JP2005165418A - ログイン認証システム。 - Google Patents

Abstract

【課題】ＩＤおよびパスワードと個体ＩＤを用いてログイン時の認証を行う。
【解決手段】
携帯端末１は、インターネット２を介して社内ＬＡＮ６経由でサーバコンピュータにアクセスするとき、携帯端末１に割り当てられたユニークな個体ＩＤと、必要に応じて入力されたＩＤおよびパスワードがファイヤウォールＡ装置３を介して端末認証システム４に送信される。端末認証システム４は、携帯端末１の保持する個体ＩＤを利用し、携帯端末１から送信されてきた個体ＩＤと、予め個体ＩＤ保管ＤＢに登録されている個体ＩＤとを比較することによって、携帯端末１の認証を行い、社内ＬＡＮ６へのアクセスを制御する。
【選択図】図１

Description

本発明はログイン認証システムに関し、特に、サーバへのログイン時に認証を行うログイン認証システムに関するものである。

従来より、携帯端末からインターネットを使用して特定コンピュータへログインする場合、ＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）およびパスワードをキー入力してその入力者が妥当であるか否かの検査を行う方法で認証を行うようにしていた。また、ユーザ端末から社内ネットワークに対するアクセスを受けると、そのユーザ端末の端末情報をキーにして、アクセス情報ＤＢからユーザ情報を取得し、そのユーザ情報をファイヤウォールに送信して認証の実施を依頼するように構成する。これにより、ユーザが面倒な操作を行うことなく、認証の実施を依頼することができるようにし、ユーザ端末が社内ネットワークにアクセスする毎に、ユーザがユーザＩＤやパスワードを入力して、ファイヤウォールから認証を得るという面倒な操作を不要としたものがある。
特開２００３−３００６３号公報

しかしながら、従来の方法で認証を行った場合、ＩＤおよびパスワードの盗難、漏洩の可能性があり、アクセスコントロールを十分な安全性を確保して行うことができず、企業ポータルサイトなどへのセキュアなアクセスを実現することは難しかった。
本発明はこのような状況に鑑みてなされたものであり、各携帯端末がログイン時に個体ＩＤを送信し、この個体ＩＤと入力したＩＤおよびパスワードに基づいて認証を行うことができるようにするものである。

請求項１に記載のログイン認証システムは、携帯端末によるサーバへのログイン時に携帯端末の認証を行うログイン認証システムであって、少なくとも各携帯端末に割り当てられた個体ＩＤが登録されるデータベースと、携帯端末の所定のものから送信されてきた携帯端末の所定のものの個体ＩＤが、データベースに登録されているか否かを判定する判定手段と、判定手段による判定結果に基づいて、携帯端末を認証する認証手段とを備えることを特徴とする。
また、他の認証装置による認証を受けるための連携認証情報を他の認証装置に提供し、他の認証装置による認証結果を受け、認証手段は、判定手段による判定結果と、他の認証装置による認証結果に基づいて、携帯端末を認証するようにすることができる。
また、携帯端末を認証するための個体ＩＤをデータベースに登録する登録手段をさらに備えるようにすることができる。
また、携帯端末を認証するための、データベースに登録されている個体ＩＤを更新する更新手段をさらに備えるようにすることができる。
また、携帯端末を認証するための、データベースに登録されている個体ＩＤを削除する削除手段をさらに備えるようにすることができる。
請求項６に記載のログイン認証方法は、携帯端末によるサーバへのログイン時に携帯端末の認証を行うログイン認証方法であって、少なくとも各携帯端末に割り当てられた個体ＩＤが所定のデータベースに登録される登録ステップと、携帯端末の所定のものから送信されてきた携帯端末の所定のものの個体ＩＤが、データベースに登録されているか否かを判定する判定ステップと、判定ステップにおける判定結果に基づいて、携帯端末を認証する認証ステップとを備えることを特徴とする。
請求項７に記載のログイン認証プログラムは、携帯端末によるサーバへのログイン時に携帯端末の認証を行うログイン認証システムを制御するログイン認証プログラムであって、少なくとも各携帯端末に割り当てられた個体ＩＤを所定のデータベースに登録する登録ステップと、携帯端末の所定のものから送信されてきた携帯端末の所定のものの個体ＩＤが、データベースに登録されているか否かを判定する判定ステップと、判定ステップにおける判定結果に基づいて、携帯端末を認証する認証ステップとをログイン認証システムに実行させることを特徴とする。

