Microsoft Word - ‰Z_3_“Ł“è.doc

Transcription

1 Introduction of PKI Technology and Device Certificate 要旨 bstract 執筆者 黒崎雅人 (Masato Kurosaki)* 稲田龍 (Ryu Inada)* 宇田川誠 (Makoto Udagawa)* 益井隆徳 (Takanori Masui)** * サービス技術開発本部サービス技術開発部 (Service Technology Development, Service Technology Development Group) ** オフィスプロダクト事業本部コントローラーソフトウェア開発部 (Controller Software Development, Office Product Business Group) ここでは セキュリティ技術として注目されている PKI(Public Key Infrastructure) 技術の紹介と富士ゼロックスでの活用事例について述べる 近年 電子文書に関わる法整備が進み 電子文書のセキュリティが重要視されている その中で PKI は電子文書のセキュリティ技術として注目されている PKI で利用される電子証明書は X.509 として ITU-T/ISO/IEC により標準化が行われたが インターネットでの利用に関する標準化は IETF(Internet Engineering Task Force) で実施されている IETF の PKIX-WG では 電子証明書の利用に関するプロファイルや 電子証明書の有効性検証を行うための枠組みに関する標準化が行われている 富士ゼロックスは PKI 技術をベースとした技術開発 商品開発を進めてきた 2004 年 1 月よりデジタル複合機 (peosport) に PKI 機能が搭載され ネットワーク通信経路の暗号化を実現した その後 スキャン文書の暗号化 署名なども実現されている これらの PKI 機能を簡単に利用することができるように 2005 年 1 月より peosport 向けの電子証明書 ( デバイス証明書 ) の発行サービスを開始した このデバイス証明書には peosport の機種名やシリアル番号が記載されているため インターネット経由の通信においても peosport を確実に識別することができる これにより peosport をポータルデバイスとした新しいインターネットサービスの提供が可能となる In this paper, we introduce PKI technology, which attracts attention as security technology, and a practical use example in Fuji Xerox. Recently, with the laws about electronic documents has been enacted; Therefore, greater importance has been attached to the security of electronic documents. PKI attracts attention as security technology of electronic documents. The digital certificate used by PKI was standardized as X.509 by ITU-T/ISO/IEC. Then, standardization through the Internet has been carried out by IETF (Internet Engineering Task Force). In PKIX-WG of IETF, the standardization of the framework for performing the usage profile of a digital certificate and validity verification of a digital certificate is performed. Fuji Xerox has advanced in its technical development and product development, which uses PKI technology as the base. In January 2004, the PKI function was equipped on digital multi-functional device (peosport), for encryption of a network communication. Then, encryption/signature of a scanned document, etc. are realized. In January 2005, issuance service of the digital certificate