專利名稱：網(wǎng)關(guān)服務(wù)器、加密通信的中繼方法、程序及其存儲(chǔ)媒體的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及加密通信的中繼方法、中繼加密通信的網(wǎng)關(guān)服務(wù)器裝置、加密通信程序及加密通信程序的存儲(chǔ)媒體。
背景技術(shù)：
以因特網(wǎng)為代表的網(wǎng)絡(luò)，就流經(jīng)該網(wǎng)絡(luò)的數(shù)據(jù)而言，未必是安全的，存在各種各樣的危險(xiǎn)性。其一是盜聽。例如，存有惡意的人，只要用特殊的軟件或硬件，盜聽流經(jīng)該網(wǎng)絡(luò)的信息，這樣就能夠非法取得如在線購物時(shí)發(fā)送的他人的信用卡號(hào)等個(gè)人信息。另外，還存在服務(wù)器的冒充問題。第三者冒充已有的在線商店并準(zhǔn)備假的訂購頁，如果利用者不意識(shí)到是假商店而輸入信用卡號(hào)等個(gè)人信息，就被非法得到信用卡號(hào)。
作為用來解決這樣的盜聽或冒充服務(wù)器問題，實(shí)現(xiàn)安全通信的技術(shù)，有基于SSL(Secure Socket Layer)或作為其后繼技術(shù)的TLS(Transport LayerSecurity)的加密通信。按照這些加密通信方法，例如進(jìn)行加密通信的Web服務(wù)器和Web瀏覽器，首先在其間進(jìn)行秘密密鑰的交換等信號(hào)交換，然后按加密過的通信進(jìn)行其后的通信。因此，網(wǎng)絡(luò)的途中存在的中繼裝置等中，不能將其通信內(nèi)容解密。這樣，就能夠防止第三者的盜聽。
可是，如上的僅僅發(fā)送者和接收者可解讀的加密通信(下稱End-End加密通信)能確保被通信的信息的安全，但還會(huì)發(fā)生以下說明的問題。
網(wǎng)關(guān)服務(wù)器裝置，與內(nèi)部網(wǎng)和因特網(wǎng)連接，同時(shí)，又是中繼其間的通信的中繼裝置。而且，具備監(jiān)視是否從內(nèi)部網(wǎng)向因特網(wǎng)未流出例如企業(yè)的秘密文檔等或者是否從因特網(wǎng)向內(nèi)部網(wǎng)未流入病毒或其它有害的信息等的功能。另外，網(wǎng)關(guān)服務(wù)器裝置，還具備進(jìn)行內(nèi)部網(wǎng)與因特網(wǎng)之間的通信數(shù)據(jù)的格式變換等服務(wù)功能。這樣的通信數(shù)據(jù)的監(jiān)視或格式變換等，常常被叫做附加價(jià)值處理，并作為網(wǎng)關(guān)服務(wù)器裝置的功能的一部分而固定下來。在提供因特網(wǎng)連接服務(wù)的ISP(因特網(wǎng)服務(wù)提供商)中，這樣的附加價(jià)值處理，是作為商業(yè)性服務(wù)來進(jìn)行。
但是，網(wǎng)關(guān)服務(wù)器裝置，不能對SSL等End-End加密通信提供這樣的附加值處理的服務(wù)。即使是網(wǎng)關(guān)服務(wù)器裝置或ISP服務(wù)器，也不能解讀End-End加密通信中的密碼，而無法知道其通信內(nèi)容。因此，網(wǎng)關(guān)服務(wù)器裝置不能切斷存有惡意的第三者用SSL加密通信發(fā)送的病毒或其它有害的信息，也不能阻止用SSL加密通信使秘密文檔流出到內(nèi)部網(wǎng)之外。
作為解決該問題的軟件產(chǎn)品，WebWasher公司正在用叫做SSL掃描器的名稱來銷售這種軟件產(chǎn)品。按照其小冊子(參照非專利文獻(xiàn)1)，SSL掃描器被安裝在網(wǎng)關(guān)服務(wù)器裝置等內(nèi)，來監(jiān)視Web服務(wù)器(內(nèi)容服務(wù)器裝置)和Web客戶端(客戶端裝置的瀏覽器)之間的SSL加密通信，這是進(jìn)行加密數(shù)據(jù)的解密的通信中繼軟件。即，SSL掃描器把SSL加密通信的加密文暫時(shí)變換為明文，就可以作為明文施加病毒檢查等附加價(jià)值處理。
在非專利文獻(xiàn)1中，雖然未詳細(xì)說明SSL掃描器可以擠入SSL加密通信的途中的方法或手段，但是可推測基于如下的方法的方法或手段。首先，SSL掃描器的運(yùn)用管理者向用戶發(fā)布SSL掃描器的根CA(Certificate Authority證明管理機(jī)構(gòu))證書，并把該證書安裝在瀏覽器中。而后，在瀏覽器與Web服務(wù)器之間進(jìn)行SSL加密通信時(shí)之際，SSL信號(hào)交換時(shí)，SSL掃描器把服務(wù)器證書發(fā)送給瀏覽器，由此，在SSL掃描器與瀏覽器之間進(jìn)行SSL加密通信。
在網(wǎng)關(guān)服務(wù)器裝置中把加密通信文解密，然后對解了密的明文的通信文進(jìn)行附加價(jià)值處理的例子，也存在于使用移動(dòng)電話等的移動(dòng)體通信中。把移動(dòng)體的數(shù)據(jù)通信方法標(biāo)準(zhǔn)化的標(biāo)準(zhǔn)化團(tuán)體OMA(Open Mobile Allience開放移動(dòng)聯(lián)盟)，在WAP(Wireless Application Protocol無線應(yīng)用協(xié)議)版本1中規(guī)定了可進(jìn)行WAP瀏覽器和網(wǎng)關(guān)服務(wù)器裝置之間的加密通信的WTLS(Wireless Transport Layer Security無線傳輸層安全性)技術(shù)標(biāo)準(zhǔn)(參照非專利文獻(xiàn)2)。按照該WAP版本1，移動(dòng)電話等移動(dòng)體終端上的WAP瀏覽器，在移動(dòng)電話等與連接因特網(wǎng)的網(wǎng)關(guān)服務(wù)器裝置之間進(jìn)行依據(jù)WTLS的加密通信，并在網(wǎng)關(guān)服務(wù)器裝置與Web(WAP)服務(wù)器之間進(jìn)行SSL加密通信。
這種情況下，網(wǎng)關(guān)服務(wù)器裝置，為了中繼雙方的加密通信文，要將各自的加密通信文暫時(shí)解密成明文。因此，網(wǎng)關(guān)服務(wù)器裝置，能夠?qū)AP標(biāo)準(zhǔn)的加密通信文自由地進(jìn)行附加價(jià)值處理。即使在現(xiàn)實(shí)中，在面向移動(dòng)電話的系統(tǒng)內(nèi)，網(wǎng)關(guān)服務(wù)器裝置，也在進(jìn)行通信中的HTTP頭上附加特殊的頭等附加價(jià)值處理。
非專利文獻(xiàn)1“產(chǎn)品信息Webwasher SSL Scanner”，[online]，[平成16年8月6日檢索]，因特網(wǎng)<http//www.webwasher.jp/pro#sslscanner.html>
非專利文獻(xiàn)2“Wireless Transport Layer Security”，[online]，2001年4月，Wireless Application Protocol Forum，Ltd，[平成16年8月6日檢索]，因特網(wǎng)<http//www.openmobilealliance.org/tech/affiliates/wap/wap-261-wtls-20010406-a.pdf>
但是，SSL掃描器，不指定正在進(jìn)行SSL加密通信的內(nèi)容服務(wù)器裝置或客戶終端，而將SSL加密通信文變換成明文，再根據(jù)需要進(jìn)行附加價(jià)值處理。因此，在SSL掃描器中，不能對每個(gè)正在進(jìn)行SSL加密通信的內(nèi)容服務(wù)器裝置或客戶終端裝置，變更該通信方法的設(shè)定或設(shè)定所進(jìn)行的附加價(jià)值處理。另外，有這樣的問題，即WTLS加密通信，不是一般普及的方法，所以必須把可進(jìn)行WTLS加密通信的功能追加到客戶終端裝置的WEB瀏覽器內(nèi)。

發(fā)明內(nèi)容
鑒于上述的現(xiàn)有技術(shù)的問題，本發(fā)明的目的在于提供這樣一種網(wǎng)關(guān)服務(wù)器裝置和加密通信的中繼方法、程序以及程序存儲(chǔ)媒體即不在客戶終端裝置的WEB瀏覽器內(nèi)追加特殊的功能，就能在網(wǎng)關(guān)服務(wù)器裝置中，進(jìn)行針對End-End加密通信的附加價(jià)值處理，而且，能夠根據(jù)內(nèi)容服務(wù)器裝置和客戶終端裝置，變更該通信方法的設(shè)定，或設(shè)定執(zhí)行的附加價(jià)值處理。
為了實(shí)現(xiàn)上述目的，本發(fā)明的網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡(luò)發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡(luò)發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務(wù)器裝置之間、進(jìn)行的加密通信的網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法；；其特征在于該網(wǎng)關(guān)服務(wù)器裝置，執(zhí)行如下步驟從客戶端裝置接收用來向內(nèi)容服務(wù)器裝置的加密通信的連接消息的第一步驟；生成針對包含在該連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰的第二步驟；把該暫時(shí)的加密通信中繼許可證發(fā)送到客戶端裝置的第三步驟；在與客戶端裝置之間進(jìn)行End-End加密通信、接收該客戶端裝置發(fā)送的加過密的訪問請求消息、再把加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)該明文的訪問請求消息的內(nèi)容與內(nèi)容服務(wù)器裝置進(jìn)行End-End加密通信、并取得訪問請求消息指示的內(nèi)容信息的第五步驟；對該取得的內(nèi)容信息及其通信頭進(jìn)行附加價(jià)值處理、然后把該附加價(jià)值處理后的內(nèi)容信息及其通信頭加密后發(fā)送到客戶端裝置的第六步驟。
按照本發(fā)明，網(wǎng)關(guān)服務(wù)器裝置，接收客戶端裝置向內(nèi)容服務(wù)器裝置發(fā)送的用于加密通信的連接消息，然后生成針對客戶端裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，所以，在客戶端裝置與網(wǎng)關(guān)服務(wù)器裝置之間能夠進(jìn)行End-End加密通信。另外，網(wǎng)關(guān)服務(wù)器裝置，根據(jù)由客戶端裝置發(fā)送的對內(nèi)容服務(wù)器裝置的訪問請求，進(jìn)行與內(nèi)容服務(wù)器裝置之間的End-End加密通信，并可以取得客戶端裝置要求的內(nèi)容方法。即，本發(fā)明中，在客戶端裝置與內(nèi)容服務(wù)器裝置之間進(jìn)行的加密通信，暫時(shí)被客戶端裝置與網(wǎng)關(guān)服務(wù)器裝置之間的加密通信終止。因此，在所終止的網(wǎng)關(guān)服務(wù)器裝置中，由于加密通信的消息被明文化，所以能夠?qū)Ρ幻魑幕南⑦M(jìn)行種種附加價(jià)值處理。
