電子取引システム用リライアンスサーバ
【課題】認証局が認証のリスクを管理すること。
【解決手段】電子取引システムにおけるリライアンス管理には、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限することの認証を加入者に発行し、発行された認証に関する情報をリライアンスサーバに転送する認証局を含む。リライアンスサーバは、発行された認証に関する転送された情報を維持する。加入者は取引を形成し、次いでこの取引を信頼当事者に与える。取引は認証または認証の参照を含む。信頼当事者は、加入者から受信した取引に基づく保証の要求をリライアンスサーバへ送信する。リライアンスサーバは、発行された認証に関する情報と要求された保証とに基づいて、要求された保証を与えるべきかどうかを判定する。この判定に基づいて、リライアンスサーバは、信頼当事者に保証を与える許可メッセージを信頼当事者に発行する。
【解決手段】電子取引システムにおけるリライアンス管理には、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限することの認証を加入者に発行し、発行された認証に関する情報をリライアンスサーバに転送する認証局を含む。リライアンスサーバは、発行された認証に関する転送された情報を維持する。加入者は取引を形成し、次いでこの取引を信頼当事者に与える。取引は認証または認証の参照を含む。信頼当事者は、加入者から受信した取引に基づく保証の要求をリライアンスサーバへ送信する。リライアンスサーバは、発行された認証に関する情報と要求された保証とに基づいて、要求された保証を与えるべきかどうかを判定する。この判定に基づいて、リライアンスサーバは、信頼当事者に保証を与える許可メッセージを信頼当事者に発行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子取引に関し、詳細には、デジタル認証（ｃｅｒｔｉｆｉｃａｔｅ）に対するリライアンスをサポートし、電子取引システムにおけるこのような認証のリスクを管理するサービスに関する。
【背景技術】
【０００２】
１つにはインターネットなどのグローバルコンピュータネットワークが現われ、１つには電子的な商取引の安全を高める公開鍵暗号が進歩し成熟したため、商取引を電子的に行うシステムがますます普及している。公開鍵暗号の電子商取引への応用は以前から、国際電気通信連合（ＩＴＵ、前ＣＣＩＴＴ）の勧告Ｘ．５０９（以下では「標準Ｘ．５０９」と呼ぶ）や、アメリカ法曹協会のＩｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ＣｏｍｍｉｔｔｅｅのＤｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｇｕｉｄｅｌｉｎｅｓ（１９９５年１２月版、以下では「ＡＢＡガイドライン」と呼ぶ）や、Ｕｔａｈ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｃｔ、Ｕｔａｈ Ｃｏｄｅ Ａｎｎ．ｔｉｔｌｅ４６、ｃｈａｐｔｅｒ３（１９９６年）などの法律および規則（以下では「ユタ法」と呼ぶ）などの文書で構想されている。
【０００３】
これらおよびその他の文書に規定された内容は、いくつかの問題に対処しているが、これらの問題のうちの多くは未解決である。
２．１ 従来型のデジタル認証手法
従来型の方法による電子商取引を使用する場合、各ユーザは、関連する一対のキー、すなわち、（ユーザによって秘密にされる）専用鍵と（対応する専用鍵の秘密を損なわずに誰でも知ることのできる）公開鍵とを有する。アルゴリズムは、特定の公開鍵を使用して、所与のメッセージに署名するか、あるいはそのメッセージを認証するために対応する専用鍵が使用されたかどうかを判定することができる。たとえば、ＡがＢにメッセージを送信し、メッセージが真正にＡのメッセージであることをＢに対して確実に保証する必要がある場合、Ａは自分の専用鍵を使用してメッセージにデジタルに署名し、Ｂはその後で、Ａの公開鍵を使用してメッセージが真にＡのメッセージであることを検証することができる。
【０００４】
公開鍵とは、値（一般には数）に過ぎず、公開鍵によってメッセージを認証する必要のある人を含め、誰とも固有の関連を有さない。デジタル署名（ｓｉｇｎａｔｕｒｅ）を広く商業的に使用するには、識別された人と公開鍵を関連付ける信頼できる情報が必要である。この場合、公開鍵を使用して、このような識別された人のメッセージを認証することができる。
【０００５】
デジタル認証（場合によっては公開鍵認証、あるいは単に認証と呼ぶ）はこのニーズを満たす。このような認証は一般に、認証局（ＣＡ）と呼ばれる信頼された第三者によって発行され、（１）発行側認証局が（多くの場合、認証実行文に記述された指定に従って）認証の主体を識別したことと、（２）（認証中の）指定された公開鍵が、認証の主体によって保持されている専用鍵に対応することを認証する。公開鍵認証の構造は、前述のＸ．５０９標準に含まれている。認証の内容はしばしば法律または規則で指定されている。典型的なＸ．５０９認証は、図１に示すフォーマットを有する。
【０００６】
認証の真正さを後で確実に検証できるようにするために、認証局は、認証を発行する際に署名する。公開鍵（発行側認証局の公開鍵）を参照することによって発行側認証局のデジタル署名自体を検証することができ、この公開鍵は、第２の認証局によって第１の認証局に発行される他の認証において第１の認証局に関連付けされる。上記の他の認証局のデジタル署名は、さらに別の認証にリストされた公開鍵によって検証することができ、公開鍵が広くかつ確実に配布されるいわゆるルート認証局またはプライム認証局に達するまで、認証のチェーンに沿って同様な検証を行うことができる。取引で信頼される認証の真正さを最大限に保証するために、信頼当事者は、従来型の方法を使用して、チェーン内の各認証を検証しなければならない。認証チェーンの例を図２に示す。この図で、ルート認証局は認証局ＣＡ−１に認証を発行し、認証局ＣＡ−１は認証局ＣＡ−２およびＣＡ−５に対して認証を行う。認証局ＣＡ−２はＣＡ−３を認証し、ＣＡ−３はＣＡ−４を認証し、ＣＡ−４は加入者１を認証する。認証局ＣＡ−５は加入者２を認証する。
【０００７】
大部分の法定システムは、発行側認証局と加入者、すなわち、認証にリストされている公開鍵に対応する専用鍵の所有者として認証で識別された人との間の契約に従って行われた表現、発見、または結論を認証とみなす。加入者以外の人は認証を信頼することができる。このような信頼当事者に対する認証局の義務は、表示または虚偽の陳述を支配する規則、認証局と加入者の間の契約の第三者受益者を信頼当事者とみなす規則、デジタル認証を支配する法律、またはすべての上記のことと、場合によっては他の法的原則の組合せによって生じる義務である。
【０００８】
多くの場合、認証を信頼する当事者の権利は限られている。たとえば、不正表示に適用される法律では、リライアンスは一般に、合理的なものである必要がある。さらに、ある種の認証に対するリライアンスは、基本的に信頼できないものと指定されている。ブライトラインによって、ある種の明らかに信頼できない認証が他のすべての認証から分離されており、信頼当事者は、このような認証を信頼しても信頼当事者自身が危険にさらされるに過ぎず、認証の欠陥について発行側認証局や加入者に対して償還義務を負うことはない。基本的に信頼できない認証は従来、無効と呼ばれ、このような認証には、
（１）期限の満了した（すなわち、リライアンスの時間が、その満了について認証に指定された日付よりも後である）認証、
（２）取り消された（すなわち、認証を発行した認証局によって永久的に無効であると宣言された）認証、
（３）リライアンスの時間に中止された（すなわち、認証を発行した認証局によって一時的に無効であると宣言された）認証を含めることができる。
【０００９】
また、加入者から受け入れられておらず、また認証局から発行されたものではない認証を、効力を生じたとみなすべきではなく、場合によっては無効とみなすことができる。
【００１０】
認証の中止および／または取消しは、認証局または加入者によるエラーの影響を最小限に抑える重要な手段である。適用される法的規則に応じて、認証局は、認証を取り消すことによってその認証の不正確さによるさらなる損失を回避することができる。加入者は、危険にさらされた専用鍵、たとえば、なくすかあるいは盗まれた専用鍵を使用して作成された偽造デジタル認証に対するリライアンスを防止するために認証を取り消すことができる。取消しによって無効化された認証は一般に、ＩＴＵ Ｘ．５０９に従って認証取り消しリスト（ＣＲＬ）にリストされる。中断や一時的無効化はＩＴＵ Ｘ．５０９では企図されておらず、ＣＲＬに含めても、あるいは含めなくてもよい。各認証がそれ自体の満了日付を含むので、期限切れのために無効化された認証をＣＲＬにリストする必要はない。
【００１１】
実際には、従来型のＣＲＬベースのシステムは以下のように働く。加入者が検証可能なデジタル署名を作成できるようにするには、認証局が、加入者の公開鍵を用いて加入者を識別する認証を発行できるようにするための準備を署名者が行わなければならない。加入者は、発行された認証を受信し受け入れ、次いでデジタル署名を作成し、認証のコピーを各署名に付加する。取引の他方の当事者は、このようなデジタル署名を受信すると、認証局を用い、一般には当事者のオンラインデータベースを介して、認証が現在有効であるかどうかを判定する。有効であり、認証中の公開鍵によってデジタル署名を検証できる場合、この当事者は通常、このデジタル署名を確実に信頼することができる。
【発明の開示】
【発明が解決しようとする課題】
【００１２】
２．２ デジタル署名認証の従来の手法の問題
上記で要約され、標準Ｘ．５０９、ＡＢＡガイドライン、ユタ法、および同様な文書で構想されたシステムは、以下のことを含めいくつかの欠点を有する。
【００１３】
リスク管理に関する小サポート：
従来型のシステムは、認証局が認証のリスクを管理することを可能にする機能や機会をほとんど提供しない。ある人が、認証局が発行した認証をいつ信頼したかや、認証局が発行した認証を信頼する程度は、認証局には知らされない。認証局は、未解決の認証を監視し、問題が生じているかどうかを確認し、虚偽の認証のリスク、または認証局が慎重に行うべきであるリスクにさらされる範囲にどの因子が影響を与えるかを評価することもできない。さらに、従来型のシステムは、加入者および信頼当事者が、専用鍵の安全を維持するリスクを含め、自分たちのリスクを管理するのを助ける機能をほとんど提供しない。
【００１４】
信頼当事者に対する不十分なサービス：
主として、加入者ではなく、信頼当事者が取引における詐欺または偽造のリスクを負う。文書が偽造されるか、あるいは不正に変更された場合、信頼当事者はその影響を受け、すなわち、大部分の州の法律に従って、このメッセージは無効であるとみなされる。信頼当事者は取引の情報セキュリティに最も強い利害関係を有するが、認証局のサービス契約は完全に加入者との契約である。詐欺または偽造の場合、場合によっては加入者がそれを犯す。したがって、従来型のシステムの役割は、認証局が、問題の事件において比較的利害関係を有さない当事者または場合によっては詐欺や偽造を行った者に対処するが、主として損失を負う当事者とは接触しないようにすることである。このため、認証局は信頼当事者に対する重大な責任リスクを負い、信頼当事者にサービスを提供するビジネス機会を放棄する。デジタル署名インフラストラクチャには、加入者にのみ対処するのではなく、信頼当事者に対処する方法も必要である。
【００１５】
加入者によるコスト負担：
認証局の契約は、信頼当事者ではなく、加入者のみとの契約であるので、上記で指摘したように、主として信頼当事者が、署名されたメッセージのセキュリティに利害関係を有する場合でも、認証局はすべてのコストおよび利益を加入者から回復するしかない。
【００１６】
頑丈さの欠如：
従来型のシステムはリスク管理および信頼当事者のニーズに対処していないので、認証局は自分たちの役割を狭義に解釈する傾向がある。認証局はたとえば、認証に関する実際のビジネスニーズを満たそうと意図的に努力することなしに、すなわち、各当事者の取引に対する期待を保証しようと意図的に努力すること無しに、例えば、明白な運転免許を機械的に見ることを約束したり、認証の公証された申込みを額面どおりに受け入れることがある。この機械的な認証手法は、電子商取引取引に他の価値を付加するＣＡの可能性を制限する。公認、認可、法律上の実体の法的ステータス、クレジットを認証するより頑丈なシステムを実現する必要がある。
【課題を解決するための手段】
【００１７】
本発明は、電子取引システムにおいて、リライアンスサーバは、以下の特徴のうちのいくつかあるいはすべてを含む情報処理システムを提供することによって上記およびその他の問題を解決する。
【００１８】
（１）信頼当事者との契約、すなわち、加入者のデジタル署名を受信し、場合によっては信頼することによって、信頼当事者からの要求に応じてサービスを実行する契約。
【００１９】
（２）信頼当事者からの要求に応じて、サービスを実行、例えば、加入者の認証の有効性および真正さを認証することや、信頼当事者のニーズを満たすように構成された二次認証の形での認証の正確さおよび信頼性に関する追加の保証を行うことを含むサービスを自動的に実行すること。二次認証とは、他の認証と、場合によってはリライアンスサーバによって収集され維持された追加の情報とに基づいて自動的に発行される認証である。
【００２０】
（３）信頼当事者からの要求に応答して実行されたサービスの記録を保持することによって、有効な認証に対してリライアンスサーバおよび認証局がリスクにさらされる範囲を監視すること。
【００２１】
（４）認証局と協働で確立されたある基準に対して信頼当事者の要求を評価することによって、リライアンスサーバおよび認証局の受ける認証リスクを制限し管理すること。リスクは、拘束され管理されるので、より容易に保証することができる。
【００２２】
（５）加入者の認証に対するリライアンスと、このようなリライアンスの範囲と、リライアンスサーバから発行された保証の額とを加入者に知らせる。加入者に頻繁に報告することによって、加入者は問題を発見し、それによってタイムリーな救済処置の責任を共有することができる。
【００２３】
（６）信頼当事者の要求に応答する情報コンジットに保険業者を含めることによって、保険業者にその保険範囲を知らせること。
【００２４】
本明細書では、「当事者」の語は一般に、電子装置または電子機構を指し、「メッセージ」の語は一般に、デジタルメッセージを表わす電子信号を指す。「当事者」および「メッセージ」の語は、本発明の説明を簡略化するために使用される。「機構」の語は、本明細書では、ハードウェア、ソフトウェア、またはそれらの組合せを表わすために使用される。本明細書で説明する機構およびサーバは、標準汎用コンピュータ上で実現するか、あるいは特殊装置として実現することができる。
【００２５】
本発明は、電子取引システムにおいてリライアンスを管理する方法である。この方法は、加入者に一次認証を発行し、発行した一次認証に関する保証パラメータを認証局からリライアンスサーバへ転送する認証局を含む。リライアンスサーバは、発行された一次認証に関する転送された情報を維持する。加入者は取引を形成し、次いでこの取引を信頼当事者に与える。この取引は、認証局から発行された一次認証またはこの認証のＩＤを含む。信頼当事者は、加入者から送信された取引を評価し、この取引を「安全に」進めるために一次認証の真正さに関するある種の保証が必要であるかどうかを判定する。信頼当事者は、保証が必要であると判定した場合、加入者から受信した取引に基づく特定の額の保証を求める要求をリライアンスサーバへ送信する。次いで、リライアンスサーバは、要求された保証を与えるか否かを判定する。リライアンスサーバは、要求された保証、認証局から受信した発行済みの一次認証に関する保証パラメータ、要求側信頼当事者およびその他の信頼当事者にこのおよびその他の認証のために発行された保証に関する履歴情報、利用可能なその他の情報に基づいてこの判定を行う。この判定に基づいて、リライアンスサーバは、信頼当事者に保証を与える二次認証を信頼当事者に発行する。
【００２６】
好ましい実施形態では、一次認証は、定義済みのフォーマットのデジタルに署名された電子文書であり、認証局はこのフォーマット内で、加入者が取引を行う信頼当事者を対象とした表示を行う。この一次認証は、上記で引用した標準に定義されているＸ．５０９認証でよく、多くの場合そうである。一次認証は、特定の個人または組織の代理または認可を表す認証でも、あるいは支払い約束を与える認証でもよい。
【００２７】
ある場合には、一次認証はリライアンス限界を指定し、認証局からリライアンスサーバに転送される情報には、リライアンスサーバが一次認証に基づいて保証を与えることができるかどうかを制御する保証パラメータが含まれる。
【００２８】
ある場合には、保証パラメータには、一次認証に指定されたリライアンス限界を超える受け入れられるリライアンス限界が含まれ、保証を求める要求は、指定されたリライアンス限界を超える額に対するリライアンスを求める要求である。これらの場合、リライアンスサーバは、要求されたリライアンスが受け入れられるリライアンス限界を超えるかどうかを判定することによって、要求された保証を与えるかどうかを判定する。
【００２９】
好ましい実施形態では、この方法はさらに、一次認証に関連付けされた累積責任を追跡し、要求されたリライアンスによって、受け入れられるリライアンス限界を累積責任が超えるかどうかを判定するリライアンスサーバを含む。
【００３０】
要求された保証が他の認証の正確さを求める保証である、いくつかの場合には、この方法は、他の認証の現在の妥当性および真正さを検査し、次いでこの認証の正確さを認証する二次認証を発行するリライアンスサーバを含む。この妥当性検査には、認証のチェーンに沿ってこの認証のデジタル署名を検証することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３１】
要求された保証が他の認証の真正さを求める保証である、いくつかの場合には、この方法は、他の認証の真正さを検査し、次いでこの認証の真正さを認証する二次認証を発行するリライアンスサーバを含む。この検査には、認証のチェーンに沿ってこの認証のデジタル署名を検証することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３２】
要求された保証が他の認証の妥当性を求める保証である、いくつかの場合には、リライアンスサーバは、他の認証の現在の妥当性を検査し、この認証の妥当性を認証する二次認証を発行する。この検査には、この認証が中止されているか、取り消されているか、あるいは期限が満了しているかを判定することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３３】
要求された保証が代理人の権限の保証を求める保証である、いくつかの場合には、この方法は、代理人の文書を、真正さを認証する二次認証と共に返すリライアンスサーバを含む。代理人の文書には委任状が含まれる。
【００３４】
要求された保証がある人の認可の保証を求める保証である、いくつかの場合には、リライアンスサーバは、この人の認可に関する認可団体または専門団体による陳述を、この陳述の真正さを認証する二次認証と共に返す。
【００３５】
要求された保証が実体の存在および／または地位の保証を求める保証である、いくつかの場合には、リライアンスサーバは、この実体が存在し、適切な地位にあり、営業を行う資格を有することを示す、この実体が組み込まれた官庁による陳述を返す。この陳述は、その真正さを認証する二次認証に同封される。
【００３６】
要求された保証が義務の履行の保証を求める保証である、いくつかの場合には、リライアンスサーバは、履行を保証する陳述を発行し、この陳述は、その真正さを認証する二次認証に同封される。
【００３７】
好ましくは、リライアンスサーバおよび信頼当事者は、リライアンスサーバが二次認証を発行する前に契約を締結する。この契約は、信頼当事者が要求を出した後に締結することができる。
【００３８】
取引はデジタル署名を含むことができる。
【００３９】
認証局からリライアンスサーバへ転送される保証パラメータには、特定のデジタル署名について発行できる最大補助保証を含めることができる。ある場合、保証パラメータには以下のうちの少なくとも１つが含まれる。
【００４０】
１．単一の二次認証で発行できる最大補助保証。
【００４１】
２．特定の信頼当事者に発行できる最大補助保証。
【００４２】
３．１つまたは複数の指定された時間間隔中に発行できる最大補助保証。
【００４３】
４．一次認証上で発行できる最大数の二次認証。
【００４４】
５．二次認証が有効なままである最大期間。
【００４５】
６．指定された取引タイプについて有効な二次認証にリストできる最大リライアンス限界。
【００４６】
７．補助保証の根拠を与えるために信頼当事者によってその要求と共に提出しなければならない特定の情報。
【００４７】
８．加入者が事前に支払ったある額の補助保証と、事前に支払ったこの保証を二次認証でどのように発行できるかに対する制約。
【００４８】
９．二次認証を求める信頼当事者の要求が許可されるように、二次認証を信頼当事者に発行するためのリライアンスサーバによる補助保証の発行を加入者が容認する必要があること。
【００４９】
１０．リライアンスサーバから認証局へ報告を送信することをトリガするしきい値。
【００５０】
１１．リライアンスサーバが、一次認証上で発行される補助保証の範囲に関して認証局に対してどれだけ頻繁に報告すべきか。
【００５１】
１２．指定された当事者への一次認証の開示、またはこのような一次認証へのアクセスを制限する制約。
【００５２】
１３．加入者以外の追加の当事者によって取引に署名する必要があること。任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかを指定する。
【００５３】
１４．署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケール。
【００５４】
１５．一次認証の妥当性に関する情報。
【００５５】
一次認証が有効である期間全体を含め、特定の期間に任意の保証パラメータを制限することができる。
【００５６】
他の態様では、本発明は、認証局と、認証局に接続できるリライアンスサーバとを含む電子取引システムである。認証局はこのシステムの加入者に一次認証を発行する。リライアンスサーバは、認証局から発行された一次認証に関する情報を認証局から受信する。信頼当事者から要求が出されると、リライアンスサーバは信頼当事者に二次認証を発行する。この発行は、認証局から与えられる情報および信頼当事者から与えられる情報に基づいて行われる。
【００５７】
いくつかの実施形態では、少なくとも１つの他の当事者をリライアンスサーバに接続することができる、リライアンスサーバは、信頼当事者に二次認証を発行する前に上記の他の当事者に二次認証を与える。
【００５８】
好ましくは、リライアンスサーバは、二次認証を信頼当事者に発行する前に、この認証にデジタルに署名する。
【００５９】
他の態様では、本発明は、認証局が加入者にデジタル認証を発行する電子取引システムで、加入者の認証を自動的に置換する方法である。この方法は、新しい鍵対の認証を求める待機申込みを作成し、専用鍵を用いてこの待機申込みにデジタルに署名し、次いで専用鍵を破棄する加入者を含む。この場合、加入者は、この待機申込みにのみ有効な取引認証に、専用鍵に対応する公開鍵を含め、この取引認証を認証局へ転送する。認証局はこの取引認証を維持する。この後で、加入者は認証局に待機申込みを送信し、認証局は取引認証を参照することによって申込み上のデジタル署名を検証し、次いで、待機申込みに示された公開鍵をリストする新しい時間ベースの認証を発行する。
【００６０】
本発明の他の実施形態で構想されるように、認証ベースのデジタル取引を検証する必要のある人は、取引に関連する認証を含むリライアンス検査メッセージと、（少なくとも、取引でコード化される金銭的な価値を含む）取引の関連部分のコピーとを生成する。次いで、このリライアンス検査メッセージはリライアンスサーバへ送信される。リライアンス検査メッセージを受信すると、リライアンスサーバはこの認証の妥当性を検査し、かつ危険にさらされた信頼されていた装置を示す様々な整合性問題について検査する。リライアンスサーバは、各認証局がさらされたリスクを累積的に追跡することもできる。リライアンスサーバは、（リライアンス検査メッセージ中の情報と、リライアンスサーバ自体が記憶するか、あるいは得た情報とに基づいて）リスクが受け入れられるものであると判定した場合、デジタルに署名されたサーバ応答メッセージを信頼当事者に返す。
【００６１】
他の実施形態では、本発明は、認証局から発行されたデジタル時間ベース認証を加入者が有する電子取引システムにおけるリライアンスを管理する方法である。この方法は、信頼当事者によって、加入者から取引を受信することを含む。この取引は、加入者の少なくとも１つの時間ベースの認証に関する情報を含む。この信頼当事者は、取引から得た認証情報に基づくメッセージを作成する。このメッセージは、信頼当事者が信頼する取引の価値を指定する。次いで、信頼当事者は、信頼当事者が信頼する取引の価値の保証を要求するメッセージをリライアンスサーバへ送信する。次いで、信頼当事者は、メッセージを送信したことに応答してリライアンスサーバからバウチャ（ｖｏｕｃｈｅｒ）を受信し、次いでバウチャ上の情報に基づいて加入者との取引を継続する。
【００６２】
本発明の他の態様では、この方法は、当事者からのリライアンスメッセージを受信するリライアンスサーバを含む。このリライアンスメッセージは、当事者が信頼する取引の価値を指定し、この取引の価値の保証を要求し、かつ取引から得られた認証情報を含む。リライアンスサーバは、取引の価値を保証すべきかどうかを判定し、信頼当事者へバウチャを送信する。このバウチャは、リライアンスサーバが取引の価値を保証するかどうかの表示を含む。この判定は、取引に関連する認証が取り消されているか、あるいは中止されているかを判定することを含む。
【００６３】
この方法は、認証の実際のリライアンス限界を認証局から受信する工程と、実際のリライアンス限界を記憶する工程と、および要求された額が実際のリライアンス限界を超えるかどうかを判定する工程とを含む。好ましくは、リライアンスサーバは認証局の累積責任を維持する。
【００６４】
他の態様では、本発明は、認証局によって、記述されたリライアンス限界を指定する時間ベースの認証を加入者に発行する工程と、この認証の実際のリライアンス限界をリライアンスサーバへ転送する工程とを含む。実際のリライアンス限界は、記述されたリライアンス限界とは異なる。
【００６５】
他の一般的な態様では、本発明は、加入者がデジタル認証を有する電子取引システムでリライアンスを管理する方法である。信頼当事者は加入者から取引を受信する。この取引は、この加入者の少なくとも１つの認証に関する情報を含む。信頼当事者は、取引から得た認証情報に基づくメッセージであり、かつ信頼当事者が信頼する取引の態様を指定するメッセージを作成し、次いで信頼当事者が信頼する取引の態様の保証を要求するメッセージをリライアンスサーバへ送信する。この後で、信頼当事者はメッセージを送信するステップに応答してリライアンスサーバから応答レシートを受信し、応答レシート中の情報に基づいて加入者との取引を継続する。
【００６６】
ある場合、加入者の認証は、関連する手数料を有し、リライアンスサーバは、取引に関連する認証の手数料に基づいてサーバ自体のサービスの手数料を確認する。この手数料には、使用料、保証料、参照料が含まれる。
【００６７】
メッセージにおいて認証状況検査が要求されたある場合には、応答レシートは、この認証状況検査が受け入れられるものであったかどうかを示す。一般に、レシートは、信頼当事者が信頼する取引の態様をリライアンスサーバが保証するかどうかを示す。
【００６８】
ある場合、信頼当事者が信頼する取引の態様は金銭的な価値を示し、レシートは、リライアンスサーバが取引をこの金銭的な価値について保証するかどうかを示す。好ましくは、リライアンスサーバは、取引に関連する認証に指定された情報に基づいてこの保証を行う。
【００６９】
他の態様では、本発明は、リライアンスサーバによって、取引のある態様の保証を要求する当事者からのメッセージであり、かつ取引から得られる認証情報を含むメッセージを受信する工程と、メッセージ中の情報の妥当性を確認して取引のこの態様を保証すべきかどうかを判定する工程と、および応答レシートを信頼当事者へ送信する工程とを含む。この応答レシートは、リライアンスサーバが取引のこの態様を保証するかどうかの表示を含む。上記の妥当性確認は、取引に関連する認証が取り消されているか、あるいは中止されているかを判定することを含む。場合によっては、メッセージに含まれる認証情報は、取引に関連する認証の固有の識別子を含み、上記の判定は、認証取消しリスト上の固有の認証識別子を参照することを含む。好ましくは、この判定は、認証に関するすでに得られている情報に基づいて行われる。
【００７０】
保証が要求されている取引の態様が金銭的なリライアンス価値であり、かつ取引に関連する少なくとも１つの認証が金銭的限界を指定するある場合には、上記の妥当性確認は、金銭的なリライアンス価値が認証に指定された金銭的限界の範囲内であるかどうかを判定することを含む。
【００７１】
この判定は、認証の現在の累積金銭責任の値を得て、次いで金銭的なリライアンス価値と現在の累積金銭責任との和が、指定された金銭的限界を超えるかどうかを判定することを含むこともできる。この判定に基づいて、現在の累積金銭責任が更新される。
【発明を実施するための最良の形態】
【００７２】
上記で指摘したように、本明細書では、「当事者」の語は一般に電子装置または電子機構を指し、「メッセージ」の語は一般に、デジタルメッセージを表わす電子信号を指す。「当事者」および「メッセージ」の語は、本発明の説明を簡略化するために使用される。「機構」の語は、本明細書では、ハードウェア、ソフトウェア、またはそれらの組合せを表わすために使用される。本明細書で説明する機構およびサーバは、標準汎用コンピュータ上で実現するか、あるいは特殊装置として実現することができる。
【００７３】
１．好ましい実施形態
１．Ａ 好ましい実施形態の概要
本発明の好ましい実施形態による電子取引システム１００について図３を参照して説明する。システム１００は、認証局機構１０２とリライアンスサーバ１０４とを含む。加入者機構１０６および信頼当事者機構１０８は、システム１００に参加するために（それぞれ、認証局機構１０２およびリライアンスサーバ１０４に登録することによって）システム１００に登録されている。加入者機構１０６がシステム１００に登録されると、認証局機構１０２から加入者機構１０６に電子一次署名１１０が発行される。この一次認証１１０はリライアンスサーバ１０４を識別するものであり、この認証に関する情報が、認証１１０で識別されたリライアンスサーバ１０４に与えられる。
【００７４】
加入者機構１０６は、登録された後、署名付き情報１１４を含む電子取引１１２を信頼当事者機構へ送信することによって特定の信頼当事者機構１０８との取引を行う。信頼当事者機構１０８は、それが信頼するか、あるいは信頼する必要のある電子取引１１２の態様を判定し、二次認証を求める要求１１６を表わす電子信号を、認証１１０で識別されたリライアンスサーバ１０４へ送信する。リライアンスサーバは、要求１１６中の情報と、一次認証１１０に基づく前の要求と、リライアンスサーバが認証局機構１０２からすでに得ている、一次認証１１０に関する情報とに基づいて、信頼当事者機構１０８に二次認証１１８を発行すべきかどうかを判定する。
【００７５】
このシステムの実際の実施態様では、関与するすべての当事者の役割および責任を明確に定義した契約が、これらに当事者によって双務的または多面的に締結されているものと仮定する。リライアンスサーバの１つの重要な機能は、必要な契約を締結することによって信頼当事者機構１０８をシステムに適切に登録させることである。
【００７６】
信頼当事者機構１０６との契約は、システム１００の規則およびリスク割付けを信頼当事者に適用できるようにする基本的な手段である。本明細書で説明する契約は、新しいデジタル署名の法律に整合すべきであるが、デジタル署名について具体的に規定された法律がない法定システムの場合でも、一様で世界的な１組の標準を提供する。
【００７７】
各当事者によって実行されるプロセスおよびそのそれぞれの役割について以下で詳しく説明する。
【００７８】
１．Ｂ 本発明の実施の形態の詳細な説明
１．Ｂ．１ 認証局が加入者に認証を発行する
認証局機構１０２は加入者機構１０６に一次認証１１０を発行する。一次認証とは定義済みのフォーマットのデジタルに署名された電子文書であり、認証局はこのフォーマット内で、加入者が取引を行う信頼当事者を対象とした表示を行う。この一次認証は、上記で引用した標準に定義されているＸ．５０９認証でよく、多くの場合そうである。一次認証は、特定の個人または組織の代理または認可を表す認証でも、あるいは支払い約束を与える認証でもよい。
【００７９】
標準Ｘ．５０９によって規定された形式は、加入者機構１０６を識別する情報を認証１１０に含めることを必要とし、加入者の公開鍵を記述し、認証を一意に識別する。本実施の形態では、認証は、発行側のＩＤとこの発行側に対して固有の通し番号との組合せによって一意に識別される。Ｘ．５０９認証では、通し番号フィールドは同じ認証局機構１０２によって発行される他のすべての認証から所与の認証を区別する。したがって、通し番号は固有の番号であり、特定の認証局機構１０２から発行される認証の間で繰り返されることはない。認証局機構１０２が区別された（あるいは固有の）名前を保持するので、発行側認証局の区別された名前と認証の通し番号との組合せは、任意のＣＡまたはすべてのＣＡからの他のすべての認証からこの認証を識別する。
【００８０】
この実施形態のいくつかの応用例では、信頼当事者に、一次認証を信頼する前に契約を締結することを要求するために、一次認証１１０は、公開鍵フィールドが空白のままになり、アルゴリズム識別子が、リライアンスサーバ１０４から直接発行された認証しか信頼しないシステムを示すことを除いて、標準Ｘ．５０９形式であってよい。この別法として、あるいはそれに加えて、認証中のある種のデータを暗号化することができ、アルゴリズム識別子は、暗号化データを使用可能にするために暗号を処理し削除することのできるシステムを示す。
【００８１】
また、ユタ法、および場合によってはその他の法律および規則に基づいて、認証１１０は、ユタでは「リライアンス限界」と呼ばれる金額をリストすることができる。リライアンス限界とは、さらなる調査なしでの、所与の取引における認証に対する合理的なリライアンスの最大範囲の、認証を支持するセキュリティおよび調査の程度に照らした発行側認証局機構１０２による数量宣言である。好ましい実施形態では、ユタ法のリライアンス限界によって所期された目的と同様な目的を満たす認証局によって一次認証に金額を入力することができるが、本実施の形態では、この額を一次保証限界と呼ぶ。
【００８２】
本実施の形態では、発行される各認証の一次保証限界は、認証局機構１０２が、加入者機構１０６を識別する際に収集した情報に基づく、一次認証１１０に関するリスクに機構１０２自体がさらされることを鑑みて受け入れることのできる額に設定される。信頼当事者機構１０８が加入者機構１０６から（認証１１０を含む）署名付き情報１１４を受信し、信頼当事者機構１０８が一次認証１１０に記述された一次保証限界が与えるよりも大きな保証を必要としている場合、信頼当事者機構１０８は、一次認証１１０に関連するリライアンスサーバ１０４から二次認証１１４を要求しなければならない。二次認証１１４は通常、その根拠となる一次認証１１０よりも高い保証限界を記述する。より高い保証限界を保持するこの二次認証１１４では、リスト管理および品質保証のための追加のコストがかかり、加入者機構１０６、信頼当事者機構１０８、またはその両方が最終的にこのようなコストを負う。
【００８３】
認証局機構１０２は、潜在的な信頼当事者が、一次保証限界よりも大きな保証限界を記述した二次認証１１４の形の補助保証を得るため、認証１１０に指定されたリライアンスサーバ１０４に申し込むように、認証１１０に低い一次保証限界を設定することができる。
【００８４】
１．Ｂ．２ 認証局が認証公開メッセージをリライアンスサーバへ送信する
認証局機構１０２は、加入者機構１０６に一次認証１１０を発行するときに、リライアンスサーバ１０４へ認証公開メッセージ１２０も送信する。リライアンスサーバ１０４は一次認証１１０に基づいて二次認証１１８を発行する。発行認証メッセージ１２０は一次認証１１０と補助保証（リライアンス）パラメータ１２２を含む。複数のリライアンスサーバ１０４が市場または同様な経済環境でビジネスを行うことができ、認証を発行するリライアンスサーバとして認証局機構１０２が選択するリライアンスサーバ１０４としては、一般に、バーゲン、契約、同様な市場力学に依存する。
【００８５】
認証公開メッセージ１２０中で一次認証１１０に伴う補助保証パラメータ１２２には以下のパラメータが含まれる。
【００８６】
１．一次認証の有効期間にわたって累積される、リライアンスサーバ１０４が一次認証１１０に基づいて発行することができる最大補助保証（言い換えれば、この額は、一次認証１１０が有効であるかぎり（すなわち、一次認証が取り消されれず、また、その期限が満了しないかぎり）一次認証１１０に基づいてリライアンスサーバ１０４から発行されるすべての二次認証に関するすべての保証限界の合計である）。
【００８７】
２．（署名付き情報１１４に記録された）特定のデジタル署名に関して発行できる最大補助保証。
【００８８】
３．単一の二次認証１１８で発行できる最大補助保証。
【００８９】
４．ある期間中に、たとえば、一次認証１１０が有効である期間全体にわたって、特定の信頼当事者機構１０８に発行できる最大補助保証。
【００９０】
５．秒、分、日、週、月、年など１つまたは複数の指定された時間間隔中に発行できる最大補助保証。
【００９１】
６．期間中に、たとえば、一次認証が有効である期間全体にわたって、一次認証１１０上で発行できる二次認証１１８の最大数。
【００９２】
７．二次認証１１８が有効なままである最大期間。
【００９３】
８．指定された取引タイプに関して有効な二次認証１１８にリストできる最大保証限界。
【００９４】
９．公開側認証局機構１０２が認証局機構１０２とリライアンスサーバ１０４との間の契約に従って記述する資格を有する価格限界係数。
【００９５】
１０．発行すべき補助保証の根拠を制限するか、あるいは与えるために二次認証１１８を求める要求１１６と共に信頼当事者機構１０８によって提出しなければならない特定の情報。このような情報には、信頼当事者に約束された特定の種類の認証、署名付き情報１１４が存在する文書に関する取引タイプの指定、第２の署名（ある人によって信頼当事者の要求を承認することや、裏書することや、おそらく限界を含む他の方法で副署することなど）、同様な関連情報を含めることができる。
【００９６】
１１．加入者機構１０６が事前に支払った補助保証の額と、事前に支払ったこの保証を、このリスト中の他のパラメータに基づいて二次認証１１８でどのように発行できるかに対する制約。
【００９７】
１２．二次認証１１８を求める信頼当事者の要求が許可されるように、二次認証１１８を信頼当事者機構１０８に発行するためのリライアンスサーバ１０４による補助保証の発行を加入者機構１０６が容認する必要があること。
【００９８】
１３．リライアンスサーバ１０４から認証局機構１０２へ報告を送信することをトリガする保証に関するしきい値（特定のパラメータ以下／以上、パラメータの割合以下／以上、またはパラメータの特定のレベル以下／以上である条件に達する点）。このようなしきい値は、上記のパラメータのうちの任意あるいはすべてのパラメータに適用され、他のパラメータしきい値とは独立に、かつ／または他のパラメータしきい値に対して、かつ／または他のパラメータしきい値に応じて記述することができる。たとえば、しきい値は、一次認証１１０上で最大保証の８０％が発行されたときに報告を要求することができる。他の例を挙げると、しきい値は、最大累積保証の５０％が所与の日に発行され、この保証の９０％が特定の信頼当事者機構１０８に発行されたときに報告を要求することができる。
【００９９】
１４．リライアンスサーバ１０４が、一次認証１１０上で発行される補助保証の範囲に関して認証局機構１０２に対してどれだけ頻繁に報告すべきか、
１５．指定された人（開示あるいはアクセスする以前に身元確実とされた人）への一次認証１１０（またはコピー、あるいは一次認証の存在および妥当性の報告を含め、一次認証に関する情報または一次認証から得られる情報）の開示、またはこのような一次認証へのアクセスを制限する制約。
【０１００】
１６．加入者機構１０６以外の追加の当事者によって署名付き情報１１４に署名する必要があること。任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかを指定する（すなわち、より大きな１組の当事者の集団を許容することができる）。任意選択で、署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケール。たとえば、加入者機構１０６のみが署名する場合、取引当たり最大補助保証額は１２５ドルであるが、スーパバイザおよび他の２人も署名する場合、取引当たり最大補助保証額は１２５０ドルになる。
【０１０１】
１７．一次認証１１０の妥当性に関する情報。認証自体はその満了日を指定するが、認証局機構１０２は、発行中の一次認証の中止、取消し、更新に関して加入者機構１０６と共に行った準備をリライアンスサーバ１０４に知らせる。
【０１０２】
１８．二次認証１１８を発行するか、あるいは一次認証１１０に基づいて信頼当事者機構１０８に補助保証を与えるための他の制限または必要条件。
【０１０３】
上記の指定は、認証局機構１０２とリライアンスサーバ１０４との間の契約中の規定を可能にすることに依存する。
【０１０４】
認証局機構１０２は、認証１１０を公開したリライアンスサーバ１０４へ改訂済み認証公開メッセージ１２０を送信することによって、有効な補助保証パラメータ１２２を改訂することができる。改訂認証公開メッセージ１２０は、補助保証パラメータ１２２のみを含み、更新中の一次認証１１０と、新しい補助保証パラメータ１２２を含む。
【０１０５】
Ｂ．３ リライアンスサーバによる認証公開メッセージの処理
リライアンスサーバ１０４は、認証局機構１０２から認証公開メッセージ１２０を受信するとまず、認証公開メッセージ１２０上のデジタル署名および同封された一次認証１１０を検査する。リライアンスサーバ１０４は、署名を検証した（すなわち、署名が有効である）場合、認証公開メッセージ１２０を保存および非放棄のために記憶し、次いで認証公開メッセージ１２０から情報を抽出する。抽出された情報には、一次認証１１０と補助保証パラメータ１２２が含まれる。次いで、リライアンスサーバ１０４は、当該の認証局機構１０２（すなわち、一次認証１１０を発行した認証局機構１０２）によって発行された一次認証に適用できる補助保証パラメータの指定と突き合わせてこの情報を検査し、新しい認証およびその補助保証パラメータを、容易に検索できるように記憶する。この情報は、図４に示すように、サーバからアクセスできるようにリライアンスサーバ１０４によって認証妥当性データベースに電子的に記憶される。情報は、一次認証１１０のＩＤが与えられた場合に、リライアンスサーバ１０４が、発行済みの二次認証または発行される予定の二次認証に適用できる補助保証パラメータ１２２を一次認証に基づいて容易に確認できるように記憶される。
【０１０６】
認証妥当性データベースは、各一次認証１１０ごとに、妥当性状況（有効、取消し、満了、または中止）と、一次認証に基づいて二次認証に適用できる補助保証パラメータ１２２と、勘定履歴および定期報告情報とのリンクとを含む。（各一次認証１１０がその寿命スパンを指定するので満了状況を有する必要がないことに留意されたい。しかし、満了状況を指定すると、実際の認証を調べることが不要になる。）
【０１０７】
１．Ｂ．３．１ 加入者の登録および初期認証の要約
本システム１００において、認証局機構１０２は、予想される加入者機構１０６と契約を締結し、認証にリストされる情報を収集し、認証局の義務の文書による履行の証拠を得て保存し、この情報の正確さを確認することによって、最初の一次認証１１０（認証のために顧客を認証する新しい勘定を開始する認証）を発行する。次いで、認証局機構１０２は一般に、最初の認証１１０上の保証をゼロまたは低いレベルに制限し、二次認証１１８を後で、指定された保証限界まで発行できるように準備する。次いで、認証局機構１０２は、加入者機構１０６に認証１１０を提示し、この認証が発行された場合に受け入れられるかどうかを判定し、次いで認証を承認のために認証局機構１０２内の管理者へ転送する。発行が承認された後、認証局機構１０２は認証を、規定された形式で作成し、多くの場合極めて安全な分散型専用鍵を使用して認証にデジタルに署名する。その後で、認証局機構１０２は（加入者機構１０６との契約で発行が規定されている場合）リライアンスサーバ１０４と共に認証を公開する。次いで、加入者機構１０６はリライアンスサーバ１０４に接続され、認証を最終的に受け入れ、リライアンスサーバ１０４は認証１１０をオンラインで利用できるようにする。
【０１０８】
１．Ｂ．３．２ 中止プロセス
認証局機構１０２は、要求側のＩＤ、要求側と加入者機構１０６との関係（要求側が加入者でない場合）、要求の日付および時間、要求の理由または要求の根拠となる事実、他の関連情報、要求された中止の継続時間を示す中止要求を受信しログする。認証局機構１０２は、要求と共に与えられた情報の正確さを確認する義務を有さない。しかし、加入者機構１０６と認証局機構１０２との間の契約で許される場合、認証側はいたずらまたは詐欺と思われる状況で中止を調査するか、あるいは差し控えるか、あるいは制限することができる。
【０１０９】
認証局機構１０２は、中止または取消しの通知がポストされる位置として認証にリストされたリライアンスサーバ１０４と共に中止の通知１２６を生成し公開する。
【０１１０】
リライアンスサーバ１０４は、認証状況データベースを中止およびその継続時間を示すように更新する。中止がすでに実施されている場合、リライアンスサーバ１０４は認証状況データベースを最新の通知上の情報を反映するように変更する。
【０１１１】
リライアンスサーバ１０４は、常に、あらゆる中止と、当該の認証を発行した認証局機構１０２への中止に関するあらゆる見掛け上の異常または不規則性とを報告する。
【０１１２】
認証局機構１０２は、送信された通知と、リライアンスサーバ１０４から返された肯定応答とを含むように記録を更新する。
【０１１３】
中止は、中止の指定された継続時間が経過すると自動的に終了する。不定期間にわたる中止は、その根拠が確認されていないにもかかわらず、信頼当事者が取引をクローズしたり進めるのを妨げる。認証局機構１０２と加入者機構１０６との間の契約は一般に、不定期間にわたる未確認要求による中止を防止する。中止を実施した通知で計画されている終了時間よりも前に中止を終了する場合、認証局機構１０２は、中止を作成するプロセスに類似したプロセスに従う。すなわち、認証局機構１０２は要求を受信しログし、リライアンスサーバ１０４に通知する。リライアンスサーバ１０４は認証状況データベースを更新する。
【０１１４】
１．Ｂ．３．３ 取消しプロセス
取消し通知を受信したリライアンスサーバ１０４は、認証の取消しを示すように認証状況データベースを更新し、肯定応答を返し、公開側認証局機構１０２に報告する。リライアンスサーバ１０４は、重複した取消し通知または後続の取消し通知を受信した場合、この第２の要求をログするが、認証状況データベースには他の変更を加えず、エラーメッセージを返す。リライアンスサーバ１０４は、常に、あらゆる取消しと、取消しに関連するあらゆる見掛け上の異常または不規則性とを当該の認証を発行した認証局機構１０２に報告する。
【０１１５】
待機認証申込み（後述）が利用可能であり、安全に維持されている場合、文書を犠牲にすることなしに、あるいは、認証局の義務をショートカットして取消し要求を確認することなしに、前述の取消しプロセスを自動的に行うことができる。待機申込みに基づいて新しい認証が発行された後、加入者機構１０６は、取消しを求めるデジタルに署名された要求を発行することができ、加入者機構のデジタル署名は、待機申込みに基づいて新たに発行された認証を参照することによって確認することができる。このような取消し要求は自動的に処理することができるが、待機申込みプロセスを介して加入者機構１０６を再認証することができないか、あるいは何らかの理由で、有効な認証によって検証できるデジタル署名を作成する残りの機能を加入者機構１０６が有さない場合、認証局機構１０２はデジタル署名以外のある手段、すなわち、上記で概略的に説明したステップを実施する場合に通常、手動プロセスを必要とする手段を使用して取消し要求を確認しなければならない。
【０１１６】
１．Ｂ．４ 加入者が信頼当事者と取引を行う
