(57)【要約】【課題】過去の任意の時間における証明書パスを容易に提供し、また、異なるドメイン間の相互運用性の向上を図る。【解決手段】証明書パス取得時機の到来毎に格納手段内に存在する証明書パス等を格納手段より取得し、証明書パスを構成する認証局証明書等を記憶装置へ格納し、認証局証明書毎に証明書パス管理ノードを生成し、証明書パス管理ノードに認証局証明書の発行者及び主体者等を登録し、証明書パス取得時機毎に時系列管理ノードを生成し、時系列管理ノードに各証明書パス取得時機に対応する、各証明書パスの先頭をなす認証局証明書が登録されている証明書パス管理ノードのアドレスと、当該証明書パス取得時機の次時機に対応する時系列管理ノードのアドレスとを登録する。【選択図】    図１
2005094365.tif 000002
【特許請求の範囲】
【請求項１】
公開鍵基盤における証明書パスの管理を情報処理装置により行う方法であって、
予め定めた証明書パス取得時機の到来毎に、所定の証明書パス取得範囲に属する格納手段内に存在する、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、前記格納手段より取得し、
前記取得した証明書パスを構成する認証局証明書と、当該認証局証明書に関連する証明書失効リスト及び証明書失効情報とを記憶装置へ格納し、
前記取得した認証局証明書毎に、証明書パス管理ノードを生成し、
前記生成した証明書パス管理ノードに、認証局証明書の発行者及び主体者、認証局証明書と証明書失効リストと証明書失効情報とが格納されている格納先アドレス、及び当該証明書パスにおける先頭をなす前記認証局証明書の主体者を発行者とした後続の証明書が登録されている他証明書パス管理ノードのアドレスを登録し、
前記証明書パス取得時機毎に、時系列管理ノードを生成し、
前記生成した時系列管理ノードに、各証明書パス取得時機に対応する、各証明書パスの先頭をなす認証局証明書が登録されている証明書パス管理ノードのアドレスと、当該証明書パス取得時機の次時機に対応する時系列管理ノードのアドレスとを登録することを特徴とする証明書パス管理方法。
【請求項２】
請求項１に記載の証明書パス管理方法において、
利用者端末より、指定時機、トラストアンカの発行者情報、及び検証対象証明書の発行者情報を受信し、
前記受信した指定時機に基づき、該当指定時機に対応する時系列管理ノードを特定し、
前記特定した時系列管理ノードに登録された証明書パス管理ノードの情報に基づき、トラストアンカの発行者情報を含む証明書パス管理ノードと、検証対象証明書の発行者を主体者に持つ証明書パス管理ノードを特定し、
前記特定した各証明書パス管理ノードが示す記憶装置上の格納先アドレスより、該当する認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報を取得し、
前記取得した、認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報に、検証対象証明書を付加して利用者端末へ送信することを特徴とする証明書パス管理方法。
【請求項３】
請求項１または２に記載の証明書パス管理方法において、
利用者端末より受信した前記証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを含む、前記時系列管理ノードおよび証明書パス管理ノードが、当該情報処理装置の検索範囲に存在しない場合、
当該情報処理装置とネットワークで接続され、当該情報処理装置と同様に証明書パス管理方法を実行する他の情報処理装置に対し、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報との取得要求を送信し、
前記他の情報処理装置より、前記取得要求に応じた、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを受信し、
前記受信した証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、利用者端末に送信することを特徴とする証明書パス管理方法。
【請求項４】
公開鍵基盤における証明書パスの管理を行う情報処理装置であって、
予め定めた証明書パス取得時機の到来毎に、所定の証明書パス取得範囲に属する格納手段内に存在する、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、前記格納手段より取得する手段と、
前記取得した証明書パスを構成する認証局証明書と、当該認証局証明書に関連する証明書失効リスト及び証明書失効情報とを記憶装置へ格納する手段と、
前記取得した認証局証明書毎に、証明書パス管理ノードを生成する手段と、
