JP2007110377A - ネットワークシステム - Google Patents

Abstract

【課題】認証サーバ間を連携させることによって、該クライアントの認証データを保持しない移動先認証サーバにおいても、クライアントの認証が可能なネットワークシステムを提供する。
【解決手段】一つ以上の認証サーバを持つ認証ドメインがネットワークを介して複数接続された広域ネットワークシステムであって、前記認証サーバは、各認証サーバ間で構築された信頼関係を保持し、自サーバに認証用データを持つクライアントに有効期限付きの認証チケットを発行し、信頼関係が構築されている他の認証サーバによって発行された認証チケットの有効性を検証し、前記認証チケットの有効性が確認されると、認証成功とすることを特徴とする。
【選択図】図１

Description

本発明は、クライアントを認証するネットワークシステムに関し、特に、訪問先のネットワークでクライアントを認証する方法に関する。

近年、ネットワーク技術の進歩によって、複数のネットワークが接続されている。そして、ホームネットワーク以外のネットワークから、クライアントがネットワークに接続する要求が高まっている。この要求に応えるため、第一に、広域ネットワーク網においても、クライアントの認証データを集中管理し、認証を集中処理する方法が提案されている。

第二に、複数の認証サーバを設け、全ての認証サーバが全てのクライアントの認証データを保持する方法が提案されている。

第三に、全てのクライアントの認証データを分散管理し、認証の対象となるクライアントの認証データを登録してある認証サーバ（ホーム認証サーバ）から、該クライアントの移動先の認証サーバ（訪問先認証サーバ）へ、ホーム認証サーバがあらかじめ認証データを送り、訪問先認証サーバは送付された認証データに基づいて認証処理を行う方法が提案されている。

第四に、クライアントがホーム認証サーバで認証を受ける際、認証済みを示すチケットの発行を受け、訪問先認証サーバで認証を受ける際には既発行のチケットを提示し、訪問先認証サーバがホーム認証サーバに問い合わせることによって、クライアントを認証する方法が提案されている。

第五に、公開鍵暗号基盤（ＰＫＩ）を用いる方法が提案されている。予め、認証局（ＣＡ）がクライアントに電子証明書を発行し、クライアントは発行された電子証明書を訪問先認証サーバに提示し、訪問先認証サーバは電子証明書に記載されたＣＡの電子署名に基づいて電子証明書の正当性を確認する。
相良他，"複数ドメインに跨る認証制御エージェントの更新手法"，電子情報通信学会 ２００５年ソサイエティ大会、Ｂ−６−５１ IETF RFC1510，"The Kerberos Network Authentication Service (V5)."

しかし、前述した背景技術にはそれぞれ問題がある。第一の方法では、認証データを集中管理し、認証を集中処理するため、認証サーバの負荷は通信量・処理量共に高くなる。今後、更にクライアント数が増加していくことを考えると、認証サーバがボトルネックとなり、認証処理のスループット低下を招くと考えられる。

第二の方法は、第一の方法の問題の問題を解決するが、認証用データが重複管理されるので、認証用データ量が増加する問題がある。また、各認証サーバ間でクライアントの新規登録、削除、更新時にデータの同期が必要となる。

第三の方法は、第二の方法の問題を解決するが、クライアントの移動先が確定しないときは、認証データのブロードキャスト、又は訪問先サーバでの認証要求時に認証データを送付することになり、無駄なデータがネットワーク上に送信される。また、認証データを重複管理する必要がある（非特許文献１参照）。

第四の方法も、第一及び第二の方法の問題を解決するが、認証時にホーム認証サーバと訪問先認証サーバとの間でのデータのやり取りがあり、認証に要する時間が増加する。また、二つの認証サーバでの処理が必要になるため、認証サーバの負荷が増加する（非特許文献２参照）。

第五の方法では、電子証明書の発行を行う認証局を設置し、クライアントからの申請を受けて、クライアントの正当性を確認し、電子証明書を発行する。電子証明書の発行申請は、クライアント（又は管理者など）が明示的に行う。鍵の漏洩や暗号解読などのリスクを考慮すると、電子証明書は定期的に更新する必要がある。しかし、リスクとクライアント負荷の両立を考えると、電子証明書の有効期限は１年程度と長期であることが多い。

電子証明書は、定期的な更新以外にも、クライアントデータベースの変更時には、変更を電子証明書に反映するために、クライアントが認証局に明示的に電子証明書を申請する必要がある。また、認証局が電子証明書失効リストをイベントドリブンではなく周期的に更新するため、失効した電子証明書が使用可能となる期間が存在する。更に、証明書を持たないクライアントは接続を拒否される。これらの理由から、既存の公開鍵暗号基盤ではクライアントの利便性とシステムの信頼性を同時に高めることは難しい。

本発明は、一つ以上の認証サーバを持つ認証ドメインがネットワークを介して複数接続され、クライアントの認証データが複数の認証サーバに分散管理されたシステムにおいて、クライアントが、該クライアントの認証用データを持たない移動先の認証サーバで認証を受ける際に、認証サーバ間を連携させることによって、該クライアントの認証データを保持しない移動先認証サーバにおいても、クライアントの認証が可能なネットワークシステムを提供することを目的とする。

本発明の代表的な一形態によると、一つ以上の認証サーバを持つ認証ドメインがネットワークを介して複数接続された広域ネットワークシステムであって、前記認証サーバは、各認証サーバ間で構築された信頼関係を保持し、自サーバに認証用データを持つクライアントに有効期限付きの認証チケットを発行し、信頼関係が構築されている他の認証サーバによって発行された認証チケットの有効性を検証し、前記認証チケットの有効性が確認されると、認証成功とすることを特徴とする。

本発明によると、クライアント認証の分散処理を認証データの重複管理を回避して実現しつつ、ホーム認証サーバへの問い合わせを省くことが可能となる。このため、通信量の削減、認証時間の短縮、認証サーバの認証処理負荷の低減という効果がある。

また、クライアントが明示的に認証チケットを申請する手間を省くことができるので、クライアントの利便性を損なわずに認証チケットの有効期限を短くすることができる。有効期限の短縮はシステムの信頼性を高めると共に、無効チケットの保持量削減の効果もある。

更に、認証サーバにリダイレクト機能を持たせることにより、ログイン回数が少ないクライアントに対する訪問先での認証処理を円滑に行うことが可能になる。

まず、本発明の実施の形態の概要を説明する。

本発明の実施の形態では、認証サーバ１１１〜１１３に電子証明書（認証チケット）発行機能を持たせ、自サーバに認証用データを持つクライアント１３１〜１３３が接続要求をする毎に有効期限付きの認証チケットを発行する。クライアント１３１〜１３３は、それぞれホーム認証サーバ１１１〜１１３において認証を受ける時に認証チケットの発行を受ける。

その後、時間及び場所の変化を経て、クライアント１３１が訪問先認証サーバ１１２で認証を受ける際に、先に発行されたチケットにクライアント１３１のみが知る情報を加えて、訪問先認証サーバ１１２へ提出する。訪問先認証サーバ１１２は、認証チケットの改竄の有無、及び認証チケットの有効期限を調べ、有効なチケットであれば、ホーム認証サーバ１１１に問い合わせることなく、クライアント１３１の認証成功とする。

また、各認証サーバ１１１〜１１３に、期限切れ認証チケットを持つクライアントからの接続要求をホーム認証サーバにリダイレクトする機能を持たせる。また、認証チケットを持たないクライアントからの接続要求もホーム認証サーバにリダイレクトされる。

以下、図面を用いて本発明の実施の形態について説明する。なお、本発明は、以下に説明する実施の形態に限定されるものではない。

（第１実施形態）
図１は、第１の実施の形態のネットワークシステムの構成図である。

第１の実施の形態のネットワークシステムは、複数の認証ドメイン１２１〜１２３がネットワーク１０１を介して接続された広域ネットワークシステムである。各認証ドメイン１２１〜１２３は、一つ以上の認証サーバ１１１〜１１３を備えている。認証サーバ１１１〜１１３は、複数のクライアントの認証データを重複せずに分散管理する。ここでは認証サーバ１１１〜１１３は、それぞれクライアント１３１〜１３３の認証データを管理している。

第１の実施の形態では、認証サーバ１１１〜１１３は、それぞれクライアント１３１〜１３３に対して認証チケットを発行する。すなわち、認証サーバ１１１〜１１３は、自サーバに認証データを持つクライアント１３１〜１３３がネットワークシステムにログインする度に、認証チケットを発行する。発行された認証チケットは公開鍵暗号方式によって暗号化される。

