JP2007213133A

JP2007213133A - 機器認証装置

Info

Publication number: JP2007213133A
Application number: JP2006029664A
Authority: JP
Inventors: Ichiro Suzuki; 一郎鈴木
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2006-02-07
Filing date: 2006-02-07
Publication date: 2007-08-23
Also published as: US20070186104A1

Abstract

【課題】ネットワーク接続を許可する機器のみが登録されることを保証しつつ、その登録作業を容易に行えるようにする機器認証装置を、提供する。
【解決手段】ウェブクライアント装置２０には、ウェブサーバ装置１０へのアクセスをそのウェブサーバ装置１０との間に介在する認証スイッチ装置３０へ要求するためのエージェントプログラム２１が、インストールされている。認証スイッチ装置３０は、エージェントプログラム２１による機能からの要求を受け付けると、その機能からＭＡＣアドレスを取得し、取得したＭＡＣアドレスにより機器認証を行う。その機器認証が不成功だった場合、認証スイッチ装置３０は、その機能から、利用者の利用者情報と暗証情報を取得し、それら情報にて認証を行う。その二回目の認証が成功だった場合、認証スイッチ装置３０は、先に取得したＭＡＣアドレスを登録し、次回以降の機器認証にそのＭＡＣアドレスを使用する。
【選択図】図３

Description

本発明は、ネットワーク接続を要求してきた機器がそれを許可できるものであるか否かを判別するための機器認証装置に、関する。

周知のように、企業等の団体が管理しているネットワークでは、なりすまし等の不正な手段による情報漏洩や不正接続を防ぐため、機器認証が行われることがある。その機器認証は、ネットワーク接続を要求してきた機器（ＰＣ）に対してその機器（ＰＣ）に固有の情報を要求し、その情報が事前に登録されている情報と一致した場合に、その機器（ＰＣ）にネットワーク接続を許可するという技術である。そして、機器（ＰＣ）に固有の情報を事前に登録する方法として、以下のようなものがある。

第一の方法は、機器（ＰＣ）の利用者がその機器のコマンドやＧＵＩ［Graphical User Interface］を利用してその機器固有の情報を画面に表示させて読み取り、その利用者が読み取った情報をネットワーク管理者に通知し、ネットワーク管理者が機器認証装置にその情報を手作業にて登録するというものである。

第二の方法は、接続を許可する機器を一旦ネットワークに接続したあと、ネットワークに接続された各機器の固有情報を収集する装置をそのネットワークに接続し、その収集装置によって収集された固有情報をネットワーク管理者が機器認証装置に手作業にて登録するというものである。

第三の方法は、ネットワークに接続された各機器と連携して各機器の固有情報を収集する機能を機器認証装置に組み込んでおき、その機器認証装置に対し、一定期間、ネットワークに接続された各機器の固有情報を、ネットワーク接続を許可する機器のものとして、収集させるというものである（特許文献１参照）。

特開２００４−３４３４９７号公報

しかしながら、前述した第一の方法では、機器の利用者やネットワーク管理者が固有情報の登録に手間を掛けねばならず、登録作業が煩雑であるという問題がある。また、登録が手作業に依るため、誤入力の虞もある。

また、前述した第二の方法では、ネットワーク接続を許可する各機器の固有情報を収集するための装置を別途用意せねばならず、導入費用が嵩むという問題がある。また、第一の方法と同様に、登録が手作業に依るため、誤入力の虞もある。

さらに、前述した第三の方法では、一定期間内にネットワークに接続される機器が、ネットワーク接続を許可すべきものであるという保証がないため、本来ネットワーク接続を許可すべきでない機器の固有情報が機器認証装置に登録される虞がある。

本発明は、前述したような従来技術の有する問題に鑑みてなされたものであり、その課題は、ネットワーク接続を許可する機器のみが登録されることを保証しつつ、その登録作業を容易に行えるようにすることにある。

上記の課題を解決するために案出された機器認証装置の第１の態様は、ネットワーク接続を許可する機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第１の記憶部，前記機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第２の記憶部，前記機器のうちの何れかからその機器の固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その固有情報が前記第１の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第１の認証部，前記第１の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部，前記第１の認証部が固有情報同士が一致していないと判別した場合に、当該機器からその利用者の識別情報及び暗証情報を取得し、その識別情報及び暗証情報の組み合わせが前記第２の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第２の認証部，及び、前記第２の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、当該機器の固有情報を前記第１の記憶部に登録する登録部を備えることを、特徴としている。

このように構成されると、ネットワーク接続を要求する機器から、その固有情報を受け取った際、その機器の固有情報の登録の有無に拘わらず、その固有情報を使って認証が行われる。そして、その認証成功時にはそれ以降に認証が行われることがないが、その認証不成功時には、その機器の利用者の識別情報及び暗証情報を取得し、それら取得した情報を使って更に認証が行われる。その認証の成功時には、その機器の固有情報が登録されることとなり、一旦、その固有情報が登録されれば、それ以降は、その固有情報のみで認証が得られるようになる。従って、この第１の態様によれば、固有情報を機器から読み出して手作業にて登録するという手間を掛けたり、固有情報を収集する装置を別途用意するという手段を講じたりする必要がなくなる。然も、利用者の識別情報及び暗証情報の組み合わせ、及び、固有情報の何れかによって、必ず、認証が行われるので、ネットワーク接続を許可すべきでない機器の固有情報が誤って登録されることもない。

