JP2019036092A - 認証情報生成方法及び認証情報生成装置 - Google Patents

Abstract

【課題】内蔵する時計を用いることなく、認証情報を生成することができる認証情報生成方法及び認証情報生成装置を提供する。【解決手段】認証情報生成装置は、時刻取得Ｓ１０３（取得ステップ）及び認証情報生成Ｓ１０４（生成ステップ）を備える。取得ステップは、時刻合わせを目的としないプロトコルに基づく通信によって、時刻を示す情報を取得する。生成ステップは、時刻を示す情報に基づいて、所定の装置にアクセスするための認証情報を生成する。【選択図】図６

Description

本発明の実施形態は、認証情報生成方法及び認証情報生成装置に関する。

従来、認証機能を備えた通信装置がある。このような通信装置には、自装置の認証に必要な認証情報を時刻に基づいて生成するものが多い。しかしながら、このような通信装置には、バックアップ電源を備えないものも多くある。そのため、外部電源から電力の供給を受けられない状態では内蔵する時計を動作させることができず、適切な時刻情報を保持することができない。このような理由により、バックアップ電源を備えない通信装置は、認証情報を正しい時刻に基づいて生成することができず、認証を受けることができない場合があった。

" RSA SecurID Hardware Tokens"、[online]、[平成２９年８月９日検索]、インターネット＜URL: https://rsa.store.emc.com/en-us/Product-Family/RSA-SecurID-PRODUCTS/RSA-SecurID-Hardware-Tokens/p/RSASecurIDHardwareAuthenticators＞

本発明が解決しようとする課題は、内蔵する時計を用いることなく、認証情報を生成することができる認証情報生成方法及び認証情報生成装置を提供することである。

実施形態の認証情報生成方法は、取得ステップと生成ステップとを持つ。取得ステップは、時刻合わせを目的としないプロトコルに基づく通信によって、時刻を示す情報を取得する。生成ステップは、前記時刻を示す情報に基づいて、所定の装置にアクセスするための認証情報を生成する。

実施形態の認証情報生成装置２を用いて構成された情報送信システム１の具体例を示す図。 実施形態の認証情報生成装置２の機能構成例を示す図。 実施形態の接続先アドレス情報の具体例を示す図。 実施形態の認証生成情報の具体例を示す図。 実施形態の認証情報生成装置２が外部サーバ３に情報Ｄ１を送信する処理の流れを示すシーケンス図。 実施形態における認証情報生成装置２が外部サーバ３に情報Ｄ１を送信する処理の流れを示すフローチャート。 実施形態の認証情報生成装置２のハードウェア構成の具体例を示す図。 実施形態の識別子情報Ｄ２０１２としてＢａｓｉｃ認証のAuthentication情報を用いた場合の具体例を表す図。 実施形態の認証生成情報を記載したテキストファイルＤ２０１が、記憶部２２のセキュアストレージ領域４に記憶されていることを表す図。

以下、実施形態の認証情報生成方法及び認証情報生成装置を、図面を参照して説明する。

図１は、実施形態の認証情報生成装置２を用いて構成された情報送信システム１の具体例を示す図である。
図中の情報送信システム１は、認証情報生成装置２、外部サーバ３、ホストＰＣ９９１及びモバイルルータ９９２を備える。

認証情報生成装置２は、記憶部２２を備えた通信装置である。認証情報生成装置２は、外部サーバ３に情報Ｄ１を送信する時に必要な認証を受ける機能を備える。認証情報生成装置２は、記憶部を備えるホストＰＣ９９１に接続されている。認証情報生成装置２は、ホストＰＣ９９１に記憶された情報Ｄ１を自身の記憶部２２に記憶する。認証情報生成装置２は、外部サーバ３に認証情報を送信することで認証を依頼する。外部サーバ３による認証によって情報Ｄ１の送信が許可された場合に、情報Ｄ１を外部サーバ３に送信する。

