JP2010067184A - 個別二段階認証方法およびシステム - Google Patents

Abstract

【課題】複数の認証手段を組み合わせる個別複数段階認証による高度なセキュリティ水準の提供と、利用者個別のニーズ、環境、セキュリティレベルに応じた認証方式を選択可能とする複数段階認証システムを提供する。
【解決手段】個別二段階認証システム１０は、端末の表示画面部１１と、表示画面部１１の初期画面へＩＤおよびパスワードが入力されることにより、前記ＩＤおよびパスワードを認証する一段階目認証部１２と、一段階目認証部１２により認証後において、利用者別に二段階目の認証手法を選択可能に設けられる利用者別二段階目認証部１３と、複数の業務システムに接続できるようにシングルサインオン情報の設定入力が可能に設けられるシングルサインオン情報設定部１４を備える。
【選択図】図１

Description

この発明は、コンピュータを操作して、コンピュータネットワーク上に入るにあたって、セキュリティ面でより高次元の安全性を図ることができる個別二段階認証方法およびシステムに関する。

従来、この種認証システムに類似するシステムとして、民間の機関や個人のパソコン等の端末へＩＤやパスワードを入力する方法による認証手段を経てインターネット等のネットワークに接続することが可能になっている。そして、この種の認証システムによれば、所要の認証を行なうことができるので、一定のセキュリティが保持されるようになっている。

ところが、近年、個人情報や企業情報等の情報が種々に亘り増加傾向になる一方で、ＩＤやパスワードの盗難などにより、これらの情報の盗用が増加傾向になっている。そのため、パソコンなどの端末操作者にとっては、セキュリティ面での管理が一層求められるようになってきている。

近年、認証システムの一つとして、複数のパスワードを用いなければ、コンピュータネットワーク上のターゲットに接続ができなく、またそのパスワードの一部は、予め定められているものではなく、任意のパスワードが都度提供され、これらのパスワードが照合され、認証されることによりターゲットへ接続が可能となる複数段階認証システムが開発されている。

この従来の複数段階認証システムを、図４（特許文献１）を参照して説明する。

図４に示す従来の複数段階認証システム１は、所定の端末側のリモート・システム２から第１パスワード３をターゲット４へ入力することにより、暗号化された鍵５がターゲット４から付与される。

次に、この暗号化された鍵５を用いて、許可（モジュール）７に対して送信することにより、許可７は、暗号化された鍵５を複合化したものから固有の第３パスワード８をリモート・システム２側へ導出する。

許可７は、許可されたユーザＹを識別し、ターゲットに許可されたリモート・アクセスするための固有の装置、システム、および方法を提供することを示す。第１に、本発明は、リモート・ユーザＹが３つの別々のパスワード３，６，８を提供した場合にリモート通信接続を確立する。第３パスワード８は、暗号化された鍵が許可７によって復号化された後に使用可能となる。第２に、第３パスワード８を得るためには、リモート・ユーザＹを許可されたユーザリスト内で識別しなければならない。最後に、リモート・アクセスが短いリモート・ユーザＹの行動が詳細に記録される。

許可７は、暗号化された鍵５を復号化したものから固有の第３パスワード８を導出する。許可７は、第３パスワード８をリモート・システム２に送信し、リモート・ユーザＹを許可７からログオフさせる。

再び、リモート・システム２は、ターゲット４との通信を開始する。

次に、リモート・システム２は、第１パスワード３の代わりに第３パスワード８を提供する。加えて、リモート・ユーザＹは、そのユーザに固有のユーザＩＤを第３パスワード８と共に提供することができる。このようにして、特定のリモート・ユーザＹの行動を追跡することができる。

第３パスワード８が正しいとターゲット４が判定した場合、リモート・ユーザＹがログオンし、リモート通信接続が確立される。第３パスワード８は短期間だけ有効であることが好ましい。例えば、選択される期間は２４時間でよい。あるいは、第３パスワード８の期間は、５回など所定のログイン回数を含めることもできる。別の代替方法では、期間は、特定の時間枠内のログイン回数に依存することもできる。

