JP5380063B2

JP5380063B2 - Ｄｒｍシステム

Info

Publication number: JP5380063B2
Application number: JP2008324493A
Authority: JP
Inventors: 貴史山崎
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2008-12-19
Filing date: 2008-12-19
Publication date: 2014-01-08
Anticipated expiration: 2028-12-19
Also published as: JP2010146400A

Description

本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに関し、特にＵＳＢトークンを用いたセキュアなＤＲＭシステムに関する。

個人情報保護法の施行に伴い、各企業においても情報漏洩対策防止の為の各種対策の必要性を高まっている。しかしながら、依然として、情報漏洩事件は後を絶たないのが現実である。

最近では、文書を暗号化し権限のある者だけに操作を許可する認証技術だけでなく、文書配布後の動的なセキュリティコントロールを実現するＤＲＭ（Digital Rights Management）技術も普及しつつある。

図１は、ＤＲＭ技術を使用したシステムの概要を示す機能ブロック図である。ユーザが、ビューア・アプリケーション１ａがインストールされており、表示画面１ｂを有するクライアントＰＣ１を用いて、ポリシーと呼ばれるセキュリティ設定のセットを付与された文書を開こうとした際に、必ずネットワーク経由でＤＲＭサーバ２に認証処理（Ｌ１、Ｌ２）を行う仕組みである。さらに、ＤＲＭサーバ２に対して、ＡＤサーバ３と、ＤＢサーバ４とが接続されている（Ｌ３、Ｌ４）。このシステムでは、ユーザ認証、操作許可確認（開く、印刷などイベント通知）、閲覧期限の確認などを行う。ＤＲＭサーバ２は、ユーザ認証、閲覧期限の管理、イベントの監査、認証のポリシーの制御などを行う。ＡＤサーバ３は、内部ユーザ情報の保持を行う。ＤＢサーバ４は、データべース４ａを有しており、外部ユーザ情報の保持、管理者ユーザ情報の保持、ポリシー情報の保持、イベント情報の記録、などを行う。尚、ポリシーは文書単位で設定可能である。

ユーザは、クライアントＰＣ１からＩＤとパスワードとを入力することで、ビューア・アプリケーション１ａを用いて文書ファイルの閲覧のための認証を求め（Ｌ１）、ＤＲＭサーバ２から閲覧ＯＫの認証を受けた場合にのみ（Ｌ２）、閲覧が可能である。

このような認証デバイスを用いた二次認証システムにおいては、文書管理サーバと認証サーバとを組み合わせ、アプリケーション起動時における一次認証のみでなく、指紋認証等の更なる認証（以下、「二次認証」という）を受けることで文書データを表示させることができる。尚、二次認証が解除された状態では、文書データを表示することが出来ない。
このような技術に関連する文献としては、下記特許文献１があげられる。

特開２００４−２９５６３２号公報

ところで、ＤＲＭ技術を使用した製品は、文書配布後の動的なセキュリティコントロールを実現することができるが、情報漏洩を完全に防止できるわけではない。

１）ＤＲＭ技術を使用した製品では、Readerアプリケーションによる文書閲覧時の認証はＩＤとパスワードとを入力することによる認証で行う。その為、ＩＤとパスワードとが漏えいした場合に、そのユーザが閲覧できる文書については、当該ユーザになりすまして、全て閲覧可能となってしまう。また、誰がなりすましたか（文書（機密情報）を入手したか）についても、事実上特定できない可能性が高いという問題がある。

２）文書（機密情報）が漏えいした事実も、不正な第３者がなりすまして、ＤＲＭサーバ２に認証を求めた時点では気がつかずに、その事実をユーザが認識した時点で初めて不正なアクセスが行われたことに気が付く。つまり、不正なアクセスに対しては、事後対策となり、ユーザが認識した時点から後の対応となるため、不正なアクセス後から気が付くまでの間に情報が漏えいする可能性は非常に高いという問題がある。

３）ＩＤとパスワードとが第３者に漏えいした場合に、当該ユーザが閲覧権限のある文書を全て失効とする必要がある。しかしながら、ユーザが閲覧権限のある文書を全て探し出すのは現実的に難しいという問題がある。

４）ＤＲＭサーバでは、一度保護されたファイルを開くと、ReaderアプリケーションによるViewerの動作を終了させない限り、そのユーザが閲覧権限のある文書は、その語の認証処理が無くても継続して閲覧できてしまうという問題がある。例えば、ユーザの離席時にViewerを終了するのを忘れた場合には、他の文書を第３者に不正にアクセスされる可能性がある。

