Source: https://patents.google.com/patent/JP2001134534A/en
Timestamp: 2019-10-19 09:57:25
Document Index: 110216153

Matched Legal Cases: ['art 1', 'art 2', 'art 3', 'art 1', 'art 1', 'art 2', 'art 2', 'art 1', 'art 3', 'art 3', 'art 2', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 3', 'art 2', 'art 1', 'art 2', 'art 3']

JP2001134534A - Authentication delegate method, authentication delegate service system, authentication delegate server device, and client device - Google Patents
Authentication delegate method, authentication delegate service system, authentication delegate server device, and client device
JP2001134534A
JP2001134534A JP31746899A JP31746899A JP2001134534A JP 2001134534 A JP2001134534 A JP 2001134534A JP 31746899 A JP31746899 A JP 31746899A JP 31746899 A JP31746899 A JP 31746899A JP 2001134534 A JP2001134534 A JP 2001134534A
JP31746899A
Tomoharu Hikita
Noriko Imaizumi
Moritaka Yamamoto
法子 今泉
仁 安田
守孝 山本
剛 嶋崎
晶彦 桑田
1999-11-08 Application filed by Ntt Communications Kk, エヌ・ティ・ティ・コミュニケーションズ株式会社 filed Critical Ntt Communications Kk
1999-11-08 Priority to JP31746899A priority Critical patent/JP2001134534A/en
2001-05-18 Publication of JP2001134534A publication Critical patent/JP2001134534A/en
102000007615 Pulmonary Surfactant-Associated Protein A Human genes 0 abstract 4
108010007100 Pulmonary Surfactant-Associated Protein A Proteins 0 abstract 4
PROBLEM TO BE SOLVED: To prevent information from leaking to an authentication delegate server which acts for authentication. SOLUTION: The authentication delegate server S distributes an open key for ciphering of service providers SP-A and SP-B made to correspond to desirable service to a client C and transfers ciphered information received from the client C to the providers SP-A and SP-B when the service is provided. The client C ciphers the information to be sent to the providers SP-A and SP-B by using the open key for ciphering received from an authentication delegate server S and sends the ciphered information to the authentication delegate server S. The providers SP-A and SP-B decipher the ciphered information received from the authentication delegate server S by using a secret key for ciphering.
【発明の属する技術分野】本発明は、サービスプロバイダ装置とクライアント装置との間に設けられた認証代行サーバ装置がクライアント装置に代わってサービスプロバイダ装置から認証を受ける認証代行方法、認証代行サービスシステム、認証代行サーバ装置及びクライアント装置に関するものである。 The present invention relates to an authentication proxy method to authenticate the service provider device in place of the authentication proxy server the client device provided between the service provider apparatus and the client apparatus, the authentication agent service system, it relates to the authentication agent server apparatus and the client device.
【従来の技術】従来、ネットワークによるサービス提供においては、秘密情報を用いてクライアント認証を行うことが一般的に行われている。 Conventionally, in the service provision by the network, to perform client authentication by using the secret information is generally performed. ここで、秘密情報とは、 Here, the secret information,
例えばパスワード、ＲＳＡ（Rivest、Shamir and Adle For example, password, RSA (Rivest, Shamir and Adle
man ）などの公開鍵暗号方式における秘密鍵、ＤＥＳ The secret key in a public key cryptography, such as man), DES
（Data Encryption Standard）などの共有鍵方式の共有鍵を指す。 It points to the shared key of the shared key system, such as (Data Encryption Standard). クライアント認証を行う場合、一般的には、 When performing client authentication, in general,
異なるサービス提供者に対しては、秘密情報は異なるものが使われる。 For different service providers, secret information is different from what is used.
【０００３】例えば、図１３に示すように、あるクライアント装置（以下、クライアントと略する）Ｃがサービスプロバイダ装置（以下、サービスプロバイダと略する）ＳＰ−Ａによって提供されるサービスＡとサービスプロバイダＳＰ−Ｂによって提供されるサービスＢにそれぞれアクセスする際には、それぞれ別の秘密情報Ｓｋ [0003] For example, as shown in FIG. 13, a client device (hereinafter, abbreviated as a client) C is the service provider equipment (hereinafter, service providers and almost) service A provided by SP-A and the service provider SP when accessing the respective service B provided by the -B, separate secret information Sk
Ｕ−ＡとＳｋＵ−Ｂを使用してクライアント認証を受ける必要がある。 It needs to receive client authentication with the U-A and SkU-B. 図１３において、ＣｅｒｔＵ−Ａ，Ｃｅ In Figure 13, CertU-A, Ce
ｒｔＵ−Ｂは、それぞれ秘密情報ＳｋＵ−Ａ，ＳｋＵ− rtU-B, respectively secret information SkU-A, SkU-
Ｂに対応した証明書である。 A certificate corresponding to the B. この証明書は方式によっては不要である。 This certificate is not required by the system. 例えば、公開鍵暗号方式では、秘密情報ＳｋＵは秘密鍵、ＣｅｒｔＵは公開鍵証明書となる。 For example, in a public-key cryptography, secret information SkU the secret key, CertU becomes a public key certificate. なお、ここでの「サービスプロバイダ」とは、現実の世界におけるサービス提供者（例えば企業）を必ずしも意味しない。 It is to be noted that the "service provider" here, does not mean the service provider in the real world (for example, companies) necessarily. つまり、現実の世界におけるサービス提供者が同じであっても、「サービスプロバイダが異なる」場合が有り得る。 In other words, even in the service provider in the real world it is the same, "the service provider is different" case is likely. 例えば、ある銀行の残高照会サービスと投資信託申込サービスは別のサービスプロバイダによって提供されるサービスと考える。 For example, investment trust application services and balance inquiry services of a bank is considered as a service provided by another service provider.
【０００４】異なるサービスプロバイダ間でクライアント情報の共有に同意すれば、秘密情報を同一にすることは可能である。 [0004] If you agree to the sharing of client information between different service providers, it is possible to the same confidential information. 例えば、図１３に示した例で言えば、サービスプロバイダＳＰ−ＡとＳＰ−Ｂが合意すれば、サービスプロバイダＳＰ−Ａに対する秘密情報ＳｋＵ−Ａ For example, in the example shown in FIG. 13, if agreed service provider SP-A and SP-B, secret information SkU-A to the service provider SP-A
を用いてサービスＢの提供を受けることは可能である（図１４）。 It is possible to receive service B using (Figure 14). 特に、前述の例で同一銀行の２つのサービスであれば、現実の世界ではサービスプロバイダＳＰ− In particular, if the two services of the same bank in the previous example, in the real world service provider SP-
ＡとＳＰ−Ｂは同一であるため、合意は比較的容易である。 Because A and SP-B are the same, agreement is relatively easy. しかし、存在するあらゆるサービスプロバイダ間で合意することは困難であり現実的ではない。 However, it is not is realistic difficult to agreement between all service providers that exist. クライアントＣに秘密情報を発行する際の方針の違いや、秘密情報の強度の違い、サービスの要求セキュリティの違いなどにより、合意が難しいケースは数多く存在する。 The client C differences and of the policy at the time of issuing the secret information, the difference in the intensity of the secret information, due to differences in demand security services, agreed it is difficult cases there are many. つまり、クライアント認証に関する各サービスプロバイダの方針が異なるため、合意が難しい場合が数多く存在する。 In other words, since the policy of each service provider about the client authentication is different, if the agreement is difficult is there are many.
【０００５】クライアント認証に関する方針がある程度一致する場合には、認証局を階層的に構成することにより、同一の秘密情報により認証を受けることが可能な場合もある。 [0005] When the policy on the client authentication matches some extent, by hierarchically configure authentication station, it may be possible to authenticate the same secret information. 例えば、図１５に示すように、秘密情報に対する証明書を認証局ＣＡ−ＡあるいはＣＡ−Ｂが発行し、その認証局ＣＡ−Ａ，ＣＡ−Ｂの秘密情報に対してさらに上位の認証局ＣＡ−Ｒが証明書を発行する、というような形で認証ツリーを構成する。 For example, as shown in FIG. 15, a certificate to the secret information issued by the certification authority CA-A or CA-B, that authority CA-A, further higher authorization station against secret CA-B CA -R issues a certificate, constitute the certification tree in such a way that. そして、サービスプロバイダＳＰ−Ａの秘密情報に対する認証ツリーとサービスプロバイダＳＰ−Ｂの秘密情報に対する認証ツリーが上位において交点を持っていれば、秘密情報ＳｋＵ Then, if the authentication tree to the secret information of the authentication tree and the service provider SP-B to the secret information of the service provider SP-A is if you have a point of intersection in the upper, secret information SkU
−ＡによってサービスプロバイダＳＰ−Ｂがサービスを提供できる場合がある。 Service Provider SP-B by -A in some cases can provide services. 図１５において、ＣＡ−Ａ，Ｃ In Figure 15, CA-A, C
Ａ−ＢはサービスプロバイダＳＰ−Ａのサービスを受けるための認証局、ＣＡ−Ｒは認証局ＣＡ−Ａ，ＣＡ−Ｂ Certification authority for A-B is served by the service provider SP-A, CA-R certificate authority CA-A, CA-B
の上位の認証局である。 Which is the upper of the certificate authority. なお、ＣＡ−Ａ，ＣＡ−ＢとＣ Note, CA-A, CA-B and C
Ａ−Ｒとの中間、あるいはＣＡ−Ｒの上位に他の認証局が介在する場合もある。 In some cases the intervening intermediate, or CA-R other certification authorities on top of the the A-R. サービスプロバイダＳＰ−Ｂ Service provider SP-B
は、自クライアントの認証局であるＣＡ−Ｂの上位認証局ＣＡ−Ｒが認証しているＣＡ−Ａの発行した証明書により、秘密情報ＳｋＵ−Ａを用いたクライアント認証を認める。 It is the certificate superior CA CA-R of CA-B is a certification authority of the self client issues of CA-A that is authenticating admit client authentication using the secret information SkU-A.
【０００６】図１５の場合においても、あらゆるサービスの認証ツリーに交点を持たせることは困難であり、また、交点があったとしても、セキュリティの方針の違いなどにより必ずしもサービス提供が可能とは限らない。 [0006] In the case of FIG. 15 is also possible to have a point of intersection in the authentication tree of any service is difficult, also, even if there is a point of intersection, always possible to always service provided by the differences in security policy Absent.
つまり、クライアントＣが誰であるか分かったとしても、サービスプロバイダの方針によってはサービス提供を拒否する場合があり得る。 That is, even I found the client C is whom, by the service provider policy may may reject the service provided. したがって、「クライアント認証が必要な複数のサービスを受ける場合、クライアントは、各サービスに対応した複数の秘密情報を管理する必要がある」、ということが一般的には言える。 Therefore, "If you receive a client authentication is more of service required, the client, there is a need to manage multiple secret information corresponding to each of the service", that is true in general. ここでは、同一の秘密情報により認証を受けることができる場合を「サービスの認証体系が同一」と呼ぶこととする。 Here, a case in which the same secret information can be authenticated is referred to as "authentication scheme of service is the same." 反対に、同一の秘密情報により認証を受けることができない場合を「サービスの認証体系が異なる」と呼ぶこととする。 On the contrary, the case can not be authenticated by the same secret information will be referred to as "authentication scheme of service is different."
【０００７】一般に、秘密情報の管理機能、及び秘密情報を用いてクライアント認証を受ける機能をクライアントＣに実装するコストは大きく、複数のサービスに対して複数の秘密情報を用いる場合には更に大きくなる。 [0007] Generally, even greater in the case of using the cost is large, a plurality of secret information to a plurality of service that implements management functions confidential information, and a function of receiving client authentication by using the secret information to the client C . 秘密情報の管理に関して言えば、秘密情報を遺失した場合にはサービスを受けられなくなってしまうという問題が生じ、秘密情報が漏洩した場合には他のクライアントが自クライアントになりすます危険があるため、遺失防止機能及び漏洩防止機能の実装のコストが大きくなる。 When it comes to management of secret information, a problem that no longer receive the service, if you have lost the secret information is generated, there is a risk that other clients impersonate in the client's own client if the secret information is leaked, lost cost of implementation of the protection and leakage prevention function becomes large. 複数の秘密情報の管理が必要な場合には、管理そのもののコストが大きくなる上に、管理形態によっては、どれか一つの秘密情報が遺失・漏洩すると他の秘密情報も再発行しなければならない場合があり、再発行コストが大きくなる。 If management is required of the plurality of secret information on the cost of the management itself is increased, by the management form, must also be reissued other secret information when any one of the secret information is lost, loss If there is a re-issue cost increases.
【０００８】秘密情報を用いたクライアント認証機能に関しては、例えば公開鍵暗号方式を用いる場合、秘密鍵の管理以外に、対応する公開鍵証明書の保管機能、公開鍵証明書のサービスプロバイダへの送信機能、秘密情報（公開鍵暗号方式における鍵ペアなど）の生成機能、認証局への秘密情報の登録機能、公開鍵証明書取得機能などがクライアントＣに必要になる。 [0008] With respect to the client authentication function using the secret information, for example the case of using the public key encryption method, in addition to the management of the secret key, storage function of the corresponding public key certificate, sent to the service provider of the public key certificate function, generating function (such as a key pair in a public key cryptosystem) secret information, registration function of the secret information to the certification authority, and public key certificate acquisition function is required on the client C. クライアントＣに簡易な端末、例えばセットトップボックスなどを想定した場合、管理する秘密情報が少なかったとしてもこれら全ての機能を実装するコストは大きいが、秘密情報が増えるとさらに大きくなる。 Simple terminal to the client C, for example when assuming such a set-top box, the cost to implement all these functions as secret information for managing was small it is large, even larger when the secret information is increased. こうしたことから、クライアントＣで管理する秘密情報の数はできるだけ少なくしたいという、クライアント管理者の要求が存在する。 For these reasons, the number of secret information to be managed by the client C is that you want to as little as possible, there is a need of the client administrator.
【０００９】このようなクライアント管理者の要求、すなわち認証体系が異なる複数のサービスを受ける場合に、クライアント管理者が管理する秘密情報を少なくしたいということを解決する従来技術としては以下のような３つがある。 [0009] Such client administrator request, that is, when the authentication system receives a plurality of different services, 3 the following is a prior art for solving the desire to reduce the secret information that the client administrator manages Tsugaaru. 従来技術１：認証局同士の相互認証。 The prior art 1: mutual recognition of each other certificate authority. 従来技術２：認証代行サーバヘ秘密情報を預ける形態での認証処理の委託。 The prior art 2: consignment of the authentication process in the form of deposit certification agency document transfer requests secret information. 従来技術３：認証代行サーバ自身の秘密情報を使う形態での認証処理の委託。 The prior art 3: consignment of the authentication process in the form using the secret information of the authentication proxy server itself.
【００１０】従来技術１は、図１６に示すように、認証ツリーに交点を持たない場合や、持っていたとしても当該サービス提供可能なレベルで各ＳＰの認証に関する方針が一致していなかった場合に、認証局ＣＡ−Ａ０，Ｃ [0010] Prior art 1, as shown in FIG. 16, or if the case where no intersection authentication tree, the policy on also the SP authentication in the service providing levels as had not match to, the certification authority CA-A0, C
Ａ−Ｂ０同士の相互認証書を確認することで、同一の秘密情報により認証を受けることができるようにする方式である。 By checking the mutual certificate of A-B0 together, it is a method to be authenticated by the same secret information. 図１６において、ＣＡ−Ａ１，ＣＡ−Ａ２，Ｃ In Figure 16, CA-A1, CA-A2, C
Ａ−Ｂ１，ＣＡ−Ｂ２は認証局、ＣＡ−Ａ０は認証局Ｃ A-B1, CA-B2 certificate authority, CA-A0 authentication station C
Ａ−Ａ１，ＣＡ−Ａ２の上位の認証局、ＣＡ−Ｂ０は認証局ＣＡ−Ｂ１，ＣＡ−Ｂ２の上位の認証局である。 A-A1, CA-A2-level certification authority, CA-B0 is the Certification Authority of the upper certificate authority CA-B1, CA-B2. サービスプロバイダＳＰ−Ｂは、自クライアントの認証局（例えばＣＡ−Ｂ１）の上位認証局ＣＡ−Ｂ０と他の上位認証局ＣＡ−Ａ０との間で相互認証書が存在することにより、秘密情報ＳｋＵ−Ａを用いたクライアント認証を認める。 Service Provider SP-B, due to the presence of mutual certificate with a host certificate authority CA-B0 and other superior CA CA-A0 of the certificate authority of the own client (e.g. CA-B1), secret information SkU acknowledge the client authentication using the -A. この従来技術１は有望な方式の一つではある。 The prior art 1 is is one of promising schemes. しかし、サービスプロバイダや認証局に大きな機能追加が必要であり、また相互認証書を発行するということは結局各サービスプロバイダの合意形成が必要であることから、適用範囲が限られる。 However, it requires a large feature added to the service provider and the certification authority, and since that issue a cross-certificate is required after all consensus for each service provider, coverage is limited. したがって、本発明では考慮の対象としない。 Therefore, not into consideration in the present invention.
【００１１】従来技術２は、図１７に示すように、クライアントＣが所属する一つの認証体系内にその他の認証体系での秘密情報、証明書、ＣＲＬ（失効証明書リスト）などを管理する認証代行サーバＳを設け、クライアント認証が必要なサービスについては認証代行サーバＳ [0011] The prior art 2, as shown in FIG. 17, authentication client C is secret information in other authentication scheme in one of the authentication schemes that belong, certificate, manage and CRL (certificate revocation list) the proxy server S is provided, the authentication agent server S is for the client authentication is required service
と各サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ間で認証を行う方式である。 , With each service provider SP-A is a method for performing authentication between SP-B. 図１７において、ＳｋＵ−Ｐは認証代行サーバＳとクライアントＣ間の認証に用いるための秘密情報である。 In Figure 17, SkU-P is the secret information for use in authentication between the authentication agent server S and the client C. この秘密情報ＳｋＵ−Ｐについては、クライアント管理者が記憶して、クライアントＣ自体では管理しない場合もある。 About this secret information SkU-P is stored client administrator, it may not be managed by the client C itself. また、ＣｅｒｔＵ−Ｐは、秘密情報ＳｋＵ−Ｐに対応した証明書である。 In addition, CertU-P is a certificate corresponding to the secret information SkU-P. この証明書は方式によっては不要である。 This certificate is not required by the system. 例えば、公開鍵暗号方式では、秘密情報ＳｋＵ−Ｐは秘密鍵、ＣｅｒｔＵ−Ｐは公開鍵証明書となる。 For example, in a public-key cryptography, secret information SkU-P is a secret key, is CertU-P becomes a public key certificate.
【００１２】従来技術２は、従来技術１と比べて認証局、サービスプロバイダ側には変更が少ないという利点がある。 [0012] prior art 2, the certificate authority as compared with the prior art 1, the service provider has an advantage of small change. 認証局及びサービスプロバイダ側から見ると、 When viewed from the certificate authority and the service provider side,
認証代行サーバＳは意識されず、クライアントＣとして認証される。 The authentication agent server S is not aware of, is authenticated as a client C. 例えば、インターネット上のクレジット決済や銀行口座決済を実現する方式であるＳＥＴ（Secure For example, SET (Secure is a method to achieve a credit card payment or bank account settlement on the Internet
Electronic Transaction ）やＳＥＣＥ（Secure Electr Electronic Transaction) and SECE (Secure Electr
onic Commerce Environment）においては利用者認証が必要となり、複数のクレジット会社及び銀行からサービスを受けるために、それぞれ秘密情報を保持する必要があるが、この秘密情報をサーバウォレットと呼ばれる認証代行サーバに預ける方式が提案されており、一部製品化されている。 onic user authentication in the Commerce Environment) is required, in order to receive a service from multiple credit companies and banks, but each there is a need to hold the secret information, leave the authentication proxy server, which is called the secret information with the server wallet method has been proposed, are part commercialized.
