JP2007317091A

JP2007317091A - ワンタイムパスワード生成システムおよびワンタイムパスワード生成方法、ワンタイムパスワード生成装置、制御サーバおよびその制御方法

Info

Publication number: JP2007317091A
Application number: JP2006148254A
Authority: JP
Inventors: Hiroshi Tojo; 弘東條; Hiroki Kamiya; 弘樹神谷; Hidenori Toshinaga; 秀紀俊長; Koichi Takasugi; 耕一高杉; Yutaka Arakawa; 豊荒川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2006-05-29
Filing date: 2006-05-29
Publication date: 2007-12-06

Abstract

【課題】従来にも増して安全性を高めることができる、ワンタイムパスワード生成システムの運用・維持を正確に行なうことのできるワンタイムパスワード生成システムを提供する。
【解決手段】制御サーバが所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を複数の各ワンタイムパスワード生成装置へ送信する。そしてワンタイムパスワード生成装置それぞれは、生成アルゴリズムの変更通知の通知を受けると、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成する。
【選択図】図１

Description

本発明は、互いに通信接続する複数の通信装置に備えられたワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、を備えたワンタイムパスワード生成システムおよびワンタイムパスワード生成方法、ワンタイムパスワード生成装置、制御サーバおよびその制御方法に関する。

通信接続を行うクライアント端末とサーバ装置の間で、あらかじめワンタイムパスワード生成に必要な情報を共有し、時刻同期に基づくアルゴリズム等を用いて双方で同じワンタイムパスワードを生成し、クライアント端末より受信したワンタイムパスワードが自装置で生成したワンタイムパスワードに一致するか否かの認証をサーバ装置が行なって、当該クライアント端末とサーバ装置間で通信接続を行なう仕組みが提供されている（例えば非特許文献１参照）。
"A One-Time Password System"、「online」、「平成１８年０２月１３日検索」、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc2289.txt＞

しかしながら従来の技術においては、予めクライアント端末やサーバ装置に備えられたワンタイムパスワード生成アルゴリズムが固定的であったり、ワンタイムパスワードを生成するために必要な秘密情報（例えば互いに通信接続クライアント端末とサーバ装置が保持しているＰＩＮ番号など）が固定的であるので、その生成アルゴリズムに脆弱性があると判断された場合や、秘密情報が漏洩した場合などに直ちに安全性を確保することが難しかった。さらに、ワンタイムパスワードの生成に例えば時刻同期のずれが生じた場合などにおいて、その不具合を解消することが必要となっていた。

そこでこの発明は、従来にも増して安全性を高めることができ、ワンタイムパスワード生成システムの運用・維持を正確に行なうことのできるワンタイムパスワード生成システムおよびワンタイムパスワード生成方法、ワンタイムパスワード生成装置、制御サーバおよびその制御方法を提供することを目的としている。

上記目的を達成するために、本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、前記制御サーバは、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段を備え、前記ワンタイムパスワード生成装置は、生成アルゴリズムの前記変更通知の通知を受けると、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成するワンタイムパスワード生成手段と、を備えることを特徴とするワンタイムパスワード生成システムである。

また本発明は、上述のワンタイムパスワード生成システムにおいて、前記ワンタイムパスワード生成装置は複数の通信装置にそれぞれ備えられており、前記制御サーバは、所定のグループの通信装置それぞれの備えたワンタイムパスワード生成装置へ、前記生成アルゴリズムの変更通知を送信することを特徴とする。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、前記制御サーバは、新たな秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段を備え、前記ワンタイムパスワード生成装置は、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成するワンタイムパスワード生成手段と、ことを特徴とするワンタイムパスワード生成システムである。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、前記制御サーバは、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段を備え、前記ワンタイムパスワード生成装置は、前記通知を受けたワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備えることを特徴とするワンタイムパスワード生成システムである。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記制御サーバが、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、を備える前記ワンタイムパスワード生成システムの、前記ワンタイムパスワード生成装置であって、生成アルゴリズムの前記変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、前記秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、前記ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段と、を備えることを特徴とするワンタイムパスワード生成装置である。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記ワンタイムパスワード生成装置が、生成アルゴリズムの変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、新たな秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備えた前記ワンタイムパスワード生成システムの前記制御サーバであって、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、を備えることを特徴とする制御サーバである。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、前記制御サーバの生成アルゴリズム変更通知手段が、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信し、前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段が、生成アルゴリズムの前記変更通知の通知を受けると、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成することを特徴とするワンタイムパスワード生成方法である。