前記生成した証明書パス管理ノードに、認証局証明書の発行者及び主体者、認証局証明書と証明書失効リストと証明書失効情報とが格納されている格納先アドレス、及び当該証明書パスにおける先頭をなす前記認証局証明書の主体者を発行者とした後続の証明書が登録されている他証明書パス管理ノードのアドレスを登録する手段と、
前記証明書パス取得時機毎に、時系列管理ノードを生成する手段と、
前記生成した時系列管理ノードに、各証明書パス取得時機に対応する、各証明書パスの先頭をなす認証局証明書が登録されている証明書パス管理ノードのアドレスと、当該証明書パス取得時機の次時機に対応する時系列管理ノードのアドレスとを登録する手段と、
を備えることを特徴とする情報処理装置。
【請求項５】
請求項４に記載の証明書パス管理システムにおいて、
利用者端末より、指定時機、トラストアンカの発行者情報、及び検証対象証明書の発行者情報を受信する手段と、
前記受信した指定時機に基づき、該当指定時機に対応する時系列管理ノードを特定する手段と、
前記特定した時系列管理ノードに登録された証明書パス管理ノードの情報に基づき、トラストアンカの発行者情報を含む証明書パス管理ノードと、検証対象証明書の発行者を主体者に持つ証明書パス管理ノードを特定する手段と、
前記特定した各証明書パス管理ノードが示す記憶装置上の格納先アドレスより、該当する認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報を取得する手段と、
前記取得した、認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報に、検証対象証明書を付加して利用者端末へ送信する手段と、
を備えることを特徴とする情報処理装置。
【請求項６】
請求項４または５に記載の証明書パス管理システムにおいて、
利用者端末より受信した前記証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを含む、前記時系列管理ノードおよび証明書パス管理ノードが、当該情報処理装置の検索範囲に存在しない場合、
当該情報処理装置とネットワークで接続され、当該情報処理装置と同様に証明書パス管理方法を実行する他の情報処理装置に対し、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報との取得要求を送信する手段と、
前記他の情報処理装置より、前記取得要求に応じた、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを受信する手段と、
前記受信した証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、利用者端末に送信する手段と、
を備えることを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、公開鍵基盤（PKI: Public Key Infrastructure）において過去の任意の時間における証明書パスの管理手法に係り、特に利用者への証明書パス、関連する証明書失効リスト及び証明書失効情報の提供を行う証明書パス管理方法及び証明書パス管理システムに関する。
【背景技術】
【０００２】
近年、公開鍵暗号方式を利用した公開鍵基盤（PKI: Public Key Infrastructure）が整備され、電子署名、認証、なりすまし防止、及び否認防止のサービスの実現が可能となりつつある。これらのサービスでは、認証局(Certification Authority)と呼ばれる第三者機関によって発行された証明書のやり取りが行われるが、証明書を受信した依存者(Relying Party)は、証明書の有効性及び信頼性を確認する必要がある。
【０００３】
証明書の有効性確認及び信頼性確認には、依存者自らが行う方法と、依存者が検証局と呼ばれるVA(Validation Authority)に依頼し、その検証局が代理で行う方法との2種類が存在する。証明書の有効性確認においては、証明書失効情報が記載されている証明書失効リストを既存の格納システムより取得し、その証明書失効リストに検証対象となる証明書が記載されているか否かを検証する方法と、認証局が提供するサービスを利用することにより証明書の有効性確認を行う方法との２種類が存在する。
【０００４】
また、証明書の信頼性確認においては、証明書パスの構築及び検証処理が発生する。この証明書パス構築とは、依存者のトラストアンカから、受信した証明書までの証明書群を既存の格納システムより取得することであり、認証局証明書、相互認証証明書、リンク証明書、検証対象証明書のいずれかの証明書の取得を必要とする。また証明書パス検証とは、証明書パスを構成する証明書が失効されていないか、また証明書パスが証明書内の制約を犯していないかを検証する行為を意味する。