また、ポリシー付きファイルを、ＩＤやパスワードと一緒にウェブページに掲載された場合や、Winny等により共有された場合には、誰でも文書を見ることができる。

類似の事例として、文書管理サーバと認証サーバとの二次認証の事例があるが、二次認証を利用したＤＲＭ製品は現状では存在しない。

また、ユーザが席をはずすときにカード等を用いて一時的に二次認証を解除することにより、悪意のあるユーザによる不正使用を防止することも可能である。しかしながら、Viewer を終了させない限り、そのユーザが閲覧権限のある文書は認証無しに閲覧出来てしまうという問題については解決できない。

本発明の目的は、従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても、情報漏洩を防ぐことを目的とする。また、情報漏洩時の被害拡大対策を迅速に行うことを目的とする。

本発明の一観点によれば、サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、ＰＩＮコードを格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記ＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、クライアントの認証・権限を保持するＤＲＭサーバ（認証サーバ）と、ユーザのＩＤ、パスワードを保持するＡＤサーバと、を有する認証システムであって、前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのＩＤ、パスワードに加えて、前記認証デバイスがもつＰＩＮと、生成した前記ワンタイムパスワードと、により、認証処理を行うことを特徴とするＤＲＭ認証システムが提供される。

前記認証デバイスを挿入した時点で前記クライアントＰＣを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することが好ましい。これにより、不正にアクセスされた際にもアクセス元のクライアントを特定することができる。

前記ＤＲＭサーバが前記ＰＩＮを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否かによる一次認証が行われ、次いで、前記ユーザのＩＤと前記パスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となることが好ましい。前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れるようにしても良い。これにより、再度前記認証デバイスの接続からやり直さない限り、認証を可として文書にアクセスすることができないように構成されている。

前記認証デバイスの接続を検出した後に、ある期間毎に接続を確認することが好ましい。前記クライアントからファイルを開く場合に、前記クライアントに前記認証デバイスを接続され、前記クライアントから前記ＤＲＭサーバに、まず前記ＰＩＮとMACアドレスが送信され、前記ＤＲＭサーバがワンタイムパスワードを前記クライアントに要求し、前記クライアント側でワンタイムパスワードを生成し、前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることが好ましい。同期がとれていなければ認証に失敗するので、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントでは見ることができない。

操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することが好ましい。操作とは、例えば、印刷や変更の操作などである。

同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントＰＣでは見ることができないようになる。

また、印刷や変更の操作を行う度に、前記認証デバイスの持っている情報である前記PINおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断するようにしても良い。

以上のように本発明の認証デバイスを用いたセキュアなＤＲＭシステムによれば、以下に示すような効果がある。

従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。

本明細書における用語について定義する。ワンタイムパスワード（One Time Password（OTP））とは、認証のために1回しか使えない「使い捨てパスワード」のことである。尚、ワンタイムパスワードの生成にはいくつかの方法があるが、SecurIDではサーバとの時刻同期を利用している。トークンと呼ばれるワンタイムパスワード生成器は、通常はキーホルダー型やPDAのソフトウェアなどになっており、あらかじめサーバと時刻を同期させておく。

トークンは、ユーザ固有のPIN（Personal Identification Number）もしくは暗証番号と時刻との組み合わせから、一見ランダムな１０桁程度の数字を生成する。この数字がワンタイムパスワードとして、サーバにログインする際に利用される。サーバは、トークンと同じアルゴリズムを用いて、パスワードが正規のユーザからのものであるかどうかを確認することができる。トークンが生成するパスワードは極めて短時間（例えば１分）ごとに変化するため、パスワードが万が一盗聴されたとしても、有効期間は最大でも1分程度しかない。そして、すべてのパスワードは繰り返し使われることなく使い捨てとなるため、高い安全性が保持できる。

本実施の形態による認証技術の特徴は、サーバとクライアントの時間の同期を取る為の時刻同期サーバと、ワンタイムパスワードを生成する為のＵＳＢトークンと、クライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）とその前提となる製品から構成されているシステムから成り、ＵＳＢトークンを挿入した時点で端末を特定するIP/MACアドレスを抜き出し、認証時にサーバに認証情報と一緒に送信する手段を有する。これにより、ＵＳＢトークンを紛失した時にも、紛失に気付いた時点で管理者に連絡することにより、ＵＳＢトークンを無効化することができ、最初のファイル閲覧時だけでなく印刷や変更の操作を行う度にＵＳＢトークンの持っている情報（ＰＩＮおよびワンタイムパスワード）による認証を必要とし、クライアントＰＣからＵＳＢトークンを抜いた時点で、リーダ等のビューア・アプリケーションのセッションが切れるように構成されている。従って、再度ＵＳＢトークンの認証からやり直さないと、文書が開けない。また、クライアントＰＣにおいてファイルが開かれる場合に、クライアントＰＣの時刻がＤＲＭサーバの時刻と同期が取れていなければ認証に失敗するようになっている。

