JP4388040B2 - 不正接続防止システム、不正接続防止方法、ユーザ端末、及びユーザ端末用プログラム - Google Patents

Description

本発明は、ネットワークへの不正接続防止システム、不正接続防止方法、ユーザ端末、及びユーザ端末用プログラムに関し、特に、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システム、不正接続防止方法、ユーザ端末、及びユーザ端末用プログラムに関する。

従来、この種の不正接続防止システムは、例えば、パーソナルコンピュータやワークステーションなどの端末が接続された社内ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）において、ウィルス対策や暗号化による情報漏洩対策などの実施が社内ＬＡＮの管理者により確認され、正式に接続が許可された端末に対してのみ、ＬＡＮへの接続を許可するために用いられてきた。この不正接続防止システムでは、ＬＡＮの接続ポイントとなるＡＰ（Ａｃｃｅｓｓ Ｐｏｉｎｔ）がＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスによるアクセス制限機能を備えている。ＡＰは、接続が許可されている端末のＭＡＣアドレスのリストを保持し、このリストに登録されたＭＡＣアドレスを使用する端末のみを社内ＬＡＮに接続するようにアクセス制限を行う。
このようなＭＡＣアドレスを用いたアクセス制御の従来技術が特許文献１に開示されている。特許文献１に開示された技術では、クライアントとサーバが接続されたネットワークにおいて、サーバのＭＡＣアドレステーブルに、認証登録されたクライアントのＭＡＣアドレスを登録することにより、認証登録されたクライアントのみがサーバと通信できる。

また、この種の不正接続防止システムは、端末の盗難や紛失という事態が発生した場合に、当該端末を不正に入手したユーザが、社内ＬＡＮに接続し、不正に情報を入手することを防止するためにも用いられてきた。端末の盗難や紛失に遭遇した場合の一次的なセキュリティ上の問題は、端末本体内に格納した情報が漏洩することであるが、これは、暗号化技術を用いた漏洩対策により防ぐことが可能である。しかしながら、悪意あるユーザが不正取得した端末を用いて、社内ＬＡＮへ侵入し、不正に情報を入手するという二次的な問題は残存する。すなわち、不正取得した端末のＭＡＣアドレスはＡＰのＭＡＣアドレスのリストに登録されているため、社内ＬＡＮへの接続を行うことは可能である。この場合、端末自体にパスワードによるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）レベルでの利用制限を設けていたとしても、ＯＳの再セットアップを実施することで、当該端末は使用可能となり、このような、二次的な問題を防止することはできない。そこで、端末の盗難や紛失が発生した場合、社内ＬＡＮの管理者は、当該端末のＭＡＣアドレスをＡＰにおけるＭＡＣアドレスのリストから削除することで、当該端末が社内ＬＡＮに不正接続することを防止していた。

特開２００４−１５２２４９

しかしながら、この従来の不正接続防止システムを用いて、端末の盗難や紛失の際の社内ＬＡＮへの不正接続を防止する場合、端末の盗難や紛失が発生してから、遅滞無く全てのＡＰから当該端末のＭＡＣアドレスの削除作業を完了させなければ、悪意あるユーザが当該端末を入手し、不正に社内ＬＡＮに接続、侵入する機会が存在することとなる。

特に、社内ＬＡＮの運用保守は、商用サービスとは異なり、管理者が不在、あるいは管理者が端末の盗難紛失に即時に対応できないという事態が想定され、端末の盗難や紛失が発生してから、当該端末のＭＡＣアドレスの削除という対策が完了するまでの時間が比較的長く、悪意あるユーザの不正侵入の機会が増すことになる。

また、社内ＬＡＮでは、ＡＰが複数台設置されていたり、ＡＰの機器メーカも統一されていないため、人的なミスによる設定漏れや設定誤りが発生する可能性があった。

このように、この従来の不正接続防止システムを用いて、端末の盗難や紛失の際の社内ＬＡＮへの不正接続を防止する場合、ＭＡＣアドレスの削除が速やかに行われない、あるいは適切に行われないことによるセキュリティ上の脆弱性が残るという問題がある。

本発明の目的は、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末の盗難や紛失が発生した際に、ＡＰからのＭＡＣアドレスの削除を行わなくても、端末を不正に入手したユーザが当該端末を用いて社内ＬＡＮに接続することを防止することが可能な不正接続防止システムを提供することである。

