JP2003085144A - ネットワークシステム、ネットワーク用コンピュータ端末、代理認証装置および代理認証方法 - Google Patents

Abstract

(57)【要約】 【課題】 リモートログイン先のコンピュー
タに複数の利用者の公開鍵やアカウントを事前に設定す
ることなく、セキュリティ上安全なリモートログインが
できるネットワークシステム、ネットワーク用コンピュ
ータ端末、代理認証装置および代理認証方法を得る。 【解決手段】 第１および第２のコンピュータ
を有するネットワークシステムにおいて、第２のコンピ
ュータにログインするためのアカウントを有する代理認
証装置を備え、第１のコンピュータは第２のコンピュー
タにログインする際に、代理認証装置にログイン認証要
求を行い、代理認証装置は第２のコンピュータログイン
に必要な情報を生成して代理認証装置のアカウントとと
もに第１のコンピュータに返信し、第１のコンピュータ
は、第２のコンピュータに対して代理認証装置のアカウ
ントでログイン認証要求を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明はコンピュータから
ネットワークを経由して他のコンピュータにリモートロ
グインする際の公開鍵基盤（ＰＫＩ）に基づく利用者認
証を実現するネットワークシステム、ネットワーク用コ
ンピュータ端末、代理認証装置および代理認証方法に関
する。

【０００２】

【従来の技術】コンピュータから他コンピュータにセキ
ュリティ上安全なリモートログインをするための利用者
認証を行う場合、ログイン要求元コンピュータにて利用
者の公開鍵暗号系の秘密鍵によりデジタル署名を生成し
て、ログイン要求先コンピュータにログイン要求ととも
にデジタル署名を送信する。リモートログインされるロ
グイン要求先コンピュータには事前に利用者の公開鍵を
登録しておいて、送信されてきたデジタル署名をこの公
開鍵によって検証することで利用者を認証しセキュリテ
ィを確保している。

【０００３】また、別の方法では、認証専用の認証装置
を設置して、他コンピュータにログインを希望する利用
者に対し認証装置が認証装置自体の秘密鍵を用いてデジ
タル署名を生成して利用者に与え、利用者はこのデジタ
ル署名とともにログイン要求をログイン要求先コンピュ
ータへ送信する。リモートログインされるログイン要求
先コンピュータは、送信されてきた認証装置のデジタル
署名を認証装置の公開鍵によって検証することで利用者
を認証し、利用者のアカウントで利用者にログイン許可
を行っている。

【０００４】

【発明が解決しようとする課題】上記した前者の方法で
は、リモートログイン先のコンピュータに利用者の公開
鍵を登録しておく必要があり、利用者はリモートログイ
ンを希望するすべてのコンピュータに公開鍵を登録して
おく必要があり、また、利用者が増えた場合には、その
都度リモートログイン先のコンピュータに利用者毎の公
開鍵を登録しなければならない。

【０００５】また、後者の方法では、認証装置のデジタ
ル署名で利用者を認証するが、ログインのアカウントは
リモートログイン先のコンピュータに設定されている利
用者毎のアカウントであるので、利用者が増えた場合に
は、その都度リモートログイン先のコンピュータに利用
者のアカウントを設定しなければならない。

【０００６】この発明は、上記のような問題を解決する
ためのもので、リモートログイン先のコンピュータに複
数の利用者の公開鍵やアカウントを事前に設定すること
なく、容易に、かつ、セキュリティ上安全なリモートロ
グインができるネットワークシステム、ネットワーク用
コンピュータ端末、代理認証装置および代理認証方法を
得ることを目的とする。

【０００７】

【課題を解決するための手段】本発明に係るネットワー
クシステムは、第１および第２のコンピュータを有する
ネットワークシステムにおいて、前記第２のコンピュー
タにログインするためのアカウントを有する代理認証装
置を備え、前記第１のコンピュータは前記第２のコンピ
ュータにログインする際に、前記代理認証装置にログイ
ン認証要求を行い、前記代理認証装置は、前記第１のコ
ンピュータからのログイン認証要求を受けると、前記第
２のコンピュータログインに必要な情報を生成して、前
記第２のコンピュータに設定されている代理認証装置の
アカウントとともに前記第１のコンピュータに返信し、
前記第１のコンピュータは、前記第２のコンピュータに
対して前記代理認証装置のアカウントで、前記第２のコ
ンピュータログインに必要な情報を含んだログイン認証
要求を行うものである。

