセスチケット（仮ＰＡＴ）とする（ステップＳ１２１０）。次に、検索者であるユーザＡ３の役割識別子ＡＩＤと登録者であるユーザＢ３の役割識別子ＡＩＤを仮ＰＡＴの定められた範囲に複写する）（ステップＳ１２１５）。次に、移転制御フラグの値と有効期限の値をそれぞれ、ＡＩＤを複写した仮ＰＡＴの定められた範囲に書き込む（ステップＳ１２１７）。次に、これらの値を書き込んだ仮ＰＡＴにＡＤＳの秘密鍵で署名する（ステップＳ１２１９）。
【０１７３】
次に、１対１個別化アクセスチケットＰＡＴによる移転制御について説明する。移転制御とは、ＰＡＴを譲渡されたあるいは盗聴した第三者（本来はアクセス権を有していないユーザ）から、正当なアクセス権を持つユーザへのアクセスを制限する機能である。
【０１７４】
アノニマス・ディレクトリ・サービスＡＤＳ７および登録者ＡＩＤのユーザＢ３は、個別化アクセスチケットＰＡＴの移転制御フラグにある値を設定することにより、アクセス権を有していない第三者からのユーザＢ３への接続を禁止することができる。
【０１７５】
移転制御フラグの値を１に設定した場合には、セキュア・コミュニケーション・サービスＳＣＳ５と発信者との間で任意のチャレンジ／レスポンス方式に従い発信者役割識別子ＡＩＤを認証するため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のいかなるユーザに渡しても、そのユーザは登録者にＳＣＳ５を介して接続できない。
【０１７６】
一方、移転制御フラグの値を０に設定した場合には、ＳＣＳ５と発信者との間でいかなるチャレンジ／レスポンスも行わないため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のユーザに渡したら、それらのユーザもアノニマス・ディレクトリ・サービスの登録者とＳＣＳ５を介して接続できるようになる。
【０１７７】
次に、図５を参照してＳＣＳにおけるメールアクセス制御方法について説明する。
【０１７８】
発信者はＦｒｏｍ：行に”発信者ＡＩＤ＠発信者のＳＣＳの実ドメイン”、Ｔｏ：行に”ＰＡＴ＠発信者のＳＣＳの実ドメイン”の形式で指定する。
【０１７９】
ＳＣＳはＳＭＴＰ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）等のＭＴＡ（Ｍｅｓｓａｇｅ　Ｔｒａｎｓｆｅｒ　Ａｇｅｎｔ）の受信したメールを取得し、図５に示す処理を実行する。
【０１８０】
１．ＰＡＴの署名をＡＤＳ７の公開鍵を用いて検証する（ステップＳ１４１３）。
【０１８１】
・ＰＡＴに改竄が認められる場合（ステップＳ１４１５ＹＥＳ）、メールを廃棄して終了する（ステップＳ１４１６）。
【０１８２】
・ＰＡＴに改竄が認められ得ない場合（ステップＳ１４１５ＮＯ）、下記処理２．を実行する。
【０１８３】
２．発信者ＡＩＤをＰＡＴに提示して検索する（ステップＳ１４１７、Ｓ１４１９、Ｓ１４２１）。
【０１８４】
・発信者ＡＩＤと完全一致するＡＩＤがＰＡＴに含まれていない場合には（ステップＳ１４２３ＮＯ）、メールを廃棄して終了する（ステップＳ１４１６）。
【０１８５】
・発信者ＡＩＤと完全一致するＡＩＤがＰＡＴに含まれている場合には（ステップＳ１４２３ＹＥＳ）、下記処理３．を実行する。
【０１８６】
３．ＰＡＴの有効期限の値を評価する（ステップＳ１４２５、Ｓ１４２７）。
【０１８７】
・ＰＡＴが有効期限外の場合には（ステップＳ１４２７ＮＯ）、メールを廃棄して終了する（ステップＳ１４１６）。
【０１８８】
・ＰＡＴが有効期限内の場合には（ステップＳ１４２７ＹＥＳ）、下記処理４．を実行する。
【０１８９】
４．ＰＡＴの移転制御フラグの値を参照して、発信者を認証するか否かを決定する（ステップＳ１４３１、Ｓ１４３３）。
【０１９０】
・値が１の場合には（ステップＳ１４３３ＹＥＳ）、ＳＣＳと発信者との間でチャレンジ／レスポンス認証を実行し、発信者の署名を検証する（ステップＳ１４３５）。署名が正しい場合には、着信者を指定し、ＰＡＴを添付する（ステップＳ１４３７）。署名が正しくない場合には、メールを廃棄して終了する（ステップＳ１４１６）。
【０１９１】
・値が０の場合には（ステップＳ１４３３ＮＯ）、チャレンジ／レスポンス認証を実行せずに、着信者を指定し、ＰＡＴを添付する（ステップＳ１４３７）。
【０１９２】
次に、ＳＣＳと発信者との間のチャレンジ／レスポンスの例を説明する。まず、ＳＣＳは任意の情報、例えばタイムスタンプを生成し、生成した情報を発信者に送信する。
【０１９３】
次に、発信者は、受信した情報に発信者ＡＩＤの秘密鍵で署名し、発信者ＡＩＤの公開鍵とあわせてＳＣＳに送信する。
【０１９４】
ＳＣＳは、受信した情報の署名を発信者ＡＩＤの公開鍵を用いて検証する。署名が正しい場合には、着信者を指定し、ＰＡＴを添付する。署名が正しくない場合にはメールを廃棄して終了する。
【０１９５】
次に、ＳＣＳにおける着信者の指定方法について説明する。ＳＣＳは、まず、発信者ＡＩＤをＰＡＴに提示して検索し、発信者ＡＩＤと完全一致しないすべてのＡＩＤを取得する。取得したすべてのＡＩＤを以後、着信者ＡＩＤと定義する。次に、すべての着信者ＡＩＤについて、それぞれ、着信者ＡＩＤから着信者のＳＣＳの実ドメインを取り出す。次に、着信者を”着信者ＡＩＤ＠着信者のＳＣＳの実ドメイン”の形式で指定する。最後に、ＳＣＳは発信者を”発信者ＡＩＤ＠発信者のＳＣＳの実ドメイン”の形式から”発信者ＡＩＤ”の形式に変更する。
【０１９６】
次に、ＳＣＳにおけるＰＡＴの添付方法について説明する。ＳＣＳは、ＰＡＴをメールの任意の箇所に添付する。
【０１９７】
発信者及び受信者を指定しＰＡＴを添付してから、ＳＣＳは、ＭＴＡにメールを渡す。
【０１９８】
なお、上記すべての処理は、１対Ｎ個別化アクセスチケットの場合も同様である。
【０１９９】
次に、ＳＣＳにおける個別化アクセスチケットＰＡＴに対する着信拒否方法について説明する。
【０２００】
着信拒否の設定：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは登録命令とユーザ自身のＡＩＤと任意のＰＡＴをＳＣＳ５に送信する。次に、ＳＣＳ５は受信したＡＩＤの署名を検証する。署名が正しくない場合には、ＳＣＳ５は処理を終了する。署名が正しい場合には、ＳＣＳ５は受信したすべてのＰＡＴについて、それぞれＡＤＳの公開鍵を用いて署名を検証する。署名が正しくないＰＡＴについては廃棄する。署名が正しい場合には、受信したＡＩＤをそれぞれのＰＡＴに提示して検索する。受信したＡＩＤと完全一致するＡＩＤを含むＰＡＴについては、登録命令とＰＡＴを記憶装置に提示して、ＰＡＴを記憶装置に登録する。受信したＡＩＤと完全一致するＡＩＤを含まないＰＡＴについては記憶装置に登録せずに廃棄する。なお、上記処理において、ユーザとＳＣＳ５間の通信を暗号化する場合もある。
【０２０１】
着信拒否の実行：ＳＣＳ５はＰＡＴを記憶装置に提示して検索する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されている場合には、メールを廃棄する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されていない場合には、メールを廃棄しない。
【０２０２】
着信拒否の解除：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは自らのＡＩＤをＳＣＳ５に提示する。次に、ＳＣＳ５は受信したＡＩＤの署名を検証する。署名が正しくない場合には、ＳＣＳ５は処理を終了する。署名が正しい場合には、ＳＣＳ５は提示されたＡＩＤを検索条件として記憶装置に提示して、提示されたＡＩＤを含むすべてのＰＡＴを取得し、ユーザに提示する。次に、ユーザは提示されたすべてのＰＡＴを参照し、着信拒否を解除したいＰＡＴをすべて選択し、削除命令と併せてＳＣＳ５に送信する。削除命令と着信拒否を解除したいすべてのＰＡＴを受信したＳＣＳ５は、受信した削除命令及びすべてのＰＡＴを記憶装置に提示して、受信したすべてのＰＡＴを記憶装置から削除する。
【０２０３】
なお、ＳＣＳにおける１対Ｎ個別化アクセスチケットＰＡＴに対する着信拒否方法も、上記１対１個別化アクセスチケットに対する着信拒否方法と同様である。
【０２０４】
また、ユーザＢからユーザＡへのメールの返信は、ユーザＡからユーザＢへのメールの送信の場合と同様である。
【０２０５】
次に、図６のフローチャート及び図７を参照して、同一性の判定について説明する。
【０２０６】
１．変数ＯＩＤＭ　の初期値を、ＯＩＤの全長Ｌと等しい長さで、かつ、すべての値が０であるビット列と定義する。また、変数ＯＩＤＶ　の初期値を、ＯＩＤの全長Ｌと等しい長さで、かつ、すべての値が０であるビット列と定義する（ステップＳ２５１１）。
【０２０７】
２．処理対象のＡＩＤの集合から１個のＡＩＤを選択し、以下のビット演算を実行する（ステップＳ２５１３）。
【０２０８】
（ａ）　ＡＩＤに含まれる位置情報をもとにして、変数ＡＩＤＭ　と変数ＡＩＤＶの値を決定する（ステップＳ２５１５）。ここで、
・ＡＩＤＭ　はＯＩＤの全長Ｌと等しい長さで、かつ、
−ＯＩＤ情報が定義されている位置の値は１である。
【０２０９】
−ＯＩＤ情報が定義されていない位置の値は０である。
【０２１０】
ビット列と定義する（図７）。
【０２１１】
・ＡＩＤＶ　はＯＩＤの全長Ｌと等しい長さで、かつ、
−ＯＩＤ情報が定義されている位置の値はＯＩＤ情報の実際の値である
−ＯＩＤ情報が定義されていない位置の値は０である
ビット列と定義する（図７）。
【０２１２】
（ｂ）　ＯＩＤＭ　とＡＩＤＭ　のＡＮＤ演算を実行し、その結果を変数ＯＶＲＭに代入する（ステップＳ２５１７）。
【０２１３】
（ｃ）　ＯＶＲＭ　とＡＩＤＭ　のＡＮＤ演算と、ＯＶＲＭ　とＯＩＤＭ　のＡＮＤ演算を実行し、その演算結果を比較する（ステップＳ２５１９）。
【０２１４】
・一致する場合ＯＩＤＭ　とＡＩＤＭ　のＯＲ演算を実行し、実行結果をＯＩＤＭ　に代入する（ステップＳ２５２１）。また、ＯＩＤＶ　とＡＩＤＶ　のＯＲ演算を実行し、実行結果をＯＩＤＭ　に代入する（ステップＳ２５２３）。
【０２１５】
・一致しない場合、ステップＳ２５２５に進み、実行する。
【０２１６】
（ｄ）　処理対象のＡＩＤの集合から、次に処理するＡＩＤを抽出する。
【０２１７】
・集合に少なくとも１個のＡＩＤが含まれている場合、ステップＳ２５１３ーＳ２５２３を実行する。
【０２１８】
・集合にＡＩＤが１個も含まれていない場合、ステップＳ２５２７に進む。
【０２１９】
（ｅ）　ＯＩＤＭ　およびＯＩＤＶ　の値を出力する（ステップＳ２５２７）。
【０２２０】
最終的に得られたＯＩＤＭ　の値は、処理対象のＡＩＤの集合から復元できたＯＩＤ情報のすべての位置を表している。また、最終的に得られたＯＩＤＶ　の値は、処理対象のＡＩＤの集合から復元できたＯＩＤ情報のすべてを表している。つまり、ＯＩＤＭ　とＯＩＤＶ　の値を用いると、
（ａ）　ＯＩＤＶ　の値を検索条件とすると、確率的にではあるがＯＩＤを求めることができる。
【０２２１】
（ｂ）　上記検索の精度を、ＯＩＤ全長Ｌとの比ＯＩＤＭ　／Ｌで定量的に評価することができる。
【０２２２】
上述したように、本実施形態では、ユーザ要求に基づいて、秘密性且つ信用性の高い第三者機関である認証局ＣＡ１において、氏名、電話番号、実Ｅメールアドレス等秘密性の高い個人情報を含む個人識別子ＯＩＤからこれらの個人情報を隠蔽した役割識別子ＡＩＤを生成し、ユーザに交付する。このＡＩＤを用いて通信網及び通信網上で提供される各種サービスにおいてユーザを識別することにより、ユーザの匿名性保証と本人保証の両立が可能になる。つまり、ユーザは実名や電話番号やＥメールアドレスを相手に教えなくても、お互いに通信できるようになるし、後述のようにアノニマス・ディレクトリ・サービスＡＤＳ７を介して不特定多数に公開情報を開示することもできる。
【０２２３】
ユーザは、個人情報に比べ秘密性のより低いと思われる情報すなわち公開情報をアノニマス・ディレクトリ・サービスＡＤＳ７に登録する。公開情報及び登録者ＡＩＤを検索する場合には、検索者は検索者の役割識別子ＡＩＤと任意の検索条件をＡＤＳ７に提示する。ＡＤＳ７はすべての検索条件を満足する登録者の役割識別子ＡＩＤを抽出し、次に、検索者ＡＩＤと検索条件を満足した登録者のＡＩＤと移転制御フラグの値と有効期限の値から個別化アクセスチケットＰＡＴを生成する。
【０２２４】
この１対１個別化アクセスチケットＰＡＴには、図２（ｃ）に示すように移転制御フラグの値、有効期限の値が設定されるが、この有効期限を事前に設定することにより、発信者からの接続を制限することができる。
【０２２５】
また、移転制御フラグの値により、アクセス権を有していない第三者からの接続を禁止することができる。すなわち、移転制御フラグの値を１に設定した場合には、セキュア・コミュニケーション・サービスＳＣＳ５と発信者との間で任意のチャレンジ／レスポンス方式に従い発信者役割識別子ＡＩＤを認証するため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のいかなるユーザに渡しても、そのユーザはアノニマス・ディレクトリ・サービスＡＤＳ７への登録者にＳＣＳ５を介して接続できない。一方、移転制御フラグの値を０に設定した場合には、ＳＣＳ５と発信者との間でいかなるチャレンジ／レスポンスも行わないため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のユーザに渡したら、それらのユーザもＡＤＳ７への登録者にＳＣＳ５を介して接続できるようになる。
【０２２６】
また、１対１個別化アクセスチケットＰＡＴで着信者を指定した呼を個別化アクセスチケットＰＡＴ内で定義した着信者役割識別子ＡＩＤまたは発信者役割識別子ＡＩＤに着信するように、通信網に対して接続要求をすることができる。更に、１対１個別化アクセスチケットＰＡＴで指定した呼のうち、着信者が選択した１対１個別化アクセスチケットＰＡＴの呼を着信拒否することができる。また、着信者が選択した１対１個別化アクセスチケットの呼の着信拒否を解除することもできる。更に、匿名性を悪用し複数の発信者役割識別子ＡＩＤで個人攻撃を繰り返す発信者への対処として、それら複数の発信者役割識別子ＡＩＤから個人識別子ＯＩＤの同一性を判定することができ、かつ、その個人識別子をある確率で取り出すことができる。
【０２２７】
次に、本発明の第２の実施形態に係るメールアクセス制御方法について図８乃至図２４を参照して説明する。上述した第１の実施形態では発信者と着信者を１対１に対応させる場合について説明したのに対して、第２の実施形態では、発信者と着信者を１対Ｎに対応させるとともに、この１対Ｎ個別化アクセスチケットの新規生成、内容変更をユーザ主導で可能とする場合について説明するものである。なお、この発信者はＰＡＴの所有者またはＰＡＴの会員のいづれかである。同様に受信者もＰＡＴの所有者またはＰＡＴの会員のいづれかである。
【０２２８】
一般に、グループ通信（メーリングリスト等）の会員構成は動的に変化するため、グループ通信の主催者は会員の電話番号、Ｅメールアドレス等の連絡先情報を管理する必要がある。これに対して、第１の実施形態のように、１対１個別化アクセスチケットの新規生成しかできない場合には、連絡先情報の管理が困難である。例えば、グループを一体として管理することが困難であり、また移転制御のため、他の人に渡しても、メーリングリスト等グループ通信のアドレスとして機能しない。
【０２２９】
本第２の実施形態では、このような不具合を解消するために１対Ｎ個別化アクセスチケットＰＡＴの新規生成および既存の１対Ｎ個別化アクセスチケットＰＡＴの内容変更をユーザ主導でできるようにしている。
【０２３０】
まず、本第２の実施形態で使用される各識別子の定義について図８、図９を参照して説明する。
【０２３１】
個人識別子（Ｏｆｆｉｃｉａｌ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　：ＯＩＤ）は、図８（ａ）に示すように、認証局（Ｃｅｒｔｉｆｉｃａｔｅ　Ａｕｔｈｏｒｉｔｙ　：ＣＡ）がユーザを一意に認識可能な規則に従う任意の文字列（電話番号、電子メールアドレス等）と公開鍵から構成される情報に対し、認証局ＣＡが署名したものである。
【０２３２】
役割識別子（Ａｎｏｎｙｍｏｕｓ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：ＡＩＤ）は、図８（ｂ）に示すように、個人識別子ＯＩＤの断片とその位置情報、冗長な文字列、ＳＣＳを動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン名等）であるＳＣＳの情報から構成される情報に対し、認証局ＣＡが署名したものである。
