專利名稱：高速化驗(yàn)證公開(kāi)密鑰證件的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用于在公開(kāi)密鑰基礎(chǔ)設(shè)施(Public Key Infrastructrure以下叫做“PKI”)中驗(yàn)證對(duì)于某終端接受的電子手續(xù)的署名的公開(kāi)密鑰證件，并涉及適用于確認(rèn)其有效性的技術(shù)。
背景技術(shù)：
在民用系統(tǒng)、公共系統(tǒng)的各種組織、團(tuán)體中，為了將以前在書(shū)面上進(jìn)行的各種手續(xù)電子化，而正在進(jìn)行PKI的引入、配備。
圖12表示在PKI中有多個(gè)認(rèn)證局(Certificate Authority以下，叫做“CA”)時(shí)的各CA之間的關(guān)系的例子。
如圖示那樣，進(jìn)行公開(kāi)密鑰證件的發(fā)行及其管理的各CA形成具有以路由CA1為頂點(diǎn)的樹(shù)形構(gòu)造的組。該組叫做保密區(qū)域，是在1個(gè)政策管理機(jī)關(guān)的基礎(chǔ)上被運(yùn)用的PKI的單位。路由CA1向位于從其自身位置起下游一層的各個(gè)CA21～CA2n發(fā)行公開(kāi)密鑰證件。另外，各個(gè)CA21～CA2n向位于從其自身位置起下一層的各個(gè)CA31～CA3n1發(fā)行公開(kāi)密鑰證件。這樣，在樹(shù)(形結(jié)構(gòu))上，位置上一層的CA向位于其自身的下一層的CA發(fā)行公開(kāi)密鑰證件。然后，位置在最下層的CAs1～CAsnm(以下，叫做“末端實(shí)體證件發(fā)行CA”)向辦理電子手續(xù)的用戶(末端實(shí)體以下叫做“EE”)EE1～EEx發(fā)行公開(kāi)密鑰證件。
在EE1～EEx各自的裝置生成電子文檔時(shí)使用的保密密鑰(署名密鑰)的正當(dāng)性通過(guò)由容納自身的終端收容認(rèn)證局CAs1～CAsnm發(fā)行的公開(kāi)密鑰證件被證明，在生成由終端收容認(rèn)證局CAs1～CAsnm各自的裝置發(fā)行的公開(kāi)密鑰證件的署名時(shí)使用的保密密鑰的正當(dāng)性通過(guò)由容納自身的認(rèn)證局CA(s-1)～CA(s-1)n(m-1)發(fā)行的公開(kāi)密鑰證件被證明。因此，在EE1～EEx各個(gè)裝置生成署名時(shí)使用的保密密鑰最終通過(guò)由路由認(rèn)證局CA發(fā)行的公開(kāi)密鑰證件被證明。將最終證明該EE1～EEx的裝置在生成署名時(shí)所使用的密鑰的正當(dāng)性的認(rèn)證局，換言之，EE1～EEx所信賴的、樹(shù)形結(jié)構(gòu)最上層的CA叫做委托機(jī)構(gòu)(trust anchor)CA。
那么，在圖12中，EE1裝置用EE1保持的自身的保密密鑰對(duì)于應(yīng)發(fā)送到EEx裝置的電子文檔進(jìn)行署名。然后在已署名的電子文檔中，附加與CA1發(fā)行的該保密密鑰對(duì)等的EE1的公開(kāi)密鑰證件，并發(fā)送到EEx裝置。
EEx裝置可使用被附加在該電子文檔中的EE1的公開(kāi)密鑰證件來(lái)驗(yàn)證從EE1接收的電子文檔的署名。但是，由于EE1的公開(kāi)密鑰證件不是EEx的證件發(fā)行CAsnm發(fā)行的，如果EEx沒(méi)有確認(rèn)該公開(kāi)密鑰證件的有效性是通過(guò)作為其自身的委托機(jī)構(gòu)CA的路由CA1而被證明的，那么就不能信賴該公開(kāi)密鑰證件。該公開(kāi)密鑰證件的有效性確認(rèn)處理通過(guò)以下次序進(jìn)行。(1)從委托機(jī)構(gòu)CA到公開(kāi)密鑰證件發(fā)行源的路徑檢索以委托機(jī)構(gòu)CA(此處是路由CA1)作為起點(diǎn)CA，調(diào)查起點(diǎn)CA發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地，當(dāng)在該發(fā)行目的地中包含CA時(shí)，反復(fù)進(jìn)行調(diào)查該CA發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地的處理，直到在該公開(kāi)密鑰證件的發(fā)行目的地中包含EE證件發(fā)行CA(此處是發(fā)行EE1的公開(kāi)密鑰證件的CAs1)為止，并檢索從委托機(jī)構(gòu)CA到EE證件發(fā)行CA的路徑。(2)檢索的路徑的驗(yàn)證根據(jù)通過(guò)該(1)檢索的路徑上的各CA，得到對(duì)路徑上位于該CA的下一層側(cè)的CA發(fā)行的公開(kāi)密鑰證件。然后用比發(fā)行了該公開(kāi)密鑰證件的CA(此處是EE證件發(fā)行CAs1)上一層的CA所發(fā)行的公開(kāi)密鑰證件，驗(yàn)證有效性確認(rèn)對(duì)象的公開(kāi)密鑰證件(此處為EE證件發(fā)行CAs1對(duì)EE1發(fā)行的公開(kāi)密鑰證件)的署名，在可驗(yàn)證的場(chǎng)合，連續(xù)進(jìn)行用再上一層的CA所發(fā)行的公開(kāi)密鑰證件驗(yàn)證該上一層的CA所發(fā)行的公開(kāi)密鑰證件的署名的處理，直到該上一層的CA變成委托機(jī)構(gòu)CA為止。然后，在這樣的公開(kāi)密鑰證件的署名驗(yàn)證可進(jìn)行到委托機(jī)構(gòu)時(shí)，確認(rèn)有效性確認(rèn)對(duì)象的公開(kāi)密鑰證件的有效性被確認(rèn)。
在EEx裝置使用被添加到電子文檔中的EE1的公開(kāi)密鑰證件驗(yàn)證從EE1裝置接收的該電子文檔的署名的同時(shí)，通過(guò)按照該(1)、(2)所示的次序確認(rèn)在該電子文檔的署名驗(yàn)證中所使用的EE1的公開(kāi)密鑰證件的有效性，能夠確認(rèn)該電子文檔的正當(dāng)性。
此外，以上將用EE裝置進(jìn)行公開(kāi)密鑰證件的有效性確認(rèn)處理作為前提。但是，公開(kāi)密鑰證件的有效性確認(rèn)處理的負(fù)載大，為了用EE進(jìn)行該處理，對(duì)該EE裝置要求高的處理能力。因此，設(shè)置經(jīng)由網(wǎng)絡(luò)與EE裝置連接的證件有效性確認(rèn)局(以下，叫做“Validation AuthorityVA”)，在該VA裝置中代替該EE進(jìn)行公開(kāi)密鑰證件的有效性確認(rèn)的技術(shù)由作為確定與英特網(wǎng)有關(guān)的各種技術(shù)的標(biāo)準(zhǔn)化的組織的IETF(InternetResearch Task Force)建議。在VA裝置中，在進(jìn)行公開(kāi)密鑰證件的有效性確認(rèn)的場(chǎng)合，首先，EE裝置將公開(kāi)密鑰證件的有效性確認(rèn)委托送交VA裝置。接著，在VA裝置中，進(jìn)行該(1)、(2)的處理，最后，將該結(jié)果送交EE裝置。
這時(shí)，作為用于縮短從EE裝置委托公開(kāi)密鑰證件的有效性確認(rèn)到知道該結(jié)果所花費(fèi)的時(shí)間的方法，包括如下方法。
在VA裝置中，預(yù)先定期地檢索路徑，并登錄到路徑數(shù)據(jù)庫(kù)中。然后，在存在來(lái)自某個(gè)EE裝置的公開(kāi)密鑰證件的有效性確認(rèn)委托的場(chǎng)合，通過(guò)在VA裝置的路徑數(shù)據(jù)庫(kù)中檢索相對(duì)應(yīng)的路徑，并進(jìn)行檢索出的路徑的驗(yàn)證，來(lái)確認(rèn)該公開(kāi)密鑰證件的有效性(例如，參照專利文獻(xiàn)1)。
