JP6131354B2 - デバイス固有のワンタイムパスワードによるネットワークからの認証 - Google Patents

Description

本開示はネットワークからの認証に関し、より詳細には、デバイス固有のワンタイムパスワードによるネットワークからの認証に関する。

多くの企業が私設ネットワークを有する。私設ネットワークはローカル・エリア・ネットワーク（ＬＡＮ）および／またはエンタープライズネットワークを含みうる。従業員はこれらの私設ネットワークに、インターネットといった公衆ネットワークを介してリモートでアクセスしようとする場合がある。公衆ネットワーク上で私設ネットワークへのアクセスを提供し、公衆ネットワーク上でユーザのコンピューティング機器と私設ネットワークとの間のセキュアな暗号化されたメッセージおよびデータの伝送を提供するための技術が存在する。そうした技法の１つが仮想私設ネットワーク（ＶＰＮ）である。

私設ネットワークは、無許可のユーザが私設ネットワークにアクセスすることを妨げ、許可されたユーザだけに私設ネットワークおよび／または私設ネットワークに記憶された情報へのアクセスを許可するように構成されうる。そうした許可されたユーザの認知は、通常、ユーザの識別情報の検証、すなわち、ネットワークに対するユーザの認証に依拠する。通常、私設ネットワークから認証を受け、私設ネットワークにアクセスするために、ユーザは、ユーザ名およびパスワードを提供するよう求められうる。状況によっては、ユーザは、パスコードといった追加的な認証を提供するよう求められる場合もある。

コンピューティング機器で私設ネットワークにアクセスしようとするユーザは、ユーザ名およびパスワードを用いてコンピューティング機器から認証を受け、次いで、別のパスワードおよびおそらくは別のユーザ名で私設ネットワークから認証を受けるよう要求されうる。セキュリティを確保するために、パスワードは比較的頻繁に変更されるべきである。ユーザは、その場合、パスワードを覚え、または後で取得するためにパスワードを記録しなければならない。どちらの技法もあまり確実ではなく、記録されたパスワードがユーザ以外の誰かによって取得され、セキュリティを損なう可能性もある。

特許請求される主題の実施形態の特徴および利点は、以下の詳細な説明が進むに従って、図面を参照すれば明らかになるはずであり、図面において類似の符号は類似の部分を示す。

本開示の様々な実施形態と一致するデバイス固有のワンタイムパスワード認証システムを示す図である。 本開示の様々な実施形態と一致するデバイス固有のワンタイムパスワード認証システムの例示的動作を示すフローチャートである。 本開示の一実施形態と一致するワンタイムパスワードを生成するように構成されたクライアントデバイスの例示的動作を示すフローチャートである。 本開示の様々な実施形態と一致する第２の認証を提供するように構成されたデバイス固有のワンタイムパスワード認証システムの例示的動作を示す別のフローチャートである。

以下の詳細な説明は例示的な実施形態を参照しながら進めるが、当業者にはこれらの実施形態の多くの代替形態、改変形態および変形形態が明らかになるであろう。

一般に、本開示では、ワンタイムパスワード（ＯＴＰ）を用いて私設ネットワークから認証を受けるための方法およびシステムを記載する。クライアントデバイスは、少なくとも一部はデバイス属性に基づいてワンタイムパスワードを生成するように構成されている。デバイス属性には、それだけに限らないが、ファイルシステム属性、デバイス設定（ソフトウェアとハードウェアの両方）、ハードウェア特徴およびデバイス（ユーザ）コンテキストが含まれうる。

デバイス属性は、通常、デバイス固有であり、別のデバイス上では複製されえない。ＯＴＰを生成するのに使用される固有のデバイス属性は、例えば、本明細書に記載するように、システム管理者によって選択可能としてよい。ＯＴＰは、クライアントデバイスが私設ネットワークに接続されるセッションの間にクライアントデバイスによって生成されてよい。ＯＴＰは、次いで、クライアントデバイス上に保存され、私設ネットワークと関連付けられたオーセンティケータに提供されてよい。ＯＴＰは、次いで、次のセッションで私設ネットワークに対してクライアントデバイスを認証するのに使用されてよい。よって、クライアントデバイスは、別のデバイス上で複製されえないデバイス属性に基づく、潜在的に一意のランダムなＯＴＰを用いて私設ネットワークに対して認証されうる。ユーザは、その場合、そうしたパスワードを覚えなくてもよい。ユーザはクライアントデバイスから認証され、クライアントデバイスは、次いで、私設ネットワークから認証されうる。

セッションＯＴＰは、私設ネットワークに対してクライアントデバイスを認証するのに使用されてよい。セッションＯＴＰは、同様に、私設ネットワークに含まれる保護されたコンテンツへのアクセスを制御するのにも使用されてよい。コンテンツは、情報、データおよび／またはアプリケーションを含んでいてよい。セッションＯＴＰを用いて私設ネットワークから認証を受けたクライアントデバイスは、保護されたコンテンツにアクセスするためにさらなる認証を提供するよう構成されていてよい。さらなる認証は、本明細書に記載するように、静的セッションＯＴＰおよび／または第２の（動的）セッションＯＴＰを含んでいてよい。

一実施形態では、第２の認証が実行されてよい。この実施形態では、クライアントデバイスは、認証時に、デバイス属性に基づいて第２の（動的）ＯＴＰを生成ように構成されていてよい。オーセンティケータは、第２のＯＴＰが、前のセッションの間にクライアントデバイスによって提供された保存されたＯＴＰの予め定められた許容差内である場合に認証成功と判断するように構成されていてよい。第２の認証は、記憶されたセッションＯＴＰを生成したクライアントデバイスが、第２の認証を試みているクライアントデバイスであることを検証するように構成されている。

