CN106850527A - 代替登录系统和方法以及批准登录系统和方法 - Google Patents

Abstract

本发明提供一种代替登录系统和方法以及批准登录系统和方法，即使在无法进行智能卡登录的情况下，也能够在确保较高安全性的基础上登录到客户终端。客户终端的利用者起动应用，向登录控制服务器请求用于利用ID和密码以及一次性密码登录到客户终端的一次性密码，使用从登录控制服务器得到的一次性密码登录到客户终端。并且，客户终端的利用者向批准者申请在得到批准者的批准后利用ID和密码登录到客户终端，批准者从自身的客户终端访问登录控制服务器并批准登录利用者的客户终端，利用者利用ID和密码登录到自身的客户终端。

Description

代替登录系统和方法以及批准登录系统和方法

技术领域

本发明涉及用于在无法进行智能卡登录(smart card logon)的情况下登录(logon)到客户(client)终端的代替登录系统(logon system)和代替登录方法以及批准登录系统和批准登录方法。

背景技术

以往，公知有如下的智能卡登录：在登录到客户终端时，利用者在读卡器(cardreader)中插入智能卡(smart card)，在登录画面中输入个人识别编号(PIN：personalidentification number)，在输入了正确的PIN的情况下能够进行登录(例如参照非专利文献1)。

在智能卡登录中，在认证利用者时，使用智能卡中存储的电子证书。根据智能卡登录，通过认证利用者具有智能卡以及利用者输入了正确的PIN双方，与基于ID和密码(password)的认证相比，安全性(security)得到强化。

这里，在智能卡登录中智能卡丢失或遗忘的情况下或者智能卡发生故障的情况下，无法登录到客户终端。另外，作为在无法登录到客户终端的情况下帮助(support)登录到客户终端的技术，公知有以下技术。

首先，公知有如下的客户终端登录装置：根据利用者的便携终端的规定操作向管理服务器(server)发送包含客户终端的ID的密码请求邮件(mail)，管理服务器在接收到该密码请求邮件后，生成密码并将该密码与ID对应起来存储在存储部中，并且，根据与ID对应地预先存储在存储部中的邮件地址(mail address)向便携终端发送包含已生成的密码的密码信息邮件，使利用者取得密码，另一方面，根据利用者的客户终端的登录时输入的取得密码与存储部的密码的一致，使得利用者能够利用客户终端(例如参照专利文献1)。

并且，公知有如下的活体认证系统(system)：在活体认证系统中，客户PC分别具有取得操作者的活体信息的活体信息取得器件(device)、存储有分别分配给客户PC的担当者的活体信息和担当者的上司信息的HDD、以及根据由活体信息取得器件取得的活体信息和HDD中存储的担当者的活体信息进行认证处理的活体认证软件(soft)，活体认证软件在认证失败时，根据HDD中存储的上司信息确定担当者上司的客户PC，向上司的客户PC发送由活体信息取得器件取得的活体信息，委托进行认证(例如参照专利文献2)。

专利文献1：日本特开2002-251376号公报

专利文献2：日本特开2008-15866号公报

非专利文献1：葛生和人、“关于与PKI协作的智能卡登录——针对共享终端中的个人认证系统的应用”、名古屋大学信息协作基础中心新闻、2007年2月、Vol.6、No.1、p.27-40(葛生和人、「PKIと連携したスマートカードログオンについて－共有端末における個人認証システムへの適用－」、名古屋大学情報連携基盤センターニュース、2007年2月、Vol.6、No.1、p.27－40)

