(57)【要約】【課題】ＣＡとＡＡを同時に動作させるリソースが少なく、署名条件が容易に拡張可能で、拡張条件が自由に着脱可能な認証局システムを提供する。【解決手段】ＣＡ部１は公開鍵証明書作成処理を行う。ＡＡ部２は属性証明書作成処理を行う。署名作成部３はＣＡ部１で作成された公開鍵証明書およびＡＡ部２で作成された属性証明書に署名作成処理を行い、また公開鍵証明書失効リストおよび属性証明書失効リストに署名処理を行う。失効リスト作成部４は、失効される公開鍵証明書を失効リストに追加し、公開鍵証明書失効リスト作成処理および失効される属性証明書を失効リストに追加し、属性証明書失効リスト作成処理を行う。ディレクトリ更新部５はディレクトリ更新処理を行う。制御部６は公開鍵証明書および属性証明書を作成するためのデータの入力処理、作成された公開鍵証明書および属性証明書の発行処理、公開鍵証明書、属性証明書の外部への出力処理を行う。【選択図】    図１
2004248189.tif 000002
【特許請求の範囲】
【請求項１】
公開鍵証明書と属性証明書を発行管理する認証局システムであって、
公開鍵証明書の発行管理処理と、属性証明書の発行管理処理に共通する１または複数の手順を実行する共通手順処理部と、
公開鍵証明書形式に固有のデータ作成を含む手順を実行するＣＡ部と、
属性証明書形式に固有のデータ作成を含む手順を実行するＡＡ部を有する認証局システム。
【請求項２】
前記共通手順処理部は、デジタル署名を作成する署名作成手順を有する請求項１記載の認証局システム。
【請求項３】
前記共通手順処理部は前記署名作成手順における複数の署名条件を選択できる同一のプログラムインタフェースを有する、請求項２記載の認証局システム。
【請求項４】
前記共通手順処理部は、失効リストを作成する失効リスト作成手順を有する請求項１記載の認証局システム。
【請求項５】
前記共通手順処理部は前記失効リスト作成手順における複数の失効リスト作成条件を選択できる同一のプログラムインタフェースを有する、請求項４記載の認証局システム。
【請求項６】
前記共通手順処理部は、ディレクトリシステムのエントリを更新するディレクトリ更新手順を有する請求項１記載の認証局システム。
【請求項７】
前記共通手順処理部は前記ディレクトリ更新手順における複数のディレクトリ更新条件を選択できる同一のプログラムインタフェースを有する、請求項６記載の認証局システム。
【請求項８】
前記ＣＡ部と、前記ＡＡ部と、前記共通手順処理部が持つ１または複数の手順を着脱できるように構成されている、請求項１記載の認証局システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は認証局と属性認証局に関する。
【０００２】
【従来の技術】
従来の属性認証局（以下ＡＡ）は、属性証明書形式にデータを作成する部分、属性証明書に署名をする部分、属性証明書失効リストを作成する部分、ディレクトリを更新する部分などが一つのシステムとして構成されていた。
【０００３】
一方、従来の認証局（以下ＣＡ）は、公開鍵証明書形式にデータを作成する部分、公開鍵証明書に署名をする部分、公開鍵証明書失効リストを作成する部分、ディレクトリを更新する部分などが一つのシステムとして構成されていた。
【０００４】
このように、公開鍵証明書を発行する認証局と属性証明書を発行する属性認証局が実際には別々のプロダクトとして販売されている（非特許文献２）。
【０００５】
【非特許文献１】
Ｘ．５０９文書
ｈｔｔｐ：／／ｗｗｗ．ｉｔｕ．ｉｎｔ／ｒｅｃ／ｒｅｃｏｍｍｅｎｄａｔｉｏｎ．ａｓｐ？ｔｙｐｅ＝ｉｔｅｍｓ＆ｌａｎｇ＝ｅ＆ｐａｒｅｎｔ＝Ｔ−ＲＥＣ−Ｘ．５０９−２００００３−１
【非特許文献２】
ｈｔｔｐ：／／ｗｗｗ．ｄｄｃｏｍ．ｃｏ．ｊｐ／ｓｅｒｖｉｃｅ／ｋｉｏｚ／ｋｉｏｚ＃ｉｎｄｅｘ．ｈｔｍｌ
【０００６】
【発明が解決しようとする課題】
このように、ＡＡとＣＡには共通化できる手順が多い。しかし従来は、別々のプログラムで実現していたため、プログラム開発とメンテナンスにかかるコストが大きく、この方式でＣＡとＡＡを同時に同一マシンで動作させることは、大量のリソースを必要としていた。さらに、運用における構成にも柔軟性が欠けている。
