中繼裝置、中繼方法和程序的製作方法
2023-05-29 11:25:01 1
專利名稱：中繼裝置、中繼方法和程序的製作方法
技術領域：
本發明涉及中繼裝置、中繼方法和程序。特別地，本發明涉及通過使用根據來自通信終端的訪問請求發布的票據信息接受客戶端認證來有效地實現伺服器間加密通信的中繼裝置、中繼方法和程序。
背景技術：
以往，為了將有線LAN、無線LAN以及行動電話網等區域網(LAN)與網際網路等廣域網(WAN)相連接，使用網關等中繼裝置。這樣的中繼裝置，對連接到了LAN的個人計算機(PC)、移動信息終端(PDA)以及行動電話等通信終端與連接到了WAN的Web伺服器等伺服器之間的通信進行中繼。
作為在通信終端與伺服器之間發送接收機密性高的數據的方法，提出有在通信終端與伺服器之間進行端對端加密通信的方法，以及在中繼裝置與伺服器之間進行伺服器間加密通信的方法。
在端對端加密通信中，通信終端對消息進行加密而發送，伺服器則進行解密。此外，伺服器對消息進行加密而發送，通信終端則進行解密。關於本通信方式，公開有以下那樣的中繼裝置通過向通信終端發送通信終端用於消息的加密的伺服器的公開密鑰，向伺服器發送伺服器用於消息的加密的通信終端的公開密鑰，來代行通信終端和伺服器的相互認證處理(專利文獻1)。此外，公開有中繼裝置在對已加密的消息進行解密後加以改變的技術(專利文獻2)。
另一方面，在伺服器間加密通信中，在通信終端與中繼裝置之間，通常進行非加密通信，而在中繼裝置與伺服器之間則進行加密通信。特別地，在行動電話等與伺服器之間的通信中，由於行動電話側的網絡是機密性高的封閉網絡以及通過在中繼裝置中進行加密處理而不是在行動電話中進行加密處理來提高通信性能，所以伺服器間加密通信是有效的。關於本通信方式，公開有中繼裝置管理用於通信終端的認證的證書並使用該證書在與伺服器之間進行相互認證的技術(專利文獻3)。此外，公開有這樣的技術預先將通信終端的證書註冊到證書管理伺服器內，通信終端經由中繼裝置向證書管理伺服器進行註冊，而使該證書下載到中繼裝置(專利文獻4)。此外，公開有使用通信路徑上的中繼裝置的ID來判斷中繼裝置與伺服器間的數據的合法性的技術(專利文獻5)。
此外，還公開有根據伺服器是否請求通信裝置的證書的情況，來切換端對端加密通信和伺服器間加密通信的技術(專利文獻6)。
專利文獻1特開2001-134534號公報專利文獻2特表2003-503963號公報專利文獻3特開2002-82907號公報專利文獻4特開2001-251297號公報專利文獻5特開2001-244996號公報專利文獻6特開2002-111747號公報例如，在與如行動電話網那樣、連接有多種多樣的通信終端的LAN和WAN連接的情況下，理想的是中繼裝置提供將Web頁變換為行動電話用等變換功能。此外，由於行動電話網本身機密性高以及行動電話的加密處理能力比較低，所以理想的是中繼裝置支持伺服器間加密通信。
但是，連接到行動電話網的行動電話的數量是龐大的，如果如專利文獻3和4那樣，集中管理各個行動電話用的客戶端證書，則維護·管理成本將會增加。
發明內容
於是，本發明的目的在於提供能夠解決上述問題的中繼裝置、中繼方法和程序。該目的可通過權利要求的範圍內的獨立權利要求中所記載的特徵的組合來實現。此外，從屬權利要求則限定本發明的更為有利的具體例。
根據本發明的第1方式，提供一種中繼裝置、與該中繼裝置有關的中繼方法和程序，該中繼裝置是對通信終端與伺服器之間的通信進行中繼的中繼裝置，其具備訪問請求接收部，其從上述通信終端接收對於上述伺服器的第1訪問請求；票據信息獲取部，其從外部的認證伺服器獲取用於上述伺服器根據上述第1訪問請求進行認證的、對於該第1訪問請求標識該中繼裝置的票據信息；訪問請求發送部，其對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送；訪問應答解密部，其對從使用上述票據信息對該中繼裝置進行了認證的上述伺服器接收的、對於上述第1訪問請求的加密後的第1訪問應答進行解密；以及訪問應答發送部，其向上述通信終端發送解密後的上述第1訪問應答。
另外，上述的發明的概要，並未列舉出本發明的全部的必要特徵，這些特徵組的子組合，也可成為發明。
如果採用本發明，則可以提供使用根據來自通信終端的訪問請求發布的票據信息接受客戶端認證的中繼裝置。
具體實施例方式
以下，雖然通過發明的實施方式來說明本發明，但是，以下的實施方式並不是要對權利要求的範圍內的發明進行限定，此外，在實施方式中所說明的特徵的組合的全部並不一定是發明的解決手段所必須的。
圖1示出了本實施方式的通信系統10的結構。本實施方式的通信系統10，利用中繼裝置100對第1網絡110和第2網絡150之間的通信進行中繼。並且，中繼裝置100，根據通信終端130的請求適當地分別使用端對端加密通信和伺服器間加密通信。此外，在伺服器間加密通信中，中繼裝置100自身，使用由認證伺服器170暫時地發布的一次口令等票據信息接受客戶端認證。利用這些功能，中繼裝置100就可以在多個多種多樣的通信終端130連接到了第1網絡110的環境中，對通信終端130適當地提供WAN連接環境。
通信系統10具備第1網絡110；1個或多個基站120；1個或多個通信終端130；第2網絡150；1個或多個Web伺服器160；1個或多個認證伺服器170和中繼裝置100。
第1網絡110，是通信終端130和中繼裝置100所連接到的區域網。在本實施方式中，第1網絡110，作為一個例子，是由行動電話公司提供的行動電話網等封閉網絡。基站120被連接到第1網絡110，利用無線與通信終端130進行通信，從而將通信終端130連接到第1網絡110。通信終端130例如是行動電話、移動信息終端(PDA)或者個人計算機等，其具有根據用戶的指示訪問第2網絡150上的Web伺服器160的功能。
第2網絡150，是Web伺服器160、認證伺服器170、認證中心180以及中繼裝置100所連接的廣域網。在本實施方式中，第2網絡150，作為一個例子，是網際網路等開放網絡。Web伺服器160，是本發明的伺服器的一個例子，其向訪問源的通信終端130提供Web頁等的文件或內容。此外，Web伺服器160，根據通信終端130的請求執行服務處理，並向通信終端130應答服務處理的結果。
認證伺服器170，以在中繼裝置100與Web伺服器160之間進行相互認證為條件，生成並對中繼裝置100發布Web伺服器160用於中繼裝置100的認證的一次口令等票據信息。認證中心180，發布並向中繼裝置100提供用於中繼裝置100的認證的中繼裝置100的證書(客戶端證書)。
中繼裝置100，例如是網關裝置，其被連接到第1網絡110和第2網絡150，對通信終端130與Web伺服器160之間的通信進行中繼。更具體地，中繼裝置100，接收從通信終端130對於Web伺服器160的訪問請求，並向Web伺服器160轉送。在本實施方式中，訪問請求，包括指定目的地的Web伺服器160的目的地信息和標識應當由Web伺服器160執行的服務處理的服務標識信息。
本實施方式的中繼裝置100，可以使用以下所示的非加密通信、端對端加密通信和伺服器間加密通信這3種通信方式。