但是，在现有技术中存在以下这种课题。

即，专利文献1、2所述的技术用于帮助登录到客户终端，但是，在智能卡登录中智能卡丢失或遗忘的情况下或者智能卡发生故障的情况下并不适用。

并且，专利文献1、2所述的技术不进行与上述利用者具有智能卡相当的认证，因此，与智能卡登录相比，存在安全性降低这样的问题。

发明内容

本发明正是为了解决上述这种课题而完成的，其目的在于，得到一种即使在无法进行智能卡登录的情况下也能够在确保较高安全性的基础上登录到客户终端的系统和方法。

本发明的代替登录系统由经由网络(network)相互连接的便携终端和登录控制服务器、以及能够经由网络而与登录控制服务器连接的客户终端构成，其中，便携终端和客户终端由同一利用者持有，便携终端具有应用部，该应用部包含用于代替智能卡登录而进行利用ID和密码以及一次性密码(one-time password)登录到客户终端的代替登录的应用(application)，登录控制服务器具有服务器侧运算部，在由应用部请求了代替登录的情况下，该服务器侧运算部使用便携终端的利用者信息和内置时钟的日期时间运算一次性密码并将其发送给便携终端，客户终端具有：客户侧运算部，在由利用者输入了ID和密码的情况下，该客户侧运算部使用客户终端的利用者信息和内置时钟的日期时间运算一次性密码；以及客户侧登录控制部，其请求利用者输入发送到便携终端的一次性密码，并且对由服务器侧运算部运算出的一次性密码和由客户侧运算部运算出的一次性密码进行比较，判定是否能够进行登录。

并且，本发明的批准登录系统由经由网络相互连接的批准者客户终端、登录控制服务器和利用者客户终端构成，其中，批准者客户终端具有批准者客户侧登录控制部，在从利用者客户终端的利用者申请了代替智能卡登录而进行利用ID和密码登录到利用者客户终端的批准登录的情况下，该批准者客户侧登录控制部对登录控制服务器批准利用者客户终端的登录，登录控制服务器具有服务器侧登录控制部，在由批准者客户侧登录控制部请求了批准登录的情况下，该服务器侧登录控制部将利用者客户终端的状态(status)变更成已被批准者批准的状态，利用者客户终端具有利用者客户侧登录控制部，在由利用者输入了ID和密码的情况下，该利用者客户侧登录控制部向服务器侧登录控制部确认利用者客户终端的状态，如果利用者客户终端已被批准者批准，则对ID和密码进行认证而判定是否能够进行登录。

根据本发明的代替登录系统，客户终端的利用者从便携终端起动应用，向登录控制服务器请求用于进行利用ID和密码以及一次性密码登录到客户终端的代替登录的一次性密码，使用从登录控制服务器得到的一次性密码登录到客户终端。

并且，根据本发明的批准登录系统，客户终端的利用者向批准者(例如上司)申请进行在得到批准者的批准后利用ID和密码登录到客户终端的批准登录，批准者从自身的客户终端访问(access)登录控制服务器并批准登录利用者的客户终端，利用者利用ID和密码登录到自身的客户终端。

因此，即使在无法进行智能卡登录的情况下，也能够在确保较高安全性的基础上登录到客户终端。

附图说明

图1是示出本发明的实施方式1的代替登录系统的块(block)结构图。

图2是示出本发明的实施方式1的代替登录系统的处理的时序(sequence)图。

图3是示出本发明的实施方式2的批准登录系统的块结构图。

图4是示出本发明的实施方式2的批准登录系统的处理的时序图。

标号说明

10：便携终端；11：显示部；12：操作部；13：应用部；20：登录控制服务器；21：服务器侧运算部；22：服务器侧登录控制部；23：利用者信息数据库；30：客户终端；31：显示部；32：操作部；33：客户侧登录控制部；34：客户侧运算部；50：批准者客户终端；51：显示部；52：操作部；53：批准者客户侧登录控制部；60：登录控制服务器；61：服务器侧登录控制部；62：利用者信息数据库；70：利用者客户终端；71：显示部；72：操作部；73：利用者客户侧登录控制部。

具体实施方式

下面，使用附图对本发明的代替登录系统和批准登录系统的优选实施方式进行说明。另外，该代替登录系统和批准登录系统以对Windows(注册商标)的登录进程(logonprocess)追加所需要的功能，使得不进行智能卡登录也能够进行登录的形式进行应用。并且，只要正常实施了智能卡登录，则同日也能够应用代替登录或批准登录。

实施方式1

首先，对如下的代替登录系统进行说明：客户终端的利用者从便携终端起动应用，向登录控制服务器请求用于进行利用ID和密码以及指定矩阵(matrix)表和表中的显示部位而生成的一次性密码登录到客户终端的代替登录的一次性密码，使用从登录控制服务器得到的一次性密码登录到客户终端。

