JP2011199596A

JP2011199596A - 通信認証方法

Info

Publication number: JP2011199596A
Application number: JP2010064142A
Authority: JP
Inventors: Hisanori Nakajima; 尚典中島
Original assignee: ADS CO Ltd
Current assignee: ADS CO Ltd
Priority date: 2010-03-19
Filing date: 2010-03-19
Publication date: 2011-10-06

Abstract

【課題】認証情報が仮に漏洩しても不正アクセスが不可能な通信認証方法を提供する。
【解決手段】端末１、２と管理サーバを含むネットワークにおいて、端末１が端末２にデータ送受信のために接続する際に、手順１で端末１は接続認証要求を管理サーバに送信し、手順２で管理サーバは接続認証要求の正当性を検査し正当性が確認された場合、認証情報を付して接続認証応答を端末１に送信し、手順３で端末１は認証情報を付して接続要求を端末２に送信し、手順４で端末２は認証情報を付して端末１の要求の正当性確認要求を管理サーバに送信し、手順５で管理サーバは要求の正当性を検査し正当である場合には接続要求正当性確認応答を端末２に送信し、手順６で端末２は接続要求許可応答を端末１に送信し、手順７で端末１と端末２が相互通信し、管理サーバは手順２で複数桁の乱数を認証情報としてその度に生成し手順５の終了直前に消去する。

【選択図】図２

Description

本発明は通信認証方法に係り、特に、ネットワークに接続された端末（コンピュータ）が他の端末（コンピュータ）とネットワークを介してデータを送受信する際に、データの送信を要求する端末の正当性を効果的かつ極めて安全に認証する通信認証方法に関する。

ネットワーク内の端末間のデータの送受信に関する従来の通信認証方法は、例えば非技術文献１に説明されているＩＥＥＥ８０２．１Ｘ標準に規定されている認証方法のように、ある端末がネットワークに参加する際に、又は通信したい端末に接続要求を出し、ネットワークを管理する端末又は接続を要求された端末から認証情報（通常はユーザー名と付帯するパスワードの組み合わせ）による認証を受け、その後通信経路を開き必要な通信を実施するという手続を経由する。

このように、ＩＥＥＥ８０２．１Ｘ規定の認証方法に限らず従来の通信認証方法では、通信開始直前の段階でのみ認証手続が行なわれ、且つその際に接続を要求した端末に対して与えられる認証情報が固定的であって、一旦与えられた認証情報はある期間内では無条件に有効になり、接続を要求した端末は、与えられた認証情報を用いてログインし、いつでも通信を再開できた。
その結果、認証情報が一旦、故意又は過失により漏洩すると、それを用いたログインによる不正アクセスの可能性の問題があった。

このようなネットワーク上のデータに係る不正アクセスは、そのネットワークが係るシステムによっては、人命ないし物件・金銭の安全に重大な影響を及ぼす。
例えば、このネットワークを列車運行システム上に形成し、中央司令室が個々の列車に接続要求を出してその列車上のリアルタイムデータを得る場合、漏洩した認証情報を第３者が悪用すると、そのようなデータの覗き見、タンパリングや、さらには誤指令通信が可能になり、列車の安全が深刻に脅かされることになる。
この外、宅配などの貨物集配送、ＡＴＭ集金、ＰＯＳ統括においても、程度の差こそあれ同様の問題が考えられる。

「ＩＥＥＥ８０２．１Ｘの全貌」日経ＮＥＴＷＯＲＫ２００４年１２月号ｐ．８２〜ｐ．９５

本発明は、ネットワーク接続上の上記の問題に鑑みてなされたものであって、その目的とするところは、認証情報が仮に漏洩しても、それを用いた不正アクセスが事実上不可能である、堅牢なセキュリティーを確保した通信認証方法を提供する事にある。

上記の課題を解決するためになされた本発明による通信認証方法は、
一つ又は複数の第１種端末と、一つ又は複数の第２種端末と、一つの管理サーバを含むネットワークにおいて、前記第１種端末の一つが前記第２種端末の一つに対してデータ送受信のための接続を行なう際に、
第１ステップにおいて前記第１種端末は接続認証要求を前記管理サーバに送信し、第２ステップにおいて前記管理サーバは前記接続認証要求の正当性を検査し、正当性が確認された場合には認証情報を付して接続認証応答を前記第１種端末に送信し、第３ステップにおいて前記第１種端末は前記認証情報を付して接続要求を前記第２種端末に送信し、第４ステップにおいて前記第２種端末は受信した前記認証情報を付して前記第１種端末からの接続要求の正当性確認要求を前記管理サーバに送信し、第５ステップにおいて前記管理サーバは前記接続要求の正当性を検査した後に正当である場合には接続要求正当性確認応答を前記第２種端末に送信し、第６ステップにおいて前記第２種端末は接続要求許可応答を前記第１種端末に送信し、第７ステップにおいて前記第１種端末と前記第２種端末が相互に送受信する通信認証方法であって、
前記認証情報は前記管理サーバが第２ステップにおいてその度に生成した複数桁の乱数であり、前記管理サーバは前記第５ステップの終了直前に前記認証情報を消去することを特徴とする。

