JP2008059187A - プロキシを用いたネットワーク認証システム - Google Patents

Abstract

【課題】 ログイン認証に外部メディアを利用する際は、利用アプリケーションもしくはサーバーのログイン画面・処理に手を加える必要があるが、そのどちらにも手を加えずにそのまま利用することが可能なネットワークサービスを提供できるようにすること。
【解決手段】 プロキシと呼ばれる通信の中継プログラムをクライアントＰＣ１０４上でネットワーク認証プロキシプログラム１０７として常駐動作させるか、又は必要に応じて必要に応じて実行して動作させて、クライアントＰＣからサーバー又はプロキシ装置に送信されるＩＤやパスワード等の認証情報を、外部メディア１０１から読み込んだ認証情報１０２に変更してからサーバー又はプロキシ装置１０９に送信する機能を組み込むことによりネットワークサービスのログイン認証を可能にする。
【選択図】 図１

Description

本発明は、ネットワークサービスのログイン認証をクライアントＰＣ上で動作するプロキシによって行うシステムに関するものである。

上記のプロキシ又はプロクシとは、ＩＴ用語のＰｒｏｘｙを指し、代理サーバーを意味する。ネットワークに接続する場合、直接ネットワークサービスを提供するサーバーに接続しないで、この代理サーバーに接続することによって、一般的には、（１）ネットワークの負担を軽くする機能、（２）接続した者の身元を隠す機能等を期待して利用されている代理サーバーであるとされている。

しかし本発明においては、上記に加え（３）として、ネットワークセキュリティの見地から認証装置のような効果を期待してクライアントＰＣ内で動作させるという新規な構成とした。

つまり従来の、インターネットや企業内イントラネットを用いて提供されるネットワークサービスにおいて、利用者を制限、または利用者の特定を目的としたログイン認証が行われることは一般的である。例えばＷｅｂブラウザに表示されたログイン画面から、ＩＤやパスワード等の認証情報を利用者がキーボードから入力し、入力された認証情報がＷｅｂサーバーに送信され、Ｗｅｂサーバー上で認証情報の照合を行った結果、正しく認証された場合にのみＷｅｂサービス提供を可能としている。

これに対して、キーボードからＩＤやパスワード等の認証情報を利用者が入力する代わりに、ＩＣカード等の外部メディアから認証情報を読み込んでサーバーに送信すると、利用者がＩＤやパスワード等の認証情報を記憶する必要がなく、また認証情報の記録されている外部メディアを持っていない限りログインできないようになるため、ログイン認証のセキュリティがより簡単にかつ強力となる。

従来のＩＣカード認証を用いたネットワークシステムでは図３に示すように、認証情報３０２を記録したＩＣカード３０１と、利用者用端末であるクライアントＰＣ３０４と、クライアントＰＣ３０４に対して情報提供を行うサーバーまたはプロキシ装置３０７とから構成される。

クライアントＰＣ３０４はサーバーまたはプロキシ装置３０７から得る情報を利用するためのアプリケーション３０５と、クライアントＰＣ３０４に接続されたＩＣカードリーダライタ３０３とからなり、アプリケーション３０５はＩＣカードリーダライタ３０３を通じてＩＣカード３０１から認証情報３０２を読み出す機能を有している。

アプリケーション３０５は専用アプリケーション以外にＷｅｂブラウザのような汎用アプリケーションを利用する場合がある。Ｗｅｂブラウザのような汎用アプリケーションの場合、その汎用アプリケーションはＩＣカードリーダライタ３０３を通じてＩＣカード３０１から認証情報３０２を読み出す機能は有していないため、プラグインプログラムによる機能拡張やアプリケーション自体の改造を行わない限り、ＩＣカードリーダライタ３０３等を通じてＩＣカード３０１等から認証情報３０２を読み出すことはできない。

プロキシ装置を含むネットワークにおいてＩＣカードを利用する技術は、例えば特開２００２−５５９６１や特開２００２−２９８０９６に示されている。これらはいずれも、プロキシ装置はクライアントＰＣやサーバーとは物理的に別の機器としてネットワークの中間に存在するだけに過ぎず、ＩＣカードへのアクセスはクライアントＰＣ上で動作するアプリケーションの機能となっている点で、本発明の技術思想とは相違しており、本発明を開示ないし示唆しているとは言えない。
特開２００２−５５９６１号公報 特開２００２−２９８０９６号公報

従来においては、例えばＷｅｂサービスにおいてＷｅｂブラウザからＩＣカードの認証情報を読み込もうとすると、ログイン画面にＩＣカードから認証情報を読み込むためのプラグインプログラムを埋め込んだり、Ｗｅｂブラウザ自体を改造するかＷｅｂブラウザ用ＩＣカード読み取りプラグインを組み込んだりする必要があった。前者の場合には、サービスを提供しているサーバー上のログイン画面を変更してＩＣカード読み取り用のプラグインを組み込まなければならなかった。

