專利名稱：網(wǎng)關(guān)服務器、加密通信的中繼方法、程序及其存儲媒體的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及加密通信的中繼方法、中繼加密通信的網(wǎng)關(guān)服務器裝置、加密通信程序及加密通信程序的存儲媒體。
背景技術(shù)：
以因特網(wǎng)為代表的網(wǎng)絡，就流經(jīng)該網(wǎng)絡的數(shù)據(jù)而言，未必是安全的，存在各種各樣的危險性。其一是盜聽。例如，存有惡意的人，只要用特殊的軟件或硬件，盜聽流經(jīng)該網(wǎng)絡的信息，這樣就能夠非法取得如在線購物時發(fā)送的他人的信用卡號等個人信息。另外，還存在服務器的冒充問題。第三者冒充已有的在線商店并準備假的訂購頁，如果利用者不意識到是假商店而輸入信用卡號等個人信息，就被非法得到信用卡號。
作為用來解決這樣的盜聽或冒充服務器問題，實現(xiàn)安全通信的技術(shù)，有基于SSL(Secure Socket Layer)或作為其后繼技術(shù)的TLS(Transport LayerSecurity)的加密通信。按照這些加密通信方法，例如進行加密通信的Web服務器和Web瀏覽器，首先在其間進行秘密密鑰的交換等信號交換，然后按加密過的通信進行其后的通信。因此，網(wǎng)絡的途中存在的中繼裝置等中，不能將其通信內(nèi)容解密。這樣，就能夠防止第三者的盜聽。
可是，如上的僅僅發(fā)送者和接收者可解讀的加密通信(下稱End-End加密通信)能確保被通信的信息的安全，但還會發(fā)生以下說明的問題。
網(wǎng)關(guān)服務器裝置，與內(nèi)部網(wǎng)和因特網(wǎng)連接，同時，又是中繼其間的通信的中繼裝置。而且，具備監(jiān)視是否從內(nèi)部網(wǎng)向因特網(wǎng)未流出例如企業(yè)的秘密文檔等或者是否從因特網(wǎng)向內(nèi)部網(wǎng)未流入病毒或其它有害的信息等的功能。另外，網(wǎng)關(guān)服務器裝置，還具備進行內(nèi)部網(wǎng)與因特網(wǎng)之間的通信數(shù)據(jù)的格式變換等服務功能。這樣的通信數(shù)據(jù)的監(jiān)視或格式變換等，常常被叫做附加價值處理，并作為網(wǎng)關(guān)服務器裝置的功能的一部分而固定下來。在提供因特網(wǎng)連接服務的ISP(因特網(wǎng)服務提供商)中，這樣的附加價值處理，是作為商業(yè)性服務來進行。
但是，網(wǎng)關(guān)服務器裝置，不能對SSL等End-End加密通信提供這樣的附加值處理的服務。即使是網(wǎng)關(guān)服務器裝置或ISP服務器，也不能解讀End-End加密通信中的密碼，而無法知道其通信內(nèi)容。因此，網(wǎng)關(guān)服務器裝置不能切斷存有惡意的第三者用SSL加密通信發(fā)送的病毒或其它有害的信息，也不能阻止用SSL加密通信使秘密文檔流出到內(nèi)部網(wǎng)之外。
作為解決該問題的軟件產(chǎn)品，WebWasher公司正在用叫做SSL掃描器的名稱來銷售這種軟件產(chǎn)品。按照其小冊子(參照非專利文獻1)，SSL掃描器被安裝在網(wǎng)關(guān)服務器裝置等內(nèi)，來監(jiān)視Web服務器(內(nèi)容服務器裝置)和Web客戶端(客戶端裝置的瀏覽器)之間的SSL加密通信，這是進行加密數(shù)據(jù)的解密的通信中繼軟件。即，SSL掃描器把SSL加密通信的加密文暫時變換為明文，就可以作為明文施加病毒檢查等附加價值處理。
在非專利文獻1中，雖然未詳細說明SSL掃描器可以擠入SSL加密通信的途中的方法或手段，但是可推測基于如下的方法的方法或手段。首先，SSL掃描器的運用管理者向用戶發(fā)布SSL掃描器的根CA(Certificate Authority證明管理機構(gòu))證書，并把該證書安裝在瀏覽器中。而后，在瀏覽器與Web服務器之間進行SSL加密通信時之際，SSL信號交換時，SSL掃描器把服務器證書發(fā)送給瀏覽器，由此，在SSL掃描器與瀏覽器之間進行SSL加密通信。
在網(wǎng)關(guān)服務器裝置中把加密通信文解密，然后對解了密的明文的通信文進行附加價值處理的例子，也存在于使用移動電話等的移動體通信中。把移動體的數(shù)據(jù)通信方法標準化的標準化團體OMA(Open Mobile Allience開放移動聯(lián)盟)，在WAP(Wireless Application Protocol無線應用協(xié)議)版本1中規(guī)定了可進行WAP瀏覽器和網(wǎng)關(guān)服務器裝置之間的加密通信的WTLS(Wireless Transport Layer Security無線傳輸層安全性)技術(shù)標準(參照非專利文獻2)。按照該WAP版本1，移動電話等移動體終端上的WAP瀏覽器，在移動電話等與連接因特網(wǎng)的網(wǎng)關(guān)服務器裝置之間進行依據(jù)WTLS的加密通信，并在網(wǎng)關(guān)服務器裝置與Web(WAP)服務器之間進行SSL加密通信。
這種情況下，網(wǎng)關(guān)服務器裝置，為了中繼雙方的加密通信文，要將各自的加密通信文暫時解密成明文。因此，網(wǎng)關(guān)服務器裝置，能夠?qū)AP標準的加密通信文自由地進行附加價值處理。即使在現(xiàn)實中，在面向移動電話的系統(tǒng)內(nèi)，網(wǎng)關(guān)服務器裝置，也在進行通信中的HTTP頭上附加特殊的頭等附加價值處理。
非專利文獻1“產(chǎn)品信息Webwasher SSL Scanner”，[online]，[平成16年8月6日檢索]，因特網(wǎng)<http//www.webwasher.jp/pro#sslscanner.html>
非專利文獻2“Wireless Transport Layer Security”，[online]，2001年4月，Wireless Application Protocol Forum，Ltd，[平成16年8月6日檢索]，因特網(wǎng)<http//www.openmobilealliance.org/tech/affiliates/wap/wap-261-wtls-20010406-a.pdf>
但是，SSL掃描器，不指定正在進行SSL加密通信的內(nèi)容服務器裝置或客戶終端，而將SSL加密通信文變換成明文，再根據(jù)需要進行附加價值處理。因此，在SSL掃描器中，不能對每個正在進行SSL加密通信的內(nèi)容服務器裝置或客戶終端裝置，變更該通信方法的設定或設定所進行的附加價值處理。另外，有這樣的問題，即WTLS加密通信，不是一般普及的方法，所以必須把可進行WTLS加密通信的功能追加到客戶終端裝置的WEB瀏覽器內(nèi)。

發(fā)明內(nèi)容
鑒于上述的現(xiàn)有技術(shù)的問題，本發(fā)明的目的在于提供這樣一種網(wǎng)關(guān)服務器裝置和加密通信的中繼方法、程序以及程序存儲媒體即不在客戶終端裝置的WEB瀏覽器內(nèi)追加特殊的功能，就能在網(wǎng)關(guān)服務器裝置中，進行針對End-End加密通信的附加價值處理，而且，能夠根據(jù)內(nèi)容服務器裝置和客戶終端裝置，變更該通信方法的設定，或設定執(zhí)行的附加價值處理。
為了實現(xiàn)上述目的，本發(fā)明的網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務器裝置之間、進行的加密通信的網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法；；其特征在于該網(wǎng)關(guān)服務器裝置，執(zhí)行如下步驟從客戶端裝置接收用來向內(nèi)容服務器裝置的加密通信的連接消息的第一步驟；生成針對包含在該連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰的第二步驟；把該暫時的加密通信中繼許可證發(fā)送到客戶端裝置的第三步驟；在與客戶端裝置之間進行End-End加密通信、接收該客戶端裝置發(fā)送的加過密的訪問請求消息、再把加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)該明文的訪問請求消息的內(nèi)容與內(nèi)容服務器裝置進行End-End加密通信、并取得訪問請求消息指示的內(nèi)容信息的第五步驟；對該取得的內(nèi)容信息及其通信頭進行附加價值處理、然后把該附加價值處理后的內(nèi)容信息及其通信頭加密后發(fā)送到客戶端裝置的第六步驟。
按照本發(fā)明，網(wǎng)關(guān)服務器裝置，接收客戶端裝置向內(nèi)容服務器裝置發(fā)送的用于加密通信的連接消息，然后生成針對客戶端裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，所以，在客戶端裝置與網(wǎng)關(guān)服務器裝置之間能夠進行End-End加密通信。另外，網(wǎng)關(guān)服務器裝置，根據(jù)由客戶端裝置發(fā)送的對內(nèi)容服務器裝置的訪問請求，進行與內(nèi)容服務器裝置之間的End-End加密通信，并可以取得客戶端裝置要求的內(nèi)容方法。即，本發(fā)明中，在客戶端裝置與內(nèi)容服務器裝置之間進行的加密通信，暫時被客戶端裝置與網(wǎng)關(guān)服務器裝置之間的加密通信終止。因此，在所終止的網(wǎng)關(guān)服務器裝置中，由于加密通信的消息被明文化，所以能夠?qū)Ρ幻魑幕南⑦M行種種附加價值處理。
