(57)【特許請求の範囲】
【請求項１】
証明情報を発行する第１認証局であって、予め登録された第１認証局の情報を記憶装置に記憶する第１認証局記憶部と、
証明情報の発行の依頼先となる第２認証局の情報を記憶装置に記憶する第２認証局記憶部と、
証明情報を有する証明依頼情報を、入力受信装置を介して受信する証明依頼受信部と、
上記第１認証局記憶部が記憶した第１認証局の情報と、上記第２認証局記憶部が記憶した第２認証局の情報とに基づき、上記証明依頼受信部が受信した証明依頼情報が有する証明情報が、上記第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であるか否かを処理装置により判定する第１認証局判定部と、
証明依頼情報が有する証明情報が、第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であると上記第１認証局判定部が判定した場合、上記第２認証局記憶部が記憶した第２認証局の情報に基づき第２認証局へ新たな証明情報の発行依頼情報を、出力送信装置を介して送信する証明依頼送信部と
を備えることを特徴とする証明発行依頼装置。
【請求項２】
上記第２認証局記憶部は、複数の第２認証局についての情報を記憶装置に記憶し、
上記証明発行依頼装置は、さらに、
証明を依頼する第２認証局を指定する指定情報を、入力受信装置を介して受信する指定情報受信部と、
上記指定情報受信部が受信した指定情報に基づき、証明を依頼する第２認証局を処理装置により特定する認証局特定部とを備え、
上記証明依頼送信部は、上記証明依頼情報が有する証明情報が、第１認証局が発行した証明情報、又は、上記複数の第２認証局のうち上記認証局特定部が特定した第２認証局発行した証明情報であると上記第１認証局判定部が判定した場合、上記認証局特定部が特定した第２認証局へ発行依頼情報を、出力送信装置を介して送信する
ことを特徴とする請求項１記載の証明発行依頼装置。
【請求項３】
上記証明発行依頼装置は、さらに、
上記証明依頼送信部が第２認証局へ送信した発行依頼情報に対して、上記第２認証局が送信した証明情報を、入力受信装置を介して受信する証明情報受信部と、
上記証明情報受信部が受信した証明情報を上記第２認証局記憶部が記憶した第２認証局の情報に基づき、上記第２認証局が送信した証明情報であることを、処理装置により判定する証明情報判定部と、
上記第２認証局が送信した証明情報であると上記証明情報判定部が判定した場合、上記証明情報を記憶する認証局証明記憶部と
を備えることを特徴とする請求項１記載の証明発行依頼装置。
【請求項４】
上記証明依頼受信部は、公開鍵情報を有する証明依頼情報を、入力受信装置を介して受信し、
上記証明発行依頼装置は、さらに、
上記証明依頼受信部が受信した証明依頼情報が有する公開鍵情報と対をなす秘密鍵情報を上記証明依頼情報の送信元が備えるか否かを、上記公開鍵情報に基づき処理装置により判定する秘密鍵判定部を備え、
上記証明依頼送信部は、送信元が秘密鍵を備えると上記秘密鍵判定部が判定した場合、上記公開鍵情報を発行依頼情報と併せて第２認証局へ出力送信装置を介して送信し、
上記証明発行依頼装置は、さらに、
上記証明依頼送信部が第２認証局へ送信した発行依頼情報に対して、上記第２認証局が上記公開鍵情報に基づいて生成し送信した証明情報を、入力受信装置を介して受信する証明情報受信部を
備えることを特徴とする請求項１記載の証明発行依頼装置。
【請求項５】
上記証明依頼受信部は、上記公開鍵情報として公開鍵を含む電子証明書を有する証明依頼情報を、入力受信装置を介して受信する
ことを特徴とする請求項４記載の証明発行依頼装置。
【請求項６】
上記証明依頼受信部は、上記公開鍵情報として公開鍵を有する証明依頼情報を、入力受信装置を介して受信する
ことを特徴とする請求項４記載の証明発行依頼装置。
【請求項７】
上記証明依頼受信部は、送信元を識別する送信元識別情報を証明依頼情報と併せて入力受信装置を介して受信し、
上記証明依頼送信部は、送信元識別情報を発行依頼情報と併せて第２認証局へ出力送信装置を介して送信し、
上記証明情報受信部は、上記送信元識別情報を所有情報として有する証明情報を、入力受信装置を介して受信する
ことを特徴とする請求項３記載の証明発行依頼装置。
【請求項８】
上記証明依頼受信部は、識別情報を含んだ証明情報を有する証明依頼情報を、入力受信装置を介して受信し、
上記証明依頼送信部は、上記証明情報に含まれる識別情報を発行依頼情報と併せて第２認証局へ出力送信装置を介して送信し、
上記証明情報受信部は、上記証明情報に含まれる識別情報を所有情報として有する証明情報を、入力受信装置を介して受信する
ことを特徴とする請求項３記載の証明発行依頼装置。
【請求項９】
上記証明依頼受信部は、上記公開鍵情報として公開鍵と識別情報とを含む電子証明書を有する証明依頼情報を、入力受信装置を介して受信し、
上記証明依頼送信部は、上記電子証明書に含まれる識別情報を発行依頼情報と併せて第２認証局へ出力送信装置を介して送信し、
上記証明情報受信部は、上記電子証明書に含まれる識別情報を所有情報として有する証明情報を、入力受信装置を介して受信する
ことを特徴とする請求項３記載の証明発行依頼装置。