另外，還有一種方法，在VA裝置中，預(yù)先定期地檢索全部路徑，進(jìn)行檢索出的路徑的驗(yàn)證。只將驗(yàn)證成功的路徑(有效路徑)預(yù)先登錄到路徑數(shù)據(jù)庫(kù)中。然后，在存在來(lái)自某個(gè)EE裝置的公開(kāi)密鑰證件的有效性確認(rèn)委托的場(chǎng)合，通過(guò)調(diào)查相對(duì)應(yīng)的路徑是否被登錄在VA裝置的路徑數(shù)據(jù)庫(kù)中，來(lái)確認(rèn)該公開(kāi)密鑰證件的有效性(例如，參照專利文獻(xiàn)2)。
專利文獻(xiàn)1美國(guó)專利第6134550號(hào)說(shuō)明書(shū)專利文獻(xiàn)2美國(guó)專利申請(qǐng)公開(kāi)第2002/046340號(hào)說(shuō)明書(shū)發(fā)明內(nèi)容使用在該專利文獻(xiàn)2中所記載的方法，在與從EE裝置接收的公開(kāi)密鑰證件的有效性確認(rèn)委托對(duì)應(yīng)的路徑?jīng)]有被登錄到路徑數(shù)據(jù)庫(kù)中的場(chǎng)合，判定有效性確認(rèn)對(duì)象證件無(wú)效。但是，若遵照該方法，那么在接收來(lái)自EE裝置的公開(kāi)密鑰證件的有效性確認(rèn)委托時(shí)，新存在在路徑檢索時(shí)不存在的路徑的場(chǎng)合，會(huì)將有效的公開(kāi)密鑰證件判斷為無(wú)效。在該專利文獻(xiàn)2中，關(guān)于這樣場(chǎng)合的處理沒(méi)有被記述。
另外，在該專利文獻(xiàn)1中，也沒(méi)有記述對(duì)應(yīng)于從EE裝置接收的公開(kāi)密鑰證件的有效性確認(rèn)委托的路徑?jīng)]有被登錄在路徑數(shù)據(jù)庫(kù)中時(shí)的處理。
這樣，在對(duì)應(yīng)于VA接收的有效性確認(rèn)委托的路徑?jīng)]有被登錄在路徑數(shù)據(jù)庫(kù)中的場(chǎng)合，通過(guò)重新進(jìn)行路徑檢索、驗(yàn)證，能夠應(yīng)答適當(dāng)?shù)慕Y(jié)果。但是，存在該場(chǎng)合的有效性確認(rèn)處理時(shí)間變長(zhǎng)的問(wèn)題。
目前，在民用系統(tǒng)、公共系統(tǒng)的各種組織、團(tuán)體中，進(jìn)行PKI的引入、配備，其結(jié)果，可以預(yù)想到多個(gè)保密區(qū)域并列在一起，變成復(fù)雜的PKI構(gòu)成。而且，若利用PKI的應(yīng)用被普及，那么可以預(yù)想將形成大量的有效性確認(rèn)委托。在這樣的場(chǎng)合，從EE委托公開(kāi)密鑰證件的有效性確認(rèn)到知道其結(jié)果所花費(fèi)的時(shí)間將變長(zhǎng)，并招致服務(wù)質(zhì)量的下降。
本發(fā)明提供在路徑檢索時(shí)不存在的路徑在路徑檢索之后被形成的場(chǎng)合下，也能應(yīng)答適當(dāng)?shù)慕Y(jié)果的技術(shù)，和/或進(jìn)一步縮短從EE委托公開(kāi)密鑰證件的有效性確認(rèn)到知道其結(jié)果所花費(fèi)的時(shí)間的技術(shù)。
具體地說(shuō)，在本發(fā)明中，經(jīng)由網(wǎng)絡(luò)，與多個(gè)終端裝置(EE裝置)和CA裝置連接的VA裝置按照某個(gè)EE裝置的委托，為確認(rèn)公開(kāi)密鑰證件的有效性而進(jìn)行以下的處理。
針對(duì)通過(guò)發(fā)行公開(kāi)密鑰證件而被涉及的全部CA，檢索存在的全部路徑，并對(duì)通過(guò)該路徑檢索而檢測(cè)出的路徑進(jìn)行驗(yàn)證。另外，取得與位于檢測(cè)出的路徑端點(diǎn)的EE證件發(fā)行CA所發(fā)行的EE證件相關(guān)的失效表(Certificate Revocation List，以下，叫做“CRL”)。對(duì)于已取得的CRL，確認(rèn)該CRL是在有效期間內(nèi)，同時(shí)，利用該CRL的發(fā)行CA的公開(kāi)密鑰證件進(jìn)行該CRL的署名驗(yàn)證。然后，將可驗(yàn)證的路徑和不可驗(yàn)證的路徑進(jìn)行分類，并登錄在路徑數(shù)據(jù)庫(kù)中。該路徑數(shù)據(jù)庫(kù)生成處理獨(dú)立于來(lái)自EE的公開(kāi)密鑰證件的有效性確認(rèn)委托，按照規(guī)定的規(guī)則重復(fù)，例如定期地進(jìn)行。
然后，當(dāng)存在來(lái)自某個(gè)EE的公開(kāi)密鑰證件的有效性確認(rèn)委托時(shí)，調(diào)查與它對(duì)應(yīng)的路徑是否被登錄在路徑數(shù)據(jù)庫(kù)中，在作為可驗(yàn)證路徑被登錄在數(shù)據(jù)庫(kù)中時(shí)，通過(guò)使用登錄在數(shù)據(jù)庫(kù)中的CRL來(lái)確認(rèn)該公開(kāi)密鑰證件是否失效，可確認(rèn)該公開(kāi)密鑰證件的有效性。
另一方面，在與該公開(kāi)密鑰證件對(duì)應(yīng)的路徑作為不可驗(yàn)證的路徑被登錄到數(shù)據(jù)庫(kù)中時(shí)，除被登錄的該無(wú)效路徑外，調(diào)查有效路徑是否存在，在不存在的場(chǎng)合，認(rèn)為該公開(kāi)密鑰證件為不能驗(yàn)證的證件。當(dāng)檢測(cè)出新的路徑和CRL的場(chǎng)合，使用該路徑和該CRL確認(rèn)該公開(kāi)密鑰證件的有效性，以該驗(yàn)證結(jié)果為基礎(chǔ)，在路徑數(shù)據(jù)庫(kù)中進(jìn)行追加登錄。
另外，在對(duì)應(yīng)于已存在有效性確認(rèn)委托的公開(kāi)密鑰證件的路徑和CRL沒(méi)有被登錄在路徑數(shù)據(jù)庫(kù)中時(shí)，通過(guò)重新進(jìn)行路徑和CRL的檢索、驗(yàn)證處理，來(lái)確認(rèn)該公開(kāi)密鑰證件的有效性。這時(shí)，在檢測(cè)出新的路徑和CRL的場(chǎng)合，以該路徑和該CRL的驗(yàn)證結(jié)果為基礎(chǔ)在路徑數(shù)據(jù)庫(kù)中進(jìn)行追加登錄。
依據(jù)本發(fā)明，當(dāng)從某個(gè)EE接收了公開(kāi)密鑰證件的有效性確認(rèn)委托時(shí)，即使在路徑檢索之后形成新的路徑的場(chǎng)合，也能夠應(yīng)答適當(dāng)?shù)慕Y(jié)果。而且，與有效性確認(rèn)委托對(duì)應(yīng)的路徑在作為可驗(yàn)證的路徑登錄時(shí)，沒(méi)有必要進(jìn)行如上述(1)、(2)所示的、從該EE的委托機(jī)構(gòu)CA到該公開(kāi)密鑰證件的EE證件發(fā)行CA的路徑檢索、檢測(cè)出的路徑驗(yàn)證、以及與該公開(kāi)密鑰證件對(duì)應(yīng)的CRL的署名驗(yàn)證。另外，當(dāng)與有效性確認(rèn)委托對(duì)應(yīng)的路徑作為不能驗(yàn)證的路徑登錄時(shí)，能夠用少量的處理進(jìn)行路徑檢索、驗(yàn)證。因此，能縮短從某個(gè)EE委托公開(kāi)密鑰證件的有效性確認(rèn)到該有效性被確認(rèn)所花費(fèi)的時(shí)間。
依據(jù)本發(fā)明，即使在路徑檢索之后形成新的路徑的場(chǎng)合下，也能夠應(yīng)答適當(dāng)?shù)慕Y(jié)果，和/或能夠縮短從EE委托公開(kāi)密鑰證件的有效性確認(rèn)到知道其結(jié)果所花費(fèi)的時(shí)間。
圖1是表示本發(fā)明的一個(gè)實(shí)施形態(tài)所適用的PKI系統(tǒng)的概略構(gòu)成的圖。
圖2是表示在圖1所示的PKI系統(tǒng)中的各CA的關(guān)系的一例的圖。
