JP2003224554A - 通信接続システム、方法、プログラム及び電子投票システム - Google Patents

Abstract

(57)【要約】 【課題】 異なるドメインとの通信の際に、不正なパケ
ットの流入を阻止する。 【解決手段】 異なるドメインＡ，Ｂ間のセキュア通信
の際に、各ゲートウェイＧＷ２０，ＧＷ４０が、個人認
証の認証精度とアプリケーションのセキュリティ情報と
を含むセキュリティポリシーを交換しあい、認証精度と
セキュリティ情報との両者の検証結果が正当なときの
み、セキュア通信を接続する。これにより、通信要求者
の正当性を認証精度とセキュリティ情報との両方から検
証する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、異なるドメイン間
で情報をセキュアに通信する際に用いられる通信方法、
プログラム及びシステムに係り、特に、他のドメインか
ら不正パケットの流入を阻止し得る通信接続システム、
方法、プログラム及び電子投票システムに関する。

【０００２】

【従来の技術】従来、異なるドメインに属する各エンテ
ィティ装置が互いに情報をセキュアに通信する際に、各
エンティティ装置が互いに電子メールシステムの一部の
場合、ＰＧＰ(Pretty Good Privacy)やＳ／ＭＩＭＥ(Se
cure Multimedia Internet Mail Extensions)などの暗
号メールにより、送信者の確認や電文の秘匿が行われて
いる。

【０００３】一方、各エンティティ装置が互いにＷＷＷ
(World Wide Web)におけるクライアント／サーバシステ
ムの一部の場合、ＳＳＬ(secure sockets layer)によ
り、相互認証や通信データの秘匿が行われている。

【０００４】このように、各エンティティ装置間のセキ
ュア通信の際に、暗号メールやＳＳＬ等を利用するアプ
リケーションにより、セキュアに保護される層が異なる
ことから、場合によっては、ユーザはアプリケーション
に対応してセキュアに保護される層を把握しておく必要
がある。

【０００５】また、各ドメイン間でセキュリティポリシ
ーが異なる際に、例えば通信相手側の認証精度が当方の
要求水準よりも低いときのように、正当な通信相手か否
かの疑問が残る場合でも、認証結果が肯定的であれば通
信相手側に接続されて通信が実行される。この場合の接
続は、通信相手が不正なエンティティ装置であると、セ
キュリティホールとなって不正なパケットを流入させて
しまう可能性がある。

【０００６】

【発明が解決しようとする課題】以上説明したように、
異なるドメインに属する各エンティティ装置間のセキュ
ア通信では、場合により、ユーザがアプリケーションに
応じてセキュアに保護される層を把握しておく必要があ
る。

【０００７】また、異なるセキュリティポリシーをもつ
他のドメインのエンティティ装置と通信する際には、通
信相手が不正なエンティティ装置の場合、不正なパケッ
トを流入させる可能性がある。

【０００８】本発明は上記実情を考慮してなされたもの
で、アプリケーションに応じてセキュアに保護される層
を把握でき、且つ、異なるドメインとの通信の際に、不
正なパケットの流入を阻止し得る通信接続システム、方
法、プログラム及び電子投票システムを提供することに
ある。

【０００９】

【課題を解決するための手段】第１の発明は、互いに異
なるドメインに属するエンティティ装置間で各々の中継
装置とオープンなネットワークとを介してセキュア通信
を接続するための通信接続システムであって、前記各中
継装置としては、自己の属するドメインのエンティティ
装置から受けた、個人認証の認証方式及び認証精度を含
む認証関連情報と、当該エンティティ装置が前記セキュ
ア通信に用いるアプリケーションのセキュリティに関す
るセキュリティ情報とからセキュリティポリシーを作成
するポリシー作成手段と、前記ポリシー作成手段により
作成されたセキュリティポリシーを各中継装置間で交換
するポリシー交換手段と、前記ポリシー交換手段により
得られた相手のセキュリティポリシー内の認証関連情報
とセキュリティ情報とに関し、自己のセキュリティポリ
シーに適合するか否かを各々検証するポリシー検証手段
と、前記ポリシー検証手段による両者の検証結果が正当
のとき、前記接続のための鍵交換を行なう鍵交換手段
と、を備えた通信接続システムである。

【００１０】（作用）従って、第１の発明は以上のよう
な手段を講じたことにより、異なるドメイン間のセキュ
ア通信の際に、個人認証の認証精度とアプリケーション
のセキュリティ情報とを含むセキュリティポリシーを交
換しあい、認証精度とセキュリティ情報との両者の検証
結果が正当なときのみ、セキュア通信を接続する構成に
より、通信要求者の正当性を認証精度とセキュリティ情
報との両方から検証できるので、不正なパケットの流入
を防止することができる。

【００１１】なお、上記第１の発明は、全体を「システ
ム」として表現した場合を示すが、これに限らず、全体
又は各装置毎の「装置」、「方法」、「プログラム」又
は「記憶媒体」等として表現してもよいことは言うまで
もない。

【００１２】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を参照しながら説明する。 （第１の実施形態）図１は本発明の第１の実施形態に係
る通信接続システムを含むネットワーク構成を示す模式
図である。図示するように、互いに異なるドメインＡ，
Ｂがインターネット等のオープンなネットワークＮＷを
介して互いに接続されている。

【００１３】ここで、ドメイン（第１ドメイン）Ａは、
利用者側のｎ個のＰＣ(Personal Computer)端末（第１
エンティティ装置）ＴＡ１０_１〜ＴＡ１０_ｎがＬＡＮ１
及び第１ゲートウェイ（第１中継装置）ＧＷ２０を介し
てネットワークＮＷに接続された構成となっている。

【００１４】同様に、ドメイン（第２ドメイン）Ｂは、
認証者側のｍ個のＰＣ端末（第２エンティティ装置）Ｔ
Ｂ３０_１〜ＴＢ３０_ｍがＬＡＮ２及び第２ゲートウェイ
（第２中継装置）ＧＷ４０を介してネットワークＮＷに
接続された構成となっている。なお、第１及び第２ゲー
トウェイＧＷ２０，ＧＷ４０は、それぞれルータに代え
てもよい。また、認証者側の各ＰＣ端末ＴＢ３０_１〜Ｔ
Ｂ３０_ｍは、個人使用の端末又は共同使用の端末でもよ
いし、ＷＷＷサーバ等のようにサービスを提供するサー
バに代えてもよい。

【００１５】図２は上記通信接続システムの構成を示す
模式図である。ここで、各ＰＣ端末ＴＡ１０_１〜ＴＡ１
０_ｎは、互いに同一構成のため、ＴＡ１０_１を例に挙げ
て説明する。同様に、各ＰＣ端末ＴＢ３０_１〜ＴＢ３０
_ｍも互いに同一構成のため、ＴＢ３０_１を例に挙げて説
明する。

【００１６】利用者側のＰＣ端末ＴＡ１０_１は、メモリ
部１１、センサ部１２及び認識部１３からなるセンサ装
置１４に接続されており、端末鍵メモリ部１５、セキュ
リティ情報生成部１６、ポリシー情報生成部１７及びＧ
Ｗ認証部１８を備えている。

【００１７】メモリ部１１は、利用者の生体情報を照合
するための予め設定された照合データ、照合用の設定情
報（精度等）、機器認証用鍵、公開鍵証明書及び認証用
機器ＩＤが認識部１３から読出可能に予め記憶されてい
る。

【００１８】ここで、照合データは、利用者の指紋、虹
彩、声紋、筆跡、キーストローク等の任意のもの（種類
及び精度）が使用可能であるが、ここでは指紋情報の高
精度の値を用いるものとする。また、照合データは、セ
ンサ装置１４に設けられた耐タンパー性のメモリ部１１
内、もしくはセンサ装置１４に装着されるスマートカー
ド内の耐タンパーメモリに格納されており、不正な読出
から保護されている。

