JP3830360B2

JP3830360B2 - Security protection device and method

Info

Publication number: JP3830360B2
Application number: JP2001149593A
Authority: JP
Inventors: 正永野
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 2001-05-18
Filing date: 2001-05-18
Publication date: 2006-10-04
Anticipated expiration: 2021-05-18
Also published as: JP2002342284A

Description

【０００１】
【発明の属する技術分野】
本発明は、セキュリティー保護装置に関し、より特定的には、互いに接続される複数の計算機にそれぞれ実装され、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するセキュリティー保護装置に関する。
【０００２】
【従来の技術】
従来、計算機内の情報へのアクセスを制限する方法として、ユーザを識別するためのユーザＩＤおよびこのユーザを認証するためのパスワードを計算機内に保持しておき、計算機の使用開始時に必ず上記ユーザＩＤおよびパスワードを入力させることによって、正当なユーザのみに対してアクセスを許可するものがある。このようにしてユーザＩＤおよびパスワードを入力して一旦ログインすると、ログアウトするまで、ユーザの権限の範囲内で計算機のリソースに自由にアクセスすることができる。このようなアクセス制限を行うことにより、ユーザの機密情報等を他人が閲覧することを防止し、セキュリティーを保護することができる。
【０００３】
しかしながら、上記のようなユーザＩＤおよびパスワードを用いたログインの制限によるセキュリティー保護だけでは問題が生じうる。それは、ユーザがある計算機にログインしたまま、意図的または不注意に席を外している間に、他人がこのユーザになりすまして、このユーザの権限でもって計算機を使用しうることである。
【０００４】
そこで、上記の問題の解決に適したものとして、パスワード付きのスクリーンセーバがある。スクリーンセーバとは、計算機に対してキーボードやマウスによる操作が一定期間行われない場合にディスプレイ全体に特定のグラフィックなどを表示してディスプレイのヤケを防止するためのソフトウェアであるが、パスワード付きのスクリーンセーバでは、一旦起動すると、所定のパスワードを入力しない限り画面のロックは解除されない。このようなパスワード付きのスクリーンセーバを利用すれば、上述のようにユーザがログインしたまま席を外してしまったとしても、他人が計算機を使用することができないため、機密情報等を他人に知られる危険がなくなる。
【０００５】
【発明が解決しようとする課題】
しかしながら、上記のようなパスワード付きスクリーンセーバを利用する場合にも問題が生じうる。通常、企業などには、ネットワークに接続された計算機が多数配置されており、ユーザは必要な計算機にログインして使用する。このような状況において、ユーザがある計算機にログイン中に、必要に迫られて別の計算機を使用した場合、席を離れる際に最初の計算機からログアウトし忘れたり、また面倒なので故意にログアウトしないという状況が多々発生しうる。
【０００６】
そうした状況が発生し、例えばこれら２台の計算機がそれぞれ別の部屋にある場合には、ユーザがログアウトし忘れた計算機は、第三者からみて「誰かに使われている」という状態になる。この計算機において、まだパスワード付きのスクリーンセーバが起動していない状態であれば（例えば、最後の操作から３０分経過前）、第三者はこの計算機を使用することができるが、この際、少なくとも使用開始時には席を離れているユーザの権限でもってこの計算機を使用することになるため、席を離れているユーザの機密情報をこの第三者が知ってしまう可能性がある。
【０００７】
一方、ユーザがログアウトし忘れた計算機において、すでにパスワード付きのスクリーンセーバが起動している状態であれば（例えば、最後の操作から３０分経過後）、第三者はパスワードを知らない限りこの計算機を使用することができない。よって、席を離れているユーザの機密情報をこの第三者が知ってしまう可能性はない。しかしながら、この場合、席を離れているユーザがログアウトのし忘れに気づいて画面のロックを解除するまで、この第三者はこの計算機を使用することができないため、第三者が使用したいアプリケーションがこの計算機でしか稼働しない場合や、そのアプリケーションが他の計算機で稼働したとしても計算機の性能が低いために作業効率が下がってしまうような場合には、第三者は不利益を被ることになる。
【０００８】
それ故に、本発明の目的は、複数の計算機に同一ユーザが同時にログインしうる状況において、ログアウトし忘れによるセキュリティーの損失および第三者の不利益を防止することのできるアクセス制御装置および方法を提供することである。
【０００９】
【課題を解決するための手段および発明の効果】
第１の発明は、互いに通信可能に接続される複数の計算機にそれぞれ実装され、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するセキュリティー保護装置であって、
ユーザの操作を検知する操作検知手段と、
操作検知手段によって操作が検知された時刻を取得する操作時刻取得手段と、
ログイン中のユーザを識別するためのログイン中ユーザ識別情報および操作時刻取得手段によって取得された操作時刻を自計算機に接続される他の計算機との間で送受信する通信手段と、
通信手段によって受信された他の計算機のログイン中ユーザ識別情報を参照して、自計算機にログイン中のユーザが、他の計算機にログイン中のユーザと同一であるか否かを検知する同時ログイン検知手段と、
同時ログイン検知手段の検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限手段とを備え、
アクセス制限手段は、自計算機にログイン中のユーザが同時に他の計算機にもログイン中であることが検知された場合、このユーザが同時にログインしている複数の計算機におけるこのユーザの最終の操作時刻を比較し、比較の結果、自計算機における最終の操作時刻が最近の操作時刻でない場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００１０】
上記のように、第１の発明によれば、同一のユーザが複数の計算機に同時にログインしている状態において、この複数の計算機のそれぞれにおいてユーザが最後に操作した時刻を比較することにより、このユーザが現在操作中の計算機を判定し、その結果に基づいて、この現在操作中と判定された計算機以外の計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００１１】
第２の発明は、第１の発明において、同時ログイン検知手段の検知結果に基づいて自計算機にログイン中のユーザが同時に他の計算機にもログイン中であることが検知された場合、このユーザが同時にログインしている複数の計算機におけるこのユーザの最終の操作時刻を比較し、比較の結果、自計算機における最終の操作時刻が最近の操作時刻である場合に、このユーザに対して他の計算機からのログアウトを促すメッセージを表示するメッセージ表示手段をさらに備える。
【００１２】
上記のように、第２の発明によれば、同一のユーザが複数の計算機に同時にログインしている場合に、現在このユーザが操作中であると判定された計算機において、ユーザに他の計算機からのログアウトを促すメッセージを表示する。よって、ユーザがログアウトし忘れた計算機を第三者が利用できないという状況を回避することができる。
【００１３】
第３の発明は、互いに通信可能に接続される複数の計算機にそれぞれ実装され、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するセキュリティー保護装置であって、
ユーザのログインを検知するログイン検知手段と、
ログイン検知手段によってユーザのログインが検知されたときに、このユーザの識別情報を操作開始通知情報として自計算機に接続される他の計算機に送信するとともにこの他の計算機から送信された操作開始通知情報を受信する通信手段と、
通信手段によって受信された操作開始通知情報に基づいて、自計算機にログイン中のユーザが、他の計算機の操作を開始したか否かを検知する同時ログイン検知手段と、
同時ログイン検知手段の検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限手段とを備え、
アクセス制限手段は、自計算機にログイン中のユーザが他の計算機の操作を開始したことが検知された場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００１４】
上記のように、第３の発明によれば、ユーザがログインしたことを他の計算機に伝えることにより、他の計算機において、自計算機にログイン中のユーザが自計算機にログインしっぱなしで新たに別の計算機にログインしたことを検知することができる。これにより自計算機に現在ログイン中のユーザが他の計算機にログインしたときに自計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００１５】
第４の発明は、第３の発明において、アクセス制限手段によるアクセスの制限がユーザによって解除されたことを検知する制限解除検知手段をさらに備え、
通信手段は、ログイン検知手段によってユーザのログインが検知されたときに加えて、制限解除検知手段によってユーザによる制限の解除が検知されたときにも、このユーザの識別情報を操作開始通知情報として他の計算機に送信することを特徴とする。
【００１６】
上記のように、第４の発明によれば、ユーザがある計算機におけるアクセスの制限を解除したときに、このユーザがログイン中の他の計算機を利用したアクセスを自動的に制限することができる。よって、例えばある計算機からログアウトし忘れたまま、別の計算機のアクセス制限を解除してこの別の計算機で操作を開始した場合であっても、ログアウトし忘れた計算機を利用したアクセスを自動的に制限することができ、このログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００１７】
第５の発明は、第３の発明において、通信手段は、同時ログイン検知手段の検知結果に基づいて自計算機にログイン中のユーザが他の計算機にログインしたことが検知された場合、このユーザが自計算機にログインしたままである旨の通知をこのユーザがログインした他の計算機に対して返信し、
他の計算機からログインしたままである旨の通知を受けた場合に、自計算機にログインしたログイン中のユーザに対してこの他の計算機からのログアウトを促すメッセージを表示するためのメッセージ表示手段をさらに備えることを特徴とする。
【００１８】
上記のように、第５の発明によれば、ユーザがある計算機にログインしっぱなしで別の計算機にログインした場合に、この別の計算機において、ユーザに他の計算機からのログアウトを促すメッセージを表示する。よって、ユーザがログアウトし忘れた計算機を第三者が利用できないという状況を回避することができる。
【００１９】
第６の発明は、第１または第３の発明において、アクセス制限手段は、自計算機においてユーザが最後に操作してから所定の時間が経過するまでの期間は、同時ログイン検知手段の検知結果によらず、自計算機を利用したアクセスを制限しないことを特徴とする。
【００２０】
上記のように、第６の発明によれば、ユーザが操作を行わなくなってから所定の時間はアクセスを制限しないようにすることにより、ユーザが複数の計算機に同時にログインして、それら計算機を同時または交互に利用する場合に、計算機を移る毎にアクセスが制限されるのを防ぐことができ、複数の計算機を同時に利用する場合の作業効率の低下を防止することができる。
【００２１】
第７の発明は、第１または第３の発明において、アクセス制限手段は、自計算機においてユーザが最後に操作してから所定の時間が経過したときに、同時ログイン検知手段の検知結果によらず、自計算機を利用したアクセスを制限することを特徴とする。
【００２２】
上記のように、第７の発明によれば、所定の時間が経過することにより、ユーザが複数の計算機に同時にログインしているか否かに関わらずアクセスを制限する。よって、ユーザがある計算機にログインしっぱなしで、長時間席を外してしまった場合であってもセキュリティーの保護を図ることができる。
【００２３】
第８の発明は、互いに通信可能に接続される複数の計算機においてそれぞれ実行され、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するためのセキュリティー保護プログラムであって、
ユーザの操作を検知する操作検知ステップと、
操作検知ステップによって操作が検知された時刻を取得する操作時刻取得ステップと、
ログイン中のユーザを識別するためのログイン中ユーザ識別情報および操作時刻取得ステップによって取得された操作時刻を自計算機に接続される他の計算機との間で送受信する通信ステップと、
通信ステップによって受信された他の計算機のログイン中ユーザ識別情報を参照して、自計算機にログイン中のユーザが、他の計算機にログイン中のユーザと同一であるか否かを検知する同時ログイン検知ステップと、
同時ログイン検知ステップの検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限ステップとをこの計算機に実行させ、
アクセス制限ステップは、自計算機にログイン中のユーザが同時に他の計算機にもログイン中であることが検知された場合、このユーザが同時にログインしている複数の計算機におけるこのユーザの最終の操作時刻を比較し、比較の結果、自計算機における最終の操作時刻が最近の操作時刻でない場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００２４】
上記のように、第８の発明によれば、同一のユーザが複数の計算機に同時にログインしている状態において、この複数の計算機のそれぞれにおいてユーザが最後に操作した時刻を比較することにより、このユーザが現在操作中の計算機を判定し、その結果に基づいて、この現在操作中と判定された計算機以外の計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００２５】
第９の発明は、互いに通信可能に接続される複数の計算機においてそれぞれ実行され、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するためのセキュリティー保護プログラムであって、
ユーザのログインを検知するログイン検知ステップと、
ログイン検知ステップによってユーザのログインが検知されたときに、このユーザの識別情報を操作開始通知情報として自計算機に接続される他の計算機に送信するとともにこの他の計算機から送信された操作開始通知情報を受信する通信ステップと、
通信ステップによって受信された操作開始通知情報に基づいて、自計算機にログイン中のユーザが、他の計算機の操作を開始したか否かを検知する同時ログイン検知ステップと、
同時ログイン検知ステップの検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限ステップとをこの計算機に実行させ、
アクセス制限ステップは、自計算機にログイン中のユーザが他の計算機の操作を開始したことが検知された場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００２６】
上記のように、第９の発明によれば、ユーザがログインしたことを他の計算機に伝えることにより、他の計算機において、自計算機にログイン中のユーザが自計算機にログインしっぱなしで新たに別の計算機にログインしたことを検知することができる。これにより自計算機に現在ログイン中のユーザが他の計算機にログインしたときに自計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００２７】
第１０の発明は、第９の発明において、アクセス制限ステップによるアクセスの制限がユーザによって解除されたことを検知する制限解除検知ステップをさらに実行させ、
通信ステップは、ログイン検知ステップによってユーザのログインが検知されたときに加えて、制限解除検知ステップによってユーザによる制限の解除が検知されたときにも、このユーザの識別情報を操作開始通知情報として他の計算機に送信することを特徴とする。
【００２８】
上記のように、第１０の発明によれば、ユーザがある計算機におけるアクセスの制限を解除したときに、このユーザがログイン中の他の計算機を利用したアクセスを自動的に制限することができる。よって、例えばある計算機からログアウトし忘れたまま、別の計算機のアクセス制限を解除してこの別の計算機で操作を開始した場合であっても、ログアウトし忘れた計算機を利用したアクセスを自動的に制限することができ、このログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００２９】
第１１の発明は、互いに通信可能に接続される複数の計算機のそれぞれにおいて、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するセキュリティー保護方法であって、
ユーザの操作を検知する操作検知ステップと、
操作検知ステップによって操作が検知された時刻を取得する操作時刻取得ステップと、
ログイン中のユーザを識別するためのログイン中ユーザ識別情報および操作時刻取得ステップによって取得された操作時刻を自計算機に接続される他の計算機との間で送受信する通信ステップと、
通信ステップによって受信された他の計算機のログイン中ユーザ識別情報を参照して、自計算機にログイン中のユーザが、他の計算機にログイン中のユーザと同一であるか否かを検知する同時ログイン検知ステップと、
同時ログイン検知ステップの検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限ステップとを備え、
アクセス制限ステップは、自計算機にログイン中のユーザが同時に他の計算機にもログイン中であることが検知された場合、このユーザが同時にログインしている複数の計算機におけるこのユーザの最終の操作時刻を比較し、比較の結果、自計算機における最終の操作時刻が最近の操作時刻でない場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００３０】
上記のように、第１１の発明によれば、同一のユーザが複数の計算機に同時にログインしている状態において、この複数の計算機のそれぞれにおいてユーザが最後に操作した時刻を比較することにより、このユーザが現在操作中の計算機を判定し、その結果に基づいて、この現在操作中と判定された計算機以外の計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００３１】
第１２の発明は、互いに通信可能に接続される複数の計算機のそれぞれにおいて、ログイン中のユーザ以外のユーザによるアクセスを制限することによってセキュリティーを保護するセキュリティー保護方法であって、
ユーザのログインを検知するログイン検知ステップと、
ログイン検知ステップによってユーザのログインが検知されたときに、このユーザの識別情報を操作開始通知情報として自計算機に接続される他の計算機に送信するとともにこの他の計算機から送信された操作開始通知情報を受信する通信ステップと、
通信ステップによって受信された操作開始通知情報に基づいて、自計算機にログイン中のユーザが、他の計算機の操作を開始したか否かを検知する同時ログイン検知ステップと、
同時ログイン検知ステップの検知結果に基づいて、自計算機を利用したアクセスを制限するアクセス制限ステップとを備え、
アクセス制限ステップは、自計算機にログイン中のユーザが他の計算機の操作を開始したことが検知された場合に、自計算機を利用したアクセスを制限することを特徴とする。
【００３２】
上記のように、第１２の発明によれば、ユーザがログインしたことを他の計算機に伝えることにより、他の計算機において、自計算機にログイン中のユーザが自計算機にログインしっぱなしで新たに別の計算機にログインしたことを検知することができる。これにより自計算機に現在ログイン中のユーザが他の計算機にログインしたときに自計算機を利用したアクセスを制限することができる。よって、ログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００３３】
第１３の発明は、第１２の発明において、アクセス制限ステップによるアクセスの制限がユーザによって解除されたことを検知する制限解除検知ステップをさらに備え、
通信ステップは、ログイン検知ステップによってユーザのログインが検知されたときに加えて、制限解除検知ステップによってユーザによる制限の解除が検知されたときにも、このユーザの識別情報を操作開始通知情報として他の計算機に送信することを特徴とする。
【００３４】
上記のように、第１３の発明によれば、ユーザがある計算機におけるアクセスの制限を解除したときに、このユーザがログイン中の他の計算機を利用したアクセスを自動的に制限することができる。よって、例えばある計算機からログアウトし忘れたまま、別の計算機のアクセス制限を解除してこの別の計算機で操作を開始した場合であっても、ログアウトし忘れた計算機を利用したアクセスを自動的に制限することができ、このログインしっぱなしの計算機のリソースに第三者がアクセスするのを防止することができる。
【００３５】
【発明の実施の形態】
以下、図面を参照して、本発明の種々の実施形態について説明する。
（第１の実施形態）
図１に本発明の第１の実施形態に係るスクリーンセーバ装置を適用したシステムの全体構成を示す。図１において、３台の計算機１００ａ〜１００ｃは、ＬＡＮ２００を介して互いに接続される。計算機１００ａ〜１００ｃには、それぞれ本実施形態に係るスクリーンセーバ装置が実装されている。なお、３台の計算機１００ａ〜１００ｃは同一の構成であるため、以下の説明において、３台の計算機１００ａ〜１００ｃを特に区別する必要がない場合には、単に計算機１００と称す。計算機１００の内部構成についても同様とする。本システムにおいてユーザが各計算機１００ａ〜１００ｃを利用する際には、ユーザＩＤ及びパスワードを入力してログインする必要があり、このユーザＩＤ及びパスワードは、ネットワーク内で共通、つまり各計算機１００ａ〜１００ｃのそれぞれに対して共通のユーザＩＤ及びパスワードを用いてログインすることができるものとする。なお、このようにネットワーク内で共通のＩＤでログインできるシステムについては、すでに広く知られている技術であるため、その詳しい説明は省略する。
【００３６】
図２に、計算機１００の内部構成および周辺装置を示す。計算機１００には、周辺装置として、ディスプレイ装置３００と、キーボード装置４００が接続される。計算機１００は、スクリーンセーバ装置１０と、オペレーティングシステム２０と、アプリケーション３０とを備える。スクリーンセーバ装置１０は、通信部１と、認証部２と、ディスプレイ制御部３と、入力検出部４と、操作履歴格納部５とを含む。以下、計算機１００の各部の構成について説明する。
【００３７】
オペレーティングシステム２０は、計算機１００において、周辺装置やＬＡＮ２００へのアクセス用インターフェースをスクリーンセーバ装置１０およびアプリケーション３０に対して提供する。スクリーンセーバ装置１０において、通信部１は、ログイン中ユーザＩＤ、計算機識別情報、および最終操作時刻からなる「操作状況通知電文」を、ＬＡＮ２００を介して他の計算機との間で送受信する。認証部２は、オペレーティングシステム２０の機能を呼び出して、スクリーンセーバによる画面ロックを解除する際のユーザの認証を行う。ディスプレイ制御部３は、通信部１及び認証部２からの情報に基づき、ディスプレイ装置３００に対して画面ロックまたはメッセージ表示を行う。入力検出部４は、ユーザによるキーボード装置４００からの入力がなされたかどうかを検出する。操作履歴格納部５は、図３に示すように、自計算機および他計算機における最終操作時刻を計算機識別情報と関連付けて格納する。
