JP4882860B2 - アクセス制御システム - Google Patents

Description

本発明は，通信を経由して情報システムを利用する際の，アクセス制御の方法およびシステムに関する。

ネットワークを通じて通信装置（以下，通信装置を端末ということがある）が通信を行う場合に，通信先端末が通信元端末の利用者に応じて，提供する機能や情報の種類や範囲を制御することはよく行われる。たとえば，通信先端末が銀行口座の照会サービスを提供する端末であった場合には，通信先端末から通信元端末に提供する情報は，通信元端末の利用者に属する口座の情報に限定することが通常であろうし，その利用者が契約している口座の種類などに応じて，提供する機能を変化させることもある。このような制御を行う場合，その前提として，通信先端末は通信元端末の利用者を識別する必要がある。

一方，通信でやり取りされる情報の目的や種類によっては，通信に暗号化を施し，盗聴などの危険から防御する必要がある。暗号化通信を行うためには，通信元端末と通信先端末とが，暗号化通信のための設定情報と暗号鍵を共有する必要がある。複数の端末間で通信を行うためには，それぞれの端末に対して上記共有を行う必要があり，各端末における処理負荷が高くなってしまうことが課題である。

この課題に対し，特許文献１では，管理サーバにおいて各端末を認証し，管理サーバから各端末間の暗号化通信のための設定情報や暗号鍵を配布することによって解決する方法およびシステムが提案されている。

また一方，多くの情報システムにおいては，機能構成をモジュール化や階層化することによって，システム構成の標準化を図り，機能部品の再利用を図ったり，相互運用性を高めたりすることがよく行われる。ネットワークを通じた端末間の通信を行うシステムにおいても，暗号化などの通信の制御を行う階層と，通信によって提供される情報や機能を制御する階層とを分けて構成することがある。そのような構成をとる場合，各端末において，暗号化などの通信の制御を行う機能部と，通信によって提供される情報や機能を制御する機能部とも分けて構成されることが多くなる。

米国特許出願公開第2005/0226424号明細書

上述の通り，情報システムにおいて，暗号化などの通信の制御を行う階層と，通信によって提供される情報や機能を制御する階層とが分けて構成され，かつ，特許文献１が示す方法によって暗号化などの通信の制御が行われる場合において，通信によって提供される情報や機能を制御する通信先端末の機能部は，通信元端末の利用者を，通信元端末と個別に情報を取り交わすことによって認証する必要がある。

このような場合の利用者の認証は，下位階層における暗号化などの通信の制御における端末もしくは端末の利用者の認証と，独立した上位階層の処理として実施されることになるため，両者の間で齟齬が生じる可能性がある。たとえば，通信元端末の利用者Ａの権限で通信先端末との間で開設した暗号化通信路の上で，提供される情報や機能を制御する機能部に対しては，利用者Ｂとして通信先端末の機能を利用するようなことも起こりうる。このため，責任の所在が不明確になったり，それを防止するために利用者の認証を，階層を越えて厳密に行う必要になり，処理が煩雑になったりする。

また，提供される情報や機能を制御する機能部において，利用者が誰であるかによって，暗号化などの通信の制御に要求する項目に違いが生じることもありうる。たとえば，利用者Ａに対しては機密性の低い情報のみを提供するが，利用者Ｂは機密性の高い情報も提供する可能性があるような場合がある。このような場合に，たとえば機密性の低い情報のみを提供する利用者Ａには，暗号化通信路に用いる暗号強度は低くとも処理負荷が軽いものを適用し，一方機密性の高い情報を提供する可能性がある利用者Ｂに対しては，処理負荷が高くとも暗号強度が高いものを適用するなどの制御によって，全体の処理負荷を適正なものにすることが考えられる。

