JP2005157845A - サーバシステム、クライアントサーバシステム、及びクライアントサーバシステムへのログイン方法 - Google Patents

Abstract

【課題】 ユーザＩＤやパスワードを管理すること無く、ＳＳＬクライアント証明書を用いてアクセスすることができるシステムを提供する。
【解決手段】 ＳＳＬのクライアント認証を行うことによりクライアント端末１０１からネットワークを通じてログインするクライアントサーバシステムにおいて、ユーザに固有のユーザ情報を含むクライアント証明書を用いて、ＳＳＬクライアント認証を行うことにより、クライアント端末１０１からＳＳＬサーバ１０２にアクセスし、ＳＳＬサーバ１０２のユーザ情報抽出手段１０２Ｂはクライアント証明書の中からユーザ情報を抽出し、認証サーバ１０３のユーザ認証手段１０３Ａは抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証し、認証されたユーザに対してアプリケーションサーバ１０４のアプリケーション１０４Ａを起動するようにした。
【選択図】 図５

Description

この発明は、信頼のある認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬのクライアント認証を行うことによりクライアント端末からネットワークを通じてサーバにログインするクライアントサーバシステムに関するものである。

ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）認証技術は、ＮｅｔＳｃａｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ社が開発したインターネットにおけるセキュリティシステムである。このＳＳＬ認証技術は、ＩＥＴＦ(Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ)による標準化も行なわれており、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）２２４６にＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）として定義されている。そして、ＳＳＬ認証技術は、Ｗｅｂサーバとクライアントの間の通信を暗号化するなどの目的に利用され、多くのＷｅｂサーバやブラウザでサポートされている。このＳＳＬでは、サーバ認証、クライアント認証、暗号通信、メッセージ認証という機能を実現している。そして、暗号通信では通信路上での盗聴を防止し、サーバ認証では他のサーバのなりすましを防止し、クライアント認証では非権限者からサーバへの不正アクセスを防止し、メッセージ認証では通信路での改ざんを防止する効果を奏する。

ＳＳＬでのクライアント認証には、信頼された認証局ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）の証明書、認証局ＣＡから発行されたクライアント証明書、認証局ＣＡの秘密鍵、認証局ＣＡから発行されたサーバ証明書が必要となる。これらの証明書を利用して通信路を暗号化することができる。また、クライアント端末から送信されるクライアント認証書をＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の枠組みの中で検証することにより、信頼される認証局ＣＡから発行された証明書であることを確認し、不特定ユーザでないことを保証している。

一方、ネットワークシステムのセキュリティ管理方法として、特開平１０−２６９１８４号公報（特許文献１）に示すものがあった。そこでは、クライアントから業務サーバへ証明証の情報を送信して業務要求を行い、業務サーバから統合認証サーバへ証明証の情報を送信して証明証の確認要求を行う。統合認証サーバは、証明証の確認を行った後、サーバから当該ユーザのセキュリティ情報を取得してユーザの業務サーバをアクセスする権限をチェックする。正当なアクセスであれば、業務サーバへユーザＩＤ、パスワード、データへのアクセス制御情報を送る。業務サーバはユーザの認証処理を行い、以後データへのアクセス権限を管理する。

特開平１０−２６９１８４号公報（要約）

従来のＳＳＬにおけるクライアント認証では、ＳＳＬサーバに送付するクライアント証明書の電子署名の検証のみを行い、信頼された認証局ＣＡから発行された証明書を持っているか否かのみの判定しか行っていなかった。この場合、ユーザによる動的なアクセス制御を行うことは困難であった。

この発明は、上記のような課題を解決するためになされたものであり、ＳＳＬ認証システムとユーザ認証システムを連携することで、ユーザの特定を行い、ユーザの利用できるアプリケーションをコントロールしたり、利用できるコンテンツを制御することなどが可能になる。

また、本発明は、特開平１０−２６９１８４号公報（特許文献１）と異なり、ＳＳＬサーバの利用により、ＳＳＬ通信を行うための証明書を利用している。そのため、通信の暗号化とユーザ認証を一つの証明書で行うことが可能となる。

