JP4295391B2

JP4295391B2 - アクセス制御方法及び装置

Info

Publication number: JP4295391B2
Application number: JP15462399A
Authority: JP
Inventors: 円光岡; 博靖菅野; 浩司大谷
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 1999-06-02
Filing date: 1999-06-02
Publication date: 2009-07-15
Anticipated expiration: 2019-06-02
Also published as: JP2000348092A

Description

【０００１】
【発明の属する技術分野】
本発明は、ユーザが、商品やサービス（以下、商品という）の販売者に通信を介して商品の購入を申し込み、販売者と異なる商品の提供者から商品を受け取る場合、提供者がユーザ資源へアクセスするのを制御する技術に関する。
【０００２】
本発明において、通信を介して商品を販売するとは、インターネットや電話、郵便、ファックスなどの通信手段を介し、ユーザに商品やサービスを販売するシステムを言う。
【０００３】
販売者とは、通信を介してユーザに商品を販売する主体を言う。
【０００４】
提供者とは、前記通信を介して販売される商品を、実際にユーザに提供する主体を言う。具体的には、ユーザへの商品の配達、ユーザ宅におけるサービスの実行などを行う主体である。
【０００５】
ユーザ資源とは、ユーザのスケジュール情報、ユーザ宅に設けられた宅配ボックス、ユーザのガレージ、ユーザ宅そのものなどを言う。
【０００６】
【従来の技術】
今日、ユーザが電話やインターネット等の通信手段を介して商品を購入する通信販売が普及している。商品には、ディジタル情報からなる商品と、物理的実体を有する商品とがある。後者の商品を販売する場合、商品購入の申し込みを受け付ける販売者は、商品の提供者に商品の提供を依頼することが多い。例えば、郵便局や宅配業者に商品の配達を依頼することが挙げられる。また、清掃業者にユーザ宅への清掃サービスの提供を依頼することが挙げられる。
【０００７】
しかし、提供者が商品を提供しようとするときに、ユーザが不在である場合が多々ある。その場合、提供者は例えば何度もユーザ宅に訪れなければならない。また、ユーザ側としては、忙しいときに提供者が来ると不都合である。不在中に商品の配達があった場合などには、提供者に再度来てもらうための手続が必要となる。場合によっては、商品を受け取るために余計な手間と時間とがかかってしまうこともある。
【０００８】
そこで、できる限りユーザが在宅中に商品を配達できるようにするために、種々の提案がなされている。例えば、特開平１０−１６２０６５号公報は、受取人であるユーザのスケジュール情報を配達業者が参照し、配達予定日時を決定する技術を開示している。また、配達ボックスを設置し、ユーザが不在の時でも認証を行うことでユーザ及び許可された特定の提供者のみがボックスを開けることを可能にする技術が提供されている。例えば、特開平９−３３０４５８号公報は、ＩＣカード等を用い、配達業者の認証を行う技術を開示している。
【０００９】
【発明が解決しようとする課題】
前記特開平１０−１６２０６５号公報に記載のユーザのスケジュール情報を公開する技術は、提供者にスケジュール情報を見る権利をどのように与えるかが問題となる。なぜなら、ユーザが商品を申し込む時に接触する商品の販売者と、商品を提供する提供者とは、異なる組織であることが多い。しかも、提供者は、通常、ユーザではなく販売者が選択する。
【００１０】
例えば、ユーザが、パスワードを教えることでスケジュール情報を見る権利を販売者に与えるとする。そのパスワードを販売者が提供者に渡せば、提供者はスケジュール情報に対するアクセスを行うことが出来る。しかし、スケジュール情報にアクセスする必要があるのは、ユーザに直接商品を届ける提供者のみである。パスワードを販売者に渡してしまうと、重要なプライバシー情報であるユーザスケジュール情報に対するアクセスの権利を、必要のない販売者にまで与えることになってしまい、プライバシー侵害の危険性を高めることになる。
【００１１】
また、販売者内や提供者内で不正が行われ、スケジュール情報にアクセスする権利が流出してしまうことも考えられる。さらに、ユーザが商品を取得した後も権利が存続すると、提供者に見せる必要の無いユーザのプライバシー情報に提供者がアクセスすることが可能になってしまう。
【００１２】
このような問題は、他のユーザ資源、例えば配達ボックスへのアクセスにおいても同様である。また、例えば修理業者が故障車を引き取りに来るサービスを購入し、修理業者にガレージを開ける権利を与える場合にも同様な問題が生じる。さらに、在宅時に商品を受け取る場合でも、ドアの向こうの提供者が正当な権利を持つことを知りたいというニーズがある。正当な権利を証明する手段が無い場合は、ユーザはドアを開けることを拒否することにより、不振人物が住居に侵入するなどの犯罪を防止可能である。前もっての予約に基づいて、住居に訪問して行うサービスにおいて同様である。
【００１３】
