JP2020514919A - アクセス制御の方法 - Google Patents

Abstract

或るデバイスへのアクセスを制御する方法であって、アクセスは、認可済み鍵を有する人物によってオープンされるロック１０によってブロックされ、以下のステップを有する、方法。以下のステップとはすなわち、識別プロセスにおいて、その人物が、電子リーダー１を用いて、特に公的なセンターによって証明済みのアイデンティティ文書によって自身を識別して、アイデンティティ文書に関連付けられた秘密コードを入力し、アイデンティティ文書上に記憶されたアイデンティティデータが、アイデンティティデータを用いて人物のアイデンティティを確認するための基礎として入力されたコードを受け取る公的に管理されたアイデンティティサーバー３に送信され、このアイデンティティサーバー３は、確認が行われた後、そのデバイスに関連付けられたアクセスサーバー５に真正性情報を送信し、したがって、アクセスサーバー５の真正性を証明し、認可プロセスにおいて、証明済みのアクセスサーバー５が、利用可能な真正性情報を用いて認可済み鍵を生成し、この鍵を、その人物がアクセス可能な端末８に送信し、したがって、端末８の真正性を証明し、アプリケーションプロセスにおいて、その人物が、端末８上で得られた認可済み鍵を用いてロック１０をオープンする、ステップである。【選択図】図１

Description

本発明は、アクセスがロックによってブロックされる或る施設へのアクセスを制御する方法に関する。アクセスシステムは、認可済み鍵を有する人物によってのみオープンすることができる。また、本発明は、そのようなアクセス制御を実施するシステムに関する。

これらのタイプの方法は、建築物及びシステムのような物理的な「現実の（real）」施設へのアクセスを防御する（protect）だけでなく、これらの方法は、コンピューターシステムによって形成されるデジタル「仮想（virtual）」施設も保護する（secure）。それゆえ、「ロック」及び「鍵」という特徴は、機械的な意味でのみ理解されるべきものではなく、コンピューターシステムへの電子アクセスにも関連する。「セキュリティ」の話題は、特にデジタル世界において、種々の機密システムに対するハッカーによる攻撃の成功が再三にわたり明るみに出た後、最近では中心的な話題となっている。また、少数の事例のみが明るみに出ているものとしても、現実世界において対応する非認可のアクセスが試みられている。

現実領域のような防御された施設、特に部屋、建築物、及び土地（grounds）へのアクセス、又は、ウェブベースサービス、サービス、フォーム、及び情報のような防御された仮想領域へのアクセスを得るために、複雑な方法ステップを経なければならない。それゆえ、最初に、どの人物が、いつ、どこで、そしてなぜアクセスを得ることができるのかが規定されなければならない（「アクセス問題（access issues）」）。次いで、第２のステップにおいて、それぞれのアクセス問題に関連付けられた人物のアイデンティティ（identity：識別情報、身元情報）が検証され、その後、別のステップにおいて、鍵、カード、トークンの形態におけるアクセス手段、又はアクセス方法によって個人が許可される。その場合、発行されたアクセス手段は、これらの使用について監視されなければならない。喪失時には、アクセス手段は交換しなければならず、したがって、ロックが交換されるか又はブロックされ、新たなパスワードが発行される。加えて、発行されたアクセス手段は、管理され、最後には返却されなければならない。

例えば、特許文献１において、サーバー上の電子サービスへのユーザーのアクセスを制御する方法が開示されており、特許文献１は、原理として、コード及び追加コードを用いる２方向認可を表しており、これは、モバイルＴＡＮ方法及びＳＭＳ ＴＡＮ方法から既知である。

主要な問題は、今日に至るまで、アクセス問題の状況において人物のアイデンティティをデジタル上で連続的に検証することが可能になっていないことである。それゆえ、個々の方法ステップ及び／又はサポート手段の間で仲介を行うために何度も人員が用いられなければならない（正：must be used）。既存の媒体侵入を補償するために、複雑で、快適でなく、かつ安全でない方法が時として用いられる。

これに関して、電子サービスへのアクセス又は建築物へのアクセスのために識別情報と識別情報コードとによって、中央サーバーにおいてユーザーが認証される方法が、特許文献２から既知である。