【００１９】機器認証用鍵は、自装置１４の認証に用い
られる公開鍵ペアであり、公開鍵証明書により公開鍵の
有効性が証明されている。

【００２０】公開鍵証明書は、予めＴＴＰ(Trusted Thi
rd Party)である証明書発行機関から発行され、前述し
た公開鍵ペア（機器認証用鍵）のうちの公開鍵を含むも
のである。なお、同様に、他の装置ＴＡ１０_１，ＧＷ２
０，ＴＢ３０_１，ＧＷ４０で用いられる公開鍵証明書も
証明書発行機関から発行され、公開鍵を含むものであ
る。

【００２１】秘密鍵は、この公開鍵ペアのうちの他方の
鍵であり、メモリ部１１のうちの耐タンパー領域（又は
他の耐タンパーメモリ）に格納されて秘匿されている。

【００２２】認証用機器ＩＤは自装置１４の認証に用い
られる識別情報であり、自装置の電子署名に使用される
ものである。

【００２３】センサ部１２は、利用者の指紋を測定し、
得られた指紋情報を認識部１３に入力する機能をもって
いる。

【００２４】認識部１３は、センサ部１２から入力され
た指紋情報の正当性をメモリ部１１の照合データに基づ
いて認証し、認証結果（ＯＫ又はＮＧ）を含む認証結果
署名を生成し、得られた認証結果署名をＰＣ端末ＴＡ１
０_１に出力する機能と、ＰＣ端末１０_１から受ける電子
署名を検証する機能とをもっている。

【００２５】ここで、認証結果署名は、図３に示すよう
に、認証方法ｃ１、認証機器ＩＤｃ２、認証精度（他人
排除率ＦＡＲ又は本人拒否率ＦＲＲ）ｃ３、認証結果ｃ
４、ｃ１〜ｃ４に対する電子署名としての認証署名デー
タｃ５、及び認証機器の公開鍵証明書ｃ６からなるデー
タ群ｃ１〜ｃ６である。

【００２６】続いて、ＰＣ端末ＴＡ１０_１の各要素を、
端末鍵メモリ部１５、セキュリティ情報生成部１６、ポ
リシー情報生成部１７及びＧＷ認証部１８の順に説明す
る。

【００２７】端末鍵メモリ部１５は、自装置ＴＡ１０_１
の公開鍵ペア及び公開鍵証明書がＧＷ認証部１８から読
出可能に予め記憶されている。

【００２８】セキュリティ情報生成部１６は、利用者の
操作により、通信に関するセキュリティ情報を生成し、
このセキュリティ情報をポリシー情報生成部１７に送出
する機能をもっている。ここで、セキュリティ情報は、
図４に示すように、送信先アドレスｓ１、アプリケーシ
ョンｓ２、アプリケーションが行なうセキュリティｓ
３，ｓ３１〜ｓ３２、他の層で行なうセキュリティｓ
４，ｓ４１，ｓ４１１，ｓ４２，ｓ４２１〜ｓ４２８、
を示すデータ群である。

【００２９】なお、アプリケーションが行なうセキュリ
ティｓ３としては、例えば、暗号アルゴリズムｓ３１及
び暗号鍵長ｓ３２がある。また、他の層で行なうセキュ
リティｓ４としては、例えばＳＳＬ方式ｓ４１及びその
バージョンｓ４１１などがあり、また例えばＩＰｓｅｃ
方式ｓ４２及びその認証アルゴリズムｓ４２１、認証モ
ードｓ４２２、認証用鍵ｓ４２３、暗号アルゴリズムｓ
４２４、暗号モードｓ４２５、暗号鍵ｓ４２６、送信元
アドレスｓ４２７、有効期限ｓ４２８などがある。

【００３０】ポリシー情報生成部１７は、センサ装置１
４を認証する機能と、認証結果が真のときにはセンサ装
置１４による個人認証を実行可能とする機能とを有し、
また、セキュリティポリシーを生成するためのポリシー
情報のうち、セキュリティ情報生成部１６から送出され
たセキュリティ情報と、センサ装置１４の認識部１３か
ら出力された認証結果署名とを順次、ＧＷ認証部１８に
送出する機能とをもっている。但し、認証結果署名は、
予めセンサ装置１４とポリシー情報生成部１７との間
で、ＰＣ端末ＴＡ１０_１のネットワーク層により正当性
が検証される。

【００３１】ここで、ポリシー情報は、図５に示すよう
に、図３に示した認証結果署名と、図４に示したセキュ
リティ情報とを備えたものである。ＧＷ認証部１８は、
端末鍵メモリ部１５内の公開鍵ペア及び公開鍵証明書を
用い、ＬＡＮ１を介して第１ゲートウェイＧＷ２０と相
互認証を行なう機能と、相互認証の結果が正当を示すと
き、ポリシー情報生成部１７から送出されたポリシー情
報をＬＡＮ１を介して第１ゲートウェイＧＷ２０に送信
する機能をもっている。

【００３２】第１ゲートウェイＧＷ２０は、ＧＷ鍵メモ
リ部２１、端末認証部２２、セキュリティポリシー生成
部２３及び交換部２４を備えている。

【００３３】ＧＷ鍵メモリ部２１は、自装置ＧＷ２０の
公開鍵ペア及び公開鍵証明書が端末認証部２２から読出
可能に予め記憶されている。

【００３４】端末認証部２２は、ＧＷ鍵メモリ２１内の
公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ１を介して
ＰＣ端末ＴＡ１０_１と相互認証を行なう機能と、相互認
証の結果が正当を示すとき、ＰＣ端末ＴＡ１０_１から送
信されたポリシー情報をセキュリティポリシー生成部２
３に送出する機能をもっている。

【００３５】セキュリティポリシー生成部２３は、端末
認証部２２から送出されたポリシー情報に基づいて、利
用者側のセキュリティポリシーデータを作成し、得られ
た利用者側のセキュリティポリシーデータを交換部２４
に送出する機能をもっている。

【００３６】ここで、利用者側のセキュリティポリシー
データは、認証者側のＰＣ端末ＴＢ３０_１との通信を行
うためのデータであり、図５に示したポリシー情報を含
む内容となっている。

【００３７】交換部２４は、ＩＰｓｅｃプロトコル（以
下、ＩＰｓｅｃという）に基づいて、セキュリティポリ
シーデータをＳＡ(Security Association)として、第２
ゲートウェイＧＷ４０との間でＳＡ交換を行なう機能
と、ＳＡ交換により、セキュア通信を許可する機能をも
っている。なお、ＳＡは、各装置間の接続情報であり、
暗号化に必要なパラメータ群（認証方式、認証用の鍵、
暗号方式、暗号鍵、暗号鍵の寿命など）を意味してい
る。

【００３８】具体的には交換部２４は、ＩＰｓｅｃに基
づいて、認証者側のセキュリティーポリシーデータを利
用者側のセキュリティポリシーデータにより検証し、検
証結果が真のとき、セキュリティポリシー生成部２３か
ら送出された利用者側のセキュリティポリシーデータを
第２ゲートウェイＧＷ４０に送信する機能と、送信した
利用者側のセキュリティーポリシーデータに関し、第２
ゲートウェイＧＷ４０から、認証者側のセキュリティポ
リシーに適合する旨の検証結果を受けると、第２ゲート
ウェイＧＷ４０との間でセキュア通信用の鍵交換（ＩＫ
Ｅ）を行なう機能とをもっている。

【００３９】なお、ＩＰｓｅｃによる通信の手順は、例
えば“日経コミュニケーション「ＩＰＳＥＣ インター
ネットＶＰＮの基本技術 既設機器との相互運用が課
題」、日経ＢＰ社、１９９８年６月１５日発行号”、な
どに解説されている。

【００４０】一方、認証者側のＰＣ端末ＴＢ３０_１は、
利用者側のＰＣ端末ＴＡ１０_１と同様に、端末鍵メモリ
部３１、ポリシー情報提供部３２及びＧＷ認証部３３を
備えている。

【００４１】なお、認証側のＰＣ端末ＴＢ３０_１は、こ
こでは例えばサーバ装置としても利用可能な観点から、
ポリシー情報提供部３２を備えたものとしたが、これに
限らず、利用者側のＰＣ端末ＴＡ１０_１と全く同様に、
センサ装置１４を備えた構成としてもよい。このように
認証側のＰＣ端末ＴＢ３０_１が利用者側のＰＣ端末ＴＡ
１０_１と同一の構成の場合、認証側と利用者側との区別
は装置としては無く、送信側が利用者側となり、受信側
が認証側となる。

