JP7174237B2 - 鍵生成装置、鍵更新方法および鍵更新プログラム - Google Patents

Description

本発明は鍵生成装置、鍵更新方法および鍵更新プログラムに関する。

端末装置が相手装置と通信するとき、セキュリティを向上させるため公開鍵暗号を利用することがある。例えば、端末装置がアクセスポイントに無線で接続しようとするとき、公開鍵暗号により端末装置を認証し、認証に成功した場合にアクセスポイントへの接続を許可することで、アクセスポイントへの不正接続を抑制することがある。その場合、端末装置が当該端末装置に対応する秘密鍵を保持し、相手装置が当該端末装置に対応する公開鍵を保持することになる。公開鍵や秘密鍵を予め設定することをプロビジョニングと言うことがあり、これらの鍵を無効化することをデプロビジョニングと言うことがある。

なお、認証局が鍵を更新する場合の過渡期間の認証処理を円滑化する証明書発行装置が提案されている。提案の証明書発行装置は、認証局の旧公開鍵証明書および新公開鍵証明書と、認証局の新公開鍵証明書に依存する端末装置の新公開鍵証明書とを、ハードウェアトークンに書き込んで端末装置に配布する。これにより、端末装置と通信する認証サーバは、認証サーバの旧公開鍵証明書を使用して、公開鍵証明書をまだ更新していない端末装置および既に更新した端末装置の両方について認証処理を行うことができる。

また、認証局が鍵を更新した場合に端末装置の公開鍵証明書の有効性を検証する検証サーバが提案されている。提案の検証サーバは、認証局の新公開鍵証明書と、更新の前後に発行された端末装置の公開鍵証明書の失効リストとを保持する。検証サーバは、ある端末装置の公開鍵証明書と、当該端末装置の公開鍵証明書が発行された当時の認証局の旧公開鍵証明書とを含む検証要求を受信する。すると、検証サーバは、認証局の正当性が確認され、かつ、検証対象の端末装置の公開鍵証明書が失効リストに含まれていなければ、検証対象の端末装置の公開鍵証明書は有効であると判定して検証結果を返信する。

特開２００４－２４８２２０号公報 特開２０１０－１１８８５８号公報

プロビジョニングにおいて各端末装置に安全に秘密鍵を設定することは、可搬記録媒体やケーブルなどを用いた管理者の手作業を要することがあり、負担が大きい。一方で、各端末装置に割り当てられた公開鍵と秘密鍵の鍵ペアは永久に使用してよいわけではなく、セキュリティの観点から有効期間が存在する。有効期間は、平文や暗号文や公開鍵から秘密鍵を推定するための理論上の所要解読時間を考慮して決定される。そのため、各端末装置の鍵ペアを定期的に更新することになる。また、鍵生成アルゴリズムに脆弱性が発見されることで理論上の所要解読時間が短くなることがある。その場合、各端末装置の鍵ペアを臨時で更新することになる。よって、鍵更新の負担が大きいという問題がある。

１つの側面では、本発明は、鍵更新を簡素化する鍵生成装置、鍵更新方法および鍵更新プログラムを提供することを目的とする。

１つの態様では、記憶部と通信部と処理部とを有する鍵生成装置が提供される。記憶部は、第１の公開鍵に対応する第１の秘密鍵を記憶する。通信部は、第１の公開鍵を保持する相手装置と通信する。処理部は、相手装置からの鍵更新要求に応じて第２の公開鍵および第２の秘密鍵を生成し、第２の公開鍵を含むデータから第１の秘密鍵で暗号化されたデジタル署名を生成し、データおよびデジタル署名を含むメッセージを相手装置に送信させ、第１の秘密鍵を第２の秘密鍵に切り替える。

また、１つの態様では、コンピュータが実行する鍵更新方法が提供される。また、１つの態様では、コンピュータに実行させる鍵更新プログラムが提供される。

１つの側面では、鍵更新を簡素化できる。

第１の実施の形態の鍵生成装置の例を説明する図である。 第２の実施の形態の情報処理システムの例を示す図である。 端末装置のハードウェア例を示すブロック図である。 アクセスポイントのハードウェア例を示すブロック図である。 公開鍵暗号による端末装置の認証例を示す図である。 親子証明書を用いた鍵更新例を示す図である。 鍵更新期間の端末装置の認証例を示す図である。 出生属性の生成例を示す図である。 端末装置とアクセスポイントの機能例を示すブロック図である。 端末装置のデータ構造例を示す図である。 アクセスポイントのデータ構造例を示す図である。 端末装置の手順例を示すフローチャートである。 端末装置の手順例を示すフローチャート（続き）である。 アクセスポイントの手順例を示すフローチャートである。

以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
第１の実施の形態を説明する。

図１は、第１の実施の形態の鍵生成装置の例を説明する図である。
鍵生成装置１０は、公開鍵暗号を用いて相手装置２０と通信する。鍵生成装置１０は、情報処理装置やコンピュータと言うこともできる。鍵生成装置１０は、ユーザが操作する端末装置でもよいしサーバ装置でもよい。鍵生成装置１０と相手装置２０とは、無線ネットワークを介して通信してもよいし有線ネットワークを介して通信してもよい。相手装置２０は、例えば、公開鍵暗号を用いて鍵生成装置１０を認証する。相手装置２０として、無線アクセスポイントやゲートウェイや認証サーバなど種々の装置が考えられる。

鍵生成装置１０に対しては、公開鍵２１（旧公開鍵）とそれに対応する秘密鍵１４（旧秘密鍵）とが割り当てられている。鍵生成装置１０は秘密鍵１４を保持し、相手装置２０は公開鍵２１を保持する。セキュリティの観点から、鍵生成装置１０の公開鍵および秘密鍵は定期的に更新することが好ましい。また、鍵生成アルゴリズムに脆弱性が発見された場合など、鍵生成装置１０の公開鍵および秘密鍵を臨時に更新すべき場合もある。第１の実施の形態では、鍵生成装置１０と相手装置２０が通信して、鍵生成装置１０が保持する秘密鍵１４と相手装置２０が保持する公開鍵２１を更新する。

鍵生成装置１０は、記憶部１１、通信部１２および処理部１３を有する。記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性の半導体メモリでもよいし、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などの不揮発性ストレージでもよい。また、記憶部１１は、ＨＳＭ（Hardware Security Module）などの耐タンパ性を備えるセキュリティデバイスがもつメモリであってもよい。通信部１２は、通信インタフェースである。通信部１２は、無線インタフェースでもよいし有線インタフェースでもよい。処理部１３は、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＤＳＰ（Digital Signal Processor）などのプロセッサである。ただし、処理部１３は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの特定用途の電子回路を含んでもよい。複数のプロセッサの集合を「マルチプロセッサ」または単に「プロセッサ」と言うことがある。

記憶部１１は、秘密鍵１４を記憶する。通信部１２は、秘密鍵１４に対応する公開鍵２１を保持する相手装置２０と通信する。処理部１３は、通信部１２を介して相手装置２０から鍵更新要求を受け付ける。鍵更新要求に応じて、処理部１３は、公開鍵２２（新公開鍵）およびそれに対応する秘密鍵１５（新秘密鍵）を生成する。

公開鍵２２と秘密鍵１５の生成後、処理部１３は、公開鍵２２を含むデータ１７を生成し、データ１７から秘密鍵１４で暗号化されたデジタル署名１８を生成する。データ１７は、公開鍵２２と秘密鍵１５の鍵ペアを識別する鍵ＩＤ、生成日、秘密鍵１４と秘密鍵１５が同じ装置で生成されたことを示す証明情報などを更に含んでもよい。デジタル署名１８は、データ１７またはデータ１７のハッシュ値を秘密鍵１４で暗号化したものである。処理部１３は、データ１７およびデジタル署名１８を含むメッセージ１６を生成し、メッセージ１６を通信部１２を介して相手装置２０に送信する。そして、処理部１３は、鍵生成装置１０が保持する秘密鍵１４を秘密鍵１５に切り替える。

メッセージ１６は、公開鍵２２（新公開鍵）の正当性を秘密鍵１４（旧秘密鍵）の保持者が保証するものであり、親子証明書と言うこともできる。メッセージ１６を受信した相手装置２０は、相手装置２０が保持する公開鍵２１を用いてデジタル署名１８を検証する。例えば、相手装置２０は、デジタル署名１８を公開鍵２１で復号し、復号結果がデータ１７またはデータ１７のハッシュ値と一致すれば検証成功と判断する。検証成功の場合、相手装置２０は自身が保持する公開鍵２１を公開鍵２２に切り替える。

メッセージ１６の送信は、鍵生成装置１０が相手装置２０に接続するときなど、相手装置２０が鍵生成装置１０を認証するときに行ってもよい。チャレンジレスポンス方式で鍵生成装置１０を認証する場合、例えば、相手装置２０から鍵生成装置１０にチャレンジメッセージが送信され、レスポンスメッセージとして鍵生成装置１０から相手装置２０にメッセージ１６が送信される。データ１７は、チャレンジとしての文字列またはチャレンジから生成された文字列を更に含んでもよい。チャレンジメッセージは、使用する秘密鍵を指定する鍵ＩＤを含んでもよい。公開鍵２２および秘密鍵１５が生成された後、秘密鍵１４を指定するチャレンジメッセージを受け付けた場合に、処理部１３は、鍵更新のためにメッセージ１６をレスポンスメッセージとして送信するようにしてもよい。

