JP3998923B2

JP3998923B2 - User authentication type VLAN

Info

Publication number: JP3998923B2
Application number: JP2001174422A
Authority: JP
Inventors: 恵介中山
Original assignee: システムニーズ株式会社
Priority date: 2001-06-08
Filing date: 2001-06-08
Publication date: 2007-10-31
Anticipated expiration: 2021-06-08
Also published as: JP2002366522A

Description

【０００１】
【発明の属する技術分野】
本発明は、ユーザ認証型ＶＬＡＮ（Virtual Local Area Network）に係り、特に、ユーザの認証機能を強化したユーザ認証型ＶＬＡＮに関する。
【０００２】
【従来の技術】
従来のユーザ認証型ＶＬＡＮについて図２を用いて説明する。図２は、従来のユーザ認証型ＶＬＡＮの概略構成を示す図である。
従来のユーザ認証型ＶＬＡＮは、図２に示すように、クライアント１と、スイッチ２と、ユーザ認証サーバ３と、業務系データベース４と、会計サーバ５とから構成されている。
【０００３】
クライアント１は、スイッチ２に接続するコンピュータであり、ユーザＩＤとパスワードを入力して、スイッチ２を介して業務系データベース４又は会計サーバ５に接続して特定の処理を行うものである。
スイッチ２は、クライアント１からの接続要求があると、クライアント１から入力されたユーザＩＤとパスワードをユーザ認証サーバ３に出力し、ユーザ認証サーバ３で認証されるとクライアント１を認証された業務系ＶＬＡＮ又は会計系ＶＬＡＮに接続する。
【０００４】
ユーザ認証サーバ３は、スイッチ２から入力されたクライアント１のユーザＩＤ及びパスワードに基づき接続が認証されたＶＬＡＮを特定し、スイッチ２に接続制御の情報を提供する。
業務系データベース４は、業務系ＶＬＡＮを構成する一部である。
会計サーバ５は、会計系ＶＬＡＮを構成する一部である。
【０００５】
従来のユーザ認証型ＶＬＡＮの動作について説明する。
クライアント１からのログオンによりユーザＩＤとパスワードがスイッチ２に入力されると、スイッチ２はデフォルトＶＬＡＮとしてユーザ認証サーバ３に接続する。
ユーザ認証サーバ３は、入力されたクライアント１のユーザＩＤとパスワードから当該クライアント１が接続可能なＶＬＡＮを特定し、スイッチ２に特定したＶＬＡＮへの接続を行わせる情報を提供する。もし、接続可能なＶＬＡＮがなければクライアント１の接続は拒否される。
スイッチ２の接続動作により、クライアント１は目的のＶＬＡＮに接続することになる。
【０００６】
尚、従来のユーザ認証型ＶＬＡＮは、ユーザＩＤとパスワードでのログオンを行うようになっているので、ＬＡＮ接続可能な複数のクライアント１からユーザＩＤ及びパスワードが一致すれば同時に接続可能となっていた。
【０００７】
また、スイッチングハブにＬＡＮケーブルを差し込み、ネットワークを勝手に利用されるのを防止するために、スイッチングハブを鍵付きの金属製ボックスに入れて保護することが行われていた。この場合、当該ボックスの設置に設備コストが掛かることとなっていた。
【０００８】
【発明が解決しようとする課題】
しかしながら、上記従来のユーザ認証型ＶＬＡＮでは、ユーザＩＤとパスワードが盗まれてしまうと、簡単にＶＬＡＮに接続可能となり、セキュリティについて心配な面があった。
【０００９】
本発明は上記実状に鑑みて為されたもので、セキュリティを強化したユーザ認証型ＶＬＡＮを提供することを目的とする。
【００１０】
【課題を解決するための手段】
上記従来例の問題点を解決するための本発明は、複数の仮想的なグループとして構成されるＬＡＮと、クライアントからのデバイス情報及びユーザ情報に基づいてＬＡＮ接続を認証するサーバと、認証の結果に基づいて該当するグループのＬＡＮにクライアントを接続するスイッチと、クライアントに接続し、トークンの番号を含むデバイス情報を格納したセキュリティトークンとを備えるユーザ認証型ＶＬＡＮであって、セキュリティトークンに発行元データを出力すると共に、サーバに発行元データを出力し、セキュリティトークンからトークンの番号を読み取ってサーバに出力するデバイス発行元サーバを設け、セキュリティトークンは、ユーザＩＤを含むユーザ情報とトークンの番号及び発行元データのデバイス情報を記憶し、サーバは、セキュリティトークンに対する発行元データ及びトークンの番号のデバイス情報とユーザＩＤを含むユーザ情報を記憶し、クライアントがログオンする場合に、スイッチがクライアントとサーバとを接続し、クライアントがセキュリティトークンからトークンの番号及び発行元データのデバイス情報を読み込んでサーバに出力し、サーバが、クライアントから入力されたトークンの番号と当該サーバが記憶するトークンの番号とを照会して機器認証を行い、クライアントから入力された発行元データと当該サーバが記憶する発行元データとを照会して発行元認証を行い、ＬＡＮ接続可能であるか否かを判定し、ＬＡＮ接続可能であれば、クライアントから接続するセキュリティトークンに記憶されたユーザＩＤを含むユーザ情報を読み出し、当該サーバが記憶するユーザ情報とを照会してユーザ認証を行い、ＬＡＮ接続可能であるか否かを判定し、スイッチが、機器認証、発行元認証及びユーザ認証で接続可能なＬＡＮにクライアントを接続するものであり、よりセキュリティを向上させることができる。
