JP4291803B2 - 認証システム、端末、認証サーバ、認証方法及びプログラム - Google Patents

Description

本発明は、認証システム、端末、認証方法、プログラム及び認証サーバに関する。特に、本発明は、端末が通信することを認証サーバにより認証する認証システム、端末、認証方法、プログラム及び認証サーバに関する。

通信端末等の端末を利用する利用者を認証する場合に、生体情報を用いることが知られている。例えば、利用者に関する生体情報を登録して保存し、端末を利用するときに利用者の生体情報を取得して、予め保存されている生体情報を参照して、利用者を認証するシステムが知られている（例えば、特許文献１を参照）。
特開２００３−１８６８４５公報

しかしながら、端末の通信を管理サーバが生体情報を用いて認証する場合に、端末を単体で利用するための認証に用いる生体情報を取得した後に、端末が通信するための認証を管理サーバ等に問い合せるべく、端末において別個に生体情報を取得して管理サーバに送信しており、時間と手間がかかっていた。

上記課題を解決するために、本発明の第１の形態においては、端末が通信することを認証サーバにより認証する認証システムであって、端末は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納部、利用者の生体情報を取得する生体情報取得部、生体情報取得部が取得した生体情報を、生成手順格納部に格納されている手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成部、及び、認証サーバと通信する場合に、アドレス生成部が生成した仮想ＭＡＣアドレスを認証サーバに送信するアドレス送信部を備え、認証サーバは、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納するアドレス格納部、及び、端末から送信された仮想ＭＡＣアドレスがアドレス格納部に格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する通信判断部を備える。これにより、端末の通信の認証に、生体情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、簡便に認証のセキュリティーの向上を図ることができる。

端末は、当該端末の利用を許可する生体情報を格納する生体情報格納部、及び、生体情報取得部により取得された生体情報が生体情報格納部に格納された生体情報に含まれるか否かを判断し、含まれる場合に端末の利用を許可する利用判断部を更に備えてもよい。これにより、端末の利用を許可する認証にも、生体情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、認証のセキュリティーをより強化しつつ認証の処理を簡素化できる。また、端末を単体で利用するために取得した生体情報を、通信の認証にも用いるので、アクセス解析等のセキュリティーに関する管理運用の処理を簡素化できる。

アドレス生成部は、所定のハッシュ関数を格納しており、ハッシュ関数を用いて生体情報から所定のビット数を有する仮想ＭＡＣアドレスを生成してもよい。これにより、既存のハッシュ関数を用いるので、生体情報から簡便に仮想ＭＡＣアドレスを生成することができる。

アドレス生成部は、生成手順格納部に格納されている手順を特定する生成手順特定情報を埋め込んだ仮想ＭＡＣアドレスを生成し、アドレス格納部は、生成手順特定情報に対応付けて許可ＭＡＣアドレスを格納してもよい。これにより、異なる生成手順によって仮想ＭＡＣアドレスが生成された場合に、認証サーバは、それぞれの生成手順によって生成された仮想ＭＡＣアドレスを確実に認証することができる。また、認証サーバは、所定の生成手順によって生成された仮想ＭＡＣアドレスについて、認証の可否を設定することにより、簡便に認証のセキュリティーの向上を図ることもできる。

アドレス格納部は、予め定められた生成手順特定情報を格納しており、通信判断部は、端末から送信された生成手順特定情報がアドレス格納部に格納された生成手順特定情報と異なるか否かを判断し、認証サーバは、端末から送信された生成手順特定情報がアドレス格納部に格納された生成手順特定情報と異なる場合にはその旨を示す警告を端末に出力する生成手順警告部を更に備えてもよい。これにより、仮想ＭＡＣアドレスを生成する生成手順が予め定められたものでない場合に、予め定められた生成手順を適用すべき旨を通知することができる。

アドレス格納部は、許可ＭＡＣアドレスに対応付けて、利用者を特定する利用者特定情報を格納してもよい。これにより、ネットワークを流れているデータから、迅速に利用者を特定できる。

上記課題を解決するために、本発明の第２の形態においては、認証サーバにより通信が認証される端末あって、前記端末は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納部、利用者の生体情報を取得する生体情報取得部、前記生体情報取得部が取得した前記生体情報を、前記生成手順格納部に格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成部、及び、前記認証サーバと通信する場合に、前記アドレス生成部が生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信するアドレス送信部を備える。これにより、第１の形態と同様の効果を得ることができる。

上記課題を解決するために、本発明の第３の形態においては、端末が通信することを認証する認証サーバであって、前記認証サーバは、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納するアドレス格納部、及び、前記端末から送信された仮想ＭＡＣアドレスが前記アドレス格納部に格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する通信判断部を備える。これにより、第１の形態と同様の効果を得ることができる。

上記課題を解決するために、本発明の第４の形態においては、端末が通信することを認証サーバにより認証する認証方法であって、前記端末は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納し、利用者の生体情報を取得し、前記取得した前記生体情報を、前記格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成し、前記認証サーバと通信する場合に、前記生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信し、前記認証サーバは、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納し、前記端末から送信された仮想ＭＡＣアドレスが前記格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する。これにより、第１の形態と同様の効果を得ることができる。