各認証サーバ１１１〜１１３は、認証チケットの検証に用いるため、連携する他の認証サーバ１１１〜１１３の識別子（例えば、サーバ名）及び公開鍵を保持する。また、認証サーバ１１１〜１１３は、認証局を兼ねるため、それぞれクライアント１３１〜１３３の最新の登録データを認証チケットに反映することができる。

クライアント１３１〜１３３の登録データの更新時又は削除時には、それぞれ認証サーバ１１１〜１１３から連携する他の認証サーバ１１１〜１１３へ、発行済み認証チケットの無効を即時に通知することによって、発行された認証チケットは使用不可能となる。更に、連携関係にある認証サーバ１１１〜１１３のネットワークアドレスを保持し、クライアント１３１〜１３３の接続要求のリダイレクト機能を持たせる。これによって、例えば、クライアント１３１が認証サーバ１１２へ接続要求を行い、期限切れの認証チケットを提示したとき、認証サーバ１１２は、クライアント１３１からの接続要求を、ホーム認証サーバ１１１にリダイレクトする。これによって、クライアント１３１が認証を受け、オンデマンドで認証チケットの交付を受けることを可能にする。

クライアント１３１の秘密鍵は、クライアント１３１又はクライアント１３１に接続される外部記憶装置に、パスフレーズによって暗号化して格納される。クライアント１３１が秘密鍵を使用するときは、クライアント１３１にパスフレーズが入力されることによって秘密鍵を復号する。ここで用いられるパスフレーズは、信頼性を高めるために、ホーム認証サーバ１１１に登録してあるパスワードとは異なる文字であり、かつ文字数の多いものが好ましい。クライアント１３２、１３３も同様である。

図２は、第１の実施の形態の認証サーバ１１１の構成を示すブロック図である。

なお、他の認証サーバ１１２、１１３は、認証サーバ１１１と同じ構成なので、その説明は省略する。

認証サーバ１１１は、ＣＰＵ５０２、メモリ５０３、記憶装置５０４及びインターフェース５０５を備える。ＣＰＵ５０２、メモリ５０３、記憶装置５０４及びインターフェース５０５は、バス５０６によって接続されている。

メモリ５０３には、ＩＤ・パスワード認証プログラム５０３１、認証チケット発行／更新プログラム５０３２、不正チケット処理プログラム５０３３、認証チケット検証プログラム５０３４及び連携サーバ誘導プログラム５０３５が記憶されている。

ＩＤ・パスワード認証プログラム５０３１は、クライアント１３１をＩＤ及びパスワードによって認証する。認証チケット発行／更新プログラム５０３２は、認証済みクライアント１３１への認証チケットの発行処理及び発行された認証チケットの更新処理を行う。不正チケット処理プログラム５０３３は、不正チケットの通知及び通知された不正チケットを登録する。認証チケット検証プログラム５０３４は、認証チケットを検証する。連携サーバ誘導プログラム５０３５は、クライアント１３１からのアクセスをホーム認証サーバへリダイレクトする。

記憶装置５０４は、データベースを格納する。具体的には、クライアント登録ＤＢ６００、クライアント仮登録ＤＢ７００、既発行認証チケットＤＢ８００、無効チケット登録ＤＢ９００、クライアント属性マッピングＤＢ１０００、連携サーバＤＢ１１００が、記憶装置５０４に格納される。

図３は、第１の実施の形態のクライアント登録ＤＢ６００の構成図である。

クライアント登録ＤＢ６００に登録されたクライアント１３１が、ホームクライアントである。

クライアント登録ＤＢ６００は、クライアントＩＤ６０１、パスワード６０２、公開鍵６０３及び属性６０４を含む。クライアントＩＤ６０１は、クライアント１３１の一意な識別子である。パスワード６０２は、クライアント１３１の認証に使用されるパスワードである。公開鍵６０３は、認証チケットの暗号化に使用する暗号化鍵の公開部分である。

図４は、第１の実施の形態のクライアント仮登録ＤＢ７００の構成図である。

クライアント仮登録ＤＢ７００は、他の認証サーバのクライアント登録ＤＢ６００に登録されたクライアント（ビジター）を一時的に登録する。なお、認証サーバ１１１〜１１３がクライアントを仮登録しない場合は、認証サーバ１１１〜１１３にクライアント仮登録ＤＢ７００を格納しなくてもよい。

クライアント仮登録ＤＢ７００は、クライアントＩＤ７０１、パスワード７０２、ホームサーバ名７０３、属性７０４、チケット番号７０５及び有効期限７０６を含む。

クライアントＩＤ７０１は、クライアント１３１の一意な識別子である。パスワード７０２は、クライアント１３１の認証に使用されるパスワードである。ホームサーバ名７０３は、当該クライアント１３１が登録されているクライアント登録ＤＢ６００が格納されている認証サーバ１１１のサーバ名（又は識別子）である。チケット番号７０５は、認証チケットの一意な識別子である。有効期限７０６は、認証チケットの有効期限である。

図５は、第１の実施の形態の既発行認証チケットＤＢ８００の構成図である。

既発行認証チケットＤＢ８００は、発行済みの認証チケットを記録する。既発行認証チケットＤＢ８００は、クライアント登録ＤＢ６００と一体に構成してもよい。

既発行認証チケットＤＢ８００は、クライアントＩＤ８０１、チケット番号８０２、有効期限８０３及び属性８０４を含む。クライアントＩＤ８０１は、クライアント１３１の一意な識別子である。チケット番号８０２は、認証チケットの一意な識別子である。有効期限８０３は、認証チケットの有効期限である。

図６は、第１の実施の形態の無効チケット登録ＤＢ９００の構成図である。

無効チケット登録ＤＢ９００は、クライアント１３１の属性変更や、認証チケットの不正使用などにより無効となった認証チケットを登録する。

無効チケット登録ＤＢ９００は、ホームサーバ名９０１、クライアントＩＤ９０２、チケット番号９０３及び有効期限９０４を含む。

ホームサーバ名９０１は、無効となった認証チケットを発行した認証サーバ１１１である。クライアントＩＤ９０２は、無効となった認証チケットの発行先のクライアント１３１の一意な識別子である。チケット番号９０３は、無効となった認証チケットの一意な識別子である。有効期限７０６は、無効となった認証チケットの有効期限である。なお、有効期限７０６が経過した認証チケットのデータは、無効チケット登録ＤＢ９００から、削除される。

また、新たに登録される無効チケットに関するクライアントＩＤが、既に、無効チケット登録ＤＢ９００に登録されているとき、有効期限の遅い認証チケットのみを登録する。これによって、同一のクライアント１３１の複数の無効チケットを登録することを防止できる。

図７は、第１の実施の形態のクライアント属性マッピングＤＢ１０００の構成図である。

クライアント属性マッピングＤＢ１０００は、ホーム認証サーバの属性及び認証チケット内のクライアント属性値から、自サーバが管理するドメインにおけるクライアントの属性を導くために用いられる。

クライアント属性マッピングＤＢ１０００は、ホームサーバの属性１００１、チケット内クライアント属性値１００２及びクライアント属性１００３を含む。

図８は、第１の実施の形態の連携サーバＤＢ１１００の構成図である。

連携サーバＤＢ１１００は、連携する認証サーバのデータを登録する。

連携サーバＤＢ１１００は、サーバ名１１０１、旧公開鍵１１０２、旧公開鍵の有効期限１１０３、新公開鍵１１０４、属性１１０５及びネットワークアドレス１１０６を含む。

認証サーバ１１１〜１１３の公開鍵は定期的に更新する必要があり、連携サーバ管理ＤＢ１１００は、旧公開鍵１１０２及び新公開鍵１１０４を保持し、旧公開鍵の有効期限１１０３を記録する。サーバの公開鍵の更新間隔を、クライアント１３１の認証チケット１５０１の有効期限と同じか長く設定する。そして、旧公開鍵１１０２の有効期限より前であれば、新旧両方の公開鍵の何れかで認証可能であれば、クライアント１３１の認証チケットは有効であると判定される。

これによって、旧公開鍵１１０２の有効期限より前であれば、認証チケット１５０１はホーム認証サーバ１１１の新旧いずれかの公開鍵１１０２、１１０４で認証可能となる。但し、認証サーバの秘密鍵が漏洩し（又は、漏洩の疑いがある）、即時に認証サーバの鍵を変更する場合は、旧公開鍵は即刻有効期限切れとなる。また、有効期間内の正当な認証チケット１５０１を持つクライアント１３１も、ホーム認証サーバ１１１において認証処理を行い、ホーム認証サーバ１１１の新しい秘密鍵１１０４を用いて署名を付加した認証チケット１５０１を発行してもらう必要がある。

