JP2019168772A - 認証システム、認証方法およびプログラム - Google Patents

Abstract

【課題】通信端末および仲介装置の機能に依存することなく、意図したネットワークの接続および切断を実行可能な認証システム、認証方法及びプログラムを提供する。【解決手段】認証システム５は、記憶部１４ｂ及び認証情報管理部３３を備える。記憶部は、所定の条件に応じて使用可否が変更される認証情報を記憶する。認証情報管理部は、記憶部に使用可能な認証情報が存在するか否かを判定する。認証システムは、通信端末７０の認証処理に用いる認証情報を、通信端末に接続された無線ＬＡＮアクセスポイント５０（仲介装置）から取得する。そして、認証システムは、取得された認証情報が記憶部に存在すると判定された場合、無線ＬＡＮアクセスポイントへ認証成功を示す認証結果を送信し、取得された認証情報が記憶部に存在しないと判定された場合、無線ＬＡＮアクセスポイントへ認証失敗を示す認証結果を送信する。【選択図】図３

Description

本発明は、認証システム、認証方法およびプログラムに関する。

通信端末の無線ＬＡＮ（Local Area Network）通信を仲介する無線ＬＡＮアクセスポイントのＳＳＩＤ（Service Set Identifier）／ＰＳＫ（Pre Shared Key）等の接続情報を、時間経過や管理者の操作をトリガーとして変更することで、通信端末が接続されたネットワークを強制的に切断させる技術が知られている。

また、通信端末にインストール可能なＷｉ―Ｆｉプロファイル等の認証情報に有効期限を含むことで、一定時間経過後に通信端末が接続されたネットワークを自動切断する技術が知られている。このような技術を用いて、通信端末を、限られた時間のみネットワークに接続させることが可能な時限付きネットワークシステムを実現することができる。

例えば、特許文献１は、認証サーバにおいて認証情報が変更された場合、無線ＬＡＮ端末は、既存の認証情報を用いて接続した際に、認証サーバから新しい認証情報を取得し、新しい認証情報を用いて再度認証処理を行うことで、認証情報を自動で更新する内容を開示している。

しかしながら、上記の方法の場合、外部のアプリケーションから認証情報の変更を指示する必要があり、無線ＬＡＮ端末（例えば、通信端末）においても専用のアプリケーションをインストールする必要があった。そのため、通信端末、および通信端末の通信を仲介する仲介装置の機能に依存することなく、意図したネットワークの接続および切断を実行することが困難であるという課題があった。

本発明に係る認証システムは、ネットワークを介して通信端末の認証処理を行う認証システムであって、前記認証処理に用いる認証情報を、前記通信端末の通信を仲介する仲介装置から取得する取得手段と、所定の条件に応じて使用可否が変更される認証情報を記憶する記憶手段と、前記記憶手段に使用可能な前記認証情報が存在するか否かを判定する判定手段と、前記取得された認証情報が前記記憶手段に存在すると判定された場合、前記仲介装置へ認証成功を示す認証結果を送信し、前記取得された認証情報が前記記憶手段に存在しないと判定された場合、前記仲介装置へ認証失敗を示す認証結果を送信する送信手段と、を備える。

本発明によれば、通信端末および仲介装置の機能に依存することなく、意図したネットワークの接続および切断を実行することができる。

第１の実施形態に係るネットワークシステムのシステム構成の一例を示す図である。 第１の実施形態に係るコンピュータのハードウエア構成の一例を示す図である。 第１の実施形態に係るネットワークシステムの機能構成の一例を示す図である。 第１の実施形態に係る端末情報管理テーブルの一例を示す図である。 第１の実施形態に係る認証情報管理テーブルの一例を示す図である。 第１の実施形態に係る時間情報管理テーブルの一例を示す図である。 第１の実施形態に係るネットワークシステムにおける認証情報の登録処理の一例を示すシーケンス図である。 第１の実施形態に係るネットワークシステムにおける通信端末の認証処理の一例を示すシーケンス図である。 第１の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。 第１の実施形態に係る認証システムにおける認証情報管理テーブルの更新処理の一例を示すフローチャートである。 第１の実施形態に係るネットワークシステムにおける接続された通信端末の再認証処理の一例を示すシーケンス図である。 第１の実施形態の変形例に係る時間情報管理テーブルの一例を示す図である。 第１の実施形態の変形例に係る認証システムにおける認証情報管理テーブルの更新処理の一例を示すフローチャートである。 第２の実施形態に係る認証情報管理テーブルの一例を示す図である。 第２の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。 第３の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。

以下、図面を参照しながら、発明を実施するための形態を説明する。なお、図面の説明において同一要素には同一符号を付し、重複する説明は省略する。

●第１の実施形態●
●システム構成
図１は、第１の実施形態に係るネットワークシステムのシステム構成の一例を示す図である。ネットワークシステム１は、通信端末および仲介装置の機能に依存することなく、意図したネットワークの接続および切断を実行することができるシステムである。ネットワークシステム１は、無線ＬＡＮアクセスポイント５０を介して、認証システム５によって認証された通信端末７０の無線ＬＡＮ通信を実現する。

ネットワークシステム１は、認証サーバ１０、データベースサーバ３０、無線ＬＡＮアクセスポイント５０（５０ａ、５０ｂ、以下、区別する必要のないときは、無線ＬＡＮアクセスポイント５０とする。）、通信端末７０（７０ａ、７０ａａ、７０ｂ、以下、区別する必要のないときは、通信端末７０とする。）および管理者端末９０によって構成される。

認証サーバ１０およびデータベースサーバ３０は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続するための認証処理を実行する認証システム５を構成する。認証システム５は、例えば、ＷＰＡ−ＥＡＰ（Wi-Fi Protected Access - Extensible Authentication Protocol）／ＷＰＡ２―ＥＡＰ（Wi-Fi Protected Access 2 - Extensible Authentication Protocol）（ＰＥＡＰ（Protected Extensible Authentication Protocol）)による認証方式を用いて、通信端末７０の認証処理を行う。

認証サーバ１０は、通信端末７０の認証処理を行うサーバ装置である。認証サーバ１０は、通信端末７０からの接続要求に応じて、データベースサーバ３０へ、通信端末７０の認証処理に用いる認証情報が存在するか否かの問い合わせを行う。認証サーバ１０は、例えば、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバである。

データベースサーバ３０は、通信端末７０の認証処理に用いる認証情報を管理するサーバ装置である。データベースサーバ３０は、アプリケーションサーバとしての機能を担う。データベースサーバ３０は、通信端末７０の認証処理に用いる認証情報を、認証情報管理テーブル３００に予め記憶している。データベースサーバ３０は、例えば、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバである。

なお、図１は、認証サーバ１０とデータベースサーバ３０が、別々の装置として設けられている構成を説明するが、認証サーバ１０とデータベースサーバ３０の機能を一台のサーバ装置で実現する構成であってもよい。また、図１は、認証システム５における認証方式が、ＥＡＰ−ＰＥＡＰ方式を用いる例を説明するが、同じくＩＤおよびパスワードを用いて認証処理を行うＥＡＰ−ＴＴＬＳ（Extensible Authentication Protocol - Tunneled Transport Layer Security）方式、または電子証明書を用いて認証を行うＥＡＰ−ＴＬＳ（Extensible Authentication Protocol - Transport Layer Security）方式を用いてもよい。

無線ＬＡＮアクセスポイント５０ａ、通信端末７０ａおよび通信端末７０ａａは、ローカルネットワークシステム３ａを構成する。同様に、無線ＬＡＮアクセスポイント５０ｂおよび通信端末７０ｂは、ローカルネットワークシステム３ｂを構成する。以下、区別する必要のないときは、ローカルネットワークシステム３とする。ローカルネットワーク３は、例えば、学校の教室または会議室等の閉じられた特定のエリアごとに形成されるネットワークである。

無線ＬＡＮアクセスポイント５０は、通信端末７０の無線ＬＡＮ通信を仲介するためのアクセスポイントである。無線ＬＡＮアクセスポイント５０は、通信端末７０が無線ＬＡＮ通信を行うための接続情報を生成する。接続情報は、例えば、ＳＳＩＤ（Service Set Identifier）、パスワード、または暗号鍵（暗号化キー）等である。

また、無線ＬＡＮアクセスポイント５０は、認証システム５へ通信端末７０の認証要求を行う。無線ＬＡＮアクセスポイント５０は、認証システム５によって認証された通信端末７０と無線ＬＡＮ接続を確立する。なお、無線ＬＡＮアクセスポイント５０は、例えば、スイッチングおよびコントローラ機能を備えた制御装置であってもよい。無線ＬＡＮアクセスポイント５０は、仲介装置の一例である。