また、上記の課題を解決するために案出された機器認証装置の第２の態様は、ネットワーク接続を許可する機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第３の記憶部，前記機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第４の記憶部，前記機器のうちの何れかからその機器の利用者の識別情報及び暗証情報並びに固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その識別情報及び暗証情報の組み合わせが前記第３の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第３の認証部，前記第３の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、動作状態が、当該機器の固有情報を登録をすべき要登録状態か、当該機器の固有情報に基づく認証処理を行うべき要認証状態の何れであるかを、判別する状態判別部，前記状態判別部が動作状態が前記要登録状態であると判別した場合に、当該機器の固有情報を前記第４の記憶部に登録する登録部，前記状態判別部が動作状態が前記要認証状態であると判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第４の認証部，及び、前記第４の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部を備えることを、特徴としている。

このように構成されると、ネットワーク接続を要求する機器から、その利用者の識別情報及び暗証情報並びに固有情報を受け取った際、要登録状態にある場合には、その機器の固有情報の登録の有無に拘わらず、その機器の利用者の識別情報及び暗証情報を使って認証が行われ、その認証成功時にその機器の固有情報が登録される。また、要認証状態にある場合にも、その機器の固有情報の登録の有無に拘わらず、その機器の利用者の識別情報及び暗証情報を使って認証が行われるが、その認証が成功したとしても、その機器の固有情報を使った認証に成功せねば、その機器のネットワーク接続は許可されない。従って、この第２の態様によっても、固有情報を機器から読み出して手作業にて登録するという手間を掛けたり、固有情報を収集する装置を別途用意するという手段を講じたりする必要がなくなる。然も、要登録状態においては、利用者の識別情報及び暗証情報の組み合わせによって、必ず、認証が行われ、一方、要認証状態においては、利用者の識別情報及び暗証情報並びに固有情報の全てによって、必ず、認証が行われるので、ネットワーク接続を許可すべきでない機器の固有情報が誤って登録されることもない。

以上に説明したように、本発明によれば、ネットワーク接続を許可する機器のみが登録されることを保証しつつ、その登録作業が容易に行えるようになる。

次に、本発明を実施するための三つの最良の形態について、添付図面を参照しながら、詳細に説明する。

実施形態１

先ず、第１の実施形態のコンピュータネットワークシステムの構成について説明する。

図１は、第１の実施形態のコンピュータネットワークシステムの構成図である。

図１に示されるように、第１の実施形態のコンピュータネットワークシステムは、ウェブサーバ装置１０，一台以上のウェブクライアント装置２０，及び、認証スイッチ装置３０からなり、ウェブサーバ装置１０及びウェブクライアント装置２０は、認証スイッチ装置３０を介して互いに接続されている。

ウェブサーバ装置１０は、ウェブクライアント装置２０からの要求を受け付けるとその要求に応じたデータを送信する装置である。このウェブサーバ装置１０の構成を簡単に説明すると、このウェブサーバ装置１０は、ＣＰＵ［Central Processing Unit］，ＤＲＡＭ［Dynamic Random Access Memory］，ストレージ，通信アダプタ等のハードウエアを内蔵した周知のコンピュータにウェブサーバプログラムをインストールしてなるものである。

一方、ウェブクライアント装置２０は、操作者の指示に基づいてウェブサーバ装置１０へデータを要求し、ウェブサーバ装置１０からデータが送られてくると、そのデータに基づいてコンテンツの表示を行う装置である。このウェブクライアント装置２０の構成を簡単に説明すると、このウェブクライアント装置２０は、ＣＰＵ，ＤＲＡＭ，ＨＤＤ［Hard Disk Drive］，ＭＤＤ［Multi Disk Drive］，通信アダプタ等のハードウエアを本体に内蔵した一般のパーソナルコンピュータにウェブブラウザプログラムをインストールしてなるものである。

さらに、このウェブクライアント装置２０が内蔵する図示せぬＨＤＤには、エージェントプログラム２１が、インストールされている。このエージェントプログラム２１は、キーボードやマウス等の入力装置を通じて操作者から実行指示があった場合，或いは、起動時の初期設定に従って実行指示があった場合、後述の認証スイッチ装置３０へ、ウェブサーバ装置１０へのアクセス要求を送信するプログラムである。また、このエージェントプログラム２１は、後述の認証スイッチ装置３０からの要求に応じて、この装置２０のＭＡＣ［Media Access Control］アドレス，或いは、この操作者の利用者情報と暗証情報とを、その認証スイッチ装置３０へ送信するプログラムともなっている。なお、利用者情報は、各ウェブクライアント装置２０の利用者全体の中から各利用者を個別に識別するための識別情報であり、暗証情報は、利用者が自分のウェブクライアント装置２０をウェブサーバ装置１０と通信自在にするための許可を得る際に必要な情報である。

