JP6873066B2 - 認証装置、認証方法および認証システム - Google Patents

Description

本発明は、公衆ネットワークを利用してサービスの提供を受ける端末の認証を行う認証装置、認証方法および認証システムに関する。

近年、タブレット端末およびスマートフォンといったモバイル端末の高性能化、および、クラウドコンピューティング技術の普及に伴い、モバイル端末にてクラウドサービスを活用し、業務の効率化を図る企業や団体が増えている。これに伴い、モバイル端末を紛失した場合の問題、例えば、モバイル端末の不正使用、モバイル端末が保持しているデータの漏えいといった状況が発生しやすくなる問題への対策が要求されている。

このような問題を解決するための従来の発明が特許文献１で開示されている。特許文献１に記載された発明では、ユーザがサービスの利用を開始する際に生成するセッション情報に有効期限を設けることにより高いセキュリティを実現している。具体的には、特許文献１に記載の発明では、セッション情報に設けられた有効期限が終了した場合には改めて認証情報の入力を要求し、正しい認証情報が入力されない場合には認証失敗としてサービスの利用を制限する。

特開２０１５−３２１０８号公報

しかしながら、特許文献１に記載の発明では、端末を紛失した場合に第３者がサービスを不正利用するのを防止することはできるが、サービスを利用して取得したデータを端末が保持している場合、端末が保持しているデータが第３者に使用されるのを防止することまではできない。そのため、端末を紛失した場合、端末が保持している業務データなどの重要なデータが漏えいしてしまう可能性があった。

本発明は、上記に鑑みてなされたものであって、端末にサービスを提供するシステムにおける端末の不正利用を抑制可能な認証装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、サービスを提供するサーバと端末との間で端末の認証を行う認証装置であり、端末をサービスの利用に関連する動作が制限される状態にする設定を受け付ける設定受付部を備える。また、認証装置は、端末から信号を受信すると信号に含まれる端末識別情報に基づいて、信号の送信元の端末である送信元端末がサービスの利用に関連する動作が制限される状態に設定された端末である動作制限端末に該当するか否かを判定し、送信元端末が動作制限端末に該当する場合、信号の送信元の動作制限端末に対してサービスの利用に関連する動作の制限を指示する応答信号を送信し、送信元端末が動作制限端末に該当せず、かつサービスの利用に関する認証処理が完了していない場合、送信元端末を対象とする認証処理を行う認証部を備える。

本発明にかかる認証装置は、端末にサービスを提供するシステムにおける端末の不正利用を抑制することができる、という効果を奏する。

実施の形態１にかかる認証装置を備えた認証システムの構成例を示す図 実施の形態１にかかるデータ保持部が保持する認証データおよび端末データの一例を示す図 実施の形態１にかかる認証システムの管理端末の表示部に表示される画面の一例を示す図 実施の形態１にかかる認証装置を実現するハードウェアの一例を示す図 実施の形態１にかかる端末を実現するハードウェアの一例を示す図 実施の形態１にかかる認証装置の動作の概要を示すフローチャート 実施の形態１にかかる端末の動作の一例を示すフローチャート 実施の形態１にかかる認証装置の動作の一例を示すフローチャート 実施の形態２にかかる認証システムの構成例を示す図 実施の形態２にかかる認証装置の動作の一例を示すフローチャート 実施の形態３にかかる認証システムの構成例を示す図 実施の形態３にかかる認証装置の動作の一例を示すフローチャート 実施の形態４にかかる認証システムの構成例を示す図 実施の形態４にかかる認証装置の動作の一例を示すフローチャート 実施の形態５にかかる認証システムの構成例を示す図 実施の形態５にかかる認証装置のデータ保持部が保持する端末データの一例を示す図 実施の形態５にかかる認証装置の動作の一例を示すフローチャート 実施の形態５にかかる認証システムがサービス管理者に提供する機能の一例を示す図

以下に、本発明の実施の形態にかかる認証装置、認証方法および認証システムを図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明の実施の形態１にかかる認証装置を備えた認証システムの構成例を示す図である。

実施の形態１にかかる認証システム１は、本発明にかかる認証装置１０と、サービスを提供する１台以上のサーバ２０と、認証装置１０における認証処理で必要な情報の書き込み、編集および確認といった操作を認証装置１０に対して行うための管理端末３０と、サーバ２０にアクセスしてサービスの提供を受ける１台以上の端末４０とを備える。認証装置１０は、端末４０と通信する機能およびサーバ２０と通信する機能を有し、端末４０とサーバ２０との間の通信を中継する処理などを実行する。詳細については後述するが、認証装置１０は、管理端末３０により予め指定された端末４０との通信を検知した場合、検知した端末４０の動作に制限をかける。端末４０は、例えば、タブレット端末、スマートフォンなど、移動可能な機器であり、外出時に置き忘れるなどして紛失する可能性がある。図１では管理端末３０を１台としているが複数であってもよい。

認証装置１０および端末４０は、インターネットなどの公衆ネットワークであるネットワーク５０に接続され、ネットワーク５０を介して通信を行う。端末４０においては、予めインストール済みのエージェント４１が認証装置１０と通信を行い、認証装置１０経由でサーバ２０よりサービスの提供を受ける。エージェント４１がインストールされていない端末４０はサービスを受けることができない。認証装置１０とネットワーク５０とは有線または無線により接続される。端末４０とネットワーク５０とは無線により接続されるものとする。なお、端末４０とネットワーク５０の接続形態はこれに限定されない。一部の端末４０、すなわち１つ以上の端末４０とネットワーク５０とが有線で接続される構成であっても構わない。ネットワーク５０が公衆ネットワークであることから、認証装置１０と端末４０との間の通信は暗号化通信とすることが望ましい。

認証装置１０は、認証部１１、管理端末接続部１２、プロキシ処理部１３、エージェント管理部１４およびデータ保持部１５を備える。

認証部１１は、サービスの利用を希望する端末４０の認証処理を含む各種処理を実行する。

管理端末接続部１２は、管理端末３０と通信する機能を有し、管理者が管理端末３０を使用して行う認証データ１６および端末データ１７の登録、認証データ１６および端末データ１７の修正、認証データ１６および端末データ１７の確認、などを実現するための処理を実行する。

プロキシ処理部１３は、認証部１１を介して端末４０から受け取った要求を、要求元の端末４０に代わってサーバ２０へ送信する処理、および、要求に対する応答をサーバ２０から受け取り、認証部１１を介して要求元の端末４０に転送する処理を行う。

エージェント管理部１４は、端末４０にインストールされることによりエージェント４１としての機能を端末４０に提供するアプリケーションソフトウェアと、エージェント４１が動作する際に必要な情報とを保持し、エージェント４１の使用が許可された端末４０から要求を受けた場合、保持しているアプリケーションソフトウェア等を要求元の端末４０へ送信する。

データ保持部１５は、サービスの利用が可能な端末に関する情報である認証データ１６および端末データ１７を保持する。

ここで、データ保持部１５が保持する認証データ１６および端末データ１７の詳細について、図２を参照しながら説明する。図２は、実施の形態１にかかるデータ保持部１５が保持する認証データ１６および端末データ１７の一例を示す図である。

認証データ１６は、ユーザＩＤ（Identifier）、パスワード、ユーザ名、会社、所属およびアクセス権を含む。認証データ１６はこれら以外の情報を含んでいても構わない。認証データ１６の登録は、サーバ２０を構築して各種サービスを提供するサービス管理者が、管理端末３０を用いて予め実施する。なお、認証部１１が端末４０の認証を行う処理、認証部１１が端末４０からの要求をプロキシ処理部１３へ転送するか否かを判定する処理、などで使用される情報は「ユーザＩＤ」、「パスワード」および「アクセス権」である。そのため、認証データ１６は、少なくとも「ユーザＩＤ」、「パスワード」および「アクセス権」を含むものとする。「ユーザ名」、「会社」および「所属」については必須の情報ではないが、これらの情報が認証データ１６に含まれる場合、サービスの管理者が管理端末３０を使用して認証データを確認する作業を効率的に行うことが可能となる。セキュリティ向上のため、「ユーザＩＤ」および「パスワード」については暗号化した状態で保持することが望ましい。暗号化の方法については特に規定しない。

「ユーザＩＤ」は、端末４０を所有するユーザの識別情報である。「ユーザ名」はユーザの氏名を表し、「会社」はユーザが所属する会社を表し、「所属」はユーザの会社内の所属先を表す。「アクセス権」はユーザが利用可能なサービスを表す。各ユーザは１つ以上のサービス利用することができ、複数のサービスを利用可能なユーザの場合、「アクセス権」には、複数の情報、すなわち、利用可能な複数のサービスのそれぞれを表す複数の情報が登録される。図２に示した例では、ユーザＩＤがＳ００００１のユーザのアクセス権にサービス＃１を表す情報およびサービス＃２を表す情報が登録されており、このユーザはサービス＃１およびサービス＃２を利用することができる。

