JP2686218B2 - コンピュータシステム上の別名の検出方法、分散型コンピュータシステム及びその作動方法、及び別名の検出を実行する分散型コンピュータシステム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はコンピュータシステム上
の別名の検出方法、分散型コンピュータシステム及びそ
の作動方法、及び別名の検出を実行する分散型コンピュ
ータシステムに関する。

【０００２】

【従来の技術】認可されたユーザでありながら故意に或
いは偶発的に大きなダメージを引き起してしまうような
人を無責任なユーザと言う。例としては、あるコンピュ
ータのファイルに対するアスセスを許可されているコン
ピュータのユーザが許可を得てキーファイルのコピーを
作成し、それを不当に伝送するような場合である。この
種の違反行為は信用の侵害と定義することができる。こ
のような安全性の欠如による不正からサイトを保護する
ためにコンピュータのオペレーティングシステムができ
ることは殆どない。何故なら、初めのファイルへのアク
セスは完全に許可されたものであり、この違反行為は許
可されたアクセスで得たものを不当に伝送したことによ
り生じたものであるからである。

【０００３】ユーザプロービングとは、コンピュータの
ユーザがコンピュータシステムの充分には保護されてい
ない部分を悪用して無許可でアクセス権を得るような状
況を言う。プロービングとは、通常、コンピュータのユ
ーザが、コンピュータシステムを自由に見ることができ
る正当なアクセス権を有するトップレベルのコンピュー
タ設備を使用することを意味する。

【０００４】ユーザペネトレーションは実施において比
較的人目につかない弱点を見つけて既存の安全制御を迂
回しようとすることを言う。ユーザプロービングやユー
ザペネトレーションに対して保護するために、コンピュ
ータシステムは通常、ユーザの同一性を認証する工程を
備えている。コンピュータシステムにおけるユーザの同
一性の認証とは、ユーザの同一性を確認することによ
り、そのユーザからの要求に安全対策を適切に適用でき
るようにすることである。通常、ユーザ認証には、生体
的な情報、暗号的な情報等の各自の利用資格を審査する
ことが含まれる。中規模から大規模にかけての分散型コ
ンピュータシステムでは、ある特定のコンピュータのユ
ーザが、それぞれ正当な幾つかの異なるコンピュータユ
ーザのアカウントを経由してコンピュータネットワーク
にアクセスできるような場合がしばしばある。例えば、
あるコンピュータのユーザが、仕事場では従業員用のコ
ンピュータシステムにより、また自宅ではモデムを使用
してパーソナルコンピュータによりネットワークを通し
てコンピュータにアクセスすることがある。職務の分離
の方針がコンピュータネットワークのサーバにより実施
されるような場合、異なる２つのコンピュータの要求が
別人からのものかどうかをそのサーバが判断できるため
の手段がなくてはならない。一個人が複数のユーザアカ
ウントにアクセスできる場合、それらのアカウントはそ
の一個人の別名（ａｌｉａｓ）アカウントと呼ばれる。

【０００５】従って、別名とは自身の行動に責任が持て
る個人のための別の識別と定義される。コンピュータユ
ーザの別名のアカウントがある可能性がある場合、例え
ばパスワードや公衆的なキー等の、認証データを直接比
較するだけでは好ましくないユーザの別名を防止するの
に不充分である。一人のユーザが認証情報とは異なる情
報を含んでいる可能性のある別個のユーザアカウントを
得ることを防止するための制御は事実上無いからであ
る。

【０００６】多くのビジネス用及び商業用アプリケーシ
ョンに要求されるコンピュータの安全対策の１つのタイ
プは職務の分離の方針と呼ばれている。この方針は重要
な仕事上の手続を行なうためにその仕事のある工程を異
なる人間により実行することを要件とするものである。
この方針の目的はトランザクションの責任を異なる何人
かの人間に分散することにより、単独で行動する一人の
人間が問題となる行動をとれなくすることにある。これ
により、異なる責任を持つ異なる人間が互いに対してチ
ェックを行うことになる。

【０００７】日常の生活で遭遇するかもしれない職務の
分離の方針の例としては個人用の金庫がある。通常、銀
行はその従業員及び金庫の所有者が互いに別個の鍵を使
い、その所有者が金庫の使用権を得られるように両者が
業務日誌にサインするよう要求する。２つの鍵を必要と
することをアクセス制御と呼ぶ。二人の人間に日誌にサ
インさせることを監査制御と呼ぶ。銀行の方針によれば
金庫の所有者と銀行の従業員とが別の異なる人間でなけ
ればならない。別の例としては、企業の人間が経費伝票
を渡してその費用のための小切手を会社から発行しても
らう場合が挙げられる。企業の方針によれば経費伝票に
サインした人間と小切手を許可する人間が同じでないこ
とが要求されているであろう。このような２つの例は、
マニュアルシステムに職務の分離の方針が広く必要とさ
れていることを示している。

【０００８】職務の分離の方針を実行するためにこれま
で幾つかの手段が講じられてきた。自動化されたコンピ
ュータシステムにおける職務の分離を実行するための最
も一般的な手段は安全面の管理者が異なるグループ或い
は役割を定義し、各個人に与えた重要なグループ或いは
役割が重複していないことを手作業で確認することであ
る。

【０００９】

【発明が解決しようとする課題】しかし、この手段には
２つの別個のアカウントからコンピュータシステムにア
クセスした人間がいるかも知れないという可能性を防ぐ
ことができないという問題がある。ユーザアカウントに
よるユーザの認証及び識別に対する知られている手段
は、ユーザアカウントの別名化が操作上或いは手続上の
ルールを用いることにより防止されていることを必要条
件としている。職務の分離の方針を実行するための手段
は別名が使われないこと、及び認証可能なユーザアカウ
ントの識別が個人を識別するのにも充分であることを前
提としている。この手段の問題点は別名のアカウントが
特に大規模なコンピュータシステムに存在していないと
いう前提が一般的に誤りであることである。更に、ネッ
トワークが大規模になればなる程、アカウントの別名防
止が困難になる。新たなアカウントを作る時にたとえ生
体的な情報等の個人にとって独特な識別情報を得たとし
ても、新たなユーザのアカウントをネットワーク上にそ
の人間のために存在するかも知れない他のユーザのアカ
ウントと関連付けるためには、既にシステムにあるユー
ザアカウントの総てを徹底的に調査しなければならない
であろうからである。このような調査は比較的小規模な
コンピュータネットワークでも費用が高くつき、大規模
なコンピュータネットワークでは事実上不可能である。

【００１０】ユーザ認証の一つの手段はログインの間に
コンピュータシステムに送られる生体的リーダ情報を使
用するものである。生体的情報は各ログインポイント或
いはステーションで生体的リーダから得られる。生体的
リーダは通常、眼球スキャン、指紋、ＤＮＡの見本等の
個人の独特な情報或いは性格を検知するものである。ユ
ーザ認証のために生体的情報を頻繁に使用する場合、生
体的リーダは総てのログインポイントで生体的リーダが
必要なため、一般に高価につく。また、生体情報が公に
漏洩された場合、ダメージを元に戻すことは不可能であ
る。これらの理由から、認証のためにパスワードやスマ
ートカード等の暗号的な情報を継続して使うことは生体
的データよりも良い選択であると考えられてきた。

