JP6055546B2 - 認証装置、認証方法、およびプログラム - Google Patents

Description

本発明は、認証装置、認証方法、およびプログラムに関する。

企業や公共施設などの運用を支える業務情報システム、いわゆるエンタープライズシステム（Enterprise System）は、今や、大小さまざまな組織の基盤となっている。業務情報システムは、ノード端末やデータベースから得られるデータを集計、蓄積、解析、加工した上でより付加価値の高い情報を出力することにより、複雑化する組織マネジメントを支えている。

このような業務情報システムを構成するサーバへのアクセスに対して、ＩＴ統制の監査などの場面において「いつ」、「誰が」、「どんな目的で」利用したのかなどの細かな利用状況について管理することが求められる。

そのため、たとえば本出願人による提案により、業務情報システムを構成するサーバに接続する前に、中継装置に接続させて細かな利用状況を管理する方法が知られている（特許文献１）。

特許文献１に開示される中継装置では、業務情報システムの各サーバへ接続する前に中継装置においてユーザ認証を行うことで、中継装置にて登録されているユーザＩＤと接続先のサーバで使用されるＩＤとを紐つけ、利用者を特定することで細かな利用状況を管理するように構成されている。また、特許文献１に開示される中継装置では、クライアント端末から業務情報システムを構成するサーバ（以下、単に「接続先サーバ」という。）へ接続する場合、プロキシサーバによるユーザ認証処理（以下、この処理を単に「プロキシ認証」という。）を通過してから接続先サーバに接続させることで細かな利用状況を把握することができるように構成されている。

図１３は、プロキシ認証の概要を示す図である。図１３に示すようにプロキシサーバ１００は、クライアント端末２００との間でプロキシ認証を実行し、この認証が成功した場合に接続先サーバ３００との通信を中継する。なおプロキシサーバ１００とクライアント端末２００との間では、プロキシサーバ１００の内部に保持されているユーザ情報（プロキシ内部ユーザ情報）を提供するディレクトリサービス１１０を参照してチャレンジ／レスポンス方式によるユーザ認証が実行される。なお、上記でいうディレクトリサービスとは、たとえば、Active Directory（登録商標）やLDAP（Lightweight Directory Access Protocol）などを利用して提供されるサービスであり、ＬＡＮなどの所定のコンピュータネットワーク上で利用されるユーザ情報、接続されているプリンターなどの外部装置に関する情報を記憶し、検索しやすいようにまとめたディレクトリサービスシステムのことである。

クライアント端末２００がプロキシサーバ１００に認証要求を送ると、プロキシサーバ１００はこの認証要求に対して「チャレンジ」と呼ばれるランダムな数値列(以下、単に「チャレンジ」という。)を送信する。クライアント端末２００は、ユーザが入力したパスワードとこの「チャレンジ」を特定のアルゴリズムに従って合成し、「レスポンス」と呼ばれる数値列を作成し、プロキシサーバ１００に送信する。プロキシサーバ１００側では、自分が送信した「チャレンジ」とあらかじめプロキシ内部ユーザ情報としてディレクトリサービス１１０に登録されているそのユーザのパスワードから同じように「レスポンス」を作成し、送られてきた「レスポンス」と比較する。そして、両者の「レスポンス」が一致すれば、そのユーザのパスワードは正しいことになり、認証は成功となる。このような認証方法とすることで、パスワード情報が実際の通信で用いられることなく、安全にユーザ認証ができるように構築されている。そして、プロキシサーバ１００は、これらの認証が完了するとクライアント端末２００と接続先サーバ３００との通信を中継する。

特開２０１２−２０３６２４号公報

ところで、図１３に示すような構成の業務情報システムでは、外部のＩＴベンダや派遣社員などの一時的に登録する必要があるユーザ情報についてもディレクトリサービス１１０に登録する必要がある。そのため、ディレクトリサービス１１０に登録されている一部のユーザ情報を変更する場合であっても、プロキシサーバ１００を直接操作する必要があるため、万が一トラブルがあった場合、全体のユーザまでにそのトラブルが波及してしまう可能性がある。

このような問題を解決するための方法として、たとえば、図１４に示すようなシステム構成とする場合がある。図１４に示すシステム構成では、プロキシサーバ１００とは別に常時登録されている必要がある外部ユーザ情報を有するディレクトリサービス４１０を有するパスワード管理サーバ４００が構築されている。このような構成の場合、一時的に登録する必要があるユーザ情報は、プロキシサーバ１００側で管理され、それ以外のユーザについては外部のパスワード管理サーバ４００にて管理する構成となる。このような構成とすれば、常時登録されているユーザ情報と一時的なユーザ情報とが物理的に異なる装置で管理されているため、一時的に登録する必要があるユーザ情報を変更する場合には、プロキシサーバ１００のディレクトリサービス１１０を変更するのみで対応することが可能となる。そのため、万が一トラブルがあった場合であっても、全体のユーザまでにそのトラブルが波及してしまう可能性を低減させることが可能となる。

しかしながら、このような物理的に異なる複数の装置で複数のユーザ情報を管理している構成では別の問題がある。すなわち、クライアント端末２００とプロキシサーバ１００とは１つのセッションにおいてチャレンジ／レスポンス方式によるユーザ認証を実行する関係上、プロキシサーバ１００は、クライアント端末２００との間で実行しているセッション内で外部のパスワード管理サーバ４００の外部ユーザ情報を参照することができない。そのため、プロキシサーバ１００は、内部のディレクトリサービス１１０が保持しているユーザ情報に登録されていないユーザの場合にはチャレンジ／レスポンス方式によるユーザ認証を適切に実行することができない。

本発明は、上述した課題を鑑みてなされたものであり、内部のディレクトリサービスに登録されていないユーザについてのチャレンジ／レスポンス方式によるユーザ認証であっても適切に認証することができる認証装置、認証方法、およびプログラムを提供することを目的とする。