端末データ１７は、管理者登録端末データ１７−１および自動登録端末データ１７−２で構成される。管理者登録端末データ１７−１は、サービス管理者が管理端末３０を使用して登録するデータである。自動登録端末データ１７−２は、認証部１１が端末４０から受け取ったログイン情報に基づいて登録されるデータである。ログイン情報とは、端末４０が認証装置１０に対して認証処理を要求する際に端末４０のエージェント４１から認証装置１０へ送信される情報であり、端末４０に固有の情報を含む。

管理者登録端末データ１７−１は、端末ＩＤ、メーカー、モデル、ＭＡＣ（Media Access Control）アドレス、禁止端末および制限ポリシーを含む。管理者登録端末データ１７−１はこれら以外の情報を含んでいても構わない。

「端末ＩＤ」は端末４０の識別情報である。「メーカー」は端末４０の製造者を表し、「モデル」は端末４０のモデルを表す。「ＭＡＣアドレス」は端末４０に与えられているＭＡＣアドレスである。ＭＡＣアドレスは特定の端末４０を一意に示す物理アドレスである。「禁止端末」は端末４０が禁止端末に該当するか否かを表す情報である。禁止端末は認証装置１０の指示に従い動作が制限される端末であり動作制限端末に相当する。「禁止端末」が「該当」の場合、端末４０が禁止端末に該当し、「禁止端末」が「非該当」の場合は端末４０が禁止端末に該当しない。「制限ポリシー」は、端末４０が禁止端末に該当する場合に端末４０の動作がどのように制限されるかを表す情報である。図２に示したように「制限ポリシー」には、使用不能、端末リセット、指定データ消去、アプリケーションデータ消去（アプリデータ消去）、などが設定される。管理者登録端末データ１７−１の設定は、設定受付部として動作する管理端末接続部１２が、サービス管理者が管理端末３０を使用して行う各種情報の設定操作を受け付けることにより行う。

ここで、認証装置１０の指示に従い動作が制限される端末の動作について簡単に説明する。「制限ポリシー」に「使用不能」が設定された端末４０のエージェント４１は、認証装置１０から動作の制限を指示された場合、サービスを利用するための動作を実行しない状態となり、ユーザによるサービスの利用を制限する。「制限ポリシー」に「端末リセット」が設定された端末４０のエージェント４１は、認証装置１０から動作の制限を指示された場合、端末４０の状態を工場出荷時の状態である初期状態に変更する。「制限ポリシー」に「指定データ消去」が設定された端末４０のエージェント４１は、認証装置１０から動作の制限を指示された場合、指定されたデータを消去する。例えば、エージェント４１は、図１では記載を省略している記憶部の特定の領域が指定されると、指定された領域に書き込まれているデータを消去する。消去するデータを認証装置１０が指定する方法はこれに限定されない。特定のサービスを利用して取得したデータの消去を指定するなど、他の指定方法が可能であってもよい。「制限ポリシー」に「アプリデータ消去」が設定された端末４０のエージェント４１は、認証装置１０から動作の制限を指示された場合、指定されたアプリケーションを使用して得られたデータを消去する。図２に示した制限ポリシーは一例であり、設定可能な制限ポリシーの内容をこれらに限定するものではない。なお、これ以降では、説明が煩雑になるのを防止するため、端末４０のエージェント４１が行う動作の説明であっても、端末４０を主語として説明を行う。

自動登録端末データ１７−２は、端末ＩＤ、ユーザＩＤ、通信時刻、利用サービスおよび状態を含む。自動登録端末データ１７−２はこれら以外の情報を含んでいても構わない。

「端末ＩＤ」は管理者登録端末データ１７−１に含まれる「端末ＩＤ」と同じ情報であり、「ユーザＩＤ」は認証データ１６に含まれる「ユーザＩＤ」と同じ情報である。「通信時刻」は認証装置１０が端末４０と最後に通信を行った時刻である。「利用サービス」は端末４０が利用しているサービスまたは利用していたサービス表す情報である。「状態」は端末４０のサービス利用状況を表す情報である。「状態」が「接続」の場合、「利用サービス」が示すサービスを端末４０が利用中であることを表す。「状態」が「終了」の場合、「利用サービス」が示すサービスの利用を端末４０が終了したことを表す。

管理端末３０は、上述した認証データ１６、および、端末データ１７を構成する管理者登録端末データ１７−１の認証装置１０への登録機能と、認証装置１０に登録済の認証データ１６および端末データ１７の確認機能と、認証装置１０に登録済の認証データ１６および端末データ１７に対応する各端末のサービス利用状況の確認機能と、をサービス管理者に提供する。なお、認証装置１０に登録済の認証データ１６および端末データ１７の確認機能には、登録済の認証データ１６および端末データ１７の管理者登録端末データ１７−１を修正する機能も含まれる。例えば、サービス管理者は、登録済の認証データ１６および端末データ１７の確認機能を使用して管理者登録端末データ１７−１の「禁止端末」の設定を変更することができる。管理端末３０が提供する上記の各機能は、認証装置１０の管理端末接続部１２が、データ保持部１５で保持されている認証データ１６および端末データ１７を読み出し、管理端末３０の表示部（図１では図示を省略している）に表示させる画面のデータを生成して管理端末３０に出力することにより実現される。管理端末３０の表示部に表示させる画面のデータは管理端末３０で作成するようにしてもよい。

図３は、実施の形態１にかかる認証システム１の管理端末３０の表示部に表示される画面の一例を示す図である。より詳細には、図３は、認証装置１０に登録済の認証データ１６および端末データ１７に対応する各端末のサービス利用状況をサービス管理者が確認する際に表示される画面の一例を示す図である。以下、認証装置１０に登録済の認証データ１６および端末データ１７に対応する端末を登録済端末と記載する。

図３に示したように、サービス管理者は、管理端末３０を利用して、各登録済端末のサービスの利用状況を監視することが可能である。図３に示した「状態」は各登録済端末の現在のサービス利用状況を表す。「状態」が「接続中」の場合、登録済端末がサービスを利用中であることを表し、「状態」が「切断中」の場合、登録済端末がサービスの利用を終了した状態すなわちサービスを利用していない状態であることを表す。「状態」が「禁止」の場合、登録済端末が上述した禁止端末に該当し、サービスの利用が制限された状態であることを表す。図３に示した例では、端末ＩＤがＥ００１の端末４０がサービス＃２を利用中であり、端末ＩＤがＥ００２の端末４０がサービス＃１を利用中であることを示している。また、図３に示した例では、端末ＩＤがＥ００３の端末４０がサービス＃３の利用を終了した状態であり、端末ＩＤがＥ００４の端末４０がサービス＃１０の利用を終了した状態であり、端末ＩＤがＥ０９０の端末４０が禁止端末に設定されてサービス＃１を利用できない状態であることを示している。また、サービス管理者は、「履歴」の項目の「表示」をマウスでクリックするなどして選択した場合、登録済端末のサービスの利用履歴を確認することが可能である。例えば、端末ＩＤがＥ００１の登録済端末の「履歴」の「表示」をサービス管理者が選択した場合、管理端末３０は、端末ＩＤがＥ００１の登録済端末が過去に利用したサービス、およびサービスの利用開始日時を表示部に表示する。サービスの利用開始日時は、図２に示した自動登録端末データ１７−２の「通信時刻」が表す日時である。また、登録済端末の確認機能は、サービスの利用状況を確認する対象の端末を絞り込むためのフィルター機能を含む。フィルター機能は、端末ＩＤ、ユーザＩＤおよび利用サービスの全てまたは一部を対象として条件の設定を受け付け、設定された条件を満足する登録済端末を抽出する。

なお、図３に示したメニューの中の「認証データ登録」が選択された場合、管理端末３０は、サービス管理者が認証装置１０に新たな認証データ（図２参照）を登録するための画面を表示する。また、メニューの中の「端末データ登録」が選択された場合、管理端末３０は、サービス管理者が認証装置１０に新たな管理者登録端末データ（図２参照）を登録するための画面を表示する。管理者登録端末データに登録する制限ポリシーは、予め用意されている複数種類の制限ポリシーの中の１つとする。すなわち、サービス管理者は、予め用意されている複数種類の制限ポリシーの中の１つを選択して管理者登録端末データに登録する。制限ポリシーの選択は、登録する情報に対応する端末４０のユーザが行い、端末４０のユーザにより選択された制限ポリシーをサービス管理者が管理者登録端末データに登録する。端末４０のユーザによる制限ポリシーの選択結果は、例えば、サービス利用の申し込み時に端末４０のユーザからサービス管理者に通知される。

