JP4104610B2 - 認証情報提供サーバおよび認証情報提供方法 - Google Patents

Description

本発明は、認証情報提供サーバおよび認証情報提供方法に関するものである。

現在、移動通信網を含むネットワークにおいては、携帯電話に代表される移動通信端末による不正アクセスを防止するために、認証処理を行っている。この認証処理の一部に含まれる認証情報の提供処理は、例えば、以下のように行われている。まず、移動通信端末が、ネットワークに接続する際に、当該ネットワークに対して認証情報を提供するように要求する。次に、ネットワークが、システムで決められた固定の暗号化アルゴリズムにしたがって認証情報を生成する。そして、生成された認証情報を移動通信端末に送信する。なお、下記特許文献１には、固定の暗号化アルゴリズムを用いた暗号化通信に関する技術が開示されている。
特開平７−１１１５０２号公報

しかしながら、システムにより固定された暗号化アルゴリズムにしたがって認証情報を生成する場合には、万が一暗号化アルゴリズムが破られてしまった場合には、システム配下の全ユーザに支障を来たすこととなり、ネットワークとしてのセキュリティが大幅に低下してしまう。

そこで、本発明は、上述した課題を解決するために、ネットワークとしてのセキュリティを向上させることができる認証情報提供サーバおよび認証情報提供方法を提供することを目的とする。

本発明の認証情報提供サーバは、移動通信端末から認証情報提供要求を受信した場合に、当該認証情報提供要求を送信した移動通信端末を識別するための端末識別ＩＤに基づいて、当該端末識別ＩＤに対応付けられて予め登録されている暗号化アルゴリズムに関する関連情報を抽出する第１の抽出手段と、第１の抽出手段により抽出された暗号化アルゴリズムに関する関連情報に基づいて、当該暗号化アルゴリズムに関する関連情報に対応付けられて予め登録されている暗号化アルゴリズムを抽出する第２の抽出手段と、第２の抽出手段により抽出された暗号化アルゴリズムに基づいて、認証情報を生成する生成手段と、生成手段により生成された認証情報を、認証情報提供要求を送信した移動通信末に送信する送信手段と、を備え、暗号化アルゴリズムに関する関連情報には、少なくとも、認証ベンダおよび暗号化アルゴリズムの世代が含まれ、第２の抽出手段は、第１の抽出手段により抽出された暗号化アルゴリズムに関する関連情報に含まれる認証ベンダおよび暗号化アルゴリズムの世代に基づいて、当該認証ベンダおよび暗号化アルゴリズムの世代に対応付けられて予め登録されている暗号化アルゴリズムを抽出する、ことを特徴としている。

また、本発明の認証情報提供方法は、認証情報提供サーバが、移動通信端末から認証情報提供要求を受信した場合に、当該認証情報提供要求を送信した移動通信端末を識別するための端末識別ＩＤに基づいて、当該端末識別ＩＤに対応付けられて予め登録されている暗号化アルゴリズムに関する関連情報を抽出する第１の抽出ステップと、第１の抽出ステップにおいて抽出された暗号化アルゴリズムに関する関連情報に基づいて、当該暗号化アルゴリズムに関する関連情報に対応付けられて予め登録されている暗号化アルゴリズムを抽出する第２の抽出ステップと、第２の抽出ステップにおいて抽出された暗号化アルゴリズムに基づいて、認証情報を生成する生成ステップと、生成ステップにおいて生成された認証情報を、認証情報提供要求を送信した移動通信末に送信する送信ステップと、を備え、暗号化アルゴリズムに関する関連情報には、少なくとも、認証ベンダおよび暗号化アルゴリズムの世代が含まれ、第２の抽出ステップでは、第１の抽出ステップにおいて抽出された暗号化アルゴリズムに関する関連情報に含まれる認証ベンダおよび暗号化アルゴリズムの世代に基づいて、当該認証ベンダおよび暗号化アルゴリズムの世代に対応付けられて予め登録されている暗号化アルゴリズムを抽出する、ことを特徴としている。