図９は、第１の実施の形態のクライアント１３１からの接続要求を受信した認証サーバの処理を示すフローチャートである。

認証サーバ１１１〜１１３は、クライアント１３１からの接続要求を受信すると（２０１）、接続要求の送信元がホームクライアントか、ビジターかを判定する（２０２）。その結果、接続要求の送信元がホームクライアントであれば、ＩＤ及びパスワードによって認証処理を行う（２１３）。

そして、認証に成功すれば、ホーム認証サーバ１１１の秘密鍵で署名した認証チケット１５０１を発行し、又は、既に発行された認証チケットの有効期限を更新する（２１４）。そして、既発行認証チケットＤＢ８００を更新した後（２１５）、クライアントの接続を許可する（２０８）。

一方、ホーム認証サーバ１１１は、ＩＤ及びパスワードを用いた認証に失敗すると（２１３）、クライアントの接続を拒否する（２１６）。

接続要求を行ったクライアント１３１がビジターであれば、訪問先認証サーバ１１２（又は１１３）は、クライアント１３１から認証チケット１５０２が提出されるか否かを判定する（２０３）。その結果、クライアント１３１から認証チケット１５０２が提出されれば、提出された認証チケット１５０２の有効期限を確認する（２０４）。

その結果、認証チケット１５０２が有効期限内であれば、無効チケット登録ＤＢ９００を参照して認証チケット１５０２の有効性を確認する（２０５）。なお、この認証チケットの有効性の確認においては、提出された認証チケット１５０２が無効チケット登録ＤＢ９００に登録されているデータと完全に一致する場合の他、クライアントＩＤ９０２が一致し、提出された認証チケット１５０２の有効期限の方が無効チケット登録ＤＢ９００に登録された有効期限９０４よりも短い場合は、提出された認証チケット１５０２を無効と判断する。

一方、認証チケット１５０２が無効チケット登録ＤＢ９００に登録されておらず、提出されたチケット１５０２が有効であると判定すると、チケット１５０１に含まれるホーム認証サーバのデジタル署名を除く全データ（具体的には、チケット番号、クライアントＩＤ、クライアントの公開鍵、クライアントの属性、有効期限、ホーム認証サーバ名）のハッシュ値を算出し、ホーム認証サーバのデジタル署名を連携サーバＤＢ１１００に登録されているホーム認証サーバ１１１の公開鍵１１０２又は１１０４を用いて復号した値と比較する。

ホーム認証サーバ１１１のデジタル署名は、図１０に示すように、認証チケット１５０１に含まれるデジタル署名を除く全データのハッシュ値を求め、ホーム認証サーバの秘密鍵で暗号化した値である。よって、訪問先認証サーバ１２１が算出したハッシュ値と、ホーム認証サーバのデジタル署名をホーム認証サーバ１１１の公開鍵で復号した値とが一致すると、改竄のない正当なチケットであると認められる（２０６）。

最後に、認証チケット１５０２内のクライアント１３１の公開鍵を用いて、認証チケット１５０２を検証する（２０７）。具体的には、認証チケット１５０２内のクライアント１３１の公開鍵でクライアントのデジタル署名を復号し、元のハッシュ値を求める。そして、チケット内容及び要求日時のハッシュ値を計算して、先に復号したハッシュ値と計算されたハッシュ値とを比較する。

クライアント１３１から提出される認証チケット１５０２には、図１０に示すように、要求日時とチケットの内容１５０１及び要求日時から求めたハッシュ値を秘密鍵で暗号化した値（クライアントのデジタル署名）とが付加されている（１５０２）。よって、先に復号したハッシュ値と計算されたハッシュ値とが一致した場合には、認証成功とし、クライアント１３１の接続を許可する（２０８）。

また、認証サーバ１１２は、ホーム認証サーバ１１１の公開鍵を用いた検証（２０６）、又はクライアント１３１の公開鍵を用いた検証（２０７）において不正な認証チケットであると認められると、訪問先認証サーバ１１２は、連携する他の認証サーバ１１１、１１３へ不正を通知し（２１２）、クライアント１３１の接続を拒否する（２１６）。

また、認証サーバ１１２は、クライアント１３１が提出した認証チケット１５０２を無効チケット登録ＤＢ９００と比較することによって、認証チケットが無効と判定すると（２０５）、クライアント１３１の接続を拒否する２１６。

また、クライアント１３１が認証チケット１５０２を提出しなければ（２０３）、認証サーバ１１２はクライアント１３１にホーム認証サーバの一覧を送信し、ホーム認証サーバの選択を促す（２０９）。クライアント１３１がホーム認証サーバ１１１を選択すると、認証サーバ１１２は、クライアント１３１からの接続要求をホーム認証サーバ１１１へリダイレクトし（２１０）、ホーム認証サーバ１１１からの返答を待つ（２１１）。

また、クライアント１３１が提出した認証チケット１５０２が有効期限を過ぎている場合（２０４）、認証サーバ１１２は、クライアント１３１からの接続要求を認証チケット１５０２内のホーム認証サーバ１１１へリダイレクトし（２１０）、ホーム認証サーバ１１１からの返答を待つ（２１１）。

図１１は、第１の実施の形態のクライアント１３１からの接続要求のリダイレクトを受けたホーム認証サーバ１１１の処理を示すフローチャートである。

認証サーバ１１１は、他サーバからクライアント１３１からの接続要求のリダイレクトを受けると（３０１）、クライアント１３１にＩＤ及びパスワードを要求し、ＩＤ及びパスワードによる認証処理を行う（３０２）。そして、ＩＤ及びパスワードによる認証に成功すると、クライアント１３１に認証チケット１５０１を発行し、又は、既に発行された認証チケットの有効期限を更新し（３０３）、同じ認証チケット１５０２を訪問先認証サーバ１１２へ送る（３０４）。そして、既発行認証チケットＤＢ８００を更新した後（３０５）、クライアント１３１からの接続要求を訪問先認証サーバ１１２へリダイレクトする（３０６）。

一方、クライアント１３１がＩＤ及びパスワードを用いた認証に失敗すると、訪問先認証サーバ１１２へ認証エラーを通知し（３０８）、クライアント１３１からの接続要求を訪問先認証サーバ１１２へリダイレクトする（３０６）。

図１２は、第１の実施の形態のホーム認証サーバ１１１からクライアント１３１からの接続要求をリダイレクトされた訪問先認証サーバ１１２の処理を示すフローチャートである。

訪問先認証サーバ１１２は、ホーム認証サーバ１１１から認証エラー通知を受信すると（４０２）、クライアント１３１からの接続を拒否する（４０６）。

一方、ホーム認証サーバ１１１から認証チケット１５０１を受信すると（４０２）、ホーム認証サーバ１１１の公開鍵を用いて認証チケット１５０１を検証する（４０３）。そして、受信した認証チケット１５０１に改竄等の不正がなければ、認証成功とし、クライアント１３１の接続を許可する（４０４）。

一方、受信した認証チケット１５０１に不正が認められれば、連携する他の認証サーバ１１１、１１３へ不正を通知し（４０５）、クライアント１３１の接続を拒否する（４０６）。

図１３は、第１の実施の形態のチケット１５０２を利用した認証処理が成功した時のタイミング図である。

まず、事前の処理として、認証サーバ同士（１１１〜１１３）はサーバ名、公開鍵及びネットワークアドレス等を交換し、連携サーバＤＢ１１００に登録する（１３０１〜１３０４）。クライアント１３１は、サーバＩＤがＳｅｒｖｅｒ−Ｉのホーム認証サーバ１１１のクライアント登録ＤＢ６００に、図３に示すように、登録されているものとする。

クライアント１３１がホーム認証サーバ１１１に接続要求を出すと（１３０６）、接続要求を受けたホーム認証サーバ１１１は、クライアント１３１に認証情報を要求する（１３０７）。クライアント１３１は、認証情報の要求を受けると、ホーム認証サーバ１１１へ認証情報としてＩＤ及びパスワードを返信する（１３０８）。

ホーム認証サーバ１１１は、ＩＤ及びパスワードを受信すると、ＩＤ及びパスワードを用いた認証を行う（１３０９）。そして、認証に成功するとホーム認証サーバの秘密鍵を用いてデジタル署名した認証チケット１５０１（図１０（ａ）参照）をクライアントに発行し、クライアント１３１の接続を許可する（１３１０）。

