JP2018201090A - 認証システム、及び認証サーバ装置 - Google Patents

Abstract

【課題】セキュリティ面の向上を図った認証システムを提供する【解決手段】外部記憶媒体は、固有の識別子情報と、暗号化された秘密鍵情報とを有し、端末装置は、読み取った識別子情報を認証サーバ装置に送信し、認証サーバ装置から受信した復号化情報に基づいて、秘密鍵情報を復号すると共に、復号した秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、サーバ装置は、端末装置から受信した受信識別子情報と、予め記憶している記憶識別子情報とが一致すると判定した場合に記憶している復号化情報を端末装置に送信するサーバ制御部を備えるようにした。【選択図】図５

Description

本発明は、認証システム、及び認証システムを構成する認証サーバ装置に関する。

一般に、インターネットなどの通信ネットワークを介して、パソコンなどの端末装置やサーバ装置間おいて様々な情報のやり取り（送受信）が行われることが知られている。また、近年にあっては、セキュリティの観点から、例えば、端末装置とサーバ装置と間で行われる通信において、送受信する情報を暗号化する暗号化通信で行われるようになっている。

そして、端末装置とサーバ装置間で行われる暗号化通信としては、例えば、秘密鍵情報及び公開鍵情報を用いて送受信する情報を暗号化、復号する暗号化通信（例えば、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）通信）が知られている（特許文献１参照）。

特開２０１５−２２６１３３号公報

しかし、特許文献１記載の端末認証システムでは、端末装置の制御部に設けられた記憶部に秘密鍵情報をはじめとする暗号化通信を行うための各種情報（例えば秘密鍵情報やＳＳＨＩＰアドレス、ユーザＩＤなどのＳＳＨ接続情報など）を記憶させて端末装置にて管理するようになっている。そのため、例えば、端末装置がコンピュータウィルスなどに感染しまった場合において、特許文献１記載の端末認証システムのように、秘密鍵情報などを暗号化することなく記憶部に記憶させていた場合や、ユーザがＳＳＨＩＰアドレスなどをキーボードで端末装置に直接入力しているときに、当該コンピュータウィルスによって、その端末装置に記憶された（またはユーザによって入力された）秘密鍵情報などが他人に不正に取得されて（盗まれて）しまう虞があり、その取得された秘密鍵情報などを用いて暗号化された情報が復号されてしまう虞がある。

また、例えば、端末装置が管理する秘密鍵情報などをパスフレーズによって暗号化することも可能であるが、近年にあってはパスフレーズを解読（つまりは正解パスフレーズを割り出す）するコンピュータソフトもあることから、秘密鍵情報などにパスフレーズをかけたとしてもパスワードフレーズが解除されて暗号化された秘密鍵情報が復号されてしまう虞がある。このように、秘密鍵情報などが不正に取得されると情報の秘匿性が著しく害されると共に、ユーザが不測の不利益を被る虞もある。

そこで、本発明は上記課題に鑑みて行われたものであり、暗号化通信を行う際のセキュリティ面の向上を図った認証システム、及び認証サーバ装置を提供することを目的とする。

本発明は、所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、前記外部記録媒体は、固有の識別子情報と、暗号化された秘密鍵情報と、を有し、前記端末装置は、接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した、暗号化された前記秘密鍵情報を復号するための復号化情報に基づいて、前記外部記録媒体から読み取った前記秘密鍵情報を復号すると共に、復号した前記秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、前記認証サーバ装置は、前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、記憶している前記復号化情報を前記端末装置に送信するサーバ制御部を備えることを特徴とする。

本発明は、所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、前記外部記録媒体は、固有の識別子情報を有し、前記端末装置は、接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した、暗号化された秘密鍵情報について、前記認証サーバ装置から受信した、前記秘密鍵情報を復号するための復号化情報に基づき復号すると共に、復号した前記秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、前記認証サーバ装置は、暗号化された前記秘密鍵情報及び前記復号化情報を記憶していると共に、前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、暗号化された前記秘密鍵情報及び前記復号化情報を前記端末装置に送信するサーバ制御部を備える、
ことを特徴とする。

本発明は、所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、前記外部記録媒体は、固有の識別子情報を有し、前記端末装置は、接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、前記認証サーバ装置は、暗号化された前記秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、前記復号化情報に基づき、暗号化された前記秘密鍵情報を復号して、復号した前記秘密鍵情報を前記端末装置に送信するサーバ制御部を備えることを特徴とする。

また、前記サーバ制御部は、前記クライアント装置が前記通信ネットワークを介して所定の暗号通信サーバ装置に接続するために必要な接続情報を有し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合に前記接続情報を前記クライアント装置に送信することを特徴とする。

所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には前記外部記録媒体に記録されている暗号化された秘密鍵情報を復号するための復号化情報を前記端末装置に送信する制御部を備えることを特徴とする。

本発明は、所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、暗号化された秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、暗号化された前記秘密鍵情報及び前記復号化情報を前記端末装置に送信する制御部を備えることを特徴とする。

本発明は、所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、暗号化された秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、前記復号化情報に基づき、暗号化された前記秘密鍵情報を復号して、復号した秘密鍵情報を前記端末装置に送信する制御部を備えることを特徴とする。