【０００７】
ＣＡとＡＡを同一のマシンで実現する場合、ＣＡとＡＡは大きなシステムであり、それぞれが大きなモジュールを備えているため、多くのリソースを必要とする。
【０００８】
ＣＡとＡＡを同一のマシンで実現する場合、属性証明書や公開鍵証明書に署名をする部分が独立しているため、署名アルゴリズムや鍵長等の署名条件が容易に拡張可能でない、属性証明書失効リストを作成する部分と公開鍵証明書失効リストを作成する部分が独立しているため、ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ：公開鍵証明書失効リスト）／ＡＣＲＬ（Ａｔｔｒｉｂｕｔｅｄ  Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ：属性証明書失効リスト）や分割ＣＲＬ／ＡＣＲＬやデルタＣＲＬ／ＡＣＲＬ等の拡張条件が自由に着脱可能でない、ディレクトリを更新する部分がＣＡとＡＡで独立しているため、ディレクトリ認証方式、更新範囲、更新タイミング等のディレクトリ更新手順が容易に変更可能になってなく、柔軟な認証局システムの構成ができない。
【０００９】
本発明の目的は、ＣＡとＡＡを同時に動作させるリソースが少ない認証局システムを提供することにある。本発明の他の目的は、署名条件が容易に拡張可能で、拡張条件が自由に着脱可能な認証局システムを提供することにある。
【００１０】
【課題を解決するための手段】
本発明は、属性証明書に署名をする部分と公開鍵証明書に署名をする部分を署名作成部として共通化し、属性証明書失効リストを作成する部分と公開鍵証明書失効リストを作成する部分を失効リスト部として共通化し、ＣＡとＡＡの双方にあるディレクトリを更新する部分をディレクトリ更新部として共通化したものである。Ｘ．５０９の公開鍵証明書、属性証明書のおのおのの証明書を作成する処理は共通化しない。
【００１１】
したがって、ＣＡとＡＡを同時に動作させる場合にリソースを少なくすることができる。また、署名アルゴリズムや鍵長等の署名条件が容易に拡張可能であり、ＣＲＬ／ＡＣＲＬや分割ＣＲＬ／ＡＣＲＬやデルタＣＲＬ／ＡＣＲＬ等の失効リスト作成条件が容易に拡張可能であり、ディレクトリ認証方式、更新範囲、更新タイミング等のディレクトリ更新手順が容易に変更可能である。これらの手順を必要に応じて着脱することにより認証局システムの構成を柔軟にできる。
【００１２】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１３】
図１を参照すると、本発明の一実施形態の認証局システムはＣＡ部１とＡＡ部２と署名作成部３と失効リスト作成部４とディレクトリ更新部５と制御部６とを有している。
【００１４】
ＣＡ部１は公開鍵証明書作成処理を行う。ＡＡ部２は属性証明書作成処理を行う。署名作成部３はＣＡ部１で作成された公開鍵証明書およびＡＡ部２で作成された属性証明書にデジタル署名を作成する署名作成処理を行い、また公開鍵証明書失効リストおよび属性証明書失効リストに署名処理を行う。失効リスト作成部４は、失効される公開鍵証明書を失効リストに追加する公開鍵証明書失効リスト作成処理、および失効される属性証明書を失効リストに追加する属性証明書失効リスト作成処理を行う。ディレクトリ更新部５はディレクトリシステムのエントリを更新するディレクトリ更新処理を行う。制御部６は公開鍵証明書および属性証明書を作成するためのデータの入力処理、作成された公開鍵証明書、属性証明書、公開鍵証明書失効リスト、属性証明書失効リストの発行処理および外部への出力処理を行う。ここで、署名作成部３、失効リスト作成部４、ディレクトリ更新部５はそれぞれプログラムインタフェース３ａ、４ａ、５ａを有しており、署名作成部３の複数の署名作成手順、失効リスト作成部４の複数の失効リスト作成手順、ディレクトリ更新部５の複数のディレクトリ更新条件を選択できるようになっている。また、図１の認証局システムはＣＡ部１、ＡＡ部２と、署名作成部３と失効リスト作成部４とディレクトリ更新部５の各々が持つ１または複数の手順を着脱できるように構成されている。
【００１５】
次に、本実施形態の動作を図２、図３、図４を参照して説明する。