【０００５】
このような証明書パスを検証し証明書検証を支援する装置として、認証局の識別子と、前記認証局の発行する証明証と、前記証明証を検証するために必要な他の認証局の発行する証明証を表す証明証パスにおける各証明証の識別子と、前記証明証の各々について失効を確認するための情報の有無と前記失効を確認する方式および連絡先とを指定した情報としての失効確認手段と、登録の依頼を表す証明証パス登録識別子とを連結して生成した証明証パス登録情報を入力し記憶する証明証パス登録情報登録部と、前記証明証パス登録情報内に含まれる前記認証局の識別子と、エンティティの識別子と、前記証明証パス内の前記証明証の各々の識別子と、前記失効確認手段とを連結し、この連結した情報を示す識別子を加え前記連結した情報のみで前記証明証パス上の前記証明証の各々を収集し、失効を確認するための証明証収集情報を生成する証明証収集情報生成部とを備えた証明証収集情報生成装置（特許文献１参照）などが提案されている。
【特許文献１】特開２０００−１０４７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、上記証明書パス構築は、証明書パスを構成する証明書を既存の格納システムから取得することにより行われている。しかし、既存の格納システムは過去の証明書の情報を保持していないため、過去の任意の時間における証明書パス構築を容易に行うことができないという問題があった。
【０００７】
また、証明書パス検証においても、既存の格納システムが過去の証明書失効リストを保持しておらず、加えて、認証局によって提供されるサービスが過去の証明書失効情報を含んでいないため、過去の任意の時間における証明書パス検証を容易に行うことができないという問題もあった。
【０００８】
更に、上記従来技術においては、証明書パスの管理を行ってはいるが、過去の時間における証明書パスの管理を時系列で行っていない。そのため、利用者が指定する過去の任意の時間における証明書パス、関連する証明書失効リスト及び証明書失効情報を容易に利用者へ提供することができないという問題があった。
【０００９】
また、従来技術においても、証明書パスの登録及び管理はキャッシュ機能により実現されている。ところがこれらの証明書パスは、証明書パス検証結果を基に有効となった証明書パス、または証明書検証装置が検証する際にドメイン内で有効である検証時の証明書パスの格納のみである。
【００１０】
しかし、異なるPKIドメイン間の相互運用の場においては、証明書パスが有効であるか否かの判断が利用者の検証ポリシーに依存する場合も存在する。そのため、有効な証明書パスのみならず、無効である証明書パスの登録及び管理も必要となる。従って、異なるPKIドメイン間の相互運用を考慮すると、ドメインの境界を超えた証明書パス情報の共有が必要となるという問題があった。
【００１１】
そこで本発明は上記課題を鑑みてなされたものであり、過去の任意の時間における証明書パスを容易に提供でき、また、異なるドメイン間の相互運用性の向上を図ることを可能とする証明書パス管理方法および証明書パス管理システムを提供することを主たる目的とする。
【課題を解決するための手段】
【００１２】
上記課題を解決する本発明の証明書パス管理方法は、公開鍵基盤における証明書パスの管理を情報処理装置により行う方法であって、予め定めた証明書パス取得時機の到来毎に、所定の証明書パス取得範囲に属する格納手段内に存在する、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、前記格納手段より取得し、前記取得した証明書パスを構成する認証局証明書と、当該認証局証明書に関連する証明書失効リスト及び証明書失効情報とを記憶装置へ格納し、前記取得した認証局証明書毎に、証明書パス管理ノードを生成し、前記生成した証明書パス管理ノードに、認証局証明書の発行者及び主体者、認証局証明書と証明書失効リストと証明書失効情報とが格納されている格納先アドレス、及び当該証明書パスにおける先頭をなす前記認証局証明書の主体者を発行者とした後続の証明書が登録されている他証明書パス管理ノードのアドレスを登録し、前記証明書パス取得時機毎に、時系列管理ノードを生成し、前記生成した時系列管理ノードに、各証明書パス取得時機に対応する、各証明書パスの先頭をなす認証局証明書が登録されている証明書パス管理ノードのアドレスと、当該証明書パス取得時機の次時機に対応する時系列管理ノードのアドレスとを登録することを特徴とする（第１の発明）。
【００１３】