第１の実施の形態の鍵生成装置１０によれば、公開鍵２１（旧公開鍵）を保持する相手装置２０からの鍵更新要求に応じて公開鍵２２（新公開鍵）および秘密鍵１５（新秘密鍵）が生成される。公開鍵２２を含むデータ１７から秘密鍵１４（旧秘密鍵）で暗号化されたデジタル署名１８が生成され、データ１７およびデジタル署名１８を含むメッセージ１６が相手装置２０に送信される。そして、秘密鍵１４が秘密鍵１５に切り替えられる。

これにより、相手装置２０は公開鍵２１を用いてデジタル署名１８を検証することで、公開鍵２２の正当性が秘密鍵１４の保持者によって保証されていることを確認できる。よって、相手装置２０は、安全に公開鍵２１を公開鍵２２に切り替えることができる。また、公開鍵暗号を利用する鍵生成装置１０と相手装置２０の鍵更新を簡素化できる。例えば、秘密鍵１５の配布にあたり可搬記録媒体やケーブルなどを用いた管理者の手作業を省略することが可能となり、管理者の負担を軽減できる。

［第２の実施の形態］
次に、第２の実施の形態を説明する。
図２は、第２の実施の形態の情報処理システムの例を示す図である。

第２の実施の形態の情報処理システムは、無線通信を行うアクセスポイントが接続時に端末装置を認証し、許可されていない者による不正接続を抑止するものである。
第２の実施の形態の情報処理システムは、端末装置１００，１００－１，１００－２などの複数の端末装置と、アクセスポイント２００，２００－１，２００－２などの複数のアクセスポイントを有する。これら複数のアクセスポイントはネットワーク３０に接続されている。ネットワーク３０は、ＬＡＮ（Local Area Network）などの有線ローカルネットワークである。複数の端末装置と複数のアクセスポイントとは無線で通信する。各端末装置は、これら複数のアクセスポイントの何れにも接続することができる。例えば、各端末装置は、所定の複数のアクセスポイントの中から近傍のアクセスポイントを探索し、探索した近傍のアクセスポイントに接続して無線通信を行う。

第２の実施の形態の情報処理システムは学校に設置されてもよい。例えば、複数のアクセスポイントは校内の異なる場所に配置される。複数の端末装置は生徒に貸与される。複数の端末装置は、授業に使用するタブレット端末であってもよい。生徒は端末装置を持って移動してもよい。なお、端末装置１００は、第１の実施の形態の鍵生成装置１０に対応する。アクセスポイント２００は、第１の実施の形態の相手装置２０に対応する。

図３は、端末装置のハードウェア例を示すブロック図である。
端末装置１００は、バスに接続されたＣＰＵ１０１、ＲＡＭ１０２、ＳＳＤ１０３、ＨＳＭ１０４、ディスプレイ１０５、タッチパネル１０６、カードリーダ１０７および無線インタフェース１０８を有する。端末装置１００－１，１００－２などの他の端末装置も、端末装置１００と同様のハードウェアを有する。なお、ＲＡＭ１０２、ＨＤＤ１０３またはＨＳＭ１０４は、第１の実施の形態の記憶部１１に対応する。無線インタフェース１０８は、第１の実施の形態の通信部１２に対応する。ＣＰＵ１０１またＨＳＭ１０４は、第１の実施の形態の処理部１３に対応する。

ＣＰＵ１０１は、プログラムの命令を実行するプロセッサである。ＣＰＵ１０１は、ＳＳＤ１０３に記憶されたプログラムやデータの少なくとも一部をＲＡＭ１０２にロードし、プログラムを実行する。なお、ＣＰＵ１０１は複数のプロセッサコアを備えてもよく、端末装置１００は複数のプロセッサを備えてもよい。複数のプロセッサの集合を「マルチプロセッサ」または単に「プロセッサ」と言うことがある。

ＲＡＭ１０２は、ＣＰＵ１０１が実行するプログラムやＣＰＵ１０１が演算に使用するデータを一時的に記憶する揮発性の半導体メモリである。なお、端末装置１００は、ＲＡＭ以外の種類のメモリを備えてもよく、複数のメモリを備えてもよい。

ＳＳＤ１０３は、ＯＳ（Operating System）やアプリケーションソフトウェアなどのプログラムおよびデータを記憶する不揮発性ストレージである。なお、端末装置１００は、ＨＤＤなど他の種類の不揮発性ストレージを備えてもよい。

ＨＳＭ１０４は、公開鍵や秘密鍵などの暗号鍵を安全に管理するセキュリティデバイスである。ＨＳＭ１０４は、暗号鍵を記憶する不揮発性ストレージと、暗号鍵に関する処理を行う電子回路とを含む。例えば、ＨＳＭ１０４は、ＣＰＵ１０１からの命令に応じて、所定の鍵生成アルゴリズムに従って新たな暗号鍵を生成する。また、例えば、ＨＳＭ１０４は、ＣＰＵ１０１からの命令に応じて暗号鍵を内部の不揮発性ストレージに書き込み、外部からの不正アクセスに対して暗号鍵を保護する。また、例えば、ＨＳＭ１０４は、ＣＰＵ１０１からの命令に応じて暗号化や復号などの暗号処理を行う。暗号処理には、秘密鍵を用いたデジタル署名の生成が含まれ得る。ただし、端末装置１００は、ＨＳＭ１０４を用いずにＯＳなどのソフトウェアを用いて暗号鍵を管理することも可能である。また、端末装置１００が２以上のＨＳＭを備えてもよい。

ディスプレイ１０５は、ＣＰＵ１０１からの命令に従って画像を表示する。ディスプレイ１０５として、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）や有機ＥＬ（ＯＥＬ：Organic Electro-Luminescence）ディスプレイなどを使用することができる。なお、端末装置１００は、他の種類の出力デバイスを備えてもよい。

タッチパネル１０６は、ディスプレイ１０５と重ねて配置され、ディスプレイ１０５に対するタッチ操作時のタッチ位置を検出する。タッチパネル１０６は、検出したタッチ位置をＣＰＵ１０１に通知する。タッチ位置の検出方式として、抵抗膜方式や静電容量方式などの任意の検出方式を用いることができる。なお、端末装置１００は、タッチパッド、キーワード、トラックボール、スイッチボタンなど、他の種類の入力デバイスを備えてもよい。また、端末装置１００は２以上の入力デバイスを備えてもよい。

カードリーダ１０７は、メモリカード１０９に記録されたプログラムやデータを読み取る読み取りデバイスである。メモリカード１０９は、フラッシュメモリなどを用いた不揮発性の半導体メモリであり、可搬記録媒体である。カードリーダ１０７は、メモリカード１０９から読み取ったプログラムやデータをＲＡＭ１０２またはＳＳＤ１０３に格納する。なお、端末装置１００は、他の種類の可搬記録媒体に記録されたプログラムやデータを読み取る読み取りデバイスを備えてもよい。他の種類の可搬記録媒体として、例えば、フレキシブルディスク（ＦＤ：Flexible Disk）などの磁気ディスク、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）などの光ディスク、光磁気ディスク（ＭＯ：Magneto-Optical disk）などが挙げられる。

無線インタフェース１０８は、アクセスポイント２００，２００－１，２００－２などのアクセスポイントに接続して無線通信を行う通信インタフェースである。無線インタフェース１０８は、例えば、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers）８０２．１１シリーズの通信規格に準拠している。

図４は、アクセスポイントのハードウェア例を示すブロック図である。
アクセスポイント２００は、バスに接続されたＣＰＵ２０１、ＲＭＡ２０２、ＳＳＤ２０３、画像インタフェース２０４、入力インタフェース２０５、無線インタフェース２０６および有線インタフェース２０７を有する。アクセスポイント２００－１，２００－２などの他のアクセスポイントもアクセスポイント２００と同様のハードウェアを有する。

ＣＰＵ２０１は、プログラムの命令を実行するプロセッサである。ＣＰＵ２０１は、ＳＳＤ２０３に記憶されたプログラムやデータの少なくとも一部をＲＡＭ２０２にロードし、プログラムを実行する。ＲＡＭ２０２は、ＣＰＵ２０１が実行するプログラムやＣＰＵ２０１が演算に使用するデータを一時的に記憶する揮発性の半導体メモリである。ＳＳＤ２０３は、プログラムおよびデータを記憶する不揮発性ストレージである。なお、アクセスポイント２００は、ＨＤＤなど他の種類の不揮発性ストレージを備えてもよい。

画像インタフェース２０４は、ＣＰＵ２０１からの命令に応じて、アクセスポイント２００に接続されたプロジェクタ２０８に画像を出力する。プロジェクタ２０８は、スクリーンに画像を投影する表示装置である。ただし、アクセスポイント２００には、液晶ディスプレイや有機ＥＬディスプレイなど他の種類の表示装置が接続されてもよい。

入力インタフェース２０５は、アクセスポイント２００に接続されたキーボード２０９から入力信号を受信し、入力信号をＣＰＵ２０１に通知する。ただし、アクセスポイント２００には、マウスなど他の種類の入力デバイスが接続されてもよい。

