JP2004326580A - 認証方法および認証システム - Google Patents
認証方法および認証システム Download PDFInfo
- Publication number
- JP2004326580A JP2004326580A JP2003122310A JP2003122310A JP2004326580A JP 2004326580 A JP2004326580 A JP 2004326580A JP 2003122310 A JP2003122310 A JP 2003122310A JP 2003122310 A JP2003122310 A JP 2003122310A JP 2004326580 A JP2004326580 A JP 2004326580A
- Authority
- JP
- Japan
- Prior art keywords
- user
- certificate
- area
- authentication system
- application
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Position Fixing By Use Of Radio Waves (AREA)
Abstract
【課題】特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行し、証明書とユーザＩＤおよびパスワードの検証を行うことで、利用者のエリアごとのアクセスを制御する認証システムを得る。
【解決手段】認証システムは在場証明システム１と、アプリケーションサーバ６と、統合認証システム８と、ＩＣカード５ａ、５ｂと、端末１１と、接続機１２で構成され、在場証明システム１には入門管理装置２、ＧＰＳ３を備え、アプリケーションサーバ６にはアプリケーション７を備え、統合認証システム８には統合認証サーバ９、ディレクトリサーバ１０を備えて構成される。これらの構成で１つのエリア１３をカバーする。
【選択図】 図１
【解決手段】認証システムは在場証明システム１と、アプリケーションサーバ６と、統合認証システム８と、ＩＣカード５ａ、５ｂと、端末１１と、接続機１２で構成され、在場証明システム１には入門管理装置２、ＧＰＳ３を備え、アプリケーションサーバ６にはアプリケーション７を備え、統合認証システム８には統合認証サーバ９、ディレクトリサーバ１０を備えて構成される。これらの構成で１つのエリア１３をカバーする。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
この発明は、利用者の所在場所によってアプリケーションへのアクセスを制御するために、利用者を認証する認証方法および認証システムに関するものである。
【０００２】
【従来の技術】
従来の認証に関する技術はユーザＩＤとパスワードによって本人を確認し、その人が持つ権限によってシステムの利用の可否を判断していた。しかし、本人であってもシステムを利用する物理的な場所が異なれば、使用権限レベルを変えたい場合がある。例えば、同じ敷地内でも入退出が管理された場所では、その利用者に許されたすべてのアプリケーションが使えるが、その他の場所では制限する等である。
【０００３】
従来から、ＩＰアドレスを用いることによって利用者からのアクセス場所を特定し、アクセス可能なデータを制限する方法等が提案されている（特許文献１参照）。ところが、これらの方法では認証サーバの管理者がネットワーク構成を把握していなければアクセス権の設定ができないという問題や、そのためにネットワークの構成を変更すると、コストが高くなってしまうという問題があった。
【０００４】
また、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）の位置情報を用いてアクセス可能なデータを制限する方法も提案されている（特許文献２参照）。ＧＰＳによる位置情報はＩＰアドレスとは異なり、システムの構成に依存しない。しかしながら、ＧＰＳ機器はシステムに固定されていて、移動体端末にＧＰＳ機器を搭載して利用することは困難であった。
【０００５】
【特許文献１】
特開平１０−１６１９７８号公報
【特許文献２】
特開２０００−１６３３７９号公報
【０００６】
【発明が解決しようとする課題】
この発明は上記のような問題点を解決するためになされたもので、利用者がある特定のエリアに入ったときに、ＧＰＳを有する機器から利用者がエリア内に入ったことを証明する証明書を発行し、システムを使用するときにユーザＩＤとパスワードに加えて、エリア内に入ったことを証明する証明書を提出できたかどうかで、利用者の所在エリアによるアプリケーションのアクセス制御を行う認証方法および認証システムを得ることを目的とする。
【０００７】
また、システムの管理者はネットワークの構成を意識せず、統合認証システムの利用者や、エリアごとのアプリケーションに対する認可情報を設定することでアクセス制御を行う認証方法および認証システムを得ることを目的とする。
【０００８】
このとき、証明書が異なっている場合や証明書が提出できない場合にはアプリケーションへのアクセス権を付与しないか、もしくはセキュリティポリシーに従ったアクセス権を付与することができる認証方法および認証システムを得ることを目的とする。
【０００９】
【課題を解決するための手段】
この発明に係る認証方法は、利用者の所在エリアによってアプリケーションのアクセスを制御する認証方法において、特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行し、証明書とユーザＩＤおよびパスワードの検証を行うことで、利用者のエリアごとのアクセスを制御するものである。
【００１０】
この発明に係る認証システムは、利用者の所在エリアによってアプリケーションのアクセスを制御する認証システムにおいて、特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行する証明書発行手段と、証明書発行手段により発行された証明書とユーザＩＤおよびパスワードの検証を行う検証手段と、検証手段の検証結果に基づいて、利用者のエリアごとのアクセスを制御するアクセス制御手段とを備えるものである。
【００１１】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
この発明に係る実施の形態１の認証システムについて図１〜図８を参照して説明する。なお、図１は実施の形態１に係る認証システムの構成を示す図であり、図２は認証システムのネットワーク構成を示す図である。また、図３および図４は夫々、認証システムを構成する統合認証システム内の、利用者Ａおよび利用者Ｂに関するアプリケーション認可情報を示す図である。また、図５は認証システムを構成する統合認証システム内におけるエリアと証明書内位置情報のマッピングを示す図である。さらに、図６は認証システムの在場証明システムが証明書を発行する過程を示したフローチャートであり、図７は認証システムの処理の過程を示したフローチャートであり、図８は認証システムの在場証明システムが証明書を削除する過程を示したフローチャートである。
【００１２】
まず、認証システムの構成について説明する。図１に示すように認証システムは在場証明システム１と、アプリケーションサーバ６と、統合認証システム８と、ＩＣカード５ａ、５ｂと、端末１１と、接続機１２で構成され、在場証明システム１には入門管理装置２、ＧＰＳ３を備え、アプリケーションサーバ６にはアプリケーション７を備え、統合認証システム８には統合認証サーバ９、ディレクトリサーバ１０を備えて構成される。これらの構成で１つのエリア１３をカバーする。
【００１３】
在場証明システム１は、入門管理装置２において利用者のエリア内に入ったことを証明する証明書を生成し発行する。ＧＰＳ３は証明書を生成するための位置情報や時間情報を取得するものである。ＧＰＳ３は、図２に示し、後段で詳しく説明するネットワーク２０を介して基準局サーバ４にアクセスし、位置情報の補正を行うことで位置情報の精度向上と取得時間の短縮を図る。
【００１４】
ネットワークを通してＧＰＳの補正情報を得るインターネットＧＰＳ（例えば、羽田久一、川喜田佑介：「インターネットＧＰＳ」、情報処理学会誌、Ｖｏｌ．４３、Ｎｏ．８）を用いることで、ＧＰＳ補正に特別な無線機器やアンテナをつける必要が無く、本発明の認証システムと同一のネットワークを使用して構築が可能となり、コストを抑えることが可能である。なお、在場証明システム１のＧＰＳ３は補正情報を無線機器やアンテナで取得する従来のシステムを使用しても良い。
【００１５】
アプリケーションサーバ６は、利用者が使用するアプリケーション７を管理するサーバであって、ひとつのアプリケーションサーバ６に複数のアプリケーション７があっても良いし、図２に示すネットワーク２０上に複数のアプリケーションサーバ６を設置しても良い。
【００１６】
統合認証システム８は、利用者の認証およびアプリケーション７を使用する認可を制御するシステムで、実際に認証・認可処理を行う統合認証サーバ９と、認証および認可のための情報が含まれているディレクトリサーバ１０から構成される。