本発明は、ユーザが商品やサービスの購入を申し込む販売者と、商品をユーザに直接提供する提供者とが異なる場合に、ユーザが接触した正当な販売者から依頼を受けた正当な提供者のみに対し、必要なユーザ資源のみへのアクセスを許可することを目的とする。
【００１４】
【課題を解決するための手段】
前記課題を解決するために、本願第１発明は、通信を介して商品またはサービス（以下、単に商品という）を販売する販売者の販売者端末からの依頼を受け、前記商品をユーザに提供する提供者の提供者端末がユーザ資源にアクセスする場合に用いられ、
前記ユーザが操作するユーザ端末は、前記ユーザの公開鍵系秘密鍵（Ｘｃ）を第１の記憶手段に記憶しており、前記ユーザから前記販売者への前記商品の申し込みに応じ、前記申し込みを識別する申込識別情報（Ｉ）と、前記販売者の公開鍵系公開鍵(Ｋｒ）と、前記記憶しているユーザの公開鍵系秘密鍵（Ｘｃ）と、を用いてユーザの電子署名を演算し、前記ユーザの電子署名を含む申込証情報を前記販売者端末に送信し、
前記販売者端末は、前記販売者の公開鍵系秘密鍵（Ｘｒ）を第２の記憶手段に記憶しており、前記申込証情報を前記ユーザ端末から受信し、前記申込識別情報（Ｉ）と前記提供者の公開鍵系公開鍵（Ｋｐ）と前記記憶している販売者の公開鍵系秘密鍵（Ｘｒ）とを用いて販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））を演算し、前記申込証情報に含まれる前記ユーザの電子署名に加え、前記販売者の電子署名をさらに含む資格証情報を前記提供者端末に送信し、
アクセス制御装置は、前記資格証情報を前記提供者端末から受信し、前記資格証情報に基づいて前記販売者及び前記提供者が正当か否かの判断を行い、前記判断結果に基づいて前記アクセス要求を許可するか否かを決定し、
前記アクセス要求を許可するか否かの判断は、
前記ユーザの公開鍵系公開鍵Ｋｃを第３の記憶手段に記憶しておき、
前記申込識別情報（Ｉ）及び前記販売者の公開鍵系公開鍵（Ｋｒ）に基づいて第１メッセージダイジェストを演算し、前記第３の記憶手段に記憶されているユーザの公開鍵Ｋｃを用いて前記ユーザの電子署名Ｘｃを復号化して第２メッセージダイジェストを得、前記第１メッセージダイジェストおよび第２メッセージダイジェストを比較することにより前記販売者が正当か否かを判断し、
前記申込識別情報（Ｉ）及び前記提供者の公開鍵系公開鍵（Ｋｐ）に基づいて第３メッセージダイジェストを演算し、販売者の公開鍵Ｋｒを用いて前記販売者の電子署名Ｘｒを復号化して第４メッセージダイジェストを得、前記第３メッセージダイジェストおよび第４メッセージダイジェストを比較することにより前記提供者が正当か否かを判断するアクセス制御方法を提供する。
【００１５】
ユーザ資源にアクセスとは、ウェブページ上で公開されているユーザのスケジュールを閲覧したり、ユーザの宅配便ボックスを開けたり、ユーザ宅への訪問などを言う。正当な販売者とは、ある商品の購入先としてユーザが選択した販売者である。正当な提供者とは、正当な販売者からユーザに商品を提供することを依頼されている提供者である。例えば、ユーザがある商品の購入をインターネット上で依頼した場合を考える。その商品の販売者から依頼を受けた宅配業者は、ユーザが在宅しているタイミングで商品を配達したい。この場合、正当な宅配業者のみが、ウェブページに公開されているユーザスケジュールにアクセスを許可される。
【００１６】
本願第２発明は、前記ユーザの公開鍵系秘密鍵（Ｘｃ）を第１の記憶手段に記憶しており、商品及び前記商品の販売者を指定する情報を含む申込識別情報(Ｉ)と、前記販売者の公開鍵系公開鍵(Ｋｒ）と、前記記憶しているユーザの公開鍵系秘密鍵（Ｘｃ）と、を用いてユーザの電子署名を演算し、前記ユーザの電子署名を含む申込証情報を送信する第１コンピュータ端末と、
前記販売者の公開鍵系秘密鍵（Ｘｒ）を第２の記憶手段に記憶しており、前記申込証情報を前記第１コンピュータ端末から受信し、前記申込識別情報（Ｉ）と前記提供者の公開鍵系公開鍵（Ｋｐ）と前記記憶している販売者の公開鍵系秘密鍵（Ｘｒ）とを用いて販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））を演算し、前記申込証情報に含まれる前記ユーザの電子署名に加え、前記販売者の電子署名をさらに含む資格証情報を送信する第２コンピュータ端末と、
前記資格証情報を前記第２コンピュータ端末から受信し、前記資格証情報に基づくユーザ資源へのアクセス要求を出力する第３コンピュータ端末と、
前記アクセス要求を前記第３コンピュータ端末から取得し、前記資格証情報に基づいて前記販売者及び前記提供者が正当か否かの判断を行い、前記判断結果に基づいて前記アクセス要求を許可するか否かを決定するアクセス制御手段と、を備え、
前記アクセス制御手段は、
前記ユーザの公開鍵系公開鍵Ｋｃを第３の記憶手段に記憶しておき、
前記申込識別情報（Ｉ）及び前記販売者の公開鍵系公開鍵（Ｋｒ）に基づいて第１メッセージダイジェストを演算し、前記第３の記憶手段に記憶されているユーザの公開鍵Ｋｃを用いて前記ユーザの電子署名Ｘｃを復号化して第２メッセージダイジェストを得、前記第１メッセージダイジェストおよび第２メッセージダイジェストを比較することにより前記販売者が正当か否かを判断し、