無線インタフェース２０６は、端末装置１００，１００－１，１００－２などの端末装置から接続要求を受け付けて無線通信を行う通信インタフェースである。有線インタフェース２０７は、ネットワーク３０に接続される通信インタフェースである。有線インタフェース２０７は、ネットワーク３０を介してアクセスポイント２００－１，２００－２などの他のアクセスポイントと通信を行うことができる。例えば、有線インタフェース２０７は、ケーブルを用いてスイッチやルータなどの有線通信装置に接続される。

次に、１つの端末装置が１つのアクセスポイントに接続する際の認証について説明する。第２の実施の形態では、公開鍵暗号を用いたチャレンジレスポンス方式により、アクセスポイントが端末装置を認証する。複数の端末装置にはそれぞれ、プロビジョニングにより予め当該端末装置の秘密鍵が設定される。複数のアクセスポイントにはそれぞれ、プロビジョニングにより予め複数の端末装置の公開鍵が設定される。

図５は、公開鍵暗号による端末装置の認証例を示す図である。
ここでは、端末装置１００がアクセスポイント２００に接続するものとする。端末装置１００は、端末装置１００の公開鍵４１と公開鍵４１に対応する秘密鍵４２とを保持する。ただし、公開鍵４１はアクセスポイント２００が使用可能であればよく、端末装置１００が公開鍵４１を保持していなくてもよい。アクセスポイント２００は、端末装置１００のＭＡＣ（Medium Access Control）アドレス４３に対応付けて公開鍵４１を保持する。ＭＡＣアドレス４３は、無線インタフェース１０８を識別する物理アドレスである。

端末装置１００は、端末装置１００のＭＡＣアドレス４３をアクセスポイント２００に通知する。アクセスポイント２００は、チャレンジ４４を端末装置１００に送信する。チャレンジ４４は、例えば、ランダムに生成された文字列など、認証毎に変化する情報である。端末装置１００は、チャレンジ４４と秘密鍵４２からデジタル署名４５を生成する。例えば、端末装置１００は、チャレンジ４４自体、チャレンジ４４と他の文字列を合成したもの、または、それらのハッシュ値などの符号を、秘密鍵４２で暗号化する。

端末装置１００は、デジタル署名４５をアクセスポイント２００に送信する。アクセスポイント２００は、デジタル署名４５を検証する。具体的には、アクセスポイント２００は、端末装置１００から通知されたＭＡＣアドレス４３に対応する公開鍵４１を用いてデジタル署名を復号する。アクセスポイント２００は、送信したチャレンジ４４自体、チャレンジ４４と他の文字列を合成したもの、または、それらのハッシュ値などの符号と、デジタル署名４５の復号結果とを照合し、両者が一致する場合に検証成功と判断する。

公開鍵４１に対応する秘密鍵４２は正当な端末装置のみが保持しているという前提のもと、適切な内容のデジタル署名が秘密鍵４２で生成されたことを確認することで、端末装置１００が正当な端末装置であると判断できる。デジタル署名４５の検証が成功の場合、アクセスポイント２００は端末装置１００からの接続を許可する。このように、公開鍵暗号を用いてアクセスポイント２００のセキュリティを向上させることができる。

ここで、端末装置１００，１００－１，１００－２などの複数の端末装置の公開鍵および秘密鍵は、セキュリティの観点から定期的に更新することが好ましい。秘密鍵が直接漏洩しなくても長い時間をかければ、平文と暗号文と公開鍵から暗号解読処理により秘密鍵が推定され得るためである。また、鍵生成アルゴリズムに脆弱性が発見されることがあり、複数の端末装置の公開鍵および秘密鍵を臨時的に更新することが好ましい場合がある。

しかし、複数の端末装置が保持する秘密鍵および複数のアクセスポイントが保持する公開鍵を安全に更新することは、管理者の負担が大きいという問題がある。例えば、ケーブルや可搬記録媒体を用いて複数の端末装置それぞれに秘密鍵を設定することは、管理者の負担が大きい手作業を要する。また、複数のアクセスポイントへの公開鍵の配布は、鍵管理サーバを用いて一元的に行うことも考えられる。しかしながら、鍵管理サーバを別途運用することは管理者の負担が大きく、学校などの特定の運用環境では情報処理スキルの高い適切な管理者を任命することが難しい場合もある。そこで、第２の実施の形態では、以下に説明するように鍵更新を簡潔に行えるようにする。

図６は、親子証明書を用いた鍵更新例を示す図である。
ここでは、端末装置１００の公開鍵および秘密鍵の更新を、端末装置１００およびアクセスポイント２００，２００－１，２００－２に反映させるものとする。端末装置１００は、端末装置１００の旧公開鍵５１と、旧公開鍵５１に対応する旧秘密鍵５２とを保持している。ただし、端末装置１００は旧公開鍵５１を保持していなくてもよい。アクセスポイント２００は、端末装置１００の旧公開鍵５１を保持している。同様に、アクセスポイント２００－１，２００－２は、端末装置１００の旧公開鍵５１を保持している。

管理者が鍵更新を決定すると、管理者は何れか１つのアクセスポイントに対して更新開始を設定する。更新開始の設定を行うアクセスポイントはランダムに選択してよく、１つのアクセスポイントのみでよい。ここでは、管理者はアクセスポイント２００に対して更新開始を設定したとする。例えば、アクセスポイント２００は、管理画面をプロジェクタ２０８に出力し、キーボード２０９から入力を受け付ける。管理者は、プロジェクタ２０８が投影する管理画面を見ながら、キーボード２０９を用いて設定事項を入力する。

管理者がアクセスポイント２００に更新開始を設定した後、端末装置１００が初めてアクセスポイント２００に接続しようとすると、アクセスポイント２００は端末装置１００に鍵更新コマンド５３を送信する。鍵更新コマンド５３には更新期限が含まれる。端末装置１００は、鍵更新コマンド５３を受信すると、端末装置１００の新公開鍵５４と、新公開鍵５４に対応する新秘密鍵５５とを生成する。端末装置１００は、新秘密鍵５５を安全に保持すると共に、旧秘密鍵５２を破棄せずに少なくとも更新期限まで保持する。

端末装置１００は、新公開鍵５４および新秘密鍵５５が生成されると、アクセスポイント２００からのチャレンジに応答して、通常のレスポンスに代えて親子証明書５６を送信する。親子証明書５６は、新公開鍵５４が正当であることを旧秘密鍵５２の保持者が保証するデジタル証明書である。親子証明書５６は、生成された新公開鍵５４およびデジタル署名５７を含む。デジタル署名５７は、新公開鍵５４を含むデータまたはそのハッシュ値を旧秘密鍵５２を用いて暗号化したものである。

アクセスポイント２００は、親子証明書５６に含まれるデジタル署名５７を検証する。具体的には、アクセスポイント２００は、旧公開鍵５１を用いてデジタル署名５７を復号し、親子証明書５６に含まれるデータまたはそのハッシュ値と復号結果とを照合する。両者が一致している場合は検証成功となり、両者が一致しない場合は検証失敗となる。デジタル署名５７の検証に成功したことは、親子証明書５６に含まれる新公開鍵５４が正当であることを、旧公開鍵５１に対応する旧秘密鍵５２の保持者が保証したことを意味する。正当な端末装置のみが旧秘密鍵５２を保持していれば、親子証明書５６も信頼できる。検証成功時には、アクセスポイント２００は、旧公開鍵５１を新公開鍵５４に更新する。

アクセスポイント２００は、旧公開鍵５１を新公開鍵５４に更新した場合、可能であればネットワーク３０を介して新公開鍵５４を他のアクセスポイントにブロードキャストする。これにより、端末装置１００と他のアクセスポイントとの間の更新手続を省略できる場合がある。他のアクセスポイントへの新公開鍵５４の送信が失敗する場合としては、例えば、当該他のアクセスポイントの電源が一時的にＯＦＦになっていた場合や、ネットワーク３０が一時的に使用不可になっていた場合などが考えられる。

ここでは、アクセスポイント２００からアクセスポイント２００－１への新公開鍵５４の送信が成功し、アクセスポイント２００からアクセスポイント２００－２への新公開鍵５４の送信が失敗したとする。アクセスポイント２００－１は、新公開鍵５４を受信し、アクセスポイント２００－１が保持する旧公開鍵５１を新公開鍵５４に更新する。

その後、端末装置１００が次にアクセスポイント２００に接続しようとするとき、アクセスポイント２００が保持する公開鍵は更新済であり、アクセスポイント２００から端末装置１００に鍵更新コマンドは送信されない。また、アクセスポイント２００から端末装置１００へのチャレンジに対して、端末装置１００からアクセスポイント２００に親子証明書は送信されず、通常のレスポンスが送信される。このとき、旧秘密鍵５２ではなく新秘密鍵５５を用いて暗号化されたデジタル署名が送信されることになる。

端末装置１００がアクセスポイント２００－１に接続しようとするとき、アクセスポイント２００－１には更新開始が設定されていないため、アクセスポイント２００－１から端末装置１００には鍵更新コマンドは送信されない。また、端末装置１００とアクセスポイント２００－１との間では更新手続は行われていないものの、アクセスポイント２００－１が保持する公開鍵は更新済である。よって、アクセスポイント２００－１から端末装置１００へのチャレンジに対して、端末装置１００からアクセスポイント２００－１に親子証明書は送信されず、通常のレスポンスが送信される。