【００１７】
ＩＣカード５ａ、５ｂは、証明書を記録する媒体である。例えば利用者がエリア１３内に入ったことを証明する、在場証明システム１によって作成された証明書をＩＣカード５ａに記録し、一方、認証システムを利用する場合は統合認証システム８に対し、証明書を記録したＩＣカード５ｂを端末１１からログインして認証を受ける。
【００１８】
端末１１は、利用者が使用する計算機端末であり、ノートパソコンやＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）、携帯電話などの移動可能な計算機が適用可能である。
【００１９】
接続機１２は、端末１１を図２に示すネットワーク２０に接続するための装置である。端末１１を接続する手段としては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ、赤外線などが挙げられる。
【００２０】
図２は上述した認証システムを、ネットワーク２０を介して接続してシステムを構成した図であって、エリアとして例えばエリアＡ１３ａとエリアＢ１３ｂが示されている。エリアＡ１３ａでは在場証明システム１ａと、アプリケーションサーバ６ａと、統合認証システム８ａと、ＩＣカード５ａａ、５ａｂと、端末１１ａと、接続機１２ａがあり、エリアＢ１３ｂでは端末１１ｂと接続機１２ｂがある。
【００２１】
例えばエリアＡ１３ａにいる利用者は端末１１ａを接続機１２ａに接続し、ユーザＩＤおよびパスワードによって統合認証システム８ａで認証され、アプリケーションサーバ６ａ上のアプリケーション７ａを利用する。
【００２２】
ここで、利用者がエリアＡ１３ａ内に入門したときに、在場証明システム１ａで作成された証明書がＩＣカード５ａａに記録される。利用者は接続機１２ａに端末１１ａを接続し、ユーザＩＤおよびパスワードとともに、エリアＡ１３ａに入門時に書き込んだＩＣカード５ａｂに記載されている証明書を統合認証システム８ａへ送信する。エリアＢ１３ｂの認証システムでは在場証明システムがないため、ＩＣカードへの証明書の記入ができず、利用者はユーザＩＤおよびパスワードのみを送信することになる。
【００２３】
次に認証システムの動作について説明する。
まず、統合認証システム８で設定されている利用者Ａに関するアプリケーション許可情報（図３）、利用者Ｂに関するアプリケーション許可情報（図４）、およびエリアと証明書内位置情報のマッピング（図５）について述べる。なお、証明書を本発明の認証システムの統合認証システム８で検証するためには、統合認証システム８側でアプリケーションとその使用可能なエリアを図３〜図５に示すようにマッピングしておく必要があるものである。
【００２４】
利用者Ａのアプリケーション許可情報は図３に示すように、例えば利用者Ａに対してアプリケーションサーバ６のアプリケーションＡは認証を必要とするが、どのエリアからでもアクセスできる。また、アプリケーションＢは認証を必要とし、エリアＡだけでアクセスできる。また、アプリケーションＣは認証の必要はないがエリアＡだけでアクセスできることを表している。他のアプリケーションに対しても同様に記述されているものである。
【００２５】
利用者Ｂのアプリケーション許可情報は図４に示すように、例えば利用者Ｂに対してアプリケーションＡは認証を必要とせず、どのエリアからでもアクセスできる。また、アプリケーションＢは認証の必要はないがエリアＡだけでアクセスできることを表している。他のアプリケーションに対しても同様に記述されているものである。
【００２６】
エリアと証明書内位置情報のマッピングは図５に示すように、エリアＡ、エリアＢ・・・に対して位置情報１、２・・・、許容範囲１、２・・・が記述されている。これにより、在場証明システムの位置は変わるがアプリケーションへのアクセス制御に関する設定が変わらない場合であれば、統合認証システム８内のアプリケーションとその使用可能なエリアのマッピングを変更する必要がなく、システム管理者の負担が低減する。
【００２７】
エリアＡ１３ａのシステムに正規のアカウントを持つ利用者（以下適宜、「利用者Ａ」と記す）がエリアＡ１３ａ内で統合認証システム８ａにログインする場合について説明する。利用者ＡはエリアＡ１３ａに入り、ＩＣカード５ａａを在場証明システム１ａに通して、ＩＣカード５ａａにエリアＡ１３ａに入門したことを証明する証明書を書き込む。
【００２８】
図６に示すように、入門管理装置２はＧＰＳ３に接続し（ステップＳＴ１０１）、位置情報と時間情報を取得する（ステップＳＴ１０２）。このとき、ＧＰＳ３は補正基準となる情報を基準局サーバ４から取得できるものとする。位置情報と時間情報を取得できたら、入門管理装置２はＧＰＳ３から取得した位置情報、時間情報に有効時間を加え（ステップＳＴ１０３）、証明書を生成する（ステップＳＴ１０４）。生成された証明書はＩＣカード５ａに記録して利用者に発行される（ステップＳＴ１０５）。最後に、入門管理装置２は入門記録としてＩＣカード５ａのＩＤ、入門時間、証明書の有効時間をログとして残しておく（ステップＳＴ１０６）。
【００２９】
また、認証システムの管理者は在場証明システム１を設置するときに、位置情報とその許容範囲をエリア情報として、図５に示すように統合認証システム８内にマッピングしておく。これにより例えば、在場証明システム１の位置が変わってもアプリケーション７へのアクセス制御に関する設定が変わらないような場合には、統合認証システム８内のアプリケーション７とその使用可能なエリアのマッピングを変更する必要が無い。
【００３０】
次に、図７に示すように、利用者ＡはエリアＡ１３ａ内の接続機１２ａに端末１１ａを接続する（ステップＳＴ２０１）。次に、端末１１ａにＩＣカード５ａｂを読み取る装置を取り付け、ＩＣカード５ａｂに記入されている証明書を読み込む（ステップＳＴ２０２）。利用者Ａは端末１１ａからユーザＩＤおよびパスワードを入力し統合認証システム８ａへログインする（ステップＳＴ２０３）。このときＩＣカード５ａｂから読み取った証明書をユーザＩＤおよびパスワードと共に送信する（ステップＳＴ２０４）。ＩＣカード５ａｂ内の証明書を送信する際に、安全性を高めるために証明書を暗号化しても良い。
【００３１】
統合認証サーバ９ａは送信されてきたユーザＩＤおよびパスワードをチェックし（ステップＳＴ２０５）、このとき、ユーザＩＤおよびパスワードの組み合わせが正しければ、利用者Ａが利用できるアプリケーション認可情報をディレクトリサーバ１０ａから読み出し（ステップＳＴ２０６）、ステップ２１０に進む。この場合は、この時点で利用者ＡはアプリケーションＡ、Ｂ、Ｃへのアクセス権付与の可能性がある。
【００３２】
一方、ステップＳＴ２０５において、ユーザＩＤおよびパスワードの組み合わせが正しくない場合、或いはユーザＩＤおよびパスワードが入力されなかった場合は、標準のアプリケーション認可情報があるか否かをディレクトリサーバ１０ａに問い合わせる（ステップＳＴ２０７）。標準のアプリケーション認可情報は、例えば、エリアＡ１３ａに入ったことを証明する証明書があればアクセス可能なアプリケーション７ａや、だれでも使用可能なアプリケーション７ａ等がある。標準のアプリケーション認可情報が無ければ、どのアプリケーション７ａへのアクセス権も付与されないため、利用者側にアプリケーション利用不可の通知（エラー表示）を送信する（ステップＳＴ２０８）。この場合では、利用者ＡのユーザＩＤおよびパスワードが不正な場合、アプリケーションＣのみへのアクセス権付与の可能性がある。
【００３３】
一方、ステップＳＴ２０７において標準のアプリケーション認可情報がある場合は、標準のアプリケーション認可情報をディレクトリサーバ１０ａから読み出し（ステップＳＴ２０９）、ステップＳＴ２１０に進む。
【００３４】
次に統合認証システム８ａは利用者ＡがエリアＡ１３ａに入ったことを証明する証明書が正しいか否かを判別する（ステップＳＴ２１０）。このとき、証明書が正しものであれば、証明書の有効時間が時間内のものであるか否かを判別する（ステップＳＴ２１１）。ステップＳＴ２１０およびステップＳＴ２１１において証明書が正しくなければ、先のディレクトリサーバ１０ａから読み出したアプリケーション認可情報から証明書を必要とするすべてのアプリケーション７ａを除外する（ステップＳＴ２１２）。この場合では、アプリケーションＢ、Ｃへのアクセス権は付与されない。すなわち、利用者ＡはアプリケーションＡのみ利用可能となる。
【００３５】
一方、ステップＳＴ２１１において証明書が正しければ、先のディレクトリサーバ１０ａから読み出した、利用者Ａが利用できるアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。例の場合では、アプリケーションＡ、Ｂ、Ｃのうち、証明書が必要なアプリケーションＢ、Ｃと、証明書が不要なアプリケーションＡへのアクセス権が付与され、結果、アプリケーションＡ、Ｂ、Ｃのアクセス権が付与されることになる。
【００３６】