認証スイッチ装置３０は、ウェブサーバ装置１０とウェブクライアント装置２０との間でデータを中継する機能と、ウェブクライアント装置２０がウェブサーバ装置１０へのアクセスを許可できる機器であるか否かを判別する機能とを備えた装置である。ここで、前者の機能は、複数ある接続ポートのうち、後者の機能により通信可能状態にしたポートに対してのみ、ウェブサーバ装置１０が接続されたポートとの間で、データの中継をするようになっている。なお、複数のポート間でデータを中継する前者の機能については、周知であるため、以降ではその説明を省略している。

この認証スイッチ装置３０の構成について説明すると、この認証スイッチ装置３０は、ＣＰＵ３０ａ，ＤＲＡＭ３０ｂ，通信アダプタ３０ｃ，及び、ストレージ３０ｄを、内蔵している。このうち、通信アダプタ３０ｃは、図示していないが、複数の接続ポートを備えており、一般のパーソナルコンピュータは、ＬＡＮ［Local Area Network］ケーブル等のケーブルを介して、これら各接続ポートに接続することができる。

さらに、この認証スイッチ装置３０内のストレージ３０ｄは、認証情報テーブル３１及び機器認証プログラム３２を記憶している。

このうち、認証情報テーブル３１は、ウェブサーバ装置１０へのアクセスを許可できる機器に関する情報を記録しておくためのテーブルである。

図２は、認証情報テーブル３１のデータ構造の一例を示す図である。

図２の認証情報テーブル３１は、このコンピュータネットワークシステムの管理者がウェブサーバ装置１０へのアクセスを許可している利用者の数と同数のレコードを、有している。各レコードは、「利用者情報」，「暗証情報」及び「ＭＡＣアドレス」のフィールドを、有している。

「利用者情報」及び「暗証情報」フィールドは、その利用者の利用者情報と暗証情報がそれぞれ記録されるフィールドである。「ＭＡＣアドレス」フィールドは、利用者の機器（ウェブクライアント装置２０）に内蔵される通信アダプタに対してその固有情報として割り当てられているＭＡＣアドレスが記録されるフィールドである。

ここで、利用者情報及び暗証情報は、このコンピュータネットワークシステムの管理者がウェブサーバ装置１０へのアクセスを許可する利用者に対して事前に通知しておく情報であり、その管理者が、それら利用者への通知の後、この認証スイッチ装置３０の運用の開始前に、この認証情報テーブル３１に登録しておく情報となっている。また、ＭＡＣアドレスは、後述の処理によって、この認証情報テーブル３１に登録される情報であり、この認証スイッチ装置３０の運用開始前においては、このテーブル３１の各レコードの「ＭＡＣアドレス」フィールドは、空欄となっている。

なお、この認証情報テーブル３１は、前述した第１及び第２の記憶部に相当している。

機器認証プログラム３２は、ウェブクライアント装置２０がウェブサーバ装置１０へのアクセスを許可できる機器であるか否かを判別するためのプログラムである。この機器認証プログラム３２に従ってＣＰＵ３０ａが実行する処理の内容については、後述する。

次に、認証スイッチ装置３０において行われる処理について説明する。

まず、ウェブクライアント装置２０の操作者が、その装置２０内のエージェントプログラム２１を起動すると（当該装置２０の起動後にエージェントプログラム２１が自動的に実行されるよう設定されている場合には、ウェブクライアント装置２０を起動すると）、前述したように、そのエージェントプログラム２１によるエージェント機能（以下、エージェント機能２１と表記する）が、ウェブサーバ装置１０へのアクセス要求を、認証スイッチ装置３０へ送信する。

すると、認証スイッチ装置３０のＣＰＵ３０ａは、その要求の受信をトリガとして、機器認証プログラム３２を読み込み、機器認証処理を開始する。

図３は、機器認証処理の流れを示す図である。

機器認証処理の開始後、最初のステップＳ１０１では、ＣＰＵ３０ａは、要求元のエージェント機能２１に対し、そのエージェント機能が動作しているウェブクライアント装置２０のＭＡＣアドレスを送信するよう要求するとともに、その応答としてそのエージェント機能２１からＭＡＣアドレスを受信することによって、ＭＡＣアドレスを取得する。

続いて、次のステップＳ１０２では、ＣＰＵ３０ａは、ステップＳ１０１で取得したＭＡＣアドレスと同一のＭＡＣアドレスが図２の認証情報テーブル３１に登録済であるか否かを、判別する。

なお、これらステップＳ１０１及びＳ１０２を実行するＣＰＵ３０ａは、前述した第１の認証部に相当している。

そして、ステップＳ１０１で取得したＭＡＣアドレスと同一のＭＡＣアドレスが図２の認証情報テーブル３１に登録済であると判断した場合、ＣＰＵ３０ａは、ステップＳ１０２からステップＳ１０６へ処理を分岐させる。

そのステップＳ１０６では、ＣＰＵ３０ａは、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信自在の状態（データ中継機能を動作させた状態）にする。その後、ＣＰＵ３０ａは、図３に係る機器認証処理を終了する。

なお、このステップＳ１０６を実行するＣＰＵ３０ａは、前述した切替部に相当している。

一方、ステップＳ１０１で取得したＭＡＣアドレスと同一のＭＡＣアドレスが図２の認証情報テーブル３１に未登録であると判断した場合、ＣＰＵ３０ａは、ステップＳ１０２からステップＳ１０３へ処理を分岐させる。

