JP2023030513A - 通信システム、通信方法及びプログラム - Google Patents

通信システム、通信方法及びプログラム Download PDF

Info

Publication number
JP2023030513A
JP2023030513A JP2021135687A JP2021135687A JP2023030513A JP 2023030513 A JP2023030513 A JP 2023030513A JP 2021135687 A JP2021135687 A JP 2021135687A JP 2021135687 A JP2021135687 A JP 2021135687A JP 2023030513 A JP2023030513 A JP 2023030513A
Authority
JP
Japan
Prior art keywords
user terminal
connection
communication
unit
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2021135687A
Other languages
English (en)
Inventor
奈都美 藤村
Natsumi Fujimura
広志 太田
Hiroshi Ota
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ricoh Co Ltd
Original Assignee
Ricoh Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ricoh Co Ltd filed Critical Ricoh Co Ltd
Priority to JP2021135687A priority Critical patent/JP2023030513A/ja
Priority to US17/818,787 priority patent/US20230059180A1/en
Publication of JP2023030513A publication Critical patent/JP2023030513A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

【課題】接続可能な端末を制限する通信システムを提供する。【解決手段】ユーザ端末５と通信サーバ２とを含む通信システムにおいて、ユーザ端末５の認証要求部５０１は、通信サーバ２へ認証を要求する。通信サーバ２の認証処理部２０１は、認証の結果を得る。通信サーバ２のブラウザＩＤ発行部２０２は、認証の結果に応じて識別情報を発行する。ユーザ端末５の接続要求部５０３は、認証に成功した場合に通信サーバ２が発行するユーザ端末５を識別する識別情報を、通信サーバ２へ送信して接続を要求する。通信サーバ２の接続判定部２０４は、ユーザ端末５から受信した識別情報に基づいて接続を許可するか否かを判定する。【選択図】図３