この発明は、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）のクライアント認証を行うことによりクライアント端末からネットワークを通じてサーバにログインするクライアントサーバシステムにおいて、ユーザに固有のユーザ情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスし、クライアント証明書の中から上記ユーザ情報を抽出し、抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証し、認証されたユーザに対してアプリケーションを起動するようにした。

また、抽出されたユーザ情報に基づき当該ユーザが情報閲覧権限を有するユーザであるか否かを認証し、認証されたユーザに対して情報閲覧を許可するようにした。

また、通信対象マシン情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスし、クライアント証明書の中から通信対象マシン情報を抽出し、抽出された通信対象マシン情報に基づき当該通信対象マシンが登録されているか否かを認証し、認証された通信対象マシンとクライアント端末との間の通信を可能にするようにした。

この発明によれば、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書にユーザに固有のユーザ情報を含ませ、ＳＳＬサーバ側は、クライアント証明書の中からユーザ情報を抽出して当該ユーザがアプリケーション起動権限または情報を閲覧できる権限を有するユーザであるか否かを認証し、認証すればアプリケーションの起動権限または情報閲覧権限を与えるようにしたので、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的に所定のアプリケーションにログインしまたは所定の情報を閲覧することができる。

また、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書に通信対象マシンの情報を含ませ、ＳＳＬサーバ側は、クライアント証明書の中から通信対象マシンの情報を抽出して、通信可能なマシンが登録されているかを認証し、通信対象マシンとクライアント端末との間の通信を可能にするようにしたので、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的に通信対象マシンと通信することができる。

実施の形態１.
以下、この発明を実施するための最良の形態を図面に基づいて説明する。図１はこの発明の実施の形態１によるクライアントサーバシステムのネットワーク構成例を示す図である。

図１において、クライアント端末１０１と、電子証明書を発行可能な信頼された認証局（ＣＡ）２０１が、広域ネットワーク３０２であるインターネットに接続されている。そして、広域ネットワーク３０２であるインターネットは、ローカルエリアネットワーク（ＬＡＮ）３０１に接続されている。このローカルエリアネットワーク３０１には、ＳＳＬサーバ１０２、認証サーバ１０３、アプリケーションサーバ１０４が接続されている。

図２は、上記クライアント端末１０１又は上記サーバ１０２、１０３，１０４の基本的ハードウエア構成例を示すブロック図である。

図２において、ＣＰＵ（中央演算処理部）１０、メモリ部１１、通信機能部１２、表示機能部１３、入力部１４、記録部１５が共通のバス１６に接続されている。ＣＰＵ１０は、メモリ部１１に格納されたプログラムに従って動作する。メモリ部１１は、ＲＡＭ、ＲＯＭを有してＣＰＵ１０において実行されるプログラムやデータを記憶する。通信機能部１２は、通信インターフェースを備え、ネットワーク（広域ネットワーク３０２、ＬＡＮ３０１）を介して他の通信部とデータ通信を行う。表示機能部１３は情報を閲覧するためのモニタ等を示し、入力部１４は各種コマンド等を入力するためのキーボードやマウス等の入力機器を示す。記録部１５はハードディスク等を指し、プログラムの他、クライアント端末の記録部では認証局ＣＡから発行されたクライアント証明書等、ＳＳＬサーバの記録部では認証局ＣＡから発行されたサーバ証明書等を格納する。

認証局（ＣＡ）２０１は、ＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）に基づく電子証明書を発行する機能を有している。認証局（ＣＡ）２０１は、例えば図３に示すように階層的に位置付けされた証明書を発行する。最上位の証明書は、認証局（ＣＡ）２０１自身を保証するためのＣＡ証明書Ｒであり、その下位に位置する証明書は、ＳＳＬサーバ１０２を保証するためのサーバ証明書Ｓ、クライアント端末１０１を保証するためのクライアント証明書Ｃである。このように階層的に位置付けられた証明書は、最上位の証明書であるＣＡ証明書Ｒの情報を用いて下位層のサーバ証明書Ｓ及びクライアント証明書Ｃの検証を行うことができるようになっている。

認証局（ＣＡ）２０１から発行されたサーバ証明書Ｓは、ＣＡ証明書Ｒと共にＳＳＬサーバ１０２の記録部１５に保存される。同様に、認証局（ＣＡ）２０１から発行されるクライアント証明書Ｃは、ＣＡ証明書Ｒと共にクライアント端末１０１の記録部１５に保存される。