端末装置１００がアクセスポイント２００－２に接続しようとするとき、アクセスポイント２００－２には更新開始が設定されていないため、アクセスポイント２００－２から端末装置１００には鍵更新コマンドは送信されない。一方、アクセスポイント２００－２が保持する公開鍵は未更新である。よって、アクセスポイント２００－２から端末装置１００へのチャレンジに対して、端末装置１００はアクセスポイント２００－２に親子証明書５８を送信する。親子証明書５８は、新公開鍵５４と、旧秘密鍵５２で暗号化されたデジタル署名とを含む。アクセスポイント２００－２は、親子証明書５８に含まれるデジタル署名を検証し、検証成功時には旧公開鍵５１を新公開鍵５４に更新する。

このようにして、管理者が１つのアクセスポイントに更新開始の設定を行うと、各端末装置は鍵更新コマンドを受信して新公開鍵および新秘密鍵を生成する。そして、各端末装置は少なくとも一部のアクセスポイントに、新公開鍵の正当性を保証する親子証明書を送信する。各アクセスポイントは親子証明書の受信またはアクセスポイント間の通信を通じて、当該アクセスポイントが保持する旧公開鍵を新公開鍵に更新する。

図７は、鍵更新期間の端末装置の認証例を示す図である。
端末装置１００は、アクセスポイント２００に接続要求を送信する（Ｓ１０）。端末装置１００とアクセスポイント２００は、ＥＡＰ－ＴＴＬＳ（Extensible Authentication Protocol - Tunneled Transport Layer Security）認証を行う（Ｓ１１）。

ＥＡＰ－ＴＴＬＳ認証の前提として、端末装置１００は所定のルート認証局（ＣＡ：Certificate Authority）の公開鍵を保持している。アクセスポイント２００は、アクセスポイント２００の正当性を示すＴＬＳ証明書を保持している。このＴＬＳ証明書は、ルート認証局の秘密鍵で暗号化されたデジタル署名を含む。ＥＡＰ－ＴＴＬＳ認証では、アクセスポイント２００は端末装置１００に、アクセスポイント２００のＴＬＳ証明書を送信する。端末装置１００は、アクセスポイント２００のＴＬＳ証明書を、ルート認証局の公開鍵を用いて検証する。検証が成功することで端末装置１００はアクセスポイント２００を信頼することができる。一方、ＥＡＰ－ＴＴＬＳ認証では、アクセスポイント２００はＴＬＳ証明書を用いずに端末装置１００の正当性を確認することになる。

アクセスポイント２００は、鍵更新コマンドを端末装置１００に送信する（Ｓ１２）。端末装置１００は、ＥＡＰ－ＴＴＬＳ認証でアクセスポイント２００のＴＬＳ証明書の検証に成功した場合に、この鍵更新コマンドを受理する。鍵更新コマンドは、管理者によってアクセスポイント２００に設定された更新期限を含む。

また、アクセスポイント２００は、チャレンジメッセージ６１を端末装置１００に送信する（Ｓ１３）。チャレンジメッセージ６１は、チャレンジおよび旧鍵ＩＤを含む。チャレンジは、ランダムな文字列など認証毎に変化する情報である。各チャレンジメッセージは鍵ＩＤを含んでいる。鍵ＩＤは、公開鍵と秘密鍵の鍵ペアを識別する識別子である。チャレンジメッセージに含まれる鍵ＩＤは、デジタル署名の生成に使用する秘密鍵を指定する意味をもつ。アクセスポイント２００には、端末装置１００の公開鍵に対応する鍵ＩＤも登録されている。ここでは、アクセスポイント２００は端末装置１００の旧公開鍵を保持しているため、アクセスポイント２００に登録されている鍵ＩＤは旧鍵ＩＤである。よって、チャレンジメッセージ６１が指定する鍵ＩＤは旧鍵ＩＤである。

端末装置１００は、新公開鍵と新秘密鍵の鍵ペアを生成し、チャレンジメッセージ６１からレスポンスメッセージ６２を生成し、レスポンスメッセージ６２をアクセスポイント２００に送信する（Ｓ１４）。レスポンスメッセージ６２は、新公開鍵の正当性を保証する親子証明書に相当する。レスポンスメッセージ６２は、チャレンジに相当する情報、新鍵ＩＤ、新公開鍵、出生属性、生成日およびデジタル署名を含む。

チャレンジに相当する情報は、チャレンジ自体、または、チャレンジと所定の他の文字列とを合成した符号である。新鍵ＩＤは、生成した新公開鍵と新秘密鍵の鍵ペアを識別する識別子である。新鍵ＩＤは端末装置１００の中で一意であればよく、端末装置１００が独自に決めてよい。出生属性は、旧鍵ペアと新鍵ペアが同一装置に存在することを端末装置１００が確認したことを示す情報である。出生属性の詳細は後述する。生成日は、端末装置１００が新公開鍵を生成した日付である。生成日は、管理者が定期的な鍵更新のタイミングを管理するために収集される。レスポンスメッセージ６２に含まれるデジタル署名は、チャレンジ、新鍵ＩＤ、新公開鍵、出生属性および生成日を含むデータ、または、そのデータのハッシュ値を、旧秘密鍵で暗号化したものである。ここで使用される旧秘密鍵は、チャレンジメッセージ６１の旧鍵ＩＤで指定されたものである。

アクセスポイント２００は、レスポンスメッセージ６２に含まれるデジタル署名を検証する。すなわち、アクセスポイント２００は、デジタル署名を旧公開鍵で復号し、レスポンスメッセージ６２に含まれる上記データまたはそのハッシュ値と照合する。両者が一致した場合はデジタル署名の検証が成功し、両者が一致しない場合はデジタル署名の検証に失敗する。検証に成功すると、アクセスポイント２００は、アクセスポイント２００が保持している端末装置１００の旧公開鍵を、レスポンスメッセージ６２に含まれる新公開鍵に更新する。また、アクセスポイント２００は、アクセスポイント２００に登録されている旧鍵ＩＤを、レスポンスメッセージ６２に含まれる新鍵ＩＤに更新する。

上記の検証が成功した場合、デジタル署名が保証するデータ範囲にはチャレンジも含まれているため、端末装置１００の認証にも成功したことになる。よって、アクセスポイント２００は端末装置１００の接続を許可する。端末装置１００とアクセスポイント２００は、接続手続を行ってコネクションを確立する（Ｓ１５）。

その後、端末装置１００は、アクセスポイント２００－１に接続要求を送信する（Ｓ１６）。端末装置１００とアクセスポイント２００－１は、アクセスポイント２００の場合と同様にしてＥＡＰ－ＴＴＬＳ認証を行う（Ｓ１７）。

アクセスポイント２００－１は、チャレンジメッセージ６３を端末装置１００に送信する（Ｓ１８）。チャレンジメッセージ６３は、チャレンジおよび新鍵ＩＤを含む。アクセスポイント２００－１が保持する端末装置１００の公開鍵は新公開鍵に更新されており、アクセスポイント２００－１に登録された端末装置１００の鍵ＩＤも新鍵ＩＤに更新されている。よって、チャレンジメッセージ６３が指定する鍵ＩＤは新鍵ＩＤである。

端末装置１００は、チャレンジメッセージ６３からレスポンスメッセージ６４を生成し、レスポンスメッセージ６４をアクセスポイント２００－１に送信する（Ｓ１９）。レスポンスメッセージ６４は、チャレンジに相当する情報およびデジタル署名を含む。レスポンスメッセージ６４に含まれるデジタル署名は、チャレンジを含むデータまたはそのデータのハッシュ値を、新秘密鍵で暗号化したものである。ここで使用される新秘密鍵は、チャレンジメッセージ６３の新鍵ＩＤで指定されたものである。レスポンスメッセージ６４は、新鍵ＩＤ、新公開鍵、出生属性および生成日を含まなくてよい。

アクセスポイント２００－１は、レスポンスメッセージ６４に含まれるデジタル署名を検証する。この検証は鍵更新期間外と同様である。すなわち、アクセスポイント２００－１は、デジタル署名を新公開鍵で復号し、レスポンスメッセージ６４に含まれる上記データまたはそのハッシュ値と照合する。両者が一致した場合はデジタル署名の検証が成功し、両者が一致しない場合はデジタル署名の検証に失敗する。検証に成功すると、アクセスポイント２００－１は端末装置１００の接続を許可する。端末装置１００とアクセスポイント２００－１は、接続手続を行ってコネクションを確立する（Ｓ２０）。

次に、親子証明書に含まれる出生属性について説明する。
図８は、出生属性の生成例を示す図である。
端末装置１００は、旧鍵と新鍵が適切に端末装置１００で管理されていることを確認し、その旨を示す出生属性を生成する。出生属性は、旧鍵と新鍵の両方が端末装置１００に紐付けられていることを示す親子関係情報と、新鍵（特に、新秘密鍵）が端末装置１００の外部に漏洩しないよう保護されていることを示す保護証明情報とを含む。

端末装置１００は、アクセスポイント接続プログラム７１を実行することで、アクセスポイントとの間で前述の鍵更新手続を実行する。ここで、端末装置１００が鍵を安全に管理する方法としては、（Ａ）ＯＳのＡｄｍｉｎ権限のアクセス制御を利用してソフトウェアにより鍵を管理する方法、（Ｂ）単一のＨＳＭを利用して鍵を管理する方法、（Ｃ）２つのＨＳＭを利用して鍵を管理する方法などが考えられる。端末装置１００が生成する出生属性は、端末装置１００が鍵を管理する方法によって異なる。