本発明の第１の不正接続防止システムは、暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段と、を有するユーザ端末と、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段と、前記ＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御手段と、を有するアクセス制御装置と、を備えたことを特徴とする。

本発明の第２の不正接続防止システムは、第１の不正接続防止システムにおいて、前記ユーザ端末が、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段と、を有することを特徴とする。

本発明の第３の不正接続防止システムは、第２の不正接続防止システムにおいて、前記ユーザ認証手段が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。

本発明の第４の不正接続防止システムは、第１乃至第３のいずれかの不正接続防止システムにおいて、前記ユーザ端末が、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を有することを特徴とする。

本発明の第５の不正接続防止システムは、第１乃至第４のいずれかの不正接続防止システムにおいて、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。

本発明の第６の不正接続防止システムは、第１乃至第５のいずれかの不正接続防止システムにおいて、前記ユーザ認証手段が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。

本発明の第７の不正接続防止システムは、第１乃至第５のいずれかの不正接続防止システムにおいて、前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。

本発明の第１のユーザ端末は、暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段とを備えたことを特徴とする。

本発明の第２のユーザ端末は、第１のユーザ端末において、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段とを備えたことを特徴とする。

本発明の第３のユーザ端末は、第２のユーザ端末において、前記ユーザ認証手段が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。

本発明の第４のユーザ端末は、第１乃至第３のいずれかのユーザ端末において、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を備えたことを特徴とする。

本発明の第５のユーザ端末は、第１乃至第４のいずれかのユーザ端末において、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。

本発明の第６のユーザ端末は、第１乃至第５のいずれかのユーザ端末において、前記ユーザ認証手段が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。

本発明の第７のユーザ端末は、第１乃至第５のいずれかのユーザ端末において、前記ユーザ認証手段が、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。

本発明の第１のユーザ端末用プログラムは、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定処理と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証処理とをユーザ端末に行わせることを特徴とする。

本発明の第２のユーザ端末用プログラムは、第１のユーザ端末用プログラムにおいて、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視処理をユーザ端末に行わせることを特徴とする。

本発明の第３のユーザ端末用プログラムは、第２のユーザ端末用プログラムにおいて、前記ユーザ認証処理が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。

本発明の第４のユーザ端末用プログラムは、第１乃至第３のいずれかのユーザ端末用プログラムにおいて、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了処理をユーザ端末に行わせることを特徴とする。

本発明の第５のユーザ端末用プログラムは、第１乃至第４のいずれかのユーザ端末用プログラムにおいて、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。

本発明の第６のユーザ端末用プログラムは、第１乃至第５のいずれかのユーザ端末用プログラムにおいて、前記ユーザ認証処理が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。

本発明の第７のユーザ端末用プログラムは、第１乃至第５のいずれかのユーザ端末用プログラムにおいて、前記ユーザ認証処理が、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。

本発明の第１の不正接続防止方法は、ユーザ端末が、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定ステップと、前記ユーザ端末が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証ステップと、アクセス制御装置が、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御ステップと、を含むことを特徴とする。

本発明の第２の不正接続防止方法は、第１の不正接続防止方法において、前記ユーザ端末が、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視ステップを含むことを特徴とする。

本発明の第３の不正接続防止方法は、第２の不正接続防止方法において、前記ユーザ認証ステップが、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。

本発明の第４の不正接続防止方法は、第１乃至第３のいずれかの不正接続防止方法において、前記ユーザ端末が、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了ステップを含むことを特徴とする。

本発明の第５の不正接続防止方法は、第１乃至第４のいずれかの不正接続防止方法において、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。

本発明の第６の不正接続防止方法は、第１乃至第５のいずれかの不正接続防止方法において、前記ユーザ認証ステップが、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。

本発明の第７の不正接続防止方法は、第１乃至第５のいずれかの不正接続防止方法において、前記ユーザ認証ステップが、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。

本発明の効果は、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末を不正に入手したユーザが当該端末を用いて不正に社内ＬＡＮに接続することを防止できることである。その理由は、端末の初期設定時に、当該端末のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化して当該端末に設定するようにしたため、端末を不正に入手したユーザが社内ＬＡＮに接続を試みても、無効ＭＡＣアドレスが使用され、アクセス制御装置におけるアクセス制限機能により、当該端末を使用した通信ができないためである。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
（発明の第一の実施の形態）
図１に本発明の第一の実施の形態における不正接続防止システム全体の構成を示す。図１を参照すると、本発明の実施の形態は、ユーザ端末１００、鍵媒体２００、アクセス制御装置３００により構成される。ユーザ端末１００とアクセス制御装置３００は、１０Ｂａｓｅ−Ｔや１００Ｂａｓｅ−ＴＸ等の有線ＬＡＮ、あるいは８０２.１１等の無線ＬＡＮによって接続されている。

