JP7397052B2

JP7397052B2 - 接続制御装置、接続制御方法、及びプログラム

Info

Publication number: JP7397052B2
Application number: JP2021209120A
Authority: JP
Inventors: 芳史岩穴口
Original assignee: NEC Personal Computers Ltd
Current assignee: NEC Personal Computers Ltd
Priority date: 2021-12-23
Filing date: 2021-12-23
Publication date: 2023-12-12
Anticipated expiration: 2041-12-23
Also published as: JP2023093961A

Description

本発明は、接続制御装置、接続制御方法、及びプログラムに関する。

ＨＴＴＰ（Hypertext Transfer Protocol）のもとでクライアントがウェブサーバにログインするにあたり、認証情報を用いてユーザ認証を行うようにされた技術が知られている（例えば、特許文献１参照）。

特開２０２０－９２６０号公報

サーバとクライアントとの接続に関しては、例えば環境等によっては、簡易な手順でありながらもセキュリティが得られるようにすることが好ましい。

本発明は、このような事情に鑑みてなされたもので、サーバとクライアントとの接続について、簡易な手順でありながらもセキュリティが得られるようにすることを目的とする。

上述した課題を解決するための本発明の一態様は、サーバにクライアントを接続させる接続制御装置であって、前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するアクセス情報生成部と、前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬ（Uniform Resource Locator）にウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させる情報保存制御部と、前記クライアントを起動させる起動制御部と、起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させる接続制御部とを備える接続制御装置。

また、本発明の一態様は、ウェブシステムを外部から利用するためのプログラムの呼出機能を有さないサーバにウェブアクセス機能を有するクライアントを接続させる接続制御装置における接続制御方法であって、前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するステップと、前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬにウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させるステップと、前記クライアントを起動させるステップと、起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させるステップとを含む接続制御方法である。

また、本発明の一態様は、ウェブシステムを外部から利用するためのプログラムの呼出機能を有さないサーバにウェブアクセス機能を有するクライアントを接続させる接続制御装置としてのコンピュータを、前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するアクセス情報生成部、前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬにウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させる情報保存制御部、前記クライアントを起動させる起動制御部、起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させる接続制御部として機能させるためのプログラムである。

以上説明したように本発明によれば、サーバとクライアントとの接続について、簡易な手順でありながらもセキュリティが得られるという効果が得られる。

本実施形態における電子機器の構成例を示す図である。本実施形態の電子機器において、第１アプリケーションに第２アプリケーションを接続するための手順例を模式的に示す図である。本実施形態の電子機器において、第１アプリケーションに第２アプリケーションを接続するための処理手順例を示すシーケンス図である。

図１は、本実施形態における電子機器１００の構成例を示している。同図の電子機器１００は、例えばパーソナルコンピュータであってよい。また、電子機器１００は、スマートフォンやタブレット端末等であってもよい。電子機器１００は、例えばインストールされたアプリケーションのプログラムを実行することで、当該アプリケーションの機能を実現するように動作することができる。
同図に示される電子機器１００としての機能は、ハードウェアとしての電子機器１００が備えるＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）がプログラムを実行することにより実現される。

電子機器１００は、通信部１０１、表示部１０２、操作部１０３、制御部１０４、及び記憶部１０５を備える。
通信部１０１は、ネットワークＮＷを経由して通信を行う。
表示部１０２は、制御部１０４の制御に応じて画面を表示する。表示部１０２は、ハードウェアとして、例えば液晶ディスプレイ、ＯＬＥＤ（Organic Light-Emitting Diode）ディスプレイ等のディスプレイデバイスを備えてよい。また、ディスプレイデバイスがタッチパネルとして構成されてもよい。
操作部１０３は、電子機器１００が備える操作子や入力デバイス、電子機器１００に接続される入力デバイス等を備えて構成され、ユーザが操作子や入力デバイスに対して行った操作を受け付ける。

制御部１０４は、電子機器１００における各種の制御を実行する。制御部１０４は、第１アプリケーション対応処理部１４１と第２アプリケーション対応処理部１４２とを備える。

