JP2007058455A - アクセス管理システム、および、アクセス管理方法 - Google Patents

Abstract

【課題】 あらかじめサーバに登録されたクライアントのみならず、ユーザが使用するすべてのクライアントを認証できるアクセス管アクセス管理システムを提供する。
【解決手段】 クライアント３がサーバ１にアクセスすると、サーバ１はクライアント３上で動作するユーザ認証モジュール１１及びＭＡＣアドレス取得モジュール１２を送信する。ユーザ認証モジュール１１がＩＣカード２を所持するユーザの正当性を確認した後、ＭＡＣアドレス取得モジュール１２は、ＩＣカード２を用いてクライアント３のＭＡＣアドレス３２のデジタル署名を生成し、デジタル署名が付加されたクライアント３のＭＡＣアドレス３２をサーバ１に送信する。サーバ１は、ＭＡＣアドレス３２に付加されたデジタル署名を検証し、検証に成功した場合のみ、クライアント３のアクセスを許可し、事前に定められた規則に従いクライアント３とのセッションを管理する。
【選択図】 図２

Description

本発明は、サーバが、ネットワークを介して接続されたクライアントのアクセスを管理する技術に関し、更に詳しくは、ユーザが所持する認証デバイスを用いて、サーバがクライアントのアクセスを管理する技術に関する。

ネットワークを利用したクライアントサーバシステムにおいては、特許文献１で記述されているように、サーバへの不正アクセスを防止すべく、クライアントがサーバのリソース（Ｗｅｂアプリケーション、データベースなど）にアクセスする際は、サーバはアクセスするユーザとユーザが使用しているクライアントを認証することが一般的である。

サーバがユーザを認証する技術としては、ユーザのＩＤとパスワードを用いる技術が一般的であるが、より高いセキュリティを実現するために、公開鍵基盤（PKI: Public Key Infrastructure）をユーザの認証に用いることが増えている。例えば、特許文献２においては、ユーザが１回の認証のみを行うことで、ユーザの使用が許可されているすべてのリソースにユーザがアクセスできるシングル・サインオンを、ＰＫＩを用いて実現した発明が開示されている。

また、サーバがユーザの使用しているクライアントを認証する技術としては、特許文献１で開示されているように、サーバにはアクセスを許可するクライアントの識別情報（例えば、ＭＡＣアドレス: Media Access Control address）が登録され、サーバは登録されていないクライアントからのアクセスを拒否する技術が一般的に用いられる。

しかしながら、上述したクライアントを認証する技術においては、ユーザの会社・学校または自宅に設置されたクライアントは事前にサーバに登録できるが、出張先やネットカフェ等の使用するユーザが不特定多数のクライアントはサーバに登録できないため、不便が生じるケースがあった。
特開平１１−３３１１８１号公報 特開２００2−１７３４９２号公報

そこで、上述した問題を鑑みて、本発明は、サーバが、サーバにアクセスしたクライアントを認証し、クライアントのアクセスを管理する技術に関し、あらかじめサーバに登録されたクライアントのみならず、ユーザが使用するすべてのクライアントを認証でき、かつ、ユーザ自身の認証も行うことのできるアクセス管理方法およびアクセス管理システムを提供することを目的とする。

上述した課題を解決する第１の発明は、予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスを前記サーバが管理するアクセス管理方法であって、前記アクセス管理方法は、
ａ）前記ネットワーク上で、前記サーバにアクセスする前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスが、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて生成するステップ、
ｂ）前記ステップａ）で生成されたデジタル署名が付加された前記クライアント識別情報を、前記サーバが取得し、前記クライアント識別情報のデジタル署名を、前記ユーザの公開鍵を用いて前記サーバが検証するステップ、
ｃ）前記ステップｂ）で前記クライアント識別情報のデジタル署名の検証に成功した場合、前記サーバが前記クライアントのアクセスを許可するステップ、を含むことを特徴とする。

第１の発明において、前記認証デバイスとは、公開鍵暗号方式の暗号鍵を記憶でき、少なくとも、この暗号鍵を用いてデジタル署名を生成する機能を備えたデバイスで、詳しくは、ＩＣカード（ＵＳＩＭ：Universal Subscriber Identity Moduleも含む）やハードウェアトークン（例えば、ＵＳＢキー）を意味している。

