JP7081095B2 - プログラムおよび情報処理装置 - Google Patents

Description

本発明は、プログラムおよび情報処理装置に関する。

第三者による情報の盗用および改竄を防ぐために、情報の伝達および保存の際に暗号化することが推奨されている。暗号鍵を用いて、情報の暗号化および復号を行う暗号化技術が使用されている。

装置の内部に記憶した乱数テーブルに基づいて暗号鍵を定める暗号処理装置が提案されている（特許文献１）。装置の内部に複数の暗号化アルゴリズムを記憶しておき、暗号化対象の元データと共に入力された符号データに基づいて暗号化アルゴリズムを選択する暗号処理装置が提案されている（特許文献２）。

特開２０１４－１６５５７０号公報 特開２０１５－４７４３号公報

橋や信号等のインフラ設備、自動車、家電機器、および医療機器等の多種多様なモノをネットワークに繋がるＩｏＴ（Internet of Things）機器にする、ＩｏＴ技術の開発および実用化が進められている。ネットワークに繋がることにより、スマートフォン等の汎用の情報機器を用いて、これらのＩｏＴ機器を遠隔操作できる。

第三者によるＩｏＴ機器の不正操作を防ぐために、ＩＤ（Identification）およびパスワードを用いた認証が使用される場合がある。一方、考えうる限りのＩＤおよびパスワードを試みる、いわゆる総当り攻撃を行うコンピュータウイルス等が作成されている。総当り攻撃を受けた場合には、第三者が認証に成功してしまう可能性がある。いったん成功した後では、第三者は認証に成功したＩＤおよびパスワードを使用して、ＩｏＴ機器を不正に操作することができる。

しかしながら、特許文献１および特許文献２に暗号処理装置は、総当り攻撃を用いる第三者による認証を防止するには適さない。

一つの側面では、第三者によるＩｏＴ機器等の不正操作を防止することが可能なプログラム等を提供することを目的とする。

プログラムは、第１情報および第２情報を受信し、第１プロセッサにより、受信した前記第１情報に基づいてサーバに認証要求を送信し、送信した前記認証要求に基づく認証が成功した旨の情報を前記サーバから受信した場合、第２プロセッサにより、前記認証要求に基づく認証が成功した旨の情報を前記サーバから受信した後に、受信した前記第２情報に基づいて認証を行ない、前記認証要求に基づく認証が成功しない場合、前記第２プロセッサによる認証を経ることなく前記第１プロセッサにより、接続を許可しない情報を出力する処理をコンピュータに実行させる。

一つの側面では、第三者による不正操作を防止することが可能なプログラム等を提供することができる。

情報処理システムの処理の概要を説明する説明図である。 情報処理システムの構成を説明する説明図である。 第２情報処理装置の構成を説明する説明図である。 第１情報ＤＢのレコードレイアウトを説明する説明図である。 プログラムの処理の流れを説明するフローチャートである。 接続処理のサブルーチンの処理の流れを説明するフローチャートである。 第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。 第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。 実施の形態２の第１情報ＤＢのレコードレイアウトを説明する説明図である。 実施の形態２の第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。 実施の形態３のサーバＣＰＵが実行するプログラムの処理の流れを説明するフローチャートである。 実施の形態４の第１情報ＤＢのレコードレイアウトを説明する説明図である。 実施の形態４の第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。 実施の形態５の第１情報ＤＢのレコードレイアウトを説明する説明図である。 実施の形態５の第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。 実施の形態５の第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。 実施の形態６の情報処理システムのブロック図である。 実施の形態７の情報処理システムの構成を説明する説明図である。

［実施の形態１］
図１は、情報処理システム４０の処理の概要を説明する説明図である。情報処理システム４０は、ネットワークを介して接続された第１情報処理装置１０と、第２情報処理装置２０と、サーバ３０と、制御対象機器５１とを含む。第１情報処理装置１０は、たとえば汎用のパソコン、スマートフォン、タブレット等の情報機器である。第１情報処理装置１０は、制御対象機器５１の遠隔制御用の専用リモートコントローラであっても良い。

第２情報処理装置２０は、制御対象機器５１に取り付けられた遠隔制御装置である。第２情報処理装置２０は、ネットワークを介して取得したコマンドに基づいて、制御対象機器５１を制御する。第２情報処理装置２０は、制御対象機器５１の状態を取得して、送信しても良い。第２情報処理装置２０と組み合わせられることにより、制御対象機器５１はネットワークに接続されたＩｏＴ機器になる。

制御対象機器５１は、家庭用のエアコンである。制御対象機器５１は、橋や信号等のインフラ設備、自動車、家電機器、および医療機器等であっても良い。第２情報処理装置２０と、制御対象機器５１とは有線または無線により接続されている。第２情報処理装置２０は、制御対象機器５１に内蔵されていてもよい。

サーバ３０は、汎用のパソコンまたは大型計算機等の情報機器である。第１情報処理装置１０、第２情報処理装置２０およびサーバ３０の構成の詳細については、後述する。

図１において、矢印は信号の流れを示す。丸で囲んだ数字は、処理の順番を示す。なお、ネットワークを構成するハブ、ルータ、および、公衆通信回線等は図示を省略する。第１情報処理装置１０、第２情報処理装置２０およびサーバ３０間の通信は、暗号化して行われる。通信の暗号化は、様々な手法が実用化されているので説明を省略する。通信にＶＰＮ（Virtual Private Network）を使用することにより盗聴自体を困難にすることが、さらに望ましい。

第１情報処理装置１０は、サーバ３０に対して第１情報を要求する信号を送信する。第１情報は、第１情報処理装置１０と第２情報処理装置２０の間の認証に使用する文字列または符号等の情報である。サーバ３０は、毎回異なる第１情報を発行して、第１情報処理装置１０に送信する。