【０２３３】
１対Ｎ個別化アクセスチケットＰＡＴは、図８（ｃ）に示すように、２個以上の役割識別子、所有者インデックス、有効期限、移転制御フラグ、ＰＡＴ演算装置識別子から構成される情報に対し、ＰＡＴ演算装置の秘密鍵で署名したものである。
【０２３４】
ここで、役割識別子ＡＩＤの１個はこのＰＡＴの所有者役割識別子ＡＩＤで、所有者ＡＩＤとこれに対応したＥｎａｂｌｅｒ　をＰＡＴ演算装置に提示することにより、ＰＡＴへのＡＩＤの追加、ＰＡＴからのＡＩＤの削除、ＰＡＴの有効期限の変更、ＰＡＴの移転制御フラグの値の変更等、ＰＡＴに含まれる情報を変更することができる。
【０２３５】
一方、ＰＡＴに含まれる所有者ＡＩＤ以外のＡＩＤはすべて会員ＡＩＤで、会員ＡＩＤとこれに対応したＥｎａｂｌｅｒ　をＰＡＴ演算装置に提示しても、ＰＡＴに含まれる情報を変更することはできない。
【０２３６】
所有者インデックスは、所有者ＡＩＤを識別するための数値データで、所有者ＡＩＤと会員ＡＩＤから構成されるＡＩＤリストにおける先頭のＡＩＤが所有者ＡＩＤの場合には１、先頭から２番目のＡＩＤが所有者ＡＩＤの場合には２，…、ｎ番目の場合にはｎであると定義する。移転制御フラグは、１対１個別化アクセスチケットの場合と同様、０または１の値をとりうると定義する。
【０２３７】
所有者ＡＩＤは、ＡＩＤリストにおける所有者インデックスの値の位置に書き込まれているＡＩＤであると定義する。会員ＡＩＤは、所有者ＡＩＤ以外のすべてのＡＩＤと定義する。有効期限は、ＰＡＴの使用回数、ＰＡＴが利用不可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になってから利用不可能になるまでの相対時間（寿命）のいずれか、または複数を組み合わせて定義する。ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の識別子は、ＰＡＴ演算装置のシリアルナンバー（またはＰＡＴ演算オブジェクトのネットワーク上の識別名）であると定義する。ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の秘密鍵は、前記識別子に一意に対応すると定義する。
【０２３８】
また、本第２の実施形態では、役割識別子ＡＩＤに対応した識別子として、Ｅｎａｂｌｅｒ　を導入している。Ｅｎａｂｌｅｒ　は、図９に示すように、Ｅｎａｂｌｅｒ　であることを一意に表す文字列とＡＩＤから構成される情報に対して、認証局ＣＡ１が署名したものである。
【０２３９】
次にＰＡＴの新規生成および内容変更における操作について説明する。通信端末上のセキュアなＰＡＴ演算装置、ＣＡ上もしくはＣＡから正当に依頼されたネットワーク上のＰＡＴ演算オブジェクト（以後、これもＰＡＴ演算装置と呼ぶことにする）において、次の操作が定義される。
【０２４０】
１．ＡＩＤリストの編集
ＡＩＤとＥｎａｂｌｅｒ　を用いて、ＰＡＴに含まれるＡＩＤのリスト（以後、ＡＩＤリストと呼ぶ）を編集する。または、ＡＩＤリストを新規生成する。
【０２４１】
２．有効期限および移転制御フラグの設定
ＡＩＤとＥｎａｂｌｅｒ　を用いて、ＰＡＴに含まれる有効期限の値及び移転制御フラグの値を変更する。または、新たに生成したＡＩＤリストに新たな有効期限の値及び新たな移転制御フラグの値を設定する。
【０２４２】
所有者ＡＩＤとこの所有者ＡＩＤに対応したＥｎａｂｌｅｒ　をＰＡＴ演算装置に提示したユーザは、ＰＡＴに含まれるＡＩＤのリストを編集できる。このとき、以下の演算規則に従う。
【０２４３】
（１）　新規生成（ＭａｋｅＰＡＴ）（図１０参照）：
ＡＩＤリスト（ＡＬＩＳＴ＜所有者ＡＩＤ｜会員ＡＩＤ１　，会員ＡＩＤ２，…，会員ＡＩＤｎ　＞）を新規生成し、生成後のＡＬＩＳＴに対し、有効期限の値および移転制御フラグの値を設定する。
【０２４４】
【数１】
ＡＩＤＡ　＋ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
（２）　マージ（ＭｅｒｇｅＰＡＴ）（図１１参照）：
同一所有者ＡＩＤの複数ＡＬＩＳＴをマージし、マージ後のＡＬＩＳＴに対し、有効期限の値および移転制御フラグの値を設定する。
【０２４５】
【数２】
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…＞
＋　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…，
ＡＩＤＣ１，ＡＩＤＣ２，…＞
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…，ＡＩＤＣ１，ＡＩＤＣ２，…＞　　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…，ＡＩＤＣ１，ＡＩＤＣ２，…＞
（３）　分割（ＳｐｌｉｔＰＡＴ）（図１２参照）：
ＡＬＩＳＴを同一所有者ＡＩＤの複数ＡＬＩＳＴに分解し、分解後のすべてのＡＬＩＳＴに対し、それぞれ、有効期限の値および移転制御フラグの値を設定する。
【０２４６】
【数３】
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…，
ＡＩＤＣ１，ＡＩＤＣ２，…＞　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ
→　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ１，ＡＩＤＢ２，…＞
＋　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
（４）　所有者変更（ＴｒａｎｓＰＡＴ）（図１３参照）：
ＡＬＩＳＴの所有者ＡＩＤを変更し、変更後のＡＬＩＳＴに対し有効期限の値および移転制御フラグの値を設定する。
【０２４７】
【数４】
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
＋　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　
→　ＡＬＩＳＴ＜ＡＩＤＢ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
ＡＬＩＳＴ＜ＡＩＤＢ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＢ　｜ＡＩＤＣ１，ＡＩＤＣ２，…＞
有効期限の値の設定における操作では、所有者ＡＩＤとこれに対応したＥｎａｂｌｅｒ　の両者を所有するユーザにのみ有効期限の値の設定を許可するために、以下の操作を定義する。
【０２４８】
【数５】
ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ＋有効期限の値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
移転制御フラグの値の設定における操作では、所有者ＡＩＤとこれに対応したＥｎａｂｌｅｒ　の両者を所有するユーザにのみ移転制御フラグの値の設定を許可するために、以下の操作を定義する。
【０２４９】
【数６】
ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
次に、本実施形態の全体構成を示す図１４〜図２０について説明する。図１４〜図２０において、ＣＡからＡＩＤＡ　を割り当てられたユーザＡは、ユーザＡの計算機にＡＩＤＡ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　を保存し、フロッピー（登録商標）ドライブ、ＣＤ−ＲＯＭドライブ、通信ボード、マイクロフォン、スピーカー等の入出力機器を接続している。または、記憶装置及びデータ入出力機能を備える通信端末（電話、携帯電話等）に、ＡＩＤＡ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　を保存している。
【０２５０】
同様に、ＣＡからＡＩＤＢ　を割り当てられたユーザＢは、自らの計算機にＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を保存し、フロッピー（登録商標）ドライブ、ＣＤ−ＲＯＭドライブ、通信ボード、マイクロフォン、スピーカー等の入出力機器を接続している。または、記憶装置及びデータ入出力機能を備える通信端末（電話、携帯電話等）に、ＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を保存している。
【０２５１】
以下、ユーザＡがＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を生成する手順を説明する。　（１）　ユーザＡは、以下の手段のいずれかを用いて、ＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を取得する。
【０２５２】
・アノニマス・ディレクトリ・サービスＡＤＳ７にＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を登録し、ユーザＡが検索結果として取得するのを待つ（図１４）。
【０２５３】
・電子メール、シグナリング等でＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　をユーザＡに直接送信する（図１５〜図１６）。
【０２５４】
・フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、ＭＯ、ＩＣカード等の磁気、光、電子メディアにＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を蓄積し、ユーザＡに渡す。または、ユーザＡが閲覧して取得するのを待つ（図１７〜図１８）。
【０２５５】
・書籍、名刺等の紙メディアにＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を記載し、ユーザＡに渡す。もしくは、ユーザＡが閲覧し取得するのを待つ（図１９〜図２０）。
【０２５６】
（２）　上述した（１）のいずれかの手段でＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を取得したユーザＡは、ＰＡＴ演算装置に対しＭａｋｅＰＡＴ命令を発行する。この手順は図１４〜図２０で共通で、以下の通りに定義する。
【０２５７】
（ａ）　ユーザＡは、ユーザＡの通信端末にＡＩＤＡ　、　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ、ＡＩＤＢ　、　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　、有効期限の値、および移転制御フラグの値をセットし、ＭａｋｅＰＡＴ命令の発行を要求する。
【０２５８】
（ｂ）　ユーザＡの通信端末は、ＭａｋｅＰＡＴ命令を生成する。
【０２５９】
（ｃ）　ユーザＡの通信端末は、生成したＭａｋｅＰＡＴ命令を電子メール、シグナリング等の手段でＰＡＴ演算装置に送信する（ＭａｋｅＰＡＴ命令の発行）。
【０２６０】
（ｄ）　ＰＡＴ演算装置は、受信したＭａｋｅＰＡＴ命令を図２１、図２３に従って処理し、ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を生成する。具体的には、
【数７】
ＡＩＤＡ　＋ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
ＡＬＩＳＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
（ｅ）　ＰＡＴ演算装置は、生成したＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を電子メール、シグナリング等の手段でユーザＡの通信端末、または必要に応じて、ユーザＢの通信端末に送信する。
【０２６１】
（ｆ）　ユーザＡ（またはユーザＢ）の通信端末は、受信したＰＡＴ＜ＡＩＤＡ｜ＡＩＤＢ　＞をユーザＡの通信端末の記憶装置に保存する。
【０２６２】
ＰＡＴのマージ（ＭｅｒｇｅＰＡＴ、図２１、図２３）、ＰＡＴの分割（ＳｐｌｉｔＰＡＴ、図２２、図２３）、ＰＡＴの所有者変更（ＴｒａｎｓＰＡＴ、図２１、図２３）も同様の手順である。
【０２６３】
次に、図２１のフローチャートを参照して、ＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＴｒａｎｓＰＡＴの手順について説明する。
【０２６４】
１．所有者ＡＩＤを指定する（ステップＳ４４１１）。
【０２６５】
２．会員ＡＩＤをすべて指定する（ステップＳ４４１２）。
【０２６６】
３．指定した所有者ＡＩＤと指定したすべての会員ＡＩＤからＡＩＤリストを生成する（ステップＳ４４１３）。具体的には、任意の手段を用いて、指定した所有者ＡＩＤと指定したすべての会員ＡＩＤを連結する。
【０２６７】
４．仮ＡＩＤと同様に、任意の手段で仮ＰＡＴを生成する（ステップＳ４４１４）。
【０２６８】
５．生成したＡＩＤリストを生成した仮ＰＡＴの定められた範囲に複写する（ステップＳ４４１５）。
【０２６９】
６．ＡＩＤリストを複写した仮ＰＡＴに、所有者インデックスの値を書き込む（ステップＳ４４１６）。
【０２７０】
７．所有者インデックスの値を書き込んだ仮ＰＡＴに、移転制御フラグの値を書き込む（ステップＳ４４１７）。
【０２７１】
８．移転制御フラグの値を書き込んだ仮ＰＡＴに、有効期限の値を書き込む（ステップＳ４４１８）。
【０２７２】
９．有効期限の値を書き込んだ仮ＰＡＴに、ＰＡＴ演算装置の識別子を書き込む（ステップＳ４４１９）。
【０２７３】
１０．ＰＡＴ演算装置の識別子を書き込んだ仮ＰＡＴに、ＰＡＴ演算装置の秘密鍵で署名する（ステップＳ４４２０）。
【０２７４】
次に、図２２のフローチャートを参照して、ＳｐｌｉｔＰＡＴの手順について説明する。
【０２７５】
１．所有者ＡＩＤを指定する（ステップＳ４５１１）。
【０２７６】
２．分割後のＰＡＴの会員ＡＩＤとするＡＩＤをすべて指定する（ステップＳ４５１２）。
【０２７７】
３．指定した所有者ＡＩＤと指定したすべての会員ＡＩＤからＡＩＤリストを生成する（ステップＳ４５１３）。具体的には、任意の手段を用いて、指定した所有者ＡＩＤと指定したすべての会員ＡＩＤを連結する。
【０２７８】
４．仮ＡＩＤと同様に、任意の手段で仮ＰＡＴを生成する（ステップＳ４５１４）。
【０２７９】
５．生成したＡＩＤリストを生成した仮ＰＡＴの定められた範囲に複写する（ステップ４５１５）。
【０２８０】
６．ＡＩＤリストを複写した仮ＰＡＴに、所有者インデックスの値を書き込む（ステップＳ４５１６）。
【０２８１】
７．所有者インデックスの値を書き込んだ仮ＰＡＴに、移転制御フラグの値を書き込む（ステップＳ４５１７）。
【０２８２】
８．移転制御フラグの値を書き込んだ仮ＰＡＴに、有効期限の値を書き込む（ステップＳ４５１８）。
【０２８３】
９．有効期限の値を書き込んだ仮ＰＡＴに、ＰＡＴ演算装置の識別子を書き込む（ステップＳ４５１９）。
【０２８４】
１０．ＰＡＴ演算装置の識別子を書き込んだ仮ＰＡＴに、ＰＡＴ演算装置の秘密鍵で署名する（ステップＳ４５２０）。
【０２８５】
１１．分割を継続する場合には（ステップＳ４５２１ＹＥＳ）、２．に戻り、１０．までを順番に実行する。
【０２８６】
なお、図２１、図２２の手順において、ＡＩＤリストの生成は、図２３のフローチャートにより次のように行う。すなわち、まずバッファ長を決定し（ステップＳ４６１１）、バッファを生成する（ステップＳ４６１２）。次いで、所有者ＡＩＤを生成したバッファの空き領域にコピーする（ステップＳ４６１３）。次いで、会員ＡＩＤをバッファの空き領域にコピーし（ステップＳ４６１４）、次の会員ＡＩＤが存在すれば（ステップＳ４６１５ＹＥＳ）ステップＳ４６１４を繰り返す。
【０２８７】
次に、所有者ＡＩＤの決定について説明する。ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ各命令は、２個以上の引数を持ち、引数として、役割識別子ＡＩＤ、個別化アクセスチケットＰＡＴ、または、Ｅｎａｂｌｅを指定できると定義する。この時、ＰＡＴ演算装置は、各命令実行後に出力されるＰＡＴの所有者ＡＩＤをそれぞれ下記の規則に従い指定する。
【０２８８】
・ＭａｋｅＰＡＴの場合
ＭａｋｅＰＡＴ命令に対して、第１引数から第Ｎ引数（Ｎ＝２，３，…）までＡＩＤを、第Ｎ＋１引数以降ではＥｎａｂｌｅを指定すると定義する。例えば、
2004005690.tif 000003