電子機器１００には第１アプリケーションがインストールされている。インストールされた第１アプリケーションが動作する電子機器１００は、接続制御装置の一例である。
第１アプリケーションは、ＯＳ（Operating System）上で動作するネイティブアプリケーションである。第１アプリケーション自体は、例えばウェブシステムを外部から利用するためのプログラムの呼出機能（以下、「ウェブシステム対応機能」とも記載する）を有さないものであってよい。ウェブシステムとは、例えばインターネット上のＥＣサイト、オークションサイト、銀行口座管理サイト等のように、ネットワーク上で利用可能なサービスやシステムである。
本実施形態において、第１アプリケーションは、後述のようにしてＰＷＡ（Progressive Web Apps）としての第２アプリケーションと通信可能に接続される。ＰＷＡとしての第２アプリケーションは、ウェブシステム対応機能を有するアプリケーションである。
第１アプリケーションはＨＴＴＰに対応するサーバ（ローカルサーバ）として機能する。第２アプリケーションがクライアントとして第１アプリケーションと接続されることで、第１アプリケーションは、第２アプリケーションのウェブシステム対応機能を間接的に利用して所定の機能を提供することができる。

一例として、第１アプリケーションは、第２アプリケーションがアクセスしたウェブ広告等のウェブコンテンツを第１アプリケーションのアプリケーション画面にて提供することができる。この際、第１アプリケーションは、例えばアプリケーション画面にて表示させるウェブ広告を操作や時間経過等に応じて切り替えたり、ユーザの第１アプリケーションに対する操作に応じてウェブ広告のリンクにウェブブラウザをアクセスさせる制御を実行したりすることができる。

また、このようなＰＷＡである第２アプリケーションは、ウェブブラウザ上で動作していることから、ウェブブラウザとクッキーなどの特定情報を共有することも可能である。このため、ＰＷＡである第２アプリケーションを単独で用いて、ターゲティング広告によるコンテンツをユーザに提供したり、ログイン情報が記憶済みのウェブサイトにログインしてアクセスするなどして、パーソナライズされたコンテンツを表示することができる。

例えば、第２アプリケーションとしてのＰＷＡの実体としてはウェブブラウザとみてよい。ＰＷＡでは、アプリケーション画面としてのアプリケーションウィンドウのフレームデザインに制約がある。また、ＰＷＡでは、他のアプリケーションやハードウェアを制御することにも制約が生じる。つまり、ＰＷＡでは、ネイティブアプリケーションのように高い自由度で他のアプリケーションやハードウェアを制御することは困難である。
そこで、ネイティブアプリケーションである第１アプリケーションのアプリケーション画面にて第２アプリケーションがアクセスしたウェブコンテンツを表示すれば、第１アプリケーションのアプリケーション画面にて、ユーザに提供したい高度なＵＩ（User Interface）等を提供することも容易に可能となる。

第１アプリケーション対応処理部１４１は、第１アプリケーションのプログラムの実行により第１アプリケーションとしての動作を実現する機能部である。
第１アプリケーション対応処理部１４１は、後述の図２、図３に示す第２アプリケーションとの接続の制御に関連して、ポート番号取得部１４１１、アクセス情報生成部１４１２、情報保存制御部１４１３、起動制御部１４１４、及び接続制御部１４１５を備える。

ポート番号取得部１４１１は、電子機器１００のＯＳが使用中でないポート（空きポート）のポート番号を接続用ポート番号として取得する。ポート番号取得部１４１１が取得した接続用ポート番号により示されるポートは、第２アプリケーションが第１アプリケーションと接続する際のポート（接続用ポート）として使用される。

アクセス情報生成部１４１２は、第２アプリケーションが第１アプリケーションにアクセスするのに用いるアクセス情報を生成する。アクセス情報は、具体的には、第２アプリケーションが第１アプリケーションにアクセス可能な正当性を有するアプリケーションであることの認証に用いられる情報であってよい。
本実施形態において、アクセス情報生成部１４１２は、アクセス情報としてチケットを生成する。チケットは、第２アプリケーションが第１アプリケーションにアクセスする際に用いられる認証情報である。また、チケットは、ワンタイム認証に対応して１回限りの認証処理に有効な認証情報である。

