JP5511449B2 - 情報処理装置、情報処理装置の認証方法及びプログラム - Google Patents

Description

本発明は、入力された認証用情報に基づいて正規のユーザであるかを認証する情報処理装置、情報処理装置の認証方法及びプログラムに関する。

現在、情報処理装置において、入力された認証用情報（ＩＤやパスワード）を基に、正規のユーザであるか否かを認証する技術が一般的となっている。通常、ＩＤやパスワードは、使用できる条件（例えば時間や回数）に制限がない固定的なもの（固定認証用情報）が用いられるが、最近では、使用できる条件（例えば時間や回数）に制限がある臨時的なもの（臨時認証用情報）も用いられている。

このような技術例として、例えば特許文献１に開示されている認証方法（ユーザ判別方法）がある。この認証方法の概要を以下に記す。管理者により管理・運用されるサーバは、ユーザによって使用されるクライアントからパスワードの発行要求を受けると、１回だけ使用可能なワンタイムパスワードを発行し、ユーザによって使用されるもう１つの端末（クライアントとは別の端末）へワンタイムパスワードを送信する。このとき、サーバは、送信したワンタイムパスワードとクライアントの識別情報とを関連付けて記憶しておく。その後、クライアントは、ユーザの操作により、ワンタイムパスワードが入力され、サーバで管理されるコンテンツへのアクセスが指示されると、そのアクセス要求とともに、入力されたワンタイムパスワード及びクライアント自身が保持しているクライアントの識別情報をサーバへ送信する。サーバは、受信したワンタイムパスワード及びクライアントの識別情報と、先に関連付けて記憶しておいたワンタイムパスワード及びクライアントの識別情報とを照合し、それらが一致した場合は認証成功とし、要求されたコンテンツのアクセスを許可する。

特開２００５−２８４８７６号公報

特許文献１の技術例でも開示されているが、ワンタイムパスワードは、クライアントからの発行要求に対し、サーバから１つ発行されることが一般的である。しかしながら、何らかの理由、例えばユーザ自身の問題（操作が未熟など）やクライアント自身の問題（電池容量の不足など）により、発行されたワンタイムパスワードを使用しての認証に失敗することは起こりうる。そのような場合、新たなワンタイムパスワードを発行するために、ユーザ（クライアント）と管理者（サーバ）の間では、再度上記特許文献１に開示されているようなやり取りを行わなければならず、不便であった。

このようなことから、上記ワンタイムパスワードに限らず、臨時認証用情報は、所定の制限内において複数回使用できることが好ましい。例えば、互いに異なる１回だけ使用可能な臨時認証用情報を複数生成し、ユーザがそれらの臨時認証用情報を１回ずつ使用できるようにしたり、あるいは、使用可能な時間と回数に制限を設けた臨時認証用情報を１つ生成し、ユーザがその臨時認証用情報を制限時間内に複数回使用できるようにしたりすることが考えられる。しかし、このような方法で臨時認証用情報を複数回使用できる状態にすると、当然セキュリティは脆弱となる。

本発明は、上記事情に鑑みてなされたものであり、臨時認証用情報を複数回使用できる状態にあるときのセキュリティを向上することができる情報処理装置、情報処理装置の認証方法及びプログラムを提供することを目的とする。

かかる目的を達成するために、本発明の第１の態様は、使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証する情報処理装置であって、一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を予め複数記憶しておく記憶手段と、入力された臨時認証用情報が記憶手段に存在する場合に認証成功とする認証手段と、認証手段で認証が成功した場合、適用するポリシを、入力された臨時認証用情報に対応付けられたポリシを基に、使用条件がより限定されるポリシに変更するポリシ変更手段と、を有することを特徴とする。

本発明の第２の態様は、使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証する情報処理装置の認証方法であって、一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を、所定の記憶手段に予め複数記憶しておく記憶ステップと、入力された臨時認証用情報が記憶手段に存在する場合に認証成功とする認証ステップと、認証ステップで認証が成功した場合、適用するポリシを、入力された臨時認証用情報に対応付けられたポリシを基に、使用条件がより限定されるポリシに変更するポリシ変更ステップと、を有することを特徴とする。

本発明の第３の態様は、使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証するための処理をコンピュータに実行させるプログラムであって、一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を、所定の記憶手段に予め複数記憶しておく記憶処理と、入力された臨時認証用情報が記憶手段に存在する場合に認証成功とする認証処理と、認証処理で認証が成功した場合、適用するポリシを、入力された臨時認証用情報に対応付けられたポリシを基に、使用条件がより限定されるポリシに変更するポリシ変更処理と、をコンピュータに実行させることを特徴とする。

本発明によれば、臨時認証用情報を複数回使用できる状態にあるときのセキュリティを向上することが可能となる。

本発明の実施形態１に係るクライアントとサーバの構成例をそれぞれ示すブロック図である。 本発明の実施形態１に係るサーバの動作例を示すフローチャートである。 本発明の実施形態１に係るクライアント及びサーバの動作例を示すシーケンスチャートである。 本発明の実施形態１に係るクライアント及びサーバに記憶される情報の例と臨時パスの使用状況の例をそれぞれ示す図である。 本発明の実施形態２に係るクライアント及びサーバに記憶される情報の例と臨時パスの使用状況の例をそれぞれ示す図である。 本発明の実施形態３に係るクライアントとサーバの構成例をそれぞれ示すブロック図と本発明の実施形態３に係るサーバの動作例を示すフローチャートである。 本発明の実施形態３に係るクライアント及びサーバの動作例を示すシーケンスチャートである。

以下、本発明を実施するための形態（実施形態）について添付図面を参照して詳細に説明する。

〔実施形態１〕
本発明の実施形態１について説明する。図１（ａ）は本実施形態のクライアントの構成例を示すブロック図であり、図１（ｂ）は本実施形態のサーバの構成例を示すブロック図である。本実施形態では、クライアント及びサーバの例をＰＣ（Personal Computer）として説明するが、ＰＣに限定されず、その他の情報処理装置であってもよい。

本実施形態のクライアントであるＰＣ１について説明する。ＰＣ１は、例として、ある企業の社員（ユーザ）により使用され、社外に持ち出された、会社所有のモバイル型ＰＣであるとする。

ＰＣ１は、図１（ａ）に示すように、操作手段１１、表示手段１２、記憶手段１３、生成手段１４、認証手段１５、ポリシ変更手段１６を備える。

操作手段１１は、ＰＣ１に対してユーザが指示や選択などを行うときに操作を行う手段である。操作手段１１を実現するハードウェアとしては、マウスやキーボード等が挙げられる。

表示手段１２は、ユーザに対して各種情報を画面に表示する手段である。表示手段１２は、ユーザの指示を受け、記憶手段１３に記憶されている認証用の画面や、生成手段１４で生成されたチャレンジコードを表示する。表示手段１２を実現するハードウェアとしては、ビデオカード及びディスプレイ等が挙げられる。