リモート・ユーザＹがログオンした後、ターゲット４は、リモート・ユーザＹがリモート接続を介して実施することのできる行動を制限することができ、リモート・ユーザＹが取る行動を記録することもできる。制限される行動は、第１パスワード３または第３パスワード８によって定義することができる。
特開２００５−５３４３９号公報

従来の複数段階認証システム１は、上述したように、複数要素の手段を用いた認証方式の提供は可能であったが、認証システムとしては同一の方式でなければならなかった。このため、利用者側のニーズや環境、利用者毎のセキュリティレベルに応じた柔軟な認証方式を提供できなかった。

また、システム全体で同一の方式であるため、その方式のセキュリティ上の欠陥が見つかった際等には、被害がシステム全体に及ぶ可能性があった。

本方式は、これらの問題を解決するものであり、複数の認証手段を組み合わせる個別複数段階認証による高度なセキュリティ水準の提供と、利用者個別のニーズ、環境、セキュリティレベルに応じた認証方式を選択可能とする複数段階認証システムを提供することを目的とする。

また、同時に、複数の認証手段を利用可能とすることにより、個別の方式にセキュリティ上の欠陥が見つかった場合でも、全体への影響を小さく収める危険分散を可能とすることができる複数段階認証システムを提供することを目的とする。

上記目的を達成するために、本発明によれば、端末の表示画面部に表示される初期画面に対して、一段階目認証部へＩＤおよびパスワードを入力させるステップと、利用者毎に特定の認証手法を任意に選択できる利用者別二段階目認証部へ入力させるステップと、複数の業務システムに接続可能なシングルサインオン情報設定部にシングルサインオン情報を設定入力させるステップと、を順次踏むことによる複数方式認証により利用者別の認証を可能にしたことを特徴とする個別二段階認証方法を提供する。

上記目的を達成するために、本発明によれば、端末の表示画面部と、前記表示画面部の初期画面へＩＤおよびパスワードが入力されることにより、前記ＩＤおよびパスワードを認証する一段階目認証部と、前記一段階目認証部により認証後において、利用者別に二段階目の認証手法を選択可能に設けられる利用者別二段階目認証部と、複数の業務システムに接続できるようにシングルサインオン情報の設定入力が可能に設けられるシングルサインオン情報設定部と、を具備し、前記各認証部における複数方式認証により利用者別の認証を可能にしたことを特徴とする個別二段階認証システムを提供する。

本発明の個別複数段階認証方法およびそのシステムによれば、利用者個別に二段階目の認証方式を定義することから、一段階目の認証では利用者を特定できる。加えて、本方式の結果による認証情報を任意の業務システムに提供することで、複数の業務システム間でのシングルサインオンを実現のためのキーとなるユーザ情報は、一段階目認証のＩＤを用いるものとするため、一段階目の認証においてはＩＤおよびパスワードによる方式で共通化を図っている。

また、本発明の個別複数段階認証方法およびそのシステムによれば、一段階目認証部および利用者別二段階目認証部の組合せにより、利用者毎に二段階目の認証方式を任意に設定可能となり、高い安全性の確保が可能となる。

また、利用者別二段階目認証部のＩＤ情報を元にすることで、複数業務システムで利用可能なシングルサインオンの実現が可能となる。

本発明の個別二段階認証システムに係る実施形態について、添付図面を参照して説明する。

図１は、本発明の個別二段階認証システムの全体構成における作業フローを示すブロック図である。図２は、本発明の個別二段階認証システムにおける二段階目認証機能を説明するブロック図である。

図１に示す個別二段階認証システム１０は、作業に用いる任意の端末（図示せず）の表示画面部１１と、表示画面部１１の初期画面へ取扱者の操作によりＩＤおよびパスワードが入力可能な一段階目認証部１２と、更に利用者別に二段階目の認証入力が可能な利用者別二段階目認証部１３と、利用者別二段階目認証部１３による認証入力が完了してから、続いてシングルサインオン情報の設定入力が可能なシングルサインオン情報設定部１４と、一段階目認証部１２、利用者別二段階目認証部１３およびシングルサインオン情報設定部１４における入力に誤りがあった場合に、エラー信号を受信して、表示画面部１１の初期画面にフィードバック信号を送信するエラー処理部１５と、を具備する。