【請求項１０】
証明情報を有する証明依頼情報を受信する証明依頼受信ステップと、
予め記憶装置に記憶された第１認証局の情報であって、登録された第１認証局の情報と、予め記憶装置に記憶された第２認証局の情報であって、証明情報の発行の依頼先となる第２認証局の情報とに基づき、上記証明依頼受信ステップで受信した証明依頼情報が有する証明情報が、上記第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であるか否かを判定する第１認証局判定ステップと、
証明依頼情報が有する証明情報が、第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であると上記第１認証局判定ステップで判定した場合、上記第２認証局記憶ステップで記憶装置に記憶した第２認証局の情報に基づき第２認証局へ新たな証明情報の発行依頼情報を送信する証明依頼送信ステップと
をコンピュータに実行させることを特徴とする証明発行プログラム。
【請求項１１】
入力受信装置が、証明情報を有する証明依頼情報を受信する証明依頼受信ステップと、
処理装置が、予め記憶装置に記憶された第１認証局の情報であって、登録された第１認証局の情報、予め記憶装置に記憶された第２認証局の情報であって、証明情報の発行の依頼先となる第２認証局の情報とに基づき、上記証明依頼受信ステップで受信した証明依頼情報が有する証明情報が、上記第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であるか否かを判定する第１認証局判定ステップと、
出力送信装置が、証明依頼情報が有する証明情報が、第１認証局が発行した証明情報、又は、上記第２認証局が発行した証明情報であると上記第１認証局判定ステップで判定した場合、上記第２認証局記憶ステップで記憶装置に記憶した第２認証局の情報に基づき第２認証局へ新たな証明情報の発行依頼情報を送信する証明依頼送信ステップと
を備えることを特徴とする証明発行方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証局などによる電子証明情報発行処理に関するものである。
【背景技術】
【０００２】
認証局が証明情報を発行する場合には、証明情報の発行を依頼する申請者の本人確認を行う必要がある。従来、本人確認の方法として、既に発行されている証明情報を利用する方法がある。また、特開平７−１６０１９８号公報では、証明情報の発行を依頼する申請者本人に代わり、既に認証局から証明情報を発行された代理人が証明情報の発行を依頼する方法が開示されている。特開平７−１６０１９８号公報では、まず、代理人が署名した申請情報を認証局に送信する。次に、認証局が代理人の署名を確認し、確認が取れると申請者に対し証明情報の発行を行う。代理人は申請者の証明情報の発行前に認証局から本人確認を受けた信頼できる人であるため、認証局は署名を信用する。
【特許文献１】特開平７−１６０１９８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来の方法においては、認証局が既に代理人の本人確認しているため、代理人の署名を信用し、証明情報の発行を行う。従って、従来の方法においては、申請者は、代理人が本人確認を受けている認証局以外から証明情報を発行できないという課題があった。
本発明は、上記のような課題を解決するためになされたもので、証明情報の発行を受けていない認証局からも証明情報の発行を可能にすることを目的とする。
【課題を解決するための手段】
【０００４】
本発明にかかる証明発行依頼装置は、審査証明情報を発行する第１認証局の情報を記憶装置に記憶する第１認証局記憶部と、審査証明情報を有する証明依頼情報を、入力受信装置を介して受信する証明依頼受信部と、上記第１認証局記憶部が記憶した第１認証局の情報に基づき、上記証明依頼受信部が受信した証明依頼情報が有する審査証明情報が、第１認証局が発行した審査証明情報であるか否かを処理装置により判定する第１認証局判定部と、認証局証明情報を発行する第２認証局の情報を記憶装置に記憶する第２認証局記憶部と、証明依頼情報が有する審査証明情報を第１認証局が発行した審査証明情報であると上記第１認証局判定部が判定した場合、上記第２認証局記憶部が記憶した第２認証局の情報に基づき第２認証局へ認証局証明情報の発行依頼情報を、出力送信装置を介して送信する証明依頼送信部とを備えることを特徴とする。
【発明の効果】
【０００５】
本発明にかかる証明発行依頼装置によれば、第１認証局が発行した審査証明情報であることを確認することにより、第２認証局へ証明依頼を行うことが可能である。従って、本発明にかかる証明発行依頼装置によれば、証明情報の発行を受けていない認証局からも証明情報の発行をすることが可能である。
【発明を実施するための最良の形態】
【０００６】
以下、本発明を図面に示す実施の形態に基づいて説明する。
【０００７】
図１は、実施の形態１における証明発行依頼装置１００のハードウェア構成の一例を示す図である。
図１において、証明発行依頼装置１００は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＣＲＴ９０１、Ｋ／Ｂ（キーボード）９０２、マウス９０３、ＣＯＭＭ（通信ボード）９１５、磁気ディスク装置９２０と接続されている。
