JP2014154131A

JP2014154131A - 認証システムおよび認証方法

Info

Publication number: JP2014154131A
Application number: JP2013026407A
Authority: JP
Inventors: Ayako Kondo; 絢子近藤
Original assignee: NEC Communication Systems Ltd
Current assignee: NEC Communication Systems Ltd
Priority date: 2013-02-14
Filing date: 2013-02-14
Publication date: 2014-08-25

Abstract

【課題】不正な接続認証を抑制する認証システム、認証方法を提供することである。
【解決手段】所定のネットワークへの接続の可否を判定する認証システムであって、ユーザが所定の領域からネットワークへ接続する場合にユーザに対してワンタイムパスワードを生成するワンタイムパスワード生成装置と、ユーザがネットワークへの接続に使用する端末の認証を行う認証装置と、認証情報を格納する認証情報格納部を備え、認証装置は端末から受信したワンタイムパスワードに基づきユーザのネットワークへの接続の可否を判定することを特徴とする。
【選択図】図１

Description

本発明は、特定のネットワークにアクセスするための認証に関し、特にワンタイムパスワードを利用した認証に関する。

社内ネットワークにおいては、ユーザの認証はパスワードおよびユーザと使用端末のＩＤに基づいて行われる場合がある。ユーザはこの認証に成功すると社内ネットワーク内の電子データにアクセスすることができる。しかしパスワードやＩＤが他人に盗まれると、社内の秘密情報が容易に他人に知られてしまう。

このため特許文献１では携帯電話などの携帯端末を認証装置に接続させ、ＩＤおよびＰＷ（パスワード）とともにＯＴＰＷ（ワンタイムパスワード）を要求し、認証装置は、ＯＴＰＷ要求とともにＩＤおよびＰＷを受け取り、記憶しているＩＤおよびＰＷと一致すると、ＯＴＰＷを生成し、認証装置内に記憶し、送信して携帯端末にＯＴＰＷを表示させる。そして、認証装置は、ＶＰＮ（仮想的なプライベートネットワーク）に登録済みのユーザ端末からＯＴＰＷを受け、ユーザ端末を認証する認証システムおよび認証方法を開示している。

特開２０１１−１６４８３７

一方、近年、社内ネットワークのユーザが営業活動などで社外に滞在している場合に、社内ネットワーク内の電子データにアクセスするケースが増加している。このようなケースでは社内よりもパスワードやＩＤが他人に知られる可能性が高まる。

特許文献１では、悪意ある第３者が、認証に使用するＩＤおよびＰＷを認証画面の改竄などにより不正に取得し、また、ＯＴＰＷを取得する端末およびユーザ端末を窃盗などにより、不正に取得すると、どこからでもネットワークへの接続が可能となってしまう。

これらに鑑み、本発明の目的は、社外において社内ネットワークへの不正な接続認証を抑制することができる認証システム、認証方法を提供することである。

本発明の認証システムは、所定のネットワークへの接続の可否を判定する認証システムであって、ユーザが所定の領域から前記ネットワークへ接続する場合に前記ユーザに対してワンタイムパスワードを生成するワンタイムパスワード生成装置と、前記ユーザが前記ネットワークへの接続に使用する端末の認証を行う認証装置と、認証情報を格納する認証情報格納部を備え、前記認証装置は前記端末から受信した前記ワンタイムパスワードに基づき前記ユーザの前記ネットワークへの接続の可否を判定することを特徴とする。

本発明の認証方法は、ネットワークへの接続の可否を判定する認証方法であって、ユーザからその現在位置情報を受信し、前記現在位置情報の認証が成功した場合に前記ユーザに対しワンタイムパスワードを生成し、前記ユーザが前記ネットワークへの接続に使用する端末の認証を行い、前記端末認証の成功後に前記ユーザから送信された前記ワンタイムパスワードおよび個人情報の認証を行うことを特徴とする。