for peosport (device certificate) was started so that these PKI functions could be used easily. Since this device certificate indicates the model name and serial number of peosport, also in the communication via the Internet, peosport is certainly identified. Thereby, offering of the new Internet service, which made peosport a portal device, is attained. 富士ゼロックステクニカルレポート No

2 1. はじめに ホームページや e メールなどのビジネスへの利用が拡大するに伴い インターネット上の危険は無視できなくなってきた 企業の重要情報を e メールで送信することによる情報漏えい 虚偽のメールやホームページによる詐欺行為など 企業や顧客の情報の安全性が問われ始めており インターネット上の脅威に対する技術的な対策は欠かせないものとなっている 文書の電子化も急速に進み 電子署名法や e 文書法などの法整備が進んでいる 電子文書は紙の文書に比べてコピーや修正が簡単であるため 改ざん検知や作成者 作成日時の特定機能などが求められている 本論文では これらの要求を解決する 1 つの技術である PKI 技術とその最新動向を解説し 富士ゼロックスの取り組みとして デジタル複合機の PKI 機能とプロダクト認証局によるセキュリティ基盤の構築について述べる 2. PKI 技術の動向 2.1 PKI 技術とは PKI(Public Key Infrastructure) とは暗号をもちいた認証基盤のことである 暗号とは 通常の暗号 ( 共通鍵暗号 ) と異なり暗号化鍵と復号鍵が違う暗号のことである この二つの鍵 ( 対 ) は互いに役割を入れ替えることが可能であり この特性により暗号化 ( 図 1) と電子署名 ( 図 2) を実現することができる さらに 図 3 のように認証に用いることも可能である このを用いた暗号化 電子署名および認証を行うためには対の所有者を何らかの形で保証する仕組みが必要となる このための仕組みが PKI である いわば電子社会における身元保証の仕組みであるとも言える を用いた身元保証の方式を広く PKI と呼ぶこともできるが ここでは特に ISO/ITU-T/IEC の 3 者で標準化が行われた X.509 による電子証明書を使ったものを PKI と呼ぶこととする 実社会において戸籍 パスポート 住民票 社員証および会員証が何らかの形で所有者の身元を保証しているのと同様に 電子証明書は電子社会においても広く適用可能である 実際 ひらぶん平文 = 錠前鍵をかける他の人に配られる ハッシュ復号 電子署名検証 暗号化 Challenge B 氏 署名 認証者 レスポンス ( 電子署名付 ) 配布 配布 伝送 図 2. 配布 図 1. チャレンジコードを送付 Challenge 図 3. 私有鍵 ( プライベート鍵 )= 鍵鍵をはずす本人だけが持つ 伝送 復号暗号暗号平文 攻撃者 における暗号化 Public Key Encryption 氏 署名 私有鍵 ( プライベート鍵 ) E-Commerce サイトにおいて PKI 技術を応用した HTTPS は広く使われており Microsoft の Windows ctivation/windows Update 等も PKI が利用されており 利用者はその存在に気付くことなくこの技術の恩恵を受けている 米国政府では連邦政府職員に対して電子証明書を発行し 米国政府の認証基盤 (FPKI: Federal PKI) として活用されている また 日本国政府でも e-japan 戦略の一環として国家公務員に対して電子証明書を発行し 政府認証基盤 (GPKI: Government PKI) が運営されて 解読 Y ハッシュの方式と値を暗号化署名としてデータに添付 電子署名の概念 Concept of Digital Signature 被認証者 Challenge Challenge Y レスポンス ( 電子署名付 ) 私有鍵 ( プライベート鍵 ) さん 認証への適用 pplication to uthentication 24 富士ゼロックステクニカルレポート No

