JP4857657B2

JP4857657B2 - アクセス管理システム、および、アクセス管理方法

Info

Publication number: JP4857657B2
Application number: JP2005241657A
Authority: JP
Inventors: 富己男半田; 義博矢野
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2005-08-23
Filing date: 2005-08-23
Publication date: 2012-01-18
Anticipated expiration: 2025-08-23
Also published as: JP2007058455A

Description

本発明は、サーバが、ネットワークを介して接続されたクライアントのアクセスを管理する技術に関し、更に詳しくは、ユーザが所持する認証デバイスを用いて、サーバがクライアントのアクセスを管理する技術に関する。

ネットワークを利用したクライアントサーバシステムにおいては、特許文献１で記述されているように、サーバへの不正アクセスを防止すべく、クライアントがサーバのリソース（Ｗｅｂアプリケーション、データベースなど）にアクセスする際は、サーバはアクセスするユーザとユーザが使用しているクライアントを認証することが一般的である。

サーバがユーザを認証する技術としては、ユーザのＩＤとパスワードを用いる技術が一般的であるが、より高いセキュリティを実現するために、公開鍵基盤（PKI: Public Key Infrastructure）をユーザの認証に用いることが増えている。例えば、特許文献２においては、ユーザが１回の認証のみを行うことで、ユーザの使用が許可されているすべてのリソースにユーザがアクセスできるシングル・サインオンを、ＰＫＩを用いて実現した発明が開示されている。

また、サーバがユーザの使用しているクライアントを認証する技術としては、特許文献１で開示されているように、サーバにはアクセスを許可するクライアントの識別情報（例えば、ＭＡＣアドレス: Media Access Control address）が登録され、サーバは登録されていないクライアントからのアクセスを拒否する技術が一般的に用いられる。

しかしながら、上述したクライアントを認証する技術においては、ユーザの会社・学校または自宅に設置されたクライアントは事前にサーバに登録できるが、出張先やネットカフェ等の使用するユーザが不特定多数のクライアントはサーバに登録できないため、不便が生じるケースがあった。
特開平１１−３３１１８１号公報特開２００2−１７３４９２号公報

そこで、上述した問題を鑑みて、本発明は、サーバが、サーバにアクセスしたクライアントを認証し、クライアントのアクセスを管理する技術に関し、あらかじめサーバに登録されたクライアントのみならず、ユーザが使用するすべてのクライアントを認証でき、かつ、ユーザ自身の認証も行うことのできるアクセス管理方法およびアクセス管理システムを提供することを目的とする。

上述した課題を解決する第１の発明は、予めサーバの利用が許可されているユーザによって所持され、ＰＩＮを照合する手段と、公開鍵暗号方式の秘密鍵を用いて、あるメッセージに対するデジタル署名を生成する手段を備え、前記秘密鍵と対になる公開鍵と前記ユーザのユーザＩＤを含む公開鍵証明書を記憶している認証デバイスを用いて、前記サーバがネットワークに接続されたクライアントのアクセスを管理するアクセス管理方法であって、前記アクセス管理方法は、ａ）前記サーバが、前記サーバにアクセスする前記クライアントへクライアント識別情報を取得するモジュールと前記ユーザを認証するモジュールを送信し、前記ユーザを認証するモジュールが、前記ユーザから取得したＰＩＮを前記認証デバイスに照合させ、ＰＩＮの照合に成功すると、前記クライアント識別情報を取得するモジュールが、前記クライアントの前記クライアント識別情報のデジタル署名を前記認証デバイスに生成させ、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて生成されたデジタル署名を付加した前記クライアントの前記クライアント識別情報と前記認証デバイスから読み取った前記公開鍵証明書を前記サーバへ送信するステップ、ｂ）デジタル署名が付加された前記クライアント識別情報と前記公開鍵証明書を取得すると、前記サーバが、取得した前記公開鍵証明書に含まれるユーザＩＤをキーとして、取得した前記クライアント識別情報が前記サーバに登録されているか確認し、取得した前記クライアント識別情報が登録されていない場合は、取得した前記クライアント識別情報のデジタル署名を取得した公開鍵証明書の公開鍵を用いて検証し、デジタル署名の検証に成功すると、取得した前記公開鍵証明書に含まれるユーザＩＤに関連付けて取得した前記クライアント識別情報を前記サーバに登録するステップ、ｃ）前記ステップｂ）で取得した前記クライアント識別情報のデジタル署名の検証に成功した場合、又は、取得した前記クライアント識別情報が前記サーバに登録されていた場合、前記サーバが前記クライアントのアクセスを許可するステップ、を含むことを特徴とする。