本発明によれば、不正な接続認証を抑制することができる。

本発明の認証システムの構成例を示す図である。個人認証情報の一例を示す図である。端末の認証情報の一例を示す図である。ＯＴＰＷ生成領域の位置情報の一例を示す図である。ＯＴＰＷ生成装置における処理フローの例を示す図である。認証装置５００における処理フローの例を示す図である。個人認証情報の一例を示す図である。ＯＴＰＷ生成領域の位置情報の一例を示す図である。ＯＴＰＷ生成装置における処理フローの例を示す図である。認証装置５００における処理フローの例を示す図である。

本発明の実施形態について、図を参照して説明する。

図１は本発明の認証システムの構成例を示す図である。

本実施形態の認証システムは、携帯端末１００および１１０と、社内ネットワークに接続するユーザ端末２００および２１０と、電話網やインターネットなどの外部ネットワーク３００と、ＯＴＰＷ生成装置４００と、認証装置５００と、認証情報を格納する認証情報ＤＢ（データベース）６００と、社内ネットワークに接続されているサーバ７００、７１０、７２０を備える。ここでは、社外のユーザＡがユーザ端末２００と携帯端末１００を保有し、社内のユーザＢがユーザ端末２１０と携帯端末１１０を保有している。

携帯端末１００および１１０は、例えば携帯電話などであって、ＧＰＳ（ＧｌｏｂａｌＰｏｓｉｔｉｏｎｉｎｇＳｙｓｔｅｍ）などの自端末の位置情報を算出するＧＰＳ機能と、外部ネットワーク３００を介して、ＯＴＰＷ生成装置４００と接続し、ＯＴＰＷを要求し、取得するＯＴＰＷ取得機能と、を備える。

ユーザ端末２００および２１０は、例えばタブレット端末やノートパソコンなどであって、ユーザが社内ネットワークにアクセスするための端末である。ユーザ端末２００および２１０は外部ネットワーク３００または社内ネットワークを介して、認証装置５００に接続する機能を備える。また、ユーザ端末２００および２１０が、ＧＰＳ機能と、ＯＴＰＷ取得機能とを備えていれば、携帯端末１００および１１０は不要になる。

ＯＴＰＷ生成装置４００は例えばネットワークサーバなどであって、ＯＴＰＷの要求があると、ユーザＩＤおよびＰＷを用いてユーザ認証を行い、ユーザ認証が成功すると、ＯＴＰＷを生成し、ＯＴＰＷを提供する機能を備える。

認証装置５００は例えばネットワークサーバなどであって、接続要求があると、ユーザＩＤおよびＯＴＰＷにおいて接続認証を行い、接続認証が成功すると、接続要求のあったユーザ端末を接続させる機能を備える。

認証情報ＤＢ６００は、ＯＴＰＷ生成装置４００および認証装置５００と相互接続していて、少なくとも、個人認証情報、ユーザ端末の認証情報、所定の領域の位置情報を格納している。これらの情報の例を図２〜図４に示す。図２は個人認証情報であり、ユーザ名１００１、ユーザＩＤ１００２、ＰＷ１００３は予め入力され、ＯＴＰＷ１００４は通常、空欄（データがない状態）であり、生成した時にＯＴＰＷを格納する。図３はユーザ端末の認証情報であり、ＭＡＣアドレスを含んでいるが、ユーザ端末を識別できればよいので、ユーザ端末を特定することができる端末ＩＤであってもよい。図４は所定の領域の位置情報であり、緯度および経度を含んでいて、所定の領域は、任意の１点を中心とする円や、特定の３点以上を直線で繋いだ内側などで設定される。所定の領域とは社外に位置するユーザが社内ネットワークに接続することが可能な領域であり、予めデータベースに入力される。この領域は例えば客先、いわゆるサテライトオフィスなどである。なお、連番はＤＢ内において、データを識別するシステム番号などである。また、認証情報ＤＢ６００は、ＯＴＰＷ生成装置４００および認証装置５００において、格納している情報が共有できれば、ＯＴＰＷ生成装置４００および認証装置５００において個別に設けていてもよいし、一方のみであってもよい。

