JP7119851B2 - Communication device, certificate revocation list creation method, and program - Google Patents
Communication device, certificate revocation list creation method, and program Download PDFInfo
- Publication number
- JP7119851B2 JP7119851B2 JP2018183844A JP2018183844A JP7119851B2 JP 7119851 B2 JP7119851 B2 JP 7119851B2 JP 2018183844 A JP2018183844 A JP 2018183844A JP 2018183844 A JP2018183844 A JP 2018183844A JP 7119851 B2 JP7119851 B2 JP 7119851B2
- Authority
- JP
- Japan
- Prior art keywords
- revocation list
- certificate revocation
- communication device
- certificate
- crl
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、失効された電子証明書を示す証明書失効リストが利用されるシステム等の技術分野に関する。 The present invention relates to a technical field such as a system using a certificate revocation list indicating revoked electronic certificates.
近年、IoT(Internet of Things)機器は増加しており、2020年頃には200億台以上のIoT機器がインターネットにつながるといわれている。IoT機器の増加にともない攻撃対象になることが増えており、IoT機器を踏み台としたサイバー攻撃やIoT機器を介したウイルスの拡散などが社会問題になりつつある。ところで、ウイルスなどの攻撃からコンピュータを守るために、データの改ざんやなりすましが無いかを確認する手段として、電子署名を使用する仕組みがある。この仕組みでは、データの送信側は自己の秘密鍵を用いて電子署名を行い、データの受信側は送信側の公開鍵を用いて署名検証を行うようになっている。このような公開鍵が正しいことを証明するために、電子証明書(デジタル証明書)が認証局により発行される。電子証明書には有効期限は設定されているが、鍵の信頼性が低下するなどの理由で、有効期限よりも前に電子証明書が失効される場合がある。このような電子証明書は、証明書失効リスト(CRL:Certificate Revocation List)により管理される。特許文献1に開示されたシステムでは、認証サーバが情報端末装置の要求に応じて、失効した電子証明書のシリアル番号を記憶した失効リストを情報端末装置へ送信し、情報端末装置は、当該失効リストに基づき、電子証明書が失効しているか否かを判断するようになっている。 In recent years, the number of IoT (Internet of Things) devices has increased, and it is said that more than 20 billion IoT devices will be connected to the Internet by around 2020. With the increase in the number of IoT devices, they are becoming more and more targeted for attacks, and cyber-attacks using IoT devices as springboards and the spread of viruses through IoT devices are becoming social problems. By the way, in order to protect a computer from attacks such as viruses, there is a mechanism using an electronic signature as a means of checking whether data has been falsified or spoofed. In this mechanism, the data sender uses its own private key to apply an electronic signature, and the data receiver uses the public key of the sender to verify the signature. Electronic certificates (digital certificates) are issued by certificate authorities to certify that such public keys are correct. An expiration date is set for the electronic certificate, but the electronic certificate may be revoked before the expiration date due to reasons such as a decrease in the reliability of the key. Such electronic certificates are managed by a Certificate Revocation List (CRL). In the system disclosed in Patent Document 1, an authentication server transmits a revocation list storing serial numbers of revoked electronic certificates to the information terminal device in response to a request from the information terminal device, and the information terminal device receives the revocation list. Based on the list, it is determined whether or not the electronic certificate has been revoked.
ところで、IoT機器が通信相手から電子署名付のデータを受信した場合、検証の手続きの1つとして証明書失効リストを取得して電子証明書の有効性を確認する(言い換えれば、信頼性が落ちた鍵が使用されていないかを確認する)必要がある。そのため、IoT機器は証明書失効リストを自身のメモリに保存していることが望ましい。しかしながら、IoT機器に使用される安価なコンピュータにとって証明書失効リストのデータ量は大きく、そのままでは保存できない場合がある。他方、サーバ側で電子証明書の有効性を確認する方式として、OCSP(Online Certificate Status Protocol)と呼ばれる方式もあるが、IoT機器はその数が膨大なため、OCSPサーバの負荷を考えるとあまり現実的でない。 By the way, when an IoT device receives data with an electronic signature from a communication partner, it acquires a certificate revocation list as one of the verification procedures to check the validity of the electronic certificate (in other words, the reliability of the electronic certificate decreases. (to check if the same key has been used). Therefore, it is desirable that the IoT device stores the certificate revocation list in its own memory. However, the amount of data in the certificate revocation list is large for inexpensive computers used in IoT devices, and it may not be possible to store the list as it is. On the other hand, there is also a method called OCSP (Online Certificate Status Protocol) as a method for confirming the validity of an electronic certificate on the server side. untargetable.
そこで、本発明は、以上の点に鑑みてなされたものであり、IoT機器が証明書失効リストにより通信相手の電子証明書の有効性の確認を容易に行うことを可能とし、セキュアなIoT環境の構築を実現することが可能なサーバ装置、通信装置、証明書失効リスト作成方法、及びプログラムを提供することを目的とする。 Therefore, the present invention has been made in view of the above points, and enables an IoT device to easily check the validity of the electronic certificate of the communication partner by using the certificate revocation list, thereby providing a secure IoT environment. It is an object of the present invention to provide a server device, a communication device, a method of creating a certificate revocation list, and a program that can realize the construction of the above.
請求項1に記載の発明は、失効された複数の電子証明書それぞれの情報を記述する証明書失効リストを記憶するサーバ装置にネットワークを介してアクセス可能な通信装置であって、他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信する受信手段と、前記受信手段により受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するリスト取得手段と、前記リスト取得手段により取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成する作成手段と、前記作成手段により作成された証明書失効リストを、前記他の通信装置へ送信する送信手段と、前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記リスト取得手段により取得された証明書失効リストを削除する削除手段と、を備えることを特徴とする。 According to the first aspect of the present invention, there is provided a communication device capable of accessing, via a network, a server device that stores a certificate revocation list describing information on each of a plurality of revoked electronic certificates, and which is another communication device. a receiving means for receiving a request for a certificate revocation list for the other communication device from, a list obtaining means for obtaining the certificate revocation list from the server device in response to the request received by the receiving means ; creating means for creating, based on the certificate revocation list obtained by the list obtaining means, the certificate revocation list for the other communication device having a smaller amount of data than the certificate revocation list; transmitting means for transmitting the created certificate revocation list to the other communication device; and after the certificate revocation list for the other communication device is transmitted to the other communication device, the list acquisition means and deletion means for deleting the acquired certificate revocation list.
請求項2に記載の発明は、請求項1に記載の通信装置において、前記作成手段は、前記リスト取得手段により取得された証明書失効リストにおける前記複数の電子証明書それぞれの情報のうち、前記通信装置の通信相手の情報から特定される電子証明書以外の電子証明書の情報を削除することで前記証明書失効リストを作成することを特徴とする。 The invention according to claim 2 is the communication device according to claim 1 , wherein the creation means selects the information of each of the plurality of electronic certificates in the certificate revocation list acquired by the list acquisition means. The certificate revocation list is created by deleting the information of the electronic certificate other than the electronic certificate specified from the communication partner information of the communication device.