このとき、ユーザＩＤおよびパスワードの組み合わせが不正であるが、標準のアプリケーション認可情報がある場合（ステップＳＴ２０９において）、証明書が正しいものであり、かつ、証明書の有効時間が時間内のものであれば、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。この場合では、アプリケーションＣのみのアクセス権が付与されることになる。
【００３７】
次に利用者Ａが在場証明システム１の無いエリアＢ１３ｂから統合認証システム８ａへログインする場合について同じフローチャートを用いて説明する。利用者ＡがエリアＢ１３ｂ内の接続機１２ｂに端末１１ｂを接続し、統合認証システム８ａへログインする（ステップＳＴ２０１）。このとき、エリアＢ１３ｂ内には在場証明システム１がないので、エリアＡ１３ａ内に入ったことを証明する証明書を発行することはできない。利用者ＡはユーザＩＤおよびパスワードと空の証明書を統合認証システム８ａに送信する（ステップＳＴ２０４）。
【００３８】
統合認証システム８ａは送信されてきたユーザＩＤおよびパスワードをチェックする（ステップＳＴ２０５）。統合認証システム８でのユーザＩＤ・パスワードのチェックは先の例と同じである、この場合では、ユーザＩＤおよびパスワードが正しければ、利用者ＡはアプリケーションＡ、Ｂ、Ｃへのアクセス権付与の可能性がある。またユーザＩＤ・パスワードが不正であっても、標準のアプリケーション認可情報があるため、利用者ＡはアプリケーションＣのアクセス権付与の可能性がある。
【００３９】
次に統合認証システム８ａは証明書のチェックを行うが、エリアＢ１３ｂ内ではエリアＡ１３ａ内に入ったことを証明する証明書が発行できないため、送信された空の証明書ではチェックのときに不正とみなされる。そのため、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報がある場合、その中から証明書を必要とするすべてのアプリケーションを除外する（ステップＳＴ２１２）ため、結果的に、利用者ＡはアプリケーションＣのみ利用可能となる。
【００４０】
次に統合認証システム８ａに正規のアカウントを持たない利用者（以降適宜、「利用者Ｂ」と記す）がエリアＡ１３ａから統合認証システム８ａを利用する場合について説明する。利用者ＢはエリアＡ１３ａに訪れたお客などを想定する。利用者ＢがエリアＡ１３ａ内に入るとき、ゲスト用のＩＣカード５ａａが配布され、また、ゲスト用のアプリケーション認可情報としては、統合認証システム８ａに、図４に示すように設定されているものとする。
【００４１】
利用者ＢはエリアＡ１３ａに入り、ゲスト用のＩＣカード５ａａを在場証明システム１ａに通してＩＣカード５ａａにエリアＡ１３ａに入門したことを証明する証明書を書き込む。利用者ＢはエリアＡ１３ａ内において、接続機１２ａに端末１１ａを接続する（ステップＳＴ２０１）。次に、端末１１ａにＩＣカード５ａｂ（この場合は、先に証明書が記録されたＩＣカード５ａａ）を読み取る装置を取り付け、ＩＣカード５ａｂに記入されている証明書を読み込む（ステップＳＴ２０２）。
【００４２】
次に利用者Ｂは端末１１ａからユーザＩＤおよびパスワードを入力し、統合認証システム８ａへログインするが、利用者Ｂは統合認証システム８ａに正規のユーザＩＤおよびパスワードを持っていないので、ログインするときには事前に配布されたゲスト用アカウントを使用するか、ユーザＩＤおよびパスワードが入力されない場合は統合認証システム８ａ側でゲスト用アカウントを標準で使用するように設定しておく。統合認証システム８ａはユーザＩＤおよびパスワードのチェックを行い（ステップＳＴ２０５）、利用者Ｂが利用できるアプリケーション認可情報をディレクトリサーバ１０ａから読み出す。この場合では、この時点で利用者ＢはアプリケーションＡ、Ｂへのアクセス権付与の可能性があるが、まだ確定はしない。
【００４３】
次に統合認証システム８ａは利用者ＢがエリアＡ１３ａに入ったことを証明する証明書が正しいか否かを判別する（ステップＳＴ２１０）。このとき、証明書が正しいものであれば、証明書の有効時間が時間内のものであるか否かを判別する（ステップＳＴ２１１）。ステップＳＴ２１０およびステップＳＴ２１１において証明書が正しくなければ、先のディレクトリサーバ１０ａから読み出したアプリケーション認可情報から証明書を必要とするすべてのアプリケーション７ａを除外する（ステップＳＴ２１２）。この場合では、アプリケーションＢへのアクセス権は付与されない。すなわち、利用者ＡはアプリケーションＡのみ利用可能となる。
【００４４】
一方、ステップＳＴ２１１において証明書が正しければ、先のディレクトリサーバ１０ａから読み出した利用者Ｂが利用できるアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。例の場合では、アプリケーションＡ、Ｂのうち、証明書が必要なアプリケーションＢと、証明書が不要なアプリケーションＡへのアクセス権が付与され、結果、アプリケーションＡ、Ｂのアクセス権が付与されることになる。
【００４５】
このとき、ユーザＩＤおよびパスワードの組み合わせが不正であるが、標準のアプリケーション認可情報がある場合（ステップＳＴ２０９において）、証明書が正しいものであり、かつ、証明書の有効時間が時間内のものであれば、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。この場合では、アプリケーションＣのみのアクセス権が付与されることになる。
【００４６】
このとき、例えば、アプリケーションＡはだれでも閲覧可能なデモアプリケーションなどを、アプリケーションＢはある特定のお客向けのデモアプリケーションやある一定の時間の範囲のみ利用可能なアプリケーションなどを想定するものである。
【００４７】
最後に、図８に示すように、このシステムでは利用者Ａ、ＢのエリアＡ１３ａへの入門時に在場証明システム１ａとＩＣカード５ａａによって入門した人を管理しているため、利用者がエリアＡ１３ａ外に出るときには在場証明システム１ａにＩＣカード５ａａを挿入し、入門管理システムはＩＣカード５ａａ内の証明書を削除し（ステップＳＴ３０１）、出門記録としてＩＣカード５ａａのＩＤと出門時間をログとして残しておく（ステップＳＴ３０２）。
【００４８】
この認証システムは、利用者がエリア内に入ったことを証明する証明書によって、利用者の存在エリアによるアプリケーションへのアクセスを制御することが可能となる。また、証明書を発行の際には位置情報、時間情報を取得するためにＧＰＳを用いるため、例えば入門を管理する場所が頻繁に変わるような状況でも対応することが可能となる。
【００４９】
実施の形態２．
実施の形態２について図９および図１０を参照して説明する。なお、図９は実施の形態２に係る認証システムのネットワーク構成を示す図であり、図１０は認証システムを構成する統合認証システム内において、利用者に対する複数のエリアに対応したアプリケーション認可情報を示す図である。また、上述した図１および図２とその説明を適宜参照する。
【００５０】
実施の形態２は、上述した実施の形態１に基づき統合認証システムの利用者のアプリケーション認可情報に、複数のエリアで利用可能なアプリケーションが設定されている場合においても利用が可能な形態である。
【００５１】
実施の形態２に係る認証システムの構成は、エリアＡ１３ａには在場証明システム１ａと、端末１１ａと、接続機１２ａと、ＩＣカード５ａａとを備え、エリアＢ１３ｂには在場証明システム１ｂと、端末１１ｂと、接続機１２ｂと、ＩＣカード５ｂａとを備え、エリアＣ１３ｃには端末１１ｃと、接続機１２ｃとを備え、別途アプリケーションサーバ６と、統合認証システム８がネットワーク２０を介して各エリアに接続されている。基準局サーバ４も同様にネットワーク２０に接続されている。これら構成要素の働きは実施の形態１で説明したことと同様であり、その説明は省略する。
【００５２】
また、図１０に示すような利用者のアプリケーション許可情報が統合認証システム８内のディレクトリサーバに設定されているものとする。これは図３に関して説明したものと同様のものである。
【００５３】
上述した構成の認証システムでは、アプリケーションＡはユーザ認証が正しく行えれば、場所によらず利用可能である。アプリケーションＢはユーザ認証が正しく行われ、かつ、エリアＡ１３ａ内に入ったことを証明する証明書が提出できれば利用可能である。アプリケーションＣはユーザ認証が正しく行えなくてもエリアＡ１３ａの証明書、または、エリアＢ１３ｂの証明書があれば利用可能である。しかし、アプリケーションＤではユーザ認証は正しく行えなくても良いが、エリアＢ１３ｂの証明書のみに対して利用可能となり、エリアＡ１３ａの証明書では利用不可能である。
【００５４】
この発明ではアプリケーション認可情報において１つのアプリケーションに複数のエリアを設定することができるため、例えば、ある社内の部署どうしで連携して作業を行うために同じアプリケーションを使用するが、他の部署や場所からでは使用できないようにするなど、柔軟な運用が可能となる。