圖3是表示圖1所示的EE的概略構(gòu)成的圖。
圖4是表示圖1所示的VA的概略構(gòu)成的圖。
圖5是表示圖1所示的VA的概略構(gòu)成的圖。
圖6是表示圖3～圖5所示的EE、CA以及VA的各自硬件構(gòu)成例子的圖。
圖7是用于說(shuō)明用圖5所示的VA進(jìn)行的路徑檢索、驗(yàn)證以及管理動(dòng)作的流程圖。
圖8是用于說(shuō)明用圖5所示的VA進(jìn)行的路徑檢索、驗(yàn)證以及管理動(dòng)作的流程圖。
圖9是表示在各CA具有圖2所示的關(guān)系時(shí)，由VA的路徑檢索部分51檢測(cè)出的全部路徑的圖。
圖10是用于說(shuō)明用圖5所示的VA進(jìn)行的公開(kāi)密鑰證件的有效性確認(rèn)動(dòng)作的流程圖。
圖11是用于說(shuō)明用圖5所示的VA進(jìn)行的公開(kāi)密鑰證件的有效性確認(rèn)動(dòng)作的流程圖。
圖12是表示在現(xiàn)有的PKI中，存在多個(gè)認(rèn)證局時(shí)的CA關(guān)系的一例的圖。
具體實(shí)施例方式
圖1是表示本發(fā)明的一個(gè)實(shí)施形態(tài)所適用的PKI系統(tǒng)的概略構(gòu)成的圖。
本實(shí)施例的PKI系統(tǒng)由辦理電子手續(xù)的多個(gè)EE1裝置(11)～EEN裝置(11)(總稱為“EE裝置”)，進(jìn)行公開(kāi)密鑰證件發(fā)行業(yè)務(wù)的CA1裝置(13)～CAM裝置(13)，公開(kāi)密鑰證件的有效性確認(rèn)局VA(14)，以及分別與各部件連接的英特網(wǎng)等網(wǎng)絡(luò)(以下，叫做“NET”)16組成。
圖2是表示在圖1所示的系統(tǒng)中的各CA的關(guān)系的一例的圖。
如圖所示那樣，在本實(shí)施形態(tài)的PKI系統(tǒng)中，以所謂的民用系統(tǒng)、政府系統(tǒng)等多個(gè)保密區(qū)域SD(SD1～SD2)并存為前提。另外，各保密區(qū)域SD的路由CA(在圖2中為CA11、CA21)，例如，通過(guò)在向橋式認(rèn)證局CAbridge發(fā)行公開(kāi)密鑰證件的同時(shí)，接受從CAbridge發(fā)行公開(kāi)密鑰證件，進(jìn)行與CAbridge之間的相互認(rèn)證。通過(guò)這么做，在屬于某個(gè)保密區(qū)域SD的CA和屬于其它保密區(qū)域SD的CA之間，形成用于在一方的CA中能確認(rèn)另一方的CA所發(fā)行的公開(kāi)密鑰證件的有效性的路徑。
接著，說(shuō)明關(guān)于構(gòu)成圖1的PKI系統(tǒng)的各裝置。
首先，使用圖3說(shuō)明EE裝置(11)。
EE裝置(11)具有處理部分30a和存儲(chǔ)部分30b，經(jīng)由NET16用于與其它裝置通信的通信部分30c，以及進(jìn)行用戶(EE)生成的電子文檔和從其它的EE接收的電子文檔的輸入輸出以及接收來(lái)自用戶的指示的輸入輸出部分30d。
處理部分30a具有生成對(duì)電子文檔的署名的署名生成部分31，進(jìn)行署名驗(yàn)證的署名驗(yàn)證部分32，以及總控制EE裝置的各部分的控制部分33。
存儲(chǔ)部分30b具有用于保持用戶生成的電子文檔的電子文檔保持部分34，用于保持保密密鑰(署名密鑰)、與之相對(duì)的公開(kāi)密鑰的公開(kāi)密鑰證件、運(yùn)用該EE裝置的EE所信賴的CA的自己署名證件的密鑰保持部分35，以及用于保持附有從其它EE接收的署名的電子文檔和公開(kāi)密鑰證件的驗(yàn)證對(duì)象保持部分36。
在這樣的構(gòu)成中，控制部分33經(jīng)由輸入輸出部分30d從用戶接收到表示應(yīng)將保持在電子文檔保持部分34中的電子文檔發(fā)送到其它EE的的指示時(shí)，從電子文檔保持部分34中讀出該電子文檔，并將它傳送到署名生成部分31。署名生成部分31使用保持在密鑰保持部分35中的保密密鑰生成對(duì)所傳送的該電子文檔的署名。
控制部分33將在署名生成部分31中所生成的署名附加到從電子文檔保持部分34讀出的電子文檔中，生成附有署名的電子文檔，并經(jīng)由通信部分30c向用戶所指示的發(fā)送目的地的EE裝置發(fā)送所生成的附有署名的電子文檔和保持在密鑰保持部分35中的公開(kāi)密鑰證件。若控制部分33經(jīng)由通信部分30c從其它EE裝置接收到附有署名的電子文檔和公開(kāi)密鑰證件，那么使它們相關(guān)聯(lián)，并保持在驗(yàn)證對(duì)象保持部分36中，同時(shí)，將這些驗(yàn)證請(qǐng)求通知給署名驗(yàn)證部分32。
署名驗(yàn)證部分32接收該請(qǐng)求后，使用對(duì)應(yīng)的公開(kāi)密鑰證件驗(yàn)證保持在驗(yàn)證對(duì)象保持部分36中的附有署名的電子文檔的署名。署名驗(yàn)證部分32將該署名驗(yàn)證中所使用的公開(kāi)密鑰證件的有效性確認(rèn)委托發(fā)送給VA裝置(14)。這時(shí)，按照要求，將想要用該附有署名的電子文檔進(jìn)行的與電子手續(xù)有關(guān)的政策(例如，交易額等的可靠性)的驗(yàn)證委托包含在該確認(rèn)委托中。然后，在VA裝置(14)中，只在也包含該政策驗(yàn)證的該公開(kāi)密鑰證件的有效性被確認(rèn)時(shí)，才將附有署名的電子文檔作為正當(dāng)?shù)奈臋n處理，并根據(jù)需要從輸入輸出部分30d輸出。
接著，使用圖4說(shuō)明CA裝置(13)。
CA裝置(13)具有處理部分40a，存儲(chǔ)部分40b，用于經(jīng)由NET16進(jìn)行與其它裝置通信的通信部分40c，進(jìn)行公開(kāi)密鑰證件等的輸入輸出、來(lái)自該裝置的操作者的指示的接收以及處理結(jié)果的輸出的輸入輸出部分40d。
處理部分40a具有發(fā)行公開(kāi)密鑰證件的發(fā)行部分41，進(jìn)行由發(fā)行部分41發(fā)行的公開(kāi)密鑰證件的管理的管理部分42，以及總體控制CA裝置的各部分的控制部分43。
存儲(chǔ)部分40b具有用于保持發(fā)行部分41發(fā)行的公開(kāi)密鑰證件的公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44，用于保持記述了保持在公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44中的各公開(kāi)密鑰證件的發(fā)行目的地的發(fā)行目的地管理表的發(fā)行目的地管理表保持部分45，以及失效證件表保持部分46。
在這樣的構(gòu)成中，控制部分43若經(jīng)由輸入輸出部分40d接收公開(kāi)密鑰證件的發(fā)行委托，就將該內(nèi)容傳給發(fā)行部分41。發(fā)行部分41在接收它之后，生成與之相對(duì)應(yīng)的公開(kāi)密鑰證件。這時(shí)，用CA的保密密鑰在公開(kāi)密鑰證件中進(jìn)行署名。另外，根據(jù)需要，在公開(kāi)密鑰證件中，記述該公開(kāi)密鑰證件的有效期限、沒(méi)有委托的其它認(rèn)證局的名稱(NameConstrains)用于該公開(kāi)密鑰證件的有效性確認(rèn)的所容許的最大路徑長(zhǎng)度(路徑上容許的最大認(rèn)證局個(gè)數(shù))以及表示電子手續(xù)的交易額等政策。然后，經(jīng)由輸入輸出部分40d或通信部分40c，通過(guò)郵送或通信將已生成的公開(kāi)密鑰證件發(fā)送給發(fā)行委托源。在將該公開(kāi)密鑰證件登錄在公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44中的同時(shí)，將它的發(fā)行目的地(即發(fā)行委托源)的信息記述在發(fā)行目的地管理表保持部分45中所保持的發(fā)行目的地管理表中。
