JP2006134185A - 無線認証デバイスを用いたネットワークアクセス管理システムおよび方法 - Google Patents

Abstract

【課題】情報資源への不正アクセスを防止し、アクセス中においてもアクセス管理を行うことができるアクセス管理システムを提供する。
【解決手段】ユーザがクライアント端末２００から、データベース１１０に記憶された情報資源１１１にアクセスする際、ユーザが所持する無線認証デバイス３００を使用した本人認証に成功すると、無線認証デバイス３００に記憶されたユーザＩＤ３１１が、ＬＡＮ６００を経由して、アクセス管理サーバ１００に送信される。アクセス管理サーバ１００は、送信されたユーザＩＤ３１１からユーザを特定し、また、無線認証デバイス３００が無線で発信するユーザＩＤを受信している無線リーダライタ１２０の場所から、ユーザの位置情報を特定する。そして、アクセス管理サーバ１００は、情報資源１１１の利用が認可された場所にいて、かつ、情報資源１１１の利用が認可されたユーザに対してのみ、情報資源１１１へのアクセスを許可する。
【選択図】図２

Description

本発明は、ネットワークへのアクセスを管理する技術に関し、更に詳しくは、ネットワークへのアクセス開始時のみならず、ネットワークへのアクセス中においても、ネットワークへのアクセスを管理する技術に関する。

ネットワーク上に存在する情報資源からの情報漏洩は、ネットワーク社会において解決すべき課題の一つである。特に近年は、ネットワーク技術が進化し、オフィス・自宅を問わず、あらゆる場所でネットワークの利用が可能となっているため、情報資源からの情報漏洩を防ぐためには、ネットワーク上に存在する情報資源に対するアクセス管理が必要になる。

ネットワーク上に存在する情報資源に対するアクセス管理技術としては、パスワードや、ユーザの身体的な特徴を利用したバイオメトリクスによって、アクセスするユーザを本人認証する技術が一般的に知られているが、トークンとも呼ばれ持ち運びのできる認証デバイスを利用して、ユーザを認証する技術も開示されている（例えば、特許文献１、２）。

本出願人に係わる特許文献１，２で開示しているＳＩＭ（Subscriber Identity Module）およびＳＩＭフォルダーは、ＩＣカードとリーダライタを一体化させた認証デバイスを提供する一つの発明で、ＳＩＭフォルダーにＩＳＯ７８１６規格に準じたリーダライタとＵＳＢ（Universal Serial Bus）コネクタを備え、このＳＩＭフォルダーにＳＩＭを装着することで、持ち運び可能でＩＣカードとリーダライタを一体化させた認証デバイスを実現している。

特許文献１，２で開示しているＳＩＭ（Subscriber Identity Module）およびＳＩＭフォルダーを用いれば、ＳＩＭにＰＫＩ（Public Key Infrastructure）を利用した本人認証機能などを持たせることで、アクセス管理に使用する認証デバイスを提供できる。

また、ネットワーク上に存在する情報資源に対するアクセス管理技術としては、ユーザの位置に基づてアクセス管理する技術が開示されている（例えば、特許文献３）。特許文献３においては、アクセスするときのユーザおよびクライアント端末２００の位置情報に基づいて、情報資源へのアクセスが管理される。例えば、ユーザが所持する非接触ＩＣカードとユーザが利用する入退検出センサによってユーザの位置情報は検出され、ユーザが使用する端末に付加されたアドレスによって、端末の位置情報は検出される。そして、検出したユーザおよび端末の位置情報に基き、端末からの情報資源へのアクセスが制御される。
特開２００４−８６４０２号公報 特開２００４−１１８７７１号公報 特開２００１−１７５６０１号公報

しかしながら、上述した従来のアクセス管理技術は、アクセス開始時の不正なアクセス（例えば、正当なユーザへのなりすまし）を防止することを主目的としたアクセス管理技術であって、アクセス中のアクセス管理技術には適用しずらい問題があった。例えば、正式なユーザが正式な手順で情報資源にアクセスしたノートパソコンを、前記ユーザが情報資源にアクセスしたまま持ち運ぶことで、情報資源へのアクセスが許可されていない場所においても、情報資源にアクセスできてしまう可能性がある。

そこで、本発明は、上述した問題を鑑みて、情報資源へのアクセス開始時の不正なアクセス（例えば、正当なユーザへのなりすまし）を防止するとともに、情報資源へのアクセス中のアクセス管理も行うことができるアクセス管理システムを提供することを目的とする。

