JP2012038255A - 真正性を保証する端末システム、端末及び端末管理サーバ - Google Patents

Abstract

【課題】安全性の不確かな端末を利用者に安全に利用させる。
【解決手段】ネットワークに接続された端末を管理する端末システムにおいて、端末管理サーバは、端末の利用者毎に固有の情報を予め登録する端末情報登録部と、端末から受信した認証要求に含まれるＩＤと認証情報を、予め設定した利用者情報と比較して認証を行う認証部と、端末から受信した所定の調査結果から、端末が改ざんを受けていないことを判定する真正性判定部と、認証が成功し、かつ、真正性判定部が改ざんを受けていないと判定したときに、利用者に固有の情報を端末に送信する固有情報送信部と、端末の公開鍵を管理する端末公開鍵管理部とを備え、端末はさらに端末管理サーバから受信した固有の情報を表示する表示部を有する。
【選択図】図９

Description

本発明は、サービスの提供を受ける端末の真正性を利用者に通知し、安全に利用者がサービス提供を受けられることを可能にする端末システムに関する。

労働者の生産性を向上させるために、あらかじめ定められた勤務場所以外の場所を中心として業務を遂行するテレワークと呼ばれるワークスタイルが普及してきている。特に、営業職などを中心として、自宅や街中、車中などの場所において、モバイル業務と呼ばれる形態でメールの受発信や書類作成を中心とした業務を行う利用者が増えている。

このようなワークスタイルが普及するにつれ、企業における情報漏洩事故が多発しており、情報管理の徹底が求められている。情報漏洩事故の事例としては、社外に持ち出したＰＣや情報機器を紛失したり、盗まれたりする事故や、自宅に空き巣が入り、個人情報が保存された個人所有ＰＣが盗難されたりする事故が多く報告されている。これらに共通していることは、情報を記憶した媒体を、社外へ持ち出しているということである。

このような情報漏洩に対する対策として、企業においてはシンクライアントシステムのニーズが高まっている。シンクライアントシステムは、記憶領域を持たないノートＰＣのような情報機器を用いて、社内システムに携帯電話や公衆ＬＡＮ等のネットワーク経由でリモート接続し、情報そのものを社外に出して記憶しないというシステムである。このようなシンクライアントシステムにおいては、社外から社内に接続する際の認証機能が重要となる。従来はノートＰＣなどにＩＣカードリーダを接続し、個人用のＩＣカード（社員証等）やセキュリティデバイスを用いて個人認証を行い、社内への接続を許可することが行われていた。

街角に設置してあるキオスク端末などの公共端末では、端末の管理状態が不明なため、利用者は、個人情報や機密情報を含む情報を取り扱うサービスを情報漏えいや盗聴の可能性の低い安全な状態で受けにくい。正当性を未確認の端末（保証対象端末）に、利用者自身に関する情報を一切渡すことなく、その端末の正当性を確認する技術がある。この技術では、保証対象端末と正当性確認サーバとを含む端末正当性保証システムにおいて、保証対象端末が前記端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを表す正当性証明情報を正当性確認サーバへ送信する正当性証明部を備え、正当性確認サーバが利用者端末から保証対象端末の正当性の問い合わせを受けると、保証対象端末に対してその正当性の確認要求を行うと共に、保証対象端末の正当性証明部から送信された正当性証明情報に基づき保証対象端末の正当性を確認し、確認結果を前記利用者端末に送信する正当性確認機能を備える（特許文献２）。

特開２００２−３１２３１６号公報 特開２００５−２９３１５１号公報

モバイル業務では、一般的にＰＣやＰＤＡ、携帯電話などのパーソナライズされた端末装置を利用者が持ち歩き、自宅や街中などで利用する。従来技術では、利用者が端末装置を持ち歩かない場合、移動先に設置されている端末装置で利用者認証を完了した後に利用することにより、安全に端末装置においてテレワークを実行することができる。この際、利用する端末が変更されても、利用者の端末環境が維持（持ち運び）出来る必要がある。

しかし、不特定多数の端末の安全性を利用者に担保する端末システムや、利用端末移行時の情報セキュリティを確保するため、端末環境をパーソナライズ化する端末システムへの攻撃に対する防御ができていないという問題があった。

例えば、特許文献１では、利用者認証が成立した端末を踏み台にして他人が正規利用者になりすますといった不正アクセスを防止する技術を開示している。この特許文献１では、端末に関して利用者認証が成立しているか否かを判断する判断部が外部からのアクセスを遮断し、端末を踏み台に正規利用者になりすまし不正アクセスする事を防止する。しかし、上記特許文献１では利用者が利用中の端末の不正アクセスを防止することができるが、利用者が一時的に機器（計算機）を借り受けて利用できるような端末（例えば、公衆端末、キオスク端末）では、利用前に第３者が不正なプログラムを動作させている可能性がある。このため、上記従来技術では、端末の安全性を利用者が確認できないという問題があった。

また、特許文献２では、利用者がまだ正当性を確認できていない端末に、利用者自身に関する情報を一切渡さずに、利用者がその端末の正当性を確認することを可能とする端末正当性保証技術が開示されている。この特許文献２では、利用者は端末の使用に先立ち、端末の識別子を入手した上で、正当性確認サーバにアクセスして前記識別子を送付する。前記正当性確認サーバは、端末に正当性証明情報を要求し、確認が終わった時点でユーザに正当性確認結果を送付する。

前記正当性確認結果が、毎回同じ情報により構成されるものであった場合、いわゆるリプレイ・アタックと呼ばれる手法により、偽端末が正当な端末のふりをすることが可能になってしまう。特許文献２ではこのような攻撃を防止するために、正当性確認処理を実施する際に、端末に乱数を渡し、利用者に対して表示させると共に、正当性確認結果に前記乱数を付与し、端末に表示された乱数と、正当性確認結果に付与された乱数が一致することを確認させることで、リプレイ・アタックを防止する。

しかし、上記特許文献２では、いわゆる中間者攻撃に対する対策がなされていない。中間者攻撃とは、利用者には正当な端末との間に偽端末を設置し、利用者と正当な端末の間のインタラクションを中継することにより偽端末を正当な端末に見せかける攻撃手法であり、以下のような方法が考えられる。まず、正当な端末の識別子を利用者に対して提示する機能を持つ偽端末を準備する。利用者は、偽端末より正当な端末の識別子を入手した上で、正当性確認サーバにアクセスし正当性確認を行わせる。この正当性確認は、偽端末ではなく、前記識別子を付与された正当な端末に対して行われるために成功し、正当性確認サーバから正当な端末に乱数が渡されると共に、利用者端末にも前記乱数が送付される。このため、偽端末が、前記正当性確認サーバより正規の端末に対して送信された乱数を傍受し、利用者に対して提示することが可能であれば、中間者攻撃が成立してしまう。

さらに、上記特許文献２では、利用者が正当性確認情報および乱数を確認する手段として、グラフィカル・ユーザ・インタフェースを備える利用者端末による表示が必要である。

そこで本発明は、上記問題点に鑑みてなされたもので、利用者が安全性の不確かな端末を利用する際に、中間者攻撃に対する対策を行うと共に、グラフィカル・ユーザ・インタフェースを備える利用者端末を利用せずとも、端末の安全性を端末システムが利用者に提示することを目的とする。

端末システムは、端末を管理する端末管理サーバが端末の安全性を確認し、端末管理サーバが提示した情報を端末上で利用者が確認すると共に、サービスを利用する上で必要な利用者の機密情報（利用者識別情報および認証情報）が、安全性が確認された端末でのみ利用可能にした上でサービスの提供を開始する。