通信端末７０は、無線ＬＡＮアクセスポイント５０を介して、他の通信端末との無線ＬＡＮ通信を行う。通信端末７０は、例えば、ノートＰＣ（Personal Computer）またはスマートフォン等の通信装置である。通信端末７０は、画像処理機能を備えたＭＦＰ（Multifunction Peripheral：複合機）プリンタ、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、スピーカ等の音響出力装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、携帯電話、タブレット端末、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。

なお、ローカルネットワークシステム３を構成する通信端末７０の数は、これに限られない。また、ネットワークシステム１に含まれるローカルネットワークシステム３の数は、これに限られない。

管理者端末９０は、ネットワークシステム１の管理者が使用する端末である。管理者端末９０は、例えば、管理者の入力操作に基づいて、データベースサーバ３０が管理する認証情報の設定または変更操作を行う。管理者端末９０は、データベースサーバ３０と同様にネットワーク２に接続してもよいし、無線ＬＡＮアクセスポイント５０を介して接続してもよい。管理者端末９０は、例えば、ノートＰＣ（Personal Computer）等の通信装置である。管理者端末９０は、携帯電話、スマートフォン、タブレット端末、ウェアラブルＰＣ、デスクトップＰＣ等でもよい。

●ハードウエア構成
続いて、第１の実施形態に係る各装置のハードウエア構成について説明する。第１の実施形態に係る各装置のハードウエア構成は、一般的なコンピュータの構成を有する。ここでは、一般的なコンピュータのハードウエア構成例について説明する。なお、実施形態に係る各装置のハードウエア構成は、必要に応じて構成要素が追加または削除されてもよい。

図２は、第１の実施形態に係るコンピュータのハードウエア構成の一例を示す図である。コンピュータ１０００は、ＣＰＵ（Central Processing Unit）１００１、ＲＯＭ（Read Only Memory）１００２、ＲＡＭ（Random Access Memory）１００３、ストレージ１００４、キーボード１００５、ディスプレイインターフェース（Ｉ／Ｆ）１００６、メディアインターフェース（Ｉ／Ｆ）１００７、ネットワークインターフェース（Ｉ／Ｆ）１００８およびバス１００９を備える。

ＣＰＵ１００１は、ＲＯＭ１００２またはストレージ１００４等に格納された、本発明に係るプログラムまたはデータをＲＡＭ１００３上に読み出し、処理を実行することで、コンピュータ１０００の各機能を実現する演算装置である。例えば、認証システム５は、本発明に係るプログラムが実行されることによって本発明に係る認証方法を実現する。

ＲＯＭ１００２は、電源を切ってもプログラムまたはデータを保持することができる不揮発性のメモリである。ＲＯＭ１００２は、例えば、フラッシュＲＯＭ等により構成される。ＲＯＭ１００２は、ＳＤＫ（Software Development Kit）およびＡＰＩ（Application Programming Interface）等のアプリケーションをインストールしており、インストールされたアプリケーションを用いて、コンピュータ１０００の機能またはネットワーク接続等を実現することが可能である。

ＲＡＭ１００３は、ＣＰＵ１００１のワークエリア等として用いられる揮発性のメモリである。ストレージ１００４は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等のストレージデバイスである。ストレージ１００４は、例えば、ＯＳ（Operation System）、アプリケーションプログラムおよび各種データ等を記憶する。

キーボード１００５は、文字、数値、各種指示等の入力のための複数のキーを備えた入力手段の一種である。入力手段は、キーボード１００５のみならず、例えば、マウス、タッチパネルまたは音声入力装置等であってもよい。ディスプレイインターフェース（Ｉ／Ｆ）１００６は、ＬＣＤ（Liquid Crystal Display）等のディスプレイ１００６ａに対するカーソル、メニュー、ウィンドウ、文字または画像等の各種情報の表示を制御する。ディスプレイ１００６ａは、入力手段を備えたタッチパネルディスプレイであってもよい。

メディアインターフェース（Ｉ／Ｆ）１００７は、ＵＳＢ（Universal Serial Bus）メモリ、メモリカード、光学ディスクまたはフラッシュメモリ等の記録メディア１００７ａに対するデータの読み出しまたは書き込み（記憶）を制御する。

ネットワークインターフェース（Ｉ／Ｆ）１００８は、コンピュータ１０００をネットワークに接続し、他のコンピュータや、電子機器等とデータの送受信を行うためのインターフェースである。ネットワークインターフェース（Ｉ／Ｆ）１００８は、例えば、有線または無線ＬＡＮ（Local Area Network）等の通信インターフェースである。また、ネットワークインターフェース（Ｉ／Ｆ）１００８は、３Ｇ（3rd Generation）、ＬＴＥ(Long Term Evolution)、４Ｇ（4rd Generation）、５Ｇ（5rd Generation）、Ｚｉｇｂｅｅ（登録商標）、ＢＬＥ（Bluetooth（登録商標）Low Energy）、ミリ波無線通信の通信インターフェースを備えてもよい。

バス１００９は、上記の各構成要素に共通に接続され、アドレス信号、データ信号、および各種制御信号等を伝送する。ＣＰＵ１００１、ＲＯＭ１００２、ＲＡＭ１００３、ストレージ１００４、キーボード１００５、ディスプレイインターフェース（Ｉ／Ｆ）１００６、メディアインターフェース（Ｉ／Ｆ）１００７およびネットワークインターフェース（Ｉ／Ｆ）は、バス１００９を介して相互に接続されている。

●機能構成
図３は、第１の実施形態に係るネットワークシステムの機能構成の一例を示す図である。図３に示す認証サーバ１０は、送受信部１１、認証処理部１２、タイマー処理部１３、記憶・読出部１４ａおよび記憶部１４ｂを含む。

送受信部１１は、無線ＬＡＮアクセスポイント５０またはデータベースサーバ３０との間でデータ（パケット情報）をやり取りする機能である。送受信部１１は、例えば、ネットワーク２を介して無線ＬＡＮアクセスポイント５０から送信された、通信端末７０の認証処理を要求する認証要求を受信する。また、送受信部１１は、受信した認証要求情報に含まれる認証情報が、後述する認証情報管理テーブル３００に存在するか否かを、データベースサーバ３０へ問い合わせる。さらに、送受信部１１は、認証処理部１２による認証結果を、無線ＬＡＮアクセスポイント５０へ送信する。送受信部１１は、例えば、図２に示したネットワークインターフェース（Ｉ／Ｆ）１００８およびＣＰＵ１００１によって実行されるプログラム等によって実現される。送受信部１１は、取得手段および送信手段の一例である。

認証処理部１２は、データベースサーバ３０から受信した認証情報管理テーブル３００に存在するか否かの判定結果に基づいて、通信端末７０の認証処理を実行する機能である。認証情報管理テーブル３００に送受信部１１によって受信された認証要求に含まれる認証情報が存在する旨の判定結果を、データベースサーバ３０から受信した場合、認証処理部１２は、通信端末７０の認証処理を実行する。そして、認証サーバ１０は、認証成功を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する。

一方で、認証情報管理テーブル３００に送受信部１１によって受信された認証要求に含まれる認証情報が存在しない旨の判定結果を、データベースサーバ３０から受信した場合、認証処理部１２は、通信端末７０の認証処理を行わない。そして、認証サーバ１０は、認証失敗を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する。認証処理部１２は、例えば、図２に示したＣＰＵ１００１により実行されるプログラム等によって実現される。

タイマー処理部１３は、データベースサーバ３０へ認証情報の存在の有無を問い合わせるタイミングを計測する機能である。認証サーバ１０は、例えば、タイマー処理部１３によって計測された所定の時間ごとに、端末情報管理テーブル１００に含まれる認証情報を照合するための認証情報確認要求を、データベースサーバ３０へ送信する。タイマー処理部１３は、例えば、図２に示したＣＰＵ１００１により実行されるプログラム等によって実現される。

記憶・読出部１４ａは、記憶部１４ｂに各種データを記憶し、記憶部１４ｂから各種データを読み出す機能である。記憶・読出部１４ａおよび記憶部１４ｂは、例えば、図２に示したＲＯＭ１００２、ストレージ１００４およびＣＰＵ１００１で実行されるプログラム等により実現される。また、記憶部１４ｂは、端末情報管理テーブル１００を記憶している。

○端末情報管理テーブル
ここで、図４を用いて、端末情報管理テーブル１００について説明する。図４は、第１の実施形態に係る端末情報管理テーブルの一例を示す図である。端末情報管理テーブル１００は、認証システム５において認証された通信端末７０の端末情報および認証情報が管理されている。