【００３８】
なお、図２において、オペレーティングシステム２０を示すブロック内の点線は、オペレーティングシステム２０のＡＰＩを介してスクリーンセーバ装置１０およびアプリケーション３０が、ＬＡＮ２００上の他の計算機に対する情報の送受信、キーボード装置４００からの情報の入力、およびディスプレイ装置３００への情報の出力を行っていることを表している。本実施形態では、同一のスクリーンセーバ装置１０を複数の計算機１００ａ〜１００ｃ上に実装する形態としている。アプリケーション３０は、オペレーティングシステム２０上で稼働しているアプリケーションである。ユーザは、ディスプレイ制御部３によるディスプレイ装置３００の画面ロックが行われていなければ、このアプリケーション３０を使用することができる。
【００３９】
以下、スクリーンセーバ装置１０の各部の動作についてより詳細に説明する。まず、入力検出部４の動作について説明する。入力検出部４は、オペレーティングシステム２０の機能を用いることにより、キーボード装置４００による操作がユーザによってなされたかどうかを常時検出している。仮にユーザがアプリケーション３０に対するキーボード装置４００から文字入力などの操作を行った場合、オペレーティングシステム２０は、そのことを認識できる。これは、既存のオペレーティングシステムによって実現されている技術である。このオペレーティングシステムの機能を利用することにより、入力検出部４は、ユーザが操作を行ったかどうかを知ることができる。ユーザからの操作が行われた場合、入力検出部４は、ディスプレイ制御部３に対して、ユーザによる操作が行われたことを通知するための「操作発生電文」を送信する。この「操作発生電文」は、ディスプレイ制御部３を通じて通信部１にも供給される。このときオペレーティングシステム２０やアプリケーション３０では、このユーザの操作に対する本来の処理が行われる。
【００４０】
次に、通信部１の動作について説明する。通信部１は、上述したログイン中ユーザＩＤ、計算機識別情報、および最終操作時刻からなる「操作状況通知電文」を、ネットワークに接続されている他の計算機に対して送信する処理と、他の計算機から送られた「操作状況通知電文」を受信して、その内容に応じて所定の機能を実施する処理との２つの処理を行う。以下、これら処理についてそれぞれ説明する。
【００４１】
通信部１は、定期的に以下に示す自計算機の操作状況に関する３つの情報を収集し、「操作状況通知電文」として、ＬＡＮ２００に接続される他の計算機に送信する。第１の情報は、自計算機に現在ログインしているユーザの識別情報（ログイン中ユーザＩＤ）である。このログイン中ユーザＩＤは、オペレーティングシステム２０から入手することができる。第２の情報は、最後に操作が行われた時刻（最終操作時刻）である。この最終操作時刻は、例えばディスプレイ制御部３が入力検出部４から「操作発生電文」を受信する毎にその受信時刻を操作履歴格納部５に記録しておくことにより、任意の時点で求めることができる。第３の情報は、この計算機自身の識別子（計算機識別情報）である。この計算機識別情報は、オペレーティングシステム２０が管理しているので、オペレーティングシステム２０のＡＰＩより入手することができる。通信部１は、上記３つの情報を含む「操作状況通知電文」を生成し、他の計算機へ送信する。このとき「操作状況通知電文」は、ＬＡＮ２００上の全ての計算機が受信できるような形態で、例えば、ＴＣＰ／ＩＰにおけるブロードキャスト・メッセージを用いて送信される。
【００４２】
通信部１は、上記のように定期的に「操作状況通知電文」を送信する一方、他の計算機のスクリーンセーバ装置から発信された「操作状況通知電文」を受信し、この受信した電文に応じた処理を行う。以下、この処理について説明する。受信した「操作状況通知電文」には、送信する場合と同じく、ログイン中ユーザＩＤ、最終操作時刻、および計算機識別情報が含まれている。通信部１は、受信した「操作状況通知電文」に含まれているログイン中ユーザＩＤが自計算機のログイン中ユーザＩＤと等しくなければ、単にこの電文を無視する。一方、受信した「操作状況通知電文」に含まれているログイン中ユーザＩＤが自計算機のログイン中ユーザＩＤと等しければ、受信した「操作状況通知電文」に含まれる最終操作時刻および計算機識別情報を、操作履歴格納部５に登録する。
【００４３】
以下、図４に示すフローチャートを参照して、上述した通信部１の動作について説明する。通信部１は、ステップＳ１０で、通知用タイマーを０にリセットする。この通知用タイマーは、「操作状況通知電文」を他の計算機に対して定期的に送信することを保証するために使用される。ステップＳ１１で、「操作状況通知電文」をＬＡＮ２００に接続された他の計算機へ送信する。次に、ステップＳ１２で、この時点においてディスプレイ制御部３から「操作発生電文」が到着しているかどうかを調べる。もし到着していれば、ステップＳ１０に戻り、その結果、ステップＳ１０とステップＳ１１が即時に実行される。これにより、ユーザによる新たな操作が発生した時点で、その操作時刻がＬＡＮ２００を介して即時に他の計算機に伝わることになる。
【００４４】
一方、ステップＳ１２で、ディスプレイ制御部３から「操作発生電文」が到着していなければ、ステップＳ１３に進む。通信部１は、ステップＳ１３で、他の計算機から「操作状況通知電文」を受信したかどうかを調べる。もし受信していればステップＳ１４に進み、受信した「操作状況通知電文」に含まれるログイン中ユーザＩＤに基づいて、他計算機のログイン中ユーザＩＤが自計算機のログイン中ユーザＩＤと同一かどうかを調べる。そして、もしこの両者が同一であれば、ステップＳ１５に進み、受信した「操作状況通知電文」に含まれる最終操作時刻および計算機識別情報を操作履歴格納部５に格納し、ステップＳ１６に進む。なお、ステップＳ１３において、「操作状況通知電文」を受信していなかったり、ステップＳ１４において、受信した「操作状況通知電文」に含まれるログイン中ユーザＩＤが自計算機のログイン中ユーザＩＤと異なっていた場合には、この登録処理（ステップＳ１５）を行わずに、ステップＳ１６に進む。通信部１は、ステップＳ１６で、通知用タイマーが一定時間（例えば１０秒）のカウントを終了したかどうかを判断する。もしカウントを終了していれば、ステップＳ１０に戻り、通知用タイマーをリセットして、他の計算機に対して「操作状況通知電文」を送信する。もしカウントを終了していなければ、「操作状況通知電文」を送信することなく、ステップＳ１２に戻り、ディスプレイ制御部３からの「操作発生電文」が到着するか、通知用タイマーがカウントを終了するまで、ディスプレイ制御部３からの「操作発生電文」の到着および他の計算機からの「操作状況通知電文」の到着をチェックする処理を繰り返す。
【００４５】
以上のようにして、通信部１は、自計算機上で操作が行われた場合には即時に「操作状況通知電文」をＬＡＮ２００上の他の計算機に対して送信し、一方、自計算機上で操作が行われない場合であっても、通知用タイマーが一定時間のカウントを終了する毎に「操作状況通知電文」を送信するという動作を行う。そして、他の計算機から「操作状況通知電文」を受信した場合には、この「操作状況通知電文」に含まれるログイン中ユーザＩＤが自計算機のログイン中ユーザＩＤと同一である場合に、その電文中の最終操作時刻および計算機識別情報を操作履歴格納部５に格納する。こうして操作履歴格納部５に格納された情報は、後述するディスプレイ制御部３の動作に影響を与える。
【００４６】
次に、図５に示すフローチャートを参照して、ディスプレイ制御部３の動作について説明する。ディスプレイ制御部３は、「ディスプレイロック状態」と「ディスプレイ非ロック状態」の２つの状態のいずれかの状態を持つ。ディスプレイ制御部３は、そのいずれの状態にあっても、ステップＳ２０で、この時点において入力検出部４から「操作発生電文」が到着しているかどうかを調べる。「操作発生電文」が到着している場合には、ステップＳ２１で、このときの時刻を最終操作時刻として自計算機の識別情報とともに操作履歴格納部５に登録し、続いてステップＳ２２で、この「操作発生電文」を通信部１へ送信して、ステップＳ２３に進む。続いてステップＳ２３で、自計算機に現在ログイン中のユーザが、ＬＡＮ２００に接続される他の計算機にも同時にログイン中であるか否かを判定する。自計算機に現在ログイン中のユーザが他の計算機にも同時にログインしている場合は、前述の通信部１の処理により、他の計算機からＬＡＮ２００を介して定期的に受信される「操作状況通知電文」に含まれる最終操作時刻および計算機識別情報が、操作履歴格納部５に記録されるので、この操作履歴格納部５に他の計算機に係る最終操作時刻が記録されているか否かを確認することによって、自計算機に現在ログイン中のユーザが他の計算機に同時にログインしているか否かを判定することができる。ただし、本実施形態では、操作履歴格納部５には他の計算機のログイン中ユーザＩＤを格納していないため、例えば自計算機のログイン中ユーザがログアウトして新たに他のユーザがログインした場合、操作履歴格納部５のデータが残っていると、この新たなユーザが他の計算機にもログイン中であると誤判定するおそれがある。この問題を解消するためには、例えば、ログイン中のユーザがログアウトした時点で操作履歴格納部５の格納データをクリアするようにすればよい。もしくは、操作履歴格納部５に、他の計算機のログイン中ユーザＩＤも格納しておき、このＩＤを参照して同時ログインを判定しても良い。
【００４７】
ステップＳ２３において、自計算機に現在ログイン中のユーザが同時に他の計算機にもログイン中であると判定された場合は、ステップＳ２４に進む。一方、自計算機に現在ログイン中のユーザが、同時に他の計算機にログインしていないと判定されると、ステップＳ２６に進み、ステップＳ２６で、ユーザによる操作がなされていない状態が一定期間（例えば３０分）以上続いているか否かを判定し、無操作状態が一定期間以上続いている場合には、ステップＳ２７に進んで、ディスプレイ装置３００の画面をロックする。無操作状態が一定期間以上続いていない場合は、画面をロックすることなくステップＳ２０に戻る。このステップＳ２６からステップＳ２７にわたる処理は、ログイン中ユーザが長時間席を離れた際にセキュリティーを保護するためのもので、スクリーンセーバ装置に一般的に備えられている機能である。ディスプレイ装置３００の画面がロックされると、認証部２においてキーボード装置４００から有効なパスワードが入力されたことが確認されるまで、このロックを解除することはできない。一方、ステップＳ２４で、ディスプレイ制御部３は、操作履歴格納部５に格納されている自計算機および他の計算機の最終操作時刻を比較して、自計算機に現在ログイン中のユーザが最後に操作した計算機が自計算機であるか他の計算機であるかを判定する。つまり、自計算機の最終操作時刻が他のいずれの計算機の最終操作時刻よりも最近である場合に、このユーザが最後に操作した計算機は自計算機であると判定する。そして、ユーザが最後に操作したのが自計算機であると判定された場合は、ステップＳ２５に進み、ディスプレイ装置３００の画面の一部に、例えば「他の計算機にログインしたままになっています」というメッセージを表示し、ユーザに対して他の計算機からのログアウトを促す。一方、ユーザが最後に操作したのが他の計算機であると判定された場合は、ステップＳ２７で、ディスプレイ装置３００の画面をロックし、認証部２においてキーボード装置４００から有効なパスワードが入力されたことが確認されるまで、計算機のリソースを使うことができないようにする。
【００４８】
以上のようなディスプレイ制御部３の動作によって、ユーザが自計算機にのみログインしている場合には、従来のスクリーンセーバと同様に、一定の時間が経過した場合にのみ画面をロックするが、ユーザが複数の計算機にログインしていた場合には、ユーザが実際に周辺装置を操作している計算機以外の計算機の画面を、決められた時間が経過していなくてもロックすることができる。また、計算機が３台以上であった場合、ユーザが操作した計算機以外の全ての計算機が同じ処理内容によって画面ロックされることになる。
【００４９】
以上のように、第１の実施形態によれば、ユーザがある計算機にログインしたまま他の計算機を操作した場合に、操作中の計算機以外の計算機の画面を即時にロックすることができるため、ログインしっぱなしの計算機のリソースに関するセキュリティーを保護することができる。また、操作中の計算機において、他の計算機からのログアウトを促すメッセージを表示することにより、ログアウトし忘れた計算機を第三者が利用できないという問題を解決することができる。
【００５０】
上述のように第１の実施形態では、例えばユーザがある計算機にログインしっぱなしで他の計算機に同時にログインすると、即時に、ログインしっぱなしの計算機においてディスプレイの画面ロックを行う。ところで、複数の計算機にそれぞれログインして、同時または交互に計算機を使用したい状況もあり得るが、このような場合、第１の実施形態では、操作する計算機を変える度に画面のロックを解除する必要があり、操作が煩わしい。そこで、このような状況に対応するために、最後に操作が行われてから一定時間（例えば５分）は、同時ログインがあっても、画面のロックを行わないようにする変形例も考えられる。このような処理を行うためには、例えば、ディスプレイ制御部の動作を、図６に示すフローチャートのように変更すればよい。つまり、ステップＳ２４で、自計算機にログイン中のユーザがログインしている複数の計算機の中で、最後に操作が行われたのが他の計算機であると判定された場合、ステップＳ２９で、自計算機が最後に操作されてから５分以上経過しているか否かを判定し、５分以上経過していなければ画面をロックすることなくステップＳ２０に戻る。一方、ステップＳ２４で、最後に操作が行われたのが自計算機であると判定された場合、ステップＳ２８で、自計算機にログイン中のユーザが同時にログインしている他の計算機のいずれかにおいて最後に操作されてから５分以上経過しているか否かを判定し、いずれにおいても５分以上経過していなければログアウトを促すためのメッセージを表示することなくステップＳ２０に戻る。この結果、図７に示すように、自計算機が最後に操作された時刻からの経過時間に応じて異なる処理を実行する。このような動作によって、複数の計算機を同時に使用しても、操作する計算機を変える毎に、他の計算機がロックされたり、自計算機にログアウトを促すメッセージが表示されることがなくなる。よって、複数の計算機を同時に使用する際、操作を効率的に行うことができる。
【００５１】
なお、上述した第１の実施形態およびその変形例において、ディスプレイ装置にログアウトを促すメッセージを表示する際、他の計算機から受信した計算機識別情報に基づいて、いずれの計算機において現在ログイン中であるのかを表示するようにしてもよい。こうすれば、例えば、ユーザがどの計算機でログインしっぱなしの計算機を忘れてしまっている場合であっても、ログアウトすべき計算機がすぐに分かるため好ましい。
【００５２】
第１の実施形態に係るスクリーンセーバ装置は、ユーザの操作状況に係る情報を通知するための電文を、ユーザの操作が発生する度、または一定時間が経過する度に他の計算機に送信し、この電文中に記されている最終操作時刻に基づいて、ユーザが操作中ではない計算機の画面をロックするものである。一方、以下に述べる第２の実施形態では、ユーザがログインする度に、その旨を他の計算機に通知することにより、ユーザが操作中の計算機を判定して、操作中ではない計算機の画面をロックする。以下、この第２の実施形態に係るスクリーンセーバ装置について説明する。
【００５３】
（第２の実施形態）
第２の実施形態に係るスクリーンセーバ装置は、図１に示すシステムと同様に、ＬＡＮに接続される複数の計算機にそれぞれ実装される。なおシステム構成図については、第１の実施形態と同様であるため図示を省略する。図８に、第２の実施形態に係るスクリーンセーバ装置が実装された計算機の構成を示す。計算機６００は、第１の実施形態と同様に、ディスプレイ装置３００とキーボード装置４００に接続されている。計算機６００は、オペレーティングシステム２０と、アプリケーション３０と、第２の実施形態に係るスクリーンセーバ装置４０とを備える。スクリーンセーバ装置４０は、通信部６と、認証部２と、ディスプレイ制御部３と、入力検出部４と、操作履歴格納部１５と、ログイン検出部１６とを含む。なお、図８において、図２と同一の構成には同一の参照符号を付し、説明を省略する。
【００５４】
以下、スクリーンセーバ装置４０の動作について説明する。通信部１１は、後述する「ログイン通知電文」およびこの「ログイン通知電文」に対する「応答電文」を、ＬＡＮを介して他の計算機に対して送受信する。ディスプレイ制御部１３は、認証部２や入力検出部４や通信部１１からの入力に基づいてディスプレイ装置３００を制御する。操作履歴格納部１５は、自計算機６００におけるユーザの最終操作時刻を記録する。これにより、ディスプレイ制御部１３は、ユーザの操作が行われなくなってからの経過時間に基づいてディスプレイ装置３００を制御することができる。ログイン検出部１６は、自計算機６００にユーザがログインしたことを検出する。
【００５５】
次に、図９に示すフローチャートを参照して、通信部１１の動作について説明する。ステップＳ３０で、ログイン検出部１６から、ユーザのログインが発生したことを示す「ログイン発生電文」を受信したか否かを確認し、ログイン検出部１６から「ログイン発生電文」を受信した場合はステップＳ３１に進み、そうでない場合はステップＳ３２に進む。ステップＳ３１で、通信部１１は、ＬＡＮに接続される他のすべての計算機に対して、自計算機においてログインが発生した旨を、ログインしたユーザのＩＤおよび計算機識別情報とともに「ログイン通知電文」として送信し、ステップＳ３２に進む。ステップＳ３２で、他の計算機から「返答電文」を受信したか否かを確認する。この「返答電分」は、「ログイン通知電文」を受信した他の計算機から、所定の条件で返信される電文であり、同一ユーザがすでにログインしている旨を通知するための電文である。ステップＳ３２で、「返答電文」を受信している場合は、ステップＳ３７に進み、ディスプレイ制御部１３に、ディスプレイ装置３００の画面に、ユーザに他の計算機からのログアウトを促すためのメッセージを表示する旨の指示を送る。一方、ステップＳ３２で、「返答電文」を受信していない場合は、ステップＳ３３に進む。
【００５６】
ステップＳ３３で、他の計算機から「ログイン通知電文」を受信しているか否かを確認する。受信していない場合は、ステップＳ３０に戻り、受信している場合は、ステップＳ３４に進む。ステップＳ３４で、受信した「ログイン通知電文」に含まれているユーザＩＤが、自計算機にログインしたユーザのＩＤと同一か否かを確認する。同一でない場合は、ステップＳ３０に戻り、同一である場合は、ステップＳ３５に進む。ステップＳ３５で、受信した「ログイン通知電文」に含まれている計算機識別情報に基づいて、この電文を送信した計算機に対して、同一ユーザがすでに自計算機にログインしている旨を通知するための「返答電文」を送信し、ステップＳ３６に進む。「返答電文」には、自計算機の識別情報が含まれる。ステップＳ３６で、ディスプレイ制御部１３に、ディスプレイ装置３００の画面をロックする旨の指示を送る。
【００５７】
通信部１１による以上の動作によって、例えばユーザがある計算機（仮に計算機Ａとする）にログインしたまま別の計算機（仮に計算機Ｂとする）にログインした場合、計算機Ｂにログインした時点で、計算機Ｂから計算機Ａを含む他の計算機に対して「ログイン通知電文」が送信される。計算機Ａでは、この「ログイン通知電文」を受信することによって、自計算機にログイン中のユーザが他の計算機にログインしたことを検知し、セキュリティー保護のために画面をロックする。そして、計算機Ａでは、さらに、このユーザが自計算機にログインしっぱなしであることを計算機Ｂにログインしたユーザに報せるべく、計算機Ｂに対して、「返答電文」を送信する。計算機Ｂでは、計算機Ａからの「返答電文」を受信すると、ディスプレイ装置３００に、ユーザに計算機Ａからのログアウトを促すメッセージを表示する。この表示を見たユーザは、自分が計算機Ａにログインしっぱなしであることに気づき、計算機Ａからのログアウトを実行する。これにより、計算機Ａに特定のユーザがログインしっぱなしであることにより計算機Ａを第三者が利用できないという事態を回避できる。
【００５８】
なお、本実施形態では、ある計算機にユーザがログインした時に、この計算機から他の計算機に対して「ログイン通知電文」を送信するとしたが、これに加えて、認証部２を通じてユーザがスクリーンセーバによるディスプレイ装置の画面ロックを解除した時に、他の計算機にこの旨を通知するために、自計算機から他の計算機に対して「ログイン通知電文」と同様の内容の電文を送信しても良い。これにより、例えば、ある計算機Ａにログイン中に他の計算機Ｂにログインして操作した後、再び計算機Ａを使用する場合に、ユーザが計算機Ｂからログアウトし忘れた場合であっても、計算機Ａの画面ロックを解除した時点で計算機Ｂのディスプレイ装置の画面を自動的にロックすることが可能になる。こうして、ログインしっぱなしの計算機Ｂにおけるセキュリティーを保護することができる。
【００５９】
以上のように、第２の実施形態によれば、ユーザがある計算機にログインしたまま他の計算機にログインした場合、ログインした計算機以外の計算機の画面を即時にロックすることができるため、ログインしっぱなしの計算機のリソースに関するセキュリティーを保護することができる。また、ログインした計算機において、他の計算機からのログアウトを促すメッセージを表示することにより、ログアウトし忘れた計算機を第三者が利用できないという問題を解決することができる。
【００６０】
以上、第１および第２の実施形態についてそれぞれ説明したが、特に第１の実施形態では、「オペレーティングシステムのログイン」の部分を含まないため、オペレーティングシステムと独立した実装が容易であって、つまりオペレーティングシステムと独立性の高い実装が自然に行えるという利点がある。一方の第２の実施形態では、ログイン時またはロック解除時に即時に計算機間で電文の交換が行われるため、動作の即時性に優れるとともに、定期的な電文の交換が不要であるため、ネットワークのトラフィックの増加が抑えられるという利点がある。
【００６１】
なお、以上の実施形態の説明では、スクリーンセーバ装置がオペレーティングシステム２０に対するアプリケーションとして動作する場合について述べたが、これに限らず、オペレーティングシステム２０を介さずに同様の処理を実現するようにしても構わない。また、スクリーンセーバ装置は、ハードウェアにより実現しても良いし、ソフトウェアとして実現しても良いし、またハードウェアおよびソフトウェアの任意の組合せにより実現しても構わない。このとき、ソフトウェアは、計算機の記録媒体に予め記録されていても構わないし、記録媒体や通信回線を介して供給されても構わない。
【００６２】
また、以上の実施形態の説明では、スクリーンセーバ装置により、ディスプレイ装置の画面をロックしてログイン中ユーザの権限による他人のアクセスを防止するとしたが、これに限らず、画面ロック以外の方法によりセキュリティーを保護するようにしても構わない。
【００６３】
また、以上の実施形態の説明では、ＬＡＮに接続される複数の計算機のそれぞれにおいて、ユーザがログインする際のユーザＩＤおよびパスワードは共通であるとしたが、これに限らず、各計算機において、同一ユーザに対応するユーザＩＤが異なっていても構わない。この場合、各計算機では、例えば同一ユーザに対応する複数のユーザＩＤを対応付けて記録するデータテーブルをあらたに備え、このデータテーブルに基づいて、他の計算機から送信されてきたユーザＩＤと、自計算機にログイン中のユーザのユーザＩＤとが、同一ユーザに対するＩＤであるか否かを判定して、同一ユーザによる複数の計算機への同時ログイン状態を検知するようにすればよい。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るスクリーンセーバ装置を適用したシステムの構成を示すブロック図である。
【図２】スクリーンセーバ装置が実装された計算機の構成を示すブロック図である。
【図３】操作履歴格納部５の格納データを示す図である。