本発明の一側面は、認証装置に関するものである。すなわち、本発明に係る認証装置は、クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置において、クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置であって、クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ認証要求を転送する認証要求転送部と、認証要求に基づいて外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得部と、チャレンジ取得部により取得したチャレンジをクライアント端末へ転送するチャレンジ転送部と、クライアント端末から送信されてきたレスポンスとチャレンジ取得部により取得したチャレンジに基づいてユーザ認証を実行する認証処理部とを有し、チャレンジ転送部は、チャレンジ取得部が取得した外部のサーバからのチャレンジをクライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、クライアント端末とのセッションを管理するものである。

また、上述した認証装置であって、認証処理部は、内部のディレクトリサービスで保持されているユーザ情報にクライアント端末のユーザが存在し、かつチャレンジ／レスポンス方式のユーザ認証が成功した場合にはその成功した認証結果をクライアント端末へ送信し、内部のディレクトリサービスで保持されているユーザ情報にクライアント端末のユーザが存在しない場合には、クライアント端末から送信されてきたレスポンスを外部のサーバへと転送し、外部のサーバとの間でチャレンジ／レスポンス方式のユーザ認証を実行し、外部のサーバから送信されてくる認証結果を、クライアント端末のユーザの認証結果としてクライアント端末へと送信することができる。

また、本発明の一側面は、認証方法に関するものである。すなわち、本発明に係る認証方法は、認証要求転送部と、チャレンジ取得部と、チャレンジ転送部と、認証処理部とを有し、クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置で用いられる認証方法において、認証要求転送部が、クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ認証要求を転送する認証要求転送ステップと、チャレンジ取得部が、認証要求に基づいて外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得ステップと、チャレンジ転送部が、チャレンジ取得ステップにより取得したチャレンジをクライアント端末へ転送するチャレンジ転送ステップと、認証処理部が、クライアント端末から送信されてきたレスポンスとチャレンジ取得ステップで取得したチャレンジに基づいてユーザ認証を実行する認証処理ステップと、を有し、チャレンジ転送ステップでは、チャレンジ取得部が取得した外部のサーバからのチャレンジをクライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、クライアント端末とのセッションを管理するものである。

また、本発明の一側面は、プログラムに関するものである。すなわち、本発明に係るプログラムは、クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置としてコンピュータを機能させるためのプログラムであって、コンピュータを、クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ認証要求を転送する認証要求転送手段と、認証要求に基づいて外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得手段と、チャレンジ取得部により取得したチャレンジをクライアント端末へ転送するチャレンジ転送手段と、クライアント端末から送信されてきたレスポンスとチャレンジ取得部により取得したチャレンジに基づいてユーザ認証を実行する認証処理手段として機能させ、チャレンジ転送手段は、チャレンジ取得手段が取得した外部のサーバからのチャレンジをクライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、クライアント端末とのセッションを管理することを特徴とするプログラムである。

本発明によれば、内部のディレクトリサービスに登録されていないユーザについてのチャレンジ／レスポンス方式によるユーザ認証であっても適切に認証することができる認証装置、認証方法、およびプログラムを提供することができる。

図１は、本発明の認証装置の第１実施形態であるプロキシサーバ１を含む業務情報システムの構成例を示す図である。 図２は、図１に示すプロキシサーバ１の機能構成例を示すブロック図である。 図３は、図１の構成における各装置間の通信を示した図である。 図４は、図３の通信処理によってクライアント端末４側で表示される画面の一例を示す図である。 図５は、本発明の認証装置の第２実施形態であるプロキシサーバ１Ａを含む業務情報システムの構成例を示す図である。 図６は、図５に示すプロキシサーバ１Ａの機能構成例を示すブロック図である。 図７は、図５の構成における各装置間の通信を示した図である。 図８は、クライアント端末４での画面遷移例を示す図である。 図９は、プロキシサーバ１Ａの認証判定処理の一例を示すフローチャートである。 図１０は、図９に示す処理のうち、パスワード管理サーバ６の外部のディレクトリサービス５に基づいてユーザ認証を実行する場合（図９のＳ４３）の通信処理例を示す図である。 図１１は、図９に示す処理のうち、プロキシサーバ１Ａの内部のディレクトリサービス２にのみ基づいてユーザ認証を実行する場合（図９のＳ４５）の通信処理例を示す図である。 図１２は、クライアント端末４のユーザがプロキシサーバ１Ａの内部のディレクトリサービス２に登録されているユーザである場合の通信処理例を示す図である。 図１３は、クライアント端末４のユーザがプロキシサーバ１Ａの内部のディレクトリサービス２に登録されていないユーザである場合の通信処理例を示す図である。 図１４は、プロキシ認証の概要を示す図である。

本発明に係る認証装置、認証方法、およびプログラムの実施形態について図面を参照しながら説明する。なお、本発明に係る認証方法の実施形態については、認証装置の動作説明と共に行い、本発明に係るプログラムについては認証装置にインストールされているプログラムとして説明する。しかしながら、本発明に係る認証装置、認証方法、およびプログラムは、以下に説明する各実施形態に限定されるものではない。

（第１実施形態）
図１は、本発明の認証装置の第１実施形態であるプロキシサーバ１を含む業務情報システムの構成例を示す図である。同図に示す業務情報システムは、プロキシ内部ユーザ情報を保持し、これを提供するディレクトリサービス２を有するプロキシサーバ１と、プロキシサーバ１を介して接続先サーバ３のリソースにアクセスする際に用いられるクライアント端末４と、たとえばＣＩＦＳ（Common Internet File System）プロトコルによりファイル共有サービスを提供する接続先サーバ３と、外部ユーザ情報を格納するディレクトリサービス５を有し、外部ユーザ情報をディレクトリサービス５によって提供するパスワード管理サーバ６とを有する。また、プロキシサーバ１とクライアント端末４とは不図示のネットワークを介して接続されている。また、接続先サーバ３およびパスワード管理サーバ６はプロキシサーバ１を介して不図示のネットワークに接続されている。

なお、図１に示す接続先サーバ３は、ファイル共有サービスに加えて、ユーザ認証が必要な他のサービスを提供するように構成されていてもよいし、ファイル共有サービス以外で、ユーザ認証が必要な他のサービスを提供するものであってもよい。また接続先サーバ３は実際には複数存在してもよい。

