JP2000036809A - ユーザの簡易認証方法およびそのプログラムを格納した記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】認証済みのユーザに対しては次回は簡易認証を
行い、セキュリティレベルを落とさずに短時間で認証を
行い、認証サーバのオーバーヘッドを低減する。 【解決手段】クライアント111から認証サーバ112に対し
て、サーバ113とのコネクションの接続要求を行うと、
認証サーバ112はユーザを識別情報と認証情報により認
証し、同時にユーザの送信元先のアドレス、ポート番号
と認証時に生成されるセション鍵から構成されるユーザ
情報131,132を記憶し、認証時にユーザが申請した使用
コネクション数あるいはコネクション存続時間のコネク
ション情報を記憶し、再度ユーザを認証する必要がある
時には、前記コネクション情報あるいはユーザ情報をも
とにユーザを簡易認証する。証明書121による認証は、
最初の接続要求時のみ行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークシス
テムにおけるユーザ認証処理の、特にモバイル環境にお
けるオーバーヘッドを解決するためのユーザの簡易認証
方法に関する。

【０００２】

【従来の技術】従来、暗号化通信を行うためには、特開
平9-148993号公報に記載された「通信システム」に示さ
れるように、クライアントからサーバに対してコネクシ
ョン要求があると、クライアントは認証サーバに対して
使用する暗号アルゴリズムの種別を決定するためにネゴ
シエーションを行っていた。ユーザ認証は、ネゴシエー
ション時に行われている。そのため１つのクライアント
から同じサーバに対して複数のコネクションを張るよう
な場合でも、各コネクションごとに認証処理が必要であ
った。このように、インターネットの普及に伴い、不特
定多数の人が必要に応じてネットワークシステムにアク
セスできるようになってきた。そのため、クライアント
がサーバに対してコネクション要求してきた場合には、
クライアントのユーザを認証することが重要である。し
かしながら、実際の運用を考えると、ネットワークシス
テムが大規模化するに伴って、通信のコネクションが張
られる度毎に行わなければならない認証処理のオーバー
ヘッドが問題になる。例えば、Ｗebブラウザなどで1つ
のアプリケーションサーバに複数のコネクションを張る
ような場合、最初のコネクションでユーザ認証を行い、
認証されればあとのコネクションでは簡易認証だけを行
うユーザ要求ができれば極めて便利である。特に、モバ
イル環境に適用可能な認証方法の提案が課題となってい
る。ある程度のセキュリティを確保しながら認証処理の
オーバヘットを削減する技術の検討が必要になった。

【０００３】

【発明が解決しようとする課題】前述のように、ネット
ワークシステムが大規模化すると、通信のコネクション
が張られる度毎にユーザの認証を行う処理がサーバ側の
オーバーヘッドとなっていた。１つのアプリケーション
サーバに複数のコネクションを張るような場合、１回目
のコネクションでユーザ認証を行い、認証されれば２回
目以降のコネクションでは簡易認証だけを行うユーザ要
求ができればオーバーヘッドも低減されると考えられ
る。特に、モバイル環境では、多数のユーザが移動中に
サーバにアクセスするため、その都度、ユーザの認証を
行うのではサーバ側の負荷は過大になる。その結果とし
て、特にモバイル環境に適用可能な認証方法の実現を希
望しており、ある程度のセキュリティを確保しながら認
証処理のオーバヘットを削減する技術の検討が必要にな
った。そこで、本発明の目的は、このような従来の課題
を解決し、ユーザの送信元アドレスとポート番号が一致
し、かつユーザのコネクション接続要求がユーザの申請
に符合した場合には、セキュリティレベルを落すことな
く、簡易な認証を行うことができ、短時間でのデータ通
信を可能にするユーザの簡易認証方法およびそのプログ
ラムを格納した記録媒体を提供することにある。