本発明のログイン認証システムによれば、安価な設備で、強固なセキュリティを確保しながら、ログイン時の認証を行うことができる。

本発明は、携帯端末（携帯電話またはＰＨＳ（ｐｅｒｓｏｎａｌ ｈａｎｄｙｐｈｏｎｅ ｓｙｓｔｅｍ））１のインターネットアクセス機能を利用して、ローカルエリアネットワークに接続できるゲートウェイサーバコンピュータ、あるいはローカルエリアネットワーク内の特定のコンピュータにアクセスする際に、携帯端末１の保持する個体ＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を利用し、この個体ＩＤと予め個体ＩＤ保管データベース（ＤＢ）４０６に登録されている個体ＩＤとを比較することによって、携帯端末１の認証を行うものである。

また、本発明では、ｈｔｔｐ（ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ）でやり取りするデータ内に認証セッション情報（個体ＩＤ等）を挿入して管理する方法を取っている。即ち、アクセスしてきた端末を認証セッション情報に基づいて識別し、所定時間内に同一認証セッション情報が送られてきた場合、同一端末からのアクセスであると見なす。クッキー（Ｃｏｏｋｉｅ）機能を持たない端末では、ｈｔｔｐのリクエストＵＲＬ内に認証セッション情報を持ち、Ｃｏｏｋｉｅ機能を持つ端末では端末内のＣｏｏｋｉｅに認証セッション情報を持ち、リクエスト毎に認証セッション情報の有効性を確認する。これにより、リクエスト毎にＩＰアドレスが変化する携帯電話やＰＨＳなどの端末、あるいはＣｏｏｋｉｅ機能を持たない端末での利用を可能としている。

以下、本発明の実施の形態の構成および動作について、図面を参照して詳細に説明する。図１は、本発明の一実施の形態の構成例を示すブロック図である。同図に示すように、本実施の形態は、携帯端末１、インターネット２、ファイヤウォールＡ装置３、端末認証システム４、ファイヤウォールＢ装置５、社内ＬＡＮ（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）６等から構成されている。ファイヤウォールＡ装置３は、例えば、Ｗｅｂサーバへアクセスのみを許可し、その他のＦＴＰサーバやＰＯＰサーバへのアクセスを拒否する等の処理を実行するようになっている。携帯端末１は複数存在し得るが、ここでは１つのみ記載している。

図２は、図１の端末認証システム４の詳細な構成例を示すブロック図である。同図に示すように、端末認証システム４は、個体ＩＤ照合手段４０１、認証連携手段４０２、個体ＩＤ登録手段４０３、個体ＩＤ更新手段４０４、個体ＩＤ削除手段４０５、個体ＩＤ保管ＤＢ４０６等により構成されている。

図１において、端末認証システム４は、個々の携帯端末１を一意に識別するために各携帯端末１に割り当てられた個体ＩＤを、社内ＬＡＮ６に接続された図示せぬサーバコンピュータにアクセスしてきた携帯端末１よりインターネット２およびファイヤウォールＡ装置３を介して取得し、取得した個体ＩＤと、予め個体ＩＤ保管ＤＢ４０６に登録されている個体ＩＤとを比較照合して、上記携帯端末１の認証を行うようになっている。携帯端末１は、予め割り当てられたユニークな個体ＩＤを内蔵するＲＯＭ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）等に記憶している。

この個体ＩＤを用いた認証により、従来のＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）およびパスワード等の人間の記憶に依存する認証だけでなく、各携帯端末１に割り当てられた個体ＩＤを利用して各携帯端末１の認証を行うことが可能となる。

これにより、ＩＤおよびパスワードを用いた利用者認証と、携帯端末１に割り当てられた個体ＩＤを用いた装置認証を併用することが可能となり、安全性を高めることができる。また、単数あるいは複数の他の認証機構と連携し、それらの認証機構を併用することにより、さらに安全性をより高めることができる。

Ａ社は、社内の勤務管理システムを社外から携帯端末１を利用したインターネットアクセスで実現することとした。社員全員に社有の携帯端末１を一台ずつ配布する。また、各社員にＩＤおよびパスワードを割り当てる。そして、予め、本サービスを実現するための端末認証システム４を構成する個体ＩＤ保管ＤＢ４０６に、この社有の各携帯端末１の個体ＩＤを、その携帯端末１を所持する社員に割り当てられた上記ＩＤおよびパスワードと対応付けて登録しておく。