また、上記でいうディレクトリサービスとは、たとえば、Active Directory（登録商標）やLDAP（Lightweight Directory Access Protocol）などを利用して提供されるサービスであり、ＬＡＮなどの所定のコンピュータネットワーク上で利用されるユーザ情報、接続されているプリンターなどの外部装置に関する情報を記憶し、検索しやすいようにまとめたディレクトリサービスシステムのことである。

また、上記でいうプロキシ内部ユーザ情報は、外部のＩＴベンダや派遣社員などのユーザが業務情報システムを利用する上で一時的に登録する必要があるユーザ情報であり、外部ユーザ情報は、企業の役員や正社員などの業務情報システムを常時利用する必要があるユーザ情報が登録されていることとして説明するが、これらの関係が逆となっていてもよい。すなわち、プロキシ内部ユーザ情報に企業の役員や正社員などの業務情報システムを常時利用する必要があるユーザ情報が登録されており、外部ユーザ情報に外部のＩＴベンダや派遣社員などのユーザが登録されていてもよい。なお、ここでいう内部ユーザ、外部ユーザの「内部」、「外部」とは、プロキシサーバ１の側からみて内部か外部かを表現しており、必ずしも業務情報システムを利用する企業の内部の社員と外部のＩＴベンダや派遣社員ののことを意図して表現しているものではない。

（プロキシサーバ１の役割）
プロキシサーバ１は、クライアント端末４から不図示のネットワークを介して接続先サーバ３へのリモートログイン要求を一元的に受け付ける装置であって、ネットワークセキュリティ境界に設置される。プロキシサーバ１は、クライアント端末４からの通信に関してのアクセス制御、およびログ取得による監査を行うことができる。たとえば、CIFS（Common Internet File System）、TELNET（Telecommunication network）、SSH（Secure SHell）、FTP（File Transfer Protocol）、HTTP（HyperText Transfer Protocol）、HTTPS（Hypertext Transfer Protocol Security）、WindowsRDP（Remote Desktop Protocol）などの各種プロトコルについてのアクセス制御、およびログ取得を行うことができるように構成されている。また、後述するが、プロキシサーバ１は、パスワード管理サーバ６に対してクライアント端末４からの認証要求を転送してユーザ認証を実行させることも可能である。

（クライアント端末４の構成）
クライアント端末４は、接続先サーバ３へ接続するためのコンピュータである。クライアント端末４は、たとえばノートパソコンであり、業務情報システムのユーザがプロキシサーバ１、接続先サーバ３へと接続する際に用いられる。なお、クライアント端末４は、ノートパソコンではなく、デスクトップパソコンやタブレット端末などであってもよい。クライアント端末４は、ユーザによって、接続先サーバ３へログインするためのユーザＩＤとパスワードが入力されると、プロキシサーバ１に対してセッション確立をするための認証要求を送信することができる。なお、クライアント端末４は、ハードウェア的には、コンピュータのＣＰＵ（Central Processing Unit）をはじめとする素子やＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory），ＨＤＤ（Hard Disk Drive），ＳＳＤ（Solid State Drive），フラッシュメモリなどの記憶装置で実現でき、ソフトウェア的にはWINDOWS（登録商標）、Mac（登録商標）、UNIX（登録商標）,Linux（登録商標）などの各種クライアント用のOS、コンピュータプログラム等によって実現される。

（不図示のネットワークの構成）
不図示のネットワークは、インターネットやローカルエリアネットワーク（ＬＡＮ）等を組み合わせて構築されたものである。しかしながら、プロキシサーバ１、クライアント端末４、接続先サーバ３およびパスワード管理サーバ６は、互いに専用回線にて接続される構成であってもよい。

（接続先サーバ３、パスワード管理サーバ６の構成）
接続先サーバ３は、たとえばファイル共有サービスを提供するサーバである。パスワード管理サーバ６は、常に登録されている必要があるユーザ情報を管理するディレクトリサービス５を提供するサーバである。パスワード管理サーバ６では、外部ユーザ情報を提供するためのディレクトリサービス５が実行されている。なお、接続先サーバ３およびパスワード管理サーバ６は、ハードウェア的には、コンピュータのＣＰＵ（Central Processing Unit）をはじめとする素子やＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory），ＨＤＤ（Hard Disk Drive），ＳＳＤ（Solid State Drive），フラッシュメモリなどの記憶装置で実現でき、ソフトウェア的にはたとえばWINDOWS（登録商標）、Mac（登録商標）、UNIX（登録商標）,Linux（登録商標）などのサーバ用のOS、コンピュータプログラム等によって実現される。

（プロキシサーバ１の機能構成例）
図２は、図１に示すプロキシサーバ１の機能構成例を示すブロック図である。プロキシサーバ１は、認証制御部１１と記憶部１２とを少なくとも有している。認証制御部１１は、更に第１認証処理部２１と、第２認証処理部２２および通信記録制御部２３とを有している。第１認証処理部２１は、チャレンジ生成部３１と、レスポンス取得部３２と、認証処理部３３とを更に有している。第２認証処理部２２は、認証要求転送部４１、チャレンジ転送部４２、レスポンス転送部４３、認証結果転送部４４を有している。また記憶部１２には、制御プログラム５１、プロキシ内部ユーザ情報５２が記憶されている。

なお、図２に示す認証制御部１１および記憶部１２の各ブロックは、ハードウェア的には、コンピュータのＣＰＵ（Central Processing Unit）をはじめとする素子やＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory），ＨＤＤ（Hard Disk Drive），ＳＳＤ（Solid State Drive），フラッシュメモリなどの記憶装置で実現でき、ソフトウェア的には、ＯＳ、制御プログラム５１およびその他のコンピュータプログラム等が上記のハードウェアにインストールされることによって実現することができる。しかし、図２ではそれらの連携によって実現される機能ブロックを示している。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現することができる。また、プロキシサーバ１に記憶部１２を有する構成としたが、この記憶部１２に記憶されるデータを他のログ管理装置（外部記憶装置）などで記憶、管理させる構成としてもよい。