クライアント１３１は、認証チケット１５０１を、クライアント端末１３１、又はクライアント端末１３１に接続された外部デバイスに保存する。なお、既に古い認証チケットが保存されている場合、古い認証チケットは廃棄される。

その後、接続許可を受けたクライアント１３１は、ホームＬＡＮ１２１に接続して通信を開始する（１３１１）。そして、通信が終了すると、クライアント１３１は、ホームＬＡＮ１２１との接続を解除する（１３１２）。

その後、時間・場所の変化を経て（１３１３）、クライアント１３１が新たに訪問先認証サーバ１１２へ接続を要求すると（１３１４）、訪問先認証サーバ１１２は、クライアント１３１に認証情報を要求する（１３１５）。

クライアントは認証チケット１５０１に要求時刻を付加し、さらに、クライアント１３１の秘密鍵を用いた電子署名を付加した認証チケット１５０２を訪問先認証サーバ１１２へ提出する（１３１６）。訪問先認証サーバ１１２は、チケット１５０１の有効期限より前か、チケット１５０１が無効チケット登録ＤＢ９００に登録されていないか、また、連携サーバＤＢ１１００に登録されたホーム認証サーバの公開鍵１１０２又は１１０４を用いて認証チケット１５０２が正当であるかを検証する。更に、チケット内のクライアントの公開鍵を用いて認証チケット１５０２を検証する（１３１７）。

全ての検証に成功すると、訪問先認証サーバ１１２はクライアント１３１の接続を許可する（１３１８）。接続が許可されたクライアント１３１は訪問先ＬＡＮ１２２に接続し、通信を開始する（１３１９）。

図１４は、クライアント１３１が訪問先認証サーバ１１２に期限切れ認証チケット１５０２を提出した、又は、クライアント１３１が認証チケット１５０２を保持していない場合のタイミング図である。

まず、連携する認証サーバ１１１〜１１３間で、予めサーバ名等のデータを交換し、連携サーバＤＢ１１０１へ登録する（１３０１〜１３０４）。この処理は、前述した図１３に示す処理と同じである。

クライアント１３１が訪問先認証サーバ１１２に接続要求を出すと（１４０１）、接続要求を受けた訪問先認証サーバ１１２は、クライアント１３１に認証情報を要求する（１４０２）。クライアント１３１がビジターであり、認証チケット１５０２を提出しないと（１４０５）、訪問先認証サーバ１１２は、クライアント１３１に認証サーバの一覧画面を送信し、ホーム認証サーバの選択を促す（１４０６）。

その後、クライアント１３１によってホーム認証サーバ１１１が選択されると（１４０７）、訪問先認証サーバ１１２は、クライアント１３１によって選択されたホーム認証サーバ１１１へ、クライアント１３１からの接続要求をリダイレクトする（１４０８）。ホーム認証サーバ１１１は、リダイレクトを受けると、クライアント１３１に認証情報を要求する（１４０９）。クライアント１３１は、認証情報の要求を受けると、ホーム認証サーバ１１１へ、認証情報としてＩＤ及びパスワードを返信する（１４１０）。

ホーム認証サーバ１１１は、ＩＤ及びパスワードを受信すると、ＩＤ及びパスワードを用いた認証を行う（１４１１）。そして、認証に成功すると、ホーム認証サーバの秘密鍵を用いた電子署名を付加した認証チケット１５０１をクライアントに発行する（１４１２）。また、同じ認証チケット１５０１を、訪問先認証サーバ１１２へ送る（１４１３）。その後、クライアント１３１からの接続要求を訪問先認証サーバ１１２へリダイレクトする（１４１４）。

訪問先認証サーバ１１２は、リダイレクトを受けると、連携サーバＤＢ１１００に記載されたホーム認証サーバの公開鍵１１０２又は１１０４を用いて、送付された認証チケット１５０１を検証する（１４１５）。その結果、送付された認証チケット１５０１の有効性を確認すると、クライアント１３１の接続を許可する（１４１６）。接続許可を受けたクライアント１３１は訪問先ＬＡＮ１２２に接続し、通信を開始する（１４１７）。

一方、クライアント１３１が訪問先認証サーバ１１２へ提出した認証チケット１５０２が期限切れであると（１４０５）、訪問先認証サーバ１１２は、クライアント１３１からの接続要求を、認証チケット１５０２に記載されたホーム認証サーバ１１１へリダイレクトする（１４０８）。リダイレクト後の処理は、クライアント１３１が認証チケット１５０２を所持していない場合の処理と同じである（１４０９〜１４１８）。

図１５は、第１の実施の形態のクライアント１３１が認証サーバ１１１〜１１３へ接続要求を出した時に、認証サーバ１１１〜１１３によって、クライアント１３１に表示されるログイン画面の一例である。

クライアント１３１がホーム認証サーバ１１１へ接続要求を出した時は、図１５（Ａ）に示すログイン画面１２０１が表示される。ユーザは、ログイン画面１２０１において、ＩＤ１２０２及びパスワード１２０３を入力し、ホーム認証サーバ１１１によってＩＤ及びパスワードを用いた通常の認証を受ける。

仮登録先の訪問先認証サーバ１１２で認証を受ける時は、更にホーム認証サーバ名１２０４を選択し、訪問先認証サーバ１１２において、クライアント仮登録ＤＢ７００の情報に基づいて認証を受ける。

また、クライアント１３１がビジターであり、仮登録もされていない場合、ユーザは、ログイン画面１２０１において、ビジター１２０７を選択する。すると、クライアント１３１には、訪問先認証サーバ１１２によって、図１５（Ｂ）に示す新しい画面１２１１が表示される。ユーザはチケット提出用画面１２１１に秘密鍵復号用のパスフレーズ１２１２を入力する。クライアント１３１は、復号した秘密鍵を用いて認証チケットに署名を付加し、訪問先認証サーバ１１２へ提出する。

訪問先認証サーバ１１２は認証チケット１５０２の有効期限、及び改竄の有無を確認し、無効チケット登録ＤＢ９００と照合する。この結果、認証チケット１５０２が有効であればクライアント１３１の認証は成功であり、訪問先認証サーバ１１２はクライアント１３１の訪問先ＬＡＮ１２２への接続を許可する。

無効チケット登録ＤＢ９００との照合では、クライアントＩＤ及びチケット番号が完全に一致する認証チケット以外にも、クライアントＩＤが一致し、有効期限が検証中の認証チケット１５０２よりも長い認証チケットが登録されていたら、検証中の認証チケット１５０２は無効と判定する。

チケット提出用画面１２１１において、クライアント１３１から提出された認証チケット１５０２が期限切れのとき、訪問先認証サーバ１１２は、クライアント１３１に、図１５（Ｄ）に示す有効期限切れ通知画面１２３１を表示し、クライアント１３１からの接続要求をホーム認証サーバ１１１へリダイレクトする。

また、チケット提出用画面１２１１において、キャンセル１２１４が選択された場合、訪問先認証サーバ１１２は、クライアント１３１が認証チケット１５０２を持たないもの判定し、クライアント１３１に、図１５（Ｃ）に示すホーム認証サーバ選択画面１２２１を表示し、ホーム認証サーバの選択を促す。

認証サーバ１１２は、クライアント１３１に提出された認証チケット１５０２に改竄等の不正が認められた場合、クライアント１３１の接続を拒否すると共に、連携する認証サーバ１１１、１１３へ、チケット番号及び発行元認証サーバ名を通知する。通知を受けた認証サーバ１１１、１１３は、該認証チケット１５０１を無効チケットとして、無効チケット登録ＤＢ９００に登録する。このとき、既に同一ユーザＩＤの認証チケット１５０１が登録されている場合、有効期限の長い方の認証チケット１５０１を登録し、古いデータは削除する。また、改ざんされた認証チケットを発行した認証サーバ１１１は、即発行認証チケットＤＢ８００からチケット１５０１の持ち主を検索し、不正があった旨を通知する。

クライアント１３１の認証に成功した訪問先認証サーバ１１２は、必要であればクライアント１３１をクライアント仮登録ＤＢ７００に登録してもよい。パスワードを登録するかは、クライアント１３１が決定し、訪問先認証サーバ１１２へ通知する。そして、訪問先認証サーバ１１２とクライアント１３１との間にセキュアな通信路を確保した上で、クライアント１３１から訪問先認証サーバ１１２へパスワードが送信され、訪問先認証サーバ１１２に登録される。又は、訪問先認証サーバ１１２が決定し、クライアント１３１に通知し、セキュアな通信路を確保した上で、パスワードが送信され、訪問先認証サーバ１１２に登録される。