また第２の発明は、第１の発明に記載の証明書パス管理方法おいて、利用者端末より、指定時機、トラストアンカの発行者情報、及び検証対象証明書の発行者情報を受信し、前記受信した指定時機に基づき、該当指定時機に対応する時系列管理ノードを特定し、前記特定した時系列管理ノードに登録された証明書パス管理ノードの情報に基づき、トラストアンカの発行者情報を含む証明書パス管理ノードと、検証対象証明書の発行者を主体者に持つ証明書パス管理ノードを特定し、前記特定した各証明書パス管理ノードが示す記憶装置上の格納先アドレスより、該当する認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報を取得し、前記取得した、認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報に、検証対象証明書を付加して利用者端末へ送信することを特徴とする。
【００１４】
更に、第３の発明は、第１または第２の発明に記載の証明書パス管理方法において、利用者端末より受信した前記証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを含む、前記時系列管理ノードおよび証明書パス管理ノードが、当該情報処理装置の検索範囲に存在しない場合、当該情報処理装置とネットワークで接続され、当該情報処理装置と同様に証明書パス管理方法を実行する他の情報処理装置に対し、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報との取得要求を送信し、前記他の情報処理装置より、前記取得要求に応じた、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを受信し、前記受信した証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、利用者端末に送信することを特徴とする。
【００１５】
また、第４の発明は、公開鍵基盤における証明書パスの管理を行う情報処理装置であって、予め定めた証明書パス取得時機の到来毎に、所定の証明書パス取得範囲に属する格納手段内に存在する、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、前記格納手段より取得する手段と、前記取得した証明書パスを構成する認証局証明書と、当該認証局証明書に関連する証明書失効リスト及び証明書失効情報とを記憶装置へ格納する手段と、前記取得した認証局証明書毎に、証明書パス管理ノードを生成する手段と、前記生成した証明書パス管理ノードに、認証局証明書の発行者及び主体者、認証局証明書と証明書失効リストと証明書失効情報とが格納されている格納先アドレス、及び当該証明書パスにおける先頭をなす前記認証局証明書の主体者を発行者とした後続の証明書が登録されている他証明書パス管理ノードのアドレスを登録する手段と、前記証明書パス取得時機毎に、時系列管理ノードを生成する手段と、前記生成した時系列管理ノードに、各証明書パス取得時機に対応する、各証明書パスの先頭をなす認証局証明書が登録されている証明書パス管理ノードのアドレスと、当該証明書パス取得時機の次時機に対応する時系列管理ノードのアドレスとを登録する手段と、を備えることを特徴とする情報処理装置にかかる。
【００１６】
更に、第５の発明は、第４の発明に記載の情報処理装置において、利用者端末より、指定時機、トラストアンカの発行者情報、及び検証対象証明書の発行者情報を受信する手段と、前記受信した指定時機に基づき、該当指定時機に対応する時系列管理ノードを特定する手段と、前記特定した時系列管理ノードに登録された証明書パス管理ノードの情報に基づき、トラストアンカの発行者情報を含む証明書パス管理ノードと、検証対象証明書の発行者を主体者に持つ証明書パス管理ノードを特定する手段と、前記特定した各証明書パス管理ノードが示す記憶装置上の格納先アドレスより、該当する認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報を取得する手段と、前記取得した、認証局証明書及びその認証局証明書の発行者によって発行された証明書失効リストまたはその認証局によって提供された証明書失効情報に、検証対象証明書を付加して利用者端末へ送信する手段と、を備えることを特徴とする。
【００１７】