認証制御部１１は、クライアント端末４との間で最大２回のセッションを要求してクライアント端末４との間で実行されるチャレンジ／レスポンス認証処理を制御する。以下、具体的に説明する。

第１認証処理部２１は、クライアント端末４からの認証要求に応じてチャレンジ／レスポンス認証処理を実行する。具体的には、チャレンジ生成部３１は、チャレンジ（ランダムな数値列）を生成する。レスポンス取得部３２は、クライアント端末４から送信されてきたレスポンスを取得する。認証処理部３３は、チャレンジ生成部３１で生成したチャレンジと、プロキシ内部ユーザ情報５２に登録されているユーザのパスワードから生成されるレスポンスと、レスポンス取得部３２が取得したレスポンスに基づいてユーザ認証を実行し、認証できた場合にはクライアント端末４へその認証結果を通知する。

第２認証処理部２２は、第１認証処理部２１の認証結果においてユーザが登録されておらず認証が失敗した場合であって、クライアント端末４からの２回目のセッション要求があるとさらにユーザ認証を実行する。具体的には、認証要求転送部４１は、クライアント端末４からの２回目の認証要求を受信すると、その２回目の認証要求をパスワード管理サーバ６へそのまま転送する。チャレンジ転送部４２は、認証要求転送部４１によって転送したクライアント端末４の認証要求に応じてパスワード管理サーバ６より送信されてくるチャレンジを取得して、クライアント端末４へと転送する。レスポンス転送部４３は、パスワード管理サーバ６より取得したチャレンジをクライアント端末４へと転送する。認証結果転送部４４は、パスワード管理サーバ６より送信されてくる認証結果をクライアント端末４へ転送する。

通信記録制御部２３は、クライアント端末４とパスワード管理サーバ６との間の通信処理内容について取得して記憶部１２に記憶する。なお、不図示のネットワークを介して接続可能な外部の記憶部（不図示）にクライアント端末４とパスワード管理サーバ６との間の通信処理内容について取得して記憶するように構成してもよい。また、通信記録制御部２３は、クライアント端末４と接続先サーバ３との間の通信処理内容について取得して記憶部１２に記憶するようにしてもよい。

記憶部１２には、制御プログラム５１、プロキシ内部ユーザ情報５２が記憶される。

制御プログラム５１は、プロキシサーバ１（コンピュータ）を、図２の認証制御部１１に示す各ブロックとして説明したように機能させるためのプログラムである。

プロキシ内部ユーザ情報５２は、図１に示したディレクトリサービス２で管理されているユーザ識別情報であり、プロキシサーバ１が管理するユーザＩＤとパスワードなどのユーザ識別情報である。プロキシサーバ１では、クライアント端末４との間では、プロキシ内部ユーザ情報５２に基づいてチャレンジ／レスポンス方式のユーザ認証を実行する。なお、パスワード管理サーバ６から送信されてきたチャレンジ情報を記憶部１２に記憶するようにしてもよい。

（プロキシ認証、各装置間の通信）
図３は、図１の構成における各装置間の通信を示した図である。図３に示すように、まず、クライアント端末４は、認証要求１をプロキシサーバ１へ送信する（Ｓ１）。プロキシサーバ１のチャレンジ生成部３１は、認証要求１を受信するとランダムな数字列のチャレンジ１を生成して、クライアント端末４へ送信する（Ｓ２）。クライアント端末４は、ユーザが入力したパスワードとこのチャレンジ１を特定のアルゴリズムに従って合成し、レスポンス１を作成してプロキシサーバ１に送信する（Ｓ３）。プロキシサーバ１のレスポンス取得部３２がクライアント端末２からレスポンス１を取得する。そして、プロキシサーバ１の認証処理部３３がチャレンジ１とあらかじめディレクトリサービス２に登録されているプロキシ内部ユーザ情報５２を参照して、該当のユーザのパスワードを特定する。そして、プロキシサーバ１の認証処理部３３は、特定したパスワードからレスポンスを作成し、送られてきたレスポンス１と比較する。そして、プロキシサーバ１の認証処理部３３は、両者を比較した結果の認証結果１をクライアント端末４へ送信する（Ｓ４）。なお、ここで、認証結果１においてユーザが登録されておらず認証できなかった場合には、ユーザに対して認証情報の入力が再度求められる。

そして、クライアント端末４では、ユーザにより認証情報が再度入力されると、認証要求２がプロキシサーバ１へと送信される（Ｓ５）。するとプロキシサーバ１では第２認証処理部２２が認証処理を開始する。具体的には、第２認証処理部２２の認証要求転送部４１が、認証要求２をそのまま外部のパスワード管理サーバ６へと転送する（Ｓ６）。パスワード管理サーバ６は、ランダムな数字列のチャレンジ２を生成して、プロキシサーバ１へ送信する（Ｓ７）。プロキシサーバ１のチャレンジ転送部４２がこのチャレンジ２を取得し、レスポンス転送部４３によりクライアント端末４へそのまま転送される（Ｓ８）。クライアント端末４は、ユーザが入力したパスワードとこのチャレンジ２を特定のアルゴリズムに従って合成し、レスポンス２を作成してプロキシサーバ１に送信する（Ｓ９）。

プロキシサーバ１のレスポンス転送部４３は、レスポンス２をパスワード管理サーバ６へと転送する（Ｓ１０）。パスワード管理サーバ６では、自ら送信したチャレンジ２と、あらかじめ外部のディレクトリサービス５に登録されているそのユーザのパスワードからレスポンスを作成すると共に、送られてきたレスポンス２と比較し、そのレスポンス２に基づく認証結果２をプロキシサーバ１へと送信する（Ｓ１１）。プロキシサーバ１の認証結果転送部４４は、認証結果２をクライアント端末４へ転送する（Ｓ１２）。ここで認証情報２が成功している場合には、プロキシサーバ１は、クライアント端末４と接続先サーバ３との間で認証以降に発生する通信を中継する（Ｓ１３，Ｓ１４）。