本発明は上述のように構成されているので、暗号化通信におけるセキュリティ面の向上を図ることができる。

本実施の形態に係る認証システムの全体の構成を示す模式図である。 本実施の形態に係るクライアント装置のブロック図であって、（Ａ）は電気的構成を示すブロック図であり、（Ｂ）は機能的構成を示すブロック図である。 本実施の形態に係る認証サーバ装置のブロック図であって、（Ａ）は電気的構成を示すブロック図であり、（Ｂ）は機能的構成を示すブロック図である。 本実施の形態に係る暗号通信サーバ装置のブロック図であって、（Ａ）は電気的構成を示すブロック図であり、（Ｂ）は機能的構成を示すブロック図である。 本実施の形態に係る認証システムを利用した際のシーケンス図である。

以下、本発明の実施の形態について図１〜図５を参照しつつ説明する。

＜認証システムＳ＞
本実施の形態に係る認証システムＳの構成について説明する。
認証システムＳは、図１に示すように、本発明の端末装置であるクライアント装置１０と、認証サーバ装置３０と、暗号通信サーバ装置５０とを有して構成されている。そして、各装置１０，３０，５０は、通信ネットワークＮによって接続されており、各装置１０，３０，５０間で様々な情報（データ）について送受信できるようになっている。また、クライアント装置１０は、本発明の外部記録媒体であるＵＳＢメモリＭが接続可能となっている。

＜クライアント装置１０＞
（クライアント装置１０の構成）
次いで、認証システムＳを構成する各装置について説明する。
先ずは、認証システムＳを構成するクライアント装置１０の構成について説明する。本実施の形態において、クライアント装置１０は、パソコン（パーソナルコンピュータ）で構成されている。クライアント装置１０は、図２（Ａ）に示すように、端末制御部１１，端末補助記憶部１２，端末通信部１３，端末操作部１４，端末表示部１５，端末外部記録装置接続部１６などを有しており、それら各部は、内部バスを介してそれぞれ接続されている。

端末制御部１１は、クライアント装置１０の作動を制御するものである。そして、端末制御部１１は、図示はしないが、各装置の制御やデータの演算、加工などを行うＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）や、ＣＰＵが読み込むためのデータなどを一時的（パソコンの電源が入っている間）に記憶する内部記憶装置（例えばメモリ）などを有している。

端末補助記憶部１２は、基本ソフトウェアであるオペレーションシステムやアプリケーションソフトウェアなどに関連する各種情報やデータを記憶しておく外部記憶装置（例えばＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ））で構成されている。そして、端末補助記憶部１２には、クライアント装置１０が暗号通信サーバ装置５０に接続（ログイン）するために必要な各種情報を認証サーバ装置３０から受信することについて、認証サーバ装置３０による認証（以下、この認証のことをクライアント認証という）を受ける際に用いる専用の認証アプリケーション（以下、クライアント認証アプリという）が記憶されている。そして、本実施の形態では、クライアント装置１０がクライアント認証を行う場合には、当該クライアント認証アプリを起動させてクライアント認証を行うようになっている。

端末通信部１３は、有線や無線回線などのデータ伝送路により構築されたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの通信ネットワークＮを介して接続された上述の各種サーバ装置３０，５０との通信用のインターフェースである。

端末操作部１４は、例えば、キーボードやマウスなどの操作装置で構成されており、それらの操作に基づく操作信号が端末制御部１１に入力されると、入力された信号に基づいて各処理が行われるようになっている。

端末表示部１５は、所定の画像などを表示する表示モニタで構成されており、例えば、端末制御部１１から出力される各種データに基づく画像が表示モニタに表示されるようになっている。

端末外部記録装置接続部１６は、ＵＳＢメモリＭなどをクライアント装置１０に接続するための接続用のインターフェースである。そして、端末外部記録装置接続部１６にＵＳＢメモリＭに接続されると、ＵＳＢメモリＭ内に記憶されている各種情報などをクライアント装置１０の端末制御部１１や端末補助記憶部１２に取り込めるようになっている。

また、本実施の形態において、クライアント装置１０に接続されるＵＳＢメモリＭには、ＵＳＢメモリＭを識別するための固有のシリアル番号についての情報、及び、クライアント装置１０が暗号化通信を行う際に用いる秘密鍵情報（以下、単に秘密鍵という）に関する情報が記憶されている。そして、ＵＳＢメモリに記憶されている秘密鍵は、暗号化されており、本実施の形態では、暗号化されている当該秘密鍵が、更に所定のファイル形式で暗号化されて記憶されている（以下、秘密鍵ファイルという）。即ち、ＵＳＢメモリＭに記憶されている秘密鍵は２重に暗号化されている。そして、本実施の形態では、ＵＳＢメモリＭに記憶されているシリアル番号が本発明の外部記録媒体を識別する固有の識別子情報を構成している。