端末情報管理テーブル１００は、認証システム５において認証された通信端末７０のＭＡＣ（Media Access Controller）アドレス、ＩＤ（identification）およびパスワードを関連づけて（対応づけて、紐づけて）記憶している。ＭＡＣアドレスは、通信端末７０を識別するための各端末に固有に割り当てられた端末情報の一例である。ＭＡＣアドレスは、シリアルナンバー（製造番号）等であってもよい。ＩＤおよびパスワードは、通信端末７０の認証処理に用いられた認証情報の一例である。認証情報は、例えば、ユーザごとに定められたユーザＩＤおよびパスワードであってもよいし、通信端末７０ごとに定められた端末ＩＤおよびパスワードであってもよい。

認証サーバ１０は、認証処理が成功した通信端末７０の端末情報を、端末情報管理テーブル１００に追加する。また、認証サーバ１０は、認証処理に失敗した通信端末７０の端末情報を、端末情報管理テーブル１００から削除してもよい。

図３に戻り、ネットワークシステム１の機能構成の説明を続ける。図３に示すデータベースサーバ３０は、送受信部３１、タイマー処理部３２、認証情報管理部３３、記憶・読出部３４ａ、記憶部３４ｂおよびアプリケーション部３５を含む。

送受信部３１は、認証サーバ１０との間でデータ（パケット情報）をやり取りする機能である。送受信部３１は、認証情報が認証情報管理テーブル３００に存在するか否かの問い合わせである認証情報確認要求を、認証サーバ１０から受信する。また、送受信部３１は、受信した認証情報確認要求に含まれる認証情報が認証情報管理テーブル３００に存在するか否かの判定結果を、認証サーバ１０へ送信する。送受信部３１は、例えば、図２に示したネットワークインターフェース（Ｉ／Ｆ）１００８およびＣＰＵ１００１によって実行されるプログラム等によって実現される。

タイマー処理部３２は、認証サーバ１０によって認証された通信端末７０の無線ＬＡＮアクセスポイント５０に対する接続時間を計測する機能である。タイマー処理部３２は、所定の時間ごとに、記憶部３４ｂに記憶された時間情報管理テーブル３５０を参照し、有効時間が経過した認証情報が存在するか否かを判断する。また、タイマー処理部３２は、時間情報管理テーブル３５０に記憶された認証情報のうち、有効時間を経過した認証情報が存在すると判断した場合、判断結果を認証情報管理部３３へ出力する。タイマー処理部３２は、例えば、図２に示したＣＰＵ１００１により実行されるプログラム等によって実現される。

認証情報管理部３３は、記憶部３４ｂに記憶された認証情報管理テーブル３００および時間情報管理テーブル３５０を管理する機能である。認証情報管理部３３は、例えば、認証サーバ１０から送信された認証情報確認要求に含まれる認証情報が、認証情報管理テーブル３００に存在するか否かを判定する。また、認証情報管理部３３は、例えば、タイマー処理部３２から有効時間を経過した認証情報が存在する旨の判断結果を検知した場合、該当する認証情報を、認証情報管理テーブル３００から削除する。認証情報管理部３３は、例えば、図２に示したＣＰＵ１００１により実行されるプログラム等によって実現される。認証情報管理部３３は、判定手段の一例である。

記憶・読出部３４ａは、記憶部３４ｂに各種データを記憶し、記憶部３４ｂから各種データを読み出す機能である。記憶・読出部３４ａおよび記憶部３４ｂは、例えば、図２に示したＲＯＭ１００２、ストレージ１００４およびＣＰＵ１００１で実行されるプログラム等により実現される。記憶部３４ｂは、記憶手段の一例である。また、記憶部３４ｂは、認証情報管理テーブル３００および時間情報管理テーブル３５０を記憶している。

○認証情報管理テーブル
続いて、図５を用いて、認証情報管理テーブル３００について説明する。図５は、第１の実施形態に係る認証情報管理テーブルの一例を示す図である。認証情報管理テーブル３００は、ネットワークシステム１の認証情報を管理するものである。認証情報管理テーブル３００は、データ番号（Ｎｏ.）ごとに、ＩＤおよびパスワードを関連づけて（対応づけて、紐づけて）記憶している。ＩＤおよびパスワードは、通信端末７０の認証処理に用いられた認証情報の一例である。認証情報は、例えば、ユーザごとに定められたユーザＩＤおよびパスワードであってもよいし、通信端末７０ごとに定められた端末ＩＤおよびパスワードであってもよい。

認証情報管理テーブル３０に含まれる認証情報は、管理者端末９０を使用するネットワークシステム１の管理者によって登録される。例えば、ネットワークシステム１が学校の教室または会議室のように、時間割または予約時刻によって通信端末７０ごとの使用時間が予め定められている場合、ネットワークシステム１の管理者は、管理者端末９０を用いて、利用者の使用開始時刻までに必要な認証情報を、認証情報管理テーブル３００に登録する。

認証サーバ１０は、無線ＬＡＮアクセスポイント５０から送信された通信端末７０の認証要求を受信した場合、データベースサーバ３０に記憶された認証情報管理テーブル３００を用いて、認証処理を実行する。認証サーバ１０は、受信した認証要求に含まれる認証情報が、認証情報管理テーブル３００に存在する場合、認証成功を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する。一方で、認証サーバ１０は、受信した認証要求に含まれる認証情報が、認証情報管理テーブル３００に存在しない場合、認証失敗を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する。

○時間情報管理テーブル
続いて、図６を用いて、時間情報管理テーブル３５０について説明する。図６は、第１の実施形態に係る時間情報管理テーブルの一例を示す図である。時間情報管理テーブル３５０は、認証システム５によって認証された通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時間に関する時間情報を管理するものである。時間情報管理テーブル３５０は、データ番号（Ｎｏ.）ごとに、通信端末７０の接続開始時刻および認証情報の有効時間を関連づけて（対応づけて、紐づけて）記憶している。時間情報管理テーブル３５０のデータ番号（Ｎｏ.）は、認証情報管理テーブル３００のデータ番号（Ｎｏ.）に対応している。時間情報管理テーブル３５０は、認証情報管理テーブル３００と同一のデータ番号（Ｎｏ.）に、該当する認証情報の接続開始時刻および有効時間を関連づけて記憶している。時間情報管理テーブル３５０に含まれる接続開始時刻および有効時間を示す時間情報は、所定の条件の一例である。

「接続開始時刻」は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時点の日時を示す時間情報である。データベースサーバ３０は、認証サーバ１０から認証成功を示す認証結果を受信した場合、時間情報管理テーブル３５０の該当するデータ番号（ＮＯ．）に紐づけて接続開始時刻を記憶する。

「有効時間」は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時点から接続可能な時間を示す時間情報である。「有効時間」は、管理者端末９０による認証情報管理テーブル３００への認証情報の登録と併せて登録される。認証情報管理部３３は、時間情報管理テーブル３５０に含まれる有効時間が経過した認証情報を、認証情報管理テーブル３００から削除する。認証情報管理テーブル３００に含まれる認証情報（ＩＤおよびパスワード）は、所定の条件に応じて使用可否が変更される認証情報の一例である。

時間情報管理テーブル３５０において、例えば、データ番号Ｎｏ.１の認証情報を用いて接続された通信端末７０の接続開始時刻は、“２０１７／０１／０１ １０：００：００”であり、有効時間が“６０ｍｉｎ”である。また、データ番号Ｎｏ.２の認証情報を用いて接続された通信端末７０の接続開始時刻は、“２０１７／０１／０１ １０：１０：３０”であり、有効時間が“９０ｍｉｎ”である。

なお、「接続開始時刻」は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されたた時点の日時に限られず、通信端末７０が認証サーバ１０によって認証された時点の日時であってもよい。また、認証情報管理テーブル３００と時間情報管理テーブル３５０は、両者を一つのテーブルとした構成であってもよい。

図５に戻り、ネットワークシステム１の機能構成の説明を続ける。アプリケーション部３５は、所定のアプリケーションを実行するアプリケーションサーバとしての機能である。アプリケーション部３５は、外部からの認証情報管理テーブル３００および時間情報管理テーブル３５０の設定または変更操作を受け付ける。アプリケーション部３５は、例えば、管理者端末９０から認証情報の登録要求を受け付ける。また、アプリケーション部３５は、例えば、管理者端末９０から通信端末７０の切断要求を受け付ける。アプリケーション部３５は、例えば、図２に示したＣＰＵ１００１によって実行されるプログラム等によって実現される。

続いて、管理者端末９０の機能構成を説明する。図５に示す管理者端末９０により実現される機能は、アプリケーション部９１、受付部９２および表示制御部９３を含む。

アプリケーション部９１は、データベースサーバ３０に記憶された各種情報の設定または変更操作を行う機能である。アプリケーション部９１は、例えば、管理者端末９０のディスプレイ１００６ａに表示されたＷＥＢブラウザ上の操作画面を介して、認証情報管理テーブル３００または時間情報管理テーブル３５０の設定または変更操作を受け付ける。また、アプリケーション部９１は、例えば、ＡＰＩを有して所定のアプリケーションを実行することによって、認証情報管理テーブル３００または時間情報管理テーブル３５０の設定または変更操作を受け付ける。アプリケーション部９１は、例えば、図２に示したＣＰＵ１００１によって実行されるプログラム等によって実現される。