3 いる 他にも 地方公務員に対する LGPK(Local Government PKI) 国民に対する公的個人認証サービス (JPKI: Japanese PKI) 法人代表者の印鑑証明としての電子証明書を発行する商業登記認証局などが提供されている インターネットにおいては 主に E-Commerce サイトの伝送路暗号化と接続先の保証を目的とした電子証明書の発行を行っている民間認証局がサービスを提供しており 民間認証局の発行する電子証明書は広く使われている ( 図 4 参照 ) 政府の職員 ( 公務員 ) の役職に対しての証明書 G 日本国政府認証基盤 (GPKI) 地方自治体の職員 ( 公務員 ) の役職に対しての証明書 G 地方自治体認証基盤 (LGPKI) 民間がサービスとして行なう認証局 B 民間認証局 民間がサービスとして行なう認証局 B 民間認証局 図 PKI の標準化動向 国民に対しての証明書 C 公的個人認証サービス (JPKI) 法人代表者に対する印鑑証明の代わりに会社に対しての証明書 B 商業登記認証局 公的な認証局 民間がサービスとして行なう認証局 B 民間認証局 日本における認証局 Certification uthorities in Japan 前節で述べたようにPKIは 国際規格として ITU-T/ISO/IEC の 3 者がX.500 Directory Serviceの認証方式として標準化を進めていた しかし 現在のインターネットでの主流な利用方式であるHTTS(SSL/TLS) とは利用モデルが異なっている インターネットでの電子証明書の利用に関する標準化はIETF(Internet Engineering Task Force) 内の幾つかのWGで行われている 電子証明書のプロファイルや電子証明書の基本的なサービス等に関する部分の標準化はPKIX-WGが行っており その他の PKI/ 電子証明書を用いたアプリケーションやプロトコルの標準化はそれぞれ個別のWGで標準化が行われている 例えば HTTPSにおいて用いられているSSL/TLSに関しての標準化は TLS-WGが行い 電子メールにPKIを適用する S/MIMEに関してはS/MIME-WGが行っている PKIX-WG では 現在 2 種類の標準化を主に行われている 1 つは 電子証明書の利用に関するプロファイルであり 今までに RFC 2459/RFC 3280 の 2 つの RFC が制定されており 現在では RFC 3280 の後継の RFC を策定中である これらの RFC の関係を図 5 に示す RFC 2459 昔のインターネット標準 1999 年 1 月発行 129 ページ記念すべき最初のプロファイル RFC 3280 により Obsolete RFC 3280 もう 1 つは 電子証明書の有効性検証を行うための枠組みに関する標準化である 電子証明書の有効性検証は パスに現れる全ての電子証明書と各認証局が定期的に発行する CRL(Certificate Revocation List) により行われる この証明書検証に必要な情報が全て揃っていれば証明書検証はオフラインで実行することができる しかし これらの情報を予め全て取得しておくことは一般に困難であり 通常は検証時に必要な情報を入手する場合が多い 入手手段としては LDP (Light-weight Directory ccess Protocol) サーバや http サーバが一般的に利用されているが 単純な電子証明書の検証にこれらのサーバから情報を入手するモデルには限界がある 例えば CRL のサイズは認証局が発行した証明書の数に応じて大きくなるため CRL の取得に時間がかかることになる そこで 単独の証明書の失効状況を問い合わせるプロトコルである OCSP(Online Certificate Status Protocol) が PKIX-WG で標準化された 電子証明書は 一般にはルート認証局をトップに置く木構造をとり この構造を認証ツリーと呼ぶ ( 図 6) これらの複数の電子証明書は 上位の認証局が下位の証明書に対して電子署名を行い この電子署名の連鎖によりパスを構築する ( 図 7) クライアント EE 証明書 2002 年 4 月発行 129 ページ証明書拡張の拡充パス構築 検証の方法の記述の詳細化 RFC 3280bis 2006 年 2 月に RFC 化の予定 2005 年 7 月発行 138 ページ証明書拡張の拡充国際化! 図 5. ルート ( トップ )C 証明書 サイト EE 証明書 今のインターネット標準 電子証明書のプロファイルの変遷 Changes of Digital Certificate Profile 中間 C 証明書 クライアント EE 証明書 図 6. インターネットの利用の状況にあわせて改訂 サイト EE 証明書 認証ツリー Certification Tree 富士ゼロックステクニカルレポート No