また、メニューの中の「認証データ一覧」が選択された場合、管理端末３０は、サービス管理者が認証装置１０に登録済みの全ての認証データを確認するための画面を表示する。また、メニューの中の「端末データ一覧」が選択された場合、管理端末３０は、サービス管理者が認証装置１０に登録済みの全ての管理者登録端末データを確認するための画面を表示する。サービス管理者が認証装置１０に新たな認証データまたは管理者登録端末データを登録する際にＣＳＶ（Ccomma Separated Values）形式またはＥｘｃｅｌ形式のファイルによる一括登録ができる構成として利便性を高めてもよい。同様に、登録済みの認証データまたは管理者登録端末データを更新する際に一括更新ができる構成として利便性を高めてもよい。

図４は、実施の形態１にかかる認証装置１０を実現するハードウェアの一例を示す図である。認証装置１０は、図４に示したプロセッサ１０１、メモリ１０２および通信装置１０３により実現することができる。

プロセッサ１０１は、ＣＰＵ（Central Processing Unit、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサ、ＤＳＰ（Digital Signal Processor）ともいう）、システムＬＳＩ（Large Scale Integration）などである。メモリ１０２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（登録商標）（Electrically Erasable Programmable Read Only Memory）などである。

認証装置１０の認証部１１、管理端末接続部１２、プロキシ処理部１３およびエージェント管理部１４は、これらの各部として動作するためのプログラムをプロセッサ１０１が実行することにより実現される。認証部１１、管理端末接続部１２、プロキシ処理部１３およびエージェント管理部１４として動作するためのプログラムはメモリ１０２に予め格納されている。プロセッサ１０１は、上記プログラムをメモリ１０２から読み出して実行することにより、認証部１１、管理端末接続部１２、プロキシ処理部１３およびエージェント管理部１４として動作する。

データ保持部１５はメモリ１０２により実現される。なお、通信装置１０３は、認証装置１０が、他の機器、具体的には、サーバ２０、管理端末３０などの機器と通信を行う際に使用される。

図５は、実施の形態１にかかる端末４０を実現するハードウェアの一例を示す図である。端末４０は、図５に示したプロセッサ２０１、メモリ２０２、通信装置２０３、入力装置２０４および表示装置２０５により実現することができる。

プロセッサ２０１およびメモリ２０２は上述したプロセッサ１０１およびメモリ１０２と同様のものである。入力装置２０４は、マウス、キーボード、タッチパネルなどである。表示装置２０５は、液晶モニタ、ディスプレイなどである。

端末４０のエージェント４１は、認証装置１０のエージェント管理部１４からダウンロードされ、メモリ１０２に格納されたアプリケーションソフトウェアをプロセッサ２０１が読み出して実行することにより実現される。

通信装置２０３は、端末４０が、他の機器、具体的には、認証装置１０、サーバ２０などの機器と通信を行う際に使用される。入力装置２０４および表示装置２０５は、端末４０のユーザが端末４０を操作する際に使用される。

管理端末３０のハードウェア構成は、端末４０のハードウェア構成と同様である。すなわち、管理端末３０も図５に示した構成のハードウェアで実現することが可能である。

なお、本実施の形態では認証装置１０と管理端末３０とを別構成としたが、認証装置１０が管理端末３０を含んだ構成、すなわち、管理端末３０の機能を認証装置１０が備えた構成としても構わない。

次に、認証システム１を構成する認証装置１０および端末４０の動作を説明する。図６は、実施の形態１にかかる認証装置１０の動作の概要を示すフローチャートである。認証装置１０は、端末４０から信号を受信するごとに、図６に示したフローチャートに従った動作を実行する。

図６に示したように、認証装置１０は、端末４０から信号を受信すると（ステップＳ１）、信号送信元の端末４０が禁止端末に該当するか否かを確認する（ステップＳ２）。認証装置１０は、図２に示した管理者登録端末データ１７−１の「禁止端末」が「該当」とされている端末４０から信号を受信した場合、信号送信元の端末４０が禁止端末に該当すると判定し、「禁止端末」が「非該当」とされている端末４０から信号を受信した場合、信号送信元の端末４０が禁止端末に該当しないと判定する。

認証装置１０は、信号送信元の端末４０が禁止端末に該当する場合（ステップＳ２：Ｙｅｓ）、機能の利用制限を端末４０に指示する（ステップＳ３）。なお、この指示を受けた端末４０は、自端末に設定されている制限ポリシーで指定された機能をユーザが使用できないよう、動作に制限をかける。

また、認証装置１０は、信号送信元の端末４０が禁止端末に該当しない場合（ステップＳ２：Ｎｏ）、ステップＳ１で受信した信号に含まれる情報に従った処理を実行する（ステップＳ４）。例えば、ステップＳ１で受信した信号に含まれる情報が認証要求を示す場合、認証装置１０は、信号送信元の端末４０を対象として、サービスの利用に関する認証処理を実行し、サービスの利用を許可するか否かを判定する。また、ステップＳ１で受信した信号に含まれる情報がサーバ２０へのアクセス要求を示す場合、認証装置１０は、要求を受け入れるか否かを判断し、要求を受け入れる場合には端末４０から受信した信号をサーバ２０へ転送する。

図７は、実施の形態１にかかる端末４０の動作の一例を示すフローチャートである。端末４０は、サーバ２０で提供されるサービスを利用するための操作をユーザから受け付けた場合に、図７に示したフローチャートに従った動作を実行する。

端末４０は、動作を開始すると、まず、エージェント４１のインストールが済んでいるか否かを確認し（ステップＳ１１）、エージェント４１をインストール済みではない場合（ステップＳ１１：Ｎｏ）、エージェント４１を認証装置１０からダウンロードし、インストールを行う（ステップＳ１２）。なお、ここでのエージェント４１のダウンロードとは、エージェント４１として動作するアプリケーションソフトウェアおよびエージェント４１の動作に必要な情報のダウンロードを意味する。エージェント４１の動作に必要な情報には制限ポリシーが含まれる。ステップＳ１２において、端末４０は、認証装置１０に対してエージェント４１として動作するアプリケーションソフトウェア等を送信するよう要求し、エージェント４１として動作するアプリケーションソフトウェア等を認証装置１０からダウンロードする。このとき端末４０が送信する要求信号には端末４０の端末ＩＤおよびＭＡＣアドレスが含まれるものとする。この要求信号を受信した認証装置１０は、受信信号に含まれる要求元の端末４０の端末ＩＤ、ＭＡＣアドレスなどの情報が、端末データ１７の管理者登録端末データ１７−１に登録されていない場合、端末４０からの要求を拒否する。端末４０からの要求を受け付ける場合、認証装置１０のエージェント管理部１４が、要求元の端末４０の端末ＩＤと対応付けて登録されている制限ポリシーをデータ保持部１５内の管理者登録端末データ１７−１から読み出し、自身が保持しているエージェント４１として動作するアプリケーションソフトウェアとともに、端末４０へ送信する。端末４０は、エージェント４１として動作するアプリケーションソフトウェアおよび制限ポリシーを受け取ると、アプリケーションソフトウェアのインストールおよび制限ポリシーの設定を行う。

ステップＳ１２を実行した場合、および、エージェント４１をインストール済みの場合（ステップＳ１１：Ｙｅｓ）、端末４０は、ユーザからログイン情報を受け付ける（ステップＳ１３）。端末４０が受け付けるログイン情報は、ユーザＩＤおよびパスワードである。

端末４０は、ユーザからログイン情報を受け付けると、ログイン情報であるユーザＩＤおよびパスワードと、自端末の端末ＩＤおよびＭＡＣアドレスとを含んだ信号をログイン要求信号として認証装置１０へ送信する。ログイン要求信号は、サービスへのログイン、すなわち、サービスの利用開始を要求する信号である。端末４０は、ログインに成功すると（ステップＳ１４：Ｙｅｓ）、認証装置１０との間で定周期通信を実施する（ステップＳ１５）。定周期通信は、端末４０が、自端末の端末ＩＤを含んだ定周期通信要求信号を一定の周期で認証装置１０へ送信し、これに対する応答信号を受信する動作である。

端末４０は、定周期通信要求信号に対する応答信号を受信すると、応答信号に含まれる情報を確認し、自端末が禁止端末に該当するか否かを確認する（ステップＳ１６）。端末４０は、応答信号に含まれる情報が、設定されている制限ポリシーに従った動作の実行指示を表す場合、禁止端末に該当すると判定する。禁止端末に該当しない場合（ステップＳ１６：Ｎｏ）、端末４０は、定周期通信が成功したか否かを確認する（ステップＳ１７）。端末４０は、応答信号に含まれる情報が、定周期通信の継続指示を表す場合、定周期通信が成功と判定する。定周期通信が成功した場合（ステップＳ１７）、端末４０は、ステップＳ１５に戻り、予め定められたタイミングで定周期通信要求信号を再度送信する。以後、端末４０は、ステップＳ１６で禁止端末に該当すると判定するか、ステップＳ１７で定周期通信に失敗したと判定するまで、ステップＳ１５からＳ１７を繰り返す。