第１の発明によれば、前記ユーザの秘密鍵で生成された前記クライアント識別情報のデジタル署名を、前記サーバが前記ユーザの公開鍵を用いて検証することで、前記サーバが、前記クライアントを操作している前記ユーザの正当性を確認できると共に、前記サーバにアクセスした前記クライアントが、正当な前記ユーザが利用している前記クライアントであることを確認でき、事前に前記サーバに登録されていない前記クライアントであっても、前記サーバは前記クライアントのアクセスを許可できる。

第２の発明は、第１の発明のアクセス管理方法において、前記認証デバイスは、前記認証デバイスを所持する前記ユーザの正当性を確認する手段を備え、前記ステップａ）においては、前記ユーザの正当性が確認された場合のみ、前記認証デバイスは、前記クライアント識別情報のデジタル署名を生成することを特徴とする。

第２の発明によれば、正当な前記ユーザのみが前記認証デバイスを利用できるため、前記認証デバイスの悪用を防止することができる。

第３の発明は、第１の発明または第２の発明に記載のアクセス管理方法において、前記アクセス管理方法は、
ステップｄ）前記サーバはアクセスを許可した前記クライアントとのセッションを、事前に定められた規則に従い管理するステップを含み、
前記規則は、前記サーバにアクセスした前記クライアントの信頼性に応じて、セッションの内容が変更される規則であることを特徴とする。

第３の発明によれば、例えば、予め信頼された前記クライアント（例えば、前記ユーザの学校に設置された前記クライアント）と、前記ユーザが一時的に利用する前記クライアント（例えば、ネットカフェに設置されたクライアント）とでは、前記サーバとのセッション内容を変更することができ、ネットワーク通信のセキュリティを高めることができる。

第４の発明は、第１の発明から第３の発明のいずれかに記載のアクセス管理方法において、前記ユーザが所持する前記認証デバイスには、前記ユーザの公開鍵の公開鍵証明書が記憶され、前記ステップｂ）においては、前記サーバは前記認証デバイスから前記公開鍵証明書を取得し、前記サーバは、前記公開鍵証明書の正当性が確認できたときのみ、前記クライアント識別情報のデジタル署名の正当性を検証することを特徴とする。

第４の発明によれば、前記サーバは、前記クライアント識別情報のデジタル署名を検証するときに利用する公開鍵を記憶・管理する必要はなくなる。

第５の発明は、予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスをサーバが管理するアクセス管理システムであって、
前記認証デバイスは、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて、指定されたメッセージのデジタル署名を生成するデジタル署名生成手段を備え、
前記クライアントは、前記認証デバイスとデータ通信するリーダライタを備え、
前記サーバは、アクセスした前記クライアントに送信するプログラムで、前記クライアントに備えられた前記リーダライタを操作して、前記ネットワーク上で前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスの前記デジタル署名生成手段を用いて生成し、このデジタル署名が付加された前記クライアント識別情報を前記サーバに送信する第１のプログラムと、
前記第１のプログラムによって送信された前記クライアント識別情報のデジタル署名を検証する前記デジタル署名検証手段と、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合のみ、前記クライアントのアクセスを許可するアクセス管理手段を備えていることを特徴とする。

第６の発明は、第５の発明に記載のアクセス管理システムにおいて、前記認証デバイスは、前記認証デバイスを所持する前記ユーザの正当性を確認するユーザ認証手段を備え、前記ユーザの正当性が確認された場合のみ、前記認証デバイスは、前記デジタル署名生成手段を動作させ、前記サーバは、前記アクセスした前記クライアントに送信するプログラムで、前記クライアントに備えられた前記リーダライタを操作して、前記認証デバイスの前記ユーザ認証手段を用いて、前記ユーザの正当性を確認する第２のプログラムを備えていることが望ましい。なお、ここで前記ユーザ認証手段とは、ユーザのＰＩＮ（Personal Identification Number）を照合する手段や、ユーザのバイオメトリクス情報（例えば、指紋情報）を照合する手段を意味している。

第７の発明は、第５の発明または第６の発明に記載のアクセス管理システムおいて、
前記サーバに備えられた前記アクセス管理手段は、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合のみ、前記クライアントのアクセスを許可し、アクセスを許可した前記クライアントとのセッションを、事前に定められた規則に従い管理する手段であって、前記規則は、前記サーバにアクセスした前記クライアントの信頼性に応じて、セッションの内容が変更される規則であることを特徴とする。