米国特許出願公開第２００３／０１７２２７２号 欧州特許出願公開第２５４４１５５号

それゆえ、本発明の目的は、実施に費用がかからずかつ運用が容易であるシンプルな手段を含むとともに、現実環境及び「仮想」環境への非認可のアクセスに対するセキュリティの強化を提供するアクセス方法を生み出すことである。加えて、目標は、アクセス制御の対応するシステムを生み出すことである。

これらの問題は、請求項１に記載の特徴を含む方法と、請求項７に記載の特徴を含むシステムとによって解決される。それぞれの従属請求項において有利な実施形態が列挙される。

本発明の重要で根本的な着想はまず、既に証明された手段、すなわち、「真正性（authenticity：正規性、正当性）」が認識された手段が、他の手段を証明するということにある。したがって、或る手段は、コピーされ得ない場合、「真正性」を有する。それゆえ、自己充足型のセキュリティリングが生じ、ここで、複数のそのようなセキュリティリングが、本発明に従って互いに仮想的にリンクされる。したがって、方法は、或る人物の証明済みのアイデンティティ文書から開始し、このアイデンティティ文書を用いて、この人物は、これに対応して提供されるアクセスポイントにおいて識別される。それゆえ、本発明は、「高セキュリティチェーン」を有する「ＳＩＤアクセス」（セキュアアイデンティティアクセス）としても指定することができる。

本発明によれば、システムへのアクセスを制御する対応する方法は、以下の３つのプロセスステップにおいて実施される。

第１のステップにおいて、識別プロセスが実行され、このプロセスにおいて、システムへのアクセスを望む人物が、当該人物に割り当てられるものとして証明済みのアイデンティティ文書を用いて識別される。公的機関によって証明済みの個人文書（Public authority certified personal documents）、例えば、電子可読個人識別カード（ｅＩＤ）を、特にアイデンティティ文書として用いることができる。アイデンティティ文書には、その人物にのみ知らされている秘密コードが割り当てられる。そのようなアイデンティティ文書を用いることで、その人物は、対応するリーダーを使用し、リーダーは、例えば、アイデンティティ文書上に記憶された個人データを読み取る。加えて、その人物は、例えばＰＩＮの形態における秘密コードを入力する。

個人データは、秘密コードとともに第１の「真正性」を形成するが、この真正性は、対応するポイントによって最初に検証されなければならない。このために、個人データは、データラインを介してアイデンティティサーバーに送信され、このアイデンティティサーバーは、政府機関によって制御することができる。アイデンティティサーバーは、個人データ及び入力されたコードが同じ所属であり、実行時点においてブロックされていないことを保証する。これが当てはまる場合、真正性情報が、アイデンティティサーバーによって生成されるとともに、データラインを介して、アクセスが望まれるシステムのアクセスサーバーに送信される。真正性情報は、アクセスサーバーを証明し、このことにより、これが仮想的に「真正」になる。このようにして、アクセスサーバーを操作する一企業は、政府によって証明済みの真正性を後続処理にインポートすることができる。

したがって、リーダー、アイデンティティサーバー、及びアクセスサーバーは、進行中の識別プロセス中、この識別プロセスに関して互いとのデータ交換のために利用可能であり、それゆえ、第１のセキュリティリングを形成することが提供される。それゆえ、アクセスサーバーは、一方ではリーダーから個人データを受信するとともに、他方では、アイデンティティサーバーから、その人物が、アイデンティティ文書が発行された人物に対応することをサーバーに確認する真正性情報を受信することができる。

別のステップにおいて、ここで認可プロセスが実行され、このプロセスにおいて、施設へのアクセスを望む人物は、認可済み鍵を有する。このために、現在証明済みのアクセスサーバーは、現在の真正性情報に基づいてそのような認可済み鍵を生成し、この鍵を、その人物がアクセス可能な端末、特にその人物に割当てられた移動端末、例えばその人物が所有するスマートフォンに送信する。この鍵を受信すると、移動端末も現在証明され、この移動端末が自身の「真正性」を有する結果となる。

既に説明したように、「ロック」及び「鍵」という特徴は、機械的な意味でのみ理解されるべきものではなく、コンピューターシステムへの電子アクセスにも関連する。これに応じて、「施設」という特徴は、現実のシステム及び仮想システムの双方を含む。