4 ルート ( トップ )C 証明書 Certificate: Data: Version: 3 (0x2) Serial Number: 1 (0x1) Signature lgorithm: md5withrsencryption Issuer: C=JP, O=Fuji Xerox Co., Ltd., CN=Fuji Xerox Xnet C Validity Not Before: Jul 20 15:00: GMT Not fter : Dec 31 14:59: GMT Subject: C=JP, O=Fuji Xerox Co., Ltd., CN=Fuji Xerox Xnet C Subject Public Key Info: Public Key lgorithm: rsaencryption RS Public Key: (1024 bit) ( 以下省略 ) 中間 C 証明書 Certificate: Data: Version: 3 (0x2) Serial Number: (0x2ce1) Signature lgorithm: md5withrsencryption Issuer: C=JP, O=Fuji Xerox Co., Ltd., CN=Fuji Xerox Xnet C Validity Not Before: pr 9 15:00: GMT Not fter : pr 9 14:59: GMT Subject: C=JP, O=Fuji Xerox Co., Ltd., CN=Intermediate Xnet C Subject Public Key Info: Public Key lgorithm: rsaencryption ( 以下省略 ) 個人またはサイトEE 証明書 Certificate: Data: Version: 3 (0x2) Serial Number: (0x2ce1) Signature lgorithm: md5withrsencryption Issuer: C=JP, O=Fuji Xerox Co., Ltd., CN=Intermediate Xnet C Validity Not Before: pr 9 15:00: GMT Not fter : pr 9 14:59: GMT Subject: C=JP, O=Fuji Xerox Co., Ltd., CN=17578 Ryu Inada Subject Public Key Info: Public Key lgorithm: rsaencryption ( 以下省略 ) 図 7. 下位の証明書は上位の証明書の Subject と同じデータを Issuer にもつ Subject/Issuer が同じ ( 自己署名証明書 ) ルート ( トップ )C 証明書の Subject と中間 C 証明書の Issuer が同じ 中間 C 証明書の Subject と個人またはサイト EE 証明書の /Issuer が同じ 下位の証明書は上位の認証局により電子署名されている 電子証明書の電子署名の連鎖 Digital Signature Chain of Digital Certificate C1 の認証木 C1 C3 BC C3 の認証木 図 8. C2 C2 の認証木 ブリッジモデルの概念 Concept of Bridge Model 電子証明書の有効性検証は 単純な木構造の場合は比較的容易であるが 前節で述べた FPKI/GPKI などはブリッジモデルと呼ばれる特殊な構造を持ち 検証は格段に難しいものとなっている ( 図 8) 特に 各認証局が電子証明書の発行および利用に関するポリシーを持ち 電子証明書の検証ではこれらのポリシー間の調整や整合が必要な場合がある また 認証局の対の変更が生じた場合の検証などではさらに専門知識が必要とされる PKIX-WG ではこのような状況を鑑み 電子証明書の検証に必要とされる要件を整理して SCVP ( Standard Certificate Verification Service) の策定を行っている 現行の CRL や OCSP による失効検証の概念図を各々図 9 と図 10 に示す SCVP を用いた場合は図 11 のよう になる SCVP は電子証明書の検証を容易にするプロトコルである一方 SCVP サーバに対して高度な証明書検証機能が要求されており 単純なプロトコルとは呼べない状況である 具体的な実装においてはそのサブセットとなることが避けられない状況であると考えられる PKIX-WG 内でもその策定には時間がかかっており RFC の前段階である Internet-Draft の段階ですでに第 21 版となっている 3. 富士ゼロックスの取り組み 3.1. 複合機 (peosport) の PKI 機能 peosport は イントラネットからインターネットまでカバー可能なセキュリティを提供するため PKI 機能を提供している また この 認証局認証局 CRL 生成 (C 証明書 ) 利用者 の証明書 発行失効申請 利用者 提示 認証局 証明書 ( ルート C 証明書 ) 認証局 B 証明書 ( 中間 C 証明書 ) 入手 利用者 の証明書 (C 証明書 ) 電子署名による連鎖のチェック 利用者の証明書 CRL による証明書の失効チェック 利用者 B 図 9. CRL による失効検証 Certificate Validation by CRL 26 富士ゼロックステクニカルレポート No