−ＰＡＴ演算装置は、ＭａｋｅＰＡＴ命令の第１引数のＡＩＤを所有者ＡＩＤであると解釈する。
【０２８９】
−第Ｎ＋１引数以降のＥｎａｂｌｅｒ　のいずれかが第１引数のＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤ（すなわち、第１引数のＡＩＤ）をＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤに指定する。
【０２９０】
・ＭｅｒｇｅＰＡＴの場合
ＭｅｒｇｅＰＡＴ命令に対して、第１引数から第Ｎ引数（Ｎ＝２，３，…）までＰＡＴを、第Ｎ＋１引数ではＥｎａｂｌｅｒを指定すると定義する。すなわち、
ＭｅｒｇｅＰＡＴ　ＰＡＴ１　ＰＡＴ２　…ＰＡＴＮ　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤ
−ＰＡＴ演算装置は、ＭｅｒｇｅＰＡＴ命令の第１引数のＰＡＴの所有者ＡＩＤを、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤであると解釈する。
【０２９１】
−第Ｎ＋１引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴの所有者ＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤ（すなわち、第１引数のＰＡＴの所有者ＡＩＤ）をＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤに指定する。
【０２９２】
・ＳｐｌｉｔＰＡＴの場合
ＳｐｌｉｔＰＡＴ命令に対して、第１引数でＰＡＴを、第２引数から第Ｎ引数（Ｎ＝３，４，…）まではあらかじめ定められた何らかの記号（この例ではカッコ（）とする）でまとめられた１個以上のＡＩＤのまとまりを、第Ｎ＋１引数ではＥｎａｂｌｅを指定すると定義する。すなわち、
2004005690.tif 000004
−ＰＡＴ演算装置は、ＳｐｌｉｔＰＡＴ命令の第１引数のＰＡＴの所有者ＡＩＤを、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤであると解釈する。
【０２９３】
−第Ｎ＋１引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴの所有者ＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤ（すなわち、第１引数のＰＡＴの所有者ＡＩＤ）をＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤに指定する。
【０２９４】
・ＴｒａｎｓＰＡＴの場合
ＴｒａｎｓＰＡＴ命令に対して、第１引数及び第２引数でＰＡＴを、第３引数でＡＩＤを、第４引数及び第５引数ではＥｎａｂｌｅｒを指定すると定義する。すなわち、
ＴｒａｎｓＰＡＴ　ＰＡＴ１　ＰＡＴ２　ＡＩＤ
Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤ１　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤ２
−ＰＡＴ演算装置は、ＴｒａｎｓＰＡＴ命令の第３引数のＡＩＤが第２引数のＰＡＴに含まれている場合に限り、第３引数のＡＩＤを、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤであると解釈する。
【０２９５】
−第４引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴ及び第２引数のＰＡＴの両者に対応しており、かつ、第５引数のＥｎａｂｌｅｒ　が第３引数のＡＩＤに対応している場合に限り、ＰＡＴ演算装置は第３引数のＡＩＤをＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤに指定する。
【０２９６】
次に、会員ＡＩＤの決定について説明する。ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ各命令の定義は上に従う。ＰＡＴ演算装置は、各命令実行後に出力されるＰＡＴの会員ＡＩＤをそれぞれ下記の規則に従い指定する。
【０２９７】
・ＭａｋｅＰＡＴの場合
ＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤが正式に決定された場合に限り、
−ＰＡＴ演算装置は、ＭａｋｅＰＡＴ命令の第２引数以降のすべてのＡＩＤをＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤであると解釈する。
【０２９８】
−第２引数以降のすべてのＡＩＤのうち、第Ｎ＋１引数以降で指定されたＥｎａｂｌｅｒ　と対応しているＡＩＤのみ、ＰＡＴ演算装置はＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤに指定する。
【０２９９】
・ＭｅｒｇｅＰＡＴの場合
ＰＡＴ演算装置は、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤが正式に決定された場合に限り、ＭｅｒｇｅＰＡＴ命令の第１引数から第Ｎ引数で指定されたすべてのＰＡＴの会員ＡＩＤを、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤに指定する。
【０３００】
・ＳｐｌｉｔＰＡＴの場合
ＰＡＴ演算装置は、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤが正式に決定された場合に限り、ＳｐｌｉｔＰＡＴ命令の第１引数で指定されたＰＡＴの会員ＡＩＤを、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤに指定する。このとき、会員ＡＩＤはカッコ（）単位で別々のＰＡＴに振り分けられる。例えば、
2004005690.tif 000005
の場合、（ＡＩＤ１１）と（ＡＩＤ２１　ＡＩＤ２２）と（ＡＩＤＮ１　ＡＩＤＮ２　…　ＡＩＤＮＭ）は所有者ＡＩＤが共通な別のＰＡＴの会員ＡＩＤになる。
【０３０１】
・ＴｒａｎｓＰＡＴの場合
ＰＡＴ演算装置は、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤが正式に決定された場合に限り、ＴｒａｎｓＰＡＴ命令の第１引数で指定されたＰＡＴのすべての会員ＡＩＤ及び第２引数で指定されたＰＡＴの会員ＡＩＤのうち新所有者ＡＩＤとなる予定の会員ＡＩＤを除いた残りのすべての会員ＡＩＤを、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤに指定する。
【０３０２】
次に、Ｅｎａｂｌｅｒ　の正当性の検証について説明する。このＥｎａｂｌｅｒ　の正当性の検証は、ＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、ＴｒａｎｓＰＡＴで共通であり、図２４に示すように行われる。
【０３０３】
１．ＡＩＤとＥｎａｂｌｅｒ　を入力する（ステップＳ５５１１）。
【０３０４】
２．この入力されたＡＩＤとＥｎａｂｌｅｒ　をそれぞれ認証局ＣＡの公開鍵で検証する（ステップＳ５５１２）。少なくとも一方が改竄されている場合には（ステップＳ５５１３ＹＥＳ）、処理を終了する。
【０３０５】
３．Ｅｎａｂｌｅｒ　であることを証明する文字列を入力する（ステップＳ５５１４）。
【０３０６】
４．ステップＳ５５１１のＥｎａｂｌｅｒ　の先頭フィールドとステップＳ５５１４の文字列を比較する（ステップＳ５５１５）。一致しない場合には（ステップＳ５５１６ＮＯ）、処理を終了する。
【０３０７】
５．一致する場合には（ステップＳ５５１６ＹＥＳ）、ステップＳ５５１１のＡＩＤとＥｎａｂｌｅｒ　中のＡＩＤを比較する（ステップＳ５５１７）。
【０３０８】
６．比較結果を出力する（ステップＳ５５１９）。
【０３０９】
次に、図２５〜図２８を参照して、本発明の第３の実施形態について説明する。
【０３１０】
上述した実施形態における個別化アクセスチケット（ＰＡＴ）の新規生成（ＭａｋｅＰＡＴ）および所有者変更（ＴｒａｎｓＰＡＴ）では、会員ＡＩＤと　Ｅｎａｂｌｅｒ　ｏｆ　会員ＡＩＤを個別化アクセスチケットの所有者に渡すことが必要であるが、これを所有者に渡すと、その所有者が別の所有者の主催するグループ通信に対して、取得した会員ＡＩＤで参加することが可能になる。すなわち、会員ＡＩＤを用いた成りすましが可能になるという問題がある。また、その所有者が取得した会員ＡＩＤおよび　Ｅｎａｂｌｅｒ　ｏｆ　会員ＡＩＤを不特定多数が閲覧可能なメディアに掲載すれば、誰でもその会員ＡＩＤにアクセス可能になるため、会員ＡＩＤのユーザへの嫌がらせが発生する恐れがあるとともに、また第三者による会員ＡＩＤを用いた成りすましも可能になるという問題がある。
【０３１１】
そこで、本実施形態では、　Ｅｎａｂｌｅｒ　ｏｆ　会員ＡＩＤを所有者に渡さなくても、ＭａｋｅＰＡＴおよびＴｒａｎｓＰＡＴを可能にする。
【０３１２】
このために、本実施形態では、Ｎｕｌｌ−ＡＩＤ（ＡＩＤＮｕｌｌ）および該Ｎｕｌｌ−ＡＩＤの　Ｅｎａｂｌｅｒ（Ｅｎａｂｌｅｒ　ｏｆ　Ｎｕｌｌ−ＡＩＤまたは　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ）を使用して、個別化アクセスチケット（ＰＡＴ）の新規生成および既存の個別化アクセスチケット（ＰＡＴ）の内容変更を行うものである。ここで、Ｎｕｌｌ−ＡＩＤを含む演算は、以下のすべての規則に従う：
（ａ）　上述した実施形態における新規生成（ＭａｋｅＰＡＴ）、マージ（ＭｅｒｇｅＰＡＴ）、分割（ＳｐｌｉｔＰＡＴ）、変更（ＴｒａｎｓＰＡＴ）からなる演算規則、
（ｂ）　Ｎｕｌｌ−ＡＩＤにのみ適用可能な規則として、
ｉ．Ｎｕｌｌ−ＡＩＤは、すべてのユーザに既知であり、
ｉｉ．　Ｅｎａｂｌｅｒ　ｏｆ　Ｎｕｌｌ−ＡＩＤは、すべてのユーザに既知である。
【０３１３】
ここで、上述した実施形態で定義した演算規則について説明する。
【０３１４】
（１）　複数ＡＩＤからＰＡＴを作る（ＭａｋｅＰＡＴ）：
【数８】
2004005690.tif 000006
（２）　同一所有者の複数ＰＡＴをマージする（ＭｅｒｇｅＰＡＴ）：
【数９】
2004005690.tif 000007
（３）　ＰＡＴを同一所有者の複数ＰＡＴに分割する（ＳｐｌｉｔＰＡＴ）：
【数１０】
2004005690.tif 000008
（４）　ＰＡＴの所有者ＡＩＤを変更する（ＴｒａｎｓＰＡＴ）：
【数１１】
2004005690.tif 000009
Ｎｕｌｌ−ＡＩＤを含むＰＡＴへの有効期限の値及び移転制御フラグの値の指定方法は、上述した第２の実施形態における有効期限の値及び移転制御フラグの値の指定方法に従う。
【０３１５】
次に、Ｎｕｌｌ−ＡＩＤに関する演算例について説明する。
【０３１６】
（１）　ＡＩＤＡ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　とからＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞を作る場合：
（ａ）　Ｎｕｌｌ−ＡＩＤの規則（ｂ）ｉ．　および（ｂ）ｉｉ．より、ＡＩＤＮｕｌｌと　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌは既知である。
【０３１７】
（ｂ）　ＭａｋｅＰＡＴにより
【数１２】
ＡＩＤＮｕｌｌ＋ＡＩＤＡ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
→　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞
（２）　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞とＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞とからＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞を作る場合：
（ａ）　Ｎｕｌｌ−ＡＩＤの規則（ｂ）ｉ．　および（ｂ）ｉｉ．より、ＡＩＤＮｕｌｌと　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌは既知である。
【０３１８】
（ｂ）　ＭｅｒｇｅＰＡＴにより
【数１３】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞　＋　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
→　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞
（３）　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞とＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　とからＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を作る場合：
（ａ）　Ｎｕｌｌ−ＡＩＤの規則（ｂ）ｉ．　および（ｂ）ｉｉ．より、ＡＩＤＮｕｌｌと　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌは既知である。
【０３１９】
（ｂ）　ＴｒａｎｓＰＡＴにより
【数１４】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞　＋　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
Ｎｕｌｌ−ＡＩＤのデータ構造は、図２５に示すように、Ｎｕｌｌ−ＡＩＤであることを一意に表す文字列（例えば、この文字列は認証局ＣＡで定義される）および該文字列に対して認証局ＣＡの署名を施したもので構成される。
【０３２０】
また、　Ｅｎａｂｌｅｒ　ｏｆ　Ｎｕｌｌ−ＡＩＤのデータ構造は、図２６に示すように、Ｅｎａｂｌｅｒ　であることを一意に表す文字列（例えば、この文字列は認証局ＣＡで定義される）、Ｎｕｌｌ−ＡＩＤの実体、および前記Ｅｎａｂｌｅｒ　であることを表す文字列と前記Ｎｕｌｌ−ＡＩＤの実体を連結した文字列に対して認証局ＣＡの署名を施したもので構成される。
【０３２１】
なお、Ｎｕｌｌ−ＡＩＤおよび　Ｅｎａｂｌｅｒ　ｏｆ　Ｎｕｌｌ−ＡＩＤは、セキュアなＰＡＴ演算装置およびセキュアなＰＡＴ認証局で保持される。
【０３２２】
次に、本実施形態の第１の応用例について図２７を参照して説明する。図２７においては、以下の動作を行う。
【０３２３】
（１）　ユーザＢ（ＰＡＴ会員）は、ユーザＢの端末と接続されたセキュアなＰＡＴ演算装置で前記Ｎｕｌｌ−ＡＩＤに関する演算例（１）を実行してＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を生成し、任意の手段でユーザＡ（ＰＡＴ所有者）に渡す。
【０３２４】
（２）　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を受信したユーザＡは、ユーザＡの端末に接続されたセキュアなＰＡＴ演算装置で
（ａ）　Ｎｕｌｌ−ＡＩＤに関する演算例（１）を実行してＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞を作る。
【０３２５】
（ｂ）　Ｎｕｌｌ−ＡＩＤに関する演算例（３）を実行してＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を作る。
【０３２６】
（３）　ユーザＡは、生成したＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を任意の手段でユーザＢに渡す。
【０３２７】
なお、有効期限の決定方法は前述した方法と共通のため省略する。また、Ｎｕｌｌ−ＡＩＤに関する演算の処理は前述した方法と共通のため省略する。
【０３２８】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞をユーザＢに渡す場合には、上述した動作（２）において、前記Ｎｕｌｌ−ＡＩＤに関する演算例（２）を実行する。
【０３２９】
次に、本実施形態の第２の応用例について図２８を参照して説明する。図２８においては、以下の動作を行う。
【０３３０】
