(57)【要約】  デバイス（Ｃ）に対して証明書を登録する方法は、マネジメントデバイスにおいてマネジメントアプリケーションを提供するステップと、マネジメントアプリケーションが証明書登録（１１）を必要とするデバイスを発見するステップと、を含み、発見された情報はデバイスの公開鍵を含む。マネジメントアプリケーションは、デバイスの公開鍵を証明書登録サーバ（１３）に転送し、デバイスは、デバイス（１５）に対するセキュアな証明書登録のために、デバイスの公開鍵を前記証明書要求に含むことにより証明書登録サーバに証明書登録を要求する。
2016529769.tif 000002
【特許請求の範囲】
【請求項１】
デバイスに対する証明書を登録する方法であって、
マネジメントデバイス（Ｄ）上にマネジメントアプリケーションを提供するステップであって、前記マネジメントアプリケーションは証明書登録を必要とするデバイス（Ｃ）を発見し（１１）、前記発見の情報は前記デバイスの公開鍵を含む、前記提供するステップと、
前記マネジメントアプリケーションが前記デバイスの公開鍵を証明書登録サーバに転送するステップ（１３）と、
前記デバイスが、前記デバイスに対するセキュアな証明書登録のために、前記デバイスの公開鍵を証明書の要求に含めることにより、前記証明書登録サーバに証明書登録を要求するステップ（１５）と、
を有する、前記方法。
【請求項２】
前記マネジメントデバイスにおいて前記マネジメントアプリケーションをアクティベートするステップと、
前記デバイスに関する前記証明書登録を、前記マネジメントアプリケーションによりアクティベートするステップと、
を有する、請求項１に記載の方法。
【請求項３】
前記デイバスは証明書署名要求（ＣＳＲ）を前記証明書登録サーバに送信し、前記ＣＳＲは前記デバイスの前記公開鍵を含む、請求項１または２に記載の方法。
【請求項４】
前記証明書登録サーバは、前記公開鍵が前記アプリケーションにより前記証明書登録サーバに転送された公開鍵と一致し、前記署名された証明書を前記デバイスに送り返す場合、前記デバイスの前記ＣＳＲに署名し、前記証明書を前記デバイスに提供する、請求項１から３のいずれかに記載の方法。
【請求項５】
前記マネジメントアプリケーションが、前記マネジメントデバイス（Ａ）のキャッシュされた管理者クレデンシャルを使用することにより前記証明書登録サーバ（Ｂ）と通信し、前記証明書登録サーバのディジタル署名されたサーバ証明書を確認することにより前記証明書登録サーバの信頼性を確認するステップを有する、請求項１から４のいずれかに記載の方法。
【請求項６】
前記デバイス（Ｃ）を発見するために、ＤＤＳ（Data Distribution Service for Real-Time Systems）またはＳＳＤＰ（Simple Service Discovery Protocol）を使用するステップを有する、請求項１から５のいずれかに記載の方法。
【請求項７】
前記マネジメントデバイス（Ｄ）が社内ネットワークの管理コンピュータである、請求項１から６のいずれかに記載の方法。
【請求項８】
前記証明書登録サーバは、ＳＣＥＰサーバ（Ｂ）である、請求項１から７のいずれかに記載の方法。
【請求項９】
請求項１から８のいずれかに記載の方法を実行するために、コンピュータ、例えば社内ネットワークのマネジメントコンピュータの動作に適した、マネジメントアプリケーションが記憶された、非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１０】
デバイスに対する証明書を登録する方法であって、
セキュアネットワーク内に配置されたマネジメントデバイス（Ｄ）においてマネジメントアプリケーションをアクティベートするステップ（１０）と、
前記マネジメントアプリケーションが、前記ネットワークに接続するために証明書登録を必要とする前記ネットワーク（Ｃ）の外のデバイスを発見するステップ（１１）であって、前記デバイスは前記デバイスの公開鍵を含む発見の情報を返す、前記ステップと、
前記マネジメントアプリケーションを使用することにより前記デバイスに関する前記証明書登録をアクティベートするステップと、
前記マネジメントアプリケーションがＳＣＥＰサーバ（Ｂ）に接続し、前記デバイスの前記公開鍵を前記ＳＣＥＰサーバに転送するステップ（１３）と、
