JPWO2011048645A1 - 端末管理システム及び端末管理方法 - Google Patents

Abstract

端末管理システムは媒体識別情報と会員識別情報とが記録された会員毎のＵＳＢメモリ（４）と、ネットワーク（７）を介して端末（１）に接続された認証サーバ（５）とを備える。端末（１）は端末識別情報と接続位置情報とが記憶される記憶部（２２２，２３３）と、ＵＳＢメモリ（４）の装着を検出する検出部（３０２）と、ＵＳＢメモリ（４）から両識別情報を、及び記憶部（２２２，２３３）から両情報を読み出して認証サーバ（５）に送信する判定用情報取得部（３０３）とを備える。認証サーバ（５）は両識別情報の組合せからＵＳＢメモリ（４）の適否かつ両情報の組合せから端末（１）の適否を判定し、結果を送信元の端末（１）に返信する適正判定部（５０１）を備える。端末（１）の実行許否部（３０４）は適正と判定された場合にプログラム実行処理部（２１１）に、特定ＡＰ記憶部（２３２）の特定ＡＰの実行を許可する。

Description

本発明は、ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理技術に関する。

近年、インターネットを始めとした通信ネットワークの急激な進展により、種々の商取引等のサービスが通信ネットワークを介して行われるようになってきている。同様に、行政機関等に対する行政手続等のサービスも通信ネットワークを介して行われるようになってきている。かかるサービスの実行に際し、ネットワークを介して授受される情報には決済情報、取引情報の他、個人情報等が含まれる場合が少なくないことから、端末の操作は本人によって行われることが重要である。従って、端末を操作する者に対する本人認証を行って、なりすましを排除することが必要となる。

特許文献１には、情報伝達プログラムにおいて、伝達情報を盗み取りしようとする悪意の他者によるなりすましを防止するため、各情報伝達プログラムにセッションキー（ＳＫｅｙ）を付与し、情報伝達の際にＳＫｅｙを提示して本人を保証することで、なりすましを排除することが記載されている。さらに、特許文献１には、ＳＫｅｙを連続的・定期的に変更するこれにより、過去に盗聴されたＳＫｅｙを無効にするようにし、また、情報の伝達をＳＫｅｙを変更する期間以上に待機するようにして、なりすまし者が正しいＳＫｅｙを提示してきても、正当な本人が後からＳＫｅｙを持ってアクセスしてくれば、なりすましと本人との衝突を起こさせ、少なくともなりすましがいることを検知し得ることが記載されている。

また、特許文献２，３には、認証サーバでの本人認証を高い精度で行って本人へのなりすましを効果的に防止するべく、端末側から入力するパスワードをＯＴＰ（One time password）方式で設定する認証方法が提案されている。ＯＴＰ方式は、ネットワークを通じて端末でサーバを利用する際に、端末をアクセスする人間が正規のユーザかどうかを検査する認証技術のひとつとして知られている。これは、ユーザ名とパスワードとをサーバに送信して行う通常の認証方式では、端末とサーバとの間の通信経路上でパスワードが「盗み聞き」されてしまう可能性があるという弱点があることから、まずサーバから端末に認証文字列の「種」となるランダムな文字列が送信され、一方、ユーザはパスワードを端末に入力する。そして、端末のソフトウエアは、サーバから送られてきた文字列とユーザが入力したパスワードとを所定の手順に従って演算し、演算結果をサーバに送信する。次いで、サーバでは受け取った文字列を検証することで、正規のユーザかどうかを調べる。サーバから送信されてくる文字列はランダムであって毎回異なるように設定されており、かつユーザが申告したパスワードも毎回異なった文字列としてサーバに送信される。従って、仮に通信経路上でサーバと端末とのやり取りが盗み聞きされても、同じパスワードを二度と使えないようにして、サーバの不正使用を防止している。

特開２００３−２４４１２５号公報 特開２００８−０１５９２４号公報 特開２００２−１４９６１３号公報

特許文献１は、セッションキーが情報伝達毎に変更されることで、なりすまし者の存在を認識可能にするものに留まり、認証結果に基づいてプログラムの実行を許否するようにしたものではない。また、特許文献２，３は、本人パスワードを毎回手動で入力することで、認証サーバ側でＯＴＰに沿った認証処理を実行し、なりすましを排除するものである。従って、個人ＩＤ等を認証処理のベースにする態様とは異なる。また、特許文献１〜３は、サービスの実行許否を、本人に関する認証情報で認証して決定するものの域を出るものではない。

本発明の目的は、汎用の情報処理端末に、会員が所持する所定の情報が記憶されている記録媒体を装着し、かつ前記所定の情報によって当該記録媒体の適正をサーバ側で認証することを条件に、汎用アプリケーションソフトウエアの実行空間とは区別された空間で情報処理端末内の特定アプリケーションソフトウエアの実行許否を決定する端末管理システム及び端末管理方法を提供することにある。

請求項１記載の発明は、ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理システムにおいて、会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備え、前記情報処理端末は、情報処理端末を識別する端末識別情報及びネットワークとの接続位置を特定する接続位置情報が記憶される端末情報記憶部と、所定の１又は複数の特定アプリケーションソフトウエアを所定の外部メモリから特定アプリケーション記憶部に書き込むアプリケーション書込手段と、前記特定アプリケーションソフトウエアを起動して、所定の文書の作成及び作成文書の送受信を制御するプログラム実行処理手段と、前記記録媒体が装着されたことを検出する装着検出手段と、前記装着の検出に応答して、前記特定のアプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報を、及び前記端末情報記憶部から前記端末識別情報及び前記接続位置情報を、それぞれ読み出して前記サーバに送信する判定用情報取得手段とを備え、前記サーバは、前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定を行い、判定結果を送信元の前記情報処理端末に返信する判定手段を備え、前記情報処理端末は、前記適正であると判定された場合に前記プログラム実行処理手段の実行を許可する実行許否手段を備えたことを特徴とするものである。