在本發(fā)明中，客戶端裝置與網(wǎng)關(guān)服務器裝置之間，以及網(wǎng)關(guān)服務器裝置與內(nèi)容服務器裝置之間的通信，分別按End-End加密通信來進行。因此，即使它們之間進行著網(wǎng)絡連接，也可以保證信息的安全性。
本發(fā)明的其他加密通信的中繼方法，其特征在于在前述的加密通信的中繼方法中，網(wǎng)關(guān)服務器裝置，具備登錄暫時的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部的數(shù)據(jù)庫；并取代第二步驟執(zhí)行第七步驟，該第七步驟，以包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址之任一個或其兩方為檢索關(guān)鍵字檢索該數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從該登錄信息中讀出對所述目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下，或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成對包含在所述加密通信連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，然后把所述生成的暫時的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部登錄在數(shù)據(jù)庫中。
按照本發(fā)明，對于目的地服務器名、發(fā)送源客戶端裝置的IP地址之任一個或其對，將暫時的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限和加密通信方法名登錄在數(shù)據(jù)庫內(nèi)。只要利用該數(shù)據(jù)庫，就能夠?qū)γ總€客戶端裝置、每個內(nèi)容服務器或每個其兩方設定加密通信方法或附加價值處理。因此，就能夠進行靈活的加密通信的中繼。
無需對WEB客戶端追加特殊的功能，就能夠在網(wǎng)關(guān)服務器裝置中進行對客戶端裝置與內(nèi)容服務器裝置之間的End-End加密通信的附加價值處理，并能夠依據(jù)內(nèi)容服務器裝置和客戶端裝置，靈活地設定其間的通信方法或進行的附加價值處理，從而可實現(xiàn)靈活的加密通信的中繼。


圖1是適用本發(fā)明的網(wǎng)絡系統(tǒng)的構(gòu)成示意圖；圖2是用于適用本發(fā)明的網(wǎng)絡系統(tǒng)的信息處理裝置的構(gòu)成圖；圖3是本發(fā)明的第一實施方式的網(wǎng)關(guān)服務器裝置和數(shù)據(jù)庫服務器裝置的構(gòu)成圖；圖4是本發(fā)明的第一實施方式中網(wǎng)關(guān)服務器裝置中繼客戶端裝置與內(nèi)容服務器裝置之間的SSL加密通信的處理的流程圖；圖5是對圖4中的加密通信設定數(shù)據(jù)庫的服務器檢索處理(步驟S002)的詳細流程圖；圖6是對圖4中的加密通信設定數(shù)據(jù)庫的服務器登錄處理(步驟S010)的詳細流程圖；圖7是對圖4中的加密通信設定數(shù)據(jù)庫的服務器消除處理(步驟S008)的詳細流程圖；圖8是圖4中的分割型SSL加密通信處理(步驟S006)的詳細流程圖；圖9是圖8中的SSL加密通信處理(步驟S415)的詳細流程圖；圖10是圖8中的錯誤處理(步驟S109)的詳細流程圖；圖11是圖8中的高速緩存應答處理(步驟S408)的詳細流程圖；圖12是圖4中的用戶同意確認處理(步驟S600)的詳細流程圖；圖13是圖12的用戶同意確認處理中所使用的用戶同意確認頁的示例圖；圖14是本發(fā)明的第一實施方式中進行附加價值處理的示例圖；圖15是本發(fā)明的第二實施方式中把客戶端編組后進行代理認證的情況下的Split SSL加密通信處理的流程示例圖。
符號說明10客戶端裝置20內(nèi)容服務器裝置30網(wǎng)關(guān)服務器裝置40數(shù)據(jù)庫服務器裝置50網(wǎng)絡301HTTP代理處理部302認證局服務器部303加密通信處理部304密鑰管理部401加密通信設定數(shù)據(jù)庫1000信息處理裝置1001CPU1002存儲器1003可移動存儲媒體讀取裝置1004通信裝置1005輔助存儲裝置
1006輸入輸出裝置1008可移動存儲媒體4011服務器名字段4012通信方法字段4013客戶端IP地址字段4014有效期限字段4015加密通信中繼許可證字段4016秘密密鑰字段具體實施方式
<第一實施方式>
以下適當參照圖1～圖11詳細說明本發(fā)明的第一實施方式。
(網(wǎng)絡系統(tǒng)的構(gòu)成)圖1是適用本發(fā)明的網(wǎng)絡系統(tǒng)的構(gòu)成示意圖。圖1中，客戶端裝置10、內(nèi)容服務器裝置20、網(wǎng)關(guān)服務器裝置30和數(shù)據(jù)庫服務器裝置40分別由叫做所謂計算機的信息處理裝置構(gòu)成。
客戶端裝置10，是利用者使用的信息處理裝置，受理由利用者提出的內(nèi)容信息的訪問請求，根據(jù)該訪問請求經(jīng)網(wǎng)絡50把訪問請求信息發(fā)送到內(nèi)容服務器裝置20。內(nèi)容服務器裝置20是保管大量有用信息(內(nèi)容信息)的信息處理裝置，接收客戶端裝置10發(fā)送的訪問請求信息，并將該訪問請求消息表示的內(nèi)容信息發(fā)送到客戶端裝置10。
客戶端裝置10經(jīng)網(wǎng)絡A51、網(wǎng)關(guān)服務器裝置30、網(wǎng)絡B52連接到內(nèi)容服務器裝置20上。這里，網(wǎng)絡A51，例如是像LAN(局域網(wǎng))那樣的內(nèi)部網(wǎng)絡，網(wǎng)絡B52例如是作為公共網(wǎng)絡的因特網(wǎng)。另外，本實施方式中，在無需區(qū)別網(wǎng)絡A51和網(wǎng)絡B52的情況下，簡單地叫做網(wǎng)絡50。
網(wǎng)關(guān)服務器裝置30處于網(wǎng)絡A51和網(wǎng)絡B52之間，是中繼其間進行的通信的信息處理裝置。另外，數(shù)據(jù)庫服務器裝置40，在本實施方式中例如是利用關(guān)系型數(shù)據(jù)庫管理網(wǎng)關(guān)服務器裝置30中繼客戶端裝置10與內(nèi)容服務器裝置20之間的通信時必要的信息的信息處理裝置。對網(wǎng)關(guān)服務器裝置30和數(shù)據(jù)庫服務器裝置40另作詳細說明。
圖2是用于適用本發(fā)明的網(wǎng)絡系統(tǒng)的信息處理裝置的構(gòu)成圖。圖2中，信息處理裝置1000，包含CPU(中央處理單元)1001、由RAM(隨機存取存儲器)等半導體存儲器構(gòu)成的存儲器1002、像CD-ROM(光盤只讀存儲器)驅(qū)動器那樣的可移動存儲媒體讀取裝置1003、連接在網(wǎng)絡50上的通信裝置1004、像硬盤磁存儲裝置那樣的非揮發(fā)性大容量的輔助存儲裝置1005和鍵盤或鼠標器或顯示器等輸入輸出裝置。網(wǎng)絡50物理上由使用同軸電纜或光纜、無線等的通信線路和集線器或路由器那樣的網(wǎng)絡裝置構(gòu)成。
存儲器1002中存儲信息處理裝置1000執(zhí)行的程序。即，客戶端裝置10、內(nèi)容服務器裝置20、網(wǎng)關(guān)服務器裝置30和數(shù)據(jù)庫服務器裝置40，在各個信息處理裝置1000中，用可移動存儲媒體讀取裝置1003讀取記錄在CD-ROM等可移動存儲媒體1008內(nèi)的規(guī)定的程序，裝入存儲器1002。而后，由CPU1001執(zhí)行被裝在存儲器1002中的程序，由此來實現(xiàn)各裝置10、20、30、40中所規(guī)定的功能。
也可以由同樣連接在網(wǎng)絡50上的其他信息處理裝置1000經(jīng)網(wǎng)絡50和通信裝置1004來進行向存儲器1002的程序的裝載。作為存儲器1002使用半導體非揮發(fā)性存儲器，也可以預先把程序?qū)懭朐摪雽w非揮發(fā)性存儲器內(nèi)。如果使用向該存儲器1002的程序的裝載裝置，各裝置10、20、30、40就不一定必須具備可移動存儲媒體讀取裝置1003和輔助存儲裝置1005。例如，客戶端裝置10也可以是移動電話那樣的小型信息處理裝置1000。
圖1中，客戶端裝置10是執(zhí)行Web瀏覽器等現(xiàn)有的Web客戶端應用程序的信息處理裝置1000。即，客戶端裝置10，例如是具備因特網(wǎng)通信功能的個人計算機、移動電話等。另外，內(nèi)容服務器裝置20，是執(zhí)行現(xiàn)有的種種服務器應用程序的信息處理裝置1000。例如，是提供文檔·運動圖像數(shù)據(jù)或程序文件等的Web服務器，或是提供其他Web服務的應用服務器等。