これらの発明によれば、移動通信端末から受信した認証情報提供要求に含まれる端末識別ＩＤに基づいて、暗号化アルゴリズムに関する関連情報を抽出することができ、この関連情報に基づいて暗号化アルゴリズムを抽出することができる。また、抽出された暗号化アルゴリズムに基づいて、認証情報を生成することができ、生成された認証情報を、認証情報提供要求を送信してきた移動通信端末に対して提供することができる。したがって、予め、端末識別ＩＤごとに異なる暗号化アルゴリズムを、端末識別ＩＤごとに設定される関連情報に対応付けて登録しておくことにより、認証情報提供要求を受信した際に、移動通信端末ごとに異なる暗号化アルゴリズムを抽出し、この暗号化アルゴリズムにしたがって生成された認証情報を移動通信端末に提供することができる。それゆえに、ネットワークに接続してくる移動通信端末に対して、様々な暗号化アルゴリズムにしたがって生成された認証情報を提供することができる。したがって、特定の暗号化アルゴリズムが破られた場合であっても、その被害を最小限に抑えることができ、ネットワークとしてのセキュリティを向上させることができる。

また、認証ベンダおよび暗号化アルゴリズムの世代ごとに異なる暗号化アルゴリズムにしたがって生成された認証情報を提供させることができるため、暗号化アルゴリズムの多様性を増大させることができる。したがって、ネットワークとしてのセキュリティをさらに向上させることができる。

本発明に係る認証情報提供サーバおよび認証情報提供方法によれば、ネットワークとしてのセキュリティを向上させることができる。

以下、本発明に係る認証情報提供サーバおよび認証情報提供方法の実施形態を図面に基づき説明する。

まず、図１を参照して、本実施形態にかかる認証情報提供サーバについて説明する。この認証情報提供サーバ１の具体例としては、例えば、ＨＬＲ（Home LocationRegister）／ＡｕＣ（AuthenticationCenter）が該当する。図１に示すように、認証情報提供サーバ１は、移動通信網３を介して携帯電話機２（移動通信端末）と接続する。認証情報提供サーバ１は、認証情報提供制御部１１（送信手段）と、関連情報抽出部１２（第１の抽出手段）と、アルゴリズム抽出部１３（第２の抽出手段）と、認証情報生成部１４（生成手段）とを有する。また、認証情報提供サーバ１には、加入者情報データベース１６およびアルゴリズムテーブル１７が備えられている。

ここで、図２を参照して、加入者情報データベース１６のデータ構成について説明する。加入者情報データベース１６は、携帯電話機２の契約者に関する情報を管理するためのデータベースであり、データ項目として、例えば、加入者識別ＩＤ（端末識別ＩＤ）、認証ベンダＩＤ、および認証世代を有する。加入者識別ＩＤには、例えば、携帯電話機のＭＡＣアドレスや電話番号のように、携帯電話機２を一意に特定するためのＩＤが格納される。認証ベンダＩＤには、認証ベンダを一意に特定するためのＩＤが格納される。認証ベンダとしては、例えば、暗号化アルゴリズムの製造ベンダが該当し、いわゆる認証局も含まれる。また、認証世代には、暗号化アルゴリズムのバージョン情報が格納される。本実施形態においては、これら認証ベンダＩＤと認証世代を、暗号化アルゴリズムに関する関連情報の具体例として採用する。

また、図３を参照して、アルゴリズムテーブル１７のデータ構成について説明する。アルゴリズムテーブル１７は、各認証ベンダで採用されている暗号化アルゴリズムを管理するためのテーブルであり、データ項目として、例えば、認証ベンダＩＤ、認証世代、および暗号化アルゴリズム名を有する。認証ベンダＩＤおよび認証世代には、上述した加入者情報データベース１６の認証ベンダＩＤおよび認証世代に格納される情報と同様の情報が格納される。暗号化アルゴリズム名には、認証情報を生成するための暗号化アルゴリズムの名称が格納される。なお、アルゴリズムテーブル１７に格納される各データは、認証情報提供サーバ１のコンソール（不図示）から任意に変更することができる。

図１に示す認証情報提供制御部１１は、携帯電話機２から認証情報提供要求を受信した場合に、関連情報抽出部１２、アルゴリズム抽出部１３および認証情報生成部１４を制御して認証情報を生成させるとともに、生成された認証情報を携帯電話機２に送信する。ここで、認証情報提供要求は、携帯電話機２から送信されるメッセージであり、携帯電話機２が認証情報提供サーバ１に対して認証情報を提供するように要求する際に送信される。この認証情報提供要求には、携帯電話機２を一意に特定する加入者識別ＩＤが含まれる。認証情報としては、例えば、秘密鍵や公開鍵を含む認証鍵や乱数等が該当する。なお、認証情報提供制御部１１は、携帯電話機２に認証情報を送信する際に、認証情報を生成するときに用いたパラメータを添付することとしてもよい。