情報保存制御部１４１３は、電子機器１００に実装されたウェブブラウザのローカルストレージに、第２アプリケーションがアクセスするウェブコンテンツと同一オリジンのＵＲＬに埋め込んだ接続用ポート番号とアクセス情報とが保存されるように制御を行う。

起動制御部１４１４は、第１アプリケーション以外の他のアプリケーションを起動させる制御を実行する。本実施形態において、起動制御部１４１４は、ウェブブラウザを起動させることができる。また、起動制御部１４１４は、第２アプリケーションを起動させることができる。

第１アプリケーションはＨＴＴＰに対応するローカルサーバ機能を有する。接続制御部１４１５は、第１アプリケーションのローカルサーバ機能に対応して第２アプリケーションとの接続を制御する。
接続制御部１４１５は、第１アプリケーションが有するローカルサーバ機能に対応して、クライアントとの接続に関する制御を実行する。接続制御部１４１５は、第２アプリケーションが接続用ポートを使用してアクセス（ログイン）を行ったことに応じて、認証処理を実行する。接続制御部１４１５は、認証処理にあたり、第２アプリケーションが起動に際してローカルストレージにアクセスして取得したチケットを認証情報として利用する。接続制御部１４１５は、認証処理により認証が成立すると、第１アプリケーションのローカルサーバと第２アプリケーションとの接続を確立させる。

電子機器１００には、ウェブブラウザ３００上で動作する第２アプリケーションがインストールされる。
第２アプリケーションは、例えばネットワークＮＷ経由でウェブコンテンツＣＴへのアクセスが可能で、ＯＳが提供するＡＰＩ（Application Programming Interface）の利用が不可なアプリケーションである。
ウェブコンテンツＣＴは、ウェブ（ネットワーク）上で提供されるコンテンツである。ウェブコンテンツＣＴは、ウェブサイト（ウェブページ）などであってよい。

一例として、第２アプリケーションはＰＷＡである。ＰＷＡは、ウェブブラウザ上で動作し、ＨＴＭＬ（Hyper Text Markup Language）、ＣＳＳ（Cascading Style Sheets)）、ＪａｖａＳｃｒｉｐｔ等を使用して実現され、ウェブサイトやウェブアクセスが可能なウェブアプリケーションをネイティブアプリのようにインストール可能にする技術である。ＰＷＡは、クッキーなどの特定情報にアクセス可能な機能を有することから、例えばクッキーを用いたターゲティング広告の表示等をはじめとするウェブ広告技術に対応可能とされる。また、クッキーにアクセス可能とされていることでログイン情報が記憶済みのウェブサイトにアクセスしてパーソナライズされたウェブコンテンツを表示することも可能とされる。
また、ＰＷＡは、オフラインでの動作、プッシュ通知、全画面表示、デバイスのハードウェアへのアクセスが可能である。一方で、ＰＷＡは、ＵＩ（User Interface）の構成や他のネイティブアプリとの連携に制限がある。
第２アプリケーションのインストールには、電子機器１００にインストールされているウェブブラウザが用いられる。

第２アプリケーション対応処理部１４２は、第２アプリケーションとしての動作を実現する機能部である。

記憶部１０５は、電子機器１００が対応する各種の情報を記憶する。記憶部１０５が記憶する情報には、電子機器１００にインストールされたアプリケーションのプログラム等が含まれる。記憶部１０５が対応するハードウェアとしての記憶装置（ＨＤＤ、ＳＳＤ等）の一部記憶領域は、ブラウザ対応記憶部１５１として設けられる。ブラウザ対応記憶部１５１は、ウェブブラウザが備えるローカルストレージとして機能する。

前述のようにウェブシステム対応機能を有さない第１アプリケーションとウェブシステム対応機能を有する第２アプリケーションとはＨＴＴＰのもとで接続可能とされる。第１アプリケーションと第２アプリケーションとが接続されることで、例えば前述のように、第１アプリケーションは、第２アプリケーションがアクセスしたウェブコンテンツを、アプリケーション画面にて高度なＵＩとともに提供できる。
このような第１アプリケーションと第２アプリケーションとの接続に関しては、第１アプリケーションがサーバとなり、第２アプリケーション５００がクライアントとなる。この場合において、クライアントとなる第２アプリケーションについては、例えば正当性が確認されなければ第１アプリケーションと接続できないようにするというようにセキュリティ性を有することが求められる。