サーバ７００、７１０、７２０はファイルサーバやメールサーバ、社内向けＷＥＢサーバなどであり、一部もしくは全てのサーバには接続制限された重要情報を格納している。

次に本発明の認証システムの動作について説明する。

本発明の認証システムの動作は大きく２つのフローからなり、ＯＴＰＷ取得と、ＯＴＰＷによる接続認証とのフローである。前者はＯＴＰＷ生成装置４００における処理フローであり、後者は認証装置５００における処理フローである。

社外に位置するユーザＡについて、本発明の第１の実施形態における認証システムの動作例を説明する。

本実施形態における認証システムは、ユーザ端末２００が外部ネットワークを介して、社内ネットワークへ接続する際の認証を行う。

ＯＴＰＷ取得のフローについて説明する。

図５は、本実施形態のＯＴＰＷ生成装置４００における処理フローの例を示す図である。

ＯＴＰＷ生成装置４００は、携帯端末１００からのＯＴＰＷの要求を受信する（Ｓ１０１）と、携帯端末１００に対し、ユーザＩＤおよびＰＷを要求する（Ｓ１０２）。

携帯端末１００からのユーザＩＤおよびＰＷを受信し、認証情報ＤＢ６００に格納している個人認証情報と一致するか否かを判断するユーザ認証を行う（Ｓ１０３）。

ユーザ認証が成功すれば、携帯端末１００に対し、位置情報を要求し（Ｓ１０４）、不成功の場合は、携帯端末１００にエラーメッセージを表示させるなどして、処理を終了する。

携帯端末１００からの位置情報を受信すると、認証情報ＤＢ６００に格納している所定の領域に該当するか否かを判断する（Ｓ１０５）。

所定の領域に該当すれば、ＯＴＰＷを生成し、個人認証情報の一部として、認証情報ＤＢ６００に格納し（Ｓ１０６）、該当しなければ、携帯端末１００にエラーメッセージを表示させるなどして、処理を終了する。なお、ＯＴＰＷを生成すると、ＯＴＰＷ生成時刻を認証情報ＤＢ６００に格納し、ＯＴＰＷを一定時間経過後に消滅させる。ＯＴＰＷが長時間格納されていると所定の領域の外でユーザが社内ネットワークにアクセスすることが可能になるからである。

ＯＴＰＷを格納すると、携帯端末１００に対し、ＯＴＰＷを送信し（Ｓ１０７）、携帯端末１００はＯＴＰＷを画面に表示し、ＯＴＰＷを取得する。

次に取得したＯＴＰＷを使用して、接続認証を行う。

図６は、本実施形態の認証装置５００における処理フローの例を示す図である。

認証装置５００は、社内ネットワークへの接続要求を受信する（Ｓ２０１）と、ユーザ端末２００に対し、端末情報を要求する（Ｓ２０２）。

ユーザ端末２００からの端末情報を受信し、認証情報ＤＢ６００に格納している端末の認証情報と一致するか否かを判断する端末認証を行う（Ｓ２０３）。

端末認証が成功すると、ユーザ端末２００に対し、ＩＤおよびＯＴＰＷを要求し（Ｓ２０４）、不成功の場合は、ユーザ端末２００にエラーメッセージを表示させるなどして、処理を終了する。

ユーザ端末２００からのユーザＩＤおよびＯＴＰＷを受信すると、認証情報ＤＢ６００に格納しているユーザＩＤおよびＯＴＰＷと一致するか否かを判断する接続認証を行う（Ｓ２０５）。

接続認証が成功すると、ユーザ端末２００を社内ネットワークに接続させ（Ｓ２０６）、不成功の場合は、ユーザ端末２００にエラーメッセージを表示させるなどして、処理を終了する。

