JP2000215170A - オブジェクトアクセス権認証装置 - Google Patents

Abstract

(57)【要約】 【課題】コンピュータ間の資源へのアクセス時に暗証情
報を漏らさずに安全に情報取得する方法およびシステム
を提供する。 【解決手段】クライアントでは暗証情報で復号化を行
い、情報を取り出すことで、暗証情報を回線上に流さず
に、資源にアクセスすることが出来る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明では、ネットワークコ
ンピュータ間でセキュリティを強化しなければならない
場合の認証方式に関する。

【０００２】

【従来の技術】従来のコンピュータシステムでは、ネッ
トワーク上からコンピュータをアクセスする場合にはユ
ーザＩＤとパスワードを送信して、コンピュータを利用
できる利用者かどうかを認証していた。ネットワークコ
ンピュータには、さまざまな情報を格納しているため、
コンピュータによっては強固な管理により、情報の不正
アクセスを防止するコンピュータも存在して、認証方法
が異なるケースが存在する。このような中で、複数のコ
ンピュータを利用して一つのアプリケーションを作り上
げる分散オブジェクトによるプログラム開発が行なわれ
てきた。

【０００３】分散オブジェクト環境では、機能を実現す
るために必要なオブジェクトが複数のコンピュータに点
在できるため、機能を実現するためのオブジェクト、あ
るいはコンピュータにすべて認証されることが必要であ
る。

【０００４】ネットワークコンピュータでの認証を確実
に行う技術として、特開平９−２５１４２５号公報のよ
うに、要求側オブジェクトのアクセス権を検証するため
に、最初にアクセスしたサーバの制御下で、ターゲット
・オブジェクトに記憶されているグループ識別子と次に
アクセスするサーバからの要求に含まれている本人識別
子とを使用して、次にアクセスするサーバがターゲット
・オブジェクトにアクセスする許可を有することを検証
する方法が考えられてきた。

【０００５】しかし、本人識別子だけで、次にアクセス
するサーバにアクセスできてしまった場合には、最初に
アクセスしたサーバへのアクセス方法だけが盗用された
だけで、次のサーバへアクセスできてしまう。

【０００６】そのため、次のサーバがメインフレームな
どで、銀行の預金情報や、公共機関の会計情報などの場
合には、これらの機密情報にアクセスできるようになっ
てしまうという問題があった。

【０００７】

【発明が解決しようとする課題】上記従来技術では、ク
ライアントから複数のサーバへアクセスする際に、ネッ
トワーク上を流れる認証に関する情報を盗用されること
や、最初にアクセスしたサーバに次のサーバへの認証情
報が漏洩しやすいということに考慮されておらず、アク
セスする利用者単位に機密保護ができるが、サーバごと
の機密保護を確保できない問題があった。

【０００８】本発明では、既に昔から機密情報を格納し
ているメインフレームのようなサーバへ、分散オブジェ
クトからアクセスすることを目的としており、さらに、
メインフレームのようなサーバへの認証方法が容易に漏
洩しないようにする方式を提供することを目的とする。

【０００９】

【課題を解決するための手段】上記目的を達成するため
に、メインフレームのようなサーバへの認証に必要な暗
証情報をネットワーク上で電文として送受信しないよう
にしたものである。

【００１０】また、暗証情報をネットワーク上で電文と
して送受信しなくてもすむためには、この暗証情報を暗
号化の秘密鍵として利用したものである。さらに、暗証
情報を暗号化の秘密鍵として利用するために、サーバ上
でユーザ識別子から暗証情報を取り出し、暗号化するス
テップを容易に追加できるようにしたものである。

【００１１】図１は、本発明の構成を示すブロック図で
ある。図はコンピュータが３台の場合の構成であって、
クライアント１から第１サーバへ送られる情報は第１サ
ーバへの認証情報１９と第２サーバへのユーザ識別子２
０である。第１サーバとネットワーク４は第２サーバに
関する情報はユーザ識別子しか知ることが出来ない。