そこで、本実施形態の電子機器１００は、以下に図２により説明する手順により第１アプリケーションと第２アプリケーションとの接続を行うようにされる。
図２の説明は、図中において示す手順１～手順１２に従って行う。また、以下の説明にあたり、電子機器１００は、第１アプリケーション及び第２アプリケーションに加えて、ウェブブラウザのアプリケーションがインストールされて動作可能とされている場合を例に挙げる。
また、同図の手順は、第１アプリケーションに対応する処理については、第１アプリケーション対応処理部１４１が実行し、第２アプリケーションに対応する処理については、第２アプリケーション対応処理部１４２が実行する。

手順１：第１アプリケーション２００は、起動されて動作可能となったことに応じて、接続用ポート番号を取得する。
本実施形態の第１アプリケーション２００は、ＰＷＡとしての第２アプリケーションとの通信のためにローカルサーバ２１０を備える。ローカルサーバ２１０は、電子機器１００内（ローカル）にてウェブサーバとして機能する。
当該手順１にて取得する接続用ポート番号は、第１アプリケーション２００におけるローカルサーバ２１０に第２アプリケーションを接続させることに用いられる。

接続用ポート番号の取得にあたり、第１アプリケーション２００は、ＯＳ上で動作するネットワーク設定機能に対して空きポートのポート番号を問合せる。ネットワーク設定機能は、問合せに応答して、空きポートのうちの１つのポート番号を返す。第１アプリケーション２００は、返されたポート番号を接続用ポート番号として取得する。

手順２：第１アプリケーション２００は、ワンタイム認証に対応する認証情報であるチケットを生成（発行）する。チケットは、例えば認証対象（許可対象）を識別するための識別情報（例えば、ＧＵＩＤでもよい）、有効期限、使い捨てのランダム値であるＮｏｎｃｅ等を含んでよい。また、第１アプリケーション２００は、暗号化されたチケットを生成してよい。

手順３：第１アプリケーション２００はＨＴＴＰに対応するローカルサーバ機能を有する。第１アプリケーション２００は、自己のローカルサーバ機能であるローカルサーバ２１０を起動させる。この際、第１アプリケーション２００は、手順１にて取得した接続用ポート番号を、ローカルサーバ２１０が使用する接続用ポートのポート番号として設定する。

手順４：第１アプリケーション２００は、他のアプリケーションを制御可能なアプリケーション制御機能により、ウェブブラウザ３００を起動させる。ウェブブラウザ３００は、ＰＷＡとしての第２アプリケーションに接続用ポート番号とチケットを取得させるのに利用される。

手順５：第１アプリケーション２００は、手順４により起動させたウェブブラウザ３００を、ＰＷＡである第２アプリケーション５００がアクセスするウェブコンテンツとＵＲＬ（Uniform Resource Locator）が同一オリジンのウェブページにアクセスさせる制御を行う。
同一オリジンのＵＲＬとは、ＵＲＬにおけるプロトコル（スキーム）、ドメイン（ホスト）、ポートの記述が同じＵＲＬである。ローカルストレージ４００は、図１のブラウザ対応記憶部１５１が対応し、ウェブブラウザからのアクセスが可能であるが、ウェブブラウザ以外のアプリケーションからのアクセスは不可なように管理される記憶領域である。そのうえで、ローカルストレージ４００は、ＵＲＬのオリジンごとにアクセス可否が制御される。つまり、ローカルストレージ４００は、ウェブブラウザとしてのアプリケーションによるアクセスに制限されたうえで、さらに特定の同一オリジンに限定してアクセスが可能とされるものであり、アクセスの制限が強い記憶領域である。
具体的に、本実施形態のローカルストレージ４００は、同一オリジンを持たないＰＷＡ等の第２アプリケーション５００以外のアプリケーションがローカルストレージ４００にアクセスをすることが不可とされる。このようにローカルストレージ４００は、同一オリジン以外のアプリケーションからのアクセスを受け付けないようにしてセキュアが確保されている。

