JP2003244134A - Authentication system - Google Patents

Authentication system

Info

Publication number
JP2003244134A
JP2003244134A JP2002037383A JP2002037383A JP2003244134A JP 2003244134 A JP2003244134 A JP 2003244134A JP 2002037383 A JP2002037383 A JP 2002037383A JP 2002037383 A JP2002037383 A JP 2002037383A JP 2003244134 A JP2003244134 A JP 2003244134A
Authority
JP
Japan
Prior art keywords
authentication
server
client
information
character string
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2002037383A
Other languages
Japanese (ja)
Inventor
Atsushi Sugiura
篤志 杉浦
Original Assignee
Toyota Motor Corp
トヨタ自動車株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp, トヨタ自動車株式会社 filed Critical Toyota Motor Corp
Priority to JP2002037383A priority Critical patent/JP2003244134A/en
Publication of JP2003244134A publication Critical patent/JP2003244134A/en
Pending legal-status Critical Current

Links

Abstract

<P>PROBLEM TO BE SOLVED: To provide an authentication system which can offer a single sign-on system while improving security. <P>SOLUTION: In the authentication system, an authentication linked server 21 acquires an access to an information provider server 22 from a client device 11 (S41). When the client device 11 has no user certificate (S42 and S43), the server 21 issues a challenge character string and sets it in the client device 11 to cause the client 11 to access a predetermined authentication server (S44 to S47). The client device 11 receives the setting of the challenge character string subjected to a signature by the authentication server 31 as a user certificate, and accesses the information provider using the user certificate (S55 to S58). <P>COPYRIGHT: (C)2003,JPO