上述の課題を解決する第１の発明は、前記ネットワークに接続された複数のクライアント端末と、一つの前記クライアント端末からネットワーク上に存在する情報資源に対するアクセス要求を、前記情報資源にアクセスするユーザが所持する無線認証デバイスを用いて管理するアクセス管理装置とからなるアクセス管理システムであって、前記ユーザが所持する前記無線認証デバイスは、前記ユーザを識別する情報であるユーザ識別情報を記憶し、前記クライアント端末に装着され、前記クライアント端末とデータ通信するアップストリーム通信手段と、少なくとも前記クライアント端末に装着されている間、前記ユーザ識別情報を周期的に無線で発信する無線通信手段とを備え、前記クライアント端末は、前記無線認証デバイスとデータ通信するダウンストリーム通信手段と、前記ダウンストリーム通信手段を用いて前記無線認証デバイスから読み出した前記ユーザ識別情報を前記アクセス管理装置に送信するユーザ識別情報取得手段とを備え、前記アクセス管理装置は、前記無線認証デバイスが無線で発信する前記ユーザ識別情報を受信する少なくとも一つの無線端末と、前記クライアント端末から送信された前記ユーザ識別情報と同じ前記ユーザ識別情報を受信している前記無線端末を確認することで、前記ユーザが前記情報資源にアクセスしている位置情報を検出し、前記クライアント端末から送信された前記ユーザ識別情報と前記位置情報とに基づいて、前記クライアント端末から前記情報資源に対するアクセスを、周期的に制御するアクセス制御手段とを備えていることを特徴とするアクセス管理システムである。

なお、第１の発明において、前記無線認証デバイスが無線で送信する情報から、前記アクセス管理システムがユーザを特定さえできれば、前記クライアント端末が取得する前記ユーザ識別情報と、前記無線認証デバイスが無線で発信する情報とは、異なった情報であっても構わない。また、第１の発明において、前記無線認証デバイスに備えられた前記無線通信手段は、２．４５Ｈｚ周波数帯を利用した無線通信手段であることが望ましい。

第１の発明によれば、前記情報資源にアクセスする前記ユーザが前記無線認証デバイスを有することで、アクセス管理サーバは、認可された場所にいる認可されたユーザに対してのみ、前記情報資源へのアクセスを許可することができる。また、アクセス管理サーバが周期的に前記ユーザがアクセスしている位置情報を監視することで、前記情報資源にアクセス中においても、前記情報資源へのアクセスを管理することができる。

なお、第２の発明は、第１の発明のアクセス管理システムにおいて、前記無線認証デバイスは、ユーザの本人認証を行うユーザ認証手段を有し、少なくともアクセス開始時に前記ユーザ認証手段によるユーザの本人認証に成功した場合のみ、前記無線認証デバイスは、前記アップストリーム通信手段を用いて前記ユーザ識別情報を前記クライアント端末に送信することを特徴するアクセス管理システムである。なお、第２の発明において、前記ユーザ認証手段は、パスワードを用いたユーザの本人認証手段、または、ＰＫＩ（Public Key Infrastructure）を利用したユーザの本人認証手段であることが望ましい。

第２の発明によれば、前記無線認証デバイスが前記ユーザの本人認証を行う手段を有することで、情報資源へのアクセス開始時の不正なアクセス（例えば、正当なユーザへのなりすまし）を防止することができる。

上述の課題を解決する第３の発明は、ネットワーク上の情報資源にアクセスするユーザが所持する無線認証デバイスを用いて、前記情報資源に対するクライアント端末のアクセス要求を管理するアクセス管理方法であって、前記クライアント端末が前記無線認証デバイスから前記ユーザを識別する情報であるユーザ識別情報を取得するステップと、前記クライアント端末が取得した前記ユーザ識別情報に基づいて前記情報資源にアクセス要求した前記ユーザを識別するステップと、前記無線認証デバイスが周期的に無線で発信する前記ユーザ識別情報を受信するステップと、前記クライアント端末が取得した前記ユーザ識別情報と同じ前記ユーザ識別情報を発信している前記無線認証デバイスの存在する場所を特定することで、前記ユーザが前記情報資源にアクセス要求している位置情報を特定するステップと、識別された前記ユーザと前記位置情報とに基づいて、アクセス開始時を含み周期的に、前記クライアント端末の前記情報資源に対するアクセス要求を管理するステップとを含むことを特徴とするアクセス管理方法である。

