JP2003318889A - ユーザ認証方法、通信システム、認証サーバ装置、サーバ装置及びユーザ端末装置 - Google Patents

Abstract

(57)【要約】 【課題】 各サーバ装置の情報管理稼働を削減し、各サ
ーバ装置の認証処理と暗号化通信に要する処理工程、処
理負荷を削減する。 【解決手段】 認証サーバ装置２は、ユーザ端末装置１
の正当性を検証し、暗号化通信用情報を生成する。サー
バ装置３は、ユーザ端末装置１からのサービス要求に応
じて、ユーザ端末装置１に対応する暗号化通信用情報の
送付を認証サーバ装置２に要求し、取得した暗号化通信
用情報を用いた暗号化通信をユーザ端末装置１と行う。
ユーザ端末装置１は、認証サーバ装置２で自装置の正当
性が確認された後に認証サーバ装置２と共通の暗号化通
信用情報を生成し、生成した暗号化通信用情報を用いた
暗号化通信をサーバ装置３と行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ユーザ端末装置に
ネットワークを通じてサービスを提供する複数のサーバ
装置に代わって、ネットワーク上の認証サーバ装置がユ
ーザ端末装置の認証を行うユーザ認証方法、通信システ
ム、認証サーバ装置、サーバ装置及びユーザ端末装置に
関するものである。

【０００２】

【従来の技術】従来から、ユーザ認証を必要とするサー
バ装置に端末装置から接続するための技術として、ユー
ザアカウント／パスワードを使用したユーザ認証方式
や、ディジタル証明書を用いたユーザ認証方式が利用さ
れている。ここで、複数のサーバ装置が存在する場合に
は、サーバ装置毎に前述のユーザ認証処理を行ってい
る。

【０００３】また、サーバ装置と端末装置間の暗号化通
信を行う技術として、暗号化通信のための共通情報を予
め端末装置とサーバ装置へ配備する方式や、サーバ装置
でユーザ認証を行う都度、暗号化通信用の情報を生成し
て、端末装置とサーバ装置間で暗号化通信を行う方式が
普及している。

【０００４】

【発明が解決しようとする課題】以上のように、従来の
ユーザ認証方式では、ディジタル証明書を用いたユーザ
認証をサーバ装置毎に実施する場合、認証情報を各サー
バ装置に配備して管理させる必要があり、各サーバ装置
で認証処理が必要になるという問題点があった。また、
従来の暗号化通信技術では、暗号化通信のための共通情
報を各サーバ装置に配備して管理させる必要があり、サ
ーバ装置でユーザ認証を行う都度、暗号化通信用の情報
を生成する方式では、各サーバ装置で情報生成のための
処理が必要になるという問題点があった。

【０００５】本発明は、上記課題を解決するためになさ
れたもので、ユーザ認証と暗号化通信において、各サー
バ装置の情報管理稼働を削減し、各サーバ装置の認証処
理と暗号化通信に要する処理工程、処理負荷を削減する
ことができるユーザ認証方法、通信システム、認証サー
バ装置、サーバ装置及びユーザ端末装置を提供すること
を目的とする。