具体的には、メモリを有する端末と、この端末とネットワークを介して接続する端末管理サーバを含む端末システムであって、端末は、予め設定したＩＤと認証情報を格納したＩＤデバイスと接続し、ＩＤデバイスからＩＤと認証情報を取得して端末管理サーバへ認証要求として送信する認証要求部と、メモリの状態を調査する真正性調査部と、真正性調査部が調査した結果を端末管理サーバへ送信する真正性調査結果送信部と、ＩＤデバイス内で公開鍵で暗号化されたサービス利用認証情報を、公開鍵に対応する秘密鍵で復号する機密情報処理部とを具備し、端末管理サーバは、端末の利用者毎に固有の情報を予め登録する端末情報登録部と、端末から受信した認証要求に含まれるＩＤと認証情報を、予め設定した利用者情報と比較して認証を行う認証部と、端末から受信した調査結果から、端末が改ざんを受けていないことを判定する真正性判定部と、認証が成功し、かつ、真正性判定部が改ざんを受けていないと判定したときに、利用者に固有の情報を、端末に送信する固有情報送信部と、前述の公開鍵を管理する端末公開鍵管理部とを具備し、端末は、端末管理サーバから受信した利用者に固有の情報を表示する表示部を有する。

本発明によれば、利用者が安全性の不確かな端末を利用する際に、端末の安全性を端末システムが利用者に提示することにより、利用者が安全にネットワーク上のサーバからサービス提供を受けることができる。よって、利用者の利便性、利用者のシステム利用時の安全性が向上する。

本発明の端末システムの機能構成を示すブロック図である。 本発明の端末管理サーバのハードウェア構成を示すブロック図である。 本発明の端末のハードウェア構成を示すブロック図である。 本発明の端末情報の一例を説明する図である。 本発明の利用者情報の一例を説明する図である。 本発明のＩＤデバイスのハードウェア構成を示すブロック図である。 本発明の端末管理処理部が端末の画面に表示する情報の一例を示す画面イメージである。 本発明の端末の一例を示す斜視図である。 本発明の端末システムで実行される処理の一例を示すシーケンス図である。 本発明の第２の実施形態を示し、端末システムで実行される処理の一例を示すシーケンス図である。

以下、本発明の実施形態について図面を参照して説明する。各図面において、同一の符号が付されている要素は同一の機能を有する事を示す。

＜第１実施形態＞
図１は、本実施形態の端末システムの機能構成の一例を示すブロック図である。ネットワーク１２０には端末管理サーバ１００、サービス提供サーバ１５０、端末１３０が接続され、相互に通信可能になっている。ネットワーク１２０と各機器との通信は、端末管理サーバ１００、サービス提供サーバ１５０、端末１３０内の通信部（１０１、１５１、１３５）が行う。

端末管理サーバ１００は、端末管理サーバ処理部１０２とストレージ１１０、端末情報登録部１０３と、端末公開鍵管理部１０４を持つ。端末管理サーバ処理部１０２は、ストレージ１１０に保持されている情報を用いて、通信部１０１を介して端末１３０等の、ネットワーク１２０上の複数の端末を管理する。ストレージ１１０は、端末１３０の利用者情報１０５と、認証情報１０６と、端末情報１０７と、ログ１０８を保持する。

ここで、利用者情報１０５は、端末システムの端末１３０を利用する利用者の情報と、後述する利用権限や状態、端末での利用者の利用者環境などの情報を紐付けて管理しているものである。認証情報１０６は、端末管理サーバ１００が持つ認証情報である。具体的に認証情報１０６は、端末管理サーバ１００の持つ秘密情報である共通鍵や、サーバの公開鍵証明書と対応する秘密鍵などである。認証情報１０６は、ストレージ１１０の中の耐タンパストレージに格納されていても良い。端末情報１０７は、端末管理サーバ１００が管理する端末の情報と、後述する端末の利用権限や状態などの情報を紐付けて管理しているものである。なお、耐タンパストレージは、外部からのデータの解析や改変を抑止可能な記憶装置で、例えば、暗号処理回路を備えて認証が完了しない状態でのデータアクセスを禁止するものであり、公知ないし周知の技術を適用することができる。また、端末管理サーバ処理部１０２と、端末情報登録部１０３は、ソフトウェアで構成され、記憶媒体としてのストレージ１１０からメモリにロードされて後述するプロセッサにより実行される。

端末１３０は、端末管理処理部１３１とサービス処理部１３２、機密情報処理部１３３、ストレージ１３９、通信インターフェース１３４及び通信部１３５を持つ。端末管理処理部１３１は、ストレージ１３９に保持されている情報を用いて、通信部１３５を介してネットワーク１２０上の端末管理サーバ１００やサービス提供サーバ１５０と通信し、後述する認証を行ってから端末１３０の利用者にサービス提供サーバ１５０から提供されるサービスを提供する。ストレージ１３９は、内部に端末情報１３８を持つ。端末情報１３８は、端末１３０が持つ秘密情報である、端末ＩＤや共通鍵や端末の公開鍵証明書と公開鍵に対応する秘密鍵などである。通信インターフェース１３４は、端末１３０内の機能とＩＤデバイス１４０の通信の仲介を行う。

サービス処理部１３２は、端末管理処理部１３１が端末１３０上に後述する利用者環境を利用可能にした際に利用者環境を表示したり、利用者がサービスを受けるために利用する１つ以上のアプリケーションである。具体的には、ブラウザアプリケーションや、その他のサービス提供のためにサービス提供サーバ１５０のサービス処理部１５２と通信するアプリケーションである。なお、端末管理処理部１３１とサービス処理部１３２は、ソフトウェアで構成され、記憶媒体としてのストレージ１３９からメモリにロードされて後述するプロセッサにより実行される。

ＩＤデバイス１４０は、デバイス管理部１４１とストレージ１４２と通信インターフェース１４４を持つ。デバイス管理部１４１は、ストレージ１４２に保持されている情報を用いて、通信インターフェース１４４を介して端末１３０と通信を行う。デバイス管理部１４１はまた、通信インターフェース１４４を介して入手した暗号鍵を用いて、ストレージ１４２内に格納された情報を暗号化した上で、通信インターフェース１４４を介して暗号化した情報を端末１３０に出力する。ストレージ１４２は、認証情報１４３を記録している。認証情報１４３は、利用者の持つ秘密情報である共通鍵や利用者の公開鍵証明書や公開鍵に対応する秘密鍵や端末管理サーバが送信する認証情報を検証するためのサーバ証明書等を含む。

利用者はＩＤデバイス１４０を所有しており、本実施形態の端末システムの端末１３０を利用する際、安全性の不確かな端末１３０へＩＤデバイス１４０を通信インターフェース１４４及び１３４を通信させることにより接続する。通信インターフェース１４４と、端末１３０の通信インターフェース１３４の間で行われる通信は、近距離無線通信、接触型ＩＣカード通信、非接触型ＩＣカード通信、周辺機器接続のためのシリアル通信、周辺機器接続のためのパラレル通信等である。なお、ＩＤデバイス１４０は、例えば、ＩＣカード状に形成されても良く、あるいは、携帯機器の一部を構成するものであっても良い。

端末１３０は、ＩＤデバイス１４０との接続の状況を端末管理サーバ１００へ送信し、ＩＤデバイス１４０へ認証情報要求の送付を行う。ＩＤデバイス１４０へ送付された情報は、デバイス管理部１４１にて処理され、端末１３０が端末管理サーバ１００により、利用者が利用可能と判断されていれば、ＩＤデバイス１４０から端末１３０へ後述するＩＤ情報が送信され、利用者は端末１３０上に利用者自身の登録した利用者環境を利用可能になる。この利用者環境は、端末管理サーバ１００上の端末情報１０７内にて管理されているものであり、利用者が事前に登録しておくものである。