（１）　ユーザＢ（ＰＡＴ会員）は、ユーザＢの端末と接続されたセキュアなＰＡＴ演算装置でＮｕｌｌ−ＡＩＤに関する演算例（１）を実行してＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を作り、任意の公開情報とともにアノニマス・ディレクトリ・サービスＡＤＳに登録する。
【０３３１】
（２）　ユーザＡ（ＰＡＴ所有者）は、ユーザＡの端末に接続されたセキュアなＰＡＴ演算装置でＮｕｌｌ−ＡＩＤに関する演算例（１）を実行してＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞を作り、任意の検索条件とともにアノニマス・ディレクトリ・サービスＡＤＳに提示する。
【０３３２】
（３）　ユーザＢの個人情報がユーザＡの提示した検索条件を満足した場合、アノニマス・ディレクトリ・サービスＡＤＳに接続されたセキュアなＰＡＴ演算装置は
（ａ）　Ｎｕｌｌ−ＡＩＤに関する演算例（２）を実行してＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞を作る。
【０３３３】
（ｂ）　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞をアノニマス・ディレクトリ・サービスＡＤＳに渡す。
【０３３４】
（４）　アノニマス・ディレクトリ・サービスＡＤＳは、ＰＡＴ演算装置で作られたＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞をユーザＡに渡す。
【０３３５】
（５）　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞を受け取ったユーザＡは、ユーザＡの端末に接続されたセキュアなＰＡＴ演算装置で下記のＴｒａｎｓＰＡＴ演算を実行して、ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞を作る。
【０３３６】
【数１５】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞
＋　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
尚、有効期限の決定方法は前述した方法と共通のため省略する。また、Ｎｕｌｌ−ＡＩＤに関する演算の処理は前述した方法と共通のため省略する。
【０３３７】
ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞をアノニマス・ディレクトリ・サービスＡＤＳに接続されたセキュアなＰＡＴ演算装置で生成する場合には、そのＰＡＴ演算装置に　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　を渡す。そして、上述した動作（３）において、Ｎｕｌｌ−ＡＩＤに関する演算例（３）を実行する。
【０３３８】
ＰＡＴ＜ＡＩＤＢ　｜ＡＩＤＡ　＞をアノニマス・ディレクトリ・サービスＡＤＳに接続されたセキュアなＰＡＴ演算装置で生成して、ユーザＢに渡す場合には、そのＰＡＴ演算装置に　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を渡す。そして、上述した動作（３）において、Ｎｕｌｌ−ＡＩＤに関する演算例（３）と同様の演算を実行する。
【０３３９】
次に、本発明の第４の実施形態について図２９〜図３１を参照して説明する。
グループ通信においては参加者を固定したい状況はしばしば発生するが、上述した実施形態では個別化アクセスチケット（ＰＡＴ）を変更不可にする機能を持たないため、参加者を固定することができない。すなわち、上述した実施形態では、参加者を固定するか否かは、個別化アクセスチケットの所有者の判断に一任されている。
【０３４０】
そこで、本実施形態では、個別化アクセスチケットに読取専用属性を設定している。
【０３４１】
このため、本実施形態では、Ｇｏｄ−ＡＩＤ（ＡＩＤＧｏｄ　）を用いて、個別化アクセスチケット（ＰＡＴ）に読取専用属性を設定している。ここで、Ｇｏｄ−ＡＩＤに関する演算は、以下のすべての規則に従う：
（ａ）　Ｇｏｄ−ＡＩＤは、すべてのユーザに既知であり、
（ｂ）　Ｇｏｄ−ＡＩＤに関する演算は、以下のいずれかのみ許可される：
【数１６】
ｉ．ＡＩＤｈｏｌｄｅｒがＡＩＤＮｕｌｌでもＡＩＤＧｏｄ　でもない場合：
2004005690.tif 000010
ｉｉ．ＡＩＤｈｏｌｄｅｒがＡＩＤＮｕｌｌの場合：
2004005690.tif 000011
Ｇｏｄ−ＡＩＤのデータ構造は、図２９に示すように、Ｇｏｄ−ＡＩＤであることを一意に表す文字列（例えば、この文字列は認証局ＣＡで定義される）および該文字列に対して認証局ＣＡの署名を施したものから構成される。Ｇｏｄ−ＡＩＤは、上述したセキュアなＰＡＴ演算装置およびセキュアなＰＡＴ認証局で保持されている。
【０３４２】
Ｎｕｌｌ−ＡＩＤを含むＰＡＴの処理は、図２１ー図２４に従う。所有者ＡＩＤがＮｕｌｌ−ＡＩＤでもＧｏｄ−ＡＩＤでもない場合には、ＡＩＤリストにＧｏｄ−ＡＩＤを付加し、所有者インデックスの値をＧｏｄ−ＡＩＤ付加後のＡＩＤリストにおけるＧｏｄ−ＡＩＤの位置と等しくなるように指定する。所有者ＡＩＤがＮｕｌｌ−ＡＩＤの場合には、ＡＩＤリストからＮｕｌｌ−ＡＩＤを削除し、次にＧｏｄ−ＡＩＤを付加し、最後に所有者インデックスの値をＧｏｄ−ＡＩＤ付加後のＡＩＤリストにおけるＧｏｄ−ＡＩＤの位置と等しくなるように指定する。
【０３４３】
次に、本実施形態の応用例について図３０を参照して説明する。
【０３４４】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞とＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ＞とからＰＡＴ＜ＡＩＤＧｏｄ　｜ＡＩＤＡ　，ＡＩＤＢ　＞を作る場合、ＰＡＴ所有者（図３０におけるユーザＡ）の端末に接続されたセキュアなＰＡＴ演算装置において、以下の演算を実行する。
【０３４５】
（１）　上述したＭｅｒｇｅＰＡＴにより
【数１７】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　＞　＋　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
→　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞
（２）　Ｇｏｄ−ＡＩＤに関する演算規則（ａ）より、ＡＩＤＧｏｄ　は既知である。　（３）　Ｇｏｄ−ＡＩＤに関する演算規則（ｂ）ｉｉ．より
【数１８】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＡ　，ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
→　ＰＡＴ＜ＡＩＤＧｏｄ　｜ＡＩＤＡ　，ＡＩＤＢ　＞
上記演算は、第三者の計算機（サーチエンジンなど）に接続されたセキュアなＰＡＴ演算装置（図３１）またはセキュアなＰＡＴ認証局でも実行される。
【０３４６】
次に、図３２を参照して、本発明の第５の実施形態について説明する。
【０３４７】
上述した第３の実施形態で説明したようにＮｕｌｌ−ＡＩＤを追加すると、以下に説明するように、個別化アクセスチケット（ＰＡＴ）の所有者（所有者ＡＩＤのユーザ）が会員（会員ＡＩＤのユーザ）へのアクセス権を第三者に譲渡できるようになるという問題がある。しかも、会員に無断で譲渡可能である。
【０３４８】
１．ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞の所有者Ａが（会員はＢ）
・ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞
・ＡＩＤＡ
・　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ
を用いて、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を作る。ここで、Ａは、ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞に加えて
・ＡＩＤＡ　
・　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
・ＡＩＤＮｕｌｌ
・　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
をすべて知っているとする。
【０３４９】
（ａ）　Ａは、ＭａｋｅＰＡＴにより、ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＮｕｌｌ＞を作る。
【０３５０】
【数１９】
ＡＩＤＡ　＋ＡＩＤＮｕｌｌ＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ
→ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＮｕｌｌ＞
（ｂ）　Ａは、ＴｒａｎｓＰＡＴにより、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を作る。
【０３５１】
【数２０】
ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＢ　＞＋ＰＡＴ＜ＡＩＤＡ　｜ＡＩＤＮｕｌｌ＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
→ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞
上記１．（ｂ）　の後、ＡがＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を第三者Ｃに渡すと次の２．が可能となる。
【０３５２】
２．Ｃは、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞を用いて、ＰＡＴ＜ＡＩＤＣ｜ＡＩＤＢ　＞を作る。ここで、Ｃは、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞に加えて
・ＡＩＤＣ　
・　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＣ　
・ＡＩＤＮｕｌｌ
・　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ
をすべて知っているとする。
【０３５３】
（ａ）　Ｃは、ＭａｋｅＰＡＴにより、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＣ　＞を作る。
【０３５４】
【数２１】
ＡＩＤＮｕｌｌ＋ＡＩＤＣ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＣ＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ　
→　ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＣ　＞
（ｂ）　Ｃは、ＴｒａｎｓＰＡＴにより、ＰＡＴ＜ＡＩＤＣ　｜ＡＩＤＢ　＞を作る。
【０３５５】
【数２２】
ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＢ　＞＋ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤＣ＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＮｕｌｌ＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＣ　
→　ＰＡＴ＜ＡＩＤＣ　｜ＡＩＤＢ　＞
上記２（ｂ）　の結果、ＣはＰＡＴ＜ＡＩＤＣ　｜ＡＩＤＢ　＞を得るので、Ｂへのアクセスが可能になる。
【０３５６】
そこで、本実施形態では、ＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤｍｅｍｂｅｒ＞の所有者がＡＩＤｍｅｍｂｅｒのＥｎａｂｌｅｒ　を知らない場合には、このＰＡＴからＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤｍｅｍｂｅｒ＞を作ることができないようにする。
【０３５７】
上述した第３の実施形態では、ＰＡＴの所有者がＡＩＤｍｅｍｂｅｒのＥｎａｂｌｅｒ　なしでＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤｍｅｍｂｅｒ＞を作るためには、ＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤＮｕｌｌ＞を作ることが必要になる。
【０３５８】
そこで、本実施形態では、上述した第３の実施形態で説明したＮｕｌｌ−ＡＩＤに対して、以下の規則を追加する。
【０３５９】
Ｎｕｌｌ−ＡＩＤはＰＡＴの所有者ＡＩＤとしてのみ使用できる（会員ＡＩＤとしては使用できない）。
【０３６０】
・ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤｍｅｍｂｅｒ１　，ＡＩＤｍｅｍｂｅｒ２　，…，ＡＩＤｍｅｍｂｅｒＮ　＞は許可する。
【０３６１】
・ＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤＮｕｌｌ，ＡＩＤｍｅｍｂｅｒ１　，ＡＩＤｍｅｍｂｅｒ２　，…，ＡＩＤｍｅｍｂｅｒＮ　＞は許可しない。
【０３６２】
上述した実施形態におけるセキュアなＰＡＴ演算装置とセキュアなＰＡＴ認証局にそれぞれＮｕｌｌ−ＡＩＤが会員ＡＩＤに含まれているか否かをチェックする機能を追加する。この会員ＡＩＤのチェック処理機能について図３２に示すフローチャートを参照して説明する。
【０３６３】
１．Ｎｕｌｌ−ＡＩＤとＰＡＴを入力する（ステップＳ６９１１）。
【０３６４】
２．ステップＳ６９１１で入力したＰＡＴから、会員ＡＩＤをすべて取り出す　（ステップＳ６９１３）。
【０３６５】
３．この取り出したすべての会員ＡＩＤについて、それぞれ、ステップＳ６９１１で入力したＮｕｌｌ−ＡＩＤと比較する（ステップＳ６９１５）。
【０３６６】
・すべての会員ＡＩＤがＮｕｌｌ−ＡＩＤと完全に一致しない場合（ステップＳ６９１７ＮＯ、Ｓ６９１９ＮＯ）、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、またはＴｒａｎｓＰＡＴ処理に移る（図２１または図２２）（ステップＳ６９２１）。
【０３６７】
・会員ＡＩＤが１つでもＮｕｌｌ−ＡＩＤと完全に一致する場合（ステップＳ６９１７ＹＥＳ）、処理を終了する。
【０３６８】
次に、図３３〜図３９を参照して、本発明の第６の実施形態について説明する。この第６の実施形態は、上述した第１の実施形態において図２に示した役割識別子ＡＩＤに対して図３４（ｂ）のようにリンク情報を追加するとともに、図２に示した１対１個別化アクセスチケットＰＡＴに含まれていた役割識別子ＡＩＤの実体の代わりに前記役割識別子ＡＩＤのリンク情報を図３４（ｃ）に示すように設定し、該リンク情報で役割識別子ＡＩＤを一意に特定するように構成した点が異なるものである。
【０３６９】
なお、このようにリンク情報を追加された役割識別子ＡＩＤをリンク情報付き役割識別子ＡＩＤと称し、ＡＩＤのリンク情報を有する１対１個別化アクセスチケットＰＡＴをリンク指定型１対１個別化アクセスチケットＰＡＴと称することにする。また、リンク情報は、役割識別子ＡＩＤを一意に特定可能な情報であり、一般に識別子と呼ばれる種類のデータで、例えば認証局ＣＡによって役割識別子ＡＩＤに対して一意に付与されるシリアル番号である。
【０３７０】
まず、図３３を参照して、本発明の第６の実施形態の全体構成図について説明する。図３３において、１は認証局ＣＡであり、個人識別子ＯＩＤの認証権限と役割識別子ＡＩＤの発行権限を有し、ユーザに対して役割識別子を割り当てる機能を有する。３はユーザであり、５はセキュア・コミュニケーション・サービスＳＣＳであり、ユーザ３間の電子メールを転送し、必要に応じて着信拒否および個人識別子の同一性を判定し、取り出す。７はアノニマス・ディレクトリ・サービスＡＤＳであり、役割識別子ＡＩＤ、移転制御フラグの値、有効期限の値、および、公開情報を管理するデータベースである。すなわち、アノニマス・ディレクトリ・サービスＡＤＳ７は、検索者の役割識別子ＡＩＤと検索条件を満足する登録者の役割識別子ＡＩＤから個別化アクセスチケットＰＡＴを生成し、検索者に発行する機能を有する。
