中継処理装置、中継処理方法及びプログラム
【課題】 暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる仕組みを提供すること。
【解決手段】 クライアント端末と情報処理装置との間で通信される通信データを中継する仕組みであって、クライアント端末と通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立部と、情報処理装置と通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立部と、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、第１の確立部により第１のＳＳＬ通信を確立するクライアント端末に送信する送信部を備えることを特徴とする。
【解決手段】 クライアント端末と情報処理装置との間で通信される通信データを中継する仕組みであって、クライアント端末と通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立部と、情報処理装置と通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立部と、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、第１の確立部により第１のＳＳＬ通信を確立するクライアント端末に送信する送信部を備えることを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中継処理装置、中継処理方法及びプログラムに関し、特に、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認するための技術に関するものである。
【背景技術】
【０００２】
近年、インターネットを介した情報交換が活発になるにつれて、ウィルス・マルウェアによる被害や、企業などにおける顧客情報、営業機密等の情報漏洩による社会的信用の失墜や賠償請求による金銭的損失など、情報セキュリティにかかわる問題が深刻化している。
【０００３】
このような問題に対して、ファイアーウォールやアンチウィルスソフトをはじめとするソフトウェア、情報処理装置によって対策がとられるのが一般的になっている。
【０００４】
特に、インターネットの利用の大半を占めるＷｅｂ通信においては、企業などの組織では、ファイアーウォール、ＵＲＬフィルタリングソフト、アンチウィルスソフト、コンテンツフィルタリングソフト等のシステムによって、業務外利用と考えられるサイトへのアクセス禁止、ダウンロードデータのウィルス検査・駆除、情報漏えいと考えられる外部送信データのアクセス制御等の対策が実施されている。
【０００５】
これらの対策は、利用者の端末装置において実施されるとともに、組織内のネットワークとインターネットとの境界領域に設置された中継処理システムにおいて、中継されるデータの内容を検査することによって実現されている。
【０００６】
しかしながら、Ｗｅｂの通信プロトコルであるＨＴＴＰなどに対して暗号化機能を提供するＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）・ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信に関しては、クライアント端末（単にクライアントとも言う）とサーバの間で通信されるデータが暗号化されている。上記のようなセキュリティを管理する中継処理システムでは、当該暗号化されたデータをトンネルリング（素通し）することでしか処理できないため、通信内容を検査することができず、どのようなアプリケーションプロトコルで接続しているのか、どのような情報を送信しているのか、どのような情報をダウンロードしているか、を中継処理システムにおいて検査・制御することができない。
【０００７】
このため、組織内外の境界領域において防御壁としてセキュリティを高めるネットワークセキュリティシステム（中継処理システムなど）にとっては、通信内容の詳細な検査とアクセス制御が適用できずにいわば抜け穴となってしまっている。
【０００８】
このような問題点に対する解決策として、中間者（ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅ）手法といわれる方式（中間者方式）によって、暗号化通信の内容を中継処理システムにおいて一旦平文に戻した上で通信データの検査を実施することが、非特許文献１に記載されている。
【０００９】
通常のプロキシサーバにおいては、ＳＳＬ（ＴＬＳを含む）上のＨＴＴＰ通信（ＨＴＴＰＳ）を中継する場合、一方（例えばクライアントとプロキシサーバとの間）のトランスポート層コネクションと、もう一方（例えばプロキシサーバとＷｅｂサーバとの間）のトランスポート層コネクションを両方向に橋渡し（トンネリング）することで実現しており、この時、ＳＳＬコネクションはクライアントとＷｅｂサーバ間で確立されている。
【００１０】
これに対し、中間者方式では、クライアントとプロキシサーバとの間で１つのＳＳＬコネクションを確立し、他方のプロキシサーバとＷｅｂサーバとの間でも別のＳＳＬコネクションを確立し、両ＳＳＬコネクションとの間でアプリケーション層データ（ＨＴＴＰトランザクションデータ）を橋渡しすることで中継処理を実現している。このような形態をとることにより、中継処理システムは、暗号化された中継データ（通信データ）を一旦、復号することができ、復号化された平文データに対して検査等の処理を行うことが可能になっている。
【００１１】
また、特許文献１には、中間者方式をベースにして、クライアントがサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホストに基づいてプロキシサーバが作成し、クライアントに提供することが記載されている。
【先行技術文献】
【非特許文献】
【００１２】
【非特許文献１】Ｅｒｉｃ Ｒｅｓｃｏｒｌａ著「マスタリングＴＣＰ／ＩＰ ＳＳＬ（ＴＬＳを含む）編」オーム社 第１版 「９．１６．２ ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅプロキシ」
【特許文献１】特開２００６−１６５６７８号公報
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、非特許文献１では、クライアント側のＳＳＬコネクション（クライアント端末とプロキシサーバとの間でのＳＳＬコネクション）とＷｅｂサーバ側のＳＳＬコネクション（プロキシサーバとＷｅｂサーバとの間でのＳＳＬコネクション）とが互いに独立して異なっているため、クライアント端末がＷｅｂサーバのサーバ公開鍵証明書を取得することができず、ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証を該Ｗｅｂサーバに対して実行することが出来ない。
【００１４】
すなわち、クライアント端末は、中継処理装置（プロキシサーバ）との間のＳＳＬコネクションで提供される中継処理装置のサーバ公開鍵証明書をＷｅｂサーバの証明書として取得してしまうため、真正な証明書に基づき通信相手の真正性を確認することが難しい。このサーバ公開鍵証明書は中継処理装置のものであるので、通常は１つに固定化され、通信先であるＷｅｂサーバが異なる場合でも常に同じ証明書がクライアント端末に提供されてしまうためである。
【００１５】
また同様に、Ｗｅｂサーバは、ＳＳＬ（ＴＬＳを含む）の機能であるクライアント認証をクライアント端末に対して実行できない。Ｗｅｂサーバは、中継処理装置との間のＳＳＬコネクションで提供される中継処理装置のクライアント公開鍵証明書をクライアントの証明書として取得することしか出来ない。それゆえ、Ｗｅｂサーバは、真正な証明書に基づきクライアント端末の真正性を確認することが難しい。
【００１６】
ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証機能およびクライアント認証機能は、通信相手が正しい通信相手であるかを認証するための仕組みであり、悪意がある第三者がサーバやクライアント端末へのなりすましを行えないようにするため機能である。例えば、上記従来技術のように、サーバ認証が有効に働かないと、利用者がサーバ側のなりすましを発見することができず、本来の意図とは違う悪意のあるサーバへ機密情報、個人情報などを送信するなどの脆弱性が生じてしまう。
【００１７】
また、上記特許文献１では、クライアント端末がサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホスト名に基づいてプロキシサーバが作成し、クライアント端末に提供していることが記載されている。しかしながら、この暗号通信中継許可証も依然として、本来の接続先であるＷｅｂサーバが有する真のサーバ公開鍵証明書とは異なる。
【００１８】
すなわち、クライアント端末は、プロキシサーバが作り出して提示される、本物とは異なるサーバ公開鍵証明書を、Ｗｅｂサーバのサーバ公開鍵証明書として取得する。それゆえ、クライアント端末は、利用者はＷｅｂサーバが有する真のサーバ公開鍵証明書を確認また検証することができず、Ｗｅｂサーバのなりすましを防ぐ機能が有効に働かなくなっているといえる。
【００１９】
また、上記特許文献１では、クライアント認証に関しても、プロキシサーバが備えるクライアント公開鍵証明書をＷｅｂサーバに提示するという方法が提案されているが、クライアント端末が記憶している、クライアント端末のクライアント公開鍵証明書を、Ｗｅｂサーバに提供することができない。このため、情報提供処理装置においても真のクライアント認証を実施することができない。
【００２０】
すなわち、クライアントとプロキシサーバとの間のＳＳＬコネクションと、Ｗｅｂサーバとプロキシサーバとの間のＳＳＬコネクションとを独立して確立し、クライアント端末とＷＥＢサーバとが、プロキシサーバを介して暗号化通信を行う場合に、ＳＳＬの通信規約により、各ＳＳＬコネクションを確立する際に送受信される公開鍵証明書は、各ＳＳＬコネクションを確立する各装置間の公開鍵証明書である。それゆえ、ＳＳＬの通信規約を変更しない限り、クライアント端末は、真正な証明書に基づき通信相手（クライアント端末とＷｅｂサーバ）の真正性を確認することは出来ない。
【００２１】
また、例えば、プロキシサーバが、プロキシサーバで検査するために一旦復号されたデータに、他のデータを追加して、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信することや、プロキシサーバで記憶されているＷＥＢサーバのサーバ公開鍵証明書を、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信すること等が考えられるが、これを実現するためには、ＳＳＬの規約（ＳＳＬプロトコル）を拡張しなければ実現することはできない。
【００２２】
なぜなら、ＳＳＬプロトコルは、通信エンドポイント間での通信データの暗号化とエンティティ認証を提供することを目的とするものであり、プロキシサーバのような通信エンドポイント（クライアントとＷｅｂサーバ）以外の通信エンティティを認証するための仕組みは規定されておらず、ＳＳＬコネクションのクライアント側エンティティの公開鍵証明書（クライアント端末の公開鍵証明書）とサーバ側エンティティの公開鍵証明書（Ｗｅｂサーバの公開鍵証明書）以外の公開鍵証明書を交換する方法は規定されていないからである。また、ＳＳＬ通信でデータがカプセル化されるＨＴＴＰＳプロトコルにおいても、プロキシサーバとＷｅｂサーバとのＳＳＬ通信を確立する際にプロキシサーバが取得したＷｅｂサーバのサーバ公開鍵証明書の情報を、プロキシサーバがクライアント端末に送信するための方法が規定されていないからである。
【００２３】
そのため、従来、暗号化通信の各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にし、真正な証明書に基づき通信相手の真正性を確認することは困難であった。
【００２４】
本発明は上記の課題を解決するためになされたものであり、その目的は、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる仕組みを提供することである。
【課題を解決するための手段】
【００２５】
本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置であって、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。
【００２６】
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置の中継処理方法であって、前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。
【００２７】
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置で読み取り実行可能なプログラムであって、前記中継処理装置を、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とする。
【発明の効果】
【００２８】
本発明によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。
【図面の簡単な説明】
【００２９】
【図１】本発明の実施形態における中継処理システムの構成を示す図である。
【図２】本発明の実施形態における各種端末のハードウェア構成を示す図である。
【図３】本発明の実施形態における中継処理装置の基本的な処理フローを示す図である。
【図４】本発明の実施形態における利用者端末と中継処理装置の通信方式決定処理フローを示す図である。
【図５】本発明の実施形態における利用者端末と中継処理装置のサーバ証明書検証処理フローを示す図である。
【図６】本発明の実施形態における利用者端末と中継処理装置のクライアント認証処理フローを示す図である。
【図７】本発明の実施形態における中継処理装置のＡＰデータ中継処理フローを示す図である。
【図８】本発明の実施形態における中継処理装置の通信方式決定表の例を示す図である。
【図９】本発明の実施形態における中継処理装置のプロキシ通信方式キャッシュ表の例を示す図である。
【図１０】本発明の実施形態における中継処理装置の代理通信セッション管理表の例を示す図である。
【図１１】本発明の実施形態における中継処理システムのＳＳＬセッションを新規作成した場合の通信処理フローの例を示す図である。
【図１２】本発明の実施形態における中継処理システムのＳＳＬセッションの再利用を行った場合の通信処理フローの例を示す図である。
【図１３】本発明の実施形態における通信方式選択ダイアログボックスの例を示す図である。
【図１４】本発明の実施形態における通信方式選択ダイアログボックスの例を示す図である。
【図１５】本発明の実施形態におけるサーバ公開鍵証明書確認ダイアログボックスを示す図である。
【図１６】本発明の実施形態における利用者端末のクライアント通信方式キャッシュ表の例を示す図である。
【図１７】本発明の実施形態における利用者端末のサーバ証明書キャッシュ表の例を示す図である。
【図１８】本発明の実施形態における利用者端末の閲覧処理部の表示画面の例を示す図である。
【図１９】本発明における中継処理装置の機能ブロック図である。
【図２０】本発明における中継処理装置の機能ブロック図である。
【発明を実施するための形態】
【００３０】
以下、添付図面を参照して、本発明を好適な実施形態に従って詳細に説明する。
【００３１】
＜第１の実施形態＞
（システムの構成と管理表）
図１は、本発明の実施形態における中継処理システムの構成を示す図である。
【００３２】
尚、図１のネットワーク上に接続される各種端末と各種装置の構成は、一例であり、用途や目的に応じて様々な構成例があることは言うまでもない。
【００３３】
中継処理システムは、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０から構成される。利用者端末１１０と中継処理装置１２０、中継処理装置１２０と情報提供処理装置１５０とはそれぞれネットワークを介して相互に通信可能に接続されている。
【００３４】
利用者端末１１０は、本発明のクライアント端末の適用例である。また、中継処理装置１２０は、本発明の中継処理装置の適用例である。また、情報提供処理装置１５０は、本発明の情報処理装置の適用例である。
【００３５】
利用者端末１１０は、情報提供処理装置１５０が提供するコンテンツデータを取得し表示するために使用する情報処理装置である。利用者端末１１０は、閲覧処理部１１１と拡張機能処理部１１２と暗号鍵保存部１１３と管理表保存部１１４とＣＡ証明書保存部１１５とを備えている。
【００３６】
閲覧処理部１１１は、一般にＷｅｂブラウザと呼ばれるＨＴＴＰプロトコル、ＨＴＴＰＳプロトコルのクライアントプログラムに相当する機能処理部である。閲覧処理部１１１は、利用者からの指示を受付け、中継処理装置１２０を経由して情報提供処理装置１５０へ通信要求メッセージを送信し、該通信要求メッセージに対して情報提供処理装置１５０から応答された通信応答メッセージを受信し、該通信応答メッセージを整形したものを利用者端末１１０のＣＲＴ２１０等に表示する機能を備えている。この時、閲覧処理部１１１と中継処理装置１２０のクライアント通信部１２１との間で開設される通信コネクションをプロキシ回線１６１とする。
【００３７】
ここで、プロキシ回線１６１（第１のＳＳＬ通信）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信を示している。プロキシ回線１６１（第１のＳＳＬ通信）は、後述する制御通信（制御回線１６２）とは、異なる通信である。
【００３８】
暗号鍵保存部１１３は、利用者端末の公開鍵証明書に対応する秘密鍵を記憶する記憶領域である。
【００３９】
閲覧処理部１１１は、情報提供処理装置１５０との間でＨＴＴＰＳによる通信を行う場合で、かつ情報提供処理装置１５０からＳＳＬ（ＴＬＳを含む）のクライアント認証が要求された場合に、暗号鍵保存部１１３に記憶されている公開鍵証明書と秘密鍵を用いてクライアント認証要求に応答する機能を備えている。
【００４０】
拡張機能処理部１１２は、閲覧処理部１１１と相互に接続されており、閲覧処理部１１１の通信処理に対して割り込み処理を実行する機能を備える。また、拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８と通信することができ、ＨＴＴＰＳ通信要求イベント発生時に、該ＨＴＴＰＳ通信の通信方式を中継処理装置へ問い合わせる機能と、問い合わせた結果情報を利用者へ提示し確認もしくは選択を求める機能と、前記確認もしくは選択の結果の情報を中継処理装置へ送信する機能を備える。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がもつサーバ公開鍵証明書を制御処理通信部１２８から取得する機能と、該サーバ公開鍵証明書を検証する機能を備えている。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がクライアント認証を要求した場合には、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書情報を制御処理通信部１２８へ送信する機能と制御処理通信部１２８から送信される署名対象データ（メッセージダイジェスト）を受信し、該署名対象データに対して暗号鍵保存部１１３に記憶されているクライアント秘密鍵によって署名を行う機能と該署名データを制御処理通信部１２８へ送信する機能とを備えている。拡張機能処理部１１２と中継処理装置１２０の制御処理通信部１２８との間で開設（確立）される通信コネクションを制御回線１６２とする。
【００４１】
なお、制御回線１６２は、利用者端末１１０と中継処理装置１２０との間で、ＳＳＬによる暗号化通信の回線として開設（確立）される。これにより、利用者端末１１０は、中継処理装置１２０のなりすましを防止することが可能となる。
【００４２】
すなわち、中継処理装置１２０は、利用者端末１１０との間で制御通信（制御回線１６２）を確立する（通信確立手段）。ここで、制御通信（制御回線１６２）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信のコネクションであって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信路を示している。
【００４３】
中継処理装置１２０は、制御通信（制御回線１６２）の確立を、一般的なＳＳＬ通信の確立の手順で行う。
【００４４】
管理表保存部１１４は、クライアント通信方式キャッシュ表とサーバ証明書キャッシュ表を記憶する記憶領域である。
【００４５】
（クライアント通信方式キャッシュ表の説明）
【００４６】
クライアント通信方式キャッシュ表は、図１６で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０の閲覧処理部１１１が特定の情報提供処理装置１５０との通信方式を決定した際に該通信方式を保持するためのものである。レコードは、サーバ識別子欄と決定日時欄と通信方式欄とをもつ。
【００４７】
サーバ識別子欄は、通信先となる情報提供処理装置１５０を識別するための情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。決定日時欄は、通信方式が決定された日時情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
【００４８】
通信方式欄に保存される値としては、”直接”と”代理”との２つの種類がある。”直接”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理が行われることを意味する値である。”代理”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式で処理されることを意味する値である。
【００４９】
クライアント通信方式キャッシュ表（図１６）が保持している各レコードは、その決定日時の情報に基づきキャッシュがクリア（削除）される。例えば、利用者端末１１０により、各レコードが定期的に検査され、決定日時欄の値が検査日時と比較され適当に決められた有効時間（例えば６時間）以上古い日時を表している場合には削除される。また、利用者端末１１０の閲覧処理部１１１に相当するブラウザプロセスが終了した時には、表（図１６）のすべてのレコードが削除されるものとする。
【００５０】
利用者端末１１０は、情報提供処理装置１５０へのアクセス要求があった時、クライアント通信方式キャッシュ表を参照し、該情報提供処理装置１５０との通信方式に関する情報の再利用が可能であれば、利用者に都度通信方式の確認または選択させる処理を行わずに通信を開始することができる。
【００５１】
（サーバ証明書キャッシュ表の説明）
【００５２】
サーバ証明書キャッシュ表は、図１７で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０が代理方式でアクセスしたことがある特定の情報提供処理装置１５０との通信時に使用したＳＳＬセッションＩＤ（単にセッションＩＤとも言う）とサーバ公開鍵証明書を保持するためのものである。レコードは、サーバ識別子欄と最終利用日時欄とセッションＩＤ欄とサーバ証明書欄とをもつ。
【００５３】
サーバ識別子欄は、通信した情報提供処理装置１５０を識別するための情報で情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。最終利用日時欄は、該レコードによって表される通信処理を実施した日時情報を保存する場所である。セッションＩＤ欄は、前記通信で中継処理装置１２０から通知されたＳＳＬセッションＩＤの値を保存する場所である。サーバ証明書欄は、前記通信で中継処理装置１２０から取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。
【００５４】
サーバ証明書キャッシュ表が保持している各レコードは、定期的に検査され、通常ブラウザ等のソフトウェアである閲覧処理部１１１が管理しているＳＳＬセッションキャッシュ情報（ブラウザがＳＳＬセッション再開処理のためにキャッシュしている情報）と突き合わせ処理を行い、ＳＳＬセッションキャッシュ情報の中に同じセッションＩＤが存在しない場合には、該レコードは削除される。
【００５５】
利用者端末１１０が情報提供処理装置１５０に対して、中継処理装置１２０を経由して代理方式でアクセスする時で、かつ利用者端末１１０と中継処理装置１２０とのＳＳＬセッションでセッション再開機能が利用された場合に、利用者端末１１０がサーバ証明書キャッシュ表を参照することにより、利用者端末１１０を操作する利用者による、前記情報提供処理装置１５０のサーバ公開鍵証明書の確認のための内容表示要求に対して、都度、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を使って表示処理を行うことができる。すなわち、利用者端末１１０は、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を表示することができる。
【００５６】
ＣＡ証明書保存部１１５は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる利用者端末１１０が信頼するＣＡ証明書を記憶する記憶領域である。
【００５７】
中継処理装置１２０は、一般にプロキシサーバと呼ばれるプログラムまたは装置がもつ機能を備える情報処理装置である。中継処理装置１２０は、利用者端末１１０から送信される通信要求メッセージを受信し、宛先である情報提供処理装置１５０へ該通信要求メッセージを中継し、該情報提供処理装置１５０から応答される通信応答メッセージを、該利用者端末１１０へ中継することができる。
【００５８】
中継処理装置１２０は、クライアント通信部１２１と、サーバ通信部１２２と、クライアント側暗号処理部１２３と、通信制御部１２４と、サーバ側暗号処理部１２５と、代理用暗号鍵保存部１２６と、サーバ暗号鍵保存部１２７と、制御処理通信部１２８と、管理表保存部１２９と、付加機能処理部１３０と、ＣＡ証明書保存部１３１と、から構成される。
【００５９】
クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続要求を受け付け、通信要求メッセージを受信し、通信応答メッセージを閲覧処理部１１１に送信する機能を備える。
【００６０】
サーバ通信部１２２は、情報提供処理装置１５０のサーバ処理部１５１へ接続し、通信要求メッセージを送信し、通信応答メッセージをサーバ処理部１５１から受信する機能を備える。
【００６１】
クライアント側暗号処理部１２３は、中継処理装置１２０における通信方式が代理方式の場合に、利用者端末１１０の閲覧処理部１１１との通信回線（プロキシ回線１６１）において、ＳＳＬ（ＴＬＳを含む）を確立するためのサーバ側処理を行う機能を備える。
【００６２】
通信制御部１２４は、クライアント通信部１２１が行う処理と、クライアント側暗号処理部１２３が行う処理と、付加機能処理部１３０が行う処理と、サーバ通信部１２２が行う処理と、サーバ側暗号処理部１２５が行う処理と、制御処理通信部１２８が行う処理と、の間で同期制御処理を行う機能をもつ。また、通信制御部１２４は、該同期制御処理において関連する情報を、管理表保存部１２９へ記憶させる機能と、管理表保存部１２９を参照する機能と、を備えている。
【００６３】
サーバ側暗号処理部１２５は、中継処理装置１２０における通信方式が代理方式の場合に、情報提供処理装置１５０のサーバ処理部１５１との通信回線（サーバ回線１６３）において、ＳＳＬ（ＴＬＳを含む）コネクションのクライアント側処理を行う機能を備える。
【００６４】
ここで、サーバ回線１６３（第２のＳＳＬ通信）は、中継処理装置１２０と情報提供処理装置１５０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信である。
【００６５】
図１の例では、１つの物理的な通信回線を介して利用者端末１１０と中継処理装置１２０が相互に通信可能に接続されている。また、図１の例では、中継処理装置１２０と情報提供処理装置１５０とが相互に通信可能に接続されている。
【００６６】
代理用暗号鍵保存部１２６は、中継処理装置１２０における通信方式が代理方式の場合に、前記プロキシ回線１６１ 上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
【００６７】
制御処理通信部１２８は、ＨＴＴＰＳサーバとしての機能を備える機能処理部であり、利用者端末１１０の拡張機能処理部１１２との間で安全な通信コネクション（前記制御回線１６２）を開設し、利用者端末１１０の拡張機能処理部１１２が送信する通信要求メッセージを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ通信応答メッセージを送信する機能と、利用者端末１１０の拡張機能処理部１１２からの特定の通信先に関する通信方式の問い合わせに対して、管理表保存部１２９の通信方式決定表の情報に基づいて通信方式を回答する機能と、利用者端末１１０の拡張機能処理部１１２から特定の通信先に関する通信方式の決定情報を受信し、該決定情報を管理表保存部１２９のプロキシ通信方式キャッシュ表に保存する機能と、利用者端末１１０の拡張機能処理部１１２へ情報提供処理装置１５０のサーバ公開鍵証明書を送信する機能と、利用者端末１１０の拡張機能処理部１１２からサーバ公開鍵証明書の検証結果を受信する機能と、通信制御部１２４へ検証結果を通知する機能と、利用者端末１１０の拡張機能処理部１１２へクライアント認証要求情報を送信する機能と、利用者端末１１０の拡張機能処理部１１２からクライアント公開鍵証明書を受信する機能と、通信制御部１２４から署名対象データを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ前記署名対象データを送信する機能と、利用者端末１１０の拡張機能処理部１１２から署名データを受信する機能と、通信制御部１２４へ前記署名データを通知する機能と、を備える。
【００６８】
サーバ暗号鍵保存部１２７は、前記制御回線１６２上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
【００６９】
管理表保存部１２９は、通信方式決定表とプロキシ通信方式キャッシュ表と代理通信セッション管理表を記憶するための記憶領域である。
【００７０】
（通信方式決定表の説明）
【００７１】
通信方式決定表（図８）は、プロキシ回線１６１によるＨＴＴＰＳ通信に先立ち、該ＨＴＴＰＳ通信をどのように中継するか（通信方式）を決定するために使用される表である。通信方式決定表のレコードは、サーバ条件とクライアント条件と通信方式から構成される。通信方式決定表の例を図８で示す。通信方式決定表（図８）は、通信方式設定情報の適用例である。
【００７２】
サーバ条件はドメイン名欄とカテゴリー欄から構成される。ドメイン名欄は、通信における情報提供処理装置１５０のホスト名の文字列条件を保存する場所である。「＊」はワイルドカード文字列を表し、任意の文字列にマッチする。カテゴリー欄は、通信における情報提供処理装置１５０のカテゴリーを保存する場所である。カテゴリーとは、任意の情報提供処理装置１５０がその提供するコンテンツに応じて属する分野のことである。中継処理装置１２０は、利用者端末１１０から送信される暗号化通信の要求イベントに含まれるＵＲＬ（ホスト名を含む）に従って、当該ＵＲＬのカテゴリーを判定する。例として、中継処理装置１２０が予めホスト名とカテゴリーとの対応を示す対応表を備え、当該対応表を参照して、利用者端末１１０から入力された当該ＵＲＬのホスト名に対応するカテゴリーを決定（判定）することなどが考えられる。
ここで、サーバ条件は、利用者端末１１０から送信されるデータの中継先の情報提供処理装置１５０を示す中継先情報の適用例である。
【００７３】
クライアント条件は、アドレス欄と認証グループ欄から構成される。アドレス欄は、通信における利用者端末のＩＰアドレス条件を保存する場所である。ＩＰアドレスの個別指定の他、ワイルドカード文字列やネットワークアドレス表現によって、複数のアドレスを表すことができる。認証グループ欄は、利用者端末１１０の利用者が属するグループ名を保存する場所である。
【００７４】
通信方式欄は、確立が許可された通信方式を保存する場所である。すなわち、通信方式欄は、データの中継を可能とするために、確立が許可された通信方式（通信方式情報）が設定されている。
【００７５】
通信方式欄に保存される値としては、”直接”（直接通信方式）と”代理”（代理通信方式）と”選択”の３つの種類がある。”直接”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬ（ＴＬＳを含む）コネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理を指示する値である。”代理”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式を指示する値である。”選択”（選択情報）は利用者端末１１０の利用者に直接方式か代理方式かを選択させることを指示する値である。
【００７６】
（プロキシ通信方式キャッシュ表の説明）
【００７７】
プロキシ通信方式キャッシュ表（図９）は、特定のＨＴＴＰＳ通信に対して適用する通信方式を記憶するために利用される表である。プロキシ通信方式キャッシュ表のレコードは、クライアント識別子欄、サーバ識別子欄、有効期限欄、通信方式欄から構成される。プロキシ通信方式キャッシュ表の例を図９で示す。
【００７８】
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報（利用者端末を特定するクライアント特定情報）として、利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。閲覧処理部識別子は、例えばプロセスＩＤを使うことが想定される。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として、情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。有効期限欄は、対象レコードの有効期限情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
【００７９】
プロキシ通信方式キャッシュ表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、有効期限欄の日時が、検査日時より古い場合には削除される。
【００８０】
（代理通信セッション管理表の説明）
【００８１】
代理通信セッション管理表（図１０）は、代理方式で中継する通信に関するセッション情報を記憶しておくために利用される表である。代理通信セッション管理表のレコードは、クライアント識別子欄、サーバ識別子欄、最終利用日時欄、クライアント側ハンドシェイク情報（セッションＩＤ―Ｃ欄、共通鍵その他―Ｃ欄、クライアント証明書欄）、サーバ側ハンドシェイク情報（セッションＩＤ―Ｓ欄、共通鍵その他―Ｓ欄、サーバ証明書欄、クライアント認証要求欄）から構成される。代理通信セッション管理表の例を図１０で示す。
【００８２】
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報として利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。最終利用日時欄は、対象レコードによって表される通信が行われた日時情報を保存する場所である。セッションＩＤ―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。クライアント証明書欄は、利用者端末１１０から取得したクライアント公開鍵証明書を保存する場所である。セッションＩＤ―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。サーバ証明書欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。クライアント認証要求欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０からのクライアント認証要求情報を保存する場所である。
【００８３】
代理通信セッション管理表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、最終利用日時欄の値が、検査日時と比較され、適当に決められた有効時間（例えば１２時間）以上古い日時を表している場合には削除される。
【００８４】
付加機能処理部１３０は、中継処理対象の通信がＨＴＴＰの場合と、ＨＴＴＰＳの場合でも中継方式が代理方式の場合に、利用者端末１１０から受信する通信要求メッセージと情報提供処理装置１５０から受信する通信応答メッセージとに対して、付加機能処理を行う機能を備える。付加機能処理とは、例えば、プロキシサーバにおいて一般に実施されるキャッシュ機能や、セキュリティゲートウェイ等で実施されるコンテンツフィルタリング機能、ウィルス検査・駆除機能、アクセス制御機能などに対応している。これらの機能は、通常はＨＴＴＰＳ通信のように通信メッセージが暗号化されている場合には適用（実施）できないが、本実施例に示す代理方式のようにＨＴＴＰＳ通信であっても中継処理装置において暗号化通信メッセージを平文化する手法を用いれば適用（実施）できるようになる。
【００８５】
ＣＡ証明書保存部１３１は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる、中継処理装置１２０が信頼するＣＡ証明書を記憶する記憶領域である。
【００８６】
情報提供処理装置１５０は、利用者端末１１０から送られた通信要求メッセージを受信し、該通信要求メッセージの内容に基づき通信応答メッセージを応答する情報処理装置である。情報提供処理装置１５０は、サーバ処理部１５１とサーバ暗号鍵保存部１５２とを備えている。
【００８７】
サーバ処理部１５１は、一般にＷｅｂサーバと知られるプログラムに相当する機能処理部である。サーバ処理部１５１はＨＴＴＰプロトコルとＨＴＴＰＳプロトコルのサーバ機能を備えている。
【００８８】
サーバ暗号鍵保存部１５２は、サーバ処理部１５１がＨＴＴＰＳによる暗号化通信を行う場合に使用するサーバ公開鍵証明書と秘密鍵を記憶するための記憶領域である。
【００８９】
次に、図１の利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０の各種端末のハードウェア構成について、図２を用いて説明する。利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０は、一般に知られている情報処理装置である。
【００９０】
図２は、本発明の実施形態における各種端末のハードウェア構成を示す図である。
【００９１】
ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。
【００９２】
また、ＲＯＭ２０２あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ ／ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
【００９３】
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０３にロードして、プログラムを実行することで各種動作を実現するものである。
【００９４】
また、入力コントローラ（入力Ｃ）２０５は、キーボード２０９や不図示のマウス等のポインティングデバイスからの入力を制御する。
【００９５】
ビデオコントローラ（ＶＣ）２０６は、ＣＲＴディスプレイ（ＣＲＴ）２１０等の表示器にへの表示を制御する。表示器はＣＲＴだけでなく、液晶ディスプレイでも構わない。これらは必要に応じて管理者が使用するものである。本発明には直接関係があるものではない。
【００９６】
メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピーディスク（登録商標 ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュメモリ等の外部メモリ２１１へのアクセスを制御する。
【００９７】
通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、ネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。
【００９８】
なお、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ＣＲＴ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ＣＲＴ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。
【００９９】
本発明を実現するためのプログラムは外部メモリ２１１に記録されており、必要に応じてＲＡＭ２０３にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、本発明に係わるプログラムが用いる前述した暗号鍵保存部１１３、管理表保存部１１４、ＣＡ証明書保存部１１５、代理用暗号鍵保存部１２６、サーバ暗号鍵保存部１２７、管理表保存部１２９、ＣＡ証明書保存部１３１、及びサーバ暗号鍵保存部１５２は、外部メモリ２１１に格納されている。
【０１００】
（暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー）
【０１０１】
次に、暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの１つのケースを、図１１を用いて説明する。
【０１０２】
図１１は、本発明の実施形態における暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
【０１０３】
なお、図１１中のステップＳ１１５０からステップＳ１１５４で示される破線で囲われた通信は、制御回線１６２を介して行われる。それ以外の利用者端末１１０と中継処理装置１２０との間の通信は、プロキシ回線１６１を介して行われる。
【０１０４】
また、中継処理装置１２０と情報提供処理装置１５０との間の通信は、サーバ回線１６３を介して行われる。
【０１０５】
また、図１１と図１２においては、ＳＳＬ（ＴＬＳを含む）規格において必要とされるメッセージ（ＣｈａｎｇｅＣｉｐｈｅｒＳｐｅｃ等）は、一般的なＳＳＬ（ＴＬＳを含む）規格に基づく、一般に知られている処理であるため、ここでは説明を省略している。
【０１０６】
ステップＳ１１０１では、利用者端末１１０において、利用者が閲覧処理部１１１が提供するブラウザ画面において、情報提供処理装置１５０上のコンテンツを指し示すＵＲＬをアドレスバーなどへ入力するか、または既にブラウザ画面に表示中のコンテンツの中の該ＵＲＬへのリンク文字列をクリックするか、によってコンテンツ取得要求が指示される。
【０１０７】
ステップＳ１１０２では、コンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって拡張機能処理部１１２の処理が起動される。拡張機能処理部１１２では、該コンテンツ取得要求に含まれる該ＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳ（暗号化通信）であるか否かを判定する。すなわち、利用者端末１１０は、コンテンツ取得要求に含まれる暗号化通信によるデータの送受信を要求しているのか否かを判定する。
【０１０８】
そして、利用者端末１１０は、該スキーマがＨＴＴＰＳである（暗号化通信を介したデータの送受信の要求である）と判定された場合、中継処理装置１２０における通信方式を決定するために、中継処理装置１２０に対して通信方式の問い合わせを行う。すなわち、利用者端末１１０は、後述する通信方式問い合わせ要求メッセージを中継処理装置１２０に送信する。