（クライアント装置１０の機能）
クライアント装置１０の端末制御部１１は、例えば、クライアント装置１０のユーザが端末制御部１１に記憶されている各種プログラムを実行させることにより、所定の機能が発動するようになっている。そして、本実施の形態において、クライアント装置１０が認証サーバ装置３０に対してクライアント認証を行う際は、端末補助記憶部１２に記憶されているクライアント認証アプリを用いて行うようになっている。そして、ＣＰＵがクライアント認証アプリのプログラムを読み込むと、端末制御部１１は、図示はしないが、例えば、認証サーバ装置３０とＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙａｒ）通信を行うためのＳＳＬ通信手段や、暗号通信サーバ装置５０とＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）通信を行うためのＳＳＨ通信手段の各手段として機能する他、図２（Ｂ）に示すように、クライアントアプリ情報読取手段１１ａ、クライアントアプリ情報送受信手段１１ｂ、クライアントアプリ情報復号化手段１１ｃ、の各手段として機能するようになっている。

クライアントアプリ情報読取手段１１ａは、端末外部記録装置接続部１６に接続されたＵＳＢメモリＭ内に記憶されている情報について読み取るものである。具体的には、端末外部記録装置接続部１６に接続されたＵＳＢメモリＭに記憶されているＵＳＢメモリＭのシリアル番号及び秘密鍵ファイルをクライアントアプリ情報読取手段１１ａが読み取るようになっている。そして、本実施の形態においては、ＵＳＢメモリＭから読み取ったシリアル番号や秘密鍵ファイルは、クライアント装置１０に（例えば、端末制御部１１のメモリなどに）記憶されるようになっており、ＵＳＢメモリＭに記憶されたシリアル番号及び秘密鍵ファイルがクライアント装置１０に取り込まれるようになっている。

クライアントアプリ情報送受信手段１１ｂは、上述のように、クライアント装置１０に取り込まれた（記憶された）シリアル番号や秘密鍵ファイル、及び、クライアント装置１０のユーザによって入力されたパスワードなどの各情報を認証サーバ装置３０に送信する他、後述するように、認証サーバ装置３０から送信されてきたメディア情報など受信するものである。

クライアントアプリ情報復号化手段１１ｃは、暗号化されている情報について復号するものである。そして、本実施の形態では、後述するように、認証サーバ装置３０から受信した秘密鍵パスワード、及び秘密鍵パスフレーズに基づいて、ＵＳＢメモリＭから読み取った秘密鍵ファイルをクライアントアプリ情報復号化手段１１ｃが復号するようになっている。具体的には、秘密鍵パスワードで秘密鍵ファイルを復号し、復号した秘密鍵を更に秘密鍵パスフレーズで復号するようになっている。そして、本実施の形態では、この秘密鍵パスワード及び秘密鍵パスフレーズが本発明の復号化情報を構成している。

＜認証サーバ装置３０＞
（認証サーバ装置３０の構成）
次いで認証サーバ装置３０について説明する。
認証サーバ装置３０は、上述のようにクライアント認証を行うものである。換言すれば、クライアント装置１０が暗号通信サーバ装置５０にアクセスするのを許可するか否かを決定するものである。

そして、認証サーバ装置３０は、図３（Ａ）に示すように、認証サーバ通信部３１や認証サーバ制御部３２などを有して構成されている。そして、図示しないが、これらは、内部バスなどにより互いに接続されている。また、本実施の形態では、認証サーバ制御部３２が本発明のサーバ制御部を構成している。

認証サーバ通信部３１は、通信ネットワークＮを介して、クライアント装置１０や他のサーバ装置５０との間で各種情報を送受信するための通信用のインターフェースである。

認証サーバ制御部３２は、認証サーバ装置３０の作動を制御するものであり、図示はしないが、各装置の制御やデータの演算、加工などの各種演算処理を行うＣＰＵや、所定の情報を記憶する内部記憶装置（例えばメモリ）や、外部記憶装置（例えばＨＤＤ）などを有して構成されている。そして本実施の形態において、認証サーバ制御部３２のＨＤＤには、クライアント認証処理を行うための専用の認証アプリケーション（以下、サーバ認証アプリという）が記憶されている他、ＳＳＬ通信やＳＳＨ通信などの暗号化通信を行うための各種アプリケーションなども記憶されている。

また、認証サーバ制御部３２のＨＤＤには、メディア情報及び通信サーバ情報についても記憶されている。ここで、メディア情報とは、認証サーバ装置３０がクライアント認証処理を行う際に用いる情報である。そして、本実施の形態では、ＵＳＢメモリＭのシリアル番号、所定のログインパスワード、ＵＳＢメモリＭに記憶されている秘密鍵ファイルに対応する秘密鍵パスワード及び秘密鍵パスフレーズ、さらに、ユーザＩＤなどの各種情報がメディア情報として記憶されている。

また、通信サーバ情報とは、クライアント装置１０が暗号通信サーバ装置５０にログインする際に用いる情報である。そして、本実施の形態では、ユーザＩＤ、ＩＰアドレス、ポート、及びパスフレーズなどの各種情報が通信サーバ情報として記憶されている。なお、上記、メディア情報及び通信サーバ情報として記憶されている各種情報は一例であって、上記以外の情報をメディア情報及び通信サーバ情報として記憶するようにしてもよい。そして、本実施の形態では、このメディア情報及び通信サーバ情報が本発明の接続情報を構成している。