【０３７１】
ユーザの要求に基づいて個人識別子から役割識別子ＡＩＤを生成し、そのユーザに割り当てるまでの一連の処理はリンク情報が付加されることを除いて第１の実施形態と基本的に同じであるが、具体的に図３４を参照して説明する。
【０３７２】
図３４は、個人識別子ＯＩＤ（Ｏｆｆｉｃｉａｌ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）とリンク情報付き役割識別子ＡＩＤとリンク指定型１対１個別化アクセスチケットＰＡＴの例を示している。個人識別子ＯＩＤは、図３４（ａ）に示すように、認証局ＣＡ１がユーザを一意に識別可能な規則に従う任意の文字列と公開鍵から構成される情報に対し、認証局ＣＡ１が署名したものである。また、リンク情報付き役割識別子ＡＩＤは、図３４（ｂ）に示すように、個人識別子ＯＩＤの断片とその位置情報、冗長な文字列、ＳＣＳを動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン等）、およびリンク情報から構成される情報に対し、認証局ＣＡ１が署名したものである。
【０３７３】
また、リンク指定型１対１個別化アクセスチケットＰＡＴは、図３４（ｃ）に示すように、移転制御フラグ、役割識別子ＡＩＤ０のリンク情報、役割識別子ＡＩＤ１のリンク情報、有効期限から構成される情報に対してアノニマス・ディレクトリ・サービスＡＤＳが署名したものである。
【０３７４】
ユーザ３がリンク情報付き役割識別子ＡＩＤを認証局ＣＡ１に対して要求する処理は、第１の実施形態において前述したものと同じである。
【０３７５】
次に、上述した役割識別子ＡＩＤの要求に対する認証局ＣＡ１が役割識別子ＡＩＤをユーザ３に対して交付する処理も第１の実施形態において前述したものと同じである。
【０３７６】
次に、認証局ＣＡにおけるリンク情報付き役割識別子ＡＩＤの生成処理について図３５を参照して説明する。図３５において、認証局ＣＡは個人識別子ＯＩＤの全長Ｌと等しい長さの情報を生成する。この情報を仮の役割識別子ＡＩＤとする（ステップＳ７２１１）。次に、個人識別子ＯＩＤの部分複写を行うために、個人識別子ＯＩＤの複写範囲を指定するパラメータｐｉとｌｉの値をそれぞれ乱数発生等の任意の手段を用いて決定する（ステップＳ７２１３）。ここで、Ｌは個人識別子ＯＩＤの全長と等しく、ｌｉは０≦ｌｉ≦Ｌの関係が成立する範囲で任意に定めた値とする。次に、個人識別子ＯＩＤの先頭から位置ｐｉ　から位置ｐｉ　＋ｌｉ　の範囲の情報を、仮ＡＩＤの同じ位置に複写する（ステップＳ７２１５）。つまり、このＯＩＤ断片は仮ＡＩＤの先頭から位置ｐｉ　と位置ｐｉ＋ｌｉの範囲に複写される。次に、ＯＩＤを部分複写した仮ＡＩＤの定められた範囲に、ｐｉ　とｌｉ　の値を任意の手段で暗号化して書き込む（ステップＳ７２１７）。次に、これらの値を書き込んだ仮ＡＩＤの定められた範囲にセキュア・コミュニケーション・サービスＳＣＳ５を動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン名等）を書き込む（ステップＳ７２１９）。次に、リンク情報を付加する（ステップＳ７２２０）。そして、このように文字列およびリンク情報を書き込んだ仮ＡＩＤに認証局ＣＡ１の秘密鍵で署名する（ステップＳ７２２１）。
【０３７７】
次に、ユーザＢ３の役割識別子ＡＩＤ及び公開情報をアノニマス・ディレクトリ・サービスＡＤＳ７に登録する手続きについて説明する。登録者であるユーザＢ３とアノニマス・ディレクトリ・サービスＡＤＳ７との間で、ユーザＢ３の役割識別子ＡＩＤとＡＤＳ７の証明書を用いて、任意の手段で双方向認証を行う。次に、ユーザＢ３は、移転制御フラグの値、有効期限の値、及び、趣味などの公開情報をＡＤＳ７に送信する。次に、ＡＤＳ７はユーザＢ３から受信した移転制御フラグの値、有効期限の値、すべての公開情報を、すべてユーザＢ３のＡＩＤと関連付けて記憶装置に記録する。
【０３７８】
なお、上記手続きにおいて、登録者であるユーザＢ３とＡＤＳ７間の通信を暗号化する場合もある。
【０３７９】
次に、ユーザＡ３がアノニマス・ディレクトリ・サービスＡＤＳ７に登録された公開情報を検索する手続きについて説明する。検索者であるユーザＡ３とアノニマス・ディレクトリ・サービスＡＤＳ７との間で、ユーザＡ３のＡＩＤとＡＤＳ７の証明書を用いて、任意の手段で双方向認証を行う。次に、ユーザＡ３は、任意の検索条件をアノニマス・ディレクトリ・サービスＡＤＳ７に送信する。次に、アノニマス・ディレクトリ・サービスＡＤＳ７は、受信したすべての検索条件を記憶装置に提示し、これらの検索条件を満足する登録者の役割識別子ＡＩＤを抽出する。次に、アノニマス・ディレクトリ・サービスＡＤＳ７はユーザＡ３の役割識別子ＡＩＤのリンク情報と検索条件を満足した登録者の役割識別子ＡＩＤのリンク情報と移転制御フラグの値と有効期限の値からリンク指定型１対１個別化アクセスチケットＰＡＴを生成する。次に、ＡＤＳ７は、生成したＰＡＴをユーザＡ３に送信する。
【０３８０】
なお、上記手続きにおいて、検索者であるユーザＡ３とＡＤＳ７間の通信を暗号化する場合もある。
【０３８１】
リンク指定型１対１個別化アクセスチケットは、アノニマス・ディレクトリ・サービスＡＤＳ７の検索結果として生成する。
【０３８２】
次に、図３６のフローチャートを参照して、ＡＤＳにおけるリンク指定型１対１個別化アクセスチケットＰＡＴの生成処理について説明する。まず、ある定められた長さの情報を生成する。これを仮の個別化アクセスチケット（仮ＰＡＴ）とする（ステップＳ７５１０）。次に、検索者であるユーザＡ３の役割識別子ＡＩＤのリンク情報と登録者であるユーザＢ３の役割識別子ＡＩＤのリンク情報を仮ＰＡＴの定められた範囲に複写する（ステップ７５１６）。次に、移転制御フラグの値と有効期限の値をそれぞれ、ＡＩＤのリンク情報を複写した仮ＰＡＴの定められた範囲に書き込む（ステップＳ７５１７）。次に、これらの値を書き込んだ仮ＰＡＴにＡＤＳの秘密鍵で署名する（ステップＳ７５１９）。
【０３８３】
次に、リンク指定型１対１個別化アクセスチケットＰＡＴによる移転制御について説明する。移転制御とは、ＰＡＴを譲渡されたあるいは盗聴した第三者（本来はアクセス権を有していないユーザ）から、正当なアクセス権を持つユーザへのアクセスを制限する機能である。
【０３８４】
アノニマス・ディレクトリ・サービスＡＤＳ７及び登録者ＡＩＤのユーザＢ３は、個別化アクセスチケットＰＡＴの移転制御フラグにある値を設定することにより、アクセス権を有していない第三者からのユーザＢ３への接続を禁止することができる。
【０３８５】
移転制御フラグの値を１に設定した場合には、セキュア・コミュニケーション・サービスＳＣＳ５と発信者の間で任意のチャレンジ／レスポンス方式に従い発信者役割識別子ＡＩＤを認証するため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のいかなるユーザに渡しても、そのユーザは登録者にＳＣＳ５を介して接続できない。
【０３８６】
一方、移転制御フラグの値を０に設定した場合には、ＳＣＳ５と発信者との間でいかなるチャレンジ／レスポンスも行わないため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のユーザに渡したら、それらのユーザもアノニマス・ディレクトリ・サービスの登録者とＳＣＳ５を介して接続できるようになる。
【０３８７】
次に、図３７を参照してＳＣＳにおけるメールアクセス制御方法について説明する。
【０３８８】
発信者はＦｒｏｍ：行に”発信者ＡＩＤ＠発信者のＳＣＳの実ドメイン”、Ｔｏ：行に”ＰＡＴ＠発信者のＳＣＳの実ドメイン”の形式で指定する。
【０３８９】
ＳＣＳはＳＭＴＰ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）等のＭＴＡ（Ｍｅｓｓａｇｅ　Ｔｒａｎｓｆｅｒ　Ａｇｅｎｔ）の受信したメールを取得し、図３７に示す処理を実行する。
【０３９０】
１．ＰＡＴの署名をＡＤＳの公開鍵を用いて検証する（ステップ７７１３）。
【０３９１】
・ＰＡＴの署名に改竄が認められる場合（ステップＳ７７１５ＹＥＳ）、メールを破棄して終了する（ステップＳ７７１６）。
【０３９２】
・ＰＡＴの署名に改竄が認められない場合（ステップＳ７７１５ＮＯ）、下記処理２．を実行する。
【０３９３】
２．発信者ＡＩＤのリンク情報をＰＡＴに提示して検索する（ステップＳ７７１７、Ｓ７７２０、Ｓ７７２２）。
【０３９４】
・発信者ＡＩＤのリンク情報と完全一致するリンク情報がＰＡＴに含まれていない場合には（ステップＳ７７２３ＮＯ）、メールを破棄して終了する（ステップＳ７７１６）。
【０３９５】
・発信者ＡＩＤのリンク情報と完全一致するリンク情報がＰＡＴに含まれている場合には（ステップＳ７７２３ＹＥＳ）、下記処理３．を実行する。
【０３９６】
３．ＰＡＴの有効期限の値を評価する（ステップＳ７７２５、Ｓ７７２７）。
【０３９７】
・ＰＡＴが有効期間外の場合には（ステップＳ７７２７ＮＯ）、メールを破棄して終了する（ステップＳ７７１６）。
【０３９８】
・ＰＡＴが有効期限内の場合には（ステップＳ７７２７ＹＥＳ）、下記処理４．を実行する。
【０３９９】
４．ＰＡＴの移転制御フラグの値を参照して、発信者を認証するか否かを決定する（ステップＳ７７３１、Ｓ７７３３）。
【０４００】
・値が１の場合には（ステップＳ７７３３ＹＥＳ）、ＳＣＳはリンク情報を認証局ＣＡに提示して発信者ＡＩＤの実体及び発信者ＡＩＤの公開鍵を取得し、ＳＣＳと発信者との間でチャレンジ／レスポンス認証を実行して、発信者の署名を確認する（ステップＳ７７３５）。署名が正しい場合には、着信者を指定し、ＰＡＴを添付する（ステップＳ７７３７）。署名が正しくない場合には、メールを廃棄して終了する（ステップＳ７７１６）。
【０４０１】
・値が０の場合には（ステップＳ７７３３ＮＯ）、チャレンジ／レスポンス認証を実行せずに着信者を指定し、ＰＡＴを添付する（ステップＳ７７３７）。
【０４０２】
ＳＣＳと発信者との間のチャレンジ／レスポンス方法は１対１個別化アクセスチケットに対するチャレンジ／レスポンス方法と同様である。
【０４０３】
次に、ＳＣＳにおける着信者の指定方法について説明する。
【０４０４】
ＳＣＳは、まず、発信者ＡＩＤのリンク情報をＰＡＴに提示して検索し、発信者ＡＩＤのリンク情報と完全一致しないすべてのリンク情報を取得する。次に、取得したすべてのリンク情報を認証局ＣＡに提示して検索し、ＡＩＤを取得する。取得したすべてのＡＩＤを以後、着信者ＡＩＤと定義する。次に、取得したすべてのＡＩＤについて、それぞれ、着信者ＡＩＤから着信者のＳＣＳの実ドメインを取り出す。次に、着信者を”着信者ＡＩＤ＠着信者のＳＣＳの実ドメイン”の形式で指定する。最後に、ＳＣＳは発信者を”発信者ＡＩＤ＠発信者のＳＣＳの実ドメイン”の形式から”発信者ＡＩＤ”の形式に変更する。
【０４０５】
ＳＣＳにおけるＰＡＴの添付方法は、１対１個別化アクセスチケットに対する添付方法と同様である。
【０４０６】
次に、ＳＣＳにおけるリンク指定型１対１個別化アクセスチケットＰＡＴに対する着信拒否方法について説明する。
【０４０７】
着信拒否の設定：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは登録命令とユーザ自身のＡＩＤと任意のＰＡＴをＳＣＳ５に送信する。次に、ＳＣＳ５は受信したＡＩＤの署名を検証する。署名が正しくない場合には、ＳＣＳ５は処理を終了する。署名が正しい場合には、ＳＣＳ５は受信したすべてのＰＡＴについて、それぞれＡＤＳの公開鍵を用いて署名を検証する。署名が正しくないＰＡＴについては廃棄する。署名が正しい場合には、受信したＡＩＤからリンク情報を取り出し、取り出したリンク情報をそれぞれのＰＡＴに提示して検索する。受信したＡＩＤのリンク情報と完全一致するリンク情報を含むＰＡＴについては、登録命令とＰＡＴを記憶装置に提示して、ＰＡＴを記憶装置に登録する。受信したＡＩＤのリンク情報と完全一致するリンク情報を含まないＰＡＴについては記憶装置に登録せずに廃棄する。なお、上記処理において、ユーザとＳＣＳ５間の通信を暗号化する場合もある。
【０４０８】
着信拒否の実行：ＳＣＳ５はＰＡＴを記憶装置に提示して検索する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されている場合には、メールを廃棄する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されていない場合には、メールを廃棄しない。
【０４０９】
着信拒否の解除：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは自らのＡＩＤをＳＣＳ５に提示する。次に、ＳＣＳ５は受信したＡＩＤの署名を検証する。署名が正しくない場合には、ＳＣＳ５は処理を終了する。署名が正しい場合には、ＳＣＳ５は提示されたＡＩＤからリンク情報を取り出し、取り出したリンク情報を検索条件として記憶装置に提示して、提示されたリンク情報を含むすべてのＰＡＴを取得し、ユーザに提示する。次に、ユーザは提示されたすべてのＰＡＴを参照し、着信拒否を解除したいＰＡＴをすべて選択し、削除命令と併せてＳＣＳ５に送信する。削除命令と着信拒否を解除したいすべてのＰＡＴを受信したＳＣＳ５は、受信した削除命令及びすべてのＰＡＴを記憶装置に提示して、受信したすべてのＰＡＴを記憶装置から削除する。
【０４１０】
なお、ＳＣＳにおけるリンク指定型１対Ｎ個別化アクセスチケットＰＡＴに対する着信拒否方法も、上記リンク指定型１対１個別化アクセスチケットに対する着信拒否方法と同様である。
【０４１１】
次に、図３８のフローチャートおよび図３９を参照して、同一性の判定について説明する。
【０４１２】
１．変数ＯＩＤＭ　の初期値を、ＯＩＤの全長Ｌと等しい長さで、かつ、すべての値が０であるビット列と定義する。また、変数ＯＩＤＶ　の初期値を、ＯＩＤの全長Ｌと等しい長さで、かつ、すべての値が０であるビット列と定義する（ステップＳ７９１１）。
【０４１３】
２．処理対象のリンク情報付きＡＩＤの集合から１個のリンク情報付きＡＩＤを選択し、以下のビット演算を実行する（ステップＳ７９１３）。
【０４１４】
（ａ）　リンク情報付きＡＩＤに含まれる位置情報をもとにして、変数ＡＩＤＭ　と変数ＡＩＤＶ　の値を決定する（ステップＳ７９１５）。ここで、
・ＡＩＤＭ　はＯＩＤの全長Ｌと等しい長さで、かつ、
−ＯＩＤ情報が定義されている位置の値は１である。
【０４１５】
−ＯＩＤ情報が定義されていない位置の値は０である。
【０４１６】
ビット列と定義する（図３９）。
【０４１７】
・ＡＩＤＶ　はＯＩＤの全長Ｌと等しい長さで、かつ、
−ＯＩＤ情報が定義されている位置の値はＯＩＤ情報の実際の値である
−ＯＩＤ情報が定義されていない位置の値は０である
ビット列と定義する（図３９）。
【０４１８】
（ｂ）　ＯＩＤＭ　とＡＩＤＭ　のＡＮＤ演算を実行し、その結果を変数ＯＶＲＭに代入する（ステップＳ７９１７）。
【０４１９】
（ｃ）　ＯＶＲＭ　とＡＩＤＭ　のＡＮＤ演算と、ＯＶＲＭ　とＯＩＤＭ　のＡＮＤ演算を実行し、その演算結果を比較する（ステップＳ７９１９）。
【０４２０】
・一致する場合ＯＩＤＭ　とＡＩＤＭ　のＯＲ演算を実行し、実行結果をＯＩＤＭ　に代入する（ステップＳ７９２１）。また、ＯＩＤＶ　とＡＩＤＶ　のＯＲ演算を実行し、実行結果をＯＩＤＭ　に代入する（ステップＳ７９２３）。
【０４２１】
・一致しない場合、ステップＳ７９２５に進み、実行する。
【０４２２】
（ｄ）　処理対象のリンク情報付きＡＩＤの集合から、次に処理するリンク情報付きＡＩＤを抽出する。
【０４２３】
・集合に少なくとも１個のリンク情報付きＡＩＤが含まれている場合、ステップＳ７９１３ーＳ７９２３を実行する。
【０４２４】
・集合にリンク情報付きＡＩＤが１個も含まれていない場合、ステップＳ７９２７に進む。
【０４２５】
（ｅ）　ＯＩＤＭ　およびＯＩＤＶ　の値を出力する（ステップＳ７９２７）。
【０４２６】
最終的に得られたＯＩＤＭ　の値は、処理対象のリンク情報付きＡＩＤの集合から復元できたＯＩＤ情報のすべての位置を表している。また、最終的に得られたＯＩＤＶ　の値は、処理対象のリンク情報付きＡＩＤの集合から復元できたＯＩＤ情報のすべてを表している。つまり、ＯＩＤＭ　とＯＩＤＶ　の値を用いると、
（ａ）　ＯＩＤＶ　の値を検索条件とすると、確率的にではあるがＯＩＤを求めることができる。
【０４２７】
（ｂ）　上記検索の精度を、ＯＩＤ全長Ｌとの比ＯＩＤＭ　／Ｌで定量的に評価することができる。
【０４２８】