【００１１】

【課題を解決するための手段】上記問題点を解決するた
めに、本発明はその広い形態において請求項１ないし３
に記載の別名検出付き分散型コンピュータシステムの作
動方法にある。また本発明は請求項４ないし５に記載の
別名検出付き又は別名検出を行う分散型コンピュータシ
ステムにある。本発明の第１の特徴によれば、（ａ）前
記コンピュータシステムのユーザアカウントストアに、
複数のユーザアカウントのそれぞれと関連する識別情報
であって、各ユーザアカウントについてそのユーザアカ
ウントに関連するコンピュータユーザを独特に特徴付け
る識別情報を記憶する工程と、（ｂ）許可ストアに前記
ユーザアカウントのうちの選択されたユーザアカウント
のリストを記憶する工程と、（ｃ）工程（ａ）と（ｂ）
の後、前記ユーザアカウントのうちの第１のユーザアカ
ウントのための要求に応答してコンピュータシステムリ
ソースアクセスプログラムの実行を開始する工程と、
（ｄ）工程（ｃ）の後、ｉ）前記第１のユーザアカウン
トに関連して前記ユーザアカウントストアに記憶された
識別情報と、前記選択されたユーザアカウントのリスト
の中の各ユーザアカウントに関連する識別情報とを比較
し、ｉｉ）前記比較された識別情報が一致せず、前記第
１ユーザアカウントが前記選択されたユーザアカウント
のどれかの別名でないことを表示する場合に、前記コン
ピュータシステムアクセスプログラムを実行する、こと
により、コンピュータシステムリソースへのアクセスの
許可に対する前記第１のユーザアカウントからの要求を
処理する工程と、から成る別名検出付き分散型コンピュ
ータシステムの作動方法が提案される。かかる方法によ
れば、ユーザアカウント情報のための第１の要求を使用
してコンピュータリソースの実行時に実施される別名の
検出技術が提供される。このような技術は、例えば限定
されたコンピュータのリソースへのアクセスを制御した
り、コンピュータシステム上の別名のアカウントの存在
の監視や制御をしたり、またコンピュータのリソース上
の職務の分離の方針を実行するために使用することがで
きる。

【００１２】また、本発明の第２の特徴によれば、前記
別名検出付き分散型コンピュータシステムの作動方法に
おいて、前記要求を処理する工程が、ｉ）前記ユーザア
カウントが前記選択されたユーザアカウントの一つと同
じである、ｉｉ）前記ユーザアカウントが前記ユーザア
カウントストアに関連する識別情報を全く有しない、及
びｉｉｉ）前記ユーザアカウントストア内の前記ユーザ
アカウントの識別情報が前記選択されたユーザアカウン
トの識別情報の一つと同じである、のイベントのいずれ
かが起きた場合に、前記要求を否定する工程を更に含む
ことを特徴とする方法が提案される。かかる方法によれ
ば、別名の検出はユーザがコンピュータシステムのリソ
ースへアクセスしようとした時点で判断される。

【００１３】また、本発明の第３の特徴によれば、
（ａ）前記コンピュータシステムのそれぞれのユーザア
カウントのユーザアカウントストアに、複数のユーザア
カウントのそれぞれと関連する識別情報であって、各ユ
ーザアカウントについてそのユーザアカウントと関連す
るコンピュータユーザを独特に特徴付ける識別情報を記
憶する工程と、（ｂ）第１のユーザアカウントからの第
１の要求に応答して、複数の段階を有する選択されたト
ランザクションプログラムの一つの段階の実行を開始す
る工程と、（ｃ）ｉ）前記第１のユーザアカウントのユ
ーザアカウントメモリに記憶された識別情報と第２のユ
ーザアカウントのユーザアカウントメモリに記憶された
識別情報とを比較し、ｉｉ）前記比較された識別情報が
一致し、前記第２のユーザアカウントが前記第１のユー
ザアカウントの別名であることを表示する場合に、前記
第２のユーザアカウントに対する許可を否定する、こと
により、前記選択されたトランザクションプログラムの
後続の段階の実行の許可に対する前記第２のユーザアカ
ウントからの第２の要求を処理する工程と、から成る別
名検出付き分散型コンピュータシステムの作動方法が提
案される。かかる方法によれば、別名の検出は次のユー
ザが選択したトランザクションを完了しようとした時点
で判断できる。ログイン認証も別名アカウントを持って
いるかも知れないユーザを独特に識別すると仮定しない
ことにより、上記方法によれば別名が使用されている可
能性のあるアカウントを調べるためにネットワーク全体
を徹底的に調査することなく方針アプリケーションのポ
イントで別名を検出することができる。本発明はユーザ
アカウントの別名が防止されることを想定していない。
むしろ、本発明は別名によるアカウントが自由に作成さ
れることを想定したものであり、各アカウントの所有者
を独特に識別するデータを使用して、保護された活動の
実行が開始される直前の時点で好ましくない別名の存在
を検出するものである。

【００１４】また、本発明の第４の特徴によれば、
（ａ）複数のコンピュータユーザのそれぞれを独特に特
徴付けたユーザアカウント識別情報を含むそれぞれのユ
ーザアカウントの記録ストアと、（ｂ）実行のために別
個の要求を必要とする少なくとも２つの段階を有する記
憶されたアプリケーショントランザクションプログラム
と、（ｃ）第１のユーザアカウントのトランザクション
開始要求に応答して前記アプリケーションプログラムの
１つの段階を実行する手段と、（ｄ）第２のユーザアカ
ウントのトランザクション開始要求の許可に応答して前
記アプリケーションプログラムの後続の段階を実行する
手段と、（ｅ）前記ストア内の前記第１と第２のユーザ
アカウントの識別情報を比較し、該比較した情報が一致
せずに前記第２のユーザアカウントが前記第１のユーザ
アカウントの別名でないことを表示する場合に、前記許
可を与える手段と、から成る別名検出付き分散型コンピ
ュータシステムが提案される。また、本発明の第５の特
徴によれば、別名検出を行う分散型コンピュータシステ
ムにおいて、（ａ）複数のユーザアカウントであって、
認証情報、デジタル化された生体情報及びユーザアカウ
ント情報を含む、各ユーザアカウントに対して複数のコ
ンピュータユーザの１つを独特に特徴付けたデジタルサ
インされたアカウント証明書を含むユーザアカウントの
ためのストアと、（ｂ）実行するには別個の開始要求を
必要とする少なくとも２つの段階を有する記憶されたア
プリケーショントランザクションプログラムと、（ｃ）
第１のユーザアカウントのトランザクション開始要求に
応答して前記少なくとも１つのアプリケーションプログ
ラムの第１の段階を実行する手段と、（ｄ）第２のユー
ザアカウントのトランザクション開始要求に応答して前
記少なくとも１つのアプリケーションプログラムの後続
の段階を実行して、前記ストア内の前記第１及び第２の
ユーザアカウントの前記アカウント証明書に含まれる前
記認証情報とデジタル生体情報とを比較する手段と、
（ｅ）前記比較した認証情報とデジタル生体情報とが一
致しない場合のみ、したがって、前記第２のユーザアカ
ウントが前記第１のユーザアカウントの別名でない場合
のみ前記少なくとも１つのアプリケーションプログラム
の前記後続の段階の実行を許可する手段と、から成る別
名検出を行う分散型コンピュータシステムが提案され
る。かかる構成によれば、生体的及び暗号的な技術の組
合せを使用したコンピュータ安全システムが提供され
る。特に、本発明は、アカウント登録用の単一の認証制
度、或いはアカウントを重複しない異なるグループや役
割に分離するための厳重なアカウント管理（即ち、職務
の分離の静的な実施）、或いは個人用に多数のアカウン
トを与えないことに依存しない職務の分離の方針を支持
するためのシステムを提供する。本発明を具体化するこ
のようなシステムは、必要であれば個人に多数の役割を
負わせることにより職務の分離の動的な実施を支持する
ことができ、与えられた職務の関係の中で、個人が相反
する役割を負わないということを確実にすることができ
る。これらのことは、デジタル化された生体的データ或
いは他の独特な識別データを使用して一人の人間が異な
るアカウント、即ち別名を使用しているか否かを判断す
ることにより達成される。