【００１２】第２サーバではオブジェクトリファレンス
３３と呼ばれるオブジェクトの情報を、暗証情報を利用
し暗号化３４してクライアント１に返す（２５）。クラ
イアントは、暗証情報を利用して復号化１７するが、こ
の時、オブジェクトの位置情報を復号化できなければ、
第２サーバの情報を参照することが出来ないため、第２
サーバにアクセスできない。暗証情報を正しく入力でき
れば、位置情報を復号化１７できるようになるため、暗
証情報が盗用されずに保護される。

【００１３】

【発明の実施の形態】本発明の実施例を図１と図２を使
って説明する。図１におけるクライアント１を図２のパ
ーソナルコンピュータ５、同じく第１サーバをワークス
テーション６、第２サーバをメインフレーム７とする。
ワークステーション６とメインフレーム７の間には、メ
インフレームで使われるジョブ制御言語を投入する機能
により接続する。例えば、リモートバッチ方式で接続す
れば容易にバッチジョブをメインフレーム７で実行でき
るようになる。

【００１４】リモートバッチからのジョブを投入する際
の認証は、ワークステーション６で代表となる利用者権
限で投入すれば、特にパーソナルコンピュータ５を利用
している利用者とは関係なくバッチジョブを投入できる
環境を構築できる。

【００１５】このメインフレームとワークステーション
の接続はパーソナルコンピュータの動作とは関係なく、
ワークステーションの初期接続部２１により自在に接続
することが出来る。

【００１６】このような、図２の環境において、パーソ
ナルコンピュータ５から、メインフレーム７の情報を取
り出す実施例を図１にて説明する。

【００１７】パーソナルコンピュータ５の画面上では、
ワークステーション６の認証情報であるユーザＩＤとパ
スワードの入力画面が表示される。この入力を第１サー
バ認証入力部１１により処理する。次に、メインフレー
ム７の認証情報であるユーザＩＤとパスワードの入力画
面が表示される。この入力を第２サーバ認証入力部１２
により処理する。

【００１８】次に第１サーバ認証送出部１３により、ワ
ークステーション６にログインする。ワークステーショ
ン６では認証部２２がユーザＩＤとパスワードを回線
４、１９より受け取り接続する。接続完了後、メインフ
レーム７のユーザＩＤをパーソナルコンピュータ５か
ら、第２サーバ認証情報分離、ユーザ識別子送出部１４
で、第２サーバ認証入力部１２で入力した情報からユー
ザＩＤを切り出して回線４を通して第２サーバユーザ識
別子送出部２３に送る。

【００１９】ワークステーションでは第２サーバユーザ
識別子送出部２３で、図３で示すジョブ制御言語８を生
成して、回線４，２４を通してメインフレーム７の情報
生成部３１に送る。この回線２４はこの例では先に説明
したリモートバッチであるため、メインフレーム７から
見るとバッチジョブを投入となる。

【００２０】このバッチジョブは、暗号化する部分８２
とパーソナルコンピュータの要求を処理する部分８３の
２つの処理から成り立っている。パーソナルコンピュー
タからの要求は例えばデータベースから、昨日の情報を
引き出すものであれば、そのようなジョブ制御言語をワ
ークステーションで組み立ててジョブ制御言語の二番目
の部分８３に格納して、パーソナルコンピュータ５から
送られてきたユーザＩＤも先頭に付加する。

【００２１】暗号化の指示はワークステーションではパ
スワードが存在しないことが分かっているので、ジョブ
制御言語にパスワードの情報を記述せずに、パスワード
による暗号化を依頼するステップ８２を追加して、メイ
ンフレームにバッチジョブの投入を行なう。この図３の
ジョブ制御言語の８２は図１の３６と等価な役割をする
機能を持っている。この８２あるいは３６ではパスワー
ドによる暗号化を主に行なう。

【００２２】投入したバッチジョブでは、オブジェクト
リファレンス返却部３３でオブジェクトリファレンスを
生成し、パスワードキーによる暗号化部３４でＯＳへユ
ーザＩＤを渡して、パスワードを受け取ることで秘密キ
ーを得る。そのパスワードを秘密キーとして、パスワー
ドキーによる暗号化部３４がオブジェクトリファレンス
を暗号化して、回線４，２５でオブジェクトからの情報
取得部１７に返す。

