JP2010519657A

JP2010519657A - 端末装置に対するサービスを提供するための方法およびシステム

Info

Publication number: JP2010519657A
Application number: JP2009551227A
Authority: JP
Inventors: メラーヴォルフ−ディートリヒ; シャンムガムムルガラジ; チョフェニヒハンネス
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-03-16
Filing date: 2008-03-03
Publication date: 2010-06-03
Anticipated expiration: 2028-03-03
Also published as: US9444814B2; CN101647254A; DE502008002144D1; US20110083169A1; WO2008113674A1; CN101647254B; EP2122986B1; EP2122986A1; DE102007012749A1; ATE493824T1; JP4928615B2

Abstract

本発明は、それぞれ１つのＴＰＭモジュール（５）を有する端末装置（４）に対してサービスを提供するための方法に関する。この場合、前記端末装置（４）のＴＰＭモジュール（５）は、設定可能なID証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を、サーバー（３）のサービスへのアクセスのために該サーバー（３）に送信する。

Description

従来のネットワークでは、ユーザーはＩＤ証明いわゆるクレデンシャル（Credential）として、例えばログインネームまたはパスワードを必要としていた。これは、サーバーに対して認証させ、サーバーのサービスへのアクセスを取得するためであった。クレデンシャルは、端末ユーザーのＩＤ表明を確認するための証明手段であり、したがって、クレデンシャルは認証特性ないし権限証明である。しかし従来のネットワーク、例えばインターネットのようなネットワークでは、サービスへのアクセスの際にトランスペアレンスがなかった。ユーザーが同じウェブドメインではない種々のウェブサイトへのアクセスを望んでおり、サービス品質保証契約ＳＬＡ（Service Level Agreement）が、異なるサービス供給者の間で存在するとしても、前記ユーザーはどのウェブサイトに対しても再度認証を受けなければならなかった。これに関しては、従来のブラウザが証明情報データないしクレデンシャルを、目下のウェブサイトドメインではないほかのウェブサイトへ伝送することができないことがその根拠である。ユーザーにとっては、ドメインを変更する場合に、その都度ＩＤ証明、例えば自身のログインネームまたはパスワードを入力することは、煩雑である。

いわゆるシングルサインオン（ＳＳＯ（Single Sign-on））ないしはシングルログオンでは、ユーザーは一回限りの認証後に、権限を与えられている全てのコンピュータおよびサービスにアクセスすることができるため、該ユーザーはその都度新たにログインする必要がない。

従来のポータルでは、例えばログインしたユーザーのＩＤは、ユーザーから気付かれずにポータルを構成するページに引き継がれていた。シングルサインオンＳＳＯでは、端末ユーザーは認証方法、例えばパスワード入力による認証方法を用いて１度のみ識別される。引き続いて、ＳＳＯメカニズムはユーザーを認証する役割を引き継ぐ。複数のポータルの場合でも、ユーザーは初回にポータルにおいて一回限りログインすればよく、そこで認証され、一応正当と認められる。それに加えて、ユーザーは、ポータル内部に組み込まれたアプリケーションに対して自身を一義的に証明する特性を獲得する。この特性はＩＤ証明を意味する。ウェブ技術に基づくポータルでは、このことは例えばいわゆるクッキーの形態で行われる。１つのポータルにおいては、ユーザーはこの方法で、もはや個別にログインする必要のない複数のウェブアプリケーションへのアクセスを獲得する。

ただし、シングルサインオンは、ユーザーがウェブドメインの外部を進み、つまり、ネットサーフィンをする場合には、クッキーによっても実行できない。

それ故に本発明の課題は、端末装置に対するサービスを提供するために、ユーザーがただ１度のみのログインにもかかわらず、種々のドメインを超えて進んでいくことができる方法およびシステムを提供することである。