【０００８】本発明に係るネットワークシステムは、第
１および第２のコンピュータと、第１〜第Ｎ（Ｎ＝２以
上の整数）の複数の代理認証装置とを備え、前記第１の
代理認証装置は、前記第１のコンピュータの秘密鍵に対
する公開鍵を持ち、前記第２のコンピュータは、前記第
Ｎの代理認証装置の秘密鍵に対する公開鍵を持つネット
ワークシステムにおいて、前記第１のコンピュータは前
記第２のコンピュータにログインする際に、前記第１の
代理認証装置にログイン認証要求を行い、前記第１の代
理認証装置は、前記第１のコンピュータからのログイン
認証要求を受けると第２の代理認証装置にログイン認証
要求を行い、第２から第（Ｎ−１）の代理認証装置は、
第Ｎの代理認証装置へログイン要求が到達するまで同様
の動作を繰り返し、第Ｎの代理認証装置は、ログイン認
証要求を受けると第２のコンピュータログインに必要な
情報を生成して、第２のコンピュータに設定されている
第Ｎの代理認証装置のアカウントとともに第（Ｎ−１）
の代理認証装置に返信し、第（Ｎ−１）〜第２の代理認
証装置は、第１の代理認証装置に第２のコンピュータロ
グインに必要な情報およびアカウントが到達するまで同
様の動作を繰り返し、第１の代理認証装置は、第１のコ
ンピュータに第２のコンピュータログインに必要な情報
およびアカウントを返信し、第１のコンピュータは、第
２のコンピュータに対し、第Ｎの代理認証装置のアカウ
ントで第２のコンピュータログインに必要な情報を含ん
だログイン認証要求を行うものである。

【０００９】また、前記第１のコンピュータが、コンピ
ュータ利用者の公開鍵基盤の秘密鍵を保管する秘密鍵保
管部と、前記秘密鍵によりデジタル署名を生成する署名
生成部と、前記デジタル署名を含むログイン認証要求を
送信する送信部とを有していてもよい。

【００１０】さらに、前記秘密鍵保管部を前記第１のコ
ンピュータと切り離して可搬型媒体に保有させていても
よい。

【００１１】また、前記代理認証装置が、ログイン認証
要求を受信する受信部と、利用者または代理利用者の公
開鍵を保管する公開鍵保管部と、前記利用者または代理
利用者の公開鍵により利用者または代理利用者のデジタ
ル署名の検証を行う署名検証部と、代理認証装置自身の
代理利用者としての秘密鍵を保管する秘密鍵保管部と、
前記秘密鍵により代理利用者のデジタル署名を生成する
代理署名生成部と、前記代理署名を含むログイン認証要
求を送信する送信部とを有していてもよい。

【００１２】また、前記第２のコンピュータが、ログイ
ン認証要求を受信する受信部と、代理利用者の公開鍵を
保管する公開鍵保管部と、前記代理利用者の公開鍵によ
り代理利用者のデジタル署名の検証を行う署名検証部と
を有していてもよい。

【００１３】本発明に係るネットワーク用コンピュータ
端末は、相手方のコンピュータにログインするためのア
カウントを持つ代理認証装置を有するネットワークに接
続されたコンピュータ端末において、相手方のコンピュ
ータにログインする際に、代理認証装置に対してログイ
ン認証要求を行い、前記代理認証装置から相手方コンピ
ュータログインに必要な情報とともに前記アカウントを
受信した後、相手方コンピュータに対し、前記アカウン
トで相手方コンピュータログインに必要な情報を含んだ
ログイン認証要求を行うものである。

【００１４】本発明に係る代理認証装置は、第１および
第２のコンピュータを有するネットワークシステムに接
続され、第２のコンピュータにログインするアカウント
を有する代理認証装置において、第１のコンピュータか
ら第２のコンピュータに対するログイン認証要求を受け
ると、第２のコンピュータログインに必要な情報を生成
して、第２のコンピュータに設定されている代理認証装
置のアカウントとともに第１のコンピュータに返信する
ものである。

【００１５】本発明に係る代理認証方法は、第１および
第２のコンピュータと、前記第２のコンピュータにログ
インするためのアカウントを有する代理認証装置を備え
たシステムに用いられる代理認証方法において、前記第
１のコンピュータが前記第２のコンピュータにログイン
する際に代理認証装置に対してログイン認証要求を行う
工程と、前記代理認証装置が、第１のコンピュータから
のログイン認証要求を受けると、第２のコンピュータロ
グインに必要な情報を生成して、第２のコンピュータに
設定されている代理認証装置のアカウントとともに第１
のコンピュータに返信する工程と、第１のコンピュータ
が、第２のコンピュータに対して代理認証装置のアカウ
ントで第２のコンピュータログインに必要な情報を含ん
だログイン認証要求を行う工程とを有するものである。