在本發(fā)明中，客戶端裝置與網(wǎng)關(guān)服務(wù)器裝置之間，以及網(wǎng)關(guān)服務(wù)器裝置與內(nèi)容服務(wù)器裝置之間的通信，分別按End-End加密通信來進(jìn)行。因此，即使它們之間進(jìn)行著網(wǎng)絡(luò)連接，也可以保證信息的安全性。
本發(fā)明的其他加密通信的中繼方法，其特征在于在前述的加密通信的中繼方法中，網(wǎng)關(guān)服務(wù)器裝置，具備登錄暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部的數(shù)據(jù)庫；并取代第二步驟執(zhí)行第七步驟，該第七步驟，以包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址之任一個(gè)或其兩方為檢索關(guān)鍵字檢索該數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從該登錄信息中讀出對所述目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下，或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成對包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，然后把所述生成的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部登錄在數(shù)據(jù)庫中。
按照本發(fā)明，對于目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址之任一個(gè)或其對，將暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限和加密通信方法名登錄在數(shù)據(jù)庫內(nèi)。只要利用該數(shù)據(jù)庫，就能夠?qū)γ總€(gè)客戶端裝置、每個(gè)內(nèi)容服務(wù)器或每個(gè)其兩方設(shè)定加密通信方法或附加價(jià)值處理。因此，就能夠進(jìn)行靈活的加密通信的中繼。
無需對WEB客戶端追加特殊的功能，就能夠在網(wǎng)關(guān)服務(wù)器裝置中進(jìn)行對客戶端裝置與內(nèi)容服務(wù)器裝置之間的End-End加密通信的附加價(jià)值處理，并能夠依據(jù)內(nèi)容服務(wù)器裝置和客戶端裝置，靈活地設(shè)定其間的通信方法或進(jìn)行的附加價(jià)值處理，從而可實(shí)現(xiàn)靈活的加密通信的中繼。


圖1是適用本發(fā)明的網(wǎng)絡(luò)系統(tǒng)的構(gòu)成示意圖；圖2是用于適用本發(fā)明的網(wǎng)絡(luò)系統(tǒng)的信息處理裝置的構(gòu)成圖；圖3是本發(fā)明的第一實(shí)施方式的網(wǎng)關(guān)服務(wù)器裝置和數(shù)據(jù)庫服務(wù)器裝置的構(gòu)成圖；圖4是本發(fā)明的第一實(shí)施方式中網(wǎng)關(guān)服務(wù)器裝置中繼客戶端裝置與內(nèi)容服務(wù)器裝置之間的SSL加密通信的處理的流程圖；圖5是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器檢索處理(步驟S002)的詳細(xì)流程圖；圖6是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器登錄處理(步驟S010)的詳細(xì)流程圖；圖7是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器消除處理(步驟S008)的詳細(xì)流程圖；圖8是圖4中的分割型SSL加密通信處理(步驟S006)的詳細(xì)流程圖；圖9是圖8中的SSL加密通信處理(步驟S415)的詳細(xì)流程圖；圖10是圖8中的錯(cuò)誤處理(步驟S109)的詳細(xì)流程圖；圖11是圖8中的高速緩存應(yīng)答處理(步驟S408)的詳細(xì)流程圖；圖12是圖4中的用戶同意確認(rèn)處理(步驟S600)的詳細(xì)流程圖；圖13是圖12的用戶同意確認(rèn)處理中所使用的用戶同意確認(rèn)頁的示例圖；圖14是本發(fā)明的第一實(shí)施方式中進(jìn)行附加價(jià)值處理的示例圖；圖15是本發(fā)明的第二實(shí)施方式中把客戶端編組后進(jìn)行代理認(rèn)證的情況下的Split SSL加密通信處理的流程示例圖。
符號(hào)說明10客戶端裝置20內(nèi)容服務(wù)器裝置30網(wǎng)關(guān)服務(wù)器裝置40數(shù)據(jù)庫服務(wù)器裝置50網(wǎng)絡(luò)301HTTP代理處理部302認(rèn)證局服務(wù)器部303加密通信處理部304密鑰管理部401加密通信設(shè)定數(shù)據(jù)庫1000信息處理裝置1001CPU1002存儲(chǔ)器1003可移動(dòng)存儲(chǔ)媒體讀取裝置1004通信裝置1005輔助存儲(chǔ)裝置
1006輸入輸出裝置1008可移動(dòng)存儲(chǔ)媒體4011服務(wù)器名字段4012通信方法字段4013客戶端IP地址字段4014有效期限字段4015加密通信中繼許可證字段4016秘密密鑰字段具體實(shí)施方式
<第一實(shí)施方式>
以下適當(dāng)參照圖1～圖11詳細(xì)說明本發(fā)明的第一實(shí)施方式。
(網(wǎng)絡(luò)系統(tǒng)的構(gòu)成)圖1是適用本發(fā)明的網(wǎng)絡(luò)系統(tǒng)的構(gòu)成示意圖。圖1中，客戶端裝置10、內(nèi)容服務(wù)器裝置20、網(wǎng)關(guān)服務(wù)器裝置30和數(shù)據(jù)庫服務(wù)器裝置40分別由叫做所謂計(jì)算機(jī)的信息處理裝置構(gòu)成。
客戶端裝置10，是利用者使用的信息處理裝置，受理由利用者提出的內(nèi)容信息的訪問請求，根據(jù)該訪問請求經(jīng)網(wǎng)絡(luò)50把訪問請求信息發(fā)送到內(nèi)容服務(wù)器裝置20。內(nèi)容服務(wù)器裝置20是保管大量有用信息(內(nèi)容信息)的信息處理裝置，接收客戶端裝置10發(fā)送的訪問請求信息，并將該訪問請求消息表示的內(nèi)容信息發(fā)送到客戶端裝置10。
客戶端裝置10經(jīng)網(wǎng)絡(luò)A51、網(wǎng)關(guān)服務(wù)器裝置30、網(wǎng)絡(luò)B52連接到內(nèi)容服務(wù)器裝置20上。這里，網(wǎng)絡(luò)A51，例如是像LAN(局域網(wǎng))那樣的內(nèi)部網(wǎng)絡(luò)，網(wǎng)絡(luò)B52例如是作為公共網(wǎng)絡(luò)的因特網(wǎng)。另外，本實(shí)施方式中，在無需區(qū)別網(wǎng)絡(luò)A51和網(wǎng)絡(luò)B52的情況下，簡單地叫做網(wǎng)絡(luò)50。
網(wǎng)關(guān)服務(wù)器裝置30處于網(wǎng)絡(luò)A51和網(wǎng)絡(luò)B52之間，是中繼其間進(jìn)行的通信的信息處理裝置。另外，數(shù)據(jù)庫服務(wù)器裝置40，在本實(shí)施方式中例如是利用關(guān)系型數(shù)據(jù)庫管理網(wǎng)關(guān)服務(wù)器裝置30中繼客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的通信時(shí)必要的信息的信息處理裝置。對網(wǎng)關(guān)服務(wù)器裝置30和數(shù)據(jù)庫服務(wù)器裝置40另作詳細(xì)說明。
圖2是用于適用本發(fā)明的網(wǎng)絡(luò)系統(tǒng)的信息處理裝置的構(gòu)成圖。圖2中，信息處理裝置1000，包含CPU(中央處理單元)1001、由RAM(隨機(jī)存取存儲(chǔ)器)等半導(dǎo)體存儲(chǔ)器構(gòu)成的存儲(chǔ)器1002、像CD-ROM(光盤只讀存儲(chǔ)器)驅(qū)動(dòng)器那樣的可移動(dòng)存儲(chǔ)媒體讀取裝置1003、連接在網(wǎng)絡(luò)50上的通信裝置1004、像硬盤磁存儲(chǔ)裝置那樣的非揮發(fā)性大容量的輔助存儲(chǔ)裝置1005和鍵盤或鼠標(biāo)器或顯示器等輸入輸出裝置。網(wǎng)絡(luò)50物理上由使用同軸電纜或光纜、無線等的通信線路和集線器或路由器那樣的網(wǎng)絡(luò)裝置構(gòu)成。
存儲(chǔ)器1002中存儲(chǔ)信息處理裝置1000執(zhí)行的程序。即，客戶端裝置10、內(nèi)容服務(wù)器裝置20、網(wǎng)關(guān)服務(wù)器裝置30和數(shù)據(jù)庫服務(wù)器裝置40，在各個(gè)信息處理裝置1000中，用可移動(dòng)存儲(chǔ)媒體讀取裝置1003讀取記錄在CD-ROM等可移動(dòng)存儲(chǔ)媒體1008內(nèi)的規(guī)定的程序，裝入存儲(chǔ)器1002。而后，由CPU1001執(zhí)行被裝在存儲(chǔ)器1002中的程序，由此來實(shí)現(xiàn)各裝置10、20、30、40中所規(guī)定的功能。
也可以由同樣連接在網(wǎng)絡(luò)50上的其他信息處理裝置1000經(jīng)網(wǎng)絡(luò)50和通信裝置1004來進(jìn)行向存儲(chǔ)器1002的程序的裝載。作為存儲(chǔ)器1002使用半導(dǎo)體非揮發(fā)性存儲(chǔ)器，也可以預(yù)先把程序?qū)懭朐摪雽?dǎo)體非揮發(fā)性存儲(chǔ)器內(nèi)。如果使用向該存儲(chǔ)器1002的程序的裝載裝置，各裝置10、20、30、40就不一定必須具備可移動(dòng)存儲(chǔ)媒體讀取裝置1003和輔助存儲(chǔ)裝置1005。例如，客戶端裝置10也可以是移動(dòng)電話那樣的小型信息處理裝置1000。