しかし，上段で述べたように，暗号化などの通信の制御と，通信によって提供される情報や機能の制御とが独立して行われる場合，下位階層における暗号化などの通信の制御において，上位階層のどの様な通信の場合にも十分な暗号強度が適用されるようにするためには，最も高い要求にも応えられる強度の暗号を適用する必要が生る。これによって，低い暗号強度であっても十分な通信に対しては，過剰な強度の暗号化が行われる事になり，端末などにおける処理負荷が高まることになりかねない。

本願発明は，上記課題を解決する，認証対象の明確化が，処理負荷を高めることなく簡単に行えるアクセス制御システムを提供する。より具体的には，情報システムにおいて，暗号化などの通信の制御を行う階層と，通信によって提供される情報や機能を制御する階層とが分けて構成される場合に，階層間の認証結果に齟齬が生じない，アクセス制御方法およびシステムを提供する。

すなわち，本発明が提供するアクセス制御システムは，管理サーバが通信要求元端末あるいは通信要求元端末の利用者を認証し，かつ管理サーバが通信要求先端末あるいは通信要求先端末の利用者を認証し，かつ通信要求元端末と通信要求先端末のそれぞれが要求する通信設定のうちから一致するものを管理サーバが選択し，かつ選択した通信設定に基づいた通信路を確立するための情報を通信要求元端末と，通信要求先端末のそれぞれに管理サーバから通知するとともに，管理サーバが通信要求元端末あるいは通信要求元端末の利用者の認証に基づいて判定した，通信先端末に対する利用者を識別する情報を，管理サーバから通信要求先端末に対して送付する。

さらに，通信要求先端末は，暗号化通信を制御する通信管理部と，通信要求元端末に提供する情報あるいは機能を制御するアプリケーション部とからなり，前記通信管理部は，管理サーバから通信要求元端末との間で通信路を確立するための情報と，前記アプリケーション部の動作を決定する要因のひとつとなる，通信要求元端末の通信先端末に対する利用者を識別する情報を受け取り，前記通信路を確立するための情報に基づいて，前記通信要求元端末との間で通信路を確立し，さらに前記利用者を識別する情報を前記アプリケーション部に渡し，さらに前記アプリケーション部は前記利用者を識別する情報に基づいて，前記通信要求元端末に提供する情報あるいは機能を制御する。

さらに，前記通信先端末に対する利用者を識別する情報に代えて，前記通信先端末に対する利用者を識別する情報に対応する符号を管理サーバから通信要求先端末に送付し，かつ管理サーバは通信要求先端末から前記通信先端末に対する利用者を識別する情報に対応する符号とともに前記通信先端末に対する利用者を識別する情報の要求をうけたときに，前記通信先端末に対する利用者を識別する情報を前記通信先端末に送付する。

さらに，管理サーバは管理サーバ通信要求元端末に対して行う通信要求元端末，あるいは通信要求元端末の利用者の認証において確認した事柄から，通信要求先端末に対する利用者を識別する情報を判定するための対応情報を持つ。

さらに，通信要求元端末の通信管理部は，通信要求元端末から受け取った情報に，前記利用者を識別する情報を付け加えて渡すことで，前記通信要求元端末のアプリケーション部に前記利用者を識別する情報を渡す。

さらに，通信要求元端末の通信管理部は，前記通信要求元端末のアプリケーション部が用意するインタフェースに前記利用者を識別する情報を送付することで，前記通信要求元端末のアプリケーション部に前記利用者を識別する情報を渡す。

さらに，通信要求元端末の通信管理部は，前記利用者を識別する情報を渡すためのインタフェースを用意し，前記通信要求元端末のアプリケーション部が，前記インタフェースから前記利用者を識別する情報を読み取ることで，前記通信要求元端末のアプリケーション部に前記利用者を識別する情報を渡す。

上記態様によれば，管理サーバが，通信要求元端末あるいはその利用者に対して行った認証に基づいて通信要求先端末のアプリケーションに対する利用者ＩＤを判定し，通信要求元端末と通信要求先端末の間で確立する暗号化通信路に要する設定情報とともに，通信要求先端末に伝達することによって，通信の制御を行う層とアプリケーション層とで齟齬が生じることを防止する。