【図４】通信部１の動作を示すフローチャートである。
【図５】ディスプレイ制御部３の動作を示すフローチャートである。
【図６】第１の実施形態の変形例に係るディスプレイ制御部の動作を示すフローチャートである。
【図７】最後の操作が行われてからの経過時間に応じたスクリーンセーバ装置の動作を説明するための図である。
【図８】本発明の第２の実施形態に係るスクリーンセーバ装置が実装された計算機の構成を示すブロック図である。
【図９】通信部１１の動作を示すフローチャートである。
【符号の説明】
１通信部
２認証部
３ディスプレイ制御部
４入力検出部
５操作履歴格納部
１０スクリーンセーバ装置
１１通信部
１３ディスプレイ制御部
１５操作履歴格納部
１６ログイン検出部
２０オペレーティングシステム
３０アプリケーション
４０スクリーンセーバ装置
１００、１００ａ〜１００ｃ計算機
２００ＬＡＮ
３００ディスプレイ装置
４００キーボード装置
６００計算機[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a security protection device, and more particularly to a security protection device that is implemented in each of a plurality of computers connected to each other and protects security by restricting access by a user other than the logged-in user.
[0002]
[Prior art]
Conventionally, as a method for restricting access to information in a computer, a user ID for identifying a user and a password for authenticating the user are held in the computer, and the user ID is always used when the computer starts to be used. Some users allow access only to legitimate users by entering a password. Once the user ID and password are entered in this manner and once logged in, the computer resources can be freely accessed within the user's authority until logging out. By performing such access restriction, it is possible to prevent others from browsing the confidential information of the user and to protect security.
[0003]
However, a problem may arise only by security protection by restricting login using the user ID and password as described above. That is, while a user is logged in to a computer and is intentionally or carelessly removed, another person can impersonate the user and use the computer with the user's authority.
[0004]
Therefore, a screen saver with a password is suitable for solving the above problem. A screen saver is software that displays specific graphics on the entire display to prevent the display from being burned when there is no keyboard or mouse operation on the computer for a certain period of time. Once activated, the screen is not unlocked unless a predetermined password is entered. If a screen saver with a password like this is used, even if the user leaves his / her seat while logged in as described above, other people cannot use the computer. Disappears.
[0005]
[Problems to be solved by the invention]
However, problems may arise when using a screen saver with a password as described above. Usually, a company or the like has a large number of computers connected to a network, and a user logs in and uses a necessary computer. In such a situation, if a user logs in to a computer and uses another computer when necessary, he / she forgets to log out from the first computer when leaving his / her seat, and he / she is troublesome and does not log out intentionally. Many situations can occur.
[0006]
When such a situation occurs, for example, when these two computers are in different rooms, the computer that the user forgot to log out is in a state of being “used by someone” when viewed from a third party. In this computer, if the screen saver with password has not been activated yet (for example, 30 minutes before the last operation), the third party can use this computer, but at this time, at least use Since this computer is used with the authority of the user who is away from the seat at the start, there is a possibility that this third party will know the confidential information of the user who is away from the seat.
[0007]
On the other hand, if a screen saver with a password is already activated in a computer that the user forgot to log out (for example, 30 minutes after the last operation), this computer will be used unless a third party knows the password. Cannot be used. Therefore, there is no possibility that this third party will know the confidential information of the user who is away from the seat. However, in this case, the third party cannot use this calculator until the user who is away from the desk notices that he / she has forgotten to log out and unlocks the screen. The third party will suffer a disadvantage if it only runs on this computer, or even if the application runs on another computer, the performance of the computer will be low and work efficiency will be reduced. .
[0008]
Therefore, an object of the present invention is to provide an access control apparatus and method capable of preventing a loss of security and a disadvantage of a third party caused by forgetting to log out in a situation where the same user can log in to a plurality of computers at the same time. It is to be.
[0009]
[Means for Solving the Problems and Effects of the Invention]
The first invention is a security protection device that is implemented in each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by a user other than the logged-in user,
Operation detection means for detecting a user operation;
Operation time acquisition means for acquiring the time when the operation was detected by the operation detection means;
A communication means for transmitting / receiving the logged-in user identification information for identifying a logged-in user and the operation time acquired by the operation time acquiring means to / from another computer connected to the own computer;
Simultaneous login detection that detects whether the user logged in to the local computer is the same as the user logged in to the other computer with reference to the user identification information during login of the other computer received by the communication means Means,
Based on the detection result of the simultaneous login detection means, the access restriction means for restricting access using the own computer,
When it is detected that a user who is logged in to the computer is simultaneously logged in to another computer, the access restriction means determines the last operation time of the user in a plurality of computers that are logged in at the same time. In comparison, as a result of the comparison, when the last operation time in the own computer is not the latest operation time, access using the own computer is limited.
[0010]
As described above, according to the first invention, in the state where the same user is logged in to a plurality of computers at the same time, by comparing the time when the user last operated in each of the plurality of computers, A user can determine a computer that is currently operated, and based on the result, access using a computer other than the computer that is determined to be currently operated can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0011]
According to a second aspect, in the first aspect, when it is detected that a user who is logged in to the own computer is simultaneously logged in to another computer based on the detection result of the simultaneous login detecting means, Compare the last operation time of this user on multiple computers that are logged in at the same time, and if the result of comparison shows that the last operation time on the local computer is the latest operation time, Message display means for displaying a message prompting the user to log out.
[0012]
As described above, according to the second invention, when the same user is logged in to a plurality of computers at the same time, in the computer that is currently determined to be operated by the user, the user is notified from another computer. Display a message prompting the user to log out. Therefore, it is possible to avoid a situation where a third party cannot use the computer that the user forgot to log out.
[0013]
A third invention is a security protection device that is implemented in each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by a user other than the logged-in user,
Login detection means for detecting user login;
When the login of the user is detected by the login detection means, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer and the operation start notification information transmitted from the other computer Communication means for receiving,
Based on the operation start notification information received by the communication means, a simultaneous login detection means for detecting whether or not a user logged in to the own computer has started an operation of another computer,
Based on the detection result of the simultaneous login detection means, the access restriction means for restricting access using the own computer,
The access restriction means restricts access using the own computer when it is detected that a user logged in to the own computer starts an operation of another computer.
[0014]
As described above, according to the third aspect of the present invention, a user who is logged in to the own computer in the other computer is newly logged in to the own computer by informing the other computer that the user has logged in. It is possible to detect that the user has logged into another computer. Thereby, when a user who is currently logged in to the own computer logs in to another computer, access using the own computer can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0015]
According to a fourth aspect, in the third aspect, the apparatus further comprises restriction release detection means for detecting that the access restriction by the access restriction means is released by the user,
In addition to when the login detection unit detects the user's login, the communication unit also uses the user identification information as operation start notification information when the restriction release detection unit detects the restriction release by the user. It transmits to the computer of this.
[0016]
As described above, according to the fourth aspect of the present invention, when the user removes the access restriction on a certain computer, it is possible to automatically restrict the access using the other computer to which the user is logged in. So, for example, even if you forgot to log out from one computer and cancel the access restriction of another computer and start the operation on this other computer, access using the computer you forgot to log out automatically It is possible to limit the access to the resources of the computer that has been logged in.
[0017]
In a fifth aspect based on the third aspect, when the communication means detects that a user logged in to the own computer has logged in to another computer based on the detection result of the simultaneous login detection means, Reply to other computers that this user has logged in to notify you that you are still logged in to your computer,
