JP5852265B2 - 計算装置、コンピュータプログラム及びアクセス許否判定方法 - Google Patents

Description

ネットワークへのアクセスが限られているか、又はネットワークへのアクセスをまったく有さない多くの装置に関し、こうした装置に対する管理及びサービス提供が困難であることに関する。

計算装置が日々の生活においてかなりどこにでも存在するようになり、したがって人間が多数のこうした装置と一日中やりとりをすることが珍しくはなくなった。多くの理由で、こうした計算装置の多くが、インターネットなどの１又は複数のネットワークに常時接続されている。こうした接続性は、計算装置がリモート装置及びサーバからセキュリティパッチ、ソフトウェアアップデート、ファームウェアアップデート、並びに種々の他の形式の情報及びデータを受信することを可能にする。

しかしながら、様々な要因に起因して、いくつかの装置に堅牢な接続性を提供することが実現可能でない場合がある。上記装置の多くはネットワークへのアクセスが限られているか、又はネットワークへのアクセスをまったく有さず、このことが、上記装置に対して管理及びサービス提供することを困難にしている。その上、上記装置の接続性の欠如に起因して、上記装置の多くが、リモートログオンサーバと確実に通信する能力がなく、結果として、しばしば共通のユーザ名及びパスワードを用いて構成される。こうした行為は、上記装置が迅速かつセキュアにパスワードを変更し、又はユーザの承認を無効にする能力を欠いているため、上記装置を多数のセキュリティ脅威にさらされる状態にする。

システムが、計算装置であり、（i）ワンタイムパスワード（ＯＴＰ）及びノンスを生成し、（ii）上記計算装置の暗号鍵を用いて上記ＯＴＰ、上記ノンス、及び一意的識別子を暗号化して承認要求メッセージを生成し、（iii）上記承認要求メッセージをモバイル装置と共有する、計算装置と、（i）上記モバイル装置から上記承認要求メッセージとユーザクレデンシャルとを受信し、（ii）上記承認要求メッセージと上記ユーザクレデンシャルとに応じて、ユーザが上記計算装置にアクセスすることを承認されるかどうかを決定し、（iii）上記ユーザが上記計算装置にアクセスすることを承認されるかどうかを決定することに応じて承認応答メッセージを生成し、（iv）上記モバイル装置に、上記計算装置と共有すべき上記承認応答メッセージを送信するアクセス制御サーバであり、上記計算装置は、上記承認応答メッセージに応じて上記計算装置へのアクセスを許可するか、それとも拒否するかを決定する、アクセス制御サーバと、を含む。

本願において説明される発明は、添付図面において、限定としてではなく例示として図示される。図示の簡潔さ及び明りょうさのため、図面に示される要素は、必ずしも縮尺どおりに描かれてはいない。例えば、いくつかの要素の寸法が、明りょうさのため、他の要素に対して誇張される場合がある。さらに、適切と考えられる場合、参照ラベルが図面にわたって繰り返されて対応する又は類似する要素を示している。
分散型ログオンサービスをオフライン計算装置に拡大するシステムの少なくとも１つの実施形態の簡素化されたブロック図である。 分散型ログオンサービスを図１のオフライン計算装置に拡大する方法の少なくとも１つの実施形態の簡素化された動作フロー図である。 図１及び図２の計算装置によって実行される、分散型ログオンサービスを拡大する方法の少なくとも１つの実施形態の簡素化されたフロー図である。 図１及び図２のモバイル装置によって実行される、分散型ログオンサービスを拡大する方法の少なくとも１つの実施形態の簡素化されたフロー図である。 図１及び図２のアクセス制御サーバによって実行される、分散型ログオンサービスを拡大する方法の少なくとも１つの実施形態の簡素化されたフロー図である。

本開示の概念は、種々の変更と代替的な形式とを受け入れる余地があるが、本開示の特定の例示的な実施形態が、例として図面において示されており、本明細書において詳細に説明されることになる。しかしながら、開示された特定の形式に本開示の概念を限定する意図はまったくなく、しかし逆に、その意図は、本開示と添付の特許請求の範囲とに調和するすべての変更、均等物及び代替手段におよぶものであることを、理解されたい。

以降の説明において、ロジック実装、演算コード、オペランドを指定する手段、リソース分割／共有／複製の実装、システムコンポーネントの種類及び相互関係並びにロジック分割／統合の選択などの多数の特定の詳細が、本開示のより完全な理解を与えるために説明される。しかしながら、本開示の実施形態は上記のような特定の詳細なしに実施することができることを、当業者は十分理解するであろう。他の例では、制御構造、ゲートレベル回路、及び完全なソフトウェア命令シーケンスは、本発明を分かりにくくしないために、詳細に示されていない。当業者は、本明細書に含まれる説明を用いて、過度の実験なしに適切な機能性を実施することができるであろう。

本明細書における「１つの実施形態」「ある実施形態」「ある例示的な実施形態」などの言葉は、説明される実施形態が特定の特性、構造又は特徴を含み得るが、しかしながらあらゆる実施形態が必ずしも上記特定の特性、構造又は特徴を含み得ないことを、示す。その上、上記の語句は、必ずしも同一の実施形態を参照するものではない。さらに、特定の特性、構造又は特徴がある実施形態に関連して説明されるとき、明示的に説明されるか否かにかかわらず、上記のような特性、構造又は特徴を他の実施形態と関連して達成することは当業者の知識の範囲内にあることが、提起される。

本発明の実施形態は、ハードウェア、ファームウェア、ソフトウェア、又はそれらの任意の組み合わせにおいて実施することができる。コンピュータシステムに実装された本発明の実施形態は、コンポーネント間の１若しくは複数のバスベースの相互接続若しくはリンク、及び／又はコンポーネント間の１若しくは複数のポイントツーポイント相互接続を含むことができる。本発明の実施形態は、さらに、一時的な又は固定の機械読み取り可能媒体によって担体され、又は上記機械読み取り可能媒体上に記憶された、命令として実施することができ、上記機械読み取り可能媒体は、１又は複数のプロセッサによって読み出され、実行されることができる。機械読み取り可能媒体は、機械（例えば、コンピュータ装置）によって読取可能な形式の情報を記憶する又は送信する任意の装置、メカニズム又は物理的構造として具体化されることができる。例えば、機械読み取り可能媒体は、読み取り専用メモリ（ＲＯＭ）；ランダムアクセスメモリ（ＲＡＭ）；磁気ディスク記憶媒体；光記憶媒体；フラッシュメモリ装置；ミニ又はマイクロＳＤカード、メモリスティック、電気信号及び他のものとして、具体化されることができる。

図面において、装置、モジュール、命令ブロック及びデータ要素を表す図解要素などの、図解要素の特定の配置又は順序が、説明を簡易にするために示される場合がある。しかしながら、図面における図解要素の特定の順序又は配置は、特定の処理の順序若しくはシーケンス又は処理の分離が必要とされることを示すように意図されていないことを、当業者には理解されたい。さらに、図面においてある図解要素を含むことは、上記の要素がすべての実施形態において必要とされること、あるいは上記の要素によって表される特性がいくつかの実施形態の中の他の要素に含まれない又は組み合わせされないことを、示すように意図されてはいない。