更に第４の発明は、第３の発明のアクセス管理方法であって、前記クライアント端末が前記無線認証デバイスから前記ユーザを識別する情報であるユーザ識別情報を取得する際に、ユーザの本人認証を必要とすることを特徴とするアクセス管理方法である。

上述した本発明によれば、ネットワークへアクセス開始時の不正なアクセス（例えば、正当なユーザへのなりすまし）を防止するとともに、ネットワークへのアクセス中のアクセスコントロールも行うことができるアクセス管理システムを提供することを目的とする。

＜＜＜アクセス管理システム＞＞＞
以下、本発明のアクセス管理システムをオフィスに適用した実施の形態について、図を参照しながら詳細に説明する。図１は本発明のアクセス管理システムを説明するための図、図２はアクセス管理システムの機能ブロック図、図３，４はユーザが所持する無線認証デバイスを説明する図である。

図１に示したアクセス管理システムは、無線で発信される情報を受信する複数の無線リーダライタ１２０ａ〜ｃが接続され、情報資源となるデータベース１１０に対するアクセス要求を管理する機能を備えたアクセス管理サーバ１００と、データベース１１０にアクセスするユーザ５００が所持し、無線で情報を発信する機能を備えた無線認証デバイス３００と、ユーザ５００がデータベース１１０にアクセスするときに使用するクライアント端末２００とから構成される。

図１の例においては、アクセス管理サーバ１００はオフィスの管理ルームに設置され、無線リーダライタ１２０ａ〜ｃは、それぞれルーム１、ルーム２および接客室の天井に設置され、複数のクライアント端末２００はオフィスの各々居室（図１では、ルーム１、２）に設置されている。アクセス管理サーバ１００とクライアント端末２００は、ハブ６１１、６１２、ルータ６１０を介しＬＡＮ６００で接続され、アクセス管理サーバ１００と各々の無線リーダライタ１２０ａ〜ｃは、ＬＡＮ６００と異なるネットワークで接続されている。なお、本実施の形態において、無線リーダライタ１２０ａ〜ｃは同じ機能を有するため、今後、無線リーダライタ１２０ａ〜ｃを区別せずに記載するときは、無線リーダライタ１２０と記すことがある。

図２に示したように、ユーザ５００が所持する無線認証デバイス３００は機能として、クライアント端末２００の周辺機器としてデータ通信する機能（ＵＳＢ通信手段３０２）と、無線で情報を発信する機能（無線通信手段３０１）とを有し、無線認証デバイス３００に装着されるＳＩＭ３１０（Subscriber Identity Module）には、無線認証デバイス３００を所持するユーザ５００を本人認証する機能（ユーザ認証アプリケーション３１２）を備え、少なくとも、ユーザ５００を識別するデータとしてユーザＩＤ３１１（IDentification）を記憶している。

図３は、本実施の形態において、ユーザ５００が所持する無線認証デバイス３００の外観を示した一例である。図３に示したように、ユーザ５００が所持する無線認証デバイス３００は、情報記憶媒体としてＳＩＭ３１０を装着し、クライアント端末２００の周辺機器としてデータ通信する機能を実現するために、ＵＳＢコネクタ３０２ａ（Ａコネクタ）を備えている。

図３に示しているように、ＳＩＭ３１０の形状は、ＩＣカードのＩＣチップ近辺を短冊状に打ち抜いたカード形状をしている。ＳＩＭ３１０のサイズは、約１２×２５×０.７６ｍｍまたは約５４×８６×０．７６ｍｍの２種類がＧＳＭ１１．１１などで規格化されている。

無線認証デバイス３００にＳＩＭ３１０を装着するのは、無線認証デバイス３００を所持するユーザ５００の本人認証を行うためで、ＳＩＭ３１０に実装されるＩＣチップ３１０ａのメモリには、ユーザ５００を認証するプログラムとして、例えば、パスワード認証やＰＫＩを利用した認証といったユーザ認証アプリケーション３１２が記憶されている。また、ＳＩＭ３１０に実装されるＩＣチップ３１０ａのメモリにはユーザＩＤ３１１が記憶されている。ＩＣチップ３１０ａのメモリに記憶するユーザＩＤ３１１としては、従業員番号、アクセス管理サーバ１００がユーザ５００ごとに個別に割り振ったユーザアカウント、ＩＣチップ３１０ａごとに異なるＩＣチップ３１０ａの製造番号が利用できる。