A message display means for displaying a message prompting the logged-in user who has logged in to his / her computer to log out from the other computer when receiving a notification indicating that he / she is still logged in from another computer It is characterized by providing.
[0018]
As described above, according to the fifth aspect of the present invention, when a user logs in to another computer while logging in to a certain computer, the message prompting the user to log out from the other computer is sent to the other computer. indicate. Therefore, it is possible to avoid a situation where a third party cannot use the computer that the user forgot to log out.
[0019]
In a sixth aspect based on the first or third aspect, the access restricting means includes a detection result of the simultaneous login detecting means for a period until a predetermined time elapses after the user last operates on the own computer. Regardless, the access using the own computer is not restricted.
[0020]
As described above, according to the sixth aspect of the present invention, the user does not restrict access for a predetermined time after the user stops performing an operation, so that the user can log in to a plurality of computers at the same time and simultaneously execute the computers. Alternatively, when alternately used, it is possible to prevent access from being restricted every time the computer is moved, and it is possible to prevent a reduction in work efficiency when a plurality of computers are used simultaneously.
[0021]
In a seventh aspect based on the first or third aspect, the access restriction means does not depend on a detection result of the simultaneous login detection means when a predetermined time has elapsed since the user last operated on the own computer. The access using the own computer is limited.
[0022]
As described above, according to the seventh aspect, the access is restricted regardless of whether or not the user is logged in to a plurality of computers simultaneously when a predetermined time has elapsed. Therefore, security can be protected even if the user leaves the seat for a long time without logging in to a computer.
[0023]
An eighth invention is a security protection program for protecting security by being executed in each of a plurality of computers that are communicably connected to each other and restricting access by a user other than the logged-in user,
An operation detection step for detecting a user operation;
An operation time acquisition step for acquiring a time when the operation is detected by the operation detection step;
A communication step of transmitting / receiving the logged-in user identification information for identifying the logged-in user and the operation time acquired by the operation time acquiring step to / from another computer connected to the own computer;
Simultaneous login detection that detects whether or not the user logged in to the own computer is the same as the user logged in to the other computer with reference to the logged-in user identification information received by the communication step Steps,
Based on the detection result of the simultaneous login detection step, this computer is caused to execute an access restriction step for restricting access using the own computer,
In the access restriction step, when it is detected that the user who is logged in to the own computer is simultaneously logged in to another computer, the last operation time of the user in a plurality of computers that are logged in at the same time is determined. In comparison, as a result of the comparison, when the last operation time in the own computer is not the latest operation time, access using the own computer is limited.
[0024]
As described above, according to the eighth invention, in the state where the same user is logged in to a plurality of computers at the same time, by comparing the time when the user last operated in each of the plurality of computers, A user can determine a computer that is currently operated, and based on the result, access using a computer other than the computer that is determined to be currently operated can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0025]
A ninth invention is a security protection program that is executed in each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by a user other than the logged-in user,
A login detection step for detecting a user login;
When the login of the user is detected by the login detection step, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer, and the operation start notification information transmitted from the other computer Receiving a communication step;
Based on the operation start notification information received in the communication step, a simultaneous login detection step for detecting whether or not a user logged in to the own computer has started an operation of another computer,
Based on the detection result of the simultaneous login detection step, this computer is caused to execute an access restriction step for restricting access using the own computer,
The access restriction step is characterized by restricting access using the own computer when it is detected that a user logged in to the own computer has started to operate another computer.
[0026]
As described above, according to the ninth aspect, by telling another computer that the user has logged in, in another computer, the user who is logged in to the own computer keeps logging in to the own computer and newly It is possible to detect that the user has logged into another computer. Thereby, when a user who is currently logged in to the own computer logs in to another computer, access using the own computer can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0027]
According to a tenth aspect, in the ninth aspect, a restriction release detecting step for detecting that the access restriction by the access restriction step is released by the user is further executed.
In the communication step, in addition to when the login of the user is detected by the login detection step, when the restriction release by the user is detected by the restriction release detection step, the user identification information is used as the operation start notification information. It transmits to the computer of this.
[0028]
As described above, according to the tenth aspect, when a user cancels the access restriction on a certain computer, it is possible to automatically restrict access using the other computer to which the user is logged in. So, for example, even if you forgot to log out from one computer and cancel the access restriction of another computer and start the operation on this other computer, access using the computer you forgot to log out automatically It is possible to limit the access to the resources of the computer that has been logged in.
[0029]
An eleventh invention is a security protection method for protecting security by restricting access by a user other than a logged-in user in each of a plurality of computers that are communicably connected to each other.
An operation detection step for detecting a user operation;
An operation time acquisition step for acquiring a time when the operation is detected by the operation detection step;
A communication step of transmitting / receiving the logged-in user identification information for identifying the logged-in user and the operation time acquired by the operation time acquiring step to / from another computer connected to the own computer;
Simultaneous login detection that detects whether or not the user logged in to the own computer is the same as the user logged in to the other computer with reference to the logged-in user identification information received by the communication step Steps,
An access restriction step for restricting access using the local computer based on the detection result of the simultaneous login detection step,
In the access restriction step, when it is detected that the user who is logged in to the own computer is simultaneously logged in to another computer, the last operation time of the user in a plurality of computers that are logged in at the same time is determined. In comparison, as a result of the comparison, when the last operation time in the own computer is not the latest operation time, access using the own computer is limited.
[0030]
As described above, according to the eleventh aspect, in the state where the same user is logged in to a plurality of computers at the same time, by comparing the time when the user last operated in each of the plurality of computers, A user can determine a computer that is currently operated, and based on the result, access using a computer other than the computer that is determined to be currently operated can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0031]
A twelfth aspect of the present invention is a security protection method for protecting security by restricting access by a user other than a logged-in user in each of a plurality of computers that are communicably connected to each other.
A login detection step for detecting a user login;
When the login of the user is detected by the login detection step, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer, and the operation start notification information transmitted from the other computer Receiving a communication step;
Based on the operation start notification information received in the communication step, a simultaneous login detection step for detecting whether or not a user logged in to the own computer has started an operation of another computer,
An access restriction step for restricting access using the local computer based on the detection result of the simultaneous login detection step,
The access restriction step is characterized by restricting access using the own computer when it is detected that a user logged in to the own computer has started to operate another computer.
[0032]
As described above, according to the twelfth aspect, by telling another computer that the user has logged in, in another computer, the user who is logged in to the own computer keeps logging in to the own computer and newly It is possible to detect that the user has logged into another computer. Thereby, when a user who is currently logged in to the own computer logs in to another computer, access using the own computer can be restricted. Therefore, it is possible to prevent a third party from accessing the resources of the computer that has been logged in.
[0033]
In a thirteenth aspect based on the twelfth aspect, the method further comprises a restriction release detecting step for detecting that access restriction by the access restriction step is released by the user,