また、本発明は、複数の仮想的なグループとして構成されるＬＡＮと、クライアントからのユーザ情報に基づいてＬＡＮ接続を認証するユーザ認証サーバと、当該ユーザ認証の結果に基づいて該当するグループのＬＡＮに前記クライアントを接続するスイッチと、クライアントに接続し、トークンの番号を含むデバイス情報を格納したセキュリティトークンと、デバイス情報に基づいてＬＡＮ接続を認証するデバイス認証サーバとを備えるユーザ認証型ＶＬＡＮであって、セキュリティトークンに発行元データを出力すると共に、デバイス認証サーバに発行元データを出力し、セキュリティトークンからトークンの番号を読み取ってデバイス認証サーバに出力するデバイス発行元サーバを設け、セキュリティトークンは、ユーザＩＤを含むユーザ情報とトークンの番号及び発行元データのデバイス情報を記憶し、ユーザ認証サーバは、セキュリティトークンに対するユーザＩＤを含むユーザ情報を記憶し、デバイス認証サーバは、セキュリティトークンに対する発行元データ及びトークンの番号のデバイス情報を記憶し、クライアントがログオンする場合に、スイッチがクライアントとデバイス認証サーバとをデフォルトとして接続し、クライアントがセキュリティトークンからトークンの番号及び発行元データのデバイス情報を読み込んでデバイス認証サーバに出力し、デバイス認証サーバが、クライアントから入力されたトークンの番号と当該サーバが記憶するトークンの番号とを照会して機器認証を行い、クライアントから入力された発行元データと当該サーバが記憶する発行元データとを照会して発行元認証を行い、ＬＡＮ接続可能であるか否かを判定し、機器認証及び発行元認証においてＬＡＮ接続可能であれば、ユーザ認証サーバが、クライアントから接続するセキュリティトークンに記憶されたユーザＩＤを含むユーザ情報を読み出し、当該サーバが記憶するユーザ情報とを照会してユーザ認証を行い、ＬＡＮ接続可能であるか否かを判定し、スイッチが、機器認証、発行元認証及びユーザ認証で接続可能なＬＡＮにクライアントを接続するものであり、よりセキュリティを向上させることができる。
【００１１】
本発明は、上記ユーザ認証型ＶＬＡＮにおいて、セキュリティトークンが指紋照合装置とした場合に、当該指紋照合装置内に予め登録された本人指紋データとログオン時に読み込ませた指紋データとを比較し、指紋認証された場合に限り、デバイス情報及びユーザ情報を出力するものであり、よりセキュリティを強固なものにできる。
【００１３】
【発明の実施の形態】
本発明の実施の形態について図面を参照しながら説明する。
本発明の実施の形態に係るユーザ認証型ＶＬＡＮは、セキュリティトークンに格納されたデバイス情報を用いて、デバイス認証サーバによりデバイス認証を行い、デバイス認証されると、セキュリティトークンに格納されたユーザ情報を用いて、ユーザ認証サーバによりユーザ認証を行って、クライアントが接続可能なＶＬＡＮを特定するようにしているので、よりセキュリティを向上させることができるものである。
【００１４】
本発明の実施の形態に係るユーザ認証型ＶＬＡＮ（本ＶＬＡＮ）の構成について図１を用いて説明する。図１は、本発明の実施の形態に係るユーザ認証型ＶＬＡＮの概略構成図である。
本ＶＬＡＮは、図１に示すように、クライアント１と、スイッチ２と、デバイス認証サーバ３ａと、ユーザ認証サーバ３ｂと、業務系データベース４と、会計サーバ５と、デバイス発行元サーバ６とから構成されている。
尚、図１の例では、ＶＬＡＮの種類として、業務系データベース４と会計サーバ５を取り上げたが、どのような種類のＶＬＡＮであっても構わない。
【００１５】
本ＶＬＡＮの各部を具体的に説明する。
クライアント１は、セキュリティトークン１０が接続されるコンピュータである。
セキュリティトークン１０とは、ＩＣカードや指紋照合装置など、個人情報が安全に保管され、認証による読み書き可能な機器をいう。また、「機器認証」という場合の「機器」もセキュリティトークンをいう。
更に、セキュリティトークン１０には、ユーザ認証用のユーザＩＤとパスワード等のユーザ情報をユーザ認証サーバ３ｂから割り当てられて記憶し、また、指紋照合装置で登録された指紋データ又はＩＣカードのシリアル番号、若しくはデバイス発行サーバ６から付与されて書き込まれたデータ（発行元データ）等のデバイス情報を記憶している。
ここで、発行元データは、世界に一つしかないよう、重複しないデータとなっている。
クライアント１には、セキュリティトークン１０からデータの読み込みを行う認証専用アプリケーションがインストールされていることが前提である。
【００１６】
クライアント１は、ログオンに際して、セキュリティトークン１０に書き込まれたシリアル番号又は発行元データ等のデバイス情報を読み込んで、スイッチ２に出力する。
また、クライアント１は、デバイス認証が為されるとユーザＩＤとパスワード等のユーザ情報をセキュリティトークン１０から読み込んでスイッチ２に出力する。
そして、クライアント１は、デバイス認証、ユーザ認証が成功すると、目的のＶＬＡＮに接続することになる。
【００１７】
スイッチ２は、クライアント１からデバイス情報を入力すると、デフォルトＶＬＡＮがデバイス認証サーバ３ａに接続するようになっているので、当該デバイス情報をデバイス認証サーバ３ａに出力する。
また、スイッチ２は、デバイス認証に成功すると、クライアント１にデバイス認証成功を知らせると共に、クライアント１をユーザ認証サーバ３ｂに接続してユーザ認証を行わせる。尚、デバイス認証に失敗しても、スイッチ２は、クライアント１にデバイス認証失敗を知らせる。
また、スイッチ２は、ユーザ認証サーバ３ｂでのユーザ認証に成功すると、ユーザ認証成功をクライアント１に知らせると共に、クライアント１を目的のＶＬＡＮに接続する。尚、ユーザ認証に失敗しても、スイッチ２は、クライアント１にユーザ認証失敗を知らせる。
【００１８】
デバイス認証サーバ３ａは、予めデバイス発行元サーバ６によって発行元データを書き込まれ、その後の初期認証で、セキュリティトークンのシリアル番号、ユーザ認証サーバ３ｂで管理するユーザのユーザＩＤ、パスワード等をデバイス発行元サーバ６から取得して管理している。
また、デバイス認証サーバ３ａは、一つ又は複数のＶＬＡＮに接続可能なデバイス情報を管理しており、スイッチ２から入力されるデバイス情報が管理されているデバイス情報に該当するか否かを判断し、該当すればデバイス認証が成功したと認識するものである。
そして、デバイス認証サーバ３ａは、認証結果をスイッチ２及びクライアント１に出力する。
【００１９】
ユーザ認証サーバ３ｂは、ＶＬＡＮに接続可能なユーザ情報（ユーザＩＤ、パスワード等）を管理しており、スイッチ２から入力されるユーザ情報が管理されているユーザ情報に該当するか否か判断し、該当すればユーザ認証が成功したと認識するものである。
そして、ユーザ認証サーバ３ｂは、認証結果をスイッチ２及びクライアント１に出力する。
尚、ユーザ認証サーバ３ｂにおけるユーザＩＤとパスワード等のユーザ情報は初期認証で、デバイス発行元サーバ６に出力され、そのユーザ情報はデバイス認証サーバ３ａに記憶されるようになっている。
【００２０】
業務系データベース４は、業務系ＶＬＡＮを構成する一部である。
会計サーバ５は、会計系ＶＬＡＮを構成する一部である。
デバイス発行元サーバ６は、発行元データを記憶・管理しており、初期認証で、セキュリティトークン１０に発行元データを書き込む。