一般に、命令ブロックを表すために使用される図解要素は、ソフトウェア若しくはファームウェアアプリケーション、プログラム、関数、モジュール、ルーチン、プロセス、プロシージャ、プラグイン、アプレット、ウィジェット、コードフラグメント、及び／又は他のものなどの、任意の適切な形式の機械読み取り可能命令を用いて実装することができ、上記の各々のこうした命令は、任意の適切なプログラミング言語、ライブラリ、アプリケーションプログラミングインタフェース（ＡＰＩ）、及び／又は他のソフトウェア開発ツールを用いて実装することができる。例えば、いくつかの実施形態を、Ｊａｖａ（登録商標）、Ｃ＋＋、及び／又は他のプログラミング言語を用いて実装することができる。同様にして、データ又は情報を表すために使用される図解要素は、レジスタ、データストア、テーブル、レコード、配列、インデックス、ハッシュ、マップ、ツリー、リスト、グラフ、（任意のファイル種別の）ファイル、フォルダ、ディレクトリ、データベース、及び／又は他のものなどの、任意の適切な電子的な配置又は構造を用いて実装することができる。

さらに、図面において、実線若しくは破線又は実線若しくは破線の矢印などの接続要素を使用して複数の他の図解要素の間の、又は間における接続、関係又は関連付けを示すとき、いかなる上記の接続要素の欠如も、接続、関係又は関連付けがまったく存在し得ないことを示すように意図されてはいない。換言すると、要素間のいくつかの接続、関係又は関連付けは、本開示を分かりにくくしないように、図面に示されない場合がある。加えて、図示を簡易にするため、単一の接続要素を用いて要素間の複数の接続、関係又は関連付けを表す場合がある。例えば、ある接続要素が信号、データ又は命令の通信を表す場合、上記の要素は、上記通信を達成するために必要とされ得るとおりの１又は複数の信号パス（例えば、バス）を表す場合があることを、当業者には理解されたい。

次に図１を参照すると、分散型ログオンサービスをオフライン計算装置に拡大するシステム１００が、計算装置１０２とアクセス制御サーバ１６２とを含む。いくつかの実施形態において、計算装置１０２には、ネットワーク１８０などの１又は複数のネットワークに対して限定されたアクセスを有するか、又はアクセスをまったく有していない、「オフライン」装置を含む。さらに、又は別法として、他の実施形態において、オフライン計算装置１０２は、プライベートネットワークへのアクセスを有し、しかしながらネットワーク１８０へのアクセスを有さない場合がある。使用中、以下でより詳細に論じられるとおり、モバイル装置１３２は、オフライン計算装置１０２がアクセス制御サーバ１６２を用いてユーザを認証する際に、プロキシとして動作する。こうするために、オフライン計算装置１０２は、アクセス制御サーバ１６２によって検証されるべき承認要求メッセージを生成する。オフライン計算装置１０２は、承認要求メッセージの視覚的及び／又は電子的表現を生成し、これ以降上記承認要求メッセージが利用可能とされてモバイル装置１３２によって取り込まれることになる。いったん取得されると、承認要求メッセージは、プロキシとして動作するモバイル装置１３２によって、ネットワーク１８０を通じて、アクセス制御サーバ１６２へ送信される。承認要求メッセージ内に含まれる情報に基づいて、アクセス制御サーバ１６２は、オフライン計算装置１０２へのアクセスが承認されるべきかどうかを決定する。オフライン計算装置１０２へのアクセスが承認されることの決定に呼応して、アクセス制御サーバ１６２は、モバイル装置１３２に対して承認応答メッセージを生成及び送信し、モバイル装置１３２は再びプロキシとして動作する。受信すると、モバイル装置１３２は、承認応答メッセージの視覚的及び／又は電子的表現を生成し、これ以降上記承認応答メッセージが利用可能とされてオフライン計算装置１０２によって取り込まれることになる。それから、オフライン計算装置は、アクセスが許可されるべきかどうかを、承認要求メッセージ内に含まれる情報と承認応答メッセージ内に含まれる情報とを比較することに基づいて決定する。

計算装置１０２は、本明細書に説明される機能を実行する能力がある任意の種類の計算装置として具体化することができる。例えば、計算装置１０２は、デスクトップコンピュータ、ラップトップコンピュータ、モバイルインターネット装置、ハンドヘルドコンピュータ、スマートフォン、タブレット型コンピュータ、パーソナルデジタルアシスタント、テレフォニー装置、又は他の計算装置として具体化することができる。１つの具体的な実施形態において、計算装置１０２は、現金自動預け払い機として具体化される。図１の図示の実施形態において、計算装置１０２は、プロセッサ１０４、Ｉ／Ｏサブシステム１１０、メモリ１０８、データ記憶装置１１８、及び１又は複数の周辺装置１２６を含む。いくつかの実施形態において、前述のコンポーネントのうちいくつかを、計算装置１０２のマザーボード上に組み込むことができ、その上、他のコンポーネントを、例えば周辺ポートを介して、マザーボードに通信可能に結合することができる。さらに、計算装置１０２は、本説明の明りょうさのために図１に図示されていない、コンピュータ及び／又は計算装置に一般的に見られる他のコンポーネント、サブコンポーネント及び装置を含むことができることを、十分理解されたい。

計算装置１０２のプロセッサ１０４は、マイクロプロセッサ、デジタルシグナルプロセッサ、マイクロコントローラ又は類似のものなどの、ソフトウェア／ファームウェアを実行する能力がある任意の種類のプロセッサとして具体化することができる。プロセッサ１０４は、プロセッサコア１０６を有する単一のコアプロセッサとして、図として具体化されている。しかしながら、他の実施形態において、プロセッサ１０４は、複数のプロセッサコア１０６を有するマルチコアプロセッサとして具体化することができる。さらに、計算装置１０２は、１又は複数のプロセッサコア１０６を有する追加のプロセッサ１０４を含むことができる。

計算装置１０２のＩ／Ｏサブシステム１１０は、回路及び／又はコンポーネントとして具体化されて、プロセッサ１０４、及び／又は計算装置１０２の他のコンポーネントとの入力／出力動作を容易にすることができる。いくつかの実施形態において、Ｉ／Ｏサブシステム１１０は、メモリコントローラハブ（ＭＣＨ、又は「ノースブリッジ」）、入力／出力コントローラハブ（ＩＣＨ、又は「サウスブリッジ」）、及びファームウェア装置として具体化することができる。こうした実施形態において、Ｉ／Ｏサブシステム１１０のファームウェア装置は、基本入出力システム（ＢＩＯＳ）のデータ及び／若しくは命令並びに／又は他の情報（例えば、計算装置１０２のブート中に使用されるＢＩＯＳドライバ）を記憶するメモリ装置として具体化することができる。しかしながら、他の実施形態において、他の構成を有するＩ／Ｏサブシステムを使用することができる。例えば、いくつかの実施形態において、Ｉ／Ｏサブシステム１１０は、プラットフォームコントローラハブ（ＰＣＨ）として具体化することができる。こうした実施形態において、メモリコントローラハブ（ＭＣＨ）は、プロセッサ１０４に組み込まれ、又はその他の方法で関連付けられることができ、プロセッサ１０４は、（図１において点線（hashed line）で示されるとおり）メモリ１０８と直接通信することができる。さらに、他の実施形態において、Ｉ／Ｏサブシステム１１０は、システムオンチップ（ＳｏＣ）の一部分を形成し、プロセッサ１０４、及び計算装置１０２の他のコンポーネントと共に、単一の集積回路チップ上に組み込まれることができる。