第１の発明において、前記認証デバイスとは、公開鍵暗号方式の暗号鍵を記憶でき、少なくとも、この暗号鍵を用いてデジタル署名を生成する機能を備えたデバイスで、詳しくは、ＩＣカード（ＵＳＩＭ：Universal Subscriber Identity Moduleも含む）やハードウェアトークン（例えば、ＵＳＢキー）を意味している。

第１の発明によれば、前記ユーザの秘密鍵で生成された前記クライアント識別情報のデジタル署名を、前記サーバが前記ユーザの公開鍵を用いて検証することで、前記サーバが、前記クライアントを操作している前記ユーザの正当性を確認できると共に、前記サーバにアクセスした前記クライアントが、正当な前記ユーザが利用している前記クライアントであることを確認でき、事前に前記サーバに登録されていない前記クライアントであっても、前記サーバは前記クライアントのアクセスを許可できる。

更に、第１の発明によれば、正当な前記ユーザのみが前記認証デバイスを利用できるため、前記認証デバイスの悪用を防止することができる。

第２の発明は、予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスをサーバが管理するアクセス管理システムであって、前記認証デバイスは、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて、指定されたメッセージのデジタル署名を生成するデジタル署名生成手段と、ＰＩＮを照合するＰＩＮ照合手段を備え、前記秘密鍵と対になる公開鍵と前記ユーザのユーザＩＤを含む公開鍵証明書を記憶し、前記クライアントは、前記認証デバイスとデータ通信するリーダライタを備え、前記サーバは、アクセスした前記クライアントに送信するプログラムとして、前記クライアントに備えられた前記リーダライタを操作して、前記認証デバイスの前記ＰＩＮ照合手段を用いて、前記ユーザから取得したＰＩＮを照合する第２のプログラムと、前記第２のプログラムがＰＩＮの照合に成功すると、前記クライアントに備えられた前記リーダライタを操作して、前記ネットワーク上で前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスの前記デジタル署名生成手段を用いて生成し、このデジタル署名が付加された前記クライアント識別情報と前記認証デバイスから読み取った前記公開鍵証明書を前記サーバに送信する第１のプログラムを備え、更に、前記第１のプログラムによって送信された前記クライアント識別情報のデジタル署名を検証するデジタル署名検証手段と、デジタル署名が付加された前記クライアント識別情報と前記公開鍵証明書が前記第１のプログラムから送信されると、取得した前記公開鍵証明書に含まれるユーザＩＤをキーとして、送信された前記クライアント識別情報が前記サーバに登録されているか確認し、送信された前記クライアント識別情報が登録されていない場合は、前記クライアント識別情報に付加されたデジタル署名を前記デジタル署名検証手段に検証させ、デジタル署名の検証に成功すると、送信された前記公開鍵証明書に含まれるユーザＩＤに関連付けて送信された前記クライアント識別情報を前記サーバに登録し、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合、又は、前記クライアント識別情報が前記サーバに登録されていた場合に前記クライアントのアクセスを許可するアクセス管理手段を備えていることを特徴とする。

上述した本発明によれば、サーバが、サーバにアクセスしたクライアントを認証し、クライアントのアクセスを管理する技術に関し、あらかじめサーバに登録されたクライアントのみならず、ユーザが使用するすべてのクライアントを認証でき、かつ、ユーザ自身の認証も行うことのできるアクセス管理方法およびアクセス管理システムを提供することができる。