ＣＰＵ９１１は、処理装置の一例である。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。これら揮発性メモリと不揮発性メモリとは、記憶装置の一例である。
通信ボード９１５は、ＬＡＮ、無線アンテナ等に接続されている。
例えば、通信ボード９１５、Ｋ／Ｂ９０２などは、入力受信装置の一例である。
また、例えば、通信ボード９１５、ＣＲＴ９０１などは、出力送信装置の一例である。
【０００８】
ここで、通信ボード９１５は、ＬＡＮに限らず、直接、インターネット、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されていても構わない。
磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。
【０００９】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定」「〜の特定」として説明するものが、「〜ファイル」として記憶されている。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等のその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。
【００１０】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
【００１１】
また、以下に述べる実施の形態を実施するプログラムは、また、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等のその他の記録媒体による記録装置を用いて記憶されても構わない。
後述するエンドエンティティ４００と第１認証局２００と第２認証局３００とは、例えば、証明発行依頼装置１００と同様に図１に示すハードウェア構成を持つコンピュータなどである。
【００１２】
実施の形態１．
まず、実施の形態１について説明する。実施の形態１では、証明情報の発行を受けていない認証局からも証明情報の発行を可能とする証明発行依頼装置１００について説明する。
【００１３】
まず、実施の形態１にかかる証明発行システム１０００について説明する。図２は、実施の形態１にかかる証明発行システム１０００の全体概要図である。
証明発行システム１０００は、証明発行依頼装置１００、第１認証局２００、第２認証局３００、エンドエンティティ４００を備える。また、証明発行依頼装置１００、第１認証局２００、第２認証局３００、エンドエンティティ４００は、それぞれ、ネットワークを介して接続される。
証明発行依頼装置１００は、エンドエンティティ４００の依頼を受け、証明情報の発行を認証局へ依頼する。つまり、証明発行依頼装置１００は、エンドエンティティ４００と認証局とを仲介する。
第１認証局２００は、既にエンドエンティティ４００に対して、証明情報の発行を行っている認証局である。また、証明発行依頼装置１００は、第１認証局２００が発行した証明情報を信用する。ここで、第１認証局２００が発行した証明情報を審査証明情報５３０とする。第１認証局２００は、複数存在していても構わない。
第２認証局３００は、エンドエンティティ４００に対して、証明情報の発行を行っていない認証局である。また、第２認証局３００は、証明発行依頼装置１００を信用し、証明発行依頼装置１００から証明情報の発行依頼があった場合、証明情報の発行を行う認証局である。ここで、第２認証局３００が発行する証明情報を認証局証明情報とする。第２認証局３００は、複数存在していても構わない。
エンドエンティティ４００は、証明情報の発行依頼を行う。ここでは、エンドエンティティ４００は、証明発行依頼装置１００を介して、第２認証局３００へ証明情報の発行依頼を行う。
つまり、エンドエンティティ４００は、第１認証局２００が発行した審査証明情報５３０を認証局証明情報の発行依頼と併せて証明発行依頼装置１００へ送る。証明発行依頼装置１００は、エンドエンティティ４００が送信した審査証明情報５３０を信頼し、第２認証局３００へ認証局証明情報の発行を依頼する。第２認証局３００は、証明発行依頼装置１００の依頼に基づき、認証局証明情報を発行する。
【００１４】
次に、エンドエンティティ４００の機能について説明する。図３は、エンドエンティティ４００の機能を示す機能ブロック図である。
エンドエンティティ４００は、鍵ペア生成部４１０、エンティティ記憶部４２０、入力部４３０、証明依頼情報生成部４４０を備える。
鍵ペア生成部４１０は、公開鍵と秘密鍵のペアを生成する。