請求項3に記載の発明は、請求項1に記載の通信装置において、前記作成手段は、前記リスト取得手段により取得された証明書失効リストにおける前記複数の電子証明書それぞれの情報の一部分を削除することで前記証明書失効リストを作成することを特徴とする。 The invention according to claim 3 is the communication device according to claim 1 , wherein the creating means deletes part of the information of each of the plurality of electronic certificates in the certificate revocation list acquired by the list acquiring means. to create the certificate revocation list.
請求項4に記載の発明は、請求項1に記載の通信装置において、前記作成手段は、前記リスト取得手段により取得された証明書失効リストにおける前記複数の電子証明書それぞれの情報のうち、前記他の通信装置の通信相手の情報から特定される電子証明書以外の電子証明書の情報を削除し、且つ前記他の通通信装置の通信相手の情報から特定される電子証明書の情報の一部分を削除することで前記証明書失効リストを作成することを特徴とする。 The invention according to claim 4 is the communication device according to claim 1 , wherein the creation means selects the information of each of the plurality of electronic certificates in the certificate revocation list acquired by the list acquisition means. Deletion of electronic certificate information other than the electronic certificate specified from the communication partner information of another communication device, and part of the information of the electronic certificate specified from the communication partner information of the other communication device is deleted to create the certificate revocation list.
請求項5に記載の発明は、失効された複数の電子証明書それぞれの情報を記述する証明書失効リストを記憶するサーバ装置にネットワークを介してアクセス可能な通信装置により実行される証明書失効リスト作成方法であって、他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信するステップと、前記受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するステップと、前記取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成するステップと、前記作成された証明書失効リストを、前記他の通信装置へ送信するステップと、前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記取得された証明書失効リストを削除するステップと、を含むことを特徴とする。 According to a fifth aspect of the present invention, there is provided a certificate revocation list executed by a communication device accessible via a network to a server device storing a certificate revocation list describing information of each of a plurality of revoked electronic certificates. A creation method comprising the steps of: receiving a request for a certificate revocation list for another communication device from another communication device; and obtaining the certificate revocation list from the server device in response to the received request. creating, based on the acquired certificate revocation list, the certificate revocation list for the other communication device having a smaller data volume than the certificate revocation list; and the created certificate sending a certificate revocation list to the other communication device; and deleting the obtained certificate revocation list after the certificate revocation list for the other communication device is sent to the other communication device. and .
請求項6に記載の発明は、失効された複数の電子証明書それぞれの情報を記述する証明書失効リストを記憶するサーバ装置にネットワークを介してアクセス可能な通信装置に含まれるコンピュータを、他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信する受信手段と、前記受信手段により受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するリスト取得手段と、前記リスト取得手段により取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成する作成手段と、前記作成手段により作成された証明書失効リストを、前記他の通信装置へ送信する送信手段と、前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記リスト取得手段により取得された証明書失効リストを削除する削除手段として機能させることを特徴とする。 According to the sixth aspect of the invention, a computer included in a communication device accessible via a network to a server device storing a certificate revocation list describing information of each of a plurality of revoked electronic certificates is Receiving means for receiving a request from a communication device for a certificate revocation list for the other communication device; and list obtaining means for obtaining the certificate revocation list from the server device in response to the request received by the receiving means. and creating means for creating , based on the certificate revocation list obtained by the list obtaining means, the certificate revocation list for the other communication device having a data amount smaller than that of the certificate revocation list; transmitting means for transmitting the certificate revocation list created by means to the other communication device; and acquiring the list after the certificate revocation list for the other communication device is transmitted to the other communication device. It is characterized by functioning as deletion means for deleting the certificate revocation list acquired by the means.
本発明によれば、IoT機器が証明書失効リストにより通信相手の電子証明書の有効性の確認を容易に行うことを可能とし、セキュアなIoT環境の構築を実現することができる。 According to the present invention, an IoT device can easily check the validity of a communication partner's electronic certificate using a certificate revocation list, and a secure IoT environment can be constructed.
以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、IoTシステムに対して本発明を適用した場合の実施の形態である。 BEST MODE FOR CARRYING OUT THE INVENTION Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. The embodiments described below are embodiments in which the present invention is applied to an IoT system.
[1.IoTシステムの概要構成]
先ず、図1を参照して、本実施形態にかかるIoTシステムSの概要構成について説明する。図1は、本実施形態に係るIoTシステムSの概要構成例を示す図である。図1に示すように、IoTシステムSは、認証サーバSA、アプリケーションサーバSAm(m=1,2,3・・・)、及びIoT機器Tn(n=1,2,3・・・)等を含んで構成される。認証サーバSA、及びアプリケーションサーバSAmは、それぞれ、ネットワークNWに接続されている。ネットワークNWは、例えば、インターネット、移動体通信網、及びゲートウェイ等により構成される。
[1. Outline configuration of IoT system]
First, with reference to FIG. 1, a schematic configuration of an IoT system S according to this embodiment will be described. FIG. 1 is a diagram showing a schematic configuration example of an IoT system S according to this embodiment. As shown in FIG. 1, the IoT system S includes an authentication server SA, an application server SAm (m=1, 2, 3 . . . ), and IoT devices Tn (n=1, 2, 3 . composed of The authentication server SA and application server SAm are each connected to a network NW. The network NW is composed of, for example, the Internet, a mobile communication network, a gateway, and the like.
認証サーバSA(本発明のサーバ装置の一例)は、電子証明書、及び証明書失効リスト(以下、「CRL」という)を発行する認証局により運用されるサーバである。認証サーバSAは、外部との通信を確立するための通信部1、各種データ及びプログラムを記憶する記憶部2、及び制御部3等を備えて構成される。記憶部2(本発明における記憶手段の一例)は、ハードディスクドライブ等により構成され、アプリケーションサーバSAm及びIoT機器Tnのそれぞれに対して発行された電子証明書、及び認証局により発行された電子証明書のうち有効期限前に失効された電子証明書を示すCRLを記憶する。ここで、電子証明書には、当該電子証明書のシリアル番号、公開鍵、当該公開鍵に対応する秘密鍵の所有者の情報(例えば、秘密鍵が記憶されるアプリケーションサーバSAm及びIoT機器Tn等の識別名)、署名方式(署名アルゴリズム)、有効期限、及び当該電子証明書を発行した認証局の情報等が記述されている。CRLには、有効期限前に失効した複数の電子証明書それぞれの情報(例えば、電子証明書のシリアル番号)が記述されている。 The authentication server SA (an example of the server device of the present invention) is a server operated by a certificate authority that issues electronic certificates and certificate revocation lists (hereinafter referred to as "CRL"). The authentication server SA includes a communication unit 1 for establishing communication with the outside, a storage unit 2 for storing various data and programs, a control unit 3, and the like. The storage unit 2 (an example of a storage unit in the present invention) is configured by a hard disk drive or the like, and includes an electronic certificate issued to each of the application server SAm and the IoT device Tn, and an electronic certificate issued by a certification authority. stores a CRL that indicates an electronic certificate that has been revoked before the expiration date. Here, the electronic certificate includes the serial number of the electronic certificate, the public key, the information of the owner of the private key corresponding to the public key (for example, the application server SAm and the IoT device Tn in which the private key is stored). identification name), signature method (signature algorithm), expiration date, and information about the certificate authority that issued the electronic certificate. Information (for example, the serial number of the electronic certificate) of each of a plurality of electronic certificates revoked before the expiration date is described in the CRL.