前記課題は、本発明によれば請求項１に記載の特徴部分を備えた方法によって解決される。

本発明は、それぞれ１つのＴＰＭ（Trusted Platform Module）モジュールを有する端末装置に対してサービスを提供するための方法を講じることである。この端末装置のＴＰＭモジュールは、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション（ＩＤ-Assertion））を伴ったサービス要求（サービスリクエスト（Service Request））を、サーバーのサービスへのアクセスのために該サーバーに送信する。

本発明による方法の１つの実施形態では、サーバーはサービス要求（サービスリクエスト）を受け取った後にＩＤ証明（クレデンシャル）を伴ったＩＤ表明（ＩＤアサーション）を確認し、その署名を検証する。

本発明による方法の１つの実施形態では、ＩＤ証明（クレデンシャル）はネットワークプロバイダ（通信事業者（Network Operator））によって端末装置のＴＰＭモジュールにおいて設定される。

本発明による方法の１つの実施形態では、ネットワークプロバイダは端末装置のＴＰＭモジュールにおいて、異なるサーバーの種々のサービスに属するＩＤ証明（クレデンシャル）を含むアクセスコントロールリストＡＣＬ（Access Control List）を設定する。

本発明による方法の１つの実施形態では、ＩＤ証明（クレデンシャル）はネットワークプロバイダの証明書によって形成される。

本発明による方法の１つの実施形態では、ＩＤ表明（ＩＤアサーション）はユーザＩＤ情報データとネットワークプロバイダの証明書とタイムスタンプとサービス専用のアクセス制限機能とを有している。

本発明による方法の１つの実施形態では、端末装置は定期的にサービスユーザメッセージをネットワークプロバイダへ送信する。

本発明による方法の１つの実施形態では、ＩＤ証明（クレデンシャル）は予め定められた期間（ライフタイム（Life Time））後に失効する。

本発明による方法の１つの実施形態では、ＩＤ証明（クレデンシャル）はセキュリティ表明マークアップ言語ＳＡＭＬ（Security Assertion Mark-up Language）のＩＤ証明によって形成される。

本発明による方法の１つの実施形態では、ＴＰＭモジュールは個々のサーバーで一回限りログインする。

また、本発明は、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を、サーバーのサービスへのアクセスのために該サーバーに送信するＴＰＭモジュールを有する端末装置を提供することである。

本発明による端末装置の１つの実施形態では、この端末装置は付加的に１つのＳＳＯ（シングルサインオン）モジュールを有している。

また、本発明は、それぞれ１つのＴＰＭモジュールを有する端末装置に対してサービスを提供するためのサーバーを創り出すことである。このサーバーは、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を受け取った後に、個々の端末装置に対するサービスを提供するためのＩＤ証明（クレデンシャル）を確認し、その署名を検証する。

さらに、本発明は、それぞれ１つのＴＰＭモジュールを有する端末装置に対してサービスを提供するためのシステムを創り出すことである。ネットワークプロバイダは、個々の端末装置のＴＰＭモジュールにおいて少なくとも１つのＩＤ証明（クレデンシャル）を設定しており、この端末装置は、その都度設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったそれぞれ１つのサービス要求（サービスリクエスト）を、サーバーのサービスへのアクセスのために該サーバーに送信する。

以下では、本発明の本質をなす特徴を説明するために、添付の図面を参照しながら、端末装置に対するサービスを提供するための本発明による方法および本発明によるシステムの有利な実施形態について説明する。

端末装置に対するサービスを提供するための本発明によるシステムの１つの可能な実施形態を示した図端末装置に対するサービスを提供するための本発明によるシステムの１つの可能な実施形態でのサービスへのアクセスを示した図端末装置に対するサービスを提供するための本発明によるシステムの１つの可能な実施形態でのサービスへのアクセスを示した図