【００４２】端末鍵メモリ部３１は、自装置ＴＢ３０_１
の公開鍵ペア及び公開鍵証明書がＧＷ認証部３３から読
出可能に予め記憶されている。

【００４３】ポリシー情報提供部３２は、予め認証者の
操作により、セキュア通信に関するポリシー情報が登録
されており、このポリシー情報をＧＷ認証部３３に提供
する機能をもっている。なお、認証側のポリシー情報
は、利用者側のセキュリティポリシーの水準を判定する
ためのデータであるから、少なくとも図５に示した利用
者側のポリシー情報のうち、認証署名データｃ５、認証
機器公開鍵証明書ｃ６、認証用鍵ｓ４２３及び暗号鍵ｓ
４２６を除いた同様の形式の各データを備えたものが用
いられる。

【００４４】ＧＷ認証部３３は、端末鍵メモリ部３１内
の公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介し
て第２ゲートウェイＧＷ４０と相互認証を行なう機能
と、相互認証の結果が真のとき、第２ゲートウェイＧＷ
４０からの要求により、ポリシー情報提供部３２から提
供されたポリシー情報をＬＡＮ２を介して第２ゲートウ
ェイＧＷ４０に送信する機能をもっている。

【００４５】第２ゲートウェイＧＷ４０は、前述した第
１ゲートウェイＧＷ２０と同様に、ＧＷ鍵メモリ部４
１、端末認証部４２、セキュリティポリシー生成部４３
及び交換部４４を備えている。

【００４６】ＧＷ鍵メモリ部４１は、自装置ＧＷ４０の
公開鍵ペア及び公開鍵証明書が端末認証部２２から読出
可能に予め記憶されている。

【００４７】端末認証部４２は、ＧＷ鍵メモリ４１内の
公開鍵ペア及び公開鍵証明書を用い、ＬＡＮ２を介して
ＰＣ端末ＴＢ３０_１と相互認証を行なう機能と、相互認
証の結果が真のとき、ＰＣ端末ＴＢ３０_１にポリシー情
報を要求し、得られたポリシー情報をセキュリティポリ
シー生成部４３に送出する機能をもっている。

【００４８】セキュリティポリシー生成部４３は、端末
認証部４２から送出されたポリシー情報に基づいて、認
証者側のセキュリティポリシーデータを作成し、得られ
た認証者側のセキュリティポリシーデータを交換部４４
に送出する機能をもっている。

【００４９】ここで、認証者側のセキュリティポリシー
データは、利用者側のＰＣ端末ＴＡ１０_１のセキュリテ
ィポリシーの水準を判定するためのデータであり、前述
したように、図５に示したポリシー情報のうち、認証署
名データｃ５、認証機器公開鍵証明書ｃ６、認証用鍵ｓ
４２３及び暗号鍵ｓ４２６が省略された内容となってい
る。

【００５０】交換部４４は、ＩＰｓｅｃに基づいて、セ
キュリティポリシー生成部４３から送出された認証者側
のセキュリティポリシーデータを第１ゲートウェイＧＷ
２０からの利用者側のセキュリティーポリシーデータと
交換する機能と、交換により得た利用者側のセキュリテ
ィーポリシーデータを、認証者側のセキュリティポリシ
ーデータにより検証し、検証結果がＯＫ（適合）を示す
とき、第１ゲートウェイＧＷ２０との間でセキュア通信
用の鍵交換（ＩＫＥ）を行なう機能とをもっている。

【００５１】次に、以上のように構成された通信接続シ
ステムの動作を図６のシーケンス図を用いて説明する。
さて、電源投入済みのＰＣ端末ＴＡ１０_１にセンサ装置
１４が接続されたか、又はセンサ装置１４を接続済のＰ
Ｃ端末ＴＡ１０_１に電源が投入された場合に、ＰＣ端末
１０_１は乱数を生成し、この乱数をセンサ装置１４に送
信する（ＳＴ１）。

【００５２】センサ装置１４においては、認識部１３が
機器認証用鍵を用いてこの乱数に署名処理を施し、得ら
れた電子署名を公開鍵証明書と共に、ＰＣ端末ＴＡ１０
_１に返信する（ＳＴ２）。

【００５３】ＰＣ端末ＴＡ１０_１においては、ポリシー
情報生成部１３が、公開鍵証明書を検証してその検証結
果が偽のときには処理を終了し、検証結果が真のときの
み電子署名を検証する。

【００５４】また、ポリシー情報生成部１３は、電子署
名の検証結果が真ならば接続されたセンサ装置１４が正
当であるとして、センサ装置１４による個人認証を実行
可能とする。電子署名の検証結果が偽の場合、センサ装
置１４を不正であるとして、センサ装置１４による個人
認証を実行不可とする。なお、センサ装置１４の個人認
証を実行不可とする処理は、使用可能なアプリケーショ
ンのうち、個人認証を必要とするアプリケーションを実
行不可とする旨を意味している。

【００５５】次に、利用者側のＰＣ端末ＴＡ１０_１にて
アプリケーションが起動され、利用者側のＰＣ端末ＴＡ
１０_１から認証者側のＰＣ端末ＴＢ３０_１にパケットを
送信したいとする。

【００５６】利用者側のＰＣ端末ＴＡ１０_１において
は、アプリケーションの動作により、アプリケーション
情報を含むセキュリティ情報がセキュリティ情報生成部
１６からポリシー情報生成部１７を介してＧＷ認証部１
８に送出される一方、ＧＷ認証部１８が、第１ゲートウ
ェイＧＷ２０との間で相互認証を実行する。

【００５７】この相互認証結果が真のとき、ＧＷ認証部
１８は、認証者側のＰＣ端末ＴＢ３０_１への接続要求を
第１ゲートウェイＧＷ２０に送信すると共に、セキュリ
ティ情報をポリシー情報の一部として第１ゲートウェイ
ＧＷ２０に送信する（ＳＴ３）。

【００５８】第１ゲートウェイＧＷ２０は、ポリシー情
報の一部に基づいて、認証者側のＰＣ端末ＴＢ３０_１へ
の接続に必要なセキュリティポリシーの一部を作成す
る。しかる後、第１ゲートウェイＧＷ２０は、認証要求
を利用者側のＰＣ端末ＴＡ１０ _１に向けて送信する（Ｓ
Ｔ４）。

【００５９】利用者側のＰＣ端末ＴＡ１０_１では、認証
要求を受けると、予めステップＳＴ２の後にセンサ装置
１４の検証結果が真とされた場合のみ、利用者に対して
個人認証を行う旨を画面上に表示し、照合要求をセンサ
装置１４に送信する（ＳＴ５）。

【００６０】センサ装置１４は、照合要求を受けると、
利用者による指の載置（指紋情報の入力）まで待機し、
利用者の指がセンサ部１２に載置されると、センサ部１
２がこの指の指紋情報を認識部１３に入力する。

【００６１】認識部１３は、センサ部１２から入力され
た指紋情報の正当性をメモリ部１１の照合データに基づ
いて認証し、図３に示したように、認証結果（ＯＫ又は
ＮＧ）を含む認証結果署名を生成し、得られた認証結果
署名をＰＣ端末ＴＡ１０_１に出力する（ＳＴ６）。

【００６２】ＰＣ端末ＴＡ１０_１は、認証結果署名を受
けると、図示しないネットワーク層が認証結果署名に含
まれる公開鍵証明書と認証署名データとを順次検証し、
各々の検証結果が真であれば、認証結果署名とその検証
結果とを第１ゲートウェイＧＷ２０に送信する（ＳＴ
７）。

【００６３】第１ゲートウェイＧＷ２０は、この認証結
果署名及び検証結果を受けると、利用者側のＰＣ端末Ｔ
Ａ１０_１をインターネット等を介して認証者側のＰＣ端
末ＴＢ３０_１にセキュアに通信可能とするように、ＩＰ
ｓｅｃを用いて第２ゲートウェイＧＷ４０と通信する。