端末４０は、定周期通信に失敗した場合（ステップＳ１７：Ｎｏ）、すなわち、認証装置１０からの応答信号に含まれる情報が、定周期通信の終了指示を表す場合、認証装置１０へ利用終了信号を送信してサービスの利用を終了する（ステップＳ１８）。なお、図７への記載は省略しているが、端末４０は、定周期通信を行っている最中にサービスの利用終了を指示する操作をユーザから受け付けた場合にも、認証装置１０へ利用終了信号を送信してサービスの利用を終了する。

端末４０は、自端末が禁止端末に該当する場合（ステップＳ１６：Ｙｅｓ）、自端末に設定されている制限ポリシーに従った動作を実行する（ステップＳ２０）。端末４０は、自端末が禁止端末に該当し、かつ上述した「使用不能」を表す「制限ポリシー」が設定されている場合、サービスを利用するための動作を停止する。また、端末４０は、自端末が禁止端末に該当し、かつ上述した「端末リセット」を表す「制限ポリシー」が設定されている場合、自端末を工場出荷時の状態に戻す動作を実行する。また、端末４０は、自端末が禁止端末に該当し、かつ上述した「指定データ消去」を表す「制限ポリシー」が設定されている場合、予め指定されているデータを消去する。消去するデータは、例えば、制限ポリシーを設定する際に、端末４０が消去するデータの指定用のメニュー画面を表示してユーザに指定させるようにする。また、端末４０は、自端末が禁止端末に該当し、かつ上述した「アプリデータ消去」を表す「制限ポリシー」が設定されている場合、予め指定されているアプリケーションを使用して得られたデータを消去する。アプリケーションの指定は、例えば、制限ポリシーを設定する際に、端末４０がアプリケーションの指定用のメニュー画面を表示してユーザに指定させるようにする。

端末４０は、ログインに失敗した場合（ステップＳ１４：Ｎｏ）、自端末が禁止端末に該当するか否かを確認する（ステップＳ１９）。ステップＳ１９はステップＳ１６と同様の処理である。端末４０は、ログイン失敗を示す信号に自端末が禁止端末であることを示す情報が含まれている場合、すなわち、設定されている制限ポリシーに従った動作の実行指示を表す情報がログイン失敗を示す信号に含まれている場合、禁止端末に該当すると判定する。

端末４０は、自端末が禁止端末に該当する場合（ステップＳ１９：Ｙｅｓ）、自端末に設定されている制限ポリシーに従った動作を実行する（ステップＳ２０）。端末４０は、自端末が禁止端末に該当しない場合（ステップＳ１９：Ｎｏ）、ステップＳ１３に戻る。

以上のように、端末４０は、認証装置１０から信号を受信すると、自端末が禁止端末に該当するか否かを確認し、禁止端末に該当する場合、制限ポリシーに従った動作を実行してユーザが利用可能な機能に制限をかける。

次に、認証装置１０が端末４０から信号を受信するときの動作について、詳しく説明する。図８は、実施の形態１にかかる認証装置１０の動作の一例を示すフローチャートである。

認証装置１０は、端末４０から信号を受信するのを待ち続けており（ステップＳ３１：Ｎｏ）、端末４０から信号を受信した場合（ステップＳ３１：Ｙｅｓ）、信号送信元の端末４０が禁止端末に該当するか否かを確認する（ステップＳ３２）。具体的には、認証部１１が、端末４０からの受信信号に含まれる端末ＩＤと端末データ１７とを照合し、受信信号に含まれる端末ＩＤに対応する端末データ１７の「禁止端末」が「該当」に設定されているか否かを確認する。禁止端末に該当する場合（ステップＳ３２：Ｙｅｓ）、認証部１１は、信号送信元の端末４０に対し、機能の利用制限を指示する（ステップＳ３３）。すなわち、認証部１１は、信号送信元の端末４０に対し、設定されている制限ポリシーに従った動作の実行を指示する信号を送信する。

認証部１１は、信号送信元の端末４０が禁止端末に該当しない場合（ステップＳ３２：Ｎｏ）、認証要求を受信したか否か、すなわち、受信信号が認証要求を示すか否かを確認する（ステップＳ３４）。認証要求は、上述したログイン要求信号に相当する。受信信号が認証要求に該当するか否かは、例えば、受信信号に含まれる、要求の種別を示す情報を確認することで判定することが可能である。認証部１１は、認証要求を受信した場合（ステップＳ３４：Ｙｅｓ）、受信信号に含まれるユーザＩＤとパスワードの照合を行い、照合に失敗した場合（ステップＳ４３：Ｎｏ）、認証失敗応答を示す信号を端末４０へ返送する（ステップＳ４７）。ユーザＩＤとパスワードの照合に成功、すなわち、受信信号に含まれるユーザＩＤとパスワードが認証データ１６に登録されている場合（ステップＳ４３：Ｙｅｓ）、認証部１１は、ＭＡＣアドレスの照合を行う。認証部１１は、ＭＡＣアドレスの照合に失敗した場合（ステップＳ４４：Ｎｏ）、認証失敗応答を示す信号を端末４０へ返送する（ステップＳ４７）。ＭＡＣアドレスの照合に成功、すなわち、受信信号に含まれるＭＡＣアドレスが端末データ１７の管理者登録端末データ１７−１に登録されている場合（ステップＳ４４：Ｙｅｓ）、認証部１１は、要求元の端末４０の端末データを作成する（ステップＳ４５）。ステップＳ４５における端末データの作成では、認証部１１は、受信信号に含まれる端末ＩＤおよびユーザＩＤを端末データ１７の自動登録端末データ１７−２に追加登録する。認証部１１は、ステップＳ４５の端末データの作成が終了すると、認可トークン応答を行う（ステップＳ４６）。認可トークン応答とは、有効期間を設けた認可トークン含んだ応答信号を生成して要求元の端末４０へ送信する処理である。認可トークンは、１つまたは複数のサービスの利用を許可する情報である。端末４０は、認証装置１０との間で行う定周期通信において、認可トークンを含んだ信号を送信する。なお、ステップＳ４３およびＳ４４の処理が端末４０の認証処理である。また、ステップＳ４３が第１の認証、ステップＳ４４が第２の認証である。

認証部１１は、認証要求の受信ではない場合（ステップＳ３４：Ｎｏ）、認可要求を受信したか否か、すなわち、受信信号が認可要求を示すか否かを確認する（ステップＳ３５）。認証部１１は、認可要求の受信ではない場合（ステップＳ３５：Ｎｏ）、定周期通信要求を受信したか否か、すなわち、受信信号が定周期通信要求を示すか否かを確認する（ステップＳ３６）。定周期通信要求の受信ではない場合（ステップＳ３６：Ｎｏ）、ステップＳ３１に戻り、認証装置１０は端末４０から次の信号を受信するのを待つ。

定周期通信要求を受信した場合（ステップＳ３６：Ｙｅｓ）、認証装置１０は端末データを取得する（ステップＳ３７）。すなわち、ステップＳ３７においては、認証部１１が、受信信号に含まれる端末データを取得する。ステップＳ３７で認証部１１が取得する端末データは、端末ＩＤ、ユーザＩＤおよびＭＡＣアドレスである。

認証部１１は、次に、端末４０がサービスの利用を終了するか否かを確認する（ステップＳ３８）。認証部１１は、受信した定周期通信要求に利用終了を示す情報が含まれている場合に利用終了と判断する。端末４０がサービスの利用を終了する場合（ステップＳ３８：Ｙｅｓ）、認可トークンを破棄し（ステップＳ４２）、端末データを更新する（ステップＳ４１）。具体的には、認証部１１は、図２に示した自動登録端末データ１７−２の信号送信元の端末４０の「通信時刻」を現在時刻に更新するとともに「状態」を「終了」に設定する。例えば、信号送信元の端末４０の端末ＩＤがＥ００１であり、現在時刻が２０１７年９月８日９時５分１０秒の場合、認証部１１は、自動登録端末データ１７−２の「Ｅ００１」に対応する「通信時刻」を「２０１７／０９／０８ ０９：０５：１０」に設定し、「状態」を「終了」に設定する。

利用終了ではない場合（ステップＳ３８：Ｎｏ）、認証部１１は、認可トークンがタイムアウトしたか否かを確認する（ステップＳ３９）。認証部１１は、定周期通信要求に含まれる認可トークンの有効期間を確認し、現在時刻が有効期間内ではない場合、認可トークンがタイムアウトしたと判断する。