第８の発明は、第５の発明から第７の発明のいずれかに記載のアクセス管理システムにおいて、前記ユーザが所持する前記認証デバイスには、前記ユーザの公開鍵の公開鍵証明書が記憶され、前記サーバに備えられた前記第１のプログラムは、前記認証デバイスから前記公開鍵証明書を読み出す手段を備え、前記アクセス管理手段は、前記デジタル署名検証手段を用いて前記公開鍵証明書を検証し、前記公開鍵証明書の正当性が確認できたときのみ、前記クライアント識別情報のデジタル署名の正当性を検証することを特徴とする。

上述した本発明によれば、サーバが、サーバにアクセスしたクライアントを認証し、クライアントのアクセスを管理する技術に関し、あらかじめサーバに登録されたクライアントのみならず、ユーザが使用するすべてのクライアントを認証でき、かつ、ユーザ自身の認証も行うことのできるアクセス管理方法およびアクセス管理システムを提供することができる。

ここから、本発明に係るアクセス管理システムについて、図を参照しながら詳細に説明する。図１は、アクセス管理システムのシステム構成を説明する図である。図１に示したように、アクセス管理システムは、ユーザが所持する認証デバイスであるＩＣカード２と、ＩＣカード２とデータ通信するＩＣカードリーダ３１を備えたクライアント３と、クライアント３とネットワーク４を介して接続されたサーバ１とから、少なくとも構成される。

ユーザが所持するＩＣカード２は、ＰＩＮ（Personal Identification Number）やバイオメトリクス情報（例えば、ユーザの指紋情報）などのユーザ認証情報を照合する手段と、ユーザ認証情報の照合に成功した場合のみ、公開鍵暗号方式の秘密鍵を用いて、あるメッセージに対するデジタル署名を生成する手段とを備え、更に、ＩＣカード２には、デジタル署名を生成する秘密鍵と対になる公開鍵の公開鍵証明書が記憶されている。

本実施の形態において、ユーザが所持する認証デバイスをＩＣカードとしているのは、ＩＣカードが社員証や学生証などの用途で普及し始めているからである。他の認証デバイスとしては、コンピュータとデータ通信する機能（例えば、ＵＳＢ通信）を備えたＰＫＩのハードウェアトークン（例えば、ＵＳＢキー）が利用できる。

ユーザがクライアント３を利用してサーバ１にアクセスすると、サーバ１はクライアント３上で動作するプログラム（例えば、Ｊａｖａ（登録商標）のアプレット）をクライアント３に送信し、このプログラムは、ＩＣカード２を所持するユーザの正当性を確認する。そして、ユーザの正当性が確認されると、このプログラムは、クライアント３に備えられたハードウェア（例えば、Ethernet（登録商標）のカード）で固定の情報であるＭＡＣアドレスを取得し、ＩＣカード２を用いてＭＡＣアドレスのデジタル署名を生成し、生成したデジタル署名が付加されたＭＡＣアドレスと、ＩＣカード２に記憶された公開鍵証明書をサーバ１に送信する。

そして、サーバ１は、上述のプログラムからこれらの情報を受信すると、データベースに記憶されているＭＡＣアドレスを確認する。受信したＭＡＣアドレスがサーバ１に登録されていない場合は、ＭＡＣアドレスに付加されたデジタル署名を、公開鍵証明書に含まれる公開鍵で検証し、ＭＡＣアドレスに付加されたデジタル署名の検証に成功した場合のみ、クライアント３のアクセスを許可し、事前に定められた規則に従いクライアント３とのセッションを管理する。また、受信したＭＡＣアドレスがサーバ１に登録されている場合は、デジタル署名の検証を行うことなく、クライアント３のアクセスを許可し、事前に定められた規則に従いクライアント３とのセッションを管理する。

なお、ここで、事前に定められた規則とは、サーバ１とクライアント３とのセッション時間に関する規則であることが望ましい。例えば、ユーザが一時的に利用しているクライアント３ならば、クライアント３とサーバ１とのセッション時間を１時間と限定し、１時間を越えた場合には、サーバ１はクライアント３との接続を強制的に解除する。