【０１０９】
ステップＳ１１０３では、中継処理装置１２０は、利用者端末１１０から送信された問い合わせ（通信方式問い合わせ要求メッセージ）に含まれる情報提供処理装置１５０の識別子（サーバ識別子）と利用者端末１１０の閲覧処理部識別子（クライアント識別子）との情報を元に、管理表保存部１２９の通信方式決定表（図８）から通信方式を決定し、該通信方式を利用者端末１１０へ応答する。この例では”選択”が応答される。
【０１１０】
すなわち、中継処理装置１２０は、通信方式が“選択”と決定された場合、例えば、図１４に示すダイアログボックス（通信方式選択ダイアログボックスとも言う）の画面を表示するための画面情報を、利用者端末１１０に送信する。
【０１１１】
ステップＳ１１０４では、利用者端末１１０は、ステップＳ１１０３で受信した通信方式が”選択”であったため、図１４で例を示すような画面（選択ダイアログボックスとも言う）を表示する。
【０１１２】
すなわち、ステップＳ１１０３で送信された画面情報に従って、図１４の画面を表示する。
【０１１３】
ステップＳ１１０５では、利用者端末１１０において、利用者は前記選択ダイアログボックスを使用して”直接”、”代理”のいずれかから通信方式を選択する。例では利用者は”許可する”を選択して通信方式”代理”が選択される。
【０１１４】
すなわち、ステップＳ１１０５では、利用者により、選択ダイアログボックスを介して、”許可する”ボタンか、”許可しない”ボタンが押下され、”許可する”ボタンが押下された場合は、通信方式が“代理”と決定され、”許可しない”ボタンが押下された場合は、通信方式が“直接”と決定される。ここの例では、利用者により”許可する”ボタンが選択され通信方式が”代理”と決定される。
【０１１５】
ステップＳ１１０６では、利用者端末１１０は、選択結果（通信方式通知メッセージとも言う）（ここでの例では選択方式としての”代理”と、サーバ識別子と、クライアント識別子と、有効期限とが通信方式通知メッセージに含まれる。）を中継処理装置１２０へ送信する。
【０１１６】
中継処理装置１２０は該選択結果を受信し、該選択結果（”代理”）を管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。
【０１１７】
ステップＳ１１０７では、利用者端末１１０は、コンテンツ取得要求に関する通信方式を決定され、中継処理装置１２０への通信方式通知メッセージの通知（送信）も完了したことを受けて、閲覧処理部１１１が該コンテンツ取得要求の処理を再開する。閲覧処理部１１１は、中継処理装置１２０のクライアント通信部１２１へ接続してプロキシ回線１６１を開設し、該プロキシ回線１６１上でＣＯＮＮＥＣＴメソッドによるプロキシリクエストを送信する。ＣＯＮＮＥＣＴメソッドによるプロキシリクエストとは、Ｗｅｂブラウザ等のクライアントがプロキシサーバを経由してＨＴＴＰＳサーバへ接続する際に発行されるリクエストであり、次の形式をもつ。
【０１１８】
ＣＯＮＮＥＣＴ ホスト名：ポート番号 ＨＴＴＰ／１．０
【０１１９】
また、拡張機能処理部１１２は、閲覧処理部１１１に、上記のプロキシリクエストにクライアント識別子をヘッダーとして追加するよう指示する。
プロキシリクエストの例を示す。
【０１２０】
ＣＯＮＮＥＣＴ ｗｗｗ．ｘｘｘ．ｃｏ．ｊｐ：４４３ ＨＴＴＰ／１．０
Ｕｓｅｒ―Ａｇｅｎｔ： ＸＸＸＸＸ／Ｘ．Ｘ
Ｘ―ｃｌｉｅｎｔ―ｉｄ： １０．１０．１０．１：３４９２６３
【０１２１】
次に、中継処理装置１２０は、受信した前記プロキシリクエストから、サーバ識別子（ホスト名：ポート番号）とクライアント識別子（Ｘ−ｃｌｉｅｎｔ−ｉｄ）を取得し、これらをキーに管理表保存部１２９のプロキシ通信方式キャッシュ表から通信方式欄を参照し、値”代理”を取得する。そして、中継処理装置１２０は、代理方式の中継処理の情報を管理するための記憶領域として、管理表保存部１２９の代理通信セッション管理表に新規レコード（代理通信セッションレコードと呼ぶ）を作成する。
【０１２２】
ステップＳ１１０８では、中継処理装置１２０は、サーバ識別子の情報を元に情報提供処理装置１５０へＴＣＰ接続し、サーバ回線１６３を開設する。
【０１２３】
ステップＳ１１０９では、中継処理装置１２０は、ＴＣＰ接続が成功したことを受け、利用者端末１１０へ「ＨＴＴＰ／１．０ ２００」という接続成功メッセージを返し、情報提供処理装置１５０へ中継可能であることを伝える。
【０１２４】
ステップＳ１１１０では、利用者端末１１０は、前記プロキシ回線１６１上でＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬのハンドシェイクを開始する。
【０１２５】
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた中継処理装置１２０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３３でハンドシェイクの処理が終了するまで、プロキシ回線１６１を確立する処理を行う。
【０１２６】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０からハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
【０１２７】
ステップＳ１１１１では、中継処理装置１２０は、サーバ回線１６３上で、情報提供処理装置１５０との間でＳＳＬのセッションを開設（確立）するために、サーバ側暗号処理部１２５で生成したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信する。
【０１２８】
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた情報提供処理装置１５０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３１でハンドシェイクの処理が終了するまで、サーバ回線１６３を確立する処理を行う。
【０１２９】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１１からハンドシェイクの処理を開始する。そして、ステップＳ１１３１でハンドシェイクの処理が終了すると、サーバ回線１６３（ＳＳＬによる暗号化通信の回線）を確立することができる。サーバ回線１６３は、本発明の第２のＳＳＬ通信の適用例である。
【０１３０】
ステップＳ１１１１では、中継処理装置は、前記サーバ回線１６３上でＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬハンドシェイクを開始する。
【０１３１】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０でハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
【０１３２】
以下にステップＳ１１１０以降の処理について説明する。
図１１は、通信方式が”代理”（代理方式）の場合について説明する。
まず、利用者端末１１０は、ステップＳ１１１０でＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏ）を送信する。
【０１３３】
図１１は、通信方式が”代理”の場合のシーケンス図であるので、中継処理装置１２０は、該ＳＳＬハンドシェイクで受信した各メッセージは、そのまま情報提供処理装置１５０へ中継せずに、自身がサーバとしてハンドシェイクを行う。
【０１３４】
中継処理装置１２０は、自身がサーバとしてハンドシェイクの処理に応じるために、利用者端末１１０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを送信する。
【０１３５】
まず、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッション情報（セッションＩＤを含む）が記憶されているか否かを判定する。
【０１３６】
そして、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
【０１３７】
一方、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
そして、中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
【０１３８】
図１１では、利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。
【０１３９】
利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。
【０１４０】
中継処理装置１２０は、ステップＳ１１１０で利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。そして、中継処理装置１２０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
【０１４１】
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信する（ステップＳ１１１２）。
【０１４２】
さらに、中継処理装置１２０は、当該生成されたセッションＩＤを代理通信セッション管理表（図１０）のセッションＩＤーＣ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０１４３】
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０１４４】
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
【０１４５】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、外部メモリ２１１などのメモリに記憶する。
【０１４６】
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
【０１４７】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０１４８】
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
【０１４９】
利用者端末１１０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０１５０】
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１５１】
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０１５２】
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０１５３】
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０１５４】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０１５５】
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
【０１５６】
中継処理装置１２０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１５７】
次に、ステップＳ１１１５以降の処理について説明する。
【０１５８】
中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、中継処理装置１２０をクライアントとして、情報提供処理装置１５０に、ＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ）を送信する（ステップＳ１１１１）。
【０１５９】
情報提供処理装置１５０は、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに応答して、中継処理装置１２０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージ（ステップＳ１１１５）、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージ（ステップＳ１１１６）、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージ（ステップＳ１１１７）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ（ステップＳ１１１８）の各メッセージを送信する。
以下に、ステップＳ１１１５からステップＳ１１１８について、説明する。
【０１６０】
まず、中継処理装置１２０は、過去に情報提供処理装置１５０との通信で利用したＳＳＬのセッション情報（セッションＩＤ）が記憶されているか否かを判定する。
【０１６１】
具体的には、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されているか否かを中継処理装置１２０が判定する。
【０１６２】
そして、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する。
【０１６３】
一方、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する（Ｓ１１１１）。
【０１６４】
そして、情報提供処理装置１５０は、中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
【０１６５】
図１１では、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。
【０１６６】
中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。
【０１６７】
情報提供処理装置１５０は、ステップＳ１１１１で中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。
【０１６８】
そして、情報提供処理装置１５０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
【０１６９】
そして、情報提供処理装置１５０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する（ステップＳ１１１５）。
【０１７０】
さらに、情報提供処理装置１５０は、当該生成されたセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０１７１】
中継処理装置１２０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを情報提供処理装置１５０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤを、代理通信セッション管理表（図１０）のセッションＩＤーＳ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０１７２】
次に、情報提供処理装置１５０は、サーバ暗号鍵保存部１５２に記憶されている情報提供処理装置１５０のサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを中継処理装置１２０に送信する。
【０１７３】
ステップＳ１１１６では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得する。
【０１７４】
中継処理装置１２０は、ＣＡ証明書保存部１３１に記憶されているＣＡ公開鍵証明書などを使って該サーバ公開鍵証明書が信頼できるか否かの検証処理を実施する。ここでの例では、該検証が成功し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
【０１７５】
ステップＳ１１１７では、中継処理装置１２０は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ メッセージ（クライアント認証の要求情報）を受信し、該メッセージに含まれるクライアント認証に関する要求条件の情報（署名アルゴリズム、ＣＡ識別名）を、前記代理通信セッションレコードのクライアント認証要求欄に保存する。
【０１７６】
そして、情報提供処理装置１５０は、情報提供処理装置１５０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを中継処理装置１２０に送信する。
【０１７７】
ステップＳ１１１８では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信する。
【０１７８】
【０１７９】
ステップＳ１１１９では、利用者端末１１０は、制御回線１６２を使って中継処理装置１２０へ情報提供処理装置１５０のサーバ公開鍵証明の取得要求メッセージを送信する。
【０１８０】
ステップＳ１１２０では、中継処理装置１２０は、利用者端末１１０から送信された取得要求メッセージに応答して、代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明を取得し、該サーバ公開鍵証明書を利用者端末１１０へ送信する。（送信手段）
【０１８１】
ステップＳ１１２１では、利用者端末１１０は、受信した前記サーバ公開鍵証明書の検証処理を行う。まず、利用者端末１１０は、利用者端末１１０のＣＡ証明書保存部１１５に記憶されている信頼するＣＡ（認証局）の公開鍵証明書によって、該サーバ公開鍵証明書の信頼性を検証する。次に、利用者端末１１０は、該サーバ公開鍵証明書に記載されている主体者情報（ＣＮ属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性）が、情報提供処理装置１５０のホスト名と一致するかどうかを確認する。利用者端末１１０は、その他、該サーバ公開鍵証明書の有効期限、失効状態確認など一般にサーバ公開鍵証明書の信頼性を検証するための処理を実行する。
【０１８２】
次に、通常のブラウザでは、サーバ公開鍵証明書の情報として表示されるのはステップＳ１１１３で受信した中継処理装置１２０のサーバ公開鍵証明書であるが、拡張機能処理部１１２と協働する閲覧処理部１１１は、図１５に示すダイアログボックスを表示するなどして、ステップＳ１１２０で受信した情報提供処理装置１５０の前記サーバ公開鍵証明書の情報を、利用者に確認させる。
【０１８３】
すなわち、閲覧処理部１１１は、ステップＳ１１２０で受信した情報提供処理装置１５０のサーバ公開鍵証明書の情報を含む画面（図１５）を表示する。
【０１８４】
また、利用者に一時的に確認させるだけでなく、ブラウザの画面上で表示中のコンテンツを提供した情報提供処理装置１５０のサーバ公開鍵証明書を利用者がいつでも参照できるように、該ダイアログボックスなどのサーバ公開鍵証明書の内容を確認するための手段を呼び出すボタン等をブラウザの画面上に付加しておく。そのブラウザの画面の例を図１８で示す。
【０１８５】
通常（通信方式が直接の場合）は、図１８の１８０１で示す場所に、表示中のコンテンツを提供した情報提供処理装置１５０の識別名（ホスト名）が表示され、該情報提供処理装置１５０のサーバ公開鍵証明書を表示するためのリンクになっている。しかし、本発明の代理方式の場合は、ここには中継処理装置１２０の識別名と、中継処理装置１２０のサーバ公開鍵証明書に関する情報を表示することになる。
【０１８６】
このため、図１８の例では、１８０２で示す場所に、本来のコンテンツ提供者である情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を表示するようにしている。このように、代理方式であっても情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を利用者がいつでも確認できるようにすることによって、利用者へコンテンツの提供者の真正性に関わる情報の確認を行うための手段を提供している。
【０１８７】
最後に、利用者端末１１０は、サーバ公開鍵証明書の検証が成功すれば、管理表保存部１１４のサーバ証明書キャッシュ表（図１７）に新規レコードを作成し、情報提供処理装置１５０の該サーバ公開鍵証明書と、情報提供処理装置１５０の前記サーバ識別子と、ステップＳ１１１２のＳｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれたセッションＩＤとを共に保存する。
【０１８８】
ステップＳ１１２２では、利用者端末１１０は、サーバ公開鍵証明書の検証に成功し、その検証結果を中継処理装置１２０へ通知する。
【０１８９】
ステップＳ１１２３では、中継処理装置１２０は、代理通信セッションレコードのクライアント認証要求欄の値を確認し、代理通信セッションレコードのクライアント認証要求欄に値が格納されていると判定されると、ステップＳ１１１７において情報提供処理装置１５０からクライアント認証の要求があったと判定する。そして、中継処理装置１２０は、これ（クライアントの認証要求）に対応するために、利用者端末１１０へ、前記クライアント認証要求欄の値を含めたクライアント証明書要求メッセージを送信する。
【０１９０】
ステップＳ１１２４では、利用者端末１１０は、中継処理装置１２０からクライアント証明書要求メッセージを受信すると、該クライアント認証要求で示された条件に合致する公開鍵証明書を、暗号鍵保存部１１３から検索し取得する。そして、利用者端末１１０は、該条件に合致する公開鍵証明書が複数ある場合は、通常のブラウザにおけるＳＳＬクライアント認証時の動作と同じように、ダイアログボックスを表示するなどして、利用者にどの公開鍵証明書を使って情報提供処理装置１５０へ認証されるのかを選択させ、利用者端末１１０の公開鍵証明書を１つ決定する。
【０１９１】
ステップＳ１１２５では、利用者端末１１０は、利用者端末１１０の公開鍵証明書を中継処理装置１２０へ送信する。
【０１９２】
ステップＳ１１２６では、中継処理装置１２０は、利用者端末１１０の公開鍵証明書を利用者端末から受信し、代理通信セッションレコードのクライアント証明書欄に保存する。そして、中継処理装置１２０は、情報提供処理装置１５０へ、該公開鍵証明書を含むＣｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。すなわち、中継処理装置１２０は、利用者端末の公開鍵証明書を、サーバ回線１６３を介して情報提供処理装置１５０に送信する（公開鍵送信手段）。
次に、中継処理装置１２０は、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０１９３】
また、中継処理装置１２０は、ここで生成されたマスターシークレットに従って、サーバ回線１６３を介して情報提供処理装置１５０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵を代理通信セッションレコード（図１０）の共通鍵その他−Ｓの欄に記憶する。
【０１９４】
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０１９５】
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１９６】
そして、中継処理装置１２０は、情報提供処理装置１５０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０１９７】
そして、中継処理装置１２０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを情報提供処理装置１５０に送信する。
情報提供処理装置１５０は、中継処理装置１２０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０１９８】
そして、情報提供処理装置１５０は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、中継処理装置１２０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０１９９】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられてサーバ暗号鍵保存部１５２に記憶されており、情報提供処理装置１５０が中継処理装置１２０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０２００】
次に、情報提供処理装置１５０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、情報提供処理装置１５０は、該生成された共通鍵の情報を、外部メモリ２１１などのメモリに記憶する。
【０２０１】
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０２０２】
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２０３】
ＳＳＬ（ＴＬＳを含む）の規約では、クライアント認証は、まず、利用者端末１１０と情報提供処理装置１５０が共有している情報（ハンドシェイクで互いに交換したメッセージを連結した情報のメッセージダイジェスト）に対して署名した情報（署名データ）を、利用者端末１１０が、情報提供処理装置１５０に送信する。すなわち、利用者端末１１０は、当該メッセージダイジェストを、利用者端末１１０がＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージで情報提供処理装置１５０へ送信した公開鍵に対応する秘密鍵で署名した情報（署名データ）を、情報提供処理装置１５０へ送信する。そして、情報提供処理装置１５０が、利用者端末１１０から受信した該署名データを該公開鍵で復号し、情報提供処理装置１５０のメモリに記憶されている、利用者端末１１０と共有している情報（該メッセージダイジェスト）と同一であるか否か判定することで、クライアント認証を実施している。
【０２０４】
以降で説明するステップＳ１１２７からステップＳ１１２８は、利用者端末１１０と中継処理装置１２０とが連携して署名データを作成する処理を行う。
【０２０５】
ステップＳ１１２７では、中継処理装置１２０は、それまで情報提供処理装置１５０とＳＳＬのハンドシェイクで交換した各メッセージを連結したデータにハッシュ関数を適用したメッセージダイジェスト（署名対象データ）を生成する。そして、中継処理装置１２０は利用者端末１１０へ該署名対象データを送信する。
【０２０６】
利用者端末１１０は、中継処理装置１２０から署名対象データを受信し、該署名対象データに対してステップＳ１１２５で送信した利用者端末１１０の公開鍵証明書に対応する秘密鍵で署名を行い（暗号化を行い）、署名データを作成する。
【０２０７】
そして、ステップＳ１１２８では、利用者端末１１０は、中継処理装置１２０へ該署名データを送信する。そして、中継処理装置１２０は、利用者端末１１０から該署名データを受信する。
【０２０８】
ステップＳ１１２９では、中継処理装置１２０は、該署名データを含むＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する。
【０２０９】
すなわち、中継処理装置１２０は、Ｓ１１２６で送信されたクライアント端末の公開鍵証明書に対応する秘密鍵を用いて署名対象データを暗号化することにより生成される署名データを、サーバ回線１６３を介して情報提供処理装置に送信する（署名データ送信手段）。
【０２１０】
そして、情報提供処理装置１５０は、中継処理装置１２０から受信した該メッセージ（署名データ）を上記の方法で検証することによって、利用者端末１１０のクライアント認証を実施する。
【０２１１】
ステップＳ１１３０、ステップＳ１１３１では、中継処理装置１２０と情報提供処理装置１５０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、サーバ回線１６３上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるサーバ回線１６３を確立する。
【０２１２】
ステップＳ１１３２、ステップＳ１１３３では、利用者端末１１０と中継処理装置１２０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、前記プロキシ回線１６１上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるプロキシ回線１６１を確立する。
【０２１３】
ステップＳ１１３４では、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、プロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを、中継処理装置１２０へ送信する。
【０２１４】
すなわち、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して、当該暗号化された暗号化通信要求メッセージを中継処理装置１２０に送信する。
【０２１５】
ステップＳ１１３５では、中継処理装置１２０は、利用者端末１１０から受信した暗号化通信要求メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて復号化し、当該復号することで得られる通信要求メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信要求メッセージへアクセス制御等の付加機能処理を実行する。この例ではアクセス制御処理を行い、アクセスが許可されるとする。
【０２１６】
すなわち、中継処理装置１２０は、通信要求メッセージの内容を解析して、情報提供処理装置１５０への通信要求メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行い、情報提供処理装置１５０への通信要求メッセージの送信を許可すると判定された場合は、当該通信要求メッセージを情報提供処理装置１５０に送信するように制御する。一方、中継処理装置１２０は、情報提供処理装置１５０への通信要求メッセージの送信を許可しないと判定された場合は、当該通信要求メッセージを情報提供処理装置１５０には送信しないように制御する。
【０２１７】
次に、該通信要求メッセージをサーバ回線１６３上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを生成し、該メッセージを情報提供処理装置１５０へ送信する。
【０２１８】
すなわち、中継処理装置１２０は、通信要求メッセージを情報提供処理装置１５０に送信するように制御する場合、該通信要求メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて暗号化して、当該暗号化することにより生成される暗号化通信要求メッセージを情報提供処理装置１５０へ送信する。
【０２１９】
【０２２０】
ステップＳ１１３６では、情報提供処理装置１５０は、中継処理装置１２０から受信した暗号化通信要求メッセージを中継処理装置１２０と共有している共通鍵を用いて復号化し、当該復号することにより通信要求メッセージを生成する。
【０２２１】
そして、情報提供処理装置１５０は、中継処理装置１２０からの通信要求メッセージの応答メッセージとして通信応答メッセージを作成し、該通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して暗号化通信応答メッセージを生成し、該暗号化通信応答メッセージを中継処理装置１２０へ送信する。
【０２２２】
ステップＳ１１３７では、中継処理装置１２０は、情報提供処理装置１５０から受信した暗号化通信応答メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて復号化して通信応答メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信応答メッセージへアクセス制御等の付加機能処理を実行する。
【０２２３】
すなわち、中継処理装置１２０は、通信応答メッセージの内容を解析することにより、利用者端末１１０への通信応答メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行う。ここでの例では、中継処理装置１２０は、付加機能処理として通信応答メッセージ内のウィルス検査処理を行い、その結果、通信応答メッセージにはウィルスが検知されなかったとする。
【０２２４】
中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可すると判定された場合は、当該通信応答メッセージを利用者端末１１０送信するように制御する。一方、中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可しないと判定された場合は、当該通信応答メッセージを利用者端末１１０には送信しないように制御する。
【０２２５】
次に、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージをプロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信応答メッセージを生成し、該メッセージを利用者端末１１０へ送信する。
【０２２６】
すなわち、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて暗号化することによって、暗号化通信応答メッセージを生成し、当該暗号化通信メッセージを利用者端末１１０に送信する。
【０２２７】
利用者端末１１０は、中継処理装置１２０から受信した暗号化通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて復号化することによって、通信応答メッセージを生成し、該通信応答メッセージを閲覧処理部１１１の画面へ表示するなどの処理を行う。
【０２２８】
ステップＳ１１３８では、情報提供処理装置１５０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを中継処理装置１２０へ送信する。
【０２２９】
ステップＳ１１３９では、中継処理装置１２０は、同じく終了通知メッセージを、情報提供処理装置１５０へ送信する。これにより、サーバ回線１６３を終了させる。
【０２３０】
ステップＳ１１４０において、中継処理装置１２０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを利用者端末１１０へ送信する。
【０２３１】
ステップＳ１１４１において、利用者端末１１０は、同じく終了通知メッセージを、中継処理装置１２０へ送信する。これにより、前記プロキシ回線１６１を終了させる。
上述したＳＳＬの暗号化通信の確立手順は、一例であり、上述したメッセージ以外のメッセージを装置間で送受信して暗号化通信を確立するようにしてもよい。
【０２３２】
以上で、ＳＳＬの暗号化通信（回線）を介して通信される通信データを、通信方式が代理方式（“代理”）の場合に、中継する際の通信メッセージ交換フローの例の説明を終了する。
【０２３３】
（セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー）
【０２３４】
次に、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローについて、図１２を用いて説明する。
【０２３５】
図１２は、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
【０２３６】
セッション再開機能とは、過去に開設して終了させたセッションを再開するための機能であり、ＳＳＬにおいてセッションを新規に作成せずに再開させた場合はセッションを確立するために必要なセッション鍵（共通鍵）の生成、交換に関わる負荷の高い処理を省略できるために、性能向上のために利用される機能である。
【０２３７】
なお、図１２中の利用者端末１１０と中継処理装置１２０との間のすべての通信はプロキシ回線１６１上で行われる。
【０２３８】
ステップＳ１２０１の処理は、前述したステップＳ１１０１の処理と同じである。
【０２３９】
次に、利用者端末１１０は、ステップＳ１２０１におけるコンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって、拡張機能処理部１１２の処理が起動される。利用者端末１１０の拡張機能処理部１１２では、該コンテンツ取得要求のＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳであることから、中継処理装置１２０における通信方式を決定するための処理を行う。利用者端末１１０は、中継処理装置１２０へ問い合わせを行う前に、過去に中継処理装置１２０との通信で用いられた情報が利用できないかどうかを調べるために、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）を参照し、該コンテンツ取得要求に含まれるＵＲＬから情報提供処理装置１５０のサーバ識別子（ホスト名：ポート番号）を生成し、該サーバ識別子をキーにしてクライアント通信方式キャッシュ表（図１６）のレコードを検索する。ここの例では、利用者端末１１０は、検索の結果、該サーバ識別子を条件として満たすレコードを発見し、該レコードの通信方式欄を参照し、通信方式を”代理”と判定する。なお、検索の結果、通信方式が”直接”であると判定された場合は、通常の方式（直接方式）で利用者端末１１０と情報提供処理装置１５０とが直接、ＳＳＬの暗号化通信回線を確立するように制御する。
【０２４０】
ステップＳ１２０２では、利用者端末１１０は前述したステップＳ１１０７と同じ処理を行う。
【０２４１】
ステップＳ１２０３では、中継処理装置１２０は前述したステップＳ１１０８と同じ処理を行う。
【０２４２】
ステップＳ１２０４では、中継処理装置１２０は前述したステップＳ１１０９と同じ処理を行う。
【０２４３】
ステップＳ１２０５では、利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているので再開可能であると判定し、キャッシュされているセッション情報のセッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているか否かを判定した結果、ＳＳＬのセッション情報がキャッシュされていないと判定した場合は、図１１のステップＳ１１１０で説明した通り、セッションＩＤを付加していないＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
【０２４４】
ステップＳ１２０６では、中継処理装置１２０は、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコードを取得し、該レコードの通信方式欄の値（”代理”）から、中継を代理方式で実施することを判定（決定）する。
【０２４５】
次に、中継処理装置１２０は、管理表保存部１２９の代理通信セッション管理表（図１０）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコード（代理通信セッションレコードと呼ぶ）を取得する。代理通信セッション管理表（図１０）は、代理通信記憶手段の適用例である。
【０２４６】
中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄を参照し、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージのセッションＩＤ（第１のセッション識別情報）と同じならば、中継処理装置１２０側もセッション再開が可能と判定する（判定手段）。
【０２４７】
すなわち、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一であるか否かを判定し、同一であると判定された場合は、中継処理装置１２０もセッションの再開が可能であると判定する。一方、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一ではないと判定された場合は、中継処理装置１２０はセッションの再開が不可能であると判定する。ここで、中継処理装置１２０は、セッションの再開が不可能であると判定された場合は、これ以降の処理は実行しない。ここでの例では、セッション再開は可能と判定され、利用者端末１１０へ該セッションＩＤを付加したＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する。
【０２４８】
ステップＳ１２０７では、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値があるか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤ（第２のセッション識別情報）の値があると判定された場合に、サーバ回線１６３においてもセッションを再開することができると判定し、該セッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０へ送信する。一方、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値が無いと判定された場合は、サーバ回線１６３においてはセッションを再開することが出来ないと判定し、これ以降の処理を実行しないように制御する。
【０２４９】
【０２５０】
ステップＳ１２０８では、情報提供処理装置１５０は、中継処理装置１２０から受信したセッションＩＤで識別されるＳＳＬのセッション情報が情報提供処理装置１５０においても利用可能なことを確認したのち、中継処理装置１２０へ、該セッションＩＤを付加したＳｅｒｖｅｒ Ｈｅｌｌｏメッセージを応答する。これは、中継処理装置１２０と情報提供処理装置１５０の間におけるサーバ回線１６３のＳＳＬコネクションにおいても、セッション再開の合意がとれたことを意味する。
【０２５１】
ステップＳ１２０９では、情報提供処理装置１５０は中継処理装置１２０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５２】
ステップＳ１２１０では、中継処理装置１２０は情報提供処理装置１５０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５３】
以上をもって、中継処理装置１２０と情報提供処理装置１５０の間のサーバ回線１６３のＳＳＬハンドシェイク処理を終了する。
【０２５４】
ステップＳ１２１１では、中継処理装置１２０は利用者端末１１０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５５】
ステップＳ１２１０では、利用者端末１１０は中継処理装置１２０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５６】
以上をもって、利用者端末１１０と中継処理装置１２０と間のプロキシ回線１６１のＳＳＬハンドシェイク処理を終了する。
【０２５７】
以降は、図１１を用いて説明した、ステップＳ１１３４からステップＳ１１４１までの処理と同じ処理を、図１２におけるステップＳ１２１３からステップＳ１２２０までの処理で実施する。
【０２５８】
以上で、セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フローの例の説明を終了する。
【０２５９】
以上、説明したように、セッション再開機能を利用した中継処理では、ＳＳＬハンドシェイク処理を大幅に短縮し、計算負荷の高い処理を省略することができる。また、上記で説明した手順によれば、セッション再開機能を利用した場合でも、利用者端末１１０は、セッションを開設した通信時（図１１のステップＳ１１２１）に管理表保存部１１４のサーバ証明書キャッシュ表に保存しておいたサーバ証明書欄を参照することにより、情報提供処理装置１５０のサーバ公開鍵証明書を、中継処理装置１２０から送信されることなく利用者に提示することができ、利用者に通信相手の真正性を確認する手段を与えることが可能となっている。なお、クライアント認証に関しては、情報提供処理装置１５０は、情報提供処理装置１５０のメモリに記憶されているセッション情報の中に利用者端末１１０の公開鍵証明書をキャッシュしているために再度、中継処理装置１２０にクライアント認証の要求情報を送信し検証処理を行うことも省略できている。