【００５５】
実施の形態３．
実施の形態３に係る認証システムの構成は図１１に示すように、エリアＡ１３ａには在場証明システム１ａと、端末１１ａと、接続機１２ａと、ＩＣカード５ａａとを備え、別途、アプリケーション７を有するアプリケーションサーバ６と、ファイル１６を有するファイルサーバ１５と、統合認証システム８と、ネットワームプリンタ１７がネットワーク２０を介して接続されている。なお、エリアはエリアＡ１３ａに限ることはない。これら構成要素の働きは実施の形態１で説明したことと同様である。
【００５６】
上述した実施の形態１または実施の形態２でネットワークに接続されているアプリケーションへのアクセス制御について説明したが、例えば図１１のように、ネットワーク上に存在する個々のファイルやプリンターなどの、統合認証システムで管理できる資源に対してアクセスすることが可能となるものである。
【００５７】
アクセス制御の対象を、ネットワークを通した認証システムのアプリケーションサーバのアプリケーションだけでなく、ネットワークに接続されている機器内のファイルやネットワークプリンタ等も含めて運用することが可能となる。
【００５８】
【発明の効果】
以上のように、この発明によれば、利用者がエリア内に入ったことを証明する証明書によって、利用者の存在エリアによるアプリケーションへのアクセスを制御することが可能となる。また、証明書を発行の際には位置情報、時間情報を取得するためにＧＰＳを用いることにより、例えば入門を管理する場所が頻繁に変わるような状況でも対応することが可能となる効果がある。
【００５９】
この発明によれば、アプリケーションの認可情報において１つのアプリケーションに複数のエリアを設定することができるため、例えば、ある社内の部署間で連携して作業を行うために同じアプリケーションを使用することが可能となるが、他の部署や場所からでは使用できないようにするなど、柔軟な運用が可能となる効果がある。
【００６０】
この発明によれば、アクセス制御の対象を、ネットワークを通した認証システムのアプリケーションだけでなく、ネットワークに接続されている機器内のファイルや装置、例えばネットワークプリンタ等をも含めて運用することが可能となる効果がある。
【図面の簡単な説明】
【図１】実施の形態１に係る認証システムの構成を示す図である。
【図２】実施の形態１に係る認証システムのネットワーク構成を示す図である。
【図３】実施の形態１に係る認証システムを構成する統合認証システム内の、利用者に関するアプリケーション認可情報を示す図である。
【図４】実施の形態１に係る認証システムを構成する統合認証システム内の、利用者に関するアプリケーション認可情報を示す図である。
【図５】実施の形態１に係る認証システムを構成する統合認証システム内におけるエリアと証明書内位置情報のマッピングを示す図である。
【図６】実施の形態１に係る認証システムの在場証明システムが証明書を発行する過程を示したフローチャートである。
【図７】実施の形態１に係る認証システムの処理の過程を示したフローチャートである。
【図８】実施の形態１に係る認証システムの在場証明システムが証明書を削除する過程を示したフローチャートである。
【図９】実施の形態２に係る認証システムのネットワーク構成を示す図である。
【図１０】実施の形態２に係る認証システムを構成する統合認証システム内において、利用者に対する複数のエリアに対応したアプリケーション認可情報を示す図である。
【図１１】実施の形態３に係る認証システムのネットワーク構成を示す図である。
【符号の説明】
１，１ａ，１ｂ 在場証明システム、２，２ａ 入門管理装置、３，３ａ ＧＰＳ、４ 基準局サーバ、５，５ａａ，５ａｂ，５ｂａ ＩＣカード、６，６ａアプリケーションサーバ、７，７ａ アプリケーション、８，８ａ 統合認証システム、９，９ａ 統合認証サーバ、１０，１０ａ ディレクトリサーバ、１１，１１ａ，１１ｂ，１１ｃ 端末、１２，１２ａ，１２ｂ，１２ｃ 接続機、１３ エリア、１３ａ エリアＡ、１３ｂ エリアＢ、１３ｃ エリアＣ、１５ファイルサーバ、１６ ファイル、１７ ネットワークプリンタ、２０ ネットワーク。
【発明の属する技術分野】
この発明は、利用者の所在場所によってアプリケーションへのアクセスを制御するために、利用者を認証する認証方法および認証システムに関するものである。
【０００２】
【従来の技術】
従来の認証に関する技術はユーザＩＤとパスワードによって本人を確認し、その人が持つ権限によってシステムの利用の可否を判断していた。しかし、本人であってもシステムを利用する物理的な場所が異なれば、使用権限レベルを変えたい場合がある。例えば、同じ敷地内でも入退出が管理された場所では、その利用者に許されたすべてのアプリケーションが使えるが、その他の場所では制限する等である。
【０００３】
従来から、ＩＰアドレスを用いることによって利用者からのアクセス場所を特定し、アクセス可能なデータを制限する方法等が提案されている（特許文献１参照）。ところが、これらの方法では認証サーバの管理者がネットワーク構成を把握していなければアクセス権の設定ができないという問題や、そのためにネットワークの構成を変更すると、コストが高くなってしまうという問題があった。
【０００４】
また、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）の位置情報を用いてアクセス可能なデータを制限する方法も提案されている（特許文献２参照）。ＧＰＳによる位置情報はＩＰアドレスとは異なり、システムの構成に依存しない。しかしながら、ＧＰＳ機器はシステムに固定されていて、移動体端末にＧＰＳ機器を搭載して利用することは困難であった。
【０００５】
【特許文献１】
特開平１０−１６１９７８号公報
【特許文献２】
特開２０００−１６３３７９号公報
【０００６】
【発明が解決しようとする課題】
この発明は上記のような問題点を解決するためになされたもので、利用者がある特定のエリアに入ったときに、ＧＰＳを有する機器から利用者がエリア内に入ったことを証明する証明書を発行し、システムを使用するときにユーザＩＤとパスワードに加えて、エリア内に入ったことを証明する証明書を提出できたかどうかで、利用者の所在エリアによるアプリケーションのアクセス制御を行う認証方法および認証システムを得ることを目的とする。
【０００７】
また、システムの管理者はネットワークの構成を意識せず、統合認証システムの利用者や、エリアごとのアプリケーションに対する認可情報を設定することでアクセス制御を行う認証方法および認証システムを得ることを目的とする。
【０００８】
このとき、証明書が異なっている場合や証明書が提出できない場合にはアプリケーションへのアクセス権を付与しないか、もしくはセキュリティポリシーに従ったアクセス権を付与することができる認証方法および認証システムを得ることを目的とする。
【０００９】
【課題を解決するための手段】
この発明に係る認証方法は、利用者の所在エリアによってアプリケーションのアクセスを制御する認証方法において、特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行し、証明書とユーザＩＤおよびパスワードの検証を行うことで、利用者のエリアごとのアクセスを制御するものである。
【００１０】
この発明に係る認証システムは、利用者の所在エリアによってアプリケーションのアクセスを制御する認証システムにおいて、特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行する証明書発行手段と、証明書発行手段により発行された証明書とユーザＩＤおよびパスワードの検証を行う検証手段と、検証手段の検証結果に基づいて、利用者のエリアごとのアクセスを制御するアクセス制御手段とを備えるものである。
【００１１】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
この発明に係る実施の形態１の認証システムについて図１〜図８を参照して説明する。なお、図１は実施の形態１に係る認証システムの構成を示す図であり、図２は認証システムのネットワーク構成を示す図である。また、図３および図４は夫々、認証システムを構成する統合認証システム内の、利用者Ａおよび利用者Ｂに関するアプリケーション認可情報を示す図である。また、図５は認証システムを構成する統合認証システム内におけるエリアと証明書内位置情報のマッピングを示す図である。さらに、図６は認証システムの在場証明システムが証明書を発行する過程を示したフローチャートであり、図７は認証システムの処理の過程を示したフローチャートであり、図８は認証システムの在場証明システムが証明書を削除する過程を示したフローチャートである。
【００１２】
まず、認証システムの構成について説明する。図１に示すように認証システムは在場証明システム１と、アプリケーションサーバ６と、統合認証システム８と、ＩＣカード５ａ、５ｂと、端末１１と、接続機１２で構成され、在場証明システム１には入門管理装置２、ＧＰＳ３を備え、アプリケーションサーバ６にはアプリケーション７を備え、統合認証システム８には統合認証サーバ９、ディレクトリサーバ１０を備えて構成される。これらの構成で１つのエリア１３をカバーする。