社員は、社内でも社外でも、この携帯端末１を利用して、勤怠状況等を入力し、社内ＬＡＮ６に接続された図示せぬサーバコンピュータに入力した勤怠状況等を送信し、登録することができる。その際、他人が成りすましを行って特定社員のＩＤおよびパスワードを用いてサーバコンピュータにログインを行おうとしても、その他人が保持する携帯端末１の個体ＩＤと、その他人が携帯端末１を用いて入力したＩＤおよびパスワードは、自動的に携帯端末１から端末認証システム４を構成する個体ＩＤ照合手段４０１に送信されるので、個体ＩＤ照合手段４０１は、携帯端末１から送信されてきた個体ＩＤ、ＩＤ、およびパスワードと、個体ＩＤ保管ＤＢ４０６に予め記憶されているその特定社員が保持する携帯端末１の個体ＩＤと、その特定社員に割り当てられたＩＤ、およびパスワードを比較し、その結果、携帯端末１から送信されてきた個体ＩＤと、予め個体ＩＤ保管ＤＢ４０６に記憶されているその特定社員の個体ＩＤとが一致しないと判定されるため、仮にパスワードが盗用されたとしても、サーバコンピュータへのログインは許可されることはない。

次に、本実施の形態の動作について説明する。個体ＩＤ照合手段４０１は、個体ＩＤ登録手段４０３によって、事前に個体ＩＤ保管ＤＢ４０６に登録されている個体ＩＤを、携帯端末１より送信され、インターネット２、ファイヤウォールＡ装置３を通過してきた個体ＩＤと比較照合し、各個体ＩＤを構成する文字列が一致した場合には社内ＬＡＮ６に接続された図示せぬサーバコンピュータ等へのアクセスを承認し、携帯端末１からのアクセス要求がファイヤウォールＢ装置５を通過し、社内ＬＡＮ６を介してサーバコンピュータ等に送信されることを許可する。

認証連携手段４０２は、個体ＩＤ照合手段４０１の設定により、携帯端末１の認証時に、個体ＩＤ保管ＤＢ４０６より取得した連携認証情報（他認証装置８からの認証を受けるための情報）を他認証装置８に送付し、他認証装置８から送られてきた認証を許諾するメッセージを受領すると、携帯端末１の個体ＩＤがファイヤウォールＢ装置５を通過し、社内ＬＡＮ６に送信されるようにファイヤウォールＢ装置５を制御する。

個体ＩＤ登録手段４０３は、携帯端末１を用いてＩＤおよびパスワードを入力し、登録用のＵＲＬ（ｕｎｉｆｏｒｍ ｒｅｓｏｕｒｃｅ ｌｏｃａｔｏｒ）へアクセスすることにより利用することができる。携帯端末１を用いて上記ＵＲＬにアクセスし、携帯端末１が持つ個体ＩＤを個体ＩＤ保管ＤＢ４０６に登録し、関連する情報（他認証装置８からの認証を受けるための情報（連携認証情報）など）を入力後、保守員が保守用端末９を用いて保守専用のＵＲＬにアクセスし、登録情報に最終許可を与えることにより登録情報が有効となる。

個体ＩＤ更新手段４０４は、携帯端末１を用いてＩＤおよびパスワードを入力し、更新用のＵＲＬへアクセスすることにより利用することができる。携帯端末１を用いて上記ＵＲＬにアクセスし、新しい更新情報を入力すると、個体ＩＤ更新手段４０４は、個体ＩＤ保管ＤＢ４０６が保持する上記携帯端末１の個体ＩＤを含むレコードを、上記携帯端末１を用いて入力した新しい更新情報に置き換える。入力後、保守員が保守用端末９を用いて保守専用のＵＲＬにアクセスし、登録情報に最終許可を与えることにより登録情報が有効となる。

個体ＩＤ削除手段４０５は、携帯端末１を用いてＩＤおよびパスワードを入力し、削除用のＵＲＬへアクセスすることにより利用することができる。または、保守員が保守用端末９を用いて保守専用のＵＲＬにアクセスすることによっても利用することができる。携帯端末１を用いて削除用のＵＲＬにアクセスした場合、個体ＩＤ削除手段４０５は、携帯端末１が保持する個体ＩＤと同じ個体ＩＤを含むレコードを個体ＩＤ保管ＤＢ４０６から削除する。

一方、保守用端末９を用いて保守専用のＵＲＬにアクセスした場合、個体ＩＤ保管ＤＢ４０６が保持する個体ＩＤの一覧を表示することができ、一覧表示された個体ＩＤの中からＧＵＩ（ｇｒａｐｈｉｃａｌ ｕｓｅｒ ｉｎｔｅｒｆａｃｅ）を利用して特定の個体ＩＤを削除するよう指示することができる。削除するよう指示された個体ＩＤは、個体ＩＤ削除手段４０５によって個体ＩＤ保管ＤＢ４０６より削除される。

以上説明したように、本実施の形態は以下のような効果を奏する。第１の効果は、サーバコンピュータ等で構成された社内システムを、インターネット２を介して利用するという運用を安価に実現することができることである。その理由は、通常、セキュリティを保ちながら社内システムをインターネット２から利用する場合、専用回線を構築する必要があり、その場合、設備費用として高額な出費が必要となるが、本実施の形態によりこれらの設備は不要となり、インターネット２を介して携帯端末１から直接社内ＬＡＮ６を介して社内システムを利用することができるからである。