制御部3(コンピュータの一例)は、CPU(Central Processing Unit)、RAM(Random Access Memory)、及びROM(Read Only Memory)等により構成されており、記憶部2に記憶されたプログラムにしたがって、電子証明書の発行処理、及び電子証明書の失効処理等の各種処理を実行する。電子証明書の失効処理は、例えば電子証明書の所有者から秘密鍵が漏洩したなどの理由で認証局に届け出があった場合に行われ、この処理により、当該電子証明書の情報がCRLに追加され、当該情報が追加されたCRLが公開されることになる。また、制御部3は、本発明における受信手段、作成手段、及び送信手段として機能し、上記CRL(つまり、正規のCRL)よりデータ量が小さいCRL(以下、「軽量化(縮小化)CRL」という)の作成及び提供処理を実行する場合もある。 The control unit 3 (an example of a computer) is composed of a CPU (Central Processing Unit), a RAM (Random Access Memory), a ROM (Read Only Memory), and the like. Executes various types of processing such as certificate issuance processing and electronic certificate revocation processing. Revocation processing of an electronic certificate is performed when, for example, the owner of the electronic certificate leaks the private key and notifies the certificate authority. The CRL with the added information will be published. Further, the control unit 3 functions as receiving means, creating means, and transmitting means in the present invention, and receives a CRL (hereinafter referred to as a "lightweight (miniaturized) CRL") having a smaller data amount than the CRL (that is, the regular CRL). ) may be created and provided.
アプリケーションサーバSAmは、IoT機器Tnにより取得された情報を収集したり、或いは、IoT機器Tnを遠隔制御するサーバである。アプリケーションサーバSAmは、それぞれ、当該サーバSAm自身の公開鍵と秘密鍵の鍵ペア、当該サーバSAm自身の電子証明書(認証局により発行された電子証明書)、認証局の電子証明書、及びCRL等を記憶しており、何れかのIoT機器Tnとの間でセキュアな通信を行うことが可能になっている。なお、CRLは、所定のタイミングで(例えば、タイマーにより定期的に、或いは、IoT機器Tnとの間でセキュアな通信を行う直前に)、認証サーバSAからネットワークNWを介して取得される。 The application server SAm is a server that collects information acquired by the IoT device Tn or remotely controls the IoT device Tn. Each application server SAm has a key pair of its own public key and private key, its own electronic certificate (electronic certificate issued by a certificate authority), its own electronic certificate, and a CRL. etc., and it is possible to perform secure communication with any IoT device Tn. Note that the CRL is acquired from the authentication server SA via the network NW at a predetermined timing (for example, periodically by a timer or immediately before performing secure communication with the IoT device Tn).
IoT機器Tn(本発明の通信装置の一例)は、それぞれ、外部との通信(有線または無線通信)を確立するための通信部11、各種データ及びプログラムを記憶する記憶部12、及び制御部13等を備えて構成される。IoT機器Tnには、周囲の状態(例えば、温度、湿度、気圧、照度、水位、騒音など)を検知するセンサーが備えられる場合もある。なお、図1の例では、IoT機器T1、IoT機器T2、及びIoT機器T4は、それぞれ、ネットワークNWに接続可能になっているが、IoT機器T2(他の通信装置の一例)はネットワークNWに接続不能になっている。そのため、IoT機器T2は、ネットワークNWに接続されている認証サーバSAやアプリケーションサーバSAm等と通信を行う場合、当該通信をIoT機器T2またはIoT機器T4が仲介する必要がある。
The IoT device Tn (an example of the communication device of the present invention) includes a
記憶部12は、不揮発性メモリ等により構成され、IoT機器Tn自身の公開鍵と秘密鍵の鍵ペア(つまり、IoT機器T1の記憶部12には、IoT機器T1自身の公開鍵と秘密鍵の鍵ペア)、IoT機器Tn自身の電子証明書、及び認証局の電子証明書等を記憶する。さらに、記憶部12には、正規のCRLよりデータ量が小さい軽量化CRLが記憶される。なお、IoT機器Tnにセンサーが備えられる場合、センサーにより検知された状態を示す状態情報が記憶部12に記憶される。また、IoT機器Tn内に、制御部13と通信を行うSE(セキュアエレメント)が備えられる場合、軽量化CRLはSE内に記憶されてもよい。
The
制御部13(コンピュータの一例)は、CPU、RAM、及びROM等により構成されており、記憶部12に記憶されたプログラムにしたがって、アプリケーションサーバSAmや他のIoT機器Tnとの間でセキュアな通信を行うことが可能になっている。また、制御部13は、軽量化CRLの取得処理と、軽量化CRLの作成処理と、軽量化CRLの作成及び提供処理とのうち、何れか1つ以上の処理を実行する。軽量化CRLの取得処理は、認証サーバSAまたは他のIoT機器Tnにより作成された軽量化CRLを取得して保存する処理である。軽量化CRLの作成処理は、制御部13が本発明におけるリスト取得手段、作成手段、及び削除手段として機能し、軽量化CRLを作成して保存する処理である。軽量化CRLの作成及び提供処理は、制御部13が本発明における受信手段、リスト取得手段、作成手段、削除手段、及び送信手段として機能し、他のIoT機器Tn用の軽量化CRLを作成して提供する処理である。制御部13は、通信相手(アプリケーションサーバSAm、または、他のIoT機器Tn等)から電子署名付のデータを受信した場合、まずは軽量化CRLを参照して、当該通信相手の電子証明書が失効していないかどうかを確認し(つまり、電子証明書の有効性を確認)し、当該電子証明書が失効していなければ、当該通信相手の公開鍵を用いて当該電子署名の署名検証を行うようになっている。
The control unit 13 (an example of a computer) is composed of a CPU, a RAM, a ROM, etc., and performs secure communication with the application server SAm and other IoT devices Tn according to a program stored in the
[2.軽量化CRL作成時の動作]
次に、軽量化CRL作成時の動作について、実施例1~実施例3に分けて説明する。
[2. Operation when creating a lightweight CRL]
Next, the operation when creating a lightweight CRL will be described separately for the first to third embodiments.