圖1中，客戶端裝置10是執(zhí)行Web瀏覽器等現(xiàn)有的Web客戶端應(yīng)用程序的信息處理裝置1000。即，客戶端裝置10，例如是具備因特網(wǎng)通信功能的個(gè)人計(jì)算機(jī)、移動(dòng)電話等。另外，內(nèi)容服務(wù)器裝置20，是執(zhí)行現(xiàn)有的種種服務(wù)器應(yīng)用程序的信息處理裝置1000。例如，是提供文檔·運(yùn)動(dòng)圖像數(shù)據(jù)或程序文件等的Web服務(wù)器，或是提供其他Web服務(wù)的應(yīng)用服務(wù)器等。
這樣的客戶端裝置10和內(nèi)容服務(wù)器裝置20中，客戶端裝置10，首先，對內(nèi)容服務(wù)器裝置20發(fā)送要求內(nèi)容服務(wù)器裝置20存儲(chǔ)的文檔數(shù)據(jù)或運(yùn)動(dòng)圖像數(shù)據(jù)、程序文件等內(nèi)容的下載的通信消息(訪問請求)。于是，內(nèi)容服務(wù)器裝置20對此作出應(yīng)答，并把客戶端裝置10要求的內(nèi)容發(fā)送到客戶端裝置10。
網(wǎng)關(guān)服務(wù)器裝置30是進(jìn)行通信消息的中繼的裝置，例如，可以用Web代理服務(wù)器來實(shí)現(xiàn)。網(wǎng)關(guān)服務(wù)器裝置30把由客戶端裝置10經(jīng)由網(wǎng)絡(luò)A51發(fā)送來的通信消息中繼到內(nèi)容服務(wù)器裝置20。成為目的地的內(nèi)容服務(wù)器裝置20的信息(主機(jī)名或IP地址等)，作為內(nèi)容的URL(Uniform Resouce Locator)信息被包含在訪問請求的通信消息中。另外，網(wǎng)關(guān)服務(wù)器裝置30，往往也具備作為高速緩存存儲(chǔ)中繼的應(yīng)答內(nèi)容的高速緩存功能。
另外，數(shù)據(jù)庫服務(wù)器裝置40，本實(shí)施方式中一并管理網(wǎng)關(guān)服務(wù)器裝置30中繼客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的通信時(shí)必要的信息。數(shù)據(jù)庫服務(wù)器裝置40，例如，可以用關(guān)系型數(shù)據(jù)庫等來實(shí)現(xiàn)，可以處理來自多個(gè)網(wǎng)關(guān)服務(wù)器裝置30的數(shù)據(jù)庫檢索要求、數(shù)據(jù)登錄要求、數(shù)據(jù)消除要求等。
物理上也可以用一個(gè)信息處理裝置1000來實(shí)現(xiàn)在構(gòu)成圖1的網(wǎng)絡(luò)系統(tǒng)的各裝置10、20、30、40分別實(shí)現(xiàn)的功能。例如，數(shù)據(jù)庫服務(wù)器裝置40的功能也可以包含在網(wǎng)關(guān)服務(wù)器裝置30內(nèi)。另外，由一個(gè)裝置實(shí)現(xiàn)的功能，物理上也可以用多個(gè)裝置來實(shí)現(xiàn)。例如，也可以用經(jīng)網(wǎng)絡(luò)50與網(wǎng)關(guān)服務(wù)器裝置30通信的其他信息處理裝置1000來實(shí)現(xiàn)包含在網(wǎng)關(guān)服務(wù)器裝置30內(nèi)的功能的一部分。
(網(wǎng)關(guān)服務(wù)器裝置和數(shù)據(jù)庫服務(wù)器裝置的構(gòu)成)圖3是本實(shí)施方式中的網(wǎng)關(guān)服務(wù)器裝置和數(shù)據(jù)庫服務(wù)器裝置的構(gòu)成圖。圖3中，網(wǎng)關(guān)服務(wù)器裝置30，由HTTP(Hyper Text Transfer Protocol)代理處理部301、認(rèn)證局服務(wù)器部302、加密通信處理部303、密鑰管理部304構(gòu)成。另外，數(shù)據(jù)庫服務(wù)器裝置40由加密通信設(shè)定數(shù)據(jù)庫401構(gòu)成。
HTTP代理處理部301，中繼從客戶端裝置10向內(nèi)容服務(wù)器裝置20發(fā)送的訪問請求。另外，在非加密通信中，進(jìn)行高速緩存從客戶端裝置10向內(nèi)容服務(wù)器裝置20發(fā)送的應(yīng)答數(shù)據(jù)等附加處理。
認(rèn)證局服務(wù)器部302，對HTTP代理處理部301指示的服務(wù)器名的服務(wù)器，發(fā)行具有公開密鑰證書的形式的暫時(shí)的加密通信中繼許可證40151和生成與其成對的秘密密鑰。
加密通信處理部303，經(jīng)HTTP代理處理部301進(jìn)行與客戶端裝置10或內(nèi)容服務(wù)器裝置20之間的End-End加密通信。另外，通過End-End加密通信進(jìn)行從內(nèi)容服務(wù)器裝置20下載下來的內(nèi)容的高速緩存。
密鑰管理部304保管根CA認(rèn)證局發(fā)行的網(wǎng)關(guān)服務(wù)器裝置30用的秘密密鑰和公開密鑰證書、用來驗(yàn)證內(nèi)容服務(wù)器裝置20的公開密鑰證書的根認(rèn)證局證書。
圖3中，數(shù)據(jù)庫服務(wù)器裝置40具備加密通信設(shè)定數(shù)據(jù)庫401。加密通信設(shè)定數(shù)據(jù)庫401，例如用關(guān)系型數(shù)據(jù)庫來構(gòu)建。網(wǎng)關(guān)服務(wù)器裝置30，對數(shù)據(jù)庫服務(wù)器裝置40，用SQL(Structured Query Language結(jié)構(gòu)查詢語言)語言等數(shù)據(jù)庫操作用語言來進(jìn)行加密通信設(shè)定數(shù)據(jù)庫401的檢索、登錄、消除等處理。
加密通信設(shè)定數(shù)據(jù)庫401，被用來用表格形式的數(shù)據(jù)庫管理加密通信的設(shè)定。按照每個(gè)內(nèi)容服務(wù)器裝置名和客戶端IP地址來管理加密通信的設(shè)定信息。即，加密通信設(shè)定數(shù)據(jù)庫401，由服務(wù)器名字段4011、通信方法字段4012、客戶端IP地址字段4013、有效期限字段4014、加密通信中繼許可證字段4015和秘密密鑰字段4016等構(gòu)成。另外，加密通信設(shè)定數(shù)據(jù)庫401，以表目4019為單位來管理這些信息，也就是說，加密通信設(shè)定數(shù)據(jù)庫401的檢索、登錄、消除等處理以表目4019為單進(jìn)行處理。另外，有時(shí)也把表目叫做記錄。
以下詳細(xì)說明加密通信設(shè)定數(shù)據(jù)庫401的各字段4011～4016。
服務(wù)器名字段4011是管理連接在網(wǎng)絡(luò)B52上的內(nèi)容服務(wù)器裝置20的主機(jī)名的字段。按照如“www.example.com”那樣的FQDN(Fully Qualified DomainName)形式或如“192.168.1.1”那樣的IP地址形式來存儲(chǔ)主機(jī)名。
通信方法字段4012是管理客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的加密通信方法的字段。作為通信方法的例子，有客戶端裝置10與內(nèi)容服務(wù)器裝置20之間進(jìn)行的通常的SSL加密通信(以下叫做“End-End SSL”方法)和分割型的SSL加密通信(以下叫做“Split SSL”方法)，該分割型的SSL加密通信，是用網(wǎng)關(guān)服務(wù)器裝置30分別終止與客戶端裝置10的SSL加密通信和與內(nèi)容服務(wù)器裝置20的SSL加密通信而將客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的SSL加密通信分割后的SSL加密通信方法。即，在“Split SSL”中，客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的SSL加密通信的加密通信數(shù)據(jù)，在網(wǎng)關(guān)服務(wù)器裝置30內(nèi)被暫時(shí)解密而復(fù)原成明文。
作為加密通信，除SSL加密通信之外，也可以是TLS加密通信。
客戶端IP地址字段4013是管理客戶端裝置10的IP地址的字段?？墒牵鶕?jù)網(wǎng)絡(luò)A51的系統(tǒng)，在每次通信時(shí)客戶端的IP地址可能有變動(dòng)的情況，所以，在這種情況下，也可以不是管理客戶端裝置10的IP地址，而是用客戶端裝置10的認(rèn)證信息(用戶ID或電話號(hào)碼等)庫來管理。在圖3的通信方法的設(shè)定例中，就其對服務(wù)器名為“A.com”和“B.com”的服務(wù)器的訪問來說，與客戶端裝置IP地址無關(guān)、適用“End-End SSL”的通信方法；另外，對于服務(wù)器名為“C.com”的服務(wù)器來說，在客戶端裝置IP地址是“192.168.A”的情況下，適用“Split SSL”通信方法；對于服務(wù)器名為“D.com”的服務(wù)器來說，在客戶端裝置IP地址是“192.168.B”的情況下，適用“Split SSL”通信方法。
有效期限字段4014，是管理各表目4019的設(shè)定的有效期限信息的字段，對于在該有效期限字段4014中有有效期限數(shù)據(jù)的表目4019來說，設(shè)定有效期限的日期(還可以包含時(shí)刻)，而對于沒有有效期限數(shù)據(jù)的表目4019，則設(shè)定“—(無有效期限)”。
加密通信中繼許可證字段4015，是管理加密通信中繼許可證40151的數(shù)據(jù)的字段，網(wǎng)關(guān)服務(wù)器裝置30，把加密通信中繼許可證的數(shù)據(jù)登錄在該加密通信中繼許可證字段4015內(nèi)。通過進(jìn)行登錄，在有多個(gè)網(wǎng)關(guān)服務(wù)器裝置30的情況下，不管客戶端裝置10訪問哪個(gè)網(wǎng)關(guān)服務(wù)器裝置30，只要滿足客戶端IP地址4013或目標(biāo)服務(wù)器名4011、有效期限4014等條件，就能夠從加密通信設(shè)定數(shù)據(jù)庫401內(nèi)取出同樣的加密通信中繼許可證40151，并應(yīng)答客戶端裝置10。
秘密密鑰字段4016是管理秘密密鑰的數(shù)據(jù)的字段，網(wǎng)關(guān)服務(wù)器裝置30把自身的秘密密鑰數(shù)據(jù)登錄在該秘密密鑰字段4016內(nèi)。通過進(jìn)行登錄，在有多個(gè)網(wǎng)關(guān)服務(wù)器裝置30的情況下，不管客戶端裝置10訪問哪個(gè)網(wǎng)關(guān)服務(wù)器裝置30，只要滿足客戶端IP地址4013或目標(biāo)服務(wù)器名4011、有效期限4014等條件，就能夠從加密通信設(shè)定數(shù)據(jù)庫401內(nèi)取出同樣的秘密密鑰，并用于與客戶端裝置10的加密通信。