一段階目認証部１２は、ＩＤおよびパスワードが認証入力されることにより、図２に示すように、ＩＤおよびパスワードを認証完了および利用者別二段階目認証のための入力画面信号を送信するものである。

なお、ここで入力されるＩＤは、後の利用者別二段階目の認証及びシングルサインオン情報に用いることができる。

また、このＩＤは、例えば一般的に用いられる英数字４〜１２文字程度の長さからなる任意の文字列であるが、利用者を必ず一意に特定できるものでなければならない。本方式では、文字種類、文字長ともに任意のものを扱う。

利用者別二段階目認証部１３は、利用者毎に定められた二段階目の認証方式を判別する部分及び、二段階目の認証を実行する部分である。

この利用者別二段階目認証部１３には、図２に示すように、利用者別認証方式判別部１３ａおよび利用者別二段階目認証呼び出し／判定部１３ｂを備えている。

利用者別認証方式判別部１３ａは、具体的には、利用者個別に定義されている認証方式を判定し、後段の利用者別二段階目認証呼び出し／判定部１３ｂに認証方式を伝える処理を行う部分である。

利用者別二段階目認証呼び出し／判定部１３ｂは、具体的には、利用者別認証方式判別部１３ａから受け取った認証方式に基づいて、二段階目認証の実行並びに結果の判定を行う部分である。本判定部の存在により、利用者別認証方式判別部１３ａから認証方式個別の処理を抽象化し、複数の方式に対応可能としている。

なお、ある利用者がどの認証方式とするかは、本方式を用いる情報システムの管理者、あるいは組織の管理者が指定するものか、もしくは利用者個人が自分で定めるもののいずれかとする。

また、用いる情報システムの用途によって、ＰＫＩ方式認証処理部１３ｃ、トークン方式認証処理部１３ｄおよびその他方式認証処理部１３ｅのいずれかが選択できる方式としているが、二段階目の認証を無しとすることも可能である。

そして、何れかが選択されることにより、図示しない通信ネットワークの任意の作業可能システムへ接続されるようになっている。

なお、ここで、各認証処理部１３ｃ〜１３ｅについて詳述する。

ＰＫＩ方式認証処理部１３ｃは、物理的な媒体を用いた認証手段として代表的な、電子証明書を用いたＰＫＩ方式の認証を司る部分であり、複数のＰＫＩに対応可能とするための汎用的なインタフェースを持つ。ＰＫＩの有効性確認等を行う。

また、トークン方式認証処理部１３ｄは、同じく物理的な媒体を用いた認証手段として代表的な、トークンを用いた認証方式を司る部分である。

トークンは、その方式によりインタフェースが個別となるため、本処理部を用いるトークンに合わせて拡張していくことが必要である。例えば、ＲＳＡセキュリティ株式会社のセキュアＩＤ（商標）とのインタフェースを採用することができる。

更に、その他方式認証処理部１３ｅは、任意の方式を個別に組み込み可能とするための部分である。上述したＰＫＩ方式認証処理部１３ｃまたはトークン方式認証処理部１３ｄ以外の方式を採用する場合には、本処理部を拡張することで実装することができる。

次に、シングルサインオン情報設定部１４について具体的に説明する。

シングルサインオン情報設定部１４の存在根拠は、全ての認証が成功した後に、その利用者が、本方式を共通で用いる情報システムに対し、個別の認証手続きを行わなくとも各情報システムを利用可能とするための、シングルサインオン情報を設定する部分である。本方式では、ｗｅｂアプリケーションを対象にしているため、ｈｔｔｐのセッションメモリ、ｈｔｔｐ ｃｏｏｋｉｅ等のｈｔｔｐ通信で広く一般に用いられる通信用記憶領域に格納する。