5 認証局認証局 CRL 生成 (C 証明書 ) 利用者 の証明書 発行失効申請 利用者 提示 認証局 証明書 ( ルート C 証明書 ) 認証局 B 証明書 ( 中間 C 証明書 ) CRL の入手 入手 利用者 の証明書 (C 証明書 ) 電子署名による連鎖のチェック 利用者の証明書 OCSP 証明書の失効チェック 利用者 B OCSP サーバ 図 10. OCSP による失効検証 Certificate Validation by OCSP 利用者 の証明書 認証局 証明書 ( ルート C 証明書 ) 認証局認証局 発行失効申請 利用者 認証局 B 証明書 ( 中間 C 証明書 ) CRL 生成 (C 証明書 ) 提示 利用者 の証明書 電子署名による連鎖のチェック 利用者の証明書 証明書の失効チェック CRL の入手 利用者 B SCVP サーバ SCVP サーバに対してどういう観点で検証してほしいか指定 図 11. SCVP による失効検証 Certificate Validation by SCVP peosport の PKI 機能を利用するためには peosport の電子証明書 ( デバイス証明書 ) が必要となるが 富士ゼロックスでは 後述するデバイス証明書の発行サービスを提供しており 富士ゼロックスプロダクト認証局が発行する証 明書を peosport にインストールすることですぐにpeosPortのPKI 機能を利用できるようになっている ( 図 12) 富士ゼロックステクニカルレポート No

6 peosware Server 表 1. SSL/TLS サーバー機能 SSL/TLS Server Function Document Serv er peosport (SMB/FTP) DocuWorks 暗号 / 署名 PDF 暗号 / 署名 SSL/TLS リモート管理プリントスキャン文書アクセス SSL/TLS Client 図 12. Internet S/MIME Mail Client peosport SSL/TLS peosport は 暗号通信の標準技術である SSL verson3 および TLS version1 に対応しており 以下に示す SSL/TLS サーバ機能および SSL/TLS クライアント機能を提供している [SSL/TLS サーバ機能 ] ネットワーク上のクライアントまたはアプリケーションから表 1 に示す peosport の機能にアクセスする場合の通信を暗号化し 利用者の情報 ( パスワードやプリントデータ スキャン文書など ) や管理情報 ( ジョブログや設定情報 ) のネットワーク上の盗聴を防止する [SSL/TLS クライアント機能 ] peosport は 表 2 に示す外部サーバへのアクセスや peosport のサービス連携商品にアクセスする場合の通信を暗号化することができる サービス連携商品としては 以下に示す当社の peosware シリーズや peos パートナーが提供する連携商品がある また peosport では 通信の暗号化だけでなく アクセスするサーバのなりすましを検証する SSL/TLS サーバ認証機能や サーバ対して電子証明書による認証を行う SSL/TLS クライアント認証機能に対応しているので インターネットにおけるセキュアな通信を実現することができる S/MIME peosport は メールの暗号化や電子署名を行うための標準技術である S/MIME(Secure/ Multipurpose Internet Mail Extensions) に対応しており スキャン メール送信やメール受信プリント インターネット ファックス通信で利用されるメールの暗号化や電子署名の機能を提供する この S/MIME 機能により peosport 同士のメール通信や peosport と メールインターネットファックス SSL/TLS SP Service for peos peosport の PKI 機能 PKI Functions of peosport peosport の機能 リモート管理機能 プリント機能 スキャン文書アクセス機能 表 2. 説明 WEB ブラウザから peosport の CentreWare Internet Services に https でアクセスすることで peosport の管理設定に関する通信を暗号化する CentreWare Easydmin から peosport に https でアクセスすることで peosport の管理設定に関する通信を暗号化する peosware ccounting Service から peosport に https でアクセスすることで ジョブ履歴情報取得に関する通信を暗号化する peosware Device Portal から peosport に https でアクセスすることで peosport の運用設定に関する通信を暗号化する クライアントから peosport に IPP over SSL/TLS (https) でアクセスすることで プリント通信路を暗号化する WEB ブラウザから peosport の CentreWare Internet Services に https でアクセスすることで 親展ボックス内のスキャン文書へのアクセス通信を暗号化する CentreWare Easy Operator から peosport