【００１５】

【実施例】図１を参照し、コンピュータシステム１０は
個人ユーザ１０ａ−１０ｃにアクセス可能な状態で示さ
れる。各個人ユーザ１０ａ−１０ｃはローカルエリアネ
ットワークに接続されたワークステーション１２ａ−１
２ｃを備えている。ワークステーション１２ａ−１２ｃ
は各個人１０ａ−１０ｃに自身の職務を遂行する一組の
アプリケーションを提供する。アプリケーションはロー
カルエリアネットワーク１４に接続されたアプリケーシ
ョンサーバシステム１６上にある。

【００１６】アプリケーションサーバシステム１６は一
組のアプリケーションプログラム（以下「アプリケーシ
ョン」と称す）を含んだコンピュータシステムであり、
このアプリケーションもローカルエリアネットワーク１
４を介して他のコンピュータのユーザ（図示せず）によ
るアクセスが可能である。各個人ユーザ１０ａ−１０ｃ
はネームサーバシステム１８上のネームサービスプログ
ラム１９に保持された１つ或いは複数のアカウントによ
り識別される。

【００１７】ネームサーバシステム１８はネームサービ
スソフトウエア１９を備えたコンピュータシステムであ
り、ローカルエリアネットワーク１４を介してどのコン
ピュータユーザからもアクセスできる。ネームサービス
ソフトウエア１９はネットワークアプリケーション、シ
ステム及び他のネットワークでアクセス可能なオブジェ
クトのネームをローカルエリアネットワーク１４内の物
理的な位置から独立させるものである。例えば、唯一の
ネームが、ネームサーバシステム１８上のネームサービ
スプログラム１９に記憶され、個人ユーザ１０ａ−１０
ｃがアプリケーションサーバシステム１６の唯一のアプ
リケーションを実行することができる。

【００１８】ネームサーバシステム１８では、各個人ユ
ーザ１０ａ−１０ｃは個人用のアカウントと、１つ或い
は複数の「特別」アカウントを有している。個人用或い
は特別アカウントはそれぞれアカウント識別性を備え、
これにより個人ユーザ１０ａ−１０ｃがコンピュータシ
ステム１０にログオンしてネームサーバシステム１８に
識別された特定のアプリケーションを使用することがで
きる。各「特別アカウント」は特定のジョブ機能、例え
ば組織的役割に対応する。このような特別なアカウント
によりログインされた個人ユーザ１０ａ−１０ｃは対応
するジョブ機能に特異なそれらのアプリケーションを実
行することができる。

【００１９】図２を参照し、アプリカント１００は生体
情報１０５をアカウント処理の一部としてのレジストラ
ー１１０に供給する。コンピュータシステム１０内の総
てのアカウントは、エンティティが自身の識別を有する
と共に幾つかの企業のためのアカウント管理の責任を持
つアカウントレジストラー１１０により管理される。ア
カウントの作成或いは修正の間、レジストラー１１０は
アプリカント１００の生体情報１０５を確保する。ここ
でシステムは、認証のためにパブリックキーの暗号技術
を使用して認証データを提供する。ログインの認証に使
用されるアカウントに関連付けされることになる認証デ
ータは、パブリックキーとプライベートキーとの一対の
キーよりなるパブリックキーである。レジストラー１１
０は一対のパブリック及びプライベートキーを作成す
る。プライベートキーは（典型的にはパスカードのよう
な幾つかのデバイスに記憶された情報の形式で）ユーザ
に発行され、またアカウントのためのパブリックキー
は、そのアカウントのための所謂「証明書」内に他のア
カウント情報と共に記憶される。アプリカント１００に
より供給された生体的データ１０５は、認証データ（例
えばユーザのパブリックキー等）及びシステムにより必
要とされるかも知れない安全面で重要な情報（例えばユ
ーザの許可された役割等）と共に証明書に完全にロック
されるのが好ましい。完全にロックされたデジタル化さ
れた基準の生体的データは、以下「証明書に基づく別名
の検出データ（ＣＢＡＤ）」と称す。レジストラーは、
デジタルサインを付すことにより証明書を完全にロック
する。最も簡単な形態のデジタルサインは、証明書を暗
号化した単なるコピーであり、これは、レジストラー１
１０の割り当てられたプライベートキー（これはレジス
トラー１１０及びレジストラーのワークステーションに
しか知られていない）を使用して暗号化される。デジタ
ルサインは、そのサインを使用して「完全にロックされ
る」べきデータと共に使用されて暗号チェックサム或い
は適切なコードを提供する。デジタルサインを付加する
ことで「完全にロックされた」或いはデジタル化された
にサインされたアカウント／認証／証明書に基づく別名
の検出データ１２０が提供され、そこでそれはネームサ
ービスプログラム１９に記憶される。上述のパブリック
キー暗号化技術が使用されてアカウント／認証／証明書
に基づく別名の検出データの不正な書き換えを検出する
ことができる。

【００２０】その後の段階で、レジストラー１１０のパ
ブリックキー（システム全体を通して知られている）を
使用してデジタルサインを解読し、その結果をその解読
したデジタルサインに関連する平文の証明書と比較する
ことにより、アカウント証明書１３０が確かにレジスト
ラー１１０によりサインされたことをエンティティーが
立証することができる。この平文の証明書はデジタルサ
インを解読したものである。それらが同一であれば、ア
カウント証明書を使用したエンティティーは、アカウン
ト証明書の平文のもの及び暗号化されたものの何れもが
レジストラー１１０により生成或いは修正された後に修
正されてはおらず、アカウント証明書のデータがレジス
トラーのワークステーションで作成されたものであるこ
とを確信する。