図４はクライアント端末１０１及びＳＳＬサーバ１０２に保存された証明書を示す図である。図に示すように、ＳＳＬサーバ１０２には、ＣＡ証明書Ｒ、ＣＡ２０１の秘密鍵、サーバ証明書Ｓを格納している。サーバ証明書Ｓは、主体者Ｓ名（サーバ名）、公開鍵、発行者Ｒ名、住所、電子メールアドレス、ＳＵＢＪＥＣＴ、有効期限などのＳＳＬサーバ１０２に関する情報が記述された証明書本体と、電子署名により構成されている。この電子署名は、証明書本体の情報を所定のアルゴリズムに従ってハッシュ処理してダイジェストを生成し、そのダイジェストをＣＡ２０１の秘密鍵により暗号化することにより行われる。

また、クライアント端末１０１には、ＣＡ証明書Ｒ、ＣＡ２０１の秘密鍵、クライアント証明書Ｃを格納している。クライアント証明書Ｃは、主体者Ｃ名（クライアント名）、公開鍵、発行者Ｒ名、住所、電子メールアドレス、ＳＵＢＪＥＣＴ、有効期限などクライアント端末１０１に関する情報が記述された証明書本体と、電子署名により構成されている。ここで、本発明において特徴的な点は、認証局（ＣＡ）２０１が発行するＣＡクライアント証明書の構成の一部（例えばＳｕｂｊｅｃｔ）に、後述する認証サーバ１０３により一意に特定できるユーザ情報（例えばユーザＩＤ）を埋め込んでいる。なお、上述の電子署名は、証明書本体の情報を所定のアルゴリズムに従ってハッシュ処理してダイジェストを生成し、そのダイジェストをＣＡ２０１の秘密鍵により暗号化することにより行われる。

図５は実施の形態１によるクライアント・サーバシステムの動作機能を説明するための図である。

図５において、クライアント端末１０１は、ＳＳＬ通信を行うためのクライアント通信手段１０１Ａを備えている。このクライアント通信手段１０１Ａでは、クライアント端末１０１のＣＰＵ１０が、メモリ部１１のプログラムに従い、記録部１５に格納された情報（ＣＡ証明書Ｒ、秘密鍵、クライアント証明書Ｃ）に基づいて、通信機能部１２を介してＳＳＬサーバ１０２との間でＳＳＬ通信を行う。

ＳＳＬサーバ１０２は、ＳＳＬ通信を行うためのＳＳＬ通信手段１０２Ａを備えている。このＳＳＬ通信手段１０２Ａでは、ＳＳＬサーバ１０２のＣＰＵ１０が、メモリ部１１のプログラムに従い、記録部１５に格納された情報（ＣＡ証明書Ｒ、秘密鍵、サーバ証明書Ｓ）に基づいて、通信機能部１２を介してクライアント端末１０１との間でＳＳＬ通信を行う。

また、ＳＳＬサーバ１０２は、クライアント端末１０１から送信されるクライアント証明書Ｃの中からユーザ情報（例えばユーザＩＤ）を抽出するユーザ情報抽出部１０２Ｂを備えている。

認証サーバ１０３は、ＳＳＬサーバのユーザ情報抽出手段１０２Ｂにより抽出されたユーザ情報（例えばユーザＩＤ）に基づき、そのユーザが利用できるアプリケーションを選定するユーザ認証手段１０３Ａを備えている。具体的には、ユーザ認証手段１０３Ａは、ＳＳＬサーバ１０２からユーザ情報（ユーザＩＤ）を受け取ると、そのユーザが登録されているユーザであることを確認し、さらに所定のアプリケーションを起動できる権限を有するユーザであることを確認し、起動権限を有するユーザであればアプリケーションサーバ１０４に起動権限を与える。

アプリケーションサーバ１０４は、例えば出張旅費精算などの業務サービスを提供する機能を有するアプリケーション１０４Ａを備えている。そして、アプリケーションサーバ１０４は、認証サーバ１０３から起動権限を受け取るとユーザであるクライアント端末１０１に当該アプリケーション１０４Ａの起動を許可する。