图1是示出本发明的实施方式1的代替登录系统的块结构图。在图1中，该代替登录系统由便携终端10、登录控制服务器20和客户终端30构成。另外，通常时，通过智能卡登录登录到客户终端30。

这里，便携终端10和登录控制服务器20在应用部起动后，经由网络建立通信(即便携终端10在线(online))，但是，登录控制服务器20和客户终端30也可以不相互连接(即客户终端30也可以离线(offline))。并且，利用者持有便携终端10和客户终端30。

便携终端10具有显示部11、操作部12和应用部13。这里，便携终端10例如是便携电话。显示部11是显示器(display)，操作部12是硬件键(hardware key)或软件键(softwarekey)。在应用部13中，从与代替登录系统协作的下载(download)用服务器下载了用于进行代替登录的应用。

另外，在下载应用时，对与代替登录系统协作的下载用服务器通知特定的认证编号(例如利用者的职员编号等)，并且设定PIN。登录控制服务器20按照预先确定的协议取得协作的下载用服务器对便携终端10赋予的利用者信息，在从便携终端10进行了访问的情况下，能够识别是来自哪个利用者的便携终端的访问。

登录控制服务器20具有服务器侧运算部21、服务器侧登录控制部22和利用者信息数据库(database)23。服务器侧运算部21在从便携终端10的应用部13请求了代替登录的情况下，使用表示利用者信息数据库23中存储的便携终端10的利用者的属人信息或利用者固有信息的认证编号以及未图示的内置时钟的日期时间，运算一次性密码。

在客户终端30在线的情况下，即登录控制服务器20与客户终端30相互连接时，服务器侧登录控制部22对针对客户终端30的登录进行控制。具体而言，服务器侧登录控制部22在由应用部13请求了代替登录的情况下，限制针对客户终端30的智能卡登录，但是，在由客户终端30请求取消代替登录的情况下，取消客户终端30的代替登录，使得能够进行智能卡登录。

并且，在客户终端30在线的情况下进行了代替登录后，服务器侧登录控制部22禁止针对利用者具有的其它客户终端的登录，并且禁止远程桌面(remote desktop)。

利用者信息数据库23存储表示便携终端10的利用者的认证编号和表示客户终端30的利用者的ID。另外，这里，设认证编号和ID是相通的。即，在从客户终端30进行了访问的情况下，登录控制服务器20能够识别是来自哪个利用者的客户终端的访问。另外，在利用者信息数据库23中，只要能够根据认证编号和ID确定一名利用者即可，它们也可以是其它的值。

客户终端30具有显示部31、操作部32、客户侧登录控制部33和客户侧运算部34。这里，客户终端30例如是PC。并且，显示部31是显示器，操作部32是硬件键盘(hardwarekeyboard)或软件键盘(software keyboard)。

客户侧登录控制部33对针对客户终端30的登录进行控制。具体而言，在客户终端30中插入了智能卡的情况下，客户侧登录控制部33通过Windows的功能来请求输入PIN，在认证了PIN后，将代替登录的应用状态与登录控制服务器20进行核对，判定是否能够进行登录。

并且，在对客户终端30输入了ID和密码的情况下，客户侧登录控制部33判断为代替登录，进而请求输入一次性密码，并且，对ID和密码以及一次性密码进行认证而判定是否能够进行登录。

并且，客户侧登录控制部33在已通过代替登录登录到客户终端30的情况下，使得之后不能进行智能卡登录。此时，在客户终端30在线的情况下，服务器侧登录控制部22也可以针对通过代替登录进行了登录的客户终端30设为不能进行智能卡登录。

并且，在客户终端30在线的情况下，客户侧登录控制部33根据利用者的请求，请求服务器侧登录控制部22取消代替登录。另外，利用者的上司从自身的客户终端请求服务器侧登录控制部22取消代替登录。

在对客户终端30输入了ID和密码的情况下，客户侧运算部34使用已输入的ID和未图示的内置时钟的日期时间运算一次性密码。

这里，关于一次性密码的运算，服务器侧运算部21和客户侧运算部34分别具有相通的算法(algorithm)。即，在服务器侧运算部21和客户侧运算部34中，使用上述相通的认证编号和ID以及登录控制服务器20和客户终端30各自的内置时钟的日期时间，运算相同的一次性密码。