上述したように、本実施形態では、ユーザ要求に基づいて、秘密性かつ信用性の高い第三者機関である認証局ＣＡ１において、氏名、電話番号、実Ｅメールアドレス等秘密性の高い個人情報を含む個人識別子ＯＩＤからこれらの個人情報を隠蔽したリンク情報付き役割識別子ＡＩＤを生成し、ユーザに交付する。このＡＩＤを用いて通信網及び通信網上で提供される各種サービスにおいてユーザを識別することにより、ユーザの匿名性保証と本人証明の両立が可能になる。つまり、ユーザは実名や電話番号やＥメールアドレスを相手に教えなくても、お互いに通信できるようになるし、後述のように、アノニマス・ディレクトリ・サービスＡＤＳ７を介して不特定多数に公開情報を開示することもできる。
【０４２９】
ユーザは、個人情報に比べ秘密性のより低いと思われる情報すなわち公開情報をアノニマス・ディレクトリ・サービスＡＤＳ７に登録する。公開情報及び登録者ＡＩＤを検索する場合には、検索者は検索者のリンク情報付き役割識別子ＡＩＤと任意の検索条件をアノニマス・ディレクトリ・サービスＡＤＳ７に提示する。アノニマス・ディレクトリ・サービスＡＤＳ７は、すべての検索条件を満足する登録者のリンク情報付き役割識別子ＡＩＤを抽出し、次に、検索者のリンク情報付き役割識別子ＡＩＤのリンク情報と検索条件を満足した登録者のリンク情報付き役割識別子ＡＩＤのリンク情報と移転制御フラグの値と有効期限の値からリンク指定型１対１個別化アクセスチケットＰＡＴを生成する。
【０４３０】
このリンク指定型１対１個別化アクセスチケットＰＡＴには、図３４（ｃ）に示すように、移転制御フラグの値、有効期限の値が設定されるが、この有効期限を事前に設定することにより、発信者からの接続を制限することができる。
【０４３１】
また、移転制御フラグの値により、アクセス権を有していない第三者からの接続を禁止することができる。すなわち、移転制御フラグを１に設定した場合には、セキュア・コミュニケーション・サービスＳＣＳ５と発信者との間で任意のチャレンジ／レスポンス方式に従い発信者役割識別子ＡＩＤを認証するため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のいかなるユーザに渡しても、そのユーザはアノニマス・ディレクトリ・サービスＡＤＳ７への登録者にＳＣＳ５を介して接続できない。一方、移転制御フラグを０に設定した場合には、ＳＣＳ５と発信者との間でいかなるチャレンジ／レスポンスも行わないため、発信者が発信者ＡＩＤとＰＡＴの両者を発信者以外のユーザに渡したら、それらのユーザもＡＤＳ７への登録者にＳＣＳ５を介して接続できるようになる。
【０４３２】
また、リンク指定型１対１個別化アクセスチケットＰＡＴで着信者を指定した呼をリンク指定型１対１個別化アクセスチケットＰＡＴのリンク情報で特定した着信者役割識別子ＡＩＤまたは発信者役割識別子ＡＩＤに着信するように、通信網に対して接続要求をすることができる。更に、リンク指定型１対１個別化アクセスチケットＰＡＴで指定した呼のうち、着信者が選択したリンク指定型１対１個別化アクセスチケットＰＡＴの呼を着信拒否することができる。また、着信者が選択したリンク指定型１対１個別化アクセスチケットの呼の着信拒否を解除することもできる。更に、匿名性を悪用し複数の発信者役割識別子ＡＩＤで個人攻撃を繰り返す発信者への対処として、それら複数の発信者役割識別子ＡＩＤから個人識別子ＯＩＤの同一性を判定することができ、かつ、その個人識別子をある確率で取り出すことができる。
【０４３３】
次に、本発明の第７の実施形態に係るメールアクセス制御方法について図４０乃至図４９を参照して説明する。上述した第６の実施形態では発信者と着信者を１対１に対応させる場合について説明したのに対して、第７の実施形態では、上述した第２の実施形態と同様に、発信者と着信者を１対Ｎに対応させるとともに、リンク指定型１対Ｎ個別化アクセスチケットの新規生成、内容変更をユーザ主導で可能とする場合について説明するものである。なお、この発信者はＰＡＴの所有者またはＰＡＴの会員のいづれかである。同様に受信者もＰＡＴの所有者またはＰＡＴの会員のいづれかである。
【０４３４】
第２の実施形態で説明したと同様に、グループ通信（メーリングリスト等）の会員構成は動的に変化するため、グループ通信の主催者は会員の電話番号、電子メールアドレス等の連絡先情報を管理する必要がある。これに対して、第６の実施形態のように、リンク指定型１対１個別化アクセスチケットの新規生成しかできない場合には、連絡先情報の管理が困難である。例えば、グループを一体として管理することが困難であり、また移転制御のため、他の人に渡しても、メーリングリスト等グループ通信のアドレスとして機能しない。
【０４３５】
本第７の実施形態では、このような不具合を解消するためにリンク指定型１対Ｎ個別化アクセスチケットＰＡＴの新規生成および既存のリンク指定型１対Ｎ個別化アクセスチケットＰＡＴの内容変更をユーザ主導でできるようにしている。
【０４３６】
まず、本第７の実施形態で使用される各識別子の定義について図４０、図４１を参照して説明する。
【０４３７】
個人識別子ＯＩＤは、図４０（ａ）に示すように、認証局ＣＡ１がユーザを一意に識別可能な規則に従う任意の文字列と公開鍵から構成される情報に対し認証局ＣＡ１が署名したものである。
【０４３８】
リンク情報付き役割識別子ＡＩＤは、図４０（ｂ）に示すように、個人識別子ＯＩＤの断片とその位置情報、冗長な文字列、ＳＣＳを動かしているホストまたはドメインをネットワーク上で一意に識別可能な任意の文字列（ホスト名、実ドメイン名）であるＳＣＳの情報、およびリンク情報から構成される情報に対し認証局ＣＡ１が署名したものである。また、ＡＩＤはＳＣＳやＣＡで暗号化する場合もある。なお、リンク情報は、第６の実施形態のものと同じである。
【０４３９】
リンク指定型１対Ｎ個別化アクセスチケット（Ｐｅｒｓｏｎａｌｉｚｅｄ　Ａｃｃｅｓｓ　Ｔｉｃｋｅｔ：ＰＡＴ）は、図４０（ｃ）に示すように、２個以上の役割識別子のリンク情報、所有者インデックス、有効期限、移転制御フラグ、ＰＡＴ演算装置識別子から構成される情報に対し、ＰＡＴ演算装置の秘密鍵により署名したものである。
【０４４０】
ここで、役割識別子ＡＩＤのリンク情報の１個は、このＰＡＴの所有者役割識別子ＡＩＤのリンク情報で、所有者ＡＩＤのリンク情報とこれに対応したＥｎａｂｌｅｒ　をＰＡＴ演算装置に提示することにより、ＰＡＴへのＡＩＤのリンク情報の追加、ＰＡＴからのＡＩＤのリンク情報の削除、ＰＡＴの有効期限の変更、ＰＡＴの移転制御フラグの値の変更等、ＰＡＴに含まれる情報を変更することができる。
【０４４１】
一方、ＰＡＴに含まれる所有者ＡＩＤのリンク情報以外のＡＩＤのリンク情報はすべて会員ＡＩＤのリンク情報で、会員ＡＩＤのリンク情報とこれに対応したＥｎａｂｌｅｒ　をＰＡＴ演算装置に提示しても、ＰＡＴに含まれる情報を変更することはできない。
【０４４２】
所有者インデックスは、所有者ＡＩＤのリンク情報を識別するための数値データで、所有者ＡＩＤのリンク情報と会員ＡＩＤのリンク情報とから構成されるリンク指定型ＡＩＤリストにおける先頭のＡＩＤのリンク情報が所有者ＡＩＤのリンク情報の場合には１、先頭から２番目のＡＩＤのリンク情報が所有者ＡＩＤのリンク情報の場合には２、…、ｎ番目のＡＩＤのリンク情報が所有者ＡＩＤのリンク情報の場合にはｎであると定義する。
【０４４３】
移転制御フラグは、リンク指定型１対１個別化アクセスチケットの場合と同様、０または１の値をとりうると定義する。
【０４４４】
所有者ＡＩＤのリンク情報は、リンク指定型ＡＩＤリストにおける所有者インデックスの値の位置に書き込まれているＡＩＤのリンク情報であると定義する。会員ＡＩＤのリンク情報は、所有者ＡＩＤのリンク情報以外のすべてのＡＩＤのリンク情報と定義する。
【０４４５】
有効期限はＰＡＴの使用回数、ＰＡＴが利用不可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になってから利用不可能になるまでの相対時間（寿命）のいずれか、または複数を組み合わせて定義する。ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の識別子は、ＰＡＴ演算装置のシリアルナンバー（またはＰＡＴ演算オブジェクトのネットワーク上の識別名）であると定義する。
【０４４６】
ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の秘密鍵は、前記識別子に一意に対応すると定義する。
【０４４７】
また、本第７の実施形態では、役割識別子ＡＩＤに対応した識別子として、Ｅｎａｂｌｅｒ　を導入している。Ｅｎａｂｌｅｒ　は、図４１に示すように、Ｅｎａｂｌｅｒ　であることを一意に表す文字列とリンク情報付きＡＩＤから構成される情報に対して認証局ＣＡ１が署名したものである。
【０４４８】
次にＰＡＴの新規生成および内容変更における操作について説明する。通信端末上のセキュアなＰＡＴ演算装置、ＣＡ上もしくはＣＡから正当に依頼されたネットワーク上のＰＡＴ演算オブジェクト（以後、これもＰＡＴ演算装置と呼ぶことにする）において、次の操作が定義されるが、これは第２の実施形態のものと同じであり、図１０〜図１３を参照して説明する。
【０４４９】
１．リンク指定型ＡＩＤリストの編集
リンク情報付きＡＩＤとＥｎａｂｌｅｒ　を用いて、ＰＡＴに含まれるＡＩＤのリンク情報のリストであるリンク指定型ＡＩＤリストを編集する。または、リンク指定型ＡＩＤリストを新規生成する。
【０４５０】
２．有効期限及び移転制御フラグの値の設定
リンク情報付きＡＩＤとＥｎａｂｌｅｒ　を用いて、ＰＡＴに含まれる有効期限の値および移転制御フラグの値を変更する。または、新たに生成したリンク指定型ＡＩＤリストに新たな有効期限の値及び新たな移転制御フラグの値を設定する。
【０４５１】
所有者ＡＩＤとこの所有者ＡＩＤに対応したＥｎａｂｌｅｒをＰＡＴ演算装置に提示したユーザは、ＰＡＴに含まれるＡＩＤのリンク情報のリストを編集できる。このとき、以下の演算規則に従う。
【０４５２】
（１）　新規生成（ＭａｋｅＰＡＴ）（図１０参照）：
リンク指定型ＡＩＤリスト（ＬＡＬＩＳＴ＜（リンク）所有者ＡＩＤ｜（リンク）会員ＡＩＤ１　，（リンク）会員ＡＩＤ２　，…，（リンク）会員ＡＩＤｎ　＞）（但し、（リンク）ＡＩＤＸ　はＡＩＤＸ　のリンク情報であることを表す）を新規生成し、生成後のＬＡＬＩＳＴに対し、有効期限の値および移転制御フラグの値を設定する。
【０４５３】
【数２３】
（リンク）ＡＩＤＡ　＋（リンク）ＡＩＤＢ　
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＬＡＬＩＳＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
ＬＡＬＩＳＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
（２）　マージ（ＭｅｒｇｅＰＡＴ）（図１１参照）：
同一所有者ＡＩＤの複数ＬＡＬＩＳＴをマージし、マージ後のＬＡＬＩＳＴに対し、有効期限の値および移転制御フラグの値を設定する。
【０４５４】
【数２４】
2004005690.tif 000012
（３）　分割（ＳｐｌｉｔＰＡＴ）（図１２参照）：
ＬＡＬＩＳＴを同一所有者ＡＩＤの複数ＬＡＬＩＳＴに分解し、分解後のすべてのＬＡＬＩＳＴに対し、それぞれ、有効期限の値および移転制御フラグの値を設定する。
【０４５５】
【数２５】
2004005690.tif 000013
（４）　所有者変更（ＴｒａｎｓＰＡＴ）（図１３参照）：
ＬＡＬＩＳＴの所有者ＡＩＤを変更し、変更後のＬＡＬＩＳＴに対し有効期限の値および移転制御フラグの値を設定する。
【０４５６】
【数２６】
2004005690.tif 000014
有効期限の値の設定における操作では、所有者ＡＩＤとこれに対応したＥｎａｂｌｅｒ　の両者を所有するユーザにのみ有効期限の値の設定を許可するために、以下の操作を定義する。
【０４５７】
【数２７】
ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　有効期限の値
→　ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
移転制御フラグの値の設定における操作では、所有者ＡＩＤとこれに対応したＥｎａｂｌｅｒ　の両者を所有するユーザにのみ移転制御フラグの値の設定を許可するために、以下の操作を定義する。
【０４５８】
【数２８】
ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　移転制御フラグの値
→　ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
次に、本実施形態の全体構成を示す図４２〜図４８について説明する。図４２〜図４８において、ＣＡからＡＩＤＡ　を割り当てられたユーザＡは、ユーザＡの計算機にＡＩＤＡ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　を保存し、フロッピー（登録商標）ドライブ、ＣＤ−ＲＯＭドライブ、通信ボード、マイクロフォン、スピーカー等の入出力機器を接続している。または、記憶装置及びデータ入出力機能を備える通信端末（電話、携帯電話等）に、ＡＩＤＡ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　を保存している。
【０４５９】
同様に、ＣＡからＡＩＤＢ　を割り当てられたユーザＢは、自らの計算機にＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を保存し、フロッピー（登録商標）ドライブ、ＣＤ−ＲＯＭドライブ、通信ボード、マイクロフォン、スピーカー等の入出力機器を接続している。または、記憶装置及びデータ入出力機能を備える通信端末（電話、携帯電話等）に、ＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を保存している。
【０４６０】
以下、ユーザＡがＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞を生成する手順を説明する。
【０４６１】
（１）　ユーザＡは、以下の手段のいずれかを用いて、ＡＩＤＢ　および　Ｅｎａｂｌｅｒｏｆ　ＡＩＤＢ　を取得する。
【０４６２】
・アノニマス・ディレクトリ・サービスＡＤＳ７にＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を登録し、ユーザＡが検索結果として取得するのを待つ（図４２）。
【０４６３】
・電子メール、シグナリング等でＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　をユーザＡに直接送信する（図４３〜図４４）。
【０４６４】
・フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、ＭＯ、ＩＣカード等の磁気、光、電子メディアにＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を蓄積し、ユーザＡに渡す。または、ユーザＡが閲覧して取得するのを待つ（図４５〜図４６）。
【０４６５】
・書籍、名刺等の紙メディアにＡＩＤＢ　と　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を記載し、ユーザＡに渡す。もしくは、ユーザＡが閲覧し取得するのを待つ（図４７〜図４８）。
【０４６６】
（２）　上述した（１）のいずれかの手段でＡＩＤＢ　および　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　を取得したユーザＡは、ＰＡＴ演算装置に対しＭａｋｅＰＡＴ命令を発行する。この手順は図４２〜図４８で共通で、以下の通りに定義する。
【０４６７】
（ａ）　ユーザＡは、ユーザＡの通信端末にＡＩＤＡ　、　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ、ＡＩＤＢ　、　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　、有効期限の値、および移転制御フラグの値をセットし、ＭａｋｅＰＡＴ命令の発行を要求する。
【０４６８】
（ｂ）　ユーザＡの通信端末は、ＭａｋｅＰＡＴ命令を生成する。
【０４６９】
（ｃ）　ユーザＡの通信端末は、生成したＭａｋｅＰＡＴ命令を電子メール、シグナリング等の手段でＰＡＴ演算装置に送信する（ＭａｋｅＰＡＴ命令の発行）。
【０４７０】
（ｄ）　ＰＡＴ演算装置は、受信したＭａｋｅＰＡＴ命令を図２１、図４９に従って処理し、ＰＡＴ＜（リンク）ＡＩＤＡ｜（リンク）ＡＩＤＢ　＞を生成する。具体的には、