第１アプリケーション２００は、第２アプリケーション５００がアクセスするウェブコンテンツ（ＰＷＡコンテンツ）と同一オリジンのＵＲＬをウェブブラウザに指定してアクセスの実行を命令する。
なお、第１アプリケーション２００は、アクセス対象とするＰＷＡコンテンツとＵＲＬが同一オリジンのウェブページとして、アクセス可能な任意のＵＲＬを指定してよい。

また、第１アプリケーション２００は、ＰＷＡコンテンツと同一オリジンのＵＲＬをウェブブラウザに指定するにあたり、ＰＷＡコンテンツと同一オリジンのＵＲＬにおけるパラメータの領域に、手順１により取得した接続用ポート番号と手順２により生成したチケットとを記述する。ウェブブラウザ３００は、指定されたＵＲＬのウェブページにアクセスする。

手順６：ローカルストレージ４００は、ウェブブラウザ３００が備える記憶装置としての機能である。ローカルストレージ４００は、例えばハードウェアとしては、電子機器１００が備えるＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）などの記憶装置における一部の記憶領域が用いられてよい。
ウェブブラウザ３００は、手順５により指定されたＰＷＡコンテンツと同一オリジンのＵＲＬのウェブページにアクセスする。ウェブブラウザ３００はアクセスしたウェブページから、当該ＵＲＬのパラメータの領域に記述されている接続用ポート番号とチケットを取得し、ローカルストレージ４００に記憶させる。つまり、第１アプリケーション２００は、手順５によりＰＷＡコンテンツと同一オリジンのＵＲＬにウェブブラウザ３００をアクセスさせることで、ＵＲＬに記述されていた接続用ポート番号とチケットとをローカルストレージ４００に保存させるように制御する。
当該手順６において、接続用ポート番号とチケットの取得とローカルストレージ４００に保存させる処理自体とについては、ウェブブラウザ３００がアクセスしたＰＷＡコンテンツと同一オリジンのＵＲＬのウェブページに埋め込まれたＪａｖａＳｃｒｉｐｔコードが実行してよい。

手順７：上記手順６により接続用ポート番号とチケットとがローカルストレージ４００に保存された後、第１アプリケーション２００は、ウェブブラウザ３００を終了させる。

手順８：次に、第１アプリケーション２００は、他のアプリケーションを制御可能なアプリケーション制御機能により、第２アプリケーション５００を起動させる。

手順９：ローカルストレージ４００は、先の手順６によりウェブブラウザ３００がアクセスしたウェブページのＵＲＬに記述されていた接続用ポート番号とチケットとを保存している。起動された第２アプリケーション５００がアクセスするＰＷＡコンテンツのＵＲＬは、手順６によりウェブブラウザ３００がアクセスしたウェブページのＵＲＬと同一オリジンである。このため、第２アプリケーション５００は、ローカルストレージ４００において同一オリジンのもとで記憶される接続用ポート番号とチケットにアクセすることができる。
第２アプリケーション５００は、ローカルストレージ４００に記憶されている接続用ポート番号とチケットにアクセスし、アクセスした接続用ポート番号とチケットを取得する。

手順１０：第２アプリケーション５００は、手順９により取得した接続用ポート番号のポート（接続用ポート）を使用して第１アプリケーション２００のローカルサーバ２１０にアクセスする。この際、第２アプリケーション５００は、第１アプリケーション２００に対し、認証情報として手順９により取得したチケットを第１アプリケーション２００に送信する。

手順１１：第１アプリケーション２００は、第２アプリケーション５００から送信されたチケットを利用して認証処理を実行する。

手順１２：手順１１による認証処理の結果として認証が成立すると、第１アプリケーション２００は、第２アプリケーション５００との接続を確立させる。
このような手順が実行されることで、電子機器１００において、第１アプリケーション２００と第２アプリケーション５００とが接続される。

図３のシーケンス図を参照して、図２に示した手順について図１に示される電子機器１００の機能部が実行する処理として説明する。
ステップＳ１００：第１アプリケーション対応処理部１４１においてポート番号取得部１４１１は、接続用ポート番号を取得する。当該ステップＳ１００の処理は、図２の手順１が対応する。