また、第６の発明は、第４または第５の発明に記載の情報処理装置において、利用者端末より受信した前記証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを含む、前記時系列管理ノードおよび証明書パス管理ノードが、当該情報処理装置の検索範囲に存在しない場合、当該情報処理装置とネットワークで接続され、当該情報処理装置と同様に証明書パス管理方法を実行する他の情報処理装置に対し、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報との取得要求を送信する手段と、前記他の情報処理装置より、前記取得要求に応じた、証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを受信する手段と、前記受信した証明書パスと当該証明書パスに関連する証明書失効リスト及び証明書失効情報とを、利用者端末に送信する手段と、を備えることを特徴とする。
【００１８】
その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。
【発明の効果】
【００１９】
本発明によれば、過去の任意の時間における証明書パスを容易に提供でき、また、異なるドメイン間の相互運用性の向上を図ることが可能となる。
【発明を実施するための最良の形態】
【００２０】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は本発明の一実施の形態に係る、証明書パス管理システム（情報処理装置）の構成図である。本発明の情報処理装置たる証明書パス管理システム１０は、ネットワーク１００を介して、証明書パスを構成する認証局証明書及び関連する証明書失効リストが格納されている既存の格納システム１１０及び格納システム１１５、証明書失効情報を取得する際の問い合わせ先となる認証局サービス装置１２０、証明書パス取得要求を行う利用者端末１４０、および他ドメインの証明書パス情報を取得する際に証明書パス管理システム１０が問い合わせを行う他証明書パス管理システム１５０、１６０と接続されており、データの相互伝送を可能としている。なお、ネットワーク１００には、インターネットのみならず、他のネットワーク通信及び通信回路も含まれる。例えば、ＬＡＮ、専用回線、ＷＡＮ（Wide Area Network）、電灯線ネットワーク、無線ネットワーク、公衆回線網、携帯電話網など様々なネットワークを採用することが出来る。また、ＶＰＮなど仮想専用ネットワーク技術を用いれば、インターネットを採用した際にセキュリティ性を高めた通信が確立され好適である。
【００２１】
また証明書パス管理システム１０は、管理者等によって設定された証明書パス取得時間間隔（取得時機）及び証明書パス取得範囲（例：ドメインなど）の情報を処理する設定制御装置２０を備える。
【００２２】
また、設定制御装置２０が伝送する情報を基に、既存の格納システム１１０または格納システム１１５より証明書パスを構成する（全ての）認証局証明書及び関連する証明書失効リストを取得すると共に、認証局が提供する認証局サービス装置１２０へ問い合わせを行って、証明書失効情報を取得する証明書パス取得手段４１を備える。
【００２３】
更に、ノード管理手段４２を備える。この手段４２は、証明書パス管理ノードを生成し、認証局証明書、関連する証明書失効リスト及び証明書失効情報を記憶装置３０に格納する機能を果たす。また、前記証明書パス管理ノードに、証明書パスを構成する要素の情報を登録する。更に、時系列管理ノードへ、証明書パス取得時間を含む証明書パス管理ノードの時系列管理を行うための情報を登録する。
【００２４】
また、通信制御装置５０に対し他証明書パス管理システム１５０、１６０へのアクセス指示を行う他証明書パス管理システムアクセス手段４３を備える。
【００２５】
更に、前記証明書パス取得手段４１とノード管理手段４２と他証明書パス管理システムアクセス手段４３とを備える証明書パス管理モジュール４０と、既存の格納システム１１０、１１５及び認証局サービス装置１２０との間のデータ通信を行うための通信制御手段を備えた通信制御装置５０を備える。
【００２６】
また、認証局証明書、証明書失効リスト及び証明書失効情報を格納するための記憶装置３０も備える。
【００２７】
次に、前記証明書パス管理システム１０（以下、システム１０）における証明書パス管理モジュール４０による、証明書パス、証明書失効リスト及び証明書失効情報の取得開始の判定から、証明書パス管理ノードを時系列で管理するための情報を時系列管理ノードへ登録するまでの処理の流れを説明する。図２は本発明の一実施の形態に係る、証明書パス管理モジュールによる処理手順例１を示すフローチャートである。尚、図２における“CT”は現在時刻(データ取得時間)を示し、“ST”は証明書パス管理モジュール４０が認証局証明書、証明書失効リスト及び証明書失効情報の取得処理を最初に行う時間を示し、“a”は変数値0を示し、“TI”は管理者が設定し、設定制御装置２０によって伝送される証明書パス取得時間間隔を示す。
【００２８】