(実施例1)
先ず、図2等を参照して、実施例1における軽量化CRL作成時の動作について説明する。図2(A)は、IoT機器T1の制御部13の処理を示すフローチャートであり、図2(B)は、認証サーバSAの制御部3の処理を示すフローチャートである。
(Example 1)
First, with reference to FIG. 2, etc., the operation of creating a lightweight CRL in the first embodiment will be described. FIG. 2A is a flow chart showing processing of the control unit 13 of the IoT device T1, and FIG. 2B is a flow chart showing processing of the control unit 3 of the authentication server SA.
図2(A)に示す処理(軽量化CRLの取得処理)は、所定のタイミングで(例えば、タイマーにより定期的に、或いは、アプリケーションサーバSAmまたは他のIoT機器Tnとの間でセキュアな通信を行う直前に)開始される。図2(A)に示す処理が開始されると、IoT機器T1の制御部13は、通信部11及びネットワークNWを介して認証サーバSAにアクセスし、軽量化CRLの要求を認証サーバSAへ送信する(ステップS1)。軽量化CRLの要求には、正規のCRLではなく軽量化CRLであることを示す情報が含まれる。
The process (lightening CRL acquisition process) shown in FIG. immediately before doing). When the process shown in FIG. 2A is started, the control unit 13 of the IoT device T1 accesses the authentication server SA via the
認証サーバSAは、IoT機器T1からの軽量化CRLの要求を受信すると、図2(B)に示す処理(軽量化CRLの作成及び提供処理)を開始する。図2(A)に示す処理が開始されると、認証サーバSAの制御部3は、受信された要求に応じて、記憶部2に記憶されているCRL(正規のCRL)に基づいて、当該CRLよりデータ量が小さい軽量化CRLを作成する(ステップS11)。 When the authentication server SA receives the request for the lightweight CRL from the IoT device T1, it starts the process (process for creating and providing the lightweight CRL) shown in FIG. 2(B). When the process shown in FIG. 2A is started, the control unit 3 of the authentication server SA, based on the CRL (authorized CRL) stored in the storage unit 2, responds to the received request. A lightweight CRL having a data amount smaller than that of the CRL is created (step S11).
ここで、図3を参照して、軽量化CRLの作成方法について説明する。図3は、軽量化CRLの作成方法を示す概念図である。図3の例では、(A)~(C)の3種類の軽量化CRLの作成方法を示している。図3(A)の場合、認証サーバSAの制御部3は、IoT機器T1の通信相手の情報(例えば、アプリケーションサーバSA1の識別名やIoT機器T2,T4の識別名)をIoT機器T1から取得する。例えば、IoT機器T1の制御部13が通信相手の情報を軽量化CRLの要求に含ませて認証サーバSAへ送信するとよい。認証サーバSAの制御部3は、記憶部2に記憶されているCRLにおける複数の電子証明書それぞれの情報(例えば、電子証明書のシリアル番号)のうち、軽量化CRLの要求に含まれる“IoT機器T1の通信相手の情報”から特定される電子証明書以外の電子証明書の情報を削除することで軽量化CRLを作成する。つまり、IoT機器T1と通信しない機器の電子証明書の情報が正規のCRLから除かれて軽量化CRLが作成される。なお、IoT機器T1の通信相手の情報は、記憶部12に予め記憶される。また、IoT機器T1の通信相手の情報は、認証サーバSAに予め記憶されてもよい。
Here, a method for creating a lightweight CRL will be described with reference to FIG. FIG. 3 is a conceptual diagram showing a method of creating a lightweight CRL. The example of FIG. 3 shows three methods of creating a lightweight CRL (A) to (C). In the case of FIG. 3A, the control unit 3 of the authentication server SA acquires communication partner information of the IoT device T1 (for example, the identification name of the application server SA1 and the identification names of the IoT devices T2 and T4) from the IoT device T1. do. For example, the control unit 13 of the IoT device T1 may include the information of the communication partner in the request for the lightweight CRL and transmit the request to the authentication server SA. The control unit 3 of the authentication server SA selects the information (for example, the serial number of the electronic certificate) of each of the plurality of electronic certificates in the CRL stored in the storage unit 2, and selects the “IoT A lightweight CRL is created by deleting the electronic certificate information other than the electronic certificate specified from the communication partner information of the device T1. In other words, the lightweight CRL is created by removing the electronic certificate information of devices that do not communicate with the IoT device T1 from the normal CRL. Information about the communication partner of the IoT device T1 is stored in the
一方、図3(B)の場合、認証サーバSAの制御部3は、記憶部2に記憶されているCRLにおける複数の電子証明書それぞれの情報の一部分を削除することで軽量化CRLを作成する。ここで、電子証明書の情報の一部分とは、例えば、シリアル番号の下位所定バイトであってもよいし、シリアル番号の上位所定バイトであってもよいし、それ以外の部分のバイトであってもよい。つまり、シリアル番号を構成するバイト列の中の限られた範囲(例えば、数バイト~数十バイト)であればよい。一方、図3(C)の場合(図3(A)と図3(B)との組合せの場合)、認証サーバSAの制御部3は、記憶部2に記憶されているCRLにおける複数の電子証明書それぞれの情報のうち、軽量化CRLの要求に含まれる“IoT機器T1の通信相手の情報”から特定される電子証明書以外の電子証明書の情報を削除し、且つ当該要求に含まれる“IoT機器T1の通信相手の情報”から特定される電子証明書の情報の一部分を削除することで軽量化CRLを作成する。 On the other hand, in the case of FIG. 3B, the control unit 3 of the authentication server SA creates a lightweight CRL by deleting part of the information of each of the plurality of electronic certificates in the CRL stored in the storage unit 2. . Here, the part of the information of the electronic certificate may be, for example, a predetermined low-order byte of the serial number, a predetermined high-order byte of the serial number, or other bytes. good too. In other words, a limited range (for example, several bytes to several tens of bytes) in the byte string that constitutes the serial number is sufficient. On the other hand, in the case of FIG. 3(C) (the combination of FIGS. 3(A) and 3(B)), the control unit 3 of the authentication server SA stores a plurality of electronic Among the information of each certificate, delete the information of the electronic certificate other than the electronic certificate specified from the "communication partner information of the IoT device T1" included in the request for the lightweight CRL, and include it in the request. A lightened CRL is created by deleting part of the information of the electronic certificate specified from the "communication partner information of the IoT device T1".
