JP2020533853A - デジタル証明書を管理するための方法および装置 - Google Patents

Abstract

本発明はデジタル証明書を管理するための方法および装置を開示する。前記方法は、デジタル証明書を申請するための装置は、デジタル証明書を発行するための装置とセキュリティデータチャネルの確立をネゴシエートするステップと、デジタル証明書を申請するための装置は、デジタル証明書を発行するための装置に、デジタル証明書管理要求メッセージを送信するステップと、デジタル証明書を発行するための装置は、デジタル証明書管理要求メッセージを受信し、デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信するステップと、デジタル証明書を申請するための装置は、デジタル証明書管理検証要求メッセージを受信し、デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信するステップと、デジタル証明書を発行するための装置は、デジタル証明書管理認証応答メッセージを受信し、デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信するステップと、デジタル証明書を申請するための装置は、デジタル証明書管理応答メッセージを受信し、デジタル証明書を発行するための装置にデジタル証明書管理確認メッセージを送信するステップとを備える。本発明は、デジタル証明書管理のセキュリティ性を効果的に改善する。【選択図】図３

Description

関連出願の相互参照
本出願は、２０１７年９月７日に中国特許局に提出し、出願番号が２０１７１０８０２３３３.Ｘであり、発明の名称が「デジタル証明書を管理するための方法および装置」との中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。

本発明は、ネットワークセキュリティ技術分野に関し、特にデジタル証明書を管理するための方法および装置に関する。

ネットワークセキュリティ技術の開発に伴い、ネットワーク情報伝送の機密性と完全性をどのように保証するかを研究するための重要な問題となっている。デジタル認証は、ネットワーク通信エンティティのＩＤを認証する方法であり、デジタル認証テクノロジーを使用して、データの暗号化、ＩＤの認証などを行うことができる。通常、デジタル認証発行装置によってデジタル認証申請装置に発行されるデジタル認証は、デジタル認証アプリケーション装置のＩＤを認識するために使用できる。

従来技術では、デジタルローカル資格情報の自動申請のための方法があり、これは、無線ローカルエリアネットワーク（ＷＬＡＮ）内でのデジタル証明書の申請、更新および発行に適用される。この方法では、デジタル証明書を申請するための装置は、ＷＬＡＮを介してデジタル証明書を発行するための装置にメッセージを送信することにより、サポートされるデジタル証明書生成方法をデジタル証明書を発行するための装置に通知して、デジタル証明書を発行するための装置が新しいデジタル証明書を生成するようにすることができる。この方法では、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置の間で送信されるメッセージはプレインテキストで送信され、２つの装置はメッセージの完全性をチェックして、メッセージが改ざんされていないことを確認する。この方法では、データの信頼性と機密性を効果的に保護せずに、データの完全性のみを保証できる。特に、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置が他のネットワークフォームを介してデータをやり取りする場合、メッセージはプレインテキストで送信されるため、この方法にはセキュリティが低いという欠点がある。

本発明は、デジタル証明書を管理するための方法および装置を提供し、データ送信用の安全なチャネルは、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置の間に確立され、２つの装置間で送信されるメッセージは暗号化されて送信されるため、デジタル証明書管理のセキュリティが効果的に向上する。

これに鑑みて、本発明に係る技術的解決策は、以下の技術的解決策を提供する：
第１の態様では、本発明に係るデジタル証明書を管理するための方法は、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーは少なくともデータ通信キーを含むステップと、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化されるステップと、デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化されるステップと、デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化されるステップと、デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化されるステップと、デジタル証明書を申請するための装置は、前記デジタル証明書管理応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化されるステップと、デジタル証明書を発行するための装置は、前記デジタル証明書管理確認メッセージを受信して処理するステップとを備える。

第２の態様では、本発明に係るデジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成するように構成されたセキュリティデータチャネル確立ユニットであって、前記セキュリティキーはデータ通信キーを含む前記セキュリティデータチャネル確立ユニットと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される送信ユニットと、前記データ通信キーを使用して、前記証明書管理要求メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化するように構成された暗号化ユニットと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信するように構成された受信ユニットであって、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される前記受信ユニットと、受信された前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、また、受信された前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成するように構成された処理ユニットとを備える。

第３の態様では、本発明に係るデジタル証明書の申請に用いられる装置は、メモリと、１つまたは複数のプログラムとを備え、前記１つまたは複数のプログラムは、メモリに格納され、以下のように１つまたは複数のプロセッサによって実行される命令を含む：取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーは少なくともデータ通信キーを含み、デジタル証明書管理要求メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

第４の態様では、本発明に係るデジタル証明書を発行するための装置、前記装置は、認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成するように構成されたセキュリティデータチャネル確立ユニットであって、前記セキュリティキーは少なくともデータ通信キーを含む前記セキュリティデータチャネル確立ユニットと、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される受信ユニットと、受信された前記デジタル証明書管理要求メッセージを処理してデジタル証明書管理検証要求メッセージを生成し、また、受信された前記デジタル証明書管理認証応答メッセージを処理してデジタル証明書管理応答メッセージを生成し、受信された前記デジタル証明書管理確認メッセージを処理するように構成された処理ユニットと、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化するように構成された暗号化ユニットと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される送信ユニットとを備える。

第５の態様では、本発明に係るデジタル証明書の発行に用いられる装置は、メモリと、１つまたは複数のプログラムとを備え、前記１つまたは複数のプログラムは、メモリに格納され、以下のように１つまたは複数のプロセッサによって実行される命令を含む：認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーはデータ通信キーを含み、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理要求メッセージを処理し、デジタル証明書管理検証要求メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理認証応答メッセージを処理し、デジタル証明書管理応答メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージを処理し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

本発明で提供されるデジタル証明書を管理するための方法および装置のうち、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置間のメッセージインタラクションプロセスにおいて、生成されたデータ通信キーを使用してメッセージを暗号化することにより、データ伝送のセキュリティ性を効果的に改善し、デジタル証明書の自動申請、照会、更新、リスト取得の失効・撤回などの、複数の異なるタイプのシーンに適用できる。一方、デジタル証明書を発行するための装置は、公開キーと秘密キーが関係する認証を使用して、デジタル証明書を申請するための装置が「その公開キーに対応する秘密キー」を持っているかどうかを確認し、デジタル証明書を申請するための装置の秘密キーが置き換えられたかどうか、間違っているかどうかなどをチェックすることができるようになる。デジタル証明書を発行するための装置は、正しい公開キーと正しい秘密キーを持つデジタル証明書を申請するための装置とのみメッセージをやり取りすることができ、デジタル証明書を申請するための装置のプライバシーデータの漏洩を回避し、デジタル証明書管理プロセスのセキュリティをさらに確保する。

本発明に係る実施例や従来の技術的解決策をより明確に説明するために、以下に実施例を説明するために必要な図面をについて簡単に紹介する。無論、以下の説明における図面は本発明に係る実施例の一部であり、当業者は、創造性作業を行わないことを前提として、これらの図面に基づいて他の図面を得ることができる。
本発明の実施形態において適用され得る概略的な適用場面である。 本発明の一実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。 本発明の別の実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。 本発明の別の実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。 本発明の実施形態によって提供されるセキュリティデータチャネルネゴシエートおよび確立の概略図である。 本発明の一実施形態によって提供されるデジタル証明書自動申請、照会、更新、および発行のための方法におけるメッセージの内容の概略図である。 １つの例示的な実施形態に従って示されたデジタル証明書を申請するための装置のブロック図である。 別の例示的な実施形態に従って示されたデジタル証明書の申請に用いられる装置のブロック図である。 １つの例示的な実施形態に従って示されたデジタル証明書を発行するための装置のブロック図である。 別の例示的な実施形態に従って示されたデジタル証明書の発行に用いられる装置のブロック図である。

本発明の実施形態にかかるデジタル証明書を管理するための方法および装置において、データ送信用の安全なチャネルは、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置の間に確立され、２つの装置間で送信されるメッセージは暗号化されて送信されるため、デジタル証明書管理のセキュリティが効果的に向上する。

本発明に係る実施例の目的、技術案及びメリットをより明確にするため、以下、本発明に係る実施例の図面を参考にしながら、本発明に係る実施例の技術案を明確かつ完全に説明する。説明した実施例は本発明の一部の実施例にすぎず、全部の実施例ではないのが明らかである。本発明の実施例に基づき、当業者は、創造性作業を行わない限りに得られた他の実施例は、全部本発明の保護範囲に属する。

図１を参照すると、図１は、本発明の実施形態における例示的な適用シーンである。本発明の実施形態で提供される方法および装置は、図１に示されるようにシーンに適用されてもよく、デジタル証明書を申請するための装置およびデジタル証明書を発行するための装置はネットワークを介して接続されてもよい。前記接続は任意の形態の有線および/または無線接続（ＷＬＡＮ、ＬＡＮ、セルラー、同軸ケーブルなど）であり得る。例として図１で説明したように、デジタル証明書を申請するための装置には、現在存在し、研究開発されている、または将来研究開発されるスマートフォン、非スマートフォン、タブレットＰＣ、ラップトップＰＣ、デスクトップＰＣ、小型コンピュータ、中型コンピュータ、大型コンピュータなどが含まれるが、これらに限定されない。デジタル証明書を申請するための装置は、それぞれ適応型ネットワーク形式を介して、デジタル証明書を発行するための装置（認証センターのＣＡサーバーなど）への証明書のダウンロードと更新を申請できる。本発明の実施形態は、無線操作ネットワーク、航空、交通、電力、放送およびラジオ、金融、医療、教育、工業および商業などの複数の産業に適用できることに留意する必要がある。もちろん、上記のアプリケーションシーンは、本発明の理解を容易にするために単に示されており、本発明の実施形態は、この態様において全く制限されなく、任意の適切なシーンに適用され得る。