Description

この発明は、通信システム、通信方法及びプログラムに関する。
ウェブアプリケーションでは、ユーザＩＤ及びパスワードを用いた認証に加えて、異なる要素を用いた多要素認証が行われることがある。
例えば、特許文献１には、証明書を用いた第１の認証とユーザＩＤ及びパスワードを用いた第２の認証とを実行する認証システムが開示されている。
しかしながら、特許文献１に開示された認証システムは、クライアント端末からの要求に応じて証明書を発行するため、任意のユーザが任意の端末で証明書を取得することができる、という課題がある。
この発明の一実施形態は、上記のような技術的課題に鑑みて、接続可能な端末を制限することのできる通信システムを提供することを目的とする。
上記の課題を解決するために、この発明の一実施形態の通信システムは、ユーザ端末と通信サーバとを含む通信システムであって、ユーザ端末は、通信サーバへ認証を要求する認証要求部と、認証に成功した場合に通信サーバが発行する、ユーザ端末を識別する識別情報を通信サーバへ送信して接続を要求する接続要求部と、を備え、通信サーバは、認証の結果を得る認証処理部と、認証の結果に応じて識別情報を発行する識別情報発行部と、ユーザ端末から受信した識別情報に基づいて接続を許可するか否かを判定する接続判定部と、を備える。
この発明の一実施形態によれば、接続可能な端末を制限することのできる通信システムを提供することができる。
第１実施形態における通信システムの全体構成を例示する図である。 一実施形態におけるコンピュータのハードウェア構成を例示する図である。 第１実施形態における通信システムの機能構成を例示する図である。 第１実施形態における通信方法の処理手順を例示する図である。 第２実施形態における通信システムの全体構成を例示する図である。 第２実施形態における通信システムの機能構成を例示する図である。 第２実施形態における通信方法の処理手順を例示する図である。 第２実施形態におけるハードウェア固有情報の一例を示す図である。 第２実施形態における接続可否判定表の一例を示す図である。 第３実施形態における通信システムの全体構成を例示する図である。 第３実施形態における通信システムの機能構成を例示する図である。 第３実施形態における通信方法の処理手順を例示する図である。 第４実施形態における通信システムの全体構成を例示する図である。 第４実施形態における通信システムの機能構成を例示する図である。 第４実施形態における通信方法の処理手順を例示する図である。
以下、図面を参照しながら、この発明の実施の形態について、詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
［第１実施形態］
この発明の第１実施形態は、通信サーバがユーザ端末へリモートデスクトップ接続を提供する通信システムである。第１実施形態における通信システムは、例えばユーザＩＤ及びパスワードによる認証に成功したユーザ端末であって、所定の条件を満たすユーザ端末のみにリモートデスクトップ接続を許可する。所定の条件とは、例えば、社外のネットワークからリモートデスクトップ接続を行おうとしているときに、過去に社内のネットワークから接続したことがあること等である。この条件は一例であって、第１実施形態における通信システムでは、ユーザ端末に対して定義できる任意の条件を適用することができる。
上記を実現するために、第１実施形態における通信サーバは、ユーザ端末が初めて認証に成功した後に、そのユーザ端末を一意に識別する識別情報（以下、「ブラウザＩＤ」と呼ぶ）を発行する。ユーザ端末は、通信サーバへリモートデスクトップ接続を要求する際に、通信サーバから発行されたブラウザＩＤを送信する。通信サーバは、ユーザ端末から受信したブラウザＩＤに基づいて、そのユーザ端末が所定の条件を満たすか否かを判定し、その条件を満たす場合のみリモートデスクトップ接続を許可する。
なお、ここでは、リモートデスクトップ接続を提供する例を用いて説明したが、第１実施形態における通信システムは、セッション管理を行う任意の接続を提供することが可能である。また、以降のすべての実施形態においても同様に、通信システムは任意の接続を提供するように構成することができる。
＜第１実施形態における通信システムの全体構成＞
図１は、この発明の第１実施形態における通信システム１の全体構成を示す図である。図１に示されているように、第１実施形態における通信システム１は、例えば、通信サーバ２及びユーザ端末５を含む。
通信サーバ２及びユーザ端末５は、それぞれ通信ネットワーク１００に接続している。通信ネットワーク１００は、接続されている各装置が相互に通信可能となるように構成されている。通信ネットワーク１００は、例えば、インターネット、ＬＡＮ（Local Area Network）、又はＷＡＮ（Wide Area Network）などの有線通信によるネットワークによって構築されている。通信ネットワーク１００は、有線通信だけでなく、例えば、無線ＬＡＮ、近距離無線通信、３Ｇ（3rd Generation）、ＷｉＭＡＸ（Worldwide Interoperability for Microwave Access）、又はＬＴＥ（Long Term Evolution）等の無線通信又は移動体通信によるネットワークが含まれていてもよい。
通信サーバ２及びユーザ端末５は、例えば、コンピュータである。なお、通信サーバ２及びユーザ端末５は、通信機能を備えた装置であれば、コンピュータに限られない。通信サーバ２及びユーザ端末５は、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。
＜第１実施形態における通信システムのハードウェア構成＞
≪コンピュータのハードウェア構成≫
図２は、コンピュータによって構築された場合における、通信サーバ２及びユーザ端末５のハードウェア構成図である。図２に示されているように、通信サーバ２及びユーザ端末５は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤ１０４、ＨＤＤ(Hard Disk Drive)コントローラ１０５、ディスプレイ１０６、外部機器接続Ｉ／Ｆ(Interface)１０８、ネットワークＩ／Ｆ１０９、バスライン１１０、キーボード１１１、ポインティングデバイス１１２、ＤＶＤ－ＲＷ(Digital Versatile Disk Rewritable)ドライブ１１４、メディアＩ／Ｆ１１６を備えている。
これらのうち、ＣＰＵ１０１は、通信サーバ２及びユーザ端末５全体の動作を制御する。ＲＯＭ１０２は、ＩＰＬ等のＣＰＵ１０１の駆動に用いられるプログラムを記憶する。ＲＡＭ１０３は、ＣＰＵ１０１のワークエリアとして使用される。ＨＤ１０４は、プログラム等の各種データを記憶する。ＨＤＤコントローラ１０５は、ＣＰＵ１０１の制御にしたがってＨＤ１０４に対する各種データの読み出し又は書き込みを制御する。ディスプレイ１０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ１０８は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ１０９は、通信ネットワーク１００を利用してデータ通信をするためのインターフェースである。バスライン１１０は、図２に示されているＣＰＵ１０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。
また、キーボード１１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス１１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ－ＲＷドライブ１１４は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ１１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。メディアＩ／Ｆ１１６は、フラッシュメモリ等の記録メディア１１５に対するデータの読み出し又は書き込み（記憶）を制御する。
＜第１実施形態における通信システムの機能構成＞
図３は、第１実施形態における通信システム１の機能構成を示す図である。
≪通信サーバ２の機能構成≫
図３に示されているように、第１実施形態における通信サーバ２は、認証処理部２０１、ブラウザＩＤ発行部２０２、ブラウザＩＤ記憶部２０３、接続判定部２０４、接続処理部２０５及び接続履歴記憶部２０６を備える。
通信サーバ２が備える各部（各記憶部を除く）は、図２に示されているＣＰＵ１０１がＨＤ１０４からＲＡＭ１０３上に展開したプログラムに従って、各種の命令をＲＡＭ１０３上に読み込まれたデータに対して実行することで実現される機能又は機能する手段である。通信サーバ２が備える各記憶部は、図２に示されているＨＤＤコントローラ１０５を介してＨＤ１０４にデータの読み込み又は書き込みを行うことで実現される機能又は機能する手段である。
認証処理部２０１は、ユーザ端末５から認証を要求する信号（以下、「認証要求信号」と呼ぶ）を受信する。認証処理部２０１は、認証要求信号に含まれる認証情報を用いて、ユーザ端末５に対する認証を行い、認証結果を得る。認証処理部２０１は、認証結果をユーザ端末５へ送信する。
ブラウザＩＤ発行部２０２は、ユーザ端末５に対する認証が成功した後に、そのユーザ端末５を一意に識別するブラウザＩＤを発行する。ブラウザＩＤ発行部２０２は、発行したブラウザＩＤをユーザ端末５へ送信する。
ブラウザＩＤ記憶部２０３は、ユーザ端末５に対して発行したブラウザＩＤを、そのユーザ端末５を用いるユーザに関するユーザ情報と関連付けて記憶する。
接続判定部２０４は、ユーザ端末５から接続を要求する信号（以下、「接続要求信号」と呼ぶ）を受信する。接続判定部２０４は、接続要求信号に含まれるブラウザＩＤに基づいて、ユーザ端末５との接続を許可するか否かを判定する。
接続処理部２０５は、接続判定部２０４が出力するブラウザＩＤに基づく判定結果がユーザ端末５との接続を許可するものである場合、そのユーザ端末５との接続を行う。
接続履歴記憶部２０６は、ユーザ端末５との接続を行った履歴を記録した接続履歴を記憶する。
≪ユーザ端末５の機能構成≫
図３に示されているように、第１実施形態におけるユーザ端末５は、ブラウザ５０を備える。ブラウザ５０は、認証要求部５０１、ブラウザＩＤ記憶部５０２、接続要求部５０３及び接続処理部５０４を備える。