加入者機構１０６は、取引１１２を形成することによって信頼当事者機構１０８と取引を行う。取引は、文書にデジタルに署名する加入者機構１０６によって形成され、例えば、契約、手紙、発注書などのいくつかがある。取引１１２は、署名付き情報１１４と呼ばれるデータ構造を含み、署名付き情報１１４は、デジタル署名と取引の最終的な検証に関する情報とを含む。加入者機構１０６は、文書にデジタルに署名し、結果として得られる署名付き情報データ構造１１４を署名付き文書に付加した後、結果として得られる取引１１２（文書とその署名付き情報データ構造１１４）を信頼当事者機構１０８へ送信する。署名付き情報１１４には、認証局機構１０２によって加入者機構１０６に発行される一次認証１１０が含まれる。加入者機構１０６は、以下のうちのどれかを署名付き情報１１４に含めるか、あるいは署名付き情報１１４に付加することもできる。
【０１１７】
１．署名付き情報１１４に含まれるデジタル署名をこの加入者機構１０６以外から一意に識別する署名識別子。
【０１１８】
２．加入者機構１０６が、署名付き情報１１４内のデジタル署名またはこのデジタル署名が認証する取引１１２に関して発行されることを許可する補助保証の最大額。
【０１１９】
３．この署名付き情報１１４の補助保証を要求することを許可された（あるいは許可されていない）信頼当事者１０８のリスト。
【０１２０】
４．加入者機構１０６が事前に支払った、この署名付き情報１１４に関する補助保証を要求できる（あるいは要求できない）信頼当事者１０８のリスト。
【０１２１】
５．二次認証１１８の数、および／またはこの署名付き情報１１４に関して発行できる補助保証の範囲に関するリスト。
【０１２２】
６．任意または特定の信頼当事者が署名付き情報１１４のために必要とする補助保証を加入者機構１０６が支払うことを示す支払い通知。
【０１２３】
７．指定認証実施文を含む、デジタル署名に対するリライアンスが契約に従うという陳述。指定認証実施陳述は、認証１１０に指定されたリライアンスサーバ１０４の記録中の認証の現在の妥当性を少なくとも検査することを信頼当事者機構１０８に要求する。
【０１２４】
加入者機構１０６は、上記の署名パラメータの任意の組合せを使用して、発行される二次認証１１８中で信頼当事者機構１０８および／またはリライアンスサーバ１０４が利用できるオプションを制限する。
【０１２５】
１．Ｂ．５ 信頼当事者が署名付き情報を調べる
デジタルに署名された文書を（取引１１２と共に）受信した信頼当事者１０６は、デジタル署名または認証によって保証することのできる他の項目を信頼すべきかどうかを判定する際、他の保証を得ずにこの文書を信頼した場合に冒す危険を評価する。必要な保証の程度は、信頼当事者機構１０８の内部動作手順に規定することができ、かつ経験による統計評価と予想される影響の技術的評価との両方を考慮に入れたリスク調査に基づいて求めることができる。
【０１２６】
信頼当事者１０８は、受け入れられるリスクを与えるオンライン取引に対するリライアンスのための認証を必要とすることがある。認証（デジタル署名）またはその他の目的の１つまたは複数の認証は、信頼当事者機構１０８に保証を与え、文書または取引が真正であるかどうか、代理人と称する人が実際に代理権限を有するかどうか、取引で義務が生じる場合に、認証局機構１０２など信頼できる当事者が支払いまたは履行を保証するかどうかなどの問題に関するリスクを低減する。
【０１２７】
信頼当事者機構１０８は、署名付き情報１１４を含む取引１１２を加入者機構１０６から受信すると、この取引を調べ、取引の性質と、信頼当事者が署名付き情報に負わなければならないリライアンス額とを判定する。署名付き情報１１４および／または署名付き文書は暗号化されている可能性があるが、これらが共に信頼当事者機構１０８を対象とするものであり、かつ信頼当事者がこの文書を復号するか、あるいは何らかの方法で使用することができるものと仮定する。また、認証局機構１０２が一次認証１１０を暗号形式で発行した場合、信頼当事者機構１０８は必要に応じて、一次認証１１０の一部またはすべてを復号することができる。信頼当事者機構１０８によって取引１１２に適切にアクセスしそれを適切に復号するものと仮定すると、任意の所与の取引では、信頼当事者が利用できる情報に以下のものを含めることができる。
【０１２８】
１．受信した取引文書
【０１２９】
２．署名付き情報１１４データ構造と、加入者のデジタル署名と認証１１０を含む署名付き情報１１４データ構造の内容
【０１３０】
３．加入者機構１０６がこの取引で信頼当事者機構１０８に割り付ける補助保証の最大額を表わす金額。
【０１３１】
４．信頼当事者機構１０８に補助保証を与える二次認証１１８に関する支払いを加入者機構１０６が行うかどうかを示す支払い情報。
【０１３２】
５．リライアンスサーバ１０４から与えられるサービスに対して加入者機構１０６によって課される制約。このような制約には、取引１１２用の二次認証１１８をどの信頼当事者が受信できるかをリストすることが含まれる。
【０１３３】
６．加入者機構１０６が内容情報および／または署名付き情報１１４に付加した、参照またはリンクまたは添付された文書やデータなど追加の情報。
【０１３４】
このおよび他の任意の利用可能な情報に基づいて、信頼当事者機構１０８は、リライアンスサーバ１０４からの補助保証を含む１つまたは複数の二次認証１１８を要求すべきかどうかを判定する。この補助保証は、取引中の信頼当事者のリスクをいくらか低減するものであり、リライアンスサーバ１０４および／または認証局機構１０２が、与えられた補助（二次）保証の限界内で生じた損失を負担するという、これらの当事者による約束である。
【０１３５】
信頼当事者機構１０８は、一次認証１１０に記述された一次保証限界が信頼当事者機構１０８が望む保証よりも少ないと判定した場合、リライアンスサーバ１０４に補助保証を要求することができる。これを行う場合、信頼当事者機構１０８は二次認証１１８を求める要求１１６を構成し、この要求１１６をリライアンスサーバ１０４へ送信する。
【０１３６】
補助保証を得るように信頼当事者機構１０８によってリライアンスサーバ１０４へ送信される二次認証１１８を求める要求１１６は、図５に示す形式を有する。要求１１６は、加入者の公開鍵を含む一次認証１１０の識別子を含む。
【０１３７】
署名付き情報データ構造１１４に含まれる一次認証１１０には、補助保証が得られるリライアンスサーバ１０４と、一次認証１１０の中止および／または取消しの通知をどこにポストすべきかがリストされる。一次認証１１０中のリライアンスサーバ１０４のリストは実際のアドレスでも、あるいは実際のアドレスをリストしたネットワークサイトのプロキシ（ｐｒｏｘｙ）またはポインタでもよい。信頼当事者機構１０８は、認証にリストされたリライアンスサーバ１０４に補助保証を要求することも、あるいは他のリライアンスサーバ、おそらくこの信頼当事者が既存の関係を有するリライアンスサーバと連絡をとることもできる。二次認証１１８を求める要求１１６は、信頼当事者が実行すべき探索の範囲を示すことのできるフィールドを含む。信頼当事者機構１０８が要求１１６を送信するリライアンスサーバ１０４が要求を満たすことができない場合、（グローバル範囲を示すことにより）この探索範囲フィールドによって許可されている場合には、このリライアンスサーバは、この要求を満たすことのできる他のリライアンスサーバを見つけることができる。範囲フィールドによって許可されており（すなわち、範囲がグロ−バルであり）、かつ探索によって、要求を満たすことのできるリライアンスサーバが見つかった場合、最初のリライアンスサーバはこの要求を他のリライアンスサーバに転送することができる。一方、範囲がローカルに設定されている場合、リライアンスサーバ１０４は、要求を満たすことができない場合でも、他のリライアンスサーバに要求を渡すことはできない。
【０１３８】
要求メッセージ１１６は、以下のものも含む。
【０１３９】
１．（メッセージによって指定された）認証に関する警告を送信すべき場所である通知アドレス。このアドレスは、電子アドレス（たとえば、ｅメールアドレス）または何らかの他の形式のアドレスでよい。
【０１４０】
２．署名付き属性（署名付き情報データ構造１１４）。
【０１４１】
３．要求中の保証の種類を指定する要求タイプ。
【０１４２】
補助保証を求める信頼当事者の要求が満たされた場合、このことが二次認証１１８に記述される。二次認証１１８とは、リライアンスサーバ１０４または他の認証局機構１０２によって発行されデジタルに署名されるメッセージである。二次認証１１８は、以下のことを含め、取引の事実事項、状況事項、または義務事項を認証または保証することができる。
【０１４３】
１．公開鍵を有する人を識別する、認証認証など他の認証の正確さ。
【０１４４】
２．他の認証上のデジタル署名がルート認証側で終わる認証のチェーンを参照することによって、検証されたという事実を認証することによる、他の認証の真正さ。
【０１４５】
３．（可能なら、特に）取消しまたは中止の通知がどこにポストされるかを判定し、この位置を検査することによる、他の認証の妥当性。
【０１４６】
４．指定された本人による、指定された代理人への権限の授与。
【０１４７】
５．認可団体または専門団体によるある人の認可。
【０１４８】
６．法的実体または人為実体である人の存在および／または地位。
【０１４９】
７．義務の履行（この種の認証は、履行保証契約、または義務の履行を保証する信用状である）。
【０１５０】
二次認証１１８の妥当性は一般に、指定された時間と、通常は指定された額に関して制限され、リライアンスサーバ１０４と信頼当事者機構１０８によって合意された他の基準に応じて、指定された信頼当事者機構１０８、デジタル署名、または取引、指定されたＥＤＩ取引タイプまたは取引セットに制限することもできる。補助保証の規定が加入者機構１０６の他の補助保証の可用性を制限する場合、加入者は、所与の取引に規定された二次保証の額を制限することもできる。文書に署名する際に加入者機構１０６によって作成され（かつ要求メッセージ１１６に「署名付き属性」として組み込まれ）る書名付き情報データ構造１１４は、加入者機構１０６によってデジタルに署名され、取引の補助保証の可用性を指定された最大保証限界に制限するいくつかのフィールドを含む。信頼当事者機構１０８は、補助保証を要求する際に、所望の額および最小許容額を指定し、リライアンスサーバ１０４は、加入者機構１０６によって指定された最大額よりもこの所望の額が少ない場合には、所望の額の補助保証を与え、そうでない場合、加入者機構１０６によって指定された最大額の補助保証が、信頼当事者によって示された最小許容額を超えている場合にはこの最大額の補助保証を与える。加入者機構１０６によって指定された最大額が、信頼当事者機構１０８に受け入れられる最小額よりも少ない場合、リライアンスサーバ１０４はエラーメッセージを返し、信頼当事者にこの問題を加入者機構１０６に問い合わさせる。
【０１５１】
１．Ｂ．６ リライアンスサーバによる信頼当事者への要求処理
リライアンスサーバ１０４は、二次認証１１８を求める要求１１６を受信すると、特定の契約フォームと、信頼当事者が契約に同意したイベントとにリンクされた公開鍵を使用して信頼当事者のデジタル署名を検証することによって、信頼当事者機構１０８がシステムに登録されたかどうかを検査する。信頼当事者の登録の記録が見つからない場合、リライアンスサーバは、信頼当事者に契約を申し込み、信頼当事者がそれを受け入れた場合には、この契約を公開鍵にリンクする信頼当事者用の認証を作成する。信頼当事者のＩＤに関して得られる情報は未確認であり、そのまま維持される。
【０１５２】
信頼当事者がリライアンスサーバ１０４に登録された場合、リライアンスサーバは、信頼当事者が何を要求したかに応じて以下のことを行うことによって信頼当事者の要求を満たす。
【０１５３】
１．Ｂ．６．１ 信頼当事者が他の認証の正確さの保証を要求した場合
信頼当事者機構１０８が他の認証の正確さの保証を要求した場合、リライアンスサーバ１０４は、（認証のデジタル署名を認証のチェーンに沿って検証することによって）認証の現在の妥当性および認証の真正さを検査し、要求された保証が二次保証パラメータの範囲内であるかどうかを検査する。妥当性、真正さ、二次保証パラメータに照らして、他の保証を与えることができる場合、リライアンスサーバ１０４は、指定された認証の正確さを認証する二次認証１１８を発行する。
【０１５４】
１．Ｂ．６．２ 信頼当事者が他の認証の真正さの保証を要求した場合
信頼当事者１０８が他の認証の真正さの保証を要求した場合、リライアンスサーバは、他の認証にリストされた公開鍵を参照することによって認証上のデジタル署名を検証し、次いで上記の他の認証上のデジタル署名を検証する。このプロセスは、ルート認証側（認証局、たとえば、図２のルートＣＡを参照されたい）によって発行された認証で終わる認証のチェーンに沿って繰り返される。リライアンスサーバ１０４はまた、このような各認証を検査し、それが有効であるかどうかを判定する。有効な認証にリストされた公開鍵を参照することによってすべてのデジタル署名が検証された場合、リライアンスサーバは、他の認証の真正さを認証する二次認証１１８を発行する。
【０１５５】
１．Ｂ．６．３ 信頼当事者が他の認証の妥当性の保証を要求した場合
信頼当事者１０８が他の認証の妥当性の保証を要求した場合、リライアンスサーバは、妥当性情報がどこにポストされるかを認証から判定する。リライアンスサーバ１０４が妥当性情報のサイトである場合、リライアンスサーバ１０４はその認証妥当性データベースを検査する。認証がリライアンスサーバの認証局機構１０２から発行され、リライアンスサーバの加入者機構１０６によって受け入れられたが、中止されるか、あるいは取り消されるか、あるいは期限が満了していることをこのデータベースが示している場合、リライアンスサーバは、この認証の現在の妥当性を認証する二次認証１１８を発行する。
【０１５６】
１．Ｂ．６．４ 信頼当事者が代理人の権限の保証を要求した場合
信頼当事者機構１０８が代理人の権限の保証を要求した場合、リライアンスサーバ１０４は、委任状あるいは代理人の同様な証書または文書を、真正さを認証する二次認証と共に返す。
【０１５７】
１．Ｂ．６．５ 信頼当事者がある人の認可の保証を要求した場合
信頼当事者機構１０８がある人の認可の保証を要求した場合、リライアンスサーバ１０４は、その人の認可に関する認可団体または専門団体による陳述を、陳述の真正さを認証する二次認証１１８と共に返す。認可の陳述は、たとえば、ユタ法およびそれに基づく管理規則に記載された、認証局開示記録でよい。
【０１５８】
１．Ｂ．６．６ 信頼当事者が実体の存在および／または地位の保証を要求した場合
信頼当事者機構１０８が法的実体または人為実体の存在および／または地位の保証を要求した場合、リライアンスサーバ１０４は、この実体が存在し、適切な地位にあり、かつ他の点で営業を行う資格を有することを示す、この実体が組み込まれた官庁による陳述を返す。この陳述は、その真正さを認証する二次認証１１８に同封される。
【０１５９】
１．Ｂ．６．７ 信頼当事者が義務の履行の保証を要求した場合
信頼当事者機構１０８が義務の履行の保証を要求した場合、リライアンスサーバ１０４は、信用貸しが利用可能であり、加入者機構１０６と共に適切な準備が行われている場合には、信用状またはその他の保証または支払いの保証を発行する。
【０１６０】
リライアンスサーバ１０４は、自動的に、前に指定された基準に基づいて、二次認証１１８の発行を含めて上記の処置を実行する。
【０１６１】
上記の処置の実行は、システムの誤動作または故障時間と共に、いくつかの理由で失敗する可能性がある。可能なら、要求を満たすことができないとき、リライアンスサーバ１０４は、以下のようなエラーメッセージを信頼当事者機構１０８に返す。
【０１６２】
認証の期限満了のメッセージ
認証の期限が、それ自体の満了フィールドに従って満了したことを示す。
【０１６３】
認証の取消しのメッセージ
取消しの通知が、認証に指定された位置にポストされているか、あるいは要求された探索によって見つかったことを示す。このメッセージは取消しの日付を含む。
【０１６４】
認証の中止のメッセージ
中止の通知が、認証に指定された位置にポストされているか、あるいは要求された探索によって見つかった。中止の継続時間、中止の根拠または理由、中止をトリガするイベントに関する他の情報が得られる場合には、それも与えられる。
【０１６５】
探索の失敗のメッセージ
認証が見つからなかったことを示す。
【０１６６】
複数の認証が見つかったことのメッセージ
おそらく固有の同じ識別子によって２つの認証が識別された。このエラーはリライアンスサーバシステムの欠陥を示す。
【０１６７】
二次認証１１８に署名しそれを発行する場合、リライアンスサーバ１０４は、おそらく以下のうちの任意のものを含む他のある当事者１２４ａ〜１２４ｎへこの認証を送信することができる。
【０１６８】
ａ．保証を行うか、あるいは認証のリスクを負ううえで他の方法で助けとなる保険業者機構１２４ａ。
【０１６９】
ｂ．リライアンスサーバのデータベースのクローンであり、リライアンスサーバのデータベースのいたずらが確実に検出されるようにするフェイルセーフデータベース。
【０１７０】
他の当事者１２４ａ〜１２４ｎは、結果的に二次認証１１８上にデジタル署名を与える機能を実行する。一般に、使用される署名技法は多段階署名であり、「Ｍｕｌｔｉ−ｓｔｅｐ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｍｅｔｈｏｄ ａｎｄ Ｓｙｓｔｅｍ」と題するＳｕｄｉａの米国特許出願第０８／４６２４３０号に開示され記載されている。この出願は引用によって完全に本明細書に合体される。
【０１７１】
１．Ｂ．７ リライアンスサーバが取引の履歴を維持する
リライアンスサーバ１０４および／またはその代理人は、発行されたすべての二次認証の履歴を維持する。この情報は、認証の使用における異常を判定し、二次認証または更新認証を発行すべきかどうかを判定するうえで有用である。
【０１７２】
１．Ｂ．８ 加入者へのリライアンスサーバ勘定書
加入者勘定書
定期的に、最初の一次認証１１０またはその代替物のうちの１つが有効である間、この認証を保証するリライアンスサーバとして指定されたリライアンスサーバ１０４は、勘定状況の電子レポートを加入者機構１０６へ送信する。加入者は、加入者が希望する回数であるが、好ましくは月に１度以上、このような勘定状況レポートを受信する。勘定状況更新間隔を指定する１つのオプションによれば、加入者機構１０６がリライアンスサーバ１０４へ他の要求を送信したときにはいつでも加入者機構１０６に更新レポートが与えられる。このオプションによって、リライアンスサーバは、認証が発行されたリライアンスサーバ１０４からユーザが他の状況を得たときにはいつでも勘定書を追跡する。この情報には、たとえば、保証を高めるために他の人の認証または二次認証の現在の妥当性に関するレポートが含まれる。
【０１７３】
加入者が、勘定書が到着したときにそれをそのまま表示することを選択しないかぎり、各勘定書が外観上、加入者機構１０６への別々のメッセージのように見える必要はない。勘定書は、加入者機構１０６によってローカルデータベースに累積された情報を更新する。勘定書で受信された情報は、署名ごとにあるいは古い順に分類し表示することができる。後者の順序は、関連するデジタル署名が作成された日付、または特定の勘定書が受信された日付によって決定される。
【０１７４】
勘定書は、加入者機構１０６に以下の情報を報告する。
【０１７５】
１．加入者の（時間ベースの）認証の妥当性：加入者機構１０６に発行されたすべての（時間ベースの）認証を最も新しい認証からリストし、どの認証が現在有効であるかと、無効化された認証がいつ中断されたか、あるいは取り消されたか、あるいは無効化された認証の期限がいつ満了したかを示す。
【０１７６】
２．発行された二次認証：リライアンスサーバ１０４は、二次認証を発行すると、次の勘定書で二次認証の発行を報告する。この陳述は、二次認証が補助保証を含む場合には、額と、二次認証（識別された場合）を要求した人の名前と、保証人の名前などの詳細を含む。特に、知らない人が、予想されない方法で保証を使用した場合、ある種の状況では、偽造デジタル署名、または少なくとも予想されないデジタル署名が作成されたことを示す恐れがあるので、加入者機構１０６はこのレポートを使用して、問題が生じているかどうかを判定する。保証の使用状況を加入者が検討するのを容易にするために、デジタル署名には番号およびタイムスタンプが付加される。
【０１７７】
３．保証差引勘定：勘定書の保証部分は、適用される保証限界と、各限界に対してどれだけの保証が発行されているかも示す。加入者機構１０６は、二次認証が要求されていないデジタル署名を含む、作成されたデジタル署名と上記の情報を相関付ける。このようなデジタル署名は、満たされてない未解決の保証要件を表わし、加入者機構１０６は、このような満たされていない要件を残りの保証差引勘定で満たせるかどうかを評価することができる。
【０１７８】
４．保証の終了：保証の期限が満了するか、あるいは二次認証に対するクレームを提出する期限（もしあれば）が過ぎると、一次認証の保証差引勘定はそれに応じて増加する。勘定書はこのような増加を反映し、保証がいつ終了することに予定されているかを報告する。
【０１７９】
勘定書は、他の勘定取引や差引勘定など他の電子サービスに関する情報と、他の金融サービスおよび商業サービスに関する情報も返す。加入者機構１０６は、定期的な勘定書で報告されるすべての情報を、削除または保存するまで累積し続ける。
【０１８０】
勘定書は、問題を発見し解決するのに必要な情報を加入者機構１０６に返し、それによって認証サービスおよび保証サービスをリスクを管理するのを助ける。銀行の顧客が是正措置を見つけそれを実施することを怠ったために問題が生じた場合は、この顧客に対する銀行の責任が低減される。
【０１８１】
出来事追跡／勘定履歴
加入者に返される勘定書だけでなく、（最初の一次認証を含む）一次認証を発行する認証局機構１０２と、この一次認証に基づいて二次認証を発行するリライアンスサーバ１０４は、一次認証およびそれに従属する二次認証の履歴を追跡し、これらの認証に関するすべての出来事を記録する。出来事とは、イベント、あるいは勘定または一次認証の難点または問題を示すか、あるいはいくつかの例で、他の情報が得られる場合に無害であることを認証することのできる、最初の認証の保証に関する後で得られる情報である。出来事の重大さは、可能性の高い問題が予想される程度に応じて異なる。認証の証明に直接関係する出来事と、１〜５のスケール上での出来事の相対的な重大さには以下のものが含まれる。
【０１８２】
１．クレームの提出（レベル５）：信頼当事者が二次認証に基づいてクレームを提出するか、あるいはシステム１００で発行された認証に基づいて要求を出すか、あるいは訴訟を開始する。
【０１８３】
２．詐欺または同様な申立て（レベル５）： 民事訴訟または刑事訴訟、調停、あるいはその他の紛争または調査の当事者が、加入者機構１０６が詐欺、不実表示、またはその他の虚偽の陳述を犯したと申し立てる。
【０１８４】
３．中止または取消しの要求（レベル１）：加入者機構１０６が認証局機構１０２に時間ベースの認証を中止するよう求める。中止または取消しが繰り返される場合は、専用鍵のセキュリティを維持するうえでの望ましい注意が欠けていることを示す。
【０１８５】
勘定履歴は、単一の加入者の認証に関するできるだけ多くの情報を累積する。この情報は、ある時間にわたり、かついくつかの異なる認証局およびリライアンスサーバについて、同じ加入者機構１０６の複数の一次認証およびその他の認証に関して収集される。この情報は、リライアンスサーバや、裁判所などの外部情報源からも得られる。
【０１８６】
一次認証を発行する認証局とリライアンスサーバは共に、この情報を追跡し、出来事レポートメッセージを交換し、ルート認証局の指示の下で互いに更新し合うと共に中央勘定履歴データベースを更新する。情報はオンラインで保持され、システム１００に関して指定された勘定履歴保持スケジュールの規定に応じて保存される。
【０１８７】
リライアンスサーバ１０４と認証局機構１０２との間で交換される情報には、
１．認証取消しリスト（ＣＲＬ）１２８
２．認証中止または取消し通知１２６
３．発行済み認証リスト１３０
４．発行済み保証レポート１３２
５．認証例外レポート１３４
６．保証超過レポート１３６
加入者機構１０６、すなわち出来事の主体に認証を誠実に発行する認証局機構１０２と、このような認証局の親認証局と、主体加入者の勘定上で二次認証を発行するリライアンスサーバ１０４とルート認証局以外の人に、出来事レポート、および出来事レポートから累積されるかあるいは得られた記録を開示することはできない。また、勘定履歴情報は、ある種の法的システムにおける可用性をさらに制限するか、あるいは勘定履歴情報の加入者機構１０６への開示を求める法的データ保護要件に従う。
【０１８８】
１．Ｂ．９ 課金および支払い
前述のデジタルメッセージ（取引１１２および要求１１６）には、様々な当事者の間の契約に従ってコストを割振りかつ支払うことを可能にする価格支払い認可情報が含まれる。システム１００は、コストを他の当事者に回し、これらの当事者の決定に応じて割り振ることを可能にするうえで融通が利く。特に、リライアンスサーバ１０４による認証または取消し通知の公開手数料を認証局１０６または加入者機構１０６によって支払うことができ、二次認証の手数料は加入者機構１０６または信頼当事者機構１０８によって支払うことができる。信頼当事者および加入者は、リライアンスサーバ１０４に要求することによって自動的に価格表を得ることができる。
【０１８９】
例
たとえば、ある認証局Ｃｅｄｒｉｃが、Ｓｕｓａｎという名の加入者に、Ｓｕｓａｎとの契約の規定に従って認証Ｃｅｒｔ−１を発行するものと仮定する。Ｃｅｒｔ−１は、それが「Ｔｙｐｅ Ｃ」リライアンスサーバシステムと共に使用されることを指定し、また、暗号化されたＣｅｒｔ−１の公開鍵も指定する。Ｃｅｒｔ−１保証限界０ドルを指定する。言い換えれば、Ｃｅｒｔ−１ではリライアンスが許可されていない。Ｃｅｄｒｉｃは、加入者ＳｕｓａｎにＣｅｒｔ−１のコピーを与え、Ｓｕｓａｎはこのコピーを受け入れる。Ｃｅｒｔ−１は、０ドル保証限界に鑑みて基本的に信頼できないものなので、その基本的な用途は、信頼当事者をリライアンスサーバへ知らせることである。Ｓｕｓａｎとの契約の規定に応じて、ＣｅｄｒｉｃはＭａｒｇａｒｅｔ、すなわちリライアンスサーバと共にＣｅｒｔ−１を公開する。
【０１９０】
Ｍａｒｇａｒｅｔは、新しい認証勘定と、Ｓｕｓａｎの認証に関するＭａｒｇａｒｅｔの認証妥当性データベースへの入力とを確立し、Ｃｅｄｒｉｃから与えられた情報に基づいて、二次認証の自動発行を支配するパラメータを設定する。その後で、ＭａｒｇａｒｅｔはＳｕｓａｎに最初のメッセージを送信し、公開が完了しており、Ｓｕｓａｎが定期的な勘定書の受信を期待できることを知らせる。
【０１９１】
Ｓｕｓａｎは、ある商品を１００００ドルで購入することを申し出るオファーをＰｅｒｒｙへ送信する。Ｓｕｓａｎはこのオファーにデジタルに署名し、Ｃｅｒｔ−１のコピー、すなわち鍵なしバージョンを付加する。
【０１９２】
Ｐｅｒｒｙは、Ｓｕｓａｎのオファーが真正であるかどうかを判定するために、検証機構を実行する。この機能は、認証中の公開鍵によってデジタル署名を検証できる可能性が高いが、認証が０ドル保証限界を有しており、かつＭａｒｇａｒｅｔから補助保証が得られることを報告する。Ｐｅｒｒｙは、１００００ドル以上の額の認証に対する補助保証を求める要求をＭａｒｇａｒｅｔへ送信する。Ｍａｒｇａｒｅｔのシステムは二次認証Ｃｅｒｔ−２で応答する。Ｃｅｒｔ−２は、Ｃｅｒｔ−１を含み、その正確さおよび信頼性が、Ｐｅｒｒｙおよびその指定代理人のみに対して、かつＳｕｓａｎのオファー上のデジタル署名のみのために、１００００ドルの額だけ保証されることを指定する。Ｓｕｓａｎは自分の勘定からのＣｅｒｔ−２の支払いを許可していないので、Ｐｅｒｒｙは二次認証の発行のためのＭａｒｇａｒｅｔの手数料を支払う。
【０１９３】
Ｍａｒｇａｒｅｔのシステムは、Ｐｅｒｒｙが受信した二次認証を発行するために、Ｐｅｒｒｙの要求を解析し分析し、Ｃｅｒｔ−１の妥当性を検査し、Ｃｅｒｔ−１のデジタル署名およびその他のデジタル署名を認証認証チェーンに沿って検証することによってＣｅｒｔ−１の真正さを検査し、Ｓｕｓａｎの認証勘定に関して指定されたパラメータに対して要求された補助保証額を検査した。すべての検査が肯定結果を返した後、ＭａｒｇａｒｅｔのシステムはＣｅｒｔ−２を発行した。
【０１９４】
Ｐｅｒｒｙが、誰かの代理としてオファーを行うＳｕｓａｎの権限、またはこのウィジェットの代金として１００００ドル支払うＳｕｓａｎの能力を懸念した場合は、追加の補助保証を得ることができる。ＰｅｒｒｙはＳｕｓａｎがオファーを行うことを許可する委任状のコピーを得ると共に、価格の支払いを保証する信用状をＭａｒｇａｒｅｔ（またはＭａｒｇａｒｅｔが銀行でない場合にはＭａｒｇａｒｅｔの銀行）から得ることができる。デジタル署名が検証されたときは、補助保証を要求する必要はない。信用状を得ることは、たとえば、ＰｅｒｒｙがＳｕｓａｎのオファーのデジタル署名付き承諾書をＳｕａｎへ送信した後に行った方がよりタイムリーである。
【０１９５】
１．Ｂ．１０ 認証の中止および取消し
中止および取消しは、加入者機構１０６および認証局機構１０２が、認証の期限が満了する前にその認証の責任およびリスクから自分たちを解放する手段である。取消しは認証の妥当性を永久的に終了し、中止は認証の妥当性を一時的に中断する。認証が無効である間、加入者機構１０６は専用鍵を保護する法的義務を負わず、認証中の認証局機構１０２の表示は表示以外の効果を有さず、認証に対するリライアンスはほぼ確実に不合理なリライアンスになる。
【０１９６】
しかし、認証はその通し番号で識別できるので、中止または取消しの通知は通常、加入者機構１０６のＩＤを含む必要がない。システム１００では、認証に指定された位置での公開によって、その通知はリライアンスサーバ１０４へ送られる、どのリライアンスサーバ１０４が着信通知を受信し処理するかは、中止または取消しの通知がポストされる位置として認証に指定された位置に依存する。
【０１９７】
１．Ｂ．１１ 中止プロセス
各リライアンスサーバ１０４は認証妥当性データベース、好ましくは、認証局から受信した中止および取消しのすべての通知を累積しオンラインで利用できるようにする高速リレーショナルデータベースを維持する。ユーザは認証状況データベースを手動でブラウズするか、あるいはこのデータベースに手動で問い合わせ、特定の認証の中止または取消しの通知を探索するが、より高いレベルの効率および保証を得るには、中止または取消しの通知が保存されていないことを示す認証を得ることができる。言い換えれば、リライアンスサーバ１０４は、要求に応じて、ある日時までにリライアンスサーバ１０４と共に公開された累積通知に、指定された認証の取消しに関する通知が含まれておらず、かつこの日時に効力を有する中止の通知が累積通知に含まれていないことを確認する認証を自動的にかつ高速に発行する。
【０１９８】
認証局機構１０２は、要求側のＩＤ、要求側の加入者機構１０６との関係（要求側が加入者でない場合）、要求の日時、要求の理由または関連事実、その他の関連状況、要求された中止の継続時間を記述した中止要求を受信しログする。認証局機構１０２は、要求と共に与えられた情報の正確さを確認する義務を有さない。しかし、加入者機構１０６と認証局機構１０２との間の契約で許可されている場合、認証側は、いたずらまたは詐欺とみなされる状況で中止を調査するか、あるいは差し控えるか、あるいは制限することができる。
【０１９９】
認証局機構１０２は、中止または取消しの通知がポストされる位置として認証にリストされたリライアンスサーバ１０４と共に中止の通知１２６を生成し公開する。
【０２００】
リライアンスサーバ１０４は、中止およびその継続時間を示すように認証状況データベースを更新する。中止がすでに実施されている場合、リライアンスサーバは１０４は最新の通知上の情報を反映するように認証状況データベースを変更する。
【０２０１】
リライアンスサーバ１０４は常に、あらゆる中止と、中止に対するあらゆる見掛け上の異常または不規則性とを、当該の認証を発行した認証局機構１０２に報告する。
【０２０２】
認証局機構１０２は、送信された通知と、リライアンスサーバ１０４から返された肯定応答とを含むように認証局機構自体の記録を更新する。
【０２０３】
中止は、指定された中止継続時間が経過したときに自動的に終了する。不定期間にわたる中止は、その根拠が確認されないにもかかわらず、信頼当事者が取引をクローズしたり進めるのを妨げる。認証局機構１０２と加入者機構１０６との間の契約は一般に、不定期間にわたる未確認要求による中止を防止する。中止を実施した通知で計画されている終了時間よりも前に中止を終了する場合、認証局機構１０２は、中止を作成するプロセスに類似したプロセスに従う。すなわち、認証局機構１０２は要求を受信しログし、リライアンスサーバ１０４に通知する。リライアンスサーバ１０４は認証情報データベースを更新する。
【０２０４】
１．Ｂ．１２ 取消し
取消し通知を受信したリライアンスサーバ１０４は、認証の取消しを示すように認証状況データベースを更新し、肯定応答を返し、公開側認証局機構１０２に報告する。リライアンスサーバ１０４は、重複した取消し通知または後続の取消し通知を受信した場合、この第２の要求をログするが、認証状況データベースには他の変更を加えず、エラーメッセージを返す。リライアンスサーバ１０４は常に、あらゆる取消しと、取消しに対するあらゆる見掛け上の異常または不規則性とを、当該の認証を発行した認証局機構１０２に報告する。
【０２０５】
待機認証申込み（後述）が利用可能であり、安全に維持されている場合、文書を犠牲にするか、あるいは認証局の義務をショートカットして取消し要求を確認することなしに、前述の取消しプロセスを自動的に行うことができる。待機申込みに基づいて新しい認証が発行された後、加入者機構１０６は、取消しを求めるデジタル署名付き要求を発行することができ、加入者機構のデジタル署名は、待機申込みに基づいて新たに発行された認証を参照することによって確認することができる。このような取消し要求は自動的に処理することができるが、待機申込みプロセスを介して加入者機構１０６を再認証することができないか、あるいは何らかの理由で、有効な認証によって検証できるデジタル署名を作成する残りの機能を加入者機構１０６が有さない場合、認証局機構１０２はデジタル署名以外のある手段、すなわち、上記で概略的に説明したステップを実施する場合に通常、手動プロセスを必要とする手段を使用して取消し要求を確認しなければならない。
【０２０６】
１．Ｂ．１２．１ 二次認証の中止および取消し
リライアンスサーバ１０４は、二次認証を発行した後、時間ベースの認証に関して上述したように認証を中止するか、あるいは取り消すことができる。加入者が認証を中止するか、あるいは取り消す最も一般的な理由、すなわち、専用鍵のセキュリティが危険にさらされることは、一次認証全体に影響を与えるので、加入者機構１０６はほぼ常に一次認証を中止するか、あるいは取り消す。リライアンスサーバ１０４は、一次認証に基づいて発行されたすべての二次認証をただちにかつ自動的に取り消すが、このような取消しは通常、手遅れである。
【０２０７】
一般に、信頼当事者は、デジタル署名を信頼する直前に二次認証を要求する。信頼当事者が二次認証を受信し信頼した後、二次認証を取り消しても、あるいはこの場合には一次認証を取消しても手遅れであり、それほどの効果は得られない。このような取消しは、同じあるいは他の当事者によるさらなるリライアンスを妨げることができるが、この時点では信頼当事者の権利が確定しており、根拠デジタル署名がこの後で信頼できないものになるにもかかわらず、このような権利を与えることができる。
【０２０８】
さらに、二次認証を発行し、その直後に取り消すことは、信頼当事者をだましたか、あるいは信頼当事者に誠意を尽くさなかったとみなされる恐れがある。システム１００の規則および信頼当事者との契約により、認証が発行されてから５分以内に信頼当事者１０４が認証を取り消すことは妨げられる。
【０２０９】
したがって、実際には、二次認証の中止または取消しは、加入者機構１０６または認証局を損失を受けないようにするのに間に合わない。従って、システム１００では二次認証を取り消すことができ、実際に二次認証が取り消されるが、認証が失敗したことに基づいて損害を防ぐ主要な手段は、一次認証の中止および取消しである。
【０２１０】
１．Ｂ．１３ 時間ベースの認証の期限満了および置換
時間ベースの認証は、それに指定された有効期間の終了時に期限が満了する。期限満了は、時間ベースの認証に期限満了に関して指定された時間でいずれかの当事者の側での肯定行為なしに自動的に行われる。認証の状況に関する完全な情報を信頼当事者に与えるために、認証状況データベースに期限満了に関する情報が含められる。
【０２１１】
同じ加入者機構１０６を識別するが新しい公開鍵をリストした新しい認証を発行し受け入れることによって、期限が満了した時間ベースの認証を置換することができる。技術の向上により、累積された暗号文が得られるようになることによって鍵対へのアクセスが容易になり鍵対のセキュリティが脅かされるので、時間ベースの認証で認証される暗号鍵対は限られた寿命を有する。したがって、期限の満了した古い認証を、その古い公開鍵と共にそのまま再発行すべきではない。
【０２１２】
同じ加入者機構１０６に置換認証を再発行するプロセスは、最初の認証を発行する場合とほとんど同じである。ただし、前の認証中の情報を確認するために得られる証拠が、新しい認証中の情報を確認するうえで助けとなるので、置換認証の方が確認が容易である。古い情報は更新する必要があり、認証局機構１０２は常に、不正確な表示に注意すべきであるが、累積された勘定履歴を有する既存の情報ベースを使用すると、後続の認証の再発行は、認証局機構１０２にとってより簡単で廉価で危険の少ないプロセスになる。適切に確認された新しい認証の発行は、実際の契約がない場合には困難であるか、あるいは危険を伴うが、問題のない勘定で保証レベルをそれほど増大せずに置換認証を再発行することは、古い認証の期限が満了する前に電話またはデジタル署名付き要求によって適切に行うことができる。
【０２１３】
１．Ｂ．１４ 時間ベースの認証の自動置換
時間ベースの認証の置換は最初の発行よりも自動化に有用であるので、いくつかの時間ベースの認証は、かなり短い有効期間を有するが自動的に置換することができる。自動置換機能を含む短い初期有効期間は、特に以下のことに対処することができる。
【０２１４】
実験的な加入者：何人かの加入者は、デジタル署名および認証が価値を有するか、あるいは加入者のニーズを満たすかについて確信をもてない。
【０２１５】
神経質な加入者：短い有効期間によって、専用鍵を長期間にわたって安全に保持すること、または電子商取引のその他のリスクに関する不安が軽減されるが、加入者機構１０６は、おそらく安心感が増すにつれて、有効期間を従来型の方式で拡張することができる。
【０２１６】
履歴の欠如：そのコミュニティに新たに参加したか、あるいは関連する履歴をほとんど有さないような加入者は、よく知られている申込み者よりも大きなリスクを与える。短期的で置換可能な認証を使用することによって、比較的未知の加入者機構１０６にトラック記録を追跡する機会が与えられる。
【０２１７】
不安定性：更新を必要とする情報をリストした認証は、この認証の加入者が認証を置換し認証済みの情報を更新することができるように短期間で満了させることができる。
【０２１８】
さらに、おそらく最も重要なこととして、短い有効期間は、専用鍵が危険にさらされることによる損失のリスクを制限する。加入者の（専用鍵を含む）デジタル署名機能の再生成が頻繁になればなるほど、対応する認証の寿命が短くなるので、特定の専用鍵を保護できない危険性は低くなる。
【０２１９】
しかし、自動置換は多くの場合、有利であるが、認証局機構１０２は、すべての可能な状況で時間ベースの認証の自動置換を許可すべきではない。自動置換を許可すべきかどうかと、どんな状況で許可すべきは、認証を発行した認証局機構１０２の裁量にある程度委ねられ、この場合、認証局機構１０２は、保証に関して置換の影響を受けるリライアンスサーバ１０４および保険業者と協働する。加入者機構１０６の各勘定ごとに、認証局機構１０２は、時間ベースの認証を自動的に置換できる回数を示すフィールドを含み、このフィールドの値は、自動置換プロセスが成功したときに減分される。このフィールドがゼロである場合、認証局機構１０２は自動置換プロセスを初期設定しない。この値は最初、置換中の認証を発行した認証局機構１０２によって設定される。システム１００では、（自動認証置換を許可すべきかどうかと、どんな環境で許可すべきかとに関する認証局機構１０２の）裁量は限られており、システム１００は、以下の場合に自動置換を妨げる。
【０２２０】
識別情報の変化：リライアンスサーバおよび認証局データベースのある種のフィールド、特に、加入者機構１０６を識別する情報を含むフィールドを、自動認証置換プロセスによって更新することができない。加入者の申込みにおける識別情報が、すでにリライアンスサーバデータベースに存在する情報と一致しない場合、この申込みは発行側認証局機構１０２へ経路指定され、そこから登録者へ経路指定される。登録者は、加入者機構１０６と連絡を取り、識別情報の変化を確認することができる。
【０２２１】
保証の増額：認証局機構１０２またはリライアンスサーバ１０４は（保険業者と協働して）、自動的に置換された認証中の保証の増額を拒否するか、あるいはソフトシーリングおよびハードシーリングならびに保証限界に関して指定されたその他の要件に従って自動置換による増加額を制限することができる。
【０２２２】
認証機能の欠如：置換認証の発行は、新しい認証にリストすべき情報が連続的に正確であることと、加入者が新しい認証の受け入れたことに関する適切な文書に基づいて行わなければならない。認証を電子的に置換する場合、加入者機構１０６は申込みおよび受入れを認証しなければならない。置換すべき認証がもはや有効ではなく、加入者機構１０６には、認証置換に関する他の有効な認証認証または待機申込み（後述）が存在しない場合、この加入者はもはや電子手段によってこの認証を置換することはできない。
【０２２３】
問題のある履歴：リライアンスサーバおよび中央レポジトリと相関付けされた認証局機構１０２の勘定履歴記録には、認証局とリライアンスサーバ１０４との契約に指定された重大さのレベルまでの出来事がリストされる。言い換えれば、認証局機構１０２とリライアンスサーバ１０４は、ある出来事がある重大性レベルを有することが判明した場合に自動置換を処理しないことに合意する。
【０２２４】
リライアンスサーバ１０４は、最初の認証を自動的に置換できる回数を追跡する。この数はゼロであってよい。中止および取消しと同様に、認証の自動置換機能は最初、この認証を発行した認証局機構１０２によって決定され、リライアンスサーバ１０４で公開され、リライアンスサーバ１０４から、勘定書を受信する加入者機構１０６を含むエンドユーザに与えられる。認証を自動的に置換することができない場合、その加入者機構１０６は、前述のように新しい認証の発行を申し込むことができる。
【０２２５】
時間ベースの認証を自動的に置換する場合、加入者機構１０６、認証局機構１０２、リライアンスサーバ１０４は以下のように相互作用する。
【０２２６】
加入者が置換プロセスを開始：加入者機構１０６は加入者の認証の妥当性を追跡し、期限が満了するときにこの認証を置換することを選択する。加入者機構１０６は、リライアンスサーバ１０４からの勘定書を通して認証の取消しまたは中止について知り、次いで待機申込みを使用して置換を開始する。加入者機構１０６がシステムを使用する際、たとえば、加入者機構１０６が、署名の検証を可能にする有効な認証なしでデジタル署名を作成することを試みる際に、加入者の任意選択でプロンプトを与えることができる。
【０２２７】
加入者による新しい認証の申し込み：加入者機構１０６は、置換プロセスをトリガした後、古い認証中の情報をリストした新しい申込みを作成する。加入者機構１０６は申込みフォームを見直し、必要な変更を加え、次いで新しい鍵対を生成し、この公開鍵とサンプルデジタル署名を申込みに含める。次いで、加入者機構１０６は、加入者の古い認証の専用鍵が依然として有効である場合にはそれを使用して申込みにデジタルに署名する。申込みは、認証にリストされるすべての情報を含み、かつこの情報を加入者機構１０６に提示するので、加入者機構１０６も、この申込みで発行される認証を受け入れる。次いで、加入者機構１０６は、置換すべき認証を発行した認証局機構１０２と、この認証に指定されたリライアンスサーバ１０４との間の契約に応じて、そのどちらかへ置換申込みを送信する。置換が申し込まれた場所は、加入者機構１０６が認証を受け入れ最初の勘定書を得たときに、加入者のシステムに記憶される。
【０２２８】
認証局機構１０２またはリライアンスサーバ１０４が新しい認証を発行：認証局機構１０２は申込みを検査し、それを自動的に処理できる場合は、その申込みから新しい認証を作成し、それにデジタルに署名する。認証局機構１０２は、認証を発行する場合、すべて人間の介入なしに、この認証を転送しリライアンスサーバ１０４と共に公開する。リライアンスサーバ１０４は、認証を発行する場合、置換された認証を発行した認証局機構１０２との契約の必要に応じて、この認証局機構１０２に通知する。自動置換が許可されていない場合、置換申込みは、レジスタによって処理されるように転送される。
【０２２９】
リライアンスサーバ１０４は、認証を公開し、新しい一次認証およびその新しい期限満了日を示すように加入者の認証状況データベース記録を更新し、リライアンスサーバ１０４と一次認証を発行した認証局機構１０２との間の契約に応じて保証限界を調整する。リライアンスサーバ１０４は、認証を公開した認証局機構１０２に対して受信およびレポートの更新を肯定応答し、次の勘定書を発行する際にシステムによって維持されている加入者の記録を更新する。
【０２３０】
自動置換は基本的に、置換中の時間ベース認証、保証限界およびその監視、加入者機構１０６が登録されてから累積されている勘定履歴記録に基づいて行われる。自動置換は、これらのプロセスを最大限に活用し、実際、累積された証拠に照らして認証勘定の解除または中断が認可されないものとみなされるときには解除または中断を妨げる。しかし、自動置換プロセスは認証期限満了を無効化するので、認証の中止および取消しはますます重要になる。
【０２３１】
１．Ｂ．１５ 待機申込みを使用した自動置換
認証を自動的に置換できるのは、その加入者機構１０６が、新しい認証にリストすべき情報を電子的にかつ確実に認証し、それを受け入れることができる場合だけである。というのは、置換を発行した認証局機構１０２は、新しい認証中の情報を確認したこと、および新しい認証を受け入れたことを文書化しなければならないからである。加入者機構１０６に有効な認証が残っていない場合、加入者にはもはや十分に信頼できるデジタル署名を作成することはできない。
【０２３２】
この問題を軽減するために、加入者機構１０６は、新しい鍵対の認証を求めるデジタル署名付き待機申込み、すなわち、新しい認証を得るために使用することのできる申込みを、この申込み中の重大なデジタル署名付き情報を更新する必要がない場合に記憶する。
【０２３３】
加入者機構１０６が新しい最初の認証を申し込むと、システムは２つの申込みを作成する。一方は、新しい認証を発行するために認証局機構１０２へ転送され、他方は、暗号によって同封され、待機申込みとして加入者のシステムに記憶される。この待機申込みは、加入者のシステム上の他の公開鍵とは異なるこの申込み自体の公開鍵を含み、対応する専用鍵が加入者のシステムの安全な場所に記憶される。
【０２３４】
待機申込みは、専用鍵によってデジタルに署名され、この専用鍵は、待機申込みに署名するために使用された直後に破棄される。対応する公開鍵は、この待機申込みに関してのみ有効な取引認証に含まれ、主申込みと共に認証局機構１０２へ転送される。加入者機構１０６が取引認証中の公開鍵を使用して検証する必要のある待機申込みを加入者機構１０６が送信する場合、認証局機構１０２はこの取引認証をファイルに保存する。
【０２３５】
加入者機構１０６が、既存の有効なデジタル署名機能によってデジタルに署名された通常の申込みでは認証を置換できない場合、加入者機構１０６は待機申込みを使用することができる。加入者機構１０６は、未解決でありかつ確認可能である有効な認証がないこを検出し、したがって、加入者機構１０６を識別する重大な情報が変更されてないかぎり、待機認証を使用する。待機認証中の識別情報が依然として正確である場合、加入者機構１０６は加入者の認証局機構１０２へ待機申込みを送信し、認証局機構１０２は、このような状況のためにファイルに保存された取引認証を参照することによって申込み上のデジタル署名を検証する。次いで、認証局機構１０２は、待機申込み中に示された公開鍵をリストした新しい時間ベースの認証を発行する。次いで、加入者機構１０６は、待機申込みに基づいて認証が発行される場合に使用できるように記憶された専用鍵をアンラップ（ｕｎｗｒａｐ）する。
【０２３６】
加入者機構１０６は、待機申込みを使用して新しい認証を得た後、新しい通常の申込みを送信し、加入者の認証の期限が満了する前の任意の時点でこの認証を置換することができる。通常の申込みを作成し送信するプロセスは、新しい待機申込みおよび待機専用鍵を作成し安全に記憶する。
【０２３７】