受付部９２は、図２に示したキーボード１００５等の入力手段を用いて、管理者からの入力を受け付ける機能である。受付部９２は、例えば、キーボード１００５等の入力手段を用いて入力された認証情報の登録要求を受け付ける。また、受付部９２は、例えば、キーボード１００５等の入力手段を用いて入力された、時間情報管理テーブル３５０の更新要求を受け付ける。受付部９２は、図２に示したＣＰＵ１００１によって実行されるプログラム等によって実現される。

表示制御部９３は、図２に示したディスプレイ１００６ａに、管理者による入力操作を受け付ける操作画面等を表示させる機能である。表示制御部９３は、例えば、ＷＥＢブラウザを用いて、ＨＴＭＬ（HyperText Markup Language）等により作成されたＷｅｂページを、ディスプレイ１００６ａに表示させる。表示制御部９３は、例えば、図２に示したディスプレイインターフェース（Ｉ／Ｆ）１００６およびＣＰＵ１００１で実行されるプログラム等により実現される。

なお、認証システム５は、複数のローカルネットワーク３と通信を行う構成であってもよい。

●通信端末の認証処理
○認証情報の登録処理
続いて、第１の実施形態に係るネットワークシステムにおける通信端末７０の認証処理について説明する。図７は、第１の実施形態に係るネットワークシステムにおける認証情報の登録処理の一例を示すシーケンス図である。図７は、ネットワークシステム１の管理者が使用する管理者端末９０を使用して、データベースサーバ３０に認証情報を登録する例を説明する。例えば、ネットワークシステム１が学校の教室または会議室のように、時間割または予約時刻等によって使用時間が予め定められている場合、ネットワークシステム１の管理者は、管理者端末９０を用いて、利用者の使用開始時刻までに必要な認証情報を、データベースサーバ３０に登録する。

ステップＳ１０１において、管理者端末９０の受付部９２は、ネットワークシステム１の管理者による認証情報の登録要求を受け付ける。ステップＳ１０２において、管理者端末９０のアプリケーション部９１は、受付部９２から出力された認証情報の登録要求を出力する。

ステップＳ１０３において、管理者端末９０のアプリケーション部９１は、データベースサーバ３０へ、認証情報の登録要求を送信する。ステップＳ１０４において、データベースサーバ３０のアプリケーション部３５は、受信した認証情報を、認証情報管理部３３へ出力する。

ステップＳ１０５において、データベースサーバ３０の認証情報管理部３３は、記憶部３４ｂに記憶された認証情報管理テーブル３００に、出力された認証情報を登録する。これによって、ネットワークシステム１は、データベースサーバ３０に、通信端末７０の認証処理に用いる認証情報を、登録させることができる。

○通信端末の認証処理
次に、通信端末７０の認証処理について説明する。図８は、第１の実施形態に係るネットワークシステムにおける通信端末の認証処理の一例を示すシーケンス図である。図８は、ＷＰＡ−ＥＡＰ／ＷＰＡ２―ＥＡＰ（ＰＰＥＰ）による認証方式を使用した場合の通信端末７０の認証処理を説明する。なお、図８は、通信端末７０から送信される認証情報が、認証情報管理テーブル３００に予め登録されているものとして説明する。図８において、通信端末７０から送信される認証情報は、図５に示した認証情報管理テーブル３００のデータ番号Ｎｏ．１（ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」）であるものとする。

ステップＳ２０１において、通信端末７０は、無線ＬＡＮアクセスポイント５０へ、無線ＬＡＮ通信の接続要求を送信する。具体的には、通信端末７０は、ユーザの入力操作によって接続要求を受け付けた場合、接続したい無線ＬＡＮアクセスポイント５０のＳＳＩＤを指定して接続要求を送信する。ステップＳ２０２において、無線ＬＡＮアクセスポイント５０は、通信端末７０へ、認証方式を示す情報を送信する。無線ＬＡＮアクセスポイント５０は、例えば、ＷＰＡ−ＥＡＰ／ＷＰＡ２―ＥＡＰ（ＰＰＥＰ）による認証方式を使用する場合、当該認証方式を示す情報を、通信端末７０へ送信する。

ステップＳ２０３において、通信端末７０は、ユーザの入力操作によって受け付けられた認証情報を、無線ＬＡＮアクセスポイント５０へ送信する。なお、通信端末７０は、予め認証情報を記憶しており、ユーザの入力操作をトリガーとして、記憶された認証情報を送信する構成にしてもよい。

ステップＳ２０４において、無線ＬＡＮアクセスポイント５０は、受信した認証情報を、認証サーバ１０へ送信する（取得ステップの一例）。ステップＳ２０５において、認証サーバ１０の送受信部１１は、無線ＬＡＮアクセスポイント５０から送信された認証情報を受信した場合、データベースサーバ３０へ、受信した認証情報が認証情報管理テーブル３００に存在するか否かの問い合わせである認証情報確認要求を送信する。認証情報確認要求は、無線ＬＡＮアクセスポイント５０から送信された認証情報を含む。ステップＳ２０６において、データベースサーバ３０の送受信部３１は、受信した認証情報確認要求を、認証情報管理部３３へ出力する。

ステップＳ２０７において、認証情報管理部３３は、認証情報確認要求を検知した場合、記憶部３４ｂに記憶された認証情報管理テーブル３００の読み出しを行う。具体的には、認証情報管理部３３は、記憶・読出部３４ａへ、認証情報管理テーブル３００の読出要求を出力する。そして、記憶・読出部３４ａは、出力された読出要求を検知した場合、記憶部３４ｂに記憶された認証情報管理テーブル３００を読み出す。

ステップＳ２０８において、記憶部３４ｂは、認証情報管理部３３へ、認証情報管理テーブル３００を出力する。具体的には、記憶部３４ｂは、記憶・読出部３４ａへ、認証情報管理テーブル３００を出力する。そして、記憶・読出部３４ａは、認証情報管理部３３へ、出力された認証情報管理テーブル３００を出力する。

ステップＳ２０９において、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が、認証情報管理テーブル３００に存在するか否かを判定する（判定ステップの一例）。この場合、認証情報ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」は、図５に示した認証情報管理テーブル３００に含まれているため、認証情報管理部３３は、認証情報が存在すると判定する。

ステップＳ２１０において、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が存在する旨の判定結果を、送受信部３１へ出力する。ステップＳ２１１において、データベースサーバ３０の送受信部３１は、出力された判定結果を、認証サーバ１０へ送信する。ステップＳ２１２において、認証サーバ１０の送受信部１１は、受信した判定結果を、認証処理部１２へ出力する。

ステップＳ２１３において、認証処理部１２は、出力された判定結果に基づいて、通信端末７０の認証処理を実行する。この場合、認証処理部１２は、出力された判定結果が、認証情報確認要求に含まれる認証情報が存在する旨の判定結果であるため、接続要求を送信した通信端末７０に対する認証処理を実行する。ステップＳ２１４において、認証処理部１２は、認証成功を示す認証結果を、送受信部１１へ出力する。

ステップＳ２１５において、認証サーバ１０の送受信部１１は、出力された認証結果を、データベースサーバ３０へ送信する。この場合、送信する認証結果は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻を示す接続開始時刻の時間情報を含む。なお、認証結果に含まれる時間情報は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻に限られず、認証サーバ１０による認証処理が行われた時刻であってもよい。ステップＳ２１６において、データベースサーバ３０の送受信部３１は、受信した認証結果を、認証情報管理部３３へ出力する。

ステップＳ２１７において、認証情報管理部３３は、出力された認証結果に含まれる時間情報を、記憶部３４ｂに記憶された時間情報管理テーブル３５０に登録する。具体的には、認証情報管理部３３は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻を示す接続開始時刻を、通信端末７０の認証処理に用いられた認証情報に関連づけて（対応づけて、紐づけて）、時間情報管理テーブル３５０に登録する。さらに、ステップＳ２１８において、認証処理部１２は、認証処理が成功した通信端末７０の端末情報および認証情報を、記憶部１４ｂに記憶された端末情報管理テーブル１００に登録する。

ここで、ステップＳ２１８の処理において、端末情報管理テーブル１００は、通信端末７０の接続開始時刻の時間情報も併せて記憶する構成であってもよい。この場合、認証サーバ１０は、タイマー処理部１３によって計測された所定の時間ごとに、時間情報を含む認証結果を送信してもよい。ネットワークシステム１は、通信端末７０が認証サーバ１０によって認証されるたびに認証結果を送信する構成と比較して、通信頻度および通信コストを低減させることができる。