ユーザ端末５が備える各部（各記憶部を除く）は、図２に示されているＣＰＵ１０１がＨＤ１０４からＲＡＭ１０３上に展開したプログラムに従って、各種の命令をＲＡＭ１０３上に読み込まれたデータに対して実行することで実現される機能又は機能する手段である。ユーザ端末５が備える各記憶部は、図２に示されているＨＤＤコントローラ１０５を介してＨＤ１０４にデータの読み込み又は書き込みを行うことで実現される機能又は機能する手段である。
認証要求部５０１は、ユーザ端末５を用いるユーザの操作に応じて、通信サーバ２へ認証要求信号を送信する。認証要求信号は、認証情報を含む。通信サーバ２がユーザ端末５に対して発行したブラウザＩＤが存在する場合、認証要求信号は、そのブラウザＩＤを含む。
ブラウザＩＤ記憶部５０２は、通信サーバ２がユーザ端末５に対して発行したブラウザＩＤを記憶する。
接続要求部５０３は、ユーザ端末５を用いるユーザの操作に応じて、通信サーバ２へ接続要求信号を送信する。接続要求信号は、接続情報及びブラウザＩＤ記憶部５０２が記憶するブラウザＩＤを含む。
接続処理部５０４は、通信サーバ２と接続を行い、通信サーバ２が備える接続処理部２０５と通信を行う。
＜第１実施形態に係る通信システムの処理手順＞
図４は、第１実施形態における通信システム１が実行する通信方法の処理手順を示す図である。
図４に示したステップＳ５０１Ａ～Ｓ５０２は、ユーザ端末５から通信サーバ２へ１回目の認証要求を行う際に実行される処理手順である。
ステップＳ５０１Ａにおいて、ブラウザ５０が備える認証要求部５０１は、ユーザ端末５を用いるユーザの操作に応じて、認証情報を含む認証要求信号を通信サーバ２へ送信する。認証要求信号は、ブラウザ５０から認証を行うためのＵＲＬ（Uniform Resource Locator）をリクエストすることで送信される。認証情報は、例えば、ユーザがログイン画面に入力したユーザＩＤ及びパスワードである。認証要求信号は、ユーザに関するユーザ情報を含んでもよい。ユーザ情報は、例えば、ユーザがログイン画面に入力したユーザＩＤである。認証情報がユーザ情報に相当する場合には、認証要求信号は、認証情報のみを含んでもよい。
ステップＳ２０１Ａにおいて、通信サーバ２が備える認証処理部２０１は、ユーザ端末５から認証要求信号を受信する。認証処理部２０１は、認証要求信号に含まれる認証情報を用いて、ユーザ端末５に対する認証を行い、認証結果を得る。認証処理部２０１は、受信した認証情報が事前に登録された認証情報と一致するか否かを判定することで、認証結果を得る。認証処理部２０１は、受信した認証情報を外部の認証サーバに転送することで、その認証サーバから認証結果を得ることもできる。
ステップＳ２０２において、通信サーバ２が備えるブラウザＩＤ発行部２０２は、ユーザ端末５に対する認証に成功した後に、そのユーザ端末５に対してブラウザＩＤを発行するか否かを判定する。ブラウザＩＤを発行するか否かの判定は、例えば、そのユーザ端末５に対して発行したブラウザＩＤが存在するか否かにより行うことができる。ユーザ端末５に対して発行したブラウザＩＤが存在するか否かの判定は、例えば、ユーザ端末５から受信した認証要求信号にブラウザＩＤが含まれるか否かにより行うことができる。ここでは、認証要求信号にブラウザＩＤが含まれていないため、ブラウザＩＤ発行部２０２は、そのユーザ端末５を一意に識別するブラウザＩＤを発行する。
ブラウザＩＤ発行部２０２は、接続要求信号に含まれるユーザ情報とブラウザＩＤとが一対一に関連付けられるようにブラウザＩＤを発行してもよい。この場合、ブラウザＩＤ記憶部２０３において、認証要求信号に含まれるユーザ情報と関連付けられているブラウザＩＤが存在する場合には、ブラウザＩＤ発行部２０２は、新たなブラウザＩＤを発行しない。もしくは、ブラウザＩＤ発行部２０２は、すでにそのユーザ情報に関連付けられたブラウザＩＤを破棄し、新たなブラウザＩＤを発行してそのユーザ情報に関連付ける。ユーザ情報とブラウザＩＤとを一対一に関連付けることで、一人のユーザにより接続可能な端末を一台に制限することが可能となる。
ステップＳ２０３において、通信サーバ２が備えるブラウザＩＤ発行部２０２は、ユーザ端末５に対して発行したブラウザＩＤを、ブラウザＩＤ記憶部２０３へ記憶する。このとき、認証要求信号に含まれるユーザ情報とブラウザＩＤとを関連付けて記憶してもよい。
ステップＳ２０１Ｂにおいて、通信サーバ２が備える認証処理部２０１は、得られた認証結果を、ブラウザＩＤ発行部２０２が発行したブラウザＩＤと共に、ユーザ端末５へ送信する。例えば、認証結果が認証成功を示す場合、認証処理部２０１は、ログイン画面から遷移したログイン後画面にブラウザＩＤを含めてユーザ端末５へ送信する。ブラウザＩＤはユーザが知る必要のない情報であるため、隠し要素としてログイン後画面に含めておけばよい。認証結果が認証失敗を示す場合には、認証処理部２０１は、認証に失敗した旨を示すエラー画面をユーザ端末５へ送信する。
ステップＳ５０２において、ブラウザ５０が備える認証要求部５０１は、通信サーバ２から認証結果と共にブラウザＩＤを受信する。認証要求部５０１は、受信したブラウザＩＤをブラウザＩＤ記憶部５０２へ記憶する。ブラウザ内に情報を記憶する手段は、例えば、Cookie又はWeb Storage（localStorage又はsessionStorage）等、既知の手段を用いることができる。
図４に示したステップＳ５０１Ｂ～Ｓ２０１Ｄは、ユーザ端末５から通信サーバ２へ２回目以降の認証要求を行う際に実行される処理手順である。
ステップＳ５０１Ｂにおいて、ブラウザ５０が備える認証要求部５０１は、ユーザ端末５を用いるユーザの操作に応じて、認証要求信号を通信サーバ２へ送信する。認証要求信号は、認証情報に加えて、ブラウザＩＤ記憶部５０２が記憶するブラウザＩＤを含む。
ステップＳ２０１Ｃにおいて、通信サーバ２が備える認証処理部２０１は、ユーザ端末５から認証要求信号を受信する。認証処理部２０１は、認証要求信号に含まれる認証情報を用いて、ユーザ端末５に対する認証を行い、認証結果を得る。
ブラウザＩＤ発行部２０２は、ユーザ端末５から受信した認証要求信号にブラウザＩＤが含まれているため、ブラウザＩＤを発行しないと判定する。
ステップＳ２０１Ｄにおいて、通信サーバ２が備える認証処理部２０１は、得られた認証結果をユーザ端末５へ送信する。例えば、認証結果が認証成功を示す場合、認証処理部２０１は、ログイン画面から遷移したログイン後画面をユーザ端末５へ送信する。ここでは、ブラウザＩＤを発行していないため、ログイン後画面にブラウザＩＤは含まれない。認証結果が認証失敗を示す場合には、認証処理部２０１は、認証に失敗した旨を示すエラー画面をユーザ端末５へ送信する。
図４に示したステップＳ５０３～Ｓ２０６は、ユーザ端末５から通信サーバ２へリモートデスクトップ接続を要求する際に行われる処理である。
ステップＳ５０３において、ブラウザ５０が備える接続要求部５０３は、ユーザ端末５を用いるユーザの操作に応じて、接続要求信号を通信サーバ２へ送信する。接続要求信号は、接続情報及びブラウザＩＤ記憶部５０２が記憶するブラウザＩＤを含む。接続要求信号は、ブラウザ５０からリモートデスクトップ接続を行うためのＵＲＬをリクエストすることで送信される。接続情報は、例えば、ユーザがリモートデスクトップ接続のログイン画面に入力したリモートデスクトップ接続のユーザＩＤ及びパスワードである。ブラウザＩＤは、例えば、リモートデスクトップ接続を行うためのＵＲＬにクエリパラメータとして与えることができる。
ステップＳ２０４において、通信サーバ２が備える接続判定部２０４は、ユーザ端末５から接続要求信号を受信する。接続判定部２０４は、接続要求信号に含まれるブラウザＩＤに基づいて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを判定する。ユーザ端末５とのリモートデスクトップ接続を許可するか否かの判定は、そのブラウザＩＤが示すユーザ端末５が所定の条件を満たすか否かにより行う。ブラウザＩＤが示すユーザ端末５が所定の条件を満たす場合、接続判定部２０４は、そのユーザ端末５とのリモートデスクトップ接続を許可する判定結果を生成する。一方、ブラウザＩＤが示すユーザ端末５が所定の条件を満たさない場合、接続判定部２０４は、そのユーザ端末５とのリモートデスクトップ接続を拒否する判定結果を生成する。
接続判定部２０４が判定する所定の条件は、例えば、社外のネットワークからリモートデスクトップ接続を要求しているときに、過去に社内のネットワークから接続したことがあること、等である。ユーザ端末５が社外のネットワークからリモートデスクトップ接続を要求しているか否かは、接続要求信号の送信元ネットワークアドレス等から判別できる。また、ユーザ端末５が過去に社内のネットワークからリモートデスクトップ接続したことがあるか否かは、接続履歴記憶部２０６が記憶する接続履歴から判別できる。この場合、ユーザ端末５は、少なくとも１回は社内のネットワークからリモートデスクトップ接続を行っておく必要がある。
ステップＳ２０５において、通信サーバ２が備える接続処理部２０５は、接続判定部２０４がユーザ端末５からのリモートデスクトップ接続を許可した場合、そのユーザ端末５が備える接続処理部５０４と通信を行い、そのユーザ端末５とのリモートデスクトップ接続を行う。接続判定部２０４がユーザ端末５からのリモートデスクトップ接続を拒否した場合、リモートデスクトップ接続が拒否された旨を示すエラー画面をそのユーザ端末５へ送信する。
ステップＳ２０６において、通信サーバ２が備える接続処理部２０５は、ユーザ端末５とのリモートデスクトップ接続を行った履歴を記録した接続履歴を、接続履歴記憶部２０６へ記憶する。接続履歴は、ユーザ端末５を示す情報及び接続元のネットワークを示す情報を含む。
＜第１実施形態の効果＞
第１実施形態における通信システムは、ユーザ端末から受信するブラウザＩＤに基づいてリモートデスクトップ接続を許可するか否かを判定するように構成した。ブラウザＩＤは、初めて認証に成功したときのみ発行され、ブラウザ内の記憶部に記憶され、その後書き換わることがないため、ユーザ端末を一意に識別することができる。このブラウザＩＤに基づいてリモートデスクトップ接続を許可するか否かを判定することで、許可されたユーザ端末のみがリモートデスクトップ接続可能となる。
さらに、第１実施形態における通信システムは、ユーザ情報とブラウザＩＤとが一対一に関連付けられるようにブラウザＩＤを発行するように構成することもできる。この場合、一人のユーザにより接続可能な端末を一台に制限することが可能となる。
［第２実施形態］
第１実施形態における通信システムは、ユーザ端末を一意に識別できるようにブラウザＩＤを発行し、そのブラウザＩＤに基づいてリモートデスクトップ接続を許可するか否かを判定した。第２実施形態における通信システムは、ブラウザＩＤに基づく判定に加えて、ユーザ端末のハードウェア固有情報（以下、単に「固有情報」とも呼ぶ）に基づく判定を行い、それらの判定結果の組み合わせに基づいてリモートデスクトップ接続を許可するか否かを判定する。