第１情報処理装置１０は、第２情報処理装置２０に対してサーバ３０から受信した第１情報と、第２情報とを送信する。ここで、第２情報は所定のＩＤおよびパスワードである。ＩＤおよびパスワードは、ユーザが都度入力しても、両方または一方が第１情報処理装置１０に記憶されていても良い。第２情報処理装置２０は、サーバ３０に対して受信した第１情報を送信して、認証を要求する。

サーバ３０は、第２情報処理装置２０から受信した第１情報を、第１情報処理装置１０に対して発行した第１情報と照合する。両者が一致する場合に、サーバ３０は受信した第１情報が正当であると認証する。サーバ３０は、第１情報の認証結果を第２情報処理装置２０に通知する。

第１情報が正当である旨の回答をサーバ３０から受信した場合、第２情報処理装置２０は受信した第２情報の認証を行う。認証に成功した場合、第２情報処理装置２０は第１情報処理装置１０に接続の許可を通知する。以後、第２情報処理装置２０は第１情報処理装置１０からの制御コマンド等を受け付ける。受け付けた制御コマンドに基づいて、第２情報処理装置２０は、たとえば冷暖房のスイッチＯＮまたはＯＦＦ、室内温度の設定等の、制御対象機器５１の制御を行う。

本実施の形態によると、第２情報処理装置２０は第１情報の認証に成功した後に、第２情報であるＩＤおよびパスワードの認証を行う。したがって、第三者による総当り攻撃を受けた場合であっても、第１情報の認証に成功するまでは第２情報処理装置２０は受信した第２情報を無視する。したがって、総当り攻撃を用いる第三者が第２情報処理装置２０を不正操作することは、困難である。

所定の回数連続してＩＤおよびパスワードの認証に失敗した場合に、パスワードロック等により認証の受け付けを停止する、不正アクセス防止対策が採用される場合がある。認証の受け付けを停止することにより、第三者による遠隔操作を防ぐことができる。

しかしながら、第２情報処理装置２０がユーザがアクセスしにくい場所に設置されている場合には、認証の受け付けを停止した後に、再度正常に稼動させる処理を行うことが難しい。本実施の形態によると、第１情報の認証が成功した後に、第２情報の認証を開始するので、総当り攻撃によるパスワードロック等の発生を防ぐことができる。

以上により、第三者による制御対象機器５１の不正操作を防止することが可能な情報処理システム４０を提供できる。

図２は、情報処理システム４０の構成を説明する説明図である。前述のとおり、情報処理システム４０は、ネットワークを介して接続された第１情報処理装置１０と、第２情報処理装置２０と、サーバ３０と、制御対象機器５１とを含む。

第１情報処理装置１０と第２情報処理装置２０とサーバ３０とは、インターネット、公衆通信回線またはＬＡＮ（Local Area Network）等のネットワークを介して接続されている。第１情報処理装置１０および第２情報処理装置２０は、それぞれ複数がネットワークに接続されていても良い。

第１情報処理装置１０は、リモコンＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、通信部１４、入力部１５、表示部１６およびバスを備える。本実施の形態の第１情報処理装置１０は汎用のパーソナルコンピュータ、スマートフォン、タブレット、またはサーバマシン等の情報処理装置である。また、本実施の形態の第１情報処理装置１０は、大型計算機上で動作する仮想マシンでも良い。

リモコンＣＰＵ１１は、本実施の形態にかかるプログラムを実行する演算制御装置である。リモコンＣＰＵ１１には、一または複数のＣＰＵまたはマルチコアＣＰＵ等が使用される。リモコンＣＰＵ１１は、バスを介して第１情報処理装置１０を構成するハードウェア各部と接続されている。

主記憶装置１２は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、フラッシュメモリ等の記憶装置である。主記憶装置１２には、リモコンＣＰＵ１１が行う処理の途中で必要な情報およびリモコンＣＰＵ１１で実行中のプログラムが一時的に保存される。

補助記憶装置１３は、ＳＲＡＭ、フラッシュメモリ、ハードディスクまたは磁気テープ等の記憶装置である。補助記憶装置１３には、リモコンＣＰＵ１１に実行させるプログラム、および、プログラムの実行に必要な各種情報が保存される。

通信部１４は、ネットワークとの通信を行うインターフェイスである。入力部１５は、たとえばキーボードおよびマウス等である。表示部１６は、たとえば液晶表示パネル等である。

サーバ３０は、サーバＣＰＵ３１、主記憶装置３２、補助記憶装置３３、通信部３４、時計３７およびバスを備える。本実施の形態のサーバ３０は汎用のパーソナルコンピュータまたはサーバマシン等の情報処理装置である。また、本実施の形態のサーバ３０は、大型計算機上で動作する仮想マシンでも良い。

サーバＣＰＵ３１は、本実施の形態にかかるプログラムを実行する演算制御装置である。サーバＣＰＵ３１には、一または複数のＣＰＵまたはマルチコアＣＰＵ等が使用される。サーバＣＰＵ３１は、バスを介してサーバ３０を構成するハードウェア各部と接続されている。

主記憶装置３２は、ＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等の記憶装置である。主記憶装置３２には、サーバＣＰＵ３１が行う処理の途中で必要な情報およびサーバＣＰＵ３１で実行中のプログラムが一時的に保存される。

補助記憶装置３３は、ＳＲＡＭ、フラッシュメモリ、ハードディスクまたは磁気テープ等の記憶装置である。補助記憶装置３３には、リモコンＣＰＵ１１に実行させるプログラム、第１情報ＤＢ（Database）４１、および、プログラムの実行に必要な各種情報が保存される。

通信部３４は、ネットワークとの通信を行うインターフェイスである。時計３７は、図示しないＮＴＰ（Network Time Protocol）サーバに適宜同期して、時刻を修正することが望ましい。