例えば、選択されるファイルシステム属性が、デバイス固有のセッションＯＴＰを生成するのに使用されてもよい。ファイルシステム属性は、例えば、システム管理者によって定義された予め定められた規則に基づいて選択されてもよい。この例では、選択されるファイルシステム属性は、クライアントデバイスに含まれるハードディスクの指定の１もしくは複数の領域に対応してよい。選択される領域は、静的であってもよく、比較的低頻度で変化するように構成されてもよい。選択される領域はスキャンされてよく、スキャンされた領域に記憶されたデータが取り込まれてよい。取り込まれたデータは、次いで、デバイス固有のＯＴＰを生成するように処理されてよい。例えば、取り込まれたデータは、所望のサイズのＯＴＰを提供するように構成された暗号学的ハッシュ関数を用いて処理されてよい。よって、デバイス固有のＯＴＰが、デバイス固有のデバイス属性に基づいて生成されうる。

図１に、本開示の様々な実施形態と一致するデバイス固有のワンタイムパスワード認証システム１００を示す。システム１００は、一般に、クライアントデバイス１０２と、私設ネットワーク１０４と、ネットワーク１０６とを含む。私設ネットワーク１０４は、一般に、認証サーバ「オーセンティケータ」１０８と、１つまたは複数のサーバ１４０と、１つまたは複数の記憶装置１４２とを含む。１つまたは複数の記憶装置１４２は、本明細書に記載するように、（１つまたは複数の）ハード・ディスク・ドライブおよび／または他の記憶媒体を含んでいてよい。オーセンティケータ１０８は、私設ネットワーク１０４に含まれていてよく、かつ／または私設ネットワーク１０４と関連付けられていてよい（ゲートウェイなど）。ユーザは、クライアントデバイス１０２を使用し、ネットワーク１０６を介して私設ネットワーク１０４にアクセスしてよい。ネットワーク１０６は、インターネットなどの公衆ネットワークとしてよい。

クライアントデバイス１０２は、セキュアなストレージ１１０と、プロセッサ「ＣＰＵ」１１２と、メモリ１１４と、１つまたは複数の記憶装置１１６と、通信モジュール１１８とを含んでいてよい。「クライアントデバイス」は、本明細書で使用する場合、任意のコンピューティング機器を意味し、それだけに限らないが、移動電話、スマートフォン、タブレットコンピュータ、ノートブックコンピュータ、デスクトップコンピュータ、ウルトラポータブルコンピュータ、ウルトラモバイルコンピュータ、ネットブックコンピュータ、サブノートブックコンピュータ、個人向け携帯情報端末、企業向け携帯情報端末、モバイル・インターネット・デバイス、および類似のデバイスを含む。ＣＰＵ１１２は、クライアントデバイス１０２内のアプリケーションおよび／またはモジュールと関連付けられた動作を実行するように構成されている。メモリ１１４は、クライアントデバイス１０２のためのアプリケーションおよび／またはデータを記憶するように構成されている。１つまたは複数の記憶装置１１６は、本明細書に記載するように、ハード・ディスク・ドライブ、取り外し可能記憶装置、および／または他の記憶媒体を含んでいてよい。通信モジュール１１８は、クライアントデバイス１０２のためのネットワーク接続を提供するように構成されている。通信モジュール１１８は、１つまたは複数の通信プロトコルを用いて、有線または無線で、ネットワーク１０６に接続するように構成されていてよい。

セキュアなストレージ１１０は、セキュアなストレージ１１０内に含まれる要素へのアクセスを制限するように構成されている。セキュアなストレージ１１０は、セキュリティエンジン１２０と、セッションＯＴＰ生成モジュール１２２と、セッションＯＴＰ１２３を含みうるローカルセッションＯＴＰストア１２４と、セッションＯＴＰ規則１２６とを含み、動的セッションＯＴＰ１２８を含んでいてよい。セキュリティエンジン１２０は、セキュアなストレージ１１０を管理し、セキュアなストレージ１１０へのアクセスを制御するように構成されており、暗号化操作および／またはハッシュ化操作を実行するように構成されていてよい。

セッションＯＴＰ生成モジュール１２２は、デバイス属性１３０およびセッションＯＴＰ規則１２６に基づいて第１の（静的）セッションＯＴＰ１２３を生成するように構成されている。セッションＯＴＰ生成モジュール１２２は、本明細書に記載するように、第２の（動的）セッションＯＴＰ１２８を生成するようにさらに構成されていてよい。静的セッションＯＴＰ１２３は、現在のセッションが終了する直前に生成されてよい。静的セッションＯＴＰ１２３は、次いで、次のセッションで私設ネットワーク１０４に対してクライアントデバイス１０２を認証するのに利用されてよい。ある実施形態では、静的セッションＯＴＰ１２３は、静的セッションＯＴＰ１２３の失効日付を含むように構成された日付フィールドを含んでいてよい。

セッションＯＴＰ生成モジュール１２２は、クライアントデバイス１０２をスキャンし、セッションＯＴＰ規則１２６に基づいて複数のデバイス属性を選択するように構成されている。選択された複数のデバイス属性は、次いで、少なくとも一部はセッションＯＴＰ規則１２６に基づいて、セッションＯＴＰ生成モジュール１２２によって選択的に組み合わされ、暗号化され、かつ／またはハッシュ化されてよい。ハッシュ化は、所望の長さ（サイズ）のセッションＯＴＰを提供するように構成されている。結果は、次いで、ローカルの静的セッションＯＴＰストア１２４に記憶され、後で使用するために記憶されるようにオーセンティケータ１０８に提供されてよい。