【００６４】具体的には、第１ゲートウェイＧＷ２０
は、セキュリティポリシーの交換処理としての、ＩＰｓ
ｅｃにおけるＳＡ交換に際し、始めに、交換部２４が接
続要求とポリシーリクエストとを第２ゲートウェイＧＷ
４０に送信する（ＳＴ８）。

【００６５】第２ゲートウェイＧＷ４０は、この接続要
求とポリシーリクエストに対し、交換部４４が、セキュ
リティポリシー生成部４３及び端末認証部４２を介し
て、ＰＣ端末ＴＢ３０_１から認証者側のセキュリティポ
リシーを得る。

【００６６】しかる後、第２ゲートウェイＧＷ４０は、
交換部４４により、認証者側のセキュリティポリシーデ
ータをＳＡとして第１ゲートウェイＧＷ２０に送信する
（ＳＴ９）。

【００６７】第１ゲートウェイＧＷ２０は、この認証者
側のセキュリティポリシーデータに関して利用者側のセ
キュリティポリシーを満たすか否かを検証し、検証結果
がＮＧ（否）であればその旨をＰＣ端末ＴＡ１０_１に通
知して処理を終了し（ＳＴ１２に進み、ＮＧ通知）、検
証結果がＯＫ（満たす）であれば、利用者側のセキュリ
ティポリシーデータを第２ゲートウェイＧＷ４０に送信
する（ＳＴ１０）。

【００６８】第２ゲートウェイＧＷ４０は、同様に、こ
の利用者側のセキュリティポリシーデータに関して認証
者側のセキュリティポリシーを満たすか否かを検証し、
検証結果がＮＧであればその旨を第１ゲートウェイＧＷ
２０を介してＰＣ端末１０_１に通知して処理を終了し、
検証結果がＯＫであれば、第１ゲートウェイＧＷ２０と
の間でセキュア通信用の鍵交換（ＩＫＥ）を行なう（Ｓ
Ｔ１１）。

【００６９】鍵交換の完了により、ＩＰｓｅｃにおける
第１及び第２ゲートウェイＧＷ２０，ＧＷ４０間の通信
が確立された場合、第１ゲートウェイＧＷ２０は、利用
者側のＰＣ端末ＴＡ１０_１へ通信が可能である旨を通知
する（ＳＴ１２：ＯＫ）。

【００７０】これにより、利用者側のＰＣ端末１０
_１は、ＬＡＮ１、第１ゲートウェイＧＷ２０、ネットワ
ークＮＷ及び第２ゲートウェイＧＷ４０を介して、認証
者側のＰＣ端末３０_１とセキュア通信を実行する。

【００７１】上述したように本実施形態によれば、異な
るドメインＡ，Ｂ間のセキュア通信の際に、少なくとも
個人認証の認証精度とアプリケーションのセキュリティ
情報とを含むセキュリティポリシーを交換しあい、認証
精度とセキュリティ情報との両者の検証結果が正当なと
きのみ、セキュア通信を接続する構成により、通信要求
者の正当性を認証精度とセキュリティ情報との両方から
検証できるので、不正なパケットの流入を防止すること
ができる。

【００７２】また、交換されるセキュリティポリシー
は、利用者側及び認証側のうち、少なくとも利用者側で
は個人認証結果をも含むので、より確実に、正当性を検
証することができる。また、認証側がＷＷＷサーバでな
く、個人が操作する端末装置の場合に、認証側のセキュ
リティポリシーにも個人認証結果を含めることにより、
一層確実に、正当性を検証することができる。

【００７３】（第２の実施形態）図７は本発明の第２の
実施形態に係る電子投票システムの構成を示す模式図で
あり、前述した図面と同一の部分には同一符号を付し、
改変した部分には記号「’」を付して前述した部分の説
明を省略し、ここでは異なる部分について主に述べる。
なお、以下の各実施形態も同様にして重複した説明を省
略する。

【００７４】すなわち、本実施形態は、第１の実施形態
を電子投票システムに適用した適用例であり、前述した
ドメインＡに対応するｎ個の投票所ドメインＡ_１’〜Ａ
_n’と、前述したドメインＢに対応する***所ドメイン
Ｂ’とがネットワークＮＷを介して接続された電子投票
システムを用いている。

【００７５】なお、各投票所ドメインＡ_１’，…，
Ａ_ｎ’は互いに同一構成のため、ここでは投票所ドメイ
ンＡ_１’を例に挙げて説明する。また同様に、各ＰＣ端
末ＴＡ１０₁₁’〜ＴＡ１０_1n’，…，ＴＡ１０_n1’〜Ｔ
Ａ１０_nn’は互いに同一構成のため、ここではＰＣ端末
ＴＡ１０₁₁’を例に挙げて説明する。

【００７６】投票所ドメインＡ_１’は、前述したＰＣ端
末ＴＡ１０_１〜ＴＡ１０_ｎに対応するｎ個のＰＣ端末Ｔ
Ａ１０₁₁’〜ＴＡ１０_1n’がＬＡＮ１₁を介して投票所
ゲートウェイＧＷ２０_１’に接続され、投票所ゲートウ
ェイＧＷ２０_１’がネットワークＮＷに接続されてい
る。

【００７７】ＰＣ端末ＴＡ１０₁₁’は、前述同様に、個
人認証機能を有するセンサ装置１４（図示せず）に接続
されており、前述同様の機能に加え、電子投票に関する
機能をもっている。換言すると、ＰＣ端末ＴＡ１０₁₁’
は、前述したアプリケーションが電子投票用アプリケー
ションであり、電子投票用アプリケーションの実行によ
り、電子投票に関する機能を実行する場合に相当する。

【００７８】ここで、電子投票に関する機能には、例え
ば次の（１）〜（４）がある。 （１）予め指紋の照合データ及び投票権証が保持された
投票者毎のスマートカード（例、ＩＣカード）の内容を
読出す機能。 （２）センサ装置１４から受けた照合結果署名とその照
合結果が真のとき、照合結果署名を投票所ＧＷ２０’に
送出する機能。 （３）投票所ＧＷ２０’から受けた投票権証の検証結果
が真のとき、スマートカードに投票権証を要求し、得ら
れた投票権証を検証し、検証結果が真のときに投票者の
端末操作に基づいて投票証を作成する機能。なお、投票
証の作成時に用いる選挙管理委員会の公開鍵は予め端末
ＴＡ１０₁₁’内に保持されている。

【００７９】（４）上記（３）で作成した投票証及び投
票権証を１回だけ投票所ＧＷ２０’に送出する機能。

【００８０】なお、投票権証は、投票所の入場券として
機能する電子データであり、図８に示すように、投票者
ＩＤ（通し番号）ｒ１、投票者氏名ｒ２、住所ｒ３、選
挙区ｒ４、ｒ１〜ｒ４に対する選挙管理委員会のデジタ
ル署名ｒ５からなるデータ群ｒ１〜ｒ５であり、予め選
挙管理委員会から投票者に送付される。

【００８１】照合結果署名は、前述した認証結果署名と
ほぼ同様のものであり、図９に示すように、認証方法ｃ
１、認証機器ＩＤｃ２、認証精度（他人排除率ＦＡＲ又
は本人拒否率ＦＲＲ）ｃ３、照合結果ｃ４’、ｃ１〜ｃ
４に対する投票権証のデジタル署名ｃ５’からなるデー
タ群ｃ１〜ｃ５’であって、個人認証の際に、センサ装
置１４により生成される。

【００８２】投票証は、図１０に示すように、投票所Ｉ
Ｄｖ１、端末ＩＤｖ２、投票結果ｖ３、ｖ１〜ｖ３に対
する端末のデジタル署名ｖ４からなるデータ群ｖ１〜ｖ
４であり、投票者の端末操作に基づいて、投票所のＰＣ
端末ＴＡ１０₁₁’により作成される。

【００８３】投票所ゲートウェイＧＷ２０’は、前述し
た第１ゲートウェイＧＷ２０に対応するものである。

【００８４】一方、***所ドメインＢ’は、前述したＰ
Ｃ端末ＴＢ３０_１に対応する***サーバＴＢ３０’が開
票所ゲートウェイＧＷ５０を介してｍ個の収集ゲートウ
ェイＧＷ４０_１’，…，ＧＷ４０_ｍ’に接続され、各収
集ゲートウェイＧＷ４０_１’，…，ＧＷ４０_ｍ’がネッ
トワークＮＷに接続されている。