端末情報１０７のうち、利用者環境は、利用者が端末管理サーバ１００の管理者のポリシーに従って図示しない端末から、ネットワーク１２０を介して端末情報登録部１０３の機能を利用して登録する。利用者環境の登録に際しては、利用者は利用者認証を端末情報登録部１０３から受ける。利用者が端末管理サーバ１００に予め登録する利用者環境は、利用者が利用する端末１３０の種別やスペック、通信環境及び利用者に固有の情報（画像や音声、映像、実行するプログラムなど）であり、端末１３０の利用前に予め登録する。端末の種別は携帯電話、ＰＣ、キオスク端末といった分類であったり、ブラウザなどのアプリケーションなどが利用可能かなどの判断を含んだ分類となる。端末１３０のスペックは、画面のサイズや表示能力、演算処理能力、接続されている周辺機器種別、メモリ容量、入出力装置種別、通信能力、音声出力能力、セキュリティ機能などである。通信環境は、端末とサーバとの通信品質の状態である。

サービス提供サーバ１５０は、利用者の端末１３０がネットワーク１２０を介してアクセスしたときに、当該端末１３０にサービスの提供を行うサーバ計算機で、サービス処理部１５２と、ストレージ１５３と、通信部１５１より構成される。サービス処理部１５２は、ストレージ１５３内の利用者情報１５５を利用し、利用者の認証を行う。また、サービス処理部１５２は、ストレージ１５３内の端末情報１５７を利用し、必要に応じて利用者の利用する端末の認証を行う。利用者は、サービス処理部１５２を経由しストレージ１５３内の認証情報１５６からサーバの認証情報を取得し、サービス提供サーバ１５０のサーバ認証を行う。利用者認証と端末認証が成功した場合、利用者は、サービス提供サーバ１５０から端末１３０を通じてサービス提供を受ける。なお、サービス処理部１５２は、ソフトウェアで構成され、記憶媒体としてのストレージ１５３からメモリにロードされて後述するプロセッサにより実行される。

図８は、端末１３０の外観の一例を示したものである。端末１３０は、画面８０１、タッチパネルやキーボード、テンキーパッドなどの入力装置８０２、磁気カード、接触型ＩＣカードなどのリーダライタ８０３、非接触型ＩＣカードなどの通信インターフェース１４４、筐体の改ざん防止の効果を明示する開封防止封印８０５を持つ。

画面８０１は、利用者が当該端末１３０を利用する前や利用者が当該端末１３０を利用中に、当該端末１３０の用途、当該端末１３０で利用されている暗号の種別、暗号の強度等の当該端末１３０の真正性に関する情報を利用者に通知する。また、画面８０１には利用者の認証情報と、端末管理サーバ１００に登録されている利用者環境を利用して、端末１３０の真正性を調査した時刻や真正性を検証した時刻など検証結果に関する情報を表示することができる。

端末１３０は、携帯電話などの情報機器を利用して、端末ＩＤや端末の設置場所、端末の真正性に関する状態（内部の状態や、管理者が直前にいつ確認したか）を確かめるためのアクセス情報（図８中では２次元バーコードによるＵＲＬ表示）が表示される。利用者はアクセス情報を元に端末１３０の真正性を端末管理サーバ１００へ問い合わせることができる。端末管理サーバ１００は、利用者からの問い合わせについて、端末１３０が送信してきた真正性情報を元に利用者に回答する。利用者は回答結果を端末管理サーバ１００の公開鍵証明書等の情報を用いて検証し確認することができる。

図９は、端末１３０を利用して利用者が、端末１３０の安全性を端末管理サーバ１００の機能を用いて判定し、サービス提供サーバ１５０からサービスを受ける際の端末システムのシーケンス図である。

＜初期化処理＞
端末１３０は、端末１３０の管理者や利用者が起動のための操作を行うと、初期化処理９０１を行う。初期化処理９０１は、端末１３０のＯＳの起動、管理アプリケーション（端末管理処理部１３１等）の起動、ネットワークへの接続、プロセスの確認、ログの記録を含む。初期化処理９０１は、管理者や利用者の操作のほかに、利用者が利用終了したときや、端末管理サーバ１００から指示を受けた場合等にも行われる。

＜環境確認処理＞
端末１３０は、環境確認処理９０２を行う。環境確認処理９０２は、ネットワーク１２０を介した管理サーバ１００への接続確認や、電源、接続されている周辺機器、機器の設置している場所などの情報の確認である。

＜真正性調査処理＞
端末１３０の真正性調査（９０３）のステップでは、端末１３０のメモリ３０２（図３）にロードされてＣＰＵ３０１（図３）により動作するプロセス状態や、当該端末１３０に接続されているデバイスの情報や、端末１３０が設置されている物理的位置や、ネットワークの状態や、ストレージの状態等の調査を、あらかじめ端末１３０の管理を行う管理者が決定した手順で端末管理処理部１３１が行う。

＜真正性調査の具体的な内容＞
端末１３０のメモリ３０２にロードされてＣＰＵ３０１が実行するプロセスの状態の調査は、端末管理処理部１３１が端末１３０で動作するプロセスの動作状態を確認する。具体的にはあらかじめ端末管理処理部１３１が持つプロセス動作情報とプロセススキャンの結果を照らし合わせた結果を確認する。

端末１３０に接続されているデバイスの情報は、端末管理処理部１３１が端末１３０に接続されているデバイスとデバイスを駆動するドライバプログラムの状態を調査する。

端末１３０の設置されている物理的位置の調査は、端末１３０に接続されているＧＰＳ（図示省略）等の測位システムや、カメラからの入力などを元にした位置情報を調査する。

ネットワーク１２０の状態の調査は、端末管理処理部１３１がネットワークのアドレス、接続経路、接続品質などを確認する。ストレージ１３９の状態の調査は、端末管理処理部１３１がストレージの容量やパーティションの状態、ストレージ１３９上のファイルスキャン、ウィルススキャンの結果を調査する。

＜通信チャネル生成処理＞
端末１３０上の端末管理処理部１３１は、端末管理サーバ１００の端末管理サーバ処理部１０２へ通信部１３５、通信部１０１を介して接続する。端末管理処理部１３１は、端末管理サーバ処理部１０２と相互認証及びＳＳＬ通信等の通信チャネル（相互認証チャネル）生成（９０４）を行う。ステップ９０４では、端末管理処理部１３１が、端末管理サーバ１００の端末管理サーバ処理部１０２が送付する情報を、サーバ証明書を用いて検証し、端末管理サーバ処理部１０２が、端末管理処理部１３１が送付した情報を端末ＩＤと端末の持つ認証情報（公開鍵証明書等）を用いて検証する。

＜端末認証情報のセキュリティ確保＞
ステップ９０４の相互認証の処理後に、端末管理処理部１３１と端末管理サーバ処理部１０２の間で通信のための秘密情報の安全な共有が行われ、セキュアな通信経路が構築される。ここで、端末管理処理部１３１が利用する認証情報は、ストレージ１３９上に端末情報１３８として保存されている。端末１３０の盗難に備えて、ストレージ１３９の端末情報１３８は、耐タンパ性のあるデバイスに格納されていてもよい。また、端末情報１３８を利用するために端末１３０の管理者がパスワードなどの秘密情報を入力しなければ、端末情報１３８を利用できないように構成しても良い。