前記申込識別情報（Ｉ）及び前記提供者の公開鍵系公開鍵（Ｋｐ）に基づいて第３メッセージダイジェストを演算し、販売者の公開鍵Ｋｒを用いて前記販売者の電子署名Ｘｒを復号化して第４メッセージダイジェストを得、前記第３メッセージダイジェストおよび第４メッセージダイジェストを比較することにより前記提供者が正当か否かを判断し、
アクセス制御システムを提供する。
【００１７】
第１コンピュータ端末は、例えばユーザのPC（パーソナルコンピュータ）などに設けられる。第２コンピュータ端末は、例えばインターネット上で商品やサービスを販売する販売者の情報端末に設けられる。第３コンピュータ端末は、インターネット上で販売される商品を実際にユーザに配達したり、実際にサービスを提供する提供者の情報端末やＩＣカードに設けられる。第３コンピュータ端末とアクセス制御手段との間では、申込証を不正に入手した第３者が、ユーザ資源へ不正にアクセスするのを防止するために認証を行っても良い。このアクセス制御システムを用いれば、例えば、インターネット上で販売される商品を商品の販売者から依頼を受けて宅配する宅配業者が、ユーザスケジュールを参照することにより、ユーザが在宅中に配達可能になる。
【００１８】
本願第３発明は、前記第２発明において、前記アクセス制御手段が、前記申込識別情報（Ｉ）を記憶手段に記憶するアクセス制御システムを提供する。前記アクセス制御手段は、さらに、商品の申し込みが取り消されたことを示す取消通知または商品の提供が完了したことを示す完了通知を前記第１コンピュータ端末または外部から受信し、前記取消通知または完了通知を受信した場合あるいは前記販売者及び提供者が正当であると判断した場合に前記記憶手段に記憶されている前記申込識別情報（Ｉ）を無効化し、前記無効化された申込識別情報（Ｉ）を含む資格証情報に基づくアクセス要求を受信した場合、そのアクセス要求を拒否する。
【００１９】
例えば、注文した商品を受け取ったユーザは、商品を受け取ったことを申込手段によりアクセス制御手段に通知する。この通知には、申込識別情報が含まれる。例えばアクセス制御手段は、この通知を受けて、申込識別情報が無効であるフラグをたてる。アクセス制御手段は、すでに無効となった申込識別情報が記述された資格証に基づいたアクセス要求があった場合、フラグに基づいてアクセス要求を拒否する。従って、同じ資格証を何回も流用することが防止される。
【００２０】
本願第４発明は、前記第２発明において、前記第１コンピュータ端末が、前記申込識別情報（Ｉ）の有効期間の指定を受け付け、前記有効期間をさらに含む前記申込証情報を送信するアクセス制御システムを提供する。また前記アクセス制御手段は、前記申込識別情報（Ｉ）を記憶手段に記憶し、前記有効期間を経過した申込識別情報（Ｉ）を含む資格証情報に基づくアクセス要求を受信した場合、そのアクセス要求を拒否する。
【００２１】
申込識別情報の有効期間を設けることにより、有効期間を過ぎたアクセスを無効とすることができる。前記第３発明と組み合わせれば、有効期間を過ぎた申込識別情報については記憶する必要がなくなり、アクセス制御手段の資源を有効に活用することができる。
【００２２】
本願第５発明は、前記第２発明において、前記第３コンピュータ端末が、前記販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））及び提供者の公開鍵（Ｋｐ）に加え、所定の認証局から発行される前記提供者の公開鍵（Ｋｐ）についての電子署名をさらに送信するアクセス制御システムを提供する。このシステムにおいては、前記アクセス制御手段は、前記提供者の公開鍵（Ｋｐ）についての前記認証局の電子署名に基づいて前記提供者の公開鍵（Ｋｐ）の正当性をさらに検証し、検証結果に従って前記提供者の認証を行う。
【００２３】
認証局からの証明書により、公開鍵の正当性を検証する。
【００２４】
【発明の実施の形態】
次に、本発明のアクセス制御システムについて、図面を参照しながら具体的に説明する。
【００２５】
＜第１実施形態例＞

［構成］
図１は、本発明の第１実施形態例に係るアクセス制御システムの全体構成を示す。本実施形態例のアクセス制御システムは、ユーザ端末Ｃ、販売者端末Ｒ、提供者端末Ｐ及びアクセス制御装置Ａを含んで構成されている。以下において説明を容易にするために、ユーザのスケジュールがウェブページ上で公開されているとする。ユーザから商品の申し込みを受けた販売者は、特定の提供者に商品の提供を依頼する。提供者は、ウェブページ上のユーザスケジュールにアクセスする。ユーザは、提供者に与えるアクセス権を商品の申込とともに設定する。なお、本実施形態例においては、ユーザ、販売者及び提供者の公開鍵系秘密鍵Ｘ及び公開鍵Ｋを用いる。
【００２６】
（１）ユーザ端末Ｃ
ユーザ端末Ｃは、申込部１１、生成部１２、署名部１３及び指定部１４を有している。また、ユーザ端末Ｃは、ユーザの秘密鍵Ｘｃ及び公開鍵Ｋｃを、図示しない記憶部に記憶している。
【００２７】