次に、この発明の実施の形態１によるクライアント・サーバシステムの動作について図５に基づいて説明する。

（１）まず、クライアント端末１０１の記録部１５に、信頼された認証局（ＣＡ）２０１から発行されたＣＡ証明書Ｒ、秘密鍵、クライアント証明書Ｃをインストールする。このインストールは、広域ネットワーク（インターネット）３０２を介しても良いし、郵便等で送られてきた記録媒体を通じて行っても良い。なお、ＳＳＬサーバ１０２の記録部１５には既にＣＡ証明書Ｒ、秘密鍵、サーバ証明書Ｓはインストール済みである。

（２）次に、クライアント端末１０１は、クライアント通信手段１０１Ａを通じて、ＳＳＬサーバ１０２を指定して所望のアプリケーションの起動要求を依頼する。これは、例えばクライアント端末１０１にインストールされているＷｅｂ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）ブラウザなどでＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を指定してＳＳＬサーバ１０２にアクセスすることにより行われる。

（３）この起動要求に対して、ＳＳＬサーバ１０２のＳＳＬ通信手段１０２は、サーバ証明書Ｓを起動要求元のクライアント端末１０１に送信する。そして、クライアント端末１０１は、自身の記録部１５に保存されているＣＡ証明書Ｒの情報を用いてＳＳＬサーバ１０２から送られてきたサーバ証明書Ｓの検証を行う。

サーバ証明書Ｓの検証に成功した場合、クライアント端末１０１は、接続先のＳＳＬサーバ１０がＣＡ局３０にて保証された正規のサービス提供者であると判断する。

（４）一方、ＳＳＬサーバ１０２のＳＳＬ通信手段１０２Ａは、クライアント端末１０１の通信手段１０１Ａに対してクライアント証明書Ｃの要求を行う。そして、ＳＳＬサーバ１０２は、自身の記録部１５に保存されているＣＡ証明書Ｒの情報を用いてクライアント端末１０１から送られてくるクライアント証明書Ｃの検証を行う。

（５）ＳＳＬサーバ１０２の通信手段１０２Ａは、クライアント端末１０１から受け取ったクライアント証明書Ｃをユーザ情報抽出手段１０２Ｂに送り、ユーザ情報抽出手段１０２Ｂはクライアント証明書Ｃからユーザ情報を抽出する。すなわち、クライアント証明書Ｃの構成の一部（例えばＳｕｂｊｅｃｔ）に埋め込んでいるユーザ情報（例えばユーザＩＤ）を抽出する。

（６）ＳＳＬサーバ１０２のユーザ情報抽出手段１０２Ｂは、抽出したユーザ情報（ユーザＩＤ）を認証サーバ１０３のユーザ認証手段１０３Ａに送付する。認証サーバ１０３のユーザ認証手段１０３Ａは、送付されたユーザ情報（ユーザＩＤ）に該当するユーザが登録されているか否か、またはそのユーザにはサービスアプリケーションを起動する権限があるかどうかの認証を行う。

（７）ユーザ認証手段１０３Ａが、ユーザ情報によりサービスアプリケーションを起動可能であると認証すれば、アプリケーションサーバ１０４に起動権限を与える。

（８）ユーザ認証手段１０３Ａから起動権限を与えられると、クライアント端末１０１からアプリケーションサーバ１０４のサービスを受けることが可能になる。

以上のように、この発明の実施の形態１は、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書にユーザに固有のユーザ情報を含ませ、ＳＳＬサーバ側は、クライアント証明書の中からユーザ情報を抽出して当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証し、認証すればアプリケーションに起動権限を与えるようにした。そのため、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的に所定のアプリケーションにログインすることができる。

実施の形態２.
上記実施の形態１では、ＳＳＬサーバ１０２がクライアント証明書Ｃから抽出したユーザ情報に基づいてアプリケーションサーバ１０４を起動していたが、本実施の形態では、アプリケーションサーバ１０４の代わりに情報蓄積サーバ１０５を設置し、ＳＳＬサーバ１０２がクライアント証明書Ｃから抽出したユーザ情報に基づいて情報蓄積サーバ１０５の閲覧を可能にするようにする。