記憶手段１３は、各種情報を記憶しておく手段である。記憶手段１３は、生成される臨時認証用情報の元となるシード（第１の文字列）と、その臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を複数記憶する。以下、臨時認証用情報の例をパスワード（以下臨時パスという）として説明する。シードは、複数の文字からなる文字列である。ポリシに定義される臨時パスの使用条件は、生成される臨時パスの使用を制限するための条件であり、例えば臨時パスを使用できる時間及び回数の少なくとも一方を含む。なお、シードをどのような文字列にするか、ポリシをどのような定義とするか、どのシードにどのポリシが対応付けられるかは、例えば管理者により予め用意されて記憶手段１３に設定される。記憶手段１３を実現するハードウェアとしては、フラッシュメモリやハードディスク等が挙げられる。

生成手段１４は、上記シードと、自らが生成したチャレンジコード（第２の文字列）とを基にして、臨時パスを生成する手段である。生成手段１４は、生成した臨時パスを、記憶手段１３に格納するか又は生成手段１４自身で記憶しておく。チャレンジコードは複数の文字からなる文字列であり、生成手段１４は乱数を発生させてチャレンジコードを生成する。生成手段１４を実現するハードウェアとしては、ＣＰＵ（Central Processing Unit）及びメモリ（ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory））等が挙げられる。

認証手段１５は、ユーザにより入力された臨時パスと、生成手段１４で生成された臨時パスとを照合し、ユーザがＰＣ１の正規の利用者であるか否かを認証する手段である。認証手段１５は、ユーザにより入力された臨時パスと、生成手段１４で生成された臨時パスとが一致する場合に、認証成功（ユーザがＰＣ１の正規の利用者である）と判断する。認証手段１５を実現するハードウェアとしては、ＣＰＵ及びメモリ（ＲＡＭ、ＲＯＭ）等が挙げられる。

ポリシ変更手段１６は、認証手段１５にて認証成功の場合、適用するポリシを、ユーザにより入力された臨時パスの元となったシードに対応付けられているポリシを基に、臨時パスの使用条件がより限定されるポリシに変更する手段である。ポリシ変更手段１６を実現するハードウェアとしては、ＣＰＵ及びメモリ（ＲＡＭ、ＲＯＭ）等が挙げられる。

次に、本実施形態のサーバであるＰＣ２について説明する。ＰＣ２は、例として、上記企業の社員（管理者）により管理・使用され、社内に設置された、会社所有のデスクトップ型ＰＣであるとする。

ＰＣ２は、図１（ｂ）に示すように、操作手段２１、表示手段２２、記憶手段２３、生成手段２４を備える。

操作手段２１は、ＰＣ２に対して管理者が指示や選択などを行うときに操作を行う手段である。操作手段２１を実現するハードウェアとしては、マウスやキーボード等が挙げられる。

表示手段２２は、管理者に対して各種情報を画面に表示する手段である。表示手段２２は、ユーザの指示を受け、記憶手段２３に記憶されているシードとポリシの組や、生成手段２４で生成された臨時パスを表示する。表示手段２２を実現するハードウェアとしては、ビデオカード及びディスプレイ等が挙げられる。

記憶手段２３は、各種情報を記憶しておく手段である。記憶手段２３は、ＰＣ１の記憶手段１３と同様に、生成される臨時パスの元となるシードと、その臨時パスの使用条件が定義されたポリシとを対応付けた組を複数記憶する。すなわち、記憶手段１３と記憶手段２３は、同一の内容を記憶することになる。ただし、記憶手段２３では、ＰＣ１に設定・記憶されているシードがどれであるのかを管理者が識別・把握するために、上記シードとポリシの組毎に、さらにＰＣ１のＩＤ（識別情報の一例）が対応付けられる。なお、どの組にどのＰＣ１のＩＤが対応付けられるかは、例えば管理者により予め用意されて記憶手段１３に設定される。記憶手段１３を実現するハードウェアとしては、フラッシュメモリやハードディスク等が挙げられる。

生成手段２４は、ＰＣ１の生成手段１４と同様に、上記シードと、予め用意（ユーザから通知）されたチャレンジコードとを基にして、臨時パスを生成する手段である。すなわち、生成手段１４と生成手段２４は、同一の臨時パスを生成することになる。生成手段２４は、生成した臨時パスを、記憶手段２３に格納するか又は生成手段２４自身で記憶しておく。このとき、生成した臨時パス毎に、その臨時パスの元となったシードと組になっているポリシが対応付けられるようにしてもよい。これにより、管理者は、どの臨時パスにどのポリシが対応付けられているかを識別・把握することができ、ユーザに臨時パスを伝達するときに便利である。生成手段１４を実現するハードウェアとしては、ＣＰＵ及びメモリ（ＲＡＭ、ＲＯＭ）等が挙げられる。

以上のように構成されたＰＣ１とＰＣ２の動作例について説明する。まず、認証前の準備段階として、管理者の操作によりＰＣ１及びＰＣ２において図２に示すフローが実行される。

管理者は、ＰＣ２において操作手段２１と表示手段２２を用いて、シードとポリシの組を複数作成し、作成したシードとポリシの組をＰＣ２の記憶手段２３に複数記憶させる（Ｓ１）。このとき記憶手段２３に記憶されるシードとポリシの組の例を図４（ａ）に示す。図４（ａ）に示すように、シードＡとポリシＡ、シードＢとポリシＢ、シードＣとポリシＣ、シードＤとポリシＤ、シードＥとポリシＥがそれぞれ対応付けられて組となっており、全部で５つの組が記憶される。シードＡ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれが互いに異なる文字列である。また、ポリシＡ、Ｂ、Ｃ、Ｄ、Ｅも、それぞれが異なる内容である。

シードＡ、Ｂ、Ｃ、Ｄ、Ｅは、チャレンジコードとともに、生成される臨時パスの元となる文字列である。以下の説明では、例えば、シードＡを元に生成された臨時パスを「臨時パスＡ」と呼ぶことにする。シードＢ〜Ｅについても同様に呼ぶ。臨時パスＡ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれが互いに異なる文字列となる。そして、本実施形態では、臨時パスＡは、ユーザが使用できる回数（使用可能回数）が残り５回以下の臨時パスであるとする。また、臨時パスＢは、使用可能回数が残り４回以下の臨時パスであるとする。また、臨時パスＣは、使用可能回数が残り３回以下の臨時パスであるとする。また、臨時パスＤは、使用可能回数が残り２回以下の臨時パスであるとする。また、臨時パスＥは、使用可能回数が残り１回の臨時パスであるとする。

ここで、ポリシの内容についてポリシＡを例に説明する。図４（ａ）に示すように、ポリシＡでは「シードＡを元にした臨時パスＡが入力されたら、次の認証では使用可能回数が４回以下に該当する臨時パスが使用可能となる」と定義されている。この定義は、「シードＡを元に生成された臨時パスＡをユーザが入力した場合、次の認証を行うときにユーザが使用できる臨時パスは、使用可能回数が残り４回以下に該当する臨時パスとなる」ことを意味する。よって、臨時パスＡ（使用可能回数が残り５回以下の臨時パス）が入力された場合、次に入力できる臨時パスは、シードＢ〜Ｅを元に生成された臨時パスＢ〜Ｅ（使用可能回数が残り４回以下に該当する臨時パス）となる。つまり、ポリシＡにおける「残り４回以下に該当する臨時パス」とは、残り４回以下の臨時パスＢだけを指すのではなく、「残り４回以下」という条件を満たしている回数（３回、２回、１回）の臨時パスＣ、Ｄ、Ｅも含む。説明は省略するが、ポリシＢ〜ＥもポリシＡと同様の定義・意味である。