証明書パス管理モジュール４０は、管理者によって設定され、設定制御装置２０から伝送された証明書パス取得時間間隔を判定基準とし、処理開始のタイミングを判定する(ｓ２００)。この判定結果が処理開始の旨を示すものであれば（ｓ２００：ＹＥＳ）、通信制御装置５０を通じ、ネットワーク１００を介して既存の格納システム１１０または格納システム１１５より、現存する証明書パスを構成するすべての認証局証明書の取得を開始する(ｓ２０５)。なお、前記証明書パス取得範囲は、証明書パス及び証明書失効リストの取得対象となるドメインの範囲を示し、Distinguished Nameのエントリによって表される。
【００２９】
次に、前記取得した認証局証明書に証明書失効リスト取得先が含まれる場合は、認証局証明書の所定領域が示す証明書失効リスト取得先より証明書失効リストを取得する。また、認証局証明書に証明書失効情報取得先を示す領域が含まれる場合は、前記領域が示す証明書失効情報取得先に問い合わせを行い、証明書失効情報を取得する(ｓ２１０)。他方、証明書失効情報取得先を示す領域が認証局証明書に含まれない場合は、証明書失効情報の取得は行わない。尚、証明書失効リスト取得先を示す領域が認証局証明書に含まれない場合は、認証局証明書の発行者(issuer)情報を用い、証明書失効リストの取得を行う。
【００３０】
続いて、前記取得した認証局証明書を証明書パスの形態で管理するための、証明書パス管理ノードを、前記取得した認証局証明書の数量分生成する(ｓ２１５)。本処理に際し、他の証明書パスの一部分と重複する証明書パスが同一時間に存在する場合、証明書パスの長さが短い証明書パス用の証明書管理ノードは、同証明書パス管理ノードを時系列管理する時系列管理ノードの範囲内では生成しない。
【００３１】
次に、取得した認証局証明書、証明書失効リスト及び証明書失効情報が記憶装置３０に存在しないことを確認する(ｓ２２０)。記憶装置３０に、前記取得した認証局証明書、証明書失効リスト及び証明書失効情報が存在しない場合は（ｓ２２０：ＮＯ）、認証局証明書、証明書失効リスト及び証明書失効情報を記憶装置３０に格納する(ｓ２３０)。また、記憶装置３０における格納先のアドレスを含む情報を、証明書パス管理ノードの領域へ登録する(ｓ２３５)。
【００３２】
一方、記憶装置３０に、前記取得した認証局証明書、証明書失効リストまたは証明書失効情報が存在する場合は（ｓ２２０：ＹＥＳ）、生成した証明書パス管理ノードの領域に既存の認証局証明書、証明書失効リスト及び証明書失効情報の格納先アドレスを含む情報を登録する(ｓ２２５)。
【００３３】
次に、認証局証明書、証明書失効リスト及び証明書失効情報を取得した時間(CT)を示す領域が、すべての時系列管理ノードに含まれないことを判定する(ｓ２４０)。この判定結果が、前記取得時間（CT）が全ての時系列管理ノードに含まれないものである場合（ｓ２４０：ＮＯ）、新規に時系列管理ノードを生成(ｓ２５０)する。そして、証明書パスの先頭にあたる認証局証明書を含む証明書パス管理ノードのアドレス（を含む）情報を、前記時系列管理ノードの所定各領域に登録する(ｓ２５５)。
【００３４】
また一方、認証局証明書、証明書失効リスト及び証明書失効情報を取得した時間(CT)を示す領域を含む時系列管理ノードが存在する場合は（ｓ２４０：ＹＥＳ）、証明書パスの先頭にあたる認証局証明書を含む証明書パス管理ノードのアドレス（を含む）情報を、前期時系列管理ノードの所定各領域に登録する(ｓ２４５)。
【００３５】
上記した時系列管理ノードへの登録処理後、認証局証明書、証明書失効リスト及び証明書失効情報を取得した時間(CT)における、証明書パスを構成する認証局証明書、関連する証明書失効リスト及び証明書失効情報の証明書パス管理ノード及び時系列管理ノードへの登録完了を確認し(ｓ２６０)、登録完了の場合は（ｓ２６０：ＹＥＳ）、次の証明書パス取得時間まで待機する。
【００３６】
図３は本発明の一実施の形態に係る、証明書パス管理ノードのつながりと証明書パス管理ノードに登録される情報例を示す説明図である。以下、証明書パス管理ノードに登録される詳細な情報について説明する。上述の如く生成される証明書パス管理ノード３００は、例えば６つの領域３０２、３０４、３０６、３０８、３１０、３１２から構成されるものとできる。
【００３７】
各領域に含まれる情報は、証明書パスを構成する認証局証明書の発行者(issuer)(領域３０２)と、前記認証局証明書の主体者(subject)(領域３０４)と、前記認証局証明書の記憶装置３０における格納先アドレス(領域３０６)と、前記認証局証明書の主体者(issuer)が発行する証明書失効リストの記憶装置３０における格納先アドレス(領域３０８)と、前記認証局証明書の主体者(issuer)が提供するサービスより取得した証明書失効情報の記憶装置３０における格納先アドレス(領域３１０)と、前記証明書パスを構成する後続の認証局証明書の情報を含む証明書パス管理ノードのアドレス(領域３１２)となる。