図６はこの発明の実施の形態２によるクライアントサーバシステムのネットワーク構成例を示す図である。

図６において、ローカルエリアネットワーク（ＬＡＮ）３０１に、ＳＳＬサーバ１０２、認証サーバ１０３、情報蓄積サーバ１０５が接続されている。その他の構成は、図１と同様である。

図７は実施の形態２によるクライアント・サーバシステムの動作機能を説明するための図である。

図７において、認証サーバ１０３は、ＳＳＬサーバのユーザ情報抽出手段１０２Ｂにより抽出されたユーザ情報（例えばユーザＩＤ）に基づき、そのユーザが利用できる情報蓄積サーバ１０５を選定するユーザ認証手段１０３Ａを備えている。具体的には、ユーザ認証手段１０３Ａは、ＳＳＬサーバ１０２からユーザ情報（ユーザＩＤ）を受け取ると、そのユーザが登録されているユーザであることを確認し、さらに所定の情報蓄積サーバにアクセスできる権限を有するユーザであることを確認し、権限を有するユーザであれば情報蓄積サーバ１０５にアクセス権限を与える。

情報蓄積サーバ１０５は、認証サーバ１０３からアクセス権限を受け取ると、ユーザであるクライアント端末１０１に対して情報蓄積部１０５Ａの閲覧を許可する。

なお、認証サーバ１０３のユーザ認証手段１０３Ａにおいて、ユーザ情報として閲覧回数を制限する回数を蓄えておき、ユーザの閲覧回数を制限することもできる。

以上のように、この発明の実施の形態２は、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書にユーザに固有のユーザ情報を含ませ、ＳＳＬサーバ側は、クライアント証明書の中からユーザ情報を抽出して当該ユーザが情報閲覧権限を有するユーザであるか否かを認証し、認証すれば情報蓄積サーバへのアクセス権限を与えるようにした。そのため、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的に所定の情報蓄積サーバにアクセスすることができる。

実施の形態３.
図８はこの発明の実施の形態３によるクライアントサーバシステムのネットワーク構成例を示す図である。

実施の形態３では、図８に示すように、ローカルエリアネットワーク（ＬＡＮ）３０１に、ネットワーク切替機１０６と通信対象マシン１０７が接続されている。その他の構成は、図１と同様である。

また、実施の形態３では、図９に示すように、クライアント端末１０１にインストールするクライアント証明書Ｃに、あらかじめ通信対象マシンの情報を組み込んでおく。ここで、通信対象マシンの情報とは、例えば通信対象マシンを特定するＩＰアドレスなどを意味する。

図１０は実施の形態３によるクライアント・サーバシステムの動作機能を説明するための図である。

図１０において、ＳＳＬサーバ１０２は、クライアント端末１０１から送信されるクライアント証明書Ｃの中から通信対象マシン情報を抽出するマシン情報抽出部１０２Ｃを備えている。

認証サーバ１０３は、ＳＳＬサーバのマシン情報抽出手段１０２Ｃにより抽出された通信対象マシン情報に基づき、そのユーザが通信できる通信対象マシンが登録されているか否かを認証するマシン認証手段１０３Ｂを備えている。

マシン認証手段１０３Ｂにおいて通信可能と登録されている通信対象マシンが存在すれば、認証サーバ１０３のマシン認証手段１０３Ｂはネットワーク切替機１０７に通信対象マシンの情報を送付する。ネットワーク切替機１０７のネットワーク切替手段１０６Ａは送られた情報をもとにネットワークの切り替えを行い、クライアント端末１０１と通信対象マシン１０７との通信を行えるようにする。通信対象マシン１０７は複数あってもよく、その場合、クライアント証明書Ｃに組み込まれた通信対象マシンの情報により、ネットワークの切り替えを行う。

以上のように、この発明の実施の形態３は、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書に通信対象マシンの情報を含ませ、ＳＳＬサーバ側は、クライアント証明書の中から通信対象マシンの情報を抽出して、通信可能なマシンが登録されているかを認証し、通信対象マシンとクライアント端末との間の通信を可能にするようにした。そのため、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的に通信対象マシンと通信することができる。

実施の形態４．
上記実施の形態１では、ＳＳＬサーバ１０２で抽出されたユーザ情報に基づいて、認証サーバ１０３がユーザを認証し、アプリケーションサーバ１０４のアプリケーションを起動するようにしたが、本実施の形態では、ＳＳＬサーバ１０２がクライアント証明書Ｃから切り出すユーザ情報を、クライアント端末１０１に送り返すことで、クライアント端末１０１にインストールしてある特定のアプリケーションを起動するようにする。