外部サーバ３は、認証情報生成装置２が送信した情報Ｄ１を受信する装置である。また外部サーバ３は、時刻合わせを目的としないプロトコルに基づく通信によって、認証情報生成装置２に対して、時刻を表す情報（すなわち時刻情報）を送信する。時刻合わせを目的としないプロトコルとは、例えばＨＴＴＰ（Hyper Text Transport Protocol）やＳＭＴＰ（Simple Mail Transfer Protocol）等である。外部サーバ３は、例えば、ＨＴＴＰサーバや、ＷｅｂＤＡＶサーバである。外部サーバ３は、情報Ｄ１を受信する前に、認証情報生成装置２を認証する。以下「認証」とは、認証情報生成装置２が外部サーバ３に情報Ｄ１を送信することを、外部サーバ３が許可することを表す。

ホストＰＣ９９１は、情報Ｄ１を記憶する記憶部９９１１を備える装置である。ホストＰＣ９９１は例えば、パソコン等のコンピュータである。ホストＰＣ９９１は、情報Ｄ１を認証情報生成装置２に出力する。

モバイルルータ９９２は、認証情報生成装置２が情報Ｄ１を外部サーバ３に送信する際に使用される中継機である。

以下の説明においては、外部サーバ３はＨＴＴＰサーバであって、ＨＴＴＰによって時刻情報を送信すると仮定する。

図２は、本実施形態の認証情報生成装置２の機能構成例を示す図である。認証情報生成装置２は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備え、プログラムを実行する。認証情報生成装置２は、プログラムの実行によって情報取得部２１、記憶部２２、通信部２３、時刻情報取得部２４、認証情報生成部２５及び認証判定部２６を備える装置として機能する。なお、認証情報生成装置２の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されてもよい。プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。プログラムは、電気通信回線を介して送信されてもよい。

情報取得部２１は、ホストＰＣ９９１の記憶部９９１１に記憶された情報Ｄ１を取得する。情報取得部２１は取得した情報Ｄ１を、記憶部２２及び第三通信部２８に出力する。

記憶部２２は、磁気ハードディスク装置やＳＳＤ（Solid State Drive）などの記憶装置を用いて構成される。記憶部２２は接続先アドレス情報及び認証生成情報を記憶する。接続先アドレス情報は、認証情報生成装置２が情報Ｄ１を送信する先の装置である外部サーバ３のアドレスを示す情報である。認証生成情報は、認証情報の生成に必要となる情報である。

図３は、接続先アドレス情報の具体例を示す図である。接続先アドレス情報は、例えば、図３に示すテキストファイルＦ１０１として記憶部２２に記憶される。図３の例において、接続先アドレス情報は、“URL_BASE”という文字列の後ろに記載されているhttp://xxx.xxx.xx/という文字列情報である。図３の例において、http://xxx.xxx.xx/は、外部サーバ３のＵＲＬ（Uniform Resource Locator）である。なお、通信する装置のアドレスはＵＲＬによって示されたが、ＵＲＮ（Uniform Resource Name）等の他の形式で示されてもよい。

図４は、認証生成情報の具体例を示す図である。例えば、認証生成情報は図４に示すテキストファイルＦ２０１として記憶部２２に記憶される。図４の例において、認証生成情報は、第一生成情報Ｄ２０１及び第二生成情報Ｄ２０２を含む。第一生成情報Ｄ２０１は、日時を表す日時情報Ｄ２０１１と、外部サーバ３が認証情報生成装置２を識別するための識別子を表す識別子情報Ｄ２０１２とを一組の情報として含む。図４の例において、認証情報生成装置２を識別するための識別子は、日時に依存して異なる文字列で表される。

図４の例においては、その一組の情報が、コロン（：）を挟む二つの文字列によって表されている。図４の例において、左側の文字列が日時情報Ｄ２０１１を表し、右側の文字列が識別子情報Ｄ２０１２を表す。