前記デバイスが証明書署名要求を前記ＳＣＥＰサーバに送信するステップであって、前記証明書署名要求は前記デバイスの前記公開鍵を含む、前記ステップと、
前記ＳＣＥＰサーバが、前記公開鍵が前記アプリケーションにより前記ＳＣＥＰサーバに転送された前記公開鍵と一致し、前記署名された証明書を前記デバイスに送信する場合、前記デバイスの前記証明書署名要求に署名し、前記証明書を前記デバイスに提供するステップ（１６）と、
を有する、前記方法。
【請求項１１】
前記マネジメントアプリケーションは、前記マネジメントデバイス（Ａ）のキャッシュされた管理者クレデンシャルを使用することにより前記サーバ（Ｂ）と通信し、前記ＳＣＥＰサーバのディジタル署名されたサーバ証明書を確認することにより前記ＳＣＥＰサーバの信頼性を確認するステップを有する、請求項１０に記載の方法。
【請求項１２】
前記デバイス（Ｃ）を発見するために、ＤＤＳ（Data Distribution Service for Real-Time Systems）またはＳＳＤＰ（Simple Service Discovery Protocol）を使用するステップを有する、請求項１０または１１に記載の方法。
【請求項１３】
前記マネジメントデバイス（Ｄ）は社内ネットワークの管理コンピュータである、請求項１０から１２のいずれかに記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特にモバイルデバイスなどのネットワークデバイスおよび外部デバイスに関する証明書登録の分野に関する。
【背景技術】
【０００２】
会社などの企業のコンピュータネットワークは、ネットワークのコンピュータがデータ交換できる通信ネットワークである。コンピュータは、例えば、メインフレームコンピュータ、サーバ、パーソナルコンピュータ（ＰＣ）、ラップトップ、タブレットＰＣおよび個人のスマートフォンなど、多くの種類のデバイスが考えられる。コンピュータネットワーク内のコンピュータのセキュリティの確保は、そのため、複雑な問題となり得る。
【０００３】
企業内のコンピュータネットワークのために、ＢＹＯＤ（Bring Your Own Device）ソリューションはＳＣＥＰ（Simple Certificate Enrollment Protocol）に基づく方法を使用することが知られており、ＳＣＥＰは、従業員が例えば、ラップトップやスマートフォンなどの彼らの個人のデバイスをネットワークに接続することも可能にする。ＢＹＯＤは、ＳＣＥＰ基盤を備えた企業ユーザデータベースにリンクする。ＳＣＥＰは、公開鍵基盤（ＰＫＩ）通信プロトコルであって、その現在のバージョンは、インターネットドラフト、バージョンＳＣＥＰ−２３としてインターネットエンジニアリングタスクフォース（ＩＥＴＦ）によって規定される。ＳＣＥＰは、閉環境（close environment）における証明書マネジメントおよび証明書のプロトコルならびに証明書取り消しリストクエリのためのプロトコルを規定する。ＳＣＥＰにより規定されるエンティティタイプは、例えば、クライアントまたはデバイス、ならびに証明機関（ＣＡ）または登録認定機関（ＲＡ）のいずれかであるＳＣＥＰサーバなどのリクエスタである。ＳＣＥＰは、ＣＡおよびＲＡの公開鍵配布および証明書登録をサポートする。
【０００４】
ＳＣＥＰサーバは、デバイスまたはクライアント証明書に署名し、ＳＣＥＰ要求者の妥当性および認証チェックを行い、ＣＡに証明書要求を転送するエンティティである。要求者は、証明書要求を作成することにより証明書登録処理を開始し、認証局にそれを送信する。証明書を自動的に許可することができ、または管理者により手動で許可することができる。フィンガープリントは、全ＣＡ認証において、例えばＳＨＡ−１ハッシュ値などのハッシュ値を計算することにより作成される。ＳＣＥＰは、社内ネットワーク管理者により特に使用されて、それらを管理（manage）するデバイスに証明書を登録する。これは、ＳＣＥＰの背後にある独自の発想である。一度証明書が利用可能になると、デバイスは他のデバイスとの接続および社内ネットワークのサービスを設定することができる。
【０００５】