（認証サーバ装置３０の機能）
次いで、認証サーバ制御部３２の機能的構成について説明する。
認証サーバ制御部３２は、記憶されている各種プログラムが実行されることにより所定の機能が発動するようになっている。そして、本実施の形態において、認証サーバ装置３０が上述のクライアント認証処理を行う際には、サーバ認証アプリを用いて行うようになっている。そして、ＣＰＵがサーバ認証アプリのプログラムを読み込むと、認証サーバ制御部３２は、図３（Ｂ）に示すように、サーバアプリ識別子情報判定手段３２ａ、及びサーバアプリ情報送受信手段３２ｂの各手段として機能するようになっている。

サーバアプリ識別子情報判定手段３２ａは、認証サーバ装置３０に記憶されているメディア情報と、クライアント装置１０から送信された情報が一致するか否かを判定するものである。具体的には、ＵＳＢメモリＭのシリアル番号、及びユーザによって入力されたログインパスワードの情報がクライアント装置１０から認証サーバ装置３０に送信されるようになっており、サーバアプリ識別子情報判定手段３２ｄは、送信されてきた当該シリアル番号及びログインパスワードが、認証サーバ制御部３２にメディア情報として予め記憶されているシリアル番号及びログインパスワードの情報と一致するか否かを判定するようになっている。そして、本実施の形態では、クライアント装置１０から送信されてきたシリアル番号が本発明の受信識別子情報を構成し、認証サーバ制御部３２に予め記憶されているシリアル番号が本発明の記憶識別子情報を構成している。

サーバアプリ情報送受信手段３２ｂは、クライアント装置１０から送信されてきたシリアル番号やユーザが入力したログインパスワードなどの情報を受信したり、上述のメディア情報や通信サーバ情報などの情報をクライアント装置１０に送信したりするものである。

＜暗号通信サーバ装置５０＞
（暗号通信サーバ装置５０の構成）
次いで暗号通信サーバ装置５０について説明する。
暗号通信サーバ装置５０は、クライアント装置１０と暗号化通信を行うものである。

そして、暗号通信サーバ装置５０は、図４（Ａ）に示すように、通信サーバ通信部５１や通信サーバ制御部５２などを有して構成されている。そして、図示しないが、これらは、内部バスなどにより互いに接続されている。

通信サーバ通信部５１は、通信ネットワークＮを介して、クライアント装置１０や他のサーバ装置との間で各種情報を送受信するための通信用のインターフェースである。

通信サーバ制御部５２は、暗号通信サーバ装置５０の作動を制御するものであり、図示はしないが、各装置の制御やデータの演算、加工などの各種演算処理を行うＣＰＵや、所定の情報を記憶する内部記憶装置（例えばメモリ）や、外部記憶装置（例えばＨＤＤ）などを有して構成されている。そして、通信サーバ制御部５２のＨＤＤには、様々な情報が記憶されており、例えば、ユーザＩＤやパスフレーズなどのクライアント装置１０が暗号通信サーバ装置５０にログインする際に、そのログインを認証するための各種情報が記憶されている。さらに、通信サーバ制御部５２のＨＤＤには、クライアント装置１０とＳＳＨ通信で暗号化通信を行うための一般的なアプリケーションなども記憶されている。

（暗号通信サーバ装置５０の機能）
次いで、通信サーバ制御部５２の機能的構成について説明する。通信サーバ制御部５２は、記憶されている各種プログラムが実行されることにより所定の機能が発動するようになっている。そして、ＣＰＵが所定のプログラムを読み込むことで、通信サーバ制御部５２は、図４（Ｂ）に示すように、一般的に暗号通信サーバ装置が有する機能として通信サーバ認証手段５２ａ、通信サーバ暗号通信手段５２ｂ、及び通信サーバ情報送受信手段５２ｃの各手段として機能するようになっている。

通信サーバ認証手段５２ａは、クライアント装置１０の暗号通信サーバ装置５０へのログインを認証するものであり、クライアント装置１０から送信されてきた、例えば、ユーザＩＤやパスフレーズ、及び秘密鍵などに関する情報に基づきクライアント装置１０のログインを認証するようになっている。

通信サーバ暗号通信手段５２ｂは、クライアント装置１０と暗号化通信を行うためのものである。そして、本実施の形態では、ＣＰＵがＳＳＨ通信を行うためのアプリケーションのプログラムを読み込むことで通信サーバ制御部５２がＳＳＨ通信を行うための通信サーバ暗号通信手段５２ｂとして機能するようになっている。

通信サーバ情報送受信手段５２ｃは、通信サーバ制御部５２に記憶されている各種情報を他の装置などに送信する他、他の装置から送信されてきた各種情報について受信するものである。

＜認証システムの作用＞
次いで、上述のように構成された認証システムＳの作用について図５を参照しつつ説明する。
本実施の形態では、上述のように、クライアント装置１０が暗号通信サーバ装置５０にログインするのに必要な情報を取得するため、クライアント装置１０は、クライアント認証を行うようになっている。

そして、まず、クライアント装置１０のユーザは、秘密鍵ファイルが記憶されているＵＳＢメモリＭをクライアント装置１０に接続する（端末外部記録装置接続部１６に差し込む）。その後、クライアント装置１０のユーザは、キーボードなど操作装置を操作してクライアント認証アプリを起動させる。