【０２６０】
（中継処理装置１２０における通信処理フロー）
【０２６１】
次に、利用者端末１１０が中継処理装置１２０を経由して情報提供処理装置１５０へ暗号化通信（代理方式による暗号化通信）を行う場合の中継処理装置１２０の処理フローを、図３を用いて説明する。
【０２６２】
なお、図３に示すステップＳ３０１からステップＳ３２０は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
【０２６３】
ステップＳ３０１では、中継処理装置１２０は、利用者端末１１０から情報提供処理装置１５０への暗号化通信の要求の発生を元に通信方式を決定する処理（通信方式決定処理）を行う（図１１のステップＳ１１０１からステップＳ１１０６）。
【０２６４】
通信方式決定処理では、利用者端末１１０が要求する通信に対する中継処理装置１２０における通信方式が決定され、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に、決定された通信方式を通信方式欄にもつ新しいレコードが作成される。該レコードの通信方式欄の値は、”直接”か”代理”または”選択なし”のいずれかになる。処理の詳細は図４を用いて後述する。
【０２６５】
ステップＳ３０２では、クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続を受け付け、ＳＳＬ（ＴＬＳを含む）のプロキシ接続プロトコルに則ったＣＯＮＮＥＣＴメソッドによる接続要求メッセージ（情報提供処理装置１５０とのＳＳＬ通信の要求の情報）を受信し、通信制御部１２４へ該接続要求メッセージを渡す（図１１のステップＳ１１０７）。
すなわち、中継処理装置１２０は、利用者端末１１０から、情報提供処理装置１５０へのＳＳＬ通信の要求を受信する（受信手段）。
【０２６６】
すなわち、中継処理装置１２０は、利用者端末１１０からＳＳＬ通信の要求を受信したことを条件に、プロキシ回線１６１の確立、及びサーバ回線１６３の確立を開始するように制御する（制御手段）。
【０２６７】
以降、中継処理装置１２０のクライアント通信部１２１と利用者端末１１０の閲覧処理部１１１との間で開設される接続回線をプロキシ回線１６１と呼ぶ。
【０２６８】
次に、通信制御部１２４は、該接続要求メッセージのＣＯＮＮＥＣＴメソッドで指定された情報提供処理装置１５０のホスト名とポート番号からサーバ識別子（ホスト名：ポート番号）を作成し、また該接続要求メッセージのリクエストヘッダーからクライアント識別子（ＩＰアドレス：閲覧処理部識別子）を取得する。そして、通信制御部１２４は、該サーバ識別子と該クライアント識別子をキーにして、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）からレコードを検索し、検索結果、該レコードの通信方式を取得する。該通信方式はステップＳ３０１において記憶された値である。
【０２６９】
通信制御部１２４は、通信方式が”直接”又は”代理”であった場合には、ＣＯＮＮＥＣＴメソッドで渡されたホスト名とポート番号をサーバ通信部１２２へ渡し、サーバ通信部１２２は該ホスト名の情報提供処理装置１５０の該ポート番号へ接続する（図１１のステップＳ１１０８）。接続が失敗すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へエラーメッセージを応答（送信）して終了する。接続が成功すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へＨＴＴＰ応答コード２００を応答する（図１１のステップＳ１１０９）。以降、前記中継処理装置１２０のサーバ通信部１２２と情報提供処理装置１５０のサーバ処理部１５１との間で開設される接続回線をサーバ回線１６３と呼ぶ。
【０２７０】
また、通信制御部１２４は、通信方式が”代理”であった場合には、サーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表（図１０）からレコードを検索する。通信制御部１２４は、該キーに一致するレコードがなかった場合には、サーバ識別子とクライアント識別子を、それぞれサーバ識別子欄とクライアント識別子欄にもつ新しいレコードを作成する。通信制御部１２４は、検索で発見されたレコード又は新規作成したレコードを中継処理装置１２０のＲＡＭ２０３に記憶させる。以降、このレコードを代理通信セッションレコードと呼び通信制御部１２４において参照できるものとする。
【０２７１】
ステップＳ３０３では、ステップＳ３０２で取得した通信方式によって処理を分岐させる。すなわち、中継処理装置１２０は、ステップＳ３０２で取得した通信方式が、”直接”であるか、”代理”であるか、”選択なし”であるかを判定する。前記通信方式が”直接”であった場合はステップＳ３０４へ進み、”代理”であった場合はステップＳ３０５へ進み、”選択なし”であった場合はステップＳ３１９へ進む。
【０２７２】
（直接プロキシ処理）
ステップＳ３０４では、通常のプロキシサーバが行う方式（直接方式）によって暗号化通信（ＨＴＴＰＳ通信）されるデータを中継する。
【０２７３】
すなわち、中継処理装置１２０は、利用者端末１１０と情報提供処理装置１５０との間で送受信されるデータを素通しして中継する。これにより、従来のように、クライアント端末と情報処理装置との間でＳＳＬによる暗号化通信（第３のＳＳＬ通信）が確立される。
【０２７４】
そして、中継処理装置１２０は、ここで確立された暗号化通信を用いて、利用者端末１１０と情報提供処理装置１５０との間で通信される通信データを中継する。
【０２７５】
通信制御部１２４は、ステップＳ３０２において通信制御部１２４が利用者端末１１０へＨＴＴＰ応答コード２００を応答した後、クライアント通信部１２１が利用者端末１１０の閲覧処理部１１１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、サーバ通信部１２２から情報提供処理装置１５０のサーバ処理部１５１へ送信する。また、通信制御部１２４は、サーバ通信部１２２が情報提供処理装置１５０のサーバ処理部１５１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、クライアント通信部１２１から利用者端末１１０の閲覧処理部１１１へ送信する。そして、通信制御部１２４は、サーバ回線１６３が情報提供処理装置１５０から切断されるかもしくはプロキシ回線１６１が利用者端末１１０から切断されるかのいずれかが発生すると反対側の通信回線も切断し、全ての処理を終了する。
【０２７６】
なお、この直接方式による中継処理では、通信要求メッセージ、通信応答メッセージとも暗号化されたまま中継するので、通信制御部１２４を経由する際、中継処理装置１２０は、付加機能処理部１３０における付加機能処理（通信メッセージ検査や通信応答キャッシュなど）は実行しない。
【０２７７】
（中継拒否通知）
ステップＳ３１９では、通信制御部１２４は、アクセスを許可しない旨の通信応答メッセージを作成し、クライアント通信部１２１を経由して該通信応答メッセージを利用者端末１１０の閲覧処理部１１１へ送信し、プロキシ回線１６１を切断し処理を終了する。
【０２７８】
（代理方式：利用者端末１１０とのＳＳＬハンドシェイク処理）
【０２７９】
ステップＳ３０５では、通信制御部１２４は、クライアント側暗号処理部１２３に対して前記プロキシ回線１６１においてＳＳＬセッションを開始するよう指示する。クライアント側暗号処理部１２３は、該プロキシ回線１６１においてクライアント通信部１２１を経由して、利用者端末１１０の閲覧処理部１１１から送信されるＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信し、ＳＳＬハンドシェイク処理を開始する。ＳＳＬのハンドシェイク方法には、セッションを新規に開始するケースと過去のセッションを再開するケースの２通りがある。
【０２８０】
まず、セッションを新規に開始するケースについて説明する。
【０２８１】
中継処理装置１２０は、前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中にセッションＩＤが含まれているか否かを判定し、セッションＩＤが含まれていると判定された場合であって、該セッションＩＤが前記代理通信セッションレコードのセッションＩＤーＣ欄の値と同一と判定された場合、クライアント側のＳＳＬコネクションでセッションを再開し、一方、同一でない場合は、利用者端末１１０側のＳＳＬコネクションは新規のセッションを開始する。
【０２８２】
すなわち、ＳＳＬセッションを新規に開始する処理では、中継処理装置１２０のクライアント側暗号処理部１２３は、利用者端末１１０から送信されたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１１のステップＳ１１１０）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏ、Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを順次送信する（図１１のステップＳ１１１２、ステップＳ１１１３、ステップＳ１１１４）。
【０２８３】
具体的には、中継処理装置１２０は、ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定した場合は、新規のセッションを作成するため新規の固有のセッションＩＤを生成する。
【０２８４】
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含む該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信し、当該生成されたセッションＩＤを代理通信セッションレコードのセッションＩＤーＣ欄に保存する。該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０２８５】
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０２８６】
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
【０２８７】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、当該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書を外部メモリ２１１などのメモリに記憶する。
【０２８８】
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
【０２８９】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０２９０】
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
【０２９１】
利用者端末１１０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０２９２】
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２９３】
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０２９４】
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０２９５】
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０２９６】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０２９７】
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
【０２９８】
中継処理装置１２０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２９９】
次に、ＳＳＬセッションを再開するケースについて説明する。
【０３００】
中継処理装置１２０は、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージにセッションＩＤが含まれていると判定され、当該セッションＩＤが、前記代理通信セッションレコードのセッションＩＤーＣ欄に含まれていると判定された場合に、ＳＳＬセッションを再開すると判定する（Ｓ３０６：ＹＥＳ）。ここで、中継処理装置１２０が、利用者端末１１０から、セッションＩＤを含むＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信したことは、ＳＳＬ通信の再開要求を受信したことを意味する。このとき、共通鍵その他ーＣ欄には既に当該ＳＳＬセッション用の共通鍵が保存されている。クライアント側暗号処理部１２３は、利用者端末１１０からの前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１２のステップＳ１２０５）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する（図１２のステップＳ１２０６）。
【０３０１】
（代理用暗号鍵保存部１２６のサーバ公開鍵証明書について）
【０３０２】
代理用暗号鍵保存部１２６に記憶されているサーバ公開鍵証明書に関して説明する。該サーバ公開鍵証明書は、プロキシ回線１６１のＳＳＬコネクションにおけるサーバ認証用のサーバ公開鍵証明書である。通常のプロキシ接続（直接方式による通信）においては、該サーバ公開鍵証明書は、情報提供処理装置１５０のサーバ暗号鍵保存部１５２に記憶されているサーバ公開鍵証明書が情報提供処理装置１５０から提示されるが、本実施例の代理方式では、中継処理装置１２０の代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書が代わりに提示される。そのため該サーバ公開鍵証明書は、任意の情報提供処理装置１５０に対して有効と判定されるものでなければならない。このため、本実施例の代理方式では、該サーバ公開鍵証明書は、非特許文献１で示されているように、情報提供処理装置１５０のホスト名が記載される主体者のＣｏｍｍｏｎ Ｎａｍｅ（ＣＮ）属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性にワイルドカードを用いて任意の情報提供処理装置１５０を表す。サーバ公開鍵証明書とホスト名を元にした情報提供処理装置１５０の身元確認方法に関しては、ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」に記載されている。
【０３０３】
また、該サーバ公開鍵証明書には、主体者のＤＮ（識別名）の中のＣｏｍｍｏｎ Ｎａｍｅより上の階層に、中継処理装置１２０のホスト名を属性値としてもつようにし、エンドポイント（情報提供処理装置１５０）の確認とともに中継点（中継処理装置１２０）の確認も同時に実施できるようにする。
【０３０４】
ＤＮ（主体者識別名）の例を示す。
ｃｎ＝＊．＊．＊、ｏｕ＝ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ，ｏ＝ＸＸＸ Ｉｎｃ．，ｃ＝ｊｐ
【０３０５】
この例では、ｃｎはワイルドカードで表され、ホスト名に３つのドメインコンポーネントをもつ任意の情報提供処理装置１５０に対する代理用のサーバ公開鍵証明書であることを表している。代理用暗号鍵保存部１２６では、任意の情報提供処理装置１５０のサーバ公開鍵証明書として利用できるように、ワイルドカードのドメインコンポーネントが例えば２から１０までに対応するｃｎをもつサーバ公開鍵証明書を予め記憶しておき、通信セッションにおける情報提供処理装置１５０のホスト名のドメインコンポーネントの数によって前記サーバ公開鍵証明書から適切なものが選択されるようにしておく。
【０３０６】
また、Ｃｏｍｍｏｎ Ｎａｍｅ（ｃｎ）の一つ上位のｏｕ属性値として中継処理装置１２０のホスト名（上記例：ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ）を記載している。該ｏｕ属性値はプロキシ回線１６１上のＳＳＬコネクションにおける中継処理装置１２０の真正性確認に用いることができる。これは制御回線１６２で利用者端末１１０の拡張機能処理部１１２が明示的に接続する中継処理装置１２０のホスト名と前記属性値が同じであることで検証することができる。
【０３０７】
ステップＳ３０６では、ステップＳ３０５において新規セッションを開設していればステップＳ３０７へ進み、セッションの再開機能を使っていればステップＳ３１６へ進む。
【０３０８】
ステップＳ３０７では、サーバ側暗号処理部１２５は、ステップＳ３０２で開設したサーバ回線１６３を介して、サーバ通信部１２２を経由してＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信し、ＳＳＬハンドシェイク処理を新規に開始する（図１１のステップＳ１１１１からステップＳ１１１８）。
【０３０９】
サーバ側暗号処理部１２５は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ（オプション）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ等を受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
【０３１０】
また、サーバ側暗号処理部１２５が前記Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は（図１１のステップＳ１１１７）、情報提供処理装置１５０がＳＳＬクライアント認証を要求していることを意味するので、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄に該Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージには、クライアント認証の条件を示す署名アルゴリズムと情報提供処理装置１５０が信用しているルートＣＡの識別名情報が含まれている。
【０３１１】
ステップＳ３０８では、制御処理通信部１２８は該代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明書を利用者端末１１０へ制御回線１６２を介して送信し、利用者端末１１０において該サーバ公開鍵証明書を検証させ、情報提供処理装置１５０に対するサーバ認証を実施させるステップである。そして、制御処理通信部１２８は、その検証結果を通信制御部１２４へ渡す（図１１のステップＳ１１１９からステップＳ１１２２）。ステップＳ３０８の詳細処理は、図５を用いて後述する。
【０３１２】
ステップＳ３０９では、通信制御部１２４は、制御処理通信部１２８から渡されたステップＳ３０８におけるサーバ認証処理の結果が、成功であればステップＳ３１０へ進み、失敗であればステップＳ３２０へ進む。ここで、通信制御部１２４は、ステップＳ３０８で、利用者端末１１０から検証が成功した旨を受信した場合は、サーバ認証処理の結果が、成功として判定し、一方、利用者端末１１０から、検証が成功しなかった旨を受信した場合は、サーバ認証処理の結果が、失敗として判定する。
【０３１３】
ステップＳ３１０では、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄を参照し、値が存在すればステップＳ３１１へ進み、値が存在しなければステップＳ３１２へ進む。
【０３１４】
ステップＳ３１１では、中継処理装置１２０は、利用者端末１１０と連携することにより、情報提供処理装置１５０から要求されたクライアント認証に応答するための処理を行う（図１１のステップＳ１１２３からステップＳ１１２９）。ステップＳ３１１の詳細処理は、図６を用いて後述する。
【０３１５】
ステップＳ３１２では、サーバ側暗号処理部１２５において、サーバ通信部１２２を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを情報提供処理装置１５０に送信して、前記サーバ回線１６３におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３０からステップＳ１１３１）。
【０３１６】
ステップＳ３１３では、クライアント側暗号処理部１２３において、クライアント通信部１２１を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄを利用者端末１１０に送信して、プロキシ回線１６１におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３２からステップＳ１１３３）。
【０３１７】
ステップＳ３１４では、既に確立した、プロキシ回線１６１のＳＳＬセッションと、サーバ回線１６３のＳＳＬセッションと、の２つのＳＳＬセッションの間でアプリケーションメッセージを中継する。この時、付加機能処理部１３０において平文化されたメッセージに対して、付加機能による処理が実行される（図１１のステップＳ１１３４からステップＳ１１３７）。詳細は後述する。
【０３１８】
ステップＳ３１５では、ステップＳ３１４におけるアプリケーションメッセージの交換が終了すると、情報提供処理装置１５０もしくは利用者端末１１０からＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージによるセッション終了通知が送信される。クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５において該メッセージを受信すると、クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５はＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージを返信しＳＳＬセッションを終了し、通信回線（プロキシ回線、又はサーバ回線）を切断する。次に反対側のＳＳＬセッションの終了処理と通信回線（プロキシ回線、又はサーバ回線）の切断処理を実施する。
【０３１９】
（ＳＳＬセッション再開機能を使う場合）
ステップＳ３１６では、通信制御部１２４は、サーバ回線１６３においてＳＳＬセッションの再開が可能か否かを判定する。
【０３２０】
すなわち、通信制御部１２４は、利用者端末１１０から受信したセッションＩＤが含まれている代理通信セッションレコードのセッションＩＤーＳ欄に値が存在するか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在すると判定された場合、サーバ側暗号処理部１２５から該セッションＩＤの値を付加したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを、サーバ通信部１２２を経由してサーバ回線を介して情報提供処理装置１５０へ送信する。
【０３２１】
次に、サーバ側暗号処理部１２５は、情報提供処理装置１５０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれているか否かを判定し、該セッションＩＤが含まれていると判定された場合は、セッション再開が可能と判定しステップＳ３１２へ進む。
【０３２２】
通信制御部１２４は、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在しない場合、もしくは存在してもＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれていなければ、セッション再開は不可と判定しステップＳ３１７へ進む。
【０３２３】
ステップＳ３１７では、通信制御部１２４は、ステップＳ３０７と同様に、サーバ回線１６３上で新しいＳＳＬセッションを開始する。
【０３２４】
通信制御部１２４は、情報提供処理装置１５０からのＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると、該メッセージからサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書と代理通信セッションレコードのサーバ証明書欄の値とを比較する。当該比較の結果、両者が同一でなかった場合は、代理通信セッションレコードのサーバ証明書欄を該サーバ公開鍵証明書で上書き保存する。
【０３２５】
また、通信制御部１２４は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は、ステップＳ３０７と同様に代理通信セッションレコードのクライアント認証要求欄に該ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。
【０３２６】
ステップＳ３１８では、通信制御部１２４は、ステップＳ３１７におけるサーバ公開鍵証明書の比較の結果を参照し、真（同一）ならばステップＳ３１０へ進み、偽（同一ではない）ならば再度サーバ公開鍵証明書を利用者端末１１０で検証させるためにステップＳ３０８へ進む。
【０３２７】
（エラー処理）
ステップＳ３２０では、制御処理通信部１２８は、ステップＳ３０８におけるサーバ証明書の検証処理が失敗したことを通信制御部１２４へ通知し、通信制御部１２４は、サーバ側暗号処理部１２５に情報提供処理装置１５０とのＳＳＬハンドシェイク処理をエラー終了するように通知し、サーバ側暗号処理部１２５は、サーバ通信部１２２を経由して、サーバ回線１６３を介してＳＳＬのＳＳＬ ｂａｄ ｃｅｒｔｉｆｉｃａｔｅ ａｌｅｒｔメッセージを情報提供処理装置１５０へ送信し、サーバ回線１６３を切断し、終了する。
【０３２８】
（図４ 通信方式決定処理の詳細）
次に、図３におけるステップＳ３０１の詳細である利用者端末１１０と中継処理装置１２０とにおける通信方式決定処理のフローを、図４を用いて説明する。
【０３２９】
図４に示すステップＳ４０１からステップＳ４０３、ステップＳ４０６からステップＳ４０８の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３３０】
また、ステップＳ４０４、ステップＳ４０５、ステップＳ４０９の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３３１】
なお、図４で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３３２】
ステップＳ４０１では、利用者端末１１０の閲覧処理部１１１は、利用者が”ｈｔｔｐｓ：／／・・・”形式のＵＲＬのリンクをクリックしたり、アドレスバーに入力するなどして、情報提供処理装置１５０への暗号化通信の要求イベントを検知すると、拡張機能処理部１１２へ該ＵＲＬを渡し制御を移す。
【０３３３】
ステップＳ４０２では、利用者端末１１０の拡張機能処理部１１２は、当該ＵＲＬの中のホスト名とポート番号からサーバ識別子（サイト情報）を生成し、該サーバ識別子をキーに管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）からレコードを検索する。
【０３３４】
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがあれば該レコードの通信方式欄の値を通信方式とし処理を終了する。この場合は、利用者端末１１０のクライアント通信方式キャッシュ表の該レコード（キャッシュ情報）が存在すれば、中継処理装置１２０のプロキシ通信方式キャッシュ表（図９）にも同じ通信条件のキャッシュ情報が存在する。
【０３３５】
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがなければ新規に通信方式を決定するためにステップＳ４０３へ進む。
【０３３６】
ステップＳ４０３では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する。すなわち、利用者端末１１０と中継処理装置１２０との間でＳＳＬによる暗号化通信の回線（制御回線１６２）を確立する。この接続回線を制御回線１６２と呼ぶ。利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０２で生成したサーバ識別子と、利用者端末１１０のＩＰアドレスと閲覧処理部１１１識別子からなるクライアント識別子と、をもつ通信方式問い合わせ要求メッセージを中継処理装置１２０へ送信する。
【０３３７】
ステップＳ４０４では、中継処理装置１２０の制御処理通信部１２８が、ステップＳ４０３の通信方式問い合わせ要求メッセージを受信し、サーバ識別子とクライアント識別子を取得する（受付手段）。サーバ識別子は、中継先情報の適用例である。また、クライアント識別子（ＩＰアドレス）は、クライアント情報の適用例である。
【０３３８】
ステップＳ４０５では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０４で取得した情報提供処理装置１５０を識別するサーバ識別子と、利用者端末１１０の閲覧処理部１１１を識別するクライアント識別子と、を元に管理表保存部１２９の通信方式決定表（通信方式設定情報）（図８）のサーバ条件とクライアント条件に合致するレコードを検索し、合致するレコードの通信方式を、確立が許可された通信の通信方式として決定する（通信決定手段）。
【０３３９】
サーバ条件のドメイン名欄との照合は、サーバ識別子から情報提供処理装置１５０のホスト名を取り出し、該ホスト名とドメイン名欄の値に対して文字列パターンマッチングを行う。サーバ条件のカテゴリー欄との照合は、ホスト名（ドメイン名）をカテゴリーに変換する。ここでは不図示の、ホスト名（ドメイン名）とカテゴリーとが対応付けられた変換テーブル等を用いて、サーバ識別子から取り出したホスト名から、当該ホスト名に対応するカテゴリーを算出（決定）し、該カテゴリーとカテゴリー欄の値を比較する。クライアント条件のアドレス欄の照合は、クライアント識別子からＩＰアドレスを取り出し、該ＩＰアドレスと値との照合を行う。クライアント条件の認証グループ欄の照合は、中継処理装置１２０が利用者端末１１０の閲覧処理部１１１の利用者を認証した場合に入力された利用者の属性値と照合するにより行う。中継処理装置１２０が利用者端末１１０の閲覧処理部１１１を利用する利用者を認証する手段に関しては詳細には記載しないが、例えば、プロキシ回線１６１上でＨＴＴＰのプロキシ認証を実施する手段や制御回線１６２のＨＴＴＰＳトランザクションにおいてＳＳＬクライアント認証やＨＴＴＰダイジェスト認証等を実施する手段を使うことができる。
【０３４０】
また、通信方式決定表では、図８の８０４で示されるような全ての通信要求条件に合致するレコードを持たせ必ず通信方式が決定されるようにしておく。
【０３４１】
すなわち、通信方式決定表（図８）は、各レコードの条件を判断する優先順位を有しており、一番上のレコードから下のレコードに向って、順次、各レコードの条件に合致するかの判断がなされる。
【０３４２】
次に、制御処理通信部１２８は、検索の結果、得られたレコードの通信方式欄の値を、利用者端末１１０の拡張機能処理部１１２へ応答メッセージとして送信する。
【０３４３】
ここでは、中継処理装置１２０は、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０は、中継処理装置１２０から受信した通信方式欄の値に従って、後述する図１３又は図１４に示す画面を表示する。
【０３４４】
他の方法としては、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）に従って決定される図１３又は図１４に示す画面を表示するための画面情報を中継処理装置１２０が利用者端末１１０に送信し、当該画面情報を受信した利用者端末１１０が、当該画面情報に従って図１３又は１４の画面を表示するようにしてもよい。
【０３４５】
すなわち、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して“選択（通信方式が選択を示す情報）”（“選択”は指示情報の適用例である）が通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（直接または代理）を選択するための画面情報（図１４）を、制御回線を介して利用者端末に送信する（通信方式送信手段）（ステップＳ４０５）。ここで送信される画面情報、又は通信方式は、通信方式指示情報の適用例である。
【０３４６】
また、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して、通信方式が代理を示す情報が、通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（“代理”または“通信しない”）を選択するための画面情報（図１３）を、制御回線を介して利用者端末に送信する（ステップＳ４０５）。
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式を選択するための画面情報を中継処理装置１２０から受信する。
【０３４７】
すなわち、利用者端末１１０は、中継処理装置から画面情報を受信すると、当該画面情報に従って、図１３又は図１４に示す画面を表示する。図１４は、指示画面の適用例である。 このように、利用者端末１１０を操作しているユーザ（操作ユーザ）は、確立が許可される通信方式として、“代理”（代理通信方式）が決定された場合、代理通信方式で通信するか、通信自体を行わないかの選択しか行えず、通信を行うためには、必ず代理通信方式が選ばれることになる。すなわち、中継処理装置１２０は、確立が許可される通信方式として代理通信方式が決定されたことを条件に、代理通信方式による通信が確立されることとなる。
【０３４８】
次に、中継処理装置１２０が、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０が、中継処理装置１２０から受信した通信方式欄の値に従って、図１３又は図１４に示す画面を表示する場合について説明する。
【０３４９】
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式（直接または代理または選択）を中継処理装置１２０から受信する。
【０３５０】
【０３５１】
ステップＳ４０７では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０６で受信した通信方式の値に基づき、図１３又は図１４に示すダイアログボックスを表示する。
【０３５２】
このとき、通信方式が”直接”の場合は、ダイアログボックスは表示しない。すなわち、通信方式が“直接”（直接通信方式）の場合は、確立する通信の通信方式が“直接”（直接通信方式）となる。
【０３５３】
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”代理”の場合は、図１３に例を示すようなダイアログボックス（画面）を表示し、利用者に、”利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号されセキュリティ検査等の付加機能処理が適用される”という旨のメッセージを表示し承諾するか否かを選択させる。利用者端末１１０は、図１３の画面において利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２は通信方式を”代理”のままにし、「許可しない」ボタンをクリックした場合には通信方式を”選択なし”という値に更新する。
【０３５４】
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”選択”の場合は、図１４に例を示すようなダイアログボックス（画面）を表示し、利用者に、利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号しセキュリティ検査等の付加機能処理を実行するか、もしくは情報提供処理装置１５０との間はエンドツーエンドの暗号化通信を行い、中継処理装置１２０では平文化通信メッセージが検査や記録できないようにするか、を選択させる。利用者端末１１０は、図１４の画面において、利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２における通信方式を”代理”という値に更新し、「許可しない」ボタンをクリックした場合には通信方式を”直接”という値に更新する。
【０３５５】
次に、拡張機能処理部１１２は、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）にサーバ識別子と決定日時と、選択された通信方式の値からなる新しいレコードを作成する。
【０３５６】
ステップＳ４０８では、利用者端末１１０の拡張機能処理部１１２は、利用者により選択されたボタンが「許可する」ボタンである場合（すなわち、通信方式が“代理”の場合）、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する（制御回線１６２の開設）。
【０３５７】
また、拡張機能処理部１１２は、利用者により、図１４の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“直接”の場合）、制御回線１６２は開設しない。また、拡張機能処理部１１２は、利用者により、図１３の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“選択なし”の場合）、制御回線１６２は開設しない。
【０３５８】
そして、利用者端末１１０の拡張機能処理部１１２は、サーバ識別子と、クライアント識別子と、ステップＳ４０７において選択された通信方式の値と、ステップＳ４０７で決定した通信方式の中継処理装置１２０における有効期限と、をもつ通信方式通知メッセージを中継処理装置１２０へ送信する。
【０３５９】
該有効期限は通信方式の中継処理装置１２０上での利用可能な有効期限として表し、ステップＳ４０７の処理日時から数時間程度（所定時間）進めた日時などを用いる。
【０３６０】
ステップＳ４０９では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０８の通信方式通知メッセージ（選択結果）を受信し（通信方式受信手段）、当該通信方式通知メッセージに含まれる、サーバ識別子とクライアント識別子と決定された通信方式と有効期限とからなるレコードを作成し、該レコードを管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。以上で、通信方式決定処理を終了する。
【０３６１】
（図５ サーバ証明書検証処理の詳細）
次に、図３におけるステップＳ３０８の詳細である利用者端末１１０と中継処理装置１２０とにおけるサーバ証明書検証処理のフローを、図５を用いて説明する。
【０３６２】
図５に示すステップＳ５０３、ステップＳ５０５からステップＳ５０７の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３６３】
また、ステップＳ５０１、ステップＳ５０２、ステップＳ５０４、ステップＳ５０８の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３６４】
なお、図５で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３６５】
ステップＳ５０１では、中継処理装置１２０の通信制御部１２４は、代理通信セッションレコードのサーバ証明書欄から情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書の有効性を検証する。
【０３６６】
検証項目としては、該サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１３１中に記憶されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。
【０３６７】
ステップＳ５０２では、中継処理装置１２０は、ステップＳ５０１の前記サーバ公開鍵証明書の検証が成功したか否かを判定し、成功したと判定されればステップＳ５０４へ進み、失敗したと判定されたのであれば、失敗という結果情報を通信制御部１２４へ通知し終了する。
【０３６８】
ステップＳ５０３では、利用者端末１１０の拡張機能処理部１１２は、制御回線１６２を介して、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、情報提供処理装置１５０のサーバ識別子と利用者端末１１０のクライアント識別子と共に、情報提供処理装置１５０のサーバ公開鍵証明書の取得要求メッセージを送信する（図１１のステップＳ１１１９）。
【０３６９】
ステップＳ５０４では、制御処理通信部１２８は、ステップＳ５０１で送られたサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から当該キーに一致するレコードを検索する。そして、制御処理通信部１２８は、管理表保存部１２９の代理通信セッション管理表の中から一致するレコード（代理通信セッションレコード）を取得する。そして該レコードのサーバ証明書欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２０）（送信手段）。
【０３７０】
すなわち、中継処理装置１２０は、サーバ回線１６３の暗号化通信の回線を確立する際に用いられる（情報提供処理装置１５０から取得した）情報提供処理装置１５０のサーバ公開鍵証明書を、制御回線１６２を介して利用者端末１１０に送信する。
【０３７１】
ステップＳ５０５では、拡張機能処理部１１２は、ステップＳ５０３で受信したサーバ公開鍵証明書の有効性を検証する（図１１のステップＳ１１２１）。検証手段としては閲覧処理部１１１によってＳＳＬハンドシェイク中に実施されるサーバ証明書の検証と同程度の検証を実施する。検査項目としては、前記サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１１５中の保存されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。さらに、拡張機能処理部１１２は、サーバ公開鍵証明書中の主体者名と情報提供処理装置１５０のホスト名が一致するか否かを確認する（ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」記載の方法）。
【０３７２】
ステップＳ５０６では、拡張機能処理部１１２は、ステップＳ５０３で実施した検証結果とサーバ公開鍵証明書の内容を、ダイアログボックスを用いて表示し、利用者へサーバ公開鍵証明書を信頼して通信を継続するか否かの確認を取る（図１１のステップＳ１１２１）。図１５にダイアログボックスの例を示す。
【０３７３】
拡張機能処理部１１２は、図１５に示す画面内の「許可する」ボタンが押下されたか否かを判定して、押下されたと判定された場合は、確認結果として検証が成功した旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。一方、拡張機能処理部１１２は、「許可する」ボタンが押下されず、「許可しない」ボタンが押下されたと判定された場合は、確認結果として検証が成功しなかった旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。
【０３７４】
ステップＳ５０７では、拡張機能処理部１１２は、ステップＳ５０４で実施した利用者による情報提供処理装置１５０のサーバ公開鍵証明書の確認結果を検証結果として中継処理装置１２０の制御処理通信部１２８へ送信する（図１１のステップＳ１１２２）。
【０３７５】