エンティティ記憶部４２０は、鍵記憶部４２１、証明情報記憶部４２２、証明依頼記憶部４２３を備える。鍵記憶部４２１は、鍵ペア生成部４１０が生成した公開鍵と秘密鍵のペアと認証局から発行された証明情報が有する公開鍵と対となる秘密鍵とを記憶する。証明情報記憶部４２２は、認証局が発行した証明情報を記憶する。ここでは、証明情報記憶部４２２は、第１認証局２００が発行した審査証明情報５３０と、任意の認証局が発行した登録証明情報とを記憶する。つまり、鍵記憶部４２１は、審査証明情報５３０と登録証明情報とのそれぞれが有する公開鍵と対となる秘密鍵を記憶する。また、登録証明情報は、任意の認証局が発行したものであるため、第１認証局２００が発行していても、第２認証局３００が発行していても、その他の認証局が発行していても構わない。登録証明情報は、公開鍵を含み、その公開鍵と対となる秘密鍵をエンドエンティティ４００が有していれば、どの認証局が発行したものであっても構わない。証明依頼記憶部４２３は、エンドエンティティ４００が生成する証明依頼情報５００を記憶する。証明依頼情報５００については、後述する。
入力部４３０は、エンドエンティティ４００の識別情報などを入力する。
証明依頼情報生成部４４０は、後述する証明依頼情報５００を生成する。
【００１５】
図４は、エンドエンティティ４００が生成し、証明発行依頼装置１００へ送信する証明依頼情報５００の構成を示すブロック図である。
証明依頼情報５００は、審査証明情報対秘密鍵による署名５１０、公開鍵情報対秘密鍵による署名５２０、審査証明情報５３０、公開鍵情報５４０、識別情報５５０を備える。
審査証明情報対秘密鍵による署名５１０は、証明情報記憶部４２２が記憶する審査証明情報５３０が有する公開鍵と対となる秘密鍵によって付された署名データである。
公開鍵情報対秘密鍵による署名５２０は、鍵ペア生成部４１０が生成した秘密鍵または証明情報記憶部４２２が記憶する登録証明情報が有する公開鍵と対となる秘密鍵によって付された署名データである。
審査証明情報５３０は、証明情報記憶部４２２が記憶する審査証明情報５３０である。
公開鍵情報５４０は、鍵ペア生成部４１０が生成した公開鍵または証明情報記憶部４２２が記憶する登録証明情報である。
識別情報５５０は、入力部４３０が入力したエンドエンティティ４００の識別情報または証明情報のサブジェクト名である。証明情報のサブジェクト名とは、証明情報に付された、証明情報の所有者を示す情報である。証明情報のサブジェクト名は、例えば、証明情報の所有者の氏名、住所、メールアドレスなどである。識別情報５５０は、例えば、入力部４３０がエンドエンティティ４００の識別情報の入力を省略した場合などは、証明情報のサブジェクト名を識別情報５５０として使用するとしても構わない。また、証明情報とは、いわゆる電子証明書のことであり、登録証明情報、審査証明情報５３０、認証局証明情報などである。つまり、公開鍵情報５４０を登録証明情報とする場合などは、識別情報５５０として登録証明情報のサブジェクト名を使用しても構わない。識別情報５５０は、証明依頼情報５００の送信元を識別する送信元識別情報である。
【００１６】
次に、証明発行依頼装置１００の機能について説明する。図５は、証明発行依頼装置１００の機能を示した機能ブロック図である。
証明発行依頼装置１００は、受信部１１０、送信部１２０、発行依頼情報生成部１３０、判定部１４０、記憶部１５０を備える。
【００１７】
受信部１１０は、認証局やエンドエンティティ４００などから情報などを受信する。受信部１１０は、例えば、図１に示す入力受信装置を介して情報を受信する。受信部１１０は、証明依頼受信部１１１、指定情報受信部１１２、証明情報受信部１１３を備える。証明依頼受信部１１１は、エンドエンティティ４００が生成した審査証明情報５３０を有する証明依頼情報５００を、入力受信装置を介して受信する。指定情報受信部１１２は、第２認証局３００が複数存在する場合に、証明情報の発行を依頼する第２認証局３００を指定する指定情報を、入力受信装置を介して受信する。証明情報受信部１１３は、第２認証局３００が送信した証明情報である認証局証明情報を、入力受信装置を介して受信する。
【００１８】
送信部１２０は、認証局やエンドエンティティ４００などへ情報などを送信する。送信部１２０は、例えば、図１に示す出力送信装置などを介して情報を送信する。送信部１２０は、証明依頼送信部１２１を備える。証明依頼送信部１２１は、後述する第２認証局記憶部１５３が記憶した第２認証局３００の情報に基づき第２認証局３００へ証明情報の発行依頼情報を、出力送信装置を介して送信する。
【００１９】
発行依頼情報生成部１３０は、第２認証局３００へ証明情報の発行を依頼する発行依頼情報を生成する。発行依頼情報生成部１３０は、認証局特定部１３１を備える。認証局特定部１３１は、指定情報受信部１１２が受信した指定情報に基づき、証明情報の発行を依頼する第２認証局３００を処理装置により特定する。つまり、証明依頼送信部１２１は、認証局特定部１３１が特定した第２認証局３００へ証明情報の発行依頼情報を、出力送信装置を介して送信する。
【００２０】