図２は、図１で示したアクセス管理システムのブロック図である。図２に示したように、ユーザが所持するＩＣカード２には、外部端末（ここでは、ＩＣカードリーダライタ３１）から送信されるユーザ認証情報（ここでは、ＰＩＮ）を照合する手段としてＰＩＮ照合手段２１と、公開鍵暗号方式の秘密鍵２３を用いて、外部端末から受信したメッセージのデジタル署名を生成するデジタル署名生成手段２２を備えている。また、ＩＣカード２には、秘密鍵２３と対になる公開鍵２５が、第三者機関である認証局によって発行された公開鍵証明書２４の形式で記憶され、この公開鍵証明書２４には公開鍵２５と共に、ユーザを識別する情報であるユーザＩＤ２６が記述されている。

また、ユーザが使用するクライアント３には、ユーザが所持するＩＣカード２とデータ通信するための手段であるＩＣカードリーダライタ３１を備え、ネットワーク４を介してサーバ１にアクセスするプログラムとしてブラウザ３３と、ネットワーク４上のクライアント３を識別する情報としてＭＡＣアドレス３２が記憶されている。ユーザは、サーバ１のＵＲＬ（Universal Resource Locator）をブラウザ３３に入力するなどして、クライアント３からサーバ１にアクセスできる。

ユーザがクライアント３を用いてアクセスするサーバ１には、クライアント３とのセッションを管理するアクセス管理マネージャ１０が備えられている。サーバ１に備えられたアクセス管理マネージャ１０とは、これから述べる各モジュールをコントロールし、ＰＫＩを用いてクライアント２のアクセス管理と、ユーザが利用しているクライアント３に応じて、サーバ１とクライアント３とのセッション管理とを行う。

詳しくは、サーバ１に備えられたアクセス管理マネージャ１０は、クライアント３に備えらたＩＣカードリーダライタ３１を操作してユーザを認証するユーザ認証モジュール１１と、デジタル署名が付加されたＭＡＣアドレス３２をクライアント３から取得するＭＡＣアドレス取得モジュール１２と、ＭＡＣアドレス３２に付加されたデジタル署名を検証するデジタル署名検証モジュール１３と、デジタル署名検証モジュール１３で使用する公開鍵などの情報が記憶されるデータベース１４とを備える。

サーバ１に備えられたユーザ認証モジュール１１およびＭＡＣアドレス取得モジュール１２は、この好ましくはＪａｖａ（登録商標）のアプレットや、Ｗｉｎｄｏｗｓ（登録商標）のＡｃｉｔｖｅＸコントロール技術などで実現され、クライアント３上で動作するプログラムである。

ユーザ認証モジュール１１は、ユーザ認証情報としてＰＩＮをユーザから取得すると共に、クライアント３のＩＣカードリーダライタ３１を操作して、取得したＰＩＮをＩＣカード２のＰＩＮ照合手段２１を用いて照合する。また、ＭＡＣアドレス取得モジュール１２は、ユーザ認証モジュール１１がユーザの認証に成功すると、ＩＣカードリーダライタ３１を操作し、ＩＣカード２を用いて、クライアント３のＭＡＣアドレス３２のデジタル署名を生成すると共に、ＩＣカード２から公開鍵証明書２４を読出し、デジタル署名を付加したＭＡＣアドレス３２と公開鍵証明書２４とをサーバ１に送信する。

アクセス管理マネージャ１０に備えられたデータベース１４には、ＩＣカード２に記憶された公開鍵証明書２４を発行した認証局の公開鍵である認証局公開鍵１５と、ユーザＩＤ２６に関連付けられて、ユーザが使用した実績のあるクライアント３のＭＡＣアドレス３２とが登録済ＭＡＣアドレス１６として記憶される。

なお、データベースに、ユーザが使用した実績のあるクライアント３のＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶する際は、所在の分かるクライアント３（例えば、会社に設定されたクライアント３）と、ユーザが一時的に利用したクライアント３（例えば、ネットカフェに設置されたクライアント３）とを識別するフラグを付加して、ＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶することが望ましい。上述したことを実施することで、ユーザが利用しているクライアント３に応じて、サーバ１とクライアント３とのセッションを、アクセス管理マネージャ１０は管理することができる。

アクセス管理マネージャ１０に備えられたデジタル署名検証モジュール１３は、ＩＣカード２から取得した公開鍵証明書２４のデジタル署名を検証すると共に、クライアント３から取得したＭＡＣアドレス３２に付加されているデジタル署名を検証する手段である。