Ｉ／Ｏサブシステム１１０は、セキュリティエンジン（ＳＥ）１１２を含むことができる。セキュリティエンジン１１２は、セキュリティコプロセッサなどの、組み込み型マイクロプロセッサとして具体化することができ、プロセッサ１０４とは独立して動作して、プロセッサ１０４、又は計算装置１０２の他のコンポーネントがアクセスすることはできないセキュアな隔離された環境を提供する。いくつかの実施形態において、ＳＥ１１２は、計算装置１０２により使用される１又は複数の暗号鍵の記憶を管理して、計算装置１０２とモバイル装置１３２及び／又はアクセス制御サーバ１６２との間のデータ及び／又は通信を安全にすることができる。こうした実施形態において、上記１又は複数の暗号鍵は、ＳＥ１１２がアクセス可能であり、計算装置１０２の他のコンポーネントがアクセス不可能である、メモリ１０８の部分に記憶することができる。他の実施形態において、ＳＥ１１２は、ワンタイムパスワード（ＯＴＰ）を生成することができ、上記ワンタイムパスワードは、以下でより詳細に論じられるものであるが、分散型ログオンサービスをオフライン計算装置１０２に拡大するために部分的に活用される。

プロセッサ１０４は、多数の信号パスを介してＩ／Ｏサブシステム１１０に通信可能に結合される。こうした信号パス（及び、図１に示される他の信号パス）は、計算装置１０２のコンポーネント間で通信を容易にする能力がある任意の種類の信号パスとして具体化することができる。例えば、上記信号パスは、バス、介在する装置、及び／又は類似のものを介して、任意の数のワイヤ、ケーブル、光ガイド、プリント回路基板トレースとして具体化することができる。

計算装置１０２のメモリ１０８は、１又は複数のメモリ装置又はデータ記憶場所として具体化され、又はその他の方法で上記１又は複数のメモリ装置又はデータ記憶場所を含むことができ、上記のメモリ装置又はデータ記憶場所には、例えば、ダイナミックランダムアクセスメモリ装置（ＤＲＡＭ）、同期型ダイナミックランダムアクセスメモリ装置（ＳＤＲＡＭ）、ダブルデータレート同期型ランダムアクセスメモリ装置（ＤＤＲ ＳＤＲＡＭ）、マスク読取専用メモリ（ＲＯＭ）装置、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）装置、フラッシュメモリ装置、並びに／又は他の揮発性及び／若しくは不揮発性メモリ装置を含むことができる。メモリ１０８は、複数の信号パスを介してＩ／Ｏサブシステム１１０に通信可能に結合される。種々のデータ及びソフトウェアを、メモリ装置１０８に記憶することができる。例えば、プロセッサ１０４により実行されるソフトウェアスタックを構成する１又は複数のオペレーティングシステム、アプリケーション、プログラム、ライブラリ及びドライバが、実行中にメモリ１０８に存在し得る。さらに、メモリ１０８に記憶されるソフトウェア及びデータは、メモリ管理操作の一部として、メモリ１０８とデータ記憶装置１１８との間でスワップされることができる。

計算装置１０２は、他の実施形態においてさらなるメモリ装置を含むことができる。例えば、計算装置１０２は、セキュアメモリ１１４を含むことができ、セキュアメモリ１１４は、以下でより詳細に論じられるが、計算装置１０２のデータ又は通信を安全にするための１又は複数の暗号鍵１１６を記憶することができる。セキュアメモリ１１４は、メインメモリ１０８とは別個のメモリ装置として具体化することができ、あるいはメモリ１０８の安全にされた区画として具体化することができる。２つのメモリ装置１０８、１１４のみが図１に示されているが、計算装置１０２は、他の実施形態において、任意の数のさらなるメモリ装置を含むことができる。

計算装置１０２は、さらに、データ記憶装置（群）１１８を含むことができる。データ記憶装置（群）１１８は、例えば、メモリ装置及び回路、メモリカード、ハードディスクドライブ、ソリッドステートドライブ、又は他のデータ記憶装置などの、短期間又は長期間のデータ記憶をなすように構成された任意の種類の１又は複数の装置として具体化することができる。

さらに、計算装置１０２は、通信回路１２２を含んで、ネットワーク１８０を通じた１又は複数のリモート計算装置との通信を容易にすることができる。計算装置１０２は、例えば、ネットワーク（群）１８０の具体的な種類に依存して、任意の適切な通信プロトコルを使用してネットワーク１８０を通じて他の計算装置と通信することができる。通信回路１２２には、いくつかの実施形態において、近距離無線通信（near-field communication）（ＮＦＣ）を含むことができる。計算装置１０２は、ＮＦＣ回路１２４を使用して、ネットワーク１８０を用いることなしに１又は複数のリモート計算装置に情報又はデータを転送することができる。例えば、計算装置１０２は、ＮＦＣ回路１２４を使用してモバイル装置１３２に情報又はデータを転送することができ、モバイル装置１３２もまた、以下で論じられるとおり、ＮＦＣ回路１５４を含むことができる。

いくつかの実施形態において、計算装置１０２は、視覚的な画像又はオブジェクトを取り込むためのカメラ１２０又はスキャナを含むことができ、上記画像又はオブジェクトを１又は複数のリモート計算装置が表示することができる。例えば、計算装置１０２はカメラ１２０を使用して１又は複数の画像を取り込むことができ、上記画像をモバイル装置１３２が表示することができる。カメラ１２０は、画像を生成する能力があるスチールカメラ、ビデオカメラ又は類似のものなどの任意の種類のカメラとして具体化することができ、上記画像を１又は複数のリモート計算装置が表示することができ、あるいは計算装置１０２のユーザが提供することができる。いくつかの実施形態において、カメラ１２０は、計算装置１０２の筐体に組み込むことができ、あるいは計算装置１０２に通信可能に結合された周辺装置１２６とすることができる。例えば、カメラ１２０は、計算装置１０２の表示画面の近くに組み込むことができ、あるいは計算装置１０２の近くに位置付けることができる。

計算装置１０２の周辺装置１２６には、任意の数の周辺装置又はインタフェース装置を含むことができる。例えば、周辺装置１２６には、ディスプレイ、タッチスクリーン、キーボード、マウス、外部スピーカ、及び／又は他の周辺装置を含むことができる。周辺装置１２６は、複数の信号パスを介してＩ／Ｏサブシステム１１０に通信可能に結合され、したがってＩ／Ｏサブシステム１１０及び／又はプロセッサ１０４は周辺装置１２６から入力データを受領し、周辺装置１２６へ出力データを送出することが可能となる。周辺装置１２６に含まれる具体的な装置は、例えば、計算装置１０２の使用の意図に依存し得る。

図示されている例示の実施形態において、周辺装置１２６には、グラフィックス周辺機器カードのグラフィックス処理ユニットとして具体化されるグラフィックス回路１２８を含む。グラフィックス処理ユニットは、グラフィックスの生成の加速及び類似のことなどの種々のグラフィックス処理機能を実行するために使用される。したがって、通常は、グラフィックス処理ユニットを使用して、計算装置１０２上のグラフィックスの生成をサポートする。しかしながら、グラフィックス処理ユニットをさらに使用して、カメラ１２０によって取り込まれた視覚的な画像を処理し、及び／又は計算装置１０２のための他のタスクを実行することができる。例えば、グラフィックス処理ユニットは、プロセッサ１０４と連動して、又はプロセッサ１０４とは別個に、計算装置のソフトウェア／ファームウェアを実行することができる。いくつかの実施形態において、プロセッサ１０４はさらに、プロセッサコア１０６と共通のダイの上に定められたグラフィックス回路１２８を含むことができる。