デバイス属性１３０は、それだけに限らないが、ファイルシステム属性、ハードウェア特徴、ソフトウェア構成設定、およびユーザコンテキストを含む。ファイルシステム属性は、ディレクトリ（フォルダ）、サブディレクトリ（サブフォルダ）、ファイルおよびファイル固有の情報（ファイル位置、ファイル名、著者、タイムスタンプ、ファイルサイズ、ファイルタイプ、ファイル内のストリング、ファイル統計および／もしくは他のファイル固有の情報）ならびに／または他のファイルシステム属性を含む。ハードウェア特徴は、メモリサイズ、ＭＡＣアドレス、記憶装置ストリング、グラフィック特性および／または他のハードウェア特徴を含む。ユーザコンテキストは、ユーザ（クライアントデバイス１０２）位置、ユーザプロフィール、ユーザ・バイオメトリクス・データおよび／または他のユーザコンテキストデータを含む。デバイス属性１３０は、任意のデバイス固有の属性を含んでいてよい。よって、デバイス固有の属性は、別のデバイス上で複製されえない複数のデバイス固有のデータを含む。

セッションＯＴＰ規則１２６は、どのデバイス属性が選択されるか、選択されるデバイス属性の数を定義するように構成されており、ハッシュ化パラメータを定義するように構成されていてよい。セッションＯＴＰ規則１２６は、例えば、私設ネットワーク１０４と関連付けられたシステム管理者によって決定されてよい。選択される固有のデバイス属性および選択されるデバイス属性の数は、求められるセキュリティのレベルに基づくものとしてよい。例えば、より多数のデバイス属性を選択すれば、より少数のデバイス属性を選択する場合と比べて、一意のＯＴＰがもたらされる可能性が高くなる。セッションＯＴＰ規則１２６は、比較的低頻度で変化する少なくともいくつかのデバイス属性を選択することを含んでいてよい。セッションＯＴＰ規則１２６は、少なくとも若干のランダム機能を含んでいてよい。ランダム機能は、生成される各ＯＴＰが、以前にされたＯＴＰまたは後で生成されるＯＴＰに対して固有である可能性が高いことを確保するように構成されていてよい。例えば、固有のデバイス属性はランダムに選択されてよい。別の例では、選択されるデバイス属性の数は、ランダムとしてよく、閾値数より大きくなるように制約されてよい。よって、概ね一意のＯＴＰが、複数のデバイス属性に基づいて生成されうる。

例えば、選択されるデバイス属性がアプリケーションのための構成設定を含む場合には、（１つまたは複数の）ユーザプロフィール属性ストリングがセッションＯＴＰを生成するのに使用されてよい。（１つまたは複数の）ユーザプロフィール属性ストリングは、スキャンされ、取り込まれてよい。取り込まれたデータは、セッションＯＴＰを生成するようにハッシュ化されてよい。ハッシュ化パラメータは、指定のサイズのセッションＯＴＰを提供するように構成されてよい。

生成された第１のセッションＯＴＰ１２３は、クライアントデバイス１０２上でローカルセッションＯＴＰストア１２４に記憶されてよく、オーセンティケータ１０８に提供されてよい。オーセンティケータ１０８は、私設ネットワーク１０４のための認証サービスを提供するように構成されている。オーセンティケータ１０８は、クライアントセッションＯＴＰ検査モジュール１５０と、クライアントセッションＯＴＰストア１５２とを含み、動的セッションＯＴＰ検査モジュール１５４とＯＴＰ検査規則１５６とを含んでいてよい。

クライアントセッションＯＴＰ検査モジュール１５０は、クライアントデバイス１０２からセッションＯＴＰ、例えば第１のセッションＯＴＰ１２３を受け取り、クライアントセッションＯＴＰの検査を管理するように構成されている。第１のセッションＯＴＰ１２３は、本明細書に記載するように、次のセッションでクライアントデバイス１０２を認証するのに使用されるように構成されている。オーセンティケータ１０８は、受け取った第１のセッションＯＴＰ１２３を、後で使用するためにクライアントセッションＯＴＰストア１５２に記憶するように構成されている。よって、セッションＯＴＰがクライアントデバイス１０２によって生成されると、生成された第１のセッションＯＴＰ１２３は、クライアントデバイス１０２のローカルセッションＯＴＰストア１２４と、オーセンティケータ１０８のクライアントセッションＯＴＰストア１５２とに記憶されうる。

ユーザがクライアントデバイス１０２を用いて私設ネットワーク１０４にアクセスしようとするとき、ユーザはクライアントデバイス１０２からユーザ自身の認証を受けてよく、クライアントデバイス１０２は、次いで、私設ネットワーク１０４から認証を受けようと試みてよい。ローカルセッションＯＴＰストア１２４に記憶されたセッションＯＴＰ（「ローカルセッションＯＴＰ」）は、認証プロセスの一部としてオーセンティケータ１０８に提供されてよい。クライアントセッションＯＴＰ検査モジュール１５０は、ローカルセッションＯＴＰを受け取り、受け取ったローカルセッションＯＴＰをクライアントセッションＯＴＰストア１５２に記憶されたセッションＯＴＰ（「クライアントセッションＯＴＰ」）と比較するように構成されている。ローカルセッションＯＴＰがクライアントセッションＯＴＰに対応する場合には、クライアントデバイス１０２は私設ネットワーク１０４に対して認証されてよく、アクセスが許可されてよい。

クライアントデバイス１０２が、セッションが終了するという指示を受け取ると、セッションＯＴＰ生成モジュール１２２は、新しいセッションＯＴＰを生成し、新しいセッションＯＴＰをローカルセッションＯＴＰストア１２４に記憶し、新しいセッションＯＴＰをオーセンティケータ１０８に提供するように構成される。オーセンティケータ１０８は、次いで、受け取った新しいセッションＯＴＰを、次のセッションで使用するために、クライアントセッションＯＴＰストア１５２に記憶してよい。

よって、一意のデバイス固有のセッションＯＴＰが生成され、次のセッションで私設ネットワーク１０４に対してクライアントデバイス１０２を認証するために現在のセッションの間に記憶されうる。一意のデバイス固有のセッションＯＴＰまたは別のデバイス固有のセッションＯＴＰが、私設ネットワーク内の保護されたコンテンツへのアクセスのためにクライアントデバイス１０２を認証するのに利用されてよい。セッションＯＴＰは、クライアントデバイス属性１３０およびセッションＯＴＰ規則１２６に基づいて生成されてよい。ユーザは、私設ネットワーク１０４にアクセスするための頻繁に変更されるパスワードを覚えなくてもよい。セッションＯＴＰは、クライアントデバイス１０２と私設ネットワーク１０４との間の共有される秘密に対応する。

