(57)【要約】【課題】  利用者の集合に対する属性認証を効率的、かつ安全に行なう。【解決手段】  代理アクセス要求の処理状態を表わす状態情報を処理状態管理部１５から取得して、状態情報が、利用者が属する集合が形成済みの状態を表わす場合には、該代理アクセス要求に対応して生成済みの属性情報を代理アクセス先に提示することによって、アクセス結果を得て要求元に返却して処理を完了し、該処理情報が、該要求元の利用者が特定の集合に属し得ることが確認済みであり、他利用者認証待ちの状態を表わす場合には、要求元に保留を表わす情報を返却して処理を完了し、該代理アクセス要求に対する状態情報が処理状態管理部に未登録であるならば、代理アクセス先にアクセスを行なって、前記属性提示要求を受信した場合には、処理状態管理部１５に状態情報を登録する等を行なう。【選択図】  図１
2005339166.tif 000002
【特許請求の範囲】
【請求項１】
特徴情報を表わす情報である属性情報種別識別情報と、該特徴情報の主体者を識別する主体者識別情報と、主体者が該特徴情報を持つことを表明する表明者を識別する表明者識別情報と、これら３つの情報を表明者が表明したことを第三者が検証するために用いる情報である検証情報とを含む属性情報を生成する属性情報生成部と、
利用者から代理アクセスの要求に対して、要求に応えるために必要な属性情報の委譲を複数の利用者から受け、委譲された属性情報に基づいて代理アクセス先に提示すべき属性情報を生成して、該属性情報を代理アクセス先に提示することによって、アクセス結果を取得して、代理アクセス要求元の各利用者に該アクセス結果を返却する制御部と、
代理アクセス先に提示すべき属性情報の生成方法を規定する情報である集合属性定義と、該属性情報を生成するにあたって、複数の利用者から委譲を受けるべき属性情報を規定することによって利用者の集合の形成条件を規定する主体者集合定義とによって構成される属性収集ポリシを蓄積管理する収集ポリシ管理部と、
前記代理アクセス要求に対して、前記属性収集ポリシに基づき、複数の利用者から属性情報の委譲を受け、代理アクセス先に提示すべき属性情報を生成し、代理アクセス先からアクセス結果を得るまでの処理の状態を管理する処理状態管理部と、
前記属性収集ポリシに基づいて決定された委譲要対象の属性を表わす情報を含む属性委譲要求を生成する委譲要求生成部と、
を備え、
前記制御部は、前記代理アクセス要求の処理状態を表わす状態情報を前記処理状態管理部から取得して、
該状態情報が、利用者が属する集合が形成済みの状態を表わすには、該代理アクセス要求に対応して生成済みの属性情報を代理アクセス先に提示することによって、アクセス結果を得て要求元に返却して処理を完了し、
該処理情報が、該要求元の利用者が特定の集合に属し得ることが確認済みであり、他利用者認証待ちの状態を表わす場合には、要求元に保留を表わす情報を返却して処理を完了し、
該代理アクセス要求に対する状態情報が前記処理状態管理部に未登録であるならば、代理アクセス先にアクセスを行なって、前記属性提示要求を受信した場合には、前記処理状態管理部に状態情報を登録して、
該属性提示要求の要求対象の属性情報を生成し得る属性収集ポリシを前記収集ポリシ管理部から取得して、該属性収集ポリシにより、形成を確認すべき利用者集合を特定して、その判定に必要な利用者から委譲されるべき属性情報を確定し、該属性情報を対象とする属性委譲要求を前記委譲要求生成部により生成して要求元に送信し、
属性情報と、該属性情報を該属性情報の主体者が委譲要求元に対して委譲することを表明する情報である属性委譲証が返却され、該属性情報と該属性委譲証が有効、かつ該属性情報により該要求元の利用者が該属性収集ポリシが規定する利用者集合に属し得ると判定された場合には、該要求元に対応する状態情報を他利用者認証待ちを表わすに設定して前記処理状態管理部に再登録し、要求元に保留を表わす情報を返却して処理を完了し、
該属性収集ポリシが規定する利用者集合の形成の確認が完了した場合には、要求元の利用者と同一の利用者集合に属すと確認されたすべての利用者の状態情報を認証完了を表わす情報に変更した上で、該属性収集ポリシに従って、属性提示要求の要求対象となっている属性情報を生成して、該属性情報をアクセス先に提示することによって結果データを受信して、要求元に返却して処理を完了し、
属性委譲要求に応答しない、あるいは返却された属性情報では、該要求元の利用者が属性収集ポリシが規定する利用者集合に属すと判断できない場合には、要求元に対して、代理アクセス要求が許可できないことを表わす情報を返却して処理を完了する、
利用者集合属性認証装置。
【請求項２】
前記制御部は、装置を一意に識別する情報である装置識別情報と、装置による属性情報の発行、および属性委譲要求の生成発行に用いる装置鍵情報とで構成される装置環境情報を備え、
前記属性委譲要求は、装置を一意に識別可能な情報と、属性委譲要求を生成するごとに払い出される一意な情報である委譲要求識別情報を含み、
前記属性委譲証は、委譲の元となった属性委譲要求の委譲要求識別情報と、委譲対象の属性情報を示す情報と、委譲元の利用者を示す情報と、委譲先の装置を示す情報と、属性委譲証の以上の内容を確かに委譲元が表明したことを検証するための検証情報とを含み、
前記制御部は、前記属性情報と前記属性委譲証を受信した場合には、
該属性情報が該属性情報に含まれる検証情報による検証に成功し、かつ該属性委譲証が該属性委譲証に含まれる検証情報による検証に成功し、かつ属性情報の主体者識別情報と代理アクセス要求から抽出された利用者識別情報が一致し、かつ属性情報の主体者識別情報と属性委譲証の委譲元を表わす情報が一致し、かつ属性委譲証の委譲先を表わす情報と装置環境情報の装置識別情報が一致し、かつ属性委譲証の委譲要求識別情報と属性委譲要求の委譲要求識別情報が一致し、かつ属性情報の属性情報種別識別情報と属性委譲証の属性情報種別識別情報が一致する場合に、正当な属性情報と属性委譲が受信されたとみなして処理を続行する、
請求項１記載の利用者集合属性認証装置。
【請求項３】
アクセス先から提示される前記属性提示要求はアクセス先が決定する制限時間を表わす情報を含み、前記処理状態管理部が管理する状態情報は該制限時間を考慮した有効時間を表わす情報を含み、
前記代理アクセス要求に対応する状態情報が前記処理状態管理部に存在した場合でも、現在の日時が有効期間内になく有効条件が満されない場合は、該状態情報を前記処理状態管理部から削除した上で、該処理状態管理部に状態情報が存在しなかったこととして処理を行なう、
請求項２記載の利用者集合属性認証装置。
【請求項４】
前記制御部は、利用者による集合の形成が確認した後、属性収集ポリシに従って属性情報を生成する際に、集合の形成を確認する過程で利用者から委譲された属性情報を、属性情報を発行する外部の装置、またはＸ．５０９属性証明書、ＳＡＭＬの属性アサーション等のような属性情報に類する情報により構成されるデータを発行する装置に提示することによって、属性情報を発行する外部の装置を利用して生成する、
請求項１から３のいずれかに記載の利用者集合属性認証装置。
【請求項５】
前記制御部は、該属性収集ポリシが規定する利用者集合の形成の確認が完了した場合には、要求元の利用者と同一の利用者集合に属すと確認されたすべての利用者の状態情報を認証完了を表わす情報に変更した上で、状態情報を更新したすべての利用者に対して、状態情報の変更を通知する、