Description

【発明の詳細な説明】Detailed Description of the Invention
【0001】[0001]
【発明の属する技術分野】本発明は、ネットワークを介
しての通信で用いられる認証システムに係り、特に、セ
キュリティのさらなる向上に関する。
BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to an authentication system used for communication via a network, and more particularly to further improvement of security.
【0002】[0002]
【従来の技術】近年、ネットワークを利用した情報提供
が急速に拡大し、個人だけでなく、企業内でも外部ネッ
トワークへのアクセスして情報提供を受ける場面が増大
している。しかしながら、情報提供に際してアクセス者
を認証する情報提供側サーバもあり、従来、これらの情
報提供側サーバでは、個別にアクセス者の情報を管理し
ていた。
2. Description of the Related Art In recent years, the provision of information using a network has been rapidly expanding, and not only individuals but also companies are accessing the external networks to receive information provision. However, there is also an information providing server that authenticates an accessor when providing information, and conventionally, these information providing servers individually manage the information of the accessor.
【0003】[0003]
【発明が解決しようとする課題】しかしながら、上記従
来の情報提供サーバでは、各情報提供サーバが個別にア
クセス者の情報を管理していることにより、アクセス者
は、各情報提供サーバごとに認証を受ける手続きを実行
しなければならず、利便性が低い。
However, in the above-mentioned conventional information providing server, since each information providing server manages the information of the access person individually, the access person authenticates each information providing server. It is inconvenient because you have to execute the procedure to receive it.
【0004】そこで、最近、いわゆるシングル・サイン
オン・システムとして、認証を行うサーバ(認証サー
バ)を設定し、この認証サーバに対して一度認証を実行
した後は、各情報提供サーバがこの認証サーバへ認証の
有無を確認するようにして個別的な管理をすることな
く、アクセス者の利便性を向上するようにしている。具
体的にこのようなシステムとして、例えば図3(a)〜
(c)に示す、次の3つの形態が代表的である。
Therefore, recently, as a so-called single sign-on system, a server for performing authentication (authentication server) has been set, and after performing authentication once with respect to this authentication server, each information providing server then uses this authentication server. By confirming the presence or absence of authentication, it is possible to improve the convenience of the accessor without performing individual management. Specifically, as such a system, for example, FIG.
The following three forms shown in (c) are typical.
【0005】第1の形態は図3(a)に示すように、ア
クセス者が操作するクライアント側装置1と、情報提供
サーバ2と、認証サーバ3とからなる。クライアント側
装置1から情報提供サーバ2へアクセスが行われると
(S11)、情報提供サーバ2は、クライアント側装置
1に対して、所定の認証サーバ3へアクセスするように
促す(リダイレクト)。クライアント側装置1は、認証
サーバ3へアクセスして認証を受ける(S12)。ここ
で、認証サーバ3は、認証を完了したことを示す情報を
記憶する。そしてクライアント側装置1が改めて情報提
供側サーバ2へアクセスすると(S13)、情報提供側
サーバ2が認証サーバ3に対して認証が実行されたか否
かを問い合わせ、認証サーバ3が認証が完了しているこ
とを示す情報を返す(S14)。そして情報提供側サー
バ2は、クライアント側装置1に対して情報の提供を開
始する(S15)。
As shown in FIG. 3A, the first mode comprises a client side device 1 operated by an accessor, an information providing server 2 and an authentication server 3. When the information providing server 2 is accessed from the client side device 1 (S11), the information providing server 2 prompts the client side device 1 to access a predetermined authentication server 3 (redirect). The client side device 1 accesses the authentication server 3 and receives authentication (S12). Here, the authentication server 3 stores information indicating that the authentication is completed. Then, when the client side device 1 accesses the information providing side server 2 again (S13), the information providing side server 2 inquires of the authentication server 3 whether or not the authentication is performed, and the authentication server 3 completes the authentication. The information indicating that there is is returned (S14). The information providing server 2 then starts providing information to the client side device 1 (S15).
【0006】このシステムによると、認証サーバ3が情
報提供側サーバ2から常にアクセス可能に(IPリーチ
ャブルに)設定されていなければならない。従って、認
証サーバ3が常に外部ネットワークからのアクセスに晒
されることとなって、認証サーバ3内の情報に対するセ
キュリティの確保が問題となる。このことは特に、認証
サーバ3が企業内におけるアクセス者の認証をも兼ねて
いる場合に問題が大きくなる。企業内ユーザに関する情
報が常に外部ネットワークからのアクセスに晒されるこ
ととなるからである。
According to this system, the authentication server 3 must always be set to be accessible (IP reachable) from the information providing server 2. Therefore, the authentication server 3 is always exposed to the access from the external network, and the security of the information in the authentication server 3 becomes a problem. This becomes a serious problem especially when the authentication server 3 also serves as the authentication of the access person in the company. This is because the information about the users in the company is always exposed to the access from the external network.
【0007】また、シングル・サインオン・システムの
第2の形態としては、図3(b)に示すように、クライ
アント側装置1と、情報提供サーバ2と、認証サーバ3
とに加えてディレクトリ・サーバ4を含んだものがあ
る。
As a second form of the single sign-on system, as shown in FIG. 3B, the client side device 1, the information providing server 2, and the authentication server 3 are provided.
In addition to the above, there is one including the directory server 4.
【0008】このシステムでは、クライアント側装置1
が情報提供側サーバ2にアクセスすると(S21)、情
報提供側サーバ2がクライアント側装置1に対してパス
ワード等の認証情報の入力を求める。そして、当該認証
情報を認証サーバ3に問い合わせて認証を行い(S2
2)、認証サーバ3は当該認証情報を認証するととも
に、アクセス者に関する情報をディレクトリ・サーバ4
から取得して(S23)、情報提供側サーバ2へ返信す
る(S24)。そして情報提供側サーバ2がこれらアク
セス者に関する情報に基づき、認証が行われたことを判
断して情報の提供を開始する(S25)。
In this system, the client side device 1
When the information providing side server 2 accesses the information providing side server 2 (S21), the information providing side server 2 requests the client side device 1 to input authentication information such as a password. Then, the authentication information is inquired to the authentication server 3 for authentication (S2
2), the authentication server 3 authenticates the authentication information, and at the same time, provides information about the accessor to the directory server 4
From the information providing side server 2 (S24). Then, the information providing server 2 determines that the authentication has been performed based on the information about the access person, and starts providing the information (S25).
【0009】この第2の形態のシステムでは、アクセス
者が入力する認証情報が一旦、情報提供側サーバ2に渡
されるため、この情報が中間で取得されて悪用されるお
それがあり、セキュリティの確保が難しくなる。
In the system of the second embodiment, since the authentication information input by the accessor is once passed to the information providing server 2, there is a risk that this information may be acquired in the middle and misused, and security is ensured. Becomes difficult.
【0010】さらに、これと同じ構成を有しながら、認
証情報を情報提供側サーバ2へ渡さない形態として、図
3(c)に示したものがある。このシステムは、図3
(b)に示したものと同様の構成を有するが、クライア
ント側装置1が認証情報を情報提供側サーバ2へ渡すの
ではなく、認証サーバ3に渡す点が異なる。すなわち、
クライアント側装置1は、情報提供側サーバ2への情報
提供要求(アクセス)を認証サーバ3に中継させ、この
際に、認証サーバ3に認証情報を渡して認証を受ける
(S31)。認証サーバ3は、アクセス者に関する情報
をディレクトリ・サーバ4から取得して(S32)、ク
ライアント側装置1に代って情報提供側サーバ2へアク
セスして情報提供を受け(S33)、当該提供された情
報をクライアント側装置1に返す(S34)。
Further, there is a configuration shown in FIG. 3 (c), which has the same configuration as this, but does not pass the authentication information to the information providing server 2. This system is shown in Figure 3.
It has the same configuration as that shown in (b), except that the client side device 1 passes the authentication information to the authentication server 3 instead of passing it to the information providing server 2. That is,
The client side device 1 relays an information providing request (access) to the information providing side server 2 to the authentication server 3, and at this time, passes the authentication information to the authentication server 3 to be authenticated (S31). The authentication server 3 acquires the information about the access person from the directory server 4 (S32), accesses the information providing server 2 instead of the client side device 1 to receive the information provision (S33), and is provided. The returned information is returned to the client side device 1 (S34).
【0011】このシステムでは、認証サーバ3にクライ
アント装置1からのアクセスが集中することとなって認
証サーバ3の負荷が増大してしまう。認証サーバ3を分
散配置することとしてもよいが、そのようにすると結
局、認証サーバ3の管理者が増え、管理者による認証情
報の悪用ということも発生しかねず、第2の形態のもの
と同様の問題点が発生する。さらにディレクトリ・サー
バ4で管理される情報が認証サーバ3により自由にアク
セスできるようにしておく必要があり、この点でのセキ
ュリティも問題となる。
In this system, the access from the client device 1 is concentrated on the authentication server 3, which increases the load on the authentication server 3. The authentication servers 3 may be arranged in a distributed manner, but in that case, the number of managers of the authentication servers 3 will eventually increase, and the authentication information may be misused by the managers. Similar problems occur. Further, it is necessary to allow the information managed by the directory server 4 to be freely accessed by the authentication server 3, and security in this respect is also a problem.
【0012】このほか、インターネットへの接続口とな
るサービスプロバイダを利用してシングル・サインオン
的システムを実装する例が特開2001−52068号
公報、「電子商取引のための個人認証システムおよび個
人認証方法」に開示されている。しかしながらこの場
合、サービスプロバイダ側でユーザに割り当てたIPア
ドレスを用いた認証が行われるため、IPアドレスの詐
称等によるセキュリティが問題となる。
[0012] In addition, an example of implementing a single sign-on system using a service provider that is a connection port to the Internet is disclosed in Japanese Patent Laid-Open No. 2001-52068, "Personal authentication system and personal authentication for electronic commerce. Method ”. However, in this case, since authentication is performed using the IP address assigned to the user on the service provider side, security due to misrepresentation of the IP address becomes a problem.
【0013】本発明は上記実情に鑑みて為されたもの
で、セキュリティをより向上させながら、シングル・サ
インオンのシステムを提供できる認証システムを提供す
ることを目的とする。
The present invention has been made in view of the above circumstances, and an object thereof is to provide an authentication system which can provide a single sign-on system while further improving security.
【0014】[0014]
【課題を解決するための手段】上記従来例の問題点を解
決するための本発明は、アクセス者の認証を求める情報
提供側サーバと、アクセス者の認証を実行する認証サー
バと、アクセス者が用いるクライアント側装置と、を含