ソフトウェアによる鍵管理では、Ａｄｍｉｎ権限でのみアクセス可能な記憶領域であるＡｄｍｉｎ領域７４に鍵（特に、秘密鍵）が記憶される。アクセスポイント接続プログラム７１は、ＯＳのＡＰＩ（Application Programming Interface）である鍵管理ＡＰＩ７２を呼び出し、鍵管理ＡＰＩ７２を介してＡｄｍｉｎ領域７４の鍵にアクセスする。

親子関係の確認では、アクセスポイント接続プログラム７１は、旧鍵（特に、旧秘密鍵）と新鍵（特に、新秘密鍵）の両方が鍵管理ＡＰＩ７２を介してアクセス可能であることを確認する。保護証明では、アクセスポイント接続プログラム７１は、鍵管理ＡＰＩ７２によって呼び出されるＤＬＬ（Dynamic Link Library）などのライブラリプログラムに付されたデジタル署名を検証する。検証の成功により、改竄されていない正当なライブラリプログラムによって新鍵が保護されていることを確認できる。

単一のＨＳＭによる鍵管理では、端末装置１００が備えるＨＳＭ１０４に鍵（特に、秘密鍵）が記憶される。アクセスポイント接続プログラム７１は、ＨＳＭアクセスＡＰＩ７３を呼び出し、ＨＳＭアクセスＡＰＩ７３を介してＨＳＭ１０４にアクセスする。

親子関係の確認では、アクセスポイント接続プログラム７１は、旧鍵（特に、旧秘密鍵）と新鍵（特に、新秘密鍵）の両方がＨＳＭ１０４において利用可能であることをＨＳＭアクセスＡＰＩ７３を介して確認する。保護証明では、アクセスポイント接続プログラム７１は、ＨＳＭ１０４による新鍵の保護レベルを確認する。以上の確認を通じて、アクセスポイント接続プログラム７１は、例えば、図８に示す出生属性７５を生成する。出生属性７５は、親子関係情報として、旧鍵の情報と新鍵の情報の組に対してＨＳＭ１０４のデジタル署名を付したものを含む。また、出生属性７５は、保護証明情報として、ＨＳＭ１０４の保護レベルを示す文字列にＨＳＭ１０４のデジタル署名を付したものを含む。

２つのＨＳＭによる鍵管理では、端末装置１００が備えるＨＳＭ１０４に旧鍵（特に、旧秘密鍵）が記憶され、端末装置１００が備える別のＨＳＭであるＨＳＭ１０４－１に新鍵（特に、新秘密鍵）が記憶される。端末装置１００がベンダの異なる２つのＨＳＭを備えることで、一方のＨＳＭに脆弱性が発見された場合でも他方のＨＳＭを引き続き利用することができる。アクセスポイント接続プログラム７１は、ＨＳＭアクセスＡＰＩ７３を呼び出し、ＨＳＭアクセスＡＰＩ７３を介してＨＳＭ１０４，１０４－１にアクセスする。ＨＳＭ１０４とＨＳＭ１０４－１との間では、汎用入出力（ＧＰＩＯ：General-Purpose Input/Output）インタフェースを介してデータを受け渡し可能である。

親子関係の確認では、アクセスポイント接続プログラム７１は、旧鍵がＨＳＭ１０４において利用可能であり、新鍵がＨＳＭ１０４－１において利用可能であることをＨＳＭアクセスＡＰＩ７３を介して確認する。また、アクセスポイント接続プログラム７１は、ＨＳＭ１０４とＨＳＭ１０４－１とが同一基板上に存在することを確認する。ＨＳＭ１０４とＨＳＭ１０４－１とが同一基板上に存在しない場合としては、ＨＳＭ１０４とＨＳＭ１０４－１の何れか一方が取り外し可能に外付けされている場合が挙げられる。アクセスポイント接続プログラム７１は、例えば、基板上のＧＰＩＯインタフェースを介して書き込んだ内容が正しく読み取り可能であることを確認する。保護証明では、アクセスポイント接続プログラム７１は、ＨＳＭ１０４－１による新鍵の保護レベルを確認する。

以上の確認を通じて、アクセスポイント接続プログラム７１は、例えば、図８に示す出生属性７６を生成する。出生属性７６は、親子関係情報として、ＨＳＭ１０４のアクセス履歴にＨＳＭ１０４のデジタル署名を付し、更にＨＳＭ１０４－１のアクセス履歴を結合してＨＳＭ１０４－１のデジタル署名を付したものを含む。出生属性７６では、２つのＨＳＭのデジタル署名が階層的に付加されている。図８の例ではＨＳＭ１０４のデジタル署名を先に付しているが、ＨＳＭ１０４－１のデジタル署名を先に付すようにしてもよい。また、出生属性７６は、保護証明情報として、ＨＳＭ１０４－１の保護レベルを示す文字列にＨＳＭ１０４－１のデジタル署名を付したものを含む。

このような出生属性を親子証明書に挿入することで、新秘密鍵の保持者と旧秘密鍵の保持者が同一であり、正当な端末装置のみが新秘密鍵を保持していることの保証水準が向上する。これにより、親子証明書に含まれる新公開鍵の信頼性が向上する。

次に、各端末装置と各アクセスポイントの機能について説明する。
図９は、端末装置とアクセスポイントの機能例を示すブロック図である。
端末装置１００は、鍵記憶部１１１、アクセスポイント（ＡＰ）リスト記憶部１１２、制御情報記憶部１１３、接続通信部１１４および鍵管理部１１５を有する。鍵記憶部１１１は、ＲＡＭ１０２、ＳＳＤ１０３、ＨＳＭ１０４などの記憶領域を用いて実現される。ＡＰリスト記憶部１１２および制御情報記憶部１１３は、ＲＡＭ１０２またはＳＳＤ１０３の記憶領域を用いて実現される。接続通信部１１４はおよび鍵管理部１１５は、ＣＰＵ１０１が実行するプログラム、ＨＳＭ１０４の電子回路などを用いて実現される。端末装置１００－１，１００－２など他の端末装置も、端末装置１００と同様の機能を有する。

鍵記憶部１１１は、公開鍵および秘密鍵の鍵ペアを記憶する。また、鍵記憶部１１１は、鍵ＩＤなど鍵ペアに付随する情報を記憶する。鍵記憶部１１１は、少なくとも鍵更新期間は、最新世代の新鍵ペアに加えて１つ前の世代の旧鍵ペアを記憶する。鍵管理にＨＳＭ１０４を利用する場合、公開鍵の本体および秘密鍵の本体はＨＳＭ１０４に記憶される。その場合、ＨＳＭ１０４に記憶された鍵ペアを指し示すポインタや、鍵ペアに付随する情報は、ＳＳＤ１０３に形成されるファイルシステム上のディレクトリに記憶される。鍵管理にＨＳＭ１０４を利用しない場合、公開鍵の本体、秘密鍵の本体およびこれらに付随する情報は、ＳＳＤ１０３に形成されるファイルシステム上のディレクトリに記憶される。旧鍵ペアに関する情報と新鍵ペアに関する情報とは、ポインタによってリンクされる。また、鍵記憶部１１１は、ルート認証局の公開鍵を記憶する。

ＡＰリスト記憶部１１２は、端末装置１００が接続可能なアクセスポイントを列挙したＡＰリストを記憶する。接続可能なアクセスポイントはＳＳＩＤ（Service Set Identifier）などの識別子によって識別される。ＡＰリストは予め管理者によって用意される。制御情報記憶部１１３は、鍵更新の制御に用いられる各種の制御情報を記憶する。

接続通信部１１４は、アクセスポイントへの接続手続を行う。ＥＡＰ－ＴＴＬＳ認証では、接続通信部１１４は、鍵記憶部１１１に記憶されたルート認証局の公開鍵を用いて、接続先のアクセスポイントから受信するＴＬＳ証明書を検証する。

鍵管理部１１５は、アクセスポイントへの接続時に、鍵記憶部１１１に記憶された秘密鍵を用いて、チャレンジレスポンス方式のレスポンスを生成する。鍵管理にＨＳＭ１０４を利用する場合、デジタル署名をＨＳＭ１０４に生成させることもできる。また、鍵管理部１１５は、ＡＰリスト記憶部１１２に記憶されたＡＰリストおよび制御情報記憶部１１３に記憶された制御情報を用いて、鍵更新期間において鍵更新を制御する。端末装置１００にとっての鍵更新期間は、何れかのアクセスポイントから鍵更新コマンドを受信したときに開始する。また、端末装置１００にとっての鍵更新期間は、ＡＰリストに列挙された全てのアクセスポイントの公開鍵が更新されたことを確認したとき、および、鍵更新コマンドで指定された更新期限を経過したときの何れか早い方のタイミングで終了する。

アクセスポイント２００は、証明書記憶部２１１、端末鍵記憶部２１２、接続通信部２１３、認証部２１４および更新設定部２１５を有する。証明書記憶部２１１および端末鍵記憶部２１２は、ＲＡＭ２０２またはＳＳＤ２０３の記憶領域を用いて実現される。接続通信部２１３、認証部２１４および更新設定部２１５は、ＣＰＵ２０１が実行するプログラムを用いて実現される。アクセスポイント２００－１，２００－２など他のアクセスポイントも、アクセスポイント２００と同様の機能を有する。