そして、クライアント認証アプリが起動され、クライアントアプリ情報読取手段１１ａの機能が発動すると、クライアントアプリ情報読取手段１１ａは、対象となるＵＳＢメモリＭが接続されているか、否かを判別する（具体的には、例えば、端末外部記録装置接続部１６に複数のＵＳＢメモリＭが接続されている場合において、ＵＳＢメモリＭに特定のファイルやフォルダなどが記憶されているか否かに基づいて、対象となるＵＳＢメモリＭを判別する）。そして、読取対象となるＵＳＢメモリＭが接続されていることをクライアントアプリ情報読取手段１１ａが認識すると、当該ＵＳＢメモリＭに記憶されている情報を読み取るＵＳＢ情報読取処理がクライアントアプリ情報読取手段１１ａによって行われるようになっている（ＳＴＥＰ１００以下、単にＳ○○○とする）。

そして、本実施の形態では、はじめに、ＵＳＢメモリＭに記憶されているＵＳＢメモリＭのシリアル番号についてのみ、クライアントアプリ情報読取手段１１ａが読み取るようになっている。クライアントアプリ情報読取手段１１ａによって読み取られたシリアル番号の情報は、端末制御部１１のメモリに記憶されるようになっている。

そして、クライアント装置１０のユーザは、所定のログインパスワードをキーボードなどで入力する入力操作を行い、入力された当該ログインパスワードは、端末制御部１１のメモリに記憶されるようになっている（Ｓ１１０）。

そして、端末制御部１１のメモリに記憶されたそのシリアル番号及びログインパスワードの各情報は、クライアントアプリ情報送受信手段１１ｂによって、クライアント装置１０から認証サーバ装置３０に暗号化通信（ＳＳＬ通信）で送信されるようになっている（Ｓ１２０）。

クライアント装置１０から送信されたシリアル番号及びログインパスワードの各情報は、サーバアプリ情報送受信手段３２ｂによって受信されるようになっている。そして、当該情報がサーバアプリ情報送受信手段３２ｂに受信されるのに伴って、受信されたシリアル番号及びログインパスワードと、認証サーバ制御部３２に記憶されているシリアル番号及びログインパスワードの各情報とが一致するか否かを判定する判定処理がサーバアプリ識別子情報判定手段３２ａによって行われるようになっている（Ｓ１３０）。

そして、受信したシリアル番号及びログインパスワードの情報が認証サーバ制御部３２に記憶されているシリアル番号及びログインパスワードと一致するとサーバアプリ識別子情報判定手段３２ａによって判定された場合には、クライアント装置１０の認証サーバ装置３０へのログインが認証されるようになっている。つまりは、暗号通信サーバ装置５０にログインするために必要な各種情報をクライアント装置１０が受信することについて認証される。そして、クライアント装置１０のログインが認証されると、その認証結果と共に、クライアント装置１０が暗号通信サーバ装置５０にログインするための各種情報が認証サーバ装置３０からクライアント装置１０に送信されるようになっている（Ｓ１４０）。

具体的には、秘密鍵パスワードや秘密鍵パスフレーズの各種メディア情報、及びＩＰアドレスやユーザＩＤなどの各種通信サーバ情報が、サーバアプリ情報送受信手段３２ｂによって、クライアント装置１０にＳＳＬ通信で送信されるようになっている。

一方で、クライアント装置１０から受信したシリアル番号及びログインパスワードの両方、または、その何れか一方が認証サーバ制御部３２に記憶されているシリアル番号及びログインパスワードと一致しなかった場合には、クライアント装置１０のログインは認証されない。即ち、クライアント装置１０は、暗号通信サーバ装置５０にログインするために必要な情報を受信することはできず、暗号通信サーバ装置５０にログインできないことになる。その場合には、例えば、シリアル番号などが一致しないことを知らせる情報がクライアント装置１０に送信され、当該情報をクライアントアプリ情報送受信手段１１ｂが受信するのに伴って、そのことを知らせる画面がクライアント装置１０の端末表示部１５に表示されるようになっている。

そして、クライアント装置１０では、上述のように、認証サーバ装置３０によってログインが認証され、通信サーバ情報と共に秘密鍵パスワード及び秘密鍵パスフレーズを受信するのに伴って、ＵＳＢメモリＭに記憶されている秘密鍵ファイルを読み取る処理がクライアントアプリ情報読取手段１１ａによって行われようになっている（Ｓ１５０）。そして、読み取られた秘密鍵ファイルは、受信した通信サーバ情報と共に、端末制御部１１のメモリに記憶されるようになっている。

そして、上述のように、認証サーバ装置３０から秘密鍵パスワード及び秘密鍵パスフレーズを受信し、ＵＳＢメモリＭから秘密鍵ファイルが読み取られると、秘密鍵パスワードに基づき秘密鍵ファイルが復号され、さらに、復号された暗号化されている秘密鍵を秘密鍵パスフレーズに基づいて復号する処理がクライアントアプリ情報復号化手段１１ｃによって行われるようになっている。（Ｓ１６０）。

そして、秘密鍵ファイルを復号すると、クライアント装置１０は、受信した通信サーバ情報に基づいて暗号通信サーバ装置５０にログインを行う（Ｓ１７０）。具体的には、認証サーバ装置３０から受信したパスフレーズやユーザＩＤ、及び復号した秘密鍵に関する情報などのログイン情報を暗号通信サーバ装置５０にＳＳＨ通信で送信するようになっている。