む認証システムであって、前記認証サーバが、アクセス
者の認証に成功したときに、クライアント側装置に対し
て当該認証サーバ側の秘密鍵で署名した署名情報を設定
し、前記情報提供側サーバが、クライアント側装置に設
定されている署名情報に基づき、アクセス者が認証され
ているか否かを判断する、ことを特徴としている。
SUMMARY OF THE INVENTION The present invention for solving the above-mentioned problems of the conventional example is provided by an information providing side server for requesting authentication of an accessor, an authentication server for authenticating the accessor, and an accessor. An authentication system including a client side device to be used, wherein when the authentication server succeeds in authenticating an accessor, the client side device sets signature information signed with the private key of the authentication server side. The information providing server determines whether or not the accessor is authenticated based on the signature information set in the client side device.
【0015】また、上記従来例の問題点を解決するため
の本発明は、アクセス者の認証を求める情報提供側サー
バと、アクセス者の認証を実行する認証サーバと、アク
セス者が用いるクライアント側装置と、を用いる認証方
法であって、前記クライアント側装置からのアクセス要
求に応答し、前記情報提供側サーバが、所定のチャレン
ジ文字列を生成し、前記クライアント側装置に設定する
工程と、前記認証サーバが、前記クライアント側装置に
設定されたチャレンジ文字列に対して認証サーバ側で管
理される秘密鍵で署名し、署名情報を生成して、当該署
名情報をクライアント側装置に設定する工程と、前記情
報提供側サーバが、前記クライアント側装置に設定され
た署名情報を取得して、アクセス者が認証されているか
否かを判断する工程と、を含むことを特徴としている。
Further, according to the present invention for solving the above-mentioned problems of the conventional example, an information providing side server for requesting authentication of an accessor, an authentication server for executing authentication of the accessor, and a client side device used by the accessor. And a step of responding to an access request from the client side device, the information providing side server generates a predetermined challenge character string and sets the challenge character string in the client side device. A step in which the server signs the challenge character string set in the client-side device with a secret key managed on the authentication server side, generates signature information, and sets the signature information in the client-side device; The information providing side server acquires the signature information set in the client side device and determines whether or not the accessor is authenticated. It is characterized in that it comprises, when.
【0016】さらに、上記従来例の問題点を解決するた
めの本発明は、情報提供側サーバであって、アクセス者
を認証すべきときに、所定のチャレンジ文字列を生成し
て当該認証すべきアクセス者の利用するクライアント側
装置に当該生成したチャレンジ文字列を設定する手段
と、前記クライアント側装置が前記チャレンジ文字列に
対する署名情報の設定を受けているときに、当該署名情
報を取得し、当該署名情報を用いて認証されているか否
かを判断する手段と、を有してなることを特徴とする。
Further, the present invention for solving the above-mentioned problems of the conventional example is an information providing side server, and when an access person is to be authenticated, a predetermined challenge character string is generated to perform the authentication. A means for setting the generated challenge character string in the client side device used by the accessor, and acquiring the signature information when the client side device receives the setting of the signature information for the challenge character string, Means for determining whether or not the signature information has been used for authentication.
【0017】さらに、上記従来例の問題点を解決するた
めの本発明は、認証サーバであって、アクセス者の認証
を求める情報提供側装置が発行し、クライアント側装置
に対して設定した所定のチャレンジ文字列を取得し、事
前に設定された秘密鍵を用いて、前記チャレンジ文字列
に署名を施した署名情報を生成する手段と、前記署名情
報を前記クライアント側装置に対して設定する手段と、
を含み、当該クライアント側装置に設定された署名情報
が前記情報提供者側装置における認証の判断に供される
ことを特徴としている。
Further, the present invention for solving the problems of the above-mentioned conventional example is an authentication server, which is a predetermined server which is issued by an information providing side apparatus for requesting authentication of an accessor and set for the client side apparatus A means for obtaining a challenge character string and using a preset secret key, means for generating signature information by signing the challenge character string; and means for setting the signature information in the client side device. ,
In addition, the signature information set in the client side device is used for the authentication judgment in the information provider side device.
【0018】さらに、本発明のある態様によると、情報
提供側のサーバにより実行される認証確認方法であっ
て、アクセス者を認証すべきときに、所定のチャレンジ
文字列を生成して当該認証すべきアクセス者の利用する
クライアント側装置に当該生成したチャレンジ文字列を
設定する工程と、前記クライアント側装置が前記チャレ
ンジ文字列に対する署名情報の設定を受けているとき
に、当該署名情報を取得し、当該署名情報を用いて認証
されているか否かを判断する工程と、を有してなること
を特徴とする。
Further, according to an aspect of the present invention, there is provided an authentication confirmation method executed by a server on the information providing side, wherein a predetermined challenge character string is generated and authenticated when an accessor is to be authenticated. A step of setting the generated challenge character string in the client side device used by the desired access person, and when the client side device receives the setting of signature information for the challenge character string, acquires the signature information, And a step of determining whether or not the signature information is used for authentication.
【0019】また、本発明の別の態様によると、認証を
実際に行う認証サーバにより実行される認証方法であっ
て、アクセス者の認証を求める情報提供側装置が発行
し、クライアント側装置に対して設定した所定のチャレ
ンジ文字列を取得し、事前に設定された秘密鍵を用い
て、前記チャレンジ文字列に署名を施した署名情報を生
成する工程と、前記署名情報を前記クライアント側装置
に対して設定する工程と、を含み、当該クライアント側
装置に設定された署名情報が前記情報提供者側装置にお
ける認証の判断に供されることを特徴とする。
According to another aspect of the present invention, there is provided an authentication method executed by an authentication server for actually authenticating, which is issued by an information providing side apparatus for requesting authentication of an accessor and is issued to a client side apparatus. Acquiring a predetermined challenge character string set by, and using a preset secret key to generate signature information that signs the challenge character string, and the signature information to the client side device. And the setting step is performed, and the signature information set in the client-side device is used for authentication determination in the information provider-side device.
【0020】また、上記従来例の問題点を解決するため
の本発明は、情報提供側サーバにより実行される認証確
認プログラムであって、アクセス者を認証すべきとき
に、所定のチャレンジ文字列を生成して当該認証すべき
アクセス者の利用するクライアント側装置に当該生成し
たチャレンジ文字列を設定する手順と、前記クライアン
ト側装置が前記チャレンジ文字列に対する署名情報の設
定を受けているときに、当該署名情報を取得し、当該署
名情報を用いて認証されているか否かを判断する手順
と、を実行させることを特徴とする。
Further, the present invention for solving the above-mentioned problems of the conventional example is an authentication confirmation program executed by an information providing side server, and a predetermined challenge character string is provided when an accessor is to be authenticated. The procedure of generating and setting the generated challenge character string in the client side device used by the accessor to be authenticated, and the client side device, when the signature information for the challenge character string is set, And a procedure for acquiring signature information and determining whether or not the signature information is used for authentication.
【0021】さらに、上記従来例の問題点を解決するた
めの本発明は、認証プログラムであって、認証サーバ
に、アクセス者の認証を求める情報提供側装置が発行
し、クライアント側装置に対して設定した所定のチャレ
ンジ文字列を取得し、事前に設定された秘密鍵を用い
て、前記チャレンジ文字列に署名を施した署名情報を生
成する手順と、前記署名情報を前記クライアント側装置
に対して設定する手順と、を実行させ、当該クライアン
ト側装置に設定された署名情報が前記情報提供者側装置
における認証の判断に供されることを特徴とする。
Further, the present invention for solving the problems of the above-mentioned conventional example is an authentication program, which is issued by an information providing side apparatus requesting the authentication server to authenticate an accessor and is issued to a client side apparatus. Acquiring a set predetermined challenge character string, using a preset secret key, a procedure for generating signature information that signs the challenge character string, and the signature information to the client side device. And the signature information set in the client side device is used for authentication determination in the information provider side device.
【0022】[0022]
【発明の実施の形態】本発明の実施の形態について図面
を参照しながら説明する。本発明の実施の形態に係る認
証システムの各部は、図1に示すように、利用者側組織
10と、情報提供者側組織20とに分かれて配置され、
利用者側組織10には、クライアント側装置11と、認
証組織30とを含む。認証組織30は、認証サーバ31
と、人事情報サーバ32とを含み、認証サーバ31は、
図示しない認証局群(CA)と通信可能に接続されてい
る。また、情報提供者側組織20は、認証連携サーバ2
1と、情報提供サーバ(例えばWebサーバ)22と、
アクセス制御サーバ23とを含んで構成されている。な
お、認証サーバ31,人事情報サーバ32、認証連携サ
ーバ21、情報提供サーバ22、アクセス制御サーバ2
3は、例えばいずれもサーバコンピュータであり、事前
にインストールされたプログラムに従って動作し、以下
に説明する処理を実行する。なお、これらのサーバのプ
ログラムを別々のサーバコンピュータにインストールし
て使用してもよいし、いくつかを組み合わせて同一サー
バコンピュータにインストールして使用してもよい。ま
た、ここでは利用者側組織10に認証組織30を含んだ
構成としているが、認証組織は利用者側組織10とは独
立した組織であってもよい。この場合、認証組織30
は、インターネットなどを介して利用者側組織10に接
続される。
BEST MODE FOR CARRYING OUT THE INVENTION Embodiments of the present invention will be described with reference to the drawings. Each part of the authentication system according to the embodiment of the present invention is divided into a user side organization 10 and an information provider side organization 20, as shown in FIG.
The user side organization 10 includes a client side device 11 and an authentication organization 30. The authentication organization 30 is an authentication server 31.
And the personnel information server 32, the authentication server 31
A certificate authority group (CA) (not shown) is communicably connected. In addition, the information provider side organization 20 is the authentication cooperation server 2
1, an information providing server (for example, a Web server) 22,
The access control server 23 is included. The authentication server 31, the personnel information server 32, the authentication cooperation server 21, the information providing server 22, and the access control server 2