上記課題を解決するために、本発明の第５の形態においては、認証サーバにより通信が認証されるコンピュータを制御するプログラムであって、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納機能、利用者の生体情報を取得する生体情報取得部、前記生体情報取得部が取得した前記生体情報を、前記生成手順格納機能によって格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成機能、及び、前記認証サーバと通信する場合に、前記アドレス生成機能によって生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信するアドレス送信機能を実現させる。これにより、第１の形態と同様の効果を得ることができる。

上記課題を解決するために、本発明の第６の形態においては、端末が通信することを認証するコンピュータを制御するプログラムであって、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納するアドレス格納機能、及び、前記端末から送信された仮想ＭＡＣアドレスが前記アドレス格納機能によって格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する通信判断機能を実現させる。これにより、第１の形態と同様の効果を得ることができる。

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。

以上の説明から明らかなように、本発明によれば、端末の通信の認証に、生体情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、簡便に認証のセキュリティーの向上を図ることができる。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、認証システム１０を含むネットワーク構成図の一例を示す。ネットワーク１００は、認証システム１０、セキュリティー等を管理する管理者端末８０、及び端末２０によりアクセスされるデータベース等を格納等する業務サーバ９０を有する。管理者端末８０は、認証システム１０及び業務サーバ９０を管理する。業務サーバ９０は、認証システム１０により認証された端末２０に対して、業務に関するデータを送信する等の通信を行う。

認証システム１０は、利用者により利用される端末２０、端末２０の通信を認証する認証サーバ５０、及び、端末２０へＩＰアドレスを貸与するＤＨＣＰサーバ７０を備える。認証システム１０は、端末２０が業務サーバ９０及び外部のネットワーク１１０と通信することを認証サーバ５０により認証する。端末２０は、有線、又はアクセスポイントを介して無線によって通信する。ネットワーク１００において、認証サーバ５０、ＤＨＣＰサーバ及び管理者端末８０が別体でなく、認証サーバ５０が、ＤＨＣＰサーバ７０及び管理者端末８０の機能を備えていてもよい。

ネットワーク１００は、業務サーバ９０等の通信機器を介して、ネットワーク１１０と接続する。ネットワーク１００は、有線又は無線のＬＡＮ、例えばＥｔｈｅｒｎｅｔ（登録商標）等を示す。ネットワーク１１０は、ネットワーク１００と異なるネットワークアドレスを有するＬＡＮ、ＷＡＮ、インターネット等を示す。

図２は、端末２０のブロック図の一例を示す。端末２０は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順（以下、「生成手順」という。）を格納する生成手順格納部３０、利用者の生体情報を取得する生体情報取得部２２、生体情報取得部２２が取得した生体情報を、生成手順格納部３０に格納されている生成手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成部２８、及び、認証サーバ５０と通信する場合に、アドレス生成部２８が生成した仮想ＭＡＣアドレスを認証サーバ５０に送信するアドレス送信部３２を備える。端末２０は、ＬＡＮカード等に割り当てられているＭＡＣアドレスにかえて、仮想ＭＡＣアドレスを用いて通信する。

生体情報取得部２２は、端末２０の利用者の生体情報を取得する。生体情報取得部２２は、端末２０と一体であってもよいし、端末２０と別体で、生体情報を有線又は無線により端末２０に送信してもよい。ここで生体情報は、利用者を特定する身体的特徴に関する情報、例えば、指紋、虹彩、声紋、掌形、静脈等の情報をいう。

アドレス生成部２８は生体情報取得部２２が取得した生体情報から、仮想ＭＡＣアドレスを生成する。図２に示す形態において、アドレス生成部２８は、所定のハッシュ関数を格納する。この場合に、アドレス生成部２８は、このハッシュ関数を用いて生体情報から所定のビット数を有する仮想ＭＡＣアドレス及び許可ＭＡＣアドレスを生成する。例えば、ＩＥＥＥ８０２．３で規格化されたＭＡＣアドレスは４８ビットの長さを有するので、当該通信プロトコルを利用する場合に、アドレス生成部２８は、生体情報を符号化し、当該数値から仮想ＭＡＣアドレス及び許可ＭＡＣアドレスとして４８ビットの長さを有する数値を生成する。ここで、アドレス生成部２８は、他のビット長及びフォーマットを有するＭＡＣアドレスを用いて通信する通信プロトコルを利用した通信をする場合には、符号化した生体情報から他のハッシュ関数を用いて、当該他のビット長及びフォーマットを有する仮想ＭＡＣアドレス及び許可ＭＡＣアドレスを生成してもよい。

アドレス生成部２８は、生成手順格納部３０に格納されている生成手順を特定する生成手順特定情報（以下、「生成手順ＩＤ」という。）を埋め込んだ仮想ＭＡＣアドレスを生成することが好ましい。例えば、アドレス生成部２８は、生成手順特定情報によってハッシュ関数を特定する。またアドレス生成部２８は、生成手順ＩＤを埋め込んだ許可ＭＡＣアドレスを生成することが好ましい。

