前のページ 目次 次のページ

最終更新日:2002年11月25日


5.5  メッシュモデル

5.5.1  相互認証

異なる運用ポリシー(CP/CPS)を持つ CA ドメイン同士を横断して接続するために、それぞれの CA ドメインの CA を互いに認証させることができます。2つの CA が相互に認証する場合、それぞれの CA は 「相互認証(Cross Certification)」しているといいます(図 5-8)。2つの CA ドメインを接続することにより、片方の CA ドメインに所属するユーザが、もう一方の CA ドメインのユーザの証明書を検証できます。

図 5-8 相互認証

上図において、CA2 を信頼する R1 が、H1 の証明書を検証する場合、構築される認証パスは「CA2→CA1→H1」となります。

相互認証を行う場合、それぞれの CA は互いに相手の CA に対して証明書を発行します。この証明書を「相互認証証明書 (Cross Certificate)」といい、リポジトリ内に格納されます。証明書利用者は、相互認証証明書をたどることで他 CA ドメインのユーザ(証明書所有者)の証明書を検証できます(図 5-9)。

図 5-9 相互認証証明書を用いた認証パスの構築

相互認証は、2つの異なる CA ドメインを接続するものであるので、「5.1.4 信頼の制限」で解説した方法を使って慎重に実施しなければなりません。相互認証を行うには、それぞれの CA が発行する証明書の証明書ポリシー(CP) が一致する必要があります。

5.5.2  メッシュモデル

複数の CA が相互認証で接続される方式を「メッシュモデル」といいます(図 5-10)。メッシュモデルに接続する CA は、さらに階層型モデルを持つ場合もあります[63]

図 5-10 メッシュモデル

上図において、CA1 を信頼する R1 が、H1 の証明書を検証する場合、構築される認証パスは、「CA1→CA2→CA3→CA31→H1」および「CA1→CA4→CA2→CA3→CA31→1」となります。

メッシュモデルにおいては、異なる CA ドメインを柔軟に接続することができます。しかし、認証構造が複雑になるため、認証パスの構築にコストがかかってしまいます。


前のページ 目次 次のページ Copyright © 2002 Information-technology Promotion Agency, Japan. All rights reserved.