本発明による方法の特別な特徴は、移動端末を、システムに関連付けられていない、その人物が所有するスマートフォン等の移動端末とすることができることである。移動端末に鍵を送信することができるようにするために、その移動端末の電子アドレス、例えば、電話番号又は電子メールアドレスが、システム、ひいてはアクセスサーバーに知らされていなければならない。したがって、スマートフォン上に特別なアプリケーション（「アプリ（app）」）がインストールされることが考えられ、このアプリは、システムとのそのような通信のために設計されるものである。

識別プロセスと同様に、認可プロセスの範囲内で、リーダー、アクセスサーバー、及び移動端末から構成された３つ組（triplet）が、進行中の認可プロセス中、互いとのデータ交換のために利用可能であり、それゆえ、第２のセキュリティリングを形成することも提供される。

本発明による方法の最後のステップは、アプリケーションプロセスと記述することができる。このステップにおいて、その人物は、移動端末上に位置する認可済み鍵を用いて、機械的なロック又は「仮想」ロックをオープンし、したがって、システムにアクセスする。この事例において、アクセスサーバー、移動端末、及びロックが、進行中の認可プロセス中、互いとのデータ交換のために利用可能であり、それゆえ、第３のセキュリティリングを形成する場合、これも有利である。

最初の３つのステップに加えて、検証プロセスの形態における別のステップを提供することが更に有利である。したがって、ロックのオープンは、任意の時点において全てのアクセスを復元することが可能であるために、ログ記録サーバーによって、認可済み鍵のアイデンティティに関連してログ記録される。アクセスサーバー、ロック、及びログ記録サーバーは全て、進行中の認可プロセス中、互いとのデータ交換のために利用可能であり、それゆえ、第４のセキュリティリングを形成することができる。また、全般的に、その人物がシステムを去ると、このことの登録及び／又はログ記録が行われる。それゆえ、誰がシステムにいるのか、又はシステムにいたのかをそれぞれ任意の時点において監視することができる。検証プロセスを用いて、全てのアクセスが合法的に追跡可能である。

本発明による「高セキュリティチェーン」を用いることによって、アナログ世界においてそのようなシステムへのアクセスのために必要であった、従前の面倒なプロセスステップがなくなり、状況に適した識別によってデジタル世界に再配置される（「ＩｏＴ」及び「ＩＩｏｔ」というキーワード）。したがって、アクセスシステムの新たな次元が、自己管理制御（self-administration）を用いて生み出される。現実世界から、例えば国民登録（population register：戸籍登録）から、或る人物のアイデンティティの一意かつ永続的に証明された立証（proof）を用いることによって、従前ではアイデンティティ文書及び関連付けられた人物の目視検査を用いた非常に面倒なプロセスの後にのみ許可することができた自発的アクセスを許可することができる。

一方で、本発明による方法の利点は、特に、少なくとも３重の、有利には４重の個々のステップのセキュリティチェーン化の使用、すなわち、それぞれ「識別／認証」、「認可」「アプリケーション」、及び任意選択で「検証／正当化」のセキュリティリングの使用に起因した、高レベルのセキュリティにある。利用可能な、公的に管理されたアイデンティティカード及び関連付けられたリーダー（セキュアアイデンティティアクセス−ＳＩＤアクセス）及び基盤となる公的に管理されたインフラストラクチャを用いることによって、最高セキュリティを保証することができる。公的に管理されたインフラストラクチャは、有利にはアイデンティティサーバーを形成する公的に管理されたｅＩＤサーバーを含む。加えて、コピー不能なアイデンティティカード、特に、電子個人ＩＤ、及びデータ送信の一般的な暗号化を用いることができる。したがって、公的に管理された証明書は、公的に管理されたインフラストラクチャを用いて全ての参加者にとって利用可能である。それゆえ、喪失時には即時ブロックが可能であるように、全国使用禁止リスト（country-wide banned list）にアクセスすることができる。

本発明は、電子証明を有する公的に管理されたＩＤカードに限定されない。例えば、そのようなＩＤが存在しない国々における民間サービスプロバイダーは、公的に管理されたタスクを委託されてそのようなアイデンティティカードを発行することができる。