ユーザ端末１００は、パーソナルコンピュータやワークステーション等、ユーザがＬＡＮに接続して使用する情報処理装置であり、ＬＡＮユニット１０１、ＭＡＣアドレス制御部１０２、初期設定部１０３、ＭＡＣ暗号化部１０４、ユーザ認証部１０５、ＭＡＣ復号化部１０６、鍵媒体インタフェース部１０７、ＭＡＣ監視部１０８、終了処理部１０９、端末番号記憶部１１１、ユーザ認証情報記憶部１１２、認証完了フラグ記憶部１１３、及び無効ＭＡＣ記憶部１１４により構成される。

ＬＡＮユニット１０１は、有線ＬＡＮ、あるいは無線ＬＡＮのインタフェースを提供する。ＬＡＮユニット１０１のＭＡＣアドレスは、このＬＡＮユニット１０１を一意に識別できる固有ＭＡＣアドレスが工場出荷時に設定されているものとする。また、ＬＡＮユニット１０１のＭＡＣアドレスは、ＭＡＣアドレス制御部１０２により、任意の値に書換えが可能であるものとする。ＬＡＮ４００への接続が許可された場合、ユーザ端末１００のＬＡＮユニット１０１の固有ＭＡＣアドレスがアクセス制御装置３００に登録される。アクセス制御装置３００は、登録されたＭＡＣアドレスを持つユーザ端末１００に対してのみ、ＬＡＮ４００との通信を許可する。本発明では、このように、アクセス制御装置３００に登録される固有ＭＡＣアドレスを正規ＭＡＣアドレスと称する。

ＭＡＣアドレス制御部１０２は、ＬＡＮユニット１０１に設定されているＭＡＣアドレスの読み出し、書き込みを行うための機能を提供する。

初期設定部１０３は、ユーザ端末１００の新規使用開始時に、ＬＡＮユニット１０１に対して、正規ＭＡＣアドレスの読み出し、無効ＭＡＣアドレスの書き込みを行い、管理者が入力した復号鍵による正規ＭＡＣアドレスの暗号化、鍵媒体２００への正規ＭＡＣアドレスの書き込みを制御する。

ＭＡＣ暗号化部１０４は、初期設定部１０３の指示に従って、正規ＭＡＣアドレスの暗号化を行い、鍵媒体２００への書き込みを行う。

ユーザ認証部１０５は、ユーザが初期設定が完了したユーザ端末１００を使用する場合に、ユーザ認証を行い、ユーザ認証が完了した場合に、鍵媒体２００からの正規ＭＡＣアドレスの読み出し、ユーザが入力した復号鍵による正規ＭＡＣアドレスの復号化、ＬＡＮユニット１０１への正規ＭＡＣアドレスの書き込みを制御する。

ＭＡＣ復号化部１０６は、ユーザ認証部１０５の指示に従って、鍵媒体２００から正規ＭＡＣアドレスを読み出し、復号化を行う。

鍵媒体インタフェース部１０７は、鍵媒体２００のＭＡＣ情報記憶部２１１に保存されている情報の読み出し、書き込みを行うための機能を提供する。

端末番号記憶部１１１は、ユーザ端末１００を一意に識別する端末番号を記憶、管理する。端末番号はユーザ端末１００の出荷時点で端末番号記憶部１１１に保存されるものとする。

ユーザ認証情報記憶部１１２は、ユーザ端末１００を使用するユーザのユーザＩＤ、パスワード等の認証情報を記憶、管理する。認証情報は、ユーザ端末１００の新規使用開始時に、システム管理者により入力され、ユーザ認証情報記憶部１１２に保存される。