管理者は、ＰＣ２の記憶手段２３に記憶させたシードとポリシの組のうち所望の組を選択し、選択した組をＰＣ１の記憶手段１３に記憶させる（Ｓ２）。この動作は、管理者自身がＰＣ１を直接操作することで行われてもよいし、あるいは、管理者が、所望の組をＰＣ２からＰＣ１へ有線又は無線を介して送信することで行われてもよい。ここでは例として、ＰＣ１の記憶手段１３には、ＰＣ２の記憶手段２３と同じ組、すなわち図４（ａ）に示す５つのシードとポリシの組が記憶されるとする。

管理者は、何らかの手段でＰＣ１のＩＤ（識別情報の一例）を取得し、取得したＰＣ１のＩＤと、ＰＣ１の記憶手段１３に記憶させたシードとポリシの組とを対応付け、ＰＣ２の記憶手段２３に記憶させる（Ｓ３）。ここでは、記憶手段１３と記憶手段２３に記憶されたシードとポリシの組は同一であるので、記憶手段２３には、図４（ａ）に示す５つの組に対して、ＰＣ１のＩＤが対応付けられる。

なお、本実施形態では、ＰＣ２において、ＰＣ１だけにシードとポリシの組を記憶させる例について説明したが、ＰＣ１以外のＰＣ（複数でもよい）にもシードとポリシの組を記憶させてもよい。よって、ＰＣ２は、複数のＰＣにシードとポリシの組を記憶させ、それらの組をＰＣ２自身でも記憶し、各ＰＣのＩＤと対応付けて管理することができる。

このように図２に示す準備段階が終わった後で、図３に示すフローが可能となる。図３の動作は、例として、ユーザが会社所有のＰＣ１を社外へ持ち出して使用しようとしたが、ＰＣ１自体を使用可能な状態にするためのパスワード（ＯＳへログインするためのパスワード）を忘れてしまい、社内の管理者にその旨を連絡して臨時パスを発行してもらう場合とする。また、例として、管理者が互いに異なる複数の臨時パスをユーザに伝えることで、ユーザがそれらを１回ずつ使用でき、結果として臨時パスを複数回使用できるようになる場合とする。また、例として、ユーザはＰＣ１の他に携帯電話を所持しており、管理者はＰＣ２の他に携帯電話を所持しているとする。

ユーザは、ＰＣ１の電源を投入する。これにより、ＰＣ１の表示手段１２は、認証用の画面（パスワード入力画面）を表示する。ユーザは、その認証用の画面上で所定の操作を行うことで、ＰＣ１にチャレンジコードの生成を指示する。この指示を受けると、生成手段１４は、乱数を発生させ、複数の文字列からなるチャレンジコードを生成する（Ｓ１１）。ここでは、１つのチャレンジコードが生成される。表示手段１２は、そのチャレンジコードを表示する。

ユーザは、携帯電話を用いて、管理者に対し、臨時パスの発行を要求するとともに、表示手段１２に表示されたチャレンジコードと、例えばＰＣ１の表面上に記載されているＰＣ１のＩＤとを伝達する（Ｓ１２）。この要求と伝達は、携帯電話における音声通話とメールのどちらで行われてもよい。

管理者は、携帯電話にて、ユーザから、臨時パスの発行の要求を受けるとともに、チャレンジコードとＰＣ１のＩＤとを入手する（Ｓ１３）。

ここで、管理者は、ＰＣ２において、ＰＣ１のＩＤを検索キーとして入力し、記憶手段２４の中から、ＰＣ１のＩＤに対応付けられて記憶されているシードとポリシの組を検索する。図３で説明したように、記憶手段２３には予め、ＰＣ１のＩＤと、シードとポリシの組とが対応付けられている。検索されたシードとポリシの組は、表示手段２２に表示される。ここでは、図４（ａ）に示す５つのシードとポリシの組が表示されることになる。これにより、ＰＣ１に記憶されているシードとポリシが特定され、管理者は、ＰＣ１にどのようなシードとポリシが記憶されているのかを認識できる。その後、管理者からの入力及び指示を受け、生成手段２４は、特定されたシードとチャレンジコードを基に臨時パスを生成する（Ｓ１４）。ここでは、シードＡとチャレンジコードを基に生成された臨時パスＡ、シードＢとチャレンジコードを基に生成された臨時パスＢ、シードＣとチャレンジコードを基に生成された臨時パスＣ、シードＤとチャレンジコードを基に生成された臨時パスＤ、シードＥとチャレンジコードを基に生成された臨時パスＥの５つの臨時パスが生成される。生成された５つの臨時パスは、記憶手段２３又は生成手段２４に記憶され、表示手段２２に表示される。このとき、５つの臨時パス毎に、元になったシードとそのシードと同組のポリシとが対応付けられて、記憶、表示されてもよい。

一方、ＰＣ１では、Ｓ１１におけるチャレンジコードの生成後、生成手段１４が、記憶手段１３に記憶されているシードと、自らが生成したチャレンジコードとを基に、臨時パスを生成する（Ｓ１５）。図３で説明したように、記憶手段１３には、図４（ａ）に示す５つのシードとポリシの組が記憶されているので、これら５つのシードＡ〜Ｅが生成に使用される。すなわち、生成手段１４においても、ＰＣ２の生成手段２４と同様に、シードＡとチャレンジコードを基に生成された臨時パスＡ、シードＢとチャレンジコードを基に生成された臨時パスＢ、シードＣとチャレンジコードを基に生成された臨時パスＣ、シードＤとチャレンジコードを基に生成された臨時パスＤ、シードＥとチャレンジコードを基に生成された臨時パスＥの５つの臨時パスが生成される。これら５つの臨時パスは、認証のときに正解となるパスワード（正解パス）の集合である。生成された５つの臨時パスは、正解パスの集合として、記憶手段１３又は生成手段１４に記憶される。このとき、５つの臨時パス毎に、元になったシードとそのシードと同組のポリシとが対応付けられて、記憶されてもよい。

このようにして、ＰＣ１とＰＣ２では、５つの臨時パスＡ〜Ｅが保持されることになる。このときの状態を初期状態と呼ぶことにする。初期状態では、適用されるポリシは特に何も制限されていない状態であり、図４（ｂ）に示すように、臨時パスＡ〜Ｅの５つ全てが使用可能となる。すなわち、初期状態は、ＰＣ１において臨時パスが複数回使える状態となっているので、セキュリティが脆弱である。

管理者は、表示手段２２に表示された５つの臨時パス及びポリシを見て、ユーザとＰＣ１の状況や問題を考慮し、５つの臨時パスの中から所望のものを選択し、選択した臨時パスとその使用順を、携帯電話を用いてユーザに伝達する（Ｓ１６）。この伝達は、携帯電話における音声通話とメールのどちらで行われてもよい。ここでは例として、５つの臨時パスＡ〜ＥのうちＣ、Ｄ、Ｅの３つが選択され、使用してよい臨時パスはＣ、Ｄ、Ｅの３つであることと、使用順はＣ→Ｄ→Ｅの順であることがユーザに伝達されたとする。

ユーザは、携帯電話にて、臨時パスＣ、Ｄ、Ｅとその使用順を入手する（Ｓ１７）。なお、この時点において、臨時パスＡ、Ｂはユーザに伝達されていないが、正解パスのままであり、認証には有効である。