判定部１４０は、第１認証局判定部１４１、証明情報判定部１４２、秘密鍵判定部１４３を備える。第１認証局判定部１４１は、後述する第１認証局記憶部１５２が記憶した第１認証局２００の情報に基づき、証明依頼受信部１１１が受信した証明依頼情報５００が有する審査証明情報５３０が、第１認証局２００が発行した審査証明情報５３０であるか否かを処理装置により判定する。証明情報判定部１４２は、証明情報受信部１１３が受信した認証局証明情報が証明情報の発行を依頼した第２認証局３００が送信した認証局証明情報であることを、処理装置により判定する。証明情報判定部１４２は、第２認証局記憶部１５３が記憶した第２認証局３００の情報に基づき、上記を判定する。秘密鍵判定部１４３は、証明依頼受信部１１１が受信した証明依頼情報５００が有する公開鍵情報と対をなす秘密鍵を上記証明依頼情報の送信元のエンドエンティティ４００が備えるか否かを、公開鍵情報に基づき処理装置により判定する。秘密鍵判定部１４３は、例えば、エンドエンティティ４００が秘密鍵により生成した署名を公開鍵情報によって確認することで、エンドエンティティ４００が秘密鍵を備えるか否かを判定する。
【００２１】
記憶部１５０は、認証局に関する情報、証明情報、公開鍵などを記憶装置に記憶する。記憶部１５０は、認証局証明記憶部１５１、第１認証局記憶部１５２、第２認証局記憶部１５３を備える。認証局証明記憶部１５１は、第２認証局３００が送信した認証局証明情報を記憶装置に記憶する。認証局証明記憶部１５１は、第２認証局３００が送信した認証局証明情報であると証明情報判定部１４２が判定した場合、認証局証明情報を記憶装置に記憶する。第１認証局記憶部１５２は、審査証明情報５３０を発行する第１認証局２００の情報を記憶装置に記憶する。第１認証局記憶部１５２は、ここでは、後述する図６に示すように第１認証局２００が発行した証明情報を、第１認証局２００の情報として記憶する。第２認証局記憶部１５３は、認証局証明情報を発行する第２認証局の情報を記憶装置に記憶する。第２認証局記憶部１５３は、ここでは、後述する図７に示すように第２認証局３００が発行した証明情報を、第２認証局の情報として記憶する。
【００２２】
ここで、第１認証局記憶部１５２が記憶する第１認証局２００の情報の一例について説明する。図６は、第１認証局記憶部１５２が記憶する第１認証局２００の情報の一例である。
第１認証局記憶部１５２は、サブジェクト名、証明情報の発行認証局名、シリアル番号、証明情報を備える。サブジェクト名は、第１認証局２００の識別情報である。発行認証局名は、証明情報を発行した認証局の名称である。発行認証局名は、認証局の名称に限らず、認証局を識別するものであれば他のものでも構わない。シリアル番号は、第１認証局記憶部１５２が記憶したデータを識別するキー項目である。証明情報は、公開鍵などの証明情報であり、バイナリーデータなどでできている。
【００２３】
次に、第２認証局記憶部１５３が記憶する第２認証局３００の情報の一例について説明する。図７は、第２認証局記憶部１５３が記憶する第２認証局３００の情報の一例である。
図７に示す第２認証局記憶部１５３が記憶する第２認証局３００の情報の一例については、図６と概ね同様であるため、相違する部分について説明する。第２認証局記憶部１５３は、図６に示す情報に加え、認証局毎に発行方法についての情報を持つ。図７では、その一例として、オンラインのフラグ情報を記憶する。また、図７では、オンラインフラグがｔｒｕｅの場合には、接続先の情報を併せて記憶する。
【００２４】
上記の図６と図７とに示す認証局Ｃように、第１認証局２００と第２認証局３００とのどちらにも該当する認証局があっても構わない。
【００２５】
次に、エンドエンティティ４００が証明依頼情報５００を生成する証明依頼情報生成処理の動作について説明する。図８は、エンドエンティティ４００が証明依頼情報５００を生成する証明依頼情報生成処理の動作を示すフローチャートである。エンドエンティティ４００は、上述したように第２認証局３００へ認証局証明情報の発行を依頼する場合に、証明依頼情報５００を生成する。そして、エンドエンティティ４００は、生成した証明依頼情報５００を証明発行依頼装置１００へ送信する。
【００２６】
ステップＳＴ１００では、証明依頼情報生成部４４０は、証明依頼情報５００の公開鍵情報５４０として使用する公開鍵を選択する。つまり、証明依頼情報生成部４４０は、鍵ペア生成部４１０が生成した公開鍵、または、証明情報記憶部４２２が記憶する登録証明情報のどちらを使用するかを選択する。証明依頼情報生成部４４０が、鍵ペア生成部４１０が生成した公開鍵を使用することを選択した場合、鍵ペア生成部４１０は、公開鍵と秘密鍵のペアを生成する。
【００２７】
ステップＳＴ１０１では、入力部４３０は、エンドエンティティ４００の識別情報を識別情報５５０として入力する。ステップＳＴ１０１は、省略することが可能である。上述したように、入力部４３０がエンドエンティティ４００の識別情報の入力を省略した場合などは、証明情報のサブジェクト名を識別情報５５０として使用することが可能である。
【００２８】
ステップＳＴ１０２では、証明依頼情報生成部４４０は、ステップＳＴ１００で選択した公開鍵情報５４０と識別情報５５０とに署名を行う。証明依頼情報生成部４４０は、ステップＳ１００で選択した公開鍵と対となる秘密鍵によって署名を行う。ここで証明を行うのに使用した秘密鍵が、公開鍵情報対秘密鍵である。また、ここで署名を行ったデータが、公開鍵情報対秘密鍵による署名５２０である。
【００２９】
ステップＳＴ１０３では、証明依頼情報生成部４４０は、ステップＳＴ１０２で生成した公開鍵情報対秘密鍵による署名５２０に対して、審査証明情報５３０が有する公開鍵と対となる秘密鍵によって署名を行う。ここで署名を行ったデータが、審査証明情報対秘密鍵による署名５１０である。
