JP2011242834A - ユーザ認証装置、方法、及びコンピュータプログラム - Google Patents

Abstract

【課題】ユーザＩＤ及びパスワードによるユーザ認証の際に、パスワードの脆弱性に応じたアクセス制限を行うことで、不正アクセスを防止することができる。
【解決手段】所定の情報にアクセスしようとするユーザに対してユーザ認証を行うユーザ認証装置であって、ユーザのユーザＩＤ及びパスワードを含むユーザ情報が格納された認証ＤＢ１１４と、ユーザによって入力されたユーザＩＤ及びパスワードを受け付ける入力受付部１１１と、入力受付部によって受け付けられたユーザＩＤ及びパスワードについて、認証ＤＢ内のユーザ情報と照合してユーザ認証を行う認証処理部１１２と、認証処理部によるユーザ認証が成功した場合に、入力受付部が受け付けたパスワードの脆弱性を評価する脆弱性評価部１１３と、ユーザＩＤに対して、評価脆弱性評価部によるパスワードの脆弱性の評価結果に応じたアクセス権限を付与する認証処理部とを備える。
【選択図】図２

Description

本発明は、所定の情報にアクセスしようとするユーザに対して、ユーザＩＤ及びパスワードによるユーザ認証を行う装置に関する。

従来、コンピュータネットワーク上の所定の情報へのアクセスを制御する方法として、ユーザＩＤ及びパスワードによるユーザ認証が知られている。このようなユーザ認証を行うユーザ認証装置においては、所定桁数以下のパスワードの禁止、文字又は数字のみのパスワードの禁止等、形式的に一定の要件を満たさないパスワードについて、その設定を禁止することでセキュリティの強化を図っていた。

また、例えば、複数のパスワードが記憶されており、ユーザ認証の際に、複数のパスワードの中から使用状態に応じたパスワードと、ユーザが入力したパスワードとを照合させて、使用状態に合わせたセキュリティレベルに応じたユーザ認証を行う装置が知られている（特許文献１参照）。このユーザ認証装置では、セキュリティレベルの高い使用状態である場合には桁数の少ないパスワードが適用され、セキュリティレベルの低い使用状態である場合には桁数の多いパスワードが適用されるため、ユーザは使用状態に応じて桁数の異なるパスワードを入力するものである。

特開２００１−３０６１７３号公報

しかしながら、上記従来のユーザ認証装置においては、桁数が制限以下のパスワード等、形式的な要件を満たさないパスワードについては、設定を禁止して使用を認めないようにすることが可能であるとしても、例えば意味のある単語や規則性のある文字列からなるパスワードのような、いわゆる脆弱性なパスワードの設定及び使用は可能である。このため、脆弱なパスワードが設定されると、セキュリティレベルが低下するという課題があった。

本発明にかかるユーザ認証装置は、ユーザＩＤ及びパスワードによるユーザ認証の際に、パスワードの脆弱性に応じたアクセス制限を行うことで、セキュリティを強化することを目的とする。

本発明の一つの実施態様に従うユーザ認証装置は、所定の情報にアクセスしようとするユーザに対してユーザ認証を行うユーザ認証装置であって、前記ユーザのユーザＩＤ及びパスワードを含むユーザ情報が格納された記憶部と、前記ユーザによって入力されたユーザＩＤ及びパスワードを受け付ける受付手段と、前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記記憶部内の前記ユーザ情報と照合してユーザ認証を行う認証手段と、前記認証手段によるユーザ認証が成功した場合に、前記受付手段が受け付けた前記パスワードの脆弱性を評価する評価手段と、前記ユーザＩＤに対して、前記評価手段による前記パスワードの脆弱性の評価結果に応じたアクセス権限を付与する付与手段と、を備える。

好適な実施態様では、前記ユーザ情報は、前記ユーザＩＤ及び前記パスワードに対応づけて予め設定されたアクセス権限をさらに含んでいて、前記評価手段によって前記パスワードの脆弱性が所定以下であると評価された場合には、前記付与手段は、前記予め設定されたアクセス権限以下の前記アクセス権限を前記ユーザＩＤ及び前記パスワードに対して付与する。