(1)非加密通信是在通信終端130和Web伺服器160之間不對消息進行加密，利用明文進行發送接收的通信方式。中繼裝置100，根據從通信終端130接收到含有指示在與Web伺服器160之間利用非加密通信進行通信的通信方式指示信息的訪問請求的情況，對非加密通信進行中繼。非加密通信的訪問請求，例如，也可以是請求利用HTTP協議、用明文下載Web伺服器160內的文件或內容的「GET http://...」等訪問請求消息。
(2)端對端加密通信是在通信終端130與Web伺服器160之間對消息進行加密而發送接收且中繼裝置100進行隧道處理的通信方式，其中該隧道處理不對消息進行變換地進行中繼。也就是說，中繼裝置100，接收從通信終端130對於Web伺服器160的、加密後的訪問請求，並向Web伺服器160轉送。此外，從Web伺服器160接收對於訪問請求的、加密後的訪問應答，並保持加密後的狀態不變地向通信終端130轉送。
中繼裝置100，根據從通信終端130接收到包含指示在通信終端130與Web伺服器160之間利用端對端加密通信進行通信的通信方式指示信息的訪問請求的情況，對端對端加密通信進行中繼。端對端加密通信的訪問請求，例如，也可以包含連接請求消息，該連接請求消息包含利用HTTPS協議在通信終端130與Web伺服器160之間請求SSL連接的「CONNECThttps://...」。此外，也可以是包含指定Web伺服器160根據該訪問請求應當執行的服務程序的信息和指定向該服務程序提供的參數的信息的、例如指示利用CGI進行的腳本調用等的消息。
(3)伺服器間加密通信是在中繼裝置110與Web伺服器160之間對消息進行加密而發送接收的通信方式。也就是說，中繼裝置100，接收從通信終端130對於Web伺服器160的訪問請求，對其進行加密而向Web伺服器160發送。此外，從Web伺服器160接收對於訪問請求的、加密後的訪問應答，對其進行解密而向通信終端130發送。在這裡，中繼裝置100與通信終端130之間既可以用明文進行通信，也可以進行利用與中繼裝置100和Web伺服器160之間不同的加密密鑰/解密密鑰進行的加密通信。
中繼裝置100，根據從通信終端130接收到包含指示利用伺服器間加密通信進行通信的通信方式指示信息的訪問請求的情況，進行伺服器間加密通信。該訪問請求，例如可以是在提供給Web伺服器160的服務程序的參數中，包含對於中繼裝置100指示伺服器間加密通信的「proxy_ssl_assist＝on」等描述的CGI腳本調用等的消息。在該情況下，該訪問請求，在基於HTTP協議的訪問請求內的URL部分包含指示CGI腳本的調用以及伺服器間加密通信的CGI參數的描述。
該訪問請求，也可以代之以在基於HTTP協議的擴展HTTP標頭等中，包含指示伺服器間加密通信的「proxy_ssl_assiston」等描述。
伺服器間加密通信，可以進一步分為以下兩類。
(3-1)Web伺服器160不進行訪問源的認證的伺服器間加密通信以在訪問請求中不包含指示使Web伺服器160認證訪問源的認證指示信息為條件，中繼裝置100，作為通信終端130的代理，進行伺服器間加密通信而不接受訪問源的認證(客戶端認證)。
(3-2)Web伺服器160進行訪問源的認證的伺服器間加密通信以在訪問請求中包含指示使Web伺服器160認證訪問源的認證指示信息為條件，中繼裝置100，作為通信終端130的代理，接受客戶端認證。在本實施方式中，該訪問請求，例如，也可以是在提供給Web伺服器160的服務程序的參數中包含對於中繼裝置100指示接受客戶端認證的「proxy_authenticate＝...」等描述作為認證指示信息的CGI腳本調用等的消息。在該情況下，該訪問請求，也可以在基於HTTP協議的訪問請求內的URL部分，包含指示CGI腳本調用和接受客戶端認證的CGI參數的描述。
該訪問請求也可以代之以在基於HTTP協議的擴展HTTP標頭等中，包含指示接受客戶端認證的描述。
通過Web伺服器160進行中繼裝置100的客戶端認證，中繼裝置100進行Web伺服器160的服務認證，可以在中繼裝置100和Web伺服器160之間進行相互認證。本實施方式的中繼裝置100，對於指示接受客戶端認證的訪問請求，對認證伺服器170請求標識中繼裝置100的票據信息的發布。在這裡，包括認證指示信息的訪問請求，也可以含有標識對於該訪問請求應當發布票據信息的認證伺服器170的認證目的地信息。該認證目的地信息，例如，可以作為「proxy_authenticate＝『認證伺服器170的URL』」等，與認證指示信息具有對應關係地被描述。在該情況下，中繼裝置100，對於由認證目的地信息指定的認證伺服器170，請求票據信息的發布。
另外，中繼裝置100和認證伺服器170，在票據信息的發布之前，進行相互認證。通過對中繼裝置100進行客戶端認證，認證伺服器170可以防止對於未被許可進行Web伺服器160的服務的利用的中繼裝置100發布票據信息的情況。其結果，通信系統10可以間接地防止從未加入到服務內的通信終端130利用Web伺服器160的服務的情況。
如果採用以上所示的中繼裝置100，則可以根據訪問請求的內容，適當地分別使用非加密通信、端對端加密通信和伺服器間加密通信。此外，通過使用伺服器間加密通信，通信終端130可以無需個別地接受客戶端認證，而代之以中繼裝置100根據暫時的票據信息接受客戶端認證。為此，中繼裝置100，可以在無需個別地管理連接到機密性高的封閉網絡的各個通信終端130的客戶端證書的情況下，提供客戶端認證功能。
另外，也可以代之以上，而將中繼裝置100設置在通信終端130和Web伺服器160所共同連接到的網絡上。在該方式中，中繼裝置100，從通信終端130暫時接收對於Web伺服器160的訪問請求，並通過該網絡轉送給Web伺服器160。此外，從Web伺服器160接收對於訪問請求的訪問應答，並通過該網絡轉送給通信終端130。
圖2示出了本實施方式的中繼裝置100的結構。中繼裝置100，具備訪問請求接收部200；請求監視部205；確認請求發送部220；確認應答接收部225；認證信息獲取部210；票據信息獲取部215；服務信息存儲部230；網關·應用處理部235；訪問請求發送部240；訪問應答接收部245；應答監視部250；連結變更指示信息獲取部255；內容變換部260和訪問應答發送部265。
訪問請求接收部200，從通信終端130接收對於Web伺服器160的訪問請求。請求監視部205，根據訪問請求的內容，即例如通信方式指示信息，選擇使用非加密通信、端對端加密通信以及伺服器間加密通信中的哪一方進行通信，並進行與所選擇的通信方式對應的請求處理。在這裡，在進行非加密通信或伺服器間加密通信的情況下，請求監視部205向網關·應用處理部235轉送訪問請求，使之經由網關·應用處理部235和訪問請求發送部240被向Web伺服器160發送。