端末２０は、当該端末２０の利用を許可する生体情報を格納する生体情報格納部２６、及び、生体情報取得部２２により取得された生体情報が生体情報格納部２６に格納された生体情報に含まれるか否かを判断し、含まれる場合に端末２０の利用を許可する利用判断部２４を更に備える。この利用判断部２４は、端末２０の利用を許可する利用判断の結果を利用者に表示する。

また端末２０は、後述する通信判断部５２からの通知、後述する生成手順警告部５６からの警告等を受信して利用者に表示する端末側通信認証部３４を更に備える。端末側通信認証部３４は、所定の場合に、ＤＨＣＰサーバ７０に対してＩＰアドレスの貸与を要求する。例えば、端末側通信認証部３４は、サーバ側通信認証部５８から、通信判断部５２が、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれると判断した旨の通知を受けた場合に、ＤＨＣＰサーバ７０に対してＩＰアドレスの貸与を要求する。

図３は、認証サーバ５０のブロック図の一例を示す。通信を許可する端末２０のＭＡＣアドレスである許可ＭＡＣアドレスを格納するアドレス格納部５４、及び、端末２０から送信された仮想ＭＡＣアドレスがアドレス格納部５４に格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に通信を許可する通信判断部５２を備える。認証サーバ５０は、通信判断部５２によるこの判断結果を端末２０に通知するサーバ側通信認証部５８を更に備える。

アドレス格納部５４は、また、予め定められた生成手順ＩＤを格納する。アドレス格納部５４は、例えば、管理者端末８０の利用者（以下、「管理者」という）が管理者端末８０に入力した生成手順ＩＤを、管理者端末８０から受信して、予め定められた生成手順ＩＤとして格納する。なお、予め定められた生成手順ＩＤは、例えば、仮想ＭＡＣアドレスを生成する最新の生成手順を示す生成手順ＩＤであってもよい。

通信判断部５２は、端末２０から送信された生成手段ＩＤ及び仮想ＭＡＣアドレスがアドレス格納部５４において当該生成手段ＩＤに対応付けて格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に通信を許可する。また、通信判断部５２は、端末２０から送信された生成手順ＩＤが、アドレス格納部５４に格納された、予め定められた生成手順ＩＤと異なるか否かを判断する。

認証サーバ５０は、端末２０から送信された生成手順ＩＤがアドレス格納部５４に格納された、予め定められた生成手順ＩＤと異なる場合にはその旨を示す警告を当該端末２０に出力する生成手順警告部５６と、端末２０の利用者を特定する利用者特定部６０とを更に備える。

図４は、アドレス格納部５４に格納される情報の一例を示す。アドレス格納部５４は、生成手順ＩＤに対応付けて許可ＭＡＣアドレスを格納する。図４に示す形態において、アドレス格納部５４は、生成手順ＩＤ「Ａ１」に対応付けて、許可ＭＡＣアドレス「Ａ１１Ａ２１」、「Ａ１Ｄ０Ｂ６」、「Ａ１９０３Ｆ」等を格納する。ここで、許可ＭＡＣアドレスの先頭の２文字（１６ビット）「Ａ１」は、生成手順ＩＤ「Ａ１」が埋め込まれていることを示す。ただし、生成手順ＩＤは、識別に有効な情報量を確保する観点から、数ビット程度であることが好ましい。

これにより、異なる生成手順によって生成された仮想ＭＡＣアドレスについて、認証サーバ５０は、それぞれの生成手順毎に、確実に認証することができる。また、認証サーバ５０は、特定の仮想ＭＡＣアドレスを、迅速に検索することができる。

アドレス格納部５４は、予め定められた生成手順ＩＤを格納する。図４においては具体的には、アドレス格納部５４は、予め定められた生成手順ＩＤ「Ａ１」を格納する。

これにより、仮想ＭＡＣアドレスを生成する生成手順が更新された場合に、更新前の生成手順を適用して仮想ＭＡＣアドレスを生成している端末２０に対して、新規の生成手順を適用すべき旨を通知することができる。

アドレス格納部５４は、許可ＭＡＣアドレスに対応付けて、利用者を特定する利用者特定情報（以下、「利用者ＩＤ」という。）を格納する。図４に示す形態において、アドレス格納部５４は、許可ＭＡＣアドレス「Ａ１１Ａ２１」に対応付けて利用者ＩＤ「Ｙ０８０」、許可ＭＡＣアドレス「Ａ１Ｄ０Ｂ６」に対応付けて利用者ＩＤ「Ｙ０４２」、許可ＭＡＣアドレス「Ａ１９０３Ｆ」に対応付けて利用者ＩＤ「Ｙ０２０」等を格納する。これにより、ネットワークを流れているデータから、迅速に利用者を特定できる。アドレス格納部５４は、例えば、登録の手続において端末２０から生成手順ＩＤ、仮想ＭＡＣアドレス及び利用者ＩＤを受信し、この仮想ＭＡＣアドレスを許可ＭＡＣアドレスとして、生成手順ＩＤ及び利用者ＩＤに対応付けて格納する。