【００２１】個人ユーザがワークステーションにログオ
ンする時、個人ユーザは、その個人ユーザを認証する或
いはその同一性を確認する第１の工程として、ネームサ
ービスプログラム１９からアカウント証明書を探してフ
ェッチするために、ローカルオペレーティングシステム
により使用される情報（ユーザの名前等）を提供する。
ローカルオペレーティングシステムは、その後、レジス
トラー１１０のパブリックキーを使用してアカウント証
明書のデジタルサインを確認する。アカウント証明書が
正当なものであれば、レジストラー１１０によりそのア
カウントに割り当てられたパブリックキーは既知であ
る。ログインしようとする個人ユーザは、その後、デジ
タルサインされた「ログイン委任証明書」をワークステ
ーションに提示する。ログイン委任証明書は、ユーザが
認証されるべきローカルオペレーティングシステムに送
るものである。（通常、これはレジストラー１１０によ
り個人ユーザに発行される、その個人ユーザの個人的な
プライベートキーを含む、スマートカードにより行われ
る。）オペレーティングシステムは、アカウント証明書
から得たパブリックキーを使用してそれを解読すること
によりログイン委任証明書の正当性を確認する。確認で
きた場合には、オペレーティングシステムは、アカウン
ト証明書から得たパブリックキーがログオンしようとし
ている個人ユーザの所有のプライベートキーと一致し、
その個人ユーザにアカウントに関連した権利或いは特権
を与えることが正当であることを認識する。確認処理の
間の瞬く間に、アカウント証明書におけるＣＢＡＤデー
タが使用される。ＣＢＡＤデータはログイン認証の成功
又は失敗を判断しないため、そのＣＢＡＤデータがパブ
リックであれば、ログイン認証システムの完全性を危険
にさらすことはない。正当に認証されたローカルユーザ
のため或いはその要求により実行されるべきリモートア
プリケーションを（例えばアプリケーションサーバシス
テム１６から）呼び出すためには、ワークステーション
オペレーティングシステムが、その要求に個人ユーザの
ログイン委任証明書を付加し、ワークステーションのプ
ライベートキーを用いてそれにデジタル式にサインする
ことにより、その要求のための所謂リモート委任証明書
を発行する。リモート委任証明書は、個人ユーザのため
にサービスを得るようにローカルコンピュータオペレー
ションシステムがアプリケーションサーバシステム１６
に送るものである。するとアプリケーションサーバシス
テム１６は、（ワークステーションのパブリックキーを
サインに適用することにより）そのリモート委任証明書
がワークステーションから来たものであることを確認す
ることができる。これが確認できると、割り当てられた
ユーザのパブリックキーを使用して、含まれていたリモ
ート委任証明書のユーザのサインを確認することにより
個人ユーザの同一性を再度認証することができる。これ
らの確認テストが両方共成功した場合、アプリケーショ
ンサーバシステム１６は、含まれる要求が請求されたワ
ークステーションから発生され、ユーザアカウントのた
めに作用することを知り、及び／或いはこの情報を使用
してこの要求を受け入れるべきか否かを判断することが
できる。ＣＢＡＤデータはリモート委任証明書の正当性
を判断するのには使用されないため、ＣＢＡＤデータが
パブリックであってもリモート要求認証システムが危険
にさらされることはない。

【００２２】各ユーザは関連するアカウント証明書１３
０も有している。ユーザ証明書１３０はオペレーティン
グシステムにより発生されるデータ構造であり、それ
は、ユーザ情報１２０と、存在すればＣＢＡＤデータと
から成り、それらは互いに結合されている。これらのデ
ータの結合は、暗号用チェックサムを使用することによ
り与えられる。チェックサムはユーザ情報１２０の破損
をシステムにより検出可能にするものである。暗号化は
レジストラー１１０のプライベートキー或いは暗号コー
ドを使用し、従ってアカウント情報のソースがレジスト
ラー１１０であると独特に確認するデジタルサインを発
生する。アカウント証明書１３０は、その後、オペレー
ティングシステムによりネームサービスシステム１３５
に送られる。従って、選択されたタスクの実行は選択さ
れたユーザ或いはユーザのグループに限定することがで
きる。

【００２３】ユーザのログオンの間、コンピュータシス
テム１０は上述のようにユーザ証明書情報１３０を収集
して特定のユーザのための資格証明書を作成する。資格
証明書は各ユーザを識別してそのユーザが特定のアプリ
ケーションを実行するのに必要な特権を有しているかを
判断するためにコンピュータシステム１０により使用さ
れる。特定のユーザが特定の識別されたトランザクショ
ンを実行することを許可されていた場合には、この時点
で、コンピュータシステム１０はアカウント証明書情報
１３０を使用して、資格証明書を作成する。従って、資
格証明書を作成してどのユーザが特定のコンピュータア
プリケーションにアクセスして良いかを判断するため
に、個人のアカウント／認証／証明書に基づく別名の検
出データがレジストラー１１０により収集される。この
情報は、上述のようにユーザの名前等の従来からのユー
ザの情報と、ユーザに割り当てられた或いはユーザから
得た認証データとの両方、及び上述のようにここで証明
書に基づく別名の検出データ（ＣＢＡＤ）と称されるデ
ジタル化された基準の生体的データ（ＢｉｏＭ）を含ん
でいる。このシステムは、ＣＢＡＤデータを含むアカウ
ント、及びＣＢＡＤデータを含まないアカウントを有し
ていても良い。ＣＢＡＤデータの有無の効果について以
下に説明する。

【００２４】以下に記載される別名の検出システムは、
ここでは、単一のコンピュータシステムについて説明す
るが、この別名の検出は広域ネットワーク等の大規模コ
ンピュータネットワークを介して互いに接続されたマル
チコンピュータシステム上でも実行できることを理解さ
れたい。これにより大規模なコンピュータネットワーク
中のコンピュータユーザが共通のアプリケーションを実
行することが可能となる。

【００２５】図２に示されるように、ＣＢＡＤデータは
アカウントオペレーションの一部として確保され、職務
の分離の方針を実行する必要が生じた場合等の後の段階
で使用できるように記憶される（これについては後述す
る）。ここでは、ＣＢＡＤデータはユーザの同一性を判
断して別名によるアカウントを検出するために使用され
る。これを使用することにより多数の日常的な同一性を
装う悪質なユーザによる攻撃に耐える職務の分離の方針
を実行することができる。またこれにより個人ユーザに
許可されるアカウントの数を最小に抑えない緩い管理を
使用するシステムでも職務の分離の方針の実施を可能に
することができる。更に、限定された目的のための個人
用の別個のアカウントの作成を容易にすることもでき
る。ユーザは実行を許可される可能な総ての特権を蓄積
したものを使用するのではなく特定な特権の組を使用し
てのみログインするため、上述の手段は特権の蓄積に抵
抗するものである。