ここから、本発明に係るアクセス管理システムについて、図を参照しながら詳細に説明する。図１は、アクセス管理システムのシステム構成を説明する図である。図１に示したように、アクセス管理システムは、ユーザが所持する認証デバイスであるＩＣカード２と、ＩＣカード２とデータ通信するＩＣカードリーダ３１を備えたクライアント３と、クライアント３とネットワーク４を介して接続されたサーバ１とから、少なくとも構成される。

ユーザが所持するＩＣカード２は、ＰＩＮ（Personal Identification Number）を照合する手段と、ＰＩＮの照合に成功した場合のみ、公開鍵暗号方式の秘密鍵を用いて、あるメッセージに対するデジタル署名を生成する手段とを備え、更に、ＩＣカード２には、デジタル署名を生成する秘密鍵と対になる公開鍵の公開鍵証明書が記憶されている。

本実施の形態において、ユーザが所持する認証デバイスをＩＣカードとしているのは、ＩＣカードが社員証や学生証などの用途で普及し始めているからである。他の認証デバイスとしては、コンピュータとデータ通信する機能（例えば、ＵＳＢ通信）を備えたＰＫＩのハードウェアトークン（例えば、ＵＳＢキー）が利用できる。

ユーザがクライアント３を利用してサーバ１にアクセスすると、サーバ１はクライアント３上で動作するプログラム（例えば、Ｊａｖａ（登録商標）のアプレット）をクライアント３に送信し、このプログラムは、ＩＣカード２を所持するユーザの正当性を確認する。そして、ユーザの正当性が確認されると、このプログラムは、クライアント３に備えられたハードウェア（例えば、Ethernet（登録商標）のカード）で固定の情報であるＭＡＣアドレスを取得し、ＩＣカード２を用いてＭＡＣアドレスのデジタル署名を生成し、生成したデジタル署名が付加されたＭＡＣアドレスと、ＩＣカード２に記憶された公開鍵証明書をサーバ１に送信する。

そして、サーバ１は、上述のプログラムからこれらの情報を受信すると、データベースに記憶されているＭＡＣアドレスを確認する。受信したＭＡＣアドレスがサーバ１に登録されていない場合は、ＭＡＣアドレスに付加されたデジタル署名を、公開鍵証明書に含まれる公開鍵で検証し、ＭＡＣアドレスに付加されたデジタル署名の検証に成功した場合のみ、クライアント３のアクセスを許可し、事前に定められた規則に従いクライアント３とのセッションを管理する。また、受信したＭＡＣアドレスがサーバ１に登録されている場合は、デジタル署名の検証を行うことなく、クライアント３のアクセスを許可し、事前に定められた規則に従いクライアント３とのセッションを管理する。

なお、ここで、事前に定められた規則とは、サーバ１とクライアント３とのセッション時間に関する規則であることが望ましい。例えば、ユーザが一時的に利用しているクライアント３ならば、クライアント３とサーバ１とのセッション時間を１時間と限定し、１時間を越えた場合には、サーバ１はクライアント３との接続を強制的に解除する。

図２は、図１で示したアクセス管理システムのブロック図である。図２に示したように、ユーザが所持するＩＣカード２には、外部端末（ここでは、ＩＣカードリーダライタ３１）から送信されるＰＩＮを照合する手段としてＰＩＮ照合手段２１と、公開鍵暗号方式の秘密鍵２３を用いて、外部端末から受信したメッセージのデジタル署名を生成するデジタル署名生成手段２２を備えている。また、ＩＣカード２には、秘密鍵２３と対になる公開鍵２５が、第三者機関である認証局によって発行された公開鍵証明書２４の形式で記憶され、この公開鍵証明書２４には公開鍵２５と共に、ユーザを識別する情報であるユーザＩＤ２６が記述されている。

また、ユーザが使用するクライアント３には、ユーザが所持するＩＣカード２とデータ通信するための手段であるＩＣカードリーダライタ３１を備え、ネットワーク４を介してサーバ１にアクセスするプログラムとしてブラウザ３３と、ネットワーク４上のクライアント３を識別する情報としてＭＡＣアドレス３２が記憶されている。ユーザは、サーバ１のＵＲＬ（Universal Resource Locator）をブラウザ３３に入力するなどして、クライアント３からサーバ１にアクセスできる。