請求項１から４記載の利用者集合属性認証装置。
【請求項６】
前記属性情報と前記属性委譲証が有効期間を表わす情報を含み、いずれも現在日時が有効期間内でなければ無効とみなすこととし、
前記属性情報生成部は、属性委譲証により委譲された属性情報を元にして、属性収集ポリシに基づいて属性情報の生成を行なう際には、生成する該属性情報の有効期間には、元となった委譲された属性情報のすべての有効期間に完全に包含され、かつ各属性情報に対応する属性委譲証の有効期間にも完全に包含されるものを設定する、
請求項１から５のいずれかに記載の利用者集合属性認証装置。
【請求項７】
前記属性収集ポリシは、利用者から委譲されるべき属性情報の種別に対する制約を表わす種別制約と、該属性情報の表明者の情報に課す条件を表わす表明者制約と、前記属性情報の内容に対して課す条件を表わす要素制約とで構成され、
前記制御部は、要求元から委譲された前記属性情報が、前記種別制約と表明者制約と要素制約を満す場合にのみ、該属性情報は該属性収集ポリシの利用者から委譲されるべき属性情報に関する条件を満たすと判定する、
請求項１から６のいずれかに記載の利用者集合属性認証装置。
【請求項８】
前記属性情報が、名前と値の組により特徴情報を詳細に表わす情報である要素情報を１つ以上含み、前記属性収集ポリシに含まれる属性情報の生成方法を規定する情報は、属性情報の要素情報の名前と、該属性情報の要素情報の値を固定値あるいは他の属性情報の要素情報あるいは装置の動作環境から取得される時刻情報や位置情報等の情報を元にして算出する規則を定める値確定規則とにより構成され、
前記属性情報生成部は、前記集合属性定義に基づき属性情報を生成する際に、該集合属性定義が規定する属性情報の生成方法に基づき属性情報を生成する、
請求項１から７のいずれかに記載の利用者集合属性認証装置。
【請求項９】
前記装置鍵情報は、公開鍵暗号に基づき生成される鍵対が格納され、前記属性情報、および属性委譲証に含まれる検証情報の生成には、公開鍵暗号による電子署名を用いる、
請求項２から８のいずれかに記載の利用者集合属性認証装置。
【請求項１０】
特徴情報を表わす情報である属性情報種別識別情報と、該特徴情報の主体者を識別する主体者識別情報と、主体者が該特徴情報を持つことを表明する表明者を識別する表明者識別情報と、これら３つの情報を表明者が表明したことを第三者が検証するために用いる情報である検証情報とを含む属性情報を生成する属性情報生成部と、
代理アクセス先に提示すべき属性情報の生成方法を規定する情報である集合属性定義と、該属性情報を生成するにあたって、複数の利用者から委譲を受けるべき属性情報を規定することによって利用者の集合の形成条件を規定する主体者集合定義とによって構成される属性収集ポリシを蓄積管理する収集ポリシ管理部と、
前記代理アクセス要求に対して、前記属性収集ポリシに基づき、複数の利用者から属性情報の委譲を受け、代理アクセス先に提示すべき属性情報を生成し、代理アクセス先からアクセス結果を得るまでの処理を管理する処理状態管理部と、
前記属性収集ポリシに基づいて決定された委譲要対象の属性情報を表わす情報を含む属性委譲要求を生成する委譲要求生成部と、
を備えた利用者集合属性認証装置において、
前記代理アクセス要求の処理状態を表わす状態情報を前記処理状態管理部から取得するステップと、
該状態情報が、利用者が属する集合が形成済みの状態を表わすには、該代理アクセス要求に対応して生成済みの属性情報を代理アクセス先に提示することによって、アクセス結果を得て要求元に返却して処理を完了するステップと、
該処理情報が、該要求元の利用者が特定の集合に属し得ることが確認済みであり、他利用者認証待ちの状態を表わす場合には、要求元に保留を表わす情報を返却して処理を完了するステップと、
該代理アクセス要求に対する状態情報が前記処理状態管理部に未登録であるならば、代理アクセス先にアクセスを行なって、前記属性提示要求を受信した場合には、前記処理状態管理部に状態情報を登録するステップと、
該属性提示要求の要求対象の属性情報を生成し得る属性収集ポリシを前記収集ポリシ管理部から取得して、該属性収集ポリシにより、形成を確認すべき利用者集合を特定して、その判定に必要な利用者から委譲されるべき属性情報を確定し、該属性情報を対象とする属性委譲要求を前記委譲要求生成部により生成して要求元に送信するステップと、
属性情報と、該属性情報を該属性情報の主体者が委譲要求元に対して委譲することを表明する情報である属性委譲証が返却され、該属性情報と該属性委譲証が有効、かつ該属性情報により該要求元の利用者が該属性収集ポリシが規定する利用者集合に属し得ると判定された場合には、該要求元に対応する状態情報を他利用者認証待ちを表わすに設定して前記処理状態管理部に再登録し、要求元に保留を表わす情報を返却して処理を完了するステップと、
該属性収集ポリシが規定する利用者集合の形成の確認が完了した場合には、要求元の利用者と同一の利用者集合に属すと確認されたすべての利用者の状態情報を認証完了を表わす情報に変更した上で、該属性収集ポリシに従って、属性提示要求の要求対象となっている属性情報を生成して、該属性情報をアクセス先に提示することによって結果データを受信して、要求元に返却して処理を完了するステップと、
属性委譲要求に応答しない、あるいは返却された属性情報では、該要求元の利用者が属性収集ポリシが規定する利用者集合に属すと判断できない場合には、要求元に対して、代理アクセス要求が許可できないことを表わす情報を返却して処理を完了するステップと、
を有する利用者集合属性認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットのようなオープンなネットワークにおいて、利用者や装置の集合を対象としたアクセス制御を実現するために、利用者や装置の集合に対する属性認証を行なう、利用者集合属性認証装置および方法に関する。
【背景技術】
【０００２】
現在、リソースに対するアクセス制御を実施するために広く用いられている技術の多くは、想定するアクセスの主体が単一の利用者である。すなわち、一般的に、それらの技術は、あらかじめ利用者に割り当てられたＩＤやロールにより利用者の個体を識別し、その結果に基づいて、利用者単位でリソースの提供可否や提供内容を決定している。
【０００３】
しかしながら、実世界においては、ある資格をもつ利用者が一定人数揃った場合にその利用者集合により同時に利用可能となるサービス（例．４名以上の女性客に対する割引サービス、３名以上のシステム管理者により入室可能となるセキュリティルーム、等）や相互に関係を持つ複数の利用者が揃う場合に利用可能となるサービス（例．親子・夫婦限定サービス、等）のように、利用者の集合を対象とするアクセス制御も存在する。
【０００４】
従来技術により、このようなアクセス制御を実施するためには、（１）利用者からのアクセスに際して、利用者を個体に認証した上で、アクセス制御対象として想定する利用者集合に属し得ることを確認する、（２）認証の進捗度合を管理しながら、利用者集合を構成する利用者が十分に揃うまで（認証が完了するまで）（１）を繰り返す、（３）利用者集合が正しく確認され次第、集合を成す利用者全体に対するアクセス制御の判定結果を確定させる。
【０００５】