【００２６】図３を参照すると、複数のユーザのために
特定の処理ユニットが実行される時に呼び出される証明
書に基づく別名の検出に含まれる工程が示されている。
証明書に基づく別名の検出は図１におけるコンピュータ
システム１０のオペレーティングプラットフォーム（例
えばオペレーティングシステムやトランザクションモニ
タ）に設けられる。

【００２７】コンピュータシステム１０はアカウント証
明書から、関連するユーザのために資格証明書を発行す
る。上述のように、資格証明書は、認証されたユーザの
同一性と、そのユーザのための要求と、また場合によっ
てはそのユーザのためのＣＢＡＤデータとを論理的に結
合した完全にシールされた（即ちデジタル式にサインさ
れた）パケットである。認証されたユーザとは、ある特
定のアプリケーションを実行するための所定の認証を有
するユーザのことである。この所定の認証は、システム
マネージャ或いはレジストラーにより必要な特権を有す
るユーザに与えられる。完全にシールされたパケット
は、オペレーティングシステムがアプリケーショントラ
ンザクションをユーザ情報に付加することにより結合さ
れる。しかしその処理ユニットを実行する前に、その処
理ユニットの安全対策が審査される。安全を保護する必
要があれば、証明書に基づく別名の検出が、ユーザが実
行を選択する特定のアプリケーショントランザクション
のための安全対策（図４の参照番号３８）において適切
なステートメントによりトリガされる。

【００２８】本発明の文脈におけるデータ処理システム
でユーザのデータ及び別名の検出データを使用する一般
的な方法について以下に説明する。例として、記載され
るトランザクションには、アプリケーション開始要求及
びアプリケーション承認エントリーが異なる許可された
ユーザによりシステムに入力されることが必要であると
想定する。

【００２９】図３に示されるように、トランザクション
は、工程１５８において個人ユーザがシステムにログオ
ンしてデータ処理アプリケーションの開始を要求した時
に、開始される。その後、工程１５８において再考或い
は承認エントリーが出された後、トランザクションの処
理が更に進むことができる。工程１６０では、ユーザの
開始要求のための委任証明書のデジタルサイン、及び承
認要求のための委任証明書のデジタルサインが先ず個々
に照合される。この工程で問題がなければ、アプリケー
ションサーバシステム１６はどちらの書類も変更されて
いないことが分かると共に、一対の要求に関連する個人
のユーザアカウント、即ち開始要求がなされたアカウン
ト及び承認要求がなされたアカウントについて割り当て
られたパブリックキーを知ることになる。これら２つの
パブリックキーが同じであれば、両方の要求は同じアカ
ウントに基づいて成されたものであり、これは両要求が
そのアカウントを有する単一のユーザのものであること
を意味する。この場合、これ以上のトランザクションの
処理はなく、また承認エントリーは拒絶される。

【００３０】識別工程で異なるユーザアカウントが同一
であると認識された場合、２組のアカウント資格証明書
にＣＢＡＤデータがあるか否かが工程１６２でチェック
される。要求のために提供されたＣＢＡＤデータが、レ
ジストラー１１０が確保したＣＢＡＤデータそのもので
あるかどうかのチェックは、アカウント証明書を得てそ
の正当性を確認するアプリケーションサーバシステム１
６の処理に含まれる。ＣＢＡＤデータ及び認証データ
は、レジストラー１１０によりアカウント証明書の中に
互いに結合される。

【００３１】前述のように、コンピュータプラットフォ
ームはユーザ認証を行う前にログインの一部として得た
アカウント証明書の正当性を確認する責任を持つ。ま
た、コンピュータプラットフォームは、そのオペレーテ
ィングシステムを通じて、トランザクションの実行要求
をアカウント証明書に結合すること、及びこの情報をシ
ールして完全にシールされたアカウント証明書を提供す
ることにも責任を持つ。コンピュータのプラットフォー
ムは、アカウント証明書を使用する前にこの証明書の正
当性を確認することにも責任を持つ。認証されたユーザ
又は認証されたコンピュータプラットホームに特定の動
作が許可されていないというだけの理由で要求が拒絶さ
れる。コンピュータのプラットフォームが資格証明書の
正当性を確認し、特定の動作のための要求が許可された
時のみ、ＣＢＡＤのチェックが行われる。アカウントの
資格証明書のいずれの組もＣＢＡＤデータを含んでいな
い場合、工程１６３で、両方のアカウント資格証明書は
いずれも同じユーザに関連したものであると見做され、
承認エントリーは拒絶され、処理は終了する。これらの
アカウント資格証明書が両方共ＣＢＡＤデータを含んで
いた場合、各アカウント資格証明書に存在するデジタル
化された生体的データが工程１６４で比較される。比較
されたデジタル化された生体データが所定の類似範囲内
のものであれば、工程１６９でこれら２つのアカウント
資格証明書は同一のユーザのものと判断され、承認エン
トリーが拒絶されて処理は終了する。原則的に、２つの
アカウント資格証明書の間の同一性というよりむしろ類
似性の範囲は、所定のユーザから受け取った生体データ
の通常の変化及び変動に起因する。従って、類似性に許
容される範囲は本当に異なるユーザ間で重複が生じるの
を防ぐのに充分な程度狭くなければならないが、同じユ
ーザの生体情報における通常予測される変化をカバーで
きる広さはなければならない。工程１６８で２組のアカ
ウント資格証明書が別であると判断された場合、工程１
６７で、アプリケーション開始要求及び承認エントリー
が異なるユーザから発されたものと推定され、この比較
結果は工程１７０に報告されてトランザクションの処理
が進められる。

【００３２】アプリケーション開始要求及び承認エント
リー要求が異なる人間からのものである場合、承認エン
トリー要求を開始するユーザは、以下に記載されるプロ
グラムに関連するアクセス制御リストで許可されていれ
ばそのアプリケーション要求に承認することが許され
る。本発明の例を典型的なコンピュータに基づく経費報
告及びオフィス環境における承認手続きについて説明す
る。いかなる個人も経費報告書を記入して提出すること
ができる。払い戻し小切手が作成される場合には経費報
告書は支払いに廻される前に承認されなければならな
い。職務の分離の本質的な要求事項はいかなる個人も自
己の経費報告書を承認することができないことである。

【００３３】図１を参照し、各個人ユーザ１０ａ〜１０
ｃは自身の個人用アカウントによりログインした時にネ
ームサービスシステム１８に記憶された個人用経費報告
アプリケーションを実行することができる。経費報告ア
プリケーションはユーザが記入できるようにワークステ
ーションにフォームを表示する。トランザクションを出
すことで経費報告書がローカルエリアネットワーク１４
に接続されたキューサービスシステム２０のキューに送
られ、そこで検討のため保持される。キューサービスシ
ステム２０はローカルエリアネットワーク１４を介して
個人ユーザ１０ａ〜１０ｃによりアクセスできる例えば
プリントキュー、バッチキュー等の種々キューを含むコ
ンピュータシステムである。一人或いは複数の個人ユー
ザ（例えば１０ｂ）には「管理アカウント」が与えられ
る。即ち、そのような個人ユーザは経費報告書を検討し
て承認或いは拒絶することが許可される。これは前述の
ものに関連して述べたように「特別アカウント」であ
る。拒絶すればその経費報告書は元の人間に戻され、ま
た承認すれば報告書はキューサービスシステム２０上の
支払いキューに送られる。「小切手作成」トランザクシ
ョンは小切手を発行するだけではなく、その経費報告書
を文書にファイルし、元の人間に自身の経費報告書が処
理されて小切手が発行されることを通知する。