また本発明は、上述のワンタイムパスワード生成方法において、前記ワンタイムパスワード生成装置は複数の通信装置にそれぞれ備えられており、前記制御サーバは、所定のグループの通信装置それぞれの備えたワンタイムパスワード生成装置へ、前記生成アルゴリズムの変更通知を送信することを特徴とする。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、前記制御サーバの秘密情報更新指示手段は、新たな秘密情報を前記ワンタイムパスワード生成装置へ送信し、前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段は、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成することを特徴とするワンタイムパスワード生成方法である。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、前記制御サーバの生成タイミング通知手段は、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信し、前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段は、前記通知を受けたワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成することを特徴とするワンタイムパスワード生成方法である。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記制御サーバが、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、を備える前記ワンタイムパスワード生成システムの、前記ワンタイムパスワード生成装置におけるワンタイムパスワード生成方法であって、前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段が、生成アルゴリズムの前記変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、前記秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、前記ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成することを特徴とするワンタイムパスワード生成方法である。

また本発明は、通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記ワンタイムパスワード生成装置が、生成アルゴリズムの変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、新たな秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備えた前記ワンタイムパスワード生成システムの前記制御サーバにおける制御方法であって、前記制御サーバが、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信し、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信し、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信することを特徴とする制御方法である。

本発明によれば、互いに通信接続する複数の通信接続装置のうち、ある通信接続に利用されるＯＴＰ生成装置のワンタイムパスワード生成処理に関する情報が失われたり、またＯＴＰ生成装置のワンタイムパスワード更新タイミングの同期が互いに通信接続する通信接続装置のグループ内で外れてしまった場合などに、制御サーバはＯＴＰ生成装置へ初期情報となる変更通知を無線で送信し、ＯＴＰ生成装置を初期化することができる。またＯＴＰ生成装置で既に使用されているＯＴＰ生成アルゴリズムが脆弱であることが発見された場合に、今まで使用していたアルゴリズムとは異なる新たなＯＴＰ生成アルゴリズムへの切り替えを制御サーバからＯＴＰ生成装置へ送信することができるので、そのセキュリティを高めることができる。またＯＴＰ生成装置にて、ある秘密情報（種）によるワンタイムパスワード生成処理が長期間使用された場合に、セキュリティ上の理由から秘密情報の初期値を変更しないとパスワードが破られてしまう可能性がある。このためある一定期間を超え、破られそうであると判断した場合には制御サーバからＯＴＰ生成装置へ新たな秘密情報を通知することでセキュリティの向上を図ることができる。つまり上述の処理により、従来にも増して安全性を高めることができ、ワンタイムパスワード生成システムの運用・維持を正確に行なうことのできるワンタイムパスワード生成システムを提供することができる。

以下、本発明の一実施形態によるワンタイムパスワード生成システムを図面を参照して説明する。図１は同実施形態によるワンタイムパスワード生成システムの構成を示すブロック図である。この図より、ワンタイムパスワード生成システムにおいては、１つまたは複数のワンタイムパスワード生成装置２と、ワンタイムパスワード生成装置２のワンタイムパスワードの生成処理を制御する制御サーバ１とを備えている。また、ワンタイムパスワード生成システムには、ワンタイムパスワード生成装置２の生成したワンタイムパスワードを用いて制御サーバ１と通信接続する１つまたは複数の通信接続装置３、または当該ワンタイムパスワードを用いて他の装置と通信接続する１つまたは複数の通信接続装置３が接続されている。図１においては、複数の通信接続装置３がワンタイムパスワード生成システムに接続されている例である。

なお、ワンタイムパスワード生成装置２は１つの物理的に独立した装置であってもよいし、通信接続装置３に格納された１つの物理的な機能部であってもよい。またワンタイムパスワード生成装置２は通信接続装置３にインストールされたアプリケーションプログラムにより動作する処理機能部であってもよい。そしてワンタイムパスワード生成装置（以下、ＯＴＰ生成装置とする）は、ワンタイムパスワード生成システムにおいて３つ以上であってもよい。また、ワンタイムパスワード装置２は図１においては通信接続装置３に備えられる装置として記載されているが、制御サーバ１の内部にワンタイムパスワード生成装置と同様の機能部を有し、この機能部においてワンタイムパスワードを生成するようにしてもよい。また本実施形態においては制御サーバ１と通信接続装置３が別々の構成となっているが、ある通信接続装置３が制御サーバ１の機能を保持していてもよい。さらに、図１においては、１つの通信ネットワークを介して、通信接続装置３同士の通信接続や、制御サーバ１とＯＴＰ生成装置２の通信接続が行われているが、これらは別の通信ネットワークを介して通信接続されるようにしてもよい。

