JP2009100013A

JP2009100013A - 共通暗号鍵処理方法

Info

Publication number: JP2009100013A
Application number: JP2007266565A
Authority: JP
Inventors: Yasushi Aoyama; 靖青山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-10-12
Filing date: 2007-10-12
Publication date: 2009-05-07

Abstract

【課題】
部門共通の暗号化及び復号化の処理を簡便化する。
【解決手段】
部門に属する利用者又は物に共通に使用される、公開鍵と秘密鍵のペアから成る部門共通鍵を生成し、該部門共通鍵を用いて対象とするデータを暗号化し、部門公開鍵を用いて該部門共通鍵を暗号化する。そして、暗号化された該部門共通鍵を部門公開鍵で署名して、部門共通鍵証明書を作成し、作成された部門共通証明書を関係先の情報処理装置へ配布する。
【選択図】図１

Description

本発明は、共通暗号鍵処理方法に係り、特に、情報処理システムおけるデジタル証明書の認証処理に利用される共通暗号鍵の処理に関するものである。

ＰＣやサーバのログオン、業務アプリケーションの起動時にデジタル証明書を用いてＰＫＩ認証を行うことが多くなっている。ＰＫＩ認証は、個人専用の秘密鍵・公開鍵を持ち、公開鍵を一般に公開することにより認証を行う方法であり、共通鍵方式に比べて、安全に鍵を配布する難しさを解決とともに、認証局により認証された公開鍵のデジタル証明書を使用することにより、暗号化及び復号化だけでなく、個人認証に使用することができる。
この種の技術として、例えば、特許文献１には、本来個人に与えられる公開鍵ペアを、グループの複数のメンバに共通にもたせる技術が開示されている。

特開平２０００−１２４８８７公報

然るに、ＰＫＩ認証の基本となる公開鍵は、個人に対して付与されるものであり、あるグループに属するメンバ共通の処理を行うときは、各個人の暗号鍵に依存した処理を行う必要があるため、処理が煩雑になる。

本発明の目的は、部門共通の暗号化及び復号化の処理を簡便化することにある。

本発明は、好ましい実施態様によれば、部門に属する利用者又は物に共通に使用される、部門共通鍵を生成するステップと、該部門共通鍵を用いて対象とするデータを暗号化するステップと、部門公開鍵を用いて該部門共通鍵を暗号化するステップと、暗号化された該部門共通鍵を部門公開鍵で署名して、部門共通鍵証明書を作成するステップと、作成された該部門共通証明書を関係先の情報処理装置へ配布するステップと、を有することを特徴とする共通暗号鍵処理方法として構成される。

好ましい例では、該部門共通鍵証明書を受信した関係先の情報処理装置では、該部門秘密鍵を用いて検証して、ＩＣカードに記録された部門秘密鍵を用いて該部門共通鍵を復号化するステップと、復号化された部門共通鍵を用いて暗号化されたデータを複合化するステップと、を有する。
また、好ましくは、該部門共通鍵証明書の作成が完了した後に、該部門共通鍵及び暗号化された元のデータを削除する。

また、好ましい実施態様では、部門に属する利用者が操作する複数の情報処理装置と、該情報処理装置によりアクセスされ得る部門サーバと、該部門サーバをアクセスする情報処理装置を認証する認証サーバとがネットワークを介して接続される情報処理システムにおいて、該情報処理装置が該部門サーバへアクセスする時、該認証サーバは、該部門サーバへ部門公開鍵の取得を要求して、該部門サーバから部門公開鍵を取得するステップと、該認証サーバは、該情報処理装置の身元確認用の乱数を生成して、該乱数を部門公開鍵で暗号化し、アクセスを求める該情報処理装置へ送信するステップと、該情報処理装置は、取得したデータを部門秘密鍵で復号化し、さらに該部門秘密鍵で暗号化して、該データを認証サーバへ送信するステップと、該認証サーバは、該情報処理装置から取得したデータを該部門公開鍵で復号化し、生成した元の乱数データと比較するステップと、該比較の結果、両者が一致すれば、該部門サーバに対する当該情報処理装置のアクセスを許可するステップと、を有することを特徴とする共通暗号鍵処理方法として構成される。