図３は、第２情報処理装置２０の構成を説明する説明図である。第２情報処理装置２０は、第２プロセッサ２１、主記憶装置２２、補助記憶装置２３、通信部２４、制御Ｉ／Ｆ（Interface）部２７およびバスを備える。本実施の形態の第２情報処理装置２０は、制御対象機器５１に取り付けられている。第２情報処理装置２０が制御対象機器５１に内蔵されている場合には、第２情報処理装置２０は制御対象機器５１全体の制御装置を兼ねても良い。

第２情報処理装置２０は、商用電源に接続されていても良いし、必要な期間稼動可能な容量の電池を搭載していても良い。第２情報処理装置２０は、太陽光発電器等の発電部を有しても良い。

第２プロセッサ２１は、本実施の形態にかかるプログラムを実行する演算制御装置である。第２プロセッサ２１には、一または複数のＣＰＵまたはマルチコアＣＰＵ等が使用される。第２プロセッサ２１は、バスを介して第２情報処理装置２０を構成するハードウェア各部と接続されている。

主記憶装置２２は、ＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等の記憶装置である。主記憶装置２２には、第２プロセッサ２１が行う処理の途中で必要な情報および第２プロセッサ２１で実行中のプログラムが一時的に保存される。

補助記憶装置２３は、ＳＲＡＭ、フラッシュメモリ、ハードディスクまたは磁気テープ等の記憶装置である。補助記憶装置２３には、第２プロセッサ２１に実行させるプログラムおよびプログラムの実行に必要な各種情報が保存される。

通信部２４は、第１プロセッサ２８および通信Ｉ／Ｆ部２９を備える。通信Ｉ／Ｆ部２９は、ネットワークとの通信を行うインターフェイスである。第１プロセッサ２８は、通信Ｉ／Ｆ部２９を制御するＣＰＵである。

なお、第２プロセッサ２１が第１プロセッサ２８を兼ねても良い。第２プロセッサ２１が第１プロセッサ２８を兼ねる場合、第２プロセッサ２１のハードウェアの一部分を第１プロセッサ２８の動作専用に割り当てても良いし、第２プロセッサ２１の処理時間の一部を第１プロセッサ２８の動作に割り当てても良い。

第１プロセッサ２８および第２プロセッサ２１のいずれか一方または両方が、所定の処理を実行するハードウェアにより構成された、いわゆるワイヤードロジック回路により実現されても良い。第２情報処理装置２０の小型化および省電力化に有利である。

制御Ｉ／Ｆ部２７は、第２情報処理装置２０と制御対象機器５１とを接続するインターフェイスである。第２プロセッサ２１は、制御Ｉ／Ｆ部２７を介して制御対象機器５１内のアクチュエータおよびセンサ等のデバイスを制御する。第２プロセッサ２１は、制御Ｉ／Ｆ部２７を介して制御対象機器５１のＣＰＵに制御信号を送信しても良い。

制御Ｉ／Ｆ部２７と制御対象機器５１とは、有線または無線で接続される。制御Ｉ／Ｆ部２７と制御対象機器５１とは、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信、赤外線通信、または可視光通信等により接続されても良い。

図４は、第１情報ＤＢ４１のレコードレイアウトを説明する説明図である。第１情報ＤＢ４１は、サーバ３０が発行した第１情報を記録するＤＢである。第１情報ＤＢ４１は、第１情報フィールドを有する。第１情報フィールドには、第１情報が記録されている。

本実施の形態においては、第１情報は発行日時を示す文字列の後ろに、接続先の第２情報処理装置２０に固有に割り当てられた第２情報処理装置ＩＤを連結した文字列である。なお、第１情報はこの形式に限定しない。たとえば、発行日時の代わりに、サーバ３０のシステム時刻の下３桁から４桁程度の数値を使用しても良い。その他、時間の経過と共に変化する任意の文字列を、発行日時を示す文字列の代わりに使用できる。発行日時を示す文字列の前に、第２情報処理装置ＩＤを接続しても良い。

図５は、プログラムの処理の流れを説明するフローチャートである。リモコンＣＰＵ１１は、接続先の第２情報処理装置２０の第２情報処理装置ＩＤを取得する（ステップＳ５０１）。リモコンＣＰＵ１１は、たとえば入力部１５を介してユーザにより入力された接続先を取得しても良い。リモコンＣＰＵ１１は、あらかじめ補助記憶装置１３に記憶された一連の命令コードに基づいて接続先の第２情報処理装置ＩＤを取得しても良い。

リモコンＣＰＵ１１は、第２情報を取得する（ステップＳ５０２）。第２情報は、ステップＳ５０１で取得した接続先に接続する際に使用する情報であり、たとえばＩＤおよびパスワードである。リモコンＣＰＵ１１は、たとえば入力部１５を介してユーザにより入力された第２情報を取得しても良い。リモコンＣＰＵ１１は、あらかじめ補助記憶装置１３に記憶された第２情報を取得しても良い。

リモコンＣＰＵ１１は、接続処理のサブルーチンを起動する（ステップＳ５０３）。接続処理のサブルーチンは、リモコンＣＰＵ１１と第２プロセッサ２１とを、通信により接続するサブルーチンである。接続処理のサブルーチンの処理の流れは後述する。

リモコンＣＰＵ１１は、接続処理のサブルーチンによる接続処理が成功したか否かを判定する（ステップＳ５０４）。成功したと判定した場合（ステップＳ５０４でＹＥＳ）、リモコンＣＰＵ１１は第２プロセッサ２１との通信を行ない、第２情報処理装置２０を操作するアプリケーションソフトウェア等のプログラムを実行する（ステップＳ５０５）。

ステップＳ５０５で実行するアプリケーションソフトウェアの動作により、リモコンＣＰＵ１１は、第２プロセッサ２１を介して制御対象機器５１の制御を行う。

なお、ステップＳ５０５で実行するアプリケーションソフトウェアの機能は、制御対象機器５１の制御に限定しない。たとえば、ネットワークとの通信、データ処理、その他任意の機能を有するアプリケーションソフトウェアであっても良い。