状況によっては、私設ネットワーク１０４および／または私設ネットワーク１０４内の保護されたコンテンツにアクセスするための第２の認証を要求することが望ましい場合もある。そうした第２の認証は、第１の認証だけで利用できるレベルより相対的に高いレベルのセキュリティを提供するように構成される。第２の認証は、認証を受けようとするデバイスが、前のセッションで第１のセッションＯＴＰ１２３を提供したクライアントデバイス１０２であることを確認するように構成されている。第１の認証は、本明細書に記載するように、第１の（静的）セッションＯＴＰを用いて実行されてよい。第２の認証は、次いで、第２の（動的）セッションＯＴＰを用いて実行されてよい。第１のセッションＯＴＰは、本明細書に記載するように、クライアントデバイス１０２によって生成され、クライアントデバイス１０２に記憶され、次のセッションで使用するために記憶されるようにオーセンティケータ１０８に提供されてよい。第１のセッションＯＴＰは、よって、次のセッションの前にクライアントデバイス１０２に存在する。第２の（動的）セッションＯＴＰは、前のセッションの間ではなく認証試行時に生成されるように構成されている。よって、第２のセッションＯＴＰは、認証時のデバイス属性に基づいて生成される。第２の認証は、私設ネットワークから認証を受けようとするデバイスが、オーセンティケータ１０８に記憶された第１のセッションＯＴＰ１２３を提供したクライアントデバイス１０２であることを確認するように構成されている。

第２の（動的）認証が（ポリシーに基づいて）要求される場合、第２の動的セッションＯＴＰ１２８が、デバイス属性１３０およびセッションＯＴＰ規則１２６に基づいて生成されてよい。第２の（動的）セッションＯＴＰ１２８を生成するのに使用されるセッションＯＴＰ規則１２６は、第１の（静的）セッションＯＴＰ１２３を生成するのに使用されるセッションＯＴＰ規則１２６に対応する。言い換えると、同じ規則が、第１のセッションＯＴＰ１２３と第２のセッションＯＴＰ１２８の両方を生成するのに使用されてよい。同様に、同じデバイス属性１３０が、第１のセッションＯＴＰ１２３と第２のセッションＯＴＰ１２８の両方を生成するのに使用されてよい。しかし、デバイス属性と関連付けられた値は、第１のセッションＯＴＰ１２３の生成と第２のセッションＯＴＰ１２８の生成との間に変化している可能性もある。例えば、ファイルが編集されている場合もある。別の例として、デバイス設定が変化している場合もある。別の例として、デバイスコンテキスト、例えば位置が変化している場合もある。よって、第２のセッションＯＴＰ１２８が第１のセッションＯＴＰ１２３に対応するかどうか評価するときに、許容差（すなわち範囲）が利用されてよい。第２のセッションＯＴＰ１２８が第１のセッションＯＴＰ１２３の許容差内である場合には、第２の認証に成功したとみなされてよい。

動的セッションＯＴＰ検査モジュール１５４は、少なくとも一部はＯＴＰ検査規則１５６に基づいて第２の認証を実行するように構成されている。ＯＴＰ検査規則１５６は、第２の検査に利用されるべき（１つまたは複数の）許容差パラメータを含んでいてよい。第２の（動的）セッションＯＴＰ１２８は、第２の認証を求める要求に応答して生成されてよい。第２のセッションＯＴＰ１２８は、セッションＯＴＰ生成モジュール１２２によって生成され、オーセンティケータ１０８に提供されてよい。動的セッションＯＴＰ検査モジュール１５４は、第２のセッションＯＴＰ１２８を受け取り、第２のセッションＯＴＰ１２８をクライアントセッションＯＴＰストア１５２からの第１の（静的）セッションＯＴＰ１２３と比較し、ＯＴＰ検査規則１５６に基づいて第２のセッションＯＴＰ１２８が第１の（静的）セッションＯＴＰ１２３に対応するかどうか判定するように構成されている。

例えば、セッションＯＴＰを生成するための基礎として選択されるデバイス属性は、ファイルシステム属性を含んでいてよい。ファイルシステムはスキャンされ、予め定められた範囲内の複数のランダムな位置でデータが取り込まれてよい。次いで、セッションＯＴＰを生成するために、スキャンされた（取り込まれた）属性にセキュアなハッシュが適用されてよい。セキュアなハッシュは、所望のサイズのセッションＯＴＰをもたらすように構成されていてよい。セッションＯＴＰは、次いで、オーセンティケータ１０８に提供されてよい。オーセンティケータ１０８は、セッションＯＴＰを記憶してよく、記憶されたセッションＯＴＰと共にタイムスタンプを含めてよい。第２の認証が要求される場合、ファイルシステムは、同じ範囲内の複数の位置においてスキャンされてよい。取り込まれたスキャン結果は、第２の（動的）ＯＴＰを生成するようにハッシュ化されてよい。第２のＯＴＰは、オーセンティケータ１０８に提供されてよい。オーセンティケータ１０８は、次いで、記憶されたセッションＯＴＰを動的ＯＴＰと比較してよい。ファイルシステム属性は、第１のセッションＯＴＰの生成と第２のセッションＯＴＰの生成との間に変化している可能性があるため、クライアントデバイスは、第２のセッションＯＴＰが予め定められたパーセンテージ（例えば９０％）内で第１のセッションＯＴＰに対応する場合に妥当と認められてよい。