図２〜図６を参照しながら、本発明の例示的な実施形態に示されるデジタル証明書を管理するための方法を説明する。

図２は、本発明の一実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。図２に示すように、この方法には以下のステップが含まれる。

ステップＳ２０１において、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成する。前記セキュリティキーはデータ通信キーを含む。

特定の実施において、デジタル証明書申請者は、デジタル証明書をダウンロードするための認証コードをデジタル証明書発行者に要求することができる。例えば、デジタル証明書申請者はデジタル証明書を申請するための装置であってもよく、例えばデジタル証明書発行者はデジタル証明書を発行するための装置であってもよい。本発明は、認証コードを要求する特定の方法を制限しない。例えば、デジタル証明書申請者は、ショートメッセージ、電子メール、専用の要求などの方法で、デジタル証明書発行者に認証コードを要求する場合がある。デジタル証明書発行者は、特定の方法で認証コードをデジタル証明書申請者に送信できる。例えば、デジタル証明書発行者は、ショートメッセージ、電子メール、専用メッセージなどの方法でデジタル証明書申請者に認証コードを送信してもよい。一般に、認証コードはデジタル証明書発行者自身によって生成される。認証コードは、デジタル証明書の申請者が認証コードを要求したときにリアルタイムで生成される場合があり、使用のために事前に生成される場合もある。形式上で、認証コードは、特定の長さの要件を備えたアルファベットおよび/または数字および/または記号などの組み合わせであり得る。認証コードには特定の使用期間もある。使用期間を超えた場合、認証コードは無効になる。使用プロセスでは、デジタル証明書発行者によって異なるデジタル証明書申請者に割り当てられる認証コードは異なる。

特定の実施において、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートすることができる。前記セキュリティデータチャネルはキュリティデータの伝送に用いられる。セキュリティデータチャネルを確立するプロセスで、デジタル証明書を申請するための装置は、認証コードを使用してセキュリティキーを生成することができる。前記セキュリティキーは、１つ以上のキーを含むことができ、前記１つ以上のキーはデータ通信キーを含む。前記セキュリティキーは、データセッションキーをさらに含み得る。前記データ通信キー安全なデータチャネルで前記デジタル証明書を申請するための装置と前記デジタル証明書を発行するための装置の間で送信されるメッセージを暗号化するように構成される。セキュリティキーは、デジタル証明書を申請するための装置側とデジタル証明書を発行するための装置側の両方で生成されるため、メッセージの暗号化と復号化が容易になることに留意する必要がある。前記データセッションキーは、証明書要求データまたは証明書応答データを暗号化するように構成できる。前記証明書要求データは、具体的にデジタル証明書管理要求メッセージに含まれるデータである。前記証明書応答データは、具体的にデジタル証明書管理応答メッセージに含まれるデータである。

ステップＳ２０２において、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信する。前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化される。

本発明では、デジタル証明書管理要求メッセージは暗号化によって処理される。特に、ステップＳ２０１で生成されたデータ通信キーを使用して暗号化される。したがってメッセージの送信セキュリティを効果的に改善する。前記デジタル証明書管理要求メッセージに含まれるデータは、１次暗号化のために処理されるか、２次暗号化のために処理される場合があることに留意する必要がある。たとえば、前記デジタル証明書管理要求メッセージがセキュリティデータチャネルで送信される場合、前記データ通信キーを使用して、暗号化された後にのみデジタル証明書を発行するための装置に送信できる。別の例では、前記デジタル証明書管理要求メッセージが送信される前に、セキュリティキーのうちの１組のキー、たとえば、データセッションキーを使用して、デジタル証明書管理要求メッセージに含まれる証明書要求データをすでに暗号化し、そして、セキュリティデータチャネルで送信されると、メッセージは２次暗号化のために処理される。セキュリティを考慮する場合、２回暗号化に使用されるセキュリティキー（すなわち、データ通信キーとデータセッションキー）は異なる。デジタル証明書要求装置とデジタル証明書を発行するための装置は、暗号化回数、暗号化アルゴリズム、および暗号化に使用されるキーのタイプ（データ通信キーとデータセッションキー）について事前に合意してもよい。

ステップＳ２０３において、デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信し、前記セキュリティデータチャネルを使用して、デジタル証明書を申請するための装置に、デジタル証明書管理応答メッセージを送信する。前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。

具体的に、デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信した後、まず、生成されたセキュリティキーを使用して前記デジタル証明書管理要求メッセージを復号化し、また、デジタル証明書管理要求メッセージに含まれるデータに基づいて処理し、デジタル証明書管理応答メッセージを生成してデジタル証明書を申請するための装置にデジタル証明書管理応答メッセージ送信する。

同様に、本発明では、デジタル証明書管理応答メッセージは暗号化によって処理される。特に、ステップＳ２０１で生成されたデータ通信キーを使用して暗号化される。したがってメッセージの送信セキュリティを効果的に改善する。前記デジタル証明書管理応答メッセージも１次暗号化のために処理されるか、２次暗号化のために処理される場合があることに留意する必要がある。たとえば、ステップＳ２０２で前記デジタル証明書管理要求メッセージが送信される前に、セキュリティキーのうちの１組のキー、たとえば、データセッションキーをすでに使用して、デジタル証明書管理要求メッセージに含まれるデータを暗号化処理され、セキュリティデータチャネルで伝送の際にデータ通信キーをさらに使用して２番目に暗号化される。同様に、前記デジタル証明書管理応答メッセージも前記データセッションキーおよび前記データ通信キーを使用して２回暗号化されることができる。デジタル証明書要求装置とデジタル証明書を発行するための装置は、暗号化回数、暗号化アルゴリズム、および暗号化に使用されるキーのタイプ（すなわち、データ通信キーとデータセッションキー）について事前に合意する場合がある。

ステップＳ２０４において、デジタル証明書を申請するための装置は、前記デジタル証明書管理応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。

特に、デジタル証明書アプリケーション装置は、前記デジタル証明書管理応答メッセージを処理して処理結果を取得し、デジタル証明書管理確認メッセージを生成する。

特定の実施において、本発明は、上記の情報インタラクションを実現して、デジタル証明書の自動申請、照会、更新、発行を実施できれば、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置との間のインタラクションに採用されるメッセージおよびインタラクション方法を制限せず、全部本発明の保護範囲に属する。いくつかの実施形態では、前記デジタル証明書管理要求メッセージは、デジタル証明書申請情報、デジタル証明書取得情報、デジタル証明書失効情報およびデジタル証明書撤回リスト情報などのタイプを含むことができる。前記デジタル証明書管理応答メッセージはデジタル証明書応答情報を含む。

特定の実施では、デジタル証明書アプリケーション装置は、デジタル証明書管理応答メッセージを復号化およびチェックしてメッセージ内容を取得し、ニーズに応じて、デジタル証明書などをインストールおよび更新するため、使用するデジタル証明書を決定する。

本発明の特定の実施において、デジタル証明書管理要求メッセージには証明書要求データが含まれ、前記デジタル証明書管理応答メッセージには証明書応答データが含まれることが理解され得る。証明書要求データおよび/または証明書応答データを暗号化するかどうかに応じて、以下のような複数の実施形態が含まれてもよい。

（１）証明書要求データおよび証明書応答データはプレインテキストである。デジタル証明書管理要求メッセージおよびデジタル証明書管理応答メッセージは、セキュリティチャネルのデータ通信キーによって暗号化され、１次暗号化が完了する。

このとき、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理要求メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される。前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理応答メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される。

（２）セキュリティキーがデータセッションキーをさらに含む場合、データセッションキーは初回の暗号化のための証明書要求データを処理するために使用されるが、証明書応答データは暗号化されず、プレインテキストとして機能する。データ通信キーは、デジタル証明書管理要求メッセージを２番目に暗号化するために使用され、データ通信キーは、主にデジタル証明書管理応答メッセージを初回に暗号化するために使用される。

このとき、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理要求メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される前、前記デジタル証明書管理要求メッセージに含まれる証明書要求データは、前記データセッションキーによって暗号化される。

このとき、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理応答メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される。

（３）前記セキュリティキーがデータセッションキーをさらに含む場合、証明書要求データはデータセッションキーを使用して初回に暗号化され、証明書応答データもデータセッションキーを使用して初回に暗号化される。ここで、証明書応答データと証明書要求データに使用されるセッションキーは暗号化方式に対応する。デジタル証明書管理要求メッセージおよびデジタル証明書管理応答メッセージそれぞれは、データ通信キーを使用して２番目に暗号化される。