【０００４】

【課題を解決するための手段】上記目的を達成するた
め、本発明のユーザの簡易認証方法では、クライアン
トがサーバにコネクション接続要求する時に、ユーザを
識別情報と認証情報により認証するステップと、ユーザ
の送信元のアドレス、ポート番号と認証時に生成される
セション鍵、および前記認証時にユーザが申請した使用
コネクション数あるいはコネクション存続時間から構成
されるユーザ情報を記憶するステップと、再度ユーザを
認証する必要がある時には前記コネクション情報あるい
はユーザ情報をもとにユーザを簡易認証するステップと
からなることを特徴とする（図３の通常認証の後、図４
の簡易認証の動作参照）。

【０００５】特に、ユーザの送信元アドレスとポート
番号が前回の認証時と一致し、かつユーザのコネクショ
ン接続要求がユーザの申請に符合した場合について、２
回目以降の認証処理を簡易化する。具体的には、記憶さ
れたユーザ情報と今回のユーザの送信元アドレスとポー
ト番号が一致するか否かを確認するステップと、ユーザ
が乱数を生成しセション鍵により暗号するステップと、
前記乱数及び前記暗号化された乱数を認証サーバに送信
するステップと、前記乱数と前記暗号化された乱数とか
ら次のセション鍵を生成するステップと、前記セション
鍵を記憶するステップとからなることを特徴としている
（図７の確認動作と図４のユーザ側動作参照）。また、
ユーザによるコネクション接続要求が前記記憶された
ユーザ情報に符合するかどうか確認するステップと、認
証サーバがクライアントにより発生させた乱数と、前記
乱数をセション鍵により暗号化されたものを受信するス
テップと、前記乱数と前記暗号化された乱数をセション
鍵により復号するステップと、前記復号化された乱数と
前記受信した乱数を比較するステップと、前記暗号化さ
れた乱数とから次のセション鍵を生成するステップと、
前記セション鍵を記憶するステップとからなることを特
徴としている（図４のサーバ側動作参照）。さらに、本
発明によるプログラム格納の記録媒体は、上記〜
に記載の各動作ステップ群をプログラムに変換し、変換
されたプログラムを記録媒体に格納することを特徴とし
ている。

【０００６】

【発明の実施の形態】以下、本発明の実施例を、図面に
より詳細に説明する。図１は、本発明が適用されるネッ
トワークシステムの構成図である。図１において、クラ
イアント111とサーバ113は、それぞれ独立したネットワ
ーク101及び102を介して接続されている。クライアント
111及びサーハ113は複数個存在するが、ここでは簡単の
ために1個ずつしか示されていない。また、認証サーバ1
12は、ネットワーク101と102を中継する位置で、前記２
つのネットワーク間のコネクションを管理し、クライア
ント111に対しては事前に証明書121を発行しておく。前
記ネットワーク101及び102間では、秘密鍵暗号方式を使
用してコネクションごとに生成したセション鍵を用いて
暗号通信する。クライアント111には、そのクライアン
ト端末を共用するユーザが複数存在し、それらのユーザ
情報131が内部メモリに格納されている。一方、認証サ
ーバ112の内部メモリにも、各クライアント端末111から
の接続要求時に送られるユーザ情報を読み取ったものが
格納される。前記認証サーバ112から事前に配布されて
いる証明書121の用紙は、規定のフォーマットが記載さ
れており、各ユーザは、クライアント111の内部メモリ
に格納されたユーザ情報を読み込み、それを証明書121
に書き込むことにより、証明書を完成させる。完成され
た証明書121には、前記セション鍵を生成するための共
有鍵情報に加えて、クライアント111のユーザのユーザ
名、当証明書の有効期限、接続サーバを限定するための
アクセス制御情報が格納されている。