待機申込みに基づく新しい認証のイベントトリガ発行は、待機申込みが認証局機構１０２へ送信される。詐欺を行う人に認証を発行する機会を最小限に抑えるために、申込みに応答して発行される認証は常に、前の認証を発行する際に識別された人を加入者機構１０６としてリストする。待機申込みを送信すること自体が他の未解決の認証に影響を与えることはない。ただし、加入者機構１０６は新しい認証を使用して、認証できる他の認証の取消しを要求することができる。
【０２３８】
加入者機構１０６と認証局機構１０２との間の契約によって、待機申込みの使用を制限するか、あるいは妨げることができる。しかし、待機申込みおよび自動置換を使用することは、おそらく大部分の加入者にとって好都合であり、時間ベースの認証の有効期間を短縮することを可能し、特定の専用鍵を保持することのリスクを制限する。
【０２３９】
１．Ｂ．１６ リスクに関するコメント
リスクとは基本的に、ある人が損失を受ける機会であり、その最大値は潜在的な損失の額に等しい。リスク管理は基本的に、主として（１）確率および潜在的損失を最小限に抑えること、および（２）効率的になくすことのできないリスクを分散することからなる。リスクを最小限に抑えるための最善の努力にもかかわらず、通常、損失の可能性は残る。この残留リスクを負担する最良の方法は、リスクが、単一の企業に破滅をもたらす機会ではなく適度な既知のコストにになるように、同様な状況を有する多数のリスク負担者の間に分散することである。好ましい実施形態では、上記の技法および規定された慣習または推奨される慣習によってリスクが最小限に抑えられ、保険業者が、保険、共同出資制度、および残留リスクを広範囲に分散するその他の技法によって認証局およびその他の当事者の間にリスクを分散する。
【０２４０】
多次元妥当性限界および２段階認証によって、システムは、リスクにさらされる可能性を厳密に調整し、同時に各信頼当事者のニーズに合わせて調整された高度の保証を与えることができる。一般に、最初の認証およびその置換認証は、ほとんどあるいはまったく保証されていないが、要求に応じて、最初の認証に基づき、より高度に保証された二次認証をリライアンスサーバから得ることができる。カスタマイズされた二次認証中の保証の範囲を定義することによって、信頼当事者は、デジタル署名に与えられる保証の厳密な範囲を明確に理解することができる。また、これにより、システムは保証の他方の面、すなわち、システムの参加者が責任を負うリライアンスのための損失が生じるリスクを管理することができる。
【０２４１】
２．第２の実施の形態
２．Ａ 第２の実施の形態の概要
本発明の第２の実施の形態による電子取引システム２００の概要を図６を参照して説明する。認証局２０６の階層内のある認証局、あるいはいくつかのスポンサー２０８のうちの１つから、１つまたは複数の認証２０４が加入者２０２に発行される。この認証は、加入者２０２を識別するか、あるいは加入者２０２によるある種の取引を認可するように働くことができる。認証（または認証から得た関連情報）のコピーがレポジトリまたはディレクトリ２１０に配置される。各認証局およびスポンサーは、それ自体のディレクトリ２１０を有することも、あるいはディレクトリ２１０を共用することもできる。
【０２４２】
加入者の認証のうちで、加入者を識別しかつ取引の妥当性を確認し認可するのに必要な認証（または加入者の認証の固有の識別子）を含む取引を形成し、この取引にデジタルに署名し、次いでこの取引２１４を当事者２１２（以下では信頼当事者２１２と呼ぶ）へ送信することによって、加入者２０２は信頼当事者２１２と取引を行う。
【０２４３】
信頼当事者２１２は、署名付き取引２１４を受信すると、できるだけ多くの取引２１４を検証するか、あるいは検証する必要のある取引２１４だけを検証し、次いでメッセージ２１６を構成する。次いで、このメッセージがリライアンスマネージャ２１８へ送信される。メッセージ２１６は、署名保証要求（ＳＧＲ）メッセージ、状況検査メッセージ（ＳＣＭ）、限界超過保証（ＯＬＧ）要求、不信頼要求メッセージ（ＵＲＭ）を含む、様々な種類のメッセージのうちの１つでよい。ＯＬＧ要求は、ＲＣＭが拒否された場合に出される。これらのメッセージによって、ユーザは任意選択で、加入者のリライアンス限界の増額を要求することができる。
【０２４４】
好ましくは、リライアンスマネージャ２１８がどのタスクを実行すべきかがわかるように、各メッセージ２１６に目的フィールドが含められる。ＳＧＲは、信頼当事者２１２が、（取引２１４から得られた）メッセージと共に含まれるある情報を信頼することをリライアンスマネージャ２１８に伝え、この情報が信頼できることを検証し、検査結果を保証するようにリライアンスマネージャ２１８に求める。たとえば、ＳＧＲは、信頼当事者２１２がＳ２００取引に関するある認証を信頼するか、あるいはその必要があることを明示することができ、リライアンスマネージャ２１８は、この取引がこの額に関して良好であることを検査するように要求される。
【０２４５】
状況検査メッセージはＳＧＲと形式が類似している。ただし、信頼当事者２１２は、実際には保証を要求せず、このような保証が要求された場合に与えられることを示すに過ぎない。
【０２４６】
限界超過保証要求は、第１の実施の形態のリライアンス要求とほとんど同じである。しかし、信頼当事者２１２は、ＯＬＧ要求が必要であることを示すものが認証中になくてもこのような要求を出すことができる。
【０２４７】
メッセージ２１６がＳＧＲまたはＳＣＭであるときは、リライアンスマネージャ２１８が取引２１４中の加入者情報を検証するのに十分な情報を含む。信頼当事者２１２は、取引の範疇と、信頼当事者が信頼する取引２１４（あるいは、より厳密には、取引２１４に関連する認証）中の加入者の情報の態様とをメッセージ２１６に指定することもできる。
【０２４８】
前述のように、信頼当事者２１２はできるだけ多くの取引２１４を検証することも、あるいは検証する必要のある取引２１４だけを検証することもできる。したがって、たとえば、信頼当事者２１２は取引内のすべての署名、認証、属性値を検証し、次いで単に、リライアンスマネージャ２１８に認証通し番号をＣＲＬと突き合わせて検査することを要求することができる。別法として、信頼当事者が取引２１４全体をリライアンスマネージャ２１８へ送信して検証させ、信頼当事者自体は何も行わなくてもよい。リライアンスマネージャ２１８によって実行される検証サービスのコストは、リライアンスマネージャが実行することを要求される作業の量に依存する。
【０２４９】
リライアンスマネージャ２１８は、信頼当事者２１２からメッセージ２１６を得ると、まずどんな種類のメッセージを受信したかを判定する。メッセージがＳＧＲまたはＳＣＭである場合、リライアンスマネージャ２１８は、取引２１４において加入者２０２から信頼当事者２１２に与えられた認証中の情報の検証を試みる。この情報を検証する場合、リライアンスマネージャは、認証局２０６およびスポンサー２０８と共に検査を行うか、あるいはすでにこのような当事者、または他の場所、たとえばディレクトリ２１０から得ている情報（たとえば、ＣＲＬまたは前の検査で得られた情報）を信頼することができる。
【０２５０】
リライアンスマネージャ２１８は各認証局２０６およびスポンサー２０８の累積責任を追跡し、各認証局２０６およびスポンサー２０８にこの責任を定期的に知らせる。この通知の定期性は、リライアンスマネージャ２１８と各当事者の間の取決めに依存するか、あるいは取引または責任の種類または規模に依存することができる。たとえば、ある場合、認証局は、ある金額を超える取引、特定の実体による取引、認証局の累積責任がある価額を超える原因となる取引、１日のある時間での取引、これらおよびその他の条件の組合せなど、ある種の取引の通知をただちに受ける必要がある。このように、認証局２０６およびスポンサーは、必要に応じて、これらの取引に対する責任を保証するためにただちに行動することができる。
【０２５１】
複数のリライアンスマネージャ２１８が存在することがあり、いくつかの異なる取引２１２または同じ取引２１４のいくつかの異なる部分をそれぞれの異なるリライアンスマネージャによって検証する必要がある場合がある。様々なリライアンスマネージャ２１６に、未解決の各認証に関連する累積責任を追跡させるために、グローバル責任追跡サーバ２２０が使用される。各責任追跡サーバ２２０は電子取引システム２００用のグローバル共用メモリとして働き、未解決の各認証に関連する累積責任をリライアンスマネージャ２１８によって読み取りかつ書き込むことを可能にする。各認証に使用できる責任追跡サーバ２２０は１つだけである。責任追跡サーバ２２０は別々の実体でも、あるいはディレクトリ２１０、ＣＡ２０６、またはスポンサー２０８の一部でもよい。特定の認証を処理できるリライアンスマネージャが１つだけである場合、リライアンスマネージャは、この認証に関連する累積責任を追跡することができる。このような責任追跡サーバは、認証に対するオーバーリライアンスを検出し防止する一般的な「禁止」機能を提供する。「禁止」サービスは一般に、発行側ＣＡとの契約の下で高可用性システムによって実行される。
【０２５２】
認証は、リライアンス限界、またはたとえば、１時間、１日、１週間、１カ月、１年、２４時間、平日などの期間当たりリライアンス限界を指定することができる。したがって、ある認証は１日当たり２００ドルのリライアンス限界を有することができ、それに対して他の認証は５００ドルのリライアンス限界を有することができる。同様に、認証は、たとえば１時間、１日、１週間、１カ月、１年、２４時間、平日などの期間当たりにいくつかの取引を指定することができる。したがって、認証は１日当たり１０個の取引を指定することができる。これらの組合せを適用することができ、たとえば、１日当たり５００ドルを超えない１日当たり５個の取引を指定することができる。これを超えた場合は、リライアンスマネージャ２１８の裁量でＯＬＧ要求を許可する必要がある。
【０２５３】
責任トラッカ２２０は現在の累積責任と、認証に記述された期間にわたる各認証ごとの取引の数を記憶する。認証は、固有のＩＤ（発行側名および認証通し番号）に基づいてインデックス付けすることができる。
【０２５４】
認証は、その妥当性を確認するために使用することのできるリライアンスマネージャのクラスまたはカテゴリーを指定することができるので、責任トラッカ２２０で特定の認証の値の読取り／書込みを同時に行うことが可能である。すなわち、複数のリライアンスマネージャ２１８が同じ認証のコピーを処理し、かつ複数のリライアンスマネージャがこの認証に基づいてリライアンスを要求することが可能である。したがって、責任トラッカ２２０は適切なロッキング機構を使用して、責任トラッカ自体の記録の一貫した読取りおよび更新を確実に行う。
【０２５５】
各リライアンスマネージャ２１８、認証局２０６、スポンサー２０８は任意の時に、保険業者２２２から保証を得ることによってある責任に対してそれ自体を保証することができる。リライアンスマネージャ２１８は、認証局２０６またはスポンサー２０８の現在の未解決の累積責任などの因子に応じて、認証局またはスポンサーの代理として保険業者２２２から保証を得る権限を有する。リライアンスマネージャ２１８はそれ自体の保証を保険業者２２２から得ることもできる。
【０２５６】
リライアンスマネージャ２１８は、課金サービス２２４を介してリライアンスマネージャ自体のサービスに関して様々な当事者に課金する。リライアンスマネージャ２１８は、信頼当事者２１２によってそれ自身が信頼を得ている認証の使用に関しても適切な当事者に課金する。これは、たとえば未知の信頼当事者に、即時電子支払いを要求するか、あるいはたとえばスポンサーの、事前に確立された預金勘定の借方に記入するか、あるいは定期的な請求書を、確立された信用支払い履歴と共にスポンサーまたは信頼当事者へ送信するという形態をとることができる。
【０２５７】
リライアンスマネージャ２１８は、メッセージ２１６を処理し（たとえば、ＳＧＲまたはＳＣＭを検証するか、あるいはＯＬＧ要求を処理し）、適切な当事者に通知し、適切な保証を得て与えられたサービスに関して課金した後、リライアンスマネージャレシート（ＲＭＲ）２２６を信頼当事者２１２へ送信する。このＲＭＲ２２６は、状況検査の結果と、このような検査に関して課された金額を信頼当事者２１２に知らせ、限界超過保証要求の場合には、この要求に対する応答、すなわち、保証レシートまたは拒否メッセージを信頼当事者２１２に知らせる。ＲＭＲレシート２２６は、日時およびメッセージのダイジェストと共にリライアンスマネージャ２１８によってデジタルに署名され、それによってリライアンスマネージャによって実行された検証の証拠として働くことができる。リライアンスマネージャ２１８は必要に応じて、メッセージ２１６、署名付きレシート２２６、およびこのメッセージ２１６の処理に関するその他の情報を保存することができる。
【０２５８】
取引２１４、メッセージ２１６、ＲＭＲ２２６は、それが作成されたときに独立のタイムスタンプサーバ２２８によってデジタルに署名することができる。
【０２５９】
ＲＭＲ２２６を受信すると、信頼当事者２１２は、そのＲＭＲを記憶し、ＲＭＲ２２６中の情報に応じて、加入者２０２との取引を継続することができる。
【０２６０】
図６では別々の実体として示されているが、課金サービス２２４とリライアンスマネージャ２１８は同じ実体の一部でよく、その場合、取引の様々な当事者（たとえば、認証局、スポンサー、加入者、ベンダー）はリライアンスマネージャ２１８との間で勘定をもつことができる。リライアンスマネージャは、それ自体の借方に記入される状況検査手数料と、ＣＡ、スポンサー、保険業者の借方に記入されるリライアンス手数料とに関して別々の合計を維持し、定期的に、すべてのこれらの料金の分離および清算を行い、支払われるべき資金を回収し、回収した資金を、サービス料を引いた上で適切な当事者に送金する。
【０２６１】
定期的に、加入者の要求に応じて、リライアンスマネージャか、あるいはグローバル追跡（「禁止」）サービスが使用されている場合にはグローバル追跡サービスが、信頼当事者のＩＤ、要求されたリライアンス限界（もしあれば）、課された手数料を含め、リライアンスマネージャに提示されたこの加入者のすべての署名をリストした勘定書を加入者に送信する。この勘定書は、従来型の紙ベースの郵便または電子メールを介して配達することも、あるいは加入者によって任意の時間にＷｅｂサーバを介してブラウズすることもできる。勘定書の目的は、加入者が発行した認証を加入者自身に想起させ、不正に発行されたか、あるいは適切に信頼されていない認証を、加入者が識別することを可能にすることである。
【０２６２】
さらに、図６には別々の実体として示されているが、いくつかの状況では、加入者２０２自体が信頼当事者２１２であってよい。たとえば、加入者２０２が、特定の取引を他の当事者へ送信する前に、この取引が署名の保証に関して受け入れられるかどうかを判定しておくことを望むような場合である。
【０２６３】
２．Ｂ 第２の実施形態の詳細な説明
次に、加入者２０２に認証２０４を発行する認証局ＣＡ−ｎのプロセスを図６を参照して説明する。加入者の認証２０４は好ましくは安全なある位置、たとえば加入者の信頼された安全な装置２３０（図７参照）、たとえばスマートカードなどに記憶される。
【０２６４】
加入者の認証２０４は、（図１２に示すように）Ｘ．５０９形式を有し、以下の情報または属性を含む。
【０２６５】
１．認証の発行側の名前。
【０２６６】
２．固有の認証通し番号（認証局名と認証通し番号の組合せが認証を一意に識別することに留意されたい）。
【０２６７】
３．加入者の公開鍵。
【０２６８】
４．発行側によって設定されるリライアンス限界、たとえば、最大ドル建て取引および／または期間（１日、１週間、１月、１年など）当たり
５．発行側が認証中の情報に対するリライアンスの責任を果たす前に認証の状況を検査しておかなければならないかどうか。
【０２６９】
６．この認証を検査することのできる、発行側によって承認された少なくとも１つの状況検査サービス（リライアンスマネージャ２１８）の名前、および任意選択で、この状況検査サービスのネットワークアドレス、ならびにこのサービスのディレクトリ２１０の適切なアドレス。Ｘ．５００ディレクトリ参照システムを使用する場合、名前とアドレスが同じになり、そうでない場合は、有効なネットワークアドレスおよび通信手段を指定することが必要になる可能性がある。
【０２７０】
７．検査サービスの状況検査料。
【０２７１】
８．（ドル建てリライアンス当たり）保証料。
【０２７２】
９．状況検査料を誰が支払うか（加入者、認証局、またはスポンサー）。
【０２７３】
１０．この認証の主体／加入者が装置であるかどうか。
【０２７４】
１１．署名側／装置がその署名に番号付けするかどうか。そうである場合、番号付けが（ａ）順次番号付けであるか、それとも（ｂ）疑似ランダム番号付けであるか。
【０２７５】
認証２０４は、信頼当事者に認証の手数料の支払いを要求するのではなく、送信側／署名側または他の第３者（通常は署名側の雇用者またはスポンサー）にこの手数料の一部またはすべてを課金する状況検査サービスを許可する任意選択のフィールドを含むことができる。この機能を使用すると、状況サービスは署名番号または署名値（またはこれらの値から得られるある値）の記録を維持し、同じあるいは異なる信頼当事者が第３者課金機構を複数回使用するのを防止する。したがって、状況サービスは、特定のデジタル署名がすでに検査され保証されていることを検出し、このデジタル署名をスポンサーの経費で再検討する試みを拒否する。このような試みは不合理な料金を生じさせる恐れがある。
【０２７６】
ある場合には、許可された認証２０４は、状況検査料および保証料をカバーすることに合意した第３者の名前および口座番号も含む。
【０２７７】
別法として、認証２０４は、加入者の名前を公開鍵にリンクするＩＤ認証ではなく、ＩＤ認証と共に、加入者に対するある種の特権または権限を授与する認証（１９９４年７月１９日に出願され、「Ｍｅｔｈｏｄ ｆｏｒ Ｓｅｃｕｒｅｌｙ Ｕｓｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ｉｎ ａ Ｃｏｍｍｅｒｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｓｙｓｔｅｍ」と題し、その内容が引用によって本明細書と完全に合体された、Ｓｕｄｉａの米国特許出願第０８／２７７４３８号に記載された許可認証）でよい。このような許可認証は、リライアンスマネージャによる管理を必要とする関連する取引限界システムを有することもでき、したがって、前述と同じ１組の「リライアンス指定」フィールドまたは同様な１組の「リライアンス指定」フィールドが付加される。
【０２７８】
認証局ＣＡ−ｎ（またはスポンサー）が認証２０４を発行すると、この認証から得た関連情報のコピーが適切なリポジトリ（ｒｅｐｏｓｉｔｏｒｙ）またはディレクトリ２１０へ送信される。ディレクトリ２１０へ送信される情報には、認証局の名前と認証の通し番号が含まれ、ＩＤ認証の場合には、加入者の公開鍵も含まれる。認証情報は状況検査サービス（ＲＭ）へも送信される。一般に、このＲＭは認証に指定されたＲＭと同じである。
【０２７９】
階層認証システムでは、各認証局自体が他のＣＡによって認証され、１つのＣＡはルート認証局ＣＡ−０によって認証される。各認証局は、発行した認証に関する適切な情報をあるディレクトリ２１０で発行する。認証局はそれぞれの同じあるいは異なるディレクトリ２１０を使用することができる。
【０２８０】
ＣＡの（親からの）認証は、上記で加入者認証２０４に関してリストした属性と同様な属性を含む。ＣＡの認証は、親限界が加入者にのみ適用されるかどうか、あるいは指定された認証局のすべての加入者の１日の総量に適用されるかどうかを指定する属性も含む。
【０２８１】
図７を参照するとわかるように、本明細書の好ましい実施形態による信頼された装置２３０にはいたずら防止計数器２３２が含まれる。この計数器はある値ずつ単調に増加し、すなわち、この装置を使用してデジタル署名を作成するたびに１だけ増加する。さらに、この計数器の現在の値は、装置２３０によって署名される各署名ブロックに署名属性値として埋め込まれる。
【０２８２】
装置（またはユーザ）の各署名に順次番号付けし、この署名をリライアンスマネージャに提出するときにこれらの番号のそれぞれを収集することによって、装置のいたずらおよび偽造と専用署名鍵の盗難および許可されない使用を検出することができる。専用署名鍵を装置から抽出した場合、この鍵を使用して取引に署名することができ、取引は、製造業者の装置認証を伴うときに、この装置によって信頼できる方法で生成されたものとみなされる。しかし、このような鍵は、装置の外部で使用される際には、不正に形成された取引を作成するために使用することができる。
【０２８３】
本明細書で説明する署名番号付け方法は、装置外部での単なる使用を検出することはできないが、いたずら防止コーティングなどを除去することによって得られる合法的な装置署名鍵および認証を使用して不法な装置の偽造または再生を検出するのを助けることができる。偽造の目的は、首尾良くいたずらを行うためのコストはかなり高額であるので少数の合法的な装置のいたずらに基づいて多数の装置を生産し販売することであると仮定される。したがって、各署名に通し番号を伴わせることによって、このような番号を収集し比較する中央システムに可能性の検出を行わせることができる。重複が起こった場合、あるいは所定の順序からかなりずれた番号が受信された場合、（犯人が各計数器を様々な基底値に設定したため）システムは、影響を受けた装置認証を検出し、調査し、場合によっては取り消す。
【０２８４】
この方式は、信頼された装置が、時間値を計数器値と共に各署名に含めることのできる信頼できるタイムクロックも含む場合に機能強化される。この場合、リライアンスマネージャは着信取引署名を作成日付によって分類することができ、したがって、順序どおりでない署名番号を見つけるのはずっと容易になる。
【０２８５】
他の変形態様として、（ａ）ＣＡおよびリライアンスマネージャが、予想される番号シーケンスを算出できるように、ＣＡおよびリライアンスマネージャに知られているシードと共に疑似乱数発生装置（ＰＲＮＧ）を使用するか、あるいは（ｂ）基底値から開始し、次いで増分を加える（基底値と増分は共に特定の製造業者の関数である）ことによって、署名番号を生成することができる。
【０２８６】
たとえば、装置を認証するときに、計数器２３２の初期開始値とその取引当たり増分を装置製造業者２３４によって無作為に設定することができ、次いでこれらの値を他の情報と共に装置２３０内の装置認証２３６に組み込むことができる。
各装置製造業者２３４に異なる計数係数、好ましくは１よりも大きな素数を割り当てることができ、製造時に、計数器２３２用の増分を、この係数が乗じられるランダム値に設定することができる。したがって、たとえば、安全な暗号化装置２３０の３つの製造業者、すなわちＭ１、Ｍ２、Ｍ３がある場合、Ｍ１に係数３が割り当てられ、Ｍ２に係数５が割り当てられ、Ｍ３に係数７が割り当てられる。次いで、製造業者Ｍ１が製造する各装置について、製造業者Ｍ１は乱数Ｒを生成し、計数器２３２用の増分を「３ｘＲ」に設定する。同様に、製造業者Ｍ２はその装置内の計数器の増分を乱数の５倍に設定し、製造業者Ｍ３はその増分を乱数の７倍に設定する。増分を決定するために使用される乱数の範囲は、たとえば１から２００に制限することができ、素数を除外することもできる。この計数を使用して初期開始値を決定することもできる。
【０２８７】
製造業者によって発行される装置認証２３６は、増分自体を記憶するのではなく、（乱数発生アルゴリズムが知られているかぎり）増分を決定するために使用されるランダム値Ｒ、またはＲを決定するために使用される乱数発生装置のシードを記憶するに過ぎない。
【０２８８】
装置製造業者２３０は、（加入者の認証２０４およびディレクトリ２１０に記憶された公開鍵に対応する）加入者の専用鍵２３８のコピーを含む。
【０２８９】
装置製造業者２３４自体は、ルート認証局ＣＡ−０の下方の認証局階層内の認証局ＣＡ−ｍによって認証される。したがって、（認証局ＣＡ−ｍ用のディレクトリ２１０−ｍに記憶された）製造業者の公開鍵を使用して、信頼された装置２３０内の装置認証２３６を検証することができる。
【０２９０】
図１〜図８を参照するとわかるように、加入者２０２は、取引２１４を作成する際に、取引詳細２４２、（認証局ＣＡ−ｎから発行される）加入者の認証２０４のコピー２４４、関連する他の認証のコピー２４６を含むメッセージ２４０を生成する。加入者２０２は、実際の認証のコピーではなく、いくつかのあるいはすべての認証用の固有の識別子（たとえば、発行側の名前や認証通し番号）を含めることができる。次いで、加入者２０２は、自分の専用鍵２３８を使用して取引２４２と様々な署名属性２４８との組合せにデジタルに署名し、デジタル署名２５０を生成する。
【０２９１】
加入者の信頼された装置が、前述のように署名計数器２３２とタイムクロック２３９を含む場合、他の認証２４４は（計数器の開始値および増分を決定できるように）装置認証２３６のコピーなどの情報を含めることができ、かつ署名属性２４８は計数器２３２の現在の値を含めなければならない。装置が毎回１だけ増分する場合、装置認証は必要とされない。装置認証のコピーは、必要に応じて、署名属性２４８に記憶されている計数器２３２の異常値の検査に使用される。通常、装置認証は、ユーザの鍵が認証されたときにＣＡに提出されており、したがって、装置認証の内容はすでにＣＡに知られており、かつＣＡが契約を結んでいるＲＭまたはグローバル禁止サービスに知られている。
【０２９２】
計数器の異常値には、所定の順序からかなりずれた値、製造業者によって発行された値に対応せず、異なる取引値上に以前存在した値、この装置（装置認証２３６中の情報に基づいて）によって発行された値に対応しない値が含まれる。取引に（たとえば、内部タイムクロック２３９の時間値を含む）タイムスタンプを付加する場合、取引が所定の順序とは異なる順序で実行された場合でも、計数器値の所定の順序からのずれが合法的なものであるかどうかを判定することができる。
【０２９３】
好ましくは、加入者の専用鍵２３８は、加入者の認証２０４と同様に、加入者の信頼された装置２３０に記憶されるが、加入者の専用鍵と認証のどちらかまたは両方を安全なコンピュータまたは他の何らかの安全な記憶装置上に記憶することができる。
【０２９４】
デジタル署名２５０は、容認された任意の既知の方法で生成することができる。たとえば、署名はＲＳＡまたはＤＳＡを使用して形成することができる。デジタル署名２５０および署名属性２４８には、添付の認証２４４および２４６のハッシュを含むＰＫＣＳ−７署名ブロック、署名側が装置であるかどうかの表示、この専用鍵に固有の署名番号（計数器２３２の値）を含めることができ、好ましくは、署名がいつ作成されたかを示す関連する内部タイムクロック２３９からのタイムスタンプも含めることもできる。計数器２３２を含む安全な装置２３０の場合、署名番号はその計数器の現在の値である。
【０２９５】
２．Ｂ．１ 信頼当事者が取引を受信する。
【０２９６】
信頼当事者２１２は、前述のように形成された取引２１４を受信すると、その取引２１４にどのくらいの量の情報が含まれ、その情報がリライアンスマネージャ２１８にどのくらいのことを要求しているかに応じて、いくつかのことを実行することができる。
【０２９７】
図９を参照するとわかるように、信頼当事者２１２は取引２１４を受信し（ステップＳ２００）、以下のステップのいくつかまたはすべてを実行する。
【０２９８】
信頼当事者２１２は、リライアンスマネージャ２１８に取引２１４全体を検査させる必要がある場合、取引２１４全体が送信される適切なリライアンスマネージャ２１８のアドレスを判定する（ステップＳ２１０）。
【０２９９】
そうでない場合、信頼当事者２１２は、加入者の認証２４２のコピーおよびその他の認証２４４（もしあれば）を取引２１４から抽出する（ステップＳ２０２）。これらの認証２４２、２４４のいくつかまたはすべてが存在しなくてもよいことを想起されたい。これらの認証は、すでに送信されているか、あるいはディレクトリから得ることができるか、あるいはリライアンスマネージャによって得ることができるように残されている。取引２１４は、加入者の認証２０４の少なくとも固有のＩＤ参照（たとえば、発行側の名前および通し番号）を含むべきである。
【０３００】
この時点で、信頼当事者２１２は取引２１４自体の妥当性をさらに確認するか、あるいはアドレス判定ステップ（Ｓ２１０）に直接進み、リライアンスマネージャ２１８に取引２１４全体を検査させることができる。
【０３０１】
信頼当事者２１２は、取引２１４をさらに検証することに決定した場合、欠落している認証を受信する（ステップＳ２０４）。欠落している認証は適切なディレクトリ２１０から得られ、あるいは信頼当事者２１２が前の検索から得た認証のコピーを保持している。この認証検索プロセスは、すべての親認証を見つけるために与えられた各認証から上向きに進み、既知の良好なルート鍵の方へ進むことによって行われる。
【０３０２】
したがって、たとえば、取引２１４が図２の加入者２によって署名されており、取引に加入者２の認証しか含まれていない場合、信頼当事者２１２は認証発行側の認証（すなわち、ＣＡ−５の認証）を得て、次いでＣＡ−１の認証を得る必要がある。一方、取引が図２の加入者１によって署名されており、取引に加入者１の認証ＣＡ−１、ＣＡ−２、ＣＡ−３、ＣＡ−４が含まれている場合、信頼当事者２１２はさらに認証を得る必要なしに加入者１の署名を検証することができる。
【０３０３】
この場合も、この時点で、信頼当事者２１２は引き続き取引２１４自体を検証するか、あるいはアドレス判定ステップ（Ｓ２１０）に直接進み、検査すべき取引２１４をさらにリライアンスマネージャ２１８に与えることができる。
【０３０４】
受信側は、すべての必要な認証を得た後（ステップＳ２０２、Ｓ２０４で）、認証チェーンを検証し（ステップＳ２０６）、下向きにルートから署名側に進み、その途中で認証中の方針管理を検証する。次いで、信頼当事者２１２はメッセージを再ハッシュし、署名をベース署名側の認証と突き合わせて検査する（ステップＳ２０８）。
【０３０５】
２．Ｂ．２ 信頼当事者が状況サービスのアドレスを判定する。
【０３０６】
信頼当事者２１２は、取引２１４の任意の態様を１つまたは複数のリライアンスマネージャ２１８によって検証させる前に、どのリライアンスマネージャを使用するかを決定しておかなければならない。各加入者認証は、それを検査できる状況検査サービス（リライアンスマネージャ２１８）の名前とこのサービスのディレクトリ２１０の適切なアドレスを含むか、あるいは信頼当事者２１２が適切な認証局２０６からこの情報を得なければならない。したがって、認証が与えられた場合、この認証の態様を検証するためにどのリライアンスマネージャを使用すべきかを判定することが可能である。
【０３０７】
したがって、ステップＳ２１０で、信頼当事者２１２は、まだ少なくとも１つの適切な認証を得ていない場合には（ステップＳ２０２で）、その処理を実行し、この認証を検査することのできるリライアンスマネージャ２１８（あるいはそのような種類のリライアンスマネージャ）の名前をこの認証から判定する。
【０３０８】
一方、信頼当事者は、すでに少なくとも１つの認証を得ている場合には（ステップＳ２０２で）、この認証を検査することのできるリライアンスマネージャ２１８（あるいはそのような種類のリライアンスマネージャ）の名前を、この認証を使用して判定する。
【０３０９】
信頼当事者は、取引に関連するすべての認証を得た場合、各認証の適切なリライアンスマネージャ２１８を判定する。
【０３１０】
２．Ｂ．３ 信頼当事者によるメッセージの作成。
【０３１１】
信頼当事者２１２は、取引２１４を受信し（ステップＳ２００）、この取引のうちの必要なだけを検証し（ステップＳ２０２〜Ｓ２０８）た後、１つまたは複数のリライアンスマネージャ２１８へ送信すべき１つまたは複数のメッセージ（ＳＧＲ要求、ＳＣＭ要求、またはＯＬＧ要求）２１６を作成する。
【０３１２】
しかし、信頼当事者２１２は、メッセージ２１６を作成する（ステップＳ２１２）前に、メッセージ２１６をどのリライアンスマネージャ２１８へ送信すべきかを判定しておかなければならない。複数のリライアンスマネージャを含んでいる場合には複数のメッセージ２１６が存在する可能性があるので、信頼当事者２１２はまず、いくつのリライアンスマネージャが使用されているかを判定しなければならない。
【０３１３】
認証局２０６またはスポンサー２０８は、認証を発行する際に、この認証を検索することのできる状況検査サービス（リライアンスマネージャ２１８）をこの認証に指定する。状況検査サービスは名前またはプロバイダの種類によって指定するか、あるいは他の何らかの方法で指定することができる。したがって、認証発行側は、特定のリライアンスマネージャ２１８のみが発行側の認証を検証できることを決定し、（かつ発行側の認証にそのように指定）するか、あるいは（リライアンスマネージャのクラスによって指定される）ある要件を満たす任意のリライアンスマネージャ２１８によって発行側の認証を検証することを許可する。
【０３１４】
次に、信頼当事者２１２は、状況検査を必要とする認証を分析し、取引の検証に使用すべき状況サービス（リライアンスマネージャ２１８）のアドレスを判定する（ステップＳ２１０）。
【０３１５】
メッセージの内容は、信頼当事者２１２がリライアンスマネージャ２１８に行わせる必要があることは何かに依存する。まず、信頼当事者２１２は取引２１４全体または取引の一部のみをリライアンスマネージャ２１８に与えることができる。第２に、信頼当事者２１２は、取引に関連するすべての認証をリライアンスマネージャ２１８に与えるか、あるいはいくつかの認証のみの固有の識別子のみを与えることができる。第３に、信頼当事者２１２は、取引全体またはそのいくつかの態様のみの妥当性を確認するようにリライアンスマネージャ２１８に求める。
【０３１６】
信頼当事者２１２がリライアンスマネージャ２１８に要求できる様々な機能には以下の機能が含まれる。
【０３１７】
（１）認証の固有の識別子が与えられた場合、この認証が取り消されている（すなわち、ＣＲＬ上にリストされている）かどうか、あるいは中止されているかどうかを検査する。
【０３１８】
（２）１組の実際の認証が与えられた場合に、これらの認証が取り消されているかどうか、あるいは中止されているかどうかを検査する。
【０３１９】
（３）認証と固有の認証識別子が与えられた場合に、この認証が取り消されているかどうか、あるいは中止されているかどうかを検査する。
【０３２０】
（４）認証チェーンを検証し、認証が実際に互いに検証し合っているかどうかを調べる。ＲＭが、デジタル署名の計算を繰り返し実行する必要を回避するために大部分の認証を検証済み状態で記憶できることに留意されたい。
【０３２１】
（５）上記の（１）〜（４）と同じであるが、取引に署名した最初の加入者のデジタル署名を含め、取引全体を検査する。
【０３２２】
前述のように、メッセージ２１６は、ＳＧＲ要求（メッセージと共に含められたある情報を信頼当事者２１２が信頼することをリライアンスマネージャ２１８に知らせ、かつこの情報が信頼できる情報であることを検証するようリライアンスマネージャ２１８に求める）、ＳＣＭ要求（信頼当事者２１２が実際に保証を要求するわけではなく、必要に応じてそのような保証が与えられるという表示のみを要求することを除いて、形式がＳＧＲに類似している）、またはＯＬＧ要求を含め、様々な異なる種類のメッセージのうちの１つでよい。
【０３２３】
メッセージ２１６は、ＳＧＲまたはＳＣＭである場合には、信頼当事者２１２が最初に取引２１４から判定した（リライアンスのための）金銭的価値を含む。取引２１４で金銭的価値が与えられないか、あるいは信頼当事者が、与えられた価値とは異なる金銭的価値を信頼する必要がある（たとえば、信頼当事者２１２がある額だけ自家保険を付保している）場合、信頼当事者はこれに応じてメッセージ２１６中の金銭的価値を設定することができる。しかし、信頼当事者２１２が、取引２１４に記述された値を超える金銭的価値を記述するのを妨げることによっておそらく、加入者の最大許容限界を早い時期に使い尽くし、取引の署名属性２４８に取引の実際の記述値を含めるべきであり、メッセージ２１６は、署名属性２４８を含むことによって、実際の記述値を含めるべきである。
【０３２４】
状況検査のみが必要である場合、メッセージに状況検査ビットを設定することができるか、あるいはメッセージ２１６中の金銭的価値がゼロに設定される。好ましくは、状況検査ビットは、意味を有するデータ値の過負荷を回避するために使用される。この場合、メッセージ２１６（ＳＣＭ）は、様々な認証の状況の確認を要求するために使用されるが、保証を購入するためには使用されない。
【０３２５】
メッセージ２１６（ＳＧＲまたはＳＣＭ）は以下のものを含む（必ずしも所与の順序とは限らない）。
【０３２６】
１．信頼当事者２１２の名前およびネットワークアドレス。
【０３２７】
２．重複メッセージ（特にＲＣＭ）を拒否できるようにする固有の通し番号。
【０３２８】
３．課金のための課金サービス２２４を含む勘定情報（署名側またはスポンサーが支払う場合も同様）。
【０３２９】
４．許容されたリライアンス限界または残りのリライアンス限界を超えた場合に拡張を要求する任意選択の意思。
【０３３０】
５．認証または認証の固有の識別子（たとえば、発行側の名前や通し番号）のリスト。
【０３３１】
６．署名の通し番号およびタイムスタンプ（取引２１４に存在する場合）。
【０３３２】
７．検査中のメッセージ（取引２１４）のハッシュ。任意選択で、検査および／保存のためにメッセージ全体を負荷することができる。
【０３３３】
８．タイムスタンプサーバ２２８によって日時を与えることができる。
【０３３４】
９．この取引の範疇の、任意選択のリスト。
【０３３５】
１０．情報検査で不合格になった場合でも保存を求めるか、あるいはリライアンス限界を超えた場合でも保存を求める要求。
【０３３６】
１１．リライアンスマネージャサービスの公開鍵を用いて暗号化された保存検索パスワード。
【０３３７】
１２．このメッセージの目的（保証要求、状況検査、課金承認など）
１３．役割（信頼当事者）。
【０３３８】
１４．信頼当事者の課金サービス認証のハッシュ。
【０３３９】
１５．課金サービス２２２の勘定の借方に記入するための信頼当事者の署名。
【０３４０】
２．Ｂ．４ 信頼当事者によるメッセージの送信
信頼当事者２１２は、アドレスを判定し（ステップＳ２１０）、適切なメッセージを作成し（ステップＳ２１２）た後、要求された基本検査料の合計と、ドル建てリライアンス値当たりの要求されたリライアンス保証料の合計を求める（ステップＳ２１４）。
【０３４１】
メッセージ２１６は、作成されると、適切なリライアンスマネージャ２１６へ送信される（ステップＳ２１６）。メッセージ２１６は、リライアンスマネージャ用のディレクトリエントリに指定された転送機構、たとえば、ソケット、ＨＴＴＰ，ｅメールなどを使用して送信される。
【０３４２】
２．Ｂ．５ リライアンスマネージャによる処理
１．メッセージの受信
リライアンスマネージャ２１８は、信頼当事者２１２からメッセージ２１６を受信する（ステップＳ２１８）と、以下の動作を実行する（図１０参照）。
【０３４３】
２．メッセージ構文の検証
まず、リライアンスマネージャ２１８は、メッセージ２１６の一般的な構文が正しいことを検証する（ステップＳ２２０）。この構文が正しくない場合、リライアンスマネージャ２１８は信頼当事者２１２にこのことを知らせ、処理を終了する。構文が正しくないメッセージに関して信頼当事者２１２に課金することができる。
【０３４４】
メッセージ２１６の構文が正しい場合、信頼当事者２１２がリライアンスマネージャ２１８との勘定を有する（すなわち、リライアンスマネージャと課金サービス２２４が同じ実体である）場合には、リライアンスマネージャは、それ自体がローカルに記憶した信頼当事者２１２の公開鍵を参照し、メッセージ２１６をハッシュし、信頼当事者の署名を検証する。
【０３４５】
信頼当事者２１２がリライアンスマネージャ２１８との確立された勘定を有さない場合、リライアンスマネージャは、ある従来型の手法により、すなわち、通常は、信頼当事者の公開鍵を指定する認証のチェーンを検証することによって、メッセージ２１６上の信頼当事者の署名を検証しなければならない。
【０３４６】
３．最低手数料の決定
次に、リライアンスマネージャ２１８は、この確認取引に基づいて最低満期支払高を決定し、信頼当事者の口座のアベイラブルファンズを確認する（ステップＳ２２２）。また、リライアンスマネージャ２１８は、取引全体が確認されるまで、満期支払高の総額を取引に基づいて決定することができないこともある。リライアンスマネージャ２１８および請求サービス２２２が別々のエンティティである場合には、リライアンスマネージャは請求サービスによって信頼当事者の口座に請求するか、または請求サービスと接触することによって、信頼当事者がそれらに対して良好に原告適格である（ｉｎ ｇｏｏｄ ｓｔａｎｄｉｎｇ ｗｉｔｈ）か、また利用できる資金またはクレジットがあるかどうかを判定する。
【０３４７】
４．何が要求されているかの決定
リライアンスマネージャ２１８の後続の活動は、信頼当事者２１２がメッセージ２１６中で何を要求したかに依存する。リライアンスマネージャ２１８は、何が要求されているかを決定し（ステップＳ２２４）、それに従ってメッセージを妥当性検査する（ステップＳ２２６）。
【０３４８】
５．メッセージの妥当性検査
考えられる１つの場合には、リライアンスマネージャ２１８は、要求されたリライアンス限界とともに、様々な認証および／または実際の認証の独自の識別子が（メッセージ２１６中で）与えられる。リライアンスマネージャ２１６は、それらの認証が取消しされているか否か（すなわちＣＲＬにリストされているか否か）、または停止されているか否かを検査する。
【０３４９】
リライアンスマネージャ２１８はまず、要求されたリライアンスが取引２１４の値以下であるかどうかを決定するための検査を行わなければならない。取引の署名属性ブロック２４８はその取引の値を含み、このブロックおよび実際の署名が、信頼当事者の要求された債務とともにリライアンスマネージャに与えられる。要求されたリライアンスが取引の値を超える場合には、リライアンスマネージャは要求を拒絶しなければならない。このような場合には、リライアンスマネージャは、加入者２０２およびその他の要求の当事者に通知しなければならない。
【０３５０】
リライアンスマネージャは、このようにして署名を確認することができ、また加入者の利用できるリライアンス限界を利用する前に、このブロックから加入者の申告取引値を抽出することができる。取引全体が提示されている場合には、ＲＭはこれをハッシュして、署名属性ブロックに入っている取引ハッシュと一致するかどうかを調べることもできる。署名ブロックまたはメッセージ全体を検査するこれらのプロセスは、一般に、信頼当事者から提供された申告値を信頼することが適当である値の小さなメッセージを省略することができる。こうした場合では、信頼当事者が誤った陳述をすると、リライアンスマネージャから提供される署名保証またはその他の取引保険は簡単に無効になることになり、したがって誤った値を提示するとその人の不利益になる。
【０３５１】
メッセージ中に（通し番号で、または提供順に）リストされた各認証ごとに、リライアンスマネージャ２１８は、適当なＣＲＬ、すなわちその認証の発行者からのＣＲＬと突き合わせて認証の通し番号を検査する。認証が取消しまたは停止されている場合には、リライアンスマネージャはその認証が無効であるとし、残りの認証について続行する。任意の認証が無効である場合には、取引全体が無効であるとみなされる。
【０３５２】
検査した各認証ごとに、リライアンスマネージャ２１８は発行者に、その使用、およびその認証に関連するリライアンス値を通知することができる（ステップＳ２２８）。こうした通知は、月ごと、日ごと、週ごと、時間ごと、または事前に承認された金額を超える取引ごとに行うことができる。
【０３５３】
６．グローバルリライアンス限界の更新
リライアンスマネージャ２１８は、複数のＲＭが妥当性検査することができるものと想定して、適当なグローバル債務トラッカ２２０からその認証についての現在の累積債務を読み取ることもできる。現在の累積債務が要求された債務を超える場合には、取引は無効となり、拒絶される。限界超過保証要求を処理しようと考える場合には、リライアンスマネージャは信頼当事者に通知する。そうでない場合、要求された債務に現在の累積債務を加えてもその認証の限界を超えない場合には、累積債務は、要求された金額を反映するように更新されるものとする（ステップＳ２３０）。
【０３５４】
累積債務の更新は潜在的に同期しているので、リライアンスマネージャは、値の読取りまたは更新を行う前に、対応する債務トラッカとの取引で使用される全ての認証についての値のロックを獲得する必要があることもある。別法として、楽観コミット戦略（ｏｐｔｉｍｉｓｔｉｃ ｃｏｍｍｉｔ ｓｔｒａｔｅｇｙ）を使用して、各認証が処理される度に新しい値を書き込み、後に障害（限界超過）が起こった場合に変化をロールバックすることもできる。これらの記録の更新は、当技術分野で既知のいかなる方法でも実行することができる。さらに、場合によっては、認証のいくつかしか検査済みのそれらに関連する債務を有さない。（加入者２０２の）最後の１つは密に監視することが最も重要である。
【０３５５】
場合によっては、リライアンスマネージャ２１８は、取引全体を検査するよう求められる。こうした場合には、リライアンスマネージャはその取引に関連する全ての認証を獲得し、妥当性および整合性についてこれらを検査し、次いで要求された債務限界に関連して上述したのと同様に処理する。
【０３５６】
リライアンスマネージャ２１８は、特定の認証の状況を決定した後で、その認証についての記録を作成することができる。この記録は、認証の状況とは無関係に作成することができる。この記録は、この認証が依存する全ての認証、およびこの認証に依存する全ての認証をリストする。このようにして、一度表を参照するだけで認証のチェーン（つながり）を確認することができる。ＣＲＬを受信した、またはリライアンスマネージャが特定の認証が無効になった（取消しまたは停止された）と判定したときには、それはその記録を更新し、チェーンを適当に無効化することができる。
【０３５７】
リライアンスマネージャは、各認証を信頼する全ての当事者も記録する。ＣＲＬが処理されたとき、または特定の認証が無効であると判定したときには、リライアンスマネージャは、１〜２週間などある一定期間内に、その認証を信頼している全ての当事者に通知することができる。これは「ルックバック通知」と呼ばれるものであり、ある認証を、最近それが取消しになる以前に信頼した当事者の助けとなる。この場合、例えば署名者の鍵の盗難が発見される前に泥棒によって発行された詐欺的取引で問題が生じる可能性があるかどうかを判定し、ＣＡに認証の取消しを報告する助けとなることができる。
【０３５８】
あるメッセージに関連する全ての認証が受容可能である場合には、各認証の適当な期間のリライアンス限界は、ＳＧＲで要求されるリライアンスに従って増分される。
【０３５９】
７．手数料および請求当事者の決定
次いでリライアンスマネージャ２１８は、後のバッチ処理のための取引を書き込み、その間に各認証で収集された保証料を増分し、認証局名を発行することによって保証料を累積する（ステップＳ２３２）。
【０３６０】
任意の認証が受容可能でない場合には、信頼当事者２１２（または加入者２０２）は基本検査料だけを請求され、リライアンスおよび保証の手数料は適用されない。
【０３６１】
８．要求された場合の記録文書メッセージ
メッセージ２１６が記録文書を要求し、完全な文書が付いている場合には、この文書は再度ハッシュされ、提示された署名は確認される。この結果が提示された取引と同じでない場合には、記録文書要求は拒絶され、そうでない場合にはメッセージは保存される（ステップＳ２３４）。
【０３６２】
信頼当事者２１２は、要求された最初の保存期間だけ請求されるが、デフォルト期間は６カ月である。信頼当事者２１２は、自分が連続した保存期間請求されることを通知される。リライアンスマネージャから提供された受領証は、取引のハッシュである写しを含み、長い「アーカイブ」署名鍵（少なくとも１８００ビット）を使用して署名され、したがってユーザは取引をどこにでもアーカイブすることができる。しかし、「ワンステップショッピング」として取引をＲＭに記憶させると便利である。
【０３６３】
９．署名装置の確認
取引２１４の署名者が装置（装置に制限された加入者の専用鍵）である場合には、リライアンスマネージャ２１８は、この装置（確認装置、ステップＳ２３６）が生み出した署名の履歴に基づいて異常を検査する。リライアンスマネージャ２１８は、発行者名、認証番号、署名順序番号、ならびにメッセージ２１６を受信した日付および時間とともに、取引記録を保存する。
【０３６４】
いくらかの期間の後で、リライアンスマネージャ２１８は、これらの取引を分類し、過去の取引の順序番号および日付／時間値の異常を検査する。この装置が製造業者に特有の開始値および増分を有する場合には、順序番号を検査してそれらが正しい順序に従うかどうかを判定する。
【０３６５】
順序はずれの値（様々な取引で繰り返されたカウンタ値、関連するタイムスタンプに関して順序がずれているカウンタ値、または先行する値から説明できないほど大きなずれがあるカウンタ値など）が発見された場合には、その装置およびその加入者の認証を直ちに取り消さなければならない。したがって、発行側の認証局は、それらがユーザおよび装置の認証を適当なＣＲＬに追加することができるように通知される。リライアンスマネージャ２１８は、装置の所有者／加入者、ならびに分かっている場合には発行側の認証局または保証人、装置の製造業者、および場合によっては法律執行認証局に通知することもできる。