請求項８記載の発明は、ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理方法において、会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備え、前記情報処理端末のアプリケーション書込手段は、所定の１又は複数の特定アプリケーションソフトウエアを所定の外部メモリから特定アプリケーション記憶部に書き込み、前記情報処理端末の装着検出手段は、前記記録媒体が装着されたことを検出し、前記情報処理端末の判定用情報取得手段は、前記装着の検出に応答して、前記特定のアプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報を、及び端末情報記憶部から前記情報処理端末を識別する端末識別情報及び前記ネットワークとの接続位置を特定する接続位置情報を、それぞれ読み出して前記サーバに送信し、前記サーバの判定手段は、前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定を行い、判定結果を送信元の前記情報処理端末に返信し、前記情報処理端末の実行許否手段は、適正であると判定された場合に送信元の情報処理端末に実行許可を返信し、前記情報処理端末のプログラム実行処理手段は、前記実行許可を受けた場合、前記特定アプリケーションソフトウエアの起動を許可して、所定の文書の作成及び作成文書の送受信を制御することを特徴とするものである。

これらの発明によれば、端末管理システムによって、ネットワークに接続されている情報処理端末によって所与のアプリケーションソフトウエアの実行が管理される。このシステムでは、会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備える。そして、情報処理端末のアプリケーション書込手段によって、所定の１又は複数の特定アプリケーションソフトウエアが所定の外部メモリから特定アプリケーション記憶部に書き込まれ、この状態で、情報処理端末の装着検出手段によって、前記記録媒体が当該端末に装着されたか否かの検出が行われる。記録媒体が当該端末に装着されたことが検出されると、情報処理端末の判定用情報取得手段によって、前記特定アプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報が、及び端末情報記憶部から前記情報処理端末を識別する端末識別情報及び前記ネットワークとの接続位置を特定する接続位置情報が、それぞれ読み出されて前記サーバに送信される。次いで、サーバの判定手段によって、前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定が行われ、判定結果が送信元の前記情報処理端末に返信される。そして、適正であると判定された場合には、情報処理端末の実行許否手段によって、送信元の情報処理端末に実行許可が返信され、さらに情報処理端末のプログラム実行処理手段によって、前記特定アプリケーションソフトウエアの起動が許可されて、所定の文書の作成及び作成文書の送受信が制御される。

従って、汎用の情報処理端末においても、会員が所持する所定の情報が記憶されている記録媒体を装着し、かつ前記所定の情報によって当該記録媒体の適正をサーバ側で認証することを条件に、汎用アプリケーションソフトウエアの実行空間とは区別された空間で情報処理端末内の特定アプリケーションソフトウエアの実行許否が決定される。

本発明によれば、汎用の情報処理端末で、汎用アプリケーションソフトウエアの実行空間とは区別された空間で情報処理端末内の特定アプリケーションソフトウエアの実行を可能とする。

本発明に係る端末管理システムが適用されるネットワークシステムの概略構成図である。 端末の端末処理部、特定ＡＰ処理部、ＵＳＢメモリ及び認証サーバの有する機能をそれぞれブロック化した構成図を示すものである。 特定ＡＰ処理部のＣＰＵ（端末処理部のＣＰＵ）によって実行される特定ＡＰ取込処理の手順の一例を示すフローチャートである。 特定ＡＰ処理部のＣＰＵによって実行されるＵＳＢポート状態検出の手順の一例を示すフローチャートである。 特定ＡＰ処理部のＣＰＵによって実行されるＵＳＢ装着後処理の手順の一例を示すフローチャートである。 認証サーバのＣＰＵによって実行される適正判定処理の手順の一例を示すフローチャートである。 適正判定処理のステップ＃７（照合処理）の一例を示すサブルーチンである。 特定ＡＰ処理部のＣＰＵによって実行される特定ＡＰ実行処理の手順の一例を示すフローチャートである。 ネットワーク上での認証サーバシステムの配置の一例を示す図で、図９（ａ）は、認証サーバがネットワーク上に複数接続された状態を示し、図９（ｂ）は、認証サーバの階層構造を示している。 図９の端末の認証サーバ決定処理の手順の一例を示すフローチャートである。 図９の認証サーバ間の情報授受の手順の一例を示すフローチャートである。

図１は、本発明に係る端末管理システムが適用されるネットワークシステムの概略構成図である。図１に示すネットワークシステムは、例えば、会員である、消費者や商店乃至は企業等、更には決済を行う１又は複数の金融機関に配置される端末（情報処理端末）１と、これらの各端末１及び端末１間での情報の管理及び保管を統括的に行う管理機関に配設された会員情報管理サーバ８と、端末１を使用する会員の認証を行う認証サーバ５とを備える。

端末１は、一般的にはＣＰＵ（Central Processing Unit）を内蔵するパーソナルコンピュータ等で構成されている。端末１内には、一般的な文書や図形の作成ソフトウエアを利用しての情報の作成、加工、記憶、更に通信用のソフトウエアを利用しての情報の送受信等の一般的な各処理を実行する端末処理部２と、後述する特定のアプリケーションソフトウエアの実行に関連する処理を行うソフトウエア及び情報からなる特定ＡＰ処理部３とを備える。より具体的には、消費者、商店及び企業等の端末１には、特定ＡＰ処理部３として、商品やサービスの売買、見積もり乃至は請求、入出金に関する各書類の作成と通信とを行うソフトウエアがインストールされる。すなわち、端末１は、一般的な商取引における決済、例えば業者店舗からの請求書の発行、受領や、購買者側から請求書発行元の契約金融機関の口座への入金（すなわち支払い）指示書、その受領書の発行の他、電子決済の如何を問わず種々の電子書面での送受信処理を可能とするものである。端末１は、各種書類をテキスト形式の、またバイナリー形式の電子ファイルとして作成可能である。電子ファイルは、例えば会員情報管理サーバ８を中継して端末１間で授受される。各金融機関の端末１には、消費者や企業の端末１からの金融的な決済書面に従った決済指示処理（金融機関間での決済処理の指令等）を行う特別アプリケーションソフトウエアもインストールされている。

また、端末１は、携行可能な記録媒体、例えばＵＳＢ（Universal Serial Bus）メモリ４が装着（接続）可能なＵＳＢポートＰ１を有する。記録媒体としては、ＩＥＥＥ１３９４ポートを使用したスティック状のハードウエアでもよい。ＵＳＢメモリ４には、後述するように所定の情報が更新的に記憶可能な各記憶部（領域）を有する。なお、記録媒体は、原理的（後述するような変動処理がなければ）には、書き換え可能なメモリに限定されない。

また、ＵＳＢメモリ４には、必要に応じて位置情報取得手段、例えばＧＰＳ（Global Positioning System）受信機等が内蔵されている。ＧＰＳ受信機は、緯度、経度及び高さ情報を得る測位装置である。なお、高さ情報は必要に応じて用いればよい。