【０００７】図２は、図１におけるユーザ情報の構成図
である。本発明では、図１におけるユーザ情報131,132
を用いることにより、クライアント111からサーバ113へ
の再度の接続要求に対して認証処理を簡易化することを
目的としている。前記ユーザ情報131,132は、接続先あ
るいは接続要求元のアドレスとポート番号、セション
鍵、コネクション数による制御か、あるいはコネクショ
ン存続時間による制御かを示すフラグ、使用するコネク
ション数あるいはコネクション存続時間、及び次のユー
ザ情報へのポインタ情報から構成される。複数のユーザ
情報201,202,203は、図２に示すようにリストの先頭か
らリストの最後に至るまでそれぞれポインタにより結合
される。ユーザ情報131,132は、コネクションごとにク
ライアント111側と認証サーバ112側で生成される。例え
ば、１つのコネクションについて、クライアント111側
のユーザ情報131には接続先であるサーバ113のアドレス
とポート番号が格納され、認証サーバ112側のユーザ情
報132には接続要求元であるクライアント111のアドレス
とポート番号が格納されている。また、使用するコネク
ション数による制御とコネクション存続時間による制御
のどちらを採用するかというネゴシェーションについて
は、事前にシステム定義で指定しておく運用もあるが、
本実施例ではクライアント111からサーバ113への接続要
求の最初の通常認証処理時に設定している。クライアン
ト111がユーザ情報131に格納されているアドレスとは異
なるアドレスのサーバへアクセスした場合、また、認証
サーバ112がユーザ情報132に格納されているアドレスと
は異なるアドレスのクライアントからの認証を行った場
合、新たなユーザ情報が生成されるが、これは図２に示
すようにリストとして格納される。

【０００８】このようなネットワーク環境において、ク
ライアント111の端末には、ＣＰＵが配置され、サーバ1
13に接続してデータを送受信するアプリケーションを実
行することにより動作するようになっている。クライア
ント111からサーバ113に接続要求があった場合、クライ
アント111はまず認証サーバ112と接続し、ユーザ認証を
行う。認証が正しく行われた場合、セション鍵が生成さ
れ、以降の通信で使用するために前記セション鍵をクラ
イアント111と認証サーバ112とで共有しておく。その
後、このセション鍵を使用してクライアント111は認証
サーバ112間と暗号通信を行い、認証サーバ112が中継す
ることによりサーバ113に接続する。以上は、従来から
の処理を説明したものである。

【０００９】図３は、本発明で最初に行われる通常の認
証処理のフローチャートであり、図４は、本発明の一実
施例を示す簡易認証処理のフローチャートである。図３
および図４により、クライアント、認証サーバ、サーバ
との間の処理シーケンスを説明する。図３では、ユーザ
からのサーバ接続要求を受けて(ステップ301)、クライ
アント111で認証サーバ112に対して通常認証要求を行う
(ステップ302)。クライアント111が配布されている証明
書を認証サーバ112に送信すると(ステップ303)、認証サ
ーバ112では、証明書を受信した後(ステップ305)、自分
が保持している証明書と比較して認証を行う(ステップ3
06)。一致しなかった場合、認証失敗をクライアント111
に通知し、クライアント111との接続を切断する(ステッ
プ317)。これに対して一致した場合には、クライアント
111に認証成功の応答を送信し(ステップ307)、セション
鍵を生成する(ステップ309)。認証が成功すると(ステッ
プ308)、クライアント111側では、セション鍵を生成し
(ステップ310)、ユーザ情報131としてアドレス、ポート
番号、セション鍵、フラグ、コネクション数あるいはコ
ネクション存続時間等の情報を設定し、認証サーバ112
に送信する(ステップ311)。そして、ユーザ情報131をリ
ストに追加する(ステップ313)。なお、当設定の詳細の
フローチャートについては図５で説明する。また、図３
では、認証処理(ステップ306)を簡単に記載している
が、実際にはさらに乱数のやり取り等の複数のシーケン
スが存在するが、それについては図８で後述する。次
に、認証サーバ112側では、受信した前記情報から図６
に示すユーザ情報132の設定処理(ステップ312,314)を行
い、サーバ113に対してクライアント111からの接続要求
を中継する(ステップ315)。サーバ113との通信が終了し
たならば(ステップ316)、クライアント側と認証サーバ
側とで接続断とする(ステップ318,317)。