モバイル装置１３２は、以下に説明されるプロキシ機能を実行する能力がある任意の種類のポータブル装置として具体化することができる。計算装置１０２と同様に、モバイル装置１３２は、ポータブルコンピュータ内に一般に見られる種々のコンポーネントを含むことができる。図１の例示の実施形態において、モバイル装置１３２は、プロセッサ１３４、メモリ１３８、Ｉ／Ｏサブシステム１４０、データ記憶装置１４８、カメラ１５０、通信回路１５２、及び１又は複数の周辺装置１５６を含む。通信回路１５２は、モバイル装置１３２とネットワーク１８０から切り離されている計算装置１０２との間の直接的な通信のためのＮＦＣ回路１５４を含むことができる。図１の例示の実施形態において示されるとおり、データ記憶装置１４８、カメラ１５０、通信回路１５２及びＮＦＣ回路１５４は、モバイル装置１３２の別個のコンポーネントから成ることができる。もちろん、他の実施形態において、周辺装置１５６がデータ記憶装置１４８、カメラ１５０、通信回路１５２及びＮＦＣ回路１５４のうち１又は複数を含むことができることを、理解されたい。

アクセス制御サーバ１６２は、本明細書において説明される認証機能を実行する能力がある任意の種類のサーバとして具体化することができる。アクセス制御サーバ１６２には、サーバコンピュータにおいて一般に見られる種々のコンポーネントを含むことができる。図１の例示の実施形態において、アクセス制御サーバ１６２は、プロセッサ１６４、メモリ１６６、データ記憶装置１７０及び通信回路１７２を含む。メモリ１６６は、アクセス制御サーバ１６２により使用される１又は複数の暗号鍵を記憶して、アクセス制御サーバ１６２と計算装置１０２及び／又はモバイル装置１３２との間のデータ及び／又は通信を安全にすることができる。いくつかの実施形態において、メモリ１６６は、ワンタイムパスワード（ＯＴＰ）を記憶することができ、上記ワンタイムパスワードを活用して分散型ログオンサービスのオフライン計算装置１０２への拡大を容易にすることができる。

次に図２を参照して、分散型ログオンサービスをオフライン計算装置１０２に拡張する方法２００の例示の実施形態を示す。動作において、計算装置１０２は、計算装置１０２へのアクセスを要求するユーザに呼応して承認要求パケットを生成する。こうした実施形態において、ユーザは、計算装置１０２の１又は複数のコンポーネントへのアクセスを要求することができ、あるいはユーザは、計算装置１０２上で実行中の１又は複数の機能又はプログラムへのアクセスを要求することができる。承認要求パケットを生成するために、計算装置１０２は、計算装置１０２により生成されるワンタイムパスワード（ＯＴＰ）と、計算装置１０２により生成されるノンスと、計算装置１０２の一意的識別子とを、暗号鍵を用いて暗号化することができる。ノンスは、例えば反射攻撃を阻止するように、暗号法の機能で１回だけ使用されることを意図された乱数又は疑似乱数として具体化される。

いくつかの実施形態において、計算装置１０２は、データ送信２０２において、生成された承認要求パケットをモバイル装置１３２と共有する。こうした実施形態において、計算装置１０２は、バーコード及び／又は１若しくは複数のＮＦＣデータ交換を用いて、生成された承認要求パケットをモバイル装置１３２と共有することができる。

生成された承認要求パケットを受信すると、モバイル装置１３２は、計算装置１０２へのアクセスを要求しているユーザからのユーザクレデンシャルを取得することができる。いくつかの実施形態におけるユーザクレデンシャルは、計算装置１０２へのアクセスを要求しているユーザに対して一意的である。ユーザからユーザクレデンシャルを取得した後、モバイル装置１３２は、データ送信２０４において、ネットワーク１８０を通じてアクセス制御サーバ１６２に承認要求パケットとユーザクレデンシャルとを送信する。

アクセス制御サーバ１６２は、モバイル装置１３２から承認要求パケットとユーザクレデンシャルとを受信すると、暗号鍵を用いて承認要求パケットを解読して、ＯＴＰ、ノンス、及び計算装置１０２の一意的識別子を取得する。承認要求パケットを解読するために使用される暗号鍵は、承認要求パケットを暗号化するために使用された暗号鍵に対応することを、理解されたい。アクセス制御サーバ１６２は、いくつかの実施形態において、ＯＴＰと計算装置１０２の一意的識別子とを検証する。さらに、又は別法として、いくつかの実施形態において、アクセス制御サーバ１６２は、モバイル装置１３２により取得されたユーザクレデンシャルを検証する。

ＯＴＰ、計算装置１０２の一意的識別子、及びモバイル装置１３２により取得されたユーザクレデンシャルを検証したことに呼応して、アクセス制御サーバ１６２は、暗号鍵を用いてノンスを再暗号化して、承認応答パケットを生成する。ノンスを再暗号化するために使用される暗号鍵は、ＯＴＰ、ノンス、及び計算装置１０２の一意的識別子を暗号化するために使用された暗号鍵と対応する鍵又は異なる鍵であってよいことを、理解されたい。ノンスを再暗号化した後、アクセス制御サーバ１６２は、データ送信２０６において、生成された承認応答パケットを、ネットワーク１８０を通じてモバイル装置１３２に送信する。

生成された承認応答パケットを受信すると、モバイル装置１３２は、データ送信２０８において、生成された承認応答パケットを計算装置１０２と共有する。こうした実施形態において、モバイル装置１３２は、バーコード及び／又は１若しくは複数のＮＦＣデータ交換を用いて、生成された承認応答パケットを計算装置１０２と共有する。モバイル装置１３２が承認応答パケットを計算装置１０２と共有するために使用するバーコード及び／又は１若しくは複数のＮＦＣデータ交換は、計算装置１０２が承認要求パケットをモバイル装置１３２と共有するために使用するバーコード及び／又は１若しくは複数のＮＦＣデータ交換とは異なることを、理解されたい。

計算装置１０２は、承認応答パケットを受信すると、承認応答パケットを解読して、アクセス制御サーバ１６２により再暗号化されたものであるノンスを取得する。承認応答パケットを解読するために使用される暗号鍵は、承認応答パケットを暗号化するために使用された暗号鍵に対応することを、理解されたい。計算装置１０２は、いくつかの実施形態において、アクセス制御サーバ１６２により再暗号化されたノンスが、計算装置１０２により当初生成されたノンスと同一であることを、確認する。これ以降、計算装置１０２は、ノンスの確認に基づいて、計算装置１０２へのアクセスを許可するか、それとも拒否するかを決定することができる。

上記で論じられたとおり、いくつかの実施形態において、計算装置１０２は、現金自動預け払い機（ＡＴＭ）１０２として具体化することができる。こうした実施形態において、ＡＴＭ１０２は、ＡＴＭ１０２の１又は複数のコンポーネント又は機能へのアクセスを要求するユーザに呼応して、承認要求パケットを生成することができる。こうするために、ＡＴＭ１０２は最初に、例えば１又は複数の暗号法アルゴリズムを用いて、ＯＴＰとノンスとを生成することができる。次いでＡＴＭ１０２は、ＯＴＰ、ノンス、及びＡＴＭ１０２の一意的識別子を暗号化して承認要求パケットを生成する。

ＡＴＭ１０２がネットワーク１８０に対して限定されたアクセスを有するか、又はアクセスをまったく有さないところの実施形態において、上記ＡＴＭは、モバイル装置１３２をプロキシとして使用してアクセス制御サーバ１６２に承認要求パケットを送信する。こうした実施形態において、ＡＴＭ１０２は、承認要求パケットをＮＦＣタグ又はバーコードに符号化し、又はその他の方法で変換することができ、それから、上記ＮＦＣタグ又はバーコードをモバイル装置１３２が読み取り、又は取り込むことができる。ＡＴＭ１０２により提供されるＮＦＣタグ又はバーコードから承認要求パケットを受信すると、モバイル装置１３２は、上記パケットをユーザクレデンシャルとともに、ネットワーク１８０を通じてアクセス制御サーバ１６２に転送する。