そして、制御サーバ１と各ＯＴＰ生成装置２は通信ネットワークを介して接続される。またＯＴＰ生成装置２それぞれは、制御サーバ１から受信したＯＴＰ（ワンタイムパスワード）生成アルゴリズムや、ワンタイムパスワードを生成するために用いられる秘密情報や、その生成タイミングなどに基づいて、ＯＴＰを生成する。図１においてはＯＴＰ生成装置２が物理的に独立した装置である場合の状態を示しており、例えばＯＴＰ生成装置２にＵＳＢインタフェースが備えられているのであれば、通信接続装置３のＵＳＢインタフェースへ接続して用いられる。またＯＴＰ生成装置２は生成したワンタイムパスワードを液晶表示部に表示し、ユーザが通信接続装置３へ当該パスワードを入力することにより、通信接続装置３が互いに通信接続するようにしてもよい。

図２は制御サーバとＯＴＰ生成装置の機能ブロックを示す図である。
図２に示すように、制御サーバ１はワンタイムパスワードの生成処理に用いられる各種情報の変更通知を送信する変更通知送信部である。また１２はパスワード生成に用いる各種情報の決定や生成を行うパスワード生成処理変更通知部である。また１３は各種情報を記憶するデータベースである。データベースには特に、ワンタイムパスワードを用いて互いに通信接続する通信接続装置３のグループについての情報が格納されている。そして図２においては制御サーバ１がアンテナを介して無線によりワンタイムパスワードの生成処理に用いる各種情報の変更通知を送信する場合の例を示している。変更通知は無線に限らず、有線の通信ネットワークを介してＯＴＰ生成装置２へ送信するようにしてもよい。またＯＴＰ生成装置２において、符号２１は制御サーバ１からワンタイムパスワードの生成処理に用いる各種情報の変更通知を受信する変更通知受信部である。また２２はワンタイムパスワードを生成するＯＴＰ生成処理部である。また２３は生成したワンタイムパスワードを通信接続装置３へ通知するＯＴＰ通知部である。この他ＯＴＰ生成装置はワンタイムパスワード生成の為の各種情報を記憶する記憶部を備えている。また時刻をカウントする時刻カウント部を備えていてもよい。

図３は本実施形態によるワンタイムパスワード生成システムの処理フローを示す図である。
次に本実施形態によるワンタイムパスワード生成システムの処理フローを順を追って説明する。
まず、管理者から指示入力を受付けた場合や、予め設定された時刻（カウンタの時刻に応じて一定期間以上経過したと判定される時刻など）において、制御サーバ１のパスワード生成処理変更通知部１２は、ワンタイムパスワード生成処理の変更グループを特定する（ステップＳ１０１）。例えば変更グループのＩＤの入力を受付けたり、設定ファイルに登録されている変更グループのＩＤを読み取る。そして、当該変更グループのＩＤに対応付けられてデータベース１３に格納されているＯＴＰ生成装置２の通信先の一覧（ＩＰアドレスや固有ＩＤなど）を読み取る。また制御サーバ１はワンタイムパスワード生成処理に新たに用いるためのＯＴＰ生成アルゴリズム、秘密情報（パスワード生成に利用される種となる番号や文字列）、ＯＴＰ生成タイミング（１分置きに生成、何時何分に生成など）などの情報を、設定ファイルから読み取ったり、ユーザから入力を受ける。そして、それら情報の少なくとも１つを格納した変更通知を変更グループに属するＯＴＰ生成装置２へ送信する（ステップＳ１０２）。なお、変更通知において、秘密情報やその他の情報を元にワンタイムパスワードを生成するための具体的な計算手順を記述した情報を変更通知として送信するようにしても良いし、またワンタイムパスワード生成に使用するハッシュ関数の名前や、生成するワンタイムパスワードのビット長などの生成アルゴリズムの種類の情報を変更通知として送信するようにしても良い。

ＯＴＰ生成装置２は制御サーバ１から変更通知を受信すると（ステップＳ１０３）、当該変更通知に格納されている各情報をＯＴＰ生成処理部２２へ転送する。ＯＴＰ生成処理部２２においては、それまで利用していたＯＴＰ生成アルゴリズムや、秘密情報や、ＯＴＰ生成タイミングなどの情報を破棄し、新たなＯＴＰ生成アルゴリズムや、秘密情報や、ＯＴＰ生成タイミングなどの情報を用いてワンタイムパスワードを生成する（ステップＳ１０４）。そしてワンタイムパスワードを生成するとＯＴＰ通知部２３が当該生成したワンタイムパスワードを通信接続装置３へ送信する（ステップＳ１０５）。通信接続装置３は受信したワンタイムパスワードを用いて、他の通信接続装置３との認証を行い、通信接続を行う（ステップＳ１０６）。