会員情報管理サーバ８は、会員に関する適宜な情報、例えば会員の氏名、名称、メールアドレス、住所等の会員情報等を会員単位で記憶するものである。また、会員情報管理サーバ８は、さらに、各会員のファイル送受信履歴やそのファイル類等を管理用に記憶する記憶部を備えている。なお、認証サーバ５については、図２で後述する。

また、本システムは、他の適用例として、秘密情報を作成、保管管理する、例えば公的機関である団体組織内のＬＡＮに接続された複数の端末１間での情報通信、さらに団体組織外にある端末との間における情報通信・管理体制に適用する例を挙げることができる。

本システムは、ハードウエア的にはインターネットのネットワークを用いる。すなわち端末１はインターネットに接続される一方、後述するように、インターネットとの間ではソフトウエア的にセキュリティが確保された特定アプリケーションソフトウエア（ＡＰ；Application software）が実行許可されるようにしている。本発明によってソフトウエア的に分断されたネットワークという観点で、インターネットとは異なる専用ネットワークとして扱い得る。これにより、新たなインフラを必要としないシステムの構築が可能で、かつ各端末１は必要に応じてインターネットを経由して他のパーソナルコンピュータとの間で通常の情報通信及びインターネット上のＷｅｂサイトの検索、閲覧及び情報の取得が可能である。

図１において、端末１はプロバイダ（ＩＳＰ）６を介してネットワーク７に接続されている。ＩＳＰ６には、複数の端末１が接続されている。なお、図１には示されていないが、ＩＳＰ６には、各種の情報を提供するＷｅｂサイトを有するサーバも、適宜の数だけ接続されている。また、ＩＳＰ６に接続される端末１には、特定ＡＰ処理部３がインストールされている端末１と、特定ＡＰ処理部３がインストールされていない通常の端末１’とが存在する。特定ＡＰ処理部３は、ＵＳＢメモリ４の端末１への装着に基づく処理、ＵＳＢメモリ４から認証のための所与の情報を読み出す等して認証サーバ５へ送信する処理、認証結果に従って特定アプリケーションソフトウエアの実行許否を制御する処理を行う。

図２は、端末１の端末処理部２、特定ＡＰ処理部３、ＵＳＢメモリ４及び認証サーバ５の有する機能をそれぞれブロック化した構成図を示すものである。図２において、端末１の端末処理部２は、ＣＰＵから構成される制御部２１を備え、制御部２１にＲＯＭ（Read Only Memory）２２とＲＡＭ（Random Access Memory）２３とが接続されている。制御部２１は、指定されたプログラムを実行させるプログラム実行処理部２１１、ネットワーク７を介して他の端末１や認証サーバ５との間で情報の授受を行う通信処理部２１２、及びＩＳＰ６までの固定通信回線（公衆電話配線）１０との接続部に介設されたファイヤウォール２１３を備えている。なお、図では示していないが、より詳細には、ネットワーク７と端末１との間には、ルータや（光回路）終端装置１０Ａが介設されている。また、ファイヤウォール２１３は、ソフトウエアあるいはデバイスであり、ソフトウエアの場合には端末１内にインストールされた態様でもよい。制御部２１には、テンキーやマウスなどからなる操作部２４、及びＣＲＴ、液晶又はプラズマディスプレイ等からなり、画像を表示する表示部２５が接続されている。

ファイヤウォール２１３は、ネットワーク７から端末１（あるいはＬＡＮ：Local area network）側への不正なパケットの侵入を防御したり、端末１（あるいはＬＡＮ）側からネットワーク７へ不正なパケットの送出を防止する仕組みである。より詳細には、通過する全てのトラフィックを監視し、適用したルール（セキュリティポリシー）に基づいて必要な通信は通過させる一方、不要と設定された通信を遮断する。具体的には、「ＩＰアドレス「１１１，１１１，１１１，１１１」から届いたパケットは全て破棄する」とか、「８０番ポート宛に届いたパケットは全て通す」などである。

プログラム実行処理部２１１は、上述した一般的なアプリケーションソフトウエアの実行の他、特定ＡＰ処理部３からの指示に従って前述した電子商取引サービス、行政サービス等の処理に関連する特定アプリケーションソフトウエアを実行するものである。

ＲＯＭ２２は、端末１の起動（ブート処理）、アプリケーションソフトウエアの読み込みを実行するためのＯＳ（Operating System）やＢＩＯＳ（Basic Input/Output System）等を記憶するＯＳ等記憶部２２１と、当該端末１を識別する端末識別情報を記憶する端末ＩＤ記憶部２２２とを少なくとも備えている。

ＲＡＭ２３は、前述した一般的なアプリケーションソフトウエアがインストールされた汎用ＡＰ記憶部２３１、前述した電子商取引サービス、行政サービス等の処理に関連する特定アプリケーションソフトウエアがインストールされた特定ＡＰ記憶部２３２、ネットワーク位置情報記憶部２３３、汎用アプリケーションソフトウエアや特定アプリケーションソフトウエアで作成された、テキストファイルやバイナリーコードで作成されたファイルを格納する作成ファイル記憶部２３４を少なくとも備えている。

ネットワーク位置情報記憶部２３３は、終端装置１０Ａの識別情報としてのＭＡＣ（media access control ）アドレスを必要に応じて記憶するものでもよい。終端装置１０Ａは備え付けの端末１との関係では配置位置が固定されているため、ネットワーク上での位置が特定される。従って、終端装置１０ＡのＭＡＣアドレスを記憶しておくことで、備え付け型の端末１のネットワーク上での位置が識別可能となる。通信処理部２１２は、認証処理時に、終端装置１０ＡのＭＡＣアドレスを抽出し、認証サーバ５に送出するようにしている。なお、終端装置１０ＡのＭＡＣアドレスに代えて、固定通信回線１０の識別情報を記憶する態様でもよい。また、ネットワーク位置情報は、ＲＡＭ２３に代えてＲＯＭ２２に設けてもよい。作成ファイル記憶部２３４に記憶されるファイルには、自己が作成したファイルの他、送信、受信したファイルも含まれる。

