JP2020201716A

JP2020201716A - Authentication system and authentication method

Info

Publication number: JP2020201716A
Application number: JP2019108179A
Authority: JP
Inventors: 雄一郎古賀; Yuichiro Koga
Original assignee: Fuji Electric Co Ltd
Current assignee: Fuji Electric Co Ltd
Priority date: 2019-06-10
Filing date: 2019-06-10
Publication date: 2020-12-17

Abstract

To improve security concerns related to authentication required for access to a device.SOLUTION: The present invention is directed to an authentication system having one or more terminals, one or more devices to be accessed by the terminals, and an authentication server for authenticating the terminals. The authentication system is characterized by having first authentication means for, by using user information of a user utilizing the terminal, carrying out first authentication for authenticating the user, second authentication means for carrying out second authentication for authentication of the terminal by using terminal information of the terminal when the first authentication by the first authentication means is successful, and third authentication means for carrying out third authentication by using a one-time password when the second authentication by the second authentication means is successful.SELECTED DRAWING: Figure 1

Description

本発明は、認証システム及び認証方法に関する。 The present invention relates to an authentication system and an authentication method.

エッジ側に設置されている機器が保持するデータを操作するために、端末から機器にユーザ情報（例えば、ユーザＩＤ及びパスワード）を送信し、ユーザ認証を行うことが従来から行われている。 In order to operate the data held by the device installed on the edge side, user information (for example, user ID and password) is transmitted from the terminal to the device to perform user authentication.

また、ユーザ認証と共にワンタイムパスワードを用いた認証を行うことで、よりセキュリティを向上させることが可能な技術が知られている（例えば特許文献１参照）。 Further, there is known a technique capable of further improving security by performing authentication using a one-time password together with user authentication (see, for example, Patent Document 1).

特開２００８−１９７７１０号公報Japanese Unexamined Patent Publication No. 2008-197710

しかしながら、従来では、ユーザ情報とワンタイムパスワードとの両方が漏洩した場合、任意の端末で機器が保持するデータを操作することができてしまう。これに対して、一般に、機器が保持するデータを操作する端末は特定の端末（例えば、機器を管理する管理者用の端末等）である場合が多い。したがって、端末に関する情報も用いて認証を行うことで、よりセキュリティを向上させることができると考えられる。 However, in the past, if both the user information and the one-time password were leaked, the data held by the device could be operated on any terminal. On the other hand, in general, the terminal that operates the data held by the device is often a specific terminal (for example, a terminal for an administrator who manages the device). Therefore, it is considered that the security can be further improved by performing the authentication using the information about the terminal.

本発明の実施の形態は、上記の点に鑑みてなされたもので、機器にアクセスするための認証に関するセキュリティを向上させることを目的とする。 An embodiment of the present invention has been made in view of the above points, and an object of the present invention is to improve security related to authentication for accessing a device.

上記目的を達成するため、本発明の実施形態に係る認証システムは、１以上の端末と、前記端末のアクセス対象となる１以上の機器と、前記端末を認証する認証サーバとが含まれる認証システムであって、前記端末を利用するユーザのユーザ情報を用いて、前記ユーザを認証するための第１の認証を行う第１の認証手段と、前記第１の認証手段による第１の認証が成功した場合、前記端末の端末情報を用いて、前記端末を認証するための第２の認証を行う第２の認証手段と、前記第２の認証手段による第２の認証が成功した場合、ワンタイムパスワードを用いた第３の認証を行う第３の認証手段と、を有することを特徴とする。 In order to achieve the above object, the authentication system according to the embodiment of the present invention is an authentication system including one or more terminals, one or more devices to be accessed by the terminals, and an authentication server that authenticates the terminals. The first authentication means for performing the first authentication for authenticating the user and the first authentication by the first authentication means are successful using the user information of the user who uses the terminal. If this is the case, the second authentication means for performing the second authentication for authenticating the terminal using the terminal information of the terminal and the second authentication by the second authentication means are successful, one-time. It is characterized by having a third authentication means for performing a third authentication using a password.

機器にアクセスするための認証に関するセキュリティを向上させることができる。 It is possible to improve the security regarding authentication for accessing the device.

実施例１における認証システムの全体構成の一例を示す図である。It is a figure which shows an example of the whole structure of the authentication system in Example 1. FIG. 実施例１における認証処理の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the authentication process in Example 1. FIG. 実施例２における認証システムの全体構成の一例を示す図である。It is a figure which shows an example of the whole structure of the authentication system in Example 2. 実施例２における認証処理の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the authentication process in Example 2. FIG. 実施例３における認証システムの全体構成の一例を示す図である。It is a figure which shows an example of the whole structure of the authentication system in Example 3. FIG. 実施例３における認証処理の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the authentication process in Example 3. FIG. 実施例４における認証システムの全体構成の一例を示す図である。It is a figure which shows an example of the whole structure of the authentication system in Example 4. 実施例４における認証処理の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the authentication process in Example 4. FIG. コンピュータのハードウェア構成の一例を示す図である。It is a figure which shows an example of the hardware configuration of a computer.

以下、本発明の実施の形態について図面を参照しながら詳細に説明する。本発明の実施の形態では、エッジ側に設置されている機器（以降、「エッジ機器」とも表す。）にアクセス（より正確には、エッジ機器が保持するデータにアクセス）するための認証を行う際に、そのセキュリティを向上させることが可能な認証システム１について説明する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. In the embodiment of the present invention, authentication is performed to access the device installed on the edge side (hereinafter, also referred to as "edge device") (more accurately, to access the data held by the edge device). At that time, the authentication system 1 capable of improving the security will be described.

［実施例１］
以降では、本発明の実施の形態の実施例１について説明する。 [Example 1]
Hereinafter, Example 1 of the embodiment of the present invention will be described.

＜全体構成（実施例１）＞
まず、実施例１における認証システム１の全体構成について、図１を参照しながら説明する。図１は、実施例１における認証システム１の全体構成の一例を示す図である。 <Overall configuration (Example 1)>
First, the overall configuration of the authentication system 1 in the first embodiment will be described with reference to FIG. FIG. 1 is a diagram showing an example of the overall configuration of the authentication system 1 in the first embodiment.

図１に示すように、実施例１における認証システム１には、１台以上の端末１０と、１台以上のエッジ機器２０と、認証サーバ３０とが含まれる。端末１０とエッジ機器２０と認証サーバ３０とは、例えばＬＡＮ（Local Area Network）等で実現される認証用の通信ネットワークＮ１を介して通信可能に接続されている。ただし、端末１０及びエッジ機器２０間、エッジ機器２０及び認証サーバ３０間、認証サーバ３０及び端末１０間がそれぞれ専用の通信ネットワークを介して通信可能に接続されていてもよい。 As shown in FIG. 1, the authentication system 1 in the first embodiment includes one or more terminals 10, one or more edge devices 20, and an authentication server 30. The terminal 10, the edge device 20, and the authentication server 30 are communicably connected via, for example, a communication network N1 for authentication realized by a LAN (Local Area Network) or the like. However, the terminal 10 and the edge device 20, the edge device 20 and the authentication server 30, and the authentication server 30 and the terminal 10 may be connected so as to be able to communicate with each other via a dedicated communication network.

端末１０は、例えばエッジ機器２０を管理する管理者等が利用する端末装置である。端末１０としては、例えば、ＰＣ（パーソナルコンピュータ）、タブレット端末、スマートフォン、ウェアラブルデバイス等を用いることが可能である。 The terminal 10 is, for example, a terminal device used by an administrator or the like who manages the edge device 20. As the terminal 10, for example, a PC (personal computer), a tablet terminal, a smartphone, a wearable device, or the like can be used.

エッジ機器２０は、例えばＰＬＣ（Programmable Logic Controller）等の各種制御機器又は制御装置である。 The edge device 20 is, for example, various control devices or control devices such as a PLC (Programmable Logic Controller).

認証サーバ３０は、端末１０がエッジ機器２０にアクセスするための認証に用いられるサーバ装置である。 The authentication server 30 is a server device used for authentication for the terminal 10 to access the edge device 20.

ここで、実施例１における端末１０は、情報入力部１１１と、記憶部１２０とを有する。 Here, the terminal 10 in the first embodiment has an information input unit 111 and a storage unit 120.

情報入力部１１１は、ユーザ情報（例えば、ユーザＩＤ及びパスワード）や端末情報（例えば、端末ＩＤ及びパスワード）等の入力を受け付けて、エッジ機器２０や認証サーバ３０に送信する。また、情報入力部１１１は、認証サーバ３０から送信されたワンタイムパスワードを、エッジ機器２０に送信する。 The information input unit 111 receives input of user information (for example, user ID and password) and terminal information (for example, terminal ID and password) and transmits the input to the edge device 20 and the authentication server 30. Further, the information input unit 111 transmits the one-time password transmitted from the authentication server 30 to the edge device 20.

なお、ユーザＩＤとは端末１０を利用するユーザを識別する情報であり、端末ＩＤとは端末１０を識別する情報である。ユーザＩＤとしては、例えば、端末１０のユーザ毎に付与された一意の文字列等を用いることができる。また、端末ＩＤとしては、例えば、端末１０毎に付与された一意の文字列、端末１０の製造固有番号、端末１０に付与されたＩＰ（Internet Protocol）アドレス等を用いることができる。 The user ID is information that identifies a user who uses the terminal 10, and the terminal ID is information that identifies the terminal 10. As the user ID, for example, a unique character string assigned to each user of the terminal 10 can be used. Further, as the terminal ID, for example, a unique character string assigned to each terminal 10, a manufacturing unique number of the terminal 10, an IP (Internet Protocol) address assigned to the terminal 10, and the like can be used.

記憶部１２０には、各種情報（例えば、エッジ機器２０にアクセスする際の認証に用いられる一時的な情報等）が記憶される。 Various information (for example, temporary information used for authentication when accessing the edge device 20) is stored in the storage unit 120.

また、実施例１におけるエッジ機器２０は、ユーザ認証部２１１と、ワンタイムパスワード照合要求部２１２と、記憶部２２０とを有する。 Further, the edge device 20 in the first embodiment has a user authentication unit 211, a one-time password verification request unit 212, and a storage unit 220.

ユーザ認証部２１１は、端末１０から送信されたユーザ情報を用いてユーザ認証を行う。すなわち、ユーザ認証部２１１は、端末１０から送信されたユーザ情報が正しいか否か（つまり、記憶部２２０に記憶されているか否か）を検証する。 The user authentication unit 211 authenticates the user using the user information transmitted from the terminal 10. That is, the user authentication unit 211 verifies whether or not the user information transmitted from the terminal 10 is correct (that is, whether or not it is stored in the storage unit 220).

