JP2023110316A - ネットワーク認証装置、認証方法およびプログラム - Google Patents

Abstract

【課題】キーデバイスなどを不要とし、２段階認証による安全な認証を行えるネットワーク認証装置を提供する。【解決手段】認証サーバは、第１ネットワークを介して通信可能な第３通信部、第２ネットワークを介して通信可能な第４通信部及びメモリを備える。メモリには、個々のユーザに応するユーザＩＤ、第１ネットワークの識別情報であるＬＡＮパスワード、第２ネットワークの識別情報であるメッシュＩＤ及びユーザのデバイスの識別情報であるデバイスＩＤを含む照合テーブルが予め設定されている。ユーザ端末から、第１ネットワークを通してユーザＩＤとＬＡＮパスワードを含むネットワーク接続要求が送信される。認証サーバは、接続要求を送信してきたユーザ端末のユーザＩＤに対応するＬＡＮパスワード及びメッシュＩＤがすべて照会テーブルに登録されていると判断したとき、そのユーザ端末に対して、認証ＯＫを通知して、ＬＡＮ接続を許可する。【選択図】図５

Description

この発明は、ネットワーク認証装置、認証方法およびプログラムに関し、特に、２段階認証方式による、ネットワーク認証装置、認証方法およびプログラムに関する。

ウェブサイトへのログインを実施する際には、一般的な２段階認証方法として、ＳＭＳ（Short Message Service）で伝達した情報を入力させる方式、またサイトでログイン後にトークン発行デバイスのランダム値を追加認証に利用する方式などがある。

また、特許文献１では、ＷＡＮ（Wide Area Network）接続認証のために、ブルートゥースメッシュネットワーク（Bluetooth（商標）Mesh Network）を利用する技術が示されている。

上記の２段階認証の方法では、どちらも異なる通信経路で認証を求めることにより、セキュリティ性を向上しているが、ユーザ自らが操作する内容が増えるため、ユーザの利便性は低下する。また、追加の認証を促す必要があるため、攻撃者にからは２段階目の認証方法が見えることとなり、解析ヒントを与えてしまうという問題がある。

これに対して、特許文献１の技術では、このような問題はない。

特開２０２０‐１９５０４５号公報

しかしながら、特許文献１の技術では、ＷＡＮ接続許可は２段階の認証ではないし、キーデバイスが別途必要であり利便性を損なう。

それゆえに、この発明の主たる目的は、新規な、ネットワーク認証装置、認証方法およびプログラムを提供することである。

この発明の他の目的は、キーデバイスなどを不要とし、２段階認証による安全な認証を行える、ネットワーク認証装置、認証方法およびプログラムを提供することである。

第１の発明は、第１ネットワークを介して通信可能な第１通信部および第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置であって、第１ネットワークを介して通信可能な第３通信部、第２ネットワークを介して通信可能な第４通信部、クライエント装置のユーザのユーザ識別情報と、ユーザ識別情報にそれぞれ個別に対応する第１ネットワークに関する第１ネットワーク識別情報、第２ネットワークに関する第２ネットワーク識別情報およびユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブル、第３通信部および第４通信部の一方が第１ネットワーク識別情報および第２ネットワーク識別情報の一方を受信したとき、照会テーブルに登録されている第１ネットワーク識別情報および第２ネットワーク識別情報の他方の識別情報が一方の識別情報に対応しているかどうか判断する第１判断手段、第１判断手段で一方の識別情報に対応する他方の識別情報が照合テーブルに登録されていると判断したとき、さらに照合テーブルを参照して、ユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断手段、および第２判断手段でユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致していると判断したとき、クライエント装置のウェブサイトへのアクセスを許可する許可手段を備える、ネットワーク認証装置である。

第１の発明によれば、照会テーブルを参照することによって、認証装置での第２段階目の認証を隠蔽できるので、２段階認証でありながら、安全なネットワーク認証が可能になる。

第２の発明は第１の発明に従属し、第１判断手段で照会テーブルに登録されている他方の識別情報が一方の識別情報に対応すると判断しなかったとき、または第２判断手段でユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致していると判断しなかったとき、クライエント装置のウェブサイトへのアクセスを不許可とする不許可手段をさらに備える、ネットワーク認証装置である。

第３の発明は、第１または第２の発明に従属し、第１判断手段は、一方の識別情報を受信したとき、照会テーブルを参照して一方の識別情報に対応する他方の識別情報が登録されているかどうか判断する登録判断手段を含む、ネットワーク認証装置である。