関連情報抽出部１２は、認証情報提供要求を送信した携帯電話機２の加入者識別ＩＤを検索キーにして、加入者情報データベース１６を検索し、加入者識別ＩＤに対応して記憶されている認証ベンダＩＤおよび認証世代を、暗号化アルゴリズムに関する関連情報として、加入者情報データベース１６から抽出する。

アルゴリズム抽出部１３は、関連情報抽出部１２により抽出された認証ベンダＩＤおよび認証世代を検索キーにして、アルゴリズムテーブル１７を検索し、認証ベンダＩＤおよび認証世代に対応して記憶されている暗号化アルゴリズム名を、アルゴリズムテーブル１７から抽出する。

認証情報生成部１４は、アルゴリズム抽出部１３により抽出された暗号化アルゴリズム名に対応する暗号化アルゴリズムにしたがって、認証情報を生成する。

次に、図４を参照して、本実施形態における認証情報提供処理の流れについて説明する。

まず、携帯電話機２は、ユーザの操作指示にしたがって、認証情報提供要求を認証情報提供サーバ１に送信する（ステップＳ１）。これにより、認証情報提供サーバ１の認証情報提供制御部１１は、認証情報提供要求を受信することになる。

次に、認証情報提供制御部１１は、認証情報提供要求に含まれる携帯電話機２の加入者識別ＩＤを、関連情報抽出部１２に送信し、暗号化アルゴリズムに関する関連情報を抽出するように要求する（ステップＳ２）。

次に、関連情報抽出部１２は、認証情報提供制御部１１から受信した加入者識別ＩＤを検索キーにして、加入者情報データベース１６を検索し、加入者識別ＩＤに対応して記憶されている認証ベンダＩＤおよび認証世代を、加入者情報データベース１６から抽出する（ステップＳ３）。

次に、関連情報抽出部１２は、抽出した認証ベンダＩＤおよび認証世代を、暗号化アルゴリズムに関する関連情報として認証情報提供制御部１１に送信する（ステップＳ４）。

次に、認証情報提供制御部１１は、関連情報抽出部１２により抽出された認証ベンダＩＤおよび認証世代を、アルゴリズム抽出部１３に送信し、暗号化アルゴリズム名を抽出するように要求する（ステップＳ５）。

次に、アルゴリズム抽出部１３は、認証情報提供制御部１１から受信した認証ベンダＩＤおよび認証世代を検索キーにして、アルゴリズムテーブル１７を検索し、認証ベンダＩＤおよび認証世代に対応して記憶されている暗号化アルゴリズム名を、アルゴリズムテーブル１７から抽出する（ステップＳ６）。

次に、アルゴリズム抽出部１３は、抽出した暗号化アルゴリズム名を、認証情報提供制御部１１に送信する（ステップＳ７）。

次に、認証情報提供制御部１１は、アルゴリズム抽出部１３により抽出された暗号化アルゴリズム名を、認証情報生成部１４に送信し、認証情報を生成するように要求する（ステップＳ８）。

次に、認証情報生成部１４は、認証情報提供制御部１１から受信した暗号化アルゴリズム名に基づいて、暗号化アルゴリズムを決定し、この決定した暗号化アルゴリズムにしたがって、認証情報を生成する（ステップＳ９）。

次に、認証情報生成部１４は、生成した認証情報を、認証情報提供制御部１１に送信する（ステップＳ１０）。

次に、認証情報提供制御部１１は、認証情報生成部１４により生成された認証情報を、認証情報の生成結果として携帯電話機２に送信する（ステップＳ１１）。これにより、認証情報提供サーバ１により生成された認証情報が、携帯電話機２に提供される。

上述した認証情報提供サーバ１によれば、携帯電話機２から受信した認証情報提供要求に含まれる加入者識別ＩＤに基づいて、暗号化アルゴリズムに関する関連情報を抽出することができ、この関連情報に基づいて暗号化アルゴリズム名を抽出することができる。また、抽出された暗号化アルゴリズム名に対応する暗号化アルゴリズムにしたがって、認証情報を生成することができ、この生成された認証情報を、認証情報提供要求を送信してきた携帯電話機２に対して提供することができる。