その後、認証装置５００は、ユーザ端末２００が社内ネットワークから離れたことを確認し、一定時間が経過すると、ＯＴＰＷを消滅させる。

したがって、社外においてユーザが社内ネットワークに接続できる領域を限定することによって、不正なＯＴＰＷの入手を抑制することができ、外部ネットワークを介して社内ネットワークへ接続する際の不正な接続認証を抑制することができる。

次に社内に位置するユーザＢを例に、本発明の第２の実施形態における認証システムの動作を説明する。

本実施形態における認証システムは、社内ネットワークに接続可能なユーザのユーザ端末２１０が、社内ネットワーク内の特定の重要情報へ接続する際の認証を行う。言い換えると、本実施形態における認証システムは、ユーザが社内ネットワーク内の特定の重要情報に接続する場合、該ユーザが社内に位置することを要求する。特定の重要情報とは、極秘情報などの社内ネットワーク内の一般的な情報より閲覧条件が厳しい情報のことで、その重要情報への接続とは、社内ネットワーク内の一般的なサーバより接続条件が厳しいサーバへの接続や、接続条件が厳しいフォルダおよびファイルの内容を表示する操作などである。

本実施形態の構成例は第１の実施形態と同様である。

本実施形態において認証情報ＤＢ６００に格納している個人認証情報の例を図７に示し、ＯＴＰＷ生成領域の位置情報の例を図８に示す。第１の実施形態に対し、個人認証情報には重要情報への接続権限が有効か否かを示す有効フラグ１１０１と、有効の場合に機能する重要情報への接続権限１１０２とを追加し、生成領域の位置情報にはその位置が社内か否かを示す社内フラグ１２０１を追加している。有効フラグ１１０１は通常、無効であり、後述するＳ３０２において、有効となる。重要情報への接続権限１１０は予め設定（入力）され、無効の場合には機能しない、言い換えると、無効の場合には設定しているサーバ、フォルダ、ファイルには接続できない。図７を例にすると、サーバ７００は社外から接続できないことを意味している。また、表示しているフォルダやファイルの英数字は、サーバ、フォルダ名およびファイル名を組み合わせた便宜的な表示であり、例えば、ファイル７００Ａａはサーバ７００におけるフォルダ名がＡの配下にあるファイル名ａを意味している。

図９は、本実施形態のＯＴＰＷ生成装置における処理フローの例を示す図である。

第１の実施形態に対し、ステップＳ１０５とステップＳ１０６の間に、ステップＳ３０１とステップＳ３０２とを追加している。

第１の実施形態と異なる部分について説明する。

取得した位置情報が所定の領域に該当すれば、当該位置情報が社内か否かを判断する（Ｓ３０１）。社内であれば、個人認証情報の重要情報への接続権限を有効とし（Ｓ３０２）、次ステップ（Ｓ１０６）に進み、社外であれば、そのまま、次ステップ（Ｓ１０６）に進み、ＯＴＰＷを生成し、個人認証情報の一部として、認証情報ＤＢ６００に格納する。

図１０は、本実施形態の認証装置５００における処理フローの例を示す図である。

認証装置５００は、特定の重要情報への接続要求を受信する（Ｓ４０１）と、ユーザ端末２１０に対し、ＩＤおよびＯＴＰＷを要求する（Ｓ４０２）。

ユーザ端末２１０からのユーザＩＤおよびＯＴＰＷを取得すると、認証情報ＤＢ６００に格納しているユーザＩＤおよびＯＴＰＷと一致するか否かを判断する接続認証を行う（Ｓ４０３）。

接続認証が成功すると、重要情報への接続権限が有効か否かを確認し（Ｓ４０４）、不成功の場合、ユーザ端末２１０にエラーメッセージを表示させるなどして、処理を終了する。

重要情報への接続権限が有効であれば、重要情報への接続権限１１０２に応じて、ユーザ端末２１０を当該重要情報に接続させ（Ｓ４０５）、無効であれば、ユーザ端末２１０にエラーメッセージを表示させるなどして、処理を終了する。