このとき、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理要求メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される前、前記デジタル証明書管理要求メッセージに含まれる証明書要求データは、前記データセッションキーによって暗号化される。

このとき、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される場合、前記デジタル証明書管理応答メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化される前、前記デジタル証明書管理応答メッセージに含まれる証明書応答データは、前記データセッションキーによって暗号化される。

特定の実施において、デジタル証明書管理確認メッセージは暗号化によって処理される。特に、ステップＳ２０１で生成されたデータ通信キーを使用して暗号化される。したがってメッセージの送信セキュリティを効果的に改善する。

ステップＳ２０５において、デジタル証明書を発行するための装置は、前記デジタル証明書管理確認メッセージを受信して処理する。

本発明の実施形態では、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置間のメッセージインタラクションプロセスで、生成されたセキュリティキーを使用してメッセージを暗号化することにより、データ伝送のセキュリティ性を効果的に改善し、さまざまな種類のシーンの、デジタル証明書自動申請、照会、更新、失効および撤回などに適応できる。

本発明では、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置との間でのメッセージのインタラクションプロセスにおいて、メッセージが送信された後の特定の時間内に応答メッセージが受信されない場合、メッセージは再び送信される。

別の実施形態では、デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージに含まれるデジタル証明書が暗号化またはキー交換を実行するように構成される場合、デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属するかどうかを判断する必要がある。デジタル証明書を発行するための装置とデジタル証明書を申請するための装置間で、デジタル証明書管理検証要求メッセージおよびデジタル証明書管理認証応答メッセージをインタラクションする必要がある。具体的に、図３を参照すると、図３は、本発明の一実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。実施形態では、図３に示されるように、ステップＳ３０２の後、前記方法はさらに以下のステップを含むことができる。

ステップＳ３０３において、デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信する。前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化される。

具体的に、前記デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを復号化し、前記デジタル証明書管理要求メッセージに含まれるデータに従って処理を実行してから、デジタル証明書管理検証要求メッセージを生成する。

前記デジタル証明書管理検証要求メッセージは証明書検証要求情報を含み、前記証明書検証要求情報は、コントラスト値および認証値暗号文を含む。

ステップＳ３０４で、デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化される。

前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化される。

ステップＳ３０５において、デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が暗号化機能を実行するように構成される場合（すなわち、秘密キーは復号交換を定義する）、このとき、ステップＳ３０３での、デジタル証明書を発行するための装置は、デジタル証明書管理検証要求メッセージを生成するには、具体的には以下を含む。

ステップＳ３０３１において、前記デジタル証明書を発行するための装置は、１つの認証値を生成し、前記認証値は、前記デジタル証明書を申請するための装置の公開キーによって暗号かされて、前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成される。

ステップＳ３０４は特に以下を含む。

ステップＳ３０４１において、前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得する。前記デジタル証明書を申請するための装置の秘密キーを使用して、前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、計算によって生成された前記新しいコントラスト値が受信された前記コントラスト値と一致するかどうかを判断する。一致する場合、前記デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断すると、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成し、セキュリティデータチャネルを通じて、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信する。

ステップＳ３０５は具体的には：
ステップＳ３０５１において、前記デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得する。前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断する。一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成し、セキュリティデータチャネルを通じて、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能を実行するように構成される場合（すなわち、公開キーおよび秘密キーはキー交換を定義する）、ステップＳ３０３において、デジタル証明書を発行するための装置は、デジタル証明書管理検証要求メッセージを生成することは、具体的には以下を含む。

ステップＳ３０３２において、前記デジタル証明書を発行するための装置が前記デジタル証明書を申請するための装置とキーを交換した後、共有キーを生成する。前記デジタル証明書を発行するための装置は、１つの認証値を生成し、前記認証値が前記共有キーによって暗号化されて前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成される。

当該実施形態では、デジタル証明書を申請するための装置およびデジタル証明書を発行するための装置のキー交換方式について制限しないことに留意する必要がある。デジタル証明書を申請するための装置の公開キーと秘密キーの両方がキー交換に参加する。

ステップＳ３０４は具体的には：
ステップＳ３０４２において、前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置が前記デジタル証明書を発行するための装置とキーを交換して共有キーを生成し、前記共有キーを使用して前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、前記新しいコントラスト値が受信されたコントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成し、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信する。

ステップＳ３０５は具体的には：
ステップＳ３０５２において、前記デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得し、前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断する。一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成し、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する。

本実施形態では、ステップＳ３０１〜Ｓ３０２は、ステップＳ２０１〜Ｓ２０２を参照して実行され、ステップＳ３０６〜Ｓ３０７は、ステップＳ２０４〜Ｓ２０５を参照して実行され、繰り返して説明しない。

当該実施形態において、認証値は、乱数または他の数であってもよい。認証値を計算してコントラスト値を生成する方法は制限されておらず、ハッシュまたは巡回冗長検査（ＣＲＣ）などである。

当業者が特定のシーンで本発明の実施形態をより明確に理解することを容易にするために、本発明の実施形態を説明するために以下で特定の例を挙げる。当該特定の例は、単に当業者が本発明をより明確に理解するためのものであり、本発明の実施形態は特定の例に限定されないことに留意する必要がある。

図４を参照すると、図４は、本発明の別の実施形態によって提供されるデジタル証明書を管理するための方法のフローチャートである。図４に示すように、この方法には以下のステップが含まれる。

ステップＳ４０１で、デジタル証明書を申請するための装置は認証コードを取得する。

特定の実施において、デジタル証明書を申請するための装置は、デジタル証明書を発行するための装置に対して、デジタル証明書の認証コードをダウンロードするよう要求し、前記デジタル証明書を発行するための装置によって送信された認証コードを取得する。

ステップＳ４０２において、デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成する。

特定の実施において、デジタル証明書発行中の情報伝送のセキュリティを確保するため、デジタル証明書を申請するための装置は、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートすることができる。デジタル証明書を申請するための装置は、認証コードを使用して、セキュリティデータチャネルデータ伝送のためのセキュリティキーを生成する。

本発明は、セキュリティチャネルの確立を制限せず、認証コードを使用してデータ伝送のための共有セキュリティキーを生成できればよい。特定の実施において、以下のようにセキュリティデータチャネルを生成する。

ステップＳ４０２Ａにおいて、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、セキュリティデータチャネルの確立をネゴシエートする。

ステップＳ４０２Ｂにおいて、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、認証コード、ネゴシエーションプロセスで得られた乱数およびＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成する。

前記セキュリティキーはデータ通信キーを含むことができ、データセッションキーも含むことができる。前記データ通信キーは、前記データ証明書を申請するための装置とデジタル証明書を発行するための装置の間でセキュリティデータチャネルを使用してメッセージをインタラクションする際に、メッセージを暗号化して送信するように構成される。前記データセッションキーは、メッセージが送信される前に、メッセージに含まれる証明書要求データおよび/または証明書応答データを暗号化するように構成される。

ステップＳ４０２Ｃにおいて、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、完全性チェックコードによってセキュリティチャネル確認メッセージを認証する。

具体的には、セキュリティデータチャネルネゴシエートのネゴシエーションおよび確立に関する図４の概略図を参照することができる。前記デジタル証明書を申請するための装置とデジタル証明書を発行するための装置がセキュリティデータチャネルの確立をネゴシエーションすることは、具体的に、デジタル証明書を申請するための装置は、デジタル証明書を発行するための装置に第１の乱数、第１のＩＤ情報を送信し、前記デジタル証明書を発行するための装置によって送信された第２の乱数、第２のＩＤ情報を受信する。前記第１の乱数は、デジタル証明書を申請するための装置によってランダムに生成される。前記第１のＩＤ情報は具体的にはデジタル証明書を申請するための装置のＩＤ識別子であり、たとえば、ＩＰアドレス、ＭＡＣアドレス、電子メールアドレス、フルドメイン文字列または国際モバイル加入者ＩＤ（ＩＭＳＩ）などである。前記第２の乱数はデジタル証明書を発行するための装置によってランダムに生成される。前記第２のＩＤ情報は具体的にはデジタル証明書を発行するための装置のＩＤ識別子、たとえば、ＩＰアドレス、ＭＡＣアドレス、電子メールアドレス、フルドメイン文字列または国際モバイル加入者ＩＤ（ＩＭＳＩ）などである。デジタル証明書を申請するための装置とデジタル証明書を発行するための装置の間の乱数、ＩＤ情報のインタラクションプロセスは、デジタル証明書を申請するための装置によって最初に開始されるか、デジタル証明書を発行するための装置によって最初に開始される場合もある。本発明は、特定のインタラクションを制限しない。

いくつかの実施形態では、前記デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、認証コード、ネゴシエーションプロセスで得られた乱数およびＩＤ情報を使用してセキュリティチャネルのセキュリティキーを生成し、具体的には、前記デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。デジタル証明書を申請するための装置側とデジタル証明書を発行するための装置側の両方で生成されるセキュリティキーは同じであることに留意する必要がある。前記セキュリティキーは、１つまたは複数組のキーを含めることができる。たとえば、セキュリティキーは、データ伝送のためのデータ通信キーを含む場合があり、完全性チェックのための完全性チェックキーを含む場合があり、暗号化証明書要求データおよび/または証明書応答データのためのデータセッションキーを含む場合がある。