申込部１１は、商品、販売者及びユーザスケジュールへのアクセス権の有効期間Ｔの選択を受け付ける。申込部１１は、選択を受け付けると、販売者端末Ｒに販売者の公開鍵Ｋｒを要求し、取得した公開鍵Ｋｒを署名部１３に送出する。また、申込部１１は、商品を特定する情報を生成部１２に送出する。例えば、各販売者が自己の商品を特定するために商品に付する商品番号である。さらに、申込部１１は、ユーザ、商品、有効期間Ｔ及び販売者を特定する所定情報を署名部１３から受け取り、販売者端末Ｒに送信する。
【００２８】
生成部１２は、申込部１１から商品番号を受け取り、所定の識別情報Ｉを生成する。ここで、識別情報Ｉは、ユーザ、商品及び商品の申し込み毎に定められる識別情報である。具体的には、識別情報Ｉは、ユーザ名、商品番号、申込日時及び取引番号を含んでいる。ここで、商品番号は、販売者が商品を特定するために商品に付している識別情報である。また、取引番号は、ユーザ自身が行った取引を特定するために付する識別番号であり、典型的には通し番号である。生成された識別情報Ｉは、申込部１１及び署名部１３に送出される。
【００２９】
署名部１３は、識別情報Ｉ、有効期間Ｔ及び販売者の公開鍵Ｋｒに対し、ユーザの秘密鍵Ｘｃによる電子署名を生成する。そして、電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）を、（Ｉ，Ｔ，Ｋｒ）とともに申込部１１に送出する（以下、単に電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）を送出するという）。ユーザの電子署名は、申込部１１から販売者端末Ｒに送信される。
【００３０】
指定部１４は、アクセス権を無効化する指示を受け付け、アクセス制御装置Ａに送信する。具体的には、指定部１４は、識別情報Ｉの指定を受け付け、指定された識別情報Ｉの無効化通知をアクセス制御装置Ａに送信する。
【００３１】
（２）販売者端末Ｒ
販売者端末Ｒは、受付部２１，署名部２２及び送受信部２３を有している。また、販売者端末Ｒは、販売者の秘密鍵Ｘｒ及び公開鍵Ｋｒを、図示しない記憶部に記憶している。
【００３２】
受付部２１は、ユーザ端末Ｃからの要求に応じ、公開鍵Ｋｒをユーザ端末Ｃに送信する。また、受付部２１は、ユーザ端末Ｃから送信されるユーザの電子署名を受け取り、署名部２１に送出する。
【００３３】
署名部２２は、受付部２１からユーザの電子署名が通知されると、送受信部２３に対して提供者の公開鍵Ｋｐを要求する。署名部２２は、要求に応じて送出される公開鍵Ｋｐを受け取ると、販売者の秘密鍵Ｘｒを用い、販売者の電子署名Ｘｒ（Ｉ，Ｋｐ）を生成する。さらに、署名部２２は、前記ユーザの電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）と販売者の電子署名Ｘｒ（Ｉ，Ｋｐ）とを、送受信部２３に送出する。
【００３４】
送受信部２３は、署名部２２からの指示に従い、提供者端末Ｐに提供者の公開鍵Ｋｐを要求し、署名部２２に送出する。また、送受信部２３は、前記ユーザの電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）及び販売者の電子署名Ｘｒ（Ｉ，Ｋｐ）を、提供者端末Ｐに送信する。
【００３５】
（３）提供者端末Ｐ
提供者端末Ｐは、受付部３１、認証部３２及び第２送受信部３３を有している。また、提供者端末Ｐは、提供者の秘密鍵Ｘｐ、公開鍵Ｋｐ及び公開鍵Ｋｐに対する所定の認証局の電子署名Ｘ_CA（Ｋｐ）を、図示しない記憶部に記憶している。
【００３６】
受付部３１は、販売者端末Ｒとの間でデータの送受信を行う。具体的には、受付部３１は、販売者端末Ｒからユーザの電子署名及び販売者の電子署名を受信し、第２送受信部３３に送出する。また受付部３１は、ユーザの電子署名及び販売者の電子署名を受け取ると、認証部３２に対し認証手続きを指示する。
【００３７】
認証部３２は、受付部３１からの指示に従い、アクセス制御装置Ａに対し所定の認証要求を行う。また、認証部３２は、要求に応じて送られて来る任意の値Ｙを提供者の秘密鍵Ｘｐで暗号化し、提供者の電子署名Ｘｐ（Ｙ）を生成する。そして、認証部３２は、提供者の公開鍵Ｋｐ、Ｋｐに対する認証局の電子署名Ｘ_CA（Ｋｐ）及び提供者の電子署名Ｘｐ（Ｙ）をアクセス制御装置に送信する。
【００３８】
第２送受信部３３は、アクセス制御装置Ａとの間でデータの送受信を行う。具体的には、第２送受信部３３は、アクセス制御装置Ａからの認証結果の通知に従い、アクセス要求をアクセス制御装置Ａに送信する。このアクセス要求には、ユーザの電子署名及び販売者の電子署名が含まれている。
【００３９】
（４）アクセス制御装置Ａ
アクセス制御装置Ａは、本実施形態例においては、ユーザスケジュールが蓄積されるウェブサーバに設けられている。ウェブサーバは、ユーザスケジュールが蓄積されているスケジュールＤＢと、スケジュールＤＢから要求対象のユーザスケジュールを読み出し提供者端末Ｐに送信する処理部とを有している。
【００４０】
アクセス制御装置Ａは、受付部４１、検証部４２，記憶部４３及び無効化部４４を有している。受付部４１は、提供者端末Ｐとの間でデータの送受信を行う。また、受付部４１は、ユーザ端末Ｃからの無効化通知を受け付け、無効化部４４に送出する。
【００４１】