【０００６】

【課題を解決するための手段】本発明は、ユーザ端末装
置（図１の１）にネットワーク（４）を通じてサービス
を提供する複数のサーバ装置（３）に代わって、前記ネ
ットワーク上の認証サーバ装置（２）が前記ユーザ端末
装置の認証を行うユーザ認証方法であって、前記サーバ
装置にサービスを要求するにあたって前記ユーザ端末装
置から前記認証サーバ装置にディジタル証明書を送付す
る証明書送付手順と、受信した前記ディジタル証明書を
基に前記認証サーバ装置で前記ユーザ端末装置の正当性
を検証する認証手順と、前記ユーザ端末装置の正当性が
確認された後に前記認証サーバ装置と前記ユーザ端末装
置で共通の暗号化通信用情報を生成する暗号化通信用情
報生成手順と、前記認証サーバ装置で正当性が確認され
た前記ユーザ端末装置からのサービス要求に応じて、こ
のユーザ端末装置に対応する暗号化通信用情報を前記サ
ーバ装置が前記認証サーバ装置から取得する暗号化通信
用情報取得手順と、前記暗号化通信用情報を用いた暗号
化通信を前記サーバ装置と前記ユーザ端末装置間で行う
暗号化通信手順とを実行するようにしたものである。ま
た、本発明の通信システムにおいて、前記認証サーバ装
置は、前記ユーザ端末装置から送付されたディジタル証
明書を基に前記ユーザ端末装置の正当性を検証する認証
手段と、前記ユーザ端末装置の正当性が確認された後に
暗号化通信用情報を生成する第１の暗号化通信用情報生
成手段と、前記サーバ装置からの暗号化通信用情報送付
要求に応じて、このサーバ装置にサービスを要求したユ
ーザ端末装置に対応する暗号化通信用情報を前記サーバ
装置に返送する暗号化通信用情報送信手段とを有し、前
記サーバ装置は、前記認証サーバ装置で正当性が確認さ
れた前記ユーザ端末装置からのサービス要求に応じて、
このユーザ端末装置に対応する暗号化通信用情報の送付
を前記認証サーバ装置に要求する暗号化通信用情報取得
手段と、この暗号化通信用情報取得手段によって取得さ
れた暗号化通信用情報を用いた暗号化通信を前記ユーザ
端末装置と行う第１の暗号化通信手段とを有し、前記ユ
ーザ端末装置は、前記サーバ装置にサービスを要求する
にあたって前記認証サーバ装置に前記ディジタル証明書
を送付する証明書送付手段と、前記認証サーバ装置で自
装置の正当性が確認された後に前記認証サーバ装置と共
通の暗号化通信用情報を生成する第２の暗号化通信用情
報生成手段と、この第２の暗号化通信用情報生成手段に
よって生成された暗号化通信用情報を用いた暗号化通信
を前記サーバ装置と行う第２の暗号化通信手段とを有す
るものである。

【０００７】また、本発明の認証サーバ装置は、前記ユ
ーザ端末装置から前記サーバ装置にサービスを要求する
にあたって前記ユーザ端末装置から送付されたディジタ
ル証明書を基に前記ユーザ端末装置の正当性を検証する
認証手段と、前記ユーザ端末装置の正当性が確認された
後に前記ユーザ端末装置と共通の暗号化通信用情報を生
成する暗号化通信用情報生成手段と、前記サービス要求
を受けたサーバ装置からの暗号化通信用情報送付要求に
応じて、このサーバ装置にサービス要求したユーザ端末
装置に対応する暗号化通信用情報を前記サーバ装置に返
送する暗号化通信用情報送信手段とを有するものであ
る。また、本発明のサーバ装置は、自装置に代わって認
証を行う認証サーバ装置で正当性が確認されたユーザ端
末装置からのサービス要求に応じて、前記認証の際に生
成された、前記ユーザ端末装置と共通の暗号化通信用情
報を前記認証サーバ装置から取得する暗号化通信用情報
取得手段と、前記取得した暗号化通信用情報を用いた暗
号化通信を前記ユーザ端末装置と行う暗号化通信手段と
を有するものである。また、本発明のユーザ端末装置
は、ネットワーク上のサーバ装置にサービスを要求する
にあたって、前記サーバ装置に代わって認証を行う認証
サーバ装置にディジタル証明書を送付する証明書送付手
段と、前記認証サーバ装置で自装置の正当性が確認され
た後に前記認証サーバ装置と共通の暗号化通信用情報を
生成する暗号化通信用情報生成手段と、前記認証サーバ
装置から自装置に対応する暗号化通信用情報を取得した
前記サーバ装置との間で、前記生成された暗号化通信用
情報を用いた暗号化通信を行う暗号化通信手段とを有す
るものである。

【０００８】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照して詳細に説明する。図１は本発明の実施
の形態となる通信システムの構成を示すブロック図であ
る。本実施の形態の通信システムは、ユーザ端末装置１
と、ユーザ認証を行う認証サーバ装置２と、認証サーバ
装置２で認証されたユーザ端末装置１にサービスを提供
するサーバ装置３と、ユーザ端末装置１と認証サーバ装
置２とサーバ装置３とを相互に接続する電気通信網４と
から構成される。