また、デバイス発行元サーバ６は、セキュリティトークン１０内のシリアル番号を読み取り、デバイス認証サーバ３ａに発行元データとシリアル番号を出力する。
更に、デバイス発行元サーバ６は、ユーザ認証サーバ３ｂから入力されたユーザＩＤ及びパスワード等のユーザ情報をデバイス認証サーバ３ａに出力する。
デバイス発行元サーバ６は、セキュリティトークン１０の有効・無効のチェックを行い、さらに、トークンの有効期限を管理し、無効なセキュリティトークン、有効期限外のセキュリティトークンのアクセスを制限している。
尚、デバイス発行元サーバ６の機能をデバイス認証サーバ３ａに取り込み、一体化することが考えられ、更に、デバイス発行元サーバ６とデバイス認証サーバ３ａとユーザ認証サーバ３ｂを一体化することが考えられる。
【００２１】
次に、本ＶＬＡＮの処理動作を具体的に説明する。
まず、初期設定として、セキュリティトークン１０には、ユーザＩＤ及びパスワード等のユーザ情報とシリアル番号及び発行元データのデバイス情報が記憶され、デバイス認証サーバ３ａには、上記ユーザ情報と上記デバイス情報が記憶され、ユーザ認証サーバ３ｂには、ユーザＩＤ及びパスワード等のユーザ情報が記憶されている。
デバイス認証サーバ３ａは、デフォルトＶＬＡＮ経由でクライアント１と通信可能である。
そして、クライアント１は、起動直後ではデフォルトＶＬＡＮに所属する。クライアント１の認証専用アプリケーションは、デフォルトＶＬＡＮ経由でデバイス認証サーバ３ａへデバイス情報を照会する（機器認証又はデバイス認証）。デバイス情報における発行元データを機器認証の照会情報とする場合は、機器認証を「発行元認証」ということもある。
デバイス認証サーバ３ａは、サーバの登録データベースに照会情報を照会し、合致するものがあったかどうかの照会結果を、デフォルトＶＬＡＮ経由（スイッチ２経由）でクライアント１へ返す。
【００２２】
デバイス認証における照会結果が失敗であれば、ユーザ認証の処理に移らず、クライアント１のシャットダウン、ログオフやローカルログオン（ネットワークではなくＰＣ本体にのみログオンする）等の処理をする。
これにより異なる組織で発行された等、デバイス認証サーバ３ａに登録されていないセキュリティトークン１０を接続してもユーザ認証さえ行われないこととなる。
【００２３】
照会結果が成功（＝機器認証された）であれば、ユーザ認証用のユーザＩＤとパスワードが、セキュリティトークン１０より読み出され、クライアント１からスイッチ２を介してユーザ認証サーバ３ｂに出力され、ユーザ認証の処理が実行される。
【００２４】
ユーザ認証が完了すれば、スィッチ２は、クライアント１の所属ＶＬＡＮを、デフォルトＶＬＡＮから予め設定されている（ターゲット）グループのＶＬＡＮへ移行させる。
これによりユーザは、機器認証されたセキュリティトークン１０でのみ、スイッチ２が提供するネットワーク資源を使用することができる。
【００２５】
本ＶＬＡＮによれば、セキュリティトークン１０に格納されたシリアル番号及び発行元データのデバイス情報を用いて、デバイス認証サーバ３ａによりデバイス認証を行い、デバイス認証されると、セキュリティトークン１０に格納されたユーザ情報を用いて、ユーザ認証サーバ３ｂによりユーザ認証を行って、クライアント１が接続可能なＶＬＡＮを特定するようにしているので、よりセキュリティを向上させることができる効果がある。
【００２６】
また、本ＶＬＡＮによれば、発行元データがセキュリティトークン１０とデバイス認証サーバ３ａにデバイス発行元サーバ６から割り当てられるので、デバイス認証サーバ３ａにおけるデバイス認証の際に、この発行元データが一致しなければ認証されないので、よりセキュリティを向上させることができる。
【００２７】
従来のＶＬＡＮでは、ユーザＩＤ及びパスワードを用いれば、複数箇所からＬＡＮに接続可能であったが、本ＶＬＡＮでは、デバイス認証を行うようにしているので、１ユーザが１箇所からしかログオンできないので、セキュリティを強固なものにすることができる。
【００２８】
また、従来のＶＬＡＮでは、ＬＡＮケーブルをスイッチングハブに勝手に差し込まれないようにするために、鍵付きの金属製ボックスにスイッチングハブを入れていたが、本ＶＬＡＮでは、スイッチングハブに勝手にＬＡＮケーブルを差し込んだとしても、セキュリティトークン１０を用いてデバイス認証が為されなければ、ＶＬＡＮに接続できないため、鍵付きの金属製ボックスは不要となる。
【００２９】
特に、セキュリティトークン１０を指紋照合装置とした場合に、指紋照合装置内に予め登録された本人指紋とログオン時に読み込ませる指紋とを比較し、指紋認証された場合に限り、デバイス情報及びユーザ情報を出力するようにできるので、よりセキュリティを強固なものにできる効果がある。
【００３０】
【発明の効果】
本発明によれば、クライアントがログオンする場合に、スイッチがクライアントとサーバとを接続し、クライアントがセキュリティトークンからトークンの番号及び発行元データのデバイス情報を読み込んでサーバに出力し、サーバが、クライアントから入力されたトークンの番号と当該サーバが記憶するトークンの番号とを照会して機器認証を行い、クライアントから入力された発行元データと当該サーバが記憶する発行元データとを照会して発行元認証を行い、ＬＡＮ接続可能であるか否かを判定し、ＬＡＮ接続可能であれば、クライアントから接続するセキュリティトークンに記憶されたユーザＩＤを含むユーザ情報を読み出し、当該サーバが記憶するユーザ情報とを照会してユーザ認証を行い、ＬＡＮ接続可能であるか否かを判定し、スイッチが、機器認証、発行元認証及びユーザ認証で接続可能なＬＡＮにクライアントを接続するものであり、よりセキュリティを向上させることができる効果がある。
本発明によれば、クライアントがログオンする場合に、スイッチがクライアントとデバイス認証サーバとをデフォルトとして接続し、クライアントがセキュリティトークンからトークンの番号及び発行元データのデバイス情報を読み込んでデバイス認証サーバに出力し、デバイス認証サーバが、クライアントから入力されたトークンの番号と当該サーバが記憶するトークンの番号とを照会して機器認証を行い、クライアントから入力された発行元データと当該サーバが記憶する発行元データとを照会して発行元認証を行い、ＬＡＮ接続可能であるか否かを判定し、機器認証及び発行元認証においてＬＡＮ接続可能であれば、ユーザ認証サーバが、クライアントから接続するセキュリティトークンに記憶されたユーザＩＤを含むユーザ情報を読み出し、当該サーバが記憶するユーザ情報とを照会してユーザ認証を行い、ＬＡＮ接続可能であるか否かを判定し、スイッチが、機器認証、発行元認証及びユーザ認証で接続可能なＬＡＮにクライアントを接続するユーザ認証型ＶＬＡＮとしているので、よりセキュリティを向上させることができる効果がある。