図２は、認証デバイスとしてＵＳＢトークンを用いたワンタイムパスワード認証処理の原理を示す図である。ＵＳＢトークン２２は、演算処理をデータの記憶行う内蔵チップ２３を有している。表示画面２１ｂ、入力装置２１ｃを有するクライアントＰＣ２１のＵＳＢインターフェイスにＵＳＢトークン２２を差し込むと、内蔵チップ２３に記憶された暗号化処理部２２ｃは、ＵＳＢトークン内蔵の第１のタイマ２２ａによる時刻データ（例えば１分毎に変更する場合「200811241256」等）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、暗号化アルゴリズム（ＲＳＡ暗号、ＡＥＳ暗号等）を適用して、暗号化されたトークンコード２５ａ（通常は６桁のパスワード、例えば「As13dj」）を生成する。尚、ＵＳＢトークン固有シード値２２ｂは、通常、ＵＳＢトークン出荷時に一意な値が個別に付与されている。

次に内蔵チップ２３に記憶されたパスワード生成部（図示せず）は、トークンコード２５ａと、ユーザ個人を特定するＰＩＮコード２５ｂ（通常は４桁の個人識別番号、例えば「1012」）を結合させて、ワンタイムパスワード２６ａ（例えば「1012As13dj」）を生成する。尚、ＰＩＮコード２５ｂは、入力装置２１ｃによりユーザが入力する場合と、ＵＳＢトークン２２に内蔵されている場合の双方が考えられる。

このワンタイムパスワード２６ａがクライアントＰＣ２１によって、ＤＲＭサーバ２４に送信される（Ｌ１１）。

一方、ＤＲＭサーバ２４側では、暗号化処理部２４ｃが、サーバ内蔵の第２のタイマ２４ａによる時刻データ（例えば「200811241256」）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、ＵＳＢトークンに内蔵された暗号化アルゴリズムと同一の暗号化アルゴリズムを適用して、暗号化されたトークンコード２８ａ（例えば「As13dj」）を生成する。

次にパスワード生成部（図示せず）は、トークンコード２８ａと、ＰＩＮコード２８ｂ（例えば「1012」）を結合させて、ワンタイムパスワード２６ｂ（例えば「1012As13dj」）を生成する。このワンタイムパスワード２６ｂと、クライアントＰＣ２１から送信されたワンタイムパスワード２６ａとを比較することにより認証を行う。

尚、使用するＵＳＢトークンの固有シード値２３ｂ、ＰＩＮコード２５ｂは、あらかじめＤＲＭサーバ２４に登録されている。また、クライアントＰＣ２１側のトークンコード２５ａとＤＲＭサーバ２４側のトークンコード２８ａの時間差が一定時間以内（例えば１分以内）であれば、ＤＲＭサーバ２４側で時間のずれが認証時に自動補正される。

以下、本発明の一実施の形態による認証デバイスを用いたセキュアなＤＲＭシステムについて図面を参照しながら説明する。

図３は、本発明の一実施の形態による認証システムの一構成例を示す図である。本実施の形態による、認証デバイスを用いたよりセキュアなＤＲＭシステムは、サーバと、クライアント３０１、３０２、３０４とを有している。各クライアント３０１・３０２には、ブラウザ３０１ａ・３０２ａとがインストールされている。また、クライアント３０４には、ビューア・アプリケーション３０３がインストールされ、時刻同期エージェント３０４ａを備えている。クライアント３０４には、認証デバイスの一例であるＵＳＢトークン３０５が挿入されるＵＳＢインターフェイスが設けられている。ＵＳＢトークン３０５（一般的にはユーザが所持している）は、ワンタイムパスワードを生成するための認証デバイスである。