また、認証サーバ１０は、端末情報管理テーブル１００に記憶されたデータ量が、所定の閾値を超えた等の条件に応じて、データベースサーバ３０へ、時間情報を含む認証結果を送信してもよい。この場合、ネットワークシステム１は、端末情報管理テーブル１００に記憶されたデータ量に関わらず認証結果を送信する構成と比較して、通信頻度および通信コストを低減させることができる。

ステップＳ２１９において、認証サーバ１０の送受信部１１は、認証処理部１２から出力された認証成功を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する（送信ステップの一例）。ステップＳ２２０において、無線ＬＡＮアクセスポイント５０は、認証サーバ１０から送信された認証成功を示す認証結果を受信した場合、通信端末７０へ、無線ＬＡＮアクセスポイント５０との接続を行うための暗号鍵を送信する。無線ＬＡＮアクセスポイント５０との接続を行うための暗号鍵は、例えば、無線ＬＡＮの暗号鍵（暗号化キー）である。

なお、ステップＳ２１４〜ステップＳ２１７の処理、ステップＳ２１８の処理およびステップＳ２１９〜ステップＳ２２０の処理の順序は、前後してもよく、または並行して行われてもよい。

○通信端末の再認証処理
続いて、図８に示した処理において、無線ＬＡＮアクセスポイント５０に接続された通信端末７０の再認証処理について、図９乃至１１を用いて説明する。図９は、第１の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。図９は、図８に示した処理において、ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」の認証情報を用いて認証された通信端末７０の再認証処理を説明する。

ステップＳ３０１において、無線ＬＡＮアクセスポイント５０は、認証サーバ１０へ、通信端末７０の再認証要求を送信する（取得ステップの一例）。無線ＬＡＮアクセスポイント５０が送信する再認証要求は、通信端末７０の認証処理に使用された認証情報を含む。再認証要求に含まれる情報は、例えば、図７のステップＳ２０４の処理における認証要求と同様であってもよい。無線ＬＡＮアクセスポイント５０は、接続された通信端末７０の再認証要求を、定期的に認証サーバ１０へ送信する。

ステップＳ３０２において、認証サーバ１０の送受信部１１は、無線ＬＡＮアクセスポイント５０から送信された再認証要求を受信した場合、データベースサーバ３０へ、認証情報が認証情報管理テーブル３００に存在するか否かの問い合わせである認証情報確認要求を送信する。ステップＳ３０３において、データベースサーバ３０の送受信部３１は、受信した認証情報確認要求を、認証情報管理部３３へ出力する。

ステップＳ３０４において、認証情報管理部３３は、認証情報確認要求を検知した場合、記憶部３４ｂに記憶された認証情報管理テーブル３００の読み出しを行う。具体的には、認証情報管理部３３は、記憶・読出部３４ａへ、認証情報管理テーブル３００の読出要求を出力する。そして、記憶・読出部３４ａは、出力された読出要求を検知した場合、記憶部３４ｂに記憶された認証情報管理テーブル３００を読み出す。

ステップＳ３０５において、記憶部３４ｂは、認証情報管理部３３へ、認証情報管理テーブル３００を出力する。具体的には、記憶部３４ｂは、記憶・読出部３４ａへ、認証情報管理テーブル３００を出力する。そして、記憶・読出部３４ａは、認証情報管理部３３へ、出力された認証情報管理テーブル３００を出力する。

ステップＳ３０６において、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が、認証情報管理テーブル３００に存在するか否かを判定する（判定ステップの一例）。この場合、認証情報ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」は、図５に示した認証情報管理テーブル３００に含まれているため、認証情報管理部３３は、認証情報が存在すると判定する。

ステップＳ３０７において、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が存在する旨の判定結果を、送受信部３１へ出力する。ステップＳ３０８において、データベースサーバ３０の送受信部３１は、出力された判定結果を、認証サーバ１０へ送信する。ステップＳ３０９において、認証サーバ１０の送受信部１１は、受信した判定結果を、認証処理部１２へ出力する。

ステップＳ３１０において、認証処理部１２は、出力された判定結果に基づいて、通信端末７０の認証処理を実行する。この場合、認証処理部１２は、出力された判定結果が、認証情報確認要求に含まれる認証情報が存在する旨の判定結果であるため、接続要求を送信した通信端末７０に対する認証処理を実行する。ステップＳ３１１において、認証処理部１２は、認証成功を示す認証結果を、送受信部１１へ出力する。ステップＳ３１２において、認証サーバ１０の送受信部１１は、認証成功を示す認証結果を、データベースサーバ３０へ送信する。ネットワークシステム１は、無線ＬＡＮアクセスポイント５０から再認証要求を定期的に送信することで、図８に示した通信端末７０の再認証処理を繰り返し実行する。

次に、認証情報管理テーブル３００に記憶された認証情報を削除する処理について説明する。図１０は、第１の実施形態に係る認証システムにおける認証情報管理テーブルの更新処理の一例を示すフローチャートである。図１０は、図５に示した認証情報管理テーブル３００内のデータ番号Ｎｏ．１に紐づく認証情報（ＩＤ「ｉｄ００１」およびパスワード「ａｂｃｄ」）が削除される場合の例について説明する。

ステップＳ４０１において、データベースサーバ３０のタイマー処理部３２は、時間情報管理テーブル３５０に含まれる接続開始時刻から所定の時間経過した認証情報が存在する場合、処理をステップＳ４０２へ移行させる。タイマー処理部３２は、例えば、時間情報管理テーブル３５０に含まれるデータ番号Ｎｏ.１の接続開始時刻から、有効時間である６０分が経過した場合、処理をステップＳ４０２へ移行させる。一方で、タイマー処理部３２は、時間情報管理テーブル３５０に含まれる接続開始時刻から所定に時間経過した認証情報が存在しない場合、ステップＳ４０１の処理を繰り返す。

ステップＳ４０２において、タイマー処理部３２は、認証情報管理部３３へ、該当する認証情報の削除要求を出力する。この場合、タイマー処理部３２は、認証情報管理テーブル３００に含まれるデータ番号Ｎｏ．１の認証情報の削除要求を、認証情報管理部３３へ出力する。ステップＳ４０３において、認証情報管理部３３は、出力された削除要求に該当する認証情報を、記憶部３４ｂに記憶された認証情報管理テーブル３００から削除する。

ステップＳ４０４において、記憶部３４ｂは、認証情報管理部３３によって認証情報が削除された場合、認証情報管理テーブル３００および時間情報管理テーブル３５０を更新する。具体的には、記憶部３４ｂは、認証情報管理テーブル３００から削除された認証情報と同一のデータ番号Ｎｏ．１に紐づく時間情報を、時間情報管理テーブル３５０から削除する。記憶部３４ｂは、認証情報および時間情報を削除した場合、認証情報管理テーブル３００および時間情報管理テーブル３５０のデータ番号（Ｎｏ．）を繰り上げる構成にしてもよい。これによって、データベースサーバ３０は、認証情報管理テーブル３００に含まれる有効時間の経過した認証情報を、随時削除することができる。

続いて、図１０に示した処理によって、認証情報管理テーブル３００からデータ番号Ｎｏ．１の認証情報（ＩＤ「ｉｄ＿００１」、パスワード「ａｂｃｄ」）が削除された場合の通信端末７０の再認証処理について説明する。図１１は、第１の実施形態に係るネットワークシステムにおける接続された通信端末の再認証処理の一例を示すシーケンス図である。なお、図１１に示す処理は、図９に示した処理と同様に、ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」である認証情報を用いて接続された通信端末７０の再認証処理である。また、ステップＳ５０１〜ステップＳ５０５の処理は、図９に示したステップＳ３０１〜ステップＳ３０５の処理と同様であるため、説明を省略する。

ステップＳ５０６において、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が、認証情報管理テーブル３００に存在するか否かを判定する（判定ステップの一例）。図１０に示した処理において、図５に示した認証情報管理テーブル３００のデータ番号Ｎｏ．１の認証情報は、削除されている。つまり、認証情報確認要求に含まれる認証情報（ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」）は、認証情報管理テーブル３００に存在しない。したがって、認証情報管理部３３は、認証情報確認要求に含まれる認証情報が存在しない旨の判定結果を、送受信部３１へ出力する。

ステップＳ５０８において、データベースサーバ３０の送受信部３１は、出力された判定結果を、認証サーバ１０へ送信する。ステップＳ５０９において、認証サーバ１０の送受信部１１は、受信した判定結果を、認証処理部１２へ出力する。ステップＳ５１０において、認証処理部１２は、出力された判定結果に基づいて、通信端末７０の認証処理を実行する。この場合、データベースサーバ３０における判定結果が、認証情報確認要求に含まれる認証情報が存在しない旨の判定結果であるため、認証処理部１２は、通信端末７０の認証処理を行わない。