そのステップＳ１０３では、ＣＰＵ３０ａは、エージェント機能２１に対し、そのエージェント機能が動作しているウェブクライアント装置２０の利用者の利用者情報及び暗証情報を送信するよう要求するとともに、その応答としてそのエージェント機能２１から利用者情報及び暗証情報を受信することによって、利用者情報及び暗証情報を取得する。なお、そのエージェント機能２１は、認証スイッチ装置３０からの要求がある度に、液晶ディスプレイ等の表示装置に入力画面を表示して利用者から利用者情報及び暗証情報を取得するというものであっても良いし、事前に利用者から受け付けておいた利用者情報及び暗証情報を内部システムに保持しておいて、認証スイッチ装置３０からの要求がある度に、それら情報を内部システムから読み出すものであっても良い。

続いて、次のステップＳ１０４では、ＣＰＵ３０ａは、ステップＳ１０３で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１に登録済であるか否かを、判別する。

なお、このステップＳ１０４を実行するＣＰＵ３０ａは、前述した第２の認証部に相当している。

そして、ステップＳ１０３で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１に登録済であると判別した場合、ＣＰＵ３０ａは、ステップＳ１０４からステップＳ１０５へ処理を分岐させる。

そのステップＳ１０５では、ＣＰＵ３０ａは、ステップＳ１０１において取得したＭＡＣアドレスを、図２の認証情報テーブル３１における当該レコードの「ＭＡＣアドレス」フィールドに格納することによって、登録する。

なお、このステップＳ１０５を実行するＣＰＵ３０ａは、前述した登録部に相当している。

その後のステップＳ１０６では、ＣＰＵ３０ａは、前述したように、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信自在の状態にして、図３に係る機器認証処理を終了する。

一方、ステップＳ１０３で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１に未登録であると判別した場合、ＣＰＵ３０ａは、ステップＳ１０４からステップＳ１０７へ処理を分岐させる。

そのステップＳ１０７では、ＣＰＵ３０ａは、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信不能の状態（データ中継機能を動作させない状態）にしたまま、要求元のエージェント機能２１に対し、認証が不成功である旨を通知する。その後、ＣＰＵ３０ａは、図３に係る機器認証処理を終了する。なお、エージェント機能２１は、この通知を受けたときに、その旨を表示装置に表示する等の出力処理を行うものであることが望ましい。

次に、第１の実施形態の認証スイッチ装置３０の作用及び効果について、説明する。

ウェブクライアント装置２０の利用者が、そのウェブクライアント装置２０を認証スイッチ装置３０に接続し、エージェント機能２１を動作させる。すると、このウェブクライアント装置２０のＭＡＣアドレスによって機器認証が行われる（ステップＳ１０２）。そして、このＭＡＣアドレスが既に認証スイッチ装置３０に登録済であれば、このウェブクライアント装置２０は、ウェブサーバ装置１０と通信自在の状態になる（ステップＳ１０２；ＹＥＳ，Ｓ１０６）。

また、利用者が、自分のウェブクライアント装置２０とウェブサーバ装置１０との接続を初めて行う場合、ＭＡＣアドレスが認証スイッチ装置３０に未登録であるので、ＭＡＣアドレスよる機器認証は不成功となる（ステップＳ１０２；ＮＯ）。この場合、更に、その利用者の利用者情報と暗証情報の組み合わせによって認証が行われ（ステップＳ１０４）、この二回目の認証が成功すれば、利用者のウェブクライアント装置２０のＭＡＣアドレスが認証スイッチ装置３０に登録されるとともに、そのウェブクライアント装置２０を認証スイッチ装置３０がウェブサーバ装置１０と通信自在の状態になる（ステップＳ１０４；ＹＥＳ，Ｓ１０５，Ｓ１０６）。そして、この利用者が、次回以降、自分のウェブクライアント装置２０とウェブサーバ装置１０との接続を行う場合、そのウェブクライアント装置２０のＭＡＣアドレスが認証スイッチ装置３０に既に登録されているので、ＭＡＣアドレスによる機器認証だけで、ウェブサーバ装置１０へのアクセスが行えることとなる。

また、不正利用者が、自分のウェブクライアント装置２０とウェブサーバ装置１０との接続を行う場合、そのウェブクライアント装置２０のＭＡＣアドレスが認証スイッチ装置３０に未登録であり、尚且つ、その不正利用者の利用者情報や暗証情報も未登録であるので、ウェブサーバ装置１０からの情報漏洩やウェブサーバ装置１０に対する不正接続が、不正利用者によって行われることがない。

このように、第１の実施形態の認証スイッチ装置３０によれば、利用者が自分のウェブクライアント装置２０からそのＭＡＣアドレスを読み出して、その読み出したＭＡＣアドレスを当該コンピュータネットワークシステムの管理者が手作業にて認証スイッチ装置３０に登録するという手間を掛けなくて済む。また、認証スイッチ装置３０に接続されているウェブクライアント装置２０からそれぞれのＭＡＣアドレスを収集する装置を別途用意する必要もない。更には、利用者の利用者情報及び暗証情報の組み合わせ、及び、ＭＡＣアドレスの何れかによって、必ず、認証が行われるので、ネットワーク接続を許可すべきでないウェブクライアント装置２０のＭＡＣアドレスが誤って認証スイッチ装置３０に登録されることもない。