別の例では、デバイス属性はタイムスタンプを含んでいてよい。この例では、第１のセッションＯＴＰおよび第２のセッションＯＴＰを生成するのにハードウェア属性が利用されてよい。この例では、予め定められた時間間隔にわたる閾値を下回るハードウェア属性変化は検査成功をもたらし、予め定められた時間間隔にわたる閾値を上回るハードウェア属性変化は検査失敗をもたらしうる。

図２に、本開示の様々な実施形態と一致するデバイス固有のＯＴＰ認証システムの例示的動作のフローチャート２００を示す。フローチャート２００の動作は、クライアントデバイス、例えばクライアントデバイス１０２、および／またはオーセンティケータ、例えばオーセンティケータ１０８によって実行されてよい。特に、フローチャート２００には、本開示と一致する、デバイス固有のＯＴＰを用いて、私設ネットワークに対してクライアントデバイスを認証するように構成された例示的動作が示されている。

フローチャート２００の動作は、ユーザのクライアントデバイスへのログイン２０２から開始してよい。動作２０４で、私設ネットワークアクセス要求が開始されてよい。動作２０６で、有効なクライアントセッションＯＴＰがオーセンティケータに存在するかどうかが判定されてよい。有効なクライアントセッションＯＴＰがオーセンティケータに存在しない場合、動作２０８で標準ユーザ認証が実行されてよい。動作２１０で、標準認証に成功したかどうかが判定されてよい。標準認証に成功しない場合、動作２１２で、接続が打ち切られてよい。標準認証に成功した場合、プログラムフローは、本明細書に記載するように、動作２１８に進んでよい。

動作２０６に戻って、有効なクライアントセッションＯＴＰがオーセンティケータに存在する場合、動作２１４で、ローカルセッションＯＴＰがクライアントデバイスに要求されてよい。動作２１６で、受け取ったローカルセッションＯＴＰがオーセンティケータに記憶されたクライアントセッションＯＴＰに対応するかどうか判定されてよい。受け取ったローカルセッションＯＴＰが記憶されたクライアントセッションＯＴＰに対応しない場合、動作２０８で、標準ユーザ認証が実行されてよい。ローカルセッションＯＴＰが記憶されたクライアントセッションＯＴＰに対応する場合、動作２１８で、アクセスが許可されてよく、かつ／または第２の（動的）ユーザ認証が、ポリシーに応じて、要求されてよい。動作２２０で、セッションが終了するかどうかが判定されてよい。セッションが終了する場合、動作２２２で、新しいセッションＯＴＰがクライアントデバイスによって生成され、オーセンティケータに提供されてよい。動作２２４で、新しいセッションＯＴＰが、オーセンティケータによって、クライアントセッションＯＴＰとして記憶されてよい。次いで動作２２６で、セッションは終了してよい。

図３に、本開示の一実施形態と一致する、デバイス固有のセッションＯＴＰを生成するように構成されたクライアントデバイスの例示的動作のフローチャート３００を示す。フローチャート３００の動作は、クライアントデバイス、例えばクライアントデバイス１０２によって実行されてよく、図２の動作２２２に対応する。特に、フローチャート３００には、次のセッションでクライアントデバイスを認証するのに使用されることになるオーセンティケータに提供されるべきセッションＯＴＰを生成するように構成された例示的動作が示されている。プログラムフローは、セッションが終了するという指示３０２から開始してよい。動作３０４は、選択されたデバイス属性を取得する（取り込む）ことを含む。取り込まれる固有のデバイス属性は、セッションＯＴＰ規則に基づくものとしてよい。動作３０６で、少なくとも一部は選択されたデバイス属性およびセッションＯＴＰ規則に基づいて、新しいセッションＯＴＰが生成されてよい。動作３０８は、新しいセッションＯＴＰをクライアントデバイス上のローカルセッションＯＴＰに記憶すること、および新しいセッションＯＴＰをオーセンティケータに提供することを含む。次いで動作３１０で、セッションは終了してよい。

図４に、本開示の様々な実施形態と一致する、第２の認証を提供するように構成されたデバイス固有のＯＴＰ認証システムの例示的動作の別のフローチャート４００を示す。フローチャート４００の動作は、クライアントデバイス、例えばクライアントデバイス１０２、および／またはオーセンティケータ、例えばオーセンティケータ１０８によって実行されてよい。特に、フローチャート４００には、デバイス属性に基づいて認証時に生成される第２の（動的）ＯＴＰを用いて第２の認証を実行するように構成された例示的動作が示されている。フローチャート４００の動作は、図２の動作２１８に含まれうる。フローチャート４００の動作は、第２のユーザ認証を求める要求４０２から開始してよい。動作４０４は、少なくとも一部は選択されたデバイス属性およびセッションＯＴＰ規則に基づいて、第２の（動的）セッションＯＴＰを生成することを含んでいてよい。動作４０６で、第２の（動的）セッションＯＴＰがオーセンティケータに提供されてよい。動作４０８で、動的セッションＯＴＰが予め定められた許容差内で記憶されたクライアントセッションＯＴＰに対応するかどうかが判定されてよい。動的セッションＯＴＰが記憶されたクライアントセッションＯＴＰに予め定められた許容差で対応しない場合、動作４１０で、動的認証に失敗し、動作４１２で、セッションは終了してよい。動的セッションＯＴＰが記憶されたクライアントセッションＯＴＰに予め定められた許容差で対応する場合、動作４１４で、動的認証に成功し、動作４１６で、セッションは続行してよい。

よって、クライアントデバイスは、複数のデバイス属性およびセッションＯＴＰ規則に基づいて生成されたセッションＯＴＰを用いて、私設ネットワークおよび／または保護されたコンテンツに対して認証されうる。複数のデバイス属性は、デバイス固有の、デバイス「指紋」に対応するものである。デバイス属性は、時間の経過とともに変化する可能性があり、セッションＯＴＰを生成するために選択されるデバイス属性も変化しうる。よって、生成される各セッションＯＴＰは、実質的に一意で、概ねランダムなものとなりうる。セッションＯＴＰは、次のセッションでの認証に使用するために現在のセッションの間に生成されてよい。よって、セッションＯＴＰは、クライアントデバイスとオーセンティケータとの間の共有される秘密に対応しうる。