好適な実施態様では、前記ユーザ情報には、１つのユーザＩＤに対して複数のパスワードが設定可能であって、前記１つのユーザＩＤに対する前記複数のパスワードには、それぞれ異なるアクセス権限が予め設定されていて、前記認証手段は、前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記ユーザ情報と照合してユーザ認証を行い、前記評価手段によって前記パスワードの脆弱性が所定以下であると評価された場合には、前記付与手段は、前記予め設定されたアクセス権限以下の前記アクセス権限を前記ユーザＩＤ及び前記パスワードに対して付与する。

好適な実施形態では、外部ネットワークからのアクセス要求を受け付けると、そのアクセス要求に含まれるパスワードを所定の規則に基づいて変換し、変換されたパスワードを含むアクセス要求を前記受付手段へ仲介する外部アクセス仲介手段をさらに備え、前記記憶手段に格納されるユーザ情報には、前記ユーザＩＤに対して前記変換されたパスワードが設定されており、前記受付手段が受け付けたパスワードが、前記変換されたパスワードであるときには、前記評価手段は、前記変換されたパスワードを、所定以下の脆弱性であると評価する。

好適な実施形態では、前記評価手段による前記パスワードの脆弱性の評価結果を前記ユーザ情報に対応づけて記憶手段に登録する手段をさらに備え、前記評価手段は、ユーザ情報に前記評価結果が記録されている場合には、前記受付手段が受け付けた前記パスワードの脆弱性の評価を行わず、前記付与手段は、前記ユーザＩＤに対して、前記記憶手段に記録された前記パスワードの前記評価結果に応じたアクセス権限を付与する。

本発明の好適な一の実施形態にかかるユーザ認証装置の接続状態を示す全体構成図である。 本実施形態にかかるユーザ認証装置の機能ブロック図である。 認証ＤＢ内のユーザ情報のデータ構造の一例を示す。 本実施形態にかかるユーザ認証装置の動作を説明するためのフローチャートである。 脆弱性の評価結果が記録されたユーザ情報の一例を示す。 変形例におけるユーザ認証装置の動作を説明するためのフローチャートである。

以下、本発明の好適な一実施形態にかかるユーザ認証装置を、図面を参照して詳細に説明する。図１は、本実施形態にかかるユーザ認証装置１０の接続状態を示す全体構成図である。本実施形態では、ユーザ認証装置１０は、社内ＬＡＮ等の内部ネットワーク１上に設けられる。また、内部ネットワーク１は、ユーザ認証装置１０を介してインターネット等の外部ネットワーク２と接続されている。なお、図示例では、外部ネットワーク２に３台の端末装置Ｔ２、Ｔ２、Ｔ２が接続されている。

内部ネットワーク１上において、ユーザ認証装置１０は、少なくとも１台の端末装置及び各種サーバと接続される。図１にあっては、説明のために、サーバは業務サーバ２０のみであって、業務サーバ２０は、３台の端末装置Ｔ１、Ｔ１、Ｔ１と接続されたものとする。また、以下の説明では、アクセス要求は、内部ネットワーク１及び外部ネットワーク２上の端末装置Ｔ１、Ｔ１、Ｔ１、Ｔ２、Ｔ２、Ｔ２から業務サーバ２０へのものであるとするが、これに限定されるものではない。

本実施形態にあっては、ユーザ認証装置１０は、ＲＡＳ（Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｉｃｅ）サーバ１２と認証サーバ１１とが相互に接続して構成される。ＲＡＳサーバ１２及び認証サーバ１１は、それぞれのサーバ本体のプロセッサが所定のプログラムを実行することにより図２に示す機能が実現される。なおここでは、ユーザ認証装置１０は、ＲＡＳサーバ１２及び認証サーバ１１という別々の装置を相互に接続して構成されているが、これに限られない。例えば、ユーザ認証装置１０は、１つ装置のみ（例えば、認証サーバ１１）で構成されていてもよいし、内部ネットワーク１上の複数の装置に各機能を実現させるプログラムをそれぞれインストールすることによって構成されてもよい。