第４の発明は、第１または第２の発明に従属し、第１判断手段は、一方の識別情報を受信したとき、照会テーブルを参照して一方の識別情報に対応する他方の識別情報に対応するデバイス識別情報が示すデバイスへ第３通信部および第４通信部のいずれかによって応答要求を送信し、その応答要求に対して応答があるかどうか判断する応答判断手段を含む、ネットワーク認証装置である。

第５の発明は、第１または第２の発明に従属し、第１判断手段は、一方の識別情報を受信したとき、さらに一方の識別情報に対応する他方の識別情報を伴う接続要求があるかどうか判断する接続要求受信判断手段を含む、ネットワーク認証装置である。

第６の発明は、第１ネットワークを介して通信可能な第１通信部および第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置のための認証プログラムであって、認証装置は、第１ネットワークを介して通信可能な第３通信部、第２ネットワークを介して通信可能な第４通信部、およびクライエント装置のユーザのユーザ識別情報と、ユーザ識別情報にそれぞれ個別に対応する第１ネットワークに関する第１ネットワーク識別情報、第２ネットワークに関する第２ネットワーク識別情報およびユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブルを備え、認証プログラムは認証装置のコンピュータを、第３通信部および第４通信部の一方が第１ネットワーク識別情報および第２ネットワーク識別情報の一方を受信したとき、照会テーブルに登録されている第１ネットワーク識別情報および第２ネットワーク識別情報の他方の識別情報が一方の識別情報に対応しているかどうか判断する第１判断手段、第１判断手段で一方の識別情報に対応する他方の識別情報が照合テーブルに登録されていると判断したとき、さらに照合テーブルを参照して、ユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断手段、および第２判断手段でユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致していると判断したとき、クライエント装置のウェブサイトへのアクセスを許可する許可手段として機能させる、認証プログラムである。

第７の発明は、第１ネットワークを介して通信可能な第１通信部および第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置を用いた認証方法であって、認証装置は、第１ネットワークを介して通信可能な第３通信部、第２ネットワークを介して通信可能な第４通信部、およびクライエント装置のユーザのユーザ識別情報と、ユーザ識別情報にそれぞれ個別に対応する第１ネットワークに関する第１ネットワーク識別情報、第２ネットワークに関する第２ネットワーク識別情報およびユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブルを備え、認証方法は、第３通信部および第４通信部の一方が第１ネットワーク識別情報および第２ネットワーク識別情報の一方を受信したとき、照会テーブルに登録されている第１ネットワーク識別情報および第２ネットワーク識別情報の他方の識別情報が一方の識別情報に対応しているかどうか判断する第１判断ステップ、第１判断ステップで一方の識別情報に対応する他方の識別情報が照合テーブルに登録されていると判断したとき、さらに照合テーブルを参照して、ユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断ステップ、および 第２判断ステップでユーザ識別情報と第１ネットワーク識別情報および第２ネットワーク識別情報の他方とが一致していると判断したとき、クライエント装置のウェブサイトへのアクセスを許可する許可ステップを含む、認証方法である。

この発明によれば、２段階目の方式は隠蔽されているので、安全性が高い。また、キーデバイスのような付属の機器が不要であり、ユーザの利便性が損なわれることがない。

図１はこの発明の一実施例に係るネットワークシステムの一例を示すブロック図である。 図２はこの実施例におけるユーザ端末および認証サーバの関係を示すブロック図である。 図３は認証サーバのメモリのメモリマップの一例を示す図解図である。 図４は認証サーバのメモリに設定される照会テーブルの一例を示す図解図である。 図５はこの実施例における認証サーバの認証部の動作の一例を示すフロー図である。 図６はこの実施例における認証サーバの認証部の動作の他の例を示すフロー図である。図である。 図７はこの実施例における認証サーバの認証部の動作のその他の例を示すフロー図である。 図８は実施例の応用例における認証サーバの動作の一例を示すフロー図である。 図９は実施例の他の応用例における認証サーバの動作の一例を示すフロー図である。 図１０は実施例のその他の応用例における認証サーバの動作の一例を示すフロー図である。 図１１はこの発明の他の実施例に係るネットワークシステムの一例を示すブロック図である。