【０００９】図１の通信システムは、ユーザがユーザ端
末装置１を操作して認証サーバ装置２へアクセスし、認
証サーバ装置２でユーザ認証を受けた後、サーバ装置３
へアクセスして、サーバ装置３と暗号化通信を行いつつ
サービス提供を受けるシステムである。ユーザ端末装置
１と認証サーバ装置２とサーバ装置３の構成は、それぞ
れコンピュータで実現することができる。

【００１０】ユーザ端末装置１は、電気通信網４とのイ
ンタフェースとなるインタフェース装置１１と、記憶装
置１２と、ＣＰＵ１３と、キーボード等の入力装置１４
とを有する。記憶装置１２には、ユーザを証明するユー
ザ証明書１２１と、このユーザ証明書１２１内に格納さ
れている公開鍵（不図示）と対をなす秘密鍵１２２とが
予め格納されている。ユーザ証明書１２１には、前記公
開鍵と、秘密鍵１２２を用いて作成された署名文とが格
納されている。

【００１１】認証サーバ装置２は、電気通信網４とのイ
ンタフェースとなるインタフェース装置２１と、記憶装
置２２と、ＣＰＵ２３とを有する。記憶装置２２には、
ユーザ認証で使用するユーザ情報管理データベース２２
１と、認証サーバ装置２を証明するサーバ証明書２２２
と、このサーバ証明書２２２内に格納されている公開鍵
（不図示）と対をなす秘密鍵２２３とが予め格納されて
いる。サーバ証明書２２２には、前記公開鍵と、秘密鍵
２２３を用いて作成された署名文とが格納されている。
サーバ装置３は、電気通信網４とのインタフェースとな
るインタフェース装置３１と、記憶装置３２と、ＣＰＵ
３３とを有する。

【００１２】ユーザがユーザ端末装置１の入力装置１４
を操作して分散ネットワーク環境上のサーバ装置３に接
続するにあたり、ユーザ端末装置１のＣＰＵ１３は、認
証サーバ装置２ヘユーザ認証要求を行う。

【００１３】電気通信網４を通じてユーザ認証要求を受
け取った認証サーバ装置２のＣＰＵ２３は、記憶装置２
２から取り出したサーバ証明書２２２をユーザ端末装置
１に送信した後、ユーザ証明書１２１の送付をユーザ端
末装置１へ要求する。ユーザ端末装置１のＣＰＵ１３
は、認証サーバ装置２から受け取ったサーバ証明書２２
２内の署名文をサーバ証明書２２２に含まれる公開鍵を
用いて復号し検証を行う。ＣＰＵ１３は、サーバ証明書
２２２の正当性を検証した後、記憶装置１２から取り出
したユーザ証明書１２１を認証サーバ装置２に送信す
る。

【００１４】認証サーバ装置２のＣＰＵ２３は、ユーザ
端末装置１からユーザ証明書１２１を受け取ると、この
ユーザ証明書１２１内の署名文をユーザ証明書１２１に
含まれる公開鍵を用いて復号し検証を行うと共に、ユー
ザ証明書１２１から取得した、ユーザを一意に識別する
ためのユーザ識別子（Subject ）とユーザ情報管理デー
タベース２２１に格納されているユーザ識別子とを比較
することで、ユーザ認証を行い、認証結果をユーザ端末
装置１に送信する。

【００１５】認証サーバ装置２のＣＰＵ２３は、ユーザ
証明書１２１の正当性が検証され、かつユーザ証明書１
２１から取得したユーザ識別子がユーザ情報管理データ
ベース２２１に既に格納されている場合、認証成功を示
す認証結果をユーザ端末装置１に送信する。