検証部４２は、提供者端末Ｐからのデータに基づいて、認証要求及びアクセス要求を認証するか否かを判断する。具体的には、検証部４２は、提供者端末Ｐから認証要求があった場合、受付部４１に対し、任意の値Ｘを提供者端末Ｐへ送出することを指示する。また、検証部４２は、提供者の公開鍵Ｋｐ、認証局の電子署名Ｘ_CA（Ｋｐ）及び提供者の電子署名Ｘｐ（Ｘ）に基づいて、提供者の公開鍵Ｋｐが正当か否かを判断する。検証部４２は、提供者端末Ｐに対し、判断した結果を通知する。
【００４２】
また、検証部４２は、提供者端末Ｐからアクセス要求があった場合、ユーザの電子署名、販売者の電子署名、有効期間Ｔ及び後述するフラグに基づいて、販売者及び提供者が正当か否かを判断する。両者が正当である場合、検証部４２は、アクセス対象及びアクセス元を前記処理部に通知し、識別情報Ｉと有効期間Ｔとを記憶部４３に格納する。さらに、検証部４２は、販売者及び提供者が正当と判断した場合、識別情報Ｉの無効を示すフラグを識別情報Ｉと対応付けて記憶部４３に格納しても良い。
【００４３】
記憶部４３は、識別情報Ｉと有効期間Ｔとを対応付けて格納する。また、記憶部４３には、予め何らかの方法でユーザの公開鍵Ｋｃが蓄積されている。公開鍵Ｋｃをアクセス制御装置Ａに送付する方法は、通常用いられる方法を用いればよく、特に限定されない。また、ユーザ端末Ｃとアクセス制御装置Ａとが共に同一のユーザにより管理されている場合、ユーザの公開鍵系公開鍵Ｋｃに代えて、共通鍵を用いることもできる。
【００４４】
無効化部４４は、無効化通知をユーザ端末Ｃから受け取ると、識別情報Ｉの無効を示すフラグを、無効化通知により指定された識別情報Ｉと対応付けて記憶部４３に格納する。
【００４５】
［処理の流れ］
次に、本実施形態例におけるアクセス制御処理の流れを具体的に説明する。図２は、本実施形態例におけるアクセス制御処理の流れを示す説明図である。
【００４６】
まず、ユーザ端末Ｃが、商品、販売者及びアクセス権の有効期間Ｔの選択を受け付け、公開鍵を要求する（♯１）。要求を受信した販売者は、自身の公開鍵Ｋｒをユーザ端末Ｃに送信する（♯２、３）。ユーザ端末Ｃの生成部１２は、ユーザ名、選択した商品番号、申込日時及び取引番号に基づいて、識別情報Ｉを生成する（＃４、５）。次いで、ユーザ端末Ｃは、識別情報Ｉ、有効期間Ｔ、販売者の公開鍵Ｋｒ及びユーザの電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）を販売者端末Ｒに送信する（♯６）。
【００４７】
前記ユーザの電子署名を受け取った販売者端末Ｒは、送受信部２３により提供者端末Ｐに対し商品の提供を依頼する（♯７、８）。依頼を受け取った提供者端末Ｐは、提供者の公開鍵Ｋｐを販売者端末Ｒに送信する（♯９、１０）。なお、販売者端末Ｒは、予め提供者の公開鍵Ｋｐを取得しておけば、ユーザからの申込毎に提供者の公開鍵Ｋｐを取得する必要はない。販売者端末Ｒは、提供者の公開鍵Ｋｐと識別情報Ｉとに対する販売者の電子署名を生成する。そして、販売者端末Ｒは、ユーザの電子署名及び販売者の電子署名を、提供者端末Ｐに送信する（♯１１、１２）。
【００４８】
ユーザの電子署名及び販売者の電子署名を受け取った提供者端末Ｐは、アクセス制御装置Ａに対し、認証要求を行う（♯１３、１４）。提供者端末Ｐから認証要求を受け取ったアクセス制御装置Ａは、任意の値Ｙを提供者端末Ｐに送信する（♯１５、１６）。提供者端末Ｐは、提供者の公開鍵Ｋｐ及び値Ｙに対する提供者の電子署名Ｘｐ（Ｙ）及び公開鍵Ｋｐに対する認証局の電子署名Ｘ_CA（Ｋｐ）をアクセス制御装置Ａに送信する（♯１７、１８）。アクセス制御装置Ａは、受信した情報に基づいて、提供者の公開鍵Ｋｐが真正な公開鍵であるか否かを判断する。真正な公開鍵と判断すると、判断結果を提供者端末Ｐに通知する（♯１９、２０、２１）。提供者の公開鍵Ｋｐが真正でないと判断すると、判断結果を提供者端末Ｐに通知する（＃２７）。
【００４９】
判断結果を受け取った提供者端末Ｐは、ユーザの電子署名及び販売者の電子署名をアクセス制御装置Ａに送信する（♯２２、２３）。電子署名を受け取ったアクセス制御装置Ａは、受け取った電子署名及び予め記憶しているユーザの公開鍵Ｋｃに基づいて、ユーザスケジュールへのアクセスを許可するか否かを判断する。具体的には、まず、検証部４２が有効期間Ｔ及びフラグに基づいて、識別情報Ｉが有効か否かを判断する。検証部４２は、有効期間Ｔを過ぎているか、識別情報Ｉの無効を示すフラグが記憶されていれば、アクセス要求を認証しないと判断する。そして、判断結果を提供者端末Ｐに通知する（＃２７）。識別情報Ｉの無効を示すフラグが記憶されている場合とは、例えばユーザ端末からアクセス制御装置Ａに前記無効化通知が送信されている場合である。
【００５０】
検証部４２は、識別情報Ｉが有効であれば、販売者及び提供者が正当か否かの判断処理に移る。具体的には、ユーザの電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）をユーザの公開鍵Ｋｃで復号化し、Ｉ、Ｔ、Ｋｒのメッセージダイジェスト（ＭＤ（Ｉ，Ｔ，Ｋｒ））を得る。また、検証部４２は、ＭＤ（Ｉ，Ｔ，Ｋｒ）を所定の方法で計算する。両ＭＤが一致した場合には、真正な販売者であると判断する。なお、メッセージダイジェストは、ＭＤ５を用いた計算など、通常用いられる方法で計算可能である。
【００５１】