図１を参照して、この発明の一実施例であるネットワークシステム１０は、２つの異なる系統のネットワーク１２および１４によって構成される。

このネットワーク１２および１４を通して、クライエント装置、たとえばユーザ端末１６、携帯端末１８および複合機（ＭＦＰ）２０がウェブサイト（Web Site）の一例としてのデータベース２２にアクセスする。このとき、認証サーバ２４がこれらのユーザデバイスないしクライエント装置１６、１８または２０のデータベース２２へのアクセスを認証する。

図２を参照して、認証サーバ２４と、その認証サーバ２４による認証を受ける端末の代表例としてのユーザ端末１６との関係を詳細に説明する。

ユーザ端末１６は、制御部２６を含み、制御部２６はたとえばＣＰＵおよびメモリ当データ構成されるコンピュータである。制御部２６にはユーザインタフェース２８が接続される。ユーザインタフェース２８は、一例として、キーボードやタッチパネルなどの入力手段と、ディスプレイやスピーカなどの出力手段を含む。

ユーザ端末１６は、さらに、第１通信部３０および第２通信部３２を含む。第１通信部３０は、たとえばWi‐Fi（商品名）またはEthernet（商品名）のような第１ネットワーク１２を使ってデータを送受信する通信部である。第２通信部３２は、たとえばBluetooth Mesh Network（商品名、以下、「ＢＴメッシュ」）のような第２ネットワーク１４を使ってデータを送受信する通信部である。

認証サーバ２４は、認証部３４を含み、この認証部３４は、ＣＰＵ３６およびメモリ３８等からなるコンピュータである。認証サーバ２４は、さらに、第３通信部４０および第４通信部４２を含む。第３通信部４０は、第１ネットワーク１２を介して、たとえばユーザ端末１６の第１通信部３０と通信可能な通信部である。第４通信部４２は、第２ネットワーク１４を介して、たとえばユーザ端末１６の第２通信部３２と通信可能な通信部である。

第１ネットワーク１２としてのWi‐FiまたはEthernetはよく知られているように、無線ＬＡＮを構築するためなどに利用される比較的長い通信距離で比較的速い通信速度を持つネットワークである。これに対して第２ネットワーク１４としてのＢＴメッシュは、本来比較的短い通信距離や比較的遅い通信速度のBluetooth（商品名。以下「ＢＴ」ということがある。）を多数のノードによってメッシュに構成したネットワークである。つまり、第１ネットワーク１２および第２ネットワーク１４は、それぞれ別系統のネットワークである。したがって、これらの第１ネットワーク１２および第２ネットワーク１４を介して通信する、第１通信部３０ならびに第３通信部４０と第２通信部３２ならびに第４通信部４２は、それぞれ、系統（階層）の異なる通信部である。

図３は、認証サーバ２４のメモリ３８のメモリマップである。このメモリ３８は、プログラム記憶領域４６およびデータ記憶領域４８を含む。

プログラム記憶領域４６には、全体制御プログラム５０ａ、通信プログラム５０ｂ、認証プログラム５０ｃ、…を含む。

全体制御プログラム５０ａは、この認証サーバ２４の全体の制御のためのプログラムであり、場合によっては、通信や認証の制御をも含むものではあるが、ここでは、便宜上、通信プログラム５０ｂおよび認証プログラム５０ｃとは分けて示した。

通信プログラム５０ｂは、第３通信部４０および第４通信部４２を制御して、たとえばユーザ端末１６や、携帯端末１８、ＭＦＰ２０（図１）などとの通信を制御するためのプログラムである。

認証プログラム５０ｃは、ユーザ端末１６や、携帯端末２８、ＭＦＰ２０（図１）などとの通信を通して。これらがデータベース２２にアクセスしてもよいかどうかを決定（認証）する。

データ記憶領域４８には、バッファ領域５２ａおよび照会テーブル領域５２ｂ等が形成される。

バッファ領域５２ａは、第３通信部４０および第４通信部４２を通して受信したデータ等を一時的に記憶する。

照会テーブル領域５２ｂは、図４に示すような照会テーブル５４が予め設定される。

照会テーブル５４は、ユーザＩＤ、ＬＡＮへのアクセスパスワード（ＬＡＮパスワード）、ユーザに紐づけられたＢＴメッシュへのアクセス機能を持ったデバイスのデバイスＩＤおよびそのようなメッシュネットワークアクセス機能を持ったデバイスのＢＴメッシュ上でのＩＤ（メッシュＩＤ）のそれぞれを照合可能なテーブルである。