訪問先認証サーバ１１２は、認証チケット１５０１の有効期限より前であれば、クライアント１３１をユーザＩＤ及びパスワードを用いて認証することができる。仮登録されたクライアントのデータは、認証チケットの有効期限が切れると、クライアント仮登録ＤＢ７００から削除される。また、通知された無効チケットと一致すると、クライアント仮登録ＤＢ７００から削除される。

クライアント１３１がログインする際は、ログイン画面１２０１において、ＩＤ１２０２及びパスワード１２０３を入力し、プルダウンメニューからホーム認証サーバ名１２０４を選択する。ホーム認証サーバ名１２０４は、デフォルトでは現在認証を行っている認証サーバとなる。

（第２実施形態）
前述した第１の実施の形態では、公開鍵暗号方式を用いて認証チケット１５０１を暗号化したが、第２の実施の形態では共通鍵暗号方式を用いて、認証チケットを暗号化する。第２の実施の形態では、第１の実施の形態と同様に、共通鍵もクライアント端末装置、又はクライアント端末装置に接続可能な外部デバイス装置に、パスフレーズを用いて暗号化して記録する。

なお、第２の実施の形態では、前述した第１の実施の形態と同じ構成には同じ符号を付し、その説明は省略する。

クライアント１３１は、ホーム認証サーバ１１１と暗号化の鍵を共有する。この鍵はクライアント１３１毎に異なり、ホーム認証サーバ１１１のクライアント登録ＤＢ６００に登録される。

ホーム認証サーバ１１１はクライアント１３１の認証に成功すると、図１６に示す、共通鍵で暗号化した認証チケット（１６０１）を発行する。クライアント１３１は発行された認証チケット１６０１を暗号化された状態で、クライアント端末装置、又はクライアント端末装置に接続可能な外部デバイス装置に保存する。

クライアント１３１は、訪問先認証サーバ１１２へ接続する際、訪問先認証サーバ１１２に示されたログイン画面１２０１において、ビジター１２０７を選択し、新しく表示されるチケット提出画面１２１１において、パスフレーズ１２１２を入力する。そして、入力されたパスフレーズで復号された共通鍵を用いて、ホーム認証サーバ１１１から受け取ったチケット１６０１を復号して、訪問先認証サーバ１１２へ提出する。

訪問先認証サーバ１１２は、認証チケット１６０１が正しく復号できていることによって、クライアント１３１が認証チケット１６０１の持ち主であることを確認する。その他の動作は、前述した第１の実施の形態と同じである。

前述した第１の実施の形態（公開鍵暗号方式）では、チケット提出時にクライアント１３１の秘密鍵を使用するために、仮にチケット１５０１、１５０２が盗難に遭ったとしても、クライアントの成り済ましを防ぐことができる。しかし、第２の実施の形態（共通鍵暗号方式）では、悪意を持つ第三者に、復号したチケット１６０１を盗聴された場合、成り済ましを防ぐことができない。このため、公開鍵暗号方式は、共通鍵暗号方式と比較して強固なセキュリティを確保できる。

しかし、公開鍵暗号方式は一般的に共通鍵暗号方式と比較して処理負荷が重い。そこで、既に立ち入り制限が行われているような場所で、クライアントの識別を行うために認証チケットを用いる場合には、共通鍵方式の認証チケット１６０１を用いることによって、処理負荷を低減することができる。

（第３実施形態）
第３の実施の形態では、連携する認証サーバの数が多くなり、全ての認証サーバの信頼関係をメッシュで構築することが困難な場合を考える。そこで、第３の実施の形態では、第１及び第２の実施の形態で用いた連携サーバＤＢ１１０１（図８）の代わりに、認証サーバ１７１１〜１７１３を認証する上位認証局（上位ＣＡ）１７０１を設けた。上位認証局１７０１が各認証サーバ１７１１〜１７１３に発行する電子証明書（ＣＡ証明書）２００１を用いて、連携する認証サーバ１７１１〜１７１３間の信頼関係を構築する。

なお、第３の実施の形態では、前述した第１及び第２の実施の形態と同じ構成には同じ符号を付し、その説明は省略する。

図１７は、第３の実施の形態のネットワークシステムの構成図である。

上位認証局１７０１は、自分が管理する認証サーバ１７１１〜１７１３のリスト１８００（図１８参照）を持ち、各認証サーバ１７１１〜１７１３にＣＡ証明書２００１（図２０（ｃ）参照）を発行する。また、上位認証局１７０１は、上位認証局１７０１の公開鍵が記載されたルートＣＡ証明書１９０１（図１９参照）を、各認証サーバ１７１１〜１７１３に配布する。なお、上位認証局１７０１は、認証サーバ１７１１〜１７１３が兼ねてもよい。

図１８は、第３の実施の形態の認証サーバリストの構成図である。

認証サーバリスト１８００は、上位認証局が管理する認証サーバ１７１１〜１７１３のリストである。

認証サーバリスト１８００は、認証サーバ名１８０１、ネットワークアドレス１８０２、公開鍵１８０３及び公開鍵の有効期限１８０４を含む。

図１９は、第３の実施の形態のルートＣＡ証明書１９０１の構成図である。

ルートＣＡ証明書１９０１は、証明書番号、上位ＣＡ名、上位ＣＡの公開鍵、公開鍵の有効期限、上位ＣＡのネットワークアドレス及び上位ＣＡのデジタル署名を含む。

各認証サーバ１７１１〜１７１３は、自サーバに対して発行されたＣＡ証明書２００１、及び上位認証局１７０１のルートＣＡ証明書１９０１をサーバ内に記録する。ホーム認証サーバ１７１１は、ホームクライアントに認証チケット１５０１を発行するときに、上位認証局１７０１から発行されたＣＡ証明書２００１も配布する。

クライアント１３１は、訪問先認証サーバ１７１２で認証処理を受けるとき、図２０（ｄ）に示すように、ホーム認証サーバ１７１１のＣＡ証明書２００１を認証チケット１５０２に添えて、訪問先認証サーバ１７１２に提出する（２００２）。

訪問先認証サーバ１７１２は、サーバ内に記録されたルートＣＡ証明書１９０１に含まれる上位認証局１７０１の公開鍵を用いてＣＡ証明書２００１を検証し、クライアント１３１の認証チケット１５０２を、第１の実施の形態と同じ手順を用いて検証する。そして、これらの検証結果に基づいて、クライアント１３１の接続を許可又は拒否する。このとき、ホーム認証サーバ１７１１の公開鍵はＣＡ証明書２００１内に記載された公開鍵を用いる。

図２１は、第３の実施の形態のクライアント１３１が認証チケット１５０１を保持していない場合の認証処理のタイミング図である。

第３の実施の形態では、第１の実施の形態のように、認証サーバが連携サーバＤＢ１１００を持たないため、訪問先認証サーバ１７１２は、認証チケット１５０１を持たないクライアント１３１に、ホーム認証サーバの一覧を提示することができない。そこで、上位認証局１７０１は、クライアント１３１に認証サーバの一覧画面を送信し、クライアント１３１にホーム認証サーバを選択させ、クライアント１３１からの接続要求をホーム認証サーバ１７１１にリダイレクトする機能を持たせる。

まず、事前の処理として、上位認証局１７０１は、あらかじめ、ルートＣＡ証明書１９０１及びＣＡ証明書２００１を各認証サーバ１７１１、１７１２に配布する（２１０１、２１０２）。

クライアント１３１が訪問先認証サーバ１７１２に接続要求を出すと（２１０４）、接続要求を受けた訪問先認証サーバ１７１２は、クライアント１３１に認証情報を要求する（２１０５）。クライアント１３１が認証チケット１５０１を持たないとき、訪問先認証サーバ１７１２は、クライアント１３１からの接続要求を上位認証局１７０１にリダイレクトする（２１０８）。

上位認証局１７０１は、リダイレクトを受けると、クライアント１３１に認証サーバ１７１１〜１７１３の一覧を送信する。クライアント１３１は、認証サーバ１７１１〜１７１３の一覧を表示し、ホーム認証サーバの選択を促す（２１０９）。