認証完了フラグ記憶部１１３は、ユーザが使用中のユーザ端末１００が、ユーザ認証処理を完了しているかどうかを示すフラグを記憶、管理する。

無効ＭＡＣ記憶部１１４は、ユーザ認証が完了していないときに、ＬＡＮユニット１０１によるＬＡＮ４００へのアクセスを不可能にするためにＬＡＮユニット１０１に設定する、無効なＭＡＣアドレスを記憶、管理する。本発明では、このように、ＬＡＮ４００へのアクセスを不可能にするために使用される無効なＭＡＣアドレスを無効ＭＡＣアドレスと称する。無効ＭＡＣアドレスは、ＬＡＮ４００に接続するいずれの端末も通信時に使用することが無いアドレスであり、例えば、全てのビットが０（００−００−００−００−００−００）の値を使用する。

鍵媒体２００は、正規ＭＡＣアドレスを暗号化して保存するものであり、ＩＣカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）接続のメモリ媒体、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）など、可搬性に優れた一般的な二次記憶媒体である。鍵媒体２００のＭＡＣ情報記憶部２１１は、図６に示すように、ユーザ端末１００の端末番号、暗号化した正規ＭＡＣアドレス、及び端末番号と正規ＭＡＣアドレスの改竄を検出するための電子署名を記憶、管理する。鍵媒体２００は、システム管理者による初期設定処理を行う場合、及びユーザがユーザ端末１００を使用する場合には、ユーザ端末１００に接続されている必要がある。

アクセス制御装置３００は、ＭＡＣアドレスにより、ユーザ端末１００からＬＡＮ４００への接続を制御するものであり、アクセス制御部３０１、ＭＡＣアドレス登録部３０２、及びＭＡＣアドレスリスト記憶部３１１から構成される。

アクセス制御部３０１は、ＭＡＣアドレスリスト記憶部３１１に登録されたＭＡＣアドレスを持つユーザ端末１００に対してのみ、ＬＡＮ４００との通信を許可する。

ＭＡＣアドレス登録部３０２は、ＬＡＮ４００との通信を許可するユーザ端末１００の正規ＭＡＣアドレスを、ユーザに入力させ、ＭＡＣアドレスリスト記憶部３１１に登録する。

ＭＡＣアドレスリスト記憶部３１１は、ＭＡＣアドレス登録部３０２により登録された正規ＭＡＣアドレスのリストを記憶、管理する。

次に、本発明の第一の実施の形態の動作について図面を参照して説明する。

［初期設定処理］
図２に初期設定処理の動作フローを示す。初期設定処理は、ユーザ端末１００のＬＡＮユニット１０１のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、ＬＡＮユニット１０１の正規ＭＡＣアドレスを鍵媒体２００に書き込み、更に、正規ＭＡＣアドレスをアクセス制御装置３００に登録する処理であり、ユーザ端末１００を新規に使用開始する場合にシステム管理者により起動される。

初めに、鍵媒体２００はユーザ端末１００に接続されているものとする。ユーザ端末１００の初期設定部１０３は、システム管理者から、ユーザ端末１００を使用するユーザのユーザＩＤ、パスワード、及び正規ＭＡＣアドレスを暗号化するための暗号鍵の入力を受け付ける（ステップＢ１０１）。初期設定部１０３は、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１から正規ＭＡＣアドレスを読み出す（ステップＢ１０２）。初期設定部１０３は、無効ＭＡＣアドレスを生成し、無効ＭＡＣ記憶部１１４に保存し（ステップＢ１０３）、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１へ書き込む（ステップＢ１０４）。ＭＡＣ暗号化部１０４は、初期設定部１０３からの指示に従い、ＬＡＮユニット１０１から読み出した正規ＭＡＣアドレスをシステム管理者により入力された暗号鍵を用いて暗号化する（ステップＢ１０５）。ＭＡＣ暗号化部１０４は、端末番号記憶部１１１に保存されているユーザ端末１００の端末番号を読み出し、端末番号と暗号化された正規ＭＡＣアドレスに対して、改竄検出用の電子署名を生成する（ステップＢ１０６）。ＭＡＣ暗号化部１０４は、端末番号、暗号化された正規ＭＡＣアドレス、及び電子署名を鍵媒体インタフェース部１０７を介して鍵媒体２００のＭＡＣ情報記憶部２１１に保存する（ステップＢ１０７、Ａ１０１）。初期設定部１０３は、システム管理者より入力されたユーザＩＤとパスワードをユーザ認証情報記憶部１１２に保存し（ステップＢ１０８）、認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する（ステップＢ１０９）。初期設定部１０３は、初期設定完了メッセージと共に、正規ＭＡＣアドレスをシステム管理者に対して出力する（ステップＢ１１０）。