そればかりか、ＩＣカードリーダライタ３０３は利用者のクライアントＰＣ３０４に接続されているので、利用者の環境がサーバーの環境を左右してしまうという不都合が生じた。後者の場合には、改造やプラグインを組み込むＷｅｂブラウザを特定しなければならないため、利用者が自由に任意のＷｅｂブラウザを利用することができないという不都合が生じた。

Ｗｅｂサービス以外のネットワークサービスにおいても、同様に利用アプリケーションもしくはサーバーのログイン画面・処理になんらかの変更が必要とされていた。

前述のように従来技術ではログイン認証に外部メディアを利用する際は、利用アプリケーションもしくはサーバーのログイン画面・処理に手を加える必要があったが、そのどちらにも手を加えずにそのまま利用することが可能なネットワークサービスの外部メディアを用いたログイン認証技術を提供することが本発明の課題である。

本発明は、プロキシと呼ばれる通信の中継プログラムをクライアントＰＣ上でネットワーク認証プロキシプログラムとして常駐動作させるか、又は必要に応じて必要に応じて実行して動作させ、クライアントＰＣからサーバーに送信されるＩＤやパスワード等の認証情報を、外部メディアから読み込んだ認証情報に変更してからサーバーに送信する機能を組み込むことにより、ネットワークサービスのログイン認証を可能とするものである。

本発明は、従来クライアントＰＣの利用アプリケーションで処理していた外部メディアからの認証情報読み取り機能を、クライアントＰＣの常駐プログラムとしたプロキシ、又は必要に応じて実行されるプログラムとしたプロキシに組み込むことにより、利用アプリケーション、サーバーのログイン画面・処理のどちらも変更せず、従来のＩＤ、パスワード等の認証情報をキーボードから入力する仕様のままで、外部メディアから認証情報を読み込んでログイン処理を行えるようにした。

このため、なりすまし防止や不法侵入防止のような、従来予期しなかったセキュリティ効果が得られることになり、併せて、認証装置や今後に後発的に開発される新規な防犯装置に対して容易に対応可能と言うような派生的な効果が得られる。

ネットワークサービスとしてはＷｅｂサービスが最も一般的であり、外部メディアはＩＣカード等の第三者が容易に偽造することの出来ない装置を用いるのが最良の実施形態となる。

ただしネットワークサービスはログイン処理において認証情報を要求する任意のサービスを対象とすることができ、認証情報を得るための外部メディアとしてＩＣカード以外に、メモリーカード、ＵＳＢキー、ハードディスク等を利用することができ、また認証情報として指紋をはじめとした様々な生体情報を利用する生体認証機器も利用することが可能である。

以下、図面を参照して本発明の実施の形態を説明する。
図１は本発明の構成を示すブロック図である。本実施形態のプロキシを用いたネットワーク認証システムは、認証情報１０２を記録した外部メディア１０１と、利用者用端末であるクライアントＰＣ１０４と、クライアントＰＣ１０４に対して情報提供を行うサーバーまたはプロキシ装置１０９とを含んで構成される。

クライアントＰＣ１０４は、サーバーまたはプロキシ装置１０９から得る情報を利用するためのアプリケーション１０５と、クライアントＰＣ１０４に接続された外部メディア読み取り装置１０３と、ネットワーク認証プロキシプログラム１０７とを含んで構成される。ネットワーク認証プロキシプログラムの一例として、クライアントＰＣ上で動作するＷｅｂブラウザとインターネット又はイントラネットを介して接続されたＷｅｂサーバーの通信を中継する際、ログイン認証のための認証情報がＩＣカードに記録された認証情報を、ＩＣカード読取装置から読取り置き換えるものを例示する。

これは、Ｗｅｂブラウザから送信されたＷｅｂサーバーへの要求を中継する機能、Ｗｅｂサーバーから受信した要求に対する結果をＷｅｂブラウザへ中継する機能、ＷｅｂブラウザからＷｅｂサーバーへの要求がログイン認証である場合、Ｗｅｂブラウザから受信した要求に含まれる認証情報をＩＣカード読取り装置を介してＩＣカードに記録された認証情報に置き換えるなどの機能を有する。

ネットワーク認証プロキシプログラム１０７は、クライアントＰＣ１０４上で動作するプログラム、又はシステム常駐プログラムであり、アプリケーション１０５とサーバーまたはプロキシ装置１０９との通信の中継を行う機能（図２のステップ２０１、ステップ２０２、ステップ２０３、ステップ２０４、ステップ２０５、ステップ２０８、ステップ２０９、ステップ２１０）、および外部メディア読み取り装置１０３を通して外部メディア１０１に記録された認証情報１０２を読み出す機能（図２のステップ２０６）および、アプリケーション１０５から受信した認証情報を外部メディア１０１から読込んだ認証情報１０２に変更する機能（図２のステップ２０７）を有する。

図２に図示するように、ネットワーク認証プロキシプログラム１０７はアプリケーション１０５からログイン画面の要求を受信し（図２のステップ２０１）、サーバーまたはプロキシ装置１０９へログイン画面の要求を送信する（図２のステップ２０２）。