図４は、無線認証デバイス３００の内部回路を説明する図である。図４に示したように、無線認証デバイス３００には、装着したＳＩＭ３１０とデータ通信を実現する手段３１０ａ、ＵＳＢコネクタ３０２ａを使用したデータ通信を実現する手段３０２ｂに加え、無線リーダライタ１２０と無線でデータ通信する機能を実現するために、無線通信手段３２０が備えられている。

本実施の形態において、無線認証デバイス３００に備えられた無線通信手段３２０は、無線データ通信を制御する無線コントローラ３２１と、無線信号を発するアンテナ３２３と、時間を計測するタイマー３２２とから構成されている。無線コントローラ３２１はタイマー３２２を利用して一定時間間隔を計測し、一定時間間隔ごとにＳＩＭ３１０に記憶されたユーザＩＤ３１１を、２．４５ＧＨｚ周波数帯を利用した無線データ通信（例えば、ZigBee）で発信する。

図１において、各居室の天井に設置された無線リーダライタ１２０は、無線認証デバイス３００が発信する無線信号を受信する機能を備えている。この機能は、ＩＣタグ等で既に実用化されている公知の技術で実現され、無線リーダライタ１２０は、複数の無線認証デバイス３００が発信する無線信号を同時に受信し、無線認証デバイス３００から送信された各々のユーザＩＤ３１１を識別することができる。

また、図２に示したように、無線リーダライタ１２０は、アクセス管理サーバ１００が一つ一つの無線リーダライタ１２０を識別するための情報であるリーダライタＩＤ１２１を有している。リーダライタＩＤは、アクセス管理サーバ１００が各々の無線リーダライタ１２０を識別できる情報であればよく、例えば、メディアアクセス制御（Media Access Control）で無線リーダライタ１２０を、ネットワーク上の一つのデバイスとして識別できるデータであればよい。

図１のオフィスの各々居室（図１では、ルーム１、２）に設置されているクライアント端末２００は、ＬＡＮ６００を経由してアクセス管理サーバ１００に接続され、ユーザ５００がアクセス管理サーバ１００に備えられたデータベース１１０にアクセスする際に使用する端末である。図２に示したように、クライアント端末２００は、無線認証デバイス３００とデータ通信する機能としてＵＳＢインターフェース２０２、無線認証デバイス３００を利用してユーザ５００の本人認証を行う機能としてユーザ認証部２０１を備えている。

無線認証デバイス３００に備えられたＵＳＢインターフェース２０２は、ＵＳＢポートとＵＳＢによるデータ通信を制御する回路で実現される。無線認証デバイス３００に備えられたＵＳＢコネクタ３０２ａを、クライアント端末２００に備えられたＵＳＢポートに差し込むことで、クライアント端末２００と無線認証デバイス３００間では、ＵＳＢによるデータ通信を行うことができる。

クライアント端末２００に備えられたユーザ５００の本人認証を行うユーザ認証部２０１は、パーソナルコンピュータにユーザ認証部２０１の機能を実現するプログラムを組み込むことで実現される。当然のことながら、ユーザ認証部２０１が本人認証を行う方法は、無線認証デバイス３００に実装されたユーザ認証アプリケーション３１２と同じ方法（パスワード認証やＰＫＩを利用した認証）に対応している。また、ユーザ認証部２０１が行うユーザ５００の本人認証に成功すると、無線認証デバイス３００に装着されたＳＩＭ３１０はユーザ認証部２０１にユーザＩＤ３１１を送信し、ユーザ認証部２０１はユーザＩＤ３１１アクセス管理サーバ１００に送信する機能を有している。

図１のオフィスの管理ルームに設置されているアクセス管理サーバ１００は、人事情報や営業情報等の機密な情報資源１１１を記憶したデータベース１１０を有し、複数の無線リーダライタ１２０と接続されている。また、図２に示したように、アクセス管理サーバ１００には、データベース１１０に記憶された情報資源１１１へのＬＡＮを経由したアクセスを管理するアクセス管理機能を実現するアクセス管理部１０１を備えている。