特定ＡＰ処理部３は、認証を行うためのソフトウエアで、外部メモリ９からポートＰ２を介して取り込まれる。外部メモリ９は、例えばネットワーク上の会員情報管理サーバ８内の所定の記憶部とし、ここからネットワーク７を経てダウンロードし、かつインストールする態様を想定している。あるいは、会員登録する時点で、特別のサーバから、あるいはハードディスクとして、かかるソフトウエアを貸与される態様でもよい。

特定ＡＰ処理部３は、端末処理部２のＣＰＵによって実行され、ＵＳＢメモリ４と通信を行うための通信処理部３０１、ＵＳＢメモリ４のＵＳＢポートＰ１への装着を検出する装着検出部３０２、端末１及びＵＳＢメモリ４の適正の有無を判定するための情報を取得し、認証サーバ５に送信する判定用情報取得部３０３、認証サーバ５からの判定結果に応じて特定ＡＰ記憶部２３２内の特定アプリケーションソフトウエアの実行に対する許可、禁止を指示する実行許否部３０４、及び日時を計時するタイマ３０５を少なくとも備えている。

ＵＳＢメモリ４は、記憶領域として、媒体識別情報記憶部４０１、会員識別情報記憶部４０２、及びファームウエア記憶部４０３を少なくとも備えている。また、ＵＳＢメモリ４は、メモリ部を保護する筐体の内部適所に、前述のＧＰＳ受信機４１１を備えている。

媒体識別情報記憶部４０１は、ＵＳＢメモリ４を識別する予め設定された情報を記憶するものである。会員識別情報記憶部４０２は、ＵＳＢメモリ４が付与された会員を識別する予め設定された情報を記憶するものである。ファームウエア記憶部４０３は、特定ＡＰ処理部３との間で動作し、主に各記憶部に対する情報の読み書きを制御するファームウエアを記憶するものである。

認証サーバ５は、ＣＰＵからなる制御部５０と照合用情報記憶部５１とを少なくとも備えている。制御部５０は、適正判断部５０１、識別情報変動部５０２、及び通信処理部５０３を少なくとも備えている。照合用情報記憶部５１は、会員識別情報に対応して端末識別情報、ネットワーク位置情報、媒体識別情報及びパスワード情報を記憶するものである。

適正判断部５０１は、端末１から送信されてくる認証のための所定の情報、ここでは、端末識別情報、ネットワーク位置情報、媒体識別情報及び会員識別情報を照合用情報記憶部５１に記憶されている情報と照合して、両者が一致した場合には、適正と判定し、両者が不一致の場合には不適正と判定するものである。通信処理部５０３は、送信元の端末１の通信処理部２１２との間で、ＴＣＰ／ＩＰ（transmission control protocol/ internet protocol）規約に沿って、認証処理のための情報の授受（セッション）を行うものである。

識別情報変動部５０２は、所定の条件、例えば認証動作毎に所定の識別情報、ここでは会員識別情報を変動させるものである。識別情報変動部５０２は、会員識別情報記憶部４０２及び照合用情報記憶部５１内の会員識別情報を所定の方法に従って変動させ、書き換えるものである。所定の方法としては、予め設定されたルールによる他、乱数発生器による乱数等を利用した無作為の設定方法も含まれる。新たに生成した会員識別情報は、照合用情報記憶部５１の内容を書き換えると共に、通信処理部５０３によって会員識別情報記憶部４０２の内容を書き換えるようにしている。

図３は、特定ＡＰ処理部３のＣＰＵ（端末処理部２のＣＰＵ）によって実行される特定ＡＰ取込処理の手順の一例を示すフローチャートである。まず、特定ＡＰを取り込む指示操作の有無が判断される（ステップＳ１）。指示操作があれば、外部メモリ９から特定ＡＰが取り込まれ、特定ＡＰ記憶部２３２に書き込まれる（ステップＳ３）。次いで、取り込まれた特定ＡＰは無効化処理される（ステップＳ５）。一方、指示操作がなければ、本フローを抜ける。なお、特定ＡＰの無効化とは、当該ＡＰが所要のメモリ部にインストールされても、後述する専用ＡＰを除き、そのままではファイルが実行できない状態をいう。特定ＡＰを無効状態から有効化する方法としては、例えば、ＵＳＢメモリ４がＵＳＢポートＰ１に装着された後に、特定ＡＰのいずれかが実行ファイルとして指定操作された時に、ＵＳＢメモリ４との交信によってハンドシェイクが確認できたことを条件に、実行ファイルとして有効とされる。このように、ＵＳＢメモリ４の装着に関連して、無効状態から有効状態に変えることで、後に特定ＡＰを実行する時点で起動動作を強いられることがなく、スムーズなファイルの実行に移行できる。

図４は、特定ＡＰ処理部３のＣＰＵによって実行されるＵＳＢポート状態検出の手順の一例を示すフローチャートである。まず、ＵＳＢポートＰ１に対して周期的にハンドシェイク信号の送信が行われて、ＵＳＢポートＰ１の状態が判断される（ステップＳ１１）。このとき、ＵＳＢポートＰ１にＵＳＢメモリ４が装着されていれば、ハンドシェイク信号に応答して、応答信号が特定ＡＰ処理部３に返信される一方、ＵＳＢメモリ４が装着されていなければ、応答信号は返信されない。次いで、応答信号が返信されてくると、ＵＳＢメモリ４を含む何らかのチップが装着されているとして、特定ＡＰ内の専用ＡＰが起動される（ステップＳ１３）。専用ＡＰは、装着チップがＵＳＢメモリ４であるか否かの判断と、ＵＳＢメモリ４である場合に、内部の情報を読み出す処理を実行させる通信アプリケーションソフトウエアを起動させるためである。

一方、ステップＳ１１において、ハンドシェイクの応答信号が返信されなければ、本フローを抜ける。なお、ＵＳＢポート状態検出処理は、特定ＡＰ処理部３に代えて、端末処理部２が行ってもよい。そして、ＵＳＢポートＰ１にチップの装着が検出された後に、特定ＡＰ処理部３へ処理を受け渡すようにしてもよい。

図５は、特定ＡＰ処理部３のＣＰＵによって実行されるＵＳＢ装着後処理の手順の一例を示すフローチャートである。まず、特定ＡＰ内の専用ＡＰが実行されて、所定信号を受信したか否かが判断され（ステップＳ２１）、受信したのであれば、装着されたチップがＵＳＢメモリ４か否かが確認される（ステップＳ２３）。ＵＳＢメモリ４であれば、特定アプリケーションソフトウエアが有効化、すなわち起動可能な状態にされ（ステップＳ２５）、さらにファイヤウォール２１３が有効化される（ステップＳ２７）。