別の利点は、新たな「イントラセク（intrasec）」及び「インターセク（intersec）」プラットフォームを開発することができることにある。それゆえ、大企業については、アクセスサーバーをイントラセクプラットフォームとして社内で運用することができ（正；may be operated）、一方で、中小企業は、プロバイダーによって運用されるイントラセクプラットフォームにアクセスすることができる。別の利点は、本発明が、モバイルにも（スマートフォンによるアクセス）静止的にも（利用可能な端末によるアクセス）実施することができることにある。加えて、優先権利及び役割の許可による高モジュール性、及びまた空間的及び時系列的な高可変性が保証される。特に、恣意的に決定された時間後に認可済み鍵をブロックすることができる（タイムアウト）。システムは、加えて、非常に多様的である。すなわち、システムは、任意のアプリケーションにおいて実施することができ、したがって、現在及び未来のデジタル世界に完全に統合することができる。

非常に重要な利点は、システムの高拡張性にある。究極的には、全ての市民がアイデンティティカードを所有し、ここで、全てのアイデンティティカードは、将来的にｅＩＤを備えることができる。それゆえ、ドイツ単独でも、２０２０年には、７０００万枚もの、ｅＩＤを有する新規の個人アイデンティティカードが流通することが試算され得る。したがって、システムは国境において留まるものではなく、相互連携を有する国々、特に欧州連合において用いることができる。

最後に、完全に電子的なプロセス構成が理由で、本発明を用いると、時間的プロセス及び機械の費用において大幅な節約を実現することができる。

本発明は、以下で、図面を用いてより詳細に説明される。

本発明のシステムを概略的に示す図である。

以下において、本発明は、或る施設のアクセス管理の物理的方法の例を用いて提示される。図面は、その施設の個々のエンティティを概略的に示しており、これらのエンティティは、それぞれ、これらのエンティティの相互作用において、その方法を実施する手段である。本発明は、ＶＰＮトンネルを介して接続されることでトータルセキュリティを高める複数の個々のコンポーネントを有する閉じたトータルシステムを形成する。

これらの個々のコンポーネントは、最初は、例えば６桁のＰＩＮの形態において秘密コードが一意に割り当てられる、或る人物の個人アイデンティティ文書である。アイデンティティ文書は、電子リーダー１によって読み取ることができ、この事例において、電子リーダー１は、その人物に、ＰＩＮを入力する可能性も提供する。アイデンティティ文書は、コピー不能な、公的に管理された電子アイデンティティカードであり（例えばドイツ個人ＩＤ）、これは、閉じた改ざん防止の方法で、リーダー１の形態における関連端末とともに用いられる。したがって、「改ざん防止」は、リーダー１のオペレーティングシステムがリードオンリーメモリからロードされることを意味する。各新たな立ち上げプロセスの後に、マルウェアを一切伴わない「真正な（authentic）」オリジナル状態が生成される。したがって、端末としてのリーダー１がこのように構成されるので、これは、ネットワークを介した外部からのアクセスが不可能である。全ての接続は、リーダー１からのみ外的に繋がっている。

読み出された個人データは、保護されたデータライン２を介してアイデンティティサーバー３（ｅＩＤサーバー）に送信される。アイデンティティサーバー３は、入力されたコードに基づいて、個人データを用いてその人物のアイデンティティを検証し、任意選択でこれを確認する。アイデンティティサーバー３は、コピー不能なハードウェアセキュアモジュール（ＨＳＭ）を有し、それゆえ、トータルシステムの別の「真正な」コンポーネントである。このアイデンティティサーバーは、一国の政府によって管理された国民登録への論理接続を有する。

検証に成功すると、アイデンティティサーバー３は、真正性情報を、データライン４を介して、システムに割り当てられたアクセスサーバー５に送信する。アクセスサーバー５は、ＶＰＮトンネル６を介してその一部がリーダー１に接続される。

認可プロセスにおいて、証明済みのアクセスサーバー５は、真正性情報を用いて、認可済み電子鍵（例えばトークン）を生成し、この鍵を、ＶＰＮトンネル７を介して、システムへのアクセスを求めている人物の私有スマートフォン８に送信する。スマートフォン８は、リーダー１に、接続９を通して電子的に又は光学的にコンタクトすることができる。スマートフォン８は、閉じたトータルシステムのコンポーネントではなく、任意の保護されていない端末を、その鍵のキャリア媒体として用いることができるようになっている。アプリケーションプロセスにおいて、その人物は、スマートフォン８上に位置する認可済み鍵を用いてロック１０をオープンする。この目的のために、スマートフォン８及びロック１０は、データがライン１１を介して搬送されるように接続される。この事例において、ライン１１は、光学的パスとすることもできる。それゆえ、ロック１０は、スマートフォン８及びアクセスサーバー５から制御され、アクセスサーバー５により、データライン１２を介して所望のアクセスが開放される。