控制部分43若經(jīng)由輸入輸出部分40d或通信部分40c接收公開(kāi)密鑰證件的失效委托，那么就將該委托傳送到管理部分42。管理部分42接受它之后，從公開(kāi)密鑰證件數(shù)據(jù)庫(kù)43中刪除失效對(duì)象的公開(kāi)密鑰證件，同時(shí)，從發(fā)行目的地管理表保持部分44所保持的發(fā)行目的地管理表中刪除該公開(kāi)密鑰證件的發(fā)行目的地的信息。然后，管理部分42定期地生成記述關(guān)于因失效委托而從公開(kāi)密鑰證件數(shù)據(jù)庫(kù)43中刪除的公開(kāi)密鑰證件信息的失效證件表，并將它保持在失效證件表保持部分45中。此外，管理部分42使下次預(yù)定生成失效證件表的時(shí)日記述在所生成的失效證件表中。
另外，控制部分43若經(jīng)由通信部分40c從其它裝置接收關(guān)于公開(kāi)密鑰證件的失效信息的詢問(wèn)，就檢索失效證件表保持部分45中所保持的失效證件表，并調(diào)查所詢問(wèn)的公開(kāi)密鑰證件是否失效。然后，也能夠經(jīng)由通信部分40c在進(jìn)行詢問(wèn)的其它裝置中應(yīng)答該結(jié)果。(作為在這樣的詢問(wèn)應(yīng)答中使用的通信協(xié)議，包括OSCP(Online Certification statusprotocol)。
管理部分42調(diào)查在公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44中所存儲(chǔ)的各公開(kāi)密鑰證件的有效期限，也進(jìn)行從發(fā)行管理表保持部分45中所保持的發(fā)行管理表中刪除超過(guò)有效期限的公開(kāi)密鑰證件的發(fā)行目的地信息。
接著，使用圖5說(shuō)明VA裝置(14)。
如圖5所示那樣，VA裝置(14)具有處理部分50a，存儲(chǔ)部分50b，用于經(jīng)由英特網(wǎng)NET16與其它裝置進(jìn)行通信的通信部分50c，以及進(jìn)行公開(kāi)密鑰證件等的輸入輸出和來(lái)自用戶指示的接收的輸入輸出部分50d。
處理部分50a具有路徑檢索部分51，路徑驗(yàn)證部分52，有效期限/失效狀態(tài)調(diào)查部分53，有效性確認(rèn)部分54，以及總體控制VA裝置的各部分的控制部分55。另外，存儲(chǔ)部分50b具有路徑數(shù)據(jù)庫(kù)56，以及失效證件表生成預(yù)定時(shí)日數(shù)據(jù)庫(kù)57。其中，路徑數(shù)據(jù)庫(kù)56具有有效路徑數(shù)據(jù)庫(kù)56A，以及無(wú)效路徑數(shù)據(jù)庫(kù)56B。
路徑檢索部分51，例如定期地將任意CA作為委托機(jī)構(gòu)CA，檢索從該委托機(jī)構(gòu)CA到發(fā)行EE證件的全部EE證件發(fā)行CA的路徑。另外，取得檢測(cè)出的路徑的EE證件發(fā)行CA所發(fā)行的、關(guān)于EE證件的失效證件表(CRL)。委托機(jī)構(gòu)CA能夠通過(guò)設(shè)置全部的CA或設(shè)定作為一部分的CA來(lái)進(jìn)行檢索。
路徑驗(yàn)證部分52每當(dāng)在路徑檢索部分51中進(jìn)行路徑檢索，進(jìn)行對(duì)該路徑檢索部分51中檢測(cè)出的路徑的驗(yàn)證。在路徑檢索部分51中能取得與該路徑對(duì)應(yīng)的CRL的場(chǎng)合，進(jìn)行該CRL的驗(yàn)證。然后，與變成位于該路徑兩端的委托機(jī)構(gòu)CA的名稱和EE證件發(fā)行CA的名稱對(duì)相對(duì)應(yīng)地，根據(jù)該驗(yàn)證結(jié)果將構(gòu)成該路徑的各CA名、各證件、以及有關(guān)EE證件的CRL登錄在有效路徑數(shù)據(jù)庫(kù)56A或無(wú)效的數(shù)據(jù)庫(kù)56B中。
有效期限/失效狀態(tài)調(diào)查部分53對(duì)于登錄在有效路徑數(shù)據(jù)庫(kù)56A中的各個(gè)路徑調(diào)查構(gòu)成該路徑的各公開(kāi)密鑰證件的有效期限和有無(wú)失效。然后，根據(jù)該結(jié)果，更新路徑數(shù)據(jù)庫(kù)56。另外，有效期限/失效狀態(tài)調(diào)查部分53將從各CA的失效證件表保持部分46得到的失效證件表中所記述的下次失效證件表生成預(yù)定時(shí)日與該CA相對(duì)應(yīng)地登錄在失效證件表生成預(yù)定時(shí)日數(shù)據(jù)庫(kù)57中。
有效性確認(rèn)部分54按照來(lái)自EE裝置的委托，將委托機(jī)構(gòu)CA作為委托起點(diǎn)，進(jìn)行公開(kāi)密鑰證件的有效性確認(rèn)。
此外，圖3～圖5所示的各EE裝置(11)，CA裝置(13)和VA裝置(14)，例如能建立在一般的電子計(jì)算機(jī)上，該計(jì)算機(jī)具備象圖6所示那樣的CPU61，存儲(chǔ)器62，硬盤(pán)等外部存儲(chǔ)裝置63，從具有CD-ROM等移動(dòng)性存儲(chǔ)媒體69中讀取信息的讀取裝置64，用于經(jīng)由NET16與其它裝置通信的通信裝置65，鍵盤(pán)和鼠標(biāo)等輸入裝置66，監(jiān)視器和打印機(jī)等輸出裝置67，以及在這些裝置之間進(jìn)行數(shù)據(jù)發(fā)送接收的接口68。
然后，CPU61通過(guò)執(zhí)行從外部存儲(chǔ)裝置63裝入到存儲(chǔ)器62上的規(guī)定程序，能實(shí)現(xiàn)該各處理部分。即，通信部分30c、40c、50c通過(guò)CPU61利用通信裝置66而實(shí)現(xiàn)，輸入輸出部分30d、40d、50d通過(guò)CPU61利用輸入裝置66、輸出裝置67和讀取裝置64而實(shí)現(xiàn)，以及存儲(chǔ)部分30b、40b、50b通過(guò)CPU61利用存儲(chǔ)器62和外部存儲(chǔ)裝置63而實(shí)現(xiàn)。另外，處理部分30a、40a、50a作為CPU61的處理而實(shí)現(xiàn)。
該規(guī)定程序可以預(yù)先存儲(chǔ)在外部存儲(chǔ)裝置63中，也可以存儲(chǔ)在該電子計(jì)算機(jī)可利用的存儲(chǔ)媒體69中，經(jīng)由讀取裝置64，根據(jù)需要被讀出，或者，從與利用在作為該電子計(jì)算機(jī)可利用的通信媒體的網(wǎng)絡(luò)或英特網(wǎng)上傳輸?shù)妮d波的通信裝置相連接的其它裝置，根據(jù)需要被下載，并被引入到外部存儲(chǔ)裝置63。
接著，說(shuō)明該構(gòu)成的VA裝置(14)的動(dòng)作。
本實(shí)施形態(tài)的VA裝置(14)的動(dòng)作被分成路徑檢索、驗(yàn)證和管理動(dòng)作，以及公開(kāi)密鑰證件的有效性確認(rèn)動(dòng)作。
使用圖7～圖8的流程圖說(shuō)明在VA裝置(14)中所進(jìn)行的路徑檢索、驗(yàn)證和管理動(dòng)作。
控制部分55若經(jīng)過(guò)由VA的經(jīng)營(yíng)者決定的規(guī)定時(shí)間(例如1日)(步驟S1001)，那么將一次清除路徑數(shù)據(jù)庫(kù)56的登錄內(nèi)容(S1002)，并在路徑檢索部分51中委托路徑檢索。路徑檢索部分51接收該委托后，檢索到以任意CA為委托機(jī)構(gòu)CA時(shí)的EE證件發(fā)行CA的路徑(步驟S1003)。