【００８５】***サーバＴＢ３０’は、前述したＰＣ端
末ＴＢ３０_１の機能に加え、***所ゲートウェイＧＷ５
０から転送される各投票証に基づいて、投票証に含まれ
る投票結果を集計し、集計結果を出力する機能をもって
いる。

【００８６】次に、各収集ゲートウェイＧＷ４０_１’，
…，ＧＷ４０_ｍ’は互いに同一構成のため、ここでは収
集ゲートウェイＧＷ４０_１を例に挙げて説明する。収集
ゲートウェイＧＷ４０_１’は、前述した第２ゲートウェ
イＧＷ４０の機能に加え、投票所ドメインＡ_１’から受
けた投票証を検証し、検証結果が真のとき、当該投票証
を***所ゲートウェイＧＷ５０に送出する機能をもって
いる。なお、各収集ゲートウェイＧＷ４０_１’，…，Ｇ
Ｗ４０_ｍ’や各投票所ゲートウェイＧＷ２０₁’，…，
ＧＷ２０_n’は、それぞれ負荷分散の観点から、複数設
置されている。すなわち、投票所ＧＷ２０₁’と収集Ｇ
Ｗ４０₁’とが必ずしも接続される必要はなく、互いに
ポリシー交換をした投票所ＧＷ２０₁’と収集ＧＷ４０
_ｉ’とが接続される。

【００８７】***所ゲートウェイＧＷ５０は、各収集ゲ
ートウェイＧＷ４０_１’，…，ＧＷ４０_ｍ’から受けた
投票証を***サーバに転送する機能をもっている。

【００８８】次に、以上のように構成された電子投票シ
ステムの動作を図１１及び図１２のシーケンス図を用い
て「投票権証の配布」及び「投票」の順に説明する。 （投票権証の配布：図１１）投票者は、投票権証を受取
可能とするように、予め自己の利用者端末ＴＵのメール
アドレスを選挙管理委員会Ｅに届けておくものとする。
なお、投票権証のデジタル署名の検証に用いる公開鍵証
明書は、投票権証と共に送付されてもよく、また、選挙
管理委員会のホームページ等からダウンロードされても
よい。また、投票者は、前述した照合データや鍵情報を
格納するためのスマートカードＳＣを保有しているもの
とする。

【００８９】さて図１１に示すように、利用者端末ＴＵ
は、図８に示した投票権証を選挙管理委員会Ｅから受信
すると（ＳＴ２１）、投票権証を選挙管理委員会Ｅの公
開鍵を用いて検証し、検証結果が真であれば、センサ装
置１４に照合要求を送出する（ＳＴ２２）。

【００９０】センサ装置１４は、前述同様に、指紋の生
体情報が入力されると（ＳＴ２３）、スマートカードＳ
Ｃから照合データを読出して（ＳＴ２４）、生体情報を
照合データに照合し、照合結果（ＯＫ／ＮＧ）を利用者
端末ＴＵに送出する（ＳＴ２５）。

【００９１】利用者端末ＴＵは、照合結果が真（ＯＫ）
であれば、投票権証をスマートカードＳＣに入力し（Ｓ
Ｔ２６）、スマートカードＳＣから書込みの完了通知を
受ける（ＳＴ２７）。

【００９２】これにより、投票権証に記載された投票者
に関し、選挙管理委員会Ｅによる投票権証の配布処理が
完了する。なお、上述したステップＳＴ２１〜ＳＴ２７
は全ての投票者に対してそれぞれ行われる。

【００９３】（投票：図１２）予め***所ドメインＢ’
においては、収集ＧＷ４０_１’は、例えば投票日にＩＰ
ｓｅｃに基づいて、***所ゲートウェイＧＷ５０と前述
同様のＳＡ交換（ポリシー交換）を行ない（ＳＴ３
１）、***所ゲートウェイＧＷ５０と通信が接続されて
いる。また、各投票所ドメインＡ_１’，…，Ａ_ｎ’の各
ＰＣ端末ＴＡ１０₁₁’〜ＴＡ１０_1n’，…，ＴＡ１
０_n1’〜ＴＡ１０_nn’は、予め選挙管理委員会Ｅの公開
鍵を保持している。

【００９４】一方、投票所ドメインＡ_１’においては、
投票者がスマートカードＳＣを持参してくると共に、投
票所内のＰＣ端末ＴＡ１０₁₁’の前に座る。

【００９５】始めに、ＰＣ端末ＴＡ１０₁₁’に接続され
たセンサ装置１４は、投票者によりスマートカードＳＣ
が挿入され、投票者の指が置かれると、その指の指紋を
測定して生体情報を得ると（ＳＴ３２）、スマートカー
ドＳＣから照合データを読み出す（ＳＴ３３）。なお、
スマートカードＳＣの挿入部位は、センサ装置１４又は
ＰＣ端末ＴＡ１０₁₁’のいずれに設けてもよい。

【００９６】さて、センサ装置１４は、指紋の生体情報
と照合データとを照合し、照合結果が真であれば、前述
同様に、図９に示した照合結果署名を生成し、得られた
照合結果署名をＰＣ端末ＴＡ１０₁₁’に出力する（ＳＴ
３４）。

【００９７】ＰＣ端末ＴＡ１０₁₁’端末は、照合結果署
名を検証し、検証結果が真であれば、前述同様に、照合
結果署名とその検証結果を投票所ＧＷ２０_１’に送信す
る（ＳＴ３５）。

【００９８】投票所ＧＷ２０_１’は、検証結果を受ける
と、ＩＰｓｅｃに基づいて、収集所ドメインＢ’の収集
ＧＷ４０_１’とＳＡ交換を行い、通信を接続する（ＳＴ
３６）。

【００９９】一方、ＰＣ端末ＴＡ１０₁₁’は、スマート
カードＳＣへ投票権証を要求し（ＳＴ３７）、投票権証
をスマートカードＳＣから読出し（ＳＴ３８）、投票権
証をそのデジタル署名ｒ５に基づいて検証する。

【０１００】投票権証の検証結果が真であれば、ＰＣ端
末ＴＡ１０₁₁’は、投票者による投票結果（候補者名、
政党名又は国民審査結果など）の入力又は選択操作に基
づいて、投票所ＩＤｖ４、端末ＩＤｖ２、投票結果ｖ３
に対してデジタル署名ｖ４を生成して図１０に示したよ
うな投票証を作成し、得られた投票証を投票所ＧＷ２
０’に送信する（ＳＴ３９）。

【０１０１】すなわち、ＰＣ端末ＴＡ１０₁₁’から投票
所ＧＷ２０_１’へ送信されるデータは、投票所・端末の
ＩＤ情報ｖ１，ｖ２及び投票結果ｖ３に関する投票証の
みであり、投票者のデータは送信されない。

【０１０２】投票所ＧＷ２０_１’は、投票証に含まれる
端末ＩＤｖ２に基づいて、ＰＣ端末ＴＡ１０₁₁’の公開
鍵を選択し、この公開鍵に基づいて投票証を検証し、投
票証の検証が真であれば、ＳＴ３６で接続した収集ＧＷ
４０_１’に投票証を送信する（ＳＴ４０）。

【０１０３】収集ＧＷ４０_１’は、投票証を受けると、
投票証に含まれる投票所ＩＤｖ１と端末ＩＤｖ２に基づ
いて、ＰＣ端末ＴＡ１０₁₁’の公開鍵を選択し、この公
開鍵に基づいて、投票証を検証し、投票証の検証が真で
あれば、ＳＴ３１で接続した***所ゲートウェイＧＷ５
０に投票証を送信する（ＳＴ４１）。