確認請求發送部220，以進行伺服器間加密通信為條件，向通信終端130的用戶請求中繼裝置100是否接受由Web伺服器160進行的客戶端認證的確認。更具體地，確認請求發送部220，對於來自通信終端130的訪問請求，向通信終端130發送對於Web伺服器160是否使之認證該中繼裝置100的確認請求，並由通信終端130的用戶進行確認。確認應答接收部225，從通信終端130接收包括用戶對確認請求的確認結果的確認應答，從而中繼裝置100獲取是否接受由Web伺服器160進行的客戶端認證的指示。接收到該確認結果，請求監視部205判斷對於Web伺服器160是否使之認證該中繼裝置100。
服務信息存儲部230，登記該中繼裝置100可以接受的各個服務處理，即各個Web伺服器160根據來自通信終端130的訪問請求應當執行的服務處理。更具體地，服務信息存儲部230，與標識服務處理的服務標識信息的各個具有對應關係地存儲通信方式許可信息、認證許可信息以及確認許可信息。通信方式許可信息，指定可在該服務處理中使用的通信方式。認證許可信息，指定對於該服務處理是否許可由Web伺服器160進行的客戶端認證。確認許可信息，指定是否向通信終端130發送由Web伺服器160進行的客戶端認證的確認請求。
認證信息獲取部210，在進行伺服器間加密通信的情況下，以在從通信終端130接收到的訪問請求內包含表示認證訪問源的意思的認證指示信息為條件，獲取該認證指示信息。另外，請求監視部205，以對於Web伺服器160不使之認證該中繼裝置100為條件，禁止認證信息獲取部210的上述動作。票據信息獲取部215，根據認證信息獲取部210所獲取的認證指示信息，從外部的認證伺服器170獲取票據信息。該票據信息，例如是一次口令，是由認證伺服器170與通信終端130的標識信息無關地分配的、用來對於該訪問請求標識中繼裝置100的標識信息。在本實施方式中，票據信息獲取部215，在與外部的認證伺服器170之間進行相互認證，獲取票據信息。
網關·應用處理部235，以進行非加密通信或伺服器間加密通信為條件，在通信終端130與Web伺服器160之間，對訪問請求和/或訪問應答進行數據變換，即例如內容變換等。例如，網關·應用處理部235，對被準備為面向個人計算機的Web伺服器160上的Web頁進行使之適合於面向作為行動電話的通信終端130等的變換處理。另外，在端對端加密通信中，網關·應用處理部235，也可以如在專利文獻2中所公開的那樣，預先獲取中繼裝置100和Web伺服器160的解密密鑰，並利用自動解碼對訪問請求和訪問應答進行數據變換。
訪問請求發送部240，經由網關·應用處理部235獲取由請求監視部205進行的請求處理輸出的訪問請求。並且，訪問請求發送部240，通過第2網絡150向Web伺服器160發送訪問請求。在這裡，以進行伺服器間加密通信為條件，訪問請求發送部240對訪問請求進行加密而向Web伺服器160發送。另外，在接受由Web伺服器160進行的客戶端認證的情況下，訪問請求發送部240，對訪問請求和由票據信息獲取部215所獲取的票據信息進行加密而向Web伺服器160發送。
訪問應答接收部245，是本發明的訪問應答解密部的一個例子，其接收Web伺服器160對於訪問請求的訪問應答。並且，訪問應答接收部245，對針對使用了伺服器間加密通信的訪問請求的訪問應答進行解密。在這裡，訪問應答接收部245接收的訪問應答，例如，包括使通信終端130顯示服務處理的處理結果的HTML等的文件和/或所訪問的內容等。該文件和內容等，也可以包括用來請求對於其他的文件和/或內容等的訪問的連結信息，即例如由超級連結或CGI實現的腳本調用等。通信終端130，在由用戶指定了該連結信息的情況下等，對Web伺服器160發送對於由該連結信息指定的文件或內容的訪問請求。
應答監視部250，根據通信方式和訪問應答的內容，進行訪問應答處理。更具體地，應答監視部250，對針對使用了非加密通信或伺服器間加密通信的訪問請求的訪問應答的標頭和內容進行分析。另一方面，應答監視部250，對於針對使用了端對端加密通信的訪問請求的訪問應答，向內容變換部260轉送而不進行內容的分析。
連結變更指示信息獲取部255，以在訪問應答的標頭或內容中包含連結變更指示信息為條件，獲取該連結變更指示信息。該連結變更指示信息可以包括指示將各連結信息變更為在對於文件或內容的連結目的地的訪問請求中、在中繼裝置100和Web伺服器160之間進行伺服器間加密通信的伺服器間加密指示信息，或者指示將各連結信息變更為在對於文件或內容的連結目的地的訪問請求中、使獲取票據信息並進行中繼裝置100與Web伺服器160之間的相互認證的相互認證指示信息。
內容變換部260，與獲取了連結變更指示信息的情況對應地，變更通過訪問應答接收到的文件或內容的各連結信息。也就是說，內容變換部260，與獲取了伺服器間加密指示信息的情況對應地，將內容內的指示加密通信的連結信息變換為指示伺服器間加密通信的連結信息。由此，通信終端130，與該連結信息的訪問被指示了的情況對應地，向中繼裝置100發送對中繼裝置100指示伺服器間加密通信的訪問請求。
此外，內容變換部260，以獲取了相互認證指示信息為條件，將內容內的各連結信息變換為指示中繼裝置100和Web伺服器160之間的相互認證的連結信息。由此，通信終端130，與該連結信息的訪問被指示了的情況對應地，向中繼裝置100發送包含認證指示信息並且指示應當從認證伺服器170獲取票據信息的情況的訪問請求。
訪問應答發送部265，接收由訪問應答接收部245接收、根據需要由應答監視部250、連結變更指示信息獲取部255、內容變換部260和網關·應用處理部235變換後的訪問應答，並通過第1網絡110發送給通信終端130。
圖3示出了本實施方式的中繼裝置100的動作流程。
首先，訪問請求接收部200，從通信終端130接收對於Web伺服器160的訪問請求(步驟S300)。接著，請求監視部205，根據訪問請求的內容，即例如通信方式指示信息，選擇通信方式(S305)。另外，訪問請求，還可以進一步包括標識Web伺服器160根據該訪問請求應當執行的服務處理的服務標識信息。在該情況下，請求監視部205，讀出與包含在訪問請求內的服務標識信息具有對應關係地存儲在服務信息存儲部230內的通信方式許可信息，並以根據訪問請求的內容選擇的通信方式的使用得到許可為條件，使用該通信方式。
接著，中繼裝置100，根據非加密通信、端對端加密通信以及伺服器間加密通信這各個通信方式，進行以下的處理。
(1)非加密通信以非加密通信方式被選擇為條件，請求監視部205，向網關·應用處理部235轉送訪問請求。網關·應用處理部235根據訪問請求進行所需的數據變換。並且，訪問請求發送部240，將從網關·應用處理部235獲取的訪問請求，不進行加密，而發送給目的地的Web伺服器160(S310)。
接著，訪問應答接收部245，用明文接收根據訪問請求、由Web伺服器160發送的訪問應答而轉送給應答監視部250，從而使處理前進到S355(S315)。
(2)端對端加密通信以端對端加密通信被選擇為條件，請求監視部205，向網關·應用處理部235轉送作為訪問請求的一部分而包含在內的連接請求消息。網關·應用處理部235，接收該連接請求消息，並通過訪問請求發送部240和訪問應答接收部245在與Web伺服器160之間發送接收消息，並在與Web伺服器160之間建立TCP連接等連接(S317)。在連接建立後，網關·應用處理部235通過訪問應答發送部265對通信終端130發送連接應答消息。