通過檢索加密通信設(shè)定數(shù)據(jù)庫401，就能夠取得登錄在以上各字段4011～4016內(nèi)的數(shù)據(jù)。在該檢索中，當(dāng)把任意一字段的值作為檢索關(guān)鍵字來檢索加密通信設(shè)定數(shù)據(jù)庫401時(shí)，就能夠得到符合條件的表目4019的信息。在圖3的例中，網(wǎng)關(guān)服務(wù)器裝置30對數(shù)據(jù)庫服務(wù)器裝置40用『服務(wù)器名＝“A.com”』這樣的檢索關(guān)鍵字發(fā)送查詢語句時(shí)，數(shù)據(jù)庫服務(wù)器裝置40，就在加密通信設(shè)定數(shù)據(jù)庫401中檢索服務(wù)器名字段4011內(nèi)包含“A.com”的表目4019。然后，數(shù)據(jù)庫服務(wù)器裝置40，對網(wǎng)關(guān)服務(wù)器裝置30，應(yīng)答諸如『通信方法＝“End-End SSL”、客戶端IP地址＝“無限制”、有效期限＝“無”、加密通信中繼許可證＝“無”、秘密密鑰＝“無”』的表目4019。另外，數(shù)據(jù)庫服務(wù)器裝置40應(yīng)答的信息，也可以僅僅作為網(wǎng)關(guān)服務(wù)器裝置30必要的字段信息，可以用查詢語句的參數(shù)來指定必要的字段信息。
(SSL加密通信中繼處理)圖4是網(wǎng)關(guān)服務(wù)器裝置中繼客戶端裝置與內(nèi)容服務(wù)器裝置之間的SSL加密通信的處理的流程圖。該處理流程表示網(wǎng)關(guān)服務(wù)器裝置30確立了與客戶端裝置10TCP(Transmission Control Protocol發(fā)送控制協(xié)議)連接之后，從客戶端裝置10接收HTTP的CONNECT方法，進(jìn)行通常的終端間通信(End-EndSSL加密通信)，或由網(wǎng)關(guān)服務(wù)器裝置30進(jìn)行的分割型SSL通信(Split-SSL加密通信)，直到結(jié)束CONNECT方法的處理為止的狀態(tài)遷移。
圖4中，首先，網(wǎng)關(guān)服務(wù)器裝置30的HTTP代理處理部301，從客戶端裝置10，接收包含HTTP的CONNECT方法的訪問請求(步驟S001)。所謂CONNECT方法，是指示網(wǎng)關(guān)服務(wù)器裝置30對內(nèi)容服務(wù)器裝置20進(jìn)行SSL加密通信用TCP連接的方法。網(wǎng)關(guān)服務(wù)器裝置30，一接收CONNECT方法就開始CONNECT接收處理。
然后，網(wǎng)關(guān)服務(wù)器裝置30的HTTP代理處理部301，從CONNECT方法的訪問請求消息中，提取出成為目的地的內(nèi)容服務(wù)器裝置20的服務(wù)器名或IP地址。例如，在接收到的HTTP的訪問請求消息的最初的行(請求行)內(nèi)有字符串“CONNECT www.example.com443 HTTP/1.1”的情況下，提取出字符串“www.example.com”，作為服務(wù)器名對待。然后，把該服務(wù)器名或IP地址作為檢索關(guān)鍵字，對數(shù)據(jù)庫服務(wù)器裝置40進(jìn)行向其加密通信設(shè)定數(shù)據(jù)庫401(圖4中簡單地記載為DB)的服務(wù)器檢索處理(步驟S002)。另外，對服務(wù)器檢索處理，用圖5將另作更詳細(xì)說明。
另外，按照客戶端裝置10的設(shè)定，客戶端裝置10，往往不發(fā)送CONNECT方法，而最初把目的地的內(nèi)容服務(wù)器裝置20的IP地址設(shè)定為目的地IP地址，然后發(fā)送IP數(shù)據(jù)包，進(jìn)行SSL加密通信的信號(hào)交換。在網(wǎng)關(guān)服務(wù)器裝置30接收到該IP數(shù)據(jù)包的情況下，網(wǎng)關(guān)服務(wù)器裝置30，檢查包含在IP數(shù)據(jù)包內(nèi)的TCP頭之中的目的地端口號(hào)，如果該目的地端口號(hào)是表示SSL加密通信的端口號(hào)，如443號(hào)，就認(rèn)為用TCP信號(hào)交換以后的數(shù)據(jù)包來進(jìn)行SSL加密通信的信號(hào)交換。然后，HTTP代理處理部301，把IP頭中的目的地IP地址，作為目的地的內(nèi)容服務(wù)器裝置20的IP地址對待，并使用該IP地址進(jìn)行對數(shù)據(jù)庫服務(wù)器裝置40的服務(wù)器檢索指示(步驟S002)及其以后的處理。
接下來，用數(shù)據(jù)庫服務(wù)器裝置40中的檢索結(jié)果，來判斷檢索到的服務(wù)器是否已經(jīng)被登錄到了數(shù)據(jù)庫服務(wù)器裝置40內(nèi)(步驟S003)。其結(jié)果，在應(yīng)答了服務(wù)器名字段4011內(nèi)包含檢索關(guān)鍵字的服務(wù)器信息的情況下(步驟S003中“是”)，HTTP代理處理部301，判定為在加密通信設(shè)定數(shù)據(jù)庫401內(nèi)已經(jīng)登錄完畢。在未應(yīng)答包含檢索關(guān)鍵字的服務(wù)器信息的情況下(步驟S003中“否”)，判定為是未登錄的服務(wù)器。
因此，在CONNECT方法的目的地的內(nèi)容服務(wù)器裝置20的服務(wù)器名登錄完的情況下(步驟S003中“是”)，HTTP代理處理部301，接著進(jìn)行有效期限檢查(步驟S004)。即，網(wǎng)關(guān)服務(wù)器裝置30，由于用軟件或硬件管理著當(dāng)前的日期和時(shí)刻，所以將當(dāng)前的日期和時(shí)刻與由檢索結(jié)果得到的有效期限字段4014的值相比較。
然后，該時(shí)間在有效期限內(nèi)的情況下(步驟S004中“是”)，HTTP代理處理部301，接著進(jìn)行通信方法檢查(步驟S005)。例如，判定檢索結(jié)果得到的通信方法字段4012的值是“Split SSL”方法，還是“End-End SSL”方法。
如果該通信方法是“Split SSL”方法(步驟S005中“是”)，HTTP代理處理部301，進(jìn)行Split SSL加密通信處理(步驟S006)。Split SSL加密通信處理，是這樣的處理，即在與客戶端裝置10的通信中，網(wǎng)關(guān)服務(wù)器裝置30作為SSL服務(wù)器而動(dòng)作，終止與客戶端裝置10的SSL加密通信，并且與內(nèi)容服務(wù)器裝置20之間進(jìn)行新的SSL加密通信。
然后，HTTP代理處理部301，一旦由內(nèi)容服務(wù)器裝置20或客戶端裝置10切斷TCP連接，就結(jié)束Split SSL加密通信處理。或者，因超時(shí)等某種理由，HTTP代理處理部301，切斷與客戶端裝置10的TCP連接和與內(nèi)容服務(wù)器裝置20的TCP連接，這樣也可以主動(dòng)結(jié)束Split SSL加密通信處理。然后，網(wǎng)關(guān)服務(wù)器裝置30結(jié)束CONNECT接收處理。
另一方面，在步驟S005，通信方法是“End-End SSL”方法的情況下(步驟S005中“否”)，HTTP代理處理部301進(jìn)行End-End SSL加密通信處理(步驟S007)。End-End SSL加密通信處理，是HTTP代理服務(wù)器中繼SSL加密通信的通常的通信處理方法。具體地說，首先，網(wǎng)關(guān)服務(wù)器裝置30從客戶端裝置10接收到HTTP-CONNECT方法時(shí)，對由CONNECT目標(biāo)指定的內(nèi)容服務(wù)器裝置20進(jìn)行TCP連接；然后，TCP信號(hào)交換正常結(jié)束之后，把表示連接結(jié)束的消息發(fā)送到客戶端裝置10。該消息，例如是在HTTP應(yīng)答的最初行(狀態(tài)行)內(nèi)記述為“HTTP/1.1 200 Connection establihed”的消息。此后，把從客戶端裝置10或內(nèi)容服務(wù)器裝置20發(fā)送的應(yīng)用數(shù)據(jù)，傳送到內(nèi)容服務(wù)器裝置20或客戶端裝置10。另外，，HTTP代理處理部301根據(jù)TCP連接，對TCP頭或IP頭等、應(yīng)用數(shù)據(jù)以外的部分適宜地進(jìn)行變換。
然后，HTTP代理處理部301，一旦由內(nèi)容服務(wù)器裝置20或客戶端裝置10切斷TCP連接，就結(jié)束End-End SSL加密通信處理?；蛘撸虺瑫r(shí)等某種理由，HTTP代理處理部301，主動(dòng)切斷與客戶端裝置10的TCP連接和與內(nèi)容服務(wù)器裝置20的TCP連接，這樣，也可以結(jié)束End-End SSL加密通信處理。然后，網(wǎng)關(guān)服務(wù)器裝置30結(jié)束CONNECT接收處理。
另外，在步驟S004中，在超過了有效期限的情況下(步驟S004中“否”)，HTTP代理處理部301，對數(shù)據(jù)庫服務(wù)器裝置40，進(jìn)行加密通信設(shè)定數(shù)據(jù)庫401的相應(yīng)表目4019的消除處理(步驟S008)。
然后，檢查在網(wǎng)關(guān)服務(wù)器裝置30的設(shè)定之中，內(nèi)容服務(wù)器裝置20的信息未登錄在加密通信設(shè)定數(shù)據(jù)庫401內(nèi)的情況下的SSL加密通信處理的缺省設(shè)定(步驟S009)，結(jié)果，在缺省設(shè)定是End-End SSL加密通信處理的情況下(步驟S009中“否”)，進(jìn)行步驟S007的處理。
另一方面，在缺省設(shè)定是Split SSL加密通信處理(步驟S009中“否”)的情況下，對加密通信設(shè)定數(shù)據(jù)庫401進(jìn)行內(nèi)容服務(wù)器裝置20的信息的登錄處理(步驟S010)。然后，在登錄處理正常結(jié)束了的情況下(步驟S011中“否”)，進(jìn)行用戶同意確認(rèn)處理(步驟S600)。關(guān)于用戶同意確認(rèn)處理另作詳細(xì)說明。另外，在登錄處理異常結(jié)束了的情況下(步驟S011中“是”)，HTTP代理處理部301，主動(dòng)切斷與客戶端裝置10的TCP連接，由此，來結(jié)束CONNECT接收處理。
另外，在步驟S003，在CONNECT方法的目的地的內(nèi)容服務(wù)器裝置20的服務(wù)器名是未登錄的情況下(步驟S003中“否”)，HTTP代理處理部301，進(jìn)行步驟S009以下的處理。
圖5是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器檢索處理(步驟S002)的詳細(xì)流程圖。