ワンタイムパスワード照合要求部２１２は、端末１０からワンタイムパスワードを受信すると、このワンタイムパスワードの照合要求を認証サーバ３０に送信する。 When the one-time password verification request unit 212 receives the one-time password from the terminal 10, the one-time password verification request unit 212 transmits the one-time password verification request to the authentication server 30.

記憶部２２０には、各種情報（例えば、ユーザ認証に用いられるユーザ情報（つまり、正しいユーザ情報）等）が記憶される。また、記憶部２２０には、端末１０がアクセスを所望するデータ等も記憶されている。 Various information (for example, user information used for user authentication (that is, correct user information), etc.) is stored in the storage unit 220. In addition, the storage unit 220 also stores data and the like that the terminal 10 desires to access.

また、実施例１における認証サーバ３０は、端末認証部３１１と、ワンタイムパスワード生成部３１２と、ワンタイムパスワード照合部３１３と、記憶部３２０とを有する。 Further, the authentication server 30 in the first embodiment has a terminal authentication unit 311, a one-time password generation unit 312, a one-time password verification unit 313, and a storage unit 320.

端末認証部３１１は、端末１０から送信された端末情報を用いて端末認証を行う。すなわち、端末認証部３１１は、端末１０から送信された端末情報が正しいか否か（つまり、記憶部３２０に記憶されているか否か）を検証する。 The terminal authentication unit 311 performs terminal authentication using the terminal information transmitted from the terminal 10. That is, the terminal authentication unit 311 verifies whether or not the terminal information transmitted from the terminal 10 is correct (that is, whether or not it is stored in the storage unit 320).

ワンタイムパスワード生成部３１２は、端末認証部３１１による端末認証が成功した場合（つまり、端末１０から送信された端末情報が正しい場合）に、ワンタイムパスワードを生成して記憶部２２０に記憶させる。そして、ワンタイムパスワード生成部３１２は、このワンタイムパスワードを端末１０に送信する。 The one-time password generation unit 312 generates a one-time password and stores it in the storage unit 220 when the terminal authentication by the terminal authentication unit 311 is successful (that is, when the terminal information transmitted from the terminal 10 is correct). Then, the one-time password generation unit 312 transmits this one-time password to the terminal 10.

ワンタイムパスワード照合部３１３は、エッジ機器２０から送信されたワンタイムパスワードが、記憶部３２０に記憶されている該当のワンタイムパスワードと一致するか否かを照合する。そして、ワンタイムパスワード照合部３１３は、この照合結果をエッジ機器２０に送信する。 The one-time password verification unit 313 verifies whether or not the one-time password transmitted from the edge device 20 matches the corresponding one-time password stored in the storage unit 320. Then, the one-time password collation unit 313 transmits this collation result to the edge device 20.

記憶部３２０には、各種情報（例えば、端末認証に用いられる端末情報（つまり、正しい端末情報）等）が記憶されている。また、記憶部３２０には、ワンタイムパスワード生成部３１２により生成されたワンタイムパスワードが記憶されている。 Various information (for example, terminal information used for terminal authentication (that is, correct terminal information), etc.) is stored in the storage unit 320. Further, the storage unit 320 stores the one-time password generated by the one-time password generation unit 312.

なお、図１に示す認証システム１の構成は一例であって、他の構成であってもよい。例えば、認証サーバ３０は、端末１０及びエッジ機器２０とインターネットを介して通信可能に接続されており、クラウドサービスの形態で端末認証やワンタイムパスワードの生成、ワンタイムパスワードの照合等の機能を提供してもよい。 The configuration of the authentication system 1 shown in FIG. 1 is an example, and may be another configuration. For example, the authentication server 30 is communicably connected to the terminal 10 and the edge device 20 via the Internet, and provides functions such as terminal authentication, one-time password generation, and one-time password verification in the form of a cloud service. You may.

＜認証処理（実施例１）＞
次に、実施例１における認証システム１で、端末１０がエッジ機器２０にアクセスするための認証処理の流れについて、図２を参照しながら説明する。図２は、実施例１における認証処理の一例を示すシーケンス図である。 <Authentication processing (Example 1)>
Next, in the authentication system 1 in the first embodiment, the flow of the authentication process for the terminal 10 to access the edge device 20 will be described with reference to FIG. FIG. 2 is a sequence diagram showing an example of the authentication process in the first embodiment.

まず、端末１０の情報入力部１１１は、ユーザ情報（ユーザＩＤ及びパスワード）の入力を受け付ける（ステップＳ１０１）。端末１０のユーザは、例えば、当該端末１０上に表示されたユーザ認証画面でユーザ情報を入力すればよい。 First, the information input unit 111 of the terminal 10 accepts the input of user information (user ID and password) (step S101). The user of the terminal 10 may enter user information on the user authentication screen displayed on the terminal 10, for example.

端末１０の情報入力部１１１は、ユーザ情報（ユーザＩＤ及びパスワード）の入力を受け付けると、このユーザ情報を該当のエッジ機器２０に送信する（ステップＳ１０２）。 When the information input unit 111 of the terminal 10 receives the input of the user information (user ID and password), the information input unit 111 transmits the user information to the corresponding edge device 20 (step S102).

エッジ機器２０のユーザ認証部２１１は、ユーザ情報を受信すると、ユーザ認証を行う（ステップＳ１０３）。すなわち、エッジ機器２０のユーザ認証部２１１は、このユーザ情報が記憶部２２０に記憶されているか否かを検証する。当該ユーザ情報が記憶部２２０に記憶されている場合、ユーザ認証部２１１は、ユーザ認証に成功したものとする一方で、当該ユーザ情報が記憶部２２０に記憶されていない場合、ユーザ認証部２１１は、ユーザ認証に失敗したものとする。以降では、ユーザ認証に成功したものとして説明を続ける。 Upon receiving the user information, the user authentication unit 211 of the edge device 20 performs user authentication (step S103). That is, the user authentication unit 211 of the edge device 20 verifies whether or not this user information is stored in the storage unit 220. When the user information is stored in the storage unit 220, the user authentication unit 211 assumes that the user authentication is successful, while when the user information is not stored in the storage unit 220, the user authentication unit 211 , It is assumed that user authentication has failed. In the following, the description will be continued assuming that the user authentication is successful.

エッジ機器２０のユーザ認証部２１１は、ユーザ認証に成功した場合、ワンタイムパスワードの送信要求を端末１０に送信する（ステップＳ１０４）。ここで、ワンタイムパスワードの送信要求には、当該エッジ機器２０のエッジＩＤが含まれる。エッジＩＤとはエッジ機器２０を識別する情報であり、エッジＩＤとしては、例えば、エッジ機器２０毎に付与された一意の文字列、エッジ機器２０の製造固有番号、エッジ機器２０に付与されたＩＰアドレス等を用いることができる。なお、上記のステップＳ１０３のユーザ認証に失敗した場合、エッジ機器２０のユーザ認証部２１１は、ユーザ認証に失敗したことを示す情報を端末１０に送信すればよい。 If the user authentication unit 211 of the edge device 20 succeeds in user authentication, the user authentication unit 211 transmits a one-time password transmission request to the terminal 10 (step S104). Here, the one-time password transmission request includes the edge ID of the edge device 20. The edge ID is information for identifying the edge device 20, and the edge ID includes, for example, a unique character string assigned to each edge device 20, a manufacturing unique number of the edge device 20, and an IP assigned to the edge device 20. Addresses and the like can be used. If the user authentication in step S103 fails, the user authentication unit 211 of the edge device 20 may transmit information indicating that the user authentication has failed to the terminal 10.

端末１０の情報入力部１１１は、ワンタイムパスワードの送信要求を受信すると、端末情報（端末ＩＤ及びパスワード）の入力を受け付ける（ステップＳ１０５）。端末１０のユーザは、例えば、当該端末１０上に表示された端末認証画面で端末情報を入力すればよい。 Upon receiving the one-time password transmission request, the information input unit 111 of the terminal 10 accepts the input of the terminal information (terminal ID and password) (step S105). The user of the terminal 10 may enter the terminal information on the terminal authentication screen displayed on the terminal 10, for example.

なお、上記のステップＳ１０５では端末情報はユーザにより入力されるものとしたが、これに限られない。例えば、記憶部１２０に端末情報が記憶されている場合には、情報入力部１１１は、この端末情報を読み出してもよい。 In step S105 above, the terminal information is input by the user, but the present invention is not limited to this. For example, when the terminal information is stored in the storage unit 120, the information input unit 111 may read the terminal information.

端末１０の情報入力部１１１は、端末情報（端末ＩＤ及びパスワード）の入力を受け付けると（又は、端末情報が記憶部１２０から読み出されると）、ワンタイムパスワードの生成要求を認証サーバ３０に送信する（ステップＳ１０６）。ここで、ワンタイムパスワードの生成要求には、上記のステップＳ１０５で入力された端末情報（又は、記憶部１２０から読み出された端末情報）と、上記のステップＳ１０４でエッジ機器２０から送信されたエッジＩＤとが含まれる。 When the information input unit 111 of the terminal 10 receives the input of the terminal information (terminal ID and password) (or when the terminal information is read from the storage unit 120), the information input unit 111 transmits a one-time password generation request to the authentication server 30. (Step S106). Here, the one-time password generation request is transmitted from the terminal information (or terminal information read from the storage unit 120) input in step S105 above and from the edge device 20 in step S104 above. The edge ID is included.

認証サーバ３０の端末認証部３１１は、ワンタイムパスワードの生成要求を受信すると、端末認証を行う（ステップＳ１０７）。すなわち、認証サーバ３０の端末認証部３１１は、当該生成要求に含まれる端末情報が記憶部３２０に記憶されているか否かを検証する。当該端末情報が記憶部３２０に記憶されている場合、端末認証部３１１は、端末認証に成功したものとする一方で、当該端末情報が記憶部３２０に記憶されていない場合、端末認証部３１１は、端末認証に失敗したものとする。以降では、端末認証に成功したものとして説明を続ける。 Upon receiving the one-time password generation request, the terminal authentication unit 311 of the authentication server 30 performs terminal authentication (step S107). That is, the terminal authentication unit 311 of the authentication server 30 verifies whether or not the terminal information included in the generation request is stored in the storage unit 320. When the terminal information is stored in the storage unit 320, the terminal authentication unit 311 assumes that the terminal authentication is successful, while when the terminal information is not stored in the storage unit 320, the terminal authentication unit 311 , It is assumed that the terminal authentication has failed. In the following, the description will be continued assuming that the terminal authentication is successful.

認証サーバ３０のワンタイムパスワード生成部３１２は、端末認証が成功した場合、ワンタイムパスワードを生成して記憶部２２０に記憶させる（ステップＳ１０８）。なお、ワンタイムパスワードは任意の方法で生成すればよい。一例として、ワンタイムパスワード生成部３１２は、所定の文字数のランダムな文字列を生成した上で、この文字列と時刻情報とを結合した文字列をワンタイムパスワードとすることが考えられる。なお、時刻情報は、例えば、端末認証に成功した時刻を示す時刻情報としてもよいし、ランダムな文字列を生成した時刻を示す時刻情報としてもよい。 When the terminal authentication is successful, the one-time password generation unit 312 of the authentication server 30 generates a one-time password and stores it in the storage unit 220 (step S108). The one-time password may be generated by any method. As an example, the one-time password generation unit 312 may generate a random character string having a predetermined number of characters, and then use a character string obtained by combining this character string and time information as a one-time password. The time information may be, for example, time information indicating the time when the terminal authentication is successful, or time information indicating the time when the random character string is generated.

なお、ワンタイムパスワード生成部３１２は、例えば、ワンタイムパスワードに含まれる時刻情報と、ワンタイムパスワードの生成要求に含まれるエッジＩＤとをキーとして、ワンタイムパスワードを記憶部３２０に記憶させればよい。これにより、記憶部３２０には、エッジ機器２０毎のワンタイムパスワードの履歴が記憶されることになる。 If the one-time password generation unit 312 stores the one-time password in the storage unit 320 by using, for example, the time information included in the one-time password and the edge ID included in the one-time password generation request as keys. Good. As a result, the storage unit 320 stores the history of the one-time password for each edge device 20.

ただし、これに限られず、ワンタイムパスワード生成部３１２は、例えば、ワンタイムパスワードに含まれる時刻情報と、ワンタイムパスワードの生成要求に含まれるエッジＩＤとを用いて、エッジＩＤ毎に最新のワンタイムパスワードのみを記憶部３２０に記憶させてもよい。 However, the present invention is not limited to this, and the one-time password generation unit 312 uses, for example, the time information included in the one-time password and the edge ID included in the one-time password generation request, and the latest one for each edge ID. Only the time password may be stored in the storage unit 320.

次に、認証サーバ３０のワンタイムパスワード生成部３１２は、上記のステップＳ１０８で生成されたワンタイムパスワードを端末１０に送信する（ステップＳ１０９）。 Next, the one-time password generation unit 312 of the authentication server 30 transmits the one-time password generated in step S108 to the terminal 10 (step S109).

端末１０の情報入力部１１１は、ワンタイムパスワードを受信すると、このワンタイムパスワードをエッジ機器２０に送信する（ステップＳ１１０）。 When the information input unit 111 of the terminal 10 receives the one-time password, the information input unit 111 transmits the one-time password to the edge device 20 (step S110).

エッジ機器２０のワンタイムパスワード照合要求部２１２は、ワンタイムパスワードを受信すると、このワンタイムパスワードの照合要求を認証サーバ３０に送信する（ステップＳ１１１）。ここで、ワンタイムパスワードの照合要求には、上記のステップＳ１１０で端末１０から送信されたワンタイムパスワードと、当該エッジ機器２０のエッジＩＤとが含まれる。 Upon receiving the one-time password, the one-time password verification request unit 212 of the edge device 20 transmits the one-time password verification request to the authentication server 30 (step S111). Here, the one-time password verification request includes the one-time password transmitted from the terminal 10 in step S110 and the edge ID of the edge device 20.

認証サーバ３０のワンタイムパスワード照合部３１３は、ワンタイムパスワードの照合要求を受信すると、ワンタイムパスワードの照合を行う（ステップＳ１１２）。すなわち、ワンタイムパスワード照合部３１３は、当該照合要求に含まれるエッジＩＤを用いて、当該照合要求に含まれるワンタイムパスワードが、記憶部３２０に記憶されている該当のワンタイムパスワードと一致するか否かを照合する。 When the one-time password verification unit 313 of the authentication server 30 receives the one-time password verification request, the one-time password verification unit 313 collates the one-time password (step S112). That is, the one-time password collation unit 313 uses the edge ID included in the collation request to check whether the one-time password included in the collation request matches the corresponding one-time password stored in the storage unit 320. Check whether or not.

具体的には、例えば、時刻情報と文字列とでワンタイムパスワードが構成されている場合、ワンタイムパスワード照合部３１３は、当該照合要求に含まれるエッジＩＤと、当該照合要求に含まれるワンタイムパスワードの時刻情報とをキーとして、記憶部３２０に記憶されているワンタイムパスワードの中から１つのワンタイムパスワードを特定する。そして、ワンタイムパスワード照合部３１３は、当該照合要求に含まれるワンタイムパスワードの文字列と、当該特定されたワンタイムパスワードの文字列とが一致するか否かを判定する。 Specifically, for example, when a one-time password is composed of time information and a character string, the one-time password collation unit 313 has an edge ID included in the collation request and a one-time password included in the collation request. Using the time information of the password as a key, one one-time password is specified from the one-time passwords stored in the storage unit 320. Then, the one-time password collation unit 313 determines whether or not the character string of the one-time password included in the collation request matches the character string of the specified one-time password.

当該照合要求に含まれるワンタイムパスワードの文字列と、当該特定されたワンタイムパスワードの文字列とが一致する場合、ワンタイムパスワード照合部３１３は、照合に成功したものとする。一方で、当該照合要求に含まれるワンタイムパスワードの文字列と、当該特定されたワンタイムパスワードの文字列とが一致しない場合、ワンタイムパスワード照合部３１３は、照合に失敗したものとする。以降では、ワンタイムパスワードの照合に成功したものとして説明を続ける。 If the character string of the one-time password included in the verification request and the character string of the specified one-time password match, the one-time password verification unit 313 considers that the verification is successful. On the other hand, if the character string of the one-time password included in the verification request does not match the character string of the specified one-time password, the one-time password verification unit 313 assumes that the verification has failed. In the following, the explanation will be continued assuming that the one-time password has been successfully collated.

認証サーバ３０のワンタイムパスワード照合部３１３は、上記のステップＳ１１２の照合結果（つまり、照合成功を示す照合結果）をエッジ機器２０に送信する（ステップＳ１１３）。 The one-time password collation unit 313 of the authentication server 30 transmits the collation result of step S112 (that is, the collation result indicating success of collation) to the edge device 20 (step S113).

エッジ機器２０のワンタイムパスワード照合要求部２１２は、照合成功を示す照合結果を受信すると、認証成功を示す認証結果を端末１０に送信する（ステップＳ１１４）。これにより、端末１０はエッジ機器２０にアクセスすることが可能となる。なお、エッジ機器２０のワンタイムパスワード照合要求部２１２は、照合失敗を示す照合結果を受信した場合、認証失敗を示す認証結果を端末１０に送信する。 When the one-time password verification requesting unit 212 of the edge device 20 receives the verification result indicating the verification success, the one-time password verification request unit 212 transmits the authentication result indicating the authentication success to the terminal 10 (step S114). As a result, the terminal 10 can access the edge device 20. When the one-time password verification request unit 212 of the edge device 20 receives the verification result indicating the verification failure, the one-time password verification request unit 212 transmits the authentication result indicating the authentication failure to the terminal 10.

このように、実施例１における認証システム１では、エッジ機器２０側でのユーザ認証に加えて、認証サーバ３０側での端末認証にも成功した場合に、ワンタイムパスワードが生成される。これにより、実施例１における認証システム１では、例えば、ユーザ情報が漏えい等した場合であっても、端末認証が成功しない限りワンタイムパスワードが生成されないため、端末１０がエッジ機器２０にアクセスする際の認証に関するセキュリティを向上させることができる。 As described above, in the authentication system 1 in the first embodiment, a one-time password is generated when the terminal authentication on the authentication server 30 side is successful in addition to the user authentication on the edge device 20 side. As a result, in the authentication system 1 of the first embodiment, for example, even if the user information is leaked, the one-time password is not generated unless the terminal authentication is successful, so that when the terminal 10 accesses the edge device 20. It is possible to improve the security regarding authentication of.

［実施例２］
以降では、本発明の実施の形態の実施例２について説明する。なお、実施例２では、主に、実施例１との相違点について説明し、実施例１と同一の構成要素については同一の符号を付与し、重複した説明を省略するものとする。 [Example 2]
Hereinafter, Example 2 of the embodiment of the present invention will be described. In Example 2, the differences from Example 1 will be mainly described, the same components as those in Example 1 will be given the same reference numerals, and duplicate explanations will be omitted.

＜全体構成（実施例２）＞
まず、実施例２における認証システム１の全体構成について、図３を参照しながら説明する。図３は、実施例２における認証システム１の全体構成の一例を示す図である。 <Overall configuration (Example 2)>
First, the overall configuration of the authentication system 1 in the second embodiment will be described with reference to FIG. FIG. 3 is a diagram showing an example of the overall configuration of the authentication system 1 in the second embodiment.

図３に示すように、実施例２における認証システム１には、１台以上の端末１０と、１台以上のエッジ機器２０と、監視制御システム６０とが含まれる。また、監視制御システム６０には、認証サーバ３０と、監視制御サーバ４０と、共有記憶部５０とが含まれる。 As shown in FIG. 3, the authentication system 1 in the second embodiment includes one or more terminals 10, one or more edge devices 20, and a monitoring control system 60. Further, the monitoring control system 60 includes an authentication server 30, a monitoring control server 40, and a shared storage unit 50.

実施例２では、端末１０とエッジ機器２０とは、例えば通信ケーブル等により直接接続されている。また、端末１０と認証サーバ３０とは通信ネットワークＮ１を介して通信可能に接続されている。更に、エッジ機器２０と監視制御サーバ４０とは、例えばＬＡＮ等で実現される制御用の通信ネットワークＮ２を介して通信可能に接続されている。 In the second embodiment, the terminal 10 and the edge device 20 are directly connected by, for example, a communication cable or the like. Further, the terminal 10 and the authentication server 30 are communicably connected via the communication network N1. Further, the edge device 20 and the monitoring control server 40 are communicably connected to each other via a control communication network N2 realized by, for example, a LAN or the like.

なお、端末１０及びエッジ機器２０間、認証サーバ３０及び端末１０間、エッジ機器２０及び監視制御サーバ４０間がそれぞれ専用の通信ネットワークを介して通信可能に接続されていてもよい。 The terminal 10 and the edge device 20, the authentication server 30 and the terminal 10, and the edge device 20 and the monitoring control server 40 may be connected so as to be able to communicate with each other via a dedicated communication network.

実施例２では、エッジ機器２０は、所定の時間間隔で計測値を監視制御サーバ４０に送信している。これらの計測値は記憶部２２０に記憶される。計測値とは、エッジ機器２０と通信ネットワークを介して接続されたセンサ等がセンシング対象を計測した値である。計測値はセンシング対象によって異なるが、例えば、温度や湿度、圧力、流量、電圧等が挙げられる。 In the second embodiment, the edge device 20 transmits the measured value to the monitoring control server 40 at predetermined time intervals. These measured values are stored in the storage unit 220. The measured value is a value measured by a sensor or the like connected to the edge device 20 via a communication network to measure the sensing target. The measured value differs depending on the sensing target, and examples thereof include temperature, humidity, pressure, flow rate, and voltage.

監視制御サーバ４０は、エッジ機器２０が制御対象を制御するための制御値を生成するサーバであり、エッジ機器２０から受信した計測値に応じて制御値をエッジ機器２０に送信する。これにより、エッジ機器２０では、この制御値に応じて制御対象を制御することができる。制御値とは、例えば、制御対象を最適に運用するために目標とする計測値等が挙げられる。なお、監視制御サーバ４０からエッジ機器２０に送信された制御値は、記憶部２２０に記憶される。 The monitoring control server 40 is a server that generates control values for the edge device 20 to control the control target, and transmits the control values to the edge device 20 according to the measured values received from the edge device 20. As a result, the edge device 20 can control the control target according to this control value. Examples of the control value include measured values that are targeted in order to optimally operate the controlled object. The control value transmitted from the monitoring control server 40 to the edge device 20 is stored in the storage unit 220.

エッジ機器２０から監視制御サーバ４０への送信に成功した計測値と、監視制御サーバ４０からエッジ機器２０への送信に成功した制御値との少なくとも一方は、認証サーバ３０と監視制御サーバ４０との間で共有して利用される共有記憶部５０に記憶される（すなわち、共有記憶部５０には、送信に成功した計測値又は／及び送信に成功した制御値が記憶されている。）。 At least one of the measured value successfully transmitted from the edge device 20 to the monitoring control server 40 and the control value successfully transmitted from the monitoring control server 40 to the edge device 20 is the authentication server 30 and the monitoring control server 40. It is stored in the shared storage unit 50 that is shared and used between the two (that is, the shared storage unit 50 stores the measured value that succeeded in transmission and / and the control value that succeeded in transmission).

ここで、実施例２における認証サーバ３０は、端末認証部３１１と、ワンタイムパスワード生成部３１２と、記憶部３２０とを有する。なお、実施例２における認証サーバ３０は、ワンタイムパスワード照合部３１３を有しない。 Here, the authentication server 30 in the second embodiment has a terminal authentication unit 311, a one-time password generation unit 312, and a storage unit 320. The authentication server 30 in the second embodiment does not have the one-time password verification unit 313.

実施例２におけるワンタイムパスワード生成部３１２は、端末認証部３１１による端末認証が成功した場合に、ワンタイムパスワードを生成して端末１０に送信する。このとき、実施例２におけるワンタイムパスワード生成部３１２は、共有記憶部５０に記憶されている計測値又は制御値を用いてワンタイムパスワードを生成する。なお、端末１０に送信されたワンタイムパスワードは、その後、当該端末１０によってエッジ機器２０に送信される。 The one-time password generation unit 312 in the second embodiment generates a one-time password and transmits it to the terminal 10 when the terminal authentication by the terminal authentication unit 311 is successful. At this time, the one-time password generation unit 312 in the second embodiment generates a one-time password using the measured value or the control value stored in the shared storage unit 50. The one-time password transmitted to the terminal 10 is then transmitted to the edge device 20 by the terminal 10.

例えば、予め決められた或る時点から過去の所定の個数分の制御値を結合した文字列を生成した上で、この文字列のハッシュ値をワンタイムパスワードとすることが挙げられる。具体的には、例えば、端末１０から送信されたユーザ情報をエッジ機器２０が受信した時刻を用いて、この時刻から過去１０個分の制御値ａ_１，ａ_２，・・・，ａ_１０を結合した文字列「ａ_１ａ_２・・・ａ_１０」を生成した上で、この文字列のハッシュ値をワンタイムパスワードとする。なお、ハッシュ値を算出するためのハッシュ関数は任意のハッシュ関数を用いればよい。 For example, a character string obtained by combining a predetermined number of control values in the past from a predetermined time point may be generated, and then the hash value of this character string may be used as a one-time password. Specifically, for example, using the time when the edge device 20 receives the user information transmitted from the terminal 10, the control values a ₁ , a ₂ , ..., A ₁₀ for the past 10 are set from this time. After generating the combined character string "a ₁ a ₂ ... a ₁₀ ", the hash value of this character string is used as the one-time password. Any hash function may be used as the hash function for calculating the hash value.

また、実施例２におけるエッジ機器２０は、ユーザ認証部２１１と、ワンタイムパスワード生成部２１３と、ワンタイムパスワード認証部２１４と、記憶部２２０とを有する。なお、実施例２におけるエッジ機器２０は、ワンタイムパスワード照合要求部２１２を有しない。 Further, the edge device 20 in the second embodiment has a user authentication unit 211, a one-time password generation unit 213, a one-time password authentication unit 214, and a storage unit 220. The edge device 20 in the second embodiment does not have the one-time password verification requesting unit 212.

ワンタイムパスワード生成部２１３は、ユーザ認証部２１１によるユーザ認証が成功した場合に、ワンタイムパスワードを生成する。このとき、ワンタイムパスワード生成部２１３は、記憶部２２０から計測値又は制御値を取得した上で、これらの計測値又は制御値を用いてワンタイムパスワードを生成する。このとき、ワンタイムパスワードの生成方法としては、認証サーバ３０のワンタイムパスワード生成部３１２と同様の生成方法を用いる。このように、実施例２では、認証サーバ３０と各エッジ機器２０との間で予め取り決めた同一の生成方法を用いて、互いにワンタイムパスワードを生成する。 The one-time password generation unit 213 generates a one-time password when the user authentication by the user authentication unit 211 is successful. At this time, the one-time password generation unit 213 acquires the measured value or the control value from the storage unit 220, and then generates the one-time password using the measured value or the control value. At this time, as the one-time password generation method, the same generation method as the one-time password generation unit 312 of the authentication server 30 is used. As described above, in the second embodiment, one-time passwords are generated from each other by using the same generation method previously agreed between the authentication server 30 and each edge device 20.

ワンタイムパスワード認証部２１４は、ワンタイムパスワードの認証を行う。すなわち、ワンタイムパスワード認証部２１４は、端末１０から送信されたワンタイムパスワードと、ワンタイムパスワード生成部２１３により生成されたワンタイムパスワードとが一致するか否かを検証する。 The one-time password authentication unit 214 authenticates the one-time password. That is, the one-time password authentication unit 214 verifies whether or not the one-time password transmitted from the terminal 10 and the one-time password generated by the one-time password generation unit 213 match.

＜認証処理（実施例２）＞
次に、実施例２における認証システム１で、端末１０がエッジ機器２０にアクセスするための認証処理の流れについて、図４を参照しながら説明する。図４は、実施例２における認証処理の一例を示すシーケンス図である。 <Authentication processing (Example 2)>
Next, in the authentication system 1 in the second embodiment, the flow of the authentication process for the terminal 10 to access the edge device 20 will be described with reference to FIG. FIG. 4 is a sequence diagram showing an example of the authentication process in the second embodiment.

図４のステップＳ２０１〜ステップＳ２０３は、図２のステップＳ１０１〜ステップＳ１０３とそれぞれ同様であるため、その説明を省略する。 Since steps S201 to S203 of FIG. 4 are the same as steps S101 to S103 of FIG. 2, the description thereof will be omitted.

ステップＳ２０３に続いて、エッジ機器２０のワンタイムパスワード生成部２１３は、ユーザ認証に成功した場合、ワンタイムパスワードを生成する（ステップＳ２０４）。このとき、ワンタイムパスワード生成部２１３は、記憶部２２０から計測値又は制御値を取得した上で、これらの計測値又は制御値を用いてワンタイムパスワードを生成する。 Following step S203, the one-time password generation unit 213 of the edge device 20 generates a one-time password when the user authentication is successful (step S204). At this time, the one-time password generation unit 213 acquires the measured value or the control value from the storage unit 220, and then generates the one-time password using the measured value or the control value.

例えば、ワンタイムパスワード生成部２１３は、端末１０から送信されたユーザ情報をエッジ機器２０が受信した時刻を用いて、この時刻から過去１０個分の制御値ａ_１，ａ_２，・・・，ａ_１０を共有記憶部５０から取得し、これらの制御値を結合した文字列「ａ_１ａ_２・・・ａ_１０」を生成する。そして、ワンタイムパスワード生成部２１３は、この文字列のハッシュ値をワンタイムパスワードとする。 For example, one-time password generation unit 213, by using the time at which the user information edge device 20 receives transmitted from the terminal 10, the control value a ₁ from the time of the last 10 _minutes, a _2, · · ·, The a ₁₀ is acquired from the shared storage unit 50, and a character string “a ₁ a ₂ ... a ₁₀ ” is generated by combining these control values. Then, the one-time password generation unit 213 uses the hash value of this character string as the one-time password.

ただし、上記のワンタイムパスワードの生成方法は一例であって、共有記憶部５０に記憶されている制御値又は計測値を用いた生成方法であれば任意の方法を用いることができる。例えば、端末１０から送信されたユーザ情報をエッジ機器２０が受信した時刻の代わりに、予め決められた時刻又は予め決められた方法により算出された時刻を用いてもよい。また、過去１０個分の制御値を共有記憶部５０から取得する代わりに、予め決められた個数の制御値（又は計測値）を共有記憶部５０から取得してもよいし、予め決められた方法により算出された個数の制御値（又は計測値）を共有記憶部５０から取得してもよい。更に、制御値又は計測値のいずれではなく、制御値と計測値との両方を共有記憶部５０から取得し、これらの制御値と計測値との両方を用いてワンタイムパスワードが生成されてもよい。 However, the above-mentioned one-time password generation method is an example, and any method can be used as long as it is a generation method using the control value or the measured value stored in the shared storage unit 50. For example, instead of the time when the edge device 20 receives the user information transmitted from the terminal 10, a predetermined time or a time calculated by a predetermined method may be used. Further, instead of acquiring the control values for the past 10 units from the shared storage unit 50, a predetermined number of control values (or measured values) may be acquired from the shared storage unit 50, or may be determined in advance. The number of control values (or measured values) calculated by the method may be acquired from the shared storage unit 50. Further, even if both the control value and the measurement value are acquired from the shared storage unit 50 instead of either the control value or the measurement value, and a one-time password is generated using both the control value and the measurement value. Good.

これ以外にも、ワンタイムパスワード生成部２１３は、当該エッジ機器２０のエッジＩＤをワンタイムパスワードの生成に用いてもよい。具体的には、例えば、上記の文字列に対して、更にエッジＩＤを結合した上で、ハッシュ値を計算してもよい。 In addition to this, the one-time password generation unit 213 may use the edge ID of the edge device 20 to generate the one-time password. Specifically, for example, the hash value may be calculated after further combining the edge ID with the above character string.

次に、エッジ機器２０のワンタイムパスワード生成部２１３は、ワンタイムパスワードの送信要求を端末１０に送信する（ステップＳ２０５）。ここで、ワンタイムパスワードの送信要求には、当該エッジ機器２０のエッジＩＤと、上記のステップＳ２０４でワンタイムパスワードの生成に用いられた時刻情報（つまり、例えば、端末１０から送信されたユーザ情報をエッジ機器２０が受信した時刻を示す時刻情報等）とが含まれる。 Next, the one-time password generation unit 213 of the edge device 20 transmits a one-time password transmission request to the terminal 10 (step S205). Here, the one-time password transmission request includes the edge ID of the edge device 20 and the time information used for generating the one-time password in step S204 (that is, user information transmitted from the terminal 10, for example). Is included, such as time information indicating the time received by the edge device 20).

端末１０の情報入力部１１１は、ワンタイムパスワードの送信要求を受信すると、図２のステップＳ１０５と同様に、端末情報（端末ＩＤ及びパスワード）の入力を受け付ける（ステップＳ２０６）。 When the information input unit 111 of the terminal 10 receives the one-time password transmission request, it accepts the input of the terminal information (terminal ID and password) in the same manner as in step S105 of FIG. 2 (step S206).

端末１０の情報入力部１１１は、端末情報（端末ＩＤ及びパスワード）の入力を受け付けると（又は、端末情報が記憶部１２０から読み出されると）、ワンタイムパスワードの生成要求を認証サーバ３０に送信する（ステップＳ２０７）。ここで、ワンタイムパスワードの生成要求には、上記のステップＳ２０６で入力された端末情報（又は、記憶部１２０から読み出された端末情報）と、上記のステップＳ２０５でエッジ機器２０から送信されたエッジＩＤ及び時刻情報とが含まれる。 When the information input unit 111 of the terminal 10 receives the input of the terminal information (terminal ID and password) (or when the terminal information is read from the storage unit 120), the information input unit 111 transmits a one-time password generation request to the authentication server 30. (Step S207). Here, the one-time password generation request is transmitted from the terminal information (or terminal information read from the storage unit 120) input in step S206 above and from the edge device 20 in step S205 above. The edge ID and time information are included.

認証サーバ３０の端末認証部３１１は、図２のステップＳ１０７と同様に、ワンタイムパスワードの生成要求を受信すると、端末認証を行う（ステップＳ２０８）。 Similar to step S107 in FIG. 2, the terminal authentication unit 311 of the authentication server 30 performs terminal authentication when receiving the one-time password generation request (step S208).

認証サーバ３０のワンタイムパスワード生成部３１２は、端末認証が成功した場合、ワンタイムパスワードを生成する（ステップＳ２０９）。このとき、ワンタイムパスワード生成部３１２は、当該生成要求に含まれる時刻情報を用いて、上記のステップＳ２０４と同様の生成方法によりワンタイムパスワードを生成する。 The one-time password generation unit 312 of the authentication server 30 generates a one-time password when the terminal authentication is successful (step S209). At this time, the one-time password generation unit 312 generates the one-time password by the same generation method as in step S204 described above, using the time information included in the generation request.

例えば、ワンタイムパスワード生成部３１２は、当該時刻情報が示す時刻から過去１０個分の制御値ａ_１，ａ_２，・・・，ａ_１０を共有記憶部５０から取得し、これらの制御値を結合した文字列「ａ_１ａ_２・・・ａ_１０」を生成する。そして、ワンタイムパスワード生成部３１２は、この文字列のハッシュ値をワンタイムパスワードとする。なお、上記のステップＳ２０４でワンタイムパスワードの生成にエッジＩＤを用いた場合は、ワンタイムパスワード生成部３１２も同様にエッジＩＤを用いてワンタイムパスワードを生成する。 For example, one-time password generation unit 312, the control value _a 1 of the past 10 minutes from the time that the time information _indicates, a 2, · · _·, acquires _{a 10} from the shared memory unit 50, these control values The combined character string "a ₁ a ₂ ... a ₁₀ " is generated. Then, the one-time password generation unit 312 uses the hash value of this character string as the one-time password. When the edge ID is used to generate the one-time password in step S204, the one-time password generation unit 312 also uses the edge ID to generate the one-time password.

このように、ワンタイムパスワード生成部３１２は、ワンタイムパスワード生成部２１３と同様の方法によりワンタイムパスワードを生成する。したがって、上述したように、認証サーバ３０と各エッジ機器２０との間でワンタイムパスワードの生成方法が予め取り決められている。なお、ワンタイムパスワードの生成方法は、例えば、エッジ機器２０毎（つまり、エッジＩＤ毎）に異なっていてもよいし、或る基準で分類されたエッジ機器２０のグループ毎（例えば、同一種類のエッジ機器２０を同一グループとしたグループ毎）に異なっていてもよい。 In this way, the one-time password generation unit 312 generates the one-time password by the same method as the one-time password generation unit 213. Therefore, as described above, a method for generating a one-time password is previously agreed between the authentication server 30 and each edge device 20. The method of generating the one-time password may be different for each edge device 20 (that is, for each edge ID), or for each group of edge devices 20 classified by a certain standard (for example, the same type). It may be different for each group in which the edge device 20 is in the same group).

次に、認証サーバ３０のワンタイムパスワード生成部３１２は、上記のステップＳ２０９で生成されたワンタイムパスワードを端末１０に送信する（ステップＳ２１０）。 Next, the one-time password generation unit 312 of the authentication server 30 transmits the one-time password generated in step S209 to the terminal 10 (step S210).

端末１０の情報入力部１１１は、ワンタイムパスワードを受信すると、このワンタイムパスワードをエッジ機器２０に送信する（ステップＳ２１１）。 When the information input unit 111 of the terminal 10 receives the one-time password, the information input unit 111 transmits the one-time password to the edge device 20 (step S211).

エッジ機器２０のワンタイムパスワード認証部２１４は、ワンタイムパスワードを受信すると、ワンタイムパスワードの認証を行う（ステップＳ２１２）。すなわち、ワンタイムパスワード認証部２１４は、端末１０から送信されたワンタイムパスワードと、上記のステップＳ２０４で生成されたワンタイムパスワードとが一致するか否かを検証する。 Upon receiving the one-time password, the one-time password authentication unit 214 of the edge device 20 authenticates the one-time password (step S212). That is, the one-time password authentication unit 214 verifies whether or not the one-time password transmitted from the terminal 10 matches the one-time password generated in step S204.

端末１０から送信されたワンタイムパスワードと、上記のステップＳ２０４で生成されたワンタイムパスワードとが一致する場合、ワンタイムパスワード認証部２１４は、認証に成功したものとする。一方で、端末１０から送信されたワンタイムパスワードと、上記のステップＳ２０４で生成されたワンタイムパスワードとが一致しない場合、ワンタイムパスワード認証部２１４は、認証に失敗したものとする。 If the one-time password transmitted from the terminal 10 and the one-time password generated in step S204 above match, the one-time password authentication unit 214 assumes that the authentication is successful. On the other hand, if the one-time password transmitted from the terminal 10 and the one-time password generated in step S204 above do not match, the one-time password authentication unit 214 assumes that the authentication has failed.

そして、エッジ機器２０のワンタイムパスワード認証部２１４は、上記のステップＳ２１２での認証結果を端末１０に送信する（ステップＳ２１３）。認証成功を示す認証結果が端末１０に送信された場合、端末１０はエッジ機器２０にアクセスすることが可能となる。一方で、認証失敗を示す認証結果が端末１０に送信された場合、端末１０はエッジ機器２０へのアクセスが拒否される。 Then, the one-time password authentication unit 214 of the edge device 20 transmits the authentication result in the above step S212 to the terminal 10 (step S213). When the authentication result indicating the success of the authentication is transmitted to the terminal 10, the terminal 10 can access the edge device 20. On the other hand, when the authentication result indicating the authentication failure is transmitted to the terminal 10, the terminal 10 is denied access to the edge device 20.

このように、実施例２における認証システム１では、エッジ機器２０側でユーザ認証後に生成されたワンタイムパスワードと、認証サーバ３０側で端末認証後に生成されたワンタイムパスワードとが一致するか否かを検証する。また、このとき、エッジ機器２０と認証サーバ３０とは、制御値及び計測値の少なくとも一方を用いて互いに予め取り決めた方法によりワンタイムパスワードを生成する。これにより、実施例２における認証システム１でも、例えば、ユーザ情報が漏えい等した場合であっても、端末認証が成功しない限りワンタイムパスワードが生成されないため、端末１０がエッジ機器２０にアクセスする際の認証に関するセキュリティを向上させることができる。 As described above, in the authentication system 1 in the second embodiment, whether or not the one-time password generated after the user authentication on the edge device 20 side and the one-time password generated after the terminal authentication on the authentication server 30 side match. To verify. At this time, the edge device 20 and the authentication server 30 generate a one-time password by a method agreed in advance with each other using at least one of a control value and a measured value. As a result, even in the authentication system 1 in the second embodiment, for example, even if the user information is leaked, the one-time password is not generated unless the terminal authentication is successful, so that when the terminal 10 accesses the edge device 20. It is possible to improve the security regarding authentication of.

［実施例３］
以降では、本発明の実施の形態の実施例３について説明する。なお、実施例３では、主に、実施例２との相違点について説明し、実施例２と同一の構成要素については同一の符号を付与し、重複した説明を省略するものとする。 [Example 3]
Hereinafter, Example 3 of the embodiment of the present invention will be described. In Example 3, the differences from Example 2 will be mainly described, the same components as those in Example 2 will be given the same reference numerals, and duplicate explanations will be omitted.

＜全体構成（実施例３）＞
まず、実施例３における認証システム１の全体構成について、図５を参照しながら説明する。図５は、実施例３における認証システム１の全体構成の一例を示す図である。 <Overall configuration (Example 3)>
First, the overall configuration of the authentication system 1 in the third embodiment will be described with reference to FIG. FIG. 5 is a diagram showing an example of the overall configuration of the authentication system 1 in the third embodiment.

図５に示すように、実施例３における認証システム１には、１台以上の端末１０と、１台以上のエッジ機器２０と、監視制御システム６０とが含まれる。また、監視制御システム６０には、認証サーバ３０と、監視制御サーバ４０と、共有記憶部５０とが含まれる。 As shown in FIG. 5, the authentication system 1 in the third embodiment includes one or more terminals 10, one or more edge devices 20, and a monitoring control system 60. Further, the monitoring control system 60 includes an authentication server 30, a monitoring control server 40, and a shared storage unit 50.

実施例３では、端末１０とエッジ機器２０とは、例えば通信ケーブル等により直接接続されている。また、端末１０及び認証サーバ３０間とエッジ機器２０及び認証サーバ３０間とは通信ネットワークＮ１を介して通信可能に接続されており、エッジ機器２０及び監視制御サーバ４０間は通信ネットワークＮ２を介して通信可能に接続されている。 In the third embodiment, the terminal 10 and the edge device 20 are directly connected by, for example, a communication cable or the like. Further, the terminal 10 and the authentication server 30 and the edge device 20 and the authentication server 30 are communicably connected via the communication network N1, and the edge device 20 and the monitoring control server 40 are connected via the communication network N2. It is connected so that it can communicate.

なお、端末１０及びエッジ機器２０間、エッジ機器２０及び認証サーバ３０間、認証サーバ３０及び端末１０間、エッジ機器２０及び監視制御サーバ４０間がそれぞれ専用の通信ネットワークを介して通信可能に接続されていてもよい。 The terminal 10 and the edge device 20, the edge device 20 and the authentication server 30, the authentication server 30 and the terminal 10, and the edge device 20 and the monitoring control server 40 are connected so as to be able to communicate with each other via a dedicated communication network. You may be.

ここで、実施例３におけるエッジ機器２０は、ユーザ認証部２１１と、ワンタイムパスワード生成部２１３と、ワンタイムパスワード認証部２１４と、エッジ認証要求部２１５と、記憶部２２０とを有する。 Here, the edge device 20 in the third embodiment has a user authentication unit 211, a one-time password generation unit 213, a one-time password authentication unit 214, an edge authentication request unit 215, and a storage unit 220.

エッジ認証要求部２１５は、ユーザ認証部２１１によるユーザ認証が成功した場合に、エッジ認証要求を認証サーバ３０に送信する。また、実施例３における記憶部２２０には、エッジ認証に用いられるエッジ情報（例えば、エッジＩＤ及びパスワード）も記憶されている。 The edge authentication request unit 215 transmits an edge authentication request to the authentication server 30 when the user authentication by the user authentication unit 211 is successful. Further, the storage unit 220 in the third embodiment also stores edge information (for example, an edge ID and a password) used for edge authentication.

また、実施例３における認証サーバ３０は、端末認証部３１１と、ワンタイムパスワード生成部３１２と、エッジ認証部３１４と、記憶部３２０とを有する。 Further, the authentication server 30 in the third embodiment has a terminal authentication unit 311, a one-time password generation unit 312, an edge authentication unit 314, and a storage unit 320.

エッジ認証部３１４は、エッジ機器２０からエッジ認証要求を受信すると、エッジ認証を行う。すなわち、エッジ認証部３１４は、エッジ機器２０から送信されたエッジ認証要求に含まれるエッジ情報が正しいか否か（つまり、記憶部３２０に記憶されているか否か）を検証する。また、実施例３における記憶部３２０には、エッジ認証に用いられるエッジ情報（つまり、正しいエッジ情報）も記憶されている。 When the edge authentication unit 314 receives the edge authentication request from the edge device 20, the edge authentication unit 314 performs edge authentication. That is, the edge authentication unit 314 verifies whether or not the edge information included in the edge authentication request transmitted from the edge device 20 is correct (that is, whether or not it is stored in the storage unit 320). Further, the storage unit 320 in the third embodiment also stores edge information (that is, correct edge information) used for edge authentication.

＜認証処理（実施例３）＞
次に、実施例３における認証システム１で、端末１０がエッジ機器２０にアクセスするための認証処理の流れについて、図６を参照しながら説明する。図６は、実施例３における認証処理の一例を示すシーケンス図である。 <Authentication processing (Example 3)>
Next, in the authentication system 1 in the third embodiment, the flow of the authentication process for the terminal 10 to access the edge device 20 will be described with reference to FIG. FIG. 6 is a sequence diagram showing an example of the authentication process in the third embodiment.

まず、端末１０の情報入力部１１１は、ユーザ情報（ユーザＩＤ及びパスワード）と端末情報（端末ＩＤ及びパスワード）の入力を受け付ける（ステップＳ３０１）。端末１０のユーザは、例えば、当該端末１０上に表示された認証画面でユーザ情報及び端末情報を入力すればよい。 First, the information input unit 111 of the terminal 10 accepts input of user information (user ID and password) and terminal information (terminal ID and password) (step S301). The user of the terminal 10 may enter the user information and the terminal information on the authentication screen displayed on the terminal 10, for example.

なお、上記のステップＳ３０１では端末情報はユーザにより入力されるものとしたが、これに限られない。例えば、記憶部１２０に端末情報が記憶されている場合には、情報入力部１１１は、この端末情報を読み出してもよい。 In step S301 described above, the terminal information is input by the user, but the present invention is not limited to this. For example, when the terminal information is stored in the storage unit 120, the information input unit 111 may read the terminal information.

端末１０の情報入力部１１１は、ユーザ情報（ユーザＩＤ及びパスワード）及び端末情報（端末ＩＤ及びパスワード）の入力を受け付けると、これらのユーザ情報及び端末情報を該当のエッジ機器２０に送信する（ステップＳ３０２）。
エッジ機器２０のユーザ認証部２１１は、ユーザ情報及び端末情報を受信すると、ユーザ認証を行う（ステップＳ３０３）。すなわち、エッジ機器２０のユーザ認証部２１１は、このユーザ情報が記憶部２２０に記憶されているか否かを検証する。当該ユーザ情報が記憶部２２０に記憶されている場合、ユーザ認証部２１１は、ユーザ認証に成功したものとする一方で、当該ユーザ情報が記憶部２２０に記憶されていない場合、ユーザ認証部２１１は、ユーザ認証に失敗したものとする。以降では、ユーザ認証に成功したものとして説明を続ける。 When the information input unit 111 of the terminal 10 receives the input of the user information (user ID and password) and the terminal information (terminal ID and password), the information input unit 111 transmits the user information and the terminal information to the corresponding edge device 20 (step). S302).
Upon receiving the user information and the terminal information, the user authentication unit 211 of the edge device 20 performs user authentication (step S303). That is, the user authentication unit 211 of the edge device 20 verifies whether or not this user information is stored in the storage unit 220. When the user information is stored in the storage unit 220, the user authentication unit 211 assumes that the user authentication is successful, while when the user information is not stored in the storage unit 220, the user authentication unit 211 , It is assumed that user authentication has failed. In the following, the description will be continued assuming that the user authentication is successful.

次に、エッジ機器２０のワンタイムパスワード生成部２１３は、図４のステップＳ２０４と同様に、ユーザ認証に成功した場合、ワンタイムパスワードを生成する（ステップＳ３０４）。すなわち、ワンタイムパスワード生成部２１３は、記憶部２２０から計測値又は制御値を取得した上で、これらの計測値又は制御値を用いてワンタイムパスワードを生成する。 Next, the one-time password generation unit 213 of the edge device 20 generates a one-time password when the user authentication is successful, as in step S204 of FIG. 4 (step S304). That is, the one-time password generation unit 213 acquires the measured value or the control value from the storage unit 220, and then generates the one-time password by using the measured value or the control value.

次に、エッジ機器２０のエッジ認証要求部２１５は、エッジ認証要求を認証サーバ３０に送信する（ステップＳ３０５）。ここで、エッジ認証要求には、当該エッジ機器２０のエッジ情報（エッジＩＤ及びパスワード）と、上記のステップＳ３０２で端末１０から送信された端末情報と、上記のステップＳ３０４でワンタイムパスワードの生成に用いられた時刻情報とが含まれる。 Next, the edge authentication request unit 215 of the edge device 20 transmits the edge authentication request to the authentication server 30 (step S305). Here, the edge authentication request includes the edge information (edge ID and password) of the edge device 20, the terminal information transmitted from the terminal 10 in the above step S302, and the one-time password generation in the above step S304. Includes time information used.

認証サーバ３０のエッジ認証部３１４は、エッジ機器２０からエッジ認証要求を受信すると、エッジ認証を行う（ステップＳ３０６）。すなわち、認証サーバ３０のエッジ認証部３１４は、当該エッジ認証要求に含まれるエッジ情報が記憶部３２０に記憶されているか否かを検証する。当該エッジ認証要求に含まれるエッジ情報が記憶部３２０に記憶されている場合、エッジ認証部３１４は、エッジ認証に成功したものとする一方で、当該エッジ認証要求に含まれるエッジ情報が記憶部３２０に記憶されていない場合、エッジ認証部３１４は、エッジ認証に失敗したものとする。以降では、エッジ認証に成功したものとして説明を続ける。なお、エッジ認証に失敗した場合、エッジ認証に失敗したことを示す情報がエッジ機器２０に送信される。 When the edge authentication unit 314 of the authentication server 30 receives the edge authentication request from the edge device 20, it performs edge authentication (step S306). That is, the edge authentication unit 314 of the authentication server 30 verifies whether or not the edge information included in the edge authentication request is stored in the storage unit 320. When the edge information included in the edge authentication request is stored in the storage unit 320, the edge authentication unit 314 assumes that the edge authentication is successful, while the edge information included in the edge authentication request is stored in the storage unit 320. If it is not stored in, the edge authentication unit 314 assumes that the edge authentication has failed. In the following, the description will be continued assuming that the edge authentication is successful. If the edge authentication fails, information indicating that the edge authentication has failed is transmitted to the edge device 20.