【００１６】本発明に係る代理認証方法は、第１および
第２のコンピュータと、第１〜第Ｎ（Ｎ＝２以上の整
数）の複数の代理認証装置と、前記第１の代理認証装置
に、前記第１のコンピュータの秘密鍵に対する公開鍵を
備え、前記第２のコンピュータに、前記第Ｎの代理認証
装置の秘密鍵に対する公開鍵を備えたネットワークシス
テムに用いられる代理認証方法において、前記第１のコ
ンピュータは前記第２のコンピュータにログインする際
に、前記第１の代理認証装置にログイン認証要求を行う
工程と、前記第１の代理認証装置は、前記第１のコンピ
ュータからのログイン認証要求を受けると第２の代理認
証装置にログイン認証要求を行う工程と、第２から第
（Ｎ−１）の代理認証装置は、第Ｎの代理認証装置へロ
グイン要求が到達するまで同様の動作を繰り返す工程
と、第Ｎの代理認証装置は、ログイン認証要求を受ける
と第２のコンピュータログインに必要な情報を生成し
て、第２のコンピュータに設定されている第Ｎの代理認
証装置のアカウントとともに第（Ｎ−１）の代理認証装
置に返信する工程と、第（Ｎ−１）〜第２の代理認証装
置は、第１の代理認証装置に第２のコンピュータログイ
ンに必要な情報およびアカウントが到達するまで同様の
動作を繰り返す工程と、第１の代理認証装置は、第１の
コンピュータに第２のコンピュータログインに必要な情
報およびアカウントを返信する工程と、第１のコンピュ
ータは、第２のコンピュータに対し、第Ｎの代理認証装
置のアカウントで第２のコンピュータログインに必要な
情報を含んだログイン認証要求を行う工程とを有するも
のである。

【００１７】

【発明の実施の形態】発明の実施の形態１．図１にこの
発明の実施の形態１によるネットワークシステムの構成
を示す。図１において、利用者が最初にログインしてい
るコンピュータＡ１０１がサブネットワークＡ１０３に
接続されている。サブネットワークＡ１０３は隣接する
サブネットワークＢ１０４に接続し、このように次々に
隣接するサブネットワーク同士が接続してサブネットワ
ークＭ１０５、サブネットワークＮ１０６まで接続され
ている。サブネットワークＮには利用者がリモートログ
インを希望するコンピュータＢ１０２が接続されてい
る。それぞれのサブネットワークにはそれぞれ１台ずつ
代理認証装置が接続しており、サブネットワークＡ１０
３には代理認証装置Ａ１０７が、同様にサブネットワー
クＢには代理認証装置Ｂ１０８、サブネットワークＭに
代理認証装置Ｍ１０９、サブネットワークＮに代理認証
装置Ｎ１１０が接続している。

【００１８】コンピュータＡ１０１は、利用者の指定す
るコンピュータに対して利用者名とパスワードを入力す
ることで接続を確立するｆｔｐやｔｅｌｎｅｔが動作す
るコンピュータである。図２にコンピュータＡ１０１の
内部構成をブロック図にて示す。図２において、コンピ
ュータＡ１０１は利用者の秘密鍵を保管する秘密鍵保管
部１と、秘密鍵保管部１に保管されている秘密鍵を取得
し、この秘密鍵を使用して利用者の情報（利用者名、パ
スワード等）に対してデジタル署名を生成する署名生成
部２と、デジタル署名を付けたログイン認証要求を送信
する送信部３と、相手先から返送されてくる認証の可否
を受信する受信部４とを有している。また、コンピュー
タＡ１０１は、自身が接続するサブネットワークＡ１０
３に接続する代理認証装置Ａ１０７の情報を保有してい
る。

【００１９】コンピュータＢ１０２は、サブネットワー
クを経由してログイン認証要求の受信を待つプログラム
が動作している。図３にコンピュータＢ１０２の内部構
成をブロック図にて示す。図３において、コンピュータ
Ｂ１０２は、ログイン認証要求を受信する受信部１１
と、自身が接続するサブネットワークＮに接続する代理
認証装置Ｎ１１０の代理利用者公開鍵を保管する代理利
用者公開鍵保管部１２と、代理利用者公開鍵保管部１２
に保管されている代理利用者公開鍵を使用してログイン
認証要求に含まれているデジタル署名の検証を行う署名
検証部１３と、認証の成否を送信する送信部１４とを有
している。また、代理認証装置Ｎの代理利用者名Ｎが利
用アカウントとして登録されている。