Reference numeral 3 denotes, for example, a server computer, which operates according to a program installed in advance and executes processing described below. The programs of these servers may be installed and used in different server computers, or some of them may be combined and installed and used in the same server computer. Although the user side organization 10 includes the authentication organization 30 here, the authentication organization may be an organization independent of the user side organization 10. In this case, the certification organization 30
Is connected to the user side organization 10 via the Internet or the like.
【0023】クライアント側装置11は、例えばWeb
ブラウザ等の情報アクセス用ソフトウエアがインストー
ルされたパーソナルコンピュータである。認証連携サー
バ21は、クライアント側装置11から情報提供サーバ
22へのアクセスを中継し、認証されていないアクセス
者がクライアント側装置11を用いてアクセスしてきた
ときに、ランダムな文字列(チャレンジ文字列)を生成
し、当該生成したチャレンジ文字列に対して事前に設定
された秘密鍵にて署名を行い、当該署名済のチャレンジ
文字列をクライアント側装置11に設定して、認証サー
バ31へアクセスするよう、クライアント側装置11に
指示(リダイレクト)する。また、この認証連携サーバ
21は、認証サーバ31によって署名されたチャレンジ
情報(署名情報)をクライアント側装置11から取得す
ると、当該署名を確認し、署名が確認されれば、クライ
アント側装置11を利用するアクセス者が認証されてい
るものと認識して、情報提供サーバ22からの情報を取
得して提供するようになる。本実施の形態においては、
この認証連携サーバ21が、本発明におけるチャレンジ
文字列を設定する手段と、署名情報を用いて認証されて
いるか否かを判断する手段とを実現する。
The client-side device 11 is, for example, a Web
A personal computer in which information access software such as a browser is installed. The authentication cooperation server 21 relays the access from the client side device 11 to the information providing server 22, and when an unauthenticated accesser accesses using the client side device 11, a random character string (challenge character string ) Is generated, the generated challenge character string is signed with a preset secret key, the challenge character string with the signature is set in the client-side device 11, and the authentication server 31 is accessed. So that the client-side device 11 is instructed (redirected). Further, the authentication cooperation server 21 confirms the signature when the challenge information (signature information) signed by the authentication server 31 is acquired from the client side device 11, and if the signature is confirmed, the client side device 11 is used. The accessing person who recognizes that he / she is authenticated is to acquire and provide the information from the information providing server 22. In the present embodiment,
The authentication cooperation server 21 realizes the means for setting the challenge character string in the present invention and the means for determining whether or not the signature character information is used for authentication.
【0024】情報提供サーバ22は、一般的なWebサ
ーバであり、認証連携サーバ21を介してクライアント
側装置11からのアクセスが行われた場合に、当該アク
セスに応答して情報の提供を行う。アクセス制御サーバ
23は、認証連携サーバ21により認証が行われたアク
セス者のアクセス制御を行う。本実施の形態では、認証
連携サーバ21は、単にアクセス者の認証のみを行うた
め、当該認証されたアクセス者が情報提供サーバ22か
ら情報を取得できる権限を有しているか否かに基づくア
クセス制限は行われていない。そこで、このアクセス制
御サーバ23が、認証連携サーバ21により認証された
アクセス者のアクセス権限を確認し、アクセス権限が確
認されたときに情報提供サーバ22からの情報提供が行
われるようにしているのである。
The information providing server 22 is a general Web server, and when an access is made from the client side device 11 via the authentication cooperation server 21, it provides information in response to the access. The access control server 23 controls the access of the accessor authenticated by the authentication cooperation server 21. In the present embodiment, since the authentication cooperation server 21 only authenticates the accessor, access restriction based on whether or not the authenticated accessor has the authority to acquire information from the information providing server 22. Has not been done. Therefore, the access control server 23 confirms the access authority of the accessor authenticated by the authentication cooperation server 21, and when the access authority is confirmed, the information providing server 22 provides the information. is there.
【0025】これら、情報提供側組織20の各部の動作
については、利用者側組織10の動作とともに、後に詳
しく述べる。
The operation of each part of the information providing organization 20 will be described later in detail together with the operation of the user organization 10.
【0026】認証サーバ31は、アクセス者により事前
に設定された、ユーザを識別する情報(例えばユーザ名
やユーザID)と、ユーザの認証のための情報(例えば
パスワード)とを関連づけて保持する。また、この認証
サーバ31は、クライアント側装置11からのアクセス
を受けると、当該クライアント装置11にチャレンジ文
字列が設定されているか否かを調べ、設定されていれ
ば、クライアント側装置11に対して認証のための情報
提供を求める。この情報は、例えばユーザ名とパスワー
ドとの組であってもよい。そして、認証のための情報に
より、アクセス者が認証されたときには、事前に設定さ
れた秘密鍵を用いてチャレンジ文字列とユーザを識別す
る情報(例えばユーザ名)とに対する署名を行い、その
署名結果としての署名情報をクライアント側装置11に
設定し、クライアント側装置11に対して、情報提供サ
ーバ22へのアクセスを行うよう指示(リダイレクト)
する。なお、署名結果としての署名情報には、図示しな
いCA局によって署名された、認証サーバ31の公開鍵
も含まれる。
The authentication server 31 holds information (for example, user name and user ID) for identifying the user, which is set in advance by the accessor, and information (for example, password) for authenticating the user in association with each other. When the authentication server 31 receives an access from the client-side device 11, the authentication server 31 checks whether or not a challenge character string is set in the client-side device 11, and if it is set, the client-side device 11 is checked. Request information for authentication. This information may be, for example, a set of user name and password. When the accessor is authenticated by the information for authentication, the challenge character string and the information for identifying the user (for example, the user name) are signed by using the secret key set in advance, and the signature result is obtained. To set the signature information of the client side device 11 in the client side device 11 and instruct the client side device 11 to access the information providing server 22 (redirect).
To do. The signature information as a signature result also includes the public key of the authentication server 31 signed by a CA station (not shown).
【0027】ここで、認証サーバ31が用いる秘密鍵
は、事前に認証サーバ31に固有のものとして設定され
たものである。この秘密鍵に対応する公開鍵は、図示し
ないCA局により署名されて用いられる。認証サーバ3
1は、ユーザが認証された際の署名情報として、CA局
によって署名された自身の公開鍵も、クライアント側装
置11に対して設定する。認証連携サーバ21では、認
証サーバ31にて署名に用いられた秘密鍵に対応する公
開鍵をクライアント側装置11から受け取り、事前に認
証連携サーバ21内に設定しておくCA局の公開鍵によ
り、認証サーバ31の公開鍵の署名の正当性を確認す
る。そして、その正当性が確認された場合、認証サーバ
31の公開鍵により、ユーザの署名情報の正当性を確認
する。署名が自己の発行したチャレンジ文字列に対して
正しく行われていることが確認できれば、ユーザの認証
がされているものとして判断する。これらの技術は、い
わゆるPKI(Public Key Infrastructure)技術とし
て広く知られたものであるので、詳細な説明を省略す
る。
Here, the secret key used by the authentication server 31 is set in advance as unique to the authentication server 31. The public key corresponding to this private key is used after being signed by a CA station (not shown). Authentication server 3
1 also sets its own public key signed by the CA station as signature information when the user is authenticated in the client-side device 11. In the authentication cooperation server 21, the public key corresponding to the private key used for the signature in the authentication server 31 is received from the client side device 11, and the public key of the CA station which is set in the authentication cooperation server 21 in advance is used. The validity of the signature of the public key of the authentication server 31 is confirmed. If the validity is confirmed, the validity of the user's signature information is confirmed using the public key of the authentication server 31. If it is confirmed that the signature is correctly applied to the challenge character string issued by itself, it is determined that the user has been authenticated. Since these techniques are widely known as so-called PKI (Public Key Infrastructure) techniques, detailed description thereof will be omitted.
【0028】人事情報サーバ32は、利用者側組織10
の人事情報を管理しており、認証サーバ31からの要求
に応じて人事情報を提供する。この人事情報サーバ32
の具体的動作については、後に詳しく説明する。
The personnel information server 32 is a user side organization 10.
Manages the personnel information of the above, and provides the personnel information in response to a request from the authentication server 31. This personnel information server 32
The specific operation of will be described in detail later.
【0029】次に、本実施の形態の認証システムにおけ
る認証動作の流れについて、図2を参照しながら説明す
る。まず、クライアント装置11から情報提供サーバ2
2に対してアクセス要求が行われると(S41)、この
要求を認証連携サーバ21が受取ってアクセス者の認証
を確認要求する(S42)。クライアント装置11側
は、この確認要求に対して、既に認証を受けている場合
(認証サーバ31による署名情報の設定(以下、ユーザ
証明書という)を受けている場合)、ユーザ証明書を情
報提供サーバ22に送信することとなるが、ここでは、
認証を受けていない場合についてまず説明する。認証を
受けていない場合、クライアント側装置11は、認証を
受けていない旨の情報を認証連携サーバ21に送信する
(S43)。
Next, the flow of the authentication operation in the authentication system of this embodiment will be described with reference to FIG. First, the client device 11 to the information providing server 2
When an access request is made to the server 2 (S41), the authentication cooperation server 21 receives the request and requests confirmation of the authentication of the accessor (S42). In response to this confirmation request, the client device 11 side provides the user certificate with information when it has already been authenticated (when the signature information is set by the authentication server 31 (hereinafter referred to as user certificate)). It will be sent to the server 22, but here,
First, the case where the user has not been certified will be described. When not authenticated, the client-side device 11 transmits information indicating that the client is not authenticated to the authentication cooperation server 21 (S43).
【0030】ここで、処理S41,S42の通信は、H
TTPとHTTPS(HTTPによる通信をSSLによ
り暗号化したもの)とのどちらを利用してもよいが(こ
のような通信を図中では破線で示している)、処理S4
3の通信は、HTTPSを利用して、その情報の内容が
第三者により知得できないようにしておく(このような
通信を図中では実線で示す)。なお、セキュリティ面を
特に重視する場合は、全てHTTPSで通信を行うこと
が望ましい。
Here, the communication of the processes S41 and S42 is H
Either TTP or HTTPS (HTTP communication encrypted by SSL) may be used (such communication is indicated by a broken line in the figure), but the process S4