続いて、ＵＳＢメモリ４内から媒体識別情報、会員識別情報が読み出され、さらに端末識別情報及びネットワーク位置情報が読み出されて、認証サーバ５に、認証リクエストとして送出される（ステップＳ２９）。

次いで、認証サーバ５から端末１に対してパスワードの入力指示が受信されたか否かの判断の待機が行われる（ステップＳ３１）。具体的には、端末１の表示部２５にパスワード入力画面が表示され、パスワードの入力操作が催促される。操作部２４を介してパスワードが入力されると、入力されたパスワードが認証サーバ５に返信される（ステップＳ３３）。

次いで、適正か否かを示す判定信号が受信されたか否かの判断の待機が行われ（ステップＳ３５）、判定信号が入力されたと判断されると、判定信号が適正を示す信号であるか否かが判断される（ステップＳ３７）。

ファイヤウォール２１３は、アドレス（ＩＰアドレス）、プロトコル、ポート番号、コンテンツフィルタリング、及びこれらの組合せの少なくとも１つの設定により機能する一方、これらの設定は変更が可能である。汎用ＡＰ記憶部２３１の汎用アプリケーションソフトウエアを使用する状態と、特定ＡＰ記憶部２３２の特定アプリケーションソフトウエアを使用する状態とで、異なるセキュリティーポリシィによって予め設定された内容に適宜切り換えるようにすることで、実現可能である。汎用アプリケーションソフトウエアを使用する状態でのセキュリティーポリシィを無効化された設定状態と称呼し、特定アプリケーションソフトウエアを使用する状態でのセキュリティーポリシィを有効化された設定状態と称呼する。有効化された設定状態とは、例えばＩＰアドレスを会員に限定する等である。なお、プログラム実行処理部２１１は、特定ＡＰ記憶部２３２の特定アプリケーションソフトウエアを使用する状態（有効状態）において、汎用ＡＰ記憶部２３１の汎用アプリケーションソフトウエアの一部、例えばウイルス感染していないことが一般的なウイルス検査で保証されているようなアプリケーションソフトウエアについては、使用可能な状態としてもよい。但し、この場合でも、ファイヤウォール２１３は制限された状態（無効状態）にあり、いたずらに外方へデータ送出しないようにしていることが好ましい。

次いで、周期的なハンドシェイク信号に対する返信信号の監視状況から、ＵＳＢメモリ４がＵＳＢポートＰ１から抜かれたか否かが判断される（ステップＳ３９）。ＵＳＢメモリ４が抜かれたのであれば、特定アプリケーションソフトウエアの実行が不可側（禁止状態）に切り換えられ（ステップＳ４１）、さらにファイヤウォール２１３が無効化されて（ステップＳ４３）、本フローを終了する。従って、特定ＡＰをファイル実行させる間は、ＵＳＢメモリ４を端末１に装着した状態にする必要がある。

一方、ステップＳ２１、ステップＳ２３及びステップＳ３７で判断が否定された場合、本フローを終了する。

図６は、認証サーバ５のＣＰＵによって実行される適正判定処理の手順の一例を示すフローチャートである。まず、媒体識別情報、会員識別情報、端末識別情報及びネットワーク位置情報が受信されたか否かが判断され（ステップ＃１）、受信されると、送信元の端末１に対してパスワードの入力指示が発せられる（ステップ＃３）。次いで、送信元の端末１からパスワードが返信されてきたか否かの判断の待機が行われ（ステップ＃５）、パスワードが返信されてきたのであれば、照合用情報との照合処理が実行される（ステップ＃７）。照合処理としては、後述するような方法の他、種々の方法が採用可能である。

次いで、認証が適正であったか否かが判定される（ステップ＃９）。認証が適正であれば、会員識別情報に対する変動処理が実行され（ステップ＃１１）、変動後の会員識別情報が適正信号と共に送信元の端末１に返信され（ステップ＃１３）、かつ照合用情報内の会員識別情報が更新される（ステップ＃１５）。一方、認証が不適正であれば、不適正信号が送信元の端末１に返信される（ステップ＃１７）。なお、認証が不適正の場合に、会員識別情報を変動させて（ステップ＃１１）、ステップ＃１３、＃１５を実行する態様としてもよい。また、識別情報の変動更新処理は、特定ＡＰのファイル実行が終了した時点で行うようにしてもよい。

図７は、適正判定処理のステップ＃７（照合処理）の一例を示すサブルーチンである。まず、受信したパスワード情報が照合用情報側のパスワード情報と一致したか否かが判断され（ステップ＃３１）、両方のパスワード情報が一致すると、ＵＳＢメモリ４に対する媒体識別情報と会員識別情報との組合せの一致状況が判断され（ステップ＃３３）、一致であると、端末１に対する端末識別情報とネットワーク位置情報との一致状況が調べられる（ステップ＃３５）。そして、ステップ＃３１、＃３３、＃３５がいずれも一致と判断された場合には、認証は適正と判定され（ステップ＃３７）、ステップ＃３１、＃３３、＃３５がいずれかでも不一致と判断された場合には、認証は不適正と判定される（ステップ＃３９）。

なお、必要に応じて、媒体識別情報と会員識別情報との組合せと、端末識別情報とネットワーク位置情報との組合せの一致状況を調べるようにしてもよい。これにより、会員のＵＳＢメモリ４が対応する端末として予め登録を受けた端末１に装着されたことが認識される。ところで、ＵＳＢメモリ４は可搬性を有することから、予め登録を受けた端末１以外の、他の端末１に装着されて使用される場合が予定されている。かかる使用に際しては、媒体識別情報と会員識別情報との組合せと、端末識別情報とネットワーク位置情報との組合せとは関連しておらず、不一致となる。そこで、かかる不一致により、ＵＳＢメモリ４の使用箇所（端末１、及びそのネットワーク上の位置）を認識することが可能となる。

ＵＳＢメモリ４が自己の端末１に装着された場合には、他の端末に装着された場合に比して、上述のように認証条件を付加して精度を向上させ得るので、その分、サービスの程度、例えば取り扱い可能な金額、秘密性のレベル等を高くすることが可能となる。具体的には、商取引の金額、閲覧可能な書類に反映される。