暗号通信サーバ装置５０では、クライアント装置１０から送信されたログイン情報を通信サーバ情報送受信手段５２ｃが受信すると、当該ログイン情報に基づき、クライアント装置１０のログインを認証するか否かを通信サーバ認証手段５２ａが決定するようになっている（Ｓ１８０）。具体的には、クライアント装置１０から送信されてきたログイン情報が通信サーバ制御部５２に記憶されている各種情報と一致する場合に、クライアント装置１０のログインが認証されることになる。

その一方で、クライアント装置１０から受信したログイン情報と通信サーバ制御部５２に記憶されている各種情報とが一致せず、クライアント装置１０のログインが通信サーバ認証手段５２ａによって認証されない場合には、その結果がクライアント装置１０に送信され、クライアント装置１０は、暗号通信サーバ装置５０に接続することができないようになっている。即ち、クライアント装置１０は、暗号通信サーバ装置５０と暗号化通信ができないことになる。

そして、クライアント装置１０のログインが認証されると、クライアント装置１０は、暗号通信サーバ装置５０との間でＳＳＨ通信によって各種情報の送受信を行うことが可能となる。そして、本実施の形態にあっては、例えば、暗号通信サーバ装置５０の各種保守作業をＳＳＨ通信で行うことが可能となる。

＜効果＞
本実施の形態では、上述のように、暗号化通信（ＳＳＨ通信）を行う際に用いる秘密鍵をＵＳＢメモリＭに記憶するようにしたので、例えば、クライアント装置１０に秘密鍵を常に記憶させておく場合と比して、クライアント装置１０がコンピュータウィルスに感染した場合であっても、そのコンピュータウィルスなどによって秘密鍵が不正に取得されてしまうことを防ぐことができる。この結果、第三者によって秘密鍵を盗まれるのを防止することができ、暗号化通信におけるセキュリティ面の向上を図ることができる。

また、クライアント装置１０が暗号通信サーバ装置５０にログインする際に必要な秘密鍵パスワードや通信サーバ情報について認証サーバ装置３０で管理するようにした。即ち、秘密鍵パスワードや通信サーバ情報をクライアント装置１０以外で管理するようにしたので、上述と同様に、例えば、クライアント装置１０がコンピュータウィルスに感染してしまったときでも秘密鍵パスワードや通信サーバ情報が第三者によって不正に取得されてしまうことを防ぐことができ、暗号化通信におけるセキュリティ面を向上させることができる。

また、ＵＳＢメモリＭに格納される秘密鍵は、暗号化された秘密鍵が更にファイル形式で暗号化されて記憶されているので（即ち、２重に暗号化したので）、セキュリティ面の向上を図ることができる。

また、クラインアント認証が認証サーバ装置３０に認められると、ＵＳＢメモリＭに記憶された秘密鍵ファイルを復号化する秘密鍵パスワードや、秘密鍵パスフレーズが認証サーバ装置３０からクライアント装置１０に送信されるようになっているので、例えば、秘密鍵パスワードや秘密鍵パスフレーズを手入力でクライアント装置１０に入力する場合と比して、クライアント装置１０のユーザの負担を軽減することができ、さらには、秘密鍵パスワードなどをクライアント装置１０に手入力する必要がないので、例えば、桁数の多いパスワードを秘密鍵パスワードとして設定ができ、セキュリティ面の向上を図ることができる。

また、本実施の形態では、ＵＳＢメモリＭのシリアル番号及び所定のログイン番号を認証サーバ装置３０に送信し、認証サーバ装置３０に予め記憶されているログイン番号とログインパスワードが一致する場合に、秘密鍵ファイルを復号するための秘密鍵パスワードや通信サーバ情報などがクライアント装置１０に送信されるようにした。つまりは、特定のＵＳＢメモリＭを有する者だけが、それら情報について取得できるので、所謂なりすましなどと称される不正なアクセスも防止することができる。

また、既存のＵＳＢメモリＭとそのＵＳＢメモリＭのシリアル番号を用いて認証サーバ装置３０が認証処理を行うようにしたので、例えば、新たな装置を製造したりする必要性もないことから、開発コストなどを抑えつつセキュリティの向上を図ることもできる。

＜変形例＞
なお、本発明は、上述した本実施の形態に限定されるものではなく、本発明の目的を達成できる範囲における変形も含むものである。以下、本変形例について説明する。ただし、以下に説明する変形例については、既に説明した本実施の形態とは異なる点についてのみ説明するものとし、同一の構成については同一の符号を付してその説明は省略するものとする。

本実施の形態では、ＵＳＢメモリＭに秘密鍵ファイルを記憶し、そして、シリアル番号及びログインパスワードがクライアント装置１０から認証サーバ装置３０に送信されるのに伴って行われるクラインアント認証が認証サーバ装置３０によって認められると、認証サーバ装置３０からクライアント装置１０に秘密鍵パスワードや秘密鍵パスフレーズが送信される。そして、クライアント装置１０は、受信した秘密鍵パスワードなどに基づき、ＵＳＢメモリＭから読み取った秘密鍵ファイルを復号するようにしたがこれに限らない。例えば、秘密鍵ファイルを認証サーバ装置３０が記憶する（管理する）ように構成してもよい。そして、例えば、クライアント認証が認証サーバ装置３０によって認められるのに伴って、秘密鍵ファイル、並びに秘密鍵パスワード及び秘密鍵パスフレーズが認証サーバ装置３０からクライアント装置１０に送信されるように設定し、クライアント装置１０は、受信した秘密鍵ファイルを、同じく受信した秘密鍵パスワード及び秘密鍵パスフレーズで復号するようにしてもよい。さらには、認証サーバ装置３０が秘密鍵ファイルを記憶すると共に、クライアント認証が認証サーバ装置３０によって認められるのに伴って、認証サーバ装置３０において、秘密鍵パスワード及び秘密鍵パスフレーズに基づき秘密鍵ファイル復号し、その復号した秘密鍵を認証サーバ装置３０からクライアント装置１０に送信するようにしてもよい。