以下、この発明の第２実施形態における通信システム１について、第１実施形態との相違点を中心に説明する。
＜第２実施形態における通信システムの全体構成＞
図５は、この発明の第２実施形態における通信システム１の全体構成を示す図である。図５に示されているように、第２実施形態における通信システム１は、例えば、通信サーバ２、ユーザ端末５及び管理者端末６を含む。管理者端末６は、通信ネットワーク１００に接続しており、通信サーバ２及びユーザ端末５と相互に通信可能である。
管理者端末６は、例えば、コンピュータである。なお、管理者端末６は、通信機能を備えた装置であれば、コンピュータに限られない。管理者端末６は、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。
＜第２実施形態における通信システムの機能構成＞
図６は、第２実施形態における通信システム１の機能構成を示す図である。
≪通信サーバ２の機能構成≫
図６に示されているように、第２実施形態における通信サーバ２は、第１実施形態と同様に、認証処理部２０１、ブラウザＩＤ発行部２０２、ブラウザＩＤ記憶部２０３、接続判定部２０４、接続処理部２０５及び接続履歴記憶部２０６を備え、固有情報記憶部２０７をさらに備える。
固有情報記憶部２０７は、リモートデスクトップ接続を許可するユーザ端末５に関する固有情報を記憶する。固有情報記憶部２０７が記憶するユーザ端末５に関する固有情報は、管理者端末６から予め登録されたものである。
≪ユーザ端末５の機能構成≫
図６に示されているように、第２実施形態におけるユーザ端末５は、第１実施形態と同様にブラウザ５０を備え、デスクトップアプリケーション５１をさらに備える。デスクトップアプリケーション５１は、起動情報記憶部５１０、固有情報取得部５１１及びブラウザ起動部５１２を備える。第２実施形態におけるブラウザ５０は、第１実施形態と同様に、認証要求部５０１、ブラウザＩＤ記憶部５０２、接続要求部５０３及び接続処理部５０４を備え、固有情報記憶部５１３をさらに備える。
起動情報記憶部５１０は、ブラウザ５０を起動するための起動情報を記憶する。起動情報は、ブラウザ５０を起動するコマンド、ログイン画面を取得するためのＵＲＬ、そのＵＲＬに与えるクエリパラメータを示す情報等を含む。
固有情報取得部５１１は、ユーザ端末５のハードウェアからユーザ端末５に関する固有情報を取得する。
ブラウザ起動部５１２は、起動情報記憶部５１０が記憶する起動情報を用いてブラウザ５０を起動し、固有情報取得部５１１が取得したユーザ端末５に関する固有情報をブラウザ５０へ受け渡す。
固有情報記憶部５１３は、ブラウザ起動部５１２からブラウザ５０へ受け渡されたユーザ端末５に関する固有情報を記憶する。
≪管理者端末６の機能構成≫
図６に示されているように、第２実施形態における管理者端末６は、固有情報登録部６０１を備える。
管理者端末６が備える固有情報登録部６０１は、図２に示されているＣＰＵ１０１がＨＤ１０４からＲＡＭ１０３上に展開したプログラムに従って、各種の命令をＲＡＭ１０３上に読み込まれたデータに対して実行することで実現される機能又は機能する手段である。
固有情報登録部６０１は、リモートデスクトップ接続を許可するユーザ端末５に関する固有情報を、通信サーバ２が備える固有情報記憶部２０７へ予め登録する。
＜第２実施形態における通信システムの処理手順＞
図７は、第２実施形態における通信システム１が実行する通信方法の処理手順を示す図である。ここでは、ユーザ端末５から通信サーバ２へ２回目以降の認証要求を行う場合（すなわち、通信サーバ２がユーザ端末５に対して発行したブラウザＩＤが存在する場合）の処理手順を示す。なお、ユーザ端末５から通信サーバ２へ１回目の認証要求を行う場合（すなわち、通信サーバ２がユーザ端末５に対して発行したブラウザＩＤが存在しない場合）の処理手順は、図７に示されたステップＳ５０１Ｂ～Ｓ２０１Ｄを、図４に示されたステップＳ５０１Ａ～Ｓ５０２に置き換えればよい。
ステップＳ６０１において、管理者端末６が備える固有情報登録部６０１は、リモートデスクトップ接続を許可するユーザ端末５に関する固有情報を、通信サーバ２へ送信する。固有情報は、ユーザ端末５のハードウェアから取得可能な情報であり、１個以上の属性情報を含む。ユーザ端末５がデバイス管理システム等により管理されている場合には、固有情報登録部６０１は、そのデバイス管理システム等からユーザ端末５に関する固有情報を自動的に取得し、リモートデスクトップ接続を許可するユーザ端末５として選択したユーザ端末５に関する固有情報のみを通信サーバ２へ送信すればよい。また、固有情報登録部６０１は、取得した固有情報を予め定めたハッシュ関数に入力してハッシュ値に変換し、得られたハッシュ値を固有情報として通信サーバ２へ送信してもよい。
図８にハードウェア固有情報の一例を示す。図８に示されるように、ハードウェア固有情報は、例えば、ＭＡＣ（Media Access Control）アドレス、ＯＳ（Operating System）名、バージョン、ＯＳ製造元、システム名、システム製造元、システムモデル、システムの種類、システムＳＫＵ、プロセッサ、ＢＩＯＳ（Basic Input Output System）バージョン／日付、ＳＭＢＩＯＳバージョン、埋め込みコントローラーのバージョン、ＢＩＯＳモード、べースボード製造元、ベースボード製品、ベースボードバージョン、プラットフォームの役割、セキュアブートの状態、ＰＣＲ７構成、ＯＳディレクトリ、システムディレクトリ、ブートデバイス、ロケール、ハードウェアアブストラクションレイヤーバージョン、メモリ、ユーザ名、及びタイムゾーン等を含む。これらの属性情報には、ハードウェア製造時に定まり変動することがない情報もあれば、ソフトウェア更新等の保守作業により変動する情報もある。固有情報登録部６０１は、図８に示した属性情報のうち予め定めた１個の属性情報又は複数の属性情報の組み合わせを、固有情報として取得する。
図７に戻って説明する。ステップＳ２０７において、通信サーバ２は、管理者端末６から固有情報を受信する。通信サーバ２は、受信した固有情報を、ユーザ端末５を示す情報と関連付けて固有情報記憶部２０７へ記憶する。
ステップＳ５１１において、デスクトップアプリケーション５１が備える固有情報取得部５１１は、ユーザ端末５のハードウェアからユーザ端末５に関する固有情報を取得する。固有情報取得部５１１が取得する固有情報は、固有情報登録部６０１が登録した固有情報と同様である。すなわち、固有情報登録部６０１が複数の属性情報からなる固有情報を登録したのであれば、固有情報取得部５１１は同じ属性情報からなる固有情報を取得する。固有情報登録部６０１が固有情報のハッシュ値を登録したのであれば、固有情報取得部５１１は取得した固有情報からハッシュ値を生成する。
ステップＳ５１２において、デスクトップアプリケーション５１が備えるブラウザ起動部５１２は、起動情報記憶部５１０が記憶する起動情報を用いてブラウザ５０を起動し、固有情報取得部５１１が取得したユーザ端末５に関する固有情報をブラウザ５０へ受け渡す。ブラウザ起動部５１２は、例えば、ログイン画面を取得するためのＵＲＬに固有情報をクエリパラメータとして与えることで、固有情報をブラウザ５０へ受け渡すことができる。
ステップＳ５１３において、ブラウザ５０は、ブラウザ起動部５１２からユーザ端末５に関する固有情報を受け取り、固有情報記憶部５１３へ記憶する。固有情報記憶部５１３は、ブラウザＩＤ記憶部５０２と同様に、既知の手段を用いて、ブラウザ内に情報を記憶すればよい。
ステップＳ５０３において、ブラウザ５０が備える接続要求部５０３は、接続要求信号を通信サーバ２へ送信する。第２実施形態における接続要求信号は、ユーザが入力した接続情報及びブラウザＩＤ記憶部５０２が記憶するブラウザＩＤに加えて、固有情報記憶部５１３が記憶する固有情報をさらに含む。
ステップＳ２０４Ａにおいて、通信サーバ２が備える接続判定部２０４は、ユーザ端末５から接続要求信号を受信する。接続判定部２０４は、接続要求信号に含まれるブラウザＩＤに基づいて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを判定する。
ステップＳ２０４Ｂにおいて、通信サーバ２が備える接続判定部２０４は、接続要求信号に含まれる固有情報に基づいて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを判定する。まず、接続判定部２０４は、ユーザ端末５から受信した固有情報と固有情報記憶部２０７が記憶する固有情報とを比較する。ユーザ端末５から受信した固有情報と固有情報記憶部２０７が記憶する固有情報とが一致する場合、接続判定部２０４は、そのユーザ端末５とのリモートデスクトップ接続を許可する判定結果を生成する。一方、ユーザ端末５から受信した固有情報と固有情報記憶部２０７が記憶する固有情報とが一致しない場合、接続判定部２０４は、そのユーザ端末５とのリモートデスクトップ接続を拒否する判定結果を生成する。
接続判定部２０４は、固有情報が複数の属性情報を含む場合には、固有情報に含まれる属性情報をそれぞれ比較し、一致した属性情報の数が予め定めた閾値以上であれば、固有情報が一致したものとして扱う。接続判定部２０４は、一致した属性情報の数とすべての属性情報の数との比が予め定めた閾値以上であれば、固有情報が一致したものとして扱ってもよい。また、接続判定部２０４は、固有情報がハッシュ値である場合には、ユーザ端末５から受信したハッシュ値と固有情報記憶部２０７が記憶するハッシュ値とが一致した場合に、固有情報が一致したものとして扱う。
接続判定部２０４は、ステップＳ２０４Ａで求めたブラウザＩＤに基づく判定結果及びステップＳ２０４Ｂで求めた固有情報に基づく判定結果を用いて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを決定する。接続判定部２０４は、例えば、ブラウザＩＤに基づく判定結果及び固有情報に基づく判定結果を予め定めた接続可否判定表に照らし合わせて、ユーザ端末５との接続を許可するか否かを判定する。接続可否判定表は、ブラウザＩＤに基づく判定結果と固有情報に基づく判定結果のすべての組み合わせに対して、接続を許可するか否かを定義した表である。
図９に接続可否判定表の一例を示す。図９に示した例では、ブラウザＩＤに基づく判定結果が「〇（接続可）」であり、固有情報に基づく判定結果が「〇（接続可）」である場合には、リモートデスクトップ接続を許可し、その他の（すなわち、いずれかの判定結果が「×（接続不可）」である）場合には、リモートデスクトップ接続を拒否する。図９は接続可否判定表の一例であるから、例えば、ブラウザＩＤに基づく判定結果及び固有情報に基づく判定結果のいずれかが「〇（接続可）」であればリモートデスクトップ接続を許可するように設定することも可能である。