なお、前述した第１の実施形態においては、機器認証を行う主体が、認証スイッチ装置３０であったが、これに限定されるものではなく、例えば、ファイアーウォール装置であっても良い。ファイアーウォール装置が本実施形態の機器認証（図３の処理）を行う場合、接続ポート間におけるデータ中継の可否が制御されるのではなく、ＩＰ［Internet Protocol］アドレス間におけるデータ中継の可否が制御されることとなる。

実施形態２

第２の実施形態は、ＭＡＣアドレスと利用者情報と暗証情報の組み合わせによって機器認証を行うという点で、ＭＡＣアドレス単体で機器認証を行う第１の実施形態と相違する。その相違点以外の構成、例えば、図１のネットワーク構成，各装置１０〜３０の内部構造，図２の認証情報テーブル３１の内容は、第１の実施形態のそれと同等なものとなっている。以下、第２の実施形態の機器認証処理について説明する。

図４は、第２の実施形態における機器認証処理の流れを示す図である。

機器認証処理の開始後、最初のステップＳ２０１では、ＣＰＵ３０ａは、要求元のエージェント機能２１に対し、そのエージェント機能が動作しているウェブクライアント装置２０の利用者の利用者情報及び暗証情報並びにＭＡＣアドレスを送信するよう要求するとともに、その応答としてそのエージェント機能２１から利用者情報及び暗証情報並びにＭＡＣアドレスを受信することによって、利用者情報及び暗証情報並びにＭＡＣアドレスを取得する。

続いて、次のステップＳ２０２では、ＣＰＵ３０ａは、図２の認証情報テーブル３１内のレコードの中から、ステップＳ２０１で取得した利用者情報及び暗証情報の組み合わせを持つレコードを、検索する処理を行う。

そして、次のステップＳ２０３において、ＣＰＵ３０ａは、ステップＳ２０１で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１から検出できたか否かを、判別する。

なお、これらステップＳ２０１乃至Ｓ２０３を実行するＣＰＵ３０ａは、前述した第３の認証部に相当している。

そして、ステップＳ２０１で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１から検出できなかったと判別した場合、ＣＰＵ３０ａは、ステップＳ２０３からステップＳ２０８へ処理を分岐させる。

そのステップＳ２０８では、ＣＰＵ３０ａは、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信不能の状態（データ中継機能を動作させない状態）にしたまま、要求元のエージェント機能２１に対し、認証が不成功である旨を通知する。その後、ＣＰＵ３０ａは、図４に係る機器認証処理を終了する。

一方、ステップＳ２０１で取得した利用者情報及び暗証情報の組み合わせを持つレコードが図２の認証情報テーブル３１から検出できたと判別した場合、ＣＰＵ３０ａは、ステップＳ２０３からステップＳ２０４へ処理を分岐させる。

そのステップＳ２０４では、ＣＰＵ３０ａは、この認証スイッチ装置３０の動作モードが登録モードに設定されているか認証モードに設定されているかを、判別する。

ここで、認証モードは、利用者情報と暗証情報とＭＡＣアドレスの組み合わせで機器認証を行う動作モードとなっており、一方、登録モードは、利用者情報及び暗証情報の組み合わせだけで機器認証を行う動作モードとなっている。認証モードは、通常使用する動作モードであり、登録モードは、このコンピュータネットワークシステムの管理者が、当該システムの構築後一定期間、ＭＡＣアドレスを認証スイッチ装置３０に登録させる際に設定する動作モードである。後述するように、登録モードが設定されている期間内にＭＡＣアドレスが登録されなかったウェブクライアント装置２０は、認証モードの最中においては、ウェブサーバ装置１０へのアクセスが受け付けられない。

従って、このステップＳ２０４を実行するＣＰＵ３０ａは、前述した状態判別部に相当している。

そして、この認証スイッチ装置３０の動作モードが登録モードに設定されていると判別した場合、ＣＰＵ３０ａは、ステップＳ２０４からステップＳ２０５へ処理を分岐させる。

そのステップＳ２０５では、ＣＰＵ３０ａは、ステップＳ２０１で取得したＭＡＣアドレスを、図２の認証情報テーブル３１におけるステップＳ２０２で検出されたレコードの「ＭＡＣアドレス」フィールドに格納することによって、登録する。

なお、このステップＳ２０５を実行するＣＰＵ３０ａは、前述した登録部に相当している。

その後、ステップＳ２０７において、ＣＰＵ３０ａは、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信自在の状態にして、図４に係る機器認証処理を終了する。

なお、このステップＳ２０７を実行するＣＰＵ３０ａは、前述した切替部に相当している。

一方、この認証スイッチ装置３０の動作モードが認証モードに設定されていると判別した場合、ＣＰＵ３０ａは、ステップＳ２０４からステップＳ２０６へ処理を分岐させる。

そのステップＳ２０６では、ＣＰＵ３０ａは、ステップＳ２０１で取得したＭＡＣアドレスが、ステップＳ２０２で検出されたレコードの「ＭＡＣアドレス」フィールドの値と一致するか否かを、判別する。