ある実施形態では、第２の動的認証は、認証試行の前に生成される第１のセッションＯＴＰおよび認証試行の間に生成される第２のセッションＯＴＰを用いて実行されてよい。第２のセッションＯＴＰは、クライアントデバイスの識別情報を、より高い信用度で検証するように構成されている。第２のセッションＯＴＰは認証時に生成され、クライアントデバイス上に記憶されないため、第２のセッションＯＴＰは相対的によりセキュアである。デバイス属性は、第１のセッションＯＴＰの生成と第２のセッションＯＴＰの生成との間に変化している可能性があるため、第１のセッションＯＴＰの生成と第２のセッションＯＴＰの生成との間で若干の変動が予期されうる。よって、この変動を見込むために許容差および／または閾値が使用されうる。

図２から図４には一実施形態による様々な動作が示されているが、図２から図４に示すすべての動作が他の実施形態にも必要であると限らないことを理解すべきである。実際、本明細書では、本開示の他の実施形態では、図２から図４に示す動作および／または本明細書に記載する他の動作は、図面のいずれにも具体的に示されていないが、にもかかわらず本開示と十分に整合性を有する方法で組み合わされうることが十分に企図されている。よって、ある図面に厳密に示されていない特徴および／または動作を対象とする請求項が、本開示の範囲および趣意の範囲内とみなされる。

本明細書に記載する動作のいずれも、１つまたは複数のプロセッサによって実行されると各方法を実行する命令を、個別に、または組み合わせとして記憶している１つまたは複数の記憶媒体を含むシステムにおいて実装されてよい。ここで、プロセッサは、例えば、クライアントデバイスＣＰＵ、サーバＣＰＵ、および／または他のプログラマブル回路を含んでいてよい。また、本明細書に記載する動作は、複数の異なる物理的位置にある処理構造といった、複数の物理デバイスにまたがって分散されてよいことも意図されている。記憶媒体は任意の種類の有形媒体、例えば、ハードディスク、フロッピー（登録商標）ディスク、光ディスク、コンパクトディスク読取り専用メモリ（ＣＤ−ＲＯＭ）、書換え型コンパクトディスク（ＣＤ−ＲＷ）、および光磁気ディスクを含む任意の種類のディスク、読取り専用メモリ（ＲＯＭ）、ダイナミックＲＡＭおよびスタティックＲＡＭといったランダム・アクセス・メモリ（ＲＡＭ）、消去書込み可能読取り専用メモリ（ＥＰＲＯＭ）、電気的消去書込み可能読取り専用メモリ（ＥＥＰＲＯＭ）、フラッシュメモリ、ソリッド・ステート・ディスク（ＳＳＤ）などの半導体デバイス、磁気カードもしくは光カード、または電子命令を記憶するのに適した任意の種類の媒体を含んでいてよい。他の実施形態は、プログラマブル制御デバイスによって実行されるソフトウェアモジュールとして実装されてよい。記憶媒体は非一時的であってよい。

以上は例示的システムアーキテクチャおよび方法論として提供するものであるが、本開示への改変も可能である。例えば、クライアント・デバイス・メモリ１１４、オーセンティケータメモリおよび／またはサーバメモリなどのメモリは、以下の種類のメモリのうちの１つまたは複数を含んでいてよい。半導体ファイアウォールメモリ、プログラマブルメモリ、不揮発性メモリ、読取り専用メモリ、電気的書込み可能メモリ、ランダム・アクセス・メモリ、フラッシュメモリ、磁気ディスクメモリ、および／または光ディスクメモリ。加えて、または代替として、クライアント・デバイス・メモリ１１４、オーセンティケータメモリおよび／またはサーバメモリは、他の種類および／または後で開発される種類のコンピュータ可読メモリを含んでいてもよい。

クライアントデバイス１０２は、様々な通信プロトコルを用いてネットワーク１０６および／または私設ネットワーク１０４と通信するように構成されてよい。通信プロトコルは、それだけに限らないが、Ｗｉ−Ｆｉ、３Ｇ、４Ｇ、および／または他の通信プロトコルといった無線通信プロトコルを含んでいてよい。通信プロトコルは、他の関連したインターネット技術標準化委員会（ＩＥＴＦ：Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）規格に準拠し、かつ／または適合していてよい。

Ｗｉ−Ｆｉプロトコルは、２００７年３月８日付で公開された、「ＩＥＥＥ ８０２．１１−２００７ Ｓｔａｎｄａｒｄ，ＩＥＥＥ Ｓｔａｎｄａｒｄ ｆｏｒ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ−Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｘｃｈａｎｇｅ Ｂｅｔｗｅｅｎ Ｓｙｓｔｅｍｓ−Ｌｏｃａｌ ａｎｄ Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋｓ−Ｓｐｅｃｉｆｉｃ Ｒｅｑｕｉｒｅｍｅｎｔｓ − Ｐａｒｔ １１：Ｗｉｒｅｌｅｓｓ ＬＡＮ Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ（ＭＡＣ）ａｎｄ Ｐｈｙｓｉｃａｌ Ｌａｙｅｒ（ＰＨＹ）Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ」という名称の、米国電気電子技術者協会（ＩＥＥＥ：Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）によって発行された８０２．１１規格、および／またはこの規格の新しいバージョンに準拠し、または適合していてよい。

３Ｇプロトコルは、２０００年に公開された、「ＩＭＴ−２０００」という名称の、国際電気通信連合（ＩＴＵ：Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ）によって発行された国際移動通信（ＩＭＴ：Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ）規格および／またはこの規格の新しいバージョンに準拠し、または適合していてよい。４Ｇプロトコルは、２００８年に公開された、「ＩＭＴ−Ａｄｖａｎｃｅｄ」という名称の、ＩＴＵによって発行されたＩＭＴ規格および／またはこの規格の新しいバージョンに準拠し、または適合していてよい。