［クライアント端末４での画面遷移例］
図４は、図３の通信処理によってクライアント端末４側で表示される画面の一例を示す図である。なお、ユーザは接続する接続先サーバ３、接続先サーバ３のフォルダ等は事前に申請すると共に、当該フォルダのアクセス許可の権限を有する者（承認者）から承認されている必要がある。しかしながら、接続する接続先サーバ３、接続先サーバ３のフォルダ等は事前申請しなくても利用できるようにしてもよい。

画面４５は、たとえば、クライアント端末４でプロキシサーバ１を示すＩＰアドレスやホスト名をプロンプトで指定する際に表示される画面である。そして画面４５において実際にプロキシサーバ１を示すＩＰアドレスやホスト名が入力されて指定された場合に、画面４６が新たにポップアップ表示されて、ユーザ名とパスワードの入力が求められる。画面４６に入力された情報に基づいて、図３における認証要求１が行われる。そして画面４７は、画面４６において実際にプロキシサーバ１を示すＩＰアドレスやホスト名が入力されて指定された場合に、新たにポップアップされる画面である。画面４７は、画面４６と同様の画面であるが、プロキシサーバ１がパスワード管理サーバ６へ問い合わせをするために、再度ユーザに対してユーザ名とパスワードの入力を取得するために表示される画面である。画面４７に入力された情報に基づいて、図３における認証要求２が行われる。なお、パスワード管理サーバ６に問い合わせた結果、認証が成功した場合には接続先サーバ３の所望の場所を示す画面４８が表示されることになる。図３における認証要求２による認証が成功した場合、クライアント端末４に画面４８が表示される。

（第２実施形態）
図５は、本発明の認証装置の第２実施形態であるプロキシサーバ１Ａを含む業務情報システムの構成例を示す図である。図５には、ユーザ認証に関わる処理の説明が模式的に示されている。なお、図５に示す業務情報システムにおいて、第１実施形態と同様の部分に関しては同一の符号を付し、説明を省略する。

図６は、図５に示すプロキシサーバ１Ａの機能構成例を示すブロック図である。プロキシサーバ１Ａは、認証制御部６１と記憶部６２とを少なくとも有している。認証制御部６１は、更に認証要求転送部６３、チャレンジ取得部６４、チャレンジ転送部６５、認証処理部６６、および通信記録制御部６７を有している。また記憶部６２には、制御プログラム６８、プロキシ内部ユーザ情報６９が記憶されている。

なお、図６に示す認証制御部６１および記憶部６２の各ブロックは、ハードウェア的には、コンピュータのＣＰＵ（Central Processing Unit）をはじめとする素子やＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory），ＨＤＤ（Hard Disk Drive），ＳＳＤ（Solid State Drive），フラッシュメモリなどの記憶装置で実現でき、ソフトウェア的には、ＯＳ、制御プログラム６８およびその他のコンピュータプログラム等が上記のハードウェアにインストールされることによって実現することができる。しかし、図６ではそれらの連携によって実現される機能ブロックを示している。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現することができる。また、プロキシサーバ１Ａに記憶部６２を有する構成としたが、この記憶部６２に記憶されるデータを他のログ管理装置（外部記憶装置）などで記憶、管理させる構成としてもよい。

認証要求転送部６３は、クライアント端末４からの認証要求を受信すると、その認証要求をパスワード管理サーバ６へそのまま転送する。

チャレンジ取得部６４は、認証要求転送部６３によって転送したクライアント端末４の認証要求に基づいて、パスワード管理サーバ６より送信されてくるチャレンジを取得する。

チャレンジ転送部６５は、チャレンジ取得部６４により取得したチャレンジをクライアント端末４へそのまま転送する。

認証処理部６６は、クライアント端末４から送信されてきたレスポンスと、チャレンジ取得部６４にて取得したチャレンジとに基づいてユーザ認証を実行する。

通信記録制御部６７は、クライアント端末４とパスワード管理サーバ６との間の通信処理内容について取得して記憶部６２に記憶する。なお、不図示のネットワークを介して接続可能な外部の記憶部（不図示）にクライアント端末４とパスワード管理サーバ６との間の通信処理内容について取得して記憶するように構成してもよい。また、通信記録制御部６７は、クライアント端末４と接続先サーバ３との間の通信処理内容について取得して記憶部６２に記憶するようにしてもよい。

記憶部６２には、制御プログラム６８、プロキシ内部ユーザ情報６９が記憶される。

制御プログラム６８は、プロキシサーバ１Ａ（コンピュータ）を、図６の認証制御部６１に示す各ブロックとして説明したように機能させるためのプログラムである。

プロキシ内部ユーザ情報６９は、プロキシサーバ１Ａが管理するユーザＩＤとパスワードなどのユーザ識別情報である。プロキシサーバ１Ａでは、クライアント端末４との間では、プロキシ内部ユーザ情報６９に基づいてチャレンジ／レスポンス方式のユーザ認証を実行する。なお、パスワード管理サーバ６から送信されてきたチャレンジ情報を記憶部６２に記憶するようにしてもよい。

図７は、図５の構成における各装置間の通信を示した図である。

クライアント端末４は、認証要求１をプロキシサーバ１Ａへ送信する（Ｓ２０）。プロキシサーバ１Ａの認証要求転送部６３は、クライアント端末４から認証要求１を受信すると、その認証要求１をパスワード管理サーバ６へ転送する（Ｓ２１）。

パスワード管理サーバ６では、認証要求１に基づいて、ランダムな数字列で構成されるチャレンジ１を生成してプロキシサーバ１Ａへと送信する（Ｓ２２）。プロキシサーバ１Ａのチャレンジ取得部６４がチャレンジ１を受信して取得すると、チャレンジ転送部２３が取得したチャレンジ１をクライアント端末４へ転送する（Ｓ２３）。

クライアント端末４は、プロキシサーバ１から送信されてきたチャレンジ１とユーザが入力したパスワードを特定のアルゴリズムに従って合成し、レスポンス１を作成し、ユーザ情報と共にプロキシサーバ１に送信する（Ｓ２５）。