認証サーバ３０のワンタイムパスワード生成部３１２は、エッジ認証が成功した場合、ワンタイムパスワードを生成する（ステップＳ３０７）。このとき、ワンタイムパスワード生成部３１２は、当該エッジ認証要求に含まれる時刻情報を用いて、上記のステップＳ３０４と同様の生成方法によりワンタイムパスワードを生成する。 The one-time password generation unit 312 of the authentication server 30 generates a one-time password when the edge authentication is successful (step S307). At this time, the one-time password generation unit 312 generates a one-time password by the same generation method as in step S304 described above, using the time information included in the edge authentication request.

認証サーバ３０の端末認証部３１１は、ワンタイムパスワードが生成されると、端末認証を行う（ステップＳ３０８）。すなわち、認証サーバ３０の端末認証部３１１は、当該エッジ認証要求に含まれる端末情報が記憶部３２０に記憶されているか否かを検証する。当該端末情報が記憶部３２０に記憶されている場合、端末認証部３１１は、端末認証に成功したものとする一方で、当該端末情報が記憶部３２０に記憶されていない場合、端末認証部３１１は、端末認証に失敗したものとする。以降では、端末認証に成功したものとして説明を続ける。なお、端末認証に失敗した場合、端末認証に失敗したことを示す情報がエッジ機器２０に送信される。 When the one-time password is generated, the terminal authentication unit 311 of the authentication server 30 performs terminal authentication (step S308). That is, the terminal authentication unit 311 of the authentication server 30 verifies whether or not the terminal information included in the edge authentication request is stored in the storage unit 320. When the terminal information is stored in the storage unit 320, the terminal authentication unit 311 assumes that the terminal authentication is successful, while when the terminal information is not stored in the storage unit 320, the terminal authentication unit 311 , It is assumed that the terminal authentication has failed. In the following, the description will be continued assuming that the terminal authentication is successful. If the terminal authentication fails, information indicating that the terminal authentication has failed is transmitted to the edge device 20.

次に、認証サーバ３０のワンタイムパスワード生成部３１２は、上記のステップＳ３０７で生成されたワンタイムパスワードを端末１０に送信する（ステップＳ３０９）。すなわち、ワンタイムパスワード生成部３１２は、当該エッジ認証要求に含まれる端末ＩＤが示す端末１０に対して、上記のステップＳ３０７で生成されたワンタイムパスワードを送信する。 Next, the one-time password generation unit 312 of the authentication server 30 transmits the one-time password generated in step S307 to the terminal 10 (step S309). That is, the one-time password generation unit 312 transmits the one-time password generated in step S307 to the terminal 10 indicated by the terminal ID included in the edge authentication request.

端末１０の情報入力部１１１は、ワンタイムパスワードを受信すると、このワンタイムパスワードをエッジ機器２０に送信する（ステップＳ３１０）。 When the information input unit 111 of the terminal 10 receives the one-time password, the information input unit 111 transmits the one-time password to the edge device 20 (step S310).

以降のステップＳ３１１〜ステップＳ３１２は、図４のステップＳ２１２〜ステップＳ２１３とそれぞれ同様であるため、その説明を省略する。 Subsequent steps S311 to S312 are the same as steps S212 to S213 of FIG. 4, and thus the description thereof will be omitted.

このように、実施例３における認証システム１では、認証サーバ３０でエッジ機器２０を認証した後にワンタイムパスワードを生成する。これにより、例えば、端末１０は、予め決められたエッジ機器２０（つまり、エッジ認証が成功するエッジ機器２０）に対してのみアクセスを行うことができるため、端末１０がエッジ機器２０にアクセスする際の認証に関するセキュリティをより向上させることができる。 As described above, in the authentication system 1 in the third embodiment, the one-time password is generated after the edge device 20 is authenticated by the authentication server 30. As a result, for example, the terminal 10 can access only the predetermined edge device 20 (that is, the edge device 20 for which edge authentication is successful), so that when the terminal 10 accesses the edge device 20. It is possible to further improve the security related to authentication.

［実施例４］
以降では、本発明の実施の形態の実施例４について説明する。なお、実施例４では、主に、実施例３との相違点について説明し、実施例３と同一の構成要素については同一の符号を付与し、重複した説明を省略するものとする。 [Example 4]
Hereinafter, Example 4 of the embodiment of the present invention will be described. In the fourth embodiment, the differences from the third embodiment will be mainly described, the same components as those in the third embodiment will be given the same reference numerals, and duplicate description will be omitted.

＜全体構成（実施例４）＞
まず、実施例４における認証システム１の全体構成について、図７を参照しながら説明する。図７は、実施例４における認証システム１の全体構成の一例を示す図である。 <Overall configuration (Example 4)>
First, the overall configuration of the authentication system 1 in the fourth embodiment will be described with reference to FIG. 7. FIG. 7 is a diagram showing an example of the overall configuration of the authentication system 1 in the fourth embodiment.

図７に示すように、実施例４における認証システム１には、１台以上の端末１０と、１台以上のエッジ機器２０と、監視制御システム６０とが含まれる。また、監視制御システム６０には、認証サーバ３０と、監視制御サーバ４０と、共有記憶部５０とが含まれる。 As shown in FIG. 7, the authentication system 1 in the fourth embodiment includes one or more terminals 10, one or more edge devices 20, and a monitoring control system 60. Further, the monitoring control system 60 includes an authentication server 30, a monitoring control server 40, and a shared storage unit 50.

ここで、実施例４における端末１０は、情報入力部１１１と、ワンタイムパスワード取得要求部１１２と、記憶部１２０とを有する。 Here, the terminal 10 in the fourth embodiment has an information input unit 111, a one-time password acquisition request unit 112, and a storage unit 120.

ワンタイムパスワード取得要求部１１２は、所定の時間間隔毎に、ワンタイムパスワードの取得要求を認証サーバ３０に送信する。すなわち、ワンタイムパスワード取得要求部１１２は、ポーリング等によってワンタイムパスワードが生成されているか否かを認証サーバ３０に問い合わせて、この問い合わせに対する結果としてワンタイムパスワードを取得する。 The one-time password acquisition request unit 112 transmits a one-time password acquisition request to the authentication server 30 at predetermined time intervals. That is, the one-time password acquisition requesting unit 112 inquires the authentication server 30 whether or not the one-time password is generated by polling or the like, and acquires the one-time password as a result of the inquiry.

＜認証処理（実施例４）＞
次に、実施例４における認証システム１で、端末１０がエッジ機器２０にアクセスするための認証処理の流れについて、図８を参照しながら説明する。図８は、実施例４における認証処理の一例を示すシーケンス図である。 <Authentication processing (Example 4)>
Next, in the authentication system 1 in the fourth embodiment, the flow of the authentication process for the terminal 10 to access the edge device 20 will be described with reference to FIG. FIG. 8 is a sequence diagram showing an example of the authentication process in the fourth embodiment.

図８のステップＳ４０１〜ステップＳ４０７は、図６のステップＳ３０１〜ステップＳ３０７とそれぞれ同様であるため、その説明を省略する。 Since steps S401 to S407 of FIG. 8 are the same as steps S301 to S307 of FIG. 6, the description thereof will be omitted.

認証サーバ３０の端末認証部３１１は、ワンタイムパスワードが生成されると、端末認証を行う（ステップＳ３０８）。すなわち、認証サーバ３０の端末認証部３１１は、当該エッジ認証要求に含まれる端末情報が記憶部３２０に記憶されているか否かを検証する。当該端末情報が記憶部３２０に記憶されている場合、端末認証部３１１は、端末認証に成功したものとする一方で、当該端末情報が記憶部３２０に記憶されていない場合、端末認証部３１１は、端末認証に失敗したものとする。 When the one-time password is generated, the terminal authentication unit 311 of the authentication server 30 performs terminal authentication (step S308). That is, the terminal authentication unit 311 of the authentication server 30 verifies whether or not the terminal information included in the edge authentication request is stored in the storage unit 320. When the terminal information is stored in the storage unit 320, the terminal authentication unit 311 assumes that the terminal authentication is successful, while when the terminal information is not stored in the storage unit 320, the terminal authentication unit 311 , It is assumed that the terminal authentication has failed.

そして、認証サーバ３０の端末認証部３１１は、端末認証が成功した場合、ステップＳ４０７で生成されたワンタイムパスワードを当該端末情報と対応付けて記憶部３２０に記憶させる。以降では、端末認証に成功したものとして説明を続ける。 Then, when the terminal authentication is successful, the terminal authentication unit 311 of the authentication server 30 stores the one-time password generated in step S407 in the storage unit 320 in association with the terminal information. In the following, the description will be continued assuming that the terminal authentication is successful.

端末１０のワンタイムパスワード取得要求部１１２は、所定の時間間隔毎に、ワンタイムパスワードの取得要求を認証サーバ３０に送信する（ステップＳ４０９）。ここで、ワンタイムパスワードの取得要求には、端末情報（端末ＩＤ及びパスワード）が含まれる。 The one-time password acquisition request unit 112 of the terminal 10 transmits a one-time password acquisition request to the authentication server 30 at predetermined time intervals (step S409). Here, the one-time password acquisition request includes terminal information (terminal ID and password).

認証サーバ３０の端末認証部３１１は、ワンタイムパスワードの取得要求を受信すると、当該取得要求に含まれる端末情報に対応付けられているワンタイムパスワードを記憶部３２０から取得し、取得したワンタイムパスワードを端末１０に送信する（ステップＳ４１０）。なお、当該取得要求に含まれる端末情報に対応付けられているワンタイムパスワードが記憶部３２０に記憶されていない場合、例えば、ワンタイムパスワードが生成されていないことを示す情報が端末１０に送信される。 When the terminal authentication unit 311 of the authentication server 30 receives the one-time password acquisition request, the terminal authentication unit 311 acquires the one-time password associated with the terminal information included in the acquisition request from the storage unit 320, and acquires the one-time password. Is transmitted to the terminal 10 (step S410). When the one-time password associated with the terminal information included in the acquisition request is not stored in the storage unit 320, for example, information indicating that the one-time password has not been generated is transmitted to the terminal 10. To.

以降のステップＳ４１１〜ステップＳ４１３は、図６のステップＳ３１０〜ステップＳ３１２とそれぞれ同様であるため、その説明を省略する。 Subsequent steps S411 to S413 are the same as steps S310 to S312 in FIG. 6, and their description thereof will be omitted.