ステップＳ５０８では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を受信し、該結果を通信制御部１２４へ通知する。
【０３７６】
以上で、サーバ証明書検証処理を終了する。
【０３７７】
ここでは、利用者端末１１０は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を、最終的な検証結果として、中継処理装置１２０に送信しているが、拡張機能処理部１１２が実行する検証処理の結果を、最終的な検証結果として中継処理装置１２０に送信するようにしてもよい。
【０３７８】
（図６ クライアント認証処理の詳細）
【０３７９】
次に、図３におけるステップＳ３１１の詳細である利用者端末１１０と中継処理装置１２０とにおけるクライアント認証処理のフローを、図６を用いて説明する。
【０３８０】
図６に示すステップＳ６０１、ステップＳ６０３からステップＳ６０５、ステップＳ６１０、ステップＳ６１１、ステップＳ６１３、ステップＳ６１４は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３８１】
また、ステップＳ６０３、ステップＳ６０６からステップＳ６１２、ステップＳ６１５、ステップＳ６１６は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３８２】
なお、図６で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３８３】
ステップＳ６０１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し（制御回線１６２の開設）、サーバ識別子とクライアント識別子と共に、情報提供処理装置１５０のクライアント認証条件の取得要求メッセージを送信する。
【０３８４】
ステップＳ６０２では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ６０１で受信したサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から、当該キーに一致するレコードを検索する。そして、中継処理装置１２０の制御処理通信部１２８は、検索の結果、管理表保存部１２９の代理通信セッション管理表の中から得られたレコード（代理通信セッションレコード）を取得する。
【０３８５】
そして、中継処理装置１２０の制御処理通信部１２８は、取得された該代理通信セッションレコードのクライアント認証要求欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２３）。
【０３８６】
ステップＳ６０３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０１で中継処理装置１２０から受信したクライアント認証要求の値を解析し、条件となっている署名アルゴリズムやＣＡ識別名を取得し、それらの条件に適合するクライアント公開鍵証明書を、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書群の中から取得する（図１１のステップＳ１１２４）。
【０３８７】
ステップＳ６０４では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０３で取得したクライアント公開鍵証明書の内容を含むダイアログボックス等を表示することで利用者へ示す。そして、利用者端末１１０の拡張機能処理部１１２は、情報提供処理装置１５０へのクライアント認証に利用する証明書として、当該クライアント公開鍵証明書の使用の可否の選択を受け付ける（図１１のステップＳ１１２４）。もし、ステップＳ６０３で取得したクライアント公開鍵証明書が複数の場合は、拡張機能処理部１１２は、ダイアログボックス等を表示してクライアント認証に用いるクライアント公開鍵証明書として利用者に１つを選択させた後に確認処理を行う（使用の可否の選択を受け付ける）。拡張機能処理部１１２は、ステップＳ６０３において条件に適合するクライアント公開鍵証明書がなかった場合は何もしない。
【０３８８】
ステップＳ６０５では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において利用者が利用確認した（利用者により選択された）クライアント公開鍵証明書を中継処理装置１２０へ送信する（図１１のステップＳ１１２５）。また、拡張機能処理部１１２は、ステップＳ６０４においてクライアント公開鍵証明書がなかった場合は該当なしの旨のメッセージを送信する。
【０３８９】
ステップＳ６０６では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０からクライアント公開鍵証明書を受信し、該クライアント公開鍵証明書を通信制御部１２４へ渡す。すなわち、ステップＳ６０６では、中継処理装置１２０は、制御回線１６２を用いて、利用者端末１１０からクライアント公開鍵証明書を取得する（取得手段）。
【０３９０】
ステップＳ６０７では、中継処理装置１２０の通信制御部１２４は、当該クライアント公開鍵証明書を代理通信セッションレコードのクライアント証明書欄に保存する。
【０３９１】
次に、通信制御部１２４は、該クライアント公開鍵証明書をサーバ側暗号処理部１２５に渡す。サーバ側暗号処理部１２５は、サーバ回線１６３における情報提供処理装置１５０とのＳＳＬハンドシェイク処理において、該クライアント公開鍵証明書を含んだＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを作成し情報提供処理装置１５０へ送信する（図１１のステップＳ１１２６）（公開鍵送信手段）。中継処理装置１２０は、ステップＳ６０６においてクライアント公開鍵証明書がないメッセージを受信していた場合は、サーバ側暗号処理部１２５は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの証明書領域は空のままにして、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。
【０３９２】
ステップＳ６０８では、中継処理装置１２０の制御処理通信部１２８は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの中にクライアント公開鍵証明書がない場合は、中継処理装置１２０側の処理を終了する。制御処理通信部１２８は、中継処理装置１２０の制御処理通信部１２８は、当該メッセージの中にクライアント公開鍵証明書があった場合はステップＳ６０９へ進む。
【０３９３】
ステップＳ６０９では、中継処理装置１２０の通信制御部１２４は、ＳＳＬ（ＴＬＳを含む）の規約に基づいて署名対象データを作成する。例えば、ＴＬＳ／１．０における署名対象データは、ＲＦＣ２２４６の「７．４．８．ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージ」に記載されているように、ＳＳＬ ＣｌｉｅｎｔＨｅｌｌｏメッセージから現在までのメッセージで、ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージを除く、送信または受信した全てのハンドシェイクメッセージを連結したデータのメッセージダイジェスト値となる。すなわち、署名対象データは、サーバ回線１６３の暗号化通信を確立するために情報提供処理装置１５０と通信したデータである。中継処理装置１２０の通信制御部１２４は、作成した署名対象データを制御処理通信部１２８へ渡す。
【０３９４】
ステップＳ６１０では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において条件に適合するクライアント公開鍵証明書がなかった場合は、利用者端末側の処理を終了する。拡張機能処理部１１２は、クライアント公開鍵証明書があった場合はステップＳ６１１へ進む。
【０３９５】
ステップＳ６１１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、署名対象データ要求メッセージを中継処理装置１２０に送信する。利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０がステップＳ６１２において送信した署名対象データを受信する。
【０３９６】
ステップＳ６１２では、中継処理装置１２０の制御処理通信部１２８は、当該署名対象データ要求メッセージを利用者端末１１０から受信すると、ステップＳ６０９で生成された署名対象データを利用者端末１１０の拡張機能処理部１１２へ送信する（図１１のステップＳ１１２７）。
【０３９７】
ステップＳ６１３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０５で中継処理装置１２０へ送信したクライアント公開鍵証明書と対になる秘密鍵を暗号鍵保存部１１３から取得し、該秘密鍵を用いてステップＳ６１１で受信した署名対象データに対して署名処理を施して（暗号化して）署名データを作成する。
【０３９８】
ステップＳ６１４では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、ステップＳ６１３で作成した署名データを中継処理装置１２０に送信する（図１１のステップＳ１１２８）。
【０３９９】
ステップＳ６１５では、中継処理装置１２０の制御処理通信部１２８は、当該署名データを利用者端末１１０から受信し、該署名データを通信制御部１２４へ渡す。
【０４００】
ステップＳ６１６では、中継処理装置１２０の通信制御部１２４は、当該署名データをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は該署名データを含んだＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する（図１１のステップＳ１１２９）（署名データ送信手段）。
【０４０１】
以上で、クライアント認証処理を終了する。
【０４０２】
（図７ ＡＰデータ中継処理の詳細）
【０４０３】
次に、図３におけるステップＳ３１４の詳細である中継処理装置１２０におけるＡＰ（アプリケーション）データ（通信データ）の中継処理のフローを、図７を用いて説明する。
なお、図７に示すステップＳ７０１からステップＳ７１３は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
【０４０４】
ステップＳ７０１では、クライアント通信部１２１は、プロキシ回線１６１を介して利用者端末１１０から暗号化通信要求メッセージを受信し、該暗号化通信要求メッセージをクライアント側暗号処理部１２３へ渡す。
【０４０５】
ステップＳ７０２では、クライアント側暗号処理部１２３は、当該暗号化通信要求メッセージ（第１の暗号化データ）を、代理通信セッションレコード（図１０の現在処理対象のレコード）の共通鍵その他ーＣ欄の記憶されている共通鍵（第１の共通鍵）を用いて復号化し（第１復号手段）、当該復号化された平文化通信要求メッセージを作成する。クライアント側暗号処理部１２３は、該平文化通信要求メッセージを通信制御部１２４へ渡す。
【０４０６】
ステップＳ７０３では、通信制御部１２４は、平文化通信要求メッセージ（第１の暗号化データを復号することにより得られる通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、前記平文化通信要求メッセージに対して付加機能（検査）を実行する（第１検査手段）。付加機能処理部１３０は、付加機能の実行結果（検査結果）として、中継処理の継続可否を示す中継可否判定結果と、中継用の平文化通信要求メッセージと、を通信制御部１２４へ渡す。
【０４０７】
付加機能（検査処理）の例としては、例えば、平文化通信要求メッセージに対し、キーワード検査を行って機密情報として外部への送信が禁止されているデータが含まれているか否かを検査する処理などがある。その結果、平文化通信要求メッセージに禁止されているデータが含まれていなかったと判定されれば、中継可否判定結果は”可”となり、中継用の平文化通信要求メッセージは、元の平文化通信要求メッセージに対して「検査済み」であるヘッダーが付加されたメッセージとなるケースなどが想定されている。このように、付加機能処理部１３０は、復号されたデータを検査する付加機能の処理（検査処理）を行う。
【０４０８】
ステップＳ７０４では、通信制御部１２４は、付加機能の処理の結果、中継可否判定結果が”可”ならばステップＳ７０５へ進み、”不可”ならばステップＳ７１３へ進む（第１決定手段）。
【０４０９】
ステップＳ７０５では、通信制御部１２４は、中継用の平文化通信要求メッセージをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は、該中継用の平文化通信要求メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信要求メッセージを作成する。
【０４１０】
ステップＳ７０６では、サーバ側暗号処理部１２５は、中継用の暗号化通信要求メッセージをサーバ通信部１２２へ渡し、サーバ通信部１２２は、該中継用の暗号化通信要求メッセージを情報提供処理装置１５０のサーバ処理部１５１へ送信する。
【０４１１】
ステップＳ７０７では、サーバ通信部１２２は情報提供処理装置１５０のサーバ処理部１５１から暗号化された暗号化通信応答メッセージ（第２の暗号化データ）を受信し、該暗号化通信応答メッセージをサーバ側暗号処理部１２５へ渡す。
【０４１２】
ステップＳ７０８では、サーバ側暗号処理部１２５は、該暗号化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵（第２の共通鍵）を用いて復号化して（第２復号手段）、当該復号された平文化通信応答メッセージを作成する。サーバ側暗号処理部１２５は、該平文化通信応答メッセージを通信制御部１２４へ渡す。
【０４１３】
ステップＳ７０９では、通信制御部１２４は、平文化通信応答メッセージ（第２の暗号化データを復号することにより得られた通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、該平文化通信応答メッセージに対して付加機能を実行する（第２検査手段）。付加機能処理部１３０は、前記付加機能の実行結果として、中継処理の継続可否を示す中継可否判定結果と、中継用平文化通信応答メッセージと、を通信制御部１２４へ渡す。
【０４１４】
付加機能の例としては、例えば、平文化通信応答メッセージに対しアンチウィルス処理を行うなどがある。この場合、付加機能処理部１３０は、平文化通信応答メッセージにウィルスが含まれているか否かを検査して、平文化通信応答メッセージにウィルスが含まれていると判定されれば、中継可否判定結果は”不可”となる。この場合、中継処理装置１２０は、中継用の平文化通信応答メッセージを利用者端末１１０には送信せず、”ウィルスが検知されたため通信回線を遮断しました”等のメッセージを利用者端末１１０に送信するなどが想定されている。
【０４１５】
すなわち、中継処理装置１２０は、付加機能処理部１３０による付加機能の実行結果として、中継可否判定結果が”不可”の場合は、平文化通信応答メッセージを利用者端末１１０には送信せず、一方、中継可否判定結果が“可”の場合は、平文化通信応答メッセージを利用者端末１１０に中継することを決定する（第２決定手段）。
【０４１６】
付加機能処理部１３０による検査結果として中継可否判定結果が“可”の場合（例えば、平文化通信応答メッセージにウィルスが含まれていないと判定された場合）、ステップＳ７１０では、通信制御部１２４は、中継用の平文化通信応答メッセージをクライアント側暗号処理部１２３へ渡し、クライアント側暗号処理部１２３は、該中継用の平文化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して中継用の暗号化通信応答メッセージを作成する。
【０４１７】
ステップＳ７１１では、クライアント側暗号処理部１２３は、中継用の暗号化通信応答メッセージをクライアント通信部１２１へ渡し、クライアント通信部１２１は、該中継用の暗号化通信応答メッセージを、利用者端末１１０の閲覧処理部１１１へ送信する。
【０４１８】
ステップＳ７１２では、通信制御部１２４は平文化通信応答メッセージなどからアプリケーション通信（ＨＴＴＰトランザクション）を終了するかどうか判定し、終了すると判定すれば処理を終了する。継続すると判定すればステップＳ７０１へ進む。
【０４１９】
ステップＳ７１３では、通信制御部１２４は、ステップＳ７０３で生成された中継可否判定結果（中継可否判定結果が”不可”）と中継用の平文化通信要求メッセージに基づき、「リクエスト送信は禁止されました」等の中継用の平文化通信応答メッセージを作成して、ステップＳ７１０へ進む。ステップＳ７１０では、中継処理装置１２０は、ここで生成された中継用の平文化通信応答メッセージを、代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信応答メッセージを作成し、ステップＳ７１１で利用者端末１１０に送信する。
【０４２０】
以上で、ＡＰデータ中継処理を終了する。
【０４２１】
以上説明したように、本実施形態によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。
【０４２２】
さらに、本実施形態によれば、例えば、銀行の預金などのＷｅｂページを利用者端末で閲覧する場合、中継処理装置で、利用者端末の操作ユーザのパスワードなどの個人の情報も検査してしまうことが低減される。
【０４２３】
すなわち、Ｗｅｂサイトに応じて、通信されるデータを検査するか否かを決定することができるため、情報漏えい等のセキュリティを向上させると共に、個人の情報を取得し検査しないように制御することも可能である。
【０４２４】
また、本実施形態によれば、情報提供処理装置は、通信相手である利用者端末の真正性を確認することができるようになる。
【０４２５】
また、本発明によれば、代理方式による暗号化通信を再開する場合、既に記憶されているセッションＩＤや共通鍵を用いて再開することが可能となる。
【０４２６】
以上、実施形態例を詳述したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【０４２７】
＜第２の実施形態＞
第１の実施形態では、ＨＴＴＰＳ（ＨＴＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む））通信において、利用者端末１１０が中継処理装置１２０（プロキシサーバ）へＣＯＮＮＥＣＴメソッドで接続し情報提供処理装置１５０（Ｗｅｂサーバ）への通信をトンネリングする仕組みに対して、暗号化通信情報を復号化し付加機能を実行する方法と、その場合においてもエンティティ認証を有効に機能させる方法について説明した。しかしながら、ＣＯＮＮＥＣＴメソッドによる中継プロトコルはＨＴＴＰ通信に限定されない汎用のトランスポート通信のトンネリング手法であるため、たとえば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＰＯＰ３ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＳＭＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）等のＳＳＬ（ＴＬＳを含む）を使う他の通信プロトコルの場合でも同様の構成で適用することができる。
【０４２８】
例えば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）に適用する場合は、利用者端末１１０の閲覧処理部１１１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）クライアント機能を備えたメールユーザエージェントであり、情報提供処理装置１５０のサーバ処理部１５１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）機能を備えたＩＭＡＰサーバとなる。
【０４２９】
以上説明したように、本実施の形態によれば、各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認することができる。
【０４３０】
また、制御回線もＳＳＬ通信であるので、中継処理装置自体のなりすましも防止できる。 次に、図１９、及び図２０を用いて、本発明における中継処理装置の機能について説明する。
【０４３１】
図１９は、本発明における中継処理装置の機能ブロック図である。１９０１は、本発明における中継処理装置を示している。
【０４３２】
すなわち、１９０１は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
【０４３３】
ここで、本実施例の利用者端末１１０は、本発明のクライアント端末の適用例である。また、本実施例の情報提供処理装置１５０は、本発明の情報処理装置の適用例である。 １９０２は、クライアント端末と通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立部である。 １９０３は、情報処理装置と通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立部である。
【０４３４】
１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、第１の確立部により第１のＳＳＬ通信を確立するクライアント端末に送信する送信部である。
【０４３５】
次に、図２０を用いて、本発明における中継処理装置の機能について説明する。
【０４３６】
図２０は、本発明における中継処理装置の機能ブロック図である。
【０４３７】
２０００は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
【０４３８】
１９０２、１９０３、１９０４は、図１９で説明した機能と同様であるため、ここでは説明を省略する。 ２００１は、クライアント端末と制御通信を確立する通信確立部である。
【０４３９】
また、送信部１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、通信確立部により確立された制御通信を用いて、第１の確立部により第１のＳＳＬ通信の確立を行うクライアント端末に送信する。
【０４４０】
２００２は、クライアント端末から、情報処理装置へのＳＳＬ通信の要求を受信する受信部である。
【０４４１】
２００３は、受信部でクライアント端末からＳＳＬ通信の要求を受信したことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する制御部である。
【０４４２】
２００４は、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する中継部である。
【０４４３】
２００５は、クライアント端末から送信される通信データの中継先の情報処理装置を示す中継先情報に対して、通信データの中継を許可する通信方式として、中継部で第３のＳＳＬ通信を用いて通信データの中継を行う直接通信方式か、第１確立部により確立される第１のＳＳＬ通信、及び第２確立部により確立される第２のＳＳＬ通信を用いて通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶部である。
【０４４４】
２００６は、通信データを中継する中継先情報をクライアント端末から受け付ける受付部である。
【０４４５】
２００７は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定部である。
【０４４６】
ここで、制御部２００３は、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。
【０４４７】
また、中継部２００４は、更に、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として直接通信方式が決定されたことを条件に、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する。
【０４４８】
また、記憶部に記憶されている通信方式設定情報は、更に、中継先情報に対して、クライアント端末を示すクライアント情報が設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信決定部は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報と、受付部で受け付けたクライアント情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置と、受付部で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定する。
【０４４９】
記憶部に記憶された通信方式設定情報の通信方式情報は、通信を行う通信方式を、クライアント端末の操作ユーザよる指示に従って決定することを示す指示情報を更に含んでいる。
【０４５０】
２００８は、受付部で受け付けた中継先情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報をクライアント端末に送信する通信方式送信部である。
【０４５１】
２００９は、通信方式送信部で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、クライアント端末から受信する通信方式受信部である。
【０４５２】
また、通信決定部は、更に、通信方式受信部で受信した通信方式情報に示される通信方式を、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間で通信を行う通信方式として決定し、制御部は、更に、通信決定部で、情報処理装置とクライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。
【０４５３】
また、記憶部に記憶されている通信方式設定情報は、中継先情報に対して、クライアント端末を示すクライアント情報が更に設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信方式送信部は、受付部で受け付けた中継先情報、及びクライアント情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式を指示するための指示画面をクライアント端末に表示するための通信方式指示情報をクライアント端末に送信する。
【０４５４】
２０１０は、通信確立部で確立した制御通信を用いてクライアント端末からクライアント端末の公開鍵証明書を取得する取得部である。
【０４５５】
２０１１は、取得部で取得したクライアント端末の公開鍵証明書を、第２確立部で第２のＳＳＬ通信を確立する際に用いられる中継処理装置の公開鍵証明書として情報処理装置に送信する公開鍵送信部である。
【０４５６】
２０１２は、第２確立部で第２のＳＳＬ通信を確立するために情報処理装置と通信したデータが、公開鍵送信部により情報処理装置に送信したクライアント端末の公開鍵証明書に対応する秘密鍵を用いて暗号化されることにより生成される署名データを情報処理装置に送信する署名データ送信部である。
【０４５７】
２０１３は、第１確立部により確立された第１のＳＳＬ通信を用いてクライアント端末から受信した、通信データが暗号化された第１の暗号化データを、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵を用いて復号する第１復号部である。
【０４５８】
２０１４は、第１復号部で第１の暗号化データを復号することにより得られる通信データを検査する第１検査部である。
【０４５９】
２０１５は、第１検査部による検査結果に従って、第１検査部で検査された通信データを情報処理装置に中継するか否かを決定する第１決定部である。
【０４６０】
２０１６は、第２確立部により確立された第２のＳＳＬ通信を用いて情報処理装置から受信した、通信データが暗号化された第２の暗号化データを、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵を用いて復号する第２復号部である。
【０４６１】
２０１７は、第２復号部で第２の暗号化データを復号することにより得られた通信データを検査する第２検査部である。
【０４６２】
２０１８は、第２検査部による検査結果に従って、第２検査部で検査された通信データをクライアント端末に中継するか否かを決定する第２決定部である。
【０４６３】
２０１９は、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵と、該第１のＳＳＬ通信のセッションを識別する第１のセッション識別情報と、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵と、該第２のＳＳＬ通信のセッションを識別する第２のセッション識別情報とを関連付けて記憶する代理通信記憶部である。
【０４６４】
２０２０は、クライアント端末から情報処理装置への、第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信部である。
【０４６５】
２０２１は、再開要求受信部で受信した、ＳＳＬ通信の再開要求に含まれる第１のセッション識別情報が、代理通信記憶部に記憶されているかを判定する判定部である。
【０４６６】
２０２２は、判定部で、第１のセッション識別情報が代理通信記憶部に記憶されていると判定された場合に、該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された第１の共通鍵を用いてクライアント端末と第１のＳＳＬ通信を再開し、かつ該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された、第２の共通鍵と、第２のセッション識別情報とを用いて情報処理装置と第２のＳＳＬ通信を再開する通信再開部である。
【０４６７】
なお、通信確立部２００１で確立される制御通信はＳＳＬ通信である。
【０４６８】
以上、本発明の一実施形態を詳述したが、本発明は、例えば、システム、装置、方法、装置で実行可能なプログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【０４６９】
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。
【０４７０】
この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、プログラムコード自体及びそのプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【０４７１】
プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。
【０４７２】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（基本システム或いはオペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０４７３】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【符号の説明】
【０４７４】
１１０ 利用者端末
１１１ 閲覧処理部
１１２ 拡張機能処理部
１１３ 暗号鍵保存部
１１４ 管理表保存部
１１５ ＣＡ証明書保存部
１２０ 中継所処理装置
１２１ クライアント通信部
１２２ サーバ通信部
１２３ クライアント側暗号処理部
１２４ 代理通信制御部
１２５ サーバ側暗号処理部
１２６ 代理用暗号鍵保存部
１２７ サーバ暗号鍵保存部
１２８ 制御処理通信部
１２９ 管理表保存部
１３０ 付加機能処理部
１３１ ＣＡ証明書保存部
１５０ 情報提供処理装置
１５１ サーバ処理部
１５２ サーバ暗号鍵保存部
１６１ プロキシ回線
１６２ 制御回線
１６３ サーバ回線
【技術分野】
【０００１】
本発明は、中継処理装置、中継処理方法及びプログラムに関し、特に、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認するための技術に関するものである。
【背景技術】
【０００２】
近年、インターネットを介した情報交換が活発になるにつれて、ウィルス・マルウェアによる被害や、企業などにおける顧客情報、営業機密等の情報漏洩による社会的信用の失墜や賠償請求による金銭的損失など、情報セキュリティにかかわる問題が深刻化している。
【０００３】
このような問題に対して、ファイアーウォールやアンチウィルスソフトをはじめとするソフトウェア、情報処理装置によって対策がとられるのが一般的になっている。
【０００４】
特に、インターネットの利用の大半を占めるＷｅｂ通信においては、企業などの組織では、ファイアーウォール、ＵＲＬフィルタリングソフト、アンチウィルスソフト、コンテンツフィルタリングソフト等のシステムによって、業務外利用と考えられるサイトへのアクセス禁止、ダウンロードデータのウィルス検査・駆除、情報漏えいと考えられる外部送信データのアクセス制御等の対策が実施されている。
【０００５】
これらの対策は、利用者の端末装置において実施されるとともに、組織内のネットワークとインターネットとの境界領域に設置された中継処理システムにおいて、中継されるデータの内容を検査することによって実現されている。
【０００６】
しかしながら、Ｗｅｂの通信プロトコルであるＨＴＴＰなどに対して暗号化機能を提供するＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）・ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信に関しては、クライアント端末（単にクライアントとも言う）とサーバの間で通信されるデータが暗号化されている。上記のようなセキュリティを管理する中継処理システムでは、当該暗号化されたデータをトンネルリング（素通し）することでしか処理できないため、通信内容を検査することができず、どのようなアプリケーションプロトコルで接続しているのか、どのような情報を送信しているのか、どのような情報をダウンロードしているか、を中継処理システムにおいて検査・制御することができない。
【０００７】
このため、組織内外の境界領域において防御壁としてセキュリティを高めるネットワークセキュリティシステム（中継処理システムなど）にとっては、通信内容の詳細な検査とアクセス制御が適用できずにいわば抜け穴となってしまっている。
【０００８】
このような問題点に対する解決策として、中間者（ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅ）手法といわれる方式（中間者方式）によって、暗号化通信の内容を中継処理システムにおいて一旦平文に戻した上で通信データの検査を実施することが、非特許文献１に記載されている。
【０００９】
通常のプロキシサーバにおいては、ＳＳＬ（ＴＬＳを含む）上のＨＴＴＰ通信（ＨＴＴＰＳ）を中継する場合、一方（例えばクライアントとプロキシサーバとの間）のトランスポート層コネクションと、もう一方（例えばプロキシサーバとＷｅｂサーバとの間）のトランスポート層コネクションを両方向に橋渡し（トンネリング）することで実現しており、この時、ＳＳＬコネクションはクライアントとＷｅｂサーバ間で確立されている。
【００１０】
これに対し、中間者方式では、クライアントとプロキシサーバとの間で１つのＳＳＬコネクションを確立し、他方のプロキシサーバとＷｅｂサーバとの間でも別のＳＳＬコネクションを確立し、両ＳＳＬコネクションとの間でアプリケーション層データ（ＨＴＴＰトランザクションデータ）を橋渡しすることで中継処理を実現している。このような形態をとることにより、中継処理システムは、暗号化された中継データ（通信データ）を一旦、復号することができ、復号化された平文データに対して検査等の処理を行うことが可能になっている。
【００１１】
また、特許文献１には、中間者方式をベースにして、クライアントがサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホストに基づいてプロキシサーバが作成し、クライアントに提供することが記載されている。
【先行技術文献】
【非特許文献】
【００１２】
【非特許文献１】Ｅｒｉｃ Ｒｅｓｃｏｒｌａ著「マスタリングＴＣＰ／ＩＰ ＳＳＬ（ＴＬＳを含む）編」オーム社 第１版 「９．１６．２ ｍａｎ−ｉｎ−ｔｈｅ−ｍｉｄｄｌｅプロキシ」
【特許文献１】特開２００６−１６５６７８号公報
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、非特許文献１では、クライアント側のＳＳＬコネクション（クライアント端末とプロキシサーバとの間でのＳＳＬコネクション）とＷｅｂサーバ側のＳＳＬコネクション（プロキシサーバとＷｅｂサーバとの間でのＳＳＬコネクション）とが互いに独立して異なっているため、クライアント端末がＷｅｂサーバのサーバ公開鍵証明書を取得することができず、ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証を該Ｗｅｂサーバに対して実行することが出来ない。
【００１４】
すなわち、クライアント端末は、中継処理装置（プロキシサーバ）との間のＳＳＬコネクションで提供される中継処理装置のサーバ公開鍵証明書をＷｅｂサーバの証明書として取得してしまうため、真正な証明書に基づき通信相手の真正性を確認することが難しい。このサーバ公開鍵証明書は中継処理装置のものであるので、通常は１つに固定化され、通信先であるＷｅｂサーバが異なる場合でも常に同じ証明書がクライアント端末に提供されてしまうためである。
【００１５】
また同様に、Ｗｅｂサーバは、ＳＳＬ（ＴＬＳを含む）の機能であるクライアント認証をクライアント端末に対して実行できない。Ｗｅｂサーバは、中継処理装置との間のＳＳＬコネクションで提供される中継処理装置のクライアント公開鍵証明書をクライアントの証明書として取得することしか出来ない。それゆえ、Ｗｅｂサーバは、真正な証明書に基づきクライアント端末の真正性を確認することが難しい。
【００１６】
ＳＳＬ（ＴＬＳを含む）が提供するサーバ認証機能およびクライアント認証機能は、通信相手が正しい通信相手であるかを認証するための仕組みであり、悪意がある第三者がサーバやクライアント端末へのなりすましを行えないようにするため機能である。例えば、上記従来技術のように、サーバ認証が有効に働かないと、利用者がサーバ側のなりすましを発見することができず、本来の意図とは違う悪意のあるサーバへ機密情報、個人情報などを送信するなどの脆弱性が生じてしまう。
【００１７】
また、上記特許文献１では、クライアント端末がサーバ認証のために受け取る一時的な暗号通信中継許可証を、通信時にＷｅｂサーバのホスト名に基づいてプロキシサーバが作成し、クライアント端末に提供していることが記載されている。しかしながら、この暗号通信中継許可証も依然として、本来の接続先であるＷｅｂサーバが有する真のサーバ公開鍵証明書とは異なる。
【００１８】
すなわち、クライアント端末は、プロキシサーバが作り出して提示される、本物とは異なるサーバ公開鍵証明書を、Ｗｅｂサーバのサーバ公開鍵証明書として取得する。それゆえ、クライアント端末は、利用者はＷｅｂサーバが有する真のサーバ公開鍵証明書を確認また検証することができず、Ｗｅｂサーバのなりすましを防ぐ機能が有効に働かなくなっているといえる。
【００１９】
また、上記特許文献１では、クライアント認証に関しても、プロキシサーバが備えるクライアント公開鍵証明書をＷｅｂサーバに提示するという方法が提案されているが、クライアント端末が記憶している、クライアント端末のクライアント公開鍵証明書を、Ｗｅｂサーバに提供することができない。このため、情報提供処理装置においても真のクライアント認証を実施することができない。
【００２０】
すなわち、クライアントとプロキシサーバとの間のＳＳＬコネクションと、Ｗｅｂサーバとプロキシサーバとの間のＳＳＬコネクションとを独立して確立し、クライアント端末とＷＥＢサーバとが、プロキシサーバを介して暗号化通信を行う場合に、ＳＳＬの通信規約により、各ＳＳＬコネクションを確立する際に送受信される公開鍵証明書は、各ＳＳＬコネクションを確立する各装置間の公開鍵証明書である。それゆえ、ＳＳＬの通信規約を変更しない限り、クライアント端末は、真正な証明書に基づき通信相手（クライアント端末とＷｅｂサーバ）の真正性を確認することは出来ない。
【００２１】
また、例えば、プロキシサーバが、プロキシサーバで検査するために一旦復号されたデータに、他のデータを追加して、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信することや、プロキシサーバで記憶されているＷＥＢサーバのサーバ公開鍵証明書を、ＳＳＬの規約に基づき暗号化して、クライアント端末に送信すること等が考えられるが、これを実現するためには、ＳＳＬの規約（ＳＳＬプロトコル）を拡張しなければ実現することはできない。
【００２２】
なぜなら、ＳＳＬプロトコルは、通信エンドポイント間での通信データの暗号化とエンティティ認証を提供することを目的とするものであり、プロキシサーバのような通信エンドポイント（クライアントとＷｅｂサーバ）以外の通信エンティティを認証するための仕組みは規定されておらず、ＳＳＬコネクションのクライアント側エンティティの公開鍵証明書（クライアント端末の公開鍵証明書）とサーバ側エンティティの公開鍵証明書（Ｗｅｂサーバの公開鍵証明書）以外の公開鍵証明書を交換する方法は規定されていないからである。また、ＳＳＬ通信でデータがカプセル化されるＨＴＴＰＳプロトコルにおいても、プロキシサーバとＷｅｂサーバとのＳＳＬ通信を確立する際にプロキシサーバが取得したＷｅｂサーバのサーバ公開鍵証明書の情報を、プロキシサーバがクライアント端末に送信するための方法が規定されていないからである。
【００２３】
そのため、従来、暗号化通信の各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にし、真正な証明書に基づき通信相手の真正性を確認することは困難であった。
【００２４】
本発明は上記の課題を解決するためになされたものであり、その目的は、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる仕組みを提供することである。
【課題を解決するための手段】
【００２５】
本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置であって、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。
【００２６】
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置の中継処理方法であって、前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、を備えることを特徴とする。
【００２７】
また、本発明は、クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置で読み取り実行可能なプログラムであって、前記中継処理装置を、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とする。
【発明の効果】
【００２８】
本発明によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。
【図面の簡単な説明】
【００２９】
【図１】本発明の実施形態における中継処理システムの構成を示す図である。
【図２】本発明の実施形態における各種端末のハードウェア構成を示す図である。
【図３】本発明の実施形態における中継処理装置の基本的な処理フローを示す図である。
【図４】本発明の実施形態における利用者端末と中継処理装置の通信方式決定処理フローを示す図である。
【図５】本発明の実施形態における利用者端末と中継処理装置のサーバ証明書検証処理フローを示す図である。