図１１はこの発明の実施の形態４によるクライアントサーバシステムのネットワーク構成例を示す図である。

図１１において、特定のアプリケーションをインストールしたクライアント端末１０１と、電子証明書を発行可能な信頼された認証局（ＣＡ）２０１が、広域ネットワーク３０２であるインターネットに接続されている。そして、広域ネットワーク３０２であるインターネットは、ローカルエリアネットワーク（ＬＡＮ）３０１に接続されている。このローカルエリアネットワーク３０１には、ＳＳＬサーバ１０２が接続されている。

図１２は実施の形態４によるクライアント・サーバシステムの動作機能を説明するための図である。

図１２において、クライアント端末１０１は、ＳＳＬ通信を行うためのクライアント通信手段１０１Ａを備えている。このクライアント通信手段１０１Ａでは、クライアント端末１０１のＣＰＵ１０が、メモリ部１１のプログラムに従い、記録部１５に格納された情報（ＣＡ証明書Ｒ、秘密鍵、クライアント証明書Ｃ）に基づいて、通信機能部１２を介してＳＳＬサーバ１０２との間でＳＳＬ通信を行う。

ＳＳＬサーバ１０２は、ＳＳＬ通信を行うためのＳＳＬ通信手段１０２Ａを備えている。このＳＳＬ通信手段１０２Ａでは、ＳＳＬサーバ１０２のＣＰＵ１０が、メモリ部１１のプログラムに従い、記録部１５に格納された情報（ＣＡ証明書Ｒ、秘密鍵、サーバ証明書Ｓ）に基づいて、通信機能部１２を介してクライアント端末１０１との間でＳＳＬ通信を行う。

また、ＳＳＬサーバ１０２は、クライアント端末１０１から送信されるクライアント証明書Ｃの中からユーザ情報（例えばユーザＩＤ）を抽出するユーザ情報抽出部１０２Ｂを備えている。

一方、クライアント端末１０１は、ユーザ情報抽出手段１０２Ｂにより抽出されたユーザ情報（例えばユーザＩＤ）に基づき、そのユーザが利用できるアプリケーションを選定するユーザ認証手段１０１Ｂを備えている。具体的には、ユーザ認証手段１０１Ｂは、ユーザ情報（ユーザＩＤ）を受け取ると、そのユーザが登録されているユーザであることを確認し、さらに特定のアプリケーション１０１Ｃを起動できる権限を有するユーザであることを確認し、起動権限を有するユーザであればクライアント端末１０１にインストールしている特定のアプリケーション１０１Ｃを起動する。

以上のように、この発明の実施の形態４は、認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、クライアント証明書にユーザに固有のユーザ情報を含ませ、クライアント証明書の中からユーザ情報を抽出して当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証し、認証すればクライアント端末にインストールしたアプリケーションを起動するようにした。そのため、ユーザはユーザＩＤ、パスワード等を管理することなく、信頼できる認証局ＣＡから発行されたクライアント証明書を用いたＳＳＬクライアント認証を行うことで自動的にクライアント端末内の特定のアプリケーションにログインすることができる。

実施の形態５.
上記実施の形態では、クライアント端末１０１にユーザに固有なユーザ情報や通信対象マシンの情報を含むクライアント証明書Ｃをインストールしていたが、本実施の形態では、クライアント証明書Ｃを記録した記録媒体（ＩＣカード等）を用意し、クライアント端末にこの記録媒体（ＩＣカード等）読み取ることができる情報読取機（ＩＣカード装置等）を備えるようにした。

図１３はこの発明の実施の形態５によるクライアントサーバシステムのネットワーク構成例を示す図であり、図１４は実施の形態４によるクライアント・サーバシステムの動作機能を説明するための図である。

図１３及び図１４に示すように、ユーザに固有なユーザ情報や通信対象マシンの情報を含むクライアント証明書Ｃを記録したＩＣカード（図示せず）を用意し、クライアント端末１０１にこのＩＣカードを読み取ることができるＩＣカード装置１１０を備える。そして、ＩＣカード装置１１０により、ＩＣカードに保存されたクライアント証明書Ｃを読み取り、ＳＳＬ通信及びユーザ情報や通信対象マシン情報の抽出に使用する。