そして、認証サーバSAの制御部3は、ステップS11で作成された軽量化CRLを、その要求を送信したIoT機器T1へ送信する(ステップS12)。IoT機器T1の制御部13は、認証サーバSAからの軽量化CRLを受信する(ステップS2)と、当該受信した軽量化CRLを記憶部12に記憶(保存)する(ステップS3)。こうして、軽量化CRLを保存したIoT機器T1の制御部13は、自身の通信相手から電子署名付のデータを受信した場合、軽量化CRLを参照して、当該通信相手の電子証明書が失効していないかどうかを確認することになる。 Then, the control unit 3 of the authentication server SA transmits the lightweight CRL created in step S11 to the IoT device T1 that transmitted the request (step S12). When the control unit 13 of the IoT device T1 receives the lightweight CRL from the authentication server SA (step S2), it stores (saves) the received lightweight CRL in the storage unit 12 (step S3). In this way, when the control unit 13 of the IoT device T1 that stores the lightweight CRL receives data with an electronic signature from its own communication partner, it refers to the lightweight CRL to determine whether the electronic certificate of the communication partner has been revoked. It will be checked to see if it is not.
ここで、図3(A)に示す軽量化CRLを用いる場合、IoT機器T1の制御部13は、例えば、軽量化CRLに記述された電子証明書のシリアル番号と、上記電子署名付のデータを送信した通信相手の電子証明書(これは、当該通信相手から取得される)のシリアル番号とが一致しているか否かを判定(軽量化CRLに複数の電子証明書のシリアル番号が記述されている場合、電子証明書のシリアル番号ごとに一致判定)する。そして、IoT機器T1の制御部13は、軽量化CRLに記述された何れかの電子証明書のシリアル番号と、当該通信相手の電子証明書のシリアル番号とが一致していると判定した場合、当該通信相手の電子証明書が失効していると判定する。 Here, when using the lightweight CRL shown in FIG. 3A, the control unit 13 of the IoT device T1, for example, receives the serial number of the electronic certificate described in the lightweight CRL and the data with the electronic signature. Determine whether or not the serial number of the transmitted communication partner's electronic certificate (which is acquired from the communication partner) matches If there is, match each serial number of the electronic certificate). Then, when the control unit 13 of the IoT device T1 determines that the serial number of any electronic certificate described in the lightweight CRL matches the serial number of the electronic certificate of the communication partner, It is determined that the electronic certificate of the communication partner has been revoked.
一方、図3(B),(C)に示す軽量化CRLを用いる場合、IoT機器T1の制御部13は、例えば、軽量化CRLに記述された電子証明書のシリアル番号の下位所定バイトと、上記電子署名付のデータを送信した通信相手の電子証明書のシリアル番号の下位所定バイトとが一致しているか否かを判定(軽量化CRLに複数の電子証明書のシリアル番号の下位所定バイトが記述されている場合、それらの下位所定バイトごとに一致判定)する。そして、IoT機器T1の制御部13は、軽量化CRLに記述された何れかの電子証明書のシリアル番号の下位所定バイトと、当該通信相手の電子証明書のシリアル番号の下位所定バイトとが一致していると判定した場合、認証サーバSAから正規のCRLを取得し、当該CRLに記述された電子証明書のシリアル番号と、当該通信相手の電子証明書のシリアル番号とが一致していると判定した場合、当該通信相手の電子証明書が失効していると判定する。別の例として、IoT機器T1の制御部13は、軽量化CRLに記述された何れかの電子証明書のシリアル番号の下位所定バイトと、当該通信相手の電子証明書のシリアル番号の下位所定バイトとが一致していると判定した場合、当該通信相手の電子証明書のシリアル番号をOCSPサーバへ送信することで、OCSPサーバに当該通信相手の電子証明書の有効性の確認をさせる。そして、IoT機器T1の制御部13は、OCSPサーバから有効性の確認結果を受信することで当該通信相手の電子証明書が失効していないかどうかを確認する。 On the other hand, when using the lightweight CRL shown in FIGS. 3B and 3C, the control unit 13 of the IoT device T1, for example, controls the lower predetermined bytes of the serial number of the electronic certificate described in the lightweight CRL, Determining whether the lower predetermined bytes of the serial number of the electronic certificate of the communication partner to which the data with the electronic signature was sent If it is written, it is determined whether it matches for each lower predetermined byte. Then, the control unit 13 of the IoT device T1 makes sure that the predetermined low-order bytes of the serial number of any electronic certificate described in the lightweight CRL match the predetermined low-order bytes of the serial number of the electronic certificate of the communication partner. If it is determined that they match, a regular CRL is acquired from the authentication server SA, and the serial number of the electronic certificate described in the CRL and the serial number of the electronic certificate of the communication partner match. If determined, it is determined that the electronic certificate of the communication partner has been revoked. As another example, the control unit 13 of the IoT device T1 can transfer the predetermined low-order bytes of the serial number of any electronic certificate described in the lightweight CRL and the predetermined low-order bytes of the serial number of the electronic certificate of the communication partner. are matched, the serial number of the electronic certificate of the communication partner is transmitted to the OCSP server, thereby causing the OCSP server to check the validity of the electronic certificate of the communication partner. Then, the control unit 13 of the IoT device T1 checks whether or not the electronic certificate of the communication partner has expired by receiving the validity check result from the OCSP server.
以上説明したように、実施例1によれば、IoT機器T1が軽量化CRLにより通信相手の電子証明書の有効性の確認を容易に行うことができ、これにより、IoT機器T1が踏み台にされる可能性(例えば、IoT機器をハッキングしてIoT機器からサーバ等が攻撃される可能性)が減り、セキュアなIoT環境の構築を実現することができる。加えて、実施例1によれば、認証サーバSAからIoT機器T1へ正規のCRLが送信されるのではなく、正規のCRLから作成された軽量化CRLが送信されるので、ネットワークNW上で送受信されるデータ量を低減(つまり、トラヒックを低減)することができる。 As described above, according to the first embodiment, the IoT device T1 can easily check the validity of the electronic certificate of the communication partner by using the lightweight CRL. (For example, the possibility that the IoT device is hacked and the server or the like is attacked by the IoT device) is reduced, and a secure IoT environment can be constructed. In addition, according to the first embodiment, the weighted CRL created from the authorized CRL is sent instead of the authorized CRL from the authentication server SA to the IoT device T1. It is possible to reduce the amount of data transmitted (that is, reduce traffic).
(実施例2)
次に、図4等を参照して、実施例2における軽量化CRL作成時の動作について説明する。図4(A)は、IoT機器T1の制御部13の処理を示すフローチャートであり、図4(B)は、認証サーバSAの制御部3の処理を示すフローチャートである。
(Example 2)
Next, with reference to FIG. 4, etc., the operation of creating a lightweight CRL in the second embodiment will be described. FIG. 4A is a flow chart showing processing of the control unit 13 of the IoT device T1, and FIG. 4B is a flow chart showing processing of the control unit 3 of the authentication server SA.