設定される情報には、ＩＤ、認証に成功した日時分秒、二段階目に用いられた認証手段の種類、認証の有効期限、本システムで認証を行ったことを確認するための暗号情報等が有る。

また、エラー処理部１５については、誤った入力等に起因する認証処理に失敗の際のエラー処理を一元的に行う部分である。エラーメッセージ等の一元管理及び統一的なエラー呼び出し方法を提供し、システム実装を効率化するものである。

次に、個別二段階認証システム１０の操作手順について、図１〜図３を参照して説明する。

図３は、本発明の個別二段階認証システム１０の作用を説明するためのフロー図である。

所要の作業を開始するにあたって、図１に示すように、個別二段階認証システム１０の、図示しない端末の表示画面部１１へ表示された初期画面を見ながら、図３に示すように認証呼び出しａ（符号参照）を行なう。そして、先ず一段階目認証部１２へＩＤとパスワード入力ｂを行ない、利用者別認証方式判別部１２ａにより利用者別の判別が行なわれる。この判別にあたって、ＩＤとパスワードの組み合わせが正しいか否かの判定が行なわれ、正しくない場合には、ＩＤとパスワード入力ｂへフィードバックｄがかかり再入力の指令が出される。

そして、ＩＤとパスワードの組み合わせが正しい場合には、利用者別二段階目認証部１３へ移行し、表示画面部１１へ利用者別認証方式判別部１３ａから判別ｅが行なわれ、認証処理の各方式、すなわち、ＰＫＩ方式認証処理部１３ｃとトークン方式認証処理部１３ｄおよびその他方式認証処理部１３ｅのいずれかが表示され、選択指示が出される。

ＰＫＩ方式認証ｆを選定した場合には、ＰＫＩ方式認証呼び出しｇが行なわれ、有効なＰＫＩか否かの質問ｈが出される。有効である場合、シングルサインオン用情報設定ｉを行なう。

以上のステップが完了することにより、表示画面部１１は、再び初期画面の状態ｊになり、各種業務システムｋにおける作業を行なうことができる。

なお、上記ＰＫＩ方式認証ｆの段階で、ＰＫＩ方式認証でない場合には、トークン方式認証か否かの質問ｑがある。トークン方式認証である場合には、トークン方式認証の呼び出しがあり、有効なトークンとＰＩＮかの質問がある。

ｙｅｓである場合には、シングルサインオン用情報設定ｉを行なう。

また、トークン方式認証か否かの質問ｑの際に、ｎｏである場合には、その他の方式の認証呼び出しｏがある。認証成功かの質問ｐに対してｙｅｓである場合には、シングルサインオン用情報設定ｉを行なう。

以上の有効なトークンとＰＩＮかの質問ｎがｙｅｓの場合およびその他の方式の認証成功かの質問ｐがｙｅｓの場合とも、上記ＰＫＩ方式認証ｆの場合と同様に、シングルサインオン用情報設定ｉを行なうことができる。

したがって、表示画面部１１の画面は、再び初期画面の状態ｊになり、各種業務システムｋ１〜ｋｎに接続させ、任意の作業を行なうことができる。

本発明が採用する個別二段階認証方法によれば、利用者は、端末の表示画面部１１に表示される初期画面に対して、一段階目認証部１２へＩＤおよびパスワードを入力するステップと、利用者毎に特定の認証手法を任意に選択できる利用者別二段階目認証部１３へ入力するステップと、複数の業務システムｋ１〜ｋｎに接続可能なシングルサインオン情報設定部１４にシングルサインオン情報を設定入力するステップと、を順次踏むことによる複数方式認証により、利用者別の認証を可能にする。

また、本発明が採用する個別二段階認証システムによれば、個別二段階認証システム１０は、端末の表示画面部１１と、表示画面部１１の初期画面へＩＤおよびパスワードが入力されることにより、前記ＩＤおよびパスワードを認証する一段階目認証部１２と、一段階目認証部１２により認証後において、利用者別に二段階目の認証手法を選択可能に設けられる利用者別二段階目認証部１３と、複数の業務システムに接続できるようにシングルサインオン情報の設定入力が可能に設けられるシングルサインオン情報設定部１４を備えることによって、各認証部における複数方式認証により、利用者別の認証を可能にする。