そして、ユーザは、ＰＣ１の表示手段１２に表示される認証用の画面において、所定の入力欄に臨時パスＣを入力し、認証実行の指示をする（Ｓ１８）。

認証手段１５は、ユーザにより入力された臨時パスＣが、生成手段１４により生成された臨時パス（正解パス）の中にあるかどうかを判断し、ある場合は認証成功、ない場合は認証失敗とする（Ｓ１９）。ここでは、Ｓ１５で生成手段１４により生成された正解パスは、Ａ、Ｂ、Ｃ、Ｄ、Ｅの５つであるので、入力された臨時パスＣが存在する。よって、認証成功となる（Ｓ１９／ＹＥＳ）。

認証が成功すると、ポリシ変更手段１６は、入力された臨時パスの元となったシードと、そのシードと同組のポリシとを特定し、特定したポリシを基に、適用するポリシを変更する（Ｓ２０）。ここでは、ポリシ変更手段１６は、入力された臨時パスＣを基に、シードＣとポリシＣとを特定する。そして、臨時パスＣの使用前に適用されるポリシは特に何も制限されていない状態であったが、ポリシ変更手段１６により、特定されたポリシＣに変更される。このポリシＣは、図４（ａ）に示すように「シードＣを元にした臨時パスＣが入力されたら、次の認証では使用可能回数が２回以下に該当する臨時パスが使用可能となる」と定義されている。この定義は、「シードＣを元に生成された臨時パスＣをユーザが入力した場合、次の認証を行うときにユーザが使用できる臨時パスは、使用可能回数が残り２回以下に該当する臨時パスＤ、Ｅとなる」という意味である。すなわち、ポリシＣは、シードＡ、シードＢ、シードＣに対応する臨時パスＡ、臨時パスＢ、臨時パスＣを使用禁止することによって、実現される。つまり、適用されるポリシが特に何も制限されていない状態からＣに変更されることで、次回の認証では、臨時パスの使用条件がより限定されることになる。

ポリシ変更手段１６によりポリシ変更が行われると、生成手段１４は、正解パス変更手段として機能し、変更されたポリシに応じて、記憶手段１３又は生成手段１４に記憶されている正解パスの集合を変化させる。ここでは、生成手段１５は、変更されたポリシＣに基づいて、初期状態のときに正解パスであった臨時パスＡ〜Ｅの集合からＡ、Ｂ、Ｃを削除し、臨時パスＤ、Ｅだけを新たな正解パスの集合とする。よって、図４（ｂ）に示すように、臨時パスＣの使用後は、ユーザが使用できる臨時パスはＤとＥの２つになり、ユーザが元々知らない臨時パスＡ、Ｂとユーザが一度使用した臨時パスＣは使用できなくなる。

従って、本実施形態によれば、臨時パスが複数回使用できる状態にある場合、所定の臨時パスの使用後に、その他の臨時パスを使用できなくすることで、セキュリティを向上させることができる。

ポリシの変更後は、ＰＣ１においてログインが許可される（Ｓ２１）。

臨時パスＣを使用してのログイン後、ユーザは、臨時パスを使う必要がないように固定パスの再設定を行うのが一般的である。しかし、固定パスの再設定を行う前に、ユーザがＰＣ１の電源を落とすなどしてログアウトしてしまい、再度の認証が必要となる場合がある。そのような場合、本実施形態では、ユーザは、再度管理者に連絡をとることなく、先に伝達されていた臨時パスＤ、Ｅを使用して認証を行うことができる。そして、管理者は、そのような可能性を鑑み、臨機応変にユーザの特性や状況に応じたポリシを設定することができる。

ユーザは、次の使用順は臨時パスＤであると伝えられているので、ＰＣ１の表示手段１２に表示された認証用の画面に臨時パスＤを入力する（Ｓ１８）。認証手段１５は、入力された臨時パスＤが、正解パスの集合である臨時パスＤ、Ｅの中にあるので、認証成功とする（Ｓ１９）。

認証が成功すると、ポリシ変更手段１６は、入力された臨時パスＤを基に、シードＤとポリシＤとを特定する。ここでは、臨時パスＤの使用前に適用されるポリシはポリシＣであったが、ポリシ変更手段１６により、特定されたポリシＤに変更される。このポリシＤは、図４（ａ）に示すように「シードＤを元にした臨時パスＤが入力されたら、次の認証では使用可能回数が１回に該当する臨時パスが使用可能となる」と定義されている。この定義は、「シードＤを元に生成された臨時パスＤをユーザが入力した場合、次の認証を行うときにユーザが使用できる臨時パスは、使用可能回数が残り１回に該当する臨時パスＥとなる」という意味である。つまり、適用されるポリシがＣからＤに変更されることで、次回の認証では、臨時パスの使用条件がより限定されることになる。

また、ポリシ変更が行われたので、生成手段１４は、変更されたポリシＤに基づいて、臨時パスＤの使用前のときに正解パスであった臨時パスＤ、Ｅの集合からＤを削除し、臨時パスＥだけを新たな正解パスとする。よって、図４（ｂ）に示すように、臨時パスＤの使用後は、ユーザが使用できる臨時パスはＥの１つだけになり、臨時パスＡ〜Ｄは使用できなくなる。

臨時パスＤを使用してのログイン後、何らかの理由により、固定パスの再設定を行う前に再度の認証が必要となった場合には、ユーザは、臨時パスＥを使用して認証を行うことができる。その場合、これまでの説明と同様にして、臨時パスＥを用いてのパス入力（Ｓ１８）、認証（Ｓ１９）、ポリシ変更（Ｓ２０）が行われる。

Ｓ２０のポリシ変更の際、ポリシ変更手段１６は、臨時パスＥの使用前に適用されていたポリシＤから、特定したポリシＥに変更する。このポリシＥは、図４（ａ）に示すように「シードＥを元にした臨時パスＥが入力されたら、いずれの臨時パスも使用不可能となる」と定義されている。この定義は、「シードＥを元に生成された臨時パスＥをユーザが入力した場合、どの臨時パスも使用できなくなり、次の認証はない」という意味である。つまり、適用されるポリシがＤからＥに変更されることで、次回の認証では、臨時パスの使用条件がさらに限定される。

また、ポリシ変更が行われたので、生成手段１４は、変更されたポリシＥに基づいて、臨時パスＥの使用前のときに正解パスであった臨時パスＥを削除する。これにより、正解パスはなくなる。よって、図４（ｂ）に示すように、臨時パスＥの使用後は、ユーザが使用できる臨時パスは１つもなくなる。すなわち、次の認証は、現在生成されている臨時パスでは不可能となる。

なお、上記図３の説明において、ユーザが使用順を守らずに、例えば臨時パスＥを最初に使用してログインした場合、上述したように、ポリシ変更手段１６により、臨時パスＥの使用前に適用されていたポリシＡ〜Ｅの全部から、特定されたポリシＥに変更される。つまり、次回の認証に適用されるポリシがＡ〜Ｅの全部からＥに変更されることで、臨時パスの使用条件がより限定される。そして、ポリシの変更により正解パスもなくなる。よって、図４（ｂ）に示すように、臨時パスＥの使用後は、ユーザが知らない臨時パスＡ、Ｂだけでなく、未使用の臨時パスＣ、Ｄも使用できなくなる。すなわち、次の認証は、現在生成されている臨時パスでは不可能となる。