この方法では、検証者自身が、あらかじめアクセス制御の対象とする利用者の集合の定義、および集合を構成する各利用者を認証するためのＩＤや利用者情報を、事前に検証者自身が十分に認知し、管理しておく必要がある。あるいは、利用者情報を検証者と密接な連携関係を持つ第三者から入手し、入手した情報の信頼性を確認することが不要または容易である必要がある。
【０００６】
このことから、従来の技術は、イントラネットなどの変化の少ない、閉域なネットワークにおけるシステム、あるいは、あらかじめユーザ集合を厳密に検証者自身が管理することが容易なシステムに対しては有効であると考えられる。
【０００７】
なお、先行技術文献に該当する文献は存在を特許出願時に知りえていない。従来の技術内容を記載した特許文献を探し当たることができなかった。検索した技術範囲などは、以下のとおりである。
◇検索対象：平成５年以降の出願公開公報および平成６年以降の特許公報
◇検索方法：下記の検索式で全文検索
◇検索式
（ＦＷ＝属性｜特徴）
ＡＮＤ（ＦＷ＝証明書）
ＡＮＤ（グループ｜利用者集合｜複数の利用者｜利用者グループ｜複数のユーザ｜ユーザグループ｜ユーザのグループ）
ＡＮＤ（ＦＷ＝属性の発行｜属性証の発行｜属性証明書の発行｜属性の変換｜属性認証｜属性の認証）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
インターネットは社会インフラとなりつつあり、今後、サービス提供者もその利用者も、多様性が増し、その数も増大すると予想される。すなわち、利用者側にとっては利用可能なサービス提供者の集合が、また、サービス提供者にとっては提供対象となり得る利用者の集合が、日々刻々と変動することになる。
【０００９】
これは、従来技術が想定している利用者、検証者、利用者情報を管理する第三者の存在や関係が固定的な状況には似合わない。
【００１０】
すなわち、このような状況に対しては、従来技術によって、サービス提供者が利用者の集合を対象としたアクセス制御を実施する場合、以下の問題が生じてしまう。
【００１１】
第１に、サービス提供者は、不特定多数の利用者によって構成される利用者集合を自ら管理することは、将来訪れる利用者をあらかじめ予測しきれない以上、利用者の増加によって集合の登録や変動に合わせた更新等の負担が増大し、スケーラビリティの確保が困難となる。
【００１２】
第２に、サービス提供者が、自ら利用者情報を管理する方式では、粗な関係にあるサービス提供者間において、利用者の集合を対象としたアクセス制御のポリシを共有できず、利用者は、サービス提供者ごとに、そのアクセス方法を使い分ける必要性が生じ、サービスの多様性に比例して、利用者の負担も増加してしまう。
【００１３】
第３に、検証者が、信頼し得る第三者に利用者情報の管理を委託する方法を用いても、サービス提供対象となり得るあらゆる利用者の認証に備えて、連携関係を構築しておくことは現実的でない。また、検証者は、第三者から得られる利用者情報を用いることによって、利用者情報の管理負担は軽減されるものの、第三者    各利用者を個々に認証するためのコストは軽減されない。
【００１４】
以上のように、インターネットのようなオープンなネットワークにおいては、利用者やサービス提供者の存在が流動的であるため、従来技術では、利用者の集合を対象としたアクセスコントロールを実施することが難しい。
【００１５】
本発明の目的は、利用者の集合に対する属性認証を効率的、かつ安全に行なう利用者集合属性認証装置および方法を提供することにある。
【課題を解決するための手段】
【００１６】
上記目的を達成するために、本発明の利用者集合属性認証装置は、
特徴情報を表わす情報である属性情報種別識別情報と、特徴情報の主体者を識別する主体者識別情報と、主体者が該特徴情報を持つことを表明する表明者を識別する表明者識別情報と、これら３つの情報を表明者が表明したことを第三者が検証するために用いる情報である検証情報と、を含む属性情報を生成する属性情報生成部と、
利用者から代理アクセスの要求に対して、要求に応えるために必要な属性情報の委譲を複数の利用者から受け、委譲された属性情報に基づいて代理アクセス先に提示すべき属性情報を生成して、該属性情報を代理アクセス先に提示することによって、アクセス結果を取得して、代理アクセス要求元の各利用者に該アクセス結果を返却する制御部と、
代理アクセス先に提示すべき属性情報の生成方法を規定する情報である集合属性定義と、該属性情報を生成するにあたって、複数の利用者から委譲を受けるべき属性情報を規定することによって利用者の集合の形成条件を規定する主体者集合定義とによって構成される属性収集ポリシを蓄積管理する収集ポリシ管理部と、
前記代理アクセス要求に対して、前記属性収集ポリシに基づき、複数の利用者から属性情報の委譲を受け、代理アクセス先に提示すべき属性情報を生成し、代理アクセス先からアクセス結果を得るまでの処理の状態を管理する処理状態管理部と、
前記属性収集ポリシに基づいて決定された委譲要対象の属性を表わす情報を含む属性委譲要求を生成する委譲要求生成部と、
を備え、
前記制御部は、前記代理アクセス要求の処理状態を表わす状態情報を前記処理状態管理部から取得して、
状態情報が、利用者が属する集合が形成済みの状態を表わすには、該代理アクセス要求に対応して生成済みの属性情報を代理アクセス先に提示することによって、アクセス結果を得て要求元に返却して処理を完了し、
該処理情報が、該要求元の利用者が特定の集合に属し得ることが確認済みであり、他利用者認証待ちの状態を表わす場合には、要求元に保留を表わす情報を返却して処理を完了し、
該代理アクセス要求に対する状態情報が処理状態管理部に未登録であるならば、代理アクセス先にアクセスを行なって、前記属性提示要求を受信した場合には、処理状態管理部に状態情報を登録して、
該属性提示要求の要求対象の属性情報を生成し得る属性収集ポリシを収集ポリシ管理部から取得して、該属性収集ポリシにより、形成を確認すべき利用者集合を特定して、その判定に必要な利用者から委譲されるべき属性情報を確定し、該属性情報を対象とする属性委譲要求を前記委譲要求生成部により生成して要求元に送信し、
属性情報と、該属性情報を該属性情報の主体者が委譲要求元に対して委譲することを表明する情報である属性委譲証が返却され、該属性情報と該属性委譲証が有効、かつ該属性情報により該要求元の利用者が該属性収集ポリシが規定する利用者集合に属し得ると判定された場合には、該要求元に対応する状態情報を他利用者認証待ちを表わす設定して前記処理状態管理部に再登録し、要求元に保留を表わす情報を返却して処理を完了し、
該属性収集ポリシが規定する利用者集合の形成の確認が完了した場合には、要求元の利用者と同一の利用者集合に属すと確認されたすべての利用者の状態情報を認証完了を表わす情報に変更した上で、該属性収集ポリシに従って、属性提示要求の要求対象となっている属性情報を生成して、該属性情報をアクセス先に提示することによって結果データを受信して、要求元に返却して処理を完了し、
属性委譲要求に応答しない、あるいは返却された属性情報では、該要求元の利用者が属性収集ポリシが規定する利用者集合に属すと判断できない場合には、要求元に対して、代理アクセス要求が許可できないことを表わす情報を返却して処理を完了する。
【００１７】