アクセス制御装置３００のＭＡＣアドレス登録部３０２は、システム管理者から、ユーザ端末１００の正規ＭＡＣアドレスの入力を受け付け、ＭＡＣアドレスリスト記憶部３１１に保存する（ステップＣ１０１）。

なお、ＭＡＣアドレスを暗号化するための暗号鍵と復号化するための復号鍵はシステム管理者により管理される。また、ユーザＩＤ、パスワード、復号鍵、及び鍵媒体２００は、上記初期設定処理が完了した際に、システム管理者から当該ユーザ端末１００のユーザに配布される。

［ユーザ認証処理］
図３にユーザ認証処理の動作フローを示す。ユーザ認証処理は、ユーザ認証を行い、鍵媒体２００に格納された正規ＭＡＣアドレスをＬＡＮユニット１０１に書き込む処理であり、ユーザがユーザ端末１００を使用開始する場合に、ユーザにより起動される。

ユーザ認証処理の起動時は、初期設定処理（図２）は完了し、ユーザはユーザＩＤ、パスワード、復号鍵、及び鍵媒体２００をシステム管理者より入手し、当該鍵媒体２００はユーザ端末１００に接続されているものとする。ユーザ端末１００のユーザ認証部１０５は、ユーザから、ユーザ端末１００を使用するユーザのユーザＩＤ、及びパスワードの入力を受け付け（ステップＢ２０１）、ユーザ認証処理を実施する（ステップＢ２０２）。ユーザ認証に成功すると、ユーザ認証部１０５は、正規ＭＡＣアドレスを復号化するための復号鍵の入力を受け付ける（ステップＢ２０３）。ＭＡＣ復号化部１０６は、ユーザ認証部１０５からの指示に従い、鍵媒体インタフェース部１０７を介して鍵媒体２００のＭＡＣ情報記憶部２１１より、端末番号、暗号化された正規ＭＡＣアドレス、及び電子署名を読み出す（ステップＡ２０１、Ｂ２０４）。ＭＡＣ復号化部１０６は、鍵媒体２００より読み出した電子署名を使って鍵媒体２００より読み出した端末番号、暗号化された正規ＭＡＣアドレスが改竄されていないかを確認し（ステップＢ２０５）、鍵媒体２００より読み出した端末番号が、端末番号記憶部１１１に保存されている端末番号と一致するかを確認する（ステップＢ２０６）。ＭＡＣ復号化部１０６は、暗号化された正規ＭＡＣアドレスをユーザより入力された復号鍵を用いて復号化する（ステップＢ２０７）。ユーザ認証部１０５は、復号化した正規ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１へ書き込み（ステップＢ２０８）、認証完了フラグ記憶部１１３の認証完了フラグをＯＮに設定する（ステップＢ２０９）。ユーザ認証部１０５は、認証完了メッセージをユーザに出力する（ステップＢ２１０）。

次に、ユーザ端末１００は、正規ＭＡＣアドレスを使って、アクセス制御装置３００を経由してＬＡＮ４００との通信を開始する。ユーザ端末１００の正規ＭＡＣアドレスは、前述の初期設定処理（ステップＣ１０１）において、ＭＡＣアドレスリスト記憶部３１１に保存されているため、アクセス制御装置３００のアクセス制御部３０１は、ユーザ端末１００とＬＡＮ４００との間の通信を許可する（ステップＣ２０１）。

［監視処理］
図４に監視処理の動作フローを示す。監視処理は、ユーザ認証処理が完了していない状態で、ＬＡＮユニット１０１に無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていないかを監視し、無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていることを検出した場合に、無効ＭＡＣアドレスを書き込むものであり、ユーザ端末１００により定期的に起動される。

監視処理の起動時は、初期設定処理（図２）は完了しているものとする。ユーザ端末１００のＭＡＣ監視部１０８は、定期的に認証完了フラグ記憶部１１３に保存されている認証完了フラグを読み出し、認証完了フラグがＯＦＦの場合、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１のＭＡＣアドレスを読み出す（ステップＢ３０１、Ｂ３０２）。ＭＡＣ監視部１０８は、ＬＡＮユニット１０１から読み出したＭＡＣアドレスが無効ＭＡＣ記憶部１１４に保存されている無効ＭＡＣアドレスと等しいか確認する（ステップＢ３０３）。ＭＡＣ監視部１０８は、ＬＡＮユニット１０１から読み出したＭＡＣアドレスが無効ＭＡＣアドレスで無い場合、無効ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１に書き込む（ステップＢ３０４）。