図２は、ユーザ認証装置１０の機能ブロック図である。

ＲＡＳサーバ１２は、外部からのアクセスを仲介する手段を備える。例えば、ＲＡＳサーバ１２は、外部ネットワーク２からのアクセス要求を受け付けると、そのアクセス要求に含まれるパスワードを所定の規則に基づいて変換し、変換されたパスワードを含むアクセス要求を認証サーバ１１の入力受付部１１１へ仲介する機能を有する。所定の規則に基づいた変換は、例えば、以下に示すようにパスワードに所定の識別子を付与することで行うようにしてもよい。なおここで、外部ネットワーク２からのアクセス要求には、アクセス要求を送信したユーザのユーザＩＤ及びパスワード、送信元の端末装置及びネットワークの識別情報、送信先の端末装置及びネットワークの識別情報又は送信先のサーバ及びネットワークの識別番号、リクエスト本文等が含まれるようにしてもよい。

内部ネットワーク１上の業務サーバ２０に対し、外部ネットワーク２からアクセス要求が送信された場合には、そのアクセス要求はＲＡＳサーバ１２を介して受信される。ＲＡＳサーバ１２は、外部ネットワーク２からのアクセス要求を受信すると、アクセス要求の中からユーザのパスワードを抽出し、抽出したパスワードに所定の識別子を付加して認証サーバ１１に送信する。パスワードには、例えば「ｒａｓ−」という識別子が付加される。識別子は、パスワードの先頭又は末尾などどのような位置に付加されるようにしてもよい。

認証サーバ１１は、例えば図示例のように、入力受付部１１１、認証処理部１１２、脆弱性評価部１１３、認証データベース１１４（以下、認証ＤＢという）及び辞書データベース１１５（以下、辞書ＤＢという）を備える。

入力受付部１１１は、外部ネットワーク２及び内部ネットワーク１からのアクセス要求を受け付ける手段を備える。すなわち、入力受付部１１１は、ユーザによって入力されたユーザＩＤ及びパスワードを受け付ける機能を有する。例えば、入力受付部１１１は、ＲＡＳサーバ１２が仲介する外部ネットワーク２上の端末装置Ｔ２からは、ユーザＩＤ及び識別子が付加されたパスワードを含むアクセス要求を受け付ける。また例えば、内部ネットワーク１上の端末装置Ｔ１から送信された、ユーザＩＤ及びパスワードを含むアクセス要求を受け付ける。入力受付部１１１は、受け付けたアクセス要求のうち、ユーザＩＤ及びパスワード（識別子が付加されたパスワードを含む）を後述する認証処理部１１２へ送信する。

認証ＤＢ１１４は、ユーザ情報を記憶する記憶部としての機能を備える。図３は、認証ＤＢ１１４内に格納されるユーザ情報３０のデータ構造の一例を示す。ユーザ情報３０は、データ構造として、ユーザＩＤ３１及びパスワード３２と、これらユーザＩＤ３１及びパスワード３２に対応づけて予め設定されたアクセス権限３３とを有する。また、ユーザ情報３０には、１つのユーザＩＤ３１に対して複数のパスワード３２が設定可能であって、１つのユーザＩＤ３１に対する複数のパスワード３２には、それぞれ異なるアクセス権限３３を予め設定しておいてもよい。

ユーザ情報３０の設定方法としては、従来周知のように、ユーザが申請したユーザＩＤ及びパスワードに基づいて、管理者がこれらユーザＩＤ３１及びパスワード３２に対応づけたアクセス権限３３を設定するようにしてもよい。また、ユーザは、１つのユーザＩＤに対して、複数のパスワードを申請することも可能とし、この場合には、管理者は、一対のユーザＩＤ３１及びパスワード３２に対応づけて、それぞれ異なるアクセス権限３３を設定し、これらをそれぞれユーザ情報３０として登録しておいてもよい。

さらに、管理者は、一対のユーザＩＤ及びパスワードが申請された場合には、その一対のユーザＩＤ３１及びパスワード３２の他に、そのパスワードに識別子「ｒａｓ−」を付加したパスワード３２とそのユーザＩＤ３１との対をユーザ情報３０に登録しておいてもよい。この場合、これらユーザＩＤ３１及び識別子が付与されたパスワード３２に対応づけられるアクセス権限３３については、識別子なしのパスワード３２とユーザＩＤ３１の対に対応づけられたアクセス権限３３と同様のものを登録してもよいし、また、アクセス権限３３の登録は行わず空欄にしておいてもよい。