図８は、特定ＡＰ処理部３のＣＰＵによって実行される特定ＡＰ実行処理の手順の一例を示すフローチャートである。まず、特定アプリケーションソフトウエアが実行ファイルとされ（ステップＳ５１）、次いで、ＵＳＢメモリ４のＧＰＳ受信機４１１からの測位情報が取得される（ステップＳ５３）。続いて、ファイル実行結果とＧＰＳ測位情報とが関連付けされて、作成ファイル記憶部２３４に記憶される（ステップＳ５５）。なお、ＧＰＳ測位情報は、ＵＳＢメモリ４が予め登録されている対応する端末１以外の端末１で使用された場合（すなわち、媒体識別情報と会員識別情報との組合せと、端末識別情報とネットワーク位置情報との組合せとが関連しておらず、不一致である場合）にのみ、関連して記憶される態様としてもよい。この場合、タイマ３０５からの日時情報も含まれることで、ＵＳＢメモリ４の利用履歴の確認が可能となる。ＧＰＳ測位情報は建物内では受信出来ない可能性がある。このような場合を考慮して、当該建物に入る直前まで受信された（測位できた）情報のうちの直近の測位情報を一時的に保持し、この情報で代用してもよい。

なお、適正判定部５０１は、測位情報、日時情報、会員識別情報その他の必要な情報と、直近の当該会委員のＵＳＢメモリ４の利用履歴とから、不自然さを判断する機能を備え、不自然さありと判断されると、表示部２５にその旨を表示し、不適切と判定し、あるいは確認情報（例えば会員の氏名）の入力を更に求める態様としてもよい。いずれにしても適正さ判定をより広く行うことが可能となる。自然さの判定基準は、時間的、距離的要素が採用可能である。例えば、直近の利用時点及び利用地点と、今回認証時点及び測位情報との乖離状態から判断する方法である。

図９は、ネットワーク７上での認証サーバシステムの配置の一例を示す図で、図９（ａ）は、認証サーバ５がネットワーク７上に複数接続された状態を示し、図９（ｂ）は、認証サーバの階層構造を示している。認証サーバ５は、基本的には、同一構成を有する。階層構造は、図９（ｂ）に示すように、ツリー構造をなし、１層目の認証サーバ５０１、２層目の認証サーバ５０２、３層目の認証サーバ５０３からなる。図９（ｂ）の例では、認証サーバ５０１が４台で、認証サーバ５０２が２台で、認証サーバ５０３が１台であるが、かかる構成に限定されず、１層目の認証サーバ５０１の台数は所望台数が設定可能である。また、上位の１台に対して下位の２台を割り当てる場合の他、下位の３台あるいはそれ以上の台数を割り当てるようにしてもよい。さらに、階層は３段の他、４段又はそれ以上の所定段数でもよく、あるいは２段でもよい。

本実施形態では、端末１からのアクセスは、１層目の認証サーバ５０１のいずれかに対して行われ、２層目、３層目に直接アクセスすることはできない構造としている。これは、例えば、１層目の認証サーバ５０１にはそれぞれグローバルのＩＰアドレスが付されており、ネットワーク７を介して端末１から指定可能にしている。一方、２層目以上の認証サーバ５０２，５０３にはＭＡＣアドレスが設定されていて、認証サーバ５０１とのみ接続可能にしている。この結果、ネットワーク７から直接、２層目以上の認証サーバ５がアタックされないようにしている。

会員の端末１が認証サーバ５０１内のいずれの認証サーバと接続されるかは、トラフィックのバランスを考慮しつつ、会員と対応する端末１との組合せ毎に、予め優先順位を設定しておくようにすることが好ましい。この場合に、優先順位１番のＩＰアドレスを設定しておき、それ以降は、必要に応じて優先順位に順次従った認証サーバ５のＩＰアドレスが設定されるようにしておけばよい。このように、多数の認証サーバを採用することで、認証サーバ群として、耐アタック性の向上、すなわちアタックに対する負荷分散を図ることができる。

図１０は、図９の端末１の認証サーバ決定処理の手順の一例を示すフローチャートである。端末にＵＳＢメモリ４が装着されると、認証処理が開始される。まず、優先順位を表すｉが、ｉ＝１に設定される（ステップＳ６１）。次いで、優先順位ｉの認証サーバ５０１へアクセスが行われ（ステップＳ６３）、優先順位ｉの認証サーバ５０１が対応可能か否かの判断が行われる（ステップＳ６５）。具体的には、認証サーバ５０１に認証のためのリクエスト信号の送信を行って、当該認証サーバ５０１が認証処理の担当が可能かどうかの対応（対応可否の返信信号）を待つ。対応可能であれば（ステップＳ６５でＹＥＳ）、端末１から、認証のための所要の各信号が当該認証サーバ５０１に送信される（ステップＳ６７）。

一方、ステップＳ６５で、対応不可の旨の返信信号が返信されてくると、優先順位ｉが１だけインクリメントされ（ステップＳ６９）、優先順位ｉが最大数Ｉを超えないことを条件に（ステップＳ７１でＮＯ）、次の優先順位の認証サーバ５０１にリクエスト信号が送信され、このようにして、優先順位に従って順次認証リクエストを試みる。なお、１層目の全ての認証サーバ５０１で対応不可であった場合には（ステップＳ７１でＹＥＳ）、本フローを終了する。

図１１は、図９の認証サーバ間の情報授受の手順の一例を示すフローチャートである。１層目の認証サーバ５０１であって、端末１からの認証リクエスト信号に対して対応可能との返信信号を返信した認証サーバ５０１は、アクセス元の端末１の優先順位ｉ＝１に対応する認証サーバか否かが判断される（ステップ＃５１）。優先順位ｉ＝１に対応する認証サーバであれば、前述した認証処理が実行され（ステップ＃５３）、認証処理後に、当該認証サーバ５０１、及び対応する上位（２層目の認証サーバ５０２）、最上位の認証サーバ５０３の情報を更新するための情報の送信が行われる（ステップ＃５５）。

一方、ステップ＃５１で、自己の認証サーバ５０１が、アクセス元の端末１における優先順位ｉ＝１でなかった場合、対応する上位の認証サーバ５０２にアクセス会員の情報が有るか否かが判断される（ステップ＃５７）。なお、リクエスト信号には、ＵＳＢメモリ４から各種の識別情報等が認証サーバ５０１に送信されているとする。