次にＯＴＰ生成装置のワンタイムパスワード生成処理についてより詳細に説明する。
ＯＴＰ生成装置２は、制御サーバ１から受信した変更通知によって、新たな方法でワンタイムパスワードを生成するが、例えばＯＴＰ生成アルゴリズムの変更において、時刻同期方式からカウンタ同期方式に変更するのであれば、以降のワンタイムパスワードの生成処理においてはカウンタ同期方式へ変更する。また秘密情報の変更であれば、当該新たな秘密情報とＯＴＰ生成アルゴリズムを用いて、ワンタイムパスワードを生成する。なお変更通知は変更グループの全てのＯＴＰ生成装置２へ送信されているので、当該変更グループに属する全てのＯＴＰ生成装置２において、同じワンタイムパスワードが生成される。そして、そのワンタイムパスワードが同一か否かに基づいて、それら同一変更グループのＯＴＰ生成装置２の接続された各通信制御装置３は、通信接続の認証処理を行う。

またＯＴＰ生成装置２は新たなＯＴＰ生成タイミングの情報を変更通知によって受付けた場合には、当該ＯＴＰ生成タイミングに応じたタイミングでのワンタイムパスワードの生成を行う。例えば５分おきに生成、１時間おきに生成、１日おきに生成する。または、変更通知を受けた際に直ちにワンタイムパスワードを生成するという処理を行うようにしても良い。また変更通知にＯＴＰ生成アルゴリズムや秘密情報やＯＴＰ生成タイミングの有効期限が格納されており、当該有効期限が切れた場合にはＯＴＰ生成装置２はワンタイムパスワードの生成処理を停止するようにしてもよい。

なお、ＯＴＰ生成装置２の機能が制御サーバ１に格納される場合には、制御サーバ１において上述のワンタイムパスワードの生成が行われて、１つまたは複数の所定の通信制御装置３に送信される。

また制御サーバ１は上述のワンタイムパスワード生成処理の変更グループを特定する際に、新たな変更グループの情報を受け付けて、その変更グループに対してＯＴＰ生成アルゴリズム、秘密情報、ＯＴＰ生成タイミングなどの情報を送信するようにしても良い。これにより、パスワードを共有する装置のグループを後から動的に変更することができる。

以上、本発明の一実施形態によるワンタイムパスワード生成システムについて説明したが、これによれば、互いに通信接続する複数の通信接続装置のうち少なくとも１つの通信接続装置に利用されるＯＴＰ生成装置のワンタイムパスワード生成処理に関する情報が失われたり、またＯＴＰ生成装置のワンタイムパスワード更新タイミングの同期がグループ内で外れてしまった場合などに、制御サーバはＯＴＰ生成装置へ初期情報となる変更通知を無線で送信し、ＯＴＰ生成装置を初期化することができる。またＯＴＰ生成装置で既に使用されているＯＴＰ生成アルゴリズムが脆弱であることが発見された場合に、今まで使用していたアルゴリズムとは異なる新たなＯＴＰ生成アルゴリズムへの切り替えを制御サーバからＯＴＰ生成装置へ送信することができるので、そのセキュリティを高めることができる。またＯＴＰ生成装置にて、ある秘密情報（種）によるワンタイムパスワード生成処理が長期間使用された場合に、セキュリティ上の理由から秘密情報の初期値を変更しないとパスワードが破られてしまう可能性がある。このためある一定期間を超え、破られそうであると判断した場合には制御サーバからＯＴＰ生成装置へ新たな秘密情報を通知することでセキュリティの向上を図ることができる。つまり上述の処理により、従来にも増して安全性を高めることができ、ワンタイムパスワード生成システムの運用・維持を正確に行なうことのできるワンタイムパスワード生成システムを提供することができる。

なお、図２における処理部は電子回路としてハードウェアＣｈｉｐ化されているようにしても、また、各処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述の処理を行うようにしてもよい。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

ワンタイムパスワード生成システムの構成を示すブロック図である。制御サーバとＯＴＰ生成装置の機能ブロックを示す図である。ワンタイムパスワード生成システムの処理フローを示す図である。