因此，客户侧登录控制部33将输入到客户终端30的一次性密码与由客户侧运算部34运算出的一次性密码进行比较，在两者相互一致的情况下，可判定为能够进行登录。另外，一次性密码以任意设定的时间单位(例如每6小时)进行更新，在更新后再次进行登录的情况下，重新取得一次性密码。

图2是示出本发明的实施方式1的代替登录系统的处理的时序图。在图2中，首先，利用者起动便携终端10的应用部13，输入PIN(步骤(step)S1)。

接着，利用者从便携终端10的应用部13向登录控制服务器20请求代替登录(步骤S2)。

接着，服务器侧运算部21使用表示便携终端10的利用者的认证编号和内置时钟的日期时间运算一次性密码(步骤S3)。

接着，服务器侧运算部21向便携终端10发送运算出的一次性密码(步骤S4)。

接着，利用者起动客户终端30(步骤S5)，输入ID和密码(步骤S6)。

接着，客户侧运算部34使用已输入的ID和内置时钟的日期时间运算一次性密码(步骤S7)。

接着，客户侧登录控制部33请求利用者输入一次性密码(步骤S8)，利用者输入一次性密码(步骤S9)，由此，对ID和密码以及一次性密码进行认证而进行登录(步骤S10)。

另外，在取消代替登录的情况下，在客户终端30在线后，根据利用者的请求，客户侧登录控制部33请求服务器侧登录控制部22取消代替登录(步骤S11)，服务器侧登录控制部22取消客户终端30的代替登录(步骤S12)。

这样，在无法进行智能卡登录的情况下，利用者起动便携终端10的应用部13，输入PIN并且对客户终端30输入发送到便携终端10的一次性密码，由此，能够在确保安全性的基础上登录到PC。

如上所述，根据实施方式1，客户终端的利用者从便携终端起动应用，向登录控制服务器请求用于进行利用ID和密码以及一次性密码登录到客户终端的代替登录的一次性密码，使用从登录控制服务器得到的一次性密码登录到客户终端。

因此，即使在无法进行智能卡登录的情况下，也能够在确保较高安全性的基础上登录到客户终端。

并且，在找到智能卡的情况下，上司请求取消代替登录，由此，使得能够进行智能卡登录，能够提高利用者的便利性。

实施方式2

接着，对如下的批准登录系统进行说明：客户终端的利用者向批准者(例如上司)申请进行在得到批准者的批准后利用ID和密码登录到客户终端的批准登录，批准者从自身的客户终端访问登录控制服务器并批准登录利用者的客户终端，利用者利用ID和密码登录到自身的客户终端。

图3是示出本发明的实施方式2的批准登录系统的块结构图。在图3中，该批准登录系统由批准者客户终端50、登录控制服务器60和利用者客户终端70构成。另外，通常时，分别通过智能卡登录登录到客户终端50、70。

这里，批准者客户终端50、登录控制服务器60、利用者客户终端70经由网络相互连接(即，批准者客户终端50和利用者客户终端70在线)。

批准者客户终端50具有显示部51、操作部52、批准者客户侧登录控制部53。这里，批准者客户终端50例如是PC。并且，显示部51是显示器，操作部52是硬件键盘或软件键盘。

批准者客户侧登录控制部53对针对利用者客户终端70的登录进行控制。具体而言，批准者客户侧登录控制部53在从利用者申请了批准登录的情况下，通过批准者的操作，对登录控制服务器60批准利用者客户终端70的登录。

这里，批准者在批准登录利用者客户终端70时，需要通过智能卡登录登录到批准者客户终端50。并且，批准者在自身申请批准登录的情况下，无法进行自我批准，需要向其它批准者进行申请。并且，批准者一日内能够批准的人数存在限制(例如3人)。

登录控制服务器60具有服务器侧登录控制部61和利用者信息数据库62。服务器侧登录控制部61对针对利用者客户终端70的登录进行控制。具体而言，在对利用者客户终端70输入了ID和密码的情况下，判断为批准登录，判定该利用者客户终端70是否已被批准者批准。