アプリケーション部は，通信管理部から利用者ＩＤを入手することによって，アプリケーション部自身によって通信要求元の利用者ＩＤを確認するための認証処理を行う必要がない。

本発明によれば，処理負荷を高めることなく，簡単に，認証対象の明確化が行え，責任の所在を明確にすることが可能になる。

以下，本発明の実施例を，図面を用いて説明する。なお，本発明の実施の形態は，この実施例に限定されるものではない。

図１は，本発明の実施の一形態かかわるアクセス制御システムの構成を示すブロック図である。図１のシステムは，ネットワークに少なくとも管理サーバ装置（１０）（以下，管理サーバという）と，端末（３０，４０）とが，接続されている。なお端末は，この図では２台の端末を示しているが，２台以上の端末が接続されていても差し支えない。

なお，図１に示す管理サーバ１０と，端末３０，端末４０の各装置と，これら装置が備える各機能は，たとえば図４に示すような，ＣＰＵ６１と，メモリ６２とハードディスクなどの外部記憶装置６３と，インターネットなどのネットワークやＬＡＮ（以下，ネットワークという）５０を介して，他装置と通信を行うための通信装置６４と，キーボードやマウスなどの入力装置６５と，モニタやプリンタなどの出力装置６６と，可搬性を有する記憶媒体６８から情報を読み取る読取装置６７と，これらの各装置間のデータ送受を行うバス６０を備えた計算機において，ＣＰＵ６１がメモリ６２上にロードされた所定のプログラムを実行することにより，実現できる。

これらのプログラムは，あらかじめ，上記電子計算機内のメモリ６２または外部記憶装置６３に格納されていてもよいし，必要なときに，上記電子計算機が利用可能な，着脱可能な記憶媒体６８または通信媒体（ネットワーク５０など，またはそれらの上を伝播する搬送波やデジタル信号など）を介して導入されてもよい。

本実施例では，端末は図４に示されるような構成により実現できるとしているが，本発明はそれに限定されるものではなく，例えば，一部またはすべてをハードウェアで構成しても構わない。

それぞれの端末の機能は，暗号化などの通信の管理を行う通信管理部（３１，４１）と通信によって提供される情報や機能をつかさどるアプリケーション部（３２，４２）とから少なくとも構成される。通信管理部は暗号化などの通信の制御を行う階層の機能に対応し，アプリケーション部は通信によって提供される情報や機能を制御する階層に対応する。すなわち，通信管理部による制御によって開設された暗号化通信路を用いて，アプリケーション部がひとつの端末から他方の端末に対して情報や機能を提供することになる。

また，アプリケーション部はひとつの端末において複数存在することがありえる。

図２と図３に示す処理の流れによって，端末３０と端末４０は暗号化通信路を確立し，アプリケーション部の間での通信が開始される。以下，この手順に沿って，実施の方法を示す。

なお，この手順においては，端末３０のアプリケーション部が，端末４０のアプリケーション部が提供する情報や機能の提供を受ける場合を例としている。

まず，ステップ２１００において，端末３０と管理サーバ１０との間で暗号化通信路の確立がなされる。通常の技術レベルを有する当業者にとって，特許文献１とからこのような暗号化通信路を端末と管理サーバの間で確立する方法については明らかであり，詳細の説明はここでは省略する。

なお，このステップ２１００においては，暗号化通信路の確立に先立って，端末３０と管理サーバ１０の間で認証処理が行われ，管理サーバ１０は端末３０の認証を行うものとする。

端末と管理サーバとの間の認証はシステムが前提とするセキュリティレベルに合致するものであれば，特定の認証プロトコルやアルゴリズムに限定はしない。本実施例では，特許文献１と同様に，公開鍵暗号と，それに対する公開鍵証明書による認証を行うこととする。しかし，ＩＤとパスワードによる認証や生体認証などの，公開鍵暗号と公開鍵証明書以外の手段による認証を用いることもできる。