クライアントデバイス１０２は、選択されたパケット交換ネットワーク通信プロトコルを用いてネットワーク１０６および／または私設ネットワーク１０４と通信することができてよい。一例示的通信プロトコルは、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ：Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を用いた通信を可能としうるイーサネット（登録商標）通信プロトコルを含んでいてよい。イーサネット（登録商標）プロトコルは、２００２年３月に公開された、「ＩＥＥＥ ８０２．３ Ｓｔａｎｄａｒｄ」という名称の、米国電気電子技術者協会（ＩＥＥＥ）によって発行されたイーサネット（登録商標）規格および／またはこの規格の新しいバージョンに準拠し、または適合していてよい。代替として、または加えて、クライアントデバイス１０２は、Ｘ．２５通信プロトコルを用いてネットワーク１０６および／または私設ネットワーク１０４と通信することができてもよい。Ｘ．２５通信プロトコルは、国際電気通信連合電気通信標準化部門（ＩＴＵ−Ｔ：Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ−Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ Ｓｅｃｔｏｒ）によって公表された規格に準拠し、または適合していてよい。代替として、または加えて、クライアントデバイス１０２は、フレームリレー通信プロトコルを用いてネットワーク１０６および／または私設ネットワーク１０４と通信することができてもよい。フレームリレー通信プロトコルは、国際電信電話諮問委員会（ＣＣＩＴＴ：Ｃｏｎｓｕｌｔａｔｉｖｅ Ｃｏｍｍｉｔｔｅｅ ｆｏｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｇｒａｐｈ ａｎｄ Ｔｅｌｅｐｈｏｎｅ）および／または米国規格協会（ＡＮＳＩ：Ａｍｅｒｉｃａｎ Ｎａｔｉｏｎａｌ Ｓｔａｎｄａｒｄｓ Ｉｎｓｔｉｔｕｔｅ）によって公表された規格に準拠し、または適合していてよい。代替として、または加えて、クライアントデバイス１０２は、非同期転送モード（ＡＴＭ：Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）通信プロトコルを用いてネットワーク１０６および／または私設ネットワーク１０４と通信することができてもよい。ＡＴＭ通信プロトコルは、２００１年８月に公開された、「ＡＴＭ−ＭＰＬＳ Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｗｏｒｋｉｎｇ １．０」という名称の、ＡＴＭフォーラムによって発行されたＡＴＭ規格および／またはこの規格の新しいバージョンに準拠し、または適合していてよい。当然ながら、本明細書では、異なる、かつ／または後で開発される接続指向のネットワーク通信プロトコルも等しく企図されている。

「回路」は、本明細書のいずれかの実施形態で使用する場合、例えば、単独で、または任意の組み合わせとして、配線回路、プログラマブル回路、状態機械回路、および／またはプログラマブル回路によって実行される命令を記憶するファームウェアを含んでいてよい。アプリケーションおよび／またはモジュールは、本明細書のいずれかの実施形態で使用する場合、回路として具現化されてよい。回路は、集積回路チップといった集積回路として具現化されてよい。

以上、デバイス固有のセッションＯＴＰを用いて私設ネットワークから認証を受けるための方法およびシステムを説明した。クライアントデバイスは、少なくとも一部はデバイス属性に基づいてセッションＯＴＰを生成するように構成される。セッションＯＴＰは、クライアントデバイスが私設ネットワークに接続されるセッションの間にクライアントデバイスによって生成されてよい。セッションＯＴＰは、次いで、クライアントデバイス上に記憶され、私設ネットワークと関連付けられたオーセンティケータに提供されてよい。セッションＯＴＰは、次いで、次のセッションで私設ネットワークに対してクライアントデバイスを認証するのに使用されてよい。一実施形態では、第２の認証が実行されてよい。この実施形態では、クライアントデバイスは、認証時に、デバイス属性に基づいて第２の（動的）ＯＴＰを生成ように構成されていてよい。この実施形態では、オーセンティケータは、第２のＯＴＰが、前のセッションの間にクライアントデバイスによって提供された保存されたＯＴＰの予め定められた許容差内である場合に認証成功と判断するように構成されていてよい。

よって、クライアントデバイスは、デバイス属性に基づく、潜在的に一意のランダムなＯＴＰを用いて私設ネットワークに対して認証されうる。ユーザは、その場合、そうしたパスワードを覚えなくてもよい。ユーザはクライアントデバイスから認証され、クライアントデバイスは、次いで、私設ネットワークから認証されうる。第２の認証は、クライアントデバイス上に記憶されたセッションＯＴＰに依拠しない相対的によりロバストな認証を提供するように構成されている。

一態様によれば、方法が提供される。方法は、少なくとも一部は複数のクライアントデバイス属性に基づいて第１のワンタイムパスワード（ＯＴＰ）を生成するステップと、第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられたオーセンティケータに提供するステップとを含んでいてよく、オーセンティケータは、提供される第１のＯＴＰに基づき、第１のセッションに続く第２のセッションのために、私設ネットワークおよび私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対してクライアントデバイスを認証するように構成されている。

別の態様によれば、システムが提供される。システムは、クライアントデバイスとオーセンティケータとを含んでいてよい。クライアントデバイスは、少なくとも一部は複数のクライアントデバイス属性に基づいて第１のワンタイムパスワード（ＯＴＰ）を生成し、第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられたオーセンティケータに提供するように構成されており、オーセンティケータは、提供される第１のＯＴＰに基づき、第１のセッションに続く第２のセッションのために、私設ネットワークおよび私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対してクライアントデバイスを認証するように構成されている。

