(57)【要約】【課題】  認証処理に必要な証明書をグループ毎に仕分けして更新履歴に基づいて管理し、認証処理の要求時に応じて有効な証明書を選択して提供する。【解決手段】  認証情報保管装置１と、認証を受けるＳＳＬクライアント２と、ＳＳＬクライアント２を証明書に基づいて認証するＳＳＬサーバＸ３と、を備える。ＳＳＬサーバＸ３が認証のための認証局をＳＳＬクライアント２に対して指定する。次に、ＳＳＬクライアント２は認証情報保管装置１に保存された対応情報（Ｘ→Ａ）に基づいて仕分けグルーピングＡに仕分けされた証明書Ａ’を選択する。次に、仕分けグルーピングＡにおいて有効な証明書Ａ’は、ＳＳＬクライアント２の要求に応じてＳＳＬサーバＸ３へ提供される。【選択図】      図１
2007104044.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上における認証に必要な証明書を提供するための認証情報提供システムにおいて、
認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存する認証情報管理手段と、
認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存する対応情報管理手段と、
認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するための証明書提供手段と、
を備えることを特徴とする認証情報提供システム。
【請求項２】
前記グループは、
認証に必要な証明書を発行する証明書発行機関によって生成され、証明書の発行時および更新時に伴って認証情報管理手段に保存されることを特徴とする認証情報提供システム。
【請求項３】
前記グループは、
証明書の拡張領域の証明書ポリシー情報、証明書登録局情報、認証局情報、証明書のプロファイル情報、のうちのいずれか一つ以上に基づいて決定されることを特徴とする請求項２に記載の認証情報提供システム。
【請求項４】
前記証明書提供手段は、
特定したグループに証明書が複数保存されている場合に、
有効期間内か否か、失効か否か、有効期限日が最も未来であるか否か、のうちのいずれか一つ以上に基づいて証明書を選択することを特徴とする請求項１〜３のうちのいずれかに記載の認証情報提供システム。
【請求項５】
ネットワーク上における認証に必要な証明書を提供するための認証情報提供方法において、
認証情報管理手段によって、認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存するステップと、
対応情報管理手段によって、認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存するステップと、
証明書提供手段によって、認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するステップと、
を有することを特徴とする認証情報提供方法。
【請求項６】
ネットワーク上における認証に必要な証明書を提供するためのコンピュータが読み取り可能な認証情報提供プログラムにおいて、
認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存する認証情報管理手段と、
認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存する対応情報管理手段と、
認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するための証明書提供手段と、
して前記コンピュータを機能させることを特徴とする認証情報提供プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証処理に必要な証明書を選択して提供するための認証情報提供システムおよび方法、プログラムに関する。
【背景技術】
【０００２】
従来より、ＳＳＬクライアント認証時等のクライアント証明書の選択については、ＳＳＬサーバ側から提示される認証局名指定によるクライアント側での絞り込みが実現されている（非特許文献１参照）。
【０００３】
図９に、こうした従来の構成におけるクライアント証明書の選択処理を説明するための説明図を示す。認証情報保管装置５０には認証情報として認証局Ａが発行した「証明書Ａ」や認証局Ｂが発行した「証明書Ｂ」が保管されている。認証においてＳＳＬサーバＸ５２から認証局Ａを指定すると、ＳＳＬクライアント５１は認証情報補完装置５０の中から「証明書Ａ」を選択して取得し、ＳＳＬサーバＸ５２へ自動送信している。
