JP3696445B2

JP3696445B2 - 公開鍵証明証の発行方法並びに利用者端末及び認証センタ装置並びにこれらのプログラムを記録した媒体

Info

Publication number: JP3696445B2
Application number: JP23825999A
Authority: JP
Inventors: 直彦今枝; 宏典竹内
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1999-08-25
Filing date: 1999-08-25
Publication date: 2005-09-21
Anticipated expiration: 2019-08-25
Also published as: JP2001069137A

Description

【０００１】
【発明の属する技術分野】
本発明は、通信帯域に制限がある通信手段においても公開鍵証明証を発行可能な公開鍵証明証の発行方法並びに利用者端末及び認証センタ装置並びにこれらのプログラムを記録した媒体に関するものである。
【０００２】
【従来の技術】
認証機関（認証センタ）（ＣｅｒｔｉｆｉｃａｔｉｏｎＡｕｔｈｏｒｉｔｙ：以下、ＣＡと略す。）を利用したユーザ認証においては、認証センタより、公開鍵とその所有者の結びつきを保証され、該認証センタのディジタル署名を付与された電子証明証、いわゆる公開鍵証明証を基にユーザ認証が実施される。
【０００３】
この公開鍵証明証は、認証センタに対し、利用者から公開鍵の登録申請がなされた時点において作成・発行され、有効期限が切れるまで、または秘密鍵が危害を受けることにより無効化されるまで使用される。実際の利用者間（送信者−受信者間）においては、受信者が何らかの通信手段により認証センタが発行した公開鍵証明証を入手し、それを用いて送信者の秘密鍵により作成された署名を検証することによりユーザ認証（送信者認証）を行う。
【０００４】
この公開鍵証明証のフォーマットはＸ．５０９勧告としてＩＳＯ／ＩＥＣ，ＩＴＵ−Ｔ等の標準団体により規定されており、１９８６年のＶｅｒｓｉｏｎ１の規定以来、Ｖｅｒｓｉｏｎ２，Ｖｅｒｓｉｏｎ３と改訂され、現在は主にＶｅｒｓｉｏｎ３が使用されている。
【０００５】
【発明が解決しようとする課題】
現在、公開鍵証明証の有用性は携帯電話等の無線通信の分野においても認められ、この公開鍵証明証を用いたユーザ認証の利用が行われている。
【０００６】
しかしながら、現在、主に使用されているＸ．５０９Ｖｅｒｓｉｏｎ３の公開鍵証明証には、基本的に必須のフィールドの集合体である基本部と、ユーザ認証における各処理を円滑にさせるためのフィールドの集合体である拡張部という、２つの大要素からなっており、図１に示すように各大要素内に数多くの要素が存在している。
【０００７】
また、拡張部に関しては、使用用途により使用するフィールドを選択可能であり、どのフィールドも使用しないことが可能なものの、基本部に限っては必須フィールド（ｉｓｓｕｅｒＵｎｉｑｕｅＩｄｅｎｔｆｉｅｒ，ｓｕｂｊｅｃｔＵｎｉｑｕｅＩｄｅｎｔｆｉｅｒフィールドを除く）であり、省略することはできない。図２にＸ．５０９Ｖｅｒｓｉｏｎ３の規定に基づく公開鍵証明証の一例を示す。
【０００８】
このように、公開鍵証明証の通信データ量（サイズ）は大きなものであり、無線のような通信速度や通信容量（通信帯域）に制限がある通信手段を用いることが多い環境、例えばモバイル環境においては、認証センタ−利用者間において公開鍵証明証をそのまま通信して発行することは非効率であった。
【０００９】
本発明の目的は、通信帯域に制限がある環境においても公開鍵証明証を効率的に発行可能な公開鍵証明証の発行方法並びに利用者端末及び認証センタ装置並びにこれらのプログラムを記録した媒体を提供することにある。
【００１０】
【課題を解決するための手段】
本発明は、１）認証センタ側において利用者からの申請書に基づいて公開鍵証明証を作成・検索する際、申請書に含まれないフィールドのみを利用者側に返却し、２）利用者側において認証センタから送信された公開鍵証明証に、各自で作成し認証センタに対して申請した申請書情報を付加して公開鍵証明証を復元し、復元した公開鍵証明証の署名の正当性を確認することにより、認証センタ−利用者間での公開鍵証明証にかかる通信データ量を縮小することを最も主要な特徴とする。
【００１１】