具體地說(shuō)，路徑檢索部分51訪問(wèn)委托機(jī)構(gòu)CA，得到委托機(jī)構(gòu)CA發(fā)行的并被保持在發(fā)行目的地管理表保持部分45中的公開(kāi)密鑰證件的發(fā)行目的地信息。然后，在得到的各發(fā)行目的地是CA的場(chǎng)合下，訪問(wèn)各發(fā)行目的地，再調(diào)查保持在發(fā)行目的地管理表保持部分45中的、各CA所發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地。通過(guò)將該處理持續(xù)到公開(kāi)密鑰證件的發(fā)行目的地變?yōu)镋E，檢索從委托機(jī)構(gòu)CA到EE證件發(fā)行CA的路徑。此處，為了防止通過(guò)路徑環(huán)路使該處理無(wú)限地反復(fù)，當(dāng)在從某個(gè)CA得到的發(fā)行目的地中包含在之前形成的部分路徑中存在的CA時(shí)，不進(jìn)行將該CA設(shè)定為發(fā)行目的地的該處理。另外，取得向位于路徑端點(diǎn)的EE發(fā)行證件的CA所發(fā)行的CRL。
以各CA具有圖2所示的關(guān)系的情況為例，更具體地說(shuō)明在步驟S1003中的路徑檢索處理。
首先，路徑檢索部分51將委托機(jī)構(gòu)CA作為CAbridge進(jìn)行路徑檢索。路徑檢索部分51訪問(wèn)CAbridge，得到CA11、CA21的信息，作為保持在發(fā)行目的地管理表保持部分45中的、CA bridge發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地信息。
接著，路徑檢索部分51對(duì)從CAbridge得到的發(fā)行目的地(CA11、CA21)中的任何一個(gè)，實(shí)行以下的處理。即，若所關(guān)注的發(fā)行目的地是CA(以下，假定叫做“關(guān)注CA”)，就設(shè)定所謂CAbridge-關(guān)注CA的部分路徑。然后，訪問(wèn)關(guān)注CA的發(fā)行目的地管理表保持部分45，得到該關(guān)注CA所發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地信息。此處，假定關(guān)注的發(fā)行目的地是CA11，設(shè)定所謂的CAbridge-CA11部分路徑，從CA11得到CAbridge、CA12、CA13的信息，作為發(fā)行目的地的信息。
接著，路徑檢索部分51調(diào)查在從認(rèn)證局CA11得到的發(fā)行目的地(CAbridge、CA12、CA13)中是否包含部分路徑上的CA(以下，假定叫做“環(huán)路CA”)。若包含，則將該發(fā)行目的地從關(guān)注對(duì)象中排除。因此，此處，將CAbridge從關(guān)注對(duì)象中排除。接著，路徑檢索部分51調(diào)查在從CA11得到的發(fā)行目的地中是否包含EE。在某個(gè)CA發(fā)行的證件的發(fā)行目的地中包含EE的場(chǎng)合，使該CA成為EE證件發(fā)行CA。但是，由于從CA11得到的發(fā)行目的地中沒(méi)有包含EE，因此CA11不是EE證件發(fā)行CA。因此，應(yīng)將CAbridge-CA11的部分路徑延長(zhǎng)到EE證件發(fā)行CA，并關(guān)注除從CA11得到的環(huán)路CA以外的發(fā)行目的地(CA12、CA13)中的任何1個(gè)。
若所關(guān)注的發(fā)行目的地是CA，那么在以前設(shè)定的部分路徑中設(shè)定連接該關(guān)注CA的部分路徑。然后，訪問(wèn)該關(guān)注CA的發(fā)行目的地管理表保持部分45，得到該關(guān)注CA發(fā)行的公開(kāi)密鑰證件的發(fā)行目的地的信息。此處，假定所關(guān)注的發(fā)行目的地是CA12，設(shè)定所謂的CAbridge-CA11-CA12路徑，從CA12得到EE1、EE2，作為發(fā)行目的地的信息。
接著，路徑檢索部分51調(diào)查在從CA12得到的發(fā)行目的地(EE1、EE2)中是否包含環(huán)路CA。若包含，則將該發(fā)行目的地從關(guān)注對(duì)象中排除。此處，因?yàn)闆](méi)有包含環(huán)路CA，所以路徑檢索部分51移向下一個(gè)處理，調(diào)查從CA12得到的發(fā)行目的地中是否包含EE。此處，因?yàn)榈玫降陌l(fā)行目的地全部是EE，所以CA12是EE證件發(fā)行CA。因此，檢測(cè)出以該CA12為端點(diǎn)的路徑作為從委托機(jī)構(gòu)CAbridge到EE證件發(fā)行CA12的路徑(CAbridge-CA11-CA12)。
此外，路徑檢索部分51在檢測(cè)出到EE證件發(fā)行CA的路徑時(shí)，訪問(wèn)失效證件表保持部分46，并取得該EE證件發(fā)行CA12所發(fā)行的CRL。
接著，路徑檢索部分51調(diào)查在從位于檢測(cè)出的路徑端點(diǎn)上的CA12得到的發(fā)行目的地的信息中是否有還未被關(guān)注的發(fā)行目的地(環(huán)路CA以外的CA)，若有那樣的發(fā)行目的地，則將它作為關(guān)注CA繼續(xù)該處理。另一方面，若沒(méi)有那樣的發(fā)行目的地，就調(diào)查在從位于前1個(gè)的CA11得到的發(fā)行目的地的信息中是否有還未被關(guān)注的發(fā)行目的地(環(huán)路CA以外的CA)。然后，若有那樣的發(fā)行目的地，就將它作為關(guān)注CA，繼續(xù)該處理。此處，由于在從CA11得到的發(fā)行目的地信息中，還未對(duì)CA13關(guān)注，因此通過(guò)將它作為關(guān)注CA進(jìn)行該處理，檢測(cè)出從CAbridge到EE證件發(fā)行CA13的路徑(CAbridge-CA11-CA13)和CA13所發(fā)行的CRL。
這樣，路徑檢索部分51對(duì)于位于檢測(cè)出的路徑上的每個(gè)CA，通過(guò)繼續(xù)該處理直到在從該CA得到的發(fā)行目的地的信息中沒(méi)有還未被關(guān)注的發(fā)行目的地為止，檢測(cè)出從CAbridge到各EE證件發(fā)行CA的路徑。
以上是以任意CA為委托機(jī)構(gòu)時(shí)的步驟S1003的處理。
象后述的那樣，即使將CA11、CA21各自的CA作為委托機(jī)構(gòu)CA，也同樣地進(jìn)行路徑檢索。
控制部分55若通過(guò)路徑檢索部分51檢測(cè)出路徑(在步驟S1004中為YES)，那么在路徑驗(yàn)證部分52委托路徑驗(yàn)證，路徑驗(yàn)證部分52接收之后，進(jìn)行對(duì)路徑檢索部分51檢測(cè)出的路徑的驗(yàn)證(步驟S1005)。
具體地說(shuō)，對(duì)于由路徑檢索部分51檢測(cè)出的各個(gè)路徑進(jìn)行以下的處理。
即，首先，路徑驗(yàn)證部分52訪問(wèn)路徑上各CA的公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44，并得到各CA對(duì)位于該路徑上的下1個(gè)CA(在訪問(wèn)目的地CA為EE證件發(fā)行CA時(shí)是EE)發(fā)行的公開(kāi)密鑰證件。
接著，路徑驗(yàn)證部分52利用EE證件發(fā)行CA的公開(kāi)密鑰證件來(lái)驗(yàn)證位于路徑最后的EE證件發(fā)行CA所發(fā)行的公開(kāi)密鑰證件的署名，在能驗(yàn)證的場(chǎng)合，利用位于再前一個(gè)的CA的公開(kāi)密鑰證件來(lái)驗(yàn)證該EE證件發(fā)行CA的公開(kāi)密鑰證件的署名。通過(guò)將該處理持續(xù)到位于該前一個(gè)的認(rèn)證局CA變成委托機(jī)構(gòu)CA為止，來(lái)驗(yàn)證該路徑。此外，利用該EE證件發(fā)行CA的公開(kāi)密鑰證件來(lái)對(duì)該EE證件發(fā)行CA所發(fā)行的CRL進(jìn)行驗(yàn)證。