デジタル署名検証モジュール１３が、ＩＣカード２から取得した公開鍵証明書２４のデジタル署名を検証するときは、データベース１４に記憶している認証局公開鍵１５を用いる。また、デジタル署名検証モジュール１３が、ＭＡＣアドレス３２に付加されたデジタル署名を検証するときは、公開鍵証明書２４に含まれる公開鍵２５を用いる。

ここから、サーバ１に備えられたアクセス管理マネージャ１０の詳細な動作を説明するために、これまで説明したアクセス管理システムの動作について説明する。なお、アクセス管理システムの動作の説明は、本発明に係るアクセス管理方法の説明も兼ねている。図３および図４は、アクセス管理システムの動作を示したフロー図である。

図３で示している最初のステップＳ１０は、クライアント３がサーバ１にアクセスするステップである。このステップにおいては、ユーザがクライアント３のＩＣカードリーダライタ３１にＩＣカード２を装着し、クライアント３のブラウザ３３を操作することで、クライアント３はサーバ１にアクセスする。

次のステップＳ１１は、サーバ１がクライアント３に、ユーザ認証モジュール１１とＭＡＣアドレス取得モジュール１２を送信するステップである。このステップにおいては、クライアント３からサーバ１にアクセスがあると、サーバ１のアクセス管理マネージャ１０は、アクセスしたクライアント３に対して、ユーザ認証モジュール１１とＭＡＣアドレス取得モジュール１２を送信し、これらのモジュールはクライアント３で動作する。

次のステップＳ１２は、ユーザ認証モジュール１１が、ＩＣカード２を所持するユーザの正当を確認するステップである。このステップにおいては、クライアント３上で動作するユーザ認証モジュール１１は、クライアント３のブラウザ３３にＰＩＮを入力する画面を表示し、この画面にユーザがＰＩＮを入力することで、ユーザ認証モジュール１１は、ユーザからユーザ認証情報としてＰＩＮを取得する。そして、取得したＰＩＮを含み、ＰＩＮ照合手段２１を動作させるコマンドをＩＣカード２に送信し、ＩＣカード２のＰＩＮ照合手段２１から、ＰＩＮの照合結果を得る。

ステップＳ１２おいて、ＰＩＮの照合に成功した場合はステップＳ１３に進み、ＰＩＮの照合に失敗した場合は、クライアント３とサーバ１とがセッションすることなく、この手順は終了する。

ＰＩＮの照合に成功した場合に実行されるステップＳ１３は、ＭＡＣアドレス取得モジュール１２が、クライアント３からＭＡＣアドレス３２を取得するステップである。このステップにおいては、ＰＩＮの照合に成功すると、クライアント３上でＭＡＣアドレス取得モジュール１２が動作し、ＭＡＣアドレス取得モジュール１２は、クライアント３からＭＡＣアドレス３２を取得する。

次のステップＳ１４は、ＭＡＣアドレス取得モジュール１２が、ＩＣカード２を用いて、取得したＭＡＣアドレス３２のデジタル署名を生成するステップである。このステップにおいては、ＭＡＣアドレス取得モジュール１２は、ステップＳ１３で取得したＭＡＣアドレス３２を含み、デジタル署名生成手段２２を動作させるコマンドをＩＣカード２に送信し、ＩＣカード２に記憶された秘密鍵２３を用いて生成されたＭＡＣアドレス３２のデジタル署名を取得する。

次のステップＳ１５は、ＭＡＣアドレス取得モジュール１２が、ＩＣカード２に記憶された公開鍵証明書２４と、デジタル署名が付加されたクライアント３のＭＡＣアドレス３２をサーバ１に送信するステップである。このステップにおいては、ＭＡＣアドレス取得モジュール１２は、ＩＣカード２から公開鍵証明書２４を読出し、ステップＳ１３で取得したＭＡＣアドレス３２に、ステップＳ１４でＩＣカード２から取得したデジタル署名を付加し、これらの情報をサーバ１に送信する。

図４で示した次のステップＳ１６は、サーバ１のアクセス管理マネージャ１０が、受信したＭＡＣアドレス３２が登録済ＭＡＣアドレス１６として、データベース１４に記憶されているか確認するステップである。このステップにおいて、アクセス管理マネージャ１０は、ＭＡＣアドレス３２と共に受信した公開鍵証明書２４に含まれるユーザＩＤ２６をキーとして登録済ＭＡＣアドレス１６を探索し、受信したＭＡＣアドレス３２と同じアドレスが登録済ＭＡＣアドレス１６として記憶されていないか確認する。