図５は、端末２０おいて生体情報を登録するフローチャートの一例である。このフローチャートにおいて、まず、生体情報取得部２２は、端末２０の利用者の指紋情報を取得する（Ｓ１００）。より詳しくは、生体情報取得部２２は、例えば、光で指の表面を照射し、指の表面の凹凸による反射光をカメラで撮像して指紋画像を生成する。さらに、生体情報取得部２２は、取得した指紋画像に、２値化、細線化処理等の既知の画像処理を施してもよい。

生体情報取得部２２は、指紋情報を取得するときに利用者ＩＤも取得する。この場合に、生体情報取得部２２は、端末２０に利用者ＩＤの入力を促す画面を表示し、この画面に対して利用者から入力された利用者ＩＤを取得する。

次に、生体情報取得部２２は、指紋情報を登録する（Ｓ１０２）。例えば、生体情報取得部２２は、取得した指紋画像を指紋文様パターンに基づいて符号化して生体情報格納部２６に格納する。なお、生体情報取得部２２は、さらに利用者ＩＤに対応付けて指紋情報を登録してもよい。

図６は、許可ＭＡＣアドレスを登録するフローチャートの一例である。このフローチャートにおいて、まず、生体情報取得部２２は、利用者の指紋情報を取得する（Ｓ１５０）。生体情報取得部２２は、指紋情報を取得するときに利用者ＩＤも取得する。生体情報取得部２２が指紋情報及び利用者ＩＤを取得する動作については、図５のステップＳ１００と同じであるので、説明を省略する。生体情報取得部２２は、取得した指紋情報、及び利用者ＩＤをアドレス生成部２８に供給する。

アドレス生成部２８は、許可ＭＡＣアドレスを生成する（Ｓ１５２）。具体的には、アドレス生成部２８は、生成手順格納部３０に格納されている生成手順を、生体情報取得部２２により取得された指紋情報に適用することにより許可ＭＡＣアドレスを生成する。例えば、まず、アドレス生成部２８は、生成手順格納部３０に格納されているハッシュ関数（例えばＭＤ５）を用いて、取得された指紋情報を入力値として、１２８ビットの出力値（ハッシュ値）を取得する。そして、アドレス生成部２８は、取得した１２８ビットの上位の４８ビットを抜き出して、４８ビットの許可ＭＡＣアドレスを生成する。これにより、既存のハッシュ関数を用いるので、生体情報から簡便に許可ＭＡＣアドレスを生成することができる。

アドレス生成部２８が他の手順で許可ＭＡＣアドレスを生成してもよい。例えば、生成手順格納部３０は、４８ビットの出力値を取得するハッシュ関数を格納し、アドレス生成部２８は、このハッシュ関数を用いて、４８ビットの出力値を取得する。そして、アドレス生成部２８は、取得した４８ビットを全部用いて、４８ビットの許可ＭＡＣアドレスを生成してもよい。また、生成手順格納部３０は、２４ビットの出力値を取得するハッシュ関数を格納し、アドレス生成部２８は、このハッシュ関数を用いて、２４ビットの出力値を取得する。そして、アドレス生成部２８は、取得した２４ビットを、許可ＭＡＣアドレスの上位の２４ビット、下位の２４ビットとすることにより、４８ビットの許可ＭＡＣアドレスを生成してもよい。

アドレス生成部２８は、生成手順格納部３０に格納されている生成手順ＩＤを埋め込んだ許可ＭＡＣアドレスを生成してもよい。具体的には、アドレス生成部２８は、上記手順によって生成された４８ビットの許可ＭＡＣアドレスの上位の１６ビットを、生成手順格納部３０に格納されている生成手順ＩＤの値、例えば「Ａ１」を示す１６ビットの値で上書きすることにより、生成手順ＩＤを埋め込んだ４８ビットの許可ＭＡＣアドレスを生成する。

アドレス生成部２８は、生体情報取得部２２から供給された利用者ＩＤ、生成手順格納部３０から取得した生成手順ＩＤ、及び生成した許可ＭＡＣアドレスをアドレス送信部３２に供給する。そして、アドレス送信部３２は、アドレス生成部２８から供給された利用者ＩＤ、生成手順ＩＤ、及び許可ＭＡＣアドレスを認証サーバ５０のアドレス格納部５４に送信する（Ｓ１５４）。

具体的には、例えば、ネットワーク１００がＥｔｈｅｒｎｅｔ（登録商標）の場合には、アドレス送信部３２は、アドレス生成部２８から供給された許可ＭＡＣアドレスをＥｔｈｅｒｎｅｔフレームのヘッダの送信元ＭＡＣアドレスとして、認証サーバ５０へ当該Ｅｔｈｅｒｎｅｔフレームを送信する。また、例えば、アドレス送信部３２は、許可ＭＡＣアドレスを送信元ＭＡＣアドレスとして送信することにかえて、又は、加えて、認証サーバ５０へ送信するＥｔｈｅｒｎｅｔフレームのデータ（ペイロード）として、アドレス生成部２８から供給された許可ＭＡＣアドレスを送信してもよい。そして認証サーバ５０は、当該Ｅｔｈｅｒｎｅｔフレームを受け取る。なお、ネットワーク１００上の他の管理者端末８０等の装置は、当該ＭＡＣフレームを廃棄してもよい。