成功していないと判定した場合（ステップＳ５０４でＮＯ）、リモコンＣＰＵ１１は、エラーメッセージを出力する（ステップＳ５０６）。エラーメッセージは、表示部１６に表示しても良いし、あらかじめ指定された宛先に電子メールまたはＳＭＳ（short message service）により送信しても良い。宛先は、たとえば情報処理システム４０の管理者である。ステップＳ５０５またはステップＳ５０６の終了後、リモコンＣＰＵ１１は処理を終了する。

図６は、接続処理のサブルーチンの処理の流れを説明するフローチャートである。接続処理のサブルーチンは、リモコンＣＰＵ１１と第２プロセッサ２１とを、通信により接続するサブルーチンである。

リモコンＣＰＵ１１は、サーバＣＰＵ３１に対して接続先の第２情報処理装置ＩＤを送信して、第１情報を要求するコマンドを送信する（ステップＳ５１１）。サーバＣＰＵ３１は、コマンドを受信する（ステップＳ６０１）。サーバＣＰＵ３１は、第１情報作成のサブルーチンを起動する（ステップＳ６０２）。第１情報作成のサブルーチンは、第１情報を作成し、第１情報ＤＢ４１に記録するサブルーチンである。第１情報作成のサブルーチンの処理の流れは後述する。

サーバＣＰＵ３１は、リモコンＣＰＵ１１に対して、作成した第１情報を送信する（ステップＳ６０３）。リモコンＣＰＵ１１は、第１情報を受信する（ステップＳ５１３）。リモコンＣＰＵ１１は、第２プロセッサ２１に対して、接続を要求するコマンドを送信する（ステップＳ５１４）。接続を要求するコマンドには、第１情報および第２情報が含まれる。

第１プロセッサ２８は、接続を要求するコマンドを受信する（ステップＳ７０１）。第１プロセッサ２８は、第１情報認証のサブルーチンを起動する（ステップＳ７０２）。第１情報認証のサブルーチンは、受信した第１情報と、第１情報ＤＢ４１に記録された第１情報とが一致するか否かを判定することにより、第１情報の認証を行うサブルーチンである。第１情報認証のサブルーチンの処理の流れは後述する。

第１プロセッサ２８は、第１情報の認証に成功したか否かを判定する（ステップＳ７０３）。成功したと判定した場合（ステップＳ７０３でＹＥＳ）、第１プロセッサ２８は、第２プロセッサ２１を呼び出して、ステップＳ７０１で受信した第２情報を引き渡す（ステップＳ７０４）。

第２プロセッサ２１は、第２情報の認証を行う（ステップＳ７０５）。第２情報の認証は、たとえば従来から行われているＩＤおよびパスワードを用いた認証であるので、詳細については説明を省略する。

第２プロセッサ２１は、第２情報の認証に成功したか否かを判定する（ステップＳ７０６）。成功したと判定した場合（ステップＳ７０６でＹＥＳ）、第２プロセッサ２１は第１プロセッサ２８を介してリモコンＣＰＵ１１に対して接続許可を送信する（ステップＳ７０７）。リモコンＣＰＵ１１は、接続許可を受信する（ステップＳ５１６）。以上により、リモコンＣＰＵ１１と第２プロセッサ２１との間の接続処理が成功する。その後、リモコンＣＰＵ１１は処理を終了する。

第１情報の認証に成功していない判定した場合（ステップＳ７０３でＮＯ）、または第２情報の認証に成功していないと判定した場合（ステップＳ７０６でＮＯ）、第１プロセッサ２８は接続を許可しない旨の情報をリモコンＣＰＵ１１に送信する（ステップＳ７０９）。

ステップＳ７０９の後、第１プロセッサ２８は、あらかじめ指定された宛先に電子メールまたはＳＭＳに接続を許可しなかった旨を送信しても良い。

リモコンＣＰＵ１１は、接続を許可しない旨の情報を受信する（ステップＳ５１８）。その後、リモコンＣＰＵ１１は処理を終了する。

ステップＳ５１８の後、リモコンＣＰＵ１１は、表示部１６に接続が許可されなかった旨を表示しても良い。ステップＳ５１８の後、リモコンＣＰＵ１１は、あらかじめ指定された宛先に電子メールまたはＳＭＳに接続が許可されなかった旨を送信しても良い。

第１プロセッサ２８は、ステップＳ７０９を実行しなくても良い。この場合、第１プロセッサ２８は応答を送信しないことにより、接続を許可しない旨をリモコンＣＰＵ１１に対して伝達する。リモコンＣＰＵ１１はステップＳ５１４で接続要求を送信した後、所定の時間第２プロセッサ２１からの応答を受信しない場合に、接続を許可しない旨の情報を受信したと判定して、処理を終了する。

図７は、第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。第１情報作成のサブルーチンは、第１情報を作成し、第１情報ＤＢ４１に記録するサブルーチンである。

サーバＣＰＵ３１は、時計３７から現在時刻を取得する（ステップＳ６１１）。サーバＣＰＵ３１は、リモコンＣＰＵ１１から受信したコマンドから、接続先の第２情報処理装置２０の第２情報処理装置ＩＤを抽出する（ステップＳ６１２）。サーバＣＰＵ３１は、ステップＳ６１１で取得した現在時刻を示す文字列と、ステップＳ６１２で取得した第２情報処理装置ＩＤとを連結して、第１情報を作成する（ステップＳ６１３）。

サーバＣＰＵ３１は、第１情報ＤＢ４１に新しいレコードを作成して、ステップＳ６１３で作成した第１情報を記録する（ステップＳ６１４）。その後、サーバＣＰＵ３１は処理を終了する。

図８は、第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。第１情報認証のサブルーチンは、受信した第１情報と、第１情報ＤＢ４１に記録された第１情報とが一致するか否かを判定することにより、第１情報の認証を行うサブルーチンである。