這樣的客戶端裝置10和內(nèi)容服務器裝置20中，客戶端裝置10，首先，對內(nèi)容服務器裝置20發(fā)送要求內(nèi)容服務器裝置20存儲的文檔數(shù)據(jù)或運動圖像數(shù)據(jù)、程序文件等內(nèi)容的下載的通信消息(訪問請求)。于是，內(nèi)容服務器裝置20對此作出應答，并把客戶端裝置10要求的內(nèi)容發(fā)送到客戶端裝置10。
網(wǎng)關(guān)服務器裝置30是進行通信消息的中繼的裝置，例如，可以用Web代理服務器來實現(xiàn)。網(wǎng)關(guān)服務器裝置30把由客戶端裝置10經(jīng)由網(wǎng)絡A51發(fā)送來的通信消息中繼到內(nèi)容服務器裝置20。成為目的地的內(nèi)容服務器裝置20的信息(主機名或IP地址等)，作為內(nèi)容的URL(Uniform Resouce Locator)信息被包含在訪問請求的通信消息中。另外，網(wǎng)關(guān)服務器裝置30，往往也具備作為高速緩存存儲中繼的應答內(nèi)容的高速緩存功能。
另外，數(shù)據(jù)庫服務器裝置40，本實施方式中一并管理網(wǎng)關(guān)服務器裝置30中繼客戶端裝置10與內(nèi)容服務器裝置20之間的通信時必要的信息。數(shù)據(jù)庫服務器裝置40，例如，可以用關(guān)系型數(shù)據(jù)庫等來實現(xiàn)，可以處理來自多個網(wǎng)關(guān)服務器裝置30的數(shù)據(jù)庫檢索要求、數(shù)據(jù)登錄要求、數(shù)據(jù)消除要求等。
物理上也可以用一個信息處理裝置1000來實現(xiàn)在構(gòu)成圖1的網(wǎng)絡系統(tǒng)的各裝置10、20、30、40分別實現(xiàn)的功能。例如，數(shù)據(jù)庫服務器裝置40的功能也可以包含在網(wǎng)關(guān)服務器裝置30內(nèi)。另外，由一個裝置實現(xiàn)的功能，物理上也可以用多個裝置來實現(xiàn)。例如，也可以用經(jīng)網(wǎng)絡50與網(wǎng)關(guān)服務器裝置30通信的其他信息處理裝置1000來實現(xiàn)包含在網(wǎng)關(guān)服務器裝置30內(nèi)的功能的一部分。
(網(wǎng)關(guān)服務器裝置和數(shù)據(jù)庫服務器裝置的構(gòu)成)圖3是本實施方式中的網(wǎng)關(guān)服務器裝置和數(shù)據(jù)庫服務器裝置的構(gòu)成圖。圖3中，網(wǎng)關(guān)服務器裝置30，由HTTP(Hyper Text Transfer Protocol)代理處理部301、認證局服務器部302、加密通信處理部303、密鑰管理部304構(gòu)成。另外，數(shù)據(jù)庫服務器裝置40由加密通信設定數(shù)據(jù)庫401構(gòu)成。
HTTP代理處理部301，中繼從客戶端裝置10向內(nèi)容服務器裝置20發(fā)送的訪問請求。另外，在非加密通信中，進行高速緩存從客戶端裝置10向內(nèi)容服務器裝置20發(fā)送的應答數(shù)據(jù)等附加處理。
認證局服務器部302，對HTTP代理處理部301指示的服務器名的服務器，發(fā)行具有公開密鑰證書的形式的暫時的加密通信中繼許可證40151和生成與其成對的秘密密鑰。
加密通信處理部303，經(jīng)HTTP代理處理部301進行與客戶端裝置10或內(nèi)容服務器裝置20之間的End-End加密通信。另外，通過End-End加密通信進行從內(nèi)容服務器裝置20下載下來的內(nèi)容的高速緩存。
密鑰管理部304保管根CA認證局發(fā)行的網(wǎng)關(guān)服務器裝置30用的秘密密鑰和公開密鑰證書、用來驗證內(nèi)容服務器裝置20的公開密鑰證書的根認證局證書。
圖3中，數(shù)據(jù)庫服務器裝置40具備加密通信設定數(shù)據(jù)庫401。加密通信設定數(shù)據(jù)庫401，例如用關(guān)系型數(shù)據(jù)庫來構(gòu)建。網(wǎng)關(guān)服務器裝置30，對數(shù)據(jù)庫服務器裝置40，用SQL(Structured Query Language結(jié)構(gòu)查詢語言)語言等數(shù)據(jù)庫操作用語言來進行加密通信設定數(shù)據(jù)庫401的檢索、登錄、消除等處理。
加密通信設定數(shù)據(jù)庫401，被用來用表格形式的數(shù)據(jù)庫管理加密通信的設定。按照每個內(nèi)容服務器裝置名和客戶端IP地址來管理加密通信的設定信息。即，加密通信設定數(shù)據(jù)庫401，由服務器名字段4011、通信方法字段4012、客戶端IP地址字段4013、有效期限字段4014、加密通信中繼許可證字段4015和秘密密鑰字段4016等構(gòu)成。另外，加密通信設定數(shù)據(jù)庫401，以表目4019為單位來管理這些信息，也就是說，加密通信設定數(shù)據(jù)庫401的檢索、登錄、消除等處理以表目4019為單進行處理。另外，有時也把表目叫做記錄。
以下詳細說明加密通信設定數(shù)據(jù)庫401的各字段4011～4016。
服務器名字段4011是管理連接在網(wǎng)絡B52上的內(nèi)容服務器裝置20的主機名的字段。按照如“www.example.com”那樣的FQDN(Fully Qualified DomainName)形式或如“192.168.1.1”那樣的IP地址形式來存儲主機名。
通信方法字段4012是管理客戶端裝置10與內(nèi)容服務器裝置20之間的加密通信方法的字段。作為通信方法的例子，有客戶端裝置10與內(nèi)容服務器裝置20之間進行的通常的SSL加密通信(以下叫做“End-End SSL”方法)和分割型的SSL加密通信(以下叫做“Split SSL”方法)，該分割型的SSL加密通信，是用網(wǎng)關(guān)服務器裝置30分別終止與客戶端裝置10的SSL加密通信和與內(nèi)容服務器裝置20的SSL加密通信而將客戶端裝置10與內(nèi)容服務器裝置20之間的SSL加密通信分割后的SSL加密通信方法。即，在“Split SSL”中，客戶端裝置10與內(nèi)容服務器裝置20之間的SSL加密通信的加密通信數(shù)據(jù)，在網(wǎng)關(guān)服務器裝置30內(nèi)被暫時解密而復原成明文。
作為加密通信，除SSL加密通信之外，也可以是TLS加密通信。
客戶端IP地址字段4013是管理客戶端裝置10的IP地址的字段?？墒牵鶕?jù)網(wǎng)絡A51的系統(tǒng)，在每次通信時客戶端的IP地址可能有變動的情況，所以，在這種情況下，也可以不是管理客戶端裝置10的IP地址，而是用客戶端裝置10的認證信息(用戶ID或電話號碼等)庫來管理。在圖3的通信方法的設定例中，就其對服務器名為“A.com”和“B.com”的服務器的訪問來說，與客戶端裝置IP地址無關(guān)、適用“End-End SSL”的通信方法；另外，對于服務器名為“C.com”的服務器來說，在客戶端裝置IP地址是“192.168.A”的情況下，適用“Split SSL”通信方法；對于服務器名為“D.com”的服務器來說，在客戶端裝置IP地址是“192.168.B”的情況下，適用“Split SSL”通信方法。
有效期限字段4014，是管理各表目4019的設定的有效期限信息的字段，對于在該有效期限字段4014中有有效期限數(shù)據(jù)的表目4019來說，設定有效期限的日期(還可以包含時刻)，而對于沒有有效期限數(shù)據(jù)的表目4019，則設定“—(無有效期限)”。
加密通信中繼許可證字段4015，是管理加密通信中繼許可證40151的數(shù)據(jù)的字段，網(wǎng)關(guān)服務器裝置30，把加密通信中繼許可證的數(shù)據(jù)登錄在該加密通信中繼許可證字段4015內(nèi)。通過進行登錄，在有多個網(wǎng)關(guān)服務器裝置30的情況下，不管客戶端裝置10訪問哪個網(wǎng)關(guān)服務器裝置30，只要滿足客戶端IP地址4013或目標服務器名4011、有效期限4014等條件，就能夠從加密通信設定數(shù)據(jù)庫401內(nèi)取出同樣的加密通信中繼許可證40151，并應答客戶端裝置10。
秘密密鑰字段4016是管理秘密密鑰的數(shù)據(jù)的字段，網(wǎng)關(guān)服務器裝置30把自身的秘密密鑰數(shù)據(jù)登錄在該秘密密鑰字段4016內(nèi)。通過進行登錄，在有多個網(wǎng)關(guān)服務器裝置30的情況下，不管客戶端裝置10訪問哪個網(wǎng)關(guān)服務器裝置30，只要滿足客戶端IP地址4013或目標服務器名4011、有效期限4014等條件，就能夠從加密通信設定數(shù)據(jù)庫401內(nèi)取出同樣的秘密密鑰，并用于與客戶端裝置10的加密通信。