The communication of No. 3 uses HTTPS so that the content of the information cannot be known by a third party (such communication is shown by a solid line in the figure). In addition, when security is emphasized, it is desirable that all communication be performed by HTTPS.
【0031】認証を受けていない旨の情報を受信した認
証連携サーバ21は、認証サーバを特定する情報の入力
をクライアント装置11に求めるフォームを送信する
(S44)。このフォーム送信もHTTPSを用いて行
われる。そしてクライアント側装置11では、このフォ
ームを表示してアクセス者に対して認証サーバを特定す
る情報を入力させ、入力された情報を認証連携サーバ2
1に送信する(S45)。この情報は、例えば認証サー
バのアドレスでもよいし、サーバ名(URL等)であっ
てもよい。また、認証連携サーバ21は、当該認証サー
バを特定する情報をクッキー(cookie)として、クライ
アント側装置11に記憶させておき、後に当該情報を利
用して、例えば処理S44において送信するフォームの
代わりにクッキーをクライアント側装置11から取出し
て、前回までに利用した認証サーバを特定する情報の一
覧を作成し、その一覧から選択するよう求めるフォーム
を送信するようにしても構わない。
The authentication cooperation server 21, which has received the information indicating that it has not been authenticated, transmits a form requesting the client device 11 to input the information for specifying the authentication server (S44). This form transmission is also performed using HTTPS. Then, the client-side device 11 displays this form and prompts the accessor to input information for specifying the authentication server, and the input information is used for the authentication cooperation server 2
1 (S45). This information may be, for example, the address of the authentication server or the server name (URL or the like). Further, the authentication cooperation server 21 stores the information for identifying the authentication server as a cookie in the client-side device 11, and uses the information later to replace the form to be transmitted in, for example, the process S44. It is also possible to take out the cookie from the client side device 11, create a list of information specifying the authentication servers used up to the previous time, and send a form requesting selection from the list.
【0032】認証連携サーバ21は、認証サーバを特定
する情報を受信すると、次に、ランダムなデータ(チャ
レンジ文字列)を発生させ、これに対して事前に設定さ
れた秘密鍵を用いて署名を行う(S46)。そして、署
名済のチャレンジ文字列をクライアント側装置11に設
定し(S47)、クライアント側装置11に対して、特
定された認証サーバ(ここでは認証サーバ31とする)
へアクセスするよう指示する(リダイレクトする)。こ
こでチャレンジ文字列の設定は、リダイレクトの指示を
GETあるいはPOSTで行う際のデータとして設定す
ることができる。リダイレクトは近年のWebブラウザ
が広く備える機能であるので、その詳細な説明を省略す
る。なお、クライアント側装置11が後に再び認証連携
サーバ21にアクセスしてくるときに、同一ユーザのア
クセスであることを確認するために、チャレンジ文字列
をクッキーとして設定しておいてもよいし、他の文字列
をクッキーとして設定しておいてもよい。クッキーは近
年のWebブラウザが広く備える機能であるので、その
詳細な説明を省略する。
Upon receiving the information for specifying the authentication server, the authentication cooperation server 21 next generates random data (challenge character string) and signs the signature using a secret key set in advance. Perform (S46). Then, the signed challenge character string is set in the client side device 11 (S47), and the specified authentication server (here, the authentication server 31) is set for the client side device 11.
Direct (redirect) to access. Here, the challenge character string can be set as data when the redirect instruction is given by GET or POST. Redirection is a function widely provided in recent Web browsers, and thus detailed description thereof will be omitted. When the client-side device 11 accesses the authentication cooperation server 21 again later, the challenge character string may be set as a cookie in order to confirm that the access is made by the same user. The character string of may be set as a cookie. Since the cookie is a function widely provided in recent Web browsers, detailed description thereof will be omitted.
【0033】クライアント側装置11は、リダイレクト
の指示を受けて、認証サーバ31に対してアクセスし、
署名済のチャレンジ文字列を認証サーバ31に対して送
出する(S48)。すると認証サーバ31がアクセス者
を認証するための情報を入力させるフォームを送信する
(S49)。このフォームを受信したクライアント側装
置11は、当該フォームを表示してアクセス者に対して
認証のための情報入力(例えばユーザ名とパスワード
等)を求める。
The client-side device 11 receives the redirect instruction, accesses the authentication server 31, and
The signed challenge character string is sent to the authentication server 31 (S48). Then, the authentication server 31 transmits a form for inputting information for authenticating the accessor (S49). The client-side device 11 that has received this form displays the form and requests the accessor to enter information for authentication (for example, a user name and password).
【0034】そしてアクセス者がこの求めに応じてユー
ザ名とパスワードとを認証情報として入力すると、これ
らの認証情報が認証サーバ31に送出され(S50)、
認証サーバ31が保持しているユーザ名とパスワードと
の情報との照合が行われる。この照合の結果、ユーザ名
とパスワードとが一致しているときには(認証が行われ
たときには)、認証サーバ31は、処理S48にて受領
した署名済のチャレンジ文字列に対し、認証サーバ31
に事前に設定されている秘密鍵を用いてさらに署名処理
を行い、その結果としての署名情報(ユーザ証明書)を
生成する。
When the accessor inputs the user name and password as the authentication information in response to this request, these authentication information are sent to the authentication server 31 (S50),
The information of the user name and password held by the authentication server 31 is collated. As a result of this collation, when the user name and the password match (when authentication is performed), the authentication server 31 performs the authentication server 31 on the signed challenge character string received in step S48.
Further, signature processing is further performed using a private key set in advance, and the resulting signature information (user certificate) is generated.
【0035】またここで、認証サーバ31は、人事情報
サーバ32にアクセスして(S51)、認証したユーザ
名に対応する人事情報を取得する(S52)ようにして
もよい。この処理S51,S52の通信は、認証サーバ
31と人事情報サーバ32の間が安全なネットワークセ
グメントであれば、任意のプロトコルを用いてもよい。
認証サーバ31と人事情報サーバ32の間がネットワー
ク上離れていたり、ユーザが直接接続するネットワーク
と共用されている場合は、HTTPSやその他の暗号化
通信を使うことが好ましい(この処理S51、S52の
通信は、必要に応じてHTTPS以外のものが使われて
もよいため、図2では一点鎖線で示す)。この際、認証
サーバ31は、処理S48で受領した情報から送出先の
認証連携サーバ名を取得し、当該認証連携サーバ21に
対して人事情報を送出してもよいと事前に設定されてい
る場合に限り、これら処理S51及びS52を実行して
人事情報を取得することとするのも好ましい。この人事
情報の送出の可否に関する設定は、ユーザ名に関連づけ
て設定されていてもよいし、ユーザ名とは関係なく設定
されていてもよい。
Further, the authentication server 31 may access the personnel information server 32 (S51) and acquire personnel information corresponding to the authenticated user name (S52). The communication of the processes S51 and S52 may use any protocol as long as the authentication server 31 and the personnel information server 32 are secure network segments.
If the authentication server 31 and the personnel information server 32 are separated from each other on the network or shared with the network to which the user directly connects, it is preferable to use HTTPS or other encrypted communication (this processing S51, S52 The communication may use other than HTTPS if necessary, and is therefore indicated by a chain line in FIG. 2). At this time, in the case where the authentication server 31 is set in advance that the authentication cooperation server name of the transmission destination may be acquired from the information received in the process S48 and the personnel information may be transmitted to the authentication cooperation server 21. Only, it is preferable to execute these processes S51 and S52 to acquire personnel information. The setting regarding whether or not to send the personnel information may be set in association with the user name, or may be set regardless of the user name.
【0036】ユーザ証明書を生成した認証サーバ31
は、当該ユーザ証明書をクライアント側装置11に対し
て設定する(S53)。このとき、処理S52により人
事情報が取得されているときには、当該人事情報もクラ
イアント側装置11に設定する。GETあるいはPOS
Tによるリダイレクト指示の中で設定することができ
る。また、認証サーバ31は、もとの情報提供サーバ2
2にアクセスするよう、クライアント側装置11に指示
(リダイレクト)する。もとの情報提供サーバ22のア
ドレスは、例えば、当該チャレンジ文字列に認証連携サ
ーバ21が署名して含めてもよいし、チャレンジ文字列
以外の場所に、認証連携サーバ21からクライアント側
装置11に設定する、認証サーバ31へのリダイレクト
指示の中に設定してもよい。なお、チャレンジ文字列と
して認証連携サーバ21が署名したものを用い、その署
名した秘密鍵に対する、CA局の公開鍵にて署名された
認証連携サーバ21の公開鍵もチャレンジ文字列に含め
る場合、その公開鍵を用いて、認証サーバ31は、ユー
ザ証明書や人事情報を暗号化してクライアント側装置1
1に設定することとしてもよい。この場合、認証サーバ
31での、認証連携サーバ21が正当であるか否かの確
認に役立つことが期待できる。
Authentication server 31 that generated the user certificate
Sets the user certificate in the client-side device 11 (S53). At this time, when the personnel information is acquired in the process S52, the personnel information is also set in the client-side device 11. GET or POS
It can be set in the redirect instruction by T. The authentication server 31 is the original information providing server 2
The client side device 11 is instructed (redirected) to access 2. The address of the original information providing server 22 may be included in the challenge string by the authentication collaboration server 21 signing it or may be included in a place other than the challenge string from the authentication collaboration server 21 to the client side device 11. It may be set in the set redirect instruction to the authentication server 31. When a challenge character string signed by the authentication cooperation server 21 is used, and the public key of the authentication cooperation server 21 signed with the public key of the CA is included in the challenge character string, the signed private key The authentication server 31 uses the public key to encrypt the user certificate and personnel information, and the client-side device 1
It may be set to 1. In this case, it can be expected that the authentication server 31 is useful for confirming whether the authentication cooperation server 21 is valid.
【0037】クライアント側装置11は、S53で認証
サーバ31から受領したユーザ証明書を、S53のプロ
トコルにてリダイレクト指示された内容の通りに、認証
連携サーバ21に送信する(S55)。認証連携サーバ
21は、当該ユーザ証明書の署名を公開鍵により確認し
(S56)、クライアント側装置11が認証されたアク
セス者によって操作されていることを認識し、情報提供
サーバ22から要求された情報を取得して(S57)、
当該情報をクライアント側装置11に送出する(S5
8)。この処理S57は、いわゆるリバース・プロキシ
の技術を利用したものである。もっとも、認証連携サー
バ21と情報提供サーバ22とは1つのサーバコンピュ
ータで実現してもよく、必ずしもリバース・プロキシの
技術を利用する必要もなく、認証連携サーバによる認証
完了後は、情報提供サーバ22が直接クライアント側装
置11から要求を受け付けて情報を提供するようにして
もよい。
The client-side device 11 transmits the user certificate received from the authentication server 31 in S53 to the authentication cooperation server 21 according to the contents of the redirect instruction in the protocol of S53 (S55). The authentication cooperation server 21 confirms the signature of the user certificate with the public key (S56), recognizes that the client side device 11 is operated by the authenticated accessor, and is requested by the information providing server 22. Get information (S57),