図４の例において、日時情報Ｄ２０１１は日時を月で表す。例えば図４の第一生成情報Ｒ１は、日時情報Ｄ２０１１の表す月が３月（Ｍａｒｃｈ）であり、その場合には、日時情報Ｄ２０１１に対応付けられた識別子情報２０１２がｙｙｙ１であることを表す。なお、図４の例では、日時を表す文字列は月で表されたが、年月日で表されても良いし、時刻で表されてもよい。また、図４の例では、日時情報Ｄ２０１１と識別子情報Ｄ２０１２とは、文字列で表されたが、数値で表されても良い。

第二生成情報Ｄ２０２は、認証情報の生成に際して用いられ、所定のユーザー以外には秘密にされた秘密情報である。図４の例において、第二生成情報Ｄ２０２は、ｓｅｃｒｅｔという文字列である。所定のユーザーは、例えば、認証情報生成装置２の管理者等である。

図２の説明に戻る。通信部２３は、自装置を外部サーバ３に接続するための通信インタフェースを含んで構成される。通信部２３は、時刻情報取得部２４が参照した接続先アドレス情報が示す外部サーバ３と通信する。

時刻情報取得部２４は、接続先アドレス情報を参照し、通信部２３を介して外部サーバ３から時刻情報を取得する。具体的には、時刻情報取得部２４は、時刻合わせを目的としないプロトコルで外部サーバ３と通信することによって時刻情報を取得する。例えば、時刻情報取得部２４は、外部サーバ３に対して任意のＨＴＴＰリクエストを送信し、そのＨＴＴＰリクエスト対して外部サーバ３から応答されるＨＴＴＰレスポンスに基づいて時刻情報を取得する。一般的に、ＨＴＴＰレスポンスは、自身の送信時刻を示す情報をヘッダに含む。時刻情報取得部２４は、この送信時刻を示す情報を時刻情報としてレスポンスヘッダから取得する。時刻情報取得部２４は、このように取得した時刻情報を認証情報生成部２５に出力する。

認証情報生成部２５は、時刻情報取得部２４が取得した時刻情報に基づいて、認証情報生成装置２が外部サーバ３に認証を依頼する際に必要となる認証情報を生成する。認証情報生成部２５は、認証生成情報に基づいて、認証情報を生成する。認証情報生成部２５は、生成した認証情報を、通信部２３を介して外部サーバ３に送信し、認証結果を示す情報を受信する。

認証判定部２６は、通信部２３が受信した認証結果を示す情報に基づいて、情報Ｄ１を外部サーバ３に送信するか否かを判定する。

図５は、本実施形態における認証情報生成装置２が外部サーバ３に情報Ｄ１を送信する処理の流れを示すシーケンス図である。認証情報生成装置２は、外部サーバ３にＨＴＴＰリクエストを送信する(ａ)。ＨＴＴＰレスポンスを受信した外部サーバ３は、上記ＨＴＴＰリクエストに応じたＨＴＴＰレスポンスを認証情報生成装置２に送信する（ｂ）。ＨＴＴＰレスポンスを受信した認証情報生成装置２は、情報Ｄ１を外部サーバ３に送信するための認証情報を生成する（ｃ）。認証情報を生成した認証情報生成装置２は、その認証情報が自身のAuthorizationヘッダに付与されたＨＴＴＰリクエスト（以下「認証用ＨＴＴＰリクエスト」という。）を外部サーバ３に送信する（ｄ）。認証用ＨＴＴＰリクエストを受信した外部サーバ３は、取得した認証用ＨＴＴＰリクエストのAuthorizationヘッダに付与された認証情報に基づいて認証を行う（ｅ）。外部サーバ３は認証結果が自身のヘッダに付与されたＨＴＴＰレスポンス（以下「認証用ＨＴＴＰレスポンス」という。）を認証情報生成装置２に送信する（ｆ）。認証情報生成装置２は、情報Ｄ１を外部サーバ３に送信することが、外部サーバ３によって認証された場合に、情報Ｄ１を外部サーバ３に送信する。