【００１３】従来技術３は、図１８に示すように、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂからクライアント認証を受ける際に、各クライアントＣの秘密情報を用いるのではなく、認証代行サーバＳ自身の秘密情報ＳｋＰを用いる方式である。 [0013] The prior art 3, as shown in FIG. 18, the service provider SP-A, when receiving a client certificate from the SP-B, rather than using the confidential information of each client C, the authentication agent server S itself it is a method of using the secret information SkP. 図１８において、ＣｅｒｔＰは秘密情報ＳｋＰに対応した証明書である。 In Figure 18, CertP is certificate corresponding to the secret information SKP. つまり、サービスプロバイダ側からは、認証代行サーバＳがサービスを受けているように見える。 In other words, from the service provider side, it appears to be the authentication agent server S is receiving a service. この従来技術３では、従来技術２と同様に、各クライアントＣは各サービスに対応する秘密情報を管理する必要はなく、また認証代行サーバＳ In the prior art 3, as with the prior art 2, the client C does not have to manage the secret information corresponding to each service, also the authentication agent server S
においても、自身の秘密情報のみを管理すればよいことになる。 In also, it is sufficient to manage only the secret information of its own.
【発明が解決しようとする課題】しかしながら、以上の従来技術２、従来技術３には、以下のような３つの問題点があった。 However [0007], or the prior art 2, in the prior art 3, were three problems as follows. 問題点１：クライアントＣとサービスプロバイダＳＰ− Problem 1: client C and service provider SP-
Ａ，ＳＰ−Ｂ間でやりとりする全ての情報が認証代行サーバＳに漏洩する。 A, all the information exchanged between SP-B from leaking to the authentication proxy server S. クライアントＣにとって認証代行サーバＳは信頼できる主体であるが、サービスによってはサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂとやりとりする情報を秘匿したい場合がある。 Although authentication agent server S to the client C is a trusted entity, it may wish to conceal the information exchanged service provider SP-A, and SP-B is the service. 仮に、クライアントＣと認証代行サーバＳの間、認証代行サーバＳとサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂの間をそれぞれ暗号化していたとしても、認証代行サーバＳ内では情報が復号化されるため、情報が漏洩する恐れがある。 If, between the client C and an authentication proxy server S, the authentication agent server S and the service provider SP-A, also between the SP-B as was each encryption, the information in the authentication agent in the server S is decrypted , there is a possibility that the information is leaked. なお、この問題点１は、従来技術２、従来技術３の両者に共通するものである。 Note that this problem 1 is a prior art 2, common to both the prior art 3.
【００１５】問題点２：認証代行サーバＳがクライアントＣになりすました場合、サービスプロバイダＳＰ− [0015] Problem 2: If the authentication proxy server S is impersonating the client C, service provider SP-
Ａ，ＳＰ−Ｂ側では確認できない。 A, it can not be confirmed in the SP-B side. 従来技術２において、認証代行サーバＳは、クライアント秘密情報を保持しているため、クライアントＣになりすますことが可能である。 In the prior art 2, the authentication agent server S, for holding the client private information, it is possible to impersonate the client C. 認証代行サーバＳは、一般には利用者からもサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂからも信頼できる主体であるが、例えば、万が一、認証代行サーバＳのシステム運用者などが不正を働いた場合や、クライアント利用者がサービスの提供を受けたことを否認した場合などを想定すると、サービスプロバイダＳＰ−Ａ，ＳＰ− The authentication agent server S is, in general to the service provider SP-A also from the user is a trusted entity from the SP-B, for example, by any chance, if you worked a fraud such as the system operator of the authentication agent server S Ya , the client user is assumed that for example, if you deny that it has received the provision of services, the service provider SP-a, SP-
Ｂ側で直接クライアントを認証できる手段を用意しておくことが望ましい。 It is desirable to provide a means for authenticating the client directly on the B side. もちろん、認証代行サーバＳが存在することの利点を考えると、その際の認証手段は認証代行サーバＳが存在しない場合に比べて簡易である必要がある。 Of course, given the benefit of the authentication proxy server S is present, the authentication means when it is required to be simple as compared with the case where the authentication agent server S does not exist.
【００１６】問題点３：クライアントＣとサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ間でサービスを提供する責任、及びサービス対価を回収する責任が認証代行サーバＳに生じやすい。 [0016] Problem 3: client C and the service provider SP-A, is responsible for collecting responsible for providing services between the SP-B, and the service fee likely to occur in the authentication agent server S. 従来技術３において、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂは、認証代行サーバＳ自身の秘密情報によりクライアントを認証しサービス提供を行う。 In the prior art 3, the service provider SP-A, SP-B performs authentication and service provides client by the secret information of the authentication proxy server S itself. つまり、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ In other words, the service provider SP-A, SP-B
は、認証代行サーバＳを意識してサービスを提供しているのであり、そのサービスをクライアントＣに届ける責任と、サービス対価をクライアントＣから徴収する責任が認証代行サーバＳに生じやすい（実際に生じるかどうかは当事者間の契約や法体系による）。 Is than be aware of the authentication proxy server S is providing a service, and responsibility to deliver the service to the client C, resulting likely to occur (in fact in the authentication proxy server S responsibility to collect a service fee from the client C whether by contract or legal system between the parties). その場合、責任が大きくなればなるほど、認証代行サーバＳを運営できる主体が限られてしまうことになる。 In that case, the greater the responsibility, so that the entity that can manage the authentication proxy server S is limited. 本発明は、上記課題を解決するためになされたもので、認証に関するクライアントの負担を認証代行サーバにより解決しつつ、前記問題点１、問題点２及び問題点３を解消することができる認証代行方法、認証代行サービスシステム、認証代行サーバ装置及びクライアント装置を提供することを目的とする。 The present invention has been made to solve the above problems, the authentication agent capable while solving the client burden related to authentication by the authentication proxy server, to solve the problem 1, Problem 2 and Problem 3 method, the authentication agent service system, and an object thereof is to provide an authentication proxy server device and the client device.
【課題を解決するための手段】本発明の認証代行方法は、サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置がクライアント装置に代わってサービスプロバイダ装置から認証を受けるようにしたものである。 Authentication proxy process of the present invention SUMMARY OF] the service provider on behalf of the authentication proxy server the client device provided between a client device to receive a service provider device and the service providing providing a service it is obtained so as to authenticate the device. そして、本発明の認証代行方法は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵を認証代行サーバ装置からクライアント装置へ配送する手順と、クライアント装置においてサービスプロバイダ装置へ送信すべき情報を認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手順と、クライアント装置から受け取った暗号化された情報を認証代行サーバ装置からサービスプロバイダ装置へ転送する手順と、サービスプロバイダ装置において認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手順とを有するものである。 Then, the authentication agent process of the present invention, the transmission time of the service provided from the authentication proxy server the encryption public key of the service provider device corresponding to the desired service and procedures to deliver to the client device, to the service provider apparatus in the client device with the encryption public key received should do information from the authentication proxy server device, and transmitting the encrypted information to the authentication proxy server device, the information encrypted received from the client device authentication a procedure for transferring from the proxy server device to the service provider apparatus, and has a procedure for decoding using the encryption private key encrypted information received from the authentication proxy server in the service provider device. また、本発明の認証代行方法は、サービス提供時、 In addition, the authentication agent the method of the present invention, at the time of service provided,
所望のサービスに対応したサービスプロバイダ装置に対して、クライアント装置の暗号用公開鍵を認証代行サーバ装置から配送する手順と、サービスプロバイダ装置においてクライアント装置へ送信すべき情報を認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手順と、サービスプロバイダ装置から受け取った暗号化された情報を認証代行サーバ装置からクライアント装置へ転送する手順と、クライアント装置において認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手順とを有するものである。 To the service provider apparatus corresponding to the desired service, received a step of delivering the encryption public key of the client device from the authentication proxy server apparatus, the information to be transmitted to the client device in the service provider device from the authentication proxy server device procedure using the encryption public key to encrypt, transfers and transmitting the encrypted information to the authentication proxy server device, the information encrypted received from the service provider device from the authentication proxy server device to the client device When those having a procedure for decrypting using an encryption secret key encrypted information received from the authentication proxy server in the client device.
【００１８】また、本発明の認証代行方法は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵を認証代行サーバ装置からクライアント装置へ配送する手順と、クライアント装置においてサービスプロバイダ装置との間の暗号通信用セッションキーあるいはこのセッションキーの元となるデータを生成し、セッションキーあるいはデータを認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手順と、クライアント装置から受け取った暗号化された情報を認証代行サーバ装置からサービスプロバイダ装置へ転送する手順と、サービスプロバイダ装置において認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて [0018] In addition, the authentication agent the method of the present invention, at the time of service provided, and the procedure for delivery to the client device the encryption public key of the service provider equipment corresponding to the desired service from the authentication proxy server apparatus, a service provider in the client apparatus generates the underlying data encrypted communication session key or session key between the devices, with the encryption public key received session key or data from the authentication proxy server, it is encrypted and transmitting the information to the authentication proxy server, the encrypted received and procedures for transferring to the service provider device the encrypted information received from the client device from the authentication proxy server from the authentication proxy server in the service provider device the information using encryption for secret key 号化してセッションキーを取得し、 Get the session key in Goka,
あるいは暗号用秘密鍵を用いた復号化によりデータを取得して、このデータからセッションキーを生成する手順と、クライアント装置あるいはサービスプロバイダ装置において送信すべき情報をセッションキーを用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手順と、セッションキーを用いて暗号化された情報を認証代行サーバ装置からサービスプロバイダ装置あるいはクライアント装置へ転送する手順と、セッションキーを用いて暗号化された情報をサービスプロバイダ装置あるいはクライアント装置において自身が有するセッションキーを用いて復号化する手順とを有するものである。 Or by obtaining data by decryption using the encryption private key, the procedure for generating a session key from the data, encrypted using the session key information to be transmitted in the client device or the service provider apparatus, the encryption encrypted using the procedure of transmitting the reduction information to the authentication proxy server apparatus, and procedures for transferring the encrypted information from the authentication proxy server device to the service provider device or client device using a session key, a session key those having a procedure for decoding using the session key itself has the information in the service provider device or client device.
【００１９】また、本発明の認証代行方法の１構成例として、暗号用公開鍵を認証代行サーバ装置からクライアント装置へ配送する際に、暗号用公開鍵と共に暗号用公開鍵証明書を配送する手順と、クライアント装置において暗号用公開鍵を用いた暗号化を行う前に、認証代行サーバ装置から受け取った暗号用公開鍵証明書を基に暗号用公開鍵を検証する手順とを有するものである。 Further, as one example of the configuration of the authentication agent the process of the present invention, when delivering the encryption public key from the authentication proxy server device to the client device, the procedure for delivering the encryption public key certificate with encryption public key When, before performing the encryption using the encryption public key in the client device, and has a procedure for verifying the cryptographic public key based on the encryption public key certificate received from the authentication proxy server. また、 Also,
本発明の認証代行方法の１構成例として、クライアント装置において暗号化を行う際に、このクライアント装置の認証情報を暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手順と、 As an example of the configuration of the authentication agent the process of the present invention, when performing the encryption at the client device, the authentication information of the client device encrypted with the public key cryptography, authentication agent server device the encrypted information and procedures to be sent to,
サービスプロバイダ装置において復号化を行う際に、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して認証情報を取得し、この認証情報を基にクライアント装置の認証を行う手順とを有するものである。 When performing decoding at the service provider device, the authentication agent the encrypted information received from the server device and decrypted using the encryption private key to obtain authentication information, the authentication of the client apparatus based on the authentication information those having a procedure for.
【００２０】また、本発明の認証代行サービスシステムとして、認証代行サーバ装置（Ｓ）は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、クライアント装置から受け取った暗号化された情報をサービスプロバイダ装置へ転送する手段を有し、クライアント装置（Ｃ）は、サービスプロバイダ装置へ送信すべき情報を認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手段を有し、サービスプロバイダ装置（Ｓ [0020] In addition, as an authentication proxy service system of the present invention, the authentication proxy server device (S) of the delivery when the service is provided, public key for encryption of the service provider equipment corresponding to the desired service to the client device, the client device and means for transferring the encrypted information to the service provider apparatus received from the client device (C), using the encryption public key received information to be transmitted to the service provider device from the authentication proxy server device encrypting comprises means for transmitting the encrypted information to the authentication proxy server apparatus, the service provider apparatus (S
Ｐ−Ａ，ＳＰ−Ｂ）は、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手段を有するものである。 P-A, SP-B) is the encrypted information received from the authentication proxy server as it has a means for decoding using the encryption private key. また、本発明の認証代行サービスシステムとして、認証代行サーバ装置（Ｓ）は、 Further, as an authentication proxy service system of the present invention, the authentication proxy server (S) is,
サービス提供時、所望のサービスに対応したサービスプロバイダ装置に対して、クライアント装置の暗号用公開鍵を配送し、サービスプロバイダ装置から受け取った暗号化された情報をクライアント装置へ転送する手段を有し、サービスプロバイダ装置（ＳＰ−Ａ，ＳＰ−Ｂ） Providing the services, the service provider device corresponding to the desired service, delivers the cryptographic public key of the client device comprises means for transferring the encrypted information received from the service provider apparatus to the client apparatus, service provider apparatus (SP-A, SP-B)
は、クライアント装置へ送信すべき情報を認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、 Is encrypted using an encryption public key, which has received the information to be transmitted to the client device from the authentication proxy server device,
この暗号化された情報を認証代行サーバ装置へ送信する手段を有し、クライアント装置（Ｃ）は、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手段を有するものである。 And means for transmitting the encrypted information to the authentication proxy server device, the client device (C) is means for decoding using the encryption private key encrypted information received from the authentication proxy server device and it has a.
【００２１】また、本発明の認証代行サービスシステムとして、認証代行サーバ装置（Ｓ）は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、クライアント装置から受け取った暗号化された情報をサービスプロバイダ装置へ転送し、サービスプロバイダ装置から受け取った暗号化された情報をクライアント装置へ転送する手段を有し、クライアント装置（Ｃ）は、サービスプロバイダ装置との間の暗号通信用セッションキーあるいはこのセッションキーの元となるデータを生成し、セッションキーあるいはデータを認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信した後、サービスプロバイダ装置へ送 [0021] In addition, as an authentication proxy service system of the present invention, the authentication proxy server device (S) of the delivery when the service is provided, public key for encryption of the service provider equipment corresponding to the desired service to the client device, the client device the encrypted information received from and transferred to the service provider device comprises means for transferring the encrypted information received from the service provider apparatus to the client apparatus, the client apparatus (C) is the service provider device generates the underlying data session key or the session key for the cryptographic communication, with the encryption public key received session key or data from the authentication proxy server, authenticates the encrypted information after sending to the proxy server device, sent to the service provider equipment すべき情報をセッションキーを用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手段を有し、サービスプロバイダ装置（ＳＰ−Ａ，ＳＰ−Ｂ）は、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化してセッションキーを取得し、あるいは暗号用秘密鍵を用いた復号化によりデータを取得して、このデータからセッションキーを生成した後、クライアント装置へ送信すべき情報をセッションキーを用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手段を有するものである。 The should do information is encrypted using the session key, and means for transmitting the encrypted information to the authentication proxy server apparatus, the service provider apparatus (SP-A, SP-B) from the authentication proxy server device the received encrypted information to obtain the session key decrypted by using the encryption private key, or to obtain data by decryption using the encryption private key, after generating a session key from the data and has a means for information to be transmitted to the client device encrypted with the session key, transmits the encrypted information to the authentication proxy server.
【００２２】また、本発明の認証代行サービスシステムの１構成例として、認証代行サーバ装置は、暗号用公開鍵をクライアント装置へ配送する際に、暗号用公開鍵と共に暗号用公開鍵証明書を配送する手段を有し、クライアント装置は、暗号用公開鍵を用いた暗号化を行う前に、認証代行サーバ装置から受け取った暗号用公開鍵証明書を基に暗号用公開鍵を検証する手段を有するものである。 [0022] In addition, as one example of the configuration of the authentication agent service system of the present invention, the authentication agent server apparatus, when the delivery of encryption public key to the client device, delivering the encryption public key certificate along with the encryption public key and means for, the client device, before performing the encryption using the encryption public key, comprising means for verifying the cryptographic public key based on the encryption public key certificate received from the authentication proxy server device it is intended. また、本発明の認証代行サービスシステムの１構成例として、クライアント装置は、暗号化を行う際に、 Further, as one example of the configuration of the authentication agent service system of the present invention, the client apparatus, when performing encryption,
自装置の認証情報を暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信する手段を有し、サービスプロバイダ装置は、復号化を行う際に、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して認証情報を取得し、この認証情報を基にクライアント装置の認証を行う手段を有するものである。 Authentication information of the own device is encrypted using a public key encryption, and means for transmitting the encrypted information to the authentication proxy server apparatus, the service provider apparatus, when performing the decryption, the authentication agent server the encrypted information received from the device and decrypted using the encryption private key certification information, and has a means for authenticating a client device based on the authentication information.
【００２３】また、本発明の認証代行サーバ装置（Ｓ） [0023] In addition, the authentication agent server apparatus of the present invention (S)
は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、この暗号用公開鍵を用いて暗号化された情報をクライアント装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、暗号化された情報をサービスプロバイダ装置へ転送する手段を有するものである。 Is providing the services, it delivers the cryptographic public key of the service provider device corresponding to the desired service to the client device receives the information encrypted by using the encryption public key from the client device, a secret key encryption in order to perform decoding using, and has a means for transferring the encrypted information to the service provider apparatus. また、本発明の認証代行サーバ装置（Ｓ）は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置に対して、クライアント装置の暗号用公開鍵を配送し、この暗号用公開鍵を用いて暗号化された情報をサービスプロバイダ装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、暗号化された情報をクライアント装置へ転送する手段を有するものである。 The authentication proxy server apparatus of the present invention (S) is providing the services to the service provider apparatus corresponding to the desired service, it delivers the cryptographic public key of the client apparatus, using the encryption public key It receives encrypted information from the service provider equipment, in order to perform the decryption using the encryption private key, and has a means for transferring the encrypted information to the client device.
【００２４】また、本発明の認証代行サーバ装置（Ｓ） [0024] In addition, the authentication agent server apparatus of the present invention (S)
は、サービス提供時、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、この暗号用公開鍵を用いて暗号化された暗号通信用セッションキーあるいはこのセッションキーの元となるデータをクライアント装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、暗号化されたセッションキーあるいはデータをサービスプロバイダ装置へ転送した後、セッションキーを用いて暗号化された、クライアント装置からの情報をサービスプロバイダ装置へ転送すると共に、セッションキーを用いて暗号化された、サービスプロバイダ装置からの情報をクライアント装置へ転送する手段を有するものである。 Is providing the services, the desired service cryptographic public key of the service provider device corresponding to the delivered to the client device, the original session key or the session key for encrypted communication that is encrypted using the encryption public key the data to be received from the client device in order to perform the decryption using the encryption private key, transfers the session key or data encrypted to the service provider device, encrypted using the session key, transfers the information from the client device to the service provider device, it encrypted using the session key, and has a means for transferring information from the service provider device to the client device. また、本発明の認証代行サーバ装置の１構成例は、クライアント装置に暗号用公開鍵の検証を行わせるべく、暗号用公開鍵と共に暗号用公開鍵証明書をクライアント装置へ配送する手段を有するものである。 Further, 1 configuration example of an authentication proxy server apparatus of the present invention, in order to perform the verification of cryptographic public key to the client device, which has a means for delivering the encryption public key certificate to the client device along with the encryption public key it is.