この認証処理によって，管理サーバ１０は，端末３０の利用者が，管理サーバ１０が利用者ＩＤ ＤＢ（１０９）で管理する管理サーバでの利用者ＩＤのどのＩＤに対応する利用者であるかを把握する。

次にステップ２１０２で端末３０のアプリケーション部から端末４０のアプリケーション部に対する接続要求が発生し，端末３０から端末４０への接続要求が送信される。端末３０のアプリケーション部は，たとえばＷｅｂブラウザのような汎用的な用途のアプリケーションであってもよく，あるいは端末４０が提供する特定の情報や機能の利用に特化した，特定用途向けのアプリケーションであってもよい。

端末３０のアプリケーション部が，端末４０のどのアプリケーション部に対する接続要求を行っているのかは，たとえば端末３０と端末４０の接続が，ＴＣＰ／ＩＰを用いた通信によって行われる際に，端末４０側のネットワークのポート番号をアプリケーションと対応させ，どのポート番号に対する接続要求であるかによって，識別することが可能である。

端末３０から送信された接続要求は管理サーバ１０で受信され（ステップ２１０４），管理サーバ１０はアドレスＤＢから端末１０のＩＰアドレスを検索する。

次に，管理サーバ１０は，端末３０の認証によって把握した管理サーバ１０における端末３０の利用者ＩＤから，利用者ＩＤ ＤＢ（１０９）を参照することで，端末３０での利用者ＩＤに対応する，端末３０が要求している端末４０のアプリケーションでの利用者ＩＤの探索をおこなう。（ステップ２１０８）
次に，管理サーバ１０は，端末３０が接続しようとしているアプリケーションに応じて，端末３０と端末４０のそれぞれがどのような暗号化通信路の設定を要求するかを，設定情報ＤＢからアプリケーション種別に応じた優先度付きの設定情報を探索する。それぞれの端末が要求する設定情報は，設定情報ＤＢ（１１１）を探索することでわかるため，ＤＢを探索して得られた設定情報の候補の中で一致する設定上の組み合わせの中から，たとえば，優先順位の高いものほど小さな数字が割り振られるように優先順位付けがなされている場合に，双方の要求する優先順位の和が最小になる組み合わせを選ぶことによって，決定する。

一致する情報があった場合は（ステップ２１１２）管理サーバ１０と端末４０との間で確立された暗号化通信路を用いて，管理サーバ１０は，端末４０に，端末３０から端末４０の特定のアプリケーション部に対して，接続要求がなされていることを知らせる接続要求を送信する（ステップ２１１６）。一致する情報が無かった場合には，接続要求を拒絶する。

端末４０の通信管理部がこの接続要求を受信すると（ステップ２１１８），端末４０は端末３０から端末４０への接続の可否を判定し（ステップ２１２０），判定結果を管理サーバに通知する（ステップ２１２２，２１２４）。

管理サーバは判定結果を端末３０に転送する。（ステップ２１２６，２１２８）判定結果が接続を許可するものであったときに（ステップ２１３０，２１３２，２１３４），管理サーバ１０はステップ２１１０で探索した設定情報に基づいて暗号化通信用の鍵を生成し（ステップ２１３６），管理サーバ１０から端末３０と端末４０のそれぞれに対して暗号化通信用の鍵と設定情報を送信する。このとき，管理サーバは，端末４０に対して，設定情報と同時に，ステップ２１０８で探索した，端末４０のアプリケーションにおける利用者ＩＤを通知する。

端末３０と端末４０の通信管理部はこの鍵と設定情報を受信して，それぞれで暗号化通信路を確立するための準備を行い，管理サーバを介さない暗号化通信路を端末３０と端末４０のそれぞれのアプリケーションの間で確立する（ステップ２１４４）。

端末４０においては，通信管理部４１からアプリケーション部４２に対して，管理サーバから通知された端末４０のアプリケーションにおける利用者ＩＤを伝達することで，アプリケーション部４２は端末３０に対して提供する情報や機能を，この伝達された利用者ＩＤに基づいて制御することが可能となる。