【００３４】引き続き図１を参照し、ワークステーショ
ン１２ａ上の個人ユーザ１０ａはローカルエリアネット
ワーク１４を介してアプリケーションサーバシステム１
６にある経費報告アプリケーションを開始する。その結
果、未承認の経費報告書は、ローカルエリアネットワー
ク１４を介してアプリケーションによりキューサーバシ
ステム２０に送られる。次いで、ワークステーション１
２ｂの第２の個人ユーザ１０ｂは、アプリケーションサ
ーバシステム１６上の経費報告アプリケーションを実行
することにより、ローカルエリアネットワーク１４を介
してキューサーバシステム２０の経費報告書を検討して
承認しようとする。個人ユーザ１０ａにより作成され開
始された経費報告書の承認の要求が、証明書に基づく別
名の検出方法をトリガする。証明書に基づく別名の検出
のロケーション及び作動については以下に詳述する。

【００３５】図４は証明書に基づく別名検出（ＣＢＡ
Ｄ）を使用して職務の分離を支持するための一般的なデ
ータ構造を示す。ネームサーバシステム４８のネームサ
ービスデータベース３０は、個人ユーザのアカウントの
ためのアカウント証明書（３３ａ〜３３ｃ）を含んでい
る。各アカウント証明書（３３ａ〜３３ｃ）は、前述し
たように発行されたもので、デジタルサインされた、デ
ジタル化された基準の生体的データを含む各個人につい
ての関連情報（これは図２について前述したようにＣＢ
ＡＤデータと呼ばれる）を有しており。アカウント証明
書３３ａ〜３３ｃも前述のアカウントレジストリーのサ
インを含んでいる。ある個人の個人用及び「特別」アカ
ウントは、同じデジタル化された基準の生体的データ、
即ちＣＢＡＤデータを含んでいる。というのは、それら
が同じ個人ユーザにより所有される複数のアカウントを
示すからである。異なる個人ユーザのためのアカウント
は、各個人ユーザのＣＢＡＤデータが異なることにより
識別される。

【００３６】それぞれのアプリケーションシステムプロ
グラム３５ａ〜３５ｄはアプリケーションサーバシステ
ム５０内のプログラムライブラリー３６にある。これに
よりローカルエリアネットワーク５２の個人ユーザがプ
ログラムライブラリー３６にアクセス可能となる。「経
費報告書の作成」、「経費報告書の提出」、「経費報告
書の承認」などの各種のトランザクションは、それぞ
れ、プログラムライブラリー３６に存在してアプリケー
ションサーバシステム５０に記憶された、対応するアプ
リケーションシステムプログラム３５ａ〜３５ｃを有し
ている。このような各トランザクションプログラムに関
連して、個人或いはグループが、対応するトランザクシ
ョンを実行できるか或いはできないかを記載した安全対
策がある。例えば、トランザクションプログラム３５ａ
に関連したアクセス制御リスト（ＡＣＬ）４０ａには安
全対策が含まれている。ＡＣＬは多くのコンピュータオ
ペレーティングシステムにおけるアクセス方針を記憶す
る通常の機構である。安全対策及びそのトリガはアクセ
ス方針言語への拡張として提供される。その安全対策は
プラットホームとなるコンピュータシステムの特定のア
クセス方針記憶機構に追加される。オペレーティングシ
ステムのプラットホームのアクセス制御モニタは、アク
セス制約を表し、そのアクセス制約をアクセス方針内に
記憶し、アクセス方針を実行する時点で適切な方法を呼
び出す能力を提供する。如何にして特定の拡張を実行す
るかはコンピュータオペレーティングシステムの日常的
機能であるためここでは説明しない。職務の分離を実行
するかしないかは、関連するトランザクション３５ａの
安全対策３８内で定義される。例えば、方針ステートメ
ント３８は別名の検出が呼び出されることを示す。安全
対策３８は、元の人間或いは第１ユーザが、第２ユー
ザ、即ちこの例では経費報告書の承認を要求しているユ
ーザと同一人物である場合に「ａｐｐｒｏｖｅ ｅｘｐ
ｎｓ ｒｐｔプログラム３５ａ」を実行する権利が否定
されるべきことを要求する。この比較については図３に
ついての説明で既に記載した。

【００３７】ユーザによる各トランザクションの呼び出
しに関連するのは、ユーザの正当な資格証明書（図４に
おける４４、４５及び４７）であり、これが、トランザ
クションを開始したユーザを識別する。正当な資格証明
書は、オペレーティングシステムにより発生された完全
にシールされた処理ユニット（プロセシングユニット）
であり、図２に示されるユーザのアカウント証明書を、
要求されたアプリケーションとリンクさせたものであ
る。トランザクションの呼び出しに応じて、ユーザの正
当な資格証明書はプロセシングユニットＸ４９の保護さ
れたシステムメモリ４６及びネームサーバシステム４８
のネームサービスデータベース３０に記憶される。この
システム４８は、特定の処理ユニットが実行されるユー
ザの識別性についての証拠を含んでいる。本発明のこの
実施例によれば、その処理ユニットはトランザクション
の呼び出しである。個人の正当な資格証明書をトランザ
クション呼び出しに関連させることは、この例のアプリ
ケーションのためにオペレーティングプラットホームを
提供するオペレーショングシステム或いはトランザクシ
ョン処理モニタの一つの機能である。

【００３８】図４の説明に続き、第１ユーザは、アカウ
ント：ユーザＡによりネームサービスデータベース３０
にログオンする。ユーザＡのリモートの正当な資格証明
書４４（証明書に基づく別名検出データを含む）は、オ
ペレーティングシステムによりプロセシングユニットＸ
４９の保護されたシステムメモリ４６に入力される。経
費報告書を作成することを希望しているユーザＡは、ア
プリケーションサーバシステム５０からロードされる
「ｃｒｅａｔｅ ｅｘｐｎｓ ｒｐｔプログラム３５
ｂ」の実行を要求する。「ｃｒｅａｔｅ ｅｘｐｎｓ
ｒｐｔプログラム３５ｂ」の実行を許可されたユーザア
カウントのアカウント証明書に名前をつけるべく以前に
作成或いは修正された「ｃｒｅａｔｅ ｅｘｐｎｓ ｒ
ｐｔ ＡＣＬ４０ｂ」を使用して、それらのアカウント
のためのパブリックキーを得る。そしてこれらのキーを
用いてリモートの委任証明書の正当性を確認する。その
リモートの証明書の正当性が確認された場合、その要求
は許可され、プロセシングユニツトＸ４９により「ｃｒ
ｅａｔｅ ｅｘｐｎｓ ｒｐｔプログラム３５ｂ」が実
行され、経費報告書ファイルが作成される。するとユー
ザＡはアプリケーションサーバ５０からロードされる
「ｓｕｂｍｉｔ ｅｘｐｎｓ ｒｐｔプログラム３５
ｃ」を実行しようとする。「ｓｕｂｍｉｔ ｅｘｐｎｓ
ｒｐｔプログラム３５ｃ」を実行することを許可され
たユーザアカウントを示すべく以前に作成された或いは
修正された「ｓｕｂｍｉｔ ｅｘｐｎｓ ｒｐｔ ＡＣ
Ｌ４０ｃ」が、ユーザＡのリモートの正当な資格証明書
４４に対してチェックされる。ユーザＡの正当な資格証
明書４４とＡＣＬ４０ｃ内のユーザアカウントが一致す
ると、プロセシングユニットＸ４９がユーザＡの証明書
３３ａ及び証明書に基づく別名検出データ（後述する）
を付加することにより経費報告書ファイルにサインをす
ることにより、「ｓｕｂｍｉｔ ｅｘｐｎｓ ｒｐｔプ
ログラム３５ｃ」が実行される。経費報告書ファイルは
キューサーバ６０上の経費報告書キュー６２に送られ
る。