【０００４】
しかしながら図９の説明図に示した選択処理では、候補となる証明書が複数存在する場合、たとえば認証局Ａから発行された図示しない証明書Ａ’が存在する場合は、ＳＳＬクライアント５１側で「証明書Ａ」と「証明書Ａ’」のいずれかの選択を求めるための選択画面が表示される。また、ブラウザソフトの種類によってはこの選択は記憶されないので、ＳＳＬサーバによる認証処理が実行されるたびに選択画面が表示される。
【０００５】
一方、複数認証情報の選択情報記憶と自動入力については、ＩＤ／パスワードを用いて証明書を選択処理する方法が提案されている（特許文献１参照）。
【０００６】
この方法について図１０に説明図を示す。サーバＸ６２からＩＤ／パスワードの入力が認証画面Ｘ６１にて要求されると、認証画面Ｘ６１が表示され、認証情報保管装置６０に格納された「認証情報Ａ、ＩＤ：１２３４、Ｐａｓｓ：ａｂ４ｆｅ」が認証画面Ｘ６１に入力される。
【特許文献１】特許第３５２０２６４号
【非特許文献１】ＲＦＣ２２４６：  Ｔｈｅ  ＴＬＳ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ  １．０、Ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｓｏｃｉｅｔｙ  （１９９９）
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上述した従来の技術による認証情報の選択処理では、たとえば図９と図１０にそれぞれ示した選択処理方法を互いに組合わせた場合においても認証情報の選択操作が必要となる。図９と図１０を組合わせてなる図１１に示す構成では、認証情報保管装置７０に格納された公開鍵証明書「証明書Ａ」の更新時において、旧い証明書「証明書Ａ」はいずれ有効期限切れ等により使用不能となり、新しい証明書「証明書Ａ’」を利用する必要がある。ところが、更新された証明書がどの証明書を更新したものであるかを判定する一般的な方法は確立されていなかった。
【０００８】
すなわち、図１２に示す説明図のように、照明情報保管装置８０に保管された複数の認証用証明書「証明書Ａ」「証明書Ａ’」「証明書Ａ’’」を所有している場合、証明書の更新後にいずれの証明書を利用すべきか自動判定することができない。そのため、改めて利用者に証明書の選択を求めなければならなかった。
【０００９】
本発明は、上記に鑑みてなされたもので、その目的とするところは、認証処理に必要な証明書をグループ毎に仕分けして更新履歴に基づいて管理し、認証処理の要求時に応じて有効な証明書を選択して提供することにある。
【課題を解決するための手段】
【００１０】
請求項１記載の本発明は、ネットワーク上における認証に必要な証明書を提供するための認証情報提供システムにおいて、認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存する認証情報管理手段と、認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存する対応情報管理手段と、認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するための証明書提供手段と、を備える。
【００１１】
また、請求項５記載の本発明は、ネットワーク上における認証に必要な証明書を提供するための認証情報提供方法において、認証情報管理手段によって、認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存するステップと、対応情報管理手段によって、認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存するステップと、証明書提供手段によって、認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するステップと、を有する。
【００１２】