【００２５】また、本発明のクライアント装置（Ｃ） [0025] In addition, the client device of the present invention (C)
は、認証代行サーバ装置からクライアント認証を受けるための署名を生成する署名生成手段を備えたＩＣカードからなると共に、サービスプロバイダ装置へ送信すべき情報を暗号用公開鍵を用いて暗号化する暗号化手段と、 , Together with an IC card with a signature generating means for generating a signature for receiving client authentication from the authentication proxy server, encryption is encrypted by using a public key encryption of information to be transmitted to the service provider device and means,
ＩＣカードによって生成された署名を認証代行サーバ装置へ送信し、認証代行サーバ装置から送信された暗号用公開鍵を受け取って暗号化手段へ出力し、暗号化手段によって暗号化された情報を認証代行サーバ装置へ送信する送受信手段とを備えた処理装置からなるものである。 Transmits the signature generated by the IC card to the authentication proxy server apparatus, and outputs to the encryption unit receives the encrypted public key transmitted from the authentication proxy server, the authentication agent the information encrypted by the encryption means it is made of the processing apparatus having a transmission and reception means for transmitting to the server device.
また、本発明のクライアント装置（Ｃ）は、認証代行サーバ装置からクライアント認証を受けるための署名を生成する署名生成手段と、サービスプロバイダ装置へ送信すべき情報を暗号用公開鍵を用いて暗号化する暗号化手段とを備えたＩＣカードからなると共に、ＩＣカードによって生成された署名を認証代行サーバ装置へ送信し、 The client device of the present invention (C) is encrypted using a signature generating means for generating a signature for receiving client authentication from the authentication proxy server apparatus, the information to be transmitted to the service provider device encryption public key with an IC card having an encryption means for, sending a signature generated by the IC card to the authentication proxy server,
認証代行サーバ装置から送信された暗号用公開鍵を受け取ってＩＣカードへ出力し、ＩＣカードによって暗号化された情報を認証代行サーバ装置へ送信する送受信手段とを備えた処理装置からなるものである。 Outputs to the IC card receives the encrypted public key transmitted from the authentication proxy server device, is made of a processing apparatus including a receiving means for transmitting the information encrypted by the IC card to the authentication proxy server device .
図１は本発明の第１の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 Figure 1 is a block diagram showing a configuration of a first authentication agency service system to which the embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、前述の従来技術２あるいは従来技術３において、認証代行サーバ装置（以下、認証代行サーバと略する）Ｓが複数のサービスプロバイダ装置（以下、サービスプロバイダと略する）ＳＰ Authentication agent service system of the present embodiment, in the prior art 2 or the prior art 3 described above, the authentication proxy server device (hereinafter, abbreviated as authentication proxy server) S is a plurality of service provider equipment (hereinafter, the service provider and substantially to) SP
−Ａ，ＳＰ−Ｂの公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂをクライアント装置（以下、クライアントと略する）Ｃにサービス提供時に配送し、認証代行サーバＳには秘匿しておきたい情報をこの公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ− -A, public key pKsp-A of SP-B, the client device pKsp-B (hereinafter, abbreviated as a client) delivered when the service providing and C, this public information you wish to secret for authentication proxy server S key PkSP-A, PkSP-
Ｂを用いてクライアントＣ側で暗号化させて認証代行サーバＳに返却させ、この情報を認証代行サーバＳがサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに送信し、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂで秘密鍵ＳｋＳＰ−Ａ， With B is encrypted on the client C side is returned to the authentication agent server S and sends this information authentication agent server S is the service provider SP-A, the SP-B, the service provider SP-A, SP-B in secret key SkSP-A,
ＳｋＳＰ−Ｂによって復号化させることで、認証代行サーバＳには漏洩することなく、クライアントＣからサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへの情報転送を実現するものである。 By causing decoded by SkSP-B, without leaking to the authentication agent server S, which realizes the transfer of information from the client C Service Provider SP-A, the SP-B.
【００２７】サービスプロバイダＳＰ−Ａ，ＳＰ−ＢとクライアントＣとは、ネットワークを介して接続され、 The service provider SP-A, and SP-B and client C are connected via a network,
このネットワークの途中に認証代行サーバ装置Ｓが設けられている。 Way to the authentication proxy server device S of this network is provided. 図１において、ＰｋＳＰ−Ａ，ＰｋＳＰ− In Figure 1, PkSP-A, PkSP-
ＢはそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂの暗号用公開鍵、ＳｋＳＰ−Ａ，ＳｋＳＰ−ＢそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂの暗号用秘密鍵である。 B is the service provider SP-A, respectively, for encryption public key of the SP-B, is a secret key for encryption of SkSP-A, SkSP-B each service provider SP-A, SP-B. また、ＳｋＵ−Ａ，ＳｋＵ−ＢはそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂからサービスを受けるための秘密情報、ＳｋＰは認証代行サーバＳ自身の秘密情報である。 Further, SkU-A, SkU-B is the service provider respectively SP-A, secret information for receiving a service from the SP-B, SkP is secret information of the authentication proxy server S itself. 本実施の形態のシステムが従来技術２に対応する方式の場合には、秘密情報ＳｋＵ−Ａ，ＳｋＵ− In the case of the configuration in which the system of the present embodiment corresponds to the prior art 2, the secret information SkU-A, SkU-
Ｂを用いてクライアントＣの認証が行われ、従来技術３ Client C authentication is performed using B, prior art 3
に対応する方式の場合には、秘密情報ＳｋＰを用いてクライアントＣの認証が行われる。 In the case of the corresponding method, the client C is authenticated by using a secret information SKP.
【００２８】次に、このような認証代行サービスシステムの動作を説明する。 [0028] Next, the operation of such an authentication proxy service system. サービス提供時、認証代行サーバＳは、クライアントＣが要求するサービスに応じて適切なサービスプロバイダＳＰ−Ａの暗号用公開鍵ＰｋＳＰ When the service is provided, the authentication agent server S is, public key PkSP for encryption of the appropriate service provider SP-A in accordance with the service that the client C requests
−ＡをクライアントＣに配送すると共に、この公開鍵Ｐ Together with the delivery of -A to the client C, this public key P
ｋＳＰ−Ａを使った情報の暗号化要求、秘匿情報に関連したその他情報変換要求、暗号化された情報及び変換された情報の返却要求をクライアントＣに対して行う。 Encryption request information using the KSP-A, carried out other information conversion request relating to confidential information, a request for returning information encrypted and converted information to the client C.
【００２９】ここで、秘匿情報に関連したその他情報変換要求とは、秘匿情報をサービスプロバイダＳＰ−Ａ， [0029] Here, the other information conversion request related to the confidential information, confidential information service provider SP-A,
ＳＰ−Ｂでも復号化できない形態へ変換する処理の要求であり、サービスにより必要な場合のみ出されるもので、例えば一方向ハッシュ演算を指す。 SP-B is a request for processing to convert into can not form decrypt any, intended to be issued only when necessary by the service refers to, for example a one-way hash calculation.
【００３０】クライアントＣは、認証代行サーバＳの要求に応じて、サービスプロバイダＳＰ−Ａへ送信すべき情報を公開鍵ＰｋＳＰ−Ａを用いて暗号化し、暗号化した情報を認証代行サーバＳに送信する。 The client C, sent in response to the request of the authentication agent server S, the information to be transmitted to the service provider SP-A is encrypted using the public key PkSP-A, the encrypted information to the authentication proxy server S to. また、クライアントＣは、秘匿情報に関連したその他情報変換要求がなされた場合、ハッシュ演算等の変換を行った情報を暗号化した情報と共に認証代行サーバＳに送信する。 The client C, when the other information conversion request relating to confidential information is made, to the authentication proxy server S information where it was converted hash calculation or the like together with the encrypted information.
【００３１】認証代行サーバＳは、クライアントＣから送信された情報を受け取り、この情報をサービスプロバイダＳＰ−Ａへ転送すると共に、サービスプロバイダＳ The authentication agent server S receives the information transmitted from the client C, and transfers this information to the service provider SP-A, the service provider S
Ｐ−Ａに対して復号化要求を行う。 Performing decoding request to P-A. サービスプロバイダＳＰ−Ａは、認証代行サーバＳから送信された情報を受け取り、この情報を自身が有する秘密鍵ＳｋＳＰ−Ａを用いて復号化する。 Service Provider SP-A receives the information transmitted from the authentication proxy server S, is decrypted using the private key SkSP-A with the information itself.
【００３２】こうして、クライアントＣからサービスプロバイダＳＰ−Ａへの情報が認証代行サーバＳに漏洩することを防止でき、前記問題点１の部分的な解決が可能になる。 [0032] Thus, information from the client C to the service provider SP-A can be prevented from leaking to the authentication agent server S, it is possible to partially solve the problems 1. なお、以上の動作説明では、サービス提供がサービスプロバイダＳＰ−Ａによって行われる場合について説明しているが、サービス提供がサービスプロバイダＳＰ−Ｂによって行われる場合には、公開鍵ＰｋＳＰ− In the above in the description of the operation, if the service provided has been described for the case to be performed by the service provider SP-A, the service providing is performed by a service provider SP-B the public key PkSP-
Ａの代わりにＰｋＳＰ−Ｂが用いられ、クライアントＣ PKsp-B is used instead of A, the client C
からの情報がサービスプロバイダＳＰ−Ｂに転送され、 Information from is transferred to the service provider SP-B,
サービスプロバイダＳＰ−Ｂが秘密鍵ＳｋＳＰ−Ｂを用いて情報を復号化する。 Service Provider SP-B to decrypt the information using the secret key SkSP-B.
【００３３】また、前記暗号化要求、秘匿情報に関連したその他情報変換要求、暗号化された情報及び変換された情報の返却要求は、クライアントＣが自律的に行うことで省略することができ、同様に前記復号化要求は、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂが自律的に行うことで省略することができる。 Further, the encryption request, other information conversion request relating to confidential information, return request information is encrypted and converted information may be client C is omitted by performing autonomously, Similarly the decryption request may be a service provider SP-A, is SP-B is omitted by performing autonomously.
【００３４】また、サービスプロバイダＳＰ−Ａ，ＳＰ [0034] In addition, the service provider SP-A, SP
−Ｂからサービス提供を受けるためには、前述の従来技術２あるいは従来技術３で説明したように認証代行サーバＳがクライアントＣに代わってサービスプロバイダＳ To receive the service provided by the -B, service provider S on behalf authentication agent server S as described in the prior art 2 or the prior art 3 above to the client C
Ｐ−Ａ，ＳＰ−Ｂからクライアント認証を受ける処理（秘密情報ＳｋＵ−Ａ，ＳｋＵ−ＢあるいはＳｋＰによる署名の生成とこの署名のサービスプロバイダＳＰ− P-A, the process for receiving a client certificate from SP-B (secret information SkU-A, SkU-B or SkP by signature generation with the service provider of this signature SP-
Ａ，ＳＰ−Ｂへの送信など）が必要である。 A, such as sending to the SP-B) is required. この処理は、認証代行サーバＳによる公開鍵ＰｋＳＰ−Ａ，Ｐｋ This process, public key PkSP-A by the authentication proxy server S, Pk
ＳＰ−Ｂの配送からサービスプロバイダＳＰ−Ａ，ＳＰ Service provider from the delivery of the SP-B SP-A, SP
−Ｂによる情報の復号化に至る一連のシーケンスより前の時点、クライアントＣから受け取った情報をサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに配送する時点、あるいは前記一連のシーケンスより後の時点のいずれに行ってもよい。 Time before the series of sequences leading to decoding of information by -B, the information received from the client C Service Provider SP-A, when delivered to SP-B, or any time after the series of sequences it may be carried out.
【００３５】［実施の形態の２］図２は本発明の第２の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 [0035] Figure 2 [2 Embodiment is a block diagram showing the configuration of the authentication agency service system according to the second embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、前述の従来技術２あるいは従来技術３において、認証代行サーバＳがクライアントＣの公開鍵Ｐｋ Authentication agent service system of the present embodiment, in the prior art 2 or the prior art 3 described above, the public authentication agent server S client C key Pk
Ｕ'−Ａ，ＰｋＵ'−ＢをサービスプロバイダＳＰ− U'-A, service provider PkU'-B SP-
Ａ，ＳＰ−Ｂに配送し、認証代行サーバＳには秘匿しておきたい情報をこの公開鍵ＰｋＵ'−Ａ，ＰｋＵ'−Ｂ A, was delivered to the SP-B, the authentication agent this public key information you wish to confidential to the server S PkU'-A, PkU'-B
を用いてサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ側で暗号化させて認証代行サーバＳに返却させ、この情報を認証代行サーバＳがクライアントＣに送信し、クライアントＣで秘密鍵ＳｋＵ'−Ａ，ＳｋＵ'−Ｂによって復号化させることで、認証代行サーバＳには漏洩することなく、サービスプロバイダＳＰ−Ａ，ＳＰ−ＢからクライアントＣへの情報転送を実現するものである。 Service Provider SP-A with, is encrypted with the SP-B side is returned to the authentication agent server S by this information authentication agent server S sends to the client C, the secret key SkU'-A client C, by causing decoded by SkU'-B, without leaking to the authentication agent server S, which realizes the transfer of information service providers SP-a, from SP-B to the client C.
【００３６】図２において、ＣｅｒｔＵ'−Ａ，Ｃｅｒ [0036] In FIG. 2, CertU'-A, Cer
ｔＵ'−ＢはそれぞれサービスプロバイダＳＰ−Ａ，Ｓ Each tU'-B is the service provider SP-A, S
Ｐ−Ｂに対するクライアントＣの暗号用公開鍵証明書、 The encryption public key certificate of the client C for the P-B,
ＰｋＵ'−Ａ，ＰｋＵ'−ＢはそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに対するクライアントＣの暗号用公開鍵、ＳｋＵ'−Ａ，ＳｋＵ'−ＢはそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに対するクライアントＣの暗号用秘密鍵である。 PkU'-A, PkU'-B Service Provider SP-A respectively, the public key encryption of the client C for SP-B, SkU'-A, respectively SkU'-B Service Provider SP-A, for SP-B it is a secret key for encryption of client C. 本実施の形態のシステムが従来技術２に対応する方式の場合には、秘密情報ＳｋＵ In the case of the configuration in which the system of the present embodiment corresponds to the prior art 2, the secret information SkU
−Ａ，ＳｋＵ−Ｂを用いてクライアントＣの認証が行われ、従来技術３に対応する方式の場合には、秘密情報Ｓ -A, authentication of the client C using SkU-B is performed, in the case of a corresponding manner to the prior art 3, the secret information S
ｋＰを用いてクライアントＣの認証が行われる。 Client C authentication is performed using the kP.
【００３７】次に、このような認証代行サービスシステムの動作を説明する。 [0037] Next, the operation of such an authentication proxy service system. サービス提供時、認証代行サーバＳは、クライアントＣが要求するサービスに応じた適切なサービスプロバイダＳＰ−Ａに対して、クライアントＣの暗号用公開鍵ＰｋＵ'−Ａを暗号用公開鍵証明書Ｃ When the service is provided, the authentication agent server S is, to the appropriate service provider SP-A in accordance with the service that the client C requests, public key certificate C for encryption the encryption public key PkU'-A of the client C
ｅｒｔＵ'−Ａに付加する形で配送すると共に、この公開鍵ＰｋＵ'−Ａを使った情報の暗号化要求を行う。 As well as delivery in the form to be added to the ertU'-A, performs encryption request for information using this public key PkU'-A.
【００３８】この認証代行サーバＳの要求により、サービスプロバイダＳＰ−Ａは、クライアントＣへ送信すべき情報を暗号用公開鍵証明書ＣｅｒｔＵ'−Ａに含まれる公開鍵ＰｋＵ'−Ａを用いて暗号化し、暗号化した情報を認証代行サーバＳに送信する。 [0038] at the request of the authentication proxy server S, a service provider SP-A is encrypted using the public key PkU'-A that contains the information to be transmitted to the client C to the encryption public key certificate CertU'-A However, to send the encrypted information to the authentication proxy server S. 認証代行サーバＳ The authentication agent server S
は、サービスプロバイダＳＰ−Ａから送信された情報を受け取り、この情報をクライアントＣへ転送すると共に、クライアントＣに対して復号化要求を行う。 Receives information transmitted from the service provider SP-A, and transfers this information to the client C, it performs decryption request to the client C.
【００３９】クライアントＣは、認証代行サーバＳから送信された情報を受け取り、この情報を自身が有する秘密鍵ＳｋＵ'−Ａを用いて復号化する。 [0039] The client C receives the information transmitted from the authentication proxy server S, is decrypted using the private key SkU'-A with the information itself. こうして、サービスプロバイダＳＰ−ＡからクライアントＣへの情報が認証代行サーバＳに漏洩することを防止でき、前記問題点１の部分的な解決が可能になる。 Thus, information from the service provider SP-A to the client C can be prevented from leaking to the authentication agent server S, it is possible to partially solve the problems 1. なお、以上の動作説明では、サービス提供がサービスプロバイダＳＰ−Ａによって行われる場合について説明しているが、サービス提供がサービスプロバイダＳＰ−Ｂによって行われる場合には、証明書ＣｅｒｔＵ'−Ａ、公開鍵ＰｋＵ'−Ａ In the above description, it has described the case where the service providing is performed by a service provider SP-A, if the service providing is performed by a service provider SP-B, the certificate CertU'-A, published key PkU'-A
の代わりにそれぞれＣｅｒｔＵ'−Ｂ、ＰｋＵ'−Ｂが用いられ、サービスプロバイダＳＰ−Ｂからの情報がクライアントＣに転送され、クライアントＣが秘密鍵Ｓｋ Each CertU'-B in place of, PkU'-B is used, information from the service provider SP-B is transferred to the client C, the secret key Sk client C
Ｕ'−Ｂを用いて情報を復号化する。 To decrypt the information using the U '-B.
【００４０】また、前記暗号化要求は、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂが自律的に行うことで省略することができ、同様に前記復号化要求は、クライアントＣ Further, the encrypted request can service provider SP-A, is SP-B is omitted by performing autonomously, likewise the decryption request, the client C
が自律的に行うことで省略することができる。 There can be omitted by performing autonomously. 本実施の形態では、秘密鍵ＳｋＵ'−Ａ，ＳｋＵ'−ＢをクライアントＣで管理しなくてはならず、サービス毎に秘密鍵が必要になってしまう、ただし、秘密鍵ＳｋＵ'−Ａ， In this embodiment, the secret key SkU'-A, not have to manage SkU'-B in the client C, becomes necessary secret key for each service, however, the secret key SkU'-A,
ＳｋＵ'−Ｂに対応する公開鍵証明書ＣｅｒｔＵ'− Public key certificate corresponding to the SkU'-B CertU'-
Ａ，ＣｅｒｔＵ'−Ｂの管理は認証代行サーバＳに委託することが可能である。 A, management of CertU'-B is able to delegate to the authentication agent server S. そのため、認証代行サーバＳの有り／無しに関わらず、そもそも暗号用の秘密鍵が必要なサービスに対しての適用が有効である。 Therefore, regardless of the No Yes / authentication proxy server S, the first place the application of the service that require a secret key for encryption is valid.