好ましくは、前記ネットワークは、前記第１種端末、前記第２種端末、及び前記管理サーバのうちの、全部がインターネット経由で接続可能になっている場合、一部がインターネット経由、その他の一部がローカルエリアネットワーク経由で接続可能になっている場合、及び、全部がローカルエリアネットワーク経由で接続可能になっている場合、の何れかであることを特徴とする。
好ましくは、前記第１種端末及び前記第２種端末は、各々の固有情報を予め前記管理サーバに登録しておき、各々、前記第１ステップにおける前記接続認証要求及び前記第４ステップにおける前記接続要求正当性確認要求を、前記固有情報を付して前記管理サーバに送信し、前記管理サーバは前記登録した固有情報を参照して前記要求の正当性を検査することを特徴とする。
好ましくは、前記ネットワークが鉄道運行システムに係るものであり、前記第１種端末が鉄道中央指令室に置かれた中央指令コンピュータであり、前記第２種端末が列車の運転台に置かれた移動可能な無線端末であり、前記データが、前記列車に搭載されたビデオカメラによる蓄積又はライブ映像を含むことを特徴とする。
好ましくは、前記データが、前記列車に搭載されたＧＰＳによる前記列車の位置情報を含み、前記列車の位置が前記第１種端末の担当領域の内にある場合にのみ、前記第２種端末は、前記認証情報を有効にすることを特徴とする。

本発明によれば、ネットワーク上で第１種端末が別の第２端末との間の通信を意図して接続を要求すると、実際の送受信通信のための接続に先立ち、別の独立した端末である管理サーバが、認証情報となる乱数をその度に生成し、しかも生成された認証情報は、管理サーバが接続要求の正当性を確認した直後に消去してしまうので、認証情報が仮に漏洩しても、それを用いた不正アクセスが事実上不可能である、堅牢なセキュリティーを確保した通信認証方法を提供できる。

本発明第１の実施形態の通信認証方法に係る認証手順を示す図である。本発明第１の実施形態の通信認証方法による認証手順のフローチャート図である。

［第１の実施形態］
以下に添付図面を参照しながら、本発明の第１の実施形態について詳細に説明する。
図１は、本発明第１の実施形態の通信認証方法に係る認証手順を示す図である。

図１に示すように、本願の対象とするネットワーク１００上には、接続要求元となる第１種端末１のグループ１０と、第１種端末１の接続要求先となる第２種端末２のグループ２０と、両グループの端末間の通信を管理する管理サーバ３が存在する。
グループ１０内の第１種端末１の数と、グループ２０内の第２種端末２の数は、一般に複数であるが、単数であってもよい。

特定の第１種端末が特定の第２種端末に対して通信を意図する場合、認証手順として一般に次の第１〜第７ステップＳ１〜Ｓ７を経る。
Ｓ１接続要求元が管理サーバに接続の認証を要求、
Ｓ２管理サーバが接続要求元に接続の認証を応答、
Ｓ３接続要求元が接続要求先に接続を要求、
Ｓ４接続要求先が管理サーバに接続要求の正当性の確認を要求、
Ｓ５管理サーバが接続要求先に接続要求の正当性が確認できたことを応答、
Ｓ６接続要求先が接続要求元に接続を許可すると応答、
Ｓ７接続要求元と接続要求先が相互間の送受信を開始。

第１種端末、第２種端末、及び管理サーバのうちの、全部がインターネット経由で接続可能になっていてもよく、一部がインターネット経由、その他の一部がローカルエリアネットワーク経由で接続可能になっていてもよく、又は、全部がローカルエリアネットワーク経由で接続可能になっていてもよい。

図２は、本発明第１の実施形態の通信認証方法による認証手順のフローチャート図である。
予め、全ての第１種、第２種端末はその固有情報を管理サーバに登録しておく（Ｔ０１、Ｔ０２）。
その上で実際に、ある特定の第１種端末１が、ある特定の第２種端末２に対して通信を意図する場合、即ち、特定の第１、第２種端末が各々、接続要求元１、接続要求先２となる場合を説明する。