【０３６６】
債務トラッキングサーバ２２０は、装置の署名番号の現在の値を読取りおよび書込みするために、リライアンスマネージャ２１８を使用できる。各装置の認証２３６または各加入者の認証２０４は、債務トラッカ２２０で対応するエントリを有することができる。リライアンスマネージャは、署名を処理する度に、グローバル署名番号のエントリを更新することができる。このようにして、２重または詐欺的な署名はより迅速に検出される。
【０３６７】
１０．保険の獲得
場合によっては、リライアンスマネージャ２１８は、取引の妥当性検査におけるそれ自体の想定されたリスクをカバーするために、または認証局または保証人の代わりに保険を得ることができる（ステップＳ２３８）。通常は、リライアンスマネージャは、事前に確定した期間、条件、および保険料率を受ける少額署名保証保険証券にそれらに代わって書き込む権限を与えられた、１つまたは複数の保険会社の公認代理人となる。ＲＭＲ（レシート）はリライアンス金額および支払われる手数料をリストし、任意選択で署名保証を引き受ける保険会社名をリストすることもある。
【０３６８】
１１．信頼当事者へのリライアンスマネージャ応答
メッセージ２１６を（信頼当事者２１２から要求された程度まで）確認し、適当な当事者に請求および通知し、適当な保険を発行または購入し、必要な記録を記憶した後で、リライアンスマネージャ２１８は、デジタルに署名し、メッセージ２１６が送信されたのと同じ方法、例えばソケット、ＨＴＴＰ、電子メールなどで信頼当事者２１２に送り返すような、リライアンスマネージャ応答（ＲＭＲ）２２６を作成して送信する（ステップＳ２４０）。レシート２２６は、信頼当事者２１２に送信される前にタイムスタンプサーバ２２８によってタイムスタンプを付けることができる。タイムスタンプサーバは物的エンティティと法的エンティティが異なり、一方または他方（リライアンスマネージャまたはタイムスタンプサーバ）が故障した場合に、それが少なくとも妥当に見える取引を遡って有効にすることができないようになっていることが好ましい。
【０３６９】
レシート２２６は下記の情報を含む。
【０３７０】
１．リライアンスマネージャ２１８の識別
２．このレシート独自の識別子（順序番号）
３．信頼当事者２１２の識別（および任意選択でそのアドレス）
４．信頼当事者独自のメッセージ順序番号
５．検査したメッセージのハッシュ
６．処理した日付および時間（申告値）
７．
・ 認証状況の検査が受容可能であったかどうか、
・ その金額が要求されたリライアンス限界の範囲内であったかどうか、そして
・ メッセージが保存されたかどうか、またその場合にはアーカイブ検索識別番号
を含む要求の結果
８．状況検査が失敗した場合に、認証による状況／理由コードのリスト
９．信頼当事者が要求したリライアンス限界（０でもよい）
１０．署名者（加入者２０２）が自分の限界を超えた場合に、サービス（リライアンスマネージャ２１８）が限界超過例外処理をサポートするかどうか
１１．信頼当事者から限界超過処理が要求された場合に、どの方法をその処理のために使用するか
１２．状況検査およびリライアンス限界が受容可能であった場合に、検査した認証によって支払われる手数料と、加入者および／または第三者に請求される総手数料のリスト（この総手数料は信頼当事者の口座に請求される）
１３．メッセージが以前に検査されているかどうか、また加入者／保証人の資金がなくなったかどうか
１４．状況検査サービス２１８の署名
１５．タイムスタンプサーバ２２８の署名および時間
【０３７１】
２．Ｂ．６ 状況検査料の考慮事項
検査が失敗した場合でも、認証検査後との基本手数料は要求されることがある。場合によっては、リライアンスが０でも、認証が受容可能である場合に手数料がより高くなることもある。
【０３７２】
２．Ｂ．７ 限界超過保証（ＯＬＧ）要求
信頼当事者２１２が限界超過保証を要求する場合には、その当事者は限界超過保証（ＯＬＧ）要求を（メッセージ２１６として）リライアンスマネージャ２１８に送信する。ＯＬＧ要求は、取引２１４に関連する認証中に記載されたリライアンス限界超過保証を要求するために使用される。
【０３７３】
ＯＬＧ要求は、要求者の名前およびネットワークアドレス、このＯＬＧ要求の独自の識別子（順序番号）、請求するための請求サービス口座番号、認証の発行者の名前および通し番号のリスト、ならびにこの状況検査サービスのために、
１）署名の順序番号（存在する場合）
２）検査中のメッセージのハッシュ
３）限界超過手数料の見積もりコスト
４）要求の日付および時間
５）預金口座または請求口座（ｂｉｌｌｉｎｇ ａｃｃｏｕｎｔ）に請求（ｃｈａｒｇｅ）するための確認者の署名
を含む。
【０３７４】
リライアンスマネージャ２１８は、リライアンスマネージャ２１８が信頼当事者の要求した限界超過リライアンス金額を承認および保証していることを除けばＲＭＲ応答と同様の応答でＯＬＧ要求メッセージに応答する。
【０３７５】
２．Ｂ．８ 信頼当事者による最終的な処理
信頼当事者２１２は、リライアンスマネージャ２１８からレシート２２６を入手すると、まず、そのレシート２２６に記載されている信頼当事者の識別を調べて、そのレシート２２６が正しい信頼当事者２１２に送信されたものであるかどうかを検査する。次に信頼当事者２１２は、そのレシート２２６をそれが送信したメッセージ２１６と関連づける。この関連づけを行うために、信頼当事者２１２は、レシート２２６中の独自のメッセージ識別子（順序番号）の値を検査する。信頼当事者２１２がこのレシート２２６に対応するメッセージ２１６を発見しない場合、すなわちこのレシートが間違った信頼当事者に送信されている場合には、受領者は、見つかった不一致をリライアンスマネージャに通知することもできるし、または単純にこのレシートを無視して何もしなくてもよい。
【０３７６】
自分がそのレシート２２６の正しい受領者であると判断し、そのレシートに対応するメッセージ２１６を発見すると、信頼当事者２１２はリライアンスマネージャの署名を確認し、そのレシートを評価してリライアンスマネージャの処理の結果を決定する。換言すれば、信頼当事者２１２は、そのレシート２２６を調べて、メッセージ２１６が要求された認証状況検査に合格したかどうか、またその金額が要求されたリライアンス限界の範囲内であったかどうか、またそのメッセージが保存されたかどうかを判定する。メッセージが保存された場合には、信頼当事者は保存検索識別番号を記憶する。
【０３７７】
信頼当事者２１２は、次いで、通知の働きをするレシート２２６を切り離し、記憶する。レシートはこの特定の信頼当事者に関してのみ適しており、別の当事者が追加署名保証料を支払うことなくそれを信頼することはできないことに留意されたい。以前のレシートが提示された場合に、リライアンスマネージャは、同じ文書または取引に対してその後の信頼当事者に割引を申し出ることができる。
【０３７８】
次に、レシート２２６が状況検査およびリライアンス限界は受容可能であったことを示す場合には、信頼当事者２１２は、請求サービス２２４によってその口座に請求された手数料を評価し、記録し、控除する。
【０３７９】
加入者２０２がその限界を超えたために状況検査が失敗した場合には、信頼当事者は、レシート２２６から、リライアンスマネージャ２１８が限界超過例外処理をサポートするかどうかを判断し、次いでこの処理を要求するかどうかを決断する。
【０３８０】
ある特定の取引２１４は、メッセージが複数のリライアンスマネージャ２１８に送信されることを必要とすることがあることを想起されたい。信頼当事者２１２は、取引２１４を続行するかどうかを最終的に決定することができるようになる前に、全てのリライアンスマネージャがレシート２２６で応答するのを待機しなければならない。したがって、信頼当事者２１２は検査を行い、このレシート／メッセージ対に関連する取引について、未解決のリライアンスマネージャの要求があるかどうかを判定する。存在しない場合には、信頼当事者は加入者２０２との取引２１４を続行することができ、そうでない場合には、その他のリライアンスマネージャから取引２１４に関連するその他のメッセージ２１６への応答を引き続き待機する。
【０３８１】
全てのレシート２２６に報告された結果に基づいて（特定の取引に対応する）、信頼当事者２１２は取引を続行することができる。すなわち、全ての検査を実行し、保証および請負いを受け取ると、実際に取引を信頼することができるようになる。
【０３８２】
２．Ｃ ユーザ認証の形式
図１１は、本明細書に開示のシステムで使用する典型的な署名者の認証のエレメントを示す図である。図示の認証は、ＩＴＵ Ｘ．５０９認証であり、追加フィールドはＸ．５０９ Ｖｅｒｓｉｏｎ ３で前述した拡張子にすることができる。それぞれを別個の拡張子にすることも、完全な「リライアンス指定」を複数の内部エレメントを含む単一のＶｅｒｓｉｏｎ ３拡張子にすることも、この２つを何らかの形で組み合わせることもできる。
【０３８３】
図１１に示すように、リライアンス指定は少なくとも下記を含むことができる。
【０３８４】
１．何らかの公称金額（ｎｏｍｉｎａｌ ａｍｏｕｎｔ）を超えるとリライアンスが推奨または保証されないという陳述。値が高い方がＣＡまたはその保険者および再保険者に対する過度なリスクを引き起こさないことを損失経験が示す場合に、この金額は増加することがある。
【０３８５】
２．発行側ＣＡによって承認された少なくとも１つの状況検査サービスの名前、および任意選択でそのネットワークアドレス。Ｘ．５００ディレクトリ参照システムを使用する場合には、名前およびアドレスは１つになる。そうでない場合には、有効なネットワークアドレスおよび通信手段を指定する必要があることもある。
【０３８６】
３．状況検査メッセージ（ＳＣＭ）、リライアンス保証要求（ＲＧＲ）、限界超過保証（ＯＬＧ）、および信頼当事者がその権利の一部または全てを行使しないことに自発的に同意して所与の署名を信頼し、それによりその他の取引について後に使用することができる署名者のリライアンス限界の一部分を現行期間だけ解除する、「非信頼」（ｕｎｒｅｌｙ）機能（後述）も含めて、この実施形態に記載のサービスを実行するための基本手数料の予定。
【０３８７】
４．状況検査サービスが署名保証料を請求する許可を、信頼当事者にそれらを支払うように要求する代わりに、送信者／署名者または別の第三者（通常は署名者の雇用主または保証人）に付与する任意選択フィールド。このフィーチャを使用するときには、状況サービスは記録を署名番号（別の箇所に記載）または署名値（またはそれから得られた何らかの値）の記録を保持し、同一のまたは異なる信頼当事者が第三者の請求フィーチャを複数回利用することを防止する。すなわち、状況サービスは、特定のデジタル署名が以前に検査および保険をかけられており、保証人の資金の浪費につながる可能性のある保証人の費用でそれを再検査するいかなる試みも拒絶することを検出する。
【０３８８】
５．権限を与えられたときに、状況検査および保証の手数料をカバーすることに同意した第三者の名前および口座番号。
【０３８９】
別法として、その内容を参照により完全に本明細書に組み込む「Ｍｅｔｈｏｄ ｆｏｒ Ｓｅｃｕｒｅｌｙ Ｕｓｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ｉｎ ａ Ｃｏｍｍｅｒｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｓｙｓｔｅｍ」と題する米国出願第０８／６８２０７１号に記載のように、当該の認証は、加入者名を公開鍵と関連づける識別認証にすることはできないが、識別認証に関連して何らかの特権または権限を加入者に授与するものにすることはできる。これは、第２の実施形態の署名保証レシートと類似した第１の実施形態の「二次認証」と混同されないものとする。このような公認認証は、リライアンスマネージャによる管理を必要とする、取引限界の関連システムを有することもでき、したがって上述のものと同じまたは同様の「リライアンス指定」フィールドのセットをそれに追加していることになる。
【０３９０】
２．Ｄ 見積もり要求
状況検査メッセージは、完全な署名保証のコストの見積もりをリライアンスサービスに発行させるが実際には保証を発行しない見積もり要求インジケータも、記述されたリライアンス金額とともに含むことができる。
【０３９１】
リライアンスマネージャから発行された見積もりは、信頼当事者が後の署名保証要求に関連して使用することができる独自の識別子を含む。最初の状況検査の直後に保証要求がリライアンスマネージャで受信された場合には、状況検査をもう一度実行する計算オーバヘッドなしでこの保証を発行することができる。さらに、見積もりは、検査を再実行せずにその保証を発行することができる期間を指定することができる。一般に、見積もりはこの期間が満了した後も有効のままであるが、状況検査はもう一度実行し、再度状況検査料を負わなければならない。
【０３９２】
２．Ｅ 「非信頼」機能
リライアンス管理システムでは、発行側ＣＡは、通常は、所与の期間の間、一定のリライアンス限界を各加入者に割り当てることになる。例えば、何らかの付随的な調達権限（ｉｎｃｉｄｅｎｔａｌ ｐｒｏｃｕｒｅｍｅｎｔ ａｕｔｈｏｒｉｔｙ）を有する低位水準被雇用者には、毎月１０００ドルのリライアンス限界が与えられることがある。しかし、取引の例としては多数あり、署名保証を購入した見込み信頼当事者によって状況検査された後、様々な理由で進行しなくなり、これにより当該期間の間署名者に許されたリライアンス限界を使い果たすというような例がある。
【０３９３】
毎月の期間の満了が近づいた場合には、署名者は追加日をただ待つだけでよく、その後システムが彼のリライアンス限界を１０００ドルにリセットすることになる。しかし、署名者その者が既にほとんど自分の限界に達しており、追加取引を実行する必要がある場合には、これは介入（ｉｎｔｅｒｖｅｎｔｉｏｎ）なしにその者に引き続き作業をさせることができるには不十分となる。
【０３９４】
この問題の簡単な解決策は、信頼当事者が、通常は独自の裁量で、署名者／加入者への便宜として、その者がもはや当該の取引を信頼するつもりがないと記載した署名付き取引をリライアンスマネージャに送信することによって、別の任意のエクスポージャ、またはおそらくは虚偽の取引に対する損害を支払う義務から、リライアンス管理システムを解放することができるようにすることである。ユーザのリライアンス限界の全額を再度信用（ｒｅ−ｃｒｅｄｉｔ）することができるが、システムは状況検査料と、おそらくは署名保証料の一部とを保持する。
【０３９５】
延長として、信頼当事者は、ある取引を実行しようとする際にある署名を部分的に信頼することができるが、その取引は完了しない。例えば、顧客が「指値注文」を株式仲買人に送信し、この株式仲買人が次いで顧客が指定した価格でその指図を実行しようとするが、市場の価格の揺らぎにより、価格の要件が一致しないためにその指図が実行されないこともある。この場合には、リライアンス管理システムは、その指図が虚偽の署名を使用して記入されている可能性があるという危険またはリスクにさらされており、したがって保証料の一部は得られる（おそらくはその取引を行い、次いで取り消す取引手数料で評価される）が、システムは偽造取引に基づいて未知の人間に有価証券を送ることによって生じているはずの元金の損失の完全な危険にさらされていない。
【０３９６】
様々な主要な取引システムの当事者は、失敗した取引の再信用予定に予め同意することもできるし、またはおそらくは信頼当事者（例えば株式仲買人）は、手数料を吸収することに決め、それらを有益な取引からの内部補助によって埋め合わせることもある。このような手数料のチャージバック（ｃｈａｒｇｅｂａｃｋ）およびリライアンス解放予定は、リライアンスマネージャのサービスが提供する要素となることもあり、またリライアンスサービス、加入者、または仲買人の認証で現れることもある。
【０３９７】
「非信頼」取引は、信頼当事者が特定の署名者から受け取り、それに基づいて保証が発行された特定の以前の取引を指し、信頼当事者が状況サービスと取引がない場合には添付認証で信頼当事者によって署名された、新旧の（少額、おそらくは０ドルの）リライアンス金額を記載することになる。状況サービスは、現行期間の署名者／加入者のリライアンス限界の差を再度信用することになる。
【０３９８】
２．Ｆ 署名保証期間
本明細書に記載のデジタル署名のためのリライアンス管理システムでは、保証期間の開始時および終了時を当事者が選択することができる場合には、デジタル署名の真正さを引き受ける（保証する、保険をかけるなど）ことが望ましい。その主な理由は、保険者が、彼らのリスクがこのような追加手段によって適当に低減している場合には、それにより保険料のコストを低減することができるからである。
【０３９９】
デジタル署名を信頼することの最高レベルのリスクは受領直後に生じるが、これはその署名が、おそらくは盗むことによって合法ユーザの署名装置へのアクセスをその起動コードまたはＰＩＮ番号の知識とともに不当に得た権限のない人間によって作成されたが、合法ユーザが盗難を発見してＣＡに接触し、それらの認証を取り消すよう要求するには時間が不十分である可能性があるからである。実際に、このリスクの間隔は、本明細書に記載のリライアンス管理システムが、起こりうる偽造損失に直面していても、それらの損失を保険ベースシステム中で相互化することによって適時に商取引を進めることができる間隔である。
【０４００】
ａ．リライアンスの遅延開始
見込み信頼当事者が、実際にそれを信頼する前に数時間、数日または数週間にわたって取引を「保持」することができるときには、推定署名者がそれらの署名装置の盗難または権限のない使用を検出して報告するのにはるかに多くの時間をかけているので、状況サービスはより低い署名保証料を見積もることができる。このリスク低減効果は、意図された信頼当事者が、その後それらの定期手形（ｐｅｒｉｏｄｉｃ ｐａｐｅｒ）または電子陳述書（ｅｌｅｃｔｒｏｎｉｃ ｓｔａｔｅｍｅｎｔ）の一部として署名者／加入者に報告することができる保証を、リライアンスサービスから購入するときに最大となる。署名者は、権限のない取引を目にしたときには、これを状況サービスに報告することができ、次いでこれが信頼当事者に、信頼当事者が実際にそれを信頼する前に通知することができる。ほぼ任意の遅延程度、わずか１〜２時間程度でも、それらの署名装置が紛失していることを発見し、それをそれらのＣＡおよびリライアンスサービスに報告するための時間をより多く合法ユーザに与えることができるので、これよりは劣るがリスク低減効果を達成することができる。
【０４０１】
ｂ．リライアンスの低減したテール
保険者は、より短い有効期間でリスクを想定することを好む。いくつかのデジタル署名は、長期間にわたって信頼されることを必要とすることがある。例えば、証書、抵当、遺言、法律、約定を保護する者は、２０年以上にわたって確認でき、信頼できるままである必要があることもあるが、主な商業契約では１０年以下のリライアンスが必要となる。しかし、ほとんどの小さな取引は数週間または数カ月以内に清算され、忘れられることになり、その後は、署名者が署名の真正さを否定することを防止するその他多くの事実が既に存在しているので、真正のデジタル署名は現実には証拠として必要とされない。例えば、商品、サービス、または金融証書を買うまたは売る契約が双方で完全に実行されており、数カ月が経過している場合には、信頼当事者がもはや、偽造または詐欺の最近の請求から保護されることに強い必要性を感じていないこともある。したがって、信頼当事者は、（ａ）短縮された保証期間をリライアンスサーバに要求することも、（ｂ）いずれかの時点で、非信頼取引を発行して、支払われるリライアンス保証料の一部を回収しようとすることもできる。
【０４０２】
図１２は、前段落で論じたリスク、時間、コストを考慮する図である。可能であれば、洗練された信頼当事者は、その実際のエクスポージャのみに保険をかけ、それによりその保証料を低減しようとする。図示の例では、信頼当事者は、（ａ）報告されていない偽造があるリスクがその後にかなり低下する時間Ｔ１まで、また（ｂ）時間Ｔ２の後では、取引を信頼することを必要とせず、それにより遠い将来までの「ロングテール」保険適用範囲が不要となる。署名保証に対して支払われる保険料は、Ｔ１およびＴ２で示す２本の垂直な線の間の曲線の下の面積に比例することがある。
【０４０３】
ｃ．マルチステージリライアンス価格付け
多くのビジネス状況では、ある文書が様々な目的のために様々な当事者によって複数回信頼されることがある。一例としては、所有の在庫（ｉｎｖｅｎｔｏｒｙ ｏｆ ｐｒｏｐｅｒｔｙ）が（ａ）起こりうる貸付または融資を見込んで貸し手または投資家に伝達され、金融協定を準備する際に当事者によって信頼され、また（ｂ）終結プロセスの要素として、この金融協定の下の証券協定（ｓｅｃｕｒｉｔｙ ａｇｒｅｅｍｅｎｔ）の一部として保証およびファイルされる、取引の終結（ｄｅａｌ ｃｌｏｓｉｎｇ）がある。別の例としては、（ａ）購入またはリースの融資、（ｂ）責任保険、および（ｃ）認可番号札を得るために信頼される、自動車の権利（ｔｉｔｌｅ）がある。しかし、この先の任意の段階で取引が遅れる、または吸収される可能性は常にある。したがって、以前に規定したマルチステージ取引の状況では、リライアンスサービスは、同じまたは異なる当事者に発行された同一文書の同じ署名の一連の保証に対して割引価格を見積もり、次いでステージが完了するにしたがってそれぞれを請求することができる。
【０４０４】
この場合、状況サービスへのリライアンス要求メッセージは、取引階級および特定タイプのマルチステージ取引（例えば住宅抵当終結）の開始および継続を識別する独自の識別子を含むことになり、各取引ステージごとに、または全てのステージを一組として、特別価格が見積もられている。所与のステージ用に記述された取引レシートが実際には異なる取引ステージについて信頼された場合には、保証は無効となる。
【０４０５】
２．Ｇ ポートフォリオリスク管理
別の実施形態では、ＣＡまたはその他の保証人は、署名者／加入者（および属する任意の企業またはグループ）の許可された活動を記載したデータ値のアレイを、リライアンスサーバのデータベースに送信し、リライアンスサーバが、状況検査および署名保証（確認）のためにそれに送信される取引に応答して、独立してそれらのデータ値それぞれを管理することができるようにする。
【０４０６】
例えば、金融機関は、様々な代理人のグループを利用して様々なタイプの金融取引を実行することも、様々なタイプのリスクに関するファームワイド（ｆｉｒｍ−ｗｉｄｅ）保険証券を賦課し、次いでそれらの保険証券に違反することになる取引の特別許可を否認または必要とすることによってそのファイナンシャルリスクを制限しようとすることもできる。通常は、企業の信用およびリスク管理部門は、これらの制限を開発および管理する。いくつかの例は下記を含む。
【０４０７】
１．カウンターパーティが未解決の取引を支払う（清算する）ことができないというリスクである「信用リスク」を管理するために、企業は、各カウンターパーティとの未解決の取引について最大限のエクスポージャを定め、現在カウンターパーティに支払う義務のある、またはこれから支払われる金銭または有価証券の金額が、５０００万ドルなど指定された値を超えることができないようにする。これらの限界は、所与のカウンターパーティまたはカウンターパーティの階級のクレジットワージネスを高める、または低下させる新しい情報が利用できるようになるにつれて調整し直すことができる。
【０４０８】
２．外国通貨の価格が突然変化するリスクである「通貨リスク」を管理するために、企業は、特定の外国通貨（日本円など）のデノミネーションがあった全てのカウンターパーティに支払う義務のある、またはこれから支払われる金銭または有価証券の総額が２０億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、円ドルの為替レートが大きく急激に変化する場合には、企業の総最大リスクは分かっており、予め制御されている。
【０４０９】
３．所与の国の政府が好ましくない経済的または法的政策（最悪の場合外人所有資産の没収も含む）を賦課するというリスクである「ポリティカルリスク」を管理するために、企業は、各外国経済（南アフリカなど）に関連する有価証券の総額が、１０億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、南アフリカ政府が突然全ての外人資産を差し押さえ、外債の支払いを拒否した場合には、企業の総最大リスクは分かっており、予め制御されている。
【０４１０】
４．特定の地域（ニューイングランド、Ｒｕｓｔ Ｂｅｌｔ、東ヨーロッパ、シリコンバレーなど）、または産業タイプ（鉄鋼、自動車、航空会社、化学、コンピュータなど）に関連する金融資産（株や証券など）のリスクである「地域または産業リスク」を管理するために、企業は、所与の各地域または産業に関連する有価証券の総額が、５億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、石油の価格が４倍になり、航空会社の株価が下落した場合に、企業の総最大リスクは分かっており、予め制御されている。
【０４１１】
毎日の取引が清算されるにつれて、それぞれのリスクのタイプの限界に対する企業の未解決のエクスポージャは、計算し直され、初期化し直され、したがって被雇用者はその他の取引に入ることができる。定期的に、外部限界自体は、リスクの各階級で認められた価格の変動性およびリスクのレベル、ならびに企業の資本状態およびリスクに対する欲望を考慮に入れて検査および調整される。さらに、その企業がおそらくは短期間だけ余分なリスクを容認するのに十分なビジネスケース（ｂｕｓｉｎｅｓｓ ｃａｓｅ）が存在する場合には、例外またはシステムのオーバライドを手作業または半分自動化して行うことができる。
【０４１２】
前述のリスクおよびそれと同様のその他のリスクは、リライアンスサーバが検査するあらゆる取引のデータ内容を備える場合には、本明細書に記載のものなどのリライアンスサービスによって中央で自動的に管理することができる。取引は、その企業によって経営または契約された中央のリライアンスサービスによって確認されるまで、有効にならない。定期的に（通常は毎日）、企業は、現在権限を与えられた限界でリライアンスサーバのデータベースを更新し、その日の間は取引の流れはこれらの限界と突き合わせて動作する。もちろん、（ａ）円をドルで売る、または（ｂ）Ｇｅｎｅｒａｌ Ｍｏｔｏｒｓの株を現金で売るなど、エクスポージャを減少させるいくつかの取引は、それぞれ円（通貨）および自動車産業が利用できるエクスポージャ限界を高くする。取引を一晩で清算しても、カウンターパーティに支払う、またはこれから支払われる金銭の額は減少し、それによりそれらに許された信用限界の一部または全てが解放される。
【０４１３】
したがって、リライアンスサーバは、所与の企業の被雇用者が始めた取引の結果として生成されたリスクエクスポージャ限界を管理するのに必要な情報を記憶するように修正される。この企業は定期的にこの情報を更新し、リライアンスシステムはリライアンス検査用にそれに与えられた取引に従って、利用可能な限界を減少または増加させる。
【０４１４】
本システムは、（ａ）このような全ての取引を管理するための便利な中央点を、１つの企業だけでなく多くの企業に提供し、これによりしばしば事後管理される多くの分断されたシステムに取って代わり、また（ｂ）状況／リライアンス検査サービスによって副署されない限り取引が有効にならず、支払われないことから、ほぼ１００％のコンプライアンスを効果的に強制することができるので、大規模なコストの節約および効率の向上を図ることができる。
【０４１５】
このようなシステムは、両替制御を執行する、あるいは特定の商品の輸入または輸出を制限するなど、政府または事業者団体によって制御が賦与されたのに応答して、地域、州、または国家レベルで経済的政策を執行することもできる。すなわち、政府団体または事業者団体は、前述のファームワイドシステムと同様にその内容、方向、金銭的価値などに依存する取引を執行するか、または、それらに差額税（ｄｉｆｆｅｒｅｎｔｉａｌ ｔａｘｅｓ）をかけることを断ることもある。指定されたリライアンスサービスからのレシートは、制御システムに従おうとする全ての取引が必要とする。この場合には、リライアンスサーバは、例えば発展途上国の場合と同様に乏しい外貨準備高を保存するようになされた一組の限界を執行することもできる。
【０４１６】
このようにして、電子取引システム用のリライアンスマネージャが提供される。当業者なら、制限ではなく例示を目的として記載された実施形態以外で本発明を実施することが可能であり、本発明は以下の請求の範囲によってのみ制限される。
【図面の簡単な説明】
【０４１７】
【図１】典型的なＸ．５０９認証のフォーマットを示す図である。
【図２】典型的な認証階層を示す図である。
【図３】本発明の第１の実施の形態による電子取引システムの概要を示す図である。
【図４】図３によるシステムによって使用されるデータ構造を示す図である。
【図５】図３によるシステムによって使用されるデータ構造を示す図である。
【図６】本発明の第２の実施の形態による電子取引システムの概要を示す図である。
【図７】図６のシステムのユーザへの認証の発行を示す図である。
【図８】本発明による、デジタルに署名された取引の、ユーザによる生成を示す図である。
【図９】本発明による電子取引システムの態様の動作を示すフローチャートである。
【図１０】本発明による電子取引システムの態様の動作を示すフローチャートである。
【図１１】リライアンス指定を含むＸ．５０９認証のフォーマットを示す図である。
【図１２】リスク、時間、コストに関する検討すべき様々な点を示す図である。
【技術分野】
【０００１】
本発明は、電子取引に関し、詳細には、デジタル認証（ｃｅｒｔｉｆｉｃａｔｅ）に対するリライアンスをサポートし、電子取引システムにおけるこのような認証のリスクを管理するサービスに関する。
【背景技術】
【０００２】
１つにはインターネットなどのグローバルコンピュータネットワークが現われ、１つには電子的な商取引の安全を高める公開鍵暗号が進歩し成熟したため、商取引を電子的に行うシステムがますます普及している。公開鍵暗号の電子商取引への応用は以前から、国際電気通信連合（ＩＴＵ、前ＣＣＩＴＴ）の勧告Ｘ．５０９（以下では「標準Ｘ．５０９」と呼ぶ）や、アメリカ法曹協会のＩｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ＣｏｍｍｉｔｔｅｅのＤｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｇｕｉｄｅｌｉｎｅｓ（１９９５年１２月版、以下では「ＡＢＡガイドライン」と呼ぶ）や、Ｕｔａｈ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｃｔ、Ｕｔａｈ Ｃｏｄｅ Ａｎｎ．ｔｉｔｌｅ４６、ｃｈａｐｔｅｒ３（１９９６年）などの法律および規則（以下では「ユタ法」と呼ぶ）などの文書で構想されている。
【０００３】
これらおよびその他の文書に規定された内容は、いくつかの問題に対処しているが、これらの問題のうちの多くは未解決である。
２．１ 従来型のデジタル認証手法
従来型の方法による電子商取引を使用する場合、各ユーザは、関連する一対のキー、すなわち、（ユーザによって秘密にされる）専用鍵と（対応する専用鍵の秘密を損なわずに誰でも知ることのできる）公開鍵とを有する。アルゴリズムは、特定の公開鍵を使用して、所与のメッセージに署名するか、あるいはそのメッセージを認証するために対応する専用鍵が使用されたかどうかを判定することができる。たとえば、ＡがＢにメッセージを送信し、メッセージが真正にＡのメッセージであることをＢに対して確実に保証する必要がある場合、Ａは自分の専用鍵を使用してメッセージにデジタルに署名し、Ｂはその後で、Ａの公開鍵を使用してメッセージが真にＡのメッセージであることを検証することができる。
【０００４】
公開鍵とは、値（一般には数）に過ぎず、公開鍵によってメッセージを認証する必要のある人を含め、誰とも固有の関連を有さない。デジタル署名（ｓｉｇｎａｔｕｒｅ）を広く商業的に使用するには、識別された人と公開鍵を関連付ける信頼できる情報が必要である。この場合、公開鍵を使用して、このような識別された人のメッセージを認証することができる。
【０００５】
デジタル認証（場合によっては公開鍵認証、あるいは単に認証と呼ぶ）はこのニーズを満たす。このような認証は一般に、認証局（ＣＡ）と呼ばれる信頼された第三者によって発行され、（１）発行側認証局が（多くの場合、認証実行文に記述された指定に従って）認証の主体を識別したことと、（２）（認証中の）指定された公開鍵が、認証の主体によって保持されている専用鍵に対応することを認証する。公開鍵認証の構造は、前述のＸ．５０９標準に含まれている。認証の内容はしばしば法律または規則で指定されている。典型的なＸ．５０９認証は、図１に示すフォーマットを有する。
【０００６】
認証の真正さを後で確実に検証できるようにするために、認証局は、認証を発行する際に署名する。公開鍵（発行側認証局の公開鍵）を参照することによって発行側認証局のデジタル署名自体を検証することができ、この公開鍵は、第２の認証局によって第１の認証局に発行される他の認証において第１の認証局に関連付けされる。上記の他の認証局のデジタル署名は、さらに別の認証にリストされた公開鍵によって検証することができ、公開鍵が広くかつ確実に配布されるいわゆるルート認証局またはプライム認証局に達するまで、認証のチェーンに沿って同様な検証を行うことができる。取引で信頼される認証の真正さを最大限に保証するために、信頼当事者は、従来型の方法を使用して、チェーン内の各認証を検証しなければならない。認証チェーンの例を図２に示す。この図で、ルート認証局は認証局ＣＡ−１に認証を発行し、認証局ＣＡ−１は認証局ＣＡ−２およびＣＡ−５に対して認証を行う。認証局ＣＡ−２はＣＡ−３を認証し、ＣＡ−３はＣＡ−４を認証し、ＣＡ−４は加入者１を認証する。認証局ＣＡ−５は加入者２を認証する。
【０００７】
大部分の法定システムは、発行側認証局と加入者、すなわち、認証にリストされている公開鍵に対応する専用鍵の所有者として認証で識別された人との間の契約に従って行われた表現、発見、または結論を認証とみなす。加入者以外の人は認証を信頼することができる。このような信頼当事者に対する認証局の義務は、表示または虚偽の陳述を支配する規則、認証局と加入者の間の契約の第三者受益者を信頼当事者とみなす規則、デジタル認証を支配する法律、またはすべての上記のことと、場合によっては他の法的原則の組合せによって生じる義務である。
【０００８】
多くの場合、認証を信頼する当事者の権利は限られている。たとえば、不正表示に適用される法律では、リライアンスは一般に、合理的なものである必要がある。さらに、ある種の認証に対するリライアンスは、基本的に信頼できないものと指定されている。ブライトラインによって、ある種の明らかに信頼できない認証が他のすべての認証から分離されており、信頼当事者は、このような認証を信頼しても信頼当事者自身が危険にさらされるに過ぎず、認証の欠陥について発行側認証局や加入者に対して償還義務を負うことはない。基本的に信頼できない認証は従来、無効と呼ばれ、このような認証には、
（１）期限の満了した（すなわち、リライアンスの時間が、その満了について認証に指定された日付よりも後である）認証、
（２）取り消された（すなわち、認証を発行した認証局によって永久的に無効であると宣言された）認証、
（３）リライアンスの時間に中止された（すなわち、認証を発行した認証局によって一時的に無効であると宣言された）認証を含めることができる。
【０００９】
また、加入者から受け入れられておらず、また認証局から発行されたものではない認証を、効力を生じたとみなすべきではなく、場合によっては無効とみなすことができる。
【００１０】
認証の中止および／または取消しは、認証局または加入者によるエラーの影響を最小限に抑える重要な手段である。適用される法的規則に応じて、認証局は、認証を取り消すことによってその認証の不正確さによるさらなる損失を回避することができる。加入者は、危険にさらされた専用鍵、たとえば、なくすかあるいは盗まれた専用鍵を使用して作成された偽造デジタル認証に対するリライアンスを防止するために認証を取り消すことができる。取消しによって無効化された認証は一般に、ＩＴＵ Ｘ．５０９に従って認証取り消しリスト（ＣＲＬ）にリストされる。中断や一時的無効化はＩＴＵ Ｘ．５０９では企図されておらず、ＣＲＬに含めても、あるいは含めなくてもよい。各認証がそれ自体の満了日付を含むので、期限切れのために無効化された認証をＣＲＬにリストする必要はない。
【００１１】
実際には、従来型のＣＲＬベースのシステムは以下のように働く。加入者が検証可能なデジタル署名を作成できるようにするには、認証局が、加入者の公開鍵を用いて加入者を識別する認証を発行できるようにするための準備を署名者が行わなければならない。加入者は、発行された認証を受信し受け入れ、次いでデジタル署名を作成し、認証のコピーを各署名に付加する。取引の他方の当事者は、このようなデジタル署名を受信すると、認証局を用い、一般には当事者のオンラインデータベースを介して、認証が現在有効であるかどうかを判定する。有効であり、認証中の公開鍵によってデジタル署名を検証できる場合、この当事者は通常、このデジタル署名を確実に信頼することができる。
【発明の開示】
【発明が解決しようとする課題】
【００１２】
２．２ デジタル署名認証の従来の手法の問題
上記で要約され、標準Ｘ．５０９、ＡＢＡガイドライン、ユタ法、および同様な文書で構想されたシステムは、以下のことを含めいくつかの欠点を有する。
【００１３】
リスク管理に関する小サポート：
従来型のシステムは、認証局が認証のリスクを管理することを可能にする機能や機会をほとんど提供しない。ある人が、認証局が発行した認証をいつ信頼したかや、認証局が発行した認証を信頼する程度は、認証局には知らされない。認証局は、未解決の認証を監視し、問題が生じているかどうかを確認し、虚偽の認証のリスク、または認証局が慎重に行うべきであるリスクにさらされる範囲にどの因子が影響を与えるかを評価することもできない。さらに、従来型のシステムは、加入者および信頼当事者が、専用鍵の安全を維持するリスクを含め、自分たちのリスクを管理するのを助ける機能をほとんど提供しない。
【００１４】
信頼当事者に対する不十分なサービス：
主として、加入者ではなく、信頼当事者が取引における詐欺または偽造のリスクを負う。文書が偽造されるか、あるいは不正に変更された場合、信頼当事者はその影響を受け、すなわち、大部分の州の法律に従って、このメッセージは無効であるとみなされる。信頼当事者は取引の情報セキュリティに最も強い利害関係を有するが、認証局のサービス契約は完全に加入者との契約である。詐欺または偽造の場合、場合によっては加入者がそれを犯す。したがって、従来型のシステムの役割は、認証局が、問題の事件において比較的利害関係を有さない当事者または場合によっては詐欺や偽造を行った者に対処するが、主として損失を負う当事者とは接触しないようにすることである。このため、認証局は信頼当事者に対する重大な責任リスクを負い、信頼当事者にサービスを提供するビジネス機会を放棄する。デジタル署名インフラストラクチャには、加入者にのみ対処するのではなく、信頼当事者に対処する方法も必要である。
【００１５】
加入者によるコスト負担：
認証局の契約は、信頼当事者ではなく、加入者のみとの契約であるので、上記で指摘したように、主として信頼当事者が、署名されたメッセージのセキュリティに利害関係を有する場合でも、認証局はすべてのコストおよび利益を加入者から回復するしかない。
【００１６】
頑丈さの欠如：
従来型のシステムはリスク管理および信頼当事者のニーズに対処していないので、認証局は自分たちの役割を狭義に解釈する傾向がある。認証局はたとえば、認証に関する実際のビジネスニーズを満たそうと意図的に努力することなしに、すなわち、各当事者の取引に対する期待を保証しようと意図的に努力すること無しに、例えば、明白な運転免許を機械的に見ることを約束したり、認証の公証された申込みを額面どおりに受け入れることがある。この機械的な認証手法は、電子商取引取引に他の価値を付加するＣＡの可能性を制限する。公認、認可、法律上の実体の法的ステータス、クレジットを認証するより頑丈なシステムを実現する必要がある。
【課題を解決するための手段】
【００１７】
本発明は、電子取引システムにおいて、リライアンスサーバは、以下の特徴のうちのいくつかあるいはすべてを含む情報処理システムを提供することによって上記およびその他の問題を解決する。
【００１８】
（１）信頼当事者との契約、すなわち、加入者のデジタル署名を受信し、場合によっては信頼することによって、信頼当事者からの要求に応じてサービスを実行する契約。
【００１９】
（２）信頼当事者からの要求に応じて、サービスを実行、例えば、加入者の認証の有効性および真正さを認証することや、信頼当事者のニーズを満たすように構成された二次認証の形での認証の正確さおよび信頼性に関する追加の保証を行うことを含むサービスを自動的に実行すること。二次認証とは、他の認証と、場合によってはリライアンスサーバによって収集され維持された追加の情報とに基づいて自動的に発行される認証である。
【００２０】
（３）信頼当事者からの要求に応答して実行されたサービスの記録を保持することによって、有効な認証に対してリライアンスサーバおよび認証局がリスクにさらされる範囲を監視すること。
【００２１】
（４）認証局と協働で確立されたある基準に対して信頼当事者の要求を評価することによって、リライアンスサーバおよび認証局の受ける認証リスクを制限し管理すること。リスクは、拘束され管理されるので、より容易に保証することができる。
【００２２】
（５）加入者の認証に対するリライアンスと、このようなリライアンスの範囲と、リライアンスサーバから発行された保証の額とを加入者に知らせる。加入者に頻繁に報告することによって、加入者は問題を発見し、それによってタイムリーな救済処置の責任を共有することができる。
【００２３】
（６）信頼当事者の要求に応答する情報コンジットに保険業者を含めることによって、保険業者にその保険範囲を知らせること。
【００２４】
本明細書では、「当事者」の語は一般に、電子装置または電子機構を指し、「メッセージ」の語は一般に、デジタルメッセージを表わす電子信号を指す。「当事者」および「メッセージ」の語は、本発明の説明を簡略化するために使用される。「機構」の語は、本明細書では、ハードウェア、ソフトウェア、またはそれらの組合せを表わすために使用される。本明細書で説明する機構およびサーバは、標準汎用コンピュータ上で実現するか、あるいは特殊装置として実現することができる。
【００２５】
本発明は、電子取引システムにおいてリライアンスを管理する方法である。この方法は、加入者に一次認証を発行し、発行した一次認証に関する保証パラメータを認証局からリライアンスサーバへ転送する認証局を含む。リライアンスサーバは、発行された一次認証に関する転送された情報を維持する。加入者は取引を形成し、次いでこの取引を信頼当事者に与える。この取引は、認証局から発行された一次認証またはこの認証のＩＤを含む。信頼当事者は、加入者から送信された取引を評価し、この取引を「安全に」進めるために一次認証の真正さに関するある種の保証が必要であるかどうかを判定する。信頼当事者は、保証が必要であると判定した場合、加入者から受信した取引に基づく特定の額の保証を求める要求をリライアンスサーバへ送信する。次いで、リライアンスサーバは、要求された保証を与えるか否かを判定する。リライアンスサーバは、要求された保証、認証局から受信した発行済みの一次認証に関する保証パラメータ、要求側信頼当事者およびその他の信頼当事者にこのおよびその他の認証のために発行された保証に関する履歴情報、利用可能なその他の情報に基づいてこの判定を行う。この判定に基づいて、リライアンスサーバは、信頼当事者に保証を与える二次認証を信頼当事者に発行する。
【００２６】
好ましい実施形態では、一次認証は、定義済みのフォーマットのデジタルに署名された電子文書であり、認証局はこのフォーマット内で、加入者が取引を行う信頼当事者を対象とした表示を行う。この一次認証は、上記で引用した標準に定義されているＸ．５０９認証でよく、多くの場合そうである。一次認証は、特定の個人または組織の代理または認可を表す認証でも、あるいは支払い約束を与える認証でもよい。
【００２７】
ある場合には、一次認証はリライアンス限界を指定し、認証局からリライアンスサーバに転送される情報には、リライアンスサーバが一次認証に基づいて保証を与えることができるかどうかを制御する保証パラメータが含まれる。
【００２８】
ある場合には、保証パラメータには、一次認証に指定されたリライアンス限界を超える受け入れられるリライアンス限界が含まれ、保証を求める要求は、指定されたリライアンス限界を超える額に対するリライアンスを求める要求である。これらの場合、リライアンスサーバは、要求されたリライアンスが受け入れられるリライアンス限界を超えるかどうかを判定することによって、要求された保証を与えるかどうかを判定する。
【００２９】
好ましい実施形態では、この方法はさらに、一次認証に関連付けされた累積責任を追跡し、要求されたリライアンスによって、受け入れられるリライアンス限界を累積責任が超えるかどうかを判定するリライアンスサーバを含む。
【００３０】
要求された保証が他の認証の正確さを求める保証である、いくつかの場合には、この方法は、他の認証の現在の妥当性および真正さを検査し、次いでこの認証の正確さを認証する二次認証を発行するリライアンスサーバを含む。この妥当性検査には、認証のチェーンに沿ってこの認証のデジタル署名を検証することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３１】
要求された保証が他の認証の真正さを求める保証である、いくつかの場合には、この方法は、他の認証の真正さを検査し、次いでこの認証の真正さを認証する二次認証を発行するリライアンスサーバを含む。この検査には、認証のチェーンに沿ってこの認証のデジタル署名を検証することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３２】
要求された保証が他の認証の妥当性を求める保証である、いくつかの場合には、リライアンスサーバは、他の認証の現在の妥当性を検査し、この認証の妥当性を認証する二次認証を発行する。この検査には、この認証が中止されているか、取り消されているか、あるいは期限が満了しているかを判定することと、要求された保証が保証パラメータの範囲内であるかどうかを検査することが含まれる。
【００３３】
要求された保証が代理人の権限の保証を求める保証である、いくつかの場合には、この方法は、代理人の文書を、真正さを認証する二次認証と共に返すリライアンスサーバを含む。代理人の文書には委任状が含まれる。
【００３４】
要求された保証がある人の認可の保証を求める保証である、いくつかの場合には、リライアンスサーバは、この人の認可に関する認可団体または専門団体による陳述を、この陳述の真正さを認証する二次認証と共に返す。
【００３５】
要求された保証が実体の存在および／または地位の保証を求める保証である、いくつかの場合には、リライアンスサーバは、この実体が存在し、適切な地位にあり、営業を行う資格を有することを示す、この実体が組み込まれた官庁による陳述を返す。この陳述は、その真正さを認証する二次認証に同封される。
【００３６】
要求された保証が義務の履行の保証を求める保証である、いくつかの場合には、リライアンスサーバは、履行を保証する陳述を発行し、この陳述は、その真正さを認証する二次認証に同封される。
【００３７】
好ましくは、リライアンスサーバおよび信頼当事者は、リライアンスサーバが二次認証を発行する前に契約を締結する。この契約は、信頼当事者が要求を出した後に締結することができる。
【００３８】
取引はデジタル署名を含むことができる。
【００３９】
認証局からリライアンスサーバへ転送される保証パラメータには、特定のデジタル署名について発行できる最大補助保証を含めることができる。ある場合、保証パラメータには以下のうちの少なくとも１つが含まれる。
【００４０】
１．単一の二次認証で発行できる最大補助保証。
【００４１】
２．特定の信頼当事者に発行できる最大補助保証。
【００４２】
３．１つまたは複数の指定された時間間隔中に発行できる最大補助保証。
【００４３】
４．一次認証上で発行できる最大数の二次認証。
【００４４】
５．二次認証が有効なままである最大期間。
【００４５】
６．指定された取引タイプについて有効な二次認証にリストできる最大リライアンス限界。
【００４６】
７．補助保証の根拠を与えるために信頼当事者によってその要求と共に提出しなければならない特定の情報。
【００４７】
８．加入者が事前に支払ったある額の補助保証と、事前に支払ったこの保証を二次認証でどのように発行できるかに対する制約。
【００４８】
９．二次認証を求める信頼当事者の要求が許可されるように、二次認証を信頼当事者に発行するためのリライアンスサーバによる補助保証の発行を加入者が容認する必要があること。
【００４９】
１０．リライアンスサーバから認証局へ報告を送信することをトリガするしきい値。
【００５０】
１１．リライアンスサーバが、一次認証上で発行される補助保証の範囲に関して認証局に対してどれだけ頻繁に報告すべきか。
【００５１】