【００３１】
また、本発明のＶＬＡＮによれば、デバイス認証を行うようにしているので、１ユーザが１箇所からしかログオンすることができず、セキュリティを強固にできる効果がある。
また、本発明のＶＬＡＮによれば、セキュリティトークンを持っていなければ、ユーザＩＤとパスワードを知っていても、ＬＡＮに参加できないため、セキュリティを強固にできる効果がある。
また、本発明のＶＬＡＮによれば、セキュリティトークンを用いてデバイス認証が為されなければ、スイッチングハブにＬＡＮケーブルが接続されるようなことがあったとしても、ＶＬＡＮへの接続は許可されないため、鍵付きのボックスを用いた保護を必要とせず、ボックス設置のコストを削減できる効果がある。
【００３２】
本発明によれば、セキュリティトークンが指紋照合装置とした場合に、当該指紋照合装置内に予め登録された本人指紋データとログオン時に読み込ませた指紋データとを比較し、指紋認証された場合に限り、デバイス情報及びユーザ情報を出力する上記ユーザ認証型ＶＬＡＮとしているので、よりセキュリティを強固なものにできる効果がある。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るユーザ認証型ＶＬＡＮの概略構成図である。
【図２】従来のユーザ認証型ＶＬＡＮの概略構成を示す図である。
【符号の説明】
１…クライアント、２…スイッチ、３…ユーザ認証サーバ、３ａ…デバイス認証サーバ、３ｂ…ユーザ認証サーバ、４…業務系データベース、５…会計サーバ、６…デバイス発行元サーバ、１０…セキュリティトークン[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a user authentication type VLAN (Virtual Local Area Network), and more particularly to a user authentication type VLAN with an enhanced user authentication function.
[0002]
[Prior art]
A conventional user authentication type VLAN will be described with reference to FIG. FIG. 2 is a diagram showing a schematic configuration of a conventional user authentication type VLAN.
As shown in FIG. 2, the conventional user authentication VLAN includes a client 1, a switch 2, a user authentication server 3, a business database 4, and an accounting server 5.
[0003]
The client 1 is a computer connected to the switch 2 and inputs a user ID and a password, and connects to the business database 4 or the accounting server 5 via the switch 2 to perform a specific process.
Switch 2, when there is a connection request from the client 1, and outputs the user ID and password entered by the client 1 to the user authentication server 3, the business system is when it is authenticated by the user authentication server 3 authenticates the client 1 Connect to VLAN or accounting VLAN.
[0004]
The user authentication server 3 identifies the VLAN whose connection is authenticated based on the user ID and password of the client 1 input from the switch 2, and provides connection control information to the switch 2.
The business database 4 is a part of the business VLAN.
The accounting server 5 is part of an accounting VLAN.
[0005]
The operation of the conventional user authentication type VLAN will be described.
When a user ID and password are input to the switch 2 by logging on from the client 1, the switch 2 connects to the user authentication server 3 as a default VLAN.
The user authentication server 3 identifies a VLAN to which the client 1 can be connected from the input user ID and password of the client 1, and provides information that causes the switch 2 to connect to the specified VLAN. If there is no connectable VLAN, the connection of the client 1 is rejected.
By the connection operation of the switch 2, the client 1 is connected to the target VLAN.