【００１３】
在場証明システム１は、入門管理装置２において利用者のエリア内に入ったことを証明する証明書を生成し発行する。ＧＰＳ３は証明書を生成するための位置情報や時間情報を取得するものである。ＧＰＳ３は、図２に示し、後段で詳しく説明するネットワーク２０を介して基準局サーバ４にアクセスし、位置情報の補正を行うことで位置情報の精度向上と取得時間の短縮を図る。
【００１４】
ネットワークを通してＧＰＳの補正情報を得るインターネットＧＰＳ（例えば、羽田久一、川喜田佑介：「インターネットＧＰＳ」、情報処理学会誌、Ｖｏｌ．４３、Ｎｏ．８）を用いることで、ＧＰＳ補正に特別な無線機器やアンテナをつける必要が無く、本発明の認証システムと同一のネットワークを使用して構築が可能となり、コストを抑えることが可能である。なお、在場証明システム１のＧＰＳ３は補正情報を無線機器やアンテナで取得する従来のシステムを使用しても良い。
【００１５】
アプリケーションサーバ６は、利用者が使用するアプリケーション７を管理するサーバであって、ひとつのアプリケーションサーバ６に複数のアプリケーション７があっても良いし、図２に示すネットワーク２０上に複数のアプリケーションサーバ６を設置しても良い。
【００１６】
統合認証システム８は、利用者の認証およびアプリケーション７を使用する認可を制御するシステムで、実際に認証・認可処理を行う統合認証サーバ９と、認証および認可のための情報が含まれているディレクトリサーバ１０から構成される。
【００１７】
ＩＣカード５ａ、５ｂは、証明書を記録する媒体である。例えば利用者がエリア１３内に入ったことを証明する、在場証明システム１によって作成された証明書をＩＣカード５ａに記録し、一方、認証システムを利用する場合は統合認証システム８に対し、証明書を記録したＩＣカード５ｂを端末１１からログインして認証を受ける。
【００１８】
端末１１は、利用者が使用する計算機端末であり、ノートパソコンやＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）、携帯電話などの移動可能な計算機が適用可能である。
【００１９】
接続機１２は、端末１１を図２に示すネットワーク２０に接続するための装置である。端末１１を接続する手段としては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ、赤外線などが挙げられる。
【００２０】
図２は上述した認証システムを、ネットワーク２０を介して接続してシステムを構成した図であって、エリアとして例えばエリアＡ１３ａとエリアＢ１３ｂが示されている。エリアＡ１３ａでは在場証明システム１ａと、アプリケーションサーバ６ａと、統合認証システム８ａと、ＩＣカード５ａａ、５ａｂと、端末１１ａと、接続機１２ａがあり、エリアＢ１３ｂでは端末１１ｂと接続機１２ｂがある。
【００２１】
例えばエリアＡ１３ａにいる利用者は端末１１ａを接続機１２ａに接続し、ユーザＩＤおよびパスワードによって統合認証システム８ａで認証され、アプリケーションサーバ６ａ上のアプリケーション７ａを利用する。
【００２２】
ここで、利用者がエリアＡ１３ａ内に入門したときに、在場証明システム１ａで作成された証明書がＩＣカード５ａａに記録される。利用者は接続機１２ａに端末１１ａを接続し、ユーザＩＤおよびパスワードとともに、エリアＡ１３ａに入門時に書き込んだＩＣカード５ａｂに記載されている証明書を統合認証システム８ａへ送信する。エリアＢ１３ｂの認証システムでは在場証明システムがないため、ＩＣカードへの証明書の記入ができず、利用者はユーザＩＤおよびパスワードのみを送信することになる。
【００２３】
次に認証システムの動作について説明する。
まず、統合認証システム８で設定されている利用者Ａに関するアプリケーション許可情報（図３）、利用者Ｂに関するアプリケーション許可情報（図４）、およびエリアと証明書内位置情報のマッピング（図５）について述べる。なお、証明書を本発明の認証システムの統合認証システム８で検証するためには、統合認証システム８側でアプリケーションとその使用可能なエリアを図３〜図５に示すようにマッピングしておく必要があるものである。
【００２４】
利用者Ａのアプリケーション許可情報は図３に示すように、例えば利用者Ａに対してアプリケーションサーバ６のアプリケーションＡは認証を必要とするが、どのエリアからでもアクセスできる。また、アプリケーションＢは認証を必要とし、エリアＡだけでアクセスできる。また、アプリケーションＣは認証の必要はないがエリアＡだけでアクセスできることを表している。他のアプリケーションに対しても同様に記述されているものである。
【００２５】
利用者Ｂのアプリケーション許可情報は図４に示すように、例えば利用者Ｂに対してアプリケーションＡは認証を必要とせず、どのエリアからでもアクセスできる。また、アプリケーションＢは認証の必要はないがエリアＡだけでアクセスできることを表している。他のアプリケーションに対しても同様に記述されているものである。
【００２６】
エリアと証明書内位置情報のマッピングは図５に示すように、エリアＡ、エリアＢ・・・に対して位置情報１、２・・・、許容範囲１、２・・・が記述されている。これにより、在場証明システムの位置は変わるがアプリケーションへのアクセス制御に関する設定が変わらない場合であれば、統合認証システム８内のアプリケーションとその使用可能なエリアのマッピングを変更する必要がなく、システム管理者の負担が低減する。
【００２７】
エリアＡ１３ａのシステムに正規のアカウントを持つ利用者（以下適宜、「利用者Ａ」と記す）がエリアＡ１３ａ内で統合認証システム８ａにログインする場合について説明する。利用者ＡはエリアＡ１３ａに入り、ＩＣカード５ａａを在場証明システム１ａに通して、ＩＣカード５ａａにエリアＡ１３ａに入門したことを証明する証明書を書き込む。
【００２８】
図６に示すように、入門管理装置２はＧＰＳ３に接続し（ステップＳＴ１０１）、位置情報と時間情報を取得する（ステップＳＴ１０２）。このとき、ＧＰＳ３は補正基準となる情報を基準局サーバ４から取得できるものとする。位置情報と時間情報を取得できたら、入門管理装置２はＧＰＳ３から取得した位置情報、時間情報に有効時間を加え（ステップＳＴ１０３）、証明書を生成する（ステップＳＴ１０４）。生成された証明書はＩＣカード５ａに記録して利用者に発行される（ステップＳＴ１０５）。最後に、入門管理装置２は入門記録としてＩＣカード５ａのＩＤ、入門時間、証明書の有効時間をログとして残しておく（ステップＳＴ１０６）。
【００２９】
また、認証システムの管理者は在場証明システム１を設置するときに、位置情報とその許容範囲をエリア情報として、図５に示すように統合認証システム８内にマッピングしておく。これにより例えば、在場証明システム１の位置が変わってもアプリケーション７へのアクセス制御に関する設定が変わらないような場合には、統合認証システム８内のアプリケーション７とその使用可能なエリアのマッピングを変更する必要が無い。
【００３０】
次に、図７に示すように、利用者ＡはエリアＡ１３ａ内の接続機１２ａに端末１１ａを接続する（ステップＳＴ２０１）。次に、端末１１ａにＩＣカード５ａｂを読み取る装置を取り付け、ＩＣカード５ａｂに記入されている証明書を読み込む（ステップＳＴ２０２）。利用者Ａは端末１１ａからユーザＩＤおよびパスワードを入力し統合認証システム８ａへログインする（ステップＳＴ２０３）。このときＩＣカード５ａｂから読み取った証明書をユーザＩＤおよびパスワードと共に送信する（ステップＳＴ２０４）。ＩＣカード５ａｂ内の証明書を送信する際に、安全性を高めるために証明書を暗号化しても良い。
【００３１】
統合認証サーバ９ａは送信されてきたユーザＩＤおよびパスワードをチェックし（ステップＳＴ２０５）、このとき、ユーザＩＤおよびパスワードの組み合わせが正しければ、利用者Ａが利用できるアプリケーション認可情報をディレクトリサーバ１０ａから読み出し（ステップＳＴ２０６）、ステップ２１０に進む。この場合は、この時点で利用者ＡはアプリケーションＡ、Ｂ、Ｃへのアクセス権付与の可能性がある。
【００３２】
一方、ステップＳＴ２０５において、ユーザＩＤおよびパスワードの組み合わせが正しくない場合、或いはユーザＩＤおよびパスワードが入力されなかった場合は、標準のアプリケーション認可情報があるか否かをディレクトリサーバ１０ａに問い合わせる（ステップＳＴ２０７）。標準のアプリケーション認可情報は、例えば、エリアＡ１３ａに入ったことを証明する証明書があればアクセス可能なアプリケーション７ａや、だれでも使用可能なアプリケーション７ａ等がある。標準のアプリケーション認可情報が無ければ、どのアプリケーション７ａへのアクセス権も付与されないため、利用者側にアプリケーション利用不可の通知（エラー表示）を送信する（ステップＳＴ２０８）。この場合では、利用者ＡのユーザＩＤおよびパスワードが不正な場合、アプリケーションＣのみへのアクセス権付与の可能性がある。