図示例では、アクセス権限３３は、権限の高いものから順に、管理者権限（以下、Ａｄｍｉｎという）、ユーザ権限（以下、Ｕｓｅｒという）、ゲスト権限（以下、Ｇｕｅｓｔという）の３つの権限が設定されているが、アクセス権限３３の設定はこれに限定されず、どのように行ってもよいものである。

認証処理部１１２は、ユーザ認証を行う手段を備える。認証処理部１１２は、入力受付部１１１によって受け付けられたユーザＩＤ及びパスワードについて、認証ＤＢ１１４内のユーザ情報３０と照合してユーザ認証を行う。例えば、認証処理部１１２は、入力受付部１１１から送信されたアクセス要求から、ユーザＩＤ及びパスワード（識別子が付加されたパスワードを含む。以下同様）を抽出する。そして、認証処理部１１２は、アクセス要求に含まれるユーザＩＤ及びパスワードを、ユーザ情報３０の一対のユーザＩＤ３１及びパスワード３２と照合し、アクセス要求のユーザＩＤ及びパスワードに一致するユーザＩＤ３１及びパスワード３２の対がユーザ情報３０に含まれていれば、これを認証する。認証処理部１１２は、ユーザ認証が成功した場合には、アクセス要求を脆弱性評価部１１３に送信する。

なお、ユーザ認証が成功しなかった場合、すなわち、アクセス要求のユーザＩＤ及びパスワードに一致するユーザＩＤ３１及びパスワード３２の対がユーザ情報３０に含まれていなかった場合には、その結果をユーザがアクセス要求を送信した端末装置Ｔ１、Ｔ２に送信し、端末装置Ｔ１、Ｔ２の表示部に表示させるようにしてもよい。

認証処理部１１２は、また、アクセス権限を付与する手段を備える。認証処理部１１２は、アクセス要求に含まれるユーザＩＤ及びパスワードに対して、脆弱性評価部１１３によるパスワードの脆弱性の評価結果に応じたアクセス権限を付与する。また、認証処理部１１２は、脆弱性評価部１１３によってパスワードの脆弱性が所定の基準レベル以下であると評価された場合には、管理者によって予め設定されたアクセス権限以下のアクセス権限をユーザＩＤ及びパスワードに対して付与するようにしてもよい。なおここで、「予め設定されたアクセス権限以下のアクセス権限をユーザＩＤ及びパスワードに対して付与する」とは、予め設定されたアクセス権限よりも低いアクセス権限が存在する場合には、予め設定されたアクセス権限よりも低いアクセス権限を付与し、予め設定されたアクセス権限が最下位のアクセス権限であった場合には、そのアクセス権限を付与するという意味である。例えば、認証処理部１１２は、後述する辞書ＤＢ１１５内のユーザ情報３０において、ユーザＩＤ３１及びパスワード３２に対応するアクセス権限が３３予め設定されている場合には、そのアクセス権限３３を仮のアクセス権限として抽出し、仮のアクセス権限以下のアクセス権限をユーザＩＤ及びパスワードに対して付与するようにしてもよい。

アクセス権限の付与は、どのように行ってもよい。例えば、すべてのユーザＩＤ及びパスワードの対に対して、脆弱性評価部１１３の評価結果において脆弱性が所定の基準レベル以下であると判断された場合に、Ｇｕｅｓｔ権限など一定以下の権限のみを付与するようにし、脆弱性評価部１１３の評価結果が所定の基準レベルよりも高いと判断された場合には、Ｕｓｅｒ権限等、一定以上の権限を付与するようにしてもよい。また、仮のアクセス権限３３が設定されているユーザＩＤ３１及びパスワード３２に対しては、脆弱性評価部１１３の評価結果において脆弱性が所定の基準レベル以下であると判断された場合に、仮のアクセス権限３３よりも１又は数ランク下位のアクセス権限を付与するようにし、脆弱性評価部１１３の評価結果が所定の基準レベルよりも高いと判断された場合に、仮のアクセス権限３３をそのままアクセス権限として付与してもよい。