証明書記憶部２１１は、アクセスポイント２００に対して予め発行されたＴＬＳ証明書を記憶する。ＴＬＳ証明書は、ルート認証局の秘密鍵で暗号化されたデジタル署名を含む。ＴＬＳ証明書はＥＡＰ－ＴＴＬＳ認証に使用される。端末鍵記憶部２１２は、複数の端末装置それぞれの公開鍵を記憶する。また、端末鍵記憶部２１２は、複数の端末装置それぞれのＭＡＣアドレスや鍵ＩＤなど公開鍵に付随する情報を記憶する。

接続通信部２１３は、端末装置との間の接続手続を行う。ＥＡＰ－ＴＴＬＳ認証では、接続通信部２１３は、証明書記憶部２１１に記憶されたＴＬＳ証明書を送信する。
認証部２１４は、端末装置からアクセスポイント２００への接続時に、チャレンジメッセージを生成し、端末鍵記憶部２１２に記憶された公開鍵を用いてレスポンスメッセージに含まれるデジタル署名を検証する。このチャレンジメッセージは、端末鍵記憶部２１２に記憶された鍵ＩＤを指定する。認証部２１４は、デジタル署名の検証に成功した場合、認証成功と判断してアクセスポイント２００への接続を許可し、デジタル署名の検証に失敗した場合、認証失敗と判断してアクセスポイント２００への接続を拒否する。

また、認証部２１４は、チャレンジレスポンス方式の端末認証の際に併せて鍵更新を行うことがある。管理者がアクセスポイント２００に更新開始の設定を行った後、公開鍵が未更新の端末装置がアクセスポイント２００に接続しようとした場合、認証部２１４は、チャレンジメッセージと共に鍵更新コマンドを発行する。また、認証部２１４は、レスポンスメッセージに新公開鍵が含まれており、デジタル署名の検証に成功した場合、端末鍵記憶部２１２に記憶された公開鍵を更新する。ある端末装置の公開鍵を更新した場合、認証部２１４は、他のアクセスポイントに新公開鍵をブロードキャストする。また、認証部２１４は、ある端末装置の新公開鍵を他のアクセスポイントから受信した場合、端末鍵記憶部２１２に記憶された旧公開鍵を新公開鍵に更新する。

更新設定部２１５は、管理者からの更新開始の設定を受け付ける。更新設定部２１５は、プロジェクタ２０８に設定画面を出力し、キーボード２０９から入力を受け付ける。更新開始の設定では、鍵ペアを更新する旨のフラグおよび更新期限が入力される。

図１０は、端末装置のデータ構造例を示す図である。
鍵データ１２１は、鍵記憶部１１１に記憶される。鍵データ１２１は、鍵更新期間の経過後に削除してよい旧世代の鍵データである。鍵データ１２１は、鍵ＩＤ、公開鍵、秘密鍵および次ポインタを含む。鍵データ１２１の鍵ＩＤは、旧公開鍵と旧秘密鍵の鍵ペアに付与された識別子である。鍵データ１２１の公開鍵は旧公開鍵であり、鍵データ１２１の秘密鍵は旧秘密鍵である。ＨＳＭ１０４が旧公開鍵の本体と旧秘密鍵の本体を記憶し、鍵データ１２１は旧公開鍵および旧秘密鍵へのポインタを記憶するようにしてもよい。鍵データ１２１の次ポインタは、鍵データ１２２を指し示すポインタである。

鍵データ１２２は、鍵記憶部１１１に記憶される。鍵データ１２２は、鍵更新期間の経過後も保持する新世代の鍵データである。鍵データ１２２は、鍵ＩＤ、公開鍵、秘密鍵および次ポインタを含む。鍵データ１２２の公開鍵は新公開鍵であり、鍵データ１２２の秘密鍵は新秘密鍵である。ＨＳＭ１０４または他のＨＳＭが新公開鍵の本体と新秘密鍵の本体を記憶し、鍵データ１２２は新公開鍵および新秘密鍵へのポインタを記憶するようにしてもよい。鍵データ１２２の次ポインタは空である。

接続可能ＡＰリスト１２３は、ＡＰリスト記憶部１１２に記憶される。接続可能ＡＰリスト１２３は、接続可能なアクセスポイントのＳＳＩＤを列挙する。
更新済ＡＰリスト１２４は、制御情報記憶部１１３に記憶される。更新済ＡＰリスト１２４は、公開鍵の更新が確認されたアクセスポイントのＳＳＩＤを列挙する。あるアクセスポイントから新鍵ＩＤを含むチャレンジメッセージを受信したことをもって、当該アクセスポイントの公開鍵が更新されたことを確認する。

更新期間情報１２５は、制御情報記憶部１１３に記憶される。更新期間情報１２５は、更新期間フラグおよび更新期限を含む。更新期間フラグは、端末装置１００が鍵更新期間中であるか否かを示すフラグである。更新期間フラグ＝ＯＮは鍵更新期間中であることを示し、更新期間フラグ＝ＯＦＦは鍵更新期間中でないことを示す。更新期限は、鍵更新コマンドによって指定された期限である。鍵更新コマンドが受信されたとき、更新期間フラグがＯＦＦからＯＮに切り替わる。接続可能ＡＰリスト１２３と更新済ＡＰリスト１２４とが一致したとき、更新期間フラグがＯＮからＯＦＦに切り替わる。また、更新期限が経過したときにも、更新期間フラグがＯＮからＯＦＦに切り替わる。

図１１は、アクセスポイントのデータ構造例を示す図である。
端末鍵テーブル２２１は、端末鍵記憶部２１２に記憶される。端末鍵テーブル２２１は、ＭＡＣアドレス、鍵ＩＤ、公開鍵、生成日および更新済フラグの項目を含む。

ＭＡＣアドレスは、端末装置を識別する通信アドレスである。ただし、端末装置の識別子としてＭＡＣアドレス以外の情報を用いてもよい。鍵ＩＤは、端末装置の鍵ペアを識別する。公開鍵は、端末装置が生成するデジタル署名の検証に用いられる。生成日は、端末装置が鍵ペアを生成した日付であり、定期的な鍵更新のタイミングを管理するために管理者によって参照される。更新済フラグは、各端末装置の鍵ＩＤ、公開鍵および生成日が更新済であるか否かを示すフラグである。更新済フラグ＝ＯＮは更新済を示し、更新済フラグ＝ＯＦＦは未更新を示す。更新済フラグの初期値はＯＦＦである。

アクセスポイント２００は、ある端末装置から親子証明書を受信し、端末鍵テーブル２２１に登録された旧公開鍵を用いて親子証明書の検証に成功した場合、親子証明書に含まれる鍵ＩＤ、新公開鍵および生成日によって端末鍵テーブル２２１を更新する。また、アクセスポイント２００は、端末鍵テーブル２２１の更新済フラグをＯＦＦからＯＮに更新する。また、アクセスポイント２００は、親子証明書に基づいて端末鍵テーブル２２１を更新した場合、当該端末装置のＭＡＣアドレス、鍵ＩＤ、公開鍵および生成日を他のアクセスポイントにブロードキャストする。また、アクセスポイント２００は、他のアクセスポイントからＭＡＣアドレス、鍵ＩＤ、公開鍵および生成日を受信すると、受信した鍵ＩＤ、公開鍵および生成日によって端末鍵テーブル２２１を更新すると共に、端末鍵テーブル２２１の更新済フラグをＯＦＦからＯＮに更新する。

次に、各端末装置と各アクセスポイントの処理手順を説明する。以下では、代表して端末装置１００の処理手順とアクセスポイント２００の処理手順を説明する。他の端末装置と他のアクセスポイントも同様の処理手順を実行し得る。

図１２は、端末装置の手順例を示すフローチャートである。
（Ｓ３０）接続通信部１１４は、端末装置１００のユーザから指定されたアクセスポイント、または、スキャンにより検出された近傍のアクセスポイントを選択する。接続通信部１１４は、選択したアクセスポイント（相手装置）に対して接続要求を送信し、相手装置との間でＥＡＰ－ＴＴＬＳ認証の手続を行う。ＥＡＰ－ＴＴＬＳ認証では、接続通信部１１４はＴＬＳ証明書を受信し、ルート認証局の公開鍵を用いてＴＬＳ証明書を検証する。ＴＬＳ証明書の検証に成功した場合に以降の処理が許可される。また、接続通信部１１４は、無線インタフェース１０８のＭＡＣアドレスを相手装置に通知する。

（Ｓ３１）鍵管理部１１５は、鍵更新コマンドを受信したか判断する。鍵更新コマンドを受信した場合はステップＳ３２に進み、受信していない場合はステップＳ３３に進む。
（Ｓ３２）鍵管理部１１５は、制御情報記憶部１１３に記憶された更新期間情報１２５の更新期間フラグをＯＦＦからＯＮに更新する。また、鍵管理部１１５は、鍵更新コマンドに含まれる更新期限を更新期間情報１２５に登録する。

（Ｓ３３）鍵管理部１１５は、更新期間情報１２５の更新期間フラグがＯＮであり、かつ、更新期間情報１２５に登録された更新期限を既に経過しているか判断する。条件を満たす場合はステップＳ３４に進み、条件を満たさない場合はステップＳ３５に進む。