図4(A)に示す処理(軽量化CRLの作成処理)は、所定のタイミングで(例えば、タイマーにより定期的に、或いは、アプリケーションサーバSAmまたは他のIoT機器Tnとの間でセキュアな通信を行う直前に)開始される。図4(A)に示す処理が開始されると、IoT機器T1の制御部13は、通信部11及びネットワークNWを介して認証サーバSAにアクセスし、正規のCRLの要求を認証サーバSAへ送信する(ステップS21)。
The process shown in FIG. 4A (lightweight CRL creation process) is performed at a predetermined timing (for example, periodically by a timer, or by performing secure communication with the application server SAm or another IoT device Tn). immediately before doing). When the process shown in FIG. 4A is started, the control unit 13 of the IoT device T1 accesses the authentication server SA via the
認証サーバSAは、IoT機器T1からの正規のCRLの要求を受信すると、図4(B)に示す処理を開始する。図4(B)に示す処理が開始されると、認証サーバSAの制御部3は、受信された要求に応じて、記憶部2に記憶されているCRL(正規のCRL)を取得し(ステップS31)、取得したCRLを、その要求を送信したIoT機器T1へ送信する(ステップS32)。ここで、認証サーバSAは、CRLのデータ量に応じて、当該CRLを一括または分割で送信するとよい。 When the authentication server SA receives the request for the authorized CRL from the IoT device T1, it starts the process shown in FIG. 4(B). When the process shown in FIG. 4B is started, the control unit 3 of the authentication server SA acquires the CRL (authorized CRL) stored in the storage unit 2 according to the received request (step S31), the acquired CRL is transmitted to the IoT device T1 that transmitted the request (step S32). Here, the authentication server SA may send the CRL all at once or in segments according to the amount of data in the CRL.
IoT機器T1の制御部13は、認証サーバSAから一括または分割で送信されたCRLを受信する(ステップS22)と、受信されたCRLをバッファメモリに記憶し、軽量化CRLを作成する(ステップS23)。軽量化CRLの作成は、実施例1と同様、図3に示すように実行される。すなわち、図3(A)の場合、IoT機器T1の制御部13は、記憶部12に予め記憶されている通信相手の情報を取得し、受信されバッファメモリに記憶されているCRLにおける複数の電子証明書それぞれの情報のうち、IoT機器T1の通信相手の情報から特定される電子証明書以外の電子証明書の情報を削除することで軽量化CRLを作成する。
When the control unit 13 of the IoT device T1 receives the CRL transmitted collectively or in segments from the authentication server SA (step S22), it stores the received CRL in the buffer memory and creates a lightweight CRL (step S23). ). Creation of a lightweight CRL is executed as shown in FIG. 3, as in the first embodiment. That is, in the case of FIG. 3A, the control unit 13 of the IoT device T1 acquires the communication partner information stored in advance in the
一方、図3(B)の場合、IoT機器T1の制御部13は、バッファメモリに記憶されているCRLにおける複数の電子証明書それぞれの情報の一部分を削除することで軽量化CRLを作成する。一方、図3(C)の場合、IoT機器T1の制御部13は、バッファメモリに記憶されているCRLにおける複数の電子証明書それぞれの情報のうち、IoT機器T1の通信相手の情報から特定される電子証明書以外の電子証明書の情報を削除し、且つIoT機器T1の通信相手の情報から特定される電子証明書の情報の一部分を削除することで軽量化CRLを作成する。 On the other hand, in the case of FIG. 3B, the control unit 13 of the IoT device T1 creates a lightweight CRL by deleting part of the information of each of the plurality of electronic certificates in the CRL stored in the buffer memory. On the other hand, in the case of FIG. 3C, the control unit 13 of the IoT device T1 identifies from the information of the communication partner of the IoT device T1 among the information of each of the plurality of electronic certificates in the CRL stored in the buffer memory. A lightweight CRL is created by deleting the information of the electronic certificate other than the electronic certificate that is the electronic certificate that is used and part of the information of the electronic certificate that is specified from the information of the communication partner of the IoT device T1.
そして、IoT機器T1の制御部13は、ステップS23で作成された軽量化CRLを記憶部12に記憶(保存)し(ステップS24)、バッファメモリに記憶されているCRL(正規のCRL)を削除する(ステップS25)。こうして、軽量化CRLを保存したIoT機器T1の制御部13は、自身の通信相手から電子署名付のデータを受信した場合、軽量化CRLを参照して、当該通信相手の電子証明書が失効していないかどうかを確認することになる。 Then, the control unit 13 of the IoT device T1 stores (saves) the lightweight CRL created in step S23 in the storage unit 12 (step S24), and deletes the CRL (regular CRL) stored in the buffer memory. (step S25). In this way, when the control unit 13 of the IoT device T1 that stores the lightweight CRL receives data with an electronic signature from its own communication partner, it refers to the lightweight CRL to determine whether the electronic certificate of the communication partner has been revoked. It will be checked to see if it is not.
以上説明したように、実施例2によれば、IoT機器T1が軽量化CRLにより通信相手の電子証明書の有効性の確認を容易に行うことができ、これにより、IoT機器T1が踏み台にされる可能性が減り、セキュアなIoT環境の構築を実現することができる。加えて、実施例2によれば、認証サーバSAからIoT機器T1へ正規のCRLが送信され、IoT機器T1により軽量化CRLが作成されるため、認証サーバSAの作成負荷を低減することができる。 As described above, according to the second embodiment, the IoT device T1 can easily check the validity of the electronic certificate of the communication partner by using the lightweight CRL. It reduces the possibility of being lost, and can realize the construction of a secure IoT environment. In addition, according to the second embodiment, since the authorized CRL is transmitted from the authentication server SA to the IoT device T1 and the lightweight CRL is created by the IoT device T1, the creation load of the authentication server SA can be reduced. .
(実施例3)
次に、図5等を参照して、実施例3における軽量化CRL作成時の動作について説明する。図5(A)は、IoT機器T3の制御部13の処理を示すフローチャートであり、図5(B)は、IoT機器T2の制御部13の処理を示すフローチャートであり、図5(C)は、認証サーバSAの制御部3の処理を示すフローチャートである。なお、実施例3において、IoT機器T2は、ネットワークNWに接続不能な(そのため、認証サーバSAに直接アクセスできない)IoT機器T3(他の通信装置の一例)用の軽量化CRLを作成する機能を有する。
(Example 3)
Next, with reference to FIG. 5, etc., the operation of creating a lightweight CRL in the third embodiment will be described. FIG. 5A is a flowchart showing processing of the control unit 13 of the IoT device T3, FIG. 5B is a flowchart showing processing of the control unit 13 of the IoT device T2, and FIG. 3 is a flow chart showing processing of the control unit 3 of the authentication server SA. Note that, in the third embodiment, the IoT device T2 has a function of creating a lightweight CRL for the IoT device T3 (an example of another communication device) that cannot be connected to the network NW (and therefore cannot directly access the authentication server SA). .