【００４１】また、認証代行サーバＳがクライアントＣ [0041] In addition, the authentication agent server S is the client C
に代わってサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂからクライアント認証を受ける処理（秘密情報ＳｋＵ−Ａ， Service provider on behalf of the SP-A, processing to receive a client certificate from the SP-B (secret information SkU-A,
ＳｋＵ−ＢあるいはＳｋＰによる署名の生成とこの署名のサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへの送信など）は、認証代行サーバＳによる公開鍵ＰｋＵ'−Ａ， SkU-B or SkP service provider of by the signature generation and the signature SP-A, such as sending to the SP-B), the public key PkU'-A by the authentication proxy server S,
ＰｋＵ'−Ｂの配送からクライアントＣによる情報の復号化に至る一連のシーケンスより前の時点、あるいは前記一連のシーケンスより後の時点のいずれに行ってもよい。 A series of previous time than the sequence extending from the delivery to the decoding of information by client C of PkU'-B, or may be performed any time after the series of sequences.
【００４２】［実施の形態の３］図３は本発明の第３の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 [0042] Figure 3 [3 Embodiment is a block diagram showing the structure of a third authentication agency service system to which the embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、実施の形態の１において、暗号用公開鍵Ｐ Authentication agent service system of the present embodiment, in the first embodiment, the encryption public key P
ｋＳＰ−Ａ，ＰｋＳＰ−ＢのクライアントＣへの配送時に、セッションキーの生成あるいはセッションキーの元となるデータの生成をクライアントＣに対して要求し、 KSP-A, upon delivery to the client C of pKsp-B, and requests the generation or production of the underlying data session key of the session key to the client C,
さらにこれらを暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ− Furthermore, public key PkSP-A for these encryption, PkSP-
Ｂを用いて暗号化させた上で返却させ、暗号化された情報をサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへ転送することで、認証代行サーバＳには漏洩することなく、クライアントＣとサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ間の双方向の情報転送を実現するものである。 With B to return on that is encrypted, by transferring the encrypted information service provider SP-A, the SP-B, without leaking to the authentication agent server S, a client C and service providers SP-a, realizes the two-way information transfer between SP-B.
【００４３】図３において、ＳＳｋＡ，ＳＳｋＢはそれぞれクライアントＣとサービスプロバイダＳＰ−Ａ間、 [0043] In FIG. 3, SSkA, respectively SSkB between the client C and the service provider SP-A,
クライアントＣとサービスプロバイダＳＰ−Ｂ間の暗号通信用セッションキー、ＳｄＳＳＫＡ，ＳｄＳＳｋＢはそれぞれ暗号通信用セッションキーＳＳｋＡ，ＳＳｋＢ Client C and the service provider SP-B between encrypted communication session keys, SdSSKA, SdSSkB each encrypted communication session keys SSkA, SSkB
の生成の元となる例えば乱数等のデータである。 Is data such that the underlying example random generation. 本実施の形態のシステムが従来技術２に対応する方式の場合には、秘密情報ＳｋＵ−Ａ，ＳｋＵ−Ｂを用いてクライアントＣの認証が行われ、従来技術３に対応する方式の場合には、秘密情報ＳｋＰを用いてクライアントＣの認証が行われる。 In the case of the configuration in which the system of the present embodiment corresponds to the prior art 2, in the case of the configuration in which the client C authentication is performed, corresponding to the prior art 3 by using the secret information SkU-A, SkU-B is , client C authentication is performed using the secret information SkP.
【００４４】次に、このような認証代行サービスシステムの動作を説明する。 [0044] Next, the operation of such an authentication proxy service system. サービス提供時、認証代行サーバＳは、クライアントＣが要求するサービスに応じて適切なサービスプロバイダＳＰ−Ａの暗号用公開鍵ＰｋＳＰ When the service is provided, the authentication agent server S is, public key PkSP for encryption of the appropriate service provider SP-A in accordance with the service that the client C requests
−ＡをクライアントＣに配送すると共に、暗号通信用セッションキーＳＳｋＡの生成要求あるいはセッションキーＳＳｋＡの元となるデータＳｄＳＳＫＡの生成要求、 While delivering -A client C, generates request or generation request data SdSSKA as a session key SSkA the original encrypted communication session keys SSkA,
公開鍵ＰｋＳＰ−Ａを用いたセッションキーＳＳｋＡあるいはデータＳｄＳＳＫＡの暗号化要求、暗号化された情報の返却要求をクライアントＣに対して行う。 Performing encryption session key SSkA or data SdSSKA using the public key pKsp-A request, a return request of the encrypted information to the client C.
【００４５】この認証代行サーバＳの要求により、クライアントＣは、暗号通信用セッションキーＳＳｋＡを生成する。 [0045] at the request of the authentication proxy server S, client C generates a session key SSkA for encrypted communication. また、クライアントＣは、場合によってはセッションキーＳＳｋＡの元となるデータＳｄＳＳＫＡを生成する。 The client C is optionally generates data SdSSKA as the original session key SSkA. そして、クライアントＣは、セッションキーＳ Then, the client C, the session key S
ＳｋＡあるいはデータＳｄＳＳＫＡを公開鍵ＰｋＳＰ− SkA or public key data SdSSKA PkSP-
Ａを用いて暗号化し、暗号化した情報を認証代行サーバＳに送信する。 Encrypted using the A, it transmits the encrypted information to the authentication proxy server S.
【００４６】認証代行サーバＳは、クライアントＣから送信された情報を受け取り、この情報をサービスプロバイダＳＰ−Ａへ転送すると共に、必要であればデータＳ The authentication agent server S receives the information transmitted from the client C, and transfers this information to the service provider SP-A, if necessary data S
ｄＳＳＫＡから暗号通信用セッションキーＳＳｋＡの生成をサービスプロバイダＳＰ−Ａに対して要求する。 Requesting the generation of encrypted communication session keys SSkA to the service provider SP-A from DSSKA.
【００４７】サービスプロバイダＳＰ−Ａは、認証代行サーバＳから送信された情報を受け取り、この情報を自身が有する秘密鍵ＳｋＳＰ−Ａを用いて復号化し、セッションキーＳＳｋＡを取得する。 The service provider SP-A receives the information transmitted from the authentication proxy server S, and decrypted using the private key SkSP-A with the information itself, acquires a session key SSkA. また、サービスプロバイダＳＰ−Ａは、認証代行サーバＳからセッションキーＳＳｋＡの生成を要求された場合、認証代行サーバＳから送信された情報を秘密鍵ＳｋＳＰ−Ａを用いて復号化して、データＳｄＳＳＫＡを取得して、このデータＳｄ Also, the service provider SP-A, if the authentication agent server S is requesting the generation of a session key SSkA, the information transmitted from the authentication proxy server S and decrypted using the private key SkSP-A, the data SdSSKA acquired, this data Sd
ＳＳＫＡからセッションキーＳＳｋＡを生成する。 It generates a session key SSkA from SSKA.
【００４８】以後、クライアントＣとサービスプロバイダＳＰ−Ａ間の双方向の通信について安全な情報のやりとりが可能となる。 [0048] Thereafter, exchange of secure information can be bi-directional communication between the client C and the service provider SP-A. すなわち、クライアントＣからサービスプロバイダＳＰ−Ａへ情報を送信する場合、クライアントＣは、送信すべき情報をセッションキーＳＳｋＡ That is, when transmitting the information from the client C to the service provider SP-A, the client C is information the session key SSkA be transmitted
を用いて暗号化した後に送信し、暗号化された情報を認証代行サーバＳを介して受け取ったサービスプロバイダＳＰ−Ａは、自身が有するセッションキーＳＳｋＡを用いて情報を復号化する。 Send after encrypting using the encryption service provider SP-A which information received via the authentication proxy server S decrypts the information using the session key SSkA with itself.
【００４９】一方、サービスプロバイダＳＰ−ＡからクライアントＣへ情報を送信する場合、サービスプロバイダＳＰ−Ａは、送信すべき情報をセッションキーＳＳｋ [0049] On the other hand, in the case of transmitting the information from the service provider SP-A to the client C, the service provider SP-A, the information the session key to be transmitted SSk
Ａを用いて暗号化した後に送信し、暗号化された情報を認証代行サーバＳを介して受け取ったクライアントＣ Send after encrypting using the A, client C to the encrypted information received via the authentication proxy server S
は、自身が有するセッションキーＳＳｋＡを用いて情報を復号化する。 Decrypts the information using the session key SSkA with itself.
【００５０】こうして、クライアントＣからサービスプロバイダＳＰ−Ａへの情報のみならず、サービスプロバイダＳＰ−ＡからクライアントＣへの情報配送においても、認証代行サーバＳに情報が漏洩することを防止することが可能になる。 [0050] Thus, not only the information from the client C to the service provider SP-A, also in the information delivery from the service provider SP-A to the client C, it is possible to prevent the information to the authentication proxy server S is leaked possible to become. なお、以上の動作説明では、サービス提供がサービスプロバイダＳＰ−Ａによって行われる場合について説明しているが、サービス提供がサービスプロバイダＳＰ−Ｂによって行われる場合には、公開鍵ＰｋＳＰ−Ａ、セッションキーＳＳｋＡ、データＳｄＳ In the above in the description of the operation, if the service provided has been described for the case to be performed by the service provider SP-A, the service providing is performed by a service provider SP-B the public key pKsp-A, the session key SSkA, data SdS
ＳＫＡの代わりにそれぞれＰｋＳＰ−Ｂ、セッションキーＳＳｋＢ、情報ＳｄＳＳＫＢが用いられ、クライアントＣからの情報がサービスプロバイダＳＰ−Ｂに転送され、サービスプロバイダＳＰ−ＢがデータＳｄＳＳＫＢ Each pKsp-B instead of SKA, session key SSkB, information SdSSKB is used, information from the client C is transferred to the service provider SP-B, the service provider SP-B data SdSSKB
からセッションキーＳＳｋＢを生成する。 It generates a session key SSkB from.
【００５１】また、前記生成要求、暗号化要求、暗号化された情報の返却要求はクライアントＣが自律的に行うことで省略することができ、同様に前記生成要求はサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂが自律的に行うことで省略することができる。 [0051] Further, the generation request, the encryption request, return request of the encrypted information can be omitted by the client C autonomously performs similarly the generation request is the service provider SP-A, SP -B can be omitted by performing autonomously.
【００５２】また、認証代行サーバＳがクライアントＣ [0052] In addition, the authentication agent server S is the client C
ＳｋＵ−ＢあるいはＳｋＰによる署名の生成とこの署名のサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへの送信など）は、認証代行サーバＳによる公開鍵ＰｋＳＰ−Ａ， SkU-B or SkP service provider of by the signature generation and the signature SP-A, such as sending to the SP-B), the public key PkSP-A by the authentication proxy server S,
ＰｋＳＰ−Ｂの配送からサービスプロバイダＳＰ−Ａ， Service provider SP-A from the delivery of PkSP-B,
ＳＰ−ＢによるセッションキーＳＳｋＡの生成に至る一連のシーケンスより前の時点、暗号化されたセッションキーＳＳｋＡ，ＳＳｋＢあるいはデータＳｄＳＳＫＡ， A series of time before the sequence leading to the generation of a session key SSkA by SP-B, an encrypted session key SSkA, SSkB or data SdSSKA,
ＳｄＳＳｋＢをサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ Service SdSSkB provider SP-A, SP-B
に配送する時点、あるいは前記一連のシーケンスより後の時点のいずれに行ってもよい。 Time delivered to, or may be performed any time after the series of sequences.
【００５３】［実施の形態の４］図４は本発明の第４の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 [0053] Figure 4 [4 Embodiment is a block diagram showing the configuration of the authentication agency service system to which the fourth embodiment of the present invention. 実施の形態の１あるいは実施の形態の３では、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂの暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂを誰がどのように検証するかという問題が存在する。 In 3 of 1 or embodiment of the embodiment, the service provider SP-A, the public key encryption of SP-B PkSP-A, the question of who the pKsp-B How to verify there. 例えば、認証代行サーバＳに公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂの検証（例えば、公開鍵証明書の認証局署名の検証やＣＲＬのチェックなど）を委託した場合には、以下のような問題が生じる。 For example, public key PkSP-A to the authentication agent server S, verification (for example, the public such as verification and CRL of the check of the key of the certificate authority signature) of PkSP-B in the case of commissioned is, the following problems occur.
【００５４】すなわち、偽の公開鍵を認証代行サーバＳ [0054] In other words, authenticating the public key of false proxy server S
からクライアントＣに配送し、クライアントＣからサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへの情報を認証代行サーバＳが認知している、偽の公開鍵に対応する秘密鍵を用いて復号化した上で、この復号化した情報を改めて正しい公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂを用いて暗号化してサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへ送信するという操作を行えば、認証代行サーバＳにおいて情報を不正に取得することが可能になる。 From and delivered to the client C, the service provider SP-A from the client C, information authentication proxy server S to SP-B is recognized, on the decrypted using the private key corresponding to the public key of the false , by performing the operation of transmitting the decrypted again correct public key information pKsp-a, the service provider encrypts using pkSP-B SP-a, the SP-B, the information in the authentication agent server S fraudulent it is possible to get to.
【００５５】そこで、本実施の形態の認証代行サービスシステムは、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂの暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂの検証を認証代行サーバＳからクライアントＣに対して要求する。 [0055] Therefore, the authentication agent service system of the present embodiment, the service provider SP-A, the encryption public key PkSP-A of SP-B, to the client C the verification of PkSP-B from the authentication proxy server S to request. すなわち、認証代行サーバＳは、暗号用公開鍵ＰｋＳＰ− In other words, the authentication proxy server S is, public-key encryption PkSP-
Ａ，ＰｋＳＰ−Ｂと共に、暗号用公開鍵証明書Ｃｅｒｔ A, along with the PkSP-B, the public key certificate Cert encryption
ＳＰ−Ａ，ＣｅｒｔＳＰ−ＢをクライアントＣへ配送する。 Delivery SP-A, the CertSP-B to the client C.
【００５６】クライアントＣは、例えば上位認証局の証明書をサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ毎に保持しており、認証代行サーバＳから配送されてきた公開鍵証明書ＣｅｒｔＳＰ−Ａ，ＣｅｒｔＳＰ−Ｂを上位認証局の証明書を用いて検証する。 [0056] The client C is, for example, higher-level certification authority of the certificate service provider SP-A, has been held for each SP-B, the public key certificate CertSP-A, which has been delivered from the authentication proxy server S, CertSP- B and verified using the certificate of the upper certificate authority. また、クライアントＣ In addition, client C
は、公開鍵証明書ＣｅｒｔＳＰ−Ａ，ＣｅｒｔＳＰ−Ｂ The public key certificate CertSP-A, CertSP-B
が失効していないかどうかの確認を証明書取り消しリスト（Certificate Revocation List 、以下、ＣＲＬと略する）に基づいて行う。 There revoked the confirmation of whether or not the certificate revocation list (Certificate Revocation List, hereinafter abbreviated as CRL) carried out on the basis of.
【００５７】こうして、暗号用公開鍵ＰｋＳＰ−Ａ，Ｐ [0057] In this way, the encryption public key PkSP-A, P
ｋＳＰ−Ｂの検証を行うことができる。 Verification of kSP-B can be carried out. なお、認証代行サーバＳはクライアントＣにとっては十分に信頼でき、 In addition, the authentication agent server S can be sufficiently reliable for the client C,
偽の公開鍵をクライアントＣに配送することは考慮しなくてよい場合が多い。 Be delivered a public key of the false to the client C is often the case that does not need to be considered. すなわち、一般には、クライアントＣとサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ間の双方向の通信に係る情報漏洩については信頼しきれないが、 That is, in general, the client C and the service provider SP-A, but not be reliable for information leakage according to the two-way communication between the SP-B,
偽の公開鍵配送については考慮しなくてよいという場合が多く、実施の形態の１あるいは３で十分である。 If that the public key distribution fake may not be considered a number, it is sufficient 1 or 3 of the embodiment.
【００５８】その理由は、認証代行サーバＳの運用作業者や認証代行サーバＳに不正にアクセスする外部侵入者にとっては、サーバＳ内で平文になる情報を盗む方が、 [0058] The reason for this is that, for the external intruder to gain unauthorized access to the production workers and the authentication agent server S of the authentication agent server S, is better to steal the information that is in plain text in the server S,
偽の公開鍵配送による一連の不正行為を実施するよりも実行が容易だからである。 This is because it is easy execution than performing a series of illegal actions by public-key delivery of false. また、前記検証要求は、クライアントＣが公開鍵の検証を自律的に行うことで省略することができる。 Moreover, the verification request can be omitted by client C verifies the public key autonomously.
【００５９】［実施の形態の５］図５は本発明の第５の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 [0059] [5 Embodiment 5 is a block diagram showing a configuration of a fifth authentication agency service system to which the embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、実施の形態の１あるいは３のシステムにおいて、公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂを用いて暗号化される、クライアントＣからサービスプロバイダＳＰ Authentication agent service system of the present embodiment, in the 1 or 3 of the system of the embodiment, public key pKsp-A, is encrypted using the pKsp-B, the service provider SP the client C
−Ａ，ＳＰ−Ｂへの情報の配送を利用して、クライアントＣに認証代行サーバＳで復号化ができないような形での認証情報を要求し、この認証情報を認証代行サーバＳ -A, by utilizing the delivery of information to SP-B, to request the authentication information in a form which can not decrypt the client C in the authentication agent server S, the authentication information authentication proxy server S
からサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへ転送して、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂでクライアント認証を行うものである。 Forwarding the service provider SP-A, the SP-B from and performs client authentication service provider SP-A, SP-B.
【００６０】図５において、Ａ，ＢはそれぞれサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに対応するクライアントＣの認証情報である。 [0060] In FIG. 5, A, B is the authentication information of each service provider SP-A, the client C corresponding to the SP-B. 認証代行サーバＳは、暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−ＢをクライアントＣに配送する際に、この公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂを使った認証情報Ａ，Ｂの暗号化要求をクライアントＣに対して行う。 The authentication agent server S, the client at the time of delivery encryption public key PkSP-A, the PkSP-B to the client C, this public key PkSP-A, authentication information A using the PkSP-B, B-encrypted request performed for C.
【００６１】クライアントＣは、サービスプロバイダＳ [0061] client C, service provider S
Ｐ−Ａへ送信すべき情報を公開鍵ＰｋＳＰ−Ａを用いて暗号化する際に、公開鍵ＰｋＳＰ−Ａを用いて認証情報（パスワード）Ａを暗号化し、この暗号化された認証情報Ａを実施の形態の１あるいは３で説明した他の情報と共に認証代行サーバＳへ送信する。 When encrypting using P-A public information to be transmitted to the key pKsp-A, it encrypts the authentication information (password) A using the public key pKsp-A, the encrypted authentication information A along with other information described in 1 or 3 of the embodiment transmits to the authentication proxy server S. 同様に、クライアントＣは、サービスプロバイダＳＰ−Ｂへ送信すべき情報を公開鍵ＰｋＳＰ−Ｂを用いて暗号化する際に、公開鍵ＰｋＳＰ−Ｂを用いて認証情報（パスワード）Ｂを暗号化し、この暗号化された認証情報Ｂを実施の形態の１あるいは３で説明した他の情報と共に認証代行サーバＳへ送信する。 Similarly, client C, when encrypting with the public key pKsp-B information to be transmitted to the service provider SP-B, encrypts the authentication information (password) B using the public key pKsp-B, together with other information that describes the encrypted authentication information B in 1 or 3 of the embodiment transmits to the authentication proxy server S.