アドレス格納部５４は、許可ＭＡＣアドレスを登録する（Ｓ１５６）。この場合に、まず、アドレス格納部５４は、アドレス送信部３２から、利用者ＩＤ、生成手順ＩＤ、及び許可ＭＡＣアドレスを受信する。アドレス格納部５４は、受信した生成手順ＩＤ及び利用者ＩＤに対応付けて受信した許可ＭＡＣアドレスを格納する。

以上、図６に示す通信の登録の形態において、生体情報自体はネットワーク１００、１１０上に流れないので、生体情報の秘匿性を向上させることができる。

なお、図６のステップＳ１５２及びＳ１５４に替えて、アドレス送信部３２が生体情報及び利用者ＩＤを認証サーバ５０に送信し、認証サーバ５０が当該生体情報に基づいて許可ＭＡＣアドレスを生成し、アドレス格納部５４に格納してもよい。

図７は、端末２０を使用する認証、及び通信の認証のフローチャートの一例である。本フローチャーは、端末２０の「初期画面」に対して利用者からの利用の要求があった場合に開始する。ここで、「初期画面」は、当該端末２０の使用、及び通信ができない状態を示す表示である。端末２０は、電源の投入時等において起動する場合、または、当該端末２０に対する操作の入力を所定の時間に受け付けなかった場合に、「初期画面」を表示して、認証を要求することが好ましい。この場合に、端末２０は、ＯＳへのログイン時、または、ＢＩＯＳの起動時に、認証を要求してもよい。

生体情報取得部２２は、利用者の指紋情報を取得する（Ｓ２００）。生体情報取得部２２が指紋情報を取得する動作は、図５に記載したステップＳ１００と同じなので説明を省略する。

利用判断部２４は、取得された指紋情報が格納された指紋情報に含まれるか否か判断する（Ｓ２０２）。例えば、利用判断部２４は、取得された指紋情報を検索キーとして、生体情報格納部２６がこの指紋情報と同一の指紋情報を格納しているか否かを検索する。

ステップＳ２０２において、利用判断部２４は、取得された指紋情報が格納された指紋情報に含まれると判断した場合（Ｓ２０２：Ｙｅｓ）、利用判断部２４は、端末２０の利用を許可する（Ｓ２０８）。具体的には、例えば、利用判断部２４は、取得された指紋情報が格納された指紋情報に含まれると判断した場合、端末２０は、「初期画面」から、端末２０の使用ができる旨を利用者に示す、「ローカル画面」に表示を切り替える。端末２０は、「ローカル画面」を表示しているときは、端末２０上で動作するアプリケーションプログラムの利用を許可する。ただし端末２０は、「ローカル画面」を表示しているときは、業務サーバ９０に格納されたデータベースを利用することができない。利用判断部２４は、「ローカル画面」に、端末２０の単体としての利用が許可された旨を示す、記号等を表示してもよい。

次に、アドレス生成部２８は、ステップＳ２００において生体情報取得部２２が取得した生体情報に基づいて、仮想ＭＡＣアドレスを生成する（Ｓ２１０）。アドレス生成部２８が仮想ＭＡＣアドレスを生成する動作は、図６のステップＳ１５２においてアドレス生成部２８が許可ＭＡＣアドレスを生成する動作と同じなので、説明を省略する。アドレス生成部２８は、生成した仮想ＭＡＣアドレスをアドレス送信部３２に供給する。そしてアドレス送信部３２は、仮想ＭＡＣアドレスを認証サーバ５０に送信する（Ｓ２１２）。アドレス送信部３２が仮想ＭＡＣアドレスを認証サーバ５０に送信する動作は、図６のステップＳ１５４に記載した仮想ＭＡＣアドレスを認証サーバ５０に送信する動作と同じなので説明を省略する。

通信判断部５２は、アドレス生成部２８から送信された仮想ＭＡＣアドレスが、アドレス格納部５４に格納された許可ＭＡＣアドレスに含まれるか否かを判断する（Ｓ２１４）。例えば、通信判断部５２は、受信した仮想ＭＡＣアドレスを検索キーとして、アドレス格納部５４がこの仮想ＭＡＣアドレスと同一の許可ＭＡＣアドレスを格納しているか否かを検索する。

ここで通信判断部５２は、仮想ＭＡＣアドレスに埋め込まれた生成手順ＩＤを抽出し、この生成手順と同一の生成手順ＩＤに対応付けられた許可ＭＡＣアドレスを検索する。これにより、認証サーバ５０は、特定の仮想ＭＡＣアドレスを、迅速に検索することができる。

ステップＳ２１４において、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれると判断した場合（Ｓ２１４：Ｙｅｓ）、通信判断部５２は、端末２０の通信を許可する（Ｓ２１８）。