【００２３】一方パーソナルコンピュータ５では、第２
サーバ認証入力部１２で入力したユーザＩＤとパスワー
ドを第２サーバ認証情報分離、パスワード処理部１５で
切り出し、パスワードキーによる復号部１６にパスワー
ドを格納しておく。そして、オブジェクトからの情報取
得部１７がパスワードキーによる復号部１６を使用して
２５からオブジェクトリファレンスの復号化を行い、メ
インフレーム７をアクセスするために必要なオブジェク
トリファレンスを得る。

【００２４】パーソナルコンピュータ５は、オブジェク
トからの情報取得部１７で得たオブジェクトリファレン
スと共にデータベースのアクセスなどの処理要求を、回
線４を通してメインフレーム７に送る。メインフレーム
７では、処理部３５で要求のあったデータベースのアク
セスなどの処理を行い、処理結果を得る。

【００２５】オブジェクトリファレンスを復号化できな
ければ、処理部３５に処理依頼部１８から要求ができな
いため、メインフレームで実行していたジョブ制御言語
はタイムオーバで異常終了する。この異常終了により、
不正アクセスをメインフレームで検知でき、メインフレ
ームの機密情報の漏洩を防止することができる。

【００２６】処理部３５で処理結果が得られた場合、そ
の処理結果に対してパーソナルコンピュータ５で参照で
きる形式に文字コードを変換するなどの処置を施した
後、オブジェクトをパスワードキーによる暗号化部３４
でＯＳへユーザＩＤを渡して、パスワードを受け取るこ
とで秘密キーを得て処理結果の暗号化を施して、暗号化
された処理結果を回線４、２６で処理依頼部１８に返
す。

【００２７】そして、２６から暗号化された処理結果が
処理依頼部１８に渡ってきたときには、パスワードキー
による復号部１６で復号することで、メインフレームの
情報を取得することができる。つまり、パスワードは回
線４を通さなくてもパスワードによる機密保護の効果が
ある。

【００２８】上記の処理部は一つの媒体としてまとめる
ことも出来るが、パーソナルコンピュータ５、ワークス
テーション６、メインフレーム７の別々に媒体を作り、
個々にインストールすることで本発明を実施しても良
い。

【００２９】

【発明の効果】本発明によれば、パスワードを回線上を
流さないようにすることが出来るので、メインフレーム
などの重要なサーバの機密保護を高めることが出来る。

【００３０】また、実施例の説明から明らかなように、
メインフレームのような昔からあるコンピュータに新た
に暗号キーを登録して、パーソナルコンピュータとの間
に新しく機密情報を新しく登録する作業が不要となる。

【図面の簡単な説明】

【図１】本発明の構成を示すオブジェクトアクセス権認
証装置のブロック図。

【図２】本発明を実施するコンピュータの構成図。

【図３】メインフレームで実行するバッチジョブのジョ
ブ制御言語を示す図。

【符号の説明】

１…クライアントコンピュータ、２…第１サーバ、３…
第２サーバ、４…ＴＣＰ／ＩＰの回線、１８，１９，２
４，２５…回線を通る情報、５…パーソナルコンピュー
タ、６…ワークステーション、７…メインフレーム、８
…ジョブ制御言語。

Claims (2)

【特許請求の範囲】
1. 【請求項１】コンピュータシステムにおけるシステム資
   源へのアクセス権限を制御する方法において、コンピュ
   ータシステム内でクライアントオブジェクトから第１の
   サーバオブジェクトに要求を行い、その要求を実現する
   ために第１のサーバオブジェクトが第２のサーバオブジ
   ェクトに要求を行なう処理において、クライアントオブ
   ジェクトから第２のサーバオブジェクトへの暗証情報を
   送らずに、識別子だけをおくるステップと、第２のサー
   バオブジェクトが識別子に従って、クライアントに返却
   する情報を識別子の暗証情報で暗号化するステップと、 クライアントオブジェクトが第二のサーバオブジェクト
   から受け取った情報を暗証情報で復号化して、その結果
   を元に処理を要求するステップを有することを特徴とす
   るオブジェクトアクセス権認証方法。
2. 【請求項２】上記請求項に記載した方法を持つプログラ
   ムとデータを記録した記録媒体であることを特徴とする
   オブジェクトアクセス権認証装置。