JP4189571B2

JP4189571B2 - Authentication system

Info

Publication number: JP4189571B2
Application number: JP2002091550A
Authority: JP
Inventors: 兼一松本; 篤冨田; 克明田島; 一博荒木
Original assignee: Konica Minolta Business Technologies Inc
Current assignee: Konica Minolta Business Technologies Inc
Priority date: 2002-03-28
Filing date: 2002-03-28
Publication date: 2008-12-03
Anticipated expiration: 2022-03-28
Also published as: JP2003288323A

Description

【０００１】
【発明の属する技術分野】
本発明は，装置の使用を許可するか否かを認証する認証システムおよび認証装置およびサーバ装置に関する。さらに詳細には，複数の認証方式を併用する認証システムおよび認証装置およびサーバ装置に関するものである。
【０００２】
【従来の技術】
従来より，認証方式として，様々なものが用いられている。例えば，装置に備えられた入力キーを用いてパスワードを入力する方式や，磁気カードやＩＣカードに登録されたユーザＩＤを読み込んで認証する方式，指紋・声紋・顔画像等の生体情報による認証方式等がある。いずれの方式においても，認証システムは，入力されたパスワードやユーザＩＤ等の認証情報によって，認証の対象者が装置の使用を許可された使用者であるかどうかを判断する。これらの認証方式では，それぞれ使用する認証情報が異なり，それに従って，認証結果のセキュリテイレベルもそれぞれ異なる。
【０００３】
【発明が解決しようとする課題】
しかしながら，前記した従来の認証システムでは，認証結果のセキュリティレベルにかかわらず，認証されれば装置を制限なく使用できる状態となる。例えば，コピー機等の装置では，消耗品や記憶領域等の共有資源を自由に使用することができる。しかし，パスワード入力のようなセキュリテイレベルの低い認証では不正が行われるおそれもあることを考慮すると，セキュリティレベルの低い認証方式のみによって認証された使用者に，無制限に使用を許可することは好ましくないという問題があった。
【０００４】
本発明は，前記した従来の認証システムが有する問題点を解決するためになされたものである。すなわちその課題とするところは，認証された方式のセキュリティレベルに応じて適切な範囲内で装置の使用を許可できる認証システムを提供することにある。
【０００５】
【課題を解決するための手段】
この課題の解決を目的としてなされた本発明の認証システムは，２以上の認証方式による認証結果に応じて作動の是非が決定される装置を２台以上有する認証システムであって，いずれか１台の装置で第１および第２の双方の認証方式での認証がなされると，他の装置における第１または第２のいずれか一方の認証方式での認証による作動の許可を制限する許可制限手段を有している。
【０００６】
具体的には，許可制限手段は，第１の装置で第１または第２のいずれか一方の認証方式での認証により作動が許可されているときに，他の装置にて，第１および第２の双方の認証方式での認証が，第１の装置での認証と同一の内容を含んでなされると，第１の装置の作動を禁止する。また，許可制限手段は，第１の装置で第１および第２の双方の認証方式での認証により作動が許可されているときに，第２の装置にて，第１または第２のいずれか一方の認証方式での認証が，第１の装置での認証と共通する内容でなされると，第２の装置の作動を禁止する。また，許可制限手段は，第１の装置で第１および第２の双方の認証方式での認証による作動が終了した後に，第２の装置にて，第１または第２のいずれか一方の認証方式での認証が，第１の装置での認証と共通する内容でなされると，第１の装置および第２の装置の位置情報と，第２の装置での認証の時間情報とに基づいて，第２の装置の作動を許可するか否かを決定する。
【０００７】
すなわち，本発明の認証システムは，２つの装置において同じ内容を含んだ認証がされた場合，許可制限手段が，２つの認証方式で認証された装置の作動を許可するとともに，１つの認証方式のみで認証された装置の作動を禁止する。従って，より認証の信頼度が高い使用者のみに装置の使用を許可し，認証の信頼度の低い使用者には装置の使用を禁止する。また，２つの認証方式での認証と１つの認証方式での認証とに時間差がある場合は，装置間の位置情報と認証の時間情報に基づいて作動の許可を決定する。従って，移動不可能な時間間隔で２つの装置が認証された場合，後で認証された装置の使用は許可されない。ここで，時間情報の内容としては，第１の装置での認証から第２の装置での認証までの時間でもよいし，第１の装置の使用終了から第２の装置での認証までの時間でもよい。このように本発明によれば，認証された方式のセキュリティレベルに応じて適切に装置の使用を許可できる。
【０００８】
また，本発明の認証システムは，２台以上の装置のうち少なくとも一部の装置が，第１の識別情報により認証を行う第１認証手段と，第２の識別情報により認証を行う第２認証手段と，第１認証手段および第２認証手段の認証結果に基づいて作動の制限を行う作動制限手段とを有しており，作動制限手段は，第１認証手段または第２認証手段のいずれか一方のみにより認証された場合には，第１認証手段および第２認証手段の双方により認証された場合よりも狭い範囲の機能について作動を許可することが望ましい。
【０００９】
すなわち，本発明の認証システムの少なくとも一部の装置の作動制限手段は，第１と第２の双方の認証手段で認証された使用者には，装置の有する機能を広く使用することを許可する。認証の信頼度が高いからである。一方，第１または第２のいずれか一方のみの認証手段で認証された使用者には，使用できる装置の機能を制限する。認証の信頼度が低いからである。ここで，第１および第２の認証手段としては，第１の認証手段がユーザによる識別情報の入力によるものであり，第２の認証手段がユーザに意識されずに認証情報を取得するものであるとよりよい。例えば，第１の認証手段としては，キーボード等からの入力や，カードリーダによる記録媒体からの情報の読み取りなどが適切である。また，第２の認証手段としては，ユーザの携帯する携帯機器との交信による情報取得などが適切である。携帯機器からの情報取得には，携帯機器自身の有する位置認識機能を併用するとさらによい。また，ここで制限される機能の範囲には，装置自身の機能の許可範囲の他，情報のアクセス先の広狭をも含む。このように本発明によれば，認証された方式のセキュリティレベルに応じて適切な範囲内で装置の使用を許可できる。
【００１１】