＜真正性調査結果送信＞
端末１３０上の端末管理処理部１３１は、端末１３０の真正性調査９０３のステップで取得した真正性調査結果と、当該端末１３０に予め設定された端末ＩＤ４０１を端末管理サーバ処理部１０２に送信する（９０５）。端末管理サーバ１００上の端末管理サーバ処理部１０２は、受信した真正性調査結果の正当性をストレージ１１０内の端末情報１０７を参照して検証する（９０６）。

＜真正性検証の内容＞
この検証は、端末管理サーバ１００の端末管理サーバ処理部１０２が、端末１３０から受信した真正性調査結果及び端末ＩＤから、ストレージ１１０に格納された端末情報１０７の真正性検証用情報４０９に含まれるポリシーに基づいて実行する。

例えば、上記ポリシーを読み込んだサーバにおいて、端末管理サーバ処理部１０２は、端末１３０から受信した端末ＩＤ４０１で端末情報１０７を検索し、真正性調査結果に含まれる端末１３０のネットワークアドレスが、端末情報１０７のアドレス４０４（図４）と一致するか否かを判定する。また、端末管理サーバ処理部１０２は、端末１３０から受信した端末ＩＤ４０１で端末情報１０７を検索し、真正性調査結果に含まれる端末１３０の位置情報（緯度と経度）が、端末情報１０７の場所４０８（図４）と一致するか否かを判定する。また、端末管理サーバ処理部１０２は、端末１３０から受信した真正性調査結果から不正なプログラムやファイルが検知されていないことを判定する。そして、端末管理サーバ１００の端末管理サーバ処理部１０２は、端末１３０のネットワークアドレスと位置情報が端末情報１０７と一致し、かつ、不正なプログラムなどが検知されていない場合に、この端末１３０が真正（正当）な端末であると判定する。

＜真正性検証結果の送信＞
真正性調査結果が正当であると検証された場合、端末管理サーバ処理部１０２は真正性の検証結果を端末管理処理部１３１へ送信する（９０７）。一方、真正性の検証結果が正当であると検証されない場合、端末管理サーバ処理部１０２は、真正性の検証結果を端末管理サーバ１００の管理者や端末１３０の管理者へ通知する。この通知は、電子メール、ＦＡＸ、ネットワークを使った通知、電話などで行われる。また、端末管理サーバ処理部１０２は、正当でないとされた検証結果をストレージ１１０上のログ１０８に保存する。次に、端末管理サーバ処理部１０２は、端末管理処理部１３１へ「正当と判断されなかった」という結果を送信する。端末１３０の端末管理処理部１３１は、「正当と判断されなかった」という真正性の検証結果を端末管理サーバ処理部１０２から受け付けると、端末１３０の真正性調査９０３の処理と真正性調査結果の送信（９０５）を定められた回数まで繰り返す。端末管理サーバ処理部１０２は、端末１３０から真正性調査結果を受信するたびに真正性調査結果が正当であるか否かの検証（９０６）を実行する。具体的には、真正性の検証とは、送信されてきた端末内部で動作するプロセス状態や端末に接続されているデバイスの情報、端末が設置されている物理的位置、ネットワークの状態、ストレージの状態、ファイルスキャン、ウィルススキャンの結果等をあらかじめ端末情報１０７に登録された情報と比較することによって行う。

真正性調査結果の送信が正しいと認められるまで、端末管理処理部１３１は、端末１３０の表示画面に端末の真正性の調査を行っている事を表示する。端末管理サーバ処理部１０２は、端末１３０について定められた時間あたり、定められた回数、正当でない調査結果を受信した場合、その端末１３０の端末管理サーバ１００との通信を遮断する。

端末１３０と通信が遮断された場合、端末管理サーバ処理部１０２は、通信遮断の結果を端末管理サーバ１００の管理者及び端末１３０の管理者へ通知する。この通知は、電子メール、ＦＡＸ、ネットワークを使った通知、電話などで行われる。また、端末管理サーバ処理部１０２は、通信を遮断した結果をストレージ１１０上のログ１０８に保存する。

＜真正性検証結果の保存＞
真正性検証結果を端末１３０上の端末管理処理部１３１が受信すると、端末管理処理部１３１は、真正性検証結果をストレージ１３９へ保存する（９０８）。真正性検証結果は、端末管理サーバ１００と端末１３０間の保護された通信（相互認証チャネル）で守られている。また、端末管理サーバ１００との間で送受信する情報は、端末１３０の持つ公開鍵で暗号化されており、端末管理処理部１３１でなければ復号できない状態で送信される。真正性検証結果の中には、時刻情報（どれだけ以前に検証が行われたか及び現在時刻）と、端末管理サーバ処理部１０２が端末情報１０７を更新するための端末１３０の状態などの情報が含まれている。

＜真正性の検証状態の維持＞
端末１３０の真正性調査９０３と、真正性検証９０６により、端末１３０は不正なプログラムが動作していなく、かつ、所定の位置に設置されてセキュアな通信が可能な計算機であることが端末管理サーバ１００により判定される。すなわち、今回端末１３０を利用する利用者以前の使用者によって端末１３０の環境が改変されていないことが保証され、真正な端末１３０として判定される。

また、端末１３０で行う真正性調査９０３では、調査結果に調査を実施した時刻を含み、端末管理サーバ１００が行う真正性検証９０６では、真正性検証用情報４０９に含まれるポリシーが、端末１３０で実施した真正性調査の時刻と現在時刻の差を制限する場合では、真正性調査を実施した時刻と現在時刻の差が所定値を超えていたら、この調査結果を破棄して利用しない。つまり、古い真正性調査結果を用いるのを禁止することで、真正性の判定の精度を向上させることができる。なお、調査結果を破棄した後には、端末管理サーバ１００が端末１３０に対して、再度真正性調査９０３を実行するように指令することができる。

＜利用開始（デバイス接続）と認証情報要求送付（IDデバイス→端末）＞
利用者は、端末１３０を利用する際に、通信インターフェース１３４及び通信インターフェース１４４を介して端末１３０とＩＤデバイス１４０を通信させる（９０９）。端末管理処理部１３１の指示により、ＩＤデバイス１４０上のデバイス管理部１４１が認証情報要求を通信インターフェース１４４及び通信インターフェース１３４を介して、端末管理処理部１３１に送信する（９１０）。具体的に認証情報要求とは、ダイジェスト認証を行うことである。ダイジェスト認証の一例としては、例えば、ＲＦＣ２０６９に規定されるチャレンジ・アンド・レスポンスによる認証を、ＩＤデバイス１４０と端末管理サーバ１００との間で実施する。

＜認証情報要求転送（端末→端末管理サーバ）、第2の認証情報生成＞
端末管理処理部１３１は、ＩＤデバイス１４０から受信した認証情報要求を端末管理サーバ処理部１０２へ送信する（９１１）。端末管理サーバ１００は、端末１３０からチャレンジ・アンド・レスポンスによる認証情報要求を受け付けると、端末情報１０７に設定された当該端末（端末１３０）の送信結果（履歴４０６）から端末１３０の情報と真正性検証結果を検証する。そして、端末管理サーバ処理部１０２は、真正性の検証結果があらかじめ定められたポリシーに合致していれば、チャレンジ・アンド・レスポンスによる認証情報の生成と、第２の認証情報要求の作成を行う（９１２）。

＜第2の認証情報生成返送、認証情報転送（端末→IDデバイス）＞
端末管理サーバ処理部１０２は、生成した認証情報と第２の認証情報要求と端末公開鍵管理部１０４より入手した端末１３０の公開鍵を端末管理処理部１３１へ送信し（９１３）、端末管理処理部１３１は、受信した認証情報と第２の認証情報要求と端末１３０の公開鍵を通信インターフェース１３４及び通信インターフェース１４４を介してＩＤデバイス１４０へ送信する（９１４）。ここで、端末１３０の公開鍵は公開鍵証明書により真正性が保証できるようにしてもよい。