通過檢索加密通信設定數(shù)據(jù)庫401，就能夠取得登錄在以上各字段4011～4016內(nèi)的數(shù)據(jù)。在該檢索中，當把任意一字段的值作為檢索關(guān)鍵字來檢索加密通信設定數(shù)據(jù)庫401時，就能夠得到符合條件的表目4019的信息。在圖3的例中，網(wǎng)關(guān)服務器裝置30對數(shù)據(jù)庫服務器裝置40用『服務器名＝“A.com”』這樣的檢索關(guān)鍵字發(fā)送查詢語句時，數(shù)據(jù)庫服務器裝置40，就在加密通信設定數(shù)據(jù)庫401中檢索服務器名字段4011內(nèi)包含“A.com”的表目4019。然后，數(shù)據(jù)庫服務器裝置40，對網(wǎng)關(guān)服務器裝置30，應答諸如『通信方法＝“End-End SSL”、客戶端IP地址＝“無限制”、有效期限＝“無”、加密通信中繼許可證＝“無”、秘密密鑰＝“無”』的表目4019。另外，數(shù)據(jù)庫服務器裝置40應答的信息，也可以僅僅作為網(wǎng)關(guān)服務器裝置30必要的字段信息，可以用查詢語句的參數(shù)來指定必要的字段信息。
(SSL加密通信中繼處理)圖4是網(wǎng)關(guān)服務器裝置中繼客戶端裝置與內(nèi)容服務器裝置之間的SSL加密通信的處理的流程圖。該處理流程表示網(wǎng)關(guān)服務器裝置30確立了與客戶端裝置10TCP(Transmission Control Protocol發(fā)送控制協(xié)議)連接之后，從客戶端裝置10接收HTTP的CONNECT方法，進行通常的終端間通信(End-EndSSL加密通信)，或由網(wǎng)關(guān)服務器裝置30進行的分割型SSL通信(Split-SSL加密通信)，直到結(jié)束CONNECT方法的處理為止的狀態(tài)遷移。
圖4中，首先，網(wǎng)關(guān)服務器裝置30的HTTP代理處理部301，從客戶端裝置10，接收包含HTTP的CONNECT方法的訪問請求(步驟S001)。所謂CONNECT方法，是指示網(wǎng)關(guān)服務器裝置30對內(nèi)容服務器裝置20進行SSL加密通信用TCP連接的方法。網(wǎng)關(guān)服務器裝置30，一接收CONNECT方法就開始CONNECT接收處理。
然后，網(wǎng)關(guān)服務器裝置30的HTTP代理處理部301，從CONNECT方法的訪問請求消息中，提取出成為目的地的內(nèi)容服務器裝置20的服務器名或IP地址。例如，在接收到的HTTP的訪問請求消息的最初的行(請求行)內(nèi)有字符串“CONNECT www.example.com443 HTTP/1.1”的情況下，提取出字符串“www.example.com”，作為服務器名對待。然后，把該服務器名或IP地址作為檢索關(guān)鍵字，對數(shù)據(jù)庫服務器裝置40進行向其加密通信設定數(shù)據(jù)庫401(圖4中簡單地記載為DB)的服務器檢索處理(步驟S002)。另外，對服務器檢索處理，用圖5將另作更詳細說明。
另外，按照客戶端裝置10的設定，客戶端裝置10，往往不發(fā)送CONNECT方法，而最初把目的地的內(nèi)容服務器裝置20的IP地址設定為目的地IP地址，然后發(fā)送IP數(shù)據(jù)包，進行SSL加密通信的信號交換。在網(wǎng)關(guān)服務器裝置30接收到該IP數(shù)據(jù)包的情況下，網(wǎng)關(guān)服務器裝置30，檢查包含在IP數(shù)據(jù)包內(nèi)的TCP頭之中的目的地端口號，如果該目的地端口號是表示SSL加密通信的端口號，如443號，就認為用TCP信號交換以后的數(shù)據(jù)包來進行SSL加密通信的信號交換。然后，HTTP代理處理部301，把IP頭中的目的地IP地址，作為目的地的內(nèi)容服務器裝置20的IP地址對待，并使用該IP地址進行對數(shù)據(jù)庫服務器裝置40的服務器檢索指示(步驟S002)及其以后的處理。
接下來，用數(shù)據(jù)庫服務器裝置40中的檢索結(jié)果，來判斷檢索到的服務器是否已經(jīng)被登錄到了數(shù)據(jù)庫服務器裝置40內(nèi)(步驟S003)。其結(jié)果，在應答了服務器名字段4011內(nèi)包含檢索關(guān)鍵字的服務器信息的情況下(步驟S003中“是”)，HTTP代理處理部301，判定為在加密通信設定數(shù)據(jù)庫401內(nèi)已經(jīng)登錄完畢。在未應答包含檢索關(guān)鍵字的服務器信息的情況下(步驟S003中“否”)，判定為是未登錄的服務器。
因此，在CONNECT方法的目的地的內(nèi)容服務器裝置20的服務器名登錄完的情況下(步驟S003中“是”)，HTTP代理處理部301，接著進行有效期限檢查(步驟S004)。即，網(wǎng)關(guān)服務器裝置30，由于用軟件或硬件管理著當前的日期和時刻，所以將當前的日期和時刻與由檢索結(jié)果得到的有效期限字段4014的值相比較。
然后，該時間在有效期限內(nèi)的情況下(步驟S004中“是”)，HTTP代理處理部301，接著進行通信方法檢查(步驟S005)。例如，判定檢索結(jié)果得到的通信方法字段4012的值是“Split SSL”方法，還是“End-End SSL”方法。
如果該通信方法是“Split SSL”方法(步驟S005中“是”)，HTTP代理處理部301，進行Split SSL加密通信處理(步驟S006)。Split SSL加密通信處理，是這樣的處理，即在與客戶端裝置10的通信中，網(wǎng)關(guān)服務器裝置30作為SSL服務器而動作，終止與客戶端裝置10的SSL加密通信，并且與內(nèi)容服務器裝置20之間進行新的SSL加密通信。
然后，HTTP代理處理部301，一旦由內(nèi)容服務器裝置20或客戶端裝置10切斷TCP連接，就結(jié)束Split SSL加密通信處理?；蛘撸虺瑫r等某種理由，HTTP代理處理部301，切斷與客戶端裝置10的TCP連接和與內(nèi)容服務器裝置20的TCP連接，這樣也可以主動結(jié)束Split SSL加密通信處理。然后，網(wǎng)關(guān)服務器裝置30結(jié)束CONNECT接收處理。
另一方面，在步驟S005，通信方法是“End-End SSL”方法的情況下(步驟S005中“否”)，HTTP代理處理部301進行End-End SSL加密通信處理(步驟S007)。End-End SSL加密通信處理，是HTTP代理服務器中繼SSL加密通信的通常的通信處理方法。具體地說，首先，網(wǎng)關(guān)服務器裝置30從客戶端裝置10接收到HTTP-CONNECT方法時，對由CONNECT目標指定的內(nèi)容服務器裝置20進行TCP連接；然后，TCP信號交換正常結(jié)束之后，把表示連接結(jié)束的消息發(fā)送到客戶端裝置10。該消息，例如是在HTTP應答的最初行(狀態(tài)行)內(nèi)記述為“HTTP/1.1 200 Connection establihed”的消息。此后，把從客戶端裝置10或內(nèi)容服務器裝置20發(fā)送的應用數(shù)據(jù)，傳送到內(nèi)容服務器裝置20或客戶端裝置10。另外，，HTTP代理處理部301根據(jù)TCP連接，對TCP頭或IP頭等、應用數(shù)據(jù)以外的部分適宜地進行變換。
然后，HTTP代理處理部301，一旦由內(nèi)容服務器裝置20或客戶端裝置10切斷TCP連接，就結(jié)束End-End SSL加密通信處理?；蛘?，因超時等某種理由，HTTP代理處理部301，主動切斷與客戶端裝置10的TCP連接和與內(nèi)容服務器裝置20的TCP連接，這樣，也可以結(jié)束End-End SSL加密通信處理。然后，網(wǎng)關(guān)服務器裝置30結(jié)束CONNECT接收處理。
另外，在步驟S004中，在超過了有效期限的情況下(步驟S004中“否”)，HTTP代理處理部301，對數(shù)據(jù)庫服務器裝置40，進行加密通信設定數(shù)據(jù)庫401的相應表目4019的消除處理(步驟S008)。
然后，檢查在網(wǎng)關(guān)服務器裝置30的設定之中，內(nèi)容服務器裝置20的信息未登錄在加密通信設定數(shù)據(jù)庫401內(nèi)的情況下的SSL加密通信處理的缺省設定(步驟S009)，結(jié)果，在缺省設定是End-End SSL加密通信處理的情況下(步驟S009中“否”)，進行步驟S007的處理。
另一方面，在缺省設定是Split SSL加密通信處理(步驟S009中“否”)的情況下，對加密通信設定數(shù)據(jù)庫401進行內(nèi)容服務器裝置20的信息的登錄處理(步驟S010)。然后，在登錄處理正常結(jié)束了的情況下(步驟S011中“否”)，進行用戶同意確認處理(步驟S600)。關(guān)于用戶同意確認處理另作詳細說明。另外，在登錄處理異常結(jié)束了的情況下(步驟S011中“是”)，HTTP代理處理部301，主動切斷與客戶端裝置10的TCP連接，由此，來結(jié)束CONNECT接收處理。
另外，在步驟S003，在CONNECT方法的目的地的內(nèi)容服務器裝置20的服務器名是未登錄的情況下(步驟S003中“否”)，HTTP代理處理部301，進行步驟S009以下的處理。
圖5是對圖4中的加密通信設定數(shù)據(jù)庫的服務器檢索處理(步驟S002)的詳細流程圖。