【発明の実施の形態】
以下，本発明を具体化した実施の形態について，添付図面を参照しつつ詳細に説明する。本実施の形態は，ＬＡＮ等のネットワークに複数のコピー機が接続され，さらに各コピー機がそれぞれ，２種類の認証方式による認証手段を有しているシステムに，本発明を適用したものである。
【００１２】
まず，本形態に係る認証システム１は，図１に示すように構成される。認証されて使用されるコピー機１１とコピー機１２，一般情報管理サーバ１３，重要情報管理サーバ１４がいずれもＬＡＮ１５に接続されている。ここでは，２台のコピー機（コピー機１１とコピー機１２）を図示したが，より多数のコピー機や他の機器が接続されたシステム１としてもよい。また，一般情報管理サーバ１３，重要情報管理サーバ１４以外のサーバがさらに接続されていてもよい。
【００１３】
本システム１の各コピー機１１，１２はそれぞれ，パスワード入力による認証と携帯装置による認証との２種類の認証方式による認証手段を有する。パスワード入力による認証は，使用者によってパスワードが入力されるものである。そのため，各コピー機１１，１２には，各種メッセージが表示される液晶表示装置およびパスワード入力が可能なキースイッチ２１，２２（図２参照）が備えられている。
【００１４】
また，携帯装置による認証は，使用者が個人的に所有する携帯電話等の携帯装置との交信によって行われるものである。そのため，各コピー機１１，１２は，コピー機近傍にある携帯装置２と交信できる短距離交信機能を有している。携帯電話等の携帯装置２は，各装置に固有の識別符号が割り当てられており，ポーリングコマンドを受信するとその識別符号を返信する。各コピー機１１，１２は，この交信機能によって自機近傍にある携帯装置２の識別符号を受信でき，この受信した識別符号により認証処理を行う。この認証方式に関しては，使用者は自己の携帯装置２を電源を入れた状態で携帯していればよく，特に操作や入力の必要はない。
【００１５】
また，各コピー機１１，１２は，それぞれ記憶装置を内蔵している。各記憶装置には，認証される各使用者に割り当てられたパスワードと，その使用者が個人的に所有する携帯装置２の識別符号とが対応づけて記憶されている。各記憶装置の内容は，コピー機１１とコピー機１２とで異なっていてもよい。例えば，両方のコピー機の使用が許可された共通の使用者や，片方のみの使用が許可された使用者等があってもよい。
【００１６】
一般情報管理サーバ１３と重要情報管理サーバ１４とは，いずれも各種データを保管し，システム１全体の管理を行う一般的なサーバ装置である。一般情報管理サーバ１３に保管されるデータは，比較的機密度の低い情報のみである。これに対し，重要情報管理サーバ１４に保管されるデータは，機密度の高い情報を含んでいる。また，一般情報管理サーバ１３は，認証処理にかかわる各種情報を保管し，ＬＡＮ１５に接続された各コピー機１１，１２と通信して認証状態を管理する。一般情報管理サーバ１３において許可制限手段が実現される。
【００１７】
次に，本形態の認証システム１における基本的な認証処理動作について説明する。各コピー機１１，１２を使用する使用者は，そのコピー機に付属するキースイッチ２１，２２を使用して自己のパスワードを入力する。ここでは，パスワードは必須要件であり，パスワード入力しないでコピー機１１，１２を使用することはできないこととする。各コピー機１１，１２は，入力されたパスワードを記憶装置の内容と比較し，認証が許可される登録パスワードでなければ，液晶表示装置にその旨を表示する。
【００１８】
入力されたパスワードが登録パスワードであれば，各コピー機１１，１２はポーリングコマンドを送信する。これにより，短距離範囲内にある携帯装置２の識別符号を受信しようとする。そして，先に入力されたパスワードに対応づけて記憶装置に記憶された識別符号を受信できたかどうかを調べる。各コピー機１１，１２は，パスワードに対応した識別符号を受信できた場合は，認証の信頼度が高い２重認証者として認証する。受信できなかった場合は認証の信頼度が低い１重認証者として認証する。
【００１９】
各コピー機１１，１２は，使用者を認証したとき，その認証情報を，ＬＡＮ１５を介して一般情報管理サーバ１３に送信する。認証した使用者が２重認証者である場合には，送信する認証情報は，入力されたパスワードおよび使用者の携帯装置２から取得した識別符号である。認証した使用者が１重認証者である場合には，送信する認証情報は，入力されたパスワードのみである。一般情報管理サーバ１３は，各コピー機１１，１２から受信した認証情報を元に，そのコピー機１１，１２の使用を許可するかどうかを判断し，各コピー機１１，１２に使用許可信号または使用禁止信号を送信する。各コピー機１１，１２は，使用許可信号を受信したら使用許可設定にし，使用を許可する。また，あるいは，使用禁止信号を受信したら，液晶表示装置にその旨を表示して使用禁止設定にする。
【００２０】
一般情報管理サーバ１３では，各コピー機１１，１２の使用を許可するかどうかを，次のようにして判定する。一般情報管理サーバ１３は，新たに認証された使用者の認証情報を受信したら，まず，他のコピー機を現に使用している使用者の認証情報を調べる。そして，新たに認証された使用者の認証情報に含まれるパスワードと同一のパスワードを使用して認証されている使用者がいないかどうかをチェックする。同一人が，複数のコピー機を同時に使用することは不可能なので，もし，同じパスワードを使用して認証されている使用者がいたら，いずれかがパスワードを不正に使用している可能性がある。
【００２１】
この場合，いずれかの使用者が２重認証者で他の使用者が１重認証者であれば，２重認証者の使用を許可し，他の使用者の使用を禁止する。どの使用者も１重認証者である場合は，先に認証された使用者を使用許可し，後で認証された使用者の使用を禁止する。どの使用者も２重認証者で識別符号が異なっている場合には，両方の使用者の使用を許可する。どの使用者も正当な使用者であると考えられるからである。
【００２２】
図２は，コピー機１１に認証された使用者が２重認証者であり，コピー機１２に認証された使用者が１重認証者である場合を示している。ここでは，両使用者のパスワードは同じであることとする。この場合には，コピー機１１の使用者は使用を許可され，コピー機１２の使用者は使用禁止とされる。コピー機１２の使用者が先に認証されて使用を開始していた場合も同様である。その場合，コピー機１１の使用者の認証がなされると，その後は，コピー機１２の使用者による使用はできなくなる。
【００２３】
上記のような１重認証者に対する使用禁止は，一方の使用者による使用の終了後しばらくの間も適用される。このために，各コピー機１１，１２は，使用者による使用が終了したら，終了信号を一般情報管理サーバ１３に送信し，次の認証を待つ状態となる。一般情報管理サーバ１３は，終了信号受信後もしばらくはその認証情報を保持している。そして，一方のコピー機の使用終了後に新たに他のコピー機で認証された使用者が入力したパスワードと，使用を終了した使用者が使用開始時に入力したパスワードとを比較する。もし，両パスワードが同一であった場合は，先の使用者の使用終了から後の使用者のパスワード入力までの経過時間Ｔと，両コピー機間の距離Ｄとによって，後の使用者の使用を許可するかどうかを判断する。