【００２０】各代理認証装置は隣接するサブネットワー
クへログイン認証要求を送信するための自身の代理利用
者名を持ち、隣接する代理認証装置の代理利用者名のア
カウントを保有している。図４に代理認証装置の内部構
成をブロック図にて示す。図４において、代理認証装置
１０７〜１１０は、ログイン認証要求および認証の可否
を受信する受信部２１と、それぞれが接続している各サ
ブネットワークに隣接するサブネットワークの代理認証
装置のＩＰアドレスと公開鍵が登録されている公開鍵保
管部２２と、公開鍵保管部２２に保管されている代理利
用者公開鍵を使用してログイン認証要求に含まれている
デジタル署名の検証を行う署名検証部３３と、各代理認
証装置それぞれ自身の秘密鍵を保管する秘密鍵保管部２
４と、秘密鍵保管部２４に保管されている秘密鍵を取得
し、この秘密鍵を使用して代理認証装置の代理利用者の
情報（代理利用者名、パスワード等）に対してデジタル
署名を生成する代理署名生成部２５と、デジタル署名を
付けたログイン認証要求および認証の可否を送信する送
信部２６とを有している。ただし、利用者がログインし
ているコンピュータＡ１０１が接続するサブネットワー
クＡ１０３に接続する代理認証装置Ａ１０７の公開鍵保
管部２２には利用者の公開鍵が予め登録されている。さ
らに代理認証装置Ａ１０７にはコンピュータＡ１０１に
ログインしている利用者のアカウントが設定されてい
る。

【００２１】次に動作について、図５〜７に示すフロー
チャートを用いて説明する。図５は、コンピュータＡ１
０１の処理動作を示すフローチャートである。図６は、
代理認証装置Ａ１０７〜Ｎ１１０の処理動作を示すフロ
ーチャートである。図７は、コンピュータＢ１０２の処
理動作を示すフローチャートである。

【００２２】図５において、利用者がコンピュータＡ１
０１からコンピュータＢ１０２へログイン認証要求をす
る場合、まず、コンピュータＡ１０１内に保有している
利用者の秘密鍵を取得し（ステップＳ５０１）、この秘
密鍵を使用して利用者のＰＫＩデジタル署名を生成する
（ステップＳ５０２）。次に自身が接続しているサブネ
ットワークＡ１０３に接続する代理認証装置Ａ１０７へ
接続し（ステップＳ５０３）、デジタル署名を付けた利
用者名情報とリモートログインを要求するコンピュータ
Ｂ１０２のＩＰアドレスをログイン認証要求として代理
認証装置Ａ１０７へ送信する（ステップＳ５０４）。

【００２３】図６において、代理認証装置Ａ１０７は接
続待ち状態で待ち受けている。コンピュータＡ１０１か
らのログイン認証要求を受信し（ステップＳ６０１）、
保管している利用者の公開鍵によりデジタル署名の検証
を行い（ステップＳ６０２）、成否を判定する（ステッ
プＳ６０３）。デジタル署名の検証に失敗した場合、コ
ンピュータＡ１０１に認証失敗を送信し（ステップＳ６
１０）、接続待ち状態に復帰する。

【００２４】デジタル署名の検証に成功した場合は、代
理認証装置Ａ１０７の秘密鍵を使用して代理利用者Ａの
デジタル署名を生成し（ステップＳ６０４）、同じサブ
ネットワーク内に接続を要求されたコンピュータＢ１０
２があるかを判定する（ステップＳ６０５）。ある場合
は、コンピュータＡ１０１に認証成功として代理認証装
置Ａ１０７の代理利用者Ａデジタル署名付き代理利用者
Ａ情報を返信し（ステップＳ６０９）、接続待ち状態に
戻る。

【００２５】ステップＳ６０５にて同じサブネットワー
ク内にコンピュータＢ１０２が無い場合は、代理認証装
置Ａ１０７の代理利用者Ａデジタル署名付き代理利用者
Ａ情報とコンピュータＢ１０２のＩＰアドレスをログイ
ン認証要求として隣接するサブネットワークＢ１０４に
接続する代理認証装置Ｂ１０８へ送信する（ステップＳ
６０６）。