ステップＳ１においては、接続要求元１は、自身と接続要求先２の固有情報を添付した（Ｔ１１）後、管理サーバ３に接続認証を要求する。
ステップＳ２においては、管理サーバは、添付された接続要求元と接続要求先の固有情報を登録された固有情報と比較して接続要求元と接続要求先の正当性を検査し、接続要求の正当性が確認された場合（Ｔ２１）には、その度に複数桁の乱数を生成・格納して認証情報とした（Ｔ２２）後、この認証情報を添付して（Ｔ２３）、接続要求元に接続認証を応答する。

ステップＳ３においては、接続要求元は、得られた認証情報を添付した（Ｔ３１）後、接続要求先に接続を要求する。
ステップＳ４においては、接続要求先は、得られた認証情報を添付した（Ｔ４１）後、管理サーバに接続要求の正当性の確認を要求する。
ステップＳ５においては、管理サーバは、接続要求先の正当性を確認し（Ｔ５１）、添付された認証情報を格納した認証情報と照合の上確認し（Ｔ５２）、接続要求の正当性確認応答を準備し（Ｔ５３）、認証情報を消去した（Ｔ５４）後、接続要求先に接続要求の正当性を確認できたことを応答する。

ステップＳ６においては、接続要求先は、接続要求元に接続を許可すると応答する。
ステップＳ７においては、接続要求元と接続要求先が相互間の送受信を開始し、接続要求先は接続要求元が送信した指示に応じて例えば接続要求先が有するデータを接続要求元に送信する。

以上説明したように、認証情報となる乱数は、接続要求の度に新規に生成され（Ｔ２２）、接続要求の正当性が確認されると同時に消去される（Ｔ５４）。
従って、仮に認証情報が漏洩した場合でも、第３者がこれを利用して接続要求先を経由して管理サーバに接続要求正当性確認を要求しても、認証情報が消去されているので、管理サーバはその要求を拒絶でき、第３者は接続要求先との送受信が可能にならない。
［実施例１］

上記［第１の実施形態］において説明した通信認証方法は、多様な分野に適用可能であるが、本実施例では、ネットワークが鉄道運行システムに係るものを説明する。
本実施例では、第１種端末は、鉄道運行システムの鉄道中央指令室（単数又は複数の場合がある）の各々に置かれた中央指令コンピュータであり、第２種端末は、運行（営業運転、回送、車庫内停車を含む）中の各列車の運転台に置かれた移動可能な無線端末であり、第１種端末が要求するデータが、列車の運転席などの定位置に搭載されたビデオカメラによる蓄積又はライブ映像である。

鉄道中央司令室と各鉄道との交信は、従来、鉄道無線などに頼っていたが、特に事故、災害の場合は、音声による会話だけでは、状況把握、対応処理が困難又は非能率であるので、中央司令室が鉄道の乗務員と同じ映像情報をリアルタイムで見る必要があった。
ＷｉＭＡＸ（「ＷＩＭＡＸ」はワイマックス・フォーラムの登録商標です）に代表される最近の広帯域無線は、このような場合に必要な広帯域映像情報を列車に設けた無線端末から中央指令室にリアルタイム送信することを可能にした。

ビデオカメラによる映像は、ビデオカメラ自身又は無線端末に列車の運転中はエンドレスに蓄積しておき、中央司令室の要求に応じて事故などの際に遡って送信できる。
また、乗務員が列車内外の任意の箇所をビデオカメラで撮影し、リアルタイムで中央司令室に送信し、中央司令室の指示に従い迅速に応急措置をとることもできる。
また、鉄道橋の下の川の水流・水位状況、沿線の積雪状況などは自然災害に備えた運転計画の変更判断にとり重要であるが、これらも乗務員が随時撮影し、中央司令室に送信できる。
これらのビデオ情報は、さらに事故調査ないし場合によっては司法の場でも活用できる。
このような広帯域映像情報獲得システムは、鉄道網の全世界的な普及、多様化、複雑化に伴い、その安全に不可欠となりつつある。

その場合、深刻な問題となりうるのが、このようなビデオデータを含む中央司令室と列車乗務員の交信チャネルのセキュリティであって、認証情報の漏洩によって、このチャネルのセキュリティが崩れると列車運行の安全の崩壊に直結する。
その点で本願発明の提供する通信認証方法は、第３者の不正アクセスを実質的に完全に防止でき、所望のセキュリティを上記交信チャネルに与えることができるので、今後の鉄道網の安全にとっても不可欠である。