辞書ＤＢ１１５には、単語、固有名詞など、パスワードとして使用すると脆弱なパスワードとなる恐れのある文字列が格納される。辞書ＤＢ１１５は、例えば、一般周知のパスワード解析プログラムに搭載された辞書を使用してもよい。また、辞書ＤＢ１１５には、脆弱性があるであろうと考えられる文字列を、管理者等が登録できるようにしてもよい。この場合、例えば前述した識別子「ｒａｓ−」のように、ＲＡＳサーバで付加される所定の識別子を文字列として登録しておいてもよい。

脆弱性評価部１１３は、パスワードの脆弱性を評価する手段を備える。すなわち、脆弱性評価部１１３は、認証処理部１１２によるユーザ認証が成功した場合に、入力受付部１１１が受け付けたパスワードの脆弱性を評価する機能を有する。例えば、認証処理部１１２のユーザ認証が成功した場合には、脆弱性評価部１１３は、認証処理部１１２から送信されたアクセス要求を受信する。認証処理部１１２は、受信したアクセス要求からパスワードを抽出し、パスワードの脆弱性の評価を行う。

パスワードの脆弱性の評価は、辞書ＤＢ１１５に基づいて行われる。例えば、脆弱性の評価は、辞書ＤＢ１１５を参照してパスワードの脆弱性を算出し、算出した脆弱性に基づいた評価を行うなど、周知のパスワード解析プログラムによる評価方法であってもよい。例えば、パスワードが辞書ＤＢ１１５に含まれる文字列のみからなる場合、辞書ＤＢ１１５に含まれる文字列を含む場合等は、そのパスワードは所定の基準レベル以下の脆弱性を有するとしてもよい。この際、辞書ＤＢ１１５に予め登録しておいた識別子（例えば「ｒａｓ−」など）が一部分に含まれるパスワードについては、脆弱性を所定の基準レベル以下にするとしてもよい。さらに例えば、評価結果は、所定の基準レベル以下か否かの２段階評価としてもよいし、多段階評価としてもよい。

脆弱性評価部１１３は、パスワードの脆弱性の評価結果を認証処理部１１２に通知する。

なお、脆弱性評価部１１３は、脆弱性の評価結果が所定の基準レベル以下であると判定されたパスワードについては、ユーザにパスワードの変更を促すようにしてもよい。この場合、ユーザがアクセス要求を送信した端末装置Ｔ１、Ｔ２にパスワードが脆弱である旨のメッセージを通知してもよいし、強制的にパスワードを変更させるようにしてもよい。また、識別子が一部に含まれるために脆弱性の評価結果が所定以下であると判断されたパスワードについては、ユーザにその旨（本実施形態にあっては、外部ネットワークからのアクセスである旨）を通知してもよい。

次に、図４を参照して、本実形態にかかるユーザ認証装置１０の動作を説明する。

図４は本実施形態にかかるユーザ認証装置１０の動作を示すフローチャートである。

内部ネットワークの端末装置Ｔ１からアクセス要求が送信された場合には、入力受付部１１１は、そのアクセス要求を受け付ける。また、外部ネットワークの端末装置からアクセス要求が送信された場合には、入力受付部１１１はＲＡＳサーバ１２を介して、そのアクセス要求を受け付ける。なおこの際、ＲＡＳサーバ１２において、アクセス要求に含まれるパスワードには識別子「ｒａｓ−」が付与される。

ユーザからのアクセス要求を受け付けた入力受付部１１１は、そのアクセス要求を認証処理部１１２に送信する。アクセス要求を受信した認証処理部１１２は、認証ＤＢ１１４内のユーザ情報３０を参照して、ユーザ情報３０内のユーザＩＤ３１及びパスワード３２と、アクセス要求に含まれるユーザＩＤ及びパスワードとを照合して、ユーザ認証を行う（ステップＳ１）。

ユーザ認証が成功した場合には、認証処理部１１２は、アクセス要求に含まれるユーザＩＤ及びパスワードの対に対応するユーザ情報３０のユーザＩＤ３１及びパスワード３２に対応するアクセス権限３３を仮のアクセス権限として抽出する（ステップＳ２）。

認証処理部１１２は、アクセス要求を脆弱性評価部１１３に送信する。アクセス要求を受信した脆弱性評価部１１３は、アクセス要求に含まれるパスワードの脆弱性を評価する（ステップＳ３）。