また、検証部４２は、販売者の電子署名を販売者の公開鍵Ｋｒで復号化し、Ｉ及びＫｐのメッセージダイジェスト（ＭＤ（Ｉ，Ｋｐ））を得る。さらに、検証部４２は、ＭＤ（Ｉ，Ｋｐ）を計算する。両ＭＤが一致した場合には、検証部４２は、提供者が正当な販売者により商品の提供を依頼された正当な提供者であると判断する。検証部４２は、販売者及び認証者が正当であると判断すると、所定の処理を行う（＃２６，２８）。本実施形態例では、検証部４２は、ウェブサーバの処理部に対し、アクセス対象ユーザ及びアクセス元の提供者端末Ｐを通知する（＃２６）。また、検証部４２は、識別情報Ｉ及び有効期間Ｔを記憶部４３に蓄積する（♯２８）。販売者及び／または提供者が真正でない場合、検証部４２は判断結果を提供者端末Ｐに通知する（＃２７）。
【００５２】
ウェブサーバの処理部は、前記通知を受けて、対象ユーザのスケジュールをスケジュールＤＢから読み込み、提供者端末Ｐに送信する等の処理を行う。
【００５３】
なお、アクセス制御装置Ａは、前記処理に加え、ユーザ端末Ｃからの無効通知に応じた処理を行う。具体的には、アクセス制御装置Ａは、記憶部４３に蓄積されている識別情報Ｉと対応付けて“無効”を示すフラグを記憶する。“無効”化すべき識別情報Ｉは、無効通知により特定される。
【００５４】
＜第２実施形態例＞
前記第１実施形態例では、ユーザにより無効化された識別情報Ｉについて無効を示すフラグを記憶し、これにより識別情報Ｉの無効化を区別した。しかし、下記のように処理することも可能である。例えば、有効な識別情報Ｉについてはフラグの値を“０”に、無効な識別情報Ｉについてはフラグの値を“１”とする。検証部４２は、販売者及び提供者が正当である場合、識別情報Ｉと有効期間Ｔとフラグ“０”とを対応付け、記憶部４３に格納する。識別情報Ｉの無効化は、第１実施形態例と同様に、ユーザ端末からの無効化通知に従って行われる。
【００５５】
また、第１実施形態例においては、アクセス権の有効／無効の判断を、有効期間Ｔに基づいても行った。しかし、有効期間Ｔの指定は必ずしも必須ではない。有効期間Ｔが指定されていない場合には、有効期間に基づくアクセス権の判断を行わなければよい。
【００５６】
＜第３実施形態例＞
図３は、本発明の第３実施形態例に係る来訪者判定システムの構成例である。本実施形態例は、本発明のアクセス制御システムを来訪者の判定に適応したシステムである。商品を提供する提供者は、ユーザの電子署名及び販売者の電子署名が記述されたＩＣカードを持ってユーザ宅を訪問する。
【００５７】
本実施形態例の来訪者判定システムは、ユーザ端末Ｃ、販売者端末Ｒ、提供者端末Ｐ、ＩＣカード３５及び来訪者判定装置Ｊを有している。ユーザ端末Ｃ、販売者端末Ｒ及びアクセス制御装置Ａの構成は、前記第１実施形態例と同様である。だたし、提供者端末Ｐは、前記送受信部３１及び発行部３４を有している。発行部３４は、ユーザの電子署名、販売者の電子署名及び提供者の秘密鍵が書き込まれたＩＣカード３５を発行する。ＩＣカードは、提供者の秘密鍵を用いてアクセス制御装置Ａからの任意の値Ｙについて電子署名を作成する機能を有している。この機能により、アクセス制御装置Ａからの認証要求が処理される。
【００５８】
来訪者判定装置Ｊはユーザ宅に設けられる。来訪者判定装置Ｊは、カード通信部Ｊ１、アクセス制御装置Ａ、表示制御装置Ｊ２及びディスプレイＪ３を有している。カード通信部Ｊ１は、ＩＣカード３５に記述されたユーザの電子署名及び販売者の電子署名を読み取り、アクセス制御装置Ａに送出する。アクセス制御装置Ａは、第１実施形態例と同様にして販売者及び提供者が正当であるか否かを判断する。アクセス制御装置Ａは、判断結果を表示制御装置Ｊ２に送出する。
【００５９】
表示制御装置Ｊ２は、前記判断結果をディスプレイＪ３に出力する。例えば、販売者及び提供者が正当と判断した場合、「○月○日、販売者△△△にご注文の×××をお届けに上がった提供者□□□です。」などのメッセージを表示する。ただし、前記メッセージを表示可能にするためには、識別情報Ｉから販売者、商品、申し込み日時などの情報を特定可能にしておく必要がある。
【００６０】
ユーザは、前記メッセージにより正当な提供者であることを確認後、ユーザ端末Ｃにより識別情報Ｉを無効化する。なお、前記メッセージの表示に応じた所定の操作が行われることにより、アクセス制御装置Ａが識別情報Ｉのフラグを“無効”にして記憶することも可能である。ユーザの所定の操作としては、例えば、ドアを解錠することが考えられる。本実施形態例を用いれば、ユーザは、正当な販売者から依頼された正当な提供者であることが分かるので、安心してドアを開けることができる。また、販売を装った犯罪人が住居に侵入したり、不要な商品の押し売り等を防止することができる。
【００６１】
＜第４実施形態例＞
図４は、本発明の第４実施形態例に係る宅配システムの構成例である。本実施形態例は、本発明のアクセス制御システムを宅配ボックスに適応したシステムである。商品を提供する提供者は、ユーザの電子署名及び販売者の電子署名が記述されたＩＣカードを持ってユーザ宅の宅配ボックスにアクセスする。
【００６２】