図１からわかるように、端末装置に対するサービスを提供するための本発明によるシステム１は、少なくとも１つのネットワークプロバイダ２（通信事業者ＮＯ）、例えばモバイルネットワークプロバイダ（移動体通信事業者ＭＮＯ）を有しており、このネットワークプロバイダ２は、サービス供給者ないしサービスプロバイダ３とのビジネス関係ないしはサービス品質保証契約ＳＬＡを有している。さらに、システム１は端末装置４、殊に移動型端末装置４を複数有している。この端末装置４は、それぞれ１つのＴＰＭモジュール５を有している。例えばＴＰＭモジュール５は、移動型端末装置４に取り付けられているチップのことである。このＴＰＭモジュール５は一義的な識別子を含んでおり、移動型端末装置４を明確に識別するために用いられる。図１からわかるように、本発明によるシステム１においてＩＤ供給者ないしＩＤプロバイダＩＤＰ（Identity Providers）の機能は、ＩＤ認可者すなわちネットワークプロバイダ２とＩＤ表明（ＩＤアサーション）を生成するためのユニットとの間で分けられており、このユニットは例えば、端末装置４のＴＰＭモジュール５内部のシングルサインオンモジュールＳＳＯによって成される。

手始めにＩＤ認可者ないしネットワークプロバイダ２によって、ＴＰＭモジュール５内部のＳＳＯモジュールの確認が行われており、このネットワークプロバイダ２は引き続き設定フェーズにおいてＩＤ証明（クレデンシャル）を生成し、安全なデータ接続を介して移動型端末装置４に伝送する。このＩＤ証明（クレデンシャル）は例えば、証明書（デリゲート証明書（Delegation Certificate））によって生成され、ネットワークプロバイダ２からＴＰＭモジュール５への伝送後にそこに記憶される。１つの実施形態では、証明書は所定の期間ないしライフタイム後に失効する。１つの可能な実施形態では、ネットワークプロバイダ２はアクセスコントロールリストＡＣＬを生成し、端末装置４を設定するためにアクセスコントロールリストＡＣＬを個々のＴＰＭモジュール５に伝送する。このアクセスコントロールリストＡＣＬは、異なるサーバー３の種々のサービスに属するＩＤ証明（クレデンシャル）を含んでおり、所定のアクセス権限とユーザーないし端末装置４のリストとの間の関係を形成している。この伝送されたアクセスコントロールリストＡＣＬによって、端末装置４は個々のサーバー３のサービスへのその後のアクセスが可能となる。どのようなサービスないしサーバーがどのようなＩＤを必要とし、そしてどのようなトークンないしＩＤ証明をどのような状況下で伝送すべきか、ということをアクセスコントロールリストＡＣＬが通知する。

図２には、設定されたＴＰＭモジュール５を備えた端末装置４によるサービスプロバイダのサーバー３のサービスへのアクセスが示されている。図２からわかるように、サーバー３のサービスへのアクセスのために、端末装置４と確認ユニットないしネットワークプロバイダ２との間のオンライン接続が必要とされない。ネットワークプロバイダ２の証明書は端末装置４においてインストールされており、アクセスコントロールリストＡＣＬはそこで設定されている。ＴＰＭモジュール５は、所望されるサービスの要求に際して、ＴＰＭモジュール５において含まれたアクセスコントロールリストＡＣＬからの情報を読み取るシングルサインオンユニットＳＳＯを有している。このＴＰＭモジュール５は、ＩＤ表明（ＩＤアサーション）をサービス要求（サービスリクエスト）に挿入し、アクセスコントロールリストＡＣＬから読み出されたＩＤ証明（クレデンシャル）によりこのＩＤ表明（ＩＤアサーション）を署名する。

１つの可能な実施形態では、ＩＤ表明（ＩＤアサーション）は、ユーザＩＤ情報データとネットワークプロバイダ２の証明書とタイムスタンプとサービス専用のアクセス制限機能とを有しており、例えばＳＡＭＬ−ＩＤ表明によって形成される。このセキュリティ表明マークアップ言語ＳＡＭＬはＩＤ情報を伝送するためのＸＭＬベースの言語である。サービスプロバイダＳＰのサーバー３は、ＩＤ表明（ＩＤアサーション）を含むサービス要求（サービスリクエスト）を受け取る。まず、サーバー３はＩＤ証明、例えば証明書を生成し、デジタル署名を検証する。これはサーバー３が、移動型端末装置４によるサービスへのアクセスが許可されているかどうかを決定するためである。引き続きサーバー３は、サービスへのアクセスが許可されるか否かを移動型端末装置４に通知するメッセージを伝送する。