【００２６】代理認証装置Ｂ１０８も代理認証装置Ａ１
０７と同様に接続待ち状態で待ち受けている。代理認証
装置Ａ１０７からのログイン認証要求を受信し（ステッ
プＳ６０１）、保管している代理利用者Ａの公開鍵によ
りデジタル署名の検証を行い（ステップＳ６０２）、成
否を判定する（ステップＳ６０３）。デジタル署名の検
証に失敗した場合、代理認証装置Ａ１０７に認証失敗を
送信し（ステップＳ６１０）、接続待ち状態に復帰す
る。

【００２７】デジタル署名の検証に成功した場合は、代
理認証装置Ｂ１０８の秘密鍵を使用して代理利用者Ｂの
デジタル署名を生成し（ステップＳ６０４）、同じサブ
ネットワーク内に接続を要求されたコンピュータＢ１０
２があるかを判定する（ステップＳ６０５）。ある場合
は、代理認証装置Ａ１０７に認証成功として代理認証装
置Ｂ１０８の代理利用者Ｂデジタル署名付き代理利用者
Ｂ情報を返信し（ステップＳ６０９）、接続待ち状態に
戻る。

【００２８】ステップＳ６０５にて同じサブネットワー
ク内にコンピュータＢ１０２が無い場合は、代理認証装
置Ｂ１０８の代理利用者Ｂデジタル署名付き代理利用者
Ｂ情報とコンピュータＢ１０２のＩＰアドレスをログイ
ン認証要求として隣接するサブネットワークの代理認証
装置へ送信する（ステップＳ６０６）。

【００２９】このようにして、コンピュータＢ１０２が
接続しているサブネットワークＮ１０６の代理認証装置
Ｎ１１０に至るまで図３内のフローチャートのステップ
Ｓ６０１からＳ６０６を繰り返す。

【００３０】代理認証装置Ｎ１１０がステップＳ６０５
で同じサブネットワークＮ内にリモートログインを要望
されているコンピュータＢ１０２があると判定すれば、
代理認証装置Ｎ１１０の代理利用者Ｎデジタル署名付き
代理利用者Ｎ情報を認証成功として隣接する要求元の代
理認証装置Ｍ１０９へ返信し（ステップＳ６０９）、接
続待ち状態に戻る。

【００３１】代理認証装置Ｍ１０９は、代理認証装置Ｎ
１１０からの認証結果を受信し（ステップＳ６０７）、
認証結果を判定する（ステップＳ６０８）。成功の場合
は、返送されてきた代理認証装置Ｎ１１０の代理利用者
Ｎデジタル署名付き代理利用者Ｎ情報を隣接する要求元
代理認証装置へ返信し（ステップＳ６０９）、接続待ち
状態に戻る。

【００３２】このようにして、代理認証装置Ｍ１０９か
ら代理認証装置Ａ１０７まで図６内のフローチャートの
ステップＳ６０７からＳ６０９を繰り返し、認証結果を
それぞれ隣接する代理認証装置へ返信する。

【００３３】代理認証装置Ａ１０７は、代理認証装置Ｂ
１０８から認証結果を受信し（ステップＳ６０７）、認
証結果を判定する（ステップＳ６０８）。認証成功の場
合は、返送されてきた代理認証装置Ｎ１１０の代理利用
者Ｎデジタル署名付き代理利用者Ｎ情報をコンピュータ
Ａ１０１へ返信する（ステップＳ６０９）。認証失敗の
場合は、認証失敗をコンピュータＡ１０１へ返信する
（ステップＳ６１０）。

【００３４】図５において、コンピュータＡ１０１は、
代理認証装置Ａ１０７から認証結果を受信し（ステップ
Ｓ５０５）、認証結果を判定する（ステップＳ５０
６）。認証失敗の場合は、処理を終了する。認証成功の
場合は、コンピュータＢ１０２と接続し（ステップＳ５
０７）、返送されてきている代理認証装置Ｎ１１０の代
理利用者Ｎデジタル署名付き代理利用者Ｎ情報をログイ
ン認証要求としてコンピュータＢ１０２へ送信する。

【００３５】図７において、コンピュータＢ１０２は接
続待ち状態で待ち受けている。コンピュータＡ１０１か
らのログイン認証要求を受信し（ステップＳ７０１）、
受信した代理認証装置Ｎ１１０の代理利用者Ｎデジタル
署名付き代理利用者Ｎ情報を予めコンピュータＢ１０２
に登録されている代理認証装置Ｎ１１０の公開鍵により
デジタル署名の検証を行い（ステップＳ７０２）、成否
を判定する（ステップＳ７０３）。デジタル署名の検証
に失敗した場合、コンピュータＡ１０１に認証失敗を送
信し（ステップＳ７０７）、接続待ち状態に復帰する。
デジタル署名の検証に成功した場合、コンピュータＡ１
０１に認証成功を送信する（ステップＳ７０４）。