【００２４】
すなわち，使用者がその経過時間Ｔ内に，一方のコピー機の位置から他方のコピー機の位置まで移動可能かどうかによって判断する。そのために，各装置間の基準移動時間をあらかじめ設定して，記憶装置に記憶しておく。その記憶された基準移動時間と経過時間Ｔを比較して，移動可能と判断されれば，後の使用者の使用は許可される。しかし，移動不可能と判断された場合は，後の使用者の使用は禁止される。
【００２５】
図３はこのような場合を示している。図３に示すのは，２重認証者によるコピー機１１の使用が終了してから時間Ｔ経過後に，コピー機１１から距離Ｄ離れたコピー機１２に同じパスワードが入力された場合である。ここでは，コピー機１２の使用者が携帯装置２を携帯しておらず，１重認証者として認証されたとする。例えば，Ｄ＝１５ｍ・Ｔ＝１ｓｅｃの場合のように，移動不可能と判断された場合は，コピー機１２の使用者による使用を禁止する。コピー機１１の使用者が１重認証者であった場合も同様である。もし，コピー機１２の認証者が２重認証者であって識別符号が異なれば，コピー機１２の使用を許可する。
【００２６】
ここまでの説明では，１重認証者でも，使用を許可された場合には特に制限なく各コピー機１１，１２を使用できるかのように述べた。しかし，実際には，１重認証者による使用には，制限がかかる。以下，この制限を説明する。各コピー機１１，１２は，一般情報管理サーバ１３から使用許可信号を受信したら，図４に示すように，使用者が１重認証者か２重認証者かによって，使用できる機能範囲を決定する。図４で，コピー機１１の使用者は２重認証者であるので，コピー機１１のすべての機能を使用できる。一方，コピー機１２の使用者は１重認証者であるので，認証のレベルが低く，使用できる機能が制限される。ここで，各コピー機１１，１２は，作動制限手段に相当する。
【００２７】
ここでは，各コピー機１１，１２が有する機能として，例えば，出力置数，出力形態，用紙属性，出力解像度，出力色数等があるものとする。出力置数とは，コピー部数のことである。出力形態とは，片面印刷か両面印刷かの区別，あるいは，１ｉｎ１印刷，２ｉｎ１印刷，４ｉｎ１印刷の区別のことである。用紙属性とは，使用する印刷用紙の種類のことである。出力解像度には，低，標準，高の区別がある。出力色数には，１色，４色，フルカラー等の区別がある。このうち，１重認証者の使用できる機能は，例えば，出力置数＝１，出力形態＝片面印刷禁止，１ｉｎ１印刷禁止，用紙属性＝再生紙，出力解像度＝低解像度，フルカラー禁止というように制限される。むろん，２重認証者の場合は，このような制限なく，すべての機能を使用できる。なお，各コピー機１１，１２が，フィニッシャ付きである場合，１重認証者には，その使用を禁止することとしてもよい。
【００２８】
図５に示すのは，各コピー機１１，１２が，一般情報管理サーバ１３または重要情報管理サーバ１４に保管されている情報を読み出して印刷できるコピー機である場合である。この場合，２重認証者は一般情報管理サーバ１３と重要情報管理サーバ１４のいずれに対してもアクセスできるのに対し，１重認証者は一般情報管理サーバ１３のみしかアクセスできないというように制限される。図５では，コピー機１１の使用者は２重認証者であるから，一般情報管理サーバ１３と重要情報管理サーバ１４とにいずれもアクセス可能である。しかし，コピー機１２の使用者は１重認証者であるから，重要情報管理サーバ１４に対するアクセスは禁止される。これらの制限は，コピー機１１とコピー機１２とで同じように行われてもよいし，異なっていてもよい。
【００２９】
次に，本実施の形態の認証システム１の動作を，図６〜図８のフローチャートを参照して説明する。図６は，各コピー機１１，１２で実行される処理である。図７は，サーバ１３で実行される処理である。図８は，携帯装置２で実行される処理である。
【００３０】
各コピー機１１，１２では，電源投入等によって処理が開始されると，まず，コピーモード等を含む初期設定が行われる（Ｓ１０１）。そして，使用者によってキースイッチ２１，２２が操作されることによるパスワード入力があったかどうかを判断する（Ｓ１０２）。パスワード入力がされていないときは（Ｓ１０２：Ｎｏ），各コピー機１１，１２は初期設定状態で待機する（Ｓ１０１）。ここでは，パスワードは必須要件であり，パスワードを入力しないで各コピー機１１，１２を使用することはできないこととしている。パスワード入力があると（Ｓ１０２：Ｙｅｓ），その入力されたパスワードが登録パスワードであるかどうかを判断する（Ｓ１０３）。登録パスワードでない場合は（Ｓ１０３：Ｎｏ），その使用者による使用は許可しない（Ｓ１０４）。そこで，各コピー機１１，１２は初期設定状態で待機する（Ｓ１０１）。
【００３１】
入力されたパスワードが登録パスワードであった場合には（Ｓ１０３：Ｙｅｓ），そのパスワード情報をサーバ１３に送信する（Ｓ１０５）。ここで送信される情報は，パスワードに対応付けられた認証情報であっても良い。続いて，各コピー機１１，１２は，短距離範囲内にある携帯装置２の識別符号を受信するために，ポーリングコマンドを送信する（Ｓ１０６）。そして，送信したポーリングコマンドに対して，携帯装置２の識別符号を受信したかどうかを判断する（Ｓ１０７）。携帯装置２の識別符号を受信した場合は（Ｓ１０７：Ｙｅｓ），その受信した識別符号をサーバ１３へ送信する（Ｓ１０８）。
【００３２】
使用者のパスワード情報や携帯装置２の識別符号を受信したサーバ１３では，後述する図７のフローチャートに従って，各コピー機１１，１２の使用を許可するかどうかを判断する。その判断の結果によって，サーバ１３は，各コピー機１１，１２へ使用許可／禁止信号を送信する（図７のＳ２０３，Ｓ２０５，Ｓ２０６）。そこで，各コピー機１１，１２は，サーバ１３から使用許可／禁止信号を受信する（Ｓ１０９）。このとき受信した信号が使用禁止信号であった場合は（Ｓ１１０：Ｎｏ），各コピー機１１，１２は使用禁止設定となり，初期設定状態で待機する（Ｓ１０１）。
【００３３】
あるいは，受信した信号が使用許可信号であった場合には（Ｓ１１０：Ｙｅｓ），使用許可設定となり，プリントキーが入力されるまで待機する（Ｓ１１１）。プリントキーがＯＮされたら（Ｓ１１１：Ｙｅｓ），プリント処理を実行する（Ｓ１１２）。プリント処理が終了するまで（Ｓ１１３：Ｎｏ），プリント処理を続行し（Ｓ１１２），終了したら（Ｓ１１３：Ｙｅｓ），終了信号をサーバ１３へ送信する（Ｓ１１４）。この送信された終了信号によって，サーバ１３はそのコピー機１１，１２が使用中状態でなくなったことを判断できる。このプリント処理の終了は，使用者によってキー入力されるようにしても良い。あるいは，各コピー機１１，１２において，所定時間以上キー入力がされなかった場合に，終了と判断するようにしても良い。終了信号を送信したら（Ｓ１１４），各コピー機１１，１２は，再びパスワード入力されるまで初期設定状態で待機する（Ｓ１０１）。