符号の説明

１・・・制御サーバ
２・・・ＯＴＰ生成装置
３・・・通信接続装置

Claims

通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、
前記制御サーバは、
所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段を備え、
前記ワンタイムパスワード生成装置は、
生成アルゴリズムの前記変更通知の通知を受けると、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成するワンタイムパスワード生成手段と、
を備えることを特徴とするワンタイムパスワード生成システム。
前記ワンタイムパスワード生成装置は複数の通信装置にそれぞれ備えられており、
前記制御サーバは、所定のグループの通信装置それぞれの備えたワンタイムパスワード生成装置へ、前記生成アルゴリズムの変更通知を送信する
ことを特徴とする請求項１に記載のワンタイムパスワード生成システム。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、
前記制御サーバは、新たな秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段を備え、
前記ワンタイムパスワード生成装置は、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成するワンタイムパスワード生成手段と、
ことを特徴とするワンタイムパスワード生成システム。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムであって、
前記制御サーバは、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段を備え、
前記ワンタイムパスワード生成装置は、前記通知を受けたワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備える
ことを特徴とするワンタイムパスワード生成システム。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記制御サーバが、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、を備える前記ワンタイムパスワード生成システムの、前記ワンタイムパスワード生成装置であって、
生成アルゴリズムの前記変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、
前記秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、
前記ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段と、
を備えることを特徴とするワンタイムパスワード生成装置。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記ワンタイムパスワード生成装置が、
生成アルゴリズムの変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、新たな秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備えた前記ワンタイムパスワード生成システムの前記制御サーバであって、
所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、
新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、
ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、
を備えることを特徴とする制御サーバ。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、
前記制御サーバの生成アルゴリズム変更通知手段が、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信し、
前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段が、生成アルゴリズムの前記変更通知の通知を受けると、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成する
ことを特徴とするワンタイムパスワード生成方法。
前記ワンタイムパスワード生成装置は複数の通信装置にそれぞれ備えられており、前記制御サーバは、所定のグループの通信装置それぞれの備えたワンタイムパスワード生成装置へ、前記生成アルゴリズムの変更通知を送信する
ことを特徴とする請求項７に記載のワンタイムパスワード生成方法。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、
前記制御サーバの秘密情報更新指示手段は、新たな秘密情報を前記ワンタイムパスワード生成装置へ送信し、
前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段は、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成する
ことを特徴とするワンタイムパスワード生成方法。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムにおけるワンタイムパスワード生成方法であって、
前記制御サーバの生成タイミング通知手段は、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信し、
前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段は、前記通知を受けたワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成する
ことを特徴とするワンタイムパスワード生成方法。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記制御サーバが、所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信する生成アルゴリズム変更通知手段と、新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信する秘密情報更新指示手段と、ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する生成タイミング通知手段と、を備える前記ワンタイムパスワード生成システムの、前記ワンタイムパスワード生成装置におけるワンタイムパスワード生成方法であって、
前記ワンタイムパスワード生成装置のワンタイムパスワード生成手段が、
生成アルゴリズムの前記変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、
前記秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、
前記ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成する
ことを特徴とするワンタイムパスワード生成方法。
通信装置の利用するワンタイムパスワードを生成するワンタイムパスワード生成装置と、当該ワンタイムパスワード生成装置におけるワンタイムパスワードの生成処理を制御する制御サーバと、前記ワンタイムパスワード生成装置の生成したワンタイムパスワードを用いて他の通信装置または前記制御サーバとの通信接続を行う通信装置と、を有するワンタイムパスワード生成システムの前記ワンタイムパスワード生成装置が、
生成アルゴリズムの変更通知の通知を受けた場合には、それまで利用していた生成アルゴリズムに代えて当該変更通知を受けた生成アルゴリズムを用いてワンタイムパスワードを生成し、新たな秘密情報を受信した場合には、それまで利用していた秘密情報に代えて、受信した前記新たな秘密情報と前記生成アルゴリズムとを用いてワンタイムパスワードを生成し、ワンタイムパスワード生成タイミングを受信した場合には、当該受信したワンタイムパスワード生成タイミングに基づいて前記ワンタイムパスワードを生成するワンタイムパスワード生成手段を備えた前記ワンタイムパスワード生成システムの前記制御サーバにおける制御方法であって、
前記制御サーバが、
所定のタイミングに基づいて、複数のワンタイムパスワードの生成アルゴリズムのうち前記ワンタイムパスワード生成装置の利用中の生成アルゴリズムとは異なる生成アルゴリズムへの変更通知を前記ワンタイムパスワード生成装置へ送信し、
新たな前記秘密情報を前記ワンタイムパスワード生成装置へ送信し、
ワンタイムパスワード生成タイミングを前記ワンタイムパスワード生成装置へ送信する
ことを特徴とする制御方法。