１つの可能な実施形態では、移動型端末装置４が、周期的な時間間隔でサービスユーザメッセージないしレポートをネットワークプロバイダ２へ伝送する。このレポートは例えば、１日当たりないし１週当たりに形成されるＩＤ表明の数に関する付加的な情報と、ＴＰＭモジュール５からＩＤ供給者ないしネットワークプロバイダ２向けの付加的な情報とを、統計評価および決算の目的で含んでいる。このＴＰＭモジュール５は、報告書ないしレポートが改ざん可能ではないことを保証する。

例えばクレジット超過または移動型端末装置４の盗難報告に基づいて、ユーザーないし端末装置４が、ネットワークプロバイダ２の視点として、もはやサービスへのアクセスを持つべきではない場合にはただちに、相応のＩＤ証明（クレデンシャル）が個々のサービスないし全てのサービスに対して取り消されるか阻止される。１つの可能な実施形態では、ネットワークプロバイダ２は、取り消されたＩＤ証明が格納されているいわゆる失効リスト（Revocation List）を処理する。対話型プロセスでは、ＴＰＭモジュール５内部のＩＤ証明を阻止するために取り消されなければならないＩＤ証明が、ネットワークプロバイダ２から移動型端末装置４に伝送される。

図３には、本発明によるシステム１におけるＴＰＭベースのシングルサインオン機能ＳＳＯの１つの可能なシナリオが示されている。図３に図示の実施形態では、サービス供給者ないしサービスプロバイダＳＰのサーバー３のサービスへのアクセスを伴うＨＴＴＰデータ転送プロトコルまたはＳＩＰデータ転送プロトコルが使用される。移動型端末装置４においては、予め設定された連携情報データが格納されている。この"連携"とは、ある特定の独自性を持ち合わせる複数の参加者が企業の垣根を超えて結び付けられる組織であると理解されたい。この場合、ＩＤデータは安全な手段でセキュリティドメインを超えて取り交わされる。移動型端末装置４上で動作するアプリケーションないしアプリケーションプログラムが、サーバー３のサービスに対するGet要求またはPost要求を生成する場合に、ＴＰＭモジュール５内部のＳＳＯモジュールが、ネットワークプロバイダ２によりインストールされるＩＤ証明（クレデンシャル）を用いてＩＤ表明（ＩＤアサーション）をトランスペアレントに挿入するのは、相応するエントリが個々のトークンのタイプに関する情報またはサービスに関するほかの情報を内容とし、ＳＳＯモジュールのアクセスコントロールリストＡＣＬにおいて存在する限りである。このエントリがアクセスコントロールリストＡＣＬにおいて存在しなければ、ＴＰＭモジュール５内部のＳＳＯモジュールは、サービス要求（ＨＴＴＰ／ＧＥＴ）をサービスプロバイダＳＰのサーバー３に送信する。このサーバー３は、別のメッセージでＴＰＭモジュール５内部のＳＳＯモジュールに次のことを通知する。すなわち、ユーザーないし端末装置４が未だ認証されておらず、サーバー３がＩＤ証明、例えばＳＡＭＬトークンを予期しているということを通知するのである。ＴＰＭモジュール５がサーバー３からメッセージを受け取った場合にはただちに、ＩＤ表明（ＩＤアサーション）を生成し、ＩＤ証明（クレデンシャル）によって署名されたＩＤ表明（ＩＤアサーション）をＩＤ証明、例えば証明書と共にサービスプロバイダＳＰのサーバー３へ送信する。このサーバー３は、このＩＤ表明（ＩＤアサーション）に基づいて認証を実施する。

さらに、エントリがネットワークプロバイダ２によってアクセスコントロールリストＡＣＬに生成され、ＳＳＯモジュールにおいて後のサービス要求（サービスリクエスト）のために格納される。

