JP2004078426A

JP2004078426A - ユーザ認証方法及びシステム

Info

Publication number: JP2004078426A
Application number: JP2002235902A
Authority: JP
Inventors: Minoru Sakuma; 佐久間　美能留; Daisuke Hamuro; 羽室　大介
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2002-08-13
Filing date: 2002-08-13
Publication date: 2004-03-11

Abstract

【課題】認証時の認証方式の違いを問わず共通的なユーザ認証を可能とするユーザ認証方法及びシステムを提供する。
【解決手段】各認証装置１０，２０の認証手段及び認証データを、該認証装置の認証方式に依存する認証方式依存ロジック１１，２１及び認証方式依存データ１２，２２と、認証方式に依存しない認証方式共通ロジック１３，２３及び認証方式共通データ３１とに分離しておき、ユーザからの認証要求があった場合に前記認証方式共通ロジック１３，２３及び認証方式依存データ３１を用いてユーザ認証を行うことにより、認証方式間での認証を統一化する。
【選択図】　図１

Description

【０００１】
【発明の属する技術分野】
本発明はユーザ認証の技術に関する。
【０００２】
【従来の技術】
近年、高速なワイヤレスブロードバンドアクセスの一つとして無線ＬＡＮが注目されており、公衆サービスへの適用も考えられている。このようなサービスでは、アクセスポイントと呼ばれる無線接続機器を介してユーザ端末をＬＡＮに接続し、このＬＡＮを介してインターネットに接続可能としている。ユーザが該公衆無線ＬＡＮスポットを利用する場合には、通常、アクセスポイントを介してＬＡＮに接続する際に、ＬＡＮ上に設けた認証装置によりユーザ認証を行う。そして、認証されたユーザのユーザ端末のみが公衆無線ＬＡＮスポットを利用可能であった。
【０００３】
【発明が解決しようとする課題】
しかし、認証装置におけるユーザ認証方式にはパスワードやディジタル証明書を使用した方法など種々の認証方式が存在しており、それぞれに互換性がないため、同一事業者内で複数の認証方式が混在した場合、ユーザに対して共通的な認証ができないという問題点がある。
【０００４】
一方、事業者間でのローミングを考えた場合に、事業者間でユーザ認証方式が違う場合が考えられ、その場合でも事業者間で連携してユーザを認証する方法が必要である。
【０００５】
さらに、事業者間にまたがるサービス提供を考えた場合、連携する事業者間で互いの事業者のユーザ認証結果を確認する手段が必要であるため、ユーザ認証結果の正当性を事業者間で確認する必要がある。
【０００６】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、認証時の認証方式の違いを問わず共通的なユーザ認証を可能とするユーザ認証方法及びシステムを提供することにある。
【０００７】
【課題を解決するための手段】
上記目的を達成するために、本発明は、予め、各認証装置の認証手段及び認証データを、該認証装置の認証方式に依存する依存認証手段及び依存認証データと、該認証装置の認証方式に依存しない非依存認証手段及び非依存認証データとに分離しておき、ユーザからの認証要求があった場合に前記非依存認証手段及び非依存認証データを用いてユーザ認証を行うことにより、認証方式間での認証を統一化する。
【０００８】
また、依存認証手段及び依存認証データによる認証を行う認証装置（依存認証装置）と、非依存認証手段及び非依存認証データによる認証を行う認証装置（非依存認証装置）との間で送受信されるユーザ認証情報及び認証結果に対して、ディジタル証明書を用いて署名を付加することにより、認証装置間の認証が可能となる。
【０００９】
【発明の実施の形態】
（第１の実施の形態）
本発明の第１の実施の形態について図面を参照して説明する。本実施の形態では、無線ＬＡＮを利用した公衆無線ＬＡＮスポットを一の事業者が運営する場合であって、しかも全ての公衆無線ＬＡＮスポットにおける認証方式が統一されていない場合について例示する。
【００１０】
図１は第１の実施の形態に係る認証システムの構成図である。図１に示すように、この認証システムでは、無線ＬＡＮインタフェイス（図示省略）を備えたユーザ端末１が、各アクセスポイント１９，２９を介して当該無線ＬＡＮに参加する際にユーザ認証を行う。各アクセスポイント１９，２９による構築される無線ＬＡＮはインターネットなどのネットワーク（図示省略）に接続しており、認証をパスしたユーザ端末は無線ＬＡＮを介してネットワークに接続可能となる。
【００１１】