本発明によれば、複数の利用者に共有する部門鍵を利用することで、部門共通の暗号化及び復号化の処理を簡便化することが可能となる。

以下、図面を参照して、本発明の一実施形態を説明する。
本実施形態で使用される用語について下記のように定義する。
部門鍵：グループ、部門に属する人又は機器が共通に使用する公開鍵・秘密鍵ペア。
部門秘密鍵：部門鍵の秘密鍵部分
部門公開鍵：部門鍵の公開鍵部分
部門共通鍵：グループ、部門に属する人又は機器が共通に使用する共通鍵
図１は一実施形態における情報処理システムの構成を示す。
この情報処理システムにおいて、部門に属する複数のＰＣ（パーソナルコンピュータ）１０がネットワークを介して、部門サーバ１２にアクセスすることができ、その際に認証サーバ１４がアクセス可能なＰＣ１０を認証するものである。

ＰＣ１０は、ユーザが管理するＩＣカード１０２を接続して使用できる。ＩＣカード１０２内の耐タンパ領域１０３には部門秘密鍵１０４が封入されている。ＰＣ１０は、部門サーバ１２にアクセスするために、認証サーバ１４の許可を必要とする。認証サーバ１４はアクセスを要求しているＰＣ１０が、部門秘密鍵１０４を所有していれば、部門サーバ１２へのアクセスを許可する。

部門秘密鍵の所持の確認は、部門公開鍵により行われる。部門公開鍵は通常の公開鍵と同様に、デジタル証明書として配布可能である。認証サーバ１４は、必要に応じてデジタル証明書を取り寄せ、部門公開鍵を取得することも可能である。
なお、上記例では複数のＰＣが存在するが、同じ部門に属するＩＣカードには、全て同一の部門秘密鍵が封入されている。

図２は、認証処理を示すフローチャートである。
ＰＣ１０は部門サーバ１２にアクセスする際、認証サーバ１４に許可を求める（Ｓ２０１）。認証サーバ１４は、目的の部門サーバ１２へ部門公開鍵の取得を要求して、部門サーバ１２より部門公開鍵を取得する（Ｓ２４１、Ｓ２２１）。
認証サーバ１４は、ＰＣ１０の身元確認用の乱数を生成し（Ｓ２４２）、その乱数を部門公開鍵で暗号化し（Ｓ２４３）、アクセスを求めるＰＣへ送信する。

ＰＣ１０は、取得したデータを部門秘密鍵で復号化し（Ｓ２０２）、さらに部門秘密鍵で暗号化して、そのデータを認証サーバ１４へ送信する（Ｓ２０３）。
認証サーバ１４は、ＰＣ１０から取得したデータを部門公開鍵で復号化し（Ｓ２４４）、生成した元の乱数データと比較する（Ｓ２４５）。比較の結果、両者のデータが不一致ならば、通信を切断し、一方、一致すれば、部門サーバ１２へ当該ＰＣ１０のアクセスを許可するよう指示する（Ｓ２４７）。以後、部門サーバ１２はＰＣ１０へのポートを開き、通信を可能とする。
このように、認証に部門鍵を使用することにより、公開鍵の取得が簡略化できる。認証に個人の公開鍵を使用する場合、認証サーバは、各ＰＣのアクセス要求ごとに個人のデジタル証明書を取得する必要があり、認証処理が複雑化する。

図３は生体認証に適用した場合の情報処理システムにおける認証処理の例を示す。
この例は、インターネット等の外部ネットワークを通して接続される、ＰＣ３０１、ＶＰＮサーバ３０５、生体認証サーバ３０６を含む情報処理システムにおいて、インターネット等の外部ネットワークから組織内部ネットワークにアクセスする場合の認証処理として、内部ネットアクセスに指紋などの生体認証を使用する。なお、生体認証サーバ３０６は内部ネットワークに存在する。生体認証は変更ができない個人情報であり、ＰＣ３０１より生体認証を認証サーバに送る時には暗号化して送られる。

ＰＣ３０１は最初にＶＰＮサーバ３０５に対して、ＶＰＮクライアントソフト３０４経由で生体認証サーバ３０６との間にＶＰＮを開くように要求する。この認証には生体認証サーバの部門鍵を使用する。ＶＰＮサーバ３０５は図２で説明した手順により、ＰＣ３０１を生体認証サーバ３０６の部門鍵により認証する。ＶＰＮサーバ３０５は、ＰＣ３０１に挿入されたＩＣカード３０２に生体認証サーバ３０６の部門秘密鍵があることを確認すると、ＰＣ３０１と生体認証サーバ３０６の間にＶＰＮを開く。その後、ＰＣ３０１は、生体情報取得デバイス３０３１から取得した生体情報を、生体情報取得ソフト３０３２により識別情報（ＩＤ）を付加され、ＶＰＮの中を通り生体認証サーバ３０６へ送られる。