認証部１１は、認可トークンがタイムアウトしていない場合（ステップＳ３９：Ｎｏ）、認可トークンの有効期間を更新する（ステップＳ４０）。すなわち、認証部１１は、端末４０から受信した信号に含まれている認可トークンの有効期間を更新し、有効期間を更新した後の認可トークンを含んだ応答信号を生成して端末４０へ送信する。有効期間の更新とは、有効期間を延長することである。例えば、認証部１１は、ステップＳ３９で認可トークンがタイムアウトしていないと判断した場合、受信信号に含まれている認可トークンの有効期間を予め定められた一定の長さだけ延長する。認証部１１は、ステップＳ４０の次にステップＳ４１を実行して端末データを更新する。ステップＳ４０につづいて実行するステップＳ４１では、認証部１１が、図２に示した自動登録端末データ１７−２の信号送信元の端末４０の「通信時刻」を現在時刻に更新する。

認証部１１は、認可トークンがタイムアウトした場合（ステップＳ３９：Ｙｅｓ）、タイムアウト応答を行い（ステップＳ４９）、ステップＳ３１に戻る。タイムアウト応答では、認証部１１が、認可トークンがタイムアウトしたために要求を受け付けられない旨を示す情報を含んだ応答信号を生成して端末４０へ送信する。認可トークンがタイムアウトするケースは、認証装置１０が定周期通信要求を受信できない状態が継続した場合に発生する。認可トークンの有効期間は端末４０が定周期通信要求を送信する周期を考慮した長さとするのが望ましい。例えば、定周期通信要求を３回連続して受信できない場合に認可トークンがタイムアウトとなる長さの有効期間とする。

認証部１１は、認可要求を受信した場合（ステップＳ３５：Ｙｅｓ）、受信した認可要求に含まれる認可トークンがタイムアウトしたか否かを確認する（ステップＳ４８）。認可トークンがタイムアウトした場合（ステップＳ４８：Ｙｅｓ）、認証部１１は、タイムアウト応答を行い（ステップＳ４９）、ステップＳ３１に戻る。認可トークンがタイムアウトしていない場合（ステップＳ４８：Ｎｏ）、認証装置１０は転送処理を行う（ステップＳ５０）。ステップＳ５０では、認証部１１が、端末４０から受信した、認可要求を示す信号をプロキシ処理部１３に出力し、プロキシ処理部１３が、認可要求を示す信号を、認可要求の内容に従ってサーバ２０へプロキシ転送する。認証装置１０は、ステップＳ５０を実行した後、ステップＳ３１に戻る。

認証装置１０の管理端末接続部１２は、認証装置１０が図８に示した動作を実行中の場合であっても、サービス管理者が管理端末３０を使用して行う認証データ１６の登録および修正、端末データ１７の登録および修正、といった操作を受け付け、受け付けた操作内容に従い認証データ１６および端末データ１７を更新する。したがって、サービス管理者は、端末４０のユーザが端末４０を紛失した場合など、第３者による使用を防止するための制限をかけたい端末４０が存在する場合、管理端末３０を使用して、端末データ１７の中の制限をかけたい端末４０の「禁止端末」を「該当」に設定することで、当該端末から次に信号を受信した時に制限をかけることができる。また、認可トークンの有効期限が終了するよりも前に、端末４０に制限をかけることができる。

以上のように、本実施の形態にかかる認証システム１において、認証装置１０は、サービスを提供するサーバ２０と、公衆ネットワークであるネットワーク５０を介してサービスの提供を受ける端末４０との間に配置され、端末４０がサービスの利用が制限される端末である禁止端末に該当するか否かを示す情報を保持し、禁止端末に該当する端末４０から信号を受信した場合、信号送信元の端末４０に対して動作の制限を指示する。また、認証装置１０は、端末４０が禁止端末に該当するか否かを示す情報の設定変更を受け付ける機能を有する。本実施の形態にかかる認証装置１０によれば、端末４０を紛失した場合の安全性を向上させることができ、端末４０を使用したサービスの不正利用、端末４０が保持しているデータの漏洩などを防止することができる。また、端末４０ごとに異なる制限をかけることができる。このように、本実施の形態にかかる認証装置１０は、移動が可能な端末にサービスを提供するシステムにおける安全性向上を実現することができる。

実施の形態２．
図９は、実施の形態２にかかる認証システム１ａの構成例を示す図である。図９においては、実施の形態１で説明した認証システム１と共通の構成要素に同じ符号を付している。本実施の形態では実施の形態１と異なる部分を説明する。

認証システム１ａは、実施の形態１で説明した認証システム１の認証装置１０を認証装置１０ａに置き換え、認証システム６０をさらに備えたものである。認証装置１０ａは、実施の形態１で説明した認証装置１０の認証部１１を認証部１１ａに置き換えたものである。また、認証装置１０ａのデータ保持部１５は端末データ１７を保持する。認証システム６０は、実施の形態１で説明した認証データ１６に相当する認証データを保持し、認証装置１０ａに代わって端末４０の認証処理を行う。すなわち、認証システム１ａは、認証システム１の認証装置１０が実施する端末４０の認証処理を認証システム６０で実施するようにしたものである。認証部１１ａは、認証部１１が実施する処理のうち、端末４０の認証処理以外の処理を実施する。

認証システム６０は、一般的な認証サーバを含んで構成され、認証装置１０ａに対してログイン要求信号を送信した端末４０のユーザＩＤおよびパスワードを認証装置１０ａから受け取り、受け取ったユーザＩＤおよびパスワードが保持している認証データに登録されているか否かを確認する。また、認証システム６０は、認証結果、すなわち、認証装置１０ａから受け取ったユーザＩＤおよびパスワードが保持している認証データに登録されているか否かの確認結果を認証装置１０ａに通知する。

図１０は、実施の形態２にかかる認証装置１０ａの動作の一例を示すフローチャートである。図１０に示したフローチャートは、図８に示したフローチャートのステップＳ４３をステップＳ５３に置き換えたものである。その他の各ステップの処理は、図８に示したフローチャートの同じステップ番号が付された各ステップの処理と同様である。

図１０に示したように、認証装置１０ａは、端末４０から認証要求を受信すると（ステップＳ３４：Ｙｅｓ）、認証システム６０を利用した認証を行う（ステップＳ５３）。認証システム６０を利用した認証では、認証部１１ａが、端末４０からの受信信号に含まれるユーザＩＤおよびパスワードを認証システム６０に通知して認証処理を要求する。認証システム６０は、認証装置１０ａから認証処理の要求を受けると端末４０の認証を行い、認証結果を認証装置１０ａへ送信する。なお、認証部１１ａと認証システム６０との間の通信は暗号化通信とするのが望ましい。

認証システム６０による認証が成功した場合（ステップＳ５３：Ｙｅｓ）、認証装置１０ａはステップＳ４４を実行し、認証システム６０による認証が失敗した場合（ステップＳ５３：Ｎｏ）、認証装置１０ａはステップＳ４７を実行する。

本実施の形態にかかる端末４０の動作は実施の形態１と同様であるため、説明を省略する。

このように、本実施の形態にかかる認証装置１０ａは、端末４０のユーザＩＤおよびパスワードを用いた認証処理を、外部の認証システム６０に依頼することとした。認証装置１０ａは、実施の形態１にかかる認証装置１０と同様の効果を奏することができる。また、認証装置１０ａが使用する認証データの事前作成およびメンテナンス作業が不要となり、システム全体の保守効率の向上を実現できる。また、一回の認証で複数システムを利用できるシングルサイオンを実現でき、サービス利用者の利便性の向上を実現できる。

実施の形態３．
図１１は、実施の形態３にかかる認証システム１ｂの構成例を示す図である。図１１においては、実施の形態１で説明した認証システム１と共通の構成要素に同じ符号を付している。本実施の形態では実施の形態１と異なる部分を説明する。

認証システム１ｂは、実施の形態１で説明した認証システム１の認証装置１０を認証装置１０ｂに置き換えたものである。認証装置１０ｂは、実施の形態１で説明した認証装置１０の認証部１１を認証部１１ｂに置き換え、通知管理部１８をさらに備えたものである。認証部１１ｂは、認証部１１が有する機能に加えて、端末データ１７にＭＡＣアドレスが登録されていない端末４０から認証要求を受信した場合に、当該端末４０の情報を端末データ１７に自動的に登録する機能を有する。通知管理部１８は、端末データ１７に端末の情報が自動的に登録された場合、自動登録が行われたことをサービス管理者に通知する。

また、本実施の形態にかかる認証システム１ｂでは、端末４０にエージェント４１ｂがインストールされているものとする。エージェント４１ｂのインストールは実施の形態１で説明したエージェント４１のインストールと同様の手順で実施する。エージェント４１ｂは、エージェント４１ｂとして動作するアプリケーションソフトウェアを端末４０が認証装置１０ｂからダウンロードする際に発行された証明書４２を保持する。証明書４２は、エージェント４１ｂがインストールされている端末４０がサービスを利用可能な端末であることを示す情報である。端末４０において、エージェント４１ｂは、認証装置１０ｂと通信する際、証明書４２を含んだ信号を認証装置１０ｂへ送信する。