アクセス管理サーバ１００に備えられたアクセス管理部１０１は、データベース１１０にアクセスするユーザが５００、データベース１１０に記憶された情報資源１１１にアクセスできるアクセス権限が認可されていることと、データベース１１０にアクセスするユーザ５００が、データベース１１０に記憶された情報資源１１１にアクセスすることが認可された場所に居ることの２つを確認し、データベース１１０に記憶された情報資源１１１へのアクセスを制御する。

一つ目のアクセス権限の認可は、アクセス開始時に、ユーザ５００が所持する無線認証デバイス３００に装着されたＳＩＭ３１０のユーザ認証アプリケーション３１２を使用される。二つ目のアクセス場所の確認は、ユーザ５００がデータベース１１０にアクセスする時またはアクセスしている間中、無線認証デバイス３００が発信するユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ３１１が使用される。

図５は、アクセス管理部１０１が有しているアクセス制御リスト１０２を説明するための図である。アクセス制御リスト１０２とは、データベース１１０に記憶された情報資源１１１へのアクセスルールを定めた情報で、本実施の形態においては、図５に示したように、情報資源１１１を特定する情報である情報資源ＩＤ１０２ａに関連付けて、情報資源１１１にアクセスできるユーザ５００を記述した認可ユーザ情報１０２ｂと、情報資源１１１にアクセスできる位置を記述した認可位置情報１０２ｃとが記憶されている。

ここで、情報資源ＩＤ１０２ａとは、データベース１１０に記憶された情報資源１１１ごとに設定できる情報で、例えば、情報資源１１１が保存されている場所を示すパス情報などである。認可ユーザ情報１０２ｂとは、情報資源１１１にアクセスできるユーザを特定できる情報であればよく、本実施の形態においては、情報資源ＩＤ１０２ａで特定される情報資源１１１にアクセスできるユーザＩＤ３１１が記述されている。認可位置情報１０２ｃとは、情報資源ＩＤ１０２ａで特定される情報資源１１１にアクセスできる場所を意味する情報で、本実施の形態においては、認可位置情報１０２ｃとしてリーダライタＩＤ１２１が記述されている。

アクセス管理部１０１は、クライアント端末２００から情報資源１１１にアクセス要求をしたユーザＩＤ３１１が送信されると、アクセス制御リスト１０２を参照して、アクセス要求したユーザ５００にアクセス権限が認可されていることを確認する。アクセス管理部１０１は、ユーザＩＤ３１１がアクセス制御リスト１０２の認可ユーザ情報１０２ｃに記述されている場合は、ユーザＩＤ３１１で特定されるユーザ５００は情報資源１１１にアクセスできる権限が認可されていると判断する。

次にアクセス管理部１０１は、アクセス要求をしたユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１を確認し、情報資源１１１を利用が認可されている場所であるか、すなわち、アクセス制御リスト１０２の認可位置情報１０２ｃに記述されているリーダライタＩＤ１２１であることを確認する。アクセス管理部１０１は、アクセス要求をしたユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１が、アクセス制御リスト１０２の認可位置情報１０２ｃに記述されている場合は、情報資源１１１にアクセス要求をしたユーザ５００は情報資源１１１の利用が認可された場所に居ると判断する。

そして、アクセス管理部１０１は、ユーザＩＤ３１１で特定されるユーザ５００は情報資源１１１にアクセスできる権限が認可されていると判断し、かつ、情報資源１１１にアクセス要求をしたユーザ５００は情報資源１１１を利用が認可された場所に居ると判断した場合は、情報資源１１１へのアクセス要求を許可する。

なお、アクセス管理部１０１は、アクセス要求を許可した後も、ユーザ５００が情報資源１１１にアクセスしている間中、ユーザ５００が居る位置情報の確認を行う。前述したように、ユーザ５００が所持する無線認証デバイス３００は一定時間間隔毎（例えば、１分間隔）にユーザＩＤ３１１を無線で発信しており、一定時間間隔に発信されているユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１を、一定時間間隔ごとに確認することで、アクセス管理部１０１は、ユーザ５００が情報資源１１１にアクセスしている間、ユーザ５００が居る位置情報の確認を行うことができる。