ステップＳ５１１において、認証処理部１２は、認証失敗を示す認証結果を、送受信部１１へ出力する。ステップＳ５１２において、認証サーバ１０の送受信部１１は、出力された認証失敗を示す認証結果を、無線ＬＡＮアクセスポイント５０へ送信する（送信ステップの一例）。

ステップＳ５１３において、通信端末７０は、無線ＬＡＮアクセスポイント５０と任意の通信を行う。ステップＳ５１４において、無線ＬＡＮアクセスポイント５０は、通信端末７０からの任意の通信に対する応答として、接続エラーを示すエラーメッセージ（Packet of Disconnect）を送信する。

これによって、ネットワークシステム１は、認証情報管理テーブル３００から削除された認証情報を用いて無線ＬＡＮアクセスポイント５０に接続された通信端末７０の無線ＬＡＮ通信を、通信端末７０および無線ＬＡＮアクセスポイント５０の機能によらず、意図的に切断することができる。なお、無線ＬＡＮアクセスポイント５０は、認証サーバ１０から認証失敗を示す認証結果を受信した場合、直ちに通信端末７０へ、エラーメッセージを送信してもよい。

●第１の実施形態の効果
以上説明したように、第１の実施形態に係るネットワークシステムは、通信端末７０の認証処理を行う認証サーバ１０と、通信端末７０の認証処理に用いる認証情報を記憶するデータベースサーバ３０を含む認証システム５を有する。認証システム５は、通信端末７０から認証情報を取得した場合、データベースサーバ３０に認証情報が存在するか否かを判定する。そして、認証システム５は、取得された認証情報がデータベースサーバ３０に存在しないと判定された場合、無線ＬＡＮアクセスポイント５０へ認証成功を示す認証結果を送信し、取得された認証情報がデータベースサーバ３０に存在しないと判定された場合、無線ＬＡＮアクセスポイント５０へ認証失敗を示す認証結果を送信する。

さらに、認証システム５は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されてから所定の時間経過した場合、データベースサーバ３０に記憶された認証情報を削除する。そのため、ネットワークシステム１は、通信端末７０または無線ＬＡＮアクセスポイント５０に専用のアプリケーションを必要とせず、意図した通信端末７０の接続および切断を実行することができる。

●第１の実施形態の変形例●
次に、第１の実施形態の変形例に係るネットワークシステムについて説明する。なお、第１の実施形態と同一構成および同一機能は、同一の符号を付して、その説明を省略する。第１の実施形態の変形例に係るネットワークシステム１ａは、時間情報管理テーブル３５０ａに時間帯ごとの認証情報の有効性を示す情報を含む。これによって、ネットワークシステム１ａは、現在時刻における認証情報の有効性を参照することで、有効時間に基づく認証情報の削除を行わずに、通信端末７０と無線ＬＡＮアクセスポイント５０との接続および切断を行うことができる。

図１２は、第１の実施形態の変形例１に係る時間情報管理テーブルの一例を示す図である。時間情報管理テーブル３５０ａは、認証情報を使用できる時間帯に関する時間情報を管理するものである。時間情報管理テーブル３５０ａは、時間帯ごとの認証情報の有効性を示す情報が管理されている。時間情報管理テーブル３５０ａに含まれるデータ番号（Ｎｏ．）は、図６に示した時間情報管理テーブル３５０と同様に、認証情報管理テーブル３００のデータ番号（Ｎｏ.）に対応している。時間情報管理テーブル３５０ａは、認証情報管理テーブル３００と同一のデータ番号（Ｎｏ.）に、該当する認証情報の時間帯ごとの有効性を関連づけて記憶している。時間情報管理テーブル３５０ａに含まれる時間帯および有効性を示す時間情報は、所定の条件の一例である。

時間情報管理テーブル３５０ａは、例えば、ローカルネットワークシステム３が学校の教室において使用されることを想定し、時間割に対応している。データ番号Ｎｏ．１の認証情報は、現在時刻が始業時刻（９時）になった場合、有効になる、そして、ネットワークシステム１ａは、１時限目（９時〜１０時半）と２時限目（１０時半〜１２時１０分）の間、データ番号Ｎｏ．１の認証情報を用いて認証された通信端末７０と無線ＬＡＮアクセスポイント５０との接続を維持する。また、データ番号Ｎｏ．１の認証情報は、現在時刻が昼休み（１２時１０分〜１３時）の時間帯になった場合、無効になる。そして、ネットワークシステム１ａは、データ番号Ｎｏ．１の認証情報を用いた通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断する。

次に、データ番号Ｎｏ．１の認証情報は、現在時刻が３時限目（１３時〜１４時半）の開始時刻になった場合、有効になる。そして、ネットワークシステム１ａは、データ番号Ｎｏ．１の認証情報を用いて認証された通信端末７０を、無線ＬＡＮアクセスポイント５０に接続させる。最後に、データ番号Ｎｏ．１の認証情報は、現在時刻が４時限目（１４時半〜１６時）の終了時刻が経過した場合、無効になる。そして、ネットワークシステム１ａは、データ番号Ｎｏ．１の認証情報を用いて認証された通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断し、一日の授業を終了する。

一方で、例えば、データ番号Ｎｏ．２の認証情報は、授業が行われる日中の時間帯（９時〜１６時）において、継続して有効になる。この場合、ネットワークシステム１ａは、日中の時間帯のみ、データ番号Ｎｏ．２の認証情報を用いて認証された通信端末７０を無線ＬＡＮアクセスポイント５０に接続させる構成にすることもできる。このように、ネットワークシステム１ａは、例えば、学校の時間割に対応させて認証情報の有効性を設定することが可能である。

なお、図１２に示す時間情報管理テーブル３５０ａに含まれる時間帯ごとの認証情報の有効性は、一例であり、ローカルネットワークシステム３の設置場所、通信端末７０の種別またはシステムの運用方法等に応じて適宜設定または変更が可能である。この場合、ネットワークシステム１ａは、管理者端末９０において、時間情報管理テーブル３５０ａの設定または変更を行う。

図１３は、第１の実施形態の変形例に係る認証システムにおける認証情報管理テーブルの更新処理の一例を示すフローチャートである。ステップＳ６０１において、データベースサーバ３０は、送受信部３１によって認証情報確認要求を受信した場合、処理をステップＳ６０２へ移行させる。一方で、データベースサーバ３０は、送受信部３１によって認証情報確認要求を受信していない場合、ステップＳ６０１の処理を繰り返す。

ステップＳ６０２において、データベースサーバ３０の認証情報管理部３３は、認証情報管理テーブル３００および時間情報管理テーブル３５０ａの読み出しを行う。具体的には、認証情報管理部３３は、記憶・読出部３４ａへ、認証情報管理テーブル３００および時間情報管理テーブル３５０ａの読出要求を出力する。記憶・読出部３４ａは、出力された読出要求を検知した場合、記憶部３４ｂに記憶された認証情報管理テーブル３００および時間情報管理テーブル３５０ａを読み出す。そして、記憶部３４ｂは、記憶・読出部３４ａへ、認証情報管理テーブル３００および時間情報管理テーブル３５０ａを出力する。記憶・読出部３４ａは、認証情報管理部３３へ、出力された認証情報管理テーブル３００および時間情報管理テーブル３５０ａを出力する。

ステップＳ６０３において、データベースサーバ３０の認証情報管理部３３は、読み出した認証情報管理テーブル３００に、受信した認証情報確認要求に含まれる認証情報が存在する場合、処理をステップＳ６０４へ移行させる。一方で、認証情報管理部３３は、読み出した認証情報管理テーブル３００に、受信した認証情報確認要求に含まれる認証情報が存在しない場合、処理をステップＳ６０６へ移行させる。

ステップＳ６０４において、データベースサーバ３０の認証情報管理部３３は、受信した認証情報確認要求に含まれる認証情報が、タイマー処理部３２によって計測された現在時刻において、有効である場合、処理をステップＳ６０５へ移行させる。一方で、認証情報管理部３３は、受信した認証情報確認要求に含まれる認証情報が、タイマー処理部３２によって計測された現在時刻において、無効である場合、処理をステップＳ６０６へ移行させる。

ステップＳ６０５において、データベースサーバ３０の送受信部３１は、認証情報が有効である旨の判定結果を、認証サーバ１０へ送信する。ステップＳ６０６において、データベースサーバ３０の送受信部３１は、認証情報が存在しない旨の判定結果を認証サーバ１０へ送信する。

以上の処理によって、ネットワークシステム１ａは、有効時間に基づく認証情報の削除を行わず、現在時刻における認証情報の有効性に基づいて、通信端末７０と無線ＬＡＮアクセスポイント５０との接続および切断を行うことができる。

