JP2007208759A - Ｍａｃアドレスとユーザ認証を組み合わせた認証セキュリティシステム - Google Patents

Abstract

【課題】ネットワークへの不正アクセスに対するセキュリティを向上する。
【解決手段】認証スイッチ・ハブ２００はユーザ端末１００からのネットワークアクセス認証データを端末インタフェース部２１０、認証データ受信部２２０を経由してユーザ認証部２３０で受け取る。ユーザ認証部２３０では受け取ったユーザＩＤ、パスワードを元に認証データ管理部２５０に同一のデータがないか確認し、同一のデータが会った場合認証に成功となり、そのユーザＩＤ、パスワードと、ユーザ端末１００のＭＡＣアドレスをＭＡＣ認証部２４０へ送る。ＭＡＣ認証部２４０では受け取ったユーザＩＤ、パスワード、ＭＡＣアドレスの３種類のデータを元に認証データ管理部２５０へ同一のデータがあるか確認し、全て一致しているかを確認する。
【選択図】 図１

Description

本発明はネットワークアクセスに係わり、ネットワークアクセスをしようとしている端末及び使用者に対するアクセス許可方式、認証方式に関する。

アクセスが許可されていない端末、及び、なりすましによる侵入者からのアクセスを拒否するネットワークシステムとして、特許文献１がある。

特許文献１では、認証ノードが受け取ったパケットが、アクセスを許可された端末からのパケットかを、ＭＡＣアドレスとＩＰｖ６アドレスに基づきフィルタリングテーブルを参照して判断し、パケットを中継又は廃棄する技術を開示している。

特開２００４−２８９２５７号公報

図４に従来の認証システムを示すブロック図を示す。

認証ノード１のフィルタリング処理部１３１，１３２はネットワークインタフェース部１２１，１２２から受け取ったパケットがアクセスを許可されたパケットかをＭＡＣアドレス、ＩＰｖ６アドレスを元に判断する。パケット中継部１１０はアドレステーブル１６０を参照し、フィルタリング処理部を通過したパケットを宛先アドレスへ中継する。

上記に記述した認証システムでは第一の課題はフィルタリングの対象がアドレスのみになっている点である。例えば、ユーザＩＤやパスワードとＭＡＣアドレスのユーザ認証と端末認証の両観点での認証を実施できる仕掛けがない。このため、フィルタ通過可能なＭＡＣアドレスを持つユーザ端末が複数存在している場合、ユーザＩＤ及びパスワードを知られてしまった場合、フィルタ通過可能なＭＡＣアドレスを持つユーザ端末ならどれでも使用可能になる。この点でネットワークの不正使用及びセキュリティの観点での強度に難点があると言える。

第二の課題として、アクセスを許可されていないユーザであっても上記のパケット中継装置までのネットワーク使用が可能になっている点がある。これにより脆弱性等の観点でネットワークの強靱性及び安定性が損なわれる可能性がある。

上記課題を解決するため、例えば本出願に係るＭＡＣアドレスとユーザ認証を組み合わせた認証セキュリティシステムではネットワーク使用ユーザのユーザＩＤとパスワードとユーザ端末のＭＡＣアドレスを組み合わせることで、ネットワークアクセスを行うユーザとユーザ端末を固定させセキュリティを向上させる。

また、本出願に係るＭＡＣアドレスとユーザ認証を組み合わせた認証セキュリティシステムでは、ユーザＩＤとパスワード、ユーザ端末のＭＡＣアドレスの３種類のデータが一致した場合に認証を許可する。

その為、ネットワーク使用ユーザとそのユーザが使用する端末を固定することができ、なりすましによるネットワークへの不正アクセスを防ぐことができる。

また、本出願に係るＭＡＣアドレスとユーザ認証を組み合わせた認証セキュリティシステムでは、ユーザ端末と本発明の認証スイッチを直接接続する。

第一の効果は、従来の端末認証のみの場合に端末の不正使用の対応、ユーザ認証の場合に、ユーザＩＤ、パスワードの流出による不正使用のガードが甘かった点を改善する事ができる点である。その理由はユーザＩＤ、パスワード、ユーザ端末のＭＡＣアドレスと３種類のデータが完全に一致した場合のみネットワークへのアクセスを許可することにある。その為、たとえユーザＩＤ、パスワードを他者が知ることができたとしても、知られてしまったユーザＩＤを持つユーザ端末でなければネットワークへのアクセスはできない。

第二の効果は、認証のレベルをネットワークの形態、重要度にあわせて選択できる事によりネットワーク管理者が管理しやすく、使用者が使いやすいネットワーク環境を提供できることにある。セキュリティの向上と利便性とはある意味背反である。ネットワークのセキュリティのレベルにあわせた認証レベルを適用できる事で安全で便利なネットワークを提供できるようになる。

上記以外の課題、手段、効果は、後述する実施例によって明らかにされる。

次に本発明に好適な実施形態の例について図面を参照して詳細に説明する。ただし、本発明は本実施形態に限定されない。

図１はＭＡＣアドレスを使用したネットワーク認証のセキュリティ向上の一実施形態を示すブロック図である。認証スイッチ２００に対しネットワークへのアクセスを希望するユーザ端末１００、ユーザ端末１００の接続希望先ネットワーク３００から構成されている。なお、認証スイッチ２００は、ハブやルータなどであってもよく総称してネットワーク接続装置や集線装置ともいう。