＜IDデバイスによる端末管理サーバの認証＞
ＩＤデバイス１４０は、端末１３０から受信したチャレンジ・アンド・レスポンスによる認証情報の正当性を調査し、正当なものであれば、ストレージ１４２に保存しているＩＤと、端末１３０から受信した第２の認証情報要求に対する第２の認証情報を生成する（９１５）。この処理９１５の時点で、ＩＤデバイス１４０と端末管理サーバ１００は、チャレンジ・アンド・レスポンスによるダイジェスト認証が完了する。

＜認証手法のバリエーション説明＞
ここで、ＩＤデバイス１４０が判定する認証情報の正当性とは、端末１３０から受信した認証情報の種別により、判断の行い方が異なる。認証情報が、パスワード（事前共有共通鍵）であるなら、ストレージ１４２に保存されているパスワードと受信した認証情報の比較により行われる。認証情報が、ダイジェスト認証であれば、認証要求や認証情報には乱数が含まれ、認証情報正当性の判断は、ダイジェストの検証により行われる。認証情報が、署名であれば、認証情報正当性の判断は、署名検証により行われる。

＜IDデバイスによる端末管理サーバの認証結果表示＞
ステップ９１５において、ＩＤデバイス１４０は、認証情報の正当性が検証できなければ、その後の応答を行わない。ＩＤデバイス１４０に表示機能や、スピーカーがついている場合、認証情報の正当性が検証できていない場合、画面上に認証情報の正当性が検証できていない情報を表示したり、音楽や警告音を鳴らすことにより、利用者に警告を伝える。同様に、認証情報の正当性が検証できた場合も、画面上に認証情報の正当性が検証できた情報を表示したり、正当性が検証できない場合とは別の音楽や警告音を鳴らすことにより、利用者に検証の結果を伝える。

＜端末管理サーバへの利用者IDと認証情報の提示＞
ＩＤデバイス１４０は、ストレージ１４２から読み出したＩＤ（利用者ＩＤ）と第２の認証情報（秘密情報）を端末管理処理部１３１へ送信する（９１６）。端末管理処理部１３１は、受信したＩＤと第２の認証情報を端末管理サーバ処理部１０２へ送信する（９１７）。

＜端末管理サーバによるユーザ（IDデバイス）の認証＞
端末管理サーバ処理部１０２は、端末１３０より受信したＩＤと第２の認証情報について、ストレージ１１０上の利用者情報１０５と比較して、端末１３０を使用する利用者（ＩＤデバイス１４０の所有者）の認証を行う。この認証は、端末１３０から受信したＩＤで、利用者情報１０５の利用者ＩＤ５０１（図５）を検索し、該当するレコードの秘密情報５０３（図５）と受信した第２の認証情報を比較して正当な利用者であるか否かを判定する。

＜利用者環境の準備＞
端末管理サーバ処理部１０２は、ＩＤデバイス１４０からのＩＤ（利用者ＩＤ）と第２の認証情報（秘密情報）で利用者が正当な利用者であると判定すると、この利用者が登録している利用者環境の送信準備を行う。利用者環境は、利用者情報１０５のステータス５０６（図５）に保存され、利用者のＩＤ５０１に紐付けられている。利用者環境は例えば、利用者に関する情報（名前、ニックネーム、ＩＤ番号、イラスト、写真）、端末１３０上で動作するアプリケーションや端末１３０上で動作するアプリケーションの利用する画面構成などのデータやスクリプトである。

＜利用者環境のバリエーション＞
利用者環境の送信準備（９１８）の際、端末管理サーバ処理部１０２は、利用者が登録している利用者環境のうち、端末１３０にて利用可能な環境で利用可能なものを選択する。これは、真正性検証結果に含まれる端末の状態や、端末情報１０７や認証情報送信時に同時に送信される利用者からの要求を参照し決定される。この利用可能なものの選択は、ブラウザアプリケーションが搭載されていない端末１３０にブラウザ用画面構成データやスクリプトを送信しても端末１３０上で利用者が利用できないため、利用できない環境を指令するのを防ぐために行われるものである。

＜利用者環境送信、表示＞
端末管理サーバ処理部１０２は、利用者環境の送信準備９１８で決定された利用者環境を端末管理処理部１３１へ送信する（９１９）。端末管理処理部１３１は端末管理サーバ１００から受信した利用者環境を端末１３０にて実行する。ステップ９１９で送信された利用者環境には、必要に応じて端末１３０にて実行する際の安全性を保証する認証情報（署名）が付加される。端末１３０はこの安全性を保証する認証情報を確認する。端末管理処理部１３１は、端末管理サーバ１００から受信した利用者環境をあらかじめ定められた方法で分類し、端末１３０上で実行したり、表示したりする。利用者環境が利用者に関する情報であれば、端末管理処理部１３１が利用者に関する情報を表示し、確認を行う（９２０）。また、利用者環境が端末１３０上で動作するアプリケーション（プログラム）であれば、端末１３０上で当該アプリケーションを実行させ、利用者により確認を行う（９２０）。この確認は、端末１３０上で動作するアプリケーションで利用する画面構成などのデータやスクリプトであれば、必要なアプリケーションを動作させるか否かを利用者に確認させた後に、アプリケーションへデータやスクリプトを送信する、利用者による確認を行う。

＜利用者による安全性の認識＞
利用者は、ＩＤデバイス１４０を端末１３０に接続してから、ステップ９２０で表示される情報を確認してはじめて、端末１３０が正当に利用してよい端末１３０であるということを認識する。以上の処理により、利用者は、端末１３０の真正性検証結果を知ることができる。本実施形態では、利用者と正当な端末１３０の間に偽端末を設置し、利用者と正当な端末との間のインタラクションを中継する中間者攻撃手法への対策を可能にする。図９のステップ９２０までのシーケンスにおいて、偽端末が正規の端末１３０に対してはＩＤデバイスのふりをし、正規のＩＤデバイス１４０に対しては端末１３０のふりをすることは、以下の条件を満たせば可能である。

（１）ステップ９１１において、偽端末がＩＤデバイス１４０から受信した認証情報要求を正規の端末１３０の端末処理部１３１に転送し、端末管理サーバ１００に正規の端末１３０の真正性検証結果を検証させる。

端末管理サーバ処理部１０２は、正規の端末１３０から認証情報要求を受け取っているために、正規の端末１３０の真正性の検証結果があらかじめ定められたポリシーに合致していれば、ステップ９１２を正しく実施することになる。

（２）ステップ９１４において、偽端末がＩＤデバイスのふりをして正規の端末１３０から受信した認証情報と第２の認証情報要求を、正規の端末のふりをして正規のＩＤデバイス１４０に送信する。

（３）ステップ９１６において、偽端末が正規の端末１３０のふりをしてＩＤデバイス１４０よりＩＤと第２の認証情報を受信し、ＩＤデバイスのふりをして正規の端末１３０に受信した前記情報を中継する。

上記の条件を満たすとき、ステップ９１９で利用者環境を正規の端末１３０上で実行したり、表示したりすることができる。そこで、偽端末が正規の端末１３０に表示された利用者環境を取得し、偽端末上に表示することができれば、中間者攻撃が成立する。

＜サービス利用のための認証情報の取得＞
次に端末管理処理部１３１もしくは端末１３０上で動作するアプリケーションが、サービスを利用者に提供するための準備を行う。サービス利用のためにさらなる認証情報としてのサービス利用認証情報の送信が必要である場合、利用者は、端末１３０に対して、サービス利用認証のための情報の要求（ＩＤの要求、パスワードの要求、生体認証情報の要求、プライバシー情報の要求、その他秘密情報の入力要求）などに画面の表示に従って返答する。入力された認証のための情報はＩＤデバイス１４０や端末管理サーバ処理部１０２に送信される（９２１）。ＩＤデバイス１４０は、受け取った認証のための情報（たとえばＰＩＮ）から、更なる認証情報であるサービス利用認証情報（署名情報）を生成し（９２２）、端末１３０に送信する（９２３）。ここで、中間者攻撃を不可能にするために、ステップ９２２においては、ステップ９１４で受信した端末１３０の公開鍵を用いて更なる認証情報（署名情報）を暗号化し、ステップ９２３で端末１３０に送信する。

＜サービス要求＞
利用者は、端末管理処理部１３１や端末１３０上で動作するアプリケーションを用いて端末管理サーバ１００やサービス提供サーバ１５０にサービス提供の要求を行う（９２４）。ステップ９２４において、サービス提供サーバ１５０は、端末１３０の利用者の認証処理を行い、サービスの提供にあたり、必要な品質の通信の暗号化を実施する。利用者の認証処理に必要なサービス利用認証情報は、ステップ９２２で端末１３０の公開鍵を用いて暗号化されており、端末１３０は機密情報処理部１３３で自身の秘密鍵を用いて認証情報を復号する処理を実施する。そして、端末１３０は、真正性検証結果を含む端末情報を送付する（９２５）。サービス提供サーバ１５０は、端末１３０が送信した認証情報を含むサービス要求と、真正性検証結果を含む端末情報を検証し、予め設定したサービス提供のポリシーに従って端末１３０を介した利用者へのサービス提供を行う（９２６）。この真正性検証結果を含む端末情報は、ステップ９０７において、端末管理サーバ１００が発行したものであるという署名等の情報を含むため、サービス提供サーバ１５０は前記の検証を行える。

＜サービス状態の引継ぎ＞
この際、認証情報送信のステップ９１６にて、利用者が端末１３０の利用開始以前に実行していたサービスとサービスの状態を端末１３０がＩＤデバイス１４０から受信し、ステップ９２４で送信するサービス要求に含めることにより、利用者は端末１３０の利用を開始する以前に実行していたサービスとサービスの状態を端末１３０に簡便な操作で引き継ぐことができる。前記のサービスとサービスの状態とは、ＩＤデバイス１４０が以前に通信した端末１３０とは異なる端末において利用者が利用していたサービスとサービスの状態を示す。もしくは、ＩＤデバイス１４０が端末１３０の機能を持つ場合では、ＩＤデバイス１４０上で実行しているサービスとサービスの状態を示す。

また、ＩＤデバイス１４０と端末１３０間の通信及びサービス提供サーバ１５０及び端末１３０の間の通信は盗聴防止のために暗号化されていても良い。また、認証情報の要求と認証情報の作成は、ダイジェスト認証や公開鍵暗号を用いた署名検証に限らず、生体情報の確認や、そのほかの認証情報の要求と認証情報要求に対する応答の作成でよい。

＜利用終了時の処理＞
端末管理処理部１３１は、利用者が利用を終了したのを検知し（９２７）、利用者が利用停止した事をサービス提供サーバ１５０に送信し（９２８）端末管理サーバ１００にも送信する（９２９）。利用者が利用を終了したことの検知方法は、利用者が端末１３０の入力装置に終了を意味する入力を行ったり、あらかじめ定められた時間入力が無かったり、利用者の利用開始からあらかじめ定められた時間が経過したり、利用者が利用場所を離れるなどしてＩＤデバイス１４０と端末１３０の通信があらかじめ定められた時間無かったりすること、利用者の利用形態をカメラで撮像して端末１３０が利用の終了を判断する等を検知する方法である。利用者が利用を終了したことを端末管理処理部１３１が検知した場合、端末管理処理部１３１は、端末１３０を再起動するか、後述するメモリ３０２やストレージ１３９の内容を初期化する。このことにより、ステップ９０１が開始され、次の利用者が安全に端末１３０を利用可能な状態を構成する。

端末１３０がサービス提供サーバ１５０から受けるサービスは、例えば、ストリーミングによる情報の送受信やテレビ会議、電話会議、メール送受信、ＶＰＮを利用したリモートアクセス、仮想デスクトップの提供、ＷＥＢアプリの利用、オンラインゲーム、イーラーニング、ブログの利用、ＳＩＰサービスの利用、位置情報サービスの利用、営業支援システムの利用、メールサービスの利用、ＰＩＭサービス利用、オフィスツール利用、検索サービス利用等が挙げられる。

図４は、端末管理サーバ１００のストレージ１１０に記録されている端末情報１０７の例を示すものである。図４において端末情報１０７は、端末ＩＤ４０１に対して、当該端末を利用する利用者ＩＤ４０２と、機種４０３と、アドレス４０４と、管理ＩＤ４０５と、履歴４０６と、ステータス４０７と、場所４０８と、検証用情報４０９、備考４１０が対応付けて登録されている。

端末ＩＤ４０１は、端末１３０に対し、端末の管理者が、個別のＩＤを割り当て管理するものである。端末１３０では、端末ＩＤ４０１は、ストレージ１３９の中に格納されている。前述のステップ９０４において端末管理サーバ１００から端末ＩＤ４０１が送信される。前述のステップ９０５にて送信される真正性調査結果には、端末情報１０７の端末に関する情報が含まれるため、端末管理サーバ１００は、端末１３０が送信した真正性調査結果から、端末１３０に関連する端末情報１０７を更新する。

利用者ＩＤ４０２は、現在該当する端末１３０を利用している利用者を示す。機種４０３は、端末１３０に該当する機種を示す。アドレス４０４は、端末１３０が接続しているネットワーク１２０上の識別子であるＩＰアドレス等のアドレスを示す。管理ＩＤ４０５は、該当する端末１３０を管理する管理会社等の管理母体や管理者のＩＤを示す。履歴４０６は、端末１３０が端末管理サーバ１００に送信した情報と端末１３０の状態を記録したログを記憶したものである。このログは、時刻と、そのほかの端末に関わる情報の組み合わせである。その他の端末１３０に関わる情報とは、端末１３０の起動、終了、リセット時間、メンテナンス情報、アプリケーション、サービス等を記録したステータス情報、端末１３０に接続されているデバイス情報である。

端末のステータス４０７は、該当する端末１３０が現在どのような状況下にあるかを示す。例えば、利用者が利用しているサービスの状況や、利用者の利用を待っているサービスの状況である。場所４０８は、端末１３０が設置されている場所を示し、例えば、経度と緯度などで表現される。検証用情報４０９は、前記のステップ９０６にて真正性（調査結果が正当であるか正当でないか）を端末管理サーバ処理部１０２が検証するための情報やポリシーが記録されている。この検証用情報４０９は、端末１３０の管理者が定義し、更新する。備考４１０は、その他のエラー状態情報や、メンテナンス用の情報、認証用の特別な情報が記録されている。

図５は、端末管理サーバ１００のストレージ１１０に記録されている利用者情報１０５の例を示すものである。利用者ＩＤ５０１に対応する、利用者の公開鍵証明書５０２、共通鍵等の秘密情報５０３、管理ＩＤ５０４、履歴５０５、ステータス５０６、利用者が利用している端末ＩＤ５０７、備考５０８が登録されている。