また、請求項６記載の本発明は、ネットワーク上における認証に必要な証明書を提供するためのコンピュータが読み取り可能な認証情報提供プログラムにおいて、認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けして証明書を保存する認証情報管理手段と、認証サーバを特定するための認証サーバ情報とグループとを対応付けして対応情報として保存する対応情報管理手段と、認証サーバからの認証要求に応じて対応情報管理手段に保存された対応情報に基づき認証情報管理手段に保存されたグループを特定し、該グループから有効な証明書を選択して認証サーバへ提供するための証明書提供手段と、して前記コンピュータを機能させる。
【発明の効果】
【００１３】
本発明によれば、認証処理に必要な証明書をグループ毎に仕分けして更新履歴に基づいて管理でき、認証処理の要求時に応じて有効な証明書を選択して提供することができる。
【発明を実施するための最良の形態】
【００１４】
図１には、認証情報提供システムの実施の形態で行う認証情報提供処理の概略を説明するための説明図を示す。
【００１５】
この図１には、認証情報提供システムの実施の形態による認証情報保管装置１と、認証を受けるＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ）クライアント２と、ＳＳＬクライアント２を証明書に基づいて認証するＳＳＬサーバＸ３と、が示されている。認証情報保管装置１には認証に用いる複数の証明書が保存されており、それぞれの証明書を発行した認証局および認証ポリシーに基づいて生成されたグループ毎に仕分けされて、たとえば仕分けグルーピングＡ〜Ｃといったグループ毎に管理されて保存されている。
【００１６】
さらに認証情報保管装置１には仕分けグルーピングＡ〜Ｃにそれぞれ対応するＳＳＬサーバとの対応情報も保存されている。たとえば、図１において対応情報はＳＳＬサーバＸ３に対して仕分けグルーピングＡが対応付けされている。同様に、図示しないＳＳＬサーバＹに対して仕分けグルーピングＢが対応付けされ、ＳＳＬサーバＺに対して仕分けグルーピングＣが対応付けされている。
【００１７】
この図１の構成において、（１）ＳＳＬサーバＸ３が認証のための認証局をＳＳＬクライアント２に対して指定する。次に、（２）ＳＳＬクライアント２は認証情報保管装置１に保存された対応情報（Ｘ→Ａ）に基づいて仕分けグルーピングＡに仕分けされた証明書Ａ’を選択する。
【００１８】
なお、仕分けグルーピングＡにはたとえば２通の証明書Ａと証明書Ａ’とが保存されている。ここで、証明書Ａの有効期限が切れて無効な場合には無効であることを示すフラグが付与され、ＳＳＬクライアント２からの証明書の要求に対してこの証明書Ａが提供されることは無い。すなわち、認証の要求時において有効な唯一の証明書のみがＳＳＬクライアント２からの要求に応じて提供される。認証情報保管装置１（仕分けグルーピングＡ）は図示しない証明書発行機関サーバと接続しており、証明書の更新情報を受けて常に最新の有効な証明書をＳＳＬクライアント２の要求に応えて提供できるように履歴管理している。そして、（３）仕分けグルーピングＡにおいて有効な証明書Ａ’は、ＳＳＬクライアント２の要求に応じてＳＳＬサーバＸ３へ提供される。
【００１９】
このように証明書更新を行う図示しない証明書発行サーバ側では、その証明書発行サーバが証明書の発行管理を実施しているならば、どの証明書をどの証明書に更新したかといった履歴情報は管理されている。あるいは、履歴管理が貧弱であったとしても、たとえば同一のＣＡ（認証局：Ｃｅｒｔｉｆｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｔｙ）またはＲＡ（登録局：Ｒｅｇｉｓｔｒａｔｉｏｎ  Ａｕｔｈｏｒｉｔｙ）を使用して発行した証明書は同一の仕分けグルーピングとし、同一証明書ポリシーの場合は同一の仕分けグルーピングとしている。
【００２０】
そして、証明書発行サーバ側で仕分けグルーピングを制御している携帯装置発行機関などで鍵・証明書を管理する際には、仕分けグルーピング（ＩＤ）を共に管理し、クライアント側に送信する際に仕分けグルーピングＩＤも送信する。こうすることによりクライアント側の認証情報保管装置で仕分けグルーピングＩＤを証明書と共に保存している。
【００２１】
次の図２には、認証情報提供システムの実施の形態の概略構成を説明するための構成図を示す。
【００２２】
この図２には、証明書発行機関サーバ１０と、クライアントＰＣ２０と、ＳＳＬサーバ３０と、が示されている。そして、証明書発行機関サーバ１０には鍵・証明書ＤＢ（データベース）１２と、通信処理部１１と、が備わる。クライアントＰＣ２０には、通信処理部２１と、認証情報ＤＢ２２と、認証情報対応ファイル２３と、認証情報自動入力処理２４と、認証情報登録処理２５と、ブラウザソフト（ＳＳＬクライアント）２６と、証明書選択画面２７と、ＯＳ証明書ＤＢ２８と、が示されている。