第１プロセッサ２８は、リモコンＣＰＵ１１から受信したコマンドに含まれる第１情報をサーバＣＰＵ３１に送信する（ステップＳ７１１）。サーバＣＰＵ３１は、第１情報を受信する（ステップＳ６２１）。サーバＣＰＵ３１は、受信した第１情報をキーとして第１情報ＤＢ４１を検索して、第１情報ＤＢ４１中に受信した第１情報と同一の第１情報が記録されたレコードがあるか否かを判定する（ステップＳ６２２）。

同一の第１情報が記録されたレコードがあると判定した場合（ステップＳ６２２でＹＥＳ）、サーバＣＰＵ３１は、認証結果は「成功」であると記録する（ステップＳ６２３）。サーバＣＰＵ３１は、ステップＳ６２２で抽出したレコードを削除する（ステップＳ６２４）。

同一の第１情報が記録されたレコードがないと判定した場合（ステップＳ６２２でＮＯ）、サーバＣＰＵ３１は、認証結果は「失敗」であると記録する（ステップＳ６２５）。

ステップＳ６２４またはステップＳ６２５の終了後、サーバＣＰＵ３１は第１プロセッサ２８に対して認証結果を送信する（ステップＳ６２６）。第１プロセッサ２８は、認証結果を受信する（ステップＳ７１３）。その後、第１プロセッサ２８は処理を終了する。

本実施の形態によると、第三者による総当り攻撃を受けた場合であっても、第１情報の認証に成功するまでは第２情報処理装置２０は受信した第２情報を無視する。したがって、第三者による不正操作を防止することが可能な情報処理装置等を提供することができる。

本実施の形態によると、第１情報の認証が成功した後に、第２情報の認証を開始するので、総当り攻撃によるパスワードロック等の発生を防ぐことができる。本実施の形態によると、ＩＤおよびパスワード等の第２情報の認証を行なって動作する従来の制御アプリケーションソフト等を変更せずに、情報処理システム４０のセキュリティを高めることができる。

サーバＣＰＵ３１は、ステップＳ６２４で第１情報ＤＢ４１に記録されたレコードを削除するので、第１情報の使用は１回限りに制限される。そのため、先に第１情報を使用していれば、盗聴等により盗まれた第１情報が不正に使用されることを防止できる。また、盗まれた第１情報が先に使用されてしまった場合には、第１情報の認証が行われないため、第１情報処理装置１０のユーザは異常に気付くことができる。

現在時刻を用いて第１情報を作成することにより、サーバＣＰＵ３１は毎回異なる第１情報を作成できる。そのため、第三者が第１情報を推定して不正アクセスを行うことを防止できる。

第１情報の認証を行う第１プロセッサ２８と、第２情報の認証を行う第２プロセッサ２１とを、ハードウェア的に分離することにより、コンピュータウイルス等を用いた不正アクセスを困難にすることができる。

第１情報処理装置１０と第２情報処理装置２０との間の接続が成功しない場合に、電子メールまたはＳＭＳ等により情報を発信することにより、情報処理システム４０の管理者は第三者による不正操作が試みられた可能性があることを知ることができる。情報を受けた管理者が警戒して、早期に対策を行うことにより、第３者による不正アクセスの成功を防止できる。

［実施の形態２］
本実施の形態は、第１情報に有効期限を設定する情報処理システム４０に関する。実施の形態１と共通する部分については、説明を省略する。

図９は、実施の形態２の第１情報ＤＢ４１のレコードレイアウトを説明する説明図である。本実施の形態の第１情報ＤＢ４１は、第１情報と有効期限とを関連づけて記録するＤＢである。第１情報ＤＢ４１は、第１情報フィールドおよび有効期限フィールドを有する。

第１情報フィールドには、第１情報が記録されている。有効期限フィールドには、第１情報の有効期限が記録されている。有効期限は、第１情報の発行から所定時間経過後の時間である。所定時間は、通信先の第２情報処理装置ＩＤによって異なるように設定されていても良い。

図１０は、実施の形態２の第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。図１０に示すサブルーチンは、図８を使用して説明したサブルーチンの代わりに使用するサブルーチンである。

第２プロセッサ２１は、リモコンＣＰＵ１１から受信した第１情報をサーバＣＰＵ３１に送信する（ステップＳ７２１）。サーバＣＰＵ３１は、第１情報を受信する（ステップＳ６３１）。サーバＣＰＵ３１は、受信した第１情報をキーとして第１情報ＤＢ４１を検索して、第１情報ＤＢ４１中に受信した第１情報と同一の第１情報が記録されたレコードがあるか否かを判定する（ステップＳ６３２）。

同一の第１情報が記録されたレコードがあると判定した場合（ステップＳ６３２でＹＥＳ）、サーバＣＰＵ３１は時計３７から現在時刻を取得する（ステップＳ６３３）。サーバＣＰＵ３１は、ステップＳ６３２で抽出したレコードの有効期限フィールドに記録された有効期限とステップＳ６３３で取得した現在時刻とを比較して、第１情報が有効期限内であるか否かを判定する（ステップＳ６３４）。

有効期限内であると判定した場合（ステップＳ６３４でＹＥＳ）、サーバＣＰＵ３１は、認証結果は「成功」であると記録する（ステップＳ６３５）。サーバＣＰＵ３１は、ステップＳ６３２で抽出したレコードを削除する（ステップＳ６３６）。

有効期限外であると判定した場合（ステップＳ６３４でＮＯ）、サーバＣＰＵ３１は、ステップＳ６３２で抽出したレコードを削除する（ステップＳ６４１）。ステップＳ６４１の終了後、または、同一の第１情報が記録されたレコードがないと判定した場合（ステップＳ６３２でＮＯ）、サーバＣＰＵ３１は、認証結果は「失敗」であると記録する（ステップＳ６４２）。