接著，通信終端130和Web伺服器160，經由中繼裝置100交換用來進行加密通信路徑的建立的數據。也就是說，例如，以進行SSL連接為條件，通信終端130發送「SSL Client Hello」消息，並從Web伺服器160接收「SSL Server Hello」消息、伺服器證書以及「Server Hello Done」消息。接著，通信終端130發送「Change Cipher Spec」消息和「Finish」消息。接著，通信終端130從Web伺服器160接收「Change Cipher Spec」和「Finish」消息。由此，就可以在通信終端130與Web伺服器160之間建立加密通信(S318)。
接著，通信終端130向中繼裝置100發送訪問Web伺服器160內的文件或內容等的、加密後的訪問請求。該訪問請求，經由請求監視部205和網關·應用處理部235被向訪問請求發送部240轉送。訪問請求發送部240，不指示伺服器間加密通信，而不在該中繼裝置100中進行加密地向Web伺服器160發送應當在通信終端130和Web伺服器160之間進行端對端加密通信的該訪問請求(S320)。
接著，訪問應答接收部245，從Web伺服器160接收對於該訪問請求的訪問應答(S325)。訪問應答接收部245，向通信終端130發送該訪問應答而不進行解密。
(3)伺服器間加密通信在伺服器間加密通信被選擇的情況下，認證信息獲取部210，以在訪問請求內、即例如在包含於該訪問請求內的參數內含有指示使Web伺服器160認證訪問源的認證指示信息為條件，獲取該認證指示信息，並使處理前進到S335(S330)。在這裡，認證信息獲取部210進一步以在訪問請求內含有認證指示信息和認證目的地信息為條件，從該訪問請求內獲取認證目的地信息。接著，確認請求發送部220，向通信終端130發送確認請求，且確認應答接收部225接收確認應答(S335)。
在這裡，確認請求發送部220，也可以根據與訪問請求對應的服務處理來判斷是否向通信終端130發送確認請求。更具體地，服務信息存儲部230預先與服務標識信息具有對應關係地存儲有指定是否許可向通信終端130發送確認請求的確認許可信息。並且，請求監視部205，以與包含於應當進行伺服器間加密通信的訪問請求內的服務標識信息對應的確認許可信息表示「許可」為條件，許可對確認請求發送部220發送確認請求。由此，確認請求發送部220，可以以與包含於訪問請求內的服務標識信息對應地存儲有許可向通信終端130發送確認請求的確認許可信息為條件，向通信終端130發送確認請求。其結果，確認應答接收部225從通信終端130接收確認應答。另一方面，以該確認許可信息表示「禁止」為條件，確認請求發送部220對通信終端130不發送確認請求。
接著，票據信息獲取部215，以在訪問請求內含有認證指示信息、Web伺服器160根據該訪問請求進行訪問源的認證為條件，對於該訪問請求從認證伺服器170獲取標識該中繼裝置100的票據信息(S340)。該票據信息，為了認證訪問源，由Web伺服器160來使用。這時，以認證目的地信息被指定為條件，票據信息獲取部215從由認證目的地信息指定的認證伺服器170獲取票據信息。
在S340，票據信息獲取部215，對於該訪問請求，與接收到表明要對於Web伺服器160使之認證該中繼裝置100的確認應答的情況相對應地，接收請求監視部205的指示而從認證伺服器170獲取票據信息。此外，以與包含於該訪問請求內的服務標識信息相對應地、在服務信息存儲部230內存儲有表示不許可向通信終端130發送確認請求的意思的確認許可信息為條件，票據信息獲取部215，從認證伺服器170獲取票據信息，接受由Web伺服器160進行的認證而無需向用戶取得確認。在這裡，票據信息獲取部215，在票據信息的獲取之前，在與認證伺服器170之間進行相互認證，從而利用加密通信獲取票據信息。
另外，在S335和S340，票據信息獲取部215也可以，以與包含於訪問請求內的服務標識信息相對應地在服務信息存儲部230內存儲有許可票據信息的獲取的認證許可信息為條件，從認證伺服器170獲取票據信息。由此，中繼裝置100，就可以僅對該中繼裝置100所加入的服務，接收票據信息的發布而接受客戶端認證。
接著，請求監視部205，經由網關·應用處理部235向訪問請求發送部240轉送訪問請求和由票據信息獲取部215獲取的票據信息。接著，訪問請求發送部240，在與Web伺服器160之間建立加密通信路徑。訪問請求發送部240，以在訪問請求內含有認證指示信息、Web伺服器160根據該訪問請求進行訪問源的認證為條件，對訪問請求和票據信息進行加密而向Web伺服器160發送(S345)。
另一方面，訪問請求發送部240，以在訪問請求內不含有認證指示信息、Web伺服器160根據該訪問請求不進行訪問源的認證為條件，對訪問請求進行加密而向Web伺服器160發送(S345)。由此，訪問請求發送部240，雖然應當進行伺服器間加密通信，但是，對於不需要客戶端認證的訪問請求，可以向Web伺服器160發送而無需利用票據信息獲取部215獲取票據信息。
接著，訪問應答接收部245，接收對於訪問請求發送部240發送的訪問請求的、加密後的訪問應答並進行解密(S350)。在這裡，在進行了客戶端認證的情況下，訪問應答接收部245從已用票據信息對該中繼裝置100進行了認證的Web伺服器160，接收對於訪問請求的加密後的訪問應答，並進行解密。
在上述(1)和(3)的情況下，由訪問應答接收部245接收到的訪問應答由訪問應答接收部245進行解密，並被轉送給應答監視部250。應答監視部250、連結變更指示信息獲取部255和內容變換部260，根據需要變更通過訪問應答接收到的文件或內容的連結信息(S355)。也就是說，應答監視部250，分析訪問應答的標頭和內容。連結變更指示信息獲取部255，獲取包含於訪問應答的標頭或內容中的連結變更指示信息。內容變換部260，根據連結變更信息，變更通過訪問應答接收到的文件或內容內的各連結信息。
更具體地，在文件或內容的連結信息中，描述包含於通信終端130與該連結信息被選擇了的情況對應地應當發送的訪問請求內的信息。並且，內容變換部260，以訪問應答包含伺服器間加密指示信息為條件，將連結信息變更為在對於連結目的地的訪問請求內含有表明應當進行伺服器間加密通信的通信方式指示信息。此外，內容變換部260，以訪問應答含有相互認證指示信息為條件，將連結信息變更為在對於連結目的地的訪問請求內含有認證指示信息、或認證指示信息和認證目的地信息。連結信息變更後的訪問應答，經由網關·應用處理部235被向訪問應答發送部265轉送。
本實施方式的訪問應答，作為伺服器間加密指示信息，既可以在擴展HTTP標頭內含有「ssl_conversionto_proxy_ssl_ssist...」的描述，也可以取而代之作為文件或內容的內容而含有該描述。此外，訪問應答，也可以在上述的伺服器間加密指示信息的「...」部分內含有相互認證指示信息。