本実施の形態では、アクセスポイント１９による無線ＬＡＮにおける認証方式とアクセスポイント２９による無線ＬＡＮにおける認証方式とが互いに異なっている場合について説明する。すなわち、アクセスポイント１９に接続した認証装置１０は認証方式Ａを採用し、アクセスポイント２０に接続した認証装置２０は認証方式Ｂを採用している。認証方式の一例として、本実施の形態では、認証方式ＡとしてＩＥＥＥ８０２．１ｘ認証を用い、認証方式Ｂとしてパスワード認証を用いている。
【００１２】
各認証装置１０，２０は、それぞれ各認証方式に依存する認証手段と認証データと、各認証方式で共通な、換言すれば各認証方式に依存しない認証手段を備えている。具体的には、図１に示すように、認証装置１０は、認証方式Ａに依存する認証ロジックである認証方式Ａ依存ロジック１１と、該ロジック１１で利用する認証方式Ａ依存データ１２と、認証方式Ａ及びＢで共通な認証方式共通ロジック１３とを備えている。同様に、認証装置２０は、認証方式Ｂに依存する認証ロジックである認証方式Ｂ依存ロジック２１と、該ロジック２１で利用する認証方式Ｂ依存データ２２と、認証方式Ａ及びＢで共通な認証方式共通ロジック２３とを備えている。
【００１３】
また、本認証システムでは、前記認証装置１０，２０の認証方式共通ロジック１３，２３で利用する認証方式共通データ３１を備えた認証装置３０を備えている。この認証装置３０の認証方式共通データ３１は、各認証装置１０，２０の認証方式共通ロジック１３，２３からアクセス可能となっている。
【００１４】
次に、本認証システムにおける各装置の認証データの一例について図２〜図４を参照して説明する。図２はユーザ端末における認証データの一例を示す図、図３は認証装置１０における認証方式Ａ依存データ１２の一例を示す図、図４は認証装置３０における認証方式共通データ３１の一例を示す図である。
【００１５】
ユーザ端末１は、該端末のユーザと事業者との契約等に応じた認証データを有する。図２（ａ）では２つの認証方式をサポートするユーザの認証データを、図２（ｂ）では１つの認証方式しかサポートしないユーザの認証データを例示している。図２に示すように、認証データは、認証方式共通データと認証方式依存データに大別される。認証方式共通データは前記認証装置１０，２０の認証方式共通ロジック１３，２３で用いられ、また、認証方式依存データは前記認証装置１０，２０の認証方式依存ロジック１１，２１で用いられる。認証方式依存データは、そのユーザにサポートされる複数の認証データを含んでいる。
【００１６】
認証方式共通データは、例えば図２に示すように、ユーザを一意に識別するユーザＩＤ，当該ユーザの契約サービスタイプ、契約上そのユーザが二重ログインを許可されているか否か、使用する一以上の認証方式、認証用データなどが挙げられる。また、認証方式依存データは、前記使用認証方式の各々で使用される認証データである。例えば、図２（ａ）の例では、パスワード認証用のパスワードと、ＩＥＥＥ８０２．１ｘ認証用の当該ユーザのディジタル証明書が認証方式依存データとして保存されている。
【００１７】
次に、認証装置１０における認証方式Ａ依存データ１２について図３を参照して説明する。図３に示すように、認証方式Ａ依存データ１２は、認証方式Ａ（本実施の形態ではＩＥＥＥ８０２．１ｘ認証）をサポートしているユーザについて、当該認証方式Ａについての認証データを保持している。また、認証装置２０における認証方式Ｂ依存データ２２について、同様に、認証方式Ｂ（本実施の形態ではパスワード認証）をサポートしているユーザについて、当該認証方式Ｂについての認証データを保持している。なお、認証装置２０における認証方式Ｂ依存データ２２については図示を省略した。
【００１８】
次に、認証装置３０における認証方式共通データ３１について図４を参照して説明する。図４に示すように、認証方式共通データ３１は、認証方式Ａ及び認証方式Ｂで共通の認証データ、すなわち、両方式に依存しない認証データを保持している。認証方式共通データ３１は、認証方式Ａ又は認証方式Ｂがサポートされる全てのユーザについて保持される。
【００１９】
次に、本実施の形態に係る認証システムを用いた認証動作について図１を参照して説明する。ここでは、アクセスポイント２９の無線ＬＡＮエリア内にあったユーザ端末１がアクセスポイント１９の無線ＬＡＮエリア内に移動した場合について説明する。この場合、ユーザ端末１が無線ＬＡＮエリア内に移動したことを検出すると、認証動作が開始される。ユーザ端末１の検出方法としては、ユーザ端末１が検出を行う方法であっても、アクセスポイント１９が行う方法であってもよい。
【００２０】
まず、認証装置１０の認証方式Ａ依存ロジック１１は、ユーザ端末１から該端末１の認証データを受信すると、まず、該認証データに含まれる認証方式依存データ及び認証方式Ａ依存データ１２を用いて認証方式Ａに係るユーザ認証を行う（ステップＳ１）。そして、該ユーザ認証をパスすると、認証方式Ａ依存ロジック１１は、ユーザ端末１から受信した認証データを認証方式共通ロジック１３に通知する。認証方式共通ロジック１３は、認証装置３０に当該ユーザに関する認証方式共通データ３１を問い合わせ（ステップＳ２）、問い合わせた認証方式共通データ３１及びユーザからの認証データを用いてユーザ認証を行う（ステップＳ３）。