[0006]
In addition, since the conventional user authentication type VLAN is configured to log on with a user ID and a password, if a plurality of clients 1 capable of LAN connection match the user ID and password, they can be connected simultaneously. .
[0007]
Further, in order to prevent a LAN from being used without permission by inserting a LAN cable into the switching hub, the switching hub is protected by being placed in a metal box with a key. In this case, the installation cost of the box has been increased.
[0008]
[Problems to be solved by the invention]
However, in the conventional user authentication type VLAN, if the user ID and password are stolen, it is possible to easily connect to the VLAN, and there is a concern about security.
[0009]
The present invention has been made in view of the above circumstances, and an object thereof is to provide a user authentication type VLAN with enhanced security.
[0010]
[Means for Solving the Problems]
The present invention for solving the problems of the above conventional example includes a LAN configured as a plurality of virtual groups, a server that authenticates LAN connection based on device information and user information from a client, and a result of authentication. a switch for connecting the client to the LAN of the relevant groups based on, connected to a client, a user authentication type VLAN and a security token which stores device information including the number of tokens, issuing data security token A device issuer server that outputs issuer data to the server, reads the token number from the security token and outputs it to the server, and the security token includes user information including the user ID, token number, and issue Store the device information of the original data and Stores user information including device information and the user ID of the issuing data and token number for security tokens, if the client logs on, the switch connects the client and the server, the client token from the security token The device information of the number and issuer data is read and output to the server. The server inquires the token number input from the client and the token number stored in the server, performs device authentication, and is input from the client. was issued to query to issuer authenticator and the issuing data based on the data and the server stores, it is determined whether the LAN connectable, LAN connection if possible, to the security token to connect the client Read user information including stored user ID Client and performs user authentication by querying the user information which the server stores, it is determined whether the LAN connectable to the switch, device authentication, which can be connected with the issuer authentication and the user authentication LAN Can be further improved in security.