【００３６】図５において、コンピュータＡ１０１は、
コンピュータＢ１０２からの認証結果を受信し（ステッ
プＳ５０９）、成否を判定する（ステップＳ５１０）。
認証失敗の場合は処理を終了する。認証成功の場合はコ
ンピュータＢとの通信を開始する（ステップＳ５１１）

【００３７】図７において、コンピュータＢ１０２は、
代理利用者名ＮのアカウントでコンピュータＡ１０１と
の通信を開始する（ステップＳ７０５）。コンピュータ
Ａ１０１との通信が終了したら（ステップＳ７０６）、
接続待ち状態に戻る。図５において、コンピュータＡ１
０１は、コンピュータＢ１０２との通信が終了したら
（ステップＳ５１２）、処理を終了する。

【００３８】以上、述べたように本発明の実施の形態１
では、利用者の公開鍵を利用者が直接使用するコンピュ
ータの接続するサブネットワークに接続する代理認証装
置のみに登録しておけばよいので、利用者が増えた場合
に、その都度リモートログイン先のコンピュータに利用
者の公開鍵を登録する必要がない。

【００３９】また、代理認証装置は認証要求を受信して
署名検証が成功した時、自装置の秘密鍵でデジタル署名
を生成し、隣接するサブネットワークに接続する代理認
証装置に送信していく。リモートログイン要求先のコン
ピュータが属するサブネットワークに接続する代理認証
装置にたどりついた時点で、この最後の代理認証装置の
秘密鍵でデジタル署名を生成し、このデジタル署名を付
けた代理利用者情報を順次隣接する代理認証装置を経由
して接続要求元コンピュータまで返送する。接続要求元
コンピュータは受信した最後の代理認証装置のデジタル
署名を付けた代理利用者情報をリモートログインするコ
ンピュータに送信して認証を受ける。以上のように動作
するので、代理認証装置は、隣接する代理認証装置の代
理利用者の公開鍵を保有していればよく、接続を要求さ
れるコンピュータは、そのコンピュータが属するサブネ
ットワークの代理認証装置の代理利用者の公開鍵のみを
保有して、利用アカウントもコンピュータが属するサブ
ネットワークの代理認証装置の代理利用者のアカウント
のみを保有していればよいので、利用者が増えた場合に
もその都度接続先のコンピュータに利用者のアカウント
を設定する手間を不要にできる。

【００４０】尚、上記ではネットワークシステムが、複
数のサブネットワークと各サブネットワークに接続する
複数の代理認証装置を有しているものとして記述した
が、単一のネットワークで代理認証装置が１台の構成の
場合でも、代理認証装置を上述の最後の代理認証装置Ｎ
と同様に動作させればよく、同様の効果を得られること
はいうまでもない。

【００４１】発明の実施の形態２．図８に発明の実施の
形態２によるコンピュータＡ１０１の構成をブロック図
にて示す。発明の実施の形態１において、利用者がログ
インしているコンピュータＡ１０１には利用者の秘密鍵
を予めコンピュータ内部に保持しているが、発明の実施
の形態２においては利用者の秘密鍵保管部１をＩＣカー
ドやＰＣＭＣＩＡカード等の可搬型媒体３１に保管する
ようにしているものである。

【００４２】このように、利用者の秘密鍵を可搬型媒体
に保管するので、利用者は自己の秘密鍵を登録したコン
ピュータだけではなく、ネットワークに接続できる任意
のコンピュータを使用して、当該コンピュータが接続す
るサブネットワークに接続する代理認証装置へ公開鍵を
登録するだけでネットワークに接続するすべてのコンピ
ュータにセキュリティを確保した上で接続することがで
きる。

【００４３】

【発明の効果】以上のように、この発明によれば、利用
者がログインしているコンピュータからネットワーク内
の別のコンピュータへリモートログインする際に、リモ
ートログイン先のコンピュータに複数の利用者の公開鍵
やアカウントを事前に設定することなく、ログイン中の
コンピュータが属しているサブネットワークに接続して
いる代理認証装置にのみ公開鍵を登録するだけで、複数
のリモートログイン先コンピュータにセキュリティを確
保された安全なリモートログインが可能となる。