ステップＳ６３６またはステップＳ６４２の終了後、サーバＣＰＵ３１は第２プロセッサ２１に対して、認証結果を送信する（ステップＳ６４５）。

本実施の形態によると、サーバＣＰＵ３１が発行した後、使用されずに放置された第１情報が、第三者により不正に使用されるセキュリティリスクを低減する情報処理システム４０を提供できる。

［実施の形態３］
本実施の形態は、使用されていない第１情報を第１情報ＤＢ４１から削除する情報処理システム４０に関する。実施の形態２と共通する部分については、説明を省略する。

図１１は、実施の形態３のサーバＣＰＵ３１が実行するプログラムの処理の流れを説明するフローチャートである。図１１に示すプログラムは、サーバＣＰＵ３１が負荷の低い時間等に適宜実行するプログラムである。

サーバＣＰＵ３１は、第１情報ＤＢ４１から１個のレコードを取得する（ステップＳ６５１）。サーバＣＰＵ３１は時計３７から現在時刻を取得する（ステップＳ６５２）。サーバＣＰＵ３１は、ステップＳ６５１で抽出したレコードの有効期限フィールドに記録された有効期限とステップＳ６５２で取得した現在時刻とを比較して、第１情報の有効期限が切れているか否かを判定する（ステップＳ６５３）。

有効期限が切れていると判定した場合（ステップＳ６５３でＹＥＳ）、サーバＣＰＵ３１は、ステップＳ６５１で取得したレコードを第１情報ＤＢ４１から削除する（ステップＳ６５４）。ステップＳ６５４の終了後、または、有効期限が切れていないと判定した場合（ステップＳ６５３でＮＯ）、サーバＣＰＵ３１は、処理を終了するか否かを判定する（ステップＳ６５５）。

たとえば、サーバＣＰＵ３１の負荷が高くなった場合、所定時間内に第１情報ＤＢ４１に記録されたすべてのレコードの処理を終了した場合、または、ユーザによる終了の処理を受け付けた場合等に、サーバＣＰＵ３１は処理を終了すると判定する。

処理を終了しないと判定した場合（ステップＳ６５５でＮＯ）、サーバＣＰＵ３１はステップＳ６５１に戻る。処理を終了すると判定した場合（ステップＳ６５５でＹＥＳ）、サーバＣＰＵ３１は処理を終了する。

本実施の形態によると、たとえば多くの第１情報処理装置１０および第２情報処理装置２０がネットワークに接続された情報処理システム４０において、有効期限が切れた第１情報により第１情報ＤＢ４１の容量が大きくなることを防ぐことができる。そのため、第１情報の認証を速やかに行える情報処理システム４０を提供できる。

なお、図１１を使用して説明したプログラムを頻繁に実行する場合には、有効期限が切れた第１情報が第１情報ＤＢ４１に含まれる可能性が低いので、図８を使用して説明したサブルーチンを使用して第１情報の認証を行っても良い。

［実施の形態４］
本実施の形態は、乱数を使用して第１情報を作成する情報処理システム４０に関する。実施の形態１と共通する部分については、説明を省略する。

図１２は、実施の形態４の第１情報ＤＢ４１のレコードレイアウトを説明する説明図である。第１情報ＤＢ４１は、サーバ３０が発行した第１情報を記録するＤＢである。第１情報ＤＢ４１は、第１情報フィールドを有する。第１情報フィールドには、第１情報が記録されている。

本実施の形態においては、第１情報は４桁の１６進数で示す乱数の後ろに、接続先の第２情報処理装置２０に固有に割り当てられた第２情報処理装置ＩＤを連結した文字列である。なお、第１情報はこの形式に限定しない。乱数の桁数は任意である。乱数の前に、第２情報処理装置ＩＤを接続しても良い。

乱数は、ランダムな物理現象を元に乱数を生成するハードウェア乱数生成器で生成することが望ましい。第三者による推測が困難な擬似乱数を、乱数に使用しても良い。

図１３は、実施の形態４の第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。サーバＣＰＵ３１は、所定の桁数の乱数を取得する（ステップＳ６６１）。サーバＣＰＵ３１は、リモコンＣＰＵ１１から受信したコマンドから、接続先の第２情報処理装置２０の第２情報処理装置ＩＤを抽出する（ステップＳ６６２）。サーバＣＰＵ３１は、ステップＳ６１１で取得した現在時刻を示す文字列と、ステップＳ６１２で取得した第２情報処理装置ＩＤとを連結して、第１情報を作成する（ステップＳ６６３）。

サーバＣＰＵ３１は、第１情報ＤＢ４１に新しいレコードを作成して、ステップＳ６６３で作成した第１情報を記録する（ステップＳ６６４）。その後、サーバＣＰＵ３１は処理を終了する。

本実施の形態によると、第三者が第１情報を推定することが困難な情報処理システム４０を提供できる。

［実施の形態５］
本実施の形態は、第１情報ＤＢ４１に第１情報を要求した第１情報処理装置１０に固有に付与された第１情報装置ＩＤも記録する情報処理システム４０に関する。実施の形態１と共通する部分については、説明を省略する。

図１４は、実施の形態５の第１情報ＤＢ４１のレコードレイアウトを説明する説明図である。本実施の形態の第１情報ＤＢ４１は、第１情報と、その第１情報の送信先である第１情報処理装置１０の第１情報処理装置ＩＤとを関連づけて記録するＤＢである。第１情報ＤＢ４１は、第１情報フィールドおよび第１情報処理装置ＩＤフィールドを有する。

図１５は、実施の形態５の第１情報作成のサブルーチンの処理の流れを説明するフローチャートである。図１５に示すサブルーチンは、図７を使用して説明したサブルーチンの代わりに使用するサブルーチンである。なお、本実施の形態においては、図６を使用して説明したステップＳ６０１においてサーバＣＰＵ３１が受信するコマンドは、接続先である第２情報処理装置２０の第２情報処理装置ＩＤ、および、第１情報を要求している第１情報処理装置１０の第１情報処理装置ＩＤを含む。