例えば、図１において、ルーム１では情報資源１１１を利用できるが、接客室では情報資源１１１を利用できないとする。ルーム１において、クライアント端末２００としてノート型パソコン４００が使用され、ルーム１でアクセス管理サーバ１００のデータベース１１０へのアクセスが許可されたとする。そして、データベース１１０にアクセスしたまま、ユーザ５００がノート型パソコン４００をルーム１から接客室に移動させたとする。この場合、接客室においては、データベース１１０にアクセスできないので、ノート型パソコン４００から無線ルータ６１０ａを経由してデータベース１１０にアクセスできるにもかかわらず、接客室に設置された無線リーダライタ１２０ｃがユーザ５００のユーザＩＤ３１１を検出した時点で、データベース１１０へのアクセスは切断される。

＜＜＜アクセス管理方法＞＞＞
ここから、本発明のアクセス管理方法について、前述したアクセス管理システムを例にとりながら説明する。図６は、データベース１１０へのアクセス開始時におけるアクセス管理方法の手順を示すフロー図である。アクセス開始時の最初のステップは、ユーザ５００がデータベース１１０にアクセスするために使用するクライアント端末２００に、ユーザ５００が所持する無線認証デバイス３００を差込み、クライアント端末２００が無線認証デバイス３００からユーザＩＤ３１１を読取とるステップ（Ｓ１０）である。そして、クライアント端末２００は読取ったユーザＩＤ３１１は、クライアント端末２００からアクセス管理サーバ１００に送信される。なお、クライアント端末２００が無線認証デバイス３００を読取る際に、無線認証デバイス３００はユーザの本人認証（例えば、パスワード認証）を要求してもよい。

次のステップは、アクセス管理サーバ１００が、無線認証デバイス３００が無線で発信し、クライアント端末２００から送信されたユーザＩＤ３１１と同じユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１を取得するステップ（Ｓ２０）である。

次のステップは、アクセス管理サーバ１００が、クライアント端末２００から送信されたユーザＩＤと、クライアント端末２００から送信されたユーザＩＤと同じユーザＩＤを受信している無線リーダライタのリーダライタＩＤとから、データベース１１０へのアクセス権を確認するステップ（Ｓ３０）である。上述のアクセス管理システムにおいては、アクセス管理部１０１が有するアクセス制御リストを利用して、アクセス権限は認可（Authorization）される。

次のステップは、アクセス権限の認可の確認結果に基づいて、データベース１１０へのアクセスを制御するステップである。アクセス権が認可されている場合は、ユーザ５００はデータベース１１０へのアクセス要求が容認され（ステップＳ４０）、アクセス権が認可されていない場合は、ユーザ５００はデータベース１１０へのアクセス要求が否認される（ステップＳ５０）。

図７は、データベース１１０へのアクセス中におけるアクセス管理方法の手順を示すフロー図である。アクセス中の最初のステップは、アクセス管理サーバ１００が、無線認証デバイス３００が無線で発信し、クライアント端末２００から送信されたユーザＩＤ３１１と同じユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１を取得するステップ（Ｓ１００）である。

次のステップは、アクセス管理サーバ１００が、クライアント端末２００から送信されたユーザＩＤ３１１と、クライアント端末２００から送信されたユーザＩＤ３１１と同じユーザＩＤ３１１を受信している無線リーダライタ１２０のリーダライタＩＤ１２１とから、データベース１１０へのアクセス権の認可を確認するステップ（Ｓ１１０）である。

次のステップは、アクセス権限の認可の確認結果に基づいて、データベース１１０へのアクセスを制御されるステップである。アクセス権が認可されている場合は、ユーザ５００はデータベース１１０へのアクセス要求が容認され（Ｓ１２０）、アクセス権が認可されていない場合は、ユーザ５００はデータベース１１０へのアクセス要求が否認される（Ｓ１３０）。

次にステップは、最後にアクセス要求を容認してから、一定時間間隔が経過していることを確認するステップ（Ｓ１４０）である。一定時間間隔が経過していればステップ（Ｓ１４０）に戻り、一定時間間隔が経過していなければステップ（Ｓ１００）に戻る。

アクセス管理システムをオフィスに適用した図。 アクセス管理システムの機能ブロック図。 無線認証デバイスの外観図。 無線認証デバイスに内蔵される電気回路のブロック図。 アクセス制御リストを説明する図。 アクセス開始時のアクセス管理方法の手順を示した図。 アクセス中のアクセス管理方法の手順を示した図。