【００３８】
例えば１つの証明書パスを構成する認証局証明書が５つ存在する場合は、前記証明書パス管理ノードは５つ(証明書パス管理ノード３００、３２０、３４０、３６０、３８０)生成される。そして各証明書パス管理ノードのつながりは、後続証明書パス管理ノードのアドレスによって示される。また、例えば、他の証明書パスを構成する認証局証明書が３つ存在し、前記認証局証明書によって構成される証明書パスが別の証明書パスの一部である場合は、３つの認証局証明書パスによって構成される証明書パスに対し、同一時間における証明書パス取得時において証明書パス管理ノードは生成されない。
【００３９】
図４は本発明の一実施の形態に係る、時系列管理ノードへの登録情報を示す説明図である。次に、時系列管理ノードに登録される詳細な情報について説明する。尚、図４における“CT”は現在時刻(データ取得時間)を示し、“ST”は証明書パス管理モジュール４０が認証局証明書、証明書失効リスト及び証明書失効情報の取得処理を最初に行う時間を示し、“TI”は管理者が設定し、設定制御装置２０によって伝送される証明書パス取得時間間隔を示す。
【００４０】
上述した時系列管理ノード４００は、存在するすべての証明書パス、関連する証明書失効リスト及び証明書失効情報の取得処理を行った時間を示す領域(領域４０５)と、次の時系列ノードのアドレスを示す領域(領域４１０)と、すべての証明書パス、関連する証明書失効リスト及び証明書失効情報の取得を行った際に存在した証明書パスの情報を示す各証明書パス管理ノードの先頭アドレスを登録するための領域(領域４１５、４２０、４２５)から構成される。尚、各証明書パス管理ノードの先頭アドレスを登録するための領域は、証明書パス取得時に存在する証明書パスの数量分、または取得した証明書パスが既存の証明書パスと重複する場合においては、重複する短いパス長の証明書パスに対する証明書パス管理ノードは生成されないため、存在する証明書パスの数より重複する短いパス長の証明書パスの数を差し引いた数量分存在する。
【００４１】
例えば、証明書パス取得時“CT=ST+0*TI”(領域４０５)において、取得した各証明書パスに対する証明書パス管理ノードのグループが３つ存在する場合、各証明書パス管理ノードのグループの先頭(証明書パスの先頭にあたる認証局証明書)となる証明書パス管理ノードのアドレスを示すために、時系列管理ノード４００において３つの領域(領域４１５、４２０、４２５)を設け、各証明書パス管理ノードグループの先頭証明書パス管理ノードのアドレスを登録する。
【００４２】
また、次の証明書パス取得時“CT=ST+1*TI”における証明書パス管理ノードの情報登録先となる、時系列管理ノード４５０のアドレスを示すための領域(領域４１０)を設け、時系列管理ノード４５０のアドレスを登録する。前記登録により、存在するすべての証明書パス、関連する証明書失効リスト及び証明書失効情報を時系列で管理することができる。
【００４３】
なお、認証局の鍵の危殆化等の理由により証明書パスを構成する認証局証明書が存在せず、証明書パスの構築が行えなかった場合には、図中に示すように、時系列管理ノード４５０において、証明書パス管理ノードグループの先頭アドレスを示す領域が時系列管理ノード４００に比べ少なくなる。また、時系列管理ノード４５０の領域４６５及び領域４７０においては、証明書パス取得時間“CT=ST+1*TI”における証明書パス構築の結果、時系列ノード４００の領域４１５及び領域４２０が示す証明書パスと同様の証明書パスの取得のみであり、新たな証明書パスを記憶装置３０に格納する必要がないため、領域４１５及び領域４２０が示す証明書パスノードの先頭アドレスと同じアドレスを領域４６５及び領域４７０においても示している。
【００４４】
以下、図５（及び前出の図３）を用い、証明書パス管理モジュール４０が利用者端末１４０より証明書パス取得要求を受け、要求された証明書パス、関連する証明書失効リスト及び証明書失効情報を利用者端末１４０へ返信するまでの処理の流れを説明する。図５は本発明の一実施の形態に係る、証明書パス管理モジュールによる処理手順例２を示すフローチャートである。
【００４５】
システム１０における証明書パス管理モジュール４０が、利用者端末１４０より証明書パス取得要求を受信したとする(ｓ５００：ＹＥＳ)。この場合、利用者端末１４０によって提供されるトラストアンカ及び検証対象証明書が属するドメインが、管理者等によって設定され設定制御装置２０によって伝送された証明書パス取得範囲に含まれることを検証する(ｓ５０５)。
【００４６】