いくつかの実施形態では、前記セキュリティキーは、完全性チェックキーをさらに含む。前記デジタル証明書を申請するための装置とデジタル証明書を発行するための装置が完全性チェックコードによってセキュリティチャネルのキーを確認することは、具体的に、前記デジタル証明書を申請するための装置とデジタル証明書を発行するための装置は、乱数、前記完全性チェックキーを使用して完全性チェックコードを生成し、前記完全性チェックコードでセキュリティチャネル確認メッセージを認証する。

ステップＳ４０３において、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信する。

特定の実施において、デジタル証明書を申請するための装置は、セキュリティデータチャネルを介して機密に保たれた後、デジタル証明書を発行するための装置に証明書管理要求メッセージを送信する。デジタル証明書を申請するための装置に、デジタル証明書を発行するための装置によって発行されたデジタル証明書がない場合、証明書管理要求メッセージに申請する必要の新しい証明書に含まれる証明書情報が含まれる。デジタル証明書を申請するための装置に、デジタル証明書を発行するための装置によって発行されたデジタル証明書がある場合、デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージに、既存のデジタル証明書の情報が含まれる。当該、既存のデジタル証明書の情報は、デジタル証明書を発行するための装置が証明書の照会および更新する際に用いられる。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージは、デジタル証明書申請情報、デジタル証明書取得情報、デジタル証明書失効情報およびデジタル証明書撤回リスト情報などを含むことができる。特定の実施において、デジタル証明書申請情報、デジタル証明書取得情報、デジタル証明書失効情報またはデジタル証明書撤回リスト情報は、表１に示される情報を採用できるが、表１に示す形式に限定されない。

例を挙げて説明する。デジタル証明書管理要求メッセージの情報のタイプの値が２である場合、前記情報は、具体的には、新しいデジタル証明書を申請するために使用される証明書申請情報である。デジタル証明書管理要求メッセージの情報のタイプの値が４の場合、前記情報は、既存のデジタル証明書の照会または更新に使用される証明書取得情報である。デジタル証明書管理要求メッセージの情報のタイプの値が５の場合、前記情報既存のデジタル証明書を無効にするために使用される証明書失効情報である。デジタル証明書管理要求メッセージの情報のタイプの値が６の場合、前記情報は具体的には、証明書撤回リストを要求するために使用される証明書撤回リスト情報である。

特定の実施において、証明書申請情報のフィールドフォーマットは、表２に示される情報を採用できるが、表２に示す形式に限定されない。

特定の実施において、証明書取得情報のフィールドフォーマットは、表３に示される情報を採用できるが、表３に示す形式に限定されない。

特定の実施において、証明書失効情報のフィールドフォーマットは、表４に示される情報を採用できるが、表４に示す形式に限定されない。

特定の実施において、証明書撤回リスト情報のフィールドフォーマットは、表５に示される情報を採用できるが、表５に示す形式に限定されない。

本発明は、証明書申請情報に含まれる証明書要求データを制限しない。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれる証明書要求データは、証明書要求情報、署名アルゴリズム識別子および署名値を含む。

ここで、証明書要求情報は、バージョン、保有者名、保有者公開キー情報、および拡張子を含むことができる。これらの情報要素は簡潔であり、証明書を発行する基本的な要件を満たすことができる。署名値は、デジタル証明書を申請するための装置が公開キーと秘密キーのペアをローカルで生成した後、署名アルゴリズム識別子に対応する署名アルゴリズムを使用して、秘密キーで前記証明書要求情報を計算した後に得られる値である。デジタル証明書を発行するための装置は、証明書要求情報内の保有者公開キー情報を使用して署名をチェックして、公開キーと秘密キーがデジタル証明書を申請するための装置に所属するかどうかを判断する。署名アルゴリズム識別子および署名値により、公開キーと秘密キーが当該エンティティに所属するかどうかを認証することができる。

いくつかの他の実施形態では、前記証明書要求データ内の前記証明書要求情報は、より統合された情報、すなわちシリアル番号、発行者名、および検証期間も含むことができる。これらの情報は、証明書発行機能を拡張する場合がある。たとえば、デジタル証明書の申請者は、証明書の特定の情報などを制限するよう要求する。この場合、前記証明書要求データは暗号化されてもよい。具体的に、前記証明書要求データは、デジタル証明書を申請するための装置がセキュリティデータチャネルが確立された後、生成されたデータセッションキーを使用して証明書要求情報、署名アルゴリズム識別子および署名値を暗号化して得られたデータである。さらに、上記の実施形態に基づいて、デジタル証明書を申請するための装置および/またはデジタル証明書を発行するための装置が２つ以上の暗号化アルゴリズムをサポートする場合、前記証明書要求データは、暗号化アルゴリズム識別子をさらに含み得る。これに対応して、前記証明書要求データは、具体的に、暗号化アルゴリズム識別子を含み、また、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズム、および前記データセッションキーを使用して前記証明書要求情報、前記署名アルゴリズム識別子および前記署名値を暗号化を暗号化した後に取得されたデータを含む。このような証明書要求データの構造要素は、より統合され、より広い機能を持つ。公開キーと秘密キーの所属エンティティを認証するとともに、証明書要求データに対して機密保護が実行される。一方、セキュリティデータチャネルが有する場合、このような証明書要求データ構造を採用することは、証明書要求データの機密保護を２回実現し、それによってデータ伝送のセキュリティをさらに改善する。

ステップＳ４０４において、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書検証要求メッセージを受信する。

前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化される。

特定の実施において、デジタル証明書を発行するための装置が公開キーと秘密キーがデジタル証明書を申請するための装置に所属するかどうかを判断しようとすれば、デジタル証明書を発行するための装置は、セキュリティデータチャネルを介して機密に保たれた後、デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信する。前記デジタル証明書管理検証要求メッセージには、証明書検証要求情報が含まれる。前記証明書検証要求情報は、デジタル証明書を申請するための装置の公開キーと秘密キーの所属を認証するように構成される。デジタル証明書管理検証要求メッセージは、表６に示される情報を採用できるが、表６に示す形式に限定されない。

証明書検証要求情報のフィールドフォーマットは、表７に示される情報を採用できるが、表７に示す形式に限定されない。

いくつかの実施形態では、前記デジタル証明書管理検証要求メッセージに含まれる証明書検証要求情報は、アルゴリズム識別子、一時公開キーなどをさらに含む。

特定の実施において、デジタル証明書を発行するための装置は、デジタル証明書の使用に従って、公開キーと秘密キーの所属認証を必要とするかどうかを判断する。デジタル証明書が暗号化またはキー交換を実行するように構成されている場合、デジタル証明書を発行するための装置は、公開キーと秘密キーの所属認証を実行する。具体的に、デジタル証明書を発行するための装置は、１つの認証値を生成し、認証値を計算してコントラスト値を生成する。証明書のさまざまな使用法に応じて、認証値を暗号化するためにさまざまなキーが使用される。証明書が暗号化するように構成されている場合、デジタル証明書を申請するための装置の公開キーを使用して認証値を暗号化し、認証値暗号文を生成する。証明書がキー交換を実行するように構成されている場合、デジタル証明書を発行するための装置とデジタル証明書を申請するための装置がキー交換を実行した後に共有キーが生成され、当該共有キーを使用して認証値を暗号化して認証値暗号文を生成する。デジタル証明書を発行するための装置は、前記コントラスト値および前記認証値暗号文をデジタル証明書管理検証要求メッセージに含ませる。

ステップＳ４０５において、デジタル証明書を申請するための装置は、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化される。

特定の実施において、前記デジタル証明書を申請するための装置は、受信された前記デジタル証明書管理検証要求メッセージを処理して、デジタル証明書管理認証応答メッセージを生成する。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が、デジタル証明書管理検証要求メッセージを受信した後、暗号化機能を実行するように構成される（すなわち、秘密キーが復号化交換を定義する）場合、前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置の秘密キーを使用して、前記認証値暗号文を復号化して認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、計算によって生成された前記新しいコントラスト値が受信された前記コントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成する。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能（すなわち、公開キーおよび秘密キーがキー交換を定義する）を実行するように構成される場合、前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置が前記デジタル証明書を発行するための装置とキーを交換して共有キーを生成し、前記共有キーを使用して前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、前記新しいコントラスト値が受信されたコントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成する。

特定の実施において、デジタル証明書を申請するための装置は、セキュリティデータチャネルを介して機密に保たれた後、デジタル証明書を発行するための装置に証明書管理認証応答メッセージを送信する。デジタル証明書管理認証応答メッセージは証明書認証応答情報を含む。デジタル証明書管理認証応答メッセージは、表８に示される情報を採用できるが、表８に示す形式に限定されない。

証明書認証応答情報のフィールドフォーマットは、表９に示される情報を採用できるが、表９に示す形式に限定されない。

ステップＳ４０６において、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信する。

前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。
さらに、デジタル証明書アプリケーション装置は、ニーズに従って使用するためのデジタル証明書を決定する。