ユーザがクライアント３を用いてアクセスするサーバ１には、クライアント３とのセッションを管理するアクセス管理マネージャ１０が備えられている。サーバ１に備えられたアクセス管理マネージャ１０とは、これから述べる各モジュールをコントロールし、ＰＫＩを用いてクライアント２のアクセス管理と、ユーザが利用しているクライアント３に応じて、サーバ１とクライアント３とのセッション管理とを行う。

詳しくは、サーバ１に備えられたアクセス管理マネージャ１０は、クライアント３に備えらたＩＣカードリーダライタ３１を操作してユーザを認証するユーザ認証モジュール１１と、デジタル署名が付加されたＭＡＣアドレス３２をクライアント３から取得するＭＡＣアドレス取得モジュール１２と、ＭＡＣアドレス３２に付加されたデジタル署名を検証するデジタル署名検証モジュール１３と、デジタル署名検証モジュール１３で使用する公開鍵などの情報が記憶されるデータベース１４とを備える。

サーバ１に備えられたユーザ認証モジュール１１およびＭＡＣアドレス取得モジュール１２は、この好ましくはＪａｖａ（登録商標）のアプレットや、Ｗｉｎｄｏｗｓ（登録商標）のＡｃｉｔｖｅＸコントロール技術などで実現され、クライアント３上で動作するプログラムである。

ユーザ認証モジュール１１は、ＰＩＮをユーザから取得すると共に、クライアント３のＩＣカードリーダライタ３１を操作して、取得したＰＩＮをＩＣカード２のＰＩＮ照合手段２１を用いて照合する。また、ＭＡＣアドレス取得モジュール１２は、ユーザ認証モジュール１１がユーザの認証に成功すると、ＩＣカードリーダライタ３１を操作し、ＩＣカード２を用いて、クライアント３のＭＡＣアドレス３２のデジタル署名を生成すると共に、ＩＣカード２から公開鍵証明書２４を読出し、デジタル署名を付加したＭＡＣアドレス３２と公開鍵証明書２４とをサーバ１に送信する。

アクセス管理マネージャ１０に備えられたデータベース１４には、ＩＣカード２に記憶された公開鍵証明書２４を発行した認証局の公開鍵である認証局公開鍵１５と、ユーザＩＤ２６に関連付けられて、ユーザが使用した実績のあるクライアント３のＭＡＣアドレス３２とが登録済ＭＡＣアドレス１６として記憶される。

なお、データベースに、ユーザが使用した実績のあるクライアント３のＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶する際は、所在の分かるクライアント３（例えば、会社に設定されたクライアント３）と、ユーザが一時的に利用したクライアント３（例えば、ネットカフェに設置されたクライアント３）とを識別するフラグを付加して、ＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶することが望ましい。上述したことを実施することで、ユーザが利用しているクライアント３に応じて、サーバ１とクライアント３とのセッションを、アクセス管理マネージャ１０は管理することができる。

アクセス管理マネージャ１０に備えられたデジタル署名検証モジュール１３は、ＩＣカード２から取得した公開鍵証明書２４のデジタル署名を検証すると共に、クライアント３から取得したＭＡＣアドレス３２に付加されているデジタル署名を検証する手段である。

デジタル署名検証モジュール１３が、ＩＣカード２から取得した公開鍵証明書２４のデジタル署名を検証するときは、データベース１４に記憶している認証局公開鍵１５を用いる。また、デジタル署名検証モジュール１３が、ＭＡＣアドレス３２に付加されたデジタル署名を検証するときは、公開鍵証明書２４に含まれる公開鍵２５を用いる。

ここから、サーバ１に備えられたアクセス管理マネージャ１０の詳細な動作を説明するために、これまで説明したアクセス管理システムの動作について説明する。なお、アクセス管理システムの動作の説明は、本発明に係るアクセス管理方法の説明も兼ねている。図３および図４は、アクセス管理システムの動作を示したフロー図である。