圖5中，網(wǎng)關(guān)服務(wù)器裝置30的HTTP代理處理部301(參照圖3)，首先對數(shù)據(jù)庫服務(wù)器裝置40，以CONNECT目標(biāo)服務(wù)器名和客戶端IP地址為檢索關(guān)鍵字發(fā)行查詢請求(步驟S102)。將查詢請求例如以SQL語言的形式轉(zhuǎn)交給數(shù)據(jù)庫服務(wù)器裝置40。于是，數(shù)據(jù)庫服務(wù)器裝置40，解釋該查詢請求，并把與CONNECT目標(biāo)服務(wù)器名相同的值存儲(chǔ)在加密通信設(shè)定數(shù)據(jù)庫401的服務(wù)器名字段4011內(nèi)，而且查找在客戶端IP地址字段4013內(nèi)存儲(chǔ)著與客戶端IP地址同值的表目4019。而后，如果有該表目4019，就把該表目4019應(yīng)答給HTTP代理處理部301(步驟S103)，如果沒有該表目4019，就應(yīng)答為檢索無結(jié)果。檢索結(jié)果的應(yīng)答，至少包含通信方法字段4012的值、表目4019自身的有效期限字段4014的值、加密通信中繼許可證40151、與加密通信中繼許可證40151成對的秘密密鑰40161。
圖6是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器登錄處理(步驟S010)的詳細(xì)流程圖。
圖6中網(wǎng)關(guān)服務(wù)器裝置30，首先生成對CONNECT目標(biāo)服務(wù)器名的加密通信中繼許可證40151(步驟S201)，加密通信中繼許可證40151是用來進(jìn)行End-End加密通信的服務(wù)器公開密鑰證書。服務(wù)器公開密鑰證書，基于例如國際電信聯(lián)合電信標(biāo)準(zhǔn)化部門(International Telecommunication Union-Telecommunication sectorITU-T)勸告的X.509標(biāo)準(zhǔn)。并且，其中包含有證書的發(fā)行者或主體者(所有者)、有效期限、公開密鑰信息和驗(yàn)證該證書的有效性所必要的發(fā)行者的電子署名等信息。
一般，認(rèn)證局(Certification AuthorityCA)對內(nèi)容服務(wù)器裝置20的運(yùn)營者等發(fā)行服務(wù)器公開密鑰證書。用戶在下載了服務(wù)器公開密鑰證書時(shí)，使用服務(wù)器公開密鑰證書中的CA電子署名和用戶預(yù)先保持著的CA公開密鑰證書進(jìn)行服務(wù)器公開密鑰證書的驗(yàn)證，。這里，把用戶信賴的CA稱之為根CA。用戶把根CA的公開密鑰證書安裝在客戶端裝置10的瀏覽器等內(nèi)，由此，就能夠進(jìn)行根CA或根CA信賴的其他CA發(fā)行的公開密鑰證書的驗(yàn)證。
在下載了根CA不信賴的CA發(fā)行的公開密鑰證書的情況下，客戶端裝置10的瀏覽器會(huì)發(fā)出警告消息通知用戶。網(wǎng)關(guān)服務(wù)器裝置30的認(rèn)證局服務(wù)器部302在CONNECT消息接收時(shí)每次發(fā)行加密通信中繼許可證40151和與其成對的秘密密鑰40161。加密通信中繼許可證40151的主體者是CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20名，發(fā)行者是網(wǎng)關(guān)服務(wù)器裝置30。
然后，HTTP代理處理部301對數(shù)據(jù)庫服務(wù)器裝置40進(jìn)行表目追加請求(步驟S202)，追加的信息是CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20名、通信方法、客戶端IP地址、有效期限、加密通信中繼許可證40151、秘密密鑰40161等。通信方法，例如是“Split SSL”方法；有效期限，例如是根據(jù)預(yù)先設(shè)定在網(wǎng)關(guān)服務(wù)器裝置30內(nèi)的參數(shù)以把參數(shù)值追加到當(dāng)前時(shí)刻上的日期和時(shí)刻進(jìn)行設(shè)定。例如，CONNECT消息接收時(shí)間是『2003年7月15日12:00:00』，如果參數(shù)值是『1日』，有效期限就設(shè)定為『2003年7月16日12:00:00』。
然后，數(shù)據(jù)庫服務(wù)器裝置40向HTTP代理處理部301應(yīng)答登錄處理結(jié)果(步驟S203)。
HTTP代理處理部301判定該應(yīng)答結(jié)果(步驟S204)；如果登錄處理沒問題地結(jié)束了，就結(jié)束登錄處理(步驟S204中“是”)；如果登錄處理失敗，就異常結(jié)束(步驟S204中“否”)。
圖7是對圖4中的加密通信設(shè)定數(shù)據(jù)庫的服務(wù)器消除處理(步驟S008)的詳細(xì)流程圖。
HTTP代理處理部301(參照圖3)，首先對數(shù)據(jù)庫服務(wù)器裝置40進(jìn)行加密通信設(shè)定數(shù)據(jù)庫401的表目消除的請求(步驟S301)。要消除的表目4019，例如是以CONNECT目標(biāo)內(nèi)容服務(wù)器裝置名和客戶端IP地址為檢索關(guān)鍵字而滿足檢索條件的表目4019。
然后，數(shù)據(jù)庫服務(wù)器裝置40，向HTTP代理處理部301應(yīng)答消除處理結(jié)果(步驟S302)，HTTP代理處理部301接收應(yīng)答結(jié)果，結(jié)束消除處理。
圖8是圖4中的Split SSL加密通信處理(步驟S006)的詳細(xì)流程圖。
HTTP代理處理部301(參照圖3)，一開始Split SSL加密通信處理，就把加密通信處理部303作為CONNECT目標(biāo)的SSL服務(wù)器進(jìn)行處理，具體地說，HTTP代理處理部301，把在步驟S103得到的加密通信中繼許可證40151和秘密密鑰40161轉(zhuǎn)交給加密通信處理部303。然后，HTTP代理處理部301，把從客戶端裝置10接收到的數(shù)據(jù)，暫時(shí)寫入到存儲(chǔ)器1002內(nèi)。而后，加密通信處理部303從存儲(chǔ)器1002讀出該數(shù)據(jù)。然后通過進(jìn)行其相反的處理，在客戶端裝置10與加密通信處理部303之間進(jìn)行數(shù)據(jù)交接。
另外，在加密通信處理部303在與HTTP代理處理部301不同的信息處理裝置1000上動(dòng)作的情況下，HTTP代理處理部301與加密通信處理部303，經(jīng)網(wǎng)絡(luò)50進(jìn)行通信，進(jìn)行數(shù)據(jù)的交接。HTTP代理處理部301，把從加密通信處理部303交接的數(shù)據(jù)，原樣發(fā)送到客戶端裝置10，或者追加或消除客戶端裝置10與HTTP代理處理部301的通信用的HTTP頭后發(fā)送到客戶端裝置10。另外，同樣，HTTP代理處理部301把從客戶端裝置10接收到的數(shù)據(jù)交接到加密通信處理部303。
然后，加密通信處理部303，對客戶端裝置10發(fā)送針對CONNECT方法的應(yīng)答后進(jìn)行SSL信號(hào)交換處理(步驟S402～S405)。在步驟S404，把服務(wù)器公開密鑰證書發(fā)送到客戶端裝置10時(shí)，取代內(nèi)容服務(wù)器裝置20的服務(wù)器公開密鑰證書，由代理發(fā)送加密通信中繼許可證40151。
接下來，加密通信處理部303從客戶端裝置10接收完成了加密的訪問請求，并進(jìn)行解密(步驟S406)。這里，加密通信處理部303，解析CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20的服務(wù)器名和所接收到的訪問請求內(nèi)的URL，檢查訪問請求目標(biāo)的內(nèi)容是否全都被高速緩存了，而后，在被高速緩存了的情況下檢查是否是在高速緩存的有效期限內(nèi)(步驟S407)。在保持著有效期限內(nèi)的高速緩存的情況下(步驟S407中“是”)，進(jìn)行高速緩存應(yīng)答處理(步驟S408)，結(jié)束Split SSL加密通信。
另外，在步驟S407，沒有高速緩存或即使有有效期限已期滿的情況下(步驟S407中“否”)，加密通信處理部303對CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20進(jìn)行SSL信號(hào)交換處理(步驟S410～S412)。這里，加密通信處理部303在進(jìn)行與內(nèi)容服務(wù)器裝置20的HTTP連接時(shí)，對HTTP代理處理部301發(fā)送CONNECT方法，HTTP代理處理部301解析CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20名后進(jìn)行與相應(yīng)的內(nèi)容服務(wù)器裝置20的TCP連接和SSL信號(hào)交換處理，這樣，也可以經(jīng)由HTTP代理處理部301進(jìn)行與內(nèi)容服務(wù)器裝置20的通信。另外，加密通信處理部303也可以與內(nèi)容服務(wù)器裝置20進(jìn)行直接TCP連接和SSL信號(hào)交換處理。然后，加密通信處理部303，判定SSL信號(hào)交換處理結(jié)果是SSL信號(hào)交換成功還是失敗(步驟S413)。
此后，在SSL信號(hào)交換處理成功的情況下(步驟S413中“是”)，進(jìn)行服務(wù)器公開密鑰證書的驗(yàn)證(步驟S414)；在該驗(yàn)證成功的情況下(步驟S414中“是”)，進(jìn)行SSL加密通信中繼處理(步驟S415)；此后，結(jié)束Split SSL加密通信處理。在步驟S413SSL信號(hào)交換處理失敗的情況下，或者，在步驟S414，公開密鑰證書的驗(yàn)證失敗的情況下，進(jìn)行錯(cuò)誤處理(步驟S109)，并結(jié)束Split SSL加密通信處理。
圖9是圖8中的SSL加密通信處理(步驟S415)的詳細(xì)流程圖。
加密通信處理部303(參照圖3)，首先用在步驟S410～S412確立的SSL連接對CONNECT目標(biāo)的內(nèi)容服務(wù)器裝置20加密發(fā)送向訪問請求目標(biāo)的URL的訪問請求(步驟S501)；于是，內(nèi)容服務(wù)器裝置20把對該訪問請求的應(yīng)答數(shù)據(jù)加密之后發(fā)送到加密通信處理部303(步驟S502)。
加密通信處理部303，進(jìn)行接收到的數(shù)據(jù)的解密處理(步驟S503)，對該數(shù)據(jù)進(jìn)行數(shù)據(jù)格式的變換或高速緩存作成等附加價(jià)值處理(步驟S504)。這里，作為附加價(jià)值處理的例子，除此之外，還有HTTP頭或內(nèi)容數(shù)據(jù)的追加或修正或消除等處理、步驟S109的HTTP錯(cuò)誤處理或者按照分析內(nèi)容數(shù)據(jù)的結(jié)果的與其他服務(wù)器的通信處理等。另外，用圖14來補(bǔ)充說明附加價(jià)值處理的例子。