図5(A)に示す処理(軽量化CRLの取得処理)は、所定のタイミングで(例えば、タイマーにより定期的に、或いは、他のIoT機器Tnとの間でセキュアな通信を行う直前に)開始される。図5(A)に示す処理が開始されると、IoT機器T3の制御部13は、通信部11を介して、軽量化CRLの要求をIoT機器T2へ送信する(ステップS41)。 The process shown in FIG. 5A (lightweight CRL acquisition process) is performed at a predetermined timing (for example, periodically by a timer, or immediately before performing secure communication with another IoT device Tn). be started. When the process shown in FIG. 5A is started, the control unit 13 of the IoT device T3 transmits a request for the weight reduction CRL to the IoT device T2 via the communication unit 11 (step S41).
IoT機器T2は、IoT機器T3からの軽量化CRLの要求を受信すると、図5(B)に示す処理(軽量化CRLの作成及び提供処理)を開始する。図5(B)に示す処理が開始されると、IoT機器T2の制御部13は、受信された要求に応じて、通信部11及びネットワークNWを介して認証サーバSAにアクセスし、正規のCRLの要求を認証サーバSAへ送信する(ステップS51)。
When the IoT device T2 receives the request for the lightweight CRL from the IoT device T3, the IoT device T2 starts the process (process for creating and providing the lightweight CRL) shown in FIG. 5(B). When the process shown in FIG. 5B is started, the control unit 13 of the IoT device T2 accesses the authentication server SA via the
認証サーバSAは、IoT機器T2からの正規のCRLの要求を受信すると、図5(C)に示す処理を開始する。図5(C)に示す処理が開始されると、認証サーバSAの制御部3は、受信された要求に応じて、記憶部2に記憶されているCRL(正規のCRL)を取得し(ステップS61)、取得したCRLを、その要求を送信したIoT機器T2へ送信する(ステップS62)。ここで、認証サーバSAは、CRLのデータ量に応じて、当該CRLを一括または分割で送信するとよい。 When the authentication server SA receives the request for the authorized CRL from the IoT device T2, it starts the processing shown in FIG. 5(C). When the process shown in FIG. 5C is started, the control unit 3 of the authentication server SA acquires the CRL (authorized CRL) stored in the storage unit 2 according to the received request (step S61), the acquired CRL is transmitted to the IoT device T2 that transmitted the request (step S62). Here, the authentication server SA may send the CRL all at once or in segments according to the amount of data in the CRL.
IoT機器T2の制御部13は、認証サーバSAから一括または分割で送信されたCRLを受信する(ステップS52)と、受信されたCRLをバッファメモリに記憶し、軽量化CRLを作成する(ステップS53)。軽量化CRLの作成は、実施例2と同様、図3に示すように実行される。 When the control unit 13 of the IoT device T2 receives the CRL transmitted collectively or in segments from the authentication server SA (step S52), it stores the received CRL in the buffer memory and creates a lightweight CRL (step S53). ). Creation of a lightweight CRL is executed as shown in FIG. 3, as in the second embodiment.
そして、IoT機器T2の制御部13は、ステップS53で作成された軽量化CRLに自身の電子署名を付し、当該軽量化CRLを、その要求を送信したIoT機器T3へ送信し(ステップS54)、バッファメモリに記憶されているCRL(正規のCRL)を削除する(ステップS55)。 Then, the control unit 13 of the IoT device T2 attaches its own electronic signature to the lightweight CRL created in step S53, and transmits the lightweight CRL to the IoT device T3 that transmitted the request (step S54). , the CRL (regular CRL) stored in the buffer memory is deleted (step S55).
IoT機器T3の制御部13は、IoT機器T2からの軽量化CRLを受信する(ステップS42)と、軽量化CRLに付された電子署名の署名検証をIoT機器T2の公開鍵を用いて行い、検証良好であれば、当該受信した軽量化CRLを記憶部12に記憶(保存)する(ステップS43)。こうして、軽量化CRLを保存したIoT機器T3の制御部13は、自身の通信相手から電子署名付のデータを受信した場合、軽量化CRLを参照して、当該通信相手の電子証明書が失効していないかどうかを確認することになる。 When the control unit 13 of the IoT device T3 receives the weighted CRL from the IoT device T2 (step S42), the electronic signature attached to the weighted CRL is verified using the public key of the IoT device T2. If the verification is successful, the received lightweight CRL is stored (saved) in the storage unit 12 (step S43). In this way, when the control unit 13 of the IoT device T3 that has stored the lightweight CRL receives data with an electronic signature from its own communication partner, it refers to the lightweight CRL to determine whether the electronic certificate of the communication partner has been revoked. It will be checked to see if it is not.
以上説明したように、実施例3によれば、認証サーバSAに直接アクセスできないIoT機器T3であっても、IoT機器T2から軽量化CRLを容易に取得でき、当該軽量化CRLにより通信相手の電子証明書の有効性の確認を容易に行うことができ、これにより、IoT機器T3が踏み台にされる可能性が減り、セキュアなIoT環境の構築を実現することができる。加えて、実施例3によれば、認証サーバSAからIoT機器T2へ正規のCRLが送信され、IoT機器T2により軽量化CRLが作成されるため、認証サーバSAの作成負荷を低減することができる。なお、実施例3においても、実施例1と同様に、認証サーバSAが軽量化CRLを作成してIoT機器T2へ送信してもよい。 As described above, according to the third embodiment, even the IoT device T3, which cannot directly access the authentication server SA, can easily acquire the lightweight CRL from the IoT device T2, and the electronic certification of the communication partner can be obtained by the lightweight CRL. This makes it possible to easily confirm the validity of the document, thereby reducing the possibility that the IoT device T3 will be used as a stepping stone and realizing the construction of a secure IoT environment. In addition, according to the third embodiment, since the authentic CRL is transmitted from the authentication server SA to the IoT device T2 and the lightweight CRL is created by the IoT device T2, the creation load of the authentication server SA can be reduced. . Also in the third embodiment, as in the first embodiment, the authentication server SA may create a lightweight CRL and transmit it to the IoT device T2.
以上説明した実施形態においては、本発明をIoTシステムに対して適用したが、IoTシステム以外の通信システムに対しても適用可能である。 In the embodiments described above, the present invention is applied to the IoT system, but it is also applicable to communication systems other than the IoT system.