図３で示している最初のステップＳ１０は、クライアント３がサーバ１にアクセスするステップである。このステップにおいては、ユーザがクライアント３のＩＣカードリーダライタ３１にＩＣカード２を装着し、クライアント３のブラウザ３３を操作することで、クライアント３はサーバ１にアクセスする。

次のステップＳ１１は、サーバ１がクライアント３に、ユーザ認証モジュール１１とＭＡＣアドレス取得モジュール１２を送信するステップである。このステップにおいては、クライアント３からサーバ１にアクセスがあると、サーバ１のアクセス管理マネージャ１０は、アクセスしたクライアント３に対して、ユーザ認証モジュール１１とＭＡＣアドレス取得モジュール１２を送信し、これらのモジュールはクライアント３で動作する。

次のステップＳ１２は、ユーザ認証モジュール１１が、ＩＣカード２を所持するユーザの正当を確認するステップである。このステップにおいては、クライアント３上で動作するユーザ認証モジュール１１は、クライアント３のブラウザ３３にＰＩＮを入力する画面を表示し、この画面にユーザがＰＩＮを入力することで、ユーザ認証モジュール１１は、ユーザからＰＩＮを取得する。そして、取得したＰＩＮを含み、ＰＩＮ照合手段２１を動作させるコマンドをＩＣカード２に送信し、ＩＣカード２のＰＩＮ照合手段２１から、ＰＩＮの照合結果を得る。

ステップＳ１２おいて、ＰＩＮの照合に成功した場合はステップＳ１３に進み、ＰＩＮの照合に失敗した場合は、クライアント３とサーバ１とがセッションすることなく、この手順は終了する。

ＰＩＮの照合に成功した場合に実行されるステップＳ１３は、ＭＡＣアドレス取得モジュール１２が、クライアント３からＭＡＣアドレス３２を取得するステップである。このステップにおいては、ＰＩＮの照合に成功すると、クライアント３上でＭＡＣアドレス取得モジュール１２が動作し、ＭＡＣアドレス取得モジュール１２は、クライアント３からＭＡＣアドレス３２を取得する。

次のステップＳ１４は、ＭＡＣアドレス取得モジュール１２が、ＩＣカード２を用いて、取得したＭＡＣアドレス３２のデジタル署名を生成するステップである。このステップにおいては、ＭＡＣアドレス取得モジュール１２は、ステップＳ１３で取得したＭＡＣアドレス３２を含み、デジタル署名生成手段２２を動作させるコマンドをＩＣカード２に送信し、ＩＣカード２に記憶された秘密鍵２３を用いて生成されたＭＡＣアドレス３２のデジタル署名を取得する。

次のステップＳ１５は、ＭＡＣアドレス取得モジュール１２が、ＩＣカード２に記憶された公開鍵証明書２４と、デジタル署名が付加されたクライアント３のＭＡＣアドレス３２をサーバ１に送信するステップである。このステップにおいては、ＭＡＣアドレス取得モジュール１２は、ＩＣカード２から公開鍵証明書２４を読出し、ステップＳ１３で取得したＭＡＣアドレス３２に、ステップＳ１４でＩＣカード２から取得したデジタル署名を付加し、これらの情報をサーバ１に送信する。

図４で示した次のステップＳ１６は、サーバ１のアクセス管理マネージャ１０が、受信したＭＡＣアドレス３２が登録済ＭＡＣアドレス１６として、データベース１４に記憶されているか確認するステップである。このステップにおいて、アクセス管理マネージャ１０は、ＭＡＣアドレス３２と共に受信した公開鍵証明書２４に含まれるユーザＩＤ２６をキーとして登録済ＭＡＣアドレス１６を探索し、受信したＭＡＣアドレス３２と同じアドレスが登録済ＭＡＣアドレス１６として記憶されていないか確認する。