【００３０】
ステップＳＴ１０４では、証明依頼情報生成部４４０は、生成した審査証明情報対秘密鍵による署名５１０、公開鍵情報対秘密鍵による署名５２０、公開鍵情報５４０、識別情報５５０と、審査証明情報５３０とを合せ証明依頼情報５００を生成する。
【００３１】
上記フローチャートの各ステップをまとめると次のようになる。ステップＳＴ１００は、公開鍵選択ステップである。ステップＳＴ１０１は、識別情報入力ステップである。ステップＳＴ１０２は、公開鍵情報対秘密鍵署名ステップである。ステップＳＴ１０３は、審査証明情報対秘密鍵署名ステップである。ステップＳＴ１０４は、証明依頼情報生成ステップである。
【００３２】
次に、証明情報発行システム１０００が証明情報を発行する証明情報発行処理の動作について説明する。図９と図１０とは、証明情報発行システム１０００が証明情報を発行する証明情報発行処理の動作を示すフローチャートである。
【００３３】
ステップＳＴ２００では、第１認証局記憶部１５２は、第１認証局２００の情報を記憶装置に記憶する。ここでは、第１認証局記憶部１５２は、第１認証局２００の情報として、図６に示す第１認証局２００が発行した証明情報などを記憶する。
【００３４】
ステップＳＴ２０１では、第２認証局記憶部１５３は、第２認証局３００の情報を記憶装置に記憶する。ここでは、第２認証局記憶部１５３は、第２認証局３００の情報として、図７に示す第２認証局３００が発行した証明情報などを記憶する。
【００３５】
ステップＳＴ２０２では、証明依頼受信部１１１は、エンドエンティティ４００が生成した証明依頼情報５００を、入力受信装置を介して受信する。つまり、証明依頼受信部１１１は、エンドエンティティ４００が図８に示す動作により生成した証明依頼情報５００を受信する。
【００３６】
ステップＳＴ２０３では、第１認証局判定部１４１は、ステップＳＴ２０２で受信した証明依頼情報５００が有する審査証明情報５３０が、第１認証局２００が発行したものであるかを確認する。第１認証局判定部１４１は、第１認証局記憶部１５２が記憶した第１認証局２００の証明情報に基づき、証明依頼情報５００が有する審査証明情報５３０が第１認証局２００のものであるかを判定する。第１認証局判定部１４１は、証明依頼情報５００が有する審査証明情報５３０が第１認証局２００のものである場合には、ステップＳＴ２０４へ進み、証明依頼情報５００が有する審査証明情報５３０が第１認証局２００のものでない場合には、エンドエンティティ４００へエラーを応答し、処理を終了する。
【００３７】
ステップＳＴ２０４では、まず、第１認証局判定部１４１は、証明依頼情報５００が有する審査証明情報５３０の署名を、第１認証局記憶部１５２が記憶した第１認証局２００の証明情報によって検証する。第１認証局判定部１４１は、例えば、第１認証局記憶部１５２が記憶した第１認証局２００の証明情報が有する公開鍵によって、審査証明情報５３０に付されている署名を検証することである。次に、第１認証局判定部１４１は、証明依頼情報５００が有する審査証明情報対秘密鍵による署名５１０を、審査証明情報５３０が有する公開鍵によって検証する。第１認証局判定部１４１は、上記の２つの検証の両方でエラーにならないと判定した場合には、ステップＳＴ２０５へ進み、どちらか一方でもエラーになると判定した場合には、エンドエンティティ４００へエラーを応答し、処理を終了する。
【００３８】
ステップＳＴ２０５では、秘密鍵判定部１４３は、証明依頼情報５００が有する公開鍵情報対秘密鍵による署名５２０を、証明依頼情報５００が有する公開鍵情報５４０によって検証する。秘密鍵判定部１４３は、検証がエラーとならなかった場合には、ステップＳＴ２０６へ進み、検証がエラーとなった場合には、エンドエンティティ４００へエラーを応答し、処理を終了する。
【００３９】
ステップＳＴ２０６では、記憶部１５０は、証明依頼情報５００が有する識別情報を記憶する。
【００４０】
ステップＳＴ２０７では、指定情報受信部１１２は、エンドエンティティ４００から証明情報を発行することが可能な認証局の問合せを受信する。つまり、指定情報受信部１１２は、第２認証局記憶部１５３が記憶している第２認証局３００についての問合せを受信する。
【００４１】
ステップＳＴ２０８では、第２認証局記憶部１５３は、記憶する第２認証局３００の情報を読み出す。
【００４２】
ステップＳＴ２０９では、送信部１２０は、ステップＳＴ２０８で読出した第２認証局３００の情報の一覧をエンドエンティティ４００へ送信する。
【００４３】
ステップＳＴ２１０では、指定情報受信部１１２は、エンドエンティティ４００から証明情報の発行を依頼する第２認証局３００を指定する指定情報を受信する。
【００４４】
ステップＳＴ２１１では、発行依頼情報生成部１３０は、公開鍵情報と識別情報とを含む発行依頼情報を生成する。ここで、公開鍵情報は、第２認証局３００によって生成される認証局証明情報の元データとなるものである。また、識別情報は、認証局証明情報のサブジェクト名の元データとなるものである。つまり、識別情報は、認証局証明情報の所有情報を示すために使用される。
【００４５】