【００６２】サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ [0062] The service provider SP-A, SP-B
は、クライアントＣから送信され認証代行サーバＳによって転送された情報を受け取り、この情報を暗号用秘密鍵ＳｋＳＰ−Ａ，ＳｋＳＰ−Ｂを用いて復号化して、認証情報Ａ，Ｂを取得する。 Receives the information forwarded by the send authentication proxy server S from the client C, the encryption private key this information SkSP-A, and decrypted using the SkSP-B, acquires the authentication information A, B. そして、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂは、認証情報Ａ，Ｂを基にクライアントＣの認証を行う。 Then, the service provider SP-A, SP-B performs the authentication information A, B based on the authentication of the client C.
【００６３】こうして、認証代行サーバＳがクライアントＣになりすますことを防ぐことができ、前記問題点２ [0063] Thus, it is possible to prevent the authentication proxy server S is impersonate the client C, the problem 2
を解決することができる。 It can be solved. また、認証代行サーバＳが自身の秘密情報ＳｋＰでクライアント認証を受けたとしても、サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂは、クライアントＣの直接認証が可能で、かつ認証代行サーバＳがクライアントＣになりすますことを防ぐ手段を有していることになり、認証代行サーバＳの責任を軽減させることが可能となる（前記問題点３の解決）。 Further, even if the authentication agent server S receives client authentication with its own secret information SKP, service provider SP-A, SP-B is capable of direct authentication of the client C, and the authentication agent server S to the client C impersonating it will be have a means of preventing, it becomes possible to reduce the responsibility of the authentication proxy server S (solving the problem 3).
【００６４】認証代行サーバＳを用いる利点の一つは、 [0064] One of the advantages of using the authentication proxy server S,
クライアントＣで管理する秘密情報の数を減少させることであるから、本実施の形態での認証情報Ａ，Ｂは認証代行サーバＳで管理しているものと比べて簡易なものとすることが一般的となる。 Since is to reduce the number of secret information managed by the client C, the authentication information A of the present embodiment, B is be simplified as compared with those managed by the authentication agent server S General It becomes a target. 例えば、認証代行サーバＳ For example, the authentication agent server S
は、秘密情報ＳｋＵ−Ａ，ＳｋＵ−ＢあるいはＳｋＰを利用したクライアント認証処理を行い、クライアントＣ Performs client authentication process using the secret information SkU-A, SkU-B or SkP, client C
は、前記秘密情報よりも簡易なパスワードを認証情報として認証代行サーバＳに秘匿した形でサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂに送ることでクライアント認証を受ける。 Receives a client authentication by sending the service provider in a manner that was concealed in the authentication agent server S as the authentication information a simple password than the secret information SP-A, the SP-B.
【００６５】なお、毎回、同一のパスワードを転送する場合には、認証代行サーバＳによるリプレイ攻撃が可能になるため、シリアル値や時刻情報、あるいは実施の形態の３で説明したセッションキーと認証情報とを組み合わせて転送することも有効である。 [0065] In addition, every time, in the case of transferring the same password, since it is possible to replay attack by the authentication proxy server S, serial value and time information, or a session key that is described in the third embodiment authentication information it is also effective to transfer a combination of and.
【００６６】［実施の形態の６］図６は本発明の第６の実施の形態となる認証代行サーバＳの構成を示すブロック図である。 [0066] Figure 6 [6 Embodiment is the sixth block diagram showing a structure of an authentication proxy server S as the embodiment of the present invention. 図６に示す認証代行サーバＳは、実施の形態の１〜５の認証代行サービスシステムを実現するものである。 Authentication proxy server S shown in FIG. 6 is for realizing a 1-5 authentication agent service system of the embodiment. 認証代行サーバＳは、少なくともクライアントＣの認証機能、及び暗号用公開鍵配送機能を持ち、実施の形態の３以外の場合には暗号用公開鍵証明書検証機能を持つ。 The authentication agent server S is, at least client C authentication function of, and have the encryption public key distribution function, in the case of other than 3 of the embodiment has a public key certificate verification function for encryption.
【００６７】なお、認証代行サーバＳがクライアントＣ [0067] In addition, the authentication agent server S is the client C
に代わってサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂからクライアント認証を受ける処理を従来技術２の方式で行う場合には、ＳｋＰ記憶器１０及びＣｅｒｔＰ記憶器１ When performing a service provider SP-A, SP-B from processing the prior art 2 for receiving the client authentication method in place of, SKP storage 10 and CertP storage device 1
１は不要であり、従来技術３の方式で行う場合には、Ｓ 1 is not necessary, in the case where in the manner of the prior art 3, S
ｋＵ−Ａ記憶器８及びＣｅｒｔＵ−Ａ記憶器９は不要である。 kU-A storage device 8 and CertU-A storage device 9 is not necessary.
【００６８】ＳｋＵ−Ｐ記憶器１は、認証代行サーバＳ [0068] SkU-P storage device 1, the authentication agent server S
とクライアントＣ間の認証に用いるための秘密情報Ｓｋ Secret information Sk for use and for authentication between the client C
Ｕ−Ｐを記憶し、ＣｅｒｔＵ−Ｐ記憶器２は、秘密情報ＳｋＵ−Ｐに対応した証明書ＣｅｒｔＵ−Ｐを記憶している。 Stores U-P, CertU-P storage device 2 stores a certificate CertU-P corresponding to the secret information SkU-P. 秘密情報ＳｋＵ−Ｐと証明書ＣｅｒｔＵ−Ｐとは、各クライアントＣ毎に記憶されている。 A secret SkU-P and certificates CertU-P is stored for each client C.
【００６９】ＳｋＵ−Ｐ検証器３は、クライアントＣから送信され送受信装置１４で受信された秘密情報ＳｋＵ [0069] SkU-P verifier 3, secret information is received by the transceiver 14 is transmitted from the client C SkU
−Ｐ、証明書ＣｅｒｔＵ−Ｐ、あるいは秘密情報ＳｋＵ -P, certificate CertU-P or secret information SkU,
−Ｐと証明書ＣｅｒｔＵ−Ｐとを基に、ＳｋＵ−Ｐ記憶器１及びＣｅｒｔＵ−Ｐ記憶器２を参照して、クライアントＣの認証を行う。 Based on and a certificate CertU-P -P, with reference to SkU-P storage device 1 and CertU-P storage device 2, performs the authentication of the client C. ＳｋＵ−Ｐ検証器３は、一般には各クライアントＣの識別番号とそれぞれの秘密情報Ｓｋ SkU-P verifier 3 is generally identification number and the respective secret information Sk for each client C
Ｕ−Ｐの対応表を参照することで、クライアントＣの認証を行う。 By referring to the correspondence table of U-P, to authenticate the client C.
【００７０】ＳＰ−Ａ公開鍵記憶器４は、暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂ（ＰｋＵ'−Ａ，ＰｋＵ' [0070] SP-A public key storage unit 4, the encryption public key PkSP-A, PkSP-B (PkU'-A, PkU '
−Ｂ）を記憶し、ＳＰ−Ａ公開鍵証明書ＣＲＬ記憶器５ -B) to store, SP-A public key certificate CRL storage unit 5
は、この暗号用公開鍵に対応する公開鍵証明書Ｃｅｒｔ The public key certificate Cert corresponding to the encryption public key
ＳＰ−Ａ，ＣｅｒｔＳＰ−Ｂ（ＣｅｒｔＵ'−Ａ，Ｃｅ SP-A, CertSP-B (CertU'-A, Ce
ｒｔＵ'−Ｂ）のＣＲＬを記憶し、ＳＰ−Ａ上位認証局公開鍵証明書記憶器６は、上位認証局の公開鍵証明書を記憶している。 Storing the CRL of rtU'-B), SP-A root certificate authority public key certificate storage unit 6 stores the public key certificate of the upper certificate authority. 暗号用公開鍵とＣＲＬと上位認証局の公開鍵証明書とは、各サービスプロバイダＳＰ−Ａ，ＳＰ The public key certificate of encryption public key and CRL and the upper certificate authority, each service provider SP-A, SP
−Ｂ毎に記憶されている。 It is stored for each -B.
【００７１】ＳＰ公開鍵証明書検証器７は、ＳＰ−Ａ公開鍵記憶器４、ＳＰ−Ａ公開鍵証明書ＣＲＬ記憶器５及びＳＰ−Ａ上位認証局公開鍵証明書記憶器６を参照して、暗号用公開鍵の検証を行う。 [0071] SP public key certificate verification unit 7 refers to the SP-A public key storage device 4, SP-A public key certificate CRL memory unit 5 and SP-A-level certificate authority public key certificate storage unit 6 Te, it verifies the encryption public key. なお、図６では図示していないが、実際には、ＣＲＬを取得する手段と、上位認証局公開鍵証明書を取得する手段が別途必要となる。 Although not shown in FIG. 6, in fact, a means for obtaining a CRL, means for obtaining a root certificate authority public key certificate is additionally required.
【００７２】ＳｋＵ−Ａ記憶器８は、秘密情報ＳｋＵ− [0072] SkU-A storage unit 8, secret information SkU-
Ａ，ＳｋＵ−Ｂを記憶し、ＣｅｒｔＵ−Ａ記憶器９は、 A, stores SkU-B, CertU-A storage device 9,
秘密情報ＳｋＵ−Ａ，ＳｋＵ−Ｂに対応した証明書Ｃｅ Secret information SkU-A, certificate Ce corresponding to the SkU-B
ｒｔＵ−Ａ，ＣｅｒｔＵ−Ｂを記憶している。 RTU-A, stores CertU-B. 秘密情報ＳｋＵ−Ａ，ＳｋＵ−Ｂと証明書ＣｅｒｔＵ−Ａ，Ｃｅ Secret information SkU-A, SkU-B and certificates CertU-A, Ce
ｒｔＵ−Ｂとは、各サービスプロバイダＳＰ−Ａ，ＳＰ The rtU-B, each service provider SP-A, SP
−Ｂ毎及び各クライアントＣ毎に記憶されている。 It is stored for each and every individual client C -B.
【００７３】ＳｋＰ記憶器１０は、サーバＳ自身の秘密情報ＳｋＰを記憶し、ＣｅｒｔＰ記憶器１１は、秘密情報ＳｋＰに対応した証明書ＣｅｒｔＰを記憶している。 [0073] SkP storage device 10 stores the secret information SkP of server S itself, CertP storage device 11 stores the certificate CertP corresponding to the secret information SkP.
署名生成器１２は、所定の通信文を秘密情報ＳｋＵ− Signature generator 12, the secret information a predetermined communication statement SkU-
Ａ，ＳｋＵ−ＢあるいはＳｋＰを用いて暗号化した署名を生成し、この署名を送受信装置１４を介してサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへ送信する。 A, generating an encrypted signature using SkU-B or SKP, sends this signature via the transceiver device 14 the service provider SP-A, the SP-B. 場合によっては、署名生成器１２は、前記署名と共に証明書Ｃｅｒ In some cases, the signature generator 12, the certificate Cer with the signature
ｔＵ−Ａ，ＣｅｒｔＵ−ＢあるいはＣｅｒｔＰをサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂへ送信する。 tU-A, sends a CertU-B or CertP service provider SP-A, the SP-B.
【００７４】代行処理部１３は、実施の形態の１〜５で説明した処理以外の代行処理を必要に応じて行う。 [0074] proxy processing unit 13, when necessary alternate processing other than that described in the fifth embodiment. 送受信装置１４は、ネットワークを介してクライアントＣ及びサービスプロバイダＳＰ−Ａ，ＳＰ−Ｂと接続され、 Transceiver 14 is connected via a network client C and the service provider SP-A, and SP-B,
クライアントＣ及びサービスプロバイダＳＰ−Ａ，ＳＰ Client C and service provider SP-A, SP
−Ｂとの間で情報の送受信を行う。 Transmitting and receiving information to and from -B.
【００７５】なお、本実施の形態では、クライアント認証として公開鍵暗号を利用した認証方式によるものを想定しているが、認証方式によっては署名生成器１２、Ｓ [0075] In the present embodiment, it is assumed that due to authentication using public key cryptography as client authentication, the signature generator 12, depending on the authentication method S
ｋＵ−Ｐ検証器３、及び証明書Ｃｅｒｔ類の記憶器５， kU-P verifier 3, and the storage unit 5 of the certificate Cert acids,
６，９，１１は不必要になる。 6, 9, 11 will be unnecessary. 例えば、パスワード認証では証明書は必要がなく、また署名生成器１２も必要ない。 For example, it is not necessary certificate password authentication, also need not be signed generator 12.
【００７６】以上のような認証代行サーバＳは、インターネット上などネットワーク上のサーバ、企業内ＬＡＮ [0076] more than the authentication agent server S, such as, the server on the network, such as on the Internet, corporate LAN
や家庭内ＬＡＮからインターネットなど広域ネットワークヘのゲートウェイとして設置が可能であり、例えば、 And the home LAN are possible installation as a gateway of the wide area network F such as the Internet, for example,
ワークステーション、パーソナルコンピュータ、ルータ、ターミナルアダプタなどの上でのソフトウェア、ハードウェア及び周辺機器として実現される。 Workstations, personal computers, routers, software on such a terminal adapter is implemented as hardware and peripherals.
【００７７】［実施の形態の７］図７は本発明の第７の実施の形態となるクライアントＣの構成を示すブロック図である。 [0077] [7 Embodiment 7 is a seventh block diagram illustrating an become client C configuration embodiment of the present invention. 図７に示すクライアントＣは、実施の形態の１〜５の認証代行サービスシステムを実現するものである。 Client C shown in FIG. 7, it is realized 1-5 authentication agent service system of the embodiment. クライアントＣは、少なくとも暗号用公開鍵受信機能、暗号用公開鍵による暗号化機能を持ち、実施の形態の２の場合にはクライアント暗号用秘密鍵による復号化機能、実施の形態の３の場合にはセッションキー生成／ Client C, at least the encryption public key receiving function has an encryption function according to the encryption public key, decryption function by the second secret-key for the client encryption in the case of the embodiment, in the case of 3 of the embodiment the session key generation /
送信機能及びセッションキーによる暗号化／復号化機能、実施の形態の４の場合には暗号用公開鍵証明書検証機能を持つ。 Transmission function and the encryption / decryption function using a session key, in the case of 4 of the embodiment has a public key certificate validation encryption.
【００７８】つまり、実施の形態の２以外の場合には、 [0078] In other words, in the case of other than 2 of the embodiment,
ＳｋＵ'−Ａ記憶器２６及び復号器２７は不要であり、 SkU'-A memory 26 and decoder 27 is not required,
実施の形態の３以外の場合には、ＳＳｋ生成器２８、Ｓ If other than 3 of the embodiment, SSk generator 28, S
Ｓｋ一時記憶器２９、ＳｄＳＳＫ生成器３０及び暗号化／復号化器３１は不要であり、実施の形態の４以外の場合には、ＳＰ公開鍵証明書ＣＲＬ記憶器３２、ＳＰ上位認証局公開鍵証明書記憶器３３及びＳＰ公開鍵証明書検証器３４は不要である。 Sk temporary storage unit 29, SdSSK generator 30 and an encryption / decryption unit 31 is not necessary, in cases other than 4 of the embodiment, SP public key certificate CRL storage unit 32, SP upper certificate authority public key certificate storage unit 33 and SP public key certificate validation unit 34 is unnecessary.
【００７９】ＳｋＵ−Ｐ記憶器２１は、認証代行サーバＳと自クライアントＣ間の認証に用いるための秘密情報ＳｋＵ−Ｐを記憶し、ＣｅｒｔＵ−Ｐ記憶器２２は、秘密情報ＳｋＵ−Ｐに対応した証明書ＣｅｒｔＵ−Ｐを記憶している。 [0079] SkU-P storage unit 21 stores the secret information SkU-P for use in the authentication agent server S and authentication between the own client C, CertU-P storage unit 22, corresponding to the secret information SkU-P stores the certificate CertU-P. 署名生成器２３は、所定の通信文を秘密情報ＳｋＵ−Ｐを用いて暗号化した署名を生成し、この署名を送受信装置３６を介して認証代行サーバＳへ送信する。 Signature generator 23 generates an encrypted signature using the private information SkU-P a predetermined communication statement, and transmits the signature via the transceiver 36 to the authentication proxy server S. 場合によっては、署名生成器２３は、前記署名と共に証明書ＣｅｒｔＵ−Ｐを認証代行サーバＳへ送信する。 In some cases, the signature generator 23 sends the certificate CertU-P to the authentication proxy server S along with the signature.
【００８０】ＳＰ公開鍵一時記憶器２４は、認証代行サーバＳから送信され送受信装置３６で受信された暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂを記憶している。 [0080] SP public key temporary storing unit 24, the public encryption received by transceiver 36 is transmitted from the authentication proxy server S key pKsp-A, and stores the pKsp-B. 暗号化器２５は、この暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳ Encryption unit 25, the encryption public key PkSP-A, PkS
Ｐ−Ｂを用いて情報の暗号化を行い、暗号化された情報を送受信装置３６を介して認証代行サーバＳへ送信する。 It performs encryption of information using the P-B, transmits the encrypted information via the transceiver device 36 to the authentication proxy server S.
【００８１】ＳｋＵ'−Ａ記憶器２６は、暗号用秘密鍵ＳｋＵ'−Ａ，ＳｋＵ'−Ｂを記憶している。 [0081] SkU'-A storage device 26, the encryption secret key SkU'-A, and stores the SkU'-B. この暗号用秘密鍵は、各サービスプロバイダＳＰ−Ａ，ＳＰ−Ｂ The private key for this cipher, each service provider SP-A, SP-B
毎に記憶されている。 It is stored for each. 復号器２７は、認証代行サーバＳ Decoder 27, the authentication proxy server S
から送信され送受信装置３６で受信された情報を暗号用秘密鍵ＳｋＵ'−Ａ，ＳｋＵ'−Ｂを用いて復号化する。 Sent transceiver private key encryption information received by 36 SkU'-A from and decoded using SkU'-B.
【００８２】ＳＳｋ生成器２８は、暗号通信用セッションキーＳＳｋＡ，ＳＳｋＢを生成し、ＳＳｋ一時記憶器２９は、この暗号通信用セッションキーＳＳｋＡ，ＳＳ [0082] SSk generator 28, encrypted communication session keys SSkA, generates SSkB, SSk temporary storage unit 29, the encrypted communication session keys SSkA, SS
ｋＢを記憶する。 And stores the kB. ＳｄＳＳＫ生成器３０は、セッションキーＳＳｋＡ，ＳＳｋＢの元となるデータＳｄＳＳＫ SdSSK generator 30, a session key SSkA, data becomes SSkB original SdSSK
Ａ，ＳｄＳＳｋＢを生成する。 A, to generate a SdSSkB.
【００８３】暗号化／復号化器３１は、送信すべき情報をセッションキーＳＳｋＡ，ＳＳｋＢを用いて暗号化し、暗号化された情報を送受信装置３６を介して認証代行サーバＳへ送信する。 [0083] The encryption / decryption unit 31, transmits information to be the session key SSkA, encrypted using the SSkB, it transmits the encrypted information via the transceiver device 36 to the authentication proxy server S. また、暗号化／復号化器３１ Further, the encryption / decryption unit 31
は、認証代行サーバＳから送信され送受信装置３６で受信された、暗号化された情報をセッションキーＳＳｋ The authentication proxy server S received by the transceiver 36 is transmitted from the encrypted information the session key SSk
Ａ，ＳＳｋＢを用いて復号化する。 A, is decoded using SSkB.