【図面の簡単な説明】

【図１】 発明の実施の形態１によるネットワークシス
テムの構成図。

【図２】 コンピュータＡ１０１の内部構成をブロック
図。

【図３】 コンピュータＢ１０２の内部構成ブロック
図。

【図４】 代理認証装置Ａ１０７〜Ｎ１１０の内部構成
ブロック図。

【図５】 コンピュータＡ１０１の処理動作を示すフロ
ーチャート。

【図６】 代理認証装置Ａ１０７〜Ｎ１１０の処理動作
を示すフローチャート。

【図７】 コンピュータＢ１０２の処理動作を示すフロ
ーチャート。

【図８】 発明の実施の形態２によるコンピュータＡ１
０１の構成ブロック図。

【符号の説明】

１ 秘密鍵保管部、 ２ 署名生成部、 ３ 送信
部、 ４ 受信部、１１ 受信部、 １２ 代理利
用者公開鍵保管部、 １３ 署名検証部、１４ 送信
部、２１ 受信部、 ２２ 公開鍵保管部、 ２３
署名検証部、２４ 秘密鍵保管部、 ２５ 代理署
名生成部、 ２６ 送信部、３１ 可搬型媒体、１０
１ コンピュータＡ、 １０２ コンピュータＢ、１
０３〜１０６ サブネットワーク、１０７〜１１０ 代
理認証装置。

Claims (10)