另外，批准者客户侧登录控制部53在对登录控制服务器60批准利用者客户终端70的登录后，根据利用者的请求，请求服务器侧登录控制部61取消批准登录。并且，服务器侧登录控制部61在由批准者客户侧登录控制部53请求取消批准登录的情况下，取消利用者客户终端70的批准登录。

并且，服务器侧登录控制部61在进行了批准登录的情况下，禁止针对利用者具有的其它客户终端的登录，并且禁止远程桌面。

利用者信息数据库62存储有表示批准者客户终端50和利用者客户终端70的利用者的ID。即，登录控制服务器60在从批准者客户终端50和利用者客户终端70进行了访问的情况下，能够识别是来自哪个利用者的客户终端的访问。

利用者客户终端70具有显示部71、操作部72、利用者客户侧登录控制部73。这里，利用者客户终端70例如是PC。并且，显示部71是显示器，操作部72是硬件键盘或软件键盘。

利用者客户侧登录控制部73对针对利用者客户终端70的登录进行控制。具体而言，在利用者客户终端70中插入了智能卡的情况下，利用者客户侧登录控制部73通过Windows的功能请求输入PIN，在认证了PIN后，将批准登录的应用状态与登录控制服务器20进行核对，判定是否能够进行登录。

并且，在对利用者客户终端70输入了ID和密码的情况下，利用者客户侧登录控制部73判断为批准登录，向服务器侧登录控制部61确认该利用者客户终端70是否已被批准者批准，如果已被批准，则对ID和密码进行认证而判定是否能够进行登录。

并且，利用者客户侧登录控制部73在通过批准登录登录到利用者客户终端70的情况下，使得之后不能进行智能卡登录。另外，利用者客户侧登录控制部73在取消了利用者客户终端70的批准登录的情况下，使得能够进行智能卡登录。

图4是示出本发明的实施方式2的批准登录系统的处理的时序图。在图4中，首先，根据来自利用者的批准登录的申请，批准者向登录控制服务器60请求批准登录(步骤S21)。

接着，服务器侧登录控制部61将利用者客户终端70的状态变更成已被批准者批准的状态(步骤S22)。

接着，利用者起动利用者客户终端70(步骤S23)，输入ID和密码(步骤S24)。

接着，利用者客户侧登录控制部73向服务器侧登录控制部61确认利用者客户终端70的状态(步骤S25)。

接着，服务器侧登录控制部61向利用者客户侧登录控制部73回答利用者客户终端70已被批准者批准(步骤S26)。

接着，利用者客户侧登录控制部73对ID和密码进行认证而进行登录(步骤S27)。

另外，在取消批准登录的情况下，根据来自利用者的批准登录的请求，批准者请求登录控制服务器60取消批准登录(步骤S28)，服务器侧登录控制部61取消利用者客户终端70的批准登录(步骤S29)。

这样，在无法进行智能卡登录的情况下，利用者向批准者申请进行批准登录，批准者从批准者客户终端50访问登录控制服务器60并批准登录利用者客户终端70，由此，能够在确保安全性的基础上登录到PC。

如上所述，根据实施方式2，客户终端的利用者向批准者(例如上司)申请进行在得到批准者的批准后利用ID和密码登录到客户终端的批准登录，批准者从自身的客户终端访问登录控制服务器并批准登录利用者的客户终端，利用者利用ID和密码登录到自身的客户终端。

因此，即使在无法进行智能卡登录的情况下，也能够在确保较高安全性的基础上登录到客户终端。

并且，在找到智能卡的情况下，批准者(例如上司)请求取消代替登录，由此，使得能够进行智能卡登录，能够提高利用者的便利性。

Claims (8)

1.一种代替登录系统，其由经由网络相互连接的便携终端和登录控制服务器、以及能够经由网络而与所述登录控制服务器连接的客户终端构成，其中，

所述便携终端和所述客户终端由同一利用者持有，

所述便携终端具有应用部，该应用部包含用于代替智能卡登录而进行利用ID和密码以及一次性密码登录到所述客户终端的代替登录的应用，

所述登录控制服务器具有服务器侧运算部，在由所述应用部请求了代替登录的情况下，该服务器侧运算部使用所述便携终端的利用者信息和内置时钟的日期时间运算一次性密码并将其发送给所述便携终端，