生体認証サーバ３０６の生体認証ソフト３０７は、送られてきたＩＤに対応する生体情報テンプレートを生体情報ＤＢ３０８より取得し、それを受信した生体情報と照合する。照合の結果、許可ならば、生体認証ソフト３０７はＶＰＮサーバ３０５へ生体情報ＤＢ３０８のＩＤに対応したＩＰアドレスを送り、当該ＰＣ３０１とＩＰアドレスを持ったＰＣに対してＶＰＮを開くように指示を出す。

次に、図４を参照して部門共通鍵証明書について説明する。
デジタル証明書は公開鍵システムのための証明書である。ここでは、部門鍵を用いて、共通鍵についてもデジタル証明書により配布できるようにする。
（Ａ）に示す暗号化では、部門共通鍵４０３は部門公開鍵４０２で暗号化され、さらに署名されて、部門共通鍵証明書４０４が作成される。
（Ｂ）に示す復号化では、使用する部門公開鍵４０２は部門公開鍵証明書４０１より取得可能である。部門共通鍵４０３を使用するとき、部門共通鍵証明書４０４を、ＩＣカード耐タンパ領域にある部門秘密鍵４０５で復号化して使用する。

図５は情報処理システムにおける共通鍵証明書の使用例を示す。
ここでは、複数のＰＣ５１，５２，５３がＬＡＮを介して接続され、お互いの部門公開用ディレクトリが参照可能となっている。ここで、セキュリティ上の理由で公開ディレクトリのデータは全て暗号化されている。

通常、このような暗号化には共通鍵式暗号が使用される。共通鍵式暗号の一番の問題は、安全に共通鍵をどのように共有するか、ということである。この例では、公開ディレクトリに暗号化に使用した共通鍵の証明書を入れておけばよい。各ＰＣ５１〜５３はＩＣカード内の部門秘密鍵を使用して共通鍵証明書から安全に共通鍵を取り出し、参照したいデータの復号化が可能である。

図６は、部門共通鍵による部門共通データの暗号化処理のフローチャートを示す。
この処理は、暗号化により共通鍵証明書を作成する処理である。
まず、部門共通鍵を生成し（Ｓ６１）、部門共通鍵にて部門公開ディレクトリのデータを暗号化する（Ｓ６２）。次に部門公開鍵で、部門共通鍵を暗号化し（Ｓ６３）、暗号化された部門共通鍵を部門公開鍵で署名して、部門共通鍵証明書を作成する（Ｓ６４）。最後に、部門共通鍵、部門公開ディレクトリの生データを削除する（Ｓ６５）。

図７は、部門共通鍵による部門共通データの復号化処理のフローチャートを示す。
この処理は、共通鍵証明書を用いて、暗号化された公開ディレクトリの内容を参照する場合に行う。図示は、ネットワークに接続されたＰＣ１の公開ディレクトリのデータをＰＣ２で参照する場合の例である。

ＰＣ２が部門共通鍵証明書を持たない場合、ＰＣ１より部門共通鍵証明書を取得する（Ｓ７２１）。ＰＣ２は共通鍵証明書を挿入されたＩＣカードに送付し（Ｓ７２２）、ＩＣカード内の部門秘密鍵を用いて検証して（Ｓ７３１）、その部門秘密鍵で部門共通鍵を復号化する（Ｓ７３２）。そして、ＰＣ２は復号化された部門共通鍵を取得する（Ｓ７２３）。更に、ＰＣ２はＰＣ1から復号化したいデータ（暗号化されたデータ）を取得し（Ｓ７２４）、部門共通鍵により当該暗号化データを復号化する（Ｓ７２５）。

図８は、共通鍵証明書の期限が切れ、リキーを行い、再度新しい証明書を作成する処理を示すフローチャートを示す。
最初に、現在の共通鍵証明書の正当性を部門秘密鍵で確認し（Ｓ８０１）、部門秘密鍵で復号化し、部門共通鍵本体を取得する（Ｓ８０２）。次に、全暗号データを部門共通鍵で復号化する（Ｓ８０３）。
次に乱数を生成して、新しい部門共通鍵を生成し（Ｓ８０３）、新部門共通鍵で部門公開ディレクトリのデータ（全データ）を再度暗号化する（Ｓ８０５）。次に部門公開鍵で、部門共通鍵を暗号化する（Ｓ８０６）。そして暗号化部門共通鍵を部門公開鍵で署名して部門共通鍵証明書を作成する（Ｓ８０７）。最後に、部門公開鍵ディレクトリの共通鍵、生データを全て削除する（Ｓ８０８）。