その後、クライアント１３１によってホーム認証サーバ１７１１が選択されると（２１１０）、上位認証局１７０１は、クライアント１３１によって選択されたホーム認証サーバ１７１１へ、クライアント１３１からの接続要求をリダイレクトする（２１１１）。ホーム認証サーバ１７１１は、リダイレクトを受けると、クライアント１３１に認証情報を要求する（２１１２）。クライアント１３１は、認証情報の要求を受けると、ホーム認証サーバ１７１１へ認証情報としてＩＤ及びパスワードを返信する（２１１３）。

ホーム認証サーバ１７１１は、ＩＤ及びパスワードを受信すると、ＩＤ及びパスワードを用いた認証を行う（２１１４）。そして、認証に成功すると、ホーム認証サーバ１７１１の秘密鍵を用いた電子署名を付加した認証チケット１５０１を発行し、ＣＡ証明書２００１と共にクライアント１３１に送る（２１１５）。また、同じ認証チケット１５０１及びＣＡ証明書２００１を訪問先認証サーバ１７１２へ送る（２１１６）。その後、クライアント１３１からの接続要求を訪問先認証サーバ１７１２へリダイレクトする（２１１７）。

訪問先認証サーバ１７１２は、リダイレクトを受けると、ルートＣＡ証明書１９０１内の上位認証局の公開鍵を用いて、送付されたＣＡ証明書１９０１を検証する。また、ＣＡ証明書１９０１内のホーム認証サーバの公開鍵を用いて、送付された認証チケット１５０１を検証する（２１１８）。その結果、送付された認証チケット１５０１及びＣＡ証明書１９０１の有効性を確認すると、クライアント１３１の接続を許可する（２１１９）。接続許可を受けたクライアント１３１は訪問先ＬＡＮに接続し、通信を開始する。

一方、ホーム認証サーバ１７１１における認証（２１１４）に失敗すると、ホーム認証サーバ１７１１は、認証エラー通知を訪問先認証サーバ１７１２に送り、クライアント１３１からの接続要求を訪問先認証サーバ１７１２へリダイレクトする。訪問先認証サーバ１７１２はクライアント１３１の接続を拒否する。

期限切れの認証チケット１５０１を持つクライアント１３１は、クライアント１３１によって提示されたＣＡ証明書（クライアントのホーム認証サーバのＣＡ証明書）２００１に記されたホーム認証サーバ１７１１のネットワークアドレスに基づいて、クライアント１３１からの接続要求をホーム認証サーバ１７１１へリダイレクトする（２１２０）。以降の処理は（２１１２〜２１１９）、認証チケット１５０１を持たないクライアントの処理と同じである。

（第４実施形態）
前述した第３の実施の形態において、上位認証局１７０１が一つ存在する場合を示した。第４の実施の形態では、複数の上位認証局が存在し２２０１〜２２０３、上位認証局同士２２０１〜２２０３が相互認証によって信頼関係を構築する例を示す。

なお、第４の実施の形態では、前述した第１〜第３の実施の形態と同じ構成には同じ符号を付し、その説明は省略する。

図２２は、第４の実施の形態のネットワークシステムの構成図である。

クライアント１３１の利便性を図るために、認証サーバ２２１１〜２２１３をクライアントに分かりやすい形態でグループ分けし（例えば、地区毎等）、各グループ２２３１〜２２３３には、各グループ２２３１〜２２３３を管理する上位認証局２２０１〜２２０３を設ける。また、各上位認証局２２０１〜２２０３には、グループ２２３１〜２２３３を判別しやすい識別子を付す。

上位認証局２２０１〜２２０３同士は、互いのルートＣＡ証明書１９０１を交換し合い、各ルート証明書１９０１を保持する。更に、上位認証局２２０１〜２２０３は、取得した各ルートＣＡ証明書１９０１を管理下の認証サーバ２２１１〜２２１３へ転送する。各認証サーバ２２１１〜２２１３は、上位認証局２２０１〜２２０３のルート証明書１９０１をサーバ内に記録する。又は、各認証サーバ２２１１〜２２１３は、上位認証局リスト２３００を保持してもよい。

図２３は、第４の実施の形態の上位ＣＡリスト２３００の構成図である。

上位ＣＡリスト２３００は、上位ＣＡ名２３０１、公開鍵２３０２、公開鍵の有効期限２３０３及びネットワークアドレス２３０４を含む。

以上説明した方法によって、認証サーバ２２１１〜２２１３は、各上位認証局２２０１〜２２０３の公開鍵及びネットワークアドレスの一覧を保持する。また、上位認証局２２０１〜２２０３は、第３の実施の形態と同様に自分が管理する認証サーバの一覧が登録された認証サーバリスト１８００を保持する。

次に、クライアント１３１の認証方法を説明する。クライアント１３１が訪問先認証サーバ２２１２．１に認証チケット１５０２（図２０（ｂ）参照）、及びホーム認証サーバ２２１１．１のＣＡ証明書２００１を提示すると、訪問先認証サーバ２２１２．１は自サーバ内に保持している上位認証局のルートＣＡ証明書１９０１（又は、上位ＣＡリスト２３０１）から、クライアント１３１が属する上位認証局２２０１の公開鍵を求め、クライアント１３１によって提示されたＣＡ証明書２００１の正当性を評価する。その後の処理は、第３の実施の形態と同様である。

クライアント１３１に示された認証チケット１５０２が有効期限切れの場合、提示されたＣＡ証明書内２００１のホーム認証サーバ２２１１．１のネットワークアドレスを用いて、クライアント１３１をホーム認証サーバ２２１１．１へリダイレクトする。その後の処理は第３の実施の形態と同じである。

図２４は、第４の実施の形態のクライアント１３１が認証チケット１５０１を保持していない場合の認証処理のタイミング図である。

まず、事前の処理として、上位認証局２２０１〜２２０３は、あらかじめ、上位認証局２２０１〜２２０３のルートＣＡ証明書１９０１を各認証サーバ２２１１〜２２１３へ配布する（２４０１〜２４０６）。また、上位認証サーバ２２０１〜２２０３は、管理下の認証サーバ２２１１〜２２１３へ、上位認証局の秘密鍵で署名されたＣＡ証明書２００１を発行する（２４０５、２４０６）。

クライアント１３１が訪問先認証サーバ２２１２．１に接続要求を出すと（２４０８）、接続要求を受けた訪問先認証サーバ２２１２．１は、クライアント１３１に認証情報を要求する（２４０９）。クライアント１３１によって認証チケットを提出しない旨が選択されると（２４１０）、訪問先認証サーバ２２１２．１は、クライアント１３１に上位認証局２２０１〜２２０３の一覧画面を送信し上位認証局の選択を促す（２４１２）。

その後、クライアント１３１によって上位認証局２２０１が選択されると（２４１３）、訪問先認証サーバ２２１２．１は、選択された上位認証局２２０１へ、クライアントからの接続要求をリダイレクトする（２４１４）。

上位認証局２２０１は、リダイレクトを受けると、クライアント１３１に認証サーバ２２１１．１〜２２１１．３の一覧画面を送信し、ホーム認証サーバの選択を促す（２４１５）。クライアント１３１がホーム認証サーバ２２１１．１を選択すると（２４１６）、選択されたホーム認証サーバ２２１１．１へ、クライアント１３１からの接続要求をリダイレクトする（２４１７）。

ホーム認証サーバ２２１１．１は、リダイレクトを受けると、クライアント１３１に認証情報を要求する（２４１８）、クライアント１３１は、認証情報の要求を受けると、ホーム認証サーバ２２１１．１へ認証情報としてＩＤ及びパスワードを返信する（２４１９）。

ホーム認証サーバ２２１１．１は、ＩＤ及びパスワードを受信すると、ＩＤ及びパスワードを用いた認証を行う（２４２０）。そして、認証に成功すると、ホーム認証サーバの秘密鍵を用いた電子署名が付加された認証チケット１５０１をクライアント１３１に発行し、自サーバのＣＡ証明書２００１と共にクライアント１３１に送る（２４２１）。また、同じ認証チケット１５０１及びＣＡ証明書２００１を訪問先認証サーバ２２１２．１へ送る（２４２２）。その後、ホーム認証サーバ２２１１．１は、クライアント１３１からの接続要求を訪問先認証サーバ２２１２．１へリダイレクトする（２４２３）。