認証付与側ないしネットワークプロバイダ２が、ＴＰＭユニット内部のＳＳＯモジュールを認証ないし初期化する場合にはただちに、ＴＰＭモジュール５は信頼に値すると判断することができ、必要不可欠なＩＤ証明（クレデンシャル）がＩＤ表明に署名するために備えられる。

代替的な実施形態では、１ユーザセッション（User Session）ごとに認証が行われる。このことは一方では、認証に基づいてネットワークプロバイダ２またはほかのネットワークユニットに対して行うことができる。この場合の結果は移動型端末装置４のＳＳＯモジュールにおいて、例えば加入者識別モジュールｘＳＩＭとネットワークプロバイダの間の認証または暗号鍵配送方式ＡＫＡを用いて保存される。代替的にいくつかのＩＤ証明のうち１つ、例えば１つのユーザーネームまたはパスワードに基づいて、ＴＰＭユニットのＳＳＯモジュール内部で確認することができ、このＩＤ証明（クレデンシャル）はデジタル方式で保存され、ローカルでチェックできる。

本発明によるシステム１の１つの可能な実施形態では、ＩＤ認可者ないしネットワークプロバイダ２は、設定フェーズにおいてインターフェースに関する連携ロジックを次のように設定している。すなわち、全ての関連した情報、例えば端末ユーザーＩＤ、サービスＩＤおよびＩＤ証明つまりクレデンシャルの形式のような情報が設定されるようにである。設定されたこれらの情報を用いて、ＳＳＯモジュールは自身の役割を果たすことができる。というのは、この役割が、ＩＤをサービス要求において設定情報または連携情報に従ってマッピングすることであるためである。このような情報のエントリがＳＳＯモジュールに存在しないならば、ＩＤ表明（ＩＤアサーション）ないしトークンがサービス要求（サービスリクエスト）に挿入されるのではなく、相応のサービス要求（サービスリクエスト）が送信される。このことが該当する可能性があるのは、例えばユーザーがＳＳＯモジュールにおける加入エントリを持たないシングルサインオンＳＳＯを使用したい場合である。このような場合には、サーバーは、該サーバーが予期しているトークン情報を伴って受け取るサービス要求に対する４０１返信メールまたは３０２返信メールを送信する。ＴＰＭモジュール５はサーバー３の応答を保存し、処理する。引き続きこのＴＰＭモジュール５は、必要不可欠なトークンを挿入し、相応のサービスのためにサービス要求を新たに送信する。さらにＴＰＭモジュール５は、ＳＳＯモジュールにおいてサービス並びにトークンタイプ等を後のサービス要求のために通知する相応のエントリを指示する。

１つの実施形態では、ＳＳＯモジュールは設定フェーズにおいて、連携ロジックのリストを有し、必要不可欠な連携情報をそれぞれのユーザーに随意に使用させるように設定される。これに関して、ＴＰＭモジュールまたはＳＳＯモジュールは、実行中のログインユーザプロセスおよび該ユーザプロセスの個々のサービス要求を把握する。ユーザーがネットワークプロバイダ２を変更するか、ネットワークプロバイダないしＩＤ認可者がユーザーの側からの容認できないアクションを突きとめたならば、存在している連携情報を取り消すことができる。この取り消しないし阻止は、個々のＴＰＭモジュール５の協働がなくとも中央で行うことができる。ユーザーが異なる複数のアカウントをネットワークプロバイダ２のもとで有しているならば、連携ロジックには、ネットワークプロバイダ２にそのときログインされたアカウントが付随される。この連携ロジックは、移動型端末装置４によって管理される。権限の付与されたアプリケーションは連携情報へのアクセスを有している。どのネットワークプロバイダ２も、連携ロジックを加入フェーズの間、新しいサービスプロバイダＳＰにおいて起動するために端末装置４の設定情報へのアクセスを有している。ＴＰＭアプリケーションまたはＳＳＯアプリケーションも同様に、ＩＤ証明つまりクレデンシャルを生成するために連携ロジックへのアクセスを有している。