従来の技術とは、認証センタ−利用者間において認証センタにて管理している公開鍵証明証を必要な情報のみ送信することにより、その公開鍵証明証にかかる通信量を小さくできるという点が異なる。
【００１２】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態について説明する。
【００１３】
図３は本発明の装置全体の構成を示すもので、図中、１０は利用者の端末装置（利用者端末）、２０は認証センタの装置（ＣＡ装置）であり、これらは図示しない通信手段により接続される。
【００１４】
利用者端末１０は、ＣＡ装置２０が受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段１１と、ＣＡ装置２０に申請した申請書を保持するサービス申請書保持手段１２と、ＣＡ装置２０から証明証を受信した時、サービス申請書保持手段１２により保持された申請書から、共通項目定義・設定手段１１において定義・設定されている項目を抽出するサービス申請書／証明証共通項目抽出手段１３と、サービス申請書／証明証共通項目抽出手段１３により抽出された項目に該当するフィールドを受信した証明証に付加して公開鍵証明証を復元するサービス申請書／証明証共通項目付加手段１４と、復元した公開鍵証明証の署名を検証するＣＡ署名検証手段１５とを備えている。
【００１５】
ＣＡ装置２０は、受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段２１と、利用者端末１０から受け付けた申請書に基づいて作成・検索した公開鍵証明証から、前記共通項目定義・設定手段２１において定義・設定されている項目に該当するフィールドを削除して実際に利用者端末１０に送信する公開鍵証明証を作成するサービス申請書／証明証共通項目削除手段２２とを備えている。
【００１６】
なお、利用者端末１０及びＣＡ装置２０とも、実際には上記以外の構成を備えているが、ここでは本発明に拘わる部分のみ示すものとする。
【００１７】
以下、本発明装置における動作を説明する。
【００１８】
（１）ＣＡ装置２０−利用者端末１０間においてやりとりを行う事前作業として、共通項目定義・設定手段１１及び２１を用いて、ＣＡ装置２０−利用者端末１０の両者において公開鍵登録、公開鍵証明証参照等の各種のサービスにおける申請書と公開鍵証明証とに含まれる各フィールドの共通部分をサービス毎に定義・設定する。
【００１９】
（２）利用者端末１０において、ＣＡ装置２０に対し、公開鍵登録、公開鍵証明証参照等のサービス申請を行う際、サービス申請書を作成し、それをＣＡ装置２０に対して送信することにより申請を行うが、その際、サービス申請書保持手段１２を用いて、ＣＡ装置２０に対するサービス申請書を保持しておく。
【００２０】
（３）ＣＡ装置２０において、利用者端末１０から受け取ったサービス申請書に基づいて公開鍵証明証を作成・検索した後、サービス申請書／証明証共通項目削除手段２２を用いて、共通項目定義・設定手段２１により設定されたサービス申請書と公開鍵証明証との共通項目に該当するフィールドを、前記作成・検索した公開鍵証明証から削除する。
【００２１】
（４）利用者端末１０において、ＣＡ装置２０からサービス申請書／証明証共通項目削除手段２２を用いて作成された公開鍵証明証を受け取った後、サービス申請書／証明証共通項目抽出手段１３を用いて、（２）においてサービス申請書保持手段１２を用いて保持したサービス申請書から共通項目定義・設定手段１１で設定されたサービス申請書と公開鍵証明証との共通項目に該当するフィールドを抽出する。
【００２２】
（５）サービス申請書／証明証共通項目抽出手段１３により抽出したフィールドを、サービス申請書／証明証共通項目付加手段１４を用いてＣＡ装置２０から受け取った公開鍵証明証に追加し、公開鍵証明証を復元する。
【００２３】
（６）ＣＡ署名検証手段１５を用いてサービス申請書／証明証共通項目付加手段１４により復元した公開鍵証明証のＣＡ署名を検証する。
【００２４】
本発明は、周知のＣＰＵ、メモリ、外部記憶装置等のハードウェアとともに、図４、図５のフローチャートに示される手順を備えたソフトウェア（プログラム）で実現される。ここで、図４は利用者端末を実現するプログラムを示すフローチャート、図５はＣＡ装置を実現するプログラムを示すフローチャートである。
【００２５】
以下、図４、図５を用いて本発明の実施の形態をさらに詳細に説明する。
【００２６】
（１）共通項目定義・設定処理２０１