【００２１】
以上のステップにより、ユーザ端末１がアクセスポイント１９の無線ＬＡＮエリア内に移動すると、該ユーザ端末１に関してユーザ認証が行われる。ここで、ユーザ認証は、認証装置１０における認証方式Ａに依存した認証だけでなく、認証装置１０及び２０の各認証方式に依存しない（つまり共通の）認証も行われるため、ユーザ端末１がアクセスポイントを移動しても共通のサービスを提供できる。すなわち、各認証装置の認証方式が異なる環境下においても共通的なユーザ認証が可能となるので、このような環境下においてユーザに共通的なサービスを提供できる。
【００２２】
なお、本実施の形態では、認証方式共通データ３１を認証装置３０に配置するとともに、各認証装置１０，２０の認証方式共通ロジックはユーザ認証のたびに前記認証装置３０にアクセスしていたが、図５に示すように、各認証装置１０，２０が認証装置３０から認証方式共通データ３１をローカルにコピーし、このローカルの認証方式共通データ１４，２４を用いて、共通認証を行うようにしてもよい。
【００２３】
（第２の実施の形態）
本発明の第２の実施の形態について図面を参照する。図６は、第２の実施の形態に係る認証システムの構成図である。なお、図中、第１の実施の形態と同様の装置には同じ符号を付した。
【００２４】
本実施の形態に係る認証システムが、第１の実施の形態に係るものと相違する点は、認証装置の（又は認証装置の事業者の）認証を実施する点にある。これにより、共通のユーザ認証について複数の事業者間でセキュアに実施できる。
【００２５】
本実施の形態では、図２に示すように、認証装置１０は事業者１００に、認証装置２０は事業者２００に、認証装置３０は事業者３００に属するものとする。また、この認証システムでは、認証装置間の認証を実施するために、認証事業者４００に属する認証局装置４０を用いる。認証局装置４０は、ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ　Ａｕｔｈｏｒｉｔｙ：認証局）及びＲＡ（Ｒｅｇｉｓｔｒａｔｉｏｎ　Ａｕｔｈｏｒｉｔｙ：登録局）として機能する。
【００２６】
各認証装置１０，２０は、それぞれ各認証方式に依存する認証手段と認証データを備えている。具体的には、図６に示すように、認証装置１０は、認証方式Ａに依存する認証ロジックである認証方式Ａ依存ロジック１１と、該ロジック１１で利用する認証方式Ａ依存データ１２とを備えている。同様に、認証装置２０は、認証方式Ｂに依存する認証ロジックである認証方式Ｂ依存ロジック２１と、該ロジック２１で利用する認証方式Ｂ依存データ２２とを備えている。認証方式の一例として、本実施の形態では、認証方式ＡとしてＩＥＥＥ８０２．１ｘ認証を用い、認証方式Ｂとしてパスワード認証を用いている。また、各認証装置１０，２０は、ディジタル証明書１５を保持している。具体的には、各認証装置１０は、図７に示すように、前記認証局装置４０のＣＡ証明書と、自身の装置証明書とを備えている。このＣＡ証明書は、自身の認証装置１０，２０用にディジタル証明書を発行したＣＡ（認証局）のディジタル証明書である。また、装置証明書は、自身を証明するディジタル証明書である。
【００２７】
認証装置３０は、認証方式Ａ及びＢで共通な認証方式共通ロジック３２と、該ロジック３２による認証で用いる認証方式共通データ３１とを備えている。
【００２８】
上記各認証装置１０，２０，３０における認証方式依存データ１２，２２及び認証方式共通データ３１のデータ構造は、図３及び図４に例示した第１の実施の形態と同様である。
【００２９】
次に、認証装置１０，３０へのディジタル証明書の発行について図６及び図８のシーケンス図を参照して説明する。このディジタル証明書の発行は、ユーザ認証に先立ち予め実施しておくものである。
【００３０】
図８に示すように、認証装置１０の事業者１００が認証局装置４０に対してディジタル証明書の発行を申請すると（図８のステップＳ２１ａ）、該申請に応じて認証局装置４０は事業者１００に対してディジタル証明書を発行する（図６のステップＳ１０ａ，図８のステップＳ２２ａ）。同様に、認証装置３０の事業者３００が認証局装置４０に対してディジタル証明書の発行を申請すると（図８のステップＳ２１ｂ）、該申請に応じて認証局装置４０は事業者３００に対してディジタル証明書を発行する（図６のステップＳ１０ｂ，図８のステップＳ２２ｂ）。なお、図８では、事業者１００・事業者３００の順でディジタル認証書を発行しているが、ディジタル証明書の発行は各事業者が独立に行えばよく、その順序性は不問である。
【００３１】