１２．指定された当事者への一次認証の開示、またはこのような一次認証へのアクセスを制限する制約。
【００５２】
１３．加入者以外の追加の当事者によって取引に署名する必要があること。任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかを指定する。
【００５３】
１４．署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケール。
【００５４】
１５．一次認証の妥当性に関する情報。
【００５５】
一次認証が有効である期間全体を含め、特定の期間に任意の保証パラメータを制限することができる。
【００５６】
他の態様では、本発明は、認証局と、認証局に接続できるリライアンスサーバとを含む電子取引システムである。認証局はこのシステムの加入者に一次認証を発行する。リライアンスサーバは、認証局から発行された一次認証に関する情報を認証局から受信する。信頼当事者から要求が出されると、リライアンスサーバは信頼当事者に二次認証を発行する。この発行は、認証局から与えられる情報および信頼当事者から与えられる情報に基づいて行われる。
【００５７】
いくつかの実施形態では、少なくとも１つの他の当事者をリライアンスサーバに接続することができる、リライアンスサーバは、信頼当事者に二次認証を発行する前に上記の他の当事者に二次認証を与える。
【００５８】
好ましくは、リライアンスサーバは、二次認証を信頼当事者に発行する前に、この認証にデジタルに署名する。
【００５９】
他の態様では、本発明は、認証局が加入者にデジタル認証を発行する電子取引システムで、加入者の認証を自動的に置換する方法である。この方法は、新しい鍵対の認証を求める待機申込みを作成し、専用鍵を用いてこの待機申込みにデジタルに署名し、次いで専用鍵を破棄する加入者を含む。この場合、加入者は、この待機申込みにのみ有効な取引認証に、専用鍵に対応する公開鍵を含め、この取引認証を認証局へ転送する。認証局はこの取引認証を維持する。この後で、加入者は認証局に待機申込みを送信し、認証局は取引認証を参照することによって申込み上のデジタル署名を検証し、次いで、待機申込みに示された公開鍵をリストする新しい時間ベースの認証を発行する。
【００６０】
本発明の他の実施形態で構想されるように、認証ベースのデジタル取引を検証する必要のある人は、取引に関連する認証を含むリライアンス検査メッセージと、（少なくとも、取引でコード化される金銭的な価値を含む）取引の関連部分のコピーとを生成する。次いで、このリライアンス検査メッセージはリライアンスサーバへ送信される。リライアンス検査メッセージを受信すると、リライアンスサーバはこの認証の妥当性を検査し、かつ危険にさらされた信頼されていた装置を示す様々な整合性問題について検査する。リライアンスサーバは、各認証局がさらされたリスクを累積的に追跡することもできる。リライアンスサーバは、（リライアンス検査メッセージ中の情報と、リライアンスサーバ自体が記憶するか、あるいは得た情報とに基づいて）リスクが受け入れられるものであると判定した場合、デジタルに署名されたサーバ応答メッセージを信頼当事者に返す。
【００６１】
他の実施形態では、本発明は、認証局から発行されたデジタル時間ベース認証を加入者が有する電子取引システムにおけるリライアンスを管理する方法である。この方法は、信頼当事者によって、加入者から取引を受信することを含む。この取引は、加入者の少なくとも１つの時間ベースの認証に関する情報を含む。この信頼当事者は、取引から得た認証情報に基づくメッセージを作成する。このメッセージは、信頼当事者が信頼する取引の価値を指定する。次いで、信頼当事者は、信頼当事者が信頼する取引の価値の保証を要求するメッセージをリライアンスサーバへ送信する。次いで、信頼当事者は、メッセージを送信したことに応答してリライアンスサーバからバウチャ（ｖｏｕｃｈｅｒ）を受信し、次いでバウチャ上の情報に基づいて加入者との取引を継続する。
【００６２】
本発明の他の態様では、この方法は、当事者からのリライアンスメッセージを受信するリライアンスサーバを含む。このリライアンスメッセージは、当事者が信頼する取引の価値を指定し、この取引の価値の保証を要求し、かつ取引から得られた認証情報を含む。リライアンスサーバは、取引の価値を保証すべきかどうかを判定し、信頼当事者へバウチャを送信する。このバウチャは、リライアンスサーバが取引の価値を保証するかどうかの表示を含む。この判定は、取引に関連する認証が取り消されているか、あるいは中止されているかを判定することを含む。
【００６３】
この方法は、認証の実際のリライアンス限界を認証局から受信する工程と、実際のリライアンス限界を記憶する工程と、および要求された額が実際のリライアンス限界を超えるかどうかを判定する工程とを含む。好ましくは、リライアンスサーバは認証局の累積責任を維持する。
【００６４】
他の態様では、本発明は、認証局によって、記述されたリライアンス限界を指定する時間ベースの認証を加入者に発行する工程と、この認証の実際のリライアンス限界をリライアンスサーバへ転送する工程とを含む。実際のリライアンス限界は、記述されたリライアンス限界とは異なる。
【００６５】
他の一般的な態様では、本発明は、加入者がデジタル認証を有する電子取引システムでリライアンスを管理する方法である。信頼当事者は加入者から取引を受信する。この取引は、この加入者の少なくとも１つの認証に関する情報を含む。信頼当事者は、取引から得た認証情報に基づくメッセージであり、かつ信頼当事者が信頼する取引の態様を指定するメッセージを作成し、次いで信頼当事者が信頼する取引の態様の保証を要求するメッセージをリライアンスサーバへ送信する。この後で、信頼当事者はメッセージを送信するステップに応答してリライアンスサーバから応答レシートを受信し、応答レシート中の情報に基づいて加入者との取引を継続する。
【００６６】
ある場合、加入者の認証は、関連する手数料を有し、リライアンスサーバは、取引に関連する認証の手数料に基づいてサーバ自体のサービスの手数料を確認する。この手数料には、使用料、保証料、参照料が含まれる。
【００６７】
メッセージにおいて認証状況検査が要求されたある場合には、応答レシートは、この認証状況検査が受け入れられるものであったかどうかを示す。一般に、レシートは、信頼当事者が信頼する取引の態様をリライアンスサーバが保証するかどうかを示す。
【００６８】
ある場合、信頼当事者が信頼する取引の態様は金銭的な価値を示し、レシートは、リライアンスサーバが取引をこの金銭的な価値について保証するかどうかを示す。好ましくは、リライアンスサーバは、取引に関連する認証に指定された情報に基づいてこの保証を行う。
【００６９】
他の態様では、本発明は、リライアンスサーバによって、取引のある態様の保証を要求する当事者からのメッセージであり、かつ取引から得られる認証情報を含むメッセージを受信する工程と、メッセージ中の情報の妥当性を確認して取引のこの態様を保証すべきかどうかを判定する工程と、および応答レシートを信頼当事者へ送信する工程とを含む。この応答レシートは、リライアンスサーバが取引のこの態様を保証するかどうかの表示を含む。上記の妥当性確認は、取引に関連する認証が取り消されているか、あるいは中止されているかを判定することを含む。場合によっては、メッセージに含まれる認証情報は、取引に関連する認証の固有の識別子を含み、上記の判定は、認証取消しリスト上の固有の認証識別子を参照することを含む。好ましくは、この判定は、認証に関するすでに得られている情報に基づいて行われる。
【００７０】
保証が要求されている取引の態様が金銭的なリライアンス価値であり、かつ取引に関連する少なくとも１つの認証が金銭的限界を指定するある場合には、上記の妥当性確認は、金銭的なリライアンス価値が認証に指定された金銭的限界の範囲内であるかどうかを判定することを含む。
【００７１】
この判定は、認証の現在の累積金銭責任の値を得て、次いで金銭的なリライアンス価値と現在の累積金銭責任との和が、指定された金銭的限界を超えるかどうかを判定することを含むこともできる。この判定に基づいて、現在の累積金銭責任が更新される。
【発明を実施するための最良の形態】
【００７２】
上記で指摘したように、本明細書では、「当事者」の語は一般に電子装置または電子機構を指し、「メッセージ」の語は一般に、デジタルメッセージを表わす電子信号を指す。「当事者」および「メッセージ」の語は、本発明の説明を簡略化するために使用される。「機構」の語は、本明細書では、ハードウェア、ソフトウェア、またはそれらの組合せを表わすために使用される。本明細書で説明する機構およびサーバは、標準汎用コンピュータ上で実現するか、あるいは特殊装置として実現することができる。
【００７３】
１．好ましい実施形態
１．Ａ 好ましい実施形態の概要
本発明の好ましい実施形態による電子取引システム１００について図３を参照して説明する。システム１００は、認証局機構１０２とリライアンスサーバ１０４とを含む。加入者機構１０６および信頼当事者機構１０８は、システム１００に参加するために（それぞれ、認証局機構１０２およびリライアンスサーバ１０４に登録することによって）システム１００に登録されている。加入者機構１０６がシステム１００に登録されると、認証局機構１０２から加入者機構１０６に電子一次署名１１０が発行される。この一次認証１１０はリライアンスサーバ１０４を識別するものであり、この認証に関する情報が、認証１１０で識別されたリライアンスサーバ１０４に与えられる。
【００７４】
加入者機構１０６は、登録された後、署名付き情報１１４を含む電子取引１１２を信頼当事者機構へ送信することによって特定の信頼当事者機構１０８との取引を行う。信頼当事者機構１０８は、それが信頼するか、あるいは信頼する必要のある電子取引１１２の態様を判定し、二次認証を求める要求１１６を表わす電子信号を、認証１１０で識別されたリライアンスサーバ１０４へ送信する。リライアンスサーバは、要求１１６中の情報と、一次認証１１０に基づく前の要求と、リライアンスサーバが認証局機構１０２からすでに得ている、一次認証１１０に関する情報とに基づいて、信頼当事者機構１０８に二次認証１１８を発行すべきかどうかを判定する。
【００７５】
このシステムの実際の実施態様では、関与するすべての当事者の役割および責任を明確に定義した契約が、これらに当事者によって双務的または多面的に締結されているものと仮定する。リライアンスサーバの１つの重要な機能は、必要な契約を締結することによって信頼当事者機構１０８をシステムに適切に登録させることである。
【００７６】
信頼当事者機構１０６との契約は、システム１００の規則およびリスク割付けを信頼当事者に適用できるようにする基本的な手段である。本明細書で説明する契約は、新しいデジタル署名の法律に整合すべきであるが、デジタル署名について具体的に規定された法律がない法定システムの場合でも、一様で世界的な１組の標準を提供する。
【００７７】
各当事者によって実行されるプロセスおよびそのそれぞれの役割について以下で詳しく説明する。
【００７８】
１．Ｂ 本発明の実施の形態の詳細な説明
１．Ｂ．１ 認証局が加入者に認証を発行する
認証局機構１０２は加入者機構１０６に一次認証１１０を発行する。一次認証とは定義済みのフォーマットのデジタルに署名された電子文書であり、認証局はこのフォーマット内で、加入者が取引を行う信頼当事者を対象とした表示を行う。この一次認証は、上記で引用した標準に定義されているＸ．５０９認証でよく、多くの場合そうである。一次認証は、特定の個人または組織の代理または認可を表す認証でも、あるいは支払い約束を与える認証でもよい。
【００７９】
標準Ｘ．５０９によって規定された形式は、加入者機構１０６を識別する情報を認証１１０に含めることを必要とし、加入者の公開鍵を記述し、認証を一意に識別する。本実施の形態では、認証は、発行側のＩＤとこの発行側に対して固有の通し番号との組合せによって一意に識別される。Ｘ．５０９認証では、通し番号フィールドは同じ認証局機構１０２によって発行される他のすべての認証から所与の認証を区別する。したがって、通し番号は固有の番号であり、特定の認証局機構１０２から発行される認証の間で繰り返されることはない。認証局機構１０２が区別された（あるいは固有の）名前を保持するので、発行側認証局の区別された名前と認証の通し番号との組合せは、任意のＣＡまたはすべてのＣＡからの他のすべての認証からこの認証を識別する。
【００８０】
この実施形態のいくつかの応用例では、信頼当事者に、一次認証を信頼する前に契約を締結することを要求するために、一次認証１１０は、公開鍵フィールドが空白のままになり、アルゴリズム識別子が、リライアンスサーバ１０４から直接発行された認証しか信頼しないシステムを示すことを除いて、標準Ｘ．５０９形式であってよい。この別法として、あるいはそれに加えて、認証中のある種のデータを暗号化することができ、アルゴリズム識別子は、暗号化データを使用可能にするために暗号を処理し削除することのできるシステムを示す。
【００８１】
また、ユタ法、および場合によってはその他の法律および規則に基づいて、認証１１０は、ユタでは「リライアンス限界」と呼ばれる金額をリストすることができる。リライアンス限界とは、さらなる調査なしでの、所与の取引における認証に対する合理的なリライアンスの最大範囲の、認証を支持するセキュリティおよび調査の程度に照らした発行側認証局機構１０２による数量宣言である。好ましい実施形態では、ユタ法のリライアンス限界によって所期された目的と同様な目的を満たす認証局によって一次認証に金額を入力することができるが、本実施の形態では、この額を一次保証限界と呼ぶ。
【００８２】
本実施の形態では、発行される各認証の一次保証限界は、認証局機構１０２が、加入者機構１０６を識別する際に収集した情報に基づく、一次認証１１０に関するリスクに機構１０２自体がさらされることを鑑みて受け入れることのできる額に設定される。信頼当事者機構１０８が加入者機構１０６から（認証１１０を含む）署名付き情報１１４を受信し、信頼当事者機構１０８が一次認証１１０に記述された一次保証限界が与えるよりも大きな保証を必要としている場合、信頼当事者機構１０８は、一次認証１１０に関連するリライアンスサーバ１０４から二次認証１１４を要求しなければならない。二次認証１１４は通常、その根拠となる一次認証１１０よりも高い保証限界を記述する。より高い保証限界を保持するこの二次認証１１４では、リスト管理および品質保証のための追加のコストがかかり、加入者機構１０６、信頼当事者機構１０８、またはその両方が最終的にこのようなコストを負う。
【００８３】
認証局機構１０２は、潜在的な信頼当事者が、一次保証限界よりも大きな保証限界を記述した二次認証１１４の形の補助保証を得るため、認証１１０に指定されたリライアンスサーバ１０４に申し込むように、認証１１０に低い一次保証限界を設定することができる。
【００８４】
１．Ｂ．２ 認証局が認証公開メッセージをリライアンスサーバへ送信する
認証局機構１０２は、加入者機構１０６に一次認証１１０を発行するときに、リライアンスサーバ１０４へ認証公開メッセージ１２０も送信する。リライアンスサーバ１０４は一次認証１１０に基づいて二次認証１１８を発行する。発行認証メッセージ１２０は一次認証１１０と補助保証（リライアンス）パラメータ１２２を含む。複数のリライアンスサーバ１０４が市場または同様な経済環境でビジネスを行うことができ、認証を発行するリライアンスサーバとして認証局機構１０２が選択するリライアンスサーバ１０４としては、一般に、バーゲン、契約、同様な市場力学に依存する。
【００８５】
認証公開メッセージ１２０中で一次認証１１０に伴う補助保証パラメータ１２２には以下のパラメータが含まれる。
【００８６】
１．一次認証の有効期間にわたって累積される、リライアンスサーバ１０４が一次認証１１０に基づいて発行することができる最大補助保証（言い換えれば、この額は、一次認証１１０が有効であるかぎり（すなわち、一次認証が取り消されれず、また、その期限が満了しないかぎり）一次認証１１０に基づいてリライアンスサーバ１０４から発行されるすべての二次認証に関するすべての保証限界の合計である）。
【００８７】
２．（署名付き情報１１４に記録された）特定のデジタル署名に関して発行できる最大補助保証。
【００８８】
３．単一の二次認証１１８で発行できる最大補助保証。
【００８９】
４．ある期間中に、たとえば、一次認証１１０が有効である期間全体にわたって、特定の信頼当事者機構１０８に発行できる最大補助保証。
【００９０】
５．秒、分、日、週、月、年など１つまたは複数の指定された時間間隔中に発行できる最大補助保証。
【００９１】
６．期間中に、たとえば、一次認証が有効である期間全体にわたって、一次認証１１０上で発行できる二次認証１１８の最大数。
【００９２】
７．二次認証１１８が有効なままである最大期間。
【００９３】
８．指定された取引タイプに関して有効な二次認証１１８にリストできる最大保証限界。
【００９４】
９．公開側認証局機構１０２が認証局機構１０２とリライアンスサーバ１０４との間の契約に従って記述する資格を有する価格限界係数。
【００９５】
１０．発行すべき補助保証の根拠を制限するか、あるいは与えるために二次認証１１８を求める要求１１６と共に信頼当事者機構１０８によって提出しなければならない特定の情報。このような情報には、信頼当事者に約束された特定の種類の認証、署名付き情報１１４が存在する文書に関する取引タイプの指定、第２の署名（ある人によって信頼当事者の要求を承認することや、裏書することや、おそらく限界を含む他の方法で副署することなど）、同様な関連情報を含めることができる。
【００９６】
１１．加入者機構１０６が事前に支払った補助保証の額と、事前に支払ったこの保証を、このリスト中の他のパラメータに基づいて二次認証１１８でどのように発行できるかに対する制約。
【００９７】
１２．二次認証１１８を求める信頼当事者の要求が許可されるように、二次認証１１８を信頼当事者機構１０８に発行するためのリライアンスサーバ１０４による補助保証の発行を加入者機構１０６が容認する必要があること。
【００９８】
１３．リライアンスサーバ１０４から認証局機構１０２へ報告を送信することをトリガする保証に関するしきい値（特定のパラメータ以下／以上、パラメータの割合以下／以上、またはパラメータの特定のレベル以下／以上である条件に達する点）。このようなしきい値は、上記のパラメータのうちの任意あるいはすべてのパラメータに適用され、他のパラメータしきい値とは独立に、かつ／または他のパラメータしきい値に対して、かつ／または他のパラメータしきい値に応じて記述することができる。たとえば、しきい値は、一次認証１１０上で最大保証の８０％が発行されたときに報告を要求することができる。他の例を挙げると、しきい値は、最大累積保証の５０％が所与の日に発行され、この保証の９０％が特定の信頼当事者機構１０８に発行されたときに報告を要求することができる。
【００９９】
１４．リライアンスサーバ１０４が、一次認証１１０上で発行される補助保証の範囲に関して認証局機構１０２に対してどれだけ頻繁に報告すべきか、
１５．指定された人（開示あるいはアクセスする以前に身元確実とされた人）への一次認証１１０（またはコピー、あるいは一次認証の存在および妥当性の報告を含め、一次認証に関する情報または一次認証から得られる情報）の開示、またはこのような一次認証へのアクセスを制限する制約。
【０１００】
１６．加入者機構１０６以外の追加の当事者によって署名付き情報１１４に署名する必要があること。任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかを指定する（すなわち、より大きな１組の当事者の集団を許容することができる）。任意選択で、署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケール。たとえば、加入者機構１０６のみが署名する場合、取引当たり最大補助保証額は１２５ドルであるが、スーパバイザおよび他の２人も署名する場合、取引当たり最大補助保証額は１２５０ドルになる。
【０１０１】
１７．一次認証１１０の妥当性に関する情報。認証自体はその満了日を指定するが、認証局機構１０２は、発行中の一次認証の中止、取消し、更新に関して加入者機構１０６と共に行った準備をリライアンスサーバ１０４に知らせる。
【０１０２】
１８．二次認証１１８を発行するか、あるいは一次認証１１０に基づいて信頼当事者機構１０８に補助保証を与えるための他の制限または必要条件。
【０１０３】
上記の指定は、認証局機構１０２とリライアンスサーバ１０４との間の契約中の規定を可能にすることに依存する。
【０１０４】
認証局機構１０２は、認証１１０を公開したリライアンスサーバ１０４へ改訂済み認証公開メッセージ１２０を送信することによって、有効な補助保証パラメータ１２２を改訂することができる。改訂認証公開メッセージ１２０は、補助保証パラメータ１２２のみを含み、更新中の一次認証１１０と、新しい補助保証パラメータ１２２を含む。
【０１０５】
Ｂ．３ リライアンスサーバによる認証公開メッセージの処理
リライアンスサーバ１０４は、認証局機構１０２から認証公開メッセージ１２０を受信するとまず、認証公開メッセージ１２０上のデジタル署名および同封された一次認証１１０を検査する。リライアンスサーバ１０４は、署名を検証した（すなわち、署名が有効である）場合、認証公開メッセージ１２０を保存および非放棄のために記憶し、次いで認証公開メッセージ１２０から情報を抽出する。抽出された情報には、一次認証１１０と補助保証パラメータ１２２が含まれる。次いで、リライアンスサーバ１０４は、当該の認証局機構１０２（すなわち、一次認証１１０を発行した認証局機構１０２）によって発行された一次認証に適用できる補助保証パラメータの指定と突き合わせてこの情報を検査し、新しい認証およびその補助保証パラメータを、容易に検索できるように記憶する。この情報は、図４に示すように、サーバからアクセスできるようにリライアンスサーバ１０４によって認証妥当性データベースに電子的に記憶される。情報は、一次認証１１０のＩＤが与えられた場合に、リライアンスサーバ１０４が、発行済みの二次認証または発行される予定の二次認証に適用できる補助保証パラメータ１２２を一次認証に基づいて容易に確認できるように記憶される。
【０１０６】
認証妥当性データベースは、各一次認証１１０ごとに、妥当性状況（有効、取消し、満了、または中止）と、一次認証に基づいて二次認証に適用できる補助保証パラメータ１２２と、勘定履歴および定期報告情報とのリンクとを含む。（各一次認証１１０がその寿命スパンを指定するので満了状況を有する必要がないことに留意されたい。しかし、満了状況を指定すると、実際の認証を調べることが不要になる。）
【０１０７】
１．Ｂ．３．１ 加入者の登録および初期認証の要約
本システム１００において、認証局機構１０２は、予想される加入者機構１０６と契約を締結し、認証にリストされる情報を収集し、認証局の義務の文書による履行の証拠を得て保存し、この情報の正確さを確認することによって、最初の一次認証１１０（認証のために顧客を認証する新しい勘定を開始する認証）を発行する。次いで、認証局機構１０２は一般に、最初の認証１１０上の保証をゼロまたは低いレベルに制限し、二次認証１１８を後で、指定された保証限界まで発行できるように準備する。次いで、認証局機構１０２は、加入者機構１０６に認証１１０を提示し、この認証が発行された場合に受け入れられるかどうかを判定し、次いで認証を承認のために認証局機構１０２内の管理者へ転送する。発行が承認された後、認証局機構１０２は認証を、規定された形式で作成し、多くの場合極めて安全な分散型専用鍵を使用して認証にデジタルに署名する。その後で、認証局機構１０２は（加入者機構１０６との契約で発行が規定されている場合）リライアンスサーバ１０４と共に認証を公開する。次いで、加入者機構１０６はリライアンスサーバ１０４に接続され、認証を最終的に受け入れ、リライアンスサーバ１０４は認証１１０をオンラインで利用できるようにする。
【０１０８】
１．Ｂ．３．２ 中止プロセス
認証局機構１０２は、要求側のＩＤ、要求側と加入者機構１０６との関係（要求側が加入者でない場合）、要求の日付および時間、要求の理由または要求の根拠となる事実、他の関連情報、要求された中止の継続時間を示す中止要求を受信しログする。認証局機構１０２は、要求と共に与えられた情報の正確さを確認する義務を有さない。しかし、加入者機構１０６と認証局機構１０２との間の契約で許される場合、認証側はいたずらまたは詐欺と思われる状況で中止を調査するか、あるいは差し控えるか、あるいは制限することができる。
【０１０９】
認証局機構１０２は、中止または取消しの通知がポストされる位置として認証にリストされたリライアンスサーバ１０４と共に中止の通知１２６を生成し公開する。
【０１１０】
リライアンスサーバ１０４は、認証状況データベースを中止およびその継続時間を示すように更新する。中止がすでに実施されている場合、リライアンスサーバ１０４は認証状況データベースを最新の通知上の情報を反映するように変更する。
【０１１１】
リライアンスサーバ１０４は、常に、あらゆる中止と、当該の認証を発行した認証局機構１０２への中止に関するあらゆる見掛け上の異常または不規則性とを報告する。
【０１１２】
認証局機構１０２は、送信された通知と、リライアンスサーバ１０４から返された肯定応答とを含むように記録を更新する。
【０１１３】
中止は、中止の指定された継続時間が経過すると自動的に終了する。不定期間にわたる中止は、その根拠が確認されていないにもかかわらず、信頼当事者が取引をクローズしたり進めるのを妨げる。認証局機構１０２と加入者機構１０６との間の契約は一般に、不定期間にわたる未確認要求による中止を防止する。中止を実施した通知で計画されている終了時間よりも前に中止を終了する場合、認証局機構１０２は、中止を作成するプロセスに類似したプロセスに従う。すなわち、認証局機構１０２は要求を受信しログし、リライアンスサーバ１０４に通知する。リライアンスサーバ１０４は認証状況データベースを更新する。
【０１１４】
１．Ｂ．３．３ 取消しプロセス
取消し通知を受信したリライアンスサーバ１０４は、認証の取消しを示すように認証状況データベースを更新し、肯定応答を返し、公開側認証局機構１０２に報告する。リライアンスサーバ１０４は、重複した取消し通知または後続の取消し通知を受信した場合、この第２の要求をログするが、認証状況データベースには他の変更を加えず、エラーメッセージを返す。リライアンスサーバ１０４は、常に、あらゆる取消しと、取消しに関連するあらゆる見掛け上の異常または不規則性とを当該の認証を発行した認証局機構１０２に報告する。
【０１１５】
待機認証申込み（後述）が利用可能であり、安全に維持されている場合、文書を犠牲にすることなしに、あるいは、認証局の義務をショートカットして取消し要求を確認することなしに、前述の取消しプロセスを自動的に行うことができる。待機申込みに基づいて新しい認証が発行された後、加入者機構１０６は、取消しを求めるデジタルに署名された要求を発行することができ、加入者機構のデジタル署名は、待機申込みに基づいて新たに発行された認証を参照することによって確認することができる。このような取消し要求は自動的に処理することができるが、待機申込みプロセスを介して加入者機構１０６を再認証することができないか、あるいは何らかの理由で、有効な認証によって検証できるデジタル署名を作成する残りの機能を加入者機構１０６が有さない場合、認証局機構１０２はデジタル署名以外のある手段、すなわち、上記で概略的に説明したステップを実施する場合に通常、手動プロセスを必要とする手段を使用して取消し要求を確認しなければならない。
【０１１６】
１．Ｂ．４ 加入者が信頼当事者と取引を行う
加入者機構１０６は、取引１１２を形成することによって信頼当事者機構１０８と取引を行う。取引は、文書にデジタルに署名する加入者機構１０６によって形成され、例えば、契約、手紙、発注書などのいくつかがある。取引１１２は、署名付き情報１１４と呼ばれるデータ構造を含み、署名付き情報１１４は、デジタル署名と取引の最終的な検証に関する情報とを含む。加入者機構１０６は、文書にデジタルに署名し、結果として得られる署名付き情報データ構造１１４を署名付き文書に付加した後、結果として得られる取引１１２（文書とその署名付き情報データ構造１１４）を信頼当事者機構１０８へ送信する。署名付き情報１１４には、認証局機構１０２によって加入者機構１０６に発行される一次認証１１０が含まれる。加入者機構１０６は、以下のうちのどれかを署名付き情報１１４に含めるか、あるいは署名付き情報１１４に付加することもできる。
【０１１７】
１．署名付き情報１１４に含まれるデジタル署名をこの加入者機構１０６以外から一意に識別する署名識別子。
【０１１８】
２．加入者機構１０６が、署名付き情報１１４内のデジタル署名またはこのデジタル署名が認証する取引１１２に関して発行されることを許可する補助保証の最大額。
【０１１９】
３．この署名付き情報１１４の補助保証を要求することを許可された（あるいは許可されていない）信頼当事者１０８のリスト。
【０１２０】
４．加入者機構１０６が事前に支払った、この署名付き情報１１４に関する補助保証を要求できる（あるいは要求できない）信頼当事者１０８のリスト。
【０１２１】
５．二次認証１１８の数、および／またはこの署名付き情報１１４に関して発行できる補助保証の範囲に関するリスト。
【０１２２】
６．任意または特定の信頼当事者が署名付き情報１１４のために必要とする補助保証を加入者機構１０６が支払うことを示す支払い通知。
【０１２３】
７．指定認証実施文を含む、デジタル署名に対するリライアンスが契約に従うという陳述。指定認証実施陳述は、認証１１０に指定されたリライアンスサーバ１０４の記録中の認証の現在の妥当性を少なくとも検査することを信頼当事者機構１０８に要求する。
【０１２４】
加入者機構１０６は、上記の署名パラメータの任意の組合せを使用して、発行される二次認証１１８中で信頼当事者機構１０８および／またはリライアンスサーバ１０４が利用できるオプションを制限する。
【０１２５】
１．Ｂ．５ 信頼当事者が署名付き情報を調べる
デジタルに署名された文書を（取引１１２と共に）受信した信頼当事者１０６は、デジタル署名または認証によって保証することのできる他の項目を信頼すべきかどうかを判定する際、他の保証を得ずにこの文書を信頼した場合に冒す危険を評価する。必要な保証の程度は、信頼当事者機構１０８の内部動作手順に規定することができ、かつ経験による統計評価と予想される影響の技術的評価との両方を考慮に入れたリスク調査に基づいて求めることができる。
【０１２６】
信頼当事者１０８は、受け入れられるリスクを与えるオンライン取引に対するリライアンスのための認証を必要とすることがある。認証（デジタル署名）またはその他の目的の１つまたは複数の認証は、信頼当事者機構１０８に保証を与え、文書または取引が真正であるかどうか、代理人と称する人が実際に代理権限を有するかどうか、取引で義務が生じる場合に、認証局機構１０２など信頼できる当事者が支払いまたは履行を保証するかどうかなどの問題に関するリスクを低減する。
【０１２７】
信頼当事者機構１０８は、署名付き情報１１４を含む取引１１２を加入者機構１０６から受信すると、この取引を調べ、取引の性質と、信頼当事者が署名付き情報に負わなければならないリライアンス額とを判定する。署名付き情報１１４および／または署名付き文書は暗号化されている可能性があるが、これらが共に信頼当事者機構１０８を対象とするものであり、かつ信頼当事者がこの文書を復号するか、あるいは何らかの方法で使用することができるものと仮定する。また、認証局機構１０２が一次認証１１０を暗号形式で発行した場合、信頼当事者機構１０８は必要に応じて、一次認証１１０の一部またはすべてを復号することができる。信頼当事者機構１０８によって取引１１２に適切にアクセスしそれを適切に復号するものと仮定すると、任意の所与の取引では、信頼当事者が利用できる情報に以下のものを含めることができる。
【０１２８】
１．受信した取引文書
【０１２９】
２．署名付き情報１１４データ構造と、加入者のデジタル署名と認証１１０を含む署名付き情報１１４データ構造の内容
【０１３０】
３．加入者機構１０６がこの取引で信頼当事者機構１０８に割り付ける補助保証の最大額を表わす金額。
【０１３１】
４．信頼当事者機構１０８に補助保証を与える二次認証１１８に関する支払いを加入者機構１０６が行うかどうかを示す支払い情報。
【０１３２】
５．リライアンスサーバ１０４から与えられるサービスに対して加入者機構１０６によって課される制約。このような制約には、取引１１２用の二次認証１１８をどの信頼当事者が受信できるかをリストすることが含まれる。
【０１３３】
６．加入者機構１０６が内容情報および／または署名付き情報１１４に付加した、参照またはリンクまたは添付された文書やデータなど追加の情報。
【０１３４】
このおよび他の任意の利用可能な情報に基づいて、信頼当事者機構１０８は、リライアンスサーバ１０４からの補助保証を含む１つまたは複数の二次認証１１８を要求すべきかどうかを判定する。この補助保証は、取引中の信頼当事者のリスクをいくらか低減するものであり、リライアンスサーバ１０４および／または認証局機構１０２が、与えられた補助（二次）保証の限界内で生じた損失を負担するという、これらの当事者による約束である。
【０１３５】
信頼当事者機構１０８は、一次認証１１０に記述された一次保証限界が信頼当事者機構１０８が望む保証よりも少ないと判定した場合、リライアンスサーバ１０４に補助保証を要求することができる。これを行う場合、信頼当事者機構１０８は二次認証１１８を求める要求１１６を構成し、この要求１１６をリライアンスサーバ１０４へ送信する。
【０１３６】
補助保証を得るように信頼当事者機構１０８によってリライアンスサーバ１０４へ送信される二次認証１１８を求める要求１１６は、図５に示す形式を有する。要求１１６は、加入者の公開鍵を含む一次認証１１０の識別子を含む。
【０１３７】
署名付き情報データ構造１１４に含まれる一次認証１１０には、補助保証が得られるリライアンスサーバ１０４と、一次認証１１０の中止および／または取消しの通知をどこにポストすべきかがリストされる。一次認証１１０中のリライアンスサーバ１０４のリストは実際のアドレスでも、あるいは実際のアドレスをリストしたネットワークサイトのプロキシ（ｐｒｏｘｙ）またはポインタでもよい。信頼当事者機構１０８は、認証にリストされたリライアンスサーバ１０４に補助保証を要求することも、あるいは他のリライアンスサーバ、おそらくこの信頼当事者が既存の関係を有するリライアンスサーバと連絡をとることもできる。二次認証１１８を求める要求１１６は、信頼当事者が実行すべき探索の範囲を示すことのできるフィールドを含む。信頼当事者機構１０８が要求１１６を送信するリライアンスサーバ１０４が要求を満たすことができない場合、（グローバル範囲を示すことにより）この探索範囲フィールドによって許可されている場合には、このリライアンスサーバは、この要求を満たすことのできる他のリライアンスサーバを見つけることができる。範囲フィールドによって許可されており（すなわち、範囲がグロ−バルであり）、かつ探索によって、要求を満たすことのできるリライアンスサーバが見つかった場合、最初のリライアンスサーバはこの要求を他のリライアンスサーバに転送することができる。一方、範囲がローカルに設定されている場合、リライアンスサーバ１０４は、要求を満たすことができない場合でも、他のリライアンスサーバに要求を渡すことはできない。
【０１３８】
要求メッセージ１１６は、以下のものも含む。
【０１３９】
１．（メッセージによって指定された）認証に関する警告を送信すべき場所である通知アドレス。このアドレスは、電子アドレス（たとえば、ｅメールアドレス）または何らかの他の形式のアドレスでよい。
【０１４０】
２．署名付き属性（署名付き情報データ構造１１４）。
【０１４１】
３．要求中の保証の種類を指定する要求タイプ。
【０１４２】
補助保証を求める信頼当事者の要求が満たされた場合、このことが二次認証１１８に記述される。二次認証１１８とは、リライアンスサーバ１０４または他の認証局機構１０２によって発行されデジタルに署名されるメッセージである。二次認証１１８は、以下のことを含め、取引の事実事項、状況事項、または義務事項を認証または保証することができる。
【０１４３】
１．公開鍵を有する人を識別する、認証認証など他の認証の正確さ。
【０１４４】
２．他の認証上のデジタル署名がルート認証側で終わる認証のチェーンを参照することによって、検証されたという事実を認証することによる、他の認証の真正さ。
【０１４５】
３．（可能なら、特に）取消しまたは中止の通知がどこにポストされるかを判定し、この位置を検査することによる、他の認証の妥当性。
【０１４６】
４．指定された本人による、指定された代理人への権限の授与。
【０１４７】
５．認可団体または専門団体によるある人の認可。
【０１４８】
６．法的実体または人為実体である人の存在および／または地位。
【０１４９】
７．義務の履行（この種の認証は、履行保証契約、または義務の履行を保証する信用状である）。
【０１５０】
二次認証１１８の妥当性は一般に、指定された時間と、通常は指定された額に関して制限され、リライアンスサーバ１０４と信頼当事者機構１０８によって合意された他の基準に応じて、指定された信頼当事者機構１０８、デジタル署名、または取引、指定されたＥＤＩ取引タイプまたは取引セットに制限することもできる。補助保証の規定が加入者機構１０６の他の補助保証の可用性を制限する場合、加入者は、所与の取引に規定された二次保証の額を制限することもできる。文書に署名する際に加入者機構１０６によって作成され（かつ要求メッセージ１１６に「署名付き属性」として組み込まれ）る書名付き情報データ構造１１４は、加入者機構１０６によってデジタルに署名され、取引の補助保証の可用性を指定された最大保証限界に制限するいくつかのフィールドを含む。信頼当事者機構１０８は、補助保証を要求する際に、所望の額および最小許容額を指定し、リライアンスサーバ１０４は、加入者機構１０６によって指定された最大額よりもこの所望の額が少ない場合には、所望の額の補助保証を与え、そうでない場合、加入者機構１０６によって指定された最大額の補助保証が、信頼当事者によって示された最小許容額を超えている場合にはこの最大額の補助保証を与える。加入者機構１０６によって指定された最大額が、信頼当事者機構１０８に受け入れられる最小額よりも少ない場合、リライアンスサーバ１０４はエラーメッセージを返し、信頼当事者にこの問題を加入者機構１０６に問い合わさせる。
【０１５１】
１．Ｂ．６ リライアンスサーバによる信頼当事者への要求処理
リライアンスサーバ１０４は、二次認証１１８を求める要求１１６を受信すると、特定の契約フォームと、信頼当事者が契約に同意したイベントとにリンクされた公開鍵を使用して信頼当事者のデジタル署名を検証することによって、信頼当事者機構１０８がシステムに登録されたかどうかを検査する。信頼当事者の登録の記録が見つからない場合、リライアンスサーバは、信頼当事者に契約を申し込み、信頼当事者がそれを受け入れた場合には、この契約を公開鍵にリンクする信頼当事者用の認証を作成する。信頼当事者のＩＤに関して得られる情報は未確認であり、そのまま維持される。
【０１５２】
信頼当事者がリライアンスサーバ１０４に登録された場合、リライアンスサーバは、信頼当事者が何を要求したかに応じて以下のことを行うことによって信頼当事者の要求を満たす。
【０１５３】
１．Ｂ．６．１ 信頼当事者が他の認証の正確さの保証を要求した場合
信頼当事者機構１０８が他の認証の正確さの保証を要求した場合、リライアンスサーバ１０４は、（認証のデジタル署名を認証のチェーンに沿って検証することによって）認証の現在の妥当性および認証の真正さを検査し、要求された保証が二次保証パラメータの範囲内であるかどうかを検査する。妥当性、真正さ、二次保証パラメータに照らして、他の保証を与えることができる場合、リライアンスサーバ１０４は、指定された認証の正確さを認証する二次認証１１８を発行する。
【０１５４】
１．Ｂ．６．２ 信頼当事者が他の認証の真正さの保証を要求した場合
信頼当事者１０８が他の認証の真正さの保証を要求した場合、リライアンスサーバは、他の認証にリストされた公開鍵を参照することによって認証上のデジタル署名を検証し、次いで上記の他の認証上のデジタル署名を検証する。このプロセスは、ルート認証側（認証局、たとえば、図２のルートＣＡを参照されたい）によって発行された認証で終わる認証のチェーンに沿って繰り返される。リライアンスサーバ１０４はまた、このような各認証を検査し、それが有効であるかどうかを判定する。有効な認証にリストされた公開鍵を参照することによってすべてのデジタル署名が検証された場合、リライアンスサーバは、他の認証の真正さを認証する二次認証１１８を発行する。
【０１５５】
１．Ｂ．６．３ 信頼当事者が他の認証の妥当性の保証を要求した場合
信頼当事者１０８が他の認証の妥当性の保証を要求した場合、リライアンスサーバは、妥当性情報がどこにポストされるかを認証から判定する。リライアンスサーバ１０４が妥当性情報のサイトである場合、リライアンスサーバ１０４はその認証妥当性データベースを検査する。認証がリライアンスサーバの認証局機構１０２から発行され、リライアンスサーバの加入者機構１０６によって受け入れられたが、中止されるか、あるいは取り消されるか、あるいは期限が満了していることをこのデータベースが示している場合、リライアンスサーバは、この認証の現在の妥当性を認証する二次認証１１８を発行する。
【０１５６】
１．Ｂ．６．４ 信頼当事者が代理人の権限の保証を要求した場合
信頼当事者機構１０８が代理人の権限の保証を要求した場合、リライアンスサーバ１０４は、委任状あるいは代理人の同様な証書または文書を、真正さを認証する二次認証と共に返す。
【０１５７】
１．Ｂ．６．５ 信頼当事者がある人の認可の保証を要求した場合
信頼当事者機構１０８がある人の認可の保証を要求した場合、リライアンスサーバ１０４は、その人の認可に関する認可団体または専門団体による陳述を、陳述の真正さを認証する二次認証１１８と共に返す。認可の陳述は、たとえば、ユタ法およびそれに基づく管理規則に記載された、認証局開示記録でよい。
【０１５８】
１．Ｂ．６．６ 信頼当事者が実体の存在および／または地位の保証を要求した場合
信頼当事者機構１０８が法的実体または人為実体の存在および／または地位の保証を要求した場合、リライアンスサーバ１０４は、この実体が存在し、適切な地位にあり、かつ他の点で営業を行う資格を有することを示す、この実体が組み込まれた官庁による陳述を返す。この陳述は、その真正さを認証する二次認証１１８に同封される。
【０１５９】
１．Ｂ．６．７ 信頼当事者が義務の履行の保証を要求した場合
信頼当事者機構１０８が義務の履行の保証を要求した場合、リライアンスサーバ１０４は、信用貸しが利用可能であり、加入者機構１０６と共に適切な準備が行われている場合には、信用状またはその他の保証または支払いの保証を発行する。
【０１６０】
リライアンスサーバ１０４は、自動的に、前に指定された基準に基づいて、二次認証１１８の発行を含めて上記の処置を実行する。
【０１６１】
上記の処置の実行は、システムの誤動作または故障時間と共に、いくつかの理由で失敗する可能性がある。可能なら、要求を満たすことができないとき、リライアンスサーバ１０４は、以下のようなエラーメッセージを信頼当事者機構１０８に返す。
【０１６２】
認証の期限満了のメッセージ
認証の期限が、それ自体の満了フィールドに従って満了したことを示す。
【０１６３】
認証の取消しのメッセージ
取消しの通知が、認証に指定された位置にポストされているか、あるいは要求された探索によって見つかったことを示す。このメッセージは取消しの日付を含む。
【０１６４】
認証の中止のメッセージ
中止の通知が、認証に指定された位置にポストされているか、あるいは要求された探索によって見つかった。中止の継続時間、中止の根拠または理由、中止をトリガするイベントに関する他の情報が得られる場合には、それも与えられる。
【０１６５】
探索の失敗のメッセージ
認証が見つからなかったことを示す。
【０１６６】
複数の認証が見つかったことのメッセージ
おそらく固有の同じ識別子によって２つの認証が識別された。このエラーはリライアンスサーバシステムの欠陥を示す。
【０１６７】
二次認証１１８に署名しそれを発行する場合、リライアンスサーバ１０４は、おそらく以下のうちの任意のものを含む他のある当事者１２４ａ〜１２４ｎへこの認証を送信することができる。
【０１６８】
ａ．保証を行うか、あるいは認証のリスクを負ううえで他の方法で助けとなる保険業者機構１２４ａ。
【０１６９】
ｂ．リライアンスサーバのデータベースのクローンであり、リライアンスサーバのデータベースのいたずらが確実に検出されるようにするフェイルセーフデータベース。
【０１７０】
他の当事者１２４ａ〜１２４ｎは、結果的に二次認証１１８上にデジタル署名を与える機能を実行する。一般に、使用される署名技法は多段階署名であり、「Ｍｕｌｔｉ−ｓｔｅｐ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｍｅｔｈｏｄ ａｎｄ Ｓｙｓｔｅｍ」と題するＳｕｄｉａの米国特許出願第０８／４６２４３０号に開示され記載されている。この出願は引用によって完全に本明細書に合体される。
【０１７１】
１．Ｂ．７ リライアンスサーバが取引の履歴を維持する
リライアンスサーバ１０４および／またはその代理人は、発行されたすべての二次認証の履歴を維持する。この情報は、認証の使用における異常を判定し、二次認証または更新認証を発行すべきかどうかを判定するうえで有用である。
【０１７２】
１．Ｂ．８ 加入者へのリライアンスサーバ勘定書
加入者勘定書
定期的に、最初の一次認証１１０またはその代替物のうちの１つが有効である間、この認証を保証するリライアンスサーバとして指定されたリライアンスサーバ１０４は、勘定状況の電子レポートを加入者機構１０６へ送信する。加入者は、加入者が希望する回数であるが、好ましくは月に１度以上、このような勘定状況レポートを受信する。勘定状況更新間隔を指定する１つのオプションによれば、加入者機構１０６がリライアンスサーバ１０４へ他の要求を送信したときにはいつでも加入者機構１０６に更新レポートが与えられる。このオプションによって、リライアンスサーバは、認証が発行されたリライアンスサーバ１０４からユーザが他の状況を得たときにはいつでも勘定書を追跡する。この情報には、たとえば、保証を高めるために他の人の認証または二次認証の現在の妥当性に関するレポートが含まれる。
【０１７３】
加入者が、勘定書が到着したときにそれをそのまま表示することを選択しないかぎり、各勘定書が外観上、加入者機構１０６への別々のメッセージのように見える必要はない。勘定書は、加入者機構１０６によってローカルデータベースに累積された情報を更新する。勘定書で受信された情報は、署名ごとにあるいは古い順に分類し表示することができる。後者の順序は、関連するデジタル署名が作成された日付、または特定の勘定書が受信された日付によって決定される。
【０１７４】
勘定書は、加入者機構１０６に以下の情報を報告する。
【０１７５】
１．加入者の（時間ベースの）認証の妥当性：加入者機構１０６に発行されたすべての（時間ベースの）認証を最も新しい認証からリストし、どの認証が現在有効であるかと、無効化された認証がいつ中断されたか、あるいは取り消されたか、あるいは無効化された認証の期限がいつ満了したかを示す。
【０１７６】
２．発行された二次認証：リライアンスサーバ１０４は、二次認証を発行すると、次の勘定書で二次認証の発行を報告する。この陳述は、二次認証が補助保証を含む場合には、額と、二次認証（識別された場合）を要求した人の名前と、保証人の名前などの詳細を含む。特に、知らない人が、予想されない方法で保証を使用した場合、ある種の状況では、偽造デジタル署名、または少なくとも予想されないデジタル署名が作成されたことを示す恐れがあるので、加入者機構１０６はこのレポートを使用して、問題が生じているかどうかを判定する。保証の使用状況を加入者が検討するのを容易にするために、デジタル署名には番号およびタイムスタンプが付加される。
【０１７７】
３．保証差引勘定：勘定書の保証部分は、適用される保証限界と、各限界に対してどれだけの保証が発行されているかも示す。加入者機構１０６は、二次認証が要求されていないデジタル署名を含む、作成されたデジタル署名と上記の情報を相関付ける。このようなデジタル署名は、満たされてない未解決の保証要件を表わし、加入者機構１０６は、このような満たされていない要件を残りの保証差引勘定で満たせるかどうかを評価することができる。
【０１７８】
４．保証の終了：保証の期限が満了するか、あるいは二次認証に対するクレームを提出する期限（もしあれば）が過ぎると、一次認証の保証差引勘定はそれに応じて増加する。勘定書はこのような増加を反映し、保証がいつ終了することに予定されているかを報告する。
【０１７９】
勘定書は、他の勘定取引や差引勘定など他の電子サービスに関する情報と、他の金融サービスおよび商業サービスに関する情報も返す。加入者機構１０６は、定期的な勘定書で報告されるすべての情報を、削除または保存するまで累積し続ける。
【０１８０】
勘定書は、問題を発見し解決するのに必要な情報を加入者機構１０６に返し、それによって認証サービスおよび保証サービスをリスクを管理するのを助ける。銀行の顧客が是正措置を見つけそれを実施することを怠ったために問題が生じた場合は、この顧客に対する銀行の責任が低減される。
【０１８１】