図６は、本実施形態における認証情報生成装置２が外部サーバ３に情報Ｄ１を送信する処理の流れを示すフローチャートである。
通信部２３は、接続先アドレス情報が示す接続先である外部サーバ３にＨＴＴＰリクエストを送信する（ステップＳ１０１）。続いて、通信部２３は、外部サーバ３が送信する上記ＨＴＴＰリクエストに応じたＨＴＴＰレスポンスを受信する（ステップＳ１０２）。時刻情報取得部２４は、通信部２３が取得したＨＴＴＰレスポンスに含まれる時刻情報を取得する（ステップＳ１０３）。

認証情報生成部２５は、時刻情報取得部２４が取得した時刻情報と、記憶部２２に記憶された認証生成情報とに基づいて、認証情報を生成する（ステップＳ１０４）。認証情報生成部２５は、例えば、以下のようにして認証情報を生成する。図４に示す認証生成情報の例において、認証情報生成部２５は、日時情報Ｄ２０１１の表す日時が時刻情報の表す時刻を含んでいる一組の第一生成情報Ｄ２０１を参照する。認証情報生成部２５は、その一組の第一生成情報Ｄ２０１の日時情報Ｄ２０１１及び識別子情報Ｄ２０１２の表す文字列を取得する。認証情報生成部２５は、取得した日時情報Ｄ２０１１及び第二生成情報Ｄ２０２をつなげた新たな文字列情報と、識別子情報Ｄ２０１２とを新たな一組の情報とした認証情報を生成する。なお、認証情報の生成にあたって、その生成の方法は、日時情報Ｄ２０１１及び第二生成情報Ｄ２０２をつなげた新たな文字列情報と、識別子情報Ｄ２０１２とを新たな一組の認証情報とする方法に限らない。例えば、日時情報Ｄ２０１１及び第二生成情報Ｄ２０２をつなげた新たな文字列情報と、第二生成情報Ｄ２０２及び識別子情報Ｄ２０１２をつなげた新たな文字列情報を認証情報とする生成の方法でもよい。

通信部２３は、認証情報生成部２５が生成した認証情報を含む認証用ＨＴＴＰリクエストを外部サーバ３に送信する（ステップＳ１０５）。外部サーバ３は、通信部２３が送信した認証用ＨＴＴＰリクエストを受信する（ステップＳ１０６）。外部サーバ３は、受信した認証用ＨＴＴＰリクエストに基づいて認証を行った後、認証用ＨＴＴＰレスポンスを通信部２３に送信する（ステップＳ１０７）。通信部２３は、認証用ＨＴＴＰレスポンスを受信する（ステップＳ１０８）。認証判定部２６は、通信部２３が受信した認証用ＨＴＴＰレスポンスのAuthorizationヘッダに付与された認証結果を取得し、情報Ｄ１を送信することが外部サーバ３によって認証されたか否かを判定する（ステップＳ１０９）。ステップ１０９において、認証されたと判定された場合には（ステップＳ１０９：Ｙｅｓ）、通信部２３は情報取得部２１によって取得された情報Ｄ１を外部サーバ３に送信する（ステップＳ１１０）。一方、ステップＳ１０９において、認証されなかったと判定された場合には（ステップＳ１０９：Ｎｏ）、ステップＳ１０３に戻る。なお、ステップＳ１０９において、認証されなかったと判定された場合には（ステップＳ１０９：Ｎｏ）、ステップＳ１０３を行うことに限らず、ステップＳ１０１を行ってもよいし、ステップＳ１０４を行ってもよい。