次に、本実施の形態に係る認証システムを用いた認証動作について図６及び図９を参照して説明する。ここでは、アクセスポイント２９の無線ＬＡＮエリア内にあったユーザ端末１がアクセスポイント１９の無線ＬＡＮエリア内に移動した場合について説明する。この場合、ユーザ端末１が無線ＬＡＮエリア内に移動したことを検出すると、認証動作が開始される。ユーザ端末１の検出方法としては、ユーザ端末１が検出を行う方法であっても、アクセスポイント１９が行う方法であってもよい。
【００３２】
まず、認証装置１０の認証方式Ａ依存ロジック１１は、ユーザ端末１から該端末１の認証要求データを受信すると、該認証要求データに含まれる認証方式依存データ及び認証方式Ａ依存データ１２を用いて認証方式Ａに係るユーザ認証を行う（図６のステップＳ１１，図９のステップＳ３１）。そして、該ユーザ認証をパスすると、認証方式Ａ依存ロジック１１は、認証結果に対して事業者１００の署名をし、ユーザ端末１から受信した認証要求データと、前記署名と、事業者１００のディジタル証明書を事業者３００の認証装置３０に送信する（図６のステップＳ１２，図９のステップＳ３２）。本実施の形態では、認証要求データをハッシュし、自身の秘密鍵で暗号化することにより署名を行った。
【００３３】
次に、認証装置３０の認証方式共通ロジック３２は、受信した認証要求データ及び認証方式共通データ３１を用いてユーザ認証を行うとともに、受信した署名及びディジタル証明書を用いて認証装置１０の事業者１００の認証を行う（図６のステップＳ１３，図９のステップＳ３３）。ここで、事業者１００の認証は、事業者１００による署名を事業者１００のディジタル署名に添付されている公開鍵で復号化することにより前記ハッシュ値を復号し、該復号したハッシュ値と、受信した認証要求データをハッシュした値とを比較することにより、事業者１００の正当性を確認する。
【００３４】
次に、認証装置３０の認証方式共通ロジック３２は、ユーザ認証及び事業者の認証がＯＫとなった時点で、認証ＯＫを通知する認証応答データと、事業者３００の署名を生成する（図９のステップＳ３４）。ここで、事業者３００の署名は、認証応答データをハッシュし、事業者３００の秘密鍵で暗号化することにより行う。そして、認証応答データと、該署名と、事業者３００のディジタル証明書を事業者１００の認証装置１０に返信する。
【００３５】
認証装置１０の認証方式Ａ依存ロジック１１は、認証装置３０から応答を受信すると、事業者３００による署名を事業者３００のディジタル署名に添付されている公開鍵で復号化することによりハッシュ値を復号し、該復号したハッシュ値と、受信した認証応答データをハッシュした値とを比較することにより、事業者３００の正当性を確認する（図９のステップＳ３５）。そして、事業者３００の認証がＯＫの場合、事業者３００の認証装置３０から受信した認証応答データをユーザ端末１に返信する。
【００３６】
以上のステップにより、各認証装置の認証方式及び事業者が異なる環境下においても、共通的なユーザ認証が可能となるので、このような環境下においてユーザに共通的なサービスを提供できる。
【００３７】
以上本発明の実施の形態について説明したが、本発明はこれらの実施形態に限定されるものではない。例えば、上記各実施の形態では、認証方式としてパスワード認証、ＩＥＥＥ８０２．１ｘ認証を例示したが、他の認証形式であってもよい。他の認証方式としては、チャレンジ＆レスポンス認証、ＭＡＣアドレス認証（無線ＬＡＮ端末のＭＡＣアドレスを使用した認証）、ワンタイムパスワード認証、Ｋｅｒｂｒｅｏｓ認証などが挙げられる。
【００３８】
【発明の効果】
以上詳述したように、本発明によれば、各認証方式に依存しない認証を行うことで、各認証方式間での認証の統一が可能となり、認証方式の違いによるユーザ認証の差異を吸収することができる。また、認証装置間でディジタル証明書を用いた認証を行うので、認証装置を運営する事業者間でもセキュアに認証を行うことができる。
【図面の簡単な説明】
【図１】第１の実施の形態に係る認証システムの構成図
【図２】ユーザ端末で管理される認証データの一例を説明する図
【図３】認証装置で管理される認証方式依存データの一例を説明する図
【図４】認証装置で管理される認証方式共通データの一例を説明する図
【図５】第１の実施の形態の他の例に係る認証システムの構成図
【図６】第２の実施の形態に係る認証システムの構成図
【図７】認証装置で管理されるディジタル証明書の一例を説明する図
【図８】ディジタル証明書の発行を説明するシーケンス図
【図９】認証の流れを説明するシーケンス図
【符号の説明】
１…ユーザ端末，１０，２０，３０…認証装置、１１…認証方式Ａ依存ロジック、１２…認証方式Ａ依存データ、１３，２３，３２…認証方式共通ロジック、１４，２４，３１…認証方式共通データ、１５…ディジタル証明書、２１…認証方式Ｂ依存ロジック、２２…認証方式Ｂ依存データ、１９，２９…アクセスポイント、４０…認証局装置、１００，２００，３００，４００…事業者