リクエスト会員の情報が有れば、当該上位の認証サーバ５０２に対して、アクセス元の端末及びアクセス会員の情報を要求する処理が行われる（ステップ＃５９）。この情報要求によって、アクセス先の認証サーバ５０１で認証処理が実行可能となる（ステップ＃５３）。認証処理後は、優先順位ｉ＝１の認証サーバ５０１および対応する認証サーバ５０２，５０３に対して情報の更新処理が実行される（ステップ＃５５）。なお、ステップ＃５７は、会員が、対応して登録されている端末１からリクエストを行ったか否かを判断するものである。

一方、ステップ＃５７で、対応する上位の認証サーバ５０２にアクセス会員の情報がなければ、最上位の認証サーバ５０３に対して、アクセス元の端末及びアクセス会員の情報を要求する処理が行われる（ステップ＃６１）。この情報要求によって、アクセス先の認証サーバ５０１で認証処理が実行可能となる（ステップ＃５３）。認証処理後は、優先順位ｉ＝１の認証サーバ５０１および対応する認証サーバ５０２，５０３に対して情報の更新処理が実行される（ステップ＃５５）。かかる更新処理によって、これにより、ＵＳＢメモリ４がいずれの端末１に装着されても効率的に対応することができる。

なお、本発明は、以下の態様が採用可能である。

（１）特定ＡＰ記憶部２３２に記憶される特定アプリケーションソフトウエアは会員情報管理サーバ８乃至はそれに相当するプログラム認証サーバに格納されており、このプログラム認証サーバからダウンロードされ、インストールされる態様とすることが好ましい。これにより、プログラム認証サーバに対してウイルス対策を施しておくことで、端末１にインストールされた特定アプリケーションソフトウエアを適正状態で実行することが可能となる。また、この場合に、特定アプリケーションソフトウエアを保証のない外部から取得したり、また自作したりすることが考えられる。かかるプログラムに対しては、プログラムやヘッダ情報等利用して作成したコード情報（ハッシュ値コード等）を活用し、周期的にハッシュ値コードを算出し、最初のコードと照合することで、ウイルス感染の可能性を判断することができ、ウイルス感染の可能性のあるアプリケーションソフトウエアの実行を効果的に禁止し得るようにしている。

（２）端末１と認証サーバ５との間の情報の授受は、情報漏洩を考慮して以下の態様を採用することが好ましい。例えば送信情報を所定ビット単位で区分し、かつ例えば２列に交互に振り分けて配列して、それぞれで順次パケットを作成することで、いわゆる合成情報を作成する。次いで、それらを予め設定された異なるルートを経て、所定の認証サーバ５に送信し、また認証サーバ５から受信する方法である。受信側で逆手順を実行することで元に復元可能となる。各パケットをいずれのルートを介して送信するかに関しても、適宜所定のルールで設定されればよい。このようにすることで、仮に複数のルートの内の１つのルートから情報が盗聴されても解読を防止することができる。また、各パケットは所定の暗号処理が施されて送信することが好ましい。暗号ソフト及び復号ソフトも予め複数種類が準備されており、いずれで暗号化（すなわち復号化）するかを不規則に乃至は所定のルールで認証処理毎に決定し、決定内容を端末１と認証サーバ５の双方に送信して対応可能とすることがセキュリティ上、好ましい。

（３）認証サーバ５からパスワードの入力指示が行われるが、これに代えて、会員登録時に撮影等した本人の顔画像を予めＵＳＢメモリ４に画像データとして登録しておき、この顔画像を表示部２５に導いて表示することで、例えば、店舗の店員等に同一人か否かを直接確認させるようにしてもよい。店員は、本人を観察して、所定のキー（本人又は偽人に相当するキーのいずれか）を押下することで、パスワード入力に代えることができる。

（４）変動させる識別情報としては、会員識別情報の他、媒体識別情報、端末識別情報のいずれか、又は複数であってもよい。

認証の方法として、ＵＳＢメモリ４の認証、端末１の認証、両者間における認証等を採用したが、これに代えて、会員が所持する種々の通信端末、例えば携帯電話機を識別する所定桁（１６桁）のコード情報を認証用としてもよい。例えば、ＵＳＢメモリ４に前記識別コード情報を受信する電波受信機を備え、受信した識別コード情報を、ＵＳＢメモリ４が装着された端末１から認証サーバ５に送信する態様としてもよい。端末１に装着した状態で、携帯電話機から受信した識別コード情報を取り込み可能にしておけばよい。これによって、ＵＳＢメモリ４と会員とが認証される。なお、携帯電話機に代えて、識別コード情報が記憶された電子タグ等をＵＳＢメモリ４と共に会員に付与し、ＵＳＢメモリ４が端末１に装着された状態で、電子タグから識別コード情報を取得する態様としてもよい。なお、電子タグとは、ＩＣチップとアンテナとで構成され、無線及び必要に応じて電源電池等を用いて、リーダ/ライタに接触することなく、近距離通信によって、ＩＣチップに格納されたＩＤ等のデータの読み取り、書き込みを行うタグである。

認証の方法として、以下の態様も採用可能である。すなわち、予め認証サーバ５側に、会員の各人の属性情報が照合用情報として記憶（登録）される。属性は、複数種類（項目９が採用され、それぞれ個人が直ぐに思い浮かぶものが好ましい。属性の項目としては、変更がないか少ないものが好ましく、例えば、生年月日、親族の名前、兄弟姉妹の名前、卒業した学校の名前、血液型、星座、日常的に利用する店舗、好きな俳優、好きな歌手、血液型、星座等が候補として挙げられる。そして、認証に際して、認証サーバ５の適正判断部５０１は、登録されている属性項目のうちの一部の項目、例えば２個とか３個の属性項目がランダムに選択され、これらの選択内容は、返答を求めるべく端末１側に送信される。なお、選択される項目数もランダムとしてもよい。端末１では、専用アプリケーションソフトウエアによって、表示部２５に、回答のための入力指示がガイドされ、かつ入力時間が設定される。端末１の専用アプリケーションソフトウエアは、各入力項目に対する入力時間が設定時間内であるか否かを、図略の監視手段によって監視すると共に、設定時間内であれば入力内容を認証サーバ５に送信し、そうでない場合には入力エラー信号を認証サーバ５に送信する。認証サーバ５では、端末１からの信号を図略の判断手段によって判断し、入力内容が送信されたと判断すれば、そのデータと、登録されている照合用情報データとを比較する。一方、端末１から入力エラー信号が送信されたと判断すれば、適正判断部５０１は、別項目を再選択しあるいは全項目から選択をし直して、端末１に送信する。パスワードと異なり、認証の都度、不規則に入力するべき項目が変更され、かつ他人が知らない情報を含むことができるので、高い認証精度が確保される。また、各属性の情報を調べられたとしても、本人以外がその回答を知得するに要する時間と本人の記憶から思い出す時間には圧倒的な差があり、入力に要する時間（好ましくは、例えば数秒乃至は十数秒）を組み合わせることで、本人認証精度がより向上する。また、専用アプリケーションソフトウエアが、操作部２４の内の特定の部材、例えば操作部２４がマウス、タッチパネル及びキーボードを備える態様において、属性入力時にキーボードからの入力信号しか受け付けないようにすることで、不正な操作の回避が図れる。なお、上記入力時間という条件は、必須ではなく、必要に応じて採用することができる。