図７は、実施形態の認証情報生成装置２のハードウェア構成の具体例を示す図である。 認証情報生成装置２は、ブリッジ・コントローラ、ＮＡＮＤ型フラッシュメモリ、マイコン内蔵無線ＬＡＮ（Local Area Network）コントローラ、Ｗｉ−Ｆｉ（登録商標）アンテナ及びメモリ・コントローラを備えた装置として構成される。図７の二点鎖線の矢印は、入力情報がＮＡＮＤ型フラッシュメモリに入力されることを表す。図７の一点鎖線は、ＮＡＮＤ型フラッシュメモリに記憶された入力情報がＣＰＵに入力されることを表す。図７の点線は、ＮＡＮＤ型フラッシュメモリに記憶された認証生成情報がＣＰＵに入力されることを表す。なお、入力情報は、ブリッジ・コントローラが取得したホストＰＣ９９１の記憶する情報Ｄ１などの各種情報を表す。

ブリッジ・コントローラは、ホストＰＣ９９１の記憶する情報Ｄ１を取得する。ＮＡＮＤ型フラッシュメモリは、認証生成情報やブリッジ・コントローラが取得した入力情報を記憶する。マイコン内蔵無線ＬＡＮコントローラは、マイコンを内蔵した無線ＬＡＮのコントローラである。マイコンはＣＰＵやメモリを内蔵しており、無線ＬＡＮの制御を含めて、認証情報生成装置２を制御する制御機能を備える。Ｗｉ―Ｆｉアンテナは、Ｗｉ―Ｆｉによる無線ＬＡＮ通信を行う。メモリ・コントローラは、ＮＡＮＤ型フラッシュメモリを制御する。

このように構成された実施形態の認証情報生成装置２は、時刻合わせを目的としないプロトコルに基づく通信によって時刻を示す情報を取得し、それに基づいて認証情報を生成するために、自身に内蔵された時計が示す時刻を示す情報によらずに、時刻情報に応じた認証情報を生成することができる。さらに、実施形態の認証情報生成装置２は、外部の装置から時刻情報を取得するため自身が内蔵する時計の時刻を示す情報を保つためのバックアップ電源を備える必要がない。そのため、本実施形態の認証情報生成装置２によれば、バックアップ電源を備えないだけ装置を小型化することができる。また、バックアップ電源を備える必要がないために、認証情報生成装置２は、省エネルギーを実現することができる。

（変形例）
認証情報生成装置２は、識別子情報Ｄ２０１２として、Ｂａｓｉｃ認証のAuthentication情報を用いてもよいし、ＯＡｕｔｈ認証のAuthentication情報を用いてもよい。図８は、識別子情報Ｄ２０１２としてＢａｓｉｃ認証のAuthentication情報を用いた場合の具体例を表す図である。例えば、時刻情報とそれに対応付けられたＢａｓｉｃ認証のAuthentication情報とは図８に示すテキストファイルＦ３０１として記憶部２２に記憶される。図８は、時刻情報を表す文字列とそれに対応付けられたＢａｓｉｃ認証のAuthentication情報を表す文字列とがコロンを挟んでテキストファイルＦ１０３に記載された例である。

認証情報生成装置２は、認証生成情報を記憶部２２のセキュアストレージ領域４に記憶しても良い。図９は、認証生成情報を記載したテキストファイルＤ２０１が、記憶部２２のセキュアストレージ領域４に記憶されていることを表す図である。セキュアストレージ領域は、認証情報生成装置２のユーザーによる情報の取得が困難な記憶領域である。そのため、このように構成された認証情報生成装置２は、高いセキュリティを確保した情報のやり取りができる。

実施形態の認証情報生成装置２は、時刻情報を取得する処理と、認証を受ける処理と、入力情報を送信する処理とを全て同じひとつの外部サーバ３との間で行う装置として説明したが、処理によって、必ずしも同じひとつの外部サーバ３でなくてもよい。このように構成された認証情報生成装置２は、時刻情報を取得する処理と、認証を受ける処理と、入力情報を送信する処理とをそれぞれ異なる装置との間で行うことができる。