【００３９】ユーザＡ３３ａによりこれらのトランザク
ションに続き、ユーザＡにより作成された経費報告書フ
ァイルの検討及び承認を希望する第２ユーザがアカウン
ト：ユーザＢに基づきログインする。ユーザＢのリモー
トの正当な委任証明書４５（証明書に基づく別名検出デ
ータを含む）が、オペレーティングシステムによりプロ
セシングユニットＸ４９の保護されたシステムメモリに
入力される。ユーザＢは、アプリケーションサーバ５０
からロードされる「ｒｅｖｉｅｗ ｅｘｐｎｓｒｐｔプ
ログラム３５ｄ」の実行を要求する。「ｒｅｖｉｅｗ
ｅｘｐｎｓｒｐｔプログラム３５ｄ」の実行を許可され
たユーザアカウントを示すべく既に作成あるいは修正さ
れた「ｒｅｖｉｅｗ ｅｘｐｎｓ ｒｐｔ ＡＣＬ４０
ｄ」が、ユーザＢのリモートの正当な資格証明書４５に
対してチェックされる。このユーザＢのリモートの正当
な資格証明書４５とＡＣＬ４０ｄ内のユーザアカウント
が一致すると、プロセシングユーザＸ４９が、たとえば
ビデオディスプレー上でユーザＢが読み取る或いは検討
できるように経費報告書のファイルを作成することによ
り、「ｒｅｖｉｅｗ ｅｘｐｎｓ ｒｐｔプログラム３
５ｄ」が実行される。

【００４０】ここでユーザＢはユーザＡにより作成され
た経費報告書を承認すべく「ａｐｐｒｏｖｅ ｅｘｐｎ
ｓ ｒｐｔプログラム３５ａ」を実行しようとする。経
費報告書のデジタルサイン（アプリケーションサーバシ
ステム１６のサイン）の正当性が先ず確認され、経費報
告書或いはそれに関連するアカウント証明書に何ら変更
が行われていないことを確認する。アカウント証明書
（レジストラーによりサインされたもの）の正当性を再
度確認することもできるが、必ずしも必要ではない。ア
カウント証明書は経費報告書を作成したユーザ、即ちユ
ーザＡのためのＣＢＡＤデータを含んでいる。この時点
でアプリケーションサーバシステム１６はそれぞれユー
ザＡ及びＢのための２組の正当なＣＢＡＤデータを有し
ている。これら２組のＣＢＡＤデータは類似性をチェッ
クするために比較される。この別名の検出チェックがで
きないと、デジタル化された生体的データは同じユーザ
を識別するものと見做される。即ち、（たとえ対応する
アカウント証明書が異なるユーザの名前で登録された異
なるアカウントに属していても）、アプリケーションサ
ーバシステム１６は、ユーザＡ及びＢが事実上同じ人間
であると考えなければならない。証明書に基づく別名検
出チェックがユーザＡとＢが同一であると示した場合、
「ａｐｐｒｏｖｅ ｅｘｐｎｓ ｒｐｔプログラム３５
ａ」へのアクセス権はユーザＢには与えられず、システ
ムマネージャ或いはレジストラーへの通知のための報告
書が作成される。

【００４１】経費報告書の例は、本発明の実施例が、許
可されていない人物及び同一人物が経費報告書を作成し
て承認することを許さないという職務の分離の方針を如
何にして満たすかを示している。本発明の実施例では、
ユーザＡ及びＢのユーザアカウントが最初に作成された
時に、これらユーザＡ及びＢが異なる識別性を有してい
る、すなわち別人である、かを確認するのではなく、経
費報告書の承認を実際に要求された時点で各ユーザの証
明書に基づく別名検出データの比較を行なう。ユーザの
アカウントが最初に作成された時或いはシステム管理者
により修正された時には、ユーザの個人情報の正当性の
確認だけしか行われない。

【００４２】以上、本発明の好適な実施例について記載
してきたが、本発明の概念を備えていれば他の実施例を
使用できることは当業者にとって明らかであろう。従っ
て、本発明は記載された実施例だけに限定されるもので
はなく、添付の請求項の精神及び範囲によりのみ限定す
べきことを理解されたい。

【００４３】

【発明の効果】以上述べたように、本発明によれば、
（ａ）前記コンピュータシステムのユーザアカウントス
トアに、複数のユーザアカウントのそれぞれと関連する
識別情報であって、各ユーザアカウントについてそのユ
ーザアカウントに関連するコンピュータユーザを独特に
特徴付ける識別情報を記憶する工程と、（ｂ）許可スト
アに前記ユーザアカウントのうちの選択されたユーザア
カウントのリストを記憶する工程と、（ｃ）工程（ａ）
と（ｂ）の後、前記ユーザアカウントのうちの第１のユ
ーザアカウントのための要求に応答してコンピュータシ
ステムリソースアクセスプログラムの実行を開始する工
程と、（ｄ）工程（ｃ）の後、ｉ）前記第１のユーザア
カウントに関連して前記ユーザアカウントストアに記憶
された識別情報と、前記選択されたユーザアカウントの
リストの中の各ユーザアカウントに関連する識別情報と
を比較し、ｉｉ）前記比較された識別情報が一致せずに
前記第１ユーザアカウントが前記選択されたユーザアカ
ウントのどれかの別名でないことを表示する場合に、前
記コンピュータシステムアクセスプログラムを実行す
る、ことにより、コンピュータシステムリソースへのア
クセスの許可に対する前記第１のユーザアカウントから
の要求を処理する工程と、から成る別名検出付き分散型
コンピュータシステムの作動方法が提案される。かかる
方法によれば、ユーザアカウント情報のための第１の要
求を使用してコンピュータの実行時に実行される別名の
検出技術が提供されるので、限定されたコンピュータの
リソースへのアクセスを制御したり、コンピュータシス
テム上に別名のアカウントの存在を監視及び制御した
り、またコンピュータのリソース上の職務の分離の方針
を実行するために使用することができる。