このような照会テーブル５４は、各認証サーバ２４に対して、予め記憶されている。

図４を参照して、照合テーブル５４は、その認証サーバ２４が担当する複数のユーザのＩＤ（識別情報）を含み、その複数のユーザＩＤの各々に個別に対応する、
ＬＡＮパスワード、メッシュＩＤおよびデバイスＩＤを記憶する。

ＬＡＮパスワードは、第１ネットワーク１２がＬＡＮの場合の、ユーザＩＤに対応する、パスワードであり、第１ネットワーク１２に関する固有の第１ネットワーク識別情報である。実施例では、第１ネットワーク１２に関する第１ネットワーク識別情報の代表としてＬＡＮパスワードを用いて説明する。

メッシュＩＤは、第２ネットワーク１４がＢＴメッシュの場合の、ユーザＩＤに対応する、ＩＤであり、第２ネットワーク１４に関する固有の第２ネットワーク識別情報である。実施例では、第２ネットワーク１４に関する第２ネットワーク識別情報の代表としてメッシュＩＤを用いて説明する。

デバイスＩＤは、ユーザＩＤに対応するユーザのデバイス（パソコン、携帯端末（スマホ）、ＭＦＰ等）を識別するための識別情報である。ユーザのデバイスは、ユーザが現に所持しているデバイスの他、ユーザが所有しているデバイスまたはユーザの使用が許容されているデバイスなどを含む。

照会テーブル５４内のデータの一例として、「１」のユーザＩＤを有するユーザ端末１６のＬＡＮパスワードは「ａａａａａａａａａ」であり、メッシュＩＤは「ＭＩＤ１」ＩＤであり、デバイスＩＤは「ＤＥＶ１」であると登録されている。

このような照会テーブル５４がメモリ３８の照会テーブル領域５２ｂに予め設定されている。

次に図５のフロー図を参照して、ユーザＩＤとメッシュＩＤとの照合により認証する場合の、認証サーバ２４（認証部３４）の動作の一例を説明する。

なお、図５‐図７に示す２段階認証は、主として、通信プログラム５０ｂおよび認証プログラム５０ｃに基づいて認証部３４が実行するものであり、いずれの場合も１段階目の認証として第２ネットワーク１４であるＢＴメッシュもしくはそれに関連する情報を用い、２段階目の認証としてユーザＩＤおよび第１ネットワーク１２としてのＬＡＮのパスワード（ＬＡＮパスワード）の照合を行うこととしている。しかしながら、この順序は逆であってもよいことを予め指摘しておく。つまり、第１ネットワーク１２での認証と第２ネットワーク１４での認証のどちらが先でもよい。

図５の実施例は、簡単にいうと、１段階目の認証として、ＬＡＮ経由の接続要求を行ったユーザＩＤと対応する、現時点で有効なメッシュＩＤが照合テーブル５４上に存在するかの判定結果を用いる、２段階認証の実施例である。

最初のステップＳ１では、たとえばユーザ端末１６の第１通信部３０から第１ネットワーク１２を通して送信されてきたネットワーク接続要求を第３通信部４０を通して、認証部３４が受信する。このネットワーク接続要求には、ユーザＩＤおよびＬＡＮパスワードが含まれる。このユーザＩＤおよびＬＡＮパスワードは、メモリ３８のバッファ領域５２ａに一時的に記憶される。

そこで、認証部３４は、続くステップＳ２で、このユーザＩＤに対応するメッシュＩＤがあるかどうか、照合テーブル５４を参照して判断する。このステップＳ２が登録判断手段である。

このステップＳ２で“ＹＥＳ”を判断した場合、つまりステップＳ１で受信したユーザＩＤに対応するメッシュＩＤが照合テーブル５４に登録されていると判断したとき、次のステップＳ３で、認証部３４は、ステップＳ１で受信したユーザＩＤとＬＡＮパスワードが一致しているかどうか、照合テーブル５４を参照して、判断する。

ステップＳ２およびＳ３でともに“ＹＥＳ”を判断したとき、つまり、接続要求を送信してきたユーザ端末１６のユーザＩＤに個別的に対応するＬＡＮパスワードおよびメッシュＩＤがすべて照会テーブル５４に登録されていると判断したとき、認証部３４は、ステップＳ４で、そのユーザ端末１６に対して、認証ＯＫ（認証成功）を通知して、ＬＡＮ接続を許可する。