次いで、アクセス制御サーバ１６２は、承認要求パケットを解読し、承認要求パケット内に含まれる情報を検証することができる。上記情報（すなわち、ＯＴＰ、ノンス、及びＡＴＭ１０２の一意的識別子）が検証された場合、アクセス制御サーバ１６２は、ノンスを再暗号化してＡＴＭ１０２への送信のための承認応答パケットを生成する。

上記で論じられたとおり、ＡＴＭ１０２は、いくつかの実施形態において、ネットワーク１８０に対して限定されたアクセスを有するか、又はアクセスをまったく有さない。前述と同様に、モバイル装置１３２は、アクセス制御サーバ１６２とＡＴＭ１０２との間のプロキシとして使用することができる。こうした実施形態において、アクセス制御サーバ１６２は、ネットワーク１８０を通じてモバイル装置１３２に承認応答パケットを送信する。モバイル装置１３２は、承認応答パケットをＮＦＣタグ又はバーコードに符号化し、又はその他の方法で変換することができ、次いで、上記ＮＦＣタグ又はバーコードをＡＴＭ１０２が読み取り、又は取り込むことができる。

ＡＴＭ１０２は、こうした実施形態において、承認応答パケットを解読して、アクセス制御サーバ１６２により再暗号化されたノンスを取得する。１又は複数の要求されたコンポーネント又は機能へのアクセスが許可されるべきかどうかを決定するために、ＡＴＭ１０２は、承認応答パケットから取得されたノンスとＡＴＭ１０２が当初生成したノンスとを比較することができる。こうした実施形態において、ＡＴＭ１０２は、ノンスが一致した場合に、ユーザが１又は複数の要求されたコンポーネント又は機能にアクセスすることを可能にすることができる。

次に図３を参照し、利用において、オフライン計算装置１０２は、分散型ログオンサービスを計算装置１０２に拡大する方法３００を実行することができる。方法３００は、ブロック３０２から始まり、ブロック３０２において、計算装置１０２は、ユーザが計算装置１０２へのアクセスを要求しているかどうかを決定する。上記で論じられたとおり、ユーザは、計算装置１０２の１又は複数のコンポーネントに対して、あるいは計算装置１０２上で実行中の１又は複数の機能又はプログラムに対して、アクセスを要求することができる。ユーザが計算装置１０２へのアクセスを要求していることの決定に呼応して、方法３００はブロック３０４に進む。

ブロック３０４において、計算装置１０２は、上記で論じられたとおり、ワンタイムパスワード（ＯＴＰ）を生成する。こうするために、いくつかの実施形態における計算装置１０２のセキュリティエンジン（ＳＥ）１１２は、適切な暗号法アルゴリズムを使用して、計算装置１０２に提供されるシードに応じてＯＴＰを生成することができる。さらに、ＯＴＰが悪意のある第三者に取得されることを防ぐために、ＳＥ１１２は、ＯＴＰ、アルゴリズム、シード、及び／又は任意の他の関連するデータを、計算装置１０２のセキュアメモリ１１４に記憶することができる。説明された実施形態においてＯＴＰを生成するためにＳＥ１１２によって使用されたアルゴリズムは１つだけであるが、他の実施形態においてＳＥ１１２によって１より多くのアルゴリズムが使用されてよいことを、理解されたい。

さらに、ブロック３０４において、計算装置１０２は、ノンスを生成することができる。ノンスは、乱数又は疑似乱数として具体化することができる。計算装置１０２は、適切な暗号法アルゴリズムを使用して、計算装置１０２に提供されるシードに応じてノンスを生成することができる。例示の実施形態において、ノンスを生成するために使用されるアルゴリズム及びシードは、ＯＴＰを生成するために使用されるアルゴリズム及びシードとは異なる。さらに、例示の実施形態において、生成された各ノンスは計算装置１０２によって１回使用されることを、理解されたい。

計算装置１０２はさらに、一意的識別子に関連付けられることができる。一意的識別子は、１又は複数の他の計算装置から計算装置１０２を一意的に識別する数字、文字の英数字列、単語、又は任意の他の適切なマーク付けとして具体化することができる。例えば、いくつかの実施形態において、一意的識別子は、計算装置１０２に関連付けられた一意的シリアル番号を含む。こうした実施形態において、アクセス制御サーバ１６２のデータ記憶装置１７０は、一意的シリアル番号の、計算装置へのマッピングを記憶することができる。

図３への参照に戻り、ブロック３０６において、計算装置１０２は、ＯＴＰ、ノンス、及び一意的識別子を、セキュアメモリ１１４から読み出された暗号鍵１１６を用いて暗号化して、承認要求パケットを生成することができる。さらに、又は別法として、計算装置１０２は、ＯＴＰ、ノンス、及び一意的識別子を、計算装置１０２のメモリ１６６及び／又はデータ記憶装置１１８に記憶された１又は複数の暗号鍵を用いて暗号化することができる（上記暗号鍵は、暗号化された状態でこうした装置に記憶することができる）。計算装置１０２は、任意の適切な暗号化手法を使用してＯＴＰ、ノンス及び一意的識別子を暗号化することができることを、理解されたい。例えば、計算装置１０２は、１又は複数の対称鍵アルゴリズム（すなわち、共有鍵）、非対称鍵アルゴリズム（すなわち、公開／秘密鍵ペア）、又は任意の他の適切な暗号化メカニズムを使用して、ＯＴＰ、ノンス、及び一意的識別子を暗号化し、承認要求パケットを生成することができる。ＯＴＰ、ノンス、及び計算装置１０２の一意的識別子を暗号化して承認要求パケットを生成した後、方法３００はブロック３０８に進む。

ブロック３０８において、計算装置１０２は、生成された承認要求パケットを承認のためのアクセス制御サーバ１６２に送信する。こうした実施形態において、計算装置１０２は、生成された承認要求パケットをモバイル装置１３２と最初に共有することによって、モバイル装置１３２をプロキシとして使用する。こうするために、計算装置１０２は、ブロック３１０において、承認要求パケットを含むＮＦＣタグ又はバーコードを生成することができる。こうした実施形態において、計算装置１０２は、承認要求パケットをＮＦＣタグ又はバーコードに符号化し、又はその他の方法で変換することができる。計算装置１０２により生成されるＮＦＣタグは、計算装置１０２上の物理的ＮＦＣタグ又は「ソフト」ＮＦＣタグのいずれかとして具体化することができることを、理解されたい。さらに、計算装置１０２は、モバイル装置１３２による取り込みに適した任意のバーコード形式で承認要求パケットを符号化することができる。例えば、計算装置１０２は、承認要求パケットを、クイックレスポンス（ＱＲ）コード（ＱＲコード（登録商標））などの２Ｄバーコード、又は任意の他の適切なバーコード形式として符号化することができる。モバイル装置１３２は、計算装置１０２から承認要求パケットを取り込み、又はその他の方法で受信し、承認のためのアクセス制御サーバ１６２に承認要求パケットを再送信することができる。

ブロック３１２において、計算装置１０２は、承認応答パケットをアクセス制御サーバ１６２から受信しているかどうかを決定する。いくつかの実施形態において、承認応答パケットは、計算装置１０２により生成され、しかし後にアクセス制御サーバ１６２により再暗号化されたノンスを含む。さらに、上記で論じられたとおり、アクセス制御サーバ１６２は、承認応答パケットの送信のためのプロキシとしてモバイル装置１３２を使用する。こうするために、計算装置１０２は、カメラ１２０及び／又はＮＦＣ回路１２４を使用して、モバイル装置１３２により生成されたバーコード又はＮＦＣタグから承認応答パケットを取り込み、及び／又は受信することができる。モバイル装置１３２をプロキシとして用いて承認パケットをアクセス制御サーバ１６２から受信していることを決定すると、方法３００はブロック３１４に進む。