圖5中，網(wǎng)關(guān)服務器裝置30的HTTP代理處理部301(參照圖3)，首先對數(shù)據(jù)庫服務器裝置40，以CONNECT目標服務器名和客戶端IP地址為檢索關(guān)鍵字發(fā)行查詢請求(步驟S102)。將查詢請求例如以SQL語言的形式轉(zhuǎn)交給數(shù)據(jù)庫服務器裝置40。于是，數(shù)據(jù)庫服務器裝置40，解釋該查詢請求，并把與CONNECT目標服務器名相同的值存儲在加密通信設定數(shù)據(jù)庫401的服務器名字段4011內(nèi)，而且查找在客戶端IP地址字段4013內(nèi)存儲著與客戶端IP地址同值的表目4019。而后，如果有該表目4019，就把該表目4019應答給HTTP代理處理部301(步驟S103)，如果沒有該表目4019，就應答為檢索無結(jié)果。檢索結(jié)果的應答，至少包含通信方法字段4012的值、表目4019自身的有效期限字段4014的值、加密通信中繼許可證40151、與加密通信中繼許可證40151成對的秘密密鑰40161。
圖6是對圖4中的加密通信設定數(shù)據(jù)庫的服務器登錄處理(步驟S010)的詳細流程圖。
圖6中網(wǎng)關(guān)服務器裝置30，首先生成對CONNECT目標服務器名的加密通信中繼許可證40151(步驟S201)，加密通信中繼許可證40151是用來進行End-End加密通信的服務器公開密鑰證書。服務器公開密鑰證書，基于例如國際電信聯(lián)合電信標準化部門(International Telecommunication Union-Telecommunication sectorITU-T)勸告的X.509標準。并且，其中包含有證書的發(fā)行者或主體者(所有者)、有效期限、公開密鑰信息和驗證該證書的有效性所必要的發(fā)行者的電子署名等信息。
一般，認證局(Certification AuthorityCA)對內(nèi)容服務器裝置20的運營者等發(fā)行服務器公開密鑰證書。用戶在下載了服務器公開密鑰證書時，使用服務器公開密鑰證書中的CA電子署名和用戶預先保持著的CA公開密鑰證書進行服務器公開密鑰證書的驗證，。這里，把用戶信賴的CA稱之為根CA。用戶把根CA的公開密鑰證書安裝在客戶端裝置10的瀏覽器等內(nèi)，由此，就能夠進行根CA或根CA信賴的其他CA發(fā)行的公開密鑰證書的驗證。
在下載了根CA不信賴的CA發(fā)行的公開密鑰證書的情況下，客戶端裝置10的瀏覽器會發(fā)出警告消息通知用戶。網(wǎng)關(guān)服務器裝置30的認證局服務器部302在CONNECT消息接收時每次發(fā)行加密通信中繼許可證40151和與其成對的秘密密鑰40161。加密通信中繼許可證40151的主體者是CONNECT目標內(nèi)容服務器裝置20名，發(fā)行者是網(wǎng)關(guān)服務器裝置30。
然后，HTTP代理處理部301對數(shù)據(jù)庫服務器裝置40進行表目追加請求(步驟S202)，追加的信息是CONNECT目標內(nèi)容服務器裝置20名、通信方法、客戶端IP地址、有效期限、加密通信中繼許可證40151、秘密密鑰40161等。通信方法，例如是“Split SSL”方法；有效期限，例如是根據(jù)預先設定在網(wǎng)關(guān)服務器裝置30內(nèi)的參數(shù)以把參數(shù)值追加到當前時刻上的日期和時刻進行設定。例如，CONNECT消息接收時間是『2003年7月15日12:00:00』，如果參數(shù)值是『1日』，有效期限就設定為『2003年7月16日12:00:00』。
然后，數(shù)據(jù)庫服務器裝置40向HTTP代理處理部301應答登錄處理結(jié)果(步驟S203)。
HTTP代理處理部301判定該應答結(jié)果(步驟S204)；如果登錄處理沒問題地結(jié)束了，就結(jié)束登錄處理(步驟S204中“是”)；如果登錄處理失敗，就異常結(jié)束(步驟S204中“否”)。
圖7是對圖4中的加密通信設定數(shù)據(jù)庫的服務器消除處理(步驟S008)的詳細流程圖。
HTTP代理處理部301(參照圖3)，首先對數(shù)據(jù)庫服務器裝置40進行加密通信設定數(shù)據(jù)庫401的表目消除的請求(步驟S301)。要消除的表目4019，例如是以CONNECT目標內(nèi)容服務器裝置名和客戶端IP地址為檢索關(guān)鍵字而滿足檢索條件的表目4019。
然后，數(shù)據(jù)庫服務器裝置40，向HTTP代理處理部301應答消除處理結(jié)果(步驟S302)，HTTP代理處理部301接收應答結(jié)果，結(jié)束消除處理。
圖8是圖4中的Split SSL加密通信處理(步驟S006)的詳細流程圖。
HTTP代理處理部301(參照圖3)，一開始Split SSL加密通信處理，就把加密通信處理部303作為CONNECT目標的SSL服務器進行處理，具體地說，HTTP代理處理部301，把在步驟S103得到的加密通信中繼許可證40151和秘密密鑰40161轉(zhuǎn)交給加密通信處理部303。然后，HTTP代理處理部301，把從客戶端裝置10接收到的數(shù)據(jù)，暫時寫入到存儲器1002內(nèi)。而后，加密通信處理部303從存儲器1002讀出該數(shù)據(jù)。然后通過進行其相反的處理，在客戶端裝置10與加密通信處理部303之間進行數(shù)據(jù)交接。
另外，在加密通信處理部303在與HTTP代理處理部301不同的信息處理裝置1000上動作的情況下，HTTP代理處理部301與加密通信處理部303，經(jīng)網(wǎng)絡50進行通信，進行數(shù)據(jù)的交接。HTTP代理處理部301，把從加密通信處理部303交接的數(shù)據(jù)，原樣發(fā)送到客戶端裝置10，或者追加或消除客戶端裝置10與HTTP代理處理部301的通信用的HTTP頭后發(fā)送到客戶端裝置10。另外，同樣，HTTP代理處理部301把從客戶端裝置10接收到的數(shù)據(jù)交接到加密通信處理部303。
然后，加密通信處理部303，對客戶端裝置10發(fā)送針對CONNECT方法的應答后進行SSL信號交換處理(步驟S402～S405)。在步驟S404，把服務器公開密鑰證書發(fā)送到客戶端裝置10時，取代內(nèi)容服務器裝置20的服務器公開密鑰證書，由代理發(fā)送加密通信中繼許可證40151。
接下來，加密通信處理部303從客戶端裝置10接收完成了加密的訪問請求，并進行解密(步驟S406)。這里，加密通信處理部303，解析CONNECT目標內(nèi)容服務器裝置20的服務器名和所接收到的訪問請求內(nèi)的URL，檢查訪問請求目標的內(nèi)容是否全都被高速緩存了，而后，在被高速緩存了的情況下檢查是否是在高速緩存的有效期限內(nèi)(步驟S407)。在保持著有效期限內(nèi)的高速緩存的情況下(步驟S407中“是”)，進行高速緩存應答處理(步驟S408)，結(jié)束Split SSL加密通信。
另外，在步驟S407，沒有高速緩存或即使有有效期限已期滿的情況下(步驟S407中“否”)，加密通信處理部303對CONNECT目標內(nèi)容服務器裝置20進行SSL信號交換處理(步驟S410～S412)。這里，加密通信處理部303在進行與內(nèi)容服務器裝置20的HTTP連接時，對HTTP代理處理部301發(fā)送CONNECT方法，HTTP代理處理部301解析CONNECT目標內(nèi)容服務器裝置20名后進行與相應的內(nèi)容服務器裝置20的TCP連接和SSL信號交換處理，這樣，也可以經(jīng)由HTTP代理處理部301進行與內(nèi)容服務器裝置20的通信。另外，加密通信處理部303也可以與內(nèi)容服務器裝置20進行直接TCP連接和SSL信號交換處理。然后，加密通信處理部303，判定SSL信號交換處理結(jié)果是SSL信號交換成功還是失敗(步驟S413)。
此后，在SSL信號交換處理成功的情況下(步驟S413中“是”)，進行服務器公開密鑰證書的驗證(步驟S414)；在該驗證成功的情況下(步驟S414中“是”)，進行SSL加密通信中繼處理(步驟S415)；此后，結(jié)束Split SSL加密通信處理。在步驟S413SSL信號交換處理失敗的情況下，或者，在步驟S414，公開密鑰證書的驗證失敗的情況下，進行錯誤處理(步驟S109)，并結(jié)束Split SSL加密通信處理。
圖9是圖8中的SSL加密通信處理(步驟S415)的詳細流程圖。
加密通信處理部303(參照圖3)，首先用在步驟S410～S412確立的SSL連接對CONNECT目標的內(nèi)容服務器裝置20加密發(fā)送向訪問請求目標的URL的訪問請求(步驟S501)；于是，內(nèi)容服務器裝置20把對該訪問請求的應答數(shù)據(jù)加密之后發(fā)送到加密通信處理部303(步驟S502)。
加密通信處理部303，進行接收到的數(shù)據(jù)的解密處理(步驟S503)，對該數(shù)據(jù)進行數(shù)據(jù)格式的變換或高速緩存作成等附加價值處理(步驟S504)。這里，作為附加價值處理的例子，除此之外，還有HTTP頭或內(nèi)容數(shù)據(jù)的追加或修正或消除等處理、步驟S109的HTTP錯誤處理或者按照分析內(nèi)容數(shù)據(jù)的結(jié)果的與其他服務器的通信處理等。另外，用圖14來補充說明附加價值處理的例子。