また、本実施の形態は、認証システムＳをクライアント装置１０と、認証サーバ装置３０と、暗号通信サーバ装置５０とで構成したがこれに限らない。例えば、様々なウェブページデータを有するＷｅｂサーバ装置などの他のサーバ装置を認証システムＳに接続するようにしてもよい。そして、認証サーバ装置３０でのクライアント認証が認められ、クライアント装置１０が暗号通信サーバ装置５０にログインした後、通信サーバ情報としてポート転送用ローカルポート、ポート転送先ＩＰアドレス、及びポート転送先ポートを認証サーバ装置３０から受信すると共に、それら情報に基づき、暗号通信サーバ装置５０を介してＳＳＨ通信でＷｅｂサーバ装置などの別のサーバ装置などに接続したり、また、同様にクライアント装置１０が暗号通信サーバ装置５０にログインした後、暗号通信サーバ装置５０を介してＳＳＨ通信によるリモートデスクトップ接続で他の装置に接続したりするようにしてもよい。上述のように、特定のＵＳＢメモリＭが接続されたクライアント装置１０だけが暗号通信サーバ装置５０のログインすることができ、当該暗号通信サーバ装置５０を介してＷｅｂサーバ装置や他のサーバ装置に接続するので、例えば、なりすましなどの不正なアクセスを防止することができ、セキュリティ面の向上を図ることができる。

本実施の形態では、認証サーバ装置３０がクライアント認証を認めると、復号化情報である秘密鍵パスワードをはじめとして、通信サーバ情報をクライアント装置１０に送信するように構成したがこれに限らない。例えば、認証サーバ装置３０がクライアント認証を認めると、認証サーバ装置３０は、所定のパスワードをクライアント装置１０に送信するように設定する。そして、クライアント装置１０から認証サーバ装置３０に当該パスワードが送信された場合に限り、認証サーバ装置３０は秘密鍵パスワードや通信サーバ情報をクライアント装置１０に送信するようにしてもよい。即ち、クライアント認証について２段階の認証とするようにしてもよい。

また、本実施の形態では、本発明の外部記録媒体をＵＳＢメモリＭで構成したがこれに限らない。例えば、シリアル番号を有するメモリーカードなど、所定の情報を記憶でき、かつ、シリアル番号などの外部記録媒体自体を識別できる識別子があれば何れのものであってもよい。

また、本実施の形態では、本発明の端末装置をパソコンであるクライアント装置１０で構成したがこれに限らない。例えば、スマートフォンやタブレット端末など、通信ネットワークＮを介してサーバ装置３０，５０などと情報の送受信が行えるものであれば何れのものであってもよい。

また、本実施の形態では、１つの暗号通信サーバ装置５０で認証システムＳを構成し、さらには、ＵＳＢメモリＭ内に秘密鍵ファイルが１つだけ記憶されているように構成したがこれに限らない。例えば、暗号通信サーバ装置５０を複数設けると共に、各暗号通信サーバ装置５０に対応する数の秘密鍵ファイルをＵＳＢメモリＭに記憶するようにしてもよい。そして、ログインしたい暗号通信サーバ装置５０に対応する秘密鍵ファイルやログインパスワードを認証サーバ装置３０に送信し、クライアント認証を行うようにしてもよい。

また、本実施の形態では、ＵＳＢメモリＭのシリアル番号及びユーザが入力したログインパスワードが、認証サーバ装置３０に記憶されているシリアル番号及びログインパスワードと一致する場合にクライアント認証が認められるようにしたがこれに限らない。例えば、ＵＳＢメモリＭのシリアル番号のみが一致する場合にクライアント装置１０の暗号通信サーバ装置５０へのログインが認証されるようにしてもよい。つまりは、クライアント装置１０から認証サーバ装置３０に送信する情報をＵＳＢメモリＭのシリアル番号のみを送信する（ログインパスワードは入力されない）ように構成してもよい。

また、本実施の形態では、認証システムＳをクライアント装置１０、認証サーバ装置３０、暗号通信サーバ装置５０のそれぞれを１つで構成したが、複数のクライアント装置１０及び複数の各種サーバ装置３０，５０を有して認証システムＳを構築してもよい。

また、本実施の形態では、認証サーバ装置３０と暗号通信サーバ装置５０とをそれぞれ設けたがこれに限らず、例えば、認証サーバ装置３０と暗号通信サーバ装置５０とを一つのサーバ装置で構成してもよく、また、それとは逆に、複数のサーバ装置で構成してもよい。