【００３４】
次に，図７を参照してサーバ１３の動作を説明する。サーバ１３は，各コピー機１１，１２からパスワード情報が送信されるまでは，その他の各種処理を実行している。そして，各コピー機１１，１２が図６のＳ１０５において送信したパスワード情報を受信する（Ｓ２０１）。サーバ１３は，Ｓ２０１でパスワード情報を送信してきた当該装置以外に，ＬＡＮ等に接続された他の装置において，同一のパスワードで認証されて使用中のものがあるかどうかを判断する（Ｓ２０２）。同一パスワードで使用中の他の装置がなければ（Ｓ２０２：Ｎｏ），当該装置に対して，使用許可信号を送信し（Ｓ２０３），待機状態となる。
【００３５】
あるいは，同一パスワードで使用中の装置があった場合は（Ｓ２０２：Ｙｅｓ），当該装置から携帯装置２の識別符号を受信したかどうか判断する（Ｓ２０４）。この携帯装置２の識別符号は，図６のＳ１０８で送信されるものである。ここで，携帯装置２の識別符号を受信できなかった場合は（Ｓ２０４：Ｎｏ），１重認証者である上に，先に他の装置で同一パスワードが使用されているので，当該装置に対しては使用禁止信号を送信し（Ｓ２０５），待機中状態となる。携帯装置２の識別符号が受信できた場合は（Ｓ２０４：Ｙｅｓ），２重認証者であるので当該装置に対して使用許可信号を送信する（Ｓ２０６）。Ｓ２０３，Ｓ２０５，Ｓ２０６で送信された使用禁止信号または使用許可信号は，図６のＳ１０９で当該装置によって受信される。
【００３６】
ここで，当該装置に使用を許可した場合には（Ｓ２０６），同一パスワードで使用されている他の装置の使用者が，正当な使用者であるかどうかをチェックする必要がある。そこで，他の装置のうち１重認証で使用中の装置があるかどうかを判断する（Ｓ２０７）。１重認証の装置がなければ（Ｓ２０７：Ｎｏ），いずれの使用者も正当な使用者であると認められるので，そのまま待機中状態となる。あるいは，１重認証の装置があれば（Ｓ２０７：Ｙｅｓ），その装置は不正使用のおそれがある。そこで，１重認証で使用中の装置に対して使用禁止信号を送信する（Ｓ２０８）。
【００３７】
次に，図８を参照して携帯装置２の動作を説明する。携帯装置２では，電源が入力され使用が開始されると，各種の初期設定を行う（Ｓ３０１）。そして，ポーリングコマンドを受信したかどうかを判断する（Ｓ３０２）。図６のＳ１０６で各コピー機１１，１２から送信されたポーリングコマンドを受信したら（Ｓ３０２：Ｙｅｓ），携帯装置２に固有の識別符号を返信し（Ｓ３０３），待機する。あるいは，ポーリングコマンドを受信していない間は（Ｓ３０２：Ｎｏ），その他の携帯装置２の処理を実行して（Ｓ３０４），待機している。
【００３８】
以上詳細に説明したように，本実施の形態によれば，各コピー機１１，１２で認証された使用者によって入力されたパスワードが同じであった場合，いずれかが不正な認証である可能性がある。そこで，一般情報管理サーバ１３は，パスワードと携帯装置２との２重認証者に対しては使用許可し，パスワードのみの１重認証者に対しては使用を禁止する。また，コピー機１１の使用終了後，移動不可能な時間間隔でコピー機１２において，同じパスワードによる認証がなされた場合，１重認証者であればコピー機１２の使用は許可されない。また，１重認証者には使用許可される機能が制限され，重要情報管理サーバ１４にアクセスすることはできない。これによって，認証された方式のセキュリティレベルに応じて適切な範囲内で各コピー機１１，１２の使用を許可できる認証システム１となった。
【００３９】
なお，本実施の形態は単なる例示にすぎず，本発明を何ら限定するものではない。したがって本発明は当然に，その要旨を逸脱しない範囲内で種々の改良，変形が可能である。例えば，上記実施の形態では，各コピー機１１，１２が有する認証方式をパスワード入力と携帯装置２の識別符号との２つとしたが，１つの認証方式のみを有する装置や，３つ以上の認証方式を併用する装置があってもよい。また，カード入力等の他の認証方式を有する装置があってもよい。これらの場合，各認証方式にそれぞれセキュリティレベルの指標となるレベル値を与え，そのレベル値によって優先される装置が選択されるようにすればよい。また，例えば，上記実施の形態では，各コピー機１１，１２が認証手段を有しているとしたが，各コピー機１１，１２ではパスワード等の認証情報の取り込みのみを行い，認証処理は一般情報管理サーバ１３が行うようにしてもよい。また，例えば，上記実施の形態では，各コピー機１１，１２が作動制限手段に相当するとしたが，一般情報管理サーバ１３において作動制限手段を実現し，各コピー機１１，１２に指示信号を送信するようにしてもよい。また，例えば，短距離無線通信に替えてもしくは加えて，携帯電話等の基地局システムとの交信によって，識別符号を入手してもよい。さらに，認証されて使用される装置は，コピー機に限らない。
【００４０】
【発明の効果】
以上の説明から明らかなように本発明によれば，認証された方式のセキュリティレベルに応じて適切な範囲内で装置の使用を許可できる認証システムが提供される。
【図面の簡単な説明】
【図１】実施の形態に係る認証システムのブロック図である。
【図２】認証システムの動作を説明する説明図である。
【図３】認証システムの動作を説明する説明図である。
【図４】認証システムの動作を説明する説明図である。
【図５】認証システムの動作を説明する説明図である。
【図６】認証システムの各コピー機の動作を示すフローチャートである。
【図７】認証システムのサーバの動作を示すフローチャートである。
【図８】認証システムの携帯装置の動作を示すフローチャートである。
【符号の説明】
１認証システム
２携帯装置
１１コピー機１１
１２コピー機１２
１３一般情報管理サーバ１３
１４重要情報管理サーバ１４
１５ＬＡＮ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an authentication system, an authentication device, and a server device that authenticate whether or not to permit use of the device. More specifically, the present invention relates to an authentication system, an authentication device, and a server device that use a plurality of authentication methods together.