なお、本実施の形態においては、たとえばＩＰ（Internet Protocol）アドレスまたはＭＡＣ（Media Access Control）アドレス等の、通信を行うために必要なヘッダに含まれる情報を第１情報処理装置ＩＤに使用することが望ましい。コマンドは第１情報処理装置ＩＤを含まず、受信側がヘッダから第１情報処理装置ＩＤを抽出することが、さらに望ましい。

サーバＣＰＵ３１は、時計３７から現在時刻を取得する（ステップＳ６７１）。サーバＣＰＵ３１は、リモコンＣＰＵ１１から受信したコマンドに含まれる、第２情報処理装置ＩＤを抽出する（ステップＳ６７２）。サーバＣＰＵ３１は、ステップＳ６７１で取得した現在時刻を示す文字列と、ステップＳ６１２で取得した第２情報処理装置ＩＤとを連結して、第１情報を作成する（ステップＳ６７３）。

サーバＣＰＵ３１は、リモコンＣＰＵ１１から受信したコマンドに含まれる、第１情報処理装置ＩＤを抽出する（ステップＳ６７４）。サーバＣＰＵ３１は、第１情報ＤＢ４１に新しいレコードを作成して、ステップＳ６７３で作成した第１情報およびステップＳ６７４で抽出した第１情報ＩＤをそれぞれのフィールドに記録する（ステップＳ６７５）。その後、サーバＣＰＵ３１は処理を終了する。

図１６は、実施の形態５の第１情報認証のサブルーチンの処理の流れを説明するフローチャートである。図１６に示すサブルーチンは、図８を使用して説明したサブルーチンの代わりに使用するサブルーチンである。なお、本実施の形態においては、図６を使用して説明したステップＳ７０１においてサーバＣＰＵ３１が受信するコマンドは、第１情報、第２情報および接続を要求している第１情報処理装置１０の第１情報処理装置ＩＤを含む。

第２プロセッサ２１は、リモコンＣＰＵ１１から受信したコマンドに含まれる第１情報をサーバＣＰＵ３１に送信する（ステップＳ７２１）。サーバＣＰＵ３１は、第１情報を受信する（ステップＳ６８１）。サーバＣＰＵ３１は、受信した第１情報をキーとして第１情報ＤＢ４１を検索して、第１情報ＤＢ４１中に受信した第１情報と同一の第１情報が記録されたレコードがあるか否かを判定する（ステップＳ６８２）。

同一の第１情報が記録されたレコードがあると判定した場合（ステップＳ６８２でＹＥＳ）、サーバＣＰＵ３１は、ステップＳ６８２で抽出したレコードの第１情報処理装置ＩＤフィールドに記録された第１情報処理装置ＩＤと、リモコンＣＰＵ１１から受信したコマンドに含まれる第１情報処理装置ＩＤとが一致するか否かを判定する（ステップＳ６８３）。

一致すると判定した場合（ステップＳ６８３でＹＥＳ）、サーバＣＰＵ３１は、認証結果は「成功」であると記録する（ステップＳ６８４）。サーバＣＰＵ３１は、ステップＳ６８２で抽出したレコードを削除する（ステップＳ６８５）。

一致しないと判定した場合（ステップＳ６８３でＮＯ）、サーバＣＰＵ３１は、ステップＳ６８２で抽出したレコードを削除する（ステップＳ６８６）。ステップＳ６８６の終了後、または、同一の第１情報が記録されたレコードがないと判定した場合（ステップＳ６８２でＮＯ）、サーバＣＰＵ３１は、認証結果は「失敗」であると記録する（ステップＳ６８７）。

ステップＳ６８５またはステップＳ６８７の終了後、サーバＣＰＵ３１は第２プロセッサ２１に対して認証結果を送信する（ステップＳ６８９）。第２プロセッサ２１は、認証結果を受信する（ステップＳ７２３）。その後、第２プロセッサ２１は処理を終了する。

本実施の形態によると、第１情報を取得した第１情報処理装置１０と異なる情報処理装置が、第１情報処理装置１０になりすますことを防止することができる。ＩＰアドレスまたはＭＡＣアドレス等の、通信を行うために必要なヘッダに含まれる情報を第１情報処理装置ＩＤに使用することにより、さらに確実になりすましを防止することが可能である。

［実施の形態６］
図１７は、実施の形態６の情報処理システム４０の機能ブロック図である。情報処理システム４０は、ネットワークを介して接続された第１情報処理装置１０と、第２情報処理装置２０と、サーバ３０とを備える。

第１情報処理装置１０は、第１受信部７１と、第１送信部７２とを備える。第２情報処理装置２０は、第２受信部７５と、第２送信部７６と、第４受信部７７と、認証部７８と、受付部７９とを備える。サーバ３０は、記録部８１と、第３受信部８２と、判定部８３と、第３送信部８４とを備える。

第１受信部７１は、サーバ３０から第１情報を受信する。第１送信部７２は、第１受信部７１が受信した第１情報と所定の第２情報とを第２情報処理装置２０に送信する。第２受信部７５は、第１送信部７２が送信した第１情報と第２情報とを受信する。第２送信部７６は、第２受信部７５が受信した第１情報をサーバ３０に送信する。

記録部８１は、第１情報処理装置１０に送信した第１情報を記録する。第３受信部８２は、第２送信部７６が送信した第１情報を受信する。判定部８３は、第３受信部８２が受信した第１情報と、記録部８1が記録した第１情報とが一致するか否かを判定する。第３送信部８４は、判定部８３が判定した判定結果を第２情報処理装置２０に送信する。

第４受信部７７は、第３送信部８４が送信した判定結果を受信する。認証部７８は、第４受信部７７が受信した判定結果が、二つの第１情報が一致することを示す場合に、第２情報の認証処理を行う。受付部７９は、認証部７８が認証処理に成功した場合に、第１情報処理装置１０から制御コマンドを受け付ける。