特定の実施において、デジタル証明書を発行するための装置は、セキュリティデータチャネルを介して機密に保たれた後、デジタル証明書を申請するための装置に証明書管理応答メッセージを送信する。デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置が新しい証明書を申請する必要があると決定する場合、デジタル証明書管理応答メッセージには、デジタル証明書を発行するための装置がデジタル証明書申請情報に含まれる証明書要求データに基づいて生成された新しい証明書が含まれる。デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置が既存のデジタル証明書を照会または更新する必要があると決定する場合、デジタル証明書管理応答メッセージには、照会または更新されたデジタル証明書が含まれる。

特定の実施形態では、デジタル証明書を発行するための装置は、デジタル証明書管理要求メッセージ内の情報のタイプに従って判断および処理を行う。デジタル証明書申請情報が受信されると、保護を申請する証明書の情報が存在すると判断された場合、証明書要求データに従って新しいデジタル証明書が発行される。情報を取得する証明書に含まれる既存のデジタル証明書の情報が存在する場合、既存のデジタル証明書は、発行装置名とシリアル番号に従って照会される。証明書失効情報に含まれる発行装置名とシリアル番号が存在する場合、既存のデジタル証明書は、発行装置名とシリアル番号に従って無効される。また、証明書撤回リストが存在する場合、発行装置名に従って証明書撤回リストが照会される。デジタル証明書を発行するための装置は、上記の証明書をデジタル証明書管理応答メッセージに含ませる。デジタル証明書管理応答メッセージは、表１０に示される情報を採用できるが、表１０に示す形式に限定されない。

証明書応答情報フォーマットは、表１１に示される情報を採用できるが、表１１に示す形式に限定されない。

ここで、証明書生成タイプは、表１２に示すように、異なる証明書保有者に対応する証明書タイプをリストすることができる。

ここで、ＡＳ証明書は認証サーバ証明書であり、ＣＡ証明書は認証センター証明書である。

特定の実施において、デジタル証明書管理応答メッセージは暗号化によって処理される。具体的に、セキュリティチャネルを持つ場合、生成されたデータ通信キーは暗号化に使用されるため、メッセージの送信セキュリティが向上する。前記デジタル証明書管理応答メッセージは１次暗号化のために処理され、２次暗号化のために処理される場合があることに留意する必要がある。たとえば、前記デジタル証明書管理要求メッセージが送信される前に、セキュリティキーのうちの１組のキー、たとえば、データセッションキーをすでに使用して、デジタル証明書管理要求メッセージに含まれる証明書要求データを暗号化をした場合、セキュリティデータチャネルで伝送の際にデータ通信キーをさらに使用して２番目の暗号化処理される。同様に、前記デジタル証明書管理応答メッセージは、前記データセッションキーと前記データ通信キーのペアに含まれる証明書応答データそれぞれを使用して、２番目に暗号化される。さらに、デジタル証明書を申請するための装置および/またはデジタル証明書を発行するための装置が２つ以上の暗号化アルゴリズムをサポートする場合、前記証明書応答データはさらに暗号化アルゴリズム識別子を含み得る。同様に、前記証明書応答データは、具体的に暗号化アルゴリズム識別子を含み、また、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズム、および前記データセッションキーを使用して前記証明書応答データを暗号化して得られたデータを含む。

ステップＳ４０７において、デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して、デジタル証明書を発行するための装置にデジタル証明書管理確認メッセージを送信する。前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

本発明の実施形態において、安全で信頼できるデータ伝送チャネルは、上記のＳ４０１およびＳ４０２メッセージを通じて確立され、デジタル証明書の自動申請、照会および更新は、上記のＳ４０３、Ｓ４０６およびＳ４０７でのメッセージをインタラクションすることにより実現される。エンティティの公開キーと秘密キーの所属認証は、デジタル証明書管理がより効果的になるように、Ｓ４０４およびＳ４０５のデジタル証明書検証要求メッセージとデジタル証明書管理認証応答メッセージの間のインタラクションによって実現される。図６は、デジタル証明書自動申請、照会、更新、発行の方法におけるメッセージの内容の概略図である。図６に示すように、デジタル証明書管理要求メッセージは、具体的にデジタル証明書申請情報、デジタル証明書取得情報、デジタル証明書失効情報およびデジタル証明書撤回リスト情報などを含むことができる。前記デジタル証明書管理応答メッセージは、デジタル証明書応答情報などを含むことができる。デジタル証明書管理確認メッセージは、デジタル証明書を申請するための装置とデジタル証明書を発行するための装置との間の接続を解除するように構成されてもよい。デジタル証明書管理検証要求メッセージは、デジタル証明書検証要求情報などを含むことができる。デジタル証明書管理認証応答メッセージは、デジタル証明書認証応答情報などを含むことができる。

本発明で提供されるデジタル証明書を管理するための方法は、デジタル証明書アプリケーション装置側から上で説明されている。本発明で提供される方法は、デジタル証明書を発行するための装置側にも適用でき、その処理は、図２および図３に示す例に対応して実行できることを当業者は理解することができる。例えば、証明書発行装置側に適用される上記の方法は、デジタル証明書を発行するための装置認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーはデータ通信キーを含むステップと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化されるステップと、前記デジタル証明書管理要求メッセージを処理し、デジタル証明書管理検証要求メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化されるステップと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化されるステップと、前記デジタル証明書管理認証応答メッセージを処理し、デジタル証明書管理応答メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化されるステップと、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージを処理し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化されるステップとを備える。

いくつかの実施形態では、前記デジタル証明書を発行するための装置認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成することは、具体的に、前記デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置と、セキュリティデータチャネルについてネゴシエートし、前記デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置と、認証コードおよびネゴシエーションプロセスで得られた乱数、ＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成し、前記デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置と、完全性チェックコードによって、セキュリティチャネル確認メッセージを認証する。

いくつかの実施形態では、前記デジタル証明書を発行するための装置が、デジタル証明書を申請するための装置と、セキュリティデータチャネルについてネゴシエートすることは、前記デジタル証明書を発行するための装置は、デジタル証明書を申請するための装置に第２の乱数、第２のＩＤ情報を送信し、および、前記デジタル証明書を申請するための装置によって送信された第１の乱数、第１のＩＤ情報を受信する。

いくつかの実施形態では、前記デジタル証明書を発行するための装置が、デジタル証明書を申請するための装置と、認証コードおよびネゴシエーションプロセスで得られた乱数、ＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成することは、具体的に、前記デジタル証明書を発行するための装置は、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。

具体的なの実施は、図２から６に記載された方法を参照することにより実現することができる。

図７は、本発明の一実施形態により提供されるデジタル証明書を申請するための装置の概略図である。

デジタル証明書を申請するための装置７００は、セキュリティデータチャネル確立ユニット７０１と、送信ユニット７０２と、暗号化ユニット７０３と、受信ユニット７０４と、処理ユニット７０５とを備える。

前記セキュリティデータチャネル確立ユニット７０１は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成するように構成される。前記セキュリティキーはデータ通信キーを含む。

前記送信ユニット７０２は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

前記暗号化ユニット７０３は、前記データ通信キーを使用して、前記証明書管理要求メッセージを暗号化し、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化する。

前記受信ユニット７０４は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。

前記処理ユニット７０５は、受信された前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、また、受信された前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成する。

いくつかの実施形態では、前記暗号化ユニット７０３は具体的に、前記セキュリティデータチャネルのデータ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化する。

いくつかの実施形態では、前記受信ユニット７０４は、受信された前記デジタル証明書管理検証要求メッセージは証明書検証要求情報を含み、前記証明書検証要求情報は、コントラスト値および認証値暗号文を含む。

いくつかの実施形態では、前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が暗号化機能を実行するように構成されている場合、前記処理ユニット７０５は具体的に、
前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置の秘密キーを使用して、前記認証値暗号文を復号化して認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、計算によって生成された前記新しいコントラスト値が受信された前記コントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成する。

前記デジタル証明書管理認証応答メッセージは証明書認証応答情報を含む。

いくつかの実施形態では、前記証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能を実行するように構成された場合、前記処理ユニット７０５は具体的に、
前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置が前記デジタル証明書を発行するための装置とキーを交換して共有キーを生成し、前記共有キーを使用して前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、前記新しいコントラスト値が受信されたコントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成する。

いくつかの実施形態では、前記送信ユニット７０２によって送信された前記デジタル証明書管理要求メッセージに含まれる証明書要求データは、証明書要求情報、署名アルゴリズム識別子および署名値を含む。前記証明書要求情報は、バージョン、保有者名、保有者公開キー情報および拡張子を含む。前記暗号化ユニット７０３は具体的に、前記セキュリティデータチャネルのデータ通信キーを使用して、前記デジタル証明書管理要求メッセージを暗号化する。

いくつかの実施形態では、前記暗号化ユニット７０３はさらに、前記セキュリティキーがデータセッションキーをさらに含む場合、前記デジタル証明書管理要求メッセージが、前記セキュリティデータチャネルのデータ通信キーによって暗号化される前、前記データセッションキーを使用して、前記デジタル証明書管理要求メッセージに含まれる証明書要求データを暗号化する。