出来事追跡／勘定履歴
加入者に返される勘定書だけでなく、（最初の一次認証を含む）一次認証を発行する認証局機構１０２と、この一次認証に基づいて二次認証を発行するリライアンスサーバ１０４は、一次認証およびそれに従属する二次認証の履歴を追跡し、これらの認証に関するすべての出来事を記録する。出来事とは、イベント、あるいは勘定または一次認証の難点または問題を示すか、あるいはいくつかの例で、他の情報が得られる場合に無害であることを認証することのできる、最初の認証の保証に関する後で得られる情報である。出来事の重大さは、可能性の高い問題が予想される程度に応じて異なる。認証の証明に直接関係する出来事と、１〜５のスケール上での出来事の相対的な重大さには以下のものが含まれる。
【０１８２】
１．クレームの提出（レベル５）：信頼当事者が二次認証に基づいてクレームを提出するか、あるいはシステム１００で発行された認証に基づいて要求を出すか、あるいは訴訟を開始する。
【０１８３】
２．詐欺または同様な申立て（レベル５）： 民事訴訟または刑事訴訟、調停、あるいはその他の紛争または調査の当事者が、加入者機構１０６が詐欺、不実表示、またはその他の虚偽の陳述を犯したと申し立てる。
【０１８４】
３．中止または取消しの要求（レベル１）：加入者機構１０６が認証局機構１０２に時間ベースの認証を中止するよう求める。中止または取消しが繰り返される場合は、専用鍵のセキュリティを維持するうえでの望ましい注意が欠けていることを示す。
【０１８５】
勘定履歴は、単一の加入者の認証に関するできるだけ多くの情報を累積する。この情報は、ある時間にわたり、かついくつかの異なる認証局およびリライアンスサーバについて、同じ加入者機構１０６の複数の一次認証およびその他の認証に関して収集される。この情報は、リライアンスサーバや、裁判所などの外部情報源からも得られる。
【０１８６】
一次認証を発行する認証局とリライアンスサーバは共に、この情報を追跡し、出来事レポートメッセージを交換し、ルート認証局の指示の下で互いに更新し合うと共に中央勘定履歴データベースを更新する。情報はオンラインで保持され、システム１００に関して指定された勘定履歴保持スケジュールの規定に応じて保存される。
【０１８７】
リライアンスサーバ１０４と認証局機構１０２との間で交換される情報には、
１．認証取消しリスト（ＣＲＬ）１２８
２．認証中止または取消し通知１２６
３．発行済み認証リスト１３０
４．発行済み保証レポート１３２
５．認証例外レポート１３４
６．保証超過レポート１３６
加入者機構１０６、すなわち出来事の主体に認証を誠実に発行する認証局機構１０２と、このような認証局の親認証局と、主体加入者の勘定上で二次認証を発行するリライアンスサーバ１０４とルート認証局以外の人に、出来事レポート、および出来事レポートから累積されるかあるいは得られた記録を開示することはできない。また、勘定履歴情報は、ある種の法的システムにおける可用性をさらに制限するか、あるいは勘定履歴情報の加入者機構１０６への開示を求める法的データ保護要件に従う。
【０１８８】
１．Ｂ．９ 課金および支払い
前述のデジタルメッセージ（取引１１２および要求１１６）には、様々な当事者の間の契約に従ってコストを割振りかつ支払うことを可能にする価格支払い認可情報が含まれる。システム１００は、コストを他の当事者に回し、これらの当事者の決定に応じて割り振ることを可能にするうえで融通が利く。特に、リライアンスサーバ１０４による認証または取消し通知の公開手数料を認証局１０６または加入者機構１０６によって支払うことができ、二次認証の手数料は加入者機構１０６または信頼当事者機構１０８によって支払うことができる。信頼当事者および加入者は、リライアンスサーバ１０４に要求することによって自動的に価格表を得ることができる。
【０１８９】
例
たとえば、ある認証局Ｃｅｄｒｉｃが、Ｓｕｓａｎという名の加入者に、Ｓｕｓａｎとの契約の規定に従って認証Ｃｅｒｔ−１を発行するものと仮定する。Ｃｅｒｔ−１は、それが「Ｔｙｐｅ Ｃ」リライアンスサーバシステムと共に使用されることを指定し、また、暗号化されたＣｅｒｔ−１の公開鍵も指定する。Ｃｅｒｔ−１保証限界０ドルを指定する。言い換えれば、Ｃｅｒｔ−１ではリライアンスが許可されていない。Ｃｅｄｒｉｃは、加入者ＳｕｓａｎにＣｅｒｔ−１のコピーを与え、Ｓｕｓａｎはこのコピーを受け入れる。Ｃｅｒｔ−１は、０ドル保証限界に鑑みて基本的に信頼できないものなので、その基本的な用途は、信頼当事者をリライアンスサーバへ知らせることである。Ｓｕｓａｎとの契約の規定に応じて、ＣｅｄｒｉｃはＭａｒｇａｒｅｔ、すなわちリライアンスサーバと共にＣｅｒｔ−１を公開する。
【０１９０】
Ｍａｒｇａｒｅｔは、新しい認証勘定と、Ｓｕｓａｎの認証に関するＭａｒｇａｒｅｔの認証妥当性データベースへの入力とを確立し、Ｃｅｄｒｉｃから与えられた情報に基づいて、二次認証の自動発行を支配するパラメータを設定する。その後で、ＭａｒｇａｒｅｔはＳｕｓａｎに最初のメッセージを送信し、公開が完了しており、Ｓｕｓａｎが定期的な勘定書の受信を期待できることを知らせる。
【０１９１】
Ｓｕｓａｎは、ある商品を１００００ドルで購入することを申し出るオファーをＰｅｒｒｙへ送信する。Ｓｕｓａｎはこのオファーにデジタルに署名し、Ｃｅｒｔ−１のコピー、すなわち鍵なしバージョンを付加する。
【０１９２】
Ｐｅｒｒｙは、Ｓｕｓａｎのオファーが真正であるかどうかを判定するために、検証機構を実行する。この機能は、認証中の公開鍵によってデジタル署名を検証できる可能性が高いが、認証が０ドル保証限界を有しており、かつＭａｒｇａｒｅｔから補助保証が得られることを報告する。Ｐｅｒｒｙは、１００００ドル以上の額の認証に対する補助保証を求める要求をＭａｒｇａｒｅｔへ送信する。Ｍａｒｇａｒｅｔのシステムは二次認証Ｃｅｒｔ−２で応答する。Ｃｅｒｔ−２は、Ｃｅｒｔ−１を含み、その正確さおよび信頼性が、Ｐｅｒｒｙおよびその指定代理人のみに対して、かつＳｕｓａｎのオファー上のデジタル署名のみのために、１００００ドルの額だけ保証されることを指定する。Ｓｕｓａｎは自分の勘定からのＣｅｒｔ−２の支払いを許可していないので、Ｐｅｒｒｙは二次認証の発行のためのＭａｒｇａｒｅｔの手数料を支払う。
【０１９３】
Ｍａｒｇａｒｅｔのシステムは、Ｐｅｒｒｙが受信した二次認証を発行するために、Ｐｅｒｒｙの要求を解析し分析し、Ｃｅｒｔ−１の妥当性を検査し、Ｃｅｒｔ−１のデジタル署名およびその他のデジタル署名を認証認証チェーンに沿って検証することによってＣｅｒｔ−１の真正さを検査し、Ｓｕｓａｎの認証勘定に関して指定されたパラメータに対して要求された補助保証額を検査した。すべての検査が肯定結果を返した後、ＭａｒｇａｒｅｔのシステムはＣｅｒｔ−２を発行した。
【０１９４】
Ｐｅｒｒｙが、誰かの代理としてオファーを行うＳｕｓａｎの権限、またはこのウィジェットの代金として１００００ドル支払うＳｕｓａｎの能力を懸念した場合は、追加の補助保証を得ることができる。ＰｅｒｒｙはＳｕｓａｎがオファーを行うことを許可する委任状のコピーを得ると共に、価格の支払いを保証する信用状をＭａｒｇａｒｅｔ（またはＭａｒｇａｒｅｔが銀行でない場合にはＭａｒｇａｒｅｔの銀行）から得ることができる。デジタル署名が検証されたときは、補助保証を要求する必要はない。信用状を得ることは、たとえば、ＰｅｒｒｙがＳｕｓａｎのオファーのデジタル署名付き承諾書をＳｕａｎへ送信した後に行った方がよりタイムリーである。
【０１９５】
１．Ｂ．１０ 認証の中止および取消し
中止および取消しは、加入者機構１０６および認証局機構１０２が、認証の期限が満了する前にその認証の責任およびリスクから自分たちを解放する手段である。取消しは認証の妥当性を永久的に終了し、中止は認証の妥当性を一時的に中断する。認証が無効である間、加入者機構１０６は専用鍵を保護する法的義務を負わず、認証中の認証局機構１０２の表示は表示以外の効果を有さず、認証に対するリライアンスはほぼ確実に不合理なリライアンスになる。
【０１９６】
しかし、認証はその通し番号で識別できるので、中止または取消しの通知は通常、加入者機構１０６のＩＤを含む必要がない。システム１００では、認証に指定された位置での公開によって、その通知はリライアンスサーバ１０４へ送られる、どのリライアンスサーバ１０４が着信通知を受信し処理するかは、中止または取消しの通知がポストされる位置として認証に指定された位置に依存する。
【０１９７】
１．Ｂ．１１ 中止プロセス
各リライアンスサーバ１０４は認証妥当性データベース、好ましくは、認証局から受信した中止および取消しのすべての通知を累積しオンラインで利用できるようにする高速リレーショナルデータベースを維持する。ユーザは認証状況データベースを手動でブラウズするか、あるいはこのデータベースに手動で問い合わせ、特定の認証の中止または取消しの通知を探索するが、より高いレベルの効率および保証を得るには、中止または取消しの通知が保存されていないことを示す認証を得ることができる。言い換えれば、リライアンスサーバ１０４は、要求に応じて、ある日時までにリライアンスサーバ１０４と共に公開された累積通知に、指定された認証の取消しに関する通知が含まれておらず、かつこの日時に効力を有する中止の通知が累積通知に含まれていないことを確認する認証を自動的にかつ高速に発行する。
【０１９８】
認証局機構１０２は、要求側のＩＤ、要求側の加入者機構１０６との関係（要求側が加入者でない場合）、要求の日時、要求の理由または関連事実、その他の関連状況、要求された中止の継続時間を記述した中止要求を受信しログする。認証局機構１０２は、要求と共に与えられた情報の正確さを確認する義務を有さない。しかし、加入者機構１０６と認証局機構１０２との間の契約で許可されている場合、認証側は、いたずらまたは詐欺とみなされる状況で中止を調査するか、あるいは差し控えるか、あるいは制限することができる。
【０１９９】
認証局機構１０２は、中止または取消しの通知がポストされる位置として認証にリストされたリライアンスサーバ１０４と共に中止の通知１２６を生成し公開する。
【０２００】
リライアンスサーバ１０４は、中止およびその継続時間を示すように認証状況データベースを更新する。中止がすでに実施されている場合、リライアンスサーバは１０４は最新の通知上の情報を反映するように認証状況データベースを変更する。
【０２０１】
リライアンスサーバ１０４は常に、あらゆる中止と、中止に対するあらゆる見掛け上の異常または不規則性とを、当該の認証を発行した認証局機構１０２に報告する。
【０２０２】
認証局機構１０２は、送信された通知と、リライアンスサーバ１０４から返された肯定応答とを含むように認証局機構自体の記録を更新する。
【０２０３】
中止は、指定された中止継続時間が経過したときに自動的に終了する。不定期間にわたる中止は、その根拠が確認されないにもかかわらず、信頼当事者が取引をクローズしたり進めるのを妨げる。認証局機構１０２と加入者機構１０６との間の契約は一般に、不定期間にわたる未確認要求による中止を防止する。中止を実施した通知で計画されている終了時間よりも前に中止を終了する場合、認証局機構１０２は、中止を作成するプロセスに類似したプロセスに従う。すなわち、認証局機構１０２は要求を受信しログし、リライアンスサーバ１０４に通知する。リライアンスサーバ１０４は認証情報データベースを更新する。
【０２０４】
１．Ｂ．１２ 取消し
取消し通知を受信したリライアンスサーバ１０４は、認証の取消しを示すように認証状況データベースを更新し、肯定応答を返し、公開側認証局機構１０２に報告する。リライアンスサーバ１０４は、重複した取消し通知または後続の取消し通知を受信した場合、この第２の要求をログするが、認証状況データベースには他の変更を加えず、エラーメッセージを返す。リライアンスサーバ１０４は常に、あらゆる取消しと、取消しに対するあらゆる見掛け上の異常または不規則性とを、当該の認証を発行した認証局機構１０２に報告する。
【０２０５】
待機認証申込み（後述）が利用可能であり、安全に維持されている場合、文書を犠牲にするか、あるいは認証局の義務をショートカットして取消し要求を確認することなしに、前述の取消しプロセスを自動的に行うことができる。待機申込みに基づいて新しい認証が発行された後、加入者機構１０６は、取消しを求めるデジタル署名付き要求を発行することができ、加入者機構のデジタル署名は、待機申込みに基づいて新たに発行された認証を参照することによって確認することができる。このような取消し要求は自動的に処理することができるが、待機申込みプロセスを介して加入者機構１０６を再認証することができないか、あるいは何らかの理由で、有効な認証によって検証できるデジタル署名を作成する残りの機能を加入者機構１０６が有さない場合、認証局機構１０２はデジタル署名以外のある手段、すなわち、上記で概略的に説明したステップを実施する場合に通常、手動プロセスを必要とする手段を使用して取消し要求を確認しなければならない。
【０２０６】
１．Ｂ．１２．１ 二次認証の中止および取消し
リライアンスサーバ１０４は、二次認証を発行した後、時間ベースの認証に関して上述したように認証を中止するか、あるいは取り消すことができる。加入者が認証を中止するか、あるいは取り消す最も一般的な理由、すなわち、専用鍵のセキュリティが危険にさらされることは、一次認証全体に影響を与えるので、加入者機構１０６はほぼ常に一次認証を中止するか、あるいは取り消す。リライアンスサーバ１０４は、一次認証に基づいて発行されたすべての二次認証をただちにかつ自動的に取り消すが、このような取消しは通常、手遅れである。
【０２０７】
一般に、信頼当事者は、デジタル署名を信頼する直前に二次認証を要求する。信頼当事者が二次認証を受信し信頼した後、二次認証を取り消しても、あるいはこの場合には一次認証を取消しても手遅れであり、それほどの効果は得られない。このような取消しは、同じあるいは他の当事者によるさらなるリライアンスを妨げることができるが、この時点では信頼当事者の権利が確定しており、根拠デジタル署名がこの後で信頼できないものになるにもかかわらず、このような権利を与えることができる。
【０２０８】
さらに、二次認証を発行し、その直後に取り消すことは、信頼当事者をだましたか、あるいは信頼当事者に誠意を尽くさなかったとみなされる恐れがある。システム１００の規則および信頼当事者との契約により、認証が発行されてから５分以内に信頼当事者１０４が認証を取り消すことは妨げられる。
【０２０９】
したがって、実際には、二次認証の中止または取消しは、加入者機構１０６または認証局を損失を受けないようにするのに間に合わない。従って、システム１００では二次認証を取り消すことができ、実際に二次認証が取り消されるが、認証が失敗したことに基づいて損害を防ぐ主要な手段は、一次認証の中止および取消しである。
【０２１０】
１．Ｂ．１３ 時間ベースの認証の期限満了および置換
時間ベースの認証は、それに指定された有効期間の終了時に期限が満了する。期限満了は、時間ベースの認証に期限満了に関して指定された時間でいずれかの当事者の側での肯定行為なしに自動的に行われる。認証の状況に関する完全な情報を信頼当事者に与えるために、認証状況データベースに期限満了に関する情報が含められる。
【０２１１】
同じ加入者機構１０６を識別するが新しい公開鍵をリストした新しい認証を発行し受け入れることによって、期限が満了した時間ベースの認証を置換することができる。技術の向上により、累積された暗号文が得られるようになることによって鍵対へのアクセスが容易になり鍵対のセキュリティが脅かされるので、時間ベースの認証で認証される暗号鍵対は限られた寿命を有する。したがって、期限の満了した古い認証を、その古い公開鍵と共にそのまま再発行すべきではない。
【０２１２】
同じ加入者機構１０６に置換認証を再発行するプロセスは、最初の認証を発行する場合とほとんど同じである。ただし、前の認証中の情報を確認するために得られる証拠が、新しい認証中の情報を確認するうえで助けとなるので、置換認証の方が確認が容易である。古い情報は更新する必要があり、認証局機構１０２は常に、不正確な表示に注意すべきであるが、累積された勘定履歴を有する既存の情報ベースを使用すると、後続の認証の再発行は、認証局機構１０２にとってより簡単で廉価で危険の少ないプロセスになる。適切に確認された新しい認証の発行は、実際の契約がない場合には困難であるか、あるいは危険を伴うが、問題のない勘定で保証レベルをそれほど増大せずに置換認証を再発行することは、古い認証の期限が満了する前に電話またはデジタル署名付き要求によって適切に行うことができる。
【０２１３】
１．Ｂ．１４ 時間ベースの認証の自動置換
時間ベースの認証の置換は最初の発行よりも自動化に有用であるので、いくつかの時間ベースの認証は、かなり短い有効期間を有するが自動的に置換することができる。自動置換機能を含む短い初期有効期間は、特に以下のことに対処することができる。
【０２１４】
実験的な加入者：何人かの加入者は、デジタル署名および認証が価値を有するか、あるいは加入者のニーズを満たすかについて確信をもてない。
【０２１５】
神経質な加入者：短い有効期間によって、専用鍵を長期間にわたって安全に保持すること、または電子商取引のその他のリスクに関する不安が軽減されるが、加入者機構１０６は、おそらく安心感が増すにつれて、有効期間を従来型の方式で拡張することができる。
【０２１６】
履歴の欠如：そのコミュニティに新たに参加したか、あるいは関連する履歴をほとんど有さないような加入者は、よく知られている申込み者よりも大きなリスクを与える。短期的で置換可能な認証を使用することによって、比較的未知の加入者機構１０６にトラック記録を追跡する機会が与えられる。
【０２１７】
不安定性：更新を必要とする情報をリストした認証は、この認証の加入者が認証を置換し認証済みの情報を更新することができるように短期間で満了させることができる。
【０２１８】
さらに、おそらく最も重要なこととして、短い有効期間は、専用鍵が危険にさらされることによる損失のリスクを制限する。加入者の（専用鍵を含む）デジタル署名機能の再生成が頻繁になればなるほど、対応する認証の寿命が短くなるので、特定の専用鍵を保護できない危険性は低くなる。
【０２１９】
しかし、自動置換は多くの場合、有利であるが、認証局機構１０２は、すべての可能な状況で時間ベースの認証の自動置換を許可すべきではない。自動置換を許可すべきかどうかと、どんな状況で許可すべきは、認証を発行した認証局機構１０２の裁量にある程度委ねられ、この場合、認証局機構１０２は、保証に関して置換の影響を受けるリライアンスサーバ１０４および保険業者と協働する。加入者機構１０６の各勘定ごとに、認証局機構１０２は、時間ベースの認証を自動的に置換できる回数を示すフィールドを含み、このフィールドの値は、自動置換プロセスが成功したときに減分される。このフィールドがゼロである場合、認証局機構１０２は自動置換プロセスを初期設定しない。この値は最初、置換中の認証を発行した認証局機構１０２によって設定される。システム１００では、（自動認証置換を許可すべきかどうかと、どんな環境で許可すべきかとに関する認証局機構１０２の）裁量は限られており、システム１００は、以下の場合に自動置換を妨げる。
【０２２０】
識別情報の変化：リライアンスサーバおよび認証局データベースのある種のフィールド、特に、加入者機構１０６を識別する情報を含むフィールドを、自動認証置換プロセスによって更新することができない。加入者の申込みにおける識別情報が、すでにリライアンスサーバデータベースに存在する情報と一致しない場合、この申込みは発行側認証局機構１０２へ経路指定され、そこから登録者へ経路指定される。登録者は、加入者機構１０６と連絡を取り、識別情報の変化を確認することができる。
【０２２１】
保証の増額：認証局機構１０２またはリライアンスサーバ１０４は（保険業者と協働して）、自動的に置換された認証中の保証の増額を拒否するか、あるいはソフトシーリングおよびハードシーリングならびに保証限界に関して指定されたその他の要件に従って自動置換による増加額を制限することができる。
【０２２２】
認証機能の欠如：置換認証の発行は、新しい認証にリストすべき情報が連続的に正確であることと、加入者が新しい認証の受け入れたことに関する適切な文書に基づいて行わなければならない。認証を電子的に置換する場合、加入者機構１０６は申込みおよび受入れを認証しなければならない。置換すべき認証がもはや有効ではなく、加入者機構１０６には、認証置換に関する他の有効な認証認証または待機申込み（後述）が存在しない場合、この加入者はもはや電子手段によってこの認証を置換することはできない。
【０２２３】
問題のある履歴：リライアンスサーバおよび中央レポジトリと相関付けされた認証局機構１０２の勘定履歴記録には、認証局とリライアンスサーバ１０４との契約に指定された重大さのレベルまでの出来事がリストされる。言い換えれば、認証局機構１０２とリライアンスサーバ１０４は、ある出来事がある重大性レベルを有することが判明した場合に自動置換を処理しないことに合意する。
【０２２４】
リライアンスサーバ１０４は、最初の認証を自動的に置換できる回数を追跡する。この数はゼロであってよい。中止および取消しと同様に、認証の自動置換機能は最初、この認証を発行した認証局機構１０２によって決定され、リライアンスサーバ１０４で公開され、リライアンスサーバ１０４から、勘定書を受信する加入者機構１０６を含むエンドユーザに与えられる。認証を自動的に置換することができない場合、その加入者機構１０６は、前述のように新しい認証の発行を申し込むことができる。
【０２２５】
時間ベースの認証を自動的に置換する場合、加入者機構１０６、認証局機構１０２、リライアンスサーバ１０４は以下のように相互作用する。
【０２２６】
加入者が置換プロセスを開始：加入者機構１０６は加入者の認証の妥当性を追跡し、期限が満了するときにこの認証を置換することを選択する。加入者機構１０６は、リライアンスサーバ１０４からの勘定書を通して認証の取消しまたは中止について知り、次いで待機申込みを使用して置換を開始する。加入者機構１０６がシステムを使用する際、たとえば、加入者機構１０６が、署名の検証を可能にする有効な認証なしでデジタル署名を作成することを試みる際に、加入者の任意選択でプロンプトを与えることができる。
【０２２７】
加入者による新しい認証の申し込み：加入者機構１０６は、置換プロセスをトリガした後、古い認証中の情報をリストした新しい申込みを作成する。加入者機構１０６は申込みフォームを見直し、必要な変更を加え、次いで新しい鍵対を生成し、この公開鍵とサンプルデジタル署名を申込みに含める。次いで、加入者機構１０６は、加入者の古い認証の専用鍵が依然として有効である場合にはそれを使用して申込みにデジタルに署名する。申込みは、認証にリストされるすべての情報を含み、かつこの情報を加入者機構１０６に提示するので、加入者機構１０６も、この申込みで発行される認証を受け入れる。次いで、加入者機構１０６は、置換すべき認証を発行した認証局機構１０２と、この認証に指定されたリライアンスサーバ１０４との間の契約に応じて、そのどちらかへ置換申込みを送信する。置換が申し込まれた場所は、加入者機構１０６が認証を受け入れ最初の勘定書を得たときに、加入者のシステムに記憶される。
【０２２８】
認証局機構１０２またはリライアンスサーバ１０４が新しい認証を発行：認証局機構１０２は申込みを検査し、それを自動的に処理できる場合は、その申込みから新しい認証を作成し、それにデジタルに署名する。認証局機構１０２は、認証を発行する場合、すべて人間の介入なしに、この認証を転送しリライアンスサーバ１０４と共に公開する。リライアンスサーバ１０４は、認証を発行する場合、置換された認証を発行した認証局機構１０２との契約の必要に応じて、この認証局機構１０２に通知する。自動置換が許可されていない場合、置換申込みは、レジスタによって処理されるように転送される。
【０２２９】
リライアンスサーバ１０４は、認証を公開し、新しい一次認証およびその新しい期限満了日を示すように加入者の認証状況データベース記録を更新し、リライアンスサーバ１０４と一次認証を発行した認証局機構１０２との間の契約に応じて保証限界を調整する。リライアンスサーバ１０４は、認証を公開した認証局機構１０２に対して受信およびレポートの更新を肯定応答し、次の勘定書を発行する際にシステムによって維持されている加入者の記録を更新する。
【０２３０】
自動置換は基本的に、置換中の時間ベース認証、保証限界およびその監視、加入者機構１０６が登録されてから累積されている勘定履歴記録に基づいて行われる。自動置換は、これらのプロセスを最大限に活用し、実際、累積された証拠に照らして認証勘定の解除または中断が認可されないものとみなされるときには解除または中断を妨げる。しかし、自動置換プロセスは認証期限満了を無効化するので、認証の中止および取消しはますます重要になる。
【０２３１】
１．Ｂ．１５ 待機申込みを使用した自動置換
認証を自動的に置換できるのは、その加入者機構１０６が、新しい認証にリストすべき情報を電子的にかつ確実に認証し、それを受け入れることができる場合だけである。というのは、置換を発行した認証局機構１０２は、新しい認証中の情報を確認したこと、および新しい認証を受け入れたことを文書化しなければならないからである。加入者機構１０６に有効な認証が残っていない場合、加入者にはもはや十分に信頼できるデジタル署名を作成することはできない。
【０２３２】
この問題を軽減するために、加入者機構１０６は、新しい鍵対の認証を求めるデジタル署名付き待機申込み、すなわち、新しい認証を得るために使用することのできる申込みを、この申込み中の重大なデジタル署名付き情報を更新する必要がない場合に記憶する。
【０２３３】
加入者機構１０６が新しい最初の認証を申し込むと、システムは２つの申込みを作成する。一方は、新しい認証を発行するために認証局機構１０２へ転送され、他方は、暗号によって同封され、待機申込みとして加入者のシステムに記憶される。この待機申込みは、加入者のシステム上の他の公開鍵とは異なるこの申込み自体の公開鍵を含み、対応する専用鍵が加入者のシステムの安全な場所に記憶される。
【０２３４】
待機申込みは、専用鍵によってデジタルに署名され、この専用鍵は、待機申込みに署名するために使用された直後に破棄される。対応する公開鍵は、この待機申込みに関してのみ有効な取引認証に含まれ、主申込みと共に認証局機構１０２へ転送される。加入者機構１０６が取引認証中の公開鍵を使用して検証する必要のある待機申込みを加入者機構１０６が送信する場合、認証局機構１０２はこの取引認証をファイルに保存する。
【０２３５】
加入者機構１０６が、既存の有効なデジタル署名機能によってデジタルに署名された通常の申込みでは認証を置換できない場合、加入者機構１０６は待機申込みを使用することができる。加入者機構１０６は、未解決でありかつ確認可能である有効な認証がないこを検出し、したがって、加入者機構１０６を識別する重大な情報が変更されてないかぎり、待機認証を使用する。待機認証中の識別情報が依然として正確である場合、加入者機構１０６は加入者の認証局機構１０２へ待機申込みを送信し、認証局機構１０２は、このような状況のためにファイルに保存された取引認証を参照することによって申込み上のデジタル署名を検証する。次いで、認証局機構１０２は、待機申込み中に示された公開鍵をリストした新しい時間ベースの認証を発行する。次いで、加入者機構１０６は、待機申込みに基づいて認証が発行される場合に使用できるように記憶された専用鍵をアンラップ（ｕｎｗｒａｐ）する。
【０２３６】
加入者機構１０６は、待機申込みを使用して新しい認証を得た後、新しい通常の申込みを送信し、加入者の認証の期限が満了する前の任意の時点でこの認証を置換することができる。通常の申込みを作成し送信するプロセスは、新しい待機申込みおよび待機専用鍵を作成し安全に記憶する。
【０２３７】
待機申込みに基づく新しい認証のイベントトリガ発行は、待機申込みが認証局機構１０２へ送信される。詐欺を行う人に認証を発行する機会を最小限に抑えるために、申込みに応答して発行される認証は常に、前の認証を発行する際に識別された人を加入者機構１０６としてリストする。待機申込みを送信すること自体が他の未解決の認証に影響を与えることはない。ただし、加入者機構１０６は新しい認証を使用して、認証できる他の認証の取消しを要求することができる。
【０２３８】
加入者機構１０６と認証局機構１０２との間の契約によって、待機申込みの使用を制限するか、あるいは妨げることができる。しかし、待機申込みおよび自動置換を使用することは、おそらく大部分の加入者にとって好都合であり、時間ベースの認証の有効期間を短縮することを可能し、特定の専用鍵を保持することのリスクを制限する。
【０２３９】
１．Ｂ．１６ リスクに関するコメント
リスクとは基本的に、ある人が損失を受ける機会であり、その最大値は潜在的な損失の額に等しい。リスク管理は基本的に、主として（１）確率および潜在的損失を最小限に抑えること、および（２）効率的になくすことのできないリスクを分散することからなる。リスクを最小限に抑えるための最善の努力にもかかわらず、通常、損失の可能性は残る。この残留リスクを負担する最良の方法は、リスクが、単一の企業に破滅をもたらす機会ではなく適度な既知のコストにになるように、同様な状況を有する多数のリスク負担者の間に分散することである。好ましい実施形態では、上記の技法および規定された慣習または推奨される慣習によってリスクが最小限に抑えられ、保険業者が、保険、共同出資制度、および残留リスクを広範囲に分散するその他の技法によって認証局およびその他の当事者の間にリスクを分散する。
【０２４０】
多次元妥当性限界および２段階認証によって、システムは、リスクにさらされる可能性を厳密に調整し、同時に各信頼当事者のニーズに合わせて調整された高度の保証を与えることができる。一般に、最初の認証およびその置換認証は、ほとんどあるいはまったく保証されていないが、要求に応じて、最初の認証に基づき、より高度に保証された二次認証をリライアンスサーバから得ることができる。カスタマイズされた二次認証中の保証の範囲を定義することによって、信頼当事者は、デジタル署名に与えられる保証の厳密な範囲を明確に理解することができる。また、これにより、システムは保証の他方の面、すなわち、システムの参加者が責任を負うリライアンスのための損失が生じるリスクを管理することができる。
【０２４１】
２．第２の実施の形態
２．Ａ 第２の実施の形態の概要
本発明の第２の実施の形態による電子取引システム２００の概要を図６を参照して説明する。認証局２０６の階層内のある認証局、あるいはいくつかのスポンサー２０８のうちの１つから、１つまたは複数の認証２０４が加入者２０２に発行される。この認証は、加入者２０２を識別するか、あるいは加入者２０２によるある種の取引を認可するように働くことができる。認証（または認証から得た関連情報）のコピーがレポジトリまたはディレクトリ２１０に配置される。各認証局およびスポンサーは、それ自体のディレクトリ２１０を有することも、あるいはディレクトリ２１０を共用することもできる。
【０２４２】
加入者の認証のうちで、加入者を識別しかつ取引の妥当性を確認し認可するのに必要な認証（または加入者の認証の固有の識別子）を含む取引を形成し、この取引にデジタルに署名し、次いでこの取引２１４を当事者２１２（以下では信頼当事者２１２と呼ぶ）へ送信することによって、加入者２０２は信頼当事者２１２と取引を行う。
【０２４３】
信頼当事者２１２は、署名付き取引２１４を受信すると、できるだけ多くの取引２１４を検証するか、あるいは検証する必要のある取引２１４だけを検証し、次いでメッセージ２１６を構成する。次いで、このメッセージがリライアンスマネージャ２１８へ送信される。メッセージ２１６は、署名保証要求（ＳＧＲ）メッセージ、状況検査メッセージ（ＳＣＭ）、限界超過保証（ＯＬＧ）要求、不信頼要求メッセージ（ＵＲＭ）を含む、様々な種類のメッセージのうちの１つでよい。ＯＬＧ要求は、ＲＣＭが拒否された場合に出される。これらのメッセージによって、ユーザは任意選択で、加入者のリライアンス限界の増額を要求することができる。
【０２４４】
好ましくは、リライアンスマネージャ２１８がどのタスクを実行すべきかがわかるように、各メッセージ２１６に目的フィールドが含められる。ＳＧＲは、信頼当事者２１２が、（取引２１４から得られた）メッセージと共に含まれるある情報を信頼することをリライアンスマネージャ２１８に伝え、この情報が信頼できることを検証し、検査結果を保証するようにリライアンスマネージャ２１８に求める。たとえば、ＳＧＲは、信頼当事者２１２がＳ２００取引に関するある認証を信頼するか、あるいはその必要があることを明示することができ、リライアンスマネージャ２１８は、この取引がこの額に関して良好であることを検査するように要求される。
【０２４５】
状況検査メッセージはＳＧＲと形式が類似している。ただし、信頼当事者２１２は、実際には保証を要求せず、このような保証が要求された場合に与えられることを示すに過ぎない。
【０２４６】
限界超過保証要求は、第１の実施の形態のリライアンス要求とほとんど同じである。しかし、信頼当事者２１２は、ＯＬＧ要求が必要であることを示すものが認証中になくてもこのような要求を出すことができる。
【０２４７】
メッセージ２１６がＳＧＲまたはＳＣＭであるときは、リライアンスマネージャ２１８が取引２１４中の加入者情報を検証するのに十分な情報を含む。信頼当事者２１２は、取引の範疇と、信頼当事者が信頼する取引２１４（あるいは、より厳密には、取引２１４に関連する認証）中の加入者の情報の態様とをメッセージ２１６に指定することもできる。
【０２４８】
前述のように、信頼当事者２１２はできるだけ多くの取引２１４を検証することも、あるいは検証する必要のある取引２１４だけを検証することもできる。したがって、たとえば、信頼当事者２１２は取引内のすべての署名、認証、属性値を検証し、次いで単に、リライアンスマネージャ２１８に認証通し番号をＣＲＬと突き合わせて検査することを要求することができる。別法として、信頼当事者が取引２１４全体をリライアンスマネージャ２１８へ送信して検証させ、信頼当事者自体は何も行わなくてもよい。リライアンスマネージャ２１８によって実行される検証サービスのコストは、リライアンスマネージャが実行することを要求される作業の量に依存する。
【０２４９】
リライアンスマネージャ２１８は、信頼当事者２１２からメッセージ２１６を得ると、まずどんな種類のメッセージを受信したかを判定する。メッセージがＳＧＲまたはＳＣＭである場合、リライアンスマネージャ２１８は、取引２１４において加入者２０２から信頼当事者２１２に与えられた認証中の情報の検証を試みる。この情報を検証する場合、リライアンスマネージャは、認証局２０６およびスポンサー２０８と共に検査を行うか、あるいはすでにこのような当事者、または他の場所、たとえばディレクトリ２１０から得ている情報（たとえば、ＣＲＬまたは前の検査で得られた情報）を信頼することができる。
【０２５０】
リライアンスマネージャ２１８は各認証局２０６およびスポンサー２０８の累積責任を追跡し、各認証局２０６およびスポンサー２０８にこの責任を定期的に知らせる。この通知の定期性は、リライアンスマネージャ２１８と各当事者の間の取決めに依存するか、あるいは取引または責任の種類または規模に依存することができる。たとえば、ある場合、認証局は、ある金額を超える取引、特定の実体による取引、認証局の累積責任がある価額を超える原因となる取引、１日のある時間での取引、これらおよびその他の条件の組合せなど、ある種の取引の通知をただちに受ける必要がある。このように、認証局２０６およびスポンサーは、必要に応じて、これらの取引に対する責任を保証するためにただちに行動することができる。
【０２５１】
複数のリライアンスマネージャ２１８が存在することがあり、いくつかの異なる取引２１２または同じ取引２１４のいくつかの異なる部分をそれぞれの異なるリライアンスマネージャによって検証する必要がある場合がある。様々なリライアンスマネージャ２１６に、未解決の各認証に関連する累積責任を追跡させるために、グローバル責任追跡サーバ２２０が使用される。各責任追跡サーバ２２０は電子取引システム２００用のグローバル共用メモリとして働き、未解決の各認証に関連する累積責任をリライアンスマネージャ２１８によって読み取りかつ書き込むことを可能にする。各認証に使用できる責任追跡サーバ２２０は１つだけである。責任追跡サーバ２２０は別々の実体でも、あるいはディレクトリ２１０、ＣＡ２０６、またはスポンサー２０８の一部でもよい。特定の認証を処理できるリライアンスマネージャが１つだけである場合、リライアンスマネージャは、この認証に関連する累積責任を追跡することができる。このような責任追跡サーバは、認証に対するオーバーリライアンスを検出し防止する一般的な「禁止」機能を提供する。「禁止」サービスは一般に、発行側ＣＡとの契約の下で高可用性システムによって実行される。
【０２５２】
認証は、リライアンス限界、またはたとえば、１時間、１日、１週間、１カ月、１年、２４時間、平日などの期間当たりリライアンス限界を指定することができる。したがって、ある認証は１日当たり２００ドルのリライアンス限界を有することができ、それに対して他の認証は５００ドルのリライアンス限界を有することができる。同様に、認証は、たとえば１時間、１日、１週間、１カ月、１年、２４時間、平日などの期間当たりにいくつかの取引を指定することができる。したがって、認証は１日当たり１０個の取引を指定することができる。これらの組合せを適用することができ、たとえば、１日当たり５００ドルを超えない１日当たり５個の取引を指定することができる。これを超えた場合は、リライアンスマネージャ２１８の裁量でＯＬＧ要求を許可する必要がある。
【０２５３】
責任トラッカ２２０は現在の累積責任と、認証に記述された期間にわたる各認証ごとの取引の数を記憶する。認証は、固有のＩＤ（発行側名および認証通し番号）に基づいてインデックス付けすることができる。
【０２５４】
認証は、その妥当性を確認するために使用することのできるリライアンスマネージャのクラスまたはカテゴリーを指定することができるので、責任トラッカ２２０で特定の認証の値の読取り／書込みを同時に行うことが可能である。すなわち、複数のリライアンスマネージャ２１８が同じ認証のコピーを処理し、かつ複数のリライアンスマネージャがこの認証に基づいてリライアンスを要求することが可能である。したがって、責任トラッカ２２０は適切なロッキング機構を使用して、責任トラッカ自体の記録の一貫した読取りおよび更新を確実に行う。
【０２５５】
各リライアンスマネージャ２１８、認証局２０６、スポンサー２０８は任意の時に、保険業者２２２から保証を得ることによってある責任に対してそれ自体を保証することができる。リライアンスマネージャ２１８は、認証局２０６またはスポンサー２０８の現在の未解決の累積責任などの因子に応じて、認証局またはスポンサーの代理として保険業者２２２から保証を得る権限を有する。リライアンスマネージャ２１８はそれ自体の保証を保険業者２２２から得ることもできる。
【０２５６】
リライアンスマネージャ２１８は、課金サービス２２４を介してリライアンスマネージャ自体のサービスに関して様々な当事者に課金する。リライアンスマネージャ２１８は、信頼当事者２１２によってそれ自身が信頼を得ている認証の使用に関しても適切な当事者に課金する。これは、たとえば未知の信頼当事者に、即時電子支払いを要求するか、あるいはたとえばスポンサーの、事前に確立された預金勘定の借方に記入するか、あるいは定期的な請求書を、確立された信用支払い履歴と共にスポンサーまたは信頼当事者へ送信するという形態をとることができる。
【０２５７】
リライアンスマネージャ２１８は、メッセージ２１６を処理し（たとえば、ＳＧＲまたはＳＣＭを検証するか、あるいはＯＬＧ要求を処理し）、適切な当事者に通知し、適切な保証を得て与えられたサービスに関して課金した後、リライアンスマネージャレシート（ＲＭＲ）２２６を信頼当事者２１２へ送信する。このＲＭＲ２２６は、状況検査の結果と、このような検査に関して課された金額を信頼当事者２１２に知らせ、限界超過保証要求の場合には、この要求に対する応答、すなわち、保証レシートまたは拒否メッセージを信頼当事者２１２に知らせる。ＲＭＲレシート２２６は、日時およびメッセージのダイジェストと共にリライアンスマネージャ２１８によってデジタルに署名され、それによってリライアンスマネージャによって実行された検証の証拠として働くことができる。リライアンスマネージャ２１８は必要に応じて、メッセージ２１６、署名付きレシート２２６、およびこのメッセージ２１６の処理に関するその他の情報を保存することができる。
【０２５８】
取引２１４、メッセージ２１６、ＲＭＲ２２６は、それが作成されたときに独立のタイムスタンプサーバ２２８によってデジタルに署名することができる。
【０２５９】
ＲＭＲ２２６を受信すると、信頼当事者２１２は、そのＲＭＲを記憶し、ＲＭＲ２２６中の情報に応じて、加入者２０２との取引を継続することができる。
【０２６０】
図６では別々の実体として示されているが、課金サービス２２４とリライアンスマネージャ２１８は同じ実体の一部でよく、その場合、取引の様々な当事者（たとえば、認証局、スポンサー、加入者、ベンダー）はリライアンスマネージャ２１８との間で勘定をもつことができる。リライアンスマネージャは、それ自体の借方に記入される状況検査手数料と、ＣＡ、スポンサー、保険業者の借方に記入されるリライアンス手数料とに関して別々の合計を維持し、定期的に、すべてのこれらの料金の分離および清算を行い、支払われるべき資金を回収し、回収した資金を、サービス料を引いた上で適切な当事者に送金する。
【０２６１】
定期的に、加入者の要求に応じて、リライアンスマネージャか、あるいはグローバル追跡（「禁止」）サービスが使用されている場合にはグローバル追跡サービスが、信頼当事者のＩＤ、要求されたリライアンス限界（もしあれば）、課された手数料を含め、リライアンスマネージャに提示されたこの加入者のすべての署名をリストした勘定書を加入者に送信する。この勘定書は、従来型の紙ベースの郵便または電子メールを介して配達することも、あるいは加入者によって任意の時間にＷｅｂサーバを介してブラウズすることもできる。勘定書の目的は、加入者が発行した認証を加入者自身に想起させ、不正に発行されたか、あるいは適切に信頼されていない認証を、加入者が識別することを可能にすることである。
【０２６２】
さらに、図６には別々の実体として示されているが、いくつかの状況では、加入者２０２自体が信頼当事者２１２であってよい。たとえば、加入者２０２が、特定の取引を他の当事者へ送信する前に、この取引が署名の保証に関して受け入れられるかどうかを判定しておくことを望むような場合である。
【０２６３】
２．Ｂ 第２の実施形態の詳細な説明
次に、加入者２０２に認証２０４を発行する認証局ＣＡ−ｎのプロセスを図６を参照して説明する。加入者の認証２０４は好ましくは安全なある位置、たとえば加入者の信頼された安全な装置２３０（図７参照）、たとえばスマートカードなどに記憶される。
【０２６４】
加入者の認証２０４は、（図１２に示すように）Ｘ．５０９形式を有し、以下の情報または属性を含む。
【０２６５】
１．認証の発行側の名前。
【０２６６】
２．固有の認証通し番号（認証局名と認証通し番号の組合せが認証を一意に識別することに留意されたい）。
【０２６７】
３．加入者の公開鍵。
【０２６８】
４．発行側によって設定されるリライアンス限界、たとえば、最大ドル建て取引および／または期間（１日、１週間、１月、１年など）当たり
５．発行側が認証中の情報に対するリライアンスの責任を果たす前に認証の状況を検査しておかなければならないかどうか。
【０２６９】
６．この認証を検査することのできる、発行側によって承認された少なくとも１つの状況検査サービス（リライアンスマネージャ２１８）の名前、および任意選択で、この状況検査サービスのネットワークアドレス、ならびにこのサービスのディレクトリ２１０の適切なアドレス。Ｘ．５００ディレクトリ参照システムを使用する場合、名前とアドレスが同じになり、そうでない場合は、有効なネットワークアドレスおよび通信手段を指定することが必要になる可能性がある。
【０２７０】
７．検査サービスの状況検査料。
【０２７１】
８．（ドル建てリライアンス当たり）保証料。
【０２７２】
９．状況検査料を誰が支払うか（加入者、認証局、またはスポンサー）。
【０２７３】
１０．この認証の主体／加入者が装置であるかどうか。
【０２７４】
１１．署名側／装置がその署名に番号付けするかどうか。そうである場合、番号付けが（ａ）順次番号付けであるか、それとも（ｂ）疑似ランダム番号付けであるか。
【０２７５】
認証２０４は、信頼当事者に認証の手数料の支払いを要求するのではなく、送信側／署名側または他の第３者（通常は署名側の雇用者またはスポンサー）にこの手数料の一部またはすべてを課金する状況検査サービスを許可する任意選択のフィールドを含むことができる。この機能を使用すると、状況サービスは署名番号または署名値（またはこれらの値から得られるある値）の記録を維持し、同じあるいは異なる信頼当事者が第３者課金機構を複数回使用するのを防止する。したがって、状況サービスは、特定のデジタル署名がすでに検査され保証されていることを検出し、このデジタル署名をスポンサーの経費で再検討する試みを拒否する。このような試みは不合理な料金を生じさせる恐れがある。
【０２７６】
ある場合には、許可された認証２０４は、状況検査料および保証料をカバーすることに合意した第３者の名前および口座番号も含む。
【０２７７】
別法として、認証２０４は、加入者の名前を公開鍵にリンクするＩＤ認証ではなく、ＩＤ認証と共に、加入者に対するある種の特権または権限を授与する認証（１９９４年７月１９日に出願され、「Ｍｅｔｈｏｄ ｆｏｒ Ｓｅｃｕｒｅｌｙ Ｕｓｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ｉｎ ａ Ｃｏｍｍｅｒｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｓｙｓｔｅｍ」と題し、その内容が引用によって本明細書と完全に合体された、Ｓｕｄｉａの米国特許出願第０８／２７７４３８号に記載された許可認証）でよい。このような許可認証は、リライアンスマネージャによる管理を必要とする関連する取引限界システムを有することもでき、したがって、前述と同じ１組の「リライアンス指定」フィールドまたは同様な１組の「リライアンス指定」フィールドが付加される。
【０２７８】
認証局ＣＡ−ｎ（またはスポンサー）が認証２０４を発行すると、この認証から得た関連情報のコピーが適切なリポジトリ（ｒｅｐｏｓｉｔｏｒｙ）またはディレクトリ２１０へ送信される。ディレクトリ２１０へ送信される情報には、認証局の名前と認証の通し番号が含まれ、ＩＤ認証の場合には、加入者の公開鍵も含まれる。認証情報は状況検査サービス（ＲＭ）へも送信される。一般に、このＲＭは認証に指定されたＲＭと同じである。
【０２７９】
階層認証システムでは、各認証局自体が他のＣＡによって認証され、１つのＣＡはルート認証局ＣＡ−０によって認証される。各認証局は、発行した認証に関する適切な情報をあるディレクトリ２１０で発行する。認証局はそれぞれの同じあるいは異なるディレクトリ２１０を使用することができる。
【０２８０】
ＣＡの（親からの）認証は、上記で加入者認証２０４に関してリストした属性と同様な属性を含む。ＣＡの認証は、親限界が加入者にのみ適用されるかどうか、あるいは指定された認証局のすべての加入者の１日の総量に適用されるかどうかを指定する属性も含む。
【０２８１】
図７を参照するとわかるように、本明細書の好ましい実施形態による信頼された装置２３０にはいたずら防止計数器２３２が含まれる。この計数器はある値ずつ単調に増加し、すなわち、この装置を使用してデジタル署名を作成するたびに１だけ増加する。さらに、この計数器の現在の値は、装置２３０によって署名される各署名ブロックに署名属性値として埋め込まれる。
【０２８２】
装置（またはユーザ）の各署名に順次番号付けし、この署名をリライアンスマネージャに提出するときにこれらの番号のそれぞれを収集することによって、装置のいたずらおよび偽造と専用署名鍵の盗難および許可されない使用を検出することができる。専用署名鍵を装置から抽出した場合、この鍵を使用して取引に署名することができ、取引は、製造業者の装置認証を伴うときに、この装置によって信頼できる方法で生成されたものとみなされる。しかし、このような鍵は、装置の外部で使用される際には、不正に形成された取引を作成するために使用することができる。
【０２８３】
本明細書で説明する署名番号付け方法は、装置外部での単なる使用を検出することはできないが、いたずら防止コーティングなどを除去することによって得られる合法的な装置署名鍵および認証を使用して不法な装置の偽造または再生を検出するのを助けることができる。偽造の目的は、首尾良くいたずらを行うためのコストはかなり高額であるので少数の合法的な装置のいたずらに基づいて多数の装置を生産し販売することであると仮定される。したがって、各署名に通し番号を伴わせることによって、このような番号を収集し比較する中央システムに可能性の検出を行わせることができる。重複が起こった場合、あるいは所定の順序からかなりずれた番号が受信された場合、（犯人が各計数器を様々な基底値に設定したため）システムは、影響を受けた装置認証を検出し、調査し、場合によっては取り消す。
【０２８４】
この方式は、信頼された装置が、時間値を計数器値と共に各署名に含めることのできる信頼できるタイムクロックも含む場合に機能強化される。この場合、リライアンスマネージャは着信取引署名を作成日付によって分類することができ、したがって、順序どおりでない署名番号を見つけるのはずっと容易になる。