以上のように、この発明の実施の形態５によれば、ユーザに固有なユーザ情報や通信対象マシンの情報を含むクライアント証明書を記録した記録媒体（ＩＣカード等）を用意し、クライアント端末にこの記録媒体を読み取ることができる情報読取機（ＩＣカード装置等）を備えるようにしたので、クライアント端末にクライアント証明書をインストールする必要がなくなり、複数のクライアント端末で使用可能となる。

この発明の実施の形態１によるクライアント・サーバシステムのネットワーク構成例を示す図である。 この発明の実施の形態によるクライアント端末又はサーバの基本的ハードウエア構成を示す図である。 この発明の実施の形態による認証局（ＣＡ）が発行する電子証明書を示す図である。 この発明の実施の形態１のクライアント端末及びＳＳＬサーバに保存される証明書を示す図である。 この発明の実施の形態１によるクライアント・サーバシステムの動作機能を説明するための図である。 この発明の実施の形態２によるクライアント・サーバシステムのネットワーク構成例を示す図である。 この発明の実施の形態２によるクライアント・サーバシステムの動作機能を説明するための図である。 この発明の実施の形態３によるクライアント・サーバシステムのネットワーク構成例を示す図である。 この発明の実施の形態３のクライアント端末に保存される証明書を示す図である。 この発明の実施の形態３によるクライアント・サーバシステムの動作機能を説明するための図である。 この発明の実施の形態４によるクライアント・サーバシステムのネットワーク構成例を示す図である。 この発明の実施の形態４によるクライアント・サーバシステムの動作機能を説明するための図である。 この発明の実施の形態５によるクライアント・サーバシステムのネットワーク構成例を示す図である。 この発明の実施の形態５によるクライアント・サーバシステムの動作機能を説明するための図である。

符号の説明

１０１ クライアント端末
１０１Ａ クライアント通信手段
１０１Ｂ ユーザ認証手段
１０１Ｃ アプリケーション
１０２ ＳＳＬサーバ
１０２Ａ ＳＳＬ通信手段
１０２Ｂ ユーザ情報抽出手段
１０２Ｃ マシン情報抽出手段
１０３ 認証サーバ
１０３Ａ ユーザ認証手段
１０３Ｂ マシン認証手段
１０４ アプリケーションサーバ
１０４Ａ アプリケーション
１０５ 情報蓄積サーバ
１０５Ａ 情報蓄積部
１０６ ネットワーク切替機
１０６Ａ ネットワーク切替手段
１０７ 通信対象マシン
１１０ ＩＣカード装置
２０１ 認証局（ＣＡ）
３０１ ローカルエリアネットワーク（ＬＡＮ）
３０２ 広域ネットワーク（インターネット）

Claims (10)

1. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、
   上記クライアント証明書にユーザに固有のユーザ情報を含ませると共に、
   上記サーバシステムは、上記クライアント端末との間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段と、上記クライアント端末から受け取る上記クライアント証明書の中から上記ユーザ情報を抽出するユーザ情報抽出手段とを備えたＳＳＬサーバと、
   上記抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるかを認証するユーザ認証手段を備えた認証サーバと、
   上記ユーザ認証手段により認証された上記クライアント端末との間で起動されるアプリケーションを備えたアプリケーションサーバから構成されていることを特徴とするサーバシステム。
2. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、
   上記クライアント証明書にユーザに固有のユーザ情報を含ませると共に、
   上記サーバシステムは、上記クライアント端末との間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段と、上記クライアント端末から受け取る上記クライアント証明書の中から上記ユーザ情報を抽出するユーザ情報抽出手段とを有するＳＳＬサーバと、
   上記抽出されたユーザ情報に基づき当該ユーザが情報閲覧権限を有するユーザであるかを認証するユーザ認証手段を備えた認証サーバと、
   上記ユーザ認証手段により認証された上記クライアント端末に対して情報を閲覧可能にする情報蓄積部を備えた情報蓄積サーバから構成されていることを特徴とするサーバシステム。
3. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことによりクライアント端末からネットワークを通じてログインするサーバシステムにおいて、
   上記クライアント証明書に通信対象マシンの情報を含ませると共に、
   上記サーバシステムは、上記クライアント端末との間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段と、上記クライアント端末から受け取る上記クライアント証明書の中から上記通信対象マシン情報を抽出するマシン情報抽出手段を備えたＳＳＬサーバと、
   上記抽出された通信対象マシン情報に基づき通信可能なマシンが登録されているかを認証するマシン認証手段を備えた認証サーバと、
   上記マシン認証手段により認証された通信対象マシンと上記クライアント端末との間の通信を可能にするネットワーク切替機から構成されていることを特徴とするサーバシステム。
4. 上記クライアント証明書をインストールすると共に、上記ＳＳＬサーバとの間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段を備えたクライアント端末をさらに備えたことを特徴とする請求項１から請求項３のいずれか１項に記載のクライアントサーバシステム。
5. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことによりクライアント端末からネットワークを通じてログインするクライアントサーバシステムにおいて、
   上記クライアント端末は、ユーザに固有のユーザ情報を含むクライアント証明書をインストールすると共に、ＳＳＬサーバとの間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段を備え、
   上記サーバシステムは、上記クライアント端末との間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）通信を行うＳＳＬ通信手段と、上記クライアント端末から受け取る上記クライアント証明書の中から上記ユーザ情報を抽出するユーザ情報抽出手段とを備え、
   上記クライアント端末は、上記抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるかを認証するユーザ認証手段と、上記ユーザ認証手段により認証されたユーザに対して起動されるアプリケーションを備えていることを特徴とするクライアントサーバシステム。
6. ユーザに固有なユーザ情報や通信対象マシンの情報を含む上記クライアント証明書を記録した記録媒体を用意し、上記クライアント端末に当該記録媒体読み取ることができる情報読取機を備えることを特徴とする請求項４または請求項５に記載のクライアントサーバシステム。
7. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）のクライアント認証を行うことによりクライアント端末からネットワークを通じてサーバにログインするクライアントサーバシステムのログイン方法において、
   ユーザに固有のユーザ情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスするステップと、
   上記クライアント証明書の中から上記ユーザ情報を抽出するステップと、
   上記抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証するステップと、
   上記認証された上記ユーザに対してアプリケーションを起動するステップからなるクライアントサーバシステムのログイン方法。
8. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）のクライアント認証を行うことによりクライアント端末からネットワークを通じてサーバにログインするクライアントサーバシステムのログイン方法において、
   ユーザに固有のユーザ情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスするステップと、
   上記クライアント証明書の中から上記ユーザ情報を抽出するステップと、
   上記抽出されたユーザ情報に基づき当該ユーザが情報閲覧権限を有するユーザであるか否かを認証するステップと、
   上記認証された上記ユーザに対して情報閲覧を許可するステップからなるクライアントサーバシステムのログイン方法。
9. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）のクライアント認証を行うことによりクライアント端末からネットワークを通じてサーバにログインするクライアントサーバシステムのログイン方法において、
   通信対象マシン情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスするステップと、
   上記クライアント証明書の中から上記通信対象マシン情報を抽出するステップと、
   上記抽出された通信対象マシン情報に基づき当該通信対象マシンが登録されているか否かを認証するステップと、
   上記認証された通信対象マシンと上記クライアント端末との間の通信を可能にするステップからなるクライアントサーバシステムのログイン方法。
10. 認証局ＣＡから発行されたクライアント証明書を用いてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）のクライアント認証を行うことによりクライアント端末からネットワークを通じてログインするクライアントサーバシステムのログイン方法において、
    ユーザに固有のユーザ情報を含むクライアント証明書を用いて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｏｒ）クライアント認証を行うことにより、クライアント端末からＳＳＬサーバにアクセスするステップと、
    上記クライアント証明書の中から上記ユーザ情報を抽出するステップと、
    上記抽出されたユーザ情報に基づき当該ユーザがアプリケーション起動権限を有するユーザであるか否かを認証するステップと、
    上記認証されたユーザに対して上記クライアント端末にインストールされたアプリケーションを起動するステップからなるクライアントサーバシステムのログイン方法。
    

Images