前記証明書要求情報は、シリアル番号、発行者名および検証期間をさらに含む。

さらに、前記デジタル証明書を申請するための装置が２つ以上の暗号化アルゴリズムをサポートする場合、前記送信ユニット７０２によって送信される前記証明書要求データは、暗号化アルゴリズム識別子をさらに含み、具体的には、暗号化アルゴリズム識別子を含み、また、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズムおよび前記データセッションキーを使用して前記証明書要求情報、前記署名アルゴリズム識別子および前記署名値を暗号化して得られたデータを含む。これに対応して、前記暗号化ユニット７０３は具体的に、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズムおよび前記データセッションキーを使用して、前記証明書要求情報、前記署名アルゴリズム識別子および前記署名値を暗号化する。

いくつかの実施形態では、前記送信ユニット７０２は、第１の送信ユニット、および/または第２の送信ユニット、および/または、第３の送信ユニット、および/または、第４の送信ユニットを含む。

前記第１の送信ユニットは、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書申請情報を送信し、前記デジタル証明書申請情報は、新しい証明書の申請に用いられる。前記デジタル証明書申請情報包括証明書生成方法および証明書要求データを含む。

前記第２の送信ユニットは、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書取得情報を送信し、既存のデジタル証明書を照会または更新するようにする。前記デジタル証明書取得情報は、発行装置名およびシリアル番号フィールドを含む。

前記第３の送信ユニットは、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書失効情報を送信し、既存のデジタル証明書を無効させようと申請するようにする。前記デジタル証明書失効情報は、発行装置名、シリアル番号および失効原因フィールドを含む。

前記第４の送信ユニットは、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書撤回リスト情報を送信し、デジタル証明書撤回リストを要求するようにする。前記デジタル証明書撤回リスト情報は発行装置名フィールドを含む。

いくつかの実施形態では、前記セキュリティデータチャネル確立ユニット７０１は、デジタル証明書を発行するための装置とセキュリティデータチャネルネゴシエートの確立をネゴシエートするように構成されたネゴシエーションユニットと、デジタル証明書を発行するための装置と、認証コード、ネゴシエーションプロセスで得られた乱数、およびＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成するように構成されたキー生成ユニットと、デジタル証明書を発行するための装置と、完全性チェックコードによってセキュリティチャネル確認メッセージを認証するように構成されたキー確認ユニットとを備える。

いくつかの実施形態では、前記ネゴシエーションユニットは具体的に、デジタル証明書を発行するための装置に第１の乱数、第１のＩＤ情報を送信し、および前記デジタル証明書を発行するための装置によって送信された第２の乱数、第２のＩＤ情報を受信する。前記キー生成ユニットは具体的に、前記デジタル証明書を申請するための装置およびデジタル証明書を発行するための装置によって、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。

いくつかの実施形態では、前記キー生成ユニットによって生成されたセキュリティキーは完全性チェックキーをさらに含む。前記キー確認ユニットは具体的に、前記デジタル証明書を申請するための装置およびデジタル証明書を発行するための装置によって、乱数、前記完全性チェックキーを使用して完全性チェックコードを生成し、前記完全性チェックコードを使用してセキュリティチャネル確認メッセージを認証する。

本発明の装置のための各ユニットまたはモジュールの設定は、図２から図６に示されるような方法を参照することによって実現することができる。ここでは繰り返して説明しない。デジタル証明書管理装置は別個の装置であり、デジタル証明書を発行するための装置と統合することもでき、またデジタル証明書を発行するための装置の一部として存在することもあるが、ここでは制限しない。

図８は、本発明の別の実施形態によって提供されるデジタル証明書の申請に用いられる装置のブロック図である。当該装置は、少なくとも１つのプロセッサ８０１（たとえば、ＣＰＵ）と、メモリ８０２と、これらの装置間の接続通信を実現するように構成された少なくとも１つの通信バス８０３とを備える。プロセッサ８０１は、コンピュータプログラムなど、メモリ８０２に格納された実行可能モジュールを実行するように構成される。メモリ８０２は、ランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含み、さらに少なくとも１つの磁気ディスクメモリなどの不揮発性メモリ（ｎｏｎ−ｖｏｌａｔｉｌｅ ｍｅｍｏｒｙ）を含む可能性が高い。１つまたは複数のプログラムは、メモリに格納され、１つ以上のプロセッサ８０１により、１つ以上のプログラムに含まれる以下の動作を行うための命令を実行するように構成される：取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーは少なくともデータ通信キーを含み、デジタル証明書管理要求メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書申請情報を送信し、前記デジタル証明書申請情報は、新しい証明書の申請に用いられる。前記デジタル証明書申請情報は、証明書生成方法および証明書要求データを含む。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書取得情報を送信し、既存のデジタル証明書を照会または更新するようにする。前記デジタル証明書取得情報は、発行装置名およびシリアル番号フィールドを含む。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書失効情報を送信し、既存のデジタル証明書を無効させようと申請するようにする。前記デジタル証明書失効情報は、発行装置名、シリアル番号および失効原因フィールドを含む。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書撤回リスト情報を送信し、デジタル証明書撤回リストを要求するようにする。前記デジタル証明書撤回リスト情報は発行装置名フィールドを含む。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、デジタル証明書を発行するための装置と、認証コード、ネゴシエーションプロセスで得られた乱数、およびＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成し、デジタル証明書を発行するための装置と、完全性チェックコードによってセキュリティチャネル確認メッセージを認証する。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、デジタル証明書を発行するための装置に第１の乱数、第１のＩＤ情報を送信し、および前記デジタル証明書を発行するための装置によって送信された第２の乱数、第２のＩＤ情報を受信する。デジタル証明書を発行するための装置と、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。

いくつかの実施形態では、いくつかの実施形態では、プロセッサ８０１は、１つまたは複数のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、デジタル証明書を発行するための装置を、乱数、前記完全性チェックキーを使用して完全性チェックコードを生成し、前記完全性チェックコードを使用してセキュリティチャネル確認メッセージを認証する。

図９を参照すると、図９は、本発明の一実施形態によって提供されるデジタル証明書を発行するための装置の概略図である。

デジタル証明書を発行するための装置９００は、セキュリティデータチャネル確立ユニット９０１と、受信ユニット９０２と、処理ユニット９０３と、暗号化ユニット９０４と、送信ユニット９０５とを備える。

前記セキュリティデータチャネル確立ユニット９０１は、認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成する。前記セキュリティキーはデータ通信キーを含む。

前記受信ユニット９０２は、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

前記処理ユニット９０３は、受信された前記デジタル証明書管理要求メッセージを処理してデジタル証明書管理検証要求メッセージを生成し、また、受信された前記デジタル証明書管理認証応答メッセージを処理してデジタル証明書管理応答メッセージを生成し、また、受信された前記デジタル証明書管理確認メッセージを処理する。

前記暗号化ユニット９０４は、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化する。

前記送信ユニット９０５は、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。

いくつかの実施形態では、前記送信ユニット９０５によって送信された前記デジタル証明書管理応答メッセージに証明書応答データが含まれる。前記暗号化ユニット９０４は具体的に、前記セキュリティデータチャネルのデータ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化し、前記受信ユニット９０２二よって受信された前記デジタル証明書管理要求メッセージに含まれる証明書要求データは、証明書要求情報、署名アルゴリズム識別子および署名値を含む。前記証明書要求情報は、バージョン、保有者名、保有者公開キー情報および拡張子を含む。

いくつかの実施形態では、前記暗号化ユニット９０４はさらに、前記セキュリティキーがデータセッションキーをさらに含む場合、前記デジタル証明書管理応答メッセージが前記セキュリティデータチャネルのデータ通信キーによって暗号化される前、前記データセッションキーを使用して、前記デジタル証明書管理応答メッセージに含まれる証明書応答データを暗号化する。前記証明書要求情報は、シリアル番号、発行者名および検証期間をさらに含む。

いくつかの実施形態では、前記デジタル証明書を発行するための装置が２つ以上の暗号化アルゴリズムをサポートする場合、前記送信ユニット９０５によって送信された前記証明書応答データは、暗号化アルゴリズム識別子をさらに含み、具体的には、暗号化アルゴリズム識別子を含み、また、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズム、および前記データセッションキーを使用して、前記証明書応答データを暗号化して得られたデータを含む。これに対応して、前記暗号化ユニット９０４は具体的に、前記暗号化アルゴリズム識別子に対応する暗号化アルゴリズム、および前記データセッションキーを使用して、前記証明書応答データを暗号化する。

いくつかの実施形態では、前記セキュリティデータチャネル確立ユニット９０１は、デジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートするように構成されたネゴシエーションユニットと、デジタル証明書を申請するための装置と、認証コード、ネゴシエーションプロセスで得られた乱数、ＩＤ情報を使用してセキュリティチャネルのセキュリティキーを生成するように構成されたキー生成ユニットと、デジタル証明書を申請するための装置と、完全性チェックコードによってセキュリティチャネル確認メッセージを認証するように構成されたキー確認ユニットとを備える。

いくつかの実施形態では、前記ネゴシエーションユニットは具体的に、デジタル証明書を申請するための装置に第２の乱数、第２のＩＤ情報を送信し、および、前記デジタル証明書を申請するための装置によって送信された第１の乱数、第１のＩＤ情報を受信する。前記キー生成ユニットは具体的に、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。