例如，在驗(yàn)證圖2中從CAbridge到EE證件發(fā)行CA12的路徑(CAbridge-CA11-CA12)和CRL時(shí)，首先，使用路徑中位于CA12的前1個(gè)的CA11的公開(kāi)密鑰證件來(lái)驗(yàn)證EE證件發(fā)行CA12的公開(kāi)密鑰證件的署名。然后，在能驗(yàn)證的場(chǎng)合，使用路徑中位于比CA11更前1個(gè)的CAbridge的公開(kāi)密鑰證件來(lái)驗(yàn)證CA11的公開(kāi)密鑰證件的署名。然后，在能進(jìn)行該驗(yàn)證的場(chǎng)合，使用該EE證件發(fā)行CA12的公開(kāi)密鑰證件對(duì)該EE證件發(fā)行CA12所發(fā)行的CRL進(jìn)行驗(yàn)證。在能驗(yàn)證該路徑和CRL的場(chǎng)合，假定能驗(yàn)證從CAbridge到EE證件發(fā)行CA12的路徑。
接著，若路徑驗(yàn)證部分52假定不能驗(yàn)證路徑，就調(diào)查在從該路徑上各認(rèn)證局CA得到的公開(kāi)密鑰證件中是否有關(guān)于未委托的其它認(rèn)證局名稱(Name Constrains)和用于該公開(kāi)密鑰證件的有效性確認(rèn)所容許的最大路徑長(zhǎng)度(路徑上容許的最大認(rèn)證局個(gè)數(shù))等限制的記述。在有那樣的記述的場(chǎng)合，調(diào)查該路徑是否滿足該限制，只有在滿足的場(chǎng)合，才能驗(yàn)證該路徑。
那么，如上述那樣做之后，若驗(yàn)證部分52完成了對(duì)路徑檢索部分51檢測(cè)出的各個(gè)路徑的驗(yàn)證，控制部分55就進(jìn)行登錄處理。控制部分55在路徑驗(yàn)證部分52能驗(yàn)證路徑的場(chǎng)合(在步驟S1006中為Yes)，使該路徑與委托機(jī)構(gòu)CA、EE證件發(fā)行CA、EE證件發(fā)行CA所發(fā)行的CRL相對(duì)應(yīng)地登錄在有效路徑數(shù)據(jù)庫(kù)56A中(步驟S1007)，并向步驟S1003轉(zhuǎn)移。另外，控制部分55在路徑驗(yàn)證部分52不能驗(yàn)證路徑的場(chǎng)合(在步驟S1006中為No)，使該路徑與委托機(jī)構(gòu)CA、EE證件發(fā)行CA、EE證件發(fā)行CA所發(fā)行的CRL相對(duì)應(yīng)地登錄在無(wú)效路徑數(shù)據(jù)庫(kù)56B中(步驟S1008)，并向步驟S1003轉(zhuǎn)移。
控制部分55反復(fù)執(zhí)行步驟S1003～步驟S1008，直到?jīng)]有路徑被檢測(cè)出為止(在步驟S1004中為No)，并生成路徑數(shù)據(jù)庫(kù)56。這時(shí)，將全部CA作為委托機(jī)構(gòu)，檢索對(duì)應(yīng)的全部路徑。在CA構(gòu)成如圖2所示的場(chǎng)合，將CA11、CA21、CAbridge這3個(gè)CA作為委托機(jī)構(gòu)，檢索分別與各CA對(duì)應(yīng)的全部路徑。
進(jìn)行步驟S1003～步驟S1008中處理的結(jié)果是，在各CA具有圖2所示的關(guān)系時(shí)，由路徑檢索部分51檢測(cè)出的全部路徑變成圖9所示那樣。
另一方面，有效期限/失效狀態(tài)調(diào)查部分53調(diào)查在登錄在有效路徑數(shù)據(jù)庫(kù)56A中的公開(kāi)密鑰證件中是否有限定有效期限的公開(kāi)密鑰證件(步驟S1009)。在有限定有效期限的公開(kāi)密鑰證件時(shí)，訪問(wèn)該公開(kāi)密鑰證件的發(fā)行源CA的公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44，并檢索對(duì)該公開(kāi)密鑰證件的發(fā)行目的地重新發(fā)行的公開(kāi)密鑰證件(步驟S1010)。
然后，若在該發(fā)行源CA的公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44中沒(méi)有那樣的公開(kāi)密鑰證件，就將有關(guān)與該限定有效期限的公開(kāi)密鑰證件對(duì)應(yīng)登錄的路徑的信息從有效路徑數(shù)據(jù)庫(kù)56A中刪除，并登錄到無(wú)效路徑數(shù)據(jù)庫(kù)56B中(步驟S1011)。另一方面，若在該發(fā)行源CA的公開(kāi)密鑰證件數(shù)據(jù)庫(kù)44中有那樣的公開(kāi)密鑰證件，那么就得到該證件。然后，使用代替該限定有效期限的公開(kāi)密鑰證件的、重新得到的公開(kāi)密鑰證件，與該步驟S1005相同地進(jìn)行對(duì)與該限定有效期限的公開(kāi)密鑰證件相對(duì)應(yīng)地登錄在有效路徑數(shù)據(jù)庫(kù)56A中的路徑的驗(yàn)證(步驟S1012)。
那么，在能驗(yàn)證路徑的場(chǎng)合(在步驟S1013中為Yes)，將與該路徑對(duì)應(yīng)地登錄在有效路徑數(shù)據(jù)庫(kù)56A中的該限定有效期限的公開(kāi)密鑰證件置換為重新得到的公開(kāi)密鑰證件(步驟S1014)。另一方面，在路徑不能驗(yàn)證的場(chǎng)合(在步驟S1013中為No)，將與該限定有效期限的公開(kāi)密鑰證件對(duì)應(yīng)登錄的路徑從有效路徑數(shù)據(jù)庫(kù)31中刪除，并將置換為重新得到的公開(kāi)密鑰證件的路徑置換到無(wú)效路徑數(shù)據(jù)庫(kù)中(步驟S1015)。
接著，有效期限/失效狀態(tài)調(diào)查部分53調(diào)查失效證件表生成預(yù)定時(shí)日數(shù)據(jù)庫(kù)57，并檢索與已經(jīng)過(guò)期的失效證件表生成預(yù)定時(shí)日對(duì)應(yīng)的CA(步驟S1016)。在存在那樣的認(rèn)證局CA的場(chǎng)合(在步驟S1017中為Yes)，訪問(wèn)該CA的失效證件表保持部分46，并得到該CA發(fā)行的最新的失效證件表(步驟S1018)。然后，將與該認(rèn)證局CA對(duì)應(yīng)登錄到失效證件表生成預(yù)定時(shí)日數(shù)據(jù)庫(kù)57中的失效證件表生成預(yù)定時(shí)日變更為記述在所得到的最新失效證件表中的失效證件表生成預(yù)定時(shí)日(步驟S1019)。
然后，有效期限/失效狀態(tài)調(diào)查部分53調(diào)查記述在所得到的最新失效證件表中的公開(kāi)密鑰證件是否登錄在有效路徑數(shù)據(jù)庫(kù)56A中(步驟S1020)，在登錄于其中的場(chǎng)合，從有效的路徑數(shù)據(jù)庫(kù)56A中刪除有關(guān)與該公開(kāi)密鑰證件對(duì)應(yīng)的路徑的信息，并登錄到無(wú)效路徑數(shù)據(jù)庫(kù)56B中(步驟S1021)。
下面，說(shuō)明關(guān)于公開(kāi)密鑰證件的有效性確認(rèn)動(dòng)作。
圖10～圖11是用于說(shuō)明在本實(shí)施形態(tài)的VA裝置(14)中進(jìn)行的公開(kāi)密鑰證件的有效性確認(rèn)動(dòng)作的流程圖。
若控制部分55經(jīng)由通信部分50c，從EE接收到至少包含了該EE委托的委托機(jī)構(gòu)CA的名稱的、其它EE的公開(kāi)密鑰證件的有效性確認(rèn)委托(步驟S2001)，就將其通知給有效確認(rèn)部分54。
有效確認(rèn)部分54接收之后，調(diào)查與根據(jù)證件有效性確認(rèn)委托的記述而指定的委托機(jī)構(gòu)CA和發(fā)行了該證件的EE證件發(fā)行CA相對(duì)應(yīng)的路徑是否被登錄在有效路徑數(shù)據(jù)庫(kù)56A中(步驟S2002)。