実施形態の認証情報は、ＨＴＴＰリクエストのAuthorizationヘッダに付与されて外部サーバ３に送信されたが、認証情報は必ずしもＨＴＴＰリクエストのヘッダに付与されて送信される必要はなく、ファイルに含まれて送信されてもよい。また、実施形態の認証情報は、ＨＴＴＰレスポンスのAuthorizationヘッダに付与されて外部サーバ３に送信されたが、認証情報は必ずしもＨＴＴＰレスポンスのヘッダに付与されて送信される必要はなく、ファイルに含まれて送信されてもよい。

以上説明した少なくともひとつの実施形態によれば、時刻合わせを目的としないプロトコルに基づく通信によって時刻を示す情報を取得する時刻情報取得部２４と、それに基づいた認証情報を生成する認証情報生成部２５とを備えることにより、自身に内蔵された時計が示す時刻を示す情報によらずに、時刻を示す情報に応じた認証情報を生成することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

なお、入力情報は情報Ｄ１の具体例である。ブリッジ・コントローラは、情報取得部２１の具体例である。時刻情報取得部２４は取得部の具体例である。ＮＡＮＤ型フラッシュメモリは、記憶部２２の具体例である。マイコン内蔵無線ＬＡＮコントローラは、時刻情報取得部２４、認証情報生成部２５及び認証判定部２６の具体例である。Ｗｉ―Ｆｉアンテナは、通信部２３の具体例である。

認証情報生成装置２が外部サーバ３に情報Ｄ１を送信することは認証情報生成装置２が所定の装置にアクセスすることの一例である。アクセスは、認証情報生成装置２が所定の装置と情報の送受信をすることである。アクセスの例は、上記の一例の他にも、認証情報生成装置２が外部サーバ３から情報Ｄ１を受信することであってもよい。アクセスの例は、認証情報生成装置２が外部サーバ３を操作することや、認証情報生成装置２を外部サーバ３が操作することであってもよい。また、アクセスの例は、認証情報生成装置２が、外部サーバ３が送信する認証結果情報ファイルを受信すること等であってもよい。

１…情報送信システム、２…認証情報生成装置、３…外部サーバ、２１‥情報取得部、２２…記憶部、２３…通信部、２４…時刻情報取得部、２５…認証情報生成部、２６…認証判定部、９９１…ホストＰＣ、９９２…モバイルルータ

Claims (8)

1. 時刻合わせを目的としないプロトコルに基づく通信によって、時刻を示す情報を取得する取得ステップと、
   前記時刻を示す情報に基づいて、所定の装置にアクセスするための認証情報を生成するステップと、
   認証情報生成方法。
2. 前記認証情報は、前記時刻を示す情報と、前記認証情報を生成する装置に予め定められた所定の情報とで構成される
   請求項１に記載の認証情報生成方法。
3. 前記認証情報は、前記認証情報を生成する装置に予め定められた所定の情報と、前記時刻を示す情報に対応付けられた所定の情報とで構成された
   請求項１又は２のいずれか一項に記載の認証情報生成方法。
4. 前記時刻合わせを目的としないプロトコルとしてＨＴＴＰを用い、前記時刻を示す情報がＨＴＴＰレスポンス中のヘッダに記載された時刻である、
   請求項１から３のいずれか一項に記載の認証情報生成方法。
5. 前記認証情報が、Ｂａｓｉｃ認証のAuthentication情報である、
   請求項１から４のいずれか一項に記載の認証情報生成方法。
6. 前記認証情報が、ＯＡｕｔｈ認証のAuthentication情報である、
   請求項１から５のいずれか一項に記載の認証情報生成方法。
7. 前記認証情報を生成する装置に予め定められた所定の情報が、記憶装置のセキュアストレージ領域に記憶される、
   請求項１から６のいずれか一項に記載の認証情報生成方法。
8. 時刻合わせを目的としないプロトコルに基づく通信によって、時刻を示す情報を取得する取得部と、
   前記時刻を示す情報に基づいて、所定の装置にアクセスするための認証情報を生成する認証情報生成部と、
   を備える認証情報生成装置。

Images