1 通信部
2 記憶部
3 制御部
11 通信部
12 記憶部
13 制御部
SA 認証サーバ
SAm アプリケーションサーバ
Tn IoT機器
1 communication unit 2 storage unit 3
Claims (6)
他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信する受信手段と、
前記受信手段により受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するリスト取得手段と、
前記リスト取得手段により取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成する作成手段と、
前記作成手段により作成された証明書失効リストを、前記他の通信装置へ送信する送信手段と、
前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記リスト取得手段により取得された証明書失効リストを削除する削除手段と、
を備えることを特徴とする通信装置。 A communication device accessible via a network to a server device storing a certificate revocation list describing information about each of a plurality of revoked electronic certificates,
receiving means for receiving a request for a certificate revocation list for another communication device from another communication device;
list obtaining means for obtaining the certificate revocation list from the server device in response to the request received by the receiving means ;
creation means for creating, based on the certificate revocation list acquired by the list acquisition means, the certificate revocation list for the other communication device, the data amount of which is smaller than that of the certificate revocation list;
a transmitting means for transmitting the certificate revocation list created by the creating means to the other communication device;
a deletion means for deleting the certificate revocation list acquired by the list acquisition means after the certificate revocation list for the other communication device is transmitted to the other communication device;
A communication device comprising:
他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信するステップと、
前記受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するステップと、
前記取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成するステップと、
前記作成された証明書失効リストを、前記他の通信装置へ送信するステップと、
前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記取得された証明書失効リストを削除するステップと、
を含むことを特徴とする証明書失効リスト作成方法。 A certificate revocation list creation method executed by a communication device accessible via a network to a server device storing a certificate revocation list describing information of each of a plurality of revoked electronic certificates,
receiving a request from another communication device for a certificate revocation list for that other communication device;
obtaining the certificate revocation list from the server device in response to the received request ;
creating, based on the obtained certificate revocation list, the certificate revocation list for the other communication device having a smaller amount of data than the certificate revocation list;
transmitting the created certificate revocation list to the other communication device;
deleting the obtained certificate revocation list after the certificate revocation list for the other communication device has been sent to the other communication device;
A method for creating a certificate revocation list, comprising:
他の通信装置から当該他の通信装置用の証明書失効リストの要求を受信する受信手段と、
前記受信手段により受信された要求に応じて、前記サーバ装置から前記証明書失効リストを取得するリスト取得手段と、
前記リスト取得手段により取得された証明書失効リストに基づいて、当該証明書失効リストよりデータ量が小さい、前記他の通信装置用の前記証明書失効リストを作成する作成手段と、
前記作成手段により作成された証明書失効リストを、前記他の通信装置へ送信する送信手段と、
前記他の通信装置用の前記証明書失効リストが前記他の通信装置へ送信された後、前記リスト取得手段により取得された証明書失効リストを削除する削除手段として機能させることを特徴とするプログラム。 a computer included in a communication device that is accessible via a network to a server device that stores a certificate revocation list that describes information on each of a plurality of revoked electronic certificates;
receiving means for receiving a request for a certificate revocation list for another communication device from another communication device;
list obtaining means for obtaining the certificate revocation list from the server device in response to the request received by the receiving means ;
creation means for creating, based on the certificate revocation list acquired by the list acquisition means, the certificate revocation list for the other communication device, the data amount of which is smaller than that of the certificate revocation list;
a transmitting means for transmitting the certificate revocation list created by the creating means to the other communication device;
A program that functions as deletion means for deleting the certificate revocation list acquired by the list acquisition means after the certificate revocation list for the other communication device is transmitted to the other communication device. .
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018183844A JP7119851B2 (en) | 2018-09-28 | 2018-09-28 | Communication device, certificate revocation list creation method, and program |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018183844A JP7119851B2 (en) | 2018-09-28 | 2018-09-28 | Communication device, certificate revocation list creation method, and program |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2020053921A JP2020053921A (en) | 2020-04-02 |
JP7119851B2 true JP7119851B2 (en) | 2022-08-17 |
Family
ID=69997735
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018183844A Active JP7119851B2 (en) | 2018-09-28 | 2018-09-28 | Communication device, certificate revocation list creation method, and program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP7119851B2 (en) |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2006524860A (en) | 2003-04-28 | 2006-11-02 | コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ | How to store revocation lists |
JP2007037197A (en) | 2001-08-01 | 2007-02-08 | Matsushita Electric Ind Co Ltd | Encrypted data delivery system |
WO2015111107A1 (en) | 2014-01-22 | 2015-07-30 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | Authentication method |
-
2018
- 2018-09-28 JP JP2018183844A patent/JP7119851B2/en active Active
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007037197A (en) | 2001-08-01 | 2007-02-08 | Matsushita Electric Ind Co Ltd | Encrypted data delivery system |
JP2006524860A (en) | 2003-04-28 | 2006-11-02 | コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ | How to store revocation lists |
WO2015111107A1 (en) | 2014-01-22 | 2015-07-30 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | Authentication method |
Also Published As
Publication number | Publication date |
---|---|
JP2020053921A (en) | 2020-04-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
KR101979586B1 (en) | IoT DEVICE MANAGED BASED ON BLOCK CHAIN, SYSTEM AND METHOD THEREOF | |
JP6078686B2 (en) | Authentication system, in-vehicle control device | |
US9438583B2 (en) | Certificate generation method, certificate generation apparatus, information processing apparatus, and communication device | |
JP2008022526A (en) | Attribute certificate verification method, attribute authority apparatus, service providing apparatus, and attribute certificate verification system | |
JP4533935B2 (en) | License authentication system and authentication method | |
JP4175386B2 (en) | Information processing system, information processing apparatus, and integrated circuit chip | |
JP6644037B2 (en) | Communication control system | |
JP6572750B2 (en) | Authentication control program, authentication control device, and authentication control method | |
JP2004072717A (en) | Authentication base system with notification function for issuance of crl | |
JP2010165231A (en) | Server authentication method and client terminal | |
TWI572208B (en) | Verification method applied to remote connection and related verification system and related ip camera | |
JP6635970B2 (en) | Communication device | |
JP7119851B2 (en) | Communication device, certificate revocation list creation method, and program | |
JP6813442B2 (en) | Verification device | |
US20090210719A1 (en) | Communication control method of determining whether communication is permitted/not permitted, and computer-readable recording medium recording communication control program | |
JP2011100411A (en) | Authentication proxy server apparatus, authentication proxy method and program | |
JP4787730B2 (en) | Wireless LAN terminal and wireless LAN system | |
JP4611680B2 (en) | COMMUNICATION DEVICE, COMMUNICATION SYSTEM, COMMUNICATION METHOD, AND PROGRAM | |
JP2020113868A (en) | Information processing system, information device, server device, information processing method, certificate issuing method, and program | |
JP4878566B2 (en) | Digital certificate distribution system, digital certificate distribution method, and digital certificate distribution program | |
KR102306466B1 (en) | System for non-replicable authentication and location estimation and operation method thereof | |
JP2006005613A (en) | Authentication system | |
JP2022064688A (en) | IoT DEVICE AUTHENTICATION SYSTEM, IoT DEVICE AUTHENTICATION METHOD, KEY DISTRIBUTION SERVER, AND IC CHIP | |
JP4611678B2 (en) | COMMUNICATION DEVICE, COMMUNICATION SYSTEM, COMMUNICATION METHOD, AND PROGRAM | |
JP5772148B2 (en) | Authentication system, authentication device, certificate authority, authentication method, and program |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210727 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20220419 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20220420 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220615 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220705 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220718 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 7119851 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |