JP2012133606A - シンクライアントシステム、リモートアクセス処理制御方法、プログラム及び記憶媒体 - Google Patents

Abstract

【課題】在宅勤務等に適するシンクライアントシステム等を提供する。
【解決手段】人物感知センサ４０は、クライアント端末１０が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶する。クライアント端末１０は、人物感知センサ４０より在室人数を取得し、完全性検証サーバ８０に送信する。完全性検証サーバ８０は、在室適正人数を保持し、クライアント端末１０が送信した在室人数が適正人数であるか否かの検証を行い、検証の結果、適正でない場合は画面ロックをする命令、適正である場合は画面ロックを解除する命令を生成し、クライアント端末１０に送信する。クライアント端末１０は在室人数が適正である場合にのみ、シンクライアントサーバ９０へリモートアクセス処理することができる。
【選択図】図１

Description

本発明は、在宅勤務等に適するシンクライアントシステムに関する。

近年、ワーク・ライフ・バランスの推進や育児者および介護者に対しての新しい働き方として在宅勤務制度を導入する企業が増えてきている。在宅勤務の方法として、会社が専用のコンピュータを貸し出して、在宅勤務者はそのコンピュータを用いてのみ会社のサーバにアクセスできるようにしていることが多い。さらに、会社貸与のコンピュータは、セキュリティ確保の設定として、ハードディスクにデータを保存することができなかったり、ハードディスクを暗号化したり、社員証がないとオペレーティングシステムを起動できない仕組みを導入したりしている場合もある。
また、セキュリティ対策として、クライアント端末に必要最小限の機能のみを持たせ、アプリケーションの処理などの機能をサーバに集約させたシンクライアントシステムの導入も増えてきており、シンクライアントシステムにおいては、リモートアクセス処理を可能にするクライアント端末の認証とセキュリティを確保することが重要である。

例えば、特許文献１には、特定なセキュリティチップをコンピュータ基板上に設けることなく、クライアント端末のプラットフォーム完全性を検証できるシステムを提案しており、このシステムによって、シンクライアントシステムにおけるクライアン端末の認証とセキュリティを確保している。

特開２００９−１７５９２３号公報

シンクライアントシステムにおいて、在宅勤務等の場合、固定の場所にあるクライアント端末のセキュリティを強固にしても、シンクライアントサーバへの接続中に家族などに画面に表示されている内容を見られてしまい、会社の機密情報が漏れてしまう恐れがあった。
また、その機密情報漏洩を防ぐために作業者は常にクライアント端末のある仕事場の環境が適正であるか否かを注意して仕事をすることになり、仕事の能率が悪くなるという課題があった。

本発明は、前述した問題点に鑑みてなされたもので、その目的とすることは、在宅勤務等の場合であっても、家族などに画面に表示されている内容を見られて会社の機密情報が漏洩することを防止し、適正な環境でのリモートアクセス処理を自動で制御することができる、シンクライアントシステム等を提供することである。

前述した目的を達成するために、第１の発明は、人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムであって、前記人物感知センサは、前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶する手段、を備え、前記クライアント端末は、シンクライアントオペレーティングシステムと、前記シンクライアントオペレーティングシステムを読み出して起動する手段と、を備え、前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行う手段と、定期的に前記人物感知センサから前記在室人数を取得する手段と、前記在室人数が適正人数でない場合には画面をロックする画面ロック手段と、前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除手段と、を備えることを特徴とするシンクライアントシステムである。第１の発明によって、シンクライアントシステムにおいて、在宅勤務等の場合であっても、家族などに画面に表示されている内容が見られず、会社の機密情報の漏洩を防止することができ、適正な環境でのみリモートアクセス処理が可能になり、安心して作業することができる。

例えば、前記シンクライアントオペレーティングシステムは、前記在室人数を前記サーバに送信する手段と、前記サーバから画面ロック命令を受信する手段と、を更に備え、前記画面ロック手段は、前記画面ロック命令を受信すると、画面をロックし、前記サーバは、前記適正人数を記憶する手段と、前記クライアント端末から前記在室人数を受信すると、記憶されている前記適正人数と比較し、前記在室人数が前記適正人数か否かを判定する判定手段と、前記判定手段によって前記在室人数が前記適正人数でないと判定された場合には、前記画面ロック命令を前記クライアント端末に送信する手段と、を更に備える。これにより、在室適正人数が変わった場合にも、容易に画面ロックをすることができ、第三者に画面に表示されている内容が見られず、機密情報の漏洩を防止することができる。

前記サーバは、前記判定手段によって前記在室人数が前記適正人数であると判定された場合には、画面ロック解除命令を前記クライアント端末に送信する手段、を更に備え、前記シンクライアントオペレーティングシステムは、前記サーバから前記画面ロック解除命令を受信する手段、を更に備え、前記画面ロック解除手段は、前記画面ロック解除命令を受信すると、画面ロックを解除するようにしても良い。これにより、在室適正人数になった場合に、自動的に画面ロックを解除し、作業途中の画面に復帰して、リモートアクセス処理を続行することができる。

また、例えば、前記シンクライアントオペレーティングシステムは、前記適正人数を記憶する手段と、定期的に前記人物感知センサから前記在室人数を取得し、記憶されている前記適正人数と比較し、前記在室人数が前記適正人数か否かを判定する判定手段と、を更に備え、前記画面ロック手段は、前記判定手段によって前記在室人数が前記適正人数でないと判定された場合には、画面をロックする。これにより、クライアント端末において在室適正人数判定が可能になり、通信速度が遅い環境であっても、即座に画面ロックをすることができ、第三者に画面に表示されている内容が見られず、機密情報の漏洩を防止することができる。

前記画面ロック解除手段は、前記判定手段によって前記在室人数が前記適正人数であると判定された場合には、画面ロックを解除するようにしても良い。これにより、在室適正人数になった場合に、通信速度が遅い環境であっても、即座に自動的に画面ロックを解除し、作業途中の画面に復帰して、リモートアクセス処理を続行することができる。

第２の発明は、人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムが実行するリモートアクセス処理制御方法であって、前記人物感知センサが、前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶するステップと、前記クライアント端末が、シンクライアントオペレーティングシステムを読み出して起動するステップと、前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行うステップと、定期的に前記人物感知センサから前記在室人数を取得するステップと、前記在室人数が適正人数でない場合には画面をロックする画面ロックステップと、前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除ステップと、を実行することを特徴とするリモートアクセス処理制御方法である。これにより、在宅勤務等の場合であっても、家族などに画面に表示されている内容が見られず、会社の機密情報の漏洩を防止することができ、適正な環境でのみリモートアクセス処理が可能になり、安心して作業することができる。

第３の発明は、人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムが実行するリモートアクセス処理制御方法を実現するためのプログラムであって、前記人物感知センサが、前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶するステップと、前記クライアント端末が、シンクライアントオペレーティングシステムを読み出して起動するステップと、前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行うステップと、定期的に前記人物感知センサから前記在室人数を取得するステップと、前記在室人数が適正人数でない場合には画面をロックする画面ロックステップと、前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除ステップと、を実行するように機能させるためのプログラムである。

第４の発明は、前記プログラムを記憶するコンピュータ読取可能な記憶媒体である。

本発明により、シンクライアントシステムにおいて、在宅勤務等の場合であっても、家族などに画面に表示されている内容が見られて、会社の機密情報が漏洩することを防止することができ、適正な環境でのリモートアクセス処理を自動で制御することができ、安心して作業することができる。

本発明の実施の形態としてのＵＳＢシンクライアントシステムの構成例を示す図である。 クライアント端末の構成例を示す図である。 人物感知センサの構成例を示す図である。 ＵＳＢデバイスの構成例を示す図である。 完全性検証サーバの機能構成例を示すブロック図である。 ユーザＩＤテーブル記憶部に記憶されるテーブルの例を示す図である。 シンクライアントシステムにおいて、プラットフォームの完全性を検証し、画面ロックを制御する一連の処理を説明するフローチャートである。 図７に続くフローチャートである。

以下、図面に基づいて、本発明の実施形態を詳細に説明する。
［本発明の実施の形態］
図１は、本発明の実施の形態としてのUSB（Universal Serial Bus）シンクライアントシステムの構成例を示す図である。

図１に示すように、シンクライアントシステム１は、ドア５０によって仕切られた部屋の中にあるクライアント端末１０、クライアント端末１０と接続されるUSBデバイス２０およびＩＣカードリーダ・ライタ３０と人物感知センサ４０、クライアント端末１０とネットワーク６０を介して接続されるVPN（Virtual Private Network）サーバ７０、VPNサーバ７０と接続される完全性検証サーバ８０、完全性検証サーバ８０と接続されるシンクライアントサーバ９０とから構成される。なお、クライアント端末１０の数は、任意であり、図１に示されるように１つに限られるものではない。

USBシンクライアントシステムとは、シンクライアントＯＳ（Operation System）が格納されたUSBデバイス２０をクライアント端末１０にマウント（装着）し、このクライアント端末１０をシンクライアント化させてシンクライアントサーバ９０にリモートアクセスするシステムのことである。

クライアント端末１０は、CPU（Central Processing Unit）、ROM（Read Only Memory）、RAM（Random Access Memory）、およびHDD（Hard Disc Drive）などを実装したコンピュータシステムである。クライアント端末１０は、マウントされたUSBデバイス２０に記憶されているシンクライアントＯＳを読み出して起動し、ネットワーク６０を介してVPNサーバ７０との認証を行う。クライアント端末１０は、VPNサーバ７０との認証に成功すると、ネットワーク６０およびVPNサーバ７０を介して完全性検証サーバ８０との認証を行う。

クライアント端末１０は、完全性検証サーバ８０との認証に成功すると、USBデバイス２０に記憶されているデバイスＩＤを読み出して、ネットワーク６０を介して完全性検証サーバ８０に送信し、そこで管理されているデバイスＩＤに関連付けられたユーザＩＤを取得する。

クライアント端末１０は、ネットワーク６０、VPNサーバ７０、および完全性検証サーバ８０を介してシンクライアントサーバ９０との認証を行い、認証に成功すると、シンクライアントＯＳに含まれる画面ロック制御機能を起動する。

クライアント端末１０は、ＩＣカードリーダ・ライタ３０で読み取らせたＩＣカード（例えば、ＩＣカード機能付き社員証）３１に記憶されているユニークなＩＤ（例えば、社員ＩＤ）と、完全性検証サーバ８０から取得したユーザＩＤとが一致するか否かの検証を行う。さらに、人物感知センサ４０が保持している、クライアント端末１０の設置された部屋の在室人数を取得し、在室人数を完全性検証サーバ８０に送信し、完全性検証サーバ８０から受信した画面ロック制御命令に従って画面ロック制御を行う。完全性検証サーバ８０から画面ロック解除命令を受信した場合は、シンクライアントサーバ９０で管理されているアプリケーションを遠隔で実行させることができる。

USBデバイス２０は、クライアント端末１０と着脱可能になされており、クライアント端末１０で実行するためのシンクライアントＯＳや、USBデバイス２０を一意に識別することが可能なデバイスＩＤ等を記憶する携帯型記憶デバイスである。またUSBデバイス２０には、在室人数を取得するための機能も内蔵されている。本実施の形態では、携帯型記憶デバイスとしてUSBメモリを適用するが、これに限らず、他の記憶媒体を用いることも可能である。

ＩＣカードリーダ・ライタ３０は、ＩＣカード３１が装着（近接）されると、ＩＣカード３１に記憶されているデータを読み出して、クライアント端末１０に送信したり、クライアント端末１０から受信したデータを、ＩＣカード３１に書き込んだりする。ＩＣカード３１には、ユニークＩＤ（所有者を一意に識別する情報）が記憶されている。本実施の形態では、ユニークＩＤをＩＣカード３１に記憶させるが、これに限らず、ＵＳＢデバイス２０のセキュアな記憶領域に記憶させることも可能である。この場合、ＩＣカードリーダ・ライタ３０及びＩＣカード３１は不要となる。

人物感知センサ４０は、ドア５０を通る人物を感知し、人物の入退室を計測して在室人数をカウントし保持する。

ネットワーク６０は、公衆回線網、ローカルエリアネットワーク、またはインターネットなどのネットワーク、デジタル衛星放送といった、有線または無線のいずれのものでもよい。

VPNサーバ７０は、CPU、ROM、RAM、およびHDDなどを実装したコンピュータシステムであり、Ipsec（Security Architecture for Internet
Protocol）またはSSL（Secure Sockets
Layer）を利用して、ネットワーク６０を介してクライアント端末１０と送受信するデータを暗号化することで、VPNを構築するために設置される機器である。

完全性検証サーバ８０は、CPU、ROM、RAM、およびHDDなどを実装したコンピュータシステムであり、ハッシュ値を含む構成証明メッセージ等を用いて、プラットフォーム完全性を検証するための認証サーバである。プラットフォーム完全性検証とは、シンクライアントＯＳが改竄されてしまうと、個人データなどの機密データが漏洩する可能性があるため、クライアント端末１０に展開されるシンクライアントＯＳが改竄されているか否かを検証することである。

完全性検証サーバ８０は、デバイスＩＤ、ユーザＩＤ、および在室適正人数情報を関連付けたテーブルを記憶している。デバイスＩＤとは、USBデバイス２０を一意に識別する情報である。ユーザＩＤとは、USBデバイス２０を用いてクライアント端末１０をシンクライアント化することが許可されたユーザを一意に識別する情報である。在室適正人数情報は、クライアント端末１０の画面ロックを解除することが可能な在室人数を特定する情報である。完全性検証サーバ８０は、クライアント端末１０からの要求に含まれるデバイスＩＤに基づいて、対応するユーザＩＤを読み出し、VPNサーバ７０およびネットワーク６０を介してクライアント端末１０に返信する。

さらに、完全性検証サーバ８０は、クライアント端末１０から受信した在室人数が適正人数であるか否かを検証し、適正である場合は画面ロック解除命令を生成し、適正でない場合は画面ロック命令を生成して、命令をクライアント端末１０に送信する。

シンクライアントサーバ９０は、CPU、ROM、RAM、およびHDDなどを実装したコンピュータシステムであり、さまざまなアプリケーションを一括管理し、クライアント端末１０からの要求に応じて、アプリケーションを実行する。

なお、完全性検証サーバ８０が行うプラットフォーム完全性を検証する機能や、デバイスＩＤに基づいて対応するユーザＩＤおよび在室適正人数情報を返信する機能をシンクライアントサーバ９０に搭載するようにしてもよい。

図２は、図１に示すクライアント端末１０の構成例を示す図である。このクライアント端末１０は、CPU１１、ROM１２、RAM１３、および入出力インターフェイス１４が、バス１５を介して接続されている。入出力インターフェイス１４には、入力部１６、表示部１７、記憶部１８、および通信部１９が接続されている。また入出力インターフェイス１４には、USBデバイス２０やＩＣカードリーダ・ライタ３０や人物感知センサ４０が着脱可能になっている。

CPU１１は、入力部１６からの入力信号に基づいてクライアント端末１０を起動するためのブートプログラムをROM１２から読み出して実行し、記憶部１８に格納されている各種オペレーティングシステムを読み出す。またCPU１１は、マウントされたUSBデバイス２０に記憶されているシンクライアントＯＳのイメージをRAM１３に展開し、起動させるブート手段として機能する。

さらにCPU１１は、入力部１６からの入力信号に基づいて各種の制御を行ったり、ROM１２や記憶部１８に記憶されたプログラムおよびデータを読み出してRAM１３にロードしたり、あるいはRAM１３から読み出されたプログラムのコマンドに基づいて、データ演算または加工などの一連の処理を実行する。

入力部１６は、クライアント端末１０の操作者が各種の操作を入力するキーボードやマウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を生成し、入出力インターフェイス１４およびバス１５を介してCPU１１に送信する。

表示部１７は、例えば液晶ディスプレイであり、CPU１１からバス１５および入出力インターフェイス１４を介して受信した信号に基づいて、CPU１１の処理結果などを表示する。

記憶部１８は、半導体メモリや磁気ディスクなどで構成されており、CPU１１で実行されるプログラムやデータを記憶する。但し、記憶部１８には、USBシンクライアントシステムにおいて実行されるプログラムやデータ（ログデータも含む。）は、記憶されない。例えば、USBシンクライアントシステムで利用する認証アプリケーションは、後述するUSBデバイス２０のフラッシュメモリ部２１に格納されるシンクライアントOS２１０の中に記憶される。

通信部１９は、LAN（Local
Area Network）カードやモデムなどで構成されており、クライアント端末１０をローカルエリアネットワークやインターネットといった通信媒体であるネットワーク６０に接続することを可能にする。すなわち通信部１９は、通信媒体から受信したデータを、入出力インターフェイス１４およびバス１５を介してCPU１１に送信し、CPU１１からバス１５および入出力インターフェイス１４を介して受信したデータを、ネットワーク６０に送信する。

USBデバイス２０には、シンクライアントＯＳやデバイスＩＤが記憶されており、CPU１１からの要求に応じて、それらの情報が、入出力インターフェイス１４およびバス１５を介してCPU１１に送信される。

ＩＣカードリーダ・ライタ３０は、ＩＣカード３１に記憶されているデータを読み出して、入出力インターフェイス１４およびバス１５を介してCPU１１に送信したり、CPU１１からバス１５および入出力インターフェイス１４を介して受信したデータを、ＩＣカード３１に書き込んだりする。

人物感知センサ４０は、保持している在室人数を入出力インターフェイス１４およびバス１５を介してCPU１１に送信する。

図３は、人物感知センサ４０の構成例を示す図である。
図３に示すように、クライアント端末１０に接続された人物感知センサ４０は、制御部（不図示）、記憶部（不図示）に加えて、ドア５０によって仕切られる部屋の壁の外側にある第１センサ４１と内側にある第２センサ４２とから構成される。第１センサ４１と第２センサ４２は、例えば、赤外線センサであり、人物１００を感知すると、それぞれ第１信号、第２信号を制御部に送信する。

人物感知センサ４０の制御部は、記憶部に保持する在室人数のカウントを０の状態で起動する。人物感知センサ４０の制御部は、第１信号（第１センサ４１による信号）に次いで第２信号（第２センサ４２による信号）を受信すると、人物１００が入室したと判断し、在室人数のカウントに１を足す。また、人物感知センサ４０の制御部は、第２信号（第２センサ４２による信号）に次いで第１信号（第１センサ４１による信号）を受信すると、人物１００が退室したと判断し、在室人数のカウントから１を引く。人物感知センサ４０は、保持している在室人数をクライアント端末１０からの要求に応じて送信する。
本実施の形態では、人物感知センサ４０は、第１センサ４１と第２センサ４２の２つの赤外線センサを有するが、これに限らず、１つの赤外線センサのみとすることも可能である。この場合、赤外線センサは、２つの異なる方向に対して赤外線を送受信し、人物１００の移動方向を検知する。また、赤外線センサに限らず、他のセンサを用いても良い。

図４は、USBデバイス２０の構成例を示す図である。
図４に示すように、USBデバイス２０は、フラッシュメモリ部２１、セキュアメモリ部２２から構成されている。

フラッシュメモリ部２１には、クライアント端末１０上で動作するシンクライアントＯＳ２１０のイメージ（バイトコード）が格納されている。シンクライアントＯＳ２１０には、ネットワーク情報２１０Ａ、情報読取機能２１０Ｂ、接続機能２１０Ｃ、送受信機能２１０Ｄ、在室人数取得機能２１０Ｅ、画面ロック制御機能２１０Ｆ、計測機能２１０Ｇ、ＭＡＣ鍵２１０Ｈが含まれる。尚、ネットワーク情報２１０Ａは、シンクライアントＯＳ２１０に含めずに、セキュアメモリ部２２に格納するようにしても良い。

ネットワーク情報２１０Ａは、VPNサーバ７０、完全性検証サーバ８０、およびシンクライアントサーバ９０の接続先に関する情報である。情報読取機能２１０Ｂは、ＩＣカードリーダ・ライタ３０を介してＩＣカード３１に記憶されている情報を読み取る機能である。接続機能２１０Ｃは、ネットワーク情報２１０Ａに基づいて、各サーバに接続する機能である。送受信機能２１０Ｄは、各サーバとデータの送受信を行う機能である。在室人数取得機能２１０Ｅは、人物感知センサ４０に記憶されている情報を読み取る機能である。

画面ロック制御機能２１０Ｆは、クライアント端末１０の画面をロックしたり、画面ロックを解除したりする制御機能である。
計測機能２１０Ｇは、シンクライアントＯＳ２１０のイメージのハッシュ値を演算する機能を備えたコンピュータプログラムである。ＭＡＣ鍵２１０Ｈは、クライアント端末１０のプラットフォーム完全性検証で利用する暗号鍵としてハードコードされている。

セキュアメモリ部２２には、USBデバイス２０を一意に識別することが可能な情報であるデバイスＩＤ２２０Ａ、デジタル署名コマンド２２０Ｂ、デジタル署名秘密鍵２２０Ｃ、ＭＡＣ鍵２２０Ｄが格納されている。

デジタル署名秘密鍵２２０Ｃ、ＭＡＣ鍵２２０Ｄは、クライアント端末１０のプラットフォーム完全性検証で利用する暗号鍵である。デジタル署名コマンド２２０Ｂは、ＭＡＣ鍵２２０Ｄを用いて、クライアント端末１０が生成する構成証明メッセージのＭＡＣを検証し、構成証明メッセージの検証に成功すると、デジタル署名秘密鍵２２０Ｃを用いて、構成証明メッセージのデジタル署名を生成するためのコマンドである。
尚、セキュアメモリ部２２の機能は、ＩＣカード３１に持たせても良い。ＩＣカード３１に機能を持たせる場合、セキュアメモリ部２２に格納されているデバイスＩＤ２２０Ａ、デジタル署名コマンド２２０Ｂ、デジタル署名秘密鍵２２０Ｃ、ＭＡＣ鍵２２０Ｄが、ＩＣカード３１に格納される。この場合、セキュアメモリ部２２は不要である。

図５は、完全性検証サーバ８０の機能構成例を示すブロック図である。図５に示す機能部のうちの少なくとも一部は、完全検証サーバ８０のCPUにより検証プログラムが実行されることによって実現される。

図５に示すように、完全性検証サーバ８０は、デジタル署名検証部６１、メッセージ検証部６２、デジタル署名公開鍵記憶部６３、ハッシュ値の期待値記憶部６４、ユーザＩＤ応答部６５、およびユーザＩＤテーブル記憶部６６の機能を少なくとも有する。

デジタル署名検証部６１は、クライアント端末１０が生成した構成証明メッセージおよびデジタル署名を受信すると作動し、デジタル署名公開鍵記憶部６３に記憶されているデジタル署名公開鍵を用いて、定められたデジタル署名検証アルゴリズムに従い、構成証明メッセージのデジタル署名を検証することで、デジタル署名を生成したクライアント端末１０の正当性を検証する。

メッセージ検証部６２は、デジタル署名検証部６１が構成証明メッセージのデジタル署名の検証に成功すると作動し、シンクライアントＯＳ２１０のハッシュ値の期待値記憶部６４に記憶されているハッシュ値の期待値を参照し、構成証明メッセージに含まれるハッシュ値が正しい内容であるか否かを確認することで、構成証明メッセージの正当性を検証する。

デジタル署名公開鍵記憶部６３は、デジタル署名検証部６１が構成証明メッセージのデジタル署名を検証する際に利用する、USBデバイス２０に記憶されているデジタル署名秘密鍵２２０Ｃと対になるデジタル署名公開鍵を記憶する。ハッシュ値の期待値記憶部６４は、シンクライアントＯＳ２１０のハッシュ値の期待値を記憶する。

ユーザＩＤ応答部６５は、クライアント端末１０から送信されてきたデバイスＩＤを受信すると作動し、ユーザＩＤテーブル記憶部６６に記憶されている情報の中から、受信したデバイスＩＤに関連付けられているユーザＩＤや在室適正人数情報を読み出し、クライアント端末１０に返信（応答）する。

ユーザＩＤテーブル記憶部６６には、例えば、図６に示すように、デバイスＩＤ８１、ユーザＩＤ８２、および在室適正人数８３が関連付けられたテーブルが記憶されている。なお、図６の例では、適正人数は数値ｎとして記憶されているが、範囲を持つ数値（例えば、１〜３）を記憶させることも勿論可能である。

次に、図７および図８のフローチャートを参照して、シンクライアントシステムにおいて、プラットフォームの完全性を検証し、リモートアクセス処理を制御する一連の処理について説明する。

ステップＳ１において、クライアント端末１０のCPU１１は、USBデバイス２０がクライアント端末１０に装着されると、入出力インターフェイス１４を利用して、USBデバイス２０とデータのやり取りをすることで、クライアント端末１０に装着されたUSBデバイス２０をマウントする。

ステップＳ２において、クライアント端末１０のCPU１１は、USBデバイス２０に記憶されているシンクライアントＯＳ２１０のイメージを読み出す。ステップＳ３において、クライアント端末１０のCPU１１は、ステップＳ２の処理で読み出したシンクライアントＯＳ２１０のイメージをRAM１３に展開し、クライアント端末１０上でシンクライアントＯＳ２１０を起動させる。またクライアント端末１０のCPU１１は、シンクライアントＯＳ２１０がクライアント端末１０上で起動すると、シンクライアントＯＳ２１０に含まれる計測機能２１０Ｇを自動的に起動する。

ステップＳ４において、クライアント端末１０のCPU１１は、シンクライアントＯＳ２１０の接続機能２１０Ｃを用いて、ネットワーク情報２１０Ａに基づいてネットワーク６０を介してVPNサーバ７０に接続し、VPNサーバ７０にユーザ名および認証データ（例えば、パスワード）を送信してユーザ認証を要求する。

ステップＳ５において、VPNサーバ７０は、ネットワーク６０を介してクライアント端末１０から送信されてきたユーザ名および認証データを用いて、クライアント端末１０を利用するユーザを認証する。

ステップＳ６において、VPNサーバ７０は、ステップＳ５の処理でユーザ認証に成功したか否かを判定し、認証に成功したと判定した場合、ステップＳ７に進み、認証に成功したことを示すメッセージを、ネットワーク６０を介してクライアント端末１０に送信し、接続を許可する。

ステップＳ６において、VPNサーバ７０は、ステップＳ５の処理でユーザ認証に失敗したと判定した場合には、エラーメッセージを、ネットワーク６０を介してクライアント端末１０に送信し、処理を終了する。

ステップＳ８において、クライアント端末１０のCPU１１は、シンクライアントＯＳ２１０の接続機能２１０Ｃを用いて、ネットワーク情報２１０Ａに基づいて、ネットワーク６０およびVPNサーバ７０を介して完全性検証サーバ８０に接続し、プラットフォーム完全性検証に利用する乱数Ｒｃを生成し、乱数Ｒｃを含む乱数生成要求メッセージを完全性検証サーバ８０に送信する。なお、クライアント端末１０のCPU１１は、プラットフォーム完全性検証が終了するまで、生成した乱数Ｒｃをクライアント端末１０のRAM１３に保持しておく。

ステップＳ９において、完全性検証サーバ８０のデジタル署名検証部６１は、ネットワーク６０およびVPNサーバ７０を介してクライアント端末１０から乱数Ｒｃを受信すると、プラットフォーム完全性検証で利用する乱数Ｒｓを生成し、乱数Ｒｓをクライアント１０に送信する。なお、完全性検証サーバ８０のデジタル署名検証部６１は、プラットフォーム完全性検証が終了するまで乱数Ｒｃおよび乱数Ｒｓを図示せぬRAMに保持する。

ステップＳ１０において、クライアント端末１０のCPU１１は、完全性検証サーバ８０からVPNサーバ７０およびネットワーク６０を介して乱数Ｒｓを受信すると、それをRAM１３に保持した後、クライアント端末１０のRAM１３に展開されたシンクライアントＯＳ２１０のイメージすべてから、定められたアルゴリズム（例えば、ＳＨＡ１）に従いハッシュ値を演算し、ハッシュ値、乱数Ｒｃおよび乱数Ｒｓが結合された構成証明メッセージを生成する。そして、クライアント端末１０のCPU１１は、シンクライアントＯＳ２１０にハードコードされているＭＡＣ鍵２１０Ｈを用いて、定められた手順（例えば、ISO／IEC−９７９７−１に準じた手順）に従って、ステップＳ１０の処理で生成した構成証明メッセージのＭＡＣを演算する。

ＩＣカード３１を利用して完全性検証を行う場合、ステップＳ１１において、クライアント端末１０のCPU１１は、演算した構成証明メッセージおよびＭＡＣをコマンドメッセージのデータに含ませ、入出力インターフェイス１４を介してＩＣカード３１に送信することで、構成証明メッセージのデジタル署名の生成をＩＣカード３１に要求する。

ステップＳ１２において、ＩＣカード３１は、構成証明メッセージおよびＭＡＣを含んだデジタル署名コマンドのコマンドメッセージを受信すると、デジタル署名コマンドを作動させ、ＭＡＣ鍵を用い、クライアント端末１０のCPU１１と同じアルゴリズムで構成証明メッセージからＭＡＣを演算する。ＩＣカード３１のデジタル署名コマンドは、クライアント端末１０から送信されたＭＡＣと自身が演算したＭＡＣとが同一であるか検証することで、クライアント端末１０で起動している計測機能２１０Ｇを検証する。

ステップＳ１３において、ＩＣカード３１のデジタル署名コマンドは、ステップＳ１２の処理で構成証明メッセージのＭＡＣの検証に成功したか否かを判定し、検証に成功したと判定した場合、ステップＳ１４に進む。ステップＳ１４において、ＩＣカード３１のデジタル署名コマンドは、デジタル署名秘密鍵を用い、定められたデジタル署名生成アルゴリズム（例えば、PKCS#1など）に従い、構成証明メッセージのデジタル署名を生成し、クライアント端末１０に返信する。

ステップＳ１３において、ＩＣカード３１のデジタル署名コマンドは、ステップＳ１２の処理で構成証明メッセージのＭＡＣの検証に失敗したと判定した場合、ＭＡＣの検証に失敗したことを示すエラーメッセージをクライアント端末１０に返信して、処理を終了する。

ステップＳ１５において、クライアント端末１０のCPU１１の送受信機能２１０Ｄは、ステップＳ１０の処理で生成した構成証明メッセージ、およびＩＣカード３１から返信されたデジタル署名を、ネットワーク６０およびVPNサーバ７０を介して完全性検証サーバ８０に送信する。

ステップＳ１６において、完全性検証サーバ８０は、構成証明メッセージとデジタル署名を受信するとデジタル署名検証部６１が作動し、デジタル署名公開鍵記憶部６３に記憶されているデジタル署名公開鍵を用いて、定められたアルゴリズムに従い、構成証明メッセージのデジタル署名を検証することで、デジタル署名を生成したUSBデバイス２０の正当性を検証する。

そして、構成証明メッセージのデジタル署名の検証に成功すると、完全性検証サーバ８０のメッセージ検証部６２が作動し、完全性検証サーバ８０のRAMに保持されている乱数ＲｃおよびＲｓ、並びに、ハッシュ値の期待値記憶部６４に記憶されているハッシュ値の期待値を参照し、構成証明メッセージに含まれる乱数Ｒｃ、Ｒｓおよびハッシュ値が正しい値であるかを確認することで、構成証明メッセージの正当性を検証する。

ステップＳ１７において、完全性検証サーバ８０のメッセージ検証部６２は、構成証明メッセージの検証に成功したか否かを判定し、構成証明メッセージの検証に成功したと判定した場合、ステップＳ１８に進み、認証に成功したことを示すメッセージを、VPNサーバ７０およびネットワーク６０を介してクライアント端末１０に送信し、接続を許可する。

ステップＳ１７において、完全性検証サーバ８０は、ステップＳ１６の処理で構成証明メッセージの検証に失敗したと判定した場合には、エラーメッセージを、クライアント端末１０に送信し、処理を終了する。

ステップＳ１９において、クライアント端末１０のCPU１１は、USBデバイス２０に記憶されているデバイスＩＤ２２０Ａを読み出し、ネットワーク６０およびVPNサーバ７０を介して完全性検証サーバ８０に送信する。ステップＳ２０において、クライアント端末１０から送信されてきたデバイスＩＤ２２０Ａを受信すると、完全性検証サーバ８０のユーザＩＤ応答部６５が作動し、ユーザＩＤテーブル記憶部６６に記憶されている情報の中から、受信したデバイスＩＤ２２０Ａに関連付けられているユーザＩＤを読み出し、クライアント端末１０に返信する。

ステップＳ２１において、クライアント端末１０のCPU１１の送受信機能２１０Ｄは、完全性検証サーバ８０からVPNサーバ７０およびネットワーク６０を介して送信されてきたユーザＩＤを受信し、RAM１３に保存する。
尚、ステップＳ２１の処理は、完全性検証の処理（ステップＳ８〜ステップＳ１８）の前に実行しても良い。

ステップＳ２２において、クライアント端末１０のCPU１１は、接続機能２１０Ｃを用いて、ネットワーク情報２１０Ａに基づいて、ネットワーク６０、VPNサーバ７０、および完全性検証サーバ８０を介してシンクライアントサーバ９０に接続し、シンクライアントサーバ９０にユーザ名および認証データ（例えば、パスワード）を送信してユーザ認証を要求する。

ステップＳ２３において、シンクライアントサーバ９０は、クライアント端末１０からネットワーク６０、VPNサーバ７０、および完全性検証サーバ８０を介して送信されてきたユーザ名および認証データを用いて、クライアント端末１０を利用するユーザを認証する。

ステップＳ２４において、シンクライアントサーバ９０は、ステップＳ２３の処理でユーザ認証に成功したか否かを判定し、認証に成功したと判定した場合、ステップＳ２５に進み、認証に成功したことを示すメッセージを、完全性検証サーバ８０、VPNサーバ７０、およびネットワーク６０を介してクライアント端末１０に送信し、接続を許可する。

ステップＳ２４において、シンクライアントサーバ９０は、ステップＳ２３の処理でユーザ認証に失敗したと判定した場合には、エラーメッセージをクライアント端末１０に送信し、処理を終了する。

ステップＳ２６において、クライアント端末１０のCPU１１は、シンクライアントＯＳ２１０に含まれる画面ロック制御機能２１０Ｆを起動する。ステップＳ２７において、クライアント端末１０のCPU１１は、情報読取機能２１０Ｂを用いて、ＩＣカードリーダ・ライタ３０を介してＩＣカード３１に記憶されているユニークＩＤを取得する。クライアント端末１０のCPU１１は、ステップＳ２１の処理でRAM１３に保存したユーザＩＤとステップＳ２７の処理で取得したユニークＩＤが一致するか否かの検証を行う。なお、ステップＳ２７において、クライアント端末１０のCPU１１は、ＩＣカード３１からユニークＩＤを取得できない場合、又はユーザＩＤとユニークＩＤが一致しない場合には、処理を終了する。
尚、ステップＳ２７の処理は、完全性検証の処理（ステップＳ８〜ステップＳ１８）の前に実行しても良い。

ステップＳ２８において、クライアント端末１０のCPU１１は、シンクライアントＯＳ２１０に含まれる在室人数取得機能２１０Ｅにより在室人数を取得する。ステップＳ２９において、クライアント端末１０はステップＳ２１の処理でRAM１３に保存したユーザＩＤと、ステップＳ２８において取得した在室人数とを、完全性検証サーバ８０に送信する。なお、ステップＳ２８において、クライアント端末１０のCPU１１は、人物感知センサ４０から在室人数を取得できない場合には、処理を終了する。

ステップＳ３０において、完全性検証サーバ８０は、ステップＳ２９でクライアント端末１０から送信されたユーザＩＤと在室人数を受信し、ユーザＩＤ応答部６５が作動して、ユーザＩＤテーブル記憶部６６に記憶されている情報の中から、ユーザＩＤに関連付けられている適正人数を読み出し、在室人数が適正人数であるか否かの検証をする。

ステップＳ３１において、完全性検証サーバ８０は、在室人数が適正であると判定した場合、ステップＳ３２に進み、画面ロック解除命令を生成する。

ステップＳ３１において、完全性検証サーバ８０は、在室人数が適正でないと判定した場合、ステップＳ３３に進み、画面ロック命令を生成する。

ステップＳ３４において、完全性検証サーバ８０は、ステップＳ３２あるいはステップＳ３３で生成された命令をクライアント端末１０に送信して、処理を終了する。

ステップＳ３５において、クライアント端末１０のCPU１１は、ステップ３４において完全性検証サーバ８０から送信された画面ロック制御命令を受信し、その命令に従って画面ロックを制御する。
具体的には、クライアント端末１０のCPU１１は、画面ロック命令を受信すると、表示部１７に画面ロックをかける。例えば、クライアント端末１０のCPU１１は、強制的にスクリーンセーバーをかけたり、シンクライアントサーバ９０から受信した画面データを表示しているウィンドウを閉じたりする。
また、クライアント端末１０のCPU１１は、画面ロック解除命令を受信すると、表示部１７に対する画面ロックを解除する。例えば、クライアント端末１０のCPU１１は、スクリーンセーバーを解除したり、シンクライアントサーバ９０から再び画面データを受信したりする。

ステップＳ３６において、クライアント端末１０のCPU１１は、操作者の操作により、シンクライアントサーバ９０との接続を解除することが指示されたか否かを判定し、まだ接続中であると判定した場合、ステップＳ２７に戻り、上述した処理を繰り返し実行する。そして、ステップＳ３６において、クライアント端末１０のCPU１１は、シンクライアントサーバ９０との接続を解除することが指示されたと判定した場合、シンクライアントサーバ９０に接続解除要求を送信し、処理を終了する。

ステップＳ３７において、シンクライアントサーバ９０は、クライアント端末１０からの接続解除要求に応じて、クライアント端末１０との接続を解除し、処理を終了する。

［変形例］
図８において、Ｓ３０からＳ３４で完全性検証サーバ８０が行う処理を、クライアント端末１０が行ってもよい。その場合、シンクライアントＯＳ２１０に在室適正人数情報を含めておく。そして、実行時には、シンクライアントＯＳ２１０のイメージがRAM１３に展開されることによって、RAM１３に適正人数が保持される。クライアント端末１０のCPU１１は、Ｓ２８において、シンクライアントＯＳ２１０に含まれる在室人数取得機能２１０Ｅにより取得した在室人数と、上述の適正人数を比較し、在室人数が適正人数であるか否かの検証を行う。検証の結果、適正でない場合は表示部１７に画面ロックをかけ、適正である場合は表示部１７の画面ロックを解除する。

［発明の実施の形態における効果］
１．以上のように、クライアント端末１０が人物感知センサ４０より取得した在室人数と、完全性検証サーバ８０が保持する適正人数が一致するか否かを検証することで、クライアント端末１０がリモートアクセス処理をするのに適した環境か否かを判定し、その判定結果に応じて、適正でない場合は画面をロックし、適正である場合は画面ロックを解除することができる。

２．完全性検証サーバ８０が適正人数を保持し、クライアント端末１０がリモートアクセス処理をするのに適した環境か否かを判定することで、適正人数が変わった場合にも、容易に画面ロックおよび画面ロック解除を制御することができる。

３．クライアント端末１０が適正人数を保持し、リモートアクセス処理をするのに適した環境か否かを判定することで、通信速度が遅い環境であっても即座に画面ロックおよび解除を制御することができる。

４．以上のように、クライアント端末１０は、在室人数が適正な環境でのみ、シンクライアントサーバ９０とリモートアクセス処理をすることができる。

以上、添付図面を参照しながら、本発明に係るシンクライアントシステム等の好適な実施形態について説明したが、本発明はかかる例に限定されない。当業者であれば、本願で開示した技術的思想の範疇内において、各種の変更例又は修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

１０………クライアント端末
４０………人物感知センサ
８０………完全性検証サーバ
９０………シンクライアントサーバ

Claims (8)

1. 人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムであって、
   前記人物感知センサは、
   前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶する手段、
   を備え、
   前記クライアント端末は、
   シンクライアントオペレーティングシステムと、
   前記シンクライアントオペレーティングシステムを読み出して起動する手段と、
   を備え、
   前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行う手段と、
   定期的に前記人物感知センサから前記在室人数を取得する手段と、
   前記在室人数が適正人数でない場合には画面をロックする画面ロック手段と、
   前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除手段と、
   を備えることを特徴とするシンクライアントシステム。
2. 前記シンクライアントオペレーティングシステムは、
   前記在室人数を前記サーバに送信する手段と、
   前記サーバから画面ロック命令を受信する手段と、
   を更に備え、
   前記画面ロック手段は、前記画面ロック命令を受信すると、画面をロックし、
   前記サーバは、
   前記適正人数を記憶する手段と、
   前記クライアント端末から前記在室人数を受信すると、記憶されている前記適正人数と比較し、前記在室人数が前記適正人数か否かを判定する判定手段と、
   前記判定手段によって前記在室人数が前記適正人数でないと判定された場合には、前記画面ロック命令を前記クライアント端末に送信する手段と、
   を更に備えることを特徴とする請求項１に記載のシンクライアントシステム。
3. 前記サーバは、
   前記判定手段によって前記在室人数が前記適正人数であると判定された場合には、画面ロック解除命令を前記クライアント端末に送信する手段、
   を更に備え、
   前記シンクライアントオペレーティングシステムは、
   前記サーバから前記画面ロック解除命令を受信する手段、
   を更に備え、
   前記画面ロック解除手段は、前記画面ロック解除命令を受信すると、画面ロックを解除することを特徴とする請求項２に記載のシンクライアントシステム。
4. 前記シンクライアントオペレーティングシステムは、
   前記適正人数を記憶する手段と、
   定期的に前記人物感知センサから前記在室人数を取得し、記憶されている前記適正人数と比較し、前記在室人数が前記適正人数か否かを判定する判定手段と、
   を更に備え、
   前記画面ロック手段は、前記判定手段によって前記在室人数が前記適正人数でないと判定された場合には、画面をロックすることを特徴とする請求項１に記載のシンクライアントシステム。
5. 前記画面ロック解除手段は、前記判定手段によって前記在室人数が前記適正人数であると判定された場合には、画面ロックを解除することを特徴とする請求項４に記載のシンクライアントシステム。
6. 人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムが実行するリモートアクセス処理制御方法であって、
   前記人物感知センサが、前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶するステップと、
   前記クライアント端末が、シンクライアントオペレーティングシステムを読み出して起動するステップと、
   前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行うステップと、
   定期的に前記人物感知センサから前記在室人数を取得するステップと、
   前記在室人数が適正人数でない場合には画面をロックする画面ロックステップと、
   前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除ステップと、
   を実行することを特徴とするリモートアクセス処理制御方法。
7. 人物感知センサと、前記人物感知センサが接続されるクライアント端末と、ネットワークを介して前記クライアント端末からの要求に応じてアプリケーションを実行するサーバとからなるシンクライアントシステムが実行するリモートアクセス処理制御方法を実現するためのプログラムであって、
   前記人物感知センサが、前記クライアント端末が設置される部屋に入退室する人物を感知し、在室人数をカウントし記憶するステップと、
   前記クライアント端末が、シンクライアントオペレーティングシステムを読み出して起動するステップと、
   前記シンクライアントオペレーティングシステムは、前記サーバにリモートアクセス処理を行うステップと、
   定期的に前記人物感知センサから前記在室人数を取得するステップと、
   前記在室人数が適正人数でない場合には画面をロックする画面ロックステップと、
   前記在室人数が前記適正人数である場合には画面ロックを解除する画面ロック解除ステップと、
   を実行するように機能させるためのプログラム。
8. 請求項７に記載のプログラムを記憶するコンピュータ読取可能な記憶媒体。

Images