これに対して、ステップＳ２およびステップＳ３の少なくとも１つの判断ステップで“ＮＯ”を判断したとき、認証部３４はステップＳ５で、ユーザ端末１６に対して、認証ＮＧ（認証失敗）を通知して、ＬＡＮ接続を不許可とする。

このように、この実施例でも２つの要素で認証を行う２段階認証であるが、照会テーブルを利用しているため、２段階目の認証方法は隠蔽されている。そのため、仮にこのネットワークシステム１０に対する攻撃があっても、その攻撃者に対して２段階目の方式は隠蔽されているので、攻撃者のランダムな攻撃で認証ＯＫを獲得することはできない。

また、この実施例では、メッシュネットワークへの参加承認済みを利用するので、アプリ毎の個別認証は不要であるとともに、キーデバイスにあたる機器は不要であり、ユーザの利便性は一層改善されている。

図６の実施例は、簡単にいうと、１段階目の認証として、ＬＡＮ経由の接続要求を行ったユーザＩＤと対応する、現時点で有効なＢＴメッシュのメッシュＩＤ（照合テーブル５４で分かる）に対して認証サーバ２４よりＢＴメッシュからアクセスを行い、これに対する応答の有無を判定結果として用いる、実施例である。

最初のステップＳ１１では、図５のステップＳ１と同様に、第３通信部４０を通してユーザ端末１６からの接続要求を受信する。このユーザＩＤおよびＬＡＮパスワードは、メモリ３８のバッファ領域５２ａに一時的に記憶される。

次に、ステップＳ１２で、認証サーバ２４の認証部３４は、第４通信部４２を制御して、第２ネットワーク１４を通して、そのユーザ端末１６に接続要求を送信する。ステップＳ１２が応答要求送信手段を構成する。

その後、ステップＳ１３で、認証サーバ２４からの第２ネットワーク１４経由の接続要求に対して、当該のユーザ端末１６から応答があったかどうか判断する。このステップＳ１３が応答判断手段を構成する。

ステップＳ１３において、ユーザ端末１６からの応答があると判断したとき、認証部３４は、続くステップＳ１４で、図５のステップＳ３と同様にして、ステップＳ１１で受信したユーザＩＤとＬＡＮパスワードが一致しているかどうか、照合テーブル５４を参照して、判断する。

ステップＳ１３およびＳ１４でともに“ＹＥＳ”を判断したとき、つまり、接続要求を送信してきたユーザ端末１６のユーザＩＤに個別的に対応するＬＡＮパスワードおよびメッシュＩＤがすべて照会テーブル５４に登録されていると判断したとき、認証部３４は、ステップＳ１５で、そのユーザ端末１６に対して、認証ＯＫを通知して、ＬＡＮ接続を許可する。つまり、このステップＳ１５を実行する認証部３４は、（アクセス）許可手段を構成する。

これに対して、ステップＳ１３およびステップＳ１４の少なくとも１つの判断ステップで“ＮＯ”を判断したとき、認証部３４は、ステップＳ１６で、ユーザ端末１６に対して、認証ＮＧを通知して、ＬＡＮ接続を不許可とする。つまり、このステップＳ１６を実行する認証部３４は、（アクセス）不許可手段を構成する。

この実施例においても、２段階目の認証方式が隠蔽されているので、安全なネットワークシステムが得られる。

さらに、図７を参照して、別の実施例について説明する。

図７の実施例は、１段階目の認証として、第１ネットワーク１２、たとえばＬＡＮ経由の接続要求と併せて、第２ネットワーク１４、たとえばＢＴメッシュ経由の接続要求がユーザ端末１６から行われる、実施例である。

最初のステップＳ２１で、図５のステップＳ１と同様の、ユーザ端末１６からの接続要求を受信する。

次いで、ユーザ端末１６から送信される、ＢＴメッシュ経由で送信される接続要求を受信する。つまり、ユーザ端末１６の制御部２６（図２）は、ステップＳ２１で、第１通信部３０から第１ネットワーク１２を介して、認証サーバ２４に接続要求を送信するとともに、ステップＳ２２で、第２通信部３２から第２ネットワーク１４を介して、認証サーバ２４に接続要求を送信する
したがって、この時点で、認証サーバ２４のメモリ３８のバッファ領域５２ａには、ユーザＩＤ、ＬＡＮパスワードおよびメッシュＩＤが一時的に記憶されている。