その後、認証装置５００は、ユーザ端末２１０における当該重要情報への接続終了を確認し、一定時間が経過すると、有効フラグを無効にし、ＯＴＰＷを消滅させる。重要情報への接続終了とは、ユーザ端末２１０が重要情報への接続権限１１０２に設定されているサーバへの接続を切断したり、同様に設定されているフォルダやファイルの表示を終了したり、することなどである。

したがって、社内ネットワーク内の特定の重要情報に接続できる領域を限定することで、社内ネットワークに接続可能なユーザのユーザ端末が社内ネットワーク内の特定の重要情報へ接続する際の不正な接続認証を抑制することができる。

以上のように、本発明では不正な接続認証を抑制することができる。

１００、１１０携帯端末
２００、２１０ユーザ端末
３００外部ネットワーク
４００ＯＴＰＷ生成装置
５００認証装置
６００認証情報ＤＢ
７００、７１０、７２０サーバ

Claims

所定のネットワークへの接続の可否を判定する認証システムであって、
ユーザが所定の領域から前記ネットワークへ接続する場合に前記ユーザに対してワンタイムパスワードを生成するワンタイムパスワード生成装置と、
前記ユーザが前記ネットワークへの接続に使用する端末の認証を行う認証装置と、
認証情報を格納する認証情報格納部を備え、
前記認証装置は前記端末から受信した前記ワンタイムパスワードに基づき前記ユーザの前記ネットワークへの接続の可否を判定することを特徴とする認証システム。
前記ワンタイムパスワード生成装置はＧＰＳ機能を備える装置から受信した前記ユーザの個人認証情報およびＧＰＳ位置情報における認証が成功した場合に前記装置にワンタイムパスワードを送信することを特徴とする請求項１に記載の認証システム。
前記ネットワークへの接続に使用する前記端末はＧＰＳ機能を備え、
前記ワンタイムパスワード生成装置は前記端末から受信した前記ユーザの個人認証情報およびＧＰＳ位置情報における認証が成功した場合に前記端末にワンタイムパスワードを送信することを特徴とする請求項１に記載の認証システム。
前記認証情報保持部は所定領域の位置情報、端末の認証情報、および個人認証情報を備えることを特徴とする請求項１乃至請求項３のいずれかに記載の認証システム。
前記ワンタイムパスワード生成装置が生成する前記ワンタイムパスワードを前記ユーザの個人認証情報と関連付けて前記認証情報格納部に格納することを特徴とする請求項１乃至請求項４のいずれかに記載の認証システム。
前記認証装置は前記ユーザから受信した前記端末の認証情報における認証が成功した後、前記ユーザから前記ワンタイムパスワードと共に前記ユーザの個人認証情報を受信し、前記認証情報保持部に保持されている前記ワンタイムパスワードと前記ユーザの個人認証情報に基づき前記ユーザの前記ネットワークへのアクセスの可否を判定することを特徴とする請求項５に記載の認証システム。
前記認証情報格納部に格納している前記ワンタイムパスワードを一定時間経過後に消去することを特徴とする請求項５または請求項６に記載の認証システム。
前記ユーザが位置する領域が、前記個人認証情報および前記端末の認証情報における認証が成功すると前記ネットワークへのアクセスが可能になる領域である場合に、前記ユーザは前記ネットワーク中の接続制限された情報に接続する場合に現在位置情報を前記ワンタイムパスワード生成装置に送信することを特徴とする請求項１乃至請求項７に記載の認証システム。
ネットワークへの接続の可否を判定する認証方法であって、ユーザからその現在位置情報を受信し、前記現在位置情報の認証が成功した場合に前記ユーザに対しワンタイムパスワードを生成し、前記ユーザが前記ネットワークへの接続に使用する端末の認証を行い、前記端末認証の成功後に前記ユーザから送信された前記ワンタイムパスワードおよび個人情報の認証を行うことを特徴とする認証方法。