【図６】本発明の実施形態における利用者端末と中継処理装置のクライアント認証処理フローを示す図である。
【図７】本発明の実施形態における中継処理装置のＡＰデータ中継処理フローを示す図である。
【図８】本発明の実施形態における中継処理装置の通信方式決定表の例を示す図である。
【図９】本発明の実施形態における中継処理装置のプロキシ通信方式キャッシュ表の例を示す図である。
【図１０】本発明の実施形態における中継処理装置の代理通信セッション管理表の例を示す図である。
【図１１】本発明の実施形態における中継処理システムのＳＳＬセッションを新規作成した場合の通信処理フローの例を示す図である。
【図１２】本発明の実施形態における中継処理システムのＳＳＬセッションの再利用を行った場合の通信処理フローの例を示す図である。
【図１３】本発明の実施形態における通信方式選択ダイアログボックスの例を示す図である。
【図１４】本発明の実施形態における通信方式選択ダイアログボックスの例を示す図である。
【図１５】本発明の実施形態におけるサーバ公開鍵証明書確認ダイアログボックスを示す図である。
【図１６】本発明の実施形態における利用者端末のクライアント通信方式キャッシュ表の例を示す図である。
【図１７】本発明の実施形態における利用者端末のサーバ証明書キャッシュ表の例を示す図である。
【図１８】本発明の実施形態における利用者端末の閲覧処理部の表示画面の例を示す図である。
【図１９】本発明における中継処理装置の機能ブロック図である。
【図２０】本発明における中継処理装置の機能ブロック図である。
【発明を実施するための形態】
【００３０】
以下、添付図面を参照して、本発明を好適な実施形態に従って詳細に説明する。
【００３１】
＜第１の実施形態＞
（システムの構成と管理表）
図１は、本発明の実施形態における中継処理システムの構成を示す図である。
【００３２】
尚、図１のネットワーク上に接続される各種端末と各種装置の構成は、一例であり、用途や目的に応じて様々な構成例があることは言うまでもない。
【００３３】
中継処理システムは、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０から構成される。利用者端末１１０と中継処理装置１２０、中継処理装置１２０と情報提供処理装置１５０とはそれぞれネットワークを介して相互に通信可能に接続されている。
【００３４】
利用者端末１１０は、本発明のクライアント端末の適用例である。また、中継処理装置１２０は、本発明の中継処理装置の適用例である。また、情報提供処理装置１５０は、本発明の情報処理装置の適用例である。
【００３５】
利用者端末１１０は、情報提供処理装置１５０が提供するコンテンツデータを取得し表示するために使用する情報処理装置である。利用者端末１１０は、閲覧処理部１１１と拡張機能処理部１１２と暗号鍵保存部１１３と管理表保存部１１４とＣＡ証明書保存部１１５とを備えている。
【００３６】
閲覧処理部１１１は、一般にＷｅｂブラウザと呼ばれるＨＴＴＰプロトコル、ＨＴＴＰＳプロトコルのクライアントプログラムに相当する機能処理部である。閲覧処理部１１１は、利用者からの指示を受付け、中継処理装置１２０を経由して情報提供処理装置１５０へ通信要求メッセージを送信し、該通信要求メッセージに対して情報提供処理装置１５０から応答された通信応答メッセージを受信し、該通信応答メッセージを整形したものを利用者端末１１０のＣＲＴ２１０等に表示する機能を備えている。この時、閲覧処理部１１１と中継処理装置１２０のクライアント通信部１２１との間で開設される通信コネクションをプロキシ回線１６１とする。
【００３７】
ここで、プロキシ回線１６１（第１のＳＳＬ通信）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信を示している。プロキシ回線１６１（第１のＳＳＬ通信）は、後述する制御通信（制御回線１６２）とは、異なる通信である。
【００３８】
暗号鍵保存部１１３は、利用者端末の公開鍵証明書に対応する秘密鍵を記憶する記憶領域である。
【００３９】
閲覧処理部１１１は、情報提供処理装置１５０との間でＨＴＴＰＳによる通信を行う場合で、かつ情報提供処理装置１５０からＳＳＬ（ＴＬＳを含む）のクライアント認証が要求された場合に、暗号鍵保存部１１３に記憶されている公開鍵証明書と秘密鍵を用いてクライアント認証要求に応答する機能を備えている。
【００４０】
拡張機能処理部１１２は、閲覧処理部１１１と相互に接続されており、閲覧処理部１１１の通信処理に対して割り込み処理を実行する機能を備える。また、拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８と通信することができ、ＨＴＴＰＳ通信要求イベント発生時に、該ＨＴＴＰＳ通信の通信方式を中継処理装置へ問い合わせる機能と、問い合わせた結果情報を利用者へ提示し確認もしくは選択を求める機能と、前記確認もしくは選択の結果の情報を中継処理装置へ送信する機能を備える。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がもつサーバ公開鍵証明書を制御処理通信部１２８から取得する機能と、該サーバ公開鍵証明書を検証する機能を備えている。さらに、拡張機能処理部１１２は、ＨＴＴＰＳ通信時に通信先である情報提供処理装置１５０がクライアント認証を要求した場合には、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書情報を制御処理通信部１２８へ送信する機能と制御処理通信部１２８から送信される署名対象データ（メッセージダイジェスト）を受信し、該署名対象データに対して暗号鍵保存部１１３に記憶されているクライアント秘密鍵によって署名を行う機能と該署名データを制御処理通信部１２８へ送信する機能とを備えている。拡張機能処理部１１２と中継処理装置１２０の制御処理通信部１２８との間で開設（確立）される通信コネクションを制御回線１６２とする。
【００４１】
なお、制御回線１６２は、利用者端末１１０と中継処理装置１２０との間で、ＳＳＬによる暗号化通信の回線として開設（確立）される。これにより、利用者端末１１０は、中継処理装置１２０のなりすましを防止することが可能となる。
【００４２】
すなわち、中継処理装置１２０は、利用者端末１１０との間で制御通信（制御回線１６２）を確立する（通信確立手段）。ここで、制御通信（制御回線１６２）は、利用者端末１１０と中継処理装置１２０との間で確立されるＳＳＬによる暗号化通信のコネクションであって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信路を示している。
【００４３】
中継処理装置１２０は、制御通信（制御回線１６２）の確立を、一般的なＳＳＬ通信の確立の手順で行う。
【００４４】
管理表保存部１１４は、クライアント通信方式キャッシュ表とサーバ証明書キャッシュ表を記憶する記憶領域である。
【００４５】
（クライアント通信方式キャッシュ表の説明）
【００４６】
クライアント通信方式キャッシュ表は、図１６で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０の閲覧処理部１１１が特定の情報提供処理装置１５０との通信方式を決定した際に該通信方式を保持するためのものである。レコードは、サーバ識別子欄と決定日時欄と通信方式欄とをもつ。
【００４７】
サーバ識別子欄は、通信先となる情報提供処理装置１５０を識別するための情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。決定日時欄は、通信方式が決定された日時情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
【００４８】
通信方式欄に保存される値としては、”直接”と”代理”との２つの種類がある。”直接”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理が行われることを意味する値である。”代理”は、中継処理装置１２０において、ＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式で処理されることを意味する値である。
【００４９】
クライアント通信方式キャッシュ表（図１６）が保持している各レコードは、その決定日時の情報に基づきキャッシュがクリア（削除）される。例えば、利用者端末１１０により、各レコードが定期的に検査され、決定日時欄の値が検査日時と比較され適当に決められた有効時間（例えば６時間）以上古い日時を表している場合には削除される。また、利用者端末１１０の閲覧処理部１１１に相当するブラウザプロセスが終了した時には、表（図１６）のすべてのレコードが削除されるものとする。
【００５０】
利用者端末１１０は、情報提供処理装置１５０へのアクセス要求があった時、クライアント通信方式キャッシュ表を参照し、該情報提供処理装置１５０との通信方式に関する情報の再利用が可能であれば、利用者に都度通信方式の確認または選択させる処理を行わずに通信を開始することができる。
【００５１】
（サーバ証明書キャッシュ表の説明）
【００５２】
サーバ証明書キャッシュ表は、図１７で一例を示しているようなデータ構造もつ記憶領域である。各行のレコードは、利用者端末１１０が代理方式でアクセスしたことがある特定の情報提供処理装置１５０との通信時に使用したＳＳＬセッションＩＤ（単にセッションＩＤとも言う）とサーバ公開鍵証明書を保持するためのものである。レコードは、サーバ識別子欄と最終利用日時欄とセッションＩＤ欄とサーバ証明書欄とをもつ。
【００５３】
サーバ識別子欄は、通信した情報提供処理装置１５０を識別するための情報で情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせを保存する場所である。最終利用日時欄は、該レコードによって表される通信処理を実施した日時情報を保存する場所である。セッションＩＤ欄は、前記通信で中継処理装置１２０から通知されたＳＳＬセッションＩＤの値を保存する場所である。サーバ証明書欄は、前記通信で中継処理装置１２０から取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。
【００５４】
サーバ証明書キャッシュ表が保持している各レコードは、定期的に検査され、通常ブラウザ等のソフトウェアである閲覧処理部１１１が管理しているＳＳＬセッションキャッシュ情報（ブラウザがＳＳＬセッション再開処理のためにキャッシュしている情報）と突き合わせ処理を行い、ＳＳＬセッションキャッシュ情報の中に同じセッションＩＤが存在しない場合には、該レコードは削除される。
【００５５】
利用者端末１１０が情報提供処理装置１５０に対して、中継処理装置１２０を経由して代理方式でアクセスする時で、かつ利用者端末１１０と中継処理装置１２０とのＳＳＬセッションでセッション再開機能が利用された場合に、利用者端末１１０がサーバ証明書キャッシュ表を参照することにより、利用者端末１１０を操作する利用者による、前記情報提供処理装置１５０のサーバ公開鍵証明書の確認のための内容表示要求に対して、都度、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を使って表示処理を行うことができる。すなわち、利用者端末１１０は、中継処理装置１２０へアクセスすることなくサーバ証明書キャッシュ表のサーバ証明書欄の値を表示することができる。
【００５６】
ＣＡ証明書保存部１１５は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる利用者端末１１０が信頼するＣＡ証明書を記憶する記憶領域である。
【００５７】
中継処理装置１２０は、一般にプロキシサーバと呼ばれるプログラムまたは装置がもつ機能を備える情報処理装置である。中継処理装置１２０は、利用者端末１１０から送信される通信要求メッセージを受信し、宛先である情報提供処理装置１５０へ該通信要求メッセージを中継し、該情報提供処理装置１５０から応答される通信応答メッセージを、該利用者端末１１０へ中継することができる。
【００５８】
中継処理装置１２０は、クライアント通信部１２１と、サーバ通信部１２２と、クライアント側暗号処理部１２３と、通信制御部１２４と、サーバ側暗号処理部１２５と、代理用暗号鍵保存部１２６と、サーバ暗号鍵保存部１２７と、制御処理通信部１２８と、管理表保存部１２９と、付加機能処理部１３０と、ＣＡ証明書保存部１３１と、から構成される。
【００５９】
クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続要求を受け付け、通信要求メッセージを受信し、通信応答メッセージを閲覧処理部１１１に送信する機能を備える。
【００６０】
サーバ通信部１２２は、情報提供処理装置１５０のサーバ処理部１５１へ接続し、通信要求メッセージを送信し、通信応答メッセージをサーバ処理部１５１から受信する機能を備える。
【００６１】
クライアント側暗号処理部１２３は、中継処理装置１２０における通信方式が代理方式の場合に、利用者端末１１０の閲覧処理部１１１との通信回線（プロキシ回線１６１）において、ＳＳＬ（ＴＬＳを含む）を確立するためのサーバ側処理を行う機能を備える。
【００６２】
通信制御部１２４は、クライアント通信部１２１が行う処理と、クライアント側暗号処理部１２３が行う処理と、付加機能処理部１３０が行う処理と、サーバ通信部１２２が行う処理と、サーバ側暗号処理部１２５が行う処理と、制御処理通信部１２８が行う処理と、の間で同期制御処理を行う機能をもつ。また、通信制御部１２４は、該同期制御処理において関連する情報を、管理表保存部１２９へ記憶させる機能と、管理表保存部１２９を参照する機能と、を備えている。
【００６３】
サーバ側暗号処理部１２５は、中継処理装置１２０における通信方式が代理方式の場合に、情報提供処理装置１５０のサーバ処理部１５１との通信回線（サーバ回線１６３）において、ＳＳＬ（ＴＬＳを含む）コネクションのクライアント側処理を行う機能を備える。
【００６４】
ここで、サーバ回線１６３（第２のＳＳＬ通信）は、中継処理装置１２０と情報提供処理装置１５０との間で確立されるＳＳＬによる暗号化通信であって、物理的な回線を示しているのではなく、暗号化通信を行う仮想的な（論理的な）通信である。
【００６５】
図１の例では、１つの物理的な通信回線を介して利用者端末１１０と中継処理装置１２０が相互に通信可能に接続されている。また、図１の例では、中継処理装置１２０と情報提供処理装置１５０とが相互に通信可能に接続されている。
【００６６】
代理用暗号鍵保存部１２６は、中継処理装置１２０における通信方式が代理方式の場合に、前記プロキシ回線１６１ 上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
【００６７】
制御処理通信部１２８は、ＨＴＴＰＳサーバとしての機能を備える機能処理部であり、利用者端末１１０の拡張機能処理部１１２との間で安全な通信コネクション（前記制御回線１６２）を開設し、利用者端末１１０の拡張機能処理部１１２が送信する通信要求メッセージを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ通信応答メッセージを送信する機能と、利用者端末１１０の拡張機能処理部１１２からの特定の通信先に関する通信方式の問い合わせに対して、管理表保存部１２９の通信方式決定表の情報に基づいて通信方式を回答する機能と、利用者端末１１０の拡張機能処理部１１２から特定の通信先に関する通信方式の決定情報を受信し、該決定情報を管理表保存部１２９のプロキシ通信方式キャッシュ表に保存する機能と、利用者端末１１０の拡張機能処理部１１２へ情報提供処理装置１５０のサーバ公開鍵証明書を送信する機能と、利用者端末１１０の拡張機能処理部１１２からサーバ公開鍵証明書の検証結果を受信する機能と、通信制御部１２４へ検証結果を通知する機能と、利用者端末１１０の拡張機能処理部１１２へクライアント認証要求情報を送信する機能と、利用者端末１１０の拡張機能処理部１１２からクライアント公開鍵証明書を受信する機能と、通信制御部１２４から署名対象データを受信する機能と、利用者端末１１０の拡張機能処理部１１２へ前記署名対象データを送信する機能と、利用者端末１１０の拡張機能処理部１１２から署名データを受信する機能と、通信制御部１２４へ前記署名データを通知する機能と、を備える。
【００６８】
サーバ暗号鍵保存部１２７は、前記制御回線１６２上のＳＳＬ（ＴＬＳを含む）ハンドシェイク処理の中で利用されるサーバ公開鍵証明書と秘密鍵を記憶している記憶領域である。
【００６９】
管理表保存部１２９は、通信方式決定表とプロキシ通信方式キャッシュ表と代理通信セッション管理表を記憶するための記憶領域である。
【００７０】
（通信方式決定表の説明）
【００７１】
通信方式決定表（図８）は、プロキシ回線１６１によるＨＴＴＰＳ通信に先立ち、該ＨＴＴＰＳ通信をどのように中継するか（通信方式）を決定するために使用される表である。通信方式決定表のレコードは、サーバ条件とクライアント条件と通信方式から構成される。通信方式決定表の例を図８で示す。通信方式決定表（図８）は、通信方式設定情報の適用例である。
【００７２】
サーバ条件はドメイン名欄とカテゴリー欄から構成される。ドメイン名欄は、通信における情報提供処理装置１５０のホスト名の文字列条件を保存する場所である。「＊」はワイルドカード文字列を表し、任意の文字列にマッチする。カテゴリー欄は、通信における情報提供処理装置１５０のカテゴリーを保存する場所である。カテゴリーとは、任意の情報提供処理装置１５０がその提供するコンテンツに応じて属する分野のことである。中継処理装置１２０は、利用者端末１１０から送信される暗号化通信の要求イベントに含まれるＵＲＬ（ホスト名を含む）に従って、当該ＵＲＬのカテゴリーを判定する。例として、中継処理装置１２０が予めホスト名とカテゴリーとの対応を示す対応表を備え、当該対応表を参照して、利用者端末１１０から入力された当該ＵＲＬのホスト名に対応するカテゴリーを決定（判定）することなどが考えられる。
ここで、サーバ条件は、利用者端末１１０から送信されるデータの中継先の情報提供処理装置１５０を示す中継先情報の適用例である。
【００７３】
クライアント条件は、アドレス欄と認証グループ欄から構成される。アドレス欄は、通信における利用者端末のＩＰアドレス条件を保存する場所である。ＩＰアドレスの個別指定の他、ワイルドカード文字列やネットワークアドレス表現によって、複数のアドレスを表すことができる。認証グループ欄は、利用者端末１１０の利用者が属するグループ名を保存する場所である。
【００７４】
通信方式欄は、確立が許可された通信方式を保存する場所である。すなわち、通信方式欄は、データの中継を可能とするために、確立が許可された通信方式（通信方式情報）が設定されている。
【００７５】
通信方式欄に保存される値としては、”直接”（直接通信方式）と”代理”（代理通信方式）と”選択”の３つの種類がある。”直接”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬ（ＴＬＳを含む）コネクションを終端せずに通常プロキシサーバにおいて行われるようにトンネリングする処理を指示する値である。”代理”は、中継処理装置１２０においてＨＴＴＰＳ通信のＳＳＬコネクションを終端する中間者方式を指示する値である。”選択”（選択情報）は利用者端末１１０の利用者に直接方式か代理方式かを選択させることを指示する値である。
【００７６】
（プロキシ通信方式キャッシュ表の説明）
【００７７】
プロキシ通信方式キャッシュ表（図９）は、特定のＨＴＴＰＳ通信に対して適用する通信方式を記憶するために利用される表である。プロキシ通信方式キャッシュ表のレコードは、クライアント識別子欄、サーバ識別子欄、有効期限欄、通信方式欄から構成される。プロキシ通信方式キャッシュ表の例を図９で示す。
【００７８】
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報（利用者端末を特定するクライアント特定情報）として、利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。閲覧処理部識別子は、例えばプロセスＩＤを使うことが想定される。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として、情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。有効期限欄は、対象レコードの有効期限情報を保存する場所である。通信方式欄は、決定された通信方式を保存する場所である。
【００７９】
プロキシ通信方式キャッシュ表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、有効期限欄の日時が、検査日時より古い場合には削除される。
【００８０】
（代理通信セッション管理表の説明）
【００８１】
代理通信セッション管理表（図１０）は、代理方式で中継する通信に関するセッション情報を記憶しておくために利用される表である。代理通信セッション管理表のレコードは、クライアント識別子欄、サーバ識別子欄、最終利用日時欄、クライアント側ハンドシェイク情報（セッションＩＤ―Ｃ欄、共通鍵その他―Ｃ欄、クライアント証明書欄）、サーバ側ハンドシェイク情報（セッションＩＤ―Ｓ欄、共通鍵その他―Ｓ欄、サーバ証明書欄、クライアント認証要求欄）から構成される。代理通信セッション管理表の例を図１０で示す。
【００８２】
クライアント識別子欄は、利用者端末１１０の閲覧処理部１１１を識別するための情報として利用者端末１１０のＩＰアドレスと閲覧処理部１１１の識別子（閲覧処理部識別子）を組み合わせた情報を保存する場所である。サーバ識別子欄は、情報提供処理装置１５０を識別するための情報として情報提供処理装置１５０のホスト名とＴＣＰポート番号の組み合わせた情報を保存する場所である。最終利用日時欄は、対象レコードによって表される通信が行われた日時情報を保存する場所である。セッションＩＤ―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｃ欄は、プロキシ回線１６１上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。クライアント証明書欄は、利用者端末１１０から取得したクライアント公開鍵証明書を保存する場所である。セッションＩＤ―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのＩＤを保存する場所である。共通鍵その他―Ｓ欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で交換した共通鍵と暗号スイートに関する情報を保存する場所である。サーバ証明書欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０のサーバ公開鍵証明書を保存する場所である。クライアント認証要求欄は、サーバ回線１６３上のＳＳＬセッションのハンドシェイク処理で取得した情報提供処理装置１５０からのクライアント認証要求情報を保存する場所である。
【００８３】
代理通信セッション管理表が保持している各レコードは、中継処理装置１２０により、定期的に検査され、最終利用日時欄の値が、検査日時と比較され、適当に決められた有効時間（例えば１２時間）以上古い日時を表している場合には削除される。
【００８４】
付加機能処理部１３０は、中継処理対象の通信がＨＴＴＰの場合と、ＨＴＴＰＳの場合でも中継方式が代理方式の場合に、利用者端末１１０から受信する通信要求メッセージと情報提供処理装置１５０から受信する通信応答メッセージとに対して、付加機能処理を行う機能を備える。付加機能処理とは、例えば、プロキシサーバにおいて一般に実施されるキャッシュ機能や、セキュリティゲートウェイ等で実施されるコンテンツフィルタリング機能、ウィルス検査・駆除機能、アクセス制御機能などに対応している。これらの機能は、通常はＨＴＴＰＳ通信のように通信メッセージが暗号化されている場合には適用（実施）できないが、本実施例に示す代理方式のようにＨＴＴＰＳ通信であっても中継処理装置において暗号化通信メッセージを平文化する手法を用いれば適用（実施）できるようになる。
【００８５】
ＣＡ証明書保存部１３１は、情報提供処理装置１５０のサーバ公開鍵証明書を検証する際に用いる、中継処理装置１２０が信頼するＣＡ証明書を記憶する記憶領域である。
【００８６】
情報提供処理装置１５０は、利用者端末１１０から送られた通信要求メッセージを受信し、該通信要求メッセージの内容に基づき通信応答メッセージを応答する情報処理装置である。情報提供処理装置１５０は、サーバ処理部１５１とサーバ暗号鍵保存部１５２とを備えている。
【００８７】
サーバ処理部１５１は、一般にＷｅｂサーバと知られるプログラムに相当する機能処理部である。サーバ処理部１５１はＨＴＴＰプロトコルとＨＴＴＰＳプロトコルのサーバ機能を備えている。
【００８８】
サーバ暗号鍵保存部１５２は、サーバ処理部１５１がＨＴＴＰＳによる暗号化通信を行う場合に使用するサーバ公開鍵証明書と秘密鍵を記憶するための記憶領域である。
【００８９】
次に、図１の利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０の各種端末のハードウェア構成について、図２を用いて説明する。利用者端末１１０、中継処理装置１２０、情報提供処理装置１５０は、一般に知られている情報処理装置である。
【００９０】
図２は、本発明の実施形態における各種端末のハードウェア構成を示す図である。
【００９１】
ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。
【００９２】
また、ＲＯＭ２０２あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ ／ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
【００９３】
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０３にロードして、プログラムを実行することで各種動作を実現するものである。
【００９４】
また、入力コントローラ（入力Ｃ）２０５は、キーボード２０９や不図示のマウス等のポインティングデバイスからの入力を制御する。
【００９５】
ビデオコントローラ（ＶＣ）２０６は、ＣＲＴディスプレイ（ＣＲＴ）２１０等の表示器にへの表示を制御する。表示器はＣＲＴだけでなく、液晶ディスプレイでも構わない。これらは必要に応じて管理者が使用するものである。本発明には直接関係があるものではない。
【００９６】
メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピーディスク（登録商標 ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュメモリ等の外部メモリ２１１へのアクセスを制御する。
【００９７】
通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、ネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。
【００９８】
なお、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ＣＲＴ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ＣＲＴ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。
【００９９】
本発明を実現するためのプログラムは外部メモリ２１１に記録されており、必要に応じてＲＡＭ２０３にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、本発明に係わるプログラムが用いる前述した暗号鍵保存部１１３、管理表保存部１１４、ＣＡ証明書保存部１１５、代理用暗号鍵保存部１２６、サーバ暗号鍵保存部１２７、管理表保存部１２９、ＣＡ証明書保存部１３１、及びサーバ暗号鍵保存部１５２は、外部メモリ２１１に格納されている。
【０１００】
（暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー）
【０１０１】
次に、暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの１つのケースを、図１１を用いて説明する。
【０１０２】
図１１は、本発明の実施形態における暗号化通信を介して通信されるデータを代理方式によって中継する場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
【０１０３】
なお、図１１中のステップＳ１１５０からステップＳ１１５４で示される破線で囲われた通信は、制御回線１６２を介して行われる。それ以外の利用者端末１１０と中継処理装置１２０との間の通信は、プロキシ回線１６１を介して行われる。
【０１０４】
また、中継処理装置１２０と情報提供処理装置１５０との間の通信は、サーバ回線１６３を介して行われる。
【０１０５】
また、図１１と図１２においては、ＳＳＬ（ＴＬＳを含む）規格において必要とされるメッセージ（ＣｈａｎｇｅＣｉｐｈｅｒＳｐｅｃ等）は、一般的なＳＳＬ（ＴＬＳを含む）規格に基づく、一般に知られている処理であるため、ここでは説明を省略している。
【０１０６】
ステップＳ１１０１では、利用者端末１１０において、利用者が閲覧処理部１１１が提供するブラウザ画面において、情報提供処理装置１５０上のコンテンツを指し示すＵＲＬをアドレスバーなどへ入力するか、または既にブラウザ画面に表示中のコンテンツの中の該ＵＲＬへのリンク文字列をクリックするか、によってコンテンツ取得要求が指示される。
【０１０７】
ステップＳ１１０２では、コンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって拡張機能処理部１１２の処理が起動される。拡張機能処理部１１２では、該コンテンツ取得要求に含まれる該ＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳ（暗号化通信）であるか否かを判定する。すなわち、利用者端末１１０は、コンテンツ取得要求に含まれる暗号化通信によるデータの送受信を要求しているのか否かを判定する。
【０１０８】
そして、利用者端末１１０は、該スキーマがＨＴＴＰＳである（暗号化通信を介したデータの送受信の要求である）と判定された場合、中継処理装置１２０における通信方式を決定するために、中継処理装置１２０に対して通信方式の問い合わせを行う。すなわち、利用者端末１１０は、後述する通信方式問い合わせ要求メッセージを中継処理装置１２０に送信する。
【０１０９】
ステップＳ１１０３では、中継処理装置１２０は、利用者端末１１０から送信された問い合わせ（通信方式問い合わせ要求メッセージ）に含まれる情報提供処理装置１５０の識別子（サーバ識別子）と利用者端末１１０の閲覧処理部識別子（クライアント識別子）との情報を元に、管理表保存部１２９の通信方式決定表（図８）から通信方式を決定し、該通信方式を利用者端末１１０へ応答する。この例では”選択”が応答される。
【０１１０】
すなわち、中継処理装置１２０は、通信方式が“選択”と決定された場合、例えば、図１４に示すダイアログボックス（通信方式選択ダイアログボックスとも言う）の画面を表示するための画面情報を、利用者端末１１０に送信する。
【０１１１】
ステップＳ１１０４では、利用者端末１１０は、ステップＳ１１０３で受信した通信方式が”選択”であったため、図１４で例を示すような画面（選択ダイアログボックスとも言う）を表示する。
【０１１２】
すなわち、ステップＳ１１０３で送信された画面情報に従って、図１４の画面を表示する。
【０１１３】
ステップＳ１１０５では、利用者端末１１０において、利用者は前記選択ダイアログボックスを使用して”直接”、”代理”のいずれかから通信方式を選択する。例では利用者は”許可する”を選択して通信方式”代理”が選択される。
【０１１４】
すなわち、ステップＳ１１０５では、利用者により、選択ダイアログボックスを介して、”許可する”ボタンか、”許可しない”ボタンが押下され、”許可する”ボタンが押下された場合は、通信方式が“代理”と決定され、”許可しない”ボタンが押下された場合は、通信方式が“直接”と決定される。ここの例では、利用者により”許可する”ボタンが選択され通信方式が”代理”と決定される。
【０１１５】
ステップＳ１１０６では、利用者端末１１０は、選択結果（通信方式通知メッセージとも言う）（ここでの例では選択方式としての”代理”と、サーバ識別子と、クライアント識別子と、有効期限とが通信方式通知メッセージに含まれる。）を中継処理装置１２０へ送信する。
【０１１６】
中継処理装置１２０は該選択結果を受信し、該選択結果（”代理”）を管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。
【０１１７】
ステップＳ１１０７では、利用者端末１１０は、コンテンツ取得要求に関する通信方式を決定され、中継処理装置１２０への通信方式通知メッセージの通知（送信）も完了したことを受けて、閲覧処理部１１１が該コンテンツ取得要求の処理を再開する。閲覧処理部１１１は、中継処理装置１２０のクライアント通信部１２１へ接続してプロキシ回線１６１を開設し、該プロキシ回線１６１上でＣＯＮＮＥＣＴメソッドによるプロキシリクエストを送信する。ＣＯＮＮＥＣＴメソッドによるプロキシリクエストとは、Ｗｅｂブラウザ等のクライアントがプロキシサーバを経由してＨＴＴＰＳサーバへ接続する際に発行されるリクエストであり、次の形式をもつ。
【０１１８】
ＣＯＮＮＥＣＴ ホスト名：ポート番号 ＨＴＴＰ／１．０
【０１１９】
また、拡張機能処理部１１２は、閲覧処理部１１１に、上記のプロキシリクエストにクライアント識別子をヘッダーとして追加するよう指示する。
プロキシリクエストの例を示す。
【０１２０】
ＣＯＮＮＥＣＴ ｗｗｗ．ｘｘｘ．ｃｏ．ｊｐ：４４３ ＨＴＴＰ／１．０
Ｕｓｅｒ―Ａｇｅｎｔ： ＸＸＸＸＸ／Ｘ．Ｘ
Ｘ―ｃｌｉｅｎｔ―ｉｄ： １０．１０．１０．１：３４９２６３
【０１２１】
次に、中継処理装置１２０は、受信した前記プロキシリクエストから、サーバ識別子（ホスト名：ポート番号）とクライアント識別子（Ｘ−ｃｌｉｅｎｔ−ｉｄ）を取得し、これらをキーに管理表保存部１２９のプロキシ通信方式キャッシュ表から通信方式欄を参照し、値”代理”を取得する。そして、中継処理装置１２０は、代理方式の中継処理の情報を管理するための記憶領域として、管理表保存部１２９の代理通信セッション管理表に新規レコード（代理通信セッションレコードと呼ぶ）を作成する。
【０１２２】
ステップＳ１１０８では、中継処理装置１２０は、サーバ識別子の情報を元に情報提供処理装置１５０へＴＣＰ接続し、サーバ回線１６３を開設する。
【０１２３】
ステップＳ１１０９では、中継処理装置１２０は、ＴＣＰ接続が成功したことを受け、利用者端末１１０へ「ＨＴＴＰ／１．０ ２００」という接続成功メッセージを返し、情報提供処理装置１５０へ中継可能であることを伝える。
【０１２４】
ステップＳ１１１０では、利用者端末１１０は、前記プロキシ回線１６１上でＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬのハンドシェイクを開始する。
【０１２５】
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた中継処理装置１２０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３３でハンドシェイクの処理が終了するまで、プロキシ回線１６１を確立する処理を行う。
【０１２６】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０からハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
【０１２７】
ステップＳ１１１１では、中継処理装置１２０は、サーバ回線１６３上で、情報提供処理装置１５０との間でＳＳＬのセッションを開設（確立）するために、サーバ側暗号処理部１２５で生成したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信する。
【０１２８】
そして、Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受けた情報提供処理装置１５０は、ＳＳＬのハンドシェイクの処理を開始し、ステップＳ１１３１でハンドシェイクの処理が終了するまで、サーバ回線１６３を確立する処理を行う。
【０１２９】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１１からハンドシェイクの処理を開始する。そして、ステップＳ１１３１でハンドシェイクの処理が終了すると、サーバ回線１６３（ＳＳＬによる暗号化通信の回線）を確立することができる。サーバ回線１６３は、本発明の第２のＳＳＬ通信の適用例である。
【０１３０】
ステップＳ１１１１では、中継処理装置は、前記サーバ回線１６３上でＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを送信し、ＳＳＬハンドシェイクを開始する。
【０１３１】
ＳＳＬによる暗号化通信の回線を確立するために、ステップＳ１１１０でハンドシェイクの処理を開始する。そして、ステップＳ１１３３でハンドシェイクの処理が終了すると、プロキシ回線１６１（ＳＳＬによる暗号化通信の回線）を確立することができる。プロキシ回線１６１は、本発明の第１のＳＳＬ通信の適用例である。
【０１３２】
以下にステップＳ１１１０以降の処理について説明する。
図１１は、通信方式が”代理”（代理方式）の場合について説明する。
まず、利用者端末１１０は、ステップＳ１１１０でＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏ）を送信する。
【０１３３】
図１１は、通信方式が”代理”の場合のシーケンス図であるので、中継処理装置１２０は、該ＳＳＬハンドシェイクで受信した各メッセージは、そのまま情報提供処理装置１５０へ中継せずに、自身がサーバとしてハンドシェイクを行う。
【０１３４】
中継処理装置１２０は、自身がサーバとしてハンドシェイクの処理に応じるために、利用者端末１１０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを送信する。
【０１３５】
まず、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッション情報（セッションＩＤを含む）が記憶されているか否かを判定する。
【０１３６】
そして、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
【０１３７】
一方、利用者端末１１０の閲覧処理部１１１は、過去に中継処理装置１２０との通信で利用したＳＳＬのセッションＩＤが記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する。
そして、中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
【０１３８】
図１１では、利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。
【０１３９】
利用者端末１１１から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。
【０１４０】
中継処理装置１２０は、ステップＳ１１１０で利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。そして、中継処理装置１２０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
【０１４１】
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信する（ステップＳ１１１２）。
【０１４２】
さらに、中継処理装置１２０は、当該生成されたセッションＩＤを代理通信セッション管理表（図１０）のセッションＩＤーＣ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０１４３】
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０１４４】
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
【０１４５】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、外部メモリ２１１などのメモリに記憶する。
【０１４６】
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
【０１４７】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０１４８】
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
【０１４９】
利用者端末１１０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０１５０】
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１５１】
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０１５２】
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０１５３】
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０１５４】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０１５５】
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
【０１５６】
中継処理装置１２０は、ステップＳ１１３４以降の処理で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１５７】
次に、ステップＳ１１１５以降の処理について説明する。
【０１５８】
中継処理装置１２０は、利用者端末１１０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、中継処理装置１２０をクライアントとして、情報提供処理装置１５０に、ＳＳＬハンドシェイク開始要求（ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ）を送信する（ステップＳ１１１１）。
【０１５９】
情報提供処理装置１５０は、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに応答して、中継処理装置１２０に、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージ（ステップＳ１１１５）、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージ（ステップＳ１１１６）、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージ（ステップＳ１１１７）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ（ステップＳ１１１８）の各メッセージを送信する。
以下に、ステップＳ１１１５からステップＳ１１１８について、説明する。
【０１６０】
まず、中継処理装置１２０は、過去に情報提供処理装置１５０との通信で利用したＳＳＬのセッション情報（セッションＩＤ）が記憶されているか否かを判定する。
【０１６１】
具体的には、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されているか否かを中継処理装置１２０が判定する。
【０１６２】