（Ｓ３４）鍵管理部１１５は、更新期間フラグをＯＮからＯＦＦに更新する。更新期間フラグがＯＦＦになると、それ以降は鍵データ１２１を削除してもよい。
（Ｓ３５）接続通信部１１４は、チャレンジメッセージを受信する。

（Ｓ３６）鍵管理部１１５は、更新期間情報１２５の更新期間フラグがＯＮであるか判断する。ＯＮの場合はステップＳ４０に進み、ＯＦＦの場合はステップＳ３７に進む。
（Ｓ３７）鍵管理部１１５は、チャレンジメッセージから鍵ＩＤを抽出する。鍵管理部１１５は、鍵記憶部１１１に記憶された鍵データ１２１，１２２を参照して、抽出した鍵ＩＤが鍵データ１２２に登録された鍵ＩＤであるか、すなわち、新世代の鍵ペアを示す新鍵ＩＤであるか判断する。チャレンジメッセージに含まれる鍵ＩＤが新鍵ＩＤである場合はステップＳ３８に進み、新鍵ＩＤでない場合はステップＳ３９に進む。なお、旧世代の鍵ペアを示す鍵データ１２１が既に鍵記憶部１１１から削除されている可能性がある。

（Ｓ３８）鍵管理部１１５は、鍵データ１２２から新秘密鍵を取得する。鍵管理部１１５は、チャレンジメッセージからチャレンジを抽出し、チャレンジから署名対象のデータを生成する。署名対象のデータは、チャレンジ自体またはチャレンジと所定の文字列とを合成した符号を含む。鍵管理部１１５は、上記データまたはそのハッシュ値を新秘密鍵で暗号化してデジタル署名を生成する。鍵管理部１１５は、上記データとデジタル署名とを含むレスポンスメッセージを生成する。接続通信部１１４は、レスポンスメッセージを送信する。その後、接続通信部１１４は、相手装置が接続を許可した場合は相手装置との間で接続手続を行う。そして、端末装置１００の処理が終了する。

（Ｓ３９）鍵管理部１１５は、チャレンジメッセージが指定する鍵ＩＤを用いたチャレンジレスポンス認証を拒否する。接続通信部１１４は、エラーメッセージを送信する。そして、端末装置１００の処理が終了する。

図１３は、端末装置の手順例を示すフローチャート（続き）である。
（Ｓ４０）鍵管理部１１５は、新世代の鍵ペアが存在するか、すなわち、新世代の鍵ペアを示す鍵データ１２２が鍵記憶部１１１に記憶されているか判断する。鍵データ１２２は、旧世代の鍵ペアを示す鍵データ１２１からポインタを辿ることで到達できる。存在する場合はステップＳ４２に進み、存在しない場合はステップＳ４１に進む。

（Ｓ４１）鍵管理部１１５は、新公開鍵と新秘密鍵の鍵ペアを生成する。また、鍵管理部１１５は、生成した鍵ペアに対して新鍵ＩＤを付与する。鍵管理部１１５は、新鍵ＩＤ、新公開鍵および新秘密鍵を示す鍵データ１２２を生成して鍵記憶部１１１に格納する。また、鍵管理部１１５は、鍵データ１２１に鍵データ１２２へのポインタを登録する。

（Ｓ４２）鍵管理部１１５は、チャレンジメッセージから鍵ＩＤを抽出し、抽出した鍵ＩＤが鍵データ１２２に登録された鍵ＩＤであるか、すなわち、新世代の鍵ペアを示す新鍵ＩＤであるか判断する。チャレンジメッセージに含まれる鍵ＩＤが新鍵ＩＤである場合はステップＳ４３に進み、新鍵ＩＤでない場合はステップＳ４７に進む。

（Ｓ４３）鍵管理部１１５は、制御情報記憶部１１３に記憶された更新済ＡＰリスト１２４に、相手装置のＳＳＩＤを登録する。
（Ｓ４４）鍵管理部１１５は、鍵データ１２２から新秘密鍵を取得する。鍵管理部１１５は、チャレンジメッセージからチャレンジを抽出し、チャレンジから署名対象のデータを生成する。鍵管理部１１５は、上記データまたはそのハッシュ値を新秘密鍵で暗号化してデジタル署名を生成する。鍵管理部１１５は、上記データとデジタル署名とを含むレスポンスメッセージを生成する。接続通信部１１４は、レスポンスメッセージを送信し、相手装置が接続を許可した場合は相手装置との間で接続手続を行う。

（Ｓ４５）鍵管理部１１５は、ＡＰリスト記憶部１１２に記憶された接続可能ＡＰリスト１２３と制御情報記憶部１１３に記憶された更新済ＡＰリスト１２４とを比較する。鍵管理部１１５は、接続可能ＡＰリスト１２３と更新済ＡＰリスト１２４が一致しているか判断する。一致している場合、ステップＳ４６に進む。一致していない場合、すなわち、後者のリストの方が前者のリストより小さい場合、端末装置１００の処理が終了する。

（Ｓ４６）鍵管理部１１５は、更新期間情報１２５の更新期間フラグをＯＮからＯＦＦに更新する。更新期間フラグがＯＦＦになると、それ以降は鍵データ１２１を削除してもよい。そして、端末装置１００の処理が終了する。

（Ｓ４７）鍵管理部１１５は、チャレンジメッセージから抽出した鍵ＩＤが鍵データ１２１に登録された鍵ＩＤであるか、すなわち、１つ前の世代の鍵ペアを示す旧鍵ＩＤであるか判断する。チャレンジメッセージに含まれる鍵ＩＤが旧鍵ＩＤである場合はステップＳ４８に進み、旧鍵ＩＤでない場合はステップＳ４９に進む。なお、ステップＳ４９に進む場合、チャレンジメッセージは、最新の鍵ペアの鍵ＩＤでなく１つ前の鍵ペアの鍵ＩＤでもない、保持してる鍵ペアと無関係な無効な鍵ＩＤを指定していることになる。

（Ｓ４８）鍵管理部１１５は、鍵データ１２１から旧秘密鍵を取得する。また、鍵管理部１１５は、チャレンジメッセージからチャレンジを抽出し、新公開鍵の信頼性に関する出生属性を生成し、署名対象のデータを生成する。出生属性は、旧秘密鍵と新秘密鍵が共に端末装置１００に存在することを示す親子関係情報と、新秘密鍵の保護レベルを示す保護証明情報とを含む。出生属性は、例えば、ＨＳＭ１０４の署名機能を利用して生成される。署名対象のデータは、チャレンジ自体またはチャレンジと所定の文字列とを合成した符号を含む。更に、署名対象のデータは、ステップＳ４１で付与した新鍵ＩＤ、ステップＳ４１で生成した新公開鍵、生成した出生属性および生成日を含む。

鍵管理部１１５は、上記データまたはそのハッシュ値を旧秘密鍵で暗号化してデジタル署名を生成する。鍵管理部１１５は、上記データとデジタル署名とを含むレスポンスメッセージを生成する。このレスポンスメッセージは親子証明書に相当する。接続通信部１１４は、レスポンスメッセージを送信する。接続通信部１１４は、相手装置が接続を許可した場合は相手装置との間で接続手続を行う。そして、端末装置１００の処理が終了する。

（Ｓ４９）鍵管理部１１５は、チャレンジメッセージが指定する鍵ＩＤを用いたチャレンジレスポンス認証を拒否する。接続通信部１１４は、エラーメッセージを送信する。
図１４は、アクセスポイントの手順例を示すフローチャートである。

（Ｓ５０）接続通信部２１３は、ある端末装置（相手装置）から接続要求を受信し、相手装置との間でＥＡＰ－ＴＴＬＳ認証の手続を行う。ＥＡＰ－ＴＴＬＳ認証では、接続通信部２１３は、証明書記憶部２１１に記憶されたＴＬＳ証明書を相手装置に送信する。また、接続通信部２１３は、相手装置からＭＡＣアドレスの通知を受け付ける。

（Ｓ５１）認証部２１４は、端末鍵記憶部２１２に記憶された端末鍵テーブル２２１から、相手装置のＭＡＣアドレスに対応する更新済フラグを検索する。認証部２１４は、更新済フラグがＯＦＦであるか判断する。更新済フラグがＯＦＦの場合はステップＳ５２に進み、更新済フラグがＯＮの場合はステップＳ５３に進む。

（Ｓ５２）認証部２１４は、更新期限を含む鍵更新コマンドを送信する。更新期限は、更新開始の設定時に管理者が更新設定部２１５に対して入力している。
（Ｓ５３）認証部２１４は、端末鍵テーブル２２１から、相手装置のＭＡＣアドレスに対応する鍵ＩＤを抽出する。また、認証部２１４は、ランダムな文字列など認証毎に変化するチャレンジを生成する。認証部２１４は、チャレンジと鍵ＩＤを含むチャレンジメッセージを生成する。接続通信部２１３は、チャレンジメッセージを送信する。

（Ｓ５４）接続通信部２１３は、レスポンスメッセージを受信する。
（Ｓ５５）認証部２１４は、端末鍵テーブル２２１から、相手装置のＭＡＣアドレスに対応する公開鍵を抽出する。また、認証部２１４は、レスポンスメッセージからデジタル署名および署名対象のデータを抽出する。認証部２１４は、デジタル署名を公開鍵で復号し、署名対象のデータまたは当該データのハッシュ値と復号結果とを比較する。認証部２１４は、両者が一致した場合はデジタル署名の検証に成功したと判断し、両者が一致しない場合はデジタル署名の検証に失敗したと判断する。