ステップＳＴ２１２では、認証局特定部１３１は、指定情報に基づき、発行を依頼する第２認証局３００を特定する。証明依頼送信部１２１は、認証局特定部１３１が特定した第２認証局３００の情報を第２認証局記憶部１５３から取得する。
【００４６】
ステップＳＴ２１３では、証明依頼送信部１２１は、ステップＳＴ２１２で取得した第２認証局３００の情報に基づき、認証局特定部１３１が特定した第２認証局３００へ証明情報の発行依頼情報を送信する。
【００４７】
ステップＳＴ２１４では、証明情報受信部１１３は、第２認証局３００より認証局証明情報を受信する。
【００４８】
ステップＳＴ２１５では、証明情報判定部１４２は、証明情報受信部１１３が受信した認証局証明情報の署名を、第２認証局記憶部１５３が記憶した証明情報によって検証する。ここで、第２認証局記憶部１５３が記憶した証明情報によって検証するとは、例えば、第２認証局記憶部１５３が記憶した証明情報が有する公開鍵によって、認証局証明情報の署名を検証することである。つまり、ここでは、他のものが第２認証局３００になりすましていないことを確認する。認証局証明記憶部１５１は、証明情報判定部１４２が上記の検証でエラーとならないと判定した場合には、認証局証明情報を記憶する。証明情報判定部１４２は、上記の検証でエラーとならないと判定した場合には、ステップＳＴ２１６へ進み、上記の検証でエラーとなると判定した場合には、エンドエンティティ４００へエラーを応答し、処理を終了する。
【００４９】
ステップＳＴ２１６では、送信部１２０は、認証局証明情報をエンドエンティティ４００へ送信する。
【００５０】
ステップＳＴ２１７では、エンドエンティティ４００は、認証局証明情報を受信する。そして、証明情報記憶部４２２は、認証局証明情報を記憶する。
【００５１】
上記フローチャートの各ステップをまとめると次のようになる。ステップＳＴ２００は、第１認証局記憶ステップである。ステップＳＴ２０１は、第２認証局記憶ステップである。ステップＳＴ２０２は、証明依頼受信ステップである。ステップＳＴ２０３、ＳＴ２０４は、第１認証局判定ステップである。ステップＳＴ２０５は、秘密鍵判定ステップである。ステップＳＴ２０６は、識別情報記憶ステップである。ステップＳＴ２０７からＳＴ２１０までは、指定情報受信ステップである。ステップＳＴ２１１からＳＴ２１３までは、証明依頼送信ステップである。ステップＳＴ２１４、ＳＴ２１５は、証明情報受信ステップである。ステップＳＴ２１６、ＳＴ２１７は、認証局証明情報送信ステップである。
【００５２】
以上のように、証明発行依頼装置１００を仲介させ、証明情報の発行の依頼を行うことで、これまで証明情報の発行を受けていなかった認証局からも証明情報の発行を受けることが可能となる。また、証明発行依頼装置１００が複数の第２認証局３００を記憶することで、エンドエンティティ４００は、認証局証明情報を依頼する認証局を複数の中から選択することも可能である。
【００５３】
上述した実施の形態１をまとめると以下のようになる。
【００５４】
実施の形態１に示す証明発行依頼装置１００は、以下の（ａ）から（ｆ）の機能を持つ公開鍵登録方式である。（ａ）本人確認を行うための署名検証に使用する証明情報の発行認証局を信頼点として登録する審査信頼点データベース（第１認証局記憶部１５２）を持つ。（ｂ）署名検証に使用する証明情報が上記審査信頼点データベースに登録済か確認する審査信頼点確認手段（第１認証局判定部１４１）を持つ。（ｃ）証明情報の発行を要求する認証局を信頼点として登録する発行信頼点データベース（第２認証局記憶部１５３）を持つ。（ｄ）上記発行信頼点データベースの情報を取得し、エンドエンティティ４００から発行認証局を選択可能とする発行信頼点選択手段（認証局特定部１３１）を持つ。（ｅ）自ら発行要求し取得した証明情報を格納する発行証明情報データベース（認証局証明記憶部１５１）を持つ。（ｆ）上記発行証明情報データベースに取得した証明情報を格納前、上記発行信頼点データベースに登録された認証局の証明情報を使用して、取得した証明情報の検証を行う発行証明情報確認手段（証明情報判定部１４２）を持つ。
【００５５】
また、実施の形態１に示す証明発行依頼装置１００は、上記（ａ）から（ｆ）の機能に加え、本人確認のための署名検証のほか、証明情報の発行を行う対象の公開鍵の対となる秘密鍵の所持を確認するための署名検証手段（秘密鍵判定部１４３）を持つ。
【００５６】
さらに、実施の形態１に示す証明発行依頼装置１００は、上記（ａ）から（ｆ）の機能に加え、証明情報の発行を行う対象は、公開鍵の他に証明情報を可能とする。
【００５７】
また、さらに、実施の形態１に示す証明発行依頼装置１００は、上記（ａ）から（ｆ）の機能に加え、証明情報のサブジェクト名の元情報となる本人情報は、エンドエンティティによる入力情報、証明情報の発行対象である証明情報のサブジェクト名、本人確認を行うための署名検証に使用する証明情報のサブジェクト名のいずれかを可能とする。
【００５８】
実施の形態２．
次に、実施の形態２について説明する。実施の形態２では、エンドエンティティ４００から受信した証明依頼情報５００が有する審査証明情報５３０が、第１認証局２００が発行したものでない場合の処理について説明する。
【００５９】