ステップＳ１６おいて、受信したＭＡＣアドレス３２がデータベース１４に登録されている場合はステップＳ２０に進み、登録されていない場合はステップＳ１７に進む。

受信したＭＡＣアドレス３２がデータベース１４に登録されていないときに実行されるステップＳ１７は、アクセス管理マネージャ１０が、ＭＡＣアドレス３２共に受信した公開鍵証明書２４を検証するステップである。このステップにおいては、アクセス管理マネージャ１０は、デジタル署名検証モジュール１３に依頼し、データベース１４に記憶されている認証局公開鍵１５を用い、公開鍵証明書２４に含まれるデジタル署名を検証する。

ステップＳ１７おいて、公開鍵証明書２４の検証に成功した場合はステップＳ１８に進み、失敗した場合はステップＳ２１に進む。

公開鍵証明書２４のデジタル署名の検証に成功した場合に実行されるステップＳ１８は、サーバ１のアクセス管理マネージャ１０が、ＭＡＣアドレス３２に付加されたデジタル署名を検証するステップである。このステップにおいては、アクセス管理マネージャ１０は、デジタル署名検証モジュール１３に依頼し、公開鍵証明書２４に含まれる公開鍵２５を用い、ＭＡＣアドレス３２に付加されたデジタル署名を検証する。

ステップＳ１８おいて、ＭＡＣアドレス３２に付加されたデジタル署名の検証に成功した場合はステップＳ１９に進み、失敗した場合はステップＳ２１に進む。

ＭＡＣアドレス３２に付加されたデジタル署名の検証に成功した場合に実行されるステップＳ１９は、サーバ１のアクセス管理マネージャ１０が、ＭＡＣアドレス３２と受信した公開鍵証明書２４に含まれるユーザＩＤ２６とをデータベース１４に記憶するステップである。このステップにおいては、アクセス管理マネージャ１０は、ユーザＩＤ２６に関連付けて、データベース１４にＭＡＣアドレス３２を登録済ＭＡＣアドレス１６として記憶する。

ステップＳ１６でデータベース１４にＭＡＣアドレス３２が登録されていたとき、または、ステップＳ１９の後に実行されるステップＳ２０は、サーバ１のアクセス管理マネージャ１０が予め定められた規則に従い、サーバ１とクライアント３のセッションを管理するステップで、ステップＳ２０をもってフローは終了する。

このステップにおいては、例えば、アクセス管理マネージャ１０は、受信したＭＡＣアドレス３２が、予め信頼性が確認されているクライアント３（例えば、会社に設置されたクライアント３）の場合は、クライアント３とサーバ１間のセッション可能な時間を８時間とし、予め信頼性が確認されていないクライアント３（例えば、ネットカフェに設置されたクライアント３）の場合は、クライアント３とサーバ１間のセッション可能な時間を１時間に限定するなどの管理を行う。

また、ステップＳ１７で公開鍵証明書２４の検証に失敗した場合、もしくは、ステップＳ１８でＭＡＣアドレス３２に付加されたデジタル署名の検証に失敗した場合に実行されるステップＳ２１においては、アクセス管理マネージャ１０は、クライアント３とサーバ１間のセッションを否認してフローはを終了する。

アクセス管理システムのシステム構成を説明する図。アクセス管理システムのブロック図。アクセス管理システムの動作を示したフローの第１図。アクセス管理システムの動作を示したフローの第２図

符号の説明

１サーバ
１０アクセス管理マネージャ
１１ユーザ認証モジュール
１２ＭＡＣアドレス取得モジュール
１３デジタル署名検証モジュール
１４データベース
１５認証局公開鍵
１６登録済ＭＡＣアドレス
２ＩＣカード
２１ＰＩＮ照合手段
２２デジタル署名生成手段
２３秘密鍵
２４公開鍵証明書
２５公開鍵
２６ユーザＩＤ
３クライアント
３１ＩＣカードリーダライタ
３２ＭＡＣアドレス
３３ブラウザ