然后，加密通信處理部303，再次把與客戶端裝置10的SSL加密通信用數(shù)據(jù)加密(步驟S505)，然后發(fā)送到客戶端裝置10(步驟S506)；結(jié)束SSL加密通信中繼處理?；蛘撸诓襟ES506之后，再次接收到與步驟S406同樣的加密訪問請求的情況下，也可以重復(fù)進(jìn)行步驟S406以后的處理。另外，這種情況下，也可以設(shè)置限制時(shí)間，如果超過限制時(shí)間就結(jié)束SSL中繼處理。
圖10是圖8中的錯(cuò)誤處理(步驟S109)的詳細(xì)流程圖。
在網(wǎng)關(guān)服務(wù)器裝置30(參照圖3)的HTTP代理處理部301或加密通信處理部303的處理中，發(fā)生了某個(gè)錯(cuò)誤的情況下，這些處理部301、303都作成HTTP錯(cuò)誤消息，并發(fā)送到客戶端裝置10(步驟S701)；然后切斷與客戶端裝置10的TCP連接(步驟S702)。這里，也可以省略步驟S701。在步驟S701的處理中，各處理部301、303也可以作成錯(cuò)誤日志文件并把錯(cuò)誤理由輸出到該文件內(nèi)。
圖11是圖8中的高速緩存應(yīng)答處理(步驟S408)的詳細(xì)流程圖。
網(wǎng)關(guān)服務(wù)器裝置30的加密通信處理部303(參照圖3)，在SSL加密通信中繼處理的步驟S504(參照圖9)等中，進(jìn)行加密通信時(shí)的內(nèi)容的高速緩存，再把高速緩存數(shù)據(jù)存儲(chǔ)在存儲(chǔ)器1002或輔助存儲(chǔ)裝置1005等內(nèi)。在高速緩存應(yīng)答處理(步驟S408)中，加密通信處理部303用該高速緩存數(shù)據(jù)作成HTTP應(yīng)答數(shù)據(jù)，用在與客戶端裝置10的SSL信號(hào)交換時(shí)所作成的公共密鑰進(jìn)行加密。然后，把該數(shù)據(jù)發(fā)送到客戶端裝置10(步驟S801)。
(用戶同意確認(rèn)處理)圖12是圖4中的用戶同意確認(rèn)處理(步驟S600)的詳細(xì)流程圖。所謂用戶同意確認(rèn)處理，是就其用網(wǎng)關(guān)服務(wù)器裝置30終止并中繼加密通信，用來獲得用戶的同意的處理。
首先，網(wǎng)關(guān)服務(wù)器裝置30的加密通信處理部303(參照圖3)，對客戶端裝置10，發(fā)送重定向到以加密通信處理部303為SSL服務(wù)器的URL的指示。作為具體例，應(yīng)答如下的HTTP應(yīng)答狀態(tài)(步驟S601)。
“HTTP/1.1302FoundLocation//GatewayServer443/……”這里，由Location字段所表示的值，代表重定向指示目標(biāo)的URL。重定向指示目標(biāo)的URL的主機(jī)名，取為表示具有加密通信處理部303的網(wǎng)關(guān)服務(wù)器裝置30的主機(jī)名；URL的模式取為代表SSL等的加密通信“https”；也可以沒有URL的路徑部分。另外，加密通信處理部303，在此動(dòng)態(tài)地作成用戶同意確認(rèn)頁，同時(shí)也預(yù)先作成對應(yīng)于該頁的路徑字符串，也可以具有把路徑與用戶同意確認(rèn)頁對應(yīng)起來的管理表。
然后，HTTP代理處理部301，從客戶端裝置10接收對在步驟S601指示的重定向目標(biāo)URL的目的地服務(wù)器、即針對網(wǎng)關(guān)服務(wù)器裝置30自身的CONNECT(步驟S602)。
接下來，HTTP代理處理部301，進(jìn)行圖4所示的CONNECT接收處理(步驟S603)，這里，在加密通信設(shè)定數(shù)據(jù)庫401內(nèi)，網(wǎng)關(guān)服務(wù)器裝置30地址的CONNECT方法預(yù)先作了進(jìn)行End-End SSL加密通信處理那樣的設(shè)定。具體地說，就是預(yù)先作成有這樣的表目4019即在服務(wù)器名字段4011內(nèi)是代表具有加密通信處理部303的網(wǎng)關(guān)服務(wù)器裝置30的主機(jī)名所謂“GatewayServer”；在通信方法字段4012內(nèi)是“End-End SSL”通信方法；在客戶端IP地址字段4013和有效期限4014內(nèi)是“無指定”；在加密通信中繼許可證字段4015和秘密密鑰字段4016內(nèi)是“無數(shù)據(jù)”。
這樣，HTTP代理處理部301就把這里接收到的CONNECT方法判定為是送往網(wǎng)關(guān)服務(wù)器裝置30自身的“End-End SSL”通信方法的連接請求。然后，HTTP代理處理部301，進(jìn)行用來與加密通信處理部303之間進(jìn)行數(shù)據(jù)的交換的處理。以下，加密通信處理部303進(jìn)行與客戶端裝置10的通信。HTTP代理處理部301，把從加密通信處理部303交換的數(shù)據(jù)，原樣發(fā)送到客戶端裝置10，或者追加或消除客戶端裝置10與HTTP代理處理部301的通信用的HTTP頭之后，發(fā)送到客戶端裝置10。此后，同樣把從客戶端裝置10接收到的數(shù)據(jù)交接給加密通信處理部303。
然后，加密通信處理部303，把對CONNECT方法的應(yīng)答發(fā)送到客戶端裝置10之后，SSL信號(hào)交換處理(步驟S604、S605)；而后，在被加過密的狀態(tài)下，接收針對在步驟S601指示的重定向目的地URL的訪問請求(步驟S606)，并將其解密。
接著，加密通信處理部303，用SSL加密用戶同意確認(rèn)頁，并發(fā)送到客戶端裝置10(步驟S607、S608)。所謂用戶同意確認(rèn)頁，是在客戶端裝置10的瀏覽器上，就其由網(wǎng)關(guān)服務(wù)器裝置30終止并中繼加密通信，用來進(jìn)行用戶的同意確認(rèn)的內(nèi)容。在得到了用戶同意的情況下，在加過密的狀態(tài)下對網(wǎng)關(guān)服務(wù)器裝置30發(fā)送包含表示用戶同意的參數(shù)的訪問請求(步驟S609)。
在未得到用戶同意的情況下，在加過密的狀態(tài)下發(fā)送包含表示訪問請求未被送來或用戶拒絕的參數(shù)的訪問請求。在加密通信處理部303接收到帶拒絕參數(shù)的訪問請求的情況下，也可以進(jìn)行不能進(jìn)行加密通信中繼的旨意的應(yīng)答。另外，把此時(shí)的CONNECT目標(biāo)內(nèi)容服務(wù)器裝置名存儲(chǔ)起來，此后，在從客戶端裝置10接收到CONNECT方法的情況下，如果CONNECT目標(biāo)內(nèi)容服務(wù)器裝置20被以前的同用戶拒絕了的場合，也可以在一定時(shí)間進(jìn)行表示拒絕訪問的應(yīng)答。
在步驟S609接收到訪問請求時(shí)，在步驟S607應(yīng)答用戶同意確認(rèn)頁之后，在經(jīng)過了規(guī)定的限制時(shí)間的情況下(步驟S610中“否”)，進(jìn)行錯(cuò)誤處理(步驟S109)；否則(步驟S610中“是”)，加密通信處理部303，把網(wǎng)關(guān)服務(wù)器裝置30的根CA證書(自己署名證書)加密并后發(fā)送到客戶端裝置10(步驟S611、S612)。
這里，為了把下載下來的根CA證書安裝到客戶端裝置10的瀏覽器內(nèi)，也可以使指示用戶的語句包含在同意確認(rèn)頁中或發(fā)送根CA證書之前準(zhǔn)備好的其他頁內(nèi)，由此，也可以指示把用戶下載下來的根CA證書安裝到客戶端裝置10的瀏覽器內(nèi)。然后結(jié)束用戶同意確認(rèn)處理。
圖13是用戶同意確認(rèn)處理中所使用的用戶同意確認(rèn)頁的示例圖。
同意確認(rèn)頁，是客戶端裝置10接收到同意確認(rèn)頁時(shí)，客戶端裝置10的瀏覽器為了把同意確認(rèn)的語句102顯示在顯示器101上所記述的內(nèi)容。作為具體例子，可以列舉出HTML頁，但是也可以不是文本文檔而是顯示語句102的應(yīng)用。語句102，例如，是讓用戶選擇是否許可在網(wǎng)關(guān)服務(wù)器裝置30終止和解密加密通信(Split SSL通信)的消息。
(補(bǔ)充附加價(jià)值處理例)圖14是本實(shí)施方式中進(jìn)行附加價(jià)值處理的示例圖。
在本實(shí)施方式中，HTTP代理處理部301，解析在步驟S406(參照圖8)的處理解密后的明文的通信數(shù)據(jù)601，并檢索是否包含特定數(shù)據(jù)排列602。圖14的例子中，檢索叫做“Layer7#Tunneling#Protocol/1.0”的字符串。這里，特定數(shù)據(jù)排列602也可以有多種。HTTP代理處理部301，在檢測到已經(jīng)完成解密的通信數(shù)據(jù)601中包含有特定數(shù)據(jù)排列602的情況下，就切斷該連接。或者在發(fā)送了加密過的錯(cuò)誤應(yīng)答之后，切斷該連接。
即，客戶端裝置10解析訪問內(nèi)容服務(wù)器裝置20時(shí)的訪問請求的內(nèi)容，可以檢測非法目的的通信或?qū)⑵淝袛?。同樣，對于從客戶端裝置10向內(nèi)容服務(wù)器裝置20發(fā)送的通信數(shù)據(jù)601，也可以解析其內(nèi)容，所以，例如也能夠防止在內(nèi)部網(wǎng)絡(luò)內(nèi)作為秘密文檔管理的文檔被非法或錯(cuò)誤地發(fā)送到內(nèi)部網(wǎng)絡(luò)以外。
另外，HTTP代理處理部301，解析了在步驟S503(參照圖9)的處理解密過的通信數(shù)據(jù)601之后，在該通信數(shù)據(jù)是圖象文件的情況下，作為步驟S504的處理，進(jìn)行圖象變換。例如，Web瀏覽器在不支持某種格式的圖象文件的情況下，HTTP代理處理部301將其變換為Web瀏覽器支持的其他格式的圖象文件?；蛘?，根據(jù)客戶端裝置10的顯示器的圖象分辨率進(jìn)行變更圖象文件的大小等處理。
同樣，通過解析從內(nèi)容服務(wù)器裝置20發(fā)送并解過密的通信數(shù)據(jù)601，就可以檢測出病毒或其他有害的信息。也可以把這種檢測有害信息的處理作為附加價(jià)值處理。在這種場合，能夠防止對連接客戶端裝置10的內(nèi)部網(wǎng)絡(luò)的有害信息的侵入。
(第一實(shí)施方式的作用和效果)在本實(shí)施方式中，在客戶端裝置10與網(wǎng)關(guān)服務(wù)器裝置30之間，和在網(wǎng)關(guān)服務(wù)器裝置30與內(nèi)容服務(wù)器裝置20之間，分別進(jìn)行加密通信。因此，能夠確保客戶端裝置10與內(nèi)容服務(wù)器裝置20之間的通信的安全性。