標準ＳＣＥＰ証明書登録は、図１により詳細に記載される。要求者、例えば、会社の管理者Ａは、ＳＣＥＰサーバＢにログインし、証明書要求を送信することによりデバイスＣに関して登録プロセスをアクティベートする（ステップ１）。管理者は、このプロセスのために社内ネットワーク内の管理コンピュータまたは他のコンピュータ、管理者デバイスＤを使用することができる。デバイスＣは、例えば会社の従業員のスマートフォンである。ＳＣＥＰサーバＢは、デバイスＣのためのＣＡ証明書を提供し、ＳＣＥＰサーバＢは、ＣＡ証明書のパスワード、ワンタイムコード（ＯＴＣ）およびフィンガープリントも生成し、フィンガープリントおよびＯＴＣを管理者Ａに送信する（ステップ２）。
【０００６】
ＯＴＣを受信した後、管理者ＡはデバイスＣにログインし、ＯＴＣをデバイスＣに提供することによりデバイスＣの登録プロセスを開始する（ステップ３）。デバイスＣはイーサネット（登録商標）を介してまたはＷｉ−Ｆｉを介して社内ネットワークに接続される。管理者は、デバイスＣの証明書署名要求（ＣＳＲ）を生成し、それをＯＴＣと共にＳＣＥＰサーバＢに送る（ステップ４）。ＳＣＥＰサーバＢは、デバイスＣのＯＴＣを確認し、ＯＴＣが正しい場合、ＳＣＥＰサーバＢは、フィンガープリントにより署名されたＣＡ証明書をデバイスＣに送る（ステップ５）。ＣＡ証明書のフィンガープリントがステップ２においてＳＣＥＰサーバＢから受信されたフィンガープリントに基づき妥当である場合、管理者は受信したＣＡ証明書を受け付ける。デイバスＣは社内ネットワークの操作のために準備される。
【０００７】
このソリューションは、幾つかの短所をもたらし、その手順は難しい。標準ＳＣＥＰも管理者にとって難しい。正しく使用される場合、管理者はＳＣＥＰサーバと証明書を必要とするデバイスとの両方と対話する必要がある。
【０００８】
米国特許第８３９２７１２号明細書には、ネットワークに参加しようとする電子デバイスの１つ以上のデバイス特性を決定し、電子デバイスの１つ以上の固有のデバイスクレデンシャル（unique device credential）を生成する第１の操作を備える、固有のデバイスクレデンシャルを提供するシステムおよび方法が記載されている。固有のデバイスクレデンシャルの形式は、電子デバイスの１つ以上のデバイス特性に基づく。
【０００９】
米国特許出願公開第２０１２／０１６６７９６号明細書には、通信ネットワークにおけるデバイス証明書を管理（managing）するシステムおよび方法が開示されており、証明書マネージャは証明書サービス広告を複数の証明書のクライアントに送信する。証明書サービス広告の送信に応答して、証明書マネージャは、証明書のクライアントの少なくとも１つから証明書サービス要求を受信する。証明書マネージャは、少なくとも１つの証明書のクライアントが、証明書マネージャがサービスを提案したクライアント群と関連することを確認し、証明書マネージャは証明書サービス要求に応える。
【００１０】
アクティブディレクトリ証明書サービス（ＡＤＣＳ）におけるネットワークデバイス登録サービス（ＮＤＥＳ）は、マイクロソフトサーバのためのマイクロソフトによるＳＣＥＰの実装である。
【発明の概要】
【００１１】
本発明は、デバイスに対して証明書を登録する方法を記述し、上記方法は、マネジメントデバイスにおけるマネジメントアプリケーションを提供するステップであって、上記マネジメントアプリケーションは証明書登録を必要とするデバイスを発見し、上記発見の情報は上記デバイスの公開鍵を含む、上記ステップを含む。さらなるステップにおいて、上記マネジメントアプリケーションは上記デバイスの上記公開鍵を証明書登録サーバに転送し、上記デバイスは、上記デバイスに対するセキュアな証明書登録のために、上記証明書の要求に上記デバイスの上記公開鍵に含めることにより上記証明書登録サーバに証明書登録を要求する。
【００１２】
本発明の一態様では、証明書登録のために、上記マネジメントデバイスにおける上記マネジメントアプリケーションはアクティベートされ、それにより上記デバイスに関する上記証明書登録が開始される。更なるステップにおいて、上記デバイスは、証明書署名要求（ＣＳＲ）を証明書登録サーバに送信し、上記ＣＳＲは上記デバイスの上記公開鍵を含み、上記公開鍵が、上記アプリケーションにより上記証明書登録サーバに転送された上記公開鍵と一致し、かつ上記署名された証明書を上記デバイスに戻す場合、上記証明書登録サーバは上記デバイスの上記ＣＳＲに署名し、かつ上記デバイスに上記証明書を提供する。