The information is sent to the client-side device 11 (S5
8). This process S57 uses a so-called reverse proxy technique. However, the authentication cooperation server 21 and the information providing server 22 may be realized by a single server computer, and it is not always necessary to use the reverse proxy technique, and after the authentication cooperation server completes the authentication, the information providing server 22 May directly accept the request from the client-side device 11 and provide the information.
【0038】なお、認証連携サーバ21は、人事情報が
取得されているときには、処理S57に先立ち、当該人
事情報に基づき、情報提供サーバ22から要求された情
報に対するアクセス権限を、当該アクセス者が有してい
るか否かをアクセス制御サーバ23に問い合わせ(S6
0)、アクセス権限ありとの応答を得たときにのみ処理
S57、S58を実行して、情報の取得・提供をおこな
うようにしてもよい。この場合、アクセス権限がなけれ
ば、処理S57,S58の代りにクライアント側装置1
1に対して認証エラーを送出して処理を終了する。
Note that when the personnel information is acquired, the authentication cooperation server 21 has the access authority to the information requested by the information providing server 22, based on the personnel information, before the processing S57. The access control server 23 is inquired whether or not (S6
0) Alternatively, the processes S57 and S58 may be executed only when a response indicating that the user has the access right is obtained to acquire and provide the information. In this case, if there is no access authority, the client side device 1 is used instead of the processes S57 and S58.
An authentication error is sent to 1 and the process ends.
【0039】さらにここでは、処理S51,S52にて
認証サーバ31が人事情報を取得するようにしている
が、認証サーバ31と人事情報サーバ32で管理するユ
ーザの範囲が異なる場合等のために、認証サーバ31が
ユーザ証明書だけをクライアント側装置11に設定して
おき、認証連携サーバ21での確認処理(処理S55で
渡された情報の確認)後に、認証連携サーバ21がクラ
イアント側装置11にリダイレクト指示することによ
り、クライアント側装置11が人事情報サーバ32にア
クセスし、人事情報を取得するようにしてもよい。この
際、人事情報サーバ32は、クライアント側装置11に
人事情報を、認証連携サーバ21にリダイレクトするよ
う指示することとともに設定し、認証連携サーバ21は
結果として人事情報を取得することができる。
Further, here, the authentication server 31 acquires the personnel information in the processes S51 and S52. However, because the range of users managed by the authentication server 31 and the personnel information server 32 are different, The authentication server 31 sets only the user certificate in the client side device 11, and after the confirmation process in the authentication cooperation server 21 (confirmation of the information passed in the process S55), the authentication cooperation server 21 causes the client side device 11 to execute. The client-side device 11 may access the personnel information server 32 and acquire personnel information by issuing a redirect instruction. At this time, the personnel information server 32 sets and instructs the client-side device 11 to redirect the personnel information to the authentication cooperation server 21, and the authentication cooperation server 21 can obtain the personnel information as a result.
【0040】以上の一連の流れにおいて、ユーザの識別
のための情報(例えばユーザ名)、ユーザの認証のため
の情報(例えばパスワード)は、図1の情報提供側組織
20に事前に設定したりアクセス時に入力したりするこ
とが必要なく、利用者側組織10に事前に設定したりア
クセス時に入力することのみが必要である。これによ
り、ユーザは同一のパスワードで複数の異なる情報提供
側組織20の情報提供サーバ22にアクセスすることが
可能になる。すなわち、広義のシングル・サインオンの
システムが実現される。ここで、広義のシングル・サイ
ンオンとは、ユーザが単一のユーザ名、パスワードで複
数の異なる情報提供サーバにアクセスできることとし、
狭義のシングル・サインオンとは、ユーザが単一のユー
ザ名、パスワードを一度だけ入力するのみで複数の異な
る情報提供サーバにアクセスできることとしている。ま
た、クライアント側装置11が、ある情報提供組織20
にアクセスした後、別の情報提供側組織にアクセスする
とき、最初にアクセスした情報提供組織にアクセスした
ときと同じ手順が行われる。しかし、例えば、最初にア
クセスした際に認証サーバ21がクライアント側装置1
1に、個別のアクセスを特定し得るクッキーを設定し、
同じクッキーを持ってアクセスしてきたユーザに対して
はそのユーザの認証がなされたものとみなすようにして
ユーザ証明書を発行するようにすれば、処理S49、S
50のユーザへの認証要求が行われなくてもよいように
することができる。すなわち、別の情報提供組織20に
アクセスした際に、ユーザが再度パスワード等を入力し
なくても、ユーザがその情報にアクセスすることが、
(アクセス許可されていれば)可能となる。これによ
り、狭義のシングル・サインオンのシステムが実現され
る。
In the above series of steps, the information for identifying the user (for example, the user name) and the information for authenticating the user (for example, the password) are set in advance in the information providing organization 20 in FIG. It is not necessary to input it at the time of access, and it is only necessary to set it in the user side organization 10 in advance or input it at the time of access. As a result, the user can access the information providing servers 22 of the plurality of different information providing organizations 20 with the same password. That is, a single sign-on system in a broad sense is realized. Here, single sign-on in a broad sense means that a user can access a plurality of different information providing servers with a single user name and password.
In a narrow sense, single sign-on means that a user can access a plurality of different information providing servers by entering a single user name and password only once. Further, the client-side device 11 has a certain information providing organization 20.
After accessing, the same procedure as when accessing the information providing organization accessed first is performed when accessing another information providing organization. However, for example, when the authentication server 21 first accesses the client-side device 1
1, set a cookie that can identify individual access,
If a user who has accessed with the same cookie is considered to have been authenticated and a user certificate is issued, the processes S49, S
The authentication request to the 50 users may not be made. That is, when the user accesses another information providing organization 20, the user may access the information without entering the password again.
Yes (if access is allowed). This realizes a single sign-on system in a narrow sense.
【0041】本実施の形態によれば、ユーザ名とパスワ
ードとは認証サーバ側でのみ管理され、かつアクセス自
体は直接情報提供サーバ側に対して行われる。すなわ
ち、本実施の形態によりセキュリティの高いシングル・
サインオンシステムを実現でき、かつ認証サーバに対す
る負荷の集中という問題も生じない。さらに、認証に係
る情報は、PKI技術による署名によりそのセキュリテ
ィが担保されている。
According to this embodiment, the user name and password are managed only on the authentication server side, and the access itself is directly made to the information providing server side. In other words, the high security single
A sign-on system can be realized and the problem of load concentration on the authentication server does not occur. Furthermore, the security of the information related to the authentication is secured by the signature of the PKI technology.
【0042】また、本実施の形態においては、認証を要
する情報を提供する側が、認証サーバに対して直接アク
セスすることがなく、認証サーバ自体に対する攻撃を軽
減できる。このために例えば、利用者側組織10と、情
報提供側組織20との間にいわゆるファイアウオールを
設定することができる。
Further, in the present embodiment, the side providing the information requiring authentication does not directly access the authentication server, and the attack on the authentication server itself can be mitigated. Therefore, for example, a so-called firewall can be set between the user side organization 10 and the information providing side organization 20.
【0043】なお、ユーザ証明書は、所定の条件が満足
された場合にクライアント側装置11により削除される
ようにすることが好ましい。ここで所定の条件とは、セ
ッションの回数に基づく条件やアクセス者の操作に基づ
く条件、さらに時刻による条件などがある。具体的に
は、n回のセッションが行われた後で削除したり、アク
セス者が明示的に「アクセス終了」を指示したときに削
除するようにしたり、1時間経過後に削除するようにす
る。クッキーの場合、これらの条件を設定することがで
きる。
The user certificate is preferably deleted by the client side device 11 when a predetermined condition is satisfied. Here, the predetermined condition includes a condition based on the number of sessions, a condition based on an operation by an accessor, and a condition based on time. Specifically, it is deleted after n sessions have been performed, deleted when the accessor explicitly gives an instruction to "end access", or deleted after one hour. In the case of cookies, these conditions can be set.
【0044】また、チャレンジ文字列やユーザ証明書、
人事情報等の各情報は、XML(eXtended Markup Lang
uage)によって記述されてもよい。
In addition, a challenge character string, a user certificate,
Each information such as personnel information is XML (eXtended Markup Lang
uage).
【0045】[0045]
【発明の効果】本発明によれば、認証サーバが、アクセ
ス者の認証に成功したときに、クライアント側装置に対
して当該認証サーバ側の秘密鍵で署名した署名情報を設
定し、情報提供側サーバが、クライアント側装置に設定
されている署名情報に基づき、アクセス者が認証されて
いるか否かを判断する認証システムとしているので、ユ
ーザ名とパスワードとは認証サーバ側でのみ管理され、
かつアクセス自体は直接情報提供サーバ側に対して行わ
れる。また、認証サーバは情報提供側サーバからアクセ
ス可能でなくともよい。そのため、よりセキュリティの
高いシングル・サインオンシステムを実現できる。
According to the present invention, when the authentication server succeeds in authenticating the accessor, the signature information signed by the private key of the authentication server is set in the client side device, and the information providing side Since the server is an authentication system that determines whether the accessor is authenticated based on the signature information set in the client side device, the user name and password are managed only on the authentication server side,
And the access itself is made directly to the information providing server side. Further, the authentication server may not be accessible from the information providing server. Therefore, a more secure single sign-on system can be realized.
【図面の簡単な説明】[Brief description of drawings]
【図1】 本発明の実施の形態に係る認証システムの構
成ブロック図である。
FIG. 1 is a configuration block diagram of an authentication system according to an embodiment of the present invention.
【図2】 本発明の実施の形態に係る認証システムの動
作を表すフローチャート図である。
FIG. 2 is a flowchart showing the operation of the authentication system according to the exemplary embodiment of the present invention.
【図3】 従来の認証システムの例を表す説明図であ
る。
FIG. 3 is an explanatory diagram showing an example of a conventional authentication system.
【符号の説明】[Explanation of symbols]
1,11 クライアント側装置、2,22 情報提供サ
ーバ、3,31 認証サーバ、4 ディレクトリサー
バ、10 利用者側組織、20 情報提供側組織、21
認証連携サーバ、23 アクセス制御サーバ、32
人事情報サーバ。
1, 11 Client side device, 2, 22 Information providing server, 3, 31 Authentication server, 4 Directory server, 10 User side organization, 20 Information providing side organization, 21
Authentication cooperation server, 23 Access control server, 32
Personnel information server.