第２の効果は、人間の記憶に依存するパスワードでのアクセスコントロールではなく、端末自体にその鍵（個体ＩＤ）が含まれているため、記憶に頼る必要がなく、また端末自体を紛失しない限り、個体ＩＤの紛失もなく、漏洩の危険も少なくすることができることである。

第３の効果は、各携帯端末１に割り当てられた個体ＩＤを一元管理し、必要な時に個体ＩＤの追加や更新、削除を行うことができるため、携帯端末１の紛失や、機種変更、携帯端末１の通信障害などに対して、設定変更のタイムラグを少なくすることができ、携帯端末１の紛失が判明した時点で、個体ＩＤ保管ＤＢ４０６の情報更新を行うことにより、その紛失した携帯端末１からのアクセスを不能にすることができることである。

第４の効果は、認証連携機能により、従来の認証コントロールを利用した上で、本端末認証を利用することにより、より強固なセキュリティを確保することができることである。

なお、上記実施の形態において、個体ＩＤ保管ＤＢ４０６をファイヤウォールＢ装置５の左側に配置することも可能である。この点は、他認証装置８の機能により異なる。

また、上記実施の形態の構成および動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更することができることは言うまでもない。

本発明のログイン認証システムの一実施の形態の構成例を示すブロック図である。 図１の端末認証システムの詳細な構成例を示すブロック図である。

符号の説明

１ 携帯端末
２ インターネット
３ ファイヤウォールＡ装置
４ 端末認証システム
５ ファイヤウォールＢ装置
６ 社内ＬＡＮ
８ 他認証装置
９ 保守用端末
４０１ 個体ＩＤ照合手段
４０２ 認証連携手段
４０３ 個体ＩＤ登録手段
４０４ 個体ＩＤ更新手段
４０５ 個体ＩＤ削除手段
４０６ 個体ＩＤ保管ＤＢ

Claims (7)

1. 携帯端末によるサーバへのログイン時に前記携帯端末の認証を行うログイン認証システムであって、
   少なくとも各携帯端末に割り当てられた個体ＩＤが登録されるデータベースと、
   前記携帯端末の所定のものから送信されてきた前記携帯端末の所定のものの個体ＩＤが、前記データベースに登録されているか否かを判定する判定手段と、
   前記判定手段による判定結果に基づいて、前記携帯端末を認証する認証手段と
   を備えることを特徴とするログイン認証システム。
2. 他の認証装置による認証を受けるための連携認証情報を前記他の認証装置に提供し、前記他の認証装置による認証結果を受け、前記認証手段は、前記判定手段による判定結果と、前記他の認証装置による認証結果に基づいて、前記携帯端末を認証する
   ことを特徴とする請求項１に記載のログイン認証システム。
3. 前記携帯端末を認証するための前記個体ＩＤを前記データベースに登録する登録手段をさらに備える
   ことを特徴とする請求項１または２に記載のログイン認証システム。
4. 前記携帯端末を認証するための、前記データベースに登録されている前記個体ＩＤを更新する更新手段をさらに備える
   ことを特徴とする請求項１乃至３のいずれかに記載のログイン認証システム。
5. 前記携帯端末を認証するための、前記データベースに登録されている前記個体ＩＤを削除する削除手段をさらに備える
   ことを特徴とする請求項１乃至４のいずれかに記載のログイン認証システム。
6. 携帯端末によるサーバへのログイン時に前記携帯端末の認証を行うログイン認証方法であって、
   少なくとも各携帯端末に割り当てられた個体ＩＤが所定のデータベースに登録される登録ステップと、
   前記携帯端末の所定のものから送信されてきた前記携帯端末の所定のものの個体ＩＤが、前記データベースに登録されているか否かを判定する判定ステップと、
   前記判定ステップにおける判定結果に基づいて、前記携帯端末を認証する認証ステップと
   を備えることを特徴とするログイン認証方法。
7. 携帯端末によるサーバへのログイン時に前記携帯端末の認証を行うログイン認証システムを制御するログイン認証プログラムであって、
   少なくとも各携帯端末に割り当てられた個体ＩＤを所定のデータベースに登録する登録ステップと、
   前記携帯端末の所定のものから送信されてきた前記携帯端末の所定のものの個体ＩＤが、前記データベースに登録されているか否かを判定する判定ステップと、
   前記判定ステップにおける判定結果に基づいて、前記携帯端末を認証する認証ステップとを前記ログイン認証システムに実行させる
   ことを特徴とするログイン認証プログラム。
   

Images