所述客户终端具有：

客户侧运算部，在由所述利用者输入了ID和密码的情况下，该客户侧运算部使用所述客户终端的利用者信息和内置时钟的日期时间运算一次性密码；以及

客户侧登录控制部，其请求所述利用者输入发送到所述便携终端的一次性密码，并且对由所述服务器侧运算部运算出的一次性密码和由所述客户侧运算部运算出的一次性密码进行比较，判定是否能够进行登录。

2.根据权利要求1所述的代替登录系统，其中，

所述客户侧登录控制部在通过代替登录登录到所述客户终端的情况下，使得之后不能进行智能卡登录。

3.根据权利要求2所述的代替登录系统，其中，

所述登录控制服务器具有服务器侧登录控制部，在连接了所述客户终端的情况下，该服务器侧登录控制部根据来自所述客户终端的请求而取消代替登录，使得能够进行智能卡登录。

4.一种批准登录系统，其由经由网络相互连接的批准者客户终端、登录控制服务器和利用者客户终端构成，其中，

所述批准者客户终端具有批准者客户侧登录控制部，在从所述利用者客户终端的利用者申请了代替智能卡登录而进行利用ID和密码登录到所述利用者客户终端的批准登录的情况下，该批准者客户侧登录控制部对所述登录控制服务器批准所述利用者客户终端的登录，

所述登录控制服务器具有服务器侧登录控制部，在由所述批准者客户侧登录控制部请求了批准登录的情况下，该服务器侧登录控制部将所述利用者客户终端的状态变更成已被批准者批准的状态，

所述利用者客户终端具有利用者客户侧登录控制部，在由所述利用者输入了ID和密码的情况下，该利用者客户侧登录控制部向所述服务器侧登录控制部确认所述利用者客户终端的状态，如果所述利用者客户终端已被批准者批准，则对ID和密码进行认证而判定是否能够进行登录。

5.根据权利要求4所述的批准登录系统，其中，

所述利用者客户侧登录控制部在通过批准登录登录到所述利用者客户终端的情况下，使得之后不能进行智能卡登录。

6.根据权利要求5所述的批准登录系统，其中，

所述服务器侧登录控制部根据所述批准者客户终端的请求而取消批准登录，使得能够进行智能卡登录。

7.一种由代替登录系统实现的代替登录方法，该代替登录系统由经由网络相互连接的便携终端和登录控制服务器、以及能够经由网络而与所述登录控制服务器连接的客户终端构成，其中，

所述便携终端和所述客户终端由同一利用者持有，

所述代替登录方法具有以下步骤：

在由所述便携终端请求了代替智能卡登录而进行利用ID和密码以及一次性密码登录到所述客户终端的代替登录的情况下，使用所述便携终端的利用者信息和内置时钟的日期时间运算一次性密码并将其发送给所述便携终端；

在由所述利用者对所述客户终端输入了ID和密码的情况下，使用所述客户终端的利用者信息和内置时钟的日期时间运算一次性密码；

请求所述利用者输入发送到所述便携终端的一次性密码；以及

对分别运算出的一次性密码进行比较，判定是否能够进行登录。

8.一种由批准登录系统实现的批准登录方法，该批准登录系统由经由网络相互连接的批准者客户终端、登录控制服务器和利用者客户终端构成，其中，

所述批准登录方法具有以下步骤：

在从所述利用者客户终端的利用者申请了代替智能卡登录而进行利用ID和密码登录到所述利用者客户终端的批准登录的情况下，对所述登录控制服务器批准所述利用者客户终端的登录；

在请求了批准登录的情况下，将所述利用者客户终端的状态变更成已被批准者批准的状态；以及

在由所述利用者对所述利用者客户终端输入了ID和密码的情况下，确认所述利用者客户终端的状态，如果所述利用者客户终端已被批准者批准，则对ID和密码进行认证而判定是否能够进行登录。