In the communication step, in addition to when the login of the user is detected by the login detection step, when the restriction release by the user is detected by the restriction release detection step, the user identification information is used as the operation start notification information. It transmits to the computer of this.
[0034]
As described above, according to the thirteenth aspect, when the user removes the access restriction on a certain computer, it is possible to automatically restrict the access using the other computer to which the user is logged in. So, for example, even if you forgot to log out from one computer and cancel the access restriction of another computer and start the operation on this other computer, access using the computer you forgot to log out automatically It is possible to limit the access to the resources of the computer that has been logged in.
[0035]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, various embodiments of the present invention will be described with reference to the drawings.
(First embodiment)
FIG. 1 shows an overall configuration of a system to which a screen saver device according to a first embodiment of the present invention is applied. In FIG. 1, three computers 100 a to 100 c are connected to each other via a LAN 200. Each of the computers 100a to 100c is equipped with a screen saver device according to this embodiment. Since the three computers 100a to 100c have the same configuration, in the following description, the three computers 100a to 100c are simply referred to as the computer 100 when it is not necessary to distinguish them. The same applies to the internal configuration of the computer 100. In this system, when a user uses each of the computers 100a to 100c, it is necessary to log in by inputting a user ID and a password. This user ID and password are common in the network, that is, each of the computers 100a to 100c. It is assumed that each user can log in using a common user ID and password. In addition, since the system that can log in with a common ID in the network is already widely known technology, detailed description thereof will be omitted.
[0036]
FIG. 2 shows an internal configuration of the computer 100 and peripheral devices. A display device 300 and a keyboard device 400 are connected to the computer 100 as peripheral devices. The computer 100 includes a screen saver device 10, an operating system 20, and an application 30. The screen saver device 10 includes a communication unit 1, an authentication unit 2, a display control unit 3, an input detection unit 4, and an operation history storage unit 5. Hereinafter, the configuration of each unit of the computer 100 will be described.
[0037]
In the computer 100, the operating system 20 provides an interface for accessing peripheral devices and the LAN 200 to the screen saver device 10 and the application 30. In the screen saver device 10, the communication unit 1 transmits / receives an “operation status notification message” including a logged-in user ID, computer identification information, and a final operation time to and from other computers via the LAN 200. The authentication unit 2 calls a function of the operating system 20 to authenticate a user when releasing the screen lock by the screen saver. The display control unit 3 performs screen lock or message display on the display device 300 based on information from the communication unit 1 and the authentication unit 2. The input detection unit 4 detects whether or not an input from the keyboard device 400 by the user has been made. As shown in FIG. 3, the operation history storage unit 5 stores the last operation time in the own computer and other computers in association with the computer identification information.
[0038]
In FIG. 2, dotted lines in the block indicating the operating system 20 indicate that the screen saver device 10 and the application 30 transmit / receive information to / from other computers on the LAN 200 via the API of the operating system 20 and information from the keyboard device 400. And the output of information to the display device 300 is performed. In the present embodiment, the same screen saver device 10 is mounted on a plurality of computers 100a to 100c. The application 30 is an application running on the operating system 20. The user can use the application 30 if the screen of the display device 300 is not locked by the display control unit 3.
[0039]
Hereinafter, the operation of each part of the screen saver device 10 will be described in more detail. First, the operation of the input detection unit 4 will be described. The input detection unit 4 always detects whether or not an operation by the keyboard device 400 has been performed by the user by using the function of the operating system 20. If the user performs an operation such as inputting characters from the keyboard device 400 to the application 30, the operating system 20 can recognize that fact. This is a technology realized by an existing operating system. By using the function of this operating system, the input detection unit 4 can know whether the user has performed an operation. When an operation from the user is performed, the input detection unit 4 transmits an “operation generation message” for notifying that the operation by the user has been performed to the display control unit 3. This “operation generation message” is also supplied to the communication unit 1 through the display control unit 3. At this time, the operating system 20 and the application 30 perform original processing for this user operation.
[0040]
Next, the operation of the communication unit 1 will be described. The communication unit 1 transmits a “operation status notification message” including the above-described logged-in user ID, computer identification information, and last operation time to another computer connected to the network, and another computer. The “operation status notification message” sent from is received, and two processes of performing a predetermined function according to the content are performed. Each of these processes will be described below.
[0041]
The communication unit 1 periodically collects the following three pieces of information related to the operation status of its own computer, and transmits the information to other computers connected to the LAN 200 as an “operation status notification message”. The first information is identification information (logged-in user ID) of the user who is currently logged in to the computer. This logged-in user ID can be obtained from the operating system 20. The second information is the time when the last operation was performed (final operation time). The final operation time can be obtained at any time by recording the reception time in the operation history storage unit 5 every time the display control unit 3 receives an “operation generation message” from the input detection unit 4, for example. Can do. The third information is an identifier (computer identification information) of the computer itself. The computer identification information is managed by the operating system 20, and can be obtained from the API of the operating system 20. The communication unit 1 generates an “operation status notification message” including the three pieces of information and transmits it to another computer. At this time, the “operation status notification message” is transmitted in a form that can be received by all computers on the LAN 200 using, for example, a broadcast message in TCP / IP.
[0042]
The communication unit 1 periodically transmits the “operation status notification message” as described above, while receiving the “operation status notification message” transmitted from the screen saver device of another computer, and responds to the received message. Process. Hereinafter, this process will be described. The received “operation status notification message” includes the logged-in user ID, the last operation time, and computer identification information, as in the case of transmission. If the logged-in user ID included in the received “operation status notification message” is not equal to the logged-in user ID of the own computer, the communication unit 1 simply ignores this message. On the other hand, if the logged-in user ID included in the received “operation status notification message” is equal to the logged-in user ID of the own computer, the final operation time and computer identification information included in the received “operation status notification message” are displayed. And registered in the operation history storage unit 5.
[0043]
The operation of the communication unit 1 described above will be described below with reference to the flowchart shown in FIG. The communication unit 1 resets the notification timer to 0 in step S10. This notification timer is used to ensure that an “operation status notification message” is periodically transmitted to another computer. In step S <b> 11, an “operation status notification message” is transmitted to another computer connected to the LAN 200. Next, in step S12, it is checked whether or not an “operation generation message” has arrived from the display control unit 3 at this time. If it has arrived, the process returns to step S10, and as a result, steps S10 and S11 are executed immediately. Thus, when a new operation by the user occurs, the operation time is immediately transmitted to other computers via the LAN 200.
[0044]
On the other hand, if the “operation generated message” has not arrived from the display control unit 3 in step S12, the process proceeds to step S13. In step S13, the communication unit 1 checks whether or not an “operation status notification message” has been received from another computer. If it has been received, the process proceeds to step S14, and whether or not the logged-in user ID of the other computer is the same as the logged-in user ID of the own computer based on the logged-in user ID included in the received “operation status notification message”. Investigate. If both are the same, the process proceeds to step S15, the last operation time and the computer identification information included in the received “operation status notification message” are stored in the operation history storage unit 5, and the process proceeds to step S16. In step S13, the “operation status notification message” has not been received, or in step S14, the login user ID included in the received “operation status notification message” is different from the login user ID of the own computer. In this case, the process proceeds to step S16 without performing this registration process (step S15). In step S16, the communication unit 1 determines whether or not the notification timer has finished counting for a predetermined time (for example, 10 seconds). If the count has ended, the process returns to step S10, the notification timer is reset, and an “operation status notification message” is transmitted to another computer. If the count has not ended, the process returns to step S12 without transmitting the “operation status notification message”, and the “operation generation message” from the display control unit 3 arrives or the notification timer ends the count. Until then, the process of checking the arrival of the “operation generated message” from the display control unit 3 and the arrival of the “operation status notification message” from another computer is repeated.