ステップＳ１６おいて、受信したＭＡＣアドレス３２がデータベース１４に登録されている場合はステップＳ２０に進み、登録されていない場合はステップＳ１７に進む。

受信したＭＡＣアドレス３２がデータベース１４に登録されていないときに実行されるステップＳ１７は、アクセス管理マネージャ１０が、ＭＡＣアドレス３２共に受信した公開鍵証明書２４を検証するステップである。このステップにおいては、アクセス管理マネージャ１０は、デジタル署名検証モジュール１３に依頼し、データベース１４に記憶されている認証局公開鍵１５を用い、公開鍵証明書２４に含まれるデジタル署名を検証する。

ステップＳ１７おいて、公開鍵証明書２４の検証に成功した場合はステップＳ１８に進み、失敗した場合はステップＳ２１に進む。

公開鍵証明書２４のデジタル署名の検証に成功した場合に実行されるステップＳ１８は、サーバ１のアクセス管理マネージャ１０が、ＭＡＣアドレス３２に付加されたデジタル署名を検証するステップである。このステップにおいては、アクセス管理マネージャ１０は、デジタル署名検証モジュール１３に依頼し、公開鍵証明書２４に含まれる公開鍵２５を用い、ＭＡＣアドレス３２に付加されたデジタル署名を検証する。

ステップＳ１８おいて、ＭＡＣアドレス３２に付加されたデジタル署名の検証に成功した場合はステップＳ１９に進み、失敗した場合はステップＳ２１に進む。

ＭＡＣアドレス３２に付加されたデジタル署名の検証に成功した場合に実行されるステップＳ１９は、サーバ１のアクセス管理マネージャ１０が、ＭＡＣアドレス３２と受信した公開鍵証明書２４に含まれるユーザＩＤ２６とをデータベース１４に記憶するステップである。このステップにおいては、アクセス管理マネージャ１０は、ユーザＩＤ２６に関連付けて、データベース１４にＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶する。

ステップＳ１６でデータベース１４にＭＡＣアドレス３２が登録されていたとき、または、ステップＳ１９の後に実行されるステップＳ２０は、サーバ１のアクセス管理マネージャ１０が予め定められた規則に従い、サーバ１とクライアント３のセッションを管理するステップで、ステップＳ２０をもってフローは終了する。

このステップにおいては、例えば、アクセス管理マネージャ１０は、受信したＭＡＣアドレス３２が、予め信頼性が確認されているクライアント３（例えば、会社に設置されたクライアント３）の場合は、クライアント３とサーバ１間のセッション可能な時間を８時間とし、予め信頼性が確認されていないクライアント３（例えば、ネットカフェに設置されたクライアント３）の場合は、クライアント３とサーバ１間のセッション可能な時間を１時間に限定するなどの管理を行う。

また、ステップＳ１７で公開鍵証明書２４の検証に失敗した場合、もしくは、ステップＳ１８でＭＡＣアドレス３２に付加されたデジタル署名の検証に失敗した場合に実行されるステップＳ２１においては、アクセス管理マネージャ１０は、クライアント３とサーバ１間のセッションを否認してフローはを終了する。

アクセス管理システムのシステム構成を説明する図。 アクセス管理システムのブロック図。 アクセス管理システムの動作を示したフローの第１図。 アクセス管理システムの動作を示したフローの第２図

符号の説明

１ サーバ
１０ アクセス管理マネージャ
１１ ユーザ認証モジュール
１２ ＭＡＣアドレス取得モジュール
１３ デジタル署名検証モジュール
１４ データベース
１５ 認証局公開鍵
１６ 登録済ＭＡＣアドレス
２ ＩＣカード
２１ ＰＩＮ照合手段
２２ デジタル署名生成手段
２３ 秘密鍵
２４ 公開鍵証明書
２５ 公開鍵
２６ ユーザＩＤ
３ クライアント
３１ ＩＣカードリーダライタ
３２ ＭＡＣアドレス
３３ ブラウザ

Claims (8)