一方、ビューアファイル３０３ａを参照できるように、クライアント側と、インターネットなどのネットワーク３０６により接続されているサーバ側は、プロキシサーバ３０７と、このプロキシサーバ３０７を介して、時間の同期を取るための時刻同期サーバ３１０と、時刻同期エージェント３０４ａが備えられクライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）３１１と、その前提となるＡＤ（Active Directory）サーバ３１２、ＤＢ（データベース）サーバ３１３と、外部ユーザによるアクセス用のＳＭＴＰ（Simple Mail Transfer protocol）サーバ３０８と、バックアップ用のバックアップサーバ３０９と、から構成されている。

ＤＲＭサーバ（認証サーバ）３１１とクライアントＰＣ３０４とには、時刻同期エージェントがインストールされており、時刻同期サーバ３１０により、常に同期が取られている。時刻同期サーバ３１０内には、符号３１０ａで示すテーブルのように、ユーザＩＤ毎に、時刻とパスワードとが対になって格納されている。このように、時刻同期サーバ３１０はユーザ毎のワンタイムパスワードを管理しており、ＤＲＭサーバ３１１からの認証依頼があった際に、ユーザがＵＳＢトークン３０５によりトークンコードを生成した時刻と同じ時刻にトークンコードを生成する。その後、クライアント３０４とＤＲＭサーバ３１１との両者で当該クライアントのPINと組み合わせてワンタイムパスワードを生成する。両者で生成されたワンタイムパスワードが同一であれば認証は成功となる（一次認証）。

ＤＲＭサーバ（認証サーバ）３１１は、ポリシーと呼ばれるセキュリティ設定のセットに紐付いた各クライアントの権限情報を管理している。クライアントから認証情報が入力され送信されてきたときには、ＡＤサーバ３１２で管理している当該ユーザの本人確認を行う。本実施の形態では、認証時にＡＤサーバ３１２で管理している当該ユーザのＩＤ、パスワードだけでなく、ＵＳＢトークンのもつPINと生成したワンタイムパスワードの情報も必要とする（二次認証）。ここで、ＵＳＢトークンをクライアント３０４から抜きだした時点で、ＤＲＭ製品のセッションも切れるようになっており、ファイルを開くことができなくなる。

図４は、それぞれ、本実施の形態によるシステムにおける認証の仕組みを時系列にした図であり、図５は、その際のＧＵＩを形成する画面イメージを示す図である。
ユーザがクライアントＰＣ４３においてファイルを開く場合に、クライアントＰＣ４３にＵＳＢトークン４１を挿入されていることが処理の前提となる（ＵＳＢトークン４１が挿入されていない場合は、ＤＲＭシステムの認証画面に遷移することが出来ないようになっている）。ユーザが、クライアントＰＣ４３から、ビューア・アプリケーション４２によりファイルを開こうとした場合には、クライアントＰＣ４３からＤＲＭサーバ４４に対して、まずPINとMACアドレスが送信される（１）。それを受けて、ＤＲＭサーバ４４がワンタイムパスワードをクライアントＰＣ４３に要求する（２）。クライアントＰＣ４３側でワンタイムパスワードを生成し、ＤＲＭサーバ４４に送信する（３）。送信されてきたワンタイムパスワードとPINとを元に時刻同期サーバ４６に認証を要求する（４）。時刻同期サーバ４６には、ユーザＩＤ毎に、時刻とその時刻に生成されたパスワードとの対応表４６ａが格納されている。ここで、クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、クライアントＰＣ４３以外のクライアントＰＣではデータを見ることができない。クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていれば時刻同期サーバ４６における認証がOKとなり（４、５）、一次認証がＯＫとなり（６）、ＤＲＭシステムの認証画面がクライアントＰＣ４３の表示画面に表示される（図５（ａ）参照）。クライントＰＣ４３から、当該ユーザのユーザＩＤ５０２およびパスワード５０３が入力され（７）、ＤＲＭサーバ４４において認証が行われる。ここで、ＤＲＭサーバ４４からＡＤサーバ４５に対して、ＩＤとパスワードが送られ（７−１）、PINおよびワンタイムパスワードが同じものであるか否かをチェックしてから、ＡＤ（ユーザ認証）サーバ４５から、ＤＲＭサーバ４４に対して、二次認証がＯＫか否かを伝える。その際にPINおよびワンタイムパスワードも認証に用いることにより、認証時のセキュリティを高めることが出来る。ＤＲＭサーバ４４での認証も成功すると、その旨がクライアントＰＣ４３に伝えられ（８）、クライアントＰＣ４３における文書を閲覧可能となる。