（Ｓ５６）認証部２１４は、ステップＳ５５でデジタル署名の検証に成功したか判断する。成功した場合、ステップＳ５７に進む。失敗した場合、接続通信部２１３は相手装置からの接続を拒否する。そして、アクセスポイント２００の処理が終了する。

（Ｓ５７）認証部２１４は、レスポンスメッセージの中の署名対象のデータに公開鍵が含まれているか判断する。公開鍵が含まれている場合はステップＳ５８に進み、公開鍵が含まれていない場合はステップＳ６０に進む。

（Ｓ５８）認証部２１４は、レスポンスメッセージの中の署名対象のデータから、鍵ＩＤ、公開鍵および生成日を抽出する。認証部２１４は、端末鍵テーブル２２１の中の相手装置のＭＡＣアドレスに対応する鍵ＩＤ、公開鍵および生成日を、レスポンスメッセージから抽出したものに更新する。また、認証部２１４は、端末鍵テーブル２２１の中の相手装置のＭＡＣアドレスに対応する更新済フラグをＯＦＦからＯＮに更新する。なお、認証部２１４は、レスポンスメッセージの中の署名対象のデータに含まれる出生属性を検証し、出生属性が妥当である場合のみ公開鍵などを更新するようにしてもよい。例えば、認証部２１４は、出生属性に含まれるデジタル署名をＨＳＭベンダの公開鍵で検証してもよい。また、認証部２１４は、管理者が確認できるように出生属性を保存しておいてもよい。

（Ｓ５９）認証部２１４は、ＭＡＣアドレス、鍵ＩＤ、公開鍵および生成日を含む更新情報を生成する。認証部２１４は、アクセスポイント２００－１，２００－２などの他のアクセスポイントに対して更新情報をブロードキャストする。

（Ｓ６０）認証部２１４は、相手装置からの接続を許可する。接続通信部２１３は、相手装置との間で接続手続を行う。
第２の実施の形態の情報処理システムによれば、複数のアクセスポイントのうちの特定の１つのアクセスポイントから複数の端末装置に対して、鍵更新コマンドが送信される。鍵更新コマンドを受けて、複数の端末装置それぞれにおいて新公開鍵と新秘密鍵の鍵ペアが生成される。１つのアクセスポイントから１つの端末装置に対して旧鍵ＩＤを指定したチャレンジメッセージが認証時に送信されると、当該端末装置から当該アクセスポイントに対して親子証明書がレスポンスメッセージとして送信される。親子証明書は、新鍵ＩＤ、新公開鍵、新旧鍵保持者の同一性や新秘密鍵の保護レベルを示す出生属性、旧秘密鍵によるデジタル署名が含まれる。親子証明書の検証に成功すると、当該アクセスポイントが保持する当該端末装置の公開鍵が更新される。また、１つのアクセスポイントから１つの端末装置に対して新鍵ＩＤを指定したチャレンジメッセージが認証時に送信されると、新秘密鍵によるデジタル署名を含む通常のレスポンスメッセージが送信される。旧秘密鍵は、鍵更新コマンドで指定された更新期限を経過するか、または、利用可能な全てのアクセスポイントの公開鍵が更新されたときに使用不可となる。

これにより、複数の端末装置の鍵更新を簡素化できる。すなわち、管理者が可搬記録媒体やケーブルなどの物理媒体を用いて各端末装置に新秘密鍵を埋め込む手作業を省略でき、管理者の負担を軽減できる。また、鍵ペアの更新を一元管理する鍵管理サーバを設置しなくてもよく、鍵管理サーバの運用管理の負担を削減できる。また、鍵管理サーバの運用管理のために情報処理スキルの高い管理者を任命しなくてもよく、学校など情報処理スキルの高い管理者の確保が容易でない環境でも情報処理システムを運用できる。

また、複数の端末装置が保持する秘密鍵と複数のアクセスポイントが保持する公開鍵を更新するにあたり、管理者は特定の１つのアクセスポイントに対して更新開始の設定を行えばよく、管理者の負担が軽減される。また、親子証明書により新公開鍵の正当性が旧秘密鍵の保持者によって保証されるため、各端末装置で生成された新公開鍵を複数のアクセスポイントが安全に受け入れることができる。また、各端末装置で新秘密鍵の管理の安全性が確認され、親子証明書に出生属性が挿入されるため、複数のアクセスポイントが新公開鍵を受け入れる際のセキュリティを向上させることができる。また、各端末装置では鍵更新期間のみ旧秘密鍵と新秘密鍵の両方の使用が許可され、鍵更新期間が経過すると旧秘密鍵の使用は拒否される。よって、端末装置の認証の安全性が確保される。

１０ 鍵生成装置
１１ 記憶部
１２ 通信部
１３ 処理部
１４，１５ 秘密鍵
１６ メッセージ
１７ データ
１８ デジタル署名
２０ 相手装置
２１，２２ 公開鍵

Claims (7)

1. 第１の公開鍵に対応する第１の秘密鍵を記憶する記憶部と、
   相手装置から鍵指定情報を受信する通信部と、
   前記鍵指定情報が前記第１の秘密鍵を指定する場合、第２の公開鍵及び前記第２の公開鍵に対応する第２の秘密鍵を生成し、前記第２の公開鍵を含む第１のデータから前記第１の秘密鍵で暗号化された第１のデジタル署名を生成し、前記第１のデータ及び前記第１のデジタル署名を含むメッセージを前記相手装置に送信させ、前記記憶部に記憶した前記第１の秘密鍵を前記第２の秘密鍵に更新し、前記鍵指定情報が前記第１の秘密鍵より前の世代である第３の秘密鍵を指定する場合、前記第１の公開鍵を含む第２のデータから前記第３の秘密鍵で暗号化された第２のデジタル署名を生成し、前記第２のデータ及び前記第２のデジタル署名を含むメッセージを前記相手装置に送信させる処理部と、
   を有することを特徴とする鍵生成装置。
2. 前記第１のデジタル署名は、前記相手装置において前記第１の公開鍵を用いて検証され、前記相手装置が保持する前記第１の公開鍵を前記第２の公開鍵に更新するために使用され、
   前記第２のデジタル署名は、前記相手装置において前記第３の公開鍵を用いて検証され、前記相手装置が保持する前記第３の公開鍵を前記第１の公開鍵に更新するために使用される、
   ことを特徴とする請求項１記載の鍵生成装置。
3. 前記通信部は、前記相手装置が前記鍵生成装置を認証する際に、前記相手装置から前記鍵指定情報を含んだチャレンジメッセージを受信する、
   ことを特徴とする請求項１記載の鍵生成装置。
4. 前記処理部は、前記第１の秘密鍵と前記第２の秘密鍵とが同一装置に記憶されていることを示す証明情報を生成して前記第１のデータに挿入し、
   前記処理部は、前記第１の秘密鍵と前記第３の秘密鍵とが同一装置に記憶されていることを示す証明情報を生成して前記第２のデータに挿入する、
   ことを特徴とする請求項１記載の鍵生成装置。
5. 前記相手装置は、無線通信を行うアクセスポイントであり、
   前記通信部は、前記相手装置に無線で接続する無線インタフェースである、
   ことを特徴とする請求項１記載の鍵生成装置。
6. 相手装置から第１の秘密鍵を指定した鍵指定情報を受信すると、第２の公開鍵及び前記第２の公開鍵に対応する第２の秘密鍵を生成し、前記第２の公開鍵を含む第１のデータから前記第１の秘密鍵で暗号化された第１のデジタル署名を生成し、前記第１のデータ及び前記第１のデジタル署名を含むメッセージを前記相手装置に送信させ、記憶部に記憶された前記第１の秘密鍵を前記第２の秘密鍵に更新し、
   相手装置から前記第１の秘密鍵より前の世代である第３の秘密鍵を指定する鍵指定情報を受信すると、前記第１の公開鍵を含む第２のデータから前記第３の秘密鍵で暗号化された第２のデジタル署名を生成し、前記第２のデータ及び前記第２のデジタル署名を含むメッセージを前記相手装置に送信する、
   処理をコンピュータが実行することを特徴とする鍵更新方法。
7. 相手装置から第１の秘密鍵を指定した鍵指定情報を受信すると、第２の公開鍵及び前記第２の公開鍵に対応する第２の秘密鍵を生成し、前記第２の公開鍵を含む第１のデータから前記第１の秘密鍵で暗号化された第１のデジタル署名を生成し、前記第１のデータ及び前記第１のデジタル署名を含むメッセージを前記相手装置に送信させ、記憶部に記憶された前記第１の秘密鍵を前記第２の秘密鍵に更新し、
   相手装置から前記第１の秘密鍵より前の世代である第３の秘密鍵を指定する鍵指定情報を受信すると、前記第１の公開鍵を含む第２のデータから前記第３の秘密鍵で暗号化された第２のデジタル署名を生成し、前記第２のデータ及び前記第２のデジタル署名を含むメッセージを前記相手装置に送信する、
   処理をコンピュータに実行させることを特徴とする鍵更新プログラム。

Images