此外，內容變換部260，以在訪問應答內至少描述有1個伺服器間加密指示信息為條件，將所有的連結信息變換為在對進行加密通信的所有的連結信息的訪問請求中指定伺服器間加密通信。例如，將指示利用HTTPS協議進行的訪問請求的發送的「https://...」的描述，變更為指示利用HTTP協議進行的訪問請求的發送的「http://...」的描述，並向CGI參數內添加「proxy_ssl_assist＝on」。此外，內容變換部260，以在訪問應答內描述有相互認證指示信息為條件，將進行伺服器間加密通信的連結信息變更為指示客戶端認證的連結信息。也就是說，例如，內容變換部260向連結信息的CGI參數內添加「proxy_path_authenticate＝～」的描述。
此外，訪問應答，作為連結變更指示信息，在對於連結目的地的訪問請求中，也可以包括指示進行端對端加密通信的端對端加密通信指示信息。在該情況下，內容變換部260，將指示進行伺服器間加密通信的所有的連結信息變更為指示進行端對端加密通信的連結信息。例如，將指示伺服器間加密通信的「http://...」變更為「https://...」，並刪除CGI參數內的「proxy_ssl_assist＝on」的描述。
在S325和S355的處理結束時，訪問應答發送部265向通信終端130發送經由網關·應用處理部235獲取的訪問應答。
如果採用以上所示的中繼裝置100，則可以根據連結變更指示信息，將連結信息變更為在與訪問應答內的各連結信息對應的訪問請求內含有指定伺服器間加密通信的通信方式指定信息、指定端對端加密通信的通信方式指定信息和/或認證指示信息。由此，Web伺服器160的管理者，通過將連結變更指示信息描述到訪問應答的標頭或各個文件或內容內的1個位置，可以由中繼裝置100一併地變更各連結信息。
圖4示出了本實施方式的通信系統10的非加密通信的序列。
首先，通信終端130，與含有例如「http://...」而不含有「proxy_ssl_assist＝on」的連結信息被選擇了的情況相對應地，對中繼裝置100發送訪問請求消息400。中繼裝置100內的請求監視部205，由於訪問請求含有「http://...」而不含有「proxy_ssl_assist＝on」，所以選擇非加密通信。其結果，中繼裝置100，不對訪問請求消息400進行加密，而作為訪問請求消息410向Web伺服器160發送。
Web伺服器160，對訪問請求消息410進行應答，而發送包括成為訪問請求消息410的對象的文件或內容的訪問應答消息420。當接收到訪問應答消息420時，中繼裝置100內的應答監視部250，分析訪問應答消息420。連結變更指示信息獲取部255，以在訪問應答消息420內含有連結變更指示信息為條件，獲取該連結變更指示信息。以獲取了連結變更指示信息為條件，內容變換部260根據連結變更指示信息變更訪問應答內的各連結信息。
以作為連結變更指示信息而獲取了伺服器間加密通信指示信息為條件，內容變換部260，將指示在通信終端130和Web伺服器160之間進行加密通信的連結信息變換為與被通信終端130的用戶選擇了的情況相對應地、使從通信終端130發送指示伺服器間加密通信的訪問請求的連結信息。
此外，以作為連結變更指示信息而獲取了相互認證指示信息為條件，內容變換部260，將內容的各連結信息變換為與被通信終端130的用戶選擇了的情況相對應地、使從通信終端130發送包括認證指示信息的第1訪問請求的連結信息。也就是說，例如，以作為連結目的地而描述有請求CGI腳本調用的URL為條件，內容變換部260，進行將「proxy_path_authenticate＝...」的描述作為認證指示信息包含於CGI參數內的變換。
此外，以作為連結變更指示信息而獲取了端對端加密通信指示信息為條件，內容變換部260，將指示進行加密通信的連結信息變換為與被通信終端130的用戶選擇了的情況相對應地、使從通信終端130發送指示端對端加密通信的訪問請求的連結信息。
並且，訪問應答發送部265，經由網關·應用處理部235獲取包括根據需要對連結信息進行了變換後的文件或內容的訪問應答，並作為訪問應答消息430向訪問源的通信終端130發送。
圖5示出了本實施方式的通信系統10的端對端通信的序列。
通信終端130，與含有例如「https://...」、表示指示端對端加密通信的訪問請求的發送的連結信息被選擇了的情況相對應地，向中繼裝置100發送指示端對端加密通信的訪問請求。作為一個例子，作為對於在圖5的訪問請求之前從通信終端130向Web伺服器160發送的訪問請求的訪問應答，中繼裝置100接收成為該訪問請求的對象的文件或內容。並且，中繼裝置100內的內容變換部260，以在訪問應答內含有端對端加密通信指示信息的情況為條件，將該文件或內容內的指示加密通信的連結信息變換為指示端對端加密通信的連結信息。在該情況下，通信終端130，之後發送指示端對端加密通信的訪問請求。
指示端對端加密通信的訪問請求，包括為了在通信終端130與Web伺服器160之間建立連接而發送的連接請求消息500、用來建立加密通信路徑的消息以及訪問請求消息540。首先，通信終端130，為了在與Web伺服器160之間建立連接，發送連接請求消息500。中繼裝置100，在接收到連接請求消息500後，在與Web伺服器160之間進行連接建立510。中繼裝置100，在連接被建立後，對通信終端130發送連接應答消息520。並且，中繼裝置100，以在通信終端130與Web伺服器160之間不變更消息的內容地進行轉送的方式被設定。其結果，通信終端130和Web伺服器160，透過地直接發送接收消息，而無需考慮中繼裝置100的存在。
接著，通信終端130和Web伺服器160，例如發送接收用於SSL連接等加密通信建立530的消息。由此，通信終端130和Web伺服器160，設定用來進行端對端加密通信的通信路徑。接著，通信終端130經由中繼裝置100向Web伺服器160發送加密後的訪問請求消息540。接著，Web伺服器160，經由中繼裝置100向通信終端130發送加密後的訪問應答消息550。
圖6示出了本實施方式的通信系統10的伺服器間加密通信的序列。
首先，通信終端130，與含有例如「http://...」、「proxy_ssl_assist＝on」以及「proxy_path_authenticate＝...」且表示指示伺服器間加密通信和客戶端認證的訪問請求的發送的連結信息被選擇了的情況相對應地，向中繼裝置100發送指示伺服器間加密通信和客戶端認證的訪問請求消息600。
作為一個例子，作為對於在圖6的訪問請求之前從通信終端130向Web伺服器160發送的訪問請求的訪問應答，中繼裝置100接收成為訪問請求的對象的文件或內容。並且，中繼裝置100內的內容變換部260，以在訪問應答內含有伺服器間加密通信指示信息為條件，將該文件或內容內的指示加密通信的連結信息變換為指示伺服器間加密通信的連結信息。在該情況下，通信終端130，發送指示伺服器間加密通信的訪問請求。
此外，以在圖6的訪問請求之前接收到的訪問應答內含有認證指示信息為條件，將該文件或內容內的指示加密通信的連結信息變換為指示接受由認證伺服器170發布的票據信息而進行客戶端認證的連結信息。在該情況下，通信終端130，發送指示在伺服器間加密通信中進行票據信息的獲取的訪問請求。