本発明は、利用者の集合を対象としたアクセス制御を実現するために、サービス提供者に代わって利用者の集合の属性認証を行ない、また集合を構成する各利用者に代わってサービス提供者の属性認証を受けるエージェントモジュールを導入することにより、利用者の集合に対する属性認証を効率的、かつ安全に実施可能としたものである。
【発明の効果】
【００１８】
［請求項１および１０］
第１に、サービス提供者は、個別の利用者に対するアクセス制御ではなく、利用者の集合を対象としたアクセス制御を実施可能となる。
【００１９】
第２に、サービス提供者は直接利用者を管理する必要がなく、本発明の装置が生成する属性情報のみを対象としてアクセス制御ポリシを設定するのみでよく、利用者側の属性情報の多様性や変動が、サービス提供者側のアクセス制御ポリシに影響を与えづらくなる。これにより、インターネットのようなオープンなネットワークにおいて、不特定多数の利用者を対象とする場合でも効率よくアクセス制御を実施することが可能となる。
【００２０】
第３に、利用者の集合を規定する条件には、属性情報を用いた多様な条件を記述することが可能であり、異なる特徴を持つ多様な利用者の組み合わせで構成される利用者集合を対象とするアクセス制御が可能となる。
【００２１】
［請求項２］
本装置が利用者から属性情報の委譲を受ける際には、利用者のなりすまし、および属性委譲証の不正な再利用を防止することが可能であり、より安全な利用者集合の属性認証が可能となる。
【００２２】
［請求項３］
サービス提供者が、本装置に対して属性情報の提示を要求（利用者集合の形成の確認を要求）する際に、制限時間を指定することが可能である。これにより、長期に渡って利用者集合に対する属性認証を実施した場合に、集合に適合した利用者によっては検証結果に対する信頼性が時間とともに変質してしまい、認証結果の信頼性が低下することに対して対策を講じることが可能となる。また、制限時間を短く設定することで、より実世界におけるグループの形成（人が同時に集ることを認知する）に相当する利用者集合の属性認証が可能になる。
【００２３】
［請求項４］
利用者集合の形成を条件として実施する属性情報の生成処理を、外部の発行装置に委託することができるため、例えば、本発明の装置を複数設置し、属性情報の生成装置を１つないしは少数に集約することにより、サービス提供者が属性情報を検証する際に信頼点の増加を抑えることが可能となり、より柔軟かつ効率的な運用が可能である。
【００２４】
［請求項５］
すでに集合への適合性が判定され、他の利用者の認証待ちの状態にある利用者に対しては、利用者集合が形成（成立）し次第、その旨を通知することが可能であるため、本発明の装置にすべての利用者が同時にアクセスしない場合でも、短時間で利用者は認証完了を認知することができる。
【００２５】
［請求項６］
利用者が本装置に属性情報を委譲する際には、委譲期間を設定することが可能であるため、利用者が自身の属性を必要以上に長期に渡って他者に委譲する必要がない。また、委譲期間を設定することによって集合に参加する利用者は誰でも、集合の成立期間を制御することが可能である。
【００２６】
［請求項７］
利用者集合への適合性を判定する際に用いる属性認証の条件に、種別、表明者、属性の内容の３点から詳細に規定することが可能であるため、より厳密な適合性判定が可能であり、安全なシステムを構築することが可能である。また、属性の内容に対する制約に関しては、条件間に参照関係を設けることが可能であるため、複雑な利用者集合を規定することが可能である。
【００２７】
［請求項８］
属性情報の生成方法を規定するにあたっては、値の確定方法に対して、固定値、属性値、環境値、など多様な情報源を用いた規則を規定することが可能である。
【００２８】
［請求項９］
属性情報出力装置の認証に公開鍵暗号を用いることによって、公開鍵暗号に基づく安全性の高い属性情報出力装置並びに属性情報出力システムを実現することが可能になる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明の実施形態を図面を参照して詳細に説明する。
【００３０】
図１に示すように、本発明による利用者集合属性認証装置１は、制御部１１と、属性情報生成部１２と、収集ポリシ管理部１３と、委譲要求生成部１４と、処理状態管理部１５と、によって構成される。
【００３１】
図２に示すように、属性情報２は、属性情報種別識別情報２１と、主体者識別情報２２と、表明者識別情報２３と、１個以上の要素情報２４と、検証情報２５と、によって構成される。要素情報２４は、名前２４１と値２４２の組により構成される。
【００３２】
図３に示すように、代理アクセス要求３は、アクセス先情報３１と、アクセス識別情報３２と、利用者識別情報３３と、によって構成される。なお、アクセス識別情報３２は、アクセス対象から利用者があらかじめ別の手段で入手し、同一の集合を形成する可能性がある（または希望する）利用者間で共有される情報とする。典型的には、アクセス先のリソース提供サーバ等が利用者に提供する方法がよい。
【００３３】
図４に示すように、属性提示要求４は、１つ以上の属性情報種別識別情報４１によって構成される。
【００３４】
図５に示すように、属性収集ポリシ５は、集合属性定義５１と、１個以上の主体者集合定義５２と、によって構成される。集合属性定義５１は、属性情報種別識別情報５１１と、１個以上の要素定義５１２によって構成される。要素定義５１２は、名前５１２１と、値確定規則５１２２と、によって構成される。主体者集合定義５２は、主体者集合定義識別情報５２１と、１個以上の属性条件５２２と、数量制約５２３と、によって構成される。属性条件５２２は、種別制約５２２１と、表明者制約５２２２と、要素制約５２２３と、によって構成される。
【００３５】
図６に示すように、処理状態管理情報６は、利用者識別情報６１と、アクセス識別情報６２と、状態情報６３と、属性情報群６４と、によって構成される。属性情報群６４は、属性情報６４１と、属性委譲証６４２の組を１個以上含む。
【００３６】
図７に示すように、処理状態共通管理情報７は、アクセス識別情報７１と、アクセス先情報７２と、有効条件７４と、要求属性群７５と、集合属性群７６と、によって構成される。要求属性群７５は、属性情報種別識別情報７５１と、進捗管理情報７５２の組を１個以上含む。集合属性群７６は、属性情報７６１を０個以上含む。
【００３７】
図８に示すように、属性委譲要求８は、委譲要求識別情報８１と、委譲要求者識別情報８２と、１個以上の属性情報種別識別情報８３と、以上の３要素の組の正当性を検証するための状態である検証情報８４によって構成される。
【００３８】
図９に示すように、属性委譲証９は、委譲要求識別情報９１と、属性情報種別識別情報９２と、委譲元識別情報９３と、委譲先識別情報９４と、検証情報９５と、によって構成される。
【００３９】
図１０に示すように、主体者集合定義候補リスト１０は、主体者集合定義識別情報１０１と数量制約１０２の組を０個以上含む。
【００４０】
図１１に示すように、属性情報発行要求１１は、属性情報種別識別情報１１１と、要求者識別情報１１２と、付帯情報１１３と、検証情報１１４と、によって構成される。
【００４１】
図１２に示すように、装置環境情報１２は、装置識別情報１２１と、装置鍵情報１２２と、によって構成される。
【００４２】
制御部１１は、代理アクセス要求３を入力として、処理状態管理部１５により、アクセス識別情報３２と利用者識別情報３３に対応する処理状態管理情報６を取得する。