＜第２実施形態の効果＞
第２実施形態における通信システムは、ブラウザＩＤに基づく判定に加えて、ユーザ端末の固有情報に基づく判定を行い、それらの判定結果の組み合わせに基づいてリモートデスクトップ接続を許可するか否かを判定するように構成した。事前に管理者が許可したユーザ端末に関する固有情報のみを登録することで、許可されたユーザ端末のみがリモートデスクトップ接続可能となる。また、ハードウェア固有情報を用いることで、ユーザ端末になりすましてリモートデスクトップ接続を行うことを防止することができる。さらに、固有情報をハッシュ値とした場合には、登録された固有情報からハードウェア構成等の情報が漏洩することを防止することができる。
［第３実施形態］
第１実施形態における通信システムは、ユーザ端末を一意に識別するブラウザＩＤに基づいて、過去に社内のネットワークから接続した履歴が存在するユーザ端末のみにリモートデスクトップ接続を許可するように構成した。第３実施形態における通信システムは、デバイス管理システムにより管理されているユーザ端末のみにリモートデスクトップ接続を許可するように構成する。
以下、この発明の第３実施形態における通信システム１について、第１実施形態との相違点を中心に説明する。
＜第３実施形態における通信システムの全体構成＞
図１０は、この発明の第３実施形態における通信システム１の全体構成を示す図である。図１０に示されているように、第３実施形態における通信システム１は、例えば、通信サーバ２、デバイス管理サーバ３及びユーザ端末５を含む。デバイス管理サーバ３は、通信ネットワーク１００に接続しており、通信サーバ２及びユーザ端末５と相互に通信可能である。
デバイス管理サーバ３は、例えば、コンピュータである。なお、デバイス管理サーバ３は、通信機能を備えた装置であれば、コンピュータに限られない。デバイス管理サーバ３は、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。
＜第３実施形態における通信システムにおける各装置の機能構成＞
図１１は、第３実施形態における通信システム１の機能構成を示す図である。
≪通信サーバ２の機能構成≫
図１１に示されているように、第３実施形態における通信サーバ２は、第１実施形態と同様に、認証処理部２０１、ブラウザＩＤ発行部２０２、ブラウザＩＤ記憶部２０３、接続判定部２０４、接続処理部２０５を備え、デバイスＩＤ記憶部２０８をさらに備える。
デバイスＩＤ記憶部２０８は、デバイス管理サーバ３から受信した接続要求通知信号に含まれるブラウザＩＤとデバイスＩＤとを関連付けて記憶する。
≪ユーザ端末５の機能構成≫
図１１に示されているように、第３実施形態におけるユーザ端末５は、第１実施形態と同様にブラウザ５０を備え、エージェント５２をさらに備える。エージェント５２は、デバイスＩＤ記憶部５２０、接続要求検知部５２１及び接続要求通知部５２２を備える。
デバイスＩＤ記憶部５２０は、ユーザ端末５を一意に識別するデバイスＩＤを記憶する。デバイスＩＤは、デバイス管理サーバ３によりユーザ端末５に対して予め発行され、デバイスＩＤ記憶部５２０に記憶されている。
接続要求検知部５２１は、接続要求部５０３が通信サーバ２へ接続要求信号を送信したことを検知する。
接続要求通知部５２２は、接続要求検知部５２１が接続要求信号を検知したことを通知する接続要求通知信号を、デバイス管理サーバ３へ送信する。接続要求通知信号は、ブラウザＩＤ記憶部５０２が記憶するブラウザＩＤ及びデバイスＩＤ記憶部５２０が記憶するデバイスＩＤを含む。
≪デバイス管理サーバ３の機能構成≫
図１１に示されているように、第３実施形態におけるデバイス管理サーバ３は、接続要求通知転送部３０１を備える。
デバイス管理サーバ３が備える接続要求通知転送部３０１は、図２に示されているＣＰＵ１０１がＨＤ１０４からＲＡＭ１０３上に展開したプログラムに従って、各種の命令をＲＡＭ１０３上に読み込まれたデータに対して実行することで実現される機能又は機能する手段である。
接続要求通知転送部３０１は、ユーザ端末５から受信した接続要求通知信号を、通信サーバ２へ転送する。
＜第３実施形態における通信システムの処理手順＞
図１２は、第３実施形態における通信システム１が実行する通信方法の処理手順を示す図である。ここでは、第２実施形態と同様に、通信サーバ２がユーザ端末５に対して発行したブラウザＩＤが存在する場合の処理手順を示す。
ステップＳ５０３において、ブラウザ５０が備える接続要求部５０３は、ユーザ端末５を用いるユーザの操作に応じて、ユーザが入力した接続情報及びブラウザＩＤ記憶部５０２が記憶するブラウザＩＤを含む接続要求信号を通信サーバ２へ送信する。
ステップＳ５２１において、エージェント５２が備える接続要求検知部５２１は、接続要求部５０３が通信サーバ２へ接続要求信号を送信したことを検知する。接続要求信号は、ブラウザ５０からリモートデスクトップ接続を行うためのＵＲＬをリクエストすることで送信されるため、デバイス管理サーバ３からエージェント５２へリモートデスクトップ接続を行うためのＵＲＬを予め設定し、そのＵＲＬをリクエストする信号が送信されることを監視することで、接続要求を検知することが可能である。
ステップＳ５２２において、エージェント５２が備える接続要求通知部５２２は、接続要求検知部５２１が接続要求信号を検知したことを通知する接続要求通知信号を、デバイス管理サーバ３へ送信する。接続要求通知信号は、ブラウザＩＤ記憶部５０２が記憶するブラウザＩＤ及びデバイスＩＤ記憶部５２０が記憶するデバイスＩＤを含む。
ステップＳ３０１において、デバイス管理サーバ３が備える接続要求通知転送部３０１は、ユーザ端末５から接続要求通知信号を受信する。接続要求通知転送部３０１は、受信した接続要求通知信号を通信サーバ２へ転送する。
ステップＳ２０８において、通信サーバ２は、デバイス管理サーバ３から受信した接続要求通知信号に含まれるブラウザＩＤ及びデバイスＩＤを、接続要求通知信号を受信した日時と関連付けて、デバイスＩＤ記憶部２０８へ記憶する。
ステップＳ２０４において、通信サーバ２が備える接続判定部２０４は、ユーザ端末５から接続要求信号を受信する。接続判定部２０４は、接続要求信号に含まれるブラウザＩＤに基づいて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを判定する。第３実施形態における接続判定部２０４は、ユーザ端末５から受信した接続要求信号に含まれるブラウザＩＤと、デバイス管理サーバ３から受信した接続要求通知信号に含まれるブラウザＩＤとが一致することを所定の条件とする。
上記の条件を満たすか否かを判定するために、接続判定部２０４は、ユーザ端末５から受信した接続要求信号に含まれるブラウザＩＤが、デバイスＩＤ記憶部２０８に記憶されているか否かを判定する。デバイスＩＤ記憶部２０８にブラウザＩＤが記憶されていれば、デバイス管理サーバ３からブラウザＩＤ及びデバイスＩＤが通知されていることを表す。これは、そのユーザ端末５にエージェント５２がインストールされており、デバイス管理サーバ３により管理されていることを意味する。
接続判定部２０４は、直近にデバイスＩＤ記憶部２０８に記憶されたブラウザＩＤとデバイスＩＤとの組み合わせが、過去に記憶されたブラウザＩＤとデバイスＩＤとの組み合わせと一致するか否かを判定してもよい。ブラウザＩＤとデバイスＩＤとの組み合わせが変化している場合、ブラウザＩＤ又はデバイスＩＤが偽装されている可能性が高い。この場合、接続判定部２０４は、リモートデスクトップ接続を拒否する。
通信サーバ２がデバイスＩＤ記憶部２０８を備えず、接続判定部２０４がデバイス管理サーバ３から直接接続要求通知信号を受信してもよい。この場合、接続判定部２０４は、ユーザ端末５から接続要求信号を受信してから所定の時間だけデバイス管理サーバ３から接続要求通知信号を受信することを待機する。接続判定部２０４が接続要求通知信号を待機する時間は任意に設定すればよいが、例えば、１０秒等に設定することができる。接続判定部２０４は、接続要求通知信号の受信がタイムアウトした場合、エージェント５２がインストールされていないユーザ端末５からリモートデスクトップ接続が要求されたと判断し、リモートデスクトップ接続を拒否する。
＜第３実施形態の効果＞
第３実施形態における通信システムは、ユーザ端末から受信した接続要求信号に含まれるブラウザＩＤとデバイス管理サーバから受信した接続要求通知信号に含まれるブラウザＩＤとが一致した場合に、リモートデスクトップ接続を許可するように構成した。デバイス管理サーバからブラウザＩＤを受信したことは、リモートデスクトップ接続を要求するユーザ端末にエージェントがインストールされており、そのユーザ端末はデバイス管理サーバにより管理されていることを表している。したがって、第３実施形態における通信システムによれば、デバイス管理サーバにより管理されているユーザ端末のみがリモートデスクトップ接続可能となる。
さらに、第３実施形態における通信システムは、ユーザ端末から受信した接続要求信号に含まれるブラウザＩＤとデバイス管理サーバから受信した接続要求通知信号に含まれるブラウザＩＤとが一致するか否かを判定する。また、第３実施形態における通信システムは、接続要求通知信号に含まれるブラウザＩＤとデバイスＩＤとの組み合わせが過去に受信した組み合わせと変化していないかを判定する。これにより、ブラウザＩＤ又はデバイスＩＤを偽装してリモートデスクトップ接続を行うなりすましを防止することができる。
［第４実施形態］
第１実施形態における通信システムは、ユーザ端末を一意に識別できるようにブラウザＩＤを発行し、そのブラウザＩＤに基づいてリモートデスクトップ接続を許可するか否かを判定した。第４実施形態における通信システムは、所定のネットワークに接続する中継装置を追加し、中継装置との通信が可能なユーザ端末のみに証明書を発行し、その証明書に基づいてリモートデスクトップ接続を許可するか否かを判定する。
以下、この発明の第４実施形態における通信システム１について、第１実施形態との相違点を中心に説明する。
＜第４実施形態における通信システムの全体構成＞
図１３は、この発明の第４実施形態における通信システム１の全体構成を示す図である。図１３に示されているように、第４実施形態における通信システム１は、例えば、通信サーバ２、中継装置４及びユーザ端末５を含む。中継装置４は、通信ネットワーク１００に接続しており、少なくとも通信サーバ２と相互に通信可能である。