Claims

認証方式が統一されていない複数の認証装置を用いて各認証装置間で統一したユーザ認証を行う方法であって、
予め、各認証装置の認証手段及び認証データを、該認証装置の認証方式に依存する依存認証手段及び依存認証データと、該認証装置の認証方式に依存しない非依存認証手段及び非依存認証データとに分離しておき、
ユーザからの認証要求があった場合に前記非依存認証手段及び非依存認証データを用いてユーザ認証を行うステップを含む
ことを特徴とするユーザ認証方法。
各々の認証方式に依存する依存認証手段及び依存認証データを備えた複数の依存認証装置と、
前記依存認証装置の各認証方式に依存しない非依存認証手段及び非依存認証データを備えた非依存認証装置と、
一の依存認証装置と接続するとともにユーザ端末とネットワークとを接続する端末接続装置とを備え、
ユーザ端末がネットワークに接続する際には端末接続装置と接続している依存認証装置の依存認証手段及び依存認証データによりユーザ認証を行うとともに、非依存認証装置の非依存認証手段及び非依存認証データによりユーザ認証を行うことを特徴とするユーザ認証システム。
前記端末接続装置とユーザ端末間は無線により接続されることを特徴とする請求項２記載のユーザ認証システム。
ユーザ端末が一の端末接続装置の通信エリアから他の端末接続装置の通信エリアに移動した場合、前記他の端末接続装置とユーザ端末間でユーザ認証を行う
ことを特徴とする請求項３記載のユーザ認証システム。
前記依存認証装置は、公開鍵暗号方式で使用されるディジタル証明書を発行する認証局装置から、自身を証明するディジタル証明書を取得し、ユーザ端末からのユーザ認証情報に対して前記ディジタル証明書から生成した自身の署名を付して該ユーザ認証情報を非依存認証装置に送信する
ことを特徴とする請求項２乃至４何れか１項記載のユーザ認証システム。
前記非依存認証装置は、公開鍵暗号方式で使用されるディジタル証明書を発行する認証局装置から、自身を証明するディジタル証明書を取得し、前記依存認証装置から受信したユーザ認証情報に応じて生成した認証結果に対して前記ディジタル証明書から生成した自身の署名を付して該認証結果を送信元の依存認証装置に送信する
ことを特徴とする請求項５記載のユーザ認証システム。