［終了処理］
図５に終了処理の動作フローを示す。終了処理は、ユーザによるユーザ端末１００の使用が終了した場合に、ＬＡＮユニット１０１に無効ＭＡＣアドレスを書き込む処理である。

初めに、終了処理部１０９は、ＯＳからのイベントを検出する（ステップＢ４０１）。終了処理部１０９は、イベントがユーザのログアウトや、省電力モードへ移行するための無操作検出タイマのタイムアウトであった場合、無効ＭＡＣ記憶部１１４に保存されている無効ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１に書き込む（ステップＢ４０２、Ｂ４０３）。終了処理部１０９は、認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する（ステップＢ４０４）。

以上により、本発明の第一の実施の形態の動作が完了する。

本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末を不正に入手したユーザが当該端末を用いて不正に社内ＬＡＮに接続することを防止できる。その理由は、端末の初期設定時に、当該端末のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化して当該端末に設定するようにしたため、端末を不正に入手したユーザが社内ＬＡＮに接続を試みても、無効ＭＡＣアドレスが使用され、アクセス制御装置におけるアクセス制限機能により、当該端末を使用した通信ができないためである。

また、本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、アクセス制御装置に登録されている当該端末の正規ＭＡＣアドレスを入手し、当該端末あるいは他の端末に設定することにより、不正に社内ＬＡＮに接続することを防止できる。その理由は、前述のように、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化するようにしたため、鍵媒体を持たないユーザは正規ＭＡＣアドレスを知ることができないためである。

更に、本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、アクセス制御装置に登録されている他の端末の正規ＭＡＣアドレスを入手し、当該端末に設定することにより、不正に社内ＬＡＮに接続することを防止できる。その理由は、認証処理が完了していないにもかかわらず、無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていた場合、無効ＭＡＣアドレスを設定するようにしたためである。

（発明の第二の実施の形態）
図７に本発明の第二の実施の形態における不正接続防止システム全体の構成を示す。

本発明の第二の実施の形態においては、ユーザ認証をユーザ認証媒体２５０を用いて行う点、及び、暗号化された正規ＭＡＣアドレスを復号化するための復号鍵をユーザ認証媒体２５０に保存する点において第１の実施の形態と異なる。図７において、本発明の第一の実施の形態と同一の構成要素については、本発明の第一の実施の形態と同一の符号を有するものとする。

図７を参照すると、本発明の第一の実施の形態は、ユーザ端末１００、鍵媒体２００、アクセス制御装置３００、及びユーザ認証媒体２５０により構成される。

図７において、ユーザ端末１００は、ＬＡＮユニット１０１、ＭＡＣアドレス制御部１０２、初期設定部１０３、ＭＡＣ暗号化部１０４、ユーザ認証部１０５、ＭＡＣ復号化部１０６、鍵媒体インタフェース部１０７、ＭＡＣ監視部１０８、終了処理部１０９、端末番号記憶部１１１、認証完了フラグ記憶部１１３、無効ＭＡＣ記憶部１１４、及びユーザ認証媒体インタフェース部１１０により構成される。

ユーザ認証媒体インタフェース部１１０は、ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１に保存されている情報の読み出し、書き込みを行うための機能を提供するものである。

ユーザ認証媒体２５０は、ユーザを認証するための情報、及び暗号化された正規ＭＡＣアドレスを復号化するための復号鍵を保存するものである。ユーザ認証媒体２５０は、ＩＣカードやスマートカードなど、ＣＰＵとメモリを搭載した、可搬性に優れた認証用の媒体であり、鍵媒体２００とは物理的に異なる媒体（メディア）を使用する。ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１は、ＰＩＮコード、ユーザＩＤやユーザ名などのユーザ情報、個人認証を行うための電子証明書、及び暗号化した正規ＭＡＣアドレスを復号化するための復号鍵を記憶管理する。ここで、ＰＩＮコード、ユーザ情報、電子証明書は、ユーザ認証媒体２５０が発行される際に既に保存されているものとする。また、ＰＩＮコードはユーザ認証媒体２５０が発行された際にユーザに通知されており、ＰＩＮコードによる認証がされない場合、ユーザ端末１００から、ユーザ情報・復号鍵記憶部２５１の内容の読み込みはできないものとする。ユーザ認証媒体２５０は、システム管理者による初期設定処理を行う場合、及びユーザがユーザ端末１００を使用する場合には、ユーザ端末１００に接続されている必要がある。