接著，中繼裝置100內的確認請求發送部220，以該訪問請求含有認證指示信息「proxy_Path_authenticate＝...」並且對於與該訪問請求對應的服務、在服務信息存儲部230內存儲有許可向用戶的確認的確認許可信息為條件，對通信終端130發送確認請求消息602。接著，接收到了確認請求消息602的通信終端130，發送確認應答消息604。
接著，票據信息獲取部215，在與認證伺服器170之間進行相互認證並且進行了加密通信建立610之後，對認證伺服器170發送票據信息請求消息620而請求票據信息。在接收到該消息之後，認證伺服器170，利用票據信息應答消息630返回票據信息。
接著，中繼裝置100和Web伺服器160，通過加密通信建立640建立加密通信路徑。接著，中繼裝置100，將訪問請求消息600和票據信息作為訪問請求消息650向Web伺服器160發送。接著，中繼裝置100，接收對於訪問請求消息650的訪問應答消息660。
中繼裝置100內的訪問應答接收部245，對所接收到的訪問應答消息660進行解密。內容變換部260，以在訪問應答消息660內含有連結變更指示信息為條件，根據連結變更指示信息變更訪問應答消息660內的各連結信息。並且，訪問應答發送部265，將由訪問應答接收部245進行了解密、由內容變換部260對連結信息進行了變更後的訪問應答消息660，作為訪問應答消息670向通信終端130發送。
圖7示出了本實施方式的通信系統10的伺服器間加密通信的序列的變形例。
在多個中繼裝置100級聯連接的情況下，由通信終端130的用戶所指定的中繼裝置100接受票據信息的發布，而接受客戶端認證。
首先，通信終端130，與圖6同樣，向第1中繼裝置100發送包括訪問請求的訪問請求消息600，該訪問請求含有指示伺服器間加密通信的通信方式指示信息和認證指示信息。接著，第1中繼裝置100，與圖6同樣，向通信終端130發送確認請求消息602，並從通信終端130接收確認應答消息604。在這裡，以通信終端130的用戶未指示對於Web伺服器160使之認證第1中繼裝置100為條件，第1中繼裝置100，對第2中繼裝置100發送訪問請求消息700而不獲取票據信息。
第2中繼裝置100，與圖6同樣，向通信終端130發送確認請求消息702，並從通信終端130接收確認應答消息704。以通信終端130的用戶指示了對於Web伺服器160使之認證第2中繼裝置100為條件，第2中繼裝置100，與圖6同樣，在與認證伺服器170之間進行加密通信建立610。然後，第2中繼裝置100，對認證伺服器170發送票據信息請求消息620，並從認證伺服器170接收票據信息應答消息630而獲取票據信息。
以下，通信終端130、Web伺服器160和中繼裝置100，與圖6的票據信息應答消息630、加密通信建立640、訪問請求消息650、訪問應答消息660以及訪問應答消息670同樣地，進行伺服器間加密通信，並向通信終端130發送訪問應答消息670。
如果採用以上所示的伺服器間加密通信的序列，則在多個中繼裝置100之中，可以利用由通信終端130的用戶所選擇的中繼裝置100接受客戶端認證。在這裡，如與圖3相關聯地示出的那樣，成為訪問請求的對象的尚未加入到服務的中繼裝置100，對於通信終端130不發送確認請求。因此，通信終端130的用戶，可以根據確認請求，適當地選擇應當接受客戶端認證的中繼裝置100。
圖8示出了在本實施方式的通信系統10中進行票據信息生成的準備的序列。首先，中繼裝置100內的網關·應用處理部235，向認證中心180發送證書發布請求消息800，委託中繼裝置100的證書的發布。在接收到證書發布請求消息800後，認證中心180，發布中繼裝置100的證書，並利用證書發布應答消息810向中繼裝置100進行通知。
接著，中繼裝置100，對於認證伺服器170發送認證中心註冊消息820，從而對認證伺服器170註冊對中繼裝置100進行認證的認證中心180。接著，中繼裝置100，利用ID字符串註冊消息830向Web伺服器160發送確定在中繼裝置100的證書的製作中使用的中繼裝置100的字符串(ID字符串)，從而向Web伺服器160進行註冊。接著，Web伺服器160向認證伺服器170發送包括由中繼裝置100註冊的ID字符串和Web伺服器160所生成的SEED字符串的SEED字符串註冊消息840，從而向認證伺服器170註冊ID字符串和SEED字符串的字符串組。
以上的處理結果，認證伺服器170保存ID字符串和SEED字符串。並且，在從中繼裝置100請求票據信息的發布時，認證伺服器170利用認證伺服器170的加密密鑰對包括ID字符串和SEED字符串的信息進行加密，並生成票據信息。另一方面，在客戶端認證中從中繼裝置100接收到該票據信息的Web伺服器160，可以通過利用認證伺服器170的解密密鑰對該票據信息進行解密，並確認ID字符串和SEED字符串的一致，來正確地對中繼裝置100進行認證。
圖9示出了本實施方式的計算機1900的結構的一個例子。本實施方式的計算機1900通過執行中繼裝置100用的程序，來作為中繼裝置100而發揮作用。計算機1900，具備具有通過主控制器2082相互地連接的CPU2000、RAM2020、圖形控制器2075和顯示裝置2080的CPU外圍部件；具有通過輸入輸出控制器2084連接到主控制器2082的通信接口2030、硬碟驅動器2040以及CD-ROM驅動器2060的輸入輸出部件；具有連接到輸入輸出控制器2084的ROM2010、軟盤驅動器2050和輸入輸出晶片2070的傳統(レガシ一)輸入輸出部件。
主控制器2082，將RAM2020和以高傳輸速率訪問RAM2020的CPU2000以及圖形控制器2075連接起來。CPU2000根據存儲在ROM2010和RAM2020內的程序進行操作，進行各個部分的控制。圖形控制器2075，獲取CPU2000等在設置在RAM2020內的幀緩衝器上生成的圖像數據，並使之顯示在顯示裝置2080上。也可以代之以圖形控制器2075在內部包括存儲CPU2000等生成的圖像數據的幀緩衝器。
輸入輸出控制器2084，將主控制器2082和作為比較高速的輸入輸出設備的通信接口2030、硬碟驅動器2040、CD-ROM驅動器2060連接起來。通信接口2030，通過網絡與其他裝置進行通信。硬碟驅動器2040，存儲計算機1900內的CPU2000所使用的程序和數據。CD-ROM驅動器2060，從CD-ROM2095讀取程序或數據，並通過RAM2020提供給硬碟驅動器2040。
此外，在輸入輸出控制器2084上，連接ROM2010和軟盤驅動器2050以及輸入輸出晶片2070等比較低速的輸入輸出設備。ROM2010，存儲計算機1900在啟動時執行的引導程序、依賴於計算機1900的硬體的程序等。軟盤驅動器2050，從軟盤2090讀取程序或數據，並通過RAM2020提供給硬碟驅動器2040。輸入輸出晶片2070，通過軟盤驅動器2050、例如並行埠、串行埠、鍵盤埠、滑鼠埠等連接各種輸入輸出設備。