Further, the present invention provides a LAN configured as a plurality of virtual groups, a user authentication server that authenticates a LAN connection based on user information from a client, and a LAN of the corresponding group based on the result of the user authentication. A user authentication VLAN including a switch for connecting the client to the client, a security token connected to the client and storing device information including a token number, and a device authentication server for authenticating the LAN connection based on the device information. The issuer data is output to the security token, the issuer data is output to the device authentication server, and the device issuer server that reads the token number from the security token and outputs it to the device authentication server is provided. User including user ID The user information includes the user information including the user ID for the security token, and the device authentication server stores the issuer data and the token number for the security token. When the client logs on, the switch connects the client and the device authentication server as the default, and the client reads the token number and the device information of the issuer data from the security token, and enters the device authentication server. output, device authentication server performs device authentication by querying the number of tokens stored number and the server token inputted from the client, stores issuing data and the server that is input from the client is originating Performs issuer authenticator queries the original data, the security token to determine whether the LAN connectable, LAN connection if the device authentication and issuer authenticator, the user authentication server, connecting from the client reads the user information including the user ID stored in, authenticate users to query the user information which the server stores, it is determined whether the LAN connectable, switch, device authentication, issuer The client is connected to a LAN that can be connected by authentication and user authentication, and security can be further improved.
[0011]
In the user authentication type VLAN, when the security token is a fingerprint verification device, the present invention compares the fingerprint data registered in advance in the fingerprint verification device with the fingerprint data read at the time of logon, and performs fingerprint authentication. The device information and the user information are output only in the case of being performed, and the security can be further strengthened.
[0013]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described with reference to the drawings.
The user authentication VLAN according to the embodiment of the present invention performs device authentication by the device authentication server using the device information stored in the security token. When the device authentication is performed, the user information stored in the security token is stored. The user authentication is performed by the user authentication server, and the VLAN to which the client can be connected is specified, so that the security can be further improved.
[0014]
A configuration of a user authentication type VLAN (present VLAN) according to an embodiment of the present invention will be described with reference to FIG. FIG. 1 is a schematic configuration diagram of a user authentication type VLAN according to an embodiment of the present invention.
As shown in FIG. 1, the present VLAN comprises a client 1, a switch 2, a device authentication server 3a, a user authentication server 3b, a business database 4, an accounting server 5, and a device issuer server 6. Has been.
In the example of FIG. 1, the business database 4 and the accounting server 5 are taken up as the types of VLANs, but any type of VLAN may be used.
[0015]
Each part of the VLAN will be specifically described.
The client 1 is a computer to which the security token 10 is connected.
The security token 10 refers to a device such as an IC card or a fingerprint verification device in which personal information is safely stored and can be read and written by authentication. In the case of “device authentication”, “device” also refers to a security token.
Further, in the security token 10, user information such as a user ID and password for user authentication is allocated and stored from the user authentication server 3 b, and the fingerprint data registered in the fingerprint verification device or the serial number of the IC card, Alternatively, device information such as data (issue source data) given and written from the device issuance server 6 is stored.
Here, the publisher data is non-overlapping data so that there is only one in the world.
It is assumed that an authentication-dedicated application for reading data from the security token 10 is installed in the client 1.
[0016]
When logging on, the client 1 reads device information such as a serial number or issuer data written in the security token 10 and outputs it to the switch 2.
Further, when the device authentication is performed, the client 1 reads user information such as a user ID and a password from the security token 10 and outputs them to the switch 2.
When device authentication and user authentication are successful, the client 1 connects to the target VLAN.
[0017]
When the switch 2 inputs the device information from the client 1, the default VLAN is connected to the device authentication server 3a, and outputs the device information to the device authentication server 3a.
Further, when the device authentication is successful, the switch 2 notifies the client 1 of the device authentication success, and connects the client 1 to the user authentication server 3b to perform user authentication. Even if the device authentication fails, the switch 2 notifies the client 1 of the device authentication failure.
Further, when the user authentication is successful in the user authentication server 3b, the switch 2 notifies the client 1 of the success of the user authentication and connects the client 1 to the target VLAN. Even if the user authentication fails, the switch 2 notifies the client 1 of the user authentication failure.
[0018]
In the device authentication server 3a, the issuer data is written in advance by the device issuer server 6, and in the subsequent initial authentication, the serial number of the security token, the user ID of the user managed by the user authentication server 3b, the password, and the like are issued. It is acquired from the server 6 and managed.