次に、本発明の第二の実施の形態の動作について図面を参照して説明する。

［初期設定処理］
図８に初期設定処理の動作フローを示す。

第二の実施の形態における初期設定処理においては、鍵媒体２００に加え、ユーザ認証媒体２５０もユーザ端末１００に接続されているものとする。また、ユーザ認証媒体２５０は、システム管理者による初期設定処理中は、復号鍵の書き込みが可能な状態に設定されているものとする。ユーザ端末１００の初期設定部１０３は、システム管理者から、正規ＭＡＣアドレスを暗号化するための暗号鍵、及び暗号化された正規ＭＡＣアドレスを復号化するための復号鍵の入力を受け付ける（ステップＢ５０１）。ＬＡＮユニット１０１の正規ＭＡＣアドレスの読み出し、無効ＭＡＣアドレスの書き込み、正規ＭＡＣアドレスの暗号化、鍵媒体２００への書き込みまでの処理（ステップＢ５０２〜Ｂ５０７）は、第一の実施の形態（ステップＢ１０２〜Ｂ１０７）と同様となる。次に、初期設定部１０３は、ユーザ認証媒体インタフェース部１１０を介して、システム管理者より入力された復号鍵をユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１に保存する（ステップＢ５０８、Ｄ５０１）。認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する以降の処理（ステップＢ５０９〜Ｂ５１０）は、第一の実施の形態（ステップＢ１０９〜Ｂ１１０）と同様となる。

なお、第二の実施の形態においては、鍵媒体２００、及びユーザ認証媒体２５０が、上記初期設定処理が完了した際に、システム管理者から当該ユーザ端末１００のユーザに配布される。

［ユーザ認証処理］
図９にユーザ認証処理の動作フローを示す。

第二の実施の形態におけるユーザ認証処理起動時は、ユーザ端末１００における初期設定処理（図８）は完了し、ユーザは、鍵媒体２００、及びユーザ認証媒体２５０をシステム管理者より入手し、当該鍵媒体２００、及び当該ユーザ認証媒体２５０はユーザ端末１００に接続されているものとする。

ユーザ端末１００のユーザ認証部１０５は、ユーザから、ユーザ認証媒体２５０を使用するためのＰＩＮコードを受け付け（ステップＢ６０１）、ユーザ認証媒体インタフェース部１１０を介して、ユーザ認証媒体２５０との間でＰＩＮコードを用いたユーザ認証処理を実施する（ステップＢ６０２、Ｄ６０１）。ユーザ認証に成功すると、ユーザ認証部１０５は、ユーザ認証媒体インタフェース部１１０を介して、ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１から正規ＭＡＣアドレスを復号化するための復号鍵を読み出す（ステップＤ６０２、Ｂ６０３）。以降、正規ＭＡＣアドレスの鍵媒体２００からの読み出し、復号化、ＬＡＮユニット１０１への書き込み等の処理（ステップＢ６０４〜Ｂ６１０）は、第一の実施の形態（ステップＢ２０４〜Ｂ２１０）と同様となる。

第二の実施の形態における監視処理、及び終了処理については、第一の実施の形態（図４、図５）と同様となる。

以上により、本発明の第二の実施の形態の動作が完了する。

本発明の第二の実施の形態によれば、本発明の第一の実施の形態に比べ、不正接続に対する安全性がより高くなる。その理由は、暗号化されたＭＡＣアドレスを復号するための復号鍵をユーザ認証媒体に保存し、ユーザ認証媒体を用いた認証処理に成功した場合にのみ、ユーザ端末がユーザ認証媒体から復号鍵を読み出せるようにしたためである。

本発明の第一の実施の形態を示すブロック図である。 本発明の第一の実施の形態における初期設定処理の動作を示す図である。 本発明の第一の実施の形態におけるユーザ認証処理の動作を示す図である。 本発明の第一の実施の形態における監視処理の動作を示す図である。 本発明の第一の実施の形態における終了処理の動作を示す図である。 本発明の第一の実施の形態におけるＭＡＣ情報記憶部の内容を示す図である。 本発明の第二の実施の形態を示すブロック図である。 本発明の第二の実施の形態における初期設定処理の動作を示す図である。 本発明の第二の実施の形態におけるユーザ認証処理の動作を示す図である。