Claims

予めサーバの利用が許可されているユーザによって所持され、ＰＩＮを照合する手段と、公開鍵暗号方式の秘密鍵を用いて、あるメッセージに対するデジタル署名を生成する手段を備え、前記秘密鍵と対になる公開鍵と前記ユーザのユーザＩＤを含む公開鍵証明書を記憶している認証デバイスを用いて、前記サーバがネットワークに接続されたクライアントのアクセスを管理するアクセス管理方法であって、
ａ）前記サーバが、前記サーバにアクセスする前記クライアントへクライアント識別情報を取得するモジュールと前記ユーザを認証するモジュールを送信し、前記ユーザを認証するモジュールが、前記ユーザから取得したＰＩＮを前記認証デバイスに照合させ、ＰＩＮの照合に成功すると、前記クライアント識別情報を取得するモジュールが、前記クライアントの前記クライアント識別情報のデジタル署名を前記認証デバイスに生成させ、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて生成されたデジタル署名を付加した前記クライアントの前記クライアント識別情報と前記認証デバイスから読み取った前記公開鍵証明書を前記サーバへ送信するステップ、
ｂ）デジタル署名が付加された前記クライアント識別情報と前記公開鍵証明書を取得すると、前記サーバが、取得した前記公開鍵証明書に含まれるユーザＩＤをキーとして、取得した前記クライアント識別情報が前記サーバに登録されているか確認し、取得した前記クライアント識別情報が登録されていない場合は、取得した前記クライアント識別情報のデジタル署名を取得した公開鍵証明書の公開鍵を用いて検証し、デジタル署名の検証に成功すると、取得した前記公開鍵証明書に含まれるユーザＩＤに関連付けて取得した前記クライアント識別情報を前記サーバに登録するステップ、
ｃ）前記ステップｂ）で取得した前記クライアント識別情報のデジタル署名の検証に成功した場合、又は、取得した前記クライアント識別情報が前記サーバに登録されていた場合、前記サーバが前記クライアントのアクセスを許可するステップ、を含むことを特徴とするアクセス管理方法。
予めサーバの利用が許可されているユーザが所持し、公開鍵基盤の機能を備えた認証デバイスを用いて、ネットワークに接続されたクライアントのアクセスをサーバが管理するアクセス管理システムであって、
前記認証デバイスは、前記認証デバイスに記憶された前記ユーザの秘密鍵を用いて、指定されたメッセージのデジタル署名を生成するデジタル署名生成手段と、ＰＩＮを照合するＰＩＮ照合手段を備え、前記秘密鍵と対になる公開鍵と前記ユーザのユーザＩＤを含む公開鍵証明書を記憶し、
前記クライアントは、前記認証デバイスとデータ通信するリーダライタを備え、
前記サーバは、アクセスした前記クライアントに送信するプログラムとして、前記クライアントに備えられた前記リーダライタを操作して、前記認証デバイスの前記ＰＩＮ照合手段を用いて、前記ユーザから取得したＰＩＮを照合する第２のプログラムと、前記第２のプログラムがＰＩＮの照合に成功すると、前記クライアントに備えられた前記リーダライタを操作して、前記ネットワーク上で前記クライアントを識別する情報であるクライアント識別情報のデジタル署名を、前記認証デバイスの前記デジタル署名生成手段を用いて生成し、このデジタル署名が付加された前記クライアント識別情報と前記認証デバイスから読み取った前記公開鍵証明書を前記サーバに送信する第１のプログラムを備え、更に、前記第１のプログラムによって送信された前記クライアント識別情報のデジタル署名を検証するデジタル署名検証手段と、デジタル署名が付加された前記クライアント識別情報と前記公開鍵証明書が前記第１のプログラムから送信されると、取得した前記公開鍵証明書に含まれるユーザＩＤをキーとして、送信された前記クライアント識別情報が前記サーバに登録されているか確認し、送信された前記クライアント識別情報が登録されていない場合は、前記クライアント識別情報に付加されたデジタル署名を前記デジタル署名検証手段に検証させ、デジタル署名の検証に成功すると、送信された前記公開鍵証明書に含まれるユーザＩＤに関連付けて送信された前記クライアント識別情報を前記サーバに登録し、前記デジタル署名検証手段が前記クライアント識別情報のデジタル署名の検証に成功した場合、又は、前記クライアント識別情報が前記サーバに登録されていた場合に前記クライアントのアクセスを許可するアクセス管理手段を備えていることを特徴とするアクセス管理システム。