【００１３】
本発明のさらなる態様では、上記マネジメントアプリケーションは、証明書登録サーバに接続する。上記管理者は、上記正しいユーザとパスワードの組み合わせを使用することにより上記クレデンシャル登録サーバにログインし、上記クレデンシャルを後の使用のためにキャッシュする。上記アプリケーションは、上記証明書登録サーバのディジタル署名されたサーバ証明書を確認することにより上記証明書登録サーバの権限を確認して、上記登録プロセスのさらなるセキュリティを改善する。
【００１４】
好ましい一態様では、上記証明書登録サーバは、ＳＣＥＰサーバであり、ＤＤＳ（Data Distribution Service for Real-Time System）またはデバイスの発見のためのＳＳＤＰ（Simple Service Discovery Protocol）を使用する。上記マネジメントデバイスは、有利には社内ネットワークの管理者コンピュータである。
【００１５】
本発明は、このように、証明書登録サーバとデバイスの発見とを組み合わせるマネジメントアプリケーションを導入することにより、デバイスに対する証明書を登録する簡易な方法を規定する。上記マネジメントアプリケーションは、上記管理者によって上記管理者のマネジメントデバイスにインストールされる。上記管理者は、上記アプリケーションをアクティベートすることによってのみ、例えば、上記マネジメントデバイスのディスプレイ上のボタンをクリックすることによってのみ、上記登録プロセスをアクティベートする必要がある。上記証明書を必要とするデバイスは、任意の標準発見プロトコル、例えば、ＤＤＳを使用することによってマネジメントアプリケーションにより発見される。上記証明書登録は、上記デバイスの公開鍵を使用するため保護される。
【００１６】
本発明は、上記方法を実行するために、例えば、社内ネットワークのマネジメントコンピュータなどのコンピュータにおける操作に適した、マネジメントアプリケーションが記憶された、非一時的なコンピュータ読み取り可能な記憶媒体も開示する。上記コンピュータ読み取り可能な記憶媒体は、例えば読み出し専用の光ディスクである。
【図面の簡単な説明】
【００１７】
本発明の好ましい態様を、以下で例として概略図に関連してより詳細に説明する。
【図１】従来のデバイスのためのＳＣＥＰ証明書登録を示す図である。
【図２】本発明のデバイスのためのＳＣＥＰ証明書登録を示す図である。
【図３】図２に従う証明書登録プロセスのためのフロー図である。
【発明を実施するための形態】
【００１８】
以下の記載において、デバイスに対する証明書の登録をする簡易な方法は、マネジメントデバイスにおけるマネジメントアプリケーションを使用することが記載される。説明上、実施形態を完全に理解するために多くの特定の詳細を明らかにする。しかし、本発明はこれらの特定の詳細無しに実施されることができることは当業者には明らかにされる。
【００１９】
図２に描くように、管理者Ａは、マネジメントデバイスＤ、例えば、マネジメントアプリケーションをインストールされた、社内ネットワークの管理コンピュータまたは何らかのコンピュータを有する。マネジメントアプリケーションは、ＳＣＥＰ（Simple Certificate Enrollment Protocol）サーバＢに、ＳＣＥＰサーバの設定可能なＵＲＬ（Uniform Resource Locator）を使用することにより、およびＳＣＥＰサーバＢに転送する管理者のキャッシュされた管理者クレデンシャルを使用することにより、ログインするよう構成される。ＳＣＥＰサーバＢとの通信がセキュアであることを確実にするため、ＳＣＥＰサーバＢは、認証に関する管理者の公式に署名された証明書も提供される。
【００２０】