訪問先認証サーバ２２１２．１は、リダイレクトを受けると、自分が保管するルートＣＡ証明書内の上位認証局の公開鍵を用いて、送付されたＣＡ証明書２００１を検証する。また、ＣＡ証明書２００１内のホーム認証サーバ２２１１．１の公開鍵を用いて認証チケット１５０１を検証する（２４２４）。その結果、送付された認証チケット１５０１及びＣＡ証明書１９０１の有効性を確認すると（２４２４）、クライアント１３１の接続を許可する（２４２５）。接続許可を受けたクライアント１３１は訪問先ＬＡＮに接続し、通信を開始する。

一方、ホーム認証サーバ２２１１．１における認証に失敗すると、ホーム認証サーバ２２１１．１は、認証エラーを訪問先認証サーバ２２１２．１へ送り、クライアント１３１からの接続要求を、訪問先認証サーバ２２１２．１へリダイレクトする。訪問先認証サーバ２２１２．１はクライアン１３１の接続を拒否する。

（第５実施形態）
第５の実施の形態では、第１の実施の形態において、課金制御を行う例を示す。

なお、第５の実施の形態では、前述した第１〜第４の実施の形態と同じ構成には同じ符号を付し、その説明は省略する。

図２５は、第５の実施の形態の認証チケットの構成図である。

第５の実施の形態の認証チケットは、第１の実施の形態で示した情報の他に、クライアントの課金用情報として口座番号（又は、クレジットカード番号等）を含む。

ホーム認証サーバ１１１によって発行された認証チケット２５０１を持つクライアント１３１は、訪問先認証サーバ１１２に接続を要求する際、クライアント１３１の秘密鍵による署名を付した認証チケット２５０２を提示する。訪問先認証サーバ１１２は、第１の実施の形態と同じ方法で認証チケット２５０２を検証し、その正当性を確認すると、クライアント１３１の接続を許可する。

また、クライアント１３１が有料サービスを利用する場合、認証チケット２５０１内の課金情報に基づいて課金先を決定する。なお、認証サーバとは独立して課金サーバを設置してもよい。

第一に、本発明は、企業内イントラネットに適用することができる。

ホーム認証サーバで認証チケットを発行されたクライアントは、出張時に訪問先認証サーバへ認証チケットを提出し認証を受けることによって、出張先のＬＡＮへの接続が許可される。クライアントの登録元である営業所、支店、事業部、研究所等がホーム認証サーバの属性に相当し、クライアントの担当分野、役職、取引先などがホーム認証サーバによって与えられるクライアントの属性値に相当する。

訪問先認証サーバではホーム認証サーバの属性とホーム認証サーバがクライアントに与えた属性値を自ドメインにおけるクライアントの属性値へマッピングし、自ドメイン内でのアクセス制御に用いる。なお、定期的な人事異動など大掛かりな移動が予測される時は、認証チケットの有効期限を移動日前日に設定することにより、一度に大量の無効通知が流れることを防ぐことができる。

第二に、本発明は、大学間の連携に適用することができる。

単位取得などで連携する大学間で認証サーバを連携させることによって、Ａ大学に籍を置きＡ大学の認証サーバに登録された学生が、Ｂ大学の認証サーバによって認証を受けＢ大学構内のＬＡＮに接続することができる。クライアントの属性として、学生、院生、教授、助教授、聴講生、所属学部、学科等の組合せが考えられる。

第三に、本発明は、イベントなどにおける臨時の連携に適用することができる。

学会などで大勢の人が集まる時に、企業や大学等と臨時に認証サーバの連携を行い、クライアントの認証処理を行う。これにより、クライアントは会場ＬＡＮへのアクセスを許可又は拒否される。この際、スタッフ、発表者、聴講者などの臨時の属性を設けることによって、クライアントのアクセス権を制御することもできる。イベント終了時には、信頼する認証サーバのリストから臨時に連携した認証サーバを消去することによって、連携を容易に解除することができる。

この他にも、認証サーバの属性とクライアントの属性によって、訪問先での属性を細かく設定できることから、企業間などでの部分的な連携にも柔軟に対応できる。

第１の実施の形態のネットワークシステムの構成図である。 第１の実施の形態の認証サーバの構成を示すブロック図である。 第１の実施の形態のクライアント登録ＤＢの構成図である。 第１の実施の形態のクライアント仮登録ＤＢの構成図である。 第１の実施の形態の既発行認証チケットＤＢの構成図である。 第１の実施の形態の無効チケット登録ＤＢの構成図である。 第１の実施の形態のクライアント属性マッピングＤＢの構成図である。 第１の実施の形態の連携サーバＤＢの構成図である。 第１の実施の形態のクライアントからの接続要求を受信した認証サーバの処理を示すフローチャートである。 第１の実施の形態の認証チケットの構成図である。 第１の実施の形態のクライアントからの接続要求のリダイレクトを受けたホーム認証サーバの処理を示すフローチャートである。 第１の実施の形態のホーム認証サーバからクライアントからの接続要求をリダイレクトされた訪問先認証サーバの処理を示すフローチャートである。 第１の実施の形態のチケットを利用した認証処理が成功した時のタイミング図である。 クライアントが有効な認証チケット１５０２を保持していない場合のタイミング図である。 第１の実施の形態のクライアントに表示されるログイン画面の一例である。 第２の実施の形態の認証チケットの構成図である。 第３の実施の形態のネットワークシステムの構成図である。 第３の実施の形態の認証サーバリストの構成図である。 第３の実施の形態のルートＣＡ証明書の構成図である。 第３の実施の形態の認証チケットの構成図である。 第３の実施の形態のクライアントが認証チケットを保持していない場合の認証処理のタイミング図である。 第４の実施の形態のネットワークシステムの構成図である。 第４の実施の形態の上位ＣＡリストの構成図である。 第４の実施の形態のクライアントが認証チケットを保持していない場合の認証処理のタイミング図である。 第５の実施の形態の認証チケットの構成図である。

符号の説明

１０１ インターネット
１１１〜１１３ 認証サーバ
１２１〜１２３ 認証ドメイン
１３１〜１３３ クライアント
１７０１ 上位認証局（上位ＣＡ）
１７１１〜１７１３ 認証サーバ
１７２１〜１７２３ 認証ドメイン
２２０１〜２２０３ 上位認証局（上位ＣＡ）
２２１１．１〜２２１３．３ 認証サーバ
２２２１．１〜２２２３．３ 認証ドメイン

Claims (28)