いくつかの実施形態では、前記キー生成ユニットによって生成されたセキュリティキーは完全性チェックキーをさらに含む。前記キー確認ユニットは具体的に、デジタル証明書を申請するための装置と、乱数、前記完全性チェックキーを使用して、完全性チェックコードを生成し、前記完全性チェックコードを使用してセキュリティチャネル確認メッセージを認証する。

図１０を参照すると、図１０は、本発明の別の実施形態によって提供されるデジタル証明書の発行に用いられる装置のブロック図である。前記装置は、少なくとも１つのプロセッサ１００１（たとえば、ＣＰＵ）と、メモリ１００２と、これらの装置間の接続通信を実現するように構成された少なくとも１つの通信バス１００３とを備える。プロセッサ１００１は、コンピュータプログラムなど、メモリ１００２に格納された実行可能モジュールを実行するように構成される。メモリ１００２は、ランダムアクセスメモリ（ＲＡＭ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む可能性が高く、少なくとも１つの磁気ディスクメモリなどの不揮発性メモリ（ｎｏｎ−ｖｏｌａｔｉｌｅ ｍｅｍｏｒｙ）をさらに含む可能性が高い。１つまたは複数のプログラムは、メモリに格納され、１つまたは複数のプロセッサ１００１によって、１つまたは複数のプログラムに含まれる以下の動作を行う命令を実行するように構成される：認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーはデータ通信キーを含む。前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、前記デジタル証明書管理要求メッセージを処理し、デジタル証明書管理検証要求メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化される。前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化される。前記デジタル証明書管理認証応答メッセージを処理し、デジタル証明書管理応答メッセージを生成し、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される。前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージを処理し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される。

いくつかの実施形態では、プロセッサ１００１は、１つ以上のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、デジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、デジタル証明書を申請するための装置と、認証コード、ネゴシエーションプロセスで得られた乱数、ＩＤ情報を使用して、セキュリティチャネルのセキュリティキーを生成し、デジタル証明書を申請するための装置と、完全性チェックコードによって、セキュリティチャネル確認メッセージを認証する。

いくつかの実施形態では、プロセッサ１００１は、１つ以上のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、デジタル証明書を申請するための装置に第２の乱数、第２のＩＤ情報を送信し、および、前記デジタル証明書を申請するための装置によって送信された第１の乱数、第１のＩＤ情報を受信する。

いくつかの実施形態では、プロセッサ１００１は、１つ以上のプログラムに含まれる以下の動作を行うための命令を実行するように特に構成されており、認証コード、前記第１の乱数、前記第１のＩＤ情報、前記第２の乱数および前記第２のＩＤ情報を使用して、セキュリティキーを生成する。

当業者は、前述の方法および装置が対応する関係にあることを理解するであろう。

本明細書を検討し、本明細書の開示を実施した後、当業者が本発明の他の実施形態を考えることは容易である。本発明は、本発明の一般的な原則に準拠し、技術分野で一般的に知られている技術的手段または従来技術で開示されていない技術的手段を含む、本発明のあらゆる変形、使用または適応的変更を網羅することを目的とする。本発明の仕様および実施形態は単に例示と見なされる。本発明の真の範囲および精神は、添付の特許請求の範囲によって特定される。

本発明は、上で説明され、添付の図面に示された正確な構造に限定されず、本発明の範囲から逸脱することなく様々な修正および変更を行うことができることを理解されたい。本発明の範囲は、添付の特許請求の範囲によってのみ定義される。

本発明の好ましい実施形態は、本発明を限定するために使用されることなく、上記で説明されている。本発明の精神および原理内で行われた修正、同等物、改良などは、本発明の保護範囲に含まれるべきである。

文脈において、必ずしもそのような実際の関係の存在を要求または暗示することなく、第１、第２などの関係用語が単に１つのエンティティまたは操作を別のエンティティまたは操作から区別するために使用されることまたはこれらのエンティティまたはオペレーション間の順序に留意する必要がある。また、本発明の後記の請求の範囲に限定された本発明の思想及び範囲を逸脱しない限り、修正または取り換え及び変換をすることができる。また、本発明の専門用語「含む」、「備える」または他の変形は、排他性がない「含む」を包括して、一連の要素を含む過程、方法、ものまたは装置が、それらの要素だけではなく、明確に例挙げされていない他の要素も含むか、または、このような過程、方法、ものまたは装置に固有される要素も含む。更なる制限がない場合、「１つの…を含む」のような限定された要素は、前記要素を含む過程、方法、ものまたは装置には、さらに他の同じ要素の存在を制限しない。

本発明は、プログラムモジュールなどのコンピュータによって実行されるコンピュータ実行可能命令の一般的な文脈で説明することができる。一般に、プログラムモジュールには、特定のタスクを実行したり、特定の抽象データ型を実施したりするルーチン、プログラム、オブジェクト、コンポーネント、データ構造などが含まれる。本発明は、通信ネットワークを介して接続されたリモート処理装置を通じてタスクが実行される分散コンピューティング環境で実施することもできる。分散コンピューティング環境では、プログラムモジュールをストレージ装置内のローカルおよびリモートのコンピュータストレージメディアに配置できる。

本明細書の様々な実施形態は漸進的に説明されており、様々な実施形態間の同一または類似の部分は互いに言及している場合がある。各実施形態は、他の実施形態との違いを説明することに焦点を合わせている。特に、装置の実施形態については、方法の実施形態と実質的に類似しているため、簡単に説明する。関連する点については、方法の実施形態の指示の一部を参照されたい。上記の装置の実施形態は単なる例示であり、分離コンポーネントとして説明されるユニットは物理的に分離することもできないこともでき、ユニットとして表示されるコンポーネントは物理ユニットとすることもできないこともできる。１つの場所に配置するか、複数のネットワークユニットに分散することもできる。実施形態の解決策の目的は、実際の要件に従ってモジュールの一部またはすべてを選択することにより実現できる。創造的な努力を払わない場合、当業者は解決策を理解し、実施することができる。上述したことは、本発明の特定の実施形態にすぎない。当業者にとって、本発明の原理から逸脱することなくという前提の下で、複数の改良および変形をさらに行うことができることに留意されたい。これらの改善および変形も、本発明の保護範囲において考慮されるべきである。

Claims (23)