在本實(shí)施方式中，客戶端裝置10與內(nèi)容服務(wù)器裝置20之間進(jìn)行的End-End加密通信，在網(wǎng)關(guān)服務(wù)器裝置30中，暫時(shí)終止加密通信，并把加過密的通信消息還原成明文。因此，能夠在通信消息中進(jìn)行病毒或秘密文檔的檢測處理，并且能夠進(jìn)行內(nèi)容數(shù)據(jù)的高速緩存或HTTP頭和數(shù)據(jù)的追加、變換、消除等處理。
一旦服務(wù)器公開密鑰證書的驗(yàn)證失敗，就由客戶端裝置10的瀏覽器顯示內(nèi)容服務(wù)器裝置20不可靠的警告消息，但是有用戶不理解警告的含義，無視警告而進(jìn)行訪問的情況。本實(shí)施方式中，在步驟S414網(wǎng)關(guān)服務(wù)器裝置30由代理進(jìn)行服務(wù)器公開密鑰證書的驗(yàn)證，并在驗(yàn)證失敗時(shí)進(jìn)行錯(cuò)誤處理(步驟S109)，從而能夠?qū)Σ豢煽康膬?nèi)容服務(wù)器裝置20的訪問防患于未然。
在通過客戶端裝置10的瀏覽器，客戶端裝置10下載了不被根CA信賴的CA發(fā)行的服務(wù)器公開密鑰證書的情況下，客戶端裝置10的瀏覽器往往在證書驗(yàn)證時(shí)發(fā)出警告消息來通知用戶。另外，還有拒絕向該服務(wù)器公開密鑰證書表示的內(nèi)容服務(wù)器裝置20的用加密通信的訪問的瀏覽器。在本實(shí)施方式中，因?yàn)橐M(jìn)行用戶同意確認(rèn)處理(步驟S600)，用戶就要把網(wǎng)關(guān)服務(wù)器裝置30的根CA證書安裝在客戶端裝置10的瀏覽器內(nèi)，所以，以后，就能夠抑制在下載了網(wǎng)關(guān)服務(wù)器裝置30生成的加密通信中繼許可證4015時(shí)所表示的警告消息的顯示。而且，在證書驗(yàn)證失敗時(shí)拒絕加密通信的瀏覽器中，就能夠進(jìn)行與網(wǎng)關(guān)服務(wù)器裝置30的加密通信。
在本實(shí)施方式中，在網(wǎng)關(guān)服務(wù)器裝置30或數(shù)據(jù)庫服務(wù)器裝置40受到存有惡意的第三者攻擊侵入的情況下，有可能被有惡意的第三者盜取加密通信中使用的秘密密鑰或公共密鑰等。因此，通過進(jìn)行用戶同意確認(rèn)處理，就能夠明示地通知用戶殘留有加密通信數(shù)據(jù)盜聽和篡改等危險(xiǎn)性。在用戶不能容許這種危險(xiǎn)性的情況下，或者用戶不希望由網(wǎng)關(guān)服務(wù)器裝置30終止和解密加密通信的情況下，作為用戶同意確認(rèn)處理中的警告消息的回答，用戶可以作出不執(zhí)行Split SSL處理的用戶自身的選擇。
或者，在加密通信設(shè)定數(shù)據(jù)庫401中，用戶使服務(wù)器名字段4011的通信方法字段4012的設(shè)定成為可變更，由此，用戶就可以對每個(gè)目的地服務(wù)器選擇使用End-End加密通信和Split SSL加密通信的哪一種。作為其優(yōu)點(diǎn)，用戶自身可以根據(jù)用戶的意思或通信內(nèi)容來選擇安全性和方便性的其中一方。例如，在用戶把信用卡號(hào)發(fā)送到服務(wù)器的場合等要重視安全性的情況下，可以設(shè)定End-End加密通信。相反，在網(wǎng)關(guān)服務(wù)器裝置30中根據(jù)Web瀏覽器的特性要對某個(gè)圖象內(nèi)容進(jìn)行圖象變換等、用戶要重視方便性的情況下，用戶自身可以設(shè)定Split SSL加密通信。
另外，在本實(shí)施方式中，在將數(shù)據(jù)庫服務(wù)器裝置40獨(dú)立于網(wǎng)關(guān)服務(wù)器裝置30、并列有多臺(tái)網(wǎng)關(guān)服務(wù)器裝置30的情況下，能夠?qū)崿F(xiàn)網(wǎng)關(guān)服務(wù)器裝置30的負(fù)荷的分散。而且，由于可以根據(jù)來自客戶端裝置10的業(yè)務(wù)量增設(shè)網(wǎng)關(guān)服務(wù)器裝置30，所以能夠?qū)⑦m用本發(fā)明的網(wǎng)絡(luò)系統(tǒng)可縮放地?cái)U(kuò)大到數(shù)據(jù)庫服務(wù)器裝置40達(dá)到性能極限。
<第二實(shí)施方式>
然后參照15詳細(xì)說明本發(fā)明的第二實(shí)施方式。
圖15是本發(fā)明的第二實(shí)施方式中把客戶端編成組進(jìn)行代理認(rèn)證的情況下的Split SSL加密通信處理的流程示例圖。在本實(shí)施方式中，網(wǎng)關(guān)服務(wù)器裝置30，對客戶端裝置10，進(jìn)行客戶端認(rèn)證之后，對內(nèi)容服務(wù)器裝置20，使用與客戶端裝置10的客戶端證書不同的其他客戶端證書(客戶端代理證書)，來進(jìn)行對應(yīng)于客戶端裝置10的客戶端認(rèn)證。
圖15中，網(wǎng)關(guān)服務(wù)器裝置30的加密通信處理部303(參照圖3)，對客戶端裝置10發(fā)送針對CONNECT方法的應(yīng)答之后，進(jìn)行SSL信號(hào)交換處理(步驟S403～S405)；在該SSL信號(hào)交換處理中，加密通信處理部303，進(jìn)行步驟S404之后，從客戶端裝置10接收客戶端證書(步驟S416)；進(jìn)行客戶端認(rèn)證處理(步驟S417)；然后，網(wǎng)關(guān)服務(wù)器裝置30，進(jìn)行客戶端的分類處理(步驟S418)。
作為客戶端的分類處理的例子，某客戶端A可以訪問某內(nèi)容服務(wù)器A，而假設(shè)不能訪問內(nèi)容服務(wù)器B，另外，另外的客戶端B可以訪問內(nèi)容服務(wù)器A和B兩方。這里，在接收到來自客戶端A的客戶端證書的情況下，分類為客戶端類別A；在接收到來自客戶端B的客戶端證書的情況下，分類為客戶端類別B。
加密通信處理部303，一旦在步驟S405結(jié)束與客戶端裝置10的SSL信號(hào)交換，此后，就在與內(nèi)容服務(wù)器裝置20之間進(jìn)行TCP連接(步驟S411)；然后，與內(nèi)容服務(wù)器裝置20之間進(jìn)行SSL信號(hào)交換處理(步驟S412，即，步驟S4121～S4125)；這里，加密通信處理部303，在結(jié)束了與內(nèi)容服務(wù)器裝置20的服務(wù)器認(rèn)證處理(步驟S4122)之后，選擇對應(yīng)步驟S418的客戶端分類的客戶端代理證書(步驟S4123)。例如，在先前的例子中，如果客戶端裝置10是客戶端A，就選擇客戶端類別A用的客戶端代理證書。
然后，加密通信處理部303，在對內(nèi)容服務(wù)器裝置20進(jìn)行客戶端認(rèn)證處理時(shí)，取代客戶端裝置10的客戶端證書，把在步驟S4123選擇出來的客戶端代理證書發(fā)送到內(nèi)容服務(wù)器裝置20(步驟S4124)；此后，進(jìn)行通常的SSL信號(hào)交換處理(步驟S4124、S4125)；再接下來進(jìn)行SSL加密通信中繼處理(步驟S415)。
在本實(shí)施方式中，內(nèi)容服務(wù)器裝置20也就是內(nèi)容提供商方，無須進(jìn)行全部的客戶端的客戶端認(rèn)證，只對網(wǎng)關(guān)服務(wù)器裝置30管理的客戶端網(wǎng)絡(luò)運(yùn)用者方提供的客戶端類別部分的客戶端認(rèn)證就可以。例如，在是1000萬人加入的ISP網(wǎng)絡(luò)系統(tǒng)的情況下，原來，內(nèi)容提供者方為了要區(qū)別1000萬人來認(rèn)證客戶端，內(nèi)容服務(wù)器裝置20(內(nèi)容提供商)，必須要用來認(rèn)證1000萬人的大規(guī)模的認(rèn)證管理系統(tǒng)。而在本實(shí)施方式中，由網(wǎng)關(guān)服務(wù)器裝置30匯總用代理進(jìn)行客戶端認(rèn)證，所以，內(nèi)容提供商僅引入小規(guī)模的認(rèn)證系統(tǒng)即可。
權(quán)利要求
1.一種網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法，其特征在于該方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡(luò)發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡(luò)發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務(wù)器裝置之間、進(jìn)行的加密通信的網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法；所述網(wǎng)關(guān)服務(wù)器裝置，執(zhí)行如下步驟從所述客戶端裝置接收向所述內(nèi)容服務(wù)器裝置的加密通信連接消息的第一步驟；生成針對包含在所述連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰的第二步驟；把所述暫時(shí)的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三步驟；在與所述客戶端裝置之間進(jìn)行End-End加密通信，接收該客戶端裝置發(fā)送的被加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務(wù)器裝置進(jìn)行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五步驟；和對所述取得的內(nèi)容信息及其通信頭進(jìn)行附加價(jià)值處理，并把該附加價(jià)值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六步驟。