ステップＳ１０２：第１アプリケーション対応処理部１４１においてアクセス情報生成部１４１２は、アクセス情報としてチケットを生成する。当該ステップＳ１０２の処理は、図２の手順２が対応する。

ステップＳ１０４：第１アプリケーション対応処理部１４１は、ローカルサーバ２１０を起動させる。当該ステップＳ１０２の処理は、図２の手順３が対応する。

ステップＳ１０６：第１アプリケーション対応処理部１４１において起動制御部１４１４は、ウェブブラウザ３００を起動させる。当該ステップＳ１０６の処理は、図２の手順４が対応する。

ステップＳ１０８：第１アプリケーション対応処理部１４１において情報保存制御部１４１３は、ステップＳ１０６により起動させたウェブブラウザ３００にＵＲＬを指定してアクセスを指示する。
情報保存制御部１４１３が指定するＵＲＬは、ＰＷＡである第２アプリケーション５００がアクセスするウェブコンテンツと同一オリジンの任意のウェブページを示すものである。
この際、情報保存制御部１４１３は、アクセス先として指定するＵＲＬのパラメータに、ステップＳ１００により取得した接続用ポート番号とステップＳ１０２により生成したチケットとを記述する。

ステップＳ１１０：ステップＳ１０６により起動したウェブブラウザ３００は、ネットワークＮＷ経由で、ステップＳ１０８により指定されたＵＲＬをウェブページにアクセスする。指定されたＵＲＬのウェブページは、図１におけるウェブコンテンツＣＴのいずれかに含まれる。
ステップＳ１０８とステップＳ１１０の処理は、図２の手順５が対応する。

ステップＳ１１２：ステップＳ１１０によりウェブブラウザ３００がウェブページにアクセスしたことに応じて、アクセスしたウェブページに埋め込まれたＪａｖａＳｃｒｉｐｔコードにより、ＵＲＬに記述されていた接続用ポート番号とチケットの取得とローカルストレージ４００への保存とが行われる。当該ステップＳ１０８の処理は、図２の手順６が対応する。

ステップＳ１１４：第１アプリケーション対応処理部１４１において起動制御部１４１４は、ウェブブラウザ３００を終了させる。当該ステップＳ１１４の処理は、図２の手順７が対応する。

ステップＳ１１６：第１アプリケーション対応処理部１４１において起動制御部１４１４は、第２アプリケーション５００を起動させる。第２アプリケーション５００が起動されたことに応じて、第２アプリケーション対応処理部１４２としての機能が有効となる。当該ステップＳ１１６の処理は、図２の手順８が対応する。

ステップＳ１１８：第２アプリケーション対応処理部１４２は、ネットワークＮＷ経由で、ステップＳ１１０によりウェブブラウザ３００がアクセスしたウェブページと同一オリジンのウェブページにアクセスする処理を実行する。
同一オリジンのウェブページへのアクセスに応じて、第２アプリケーション対応処理部１４２は、ローカルストレージ４００において保存されている同一オリジンのＵＲＬに記述された接続用ポート番号とチケットとを取得する。当該ステップＳ１１８の処理は、図２の手順９が対応する。

ステップＳ１２０：ステップＳ１１８により接続用ポート番号とチケットとを取得すると、第２アプリケーション対応処理部１４２は、ＨＴＴＰにより第１アプリケーション２００にアクセスし、認証情報であるチケットを送信する。
第２アプリケーション対応処理部１４２は、第１アプリケーション２００へのアクセスにあたり、ステップＳ１１８により取得した接続用ポート番号が示すポートにアクセスする。また、当該ステップＳ１２０により第２アプリケーション対応処理部１４２が第１アプリケーション２００に送信するチケットは、ステップＳ１１８により取得されたものである。当該ステップＳ１２０の処理は、図２の手順１０が対応する。