このように、実施例４における認証システム１では、端末１０が認証サーバ３０にポーリングを行うことで、認証サーバ３０で生成されたワンタイムパスワードを当該端末１０が取得する。これにより、実施例３と同様に、端末１０がエッジ機器２０にアクセスする際の認証に関するセキュリティをより向上させることができる。 As described above, in the authentication system 1 in the fourth embodiment, the terminal 10 polls the authentication server 30, and the terminal 10 acquires the one-time password generated by the authentication server 30. Thereby, as in the third embodiment, the security related to the authentication when the terminal 10 accesses the edge device 20 can be further improved.

＜ハードウェア構成＞
最後に、本発明の実施の形態における認証システム１に含まれる各端末１０、各エッジ機器２０及び認証サーバ３０のハードウェア構成について説明する。これらの端末１０、エッジ機器２０及び認証サーバ３０は、例えば図９に示すコンピュータ９００のハードウェア構成を用いて実現可能である。また、監視制御サーバ４０及び共有記憶部５０も、例えば図９に示すコンピュータ９００のハードウェア構成を用いて実現可能である。 <Hardware configuration>
Finally, the hardware configuration of each terminal 10, each edge device 20, and the authentication server 30 included in the authentication system 1 according to the embodiment of the present invention will be described. These terminals 10, the edge device 20, and the authentication server 30 can be realized by using, for example, the hardware configuration of the computer 900 shown in FIG. Further, the monitoring control server 40 and the shared storage unit 50 can also be realized by using, for example, the hardware configuration of the computer 900 shown in FIG.

図９に示すコンピュータ９００は、入力装置９０１と、表示装置９０２と、外部Ｉ／Ｆ９０３と、ＲＡＭ（Random Access Memory）９０４と、ＲＯＭ（Read Only Memory）９０５と、プロセッサ９０６と、通信Ｉ／Ｆ９０７と、補助記憶装置９０８とを有する。これら各ハードウェアは、それぞれがバスＢを介して通信可能に接続されている。 The computer 900 shown in FIG. 9 includes an input device 901, a display device 902, an external I / F 903, a RAM (Random Access Memory) 904, a ROM (Read Only Memory) 905, a processor 906, and a communication I / F 907. And an auxiliary storage device 908. Each of these hardware is connected so as to be able to communicate with each other via the bus B.

入力装置９０１は、例えばキーボードやマウス、タッチパネル等である。表示装置９０２は、例えばディスプレイ等である。なお、エッジ機器２０や認証サーバ３０等は、入力装置９０１及び表示装置９０２の少なくとも一方を有していなくてもよい。 The input device 901 is, for example, a keyboard, a mouse, a touch panel, or the like. The display device 902 is, for example, a display or the like. The edge device 20, the authentication server 30, and the like do not have to have at least one of the input device 901 and the display device 902.

外部Ｉ／Ｆ９０３は、外部装置とのインタフェースである。外部装置には、記録媒体９０３ａ等がある。コンピュータ９００は、外部Ｉ／Ｆ９０３を介して、記録媒体９０３ａ等の読み取りや書き込み等を行うことができる。記録媒体９０３ａには、例えば、本発明の実施の形態における各実施例に記載した認証処理を実現する１以上のプログラムが記録されていてもよい。なお、記録媒体９０３ａとしては、例えば、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード、ＵＳＢメモリカード等がある。 The external I / F 903 is an interface with an external device. The external device includes a recording medium 903a and the like. The computer 900 can read or write the recording medium 903a or the like via the external I / F 903. For example, one or more programs that realize the authentication process described in each embodiment of the embodiment of the present invention may be recorded on the recording medium 903a. The recording medium 903a includes, for example, a CD (Compact Disc), a DVD (Digital Versatile Disk), an SD memory card, a USB memory card, and the like.

ＲＡＭ９０４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ９０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。 The RAM 904 is a volatile semiconductor memory that temporarily holds programs and data. The ROM 905 is a non-volatile semiconductor memory capable of holding programs and data even when the power is turned off.

プロセッサ９０６は、例えばＣＰＵ（Central Processing Unit）等である。本発明の実施の形態における各実施例に記載した認証処理は、１以上のプログラムがプロセッサ９０６に実行させることで実現される。 The processor 906 is, for example, a CPU (Central Processing Unit) or the like. The authentication process described in each embodiment of the embodiment of the present invention is realized by causing one or more programs to be executed by the processor 906.

通信Ｉ／Ｆ９０７は、コンピュータ９００を通信に接続するためのインタフェースである。補助記憶装置９０８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置９０８には、例えば、本発明の実施の形態における各実施例に記載した認証処理を実現する１以上のプログラムが格納されている。 The communication I / F 907 is an interface for connecting the computer 900 to the communication. The auxiliary storage device 908 is, for example, an HDD (Hard Disk Drive), an SSD (Solid State Drive), or the like, and is a non-volatile storage device that stores programs and data. The auxiliary storage device 908 stores, for example, one or more programs that realize the authentication process described in each embodiment of the embodiment of the present invention.

本発明の実施の形態における端末１０やエッジ機器２０、認証サーバ３０、監視制御サーバ４０、共有記憶部５０等は、図９に示すコンピュータ９００を用いて実現される。なお、本発明の実施の形態における端末１０やエッジ機器２０、認証サーバ３０、監視制御サーバ４０、共有記憶部５０等は、２以上のコンピュータ９００を用いて実現されてもよい。また、コンピュータ９００には、複数のメモリ（ＲＡＭ９０４、ＲＯＭ９０５、補助記憶装置９０８等）と複数のプロセッサ９０６とが含まれていてもよい。 The terminal 10, the edge device 20, the authentication server 30, the monitoring control server 40, the shared storage unit 50, and the like in the embodiment of the present invention are realized by using the computer 900 shown in FIG. The terminal 10, the edge device 20, the authentication server 30, the monitoring control server 40, the shared storage unit 50, and the like in the embodiment of the present invention may be realized by using two or more computers 900. Further, the computer 900 may include a plurality of memories (RAM 904, ROM 905, auxiliary storage device 908, etc.) and a plurality of processors 906.

＜まとめ＞
以上のように、本発明の実施の形態における認証システム１は、ユーザ情報だけでなく、端末情報も用いて、ワンタイムパスワード認証を行う。このため、万が一、ユーザ認証が漏えい等したとしても、エッジ機器２０に不正にアクセスされる事態を防止することができ、より高いセキュリティを実現することが可能となる。また、例えば、実施例２では、エッジ機器２０が認証サーバ３０と通信する必要がないため、エッジ機器２０がオフライン状態（すなわち、エッジ機器２０が通信ネットワークＮ２に接続されていない状態）であっても、端末１０は、当該エッジ機器２０にアクセスすることが可能となる。 <Summary>
As described above, the authentication system 1 according to the embodiment of the present invention performs one-time password authentication using not only user information but also terminal information. Therefore, even if the user authentication is leaked, it is possible to prevent the edge device 20 from being illegally accessed, and it is possible to realize higher security. Further, for example, in the second embodiment, since the edge device 20 does not need to communicate with the authentication server 30, the edge device 20 is in the offline state (that is, the edge device 20 is not connected to the communication network N2). Also, the terminal 10 can access the edge device 20.

本発明は、具体的に開示された上記の実施の形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更が可能である。 The present invention is not limited to the above-described embodiments specifically disclosed, and various modifications and modifications can be made without departing from the description of the scope of claims.

１認証システム
１０端末
２０エッジ機器
３０認証サーバ
４０監視制御サーバ
５０共有記憶部
６０監視制御システム
１１１情報入力部
１１２ワンタイムパスワード取得要求部
１２０記憶部
２１１ユーザ認証部
２１２ワンタイムパスワード照合要求部
２１３ワンタイムパスワード生成部
２１４ワンタイムパスワード認証部
２１５エッジ認証要求部
２２０記憶部
３１１端末認証部
３１２ワンタイムパスワード生成部
３１３ワンタイムパスワード照合部
３１４エッジ認証部
３２０記憶部 1 Authentication system 10 Terminal 20 Edge device 30 Authentication server 40 Monitoring control server 50 Shared storage unit 60 Monitoring control system 111 Information input unit 112 One-time password acquisition request unit 120 Storage unit 211 User authentication unit 212 One-time password verification request unit 213 One Time password generator 214 One-time password authentication unit 215 Edge authentication request unit 220 Storage unit 311 Terminal authentication unit 312 One-time password generation unit 313 One-time password verification unit 314 Edge authentication unit 320 Storage unit

Claims

An authentication system including one or more terminals, one or more devices to be accessed by the terminals, and an authentication server that authenticates the terminals.
A first authentication means for performing a first authentication for authenticating the user using the user information of the user who uses the terminal, and
When the first authentication by the first authentication means is successful, the second authentication means for performing the second authentication for authenticating the terminal by using the terminal information of the terminal, and the second authentication means.
If the second authentication by the second authentication means is successful, the third authentication means that performs the third authentication using the one-time password and the third authentication means.
An authentication system characterized by having.

Each device has a storage means for storing the history of the one-time password.
The third authentication means is
The authentication according to claim 1, wherein the third authentication is performed by verifying whether or not the one-time password transmitted to the device to be accessed by the terminal is stored in the storage means. system.

A character string obtained by combining a time information indicating the time when the device to be accessed by the terminal receives the user information and a random character string having a predetermined number of characters is generated as the one-time password and stored in the storage means. The authentication system according to claim 2, further comprising a first generation means for storing.

The device is a control device that controls a predetermined control target.
The claim is characterized in that it has a second generation means for generating the one-time password by using at least one of the measured value measured by the controlled object and the control value for controlling the controlled object. The authentication system according to 1.

The second generation means is
The authentication system according to claim 4, wherein the one-time password is generated by using at least one of the measured value and the control value in a predetermined number before a predetermined time point.

The third authentication means is
4. The third authentication is performed by verifying whether or not the one-time password generated by the authentication server and the one-time password generated by the device match. The authentication system according to 5.

An authentication method used in an authentication system that includes one or more terminals, one or more devices that are access targets of the terminals and controls a predetermined control target, and an authentication server that authenticates the terminals.
The first authentication procedure for performing the first authentication for authenticating the user by using the user information of the user who uses the terminal, and
When the first authentication is successful in the first authentication procedure, the second authentication procedure for performing the second authentication for authenticating the terminal by using the terminal information of the terminal, and the second authentication procedure.
If the second authentication is successful in the second authentication procedure, a one-time password is generated using at least one of the measured value measured by the controlled object and the control value for controlling the controlled object. Generation procedure and
A third authentication procedure for performing a third authentication using the one-time password generated in the generation procedure, and
Authentication method with.