【０１０４】***所ゲートウェイＧＷ５０は、各収集Ｇ
Ｗ４０_１’〜ＧＷ４０_ｍ’から受けた投票証を***サー
バＴＢ３０’に転送する（ＳＴ４２）。

【０１０５】***サーバＴＢ３０’は、***所ゲートウ
ェイＧＷ５０から受けた投票証を集計し、集計結果を出
力する。

【０１０６】上述したように本実施形態によれば、第１
の実施形態の効果に加え、異なるドメインＡ’，Ｂ’間
のセキュア通信を含む電子投票システムを実現させるこ
とができる。

【０１０７】なお、電子投票については、他にも様々な
仕組みが提案されている。但し、本実施形態は、電子投
票の仕組み自体には言及せず、投票データを安全に***
サーバへ送信するためのネットワークの接続方法に言及
するものである。

【０１０８】従って、電子投票の仕組み自体は任意であ
り、どの仕組みを用いても良いものとする。換言する
と、アプリケーション層でどの様な電子投票システムを
組み込んでも構わない、ということである。

【０１０９】例えば、適用対象の電子投票が任意である
ことに関し、二重投票を防止する仕組み（ａ）〜（ｄ）
を例に挙げて述べる。なお、二重投票とは、投票者が投
票を行った場合、再度、同一の投票者が投票を行う不正
行為である。このため、電子投票においても、二重投票
を禁止する何らかの仕組みを用いる必要があると考えら
れる。なお、重ねて言うが、二重投票の禁止は、電子投
票の仕組み自体の話であり、本実施形態の必須要件では
ない。

【０１１０】（ａ）投票者リストを用いる方式は、投票
所ＧＷ２０_１’が、投票者ＩＤ、投票権証及び投票済み
フラグの組を示す投票済みリストを確認するものであ
る。すなわち、投票者がＰＣ端末ＴＡ１０₁₁’の操作に
より投票をすると、ＰＣ端末ＴＡ１０₁₁’は、ステップ
ＳＴ３９において、投票証と投票権証を投票所ＧＷ２０
_１’に送信する。

【０１１１】投票所ＧＷ２０_１’は、投票権を検証した
後、投票権証に基づいて、投票済みリスト内の投票者Ｉ
Ｄに対応する投票済みフラグが“未投票”である旨を確
認し、投票済みフラグを“投票済み”に更新する。

【０１１２】これにより、投票者が同一の投票所で再度
投票しようとしても、投票所ＧＷ２０_１’の投票済みリ
ストの確認により、２回目以降の投票が阻止される。以
下、ステップＳＴ４０以降の動作は前述同様に実行され
る。

【０１１３】（ｂ）入場の際に、スマートカードを書換
える方式は、スマートカード内の投票権証を確認し、入
場済みデータをスマートカードに書込むものである。し
かし、この方式は、入場済みデータが不正に消去される
可能性があるため、採用され難いと考えられる。

【０１１４】なお、入場時に投票権証を確認するには、
スマートカードに予め投票権証の格納エリアのアクセス
権限を、Ｗ(書込)：投票者、Ｒ(読出)：投票者／投票所
管理者、Ｄ(削除)：投票所管理者、となるよう、ＰＩＮ
(Personal Identification Number)を設定する必要があ
る。

【０１１５】このため、スマートカードの二次発行時
に、格納エリアに関し、投票所管理者のＰＩＮを設定す
る必要がある。各投票所管理者のＰＩＮは、投票者の住
居変更を考慮して全て同一にする必要があり、また、後
からの変更がほぼ不可能となる。従って、スマートカー
ドを書換える方法はあまり現実的でない。

【０１１６】（ｃ）入場の際に、スマートカードから投
票権証を消去する方法は、スマートカード内の投票権証
を確認し、投票権証を消去するものである。しかし、こ
の方式は、帰宅した投票者に投票権証が再書込みされる
可能性があるため、採用され難いと考えられる。

【０１１７】この方法も（ｂ）の方法と似て、スマート
カードに予め入場済みデータの格納エリアのアクセス権
限を、Ｗ，Ｒ，Ｄ：投票所管理者、となるよう、ＰＩＮ
を設定する必要があり、あまり現実的でない。

【０１１８】しかしながら、上記（ａ）〜（ｃ）の方式
は、異なるドメイン間の通信を用いないので、本実施形
態とは無関係に成立する。よって、本実施形態は、これ
ら（ａ）〜（ｃ）の方式のうち、何れの方式を用いる電
子投票システムに適用してもよい。すなわち、本実施形
態は、異なるドメイン間の通信に関するものなので、異
なるドメイン間の通信以外の仕組みに関しては任意の仕
組みの任意のシステムに適用することができる。

【０１１９】（第３の実施形態）次に、本発明の第３の
実施形態に係る電子投票システムについて図７及び図１
２を用いて説明する。なお、本実施形態は、投票所ドメ
インＡ_１’が投票所ＩＤにより指定された第２の実施形
態とは異なり、投票者が任意の投票所ドメインＡ _１’〜
Ａ_ｎ’の任意のＰＣ端末ＴＡ１０₁₁’〜ＴＡ１０_nn’で
投票可能な場合について述べる。

【０１２０】任意の投票所で投票される場合、前述した
ステップＳＴ３９〜ＳＴ４０において、投票証とは別に
投票権証が送信される必要がある。これは、例えば投票
証と投票権証とを別々のポートで送信すればよい。

【０１２１】ここで、ステップＳＴ４０の結果、各収集
ＧＷ４０_１’〜ＧＷ４０_ｍは、投票所ＧＷ２０_１’〜Ｇ
Ｗ２０_ｎから投票証とは別に投票権証を受信すると、二
重投票防止用の投票済みリストを生成する。ここで、投
票済みリストは、前述同様のものであるが、投票証とは
別に管理されるため、投票者の匿名性は維持される。

【０１２２】各収集ＧＷ４０_１’〜ＧＷ４０_ｍは、投票
証とは別に投票済みリストを***所ゲートウェイＧＷ５
０を介して***サーバＴＢ３０’に送信する。

【０１２３】***サーバＴＢ３０’は、前述同様に投票
証内の投票結果を集計する一方、各投票済みリストを統
合し、この統合された投票済みリストを各収集ＧＷ４０
_１’〜ＧＷ４０_ｍ及び各投票所ＧＷ２０_１’〜ＧＷ２０
_ｎへ送信する。

【０１２４】各投票所ＧＷ２０_１’〜ＧＷ２０_ｎや各収
集ＧＷ４０_１’〜ＧＷ４０_ｍは、ステップＳＴ３９やＳ
Ｔ４０で受信した投票権証に関し、この統合された投票
済みリストに無い旨を確認することにより、投票者の二
重投票を防止する。

【０１２５】上述したように本実施形態によれば、投票
所が任意の場合であっても、第２の実施形態と同様の効
果を得ることができ、さらに、二重投票を防止できる。

【０１２６】具体的には、***サーバＴＢ３０’が投票
済みリストを統合し、この統合した投票済みリストを各
収集ＧＷ４０_１’〜ＧＷ４０_ｍ及び各投票所ＧＷ２
０_１’〜ＧＷ２０_ｎへ送信するので、投票者が異なる投
票所で二重投票することを防止しつつ、任意の投票所で
の電子投票を実現させることができる。なお、同一の投
票所での二重投票を防止する場合は、前述同様に、投票
所ＧＷ２０_１’，…，ＧＷ２０_ｎ’毎にローカルに管理
した投票済みリストを用いればよい。

【０１２７】なお、上記第２又は第３の実施形態は、投
票がある期間にわたって行われる場合や、ある時間間隔
毎に各ＧＷ間で用いる暗号アルゴリズムを変えたい場合
に、セキュリティポリシーを変化させることで対応でき
る。

【０１２８】例えば、本システムにおける暗号アルゴリ
ズムを変化させたい場合、図１３に示すように、セキュ
リティポリシーを変える指示を***サーバＴＢ３０’か
ら、***所ゲートウェイＧＷ５０、各収集ＧＷ４０_１’
〜ＧＷ４０_ｍ、各投票所ＧＷ２０_１’〜ＧＷ２０_ｎへ出
すことにより、そのセキュリティポリシーでなければ接
続できない仕組みを作ることができる。

【０１２９】これにより、本システムが何らかの攻撃を
受けた際に、暗号アルゴリズムやセキュリティをかける
層を変化させることができるので、被害を最小限に抑え
ることが期待できる。