たとえば，アプリケーション部４２が提供する情報が，利用者の銀行口座情報であった場合に，銀行口座を有する利用者に口座情報を提供するアプリケーション部と，利用者の情報参照アプリケーション部との間の通信を考える。銀行口座を有する利用者であることを確認し，暗号化通信路を確立するまでが，ステップ２１４４までで実現される通信の制御を行う層に対する処理である。アプリケーション部４２が，確立された通信路を用いて，ステップ２１４４までに確認したユーザＩＤに対応した口座情報の提供を行うことが，アプリケーション層に対する処理である。

通信管理部４１からアプリケーション部４２への利用者ＩＤの伝達方法は，通信管理部４１とアプリケーション部４２との間で取り決めた伝達方法によってなされる。たとえば，アプリケーション部４２が利用者ＩＤを受け取るためのインタフェースを用意し，通信管理部４１がそのインタフェースに対して利用者ＩＤを通知することで実現してもよい。

あるいは，通信管理部４１が利用者ＩＤを渡すためのインタフェースを用意し，アプリケーション部４２がそのインタフェースから利用者ＩＤを読み取ることで実現してもよい。

あるいは，通信管理部４１からアプリケーション部４２に対して渡される，端末３０から受信した情報に対してヘッダ情報として利用者ＩＤを付加して渡すこととしてもよい。

また，上記の説明では，管理サーバから端末４０に対して，利用者ＩＤはステップ２１４０，２１４２で伝達される暗号化通信用鍵と設定情報とともに伝達されることとしたが，これに変えて，ステップ２１１６，２１１８で伝達される接続要求とともに伝達されることとしてもよい。

さらに，ステップ２１１６，２１１８または２１４０，２１４２で伝達される情報は利用者ＩＤそのものではなく，管理サーバ１０が利用者ＩＤに対して決めた一時的な符号を渡し，端末４０の通信管理部４１またはアプリケーション部がこの一時的な符号を用いて管理サーバ１０に問い合わせを行うことで，管理サーバが端末４０に対して利用者ＩＤを伝達することとしてもよい。

さらに，図６に示した端末３０と端末４０の設定情報において，アプリケーション種別，設定情報，優先順位に加えて，利用者ＩＤの項目を管理し，端末３０が接続要求するアプリケーション種別と端末３０の利用者ＩＤの組み合わせに対して設定されている設定情報から，端末３０と端末４０の双方で一致する設定を選ぶことによって決定することとしてもよい。

さらに，図７に示した利用者ＩＤ ＤＢにおいて，管理サーバでの利用者ＩＤ，アプリケーション種別，アプリケーションでの利用者ＩＤに加え，アプリケーションでの利用者グループＩＤを管理し，さらに，図６に示した端末３０と端末４０の設定情報において，アプリケーション種別，設定情報，優先順位に加えて，利用者グループＩＤの項目を管理し，端末３０が接続要求するアプリケーション種別と端末３０の利用者グループＩＤの組み合わせに対して設定されている設定情報から，端末３０と端末４０の双方で一致する設定を選ぶことによって決定することとしてもよい。

また，上記の説明において，認証は端末の利用者を対象として行うこととしたが，端末機器そのものを対象として行うこととしてもよい。

実施例におけるシステムを示した説明図である。 端末３０が，端末４０と接続処理を行う際に，管理サーバ１０が，端末３０と端末４０が登録した設定情報から一致するものを探す処理手順と，端末４０における利用者ＩＤを探す処理手順とを示すフロー図である。 管理サーバ１０が，端末３０と端末４０の間の暗号化通信用の鍵を生成し，端末３０と端末４０に配布する処理手順を示すフローチャートである。 管理サーバ１０，端末３０，端末４０の各々のハードウェア構成例を示す図である。 管理サーバ１０が保持するアドレスＤＢ１１２の内容の例である。 管理サーバ１０が保持する設定情報ＤＢ１１１の内容の例である。 管理サーバ１０が保持する利用者ＩＤ ＤＢ１０９の内容の例である。