そして、認証サーバ２４は、ステップＳ２３で、ステップＳ２２で受信した接続要求のメッシュＩＤがステップＳ２１で受信したユーザＩＤからのものかどうか判断する。つまり、記憶しているユーザＩＤに対応すると想定できる（照合テーブル５４を参照して）メッシュＩＤを伴う接続要求であったかどうか判断する。このステップＳ２３が接続要求受信判断手段を構成する。

その後、図５のステップＳ３、Ｓ４およびＳ５と同様のステップＳ２４、Ｓ２５およびＳ２６が実行され、ユーザ端末１６に対して、認証ＯＫまたは認証ＮＧが通知される。

上述の実施例において、図５のステップＳ２、図６のステップＳ１３または図７のステップＳ２３を実行する認証部３４が第１判断手段を構成し、図５のステップＳ３、図６のステップＳ１４または図７のステップＳ２４を実行する認証部３４が第２判断手段を構成する。

このような実施例の応用例として、図８に、ＢＴメッシュ参加認証に用いるキーと、参加認証対象であるデバイスが一致した例としてスマートフォンを第２ネットワーク１４であるＢＴメッシュに参加させる実施例を示す。

たとえば、オフィスや工場などの構内への入り口に設置された読み取り機（図示せず）にスマートフォン１８（図１）をかざすことによって、そのデバイス（スマートフォン１８）のデバイスＩＤが認証サーバ２４に送られる。

ステップＳ３１で、認証サーバ２４は、照合テーブル５４を参照して、そのデバイスＩＤがＢＴメッシュ（第２ネットワーク１４）への参加を許可されているのかを判定する。このステップＳ３１で“ＹＥＳ”を判断したとき、つまり、そのスマートフォン１８がＢＴメッシュへの参加が許可されているのであれば、次のステップＳ３２でＢＴメッシュへの参加（プロビジョニング）を実行する。ただし、プロビジョニングはどのように行われてもかまわない。

その後、ステップＳ３３でそのプビジョニングがＯＫかどうか判断する。このステップＳ３３で“ＹＥＳ”を判断したとき、認証サーバ２４は、ステップＳ３４で、照合テーブル５４（図４）へそのスマートフォン１８のデバイスＩＤに対応してメッシュＩＤを登録する。

ただし、ステップＳ３３で“ＮＯ”を判断したとき、つまりプロビジョニングに失敗したときには、ステップＳ３５で、スマートフォン１８のＢＴメッシュへの参加を不承認とする。この不承認は、該当のスマートフォン１８にメッセージとして通知されてもよい。

同様の応用例として、図９には、認証に用いるキーとして、ＮＦＣ（近距離無線通信）等の非接触通信機能を備えた社員証を用い、その社員証が該当するユーザＩＤと紐づけられたデバイスを参加認証対象とする場合の実施例を示す。

たとえば、オフィスや工場などの構内への入り口に設置された読み取り機（図示せず）に社員証をかざすことによって、ユーザＩＤ（社員証番号）が認証サーバ２４に送られる。認証サーバ２４の認証部３４は、ステップＳ４１で、そのユーザＩＤがＢＴメッシュ（第２ネットワーク１４）への参加を許可されたデバイス、たとえばＰＣ（パソコン）（図示せず）所有しているのかを判断する。この判断は、照合テーブル５４にユーザＩＤに対応するデバイスＩＤが登録されているかどうかに基づいて判断できる。

そして、ステップＳ４１で“ＹＥＳ”を判断したとき、認証部３４は、次のステップＳ４２で、そのデバイスＩＤに対応するメッシュＩＤを用いて、その社員の所有するＰＣ（構内いずれかの場所にある対象デバイス）へのアクセスを一定期間試み、アクセス可能かどうか、判断する。つまり、ステップＳ４２で“ＮＯ”を判断したとき、たとえばメモリ３８のデータ記憶領域４８に設けたタイマ（図示せず）による一定時間内（ステップＳ４３）に応答があるかどうか判断する。

ステップＳ４２で“ＹＥＳ”の判断をしたとき、認証サーバ２４は、ステップＳ４４およびＳ４５で、先の実施例のステップＳ３２およびＳ３３と同様の処理を実行して、ステップＳ４５で“ＹＥＳ”を判断したとき、認証サーバ２４は、ステップＳ４６で、照合テーブル５４（図４）へその社員が所有するＰＣのデバイスＩＤに対応してメッシュＩＤを登録する。