より詳しくは、通信判断部５２は、アドレス生成部２８から送信された仮想ＭＡＣアドレスがアドレス格納部５４に格納された許可ＭＡＣアドレスに含まれると判断した場合、通信判断部５２は、サーバ側通信認証部５８を介して端末２０の端末側通信認証部３４に、その旨を通知する。通知を受けた端末側通信認証部３４は、アドレス生成部２８又はアドレス送信部３２等から、仮想ＭＡＣアドレスを取得する。端末側通信認証部３４は、この仮想ＭＡＣアドレスを用いて、ＩＰを貸与する旨の要求をＤＨＣＰサーバ７０に送信してＤＨＣＰサーバ７０からＩＰアドレスを貸与される。

ＩＰアドレスを貸与された端末２０は、例えば、送信元ＭＡＣアドレスとして仮想ＭＡＣアドレスを用いて、また、送信元ＩＰアドレスとして貸与されたＩＰアドレスを用いて、業務サーバ９０と通信し、業務サーバ９０に格納されたデータベースを利用する。

端末側通信認証部３４は、他の手順でＤＨＣＰサーバ７０からＩＰアドレスを貸与されてもよい。他の手順として、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれると判断した場合、通信判断部５２は、サーバ側通信認証部５８にこの仮想ＭＡＣアドレスを供給してもよい。サーバ側通信認証部５８は、供給された仮想ＭＡＣアドレスを用いて端末２０に対してＩＰを貸与する旨の要求を生成してＤＨＣＰサーバ７０に送信してもよい。そして、この仮想ＭＡＣアドレスで特定される端末２０の端末側通信認証部３４は、ＤＨＣＰサーバ７０からＩＰアドレスを貸与されてもよい。

ＤＨＣＰサーバ７０は、貸与したＩＰアドレスに対応付けて、端末２０の仮想ＭＡＣアドレス、及び、貸与期間を履歴情報として記録する。

端末２０は、ＤＨＣＰサーバ７０からＩＰアドレスを取得したときに、「ローカル画面」から、通信を許可された旨を利用者に示す、非図示の「通信画面」に表示を切り替える。なお、「ローカル画面」に、通信を許可された旨を利用者に示す、所定の記号を表示した画面が「通信画面」であってもよい。

ステップＳ２１４において、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれていないと判断した場合（Ｓ２１４：Ｎｏ）、端末２０の通信を許可しない（Ｓ２１６）。例えば、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれていないと判断した場合、サーバ側通信認証部５８を介して端末２０の端末側通信認証部３４に、その旨を通知する。通知を受けた端末側通信認証部３４は、通信を許可しない旨のエラーを表示する。ここで本フローチャートは終了する。なお、この場合端末２０は、「ローカル画面」を表示し続ける。

また、通信判断部５２は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なるか否か判断する（Ｓ２２０）。ステップＳ２２０において、通信判断部５２は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なると判断した場合（Ｓ２２０：Ｙｅｓ）、生成手順警告部５６は、その旨を示す警告を端末２０に出力する（Ｓ２２２）。より詳しくは、通信判断部５２は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なると判断した場合、通信判断部５２は、生成手順警告部５６にその旨を通知する。通知を受けた生成手順警告部５６は、例えば、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なる旨を記載した電子メールを端末２０に送信する。ここで本フローチャートは終了する。なお、端末２０の端末側通信認証部３４は、この電子メールを受信してもよい。

これにより、仮想ＭＡＣアドレスを生成する生成手順が更新された場合に、更新前の生成手順を適用して仮想ＭＡＣアドレスを生成している端末２０に対して、新規の生成手順を適用すべき旨を通知することができる。ステップＳ２１４からＳ２２０の動作において、認証サーバ５０は、仮想ＭＡＣアドレスを生成した生成手順ＩＤに応じて通信を許可することにより、簡便にセキュリティーの向上を図ることもできる。

ステップＳ２２０において、生成手順警告部５６は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異ならないと判断した場合（Ｓ２２０：Ｎｏ）、生成手順警告部５６は警告を端末２０に出力することなく、本フローチャートは終了する。

ステップＳ２０２において、利用判断部２４は、取得された指紋情報が格納された指紋情報に含まれていないと判断した場合（Ｓ２０２：Ｎｏ）、端末２０の利用を許可しない（Ｓ２０４）。利用判断部２４は、利用者に端末２０の利用が許可されなかった旨のエラーを表示する（Ｓ２０６）。ここで本プローチャートは終了する。なお、この場合には端末２０は「初期画面」を表示し続ける。

以上、端末２０の通信の認証に、生体情報の一例としての指紋情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、簡便に認証のセキュリティーの向上を図ることができる。また、端末２０の利用を許可する認証にも、生体情報の一例としての指紋情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、セキュリティーをより強化しつつ認証の処理を簡素化できる。つまり、端末２０を単体で利用するために取得した生体情報を、通信の認証にも用いるので、アクセス解析等のセキュリティーに関する管理運用の処理を簡素化できる。また、通信の認証において、生体情報自体はネットワーク１００、１１０上に流れないので、生体情報の秘匿性を向上させることができる。