脆弱性評価部１１３は、パスワードの脆弱性の評価結果を、認証処理部１１２に通知する。

認証処理部１１２は、パスワードの脆弱性の評価結果とステップＳ２で抽出した仮のアクセス権限とに基づき、上述の要領でユーザＩＤ３１及びパスワード３２にアクセス権限を付与する（ステップＳ４）。

ユーザ認証装置１０は、上記ステップを行うことにより、ユーザＩＤ及びパスワードによるユーザ認証の際に、パスワードの脆弱性に応じたアクセス制限を行うことによって、セキュリティを強化することができる。

なお、ステップＳ２において仮のアクセス権限が抽出されなかった場合には、ステップＳ５において、認証処理部１１２は、パスワードの脆弱性の評価結果のみに基づいて、ユーザＩＤ３１及びパスワード３２にアクセス権限を付与するようにしてもよい。

次に、本実施形態にかかるユーザ認証装置１０の変形例を説明する。

本変形例にあっては、脆弱性評価部１１３は、パスワードの脆弱性を評価した際に、その評価結果を認証ＤＢ１１４内のユーザ情報３０に記録する機能を備えてもよい。

図５は、脆弱性評価部によって評価結果が記録されたユーザ情報４０の一例を示す。例えば、ユーザ情報４０には、図示例のように、ユーザＩＤ４１、パスワード４２及びアクセス権限４３とともに、脆弱性の評価結果が記録されるフラグ欄４４が設けられる。フラグ欄４４には、脆弱性の評価結果に応じて０〜２までの数字を記入してもよい。例えば、図示例のように、「０」が未評価、「１」が評価済みであって、脆弱性が所定の基準レベルより高いと評価されたもの、「２」が評価済みであって、脆弱性が所定の基準レベル以下であると評価されたものとしてもよい。

本変形例では、上記したように、脆弱性評価部１１３に評価結果を記録する機能を備えることで、ユーザ認証装置１０は以下のように動作する。ユーザ認証装置の動作を図６を参照して説明する。図６は、本変形例におけるユーザ認証装置の動作を説明するためのフローチャートである。

認証処理部１１２は、ユーザ認証を行い（ステップＳ１１）、仮のアクセス権限を抽出した（ステップＳ１２）後に、そのユーザ情報３０に対応するフラグ欄３４を確認する（ステップＳ１３）。

ステップＳ１３において、フラグが「１」であった場合には、認証処理部１１２は、仮のアクセス権限以下のアクセス権限を付与する（ステップＳ１４）。

ステップＳ１３において、フラグが「２」であった場合には、認証処理部１１２は、仮のアクセス権限をアクセス権限として付与する。

ステップＳ１３において、フラグが「０」であった場合には、認証処理部１１２は、アクセス要求を脆弱性評価部１１３に送信する（ステップＳ１５）。

脆弱性評価部１１３は、パスワードの脆弱性評価（ステップＳ１６）を行い、評価結果を認証処理部１１２に通知するとともに、ユーザ情報３０のフラグ欄３４に記録する。

通知を受けた認証処理部１１２は、パスワードの脆弱性の評価結果とステップＳ１２で抽出した仮のアクセス権限とに基づき、ユーザＩＤ３１及びパスワード３２にアクセス権限を付与する（ステップＳ１７）。

本変形例においては、最初のアクセス要求時にパスワードの脆弱性の評価を行い、その評価結果を記録しておくことで、以降のアクセス要求は、再び脆弱性評価を行うことなく、ユーザＩＤ及びパスワードの対に対してアクセス権限の付与を行うことができる。

上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

１ 内部ネットワーク
２ 外部ネットワーク
１０ ユーザ認証装置
１１ 認証サーバ
１２ サーバ
２０ 業務サーバ
３０ ユーザ情報
３１ ユーザＩＤ
３２ パスワード
３３ アクセス権限
３４ フラグ欄
１１１ 入力受付部
１１２ 認証処理部
１１３ 脆弱性評価部
１１４ 認証データベース
１１５ 辞書データベース

Claims (7)