1. デジタル証明書を申請するための装置は、取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーは少なくともデータ通信キーを含むステップと、
   デジタル証明書を申請するための装置は、前記セキュリティデータチャネルを使用して前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、
   デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化されるステップと、
   デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化されるステップと、
   デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化されるステップと、
   デジタル証明書を申請するための装置は、前記デジタル証明書管理応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化されるステップと、
   デジタル証明書を発行するための装置は、前記デジタル証明書管理確認メッセージを受信して処理するステップとを備えることを特徴とするデジタル証明書を管理するための方法。
2. 前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化される場合、
   前記デジタル証明書管理検証要求メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化され、
   前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化される場合、
   前記デジタル証明書管理認証応答メッセージは、前記セキュリティデータチャネルのデータ通信キーによって暗号化されることを特徴とする請求項１に記載のデジタル証明書を管理するための方法。
3. 前記デジタル証明書を発行するための装置が、前記デジタル証明書管理要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理検証要求メッセージを送信する場合、
   前記デジタル証明書を発行するための装置は、前記デジタル証明書管理要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを復号化し、前記デジタル証明書管理要求メッセージに含まれるデータに従って処理を実行してから、デジタル証明書管理検証要求メッセージを生成し、
   前記デジタル証明書管理検証要求メッセージは証明書検証要求情報を含み、前記証明書検証要求情報は、コントラスト値および認証値暗号文を含むことを特徴とする請求項１または請求項２に記載のデジタル証明書を管理するための方法。
4. 前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が暗号化機能を実行するように構成されている場合、前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを生成する場合は、
   前記デジタル証明書を発行するための装置は、１つの認証値を生成し、前記認証値は、前記デジタル証明書を申請するための装置の公開キーによって暗号かされて、前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成されることを特徴とする請求項３に記載のデジタル証明書を管理するための方法。
5. 前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信する場合、
   前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置の秘密キーを使用して、前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、計算によって生成された前記新しいコントラスト値が受信された前記コントラスト値と一致するかどうかを判断し、一致する場合、前記デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断すると、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成し、セキュリティデータチャネルを通じて、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信することを特徴とする請求項４に記載のデジタル証明書を管理するための方法。
6. 前記デジタル証明書を発行するための装置が、前記デジタル証明書管理認証応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信する場合、
   前記デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得し、前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断し、一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成し、セキュリティデータチャネルを通じて、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信することを特徴とする請求項５に記載のデジタル証明書を管理するための方法。
7. 前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能を実行するように構成されているとき、前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを生成する場合、
   前記デジタル証明書を発行するための装置が前記デジタル証明書を申請するための装置とキーを交換した後、共有キーを生成し、前記デジタル証明書を発行するための装置は、１つの認証値を生成し、前記認証値が前記共有キーによって暗号化されて前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成されることを特徴とする請求項３に記載のデジタル証明書を管理するための方法。
8. 前記デジタル証明書を申請するための装置が、前記デジタル証明書管理検証要求メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理認証応答メッセージを送信する場合、
   前記デジタル証明書を申請するための装置は、前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置が前記デジタル証明書を発行するための装置とキーを交換して共有キーを生成し、前記共有キーを使用して前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、前記新しいコントラスト値が受信されたコントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成し、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、
   前記デジタル証明書管理認証応答メッセージは証明書認証応答情報を含むことを特徴とする請求項７に記載のデジタル証明書を管理するための方法。
9. 前記デジタル証明書を発行するための装置が、前記デジタル証明書管理認証応答メッセージを受信し、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置にデジタル証明書管理応答メッセージを送信する場合、
   前記デジタル証明書を発行するための装置は、前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得し、前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断し、一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成し、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信することを特徴とする請求項８に記載のデジタル証明書を管理するための方法。
10. 取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成するように構成されたセキュリティデータチャネル確立ユニットであって、前記セキュリティキーはデータ通信キーを含む前記セキュリティデータチャネル確立ユニットと、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信するように構成された送信ユニットであって、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される前記送信ユニットと、
    前記データ通信キーを使用して、前記証明書管理要求メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化するように構成された暗号化ユニットと、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信するように構成された受信ユニットであって、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化される前記受信ユニットと、
    受信された前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、また、受信された前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成するように構成された処理ユニットとを備えることを特徴とするデジタル証明書を申請するための装置。
11. 前記暗号化ユニットは、
    前記セキュリティデータチャネルのデータ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化することを特徴とする請求項１０に記載のデジタル証明書を申請するための装置。
12. 前記受信ユニットによって受信された前記デジタル証明書管理検証要求メッセージは証明書検証要求情報を含み、前記証明書検証要求情報は、コントラスト値および認証値暗号文を含むことを特徴とする請求項１０または請求項１１に記載のデジタル証明書を申請するための装置。
13. 前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が暗号化機能を実行するように構成されている場合、前記処理ユニットは、
    前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置の秘密キーを使用して、前記認証値暗号文を復号化して認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、計算によって生成された前記新しいコントラスト値が受信された前記コントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成し、
    前記デジタル証明書管理認証応答メッセージは証明書認証応答情報を含むことを特徴とする請求項１２に記載のデジタル証明書を申請するための装置。
14. 前記証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能を実行するように構成された場合、前記処理ユニットは、
    前記デジタル証明書管理検証要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを復号化し、前記認証値暗号文および前記コントラスト値を取得し、前記デジタル証明書を申請するための装置が前記デジタル証明書を発行するための装置とキーを交換して共有キーを生成し、前記共有キーを使用して前記認証値暗号文を復号化して前記認証値を取得し、前記認証値に対して計算を行って新しいコントラスト値を生成し、前記新しいコントラスト値が受信されたコントラスト値と一致するかどうかを判断し、一致する場合、デジタル証明書を申請するための装置による公開キーと秘密キーの所属に対する認証が可能であると判断し、前記認証値を使用して前記デジタル証明書管理認証応答メッセージを生成することを特徴とする請求項１２に記載のデジタル証明書を申請するための装置。
15. メモリと、１つまたは複数のプログラムとを備え、前記１つまたは複数のプログラムは、メモリに格納され、以下のように１つまたは複数のプロセッサによって実行される命令を含む：
    取得された認証コードを使用して、デジタル証明書を発行するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーは少なくともデータ通信キーを含み、
    デジタル証明書管理要求メッセージを生成し、
    前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを暗号化し、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置にデジタル証明書管理要求メッセージを送信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理検証要求メッセージを受信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、
    前記デジタル証明書管理検証要求メッセージを処理してデジタル証明書管理認証応答メッセージを生成し、
    前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを暗号化し、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に、前記デジタル証明書管理認証応答メッセージを送信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置によって送信されたデジタル証明書管理応答メッセージを受信し、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、
    前記デジタル証明書管理応答メッセージを処理してデジタル証明書管理確認メッセージを生成し、
    前記データ通信キーを使用して、前記デジタル証明書管理確認メッセージを暗号化し、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を発行するための装置に前記デジタル証明書管理確認メッセージを送信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化されることを特徴とするデジタル証明書の申請に用いられる装置。
16. 認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成するように構成されたセキュリティデータチャネル確立ユニットであって、前記セキュリティキーは少なくともデータ通信キーを含む前記セキュリティデータチャネル確立ユニットと、
    前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、また、前記デジタル証明書を申請するための装置が前記セキュリティデータチャネルを使用して送信したデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化される用に構成された受信ユニットと、
    受信された前記デジタル証明書管理要求メッセージを処理してデジタル証明書管理検証要求メッセージを生成し、また、受信された前記デジタル証明書管理認証応答メッセージを処理してデジタル証明書管理応答メッセージを生成し、受信された前記デジタル証明書管理確認メッセージを処理するように構成された処理ユニットと、
    前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、また、前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化するように構成された暗号化ユニットと、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、また、前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化されるように構成された送信ユニットとを備えることを特徴とするデジタル証明書を発行するための装置。
17. 前記暗号化ユニットは、
    前記セキュリティデータチャネルのデータ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化することを特徴とする請求項１６に記載のデジタル証明書を発行するための装置。
18. 前記処理ユニットは、
    前記デジタル証明書管理要求メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理要求メッセージを復号化し、前記デジタル証明書管理要求メッセージに含まれるデータに従って処理を実行してから、デジタル証明書管理検証要求メッセージを生成し、
    前記送信ユニットによって送信された前記デジタル証明書管理検証要求メッセージは証明書検証要求情報を含み、前記証明書検証要求情報は、コントラスト値および認証値暗号文を含むことを特徴とする請求項１６または請求項１７に記載のデジタル証明書を発行するための装置。
19. 前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書が暗号化機能を実行するように構成されている場合、前記処理ユニットはさらに、
    １つの認証値を生成し、前記認証値は、前記デジタル証明書を申請するための装置の公開キーによって暗号かされて、前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成されることを特徴とする請求項１８に記載のデジタル証明書を発行するための装置。
20. 前記処理ユニットはさらに、
    前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得し、前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断し、一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーがデジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成することを特徴とする請求項１９に記載のデジタル証明書を発行するための装置。
21. 前記デジタル証明書管理要求メッセージに含まれるデータ要求管理のデジタル証明書がキー交換機能を実行するように構成されている場合、前記処理ユニットは、
    前記デジタル証明書を申請するための装置とキーを交換して共有キーを生成し、１つの認証値を生成し、前記認証値が前記共有キーによって暗号化されて前記認証値暗号文が生成され、前記認証値が計算されて前記コントラスト値が生成され、前記認証値暗号文および前記コントラスト値を使用して前記デジタル証明書管理検証要求メッセージが生成されることを特徴とする請求項１８に記載のデジタル証明書を発行するための装置。
22. 前記処理ユニットはさらに、
    前記デジタル証明書管理認証応答メッセージを受信した後、まず、前記データ通信キーを使用して、前記デジタル証明書管理認証応答メッセージを復号化して、前記認証値を取得し、前記認証値が前記デジタル証明書を発行するための装置が前記デジタル証明書管理検証要求メッセージを送信する前に生成した認証値と一致するかどうかを判断し、一致する場合、前記デジタル証明書を発行するための装置は、公開キーと秘密キーが前記デジタル証明書を申請するための装置に所属すると判断し、前記デジタル証明書管理応答メッセージを生成することを特徴とする請求項２１に記載のデジタル証明書を発行するための装置。
23. メモリと、１つまたは複数のプログラムとを備え、前記１つまたは複数のプログラムは、メモリに格納され、以下のように１つまたは複数のプロセッサによって実行される命令を含む：
    認証コードを使用してデジタル証明書を申請するための装置と、セキュリティデータチャネルの確立をネゴシエートし、セキュリティキーを生成し、前記セキュリティキーはデータ通信キーを含み、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理要求メッセージを受信し、前記デジタル証明書管理要求メッセージは、前記データ通信キーによって暗号化され、
    前記デジタル証明書管理要求メッセージを処理し、デジタル証明書管理検証要求メッセージを生成し、
    前記データ通信キーを使用して、前記デジタル証明書管理検証要求メッセージを暗号化し、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理検証要求メッセージを送信し、前記デジタル証明書管理検証要求メッセージは、前記データ通信キーによって暗号化され、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理認証応答メッセージを受信し、前記デジタル証明書管理認証応答メッセージは、前記データ通信キーによって暗号化され、
    前記デジタル証明書管理認証応答メッセージを処理し、デジタル証明書管理応答メッセージを生成し、
    前記データ通信キーを使用して、前記デジタル証明書管理応答メッセージを暗号化し、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置に前記デジタル証明書管理応答メッセージを送信する、前記デジタル証明書管理応答メッセージは、前記データ通信キーによって暗号化され、
    前記セキュリティデータチャネルを使用して、前記デジタル証明書を申請するための装置によって送信されたデジタル証明書管理確認メッセージを受信し、前記デジタル証明書管理確認メッセージを処理し、前記デジタル証明書管理確認メッセージは、前記データ通信キーによって暗号化されることを特徴とするデジタル証明書の発行に用いられる装置。
    

Images