なお、このステップＳ２０６を実行するＣＰＵ３０ａは、前述した第４の認証部に相当している。

そして、ステップＳ２０１で取得したＭＡＣアドレスが、ステップＳ２０２で検出されたレコードの「ＭＡＣアドレス」フィールドの値と一致していると判別した場合、ＣＰＵ３０ａは、ステップＳ２０６からステップＳ２０７へ処理を進める。

そのステップＳ２０７では、ＣＰＵ３０ａは、前述したように、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信自在の状態にして、図４に係る機器認証処理を終了する。

一方、ステップＳ２０１で取得したＭＡＣアドレスが、ステップＳ２０２で検出されたレコードの「ＭＡＣアドレス」フィールドの値と一致していないと判別した場合、ＣＰＵ３０ａは、ステップＳ２０６からステップＳ２０８へ処理を進める。

そのステップＳ２０８では、ＣＰＵ３０ａは、前述したように、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信不能の状態（データ中継機能を動作させない状態）にしたまま、要求元のエージェント機能２１に対し、認証が不成功である旨を通知する。その後、ＣＰＵ３０ａは、図４に係る機器認証処理を終了する。

次に、第２の実施形態の認証スイッチ装置３０の作用及び効果について、説明する。

まず、このコンピュータネットワークシステムの管理者が、認証スイッチ装置３０の動作モードを登録モードに設定している場合において、ウェブクライアント装置２０の利用者が、そのウェブクライアント装置２０を認証スイッチ装置３０に接続し、エージェント機能２１を動作させたときには、ウェブクライアント装置２０の利用者の利用者情報と暗証情報の組み合わせによって認証が行われる（ステップＳ２０２，Ｓ２０３）。その後、ＭＡＣアドレスが認証スイッチ装置３０に登録されて、ウェブクライアント装置２０がウェブサーバ装置１０と通信自在の状態になる（ステップＳ２０４；登録モード，Ｓ２０５，Ｓ２０７）。

次に、このコンピュータネットワークシステムの管理者が、認証スイッチ装置３０の動作モードを認証モードに設定している場合において、ウェブクライアント装置２０の利用者が、そのウェブクライアント装置２０を認証スイッチ装置３０に接続し、エージェント機能２１を動作させたときには、登録モードの時と同様に、ウェブクライアント装置２０の利用者の利用者情報と暗証情報の組み合わせによって認証が行われる（ステップＳ２０２，Ｓ２０３）。しかし、その後、登録モードの時とは異なり、ＭＡＣアドレスによる機器認証が、更に行われる（ステップＳ２０４；認証モード，Ｓ２０６）。そして、この機器認証に成功すれば、このウェブクライアント装置２０は、ウェブサーバ装置１０と通信自在の状態になり（ステップＳ２０６；ＹＥＳ，Ｓ２０７）、逆に、この機器認証に失敗すれば、たとい利用者情報と暗証情報の組み合わせによる認証が成功していたとしても、このウェブクライアント装置２０は、ウェブサーバ装置１０へアクセスすることができない（ステップＳ２０６；ＮＯ，Ｓ２０８）。

また、不正利用者が、自分のウェブクライアント装置２０とウェブサーバ装置１０との接続を行う場合、その不正利用者の利用者情報及び暗証情報が認証スイッチ装置３０に登録されていないので、認証スイッチ装置３０の動作モードが何れであっても、不正利用者のウェブクライアント装置２０が認証されることはない。従って、ウェブサーバ装置１０からの情報漏洩やウェブサーバ装置１０に対する不正接続が、不正利用者によって行われることがない。

このように、第２の実施形態の認証スイッチ装置３０によっても、利用者が自分のウェブクライアント装置２０からそのＭＡＣアドレスを読み出して、その読み出したＭＡＣアドレスを当該コンピュータネットワークシステムの管理者が手作業にて認証スイッチ装置３０に登録するという手間を掛けなくて済む。また、認証スイッチ装置３０に接続されているウェブクライアント装置２０からそれぞれのＭＡＣアドレスを収集する装置を別途用意する必要もない。更には、登録モードにおいては、利用者の利用者情報及び暗証情報の組み合わせにより、必ず、認証が行われ、認証モードにおいては、利用者情報及び暗証情報並びにＭＡＣアドレスの組み合わせによって、必ず、認証が行われるので、ネットワーク接続を許可すべきでないウェブクライアント装置２０のＭＡＣアドレスが誤って認証スイッチ装置３０に登録されることもない。

実施形態３

第３の実施形態は、ウェブクライアント装置２０がアクセス要求をしてくる度にＭＡＣアドレスの登録と機器認証の何れをすべきかを判断するという点で、どのウェブクライアント装置２０に対しても認証スイッチ装置３０の動作モードに従ってＭＡＣアドレスの登録と機器認証の何れか一方を行う第２の実施形態と相違する。その相違点以外の構成、例えば、図１のネットワーク構成，各装置１０〜３０の内部構造，図２の認証情報テーブル３１の内容は、第１及び第２の実施形態のそれと同等なものとなっている。以下、第３の実施形態の機器認証処理について説明する。

図５は、第３の実施形態における機器認証処理の流れを示す図である。

図５と図４とを比較して明らかなように、第３の実施形態の機器認証処理は、第２の実施形態のそれと、殆ど同じであり、ステップＳ３０４が、第２の実施形態のステップＳ２０４と相違する。