〔実施形態２〕
本発明の実施形態２について説明する。上記実施形態１では、臨時パスを複数回使用できる場合の例として、互いに異なる複数の臨時パスがユーザに伝達され、ユーザはそれらを１回ずつ使用できるようにする場合について説明した。本実施形態では、臨時パスを複数回使用できる場合の別の例として、単一のパスがユーザに伝達され、ユーザはその臨時パスを制限時間内に複数回使用できるようにする場合について説明する。

本実施形態におけるＰＣ１とＰＣ２の動作は、上記実施形態１の図２、図３と同様である。すなわち、まず管理者により、ＰＣ１（記憶手段１３）とＰＣ２（記憶手段２３）において、シードとポリシの組が複数記憶される。ここでは、ＰＣ１とＰＣ２に記憶される組は同一であるとする。ただし、ＰＣ２では、ＰＣ１のＩＤを、ＰＣ１に記憶させたシードとポリシの組に対応付けて記憶される。ＰＣ１とＰＣ２に記憶されたシードとポリシの組の例を図５（ａ）に示す。図５（ａ）に示すように、シードＶとポリシＶ、シードＷとポリシＷ、シードＸとポリシＸ、シードＹとポリシＹ、シードＺとポリシＺがそれぞれ対応付けられて組となっており、全部で５つの組が記憶されている。シードＶ、Ｗ、Ｘ、Ｙ、Ｚは、それぞれが互いに異なる文字列である。また、ポリシＶ、Ｗ、Ｘ、Ｙ、Ｚも、それぞれが異なる内容である。

シードＶ、Ｗ、Ｘ、Ｙ、Ｚは、チャレンジコードとともに、生成される臨時パスの元となる文字列である。以下の説明では、例えば、シードＶを元に生成された臨時パスを「臨時パスＶ」と呼ぶことにする。シードＷ〜Ｚについても同様に呼ぶ。臨時パスＶ、Ｗ、Ｘ、Ｙ、Ｚは、それぞれが互いに異なる文字列となる。そして、本実施形態では、臨時パスＶは、ユーザが使用できる時間（使用可能時間）が１時間であり、かつ、ユーザが使用できる回数（使用可能回数）が残り５回の臨時パスであるとする。また、臨時パスＷは、使用可能時間が１時間であり、かつ、使用可能回数が残り４回の臨時パスであるとする。また、臨時パスＸは、使用可能時間が１時間であり、かつ、使用可能回数が残り３回の臨時パスであるとする。また、臨時パスＹは、使用可能時間が１時間であり、かつ、使用可能回数が残り２回臨時パスであるとする。また、臨時パスＺは、使用可能時間が１時間であり、かつ、使用可能回数が１回の臨時パスであるとする。

ここで、ポリシの内容についてポリシＶを例に説明する。ポリシＶでは「シードＶを元にした臨時パスＶが１時間以内に入力されたら、同じ臨時パスＶを１時間以内に残り４回使用可能となる」と定義されている。この定義は、「１時間以内において、臨時パスＶをユーザが入力した場合、ユーザは臨時パスＶのみを残り４回使用できる」ことを意味する。説明は省略するが、ポリシＷ〜ＺもポリシＶと同様の定義・意味である。

その後、ユーザと管理者との間では、図３のＳ１１〜Ｓ１５と同様の動作が行われる（説明は省略）。すなわち、ＰＣ１とＰＣ２において、シードＶとチャレンジコードを基に生成された臨時パスＶ、シードＷとチャレンジコードを基に生成された臨時パスＷ、シードＸとチャレンジコードを基に生成された臨時パスＸ、シードＹとチャレンジコードを基に生成された臨時パスＹ、シードＺとチャレンジコードを基に生成された臨時パスＺの５つの臨時パスが生成される。ＰＣ１において、５つの臨時パスＶ、Ｗ、Ｘ、Ｙ、Ｚは、正解パスの集合として、記憶手段１３又は生成手段１４に記憶される。なお、ＰＣ１では、図示しないタイマ手段（例えばＣＰＵ、ＲＡＭで実現）によって、５つの臨時パスが生成された時点からの時間を計測する。

このようにして、ＰＣ１とＰＣ２では、５つの臨時パスＶ〜Ｚが保持されることになる。このときの状態を初期状態と呼ぶことにする。初期状態では、適用されるポリシは特に何も制限されていない状態であり、図５（ｂ）に示すように、臨時パスＶ〜Ｚの５つ全てが使用可能となる。すなわち、初期状態は、ＰＣ１において臨時パスが複数回使える状態となっているので、セキュリティが脆弱である。

管理者は、ユーザとＰＣ１の状況や問題を考慮し、５つの臨時パスの中から所望のものを１つ選択し、選択した臨時パスを、携帯電話を用いてユーザに伝達する（Ｓ１６）。ここでは、臨時パスＹが選択され、使用してよい臨時パスがＹであることと、その使用条件は１時間以内で２回であることが、ユーザに伝達されたとする。

ユーザは、携帯電話にて、臨時パスＹを入手する（Ｓ１７）。なお、この時点において、臨時パスＶ、Ｗ、Ｘはユーザに伝達されていないが、正解パスのままであり、認証には有効である。

そして、ユーザは、ＰＣ１の表示手段１２に表示される認証用の画面において、所定の入力欄に臨時パスＹを入力し、認証実行の指示をする（Ｓ１８）。

認証手段１５は、タイマ手段による計測が１時間以内であれば、ユーザにより入力された臨時パスＹが、生成手段１４により生成された臨時パス（正解パス）の集合の中にあるかどうかを判断し、ある場合は認証成功、ない場合は認証失敗とする（Ｓ１９）。ここでは、Ｓ１５で生成手段１４により生成された正解パスは、Ｖ、Ｗ、Ｘ、Ｙ、Ｚの５つであるので、入力された臨時パスＹが存在する。よって、認証成功となる（Ｓ１９／ＹＥＳ）。このとき、ＰＣ１では、図示しないカウント手段（例えばＣＰＵ、ＲＡＭで実現）により、臨時パスＹの使用回数を１としてカウントし、記憶する。

認証が成功すると、ポリシ変更手段１６は、入力された臨時パスＹの元となったシードＹと、そのシードＹと同組のポリシＹとを特定し、特定したポリシＹを基に次回の認証に適用するポリシを変更する（Ｓ２０）。ここでは、臨時パスＹの使用前に適用されるポリシは特に何も制限されていない状態であったが、ポリシ変更手段１６により、特定されたポリシＹに変更される。このポリシＹは、図５（ａ）に示すように「シードＹを元にした臨時パスＹが１時間以内に入力されたら、同じ臨時パスＹを１時間以内に残り１回使用可能となる」と定義されている。この定義は、「１時間以内において、臨時パスＹをユーザが入力した場合、ユーザは臨時パスＹのみを残り１回使用できる」という意味である。すなわち、ポリシＹは、シードＶ、シードＷ、シードＸ、シードＺに対応する臨時パスＶ、臨時パスＷ、臨時パスＸ、臨時パスＺを使用禁止することによって、実現される。つまり、適用されるポリシがポリシＹに変更されることで、これまでの特に何も制限されていない状態よりも、臨時パスの使用条件がより限定されることになる。