利用者ＩＤ５０１は、利用者に対してシステムの管理者が個別のＩＤを割り当てて管理しているものである。利用者ＩＤ５０１は、利用者（または管理者）がＩＤデバイス１４０の内部に格納して管理する。前述のステップ９１６にて送信されるＩＤは、利用者ＩＤ５０１を含むか、あらかじめ定められた方式で利用者ＩＤ５０１に紐付けて管理されている。

利用者の公開鍵証明書５０２は、利用者が信頼された認証局から発行された公開証明書であり、利用者がＩＤデバイス１４０に格納する秘密鍵に対応する公開鍵証明書である。共通鍵等の秘密情報５０３は、利用者が利用するＩＤデバイス１４０と、相互認証や共通の秘密情報の共有を行うときに利用する事前共有する共通鍵や、セッション鍵、乱数である。

管理ＩＤ５０４は、該当する利用者を管理する管理会社などの管理母体や管理者のＩＤを示す。履歴５０５は、利用者が端末１３０上で行った処理や状態（アプリケーションの状態）を記録したログを記憶したものである。ログは、時刻と、その他の利用者の行った処理や状態関わる情報の組み合わせである。その他の利用者の行った処理や状態関わる情報とは、端末の利用開始、端末上での操作、端末の利用終了に関する情報、利用したＩＤデバイス情報である。

ステータス５０６は、該当する利用者が現在どのような状況でサービスを利用しているかを示す。端末ＩＤ５０７は、現在利用者が利用している端末１３０の端末ＩＤである。備考５０８は、その他のエラー状態情報や、メンテナンス用の情報、認証用の特別な情報が記録されている。

図２は、端末管理サーバ１００のハードウェア構成を示すブロック図である。端末管理サーバ１００は、内部でＣＰＵ２０１と、メモリ２０２と、ストレージ２０３と、ＮＩＣ（ネットワークインターフェースカード）２０４と、入出力装置２０５がバスにより接続されている構成である。ＮＩＣ２０４は、ネットワーク１２０と接続して図１の通信部１０１を構成している。ストレージ２０３は、図１のストレージ１１０に相当し、ストレージ２０３の機能は、ローカルに接続された記憶装置もしくは、ネットワーク１２０上のストレージ（図示省略）により実現される。

端末管理サーバ処理部１０２や端末情報登録部１０３は、ストレージ１１０に保存されたプログラムをメモリ２０２にロードし、ＣＰＵ２０１で実行することにより、これらプログラムの機能が実現される。

図３は、端末１３０のハードウェア構成を示すブロック図である。端末１３０は、内部でＣＰＵ３０１と、メモリ３０２と、ストレージ３０３と、ＮＩＣ３０４と、入出力装置３０５と、耐タンパストレージ３０６がバスにより接続されている構成である。ＮＩＣ３０４は、ネットワーク１２０と接続している。ストレージ３０３もしくは耐タンパストレージ３０６、ネットワーク上のストレージの機能を合わせて、図１でストレージ１３９と示している。

端末管理処理部１３１やサービス処理部１３２は、ストレージ３０３に保存されたプログラムをメモリ３０２にロードし、ＣＰＵ３０１で実行することにより、機能が実現される。耐タンパストレージ３０６には、利用者や端末１３０の持つ認証情報を保存する。端末ＩＤと端末ＩＤに関わる認証情報（共通鍵、秘密鍵、公開鍵証明書等）も耐タンパストレージ３０６に保存する。入出力装置３０５は、通信インターフェース１３４や、画面やタッチパネル、キーボード、テンキーパッドなどの入力装置、磁気カードや接触型ＩＣカードなどのリーダライタ、非接触型ＩＣカードなどの通信インターフェースを含む。

図６は、ＩＤデバイス１４０のハードウェア構成を示すブロック図である。ＩＤデバイス１４０は、ＣＰＵ６０１と、メモリ６０２と、ストレージ６０３と、通信インターフェース１４４と、入出力装置６０４と、耐タンパストレージ６０５がバスにより接続されている構成である。通信インターフェース１４４は、端末１３０の通信インターフェース１３４と接続可能な構成になっている。ＩＤデバイス１４０は、図示しない通信部を持ち、端末１３０と同等のサービス提供を受ける端末機能を持っていてもよい。

ストレージ１４２は、ストレージ６０３もしくは耐タンパストレージ６０５を合わせて実現される。デバイス管理部１４１の機能は、ストレージ６０３に保存されたプログラムをメモリ６０２にロードし、ＣＰＵ６０１で実行することにより、実現される。耐タンパストレージ６０５には、利用者の持つ認証情報（例えば、利用者ＩＤ５０１と秘密情報５０３）や、端末管理サーバ１００の真正性を保証する情報（例えば、公開鍵等）を保存する。入出力装置６０４は、画面やタッチパネルやキーボード、テンキーパッドなどの入力装置、磁気カード、接触型ＩＣカードなどのリーダライタ、非接触型ＩＣカードなどの通信インターフェースを含む。

図７は、本実施形態の図９に示したステップ９１９において利用者環境が端末１３０に送信された際、端末管理処理部１３１が端末１３０の画面に表示する情報（利用者環境表示７００）を説明する図である。利用者環境表示７００は、内部にサービス表示部７０１、状態表示部７０２、パスワード入力部７０３、個人情報表示部７０４、画像表示部７０５を含む。利用者環境は、利用者が任意に端末管理サーバ１００へ登録を行うことができるため、個人情報表示部７０４に氏名やニックネームや利用者に関係する情報を表示したり、画像表示部７０５に利用者の好みの写真など利用者に関係のある情報を表示することができる。利用者が利用者環境の表示を端末１３０で確認することにより、利用者は端末１３０の安全性を確認するとともに、利便性の高いサービスを受けることができる。

以上のように、不特定多数の利用者が使用可能な端末１３０と、端末管理サーバ１００をネットワークで接続した端末システムを構成することにより、利用者は簡便な操作で、真正性の不確かな端末１３０の真正性を確認した上で利用し、サービス提供を受けることができ、利用者の利便性と取り扱う情報の閲覧、加工などの取り扱いに対する安全性が向上する。

また、利用者がＩＤデバイス１４０を用いて端末１３０と認証操作を行うだけで、利用者は端末１３０のスペックや利用の状況に即した利用者環境を当該端末１３０に構築することができ、サービス開始までの時間を削減できるため、利用者の利便性が向上する。

＜第２実施形態＞
図１０は、本実施形態の端末１３０を利用して利用者が端末１３０の安全性を端末管理サーバ１００の機能を用いて判定し、サービス提供サーバ１５０からサービスを受ける際のシステムのシーケンス図である。

第１実施形態の図９と異なる点は、ステップ１００６における真正性検証結果の内容が異なる点と、ステップ１０２０の利用者環境表示、確認以降のステップで、端末管理サーバ１００が主体となって、利用者のサービス利用の手続きを行う点である。その他は第１実施形態の図９と同様である。

ステップ１００６において、端末管理サーバ処理部１０２は、真正性の検証を行う。真正性調査結果が正当であると検証された場合、真正性検証結果が、端末管理サーバ処理部１０２から端末管理処理部１３１へ送信される（９０７）。この真正性検証結果は、端末１３０にて復号可能な暗号化が施してあり、ＩＤデバイス１４０にて検証可能な内容になっている。利用者が端末１３０の利用を開始した場合（９０９）、ＩＤデバイス１４０の認証要求９１０に対し、真正性検証結果を認証情報及び第２の認証要求としてＩＤデバイス１４０に送信することにより、ＩＤデバイス１４０は、端末１３０の真正性を確認でき、ステップ１０１６以降の処理を進めることができる。