図１２は、実施の形態３にかかる認証装置１０ｂの動作の一例を示すフローチャートである。図１２に示したフローチャートは、図８に示したフローチャートにステップＳ６１およびＳ６２を追加したものである。その他の各ステップの処理は、図８に示したフローチャートの同じステップ番号が付された各ステップの処理と同様である。ステップＳ６１およびＳ６２は、ステップＳ４４でＭＡＣアドレスの照合に失敗した場合に実行される。

図１２に示したように、認証装置１０ｂは、ステップＳ４４でＭＡＣアドレスの照合に失敗した場合（ステップＳ４４：Ｎｏ）、認証要求の送信元の端末４０の情報を端末データ１７に自動登録する（ステップＳ６１）。ステップＳ６１では、認証部１１ｂが、端末４０からの受信信号に含まれている端末ＩＤおよびＭＡＣアドレスを端末データ１７に自動的に登録する。なお、端末４０は、認証装置１０ｂに対して認証要求を送信する際、証明書４２を含んだ認証要求を生成する。認証装置１０ｂは、証明書４２を含んだ認証要求を受信した場合に端末ＩＤおよびＭＡＣアドレスの自動登録を行う。

次に、認証装置１０ｂは、端末データ１７への自動登録を行ったことをサービス管理者に通知し（ステップＳ６２）、ステップＳ４５を実行する。ステップＳ６２では、通知管理部１８が、例えば、電子メールを使用して、サービス管理者への通知を行う。なお、端末データ１７に自動登録が行われたことを通知されたサービス管理者は、管理端末３０を使用し、自動登録された端末４０の情報の確認および編集、不足している情報の追加登録といった作業を行う。このとき、サービス管理者は、少なくとも、「制限ポリシー」の登録を行う。この結果、自動登録された情報が正式に登録され、自動登録された情報に対応する端末４０がサービスを利用できる状態となる。サービス管理者により必要な情報が追加登録され、認証要求の送信元の端末４０がサービスを利用できる状態になると、認証装置１０ｂはステップＳ４５を実行する。なお、認証装置１０ｂは、認証要求の送信元の端末４０の情報を端末データ１７に自動登録する際に、予め決められた制限ポリシーを自動で登録し、サービス管理者による登録作業を待つことなく、認証要求の送信元の端末４０がすぐにサービスを利用できるようにしてもよい。認証装置１０ｂは、予め決められた制限ポリシーを自動で登録する場合も、ステップＳ６２を実行してサービス管理者への通知を行う。

このように、本実施の形態にかかる認証装置１０ｂは、端末データ１７に情報が登録されていない端末４０から証明書４２を含んだ認証要求を受信した場合、要求元の端末４０の情報を端末データ１７に自動登録し、自動登録を行った旨をサービス管理者に通知することとした。認証装置１０ｂは、実施の形態１にかかる認証装置１０と同様の効果を奏することができる。また、認証装置１０ｂが使用する端末データの事前作成が不要となり、サービス管理者の作業負荷を軽減できる。

実施の形態４．
図１３は、実施の形態４にかかる認証システム１ｃの構成例を示す図である。図１３においては、実施の形態１で説明した認証システム１と共通の構成要素に同じ符号を付している。本実施の形態では実施の形態１と異なる部分を説明する。

認証システム１ｃは、実施の形態１で説明した認証システム１の認証装置１０を認証装置１０ｃに置き換えたものである。また、認証システム１ｃは、管理端末３０を必要としない。認証装置１０ｃは、実施の形態１で説明した認証装置１０の管理端末接続部１２を管理端末接続部１２ｃに置き換えたものである。管理端末接続部１２ｃは、端末４０からの要求に従い、認証データ１６の登録および修正、端末データ１７の登録および編集、などを行う。

また、本実施の形態にかかる認証システム１ｃでは、端末４０にエージェント４１ｃがインストールされているものとする。エージェント４１ｃのインストールは実施の形態１で説明したエージェント４１のインストールと同様の手順で実施する。エージェント４１ｃは、エージェント４１ｃとして動作するアプリケーションソフトウェアを端末４０が認証装置１０ｃからダウンロードする際に発行された証明書４２を保持する。証明書４２は、エージェント４１ｃがインストールされている端末４０がサービスを利用可能な端末であることを示す情報である。エージェント４１ｃは、実施の形態１で説明したエージェント４１が有する機能に加えて、実施の形態１で説明した管理端末３０として動作する機能を有する。したがって、認証システム１ｃにおいて、サービス管理者は、端末４０を使用して、認証データの登録、確認および修正、端末データの登録、確認および修正、サービスの利用状況の確認といった作業を実施する。これらの作業は、認証装置１０ｃによる認証が成功している端末４０をサービス管理者が使用した場合に実施可能とする。端末４０において、エージェント４１ｃは、認証装置１０ｃと通信する際、証明書４２を含んだ信号を認証装置１０ｃへ送信する。

図１４は、実施の形態４にかかる認証装置１０ｃの動作の一例を示すフローチャートである。図１４に示したフローチャートは、図８に示したフローチャートにステップＳ７１からＳ７３を追加したものである。その他の各ステップの処理は、図８に示したフローチャートの同じステップ番号が付された各ステップの処理と同様である。ステップＳ７１からＳ７３は、ステップＳ３６で定周期通信要求の受信ではないと判定した場合に実行される。

図１４に示したように、認証装置１０ｃは、ステップＳ３６で定周期通信要求の受信ではないと判定した場合（ステップＳ３６：Ｎｏ）、管理機能要求の受信か否かを確認する（ステップＳ７１）。このステップＳ７１の処理は認証部１１が実行する。管理機能要求の受信ではない場合（ステップＳ７１：Ｎｏ）、認証装置１０ｃはステップＳ３１に戻る。管理機能要求を受信した場合（ステップＳ７１：Ｙｅｓ）、認証装置１０ｃは、認可トークンがタイムアウトしたか否かを確認する（ステップＳ７２）。ステップＳ７２の処理は認証部１１が実行する。認証装置１０ｃは、認可トークンがタイムアウトした場合（ステップＳ７２：Ｙｅｓ）、タイムアウト応答を行い（ステップＳ４９）、ステップＳ３１に戻る。

また、認証部１１は、認可トークンがタイムアウトしていない場合（ステップＳ７２：Ｎｏ）、装置保守を行い（ステップＳ７３）、ステップＳ３１に戻る。ステップＳ７３で行う装置保守は、サービス管理者が端末４０に対して行った操作の内容に従い、管理端末接続部１２ｃが、認証データおよび端末データの登録、修正などを行う処理である。サービス管理者が端末４０に対して行った操作の内容は、管理機能要求にて端末４０から認証装置１０ｃの管理端末接続部１２ｃに通知される。例えば、サービス管理者がサービスの利用状況を確認するための操作を行ったことを示す情報を管理機能要求が含んでいる場合、管理端末接続部１２ｃは、図３に示した画面を表示するために必要な情報を、管理機能要求の送信元の端末４０へ送信し、図３に示した画面を端末４０に表示させる。

このように、本実施の形態にかかる認証装置１０ｃは、認証に成功している端末４０から管理機能要求を受信した場合、管理機能要求に含まれる情報の内容に従い、認証データおよび端末データの登録、修正などを行うデータ管理動作、サービスの利用状況をサービス管理者に確認させるための動作、などを実行することとした。認証装置１０ｃは、実施の形態１にかかる認証装置１０と同様の効果を奏することができる。また、専用の管理端末を使用することなく認証システムを構築でき、システム構成を単純化できる。

実施の形態５．
図１５は、実施の形態５にかかる認証システム１ｄの構成例を示す図である。図１５においては、実施の形態１で説明した認証システム１と共通の構成要素に同じ符号を付している。本実施の形態では実施の形態１と異なる部分を説明する。

認証システム１ｄは、実施の形態１で説明した認証システム１の認証装置１０を認証装置１０ｄに置き換えたものである。認証装置１０ｄは、実施の形態１で説明した認証装置１０の認証部１１を認証部１１ｄに置き換えたものである。また、認証装置１０ｄのデータ保持部１５は、認証データ１６、端末データ１７ｄおよび地図データ１９を保持する。

本実施の形態にかかる認証システム１ｄにおいて、認証装置１０ｄは、各端末４０の位置を管理し、端末４０が予め定められた範囲の外に存在する場合、範囲外に存在している端末４０の動作に制限をかける。また、認証装置１０ｄは、サービス管理者が管理端末３０を使用して端末４０の位置を確認する機能を提供する。