【００１０】図８は、図３における通常認証時の認証処
理の詳細なシーケンスチャートである。図３において、
クライアント側は配布された証明書を送信した後(ステ
ップ303)、図８に移り、乱数を発生して、その乱数を認
証サーバ側に送信する(ステップ801)。認証サーバ側で
は、受信した乱数を自身が保存している暗号鍵で暗号化
し、クライアント側に送信する(ステップ802)。クライ
アント側では、暗号化したものを受信し(ステップ80
3)、乱数を復号して(ステップ804)、自身が保存してい
る乱数と復号した乱数とを比較する(ステップ805)。そ
の結果、一致していれば、暗号化したものを再度、認証
サーバ側に送信する(ステップ806)。認証サーバ側で
は、暗号化したものを受信して(ステップ807)、これと
最初にステップ802で暗号化したものとを比較し、一致
するとともに、クライアント側から送られた証明書の内
容を自身が保存している内容と比較して、一致すれば、
認証成功と判断し、認証成功をクライアント側に送信す
る(ステップ307)。クライアント側では、認証成功を受
信すると(ステップ308)、セション鍵を生成して(ステッ
プ310)、以後はセション鍵で暗号化して通信を行う。

【００１１】次に、図４により本発明における簡易認証
処理について説明する。ユーザからのサーバ接続要求を
受けた時(ステップ401)、クライアント111では、接続先
のサーバのアドレスとポート番号を前記格納されたユー
ザ情報131と比較し、一致したならば、この接続先への
認証は終わっているものとして、認証サーバ112に簡易
認証要求を送信する(ステップ402)。一方、認証サーバ1
12は、クライアント111からの簡易認証要求を受信した
時(ステップ403)、ユーザ情報確認処理を行う(ステップ
404)。当該確認処理の詳細については、図７において後
述する。認証サーバ112では、それが通常認証なのか簡
易認証なのかを判別するために、接続元クライアントの
アドレスとポート番号を、自身が保持しているユーザ情
報132と比較し、一致しなかった場合、認証失敗をクラ
イアント111に通知し、クライアント111との接続を切断
する(ステップ418)。

【００１２】一致した場合には、クライアント111は乱
数を発生させ、それをクライアント111が保持している
ユーザ情報131のセション鍵で暗号化し(ステップ405)、
それら乱数と暗号化された乱数とを認証サーバ112に送
信する(ステップ406)。認証サーバ112はそれを受信した
後(ステップ407)、自身が保持しているユーザ情報132の
セション鍵で、暗号化されている乱数を復号し(ステッ
プ408)、同時に送られてくる乱数と比較する(ステップ4
09)。一致しなければ、認証失敗をクライアント111に通
知し、クライアント111との接続を切断する(ステップ41
8)。一致すれば、認証成功をクライアント111に送信す
る(ステップ410)。クライアント111では、認証成功を受
信すると(ステップ411)、乱数と暗号化された乱数から
新たなセション鍵を生成し(ステップ413)、新たなセシ
ョン鍵をユーザ情報131に保存する(ステップ415)。一
方、認証サーバ112も、クライアント111と同様にしてセ
ション鍵を生成し(ステップ412)、ユーザ情報132に保存
する(ステップ414)。次に、認証サーバ112は、クライア
ント111からの接続要求をサーバ113に中継する(ステッ
プ416)。サーバ113との通信が終了した時点で(ステップ
417)、クライアント側と認証サーバ側との接続を断にす
る(ステップ419,418)。