前述したように、第２の実施形態のステップＳ２０４では、ＣＰＵ３０ａが、認証スイッチ装置３０の動作モードが登録モードに設定されているか認証モードに設定されているかを判別していた。

これに対し、第３の実施形態のステップＳ３０４では、ＣＰＵ３０ａは、ステップＳ３０２で検出されたレコードが「ＭＡＣアドレス」フィールドに値を持っているか否かを、判別する。

そして、ステップＳ３０２で検出されたレコードが「ＭＡＣアドレス」フィールドに値を持っていないと判断した場合、ＣＰＵ３０ａは、ステップＳ３０４からステップＳ３０５へ処理を進め、そのステップＳ３０５において、ステップＳ３０１で取得したＭＡＣアドレスを登録する処理を行う。

一方、ステップＳ３０２で検出されたレコードが「ＭＡＣアドレス」フィールドに値を持っていると判断した場合、ＣＰＵ３０ａは、その「ＭＡＣアドレス」フィールドの値と、ステップＳ３０１で取得したＭＡＣアドレスとが一致するか否かを判断する。

そして、ステップＳ３０２で検出されたレコードの「ＭＡＣアドレス」フィールドの値とステップＳ３０１で取得したＭＡＣアドレスとが一致していると判断した場合、ＣＰＵ３０ａは、ステップＳ３０６からステップＳ３０７へ処理を移して、ウェブクライアント装置２０を、ウェブサーバ装置１０と通信自在の状態にする。

逆に、ステップＳ３０２で検出されたレコードの「ＭＡＣアドレス」フィールドの値とステップＳ３０１で取得したＭＡＣアドレスとが一致していると判断した場合、ＣＰＵ３０ａは、ステップＳ３０６からステップＳ３０８へ処理を移して、当該エージェント機能２１が動作しているウェブクライアント装置２０に接続されたポートと、ウェブサーバ装置１０に接続されたポートとの間を、通信不能の状態（データ中継機能を動作させない状態）にしたまま、要求元のエージェント機能２１に対し、認証が不成功である旨を通知する。

なお、ステップＳ３０４を実行するＣＰＵ３０ａは、前述した状態判別部に相当している。

機器認証処理が、第３の実施形態のように（図５のように）構成されていると、正当な利用者情報及び暗証情報を持つ利用者のウェブクライアント装置２０がアクセス要求をしてくる度に、ＭＡＣアドレスの登録と機器認証の何れをすべきかが判断されるので、このコンピュータネットワークシステムの管理者が、第２の実施形態における場合のように認証スイッチ装置３０の動作モードをいちいち設定しなくて済むようになる。

（付記１）
ネットワーク接続を許可する機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第１の記憶部，
前記機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第２の記憶部，
前記機器のうちの何れかからその機器の固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その固有情報が前記第１の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第１の認証部，
前記第１の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部，
前記第１の認証部が固有情報同士が一致していないと判別した場合に、当該機器からその利用者の識別情報及び暗証情報を取得し、その識別情報及び暗証情報の組み合わせが前記第２の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第２の認証部，及び、
前記第２の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、当該機器の固有情報を前記第１の記憶部に登録する登録部
を備えることを特徴とする機器認証装置。

（付記２）
前記切替部は、前記登録部が固有情報を前記第１の記憶部に登録した後においても、その機器について、ネットワーク通信自在の状態にする
ことを特徴とする付記１記載の機器認証装置。

（付記３）
ネットワーク接続を許可する機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第３の記憶部，
前記機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第４の記憶部，
前記機器のうちの何れかからその機器の利用者の識別情報及び暗証情報並びに固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その識別情報及び暗証情報の組み合わせが前記第３の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第３の認証部，
前記第３の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、動作状態が、当該機器の固有情報を登録をすべき要登録状態か、当該機器の固有情報に基づく認証処理を行うべき要認証状態の何れであるかを、判別する状態判別部，
前記状態判別部が動作状態が前記要登録状態であると判別した場合に、当該機器の固有情報を前記第４の記憶部に登録する登録部，
前記状態判別部が動作状態が前記要認証状態であると判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第４の認証部，及び、
前記第４の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部
を備えることを特徴とする機器認証装置。

（付記４）
前記状態判別部は、動作モードが登録モードと認証モードの何れに設定されているかを判別し、
前記登録部は、前記動作モードが登録モードであると前記状態判別部が判別した場合に、当該機器の固有情報を前記第４の記憶部に登録し、
前記第４の認証部は、前記動作モードが認証モードであると前記状態判別部が判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する
を備えることを特徴とする付記３記載の機器認証装置。

（付記５）
前記状態判別部は、当該機器の固有情報が前記第４の記憶部に登録済であるか否かを判別し、
前記登録部は、当該機器の固有情報が前記第４の記憶部に未登録であると前記状態判別部が判別した場合に、当該機器の固有情報を前記第４の記憶部に登録し、
前記第４の認証部は、当該機器の固有情報が前記第４の記憶部に登録済であると前記状態判別部が判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する
ことを特徴とする付記３記載の機器認証装置。