【数２９】
（リンク）ＡＩＤＡ　＋（リンク）ＡＩＤＢ　
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＢ　＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　
→　ＬＡＬＩＳＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
ＬＡＬＩＳＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
＋　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤＡ　＋　有効期限の値　＋　移転制御フラグの値
→　ＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞
（ｅ）　ＰＡＴ演算装置は、生成したＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞を電子メール、シグナリング等の手段でユーザＡの通信端末、または必要に応じて、ユーザＢの通信端末に送信する。
【０４７１】
（ｆ）　ユーザＡ（またはユーザＢ）の通信端末は、受信したＰＡＴ＜（リンク）ＡＩＤＡ　｜（リンク）ＡＩＤＢ　＞をユーザＡの通信端末の記憶装置に保存する。
【０４７２】
ＰＡＴのマージ（ＭｅｒｇｅＰＡＴ、図２１、図４９）、ＰＡＴの分割（ＳｐｌｉｔＰＡＴ、図２２、図４９）、ＰＡＴの所有者変更（ＴｒａｎｓＰＡＴ、図２１、図４９）も同様の手順である。
【０４７３】
ＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＴｒａｎｓＰＡＴの手順については、ＡＩＤをＡＩＤのリンク情報に置き換えＡＩＤリストをリンク指定型ＡＩＤリストに置き換える以外は図２１を参照して前述した通りである。また、ＳｐｌｉｔＰＡＴの手順についても、ＡＩＤをＡＩＤのリンク情報に置き換えＡＩＤリストをリンク指定型ＡＩＤリストに置き換える以外は図２２を参照して前述したとおりである。
【０４７４】
但し、図２１、図２２の手順において、リンク指定型ＡＩＤリストの生成は、図４９のフローチャートにより次のように行う。すなわち、まずバッファ長を決定し（ステップＳ９０１１）、バッファを生成する（ステップＳ９０１２）。次いで、所有者ＡＩＤのリンク情報を生成したバッファの空き領域にコピーする（ステップＳ９０１７）。次いで、会員ＡＩＤのリンク情報をバッファの空き領域にコピーし（ステップＳ９０１８）、次の会員ＡＩＤが存在すれば（ステップＳ９０１５ＹＥＳ）ステップＳ９０１８を繰り返す。
【０４７５】
次に、所有者ＡＩＤのリンク情報の決定について説明する。
【０４７６】
ＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、ＴｒａｎｓＰＡＴの各命令は、２個以上の引数を持ち、引数として、役割識別子ＡＩＤ、個別化アクセスチケットＰＡＴ、または、Ｅｎａｂｌｅｒ　を指定できると定義する。このとき、ＰＡＴ演算装置は、各命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報をそれぞれ下記の規則に従い指定する。
【０４７７】
・ＭａｋｅＰＡＴの場合
ＭａｋｅＰＡＴ命令に対して、第１引数から第Ｎ引数（Ｎ＝２，３，…）までＡＩＤを、第Ｎ＋１引数以降ではＥｎａｂｌｅｒ　を指定すると定義する。例えば、
2004005690.tif 000015
−ＰＡＴ演算装置は、ＭａｋｅＰＡＴ命令の第１引数のＡＩＤのリンク情報を所有者ＡＩＤのリンク情報であると解釈する。
【０４７８】
−第Ｎ＋１引数以降のＥｎａｂｌｅｒ　のいずれかが第１引数のＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤのリンク情報（すなわち、第１引数のＡＩＤのリンク情報）をＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報に指定する。
【０４７９】
・ＭｅｒｇｅＰＡＴの場合
ＭｅｒｇｅＰＡＴ命令に対して、第１引数から第Ｎ引数（Ｎ＝２，３，…）までＰＡＴを、第Ｎ＋１引数ではＥｎａｂｌｅｒを指定すると定義する。すなわち、
ＭｅｒｇｅＰＡＴ　ＰＡＴ１　ＰＡＴ２　…　ＰＡＴＮ　Ｅｎａｂｌｅｒ　ｏｆ　ＡＩＤ
−ＰＡＴ演算装置は、ＭｅｒｇｅＰＡＴ命令の第１引数のＰＡＴの所有者ＡＩＤのリンク情報を、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報であると解釈する。
【０４８０】
−第Ｎ＋１引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴの所有者ＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤのリンク情報（すなわち、第１引数のＰＡＴの所有者ＡＩＤのリンク情報）をＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報に指定する。
【０４８１】
・ＳｐｌｉｔＰＡＴの場合
ＳｐｌｉｔＰＡＴ命令に対して、第１引数でＰＡＴを、第２引数から第Ｎ引数（Ｎ＝３，４，…）まではあらかじめ定められた何らかの記号（この例ではカッコ（）とする）でまとめられた１個以上のＡＩＤのまとまりを、第Ｎ＋１引数ではＥｎａｂｌｅｒを指定すると定義する。すなわち、
2004005690.tif 000016
−ＰＡＴ演算装置は、ＳｐｌｉｔＰＡＴ命令の第１引数のＰＡＴの所有者ＡＩＤのリンク情報を、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報であると解釈する。
【０４８２】
−第Ｎ＋１引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴの所有者ＡＩＤに対応している場合に限り、ＰＡＴ演算装置はこのＡＩＤのリンク情報（すなわち、第１引数のＰＡＴの所有者ＡＩＤのリンク情報）をＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報に指定する。
【０４８３】
・ＴｒａｎｓＰＡＴの場合
ＴｒａｎｓＰＡＴ命令に対して、第１引数及び第２引数でＰＡＴを、第３引数でＡＩＤを、第４引数及び第５引数ではＥｎａｂｌｅｒを指定すると定義する。すなわち、
2004005690.tif 000017
−ＰＡＴ演算装置は、ＴｒａｎｓＰＡＴ命令の第３引数のＡＩＤのリンク情報が第２引数のＰＡＴに含まれている場合に限り、第３引数のＡＩＤのリンク情報を、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報であると解釈する。
【０４８４】
−第４引数のＥｎａｂｌｅｒ　が第１引数のＰＡＴ及び第２引数のＰＡＴの両者に対応しており、かつ、第５引数のＥｎａｂｌｅｒ　が第３引数のＡＩＤに対応している場合に限り、ＰＡＴ演算装置は第３引数のＡＩＤのリンク情報をＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報に指定する。
【０４８５】
次に、会員ＡＩＤのリンク情報の決定について説明する。ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ各命令の定義は上記に従う。ＰＡＴ演算装置は、各命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報をそれぞれ下記の規則に従い指定する。
【０４８６】
・ＭａｋｅＰＡＴの場合
ＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報が正式に決定された場合に限り、
−ＰＡＴ演算装置は、ＭａｋｅＰＡＴ命令の第２引数以降のすべてのＡＩＤのリンク情報をＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報であると解釈する。
【０４８７】
−第２引数以降のすべてのＡＩＤのうち、第Ｎ＋１引数以降で指定されたＥｎａｂｌｅｒ　と対応しているＡＩＤのリンク情報のみ、ＰＡＴ演算装置はＭａｋｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報に指定する。
【０４８８】
・ＭｅｒｇｅＰＡＴの場合
ＰＡＴ演算装置は、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報が正式に決定された場合に限り、ＭｅｒｇｅＰＡＴ命令の第１引数から第Ｎ引数で指定されたすべてのＰＡＴの会員ＡＩＤのリンク情報を、ＭｅｒｇｅＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報に指定する。
【０４８９】
・ＳｐｌｉｔＰＡＴの場合
ＰＡＴ演算装置は、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報が正式に決定された場合に限り、ＳｐｌｉｔＰＡＴ命令の第１引数で指定されたＰＡＴの会員ＡＩＤのリンク情報を、ＳｐｌｉｔＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報に指定する。このとき、会員ＡＩＤのリンク情報はカッコ（）単位で別々のＰＡＴに振り分けられる。例えば、
2004005690.tif 000018
の場合、（ＡＩＤ１１）と（ＡＩＤ２１　ＡＩＤ２２）と（ＡＩＤＮ１　ＡＩＤＮ２　…　ＡＩＤＮＭ）のリンク情報は所有者ＡＩＤのリンク情報が共通な別のＰＡＴの会員ＡＩＤのリンク情報になる。
【０４９０】
・ＴｒａｎｓＰＡＴの場合
ＰＡＴ演算装置は、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの所有者ＡＩＤのリンク情報が正式に決定された場合に限り、ＴｒａｎｓＰＡＴ命令の第１引数で指定されたＰＡＴのすべての会員ＡＩＤのリンク情報及び第２引数で指定されたＰＡＴの会員ＡＩＤのリンク情報のうち新所有者となる予定の会員ＡＩＤのリンク情報を除いた残りのすべての会員ＡＩＤのリンク情報を、ＴｒａｎｓＰＡＴ命令実行後に出力されるＰＡＴの会員ＡＩＤのリンク情報に指定する。
【０４９１】
本実施形態の、Ｅｎａｂｌｅｒ　の正当性の検証は図２４を参照した前述した説明と同じである。また、このＥｎａｂｌｅｒ　の正当性の検証は、ＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、ＴｒａｎｓＰＡＴで共通である。
【０４９２】
次に、本発明の第８の実施形態について説明する。
【０４９３】
本第８の実施形態においては、個人識別子ＯＩＤは実メールアドレスである。
個別化アクセスチケットＰＡＴは２個以上の実メールアドレス、所有者インデックス、有効期限、移転制御フラグ、及び、ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の識別子から構成される情報に対して、ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の秘密鍵で署名したものである。
【０４９４】
実メールアドレスのうち、１個はこのＰＡＴの所有者メールアドレスで、所有者メールアドレスと所有者メールアドレスを含むＥｎａｂｌｅｒ　の両者をＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）に提示することにより、ＰＡＴへの実メールアドレスの追加、削除、ＰＡＴの有効期限の変更、ＰＡＴの移転制御フラグの値の変更など、ＰＡＴに含まれる情報を変更することができる。
【０４９５】
一方、ＰＡＴに含まれる実メールアドレスのうち、所有者メールアドレス以外の実メールアドレスはすべて会員メールアドレスで、会員メールアドレスと会員メールアドレスを含むＥｎａｂｌｅｒ　をＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）に提示しても、ＰＡＴに含まれる情報を変更することはできない。
【０４９６】
所有者インデックスは、所有者メールアドレスを識別するための数値データである。所有者メールアドレスと会員メールアドレスから構成されるメールアドレスリストにおいて、先頭の実メールアドレスが所有者メールアドレスの場合には１、先頭から２番目の場合には２、…、ｎ番目の場合にはｎであると定義する。
【０４９７】
メールアドレスリストにおいて、所有者メールアドレスは所有者インデックスで指定された位置に書き込まれている実メールアドレスと定義する。一方、会員メールアドレスは、所有者メールアドレス以外のすべての実メールアドレスであると定義する。
【０４９８】
移転制御フラグは０または１の値をとりうると定義する。
【０４９９】
有効期限はＰＡＴの使用回数、ＰＡＴが利用不可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になる絶対時刻（ＵＴＣ）、ＰＡＴが利用可能になってから利用不可能になるまでの相対時間（寿命）のいずれか、または複数を組み合わせて定義する。
【０５００】
ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の識別子は、ＰＡＴ演算装置のシリアルナンバー（またはＰＡＴ演算オブジェクトのネットワーク上の識別名）であると定義する。
【０５０１】
ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の秘密鍵は、前記識別子に一意に対応すると定義する。
【０５０２】
また、実メールアドレスに対応した識別子として、Ｅｎａｂｌｅｒを定義する。Ｅｎａｂｌｅｒは、Ｅｎａｂｌｅｒであることを一意にあらわす情報と実メールアドレスから構成されるデータに対して、ＰＡＴ演算装置（またはネットワーク上のＰＡＴ演算オブジェクト）の秘密鍵で署名したものである。
【０５０３】
ＰＡＴの生成は以下のように行う。
【０５０４】
ネットワーク上のＰＡＴ演算オブジェクトの一例として、ディレクトリを挙げる。ディレクトリはユーザの実メールアドレスと公開情報を対応づけて管理し、任意のユーザから提示された検索条件を入力し、ＰＡＴを出力する。
【０５０５】
ユーザは実メールアドレスと検索条件をディレクトリに送信する。ディレクトリは検索条件を満足する公開情報と一意に対応した実メールアドレスをすべて取得する。次に、検索条件を提示したユーザの実メールアドレスと、検索結果として取得したすべての実メールアドレスから実メールアドレスのリストを構成する。次に、所有者インデックスの値、有効期限の値、転移制御フラグの値、及び、ディレクトリの識別名を追加する。最後に、これらをすべて追加したデータに対しディレクトリの秘密鍵で署名してＰＡＴとして、検索条件を提示したユーザに送信する。
【０５０６】
メールアクセス制御は以下のように行う。
【０５０７】
発信者はメールのＦｒｏｍ：行に送信者の実メールアドレスを、Ｔｏ：行にＰＡＴ＠発信者の実ドメインを指定する。
【０５０８】
ＳＣＳはＳＭＴＰ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）等のＭＴＡ（Ｍｅｓｓａｇｅ　Ｔｒａｎｓｆｅｒ　Ａｇｅｎｔ）への着信メールを取得し、以下の手順に従い認証する。
【０５０９】
１．ＰＡＴの署名をＰＡＴの公開鍵を用いて検証する。
【０５１０】
・ＰＡＴに改竄が認められる場合には、メールを廃棄して終了する。
【０５１１】
・ＰＡＴに改竄が認められない場合には、下記処理２．を実行する。
【０５１２】
２．発信者の実メールアドレスをＰＡＴに提示して検索する。
【０５１３】
・発信者の実メールアドレスと完全一致する実メールアドレスがＰＡＴに含まれていない場合には、メールを廃棄して終了する。
【０５１４】
・発信者の実メールアドレスと完全一致する実メールアドレスがＰＡＴに含まれている場合には、下記処理３．を実行する。
【０５１５】
３．ＰＡＴの有効期限を評価する。
【０５１６】
・ＰＡＴが有効期限外の場合には、メールを廃棄して終了する。
【０５１７】
・ＰＡＴが有効期限内の場合には、下記処理４．を実行する。
【０５１８】
４．ＰＡＴの移転制御フラグの値を参照して、発信者を認証するか否かを決定する。
【０５１９】
・値が１の場合には、ＳＣＳと発信者との間でチャレンジ／レスポンス認証を実行して、発信者の署名を検証する。署名が正しい場合には、着信者を指定し、ＰＡＴを添付する。署名が正しくない場合には、メールを廃棄して終了する。