ブロック３１４において、計算装置１０２は、承認応答パケットを解読してノンスを取得する。こうするために、計算装置１０２は、セキュアメモリ１１４から読み出された暗号鍵１１６又は対応する暗号鍵を使用する。さらに、又は別法として、計算装置１０２は、計算装置１０２のメモリ１０８及び／又はデータ記憶装置１１８に記憶された１又は複数の暗号鍵を用いて承認応答パケットを解読することができる。計算装置１０２は、任意の適切な解読手法を使用して承認応答パケットを解読し、ノンスを取得することができることを、理解されたい。例えば、計算装置１０２は、１又は複数の対称鍵アルゴリズム（すなわち、共有鍵）、非対称鍵アルゴリズム（すなわち、公開／秘密鍵ペア）、又は任意の他の適切な暗号化メカニズムを使用して承認応答パケットを解読し、ノンスを取得することができる。承認応答パケットを解読し、ノンスを取得した後、方法３００は、ブロック３１６に進む。

ブロック３１６において、計算装置１０２は、解読された承認応答パケットから取得されたノンスが、計算装置１０２により当初生成されたノンスと一致するかどうかを決定することができる。いくつかの実施形態において、当初生成されたノンスは、セキュアメモリ１１４、メモリ１０８又はデータ記憶装置１１８から読み出すことができる。ブロック３１６において、計算装置１０２が、解読された承認応答パケットから取得されたノンスが計算装置１０２により当初生成されたノンスと一致することを決定した場合、方法３００はブロック３２０に進み、ブロック３２０において、計算装置１０２へのアクセスが許可される。しかしながら、ブロック３１６において、計算装置１０２が、解読された承認応答パケットから取得されたノンスが計算装置１０２により当初生成されたノンスと一致しないことを決定した場合、方法３００はブロック３１８に進み、ブロック３１８において、計算装置１０２へのアクセスは拒否される。

上記で論じられたとおり、モバイル装置１３２は、計算装置１０２によってプロキシとして使用される。こうするために、図４に示すとおり、モバイル装置１３２は、分散型ログオンサービスをオフライン計算装置１０２に拡大する方法４００を実行することができる。方法４００は、ブロック４０２から始まり、ブロック４０２において、モバイル装置１３２は、ユーザが計算装置１０２にアクセスしようと試行しているかどうかを決定する。こうした実施形態において、モバイル装置１３２は、アクセスのための要求を示す、周辺装置１５６のうち１又は複数からの入力データを受領することに基づいて、ユーザが計算装置１０２にアクセスしようと試行していることを、決定することができる。例えば、モバイル装置１３２は、ユーザが、モバイル装置の１又は複数のキーを押下している、モバイル装置１３２上で実行するための１又は複数のアプリケーションを起動している、かつ／あるいは計算装置１０２にアクセスするためのユーザの願望を示す任意の他の動作を実行していることを、決定することができる。ブロック４０２において、ユーザが計算装置１０２にアクセスしようと試行していることをモバイル装置１３２が決定した場合、方法４００はブロック４０４に進む。

ブロック４０４において、モバイル装置１３２は、認証要求パケットを計算装置１０２から受信しているかどうかを決定する。上記で論じられたとおり、計算装置１０２は、ユーザが計算装置１０２の１又は複数のコンポーネント、機能及び／又はプログラムにアクセスしようと試行していることの決定に呼応して、認証要求パケットを生成することができる。モバイル装置１３２は、カメラ１５０及び／又はＮＦＣ回路１５２を使用して、計算装置１０２により生成されたバーコード又はＮＦＣタグから認証要求パケットを取り込み、及び／又は受信することができる。承認要求パケットを受信していることを決定した後、方法４００はブロック４０６に進む。

ブロック４０６において、モバイル装置１３２は、計算装置１０２へのアクセスを要求しているユーザからユーザクレデンシャルを取得する。例えば、モバイル装置１３２は、いくつかの実施形態において、ユーザのユーザ名とパスワードとを取得することができる。さらに、又は別法として、他の実施形態において、モバイル装置１３２は、ユーザから個人識別番号（ＰＩＮ）を取得することができる。ユーザクレデンシャルは、モバイル装置１３２の周辺装置１５６（すなわち、キーパッド、タッチスクリーン、音声認識コンポーネントなど）のうち１又は複数を介してユーザから取得することができる。ブロック４０８において、モバイル装置１３２はさらに、いくつかの実施形態においてさらなるセキュリティデータを生成してユーザのアクセス要求に関連付けることができる。例えば、モバイル装置１３２は、モバイル装置１３２の位置情報（location）（すなわち、緯度及び経度、市、州、国など）を生成することができる。こうした実施形態において、モバイル装置１３２の周辺装置１５６はさらに、モバイル装置１３２の位置情報を決定するための位置情報回路（すなわち、全地球測位システム（ＧＰＳ）回路、ＲＦ三角測量回路など）を含むことができる。さらに、又は別法として、モバイル装置１３２は、ユーザが計算装置１０２へのアクセスを要求した日付及び／又は時刻を生成することができる。

ブロック４１０において、ユーザクレデンシャルと任意の他のセキュリティデータとを取得した後、モバイル装置１３２は、計算装置１０２から受信された承認要求パケットをユーザクレデンシャル及びセキュリティデータとともにアクセス制御サーバ１６２に送信する。こうした実施形態において、モバイル装置１３２は、承認要求パケット、ユーザクレデンシャル、及び任意のセキュリティデータを、ネットワーク１８０を通じてアクセス制御サーバ１６２に送信する。方法４００はブロック４１２に進む。

ブロック４１２において、モバイル装置１３２は、承認応答パケットをネットワーク１８０を通じてアクセス制御サーバから受信しているかどうかを決定する。モバイル装置１３２が、承認応答パケットをアクセス制御サーバ１６２から受信していることを決定した場合、方法４００はブロック４１４に進む。

ブロック４１４において、モバイル装置１３２は、承認応答パケットを含むＮＦＣタグ又はバーコードを生成することができる。こうした実施形態において、モバイル装置１３２は、承認応答パケットをＮＦＣタグ又はバーコードに符号化し、又はその他の方法で変換することができる。モバイル装置１３２により生成されるＮＦＣタグは計算装置１０２上の物理的ＮＦＣタグ又は「ソフト」ＮＦＣタグのいずれかとして具体化することができることを、理解されたい。さらに、モバイル装置１３２は、計算装置１０２による取り込みに適した任意のバーコード形式で承認応答パケットを符号化することができる。例えば、モバイル装置１３２は、承認応答パケットを、クイックレスポンス（ＱＲ）コードなどの２Ｄバーコード、又は任意の他の適切なバーコード形式として符号化することができる。計算装置１０２は、モバイル装置１３２から承認応答パケットを取り込み、又はその他の方法で受信することができる。

次に図５を参照し、利用において、アクセス制御サーバ１６２は、分散型ログオンサービスをオフライン計算装置１０２に拡大する方法５００を実行することができる。方法５００は、ブロック５０２から始まり、ブロック５０２において、アクセス制御サーバ１６２は、承認要求パケットを計算装置１０２から受信しているかどうかを決定する。いくつかの実施形態において、承認要求パケットは、計算装置１０２により生成されたＯＴＰと、計算装置１０２により生成されたノンスと、計算装置１０２の一意的識別子とを含む。上記で論じられたとおり、計算装置１０２は、承認要求パケットの送信のためのプロキシとしてモバイル装置１３２を使用して、アクセス制御サーバ１６２にアクセスする。したがって、アクセス制御サーバ１６２は、モバイル装置１３２がネットワーク１８０を通じて承認要求パケットを再送信したかどうかを決定することができる。モバイル装置１３２をプロキシとして用いて承認要求パケットを計算装置１０２から受信していることを決定すると、方法５００はブロック５０４に進む。