［実施の形態７］
本実施の形態は、汎用のコンピュータとプログラム９７とを組み合わせて動作させることにより、本実施の形態の情報処理システム４０を実現する形態に関する。図１８は、実施の形態７の情報処理システム４０の構成を示す説明図である。なお、実施の形態１と共通する部分の説明は省略する。

本実施の形態の情報処理システム４０は、ネットワークを介して接続されたコンピュータ９０と、サーバ３０と、第２情報処理装置２０と、制御対象機器５１とを含む。サーバ３０、第２情報処理装置２０および制御対象機器５１の構成は、実施の形態１と同一である。

コンピュータ９０は、リモコンＣＰＵ１１、主記憶装置１２、補助記憶装置１３、通信部１４、入力部１５、表示部１６、読取部９２およびバスを備える。コンピュータ９０は、汎用のパーソナルコンピュータ、タブレット、スマートフォンまたは大型計算機等の情報機器等である。また、本実施の形態のコンピュータ９０は、大型計算機上で動作する仮想マシンでも良い。

プログラム９７は、可搬型記録媒体９６に記録されている。リモコンＣＰＵ１１は、読取部９２を介してプログラム９７を読み込み、補助記憶装置１３に保存する。またリモコンＣＰＵ１１は、コンピュータ９０に実装されたフラッシュメモリ等の半導体メモリ９８に記憶されたプログラム９７を読出しても良い。さらに、リモコンＣＰＵ１１は、通信部１４および図示しないネットワークを介して接続される図示しない他のサーバコンピュータからプログラム９７をダウンロードして補助記憶装置１３に保存しても良い。

プログラム９７は、コンピュータ９０の制御プログラムとしてインストールされ、主記憶装置１２にロードして実行される。これにより、コンピュータ９０は上述した第１情報処理装置１０として機能する。

リモコンＣＰＵ１１はネットワークを介してプログラム９７を第２プロセッサ２１およびサーバＣＰＵ３１に送信しても良い。

第２プロセッサ２１は、ネットワークを介してプログラム９７のうち第２情報処理装置２０で実行する部分を取得し、補助記憶装置２３に保存する。プログラム９７は、第２情報処理装置２０の制御プログラムとしてインストールされ、主記憶装置２２にロードして実行される。

サーバＣＰＵ３１は、ネットワークを介してプログラム９７のうちサーバ３０で実行する部分を取得し、補助記憶装置３３に保存する。プログラム９７は、サーバ３０の制御プログラムとしてインストールされ、主記憶装置３２にロードして実行される。

以上により、コンピュータ９０と、第２情報処理装置２０と、サーバ３０とは、上述した情報処理システム４０として機能する。

各実施例で記載されている技術的特徴（構成要件）はお互いに組合せ可能であり、組み合わせすることにより、新しい技術的特徴を形成することができる。
今回開示された実施の形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１０ 第１情報処理装置（情報処理装置）
１１ リモコンＣＰＵ
１２ 主記憶装置
１３ 補助記憶装置
１４ 通信部
１５ 入力部
１６ 表示部
２０ 第２情報処理装置（コンピュータ）
２１ 第２プロセッサ
２２ 主記憶装置
２３ 補助記憶装置
２４ 通信部
２７ 制御Ｉ／Ｆ部
２８ 第１プロセッサ
２９ 通信Ｉ／Ｆ部
３０ サーバ
３１ サーバＣＰＵ
３２ 主記憶装置
３３ 補助記憶装置
３４ 通信部
３７ 時計
４０ 情報処理システム
４１ 第１情報ＤＢ
５１ 制御対象機器
７１ 第１受信部
７２ 第１送信部
７５ 第２受信部
７６ 第２送信部
７７ 第４受信部
７８ 認証部
７９ 受付部
８１ 記録部
８２ 第３受信部
８３ 判定部
８４ 第３送信部
９０ コンピュータ
９２ 読取部
９６ 可搬型記録媒体
９７ プログラム
９８ 半導体メモリ

Claims (6)

1. 第１情報および第２情報を受信し、
   第１プロセッサにより、受信した前記第１情報に基づいてサーバに認証要求を送信し、
   送信した前記認証要求に基づく認証が成功した旨の情報を前記サーバから受信した場合、第２プロセッサにより、前記認証要求に基づく認証が成功した旨の情報を前記サーバから受信した後に、受信した前記第２情報に基づいて認証を行ない、
   前記認証要求に基づく認証が成功しない場合、前記第２プロセッサによる認証を経ることなく前記第１プロセッサにより、接続を許可しない情報を出力する
   処理をコンピュータに実行させるプログラム。
2. 前記第１情報および前記第２情報を、ネットワークを介して接続された情報処理装置から受信し、
   前記第２情報に基づく認証が成功した場合に、前記情報処理装置からの制御コマンドの受け付けを許可する
   請求項１に記載のプログラム。
3. 前記第２情報は、ＩＤ（Identification）およびパスワードを含む
   請求項２に記載のプログラム。
4. 前記情報処理装置との通信は、ＶＰＮ(Virtual Private Network)を介して行う
   請求項２または請求項３に記載のプログラム。
5. 前記第２プロセッサは、前記第１プロセッサと同一のハードウェアである
   請求項１から請求項４のいずれか一つに記載のプログラム。
6. 第１情報および第２情報を受信する受信部と、
   第１プロセッサにより、前記受信部が受信した前記第１情報に基づいてサーバに認証要求を送信する送信部と、
   第２プロセッサにより、前記送信部が送信した認証要求に基づく認証が成功した旨の情報を前記サーバから受信した後に、前記受信部が受信した前記第２情報に基づいて認証を行う認証部と、
   前記認証要求に基づく認証が成功しない場合、前記認証部による認証を経ることなく前記第１プロセッサにより、接続を許可しない情報を出力する出力部と
   を備える情報処理装置。

Images