1. 予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスを前記サーバが管理するアクセス管理方法であって、前記アクセス管理方法は、
   ａ）前記ネットワーク上で、前記サーバにアクセスする前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスが、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて生成するステップ、
   ｂ）前記ステップａ）で生成されたデジタル署名が付加された前記クライアント識別情報を、前記サーバが取得し、前記クライアント識別情報のデジタル署名を、前記ユーザの公開鍵を用いて前記サーバが検証するステップ、
   ｃ）前記ステップｂ）で前記クライアント識別情報のデジタル署名の検証に成功した場合、前記サーバが前記クライアントのアクセスを許可するステップ、を含むことを特徴とするアクセス管理方法。
2. 請求項１のアクセス管理方法において、前記認証デバイスは、前記認証デバイスを所持する前記ユーザの正当性を確認する手段を備え、前記ステップａ）においては、前記ユーザの正当性が確認された場合のみ、前記認証デバイスは、前記クライアント識別情報のデジタル署名を生成することを特徴とするアクセス管理方法。
3. 請求項１または請求項２に記載のアクセス管理方法において、前記アクセス管理方法は、
   ステップｄ）前記サーバはアクセスを許可した前記クライアントとのセッションを、事前に定められた規則に従い管理するステップを含み、
   前記規則は、前記サーバにアクセスした前記クライアントの信頼性に応じて、セッションの内容が変更される規則であることを特徴とするアクセス管理方法。
4. 請求項１から請求項３のいずれかに記載のアクセス管理方法において、前記ユーザが所持する前記認証デバイスには、前記ユーザの公開鍵の公開鍵証明書が記憶され、前記ステップｂ）においては、前記サーバは前記認証デバイスから前記公開鍵証明書を取得し、前記サーバは、前記公開鍵証明書の正当性が確認できたときのみ、前記クライアント識別情報のデジタル署名の正当性を検証することを特徴とするアクセス管理方法。
5. 予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスをサーバが管理するアクセス管理システムであって、
   前記認証デバイスは、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて、指定されたメッセージのデジタル署名を生成するデジタル署名生成手段を備え、
   前記クライアントは、前記認証デバイスとデータ通信するリーダライタを備え、
   前記サーバは、アクセスした前記クライアントに送信するプログラムで、前記クライアントに備えられた前記リーダライタを操作して、前記ネットワーク上で前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスの前記デジタル署名生成手段を用いて生成し、このデジタル署名が付加された前記クライアント識別情報を前記サーバに送信する第１のプログラムと、
   前記第１のプログラムによって送信された前記クライアント識別情報のデジタル署名を検証する前記デジタル署名検証手段と、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合のみ、前記クライアントのアクセスを許可するアクセス管理手段を備えていることを特徴とするアクセス管理システム。
6. 請求項５に記載のアクセス管理システムにおいて、前記認証デバイスは、前記認証デバイスを所持する前記ユーザの正当性を確認するユーザ認証手段を備え、前記ユーザの正当性が確認された場合のみ、前記認証デバイスは、前記デジタル署名生成手段を動作させ、前記サーバは、前記アクセスした前記クライアントに送信するプログラムで、前記クライアントに備えられた前記リーダライタを操作して、前記認証デバイスの前記ユーザ認証手段を用いて、前記ユーザの正当性を確認する第２のプログラムを備えていることを特徴とするアクセス管理システム。
7. 請求項５または請求項６に記載のアクセス管理システムおいて、
   前記サーバに備えられた前記アクセス管理手段は、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合のみ、前記クライアントのアクセスを許可し、アクセスを許可した前記クライアントとのセッションを、事前に定められた規則に従い管理する手段であって、前記規則は、前記サーバにアクセスした前記クライアントの信頼性に応じて、セッションの内容が変更される規則であることを特徴とするアクセス管理システム。
8. 請求項５から請求項７のいずれかに記載のアクセス管理システムにおいて、前記ユーザが所持する前記認証デバイスには、前記ユーザの公開鍵の公開鍵証明書が記憶され、前記サーバに備えられた前記第１のプログラムは、前記認証デバイスから前記公開鍵証明書を読み出す手段を備え、前記アクセス管理手段は、前記デジタル署名検証手段を用いて前記公開鍵証明書を検証し、前記公開鍵証明書の正当性が確認できたときのみ、前記クライアント識別情報のデジタル署名の正当性を検証することを特徴とするアクセス管理システム。
   
   

Images