ブロック５０４において、アクセス制御サーバ１６２は、暗号鍵を用いて認証要求パケットを解読して、ＯＴＰ、ノンス、及び計算装置１０２の一意的識別子を取得する。承認要求パケットを解読するために使用される暗号鍵は、承認要求パケットを暗号化するために使用された暗号鍵に対応することを、理解されたい。方法５００は次いでブロック５０６に進む。

ブロック５０６において、アクセス制御サーバ１６２は、ユーザが計算装置１０２へのアクセスを提供されるべきかどうかを決定する。こうするために、アクセス制御サーバ１６２は、承認要求パケットから取得されたＯＴＰと計算装置１０２の一意的識別子とを検証する。いくつかの実施形態において、アクセス制御サーバ１６２は、セキュリティエンジン（ＳＥ）又は他のセキュアな実行環境を含むことができる。こうした実施形態のＳＥ又は他のセキュアな実行環境は、同一の又は対応する暗号法アルゴリズム及びシードを使用して、計算装置１０２により生成されたＯＴＰに対応する、アクセス制御サーバ１６２上のＯＴＰを生成することができる。したがって、プラットフォーム識別子を用いて、アクセス制御サーバ１６２は、認証要求パケットから取得されたＯＴＰがアクセス制御サーバ１６２上で生成されたＯＴＰに一致するかどうかを決定することができる。いくつかの実施形態において、アクセス制御サーバ１６２は、承認要求パケットから取得されたＯＴＰがアクセス制御サーバ１６２により生成されたＯＴＰに一致しない場合、ユーザは計算装置１０２にアクセスすることを許可されるべきでないと決定することができる。しかしながら、承認要求パケットから取得されたＯＴＰがアクセス制御サーバ１６２により生成されたＯＴＰに一致する場合、アクセス制御サーバ１６２は、ユーザが計算装置１０２へのアクセスを提供されるべきであると決定することができる。

さらに、上記で論じられたとおり、モバイル装置１３２は、承認要求パケットを、ユーザから取得されたユーザクレデンシャルとともに送信することができる。したがって、アクセス制御サーバ１６２はさらに、ユーザが計算装置１０２にアクセスすることを承認されていることを、検証することができる。動作において、アクセス制御サーバ１６２は、上記ユーザクレデンシャルと、データ記憶装置１７０に記憶された１又は複数の対応するユーザクレデンシャルとを比較することができる。例えば、アクセス制御サーバ１６２は、ユーザにより入力され、その後にアクセス制御サーバ１６２により受信されるユーザ名及びパスワードと、データ記憶装置１７０に記憶された対応するユーザ名及びパスワードとを比較することができる。いくつかの実施形態において、アクセス制御サーバ１６２は、モバイル装置１３２により取得されたユーザクレデンシャルがアクセス制御サーバ１６２のデータ記憶装置１７０に記憶されたユーザクレデンシャルに一致しない場合、ユーザは計算装置１０２にアクセスすることを許可されるべきでないと決定することができる。他の実施形態において、アクセス制御サーバ１６２は、モバイル装置１３２により取得されたユーザクレデンシャルがアクセス制御サーバ１６２のデータ記憶装置１７０に記憶されたユーザクレデンシャルに一致する場合、ユーザは計算装置１０２にアクセスすることを許可されるべきであると決定することができる。

さらに、又は別法として、先に論じられたとおり、モバイル装置１３２はさらに、アクセス要求に関連付けられたさらなるセキュリティデータをアクセス制御サーバ１６２に送信することができる。動作において、アクセス制御サーバ１６２は、さらなるセキュリティデータが計算装置１０２の管理者により設定された１又は複数のアクセスセキュリティポリシーに準拠するかどうかを決定することができる。例えば、アクセス制御サーバ１６２は、特定のユーザが、１日のうち特定の時間に、特定の場所から、計算装置１０２の基準の近さ（reference proximity）の範囲内で、又は計算装置１０２の使用法に対応する任意の他のアクセスセキュリティポリシーに基づいて、計算装置１０２にアクセスすることを許可されるかどうかを決定することができる。

ブロック５０６への参照に戻り、アクセス制御サーバ１６２が、ユーザは計算装置１０２にアクセスすることを許可されるべきでないと決定した場合、方法５００はブロック５０２にループバックする。しかしながら、アクセス制御サーバ１６２が、ユーザは計算装置１０２にアクセスすることを許可されるべきであると決定した場合、方法５００はブロック５０８に進む。

ブロック５０８において、アクセス制御サーバ１６２は、ユーザが計算装置１０２にアクセスすることを承認されたことの決定に呼応して、計算装置１０２により生成されたノンスを再暗号化する。動作において、アクセス制御サーバ１６２は、暗号鍵を用いてノンスを再暗号化して承認応答パケットを生成する。ノンスを再暗号化するために使用される暗号鍵は、ＯＴＰ、ノンス、及び計算装置１０２の一意的識別子を暗号化するために使用された暗号鍵と対応する鍵又は異なる鍵であってよいことを、理解されたい。方法５００は次いでブロック５１０に進む。

ブロック５１０において、ノンスを再暗号化した後、アクセス制御サーバ１６２は、生成された承認応答パケットを計算装置１０２に送信する。上記で論じられたとおり、アクセス制御サーバ１６２は、モバイル装置１３２をプロキシとして用いて、承認応答パケットを計算装置１０２に送信する。こうするために、アクセス制御サーバ１６２は、ネットワーク１８０を通じてモバイル装置１３２に承認応答パケットを送信する。これ以降、モバイル装置１３２は、バーコード及び／又は１若しくは複数のＮＦＣデータ交換を用いて、生成された承認応答パケットを計算装置１０２と共有する。

本開示を、図面と前述の説明とにおいて詳細に図示及び説明してきたが、こうした図示及び説明は、文字どおり、限定的ではなく例示的と見なされるべきものである。ほんの例示の実施形態が図示及び説明されており、本開示と列挙される請求項とに調和するすべての変更及び調整が保護されるべきものであることを、理解されたい。

Claims (20)