ステップＳ１２２：第１アプリケーション対応処理部１４１においてローカルサーバ２１０が対応する機能部である接続制御部１４１５は、ステップＳ１２０により送信されたチケットを受信すると、受信したチケットを利用して認証処理を実行する。具体的に、接続制御部１４１５は、ステップＳ１０２により生成したチケットと、ステップＳ１２０にて第２アプリケーション５００から受信したチケットに含まれる認識情報の一致性、有効期限の妥当性を確認し、チケットの有効性を判定してよい。
ステップＳ１０２により生成したチケットと、ステップＳ１２０にて第２アプリケーション５００から受信したチケットとが同一である場合には、今回において第１アプリケーション２００にアクセスした第２アプリケーション５００は、ステップＳ１０８～Ｓ１１２によりローカルストレージ４００に保存された接続用ポート番号とチケットとを取得した正当なアプリケーションであることになる。そこで、接続制御部１４１５は、ステップＳ１０２により生成したチケットと、ステップＳ１２０により第２アプリケーション５００から受信したチケットとが同一であると判定した場合には、認証が成立したものとして判定してよい。当該ステップＳ１２２の処理は、図２の手順１１が対応する。

ステップＳ１２４：ステップＳ１２２により認証が成立したことに応じて、第１アプリケーション対応処理部１４１においてローカルサーバ２１０が対応する機能部である接続制御部１４１５は、第２アプリケーション５００との接続を確立させる。当該ステップＳ１２４の処理は、図３の手順１２が対応する。

例えば、第２アプリケーション５００が第１アプリケーション２００にアクセスして認証を受けるにあたっては、ログインＩＤ及びパスワード等によるログイン情報を用いてもよい。
しかしながら、このようなログイン情報を利用する認証では、ログイン情報を管理するデータベース等の規模が大きくなる。この点で、本実施形態のような電子機器１００内でのアプリケーション間の接続にログイン情報を用いて認証を行うことは避けることが好ましい。
そこで、本実施形態においては、ローカルサーバ２１０として機能する第１アプリケーション２００がチケットを発行（生成）し、第２アプリケーション５００は、生成されたチケットを取得して認証を受けるようにされている。これにより、本実施形態ではログイン情報を利用しない簡易な手順でありながらも適正に認証を行ってセキュリティを確保できる。

また、チケットを利用した認証としては、一般的にサーバにチケット発行用のＡＰＩを実装するということが行われる。しかしながら、このようなＡＰＩは、外部公開されることから、セキュリティホールとなって外部からの攻撃も受けやすくなる場合がある。
本実施形態の場合、第１アプリケーションが生成するチケットは、図３の手順５～手順９を経てウェブブラウザ３００のローカルストレージ４００を経由して第２アプリケーション５００が取得するようにされる。このような取得経路とすることで、本実施形態では、第２アプリケーション５００にチケットを提供するためのＡＰＩを実装する必要はなくなることから、上記のようなセキュリティホールに対する外部攻撃から防御することができる。

また、本実施形態においては、接続先となる第１アプリケーション２００のローカルサーバ２１０が、第２アプリケーション５００がアクセスするウェブコンテンツと同一オリジンのＵＲＬに対応させてウェブブラウザ３００のローカルストレージ４００に接続用ポート番号とチケットを保存するようにされる。この場合、接続元である第２アプリケーション５００は、自己がアクセス可能なウェブコンテンツのＵＲＬのオリジンが、ローカルストレージ４００に保存された接続用ポート番号とチケットが対応するＵＲＬと同じでなければ、接続用ポート番号とチケットを取得できないことになる。つまり、本実施形態においては、接続用ポート番号とチケット番号とを記述するＵＲＬのオリジンの設定により、第１アプリケーション２００にアクセス可能となる正当な第２アプリケーション５００を制限することが可能なる。

また、第１アプリケーション２００と第２アプリケーション５００との接続のセキュリティを得るにあたり、予め定めた特定のポート番号によるポートを固定的に使用してもよい。
しかしながら、電子機器１００においてポートは、ローカルサーバを使用する第２アプリケーション５００以外のアプリケーションも使用する。このため、第１アプリケーション２００と第２アプリケーション５００との接続に用いるものとして定めたポート番号が、他のアプリケーションが使用するものと定められたポート番号と重複してしまうといったように、ポート番号が競合する可能性がある。このために、第１アプリケーション２００と第２アプリケーション５００との接続に用いるポート番号を事前に定めておくことが難しい。
そこで、本実施形態においては、第１アプリケーション２００が空きの状態にあるポートうちから接続用ポートを動的に決定するようにされている（図３の手順１、図４のステップＳ１００）。また、決定された接続用ポート番号は、チケットとともに第２アプリケーション５００がアクセス可能なウェブコンテンツと同一オリジンのＵＲＬに記述されることで、セキュリティを保って第２アプリケーション５００に渡すことができる。