Claims (8)

    【特許請求の範囲】[Claims]
  1. 【請求項1】 アクセス者の認証を求める情報提供側サ
    ーバと、 アクセス者の認証を実行する認証サーバと、 アクセス者が用いるクライアント側装置と、を含む認証
    システムであって、 前記認証サーバが、アクセス者の認証に成功したとき
    に、クライアント側装置に対して当該認証サーバ側の秘
    密鍵で署名した署名情報を設定し、 前記情報提供側サーバが、クライアント側装置に設定さ
    れている署名情報に基づき、アクセス者が認証されてい
    るか否かを判断する、 ことを特徴とする認証システム。
    1. An authentication system including an information providing server for requesting authentication of an accessor, an authentication server for executing authentication of the accessor, and a client side device used by the accessor, wherein the authentication server comprises: When the accessor is successfully authenticated, the signature information signed by the private key of the authentication server is set in the client side device, and the information providing side server sets the signature information set in the client side device. An authentication system characterized by determining whether an access person is authenticated based on the above.
  2. 【請求項2】 アクセス者の認証を求める情報提供側サ
    ーバと、 アクセス者の認証を実行する認証サーバと、 アクセス者が用いるクライアント側装置と、を用いる認
    証方法であって、 前記クライアント側装置からのアクセス要求に応答し、
    前記情報提供側サーバが、所定のチャレンジ文字列を生
    成し、前記クライアント側装置に設定する工程と、 前記認証サーバが、前記クライアント側装置に設定され
    たチャレンジ文字列に対して認証サーバ側で管理される
    秘密鍵で署名し、署名情報を生成して、当該署名情報を
    クライアント側装置に設定する工程と、 前記情報提供側サーバが、前記クライアント側装置に設
    定された署名情報を取得して、アクセス者が認証されて
    いるか否かを判断する工程と、 を含むことを特徴とする認証方法。
    2. An authentication method using an information providing side server for requesting authentication of an accessor, an authentication server for executing authentication of the accessor, and a client side device used by the accessor, comprising: Responding to the access request of
    The information providing server generates a predetermined challenge character string and sets the challenge character string in the client side device; and the authentication server manages the challenge character string set in the client side device on the authentication server side. Signing with the private key, generating signature information, and setting the signature information in the client side device; and the information providing side server acquiring the signature information set in the client side device, An authentication method comprising: a step of determining whether or not an accessor has been authenticated.
  3. 【請求項3】 アクセス者を認証すべきときに、所定の
    チャレンジ文字列を生成して当該認証すべきアクセス者
    の利用するクライアント側装置に当該生成したチャレン
    ジ文字列を設定する手段と、 前記クライアント側装置が前記チャレンジ文字列に対す
    る署名情報の設定を受けているときに、当該署名情報を
    取得し、当該署名情報を用いて認証されているか否かを
    判断する手段と、 を有してなることを特徴とする情報提供側サーバ。
    3. A means for generating a predetermined challenge character string when an access person is to be authenticated and setting the generated challenge character string in a client side device used by the access person to be authenticated, said client. When the side device receives the setting of the signature information for the challenge character string, it acquires the signature information and determines whether or not it is authenticated using the signature information. An information providing side server.
  4. 【請求項4】 アクセス者の認証を求める情報提供側装
    置が発行し、クライアント側装置に対して設定した所定
    のチャレンジ文字列を取得し、事前に設定された秘密鍵
    を用いて、前記チャレンジ文字列に署名を施した署名情
    報を生成する手段と、 前記署名情報を前記クライアント側装置に対して設定す
    る手段と、 を含み、 当該クライアント側装置に設定された署名情報が前記情
    報提供者側装置における認証の判断に供されることを特
    徴とする認証サーバ。
    4. The challenge character string, which is issued by an information providing side device requesting authentication of an accessor and is set for the client side device, is obtained, and the challenge character is obtained by using a preset secret key. A means for generating signature information in which a column is signed, and means for setting the signature information in the client side device, wherein the signature information set in the client side device is the information provider side device. An authentication server characterized by being used for authentication judgment in.
  5. 【請求項5】 情報提供側のサーバにより実行される認
    証確認方法であって、 アクセス者を認証すべきときに、所定のチャレンジ文字
    列を生成して当該認証すべきアクセス者の利用するクラ
    イアント側装置に当該生成したチャレンジ文字列を設定
    する工程と、 前記クライアント側装置が前記チャレンジ文字列に対す
    る署名情報の設定を受けているときに、当該署名情報を
    取得し、当該署名情報を用いて認証されているか否かを
    判断する工程と、 を有してなることを特徴とする認証確認方法。
    5. An authentication confirmation method executed by a server on the information providing side, wherein when an access person should be authenticated, a predetermined challenge character string is generated and the client side used by the access person to be authenticated. And a step of setting the generated challenge character string in the device, and when the client-side device receives setting of signature information for the challenge character string, acquires the signature information and is authenticated using the signature information. An authentication confirmation method characterized by comprising the step of determining whether or not
  6. 【請求項6】 認証を実際に行う認証サーバにより実行
    される認証方法であって、 アクセス者の認証を求める情報提供側装置が発行し、ク
    ライアント側装置に対して設定した所定のチャレンジ文
    字列を取得し、事前に設定された秘密鍵を用いて、前記
    チャレンジ文字列に署名を施した署名情報を生成する工
    程と、 前記署名情報を前記クライアント側装置に対して設定す
    る工程と、 を含み、 当該クライアント側装置に設定された署名情報が前記情
    報提供者側装置における認証の判断に供されることを特
    徴とする認証方法。
    6. An authentication method executed by an authentication server that actually performs authentication, wherein a predetermined challenge character string issued by an information providing side device requesting authentication of an accessor and set for a client side device is set. A step of generating signature information obtained by signing the challenge character string by using a secret key set in advance, and a step of setting the signature information in the client-side device; An authentication method, wherein the signature information set in the client side device is used for the authentication judgment in the information provider side device.
  7. 【請求項7】 情報提供側サーバに、 アクセス者を認証すべきときに、所定のチャレンジ文字
    列を生成して当該認証すべきアクセス者の利用するクラ
    イアント側装置に当該生成したチャレンジ文字列を設定
    する手順と、 前記クライアント側装置が前記チャレンジ文字列に対す
    る署名情報の設定を受けているときに、当該署名情報を
    取得し、当該署名情報を用いて認証されているか否かを
    判断する手順と、 を実行させることを特徴とする認証確認プログラム。
    7. An information providing server, when an access person is to be authenticated, generates a predetermined challenge character string and sets the generated challenge character string in a client side device used by the access person to be authenticated. And a procedure for acquiring the signature information when the client-side device receives the signature information for the challenge character string and determining whether or not the signature information is authenticated using the signature information. An authentication confirmation program characterized by causing the user to execute.
  8. 【請求項8】 認証サーバに、 アクセス者の認証を求める情報提供側装置が発行し、ク
    ライアント側装置に対して設定した所定のチャレンジ文
    字列を取得し、事前に設定された秘密鍵を用いて、前記
    チャレンジ文字列に署名を施した署名情報を生成する手
    順と、 前記署名情報を前記クライアント側装置に対して設定す
    る手順と、 を実行させ、 当該クライアント側装置に設定された署名情報が前記情
    報提供者側装置における認証の判断に供されることを特
    徴とする認証プログラム。
    8. An authentication server issues a predetermined challenge character string issued by an information providing side device requesting authentication of an accessor and set to a client side device, and uses a secret key set in advance. , A procedure for generating signature information in which the challenge character string is signed, and a procedure for setting the signature information in the client side device are executed, and the signature information set in the client side device is An authentication program characterized by being used for authentication judgment in the information provider side device.
JP2002037383A 2002-02-14 2002-02-14 Authentication system Pending JP2003244134A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2002037383A JP2003244134A (en) 2002-02-14 2002-02-14 Authentication system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2002037383A JP2003244134A (en) 2002-02-14 2002-02-14 Authentication system