それと同時に、ロック１０は、データライン１３を介してログ記録情報をログ記録サーバー１４に送信し、ログ記録サーバー１４は更にデータライン１５を介してアクセスサーバー５に接続される。ログ記録サーバーは、後に必要となり得る証拠のためのログ記録インスタンスとして機能する。誰がどのアクセス認可をどの人物に、いつ、及びなぜ許可したのか、そしてこの人物がアクセス認可をどのように用いたのかが、記憶されたデータから明らかである。

個々のコンポーネントは、４つのセキュリティリング（Ｃ１〜Ｃ４）において相互作用し、これらのセキュリティリングの各々は、常に、近傍の循環系統との相互パスを有する。それゆえ、４つの高保護要素から１つのチェーン（高セキュリティチェーン（ＨＳＣ））が作成される。第１のセキュリティリングＣ１は、識別を表し、第２のセキュリティリングＣ２は、認可を表し、第３のセキュリティリングＣ３は、アプリケーションを表し、そして第４のセキュリティリングＣ４は、検証を表す。トータルアーキテクチャＳＩＤアクセスにおける分散した個々のコンポーネントの相互関係は、図面によって明示される。

各セキュリティリングは、少なくとも３つのコンポーネントからなり、そのサイクル中の認証を表す。一サイクルの真正性は、各事例においてこのように確立され、第３の真正性は、２つの真正性から生成される。この第３の真正性は、最初の２つの真正性のうちの一方とともに、次のセキュリティリングのための認証の２つ組（duo）を表す。本発明による高セキュリティチェーンは、図示されるセキュリティチェーンにおいて、この事例では公的に管理されたシステムから私的アプリケーションまで、システム世界にわたって真正性をトランスポートすることが可能である。セキュリティチェーンの端点におけるログ記録インスタンスは、プロセスを登録する。ブロックチェーンと同様に、個々のプロセスが検出可能に融合される。それゆえ、このチェーンは、その起点とともに再び統合される。

セキュリティリングＣ１において、識別は、リーダー１及びアイデンティティサーバー３からなるカプセル化システムの接続によって保証される。この接続は、２つの接続４及び６によってセキュリティリングＣ１内に閉じられる。

ブラウザーセッションの持続時間の間、リーダー１からアクセスサーバー５への既存の接続は真正性を有し、したがって、信頼に足るものである。この接続において、リーダー１及びアクセスサーバー５は、真正性を有し、それゆえ、それらの循環の中に鍵８を受け入れることができる。このように、認可のセキュリティリングＣ２が閉じられる。鍵８及びアクセスサーバー５を通した、関連付けられた、セキュアに暗号化された秘密の記憶は、次のセキュリティリングＣ３、アプリケーションのための２つの追加の真正コンポーネントを永続的に表す。

鍵８及びアクセスサーバー５の協調された秘密は、後の時点におけるセキュリティリングＣ３のアクティベーションを可能にする。ここで、鍵８及びロック１０は、セキュリティリングＣ３に位置し、これは、ＳＩＤアクセスが可能になることを意味する。したがって、アクセス自体は、セキュリティリングＣ３において新たに構成された真正性である。

本発明による高セキュリティチェーンを保護するために、第４のセキュリティリングＣ４が用いられる。「ロックがオープンされる」ことの真正性は、アクセスサーバー５によって準備され、ロック１０によってログ記録サーバー１４にシグナリングされる。ログ記録サーバー１４におけるログ記録エントリが接続内で比較及び記憶された後、アクセスサーバー５は、対応する信号を受信して、ロックを確実にオープンする。

Claims (8)