符号の説明

１０：管理サーバ
３０，４０：端末
５０：ネットワーク
３１，４１：通信管理部
３２，４２：アプリケーション部
１０９：利用者ＩＤ ＤＢ
１１１：設定情報ＤＢ

Claims (7)

1. 少なくとも一組の端末間で暗号化通信を確立するアクセス制御システムであって，
   管理サーバが通信要求元端末あるいは通信要求元端末の利用者を認証し，
   かつ通信要求元端末と通信要求先端末のそれぞれが要求する通信設定のうちから一致するものを管理サーバが選択し，
   かつ選択した通信設定に基づいた通信路を確立するための情報を通信要求元端末と，通信要求先端末のそれぞれに管理サーバから通知するとともに，
   管理サーバが通信要求元端末あるいは通信要求元端末の利用者の認証に基づいて判定した，通信要求先端末に対する利用者を識別する情報を，管理サーバから通信要求先端末に対して送付することを特徴とするアクセス制御システム。
2. 請求項１に記載のアクセス制御システムであって，
   通信要求先端末は，暗号化通信を制御する通信管理部と，通信要求元端末に提供する情報あるいは機能を制御するアプリケーション部とからなり，
   前記通信管理部は，
   管理サーバから通信要求元端末との間で通信路を確立するための情報と，前記アプリケーション部の動作を決定する要因のひとつとなる，通信要求元端末の通信要求先端末に対する利用者を識別する情報を受け取り，
   前記通信路を確立するための情報に基づいて，前記通信要求元端末との間で通信路を確立し，
   前記利用者を識別する情報を前記アプリケーション部に渡し，
   前記アプリケーション部は
   前記利用者を識別する情報に基づいて，前記通信要求元端末に提供する情報あるいは機能を制御する
   ことを特徴とするアクセス制御システム。
3. 請求項１に記載のアクセス制御システムであって，
   前記通信要求先端末に対する利用者を識別する情報に代えて，前記通信要求先端末に対する利用者を識別する情報に対応する符号を管理サーバから通信要求先端末に送付し，
   かつ管理サーバは通信要求先端末から前記通信要求先端末に対する利用者を識別する情報に対応する符号とともに前記通信要求先端末に対する利用者を識別する情報の要求をうけたときに，
   前記通信要求先端末に対する利用者を識別する情報を前記通信要求先端末に送付することを特徴とするアクセス制御システム。
4. 請求項１に記載のアクセス制御システムであって，
   前記管理サーバは，管理サーバ通信要求元端末に対して行う通信要求元端末，あるいは通信要求元端末の利用者の認証において確認した事柄から，通信要求先端末に対する利用者を識別する情報を判定するための対応情報を持つことを特徴とするアクセス制御システム。
5. 請求項２に記載のアクセス制御システムであって，
   通信要求元端末の通信管理部は，
   通信要求元端末から受け取った情報に，前記利用者を識別する情報を付け加えて渡すことで，前記通信要求元端末のアプリケーション部に前記利用者を識別する情報を渡すことを特徴とするアクセス制御システム。
6. 請求項２に記載のアクセス制御システムであって，
   通信要求元端末の通信管理部は，
   前記通信要求元端末のアプリケーション部が用意するインタフェースに前記利用者を識別する情報を送付することで，前記通信要求元端末のアプリケーション部に前記利用者を識別する情報を渡す
   ことを特徴とするアクセス制御システム。
7. 請求項２に記載のアクセス制御システムであって，
   通信要求元端末の通信管理部は，前記利用者を識別する情報を渡すためのインタフェースを用意し，
   前記通信要求元端末のアプリケーション部が，前記インタフェースから前記利用者を識別する情報を読み取り，
   前記通信要求元端末のアプリケーション部に，前記利用者を識別する前記情報を渡すことを特徴とするアクセス制御システム。

Images