別の態様によれば、システムが提供される。システムは、１つまたは複数のプロセッサによって実行されると以下の動作を生じさせる命令を、個別に、または組み合わせとして記憶している１つまたは複数の記憶媒体を含んでいてよく、動作は、少なくとも一部は複数のクライアントデバイス属性に基づいて第１のワンタイムパスワード（ＯＴＰ）を生成する動作と、第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられたオーセンティケータに提供する動作とを含み、オーセンティケータは、提供される第１のＯＴＰに基づき、第１のセッションに続く第２のセッションのために、私設ネットワークおよび私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対してクライアントデバイスを認証するように構成されている。

本明細書で用いられている用語および表現は、制限ではなく説明としての用語であり、そうした用語および表現の使用に際しては、図示し、説明する特徴（または該特徴の部分）のいかなる均等物を除外することも意図されておらず、特許請求の範囲内で様々な改変が可能であることが認められるものである。したがって、特許請求の範囲はそうしたすべての均等物を包含すべきものと意図されている。

Claims (10)

1. 予め定められたＯＴＰ規則およびクライアントデバイス属性に基づいて第１のワンタイムパスワード（第１のＯＴＰ）を生成するステップと、
   前記第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられたオーセンティケータに提供するステップと、
   前記第１のＯＴＰをクライアントデバイスに記憶するステップと、
   前記クライアントデバイスが前記第１のセッションに続く第２のセッションのために前記私設ネットワークに対して認証を受けているときに、前記記憶された第１のＯＴＰが前記認証の間に前記オーセンティケータに提供された前記第１のＯＴＰに対応することに応じて、前記予め定められたＯＴＰ規則および前記クライアントデバイス属性に基づいて第２のＯＴＰを生成するステップと
   を含み、
   前記オーセンティケータは、前記第２のセッションのために、前記第１のＯＴＰが前記第２のＯＴＰの許容差内である場合に前記私設ネットワークおよび前記私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対して前記クライアントデバイスを認証する、方法。
2. 前記クライアントデバイス属性を前記予め定められたＯＴＰ規則に基づいて選択するステップ
   をさらに含む、請求項１に記載の方法。
3. 前記クライアントデバイス属性は、ファイルシステム属性、ハードウェア特徴、ソフトウェア構成設定、およびユーザコンテキストのうちの少なくとも１つを含む、請求項１または２に記載の方法。
4. 請求項１から３のいずれか１つに記載の方法に含まれる各ステップをコンピュータに実行させるためのプログラム。
5. 請求項４に記載のプログラムを格納するコンピュータ可読記憶媒体。
6. クライアントデバイスと、
   オーセンティケータと
   を備え、
   前記クライアントデバイスは、予め定められたＯＴＰ規則およびクライアントデバイス属性に基づいて第１のワンタイムパスワード（第１のＯＴＰ）を生成し、前記第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられた前記オーセンティケータに提供し、前記第１のＯＴＰを記憶し、
   前記オーセンティケータは、前記第１のセッションに続く第２のセッションの間に、前記クライアントデバイスに記憶された前記第１のＯＴＰを、前記オーセンティケータに提供された前記第１のＯＴＰと比較し、
   前記クライアントデバイスが前記第２のセッションのために前記私設ネットワークに対して認証を受けているときに、前記記憶された第１のＯＴＰが前記認証の間に前記オーセンティケータに提供された前記第１のＯＴＰに対応することに応じて、前記クライアントデバイスは、前記予め定められたＯＴＰ規則および前記クライアントデバイス属性に基づいて第２のＯＴＰを生成し、
   前記オーセンティケータは、前記第２のセッションのために、前記第１のＯＴＰが前記第２のＯＴＰの許容差内である場合に前記私設ネットワークおよび前記私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対して前記クライアントデバイスを認証するシステム。
7. 前記クライアントデバイスは、さらに、前記予め定められたＯＴＰ規則に基づいて前記クライアントデバイス属性を選択する、請求項６に記載のシステム。
8. 前記クライアントデバイス属性は、ファイルシステム属性、ハードウェア特徴、ソフトウェア構成設定、およびユーザコンテキストのうちの少なくとも１つを含む、請求項６または７に記載のシステム。
9. 予め定められたＯＰＴ規則およびクライアントデバイス属性に基づいて第１のワンタイムパスワード（第１のＯＴＰ）を生成し、
   前記第１のＯＴＰを、第１のセッションの間に私設ネットワークと関連付けられたオーセンティケータに提供し、
   前記第１のＯＴＰを記憶し、
   前記第１のセッションに続く第２のセッションのために前記私設ネットワークに対して認証を受けているときに、前記記憶された第１のＯＴＰが前記認証の間に前記オーセンティケータに提供された前記第１のＯＴＰに対応することに応じて、前記予め定められたＯＴＰ規則および前記クライアントデバイス属性に基づいて第２のＯＴＰを生成し、
   前記第２のセッションのために、前記第１のＯＴＰが前記第２のＯＴＰの許容差内である場合に前記私設ネットワークおよび前記私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対して前記オーセンティケータにより認証される、クライアントデバイス。
10. 私設ネットワークと関連付けられたオーセンティケータであって、
    第１のセッションの間に予め定められたＯＴＰ規則およびクライアントデバイス属性に基づいてクライアントデバイスにより生成された第１のワンタイムパスワード（第１のＯＴＰ）を受け取り、
    前記クライアントデバイスが前記第１のセッションに続く第２のセッションのために前記私設ネットワークに対して認証を受けているときに、前記第１のセッションの間に前記オーセンティケータに提供された前記第１のＯＴＰが前記認証の間に前記オーセンティケータに提供された前記第１のＯＴＰに対応することに応じて、前記予め定められたＯＴＰ規則および前記クライアントデバイス属性に基づいて前記クライアントデバイスにより生成された第２のＯＴＰを受け取り、
    前記第２のセッションのために、前記第１のＯＴＰが前記第２のＯＴＰの許容差内である場合に前記私設ネットワークおよび前記私設ネットワークに含まれる保護されたコンテンツのうちの少なくとも１つに対して前記クライアントデバイスを認証する、オーセンティケータ。

Images