プロキシサーバ１Ａの認証処理部６６は、Ｓ２５の処理でクライアント端末４から送信されてきたレスポンス１およびＳ２５の処理でクライアント端末４から送信されてきたユーザ情報に基づいてユーザ認証を試みる。具体的には、プロキシサーバ１Ａは、クライアント端末４から送信されてきたユーザ情報がプロキシ内部ユーザ情報に登録されている場合には、そのユーザ情報に対応するパスワードと、チャレンジ１とからレスポンスを作成し、クライアント端末４から送られてきたレスポンス１と比較する。そして、両者が一致した場合にはユーザ認証が成功したと判断して認証結果１Ａをクライアント端末４へと送信する（Ｓ２６）。

一方、プロキシサーバ１Ａの認証処理部６６は、プロキシ内部ユーザ情報に該当するユーザ情報が存在しない場合には、クライアント端末４から送信されてきたレスポンス１をパスワード管理サーバ６へと転送する（Ｓ２７）。なお、プロキシサーバ１Ａは、ユーザ認証が失敗した場合であってもクライアント端末４から送信されてきたレスポンス１をパスワード管理サーバ６へと送信するようにしてもよい。

パスワード管理サーバ６では、プロキシサーバ１Ａから送信されてきたレスポンス１に基づいてチャレンジ／レスポンス方式によるユーザ認証を行う。具体的には、自ら送信したチャレンジ１とあらかじめ外部ユーザ情報に登録されているそのユーザのパスワードからレスポンスを作成し、送られてきたレスポンス１と比較する。そして、その比較結果を認証結果１Ｂとしてプロキシサーバ１Ａへと返す（Ｓ２８）。

プロキシサーバ１Ａの認証処理部６６は、パスワード管理サーバ６から認証結果１Ｂを受信すると、その認証結果１Ｂをクライアント端末４へ転送する（Ｓ２９）。

プロキシサーバ１Ａは、認証結果１Ｂが認証に成功している場合には、以後、クライアント端末４と接続先サーバ３との通信を中継する（Ｓ３０、Ｓ３１）。

［クライアント端末４での画面遷移例］
図８は、クライアント端末４での画面遷移例を示す図である。なお、ユーザは接続する接続先サーバ３、接続先サーバ３のフォルダ等は事前に申請すると共に、当該フォルダのアクセス許可の権限を有する者（承認者）から承認されている必要がある。しかしながら、接続する接続先サーバ３、接続先サーバ３のフォルダ等は事前申請しなくても利用できるようにしてもよい。

ユーザは、上述の事前承認をした後に、クライアント端末４で表示される画面８１からプロキシサーバ１ＡのＩＰアドレス（またはホスト名）、プロキシサーバ１Ａでのフォルダ名を指定する。するとログイン画面８２が別途ポップアップ表示される。このログイン画面８２から、プロキシサーバ１Ａで管理されているユーザ名およびパスワード、またはパスワード管理サーバ６で管理されているユーザ名およびパスワードが入力される。

するとプロキシサーバ１側では、図７で説明した処理が実行され目的の接続先サーバ３のフォルダにアクセスできるようになると、クライアント端末４において画面８３が表示される。

以上、プロキシサーバ１Ａの基本的な通信処理およびクライアント端末４での画面表示について説明したが、プロキシサーバ１Ａは、プロキシサーバ１とは異なり、複数の認証判定方法を有している。以下、複数の認証判定処理の具体例について図９〜図１３を参照してさらに詳しく説明する。

（認証判定処理）
図９は、プロキシサーバ１Ａの認証判定処理の一例を示すフローチャートである。プロキシサーバ１は、以下に説明する判定処理により、どのような認証方法を採用するのかを決定する。なお、図９に示す認証判定処理は、このプロキシサーバ１Ａが起動するか、認証判定処理を実行する機能がＯＮになると処理が開始される（ＳＴＡＲＴ）。まず、プロキシサーバ１Ａは、ユーザ認証を実行するに際に内部のディレクトリサービス２を利用する設定となっているか否かを判定する（Ｓ４１）。そしてプロキシサーバ１Ａは、ユーザ認証を実行するに際に内部のディレクトリサービス２を利用する設定となっている場合には（Ｓ４１でＹＥＳ）、さらに外部のディレクトリサービス５を有するパスワード管理サーバ６のアドレスが登録されているか否かを判定する（Ｓ４２）。一方、プロキシサーバ１Ａは、内部のディレクトリサービス２を利用する設定となっていない場合には（Ｓ４１でＮＯ）、外部のディレクトリサービス５を利用する処理（後述の図１０）を実行する（Ｓ４３）。

Ｓ４２の判定においてプロキシサーバ１Ａは、外部のディレクトリサービス５を有するパスワード管理サーバ６のアドレスが登録されていると判定した場合には（Ｓ４２でＹＥＳ）、まず内部のディレクトリサービス２をはじめに利用してユーザ認証を実行し、ユーザが登録されていない場合には外部のディレクトリサービス５を利用する処理を実行する（Ｓ４４）。なお、プロキシサーバ１Ａは、Ｓ４２の判定において外部のディレクトリサービス５を有するパスワード管理サーバ６のアドレスが登録されていない場合には（Ｓ４２でＮｏ）、内部のディレクトリサービス２を利用する処理を実行する（Ｓ４５）。Ｓ４４またはＳ４５のユーザ認証処理が完了すると認証判定処理は終了する（ＥＮＤ）。