符号の説明

１００ アクセス管理サーバ
１０１ アクセス管理部
１１０ データベース
１１１ 情報資源
１２０ 無線リーダライタ
１２１ リーダライタＩＤ
２００ クライアント端末
２１０ ユーザ認証部
３００ 無線認証デバイス
３１０ ＳＩＭ
３１１ ユーザＩＤ
３１２ ユーザ認証アプリケーション

Claims (7)

1. 前記ネットワークに接続された複数のクライアント端末と、一つの前記クライアント端末から、ネットワーク上に存在する情報資源に対するアクセス要求を、前記情報資源にアクセスするユーザが所持する無線認証デバイスを用いて管理するアクセス管理装置とからなるアクセス管理システムであって、
   前記ユーザが所持する前記無線認証デバイスは、前記ユーザを識別する情報であるユーザ識別情報を記憶し、前記クライアント端末に装着され、前記クライアント端末とデータ通信するアップストリーム通信手段と、少なくとも前記クライアント端末に装着されている間、前記ユーザ識別情報を周期的に無線で発信する無線通信手段とを備え、
   前記クライアント端末は、前記無線認証デバイスとデータ通信するダウンストリーム通信手段と、前記ダウンストリーム通信手段を用いて前記無線認証デバイスから読み出した前記ユーザ識別情報を前記アクセス管理装置に送信するユーザ識別情報取得手段とを備え、
   前記アクセス管理装置は、前記無線認証デバイスが無線で発信する前記ユーザ識別情報を受信する少なくとも一つの無線端末と、前記クライアント端末から送信された前記ユーザ識別情報と同じ前記ユーザ識別情報を受信している前記無線端末を確認することで、前記ユーザが前記情報資源にアクセスしている位置情報を検出し、前記クライアント端末から送信された前記ユーザ識別情報と前記位置情報とに基づいて、前記クライアント端末から前記情報資源に対するアクセスを、周期的に制御するアクセス制御手段とを備えていることを特徴とするアクセス管理システム。
2. 請求項１に記載のアクセス管理システムにおいて、前記無線認証デバイスに備えられた前記無線通信手段は、２．４５Ｈｚ周波数帯を利用した無線通信手段であることを特徴とするアクセス管理システム。
3. 請求項１または請求項２に記載のアクセス管理システムにおいて、
   前記無線認証デバイスは、ユーザの本人認証を行うユーザ認証手段を有し、少なくともアクセス開始時に前記ユーザ認証手段によるユーザの本人認証に成功した場合のみ、前記無線認証デバイスは、前記アップストリーム通信手段を用いて前記ユーザ識別情報を前記クライアント端末に送信することを特徴するアクセス管理システム。
4. 請求項３に記載のアクセス管理システムにおいて、前記ユーザ認証手段は、パスワードを用いたユーザの本人認証手段及び/又はＰＫＩ（Public Key Infrastructure）を利用したユーザの本人認証手段であることを特徴とするアクセス管理システム。
5. ネットワーク上の情報資源にアクセスするユーザが所持する無線認証デバイスを用いて、前記情報資源に対するクライアント端末のアクセス要求を管理するアクセス管理方法であって、前記クライアント端末が前記無線認証デバイスから前記ユーザを識別する情報であるユーザ識別情報を取得するステップと、前記クライアント端末が取得した前記ユーザ識別情報に基づいて前記情報資源にアクセス要求した前記ユーザを識別するステップと、前記無線認証デバイスが周期的に無線で発信する前記ユーザ識別情報を受信するステップと、前記クライアント端末が取得した前記ユーザ識別情報と同じ前記ユーザ識別情報を発信している前記無線認証デバイスの存在する場所を特定することで、前記ユーザが前記情報資源にアクセス要求している位置情報を特定するステップと、識別された前記ユーザと前記位置情報とに基づいて、アクセス開始時を含み周期的に、前記クライアント端末の前記情報資源に対するアクセス要求を管理するステップとを含むことを特徴とするアクセス管理方法。
6. 請求項５に記載のアクセス管理方法であって、前記クライアント端末が前記無線認証デバイスから前記ユーザを識別する情報であるユーザ識別情報を取得する際に、ユーザの本人認証を必要とすることを特徴とするアクセス管理方法。
7. 請求項６に記載のアクセス管理方法であって、ユーザの本人認証は、パスワードを用いたユーザの本人認証方法及び/又はＰＫＩ（Public Key Infrastructure）を利用したユーザの本人認証方法であることを特徴とするアクセス管理方法。
   
   

Images