【００４３】
制御部１１は、取得した処理状態管理情報６の状態情報６３が「他利用者認証待ち」を表わす情報である場合は、保留を表わす情報を要求元に返却して処理を完了し、状態情報６３が「認証完了」を表わす情報である場合は、アクセス識別情報３２に対応する処理状態共通管理情報７に含まれる集合属性群７６のすべての属性情報７６１を代理アクセス先に提示して、その結果として受信したアクセスデータを要求元に返却して処理を完了し、処理状態共通管理情報７が存在しない場合、および処理状態共通管理情報７の有効条件７４が満されない場合は、該処理状態共通管理情報７を削除して、代理アクセス先にアクセスを試みて、その結果がリソースデータであった場合には要求元に返却して処理を完了し、その結果が属性提示要求４を受信した場合は処理状態共通管理情報７を新規に生成して処理状態管理部１５に登録して、属性提示要求４が要求対象とする属性情報２を生成するために満さなければならない利用者の集合に対する属性認証の条件を属性収集ポリシ５から取得して、利用者の集合から収集しなければならない属性情報２を判定して、該属性情報２を対象とする属性委譲要求８を委譲要求生成部１４によって生成して、要求元に送信することによって、属性情報２と属性委譲証９を受信し、受信した属性情報２が属性委譲証９により正しく委譲されたものであることが検証できた場合には、属性情報２により属性収集ポリシ５の評価を実施し、適合する主体者集合定義５２が見つからない場合には、要求元にエラーを返却して処理を完了し、適合する主体者集合定義５２が含まれる場合には、処理状態管理情報６の状態情報６３を他利用者認証待ちを表わす情報に変更し、同一のアクセス識別情報３２に対応するアクセスに属する他の要求者によって属性収集ポリシ５の主体者集合定義５２が完全に満された場合には、属性収集ポリシ５の集合属性定義５１に基づき属性情報生成部１２により属性情報２を生成して、代理アクセス先からの属性提示要求４に対応する属性情報２を生成し終えた場合には、代理アクセス先にすべての属性情報２を提示して、アクセスデータを受信して要求元に返却するとともに、同一のアクセス識別情報に属する処理状態管理情報６の状態情報６３を認証完了を表わす情報に変更して処理を完了し、属性提示要求４に対応する属性情報２を生成し終えていない場合には、保留を表わす情報を要求元に返却して処理を完了する機能を有する。
【００４４】
属性情報生成部１２は、制御部１１からの属性収集ポリシ５の集合属性定義５１の入力を受けて、属性情報２を生成する機能を有する。
【００４５】
収集ポリシ管理部１３は、属性収集ポリシを蓄積し、属性情報種別識別情報５１１を入力として、対応する属性収集ポリシを呼出し元に返却する機能を有する。
【００４６】
委譲要求生成部１４は、アクセス識別情報３２を入力として、アクセス識別情報に対応する属性収集ポリシに従って、属性委譲要求８を生成して呼出し元に返却する機能を有する。
【００４７】
処理状態管理部１５は、処理状態管理情報６と処理状態共通管理情報７を蓄積し、利用者識別情報３３とアクセス識別情報３２を入力として処理状態管理情報６を返却し、アクセス識別情報３２を入力として処理状態共通管理情報７を返却する機能を有する。
【００４８】
［第１の実施形態］
以下では、図１３、図１４を元に、本発明の利用者集合属性認証装置１が、代理アクセス要求３を受け付けた場合の制御部１１の処理内容について説明する。以下、特に明記しなければ主語は制御部１１である。
【００４９】
ステップＳ１０１：  代理アクセス要求３を受け付け、アクセス先情報３１と、アクセス識別情報３２と、利用者識別情報３３を抽出する。
【００５０】
ステップＳ１０２：  利用者識別情報３３とアクセス識別情報３２に対応する処理状態管理情報６を処理状態管理部１５から取得する。
【００５１】
ステップＳ１０３：  処理状態管理情報６の取得が成功の場合はステップＳ１０４に進み、失敗の場合はＳ１０８に進む。
【００５２】
ステップＳ１０４：  処理状態管理情報６の状態情報６３が「他利用者認証待ち」を表わす情報ならば、ステップＳ１０５に進み、そうでなければＳ１０６に進む。
【００５３】
ステップＳ１０５：  要求元に「保留」を表わす情報を返却して、終了する。
【００５４】
ステップＳ１０６：  処理状態管理部１５から処理状態共通管理情報７を取得し、該処理状態共通管理情報７のアクセス先情報７２が表わす対象に、集合属性群７６に含まれるすべての集合属性７６１を提示することによって、アクセス対象のデータを取得する。
【００５５】
ステップＳ１０７：  ステップＳ１０６で取得したデータを要求元に返却して、終了する。
【００５６】
ステップＳ１０８：  代理アクセス要求３のアクセス識別情報３２に対応する処理状態共通管理情報７を処理状態管理部１５から取得する。
【００５７】
ステップＳ１０９：  処理状態共通管理情報７の取得に成功した場合はステップＳ１１９に進み、失敗した場合はステップＳ１１０に進む。
【００５８】
ステップＳ１１０：  代理アクセス要求３のアクセス先情報３１が表わす対象にアクセスしてアクセスの結果情報を取得する。
【００５９】
ステップＳ１１１：  ステップＳ１１０で取得した結果情報が属性提示要求４の場合はステップＳ１１２に進み、リソースデータ等のアクセス要求対象のデータである場合はステップＳ１０７に進む。
【００６０】
ステップＳ１１２：  アクセス識別情報７１にはアクセス先情報３１の内容を持ち、アクセス識別情報７２にはアクセス識別情報３２の内容を持ち、有効条件７４には代理アクセス要求に対する処理を継続する時間的有効期限など（有効期間の始点と終点を指定するなど）の条件を表わす情報を持つ処理状態共通管理情報７を新規に生成して、処理状態管理部１５に登録する。
【００６１】
ステップＳ１１３：  ステップＳ１１２で生成した処理状態共通管理情報７から要求属性群７５を抽出する。
【００６２】
ステップＳ１１４：  ステップＳ１１１で受信した属性提示要求４から属性情報種別識別情報４１を１個取り出す。
【００６３】
ステップＳ１１５：  属性情報種別識別情報４１に対応する属性収集ポリシ５を収集ポリシ管理部１３から取得する。
【００６４】
ステップＳ１１６：  属性収集ポリシ５のすべての主体者集合定義５２から抽出した主体者集合定義識別情報５２１と数量制約５２３を対にして、新規に生成した主体者集合定義候補リスト１０に格納する。
【００６５】
ステップＳ１１７：  ステップＳ１１４で抽出した属性情報種別識別情報４１と、ステップＳ１１６で生成した主体者集合定義候補リスト１０とを対にして、ステップＳ１１３で抽出した要求情報群７５に追加格納する。
【００６６】
ステップＳ１１８：  属性提示要求４に、ステップＳ１１５〜Ｓ１１７の処理がなされていない要素があればステップＳ１１４に戻り、要素がなければステップＳ１２１に進む。
【００６７】
ステップＳ１１９：  ステップＳ１０８で取得した処理状態共通管理情報７の有効条件７４を抽出して評価（時間的有効期限などの有効条件であれば現在時刻を取得して比較し、超過していれば無効と判定）し、有効であれば、ステップＳ１２１に進み、無効であればステップＳ１２０に進む。
【００６８】
ステップＳ１２０：  処理状態共通管理情報７、および処理状態共通管理情報７のアクセス識別情報７１とアクセス識別情報６２が一致するすべての処理状態管理情報６を処理状態管理部１５から削除する。