【００１６】認証成功の場合、ユーザ端末装置１と認証
サーバ装置２内で同一の共通鍵１２３，２２４が生成さ
れる。すなわち、ユーザ端末装置１のＣＰＵ１３は、認
証サーバ装置２から認証成功の通知を受けた場合、暗号
化通信用の共通鍵１２３を生成して記憶装置１２に格納
する。認証サーバ装置２のＣＰＵ２３は、認証成功の場
合、暗号化通信用の共通鍵２２４を生成し、ユーザ証明
書１２１から取得したユーザ識別子と生成した共通鍵２
２４とを対応付けて、図２に示すようにユーザ情報管理
データベース２２１に格納する。

【００１７】認証成功後、ユーザ端末装置１は、電気通
信網４を通じてサーバ装置３にアクセスしサービス要求
するにあたって、ユーザ証明書１２１に含まれるユーザ
識別子をサーバ装置３に通知する。ここで、ユーザ端末
装置１とサーバ装置３との間ではユーザ認証を行う必要
は無い。

【００１８】サーバ装置３のＣＰＵ３３は、ユーザ端末
装置１から通知されたユーザ識別子を受信すると、この
ユーザ識別子に対応する共通鍵２２４の送付を認証サー
バ装置２へ要求する。サーバ装置３と認証サーバ装置２
との間では、セキュリティ向上のため、相互認証、暗号
化を行うことも可能である。

【００１９】認証サーバ装置２のＣＰＵ２３は、サーバ
装置３の要求からユーザ識別子を取得し、このユーザ識
別子に対応する共通鍵２２４を記憶装置２２のユーザ情
報管理データベース２２１から取り出してサーバ装置３
へ送付する。サーバ装置３のＣＰＵ３３は、認証サーバ
装置２から送られた共通鍵２２４を記憶装置３２に格納
する。そして、ＣＰＵ３３は、認証サーバ装置２から取
得した共通鍵２２４を用いて送信情報を暗号化してユー
ザ端末装置１に送信する。

【００２０】こうして、共通鍵２２４を用いて暗号化し
た暗号化情報をユーザ端末装置１に送信するので、認証
サーバ装置２で認証された、共通鍵１２３を有するユー
ザ端末装置１のみが、サーバ装置３からの暗号化情報を
解読することができる。すなわち、ユーザ端末装置１の
ＣＰＵ１３は、サーバ装置３から受信した暗号化情報を
記憶装置１２の共通鍵１２３を用いて復号する。これに
より、サーバ装置３から送られた情報の内容を見ること
ができる。

【００２１】一方、ユーザ端末装置１のＣＰＵ１３は、
共通鍵１２３を用いて送信情報を暗号化してサーバ装置
３に送信する。サーバ装置３のＣＰＵ３３は、ユーザ端
末装置１から受信した暗号化情報を記憶装置３２の共通
鍵２２４を用いて復号する。このように、ユーザ端末装
置１とサーバ装置３との間では、共通鍵１２３，２２４
を使用した暗号化通信が行われ、ユーザ端末装置１の要
求に応じてサーバ装置３からユーザ端末装置１へサービ
スが提供される。

【００２２】なお、図１では、ユーザ端末装置１とサー
バ装置３をそれぞれ１台しか記載していないが、これら
が複数台数になったとしても、本発明を適用可能なこと
は言うまでもない。また、認証サーバ装置２としては、
ネットワークヘのアクセス認証を行う下位レイヤーでの
認証サーバ装置から、サーバ装置３内に認証サーバ機能
も具備する上位レイヤーでの認証サーバ装置に至るま
で、本発明を適用することが可能である。

【００２３】さらに、本実施の形態では、図２に示すよ
うに、認証サーバ装置２のユーザ情報管理データベース
２２１にユーザ識別子と共通鍵と接続時間とを格納して
いる。接続時間は、ユーザ端末装置１とサーバ装置３と
の接続が終了した後に、この接続を仲介していた、電気
通信網４内の装置から接続終了通知を受けた時間より求
めたものである。これに対して、他の情報として、例え
ばユーザの個人情報をユーザ情報管理データベース２２
１に格納しておくこともできる。これにより、共通鍵と
あわせてその他の情報もサーバ装置３へ提供することが
可能となる。最終的に、サーバ装置３は、その情報を元
に、ユーザ毎に最適な情報をユーザ端末装置１へ提供す
ることが可能となる。