ポリシ変更手段１６によりポリシ変更が行われると、生成手段１４（又は図示しない正解パス変更手段）は、変更されたポリシに応じて、記憶手段１３又は生成手段１４に記憶されている正解パスの集合を変化させる。ここでは、生成手段１４は、変更されたポリシＹに基づいて、初期状態のときに正解パスであった臨時パスＶ〜Ｚの集合の中からＶ、Ｗ、Ｘ、Ｚを削除し、臨時パスＹだけを正解パスとする。よって、図５（ｂ）に示すように、臨時パスＹの１回目の使用後は、ユーザが使用できる臨時パスはＹの１つだけになるとともにその使用回数は１回だけとなり、次回の認証では、ユーザが元々知らない臨時パスＶ、Ｗ、Ｘ、Ｚは使用できなくなる。

従って、本実施形態によれば、臨時パスが複数回使用できる状態にある場合、所定の臨時パスの使用後に、その他の臨時パスを使用できなくすることで、セキュリティを向上させることができる。

ポリシの変更後はＰＣ１においてログインが許可される（Ｓ２１）。

臨時パスＹを使用してのログイン後、何らかの理由により、固定パスの再設定を行う前に再度の認証が必要となった場合、本実施形態では、ユーザは、再度管理者に連絡をとることなく、１時間以内であれば再度臨時パスＹを使用して認証を行うことができる。そして、管理者は、そのような可能性を鑑み、臨機応変にユーザの特性や状況に応じたポリシを設定することができる。

ユーザは、再度、ＰＣ１の表示手段１２に表示された認証用の画面に臨時パスＹを入力する（Ｓ１８）。認証手段１５は、タイマ手段による計測が１時間以内であることを認識した後、入力された臨時パスＹが正解パスＹに該当すると判断し、認証成功とする（Ｓ１９）。このとき、カウント手段は、臨時パスＹの使用回数を２としてカウントし、記憶する。

認証が成功すると、ポリシ変更手段１６は、入力された臨時パスＹを基にポリシＹを特定する。ここで、ポリシ変更手段１６は、ポリシＹの特定が２回目であること（既にポリシＹが適用中であること）を認識し、カウント手段のカウント数を基に、現在適用中のポリシＹの内容を変更するかどうかを判断する。ここでは、カウント数は２となっているので、現在適用中のポリシＹで定義されている臨時パスの使用条件「シードＹを元にした臨時パスＹが１時間以内に入力されたら、同じ臨時パスＹを１時間以内に残り１回使用可能となる」は満たされたことになる。よって、ポリシ変更手段１６は、現在適用中のポリシＹの内容を「いずれの使用パスも使用不可能となり、次の認証はない」（ポリシＺの後半部分と同じ）に変更する。つまり、変更後のポリシＹが適用されるようになることで、臨時パスの使用条件がさらに限定されることになる。

また、ポリシ変更が行われたので、生成手段１４は、さらに変更されたポリシＹに基づいて、臨時パスＹの２回目の使用前（１回目の使用後）のときには正解パスであった臨時パスＹを削除する。これにより、正解パスはなくなる。よって、図５（ｂ）に示すように、臨時パスＹの２回目の使用後は、ユーザが使用できる臨時パスはなくなる。すなわち、次の認証は、現在生成されている臨時パスでは不可能となる。

〔実施形態３〕
本発明の実施形態３について説明する。上述した実施形態１及び２では、ＰＣ１とＰＣ２においてシードとポリシとを対応付けた組を予め記憶しておき、そのシードとチャレンジコードを基に臨時パスを生成する例について説明したが、本実施形態では、シード及びチャレンジコードを使用しない例について説明する。

図６（ａ）に本実施形態のクライアントの構成例を示し、図１（ｂ）に本実施形態のサーバの構成例を示す。実施形態１で説明した図１（ａ）及び（ｂ）に示す構成と比較すると、本実施形態のクライアント及びサーバでは生成手段１４及び２４を備えない構成となっている。生成手段以外は、図１（ａ）及び（ｂ）に示す構成と同様であるので、説明を省略する。

以上のように構成されたＰＣ１とＰＣ２の動作例について説明する。まず、認証前の準備段階として、管理者の操作によりＰＣ１及びＰＣ２において図１（ｃ）に示すフローが実行される。

管理者は、ＰＣ２において操作手段２１と表示手段２２を用いて、臨時パスとポリシの組を複数作成し、作成した臨時パスとポリシの組をＰＣ２の記憶手段２３に複数記憶させる（Ｓ３１）。臨時パスとポリシの組の例としては、臨時パスＡとポリシＡ、臨時パスＢとポリシＢ、臨時パスＣとポリシＣ、臨時パスＤとポリシＤ、臨時パスＥとポリシＥがそれぞれ対応付けられて組となっており、全部で５つの組が記憶される。なお、これら５つの組は、図４（ａ）に示す５つの組において、「シード」が「臨時パス」に置き換えられたものと同様になる。臨時パスＡ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれが互いに異なる文字列である。本実施形態では、管理者が、任意の方法により各臨時パスＡ〜Ｅの文字列を選択・決定するものとする。また、ポリシＡ、Ｂ、Ｃ、Ｄ、Ｅも、それぞれが異なる内容である。

本実施形態では、臨時パスＡは、ユーザが使用できる回数（使用可能回数）が残り５回以下の臨時パスであるとする。また、臨時パスＢは、使用可能回数が残り４回以下の臨時パスであるとする。また、臨時パスＣは、使用可能回数が残り３回以下の臨時パスであるとする。また、臨時パスＤは、使用可能回数が残り２回以下の臨時パスであるとする。また、臨時パスＥは、使用可能回数が残り１回の臨時パスであるとする。

ここで、ポリシの内容についてポリシＡを例に説明する。図４（ａ）に示すように、ポリシＡでは「臨時パスＡが入力されたら、次の認証では使用可能回数が４回以下に該当する臨時パスが使用可能となる」と定義されている。この定義は、「臨時パスＡをユーザが入力した場合、次の認証を行うときにユーザが使用できる臨時パスは、使用可能回数が残り４回以下に該当する臨時パスとなる」ことを意味する。よって、臨時パスＡ（使用可能回数が残り５回以下の臨時パス）が入力された場合、次に入力できる臨時パスは、臨時パスＢ〜Ｅ（使用可能回数が残り４回以下に該当する臨時パス）となる。つまり、ポリシＡにおける「残り４回以下に該当する臨時パス」とは、残り４回以下の臨時パスＢだけを指すのではなく、「残り４回以下」という条件を満たしている回数（３回、２回、１回）の臨時パスＣ、Ｄ、Ｅも含む。説明は省略するが、ポリシＢ〜ＥもポリシＡと同様の定義・意味である。

管理者は、ＰＣ２の記憶手段２３に記憶させた臨時パスとポリシの組のうち所望の組を選択し、選択した組をＰＣ１の記憶手段１３に記憶させる（Ｓ３２）。この動作は、管理者自身がＰＣ１を直接操作することで行われてもよいし、あるいは、管理者が、所望の組をＰＣ２からＰＣ１へ有線又は無線を介して送信することで行われてもよい。ここでは例として、ＰＣ１の記憶手段１３には、ＰＣ２の記憶手段２３と同じ組、すなわちＡ〜Ｅの５つの臨時パスとポリシの組が記憶されるとする。これら５つの臨時パスは、認証のときに正解となるパスワード（正解パス）の集合である。