【００１３】以上が、2回目以降に行われる本発明の簡
易認証処理である。図３および図８に示した通常認証処
理と、図４に示した本発明の簡易認証処理とを比較する
と明らかなように、通常認証では証明書を送受信してい
るのに対して、簡易認証では証明書は省略して簡易認証
要求のみで済むので、通信回数が１回少なくなり、ま
た、通常認証ではクライアント側で乱数を発生して乱数
自身の送受信を行い、クライアント側で乱数比較を行う
ので、乱数の通信回数が３回必要であるのに対して、簡
易認証ではクライアント側で乱数を発生するがその暗号
化したものを認証サーバに送信して、認証サーバ側で乱
数の比較を行うので、通信回数は１回で済み、さらに通
常認証ではユーザ情報の有効期限情報を送受信するのに
対し、簡易認証ではユーザ情報確認処理（ステップ404)
の時点でユーザ情報の有効期限情報を送受信しているの
で、余分な通信回数は不要となる。結局、証明書の送信
で1回、乱数比較のための送信で2回、ユーザ情報の有効
期限の送信で1回の合計4回も通信回数が減少する。その
結果、短時間でユーザ認証を行うことができるため、認
証サーバのオーバーヘッドも低減される。また、簡易認
証について生成した乱数の暗号化したものを次のセショ
ン鍵として使用するため、セキュリティレベルを落とす
ことなく短時間での認証を実現することが可能である。

【００１４】図５は、クライアントにおけるユーザ情報
設定処理のフローチャートである。図５により、クライ
アント111側でユーザ情報131を設定する処理の手順につ
いて説明する。クライアント111が通常認証に成功した
場合には、クライアント111から認証サーバ112に対して
使用するコネクション数あるいは接続先へのコネクショ
ン存続時間のどちらかを申請する(ステップ502、504)。
クライアントが使用するコネクション数を申請した場
合、申請した数のコネクションが張られるまでユーザ情
報を有効とする(ステップ503)。また、クライアントが
接続先へのコネクション存続時間を申請した場合、当該
接続先サーバへのコネクションが張られている間、ユー
ザ情報を有効とする(ステップ505)。その後、接続先サ
ーバのアドレス、ポート番号、生成されたセション鍵、
有効期限をユーザ情報としてリストに追加する(ステッ
プ506)。

【００１５】図６は、認証サーバにおけるユーザ情報設
定処理のフローチャートである。図６により、認証サー
バ112でユーザ情報132を設定する処理手順について説明
する。通常認証に成功した場合には、認証サーバ112は
クライアント111からユーザ情報有効期限情報を受信し
(ステップ601)、送られてきた情報を基にユーザ情報132
のコネクション数またはコネクション存続時間のメンバ
を有効にする(ステップ603、604)。それから、接続元ク
ライアントのアドレス、ポート番号、生成されたセショ
ン鍵、有効期限をユーザ情報としてリストに追加する
(ステップ605)。

【００１６】図７は、認証サーバでのユーザ情報確認処
理のフローチャートである。最後に図７により認証サー
バ112でのユーザ情報の確認方法について説明する。簡
易認証の場合には、認証サーバ112で以前認証したユー
ザと接続元が同じかどうかを確認(アドレスとポート番
号の存在)した後(ステップ701)、ユーザ情報132の内容
が有効期限内であるか否かを確認する必要がある(ステ
ップ702,703,704)。認証サーバ112では、簡易認証時に
有効期限が切れていた場合(ステップ703)、あるいは簡
易認証に失敗した場合(ステップ707)、当該ユーザ情報
をリストから削除する(ステップ705)。クライアント111
では、簡易認証に失敗した場合、当該ユーザ情報をリス
トから削除する。

【００１７】図４に示す簡易認証時のシーケンスチャー
ト、図５に示すクライアントのユーザ情報設定処理のフ
ローチャート、図６に示す認証サーバのユーザ情報設定
処理のフローチャート、図７に示すユーザ情報確認処理
のフローチャート、図３に示す通常認証時のシーケンス
チャート、および図８に示す通常認証時の乱数比較に際
してのシーケンスチャートの各動作をプログラムに変換
し、変換されたプログラムをＣＤ−ＲＯＭやハードディ
スク等の記録媒体に格納することにより、それらの記録
媒体を通信システム中の任意のサーバやクライアント端
末にローディングしてプログラムを実行すれば、本発明
を任意の場所で実現することができる。