【００６９】
ステップＳ１２１：  アクセス識別情報３２を委譲要求生成部１４に入力することによって属性委譲要求８を生成する。
【００７０】
ステップＳ１２２：  属性委譲要求８を要求元に送信する。
【００７１】
ステップＳ１２３：  ステップＳ１２２の属性委譲要求８に対して、要求元から１つ以上の属性情報２とそれと同数の属性委譲証９が返却されたならば、属性委譲証９の検証情報９５による検証に成功し、属性情報２の主体者識別情報２２と代理アクセス要求３から抽出された利用者識別情報３３とが一致し、かつ属性情報２の属性情報種別識別情報２１と属性委譲証９の属性情報種別識別情報９２とが一致し、かつ属性情報２の主体者識別情報２２と属性委譲証９の委譲元識別情報９３が一致し、属性委譲証９の委譲先識別情報９４が装置環境情報１２の装置識別情報１２１と一致し、属性委譲証９の委譲要求識別情報９１が属性委譲要求８の委譲要求識別情報８１と一致する場合に、ステップＳ１２５に進み、以上にあてはまらない場合はＳ１２４に進む。
【００７２】
ステップＳ１２４：  要求元に代理アクセス要求３に対して、代理アクセスの実施を許可できないことを表わす情報を返却して、終了する。
【００７３】
ステップＳ１２５：  利用者識別情報６１に利用者識別情報３３の内容を持ち、アクセス識別情報６２にアクセス識別情報３２の内容を持ち、状態情報６３は内容を設定せず、属性情報群６５にはステップＳ１２３で受信した属性情報２と属性委譲証９の１つ以上の対を含む処理状態管理情報６を生成して、処理状態管理部１５に登録し、ステップＳ２０１に進む。
【００７４】
ステップＳ２０１：  アクセス識別情報３２と利用者識別情報３３に対応する処理状態管理情報６と処理状態共通管理情報７を処理状態管理部１５から取得する。
【００７５】
ステップＳ２０２：  処理状態共通管理情報７の要求属性群７５から対を１つ抽出する。
【００７６】
ステップＳ２０３：  ステップＳ２０２で抽出した対の第一要素から属性情報種別識別情報７５１を抽出して、これに対応する属性収集ポリシ５を収集ポリシ管理部１３から取得する。
【００７７】
ステップＳ２０４：  ステップＳ２０２で抽出した対の第二要素の進捗管理情報７５２を抽出して、主体者集合定義候補リスト１０を抽出する。
【００７８】
ステップＳ２０５：  主体者集合定義候補リスト１０から対を１つ抽出する。
【００７９】
ステップＳ２０６：  ステップＳ２０５で抽出した対の第一要素から主体者集合定義識別情報１０１を抽出する。
【００８０】
ステップＳ２０７：  ステップＳ２０６で抽出した主体者集合定義識別情報１０１に対応する主体者集合定義５２を、ステップＳ２０３で取得した属性収集ポリシ５から抽出する。
【００８１】
ステップＳ２０８：  主体者集合定義５２から抽出したすべての属性条件５２２を、Ｓ２０１で取得した処理状態管理情報６の属性情報群６４に含まれる属性情報６４１により評価する。
【００８２】
ステップＳ２０９：  すべての属性条件５２２が満された場合にはステップＳ２１３に進み、満されないものが存在する場合にはステップＳ２１０に進む。
【００８３】
ステップＳ２１０：  ステップＳ２０４で抽出した主体者集合定義候補リスト１０に未検証の要素があればステップＳ２０５に戻り、なければステップＳ２１１に進む。
【００８４】
ステップＳ２１１：  処理状態共通管理情報７の要求属性群７５に未検証の要素があればステップＳ２０２に戻り、なければステップＳ２１２に進む。
【００８５】
ステップＳ２１２：  要求元に代理アクセス要求３に対して、代理アクセスの実施を許可できないことを表わす情報を返却して、終了する。
【００８６】
ステップＳ２１３：  ステップＳ２０５で抽出した対の第二要素から数量制約１０２を抽出して評価する、例えば、数量制約１０２としては当該主体者集合定義に適合する要求者（利用者）の人数を限定する条件などが考えられる。
【００８７】
ステップＳ２１４：  ステップＳ２１３の結果、数量制約１０２が満了した場合（例えば、残り１人の適合対象者となった場合など）は、ステップＳ２１８に進み、満了していない場合はステップＳ２１５に進む。
【００８８】
ステップＳ２１５：  数量制約１０２を更新（例えば人数を減じるなど）して、ステップＳ２０５で抽出した対の第二要素に格納し直し、それを含む主体者集合定義候補リスト１０をステップＳ２０２で抽出した対の第二要素の進捗管理情報７５２に格納し直す。
【００８９】
ステップＳ２１６：  ステップＳ２０１で取得した処理状態管理情報６の状態情報６３に「他利用者認証待ち」を表わす情報を設定する。
【００９０】
ステップＳ２１７：  要求元に「保留」を表わす情報を返却して、終了する。
【００９１】
ステップＳ２１８：  ステップＳ２１３で評価した数量制約１０２を含むステップＳ２０５で抽出した対を、それを含む主体者集合定義候補リスト１０から削除して、ステップＳ２０２で抽出した対の第二要素の進捗管理情報７５２に格納し直す。
【００９２】
ステップＳ２１９：  ステップＳ２０４で抽出した主体者集合定義候補リスト１０の空になった（要素がなくなった）場合はステップＳ２２０に進み、空になっていない場合はステップＳ２１６に進む。
【００９３】
ステップＳ２２０：  ステップＳ２０３で取得した属性収集ポリシ５の集合属性定義５１の属性情報種別識別情報５１１を属性情報種別識別情報２１に持ち、自装置を一意に表わす識別情報（装置環境情報１２の装置鍵情報１２２を元に一方向性ハッシュ関数を用いるなどして生成した一意な値を用いる方法などが考えられる）を主体者識別情報２２と表明者識別情報２３に持ち、集合属性定義５１に基づいて生成した要素情報２４を１つ以上持つ属性情報２を属性情報生成部１２により生成する。
【００９４】
ステップＳ２２１：  ステップＳ２２０で生成した属性情報２を、ステップＳ２０１で取得した処理状態共通管理情報７の集合属性群７６に格納する。
【００９５】
ステップＳ２２２：  ステップＳ２０１で取得した処理状態共通管理情報７の要求属性群７５の進捗管理情報がすべて空になった（要素がなくなった）場合はステップＳ２２３に進み、空になっていない場合はステップＳ２１６に進む。
【００９６】
ステップＳ２２３：  ステップＳ２０１で取得した処理状態共通管理情報７のアクセス識別情報７１とアクセス識別情報６２が一致するすべての処理状態管理情報６を処理状態管理部１５から取得して、その状態情報６３に「認証完了」を表わす情報を設定する。
【００９７】
ステップＳ２２４：  ステップＳ２０１で取得した処理状態共通管理情報７のアクセス先情報７２が示す対象に、処理状態共通管理情報７の集合属性群７６に含まれる属性情報７６１を提示する。
【００９８】
ステップＳ２２５：  アクセス対象からデータを受信して、要求元に返却して、終了する。
【００９９】
以下では、図１５を元に、上記のステップＳ１２１における委譲要求生成部１４の処理内容について説明する。以下、特に明記しなければ主語は委譲要求生成部１４である。
【０１００】
ステップＳ３０１：  アクセス識別情報３２を受け付けて、処理状態管理部１５からアクセス識別情報３２に対応する処理状態共通管理情報７を取得して要求属性群７５を抽出する。
【０１０１】
ステップＳ３０２：  要求属性群７５から対を１つ取り出す。