管理者は、何らかの手段でＰＣ１のＩＤ（識別情報の一例）を取得し、取得したＰＣ１のＩＤと、ＰＣ１の記憶手段１３に記憶させた臨時パスとポリシの組とを対応付け、ＰＣ２の記憶手段２３に記憶させる（Ｓ３３）。ここでは、記憶手段１３と記憶手段２３に記憶された臨時パスとポリシの組は同一であるので、記憶手段２３には、Ａ〜Ｅの５つの組に対して、ＰＣ１のＩＤが対応付けられる。

なお、本実施形態では、ＰＣ２において、ＰＣ１だけに臨時パスとポリシの組を記憶させる例について説明したが、ＰＣ１以外のＰＣ（複数でもよい）にも臨時パスとポリシの組を記憶させてもよい。よって、ＰＣ２は、複数のＰＣに臨時パスとポリシの組を記憶させ、それらの組をＰＣ２自身でも記憶し、各ＰＣのＩＤと対応付けて管理することができる。

このように図６（ｃ）に示す準備段階が終わった後で、図７に示すフローが可能となる。図７の動作は、上記実施形態１、２における図３の説明の例と同じシチュエーションとする。

ユーザは、携帯電話を用いて、管理者に対し、臨時パスの発行を要求するとともに、例えばＰＣ１の表面上に記載されているＰＣ１のＩＤを伝達する（Ｓ４１）。この要求と伝達は、携帯電話における音声通話とメールのどちらで行われてもよい。

管理者は、携帯電話にて、ユーザから、臨時パスの発行の要求を受けるとともに、ＰＣ１のＩＤを入手する（Ｓ４２）。

ここで、管理者は、ＰＣ２において、ＰＣ１のＩＤを検索キーとして入力し、記憶手段２４の中から、ＰＣ１のＩＤに対応付けられて記憶されている臨時パスとポリシの組を検索する。図１（ｃ）で説明したように、記憶手段２３には予め、ＰＣ１のＩＤと、シードとポリシの組とが対応付けられている。検索された臨時パスとポリシの組は、表示手段２２に表示される。ここでは、Ａ〜Ｅの５つの臨時パスとポリシの組が表示されることになる。これにより、ＰＣ１に記憶されている臨時パスとポリシが特定され、管理者は、ＰＣ１にどのような臨時パスとポリシが記憶されているのかを認識できる（Ｓ４３）。

ここで、ＰＣ１とＰＣ２では５つの臨時パスＡ〜Ｅが保持されているが、このときの状態を初期状態と呼ぶことにする。初期状態では、適用されるポリシは特に何も制限されていない状態であり、臨時パスＡ〜Ｅの５つ全てが使用可能となる。すなわち、初期状態は、ＰＣ１において臨時パスが複数回使える状態となっているので、セキュリティが脆弱である。

管理者は、表示手段２２に表示された５つの臨時パス及びポリシを見て、ユーザとＰＣ１の状況や問題を考慮し、５つの臨時パスの中から所望のものを選択し、選択した臨時パスとその使用順を、携帯電話を用いてユーザに伝達する（Ｓ４４）。この伝達は、携帯電話における音声通話とメールのどちらで行われてもよい。ここでは例として、５つの臨時パスＡ〜ＥのうちＣ、Ｄ、Ｅの３つが選択され、使用してよい臨時パスはＣ、Ｄ、Ｅの３つであることと、使用順はＣ→Ｄ→Ｅの順であることがユーザに伝達されたとする。

ユーザは、携帯電話にて、臨時パスＣ、Ｄ、Ｅとその使用順を入手する（Ｓ４５）。なお、この時点において、臨時パスＡ、Ｂはユーザに伝達されていないが、正解パスのままであり、認証には有効である。

そして、ユーザがＰＣ１の電源を投入すると、ＰＣ１の表示手段１２には認証用の画面（パスワード入力画面）が表示される。ユーザは、その認証用の画面において、所定の入力欄に臨時パスＣを入力し、認証実行の指示をする（Ｓ４６）。

認証手段１５は、ユーザにより入力された臨時パスＣが、記憶手段１３に予め記憶された臨時パス（正解パス）の中にあるかどうかを判断し、ある場合は認証成功、ない場合は認証失敗とする（Ｓ４７）。ここでは、図６（ｃ）のＳ３２にて記憶手段１３に記憶された正解パスは、Ａ、Ｂ、Ｃ、Ｄ、Ｅの５つであるので、入力された臨時パスＣが存在する。よって、認証成功となる（Ｓ４７／ＹＥＳ）。

認証が成功すると、ポリシ変更手段１６は、入力された臨時パスを基に、その臨時パスと同組のポリシとを特定し、特定したポリシを基に次回の認証に適用するポリシを変更する（Ｓ４８）。ここでは、ポリシ変更手段１６は、入力された臨時パスＣを基に、ポリシＣを特定する。そして、臨時パスＣの使用前に適用されるポリシは特に何も制限されていない状態であったが、ポリシ変更手段１６により、特定されたポリシＣに変更される。このポリシＣは、図４（ａ）に示す定義内容となっており、その定義は「臨時パスＣが入力されたら、次の認証では使用可能回数が２回以下に該当する臨時パスが使用可能となる」と定義されている。この定義は、「臨時パスＣをユーザが入力した場合、次の認証を行うときにユーザが使用できる臨時パスは、使用可能回数が残り２回以下に該当する臨時パスＤ、Ｅとなる」という意味である。すなわち、ポリシＣは、臨時パスＡ、臨時パスＢ、臨時パスＣを使用禁止することによって、実現される。つまり、適用されるポリシが特に何も制限されていない状態からＣに変更されることで、次回の認証では、臨時パスの使用条件がより限定されることになる。

ポリシ変更手段１６によりポリシ変更が行われると、図示しない正解パス変更手段（例えばＣＰＵ、ＲＯＭ、ＲＡＭで実現）は、変更されたポリシに応じて、記憶手段１３に記憶されている正解パスの集合を変化させる。ここでは、正解パス変更手段は、変更されたポリシＣに基づいて、初期状態のときに正解パスであった臨時パスＡ〜Ｅの集合からＡ、Ｂ、Ｃを削除し、臨時パスＤ、Ｅだけを新たな正解パスの集合とする。よって、図４（ｂ）に示すように、臨時パスＣの使用後は、ユーザが使用できる臨時パスはＤとＥの２つになり、ユーザが元々知らない臨時パスＡ、Ｂとユーザが一度使用した臨時パスＣは使用できなくなる。

従って、本実施形態によれば、臨時パスが複数回使用できる状態にある場合、所定の臨時パスの使用後に、その他の臨時パスを使用できなくすることで、セキュリティを向上させることができる。

ポリシの変更後は、ＰＣ１においてログインが許可される（Ｓ４９）。

臨時パスＣを使用してのログイン後、何らかの理由により、固定パスの再設定を行う前に再度の認証が必要となった場合は、ユーザは、臨時パスＤ、Ｅを使用して認証を行うことができる。その場合、これまでの説明と同様にして、パス入力、認証、ポリシ変更が行われる。これらの動作については、Ｓ４６〜Ｓ４８と同様であるので、説明を省略する。