認証スイッチ２００は、ユーザ端末１００とネットワークとの接続部分である端末インタフェース部２１０、端末インタフェース部２１０から認証に必要な情報を受信するための認証データ受信部２２０、ユーザ認証を行うためのユーザ認証部２３０、ユーザ認証成功後にユーザＩＤ、パスワード、ＭＡＣアドレスの確認を行うＭＡＣ認証部２４０、ユーザ認証部２３０及びＭＡＣ認証部２４０で使用するユーザＩＤ、パスワード、ＭＡＣアドレスのデータ管理を行う認証データ管理部２５０、ユーザ認証部２３０及びＭＡＣ認証部２４０での認証処理結果をまとめる認証結果処理部２６０から構成されている。なお、ユーザ認証部２３０とＭＡＣ認証部２４０を第１、第２認証部ということもある。また、ユーザ認証部２３０、ＭＡＣ認証部２４０、認証データ管理部２５０、認証結果処理部２６０の全部又は一部が認証スイッチ２００の外部にある例えばサーバに備わっているシステムであってもよい。

まず認証スイッチ２００の動作の概要を説明する。認証スイッチ・ハブ２００はユーザ端末１００からのネットワークアクセス認証データを端末インタフェース部２１０、認証データ受信部２２０を経由してユーザ認証部２３０で受け取る。ユーザ認証部２３０では受け取ったユーザＩＤ、パスワードを元に認証データ管理部２５０に同一のデータがないか確認し、同一のデータが会った場合認証に成功となり、そのユーザＩＤ、パスワードと、ユーザ端末１００のＭＡＣアドレスをＭＡＣ認証部２４０へ送る。ＭＡＣ認証部２４０では受け取ったユーザＩＤ、パスワード、ＭＡＣアドレスの３種類のデータを元に認証データ管理部２５０へ同一のデータがあるか確認し、全て一致しているかを確認する。３種類のデータが一致していた場合にネットワークアクセスへの認証が成功したことになり、その結果を認証結果処理部２６０へ通知する。認証結果処理部２６０では認証の結果をユーザ端末１００へ通知し、認証成功の場合、ユーザ端末１００のネットワーク３００へのアクセスが可能となる。なお、認証結果処理部２６０をアクセス制御部ともいう。

次に図２と図３を参照して動作の詳細を説明する。

図２は、ユーザ端末１００及び認証スイッチ・ハブ２００が実行する動作例を示すフローチャートである。図３は、図１の認証データ管理部２５０の格納データの例である。

図２においてユーザ端末１００より端末インタフェース部２１０、認証データ受信部２２０を経由しユーザ認証部２３０が提供する認証画面に対しアクセスを行う（ステップＳ１）。

ステップＳ２において、ユーザ認証部２３０はユーザ端末１００に対し認証画面を表示する。

ステップＳ３ではステップＳ２の認証画面からネットワークアクセス希望ユーザはユーザＩＤ、パスワードを入力し、そのデータをユーザ認証部２３０へ送る。

ステップＳ４にてユーザ認証部２３０ではステップＳ３で受け取ったユーザＩＤとパスワードを元に認証データ管理部２５０（図３参照）へアクセスを行いユーザＩＤ、パスワードが一致するデータがあるか確認を行う。

一致するデータがない場合には認証失敗となり、認証結果処理部２６０にその結果を送り、ユーザ端末１００に対して認証画面上から認証失敗を通知する（ステップＳ５）。

ユーザ認証が成功した場合、ステップＳ６となり、ユーザＩＤを元に認証データ管理部２５０（図３参照）で管理されている認証レベルを確認する。本機能を有する部位（本実施例ではユーザ認証部２３０）を第２認証要否判断部ということもある。

先のステップＳ６にて確認した認証レベルが１である場合、ユーザ認証のみの認証レベルであるため認証結果処理部２６０にその結果を送り、ユーザ端末１００に対して認証画面上から認証成功を通知する（ステップＳ７）。

認証レベルが１以外（レベル２）であった場合、ステップＳ８となり、ユーザＩＤ、パスワード、ユーザ端末１００のＭＡＣアドレスのデータをＭＡＣ認証部２４０へ送る。

ステップＳ９において先のステップＳ８で受け取ったユーザＩＤ、パスワード、ＭＡＣアドレスを元に認証データ管理部２５０（図３参照）へアクセスを行い、一致するデータがあるか確認を行う。なお例えば、ユーザＩＤとパスワード、ユーザＩＤとＭＡＣアドレスが別のテーブルや記憶部に格納されており、ＭＡＣアドレス認証部２４０ではユーザＩＤ及びＭＡＣアドレスが一致するかどうかの認証を実行するようにしてもよい。