図１０は、図９に示す処理のうち、パスワード管理サーバ６の外部のディレクトリサービス５に基づいてユーザ認証を実行する場合（図９のＳ４３）の通信処理例を示す図である。図１０に示す例では、クライアント端末４とプロキシサーバ１Ａの間でネゴシエーション処理が実行されると、プロキシサーバ１Ａとパスワード管理サーバ６との間でも同様にネゴシエーション処理が実行される（図１０のＮＥＧＯＴＩＡＴＥ）。これによりプロキシサーバ１Ａはクライアント端末４との間でのセッションの確立と、パスワード管理サーバ６との間でのセッションの確立の両方が可能な状態となる。なお、図１０の中でプロキシサーバ１Ａはチャレンジと共に、「ＵＩＤ」をクライアント端末４へ送信している。この「ＵＩＤ」は、１つのセッションの間だけクライアント端末４のユーザを識別するために振り分けられる一時的な番号である。プロキシサーバ１Ａは、クライアント端末４からセッション確立要求の度にこの「ＵＩＤ」を新たに発行し、クライアント端末４へ通知する。これにより、認証をあくまでもセッションの間だけのものとして管理しやすくすると共に、ユーザ側でユーザ名の変更等が発生しても、それまでの通信で利用しているセッションを引き続き利用することが可能となっている。

続いて、プロキシサーバ１Ａは、クライアント端末４との間で実行されるチャレンジ／レスポンス方式のユーザ認証処理に関する処理要求を、パスワード管理サーバ６へと転送する。すなわち、プロキシサーバ１Ａは、クライアント端末４との間で実行されるセッションセットアップ処理要求に応じて、パスワード管理サーバ６に対して同様のセッションセットアップ処理要求を送信する。そして、プロキシサーバ１Ａは、パスワード管理サーバ６から送信されてくる、チャレンジおよびユーザ認証可否についての応答をクライアント端末４へそのまま送信する。このような通信処理とすることにより、プロキシサーバ１Ａはパスワード管理サーバ６との間で、外部のディレクトリサービス５に基づくチャレンジ／レスポンス方式のユーザ認証処理を実行することができる。

図１１は、図９に示す処理のうち、プロキシサーバ１Ａの内部のディレクトリサービス２にのみ基づいてユーザ認証を実行する場合（図９のＳ４５）の通信処理例を示す図である。図１１に示す例では、クライアント端末４からプロキシサーバ１Ａへ送信されてくる処理要求はすべてプロキシサーバ１Ａの内部のディレクトリサービス２に基づいて認証処理が実行される。なお、図１１に示すクライアント端末４とプロキシサーバ１Ａとの間で実行される通信処理は、図１０で説明したクライアント端末４とプロキシサーバ１Ａとの間で実行される通信処理と同様であるため、説明を省略する。

図１２は、クライアント端末４のユーザがプロキシサーバ１Ａの内部のディレクトリサービス２に登録されているユーザである場合の通信処理例を示す図である。図１２に示す例では、プロキシサーバ１Ａは、まず、クライアント端末４からの認証要求をパスワード管理サーバ６へと転送する。そして、プロキシサーバ１Ａは、パスワード管理サーバ６から送信されてきたＵＩＤとチャレンジを自己の記憶部６２に保存すると共に、クライアント端末４へ送信する。そして、クライアント端末４から送信されてきたレスポンスと、内部のディレクトリサービス２に登録されているユーザに対応するパスワードから所定のアルゴリズムによって生成されたレスポンスとを比較する。そして、その比較結果であるユーザ認証可否をクライアント端末４へと送信する。

図１３は、クライアント端末４のユーザがプロキシサーバ１Ａの内部のディレクトリサービス２に登録されていないユーザである場合の通信処理例を示す図である。図１３に示す例では、プロキシサーバ１Ａは、まず、クライアント端末４からの認証要求をパスワード管理サーバ６へと転送する。そして、プロキシサーバ１は、パスワード管理サーバ６から送信されてきたＵＩＤとチャレンジを自己の記憶部６２に保存すると共に、クライアント端末４へと送信する。そして、内部のディレクトリサービス２に登録されていないユーザである場合に、当該レスポンスをパスワード管理サーバ６へと転送し、パスワード管理サーバ６から送信されてきた認証結果であるユーザ認証可否をクライアント端末４へと送信する。

［発明の実施の形態における効果］
以上のように、プロキシサーバ１，１Ａは、クライアント端末４からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置であって、クライアント端末４からの認証要求を受信すると、ディレクトリサービス５を提供している外部のパスワード管理サーバ６へその認証要求を転送し、転送した認証要求に基づいてパスワード管理サーバ６より送信されてくるチャレンジを取得し、取得したチャレンジをクライアント端末４へ送信し、クライアント端末４から送信されてきたレスポンスとパスワード管理サーバ６から取得したチャレンジに基づいてユーザ認証を実行する構成となっている。このような構成により、プロキシサーバ１，１Ａはパスワード管理サーバ６が発行するチャレンジをクライアント端末４との間でのユーザ認証において利用することができ、クライアント端末４のユーザがパスワード管理サーバ６に登録されているユーザである場合には、パスワード管理サーバ６に対してクライアント端末４から受け取ったレスポンスを転送して、その後にパスワード管理サーバ６との間でのチャレンジ／レスポンス方式のユーザ認証を実行させることが可能となる。すなわち、プロキシサーバ１，１Ａ（認証装置）は、内部のディレクトリサービス２に登録されていないユーザに対してもチャレンジ／レスポンス方式のユーザ認証を適切に実行することができる。

また、プロキシサーバ１，１Ａは、内部のディレクトリサービス２にクライアント端末４のユーザが存在し、かつユーザ認証が成功した場合にはその成功した認証結果をクライアント端末４へ送信し、内部のディレクトリサービス２にクライアント端末４のユーザが存在しない場合には、クライアント端末４から送信されてきたレスポンスをパスワード管理サーバ６へと転送し、パスワード管理サーバ６から送信されてくる認証結果をクライアント端末４のユーザの認証結果としてクライアント端末４へと送信するように構成されている。