[0045]
As described above, when an operation is performed on the own computer, the communication unit 1 immediately transmits an “operation status notification message” to another computer on the LAN 200, while on the own computer. Even when the operation is not performed, an operation of transmitting an “operation status notification message” is performed every time the notification timer finishes counting for a certain time. And if you receive an “operation status notification message” from another computer, notification When the logged-in user ID included in the “message” is the same as the logged-in user ID of the own computer, the last operation time and the computer identification information in the message are stored in the operation history storage unit 5. The information stored in the operation history storage unit 5 in this way affects the operation of the display control unit 3 described later.
[0046]
Next, the operation of the display control unit 3 will be described with reference to the flowchart shown in FIG. The display control unit 3 has one of two states of “display lock state” and “display non-lock state”. In any state, the display control unit 3 checks whether or not an “operation generation message” has arrived from the input detection unit 4 at this point in step S20. If the “operation generated message” has arrived, in step S21, the time at this time is registered as the final operation time in the operation history storage unit 5 together with the identification information of the own computer. Subsequently, in step S22, this “ "Operation generated message" is transmitted to the communication unit 1, and the process proceeds to step S23. Subsequently, in step S23, it is determined whether or not the user who is currently logged in to the local computer is simultaneously logged in to another computer connected to the LAN 200. When a user who is currently logged in to the own computer is simultaneously logged in to another computer, the “operation status notification message” periodically received from another computer via the LAN 200 by the processing of the communication unit 1 described above. The last operation time and the computer identification information included in “” are recorded in the operation history storage unit 5, and it is confirmed whether or not the last operation time relating to another computer is recorded in this operation history storage unit 5. Thus, it can be determined whether or not the user currently logged in to the own computer is simultaneously logged in to another computer. However, in this embodiment, the operation history storage unit 5 does not store the logged-in user ID of another computer. For example, when the logged-in user of the own computer logs out and another user logs in, If the data in the operation history storage unit 5 remains, there is a possibility that the new user erroneously determines that he is logging in to another computer. In order to solve this problem, for example, the stored data in the operation history storage unit 5 may be cleared when the logged-in user logs out. Alternatively, a login user ID of another computer may be stored in the operation history storage unit 5, and simultaneous login may be determined with reference to this ID.
[0047]
If it is determined in step S23 that the user currently logged in to the own computer is simultaneously logged in to another computer, the process proceeds to step S24. On the other hand, if it is determined that the user currently logged in to the own computer is not logged in to another computer at the same time, the process proceeds to step S26. It is determined whether or not the operation has continued for a certain period of time, and if the no-operation state continues for a certain period or longer, the process proceeds to step S27 to lock the screen of the display device 300. If the no-operation state has not continued for a certain period of time, the process returns to step S20 without locking the screen. The processing from step S26 to step S27 is for protecting security when the logged-in user leaves the seat for a long time, and is a function generally provided in the screen saver device. When the screen of the display device 300 is locked, the lock cannot be released until the authentication unit 2 confirms that a valid password has been input from the keyboard device 400. On the other hand, in step S24, the display control unit 3 compares the last operation times of the own computer and other computers stored in the operation history storage unit 5, and the user currently logged in to the own computer last operated. It is determined whether the computer is its own computer or another computer. That is, when the last operation time of the own computer is more recent than the last operation time of any other computer, it is determined that the computer operated last by the user is the own computer. If it is determined that the user has operated the last time on the own computer, the process proceeds to step S25, and a part of the screen of the display device 300 is displayed, for example, “I remain logged in to another computer”. Is displayed, and the user is prompted to log out from another computer. On the other hand, if it is determined that the user has operated the other computer last, in step S27, the screen of the display device 300 is locked, and a valid password is input from the keyboard device 400 in the authentication unit 2. Until it is confirmed, the computer resources cannot be used.
[0048]
By the operation of the display control unit 3 as described above, when the user is logged in only to the own computer, the screen is locked only when a certain time has passed, as in the case of the conventional screen saver. When logged in to a plurality of computers, the screens of computers other than the computer on which the user actually operates the peripheral device can be locked even if a predetermined time has not elapsed. If there are three or more computers, all the computers other than the computer operated by the user are locked with the same processing contents.
[0049]
As described above, according to the first embodiment, when a user operates another computer while logged in to a certain computer, the screen of a computer other than the computer being operated can be locked immediately. You can protect the security related to the resources of the computer that has been logged in. Further, by displaying a message prompting the user to log out from another computer in the operating computer, it is possible to solve the problem that the third party cannot use the computer that has been forgotten to log out.
[0050]
As described above, in the first embodiment, for example, when a user logs in to a computer and logs in to another computer at the same time, the screen of the display is immediately locked in the computer that remains logged in. By the way, there may be a situation where it is desired to log in to a plurality of computers and use the computers simultaneously or alternately. In such a case, in the first embodiment, the screen is unlocked every time the computer to be operated is changed. It is necessary and cumbersome to operate. Therefore, in order to cope with such a situation, there may be a modification in which the screen is not locked even if there is simultaneous login for a certain time (for example, 5 minutes) after the last operation. . In order to perform such processing, for example, the operation of the display control unit may be changed as shown in the flowchart of FIG. That is, if it is determined in step S24 that the last operation is performed by another computer among the plurality of computers logged in by the user who is logged in to the own computer, in step S29 It is determined whether or not 5 minutes have passed since the last operation of the computer. If 5 minutes or more have not passed, the process returns to step S20 without locking the screen. On the other hand, if it is determined in step S24 that the last operation has been performed on the own computer, in step S28, the user who is logged in to the own computer is the last in any other computer that is simultaneously logged in. It is determined whether or not 5 minutes or more have passed since the operation was performed, and if 5 minutes or more have not passed in any case, the process returns to step S20 without displaying a message for prompting logout. As a result, as shown in FIG. 7, different processes are executed according to the elapsed time from the time when the computer was last operated. With such an operation, even when a plurality of computers are used at the same time, every time the computer to be operated is changed, another computer is not locked or a message prompting the user to log out is not displayed. Therefore, when a plurality of computers are used simultaneously, the operation can be performed efficiently.
[0051]
In the above-described first embodiment and its modification, when displaying a message prompting logout on the display device, which computer is currently logged in based on the computer identification information received from another computer May be displayed. This is preferable because, for example, even if the user has forgotten the computer on which the user has logged in, the computer to be logged out can be known immediately.
[0052]
The screen saver device according to the first embodiment transmits a message for notifying information related to a user's operation status to another computer every time a user operation occurs or when a certain time elapses. Based on the last operation time described in the message, the screen of the computer not being operated by the user is locked. On the other hand, in the second embodiment described below, every time a user logs in, the fact that the user is operating is determined by notifying other computers, and the screen of the computer that is not being operated is displayed. Lock it. The screen saver device according to the second embodiment will be described below.