図１６は、実施の形態５にかかる認証装置１０ｄのデータ保持部１５が保持する端末データ１７ｄの一例を示す図である。なお、図１６では、認証データ１６および地図データ１９の記載を省略している。

端末データ１７ｄは、管理者登録端末データ１７ｄ−１および自動登録端末データ１７ｄ−２で構成される。

管理者登録端末データ１７ｄ−１は、実施の形態１で説明した管理者登録端末データ１７−１（図２参照）に対して有効範囲および第２の制限ポリシーを追加した構成である。なお、第１の制限ポリシーが管理者登録端末データ１７−１の制限ポリシーに相当する。「有効範囲」は端末４０がサービスを受けられる範囲を表す。端末４０は、有効範囲内に存在し、かつ禁止端末に該当しない場合、サービスを受けることが可能である。認証装置１０ｄは、端末４０が禁止端末に該当する場合、第１の制限ポリシーに従った動作を行うよう当該端末４０に指示を行う。また、認証装置１０ｄは、端末４０が禁止端末に該当せず、かつ有効範囲外に存在する場合、第２の制限ポリシーに従った動作を行うよう当該端末４０に指示を行う。

自動登録端末データ１７ｄ−２は、実施の形態１で説明した自動登録端末データ１７−２に対して位置情報を追加した構成である。位置情報は、例えばＧＰＳ（Global Positioning System）システムを利用して取得する。この場合、端末４０は、ＧＰＳ衛星から送信されるＧＰＳ信号をＧＰＳレシーバで受信して位置情報を取得する処理を定周期で実行し、取得した位置情報を認証装置１０ｄへ送信する。認証装置１０ｄは、端末４０から位置情報を受信すると、自動登録端末データ１７ｄ−２に登録する。

図１７は、実施の形態５にかかる認証装置１０ｄの動作の一例を示すフローチャートである。図１７に示したフローチャートは、図８に示したフローチャートにステップＳ８１を追加したものである。その他の各ステップの処理は、図８に示したフローチャートの同じステップ番号が付された各ステップの処理と同様である。ステップＳ８１は、ステップＳ３２で禁止端末に該当しないと判定した場合に実行される。

図１７に示したように、認証装置１０ｄは、ステップＳ３２で信号送信元の端末４０が禁止端末ではないと判定した場合（ステップＳ３２：Ｎｏ）、信号送信元の端末４０が制限端末に該当するか否かを確認する（ステップＳ８１）。制限端末は有効範囲の外に存在する端末である有効範囲外端末に相当する。ステップＳ８１の処理は認証部１１ｄが実行する。認証部１１ｄは、信号送信元の端末４０の位置が端末データ１７ｄに登録されている有効範囲に含まれない場合、制限端末に該当すると判定する。制限端末に該当しない場合（ステップＳ８１：Ｎｏ）、認証装置１０ｄはステップＳ３４を実行する。一方、制限端末に該当する場合（ステップＳ８１：Ｙｅｓ）、認証装置１０ｄはステップＳ３３を実行する。認証装置１０ｄの認証部１１ｄは、信号送信元の端末４０が制限端末に該当する場合に実行するステップＳ３３では、信号送信元の端末４０に対し、設定されている第２の制限ポリシーに従った動作の実行を指示する信号、すなわち、制限端末に該当する場合の制限ポリシーに従った動作の実行を指示する信号を送信する。

なお、本実施の形態では、図１６に示したように、端末データ１７ｄに第１の制限ポリシーおよび第２の制限ポリシーを登録し、これら２つの制限ポリシーを端末４０に設定することとしたが、制限ポリシーを１つとしてもよい。すなわち、実施の形態１で説明した管理者登録端末データ１７−１（図２参照）に有効範囲を追加したものを管理者登録端末データ１７ｄ−１としてもよい。制限ポリシーを１つとする場合、認証装置１０ｄは、端末４０が禁止端末に該当するか、有効範囲外に存在する場合、設定されている制限ポリシーに従った動作を行うよう当該端末４０に指示を行う。すなわち、認証装置１０ｄは、端末４０が禁止端末に該当する場合と制限端末に該当する場合とで同じ内容の指示を行う。

本実施の形態にかかる端末４０の動作は実施の形態１と同様であるため、説明を省略する。

このように、認証装置１０ｄは、端末４０が予め定められた有効範囲内に存在していないことを検知した場合にも、当該端末４０の動作に制限をかける。そのため、端末４０が盗難されるなどして有効範囲外に持ち出された時点で、サービス管理者による禁止端末の設定が完了していなくても端末４０の動作に自動的に制限がかかる。これにより、実施の形態１から４と比較して、端末４０を紛失した場合の安全性をさらに向上させることができる。

本実施の形態にかかる認証システム１ｄの管理端末３０は、実施の形態１で説明した各機能に加えて、位置情報を利用して端末４０を確認する機能をサービス管理者に提供する。

図１８は、実施の形態５にかかる認証システム１ｄがサービス管理者に提供する機能の一例を示す図である。図１８では、認証装置１０ｄが保持している端末データ１７ｄに対応する各端末の位置を地図上に示して各登録端末の状況を確認する機能の例を示している。

図１８に示したように、サービス管理者は、管理端末３０を利用して、各端末４０の位置を監視することが可能である。認証装置１０ｄは、例えば、端末データ１７ｄおよび地図データ１９に基づいて、サービス管理者により指定された一定範囲内に存在する端末４０の数を特定し、管理端末３０の表示部に表示させる。認証装置１０ｄは、地図表示のスケールを変更する操作が行われると、管理端末３０に表示させる画面を更新する。地図を拡大する操作が行われ、予め定められた縮尺に変更されると、認証装置１０ｄは、各端末４０の詳細な位置を地図上に表示させる。

なお、認証装置１０ｄは、禁止端末に該当する端末４０と、制限端末に該当する端末４０と、禁止端末および制限端末のいずれにも該当しない端末４０とをサービス管理者が容易に判別できるよう、これらを異なる色で表示させるなどしてもよい。また、認証装置１０ｄは、一定範囲内に存在する端末４０の数を表す数値を表示させている状態で数値がクリックされたときに、一定範囲内に存在する全ての端末４０の状態を一覧形式で確認可能な表示に切り替えてもよい。

また、認証装置１０ｄは、端末４０から周期的に取得する位置情報を過去の一定の期間にわたって保持しておき、管理端末３０から要求を受けた場合に、端末４０の移動経路を管理端末３０の表示部に表示させるようにしてもよい。

このように、本実施の形態にかかる認証システム１ｄは、サービス管理者が端末４０の位置および状態を確認できる表示機能を有しているため、サービス管理者の利便性の向上を実現できる。

なお、本実施の形態では、実施の形態１にかかる認証装置１０に対して、端末４０の有効範囲の情報および端末４０の位置情報に基づいて、端末４０が制限端末に該当するか否かを判定し、制限端末に該当する場合には動作に制限をかける機能を追加する構成について説明したが、この構成に限定されない。実施の形態２から４で説明した各認証装置に対して上記の機能を追加し、制限端末に該当するか否かの判定および制限端末の動作の制限を行うようにすることも可能である。

また、本実施の形態では、禁止端末の設定および有効範囲の設定を行い、端末４０が禁止端末に該当する場合、および、有効範囲外に存在する場合に動作に制限をかけることとしたが、有効範囲の設定だけを行うようにしてもよい。すなわち、認証装置は、端末４０が有効範囲外に存在する場合に動作に制限をかけるようにしてもよい。

実施の形態６．
実施の形態１から５では、端末４０にエージェントをインストールする際、複数の制限ポリシーの中のいずれか一つを端末４０に設定し、端末４０は、動作の制限を指示された場合、設定されている制限ポリシーに従った動作を行うこととした。しかしながら、１つの制限ポリシーを予め設定しておく必要は無い。

例えば、端末４０は、エージェントをインストールする際、認証システムで選択可能な複数種類の制限ポリシーの全てをダウンロードして保持しておき、認証装置は、動作の制限を端末４０に指示する際、複数種類の制限ポリシーのうち、どの制限ポリシーに従って制限をかけるかを指定するようにしても構わない。動作の制限を端末４０に指示する際に指定する制限ポリシーは、例えば、端末４０のユーザが選択し、ユーザによる選択結果を、サービス管理者が管理端末３０を使用して認証装置に登録する。

これにより、端末４０の動作に制限をかける際に、端末４０のユーザまたはサービス管理者が端末４０の状況を考慮して制限の掛け方を変更するなど、柔軟な動作規制が可能となる。

以上の実施の形態に示した構成は、本発明の内容の一例を示すものであり、別の公知の技術と組み合わせることも可能であるし、本発明の要旨を逸脱しない範囲で、構成の一部を省略、変更することも可能である。