に Web-DV over SSL/TLS (https) でアクセスすることで 親展ボックス内のスキャン文書へのアクセス通信を暗号化する SSL/TLS クライアント機能 SSL/TLS Client Function 外部サーバー LDP サーバー 連携 Web サービス Web アプリケーション peosware JF PoolService peosware Flow Service peosware uthentication gent 説明 LDP サーバーへのアクセス通信を暗号化する peos パートナーが提供する連携 Web サービスへのアクセス通信を暗号化する peosport 用のジョブフローを一括管理する peosware JF PoolService へのアクセス通信を暗号化する peosport のジョブフロー機能と連携してドキュメントフローを実現する peosware Flow Service との相互通信を暗号化する peosport 用の認証アカウンティング機能を提供する peosware uthentication gent へのアクセス通信を暗号化する クライアントのメールソフト (Microsoft 社の Outlook Express や Netscape 社の Netscape Messenger などは標準で S/MIME 機能に対応している ) とのメール通信に内在する盗聴や改ざん そして 送信元のなりすましを防止することができる メールの暗号化に必要となるメールの宛先の電子証明書は peosport のアドレス帳から選択するようになっており peosport 内の電子証明書レポジトリや ネットワーク上の LDP サーバからアドレス帳に関連付けて取得する また メールの電子署名は peosport の電子証明書を使って行う 28 富士ゼロックステクニカルレポート No

7 スキャン出力ファイルのセキュリティと電子署名 peosport は スキャン PC 保存やスキャン メール送信における出力ファイル形式に DocuWorks や PDF を選択した場合に これらのスキャン文書に暗号化や操作制限によるセキュリティ設定 そして 電子署名を行うことが可能である [DocuWorks のセキュリティと電子署名 ] DocuWorks のセキュリティでは パスワードによる 56 ビット /128 ビットの暗号化に加えて 電子証明書を使った開示先への暗号化が可能であり さらに 操作制限として文書編集 アノテーション編集 印刷 転記の許可 / 禁止を設定できる 電子証明書を使った暗号化を行うことで 指定した開示先以外は復号できないため パスワードを使った暗号化にくらべてより強固なセキュリティを設定することができる また DocuWorks の電子署名では peosport の電子証明書を使って スキャン文書に直接電子署名を行うことが可能である [PDF のセキュリティと電子署名 ] PDF のセキュリティでは パスワードによる 128 ビットの暗号化 (RC4 または ES) と文書の変更 印刷 コピーに関する操作制限を設定することができる また PDF の電子署名では peosport の電子証明書を使って スキャン文書に直接電子署名を行うことが可能である DocuWorks や PDF の電子署名では peosport がスキャン原稿の電子化と一緒に電子署名を行うので 文書の電子化で懸念されるスキャン後のデータの改ざんを防止するとともにスキャンした peosport の特定が可能となる 証明書管理機能 peosport は PKI 機能に必要となる電子証明書を保管するための証明書レポジトリを peosport 内部に有するだけでなく 外部の LDP サーバに登録されている電子証明書にアクセスする証明書アクセス機能を有する これらの電子証明書は 機器管理者が peosport の証明書管理機能に登録した信頼するルートに基づいて パスと有効期間が検証される また peosport の私有鍵は 装置毎に異なる暗号化鍵により暗号化されて安全に保管される 3.2. プロダクト認証局とセキュリティ基盤の構築 デバイス証明書富士ゼロックスプロダクト認証局により peosport 向けに発行された電子証明書をデバイス証明書と呼ぶ ユーザはデバイス証明書取得ユーティリティを実行することで 簡単にデバイス証明書を peosport にインストールすることができる デバイス証明書取得ユーティリティは peosport からデバイス証明書に記載する情報 ( 機種名 シリアル番号 メールアドレスなど ) を取得し インターネット上のプロダクト認証局に対して証明書発行要求を送信する そして プロダクト認証局で生成されたデバイス証明書を peosport にインポートする デバイス証明書取得ユーティリティ peosport 管理者 証明書インポート 図 13. Internet peosport 証明書の発行 富士ゼロックスプロダクト認証局 富士ゼロックスが運営する認証局 (C) デバイス証明書取得ユーティリティ Device