1. 計算装置であって、
   ワンタイムパスワード（ＯＴＰ）及びノンスを生成するセキュリティエンジン（ＳＥ）と、
   プロセッサと、
   複数の命令を含む少なくとも１つの機械読取可能な記憶媒体であり、前記複数の命令は、前記プロセッサによる実行に呼応して、前記プロセッサに、
   前記ＯＴＰ、前記ノンス、及び当該計算装置の一意的識別子を暗号化して承認要求パケットを生成するステップと、
   前記承認要求パケットをモバイル装置と共有するステップと、
   前記モバイル装置により転送された承認応答パケットを受信するステップであり、前記承認応答パケットはアクセス制御サーバにより再暗号化されたノンスを含む、ステップと、
   前記アクセス制御サーバにより暗号化された前記承認応答パケットを解読するステップと、
   前記承認応答パケットに応じて当該計算装置へのアクセスを許可するか、それとも拒否するかを決定するステップと、
   を実行させる、機械読取可能な記憶媒体と、
   を含む計算装置。
2. 前記承認要求パケットをモバイル装置と共有するステップは、前記承認要求パケットを符号化してクイックレスポンス（ＱＲ）コードを生成するステップを含む、請求項１に記載の計算装置。
3. 前記承認要求パケットをモバイル装置と共有するステップは、前記モバイル装置による取り込みのため、当該計算装置上に前記ＱＲコードを表示するステップを含む、請求項２に記載の計算装置。
4. 前記承認要求パケットをモバイル装置と共有するステップは、前記承認要求パケットを符号化して当該計算装置上で近距離無線通信（ＮＦＣ）タグを生成するステップであり、前記承認要求パケットは前記ＮＦＣタグ内に記憶される、ステップを含む、請求項１に記載の計算装置。
5. 前記承認要求パケットをモバイル装置と共有するステップは、前記モバイル装置のＮＦＣ回路による当該計算装置の前記ＮＦＣタグへのタッチに呼応して前記ＮＦＣタグ内に記憶された前記承認要求パケットを送信するステップを含む、請求項４に記載の計算装置。
6. 当該計算装置へのアクセスを許可するか、それとも拒否するかを決定するステップは、前記アクセス制御サーバにより再暗号化されたノンスが当該計算装置により生成されたノンスに一致するかどうかを決定するステップを含む、請求項１乃至５のうちいずれか１項に記載の計算装置。
7. 当該計算装置へのアクセスは、（i）前記アクセス制御サーバにより再暗号化されたノンスが当該計算装置により生成されたノンスに一致するとの決定に呼応して許可される、又は（ii）前記アクセス制御サーバにより再暗号化されたノンスが当該計算装置により生成されたノンスに一致しないとの決定に呼応して拒否される、のうち少なくとも１つである、請求項６に記載の計算装置。
8. 機械読取可能な記憶媒体に記憶され、計算装置に方法を実行させるコンピュータプログラムであって、前記方法は、
   ワンタイムパスワード（ＯＴＰ）及びノンスを生成するステップと、
   前記ＯＴＰ、前記ノンス、及び前記計算装置の一意的識別子を暗号化して承認要求パケットを生成するステップと、
   前記承認要求パケットをモバイル装置と共有するステップと、
   前記モバイル装置により転送された承認応答パケットを受信するステップであり、前記承認応答パケットはアクセス制御サーバにより再暗号化されたノンスを含む、ステップと、
   前記アクセス制御サーバにより暗号化された前記承認応答パケットを解読するステップと、
   前記承認応答パケットに応じて前記計算装置へのアクセスを許可するか、それとも拒否するかを決定するステップと、
   を有する、コンピュータプログラム。
9. 前記承認要求パケットをモバイル装置と共有するステップは、前記承認要求パケットを符号化してクイックレスポンス（ＱＲ）コードを生成するステップを含む、請求項８に記載のコンピュータプログラム。
10. 前記承認要求パケットをモバイル装置と共有するステップは、前記モバイル装置による取り込みのため、前記計算装置上に前記ＱＲコードを表示するステップを含む、請求項９に記載のコンピュータプログラム。
11. 前記承認要求パケットをモバイル装置と共有するステップは、前記承認要求パケットを符号化して前記計算装置上で近距離無線通信（ＮＦＣ）タグを生成するステップであり、前記承認要求パケットは前記ＮＦＣタグ内に記憶される、ステップを含む、請求項８に記載のコンピュータプログラム。
12. 前記承認要求パケットをモバイル装置と共有するステップは、前記モバイル装置のＮＦＣ回路による前記計算装置の前記ＮＦＣタグへのタッチに呼応して前記ＮＦＣタグ内に記憶された前記承認要求パケットを送信するステップを含む、請求項１１に記載のコンピュータプログラム。
13. 前記計算装置へのアクセスを許可するか、それとも拒否するかを決定するステップは、前記アクセス制御サーバにより再暗号化されたノンスが前記計算装置により生成されたノンスに一致するかどうかを決定するステップを含む、請求項８乃至１２のうちいずれか１項に記載のコンピュータプログラム。
14. 前記計算装置へのアクセスは、（i）前記アクセス制御サーバにより再暗号化されたノンスが前記計算装置により生成されたノンスに一致するとの決定に呼応して許可される、又は（ii）前記アクセス制御サーバにより再暗号化されたノンスが前記計算装置により生成されたノンスに一致しないとの決定に呼応して拒否される、のうち少なくとも１つである、請求項１３に記載のコンピュータプログラム。
15. ワンタイムパスワード（ＯＴＰ）及びノンスを生成するステップは、前記計算装置のセキュリティエンジン（ＳＥ）の中で前記ＯＴＰを生成するステップを含む、請求項８乃至１２のうちいずれか１項に記載のコンピュータプログラム。
16. 前記方法は、前記計算装置のセキュリティエンジン（ＳＥ）を用いて、前記計算装置のセキュアメモリストアから前記計算装置の暗号鍵と前記アクセス制御サーバの暗号鍵とを読み出すステップをさらに有し、前記セキュアメモリストアは、前記ＳＥにとってアクセス可能であり、前記計算装置の他のコンポーネントにとってアクセス不可能である、請求項８乃至１２のうちいずれか１項に記載のコンピュータプログラム。
17. 計算装置のセキュリティエンジン（ＳＥ）において、ワンタイムパスワード（ＯＴＰ）及びノンスを生成するステップと、
    前記計算装置上で、前記計算装置の暗号鍵を用いて前記ＯＴＰ、前記ノンス、及び一意的識別子を暗号化して承認要求パケットを生成するステップであり、前記計算装置の前記暗号鍵は前記計算装置のセキュアメモリに記憶され、前記計算装置の前記セキュアメモリは、前記ＳＥにとってアクセス可能であり、前記計算装置の他のコンポーネントにとってアクセス不可能である、ステップと、
    前記計算装置上で、前記承認要求パケットをモバイル装置と共有するステップと、
    前記計算装置上で、前記モバイル装置により転送された承認応答パケットを受信するステップであり、前記承認応答パケットはアクセス制御サーバの暗号鍵で再暗号化されたノンスを含む、ステップと、
    前記計算装置上で、前記アクセス制御サーバの前記暗号鍵を用いて前記承認応答パケットを解読して前記アクセス制御サーバにより再暗号化されたノンスを取得するステップであり、前記アクセス制御サーバの前記暗号鍵は前記セキュアメモリに記憶される、ステップと、
    前記計算装置上で、前記アクセス制御サーバにより再暗号化されたノンスが前記計算装置により当初生成されたノンスに一致するかどうかを決定することに応じて前記計算装置へのアクセスを許可するか、それとも拒否するかを決定するステップと、
    を含む方法。
18. 前記承認要求パケットをモバイル装置と共有するステップは、前記承認要求パケットを記憶したクイックレスポンス（ＱＲ）コード又は近距離無線通信（ＮＦＣ）タグのうち少なくとも１つを生成するステップを含む、請求項１７に記載の方法。
19. 前記モバイル装置により転送された承認応答パケットを受信するステップは、前記モバイル装置により生成及び表示されたクイックレスポンス（ＱＲ）コードを取り込むステップであり、前記ＱＲコードは前記ＱＲコードの中に符号化された前記承認応答パケットを含む、ステップを含む、請求項１７又は請求項１８に記載の方法。
20. 前記モバイル装置により転送された承認応答パケットを受信するステップは、前記モバイル装置により生成された近距離無線通信（ＮＦＣ）タグから、前記計算装置のＮＦＣ回路が前記モバイル装置により生成された前記ＮＦＣタグにタッチすることに呼応して、前記承認応答パケットを受信するステップを含む、請求項１７又は請求項１８に記載の方法。

Images