尚、本実施の形態によるシステムでは、クライアントＰＣ４３からＵＳＢトークン４１を抜いた時点で、Viewerアプリケーション４２のセッションが切れるように構成されており、再度ＵＳＢトークンの認証からやり直さないと（９）、文書が開けない仕組みになっている。図５（ｂ）は、ユーザ認証画面の認証失敗例１）であり、トークンが無い場合において、文書を開く際にエラー（５１０）となり、認証画面に遷移できない。失敗の例２）は、権限がない場合の例であって、権限がないクライアントが文書を開く際にエラー（５２０）となり、閲覧が不可となる。

また、印刷や変更の操作を行う度に、ＵＳＢトークン４１に格納されている情報（PIN およびワンタイムパスワード）による認証が必要になる仕組みにしている。従って、離席時はＵＳＢトークン４１を所持して歩くようにしておけば、文書を他者に不正に閲覧されることが無いという利点がある。

図６は、本実施の形態による認証システムにおける、ＤＢサーバ３１３が保持している取得ログ情報のデータ構成例を示す図である。このデータ構成は、図６に示すように、ポリシーＩＤ＝１９７８０３２０Ｏであり、名前６０１と、所属グループ６０２と、ＩＰ／ＭＡＣアドレス６０３と、ＩＤ６０４と、パスワード６０５と、個人の暗証番号ＰＩＮ６０６と、時刻６０７と、操作ログ（成功、失敗などの結果）６０８と、ＵＳＢNo.６０９と、を有している。このテーブルは、後でログを確認するときに使用するデータを格納している。この図により、名前毎、グループ単位での、操作ログを得ることができる。これにより、後から管理者が認証に関する内容を確認することができる。

図７は、ＤＲＭサーバが保持している認証情報のデータテーブルの構成例を示す図であり、認証を行うときに使用するデータ群である。このデータは、ＡＤサーバに対して本人確認を行うときに必要となるＩＤ７１と、パスワード７２、および、よりセキュリティレベルを向上させるために、あらかじめ与えられた固有の個人情報番号であるユーザ（ＵＳＢトークン）毎に割り振ったPIN７３およびワンタイムパスワード７４、および、ＵＳＢトークンが誰のものであるかというＵＳＢNo.情報７５と、セッション情報７６と、認証の可否７７と、を保持している。そのため、不正にIDおよびパスワードを入手したとしても、ＵＳＢトークンを持っていない限り、PINおよびワンタイムパスワードの認証が失敗することで、不正なアクセスを抑止することができる。セッション情報を参照すると、どのタイミングにおける認証であるかを特定することができる。

図８は、本実施の形態による認証システムにおける認証処理の一例の概要を示すフローチャート図である。

クライアントＰＣにおいて、ポリシーの付いたファイルを開く操作が行われると、まず、ＵＳＢトークンが挿入されているか否かの認証が行われる。ここで、ＵＳＢトークンが挿入されている場合は（Ｙ）、ワンタイムパスワードの生成処理が行われるが、挿入されていない場合は（Ｎ）、エラー画面が表示され、ＵＳＢトークンの挿入を促すダイアログが表示される（ステップＳ８０１）。

ＵＳＢトークンが挿入されている場合は、クライアントＰＣ側でトークンコードおよびPIN を元にワンタイムパスワードの生成処理が行われる。一方、時刻同期サーバ側でも、クライアントＰＣ側でワンタイムパスワードを生成した時刻および当該ユーザのPIN を元に、ワンタイムパスワードを生成する（ステップＳ８０２）。

クライアントＰＣ側で生成されたワンタイムパスワードおよびPINと、時刻同期サーバ側で生成されたワンタイムパスワードおよび当該クライアントのPINとにより認証処理を行う。認証が成功した場合は（Ｙ）、ＤＲＭシステムの認証画面が表示されるが、認証に失敗した場合は（Ｎ）、ステップＳ８０１から再度処理を行うことになる（ステップ８０３）。

ＤＲＭシステムにおける認証画面で、ID およびパスワードの入力を促すダイアログを出すことで認証に必要なＩＤとパスワードの入力が促される（ステップＳ８０４）。

ステップＳ８０４で、入力・送信されたID およびパスワードだけでなく、ＵＳＢトークンの保持しているPIN とワンタイムパスワードとも含めて、ＤＲＭサーバ（認証サーバ）との間で認証処理を行う。認証に成功した場合は文書の閲覧が可能になるが、認証に失敗した場合はステップＳ８０１から再度処理を行うことになる（ステップＳ８０５）。