【特許請求の範囲】
1. 【請求項１】第１および第２のコンピュータを有するネ
   ットワークシステムにおいて、前記第２のコンピュータ
   にログインするためのアカウントを有する代理認証装置
   を備え、 前記第１のコンピュータは前記第２のコンピュータにロ
   グインする際に、前記代理認証装置にログイン認証要求
   を行い、 前記代理認証装置は、前記第１のコンピュータからのロ
   グイン認証要求を受けると、前記第２のコンピュータロ
   グインに必要な情報を生成して、前記第２のコンピュー
   タに設定されている代理認証装置のアカウントとともに
   前記第１のコンピュータに返信し、 前記第１のコンピュータは、前記第２のコンピュータに
   対して前記代理認証装置のアカウントで、前記第２のコ
   ンピュータログインに必要な情報を含んだログイン認証
   要求を行うことを特徴とするネットワークシステム。
2. 【請求項２】第１および第２のコンピュータと、第１〜
   第Ｎ（Ｎ＝２以上の整数）の複数の代理認証装置とを備
   え、 前記第１の代理認証装置は、前記第１のコンピュータの
   秘密鍵に対する公開鍵を持ち、 前記第２のコンピュータは、前記第Ｎの代理認証装置の
   秘密鍵に対する公開鍵を持つネットワークシステムにお
   いて、 前記第１のコンピュータは前記第２のコンピュータにロ
   グインする際に、前記第１の代理認証装置にログイン認
   証要求を行い、 前記第１の代理認証装置は、前記第１のコンピュータか
   らのログイン認証要求を受けると第２の代理認証装置に
   ログイン認証要求を行い、 第２から第（Ｎ−１）の代理認証装置は、第Ｎの代理認
   証装置へログイン要求が到達するまで同様の動作を繰り
   返し、 第Ｎの代理認証装置は、ログイン認証要求を受けると第
   ２のコンピュータログインに必要な情報を生成して、第
   ２のコンピュータに設定されている第Ｎの代理認証装置
   のアカウントとともに第（Ｎ−１）の代理認証装置に返
   信し、 第（Ｎ−１）〜第２の代理認証装置は、第１の代理認証
   装置に第２のコンピュータログインに必要な情報および
   アカウントが到達するまで同様の動作を繰り返し、 第１の代理認証装置は、第１のコンピュータに第２のコ
   ンピュータログインに必要な情報およびアカウントを返
   信し、 第１のコンピュータは、第２のコンピュータに対し、第
   Ｎの代理認証装置のアカウントで第２のコンピュータロ
   グインに必要な情報を含んだログイン認証要求を行うこ
   とを特徴とするネットワークシステム。
3. 【請求項３】前記第１のコンピュータが、 コンピュータ利用者の公開鍵基盤の秘密鍵を保管する秘
   密鍵保管部と、 前記秘密鍵によりデジタル署名を生成する署名生成部
   と、 前記デジタル署名を含むログイン認証要求を送信する送
   信部とを有することを特徴とする請求項１または２記載
   のネットワークシステム。
4. 【請求項４】前記秘密鍵保管部を前記第１のコンピュー
   タと切り離して可搬型媒体に保有させていることを特徴
   とする請求項３記載のネットワークシステム。
5. 【請求項５】前記代理認証装置が、 ログイン認証要求を受信する受信部と、 利用者または代理利用者の公開鍵を保管する公開鍵保管
   部と、 前記利用者または代理利用者の公開鍵により利用者また
   は代理利用者のデジタル署名の検証を行う署名検証部
   と、 代理認証装置自身の代理利用者としての秘密鍵を保管す
   る秘密鍵保管部と、 前記秘密鍵により代理利用者のデジタル署名を生成する
   代理署名生成部と、 前記代理署名を含むログイン認証要求を送信する送信部
   とを有することを特徴とする請求項１または２記載のネ
   ットワークシステム。
6. 【請求項６】前記第２のコンピュータが、 ログイン認証要求を受信する受信部と、 代理利用者の公開鍵を保管する公開鍵保管部と、 前記代理利用者の公開鍵により代理利用者のデジタル署
   名の検証を行う署名検証部とを有することを特徴とする
   請求項１または２記載のネットワークシステム。
7. 【請求項７】相手方のコンピュータにログインするため
   のアカウントを持つ代理認証装置を有するネットワーク
   に接続されたコンピュータ端末において、 相手方のコンピュータにログインする際に、代理認証装
   置に対してログイン認証要求を行い、前記代理認証装置
   から相手方コンピュータログインに必要な情報とともに
   前記アカウントを受信した後、相手方コンピュータに対
   し、前記アカウントで相手方コンピュータログインに必
   要な情報を含んだログイン認証要求を行うことを特徴と
   するネットワーク用コンピュータ端末。
8. 【請求項８】第１および第２コンピュータを有するネッ
   トワークシステムに接続され、第２コンピュータにログ
   インするアカウントを有する代理認証装置において、 第１コンピュータから第２コンピュータに対するログイ
   ン認証要求を受けると、 第２コンピュータログインに必要な情報を生成して、 第２のコンピュータに設定されている代理認証装置のア
   カウントとともに第１のコンピュータに返信することを
   特徴とする代理認証装置。
9. 【請求項９】第１および第２のコンピュータと、前記第
   ２のコンピュータにログインするためのアカウントを有
   する代理認証装置を備えたシステムに用いられる代理認
   証方法において、 前記第１のコンピュータが前記第２のコンピュータにロ
   グインする際に代理認証装置に対してログイン認証要求
   を行う工程と、 前記代理認証装置が、第１のコンピュータからのログイ
   ン認証要求を受けると、第２のコンピュータログインに
   必要な情報を生成して、第２のコンピュータに設定され
   ている代理認証装置のアカウントとともに第１のコンピ
   ュータに返信する工程と、 第１のコンピュータが、第２のコンピュータに対して代
   理認証装置のアカウントで第２のコンピュータログイン
   に必要な情報を含んだログイン認証要求を行う工程とを
   有することを特徴とする代理認証方法。
10. 【請求項１０】第１および第２のコンピュータと、 第１〜第Ｎ（Ｎ＝２以上の整数）の複数の代理認証装置
    と、 前記第１の代理認証装置に、前記第１のコンピュータの
    秘密鍵に対する公開鍵を備え、 前記第２のコンピュータに、前記第Ｎの代理認証装置の
    秘密鍵に対する公開鍵を備えたネットワークシステムに
    用いられる代理認証方法において、 前記第１のコンピュータは前記第２のコンピュータにロ
    グインする際に、 前記第１の代理認証装置にログイン認証要求を行う工程
    と、 前記第１の代理認証装置は、前記第１のコンピュータか
    らのログイン認証要求を受けると第２の代理認証装置に
    ログイン認証要求を行う工程と、 第２から第（Ｎ−１）の代理認証装置は、第Ｎの代理認
    証装置へログイン要求が到達するまで同様の動作を繰り
    返す工程と、 第Ｎの代理認証装置は、ログイン認証要求を受けると第
    ２のコンピュータログインに必要な情報を生成して、第
    ２のコンピュータに設定されている第Ｎの代理認証装置
    のアカウントとともに第（Ｎ−１）の代理認証装置に返
    信する工程と、 第（Ｎ−１）〜第２の代理認証装置は、第１の代理認証
    装置に第２のコンピュータログインに必要な情報および
    アカウントが到達するまで同様の動作を繰り返す工程
    と、 第１の代理認証装置は、第１のコンピュータに第２のコ
    ンピュータログインに必要な情報およびアカウントを返
    信する工程と、 第１のコンピュータは、第２のコンピュータに対し、第
    Ｎの代理認証装置のアカウントで第２のコンピュータロ
    グインに必要な情報を含んだログイン認証要求を行う工
    程を有することを特徴とする代理認証方法。