【００２４】

【発明の効果】本発明によれば、サーバ装置にサービス
を要求するにあたってユーザ端末装置から認証サーバ装
置にディジタル証明書を送付する証明書送付手順と、デ
ィジタル証明書を基に認証サーバ装置でユーザ端末装置
の正当性を検証する認証手順と、ユーザ端末装置の正当
性が確認された後に認証サーバ装置とユーザ端末装置で
共通の暗号化通信用情報を生成する暗号化通信用情報生
成手順と、認証サーバ装置で正当性が確認されたユーザ
端末装置からのサービス要求に応じて、このユーザ端末
装置に対応する暗号化通信用情報をサーバ装置が認証サ
ーバ装置から取得する暗号化通信用情報取得手順とを実
行するようにしたことにより、ユーザ認証処理とユーザ
認証情報管理を認証サーバ装置で一元的に行い、また認
証成功時に認証サーバ装置とユーザ端末装置で共通の暗
号化通信用情報を生成するようにしたので、認証情報を
各サーバ装置で管理する必要がなく、また各サーバ装置
で認証処理を行う必要がなくなる。また、ユーザ端末装
置とサーバ装置間で通信を行う都度、ユーザ端末装置と
サーバ装置で暗号化通信用情報を生成する必要がなくな
る。その結果、ユーザ認証と暗号化通信において、各サ
ーバ装置で認証情報と暗号化通信用情報を管理させるこ
とによる情報管理稼働を削減することができ、各サーバ
装置の認証処理と暗号化通信用情報生成処理に要する処
理工程、処理負荷を削減することができる。

【図面の簡単な説明】

【図１】 本発明の実施の形態となる通信システムの構
成を示すブロック図である。

【図２】 図１の認証サーバ装置においてユーザ認証に
使用されるユーザ情報管理データベースの情報テーブル
の構成を示す図である。

【符号の説明】

１…ユーザ端末装置、２…認証サーバ装置、３…サーバ
装置、１１、２１、３１…インタフェース装置、１２、
２２、３２…記憶装置、１３、２３、３３…ＣＰＵ、１
４…入力装置、１２１…ユーザ証明書、１２２、２２３
…秘密鍵、１２３、２２４…共通鍵、２２１…ユーザ情
報管理データベース、２２２…サーバ証明書。

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B085 AA08 AE01 AE09 AE15 AE23 AE29 BA07 BE03 BG02 BG07 5J104 AA07 AA16 EA01 EA04 EA18 JA03 JA21 KA01 KA05 LA03 MA02 MA06 NA02 PA07

Claims (5)