Certificate cquisition Utility デバイス証明書には peosport の機種名およびシリアル番号が記載されているため どの peosport のデバイス証明書であるかを識別することができる さらに デバイス証明書の利用目的によって IP アドレスやメールアドレスが記載される場合もある デバイス証明書の記載事項 ( デバイス証明書プロファイル ) を表 3 に示す プロダクト認証局プロダクト認証局は富士ゼロックスプロダクト (peosport やサービス連携商品など ) に対してプロダクト証明書を発行する 前述のデバイス証明書はこのプロダクト証明書の 1 つである プロダクト認証局のシステムはインターネットデータセンター上に設置され 証明書発行要求メッセージをインターネット経由で受信する そのメッセージの正当性を検証した上でプロダクト証明書を発行し 応答メッセージとして返送する 複数の証明書プロファイルが管理できるように設計されているため 多様な証明書発行要求に対応可能な認証局システムである また 証明書発行サーバ 認証局システム 富士ゼロックステクニカルレポート No

8 表 3. デバイス証明書プロファイル Device Certificate Profile 記載事項説明記載内容 version フォーマットのバージョン X.509 バージョン 3 ( 値は 2) serialnumber シリアル番号 プロダクト認証局により割 当てられる signature 証明書の署名アルゴリズム sha1rs issuer 認証局の識別名 CN= Fuji Xerox Product C,O="Fuji Xerox",C=JP validity.notbefore 有効期間の開始 証明書発行時刻 validity.notfter 有効期間の終了有効期間の開始から 3 年 subject 所有者の識別名 CN= 機種名 + シリアル番号, OU= シリアル番号, OU= 機種 OID, OU="Device Certificate", O="Fuji Xerox", C="JP" subjectpublickeyinfo extensions.authority KeyIdentifier 認証局識別子 プロダクトの subjectkeyidentifier extension.keyusage 鍵用途 digitalsignature(0) keyencipherment(2) extensions.subject ltname extensions.basiccon straints extensions.extkeyu sage extensions.crldistri butionpoints サブジェクト別名 基本制限 拡張鍵用途 CRL 配布地点 S/MIME 用デバイスのメールアドレス (rfc822name) SSL サーバ用デバイスの IP アドレス (DNSName) c = FLSE(End Entity) pathlenconstraint = NULL 共通項目 id-kp-clientuth SSL サーバ用 id-kp-serveruth S/MIME 用 id-kp- protection crl/fxprdca.crl certificatepolicies 証明書ポリシー PolicyIdentifier: PolicyQualifier: product/cap/fxprdca.html 認証局運用ルーム認証局運用ルーム オペレータ 認証局システム認証局システム SOP+SSL クライアント認証 プロダクト登録 証明書テンプレート登録 オペレータ登録 監査ログ取得 C 管理サーバ DB サーバプロダクトリストオペレータリスト監査ログ証明書リスト 管理サーバ CRL 公開サーバの 3 つのサーバに機能を分離することで 認証局サービスとしての可用性向上が図られている セキュリティ基盤プロダクト証明書を利用することで 富士ゼロックスプロダクト間における文書やジョブなどのメッセージ交換がインターネット経由でも安全に行えるようになる メッセージの情報漏えいを防ぎ 発信元や経由地の確実な特定が実現できるようになる さらに タイムスタンプサービスや長期保存リポジトリの提供などにより ドキュメントメッセージング環境におけるセキュリティ基盤の構築を目指している このセキュリティ基盤により 新たなドキュメント付加価値サービスの提供が可能となる 4. まとめ富士ゼロックスは早くからPKI 技術の可能性に着目し 電子化社会におけるセキュリティ機能の提供を目指してきた オフィスにあるコピー機は多機能化し 今やインターネットへの入り口となるまでに成長している PKI 技術の活用により安全な電子文書の交換を実現し 富士ゼロックスが進めるオープンなインターオフィスでのビジネスを加速する 今後は PKI 技術として課題となっている電子文書のより長期的な信頼性を向上するために 技術開発 商品開発の活動を進めていきたいと思う 顧客ネットワーク顧客ネットワークプロダクト証明書 SOP+SSL サイト認証 証明書発行要求プロダクト ID プロダクトシリアル番号 HTTP CRL ダウンロード 図 14. 