したがって、本発明の個別二段階認証方法およびそのシステムによれば、複数手段を用いた二段階の認証により、従来の方式よりも格段に高い安全性を提供し、本方式を用いる情報システム全体の安全度を高めることができる。

また、二段階目の認証方式は、複数の選択・拡張が可能であるため、ニーズに応じて用意に拡張することができる。

更には、シングルサインオンの実現により、複数の業務システム(ｗｅｂアプリケーション)に提供可能な形式で認証情報の伝達が可能であるため、安全性の高い二段階認証を複数の業務システムにおいて共通で利用可能であり、かつ利用者は一度の認証で複数システムが利用可能となる。

本発明の個別二段階認証システムの全体構成における作業フローを示すブロック図。 本発明の個別二段階認証システムにおける二段階目認証機能を説明するブロック図。 本発明の個別二段階認証システムの作用を説明するためのフロー図。 従来の二段階認証システムにおける作用を説明するためのフロー図。

符号の説明

１０ 個別二段階認証システム
１１ 表示画面部
１２ 一段階目認証部
１３ 利用者別二段階目認証部
１３ａ 利用者別認証方式判別部
１３ｂ 利用者別二段階目認証呼び出し／判定部
１３ｃ ＰＫＩ方式認証処理部
１３ｄ トークン方式認証処理部
１３ｅ その他方式認証処理部
１４ シングルサインオン情報設定部
１５ エラー処理部
ｋ１〜ｋｎ 業務システム

Claims (5)

1. 端末の表示画面部に表示される初期画面に対して、一段階目認証部へＩＤおよびパスワードを入力させるステップと、
   利用者毎に特定の認証手法を任意に選択できる利用者別二段階目認証部へ入力させるステップと、
   複数の業務システムに接続可能なシングルサインオン情報設定部にシングルサインオン情報を設定入力させるステップと、
   を順次踏むことによる複数方式認証により利用者別の認証を可能にしたことを特徴とする個別二段階認証方法。
2. 端末の表示画面部に表示される初期画面に対して、一段階目認証部へＩＤおよびパスワードを入力させるステップと、
   利用者毎に特定の認証手法を任意に選択あるいは選択しないを選定し利用者別二段階認証部へ入力させるステップと、
   前記特定の認証手法を任意に選択する場合において、複数の業務システムに接続可能なシングルサインオン情報設定部にシングルサインオン情報を設定入力するステップと、
   を具備する個別二段階認証方法。
3. 端末の表示画面部と、
   前記表示画面部の初期画面へＩＤおよびパスワードが入力されることにより、前記ＩＤおよびパスワードを認証する一段階目認証部と、
   前記一段階目認証部により認証後において、利用者別に二段階目の認証手法を選択可能に設けられる利用者別二段階目認証部と、
   複数の業務システムに接続できるようにシングルサインオン情報の設定入力が可能に設けられるシングルサインオン情報設定部と、
   を具備し、
   前記各認証部における複数方式認証により利用者別の認証を可能にしたことを特徴とする個別二段階認証システム。
4. 前記利用者別二段階目認証部は、利用者個別に定義されている認証方式を判定し、後段の利用者別二段階目認証呼び出し／判定部に認証方式を伝える処理を行う利用者別認証方式判別部と、当該利用者別認証方式判別部から受け取った認証方式に基づいて、二段階目認証の実行並びに結果の判定を行う利用者別二段階目認証呼び出し／判定部を備えたことを特徴とする請求項３記載の個別二段階認証システム。
5. 前記シングルサインオン情報設定部は、トークン方式認証処理部，ＰＫＩ方式認証処理部およびその他方式の認証処理部を備え、いずれかの処理部を選択設定し得るようにしたことを特徴とする請求項３記載の個別二段階認証システム。

Images