本発明によるシステム１は、利点としてＩＤ表明（ＩＤアサーション）の伝送が分散型で行われるということがある。このことは、ユーザーの認証が、中央のＩＤ供給者ないしＩＤプロバイダＩＤＰから端末装置４に権限委譲されるか、該端末装置４に送出されることによって行われる。このような分散型のアプローチに基づいて、ネットワークプロバイダ２ないしＩＤ供給者はリソースを広範囲にわたり節約することができる。このやり方で、ネットワークプロバイダの運営コストが著しく低減する。

本発明によるシステム１のさらなる利点は、移動型端末装置４が、サービス供給者ないしサービスプロバイダＳＰのサービスへのアクセスのために、ネットワークプロバイダ２とのオンライン接続を必要としないことにある。

Claims

それぞれ１つのＴＰＭモジュール（５）を有する端末装置（４）に対してサービスを提供するための方法において、
前記端末装置（４）のＴＰＭモジュール（５）は、設定可能なＩＤ証明（クレデンシャル）により署名されるＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を、サーバー（３）のサービスへのアクセスのために該サーバー（３）に送信することを特徴とする方法。
前記サーバー（３）は、ＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を受け取った後にＩＤ証明（クレデンシャル）を確認し、その署名を検証する、請求項１記載の方法。
ＩＤ証明（クレデンシャル）は、ネットワークプロバイダ（２）によって前記端末装置（４）のＴＰＭモジュール（５）において設定される、請求項１記載の方法。
前記ネットワークプロバイダ（２）は、前記端末装置（４）のＴＰＭモジュール（５）において、異なるサーバー（３）の種々のサービスに属するＩＤ証明（クレデンシャル）を含むアクセスコントロールリスト（ＡＣＬ）を設定する、請求項１記載の方法。
ＩＤ証明（クレデンシャル）は、前記ネットワークプロバイダ（２）の証明書によって形成される、請求項１記載の方法。
ＩＤ表明（ＩＤアサーション）は、ユーザＩＤ情報データとネットワークプロバイダの証明書とタイムスタンプとサービス専用のアクセス制限機能とを有している、請求項１記載の方法。
前記端末装置（４）は、定期的にサービスユーザメッセージ（レポート）を前記ネットワークプロバイダ（２）へ送信する、請求項１記載の方法。
ＩＤ証明（クレデンシャル）は、予め定められた期間（ライフタイム）後に失効する、請求項１記載の方法。
ＩＤ表明（ＩＤアサーション）は、セキュリティ表明マークアップ言語（ＳＡＭＬ）のＩＤ表明によって形成される、請求項１記載の方法。
前記ＴＰＭモジュール（５）は、個々の前記サーバー（３）で一回限りログインする、請求項１記載の方法。
ＴＰＭモジュール（５）を有する端末装置（４）において、
該ＴＰＭモジュール（５）は、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を、サーバー（３）のサービスへのアクセスのために該サーバー（３）に送信することを特徴とする端末装置。
前記端末装置（４）は、ＳＳＯ（シングルサインオン）モジュールを有している、請求項１１記載の端末装置。
それぞれ１つのＴＰＭモジュール（５）を有する端末装置（４）に対してサービスを提供するためのサーバー（３）において、
該サーバー（３）は、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を受け取った後に、個々の前記端末装置（４）に対するサービスを提供するためのＩＤ証明（クレデンシャル）を確認し、その署名を検証することを特徴とするサーバー。
それぞれ１つのＴＰＭモジュール（５）を有する端末装置（４）に対してサービスを提供するためのシステム（１）において、
ネットワークプロバイダ（２）は、前記端末装置（４）のＴＰＭモジュール（５）においてＩＤ証明（クレデンシャル）を設定し、
前記端末装置（４）は、設定可能なＩＤ証明（クレデンシャル）により署名されているＩＤ表明（ＩＤアサーション）を伴ったサービス要求（サービスリクエスト）を、サービスへのアクセスのためにサーバー（３）に送信することを特徴とするシステム。