【０１３０】なお、上記各実施形態に記載した手法は、
コンピュータに実行させることのできるプログラムとし
て、磁気ディスク（フロッピー（登録商標）ディスク、
ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、Ｄ
ＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリな
どの記憶媒体に格納して頒布することもできる。

【０１３１】また、この記憶媒体としては、プログラム
を記憶でき、かつコンピュータが読み取り可能な記憶媒
体であれば、その記憶形式は何れの形態であっても良
い。

【０１３２】また、記憶媒体からコンピュータにインス
トールされたプログラムの指示に基づきコンピュータ上
で稼働しているＯＳ（オペレーティングシステム）や、
データベース管理ソフト、ネットワークソフト等のＭＷ
（ミドルウェア）等が本実施形態を実現するための各処
理の一部を実行しても良い。

【０１３３】さらに、本発明における記憶媒体は、コン
ピュータと独立した媒体に限らず、ＬＡＮやインターネ
ット等により伝送されたプログラムをダウンロードして
記憶または一時記憶した記憶媒体も含まれる。

【０１３４】また、記憶媒体は１つに限らず、複数の媒
体から本実施形態における処理が実行される場合も本発
明における記憶媒体に含まれ、媒体構成は何れの構成で
あっても良い。

【０１３５】尚、本発明におけるコンピュータは、記憶
媒体に記憶されたプログラムに基づき、本実施形態にお
ける各処理を実行するものであって、パソコン等の１つ
からなる装置、複数の装置がネットワーク接続されたシ
ステム等の何れの構成であっても良い。

【０１３６】また、本発明におけるコンピュータとは、
パソコンに限らず、情報処理機器に含まれる演算処理装
置、マイコン等も含み、プログラムによって本発明の機
能を実現することが可能な機器、装置を総称している。

【０１３７】なお、本願発明は、上記各実施形態に限定
されるものでなく、実施段階ではその要旨を逸脱しない
範囲で種々に変形することが可能である。また、各実施
形態は可能な限り適宜組み合わせて実施してもよく、そ
の場合、組み合わされた効果が得られる。さらに、上記
各実施形態には種々の段階の発明が含まれており、開示
される複数の構成用件における適宜な組み合わせにより
種々の発明が抽出され得る。例えば実施形態に示される
全構成要件から幾つかの構成要件が省略されることで発
明が抽出された場合には、その抽出された発明を実施す
る場合には省略部分が周知慣用技術で適宜補われるもの
である。

【０１３８】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１３９】

【発明の効果】以上説明したように本発明によれば、オ
ープンなネットワークを介した、異なるドメイン間での
通信において、セキュリティポリシーを確認しあい、送
信者から送信されたパケットの正当性を検証可能とする
ことで、不正なパケットの流入を防止することが可能と
なる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る通信接続システ
ムを含むネットワーク構成を示す模式図。

【図２】同実施形態における通信接続システムの構成を
示す模式図。

【図３】同実施形態における認証結果署名を説明するた
めの模式図。

【図４】同実施形態におけるセキュリティ情報を説明す
るための模式図。

【図５】同実施形態におけるポリシー情報を説明するた
めの模式図。

【図６】同実施形態における動作を説明するためのシー
ケンス図。

【図７】本発明の第２の実施形態に係る電子投票システ
ムの構成を示す模式図。

【図８】同実施形態における投票権証を説明するための
模式図。

【図９】同実施形態における照合結果署名を説明するた
めの模式図。

【図１０】同実施形態における投票証を説明するための
模式図。

【図１１】同実施形態における投票権証の配布動作を説
明するためのシーケンス図。

【図１２】同実施形態における投票動作を説明するため
のシーケンス図。

【図１３】第２又は第３の実施形態における変形動作を
説明するためのシーケンス図。

【符号の説明】

Ａ，Ｂ…ドメイン ＮＷ…ネットワーク １，２…ＬＡＮ ＴＡ１０_１〜ＴＡ１０_ｎ，ＴＢ３０_１〜ＴＢ３０_ｍ，Ｔ
Ａ１０₁₁’〜ＴＡ１０ _1n’，…，ＴＡ１０_n1’〜ＴＡ１
０_nn’…ＰＣ端末 １１…メモリ部 １２…センサ部 １３…認識部 １４…センサ装置 １５，３１…端末鍵メモリ部 １６…セキュリティ情報生成部 １７…ポリシー情報生成部 １８，３３…ＧＷ認証部 ＧＷ２０，ＧＷ４０…ゲートウェイ ２１…ＧＷ鍵メモリ部 ２２…端末認証部 ２３…セキュリティポリシー生成部 ２４…交換部 ３２…ポリシー情報提供部 Ａ_１’〜Ａ_n’…投票所ドメイン Ｂ’…***所ドメイン ＧＷ２０_１’〜ＧＷ２０_ｎ’…投票所ゲートウェイ ＴＢ３０’…***サーバ ＧＷ４０_１’〜ＧＷ４０_ｍ’…収集ゲートウェイ ＧＷ５０…***所ゲートウェイ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 12/66 Ｈ０４Ｌ 9/00 ６７５Ａ ６０１Ｅ ６７３Ｄ Ｆターム(参考） 5B085 AE00 BC00 5J104 AA07 AA16 EA18 KA04 KA16 LA06 PA17 5K030 GA11 GA15 HC01 HD03 HD07 JA07 LC13 LD19 LD20 5K033 AA08 DA05 DB16 DB18 DB19

Claims (8)