然后，加密通信處理部303，再次把與客戶端裝置10的SSL加密通信用數(shù)據(jù)加密(步驟S505)，然后發(fā)送到客戶端裝置10(步驟S506)；結(jié)束SSL加密通信中繼處理?；蛘撸诓襟ES506之后，再次接收到與步驟S406同樣的加密訪問請求的情況下，也可以重復進行步驟S406以后的處理。另外，這種情況下，也可以設置限制時間，如果超過限制時間就結(jié)束SSL中繼處理。
圖10是圖8中的錯誤處理(步驟S109)的詳細流程圖。
在網(wǎng)關(guān)服務器裝置30(參照圖3)的HTTP代理處理部301或加密通信處理部303的處理中，發(fā)生了某個錯誤的情況下，這些處理部301、303都作成HTTP錯誤消息，并發(fā)送到客戶端裝置10(步驟S701)；然后切斷與客戶端裝置10的TCP連接(步驟S702)。這里，也可以省略步驟S701。在步驟S701的處理中，各處理部301、303也可以作成錯誤日志文件并把錯誤理由輸出到該文件內(nèi)。
圖11是圖8中的高速緩存應答處理(步驟S408)的詳細流程圖。
網(wǎng)關(guān)服務器裝置30的加密通信處理部303(參照圖3)，在SSL加密通信中繼處理的步驟S504(參照圖9)等中，進行加密通信時的內(nèi)容的高速緩存，再把高速緩存數(shù)據(jù)存儲在存儲器1002或輔助存儲裝置1005等內(nèi)。在高速緩存應答處理(步驟S408)中，加密通信處理部303用該高速緩存數(shù)據(jù)作成HTTP應答數(shù)據(jù)，用在與客戶端裝置10的SSL信號交換時所作成的公共密鑰進行加密。然后，把該數(shù)據(jù)發(fā)送到客戶端裝置10(步驟S801)。
(用戶同意確認處理)圖12是圖4中的用戶同意確認處理(步驟S600)的詳細流程圖。所謂用戶同意確認處理，是就其用網(wǎng)關(guān)服務器裝置30終止并中繼加密通信，用來獲得用戶的同意的處理。
首先，網(wǎng)關(guān)服務器裝置30的加密通信處理部303(參照圖3)，對客戶端裝置10，發(fā)送重定向到以加密通信處理部303為SSL服務器的URL的指示。作為具體例，應答如下的HTTP應答狀態(tài)(步驟S601)。
“HTTP/1.1302FoundLocation//GatewayServer443/……”這里，由Location字段所表示的值，代表重定向指示目標的URL。重定向指示目標的URL的主機名，取為表示具有加密通信處理部303的網(wǎng)關(guān)服務器裝置30的主機名；URL的模式取為代表SSL等的加密通信“https”；也可以沒有URL的路徑部分。另外，加密通信處理部303，在此動態(tài)地作成用戶同意確認頁，同時也預先作成對應于該頁的路徑字符串，也可以具有把路徑與用戶同意確認頁對應起來的管理表。
然后，HTTP代理處理部301，從客戶端裝置10接收對在步驟S601指示的重定向目標URL的目的地服務器、即針對網(wǎng)關(guān)服務器裝置30自身的CONNECT(步驟S602)。
接下來，HTTP代理處理部301，進行圖4所示的CONNECT接收處理(步驟S603)，這里，在加密通信設定數(shù)據(jù)庫401內(nèi)，網(wǎng)關(guān)服務器裝置30地址的CONNECT方法預先作了進行End-End SSL加密通信處理那樣的設定。具體地說，就是預先作成有這樣的表目4019即在服務器名字段4011內(nèi)是代表具有加密通信處理部303的網(wǎng)關(guān)服務器裝置30的主機名所謂“GatewayServer”；在通信方法字段4012內(nèi)是“End-End SSL”通信方法；在客戶端IP地址字段4013和有效期限4014內(nèi)是“無指定”；在加密通信中繼許可證字段4015和秘密密鑰字段4016內(nèi)是“無數(shù)據(jù)”。
這樣，HTTP代理處理部301就把這里接收到的CONNECT方法判定為是送往網(wǎng)關(guān)服務器裝置30自身的“End-End SSL”通信方法的連接請求。然后，HTTP代理處理部301，進行用來與加密通信處理部303之間進行數(shù)據(jù)的交換的處理。以下，加密通信處理部303進行與客戶端裝置10的通信。HTTP代理處理部301，把從加密通信處理部303交換的數(shù)據(jù)，原樣發(fā)送到客戶端裝置10，或者追加或消除客戶端裝置10與HTTP代理處理部301的通信用的HTTP頭之后，發(fā)送到客戶端裝置10。此后，同樣把從客戶端裝置10接收到的數(shù)據(jù)交接給加密通信處理部303。
然后，加密通信處理部303，把對CONNECT方法的應答發(fā)送到客戶端裝置10之后，SSL信號交換處理(步驟S604、S605)；而后，在被加過密的狀態(tài)下，接收針對在步驟S601指示的重定向目的地URL的訪問請求(步驟S606)，并將其解密。
接著，加密通信處理部303，用SSL加密用戶同意確認頁，并發(fā)送到客戶端裝置10(步驟S607、S608)。所謂用戶同意確認頁，是在客戶端裝置10的瀏覽器上，就其由網(wǎng)關(guān)服務器裝置30終止并中繼加密通信，用來進行用戶的同意確認的內(nèi)容。在得到了用戶同意的情況下，在加過密的狀態(tài)下對網(wǎng)關(guān)服務器裝置30發(fā)送包含表示用戶同意的參數(shù)的訪問請求(步驟S609)。
在未得到用戶同意的情況下，在加過密的狀態(tài)下發(fā)送包含表示訪問請求未被送來或用戶拒絕的參數(shù)的訪問請求。在加密通信處理部303接收到帶拒絕參數(shù)的訪問請求的情況下，也可以進行不能進行加密通信中繼的旨意的應答。另外，把此時的CONNECT目標內(nèi)容服務器裝置名存儲起來，此后，在從客戶端裝置10接收到CONNECT方法的情況下，如果CONNECT目標內(nèi)容服務器裝置20被以前的同用戶拒絕了的場合，也可以在一定時間進行表示拒絕訪問的應答。
在步驟S609接收到訪問請求時，在步驟S607應答用戶同意確認頁之后，在經(jīng)過了規(guī)定的限制時間的情況下(步驟S610中“否”)，進行錯誤處理(步驟S109)；否則(步驟S610中“是”)，加密通信處理部303，把網(wǎng)關(guān)服務器裝置30的根CA證書(自己署名證書)加密并后發(fā)送到客戶端裝置10(步驟S611、S612)。
這里，為了把下載下來的根CA證書安裝到客戶端裝置10的瀏覽器內(nèi)，也可以使指示用戶的語句包含在同意確認頁中或發(fā)送根CA證書之前準備好的其他頁內(nèi)，由此，也可以指示把用戶下載下來的根CA證書安裝到客戶端裝置10的瀏覽器內(nèi)。然后結(jié)束用戶同意確認處理。
圖13是用戶同意確認處理中所使用的用戶同意確認頁的示例圖。
同意確認頁，是客戶端裝置10接收到同意確認頁時，客戶端裝置10的瀏覽器為了把同意確認的語句102顯示在顯示器101上所記述的內(nèi)容。作為具體例子，可以列舉出HTML頁，但是也可以不是文本文檔而是顯示語句102的應用。語句102，例如，是讓用戶選擇是否許可在網(wǎng)關(guān)服務器裝置30終止和解密加密通信(Split SSL通信)的消息。
(補充附加價值處理例)圖14是本實施方式中進行附加價值處理的示例圖。
在本實施方式中，HTTP代理處理部301，解析在步驟S406(參照圖8)的處理解密后的明文的通信數(shù)據(jù)601，并檢索是否包含特定數(shù)據(jù)排列602。圖14的例子中，檢索叫做“Layer7#Tunneling#Protocol/1.0”的字符串。這里，特定數(shù)據(jù)排列602也可以有多種。HTTP代理處理部301，在檢測到已經(jīng)完成解密的通信數(shù)據(jù)601中包含有特定數(shù)據(jù)排列602的情況下，就切斷該連接?；蛘咴诎l(fā)送了加密過的錯誤應答之后，切斷該連接。
即，客戶端裝置10解析訪問內(nèi)容服務器裝置20時的訪問請求的內(nèi)容，可以檢測非法目的的通信或?qū)⑵淝袛?。同樣，對于從客戶端裝置10向內(nèi)容服務器裝置20發(fā)送的通信數(shù)據(jù)601，也可以解析其內(nèi)容，所以，例如也能夠防止在內(nèi)部網(wǎng)絡內(nèi)作為秘密文檔管理的文檔被非法或錯誤地發(fā)送到內(nèi)部網(wǎng)絡以外。
另外，HTTP代理處理部301，解析了在步驟S503(參照圖9)的處理解密過的通信數(shù)據(jù)601之后，在該通信數(shù)據(jù)是圖象文件的情況下，作為步驟S504的處理，進行圖象變換。例如，Web瀏覽器在不支持某種格式的圖象文件的情況下，HTTP代理處理部301將其變換為Web瀏覽器支持的其他格式的圖象文件?；蛘?，根據(jù)客戶端裝置10的顯示器的圖象分辨率進行變更圖象文件的大小等處理。
同樣，通過解析從內(nèi)容服務器裝置20發(fā)送并解過密的通信數(shù)據(jù)601，就可以檢測出病毒或其他有害的信息。也可以把這種檢測有害信息的處理作為附加價值處理。在這種場合，能夠防止對連接客戶端裝置10的內(nèi)部網(wǎng)絡的有害信息的侵入。
(第一實施方式的作用和效果)在本實施方式中，在客戶端裝置10與網(wǎng)關(guān)服務器裝置30之間，和在網(wǎng)關(guān)服務器裝置30與內(nèi)容服務器裝置20之間，分別進行加密通信。因此，能夠確?？蛻舳搜b置10與內(nèi)容服務器裝置20之間的通信的安全性。