一致するデータがない場合ステップＳ１０となり、認証結果処理部２６０にその結果を送り、ユーザ端末１００に対して認証画面上から認証失敗を通知する。

ＭＡＣ認証が成功した場合、認証結果処理部２６０にその結果を送り、ユーザ端末１００に対して認証画面上から認証成功を通知しネットワーク３００へのアクセスを許可させる（ステップＳ１１）。

全ての認証が成功した場合、端末インタフェース部２１０はユーザ端末１００からネットワーク３００へのアクセスを許可する。具体的には、例えばフィルタリングを解除する。

本実施形態は以下も含む。

ネットワークと該ネットワークに接続される機器の認証を行う機構と、ネットワークへの接続を行う端末とで構成され、該ネットワークの前段に位置し、上記認証機構を仕様して接続される端末のアクセスの正当性を制御する機能を持つ認証ルータ・スイッチである。

該認証に於いて複数の認証手段を有し、セキュリティ強度の強化と需要に応じたセキュリティレベルを適用する事が可能な認証ルータ・スイッチである。

認証の方法としてユーザ認証と端末認証を行う機構を有し、認証単位毎にセキュリティ強度を設定でき、このセキュリティ強度によりユーザ毎の使用可能端末の制限を適用するか、あるいは端末認証かユーザ認証のいずれか片方を適用するかの組み合わせを指定できる認証ルータ・スイッチである。

ユーザ認証としては、ログインアカウントやパスワード等の手段を用い、端末認証としては端末を特定できるＭＡＣアドレス等の識別データを使用し、両者を組み合わせる事で該端末が接続可能なネットワークを選択する。

上記ユーザ認証は、接続されたユーザ端末からのログイン処理にて該ユーザのログインアカウントとパスワードを認証データ管理部にて照合し、一致した時に、該ユーザＩＤに設定された認証レベルに応じて、次段の端末認証を行うかを判断する。

前記ＭＡＣ認証は、該端末のＭＡＣアドレスを接続許可とするユーザＩＤが認証データ中の該ユーザーＩＤで許容されたＭＡＣアドレス群上に存在するかでネットワークへの接続可否を判断する機能を持つ。

各認証レベルで認証に失敗した場合、認証に失敗した旨を認証画面上に表示する機能を持つ。

認証レベルの設定についてはネットワーク管理者の任意で行うことも可能とする。

ネットワーク管理者が設定した認証レベルの各認証を全て成功した場合に、認証成功となり、ユーザ端末からのネットワークアクセスを可能とするネットワーク認証ルータ・スイッチ。

ネットワーク認証スイッチの基本機能ブロック図例である。 ネットワーク認証スイッチの動作例を説明する図である。 図１の認証データ管理部のデータ構成例を表す図である。 従来のネットワーク認証装置及びネットワーク認証システムの概念図例である。

符号の説明

１００ ユーザ端末
２００ 認証スイッチ・ハブ
２１０ 端末インタフェース部
２２０ 認証データ受信部
２３０ ユーザ認証部
２４０ ＭＡＣ認証部
２５０ 認証データ管理部
２６０ 認証結果処理部
３００ ネットワーク

Claims (4)

1. 端末及びネットワークからのデータを送受信するネットワーク接続装置であって、
   第１の端末から認証データを受信する受信部と、
   前記受信部で受信した認証データに含まれる第１情報に基づいて、認証を実行する第１認証部と、
   前記第１認証部で認証が成立すると、前記認証データに含まれる前記第１情報と第２情報とに基づいて、認証を実行する第２認証部と、
   前記第２認証部で認証が成立すると、前記第１の端末のネットワークへのアクセスを可能とするアクセス制御部とを有することを特徴とするネットワーク接続装置。
2. 端末及びネットワークからのデータを送受信するネットワーク接続装置であって、
   第１の端末から認証データを受信する受信部と、
   前記受信部で受信した認証データに含まれる第１情報に基づいて、認証を実行する第１認証部と、
   前記第１認証部で認証が成立すると、前記第１情報が第２情報による認証に対応しているかを判断する第２認証要否判断部と、
   前記第２認証要否判断部で対応していると判断された場合に、前記認証データに含まれる前記第１情報及び前記第２情報とに基づいて、認証を実行する第２認証部と、
   前記第２認証要否判断部で否と判断された場合又は前記第２認証部で認証が成立した場合に、前記第１の端末のネットワークへのアクセスを可能とするアクセス制御部とを有することを特徴とするネットワーク接続装置。
3. 請求項１又は２のネットワーク接続装置であって、
   前記第１情報は、ユーザＩＤとパスワードであり、
   前記第２情報は、ＭＡＣアドレスであることを特徴とするネットワーク接続装置。
4. 端末のネットワークへのアクセスを制御するネットワークアクセス制御システムであって、
   第１の端末から認証データを受信する受信部と、
   前記受信部で受信した認証データに含まれるユーザＩＤ及びパスワードに基づいて、認証を実行する第１認証部と、
   前記第１認証部で認証が成立すると、前記認証データに含まれるユーザＩＤとＭＡＣアドレスとに基づいて、認証を実行する第２認証部と、
   前記第２認証部で認証が成立すると、前記第１の端末のネットワークへのアクセスを可能とするアクセス制御部とを有することを特徴とするネットワークアクセス制御システム。
   

Images