【００１８】

【発明の効果】以上説明したように、本発明によれば、
ユーザの送信元アドレスとポート番号が前回の認証時と
一致し、かつユーザのコネクション接続要求がユーザの
申請に符合した場合について、２回目以降の認証処理を
簡易化することができる。そして、簡易認証について生
成した乱数の暗号化したものを次のセション鍵として使
用するため、セキュリティレベルを落とすことなく短時
間での認証を実現することが可能である。

【図面の簡単な説明】

【図１】本発明が適用されるネットワークシステムの構
成図である。

【図２】図１におけるユーザ情報の構成図である。

【図３】通常認証時のクライアントと認証サーバとの間
のシーケンスチャートである。

【図４】本発明における簡易認証時のクライアントと認
証サーバ間のシーケンスチャートである。

【図５】クライアントにおけるユーザ情報設定処理のフ
ローチャートである。

【図６】認証サーバにおけるユーザ情報設定処理のフロ
ーチャートである。

【図７】認証サーバでのユーザ情報確認処理のフローチ
ャートである。

【図８】通常認証時の乱数比較に際しての詳細なシーケ
ンスチャートである。

【符号の説明】

101、102：それぞれ独立したネットワーク、 111：クライアントアプリケーションが動作する計算
機、 112：クライアントを認証し、ネットワーク間を中継す
る計算機、 113：サーバアプリケーションが動作する計算機、 121：認証サーバからクライアントへ配布された証明
書、 131：クライアントにおけるユーザ情報、 132：認証サーバにおけるユーザ情報、 201,202,203：ポインタで結合されたユーザ情報のリス
ト。

Claims (4)

【特許請求の範囲】
1. 【請求項１】 ネットワークシステムに接続されたクラ
   イアントからサーバへのコネクション接続要求時に、認
   証サーバが該クライアントのユーザを認証する認証方法
   において、 該認証サーバは、該クライアントがサーバにコネクショ
   ン接続要求する時に、ユーザを識別情報と認証情報によ
   り認証するステップと、 該ユーザの送信元アドレス、ポート番号と、認証時に生
   成されるセション鍵、および前記認証時にユーザが申請
   した使用コネクション数あるいはコネクション存続時間
   から構成されるユーザ情報を記憶するステップと、 再度、上記ユーザを認証する必要がある時には、前記ユ
   ーザ情報をもとにユーザを簡易認証するステップとを有
   することを特徴とするユーザの簡易認証方法。
2. 【請求項２】 前記認証サーバは、再度、ユーザを認証
   する時に、前記記憶されたユーザ情報と今回のユーザの
   送信元アドレスとポート番号が一致するか否かを確認す
   るステップを有し、 前記クライアント側では、ユーザが乱数を生成し、セシ
   ョン鍵により暗号化するステップと、 該乱数及び暗号化された該乱数を該認証サーバに送信す
   るステップと、 該乱数と暗号化された該乱数とから次のセション鍵を生
   成するステップと該セション鍵を記憶するステップとを
   有することを特徴とする請求項１に記載のユーザの簡易
   認証方法。
3. 【請求項３】 前記認証サーバは、再度、ユーザを認証
   する時に、ユーザによるコネクション接続要求が前記記
   憶されたユーザ情報に符合するか否かを確認するステッ
   プと、 クライアントにより発生させた乱数と、該乱数をセショ
   ン鍵により暗号化されたものを受信するステップと、 暗号化された該乱数をセション鍵により復号するステッ
   プと、 復号化された乱数と受信した乱数を比較するステップ
   と、 該乱数と暗号化された該乱数とから次のセション鍵を生
   成するステップと、 該セション鍵を記憶するステップとを有することを特徴
   とするする請求項１に記載のユーザの簡易認証方法。
4. 【請求項４】 請求項１から請求項３までのいずれかに
   記載のユーザ簡易認証方法の各動作を、プログラムに変
   換し、変換されたプログラムを格納したことを特徴とす
   る記録媒体。