[0002]
[Prior art]
Conventionally, various authentication methods have been used. For example, a method of inputting a password using an input key provided in the apparatus, a method of reading and authenticating a user ID registered in a magnetic card or IC card, and an authentication method using biometric information such as a fingerprint, a voice print, and a face image Etc. In any method, the authentication system determines whether or not the person to be authenticated is a user permitted to use the apparatus, based on the authentication information such as the input password and user ID. Each of these authentication methods uses different authentication information, and the security level of the authentication result varies accordingly.
[0003]
[Problems to be solved by the invention]
However, in the above-described conventional authentication system, the device can be used without restriction if it is authenticated regardless of the security level of the authentication result. For example, in a device such as a copying machine, shared resources such as consumables and storage areas can be freely used. However, considering that authentication with a low security level, such as password entry, may be fraudulent, it is not desirable to allow users who are authenticated only with authentication methods with a low security level to use them without restriction. There was a problem.
[0004]
The present invention has been made to solve the problems of the conventional authentication system described above. That is, an object of the present invention is to provide an authentication system that can permit the use of a device within an appropriate range according to the security level of the authenticated method.
[0005]
[Means for Solving the Problems]
The authentication system of the present invention, which has been made for the purpose of solving this problem, is an authentication system having two or more devices whose operation is determined according to the authentication results of two or more authentication methods, and any one of them. When the authentication is performed by both the first and second authentication methods in the device, the permission restriction means for restricting the operation permission by the authentication in either the first or the second authentication method in the other device. have.
[0006]
Specifically, the permission restricting means is configured such that when the first device is permitted to operate by authentication using either the first or second authentication method, the other device performs the first and first operations. If the authentication in both authentication methods 2 includes the same contents as the authentication in the first device, the operation of the first device is prohibited. In addition, the permission restricting means is either the first or the second in the second device when the first device is permitted to operate by authentication in both the first and second authentication methods. If the authentication by one authentication method is performed with the same content as the authentication by the first device, the operation of the second device is prohibited. Further, the permission restricting means is configured such that after the operation by the authentication in both the first and second authentication methods is completed in the first device, either the first or the second authentication is performed in the second device. If the authentication in the system is performed with the same content as the authentication in the first device, it is based on the positional information of the first device and the second device and the time information of the authentication in the second device. , Whether to permit operation of the second device.
[0007]
That is, in the authentication system of the present invention, when authentication including the same content is performed in two devices, the permission restriction means permits the operation of the device authenticated by the two authentication methods and only one authentication method. Prohibit the operation of equipment certified by Therefore, only users with higher authentication reliability are allowed to use the device, and users with lower authentication reliability are prohibited from using the device. Further, when there is a time difference between the authentication by the two authentication methods and the authentication by the one authentication method, the permission of the operation is determined based on the position information between the devices and the authentication time information. Therefore, if two devices are authenticated at a non-movable time interval, the use of the later authenticated device is not permitted. Here, the content of the time information may be the time from the authentication at the first device to the authentication at the second device, or the time from the end of use of the first device to the authentication at the second device. But you can. As described above, according to the present invention, the use of the apparatus can be appropriately permitted according to the security level of the authenticated method.
[0008]
The certification of the present invention system Is At least some of the two or more devices The first authentication unit that performs authentication using the first identification information, the second authentication unit that performs authentication using the second identification information, and the operation restriction based on the authentication results of the first authentication unit and the second authentication unit And the operation limiting means is authenticated by both the first authentication means and the second authentication means when authenticated by only one of the first authentication means and the second authentication means. Allow operation for a narrower range of functions than if Is desirable .
[0009]
That is, the authentication of the present invention At least some equipment in the system The operation restricting means permits a user who is authenticated by both the first and second authentication means to widely use the functions of the apparatus. This is because the reliability of authentication is high. On the other hand, the functions of the apparatus that can be used are restricted to the user who is authenticated by only one of the first and second authentication means. This is because the reliability of authentication is low. Here, as the first and second authentication means, the first authentication means is based on the input of identification information by the user, and the second authentication means acquires authentication information without being conscious of the user. It is better if there is. For example, as the first authentication means, input from a keyboard or the like, reading of information from a recording medium by a card reader, and the like are appropriate. As the second authentication means, information acquisition by communication with a portable device carried by the user is appropriate. For obtaining information from the mobile device, it is better to use the position recognition function of the mobile device itself. The range of functions restricted here includes not only the permitted range of functions of the device itself but also the range of information access destinations. As described above, according to the present invention, the use of the apparatus can be permitted within an appropriate range according to the security level of the authenticated method.