通過RAM2020提供給硬碟驅動器2040的程序，被存儲在軟盤2090、CD-ROM2095或IC卡等記錄介質中而由用戶來提供。程序從記錄介質被讀出，並通過RAM2020被安裝到計算機1900內的硬碟驅動器2040內，從而在CPU2000中執行。
被安裝到計算機1900內、使計算機1900作為中繼裝置100而發揮作用的程序，包括訪問請求接收模塊、請求監視模塊、認證信息獲取模塊、票據信息獲取模塊、確認請求發送模塊、確認應答接收模塊、服務信息管理模塊、網關·應用處理模塊、訪問請求發送模塊、訪問應答接收模塊、應答監視模塊、連結變更指示信息獲取模塊、內容變換模塊、訪問應答發送模塊。
這些程序或模塊，使CPU2000等工作，而使計算機1900作為訪問請求接收部200、請求監視部205、認證信息獲取部210、票據信息獲取部215、確認請求發送部220、確認應答接收部225、服務信息存儲部230、網關·應用處理部235、訪問請求發送部240、訪問應答接收部245、應答監視部250、連結變更指示信息獲取部255、內容變換部260和訪問應答發送部265而分別發揮作用。
以上所示的程序或模塊，也可以存儲在外部的記錄介質內。作為記錄介質，除了軟盤2090、CD-ROM2095之外，還可以使用DVD、CD等光學記錄介質、MO等磁光記錄介質、磁帶介質、IC卡等半導體存儲器等。此外，也可以將設置在連接到了專用通信網路、網際網路的伺服器系統中的硬碟或RAM等記錄裝置作為記錄介質來使用，從而通過網絡將程序提供給計算機1900。
以上，雖然利用實施方式對本發明進行了說明，但是，本發明的技術範圍並不限於上述的實施方式所記載的範圍。對於本領域的技術人員來說顯而易見的，可以對上述實施方式加以多種變換或改進。施加了這樣的變換或改進後的方式，也能夠包括在本發明的技術範圍內，這從權利要求的範圍的記載可以顯而易見。
圖1示出了本發明的實施方式的通信系統10的結構；圖2示出了本發明的實施方式的中繼裝置100的結構；圖3示出了本發明的實施方式的中繼裝置100的動作流程；圖4示出了本發明的實施方式的通信系統10的非加密通信的序列；圖5示出了本發明的實施方式的通信系統10的端對端通信的序列；圖6示出了本發明的實施方式的通信系統10的伺服器間加密通信的序列；圖7示出了本發明的實施方式的通信系統10的伺服器間加密通信的序列的變形例；圖8示出了在本發明的實施方式的通信系統10中進行票據信息生成的準備的序列；以及圖9示出了本發明的實施方式的計算機1900的結構的一個例子。
符號說明10通信系統；100中繼裝置；110第1網絡；120基站；130通信終端；150第2網絡；160Web伺服器；170認證伺服器；180認證中心；200訪問請求接收部；205請求監視部；210認證信息獲取部；215票據信息獲取部；220確認請求發送部；225確認應答接收部；230服務信息存儲部；235網關·應用處理部；240訪問請求發送部；245訪問應答接收部；250應答監視部；255連結變更指示信息獲取部；260內容變換部；265訪問應答發送部；400訪問請求消息；410訪問請求消息；420訪問應答消息；430訪問應答消息；500連接請求消息；510連接建立；520連接應答消息；530加密通信建立；540訪問請求消息；550訪問應答消息；600訪問請求消息；602確認請求消息；604確認應答消息；610加密通信建立；620票據信息請求消息；630票據信息應答消息；640加密通信建立；650訪問請求消息；660訪問應答消息；670訪問應答消息；700訪問請求消息；702確認請求消息；704確認應答消息；800證書發布請求消息；810證書發布應答消息；820認證中心註冊消息；830ID字符串註冊消息；840SEED字符串註冊消息；1900計算機；2000CPU；2010ROM；2020RAM；2030通信接口；2040硬碟驅動器；2050軟盤驅動器；2060CD-ROM驅動器；2070輸入輸出晶片；2075圖形控制器；2080顯示裝置；2082主控制器；2084輸入輸出控制器；2090軟盤驅動器；2095CD-ROM。
權利要求
1.一種對通信終端與伺服器之間的通信進行中繼的中繼裝置，具備訪問請求接收部，其從上述通信終端接收對於上述伺服器的第1訪問請求；票據信息獲取部，其從外部的認證伺服器獲取用於上述伺服器根據上述第1訪問請求進行認證的、對於該第1訪問請求標識該中繼裝置的票據信息；訪問請求發送部，其對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送；訪問應答解密部，其對從使用上述票據信息對該中繼裝置進行了認證的上述伺服器接收的、對於上述第1訪問請求的加密後的第1訪問應答進行解密；以及訪問應答發送部，其向上述通信終端發送解密後的上述第1訪問應答。
2.根據權利要求1所述的中繼裝置，還具備認證信息獲取部，其以在上述第1訪問請求內含有指示使上述伺服器認證訪問源的認證指示信息為條件，獲取該認證指示信息；上述票據信息獲取部，以在上述第1訪問請求內含有上述認證指示信息為條件，從上述認證伺服器獲取上述票據信息；上述訪問請求發送部，以在上述第1訪問請求內含有上述認證指示信息為條件，對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送，並且以在上述第1訪問請求內不含有上述認證指示信息為條件，對在上述中繼裝置和上述伺服器之間應當進行加密通信的上述第1訪問請求進行加密而向上述伺服器發送；上述訪問應答解密部，接收對於上述第1訪問請求的加密後的上述訪問應答。
3.根據權利要求2所述的中繼裝置，上述第1訪問請求，含有指定上述伺服器根據該第1訪問請求應當執行的服務程序的信息和指定提供給該服務程序的參數的信息；上述認證信息獲取部，從包含於上述第1訪問請求中的上述參數內獲取上述認證指示信息。
4.根據權利要求2所述的中繼裝置，上述認證信息獲取部，進一步以在上述第1訪問請求內含有上述認證指示信息為條件，從該第1訪問請求內獲取標識對於該第1訪問請求應當發布上述票據信息的上述認證伺服器的認證目的地信息；上述票據信息獲取部，以在上述第1訪問請求內含有上述認證指示信息為條件，從由上述認證目的地信息指定的上述認證伺服器獲取上述票據信息。
5.根據權利要求2所述的中繼裝置，上述訪問應答解密部，作為對於在上述第1訪問請求之前從上述通信終端向上述伺服器發送的第2訪問請求的第2訪問應答，接收成為上述第2訪問請求的對象的內容；該中繼裝置還具備連結變更指示信息獲取部，其以在上述第2訪問應答內含有連結變更指示信息為條件，獲取該連結變更指示信息，其中該連結變更指示信息指示將各連結信息變更為在對於上述內容的連結目的地的上述第1訪問請求中使獲取上述票據信息；以及內容變換部，其以獲取了上述連結變更指示信息為條件，將上述內容的各連結信息變換為與被上述通信終端的用戶選擇了的情況相對應地、使從上述通信終端發送含有上述認證指示信息的上述第1訪問請求的連結信息；上述訪問應答發送部，向上述通信終端發送變換後的上述內容。