ステップＳ４３でタイムアウトを検出したとき、またはステップＳ４５で“ＮＯ”を判断したとき、ステップＳ４７で、そのＰＣのＢＴメッシュへの参加を不承認とする。この不承認は、該当のＰＣにメッセージとして通知されてもよい。

図８および図９の実施例では、スマートフォン１８またはたとえばＮＦＣ付の社員証を前述のような読み取り機にかざすことによって、ユーザＩＤを認証サーバ２４に伝えるようにしたが、図１０の実施例では、スマートフォン１８、ＰＣ（図示せず）、ＭＦＰ２０（図１）などに設けた読み取り機（図示せず）によって、ユーザの生体情報（指紋、掌紋、声紋など）を読み取ることによって、ユーザＩＤを認証サーバ２４に伝える。

その後は、図９のステップＳ４１‐Ｓ４７と同様のステップＳ５１‐Ｓ５７を実行して、該当するデバイスのデバイスＩＤへのＢＴメッシュへの参加を承認し、または不承認とする。

なお、図８‐図１０に示す実施例において、該当するデバイス、スマートフォン１８、ＮＦＣ付の社員証、ＭＦＰ２０などのＢＴメッシュへのアクセスが許可される有効期間あるいはメッシュＩＤを登録した（ステップＳ３４、Ｓ４６またはＳ５６）照合テーブル５４が有効である期間を１日とするタイムアウト期間を設けてもよい。

さらに、前記の読み取り機を構内への入口に設置した場合には、構外への出門時に認証時と同様の読み取り機へ再度スマートフォンや社員証をかざすことでこれらを無効とするようにしてもよい。

もしくは、該当するユーザＩＤを有するユーザの退勤処理時に無効とするようにしてもよい。

上述の実施例では、ユーザ端末１６のようなデバイスに、第２通信部３２を内蔵し、その第２通信部３２から第２ネットワーク１４を通して、認証サーバ２４と通信したが、そのような第２通信部３２を内蔵しないデバイスにもこの発明は適用できる。

図１１はこの発明の他の実施例を示すブロック図である。この実施例のネットワークシステム１０は、ユーザのデバイスの一例としてのユーザ端末１６がＵＳＢ／ＮＦＣポート３２Ａを備え、そのＵＳＢ／ＮＦＣポート３２Ａに装着された、たとえばＢＴトングルのような第２ネットワーク参加デバイス３２Ｂで第２通信部を構成するようにしている。ただし、「ドングル」とは、よく知られているように、コンピュータのＵＳＢポートのような外部接続端子に差し込んで特定の機能を提供する
小型装置であり、ソフトウエアの不正使用を防止するために用いる認証装置、インターフェースの変換を行う装置あるいは無線通信を行う装置などがある。したがって、この実施例で使用されるＢＴトングルは、コンピュータ等の外部接続端子に接続された無線通信を行う小型装置ということができる。

この実施例では、ユーザ端末１６はこの第２ネットワーク参加デバイス３２Ｂを第２通信部３２として使用し、認証サーバ２４とのデータのやり取りを行うことができるのだ、認証サーバ２４としては、図５‐図１０で説明した動作を変更することなく、実行することができる。

１０ …ネットワークシステム
１２ …第１ネットワーク
１４ …第２ネットワーク
１６ …ユーザ端末
１８ …携帯端末
２０ …ＭＦＰ（複合機）
２２ …データベース
２４ …認証サーバ
２６ …制御部
３０、４０ …第１通信部
３２、４２ …第２通信部
３２Ａ …ＵＳＢポート
３２Ｂ …第２ネットワーク参加デバイス
３４ …認証部

Claims (7)