中継装置４は、例えば、コンピュータである。なお、中継装置４は、通信機能を備えた装置であれば、コンピュータに限られない。中継装置４は、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。
＜第４実施形態における通信システムの機能構成＞
図１４は、第４実施形態における通信システム１の機能構成を示す図である。
≪通信サーバ２の機能構成≫
図１４に示されているように、第４実施形態における通信サーバ２は、第１実施形態と同様に、接続判定部２０４及び接続処理部２０５を備え、ワンタイムＩＤ発行部２１１、通信判定要求部２１２、アクセス要求部２１３及び証明書発行部２１４をさらに備える。
ワンタイムＩＤ発行部２１１は、ユーザ端末５から証明書を要求する信号（以下、「証明書要求信号」と呼ぶ）を受信する。ワンタイムＩＤ発行部２１１は、中継装置４とユーザ端末５との通信が可能か否かを判定するために用いるワンタイムＩＤを発行する。
通信判定要求部２１２は、ユーザ端末５との通信が可能か否かを判定することを要求する信号（以下、「通信可否判定要求信号」と呼ぶ）を中継装置４へ送信する。通信可否判定要求信号は、ワンタイムＩＤ発行部２１１が発行したワンタイムＩＤを含む。
アクセス要求部２１３は、中継装置４へアクセスすることを要求する信号（以下、「アクセス要求信号」と呼ぶ）をユーザ端末５へ送信する。アクセス要求信号は、ワンタイムＩＤ発行部２１１が発行したワンタイムＩＤを含む。
証明書発行部２１４は、中継装置４からユーザ端末５との通信が可能か否かを判定した結果（以下、「通信可否判定結果」）を受信する。証明書発行部２１４は、中継装置４との通信が可能なユーザ端末５に対して証明書を発行する。証明書発行部２１４は、発行した証明書をユーザ端末５へ送信する。
≪中継装置４の機能構成≫
図１４に示されているように、第４実施形態における中継装置４は、通信判定部４０１及び判定結果送信部４０２を備える。
中継装置４が備える通信判定部４０１及び判定結果送信部４０２は、図２に示されているＣＰＵ１０１がＨＤ１０４からＲＡＭ１０３上に展開したプログラムに従って、各種の命令をＲＡＭ１０３上に読み込まれたデータに対して実行することで実現される機能又は機能する手段である。
通信判定部４０１は、通信サーバ２から通信可否判定要求信号を受信する。通信判定部４０１は、通信可否判定要求信号に含まれるワンタイムＩＤを用いて、ユーザ端末５との通信が可能か否かを判定する。
判定結果送信部４０２は、通信判定部４０１による通信可否判定結果を通信サーバ２へ送信する。
≪ユーザ端末５の機能構成≫
図１４に示されているように、第４実施形態におけるユーザ端末５は、第１実施形態と同様にブラウザ５０を備える。第４実施形態におけるブラウザ５０は、第１実施形態と同様に、接続要求部５０３及び接続処理部５０４を備え、証明書要求部５３１、アクセス応答部５３２及び証明書記憶部５３３をさらに備える。
証明書要求部５３１は、ユーザ端末５を用いるユーザの操作に応じて、通信サーバ２へ証明書要求信号を送信する。
アクセス応答部５３２は、通信サーバ２からアクセス要求信号を受信する。アクセス応答部５３２は、アクセス要求信号に含まれるワンタイムＩＤを用いて、中継装置４へアクセスする。
証明書記憶部５３３は、通信サーバ２がユーザ端末５に対して発行した証明書を記憶する。
＜第４実施形態に係る通信システムの処理手順＞
図１５は、第４実施形態における通信システム１が実行する通信方法の処理手順を示す図である。
ステップＳ５３１において、ブラウザ５０が備える証明書要求部５３１は、ユーザ端末５を用いるユーザの操作に応じて、証明書要求信号を通信サーバ２へ送信する。
ステップＳ２１１において、通信サーバ２が備えるワンタイムＩＤ発行部２１１は、ユーザ端末５から証明書要求信号を受信する。ワンタイムＩＤ発行部２１１は、そのユーザ端末５との通信が可能か否かを判定するために用いるワンタイムＩＤを発行する。
ステップＳ２１２において、通信サーバ２が備える通信判定要求部２１２は、通信可否判定要求信号を中継装置４へ送信する。アクセス要求信号は、ワンタイムＩＤ発行部２１１が発行したワンタイムＩＤを含む。
ステップＳ４０１において、中継装置４が備える通信判定部４０１は、通信サーバ２から通信可否判定要求信号を受信する。通信判定部４０１は、通信可否判定要求信号に含まれるワンタイムＩＤを用いたアクセスがあることを所定の時間だけ待機する。通信判定部４０１がワンタイムＩＤを用いたアクセスを待機する時間は任意に設定すればよいが、例えば、１０秒等に設定することができる。
所定の時間内にワンタイムＩＤを用いたアクセスがあれば、通信判定部４０１は、ユーザ端末５との通信が可能であると判定する。一方、所定の時間内にワンタイムＩＤを用いたアクセスがなければ、通信判定部４０１は、ユーザ端末５との通信が不可能であると判定する。また、所定の時間内にワンタイムＩＤを用いたアクセスがあった場合でも、通信サーバ２から受信したワンタイムＩＤとアクセスがあったワンタイムＩＤが異なる場合には、ユーザ端末５との通信が不可能であると判定する。
ステップＳ２１３において、通信サーバ２が備えるアクセス要求部２１３は、アクセス要求信号をユーザ端末５へ送信する。アクセス要求信号は、ワンタイムＩＤ発行部２１１が発行したワンタイムＩＤを含む。
ステップＳ５３２において、ブラウザ５０が備えるアクセス応答部５３２は、通信サーバ２からアクセス要求信号を受信する。アクセス応答部５３２は、アクセス要求信号に含まれるワンタイムＩＤを用いて、中継装置４へアクセスする。中継装置４へのアクセスは、例えば、ブラウザ５０から通信可否を判定するためのＵＲＬをリクエストすることで行われる。この場合、ワンタイムＩＤは、例えば、そのＵＲＬへアクセスする際のクエリパラメータとして与えられる。
ステップＳ４０２において、中継装置４が備える判定結果送信部４０２は、通信判定部４０１がユーザ端末５の通信が可能か否かを判定した通信可否判定結果を、通信サーバ２へ送信する。
ステップＳ２１４Ａにおいて、通信サーバ２が備える証明書発行部２１４は、中継装置４から通信可否判定結果を受信する。通信可否判定結果がユーザ端末５との通信が可能である旨を表す場合、証明書発行部２１４は、ユーザ端末５に対して証明書を発行する。通信可否判定結果がユーザ端末５との通信が不可能である旨を表す場合、証明書発行部２１４は、証明書の発行が拒否された旨を示すエラー画面をユーザ端末５へ送信する。
ステップＳ２１４Ｂにおいて、通信サーバ２が備える証明書発行部２１４は、発行した証明書をユーザ端末５へ送信する。
ステップＳ５３３において、ブラウザ５０が備える証明書要求部５３１は、通信サーバ２から証明書を受信する。証明書要求部５３１は、受信した証明書を証明書記憶部５３３へ記憶する。証明書をブラウザ内に記憶する手段は、一般的にブラウザが備えている機能を用いればよい。ユーザ端末５にインストールされたＯＳが証明書を管理する機能を備えている場合、ＯＳ内に証明書を記憶してもよい。
ステップＳ５０３において、ブラウザ５０が備える接続要求部５０３は、ユーザ端末５を用いるユーザの操作に応じて、接続要求信号を通信サーバ２へ送信する。第４実施形態における接続要求信号は、ユーザが入力した接続情報及び証明書記憶部５３３が記憶する証明書を含む。
ステップＳ２０４において、通信サーバ２が備える接続判定部２０４は、ユーザ端末５から接続要求信号を受信する。接続判定部２０４は、接続要求信号に含まれる証明書に基づいて、ユーザ端末５とのリモートデスクトップ接続を許可するか否かを判定する。接続判定部２０４は、例えば、ユーザ端末５から受信した証明書を検証し、正当な証明書であれば、ユーザ端末５とのリモートデスクトップ接続を許可する。一方、ユーザ端末５から受信した証明書が不正な証明書であれば、接続判定部２０４は、ユーザ端末５とのリモートデスクトップ接続を拒否する。
＜第４実施形態の効果＞
第４実施形態における通信システムは、中継装置と接続可能なユーザ端末のみに証明書を発行するように構成した。例えば、中継装置を社内のネットワークに接続した場合、中継装置と通信可能な社内のネットワークに接続しているユーザ端末のみに証明書を発行することができる。この証明書に基づいてリモートデスクトップ接続を許可するか否かを判定することで、社内のネットワークに接続しているユーザ端末のみがリモートデスクトップ接続可能となる。
＜補足＞
上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC（Application Specific Integrated Circuit）、DSP（Digital Signal Processor）、FPGA（Field Programmable Gate Array）や従来の回路モジュール等のデバイスを含むものとする。
実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの１つを示すものにすぎない。ある実施形態では、通信サーバ２は、サーバクラスタといった複数のコンピューティングデバイスを含む。複数のコンピューティングデバイスは、ネットワークや共有メモリなどを含む任意のタイプの通信リンクを介して互いに通信するように構成されており、本明細書に開示された処理を実施する。
なお、上記各実施の形態において、ブラウザＩＤは、識別情報の一例である。ブラウザＩＤ発行部２０２は、識別情報発行部の一例である。
以上、本発明の実施の形態について詳述したが、本発明はこれらの実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形又は変更が可能である。
１ 通信システム
２ 通信サーバ
３ デバイス管理サーバ
４ 中継装置
５ ユーザ端末
６ 管理者端末
５０ ブラウザ
５１ デスクトップアプリケーション
５２ エージェント
１００ 通信ネットワーク
２０１ 認証処理部
２０２ ブラウザＩＤ発行部
２０３ ブラウザＩＤ記憶部
２０４ 接続判定部
２０５ 接続処理部
２０６ 接続履歴記憶部
２０７ 固有情報記憶部
２０８ デバイスＩＤ記憶部
２１１ ワンタイムＩＤ発行部
２１２ 通信判定要求部
２１３ アクセス要求部
２１４ 証明書発行部
３０１ 接続要求通知転送部
４０１ 通信判定部
４０２ 判定結果送信部
５０１ 認証要求部
５０２ ブラウザＩＤ記憶部
５０３ 接続要求部
５０４ 接続処理部
５１０ 起動情報記憶部
５１１ 固有情報取得部
５１２ ブラウザ起動部
５１３ 固有情報記憶部
５２０ デバイスＩＤ記憶部
５２１ 接続要求検知部
５２２ 接続要求通知部
５３１ 証明書要求部
５３２ アクセス応答部
５３３ 証明書記憶部
６０１ 固有情報登録部
特開２０２０－７１６２０号公報