なお、第１アプリケーション２００と第２アプリケーション５００との接続に対応するプロトコルとしては、ＨＴＴＰに代えてＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いてよい。
また、第１アプリケーション２００と第２アプリケーション５００との接続は、相互通信を行う場合には、スキームとして例えばＷｅｂＳｏｃｋｅｔを使用してよい。この場合において、セキュアを高めるためＷＳＳを用いてもよい。
また、第１アプリケーション２００と第２アプリケーション５００との接続のもとで送受信されるデータは暗号化されてよい。

なお、上記実施形態における第１アプリケーション２００のローカルサーバ２１０と第２アプリケーション５００との接続は、ネットワーク上のサーバとクライアントとの接続にも適用されてよい。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。上記の実施形態において説明した各構成は、矛盾しない限り任意に組み合わせることができる。

また、上述した実施形態における電子機器１００の一部又は全部をコンピュータで実現するようにしてもよい。その場合、この機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現してもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでもよい。また上記プログラムは、前述した機能の一部を実現するためのものであってもよく、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよく、ＦＰＧＡ（Field Programmable Gate Array）等のプログラマブルロジックデバイスを用いて実現されるものであってもよい。

１００電子機器、１０１通信部、１０２表示部、１０３操作部、１０４制御部、１０５記憶部、１４１第１アプリケーション対応処理部、１４２第２アプリケーション対応処理部、１５１ブラウザ対応記憶部、２００第１アプリケーション、２１０ローカルサーバ、３００ウェブブラウザ、４００ローカルストレージ、５００第２アプリケーション、１４１１ポート番号取得部、１４１２アクセス情報生成部、１４１３情報保存制御部、１４１４起動制御部、１４１５接続制御部

Claims

サーバにクライアントを接続させる接続制御装置であって、
前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するアクセス情報生成部と、
前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬ（Uniform Resource Locator）にウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させる情報保存制御部と、
前記クライアントを起動させる起動制御部と、
起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させる接続制御部と
を備える接続制御装置。
前記アクセス情報は、認証に使用可能な回数が制限されるチケットである
請求項１に記載の接続制御装置。
空き状態にあるポートのうちから決定したポートのポート番号を前記接続用ポート番号として取得するポート番号取得部を備える
請求項１または２に記載の接続制御装置。
ウェブシステムを外部から利用するためのプログラムの呼出機能を有さないサーバにウェブアクセス機能を有するクライアントを接続させる接続制御装置における接続制御方法であって、
前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するステップと、
前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬにウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させるステップと、
前記クライアントを起動させるステップと、
起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させるステップと
を含む接続制御方法。
ウェブシステムを外部から利用するためのプログラムの呼出機能を有さないサーバにウェブアクセス機能を有するクライアントを接続させる接続制御装置としてのコンピュータを、
前記クライアントが前記サーバにアクセスするのに用いるアクセス情報を生成するアクセス情報生成部、
前記クライアントがアクセスするウェブコンテンツと同一オリジンで、所定の接続用ポート番号と前記アクセス情報とを記述したＵＲＬにウェブブラウザをアクセスさせることにより、前記ＵＲＬに記述された前記接続用ポート番号と前記アクセス情報とを前記ウェブブラウザのローカルストレージに保存させる情報保存制御部、
前記クライアントを起動させる起動制御部、
起動された前記クライアントが、前記同一オリジンのＵＲＬにアクセスしてローカルストレージから前記接続用ポート番号と前記アクセス情報とを取得し、前記接続用ポート番号のポートを使用して前記サーバにアクセスしてきたことに応じて、前記クライアントが取得したアクセス情報を利用して認証処理を実行し、認証成立に応じて前記サーバと前記クライアントとの接続を確立させる接続制御部
として機能させるためのプログラム。