そして、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていると判定された場合は、当該セッションＩＤを含めたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する。
【０１６３】
一方、中継処理装置１２０は、過去に、代理方式で、利用者端末１１０と情報提供処理装置１５０とが中継処理装置１２０を介して通信する際に、中継処理装置１２０と情報提供処理装置１５０との間のサーバ回線１６３で利用したセッションＩＤが、代理通信セッション管理表（図１０）のセッションＩＤ−Ｓの欄に記憶されていないと判定された場合は、当該セッションＩＤを含めずにＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信する（Ｓ１１１１）。
【０１６４】
そして、情報提供処理装置１５０は、中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信する。
【０１６５】
図１１では、中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれていない場合（ＳＳＬセッションを再開せずに新規のＳＳＬセッションを用いる場合）について説明する。
【０１６６】
中継処理装置１２０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに当該セッションＩＤが含まれている場合（ＳＳＬセッションを再開する場合）については、図１２を用いて後で説明する。
【０１６７】
情報提供処理装置１５０は、ステップＳ１１１１で中継処理装置１２０からＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信すると、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれているか否かを判定する。
【０１６８】
そして、情報提供処理装置１５０は、当該ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定された場合に、新規のセッションを作成するために新規の固有のセッションＩＤを生成する。
【０１６９】
そして、情報提供処理装置１５０は、当該生成されたセッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０に送信する（ステップＳ１１１５）。
【０１７０】
さらに、情報提供処理装置１５０は、当該生成されたセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０１７１】
中継処理装置１２０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを情報提供処理装置１５０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤを、代理通信セッション管理表（図１０）のセッションＩＤーＳ欄に記憶する。当該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０１７２】
次に、情報提供処理装置１５０は、サーバ暗号鍵保存部１５２に記憶されている情報提供処理装置１５０のサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを中継処理装置１２０に送信する。
【０１７３】
ステップＳ１１１６では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得する。
【０１７４】
中継処理装置１２０は、ＣＡ証明書保存部１３１に記憶されているＣＡ公開鍵証明書などを使って該サーバ公開鍵証明書が信頼できるか否かの検証処理を実施する。ここでの例では、該検証が成功し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
【０１７５】
ステップＳ１１１７では、中継処理装置１２０は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ メッセージ（クライアント認証の要求情報）を受信し、該メッセージに含まれるクライアント認証に関する要求条件の情報（署名アルゴリズム、ＣＡ識別名）を、前記代理通信セッションレコードのクライアント認証要求欄に保存する。
【０１７６】
そして、情報提供処理装置１５０は、情報提供処理装置１５０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを中継処理装置１２０に送信する。
【０１７７】
ステップＳ１１１８では、中継処理装置１２０は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信する。
【０１７８】
【０１７９】
ステップＳ１１１９では、利用者端末１１０は、制御回線１６２を使って中継処理装置１２０へ情報提供処理装置１５０のサーバ公開鍵証明の取得要求メッセージを送信する。
【０１８０】
ステップＳ１１２０では、中継処理装置１２０は、利用者端末１１０から送信された取得要求メッセージに応答して、代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明を取得し、該サーバ公開鍵証明書を利用者端末１１０へ送信する。（送信手段）
【０１８１】
ステップＳ１１２１では、利用者端末１１０は、受信した前記サーバ公開鍵証明書の検証処理を行う。まず、利用者端末１１０は、利用者端末１１０のＣＡ証明書保存部１１５に記憶されている信頼するＣＡ（認証局）の公開鍵証明書によって、該サーバ公開鍵証明書の信頼性を検証する。次に、利用者端末１１０は、該サーバ公開鍵証明書に記載されている主体者情報（ＣＮ属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性）が、情報提供処理装置１５０のホスト名と一致するかどうかを確認する。利用者端末１１０は、その他、該サーバ公開鍵証明書の有効期限、失効状態確認など一般にサーバ公開鍵証明書の信頼性を検証するための処理を実行する。
【０１８２】
次に、通常のブラウザでは、サーバ公開鍵証明書の情報として表示されるのはステップＳ１１１３で受信した中継処理装置１２０のサーバ公開鍵証明書であるが、拡張機能処理部１１２と協働する閲覧処理部１１１は、図１５に示すダイアログボックスを表示するなどして、ステップＳ１１２０で受信した情報提供処理装置１５０の前記サーバ公開鍵証明書の情報を、利用者に確認させる。
【０１８３】
すなわち、閲覧処理部１１１は、ステップＳ１１２０で受信した情報提供処理装置１５０のサーバ公開鍵証明書の情報を含む画面（図１５）を表示する。
【０１８４】
また、利用者に一時的に確認させるだけでなく、ブラウザの画面上で表示中のコンテンツを提供した情報提供処理装置１５０のサーバ公開鍵証明書を利用者がいつでも参照できるように、該ダイアログボックスなどのサーバ公開鍵証明書の内容を確認するための手段を呼び出すボタン等をブラウザの画面上に付加しておく。そのブラウザの画面の例を図１８で示す。
【０１８５】
通常（通信方式が直接の場合）は、図１８の１８０１で示す場所に、表示中のコンテンツを提供した情報提供処理装置１５０の識別名（ホスト名）が表示され、該情報提供処理装置１５０のサーバ公開鍵証明書を表示するためのリンクになっている。しかし、本発明の代理方式の場合は、ここには中継処理装置１２０の識別名と、中継処理装置１２０のサーバ公開鍵証明書に関する情報を表示することになる。
【０１８６】
このため、図１８の例では、１８０２で示す場所に、本来のコンテンツ提供者である情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を表示するようにしている。このように、代理方式であっても情報提供処理装置１５０の識別名と、情報提供処理装置１５０のサーバ公開鍵証明書に関する情報を利用者がいつでも確認できるようにすることによって、利用者へコンテンツの提供者の真正性に関わる情報の確認を行うための手段を提供している。
【０１８７】
最後に、利用者端末１１０は、サーバ公開鍵証明書の検証が成功すれば、管理表保存部１１４のサーバ証明書キャッシュ表（図１７）に新規レコードを作成し、情報提供処理装置１５０の該サーバ公開鍵証明書と、情報提供処理装置１５０の前記サーバ識別子と、ステップＳ１１１２のＳｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれたセッションＩＤとを共に保存する。
【０１８８】
ステップＳ１１２２では、利用者端末１１０は、サーバ公開鍵証明書の検証に成功し、その検証結果を中継処理装置１２０へ通知する。
【０１８９】
ステップＳ１１２３では、中継処理装置１２０は、代理通信セッションレコードのクライアント認証要求欄の値を確認し、代理通信セッションレコードのクライアント認証要求欄に値が格納されていると判定されると、ステップＳ１１１７において情報提供処理装置１５０からクライアント認証の要求があったと判定する。そして、中継処理装置１２０は、これ（クライアントの認証要求）に対応するために、利用者端末１１０へ、前記クライアント認証要求欄の値を含めたクライアント証明書要求メッセージを送信する。
【０１９０】
ステップＳ１１２４では、利用者端末１１０は、中継処理装置１２０からクライアント証明書要求メッセージを受信すると、該クライアント認証要求で示された条件に合致する公開鍵証明書を、暗号鍵保存部１１３から検索し取得する。そして、利用者端末１１０は、該条件に合致する公開鍵証明書が複数ある場合は、通常のブラウザにおけるＳＳＬクライアント認証時の動作と同じように、ダイアログボックスを表示するなどして、利用者にどの公開鍵証明書を使って情報提供処理装置１５０へ認証されるのかを選択させ、利用者端末１１０の公開鍵証明書を１つ決定する。
【０１９１】
ステップＳ１１２５では、利用者端末１１０は、利用者端末１１０の公開鍵証明書を中継処理装置１２０へ送信する。
【０１９２】
ステップＳ１１２６では、中継処理装置１２０は、利用者端末１１０の公開鍵証明書を利用者端末から受信し、代理通信セッションレコードのクライアント証明書欄に保存する。そして、中継処理装置１２０は、情報提供処理装置１５０へ、該公開鍵証明書を含むＣｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。すなわち、中継処理装置１２０は、利用者端末の公開鍵証明書を、サーバ回線１６３を介して情報提供処理装置１５０に送信する（公開鍵送信手段）。
次に、中継処理装置１２０は、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０１９３】
また、中継処理装置１２０は、ここで生成されたマスターシークレットに従って、サーバ回線１６３を介して情報提供処理装置１５０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵を代理通信セッションレコード（図１０）の共通鍵その他−Ｓの欄に記憶する。
【０１９４】
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０１９５】
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０１９６】
そして、中継処理装置１２０は、情報提供処理装置１５０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０１９７】
そして、中継処理装置１２０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを情報提供処理装置１５０に送信する。
情報提供処理装置１５０は、中継処理装置１２０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０１９８】
そして、情報提供処理装置１５０は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、中継処理装置１２０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０１９９】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられてサーバ暗号鍵保存部１５２に記憶されており、情報提供処理装置１５０が中継処理装置１２０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０２００】
次に、情報提供処理装置１５０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、情報提供処理装置１５０は、該生成された共通鍵の情報を、外部メモリ２１１などのメモリに記憶する。
【０２０１】
中継処理装置１２０は、ステップＳ１１３５以降の処理で、サーバ回線１６３を介してデータを情報提供処理装置１５０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０２０２】
また、中継処理装置１２０は、情報提供処理装置１５０からサーバ回線１６３を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２０３】
ＳＳＬ（ＴＬＳを含む）の規約では、クライアント認証は、まず、利用者端末１１０と情報提供処理装置１５０が共有している情報（ハンドシェイクで互いに交換したメッセージを連結した情報のメッセージダイジェスト）に対して署名した情報（署名データ）を、利用者端末１１０が、情報提供処理装置１５０に送信する。すなわち、利用者端末１１０は、当該メッセージダイジェストを、利用者端末１１０がＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージで情報提供処理装置１５０へ送信した公開鍵に対応する秘密鍵で署名した情報（署名データ）を、情報提供処理装置１５０へ送信する。そして、情報提供処理装置１５０が、利用者端末１１０から受信した該署名データを該公開鍵で復号し、情報提供処理装置１５０のメモリに記憶されている、利用者端末１１０と共有している情報（該メッセージダイジェスト）と同一であるか否か判定することで、クライアント認証を実施している。
【０２０４】
以降で説明するステップＳ１１２７からステップＳ１１２８は、利用者端末１１０と中継処理装置１２０とが連携して署名データを作成する処理を行う。
【０２０５】
ステップＳ１１２７では、中継処理装置１２０は、それまで情報提供処理装置１５０とＳＳＬのハンドシェイクで交換した各メッセージを連結したデータにハッシュ関数を適用したメッセージダイジェスト（署名対象データ）を生成する。そして、中継処理装置１２０は利用者端末１１０へ該署名対象データを送信する。
【０２０６】
利用者端末１１０は、中継処理装置１２０から署名対象データを受信し、該署名対象データに対してステップＳ１１２５で送信した利用者端末１１０の公開鍵証明書に対応する秘密鍵で署名を行い（暗号化を行い）、署名データを作成する。
【０２０７】
そして、ステップＳ１１２８では、利用者端末１１０は、中継処理装置１２０へ該署名データを送信する。そして、中継処理装置１２０は、利用者端末１１０から該署名データを受信する。
【０２０８】
ステップＳ１１２９では、中継処理装置１２０は、該署名データを含むＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する。
【０２０９】
すなわち、中継処理装置１２０は、Ｓ１１２６で送信されたクライアント端末の公開鍵証明書に対応する秘密鍵を用いて署名対象データを暗号化することにより生成される署名データを、サーバ回線１６３を介して情報提供処理装置に送信する（署名データ送信手段）。
【０２１０】
そして、情報提供処理装置１５０は、中継処理装置１２０から受信した該メッセージ（署名データ）を上記の方法で検証することによって、利用者端末１１０のクライアント認証を実施する。
【０２１１】
ステップＳ１１３０、ステップＳ１１３１では、中継処理装置１２０と情報提供処理装置１５０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、サーバ回線１６３上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるサーバ回線１６３を確立する。
【０２１２】
ステップＳ１１３２、ステップＳ１１３３では、利用者端末１１０と中継処理装置１２０とは相互にＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈメッセージを交換し、前記プロキシ回線１６１上のＳＳＬハンドシェイクを終了し、ＳＳＬによる暗号化通信であるプロキシ回線１６１を確立する。
【０２１３】
ステップＳ１１３４では、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、プロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを、中継処理装置１２０へ送信する。
【０２１４】
すなわち、利用者端末１１０は、ステップＳ１１０１において発生したコンテンツ取得要求に対応する通信要求メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して、当該暗号化された暗号化通信要求メッセージを中継処理装置１２０に送信する。
【０２１５】
ステップＳ１１３５では、中継処理装置１２０は、利用者端末１１０から受信した暗号化通信要求メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて復号化し、当該復号することで得られる通信要求メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信要求メッセージへアクセス制御等の付加機能処理を実行する。この例ではアクセス制御処理を行い、アクセスが許可されるとする。
【０２１６】
すなわち、中継処理装置１２０は、通信要求メッセージの内容を解析して、情報提供処理装置１５０への通信要求メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行い、情報提供処理装置１５０への通信要求メッセージの送信を許可すると判定された場合は、当該通信要求メッセージを情報提供処理装置１５０に送信するように制御する。一方、中継処理装置１２０は、情報提供処理装置１５０への通信要求メッセージの送信を許可しないと判定された場合は、当該通信要求メッセージを情報提供処理装置１５０には送信しないように制御する。
【０２１７】
次に、該通信要求メッセージをサーバ回線１６３上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信要求メッセージを生成し、該メッセージを情報提供処理装置１５０へ送信する。
【０２１８】
すなわち、中継処理装置１２０は、通信要求メッセージを情報提供処理装置１５０に送信するように制御する場合、該通信要求メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて暗号化して、当該暗号化することにより生成される暗号化通信要求メッセージを情報提供処理装置１５０へ送信する。
【０２１９】
【０２２０】
ステップＳ１１３６では、情報提供処理装置１５０は、中継処理装置１２０から受信した暗号化通信要求メッセージを中継処理装置１２０と共有している共通鍵を用いて復号化し、当該復号することにより通信要求メッセージを生成する。
【０２２１】
そして、情報提供処理装置１５０は、中継処理装置１２０からの通信要求メッセージの応答メッセージとして通信応答メッセージを作成し、該通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて暗号化して暗号化通信応答メッセージを生成し、該暗号化通信応答メッセージを中継処理装置１２０へ送信する。
【０２２２】
ステップＳ１１３７では、中継処理装置１２０は、情報提供処理装置１５０から受信した暗号化通信応答メッセージを、情報提供処理装置１５０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｓに格納されている共通鍵）を用いて復号化して通信応答メッセージを取得する。そして、中継処理装置１２０は、付加機能処理部１３０において該通信応答メッセージへアクセス制御等の付加機能処理を実行する。
【０２２３】
すなわち、中継処理装置１２０は、通信応答メッセージの内容を解析することにより、利用者端末１１０への通信応答メッセージの送信を許可するか否かの判定を行うことによりアクセス制御処理を行う。ここでの例では、中継処理装置１２０は、付加機能処理として通信応答メッセージ内のウィルス検査処理を行い、その結果、通信応答メッセージにはウィルスが検知されなかったとする。
【０２２４】
中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可すると判定された場合は、当該通信応答メッセージを利用者端末１１０送信するように制御する。一方、中継処理装置１２０は、利用者端末１１０への通信応答メッセージの送信を許可しないと判定された場合は、当該通信応答メッセージを利用者端末１１０には送信しないように制御する。
【０２２５】
次に、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージをプロキシ回線１６１上のＳＳＬハンドシェイクで取り決めた方法で暗号化した暗号化通信応答メッセージを生成し、該メッセージを利用者端末１１０へ送信する。
【０２２６】
すなわち、中継処理装置１２０は、当該通信応答メッセージを利用者端末１１０に送信するように制御する場合、該通信応答メッセージを、利用者端末１１０と共有している共通鍵（代理通信セッション管理（図１０）表の共通その他−Ｃに格納されている共通鍵）を用いて暗号化することによって、暗号化通信応答メッセージを生成し、当該暗号化通信メッセージを利用者端末１１０に送信する。
【０２２７】
利用者端末１１０は、中継処理装置１２０から受信した暗号化通信応答メッセージを、中継処理装置１２０と共有している共通鍵を用いて復号化することによって、通信応答メッセージを生成し、該通信応答メッセージを閲覧処理部１１１の画面へ表示するなどの処理を行う。
【０２２８】
ステップＳ１１３８では、情報提供処理装置１５０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを中継処理装置１２０へ送信する。
【０２２９】
ステップＳ１１３９では、中継処理装置１２０は、同じく終了通知メッセージを、情報提供処理装置１５０へ送信する。これにより、サーバ回線１６３を終了させる。
【０２３０】
ステップＳ１１４０において、中継処理装置１２０は、ＳＳＬコネクションを終了するためにＳＳＬアラートプロトコルによる終了通知メッセージを利用者端末１１０へ送信する。
【０２３１】
ステップＳ１１４１において、利用者端末１１０は、同じく終了通知メッセージを、中継処理装置１２０へ送信する。これにより、前記プロキシ回線１６１を終了させる。
上述したＳＳＬの暗号化通信の確立手順は、一例であり、上述したメッセージ以外のメッセージを装置間で送受信して暗号化通信を確立するようにしてもよい。
【０２３２】
以上で、ＳＳＬの暗号化通信（回線）を介して通信される通信データを、通信方式が代理方式（“代理”）の場合に、中継する際の通信メッセージ交換フローの例の説明を終了する。
【０２３３】
（セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フロー）
【０２３４】
次に、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローについて、図１２を用いて説明する。
【０２３５】
図１２は、暗号化通信されるデータを代理方式によって中継する場合であり、かつ、プロキシ回線１６１のＳＳＬコネクションとサーバ回線１６３のＳＳＬコネクションとにおいてセッション再開機能によりＳＳＬセッションを開設した場合の、利用者端末１１０と中継処理装置１２０と情報提供処理装置１５０との間の通信メッセージの交換フローの例を示す図である。
【０２３６】
セッション再開機能とは、過去に開設して終了させたセッションを再開するための機能であり、ＳＳＬにおいてセッションを新規に作成せずに再開させた場合はセッションを確立するために必要なセッション鍵（共通鍵）の生成、交換に関わる負荷の高い処理を省略できるために、性能向上のために利用される機能である。
【０２３７】
なお、図１２中の利用者端末１１０と中継処理装置１２０との間のすべての通信はプロキシ回線１６１上で行われる。
【０２３８】
ステップＳ１２０１の処理は、前述したステップＳ１１０１の処理と同じである。
【０２３９】
次に、利用者端末１１０は、ステップＳ１２０１におけるコンテンツ取得要求に対して閲覧処理部１１１に登録されたイベントハンドラによって、拡張機能処理部１１２の処理が起動される。利用者端末１１０の拡張機能処理部１１２では、該コンテンツ取得要求のＵＲＬのスキーマ部を取得し、該スキーマがＨＴＴＰＳであることから、中継処理装置１２０における通信方式を決定するための処理を行う。利用者端末１１０は、中継処理装置１２０へ問い合わせを行う前に、過去に中継処理装置１２０との通信で用いられた情報が利用できないかどうかを調べるために、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）を参照し、該コンテンツ取得要求に含まれるＵＲＬから情報提供処理装置１５０のサーバ識別子（ホスト名：ポート番号）を生成し、該サーバ識別子をキーにしてクライアント通信方式キャッシュ表（図１６）のレコードを検索する。ここの例では、利用者端末１１０は、検索の結果、該サーバ識別子を条件として満たすレコードを発見し、該レコードの通信方式欄を参照し、通信方式を”代理”と判定する。なお、検索の結果、通信方式が”直接”であると判定された場合は、通常の方式（直接方式）で利用者端末１１０と情報提供処理装置１５０とが直接、ＳＳＬの暗号化通信回線を確立するように制御する。
【０２４０】
ステップＳ１２０２では、利用者端末１１０は前述したステップＳ１１０７と同じ処理を行う。
【０２４１】
ステップＳ１２０３では、中継処理装置１２０は前述したステップＳ１１０８と同じ処理を行う。
【０２４２】
ステップＳ１２０４では、中継処理装置１２０は前述したステップＳ１１０９と同じ処理を行う。
【０２４３】
ステップＳ１２０５では、利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているので再開可能であると判定し、キャッシュされているセッション情報のセッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
利用者端末１１０の閲覧処理部１１１は、情報提供処理装置１５０への過去の通信で利用したＳＳＬのセッション情報がキャッシュされているか否かを判定した結果、ＳＳＬのセッション情報がキャッシュされていないと判定した場合は、図１１のステップＳ１１１０で説明した通り、セッションＩＤを付加していないＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを中継処理装置１２０へ送信する。
【０２４４】
ステップＳ１２０６では、中継処理装置１２０は、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコードを取得し、該レコードの通信方式欄の値（”代理”）から、中継を代理方式で実施することを判定（決定）する。
【０２４５】
次に、中継処理装置１２０は、管理表保存部１２９の代理通信セッション管理表（図１０）の中から、ステップＳ１２０２（ステップＳ１１０７）で受信したクライアント識別子とサーバ識別子を、それぞれクライアント識別子欄とサーバ識別子欄にもつレコード（代理通信セッションレコードと呼ぶ）を取得する。代理通信セッション管理表（図１０）は、代理通信記憶手段の適用例である。
【０２４６】
中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄を参照し、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージのセッションＩＤ（第１のセッション識別情報）と同じならば、中継処理装置１２０側もセッション再開が可能と判定する（判定手段）。
【０２４７】
すなわち、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一であるか否かを判定し、同一であると判定された場合は、中継処理装置１２０もセッションの再開が可能であると判定する。一方、中継処理装置１２０は、該代理通信セッションレコードのセッションＩＤーＣ欄の値が、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージに含まれるセッションＩＤと同一ではないと判定された場合は、中継処理装置１２０はセッションの再開が不可能であると判定する。ここで、中継処理装置１２０は、セッションの再開が不可能であると判定された場合は、これ以降の処理は実行しない。ここでの例では、セッション再開は可能と判定され、利用者端末１１０へ該セッションＩＤを付加したＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する。
【０２４８】
ステップＳ１２０７では、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値があるか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤ（第２のセッション識別情報）の値があると判定された場合に、サーバ回線１６３においてもセッションを再開することができると判定し、該セッションＩＤを付加したＣｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０へ送信する。一方、中継処理装置１２０は、代理通信セッションレコードのセッションＩＤーＳ欄にセッションＩＤの値が無いと判定された場合は、サーバ回線１６３においてはセッションを再開することが出来ないと判定し、これ以降の処理を実行しないように制御する。
【０２４９】
【０２５０】
ステップＳ１２０８では、情報提供処理装置１５０は、中継処理装置１２０から受信したセッションＩＤで識別されるＳＳＬのセッション情報が情報提供処理装置１５０においても利用可能なことを確認したのち、中継処理装置１２０へ、該セッションＩＤを付加したＳｅｒｖｅｒ Ｈｅｌｌｏメッセージを応答する。これは、中継処理装置１２０と情報提供処理装置１５０の間におけるサーバ回線１６３のＳＳＬコネクションにおいても、セッション再開の合意がとれたことを意味する。
【０２５１】
ステップＳ１２０９では、情報提供処理装置１５０は中継処理装置１２０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５２】
ステップＳ１２１０では、中継処理装置１２０は情報提供処理装置１５０へＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５３】
以上をもって、中継処理装置１２０と情報提供処理装置１５０の間のサーバ回線１６３のＳＳＬハンドシェイク処理を終了する。
【０２５４】
ステップＳ１２１１では、中継処理装置１２０は利用者端末１１０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５５】
ステップＳ１２１０では、利用者端末１１０は中継処理装置１２０へＨａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを送信する。
【０２５６】
以上をもって、利用者端末１１０と中継処理装置１２０と間のプロキシ回線１６１のＳＳＬハンドシェイク処理を終了する。
【０２５７】
以降は、図１１を用いて説明した、ステップＳ１１３４からステップＳ１１４１までの処理と同じ処理を、図１２におけるステップＳ１２１３からステップＳ１２２０までの処理で実施する。
【０２５８】
以上で、セッション再開機能による暗号化通信を代理方式によって中継する場合の通信メッセージ交換フローの例の説明を終了する。
【０２５９】
以上、説明したように、セッション再開機能を利用した中継処理では、ＳＳＬハンドシェイク処理を大幅に短縮し、計算負荷の高い処理を省略することができる。また、上記で説明した手順によれば、セッション再開機能を利用した場合でも、利用者端末１１０は、セッションを開設した通信時（図１１のステップＳ１１２１）に管理表保存部１１４のサーバ証明書キャッシュ表に保存しておいたサーバ証明書欄を参照することにより、情報提供処理装置１５０のサーバ公開鍵証明書を、中継処理装置１２０から送信されることなく利用者に提示することができ、利用者に通信相手の真正性を確認する手段を与えることが可能となっている。なお、クライアント認証に関しては、情報提供処理装置１５０は、情報提供処理装置１５０のメモリに記憶されているセッション情報の中に利用者端末１１０の公開鍵証明書をキャッシュしているために再度、中継処理装置１２０にクライアント認証の要求情報を送信し検証処理を行うことも省略できている。
【０２６０】
（中継処理装置１２０における通信処理フロー）
【０２６１】
次に、利用者端末１１０が中継処理装置１２０を経由して情報提供処理装置１５０へ暗号化通信（代理方式による暗号化通信）を行う場合の中継処理装置１２０の処理フローを、図３を用いて説明する。
【０２６２】
なお、図３に示すステップＳ３０１からステップＳ３２０は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
【０２６３】
ステップＳ３０１では、中継処理装置１２０は、利用者端末１１０から情報提供処理装置１５０への暗号化通信の要求の発生を元に通信方式を決定する処理（通信方式決定処理）を行う（図１１のステップＳ１１０１からステップＳ１１０６）。
【０２６４】
通信方式決定処理では、利用者端末１１０が要求する通信に対する中継処理装置１２０における通信方式が決定され、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に、決定された通信方式を通信方式欄にもつ新しいレコードが作成される。該レコードの通信方式欄の値は、”直接”か”代理”または”選択なし”のいずれかになる。処理の詳細は図４を用いて後述する。
【０２６５】
ステップＳ３０２では、クライアント通信部１２１は、利用者端末１１０の閲覧処理部１１１から接続を受け付け、ＳＳＬ（ＴＬＳを含む）のプロキシ接続プロトコルに則ったＣＯＮＮＥＣＴメソッドによる接続要求メッセージ（情報提供処理装置１５０とのＳＳＬ通信の要求の情報）を受信し、通信制御部１２４へ該接続要求メッセージを渡す（図１１のステップＳ１１０７）。
すなわち、中継処理装置１２０は、利用者端末１１０から、情報提供処理装置１５０へのＳＳＬ通信の要求を受信する（受信手段）。
【０２６６】
すなわち、中継処理装置１２０は、利用者端末１１０からＳＳＬ通信の要求を受信したことを条件に、プロキシ回線１６１の確立、及びサーバ回線１６３の確立を開始するように制御する（制御手段）。
【０２６７】
以降、中継処理装置１２０のクライアント通信部１２１と利用者端末１１０の閲覧処理部１１１との間で開設される接続回線をプロキシ回線１６１と呼ぶ。
【０２６８】
次に、通信制御部１２４は、該接続要求メッセージのＣＯＮＮＥＣＴメソッドで指定された情報提供処理装置１５０のホスト名とポート番号からサーバ識別子（ホスト名：ポート番号）を作成し、また該接続要求メッセージのリクエストヘッダーからクライアント識別子（ＩＰアドレス：閲覧処理部識別子）を取得する。そして、通信制御部１２４は、該サーバ識別子と該クライアント識別子をキーにして、管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）からレコードを検索し、検索結果、該レコードの通信方式を取得する。該通信方式はステップＳ３０１において記憶された値である。
【０２６９】
通信制御部１２４は、通信方式が”直接”又は”代理”であった場合には、ＣＯＮＮＥＣＴメソッドで渡されたホスト名とポート番号をサーバ通信部１２２へ渡し、サーバ通信部１２２は該ホスト名の情報提供処理装置１５０の該ポート番号へ接続する（図１１のステップＳ１１０８）。接続が失敗すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へエラーメッセージを応答（送信）して終了する。接続が成功すると、通信制御部１２４は、クライアント通信部１２１を経由して利用者端末１１０へＨＴＴＰ応答コード２００を応答する（図１１のステップＳ１１０９）。以降、前記中継処理装置１２０のサーバ通信部１２２と情報提供処理装置１５０のサーバ処理部１５１との間で開設される接続回線をサーバ回線１６３と呼ぶ。
【０２７０】
また、通信制御部１２４は、通信方式が”代理”であった場合には、サーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表（図１０）からレコードを検索する。通信制御部１２４は、該キーに一致するレコードがなかった場合には、サーバ識別子とクライアント識別子を、それぞれサーバ識別子欄とクライアント識別子欄にもつ新しいレコードを作成する。通信制御部１２４は、検索で発見されたレコード又は新規作成したレコードを中継処理装置１２０のＲＡＭ２０３に記憶させる。以降、このレコードを代理通信セッションレコードと呼び通信制御部１２４において参照できるものとする。
【０２７１】
ステップＳ３０３では、ステップＳ３０２で取得した通信方式によって処理を分岐させる。すなわち、中継処理装置１２０は、ステップＳ３０２で取得した通信方式が、”直接”であるか、”代理”であるか、”選択なし”であるかを判定する。前記通信方式が”直接”であった場合はステップＳ３０４へ進み、”代理”であった場合はステップＳ３０５へ進み、”選択なし”であった場合はステップＳ３１９へ進む。
【０２７２】
（直接プロキシ処理）
ステップＳ３０４では、通常のプロキシサーバが行う方式（直接方式）によって暗号化通信（ＨＴＴＰＳ通信）されるデータを中継する。
【０２７３】
すなわち、中継処理装置１２０は、利用者端末１１０と情報提供処理装置１５０との間で送受信されるデータを素通しして中継する。これにより、従来のように、クライアント端末と情報処理装置との間でＳＳＬによる暗号化通信（第３のＳＳＬ通信）が確立される。
【０２７４】
そして、中継処理装置１２０は、ここで確立された暗号化通信を用いて、利用者端末１１０と情報提供処理装置１５０との間で通信される通信データを中継する。
【０２７５】
通信制御部１２４は、ステップＳ３０２において通信制御部１２４が利用者端末１１０へＨＴＴＰ応答コード２００を応答した後、クライアント通信部１２１が利用者端末１１０の閲覧処理部１１１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、サーバ通信部１２２から情報提供処理装置１５０のサーバ処理部１５１へ送信する。また、通信制御部１２４は、サーバ通信部１２２が情報提供処理装置１５０のサーバ処理部１５１から受信する全ての暗号化通信メッセージ（暗号化されたデータ）を、そのまま、クライアント通信部１２１から利用者端末１１０の閲覧処理部１１１へ送信する。そして、通信制御部１２４は、サーバ回線１６３が情報提供処理装置１５０から切断されるかもしくはプロキシ回線１６１が利用者端末１１０から切断されるかのいずれかが発生すると反対側の通信回線も切断し、全ての処理を終了する。
【０２７６】
なお、この直接方式による中継処理では、通信要求メッセージ、通信応答メッセージとも暗号化されたまま中継するので、通信制御部１２４を経由する際、中継処理装置１２０は、付加機能処理部１３０における付加機能処理（通信メッセージ検査や通信応答キャッシュなど）は実行しない。
【０２７７】
（中継拒否通知）
ステップＳ３１９では、通信制御部１２４は、アクセスを許可しない旨の通信応答メッセージを作成し、クライアント通信部１２１を経由して該通信応答メッセージを利用者端末１１０の閲覧処理部１１１へ送信し、プロキシ回線１６１を切断し処理を終了する。
【０２７８】
（代理方式：利用者端末１１０とのＳＳＬハンドシェイク処理）
【０２７９】
ステップＳ３０５では、通信制御部１２４は、クライアント側暗号処理部１２３に対して前記プロキシ回線１６１においてＳＳＬセッションを開始するよう指示する。クライアント側暗号処理部１２３は、該プロキシ回線１６１においてクライアント通信部１２１を経由して、利用者端末１１０の閲覧処理部１１１から送信されるＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信し、ＳＳＬハンドシェイク処理を開始する。ＳＳＬのハンドシェイク方法には、セッションを新規に開始するケースと過去のセッションを再開するケースの２通りがある。
【０２８０】
まず、セッションを新規に開始するケースについて説明する。
【０２８１】
中継処理装置１２０は、前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中にセッションＩＤが含まれているか否かを判定し、セッションＩＤが含まれていると判定された場合であって、該セッションＩＤが前記代理通信セッションレコードのセッションＩＤーＣ欄の値と同一と判定された場合、クライアント側のＳＳＬコネクションでセッションを再開し、一方、同一でない場合は、利用者端末１１０側のＳＳＬコネクションは新規のセッションを開始する。
【０２８２】
すなわち、ＳＳＬセッションを新規に開始する処理では、中継処理装置１２０のクライアント側暗号処理部１２３は、利用者端末１１０から送信されたＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１１のステップＳ１１１０）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏ、Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅの各メッセージを順次送信する（図１１のステップＳ１１１２、ステップＳ１１１３、ステップＳ１１１４）。
【０２８３】
具体的には、中継処理装置１２０は、ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージの中に、セッションＩＤが含まれていないと判定した場合は、新規のセッションを作成するため新規の固有のセッションＩＤを生成する。
【０２８４】
そして、中継処理装置１２０は、当該生成されたセッションＩＤを含む該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを利用者端末１１０に送信し、当該生成されたセッションＩＤを代理通信セッションレコードのセッションＩＤーＣ欄に保存する。該セッションＩＤは次回以降にセッションを再開する場合の識別子となる。
【０２８５】
利用者端末１１０は、セッションＩＤを含むＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを中継処理装置１２０から受信すると、当該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに含まれているセッションＩＤをＳＳＬのセッション情報としてＲＡＭ２０３等のメモリに記憶する（キャッシュする）。
【０２８６】
次に、中継処理装置１２０は、代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書を含むＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを利用者端末１１０に送信する（ステップＳ１１１３）。
【０２８７】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信し、当該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書を外部メモリ２１１などのメモリに記憶する。