[0053]
(Second Embodiment)
The screen saver device according to the second embodiment is mounted on each of a plurality of computers connected to the LAN, similarly to the system shown in FIG. Since the system configuration diagram is the same as that of the first embodiment, the illustration is omitted. FIG. 8 shows a configuration of a computer on which the screen saver device according to the second embodiment is mounted. The computer 600 is connected to the display device 300 and the keyboard device 400 as in the first embodiment. The computer 600 includes an operating system 20, an application 30, and a screen saver device 40 according to the second embodiment. The screen saver device 40 includes a communication unit 6, an authentication unit 2, a display control unit 3, an input detection unit 4, and an operation history storage unit. 15 And login detector 16 Including. In FIG. 8, the same components as those in FIG. 2 are denoted by the same reference numerals, and the description thereof is omitted.
[0054]
Hereinafter, the operation of the screen saver device 40 will be described. The communication unit 11 transmits / receives a “login notification message” to be described later and a “response message” to this “login notification message” to other computers via the LAN. The display control unit 13 displays a display based on inputs from the authentication unit 2, the input detection unit 4, and the communication unit 11. apparatus 300 is controlled. The operation history storage unit 15 records the last operation time of the user in the own computer 600. Thereby, the display control part 13 can control the display apparatus 300 based on the elapsed time after a user's operation is no longer performed. The login detection unit 16 detects that the user has logged into the own computer 600.
[0055]
Next, the operation of the communication unit 11 will be described with reference to the flowchart shown in FIG. In step S30, it is confirmed whether or not a “login generation message” indicating that a user login has occurred is received from the login detection unit 16, and if “login generation message” is received from the login detection unit 16, the step is performed. The process proceeds to S31, and if not, the process proceeds to step S32. In step S31, the communication unit 11 transmits, to all other computers connected to the LAN, “login notification message” indicating that the login has occurred in the own computer together with the ID of the logged-in user and the computer identification information. Then, the process proceeds to step S32. In step S32, it is confirmed whether or not a “response message” has been received from another computer. This “response telegram” is a telegram that is returned under a predetermined condition from another computer that has received the “login notification telegram”, and is a telegram for notifying that the same user has already logged in. If a “response message” has been received in step S32, the process proceeds to step S37, and a message for prompting the user to log out from another computer is displayed on the display control unit 13 on the screen of the display device 300. Send an instruction to that effect. On the other hand, if the “response message” has not been received in step S32, the process proceeds to step S33.
[0056]
In step S33, it is confirmed whether or not a “login notification message” has been received from another computer. If not received, the process returns to step S30. If received, the process proceeds to step S34. In step S34, it is confirmed whether or not the user ID included in the received "login notification message" is the same as the ID of the user who has logged into the computer. If they are not the same, the process returns to step S30, and if they are the same, the process proceeds to step S35. In step S35, based on the computer identification information included in the received “login notification message”, to notify the computer that has transmitted this message that the same user has already logged in to the own computer. A “response message” is transmitted, and the process proceeds to step S36. The “response message” includes identification information of the own computer. In step S36, an instruction to lock the screen of the display device 300 is sent to the display control unit 13.
[0057]
By the above operation by the communication unit 11, for example, when the user logs in to another computer (assumed to be computer B) while logging in to a certain computer (assumed to be computer A), A “login notification message” is transmitted to other computers including the computer A. Receiving this “login notification message”, computer A detects that the user logged in to the own computer has logged in to another computer, and locks the screen for security protection. The computer A further transmits a “response message” to the computer B so as to inform the user who has logged in to the computer B that the user has been logged in to the computer B. When the computer B receives the “response message” from the computer A, the computer B displays a message prompting the user to log out from the computer A. The user who sees this display notices that he / she is still logged in to the computer A and executes logout from the computer A. As a result, it is possible to avoid a situation in which the computer A cannot be used by a third party because a specific user is still logged in to the computer A.
[0058]
In this embodiment, when a user logs in to a certain computer, a “login notification message” is transmitted from this computer to another computer. In addition to this, the user can display a screen saver through the authentication unit 2. When the screen lock of the device is released, a message having the same content as the “login notification message” may be transmitted from the own computer to the other computer in order to notify the other computer of this fact. Thereby, for example, even when the user forgets to log out from the computer B when using the computer A again after logging in and operating another computer B while logging in to a certain computer A, the computer A When the screen lock is released, the screen of the display device of the computer B can be automatically locked. In this way, it is possible to protect the security in the computer B that has been logged in.
[0059]
As described above, according to the second embodiment, when a user logs in to another computer while logging in to a certain computer, the screen of a computer other than the logged-in computer can be locked immediately. You can protect the security of your computer resources. Further, by displaying a message prompting the user to log out from another computer in the logged-in computer, it is possible to solve the problem that a computer forgot to log out cannot be used by a third party.
[0060]
The first and second embodiments have been described above. In particular, the first embodiment does not include the “operating system login” portion, and thus can be easily implemented independently from the operating system. The advantage is that the implementation can be naturally independent of the operating system. On the other hand, in the second embodiment, since messages are exchanged between computers immediately upon login or unlocking, it is excellent in immediacy of operation and periodic exchange of messages is unnecessary. There is an advantage that an increase in traffic can be suppressed.
[0061]
In the above description of the embodiment, the case where the screen saver device operates as an application for the operating system 20 has been described. However, the present invention is not limited to this, and similar processing may be realized without using the operating system 20. Absent. Further, the screen saver device may be realized by hardware, may be realized as software, or may be realized by any combination of hardware and software. At this time, the software may be recorded in advance on a computer recording medium, or may be supplied via a recording medium or a communication line.
[0062]
In the above description of the embodiment, the screen saver device locks the screen of the display device to prevent other users from accessing with the authority of the logged-in user, but the present invention is not limited to this. You may make it protect.
[0063]
In the description of the above embodiment, the user ID and the password when the user logs in are the same in each of the plurality of computers connected to the LAN. However, the present invention is not limited to this, and is the same in each computer. The user ID corresponding to the user may be different. In this case, each computer has a new data table that records a plurality of user IDs corresponding to the same user, for example, and based on this data table, the user ID transmitted from the other computer and the user ID are automatically recorded. What is necessary is just to determine whether the user ID of the user who is logging in to the computer is an ID for the same user, and to detect the simultaneous login state to a plurality of computers by the same user.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a system to which a screen saver device according to a first embodiment of the present invention is applied.
FIG. 2 is a block diagram showing a configuration of a computer on which a screen saver device is mounted.
FIG. 3 is a diagram showing data stored in an operation history storage unit 5;
4 is a flowchart showing the operation of the communication unit 1. FIG.
FIG. 5 is a flowchart showing the operation of the display control unit 3;
FIG. 6 is a flowchart showing an operation of a display control unit according to a modification of the first embodiment.
FIG. 7 is a diagram for explaining the operation of the screen saver device according to the elapsed time since the last operation was performed.
FIG. 8 is a block diagram showing a configuration of a computer on which a screen saver device according to a second embodiment of the present invention is mounted.
FIG. 9 is a flowchart showing the operation of the communication unit 11;
[Explanation of symbols]
1 Communication Department
2 Authentication Department
3 Display controller
4 Input detector
5 Operation history storage
10 Screen saver device
11 Communication Department
13 Display controller
15 Operation history storage
16 Login detector
20 Operating system
30 applications
40 screen saver device
100, 100a-100c computer
200 LAN
300 Display device
400 Keyboard device
600 calculator