【特許請求の範囲】
1. 【請求項１】 互いに異なるドメインに属するエンティ
   ティ装置間で各々の中継装置とオープンなネットワーク
   とを介してセキュア通信を接続するための通信接続シス
   テムであって、 前記各中継装置は、 自己の属するドメインのエンティティ装置から受けた、
   個人認証の認証方式及び認証精度を含む認証関連情報
   と、当該エンティティ装置が前記セキュア通信に用いる
   アプリケーションのセキュリティに関するセキュリティ
   情報とからセキュリティポリシーを作成するポリシー作
   成手段と、 前記ポリシー作成手段により作成されたセキュリティポ
   リシーを各中継装置間で交換するポリシー交換手段と、 前記ポリシー交換手段により得られた相手のセキュリテ
   ィポリシー内の認証関連情報とセキュリティ情報とに関
   し、自己のセキュリティポリシーに適合するか否かを各
   々検証するポリシー検証手段と、 前記ポリシー検証手段による両者の検証結果が正当のと
   き、前記接続のための鍵交換を行なう鍵交換手段と、 を備えたことを特徴とする通信接続システム。
2. 【請求項２】 第１ドメインの第１エンティティ装置に
   接続される一方、前記第１ドメインとは異なる第２ドメ
   インの第２中継装置にネットワークを介して接続された
   第１中継装置に用いられ、前記第１エンティティ装置か
   ら前記第２ドメインへのセキュア通信を接続するための
   通信接続方法であって、 前記第１エンティティ装置から送信された、個人認証の
   認証方式、認証精度及び個人認証結果に対するデジタル
   署名を含む認証結果署名と、前記セキュア通信に用いる
   アプリケーションのセキュリティに関するセキュリティ
   情報とを受信するステップと、 前記第１エンティティ装置から受信した認証結果署名と
   前記セキュリティ情報とを含むセキュリティポリシーを
   作成するステップと、 前記セキュア通信の接続要求を前記第２中継装置に送信
   するステップと、 前記接続要求の送信により、前記第２中継装置から受信
   した第２ドメインのセキュリティポリシーを検証すると
   共に、前記作成したセキュリティポリシーを前記第２中
   継装置に送信するステップと、 前記第２中継装置における検証完了により、前記第２中
   継装置に対して前記セキュア通信のための鍵交換を行な
   うステップと、 前記鍵交換の完了により、前記第１エンティティ装置に
   通信可能を通知するステップと、 を含んでいることを特徴とする通信接続方法。
3. 【請求項３】 第２ドメインの第２エンティティ装置に
   接続される一方、前記第２ドメインとは異なる第１ドメ
   インの第１中継装置にネットワークを介して接続された
   第２中継装置に用いられ、前記第１ドメインから前記第
   ２エンティティ装置へのセキュア通信を接続するための
   通信接続方法であって、 前記第１中継装置から前記セキュア通信の接続要求を受
   信するステップと、 前記接続要求に基づいて、前記第２エンティティ装置に
   対し、少なくとも個人認証の認証方式及び認証精度を含
   む認証関連情報と、前記セキュア通信に用いるアプリケ
   ーションのセキュリティに関するセキュリティ情報とを
   要求するステップと、 この要求により、前記第２エンティティ装置から受信し
   た認証関連情報と前記セキュリティ情報とを含むセキュ
   リティポリシーを作成するステップと、 前記作成したセキュリティポリシーを前記第１中継装置
   に送信するステップと、 前記第１中継装置から受信した前記第１エンティティ装
   置のセキュリティポリシーに関し、前記第２エンティテ
   ィ装置のセキュリティポリシーに含まれる認証関連情報
   及びセキュリティ情報に適合するか否かを検証するステ
   ップと、 前記作成したセキュリティポリシーの送信が完了し、且
   つ前記検証結果が正当のとき、前記第１中継装置に対し
   て前記セキュア通信のための鍵交換に応じるステップ
   と、 を含んでいることを特徴とする通信接続方法。
4. 【請求項４】 第２ドメインの第２エンティティ装置に
   対し、前記第２ドメインの第２中継装置、オープンなネ
   ットワーク及び前記第２ドメインとは異なる第１ドメイ
   ンの第１中継装置を介して接続された第１エンティティ
   装置に用いられ、前記第２エンティティ装置へのセキュ
   ア通信を接続するための通信接続用プログラムであっ
   て、 前記第１エンティティ装置のコンピュータに、 前記セキュア通信の接続要求を前記第１中継装置に送信
   する機能、 前記セキュア通信に用いるアプリケーションのセキュリ
   ティに関するセキュリティ情報を前記第１中継装置に送
   信する機能、 個人認証の認証方式、認証精度及び個人認証結果に対す
   るデジタル署名を含む認証結果署名を前記第１中継装置
   に送信する機能、 前記接続要求、前記セキュリティ情報及び前記認証結果
   署名の送信完了に基づいて、前記第１中継装置から通信
   可能の通知を受信する機能、 前記通信可能の通知に基づいて、前記アプリケーション
   を実行する機能、を実現させるための通信接続用プログ
   ラム。
5. 【請求項５】 第１ドメインの第１エンティティ装置に
   接続される一方、前記第１ドメインとは異なる第２ドメ
   インの第２中継装置にネットワークを介して接続された
   第１中継装置に用いられ、前記第１エンティティ装置か
   ら前記第２ドメインへのセキュア通信を接続するための
   通信接続用プログラムであって、 前記第１中継装置のコンピュータに、 前記第１エンティティ装置から送信された、個人認証の
   認証方式、認証精度及び個人認証結果に対するデジタル
   署名を含む認証結果署名と、前記セキュア通信に用いる
   アプリケーションのセキュリティに関するセキュリティ
   情報とを受信する機能、 前記第１エンティティ装置から受信した認証結果署名と
   前記セキュリティ情報とを含むセキュリティポリシーを
   作成する機能、 前記セキュア通信の接続要求を前記第２中継装置に送信
   するステップと、 前記接続要求の送信により、前記第２中継装置から受信
   した第２ドメインのセキュリティポリシーを検証すると
   共に、前記作成したセキュリティポリシーを前記第２中
   継装置に送信する機能、 前記第２中継装置における検証完了により、前記第２中
   継装置に対して前記セキュア通信のための鍵交換を行な
   う機能、 前記鍵交換の完了により、前記第１エンティティ装置に
   通信可能を通知する機能、 を実現させるための通信接続用プログラム。
6. 【請求項６】 第２ドメインの第２エンティティ装置に
   接続される一方、前記第２ドメインとは異なる第１ドメ
   インの第１中継装置にネットワークを介して接続された
   第２中継装置に用いられ、前記第１ドメインから前記第
   ２エンティティ装置へのセキュア通信を接続するための
   通信接続用プログラムであって、 前記第２中継装置のコンピュータに、 前記第１中継装置から前記セキュア通信の接続要求を受
   信する機能、 前記接続要求に基づいて、前記第２エンティティ装置に
   対し、少なくとも個人認証の認証方式及び認証精度を含
   む認証関連情報と、前記セキュア通信に用いるアプリケ
   ーションのセキュリティに関するセキュリティ情報とを
   要求する機能、 この要求により、前記第２エンティティ装置から受信し
   た認証関連情報と前記セキュリティ情報とを含むセキュ
   リティポリシーを作成する機能、 前記作成したセキュリティポリシーを前記第１中継装置
   に送信する機能、 前記第１中継装置から受信した前記第１エンティティ装
   置のセキュリティポリシーに関し、前記第２エンティテ
   ィ装置のセキュリティポリシーに含まれる認証関連情報
   及びセキュリティ情報に適合するか否かを検証する機
   能、 前記作成したセキュリティポリシーの送信が完了し、且
   つ前記検証結果が正当のとき、前記第１中継装置に対し
   て前記セキュア通信のための鍵交換に応じる機能、 を実現させるための通信接続用プログラム。
7. 【請求項７】 投票所ドメインに属する投票端末及び投
   票所中継装置と、オープンなネットワークと、***所ド
   メインに属する収集中継装置及び***装置とからなり、
   前記端末装置から前記投票所中継装置、前記ネットワー
   ク及び前記収集中継装置を介して前記***装置にセキュ
   ア通信を接続可能な電子投票システムであって、 前記投票所中継装置は、 前記投票端末から受けた、個人認証の認証方式及び認証
   精度を含む認証関連情報と、当該投票端末が前記セキュ
   ア通信に用いるアプリケーションのセキュリティに関す
   るセキュリティ情報とからセキュリティポリシーを作成
   する第１ポリシー作成手段と、 前記第１ポリシー作成手段により作成されたセキュリテ
   ィポリシーを前記収集中継装置との間で交換する第１ポ
   リシー交換手段と、 前記第１ポリシー交換手段により得られた相手のセキュ
   リティポリシー内の認証関連情報とセキュリティ情報と
   に関し、自己のセキュリティポリシーに適合するか否か
   を各々検証する第１ポリシー検証手段と、 前記第１ポリシー検証手段による両者の検証結果が正当
   のとき、前記接続のための鍵交換を行なう第１鍵交換手
   段とを備え、 前記収集中継装置は、 前記***装置から受けた、個人認証の認証方式及び認証
   精度を含む認証関連情報と、当該***装置が前記セキュ
   ア通信に用いるアプリケーションのセキュリティに関す
   るセキュリティ情報とからセキュリティポリシーを作成
   する第２ポリシー作成手段と、 前記第２ポリシー作成手段により作成されたセキュリテ
   ィポリシーを前記投票所中継装置との間で交換する第２
   ポリシー交換手段と、 前記第２ポリシー交換手段により得られた相手のセキュ
   リティポリシー内の認証関連情報とセキュリティ情報と
   に関し、自己のセキュリティポリシーに適合するか否か
   を各々検証する第２ポリシー検証手段と、 前記第２ポリシー検証手段による両者の検証結果が正当
   のとき、前記接続のための鍵交換を行なう第２鍵交換手
   段と、 を備えたことを特徴とする電子投票システム。
8. 【請求項８】 請求項７に記載の電子投票システムにお
   いて、 前記端末装置は、 投票者ＩＤ及び選挙管理用デジタル署名を含む投票権証
   を前記投票所中継装置に送信し、この投票権証が真であ
   る旨が前記投票所中継装置により検証されると、投票結
   果を含む投票証を前記投票所中継装置に送信し、 前記投票所中継装置は、 前記端末装置から受けた投票権証のデジタル署名を検証
   し、この検証結果が真であり、且つ前記投票権証内の投
   票者ＩＤが予め保持する投票済みリストに無いとき、こ
   の投票済みリストに前記投票者ＩＤを含めると共に、検
   証結果を前記端末装置に送信することを特徴とする電子
   投票システム。