【００２３】
このような構成において、証明書発行機関サーバ１０が備える鍵・証明書ＤＢ１２は図３に示す構成の鍵・証明書データベース５を保存している。この鍵・証明書データベース５には「仕分けグルーピングＩＤ（１）」、「仕分けグルーピングＩＤ（２）」という拡張情報が公開鍵証明書ＩＤ（１）と公開鍵証明書ＩＤ（２）とにそれぞれ対応して付与されている。この拡張情報を付与することにより、公開鍵証明書（証明書）ごとに仕分けグルーピングＩＤを持たせている。ここで付与する仕分けグルーピングＩＤは証明書の発行に使用した認証局や登録局、証明書ポリシーによってその内容が決定されている。
【００２４】
すなわち、同じ仕分けグルーピングに属するということは、基本的に用途が同じ証明書であることを意味している。たとえば、特定の銀行認証用に用いる場合等である。なお、基本的に証明書を更新する際には、ある仕分けグルーピングに属する証明書に対してその内容を更新する証明書が発行される。
【００２５】
また、クライアントＰＣ２０が備える認証情報２２は図４に示すレコード６を有している。このレコード６の内容に基づいて複数の仕分けグルーピングが管理されている。
【００２６】
また、クライアントＰＣ２０が備える認証情報対応ファイル２３は図５に示すレコード７を有している。このレコード７の内容に基づいて、複数の対応関係が管理されている。
【００２７】
次に、図６に示すフロー図に基づいて証明書送信処理の流れを説明する。
【００２８】
まず、Ｓ１にて、あらかじめ仕分けグルーピングＩＤの発行を受けておく。
【００２９】
次に、Ｓ２にて、通信処理部１１は鍵・証明書ＤＢ１２から公開鍵証明書と秘密鍵と仕分けグルーピングＩＤを取り出す。
【００３０】
次に、Ｓ３にて、通信処理部１１は公開鍵証明書／秘密鍵／仕分けグルーピングＩＤを通信処理部２１へ送信する。
【００３１】
次に、Ｓ４にて、通信処理部２１は公開鍵証明書／秘密鍵／仕分けグルーピングＩＤを認証情報ＤＢ２２へ保存する。
【００３２】
次に、Ｓ５にて、通信処理部２１は公開鍵証明書をＯＳ証明書ＤＢ２８へ登録して、処理が終了する。このようにＳ１〜Ｓ５の証明書発行フェーズが複数の異なる公開鍵証明書に対して実行されることによって、複数の仕分けグルーピングの複数の証明書が認証情報ＤＢ２２へ格納される。
【００３３】
次に、図７に示すフロー図に基づいて認証情報対応ファイルに対応関係が存在しない場合のＳＳＬ認証処理の流れを説明する。
【００３４】
まず、ＳＳＬクライアント認証が開始される。次に、Ｓ１０にて、ＳＳＬサーバ３０はブラウザソフト２８へクライアント証明書を要求する。
【００３５】
次に、Ｓ１１にて、ブラウザソフト２６はＯＳ証明書ＤＢ２８から候補となる証明書を検索する。ここで候補が複数あったとすると、証明書選択画面２７が表示される。
【００３６】
次に、Ｓ１２にて、ブラウザソフト２８を利用している図示しない利用者は証明書選択画面２７にて証明書を選択する。
【００３７】
次に、Ｓ１３において、認証情報登録処理２５が利用者の選択を検出し、選択された証明書で認証情報ＤＢ２２を検索して仕分けグルーピングＩＤを取得し、ブラウザソフト２６から取得したＳＳＬサーバ情報（ＵＲＬ）と仕分けグルーピングＩＤとの対応関係をメモリ上に一時記憶しておく。
【００３８】
次に、Ｓ１４にて、ブラウザソフト２６は選択された証明書でＳＳＬクライアント認証処理を行う。
【００３９】
次に、Ｓ１５にて、認証情報登録処理２５はブラウザソフト２６を監視し、ＳＳＬクライアント認証が成功したことを検出した場合に、メモリ上に一時保存しておいた対応情報を認証情報対応ファイル２３に保存して終了する。このようにして認証情報の対応関係が保存される。
【００４０】
次に、図８に示すフロー図に基づいて同じＳＳＬサーバに対してＳＳＬ認証処理を実行した場合の処理の流れを説明する。
【００４１】
まず、ＳＳＬクライアント認証が開始される。次に、Ｓ２０にて、ＳＳＬサーバ３０はブラウザソフトへクライアント証明書を要求する。
【００４２】
次に、Ｓ２１にて、ブラウザソフト２６はＯＳ証明書ＤＢ２８から候補となる証明書を検索する。ここで候補が複数あったとすると、証明書選択画面２７が表示される。