【図面の簡単な説明】

【図１】本発明の１実施例による証明書に基づく別名の
検出を実施するのに使用する分散型コンピュータシステ
ムのブロック図である。

【図２】証明書の別名検出データを含むアカウント証明
書の作成方法を示すブロック図である。

【図３】証明書に基づく別名の検出の利用方法を示すブ
ロック図である。

【図４】証明書に基づく別名の検出の例を示すブロック
図である。

【符号の説明】

１０ コンピュータシステム １０ａ〜１０ｃ 個人ユーザ １２ａ〜１２ｃ ワークステーション １６ アプリケーションサーバシステム １８ ネームサーバシステム １９ サービスソフトウエア ４４ 資格証明書 １０５ 生体情報 １１０ レジストラー １３０ アカウント証明書

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ジョージ エミール ガイナック アメリカ合衆国 マサチューセッツ州 01451ハーヴァード ウォーセスター カウンティ オールド シャーリィ ロ ード112 (56)参考文献 特開 平３−137759（ＪＰ，Ａ) 特開 平３−288954（ＪＰ，Ａ)

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】 別名検出付き分散型コンピュータシステ
   ムの作動方法において、 （ａ）前記コンピュータシステムのユーザアカウントス
   トアに、複数のユーザアカウントのそれぞれと関連する
   識別情報であって、各ユーザアカウントについてそのユ
   ーザアカウントに関連するコンピュータユーザを独特に
   特徴付ける識別情報を記憶する工程と、 （ｂ）許可ストアに前記ユーザアカウントのうちの選択
   されたユーザアカウントのリストを記憶する工程と、 （ｃ）工程（ａ）と（ｂ）の後、前記ユーザアカウント
   のうちの第１のユーザアカウントのための要求に応答し
   てコンピュータシステムリソースアクセスプログラムの
   実行を開始する工程と、 （ｄ）工程（ｃ）の後、 ｉ）前記第１のユーザアカウントに関連して前記ユーザ
   アカウントストアに記憶された識別情報と、前記選択さ
   れたユーザアカウントのリストの中の各ユーザアカウン
   トに関連する識別情報とを比較し、 ｉｉ）前記比較された識別情報が一致せずに前記第１ユ
   ーザアカウントが前記選択されたユーザアカウントのど
   れかの別名でないことを表示する場合に、前記コンピュ
   ータシステムアクセスプログラムを実行する、 ことにより、コンピュータシステムリソースへのアクセ
   スの許可に対する前記第１のユーザアカウントからの要
   求を処理する工程と、 から成る方法。
2. 【請求項２】 前記要求を処理する工程が、 ｉ）前記ユーザアカウントが前記選択されたユーザアカ
   ウントの一つと同じである、 ｉｉ）前記ユーザアカウントが前記ユーザアカウントス
   トアに関連する識別情報を全く有しない、及び ｉｉｉ）前記ユーザアカウントストア内の前記ユーザア
   カウントの識別情報が前記選択されたユーザアカウント
   の識別情報の一つと同じである、 のイベントのいずれかが起きた場合に、前記要求を否定
   する工程を更に含むことを特徴とする請求項１に記載の
   方法。
3. 【請求項３】 別名検出付き分散型コンピュータシステ
   ムの作動方法において、 （ａ）前記コンピュータシステムのそれぞれのユーザア
   カウントのユーザアカウントストアに、複数のユーザア
   カウントのそれぞれと関連する識別情報であって、各ユ
   ーザアカウントについてそのユーザアカウントと関連す
   るコンピュータユーザを独特に特徴付ける識別情報を記
   憶する工程と、 （ｂ）第１のユーザアカウントからの第１の要求に応答
   して、複数の段階を有する選択されたトランザクション
   プログラムの一つの段階の実行を開始する工程と、 （ｃ）ｉ）前記第１のユーザアカウントのユーザアカウ
   ントメモリに記憶された識別情報と第２のユーザアカウ
   ントのユーザアカウントメモリに記憶された識別情報と
   を比較し、 ｉｉ）前記比較された識別情報が一致し、前記第２のユ
   ーザアカウントが前記第１のユーザアカウントの別名で
   あることを表示する場合に、前記第２のユーザアカウン
   トに対する許可を否定する、 ことにより、前記選択されたトランザクションプログラ
   ムの後続の段階の実行の許可に対する前記第２のユーザ
   アカウントからの第２の要求を処理する工程と、から成
   る方法。
4. 【請求項４】 別名検出付き分散型コンピュータシステ
   ムにおいて、 （ａ）複数のコンピュータユーザのそれぞれを独特に特
   徴付けたユーザアカウント識別情報を含むそれぞれのユ
   ーザアカウントの記録ストアと、 （ｂ）実行のために別個の要求を必要とする少なくとも
   ２つの段階を有する記憶されたアプリケーショントラン
   ザクションプログラムと、 （ｃ）第１のユーザアカウントのトランザクション開始
   要求に応答して前記アプリケーションプログラムの１つ
   の段階を実行する手段と、 （ｄ）第２のユーザアカウントのトランザクション開始
   要求の許可に応答して前記アプリケーションプログラム
   の後続の段階を実行する手段と、 （ｅ）前記ストア内の前記第１と第２のユーザアカウン
   トの識別情報を比較し、該比較した情報が一致せずに前
   記第２のユーザアカウントが前記第１のユーザアカウン
   トの別名でないことを表示する場合に、前記許可を与え
   る手段と、 から成るコンピュータシステム。
5. 【請求項５】 別名検出を行う分散型コンピュータシス
   テムにおいて、 （ａ）複数のユーザアカウントであって、認証情報、デ
   ジタル化された生体情報及びユーザアカウント情報を含
   む、各ユーザアカウントに対して複数のコンピュータユ
   ーザの１つを独特に特徴付けたデジタルサインされたア
   カウント証明書を含むユーザアカウントのためのストア
   と、 （ｂ）実行するには別個の開始要求を必要とする少なく
   とも２つの段階を有する記憶されたアプリケーショント
   ランザクションプログラムと、 （ｃ）第１のユーザアカウントのトランザクション開始
   要求に応答して前記少なくとも１つのアプリケーション
   プログラムの第１の段階を実行する手段と、 （ｄ）第２のユーザアカウントのトランザクション開始
   要求に応答して前記少なくとも１つのアプリケーション
   プログラムの後続の段階を実行して、前記ストア内の前
   記第１及び第２のユーザアカウントの前記アカウント証
   明書に含まれる前記認証情報とデジタル生体情報とを比
   較する手段と、 （ｅ）前記比較した認証情報とデジタル生体情報とが一
   致しない場合のみ、したがって、前記第２のユーザアカ
   ウントが前記第１のユーザアカウントの別名でない場合
   のみ前記少なくとも１つのアプリケーションプログラム
   の前記後続の段階の実行を許可する手段と、 から成るコンピュータシステム。