Publications (1)

Publication Number Publication Date
JP2003244134A true JP2003244134A (en) 2003-08-29

Family

ID=27779000

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2002037383A Pending JP2003244134A (en) 2002-02-14 2002-02-14 Authentication system

Country Status (1)

Country Link
JP (1) JP2003244134A (en)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005531054A (en) * 2002-06-22 2005-10-13 テレフオンアクチーボラゲット エル エム エリクソン(パブル) How to supply information to a web server
JP2008042819A (en) * 2006-08-10 2008-02-21 Nippon Telegr & Teleph Corp <Ntt> User line authentication system, method, and program
JP2014048800A (en) * 2012-08-30 2014-03-17 Toyota Motor Corp Authentication system and authentication method
WO2019198131A1 (en) * 2018-04-09 2019-10-17 三菱電機株式会社 Authentication system and authentication program
WO2019198130A1 (en) * 2018-04-09 2019-10-17 三菱電機株式会社 Authentication system and authentication program

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005531054A (en) * 2002-06-22 2005-10-13 テレフオンアクチーボラゲット エル エム エリクソン(パブル) How to supply information to a web server
JP2008042819A (en) * 2006-08-10 2008-02-21 Nippon Telegr & Teleph Corp <Ntt> User line authentication system, method, and program
JP4611946B2 (en) * 2006-08-10 2011-01-12 日本電信電話株式会社 User line authentication system, user line authentication method, and user line authentication program
JP2014048800A (en) * 2012-08-30 2014-03-17 Toyota Motor Corp Authentication system and authentication method
WO2019198131A1 (en) * 2018-04-09 2019-10-17 三菱電機株式会社 Authentication system and authentication program
WO2019198130A1 (en) * 2018-04-09 2019-10-17 三菱電機株式会社 Authentication system and authentication program
GB2583686A (en) * 2018-04-09 2020-11-04 Mitsubishi Electric Corp Authentication system and authentication program
GB2584580A (en) * 2018-04-09 2020-12-09 Mitsubishi Electric Corp Authentication system and authentication program

Similar Documents

Publication Publication Date Title
US20180097806A1 (en) Multi factor user authentication on multiple devices
KR100800339B1 (en) Method and system for user-determined authentication and single-sign-on in a federated environment
TWI400922B (en) Authentication of a principal in a federation
KR100872099B1 (en) Method and system for a single-sign-on access to a computer grid
JP4782986B2 (en) Single sign-on on the Internet using public key cryptography
US7587491B2 (en) Method and system for enroll-thru operations and reprioritization operations in a federated environment
KR100946110B1 (en) Method and system for stepping up to certificate-based authentication without breaking an existing ssl session
US7565536B2 (en) Method for secure delegation of trust from a security device to a host computer application for enabling secure access to a resource on the web
JP5030967B2 (en) Method and system for extending authentication methods
US20060294366A1 (en) Method and system for establishing a secure connection based on an attribute certificate having user credentials
JP2006031064A (en) Session management system and management method
JP2007293760A (en) Single sign-on cooperation method and system using individual authentication
US11012441B2 (en) Hybrid authentication systems and methods
US9432355B2 (en) Single sign-on method in multi-application framework
JP5602165B2 (en) Method and apparatus for protecting network communications
JP2003244134A (en) Authentication system
JP2005157845A (en) Server system, client server system and method for logging-in client server system
JP2012181662A (en) Account information cooperation system
JP2020014168A (en) Electronic signature system, certificate issuing system, key management system, and electronic certificate issuing method
JP5302665B2 (en) Authentication server presentation method, service providing system, service providing apparatus, and service providing program
Balaji et al. Web-Based System—Authentication to Single Log-on to Several Applications
Federation Adopted Schemes
Ahmed et al. An Efficient An Efficient, Robust and Secure SSO Architecture for Cloud Computing Implemented in Computing Implemented in a Service Oriented Architecture Service Oriented Architecture