如果其結(jié)果能確認(rèn)與在證件有效性確認(rèn)委托中記述的委托機(jī)構(gòu)CA和發(fā)行了該證件的EE證件發(fā)行CA相對(duì)應(yīng)的路徑被登錄在有效路徑數(shù)據(jù)庫(kù)56A中(在步驟S2002中為Yes)，那么有效性確認(rèn)部分54使用作為該路徑端點(diǎn)的EE證件發(fā)行CA的公開(kāi)密鑰證件進(jìn)行EE證件的署名驗(yàn)證。有效性確認(rèn)部分54還使用與該路徑對(duì)應(yīng)登錄的CRL來(lái)確認(rèn)EE證件是否沒(méi)有失效(步驟S2003)。
在EE證件的署名驗(yàn)證失敗的場(chǎng)合(在步驟S2003中為No)，或EE證件被記述在CRL中并被失效的場(chǎng)合，有效性確認(rèn)部分54判斷為EE證件無(wú)效，并將該旨意經(jīng)由通信部分50c通知給委托源的EE(步驟S2009)。
另一方面，在各證件中具有能夠記述對(duì)未委托的認(rèn)證局名稱的限制和用于該公開(kāi)密鑰證件的有效性確認(rèn)所容許的最大路徑長(zhǎng)度(路徑上容許的最大認(rèn)證局個(gè)數(shù))的擴(kuò)展項(xiàng)。在步驟S2003中，EE證件的署名驗(yàn)證和是否沒(méi)有失效的確認(rèn)成功的場(chǎng)合(Yes的場(chǎng)合)，調(diào)查包含在EE證件和該路徑中的各CA的證件中是否記述了該限制(步驟S2004)。
在沒(méi)有那樣的限制記述時(shí)，轉(zhuǎn)移到步驟S2006。
在有那樣的限制的記述的場(chǎng)合，轉(zhuǎn)移到步驟S2005，并調(diào)查EE證件是否滿足該限制。在EE證件違反限制事項(xiàng)的場(chǎng)合，有效性確認(rèn)部分54經(jīng)由通信部分50c將公開(kāi)密鑰證件無(wú)效通知給委托源的EE裝置(11)(步驟S2009)。在EE證件沒(méi)有違反限制事項(xiàng)的場(chǎng)合，轉(zhuǎn)移到步驟S2006。
在步驟S2006中，有效性確認(rèn)部分54調(diào)查在從EE裝置(11)接收的確認(rèn)委托中是否包含表示該EE要進(jìn)行的電子手續(xù)的交易額等政策。
在包含政策的場(chǎng)合，再調(diào)查在EE證件和構(gòu)成該路徑的各個(gè)公開(kāi)密鑰證件中是否有滿足該政策的政策記述(步驟S2007)。
當(dāng)在EE證件和該路徑中沒(méi)有滿足該政策的政策記述的場(chǎng)合，判斷為在用于委托源的EE要進(jìn)行的電子手續(xù)的公開(kāi)密鑰證件的有效性確認(rèn)中不能利用EE證件，并經(jīng)由通信部分50c將公開(kāi)密鑰證件無(wú)效的旨意通知給委托源的EE裝置(11)(步驟S2009)。
另一方面，在從EE接收的確認(rèn)委托中不包含表示該EE想要進(jìn)行的電子手續(xù)的政策時(shí)(在步驟S2006中為No)，或者，在即便包含、在該路徑和EE證件中所記述的政策也滿足該政策時(shí)(在步驟S2007中為Yes)，判斷為公開(kāi)密鑰證件為有效，并經(jīng)由通信部分50c將公開(kāi)密鑰證件有效的旨意通知給委托源的EE(步驟S2008)。
另外，在步驟S2002中，當(dāng)與在證件的有效性確認(rèn)中所記述的委托源CA和發(fā)行了該證件的EE證件發(fā)行CA相對(duì)應(yīng)的路徑?jīng)]有被登錄在有效路徑數(shù)據(jù)庫(kù)56A中時(shí)(在S2002中為No)，確認(rèn)該路徑是否登錄在無(wú)效路徑數(shù)據(jù)庫(kù)56B中(步驟S2010)。當(dāng)該路徑?jīng)]有被登錄在無(wú)效數(shù)據(jù)庫(kù)56B中時(shí)(在步驟S2010中為No)，轉(zhuǎn)移到圖11的步驟S2012。
在步驟S2012中，路徑檢索部分51檢索從確認(rèn)委托記述的委托機(jī)構(gòu)CA到確認(rèn)對(duì)象的EE證件的路徑。該檢索與路徑檢索部分51按照預(yù)定的規(guī)定規(guī)則進(jìn)行的檢索不同，是臨時(shí)進(jìn)行的。
在路徑檢索部分51沒(méi)有檢測(cè)出從委托機(jī)構(gòu)CA到EE證件的路徑的場(chǎng)合(在步驟S2013中為No)，有效性確認(rèn)部分54經(jīng)由通信部分50c將EE證件無(wú)效的旨意通知給委托源的EE(步驟S2019)。另一方面，在檢索部分51檢測(cè)出從委托源CA到EE證件的路徑的場(chǎng)合(在步驟S2013中為Yes)，在路徑驗(yàn)證部分52中驗(yàn)證檢測(cè)出的路徑(步驟S2014)。
在能驗(yàn)證檢測(cè)出的路徑時(shí)(在步驟S2015中為Yes)，向有效路徑數(shù)據(jù)庫(kù)登錄從該路徑的委托機(jī)構(gòu)CA到EE證件發(fā)行CA的路徑以及EE證件發(fā)行CA所發(fā)行的CRL(步驟S2016)。然后，有效性確認(rèn)部分54經(jīng)由通信部分50c將EE證件有效的旨意通知給委托源的EE(步驟S2017)。
另一方面，在不能驗(yàn)證檢測(cè)出的路徑的場(chǎng)合(在步驟S2015中為No)，向無(wú)效路徑數(shù)據(jù)登錄從該路徑的委托機(jī)構(gòu)CA到EE證件發(fā)行CA的路徑和EE證件發(fā)行CA所發(fā)行的CRL(步驟S2018)。然后，向步驟S2011轉(zhuǎn)移，除此前檢測(cè)出的路徑以外，進(jìn)行路徑是否存在的檢索，并同樣地實(shí)行其后的步驟。
另外，在圖10的步驟2010中，當(dāng)該路徑被登錄在無(wú)效路徑數(shù)據(jù)庫(kù)56B中時(shí)(在步驟S2010中為Yes)，以及除該登錄路徑外，還檢測(cè)出與有效性確認(rèn)委托對(duì)應(yīng)的路徑時(shí)(在步驟S2011中為Yes)，向步驟S2014轉(zhuǎn)移，并進(jìn)行對(duì)該檢測(cè)出的路徑的驗(yàn)證、登錄處理(步驟S2014～步驟S2019)。
另一方面，在除該登錄路徑外，沒(méi)有檢測(cè)出與有效性確認(rèn)對(duì)應(yīng)的路徑時(shí)(在步驟S2011中為No)，有效性確認(rèn)部分54經(jīng)由通信部分50c將公開(kāi)密鑰證件無(wú)效的旨意通知給委托源的EE(步驟S2009)。
在以上的實(shí)施形態(tài)中，按照與來(lái)自EE的公開(kāi)密鑰證件的有效性確認(rèn)委托無(wú)關(guān)的規(guī)定規(guī)則，例如定期地進(jìn)行時(shí)從委托機(jī)構(gòu)CA到各EE證件發(fā)行CA的路徑的檢索和驗(yàn)證。
經(jīng)檢索、驗(yàn)證的路徑被分成有效路徑和無(wú)效路徑，并登錄在路徑數(shù)據(jù)庫(kù)中。然后，通過(guò)調(diào)查與有效性確認(rèn)委托相對(duì)應(yīng)的路徑是作為有效路徑被登錄，還是作為無(wú)效路徑被登錄，來(lái)判斷該EE證件是否有效。
這時(shí)，在與該有效性確認(rèn)委托對(duì)應(yīng)的路徑被登錄在無(wú)效路徑數(shù)據(jù)庫(kù)中時(shí)，檢索、驗(yàn)證是否存在除該無(wú)效路徑以外的對(duì)應(yīng)路徑，并進(jìn)行確認(rèn)。在對(duì)應(yīng)于該有效性確認(rèn)委托的路徑?jīng)]有被登錄在路徑數(shù)據(jù)庫(kù)時(shí)，臨時(shí)進(jìn)行路徑檢索、驗(yàn)證。因此，在認(rèn)證局的構(gòu)成發(fā)生變化的場(chǎng)合，由于利用最新的路徑信息進(jìn)行驗(yàn)證，因此也能夠應(yīng)答適當(dāng)?shù)挠行源_認(rèn)結(jié)果。另外，通過(guò)緩存(cache)無(wú)效路徑，能夠縮短從接收公開(kāi)密鑰證件到確認(rèn)該有效性所花費(fèi)的時(shí)間。