二次認証に成功すると（Ｙ）、文書の閲覧が可能になる（ステップＳ８０６）。ステップＳ８０７で、ＵＳＢトークンが挿入されているか否かを確認し、ＹであればステップＳ８０７の文書閲覧を維持させ、Ｎであればセッションを切断し（ステップＳ８０８）、ステップＳ８０１から再度処理を行うことになる。このように、ＵＳＢトークンが挿入されていない（抜かれた）ことが検出されると、ステップＳ８０１からの認証処理が再度求められることで、ＵＳＢトークンが抜かれることで他の人が認証しようとすると、ステップＳ８０１からの処理が求められるため、認証におけるセキュリティを、より一層高めることができる。

以上のように、本実施の形態による、認証デバイスを用いたセキュアなＤＲＭシステムによれば、次のような利点がある。従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。

尚、ＵＳＢトークン紛失時にも、紛失した事実を発見しやすい。また、発見した時点で管理者等に連絡すれば、ＵＳＢトークンを無効化することが出来る。また、それにより、当該ユーザの文書を全て探して権限を削除しなくても済むため、より迅速な情報漏洩防止を実現することができる。また、ＵＳＢトークンを挿入した時点で端末を特定するIP/MAC アドレスを抜き出し、認証時にサーバに認証情報と一緒に送信するようにすれば、不正にアクセスされた際にもアクセス元のＰＣを特定することが容易になる。

上記の実施の形態において、添付図面に図示されている構成等については、これらに限定されるものではなく、本発明の効果を発揮する範囲内で適宜変更することが可能である。その他、本発明の目的の範囲を逸脱しない限りにおいて適宜変更して実施することが可能である。

また、本実施の形態で説明した機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。尚、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また前記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに利用可能である。

ＤＲＭシステムの概要を示す機能ブロック図である。ＵＳＢトークンによるワンタイムパスワード認証の処理の概要を示す図である。認証デバイスを用いた、よりセキュアなＤＲＭシステム全体の構成例を示す図である。本実施の形態によるシステムにおける認証の仕組み（認証の流れ）をしめす図である。本システムにおける認証の仕組み（認証画面）を示す図である。本システムにおける取得ログが持つデータテーブルの構成例を示す図である。本システムにおける認証データが持つデータテーブルの構成例を示す図である。本システムにおける認証処理のフローチャートである。

符号の説明

１…クライアントPC、２…DRM サーバ、３…AD サーバ、４…DB サーバ、２１…クライアント、２２…USBトークン、２３…内蔵チップ、２４…DRMサーバ（認証サーバ）、３０１…クライアントPC（Policy管理者）、３０２…クライアントPC（Policy付与者）、３０３…ビューア・アプリケーション、３０４…クライアントPC、３０５…USBトークン、３０６…インターネット、３０７…プロキシサーバ、３０８…ＳＭＴＰサーバ、３０９…バックアップサーバ、３１０…時刻同期サーバ、３１１…DRMサーバ（認証サーバ）、３１２…ADサーバ、３１３…DBサーバ、４１…USBトークン、４２…ビューア・アプリケーション、４３…クライアントPC、４４…DRMサーバ（認証サーバ）、４５…ADサーバ、４６…時刻同期サーバ、６…取得ログテーブルの項目、７…認証データテーブルの項目。

Claims

サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、
ユーザＩＤ毎に、時刻とその時刻に生成されたワンタイムパスワードとの対応が格納され、サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、固有シード値を格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記固有シード値とＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、
クライアントの認証・権限を保持するＤＲＭサーバ（認証サーバ）と、ユーザのＩＤ、パスワードを保持するＡＤサーバと、を有する認証システムであって、
前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのＩＤ、パスワードに加えて、前記認証デバイスに対応するＰＩＮコードと、生成した前記ワンタイムパスワードと、により、認証処理を行い、
前記ＤＲＭサーバが前記ＰＩＮコードを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否か、による一次認証が行われ、次いで、前記ユーザのＩＤと前記ワンタイムパスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となり、
前記一次認証では、前記クライアント側で生成されたワンタイムパスワードを前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮコードとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることを特徴とするＤＲＭ認証システム。
前記認証デバイスを挿入した時点で前記クライアントを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することを特徴とする請求項１に記載のＤＲＭ認証システム。
前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れることを特徴とする請求項１又は２に記載のＤＲＭ認証システム。
前記認証デバイスの接続を検出した後に、ある期間毎に前記クライアントと前記認証デバイスとの接続を確認することを特徴とする請求項３に記載のＤＲＭ認証システム。
操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮコードおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することを特徴とする請求項１から４までのいずれか１項に記載のＤＲＭ認証システム。