【０１０２】
ステップＳ３０３：  ステップＳ３０２で取り出した対の第一要素から属性情報種別識別情報７５１を抽出して、これに対応する属性収集ポリシ５を収集ポリシ管理部１３から取得する。
【０１０３】
ステップＳ３０４：  ステップＳ３０２で取り出した対の第二要素から進捗管理情報７５２を抽出して、これに格納された主体者集合定義候補リスト１０を抽出する。
【０１０４】
ステップＳ３０５：  ステップＳ３０４で抽出した主体者集合定義候補リスト１０から対を１つ取り出す。
【０１０５】
ステップＳ３０６：  ステップＳ３０５で取り出した対の第一要素から主体者集合定義識別情報１０１を抽出して、これに対応する主体者集合定義５２を、ステップＳ３０３で取得した属性収集ポリシ５から抽出する。
【０１０６】
ステップＳ３０７：  属性委譲要求８を生成するごとに生成する一意な情報（重複しない十分に大きな乱数など）を委譲要求識別情報８１として含み、装置環境情報１２の装置識別情報１２１を委譲要求者識別情報８２として含み、ステップＳ３０６で抽出した主体者集合定義５２の属性条件５２２の判定に必要な１つ以上の属性情報２の属性情報種別識別情報２１を含む属性委譲要求８を生成する。
【０１０７】
ステップＳ３０８：  ステップＳ３０４で抽出した主体者集合定義候補リスト１０に未処理の要素がある場合はステップＳ３０５に戻り、ない場合はステップＳ３０９に進む。
【０１０８】
ステップＳ３０９：  ステップＳ３０１で抽出した要求属性群７５に未処理の要素がある場合はステップＳ３０２に戻り、ない場合はステップＳ３１０に進む。
【０１０９】
ステップＳ３１０：  ステップＳ３０８までで生成した１つ以上の属性委譲要求８を１つの委譲要求に合成（委譲要求識別情報８１と委譲要求者識別情報８２は共通化して、属性情報種別識別情報８３は重複しない要素により構成）して、呼出し元に返却する。
【０１１０】
［第２の実施形態］
上記の第１の実施形態では、ステップＳ２２０において、自装置が管理する属性収集ポリシ５の集合属性定義５１に基づいて、自装置の属性情報生成部１２により属性情報２を生成している。
【０１１１】
これに対して、第２の実施形態では、集合属性定義５１に発行者アドレス情報５１３を含めることとする。
【０１１２】
ここで、属性情報生成部１２は、第１の実施形態のステップＳ２２０において、該集合属性定義５１に基づき自ら属性情報２を発行するのではなく、該集合属性定義５１に含まれる発行者アドレス情報５１３が示す外部の装置に対して属性情報発行要求１１を送信することによって、属性情報２、または代理アクセス先の装置が解釈可能な属性情報２相当の属性証明データ（Ｘ．５０９属性証明書やＳＡＭＬ属性アサーション等）を取得することとする。
【０１１３】
ただし、属性情報発行要求１１は、図１１に示すように、属性情報種別識別情報１１１と、要求者識別情報１１２と、付帯情報１１３と、検証情報１１４と、によって構成される。属性情報発行要求１１を生成するにあたっては、属性情報種別識別情報１１１には集合属性定義５１の属性情報種別識別情報５１１を設定し、要求者識別情報１１２には装置環境情報１２の装置識別情報１２１を設定し、付帯情報１１３には発行装置ごとに必要に応じて他に発行に必要情報を格納する。検証情報１１４は、属性情報種別識別情報１１１と、要求者識別情報１１２と、付帯情報１１３の組に対して、装置環境情報１２の装置鍵情報１２２により生成した検証用の情報とする（第７の実施形態に示す方法と同様にして、この部分にも公開鍵暗号を適用することよってより高い安全性を確保することが可能である）。
【０１１４】
上記の属性情報発行要求１１を外部の発行装置に対して送信することによって、外部の装置が表明者となる属性情報２を取得して、アクセス先に提示することが可能となる。
【０１１５】
［第３の実施形態］
上記の第１の実施形態では、ステップＳ２２３で処理状態共通管理情報７のアクセス識別情報７１とアクセス識別情報６２が一致するすべての処理状態管理情報６を処理状態管理部１５から取得して、その状態情報６３に「認証完了」を表わす情報を設定している。
【０１１６】
第３の実施形態では、上記の状態情報６３の更新と合わせて、状態情報６３を更新した各処理状態管理情報６の利用者識別情報６１に対応する利用者に対して、状態が変化したことを通知し、再度代理アクセス要求３を送信することを促す。
【０１１７】
利用者に通知する情報の形式はアプリケーションごとに自由な形式を利用することができるが、利用者に通知するにあたって利用者の通信位置を表わすアドレス（メールアドレスやＩＤアドレスやポート番号等）を管理しておくこととする。
【０１１８】
［第４の実施形態］
属性情報２と属性委譲証９に有効期間の情報を含めることとし、いずれも現在日時が有効期間内でなければ無効とみなすこととする。また、属性委譲証９により委譲された属性情報２を元にして、集合属性定義５１に基づく属性情報２の生成を行なう際には、生成する該属性情報２の有効期間には、元となる委譲された属性情報２のすべて有効期間に完全に包含され、かつ各属性情報２に対応する属性委譲証９の有効期間にも完全に包含されるものが設定されるものとする。
【０１１９】
これにより、利用者は、属性情報２を提示することによって集合に参加する際、集合に対する参加期間を自ら定めることが可能となる。
【０１２０】
［第５の実施形態］
属性条件５２２は、属性情報２の属性情報種別識別情報２１に対する制約を表わす種別制約５２２１と、属性情報２の表明者識別情報２３に課す条件を表わす表明者制約５２２２と、属性情報２の要素情報２４の内容に対して課す条件を表わす要素制約５２２３と、で構成されるものとする。
【０１２１】
ここで、制御部１１は、要求元から委譲された属性情報２による属性条件５２２の判定処理において、属性情報２の属性情報種別識別情報２１により種別制約５２２１が満され（例えば、種別制約５２２１に格納された属性情報種別識別情報と一致するなど）、かつ属性情報２の表明者識別情報２３が表明者制約５２２２を満し（例えば、表明者制約５２２２に格納された表明者識別情報と一致し、かつ表明者制約５２２２に格納された検証鍵により属性情報２の検証情報２５に対する検証が成功するなど）、かつ属性情報２の各要素情報２４が要素制約５２２３が規定する条件を満す（例えば、要素制約５２２３に格納された名前と一致する要素情報２４の値が、要素制約５２２３に格納された演算式により算出される結果が真であるなど）場合にのみ、該属性情報は該属性条件を満すと判定することにより、主体者集合定義５２に対する適合条件を詳細に設定することが可能となる。
【０１２２】
また、要素制約５２２３には、別の属性条件５２２（主体者集合定義５２が別でもよい）の要素制約５２２３の条件式を一部参照記述（参照設定）することを可能とし、これにより、属性認証の対象とする属性情報間の関係にも制約を課すことが可能となる。
【０１２３】
［第６の実施形態］
属性情報２の要素情報２４は、要素の名前２４１と値２４２により構成されるものとする。また、属性収集ポリシ５の集合属性定義５１の要素定義５１２は、生成する属性情報２の要素情報２４の名前２４１を指定する名前５１２１と、該要素情報２４の値２４２を、固定値あるいは他の属性情報２（利用者から委譲された属性情報など）の要素情報２４あるいは装置の動作環境から取得される時刻情報や位置情報等の情報を元にして算出する規則を表わす値確定規則５１２２により構成されるものとする。