在本實施方式中，客戶端裝置10與內(nèi)容服務器裝置20之間進行的End-End加密通信，在網(wǎng)關(guān)服務器裝置30中，暫時終止加密通信，并把加過密的通信消息還原成明文。因此，能夠在通信消息中進行病毒或秘密文檔的檢測處理，并且能夠進行內(nèi)容數(shù)據(jù)的高速緩存或HTTP頭和數(shù)據(jù)的追加、變換、消除等處理。
一旦服務器公開密鑰證書的驗證失敗，就由客戶端裝置10的瀏覽器顯示內(nèi)容服務器裝置20不可靠的警告消息，但是有用戶不理解警告的含義，無視警告而進行訪問的情況。本實施方式中，在步驟S414網(wǎng)關(guān)服務器裝置30由代理進行服務器公開密鑰證書的驗證，并在驗證失敗時進行錯誤處理(步驟S109)，從而能夠?qū)Σ豢煽康膬?nèi)容服務器裝置20的訪問防患于未然。
在通過客戶端裝置10的瀏覽器，客戶端裝置10下載了不被根CA信賴的CA發(fā)行的服務器公開密鑰證書的情況下，客戶端裝置10的瀏覽器往往在證書驗證時發(fā)出警告消息來通知用戶。另外，還有拒絕向該服務器公開密鑰證書表示的內(nèi)容服務器裝置20的用加密通信的訪問的瀏覽器。在本實施方式中，因為要進行用戶同意確認處理(步驟S600)，用戶就要把網(wǎng)關(guān)服務器裝置30的根CA證書安裝在客戶端裝置10的瀏覽器內(nèi)，所以，以后，就能夠抑制在下載了網(wǎng)關(guān)服務器裝置30生成的加密通信中繼許可證4015時所表示的警告消息的顯示。而且，在證書驗證失敗時拒絕加密通信的瀏覽器中，就能夠進行與網(wǎng)關(guān)服務器裝置30的加密通信。
在本實施方式中，在網(wǎng)關(guān)服務器裝置30或數(shù)據(jù)庫服務器裝置40受到存有惡意的第三者攻擊侵入的情況下，有可能被有惡意的第三者盜取加密通信中使用的秘密密鑰或公共密鑰等。因此，通過進行用戶同意確認處理，就能夠明示地通知用戶殘留有加密通信數(shù)據(jù)盜聽和篡改等危險性。在用戶不能容許這種危險性的情況下，或者用戶不希望由網(wǎng)關(guān)服務器裝置30終止和解密加密通信的情況下，作為用戶同意確認處理中的警告消息的回答，用戶可以作出不執(zhí)行Split SSL處理的用戶自身的選擇。
或者，在加密通信設定數(shù)據(jù)庫401中，用戶使服務器名字段4011的通信方法字段4012的設定成為可變更，由此，用戶就可以對每個目的地服務器選擇使用End-End加密通信和Split SSL加密通信的哪一種。作為其優(yōu)點，用戶自身可以根據(jù)用戶的意思或通信內(nèi)容來選擇安全性和方便性的其中一方。例如，在用戶把信用卡號發(fā)送到服務器的場合等要重視安全性的情況下，可以設定End-End加密通信。相反，在網(wǎng)關(guān)服務器裝置30中根據(jù)Web瀏覽器的特性要對某個圖象內(nèi)容進行圖象變換等、用戶要重視方便性的情況下，用戶自身可以設定Split SSL加密通信。
另外，在本實施方式中，在將數(shù)據(jù)庫服務器裝置40獨立于網(wǎng)關(guān)服務器裝置30、并列有多臺網(wǎng)關(guān)服務器裝置30的情況下，能夠?qū)崿F(xiàn)網(wǎng)關(guān)服務器裝置30的負荷的分散。而且，由于可以根據(jù)來自客戶端裝置10的業(yè)務量增設網(wǎng)關(guān)服務器裝置30，所以能夠?qū)⑦m用本發(fā)明的網(wǎng)絡系統(tǒng)可縮放地擴大到數(shù)據(jù)庫服務器裝置40達到性能極限。
<第二實施方式>
然后參照15詳細說明本發(fā)明的第二實施方式。
圖15是本發(fā)明的第二實施方式中把客戶端編成組進行代理認證的情況下的Split SSL加密通信處理的流程示例圖。在本實施方式中，網(wǎng)關(guān)服務器裝置30，對客戶端裝置10，進行客戶端認證之后，對內(nèi)容服務器裝置20，使用與客戶端裝置10的客戶端證書不同的其他客戶端證書(客戶端代理證書)，來進行對應于客戶端裝置10的客戶端認證。
圖15中，網(wǎng)關(guān)服務器裝置30的加密通信處理部303(參照圖3)，對客戶端裝置10發(fā)送針對CONNECT方法的應答之后，進行SSL信號交換處理(步驟S403～S405)；在該SSL信號交換處理中，加密通信處理部303，進行步驟S404之后，從客戶端裝置10接收客戶端證書(步驟S416)；進行客戶端認證處理(步驟S417)；然后，網(wǎng)關(guān)服務器裝置30，進行客戶端的分類處理(步驟S418)。
作為客戶端的分類處理的例子，某客戶端A可以訪問某內(nèi)容服務器A，而假設不能訪問內(nèi)容服務器B，另外，另外的客戶端B可以訪問內(nèi)容服務器A和B兩方。這里，在接收到來自客戶端A的客戶端證書的情況下，分類為客戶端類別A；在接收到來自客戶端B的客戶端證書的情況下，分類為客戶端類別B。
加密通信處理部303，一旦在步驟S405結(jié)束與客戶端裝置10的SSL信號交換，此后，就在與內(nèi)容服務器裝置20之間進行TCP連接(步驟S411)；然后，與內(nèi)容服務器裝置20之間進行SSL信號交換處理(步驟S412，即，步驟S4121～S4125)；這里，加密通信處理部303，在結(jié)束了與內(nèi)容服務器裝置20的服務器認證處理(步驟S4122)之后，選擇對應步驟S418的客戶端分類的客戶端代理證書(步驟S4123)。例如，在先前的例子中，如果客戶端裝置10是客戶端A，就選擇客戶端類別A用的客戶端代理證書。
然后，加密通信處理部303，在對內(nèi)容服務器裝置20進行客戶端認證處理時，取代客戶端裝置10的客戶端證書，把在步驟S4123選擇出來的客戶端代理證書發(fā)送到內(nèi)容服務器裝置20(步驟S4124)；此后，進行通常的SSL信號交換處理(步驟S4124、S4125)；再接下來進行SSL加密通信中繼處理(步驟S415)。
在本實施方式中，內(nèi)容服務器裝置20也就是內(nèi)容提供商方，無須進行全部的客戶端的客戶端認證，只對網(wǎng)關(guān)服務器裝置30管理的客戶端網(wǎng)絡運用者方提供的客戶端類別部分的客戶端認證就可以。例如，在是1000萬人加入的ISP網(wǎng)絡系統(tǒng)的情況下，原來，內(nèi)容提供者方為了要區(qū)別1000萬人來認證客戶端，內(nèi)容服務器裝置20(內(nèi)容提供商)，必須要用來認證1000萬人的大規(guī)模的認證管理系統(tǒng)。而在本實施方式中，由網(wǎng)關(guān)服務器裝置30匯總用代理進行客戶端認證，所以，內(nèi)容提供商僅引入小規(guī)模的認證系統(tǒng)即可。
權(quán)利要求
1.一種網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法，其特征在于該方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務器裝置之間、進行的加密通信的網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法；所述網(wǎng)關(guān)服務器裝置，執(zhí)行如下步驟從所述客戶端裝置接收向所述內(nèi)容服務器裝置的加密通信連接消息的第一步驟；生成針對包含在所述連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰的第二步驟；把所述暫時的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三步驟；在與所述客戶端裝置之間進行End-End加密通信，接收該客戶端裝置發(fā)送的被加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務器裝置進行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五步驟；和對所述取得的內(nèi)容信息及其通信頭進行附加價值處理，并把該附加價值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六步驟。