また、本実施の形態では、秘密鍵ファイルがＵＳＢメモリＭに記憶されるように構成したがこれに限らない。例えば、秘密鍵ファイル以外の情報を記憶するように構成してもよい。例えば、暗号化された文書ファイルなどＵＳＢメモリＭに記憶させるようにしてもよい。そして、文書ファイルなどＵＳＢメモリＭに記憶した場合にあっては、ＵＳＢメモリＭのシリアル番号やユーザが入力したログインパスワードをクライアント装置１０から認証サーバ装置３０に送信し、認証サーバ装置３０でクライアント認証が認められるのに伴って、文書ファイルを復号するためのパスワードが認証サーバ装置３０からクライアント装置１０に送信されるようにしてもよい。

また、本実施の形態では、ＵＳＢメモリＭに暗号化した秘密鍵ファイルを記憶させるように構成したがこれに限らず、秘密鍵ファイルを記憶させないようにしてもよい。つまりは、ＵＳＢメモリＭにシリアル番号のみを有するようにしてもよい。そして、ＵＳＢメモリＭのシリアル番号やユーザが入力したログインパスワードをクライアント装置１０から認証サーバ装置３０に送信し、認証サーバ装置３０でのクライアント認証が認められるのに伴って、例えば、所定のＵＲＬやＩＤやパスワードなどの特定の情報が認証サーバ装置３０からクライアント装置１０に送信されるようにしてもよい。

なお、本発明については、上述の実施の形態で説明したが、これに限定されるものではなく、本発明の目的を達成し得る範囲内において、変形、変更、及び各構成要件の組合せの変更など行うことも可能である。

Ｓ 認証システム Ｍ ＵＳＢメモリ（外部記録媒体） Ｎ 通信ネットワーク １０ クライアント装置（端末装置） １１ 端末制御部 ３０ 認証サーバ装置 ３２ 認証サーバ制御部（サーバ制御部） 暗号通信サーバ装置５０

Claims (7)

1. 所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、
   前記外部記録媒体は、
   固有の識別子情報と、
   暗号化された秘密鍵情報と、を有し、
   前記端末装置は、
   接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した、暗号化された前記秘密鍵情報を復号するための復号化情報に基づいて、前記外部記録媒体から読み取った前記秘密鍵情報を復号すると共に、復号した前記秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、
   前記認証サーバ装置は、
   前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、記憶している前記復号化情報を前記端末装置に送信するサーバ制御部を備える、
   ことを特徴とする認証システム。
2. 所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、
   前記外部記録媒体は、
   固有の識別子情報を有し、
   前記端末装置は、
   接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した、暗号化された秘密鍵情報について、前記認証サーバ装置から受信した、暗号化された前記秘密鍵情報を復号するための復号化情報に基づき復号すると共に、復号した前記秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、
   前記認証サーバ装置は、
   暗号化された前記秘密鍵情報及び前記復号化情報を記憶していると共に、前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、暗号化された前記秘密鍵情報及び前記復号化情報を前記端末装置に送信するサーバ制御部を備える、
   ことを特徴とする認証システム。
3. 所定の情報を記録する外部記録媒体が接続可能な端末装置と、前記端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置と、を備えた認証システムであって、
   前記外部記録媒体は、
   固有の識別子情報を有し、
   前記端末装置は、
   接続された前記外部記録媒体から読み取った前記識別子情報を前記認証サーバ装置に送信し、前記認証サーバ装置から受信した秘密鍵情報に基づき暗号化通信を行う端末制御部を備え、
   前記認証サーバ装置は、
   暗号化された前記秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記端末装置から受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、前記復号化情報に基づき、暗号化された前記秘密鍵情報を復号して、復号した前記秘密鍵情報を前記端末装置に送信するサーバ制御部を備える、
   ことを特徴とする認証システム。
4. 前記サーバ制御部は、前記クライアント装置が前記通信ネットワークを介して所定の暗号通信サーバ装置に接続するために必要な接続情報を有し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合に前記接続情報を前記クライアント装置に送信する、
   ことを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
5. 所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、
   前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、前記外部記録媒体に記録されている暗号化された秘密鍵情報を復号するための復号化情報を前記端末装置に送信する制御部を備える、
   ことを特徴とする認証サーバ装置。
6. 所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、
   暗号化された秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、暗号化された前記秘密鍵情報及び前記復号化情報を前記端末装置に送信する制御部を備える、
   ことを特徴とする認証サーバ装置。
7. 所定の情報を記録する外部記録媒体が接続可能な端末装置と通信ネットワークを介して接続され、前記端末装置と各種情報について送受信可能な認証サーバ装置であって、
   暗号化された秘密鍵情報及び暗号化された前記秘密鍵情報を復号するための復号化情報を記憶していると共に、前記外部記録媒体から読み取った前記外部記録媒体固有の識別子情報を前記端末装置から受信し、受信した前記識別子情報である受信識別子情報と、予め記憶している前記識別子情報である記憶識別子情報とが一致するか否かを判定し、前記受信識別子情報と、前記記憶識別子情報とが一致すると判定した場合には、前記復号化情報に基づき、暗号化された前記秘密鍵情報を復号して、復号した秘密鍵情報を前記端末装置に送信する制御部を備える、
   ことを特徴とする認証サーバ装置。

Images