The device authentication server 3a manages device information connectable to one or a plurality of VLANs, and determines whether the device information input from the switch 2 corresponds to the managed device information. If applicable, it recognizes that device authentication was successful.
Then, the device authentication server 3a outputs the authentication result to the switch 2 and the client 1.
[0019]
The user authentication server 3b manages user information (user ID, password, etc.) connectable to the VLAN, determines whether the user information input from the switch 2 corresponds to the managed user information, If applicable, it recognizes that user authentication was successful.
Then, the user authentication server 3b outputs the authentication result to the switch 2 and the client 1.
Note that user information such as a user ID and password in the user authentication server 3b is output to the device issuer server 6 by initial authentication, and the user information is stored in the device authentication server 3a.
[0020]
The business database 4 is a part of the business VLAN.
The accounting server 5 is part of an accounting VLAN.
The device issuer server 6 stores and manages issuer data, and writes the issuer data to the security token 10 during initial authentication.
Further, the device issuer server 6 reads the serial number in the security token 10 and outputs the issuer data and the serial number to the device authentication server 3a.
Further, the device issuer server 6 outputs user information such as a user ID and a password input from the user authentication server 3b to the device authentication server 3a.
The device issuer server 6 checks the validity / invalidity of the security token 10, further manages the validity period of the token, and restricts access to invalid security tokens and security tokens that are not valid.
Note that it is conceivable to incorporate the functions of the device issuer server 6 into the device authentication server 3a and integrate them, and to consolidate the device issuer server 6, the device authentication server 3a, and the user authentication server 3b. .
[0021]
Next, the processing operation of this VLAN will be specifically described.
First, as initial settings, the security token 10 stores user information such as a user ID and a password, device information such as a serial number and issuer data, and the device authentication server 3a stores the user information and the device information. The user authentication server 3b stores user information such as a user ID and a password.
The device authentication server 3a can communicate with the client 1 via the default VLAN.
The client 1 belongs to the default VLAN immediately after startup. The authentication-dedicated application of the client 1 inquires device information to the device authentication server 3a via the default VLAN (device authentication or device authentication). When the issuer data in the device information is used as the reference information for device authentication, the device authentication is sometimes referred to as “issuer authentication”.
The device authentication server 3a inquires the inquiry information in the registration database of the server, and returns an inquiry result as to whether there is a match to the client 1 via the default VLAN (via the switch 2).
[0022]
If the query result is failure in the device authentication not move to the processing of user authentication, to shut down the client 1, the processing such as log-off or local log (logs only the PC rather than a network).
As a result, even if a security token 10 that is not registered in the device authentication server 3a, such as issued by a different organization, is connected, user authentication is not performed.
[0023]
If the query result is successful (= being device authentication), user ID and password for user authentication is read from the security token 10, is output from the client 1 to the user authentication server 3b through the switch 2, processing of user authentication is performed.
[0024]
When the user authentication is completed, the switch 2 shifts the VLAN to which the client 1 belongs from the default VLAN to a VLAN of a preset (target) group.
As a result, the user can use the network resource provided by the switch 2 only with the security token 10 that has been authenticated.
[0025]
According to this VLAN, when the device authentication is performed by the device authentication server 3a using the serial number stored in the security token 10 and the device information of the issuer data, and the device is authenticated, the user stored in the security token 10 Since the user authentication is performed by the user authentication server 3b using the information and the VLAN to which the client 1 is connectable is specified, there is an effect that the security can be further improved.
[0026]
Further, according to the present VLAN, the issuer data is allocated from the device issuer server 6 to the security token 10 and the device authentication server 3a, so that the issuer data must match during device authentication in the device authentication server 3a. If it is not authenticated, security can be further improved.
[0027]
In the conventional VLAN, if the user ID and password are used, it is possible to connect to the LAN from a plurality of locations. However, in this VLAN, since device authentication is performed, one user can log on only from one location. Security can be strengthened.
[0028]
Moreover, in the conventional VLAN, in order to prevent the LAN cable from being inserted into the switching hub without permission, the switching hub is put in a metal box with a key. Even if the security token 10 is inserted, the device cannot be connected to the VLAN unless the device authentication is performed using the security token 10, so that a metal box with a key becomes unnecessary.
[0029]
In particular, when the security token 10 is a fingerprint collation device, the personal fingerprint registered in the fingerprint collation device is compared with the fingerprint read at logon, and the device information and the user information are obtained only when the fingerprint is authenticated. Since it can be output, there is an effect that the security can be further strengthened.
[0030]
【The invention's effect】
According to the present invention, when a client logs on, the switch connects the client and the server, and outputs to the server client reads the device information of the number and issuer data token from the security token, server, client Authenticate the device by inquiring the token number input from the server and the token number stored in the server, and inquire the issuer data input from the client and the issuer data stored in the server authenticate, it is determined whether the LAN connectable, LAN connection if possible, reads the user information including the user ID stored in the security token to connect the client, and the user information which the server stores the queries performs user authentication, it is determined whether the LAN connectable Switch, device authentication, which connects the client to the connectable LAN in the issuer authentication and the user authentication, there is an effect that it is possible to further improve the security.