【０２８５】
他の変形態様として、（ａ）ＣＡおよびリライアンスマネージャが、予想される番号シーケンスを算出できるように、ＣＡおよびリライアンスマネージャに知られているシードと共に疑似乱数発生装置（ＰＲＮＧ）を使用するか、あるいは（ｂ）基底値から開始し、次いで増分を加える（基底値と増分は共に特定の製造業者の関数である）ことによって、署名番号を生成することができる。
【０２８６】
たとえば、装置を認証するときに、計数器２３２の初期開始値とその取引当たり増分を装置製造業者２３４によって無作為に設定することができ、次いでこれらの値を他の情報と共に装置２３０内の装置認証２３６に組み込むことができる。
各装置製造業者２３４に異なる計数係数、好ましくは１よりも大きな素数を割り当てることができ、製造時に、計数器２３２用の増分を、この係数が乗じられるランダム値に設定することができる。したがって、たとえば、安全な暗号化装置２３０の３つの製造業者、すなわちＭ１、Ｍ２、Ｍ３がある場合、Ｍ１に係数３が割り当てられ、Ｍ２に係数５が割り当てられ、Ｍ３に係数７が割り当てられる。次いで、製造業者Ｍ１が製造する各装置について、製造業者Ｍ１は乱数Ｒを生成し、計数器２３２用の増分を「３ｘＲ」に設定する。同様に、製造業者Ｍ２はその装置内の計数器の増分を乱数の５倍に設定し、製造業者Ｍ３はその増分を乱数の７倍に設定する。増分を決定するために使用される乱数の範囲は、たとえば１から２００に制限することができ、素数を除外することもできる。この計数を使用して初期開始値を決定することもできる。
【０２８７】
製造業者によって発行される装置認証２３６は、増分自体を記憶するのではなく、（乱数発生アルゴリズムが知られているかぎり）増分を決定するために使用されるランダム値Ｒ、またはＲを決定するために使用される乱数発生装置のシードを記憶するに過ぎない。
【０２８８】
装置製造業者２３０は、（加入者の認証２０４およびディレクトリ２１０に記憶された公開鍵に対応する）加入者の専用鍵２３８のコピーを含む。
【０２８９】
装置製造業者２３４自体は、ルート認証局ＣＡ−０の下方の認証局階層内の認証局ＣＡ−ｍによって認証される。したがって、（認証局ＣＡ−ｍ用のディレクトリ２１０−ｍに記憶された）製造業者の公開鍵を使用して、信頼された装置２３０内の装置認証２３６を検証することができる。
【０２９０】
図１〜図８を参照するとわかるように、加入者２０２は、取引２１４を作成する際に、取引詳細２４２、（認証局ＣＡ−ｎから発行される）加入者の認証２０４のコピー２４４、関連する他の認証のコピー２４６を含むメッセージ２４０を生成する。加入者２０２は、実際の認証のコピーではなく、いくつかのあるいはすべての認証用の固有の識別子（たとえば、発行側の名前や認証通し番号）を含めることができる。次いで、加入者２０２は、自分の専用鍵２３８を使用して取引２４２と様々な署名属性２４８との組合せにデジタルに署名し、デジタル署名２５０を生成する。
【０２９１】
加入者の信頼された装置が、前述のように署名計数器２３２とタイムクロック２３９を含む場合、他の認証２４４は（計数器の開始値および増分を決定できるように）装置認証２３６のコピーなどの情報を含めることができ、かつ署名属性２４８は計数器２３２の現在の値を含めなければならない。装置が毎回１だけ増分する場合、装置認証は必要とされない。装置認証のコピーは、必要に応じて、署名属性２４８に記憶されている計数器２３２の異常値の検査に使用される。通常、装置認証は、ユーザの鍵が認証されたときにＣＡに提出されており、したがって、装置認証の内容はすでにＣＡに知られており、かつＣＡが契約を結んでいるＲＭまたはグローバル禁止サービスに知られている。
【０２９２】
計数器の異常値には、所定の順序からかなりずれた値、製造業者によって発行された値に対応せず、異なる取引値上に以前存在した値、この装置（装置認証２３６中の情報に基づいて）によって発行された値に対応しない値が含まれる。取引に（たとえば、内部タイムクロック２３９の時間値を含む）タイムスタンプを付加する場合、取引が所定の順序とは異なる順序で実行された場合でも、計数器値の所定の順序からのずれが合法的なものであるかどうかを判定することができる。
【０２９３】
好ましくは、加入者の専用鍵２３８は、加入者の認証２０４と同様に、加入者の信頼された装置２３０に記憶されるが、加入者の専用鍵と認証のどちらかまたは両方を安全なコンピュータまたは他の何らかの安全な記憶装置上に記憶することができる。
【０２９４】
デジタル署名２５０は、容認された任意の既知の方法で生成することができる。たとえば、署名はＲＳＡまたはＤＳＡを使用して形成することができる。デジタル署名２５０および署名属性２４８には、添付の認証２４４および２４６のハッシュを含むＰＫＣＳ−７署名ブロック、署名側が装置であるかどうかの表示、この専用鍵に固有の署名番号（計数器２３２の値）を含めることができ、好ましくは、署名がいつ作成されたかを示す関連する内部タイムクロック２３９からのタイムスタンプも含めることもできる。計数器２３２を含む安全な装置２３０の場合、署名番号はその計数器の現在の値である。
【０２９５】
２．Ｂ．１ 信頼当事者が取引を受信する。
【０２９６】
信頼当事者２１２は、前述のように形成された取引２１４を受信すると、その取引２１４にどのくらいの量の情報が含まれ、その情報がリライアンスマネージャ２１８にどのくらいのことを要求しているかに応じて、いくつかのことを実行することができる。
【０２９７】
図９を参照するとわかるように、信頼当事者２１２は取引２１４を受信し（ステップＳ２００）、以下のステップのいくつかまたはすべてを実行する。
【０２９８】
信頼当事者２１２は、リライアンスマネージャ２１８に取引２１４全体を検査させる必要がある場合、取引２１４全体が送信される適切なリライアンスマネージャ２１８のアドレスを判定する（ステップＳ２１０）。
【０２９９】
そうでない場合、信頼当事者２１２は、加入者の認証２４２のコピーおよびその他の認証２４４（もしあれば）を取引２１４から抽出する（ステップＳ２０２）。これらの認証２４２、２４４のいくつかまたはすべてが存在しなくてもよいことを想起されたい。これらの認証は、すでに送信されているか、あるいはディレクトリから得ることができるか、あるいはリライアンスマネージャによって得ることができるように残されている。取引２１４は、加入者の認証２０４の少なくとも固有のＩＤ参照（たとえば、発行側の名前および通し番号）を含むべきである。
【０３００】
この時点で、信頼当事者２１２は取引２１４自体の妥当性をさらに確認するか、あるいはアドレス判定ステップ（Ｓ２１０）に直接進み、リライアンスマネージャ２１８に取引２１４全体を検査させることができる。
【０３０１】
信頼当事者２１２は、取引２１４をさらに検証することに決定した場合、欠落している認証を受信する（ステップＳ２０４）。欠落している認証は適切なディレクトリ２１０から得られ、あるいは信頼当事者２１２が前の検索から得た認証のコピーを保持している。この認証検索プロセスは、すべての親認証を見つけるために与えられた各認証から上向きに進み、既知の良好なルート鍵の方へ進むことによって行われる。
【０３０２】
したがって、たとえば、取引２１４が図２の加入者２によって署名されており、取引に加入者２の認証しか含まれていない場合、信頼当事者２１２は認証発行側の認証（すなわち、ＣＡ−５の認証）を得て、次いでＣＡ−１の認証を得る必要がある。一方、取引が図２の加入者１によって署名されており、取引に加入者１の認証ＣＡ−１、ＣＡ−２、ＣＡ−３、ＣＡ−４が含まれている場合、信頼当事者２１２はさらに認証を得る必要なしに加入者１の署名を検証することができる。
【０３０３】
この場合も、この時点で、信頼当事者２１２は引き続き取引２１４自体を検証するか、あるいはアドレス判定ステップ（Ｓ２１０）に直接進み、検査すべき取引２１４をさらにリライアンスマネージャ２１８に与えることができる。
【０３０４】
受信側は、すべての必要な認証を得た後（ステップＳ２０２、Ｓ２０４で）、認証チェーンを検証し（ステップＳ２０６）、下向きにルートから署名側に進み、その途中で認証中の方針管理を検証する。次いで、信頼当事者２１２はメッセージを再ハッシュし、署名をベース署名側の認証と突き合わせて検査する（ステップＳ２０８）。
【０３０５】
２．Ｂ．２ 信頼当事者が状況サービスのアドレスを判定する。
【０３０６】
信頼当事者２１２は、取引２１４の任意の態様を１つまたは複数のリライアンスマネージャ２１８によって検証させる前に、どのリライアンスマネージャを使用するかを決定しておかなければならない。各加入者認証は、それを検査できる状況検査サービス（リライアンスマネージャ２１８）の名前とこのサービスのディレクトリ２１０の適切なアドレスを含むか、あるいは信頼当事者２１２が適切な認証局２０６からこの情報を得なければならない。したがって、認証が与えられた場合、この認証の態様を検証するためにどのリライアンスマネージャを使用すべきかを判定することが可能である。
【０３０７】
したがって、ステップＳ２１０で、信頼当事者２１２は、まだ少なくとも１つの適切な認証を得ていない場合には（ステップＳ２０２で）、その処理を実行し、この認証を検査することのできるリライアンスマネージャ２１８（あるいはそのような種類のリライアンスマネージャ）の名前をこの認証から判定する。
【０３０８】
一方、信頼当事者は、すでに少なくとも１つの認証を得ている場合には（ステップＳ２０２で）、この認証を検査することのできるリライアンスマネージャ２１８（あるいはそのような種類のリライアンスマネージャ）の名前を、この認証を使用して判定する。
【０３０９】
信頼当事者は、取引に関連するすべての認証を得た場合、各認証の適切なリライアンスマネージャ２１８を判定する。
【０３１０】
２．Ｂ．３ 信頼当事者によるメッセージの作成。
【０３１１】
信頼当事者２１２は、取引２１４を受信し（ステップＳ２００）、この取引のうちの必要なだけを検証し（ステップＳ２０２〜Ｓ２０８）た後、１つまたは複数のリライアンスマネージャ２１８へ送信すべき１つまたは複数のメッセージ（ＳＧＲ要求、ＳＣＭ要求、またはＯＬＧ要求）２１６を作成する。
【０３１２】
しかし、信頼当事者２１２は、メッセージ２１６を作成する（ステップＳ２１２）前に、メッセージ２１６をどのリライアンスマネージャ２１８へ送信すべきかを判定しておかなければならない。複数のリライアンスマネージャを含んでいる場合には複数のメッセージ２１６が存在する可能性があるので、信頼当事者２１２はまず、いくつのリライアンスマネージャが使用されているかを判定しなければならない。
【０３１３】
認証局２０６またはスポンサー２０８は、認証を発行する際に、この認証を検索することのできる状況検査サービス（リライアンスマネージャ２１８）をこの認証に指定する。状況検査サービスは名前またはプロバイダの種類によって指定するか、あるいは他の何らかの方法で指定することができる。したがって、認証発行側は、特定のリライアンスマネージャ２１８のみが発行側の認証を検証できることを決定し、（かつ発行側の認証にそのように指定）するか、あるいは（リライアンスマネージャのクラスによって指定される）ある要件を満たす任意のリライアンスマネージャ２１８によって発行側の認証を検証することを許可する。
【０３１４】
次に、信頼当事者２１２は、状況検査を必要とする認証を分析し、取引の検証に使用すべき状況サービス（リライアンスマネージャ２１８）のアドレスを判定する（ステップＳ２１０）。
【０３１５】
メッセージの内容は、信頼当事者２１２がリライアンスマネージャ２１８に行わせる必要があることは何かに依存する。まず、信頼当事者２１２は取引２１４全体または取引の一部のみをリライアンスマネージャ２１８に与えることができる。第２に、信頼当事者２１２は、取引に関連するすべての認証をリライアンスマネージャ２１８に与えるか、あるいはいくつかの認証のみの固有の識別子のみを与えることができる。第３に、信頼当事者２１２は、取引全体またはそのいくつかの態様のみの妥当性を確認するようにリライアンスマネージャ２１８に求める。
【０３１６】
信頼当事者２１２がリライアンスマネージャ２１８に要求できる様々な機能には以下の機能が含まれる。
【０３１７】
（１）認証の固有の識別子が与えられた場合、この認証が取り消されている（すなわち、ＣＲＬ上にリストされている）かどうか、あるいは中止されているかどうかを検査する。
【０３１８】
（２）１組の実際の認証が与えられた場合に、これらの認証が取り消されているかどうか、あるいは中止されているかどうかを検査する。
【０３１９】
（３）認証と固有の認証識別子が与えられた場合に、この認証が取り消されているかどうか、あるいは中止されているかどうかを検査する。
【０３２０】
（４）認証チェーンを検証し、認証が実際に互いに検証し合っているかどうかを調べる。ＲＭが、デジタル署名の計算を繰り返し実行する必要を回避するために大部分の認証を検証済み状態で記憶できることに留意されたい。
【０３２１】
（５）上記の（１）〜（４）と同じであるが、取引に署名した最初の加入者のデジタル署名を含め、取引全体を検査する。
【０３２２】
前述のように、メッセージ２１６は、ＳＧＲ要求（メッセージと共に含められたある情報を信頼当事者２１２が信頼することをリライアンスマネージャ２１８に知らせ、かつこの情報が信頼できる情報であることを検証するようリライアンスマネージャ２１８に求める）、ＳＣＭ要求（信頼当事者２１２が実際に保証を要求するわけではなく、必要に応じてそのような保証が与えられるという表示のみを要求することを除いて、形式がＳＧＲに類似している）、またはＯＬＧ要求を含め、様々な異なる種類のメッセージのうちの１つでよい。
【０３２３】
メッセージ２１６は、ＳＧＲまたはＳＣＭである場合には、信頼当事者２１２が最初に取引２１４から判定した（リライアンスのための）金銭的価値を含む。取引２１４で金銭的価値が与えられないか、あるいは信頼当事者が、与えられた価値とは異なる金銭的価値を信頼する必要がある（たとえば、信頼当事者２１２がある額だけ自家保険を付保している）場合、信頼当事者はこれに応じてメッセージ２１６中の金銭的価値を設定することができる。しかし、信頼当事者２１２が、取引２１４に記述された値を超える金銭的価値を記述するのを妨げることによっておそらく、加入者の最大許容限界を早い時期に使い尽くし、取引の署名属性２４８に取引の実際の記述値を含めるべきであり、メッセージ２１６は、署名属性２４８を含むことによって、実際の記述値を含めるべきである。
【０３２４】
状況検査のみが必要である場合、メッセージに状況検査ビットを設定することができるか、あるいはメッセージ２１６中の金銭的価値がゼロに設定される。好ましくは、状況検査ビットは、意味を有するデータ値の過負荷を回避するために使用される。この場合、メッセージ２１６（ＳＣＭ）は、様々な認証の状況の確認を要求するために使用されるが、保証を購入するためには使用されない。
【０３２５】
メッセージ２１６（ＳＧＲまたはＳＣＭ）は以下のものを含む（必ずしも所与の順序とは限らない）。
【０３２６】
１．信頼当事者２１２の名前およびネットワークアドレス。
【０３２７】
２．重複メッセージ（特にＲＣＭ）を拒否できるようにする固有の通し番号。
【０３２８】
３．課金のための課金サービス２２４を含む勘定情報（署名側またはスポンサーが支払う場合も同様）。
【０３２９】
４．許容されたリライアンス限界または残りのリライアンス限界を超えた場合に拡張を要求する任意選択の意思。
【０３３０】
５．認証または認証の固有の識別子（たとえば、発行側の名前や通し番号）のリスト。
【０３３１】
６．署名の通し番号およびタイムスタンプ（取引２１４に存在する場合）。
【０３３２】
７．検査中のメッセージ（取引２１４）のハッシュ。任意選択で、検査および／保存のためにメッセージ全体を負荷することができる。
【０３３３】
８．タイムスタンプサーバ２２８によって日時を与えることができる。
【０３３４】
９．この取引の範疇の、任意選択のリスト。
【０３３５】
１０．情報検査で不合格になった場合でも保存を求めるか、あるいはリライアンス限界を超えた場合でも保存を求める要求。
【０３３６】
１１．リライアンスマネージャサービスの公開鍵を用いて暗号化された保存検索パスワード。
【０３３７】
１２．このメッセージの目的（保証要求、状況検査、課金承認など）
１３．役割（信頼当事者）。
【０３３８】
１４．信頼当事者の課金サービス認証のハッシュ。
【０３３９】
１５．課金サービス２２２の勘定の借方に記入するための信頼当事者の署名。
【０３４０】
２．Ｂ．４ 信頼当事者によるメッセージの送信
信頼当事者２１２は、アドレスを判定し（ステップＳ２１０）、適切なメッセージを作成し（ステップＳ２１２）た後、要求された基本検査料の合計と、ドル建てリライアンス値当たりの要求されたリライアンス保証料の合計を求める（ステップＳ２１４）。
【０３４１】
メッセージ２１６は、作成されると、適切なリライアンスマネージャ２１６へ送信される（ステップＳ２１６）。メッセージ２１６は、リライアンスマネージャ用のディレクトリエントリに指定された転送機構、たとえば、ソケット、ＨＴＴＰ，ｅメールなどを使用して送信される。
【０３４２】
２．Ｂ．５ リライアンスマネージャによる処理
１．メッセージの受信
リライアンスマネージャ２１８は、信頼当事者２１２からメッセージ２１６を受信する（ステップＳ２１８）と、以下の動作を実行する（図１０参照）。
【０３４３】
２．メッセージ構文の検証
まず、リライアンスマネージャ２１８は、メッセージ２１６の一般的な構文が正しいことを検証する（ステップＳ２２０）。この構文が正しくない場合、リライアンスマネージャ２１８は信頼当事者２１２にこのことを知らせ、処理を終了する。構文が正しくないメッセージに関して信頼当事者２１２に課金することができる。
【０３４４】
メッセージ２１６の構文が正しい場合、信頼当事者２１２がリライアンスマネージャ２１８との勘定を有する（すなわち、リライアンスマネージャと課金サービス２２４が同じ実体である）場合には、リライアンスマネージャは、それ自体がローカルに記憶した信頼当事者２１２の公開鍵を参照し、メッセージ２１６をハッシュし、信頼当事者の署名を検証する。
【０３４５】
信頼当事者２１２がリライアンスマネージャ２１８との確立された勘定を有さない場合、リライアンスマネージャは、ある従来型の手法により、すなわち、通常は、信頼当事者の公開鍵を指定する認証のチェーンを検証することによって、メッセージ２１６上の信頼当事者の署名を検証しなければならない。
【０３４６】
３．最低手数料の決定
次に、リライアンスマネージャ２１８は、この確認取引に基づいて最低満期支払高を決定し、信頼当事者の口座のアベイラブルファンズを確認する（ステップＳ２２２）。また、リライアンスマネージャ２１８は、取引全体が確認されるまで、満期支払高の総額を取引に基づいて決定することができないこともある。リライアンスマネージャ２１８および請求サービス２２２が別々のエンティティである場合には、リライアンスマネージャは請求サービスによって信頼当事者の口座に請求するか、または請求サービスと接触することによって、信頼当事者がそれらに対して良好に原告適格である（ｉｎ ｇｏｏｄ ｓｔａｎｄｉｎｇ ｗｉｔｈ）か、また利用できる資金またはクレジットがあるかどうかを判定する。
【０３４７】
４．何が要求されているかの決定
リライアンスマネージャ２１８の後続の活動は、信頼当事者２１２がメッセージ２１６中で何を要求したかに依存する。リライアンスマネージャ２１８は、何が要求されているかを決定し（ステップＳ２２４）、それに従ってメッセージを妥当性検査する（ステップＳ２２６）。
【０３４８】
５．メッセージの妥当性検査
考えられる１つの場合には、リライアンスマネージャ２１８は、要求されたリライアンス限界とともに、様々な認証および／または実際の認証の独自の識別子が（メッセージ２１６中で）与えられる。リライアンスマネージャ２１６は、それらの認証が取消しされているか否か（すなわちＣＲＬにリストされているか否か）、または停止されているか否かを検査する。
【０３４９】
リライアンスマネージャ２１８はまず、要求されたリライアンスが取引２１４の値以下であるかどうかを決定するための検査を行わなければならない。取引の署名属性ブロック２４８はその取引の値を含み、このブロックおよび実際の署名が、信頼当事者の要求された債務とともにリライアンスマネージャに与えられる。要求されたリライアンスが取引の値を超える場合には、リライアンスマネージャは要求を拒絶しなければならない。このような場合には、リライアンスマネージャは、加入者２０２およびその他の要求の当事者に通知しなければならない。
【０３５０】
リライアンスマネージャは、このようにして署名を確認することができ、また加入者の利用できるリライアンス限界を利用する前に、このブロックから加入者の申告取引値を抽出することができる。取引全体が提示されている場合には、ＲＭはこれをハッシュして、署名属性ブロックに入っている取引ハッシュと一致するかどうかを調べることもできる。署名ブロックまたはメッセージ全体を検査するこれらのプロセスは、一般に、信頼当事者から提供された申告値を信頼することが適当である値の小さなメッセージを省略することができる。こうした場合では、信頼当事者が誤った陳述をすると、リライアンスマネージャから提供される署名保証またはその他の取引保険は簡単に無効になることになり、したがって誤った値を提示するとその人の不利益になる。
【０３５１】
メッセージ中に（通し番号で、または提供順に）リストされた各認証ごとに、リライアンスマネージャ２１８は、適当なＣＲＬ、すなわちその認証の発行者からのＣＲＬと突き合わせて認証の通し番号を検査する。認証が取消しまたは停止されている場合には、リライアンスマネージャはその認証が無効であるとし、残りの認証について続行する。任意の認証が無効である場合には、取引全体が無効であるとみなされる。
【０３５２】
検査した各認証ごとに、リライアンスマネージャ２１８は発行者に、その使用、およびその認証に関連するリライアンス値を通知することができる（ステップＳ２２８）。こうした通知は、月ごと、日ごと、週ごと、時間ごと、または事前に承認された金額を超える取引ごとに行うことができる。
【０３５３】
６．グローバルリライアンス限界の更新
リライアンスマネージャ２１８は、複数のＲＭが妥当性検査することができるものと想定して、適当なグローバル債務トラッカ２２０からその認証についての現在の累積債務を読み取ることもできる。現在の累積債務が要求された債務を超える場合には、取引は無効となり、拒絶される。限界超過保証要求を処理しようと考える場合には、リライアンスマネージャは信頼当事者に通知する。そうでない場合、要求された債務に現在の累積債務を加えてもその認証の限界を超えない場合には、累積債務は、要求された金額を反映するように更新されるものとする（ステップＳ２３０）。
【０３５４】
累積債務の更新は潜在的に同期しているので、リライアンスマネージャは、値の読取りまたは更新を行う前に、対応する債務トラッカとの取引で使用される全ての認証についての値のロックを獲得する必要があることもある。別法として、楽観コミット戦略（ｏｐｔｉｍｉｓｔｉｃ ｃｏｍｍｉｔ ｓｔｒａｔｅｇｙ）を使用して、各認証が処理される度に新しい値を書き込み、後に障害（限界超過）が起こった場合に変化をロールバックすることもできる。これらの記録の更新は、当技術分野で既知のいかなる方法でも実行することができる。さらに、場合によっては、認証のいくつかしか検査済みのそれらに関連する債務を有さない。（加入者２０２の）最後の１つは密に監視することが最も重要である。
【０３５５】
場合によっては、リライアンスマネージャ２１８は、取引全体を検査するよう求められる。こうした場合には、リライアンスマネージャはその取引に関連する全ての認証を獲得し、妥当性および整合性についてこれらを検査し、次いで要求された債務限界に関連して上述したのと同様に処理する。
【０３５６】
リライアンスマネージャ２１８は、特定の認証の状況を決定した後で、その認証についての記録を作成することができる。この記録は、認証の状況とは無関係に作成することができる。この記録は、この認証が依存する全ての認証、およびこの認証に依存する全ての認証をリストする。このようにして、一度表を参照するだけで認証のチェーン（つながり）を確認することができる。ＣＲＬを受信した、またはリライアンスマネージャが特定の認証が無効になった（取消しまたは停止された）と判定したときには、それはその記録を更新し、チェーンを適当に無効化することができる。
【０３５７】
リライアンスマネージャは、各認証を信頼する全ての当事者も記録する。ＣＲＬが処理されたとき、または特定の認証が無効であると判定したときには、リライアンスマネージャは、１〜２週間などある一定期間内に、その認証を信頼している全ての当事者に通知することができる。これは「ルックバック通知」と呼ばれるものであり、ある認証を、最近それが取消しになる以前に信頼した当事者の助けとなる。この場合、例えば署名者の鍵の盗難が発見される前に泥棒によって発行された詐欺的取引で問題が生じる可能性があるかどうかを判定し、ＣＡに認証の取消しを報告する助けとなることができる。
【０３５８】
あるメッセージに関連する全ての認証が受容可能である場合には、各認証の適当な期間のリライアンス限界は、ＳＧＲで要求されるリライアンスに従って増分される。
【０３５９】
７．手数料および請求当事者の決定
次いでリライアンスマネージャ２１８は、後のバッチ処理のための取引を書き込み、その間に各認証で収集された保証料を増分し、認証局名を発行することによって保証料を累積する（ステップＳ２３２）。
【０３６０】
任意の認証が受容可能でない場合には、信頼当事者２１２（または加入者２０２）は基本検査料だけを請求され、リライアンスおよび保証の手数料は適用されない。
【０３６１】
８．要求された場合の記録文書メッセージ
メッセージ２１６が記録文書を要求し、完全な文書が付いている場合には、この文書は再度ハッシュされ、提示された署名は確認される。この結果が提示された取引と同じでない場合には、記録文書要求は拒絶され、そうでない場合にはメッセージは保存される（ステップＳ２３４）。
【０３６２】
信頼当事者２１２は、要求された最初の保存期間だけ請求されるが、デフォルト期間は６カ月である。信頼当事者２１２は、自分が連続した保存期間請求されることを通知される。リライアンスマネージャから提供された受領証は、取引のハッシュである写しを含み、長い「アーカイブ」署名鍵（少なくとも１８００ビット）を使用して署名され、したがってユーザは取引をどこにでもアーカイブすることができる。しかし、「ワンステップショッピング」として取引をＲＭに記憶させると便利である。
【０３６３】
９．署名装置の確認
取引２１４の署名者が装置（装置に制限された加入者の専用鍵）である場合には、リライアンスマネージャ２１８は、この装置（確認装置、ステップＳ２３６）が生み出した署名の履歴に基づいて異常を検査する。リライアンスマネージャ２１８は、発行者名、認証番号、署名順序番号、ならびにメッセージ２１６を受信した日付および時間とともに、取引記録を保存する。
【０３６４】
いくらかの期間の後で、リライアンスマネージャ２１８は、これらの取引を分類し、過去の取引の順序番号および日付／時間値の異常を検査する。この装置が製造業者に特有の開始値および増分を有する場合には、順序番号を検査してそれらが正しい順序に従うかどうかを判定する。
【０３６５】
順序はずれの値（様々な取引で繰り返されたカウンタ値、関連するタイムスタンプに関して順序がずれているカウンタ値、または先行する値から説明できないほど大きなずれがあるカウンタ値など）が発見された場合には、その装置およびその加入者の認証を直ちに取り消さなければならない。したがって、発行側の認証局は、それらがユーザおよび装置の認証を適当なＣＲＬに追加することができるように通知される。リライアンスマネージャ２１８は、装置の所有者／加入者、ならびに分かっている場合には発行側の認証局または保証人、装置の製造業者、および場合によっては法律執行認証局に通知することもできる。
【０３６６】
債務トラッキングサーバ２２０は、装置の署名番号の現在の値を読取りおよび書込みするために、リライアンスマネージャ２１８を使用できる。各装置の認証２３６または各加入者の認証２０４は、債務トラッカ２２０で対応するエントリを有することができる。リライアンスマネージャは、署名を処理する度に、グローバル署名番号のエントリを更新することができる。このようにして、２重または詐欺的な署名はより迅速に検出される。
【０３６７】
１０．保険の獲得
場合によっては、リライアンスマネージャ２１８は、取引の妥当性検査におけるそれ自体の想定されたリスクをカバーするために、または認証局または保証人の代わりに保険を得ることができる（ステップＳ２３８）。通常は、リライアンスマネージャは、事前に確定した期間、条件、および保険料率を受ける少額署名保証保険証券にそれらに代わって書き込む権限を与えられた、１つまたは複数の保険会社の公認代理人となる。ＲＭＲ（レシート）はリライアンス金額および支払われる手数料をリストし、任意選択で署名保証を引き受ける保険会社名をリストすることもある。
【０３６８】
１１．信頼当事者へのリライアンスマネージャ応答
メッセージ２１６を（信頼当事者２１２から要求された程度まで）確認し、適当な当事者に請求および通知し、適当な保険を発行または購入し、必要な記録を記憶した後で、リライアンスマネージャ２１８は、デジタルに署名し、メッセージ２１６が送信されたのと同じ方法、例えばソケット、ＨＴＴＰ、電子メールなどで信頼当事者２１２に送り返すような、リライアンスマネージャ応答（ＲＭＲ）２２６を作成して送信する（ステップＳ２４０）。レシート２２６は、信頼当事者２１２に送信される前にタイムスタンプサーバ２２８によってタイムスタンプを付けることができる。タイムスタンプサーバは物的エンティティと法的エンティティが異なり、一方または他方（リライアンスマネージャまたはタイムスタンプサーバ）が故障した場合に、それが少なくとも妥当に見える取引を遡って有効にすることができないようになっていることが好ましい。
【０３６９】
レシート２２６は下記の情報を含む。
【０３７０】
１．リライアンスマネージャ２１８の識別
２．このレシート独自の識別子（順序番号）
３．信頼当事者２１２の識別（および任意選択でそのアドレス）
４．信頼当事者独自のメッセージ順序番号
５．検査したメッセージのハッシュ
６．処理した日付および時間（申告値）
７．
・ 認証状況の検査が受容可能であったかどうか、
・ その金額が要求されたリライアンス限界の範囲内であったかどうか、そして
・ メッセージが保存されたかどうか、またその場合にはアーカイブ検索識別番号
を含む要求の結果
８．状況検査が失敗した場合に、認証による状況／理由コードのリスト
９．信頼当事者が要求したリライアンス限界（０でもよい）
１０．署名者（加入者２０２）が自分の限界を超えた場合に、サービス（リライアンスマネージャ２１８）が限界超過例外処理をサポートするかどうか
１１．信頼当事者から限界超過処理が要求された場合に、どの方法をその処理のために使用するか
１２．状況検査およびリライアンス限界が受容可能であった場合に、検査した認証によって支払われる手数料と、加入者および／または第三者に請求される総手数料のリスト（この総手数料は信頼当事者の口座に請求される）
１３．メッセージが以前に検査されているかどうか、また加入者／保証人の資金がなくなったかどうか
１４．状況検査サービス２１８の署名
１５．タイムスタンプサーバ２２８の署名および時間
【０３７１】
２．Ｂ．６ 状況検査料の考慮事項
検査が失敗した場合でも、認証検査後との基本手数料は要求されることがある。場合によっては、リライアンスが０でも、認証が受容可能である場合に手数料がより高くなることもある。
【０３７２】
２．Ｂ．７ 限界超過保証（ＯＬＧ）要求
信頼当事者２１２が限界超過保証を要求する場合には、その当事者は限界超過保証（ＯＬＧ）要求を（メッセージ２１６として）リライアンスマネージャ２１８に送信する。ＯＬＧ要求は、取引２１４に関連する認証中に記載されたリライアンス限界超過保証を要求するために使用される。
【０３７３】
ＯＬＧ要求は、要求者の名前およびネットワークアドレス、このＯＬＧ要求の独自の識別子（順序番号）、請求するための請求サービス口座番号、認証の発行者の名前および通し番号のリスト、ならびにこの状況検査サービスのために、
１）署名の順序番号（存在する場合）
２）検査中のメッセージのハッシュ
３）限界超過手数料の見積もりコスト
４）要求の日付および時間
５）預金口座または請求口座（ｂｉｌｌｉｎｇ ａｃｃｏｕｎｔ）に請求（ｃｈａｒｇｅ）するための確認者の署名
を含む。
【０３７４】
リライアンスマネージャ２１８は、リライアンスマネージャ２１８が信頼当事者の要求した限界超過リライアンス金額を承認および保証していることを除けばＲＭＲ応答と同様の応答でＯＬＧ要求メッセージに応答する。
【０３７５】
２．Ｂ．８ 信頼当事者による最終的な処理
信頼当事者２１２は、リライアンスマネージャ２１８からレシート２２６を入手すると、まず、そのレシート２２６に記載されている信頼当事者の識別を調べて、そのレシート２２６が正しい信頼当事者２１２に送信されたものであるかどうかを検査する。次に信頼当事者２１２は、そのレシート２２６をそれが送信したメッセージ２１６と関連づける。この関連づけを行うために、信頼当事者２１２は、レシート２２６中の独自のメッセージ識別子（順序番号）の値を検査する。信頼当事者２１２がこのレシート２２６に対応するメッセージ２１６を発見しない場合、すなわちこのレシートが間違った信頼当事者に送信されている場合には、受領者は、見つかった不一致をリライアンスマネージャに通知することもできるし、または単純にこのレシートを無視して何もしなくてもよい。
【０３７６】
自分がそのレシート２２６の正しい受領者であると判断し、そのレシートに対応するメッセージ２１６を発見すると、信頼当事者２１２はリライアンスマネージャの署名を確認し、そのレシートを評価してリライアンスマネージャの処理の結果を決定する。換言すれば、信頼当事者２１２は、そのレシート２２６を調べて、メッセージ２１６が要求された認証状況検査に合格したかどうか、またその金額が要求されたリライアンス限界の範囲内であったかどうか、またそのメッセージが保存されたかどうかを判定する。メッセージが保存された場合には、信頼当事者は保存検索識別番号を記憶する。
【０３７７】
信頼当事者２１２は、次いで、通知の働きをするレシート２２６を切り離し、記憶する。レシートはこの特定の信頼当事者に関してのみ適しており、別の当事者が追加署名保証料を支払うことなくそれを信頼することはできないことに留意されたい。以前のレシートが提示された場合に、リライアンスマネージャは、同じ文書または取引に対してその後の信頼当事者に割引を申し出ることができる。
【０３７８】
次に、レシート２２６が状況検査およびリライアンス限界は受容可能であったことを示す場合には、信頼当事者２１２は、請求サービス２２４によってその口座に請求された手数料を評価し、記録し、控除する。
【０３７９】
加入者２０２がその限界を超えたために状況検査が失敗した場合には、信頼当事者は、レシート２２６から、リライアンスマネージャ２１８が限界超過例外処理をサポートするかどうかを判断し、次いでこの処理を要求するかどうかを決断する。
【０３８０】
ある特定の取引２１４は、メッセージが複数のリライアンスマネージャ２１８に送信されることを必要とすることがあることを想起されたい。信頼当事者２１２は、取引２１４を続行するかどうかを最終的に決定することができるようになる前に、全てのリライアンスマネージャがレシート２２６で応答するのを待機しなければならない。したがって、信頼当事者２１２は検査を行い、このレシート／メッセージ対に関連する取引について、未解決のリライアンスマネージャの要求があるかどうかを判定する。存在しない場合には、信頼当事者は加入者２０２との取引２１４を続行することができ、そうでない場合には、その他のリライアンスマネージャから取引２１４に関連するその他のメッセージ２１６への応答を引き続き待機する。
【０３８１】
全てのレシート２２６に報告された結果に基づいて（特定の取引に対応する）、信頼当事者２１２は取引を続行することができる。すなわち、全ての検査を実行し、保証および請負いを受け取ると、実際に取引を信頼することができるようになる。
【０３８２】
２．Ｃ ユーザ認証の形式
図１１は、本明細書に開示のシステムで使用する典型的な署名者の認証のエレメントを示す図である。図示の認証は、ＩＴＵ Ｘ．５０９認証であり、追加フィールドはＸ．５０９ Ｖｅｒｓｉｏｎ ３で前述した拡張子にすることができる。それぞれを別個の拡張子にすることも、完全な「リライアンス指定」を複数の内部エレメントを含む単一のＶｅｒｓｉｏｎ ３拡張子にすることも、この２つを何らかの形で組み合わせることもできる。
【０３８３】
図１１に示すように、リライアンス指定は少なくとも下記を含むことができる。
【０３８４】
１．何らかの公称金額（ｎｏｍｉｎａｌ ａｍｏｕｎｔ）を超えるとリライアンスが推奨または保証されないという陳述。値が高い方がＣＡまたはその保険者および再保険者に対する過度なリスクを引き起こさないことを損失経験が示す場合に、この金額は増加することがある。
【０３８５】
２．発行側ＣＡによって承認された少なくとも１つの状況検査サービスの名前、および任意選択でそのネットワークアドレス。Ｘ．５００ディレクトリ参照システムを使用する場合には、名前およびアドレスは１つになる。そうでない場合には、有効なネットワークアドレスおよび通信手段を指定する必要があることもある。
【０３８６】
３．状況検査メッセージ（ＳＣＭ）、リライアンス保証要求（ＲＧＲ）、限界超過保証（ＯＬＧ）、および信頼当事者がその権利の一部または全てを行使しないことに自発的に同意して所与の署名を信頼し、それによりその他の取引について後に使用することができる署名者のリライアンス限界の一部分を現行期間だけ解除する、「非信頼」（ｕｎｒｅｌｙ）機能（後述）も含めて、この実施形態に記載のサービスを実行するための基本手数料の予定。
【０３８７】
４．状況検査サービスが署名保証料を請求する許可を、信頼当事者にそれらを支払うように要求する代わりに、送信者／署名者または別の第三者（通常は署名者の雇用主または保証人）に付与する任意選択フィールド。このフィーチャを使用するときには、状況サービスは記録を署名番号（別の箇所に記載）または署名値（またはそれから得られた何らかの値）の記録を保持し、同一のまたは異なる信頼当事者が第三者の請求フィーチャを複数回利用することを防止する。すなわち、状況サービスは、特定のデジタル署名が以前に検査および保険をかけられており、保証人の資金の浪費につながる可能性のある保証人の費用でそれを再検査するいかなる試みも拒絶することを検出する。
【０３８８】
５．権限を与えられたときに、状況検査および保証の手数料をカバーすることに同意した第三者の名前および口座番号。
【０３８９】
別法として、その内容を参照により完全に本明細書に組み込む「Ｍｅｔｈｏｄ ｆｏｒ Ｓｅｃｕｒｅｌｙ Ｕｓｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ｉｎ ａ Ｃｏｍｍｅｒｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｓｙｓｔｅｍ」と題する米国出願第０８／６８２０７１号に記載のように、当該の認証は、加入者名を公開鍵と関連づける識別認証にすることはできないが、識別認証に関連して何らかの特権または権限を加入者に授与するものにすることはできる。これは、第２の実施形態の署名保証レシートと類似した第１の実施形態の「二次認証」と混同されないものとする。このような公認認証は、リライアンスマネージャによる管理を必要とする、取引限界の関連システムを有することもでき、したがって上述のものと同じまたは同様の「リライアンス指定」フィールドのセットをそれに追加していることになる。
【０３９０】
２．Ｄ 見積もり要求
状況検査メッセージは、完全な署名保証のコストの見積もりをリライアンスサービスに発行させるが実際には保証を発行しない見積もり要求インジケータも、記述されたリライアンス金額とともに含むことができる。
【０３９１】
リライアンスマネージャから発行された見積もりは、信頼当事者が後の署名保証要求に関連して使用することができる独自の識別子を含む。最初の状況検査の直後に保証要求がリライアンスマネージャで受信された場合には、状況検査をもう一度実行する計算オーバヘッドなしでこの保証を発行することができる。さらに、見積もりは、検査を再実行せずにその保証を発行することができる期間を指定することができる。一般に、見積もりはこの期間が満了した後も有効のままであるが、状況検査はもう一度実行し、再度状況検査料を負わなければならない。
【０３９２】
２．Ｅ 「非信頼」機能
リライアンス管理システムでは、発行側ＣＡは、通常は、所与の期間の間、一定のリライアンス限界を各加入者に割り当てることになる。例えば、何らかの付随的な調達権限（ｉｎｃｉｄｅｎｔａｌ ｐｒｏｃｕｒｅｍｅｎｔ ａｕｔｈｏｒｉｔｙ）を有する低位水準被雇用者には、毎月１０００ドルのリライアンス限界が与えられることがある。しかし、取引の例としては多数あり、署名保証を購入した見込み信頼当事者によって状況検査された後、様々な理由で進行しなくなり、これにより当該期間の間署名者に許されたリライアンス限界を使い果たすというような例がある。
【０３９３】
毎月の期間の満了が近づいた場合には、署名者は追加日をただ待つだけでよく、その後システムが彼のリライアンス限界を１０００ドルにリセットすることになる。しかし、署名者その者が既にほとんど自分の限界に達しており、追加取引を実行する必要がある場合には、これは介入（ｉｎｔｅｒｖｅｎｔｉｏｎ）なしにその者に引き続き作業をさせることができるには不十分となる。
【０３９４】
この問題の簡単な解決策は、信頼当事者が、通常は独自の裁量で、署名者／加入者への便宜として、その者がもはや当該の取引を信頼するつもりがないと記載した署名付き取引をリライアンスマネージャに送信することによって、別の任意のエクスポージャ、またはおそらくは虚偽の取引に対する損害を支払う義務から、リライアンス管理システムを解放することができるようにすることである。ユーザのリライアンス限界の全額を再度信用（ｒｅ−ｃｒｅｄｉｔ）することができるが、システムは状況検査料と、おそらくは署名保証料の一部とを保持する。
【０３９５】
延長として、信頼当事者は、ある取引を実行しようとする際にある署名を部分的に信頼することができるが、その取引は完了しない。例えば、顧客が「指値注文」を株式仲買人に送信し、この株式仲買人が次いで顧客が指定した価格でその指図を実行しようとするが、市場の価格の揺らぎにより、価格の要件が一致しないためにその指図が実行されないこともある。この場合には、リライアンス管理システムは、その指図が虚偽の署名を使用して記入されている可能性があるという危険またはリスクにさらされており、したがって保証料の一部は得られる（おそらくはその取引を行い、次いで取り消す取引手数料で評価される）が、システムは偽造取引に基づいて未知の人間に有価証券を送ることによって生じているはずの元金の損失の完全な危険にさらされていない。
【０３９６】
様々な主要な取引システムの当事者は、失敗した取引の再信用予定に予め同意することもできるし、またはおそらくは信頼当事者（例えば株式仲買人）は、手数料を吸収することに決め、それらを有益な取引からの内部補助によって埋め合わせることもある。このような手数料のチャージバック（ｃｈａｒｇｅｂａｃｋ）およびリライアンス解放予定は、リライアンスマネージャのサービスが提供する要素となることもあり、またリライアンスサービス、加入者、または仲買人の認証で現れることもある。
【０３９７】
「非信頼」取引は、信頼当事者が特定の署名者から受け取り、それに基づいて保証が発行された特定の以前の取引を指し、信頼当事者が状況サービスと取引がない場合には添付認証で信頼当事者によって署名された、新旧の（少額、おそらくは０ドルの）リライアンス金額を記載することになる。状況サービスは、現行期間の署名者／加入者のリライアンス限界の差を再度信用することになる。
【０３９８】
２．Ｆ 署名保証期間
本明細書に記載のデジタル署名のためのリライアンス管理システムでは、保証期間の開始時および終了時を当事者が選択することができる場合には、デジタル署名の真正さを引き受ける（保証する、保険をかけるなど）ことが望ましい。その主な理由は、保険者が、彼らのリスクがこのような追加手段によって適当に低減している場合には、それにより保険料のコストを低減することができるからである。
【０３９９】
デジタル署名を信頼することの最高レベルのリスクは受領直後に生じるが、これはその署名が、おそらくは盗むことによって合法ユーザの署名装置へのアクセスをその起動コードまたはＰＩＮ番号の知識とともに不当に得た権限のない人間によって作成されたが、合法ユーザが盗難を発見してＣＡに接触し、それらの認証を取り消すよう要求するには時間が不十分である可能性があるからである。実際に、このリスクの間隔は、本明細書に記載のリライアンス管理システムが、起こりうる偽造損失に直面していても、それらの損失を保険ベースシステム中で相互化することによって適時に商取引を進めることができる間隔である。
【０４００】
ａ．リライアンスの遅延開始
見込み信頼当事者が、実際にそれを信頼する前に数時間、数日または数週間にわたって取引を「保持」することができるときには、推定署名者がそれらの署名装置の盗難または権限のない使用を検出して報告するのにはるかに多くの時間をかけているので、状況サービスはより低い署名保証料を見積もることができる。このリスク低減効果は、意図された信頼当事者が、その後それらの定期手形（ｐｅｒｉｏｄｉｃ ｐａｐｅｒ）または電子陳述書（ｅｌｅｃｔｒｏｎｉｃ ｓｔａｔｅｍｅｎｔ）の一部として署名者／加入者に報告することができる保証を、リライアンスサービスから購入するときに最大となる。署名者は、権限のない取引を目にしたときには、これを状況サービスに報告することができ、次いでこれが信頼当事者に、信頼当事者が実際にそれを信頼する前に通知することができる。ほぼ任意の遅延程度、わずか１〜２時間程度でも、それらの署名装置が紛失していることを発見し、それをそれらのＣＡおよびリライアンスサービスに報告するための時間をより多く合法ユーザに与えることができるので、これよりは劣るがリスク低減効果を達成することができる。
【０４０１】
ｂ．リライアンスの低減したテール
保険者は、より短い有効期間でリスクを想定することを好む。いくつかのデジタル署名は、長期間にわたって信頼されることを必要とすることがある。例えば、証書、抵当、遺言、法律、約定を保護する者は、２０年以上にわたって確認でき、信頼できるままである必要があることもあるが、主な商業契約では１０年以下のリライアンスが必要となる。しかし、ほとんどの小さな取引は数週間または数カ月以内に清算され、忘れられることになり、その後は、署名者が署名の真正さを否定することを防止するその他多くの事実が既に存在しているので、真正のデジタル署名は現実には証拠として必要とされない。例えば、商品、サービス、または金融証書を買うまたは売る契約が双方で完全に実行されており、数カ月が経過している場合には、信頼当事者がもはや、偽造または詐欺の最近の請求から保護されることに強い必要性を感じていないこともある。したがって、信頼当事者は、（ａ）短縮された保証期間をリライアンスサーバに要求することも、（ｂ）いずれかの時点で、非信頼取引を発行して、支払われるリライアンス保証料の一部を回収しようとすることもできる。
【０４０２】
図１２は、前段落で論じたリスク、時間、コストを考慮する図である。可能であれば、洗練された信頼当事者は、その実際のエクスポージャのみに保険をかけ、それによりその保証料を低減しようとする。図示の例では、信頼当事者は、（ａ）報告されていない偽造があるリスクがその後にかなり低下する時間Ｔ１まで、また（ｂ）時間Ｔ２の後では、取引を信頼することを必要とせず、それにより遠い将来までの「ロングテール」保険適用範囲が不要となる。署名保証に対して支払われる保険料は、Ｔ１およびＴ２で示す２本の垂直な線の間の曲線の下の面積に比例することがある。
【０４０３】
ｃ．マルチステージリライアンス価格付け
多くのビジネス状況では、ある文書が様々な目的のために様々な当事者によって複数回信頼されることがある。一例としては、所有の在庫（ｉｎｖｅｎｔｏｒｙ ｏｆ ｐｒｏｐｅｒｔｙ）が（ａ）起こりうる貸付または融資を見込んで貸し手または投資家に伝達され、金融協定を準備する際に当事者によって信頼され、また（ｂ）終結プロセスの要素として、この金融協定の下の証券協定（ｓｅｃｕｒｉｔｙ ａｇｒｅｅｍｅｎｔ）の一部として保証およびファイルされる、取引の終結（ｄｅａｌ ｃｌｏｓｉｎｇ）がある。別の例としては、（ａ）購入またはリースの融資、（ｂ）責任保険、および（ｃ）認可番号札を得るために信頼される、自動車の権利（ｔｉｔｌｅ）がある。しかし、この先の任意の段階で取引が遅れる、または吸収される可能性は常にある。したがって、以前に規定したマルチステージ取引の状況では、リライアンスサービスは、同じまたは異なる当事者に発行された同一文書の同じ署名の一連の保証に対して割引価格を見積もり、次いでステージが完了するにしたがってそれぞれを請求することができる。
【０４０４】
