• ホーム
• 情報セキュリティ
• 暗号技術

権限管理基盤 (PMI)

公開鍵証明書による存在認証の仕組みが公開鍵認証基盤 (PKI) と呼ばれるのに対し，X.509では，属性証明書による属性認証の仕組みを権限管理基盤（PMI: Privilege Management Infrastructure）と呼び，属性認証局の階層化による権限の委譲などの高度な利用モデルも視野に入れ，拡張性の高い仕組みを規定している．

PKI の実現により，個人および法人の存在を法的な登録制度に基づいて確認することが可能となり，電子文書の改ざんや成りすましが防止され，安全な電子商取引を実現するために必要な環境が整備されつつあると言える．一方，様々な電子商取引，電子申請においては，個人の存在を正しく確認すること(存在認証) のみでは不十分で，個人に付随する資格，権利などの属性を確認すること(属性認証)が重要であると考えられる．この個人の属性を属性証明書として定義し，属性認証の仕組みを構築するのが PMI である．

属性証明書

• 属性証明書とは
  • 属性証明書 (AC: Attribute Certificate) は，その所有者の持つ属性を定義しており，属性証明書発行機関 (AA: Attribute Authority) の署名が付けられたものである．
  • 公開鍵証明書にアクセス制御に関する属性を定義することも可能であるが，
    • 公開鍵証明書の有効期限とアクセス制御のための情報の有効期限は一致しない．一般にアクセス制御のための有効期限の方が短い．
    • 公開鍵証明書の発行者とアクセス制御に関する認可者とは異なる場合が多い．公開鍵証明書の発行時に証明書に含めるアクセス制御情報に関する情報を別組織から取得する必要がある．
    ことから，アクセス制御情報のような証明書所有者の属性情報を公開鍵証明書から分離するために属性証明書が用いられる．
  • 属性証明書は，公開鍵を含まず公開鍵証明書への関連付け情報を含む．
• 属性証明書とアクセス制御
  • 権限管理基盤 (PMI)
    PMI は，ユーザーの権限を制御するためのインフラである．
  • 属性証明書（AC）
    • 属性認証機関(AA)が発行
    • 証明書に添付する主体者の属性を指定
  • 公開鍵証明書と属性証明書の関係
    • 公開鍵証明書はパスポートのようなもの
      固定的な属性は，公開鍵証明書にも入る．
    • 属性証明書はパスポートに添付する査証(ビザ)のようなもの
  • 標準的な属性
    • グループ名，役職名，セキュリティ区分など

権限管理基盤 (Privilege Management Infrastructure)

• PMI の要素
  属性証明書を生成，管理，保管，配布，失効させるために必要となるハードウェア，ソフトウェア，人々，ポリシーおよび手続のセットである．
  
  PMI は，5 タイプの要素からなる。
  • AC を発行し，失効させる属性認証局(AA: Attribute Authority)，または属性証明書発行者
  • AC を分析するかまたは処理する属性証明書ユーザ
  • AC の有効性をチェックしその結論にもとづき利用する属性証明書検証者
  • 権限付与をチェックするアクションを要求するクライアント
  • 証明書と証明書失効リスト (CRL) を保管し利用できるようにするリポジトリ

属性証明書

• 属性証明書の形式
  属性証明書は，公開鍵証明書にも用いられている X.509 証明書のフォーマットを用いる．属性証明書は，権限に関する情報を含み，属性認証機関の署名が付与される．属性認証機関の公開鍵証明書で属性内容の検証ができる．
  以下に，属性証明書の構成を示す．

  version	： バージョン
  holder	： 公開鍵証明書の発行者とシリアル番号
  issuer	： 発行者名
  signature	： 署名
  serialNumber	： シリアル番号
  atrCertValidityPeriod	： 有効期限
  attributes	： 属性タイプとその値の組合せ
  issureUniqueID	： 発行者ID（オプション）
  extentions	： 拡張（オプション）
  SignatureAlgorithm	： 署名アルゴリズムID
  SignatureValue	： 署名

• 属性タイプ
  属性証明書のバージョン 2 から，属性 (attribute) に標準的な属性タイプが用意されている．
  • Service Authentication Information
    AC検証者により利用されるAC所有者の認証情報（ユーザ名/パスワードなど）
  • Access Identity
    AC所有者についての情報
  • Charging Identity
    支払いに関する情報
  • Group
    AC所有者の属するグループ情報
  • Role
    AC所有者の権限
  • Clearance
    AC所有者のセキュリティ属性情報

／