1. 一つ以上の認証サーバを持つ認証ドメインがネットワークを介して複数接続された広域ネットワークシステムであって、
   前記認証サーバは、
   各認証サーバ間で構築された信頼関係を保持し、
   自サーバに認証用データを持つクライアントに有効期限付きの認証チケットを発行し、
   信頼関係が構築されている他の認証サーバによって発行された認証チケットの有効性を検証し、
   前記認証チケットの有効性が確認されると、認証成功とすることを特徴とするネットワークシステム。
2. 前記認証サーバは、
   公開鍵及び秘密鍵の対を作成し、
   前記作成された公開鍵及び秘密鍵の対を保持し、
   さらに、前記信頼関係が構築されている他の認証サーバの公開鍵、該公開鍵の有効期限、前記認証サーバの宛先及び前記認証サーバの属性値を、前記認証サーバの情報として保持することを特徴とする請求項１に記載のネットワークシステム。
3. 前記認証サーバは、
   前記クライアントが持つ秘密鍵と対になった公開鍵を記録し、
   チケット番号、クライアントの識別子、クライアントの公開鍵、クライアントの属性、該公開鍵の有効期限及び該認証サーバ名を含み、該認証サーバの秘密鍵を用いた電子署名を付与した認証チケットを発行し、
   前記クライアントによって提示された認証チケット内に記載された認証サーバ名に基づいて、前記保持された認証サーバの情報から該認証サーバの公開鍵を特定し、
   前記特定された公開鍵を用いて該認証チケットを検証し、
   該認証チケット内に記載されたクライアントの公開鍵を用いてクライアントの電子署名を検証することを特徴とする請求項２に記載のネットワークシステム。
4. 前記認証サーバは、
   前記クライアント毎に異なる共通鍵を保持し、
   チケット番号、クライアントの識別子、クライアントの属性、該公開鍵の有効期限及び該認証サーバ名を含み、該認証サーバの秘密鍵を用いた電子署名を付与した認証チケットを、前記クライアントの共通鍵で暗号化して発行し、
   前記信頼関係が構築されている他の認証サーバのリストから、クライアントによって提示された認証チケット内に記載された認証サーバ名に基づいて、前記保持された認証サーバの情報から該認証サーバの公開鍵を特定し、
   前記特定された公開鍵を用いて該認証チケットを検証することを特徴とする請求項２に記載のネットワークシステム。
5. 前記認証サーバは、
   該認証サーバに認証用データが登録されたクライアントからの接続要求を受けると、該クライアントに認証チケットを発行し、
   前記発行した認証チケットを記録することを特徴とする請求項３又は４に記載のネットワークシステム。
6. 前記認証サーバは、
   前記認証サーバが発行した認証チケットが無効になると、前記無効となったチケットを無効チケットとして記録し、前記信頼関係が構築されている他の認証サーバに該認証チケットの無効を通知し、
   前記他の認証サーバから無効となった認証チケットの通知を受けると、該認証チケットを無効チケットとして記録し、前記認証チケットの検証時に記録された無効チケットと比較することを特徴とする請求項５に記載のネットワークシステム。
7. 前記認証サーバは、識別子が同一のクライアントについて異なる無効となった認証チケットが存在する場合、有効期限が後に到来する認証チケットを無効チケットとして記録し、有効期限が先に到来する認証チケットは記録しないことを備えた請求項６に記載のネットワークシステム。
8. 前記認証サーバは、認証チケットの検証時に、該認証チケットと同一のクライアント識別子を持つ異なる無効チケットが存在する場合、検証に係る認証チケットの有効期限が記録されている無効チケットの有効期限より先に到来する場合には、検証に係る該認証チケットを無効と判定することを特徴とする請求項７に記載のネットワークシステム。
9. 前記認証サーバは、
   チケット提出用画面を前記クライアントに送信し、
   前記信頼関係が構築されている他の認証サーバの一覧を前記クライアントに送信表示し、前記クライアントに他の認証サーバを選択させ、
   前記クライアントからの接続要求を、前記選択された認証サーバへリダイレクトすることを特徴とする請求項５に記載のネットワークシステム。
10. 前記認証サーバは、前記クライアントによって提示された認証チケットが有効期限切れであれば、該チケットを提示したクライアントに、該チケットの期限切れを通知し、該認証チケット内に記載された認証サーバへ、前記クライアントからの接続要求をリダイレクトすることを特徴とする請求項９に記載のネットワークシステム。
11. 前記認証サーバは、
    前記信頼関係が構築されている他の認証サーバからクライアントの接続要求がリダイレクトされると、前記リダイレクトされた接続要求を発したクライアントの認証処理を行い、
    前記認証が成功すると、該クライアントに認証チケットを発行し、同認証チケットをリダイレクト元の認証サーバへ送付し、
    前記認証が失敗すると、該認証エラーをリダイレクト元の認証サーバへ通知し、該クライアントからの接続要求をリダイレクト元の認証サーバへリダイレクトすることを特徴とする請求項９又は請求項１０に記載のネットワークシステム。
12. 前記認証サーバは、前記クライアントによって提示された認証チケット内のクライアント属性値及び該認証チケットを発行した認証サーバの属性値と、自サーバが管理する認証ドメイン内における該クライアントの属性値との関連を特定することを特徴とする請求項５に記載のネットワークシステム。
13. 前記認証サーバは、
    前記信頼関係が構築されている他の認証サーバが新公開鍵及び旧公開鍵を持つ場合に、前記信頼関係が構築されている認証サーバに対して、新旧二つの公開鍵を登録し、前記認証チケットの検証時に二つの公開鍵をどちらも使用可能な有効期限を設定し、前記設定された有効期限を登録し、
    前記有効期限内は、何れか一方の公開鍵で認証チケットの検証に成功すると、認証成功と判定することを特徴とする請求項５に記載のネットワークシステム。
14. 前記認証サーバは、
    前記信頼関係が構築されている他の認証サーバから発行された認証チケットによる検証に成功したクライアントを、該認証チケットの有効期限内に限り仮登録し、
    前記仮登録期間中は、前記登録された仮登録データを用いて認証処理を行うことを特徴とする請求項５に記載のネットワークシステム。
15. 前記認証サーバは、
    前記仮登録時に使用した該クライアントの認証チケットが期限切れになると、前記仮登録されたデータを削除し、
    前記他の認証サーバから無効となった認証チケットの通知を受けると、前記通知された無効チケットと前記仮登録されたデータとを比較し、前記通知された無効チケットと前記仮登録されたデータとが同一であると判定すると、前記仮登録されたデータを削除することを特徴とする請求項１４に記載のネットワークシステム。
16. 前記ネットワークシステムは、上位認証局を備え、
    前記認証サーバは、前記上位認証局から前記各認証サーバに発行される証明書、及び、上位認証局から前記各認証サーバに発行される上位認証局のルート証明書を用いて、信頼関係を構築することを特徴とする請求項１に記載のネットワークシステム。
17. 前記上位認証局は、前記認証サーバとは別に設置されることを特徴とする請求項１６に記載のネットワークシステム。
18. 前記認証サーバの一つ又は複数が、上位認証局を兼ねることを特徴とする請求項１６に記載のネットワークシステム。
19. 前記上位認証局は、
    自己が管理する前記認証サーバを認証し、
    該認証した認証サーバに、該認証サーバの公開鍵を含む前記証明書を発行し、
    該認証した認証サーバに、該上位認証局の公開鍵を含む前記ルート証明書を配布し、
    前記クライアントに、管理下の前記認証サーバの情報を送信し、
    前記クライアントからの接続要求を、前記クライアントによって選択された認証サーバへリダイレクトすることを特徴とする請求項１７又は１８に記載のネットワークシステム。
20. 前記上位認証局は複数設けられ、
    前記上位認証局は、他の上位認証局にルート証明書を配布し、
    前記他の上位認証局から配布されたルート証明書を、管理下の前記認証サーバに転送し、
    前記クライアントに、他の上位認証局の情報を送信し、
    前記クライアントからの接続要求を、前記クライアントによって選択された上位認証局へリダイレクトすることを特徴とする請求項１９に記載のネットワークシステム。
21. 前記認証サーバが、
    前記上位認証局から配布されたルート証明書、及び、前記上位認証局から発行された自サーバの公開鍵を含む証明書を保持し、
    チケット番号、クライアントの識別子、クライアントの属性、該公開鍵の有効期限及び該認証サーバ名を少なくとも含み、該認証サーバの秘密鍵を用いた電子署名を付与した認証チケットを、前記クライアントに発行し、
    前記認証チケットの発行時に、該証明書を配布し、
    前記クライアントに提示された他認証サーバの証明書を、前記ルート証明書内の上位認証局の公開鍵を用いて検証し、
    前記クライアントに発行された認証チケットを、同時に提示された証明書内の認証サーバの公開鍵を用いて検証することを特徴とする請求項１９又は２０に記載のネットワークシステム。
22. 前記認証サーバは、前記認証チケットを持たない前記クライアントからの接続要求を、前記上位認証局にリダイレクトすることを特徴とする請求項２１に記載のネットワークシステム。
23. 前記認証サーバは、自サーバが発行した認証チケットの不正使用を検出すると、該認証チケットが発行された前記クライアントに不正使用が生じたことを通知することを特徴とする請求項５又は２１に記載のネットワークシステム。
24. 前記クライアントは、
    秘密鍵と公開鍵の対を保持し、
    前記認証サーバから発行された認証チケットを保持し、
    前記他の認証サーバへの接続要求時に、前記保持された認証チケットに秘密鍵を用いた電子署名を付加し、前記電子署名を付加した認証チケットを提示することを特徴とする請求項５又は２１に記載のネットワークシステム。
25. 前記クライアントは、
    前記認証サーバとの間で共通鍵を保持し、
    前記認証サーバから発行された共通鍵によって暗号化された認証チケットを保持し、
    前記他の認証サーバへの接続要求時に、保持されている認証チケットを前記共通鍵で復号して提示することを特徴とする請求項５又は２１に記載のネットワークシステム。
26. 前記クライアントは、前記認証サーバから配布された証明書を、前記他の認証サーバへの接続時に、前記認証チケットと共に提示することを特徴とする請求項２１に記載のネットワークシステム。
27. 前記認証チケットは、前記クライアントに対する課金先の情報を含み、
    前記認証サーバが、前記認証チケットに含まれる課金先情報に基づいて、課金先を決定し、前記クライアントへの課金額を算出し、前記課金先へ課金することを特徴とする請求項５又は２１に記載のネットワークシステム。
28. 前記認証チケットに記載された課金先情報に基づいて前記クライアントへの課金額を算出する課金サーバを、前記認証サーバとは独立に設けることを特徴とする請求項５又は２１に記載のネットワークシステム。

Images