【００８４】ＳＰ公開鍵証明書ＣＲＬ記憶器３２は、暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂに対応する公開鍵証明書ＣｅｒｔＳＰ−Ａ，ＣｅｒｔＳＰ−ＢのＣＲＬ [0084] SP public key certificate CRL storage unit 32, the encryption public key PkSP-A, the public key certificate CertSP-A corresponding to the PkSP-B, CRL of CertSP-B
を記憶し、ＳＰ上位認証局公開鍵証明書記憶器３３は、 Store, SP-level certificate authority public key certificate storage unit 33,
上位認証局の公開鍵証明書を記憶している。 Stores the public key certificate of the upper certificate authority. ＣＲＬと上位認証局の公開鍵証明書とは、各サービスプロバイダＳ The public key certificate of the CRL and the higher-level certificate authority, each service provider S
Ｐ−Ａ，ＳＰ−Ｂ毎に記憶されている。 P-A, is stored for each SP-B.
【００８５】ＳＰ公開鍵証明書検証器３４は、ＳＰ公開鍵証明書ＣＲＬ記憶器３２及びＳＰ上位認証局公開鍵証明書記憶器３３を参照して、認証代行サーバＳから送信され送受信装置３６で受信された暗号用公開鍵ＰｋＳＰ [0085] SP public key certificate validation unit 34 refers to the SP's public key certificate CRL storage unit 32 and SP superior CA public key certificate storage unit 33, in transmitted from the authentication agent server S transceiver 36 for the received encrypted public key PkSP
−Ａ，ＰｋＳＰ−Ｂの検証を行う。 -A, the verification of PkSP-B perform. なお、図７では図示していないが、実際には、ＣＲＬを取得する手段と、上位認証局公開鍵証明書を取得する手段が別途必要となる。 Although not shown in FIG. 7, in fact, a means for obtaining a CRL, means for obtaining a root certificate authority public key certificate is additionally required.
【００８６】入出力装置３５は、クライアントＣの利用者からの指示が入力されると、この指示をクライアントＣ内の各構成に出力すると共に、利用者に対して情報を出力する。 [0086] input-output device 35, an instruction from a user of the client C is input, and outputs the instruction to the configuration of the client C, and outputs the information to the user. 送受信装置３６は、ネットワークを介して認証代行サーバＳと接続され、認証代行サーバＳとの間で情報の送受信を行う。 Transceiver 36, via a network connected to the authentication agent server S, to transmit and receive information to and from the authentication agent server S.
【００８７】なお、本実施の形態においても、認証代行サーバＳに対するクライアント認証機能は公開鍵暗号方式を想定しているが、認証方式によっては不必要になる回路が存在する。 [0087] Also in this embodiment, the client authentication function to the authentication proxy server S is assumed to public key cryptography, the authentication method is present the circuit becomes unnecessary. 以上のようなクライアント装置Ｃは、 The client device C as described above,
パーソナルコンピュータ上のソフトウェアとして実現される。 It is implemented as software on a personal computer. また、一部若しくは全部の機能をスマートカード（ＩＣカード）などの安全なデバイス上で実現することも可能である。 It is also possible to implement some or all of the functions on a secure device such as a smart card (IC card).
【００８８】例えば、ＳｋＵ−Ｐ記憶器２１、Ｃｅｒｔ [0088] For example, SkU-P storage unit 21, Cert
Ｕ−Ｐ記憶器２２及び署名生成器２３の機能をスマートカードに持たせ、残りの機能をスマートカードのリーダ／ライタ機能を備えたコンピュータ、電話機あるいはセットトップボックス等の処理装置に持たせることが可能であり、ＳｋＵ−Ｐ記憶器２１、ＣｅｒｔＵ−Ｐ記憶器２２及び署名生成器２３の機能と共にＳＰ公開鍵一時記憶器２４及び暗号化器２５の機能をスマートカードに持たせ、残りの機能を処理装置に持たせることも可能である。 Function to have the smart card of the U-P storage 22 and the signature generator 23, a computer equipped with a reader / writer function of the smart card and the remaining functions, be imparted to the processing device, such as telephone or a set-top box is possible, the function of SkU-P storage unit 21, CertU-P storage 22 and the signature generator 23 SP public key temporary storing unit 24 and encryptor 25 with functionality to have the smart card, the remaining functions it is also possible to provide the processing unit.
【００８９】［実施の形態の８］図８、図９は本発明の第８の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 [0089] [Embodiment 8] FIG. 8, FIG. 9 is a sequence diagram showing an operation of the authentication agency service system to which the eighth embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、実施の形態の５で説明したシステムをネットワークデビット決済用サーバ管理型ウォレットに適用したものである。 Authentication agent service system of the present embodiment is an application of the system described in the fifth embodiment a server managed Wallet network debit.
【００９０】ここで、ネットワークデビット決済の方式としては、ＳＥＴ（Online PIN Extensionを含む）あるいはＳＥＣＥを想定している。 [0090] Here, as the method of network debit settlement, SET is assumed (Online PIN including the Extension) or SECE. ネットワークデビット決済では、利用者、加盟店、金融機関ゲートウェイの３者間での取引となるが、サーバ管理型ウォレットは、利用者のクライアントソフトヘの処理負担を軽減するため、 Because in the network debit settlement, user, merchant, but the transactions between three parties of the financial institution gateway, server management type wallet, to reduce the processing load on the client software f of the user,
一般にネットワーク上に設置したサーバ上で動作するソフトである。 Generally a software running on installed servers on the network. 現在、発表されているサーバ管理型ウォレットは、従来技術２に相当し、利用者が入力した銀行口座の暗証番号（ＰＩＮ）をサーバウォレットの動作するサーバで見ることができてしまう。 Currently, server-managed wallet that has been announced, and corresponding to the prior art 2, will be able to see the bank account of the personal identification number input by the user the (PIN) on the server for operation of the server wallet. 利用者とサーバ管理型ウォレット間で暗号化したとしても、加盟店に送信する電文を作成するために、一度復号化することになる。 Even encrypted between users and the server managed wallets, to create a message to be sent to the merchant, so that once decoded.
【００９１】そこで、実施の形態の５で説明したシステムをネットワークデビット決済用サーバ管理型ウォレットに適用する。 [0091] Therefore, to apply the system described in the fifth embodiment a server managed Wallet network debit. 以下、本実施の形態のシステムの動作を図８、図９を用いて説明する。 Hereinafter, the operation of the system of the present embodiment 8 will be described with reference to FIG. 図８、図９において、Ｐ 8, in FIG. 9, P
ＧＷは銀行サーバ（サービスプロバイダ）、Ｍは加盟店、ＳＷはサーバウォレット（認証代行サーバ装置）、 GW bank server (service provider), M is the merchant, SW server wallet (authentication proxy server device),
ＡＳは認証サーバ（クライアントＣと認証代行サーバ間の認証用）である。 AS is the authentication server (for authentication between the client C and the authentication proxy server).
【００９２】まず、図８に示すように、利用者がＩＣカードをクライアントＣに挿入して、クライアントＣの支払いボタンを押すと、加盟店Ｍから取引開始を示すイニシエーションがクライアントＣに送られる。 [0092] First, as shown in FIG. 8, a user to insert the IC card to the client C, and press the payment button on the client C, initiation that indicates the transaction starting from the merchant M is sent to the client C. 続いて、利用者がカードパスワードを入力すると、認証サーバＡＳ Then, when the user to enter the card password, authentication server AS
によってＩＣカードの認証が行われる。 IC card authentication is performed by. 認証後、クライアントＣは、認証サーバＡＳに対してサービスログインを要求する。 After authentication, the client C requests a service login to the authentication server AS. これにより、サービスが起動する。 As a result, the service is started.
【００９３】サービス起動後、サーバウォレットＳＷから利用者の口座を問い合わせるメニューが送られる。 [0093] service after start-up, menu to query the user's account from the server wallet SW is sent. 利用者は、クライアントＣを操作して所望の口座を指定する。 The user specifies the desired account by manipulating the client C. 利用者の口座を指定する情報がサーバウォレットＳ Information that specifies the user of the account server wallet S
Ｗに送られると、サーバウォレットＳＷは、銀行サーバＰＧＷとの間で所定の初期化処理を行う。 When sent to the W, the server wallet SW performs a predetermined initialization process with the bank server PGW.
【００９４】次に、図９に示すように、サーバウォレットＳＷは、口座情報とＰＧＷ公開鍵（暗号用公開鍵Ｐｋ [0094] Next, as shown in FIG. 9, the server wallet SW is, account information and PGW public key (for encryption public key Pk
ＳＰ−Ａ，ＰｋＳＰ−Ｂに相当）とその他の情報（ＳＥ SP-A, equivalent to PkSP-B) and other information (SE
Ｔ／ＳＥＣＥではＰＩＨｅａｄ）とをクライアントＣへ送信する。 To send the T / SECE and PIHead) to the client C. 利用者は、ＰＩＮ（暗証番号、すなわち実施の形態の５の認証情報Ａ，Ｂに相当）をクライアントＣ The user, PIN (personal identification number, i.e. the authentication information A of the fifth embodiment, corresponding to B) the client C
に入力する。 Input to. ここで、ＳＥＴ／ＳＥＣＥでは、ＰＡＮＤ Here, in the SET / SECE, PAND
ａｔａと呼ばれる領域に、ＰＩＮあるいはＰＩＮのデータフォーマットを変換したものが含まれるため、これをクライアントＣにおいて組み立てる。 The area called ata, because it contains a transformation of the data format of the PIN or PIN, assembling it in the client C.
【００９５】そして、ＰＩＮ情報は、サービスプロバイダである銀行サーバＰＧＷにのみ通知し、サーバウォレットＳＷに対しては秘匿するために、クライアントＣにおいてＰＩＮ関連暗号データＨ（ＰＩＨｅａｄ＋ＰＡＮ [0095] Then, PIN information, the notification only to a service provider bank server PGW, in order to conceal for the server wallet SW, PIN associated cryptographic data H (PIHead + PAN in client C
Ｄａｔａ）、Ｈ（ＰＡＮＤａｔａ）、Ｅ（ＰｋＰＧＷ， Data), H (PANData), E (PkPGW,
ＰＡＮＤａｔａ＋Ｋ）を計算する。 PANData + K) is calculated. ここでのＨ（）はハッシュ演算を示し、Ｅ（）はＲＳＡ演算を示す。 Wherein the H () denotes a hash operation, E () denotes the RSA calculation. こうして、ＰＧＷ公開鍵で暗号化されたＰＩＮ情報が銀行サーバＰＧＷに送られる。 Thus, PIN information that has been encrypted with PGW public key is sent to the bank server PGW.
【００９６】サーバウォレットＳＷから加盟店Ｍへの電文については、通常のクライアントＣからの電文、あるいは従来のサーバ管理型ウォレットからの電文フォーマットと合わせることで加盟店Ｍ、及び銀行サーバＳＷは従来どおりの機能のままで良い。 [0096] The message from the server wallet SW to the merchant M is, merchant M, and the bank server SW is exactly conventional by adjusting the usual message from the client C, or the message format from a conventional server-managed wallet it may remain of the function.
【００９７】これにより、銀行口座ＰＩＮはサーバウォレット事業者では解読困難となり、銀行口座ＰＩＮが漏洩するリスクを減少させることができる。 [0097] As a result, the bank account PIN becomes deciphering difficult in the server wallet business, it is possible to reduce the risk of leakage bank account PIN. また、金融機関が利用者をＰＩＮによって直接認証する手段をもつことにより、不正などが発生した場合の金融機関、サーバウォレット事業者、利用者間の責任所在の明確化が容易になる。 In addition, by having a means for financial institutions to authenticate directly to the user by PIN, financial institutions in the case of such fraud has occurred, the server wallet operators, it is easy to clear chains of responsibility between users. なお、本実施の形態では、認証代行サーバを利用しない場合のクライアントと加盟店、加盟店と銀行サーバ間の電文には変更を加えないことが可能になっている。 In this embodiment, merchants and clients in the case of not using the authentication proxy server, the message between the merchant and the bank server has become possible to not modify.
【００９８】また、本実施の形態では、利用者にはスマートカードを配布し、クライアントとサーバウォレット事業者サーバ間の相互認証に利用することを想定している。 [0098] In addition, in the present embodiment, to the user to distribute the smart card, it is assumed to be used for mutual authentication between the client and the server wallet business server. ＳＳＬ（Secure Sockets Layer）サーバ認証、あるいは、クライアント認証書をハードディスク上に格納した形態でのＳＳＬ相互認証を用いても構わない。 SSL (Secure Sockets Layer) server authentication, or may be used SSL mutual authentication in a form stored on the hard disk of the client certificate. しかし、一般に偽造が困難なスマートカードを利用することにより、仮に銀行口座ＰＩＮが利用者の管理ミスで他人に漏洩した場合にも、スマートカードのコピーや盗難が無い限りには、なりすまして決済を行われてしまうリスクは少なくなる。 However, in general, by counterfeiting is to use the difficult smart card, even in the case where if bank account PIN is leaked to others in the mismanagement of the user, as long as the smart card copying and theft is not, the settlement masquerading conducted by would risk is reduced. また、本発明のクライアントＣに相当するものとして上記スマートカードを利用した場合には、ＰＩＮ関連の処理のほとんどをスマートカード内で実行することになり、端末の共同利用などを考えた場合に、より安全性を向上させることが可能である。 Further, in the case when as corresponding to the client C of the present invention utilizing the smart card, which would perform most of the PIN related processing within smart card, considered such joint use of the terminal, it is possible to further improve the safety.
【００９９】［実施の形態の９］図１０は本発明の第９ [0099] [Embodiment 9] A ninth 10 invention
の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 It is a sequence diagram showing an operation of the authentication agency service system to which the embodiment. 本実施の形態の認証代行サービスシステムは、実施の形態の５で説明したシステムをネットワークデビット決済におけるサーバ管理型ウォレットの顧客証明書取得に適用したものである。 Authentication agent service system of the present embodiment is an application of the system described in the fifth embodiment to the customer certificate retrieval server managed wallets in a network debit.
【０１００】なお、図１０では、クライアントＣとサーバウォレットＳＷ間の認証などシーケンス前半部分については、実施の形態の８と基本的に同一なため省略する。 [0100] In FIG. 10, the sequence first part including authentication between the client C and the server wallet SW, omitted 8 basically the same for the embodiment. ＳＥＣＥなどにおいては、顧客証明書を顧客認証局に申請する以前に金融機関などから顧客特定暗証番号を郵送などにより入手しておく。 In such SECE, keep obtained by from such previously financial institutions to apply for a customer certificate to the customer a certificate authority such as mailing a customer specific personal identification number. これを顧客認証局への申請時に申請書内に記述し、顧客認証局はこの正当性を審査項目の一つとする。 This was described at the time of application to the customer certificate authority in the application form, the customer authentication station as one of the inspection items this legitimacy. つまり、顧客認証局は、この顧客特定暗証番号により顧客の認証を行っていることになる（もちろん、この番号のみで認証しているわけではなく、申請書の記述内容のチェックなども併せて行う）。 Perform other words, customer authentication station, this by customer specific personal identification number will be doing a customer authentication (of course, this number only does not mean that authenticate with, and also to such as a check of the description contents of the application form ).
【０１０１】従来のサーバ管理型ウォレットでは、実施の形態の８と同様に顧客特定暗証番号のサーバウォレット事業者への漏洩の問題がある。 [0101] In the conventional server management type wallet, there is a leakage of the problem to the server wallet operators as well customer specific personal identification number and 8 of the embodiment. 例えば、サーバウォレット事業者の運用者がこれを盗難し、顧客になりすました場合、顧客秘密鍵、及び対応する証明書の更新がなされ、なりすましてデビット決済を実行される恐れがある。 For example, the theft of this is the operator of the server wallet business, if you pretending to be a customer, the customer secret key, and a corresponding certificate update is made, there is a fear that is running the debit settlement pretends.
【０１０２】そこで、実施の形態の５で説明したシステムをネットワークデビット決済用サーバ管理型ウォレットに適用する。 [0102] Therefore, to apply the system described in the fifth embodiment a server managed Wallet network debit. 以下、本実施の形態のシステムの動作を図１０を用いて説明する。 Hereinafter, the operation of the system of the present embodiment will be described with reference to FIG. 10. 図１０において、ＣＣＡは顧客認証局である。 In FIG. 10, CCA is customer authentication station. まず、サーバウォレットＳＷは、申請書を顧客認証局ＣＣＡに要求して取得する。 First, the server wallet SW is, to get to request an application form to the customer certification authority CCA. そして、サーバウォレットＳＷは、この申請書と共にＣＣＡ公開鍵（暗号用公開鍵ＰｋＳＰ−Ａ，ＰｋＳＰ−Ｂに相当）をクライアントＣへ送信する。 Then, the server wallet SW sends the CCA public key with this application (encryption public key PkSP-A, equivalent to PkSP-B) to the client C.
【０１０３】利用者は、顧客特定暗証番号をクライアントＣに入力する。 [0103] The user inputs a customer specific personal identification number to the client C. クライアントＣは、この顧客特定暗証番号をＣＣＡ公開鍵を用いて暗号化し、暗号化された情報をサーバウォレットＳＷへ送信する。 Client C, this customer specific personal identification number is encrypted using the CCA public key and sends the encrypted information to the server wallet SW. サーバウォレットＳＷは、クライアントＣからの情報に顧客署名を付与した上で、顧客認証局ＣＣＡへ転送する。 Server wallet SW is, the information from the client C after having granted the customer signature, and transfers it to the customer certification authority CCA.
【０１０４】顧客認証局ＣＣＡは、サーバウォレットＳ [0104] The customer certification authority CCA, the server wallet S
Ｗから受け取った暗号化された情報をＣＣＡ秘密鍵で復号化して、顧客特定暗証番号を取得し、この顧客特定暗証番号を基に利用者の認証を行う。 The encrypted information received from the W and decrypted with the CCA secret key, to get the customer specific personal identification number, to authenticate the user on the basis of the customer specific personal identification number. 認証後、顧客認証局ＣＣＡは、証明書をサーバウォレットＳＷへ送信する。 After authentication, the customer authentication stations CCA, sending the certificate to the server wallet SW.
【０１０５】以上のように、顧客特定暗証番号を暗号化して送信するため、サーバウォレット事業者での解読は困難になる。 [0105] As described above, in order to transmit encrypted customer specific personal identification number, deciphering of the server wallet operators becomes difficult. サーバウォレット事業者によるリプレイ攻撃を防ぐためには、顧客特定暗証番号に加えてシリアル番号など申請の度に異なる値を暗号化対象に含めることが望ましい。 In order to prevent a replay attack by the server wallet operators, it is desirable to include a different value each time of application, such as a serial number in addition to the customer specific personal identification number to be encrypted. なお、本実施の形態の場合は、平成１１年９月現在公開されているＳＥＣＥ仕様における顧客認証局ＣＣＡの機能に加えて、顧客認証局暗号化用秘密鍵による顧客特定暗証番号の復号化機能が顧客認証局ＣＣＡ It should be noted that, in the case of the present embodiment, in addition to the functions of customer certification authority CCA in September 1999 SECE specification, which is currently published, decoding function of customer specific personal identification number by a secret key for customer authentication stations encryption CCA but customer authentication stations
に新たに必要になる。 It will become the new need to.