１）ＡＡに属性証明書を発行する場合（図２（１））
制御部６が、属性証明書を作成するためのデータの入力処理を行う（ステップ１１）。ＡＡ部２が、取り込んだデータを基に属性証明書作成処理を行う（ステップ１２）。署名作成部３が、作成された属性証明書に署名作成処理を行う（ステップ１３）。制御部６が、作成された属性証明書の発行処理を行う（ステップ１４）。制御部６が属性証明書を外部へ出力する処理を行う（ステップ１５）。
２）ＣＡに公開鍵証明書を発行する場合（図２（２））
制御部６が、公開鍵証明書を作成するためのデータの入力処理を行う（ステップ２１）。ＣＡ部１が、取り込んだデータを基に公開鍵証明書作成処理を行う（ステップ２２）。署名作成部３が、作成された公開鍵証明書に署名作成処理を行う（ステップ２３）。制御部６が、作成された公開鍵証明書の発行処理を行う（ステップ２４）。制御部６が、公開鍵証明書を外部へ出力する処理を行う（ステップ２５）。
３）ＡＡに属性証明書の失効リストを発行する場合（図３（１））
制御部６が、属性証明書失効リストを作成するためのデータの入力処理を行う（ステップ３１）。失効リスト作成部４が、失効される属性証明書を失効リストに追加する属性証明書失効リスト作成処理を行う（ステップ３２）。署名作成部３が、作成された属性証明書失効リストに署名処理を行う（ステップ３３）。制御部６が、属性証明書失効リストの発行処理を行う（ステップ３３）、制御部６が、属性証明書失効リストを外部へ出力する処理を行う（ステップ３４）。
４）ＣＡに公開鍵証明書の失効リストを発行する場合（図３（２））
制御部６が、公開鍵証明書失効リストを作成するためのデータの入力処理を行う（ステップ４１）。失効リスト作成部４が、失効される公開鍵証明書を失効リストに追加する公開鍵証明書失効リスト作成処理を行う（ステップ４２）。署名作成部３が、作成された公開鍵証明書失効リストに署名処理を行う（ステップ４３）。制御部６が、公開鍵証明書失効リストの発行処理を行う（ステップ４４）。制御部６が、公開鍵証明書失効リストを外部へ出力する処理を行う（ステップ４５）。
５）ディレクトリを更新した属性証明書、公開鍵証明書、属性証明書失効リスト、公開鍵証明書失効リストを発行する場合（図４）
制御部６がディレクトリ更新に必要なデータの入力処理を行う（ステップ５１）。ディレクトリ更新部５がディレクトリ更新処理を行い、属性証明書、公開鍵証明書、属性証明書失効リスト、公開鍵証明書失効リストをディレクトリへ出力する処理を行う（ステップ５２）。
【００１６】
【発明の効果】
以上説明したように、本発明は下記の効果がある。
・  署名アルゴリズムや鍵長等の署名条件が容易に拡張可能となる。
・  ＣＲＬ／ＡＣＲＬや分割ＣＲＬ／ＡＣＲＬやデルタＣＲＬ／ＡＣＲＬ等の失効リスト作成条件が容易に拡張可能となる。
・  ディレクトリ認証方式、更新範囲、更新タイミング等のディレクトリ更新手順の変更が容易になる。
・  各手順が、これらを必要に応じて着脱することにより柔軟な構成が可能であり、認証局のより多様な運用が可能となる。
・  公開鍵証明書と属性証明書が必要な場合、同じコンピュータで両方を実現可能である。
・  ＣＡとＡＡを同一のコンピュータで構築する場合、コンピュータリソースを節約することが可能となる。
・  ＡＡを構築する場合、別途のＣＡを構築する必要がなくなる。
【図面の簡単な説明】
【図１】本発明の一実施形態の認証局システムの構成図である。
【図２】属性証明書および公開鍵証明書発行の流れ図である。
【図３】属性証明書失効リストおよび公開鍵証明書失効リスト作成の流れ図である。
【図４】ディレクトリ更新処理の流れ図である。
【符号の説明】
１    ＣＡ部
２    ＡＡ部
３    署名作成部
４    失効リスト作成部
５    ディレクトリ更新部
３ａ、４ａ、５ａ    プログラムインタフェース
６    制御部
１１〜１５，２１〜２５，３１〜３５，４１〜４５，５１，５２    ステップ
【図１】
2004248189.tif 000003
【図２】
2004248189.tif 000004
【図３】
2004248189.tif 000005
【図４】
2004248189.tif 000006