好ましい実施形態では、下記のステップは、簡易証明書登録プロセスに含まれる。マネジメントアプリケーションがアクティベートされるとき、登録が必要な、社内ネットワークに接続されたデバイスＣを発見する（ステップ１１）。デバイスは、例えばスマートフォン、タブレットＰＣ、ノートブックなどのモバイルデバイスであり、イーサネットやＷｉ−Ｆｉを介して社内ネットワークに接続されている。発見情報は、モバイルデバイスＣの公開鍵を含む。標準発見メカニズムは、例えば、ＤＤＳ（Data Distribution Service for Real-Time Systems）、ＳＳＤＰ（Simple Service Discovery Protocol）などが、発見のために使用されることができる。
【００２１】
管理者は、マネジメントアプリケーションを使用することにより、モバイルデバイスＣの１つのために登録プロセスをアクティベートする（ステップ１２）。登録プロセスを、同時に、いくつかのデバイスＣに関してもアクティベートすることができる。例えばスタートボタンなど、管理コンピュータのグラフィカル表示におけるボタンの簡易な押下で十分であり得る。マネジメントアプリケーションは、前述のように、キャッシュされた管理者クレデンシャルを用いてＳＣＥＰサーバＢと接続し、ＳＣＥＰサーバ証明書を確認することによりＳＣＥＰサーバＢの信頼性を確認し、モバイルデバイスＣの公開鍵をＳＣＥＰサーバＢに転送することによりマネジメントアプリケーションは登録プロセスを開始する（ステップ１３）。ＳＣＥＰサーバ証明書は、特にディジタル署名された証明書、例えば、公開鍵証明書である。さらなるステップにおいて、マネジメントアプリケーションは、モバイルデバイスＣに通知して登録を申し込む。必要であれば、マネジメントアプリケーションは、ＳＣＥＰサーバのＵＲＬ、サーバ証明書のフィンガープリントなどをモバイルデバイスＣに転送する。デバイスＣに送信される通知は、登録したいモバイルデバイスＣの公開鍵で保護されることができる。
【００２２】
通知を受信した後、モバイルデバイスＣは証明書署名要求（ＣＳＲ）をＳＣＥＰサーバＢに送信する（ステップ１５）。ＣＳＲはモバイルデバイスＣの公開鍵を含む。ＳＣＥＰサーバは、証明機関として機能し、含まれる公開鍵がステップ１３でマネジメントアプリケーションにより転送された公開鍵と一致する場合、モバイルデバイスのＣＳＲを受け入れることができる。ＳＣＥＰサーバＢは署名された証明書をモバイルデバイスに送り返す（ステップ１６）。モバイルデバイスＣは、社内ネットワークで使用する準備ができる。マネジメントアプリケーションがマネジメントデバイスにおいてアクティベートされた（ステップ１０）後の、証明書登録方法のこの好ましい実施形態の本質的ステップは、図３に示すフローチャートに記載される。
【００２３】
このように、本発明は、デバイスに対する証明書登録の簡易な方法を提供する。なぜらな、マネジメントアプリケーションを開始した後、それ以上の入力は証明書登録のために会社の管理者により求められないからである。管理者のキャッシュされたクレデンシャルおよびＳＣＥＰサーバの公式に署名された証明書を使用するため、登録中のセキュリティが保たれる。何らかの他のデバイスによる公開鍵の傍受は、証明書を要求するのに必要な、この公開鍵に関連付けられた秘密鍵がデバイスＣに残るので、機能しない。
【００２４】
本発明の他の実施形態でも、本発明の範囲から逸脱することなく、当業者により利用され得る。証明書を登録する方法は、有利には、社内ネットワークに適用されて社内ネットワークへのモバイルデバイスのセキュアな接続を可能にするが、この方法は、いかなる他のコンピュータネットワーク、例えば企業ネットワークなどでも使用され得る。ＳＣＥＰに代えて他のプロトコルも、ディジタル証明書、例えばＣＭＰ（Certificate Management Protocol）を取得するために使用され得る。ＣＭＰは、公開鍵基盤においてＸ．５０９ディジタル証明書を取得するためのインターネットプロトコルである。ＳＣＥＰサーバに代えて、いかなる他のＣＡ認証局サーバも使用され得る。従って、本発明は、後記の添付された請求項に存在する。
【図１】
2016529769.tif 000003
【図２】
2016529769.tif 000004
【図３】
2016529769.tif 000005
【国際調査報告】
2016529769.tif 000006
2016529769.tif 000007
2016529769.tif 000008