１，１ａ，１ｂ，１ｃ，１ｄ 認証システム、１０，１０ａ，１０ｂ，１０ｃ，１０ｄ 認証装置、１１，１１ａ，１１ｂ，１１ｄ 認証部、１２，１２ｃ 管理端末接続部、１３ プロキシ処理部、１４ エージェント管理部、１５ データ保持部、１６ 認証データ、１７，１７ｄ 端末データ、１７−１，１７ｄ−１ 管理者登録端末データ、１７−２，１７ｄ−２ 自動登録端末データ、１８ 通知管理部、１９ 地図データ、２０ サーバ、３０ 管理端末、４０ 端末、４１，４１ｂ，４１ｃ エージェント、４２ 証明書、５０ ネットワーク、６０ 認証システム。

Claims (16)

1. サービスを提供するサーバと端末との間で前記端末の認証を行う認証装置であって、
   前記端末を前記サービスの利用に関連する動作が制限される状態にする設定を受け付ける設定受付部と、
   端末から信号を受信すると前記信号に含まれる端末識別情報に基づいて、前記信号の送信元の端末である送信元端末が前記サービスの利用に関連する動作が制限される状態に設定された端末である動作制限端末に該当するか否かを判定し、前記送信元端末が前記動作制限端末に該当する場合、前記信号の送信元の前記動作制限端末に対して前記サービスの利用に関連する動作の制限を指示する応答信号を送信し、前記送信元端末が前記動作制限端末に該当せず、かつ前記サービスの利用に関する認証処理が完了していない場合、前記送信元端末を対象とする前記認証処理を行う認証部と、
   を備えることを特徴とする認証装置。
2. 前記端末と前記サーバとの間の通信を中継するプロキシ処理部、
   を備え、
   前記認証部は、認証に成功した前記端末から前記サーバに向けた信号を受信した場合、受信した信号を前記プロキシ処理部に出力する、
   ことを特徴とする請求項１に記載の認証装置。
3. 前記認証処理が完了していない前記送信元端末が送信する前記認証処理を要求する信号は、前記送信元端末を使用するユーザの識別情報、パスワードおよび前記端末の物理アドレスを含み、
   前記認証部は、前記認証処理において、前記識別情報および前記パスワードを用いて第１の認証を行い、前記第１の認証に成功すると前記物理アドレスを用いて第２の認証を行う、
   ことを特徴とする請求項１または２に記載の認証装置。
4. 前記認証処理が完了していない前記送信元端末が送信する前記認証処理を要求する信号は、前記送信元端末を使用するユーザの識別情報、パスワードおよび前記端末の物理アドレスを含み、
   前記認証部は、前記認証処理において、前記識別情報および前記パスワードを認証システムに通知して第１の認証を依頼し、前記認証システムによる前記第１の認証に成功すると前記物理アドレスを用いて第２の認証を行う、
   ことを特徴とする請求項１または２に記載の認証装置。
5. 前記サービスの利用が可能な端末に関する情報を保持するデータ保持部、
   を備え、
   前記サービスを利用可能な端末であることを示す証明書を前記端末に対して予め発行しておき、
   前記認証部は、前記認証処理が完了していない前記送信元端末が前記認証処理を要求する信号が前記証明書を含んでおり、かつ前記送信元端末から前記認証処理を要求する信号を初めて受信した場合、受信した信号に含まれている前記送信元端末に関する情報を前記データ保持部で保持させる、
   ことを特徴とする請求項１から４のいずれか一つに記載の認証装置。
6. 前記サービスを利用可能な端末であることを示す証明書を前記端末に対して予め発行しておき、
   前記設定受付部は、前記端末を前記サービスの利用に関連する動作が制限される状態にする設定を前記端末経由で受け付ける、
   ことを特徴とする請求項１から５のいずれか一つに記載の認証装置。
7. 前記端末の情報を表示部に表示させる、
   ことを特徴とする請求項１から６のいずれか一つに記載の認証装置。
8. 前記設定受付部は、前記端末が前記サービスを利用可能な範囲である有効範囲を設定する操作を受け付け、
   前記認証部は、前記有効範囲外に存在する端末である有効範囲外端末から信号を受信すると、受信した信号の送信元の前記有効範囲外端末に対して前記サービスの利用に関連する動作の制限を指示する応答信号を送信し、前記動作制限端末および前記有効範囲外端末のいずれにも該当しない端末から認証処理を要求する信号を受信すると前記認証処理を行う、
   ことを特徴とする請求項１から７のいずれか一つに記載の認証装置。
9. 前記設定受付部は、前記認証部が前記動作制限端末に動作の制限を指示する場合の指示内容と、前記認証部が前記有効範囲外端末に動作の制限を指示する場合の指示内容とを受け付ける、
   ことを特徴とする請求項８に記載の認証装置。
10. 前記サービスの管理者により指定された前記端末の地図上の位置を表示部に表示させる、
    ことを特徴とする請求項８または９に記載の認証装置。
11. 前記端末は、前記サービスの利用に関連する動作の制限内容を表す複数の制限ポリシーの中のいずれか一つの制限ポリシーが設定されており、
    前記認証部は、前記端末に前記サービスの利用に関連する動作の制限を指示する場合、設定されている前記制限ポリシーに従った動作を行うよう指示する、
    ことを特徴とする請求項１から１０のいずれか一つに記載の認証装置。
12. 前記端末は、前記サービスの利用に関連する動作の制限内容を表す制限ポリシーが複数設定されており、
    前記認証部は、前記端末に前記サービスの利用に関連する動作の制限を指示する場合、複数の前記制限ポリシーの中のいずれか一つの制限ポリシーを指定して前記サービスの利用に関連する動作の制限を指示する、
    ことを特徴とする請求項１から１０のいずれか一つに記載の認証装置。
13. 前記複数の制限ポリシーには、前記端末が保持しているデータの消去動作を示す制限ポリシーが含まれる、
    ことを特徴とする請求項１１または１２に記載の認証装置。
14. サービスを提供するサーバと前記サービスの利用が可能な端末との間で前記端末の認証を行う認証装置であって、
    前記端末に前記サービスの利用を許可する有効範囲の設定を受け付ける設定受付部と、
    端末から信号を受信すると前記信号に含まれる端末識別情報および位置情報に基づいて、前記信号の送信元の端末である送信元端末が前記有効範囲外に存在する端末である有効範囲外端末に該当するか否かを判定し、前記送信元端末が前記有効範囲外端末に該当する場合、前記信号の送信元の前記有効範囲外端末に対して前記サービスの利用に関連する動作の制限を指示する応答信号を送信し、前記送信元端末が前記有効範囲外端末に該当せず、かつ前記サービスの利用に関する認証処理が完了していない場合、前記送信元端末を対象とする前記認証処理を行う認証部と、
    を備えることを特徴とする認証装置。
15. サービスを提供するサーバと端末との間に配置された認証装置が前記端末の認証を行う認証方法であって、
    前記端末を前記サービスの利用に関連する動作が制限される状態にする設定を受け付ける設定ステップと、
    端末から信号を受信すると前記信号に含まれる端末識別情報に基づいて、前記信号の送信元の端末である送信元端末が前記サービスの利用に関連する動作が制限される状態に設定された端末である動作制限端末に該当するか否かを判定する判定ステップと、
    前記送信元端末が前記動作制限端末に該当する場合に前記信号の送信元の前記動作制限端末に対して前記サービスの利用に関連する動作の制限を指示する応答信号を送信する送信ステップと、
    前記送信元端末が前記動作制限端末に該当せず、かつ前記サービスの利用に関する認証処理が完了していない場合に前記送信元端末を対象とする前記認証処理を行う認証ステップと、
    を含むことを特徴とする認証方法。
16. サーバにアクセスしてサービスの提供を受ける端末と、
    前記端末の認証を行う認証装置と、
    を備え、
    前記認証装置は、
    前記端末を前記サービスの利用に関連する動作が制限される状態にする設定を受け付ける設定受付部と、
    端末から信号を受信すると前記信号に含まれる端末識別情報に基づいて、前記信号の送信元の端末である送信元端末が前記サービスの利用に関連する動作が制限される状態に設定された端末である動作制限端末に該当するか否かを判定し、前記送信元端末が前記動作制限端末に該当する場合、前記信号の送信元の前記動作制限端末に対して前記サービスの利用に関連する動作の制限を指示する応答信号を送信し、前記送信元端末が前記動作制限端末に該当せず、かつ前記サービスの利用に関する認証処理が完了していない場合、前記送信元端末を対象とする前記認証処理を行う認証部と、
    を備え、
    前記端末は、前記認証装置から前記サービスの利用に関連する動作の制限を指示する信号を受信した場合、受信した信号が示す指示内容に従った動作を実行する、
    ことを特徴とする認証システム。

Images