6.根據權利要求1所述的中繼裝置，還具備確認請求發送部，其對於上述第1訪問請求，向上述通信終端發送使上述通信終端的用戶確認是否對上述伺服器使之認證該中繼裝置的確認請求；以及確認應答接收部，其從上述通信終端接收含有上述用戶對於上述確認請求的確認結果的確認應答；上述票據信息獲取部，與接收到表示對上述伺服器使之認證該中繼裝置的上述確認應答相對應地，從上述認證伺服器獲取上述票據信息。
7.根據權利要求6所述的中繼裝置，上述伺服器應該進行訪問源的認證的上述第1訪問請求，還含有標識上述伺服器根據該第1訪問請求應當執行的服務處理的服務標識信息；該中繼裝置還具備服務信息存儲部，其與上述服務標識信息具有對應關係地存儲指定是否許可向上述通信終端發送上述確認請求的確認許可信息；在上述伺服器根據上述第1訪問請求進行認證的情況下，上述確認請求發送部，以與包含於上述第1訪問請求內的上述服務標識信息相對應地存儲有許可向上述通信終端發送上述確認請求的上述確認許可信息為條件，向上述通信終端發送上述確認請求；以對於該訪問請求接收到表示對上述伺服器使之認證該中繼裝置的上述確認應答或者與包含於上述第1訪問請求內的上述服務標識信息相對應地存儲有不許可向上述通信終端發送上述確認請求的上述確認許可信息為條件，上述票據信息獲取部，從上述認證伺服器獲取上述票據信息。
8.根據權利要求1所述的中繼裝置，上述伺服器應該進行訪問源的認證的上述第1訪問請求，還含有標識上述伺服器根據該第1訪問請求應該執行的服務處理的服務標識信息；該中繼裝置還具備服務信息存儲部，其與上述服務標識信息具有對應關係地存儲指定是否許可上述票據信息的獲取的認證許可信息；在上述伺服器根據上述第1訪問請求進行認證的情況下，上述票據信息獲取部，以與包含於上述第1訪問請求內的上述服務標識信息相對應地存儲有許可上述票據信息的獲取的上述認證許可信息為條件，從上述認證伺服器獲取上述票據信息。
9.根據權利要求1所述的中繼裝置，上述訪問應答解密部，作為對於在上述第1訪問請求之前從上述通信終端向上述伺服器發送的第2訪問請求的第2訪問應答，接收成為上述第2訪問請求的對象的內容；該中繼裝置還具備連結變更指示信息獲取部，其以在上述第2訪問應答內含有連結變更指示信息為條件，獲取該連結變更指示信息，其中該連結變更指示信息指示將各連結信息變更為在對於上述內容的連結目的地的上述第1訪問請求中、在上述中繼裝置與上述伺服器之間進行伺服器間加密通信；內容變換部，其以獲取了上述連結變更指示信息為條件，將指示在上述通信終端與上述伺服器之間進行加密通信的連結信息，變換為與被上述通信終端的用戶選擇了的情況相對應地使從上述通信終端發送指示上述伺服器間加密通信的上述第1訪問請求的連結信息；上述訪問應答發送部，向上述通信終端發送變換後的上述內容；上述票據信息獲取部，以上述伺服器根據指示上述伺服器間加密通信的上述第1訪問請求進行認證為條件，對於該第1訪問請求從上述認證伺服器獲取上述票據信息；上述訪問請求發送部，對指示上述伺服器間加密通信的上述第1訪問請求進行加密而向上述伺服器發送，而在該中繼裝置中對未指示上述伺服器間加密通信且在上述通信終端與上述伺服器之間應該進行加密通信的上述第1訪問請求不進行加密而向上述伺服器發送；上述訪問應答解密部，對針對指示上述伺服器間加密通信的上述第1訪問請求的加密後的上述第1訪問應答進行解密，而對針對未指示上述伺服器間加密通信的上述第1訪問請求的加密後的上述第1訪問應答不進行解密。
10.一種通信系統，具備與通信終端連接的第1網絡；以及與上述第1網絡和連接有伺服器的第2網絡連接、對上述通信終端與上述伺服器之間的通信進行中繼的中繼裝置；上述中繼裝置具有訪問請求接收部，其從上述通信終端接收對於上述伺服器的第1訪問請求；票據信息獲取部，其從外部的認證伺服器獲取用於上述伺服器根據上述第1訪問請求進行認證的、對於該第1訪問請求標識該中繼裝置的票據信息；訪問請求發送部，其對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送；訪問應答解密部，其對從使用上述票據信息對該中繼裝置進行了認證的上述伺服器接收的、對於上述第1訪問請求的加密後的第1訪問應答進行解密；以及訪問應答發送部，其向上述通信終端發送解密後的上述第1訪問應答。
11.根據權利要求10所述的通信系統，具備與上述第1網絡連接的第1上述中繼裝置；通過上述第1中繼裝置與上述第1網絡連接的第2上述中繼裝置；上述第1中繼裝置和第2上述中繼裝置的各個還具有確認請求發送部，其對於上述第1訪問請求，向上述通信終端發送使上述通信終端的用戶確認是否對上述伺服器使之認證該中繼裝置的確認請求；以及確認應答接收部，其從上述通信終端接收含有上述用戶對於上述確認請求的確認結果的確認應答；在上述第1中繼裝置和上述第2中繼裝置之中，接收到表示對上述伺服器使之認證該中繼裝置的上述確認應答的上述第1中繼裝置或上述第2中繼裝置的上述票據信息獲取部，從上述認證伺服器獲取上述票據信息。
12.一種對通信終端與伺服器之間的通信進行中繼的中繼裝置的中繼方法，包括訪問請求接收步驟，從上述通信終端接收對於上述伺服器的第1訪問請求；票據信息獲取步驟，從外部的認證伺服器獲取用於上述伺服器根據上述第1訪問請求進行認證的、對於該第1訪問請求標識該中繼裝置的票據信息；訪問請求發送步驟，對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送；訪問應答接收步驟，從使用上述票據信息對該中繼裝置進行了認證的上述伺服器接收對於上述第1訪問請求的加密後的第1訪問應答並進行解密；以及訪問應答發送步驟，向上述通信終端發送解密後的上述第1訪問應答。
13.一種對通信終端與伺服器之間的通信進行中繼的中繼裝置的程序，該程序使上述中繼裝置作為以下部分而發揮作用訪問請求接收部，其從上述通信終端接收對於上述伺服器的第1訪問請求；票據信息獲取部，其從外部的認證伺服器獲取用於上述伺服器根據上述第1訪問請求進行認證的、對於該第1訪問請求標識該中繼裝置的票據信息；訪問請求發送部，其對上述第1訪問請求和上述票據信息進行加密而向上述伺服器發送；訪問應答解密部，其對從使用上述票據信息對該中繼裝置進行了認證的上述伺服器接收的、對於上述第1訪問請求的加密後的第1訪問應答進行解密；以及訪問應答發送部，其向上述通信終端發送解密後的上述第1訪問應答。
全文摘要
本發明提供使用根據來自通信終端的訪問請求發布的票據信息接受客戶端認證的中繼裝置。該中繼裝置是對通信終端與伺服器之間的通信進行中繼的中繼裝置，其具備訪問請求接收部，其從通信終端接收對於伺服器的訪問請求；票據信息獲取部，其從外部的認證伺服器獲取用於伺服器根據訪問請求進行認證的、對於該訪問請求標識該中繼裝置的票據信息；訪問請求發送部，其對訪問請求和票據信息進行加密而向伺服器發送；訪問應答解密部，其接收從使用票據信息對該中繼裝置進行了認證的伺服器接收的、加密後的訪問應答並進行解密；以及訪問應答發送部，其向通信終端發送解密後的訪問應答。
文檔編號G06F21/20GK101065940SQ20058004062
公開日2007年10月31日 申請日期2005年11月24日 優先權日2004年11月29日
發明者藤原潤哉, 木下隆文 申請人:國際商業機器公司