2.一種網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法，其特征在于該方法，是中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務器裝置之間、進行的加密通信的網(wǎng)關(guān)服務器裝置中的加密通信的中繼方法；所述網(wǎng)關(guān)服務器裝置，具備登錄暫時的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部的數(shù)據(jù)庫；執(zhí)行如下步驟從所述客戶端裝置接收向所述內(nèi)容服務器裝置的加密通信連接消息的第一步驟；第七步驟，該步驟，以包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址之任一個或其兩方為檢索關(guān)鍵字，檢索所述數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從所述登錄信息中讀出對所述目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下、或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成針對包含在所述加密通信連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，并把所述生成的暫時的加密通信中繼許可證和與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部登錄在所述數(shù)據(jù)庫中；把所述暫時的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三步驟；在與所述客戶端裝置之間進行End-End加密通信，接收該客戶端裝置發(fā)送的被加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四步驟；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務器裝置進行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五步驟；和對所述取得的內(nèi)容信息及其通信頭進行附加價值處理，并把該附加價值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六步驟。
3.如權(quán)利要求2所述的加密通信的中繼方法，其特證在于所述數(shù)據(jù)庫，必須是被構(gòu)成在與所述網(wǎng)關(guān)服務器裝置不同的其他信息處理裝置上的數(shù)據(jù)庫。
4.如權(quán)利要求1至3的任一項所述的加密通信的中繼方法，其特證在于所述網(wǎng)關(guān)服務器裝置，在執(zhí)行所述第一步驟之后，還執(zhí)行第八步驟，該步驟，把同意確認顯示信息發(fā)送到所述客戶端裝置，該同意確認顯示信息，是用來獲得所述客戶端裝置的利用者對將從所述客戶端裝置發(fā)送的加過密的訪問請求消息解密后變換為明文的訪問請求消息的同意的信息，在從所述客戶端裝置接收到意味著所述利用者的同意確認的訪問請求的情況下，把用來驗證所述加密通信中繼許可證的根認證局證書發(fā)送到所述客戶端裝置。
5.如權(quán)利要求1至4的任一項所述的加密通信的中繼方法，其特證在于所述網(wǎng)關(guān)服務器裝置，在所述第五步驟中，所述內(nèi)容服務器裝置進行客戶端認證時，取代所述客戶端裝置發(fā)送的客戶端證書，必須將客戶端裝置編組并發(fā)送對應于該組而生成的客戶端代理證書。
6.一種網(wǎng)關(guān)服務器裝置，其特征在于該網(wǎng)關(guān)服務器裝置，中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務器裝置之間、進行的加密通信；所述網(wǎng)關(guān)服務器裝置，必須具備下述單元從所述客戶端裝置接收向所述內(nèi)容服務器裝置的加密通信連接消息的第一單元；生成針對包含在所述連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰的第二單元；把所述暫時的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三單元；在與所述客戶端裝置之間進行End-End加密通信，接收該客戶端裝置發(fā)送的加過密的訪問請求消息，并把其加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四單元；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務器裝置進行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五單元；和對所述取得的內(nèi)容信息及其通信頭進行附加價值處理，并把該附加價值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六單元。
7.一種網(wǎng)關(guān)服務器裝置，其特征在于該網(wǎng)關(guān)服務器裝置，中繼在受理利用者的內(nèi)容信息的訪問請求并將根據(jù)該訪問請求的訪問請求消息向網(wǎng)絡發(fā)送的客戶端裝置與接收從所述客戶端裝置經(jīng)所述網(wǎng)絡發(fā)送的所述訪問請求消息并向所述客戶端裝置發(fā)送表示所述訪問請求消息的內(nèi)容信息的內(nèi)容服務器裝置之間、進行的加密通信；所述網(wǎng)關(guān)服務器裝置，具備登錄暫時的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部的數(shù)據(jù)庫；必須具備下述單元從所述客戶端裝置接收向所述內(nèi)容服務器裝置的加密通信連接消息的第一單元；第七單元，該單元，以包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址之任一個或其兩方為檢索關(guān)鍵字，檢索所述數(shù)據(jù)庫，其結(jié)果，在適合于所述檢索關(guān)鍵字的登錄信息存在并且包含在該登錄信息內(nèi)的有效期限是在有效期限內(nèi)的情況下，從所述登錄信息中讀出針對所述目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，不存在適合于所述檢索關(guān)鍵字的登錄信息的情況下或者即使存在適合于所述檢索關(guān)鍵字的登錄信息而包含在該登錄信息內(nèi)的有效期限已經(jīng)期滿的情況下，生成針對包含在所述加密通信連接消息內(nèi)的目的地服務器名的內(nèi)容服務器裝置的暫時的加密通信中繼許可證和與其成對的秘密密鑰，并把所述生成的暫時的加密通信中繼許可證、與其成對的秘密密鑰、其有效期限、包含在所述加密通信連接消息內(nèi)的目的地服務器名、發(fā)送源客戶端裝置的IP地址、加密通信方法名之任一個或其全部登錄在所述數(shù)據(jù)庫中；把所述暫時的加密通信中繼許可證發(fā)送到所述客戶端裝置的第三單元；在與所述客戶端裝置之間進行End-End加密通信，接收該客戶端裝置發(fā)送的加過密的訪問請求消息，并把該加過密的訪問請求消息解密后變換成明文的訪問請求消息的第四單元；根據(jù)所述明文的訪問請求消息的內(nèi)容，與內(nèi)容服務器裝置進行End-End加密通信，并取得所述訪問請求消息指示的內(nèi)容信息的第五單元；和對所述取得的內(nèi)容信息及其通信頭進行附加價值處理，并把該附加價值處理后的所述內(nèi)容信息及其通信頭加密后發(fā)送到所述客戶端裝置的第六單元。
8.如權(quán)利要求7所述的網(wǎng)關(guān)服務器裝置，其特證在于所述數(shù)據(jù)庫，必須是被構(gòu)成在與所述網(wǎng)關(guān)服務器裝置不同的其他信息處理裝置上的數(shù)據(jù)庫。
9.如權(quán)利要求6至8任一項所述的網(wǎng)關(guān)服務器裝置，其特證在于所述網(wǎng)關(guān)服務器裝置，還必須具備第八單元，該第八單元，把同意確認顯示信息發(fā)送到所述客戶端裝置，該同意確認顯示信息，是用來獲得所述客戶端裝置的利用者對從所述客戶端裝置發(fā)送的加過密的訪問請求消息解密后變換為明文的訪問請求消息的同意的信息，在從所述客戶端裝置接收到意味著所述利用者的同意確認的訪問請求的情況下，把用來驗證所述加密通信中繼許可證的根認證局證書發(fā)送到所述客戶端裝置。
10.如權(quán)利要求6至9任一項所述的網(wǎng)關(guān)服務器裝置，其特證在于所述網(wǎng)關(guān)服務器裝置，所述第五單元，在所述內(nèi)容服務器裝置進行客戶端認證時，取代所述客戶端裝置發(fā)送的客戶端證書，必須將客戶端裝置編組并發(fā)送對應于該組而生成的客戶端代理證書。
11.一種加密通信的中繼程序，其特證在于是用來讓計算機執(zhí)行權(quán)利要求1至5任一項所述的加密通信的中繼方法的程序。
12.一種加密通信的中繼程序存儲媒體，其特征在于在計算機可讀取的可移動存儲媒體上存儲了權(quán)利要求11所述的程序。
全文摘要
無須對客戶端裝置追加特殊的功能，在網(wǎng)關(guān)服務器裝置中就能夠進行對End－End加密通信的附加價值處理，從而實現(xiàn)靈活的加密通信的中繼方法。網(wǎng)關(guān)服務器裝置30，生成暫時的加密通信許可證和與其成對的秘密密鑰，使用它們在客戶端裝置10與網(wǎng)關(guān)服務器裝置30之間進行加密通信。屆時，把加密通信中繼許可證、秘密密鑰、客戶端裝置10的IP地址、內(nèi)容服務器名、通信方法等登錄在數(shù)據(jù)庫服務器裝置40內(nèi)。然后，在與內(nèi)容服務器裝置20之間進行加密通信。因此，在網(wǎng)關(guān)服務器裝置30中，由于暫時終止加密通信，所以在此就能夠進行種種附加價值處理。
文檔編號H04L12/66GK1783778SQ20051012575
公開日2006年6月7日 申請日期2005年12月1日 優(yōu)先權(quán)日2004年12月2日
發(fā)明者竹島由晃, 小川貴央 申請人:株式會社日立制作所