Claims (10)

  1. ユーザ端末と通信サーバとを含む通信システムであって、
    前記ユーザ端末は、
    前記通信サーバへ認証を要求する認証要求部と、
    前記認証に成功した場合に前記通信サーバが発行する、前記ユーザ端末を識別する識別情報を前記通信サーバへ送信して接続を要求する接続要求部と、
    を備え、
    前記通信サーバは、
    前記認証の結果を得る認証処理部と、
    前記認証の結果に応じて前記識別情報を発行する識別情報発行部と、
    前記ユーザ端末から受信した前記識別情報に基づいて前記接続を許可するか否かを判定する接続判定部と、
    を備える、
    通信システム。
  2. 請求項１に記載の通信システムであって、
    前記接続判定部は、前記ユーザ端末から受信した前記識別情報が所定のネットワークから前記接続を行ったことがある前記ユーザ端末を示す場合、前記接続を許可する、
    通信システム。
  3. 請求項２に記載の通信システムであって、
    前記識別情報は、前記ユーザ端末に関するユーザ情報と関連付けられており、
    前記識別情報発行部は、前記認証に成功した前記ユーザ情報と前記識別情報とが一対一で関連付けられるように、前記識別情報を発行する、
    通信システム。
  4. 請求項１に記載の通信システムであって、
    前記接続要求部は、前記識別情報と共に前記ユーザ端末のハードウェアに関する固有情報を送信して前記接続を要求し、
    前記接続判定部は、前記ユーザ端末から受信した前記識別情報に基づく判定結果及び前記ユーザ端末から受信した前記固有情報に基づく判定結果に基づいて、前記接続を許可するか否かを判定する、
    通信システム。
  5. 請求項４に記載の通信システムであって、
    前記固有情報は、前記ユーザ端末のハードウェアから取得した属性情報をハッシュ関数に入力して得たハッシュ値である、
    通信システム。
  6. 請求項４に記載の通信システムであって、
    前記固有情報は、前記ユーザ端末のハードウェアから取得した複数の属性情報を含み、
    前記接続判定部は、前記ユーザ端末から受信した前記固有情報と予め登録された前記固有情報とを比較して、一致した前記属性情報の数に基づいて、前記接続を許可するか否かを判定する、
    通信システム。
  7. 請求項１に記載の通信システムであって、
    前記ユーザ端末は、前記接続が要求されたことを検知すると、前記識別情報をデバイス管理サーバへ通知する接続要求通知部をさらに備え、
    前記デバイス管理サーバは、前記ユーザ端末から通知された前記識別情報を前記通信サーバへ転送する接続要求通知転送部を備え、
    前記接続判定部は、前記ユーザ端末から受信した前記識別情報と前記デバイス管理サーバから通知された前記識別情報とが一致する場合、前記接続を許可する、
    通信システム。
  8. ユーザ端末と中継装置と通信サーバとを含む通信システムであって、
    前記中継装置は、前記ユーザ端末と通信可能か否かを判定する通信判定部を備え、
    前記ユーザ端末は、
    前記通信サーバへ証明書を要求する証明書要求部と、
    前記中継装置と前記ユーザ端末とが通信可能な場合に前記通信サーバが発行する、前記証明書を前記通信サーバへ送信して接続を要求する接続要求部と、
    を備え、
    前記通信サーバは、
    前記中継装置の判定結果に応じて前記証明書を発行する証明書発行部と、
    前記ユーザ端末から受信した前記証明書に基づいて前記接続を許可するか否かを判定する接続判定部と、
    を備える、
    通信システム。
  9. ユーザ端末と通信サーバとを含む通信システムが実行する通信方法であって、
    前記ユーザ端末が、前記通信サーバへ認証を要求するステップと、
    前記通信サーバが、前記認証の結果を得るステップと、
    前記通信サーバが、前記認証の結果に応じて前記ユーザ端末を識別する識別情報を発行するステップと、
    前記ユーザ端末が、前記認証に成功した場合に前記通信サーバが発行する前記識別情報を前記通信サーバへ送信して接続を要求するステップと、
    前記通信サーバが、前記ユーザ端末から受信した前記識別情報に基づいて前記接続を許可するか否かを判定するステップと、
    を含む通信方法。
  10. コンピュータに、
    認証の結果を得るステップと、
    前記認証の結果に応じてユーザ端末を識別する識別情報を発行するステップと、
    前記ユーザ端末から受信した前記識別情報に基づいて前記ユーザ端末との接続を許可するか否かを判定するステップと、
    を実行させるためのプログラム。
JP2021135687A 2021-08-23 2021-08-23 通信システム、通信方法及びプログラム Pending JP2023030513A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021135687A JP2023030513A (ja) 2021-08-23 2021-08-23 通信システム、通信方法及びプログラム
US17/818,787 US20230059180A1 (en) 2021-08-23 2022-08-10 Communication system, communication control method, and non-transitory recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2021135687A JP2023030513A (ja) 2021-08-23 2021-08-23 通信システム、通信方法及びプログラム