According to the present invention, when the client logs on, the switch connects the client and the device authentication server as a default, and the client reads the token number and the device information of the issuer data from the security token and outputs them to the device authentication server. The device authentication server inquires the token number input from the client and the token number stored in the server to perform device authentication, and the issuer data input from the client and the issuer stored in the server Inquire data and perform issuer authentication to determine whether or not LAN connection is possible. If LAN connection is possible in device authentication and issuer authentication, the user authentication server uses a security token connected from the client. Read user information including stored user ID Out performs user authentication by querying the user information which the server stores, it is determined whether the LAN connectable, the client switches, the device authentication, the issuer authentication and the user authentication connectable LAN Since this is a user-authentication VLAN that connects the two, there is an effect that the security can be further improved.
[0031]
Further, according to the VLAN of the present invention, since device authentication is performed, one user can log on only from one place, and there is an effect that security can be strengthened.
In addition, according to the VLAN of the present invention, if the user does not have a security token, even if he / she knows the user ID and password, he / she cannot participate in the LAN.
Also, according to the VLAN of the present invention, if device authentication is not performed using a security token, even if a LAN cable is connected to the switching hub, connection to the VLAN is not permitted. There is no need for protection using a box with a key, and the cost of installing the box can be reduced.
[0032]
According to the present invention, when the security token is a fingerprint verification device, only when fingerprint authentication is performed by comparing the fingerprint data registered in advance in the fingerprint verification device with the fingerprint data read at logon. Since the user authentication type VLAN that outputs device information and user information is used, there is an effect that security can be further strengthened.
[Brief description of the drawings]
FIG. 1 is a schematic configuration diagram of a user authentication type VLAN according to an embodiment of the present invention.
FIG. 2 is a diagram showing a schematic configuration of a conventional user authentication type VLAN.
[Explanation of symbols]
DESCRIPTION OF SYMBOLS 1 ... Client, 2 ... Switch, 3 ... User authentication server, 3a ... Device authentication server, 3b ... User authentication server, 4 ... Business database, 5 ... Accounting server, 6 ... Device issuer server, 10 ... Security token

Claims

A LAN configured as a plurality of virtual groups;
A server that authenticates the LAN connection based on device information and user information from the client;
A switch for connecting the client to a LAN of a corresponding group based on the authentication result;
A user-authenticated VLAN comprising a security token connected to the client and storing device information including a token number ;
Output the issuer data to the security token, output the issuer data to the server, provide a device issuer server that reads the token number from the security token and outputs to the server,
The security token stores user information including a user ID, the token number, and device information of the issuer data,
The server stores user information including device data and user ID of issuer data and token number for the security token,
When the client logs on, the switch connects the client and the server, the client reads the token number and the device information of the issuer data from the security token, and outputs to the server,
The server performs device authentication by referring to the token number input from the client and the token number stored in the server, and the issuer data input from the client and the issuer data stored in the server And issuer authentication to determine whether or not the LAN connection is possible. If the LAN connection is possible, read the user information including the user ID stored in the security token to be connected from the client, performs user authentication by querying the user information which the server stores, it is determined whether the LAN connectable,
The user authentication type VLAN, wherein the switch connects the client to a LAN connectable by the device authentication, the issuer authentication, and the user authentication.

A LAN configured as a plurality of virtual groups;
A user authentication server that authenticates the LAN connection based on user information from the client;
A switch for connecting the client to the LAN of the corresponding group based on the result of the user authentication;
A security token that connects to the client and stores device information including a token number ;
A user authentication type VLAN comprising a device authentication server that authenticates a LAN connection based on the device information,
Output the issuer data to the security token, output the issuer data to the device authentication server, provide a device issuer server that reads the token number from the security token and outputs to the device authentication server,
The security token stores user information including a user ID, the token number, and device information of the issuer data,
The user authentication server stores user information including a user ID for the security token;
The device authentication server stores device information of issuer data and a token number for the security token,
When the client logs on, the switch connects the client and the device authentication server as a default, and the client reads the token number and the device information of the issuer data from the security token, and the device authentication Output to the server,
The device authentication server inquires the token number input from the client and the token number stored in the server to perform device authentication, and the issuer data input from the client and the issue stored in the server Inquires the original data and performs issuer authentication, determines whether or not LAN connection is possible,
LAN connections possible in the device authentication and issuer authenticator, the user authentication server reads the user information including the user ID stored in the security token to connect from the client, and user information which the server stores Inquire user authentication, determine whether LAN connection is possible,
The user authentication type VLAN, wherein the switch connects the client to a LAN connectable by the device authentication, the issuer authentication, and the user authentication.

The security token according to claim 1 or claim 2 user authentication type VLAN according to characterized in that the IC card or fingerprint identification device.

When the security token is a fingerprint collation device, the device information and the user only when fingerprint authentication is performed by comparing the personal fingerprint data registered in the fingerprint collation device with the fingerprint data read at logon. 4. The user authentication type VLAN according to claim 3, wherein information is output.