1. 所定の情報にアクセスしようとするユーザに対してユーザ認証を行うユーザ認証装置であって、
   前記ユーザのユーザＩＤ及びパスワードを含むユーザ情報が格納された記憶部と、
   前記ユーザによって入力されたユーザＩＤ及びパスワードを受け付ける受付手段と、
   前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記記憶部内の前記ユーザ情報と照合してユーザ認証を行う認証手段と、
   前記認証手段によるユーザ認証が成功した場合に、前記受付手段が受け付けた前記パスワードの脆弱性を評価する評価手段と、
   前記ユーザＩＤに対して、前記評価手段による前記パスワードの脆弱性の評価結果に応じたアクセス権限を付与する付与手段と、
   を備えるユーザ認証装置。
2. 前記ユーザ情報は、前記ユーザＩＤ及び前記パスワードに対応づけて予め設定されたアクセス権限をさらに含んでいて、
   前記評価手段によって前記パスワードの脆弱性が所定以下であると評価された場合には、前記付与手段は、前記予め設定されたアクセス権限以下の前記アクセス権限を前記ユーザＩＤ及び前記パスワードに対して付与する、請求項１に記載のユーザ認証装置。
3. 前記ユーザ情報には、１つのユーザＩＤに対して複数のパスワードが設定可能であって、前記１つのユーザＩＤに対する前記複数のパスワードには、それぞれ異なるアクセス権限が予め設定されていて、
   前記認証手段は、前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記ユーザ情報と照合してユーザ認証を行い、
   前記評価手段によって前記パスワードの脆弱性が所定以下であると評価された場合には、前記付与手段は、前記予め設定されたアクセス権限以下の前記アクセス権限を前記ユーザＩＤ及び前記パスワードに対して付与する、
   請求項２に記載のユーザ認証装置。
4. 外部ネットワークからのアクセス要求を受け付けると、そのアクセス要求に含まれるパスワードを所定の規則に基づいて変換し、変換されたパスワードを含むアクセス要求を前記受付手段へ仲介する外部アクセス仲介手段をさらに備え、
   前記記憶手段に格納されるユーザ情報には、前記ユーザＩＤに対して前記変換されたパスワードが設定されており、
   前記受付手段が受け付けたパスワードが、前記変換されたパスワードであるときには、前記評価手段は、前記変換されたパスワードを、所定以下の脆弱性であると評価する、請求項２又は３に記載のユーザ認証装置。
5. 前記評価手段による前記パスワードの脆弱性の評価結果を前記ユーザ情報に対応づけて記憶手段に登録する手段をさらに備え、
   前記評価手段は、前記ユーザ情報に前記評価結果が記録されている場合には、前記受付手段が受け付けた前記パスワードの脆弱性の評価を行わず、
   前記付与手段は、前記ユーザＩＤに対して、前記記憶手段に記録された前記パスワードの前記評価結果に応じたアクセス権限を付与する、
   請求項１〜４に記載のユーザ認証装置。
6. ユーザＩＤ及びパスワードを含むユーザ情報が格納された記憶部を備えたユーザ認証装置において、所定の情報にアクセスしようとするユーザに対してユーザ認証を行うための方法であって、
   前記ユーザによって入力されたユーザＩＤ及びパスワードを受け付けるステップと、
   前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記記憶部内の前記ユーザ情報と照合してユーザ認証を行うステップと、
   前記認証手段によるユーザ認証が成功した場合に、前記受付手段が受け付けた前記パスワードの脆弱性を評価するステップと、
   前記ユーザＩＤに対して、前記評価手段による前記パスワードの脆弱性の評価結果に応じたアクセス権限を付与するステップと、
   を備える方法。
7. ユーザＩＤ及びパスワードを含むユーザ情報が格納された記憶部を備えたユーザ認証装置において、所定の情報にアクセスしようとするユーザに対してユーザ認証を実行するためのコンピュータプログラムであって、
   前記ユーザによって入力されたユーザＩＤ及びパスワードを受け付けるステップと、
   前記受付手段によって受け付けられた前記ユーザＩＤ及び前記パスワードについて、前記記憶部内の前記ユーザ情報と照合してユーザ認証を行うステップと、
   前記認証手段によるユーザ認証が成功した場合に、前記受付手段が受け付けた前記パスワードの脆弱性を評価するステップと、
   前記ユーザＩＤに対して、前記評価手段による前記パスワードの脆弱性の評価結果に応じたアクセス権限を付与するステップと、
   を備えるコンピュータプログラム。
   
   
   
   

Images