1. 第１ネットワークを介して通信可能な第１通信部および前記第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置であって、
   前記第１ネットワークを介して通信可能な第３通信部、
   前記第２ネットワークを介して通信可能な第４通信部、
   前記クライエント装置のユーザのユーザ識別情報と、前記ユーザ識別情報にそれぞれ個別に対応する前記第１ネットワークに関する第１ネットワーク識別情報、前記第２ネットワークに関する第２ネットワーク識別情報および前記ユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブル、
   前記第３通信部および前記第４通信部の一方が前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の一方を受信したとき、前記照会テーブルに登録されている前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方の識別情報が前記一方の識別情報に対応しているかどうか判断する第１判断手段、
   前記第１判断手段で前記一方の識別情報に対応する前記他方の識別情報が前記照合テーブルに登録されていると判断したとき、さらに前記照合テーブルを参照して、前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断手段、および
   前記第２判断手段で前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致していると判断したとき、前記クライエント装置の前記ウェブサイトへのアクセスを許可する許可手段を備える、ネットワーク認証装置。
2. 第１判断手段で前記照会テーブルに登録されている前記他方の識別情報が前記一方の識別情報に対応すると判断しなかったとき、または前記第２判断手段で前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致していると判断しなかったとき、前記クライエント装置の前記ウェブサイトへのアクセスを不許可とする不許可手段をさらに備える、請求項１記載のネットワーク認証装置。
3. 前記第１判断手段は、前記一方の識別情報を受信したとき、前記照会テーブルを参照して前記一方の識別情報に対応する前記他方の識別情報が登録されているかどうか判断する登録判断手段を含む、請求項１または２記載のネットワーク認証装置。
4. 前記第１判断手段は、前記一方の識別情報を受信したとき、前記照会テーブルを参照して前記一方の識別情報に対応する前記他方の識別情報に対応するデバイス識別情報が示すデバイスへ前記第３通信部および前記第４通信部のいずれかによって応答要求を送信し、その応答要求に対して応答があるかどうか判断する応答判断手段を含む、請求項１または２記載のネットワーク認証装置。
5. 前記第１判断手段は、前記一方の識別情報を受信したとき、さらに前記一方の識別情報に対応する前記他方の識別情報を伴う接続要求があるかどうか判断する接続要求受信判断手段を含む、請求項１または２記載のネットワーク認証装置。
6. 第１ネットワークを介して通信可能な第１通信部および前記第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置のための認証プログラムであって、前記認証装置は、前記第１ネットワークを介して通信可能な第３通信部、前記第２ネットワークを介して通信可能な第４通信部、および前記クライエント装置のユーザのユーザ識別情報と、前記ユーザ識別情報にそれぞれ個別に対応する前記第１ネットワークに関する第１ネットワーク識別情報、前記第２ネットワークに関する第２ネットワーク識別情報および前記ユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブルを備え、前記認証プログラムは前記認証装置のコンピュータを、
   前記第３通信部および前記第４通信部の一方が前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の一方を受信したとき、前記照会テーブルに登録されている前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方の識別情報が前記一方の識別情報に対応しているかどうか判断する第１判断手段、
   前記第１判断手段で前記一方の識別情報に対応する前記他方の識別情報が前記照合テーブルに登録されていると判断したとき、さらに前記照合テーブルを参照して、前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断手段、および
   前記第２判断手段で前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致していると判断したとき、前記クライエント装置の前記ウェブサイトへのアクセスを許可する許可手段として機能させる、認証プログラム。
7. 第１ネットワークを介して通信可能な第１通信部および前記第１ネットワークとは異なる第２ネットワークを介して通信可能な第２通信部を有するクライエント装置からのウェブサイトへのアクセスを認証するネットワーク認証装置を用いた認証方法であって、前記認証装置は、前記第１ネットワークを介して通信可能な第３通信部、前記第２ネットワークを介して通信可能な第４通信部、および前記クライエント装置のユーザのユーザ識別情報と、前記ユーザ識別情報にそれぞれ個別に対応する前記第１ネットワークに関する第１ネットワーク識別情報、前記第２ネットワークに関する第２ネットワーク識別情報および前記ユーザのデバイスを識別するためのデバイス識別情報を予め登録している照合テーブルを備え、前記認証方法は、
   前記第３通信部および前記第４通信部の一方が前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の一方を受信したとき、前記照会テーブルに登録されている前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方の識別情報が前記一方の識別情報に対応しているかどうか判断する第１判断ステップ、
   前記第１判断ステップで前記一方の識別情報に対応する前記他方の識別情報が前記照合テーブルに登録されていると判断したとき、さらに前記照合テーブルを参照して、前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致しているかどうか判断する第２判断ステップ、および
   前記第２判断ステップで前記ユーザ識別情報と前記第１ネットワーク識別情報および前記第２ネットワーク識別情報の他方とが一致していると判断したとき、前記クライエント装置の前記ウェブサイトへのアクセスを許可する許可ステップを含む、認証方法。

Images