●第２の実施形態●
次に、第２の実施形態に係るネットワークシステムについて説明する。なお、第１の実施形態と同一構成および同一機能は、同一の符号を付して、その説明を省略する。第２の実施形態に係るネットワークシステム１ｂは、システムの管理者が使用する管理者端末９０を用いて、データベースサーバ３０を操作することで、認証情報を削除する。ネットワークシステム１ｂにおいて、データベースサーバ３０は、管理者端末９０から受信した通信端末７０と無線ＬＡＮアクセスポイント５０の切断要求に応じて、該当する認証情報を削除する。これによって、ネットワークシステム１ｂは、時間経過に関わらず、データベースサーバ３０から認証情報を削除することで、任意のタイミングで通信端末７０との接続を切断することができる。

図１４は、第２の実施形態に係る認証情報管理テーブルの一例を示す図である。認証情報管理テーブル３００ａは、図５に示した認証情報管理テーブル３００に含まれるデータに加え、データ番号（Ｎｏ．）ごとにＭＡＣアドレスが紐づけられている。認証情報管理テーブル３００ａに含まれるＭＡＣアドレスは、通信端末７０を識別するための各端末に固有に割り当てられた端末情報の一例である。ＭＡＣアドレスは、シリアルナンバー（製造番号）等であってもよい。これによって、データベースサーバ３０は、認証情報と当該認証情報を用いて認証処理が行われた通信端末７０との組み合わせを、認証情報管理テーブル３００ａを参照することによって確認することができる。なお、端末情報は、通信端末７０の認証処理が行われた場合に認証サーバ１０から送信されてもよいし、認証情報とともに管理者端末９０によって登録されてもよい。

図１５は、第２の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。図１５に示す処理は、図１１に示した処理と同様に、ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」である認証情報を用いて接続された通信端末７０の再認証処理である。また、図１５は、ＩＤ「ｉｄ＿００１」およびパスワード「ａｂｃｄ」である認証情報を用いて接続された通信端末７０の切断要求が、管理者端末９０から送信される場合について説明する。

ステップＳ７０１において、管理者端末９０は、データベースサーバ３０へ、通信端末７０の切断要求を送信する。具体的には、管理者端末９０のアプリケーション部９１は、データベースサーバ３０から提供された所定のアプリケーションを実行する。そして、アプリケーション部９１は、受付部９２によって受け付けられた切断要求を、データベースサーバ３０へ送信する。切断要求は、例えば、ＭＡＣアドレス等の通信端末７０を識別するための端末情報を含む。

ステップＳ７０２において、データベースサーバ３０のアプリケーション部３５は、受信した通信端末７０の切断要求を、認証情報管理部３３へ出力する。ステップＳ７０３において、認証情報管理部３３は、記憶部３４ｂに記憶された認証情報管理テーブル３００ａのデータのうち、出力された切断要求に対応する通信端末７０の端末情報に紐づく認証情報を削除する。データベースサーバ３０が管理者端末９０から送信された切断要求を受信したことは、所定の条件の一例である。

ステップＳ７０４〜ステップＳ７１７の処理は、図１１に示したステップＳ５０１〜ステップＳ５１４の処理と同様であるため、説明を省略する。図１５に示した処理により、無線ＬＡＮアクセスポイント５０は、通信端末７０へ、接続エラーを示すエラーメッセージ（Packet of Disconnect）を送信する。

●第２の実施形態の効果
以上説明したように、第２の実施形態に係るネットワークシステムは、データベースサーバ３０が、管理者端末９０から受信した通信端末７０と無線ＬＡＮアクセスポイント５０との切断要求に応じて、認証情報管理テーブル３００から該当する認証情報を削除する。そのため、ネットワークシステム１ｂは、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されてからの時間経過に関わらず、管理者が任意のタイミングで認証情報を削除することによって、通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断することができる。

●第３の実施形態●
次に、第３の実施形態に係るネットワークシステムについて説明する。なお、第１の実施形態および第２の実施形態と同一構成および同一機能は、同一の符号を付して、その説明を省略する。第３の実施形態に係るネットワークシステム１ｃは、認証サーバ１０が定期的にデータベースサーバ３０へ、認証情報の問い合わせを行う。この場合、ネットワークシステム１ｃは、無線ＬＡＮアクセスポイント５０からの再認証要求を必要としない。

図１６は、第３の実施形態に係るネットワークシステムにおける接続された通信端末に対する再認証処理の一例を示すシーケンス図である。ステップＳ８０１〜ステップＳ８０３の処理は、図１５に示したステップＳ７０１〜ステップＳ７０３の処理と同様であるため、説明を省略する。なお、ステップＳ８０１〜ステップＳ８０３の処理において、第１の実施形態に示したように、通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻から所定の時間経過した場合に、認証情報を削除する構成にしてもよい。

ステップＳ８０４において、認証サーバ１０の送受信部１１は、タイマー処理部１３によって計測された所定の時間ごとに、データベースサーバ３０へ、認証情報確認要求を送信する。

ステップＳ８０５〜ステップＳ８１６の処理は、図１１に示したステップＳ５０３〜ステップＳ５１４の処理と同様であるため、説明を省略する。図１６に示した処理により、無線ＬＡＮアクセスポイント５０は、通信端末７０へ、接続エラーを示すエラーメッセージ（Packet of Disconnect）を送信する。

●第３の実施形態の効果
以上説明したように、第３の実施形態に係るネットワークシステムは、認証サーバ１０が定期的にデータベースサーバ３０へ、認証情報確認要求を送信する。そして、認証サーバ１０は、データベースサーバ３０に記憶された認証情報管理テーブル３００に、要求した認証情報が存在しない場合、無線ＬＡＮアクセスポイントへ、エラーメッセージを送信する。これによって、ネットワークシステム１ｃは、無線ＬＡＮアクセスポイント５０が認証サーバ１０へ再認証要求を送信する機能を備えていない場合においても、認証情報の削除または無効化を検知して、通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断することができる。

●まとめ●
以上説明したように、本発明の一実施形態に係る認証システムは、ネットワークを介して通信端末７０の認証処理を行う認証システム５であって、通信端末７０の認証処理に用いる認証情報を、通信端末に接続された無線ＬＡＮアクセスポイント５０（仲介装置の一例）から取得する。また、認証システム５は、所定の条件に応じて使用可否が変更される認証情報を記憶する記憶部１４ｂ（記憶手段の一例）と、記憶部１４ｂに使用可能な認証情報が存在するか否かを判定する認証情報管理部３３（判定手段の一例）とを備える。そして、認証システム５は、取得された認証情報が記憶部１４ｂに存在すると判定された場合、無線ＬＡＮアクセスポイント５０へ認証成功を示す認証結果を送信し、取得された認証情報が記憶部１４ｂに存在しないと判定された場合、無線ＬＡＮアクセスポイント５０へ認証失敗を示す認証結果を送信する。そのため、認証システム５は、通信端末７０または無線ＬＡＮアクセスポイント５０の機能に依存することなく、意図したネットワークの接続および切断を実行することができる。

また、本発明の一実施形態に係る認証システムは、通信端末７０が無線ＬＡＮアクセスポイント５０（仲介装置の一例）に接続された時間に関する時間情報（時間情報管理テーブル３５０の一例）を記憶し、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されてから所定の時間が経過した場合、記憶された認証情報を削除する。そのため、認証システム５は、通信端末７０の認証処理に用いる認証情報を、一定時間経過後に削除できるため、通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断することができる。

さらに、本発明の一実施形態に係る認証システムは、認証情報を使用できる時間帯に関する時間情報（時間情報管理テーブル３５０ａの一例）を記憶し、現在時刻が認証情報を使用できる時間帯でない場合、取得された認証情報が記憶部１４ｂ（記憶手段の一例）に存在しないと判定する。そのため、認証システム５は、通信端末７０の認証処理に用いる認証情報を、現在時刻における認証情報の有効性に基づいて、通信端末７０と無線ＬＡＮアクセスポイント５０との接続および切断を行うことができる。

また、本発明の一実施形態に係る認証システムは、通信端末７０の認証処理を実行する認証サーバ１０と、認証処理に用いる認証情報を記憶するデータベースサーバ３０と、を備え、認証サーバ１０は、認証情報が記憶部１４ｂ（記憶手段の一例）に存在するか否かの確認要求をデータベースサーバ３０に送信し、データベースサーバ３０は、受信した確認要求に含まれる認証情報が記憶部１４ｂに存在するか否かを判定する。そのため、認証システム５は、認証情報が記憶されたデータベースサーバ３０のアプリケーションを利用することで、通信端末７０と無線ＬＡＮアクセスポイント５０との接続および切断を実現することができる。