これにより、プロキシサーバ１，１Ａは、クライアント端末４のユーザを認証するための情報（ユーザＩＤ，パスワードなど）の登録場所が自己の記憶部１２である場合には、内部のディレクトリサービス２に登録されているユーザのパスワードと、パスワード管理サーバ６が生成したチャレンジとを特定のアルゴリズムに従って合成してレスポンスを作成し、クライアント端末４から送信されてきたレスポンスと一致するか否かを判定することができる。一方で、プロキシサーバ１，１Ａは、クライアント端末４のユーザを認証するための情報が自己の記憶部１２に登録されていない場合（すなわち、パスワード管理サーバ６記憶部６２に登録されている場合）には、クライアント端末４から取得したレスポンスをパスワード管理サーバ６へと転送して、外部のディレクトリサービス５に登録されているユーザのパスワードと、パスワード管理サーバ６が生成したチャレンジとを特定のアルゴリズムに従って合成してレスポンスを作成し、プロキシサーバ１，１Ａから送信されてきたレスポンスと一致するか否かによりユーザ認証を実行することができる。

したがって、クライアント端末４のユーザに対応するユーザ情報の記憶されている場所がいずれであってもチャレンジ／レスポンス方式のユーザ認証することが可能となるため、ユーザに対して自己のユーザ情報がどこに記憶されているのかを意識させることがない。なお、プロキシサーバ１の場合には、クライアント端末４との間において最大で２回のセッションが必要となるが、プロキシサーバ１Ａの場合には、クライアント端末４とのセッションでパスワード管理サーバ６のチャレンジを最初から利用する構成のため、１回のセッションでチャレンジ／レスポンス方式のユーザ認証を確実に行うことが可能である。

また、上述したプロキシサーバ１、１Ａとして説明した装置の認証方法、およびプロキシサーバ１、１Ａとしてコンピュータを機能させるための制御プログラム５１、６８は上述したプロキシサーバ１、１Ａが奏する効果と同様の効果を奏するものである。

以上、プロキシサーバ１、１Ａを例に挙げ説明したが、この発明は、上記実施の形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化したり、上記実施の形態に開示されている複数の構成要素を適宜組み合わせたりすることにより種々の発明を形成できる。例えば、実施の形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施の形態に亘る構成要素を適宜組み合わせても良い。

また、プロキシサーバ１、１Ａの上述した一連の処理は、ハードウェアにより実行することもできるし、ソフトウェアにより実行することもできる。一連の処理をソフトウェアにより実行する場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ、または、各種のプログラムをインストールすることで、各種の機能を実行することが可能な、例えば汎用のパーソナルコンピュータなどに、非一時的プログラム記録媒体からインストールされる。

１，１Ａ…プロキシサーバ（認証装置の一例）、２…ディレクトリサービス、３…接続先サーバ、４…クライアント端末、５…ディレクトリサービス、６…パスワード管理サーバ（外部のサーバの一例）、４１…認証要求転送部、４２…チャレンジ転送部、４４…認証結果転送部（認証処理部の一例）、６３…認証要求転送部、６５…チャレンジ転送部、６６…認証処理部

Claims (4)

1. クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置であって、
   前記クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ前記認証要求を転送する認証要求転送部と、
   前記認証要求に基づいて前記外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得部と、
   前記チャレンジ取得部により取得したチャレンジを前記クライアント端末へ転送するチャレンジ転送部と、
   前記クライアント端末から送信されてきたレスポンスと前記チャレンジ取得部により取得したチャレンジに基づいてユーザ認証を実行する認証処理部と
   を有し、
   前記チャレンジ転送部は、前記チャレンジ取得部が取得した前記外部のサーバからのチャレンジを前記クライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、前記クライアント端末とのセッションを管理する
   ことを特徴とする認証装置。
2. 請求項１に記載の認証装置であって、
   前記認証処理部は、
   内部のディレクトリサービスで保持されているユーザ情報に前記クライアント端末のユーザが存在し、かつチャレンジ／レスポンス方式のユーザ認証が成功した場合にはその成功した認証結果を前記クライアント端末へ送信し、内部のディレクトリサービスで保持されているユーザ情報に前記クライアント端末のユーザが存在しない場合には、前記クライアント端末から送信されてきたレスポンスを前記外部のサーバへと転送し、前記外部のサーバとの間でチャレンジ／レスポンス方式のユーザ認証を実行し、外部のサーバから送信されてくる認証結果を、前記クライアント端末のユーザの認証結果としてクライアント端末へと送信する
   ことを特徴とする認証装置。
3. 認証要求転送部と、チャレンジ取得部と、チャレンジ転送部と、認証処理部とを有し、クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置で用いられる認証方法において、
   前記認証要求転送部が、前記クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ前記認証要求を転送する認証要求転送ステップと、
   前記チャレンジ取得部が、前記認証要求に基づいて前記外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得ステップと、
   前記チャレンジ転送部が、前記チャレンジ取得ステップにより取得したチャレンジを前記クライアント端末へ転送するチャレンジ転送ステップと、
   前記認証処理部が、前記クライアント端末から送信されてきたレスポンスと前記チャレンジ取得ステップで取得したチャレンジに基づいてユーザ認証を実行する認証処理ステップと、を有し、
   前記チャレンジ転送ステップでは、前記チャレンジ取得部が取得した前記外部のサーバからのチャレンジを前記クライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、前記クライアント端末とのセッションを管理する
   ことを特徴とする認証方法。
4. クライアント端末からの認証要求に基づいてチャレンジ／レスポンス方式のユーザ認証を行う認証装置としてコンピュータを機能させるためのプログラムであって、
   前記コンピュータを、
   前記クライアント端末からの認証要求を受信すると、ディレクトリサービスを提供している外部のサーバへ前記認証要求を転送する認証要求転送手段と、
   前記認証要求に基づいて前記外部のサーバより送信されてくるチャレンジを取得するチャレンジ取得手段と、
   前記チャレンジ取得部により取得したチャレンジを前記クライアント端末へ転送するチャレンジ転送手段と、
   前記クライアント端末から送信されてきたレスポンスと前記チャレンジ取得部により取得したチャレンジに基づいてユーザ認証を実行する認証処理手段として機能させ、
   前記チャレンジ転送手段は、前記チャレンジ取得手段が取得した前記外部のサーバからのチャレンジを前記クライアント端末へ転送する際に、そのクライアント端末を識別するためのＵＩＤを付与して、前記クライアント端末とのセッションを管理することを特徴とするプログラム。