【０１０６】［実施の形態の１０］図１１、図１２は本発明の第１０の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 [0106] [10 Embodiment 11, FIG. 12 is a sequence diagram showing the operation of authentication agent service system as a tenth embodiment of the present invention. 本実施の形態の認証代行サービスシステムは、実施の形態の３で説明したシステムをＳＳＬ認証の認証代行サーバとして適用したものである。 Authentication agent service system of the present embodiment is an application of the system described in the third embodiment as SSL authentication the authentication agent server. 本実施の形態は、ＳＳＬ相互認証を行うものであり、暗号化アルゴリズムはＲＳＡを想定している。 This embodiment, which performs SSL mutual authentication, encryption algorithm is assumed to RSA.
【０１０７】クライアントとＳＳＬサーバの間で、従来のＳＳＬ認証を行う場合、クライアントには利用者の証明書・秘密鍵などの秘密情報が必要となる。 [0107] between the client and the SSL server, in the case of a conventional SSL authentication, and it is necessary to secret information, such as a certificate, the private key of the user to the client. 前述の通り、利用者の秘密情報管理にはコスト・リスク等が伴うことが多いので、利用者の秘密情報をできるだけ少なくするために、認証代行サーバを利用するとする。 As described above, in the secret information management of the user because it is often accompanied by cost and risk, etc., in order to minimize the secret information of the user, and to use the authentication proxy server. ところが、全てのＳＳＬ認証を認証代行サーバで行わせるとなると、ＳＳＬの暗号化情報全てを、クライアントの代わりに認証代行サーバーで作成することになるので、ＳＳ However, when all of the SSL authentication comes to carry out the authentication proxy server, all encrypted information of the SSL, so on behalf of the client will be created in the authentication proxy server, SS
Ｌサーバとクライアント間の共通鍵を認証代行サーバで作成することが可能となる。 A common key between the L server and the client it is possible to create the authentication proxy server. これでは、認証代行サーバーにすべての秘密情報が漏れてしまう。 This is, leaks all the secret information to the authentication proxy server.
【０１０８】そこで、実施の形態の３を適用すると、Ｓ [0108] Therefore, when applying the third embodiment, S
ＳＬサーバとクライアント間で持つ、秘密情報の元となるプリマスターシークレット及びマスターシークレットの生成についてはクライアントで行わせ、プリマスターシークレットについては認証代行サーバで見ることができないように、通信時にはＳＳＬサーバの公開鍵で暗号化し、認証代行サーバに転送する。 SL has between a server and a client, to perform on the client for the generation of the pre-master secret and master secret as a source of secret information, so that it can not be seen by the authentication proxy server for the pre-master secret, the SSL server at the time of communication encrypted with the public key, and transfers it to the authentication proxy server. また、ＳＳＬサーバから要求されるクライアントの署名については、そのダイジェストをクライアントで作成し、認証代行サーバに転送し、認証代行サーバが利用者の秘密鍵で署名を施す。 In addition, for the signature of the client that is required from the SSL server, to create the digest on the client, and transferred to the authentication proxy server, the authentication proxy server is subjected to a signature by the private key of the user. こうすることにより、認証代行サーバに利用者の秘密情報が漏れることなく、ＳＳＬ認証が可能となる。 By doing so, without secret information of the user to the authentication proxy server is leaking, it is possible to SSL authentication.
【０１０９】以下、本実施の形態のシステムの動作を図１１、図１２を用いて説明する。 [0109] Hereinafter, the operation of the system of the present embodiment 11 will be described with reference to FIG. まず、図１１に示すように、利用者がＩＣカードをクライアントＣに挿入し、 First, as shown in FIG. 11, the user inserts the IC card to the client C,
カードパスワードを入力すると、認証代行サーバＳによってＩＣカードの認証が行われる。 When you enter the card password, IC card is authenticated by the authentication proxy server S. 認証後、クライアントＣは、認証代行サーバＳに対してサービスログインを要求する。 After authentication, the client C requests a service login to the authentication proxy server S. これにより、サービスが起動する。 As a result, the service is started.
【０１１０】サービス起動後、認証代行サーバＳは、Ｓ [0110] service after start-up, the authentication proxy server S, S
ＳＬサーバとの間で所定の初期化処理を行う。 It performs a predetermined initialization process between the SL server. 次に、図１２に示すように、認証代行サーバＳは、クライアントＣに対してクライアントキー（Client Key）を要求すると共に、サーバ公開鍵（暗号用公開鍵ＰｋＳＰ−Ａ，Ｐ Next, as shown in FIG. 12, the authentication agent server S has a function of requesting the client key (Client Key Canada) to the client C, the server public key (encryption public key pKsp-A, P
ｋＳＰ−Ｂに相当）をクライアントＣへ送信する。 Transmitting the equivalent) to the client C to the KSP-B.
【０１１１】クライアントＣは、プリマスターシークレット（データＳｄＳＳＫＡ，ＳｄＳＳｋＢに相当）を生成して、このプリマスターシークレットをサーバ公開鍵を用いて暗号化し、暗号化された情報を認証代行サーバＳへ送信する。 [0111] The client C generates a pre-master secret (data SdSSKA, corresponding to SdSSkB), the pre-master secret is encrypted using the server's public key, it transmits the encrypted information to the authentication proxy server S . こうして、サーバ公開鍵で暗号化されたプリマスターシークレットがＳＳＬサーバに送られる。 In this way, the pre-master secret that has been encrypted with the server's public key is sent to the SSL server.
さらに、クライアントＣは、プリマスターシークレットを基にマスターシークレットを生成して、このマスターシークレットに対してハッシュ演算を行い、このハッシュ演算を行った情報を認証代行サーバＳへ送信する。 Furthermore, the client C generates the master secret based on the pre-master secret, performs a hash operation on the master secret, and transmits the information making this hash operation to the authentication proxy server S.
【０１１２】以上のように、ＳＳＬ認証におけるほとんどの部分を認証代行サーバＳで行うことができるが、認証代行サーバＳに対して利用者が秘密にしておきたい部分であるプリマスターシークレット、マスターシークレットを生成する部分については、認証代行サーバＳから必要情報を与えることにより、クライアントＣで生成できる。 [0112] As described above, although it is possible to perform the most part in the SSL authentication by the authentication proxy server S, pre-master secret user to the authentication proxy server S is a part that you want to keep confidential, the master secret the part for generating a by giving the necessary information from the authentication proxy server S, can be generated on the client C.
【０１１３】それ以外の部分については、認証代行サーバＳがＳＳＬサーバとの通信をすべて肩代わりする。 [0113] For the other part of the authentication proxy server S is to take over all communication with the SSL server. 図１２に示す「Ｆｉｎｉｓｈｅｄ」の部分をクライアントＣに送ることにより、双方向での暗号化通信（実施の形態の３で説明したセッションキーを用いた暗号化通信に相当）が開始できる。 By sending a portion of the "Finished" shown in FIG. 12 to the client C, (corresponding to the encrypted communication using the session key described in the third embodiment) encrypted communication in both directions can be started. その通信においては、認証代行サーバＳは、ＳＳＬサーバとクライアントＣで持っている共通鍵を知ることが無いので、通信内容が漏洩することなく、ＳＳＬサーバとクライアントＣ間で通信が可能である。 In its communication, the authentication agent server S is, because it is not to know the common key to have the SSL server and client C, without communication contents from leaking, it is possible to communicate between the SSL server and client C.
【発明の効果】本発明によれば、認証代行サーバ装置が、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、クライアント装置から受け取った暗号化された情報をサービスプロバイダ装置へ転送し、クライアント装置が、サービスプロバイダ装置へ送信すべき情報を暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信し、サービスプロバイダ装置が、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化することにより、認証代行サーバ装置には漏洩することなく、クライアント装置からサービスプロバイダ装置への情報転送を行うことができる。 According to the present invention, the authentication proxy server device, delivers the cryptographic public key of the service provider device corresponding to the desired service to the client apparatus, the encrypted information received from the client device services transferred to the provider device, client device, encrypted with the public key encryption of information to be transmitted to the service provider apparatus, and sends the encrypted information to the authentication proxy server apparatus, the service provider apparatus, authentication by decrypted using the encryption private key encrypted information received from the proxy server, without the authentication agent server apparatus leaks, you can transfer information from the client device to the service provider device it can.
【０１１５】また、認証代行サーバ装置が、所望のサービスに対応したサービスプロバイダ装置に対して、クライアント装置の暗号用公開鍵を配送し、サービスプロバイダ装置から受け取った暗号化された情報をクライアント装置へ転送し、サービスプロバイダ装置が、クライアント装置へ送信すべき情報を暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信し、クライアント装置が、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化することにより、認証代行サーバ装置には漏洩することなく、サービスプロバイダ装置からクライアント装置への情報転送を行うことができる。 [0115] In addition, the authentication agent server device, to the service provider device corresponding to the desired service, delivers the encryption public key of the client device, the information that has been encrypted received from the service provider equipment to the client device transferred, the service provider device, the information to be transmitted to the client device encrypted with the public key cryptography, and transmits the encrypted information to the authentication proxy server apparatus, the client apparatus, from the authentication proxy server device by decrypted using the encryption private key received encrypted information, to the authentication proxy server device can transfer information without leaking, from the service provider device to the client device.
【０１１６】また、認証代行サーバ装置が、所望のサービスに対応したサービスプロバイダ装置の暗号用公開鍵をクライアント装置へ配送し、クライアント装置から受け取った暗号化された情報をサービスプロバイダ装置へ転送し、サービスプロバイダ装置から受け取った暗号化された情報をクライアント装置へ転送し、クライアント装置が、サービスプロバイダ装置との間の暗号通信用セッションキーあるいはこのセッションキーの元となるデータを生成し、セッションキーあるいはデータを暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信した後、サービスプロバイダ装置へ送信すべき情報をセッションキーを用いて暗号化し、 [0116] In addition, the authentication agent server device, to transfer the encryption public key of the service provider equipment corresponding to the desired service and delivery to the client device, the information that has been encrypted received from the client device to the service provider equipment, transfer the encrypted information received from the service provider apparatus to the client apparatus, the client apparatus generates a source to become data session key or the session key for encryption communication between the service provider device, or the session key data encrypted using the public key cryptography, this after the encrypted information was transmitted to the authentication proxy server apparatus, the information to be transmitted to the service provider device is encrypted using the session key,
この暗号化された情報を認証代行サーバ装置へ送信し、 The encrypted information transmitted to the authentication proxy server,
サービスプロバイダ装置が、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化してセッションキーを取得し、あるいは暗号用秘密鍵を用いた復号化によりデータを取得して、このデータからセッションキーを生成した後、クライアント装置へ送信すべき情報をセッションキーを用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信することにより、認証代行サーバ装置には漏洩することなく、クライアント装置とサービスプロバイダ装置間の双方向の情報転送を行うことができる。 Service provider device acquires the session key encrypted information received from the authentication proxy server and decrypted using the encryption private key, or to obtain data by decoding using the encryption private key after generating the session key from the data, the information to be transmitted to the client device encrypted with the session key, by transmitting the encrypted information to the authentication proxy server, the authentication agent server device without leaking, it is possible to perform two-way information transfer between the client device and the service provider equipment.
【０１１７】また、認証代行サーバ装置が、暗号用公開鍵をクライアント装置へ配送する際に、暗号用公開鍵と共に暗号用公開鍵証明書を配送し、クライアント装置が、暗号用公開鍵を用いた暗号化を行う前に、認証代行サーバ装置から受け取った暗号用公開鍵証明書を基に暗号用公開鍵を検証するので、認証代行サーバ装置から配送される暗号用公開鍵を検証することができる。 [0117] In addition, the authentication proxy server device, at the time of delivery the encryption public key to the client device, delivers the encryption public key certificate along with the encryption public key, the client device, using the encryption public key before performing the encryption, because the verification based on the encryption public key encryption public key certificate received from the authentication proxy server device, it is possible to verify the encryption public key, which is delivered from the authentication proxy server device .
【０１１８】また、クライアント装置が、暗号化を行う際に、自装置の認証情報を暗号用公開鍵を用いて暗号化し、この暗号化された情報を認証代行サーバ装置へ送信し、サービスプロバイダ装置が、復号化を行う際に、認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して認証情報を取得し、この認証情報を基にクライアント装置の認証を行うので、認証代行サーバ装置がクライアント装置になりすますことを防ぐことができ、さらに認証代行サーバ装置の責任を軽減させることが可能となる。 [0118] The client device, when performing encryption, authentication information of the device is encrypted using the public key encryption and sends the encrypted information to the authentication proxy server apparatus, the service provider device but when performing decoding, the encrypted information received from the authentication proxy server and decrypted using the encryption private key to obtain authentication information to authenticate the client device based on the authentication information because, it is possible to prevent the authentication proxy server from impersonating the client device, it is possible to further reduce the responsibility of the authentication proxy server.
【図１】 本発明の第１の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 1 is a block diagram showing the configuration of the authentication agency service system to which the first embodiment of the present invention.
【図２】 本発明の第２の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 2 is a block diagram showing the configuration of the authentication agency service system according to the second embodiment of the present invention.
【図３】 本発明の第３の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 3 is a block diagram showing the structure of a third authentication agency service system to which the embodiment of the present invention.
【図４】 本発明の第４の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 4 is a block diagram showing the configuration of the authentication agency service system to which the fourth embodiment of the present invention.
【図５】 本発明の第５の実施の形態となる認証代行サービスシステムの構成を示すブロック図である。 5 is a block diagram showing the configuration of the authentication agency service system to which the fifth embodiment of the present invention.
【図６】 本発明の第６の実施の形態となる認証代行サーバ装置の構成を示すブロック図である。 6 is a sixth block diagram showing a structure of a become the authentication proxy server apparatus in accordance with the present invention.
【図７】 本発明の第７の実施の形態となるクライアント装置の構成を示すブロック図である。 7 is a block diagram showing a configuration of a client device according to a seventh embodiment of the present invention.
【図８】 本発明の第８の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 8 is a sequence diagram showing the operation of the eighth authentication agency service system to which the embodiment of the present invention.
【図９】 本発明の第８の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 9 is a sequence diagram showing the operation of the eighth authentication agency service system to which the embodiment of the present invention.
【図１０】 本発明の第９の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 FIG. 10 is a sequence diagram showing the operation of the ninth authentication agency service system to which the embodiment of the present invention.
【図１１】 本発明の第１０の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 11 is a sequence diagram showing the operation of the 10 authentication agency service system to which the embodiment of the present invention.
【図１２】 本発明の第１０の実施の形態となる認証代行サービスシステムの動作を示すシーケンス図である。 12 is a tenth sequence diagram showing an operation of the authentication agency service system to which the embodiment of the present invention.
【図１３】 従来のシステムの１例を示すブロック図である。 13 is a block diagram showing an example of a conventional system.
【図１４】 従来のシステムの他の例を示すブロック図である。 14 is a block diagram showing another example of a conventional system.
【図１５】 従来のシステムの他の例を示すブロック図である。 15 is a block diagram showing another example of a conventional system.
【図１６】 従来技術１の構成を示すブロック図である。 16 is a block diagram showing a conventional art 1 configuration.
【図１７】 従来技術２の構成を示すブロック図である。 17 is a block diagram showing a conventional art 2 configuration.
【図１８】 従来技術３の構成を示すブロック図である。 18 is a block diagram showing a construction of a prior art 3.
Ｃ…クライアント装置、Ｓ…認証代行サーバ装置、ＳＰ C ... client device, S ... authentication proxy server apparatus, SP
−Ａ、ＳＰ−Ｂ…サービスプロバイダ装置。 -A, SP-B ... service provider equipment.
───────────────────────────────────────────────────── フロントページの続き (72)発明者 安田 仁 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 山本 守孝 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 桑田 晶彦 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 今泉 法子 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 嶋崎 剛 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 Ｆターム(参考） 5B085 AE13 AE23 A ────────────────────────────────────────────────── ─── of the front page continued (72) inventor Hitoshi Yasuda, Chiyoda-ku, tokyo Uchisaiwaicho chome No. 1 No. 6 et Nu Thi Thi Communications shares in the company (72) inventor Moritaka Yamamoto, Chiyoda-ku, tokyo Uchisaiwaicho one chome No. 6 et Nu Thi Thi Communications shares in the company (72) inventor Akihiko Kuwata, Chiyoda-ku, tokyo Uchisaiwaicho chome No. 1 No. 6 et Nu Thi Thi Communications shares in the company (72) inventor Noriko Imaizumi, Chiyoda-ku, tokyo Uchisaiwaicho chome No. 1 No. 6 et Nu Thi Thi Communications shares in the company (72) inventor Tsuyoshi Shimazaki, Chiyoda-ku, tokyo Uchisaiwaicho chome No. 1 No. 6 et Nu Thi Thi Communications Co., Ltd. in the F-term (reference) 5B085 AE13 AE23 a E29 BG07 5B089 GA19 GA21 JA32 JB22 KA17 KB13 KC58 KH30 E29 BG07 5B089 GA19 GA21 JA32 JB22 KA17 KB13 KC58 KH30
【請求項１】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行方法において、 サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記認証代行サーバ装置から前記クライアント装置へ配送する手順と、 前記クライアント装置において前記サービスプロバイダ装置へ送信すべき情報を前記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手順と、 前記クライアント装置から受け取った暗号化された情報を前記認証代行サーバ装置から前記サービスプロバ 1. A authentication agent method to authenticate from the service provider device provided authentication proxy server device behalf of the client device between the client device receiving a service provider device and the service providing for providing services, providing the services, the the procedure of delivering the information to be transmitted to the service provider device at the client device an encryption public key of the service provider device corresponding to the desired service from the authentication proxy server device to the client device with the encryption public key received from the authentication proxy server device, and transmitting the encrypted information to the authentication proxy server, wherein the authentication agent the encrypted information received from the client device It said from the server device service provider イダ装置へ転送する手順と、 前記サービスプロバイダ装置において前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手順とを有し、認証代行サーバ装置には漏洩することなく、クライアント装置からサービスプロバイダ装置への情報転送を行うことを特徴とする認証代行方法。 A procedure for transferring to Ida device, and a procedure for decrypting using an encryption secret key the information authentication agent encrypted received from the server device in the service provider device, the authentication agent server device leakage authentication agent wherein the performed without the information transfer from the client device to the service provider device to.
【請求項２】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行方法において、 サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置に対して、前記クライアント装置の暗号用公開鍵を前記認証代行サーバ装置から配送する手順と、 前記サービスプロバイダ装置において前記クライアント装置へ送信すべき情報を前記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手順と、 前記サービスプロバイダ装置から受け取った暗号化された情報を前記認証代行サーバ装置から前記 2. A authentication agent how the service receives the service provider device and the service providing that provides authentication proxy server device provided between a client device on behalf of the client device to authenticate from the service provider device, providing the services, to the service provider device corresponding to the desired service, and procedures for delivering the encryption public key of the client device from the authentication proxy server, to be transmitted to the client device in the service provider device information encrypted using the encryption public key received information from the authentication proxy server device, and transmitting the encrypted information to the authentication proxy server apparatus, the encrypted received from the service provider device said from the authentication proxy server device クライアント装置へ転送する手順と、 前記クライアント装置において前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手順とを有し、認証代行サーバ装置には漏洩することなく、サービスプロバイダ装置からクライアント装置への情報転送を行うことを特徴とする認証代行方法。 Has a procedure for transferring to the client device, and a procedure for decoding using the encryption private key encrypted information received from the authentication proxy server at the client device, leaks in the authentication agent server device it not, the authentication agent wherein the transfer information from the service provider device to the client device.