図８は、端末２０を使用する認証、及び通信の認証のフローチャートの一例である。本フローチャーは、図７に記載したフローチャートで示す動作の別例を示す。ステップＳ３００からステップＳ３１２までの動作は、図７に記載したステップＳ２００からステップＳ２１２までの動作と同じなので説明を省略する。

ステップＳ３１２においてアドレス送信部３２から仮想ＭＡＣアドレスを受信した通信判断部５２は、次に、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なるか否か判断する（Ｓ３１４）。この動作は、図７に記載したステップＳ２２０と同じなので説明を省略する。

ステップＳ３１４において、通信判断部５２は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異なると判断した場合（Ｓ３１４：Ｙｅｓ）、生成手順警告部５６は、その旨を示す警告を端末２０に出力する（Ｓ３１６）。ステップＳ３１６の動作は、図７に記載したステップＳ２２２と同じなので説明を省略する。ここで本フローチャートは終了する。

ステップＳ３１４において、生成手順警告部５６は、送信された生成手順ＩＤが予め定められた生成手順ＩＤと異ならないと判断した場合（Ｓ３１４：Ｎｏ）、通信判断部５２は、アドレス生成部２８から送信された仮想ＭＡＣアドレスが、アドレス格納部５４に格納された許可ＭＡＣアドレスに含まれるか否かを判断する（Ｓ３１８）。ステップＳ２１８の動作は、図７に記載したステップＳ２１４と同じなので説明を省略する。

ステップＳ３１８において、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれると判断した場合（Ｓ３１８：Ｙｅｓ）、通信判断部５２は、端末２０の通信を許可する（Ｓ３２２）。ステップＳ３２２の動作は、図７に記載したステップＳ２１８と同じなので説明を省略する。ここで本フローチャートは終了する。

ステップＳ３１８において、通信判断部５２は、送信された仮想ＭＡＣアドレスが格納された許可ＭＡＣアドレスに含まれていないと判断した場合（Ｓ３１８：Ｎｏ）、端末２０の通信を許可しない（Ｓ３２０）。ステップＳ３２０の動作は、図７に記載したステップＳ２１６と同じなので説明を省略する。ここで本フローチャートは終了する。

図８に記載の形態によれば、仮想ＭＡＣアドレスを生成する生成手順が更新された場合に、更新前の生成手順を適用して仮想ＭＡＣアドレスを生成している端末２０に対して、通信を制限することができる。これにより、簡便にセキュリティーの向上を図ることもできる。

図９は、利用者を特定するフローチャートの一例である。本フローチャートは、管理者が、特定時刻に、業務サーバ９０に格納されたデータベース等へアクセスした利用者を特定すべく、管理者がこのアクセスした端末２０のＩＰアドレスを取得したところから開始する。

管理者端末８０は、仮想ＭＡＣアドレスを取得する（Ｓ４００）。より詳しくは、管理者端末８０は、例えば、ネットワーク１００を流れていた、調査対象のデータに含まれている仮想ＭＡＣアドレスを取得する。そして、管理者端末８０は、取得した仮想ＭＡＣアドレスを認証サーバ５０の利用者特定部６０に送信する。このネットワーク１００を流れる調査対象のデータは、Ｅｔｈｅｒｎｅｔ（登録商標）の場合には、データサイズ、タイプ（Ｔｙｐｅ）等によらず、Ｅｔｈｅｒｎｅｔフレームでよい。

また、管理者は、例えば、ネットワーク１１０を流れていた、調査対象のデータに含まれているＩＰアドレス、特定時刻を電子メール等によって入手する。管理者端末８０は、例えば、ＤＨＣＰサーバ７０が有する履歴情報を参照することによって、当該特定時刻に当該ＩＰアドレスを貸与されていた仮想ＭＡＣアドレスを取得する。そして、管理者端末８０は、取得した仮想ＭＡＣアドレスを認証サーバ５０の利用者特定部６０に送信する。

利用者特定部６０は利用者ＩＤを取得する（Ｓ４０２）。より詳細には、管理者端末８０から仮想ＭＡＣアドレスを受信した利用者特定部６０は、この仮想ＭＡＣアドレスと同一の値を有する許可ＭＡＣアドレスに対応付けて格納されている利用者ＩＤを、アドレス格納部５４から取得する。ここで本フローチャートは終了する。なお、利用者特定部６０は、取得した利用者ＩＤを管理者端末８０に送信することが好ましい。

これにより、ネットワーク１００及びネットワーク１１０を流れているデータから、迅速に利用者を特定できる。つまり、端末２０が属するネットワーク１００を流れていたデータに含まれる仮想ＭＡＣアドレスを参照して、直接的に、利用者を特定できる。また、端末２０が属するネットワーク１００と異なるネットワーク１１０を流れていたデータに含まれるＩＰアドレスから仮想ＭＡＣアドレスを取得すれば、迅速に、利用者を特定できる。

利用者特定部６０は、受信した仮想ＭＡＣアドレスに埋め込まれた生成手順ＩＤを活用して、アドレス格納部５４に格納された利用者ＩＤを取得することが好ましい。これにより、認証サーバ５０は、特定の仮想ＭＡＣアドレスを、迅速に検索することができる。