2.一種網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法，其特征在于該方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡(luò)發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡(luò)發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務(wù)器裝置之間、進(jìn)行的加密通信的網(wǎng)關(guān)服務(wù)器裝置中的加密通信的中繼方法；所述網(wǎng)關(guān)服務(wù)器裝置，具備登錄暫時(shí)的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部的數(shù)據(jù)庫；執(zhí)行如下步驟從所述客戶端裝置接收向所述內(nèi)容服務(wù)器裝置的加密通信連接消息的第一步驟；第七步驟，該步驟，以包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址之任一個(gè)或其兩方為檢索關(guān)鍵字，檢索所述數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從所述登錄信息中讀出對所述目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下、或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成針對包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，并把所述生成的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部登錄在所述數(shù)據(jù)庫中；把所述暫時(shí)的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三步驟；在與所述客戶端裝置之間進(jìn)行End-End加密通信，接收該客戶端裝置發(fā)送的被加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務(wù)器裝置進(jìn)行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五步驟；和對所述取得的內(nèi)容信息及其通信頭進(jìn)行附加價(jià)值處理，并把該附加價(jià)值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六步驟。
3.如權(quán)利要求2所述的加密通信的中繼方法，其特證在于所述數(shù)據(jù)庫，必須是被構(gòu)成在與所述網(wǎng)關(guān)服務(wù)器裝置不同的其他信息處理裝置上的數(shù)據(jù)庫。
4.如權(quán)利要求1至3的任一項(xiàng)所述的加密通信的中繼方法，其特證在于所述網(wǎng)關(guān)服務(wù)器裝置，在執(zhí)行所述第一步驟之后，還執(zhí)行第八步驟，該步驟，把同意確認(rèn)顯示信息發(fā)送到所述客戶端裝置，該同意確認(rèn)顯示信息，是用來獲得所述客戶端裝置的利用者對將從所述客戶端裝置發(fā)送的加過密的訪問請求消息解密后變換為明文的訪問請求消息的同意的信息，在從所述客戶端裝置接收到意味著所述利用者的同意確認(rèn)的訪問請求的情況下，把用來驗(yàn)證所述加密通信中繼許可證的根認(rèn)證局證書發(fā)送到所述客戶端裝置。
5.如權(quán)利要求1至4的任一項(xiàng)所述的加密通信的中繼方法，其特證在于所述網(wǎng)關(guān)服務(wù)器裝置，在所述第五步驟中，所述內(nèi)容服務(wù)器裝置進(jìn)行客戶端認(rèn)證時(shí)，取代所述客戶端裝置發(fā)送的客戶端證書，必須將客戶端裝置編組并發(fā)送對應(yīng)于該組而生成的客戶端代理證書。
6.一種網(wǎng)關(guān)服務(wù)器裝置，其特征在于該網(wǎng)關(guān)服務(wù)器裝置，中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡(luò)發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡(luò)發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務(wù)器裝置之間、進(jìn)行的加密通信；所述網(wǎng)關(guān)服務(wù)器裝置，必須具備下述單元從所述客戶端裝置接收向所述內(nèi)容服務(wù)器裝置的加密通信連接消息的第一單元；生成針對包含在所述連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰的第二單元；把所述暫時(shí)的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三單元；在與所述客戶端裝置之間進(jìn)行End-End加密通信，接收該客戶端裝置發(fā)送的加過密的訪問請求消息，并把其加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四單元；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務(wù)器裝置進(jìn)行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五單元；和對所述取得的內(nèi)容信息及其通信頭進(jìn)行附加價(jià)值處理，并把該附加價(jià)值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六單元。
7.一種網(wǎng)關(guān)服務(wù)器裝置，其特征在于該網(wǎng)關(guān)服務(wù)器裝置，中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡(luò)發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡(luò)發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務(wù)器裝置之間、進(jìn)行的加密通信；所述網(wǎng)關(guān)服務(wù)器裝置，具備登錄暫時(shí)的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部的數(shù)據(jù)庫；必須具備下述單元從所述客戶端裝置接收向所述內(nèi)容服務(wù)器裝置的加密通信連接消息的第一單元；第七單元，該單元，以包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址之任一個(gè)或其兩方為檢索關(guān)鍵字，檢索所述數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從所述登錄信息中讀出針對所述目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成針對包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名的內(nèi)容服務(wù)器裝置的暫時(shí)的加密通信中繼許可證和與其成對的秘密密鑰，并把所述生成的暫時(shí)的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務(wù)器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個(gè)或其全部登錄在所述數(shù)據(jù)庫中；把所述暫時(shí)的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三單元；在與所述客戶端裝置之間進(jìn)行End-End加密通信，接收該客戶端裝置發(fā)送的加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四單元；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務(wù)器裝置進(jìn)行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五單元；和對所述取得的內(nèi)容信息及其通信頭進(jìn)行附加價(jià)值處理，并把該附加價(jià)值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六單元。
8.如權(quán)利要求7所述的網(wǎng)關(guān)服務(wù)器裝置，其特證在于所述數(shù)據(jù)庫，必須是被構(gòu)成在與所述網(wǎng)關(guān)服務(wù)器裝置不同的其他信息處理裝置上的數(shù)據(jù)庫。
9.如權(quán)利要求6至8任一項(xiàng)所述的網(wǎng)關(guān)服務(wù)器裝置，其特證在于所述網(wǎng)關(guān)服務(wù)器裝置，還必須具備第八單元，該第八單元，把同意確認(rèn)顯示信息發(fā)送到所述客戶端裝置，該同意確認(rèn)顯示信息，是用來獲得所述客戶端裝置的利用者對從所述客戶端裝置發(fā)送的加過密的訪問請求消息解密后變換為明文的訪問請求消息的同意的信息，在從所述客戶端裝置接收到意味著所述利用者的同意確認(rèn)的訪問請求的情況下，把用來驗(yàn)證所述加密通信中繼許可證的根認(rèn)證局證書發(fā)送到所述客戶端裝置。
10.如權(quán)利要求6至9任一項(xiàng)所述的網(wǎng)關(guān)服務(wù)器裝置，其特證在于所述網(wǎng)關(guān)服務(wù)器裝置，所述第五單元，在所述內(nèi)容服務(wù)器裝置進(jìn)行客戶端認(rèn)證時(shí)，取代所述客戶端裝置發(fā)送的客戶端證書，必須將客戶端裝置編組并發(fā)送對應(yīng)于該組而生成的客戶端代理證書。
11.一種加密通信的中繼程序，其特證在于是用來讓計(jì)算機(jī)執(zhí)行權(quán)利要求1至5任一項(xiàng)所述的加密通信的中繼方法的程序。
12.一種加密通信的中繼程序存儲(chǔ)媒體，其特征在于在計(jì)算機(jī)可讀取的可移動(dòng)存儲(chǔ)媒體上存儲(chǔ)了權(quán)利要求11所述的程序。
全文摘要
無須對客戶端裝置追加特殊的功能，在網(wǎng)關(guān)服務(wù)器裝置中就能夠進(jìn)行對End－End加密通信的附加價(jià)值處理，從而實(shí)現(xiàn)靈活的加密通信的中繼方法。網(wǎng)關(guān)服務(wù)器裝置30，生成暫時(shí)的加密通信許可證和與其成對的秘密密鑰，使用它們在客戶端裝置10與網(wǎng)關(guān)服務(wù)器裝置30之間進(jìn)行加密通信。屆時(shí)，把加密通信中繼許可證、秘密密鑰、客戶端裝置10的IP地址、內(nèi)容服務(wù)器名、通信方法等登錄在數(shù)據(jù)庫服務(wù)器裝置40內(nèi)。然后，在與內(nèi)容服務(wù)器裝置20之間進(jìn)行加密通信。因此，在網(wǎng)關(guān)服務(wù)器裝置30中，由于暫時(shí)終止加密通信，所以在此就能夠進(jìn)行種種附加價(jià)值處理。
文檔編號(hào)H04L12/66GK1783778SQ20051012575
公開日2006年6月7日 申請日期2005年12月1日 優(yōu)先權(quán)日2004年12月2日
發(fā)明者竹島由晃, 小川貴央 申請人:株式會(huì)社日立制作所