なお、上記図７の説明は、臨時パスを複数回使用できる場合の例として、実施形態１と同様に、互いに異なる複数の臨時パスがユーザに伝達され、ユーザはそれらを１回ずつ使用できるようにする場合について説明したが、本実施形態の図７の動作は、実施形態２で説明した、単一のパスがユーザに伝達され、ユーザはその臨時パスを制限時間内に複数回使用できるようにする場合についても適用できる。

〔実施形態４〕
本発明の実施形態４について説明する。上述した実施形態１〜３では、シード又は臨時パスのいずれかに対して、臨時パスの使用条件が定義されたポリシを対応付けて記憶する例について説明したが、ポリシの定義は臨時パスの使用条件だけに限られない。例えば、ポリシは、臨時パスの使用条件の代わりに、クライアントであるＰＣ１の所定の機能の使用条件が定義されていてもよい。この場合のポリシは、例えば「ネットワーク機能を使用不可とする」という定義となる。あるいは、ポリシは、臨時パスの使用条件に加えて、クライアントであるＰＣ１の所定の機能の使用条件が定義されてもよい。この場合のポリシは、例えば「臨時パスＡが入力されたら、次の認証では使用可能回数が４回以下に該当する臨時パスが使用可能となる。ただし、ネットワーク機能を使用不可とする」という定義となる。以上のように、ポリシの定義は、臨時パスの使用条件（使用できる回数や時間）とクライアントの機能の使用条件（使用できる機能の種類や範囲）を任意に組み合わせることができる。この意味で、本発明の実施形態で用いられるポリシは、臨時パスによる認証後にシステム（クライアント）を使用する際のシステムの使用条件が定義されたものといえる。よって、本実施形態によれば、臨時パスについてのセキュリティだけでなく、クライアントのセキュリティも向上させることができる。

〔実施形態５〕
本発明の実施形態５について説明する。上述した実施形態１〜４において、ポリシ変更が行われた後の所定のタイミングで、変更されたポリシを初期状態のときに戻すことが望ましい。そのための手段として、ＰＣ１にリセット手段（ＣＰＵ等で実現）を備えるようにしてもよい。例えば、ユーザ又は管理者は、臨時パスでのログイン後に固定パスの再設定が済んだら、ＰＣ１に臨時パスのリセット指示を出す。この指示を受けると、リセット手段は、記憶手段１３（又は生成手段１４）に記憶されている正解パスの集合を削除し、記憶手段１３に記憶されている全てのポリシを、最初に記憶手段１３に記憶されたときの内容に戻す。これにより、次の新たな臨時パスの使用に備える準備ができる。

以上、本発明の各実施形態について説明したが、上記実施形態の説明に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能である。

例えば、上述した実施形態における動作は、ハードウェア、または、ソフトウェア、あるいは、両者の複合構成によって実行することも可能である。

ソフトウェアによる処理を実行する場合には、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれているコンピュータ内のメモリにインストールして実行させてもよい。あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させてもよい。

例えば、プログラムは、記録媒体としてのハードディスクやＲＯＭ（Read Only Memory）に予め記録しておくことが可能である。あるいは、プログラムは、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＭＯ（Magneto Optical）ディスク、ＤＶＤ（Digital Versatile Disc）、ＵＳＢ（Universal Serial Bus）メモリ、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的、あるいは、永続的に格納（記録）しておくことが可能である。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することが可能である。

なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送してもよい。または、ＬＡＮ（Local Area Network）、インターネットといったネットワークを介して、コンピュータに有線で転送してもよい。コンピュータでは、転送されてきたプログラムを受信し、内蔵するハードディスク等の記録媒体にインストールすることが可能である。

また、上記実施形態で説明した処理動作に従って時系列的に実行されるのみならず、処理を実行する装置の処理能力、あるいは、必要に応じて並列的にあるいは個別に実行するように構築することも可能である。

１ ＰＣ（クライアントの一例）
２ ＰＣ（サーバの一例）
１１、２１ 操作手段
１２、２２ 表示手段
１３、２３ 記憶手段
１４、 ２４ 生成手段
１５ 認証手段
１６ ポリシ変更手段

Claims (8)

1. 使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証する情報処理装置であって、
   一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を予め複数記憶しておく記憶手段と、
   入力された臨時認証用情報が前記記憶手段に存在する場合に認証成功とする認証手段と、
   前記認証手段で認証が成功した場合、適用するポリシを、前記入力された臨時認証用情報に対応付けられたポリシを基に、前記使用条件がより限定されるポリシに変更するポリシ変更手段と、
   を有することを特徴とする情報処理装置。
2. 前記ポリシは、
   前記臨時認証用情報の使用条件の代わりに、前記情報処理装置の所定の機能の使用条件が定義されているか、又は、前記臨時認証用情報の使用条件に加えて、前記情報処理装置の所定の機能の使用条件が定義されていることを特徴とする請求項１記載の情報処理装置。
3. 前記記憶手段は、
   前記一の臨時認証用情報の代わりに、当該臨時認証用情報の元となる一の第１の文字列を前記ポリシと対応付けた組を予め複数記憶しておき、
   前記第１の文字列と、当該第１の文字列とは別に用意された第２の文字列とを基に、前記臨時認証用情報を生成する生成手段を有し、
   前記ポリシ変更手段は、
   前記認証手段で認証が成功した場合、適用するポリシを、前記入力された臨時認証用情報の元となった前記第１の文字列に対応付けられたポリシを基に、前記使用条件がより限定されるポリシに変更することを特徴とする請求項１又は２記載の情報処理装置。
4. 前記ポリシ変更手段によって変更されたポリシを元の内容に戻すリセット手段を有することを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
5. 前記臨時認証用情報の使用条件は、
   前記臨時認証用情報を使用できる時間及び回数の少なくとも一方を含むことを特徴とする請求項１から４のいずれか１項に記載の情報処理装置。
6. 前記認証は、
   前記情報処理装置自体を使用可能な状態にするための認証であることを特徴とする請求項１から５のいずれか１項に記載の情報処理装置。
7. 使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証する情報処理装置の認証方法であって、
   一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を、所定の記憶手段に予め複数記憶しておく記憶ステップと、
   入力された臨時認証用情報が前記記憶手段に存在する場合に認証成功とする認証ステップと、
   前記認証ステップで認証が成功した場合、適用するポリシを、前記入力された臨時認証用情報に対応付けられたポリシを基に、前記使用条件がより限定されるポリシに変更するポリシ変更ステップと、
   を有することを特徴とする情報処理装置の認証方法。
8. 使用条件に制限がある臨時認証用情報に基づいて、正規の利用者であるかを認証するための処理をコンピュータに実行させるプログラムであって、
   一の臨時認証用情報と、当該臨時認証用情報の使用条件が定義されたポリシとを対応付けた組を、所定の記憶手段に予め複数記憶しておく記憶処理と、
   入力された臨時認証用情報が前記記憶手段に存在する場合に認証成功とする認証処理と、
   前記認証処理で認証が成功した場合、適用するポリシを、前記入力された臨時認証用情報に対応付けられたポリシを基に、前記使用条件がより限定されるポリシに変更するポリシ変更処理と、
   をコンピュータに実行させることを特徴とするプログラム。

Images