Publications (1)

Publication Number Publication Date
JP2023030513A true JP2023030513A (ja) 2023-03-08

Family

ID=85228414

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021135687A Pending JP2023030513A (ja) 2021-08-23 2021-08-23 通信システム、通信方法及びプログラム

Country Status (2)

Country Link
US (1) US20230059180A1 (ja)
JP (1) JP2023030513A (ja)

Also Published As

Publication number Publication date
US20230059180A1 (en) 2023-02-23

Similar Documents

Publication Publication Date Title
US11570160B2 (en) Securely authorizing access to remote resources
EP2756444B1 (en) Resource access authorization
US11921839B2 (en) Multiple device credential sharing
US8984597B2 (en) Protecting user credentials using an intermediary component
JP6289910B2 (ja) オペレーティングシステムとアプリケーション間でのユーザｉｄの共用
US9178874B2 (en) Method, device and system for logging in through a browser application at a client terminal
JP6376154B2 (ja) 画像処理システム、情報処理装置、画像処理装置及びプログラム
JP2020077353A (ja) 認証及び承認方法並びに認証サーバー
JP2023030513A (ja) 通信システム、通信方法及びプログラム
US20230046035A1 (en) Authentication apparatus and method and non-transitory computer readable medium
KR20140098028A (ko) 다중 디바이스 및 플랫폼을 위한 접속 인증 방법
TWI772954B (zh) 透過裝置識別符之網路接取技術
US11843595B2 (en) Information processing apparatus, information processing method, and storage medium
US20230274010A1 (en) Quick management action system
JP2023127338A (ja) 情報処理装置、情報処理システムおよびプログラム
JP2023034929A (ja) 情報処理装置、情報処理システム、情報処理方法、及びプログラム
JP2018036801A (ja) 情報処理装置、情報処理方法、およびコンピュータプログラム
KR20130111006A (ko) 인트라넷에 접속하기 위한 디바이스, 및 디바이스의 인트라넷 접속을 제어하는 장치 및 방법