【０５２０】
・値が０の場合には、チャレンジ／レスポンス認証を実行せずに、着信者を指定し、チケットを添付する。
【０５２１】
ＳＣＳと発信者との間のチャレンジ／レスポンスの例を説明する。
【０５２２】
まず、ＳＣＳは任意の情報、例えばタイムスタンプを生成し、生成した情報を発信者に任意の手段で送信する。
【０５２３】
次に、発信者は秘密鍵と公開鍵を生成し、受信した情報に秘密鍵で署名し、公開鍵とあわせてＳＣＳに任意の手段で送信する。
【０５２４】
最後に、ＳＣＳは、受信した情報の署名を発信者から提示された公開鍵を用いて検証する。署名が正しい場合には、着信者を指定し、ＰＡＴを添付する。署名が正しくない場合にはメールを廃棄して終了する。
【０５２５】
着信者の指定及びチケットの添付は以下のように行う。
【０５２６】
ＳＣＳは、まず、発信者の実メールアドレスをＰＡＴに提示して検索し、発信者の実メールアドレスと完全一致しないすべての実メールアドレスを取得する。次に、取得したすべての実メールアドレスを着信者の実メールアドレスに指定する。
【０５２７】
次に、ＳＣＳは、双方向通信を可能とすべく、ＰＡＴをすべて着信者メールアドレスに送信するために、ＰＡＴをメールの任意の箇所に添付する。
【０５２８】
最後に、ＳＣＳはＭＴＡにメールを渡す。
【０５２９】
着信拒否は以下のように行う。
【０５３０】
着信拒否の設定：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは登録命令とユーザ自身の実メールアドレスと任意のＰＡＴをＳＣＳ５に送信する。次に、ＳＣＳ５は受信したすべてのＰＡＴについて、それぞれＡＤＳの公開鍵を用いて署名を検証する。署名が正しくないＰＡＴについては廃棄する。署名が正しい場合には、受信した実メールアドレスをそれぞれのＰＡＴに提示して検索する。受信した実メールアドレスと完全一致する実メールアドレスを含むＰＡＴについては、登録命令とＰＡＴを記憶装置に提示して、ＰＡＴを記憶装置に登録する。受信した実メールアドレスと完全一致する実メールアドレスを含まないＰＡＴについては記憶装置に登録せずに廃棄する。
【０５３１】
着信拒否の実行：ＳＣＳ５はＰＡＴを記憶装置に提示して検索する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されている場合には、メールを廃棄する。提示したＰＡＴと完全一致するＰＡＴが記憶装置に登録されていない場合には、メールを廃棄しない。
【０５３２】
着信拒否の解除：ユーザとセキュア・コミュニケーション・サービスＳＣＳ５との間で、任意の手段で双方向認証を行う。次に、ユーザは自らの実メールアドレスをＳＣＳ５に提示する。次に、ＳＣＳ５は提示された実メールアドレスを検索条件として記憶装置に提示して、提示された実メールアドレスを含むすべてのＰＡＴを取得し、ユーザに提示する。次に、ユーザは提示されたすべてのＰＡＴを参照し、着信拒否を解除したいＰＡＴをすべて選択し、削除命令と併せてＳＣＳ５に送信する。削除命令と着信拒否を解除したいすべてのＰＡＴを受信したＳＣＳ５は、受信した削除命令及びすべてのＰＡＴを記憶装置に提示して、受信したすべてのＰＡＴを記憶装置から削除する。
【０５３３】
ＰＡＴの編集は以下のように行う。
【０５３４】
役割識別子ＡＩＤを要素とするＰＡＴに対するＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、ＴｒａｎｓＰＡＴ演算において、役割識別子ＡＩＤを実メールアドレスに、役割識別子ＡＩＤに対するＥｎａｂｌｅｒ　を実メールアドレスに対するＥｎａｂｌｅｒ　にそれぞれ置き換えると、実メールアドレスを要素とするＰＡＴに対するＭａｋｅＰＡＴ、ＭｅｒｇｅＰＡＴ、ＳｐｌｉｔＰＡＴ、ＴｒａｎｓＰＡＴ演算になる。
【０５３５】
Ｎｕｌｌ演算子はＮｕｌｌであることを一意に表し、かつ、実メールアドレスの形式を持つ情報から構成される情報に対し、ＰＡＴ演算装置またはネットワーク上のＰＡＴ演算オブジェクトの秘密鍵で署名したものである。
【０５３６】
同様に、Ｇｏｄ演算子はＧｏｄであることを一意に表し、かつ、実メールアドレスの形式を持つ情報から構成される情報に対し、ＰＡＴ演算装置またはネットワーク上のＰＡＴ演算オブジェクトの秘密鍵で署名したものである。
【０５３７】
Ｎｕｌｌ演算子のＥｎａｂｌｅｒ　はＥｎａｂｌｅｒ　であることを一意に表す情報とＮｕｌｌ演算子の実体から構成される情報に対し、ＰＡＴ演算装置またはネットワーク上のＰＡＴ演算オブジェクトの秘密鍵で署名したものである。
【０５３８】
Ｎｕｌｌ演算子及びはＧｏｄ演算子を用いた演算は、役割識別子ＡＩＤを要素とするＰＡＴに対するすべての演算において、役割識別子ＡＩＤを実メールアドレスに、役割識別子ＡＩＤに対するＥｎａｂｌｅｒ　を実メールアドレスに対するＥｎａｂｌｅｒ　に置き換えることで求められる。さらに、Ｎｕｌｌ−ＡＩＤをＮｕｌｌ演算子に、Ｇｏｄ−ＡＩＤをＧｏｄ演算子に、また、Ｎｕｌｌ−ＡＩＤに対するＥｎａｂｌｅｒ　をＮｕｌｌ演算子に対するＥｎａｂｌｅｒ　に置き換えることで求められる。
【０５３９】
【発明の効果】
以上説明したように、本発明によれば、個別化アクセスチケットを用いてアクセス権を検証し、検証結果が正しい場合にユーザ間のメールアクセス制御を行うので、ユーザの本当の識別子を隠蔽しつつ、ユーザの特性を表す情報を公開し、この情報に基づいて適切な通信を行うことができ、第三者からの攻撃等を防止することができる。加えて、着信者が匿名性を悪用した発信者による攻撃を受けた場合には、その攻撃による着信者への被害を最小限に食い止めることができる。
【０５４０】
また、本発明によれば、個別化アクセスチケットの新規生成、内容変更を各ユーザに付与された役割識別子ＡＩＤとこのＡＩＤに対応して定義されたＥｎａｂｌｅｒ　を用いてユーザ主導で行うことができるので、例えば動的に変化するグループ通信（メーリングリスト等）の会員の連絡先情報等も適確に管理することができる。
【０５４１】
更に、本発明によれば、Ｎｕｌｌ−ＡＩＤとＮｕｌｌ−ＡＩＤの　Ｅｎａｂｌｅｒを導入して、会員ＡＩＤおよび　Ｅｎａｂｌｅｒ　ｏｆ　会員ＡＩＤを個別化アクセスチケットＰＡＴの所有者に渡さなくてもＰＡＴの新規生成（ＭａｋｅＰＡＴ）および所有者変更（ＴｒａｎｓＰＡＴ）を行うことができるので、会員ＡＩＤを用いた成りすましを防止することができる。
【０５４２】
本発明によれば、Ｎｕｌｌ−ＡＩＤは個別化アクセスチケットＰＡＴの所有者ＡＩＤとしてのみ使用可能（Ｎｕｌｌ−ＡＩＤはＰＡＴの会員ＡＩＤには使用不可能）であり、ＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤｍｅｍｂｅｒ１　，ＡＩＤｍｅｍｂｅｒ２　，…，ＡＩＤｍｅｍｂｅｒＮ　＞は許可するがＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤＮｕｌｌ，ＡＩＤｍｅｍｂｅｒ１　，ＡＩＤｍｅｍｂｅｒ２　，…，ＡＩＤｍｅｍｂｅｒＮ　＞は許可しないので、ＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤｍｅｍｂｅｒ＞の所有者がＡＩＤｍｅｍｂｅｒのＥｎａｂｌｅｒ　を知らない限り、このＰＡＴ＜ＡＩＤｈｏｌｄｅｒ｜ＡＩＤｍｅｍｂｅｒ＞からＰＡＴ＜ＡＩＤＮｕｌｌ｜ＡＩＤｍｅｍｂｅｒ＞を作成することはできない。
【０５４３】
また、本発明によれば、Ｇｏｄ−ＡＩＤを導入して、個別化アクセスチケットＰＡＴに読取専用属性を設定できるので、グループ通信において参加者を固定することができる。
【０５４４】
更に、本発明によれば、役割識別子を一意に特定するためのリンク情報を導入して、個別化アクセスチケットＰＡＴをリンク情報により定義してＰＡＴには役割識別子の実体を含まないようにできるため、役割識別子の実体を使用することなく着信拒否機能を実現することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態の全体構成図。
【図２】第１の実施形態に使用される個人識別子ＯＩＤと役割識別子ＡＩＤと個別化アクセスチケットＰＡＴのデータ構造を示す図。
【図３】第１の実施形態での認証局ＣＡにおける役割識別子ＡＩＤの生成処理を示すフローチャート。
【図４】第１の実施形態でのアノニマス・ディレクトリ・サービスＡＤＳにおける個別化アクセスチケットＰＡＴの生成処理を示すフローチャート。
【図５】第１の実施形態でのセキュア・コミュニケーション・サービスＳＣＳにおけるメール転送制御を示すフローチャート。
【図６】第１の実施形態でのセキュア・コミュニケーション・サービスＳＣＳにおける役割識別子ＡＩＤの同一性判定処理を示すフローチャート。
【図７】図６に示す同一性判定処理に用いるデータの例を示す図。
【図８】本発明の第２の実施形態に使用される個人識別子ＯＩＤと役割識別子ＡＩＤと個別化アクセスチケットＰＡＴのデータ構造を示す図。
【図９】本発明の第２の実施形態に使用される役割識別子ＡＩＤとＥｎａｂｌｅｒ　のデータ構造を示す図。
【図１０】本発明の第２の実施形態に使用される演算規則（ＭａｋｅＰＡＴ）の定義を示す図。
【図１１】本発明の第２の実施形態に使用される演算規則（ＭｅｒｇｅＰＡＴ）の定義を示す図。
【図１２】本発明の第２の実施形態に使用される演算規則（ＳｐｌｉｔＰＡＴ）の定義を示す図。
【図１３】本発明の第２の実施形態に使用される演算規則（ＴｒａｎｓＰＡＴ）の定義を示す図。
【図１４】本発明の第２の実施形態におけるシステム構成（１）を示す図。
【図１５】本発明の第２の実施形態におけるシステム構成（２）を示す図。
【図１６】本発明の第２の実施形態におけるシステム構成（３）を示す図。
【図１７】本発明の第２の実施形態におけるシステム構成（４）を示す図。
【図１８】本発明の第２の実施形態におけるシステム構成（５）を示す図。
【図１９】本発明の第２の実施形態におけるシステム構成（６）を示す図。
【図２０】本発明の第２の実施形態におけるシステム構成（７）を示す図。
【図２１】本発明の第２の実施形態での演算処理（ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＴｒａｎｓＰＡＴ）の流れを示すフローチャート。
【図２２】本発明の第２の実施形態での演算処理（ＳｐｌｉｔＰＡＴ）の流れを示すフローチャート。
【図２３】本発明の第２の実施形態におけるＡＩＤリストの生成処理（ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ）を示すフローチャート。
【図２４】本発明の第２の実施形態におけるＥｎａｂｌｅｒ　の正当性の検証処理（ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ）を示すフローチャート。
【図２５】本発明の第３の実施形態に使用されるＮｕｌｌ−ＡＩＤのデータ構造を示す図。
【図２６】本発明の第３の実施形態に使用される　Ｅｎａｂｌｅｒ　ｏｆ　Ｎｕｌｌ−ＡＩＤのデータ構造を示す図。
【図２７】本発明の第３の実施形態の第１の応用例を示す図。
【図２８】本発明の第３の実施形態の第２の応用例を示す図。
【図２９】本発明の第４の実施形態に使用されるＧｏｄ−ＡＩＤのデータ構造を示す図。
【図３０】本発明の第４の実施形態の第１の応用例を示す図。
【図３１】本発明の第４の実施形態の第２の応用例を示す図。
【図３２】本発明の第５の実施形態における会員ＡＩＤのチェック処理を示すフローチャート。
【図３３】本発明の第６の実施形態の全体構成図。
【図３４】第６の実施形態に使用される個人識別子ＯＩＤ、リンク情報付き役割識別子ＡＩＤ、リンク指定型１対１個別化アクセスチケットＰＡＴのデータ構造を示す図。
【図３５】第６の実施形態での認証局ＣＡにおけるリンク情報付き役割識別子ＡＩＤの生成処理を示すフローチャート。
【図３６】第６の実施形態でのアノニマス・ディレクトリ・サービスＡＤＳにおけるリンク指定型１対１個別化アクセスチケットＰＡＴの生成処理を示すフローチャート。
【図３７】第６の実施形態でのセキュア・コミュニケーション・サービスＳＣＳにおけるメール転送制御を示すフローチャート。
【図３８】第６の実施形態でのセキュア・コミュニケーション・サービスＳＣＳにおけるリンク情報付き役割識別子ＡＩＤの同一性判定処理を示すフローチャート。
【図３９】図３８に示す同一性判定処理に用いるデータの例を示す図。
【図４０】本発明の第７の実施形態に使用される個人識別子ＯＩＤ、リンク情報付き役割識別子ＡＩＤ、リンク指定型１対Ｎ個別化アクセスチケットＰＡＴのデータ構造を示す図。
【図４１】本発明の第７の実施形態に使用されるリンク情報付き役割識別子ＡＩＤとＥｎａｂｌｅｒ　のデータ構造を示す図。
【図４２】本発明の第７の実施形態におけるシステム構成（１）を示す図。
【図４３】本発明の第７の実施形態におけるシステム構成（２）を示す図。
【図４４】本発明の第７の実施形態におけるシステム構成（３）を示す図。
【図４５】本発明の第７の実施形態におけるシステム構成（４）を示す図。
【図４６】本発明の第７の実施形態におけるシステム構成（５）を示す図。
【図４７】本発明の第７の実施形態におけるシステム構成（６）を示す図。
【図４８】本発明の第７の実施形態におけるシステム構成（７）を示す図。
【図４９】本発明の第７の実施形態におけるリンク指定型ＡＩＤリストの生成処理（ＭａｋｅＰＡＴ，ＭｅｒｇｅＰＡＴ，ＳｐｌｉｔＰＡＴ，ＴｒａｎｓＰＡＴ）を示すフローチャート。
【符号の説明】
１　認証局ＣＡ
３　ユーザ
５　セキュア・コミュニケーション・サービスＳＣＳ
７　アノニマス・ディレクトリ・サービスＡＤＳ
【図１】
2004005690.tif 000019
【図２】
2004005690.tif 000020
【図３】
2004005690.tif 000021
【図４】
2004005690.tif 000022
【図５】
2004005690.tif 000023
【図６】
2004005690.tif 000024
【図７】
2004005690.tif 000025
【図８】
2004005690.tif 000026
【図９】
2004005690.tif 000027
【図１０】
2004005690.tif 000028
【図１１】
2004005690.tif 000029
【図１２】
2004005690.tif 000030
【図１３】
2004005690.tif 000031
【図１４】
2004005690.tif 000032
【図１５】
2004005690.tif 000033
【図１６】
2004005690.tif 000034
【図１７】
2004005690.tif 000035
【図１８】
2004005690.tif 000036
【図１９】
2004005690.tif 000037
【図２０】
2004005690.tif 000038
【図２１】
2004005690.tif 000039
【図２２】
2004005690.tif 000040
【図２３】
2004005690.tif 000041
【図２４】
2004005690.tif 000042
【図２５】
2004005690.tif 000043
【図２６】
2004005690.tif 000044
【図２７】
2004005690.tif 000045
【図２８】
2004005690.tif 000046
【図２９】
2004005690.tif 000047
【図３０】
2004005690.tif 000048
【図３１】
2004005690.tif 000049
【図３２】
2004005690.tif 000050
【図３３】
2004005690.tif 000051
【図３４】
2004005690.tif 000052
【図３５】
2004005690.tif 000053
【図３６】
2004005690.tif 000054
【図３７】
2004005690.tif 000055
【図３８】
2004005690.tif 000056
【図３９】
2004005690.tif 000057
【図４０】
2004005690.tif 000058
【図４１】
2004005690.tif 000059
【図４２】
2004005690.tif 000060
【図４３】
2004005690.tif 000061
【図４４】
2004005690.tif 000062
【図４５】
2004005690.tif 000063
【図４６】
2004005690.tif 000064
【図４７】
2004005690.tif 000065
【図４８】
2004005690.tif 000066
【図４９】
2004005690.tif 000067