以上、上記実施形態によれば、端末２０の通信の認証に、生体情報に基づいて生成される仮想ＭＡＣアドレスを用いるので、簡便に認証のセキュリティーの向上を図ることができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

認証システム１０を含むネットワーク１００、１１０の構成を示す。 端末２０のブロック図の一例を示す。 認証サーバ５０のブロック図の一例を示す。 アドレス格納部５４に格納された情報の一例を示す。 生体情報を登録するフローチャートの一例を示す。 許可ＭＡＣアドレスを登録するフローチャートの一例を示す。 端末２０を使用する認証、及び通信の認証のフローチャートの一例を示す。 端末２０を使用する認証、及び通信の認証のフローチャートの一例を示す。 利用者を特定するフローチャートの一例を示す。

符号の説明

１０ 認証システム
２０ 端末
２２ 生体情報取得部
２４ 利用判断部
２６ 生体情報格納部
２８ アドレス生成部
３０ 生成手順格納部
３２ アドレス送信部
３４ 端末側通信認証部
５０ 認証サーバ
５２ 通信判断部
５４ アドレス格納部
５６ 生成手順警告部
５８ サーバ側通信認証部
６０ 利用者特定部
７０ ＤＨＣＰサーバ
８０ 管理者端末
９０ 業務サーバ
１００ ネットワーク
１１０ ネットワーク

Claims (9)

1. 端末が通信することを認証サーバにより認証する認証システムであって、
   前記端末は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納部、利用者の生体情報を取得する生体情報取得部、前記生体情報取得部が取得した前記生体情報を、前記生成手順格納部に格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成部、及び、前記認証サーバと通信する場合に、前記アドレス生成部が生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信するアドレス送信部を備え、
   前記認証サーバは、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納するアドレス格納部、及び、前記端末から送信された仮想ＭＡＣアドレスが前記アドレス格納部に格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する通信判断部を備える認証システム。
2. 前記端末は、当該端末の利用を許可する生体情報を格納する生体情報格納部、及び、前記生体情報取得部により取得された前記生体情報が前記生体情報格納部に格納された生体情報に含まれるか否かを判断し、含まれる場合に前記端末の利用を許可する利用判断部を更に備える請求項１に記載の認証システム。
3. 前記アドレス生成部は、所定のハッシュ関数を格納しており、前記ハッシュ関数を用いて前記生体情報から所定のビット数を有する仮想ＭＡＣアドレスを生成する請求項１に記載の認証システム。
4. 前記アドレス生成部は、前記生成手順格納部に格納されている前記手順を特定する生成手順特定情報を埋め込んだ仮想ＭＡＣアドレスを生成し、
   前記アドレス格納部は、前記生成手順特定情報に対応付けて前記許可ＭＡＣアドレスを格納する請求項１に記載の認証システム。
5. 前記アドレス格納部は、予め定められた生成手順特定情報を格納しており、
   前記通信判断部は、前記端末から送信された前記生成手順特定情報が前記アドレス格納部に格納された生成手順特定情報と異なるか否かを判断し、
   前記認証サーバは、前記端末から送信された前記生成手順特定情報が前記アドレス格納部に格納された生成手順特定情報と異なる場合にはその旨を示す警告を前記端末に出力する生成手順警告部を更に備える請求項４に記載の認証システム。
6. 前記アドレス格納部は、前記許可ＭＡＣアドレスに対応付けて、前記利用者を特定する利用者特定情報を格納する請求項１に記載の認証システム。
7. 認証サーバと通信する端末であって、
   生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納部と、
   利用者の生体情報を取得する生体情報取得部と、
   前記生体情報取得部が取得した前記生体情報を、前記生成手順格納部に格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成部と、
   前記認証サーバと通信する場合に、前記アドレス生成部が生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信するアドレス送信部と
   を備える端末。
8. 端末が通信することを認証サーバにより認証する認証方法であって、
   前記端末は、生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納し、
   前記端末は、利用者の生体情報を取得し、前記取得した前記生体情報を、前記格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成し、
   前記端末は、前記認証サーバと通信する場合に、前記生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信し、
   前記認証サーバは、通信を許可する端末のＭＡＣアドレスである許可ＭＡＣアドレスを格納し、
   前記認証サーバは、前記端末から送信された仮想ＭＡＣアドレスが前記格納された許可ＭＡＣアドレスに含まれるか否かを判断し、含まれる場合に端末が通信することを許可する認証方法。
9. 認証サーバと通信する端末を制御するプログラムであって、前記端末に、
   生体情報に基づいて仮想ＭＡＣアドレスを生成する手順を格納する生成手順格納機能、
   利用者の生体情報を取得する生体情報取得機能、
   前記生体情報取得機能が取得した前記生体情報を、前記生成手順格納機能によって格納されている前記手順に適用することにより仮想ＭＡＣアドレスを生成するアドレス生成機能、及び、
   前記認証サーバと通信する場合に、前記アドレス生成機能によって生成した前記仮想ＭＡＣアドレスを前記認証サーバに送信するアドレス送信機能
   を実現させるプログラム。

Images