【特許請求の範囲】
1. 【請求項１】 ユーザ端末装置にネットワークを通じて
   サービスを提供する複数のサーバ装置に代わって、前記
   ネットワーク上の認証サーバ装置が前記ユーザ端末装置
   の認証を行うユーザ認証方法であって、 前記サーバ装置にサービスを要求するにあたって前記ユ
   ーザ端末装置から前記認証サーバ装置にディジタル証明
   書を送付する証明書送付手順と、 受信した前記ディジタル証明書を基に前記認証サーバ装
   置で前記ユーザ端末装置の正当性を検証する認証手順
   と、 前記ユーザ端末装置の正当性が確認された後に前記認証
   サーバ装置と前記ユーザ端末装置で共通の暗号化通信用
   情報を生成する暗号化通信用情報生成手順と、 前記認証サーバ装置で正当性が確認された前記ユーザ端
   末装置からのサービス要求に応じて、このユーザ端末装
   置に対応する暗号化通信用情報を前記サーバ装置が前記
   認証サーバ装置から取得する暗号化通信用情報取得手順
   と、 前記暗号化通信用情報を用いた暗号化通信を前記サーバ
   装置と前記ユーザ端末装置間で行う暗号化通信手順とを
   実行することを特徴とするユーザ認証方法。
2. 【請求項２】 ユーザ端末装置と、このユーザ端末装置
   にネットワークを通じてサービスを提供するサーバ装置
   と、このサーバ装置に代わって前記ユーザ端末装置の認
   証を行う、前記ネットワーク上の認証サーバ装置とから
   なる通信システムであって、 前記認証サーバ装置は、前記ユーザ端末装置から送付さ
   れたディジタル証明書を基に前記ユーザ端末装置の正当
   性を検証する認証手段と、 前記ユーザ端末装置の正当性が確認された後に暗号化通
   信用情報を生成する第１の暗号化通信用情報生成手段
   と、 前記サーバ装置からの暗号化通信用情報送付要求に応じ
   て、このサーバ装置にサービスを要求したユーザ端末装
   置に対応する暗号化通信用情報を前記サーバ装置に返送
   する暗号化通信用情報送信手段とを有し、 前記サーバ装置は、前記認証サーバ装置で正当性が確認
   された前記ユーザ端末装置からのサービス要求に応じ
   て、このユーザ端末装置に対応する暗号化通信用情報の
   送付を前記認証サーバ装置に要求する暗号化通信用情報
   取得手段と、 この暗号化通信用情報取得手段によって取得された暗号
   化通信用情報を用いた暗号化通信を前記ユーザ端末装置
   と行う第１の暗号化通信手段とを有し、 前記ユーザ端末装置は、前記サーバ装置にサービスを要
   求するにあたって前記認証サーバ装置に前記ディジタル
   証明書を送付する証明書送付手段と、 前記認証サーバ装置で自装置の正当性が確認された後に
   前記認証サーバ装置と共通の暗号化通信用情報を生成す
   る第２の暗号化通信用情報生成手段と、 この第２の暗号化通信用情報生成手段によって生成され
   た暗号化通信用情報を用いた暗号化通信を前記サーバ装
   置と行う第２の暗号化通信手段とを有することを特徴と
   する通信システム。
3. 【請求項３】 ユーザ端末装置にネットワークを通じて
   サービスを提供する複数のサーバ装置に代わって前記ユ
   ーザ端末装置の認証を行う、前記ネットワーク上の認証
   サーバ装置であって、 前記ユーザ端末装置から前記サーバ装置にサービスを要
   求するにあたって前記ユーザ端末装置から送付されたデ
   ィジタル証明書を基に前記ユーザ端末装置の正当性を検
   証する認証手段と、 前記ユーザ端末装置の正当性が確認された後に前記ユー
   ザ端末装置と共通の暗号化通信用情報を生成する暗号化
   通信用情報生成手段と、 前記サービス要求を受けたサーバ装置からの暗号化通信
   用情報送付要求に応じて、このサーバ装置にサービス要
   求したユーザ端末装置に対応する暗号化通信用情報を前
   記サーバ装置に返送する暗号化通信用情報送信手段とを
   有することを特徴とする認証サーバ装置。
4. 【請求項４】 ユーザ端末装置にネットワークを通じて
   サービスを提供するサーバ装置であって、 自装置に代わって認証を行う認証サーバ装置で正当性が
   確認されたユーザ端末装置からのサービス要求に応じ
   て、前記認証の際に生成された、前記ユーザ端末装置と
   共通の暗号化通信用情報を前記認証サーバ装置から取得
   する暗号化通信用情報取得手段と、 前記取得した暗号化通信用情報を用いた暗号化通信を前
   記ユーザ端末装置と行う暗号化通信手段とを有すること
   を特徴とするサーバ装置。
5. 【請求項５】 ネットワーク上のサーバ装置にサービス
   を要求するにあたって、前記サーバ装置に代わって認証
   を行う認証サーバ装置にディジタル証明書を送付する証
   明書送付手段と、 前記認証サーバ装置で自装置の正当性が確認された後に
   前記認証サーバ装置と共通の暗号化通信用情報を生成す
   る暗号化通信用情報生成手段と、 前記認証サーバ装置から自装置に対応する暗号化通信用
   情報を取得した前記サーバ装置との間で、前記生成され
   た暗号化通信用情報を用いた暗号化通信を行う暗号化通
   信手段とを有することを特徴とするユーザ端末装置。