したがって、予め、加入者識別ＩＤごとに異なる暗号化アルゴリズム名を、加入者識別ＩＤごとに設定される関連情報に対応付けて登録しておくことにより、認証情報提供要求を受信した際に、携帯電話機２ごとに異なる暗号化アルゴリズムを抽出し、この暗号化アルゴリズムにしたがって生成された認証情報を携帯電話機２に提供することができる。

これにより、ネットワークに接続してくる携帯電話機２に対して、様々な暗号化アルゴリズムによって生成された認証情報を提供することができる。したがって、特定の暗号化アルゴリズムが破られた場合であっても、その被害を最小限に抑えることができ、ネットワークとしてのセキュリティを向上させることができる。

なお、上述した実施形態にいては、移動通信端末の具体例として携帯電話機２を用いて説明しているが、移動通信端末の具体例はこれに限られず、例えば、簡易型携帯電話機（ＰＨＳ）や通信機能を有する携帯型情報端末（ＰＤＡ）等の移動通信端末であってもよい。

実施形態における認証情報提供サーバのシステム構成および機能構成を示す図である。 加入者情報データベースのデータ構成を示す図である。 アルゴリズムテーブルのデータ構成を示す図である。 認証情報提供処理の流れを説明するためのシーケンス図である。

符号の説明

１・・・認証情報提供サーバ、２・・・携帯電話機、３・・・移動通信網、１１・・・認証情報提供制御部、１２・・・関連情報抽出部、１３・・・アルゴリズム抽出部、１４・・・認証情報生成部、１６・・・加入者情報データベース、１７・・・アルゴリズムテーブル。

Claims (2)

1. 移動通信端末から認証情報提供要求を受信した場合に、当該認証情報提供要求を送信した前記移動通信端末を識別するための端末識別ＩＤに基づいて、当該端末識別ＩＤに対応付けられて予め登録されている暗号化アルゴリズムに関する関連情報を抽出する第１の抽出手段と、
   前記第１の抽出手段により抽出された暗号化アルゴリズムに関する関連情報に基づいて、当該暗号化アルゴリズムに関する関連情報に対応付けられて予め登録されている暗号化アルゴリズムを抽出する第２の抽出手段と、
   前記第２の抽出手段により抽出された暗号化アルゴリズムに基づいて、認証情報を生成する生成手段と、
   前記生成手段により生成された認証情報を、前記認証情報提供要求を送信した前記移動通信末に送信する送信手段と、
   を備え、
   前記暗号化アルゴリズムに関する関連情報には、少なくとも、認証ベンダおよび暗号化アルゴリズムの世代が含まれ、
   前記第２の抽出手段は、前記第１の抽出手段により抽出された暗号化アルゴリズムに関する関連情報に含まれる前記認証ベンダおよび前記暗号化アルゴリズムの世代に基づいて、当該認証ベンダおよび暗号化アルゴリズムの世代に対応付けられて予め登録されている暗号化アルゴリズムを抽出する、
   ことを特徴とする認証情報提供サーバ。
2. 認証情報提供サーバが、
   移動通信端末から認証情報提供要求を受信した場合に、当該認証情報提供要求を送信した前記移動通信端末を識別するための端末識別ＩＤに基づいて、当該端末識別ＩＤに対応付けられて予め登録されている暗号化アルゴリズムに関する関連情報を抽出する第１の抽出ステップと、
   前記第１の抽出ステップにおいて抽出された暗号化アルゴリズムに関する関連情報に基づいて、当該暗号化アルゴリズムに関する関連情報に対応付けられて予め登録されている暗号化アルゴリズムを抽出する第２の抽出ステップと、
   前記第２の抽出ステップにおいて抽出された暗号化アルゴリズムに基づいて、認証情報を生成する生成ステップと、
   前記生成ステップにおいて生成された認証情報を、前記認証情報提供要求を送信した前記移動通信末に送信する送信ステップと、
   を備え、
   前記暗号化アルゴリズムに関する関連情報には、少なくとも、認証ベンダおよび暗号化アルゴリズムの世代が含まれ、
   前記第２の抽出ステップでは、前記第１の抽出ステップにおいて抽出された暗号化アルゴリズムに関する関連情報に含まれる前記認証ベンダおよび前記暗号化アルゴリズムの世代に基づいて、当該認証ベンダおよび暗号化アルゴリズムの世代に対応付けられて予め登録されている暗号化アルゴリズムを抽出する、
   ことを特徴とする認証情報提供方法。

Images