（付記６）
コンピュータを、
ネットワーク接続を許可する機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶装置に記憶する第１の記憶手段，
前記機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を前記記憶装置に記憶する第２の記憶手段，
前記機器のうちの何れかからその機器の固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その固有情報が前記記憶装置に記憶されている固有情報の何れかと一致するか否かを判別する第１の認証手段，
前記第１の認証手段が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替手段，
前記第１の認証部が固有情報同士が一致していないと判別した場合に、当該機器からその利用者の識別情報及び暗証情報を取得し、その識別情報及び暗証情報の組み合わせが前記記憶装置に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第２の認証手段，及び、
前記第２の認証手段が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、前記第１の記憶手段に対し、当該機器の固有情報を前記記憶装置に登録させる登録手段
として機能させる
ことを特徴とする機器認証プログラム。

（付記７）
コンピュータを、
ネットワーク接続を許可する機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶装置に記憶する第３の記憶手段，
前記機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を前記記憶装置に記憶する第４の記憶手段，
前記機器のうちの何れかからその機器の利用者の識別情報及び暗証情報並びに固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その識別情報及び暗証情報の組み合わせが前記記憶装置に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第３の認証手段，
前記第３の認証手段が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、動作状態が、当該機器の固有情報を登録をすべき要登録状態か、当該機器の固有情報に基づく認証処理を行うべき要認証状態の何れであるかを、判別する状態判別手段，
前記状態判別手段が動作状態が前記要登録状態であると判別した場合に、前記第４の記憶手段に対し、当該機器の固有情報を前記記憶装置に登録させる登録手段，
前記状態判別手段が動作状態が前記要認証状態であると判別した場合に、当該機器の固有情報が前記記憶装置に記憶されている固有情報の何れかと一致するか否かを判別する第４の認証手段，及び、
前記第４の認証手段が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替手段
として機能させる
ことを特徴とする機器認証プログラム。

第１の実施形態のコンピュータネットワークシステムの構成図認証情報テーブルのデータ構造の一例を示す図機器認証処理の流れを示す図第２の実施形態の機器認証処理の流れを示す図第３の実施形態の機器認証処理の流れを示す図

符号の説明

１０ウェブサーバ装置
２０ウェブクライアント装置
２１エージェントプログラム
３０認証スイッチ装置
３０ａＣＰＵ
３１認証情報テーブル
３２機器認証プログラム

Claims

ネットワーク接続を許可する機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第１の記憶部，
前記機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第２の記憶部，
前記機器のうちの何れかからその機器の固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その固有情報が前記第１の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第１の認証部，
前記第１の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部，
前記第１の認証部が固有情報同士が一致していないと判別した場合に、当該機器からその利用者の識別情報及び暗証情報を取得し、その識別情報及び暗証情報の組み合わせが前記第２の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第２の認証部，及び、
前記第２の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、当該機器の固有情報を前記第１の記憶部に登録する登録部
を備えることを特徴とする機器認証装置。
前記切替部は、前記登録部が固有情報を前記第１の記憶部に登録した後においても、その機器について、ネットワーク通信自在の状態にする
ことを特徴とする請求項１記載の機器認証装置。
ネットワーク接続を許可する機器のそれぞれについて、その機器の利用者の識別情報及び暗証情報を記憶する第３の記憶部，
前記機器のうち、幾つかの機器のそれぞれについて、その機器の固有情報を記憶する第４の記憶部，
前記機器のうちの何れかからその機器の利用者の識別情報及び暗証情報並びに固有情報とともにネットワーク接続要求を通信装置を介して受け付けると、その識別情報及び暗証情報の組み合わせが前記第３の記憶部に記憶されている識別情報及び暗証情報の組み合わせと一致するか否かを判別する第３の認証部，
前記第３の認証部が識別情報及び暗証情報の組み合わせ同士が一致していると判別した場合に、動作状態が、当該機器の固有情報を登録をすべき要登録状態か、当該機器の固有情報に基づく認証処理を行うべき要認証状態の何れであるかを、判別する状態判別部，
前記状態判別部が動作状態が前記要登録状態であると判別した場合に、当該機器の固有情報を前記第４の記憶部に登録する登録部，
前記状態判別部が動作状態が前記要認証状態であると判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する第４の認証部，及び、
前記第４の認証部が固有情報同士が一致していると判別した場合に、当該機器について、ネットワーク通信自在の状態にする切替部
を備えることを特徴とする機器認証装置。
前記状態判別部は、動作モードが登録モードと認証モードの何れに設定されているかを判別し、
前記登録部は、前記動作モードが登録モードであると前記状態判別部が判別した場合に、当該機器の固有情報を前記第４の記憶部に登録し、
前記第４の認証部は、前記動作モードが認証モードであると前記状態判別部が判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する
を備えることを特徴とする請求項３記載の機器認証装置。
前記状態判別部は、当該機器の固有情報が前記第４の記憶部に登録済であるか否かを判別し、
前記登録部は、当該機器の固有情報が前記第４の記憶部に未登録であると前記状態判別部が判別した場合に、当該機器の固有情報を前記第４の記憶部に登録し、
前記第４の認証部は、当該機器の固有情報が前記第４の記憶部に登録済であると前記状態判別部が判別した場合に、当該機器の固有情報が前記第４の記憶部に記憶されている固有情報の何れかと一致するか否かを判別する
ことを特徴とする請求項３記載の機器認証装置。