ＣＡ装置−利用者端末間においてやりとりを行う事前作業として、ＣＡ装置及び利用者端末はＥ−ｍａｉｌアドレスの設定等の各種設定を行うが、この中でＣＡ装置−利用者端末間における公開鍵証明証のデータ量（サイズ）縮小のための設定として共通項目定義・設定手段１１及び２１が呼び出され、公開鍵登録、公開鍵証明証参照等の各種のサービスにおける申請書と公開鍵証明証とに含まれる各フィールドの共通部分をサービス毎に定義・設定する。
【００２７】
なお、この共通項目定義・設定手段１１及び２１において定義される共通項目は、ＣＡ装置側、即ち共通項目定義・設定手段２１において定義・作成されることが望ましく、インターネットのようなＰｕｂｌｉｃ世界において利用するＣＡ装置については、インタオペラビリティを考慮し、その共通項目にＸ．５０９等の各標準で規定されている公開鍵証明証の拡張要素については含めないことが望ましい。
【００２８】
公開鍵登録申請において一般に使用される申請書の規定要素として、例えば図６に示されるＰＫＣＳ＃１０があるが、これを用いた際における公開鍵登録サービスの共通項目として定義・設定される項目は、図７中にハッチングで示すように、ｖｅｒｓｉｏｎ（バージョンナンバー），ｉｓｓｕｅｒ（発行者名）、ｓｕｂｊｅｃｔ（対象者名）、ｓｕｂｊｅｃｔＰｕｂｌｉｃＫｅｙＩｎｆｏ（ＣＡにより認証される公開鍵情報）になる。
【００２９】
なお、この共通項目定義についてはＣＡ装置からテーブルの形で利用者側に配布され、利用者はそのファイルを設定することにより、共通項目定義を意識することなくこの共通項目を自端末に設定することができる。
【００３０】
この共通項目定義・設定については、既存のコンピュータ等で一般的に使用されているテーブル作成・参照技術等を使用することにより容易に実現可能である。
【００３１】
（２）申請書作成・保持処理２０２
利用者がＣＡ装置を用いて利用者間でユーザ認証を行う際、利用者（利用者）は何らかの手段により公開鍵証明証を取得し、それを用いることによりユーザ認証を行う。その際、ユーザ認証における一連の処理の中で行われる公開鍵登録、公開鍵証明証参照等においては申請書を用いてＣＡ装置に対してその各サービス申請を行うが、コンピュータにおける申請を行う一連の動作として、サービス申請書保持手段１２が呼び出され、各サービス申請時において作成したサービス申請書が利用者端末で保持される。
【００３２】
なお、サービス申請書保持手段１２の呼び出し及び各サービス申請書保持方法については、既存のコンピュータアプリケーションに組み込まれているモジュール呼び出し機能及びコンピュータに内蔵・外付けされているＨＤＤ等の機能を用いることにより実現可能である。
【００３３】
（３）公開鍵証明証サイズ縮小処理２０３
ＣＡ装置側において、利用者からの各種サービス申請書の入力３１をトリガーにして利用者の欲する公開鍵登録・公開鍵証明証参照等の各種サービス処理が実行され、公開鍵証明証が作成・検索された後、サービス申請書／証明証共通項目削除手段２２が呼び出され、共通項目定義・設定手段２１により定義・設定されたサービス申請書／証明証共通項目の入力３２と公開鍵証明証の入力３３をトリガとして、公開鍵証明証に記載されたフィールドから、サービス申請書／証明証共通項目に記載された項目に該当するフィールドを削除し、残りのフィールドにより公開鍵証明証を再構成する。
【００３４】
（１）の例を用いるならば、ｖｅｒｓｉｏｎ，ｉｓｓｕｅｒ，ｓｕｂｊｅｃｔ，ｓｕｂｊｅｃｔＰｕｂｌｉｃＫｅｙＩｎｆｏが削除され、特に公開鍵証明証サイズを大きくさせる原因であった公開鍵の実体が格納されるｓｕｂｊｅｃｔＰｕｂｌｉｃＫｅｙＩｎｆｏが削除されることにより、他の要素、即ちｖｅｒｓｉｏｎ，ｉｓｓｕｅｒ，ｓｕｂｊｅｃｔを加えると、１，２個の拡張要素（一般的に世の中のＣＡにおいて使用されている拡張要素使用数。拡張要素未使用ＣＡも存在する。）を使用していたとしてもその公開鍵証明証のサイズは約半分以下になる。
【００３５】
なお、本処理において非常に注意しなければならないことは、作成・検索した公開鍵証明証からサービス申請書／証明証共通項目を削除した後の公開鍵証明証を再構成する際、その公開鍵証明証につけるＣＡ署名は必ず公開鍵証明証を作成・検索した際に署名したＣＡ署名を利用しなければならないことである。もし、ここで新規に証明証を振り直したのならば、利用者からの申請をもとに作成・検索した公開鍵証明証は全く意味をなさないものになり、かつ本発明の能力を発揮することはできなくなる。
【００３６】