[0011]
DETAILED DESCRIPTION OF THE INVENTION
DESCRIPTION OF THE PREFERRED EMBODIMENTS Embodiments embodying the present invention will be described below in detail with reference to the accompanying drawings. In the present embodiment, the present invention is applied to a system in which a plurality of copy machines are connected to a network such as a LAN, and each copy machine has authentication means based on two types of authentication methods. .
[0012]
First, the authentication system 1 according to the present embodiment is configured as shown in FIG. The copy machine 11 and the copy machine 12, the general information management server 13, and the important information management server 14 that are used after being authenticated are all connected to the LAN 15. Here, two copying machines (copying machine 11 and copying machine 12) are shown, but the system 1 may be connected to a larger number of copying machines and other devices. A server other than the general information management server 13 and the important information management server 14 may be further connected.
[0013]
Each of the copiers 11 and 12 of the system 1 has authentication means based on two types of authentication methods, authentication by password input and authentication by a portable device. In the authentication by password input, the password is input by the user. Therefore, each of the copiers 11 and 12 is provided with a liquid crystal display device for displaying various messages and key switches 21 and 22 (see FIG. 2) capable of inputting a password.
[0014]
The authentication by the mobile device is performed by communication with a mobile device such as a mobile phone personally owned by the user. Therefore, each of the copy machines 11 and 12 has a short-distance communication function capable of communicating with the portable device 2 in the vicinity of the copy machine. The mobile device 2 such as a mobile phone is assigned a unique identification code to each device, and returns the identification code when a polling command is received. Each of the copy machines 11 and 12 can receive the identification code of the portable device 2 in the vicinity of the own machine by this communication function, and performs an authentication process using the received identification code. With regard to this authentication method, the user only needs to carry his / her portable device 2 with the power turned on, and there is no need for operation or input.
[0015]
Each of the copiers 11 and 12 has a built-in storage device. In each storage device, a password assigned to each user to be authenticated and an identification code of the portable device 2 personally owned by the user are stored in association with each other. The contents of each storage device may be different between the copy machine 11 and the copy machine 12. For example, there may be a common user who is permitted to use both copiers or a user who is permitted to use only one of them.
[0016]
The general information management server 13 and the important information management server 14 are both general server devices that store various data and manage the entire system 1. The data stored in the general information management server 13 is only information with relatively low confidentiality. On the other hand, the data stored in the important information management server 14 includes highly sensitive information. The general information management server 13 stores various types of information related to the authentication process, and manages the authentication state by communicating with the respective copiers 11 and 12 connected to the LAN 15. The general information management server 13 implements permission restriction means.
[0017]
Next, a basic authentication processing operation in the authentication system 1 of this embodiment will be described. A user who uses each of the copiers 11 and 12 inputs his / her password using the key switches 21 and 22 attached to the copier. Here, the password is an indispensable requirement, and the copiers 11 and 12 cannot be used without entering the password. Each of the copiers 11 and 12 compares the input password with the content of the storage device, and if it is not a registered password for which authentication is permitted, displays that fact on the liquid crystal display device.
[0018]
If the input password is a registered password, each of the copiers 11 and 12 transmits a polling command. Thereby, the identification code of the portable device 2 within the short distance range is to be received. Then, it is checked whether or not the identification code stored in the storage device in association with the previously input password has been received. If each of the copiers 11 and 12 can receive the identification code corresponding to the password, it authenticates as a double authenticator with high authentication reliability. If it cannot be received, it is authenticated as a single authenticator with low authentication reliability.
[0019]
When each copy machine 11, 12 authenticates the user, the authentication information is transmitted to the general information management server 13 via the LAN 15. When the authenticated user is a double authenticator, the authentication information to be transmitted is the input password and the identification code acquired from the user's portable device 2. When the authenticated user is a single authenticator, the authentication information to be transmitted is only the input password. The general information management server 13 determines whether to permit the use of the copiers 11 and 12 based on the authentication information received from the copiers 11 and 12, and sends a use permission signal or a signal to each copier 11 and 12. Send a disable signal. When each copy machine 11 and 12 receives a use permission signal, it sets use permission and permits use. Alternatively, when the use prohibition signal is received, the fact is displayed on the liquid crystal display device and the use prohibition setting is made.
[0020]
The general information management server 13 determines whether or not to permit use of each of the copy machines 11 and 12 as follows. When receiving the authentication information of the newly authenticated user, the general information management server 13 first checks the authentication information of the user who is currently using another copier. Then, it is checked whether there is a user who is authenticated using the same password as the password included in the authentication information of the newly authenticated user. Since the same person cannot use multiple copiers at the same time, if there is a user who is authenticated using the same password, one of them may be using the password illegally. .
[0021]
In this case, if one of the users is a double certifier and the other user is a single certifier, the use of the double certifier is permitted and the use of the other users is prohibited. If any user is a single authenticator, the user who has been authenticated first is permitted to use, and the user who has been authenticated later is prohibited. If any user is a double certifier and the identification code is different, the use of both users is permitted. This is because any user is considered a legitimate user.
[0022]
FIG. 2 shows a case where the user authenticated by the copy machine 11 is a double authenticator and the user authenticated by the copy machine 12 is a single authenticator. Here, the passwords of both users are the same. In this case, the user of the copy machine 11 is allowed to use the user, and the user of the copy machine 12 is prohibited from use. The same applies to the case where the user of the copy machine 12 has been authenticated and started using it. In that case, once the user of the copy machine 11 is authenticated, the user of the copy machine 12 can no longer use it.
[0023]
The use prohibition for the single authenticator as described above is also applied for a while after the end of use by one user. For this reason, when the use by the user is completed, each of the copiers 11 and 12 transmits an end signal to the general information management server 13 and waits for the next authentication. The general information management server 13 holds the authentication information for a while after receiving the end signal. Then, the password input by the user who has been newly authenticated by the other copier after the use of one of the copiers is compared with the password input by the user who has completed the use at the start of use. If both passwords are the same, the use of the subsequent user is determined by the elapsed time T from the end of the previous user's use to the subsequent user's password input and the distance D between the two copiers. Determine whether to allow.
[0024]
That is, it is determined whether or not the user can move from the position of one copier to the position of the other copier within the elapsed time T. For this purpose, a reference movement time between the devices is set in advance and stored in the storage device. If the stored reference movement time is compared with the elapsed time T and it is determined that the movement is possible, the subsequent user is permitted to use it. However, if it is determined that it is impossible to move, later use by the user is prohibited.