【０２８８】
そして、中継処理装置１２０は、中継処理装置１２０での一連の処理の終了を通知するＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを利用者端末１１０に送信する（ステップＳ１１１４）。
【０２８９】
利用者端末１１０は、中継処理装置１２０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージを受信すると、マスターシークレット（データの暗号化及び復号化に用いる共通鍵を生成するための情報）を生成する。
【０２９０】
また、利用者端末１１０は、ここで生成されたマスターシークレットに従って、プロキシ回線１６１を介して中継処理装置１２０と通信する対象となるデータの暗号化及び復号を行うために用いる共通鍵を生成して、当該生成された共通鍵をＲＡＭ２０３等のメモリに記憶する。
【０２９１】
利用者端末１１０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを中継処理装置１２０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。
【０２９２】
また、利用者端末１１０は、中継処理装置１２０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２９３】
そして、利用者端末１１０は、中継処理装置１２０から受信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれているサーバ公開鍵証明書に含まれるサーバの公開鍵を用いて、当該生成されたマスターシークレットを暗号化する。
【０２９４】
そして、利用者端末１１０は、当該暗号化されたマスターシークレットを含むＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを中継処理装置１２０に送信する。
中継処理装置１２０は、利用者端末１１０からＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージを受信する。
【０２９５】
そして、中継処理装置は、当該ＣｌｉｅｎｔＫｅｙＥｘｃｈａｎｇｅメッセージに含まれている暗号化されたマスターシークレットを、利用者端末１１０に送信したＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージに含まれるサーバ公開鍵証明書（サーバの公開鍵を含む）に対応する秘密鍵を用いて復号する。
【０２９６】
なお、ここで用いる秘密鍵は、サーバ公開鍵証明書（サーバの公開鍵を含む）に対応付けられて代理用暗号鍵保存部１２６に記憶されており、利用者端末１１０に送信したサーバ公開鍵証明書（サーバの公開鍵を含む）に対応するものである。
【０２９７】
次に、中継処理装置１２０は、復号されたマスターシークレットに従って共通鍵を生成する。そして、中継処理装置１２０は、該生成された共通鍵の情報を前記代理通信セッションレコードの共通鍵その他ーＣ欄に記憶する。
【０２９８】
中継処理装置１２０は、ステップＳ１１３４以降の処理（ステップＳ３１４）で、プロキシ回線１６１を介してデータを利用者端末１１０に送信する際は、当該データを、ここで生成された共通鍵を用いて暗号化して送信する。また、中継処理装置１２０は、利用者端末１１０からプロキシ回線１６１を介して送信された暗号化されたデータを、ここで生成された共通鍵を用いて復号する。
【０２９９】
次に、ＳＳＬセッションを再開するケースについて説明する。
【０３００】
中継処理装置１２０は、利用者端末１１０から受信したＳＳＬ Ｃｌｉｅｎｔ ＨｅｌｌｏメッセージにセッションＩＤが含まれていると判定され、当該セッションＩＤが、前記代理通信セッションレコードのセッションＩＤーＣ欄に含まれていると判定された場合に、ＳＳＬセッションを再開すると判定する（Ｓ３０６：ＹＥＳ）。ここで、中継処理装置１２０が、利用者端末１１０から、セッションＩＤを含むＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを受信したことは、ＳＳＬ通信の再開要求を受信したことを意味する。このとき、共通鍵その他ーＣ欄には既に当該ＳＳＬセッション用の共通鍵が保存されている。クライアント側暗号処理部１２３は、利用者端末１１０からの前記ＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージ（図１２のステップＳ１２０５）に応答して、Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを送信する（図１２のステップＳ１２０６）。
【０３０１】
（代理用暗号鍵保存部１２６のサーバ公開鍵証明書について）
【０３０２】
代理用暗号鍵保存部１２６に記憶されているサーバ公開鍵証明書に関して説明する。該サーバ公開鍵証明書は、プロキシ回線１６１のＳＳＬコネクションにおけるサーバ認証用のサーバ公開鍵証明書である。通常のプロキシ接続（直接方式による通信）においては、該サーバ公開鍵証明書は、情報提供処理装置１５０のサーバ暗号鍵保存部１５２に記憶されているサーバ公開鍵証明書が情報提供処理装置１５０から提示されるが、本実施例の代理方式では、中継処理装置１２０の代理用暗号鍵保存部に記憶されているサーバ公開鍵証明書が代わりに提示される。そのため該サーバ公開鍵証明書は、任意の情報提供処理装置１５０に対して有効と判定されるものでなければならない。このため、本実施例の代理方式では、該サーバ公開鍵証明書は、非特許文献１で示されているように、情報提供処理装置１５０のホスト名が記載される主体者のＣｏｍｍｏｎ Ｎａｍｅ（ＣＮ）属性又はＳｕｂｊｅｃｔＡｌｔＮａｍｅ属性にワイルドカードを用いて任意の情報提供処理装置１５０を表す。サーバ公開鍵証明書とホスト名を元にした情報提供処理装置１５０の身元確認方法に関しては、ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」に記載されている。
【０３０３】
また、該サーバ公開鍵証明書には、主体者のＤＮ（識別名）の中のＣｏｍｍｏｎ Ｎａｍｅより上の階層に、中継処理装置１２０のホスト名を属性値としてもつようにし、エンドポイント（情報提供処理装置１５０）の確認とともに中継点（中継処理装置１２０）の確認も同時に実施できるようにする。
【０３０４】
ＤＮ（主体者識別名）の例を示す。
ｃｎ＝＊．＊．＊、ｏｕ＝ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ，ｏ＝ＸＸＸ Ｉｎｃ．，ｃ＝ｊｐ
【０３０５】
この例では、ｃｎはワイルドカードで表され、ホスト名に３つのドメインコンポーネントをもつ任意の情報提供処理装置１５０に対する代理用のサーバ公開鍵証明書であることを表している。代理用暗号鍵保存部１２６では、任意の情報提供処理装置１５０のサーバ公開鍵証明書として利用できるように、ワイルドカードのドメインコンポーネントが例えば２から１０までに対応するｃｎをもつサーバ公開鍵証明書を予め記憶しておき、通信セッションにおける情報提供処理装置１５０のホスト名のドメインコンポーネントの数によって前記サーバ公開鍵証明書から適切なものが選択されるようにしておく。
【０３０６】
また、Ｃｏｍｍｏｎ Ｎａｍｅ（ｃｎ）の一つ上位のｏｕ属性値として中継処理装置１２０のホスト名（上記例：ｐｒｏｘｙ．ｘｘｘ．ｃｏｍ）を記載している。該ｏｕ属性値はプロキシ回線１６１上のＳＳＬコネクションにおける中継処理装置１２０の真正性確認に用いることができる。これは制御回線１６２で利用者端末１１０の拡張機能処理部１１２が明示的に接続する中継処理装置１２０のホスト名と前記属性値が同じであることで検証することができる。
【０３０７】
ステップＳ３０６では、ステップＳ３０５において新規セッションを開設していればステップＳ３０７へ進み、セッションの再開機能を使っていればステップＳ３１６へ進む。
【０３０８】
ステップＳ３０７では、サーバ側暗号処理部１２５は、ステップＳ３０２で開設したサーバ回線１６３を介して、サーバ通信部１２２を経由してＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを情報提供処理装置１５０に送信し、ＳＳＬハンドシェイク処理を新規に開始する（図１１のステップＳ１１１１からステップＳ１１１８）。
【０３０９】
サーバ側暗号処理部１２５は、情報提供処理装置１５０から、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ、ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅ、ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔ（オプション）、ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏ Ｄｏｎｅメッセージ等を受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると該メッセージに含まれる情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書を代理通信セッションレコードのサーバ証明書欄に保存する。
【０３１０】
また、サーバ側暗号処理部１２５が前記Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は（図１１のステップＳ１１１７）、情報提供処理装置１５０がＳＳＬクライアント認証を要求していることを意味するので、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄に該Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージには、クライアント認証の条件を示す署名アルゴリズムと情報提供処理装置１５０が信用しているルートＣＡの識別名情報が含まれている。
【０３１１】
ステップＳ３０８では、制御処理通信部１２８は該代理通信セッションレコードのサーバ証明書欄に保存された情報提供処理装置１５０のサーバ公開鍵証明書を利用者端末１１０へ制御回線１６２を介して送信し、利用者端末１１０において該サーバ公開鍵証明書を検証させ、情報提供処理装置１５０に対するサーバ認証を実施させるステップである。そして、制御処理通信部１２８は、その検証結果を通信制御部１２４へ渡す（図１１のステップＳ１１１９からステップＳ１１２２）。ステップＳ３０８の詳細処理は、図５を用いて後述する。
【０３１２】
ステップＳ３０９では、通信制御部１２４は、制御処理通信部１２８から渡されたステップＳ３０８におけるサーバ認証処理の結果が、成功であればステップＳ３１０へ進み、失敗であればステップＳ３２０へ進む。ここで、通信制御部１２４は、ステップＳ３０８で、利用者端末１１０から検証が成功した旨を受信した場合は、サーバ認証処理の結果が、成功として判定し、一方、利用者端末１１０から、検証が成功しなかった旨を受信した場合は、サーバ認証処理の結果が、失敗として判定する。
【０３１３】
ステップＳ３１０では、通信制御部１２４は、代理通信セッションレコードのクライアント認証要求欄を参照し、値が存在すればステップＳ３１１へ進み、値が存在しなければステップＳ３１２へ進む。
【０３１４】
ステップＳ３１１では、中継処理装置１２０は、利用者端末１１０と連携することにより、情報提供処理装置１５０から要求されたクライアント認証に応答するための処理を行う（図１１のステップＳ１１２３からステップＳ１１２９）。ステップＳ３１１の詳細処理は、図６を用いて後述する。
【０３１５】
ステップＳ３１２では、サーバ側暗号処理部１２５において、サーバ通信部１２２を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄメッセージを情報提供処理装置１５０に送信して、前記サーバ回線１６３におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３０からステップＳ１１３１）。
【０３１６】
ステップＳ３１３では、クライアント側暗号処理部１２３において、クライアント通信部１２１を経由して、ＳＳＬ Ｈａｎｄｓｈａｋｅ ｆｉｎｉｓｈｅｄを利用者端末１１０に送信して、プロキシ回線１６１におけるＳＳＬコネクションのハンドシェイク処理を終了する（図１１のステップＳ１１３２からステップＳ１１３３）。
【０３１７】
ステップＳ３１４では、既に確立した、プロキシ回線１６１のＳＳＬセッションと、サーバ回線１６３のＳＳＬセッションと、の２つのＳＳＬセッションの間でアプリケーションメッセージを中継する。この時、付加機能処理部１３０において平文化されたメッセージに対して、付加機能による処理が実行される（図１１のステップＳ１１３４からステップＳ１１３７）。詳細は後述する。
【０３１８】
ステップＳ３１５では、ステップＳ３１４におけるアプリケーションメッセージの交換が終了すると、情報提供処理装置１５０もしくは利用者端末１１０からＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージによるセッション終了通知が送信される。クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５において該メッセージを受信すると、クライアント側暗号処理部１２３もしくはサーバ側暗号処理部１２５はＳＳＬ ｃｌｏｓｅ ｎｏｔｉｆｙメッセージを返信しＳＳＬセッションを終了し、通信回線（プロキシ回線、又はサーバ回線）を切断する。次に反対側のＳＳＬセッションの終了処理と通信回線（プロキシ回線、又はサーバ回線）の切断処理を実施する。
【０３１９】
（ＳＳＬセッション再開機能を使う場合）
ステップＳ３１６では、通信制御部１２４は、サーバ回線１６３においてＳＳＬセッションの再開が可能か否かを判定する。
【０３２０】
すなわち、通信制御部１２４は、利用者端末１１０から受信したセッションＩＤが含まれている代理通信セッションレコードのセッションＩＤーＳ欄に値が存在するか否かを判定し、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在すると判定された場合、サーバ側暗号処理部１２５から該セッションＩＤの値を付加したＳＳＬ Ｃｌｉｅｎｔ Ｈｅｌｌｏメッセージを、サーバ通信部１２２を経由してサーバ回線を介して情報提供処理装置１５０へ送信する。
【０３２１】
次に、サーバ側暗号処理部１２５は、情報提供処理装置１５０からＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージを受信する。通信制御部１２４は、該ＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれているか否かを判定し、該セッションＩＤが含まれていると判定された場合は、セッション再開が可能と判定しステップＳ３１２へ進む。
【０３２２】
通信制御部１２４は、代理通信セッションレコードのセッションＩＤーＳ欄に値が存在しない場合、もしくは存在してもＳＳＬ Ｓｅｒｖｅｒ Ｈｅｌｌｏメッセージに該セッションＩＤが含まれていなければ、セッション再開は不可と判定しステップＳ３１７へ進む。
【０３２３】
ステップＳ３１７では、通信制御部１２４は、ステップＳ３０７と同様に、サーバ回線１６３上で新しいＳＳＬセッションを開始する。
【０３２４】
通信制御部１２４は、情報提供処理装置１５０からのＳＳＬ Ｓｅｒｖｅｒ Ｃｅｒｔｉｆｉｃａｔｅメッセージを受信すると、該メッセージからサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書と代理通信セッションレコードのサーバ証明書欄の値とを比較する。当該比較の結果、両者が同一でなかった場合は、代理通信セッションレコードのサーバ証明書欄を該サーバ公開鍵証明書で上書き保存する。
【０３２５】
また、通信制御部１２４は、情報提供処理装置１５０からＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージを受信した場合は、ステップＳ３０７と同様に代理通信セッションレコードのクライアント認証要求欄に該ＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｑｕｅｓｔメッセージの内容を符号化して保存する。
【０３２６】
ステップＳ３１８では、通信制御部１２４は、ステップＳ３１７におけるサーバ公開鍵証明書の比較の結果を参照し、真（同一）ならばステップＳ３１０へ進み、偽（同一ではない）ならば再度サーバ公開鍵証明書を利用者端末１１０で検証させるためにステップＳ３０８へ進む。
【０３２７】
（エラー処理）
ステップＳ３２０では、制御処理通信部１２８は、ステップＳ３０８におけるサーバ証明書の検証処理が失敗したことを通信制御部１２４へ通知し、通信制御部１２４は、サーバ側暗号処理部１２５に情報提供処理装置１５０とのＳＳＬハンドシェイク処理をエラー終了するように通知し、サーバ側暗号処理部１２５は、サーバ通信部１２２を経由して、サーバ回線１６３を介してＳＳＬのＳＳＬ ｂａｄ ｃｅｒｔｉｆｉｃａｔｅ ａｌｅｒｔメッセージを情報提供処理装置１５０へ送信し、サーバ回線１６３を切断し、終了する。
【０３２８】
（図４ 通信方式決定処理の詳細）
次に、図３におけるステップＳ３０１の詳細である利用者端末１１０と中継処理装置１２０とにおける通信方式決定処理のフローを、図４を用いて説明する。
【０３２９】
図４に示すステップＳ４０１からステップＳ４０３、ステップＳ４０６からステップＳ４０８の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３３０】
また、ステップＳ４０４、ステップＳ４０５、ステップＳ４０９の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３３１】
なお、図４で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３３２】
ステップＳ４０１では、利用者端末１１０の閲覧処理部１１１は、利用者が”ｈｔｔｐｓ：／／・・・”形式のＵＲＬのリンクをクリックしたり、アドレスバーに入力するなどして、情報提供処理装置１５０への暗号化通信の要求イベントを検知すると、拡張機能処理部１１２へ該ＵＲＬを渡し制御を移す。
【０３３３】
ステップＳ４０２では、利用者端末１１０の拡張機能処理部１１２は、当該ＵＲＬの中のホスト名とポート番号からサーバ識別子（サイト情報）を生成し、該サーバ識別子をキーに管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）からレコードを検索する。
【０３３４】
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがあれば該レコードの通信方式欄の値を通信方式とし処理を終了する。この場合は、利用者端末１１０のクライアント通信方式キャッシュ表の該レコード（キャッシュ情報）が存在すれば、中継処理装置１２０のプロキシ通信方式キャッシュ表（図９）にも同じ通信条件のキャッシュ情報が存在する。
【０３３５】
利用者端末１１０の拡張機能処理部１１２は、検索処理にて条件に一致するレコードがなければ新規に通信方式を決定するためにステップＳ４０３へ進む。
【０３３６】
ステップＳ４０３では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する。すなわち、利用者端末１１０と中継処理装置１２０との間でＳＳＬによる暗号化通信の回線（制御回線１６２）を確立する。この接続回線を制御回線１６２と呼ぶ。利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０２で生成したサーバ識別子と、利用者端末１１０のＩＰアドレスと閲覧処理部１１１識別子からなるクライアント識別子と、をもつ通信方式問い合わせ要求メッセージを中継処理装置１２０へ送信する。
【０３３７】
ステップＳ４０４では、中継処理装置１２０の制御処理通信部１２８が、ステップＳ４０３の通信方式問い合わせ要求メッセージを受信し、サーバ識別子とクライアント識別子を取得する（受付手段）。サーバ識別子は、中継先情報の適用例である。また、クライアント識別子（ＩＰアドレス）は、クライアント情報の適用例である。
【０３３８】
ステップＳ４０５では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０４で取得した情報提供処理装置１５０を識別するサーバ識別子と、利用者端末１１０の閲覧処理部１１１を識別するクライアント識別子と、を元に管理表保存部１２９の通信方式決定表（通信方式設定情報）（図８）のサーバ条件とクライアント条件に合致するレコードを検索し、合致するレコードの通信方式を、確立が許可された通信の通信方式として決定する（通信決定手段）。
【０３３９】
サーバ条件のドメイン名欄との照合は、サーバ識別子から情報提供処理装置１５０のホスト名を取り出し、該ホスト名とドメイン名欄の値に対して文字列パターンマッチングを行う。サーバ条件のカテゴリー欄との照合は、ホスト名（ドメイン名）をカテゴリーに変換する。ここでは不図示の、ホスト名（ドメイン名）とカテゴリーとが対応付けられた変換テーブル等を用いて、サーバ識別子から取り出したホスト名から、当該ホスト名に対応するカテゴリーを算出（決定）し、該カテゴリーとカテゴリー欄の値を比較する。クライアント条件のアドレス欄の照合は、クライアント識別子からＩＰアドレスを取り出し、該ＩＰアドレスと値との照合を行う。クライアント条件の認証グループ欄の照合は、中継処理装置１２０が利用者端末１１０の閲覧処理部１１１の利用者を認証した場合に入力された利用者の属性値と照合するにより行う。中継処理装置１２０が利用者端末１１０の閲覧処理部１１１を利用する利用者を認証する手段に関しては詳細には記載しないが、例えば、プロキシ回線１６１上でＨＴＴＰのプロキシ認証を実施する手段や制御回線１６２のＨＴＴＰＳトランザクションにおいてＳＳＬクライアント認証やＨＴＴＰダイジェスト認証等を実施する手段を使うことができる。
【０３４０】
また、通信方式決定表では、図８の８０４で示されるような全ての通信要求条件に合致するレコードを持たせ必ず通信方式が決定されるようにしておく。
【０３４１】
すなわち、通信方式決定表（図８）は、各レコードの条件を判断する優先順位を有しており、一番上のレコードから下のレコードに向って、順次、各レコードの条件に合致するかの判断がなされる。
【０３４２】
次に、制御処理通信部１２８は、検索の結果、得られたレコードの通信方式欄の値を、利用者端末１１０の拡張機能処理部１１２へ応答メッセージとして送信する。
【０３４３】
ここでは、中継処理装置１２０は、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０は、中継処理装置１２０から受信した通信方式欄の値に従って、後述する図１３又は図１４に示す画面を表示する。
【０３４４】
他の方法としては、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）に従って決定される図１３又は図１４に示す画面を表示するための画面情報を中継処理装置１２０が利用者端末１１０に送信し、当該画面情報を受信した利用者端末１１０が、当該画面情報に従って図１３又は１４の画面を表示するようにしてもよい。
【０３４５】
すなわち、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して“選択（通信方式が選択を示す情報）”（“選択”は指示情報の適用例である）が通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（直接または代理）を選択するための画面情報（図１４）を、制御回線を介して利用者端末に送信する（通信方式送信手段）（ステップＳ４０５）。ここで送信される画面情報、又は通信方式は、通信方式指示情報の適用例である。
【０３４６】
また、中継処理装置１２０は、受け付けたサイト情報（中継先情報）（情報提供処理装置１５０を特定するホスト名やポート番号）に対して、通信方式が代理を示す情報が、通信方式決定表（図８）に記憶されていると判定された場合に、通信方式（“代理”または“通信しない”）を選択するための画面情報（図１３）を、制御回線を介して利用者端末に送信する（ステップＳ４０５）。
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式を選択するための画面情報を中継処理装置１２０から受信する。
【０３４７】
すなわち、利用者端末１１０は、中継処理装置から画面情報を受信すると、当該画面情報に従って、図１３又は図１４に示す画面を表示する。図１４は、指示画面の適用例である。 このように、利用者端末１１０を操作しているユーザ（操作ユーザ）は、確立が許可される通信方式として、“代理”（代理通信方式）が決定された場合、代理通信方式で通信するか、通信自体を行わないかの選択しか行えず、通信を行うためには、必ず代理通信方式が選ばれることになる。すなわち、中継処理装置１２０は、確立が許可される通信方式として代理通信方式が決定されたことを条件に、代理通信方式による通信が確立されることとなる。
【０３４８】
次に、中継処理装置１２０が、得られたレコードの通信方式欄の値（“直接”又は“選択”又は“代理”）を利用者端末１１０に送信し、利用者端末１１０が、中継処理装置１２０から受信した通信方式欄の値に従って、図１３又は図１４に示す画面を表示する場合について説明する。
【０３４９】
ステップＳ４０６では、利用者端末１１０の拡張機能処理部１１２は、通信方式（直接または代理または選択）を中継処理装置１２０から受信する。
【０３５０】
【０３５１】
ステップＳ４０７では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ４０６で受信した通信方式の値に基づき、図１３又は図１４に示すダイアログボックスを表示する。
【０３５２】
このとき、通信方式が”直接”の場合は、ダイアログボックスは表示しない。すなわち、通信方式が“直接”（直接通信方式）の場合は、確立する通信の通信方式が“直接”（直接通信方式）となる。
【０３５３】
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”代理”の場合は、図１３に例を示すようなダイアログボックス（画面）を表示し、利用者に、”利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号されセキュリティ検査等の付加機能処理が適用される”という旨のメッセージを表示し承諾するか否かを選択させる。利用者端末１１０は、図１３の画面において利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２は通信方式を”代理”のままにし、「許可しない」ボタンをクリックした場合には通信方式を”選択なし”という値に更新する。
【０３５４】
利用者端末１１０は、ステップＳ４０６で受信した通信方式が”選択”の場合は、図１４に例を示すようなダイアログボックス（画面）を表示し、利用者に、利用者端末１１０と情報提供処理装置１５０の間の暗号化通信が中継処理装置１２０において一旦復号しセキュリティ検査等の付加機能処理を実行するか、もしくは情報提供処理装置１５０との間はエンドツーエンドの暗号化通信を行い、中継処理装置１２０では平文化通信メッセージが検査や記録できないようにするか、を選択させる。利用者端末１１０は、図１４の画面において、利用者が「許可する」ボタンをクリックした場合は、拡張機能処理部１１２における通信方式を”代理”という値に更新し、「許可しない」ボタンをクリックした場合には通信方式を”直接”という値に更新する。
【０３５５】
次に、拡張機能処理部１１２は、管理表保存部１１４のクライアント通信方式キャッシュ表（図１６）にサーバ識別子と決定日時と、選択された通信方式の値からなる新しいレコードを作成する。
【０３５６】
ステップＳ４０８では、利用者端末１１０の拡張機能処理部１１２は、利用者により選択されたボタンが「許可する」ボタンである場合（すなわち、通信方式が“代理”の場合）、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続する（制御回線１６２の開設）。
【０３５７】
また、拡張機能処理部１１２は、利用者により、図１４の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“直接”の場合）、制御回線１６２は開設しない。また、拡張機能処理部１１２は、利用者により、図１３の画面を介して選択されたボタンが「許可しない」ボタンである場合（すなわち、通信方式が“選択なし”の場合）、制御回線１６２は開設しない。
【０３５８】
そして、利用者端末１１０の拡張機能処理部１１２は、サーバ識別子と、クライアント識別子と、ステップＳ４０７において選択された通信方式の値と、ステップＳ４０７で決定した通信方式の中継処理装置１２０における有効期限と、をもつ通信方式通知メッセージを中継処理装置１２０へ送信する。
【０３５９】
該有効期限は通信方式の中継処理装置１２０上での利用可能な有効期限として表し、ステップＳ４０７の処理日時から数時間程度（所定時間）進めた日時などを用いる。
【０３６０】
ステップＳ４０９では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ４０８の通信方式通知メッセージ（選択結果）を受信し（通信方式受信手段）、当該通信方式通知メッセージに含まれる、サーバ識別子とクライアント識別子と決定された通信方式と有効期限とからなるレコードを作成し、該レコードを管理表保存部１２９のプロキシ通信方式キャッシュ表（図９）に保存する。以上で、通信方式決定処理を終了する。
【０３６１】
（図５ サーバ証明書検証処理の詳細）
次に、図３におけるステップＳ３０８の詳細である利用者端末１１０と中継処理装置１２０とにおけるサーバ証明書検証処理のフローを、図５を用いて説明する。
【０３６２】
図５に示すステップＳ５０３、ステップＳ５０５からステップＳ５０７の処理は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３６３】
また、ステップＳ５０１、ステップＳ５０２、ステップＳ５０４、ステップＳ５０８の処理は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３６４】
なお、図５で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３６５】
ステップＳ５０１では、中継処理装置１２０の通信制御部１２４は、代理通信セッションレコードのサーバ証明書欄から情報提供処理装置１５０のサーバ公開鍵証明書を取得し、該サーバ公開鍵証明書の有効性を検証する。
【０３６６】
検証項目としては、該サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１３１中に記憶されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。
【０３６７】
ステップＳ５０２では、中継処理装置１２０は、ステップＳ５０１の前記サーバ公開鍵証明書の検証が成功したか否かを判定し、成功したと判定されればステップＳ５０４へ進み、失敗したと判定されたのであれば、失敗という結果情報を通信制御部１２４へ通知し終了する。
【０３６８】
ステップＳ５０３では、利用者端末１１０の拡張機能処理部１１２は、制御回線１６２を介して、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、情報提供処理装置１５０のサーバ識別子と利用者端末１１０のクライアント識別子と共に、情報提供処理装置１５０のサーバ公開鍵証明書の取得要求メッセージを送信する（図１１のステップＳ１１１９）。
【０３６９】
ステップＳ５０４では、制御処理通信部１２８は、ステップＳ５０１で送られたサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から当該キーに一致するレコードを検索する。そして、制御処理通信部１２８は、管理表保存部１２９の代理通信セッション管理表の中から一致するレコード（代理通信セッションレコード）を取得する。そして該レコードのサーバ証明書欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２０）（送信手段）。
【０３７０】
すなわち、中継処理装置１２０は、サーバ回線１６３の暗号化通信の回線を確立する際に用いられる（情報提供処理装置１５０から取得した）情報提供処理装置１５０のサーバ公開鍵証明書を、制御回線１６２を介して利用者端末１１０に送信する。
【０３７１】
ステップＳ５０５では、拡張機能処理部１１２は、ステップＳ５０３で受信したサーバ公開鍵証明書の有効性を検証する（図１１のステップＳ１１２１）。検証手段としては閲覧処理部１１１によってＳＳＬハンドシェイク中に実施されるサーバ証明書の検証と同程度の検証を実施する。検査項目としては、前記サーバ公開鍵証明書の認証パス中の署名機関（ＣＡ）が信頼される署名機関としてＣＡ証明書保存部１１５中の保存されているものと一致するか否か、検証日時は証明書有効期間内か否か、ＣＲＬ又はＯＣＳＰ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）による失効状態、認証パスの長さなどである。さらに、拡張機能処理部１１２は、サーバ公開鍵証明書中の主体者名と情報提供処理装置１５０のホスト名が一致するか否かを確認する（ＲＦＣ２８１８「３．終点の識別 ３．１ サーバーの身元」記載の方法）。
【０３７２】
ステップＳ５０６では、拡張機能処理部１１２は、ステップＳ５０３で実施した検証結果とサーバ公開鍵証明書の内容を、ダイアログボックスを用いて表示し、利用者へサーバ公開鍵証明書を信頼して通信を継続するか否かの確認を取る（図１１のステップＳ１１２１）。図１５にダイアログボックスの例を示す。
【０３７３】
拡張機能処理部１１２は、図１５に示す画面内の「許可する」ボタンが押下されたか否かを判定して、押下されたと判定された場合は、確認結果として検証が成功した旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。一方、拡張機能処理部１１２は、「許可する」ボタンが押下されず、「許可しない」ボタンが押下されたと判定された場合は、確認結果として検証が成功しなかった旨を、中継処理装置１２０の制御処理通信部１２８へ送信する。
【０３７４】
ステップＳ５０７では、拡張機能処理部１１２は、ステップＳ５０４で実施した利用者による情報提供処理装置１５０のサーバ公開鍵証明書の確認結果を検証結果として中継処理装置１２０の制御処理通信部１２８へ送信する（図１１のステップＳ１１２２）。
【０３７５】
ステップＳ５０８では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を受信し、該結果を通信制御部１２４へ通知する。
【０３７６】
以上で、サーバ証明書検証処理を終了する。
【０３７７】
ここでは、利用者端末１１０は、利用者端末１１０による情報提供処理装置１５０のサーバ公開鍵証明書の検証結果を、最終的な検証結果として、中継処理装置１２０に送信しているが、拡張機能処理部１１２が実行する検証処理の結果を、最終的な検証結果として中継処理装置１２０に送信するようにしてもよい。
【０３７８】
（図６ クライアント認証処理の詳細）
【０３７９】
次に、図３におけるステップＳ３１１の詳細である利用者端末１１０と中継処理装置１２０とにおけるクライアント認証処理のフローを、図６を用いて説明する。
【０３８０】
図６に示すステップＳ６０１、ステップＳ６０３からステップＳ６０５、ステップＳ６１０、ステップＳ６１１、ステップＳ６１３、ステップＳ６１４は、利用者端末１１０のＣＰＵ２０１により実行され実現される。
【０３８１】
また、ステップＳ６０３、ステップＳ６０６からステップＳ６１２、ステップＳ６１５、ステップＳ６１６は、中継処理装置１２０のＣＰＵ２０１により実行され実現される。
【０３８２】
なお、図６で示す利用者端末１１０と中継処理装置１２０との間の通信は、図１における制御回線１６２を使うものとする。
【０３８３】
ステップＳ６０１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し（制御回線１６２の開設）、サーバ識別子とクライアント識別子と共に、情報提供処理装置１５０のクライアント認証条件の取得要求メッセージを送信する。
【０３８４】
ステップＳ６０２では、中継処理装置１２０の制御処理通信部１２８は、ステップＳ６０１で受信したサーバ識別子とクライアント識別子をキーにして、管理表保存部１２９の代理通信セッション管理表の中から、当該キーに一致するレコードを検索する。そして、中継処理装置１２０の制御処理通信部１２８は、検索の結果、管理表保存部１２９の代理通信セッション管理表の中から得られたレコード（代理通信セッションレコード）を取得する。
【０３８５】
そして、中継処理装置１２０の制御処理通信部１２８は、取得された該代理通信セッションレコードのクライアント認証要求欄の値を利用者端末１１０の拡張機能処理部１１２へ応答（送信）する（図１１のステップＳ１１２３）。
【０３８６】
ステップＳ６０３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０１で中継処理装置１２０から受信したクライアント認証要求の値を解析し、条件となっている署名アルゴリズムやＣＡ識別名を取得し、それらの条件に適合するクライアント公開鍵証明書を、暗号鍵保存部１１３に記憶されているクライアント公開鍵証明書群の中から取得する（図１１のステップＳ１１２４）。
【０３８７】
ステップＳ６０４では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０３で取得したクライアント公開鍵証明書の内容を含むダイアログボックス等を表示することで利用者へ示す。そして、利用者端末１１０の拡張機能処理部１１２は、情報提供処理装置１５０へのクライアント認証に利用する証明書として、当該クライアント公開鍵証明書の使用の可否の選択を受け付ける（図１１のステップＳ１１２４）。もし、ステップＳ６０３で取得したクライアント公開鍵証明書が複数の場合は、拡張機能処理部１１２は、ダイアログボックス等を表示してクライアント認証に用いるクライアント公開鍵証明書として利用者に１つを選択させた後に確認処理を行う（使用の可否の選択を受け付ける）。拡張機能処理部１１２は、ステップＳ６０３において条件に適合するクライアント公開鍵証明書がなかった場合は何もしない。
【０３８８】
ステップＳ６０５では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において利用者が利用確認した（利用者により選択された）クライアント公開鍵証明書を中継処理装置１２０へ送信する（図１１のステップＳ１１２５）。また、拡張機能処理部１１２は、ステップＳ６０４においてクライアント公開鍵証明書がなかった場合は該当なしの旨のメッセージを送信する。
【０３８９】
ステップＳ６０６では、中継処理装置１２０の制御処理通信部１２８は、利用者端末１１０からクライアント公開鍵証明書を受信し、該クライアント公開鍵証明書を通信制御部１２４へ渡す。すなわち、ステップＳ６０６では、中継処理装置１２０は、制御回線１６２を用いて、利用者端末１１０からクライアント公開鍵証明書を取得する（取得手段）。
【０３９０】
ステップＳ６０７では、中継処理装置１２０の通信制御部１２４は、当該クライアント公開鍵証明書を代理通信セッションレコードのクライアント証明書欄に保存する。
【０３９１】
次に、通信制御部１２４は、該クライアント公開鍵証明書をサーバ側暗号処理部１２５に渡す。サーバ側暗号処理部１２５は、サーバ回線１６３における情報提供処理装置１５０とのＳＳＬハンドシェイク処理において、該クライアント公開鍵証明書を含んだＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを作成し情報提供処理装置１５０へ送信する（図１１のステップＳ１１２６）（公開鍵送信手段）。中継処理装置１２０は、ステップＳ６０６においてクライアント公開鍵証明書がないメッセージを受信していた場合は、サーバ側暗号処理部１２５は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの証明書領域は空のままにして、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージを送信する。
【０３９２】
ステップＳ６０８では、中継処理装置１２０の制御処理通信部１２８は、ＳＳＬ Ｃｌｉｅｎｔ Ｃｅｒｔｉｆｉｃａｔｅメッセージの中にクライアント公開鍵証明書がない場合は、中継処理装置１２０側の処理を終了する。制御処理通信部１２８は、中継処理装置１２０の制御処理通信部１２８は、当該メッセージの中にクライアント公開鍵証明書があった場合はステップＳ６０９へ進む。
【０３９３】
ステップＳ６０９では、中継処理装置１２０の通信制御部１２４は、ＳＳＬ（ＴＬＳを含む）の規約に基づいて署名対象データを作成する。例えば、ＴＬＳ／１．０における署名対象データは、ＲＦＣ２２４６の「７．４．８．ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージ」に記載されているように、ＳＳＬ ＣｌｉｅｎｔＨｅｌｌｏメッセージから現在までのメッセージで、ＣｅｒｔｉｆｉｃａｔｅＶｅｒｉｆｙメッセージを除く、送信または受信した全てのハンドシェイクメッセージを連結したデータのメッセージダイジェスト値となる。すなわち、署名対象データは、サーバ回線１６３の暗号化通信を確立するために情報提供処理装置１５０と通信したデータである。中継処理装置１２０の通信制御部１２４は、作成した署名対象データを制御処理通信部１２８へ渡す。
【０３９４】
ステップＳ６１０では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０４において条件に適合するクライアント公開鍵証明書がなかった場合は、利用者端末側の処理を終了する。拡張機能処理部１１２は、クライアント公開鍵証明書があった場合はステップＳ６１１へ進む。
【０３９５】
ステップＳ６１１では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、署名対象データ要求メッセージを中継処理装置１２０に送信する。利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０がステップＳ６１２において送信した署名対象データを受信する。
【０３９６】
ステップＳ６１２では、中継処理装置１２０の制御処理通信部１２８は、当該署名対象データ要求メッセージを利用者端末１１０から受信すると、ステップＳ６０９で生成された署名対象データを利用者端末１１０の拡張機能処理部１１２へ送信する（図１１のステップＳ１１２７）。
【０３９７】
ステップＳ６１３では、利用者端末１１０の拡張機能処理部１１２は、ステップＳ６０５で中継処理装置１２０へ送信したクライアント公開鍵証明書と対になる秘密鍵を暗号鍵保存部１１３から取得し、該秘密鍵を用いてステップＳ６１１で受信した署名対象データに対して署名処理を施して（暗号化して）署名データを作成する。
【０３９８】
ステップＳ６１４では、利用者端末１１０の拡張機能処理部１１２は、中継処理装置１２０の制御処理通信部１２８へＨＴＴＰＳで接続し、ステップＳ６１３で作成した署名データを中継処理装置１２０に送信する（図１１のステップＳ１１２８）。
【０３９９】
ステップＳ６１５では、中継処理装置１２０の制御処理通信部１２８は、当該署名データを利用者端末１１０から受信し、該署名データを通信制御部１２４へ渡す。
【０４００】