本実施形態例の宅配システムは、ユーザ端末Ｃ、販売者端末Ｒ、提供者端末Ｐ、ＩＣカード３５及び配達ボックス装置Ｂを有している。ユーザ端末Ｃ、販売者端末Ｒ、提供者端末Ｐ及びＩＣカード３５は、前記第２実施形態例と同様の構成を有している。
【００６３】
配達ボックスＢは、カード通信部Ｂ１、アクセス制御装置Ａ、開閉制御装置Ｂ２及びボックス扉Ｂ３を有している。カード通信部Ｂ１は、ＩＣカード３５に記述されたユーザの電子署名及び販売者の電子署名を読み取り、アクセス制御装置Ａに送出する。アクセス制御装置Ａは、第１実施形態例と同様にして販売者及び提供者が正当であるか否かを判断する。アクセス制御装置Ａは、判断結果を開閉制御装置Ｂ２に送出する。開閉制御装置Ｂ２は、判断結果に基づいてボックス扉Ｂ３の開閉を行う。
【００６４】
商品を取得したユーザは、例えばユーザ端末Ｃを用いて商品が配達されたことをアクセス制御装置Ａに通知する。通知には、識別情報Ｉが含まれる。この通知を受けたアクセス制御装置Ａは、識別情報Ｉに対応するフラグを“無効”化する。これにより、たとえ識別情報Ｉの有効期間中に同じＩＣカードで提供者が宅配ボックスに再度アクセスを試みても、宅配ボックスは開かれない。また、アクセス制御装置Ａは、一度扉を開けることを許可した識別情報Ｉについて、フラグを“無効”にして記憶部４３に蓄積しても良い。本システムを用いれば、ユーザが不在であっても、正当な配達業者のみが配達ボックスを開けて商品を配達することができる。
【００６５】
＜第５実施形態例＞
図５は、本発明の第５実施形態例に係るアクセス制御システムの全体構成図である。本実施形態例のアクセス制御システムは、ユーザ端末Ｃ、販売者端末Ｒ、提供者端末Ｐ及びアクセス制御装置Ａを有している。ただし、ユーザ端末Ｃは、スケジュールＤＢと処理部とアクセス制御装置Ａとを有している。販売者端末Ｒ及び提供者端末Ｐは、第１実施形態例と同様の構成を有している。本実施形態例のアクセス制御システムは、例えば、ユーザ端末Ｃ上でユーザ自身のスケジュールが公開されている場合に用いられる。
【００６６】
ユーザ端末Ｃは、前記第１実施形態例と同様に申込部１１及び生成部１２を有している。ただし、署名部１３及び指定部１４に代えて、登録部１５を有している。登録部１５は、識別情報Ｉ、有効期間Ｔ及び販売者の公開鍵Ｋｒをアクセス制御装置Ａに送出する。本実施形態例においては、ユーザ端末Ｃは、ユーザの電子署名Ｘｃ（Ｉ，Ｔ，Ｋｒ）を販売者端末Ｒに送信しない。
【００６７】
アクセス制御装置Ａは、受付部４１、検証部４２、記憶部４３を有し、前記無効化部４４に代えて登録受付部４５を有している。受付部４１、検証部４２及び記憶部４３は、第１実施形態例と同様の機能を有する。登録受付部４５は、ユーザ端末Ｃから送信される識別情報Ｉ、有効期間Ｔ及び公開鍵Ｋｒを、対応付けて記憶部４３に格納する。
【００６８】
販売者の電子署名に基づいて提供者がユーザスケジュールへのアクセスを要求すると、検証部４２が販売者の電子署名を検証する。本実施形態例においては、検証部４２は、記憶部４３に格納された販売者の公開鍵Ｋｒを検証に用いる。具体的には、販売者がユーザから商品の申し込みを受けた販売者であるか否かを、識別情報Ｉと対応付けて記憶した公開鍵Ｋｒで検証する。検証部４２は、販売者及び提供者が正当と判断すると、判断結果を処理部に通知する。処理部は、ユーザスケジュールをスケジュールＤＢから読み出し、提供者端末Ｐに送出する。また、検証部４２は、スケジュールへのアクセスを許可した識別情報Ｉのエントリを記憶部４３から削除する。これにより、同じアクセス情報に基づいて、ユーザスケジュールへ重複アクセスを防止できる。
【００６９】
【発明の効果】
本発明を用いれば、通信を介してユーザからの商品やサービスの注文を受け付ける販売者と、商品やサービスをユーザに提供する提供者とが異なる場合であっても、正当な販売者から依頼を受けた提供者のみが、必要なユーザ資源のみにアクセスできるように制御することを可能とする。
【図面の簡単な説明】
【図１】第１実施形態例に係るアクセス制御システムの全体構成図。
【図２】アクセス制御処理の流れを示す説明図。
【図３】第３実施形態例に係るアクセス制御システム（来訪者判定システム）の全体構成図。
【図４】第４実施形態例に係るアクセス制御システム（宅配システム）の全体構成図。
【図５】第５実施形態例に係るアクセス制御システムの全体構成図。
【符号の説明】
１１，２１，３１，４１；申込部
１２；生成部
１３，２２；署名部
２３，３３；送受信部
４２；検証部
４３；記憶部
４４；無効化部

Claims

通信を介して商品またはサービス（以下、単に商品という）を販売する販売者の販売者端末からの依頼を受け、前記商品をユーザに提供する提供者の提供者端末がユーザ資源にアクセスする場合に用いられ、
前記ユーザが操作するユーザ端末は、前記ユーザの公開鍵系秘密鍵（Ｘｃ）を第１の記憶手段に記憶しており、前記ユーザから前記販売者への前記商品の申し込みに応じ、前記申し込みを識別する申込識別情報（Ｉ）と、前記販売者の公開鍵系公開鍵(Ｋｒ）と、前記記憶しているユーザの公開鍵系秘密鍵（Ｘｃ）と、を用いてユーザの電子署名を演算し、前記ユーザの電子署名を含む申込証情報を前記販売者端末に送信し、