【請求項３】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行方法において、 サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記認証代行サーバ装置から前記クライアント装置へ配送する手順と、 前記クライアント装置において前記サービスプロバイダ装置との間の暗号通信用セッションキーあるいはこのセッションキーの元となるデータを生成し、前記セッションキーあるいはデータを前記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手順 3. A authentication agent how the service receives the service provider device and the service providing that provides authentication proxy server device provided between a client device on behalf of the client device to authenticate from the service provider device, providing the services, for cryptographic communication and procedures to deliver to the client device an encryption public key of the service provider device corresponding to the desired service from the authentication proxy server apparatus, and the service provider device at the client device session key or generate the underlying data for this session key, the encrypted using the encryption public key received session key or data from the authentication proxy server apparatus, the authentication proxy server the encrypted information to send to the device 、 前記クライアント装置から受け取った暗号化された情報を前記認証代行サーバ装置から前記サービスプロバイダ装置へ転送する手順と、 前記サービスプロバイダ装置において前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して前記セッションキーを取得し、あるいは暗号用秘密鍵を用いた復号化により前記データを取得して、このデータから前記セッションキーを生成する手順と、 前記クライアント装置あるいは前記サービスプロバイダ装置において送信すべき情報を前記セッションキーを用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手順と、 前記セッションキーを用いて暗号化された情報を前記認証代行サーバ装置から前記サービスプロバイダ装置あるいは , A step of transferring the encrypted information received from the client device from the authentication proxy server device to the service provider apparatus, the authentication proxy encryption the encrypted information received from the server device in the service provider device and decrypted using the private key to obtain the session key, or by acquiring the data by decryption using the encryption private key, the procedure for generating the session key from the data, the client device or the the information to be transmitted in the service provider device using said session key to encrypt, and transmitting the encrypted information to the authentication proxy server apparatus, the authentication information encrypted using the session key said service provider apparatus or from the proxy server device 記クライアント装置へ転送する手順と、 前記セッションキーを用いて暗号化された情報を前記サービスプロバイダ装置あるいは前記クライアント装置において自身が有する前記セッションキーを用いて復号化する手順とを有し、認証代行サーバ装置には漏洩することなく、クライアント装置とサービスプロバイダ装置間の双方向の情報転送を行うことを特徴とする認証代行方法。 Serial includes a procedure for transferring to the client device, and a procedure for decoding using the session key itself has in the service provider device or said client device the information encrypted with the session key, the authentication agent without leaking to the server device, the authentication agent wherein the performing bidirectional information transfer between the client device and the service provider equipment.
【請求項４】 請求項１または３記載の認証代行方法において、 前記暗号用公開鍵を前記認証代行サーバ装置から前記クライアント装置へ配送する際に、前記暗号用公開鍵と共に暗号用公開鍵証明書を配送する手順と、 前記クライアント装置において前記暗号用公開鍵を用いた暗号化を行う前に、前記認証代行サーバ装置から受け取った暗号用公開鍵証明書を基に前記暗号用公開鍵を検証する手順とを有することを特徴とする認証代行方法。 4. A authentication agent process according to claim 1 or 3 wherein, when delivering the public key cryptography from the authentication proxy server device to the client device, the encryption public key certificate with the public key for the cryptographic a step of delivering, prior to encryption using the public key for the encryption at the client device, verifying the public key encryption based on the encryption public key certificate received from the authentication proxy server device authentication proxy method characterized by having a step.
【請求項５】 請求項１または３記載の認証代行方法において、 前記クライアント装置において暗号化を行う際に、このクライアント装置の認証情報を前記暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手順と、 前記サービスプロバイダ装置において復号化を行う際に、前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して前記認証情報を取得し、この認証情報を基に前記クライアント装置の認証を行う手順とを有することを特徴とする認証代行方法。 5. The authentication proxy method according to claim 1 or 3, wherein when performing the encryption at the client device, the authentication information of the client device encrypted with the public key for the encryption, the encrypted and transmitting the information to the authentication proxy server apparatus, when performing the decoding in the service provider device, the information authentication agent encrypted received from the server device and decrypted using the encryption private key authentication proxy method acquires the authentication information, and having a procedure for authentication of the client device based on the authentication information.
【請求項６】 サービスを提供するサービスプロバイダ装置と、前記サービスプロバイダ装置と接続された、サービス提供を受けるクライアント装置と、前記サービスプロバイダ装置とクライアント装置との間に設けられた認証代行サーバ装置とからなり、前記認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サービスシステムにおいて、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記クライアント装置へ配送し、前記クライアント装置から受け取った暗号化された情報を前記サービスプロバイダ装置へ転送する手段を有し、 前記クライアント装置は、前記サービスプロバイダ装置へ送信すべき情報を And a service provider device that provides a wherein service, the connected to the service provider apparatus, and a client device receiving the service provided, and an authentication proxy server device provided between the service provider device and the client device from it, the authentication agent service system in which the authentication agent server device authentication from the service provider device on behalf of the client device, the authentication proxy server device providing the services, the service provider device corresponding to the desired service and cryptographic public key delivered to the client device comprises means for transferring the encrypted information received from said client device to said service provider apparatus, said client apparatus, to be transmitted to the service provider device information 記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手段を有し、 前記サービスプロバイダ装置は、前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手段を有し、認証代行サーバ装置には漏洩することなく、クライアント装置からサービスプロバイダ装置への情報転送を行うことを特徴とする認証代行サービスシステム。 Serial with the encryption public key received from the authentication proxy server, the encrypted information includes means for transmitting to said authentication agent server apparatus, the service provider device from the authentication proxy server device and means for decoding using the encryption private key received encrypted information without the authentication agent server apparatus leaks, and wherein the transfer information to the service provider device from the client device certification agency services system to be.
【請求項７】 サービスを提供するサービスプロバイダ装置と、前記サービスプロバイダ装置と接続された、サービス提供を受けるクライアント装置と、前記サービスプロバイダ装置とクライアント装置との間に設けられた認証代行サーバ装置とからなり、前記認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サービスシステムにおいて、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置に対して、前記クライアント装置の暗号用公開鍵を配送し、前記サービスプロバイダ装置から受け取った暗号化された情報を前記クライアント装置へ転送する手段を有し、 前記サービスプロバイダ装置は、前記クライアント装置へ送信すべ And a service provider device that provides 7. service, the connected to the service provider apparatus, and a client device receiving the service provided, and an authentication proxy server device provided between the service provider device and the client device from it, the authentication agent service system in which the authentication agent server device authentication from the service provider device on behalf of the client device, the authentication proxy server device providing the services, the service provider device corresponding to the desired service respect, the delivered cryptographic public key of the client device comprises means for transferring the encrypted information received from the service provider device to the client device, the service provider device to the client device Submit all 情報を前記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手段を有し、 前記クライアント装置は、前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化する手段を有し、認証代行サーバ装置には漏洩することなく、サービスプロバイダ装置からクライアント装置への情報転送を行うことを特徴とする認証代行サービスシステム。 With the encryption public key received information from the authentication proxy server apparatus, the encrypted information includes means for transmitting to said authentication agent server apparatus, the client apparatus, the authentication proxy server device encrypted information received from the and means for decoding using the encryption private key, without leaking to the authentication proxy server, wherein the transfer information from the service provider device to the client device certification agency services system that.
【請求項８】 サービスを提供するサービスプロバイダ装置と、前記サービスプロバイダ装置と接続された、サービス提供を受けるクライアント装置と、前記サービスプロバイダ装置とクライアント装置との間に設けられた認証代行サーバ装置とからなり、前記認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サービスシステムにおいて、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記クライアント装置へ配送し、前記クライアント装置から受け取った暗号化された情報を前記サービスプロバイダ装置へ転送し、前記サービスプロバイダ装置から受け取った暗号化された情報を前記クライアント装置へ And a service provider device that provides 8. service, the connected to the service provider apparatus, and a client device receiving the service provided, and an authentication proxy server device provided between the service provider device and the client device from it, the authentication agent service system in which the authentication agent server device authentication from the service provider device on behalf of the client device, the authentication proxy server device providing the services, the service provider device corresponding to the desired service cryptographic public key delivered to the client device, the encrypted information received from the client device and transferred to the service provider apparatus, the encrypted information received from the service provider device to the client device 送する手段を有し、 前記クライアント装置は、前記サービスプロバイダ装置との間の暗号通信用セッションキーあるいはこのセッションキーの元となるデータを生成し、前記セッションキーあるいはデータを前記認証代行サーバ装置から受け取った暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信した後、前記サービスプロバイダ装置へ送信すべき情報を前記セッションキーを用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手段を有し、 前記サービスプロバイダ装置は、前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して前記セッションキーを取得し、あるいは暗号用秘密鍵を用いた復号化により前記データを取得して、この And means for sending said client device, said generates the underlying data encrypted communication session key or session key between the service provider device, the session key or data from the authentication proxy server device with the encryption public key received, this after the encrypted information was transmitted to the authentication proxy server apparatus, the information to be transmitted to the service provider device is encrypted using the session key, the encryption and means for transmitting of information to the authentication proxy server apparatus, the service provider apparatus, said decrypted by using the encryption private key encrypted information received from the authentication proxy server session obtain a key, or by acquiring the data by decryption using the encryption private key, the ータから前記セッションキーを生成した後、 After from over data to generate the session key,
前記クライアント装置へ送信すべき情報を前記セッションキーを用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手段を有し、認証代行サーバ装置には漏洩することなく、クライアント装置とサービスプロバイダ装置間の双方向の情報転送を行うことを特徴とする認証代行サービスシステム。 The information to be transmitted to the client device encrypted using the session key, and means for transmitting the encrypted information to the authentication proxy server, without the authentication agent server apparatus leaks, client authentication agent service system and performs bidirectional information transfer between the device and the service provider equipment.
【請求項９】 請求項６または８記載の認証代行サービスシステムにおいて、 前記認証代行サーバ装置は、前記暗号用公開鍵を前記クライアント装置へ配送する際に、前記暗号用公開鍵と共に暗号用公開鍵証明書を配送する手段を有し、 前記クライアント装置は、前記暗号用公開鍵を用いた暗号化を行う前に、前記認証代行サーバ装置から受け取った暗号用公開鍵証明書を基に前記暗号用公開鍵を検証する手段を有することを特徴とする認証代行サービスシステム。 9. The method of claim 6 or 8, wherein the authentication agent service system, the authentication proxy server apparatus, when delivering the public key encryption to the client device, the cryptographic public key together with the encryption public key and means for delivering the certificate, said client device, before performing the encryption using a public key for the encryption, the encryption based on the encryption public key certificate received from the authentication proxy server device certification agency service system, characterized in that it has the means to verify the public key.
【請求項１０】 請求項６または８記載の認証代行サービスシステムにおいて、 前記クライアント装置は、前記暗号化を行う際に、自装置の認証情報を前記暗号用公開鍵を用いて暗号化し、この暗号化された情報を前記認証代行サーバ装置へ送信する手段を有し、 前記サービスプロバイダ装置は、前記復号化を行う際に、前記認証代行サーバ装置から受け取った暗号化された情報を暗号用秘密鍵を用いて復号化して前記認証情報を取得し、この認証情報を基に前記クライアント装置の認証を行う手段を有することを特徴とする認証代行サービスシステム。 10. The method of claim 6 or 8, wherein the authentication agent service system, the client apparatus, when performing the encryption, authentication information of the device is encrypted using the public key for the encryption, the encryption and means for transmitting of information to the authentication proxy server apparatus, the service provider apparatus, when performing the decryption, the encrypted information a secret key encryption received from the authentication proxy server device authentication agent service system the certification information, and having a means for performing authentication of the client device based on the authentication information is decoded using.
【請求項１１】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられ、前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サーバ装置において、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記クライアント装置へ配送し、この暗号用公開鍵を用いて暗号化された情報を前記クライアント装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、前記暗号化された情報を前記サービスプロバイダ装置へ転送する手段を有することを特徴とする認証代行サーバ装置。 11. provided between the client device receiving a service provider device and the service providing that provides a service, the authentication proxy server to be authenticated from the service provider device on behalf of the client device, the authentication agent server device, providing the services, delivers the cryptographic public key of the service provider device corresponding to the desired service to the client device receives the information encrypted by using the encryption public key from said client device, In order to perform the decryption using the encryption private key, the authentication proxy server apparatus characterized by comprising means for transferring the encrypted information to the service provider device.
【請求項１２】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられ、前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サーバ装置において、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置に対して、前記クライアント装置の暗号用公開鍵を配送し、この暗号用公開鍵を用いて暗号化された情報を前記サービスプロバイダ装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、前記暗号化された情報を前記クライアント装置へ転送する手段を有することを特徴とする認証代行サーバ装置。 12. provided between the client device receiving a service provider device and the service providing that provides a service, the authentication proxy server to be authenticated from the service provider device on behalf of the client device, the authentication agent server device, providing the services, to the service provider device corresponding to the desired service, the delivered cryptographic public key of the client device, the service provider information encrypted by using the encryption public key receiving from the device, in order to perform the decryption using the encryption private key, the authentication proxy server apparatus characterized by comprising means for transferring the encrypted information to the client device.
【請求項１３】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられ、前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サーバ装置において、 前記認証代行サーバ装置は、サービス提供時、所望のサービスに対応した前記サービスプロバイダ装置の暗号用公開鍵を前記クライアント装置へ配送し、この暗号用公開鍵を用いて暗号化された暗号通信用セッションキーあるいはこのセッションキーの元となるデータを前記クライアント装置から受け取り、暗号用秘密鍵を用いた復号化を行わせるべく、前記暗号化されたセッションキーあるいはデータを前記サービスプロバイダ装置へ転送した後、前記セッションキーを用いて暗号化された、前記クライ 13. provided between the client device receiving a service provider device and the service providing that provides a service, the authentication proxy server to be authenticated from the service provider device on behalf of the client device, the authentication agent server device, providing the services, a desired service delivers the encryption public key of the service provider device corresponding to the client device, encrypted encryption communication session key or the session by using the encryption public key receive data comprising a key source from the client device in order to perform the decryption using the encryption private key, after which the encrypted session key or data is transferred to the service provider device, the session key encrypted with the Cry ント装置からの情報を前記サービスプロバイダ装置へ転送すると共に、前記セッションキーを用いて暗号化された、前記サービスプロバイダ装置からの情報を前記クライアント装置へ転送する手段を有することを特徴とする認証代行サーバ装置。 Transfers the information from the cement system to the service provider device, the authentication agent, characterized in that it comprises means for transferring the encrypted, the information from the service provider device to the client device using said session key the server device.
【請求項１４】 請求項１１または１３記載の認証代行サーバ装置において、 前記認証代行サーバ装置は、前記クライアント装置に前記暗号用公開鍵の検証を行わせるべく、前記暗号用公開鍵と共に暗号用公開鍵証明書を前記クライアント装置へ配送する手段を有することを特徴とする認証代行サーバ装置。 14. The authentication proxy server apparatus of claim 11 or 13, wherein the authentication agent server device, in order to perform verification of the public key encryption to the client device, the public encryption with the encryption public key authentication agent server apparatus characterized by comprising a means for delivering the key certificate to the client device.
【請求項１５】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サービスシステムにおける前記クライアント装置であって、 前記認証代行サーバ装置からクライアント認証を受けるための署名を生成する署名生成手段を備えたＩＣカードからなると共に、 前記サービスプロバイダ装置へ送信すべき情報を暗号用公開鍵を用いて暗号化する暗号化手段と、前記ＩＣカードによって生成された署名を前記認証代行サーバ装置へ送信し、前記認証代行サーバ装置から送信された暗号用公開鍵を受け取って前記暗号化手段へ出力し、前記暗号化手段によって暗号化された情報を前 15. authentication agent server device provided between a client device to receive a service provider device and the service providing that provides services on behalf of the said client device at the authentication agent service system to authenticate from the service provider device a said client device, together with an IC card with a signature generating means for generating a signature for receiving client authentication from the authentication proxy server apparatus, the service cryptographic public key information to be transmitted to the provider apparatus using encryption means for encrypting and transmitting a signature generated by the IC card to the authentication proxy server, the authentication agent server output device receives the public key cryptography, which is transmitted from the said encryption means and, before the information encrypted by said encryption means 認証代行サーバ装置へ送信する送受信手段とを備えた処理装置からなることを特徴とするクライアント装置。 Client device, comprising the processing apparatus and a receiving means for transmitting to the authentication proxy server.
【請求項１６】 サービスを提供するサービスプロバイダ装置とサービス提供を受けるクライアント装置との間に設けられた認証代行サーバ装置が前記クライアント装置に代わって前記サービスプロバイダ装置から認証を受ける認証代行サービスシステムにおける前記クライアント装置であって、 前記認証代行サーバ装置からクライアント認証を受けるための署名を生成する署名生成手段と、前記サービスプロバイダ装置へ送信すべき情報を暗号用公開鍵を用いて暗号化する暗号化手段とを備えたＩＣカードからなると共に、 前記ＩＣカードによって生成された署名を前記認証代行サーバ装置へ送信し、前記認証代行サーバ装置から送信された暗号用公開鍵を受け取って前記ＩＣカードへ出力し、前記ＩＣカードによって暗号化された情報を 16. Service receive a service provider device and the service providing that provides authentication proxy server which is provided between the client device instead of the client devices in the authentication agent service system to authenticate from the service provider device a said client device, encryption is encrypted by using the public key encryption and signature generating means for generating a signature for receiving client authentication from the authentication proxy server apparatus, the information to be transmitted to the service provider device with an IC card having a means to transmit a signature generated by the IC card to the authentication proxy server device, the output receives the encryption public key transmitted from the authentication proxy server device to the IC card and, the information encrypted by the IC card 記認証代行サーバ装置へ送信する送受信手段とを備えた処理装置からなることを特徴とするクライアント装置。 Client device, comprising the processing apparatus and a receiving means for transmitting to the serial authentication agent server device.
JP31746899A 1999-11-08 1999-11-08 Authentication delegate method, authentication delegate service system, authentication delegate server device, and client device Withdrawn JP2001134534A (en)
JP31746899A JP2001134534A (en) 1999-11-08 1999-11-08 Authentication delegate method, authentication delegate service system, authentication delegate server device, and client device
JP2001134534A true JP2001134534A (en) 2001-05-18
ID=18088577
JP31746899A Withdrawn JP2001134534A (en) 1999-11-08 1999-11-08 Authentication delegate method, authentication delegate service system, authentication delegate server device, and client device
JP (1) JP2001134534A (en)
JP2001197055A (en) * 2000-01-07 2001-07-19 Nippon Steel Corp Device, method, and service system for proxy authentication and computer-readable recording medium
KR100757685B1 (en) 2006-01-12 2007-09-10 에스케이 텔레콤주식회사 APDU Delivery Host Authentication Method And System Based on PKI
US7877794B2 (en) 2004-11-29 2011-01-25 International Business Machines Corporation Relay apparatus, relay method and program therefor
US8060746B2 (en) 2005-03-18 2011-11-15 Fujitsu Limited E-mail transfer method and device
JP4814339B2 (en) * 2005-09-29 2011-11-16 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ Constrained encryption key
JP2014147039A (en) * 2013-01-30 2014-08-14 Oki Electric Ind Co Ltd Cryptocommunication device, proxy server, cryptocommunication system, cryptocommunication program and proxy server program
1999-11-08 JP JP31746899A patent/JP2001134534A/en not_active Withdrawn
Kelsey et al. 1997 Protocol interactions and the chosen protocol attack