ステップＳ６１６では、中継処理装置１２０の通信制御部１２４は、当該署名データをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は該署名データを含んだＳＳＬ Ｃｅｒｔｉｆｉｃａｔｅ Ｖｅｒｉｆｙメッセージを作成し、情報提供処理装置１５０へ送信する（図１１のステップＳ１１２９）（署名データ送信手段）。
【０４０１】
以上で、クライアント認証処理を終了する。
【０４０２】
（図７ ＡＰデータ中継処理の詳細）
【０４０３】
次に、図３におけるステップＳ３１４の詳細である中継処理装置１２０におけるＡＰ（アプリケーション）データ（通信データ）の中継処理のフローを、図７を用いて説明する。
なお、図７に示すステップＳ７０１からステップＳ７１３は、中継処理装置１２０のＣＰＵ２０１が実行することにより実現される。
【０４０４】
ステップＳ７０１では、クライアント通信部１２１は、プロキシ回線１６１を介して利用者端末１１０から暗号化通信要求メッセージを受信し、該暗号化通信要求メッセージをクライアント側暗号処理部１２３へ渡す。
【０４０５】
ステップＳ７０２では、クライアント側暗号処理部１２３は、当該暗号化通信要求メッセージ（第１の暗号化データ）を、代理通信セッションレコード（図１０の現在処理対象のレコード）の共通鍵その他ーＣ欄の記憶されている共通鍵（第１の共通鍵）を用いて復号化し（第１復号手段）、当該復号化された平文化通信要求メッセージを作成する。クライアント側暗号処理部１２３は、該平文化通信要求メッセージを通信制御部１２４へ渡す。
【０４０６】
ステップＳ７０３では、通信制御部１２４は、平文化通信要求メッセージ（第１の暗号化データを復号することにより得られる通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、前記平文化通信要求メッセージに対して付加機能（検査）を実行する（第１検査手段）。付加機能処理部１３０は、付加機能の実行結果（検査結果）として、中継処理の継続可否を示す中継可否判定結果と、中継用の平文化通信要求メッセージと、を通信制御部１２４へ渡す。
【０４０７】
付加機能（検査処理）の例としては、例えば、平文化通信要求メッセージに対し、キーワード検査を行って機密情報として外部への送信が禁止されているデータが含まれているか否かを検査する処理などがある。その結果、平文化通信要求メッセージに禁止されているデータが含まれていなかったと判定されれば、中継可否判定結果は”可”となり、中継用の平文化通信要求メッセージは、元の平文化通信要求メッセージに対して「検査済み」であるヘッダーが付加されたメッセージとなるケースなどが想定されている。このように、付加機能処理部１３０は、復号されたデータを検査する付加機能の処理（検査処理）を行う。
【０４０８】
ステップＳ７０４では、通信制御部１２４は、付加機能の処理の結果、中継可否判定結果が”可”ならばステップＳ７０５へ進み、”不可”ならばステップＳ７１３へ進む（第１決定手段）。
【０４０９】
ステップＳ７０５では、通信制御部１２４は、中継用の平文化通信要求メッセージをサーバ側暗号処理部１２５へ渡し、サーバ側暗号処理部１２５は、該中継用の平文化通信要求メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信要求メッセージを作成する。
【０４１０】
ステップＳ７０６では、サーバ側暗号処理部１２５は、中継用の暗号化通信要求メッセージをサーバ通信部１２２へ渡し、サーバ通信部１２２は、該中継用の暗号化通信要求メッセージを情報提供処理装置１５０のサーバ処理部１５１へ送信する。
【０４１１】
ステップＳ７０７では、サーバ通信部１２２は情報提供処理装置１５０のサーバ処理部１５１から暗号化された暗号化通信応答メッセージ（第２の暗号化データ）を受信し、該暗号化通信応答メッセージをサーバ側暗号処理部１２５へ渡す。
【０４１２】
ステップＳ７０８では、サーバ側暗号処理部１２５は、該暗号化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＳ欄の記憶されている共通鍵（第２の共通鍵）を用いて復号化して（第２復号手段）、当該復号された平文化通信応答メッセージを作成する。サーバ側暗号処理部１２５は、該平文化通信応答メッセージを通信制御部１２４へ渡す。
【０４１３】
ステップＳ７０９では、通信制御部１２４は、平文化通信応答メッセージ（第２の暗号化データを復号することにより得られた通信データ）を付加機能処理部１３０へ渡し、付加機能処理部１３０は、該平文化通信応答メッセージに対して付加機能を実行する（第２検査手段）。付加機能処理部１３０は、前記付加機能の実行結果として、中継処理の継続可否を示す中継可否判定結果と、中継用平文化通信応答メッセージと、を通信制御部１２４へ渡す。
【０４１４】
付加機能の例としては、例えば、平文化通信応答メッセージに対しアンチウィルス処理を行うなどがある。この場合、付加機能処理部１３０は、平文化通信応答メッセージにウィルスが含まれているか否かを検査して、平文化通信応答メッセージにウィルスが含まれていると判定されれば、中継可否判定結果は”不可”となる。この場合、中継処理装置１２０は、中継用の平文化通信応答メッセージを利用者端末１１０には送信せず、”ウィルスが検知されたため通信回線を遮断しました”等のメッセージを利用者端末１１０に送信するなどが想定されている。
【０４１５】
すなわち、中継処理装置１２０は、付加機能処理部１３０による付加機能の実行結果として、中継可否判定結果が”不可”の場合は、平文化通信応答メッセージを利用者端末１１０には送信せず、一方、中継可否判定結果が“可”の場合は、平文化通信応答メッセージを利用者端末１１０に中継することを決定する（第２決定手段）。
【０４１６】
付加機能処理部１３０による検査結果として中継可否判定結果が“可”の場合（例えば、平文化通信応答メッセージにウィルスが含まれていないと判定された場合）、ステップＳ７１０では、通信制御部１２４は、中継用の平文化通信応答メッセージをクライアント側暗号処理部１２３へ渡し、クライアント側暗号処理部１２３は、該中継用の平文化通信応答メッセージを代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して中継用の暗号化通信応答メッセージを作成する。
【０４１７】
ステップＳ７１１では、クライアント側暗号処理部１２３は、中継用の暗号化通信応答メッセージをクライアント通信部１２１へ渡し、クライアント通信部１２１は、該中継用の暗号化通信応答メッセージを、利用者端末１１０の閲覧処理部１１１へ送信する。
【０４１８】
ステップＳ７１２では、通信制御部１２４は平文化通信応答メッセージなどからアプリケーション通信（ＨＴＴＰトランザクション）を終了するかどうか判定し、終了すると判定すれば処理を終了する。継続すると判定すればステップＳ７０１へ進む。
【０４１９】
ステップＳ７１３では、通信制御部１２４は、ステップＳ７０３で生成された中継可否判定結果（中継可否判定結果が”不可”）と中継用の平文化通信要求メッセージに基づき、「リクエスト送信は禁止されました」等の中継用の平文化通信応答メッセージを作成して、ステップＳ７１０へ進む。ステップＳ７１０では、中継処理装置１２０は、ここで生成された中継用の平文化通信応答メッセージを、代理通信セッションレコードの共通鍵その他ーＣ欄の記憶されている共通鍵を用いて暗号化して、中継用の暗号化通信応答メッセージを作成し、ステップＳ７１１で利用者端末１１０に送信する。
【０４２０】
以上で、ＡＰデータ中継処理を終了する。
【０４２１】
以上説明したように、本実施形態によれば、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認できる。
【０４２２】
さらに、本実施形態によれば、例えば、銀行の預金などのＷｅｂページを利用者端末で閲覧する場合、中継処理装置で、利用者端末の操作ユーザのパスワードなどの個人の情報も検査してしまうことが低減される。
【０４２３】
すなわち、Ｗｅｂサイトに応じて、通信されるデータを検査するか否かを決定することができるため、情報漏えい等のセキュリティを向上させると共に、個人の情報を取得し検査しないように制御することも可能である。
【０４２４】
また、本実施形態によれば、情報提供処理装置は、通信相手である利用者端末の真正性を確認することができるようになる。
【０４２５】
また、本発明によれば、代理方式による暗号化通信を再開する場合、既に記憶されているセッションＩＤや共通鍵を用いて再開することが可能となる。
【０４２６】
以上、実施形態例を詳述したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【０４２７】
＜第２の実施形態＞
第１の実施形態では、ＨＴＴＰＳ（ＨＴＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む））通信において、利用者端末１１０が中継処理装置１２０（プロキシサーバ）へＣＯＮＮＥＣＴメソッドで接続し情報提供処理装置１５０（Ｗｅｂサーバ）への通信をトンネリングする仕組みに対して、暗号化通信情報を復号化し付加機能を実行する方法と、その場合においてもエンティティ認証を有効に機能させる方法について説明した。しかしながら、ＣＯＮＮＥＣＴメソッドによる中継プロトコルはＨＴＴＰ通信に限定されない汎用のトランスポート通信のトンネリング手法であるため、たとえば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＰＯＰ３ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）、ＳＭＴＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）等のＳＳＬ（ＴＬＳを含む）を使う他の通信プロトコルの場合でも同様の構成で適用することができる。
【０４２８】
例えば、ＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）に適用する場合は、利用者端末１１０の閲覧処理部１１１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）クライアント機能を備えたメールユーザエージェントであり、情報提供処理装置１５０のサーバ処理部１５１はＩＭＡＰ ｏｖｅｒ ＳＳＬ（ＴＬＳを含む）機能を備えたＩＭＡＰサーバとなる。
【０４２９】
以上説明したように、本実施の形態によれば、各通信規約を変更することなく、暗号化通信によるデータを中継する際に、当該データを検査可能にすると共に、真正な証明書に基づき通信相手の真正性を確認することができる。
【０４３０】
また、制御回線もＳＳＬ通信であるので、中継処理装置自体のなりすましも防止できる。 次に、図１９、及び図２０を用いて、本発明における中継処理装置の機能について説明する。
【０４３１】
図１９は、本発明における中継処理装置の機能ブロック図である。１９０１は、本発明における中継処理装置を示している。
【０４３２】
すなわち、１９０１は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
【０４３３】
ここで、本実施例の利用者端末１１０は、本発明のクライアント端末の適用例である。また、本実施例の情報提供処理装置１５０は、本発明の情報処理装置の適用例である。 １９０２は、クライアント端末と通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立部である。 １９０３は、情報処理装置と通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立部である。
【０４３４】
１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、第１の確立部により第１のＳＳＬ通信を確立するクライアント端末に送信する送信部である。
【０４３５】
次に、図２０を用いて、本発明における中継処理装置の機能について説明する。
【０４３６】
図２０は、本発明における中継処理装置の機能ブロック図である。
【０４３７】
２０００は、クライアント端末（利用者端末１１０）と情報処理装置（情報提供処理装置１５０）との間で通信される通信データを中継する中継処理装置１２０である。
【０４３８】
１９０２、１９０３、１９０４は、図１９で説明した機能と同様であるため、ここでは説明を省略する。 ２００１は、クライアント端末と制御通信を確立する通信確立部である。
【０４３９】
また、送信部１９０４は、第２確立部で第２のＳＳＬ通信を確立する際に情報処理装置から取得される情報処理装置の公開鍵証明書を、通信確立部により確立された制御通信を用いて、第１の確立部により第１のＳＳＬ通信の確立を行うクライアント端末に送信する。
【０４４０】
２００２は、クライアント端末から、情報処理装置へのＳＳＬ通信の要求を受信する受信部である。
【０４４１】
２００３は、受信部でクライアント端末からＳＳＬ通信の要求を受信したことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する制御部である。
【０４４２】
２００４は、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する中継部である。
【０４４３】
２００５は、クライアント端末から送信される通信データの中継先の情報処理装置を示す中継先情報に対して、通信データの中継を許可する通信方式として、中継部で第３のＳＳＬ通信を用いて通信データの中継を行う直接通信方式か、第１確立部により確立される第１のＳＳＬ通信、及び第２確立部により確立される第２のＳＳＬ通信を用いて通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶部である。
【０４４４】
２００６は、通信データを中継する中継先情報をクライアント端末から受け付ける受付部である。
【０４４５】
２００７は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定部である。
【０４４６】
ここで、制御部２００３は、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。
【０４４７】
また、中継部２００４は、更に、通信決定部で、情報処理装置とクライアント端末との間での通信を許可する通信方式として直接通信方式が決定されたことを条件に、クライアント端末と情報処理装置との間で確立される第３のＳＳＬ通信を用いて、クライアント端末と情報処理装置との間で通信される通信データを中継する。
【０４４８】
また、記憶部に記憶されている通信方式設定情報は、更に、中継先情報に対して、クライアント端末を示すクライアント情報が設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信決定部は、記憶部に記憶された通信方式設定情報と、受付部で受け付けた中継先情報と、受付部で受け付けたクライアント情報とに従って、受付部で受け付けた中継先情報に示される中継先の情報処理装置と、受付部で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定する。
【０４４９】
記憶部に記憶された通信方式設定情報の通信方式情報は、通信を行う通信方式を、クライアント端末の操作ユーザよる指示に従って決定することを示す指示情報を更に含んでいる。
【０４５０】
２００８は、受付部で受け付けた中継先情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報をクライアント端末に送信する通信方式送信部である。
【０４５１】
２００９は、通信方式送信部で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、クライアント端末から受信する通信方式受信部である。
【０４５２】
また、通信決定部は、更に、通信方式受信部で受信した通信方式情報に示される通信方式を、受付部で受け付けた中継先情報に示される中継先の情報処理装置とクライアント端末との間で通信を行う通信方式として決定し、制御部は、更に、通信決定部で、情報処理装置とクライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、第１確立部による第１のＳＳＬ通信の確立、及び第２確立部による第２のＳＳＬ通信の確立を行うように制御する。
【０４５３】
また、記憶部に記憶されている通信方式設定情報は、中継先情報に対して、クライアント端末を示すクライアント情報が更に設定されており、受付部は、中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、通信方式送信部は、受付部で受け付けた中継先情報、及びクライアント情報に対する、記憶部に記憶された通信方式設定情報の通信方式情報が指示情報である場合に、通信方式を指示するための指示画面をクライアント端末に表示するための通信方式指示情報をクライアント端末に送信する。
【０４５４】
２０１０は、通信確立部で確立した制御通信を用いてクライアント端末からクライアント端末の公開鍵証明書を取得する取得部である。
【０４５５】
２０１１は、取得部で取得したクライアント端末の公開鍵証明書を、第２確立部で第２のＳＳＬ通信を確立する際に用いられる中継処理装置の公開鍵証明書として情報処理装置に送信する公開鍵送信部である。
【０４５６】
２０１２は、第２確立部で第２のＳＳＬ通信を確立するために情報処理装置と通信したデータが、公開鍵送信部により情報処理装置に送信したクライアント端末の公開鍵証明書に対応する秘密鍵を用いて暗号化されることにより生成される署名データを情報処理装置に送信する署名データ送信部である。
【０４５７】
２０１３は、第１確立部により確立された第１のＳＳＬ通信を用いてクライアント端末から受信した、通信データが暗号化された第１の暗号化データを、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵を用いて復号する第１復号部である。
【０４５８】
２０１４は、第１復号部で第１の暗号化データを復号することにより得られる通信データを検査する第１検査部である。
【０４５９】
２０１５は、第１検査部による検査結果に従って、第１検査部で検査された通信データを情報処理装置に中継するか否かを決定する第１決定部である。
【０４６０】
２０１６は、第２確立部により確立された第２のＳＳＬ通信を用いて情報処理装置から受信した、通信データが暗号化された第２の暗号化データを、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵を用いて復号する第２復号部である。
【０４６１】
２０１７は、第２復号部で第２の暗号化データを復号することにより得られた通信データを検査する第２検査部である。
【０４６２】
２０１８は、第２検査部による検査結果に従って、第２検査部で検査された通信データをクライアント端末に中継するか否かを決定する第２決定部である。
【０４６３】
２０１９は、第１確立部で第１のＳＳＬ通信を確立する際に生成した第１の共通鍵と、該第１のＳＳＬ通信のセッションを識別する第１のセッション識別情報と、第２確立部で第２のＳＳＬ通信を確立する際に生成した第２の共通鍵と、該第２のＳＳＬ通信のセッションを識別する第２のセッション識別情報とを関連付けて記憶する代理通信記憶部である。
【０４６４】
２０２０は、クライアント端末から情報処理装置への、第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信部である。
【０４６５】
２０２１は、再開要求受信部で受信した、ＳＳＬ通信の再開要求に含まれる第１のセッション識別情報が、代理通信記憶部に記憶されているかを判定する判定部である。
【０４６６】
２０２２は、判定部で、第１のセッション識別情報が代理通信記憶部に記憶されていると判定された場合に、該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された第１の共通鍵を用いてクライアント端末と第１のＳＳＬ通信を再開し、かつ該第１のセッション識別情報に関連付けて代理通信記憶部に記憶された、第２の共通鍵と、第２のセッション識別情報とを用いて情報処理装置と第２のＳＳＬ通信を再開する通信再開部である。
【０４６７】
なお、通信確立部２００１で確立される制御通信はＳＳＬ通信である。
【０４６８】
以上、本発明の一実施形態を詳述したが、本発明は、例えば、システム、装置、方法、装置で実行可能なプログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【０４６９】
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。
【０４７０】
この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、プログラムコード自体及びそのプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【０４７１】
プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等を用いることができる。
【０４７２】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（基本システム或いはオペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０４７３】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【符号の説明】
【０４７４】
１１０ 利用者端末
１１１ 閲覧処理部
１１２ 拡張機能処理部
１１３ 暗号鍵保存部
１１４ 管理表保存部
１１５ ＣＡ証明書保存部
１２０ 中継所処理装置
１２１ クライアント通信部
１２２ サーバ通信部
１２３ クライアント側暗号処理部
１２４ 代理通信制御部
１２５ サーバ側暗号処理部
１２６ 代理用暗号鍵保存部
１２７ サーバ暗号鍵保存部
１２８ 制御処理通信部
１２９ 管理表保存部
１３０ 付加機能処理部
１３１ ＣＡ証明書保存部
１５０ 情報提供処理装置
１５１ サーバ処理部
１５２ サーバ暗号鍵保存部
１６１ プロキシ回線
１６２ 制御回線
１６３ サーバ回線
【特許請求の範囲】
【請求項１】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置であって、
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置。
【請求項２】
前記クライアント端末と制御通信を確立する通信確立手段と、
を更に備え、
前記送信手段は、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記通信確立手段により確立された制御通信を用いて、前記第１の確立手段により第１のＳＳＬ通信の確立を行う前記クライアント端末に送信することを特徴とする請求項１に記載の中継処理装置。
【請求項３】
前記クライアント端末から、前記情報処理装置へのＳＳＬ通信の要求を受信する受信手段と、
前記受信手段で前記クライアント端末からＳＳＬ通信の要求を受信したことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御する制御手段と、
を更に備えることを特徴とする請求項１又は２に記載の中継処理装置。
【請求項４】
前記クライアント端末と前記情報処理装置との間で確立される第３のＳＳＬ通信を用いて、前記クライアント端末と前記情報処理装置との間で通信される通信データを中継する中継手段と、
前記クライアント端末から送信される前記通信データの中継先の情報処理装置を示す中継先情報に対して、前記通信データの中継を許可する通信方式として、前記中継手段で前記第３のＳＳＬ通信を用いて前記通信データの中継を行う直接通信方式か、前記第１確立手段により確立される第１のＳＳＬ通信、及び前記第２確立手段により確立される第２のＳＳＬ通信を用いて前記通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶手段と、
前記通信データを中継する中継先情報を前記クライアント端末から受け付ける受付手段と、
前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定手段と、
を更に備え、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項３に記載の中継処理装置。
【請求項５】
前記中継手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間での通信を許可する通信方式として直接通信方式が決定されたことを条件に、前記クライアント端末と前記情報処理装置との間で確立される第３のＳＳＬ通信を用いて、前記クライアント端末と前記情報処理装置との間で通信される通信データを中継することを特徴とする請求項４に記載の中継処理装置。
【請求項６】
前記記憶手段に記憶されている通信方式設定情報は、更に、前記中継先情報に対して、前記クライアント端末を示すクライアント情報が設定されており、
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信決定手段は、前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報と、前記受付手段で受け付けたクライアント情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と、前記受付手段で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定することを特徴とする請求項５に記載の中継処理装置。
【請求項７】
前記記憶手段に記憶された通信方式設定情報の通信方式情報は、前記通信を行う通信方式を、前記クライアント端末の操作ユーザよる指示に従って決定することを示す指示情報を更に含み、
前記受付手段で受け付けた中継先情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信する通信方式送信手段と、
前記通信方式送信手段で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、前記クライアント端末から受信する通信方式受信手段と、
を更に備え、
前記通信決定手段は、更に、前記通信方式受信手段で受信した通信方式情報に示される通信方式を、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間で通信を行う通信方式として決定し、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項５又は６に記載の中継処理装置。
【請求項８】
前記記憶手段に記憶されている通信方式設定情報は、前記中継先情報に対して、前記クライアント端末を示すクライアント情報が更に設定されており、
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信方式送信手段は、前記受付手段で受け付けた中継先情報、及びクライアント情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式を指示するための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信することを特徴とする請求項７に記載の中継処理装置。
【請求項９】
前記通信確立手段で確立した制御通信を用いて前記クライアント端末から前記クライアント端末の公開鍵証明書を取得する取得手段と、
前記取得手段で取得したクライアント端末の公開鍵証明書を、前記第２確立手段で第２のＳＳＬ通信を確立する際に用いられる前記中継処理装置の公開鍵証明書として前記情報処理装置に送信する公開鍵送信手段と、
を更に備えることを特徴とする請求項１乃至８の何れか１項に記載の中継処理装置。
【請求項１０】
前記第２確立手段で前記第２のＳＳＬ通信を確立するために前記情報処理装置と通信したデータが、前記公開鍵送信手段により前記情報処理装置に送信した前記クライアント端末の公開鍵証明書に対応する秘密鍵を用いて暗号化されることにより生成される署名データを前記情報処理装置に送信する署名データ送信手段を更に備えることを特徴とする請求項１乃至９の何れか１項に記載の中継処理装置。
【請求項１１】
前記第１確立手段により確立された第１のＳＳＬ通信を用いて前記クライアント端末から受信した、前記通信データが暗号化された第１の暗号化データを、前記第１確立手段で前記第１のＳＳＬ通信を確立する際に生成した第１の共通鍵を用いて復号する第１復号手段と、
前記第１復号手段で前記第１の暗号化データを復号することにより得られる通信データを検査する第１検査手段と、
前記第１検査手段による検査結果に従って、前記第１検査手段で検査された通信データを前記情報処理装置に中継するか否かを決定する第１決定手段と、
を更に備えることを特徴とする請求項１乃至１０の何れか１項に記載の中継処理装置。
【請求項１２】
前記第２確立手段により確立された第２のＳＳＬ通信を用いて前記情報処理装置から受信した、前記通信データが暗号化された第２の暗号化データを、前記第２確立手段で前記第２のＳＳＬ通信を確立する際に生成した第２の共通鍵を用いて復号する第２復号手段と、
前記２復号手段で前記第２の暗号化データを復号することにより得られた通信データを検査する第２検査手段と、
前記第２検査手段による検査結果に従って、前記第２検査手段で検査された通信データを前記クライアント端末に中継するか否かを決定する第２決定手段と、
を更に備えることを特徴とする請求項１乃至１１の何れか１項に記載の中継処理装置。
【請求項１３】
前記第１確立手段で前記第１のＳＳＬ通信を確立する際に生成した第１の共通鍵と、当該第１のＳＳＬ通信のセッションを識別する第１のセッション識別情報と、前記第２確立手段で前記第２のＳＳＬ通信を確立する際に生成した第２の共通鍵と、当該第２のＳＳＬ通信のセッションを識別する第２のセッション識別情報とを関連付けて記憶する代理通信記憶手段と、
前記クライアント端末から前記情報処理装置への、前記第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信手段と、
前記再開要求受信手段で受信した、ＳＳＬ通信の再開要求に含まれる前記第１のセッション識別情報が、前記代理通信記憶手段に記憶されているかを判定する判定手段と、
前記判定手段で、当該第１のセッション識別情報が前記代理通信記憶手段に記憶されていると判定された場合に、当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された前記第１の共通鍵を用いて前記クライアント端末と前記第１のＳＳＬ通信を再開し、かつ当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された、当該第２の共通鍵と、当該第２のセッション識別情報とを用いて前記情報処理装置と前記第２のＳＳＬ通信を再開する通信再開手段と、
を更に備えることを特徴とする請求項１乃至１２の何れか１項に記載の中継処理装置。
【請求項１４】
前記通信確立手段で確立される制御通信は、ＳＳＬ通信であることを特徴とする請求項１乃至１３の何れか１項に記載の中継処理装置。
【請求項１５】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置の中継処理方法であって、
前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、
前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、
前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置の中継処理方法。
【請求項１６】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置で読み取り実行可能なプログラムであって、
前記中継処理装置を、
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とするプログラム。
【請求項１】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置であって、
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置。
【請求項２】
前記クライアント端末と制御通信を確立する通信確立手段と、
を更に備え、
前記送信手段は、前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記通信確立手段により確立された制御通信を用いて、前記第１の確立手段により第１のＳＳＬ通信の確立を行う前記クライアント端末に送信することを特徴とする請求項１に記載の中継処理装置。
【請求項３】
前記クライアント端末から、前記情報処理装置へのＳＳＬ通信の要求を受信する受信手段と、
前記受信手段で前記クライアント端末からＳＳＬ通信の要求を受信したことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御する制御手段と、
を更に備えることを特徴とする請求項１又は２に記載の中継処理装置。
【請求項４】
前記クライアント端末と前記情報処理装置との間で確立される第３のＳＳＬ通信を用いて、前記クライアント端末と前記情報処理装置との間で通信される通信データを中継する中継手段と、
前記クライアント端末から送信される前記通信データの中継先の情報処理装置を示す中継先情報に対して、前記通信データの中継を許可する通信方式として、前記中継手段で前記第３のＳＳＬ通信を用いて前記通信データの中継を行う直接通信方式か、前記第１確立手段により確立される第１のＳＳＬ通信、及び前記第２確立手段により確立される第２のＳＳＬ通信を用いて前記通信データの中継を行う代理通信方式かを示す通信方式情報が設定された通信方式設定情報を記憶する記憶手段と、
前記通信データを中継する中継先情報を前記クライアント端末から受け付ける受付手段と、
前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間での通信を許可する通信方式が直接通信方式であるか、代理通信方式であるかを決定する通信決定手段と、
を更に備え、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間での通信を許可する通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項３に記載の中継処理装置。
【請求項５】
前記中継手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間での通信を許可する通信方式として直接通信方式が決定されたことを条件に、前記クライアント端末と前記情報処理装置との間で確立される第３のＳＳＬ通信を用いて、前記クライアント端末と前記情報処理装置との間で通信される通信データを中継することを特徴とする請求項４に記載の中継処理装置。
【請求項６】
前記記憶手段に記憶されている通信方式設定情報は、更に、前記中継先情報に対して、前記クライアント端末を示すクライアント情報が設定されており、
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信決定手段は、前記記憶手段に記憶された通信方式設定情報と、前記受付手段で受け付けた中継先情報と、前記受付手段で受け付けたクライアント情報とに従って、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と、前記受付手段で受け付けたクライアント情報により示されるクライアント端末との間での通信を許可する通信方式を決定することを特徴とする請求項５に記載の中継処理装置。
【請求項７】
前記記憶手段に記憶された通信方式設定情報の通信方式情報は、前記通信を行う通信方式を、前記クライアント端末の操作ユーザよる指示に従って決定することを示す指示情報を更に含み、
前記受付手段で受け付けた中継先情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式の指示を受け付けるための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信する通信方式送信手段と、
前記通信方式送信手段で送信された通信方式指示情報に従って表示される指示画面を介してクライアント端末の操作ユーザにより指示された通信方式を示す通信方式情報を、前記クライアント端末から受信する通信方式受信手段と、
を更に備え、
前記通信決定手段は、更に、前記通信方式受信手段で受信した通信方式情報に示される通信方式を、前記受付手段で受け付けた中継先情報に示される中継先の情報処理装置と前記クライアント端末との間で通信を行う通信方式として決定し、
前記制御手段は、更に、前記通信決定手段で、前記情報処理装置と前記クライアント端末との間で通信を行う通信方式として代理通信方式が決定されたことを条件に、前記第１確立手段による第１のＳＳＬ通信の確立、及び前記第２確立手段による第２のＳＳＬ通信の確立を行うように制御することを特徴とする請求項５又は６に記載の中継処理装置。
【請求項８】
前記記憶手段に記憶されている通信方式設定情報は、前記中継先情報に対して、前記クライアント端末を示すクライアント情報が更に設定されており、
前記受付手段は、前記中継先情報を受け付けたクライアント端末のクライアント情報を更に受け付け、
前記通信方式送信手段は、前記受付手段で受け付けた中継先情報、及びクライアント情報に対する、前記記憶手段に記憶された通信方式設定情報の通信方式情報が前記指示情報である場合に、前記通信方式を指示するための指示画面を前記クライアント端末に表示するための通信方式指示情報を前記クライアント端末に送信することを特徴とする請求項７に記載の中継処理装置。
【請求項９】
前記通信確立手段で確立した制御通信を用いて前記クライアント端末から前記クライアント端末の公開鍵証明書を取得する取得手段と、
前記取得手段で取得したクライアント端末の公開鍵証明書を、前記第２確立手段で第２のＳＳＬ通信を確立する際に用いられる前記中継処理装置の公開鍵証明書として前記情報処理装置に送信する公開鍵送信手段と、
を更に備えることを特徴とする請求項１乃至８の何れか１項に記載の中継処理装置。
【請求項１０】
前記第２確立手段で前記第２のＳＳＬ通信を確立するために前記情報処理装置と通信したデータが、前記公開鍵送信手段により前記情報処理装置に送信した前記クライアント端末の公開鍵証明書に対応する秘密鍵を用いて暗号化されることにより生成される署名データを前記情報処理装置に送信する署名データ送信手段を更に備えることを特徴とする請求項１乃至９の何れか１項に記載の中継処理装置。
【請求項１１】
前記第１確立手段により確立された第１のＳＳＬ通信を用いて前記クライアント端末から受信した、前記通信データが暗号化された第１の暗号化データを、前記第１確立手段で前記第１のＳＳＬ通信を確立する際に生成した第１の共通鍵を用いて復号する第１復号手段と、
前記第１復号手段で前記第１の暗号化データを復号することにより得られる通信データを検査する第１検査手段と、
前記第１検査手段による検査結果に従って、前記第１検査手段で検査された通信データを前記情報処理装置に中継するか否かを決定する第１決定手段と、
を更に備えることを特徴とする請求項１乃至１０の何れか１項に記載の中継処理装置。
【請求項１２】
前記第２確立手段により確立された第２のＳＳＬ通信を用いて前記情報処理装置から受信した、前記通信データが暗号化された第２の暗号化データを、前記第２確立手段で前記第２のＳＳＬ通信を確立する際に生成した第２の共通鍵を用いて復号する第２復号手段と、
前記２復号手段で前記第２の暗号化データを復号することにより得られた通信データを検査する第２検査手段と、
前記第２検査手段による検査結果に従って、前記第２検査手段で検査された通信データを前記クライアント端末に中継するか否かを決定する第２決定手段と、
を更に備えることを特徴とする請求項１乃至１１の何れか１項に記載の中継処理装置。
【請求項１３】
前記第１確立手段で前記第１のＳＳＬ通信を確立する際に生成した第１の共通鍵と、当該第１のＳＳＬ通信のセッションを識別する第１のセッション識別情報と、前記第２確立手段で前記第２のＳＳＬ通信を確立する際に生成した第２の共通鍵と、当該第２のＳＳＬ通信のセッションを識別する第２のセッション識別情報とを関連付けて記憶する代理通信記憶手段と、
前記クライアント端末から前記情報処理装置への、前記第１のセッション識別情報を含むＳＳＬ通信の再開要求を受信する再開要求受信手段と、
前記再開要求受信手段で受信した、ＳＳＬ通信の再開要求に含まれる前記第１のセッション識別情報が、前記代理通信記憶手段に記憶されているかを判定する判定手段と、
前記判定手段で、当該第１のセッション識別情報が前記代理通信記憶手段に記憶されていると判定された場合に、当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された前記第１の共通鍵を用いて前記クライアント端末と前記第１のＳＳＬ通信を再開し、かつ当該第１のセッション識別情報に関連付けて前記代理通信記憶手段に記憶された、当該第２の共通鍵と、当該第２のセッション識別情報とを用いて前記情報処理装置と前記第２のＳＳＬ通信を再開する通信再開手段と、
を更に備えることを特徴とする請求項１乃至１２の何れか１項に記載の中継処理装置。
【請求項１４】
前記通信確立手段で確立される制御通信は、ＳＳＬ通信であることを特徴とする請求項１乃至１３の何れか１項に記載の中継処理装置。
【請求項１５】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置の中継処理方法であって、
前記中継処理装置の第１確立手段が、前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立工程と、
前記中継処理装置の前記第２確立手段が、前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立工程と、
前記中継処理装置の送信手段が、前記第２確立工程で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立工程により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段と、
を備えることを特徴とする中継処理装置の中継処理方法。
【請求項１６】
クライアント端末と情報処理装置との間で通信される通信データを中継する中継処理装置で読み取り実行可能なプログラムであって、
前記中継処理装置を、
前記クライアント端末と前記通信データの通信で用いられる第１のＳＳＬ通信を確立する第１確立手段と、
前記情報処理装置と前記通信データの通信で用いられる第２のＳＳＬ通信を確立する第２確立手段と、
前記第２確立手段で第２のＳＳＬ通信を確立する際に前記情報処理装置から取得される前記情報処理装置の公開鍵証明書を、前記第１の確立手段により第１のＳＳＬ通信を確立する前記クライアント端末に送信する送信手段として機能させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【公開番号】特開２０１１−１５１７８５（Ｐ２０１１−１５１７８５Ａ）
【公開日】平成２３年８月４日（２０１１．８．４）
【国際特許分類】
【出願番号】特願２０１０−２５６７４２（Ｐ２０１０−２５６７４２）
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（５９２１３５２０３）キヤノンＩＴソリューションズ株式会社 (528)
【Ｆターム（参考）】
【公開日】平成２３年８月４日（２０１１．８．４）
【国際特許分類】
【出願日】平成２２年１１月１７日（２０１０．１１．１７）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（５９２１３５２０３）キヤノンＩＴソリューションズ株式会社 (528)
【Ｆターム（参考）】
[ Back to top ]