さらに、本発明の一実施形態に係る認証システムは、認証サーバ１０が、所定の間隔で認証情報の確認要求をデータベースサーバ３０へ送信する。そのため、認証システム５は、無線ＬＡＮアクセスポイント５０（仲介装置の一例）が認証サーバ１０へ再認証要求を送信する機能を備えていない場合においても、認証情報の削除または無効化を検知して、通信端末７０と無線ＬＡＮアクセスポイント５０との接続を切断することができる。

また、本発明の一実施形態に係る認証システムは、認証サーバ１０が認証された通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻を示す端末情報管理テーブル１００（時間情報の一例）を記憶し、所定の間隔で記憶した端末情報管理テーブル１００に含まれる時間情報をデータベースサーバ３０へ送信し、データベースサーバ３０が受信した時間情報を認証情報に関連づけて記憶する。そのため、認証システム５は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されるたびに認証結果を送信する構成と比較して、通信頻度および通信コストを低減させることができる。

さらに、本発明の一実施形態に係る認証システムは、認証サーバ１０が、認証された通信端末７０が無線ＬＡＮアクセスポイント５０に接続された時刻を示す端末情報管理テーブル１００（時間情報の一例）を記憶し、記憶された端末情報管理テーブル１００が所定のデータ量を超えた場合、端末情報管理テーブル１００に含まれる時間情報をデータベースサーバ３０へ送信し、データベースサーバ３０が、受信した時間情報を認証情報に関連づけて記憶する。そのため、認証システム５は、端末情報管理テーブル１００に記憶されたデータ量に関わらず認証結果を送信する構成と比較して、通信頻度および通信コストを低減させることができる。

また、本発明の一実施形態に係る認証システムは、管理者端末９０から無線ＬＡＮアクセスポイント５０に対する通信端末７０の接続の切断要求を受信した場合、通信端末７０の認証処理に用いられた認証情報を削除する。そのため、認証システム５は、通信端末７０が無線ＬＡＮアクセスポイント５０に接続されてからの時間経過に関わらず、管理者が任意のタイミングで認証情報を削除することによって、通信端末７０の無線ＬＡＮアクセスポイント５０に対する接続を切断することができる。

さらに、本発明の一実施形態に係る認証方法は、ネットワークを介して通信端末７０の認証処理を行う認証システム５が実行する認証方法であって、認証システム５は、所定の条件に応じて使用可否が変更される認証情報を記憶する記憶部１４ｂ（記憶手段の一例）を備え、認証処理に用いる認証情報を、通信端末７０に接続された無線ＬＡＮアクセスポイント５０（仲介装置の一例）から取得する取得ステップと、記憶部１４ｂに使用可能な認証情報が存在するか否かを判定する判定ステップと、取得された認証情報が記憶部１４ｂに存在すると判定された場合、無線ＬＡＮアクセスポイント５０へ認証成功を示す認証結果を送信し、取得された認証情報が記憶部１４ｂに存在しないと判定された場合、無線ＬＡＮアクセスポイント５０へ認証失敗を示す認証結果を送信する送信ステップと、を実行する。そのため、本発明の一実施形態に係る認証方法は、通信端末７０または無線ＬＡＮアクセスポイント５０の機能に依存することなく、意図したネットワークの接続および切断を実行することができる。

●補足●
なお、各実施形態の機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）等のレガシープログラミング言語またはオブジェクト指向プログラミング言語等で記述されたコンピュータ実行可能なプログラムにより実現でき、各実施形態の機能を実行するためのプログラムは、電気通信回線を通じて頒布することができる。

また、各実施形態の機能を実行するためのプログラムは、ＲＯＭ、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、ＥＰＲＯＭ（Erasable Programmable Read-Only Memory）、フラッシュメモリ、フレキシブルディスク、ＣＤ（Compact Disc）−ＲＯＭ、ＣＤ−ＲＷ（Re-Writable）、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯ（Magneto-Optical disc）等の装置可読な記録媒体に格納して頒布することもできる。

さらに、各実施形態の機能の一部または全部は、例えばＦＰＧＡ（Field Programmable Gate Array）等のプログラマブル・デバイス（PD）上に実装することができ、またはＡＳＩＣとして実装することができ、各実施形態の機能をＰＤ上に実現するためにＰＤにダウンロードする回路構成データ（ビットストリームデータ）、回路構成データを生成するためのＨＤＬ（Hardware Description Language）、ＶＨＤＬ（Very High Speed Integrated Circuits Hardware Description Language）、Ｖｅｒｉｌｏｇ−ＨＤＬ等により記述されたデータとして記録媒体により配布することができる。

これまで本発明の一実施形態に係る認証システム、認証方法およびプログラムについて説明してきたが、本発明は、上述した実施形態に限定されるものではなく、他の実施形態の追加、変更または削除等、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１、１ａ、１ｂ、１ｃ ネットワークシステム
５ 認証システム
１０ 認証サーバ
１１ 送受信部（取得手段および送信手段の一例）
３０ データベースサーバ
３３ 認証情報管理部（判定手段の一例）
３４ｂ 記憶部（記憶手段の一例）
５０ 無線ＬＡＮアクセスポイント（仲介装置の一例）
７０ 通信端末
９０ 管理者端末

特開２００８−９７２６４号公報

Claims (10)

1. ネットワークを介して通信端末の認証処理を行う認証システムであって、
   前記認証処理に用いる認証情報を、前記通信端末の通信を仲介する仲介装置から取得する取得手段と、
   所定の条件に応じて使用可否が変更される認証情報を記憶する記憶手段と、
   前記記憶手段に使用可能な前記認証情報が存在するか否かを判定する判定手段と、
   前記取得された認証情報が前記記憶手段に存在すると判定された場合、前記仲介装置へ認証成功を示す認証結果を送信し、前記取得された認証情報が前記記憶手段に存在しないと判定された場合、前記仲介装置へ認証失敗を示す認証結果を送信する送信手段と、
   を備える認証システム。
2. 前記条件は、前記通信端末が前記仲介装置に接続された時間に関する条件であり、
   前記通信端末が前記仲介装置に接続されてから所定の時間が経過した場合、前記記憶された前記認証情報を削除する、請求項１に記載の認証システム。
3. 前記条件は、前記認証情報を使用できる時間帯に関する条件であり、
   前記判定手段は、現在時刻が前記時間帯ではない場合、前記取得された認証情報が前記記憶手段に存在しないと判定する、請求項１に記載の認証システム。
4. 請求項１乃至３のいずれか一項に記載の認証システムであって、更に、
   前記認証処理を実行する認証サーバと、前記認証処理に用いる認証情報を記憶するデータベースサーバと、を備え、
   前記認証サーバは、前記認証情報が前記記憶手段に存在するか否かの確認要求を、前記データベースサーバへ送信し、
   前記データベースサーバは、受信した前記確認要求に含まれる認証情報が前記記憶手段に存在するか否かを判定する、認証システム。
5. 前記認証サーバは、所定の間隔で前記確認要求を前記データベースサーバへ送信する、請求項４に記載の認証システム。
6. 前記認証サーバは、認証した通信端末が前記仲介装置に接続された時刻に関する時間情報を記憶し、所定の間隔で前記記憶した時間情報を前記データベースサーバへ送信し、
   前記データベースサーバは、前記時間情報を前記認証情報に関連づけて記憶する、請求項４または５に記載の認証システム。
7. 前記認証サーバは、認証した通信端末が前記仲介装置に接続された時刻に関する時間情報を記憶し、前記記憶された時間情報が所定のデータ量を超えた場合、前記時間情報を前記データベースサーバへ送信し、
   前記データベースサーバは、前記時間情報を前記認証情報に関連づけて記憶する、請求項４または５に記載の認証システム。
8. 前記条件は、管理者端末からの前記通信端末が接続された前記仲介装置との切断要求を受信したことを示す条件であり、
   前記切断要求を受信した場合、前記認証処理に用いられた認証情報を削除する、請求項１乃至７のいずれか一項に記載の認証システム。
9. ネットワークを介して通信端末の認証処理を行う認証システムが実行する認証方法であって、
   前記認証システムは、所定の条件に応じて使用可否が変更される認証情報を記憶する記憶手段を備え、
   前記認証処理に用いる認証情報を、前記通信端末に接続された仲介装置から取得する取得ステップと、
   前記記憶手段に使用可能な前記認証情報が存在するか否かを判定する判定ステップと、
   前記取得された認証情報が前記記憶手段に存在すると判定された場合、前記仲介装置へ認証成功を示す認証結果を送信し、前記取得された認証情報が前記記憶手段に存在しないと判定された場合、前記仲介装置へ認証失敗を示す認証結果を送信する送信ステップと、
   を実行する認証方法。
10. コンピュータに、請求項９に記載の認証方法を実行させるプログラム。