【００３３】
一方、ステップＳＴ２０７において標準のアプリケーション認可情報がある場合は、標準のアプリケーション認可情報をディレクトリサーバ１０ａから読み出し（ステップＳＴ２０９）、ステップＳＴ２１０に進む。
【００３４】
次に統合認証システム８ａは利用者ＡがエリアＡ１３ａに入ったことを証明する証明書が正しいか否かを判別する（ステップＳＴ２１０）。このとき、証明書が正しものであれば、証明書の有効時間が時間内のものであるか否かを判別する（ステップＳＴ２１１）。ステップＳＴ２１０およびステップＳＴ２１１において証明書が正しくなければ、先のディレクトリサーバ１０ａから読み出したアプリケーション認可情報から証明書を必要とするすべてのアプリケーション７ａを除外する（ステップＳＴ２１２）。この場合では、アプリケーションＢ、Ｃへのアクセス権は付与されない。すなわち、利用者ＡはアプリケーションＡのみ利用可能となる。
【００３５】
一方、ステップＳＴ２１１において証明書が正しければ、先のディレクトリサーバ１０ａから読み出した、利用者Ａが利用できるアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。例の場合では、アプリケーションＡ、Ｂ、Ｃのうち、証明書が必要なアプリケーションＢ、Ｃと、証明書が不要なアプリケーションＡへのアクセス権が付与され、結果、アプリケーションＡ、Ｂ、Ｃのアクセス権が付与されることになる。
【００３６】
このとき、ユーザＩＤおよびパスワードの組み合わせが不正であるが、標準のアプリケーション認可情報がある場合（ステップＳＴ２０９において）、証明書が正しいものであり、かつ、証明書の有効時間が時間内のものであれば、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。この場合では、アプリケーションＣのみのアクセス権が付与されることになる。
【００３７】
次に利用者Ａが在場証明システム１の無いエリアＢ１３ｂから統合認証システム８ａへログインする場合について同じフローチャートを用いて説明する。利用者ＡがエリアＢ１３ｂ内の接続機１２ｂに端末１１ｂを接続し、統合認証システム８ａへログインする（ステップＳＴ２０１）。このとき、エリアＢ１３ｂ内には在場証明システム１がないので、エリアＡ１３ａ内に入ったことを証明する証明書を発行することはできない。利用者ＡはユーザＩＤおよびパスワードと空の証明書を統合認証システム８ａに送信する（ステップＳＴ２０４）。
【００３８】
統合認証システム８ａは送信されてきたユーザＩＤおよびパスワードをチェックする（ステップＳＴ２０５）。統合認証システム８でのユーザＩＤ・パスワードのチェックは先の例と同じである、この場合では、ユーザＩＤおよびパスワードが正しければ、利用者ＡはアプリケーションＡ、Ｂ、Ｃへのアクセス権付与の可能性がある。またユーザＩＤ・パスワードが不正であっても、標準のアプリケーション認可情報があるため、利用者ＡはアプリケーションＣのアクセス権付与の可能性がある。
【００３９】
次に統合認証システム８ａは証明書のチェックを行うが、エリアＢ１３ｂ内ではエリアＡ１３ａ内に入ったことを証明する証明書が発行できないため、送信された空の証明書ではチェックのときに不正とみなされる。そのため、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報がある場合、その中から証明書を必要とするすべてのアプリケーションを除外する（ステップＳＴ２１２）ため、結果的に、利用者ＡはアプリケーションＣのみ利用可能となる。
【００４０】
次に統合認証システム８ａに正規のアカウントを持たない利用者（以降適宜、「利用者Ｂ」と記す）がエリアＡ１３ａから統合認証システム８ａを利用する場合について説明する。利用者ＢはエリアＡ１３ａに訪れたお客などを想定する。利用者ＢがエリアＡ１３ａ内に入るとき、ゲスト用のＩＣカード５ａａが配布され、また、ゲスト用のアプリケーション認可情報としては、統合認証システム８ａに、図４に示すように設定されているものとする。
【００４１】
利用者ＢはエリアＡ１３ａに入り、ゲスト用のＩＣカード５ａａを在場証明システム１ａに通してＩＣカード５ａａにエリアＡ１３ａに入門したことを証明する証明書を書き込む。利用者ＢはエリアＡ１３ａ内において、接続機１２ａに端末１１ａを接続する（ステップＳＴ２０１）。次に、端末１１ａにＩＣカード５ａｂ（この場合は、先に証明書が記録されたＩＣカード５ａａ）を読み取る装置を取り付け、ＩＣカード５ａｂに記入されている証明書を読み込む（ステップＳＴ２０２）。
【００４２】
次に利用者Ｂは端末１１ａからユーザＩＤおよびパスワードを入力し、統合認証システム８ａへログインするが、利用者Ｂは統合認証システム８ａに正規のユーザＩＤおよびパスワードを持っていないので、ログインするときには事前に配布されたゲスト用アカウントを使用するか、ユーザＩＤおよびパスワードが入力されない場合は統合認証システム８ａ側でゲスト用アカウントを標準で使用するように設定しておく。統合認証システム８ａはユーザＩＤおよびパスワードのチェックを行い（ステップＳＴ２０５）、利用者Ｂが利用できるアプリケーション認可情報をディレクトリサーバ１０ａから読み出す。この場合では、この時点で利用者ＢはアプリケーションＡ、Ｂへのアクセス権付与の可能性があるが、まだ確定はしない。
【００４３】
次に統合認証システム８ａは利用者ＢがエリアＡ１３ａに入ったことを証明する証明書が正しいか否かを判別する（ステップＳＴ２１０）。このとき、証明書が正しいものであれば、証明書の有効時間が時間内のものであるか否かを判別する（ステップＳＴ２１１）。ステップＳＴ２１０およびステップＳＴ２１１において証明書が正しくなければ、先のディレクトリサーバ１０ａから読み出したアプリケーション認可情報から証明書を必要とするすべてのアプリケーション７ａを除外する（ステップＳＴ２１２）。この場合では、アプリケーションＢへのアクセス権は付与されない。すなわち、利用者ＡはアプリケーションＡのみ利用可能となる。
【００４４】
一方、ステップＳＴ２１１において証明書が正しければ、先のディレクトリサーバ１０ａから読み出した利用者Ｂが利用できるアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。例の場合では、アプリケーションＡ、Ｂのうち、証明書が必要なアプリケーションＢと、証明書が不要なアプリケーションＡへのアクセス権が付与され、結果、アプリケーションＡ、Ｂのアクセス権が付与されることになる。
【００４５】
このとき、ユーザＩＤおよびパスワードの組み合わせが不正であるが、標準のアプリケーション認可情報がある場合（ステップＳＴ２０９において）、証明書が正しいものであり、かつ、証明書の有効時間が時間内のものであれば、先のディレクトリサーバ１０ａから読み出した標準のアプリケーション認可情報の中から、その証明書の範囲で利用可能なアプリケーション７ａを選び出す（ステップＳＴ２１３）。この場合では、アプリケーションＣのみのアクセス権が付与されることになる。
【００４６】
このとき、例えば、アプリケーションＡはだれでも閲覧可能なデモアプリケーションなどを、アプリケーションＢはある特定のお客向けのデモアプリケーションやある一定の時間の範囲のみ利用可能なアプリケーションなどを想定するものである。
【００４７】
最後に、図８に示すように、このシステムでは利用者Ａ、ＢのエリアＡ１３ａへの入門時に在場証明システム１ａとＩＣカード５ａａによって入門した人を管理しているため、利用者がエリアＡ１３ａ外に出るときには在場証明システム１ａにＩＣカード５ａａを挿入し、入門管理システムはＩＣカード５ａａ内の証明書を削除し（ステップＳＴ３０１）、出門記録としてＩＣカード５ａａのＩＤと出門時間をログとして残しておく（ステップＳＴ３０２）。
【００４８】
この認証システムは、利用者がエリア内に入ったことを証明する証明書によって、利用者の存在エリアによるアプリケーションへのアクセスを制御することが可能となる。また、証明書を発行の際には位置情報、時間情報を取得するためにＧＰＳを用いるため、例えば入門を管理する場所が頻繁に変わるような状況でも対応することが可能となる。
【００４９】
実施の形態２．
実施の形態２について図９および図１０を参照して説明する。なお、図９は実施の形態２に係る認証システムのネットワーク構成を示す図であり、図１０は認証システムを構成する統合認証システム内において、利用者に対する複数のエリアに対応したアプリケーション認可情報を示す図である。また、上述した図１および図２とその説明を適宜参照する。
【００５０】
実施の形態２は、上述した実施の形態１に基づき統合認証システムの利用者のアプリケーション認可情報に、複数のエリアで利用可能なアプリケーションが設定されている場合においても利用が可能な形態である。
【００５１】