証明発行依頼装置１００は、証明依頼情報５００が有する審査証明情報５３０が、第１認証局２００が発行したものでない場合、証明依頼情報５００が有する審査証明情報５３０が、以前に認証局証明情報を発行した第２認証局３００が発行したものであるかを確認する。つまり、証明発行依頼装置１００は、証明依頼情報５００が有する審査証明情報５３０が、認証局証明記憶部１５１が記憶する認証局証明情報を発行した第２認証局３００であるかを確認する。証明依頼情報５００が有する審査証明情報５３０が、以前に認証局証明情報を発行した第２認証局３００が発行したものである場合、証明発行依頼装置１００は、証明依頼情報５００が有する審査証明情報５３０を発行した第２認証局３００と同じ第２認証局３００からの認証局証明情報の発行を許可する。
【００６０】
実施の形態２によれば、証明発行システム１０００は、第１認証局２００として登録されていない審査証明情報５３０のみ有するエンドエンティティ４００であっても、審査証明情報５３０を発行した認証局からは認証局証明情報の発行を受けることが可能である。
【００６１】
上述した実施の形態２をまとめると以下のようになる。
実施の形態２に示す証明発行依頼装置１００は、実施の形態１に示す証明発行依頼装置１００に加え、本人確認を行うための署名検証に使用する証明情報が上記審査信頼点データベースに未登録であっても、上記発行信頼点証明情報データベースに格納されている場合、本人確認を行うための署名検証に使用する証明情報と同じ認証局から証明情報を発行する。
また、同様に、実施の形態２に示す証明発行依頼装置１００は、実施の形態１に示す証明発行依頼装置１００に加え、本人確認を行うための署名検証に使用する証明情報が上記審査信頼点データベースに未登録であっても、上記発行証明情報データベースに格納されている場合、本人確認を行うための署名検証に使用する証明情報と同じ認証局から証明情報を発行する。
ここで、発行信頼点証明情報データベースは、認証局で認証された証明書すべてを登録可能である。一方、発行証明情報データベースは、証明発行依頼装置１００経由で発行された証明書のみ登録可能である。
【図面の簡単な説明】
【００６２】
【図１】実施の形態１における証明発行依頼装置１００のハードウェア構成の一例を示す図である。
【図２】実施の形態１にかかる証明発行システム１０００の全体概要図である。
【図３】エンドエンティティ４００の機能を示す機能ブロック図である。
【図４】エンドエンティティ４００が生成し、証明発行依頼装置１００へ送信する証明依頼情報５００の構成を示すブロック図である。
【図５】証明発行依頼装置１００の機能を示した機能ブロック図である。
【図６】第１認証局記憶部１５２が記憶する第１認証局２００の情報の一例である。
【図７】第２認証局記憶部１５３が記憶する第２認証局３００の情報の一例である。
【図８】エンドエンティティ４００が証明依頼情報５００を生成する証明依頼情報生成処理の動作を示すフローチャートである。
【図９】証明発行システム１０００が証明情報を発行する証明情報発行処理の動作を示すフローチャートである。
【図１０】証明発行システム１０００が証明情報を発行する証明情報発行処理の動作を示すフローチャートである。
【符号の説明】
【００６３】
１００  証明発行依頼装置、１１０  受信部、１１１  証明依頼受信部、１１２  指定情報受信部、１１３  証明情報受信部、１２０  送信部、１２１  証明依頼送信部、１３０  発行依頼情報生成部、１３１  認証局特定部、１４０  判定部、１４１  第１認証局判定部、１４２  証明情報判定部、１４３  秘密鍵判定部、１５０  記憶部、１５１  認証局証明記憶部、１５２  第１認証局記憶部、１５３  第２認証局記憶部、２００  第１認証局、３００  第２認証局、４００  エンドエンティティ、４１０  鍵ペア生成部、４２０  エンティティ記憶部、４２１  鍵記憶部、４２２  証明情報記憶部、４２３  証明依頼記憶部、４３０  入力部、４４０  証明依頼情報生成部、５００  証明依頼情報、５１０  審査証明情報対秘密鍵による署名、５２０  公開鍵情報対秘密鍵による署名、５３０  審査証明情報、５４０  公開鍵情報、５５０  識別情報、９０１  ＣＲＴ、９０２  Ｋ／Ｂ、９０３  マウス、９１１  ＣＰＵ、９１２  バス、９１３  ＲＯＭ、９１４  ＲＡＭ、９１５  通信ボード、９２０  磁気ディスク装置、９２１  ＯＳ、９２２  ウィンドウシステム、９２３  プログラム群、９２４  ファイル群、９４０  インターネット、９４１  ゲートウェイ、９４２  ＬＡＮ。
【図１】
0004768338.tif 000002
【図２】
0004768338.tif 000003
【図３】
0004768338.tif 000004
【図４】
0004768338.tif 000005
【図５】
0004768338.tif 000006
【図６】
0004768338.tif 000007
【図７】
0004768338.tif 000008
【図８】
0004768338.tif 000009
【図９】
0004768338.tif 000010
【図１０】
0004768338.tif 000011