[0025]
FIG. 3 shows such a case. FIG. 3 shows a case where the same password is input to the copy machine 12 that is a distance D away from the copy machine 11 after a lapse of time T from the end of use of the copy machine 11 by the double authenticator. Here, it is assumed that the user of the copy machine 12 does not carry the portable device 2 and is authenticated as a single authenticator. For example, if it is determined that movement is not possible, as in the case of D = 15 m · T = 1 sec, use by the user of the copier 12 is prohibited. The same applies when the user of the copier 11 is a single authenticator. If the authenticator of the copy machine 12 is a double authenticator and the identification code is different, the use of the copy machine 12 is permitted.
[0026]
In the description so far, it has been described as if each copy machine 11 and 12 can be used without any restriction even when a single authenticator is permitted to use it. In practice, however, use by single certifiers is limited. This limitation will be described below. Upon receiving the use permission signal from the general information management server 13, each of the copiers 11 and 12 determines a usable function range depending on whether the user is a single authenticator or a double authenticator as shown in FIG. . In FIG. 4, since the user of the copy machine 11 is a double authenticator, all the functions of the copy machine 11 can be used. On the other hand, since the user of the copier 12 is a single authenticator, the level of authentication is low and the functions that can be used are limited. Here, each of the copiers 11 and 12 corresponds to an operation limiting unit.
[0027]
Here, it is assumed that the functions of the respective copiers 11 and 12 include, for example, an output number, an output form, a paper attribute, an output resolution, and an output color number. The output number is the number of copies. The output form is a distinction between single-sided printing and double-sided printing, or distinction between 1 in 1 printing, 2 in 1 printing, and 4 in 1 printing. The paper attribute is the type of printing paper to be used. There is a distinction between low, standard and high in output resolution. The number of output colors includes distinction such as 1 color, 4 colors, and full color. Among these, the functions that can be used by a single authenticator are limited to, for example, output number = 1, output form = one-side printing prohibited, 1in1 printing prohibited, paper attribute = recycled paper, output resolution = low resolution, full color prohibited. Is done. Of course, in the case of a double certifier, all functions can be used without such restrictions. In addition, when each copy machine 11 and 12 is equipped with a finisher, the use may be prohibited for the single authenticator.
[0028]
FIG. 5 shows a case where each of the copiers 11 and 12 is a copier that can read and print information stored in the general information management server 13 or the important information management server 14. In this case, the double authenticator can access both the general information management server 13 and the important information management server 14, whereas the single authenticator is restricted to access only the general information management server 13. The In FIG. 5, since the user of the copier 11 is a double authenticator, both the general information management server 13 and the important information management server 14 can be accessed. However, since the user of the copy machine 12 is a single authenticator, access to the important information management server 14 is prohibited. These restrictions may be performed in the same manner in the copying machine 11 and the copying machine 12, or may be different.
[0029]
Next, operation | movement of the authentication system 1 of this Embodiment is demonstrated with reference to the flowchart of FIGS. FIG. 6 shows processing executed by the copiers 11 and 12. FIG. 7 shows processing executed by the server 13. FIG. 8 shows processing executed by the mobile device 2.
[0030]
In each of the copiers 11 and 12, when processing is started by turning on the power or the like, first, initial setting including a copy mode and the like is performed (S101). Then, it is determined whether or not a password has been input by operating the key switches 21 and 22 by the user (S102). When the password is not entered (S102: No), each of the copiers 11 and 12 stands by in an initial setting state (S101). Here, the password is an indispensable requirement, and it is assumed that the copiers 11 and 12 cannot be used without entering the password. If there is a password input (S102: Yes), it is determined whether the input password is a registered password (S103). If it is not a registered password (S103: No), use by the user is not permitted (S104). Therefore, each of the copiers 11 and 12 stands by in an initial setting state (S101).
[0031]
If the input password is a registered password (S103: Yes), the password information is transmitted to the server 13 (S105). The information transmitted here may be authentication information associated with the password. Subsequently, each of the copiers 11 and 12 transmits a polling command to receive the identification code of the portable device 2 within the short distance range (S106). Then, it is determined whether or not the identification code of the portable device 2 has been received in response to the transmitted polling command (S107). When the identification code of the portable device 2 is received (S107: Yes), the received identification code is transmitted to the server 13 (S108).
[0032]
The server 13 that has received the user's password information and the identification code of the portable device 2 determines whether or not to permit the use of each of the copiers 11 and 12 according to the flowchart of FIG. Based on the result of the determination, the server 13 transmits a use permission / prohibition signal to each of the copiers 11 and 12 (S203, S205, and S206 in FIG. 7). Therefore, each of the copiers 11 and 12 receives a use permission / prohibition signal from the server 13 (S109). If the signal received at this time is a use prohibition signal (S110: No), each of the copiers 11 and 12 is set to use prohibition and waits in an initial setting state (S101).
[0033]
Alternatively, if the received signal is a use permission signal (S110: Yes), use permission is set, and the process waits until a print key is input (S111). When the print key is turned on (S111: Yes), print processing is executed (S112). Until the print process is completed (S113: No), the print process is continued (S112). When the print process is completed (S113: Yes), an end signal is transmitted to the server 13 (S114). From this transmitted end signal, the server 13 can determine that the copiers 11 and 12 are no longer in use. The end of the print process may be keyed by the user. Alternatively, in each of the copying machines 11 and 12, when the key input is not performed for a predetermined time or more, the end may be determined. When the end signal is transmitted (S114), each of the copiers 11 and 12 waits in the initial setting state until the password is input again (S101).
[0034]
Next, the operation of the server 13 will be described with reference to FIG. The server 13 performs various other processes until password information is transmitted from each of the copiers 11 and 12. Then, each of the copiers 11 and 12 receives the password information transmitted in S105 of FIG. 6 (S201). The server 13 determines whether there is a device that is authenticated with the same password and is being used in another device connected to the LAN other than the device that has transmitted the password information in S201 (S202). If there is no other device in use with the same password (S202: No), a use permission signal is transmitted to the device (S203), and a standby state is entered.