この公開鍵証明証サイズ縮小処理において用いられる各種サービス処理及び公開鍵証明証からサービス申請書／証明証共通項目を削除する処理については、既存コンピュータに組み込まれている参照機能及びＣＡ装置において一般的に用いられているＤｅｌｅｔｅ機能を用いて実現可能である。
【００３７】
（４）公開鍵証明証復元処理２０４
利用者端末において、ＣＡ装置から公開鍵証明証サイズ縮小処理２０３により作成された公開鍵証明証を受け取った際、サービス申請書／証明証共通項目抽出手段１３が呼び出され、サービス申請書保持手段１２により保持された、利用者がＣＡ装置に対して申請したサービス申請書群の中よりＣＡ装置から受け取った公開鍵証明証に対応するサービス申請書が引き出される（３４）とともに、共通項目定義・設定手段１１により定義・設定されたサービス申請書／証明証共通項目が入力され（３５）、このサービス申請書に記載されたフィールドからサービス申請書／証明証共通項目に該当するフィールドが抽出された後、サービス申請書／証明証共通項目付加手段１４が呼び出され、ＣＡ装置から受け取った（３６）公開鍵証明証（公開鍵証明証サイズ縮小処理によりサービス申請書／証明証共通項目が削除された公開鍵証明証）に対してサービス申請書／証明証共通項目抽出手段１３により抽出したフィールドが追加される（（１）の例を用いるならば、ｖｅｒｓｉｏｎ，ｉｓｓｕｅｒ，ｓｕｂｊｅｃｔ，ｓｕｂｊｅｃｔＰｕｂｌｉｃＫｅｙＩｎｆｏが追加される。）。
【００３８】
その後、ＣＡ署名検証手段１５が呼び出され、復元した公開鍵証明証のＣＡ署名の正当性を署名検証により確認することによって、ＣＡ装置において利用者からの申請をもとに作成・検索した公開鍵証明証と全く同じものが作成される。
【００３９】
この公開鍵証明証復元処理において用いられるＣＡ装置から受け取った公開鍵証明証に対応するサービス申請書を検索する処理及びサービス申請書に記載されたフィールドからサービス申請書／証明証共通項目に該当するフィールドを抽出する処理、抽出したフィールドを追加する処理、復元した公開鍵証明証のＣＡ署名検証処理は、既存のコンピュータが一般に所持している検索アルゴリズム及び追加アルゴリズム等を用いることにより達成可能である。
【００４０】
【発明の効果】
以上説明したように、本発明によれば、１）認証センタ側において利用者からの申請書に基づいて公開鍵証明証を作成・検索する際、申請書に含まれないフィールドのみを利用者側に返却し、２）利用者側において認証センタから送信された公開鍵証明証に、各自で作成し認証センタに対して申請した申請書情報を付加して公開鍵証明証を復元し、復元した公開鍵証明証の署名の正当性を確認することにより、認証センタにおいて利用者からの申請書に基づいて作成・検索された公開鍵証明証と全く同じものが作成され、これにより認証センタ−利用者間において必要最小限の公開鍵証明証フィールドを送信することが可能になり、その結果として、認証センタ−利用者間での公開鍵証明証にかかる通信データ量を縮小することが可能になり、通信帯域に制限がある環境においても公開鍵証明証を効率的に発行可能となる。
【図面の簡単な説明】
【図１】Ｘ．５０９Ｖｅｒｓｉｏｎ３に規定された公開鍵証明証の要素を示す図
【図２】Ｘ．５０９Ｖｅｒｓｉｏｎ３の規定に基づく公開鍵証明証の一例を示す図
【図３】本発明の装置全体を示す構成図
【図４】本発明の利用者の端末装置を実現するプログラムを示すフローチャート
【図５】本発明の認証センタを実現するプログラムを示すフローチャート
【図６】公開鍵登録申請書（ＰＫＣＳ＃１０）の規定要素を示す図
【図７】Ｘ．５０９Ｖｅｒｓｉｏｎ３の規定に基づく公開鍵証明証における省略可能な共通項目の一例を示す図
【符号の説明】
１０：利用者端末、１１，２１：共通項目定義・設定手段、１２：サービス申請書保持手段、１３：サービス申請書／証明証共通項目抽出手段、１４：サービス申請書／証明証共通項目付加手段、１５：ＣＡ署名検証手段、２０：ＣＡ装置、２２：サービス申請書／証明証共通項目削除手段、２０１：共通項目定義・設定処理、２０２：サービス申請書作成・保持処理、２０３：公開鍵証明証サイズ縮小処理、２０４：公開鍵証明証復元処理。

Claims

申請書をもって公開鍵の登録・証明証参照等のサービスを申請した利用者端末に対し、認証センタ装置が署名を施した公開鍵証明証を発行する公開鍵証明証の発行方法において、
共通項目定義・設定手段、サービス申請書保持手段、サービス申請書／証明証共通項目抽出手段、サービス申請書／証明証共通項目付加手段及び署名検証手段を備えた利用者端末と、共通項目定義・設定手段及びサービス申請書／証明証共通項目削除手段を備えた認証センタ装置とを用い、