つづいて図２のステップ２０２でサーバーまたはプロキシ装置１０９に送信されたログイン画面要求の結果、サーバーまたはプロキシ装置１０９からログイン画面を受信し（図２のステップ２０３）、受信したログイン画面をアプリケーション１０５に送信する（図２のステップ２０４）。

利用者がログイン画面においてＩＤやパスワードに任意のデータを入力、もしくは未入力の状態で送信ボタンを押すと、クライアントＰＣ内に常駐した、又は必要に応じて必要に応じて実行されたネットワーク認証プロキシプログラム１０７は、アプリケーション１０５からＩＤやパスワードの認証情報を受信する（図２のステップ２０５）。

ここで、常駐させた方が好都合な例は、利用するクライアントＰＣのメモリの容量やＣＰＵの速度が十分でありネットワーク認証プロキシプログラムを常駐させるに十分な能力を有する場合であり、必要に応じて実行する方が好都合な例は、利用するクライアントＰＣのメモリの容量やＣＰＵの速度が十分でなくネットワーク認証プロキシプログラムを常駐させるに十分な能力を有していない場合である。

次にネットワーク認証プロキシプログラム１０７は、外部メディア読み取り装置１０３を通して外部メディア１０１から認証情報１０２を読み取る（図２のステップ２０６）。

さらにネットワーク認証プロキシプログラム１０７は、アプリケーション１０５から受信した認証情報を外部メディア１０１から読込んだ認証情報１０２に変更し（図２のステップ２０７）、変更した認証情報１０２をサーバーまたはプロキシ装置１０９に送信する（図２のステップ２０８）。

最後にネットワーク認証プロキシプログラム１０７は、図２のステップ２０８で送信した認証情報１０２の結果、サーバーまたはプロキシ装置１０９からサービス開始画面を受信し（図２のステップ２０９）、受信したサービス開始画面をアプリケーション１０５に送信する。

インターネットやイントラネットを用いて提供される様々なネットワークサービスを受ける際の、利便性及び安全性の向上が大いに期待できるので、ＩＴ産業の進展に伴って利用可能性は益々増進するであろう。

本発明の実施形態に係るプロキシを用いたネットワーク認証システムのブロック図である。 本発明の実施形態に係るネットワーク認証プロキシプログラムの処理の流れを示したフローチャートである。 従来のＩＣカード認証を用いたネットワークシステムのブロック図である。

符号の説明

１０１ 外部メディア
１０２ 外部メディアに格納された認証情報
１０３ 外部メディア読み取り装置
１０４ クライアントＰＣ
１０５ アプリケーション
１０６ ＰＣ内通信
１０７ ネットワーク認証プロキシプログラム
１０８ インターネットまたはイントラネット
１０９ サーバーまたはプロキシ装置
３０１ ＩＣカード
３０２ ＩＣカードに格納された認証情報
３０３ ＩＣカードリーダライタ
３０４ クライアントＰＣ
３０５ アプリケーション
３０６ インターネットまたはイントラネット
３０７ サーバーまたはプロキシ装置

Claims (4)

1. インターネット又はイントラネットを介してサーバー又はプロキシ装置からのネットワークサービスを受けるため、クライアントＰＣからサーバー又はプロキシ装置に送信されるＩＤやパスワード等の認証情報を外部メデイアから読み込んだ認証情報に変更してからサーバー又はプロキシ装置に送信する機能を備えたネットワーク認証プロキシプログラムを、クライアントＰＣ内に常駐させて、又は必要に応じて実行して運用するネットワーク認証システム。
2. 上記クライアントＰＣは、アプリケーション１０５と、ネットワーク認証プロキシプログラム１０７と、外部メデイア読み取り装置１０３とを含んでなることを特徴とする請求項１記載のネットワーク認証システム。
3. インターネット又はイントラネットを介してサーバー又はプロキシ装置からのネットワークサービスを受けるため、クライアントＰＣからサーバー又はプロキシ装置に送信されるＩＤやパスワード等の認証情報を、外部メデイアから読み込んだ認証情報に変更してからサーバー又はプロキシ装置に送信する機能を備えたネットワーク認証プロキシプログラムを常駐させ、当該ネットワークサービスへのログインに際して、クライアントＰＣから前記サーバー又はプロキシ装置上のネットワークサービスを有効化する認証情報を入力するようにしたネットワーク認証システム。
4. インターネット又はイントラネットを介してサーバー又はプロキシ装置からのネットワークサービスを受けるため、クライアントＰＣからサーバー又はプロキシ装置に送信されるＩＤやパスワード等の認証情報を、外部メデイアから読み込んだ認証情報に変更してからサーバー又はプロキシ装置に送信する機能を備えたネットワーク認証プロキシプログラムを必要に応じて実行してから運用するようにして、当該ネットワークサービスへのログインに際して、クライアントＰＣから前記サーバー又はプロキシ装置上のネットワークサービスを有効化する認証情報を入力するようにしたネットワーク認証システム。
   

Images