この場合、状況サービスへのリライアンス要求メッセージは、取引階級および特定タイプのマルチステージ取引（例えば住宅抵当終結）の開始および継続を識別する独自の識別子を含むことになり、各取引ステージごとに、または全てのステージを一組として、特別価格が見積もられている。所与のステージ用に記述された取引レシートが実際には異なる取引ステージについて信頼された場合には、保証は無効となる。
【０４０５】
２．Ｇ ポートフォリオリスク管理
別の実施形態では、ＣＡまたはその他の保証人は、署名者／加入者（および属する任意の企業またはグループ）の許可された活動を記載したデータ値のアレイを、リライアンスサーバのデータベースに送信し、リライアンスサーバが、状況検査および署名保証（確認）のためにそれに送信される取引に応答して、独立してそれらのデータ値それぞれを管理することができるようにする。
【０４０６】
例えば、金融機関は、様々な代理人のグループを利用して様々なタイプの金融取引を実行することも、様々なタイプのリスクに関するファームワイド（ｆｉｒｍ−ｗｉｄｅ）保険証券を賦課し、次いでそれらの保険証券に違反することになる取引の特別許可を否認または必要とすることによってそのファイナンシャルリスクを制限しようとすることもできる。通常は、企業の信用およびリスク管理部門は、これらの制限を開発および管理する。いくつかの例は下記を含む。
【０４０７】
１．カウンターパーティが未解決の取引を支払う（清算する）ことができないというリスクである「信用リスク」を管理するために、企業は、各カウンターパーティとの未解決の取引について最大限のエクスポージャを定め、現在カウンターパーティに支払う義務のある、またはこれから支払われる金銭または有価証券の金額が、５０００万ドルなど指定された値を超えることができないようにする。これらの限界は、所与のカウンターパーティまたはカウンターパーティの階級のクレジットワージネスを高める、または低下させる新しい情報が利用できるようになるにつれて調整し直すことができる。
【０４０８】
２．外国通貨の価格が突然変化するリスクである「通貨リスク」を管理するために、企業は、特定の外国通貨（日本円など）のデノミネーションがあった全てのカウンターパーティに支払う義務のある、またはこれから支払われる金銭または有価証券の総額が２０億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、円ドルの為替レートが大きく急激に変化する場合には、企業の総最大リスクは分かっており、予め制御されている。
【０４０９】
３．所与の国の政府が好ましくない経済的または法的政策（最悪の場合外人所有資産の没収も含む）を賦課するというリスクである「ポリティカルリスク」を管理するために、企業は、各外国経済（南アフリカなど）に関連する有価証券の総額が、１０億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、南アフリカ政府が突然全ての外人資産を差し押さえ、外債の支払いを拒否した場合には、企業の総最大リスクは分かっており、予め制御されている。
【０４１０】
４．特定の地域（ニューイングランド、Ｒｕｓｔ Ｂｅｌｔ、東ヨーロッパ、シリコンバレーなど）、または産業タイプ（鉄鋼、自動車、航空会社、化学、コンピュータなど）に関連する金融資産（株や証券など）のリスクである「地域または産業リスク」を管理するために、企業は、所与の各地域または産業に関連する有価証券の総額が、５億ドルなど何らかの指定値を超えることができないものと定めることができる。このようにして、石油の価格が４倍になり、航空会社の株価が下落した場合に、企業の総最大リスクは分かっており、予め制御されている。
【０４１１】
毎日の取引が清算されるにつれて、それぞれのリスクのタイプの限界に対する企業の未解決のエクスポージャは、計算し直され、初期化し直され、したがって被雇用者はその他の取引に入ることができる。定期的に、外部限界自体は、リスクの各階級で認められた価格の変動性およびリスクのレベル、ならびに企業の資本状態およびリスクに対する欲望を考慮に入れて検査および調整される。さらに、その企業がおそらくは短期間だけ余分なリスクを容認するのに十分なビジネスケース（ｂｕｓｉｎｅｓｓ ｃａｓｅ）が存在する場合には、例外またはシステムのオーバライドを手作業または半分自動化して行うことができる。
【０４１２】
前述のリスクおよびそれと同様のその他のリスクは、リライアンスサーバが検査するあらゆる取引のデータ内容を備える場合には、本明細書に記載のものなどのリライアンスサービスによって中央で自動的に管理することができる。取引は、その企業によって経営または契約された中央のリライアンスサービスによって確認されるまで、有効にならない。定期的に（通常は毎日）、企業は、現在権限を与えられた限界でリライアンスサーバのデータベースを更新し、その日の間は取引の流れはこれらの限界と突き合わせて動作する。もちろん、（ａ）円をドルで売る、または（ｂ）Ｇｅｎｅｒａｌ Ｍｏｔｏｒｓの株を現金で売るなど、エクスポージャを減少させるいくつかの取引は、それぞれ円（通貨）および自動車産業が利用できるエクスポージャ限界を高くする。取引を一晩で清算しても、カウンターパーティに支払う、またはこれから支払われる金銭の額は減少し、それによりそれらに許された信用限界の一部または全てが解放される。
【０４１３】
したがって、リライアンスサーバは、所与の企業の被雇用者が始めた取引の結果として生成されたリスクエクスポージャ限界を管理するのに必要な情報を記憶するように修正される。この企業は定期的にこの情報を更新し、リライアンスシステムはリライアンス検査用にそれに与えられた取引に従って、利用可能な限界を減少または増加させる。
【０４１４】
本システムは、（ａ）このような全ての取引を管理するための便利な中央点を、１つの企業だけでなく多くの企業に提供し、これによりしばしば事後管理される多くの分断されたシステムに取って代わり、また（ｂ）状況／リライアンス検査サービスによって副署されない限り取引が有効にならず、支払われないことから、ほぼ１００％のコンプライアンスを効果的に強制することができるので、大規模なコストの節約および効率の向上を図ることができる。
【０４１５】
このようなシステムは、両替制御を執行する、あるいは特定の商品の輸入または輸出を制限するなど、政府または事業者団体によって制御が賦与されたのに応答して、地域、州、または国家レベルで経済的政策を執行することもできる。すなわち、政府団体または事業者団体は、前述のファームワイドシステムと同様にその内容、方向、金銭的価値などに依存する取引を執行するか、または、それらに差額税（ｄｉｆｆｅｒｅｎｔｉａｌ ｔａｘｅｓ）をかけることを断ることもある。指定されたリライアンスサービスからのレシートは、制御システムに従おうとする全ての取引が必要とする。この場合には、リライアンスサーバは、例えば発展途上国の場合と同様に乏しい外貨準備高を保存するようになされた一組の限界を執行することもできる。
【０４１６】
このようにして、電子取引システム用のリライアンスマネージャが提供される。当業者なら、制限ではなく例示を目的として記載された実施形態以外で本発明を実施することが可能であり、本発明は以下の請求の範囲によってのみ制限される。
【図面の簡単な説明】
【０４１７】
【図１】典型的なＸ．５０９認証のフォーマットを示す図である。
【図２】典型的な認証階層を示す図である。
【図３】本発明の第１の実施の形態による電子取引システムの概要を示す図である。
【図４】図３によるシステムによって使用されるデータ構造を示す図である。
【図５】図３によるシステムによって使用されるデータ構造を示す図である。
【図６】本発明の第２の実施の形態による電子取引システムの概要を示す図である。
【図７】図６のシステムのユーザへの認証の発行を示す図である。
【図８】本発明による、デジタルに署名された取引の、ユーザによる生成を示す図である。
【図９】本発明による電子取引システムの態様の動作を示すフローチャートである。
【図１０】本発明による電子取引システムの態様の動作を示すフローチャートである。
【図１１】リライアンス指定を含むＸ．５０９認証のフォーマットを示す図である。
【図１２】リスク、時間、コストに関する検討すべき様々な点を示す図である。
【特許請求の範囲】
【請求項１】
電子取引システムにおいてリライアンスを管理する方法であって、
（Ａ）認証局が、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限することの認証を表わす電子信号を加入者に発行するステップと、
（Ｂ）発行された認証に関する情報を表わす電子信号を認証局からリライアンスサーバへ転送するステップと、
（Ｃ）リライアンスサーバが、発行された認証に関する転送された情報を維持するステップと、
（Ｄ）加入者が、取引を形成し、次いで認証を表わす電子信号を含む取引を表わす電子信号を信頼当事者に付与するステップと、
（Ｅ）信頼当事者が、加入者から受信した取引に基づいて保証を求める要求を表わす電子信号をリライアンスサーバへ送信するステップと、
（Ｆ）リライアンスサーバが、発行された認証に関する情報と、要求された保証とに基づいて、要求された保証を与えるべきかどうかを判定するステップと、前記判定に基づいて、
（Ｇ）リライアンスサーバが、信頼当事者に保証を与える許可メッセージを表わす電子信号を信頼当事者に発行するステップと
を具えたことを特徴とする管理方法。
【請求項２】
前記認証は、リライアンス限界を指定し、認証局からリライアンスサーバへ転送される情報に、リライアンスサーバが認証に基づいて保証を与えることができるかどうかを制御する保証パラメータを表わす電子信号を含むことを特徴とする請求項１記載の管理方法。
【請求項３】
前記保証パラメータは、認証に指定されたリライアンス限界を超える受け入れられるリライアンス限界を表わす電子信号を含み、保証を求める要求は、指定されたリライアンス限界を超える値に対するリライアンスを求める要求であり、要求された保証を与えるべきかどうかをリライアンスサーバが判定するステップ（Ｆ）は、
（Ｆ１）要求されたリライアンスが、受け入れられるリライアンス限界を超えるかどうかを判定するステップを含むことを特徴とする請求項２記載の管理方法。
【請求項４】
（Ｈ）前記リライアンスサーバは、認証に関連する累積責任を追跡するステップをさらに含み、
前記判定ステップ（Ｆ１）は、
（Ｆ２）要求されたリライアンスによって、累積責任が、受け入れられるリライアンス限界を超えるかどうかを判定するステップをさらに具えたことを特徴とする請求項３記載の管理方法。
【請求項５】
要求された保証が他の認証の正確さを求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の現在の妥当性および真正さを検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の正確さを認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項６】
前記検査ステップ（Ｆ１）は、
他の認証のデジタル署名を認証のチェーンに沿って検証するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項５記載の管理方法。
【請求項７】
前記要求された保証は他の認証の真正さを求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の真正さを検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の真正さを認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項８】
前記検査ステップ（Ｆ１）は、
他の認証のデジタル署名を認証のチェーンに沿って検証するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項７記載の管理方法。
【請求項９】
要求された保証が他の認証の妥当性を求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の現在の妥当性を検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の妥当性を認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１０】
前記検査ステップ（Ｆ１）は、
他の認証が中止されているか、あるいは取り消されているか、あるいは期限が満了しているかを判定するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項９記載の管理方法。
【請求項１１】
要求された保証が代理人の権限の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、真正さを認証する添付の許可メッセージを含む代理人の文書を表わす電子信号を返すステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１２】
代理人の文書に委任状が含まれることを特徴とする請求項１１記載の管理方法。
【請求項１３】
要求された保証がある人の認可の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、この人の認可に関する認可団体または専門団体による陳述を、この陳述の真正さを認証する添付の許可メッセージを表す電子信号と共に返すステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１４】
要求された保証が実体の存在および／または地位の保証を求める保証であり、
前記ステップ（Ｆ）は、
実体が存在し、良好な地位を有し、業務を行う資格を有することを示す、実体が組み込まれた官庁による陳述を表わす電子信号をリライアンスサーバが返し、陳述が、その真正さを認証する許可メッセージに同封されるステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１５】
要求された保証が義務の履行の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、支払いを保証する陳述を表わす電子信号を発行し、陳述が、その真正さを認証する許可メッセージに同封されるステップを含むことを特徴とする請求項２記載の管理方法。
【請求項１６】
（Ｉ）リライアンスサーバおよび信頼当事者が、リライアンスサーバが許可メッセージを発行する前に契約を締結しておくステップをさらに具えたことを特徴とする請求項１記載の管理方法。
【請求項１７】
前記契約は、信頼当事者がその要求を出した後に締結されることを特徴とする請求項１６記載の管理方法。
【請求項１８】
前記取引は、デジタル署名を表わす電子信号を含み、保証パラメータは、特定のデジタル署名のために発行できる最大補助保証を表わす電子信号を含むことを特徴とする請求項２記載の管理方法。
【請求項１９】
単一の二次認証で発行できる最大補助保証と、
特定の信頼当事者に発行できる最大補助保証と、
１つまたは複数の指定された時間間隔中に発行できる最大補助保証、
認証上で発行できる最大数の許可メッセージと、
許可メッセージが有効なままである最大期間と、
指定された取引タイプについて有効な許可メッセージにリストできる最大リライアンス限界と、
補助保証の根拠を与えるために信頼当事者によってその要求と共に提出しなければならない特定の情報と、
加入者が事前に支払ったある額の補助保証と、事前に支払ったこの保証を許可メッセージでどのように発行できるかに対する制約と、
許可メッセージを求める信頼当事者の要求が許可されるように、許可メッセージを信頼当事者に発行するためのリライアンスサーバによる補助保証の発行を加入者が容認する必要性と、
リライアンスサーバから認証局へ報告を送信することをトリガするしきい値と、
リライアンスサーバが、認証上で発行される補助保証の範囲に関して認証局に対してどれだけ頻繁に報告すべきかということと、
指定された当事者への認証の開示、またはこの認証へのアクセスを制限する制約を表す信号と、
加入者以外の追加の当事者によって取引に署名する必要があることと、任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかの指定と、
署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケールと、
認証の妥当性に関する情報と
のうちの少なくとも１つを表わす電子信号が保証パラメータに含まれることを特徴とする請求項２記載の管理方法。
【請求項２０】
特定の期間に任意の保証パラメータを制限することができることを特徴とする請求項１９記載の管理方法。
【請求項２１】
特定の期間は、保証が有効である期間全体であることを特徴とする請求項２０記載の管理方法。
【請求項２２】
信頼当事者に約束された特定の種類の認証、取引タイプおよび第２の署名の指定のうちのいくつかを表わす電子信号が特定の情報に含まれることを特徴とする請求項１９記載の管理方法。
【請求項２３】
電子取引システムであって、
各認証が、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限するような、認証を表わす電子信号をシステムの加入者に発行する認証局と、
認証局に接続することができ、認証局から発行された認証に関する情報を表わす電子信号を認証局から受信し、取引ベースの情報を含む要求メッセージを信頼当事者から受信したときに、認証局から与えられた情報と信頼当事者から与えられた取引ベースの情報とに基づいて、許可メッセージを表わす電子信号を信頼当事者に発行するリライアンスサーバとを具えたことを特徴とする電子取引システム。
【請求項２４】
リライアンスサーバに接続することのできる少なくとも１つの他の当事者をさらに具え、
リライアンスサーバが、許可メッセージを表わす電子信号を信頼当事者に発行する前に許可メッセージを表わす電子信号を前記他の当事者に与えることを特徴とする請求項２３記載の電子取引システム。
【請求項２５】
リライアンスサーバは、許可メッセージを信頼当事者に発行する前に、この許可メッセージにデジタルに署名することを特徴とする請求項２３記載の電子取引システム。
【請求項２６】
認証局が、デジタル認証を表わす電子信号を加入者に発行する電子取引システムにおいて、加入者の認証を自動的に置換する方法であって、
加入者によって、
（Ａ）新しい鍵対の認証を求める待機申込みを作成するステップと、
（Ｂ）専用鍵を用いて待機申込みにデジタルに署名し、次いで専用鍵を破棄するステップと、
（Ｃ）待機申込みにのみ有効な取引認証に、専用鍵に対応する公開鍵の機能を表わす電子信号を含め、取引認証を認証局へ転送するステップと、認証局によって、
（Ｄ）取引認証を表わす電子信号を維持するステップと、
（Ｅ）加入者が、待機申込みを表わす電子信号を認証局へ送信するステップと、
（Ｆ）認証局が、取引認証を参照することによって申込み上のデジタル署名を検証するステップと、次いで検証が成功した場合に、
（Ｇ）待機申込みに示された公開鍵をリストした新しい認証を表わす電子信号を発行するステップと
を具えたことを特徴とする置換方法。
【請求項２７】
認証局から発行されたデジタル認証を加入者が有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
加入者の少なくとも１つの認証に関する情報を含む取引を表わす電子信号をこの加入者から受信するステップと、
取引から得た認証情報に基づき、信頼当事者が信頼する取引の価値を指定するメッセージを作成するステップと、
信頼当事者が信頼する取引の価値の保証を要求するメッセージを表わす電子信号をリライアンスサーバへ送信するステップと
を具えたことを特徴とする管理方法。
【請求項２８】
信頼当事者は、
メッセージを送信したことに応答して、バウチャを表わす電子信号をリライアンスサーバから受信するステップと、
バウチャ上の情報に基づいて加入者との取引を継続するステップと
さらに具えたことを特徴とする請求項２７記載の管理方法。
【請求項２９】
認証局から発行されたデジタル認証を加入者が有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
当事者が信頼する取引の価値を指定し、かつ取引の価値に対する保証を要求し、かつ取引から得られた認証情報を含むリライアンス要求メッセージを表わす電子信号を、当事者から受信するステップと、
取引の価値に対する保証を与えるべきかどうかを判定するステップと、
リライアンスサーバが取引の価値を保証するかどうかの表示を含むバウチャを表わす電子信号を信頼当事者へ送信するステップと
を具えたことを特徴とする管理方法。
【請求項３０】
取引に関連する認証が取り消されているか、あるいは中止されているかを判定するステップをさらに具えたことを特徴とする管理方法。
【請求項３１】
認証の実際のリライアンス限界を表わす電子信号を認証局から受信するステップと、
実際のリライアンス限界を記憶するステップと、
要求された額が実際のリライアンス限界を超えるかどうかを判定するステップと
をさらに具えたことを特徴とする請求項３０記載の管理方法。
【請求項３２】
認証局の累積責任を維持するステップをさらに具えたことを特徴とする請求項３１記載の管理方法。
【請求項３３】
電子取引システムにおいてリライアンスを管理する方法であって、
認証局によって、
記述されたリライアンス限界を指定する認証を表わす電子信号を加入者に発行するステップと、
記述されたリライアンス限界とは異なる認証の実際のリライアンス限界を表わす電子信号をリライアンスサーバへ転送するステップと
を具えたことを特徴とする管理方法。
【請求項３４】
加入者がデジタル認証を有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
加入者の少なくとも１つの認証に関する情報を含む取引を表わす電子信号を加入者から受信するステップと、
取引から得た認証情報に基づき、かつ信頼当事者が信頼する取引の態様を指定するメッセージを表す電子信号を作成するステップと、
信頼当事者が信頼する取引の態様の保証を要求するメッセージを表わす電子信号をリライアンスサーバへ送信するステップと
を具えたことを特徴とする管理方法。
【請求項３５】
信頼当事者によって、
メッセージを送信するステップに応答して応答レシートを表わす電子信号をリライアンスサーバから受信するステップと、
応答レシート中の情報に基づいて加入者との取引を継続するステップとをさらに具えたことを特徴とする請求項３４記載の管理方法。
【請求項３６】
加入者の認証のうちのいくつかが、関連する手数料を有し、
リライアンスサーバは、
取引に関連する認証の手数料に基づいてサーバのサービスの手数料を確認するステップをさらに具えたことを特徴とする請求項３４記載の管理方法。
【請求項３７】
手数料に使用料、保証料、参照料が含まれることを特徴とする請求項３６記載の管理方法。
【請求項３８】
メッセージにおいて認証状況検査が要求されており、応答レシートが、認証状況検査が受け入れられるものであったかどうかを示すことを特徴とする請求項３５記載の管理方法。
【請求項３９】
レシートが、信頼当事者が信頼する取引の態様をリライアンスサーバが保証するかどうかを示すことを特徴とする請求項３５記載の管理方法。
【請求項４０】
信頼当事者が信頼する取引の態様が金銭的な価値を指定し、レシートが、リライアンスサーバが取引をこの金銭的な価値について保証するかどうかを示すことを特徴とする請求項３４記載の管理方法。
【請求項４１】
リライアンスサーバが、取引に関連する認証に指定された情報に基づいて保証を行うことを特徴とする請求項４０記載の管理方法。
【請求項４２】
加入者がデジタル認証を有する電子取引システムにおいてリライアンスを管理する方法であって、
リライアンスサーバによって、
取引のある態様の保証を要求する当事者からのメッセージであり、取引から得られる認証情報を含むメッセージを表わす電子信号を受信するステップと、
メッセージ中の情報の妥当性を確認して取引のこの態様を保証すべきかどうかを判定するステップと、
リライアンスサーバが取引のこの態様を保証するかどうかの表示を含む応答レシートを表わす電子信号を信頼当事者へ送信するステップと
を具えたことを特徴とする管理方法。
【請求項４３】
検証ステップは、取引に関連する認証が取り消されているか、あるいは中止されているかを判定するステップをさらに具えたことを特徴とする請求項４２記載の管理方法。
【請求項４４】
メッセージに含まれる認証情報は、取引に関連する認証の固有の識別子を含み、
判定ステップは、認証情報を含む少なくとも１つのリスト上の固有の認証識別子を参照するステップを含むことを特徴とする請求項４３記載の管理方法。
【請求項４５】
判定ステップは、認証に関するすでに得られ維持されている情報に基づいて行われることを特徴とする請求項４３記載の管理方法。
【請求項４６】
保証が要求されている取引の態様が金銭的なリライアンス価値であり、
取引に関連する少なくとも１つの認証が金銭的限界を指定し、妥当性確認ステップは、
金銭的なリライアンス価値が、信号に指定された金銭的限界の範囲内であるかどうかを判定することをさらに具えたことを特徴とする請求項４３記載の管理方法。
【請求項４７】
判定ステップは、
認証の現在の累積金銭責任の値を得るステップと、
金銭的なリライアンス価値と現在の累積金銭責任との和が、指定された金銭的限界を超えるかどうかを判定するステップと、
この判定に基づいて、現在の累積金銭責任を更新するステップと
を含むことを特徴とする請求項４６記載の管理方法。
【請求項４８】
電子取引システムにおいてリライアンスを管理する方法であって、
認証局が、認証を表わす電子信号を加入者に発行するステップと、
認証の固有の識別子と認証に関する実際のリライアンス限界とを含む認証に関する情報を表わす電子信号を認証局からリライアンスサーバへ転送するステップと、
加入者が、認証に基づいて、取引を表わす電子信号を形成し、取引を信頼当事者へ転送するステップと、
信頼当事者が、リライアンス要求メッセージを表わす電子信号を、取引に関するリライアンスサーバへ送信するステップと、
リライアンスサーバが、リライアンス要求メッセージ中の情報を検査するステップと、
この検査に基づいて、取引認証を表わす電子信号をバウチャとして信頼当事者に発行するステップと
を具えたことを特徴とする管理方法。
【請求項４９】
前記認証は、ゼロである記述されたリライアンス限界を含むことを特徴とする請求項４８記載の管理方法。
【請求項５０】
リライアンスサーバを用いて認証が検査されていないかぎり認証を信頼することはできないことが、認証に記述されたことを特徴とする請求項４８記載の管理方法。
【請求項５１】
認証がリライアンスサーバを指定することを特徴とする請求項５０記載の管理方法。
【請求項５２】
さらに、リライアンスサーバが取引認証にデジタルに署名することを特徴とする請求項５０記載の管理方法。
【請求項５３】
リライアンスサーバによって、
取引認証を表わす電子信号を少なくとも１つの他の当事者へ転送するステップと、
取引認証を表わす電子信号を他の当事者から受信するステップと、
取引認証にデジタルに署名するステップと
をさらに具えたことを特徴とする請求項５０記載の管理方法。
【請求項５４】
他の当事者が取引認証にデジタルに署名するステップをさらに具えたことを特徴とする請求項５３記載の管理方法。
【請求項５５】
前記リライアンス要求メッセージは、信頼当事者が信頼する取引の価値を指定することを特徴とする請求項４８記載の管理方法。
【請求項５６】
検査ステップは、指定された額が認証の実際のリライアンス限界を超えるかどうかを判定するステップを含むことを特徴とする請求項５５記載の管理方法。
【請求項５７】
認証は、時間ベースの認証であることを特徴とする請求項２７ないし５６のいずれかに記載の管理方法。
【請求項５８】
前記許可メッセージは、二次認証を含むことを特徴とする請求項１ないし１８、又は、２３ないし２５のいずれかに記載の管理方法。
【請求項５９】
妥当性確認ステップは、
取引に関連する認証が取引の時間に関して有効であるかどうかを判定するステップをさらに具えたことを特徴とする請求項４２記載の管理方法。
【請求項６０】
前記公開鍵の機能は、公開鍵のハッシュ、公開鍵の暗号化、公開鍵自体のうちの１つであることを特徴とする請求項２６記載の置換方法。
【請求項６１】
前記取引に関連する信号は、少なくとも１つの認証を含むことを特徴とする請求項４６記載の管理方法。
【請求項１】
電子取引システムにおいてリライアンスを管理する方法であって、
（Ａ）認証局が、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限することの認証を表わす電子信号を加入者に発行するステップと、
（Ｂ）発行された認証に関する情報を表わす電子信号を認証局からリライアンスサーバへ転送するステップと、
（Ｃ）リライアンスサーバが、発行された認証に関する転送された情報を維持するステップと、
（Ｄ）加入者が、取引を形成し、次いで認証を表わす電子信号を含む取引を表わす電子信号を信頼当事者に付与するステップと、
（Ｅ）信頼当事者が、加入者から受信した取引に基づいて保証を求める要求を表わす電子信号をリライアンスサーバへ送信するステップと、
（Ｆ）リライアンスサーバが、発行された認証に関する情報と、要求された保証とに基づいて、要求された保証を与えるべきかどうかを判定するステップと、前記判定に基づいて、
（Ｇ）リライアンスサーバが、信頼当事者に保証を与える許可メッセージを表わす電子信号を信頼当事者に発行するステップと
を具えたことを特徴とする管理方法。
【請求項２】
前記認証は、リライアンス限界を指定し、認証局からリライアンスサーバへ転送される情報に、リライアンスサーバが認証に基づいて保証を与えることができるかどうかを制御する保証パラメータを表わす電子信号を含むことを特徴とする請求項１記載の管理方法。
【請求項３】
前記保証パラメータは、認証に指定されたリライアンス限界を超える受け入れられるリライアンス限界を表わす電子信号を含み、保証を求める要求は、指定されたリライアンス限界を超える値に対するリライアンスを求める要求であり、要求された保証を与えるべきかどうかをリライアンスサーバが判定するステップ（Ｆ）は、
（Ｆ１）要求されたリライアンスが、受け入れられるリライアンス限界を超えるかどうかを判定するステップを含むことを特徴とする請求項２記載の管理方法。
【請求項４】
（Ｈ）前記リライアンスサーバは、認証に関連する累積責任を追跡するステップをさらに含み、
前記判定ステップ（Ｆ１）は、
（Ｆ２）要求されたリライアンスによって、累積責任が、受け入れられるリライアンス限界を超えるかどうかを判定するステップをさらに具えたことを特徴とする請求項３記載の管理方法。
【請求項５】
要求された保証が他の認証の正確さを求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の現在の妥当性および真正さを検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の正確さを認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項６】
前記検査ステップ（Ｆ１）は、
他の認証のデジタル署名を認証のチェーンに沿って検証するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項５記載の管理方法。
【請求項７】
前記要求された保証は他の認証の真正さを求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の真正さを検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の真正さを認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項８】
前記検査ステップ（Ｆ１）は、
他の認証のデジタル署名を認証のチェーンに沿って検証するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項７記載の管理方法。
【請求項９】
要求された保証が他の認証の妥当性を求める保証であり、
前記ステップ（Ｆ）は、
（Ｆ１）リライアンスサーバが、他の認証の現在の妥当性を検査するステップをさらに含み、
前記発行ステップ（Ｇ）は、
（Ｇ１）リライアンスサーバが、他の認証の妥当性を認証する許可メッセージを表す電子信号を発行するステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１０】
前記検査ステップ（Ｆ１）は、
他の認証が中止されているか、あるいは取り消されているか、あるいは期限が満了しているかを判定するステップと、
要求された保証が保証パラメータの範囲内であるかどうかを検査するステップとを含むことを特徴とする請求項９記載の管理方法。
【請求項１１】
要求された保証が代理人の権限の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、真正さを認証する添付の許可メッセージを含む代理人の文書を表わす電子信号を返すステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１２】
代理人の文書に委任状が含まれることを特徴とする請求項１１記載の管理方法。
【請求項１３】
要求された保証がある人の認可の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、この人の認可に関する認可団体または専門団体による陳述を、この陳述の真正さを認証する添付の許可メッセージを表す電子信号と共に返すステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１４】
要求された保証が実体の存在および／または地位の保証を求める保証であり、
前記ステップ（Ｆ）は、
実体が存在し、良好な地位を有し、業務を行う資格を有することを示す、実体が組み込まれた官庁による陳述を表わす電子信号をリライアンスサーバが返し、陳述が、その真正さを認証する許可メッセージに同封されるステップをさらに具えたことを特徴とする請求項２記載の管理方法。
【請求項１５】
要求された保証が義務の履行の保証を求める保証であり、
前記ステップ（Ｆ）は、
リライアンスサーバが、支払いを保証する陳述を表わす電子信号を発行し、陳述が、その真正さを認証する許可メッセージに同封されるステップを含むことを特徴とする請求項２記載の管理方法。
【請求項１６】
（Ｉ）リライアンスサーバおよび信頼当事者が、リライアンスサーバが許可メッセージを発行する前に契約を締結しておくステップをさらに具えたことを特徴とする請求項１記載の管理方法。
【請求項１７】
前記契約は、信頼当事者がその要求を出した後に締結されることを特徴とする請求項１６記載の管理方法。
【請求項１８】
前記取引は、デジタル署名を表わす電子信号を含み、保証パラメータは、特定のデジタル署名のために発行できる最大補助保証を表わす電子信号を含むことを特徴とする請求項２記載の管理方法。
【請求項１９】
単一の二次認証で発行できる最大補助保証と、
特定の信頼当事者に発行できる最大補助保証と、
１つまたは複数の指定された時間間隔中に発行できる最大補助保証、
認証上で発行できる最大数の許可メッセージと、
許可メッセージが有効なままである最大期間と、
指定された取引タイプについて有効な許可メッセージにリストできる最大リライアンス限界と、
補助保証の根拠を与えるために信頼当事者によってその要求と共に提出しなければならない特定の情報と、
加入者が事前に支払ったある額の補助保証と、事前に支払ったこの保証を許可メッセージでどのように発行できるかに対する制約と、
許可メッセージを求める信頼当事者の要求が許可されるように、許可メッセージを信頼当事者に発行するためのリライアンスサーバによる補助保証の発行を加入者が容認する必要性と、
リライアンスサーバから認証局へ報告を送信することをトリガするしきい値と、
リライアンスサーバが、認証上で発行される補助保証の範囲に関して認証局に対してどれだけ頻繁に報告すべきかということと、
指定された当事者への認証の開示、またはこの認証へのアクセスを制限する制約を表す信号と、
加入者以外の追加の当事者によって取引に署名する必要があることと、任意選択で、この追加の当事者が誰であるかと、そのうちの何人が署名しなければならないかの指定と、
署名する追加の当事者の数およびＩＤに基づいて発行できる補助保証の額のスケールと、
認証の妥当性に関する情報と
のうちの少なくとも１つを表わす電子信号が保証パラメータに含まれることを特徴とする請求項２記載の管理方法。
【請求項２０】
特定の期間に任意の保証パラメータを制限することができることを特徴とする請求項１９記載の管理方法。
【請求項２１】
特定の期間は、保証が有効である期間全体であることを特徴とする請求項２０記載の管理方法。
【請求項２２】
信頼当事者に約束された特定の種類の認証、取引タイプおよび第２の署名の指定のうちのいくつかを表わす電子信号が特定の情報に含まれることを特徴とする請求項１９記載の管理方法。
【請求項２３】
電子取引システムであって、
各認証が、加入者の少なくとも１つの公開鍵を少なくとも１つの属性に制限するような、認証を表わす電子信号をシステムの加入者に発行する認証局と、
認証局に接続することができ、認証局から発行された認証に関する情報を表わす電子信号を認証局から受信し、取引ベースの情報を含む要求メッセージを信頼当事者から受信したときに、認証局から与えられた情報と信頼当事者から与えられた取引ベースの情報とに基づいて、許可メッセージを表わす電子信号を信頼当事者に発行するリライアンスサーバとを具えたことを特徴とする電子取引システム。
【請求項２４】
リライアンスサーバに接続することのできる少なくとも１つの他の当事者をさらに具え、
リライアンスサーバが、許可メッセージを表わす電子信号を信頼当事者に発行する前に許可メッセージを表わす電子信号を前記他の当事者に与えることを特徴とする請求項２３記載の電子取引システム。
【請求項２５】
リライアンスサーバは、許可メッセージを信頼当事者に発行する前に、この許可メッセージにデジタルに署名することを特徴とする請求項２３記載の電子取引システム。
【請求項２６】
認証局が、デジタル認証を表わす電子信号を加入者に発行する電子取引システムにおいて、加入者の認証を自動的に置換する方法であって、
加入者によって、
（Ａ）新しい鍵対の認証を求める待機申込みを作成するステップと、
（Ｂ）専用鍵を用いて待機申込みにデジタルに署名し、次いで専用鍵を破棄するステップと、
（Ｃ）待機申込みにのみ有効な取引認証に、専用鍵に対応する公開鍵の機能を表わす電子信号を含め、取引認証を認証局へ転送するステップと、認証局によって、
（Ｄ）取引認証を表わす電子信号を維持するステップと、
（Ｅ）加入者が、待機申込みを表わす電子信号を認証局へ送信するステップと、
（Ｆ）認証局が、取引認証を参照することによって申込み上のデジタル署名を検証するステップと、次いで検証が成功した場合に、
（Ｇ）待機申込みに示された公開鍵をリストした新しい認証を表わす電子信号を発行するステップと
を具えたことを特徴とする置換方法。
【請求項２７】
認証局から発行されたデジタル認証を加入者が有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
加入者の少なくとも１つの認証に関する情報を含む取引を表わす電子信号をこの加入者から受信するステップと、
取引から得た認証情報に基づき、信頼当事者が信頼する取引の価値を指定するメッセージを作成するステップと、
信頼当事者が信頼する取引の価値の保証を要求するメッセージを表わす電子信号をリライアンスサーバへ送信するステップと
を具えたことを特徴とする管理方法。
【請求項２８】
信頼当事者は、
メッセージを送信したことに応答して、バウチャを表わす電子信号をリライアンスサーバから受信するステップと、
バウチャ上の情報に基づいて加入者との取引を継続するステップと
さらに具えたことを特徴とする請求項２７記載の管理方法。
【請求項２９】
認証局から発行されたデジタル認証を加入者が有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
当事者が信頼する取引の価値を指定し、かつ取引の価値に対する保証を要求し、かつ取引から得られた認証情報を含むリライアンス要求メッセージを表わす電子信号を、当事者から受信するステップと、
取引の価値に対する保証を与えるべきかどうかを判定するステップと、
リライアンスサーバが取引の価値を保証するかどうかの表示を含むバウチャを表わす電子信号を信頼当事者へ送信するステップと
を具えたことを特徴とする管理方法。
【請求項３０】
取引に関連する認証が取り消されているか、あるいは中止されているかを判定するステップをさらに具えたことを特徴とする管理方法。
【請求項３１】
認証の実際のリライアンス限界を表わす電子信号を認証局から受信するステップと、
実際のリライアンス限界を記憶するステップと、
要求された額が実際のリライアンス限界を超えるかどうかを判定するステップと
をさらに具えたことを特徴とする請求項３０記載の管理方法。
【請求項３２】
認証局の累積責任を維持するステップをさらに具えたことを特徴とする請求項３１記載の管理方法。
【請求項３３】
電子取引システムにおいてリライアンスを管理する方法であって、
認証局によって、
記述されたリライアンス限界を指定する認証を表わす電子信号を加入者に発行するステップと、
記述されたリライアンス限界とは異なる認証の実際のリライアンス限界を表わす電子信号をリライアンスサーバへ転送するステップと
を具えたことを特徴とする管理方法。
【請求項３４】
加入者がデジタル認証を有する電子取引システムにおいてリライアンスを管理する方法であって、
信頼当事者によって、
加入者の少なくとも１つの認証に関する情報を含む取引を表わす電子信号を加入者から受信するステップと、
取引から得た認証情報に基づき、かつ信頼当事者が信頼する取引の態様を指定するメッセージを表す電子信号を作成するステップと、
信頼当事者が信頼する取引の態様の保証を要求するメッセージを表わす電子信号をリライアンスサーバへ送信するステップと
を具えたことを特徴とする管理方法。
【請求項３５】
信頼当事者によって、
メッセージを送信するステップに応答して応答レシートを表わす電子信号をリライアンスサーバから受信するステップと、
応答レシート中の情報に基づいて加入者との取引を継続するステップとをさらに具えたことを特徴とする請求項３４記載の管理方法。
【請求項３６】
加入者の認証のうちのいくつかが、関連する手数料を有し、
リライアンスサーバは、
取引に関連する認証の手数料に基づいてサーバのサービスの手数料を確認するステップをさらに具えたことを特徴とする請求項３４記載の管理方法。
【請求項３７】
手数料に使用料、保証料、参照料が含まれることを特徴とする請求項３６記載の管理方法。
【請求項３８】
メッセージにおいて認証状況検査が要求されており、応答レシートが、認証状況検査が受け入れられるものであったかどうかを示すことを特徴とする請求項３５記載の管理方法。
【請求項３９】
レシートが、信頼当事者が信頼する取引の態様をリライアンスサーバが保証するかどうかを示すことを特徴とする請求項３５記載の管理方法。
【請求項４０】
信頼当事者が信頼する取引の態様が金銭的な価値を指定し、レシートが、リライアンスサーバが取引をこの金銭的な価値について保証するかどうかを示すことを特徴とする請求項３４記載の管理方法。
【請求項４１】
リライアンスサーバが、取引に関連する認証に指定された情報に基づいて保証を行うことを特徴とする請求項４０記載の管理方法。
【請求項４２】
加入者がデジタル認証を有する電子取引システムにおいてリライアンスを管理する方法であって、
リライアンスサーバによって、
取引のある態様の保証を要求する当事者からのメッセージであり、取引から得られる認証情報を含むメッセージを表わす電子信号を受信するステップと、
メッセージ中の情報の妥当性を確認して取引のこの態様を保証すべきかどうかを判定するステップと、
リライアンスサーバが取引のこの態様を保証するかどうかの表示を含む応答レシートを表わす電子信号を信頼当事者へ送信するステップと
を具えたことを特徴とする管理方法。
【請求項４３】
検証ステップは、取引に関連する認証が取り消されているか、あるいは中止されているかを判定するステップをさらに具えたことを特徴とする請求項４２記載の管理方法。
【請求項４４】
メッセージに含まれる認証情報は、取引に関連する認証の固有の識別子を含み、
判定ステップは、認証情報を含む少なくとも１つのリスト上の固有の認証識別子を参照するステップを含むことを特徴とする請求項４３記載の管理方法。
【請求項４５】
判定ステップは、認証に関するすでに得られ維持されている情報に基づいて行われることを特徴とする請求項４３記載の管理方法。
【請求項４６】
保証が要求されている取引の態様が金銭的なリライアンス価値であり、
取引に関連する少なくとも１つの認証が金銭的限界を指定し、妥当性確認ステップは、
金銭的なリライアンス価値が、信号に指定された金銭的限界の範囲内であるかどうかを判定することをさらに具えたことを特徴とする請求項４３記載の管理方法。
【請求項４７】
判定ステップは、
認証の現在の累積金銭責任の値を得るステップと、
金銭的なリライアンス価値と現在の累積金銭責任との和が、指定された金銭的限界を超えるかどうかを判定するステップと、
この判定に基づいて、現在の累積金銭責任を更新するステップと
を含むことを特徴とする請求項４６記載の管理方法。
【請求項４８】
電子取引システムにおいてリライアンスを管理する方法であって、
認証局が、認証を表わす電子信号を加入者に発行するステップと、
認証の固有の識別子と認証に関する実際のリライアンス限界とを含む認証に関する情報を表わす電子信号を認証局からリライアンスサーバへ転送するステップと、
加入者が、認証に基づいて、取引を表わす電子信号を形成し、取引を信頼当事者へ転送するステップと、
信頼当事者が、リライアンス要求メッセージを表わす電子信号を、取引に関するリライアンスサーバへ送信するステップと、
リライアンスサーバが、リライアンス要求メッセージ中の情報を検査するステップと、
この検査に基づいて、取引認証を表わす電子信号をバウチャとして信頼当事者に発行するステップと
を具えたことを特徴とする管理方法。
【請求項４９】
前記認証は、ゼロである記述されたリライアンス限界を含むことを特徴とする請求項４８記載の管理方法。
【請求項５０】
リライアンスサーバを用いて認証が検査されていないかぎり認証を信頼することはできないことが、認証に記述されたことを特徴とする請求項４８記載の管理方法。
【請求項５１】
認証がリライアンスサーバを指定することを特徴とする請求項５０記載の管理方法。
【請求項５２】
さらに、リライアンスサーバが取引認証にデジタルに署名することを特徴とする請求項５０記載の管理方法。
【請求項５３】
リライアンスサーバによって、
取引認証を表わす電子信号を少なくとも１つの他の当事者へ転送するステップと、
取引認証を表わす電子信号を他の当事者から受信するステップと、
取引認証にデジタルに署名するステップと
をさらに具えたことを特徴とする請求項５０記載の管理方法。
【請求項５４】
他の当事者が取引認証にデジタルに署名するステップをさらに具えたことを特徴とする請求項５３記載の管理方法。
【請求項５５】
前記リライアンス要求メッセージは、信頼当事者が信頼する取引の価値を指定することを特徴とする請求項４８記載の管理方法。
【請求項５６】
検査ステップは、指定された額が認証の実際のリライアンス限界を超えるかどうかを判定するステップを含むことを特徴とする請求項５５記載の管理方法。
【請求項５７】
認証は、時間ベースの認証であることを特徴とする請求項２７ないし５６のいずれかに記載の管理方法。
【請求項５８】
前記許可メッセージは、二次認証を含むことを特徴とする請求項１ないし１８、又は、２３ないし２５のいずれかに記載の管理方法。
【請求項５９】
妥当性確認ステップは、
取引に関連する認証が取引の時間に関して有効であるかどうかを判定するステップをさらに具えたことを特徴とする請求項４２記載の管理方法。
【請求項６０】
前記公開鍵の機能は、公開鍵のハッシュ、公開鍵の暗号化、公開鍵自体のうちの１つであることを特徴とする請求項２６記載の置換方法。
【請求項６１】
前記取引に関連する信号は、少なくとも１つの認証を含むことを特徴とする請求項４６記載の管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００８−２７６８００（Ｐ２００８−２７６８００Ａ）
【公開日】平成２０年１１月１３日（２００８．１１．１３）
【国際特許分類】
【出願番号】特願２００８−１８５２４０（Ｐ２００８−１８５２４０）
【出願日】平成２０年７月１６日（２００８．７．１６）
【分割の表示】特願平１０−５２６８０１の分割
【原出願日】平成９年１２月１１日（１９９７．１２．１１）
【出願人】（５００５３９５３８）サートコ インコーポレイテッド (1)
【Ｆターム（参考）】
【公開日】平成２０年１１月１３日（２００８．１１．１３）
【国際特許分類】
【出願日】平成２０年７月１６日（２００８．７．１６）
【分割の表示】特願平１０−５２６８０１の分割
【原出願日】平成９年１２月１１日（１９９７．１２．１１）
【出願人】（５００５３９５３８）サートコ インコーポレイテッド (1)
【Ｆターム（参考）】
[ Back to top ]