図９は、従来例技術における複数の利用者への暗号化メールの送信例を示す。
例えば電子メールを複数の利用者へ送信する場合、従来では、共通鍵を作成し（Ｓ９０１）、作成した平文メールを当該共通鍵で暗号化する（Ｓ９０２）。そして、メールを暗号化した共通鍵を、各利用者Ａ，Ｂ，Ｎの公開鍵で暗号化して（Ｓ９０３）、暗号化メールに当該暗号化共通鍵を封入して（Ｓ９０４）、相手に送信する（Ｓ９０５）。

本実施例における複数人へのメールの送信によれば、図１０に示すように、まず、メールを暗号化するための共通鍵を作成し（Ｓ１０１）、平文メールを当該共通鍵で暗号化する（Ｓ１０２）。次に、部門公開鍵で当該共通鍵を暗号化し（Ｓ１０３）、暗号化メール中に暗号化された共通鍵を封入して（Ｓ１０４）、メールを一括送信する（Ｓ１０５）。
本実施例によれば、同じ部門に所属し、共通の部門公開鍵を持つ利用者に対して一括して暗号化して送信処理するこができる。

一実施形態における情報処理システムの構成を示す図、情報処理システムにおける認証処理の例を示すフローチャート図、生体認証に適用した場合の情報処理システムにおける認証処理の例を示す図、部門共通鍵証明書の説明に供する図、情報処理システムにおける部門共通鍵の使用例を示す図、部門共通鍵による部門共通データの暗号化処理のフローチャート図、部門共通鍵による部門共通データの復号化処理のフローチャート図、部門共通鍵リキーの処理を示すフローチャート図、従来技術における複数の利用者へ暗号化メールを送信する例を示す図、本実施例における部門共通鍵を用いた暗号化メールの送信例を示す図。

符号の説明

１０：ＰＣ１０２：ＩＣカード１２：部門サーバ１４：認証サーバ
３０１：ＰＣ３０２：ＩＣカード３０３１：生体情報取得デバイス３０３２：生体情報取得ソフト３０４：ＶＰＮクライアントソフト３０５：ＶＰＮサーバ３０６：生体認証サーバ３０７：生体認証ソフト３０８：生体認証ＤＢ
４０１：部門公開鍵証明書４０２：部門公開鍵４０３：部門共通鍵４０４：部門共通鍵証明書。

Claims

部門に属する利用者又は物に共通に使用される、部門共通鍵を生成するステップと、該部門共通鍵を用いて対象とするデータを暗号化するステップと、部門公開鍵を用いて該部門共通鍵を暗号化するステップと、暗号化された該部門共通鍵を部門公開鍵で署名して、部門共通鍵証明書を作成するステップと、作成された該部門共通証明書を関係先の情報処理装置へ配布するステップと、を有することを特徴とする共通暗号鍵処理方法。
該部門共通鍵証明書を受信した関係先の情報処理装置では、該部門秘密鍵を用いて検証して、ＩＣカードに記録された部門秘密鍵を用いて該部門共通鍵を復号化するステップと、復号化された部門共通鍵を用いて暗号化されたデータを複合化するステップと、を有することを特徴とする請求項１の共通暗号鍵処理方法。
該部門共通鍵証明書の作成が完了した後に、該部門共通鍵及び暗号化された元のデータを削除することを特徴とする請求項１又は２の共通暗号鍵処理方法。
部門に属する利用者が操作する複数の情報処理装置と、該情報処理装置によりアクセスされ得る部門サーバと、該部門サーバをアクセスする情報処理装置を認証する認証サーバと、がネットワークを介して接続される情報処理システムにおいて、
該情報処理装置が該部門サーバへアクセスする時、該認証サーバは、該部門サーバへ部門公開鍵の取得を要求して、該部門サーバから部門公開鍵を取得するステップと、該認証サーバは、該情報処理装置の身元確認用の乱数を生成して、該乱数を部門公開鍵で暗号化し、アクセスを求める該情報処理装置へ送信するステップと、該情報処理装置は、取得したデータを部門秘密鍵で復号化し、さらに該部門秘密鍵で暗号化して、該データを認証サーバへ送信するステップと、該認証サーバは、該情報処理装置から取得したデータを該部門公開鍵で復号化し、生成した元の乱数データと比較するステップと、該比較の結果、両者が一致すれば、該部門サーバに対する当該情報処理装置のアクセスを許可するステップと、を有することを特徴とする共通暗号鍵処理方法。