前記販売者端末は、前記販売者の公開鍵系秘密鍵（Ｘｒ）を第２の記憶手段に記憶しており、前記申込証情報を前記ユーザ端末から受信し、前記申込識別情報（Ｉ）と前記提供者の公開鍵系公開鍵（Ｋｐ）と前記記憶している販売者の公開鍵系秘密鍵（Ｘｒ）とを用いて販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））を演算し、前記申込証情報に含まれる前記ユーザの電子署名に加え、前記販売者の電子署名をさらに含む資格証情報を前記提供者端末に送信し、
アクセス制御装置は、前記資格証情報を前記提供者端末から受信し、前記資格証情報に基づいて前記販売者及び前記提供者が正当か否かの判断を行い、前記判断結果に基づいて前記アクセス要求を許可するか否かを決定し、
前記アクセス要求を許可するか否かの判断は、
前記ユーザの公開鍵系公開鍵Ｋｃを第３の記憶手段に記憶しておき、
前記申込識別情報（Ｉ）及び前記販売者の公開鍵系公開鍵（Ｋｒ）に基づいて第１メッセージダイジェストを演算し、前記第３の記憶手段に記憶されているユーザの公開鍵Ｋｃを用いて前記ユーザの電子署名Ｘｃを復号化して第２メッセージダイジェストを得、前記第１メッセージダイジェストおよび第２メッセージダイジェストを比較することにより前記販売者が正当か否かを判断し、
前記申込識別情報（Ｉ）及び前記提供者の公開鍵系公開鍵（Ｋｐ）に基づいて第３メッセージダイジェストを演算し、販売者の公開鍵Ｋｒを用いて前記販売者の電子署名Ｘｒを復号化して第４メッセージダイジェストを得、前記第３メッセージダイジェストおよび第４メッセージダイジェストを比較することにより前記提供者が正当か否かを判断する、
アクセス制御方法。
前記ユーザの公開鍵系秘密鍵（Ｘｃ）を第１の記憶手段に記憶しており、商品及び前記商品の販売者を指定する情報を含む申込識別情報(Ｉ)と、前記販売者の公開鍵系公開鍵(Ｋｒ）と、前記記憶しているユーザの公開鍵系秘密鍵（Ｘｃ）と、を用いてユーザの電子署名を演算し、前記ユーザの電子署名を含む申込証情報を送信する第１コンピュータ端末と、
前記販売者の公開鍵系秘密鍵（Ｘｒ）を第２の記憶手段に記憶しており、前記申込証情報を前記第１コンピュータ端末から受信し、前記申込識別情報（Ｉ）と前記提供者の公開鍵系公開鍵（Ｋｐ）と前記記憶している販売者の公開鍵系秘密鍵（Ｘｒ）とを用いて販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））を演算し、前記申込証情報に含まれる前記ユーザの電子署名に加え、前記販売者の電子署名をさらに含む資格証情報を送信する第２コンピュータ端末と、
前記資格証情報を前記第２コンピュータ端末から受信し、前記資格証情報に基づくユーザ資源へのアクセス要求を出力する第３コンピュータ端末と、
前記アクセス要求を前記第３コンピュータ端末から取得し、前記資格証情報に基づいて前記販売者及び前記提供者が正当か否かの判断を行い、前記判断結果に基づいて前記アクセス要求を許可するか否かを決定するアクセス制御手段と、を備え、
前記アクセス制御手段は、
前記ユーザの公開鍵系公開鍵Ｋｃを第３の記憶手段に記憶しておき、
前記申込識別情報（Ｉ）及び前記販売者の公開鍵系公開鍵（Ｋｒ）に基づいて第１メッセージダイジェストを演算し、前記第３の記憶手段に記憶されているユーザの公開鍵Ｋｃを用いて前記ユーザの電子署名Ｘｃを復号化して第２メッセージダイジェストを得、前記第１メッセージダイジェストおよび第２メッセージダイジェストを比較することにより前記販売者が正当か否かを判断し、
前記申込識別情報（Ｉ）及び前記提供者の公開鍵系公開鍵（Ｋｐ）に基づいて第３メッセージダイジェストを演算し、販売者の公開鍵Ｋｒを用いて前記販売者の電子署名Ｘｒを復号化して第４メッセージダイジェストを得、前記第３メッセージダイジェストおよび第４メッセージダイジェストを比較することにより前記提供者が正当か否かを判断し、
アクセス制御システム。
前記アクセス制御手段は、
前記申込識別情報（Ｉ）を記憶手段に記憶し、
商品の申し込みが取り消されたことを示す取消通知または商品の提供が完了したことを示す完了通知を前記第１コンピュータ端末または外部から受信し、前記取消通知または完了通知を受信した場合あるいは前記販売者及び提供者が正当であると判断した場合に前記記憶手段に記憶されている前記申込識別情報（Ｉ）を無効化し、前記無効化された申込識別情報（Ｉ）を含む資格証情報に基づくアクセス要求を受信した場合、そのアクセス要求を拒否する、請求項２に記載のアクセス制御システム。
前記第１コンピュータ端末は、前記申込識別情報（Ｉ）の有効期間の指定を受け付け、前記有効期間をさらに含む前記申込証情報を送信し、
前記アクセス制御手段は、
前記申込識別情報（Ｉ）を記憶手段に記憶し、
前記有効期間を経過した申込識別情報（Ｉ）を含む資格証情報に基づくアクセス要求を受信した場合、そのアクセス要求を拒否する、請求項２に記載のアクセス制御システム。
前記第３コンピュータ端末は、前記販売者の電子署名（Ｘｒ（Ｉ，Ｋｐ））に加え、所定の認証局から発行される前記提供者の公開鍵（Ｋｐ）についての電子署名をさらに送信し、
前記アクセス制御手段は、前記提供者の公開鍵（Ｋｐ）についての前記認証局の電子署名に基づいて前記提供者の公開鍵（Ｋｐ）の正当性をさらに検証し、検証結果に従って前記提供者の認証を行う、請求項２に記載のアクセス制御システム。