前記検証の結果、トラストアンカ及び検証対象証明書のドメインが証明書パス取得範囲に含まれていた場合(ｓ５１０：ＹＥＳ)、トラストアンカの発行者(issuer)情報を領域３０２に含む証明書パス管理ノード（図３参照）と、検証対象証明書の発行者(issuer)情報を領域３０４に含む証明書パス管理ノード（図３参照）とを特定する(ｓ５１５)。
【００４７】
そして、前記特定した証明書パス管理ノードが同一の証明書パス上に存在するか否かを判断する(ｓ５２０)。同一の証明書パス上に存在する場合（ｓ５２０：ＹＥＳ）、前記２つの証明書パス管理ノードを先頭と末尾に持ち、１種の証明書パスを構成する証明書パス管理ノードを特定し、各証明書パス管理ノードが示す記憶装置３０における格納先アドレスより認証局証明書、証明書失効リスト及び証明書失効情報を取得する(ｓ５２５)。
【００４８】
次に、前記取得した認証局証明書に、利用者端末１４０より提供された検証対象証明書を付加し(ｓ５３０)、関連する証明書失効リスト及び証明書失効情報と共に利用者端末１４０へ返信する(ｓ５３５)。
【００４９】
他方、トラストアンカの発行者(issuer)を含む証明書パス管理ノード、及び検証対象者証明書の発行者(issuer)を主体者(subject)情報にもつ証明書パス管理ノードが、同一の証明書パス上に存在しない場合（ｓ５２０：ＮＯ）、証明書パス管理モジュール４０は、利用者端末１４０へ、要求する証明書パスが存在しない旨を示すメッセージを返信し(ｓ５４０)、処理は終了する。
【００５０】
一方、前記ステップｓ５１０において、トラストアンカ及び検証対象証明書のドメインが、前記証明書パス取得範囲に含まれない場合（ｓ５１０：ＮＯ）、前記証明書パス管理モジュール４０は、他証明書パス管理システム１５０または１６０に対して、証明書パス取得要求を行う(ｓ５４５)。この要求に応じて他証明書パス管理システム１５０または１６０より返信された、検証対象証明書を含んだ証明書パス、関連する証明書失効リスト及び証明書失効情報を取得(ｓ５５０)し、当該取得した情報を利用者端末１４０へ返信し(ｓ５３５)、処理は終了する。
【００５１】
本発明によれば、管理者によって設定される証明書パス取得時機（時間間隔）と証明書パス取得範囲（例：ドメインなど）を基に証明書パス、関連する証明書失効リスト及び証明書失効情報の取得を行い、時系列による証明書パス、証明書失効リスト及び証明書失効情報の管理を簡素化することで、公開鍵基盤(PKI: Public Key Infrastructure)における過去の任意の時間における証明書パスの提供を容易に行うことができる。
【００５２】
また、他の証明書パス管理システムのサービスを利用することで、広範囲での証明書パス、証明書失効リスト及び証明書失効情報を利用者に提供することができる。更に、証明書パス管理システムにて証明書パス検証を実施せず、利用者の検証ポリシーに証明書パスの有効性の判断を委ねることで、相互運用性の向上を図ることもできる。
【００５３】
つまり、過去の任意の時間における証明書パスを容易に提供でき、また、異なるドメイン間の相互運用性の向上を図ることが可能となる。
【００５４】
以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【図面の簡単な説明】
【００５５】
【図１】本発明の一実施の形態に係る、証明書パス管理システム（情報処理装置）の構成図である。
【図２】本発明の一実施の形態に係る、証明書パス管理モジュールによる処理手順例１を示すフローチャートである。
【図３】本発明の一実施の形態に係る、証明書パス管理ノードのつながりと証明書パス管理ノードに登録される情報例を示す説明図である。
【図４】本発明の一実施の形態に係る、時系列管理ノードへの登録情報を示す説明図である。
【図５】本発明の一実施の形態に係る、証明書パス管理モジュールによる処理手順例２を示すフローチャートである。
【符号の説明】
【００５６】
１０  証明書パス管理システム（情報処理装置）
２０  設定制御装置
３０  記憶装置
４０  証明書パス管理モジュール
４１  証明書パス取得手段
４２  ノード管理手段
４３  他証明書パス管理システムアクセス指示手段
５０  通信制御装置
１００  ネットワーク
１１０  格納システムＡ
１１５  格納システムＢ
１２０  認証局サービス
１５０  他証明書パス管理システム
１６０  他証明書パス管理システム
【図１】
2005094365.tif 000003
【図２】
2005094365.tif 000004
【図３】
2005094365.tif 000005
【図４】
2005094365.tif 000006
【図５】
2005094365.tif 000007