Claims

A security protection device that is implemented in each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by a user other than the logged-in user,
Operation detection means for detecting a user operation;
Operation time acquisition means for acquiring the time when the operation was detected by the operation detection means;
A communication means for transmitting / receiving the logged-in user identification information for identifying a logged-in user and the operation time acquired by the operation time acquiring means to / from another computer connected to the own computer;
Simultaneous login for detecting whether or not the user logged in to the own computer is the same as the user logged in to the other computer with reference to the logged-in user identification information of the other computer received by the communication means Detection means;
Based on the detection result of the simultaneous login detection means, an access restriction means for restricting access using the own computer,
When it is detected that the user who is logged in to the computer is simultaneously logged in to another computer, the access restriction means is the last operation time of the user in a plurality of computers that are logged in at the same time. A security protection device that restricts access using the local computer when the final operation time in the local computer is not the latest operation time as a result of the comparison.

When it is detected that a user who is logged in to the computer is simultaneously logged in to another computer based on the detection result of the simultaneous login detection means, the user in a plurality of computers that are logged in simultaneously Message display means for comparing the last operation time of the two computers, and displaying a message prompting the user to log out from another computer when the result of comparison indicates that the last operation time in the own computer is the latest operation time The security protection device according to claim 1, further comprising:

A security protection device that is implemented in each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by a user other than the logged-in user,
Login detection means for detecting user login;
When the login of the user is detected by the login detection means, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer and the operation start transmitted from the other computer A communication means for receiving notification information;
Based on the operation start notification information received by the communication means, a simultaneous login detection means for detecting whether a user logged in to the own computer has started an operation of another computer;
Based on the detection result of the simultaneous login detection means, an access restriction means for restricting access using the own computer,
The access restriction means restricts access using the own computer when it is detected that a user who is logged in to the own computer has started to operate another computer.

A restriction release detecting means for detecting that the access restriction by the access restriction means is released by a user;
The communication means starts the operation when the user's login is detected by the login detection means, and also when the restriction release detection means detects a restriction release by the user. The security protection device according to claim 3, wherein the security protection device transmits the notification information to the other computer.

When it is detected that the user who is logged in to the computer is logged in to another computer based on the detection result of the simultaneous login detection unit, the communication unit indicates that the user remains logged in to the computer. Reply the notification to the other computer where the user logged in,
Message display means for displaying a message prompting the logged-in user who has logged in to his / her computer to log out from the other computer when receiving a notification that the user has been logged in from the other computer The security protection device according to claim 3, further comprising:

The access restriction means does not restrict access using the self-computer, regardless of the detection result of the simultaneous login detection means, until a predetermined time elapses after the user last operates on the self-computer. The security protection device according to claim 1, wherein:

The access restriction means restricts access using the own computer regardless of a detection result of the simultaneous login detection means when a predetermined time has elapsed since the user last operated on the own computer. The security protection device according to claim 1 or 3.

A security protection program that is executed on each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by users other than the logged-in user,
An operation detection step for detecting a user operation;
An operation time acquisition step of acquiring a time at which an operation is detected by the operation detection step;
A communication step of transmitting / receiving the logged-in user identification information for identifying the logged-in user and the operation time acquired by the operation time acquiring step to / from another computer connected to the own computer;
Simultaneous login for detecting whether the user logged in to the own computer is the same as the user logged in to the other computer with reference to the logged-in user identification information of the other computer received in the communication step A detection step;
Based on the detection result of the simultaneous login detection step, the computer is caused to execute an access restriction step for restricting access using the own computer,
In the access restriction step, when it is detected that a user logged in to the computer is simultaneously logged in to another computer, the last operation time of the user in a plurality of computers logged in simultaneously by the user A security protection program for restricting access using the local computer when the final operation time in the local computer is not the latest operation time as a result of the comparison.

A security protection program that is executed on each of a plurality of computers that are communicably connected to each other, and that protects security by restricting access by users other than the logged-in user,
A login detection step for detecting a user login;
When a login of a user is detected by the login detection step, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer and the operation start transmitted from the other computer A communication step for receiving notification information;
Based on the operation start notification information received by the communication step, a simultaneous login detection step of detecting whether a user who is logged in to the own computer has started an operation of another computer;
Based on the detection result of the simultaneous login detection step, the computer is caused to execute an access restriction step for restricting access using the own computer,
The access restriction step restricts access using the own computer when it is detected that a user who is logged in to the own computer starts an operation of another computer.

Further executing a restriction release detection step of detecting that the access restriction by the access restriction step is released by the user,
In the communication step, when the login of the user is detected by the login detection step, the user's identification information is started when the restriction release detection is detected by the restriction release detection step. The security protection program according to claim 9, wherein the security protection program is transmitted as notification information to the other computer.

In each of a plurality of computers connected to be communicable with each other, a security protection method for protecting security by restricting access by a user other than a logged-in user,
An operation detection step for detecting a user operation;
An operation time acquisition step of acquiring a time at which an operation is detected by the operation detection step;
A communication step of transmitting / receiving the logged-in user identification information for identifying the logged-in user and the operation time acquired by the operation time acquiring step to / from another computer connected to the own computer;
Simultaneous login for detecting whether the user logged in to the own computer is the same as the user logged in to the other computer with reference to the logged-in user identification information of the other computer received in the communication step A detection step;
An access restriction step for restricting access using the own computer based on the detection result of the simultaneous login detection step;
In the access restriction step, when it is detected that a user logged in to the computer is simultaneously logged in to another computer, the last operation time of the user in a plurality of computers logged in simultaneously by the user A security protection method characterized by restricting access using the local computer when the final operation time in the local computer is not the latest operation time as a result of the comparison.

In each of a plurality of computers connected to be communicable with each other, a security protection method for protecting security by restricting access by a user other than a logged-in user,
A login detection step for detecting a user login;
When a login of a user is detected by the login detection step, the identification information of the user is transmitted as operation start notification information to another computer connected to the own computer and the operation start transmitted from the other computer A communication step for receiving notification information;
Based on the operation start notification information received by the communication step, a simultaneous login detection step of detecting whether a user who is logged in to the own computer has started an operation of another computer;
An access restriction step for restricting access using the own computer based on the detection result of the simultaneous login detection step;
The access restriction step restricts access using the own computer when it is detected that a user logged in to the own computer has started to operate another computer.

A restriction release detecting step for detecting that the access restriction by the access restriction step is released by a user;
In the communication step, when the login of the user is detected by the login detection step, the user's identification information is started when the restriction release detection is detected by the restriction release detection step. 13. The security protection method according to claim 12, wherein the information is transmitted to the other computer as notification information.