このとき、ＩＤデバイス１４０は、真正性の内容をＩＤデバイス１４０が持つ時刻情報や別のネットワーク経由での端末管理サーバ１００への問い合わせなどを利用して行っても良い。また、利用者に真正性検証結果から演算された計算結果を表示し、端末１３０上の表示と比較することによって、真正性を検証しても良い。

また、ステップ１０１６にて送信される第２の認証情報に、サービス要求やサービス利用のための認証情報を含ませることにより、利用者がサービス利用要求を端末１３０を介して端末管理サーバ１００へ指示後（１０２１、１０２２）、端末管理サーバ１００は、サービス提供サーバ１５０に対し、端末１３０へのサービス提供開始要求と、端末の真正性検証結果を含む端末情報の送付（１０２３、１０２４）を行い、利用者はサービスの提供を受ける（１０２５）。

このように端末１３０、端末管理サーバ１００をネットワーク１２０で接続した端末システムを構成することにより、第１実施形態と比較して、サービス開始までの時間や、ユーザの操作を削減できるため、利用者の利便性が向上する。

また、ステップ１０１６にて、利用者が端末１３０の利用開始以前に実行していたサービスとサービスの状態を端末１３０が受信するように構成し、ステップ１０２５にて利用者が当該端末１３０の利用以前に実行していたサービスとサービスの状態を引き継ぐことができるようにすると、利用者は、少ない操作で、以前実行していたサービスとサービスの状態を引き継ぐことができる。これにより、利用者の利便性が向上する。このサービスとサービスの状態とは、ＩＤデバイス１４０が以前に通信した端末１３０とは異なる端末において利用者が利用していたサービスとサービスの状態もしくは、ＩＤデバイス１４０が端末の機能を持ちＩＤデバイス１４０上で実行しているサービスとサービスの状態を示す。

なお、各実施形態では、端末管理サーバ１００とサービス提供サーバ１５０が異なる計算機で構成された例を示したが、端末管理サーバ１００とサービス提供サーバ１５０の機能を一つの計算機で提供することができる。

本実施形態によれば、不特定多数の利用者が一時的に借り受けて利用する端末を含む計算機システムに適用することができ、さらに、不特定多数の利用者が一時的に借り受けて利用する端末を管理する管理サーバに適用することができる。

１００：端末管理サーバ、１０２：端末管理サーバ処理部、１０３：端末情報登録部、１０４：端末公開鍵管理部、１１０：ストレージ、１３０：端末、１３１：端末管理処理部、１３２：サービス処理部、１３３：機密情報処理部、１３９：ストレージ、１４０：ＩＤデバイス、１４１：デバイス管理部、１５０：サービス提供サーバ、１５２：サービス処理部。

Claims (8)

1. メモリを有する端末と、前記端末とネットワークを介して接続する端末管理サーバを含む端末システムであって、
   前記端末は、
   予め設定したＩＤと認証情報とを格納したＩＤデバイスと接続し、前記ＩＤデバイスから前記ＩＤと前記認証情報を取得して前記端末管理サーバへ認証要求として送信する認証要求部と、
   前記メモリの状態を調査する真正性調査部と、
   前記真正性調査部が調査した結果を前記端末管理サーバへ送信する真正性調査結果送信部と、
   前記ＩＤデバイス内で公開鍵で暗号化されたサービス利用認証情報を、前記公開鍵に対応する秘密鍵で復号する機密情報処理部とを具備し、
   前記端末管理サーバは、
   前記端末の利用者毎に固有の情報を予め登録する端末情報登録部と、
   前記端末から受信した前記認証要求に含まれる前記ＩＤと前記認証情報を、予め設定した利用者情報と比較して認証を行う認証部と、
   前記端末から受信した前記調査結果に基づいて、前記端末が改ざんを受けていないことを判定する真正性判定部と、
   前記認証が成功し、かつ、前記真正性判定部が改ざんを受けていないと判定したときに、前記利用者に固有の情報を、前記端末に送信する固有情報送信部と、
   前記公開鍵を管理する端末公開鍵管理部とを具備し、
   前記端末は、
   前記端末管理サーバから受信した前記利用者に固有の情報を表示する表示部を有することを特徴とする端末システム。
2. 請求項１に記載の端末システムにおいて、
   前記端末の利用者毎に固有の情報を予め登録する前記端末情報登録部は、
   前記利用者毎に実行するアプリケーションを予め登録し、
   前記端末は、
   前記端末管理サーバから受信した前記利用者に固有の情報に基づいて前記アプリケーションを取得し、当該アプリケーションを実行することを特徴とする端末システム。
3. 請求項１に記載の端末システムにおいて、
   前記真正性調査部は、
   前記メモリの状態を調査した結果に、当該調査を実施した時刻情報を含み、
   前記真正性判定部は、
   前記真正性調査部が調査した結果に含まれる時刻情報と、現在時刻の差が所定値を超えたときには当該調査結果を破棄することを特徴とする端末システム。
4. 請求項１ないし請求項３の何れか１項に記載の端末システムにおいて、
   前記ＩＤデバイスは、
   前記認証情報を予め格納した記憶部と、
   前記端末と通信を行う通信インターフェースと、
   前記端末管理サーバと相互認証を実行し、前記相互認証の結果が成功である場合に、前記記憶部に格納した前記認証情報を前記端末に送信するデバイス管理部と、
   を有することを特徴とする端末システム。
5. 請求項１に記載の端末システムにおいて、
   前記端末の利用者毎に固有の情報を予め登録する前記端末情報登録部は、
   前記利用者が前記端末を利用する直前に使用していたアプリケーションを前記利用者毎に固有の情報として格納し、
   前記端末は、
   前記端末管理サーバから受信した前記利用者に固有の情報に基づいて前記アプリケーションを取得し、当該アプリケーションを実行し、当該アプリケーションを前記利用者へ継続的に提供することを特徴とする端末システム。
6. 請求項１に記載の端末システムにおいて、
   前記端末にサービスを提供するサービス提供サーバをさらに有し、
   前記端末管理サーバは、
   前記端末からサービスの要求を受けたときには、前記認証部の認証結果と、前記真正性判定部の判定結果とともに前記サービスの要求を前記サービス提供サーバに送信し、
   前記サービス提供サーバは、
   前記認証結果と、前記真正性判定部の判定結果を受け付けて、前記サービスの要求に対するサービスの提供を開始することを特徴とする端末システム。
7. メモリを具備してネットワークに接続される端末において、
   前記端末は、
   予め設定したＩＤと認証情報を格納したＩＤデバイスと接続し、前記ＩＤデバイスから前記ＩＤと前記認証情報を取得して前記ネットワークへ認証要求として送信する認証要求部と、
   前記メモリの状態を調査する真正性調査部と、
   前記真正性調査部が調査した結果を前記ネットワークへ送信する真正性調査結果送信部と、
   前記ネットワークへ送信した認証要求と前記調査結果に対する応答として、当該端末の利用者に固有の情報を受信したときに、当該固有の情報を表示する表示部と、
   を有することを特徴とする端末。
8. メモリを具備し、ネットワークに接続されて前記ネットワークに接続された端末を管理する端末管理サーバにおいて、
   前記端末の利用者毎に固有の情報を予め登録する端末情報登録部と、
   前記端末から受信した認証要求に含まれるＩＤと認証情報を、予め設定した利用者情報と比較して認証を行う認証部と、
   前記端末から受信した所定の調査結果から、前記端末が改ざんを受けていないことを判定する真正性判定部と、
   前記証が成功し、かつ、前記真正性判定部が改ざんを受けていないと判定したときに、
   前記利用者に固有の情報を前記端末に送信する固有情報送信部と、
   を備えたことを特徴とする端末管理サーバ。

Images