符号の説明

１００ ユーザ端末
１０１ ＬＡＮユニット
１０２ ＭＡＣアドレス制御部
１０３ 初期設定部
１０４ ＭＡＣ暗号化部
１０５ ユーザ認証部
１０６ ＭＡＣ復号化部
１０７ 鍵媒体インタフェース部
１０８ ＭＡＣ監視部
１０９ 終了処理部
１１０ ユーザ認証媒体インタフェース部
１１１ 端末番号記憶部
１１２ ユーザ認証情報記憶部
１１３ 認証完了フラグ記憶部
１１４ 無効ＭＡＣ記憶部
２００ 鍵媒体
２１１ ＭＡＣ情報記憶部
２５０ ユーザ認証媒体
２５１ ユーザ情報・復号鍵記憶部
３００ アクセス制御装置
３０１ アクセス制御部
３０２ ＭＡＣアドレス登録部
３１１ ＭＡＣアドレスリスト記憶部
４００ ＬＡＮ

Claims (28)

1. 暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段と、を有するユーザ端末と、
   ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段と、前記ＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御手段と、を有するアクセス制御装置と、
   を備えたことを特徴とする不正接続防止システム。
2. 前記ユーザ端末は、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段と、を有することを特徴とする請求項１記載の不正接続防止システム。
3. 前記ユーザ認証手段は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項２記載の不正接続防止システム。
4. 前記ユーザ端末は、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を有することを特徴とする請求項１乃至請求項３のいずれかに記載の不正接続防止システム。
5. 前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項１乃至請求項４のいずれかに記載の不正接続防止システム。
6. 前記ユーザ認証手段は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項１乃至請求項５のいずれかに記載の不正接続防止システム。
7. 前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項１乃至請求項５のいずれかに記載の不正接続防止システム。
8. 暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段とを備えたことを特徴とするユーザ端末。
9. 前記ユーザ端末は、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段とを備えたことを特徴とする請求項８記載のユーザ端末。
10. 前記ユーザ認証手段は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項９記載のユーザ端末。
11. 前記ユーザ端末は、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を備えたことを特徴とする請求項８乃至請求項１０のいずれかに記載のユーザ端末。
12. 前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項８乃至請求項１１のいずれかに記載のユーザ端末。
13. 前記ユーザ認証手段は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項８乃至請求項１２のいずれかに記載のユーザ端末。
14. 前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項８乃至請求項１２のいずれかに記載のユーザ端末。
15. ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定処理と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証処理とをユーザ端末に行わせることを特徴とするユーザ端末用プログラム。
16. 認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視処理をユーザ端末に行わせることを特徴とする請求項１５記載のユーザ端末用プログラム。
17. 前記ユーザ認証処理は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項１６記載のユーザ端末用プログラム。
18. ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了処理をユーザ端末に行わせることを特徴とする請求項１５乃至請求項１７のいずれかに記載のユーザ端末用プログラム。
19. 前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項１５乃至請求項１８のいずれかに記載のユーザ端末用プログラム。
20. 前記ユーザ認証処理は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項１５乃至請求項１９のいずれかに記載のユーザ端末用プログラム。
21. 前記ユーザ認証処理は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項１５乃至請求項１９のいずれかに記載のユーザ端末用プログラム。
22. ユーザ端末が、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定ステップと、
    前記ユーザ端末が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証ステップと、
    アクセス制御装置が、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御ステップと、を含むことを特徴とする不正接続防止方法。
23. 前記ユーザ端末が、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視ステップを含むことを特徴とする請求項２２記載の不正接続防止方法。
24. 前記ユーザ認証ステップは、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項２３記載の不正接続防止方法。
25. 前記ユーザ端末が、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了ステップを含むことを特徴とする請求項２２乃至請求項２４のいずれかに記載の不正接続防止方法。
26. 前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項２２乃至請求項２５のいずれかに記載の不正接続防止方法。
27. 前記ユーザ認証ステップは、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項２２乃至請求項２６のいずれかに記載の不正接続防止方法。
28. 前記ユーザ認証ステップは、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項２２乃至請求項２６のいずれかに記載の不正接続防止方法。
    

Images