実施の形態２に係る認証システムの構成は、エリアＡ１３ａには在場証明システム１ａと、端末１１ａと、接続機１２ａと、ＩＣカード５ａａとを備え、エリアＢ１３ｂには在場証明システム１ｂと、端末１１ｂと、接続機１２ｂと、ＩＣカード５ｂａとを備え、エリアＣ１３ｃには端末１１ｃと、接続機１２ｃとを備え、別途アプリケーションサーバ６と、統合認証システム８がネットワーク２０を介して各エリアに接続されている。基準局サーバ４も同様にネットワーク２０に接続されている。これら構成要素の働きは実施の形態１で説明したことと同様であり、その説明は省略する。
【００５２】
また、図１０に示すような利用者のアプリケーション許可情報が統合認証システム８内のディレクトリサーバに設定されているものとする。これは図３に関して説明したものと同様のものである。
【００５３】
上述した構成の認証システムでは、アプリケーションＡはユーザ認証が正しく行えれば、場所によらず利用可能である。アプリケーションＢはユーザ認証が正しく行われ、かつ、エリアＡ１３ａ内に入ったことを証明する証明書が提出できれば利用可能である。アプリケーションＣはユーザ認証が正しく行えなくてもエリアＡ１３ａの証明書、または、エリアＢ１３ｂの証明書があれば利用可能である。しかし、アプリケーションＤではユーザ認証は正しく行えなくても良いが、エリアＢ１３ｂの証明書のみに対して利用可能となり、エリアＡ１３ａの証明書では利用不可能である。
【００５４】
この発明ではアプリケーション認可情報において１つのアプリケーションに複数のエリアを設定することができるため、例えば、ある社内の部署どうしで連携して作業を行うために同じアプリケーションを使用するが、他の部署や場所からでは使用できないようにするなど、柔軟な運用が可能となる。
【００５５】
実施の形態３．
実施の形態３に係る認証システムの構成は図１１に示すように、エリアＡ１３ａには在場証明システム１ａと、端末１１ａと、接続機１２ａと、ＩＣカード５ａａとを備え、別途、アプリケーション７を有するアプリケーションサーバ６と、ファイル１６を有するファイルサーバ１５と、統合認証システム８と、ネットワームプリンタ１７がネットワーク２０を介して接続されている。なお、エリアはエリアＡ１３ａに限ることはない。これら構成要素の働きは実施の形態１で説明したことと同様である。
【００５６】
上述した実施の形態１または実施の形態２でネットワークに接続されているアプリケーションへのアクセス制御について説明したが、例えば図１１のように、ネットワーク上に存在する個々のファイルやプリンターなどの、統合認証システムで管理できる資源に対してアクセスすることが可能となるものである。
【００５７】
アクセス制御の対象を、ネットワークを通した認証システムのアプリケーションサーバのアプリケーションだけでなく、ネットワークに接続されている機器内のファイルやネットワークプリンタ等も含めて運用することが可能となる。
【００５８】
【発明の効果】
以上のように、この発明によれば、利用者がエリア内に入ったことを証明する証明書によって、利用者の存在エリアによるアプリケーションへのアクセスを制御することが可能となる。また、証明書を発行の際には位置情報、時間情報を取得するためにＧＰＳを用いることにより、例えば入門を管理する場所が頻繁に変わるような状況でも対応することが可能となる効果がある。
【００５９】
この発明によれば、アプリケーションの認可情報において１つのアプリケーションに複数のエリアを設定することができるため、例えば、ある社内の部署間で連携して作業を行うために同じアプリケーションを使用することが可能となるが、他の部署や場所からでは使用できないようにするなど、柔軟な運用が可能となる効果がある。
【００６０】
この発明によれば、アクセス制御の対象を、ネットワークを通した認証システムのアプリケーションだけでなく、ネットワークに接続されている機器内のファイルや装置、例えばネットワークプリンタ等をも含めて運用することが可能となる効果がある。
【図面の簡単な説明】
【図１】実施の形態１に係る認証システムの構成を示す図である。
【図２】実施の形態１に係る認証システムのネットワーク構成を示す図である。
【図３】実施の形態１に係る認証システムを構成する統合認証システム内の、利用者に関するアプリケーション認可情報を示す図である。
【図４】実施の形態１に係る認証システムを構成する統合認証システム内の、利用者に関するアプリケーション認可情報を示す図である。
【図５】実施の形態１に係る認証システムを構成する統合認証システム内におけるエリアと証明書内位置情報のマッピングを示す図である。
【図６】実施の形態１に係る認証システムの在場証明システムが証明書を発行する過程を示したフローチャートである。
【図７】実施の形態１に係る認証システムの処理の過程を示したフローチャートである。
【図８】実施の形態１に係る認証システムの在場証明システムが証明書を削除する過程を示したフローチャートである。
【図９】実施の形態２に係る認証システムのネットワーク構成を示す図である。
【図１０】実施の形態２に係る認証システムを構成する統合認証システム内において、利用者に対する複数のエリアに対応したアプリケーション認可情報を示す図である。
【図１１】実施の形態３に係る認証システムのネットワーク構成を示す図である。
【符号の説明】
１，１ａ，１ｂ 在場証明システム、２，２ａ 入門管理装置、３，３ａ ＧＰＳ、４ 基準局サーバ、５，５ａａ，５ａｂ，５ｂａ ＩＣカード、６，６ａアプリケーションサーバ、７，７ａ アプリケーション、８，８ａ 統合認証システム、９，９ａ 統合認証サーバ、１０，１０ａ ディレクトリサーバ、１１，１１ａ，１１ｂ，１１ｃ 端末、１２，１２ａ，１２ｂ，１２ｃ 接続機、１３ エリア、１３ａ エリアＡ、１３ｂ エリアＢ、１３ｃ エリアＣ、１５ファイルサーバ、１６ ファイル、１７ ネットワークプリンタ、２０ ネットワーク。
Claims (12)
- 利用者の所在エリアによってアプリケーションのアクセスを制御する認証方法において、
特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行し、前記証明書とユーザＩＤおよびパスワードの検証を行うことで利用者のエリアごとのアクセスを制御すること
を特徴とする認証方法。 - 利用者がエリア内に入ったことを証明する証明書をＩＣカードに記憶し、認証装置間の証明書の交換は前記ＩＣカードを媒体として行うことを特徴とする請求項１記載の認証方法。
- 証明書を生成するために、ＧＰＳから取得した位置情報および時間情報を用いることを特徴とする請求項１記載の認証方法。
- 証明書が、認証を制御する部位に提出できたか否かを判別し、当該判別結果に基づき、アプリケーションへのアクセスを制御することを特徴とする請求項１記載の認証方法。
- 利用者の所在エリアによってアプリケーションへのアクセスを制御する認証システムにおいて、
特定エリアへの入門時に、利用者がエリア内に入ったことを証明する証明書を発行する証明書発行手段と、
前記証明書発行手段により発行された証明書とユーザＩＤおよびパスワードの検証を行う検証手段と、
前記検証手段の検証結果に基づいて、利用者のエリアごとに前記アプリケーションへのアクセスを制御するアクセス制御手段と
を備えたことを特徴とする認証システム。 - 利用者がエリア内に入ったことを証明する証明書を記憶するＩＣカードを備えたことを特徴とする請求項５記載の認証システム。
- 証明書発行手段に、位置情報を取得するＧＰＳ装置を備えたことを特徴とする請求項５記載の認証システム。
- 証明書発行手段に、時間情報を取得するＧＰＳ装置を備えたことを特徴とする請求項５記載の認証システム。
- 利用者の認証およびアプリケーションの使用認可を制御する統合認証システムを備えたことを特徴とする請求項５から請求項８のうちのいずれか１項記載の認証システム。
- 証明書発行手段による証明書が統合認証システムに提出できたか否かを判別する判別手段を備え、当該判別手段の判別結果に基づき、アプリケーションへのアクセスを制御するアクセス制御手段を備えたことを特徴とする請求項９記載の認証システム。
- アプリケーションの使用を可能とするエリアを設定するエリア設定手段を備えたことを特徴とする請求項５から請求項１０のうちのいずれか１項記載の認証システム。
- 認証システムが管理するネットワーク上に存在する装置に対して、アクセスすることを可能とするアクセス手段を備えたことを特徴とする請求項５から請求項１１のうちのいずれか１項記載の認証システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003122310A JP2004326580A (ja) | 2003-04-25 | 2003-04-25 | 認証方法および認証システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003122310A JP2004326580A (ja) | 2003-04-25 | 2003-04-25 | 認証方法および認証システム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004326580A true JP2004326580A (ja) | 2004-11-18 |