[0035]
Alternatively, if there is a device in use with the same password (S202: Yes), it is determined whether the identification code of the portable device 2 has been received from the device (S204). The identification code of the portable device 2 is transmitted in S108 of FIG. Here, when the identification code of the portable device 2 cannot be received (S204: No), since it is a single authenticator and the same password is previously used by another device, Then, a use prohibition signal is transmitted (S205), and a standby state is entered. If the identification code of the portable device 2 can be received (S204: Yes), since it is a double authenticator, a use permission signal is transmitted to the device (S206). The use prohibition signal or the use permission signal transmitted in S203, S205, and S206 is received by the device in S109 of FIG.
[0036]
If the device is permitted to be used (S206), it is necessary to check whether the user of another device used with the same password is a valid user. Therefore, it is determined whether there is a device in use in the single authentication among other devices (S207). If there is no single-authentication device (S207: No), any user is recognized as a valid user, so that the user enters a standby state. Alternatively, if there is a single authentication device (S207: Yes), the device may be illegally used. Therefore, a use prohibition signal is transmitted to the device being used in the single authentication (S208).
[0037]
Next, the operation of the mobile device 2 will be described with reference to FIG. In the portable device 2, when power is input and use is started, various initial settings are performed (S301). Then, it is determined whether a polling command has been received (S302). When the polling command transmitted from each of the copiers 11 and 12 is received in S106 of FIG. 6 (S302: Yes), a unique identification code is returned to the portable device 2 (S303) and waits. Alternatively, while the polling command is not received (S302: No), the processing of the other portable device 2 is executed (S304) and is on standby.
[0038]
As described above in detail, according to the present embodiment, if the passwords input by the users authenticated by the respective copiers 11 and 12 are the same, one of them may be an unauthorized authentication. There is. Therefore, the general information management server 13 permits the use of the double authenticator of the password and the portable device 2 and prohibits the use of the single authenticator of the password only. In addition, after the use of the copy machine 11 is completed, if the copy machine 12 is authenticated with the same password at an unmovable time interval, the use of the copy machine 12 is not permitted if it is a single authenticator. Further, the functions permitted to be used by the single authenticator are limited, and the important information management server 14 cannot be accessed. As a result, the authentication system 1 can permit the use of the copiers 11 and 12 within an appropriate range according to the security level of the authenticated method.
[0039]
Note that this embodiment is merely an example, and does not limit the present invention. Therefore, the present invention can naturally be improved and modified in various ways without departing from the gist thereof. For example, in the above embodiment, each of the copy machines 11 and 12 has two authentication methods, that is, a password input and an identification code of the portable device 2, but a device having only one authentication method or three or more authentication methods. There may be a device that uses both methods. There may also be a device having another authentication method such as card input. In these cases, it is only necessary to give each authentication method a level value that serves as an index of the security level, and to select a device that is prioritized by that level value. Also, for example, in the above embodiment, each of the copy machines 11 and 12 has an authentication unit. However, each of the copy machines 11 and 12 only takes in authentication information such as a password, and the authentication process is generally performed. The information management server 13 may perform this. Further, for example, in the above-described embodiment, each of the copy machines 11 and 12 corresponds to the operation restriction unit. However, the general information management server 13 implements the operation restriction unit and transmits an instruction signal to each of the copy machines 11 and 12. You may make it do. Further, for example, the identification code may be obtained by communication with a base station system such as a mobile phone instead of or in addition to the short-range wireless communication. Furthermore, a device that is used after being authenticated is not limited to a copier.
[0040]
【The invention's effect】
As is apparent from the above description, according to the present invention, an authentication system is provided that can permit use of the device within an appropriate range in accordance with the security level of the authenticated method.
[Brief description of the drawings]
FIG. 1 is a block diagram of an authentication system according to an embodiment.
FIG. 2 is an explanatory diagram for explaining the operation of the authentication system.
FIG. 3 is an explanatory diagram for explaining the operation of the authentication system;
FIG. 4 is an explanatory diagram for explaining the operation of the authentication system.
FIG. 5 is an explanatory diagram for explaining the operation of the authentication system;
FIG. 6 is a flowchart showing the operation of each copying machine of the authentication system.
FIG. 7 is a flowchart showing the operation of the server of the authentication system.
FIG. 8 is a flowchart showing the operation of the portable device of the authentication system.
[Explanation of symbols]
1 Authentication system
2 Mobile devices
11 Copy machine 11
12 Copy machine 12
13 General information management server 13
14 Important information management server 14
15 LAN

Claims

In an authentication system having two or more devices whose operation is determined according to the authentication result of two or more authentication methods,
If any one of the devices is authenticated using both the first and second authentication methods, the operation permission by the authentication using either the first or the second authentication method in other devices is restricted. Have permission limiting means to
When the operation is permitted by the authentication in either the first or the second authentication method in the first device, the permission restricting means in both the first and second devices in the other device. An authentication system characterized in that the operation of the first device is prohibited when authentication in the authentication method includes the same contents as the authentication in the first device.

In an authentication system having two or more devices whose operation is determined according to the authentication result of two or more authentication methods,
If any one of the devices is authenticated using both the first and second authentication methods, the operation permission by the authentication using either the first or the second authentication method in other devices is restricted. Have permission limiting means to
When the operation is permitted by the authentication by both the first and second authentication methods in the first device, the permission restriction means is either the first or the second in the second device. An authentication system characterized in that the operation of the second device is prohibited when the authentication by the authentication method is performed with the same content as the authentication by the first device.

In an authentication system having two or more devices whose operation is determined according to the authentication result of two or more authentication methods,
If any one of the devices is authenticated using both the first and second authentication methods, the operation permission by the authentication using either the first or the second authentication method in other devices is restricted. Have permission limiting means to
The permission restricting means is configured such that after the operation by the authentication in both the first and second authentication methods is completed in the first device, either the first or the second authentication method is performed in the second device. If the authentication in the first device is performed with the same content as the authentication in the first device, based on the location information of the first device and the second device and the time information of the authentication in the second device, An authentication system for determining whether to permit the operation of the second device.

In the authentication system according to any one of claims 1 to 3,
At least some of the two or more devices are
A first authenticating means for authenticating with the first identification information;
A second authentication means for authenticating with the second identification information;
An operation restriction means for restricting the operation based on the authentication result of the first authentication means and the second authentication means,
When the operation restricting means is authenticated by only one of the first authenticating means or the second authenticating means, the operation restricting means is more than when authenticated by both the first authenticating means and the second authenticating means. An authentication system characterized by permitting operation for a narrow range of functions.