另外，在本實(shí)施形態(tài)中，在登錄路徑時(shí)，與該CRL的驗(yàn)證結(jié)果一起登錄由作為路徑端點(diǎn)的EE證件發(fā)行CA所發(fā)行的CRL。然后，在從某個(gè)EE接收了公開(kāi)密鑰證件的有效性確認(rèn)委托的場(chǎng)合，使用該CRL確認(rèn)該EE證件是否失效。因此，能夠進(jìn)一步縮短在公開(kāi)密鑰證件的有效性確認(rèn)中所花費(fèi)的時(shí)間。
此外，本發(fā)明不應(yīng)受該實(shí)施形態(tài)的限制，在其發(fā)明構(gòu)思的范圍內(nèi)可以有各種變形。
例如，在該實(shí)施形態(tài)中，在VA將路徑登錄在數(shù)據(jù)庫(kù)中時(shí)，分成有效路徑數(shù)據(jù)庫(kù)56A和無(wú)效路徑數(shù)據(jù)庫(kù)56B這2個(gè)數(shù)據(jù)庫(kù)進(jìn)行登錄。但是，也可以在1個(gè)數(shù)據(jù)庫(kù)中，附加表示該路徑狀態(tài)的標(biāo)志，從而對(duì)有效路徑和無(wú)效路徑進(jìn)行分類。
另外，在該實(shí)施形態(tài)中，為了便于說(shuō)明，如圖2所示，假定EE證件發(fā)行CA只對(duì)EE發(fā)行公開(kāi)密鑰證件，其它CA只對(duì)CA發(fā)行公開(kāi)密鑰證件，本發(fā)行也適用于包含向EE和CA雙方發(fā)行公開(kāi)密鑰證件的CA的情況。
另外，在該實(shí)施形態(tài)中，為了便于說(shuō)明，如圖2所示，將CA的構(gòu)成假定為分層結(jié)構(gòu)，但本發(fā)時(shí)也適用于CA片構(gòu)成為更復(fù)雜的網(wǎng)狀結(jié)構(gòu)的場(chǎng)合。
權(quán)利要求
1.一種在證件有效性確認(rèn)局裝置中按照委托進(jìn)行的公開(kāi)密鑰證件的有效性確認(rèn)方法，包括預(yù)先進(jìn)行路徑檢索和對(duì)檢索出的路徑進(jìn)行驗(yàn)證的步驟；根據(jù)預(yù)定的基準(zhǔn)，對(duì)作為該檢索和驗(yàn)證的結(jié)果的路徑進(jìn)行分類后，將其登錄在數(shù)據(jù)庫(kù)中的路徑登錄步驟；以及從終端裝置接收公開(kāi)密鑰證件的有效性確認(rèn)委托，并使用預(yù)先登錄的路徑進(jìn)行驗(yàn)證的有效性確認(rèn)步驟。
2.如權(quán)利要求1記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中，在該有效性確認(rèn)步驟中，當(dāng)與該有效性確認(rèn)委托相對(duì)應(yīng)的有效路徑?jīng)]有被登錄時(shí)，通過(guò)重新進(jìn)行路徑檢索和驗(yàn)證，進(jìn)行該公開(kāi)密鑰證件的有效性確認(rèn)。
3.如權(quán)利要求1記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中在該路徑登錄步驟中，該預(yù)定的基準(zhǔn)根據(jù)驗(yàn)證結(jié)果，或者是有效路徑或者是無(wú)效路徑，在該有效性確認(rèn)步驟中，當(dāng)與該有效性確認(rèn)委托對(duì)應(yīng)的路徑作為有效路徑或者無(wú)效路徑登錄到該數(shù)據(jù)庫(kù)中時(shí)，根據(jù)該登錄結(jié)果，進(jìn)行所委托的公開(kāi)密鑰證件的有效性確認(rèn)。
4.如權(quán)利要求3記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中還包括在該有效性確認(rèn)步驟中，即便與該有效性確認(rèn)委托對(duì)應(yīng)的路徑作為有效路徑被登錄，當(dāng)該公開(kāi)密鑰證件中或該路徑所包含的公開(kāi)密鑰證件中記述有限制事項(xiàng)時(shí)，也要按照該有效性確認(rèn)委托進(jìn)行路徑驗(yàn)證，并調(diào)查該公開(kāi)密鑰證件以及該路徑是否滿足該限制事項(xiàng)的步驟；以及若滿足限制事項(xiàng)，就判斷為有效路徑的步驟。
5.如權(quán)利要求3記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中還包括在該有效性確認(rèn)步驟中，即使與該有效性確認(rèn)委托對(duì)應(yīng)的路徑作為有效路徑被登錄，當(dāng)該有效性確認(rèn)委托或該公開(kāi)密鑰證件或該路徑中所包含的公開(kāi)密鑰證件中記載有政策時(shí)，也要按照該有效性確認(rèn)委托進(jìn)行路徑驗(yàn)證，并調(diào)查該公開(kāi)密鑰證件和該路徑是否滿足電子手續(xù)的政策的步驟；以及在滿足該政策的場(chǎng)合，判斷為有效路徑的步驟。
6.如權(quán)利要求3記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中該路徑登錄步驟包括檢索從委托機(jī)構(gòu)認(rèn)證局到用于發(fā)行終端實(shí)體證件的認(rèn)證局的路徑的步驟；取得、驗(yàn)證與用于發(fā)行該終端實(shí)體證件的認(rèn)證局所發(fā)行的終端實(shí)體證件相關(guān)的失效表的步驟；以及與該失效表的驗(yàn)證結(jié)果一起登錄失效表的步驟。
7.如權(quán)利要求6記載的公開(kāi)密鑰證件的有效性確認(rèn)方法，其中，在該有效性確認(rèn)步驟中，在與該有效性確認(rèn)委托對(duì)應(yīng)的路徑作為有效路徑登錄在該數(shù)據(jù)庫(kù)中時(shí)，不進(jìn)行該失效表驗(yàn)證地確認(rèn)該公開(kāi)密鑰證件沒(méi)有失效的事實(shí)。
全文摘要
本發(fā)明提供一種高速化驗(yàn)證公開(kāi)密鑰證件的方法和裝置。即使是在進(jìn)行路徑檢索以后存在新路徑的場(chǎng)合，也能應(yīng)答適當(dāng)?shù)慕Y(jié)果，而且，也能縮短終端實(shí)體從委托公開(kāi)密鑰證件的有效性確認(rèn)到知道其結(jié)果所花費(fèi)的時(shí)間。證件的有效性確認(rèn)局預(yù)先定期地檢索、驗(yàn)證路徑和失效證件表，按照該驗(yàn)證結(jié)果，分成有效路徑和無(wú)效路徑，并向數(shù)據(jù)庫(kù)登錄。另外，在存在來(lái)自終端實(shí)體的證件有效性確認(rèn)委托的場(chǎng)合，調(diào)查與該委托對(duì)應(yīng)的路徑被登錄在有效路徑數(shù)據(jù)庫(kù)還是無(wú)效路徑數(shù)據(jù)庫(kù)中，并判斷該公開(kāi)密鑰證件的有效性。另一方面，在與該有效性確認(rèn)委托對(duì)應(yīng)的路徑?jīng)]有被登錄在數(shù)據(jù)庫(kù)中的場(chǎng)合，通過(guò)重新進(jìn)行路徑檢索、驗(yàn)證，進(jìn)行該公開(kāi)密鑰證件的有效性確認(rèn)。
文檔編號(hào)H04L9/32GK1606269SQ20041000729
公開(kāi)日2005年4月13日 申請(qǐng)日期2004年2月27日 優(yōu)先權(quán)日2003年10月10日
發(fā)明者熊谷洋子, 藤城孝宏, 鍛忠司, 羽根慎吾, 下之薗仁 申請(qǐng)人:株式會(huì)社日立制作所