Family
ID=33500582
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003122310A Pending JP2004326580A (ja) | 2003-04-25 | 2003-04-25 | 認証方法および認証システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004326580A (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006115002A1 (ja) * | 2005-04-22 | 2006-11-02 | Matsushita Electric Industrial Co., Ltd. | 位置証明システム |
| JP2008217761A (ja) * | 2007-02-28 | 2008-09-18 | Korea Univ Industrial & Academic Collaboration Foundation | 無線識別システムを利用した陳列された品物の情報確認方法、無線識別システムを利用した購買された品物の情報確認方法、その記録媒体及びそのシステム |
| JP2009514100A (ja) * | 2005-10-26 | 2009-04-02 | シスコ テクノロジー インコーポレイテッド | アクセス制御システム及びアクセス管理方法 |
| CN101056179B (zh) * | 2007-06-13 | 2010-06-09 | 中兴通讯股份有限公司 | 控制用户只能在特定区域上网的方法及系统 |
| US8169647B2 (en) | 2007-08-24 | 2012-05-01 | Sharp Kabushiki Kaisha | Authentication technique that can simplify works necessary when the printer position is changed, personnel allocation is changed, or a new printer is installed |
| US8352647B2 (en) | 2009-06-10 | 2013-01-08 | Fuji Xerox Co., Ltd. | Method and system for controlling information accessibility based on user location |
-
2003
- 2003-04-25 JP JP2003122310A patent/JP2004326580A/ja active Pending
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006115002A1 (ja) * | 2005-04-22 | 2006-11-02 | Matsushita Electric Industrial Co., Ltd. | 位置証明システム |
| JP2009514100A (ja) * | 2005-10-26 | 2009-04-02 | シスコ テクノロジー インコーポレイテッド | アクセス制御システム及びアクセス管理方法 |
| KR101314445B1 (ko) * | 2005-10-26 | 2013-11-21 | 시스코 테크놀러지, 인크. | 통합된 네트워크 및 물리적 구내 접근 제어 서버 |
| JP2008217761A (ja) * | 2007-02-28 | 2008-09-18 | Korea Univ Industrial & Academic Collaboration Foundation | 無線識別システムを利用した陳列された品物の情報確認方法、無線識別システムを利用した購買された品物の情報確認方法、その記録媒体及びそのシステム |
| CN101056179B (zh) * | 2007-06-13 | 2010-06-09 | 中兴通讯股份有限公司 | 控制用户只能在特定区域上网的方法及系统 |
| US8169647B2 (en) | 2007-08-24 | 2012-05-01 | Sharp Kabushiki Kaisha | Authentication technique that can simplify works necessary when the printer position is changed, personnel allocation is changed, or a new printer is installed |
| US8352647B2 (en) | 2009-06-10 | 2013-01-08 | Fuji Xerox Co., Ltd. | Method and system for controlling information accessibility based on user location |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101877333B1 (ko) | 블록체인 기반의 모바일 아이디를 이용하여 사용자를 비대면 인증하는 방법, 단말 및 이를 이용한 서버 | |
| US7694330B2 (en) | Personal authentication device and system and method thereof | |
| KR100464755B1 (ko) | 이메일 주소와 하드웨어 정보를 이용한 사용자 인증방법 | |
| US8752203B2 (en) | System for managing computer data security through portable data access security tokens | |
| US6988196B2 (en) | Computer system and method for generating a digital certificate | |
| KR101829730B1 (ko) | 블록체인 데이터베이스를 통해 모바일 아이디를 이용하여 사용자를 인증하는 방법, 단말 및 이를 이용한 서버 | |
| US20170366525A1 (en) | Apparatus and method for controlling profile data delivery | |
| KR101033337B1 (ko) | 단말기 사용자의 본인확인을 강화한 보안 인증방법 | |
| US20050021954A1 (en) | Personal authentication device and system and method thereof | |
| KR101858653B1 (ko) | 블록체인 데이터베이스 및 이와 연동하는 머클 트리 구조를 통해 모바일 아이디를 이용하여 사용자를 인증하는 방법, 단말 및 이를 이용한 서버 | |
| US20040172369A1 (en) | Method and arrangement in a database | |
| JP2022144003A (ja) | 情報処理装置及び情報処理プログラム | |
| CN110602023A (zh) | 个人信息安全管控方法、装置和计算机可读存储介质 | |
| KR101066693B1 (ko) | 전자 인증서의 보안 및 확인 방법 | |
| JP2005149341A (ja) | 認証方法および装置、サービス提供方法および装置、情報入力装置、管理装置、認証保証装置、並びにプログラム | |
| JP2004326580A (ja) | 認証方法および認証システム | |
| JP3993132B2 (ja) | オンライン認証装置、オンライン認証システム、及びオンライン認証方法 | |
| JP2009152825A (ja) | ロケーションスタンプシステム | |
| JP7521540B2 (ja) | アクセス制御装置、制御方法、及びプログラム | |
| JP2008217300A (ja) | 生体情報付きファイル暗号化システム及び復号化システム、並びにその方法 | |
| JP2004140715A (ja) | 電子文書管理方法及びシステム | |
| JP4181572B2 (ja) | 身分証明システム及び身分証明方法及び身分証明装置及び身分証明プログラム | |
| KR20160025534A (ko) | 공인 인증서를 발급 및 이용하는 방법 | |
| WO2007108114A1 (ja) | ドメイン参加方法、属性証明書選択方法、通信端末、ｉｃカード、ｃｅ機器、属性証明書発行局およびコンテンツサーバ | |
| KR100646091B1 (ko) | 이동통신 기반의 민원서류 발급 방법 및 시스템과 이를위한 이동단말기 |