【００４３】
次に、Ｓ２２にて、認証情報自動入力処理２４は証明書選択画面２７およびブラウザソフト２６を検出し、ブラウザソフト２６からＳＳＬサーバ情報（ＵＲＬ）を取得する。
【００４４】
次に、Ｓ２３にて、認証情報自動入力処理２４は認証情報対応ファイル２３を検索し、ＳＳＬサーバ情報に対応する仕分けグルーピングＩＤを取得する。
【００４５】
次に、Ｓ２４にて、認証情報自動入力処理２４は上記で得た仕分けグルーピングＩＤで認証情報ＤＢ２２を検索し、現在有効で最新の公開鍵証明書／秘密鍵のペア群を得る。
【００４６】
次に、Ｓ２５にて、認証情報自動入力処理２４はＳ２４における公開鍵証明書／秘密鍵のペア群のうち、現在有効なものの中で最も有効期限が未来のものを選択する。
【００４７】
次に、Ｓ２６にて、認証情報自動入力処理２４はＳ２５にて選択した公開鍵証明書を、証明書選択画面２７から自動選択する。
【００４８】
次に、Ｓ２７にて、ブラウザソフト２６は選択された証明書でＳＳＬクライアント認証を行い、処理が終了する。このように、一度選択された証明書は二度目以降は自動的に選択されることになる。さらに証明書発行フェーズによって証明書が発行された後も、Ｓ２５の処理によって特別な操作を要することなく新しい証明書が選択される点に特徴を有している。
【００４９】
なお、証明書情報ＤＢ２２は一般のＰＣのハードディスク上に構成可能であり、またこれに限定されることなくＩＣカードや携帯電話等の携帯情報端末にも適用することができる。
【００５０】
また、本実施の形態の構成は、複数の証明書を所有する場合の一般的な証明書更新管理に適用可能であり、同一の仕分けグルーピングにおける旧い証明書を特別な操作を要することなく削除したり、あるいは認証以外の用途への応用、たとえばディジタル署名に使用する証明書の選択に適用してもよい。
【００５１】
以上説明した実施の形態によれば、認証処理に必要な証明書をグループ毎に仕分けして更新履歴に基づいて管理でき、認証処理の要求時に応じて有効な証明書を選択して提供することができる。
【図面の簡単な説明】
【００５２】
【図１】認証情報提供システムの実施の形態で行う認証情報提供処理の概略を説明するための説明図を示す。
【図２】認証情報提供システムの実施の形態の概略構成を説明するための構成図を示す。
【図３】鍵・証明書データベースの一例を示す。
【図４】クライアントＰＣが備える認証情報の一例を示す。
【図５】クライアントＰＣが備える認証情報対応ファイルの一例を示す。
【図６】証明書送信処理の流れを説明するためのフロー図を示す。
【図７】認証情報対応ファイルに対応関係が存在しない場合のＳＳＬ認証処理の流れを説明するためのフロー図を示す。
【図８】同じＳＳＬサーバに対してＳＳＬ認証処理を実行した場合の処理の流れを説明するためのフロー図を示す。
【図９】従来の構成におけるクライアント証明書の選択処理を説明するための説明図を示す。
【図１０】従来におけるＩＤ／パスワードを用いて証明書を選択処理する方法の説明図を示す。
【図１１】図９と図１０にそれぞれ示した選択処理方法を互いに組合わせた場合の説明図を示す。
【図１２】従来における照明情報保管装置において、複数の認証用証明書を所有している場合を示す。
【符号の説明】
【００５３】
１  認証情報保管装置
２  ＳＳＬクライアント
３  ＳＳＬサーバＸ
１０  証明書発行機関サーバ
１１  通信処理部
１２  鍵・証明書ＤＢ
２０  クライアントＰＣ
２１  通信処理部
２２  認証情報ＤＢ
２３  認証情報対応ファイル
２４  認証情報自動入力処理
２５  認証情報登録処理
２６  ブラウザソフト（ＳＳＬクライアント）
２７  証明書選択画面
３０  ＳＳＬサーバ
【図１】
2007104044.tif 000003
【図２】
2007104044.tif 000004
【図３】
2007104044.tif 000005
【図４】
2007104044.tif 000006
【図５】
2007104044.tif 000007
【図６】
2007104044.tif 000008
【図７】
2007104044.tif 000009
【図８】
2007104044.tif 000010
【図９】
2007104044.tif 000011
【図１０】
2007104044.tif 000012
【図１１】
2007104044.tif 000013
【図１２】
2007104044.tif 000014