1. 或る施設へのアクセスを制御する方法であって、アクセスは、認可済み鍵を有する人物によってオープンされるロック（１０）によってブロックされ、
   以下のステップ、すなわち、
   識別プロセスにおいて、
   前記人物が、電子リーダー（１）を用いて証明済みのアイデンティティ文書によって自身を識別して、前記アイデンティティ文書に関連付けられた秘密コードを入力し、
   前記アイデンティティ文書上に記憶されたアイデンティティデータが、前記入力されたコードに基づいて該アイデンティティデータを用いて前記人物の前記アイデンティティを確認するアイデンティティサーバー（３）に送信され、
   確認成功後、前記アイデンティティサーバー（３）が、前記施設に関連付けられたアクセスサーバー（５）に真正性情報を送信し、
   前記リーダー（１）、前記アイデンティティサーバー（３）、及び前記アクセスサーバー（５）は、進行中の該識別プロセス中、該識別プロセスに関して互いとのデータ交換のために利用可能であり、
   認可プロセスにおいて、
   前記アクセスサーバー（５）が、利用可能な前記真正性情報を用いて認可済み鍵を生成し、
   前記鍵を、前記人物がアクセス可能な端末（８）に送信し、前記リーダー（１）、前記アクセスサーバー（５）、及び前記端末（８）は、進行中の該認可プロセス中、該認可プロセスに関して互いとのデータ交換のために利用可能であり、
   アプリケーションプロセスにおいて、
   前記人物が、前記端末（８）上に格納された前記認可済み鍵を用いて前記ロック（１０）をオープンする、
   ステップを特徴とする、方法。
2. 前記アクセスサーバー（５）、前記端末（８）、及び前記ロック（１０）は、進行中の前記アプリケーションプロセス中、該アプリケーションプロセスに関して互いとのデータ交換のために利用可能であることを特徴とする、請求項１に記載の方法。
3. 前記認可済み鍵は、所定の期間の後ブロックされる（タイムアウトになる）ことを特徴とする、請求項１又は２に記載の方法。
4. 検証プロセスにおいて、前記ロック（１０）の前記オープンは、前記認可済み鍵の前記アイデンティティに関連してログ記録サーバー（１４）によってログ記録されることを特徴とする、請求項１〜３のいずれか１項に記載の方法。
5. 前記アクセスサーバー（５）、前記ロック（１０）、及び前記ログ記録サーバー（１４）は、進行中の前記検証プロセス中、該検証プロセスに関して互いとのデータ交換のために利用可能であることを特徴とする、請求項４に記載の方法。
6. 前記鍵は、前記人物に割り当てられた、該人物の移動端末（８）に送信されることを特徴とする、請求項１〜５のいずれか１項に記載の方法。
7. アクセスがロック（１０）によってブロックされるとともに、認可済み鍵を有する人物によってオープンされる或る施設への前記アクセスを制御するシステムであって、
   各事例において個人に一意に関連付けられた証明済みのアイデンティティ文書と、
   前記アイデンティティ文書上に存在する前記個人アイデンティティデータを読み取るとともに、該アイデンティティ文書に関連付けられた秘密コードを入力する電子リーダー（１）と、
   前記入力されたコードに基づいて前記アイデンティティデータを用いて前記人物の前記アイデンティティを確認するとともに、真正性情報を生成するアイデンティティサーバー（３）と、
   前記施設に関連付けられたアクセスサーバー（５）と、
   前記証明済みのアクセスサーバー（５）によって認可された現在の真正性情報を有する鍵と、
   前記人物がアクセス可能な端末（８）と、
   前記端末上に格納された前記認可済み鍵を用いてオープンされるロック（１０）と、
   を有し、
   前記リーダー（１）、前記アイデンティティサーバー（３）、及び前記アクセスサーバー（５）間のデータ伝達接続によって形成された第１のセキュリティリングと、
   前記リーダー（１）、前記アクセスサーバー（５）、及び前記端末（８）間のデータ伝達接続によって形成された第２のセキュリティリングと、
   前記アクセスサーバー（５）、前記端末（８）、及び前記ロック（１０）間のデータ伝達接続によって形成された第３のセキュリティリングと、
   を特徴とし、
   各２つの隣接したセキュリティリングは、前記アクセス制御のために互いにデータ伝達接続にある、システム。
8. 前記アクセスサーバー（５）、前記ロック（１０）、及びログ記録サーバー（１４）間のデータ伝達接続によって形成された第４のセキュリティリングであって、前記アクセス制御中、前記第３のセキュリティリングとのデータ伝達接続にある、第４のセキュリティリングを特徴とする、請求項７に記載のシステム。

Images