認証センタ装置が受け付けるサービス毎の申請書と証明証との共通項目を予め認証センタ装置の共通項目定義・設定手段−利用者端末の共通項目定義・設定手段間で定義・設定しておき、
利用者端末側でのサービス申請時には、利用者端末のサービス申請書保持手段に申請書を保持させておき、
認証センタ装置側でのサービス実行時には、利用者端末側から受け付けた申請書に基づいて作成・検索した公開鍵証明証から、認証センタ装置のサービス申請書／証明証共通項目削除手段により、前記定義・設定した項目に該当するフィールドを削除して実際に利用者端末側に送信する公開鍵証明証を作成し、
利用者端末側での証明証受信時には、利用者端末のサービス申請書／証明証共通項目抽出手段により、前記保持した申請書から前記定義・設定した申請書と証明証との共通項目を抽出し、
利用者端末のサービス申請書／証明証共通項目付加手段により、該抽出した項目に該当するフィールドを、受信した公開鍵証明証に付加することにより公開鍵証明証を復元し、
利用者端末の署名検証手段により、復元した公開鍵証明証の署名を検証して公開鍵証明証の正当性を確認する
ことを特徴とする公開鍵証明証の発行方法。
申請書をもって公開鍵の登録・証明証参照等のサービスを認証センタ装置に申請する利用者端末であって、
認証センタ装置が受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段と、
認証センタ装置に申請した申請書を保持するサービス申請書保持手段と、
認証センタ装置から証明証を受信した時、サービス申請書保持手段により保持された申請書から、共通項目定義・設定手段において定義・設定されている項目を抽出するサービス申請書／証明証共通項目抽出手段と、
サービス申請書／証明証共通項目抽出手段により抽出された項目に該当するフィールドを、受信した証明証に付加して公開鍵証明証を復元するサービス申請書／証明証共通項目付加手段と、
復元した公開鍵証明証の署名を検証する署名検証手段とを備えた
ことを特徴とする利用者端末。
申請書をもって公開鍵の登録・証明証参照等のサービスを申請した利用者端末に対し、署名を施した公開鍵証明証を発行する認証センタ装置であって、
受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段と、
利用者端末から受け付けた申請書に基づいて作成・検索した公開鍵証明証から、前記共通項目定義・設定手段において定義・設定されている項目に該当するフィールドを削除して実際に利用者端末に送信する公開鍵証明証を作成するサービス申請書／証明証共通項目削除手段とを備えた
ことを特徴とする認証センタ装置。
申請書をもって公開鍵の登録・証明証参照等のサービスを認証センタ装置に申請する利用者端末のプログラムを記録した媒体において、
前記プログラムはコンピュータに読み取られた際、このコンピュータを、
認証センタ装置が受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段と、
認証センタ装置に申請した申請書を保持するサービス申請書保持手段と、
認証センタ装置から証明証を受信した時、サービス申請書保持手段により保持された申請書から、共通項目定義・設定手段において定義・設定されている項目を抽出するサービス申請書／証明証共通項目抽出手段と、
サービス申請書／証明証共通項目抽出手段により抽出された項目に該当するフィールドを、受信した証明証に付加して公開鍵証明証を復元するサービス申請書／証明証共通項目付加手段と、
復元した公開鍵証明証の署名を検証する署名検証手段として機能させる
プログラムを記録したことを特徴とする媒体。
申請書をもって公開鍵の登録・証明証参照等のサービスを申請した利用者端末に対し、署名を施した公開鍵証明証を発行する認証センタ装置のプログラムを記録した媒体において、
前記プログラムはコンピュータに読み取られた際、このコンピュータを、
受け付けるサービス毎の申請書と証明証との共通項目を定義・設定する共通項目定義・設定手段と、
利用者端末から受け付けた申請書に基づいて作成・検索した公開鍵証明証から、前記共通項目定義・設定手段において定義・設定されている項目に該当するフィールドを削除して実際に利用者端末に送信する公開鍵証明証を作成するサービス申請書／証明証共通項目削除手段として機能させる
プログラムを記録したことを特徴とする媒体。