なお、複数の中央司令室の管轄領域に跨って列車が運転される場合、交信中に列車がある管轄領域の圏外に出た場合は、第３者による「乗っ取り」を防ぐため、交信は無条件で一旦切断され、交信を再開するには改めて上記のステップＳ１から実行しなければならない。

なお、本通信認証方法に係るネットワークにおいて、特に第２種端末が上述の列車上の無線端末のように移動性である場合、第２種端末にＧＰＳを導入し、第２種端末の位置情報を上記交信データに含めることも有用である。
また、本発明では、第１種、第２種端末を各々、能動的、受動的としたが、このような列車位置情報を定期的に鉄道中央司令室に送信する場合には、第１種、第２種の機能を逆転できるよう構成にしておけばよい。

以上、実施例１は、本発明の通信認証方法を、鉄道運行システムに係るネットワークに適用した場合であるが、この外、宅配などの貨物集配送、ＡＴＭ集金、ＰＯＳシステムなどにおいても、人名・物件・金銭の安全のため、同様のセキュリティ問題があり、本発明の通信認証方法はそれらの対策としても有効であると考えられる。
即ち、ネットワーク上の端末（コンピュータ）同士が通信接続する際の本発明による通信認証方法は、あらゆる形態のネットワーク接続の通信認証方法として利用する事ができる。

１第１種端末（接続要求元）
２第２種端末（接続要求先）
３管理サーバ
１０第１種端末のグループ
２０第２種端末のグループ
１００ネットワーク

Claims

一つ又は複数の第１種端末と、一つ又は複数の第２種端末と、一つの管理サーバを含むネットワークにおいて、前記第１種端末の一つが前記第２種端末の一つに対してデータ送受信のための接続を行なう際に、
第１ステップにおいて前記第１種端末は接続認証要求を前記管理サーバに送信し、
第２ステップにおいて前記管理サーバは前記接続認証要求の正当性を検査し、正当性が確認された場合には認証情報を付して接続認証応答を前記第１種端末に送信し、
第３ステップにおいて前記第１種端末は前記認証情報を付して接続要求を前記第２種端末に送信し、
第４ステップにおいて前記第２種端末は受信した前記認証情報を付して前記第１種端末からの接続要求の正当性確認要求を前記管理サーバに送信し、
第５ステップにおいて前記管理サーバは前記接続要求の正当性を検査した後に正当である場合には接続要求正当性確認応答を前記第２種端末に送信し、
第６ステップにおいて前記第２種端末は接続要求許可応答を前記第１種端末に送信し、
第７ステップにおいて前記第１種端末と前記第２種端末が相互に送受信する通信認証方法であって、
前記認証情報は前記管理サーバが前記第２ステップにおいてその度に生成した複数桁の乱数であり、前記管理サーバは前記第５ステップの終了直前に前記認証情報を消去することを特徴とする通信認証方法。
前記ネットワークは、前記第１種端末、前記第２種端末、及び前記管理サーバのうちの、全部がインターネット経由で接続可能になっている場合、一部がインターネット経由、その他の一部がローカルエリアネットワーク経由で接続可能になっている場合、及び、全部がローカルエリアネットワーク経由で接続可能になっている場合、の何れかであることを特徴とする請求項１に記載の通信認証方法。
前記第１種端末及び前記第２種端末は、各々の固有情報を予め前記管理サーバに登録しておき、各々、前記第１ステップにおける前記接続認証要求及び前記第４ステップにおける前記接続要求正当性確認要求を、前記固有情報を付して前記管理サーバに送信し、前記管理サーバは前記登録した固有情報を参照して前記要求の正当性を検査することを特徴とする請求項１に記載の通信認証方法。
前記ネットワークが鉄道運行システムに係るものであり、前記第１種端末が鉄道中央指令室に置かれた中央指令コンピュータであり、前記第２種端末が列車の運転台に置かれた移動可能な無線端末であり、前記データが、前記列車に搭載されたビデオカメラによる蓄積又はライブ映像を含むことを特徴とする請求項１に記載の通信認証方法。
前記データが、前記列車に搭載されたＧＰＳによる前記列車の位置情報を含み、前記列車の位置が前記第１種端末の担当領域の内にある場合にのみ、前記第２種端末は、前記認証情報を有効にすることを特徴とする請求項４に記載の通信認証方法。