証明書発行サーバ CRL 公開サーバ HSM C 秘密鍵 CRL ストレージ CRL プロダクト認証局 Product Certification uthority 5. 謝辞 PKI 技術に関して多くの知見を頂き また情報交換をして頂いた IP セキュリティセンター宮川寧夫氏 セコム松本泰氏に深く感謝いたします セキュリティ基盤顧客情報やモバイル文書の保護 時刻保証 原本保証のためのタイムスタンプサービス FX 商品を識別するためのプロダクト証明書 電子文書長期保管サービス インターネットの活用によるグローバルな高付加価値ドキュメントサービスの提供 図 15. セキュリティ基盤 Security Infrastructure 30 富士ゼロックステクニカルレポート No

9 6. 参考文献 1) ITU-T Recommendation X.509 ISO/IEC : Information technology - Open Systems Interconnection - The Directory: uthentication framework., ) R. Housley, W. Ford, W. Polk, and D. Solo, RFC 2459: Internet X.509 Public Key Infrastructure Certificate and CRL Profile, ) M. Myers, R. nkney,. Malpani, S. Galperin and C. dams, RFC 2560: X.509 Internet Public Key Infrastructure Online Certificate Status Protocol (OCSP), ) R. Housley, W. Polk, W. Ford, D. Solo, RFC 3280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile, ) S. Santesson, M. Nystrom and T. Polk, RFC 3739: Internet X.509 Public Key Infrastructure: Qualified Certificates Profile, ) M. Cooper, Y. Dzambasow, P. Hesse, S. Joseph and R. Nicholas, RFC 4158: Internet X.509 Public Key Infrastructure: Certification Path Building, ) T. Freeman, R. Housley,. Malpani, D. Cooper and T. Polk, Internet Draft: Standard Certificate Validation Protocol (SCVP), ) IP, PKI 関連技術情報 ( tml), ) IP/JNS, セキュリティ PI に関する技術調査 ( s/sec_api/index.html), ) IP/JNS, 電子政府情報セキュリティ相互運用支援技術の開発 GPKI 相互運用フレームワーク ( opment/pki/interop.html), ) 小松文子, PKI ハンドブック, ISBN , ソフトリサーチセンター, 2004, 255p 12) 日本ネットワークセキュリティ協会, 情報セキュリティプロフェッショナル総合教科書, ISBN X, 秀和システム, 2005, 575p 13) 青木隆一, 稲田龍, PKI と電子社会のセキュリティ, ISBN , 共立出版, 2001, 233p 14) 稲田龍, 黒崎雅人, 宇田川誠, 富士ゼロックステクニカルレポート No.13, PKI 技術紹介と Xnet - エクストラネット認証基盤 -, 2000 筆者紹介 黒崎雅人 1990 年入社 以来プリンタ管理アプリケーションなどの開発を経て 近年では暗号基盤に関する技術開発に従事 現在 サービス技術開発部に所属 マネージャー 専門分野 : 情報セキュリティ 稲田龍 1985 年入社 以来 ネットワークシステムの技術開発に従事 1990 年に富士ゼロックスをインターネットに接続し その際にネットワークセキュリティに関して関心を持ち 1997 年より PKI の技術開発に従事 宇田川誠 1883 年入社 以来 JStar 国産化 1121IW PKI 技術と応用商品の開発に従事 現在 サービス技術開発部に所属 セキュリティ基盤開発 G 長 専門分野 : コンピュータアーキテクチャ 情報セキュリティ 益井隆徳 1989 年入社 以来 プリンタ / デジタル複合機における 画像処理 ネットワーク機能やネットワーク MFP の開発を経て ISO15408 認証およびセキュリティ機能の開発に従事 現在 オフィスプロダクト事業本部コントローラソフトウェア開発部に所属 マネージャー 富士ゼロックステクニカルレポート No