【０１２４】
ここで、属性情報生成部１２は、集合属性定義５１に基づき属性情報２を生成する際に、該集合属性定義５１に含まれる各要素定義５１２ごとにその名前５１２１と値確定規則５１２２に基づいて算出される値の対により構成される要素情報２４を含む属性情報２を生成することにより、属性収集ポリシ５の集合属性定義５１による属性情報２の生成方法を詳細に規定することが可能となる。
【０１２５】
［第７の実施形態］
制御部１１は、上記の第１の実施形態において、あらかじめ装置が備えている装置環境情報１２の装置鍵情報１２２には、ＲＳＡやＤＳＡに代表される公開鍵暗号に基づきアクセスごとに生成される鍵対（署名鍵と検証鍵）を格納することとする。また、装置識別情報１２１には、該検証鍵に対してＳＨＡ−１やＭＤ５に代表される一方向性ハッシュ関数を用いて生成した情報を用いることとする。
【０１２６】
利用者は、属性委譲証９を生成する際に、検証情報９５以外の要素の組に対して電子署名を生成するために用いる署名鍵とその検証鍵を保持しているものとし、代理アクセス要求３には、格納する利用者識別情報３３には、該検証鍵に一方向性ハッシュ関数を用いて生成した情報を用いることとする。
【０１２７】
委譲要求生成部１４は、第１の実施形態のステップＳ３０７にて、属性委譲要求８の検証情報８３に、属性委譲要求８を構成する要素のうち検証情報８３以外の要素による組に対して、装置鍵情報１２２に含まれる署名鍵により生成された電子署名と、該電子署名と該署名鍵に対応する検証鍵を格納する。
【０１２８】
一方、利用者は、該属性委譲要求８に対して、属性委譲証９を生成するにあたっては、検証情報９５に、検証情報９５以外の要素による組に対して、利用者が保持する署名鍵により生成された電子署名と、該署名鍵に対応する検証鍵を格納する。
【０１２９】
ここで、制御部１１は、第１の実施形態のステップＳ１２３にて、属性委譲証９の検証情報９５によって検証を行なうにあたっては、検証情報９５から署名情報と検証鍵を抽出して該検証鍵によって該署名情報による検証を行なう。
【０１３０】
また、第１の実施形態のステップＳ２２０にて、属性情報２を生成する際、主体者識別情報２２と、表明者識別情報２３には、装置識別情報１２１を用いる。また、検証情報２５には、属性情報種別識別情報２１と主体者識別情報２２と表明者識別情報２３と要素情報２４の組に対して装置鍵情報１２２の署名鍵により生成した電子署名と、該署名鍵に対応する検証鍵を格納する。これにより、属性情報２の提示を受けたアクセス先は、属性情報の正当性を検証することができる。ただし、本装置の運用者とアクセス先の間にはあらかじめ信頼関係を構築しておき、事前に、十分に安全な手段により装置鍵情報１２２の検証鍵をアクセス先に提供しておくことにより、アクセス先は本装置を認証することが可能になる。
【０１３１】
以上により、公開鍵暗号の安全性に基づく利用者集合属性認証装置を実現することが可能となる。
【０１３２】
なお、利用者集合属性認証装置１の機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【図面の簡単な説明】
【０１３３】
【図１】本発明の一実施形態の利用者集合属性認証装置の構成図である。
【図２】属性情報の構成を示す図である。
【図３】代理アクセス要求の構成を示す図である。
【図４】属性提示要求の構成を示す図である。
【図５】属性収集ポリシの構成を示す図である。
【図６】処理状態管理情報の構成を示す図である。
【図７】処理状態共通管理情報の構成を示す図である。
【図８】属性委譲要求の構成を示す図である。
【図９】属性委譲証の構成を示す図である。
【図１０】主体者集合定義候補リストの構成を示す図である。
【図１１】属性情報発行要求の構成を示す図である。
【図１２】装置環境情報の構成を示す図である。
【図１３】制御部１１の処理を示すフローチャート（前半）である。
【図１４】制御部１１の処理を示すフローチャート（後半）である。
【図１５】委譲要求生成部１４の処理を示すフローチャートである。
【符号の説明】
【０１３４】
１    利用者集合属性認証装置
１１  制御部
１２  属性情報生成部
１３  収集ポリシ管理部
１４  委譲要求生成部
１５  処理状態管理部
２    属性情報
２１    属性情報種別識別情報
２２    主体者識別情報
２３    表明者識別情報
２４    要素情報
２４１    名前
２４２    値
２５    検証情報
３    代理アクセス要求
３１    アクセス先情報
３２    アクセス識別情報
３３    利用者識別情報
４    属性提示要求
４１    属性情報種別識別情報
５    属性収集ポリシ
５１    集合属性定義
５１１    属性情報種別識別情報
５１２    要素定義
５１２１    名前
５１２２    値確定規則
５２    主体者集合定義
５２１    主体者集合定義識別情報
５２２    属性条件
５２２１    種別制約
５２２２    表明者制約
５２２３    要素制約
５２３    数量制約
６    処理状態管理情報
６１    利用者識別情報
６２    アクセス識別情報
６３    状態情報
６４    属性情報群
６４１    属性情報
６４２    属性委譲証
７    処理状態共通管理情報
７１    アクセス識別情報
７２    アクセス先情報
７４    有効条件
７５    要求属性群
７５１    属性情報種別識別情報
７５２    進捗管理情報
７６    集合属性群
７６１    属性情報
８    属性委譲要求
８１    委譲要求識別情報
８２    委譲要求者識別情報
８３    属性情報種別識別情報
８４    検証情報
９    属性委譲証
９１    委譲要求識別情報
９２    属性情報種別識別情報
９３    委譲元識別情報
９４    委譲先識別情報
９５    検証情報
１０    主体者集合定義候補リスト
１０１    主体者集合定義識別情報
１０２    数量制約
１１    属性情報発行要求
１１１    属性情報種別識別情報
１１２    要求者識別情報
１１３    付帯情報
１１４    検証情報
１２    装置環境情報
１２１    装置識別情報
１２２    装置鍵情報
Ｓ１０１〜１２５，Ｓ２０１〜２２５，Ｓ３０１〜３１０    ステップ
【図１】
2005339166.tif 000003
【図２】
2005339166.tif 000004
【図３】
2005339166.tif 000005
【図４】
2005339166.tif 000006
【図５】
2005339166.tif 000007
【図６】
2005339166.tif 000008
【図７】
2005339166.tif 000009
【図８】
2005339166.tif 000010
【図９】
2005339166.tif 000011
【図１０】
2005339166.tif 000012
【図１１】
2005339166.tif 000013
【図１２】
2005339166.tif 000014
【図１３】
2005339166.tif 000015
【図１４】
2005339166.tif 000016
【図１５】
2005339166.tif 000017