以上のとおり、本発明は、ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理システムにおいて、会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備え、前記情報処理端末は、情報処理端末を識別する端末識別情報及びネットワークとの接続位置を特定する接続位置情報が記憶される端末情報記憶部と、所定の１又は複数の特定アプリケーションソフトウエアを所定の外部メモリから特定アプリケーション記憶部に書き込むアプリケーション書込手段と、前記特定アプリケーションソフトウエアを起動して、所定の文書の作成及び作成文書の送受信を制御するプログラム実行処理手段と、前記記録媒体が装着されたことを検出する装着検出手段と、前記装着の検出に応答して、前記特定のアプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報を、及び前記端末情報記憶部から前記端末識別情報及び前記接続位置情報を、それぞれ読み出して前記サーバに送信する判定用情報取得手段とを備え、前記サーバは、前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定を行い、判定結果を送信元の前記情報処理端末に返信する判定手段を備え、前記情報処理端末は、前記適正であると判定された場合に前記プログラム実行処理手段の実行を許可する実行許否手段を備えたことを特徴とするものである。この発明によれば、汎用の情報処理端末においても、会員が所持する所定の情報が記憶されている記録媒体を装着し、かつ前記所定の情報によって当該記録媒体の適正をサーバ側で認証することを条件に、汎用アプリケーションソフトウエアの実行空間とは区別された空間で情報処理端末内の特定アプリケーションソフトウエアの実行許否が決定される。

また、前記認証サーバは、前記媒体識別情報及び前記会員識別情報の組合せ、前記端末識別情報及び前記接続位置情報の組合せに関する照合用情報を記憶する照合用情報記憶部を備えることが好ましい。この構成によれば、記録媒体が適正かどうか、かつ情報処理端末が適正かどうかが認証可能となる。

また、前記情報処理端末は、前記ネットワークとの間にファイヤウォールを有し、前記実行許否手段は、前記実行許可を受けた場合、前記ファイヤウォールを汎用機能状態から、予め設定された他の情報処理端末のIPアドレス、所定の通信プロトコル、及び所定のポート番号の組み合わせに適合したパケットのみ通過させる特定機能状態に設定することが好ましい。この構成によれば、特定アプリケーションソフトウエアの実行時には、ネットワークとの間に介設されたファイヤウォールを汎用機能状態（無効化）から機能制限された特定機能状態（有効化）に、セキュリティポリシーが変更されるので、特定アプリケーションソフトウエアの実行に起因する文書ファイル等の情報の漏洩が防止される。

また、前記記録媒体は、位置を特定する情報を取得する位置情報取得手段と、日時を計時する時計手段とを備え、前記プログラム実行処理手段は、実行ファイルで実行された結果に、取得された前記位置情報及び日時を対応付けて記憶することが好ましい。この構成によれば、携行型の記録媒体の使用場所及び使用日時が確認可能となるので、不正使用が抑制される。また、位置情報及び日時情報の履歴を参照する等によって適正の有無判断要素を広げることが可能となる。

また、前記認証サーバは、前記判定時に、前記情報処理端末に対してパスワードの入力を指示するパスワード入力指示手段を備え、前記判定手段は、入力されたパスワードに対する照合をさらに行うことが好ましい。この構成によれば、適正判定をより厳格にすることが可能となる。

また、前記実行許否手段は、前記記録媒体の装着状態を監視し、装着中は、前記実行の許可を維持することが好ましい。この構成によれば、認証時のみ認証情報の監視をするのではなく、特定アプリケーションソフトウエアの実行中、記録媒体を情報処理端末に現実に装着しておく必要があるため、その分、不正使用が防止できる。

また、前記プログラム実行処理手段は、会員に対して所定のサービスを提供するものであり、かつ、前記記録媒体が自己の情報処理端末に装着された場合と、他の情報処理端末に装着された場合とで、前記サービスに差が設定されることが好ましい。この構成によれば、前記記録媒体が自己の情報処理端末に装着された場合には、他の情報処理端末に装着された場合に比して、認証精度が向上するので、その分、サービスの程度、例えば取り扱い可能な金額、秘密性のレベル等を高くすることが可能となる。

１ 端末（情報処理端末）
２ 端末処理部
２１ 制御部
２１１ プログラム実行処理部（プログラム実行処理手段）
２１２ 通信処理部（アプリケーション書込手段）
２１３ ファイヤウォール
２２ ＲＯＭ
２２１ ＯＳ等記憶部
２２２ 端末ＩＤメモリ（端末情報記憶部）
２３ ＲＡＭ
２３１ 汎用ＡＰ記憶部
２３２ 特定ＡＰ記憶部（特定アプリケーション記憶部）
２３３ ネットワーク位置記憶部（端末情報記憶部）
２３４ 作成ファイル記憶部
２４ 操作部
２５ 表示部
３ 特定ＡＰ処理部
３０１ 通信処理部
３０２ 装着検出部（装着検出手段）
３０３ 判定用情報取得部（判定用情報取得手段）
３０４ 実行許否部（実行許否手段）
３０５ タイマ（計時手段）
４ ＵＳＢメモリ（記録媒体）
４０１ 媒体識別情報記憶部
４０２ 会員識別情報記憶部
４０３ ファームウエア記憶部
４１１ ＧＰＳ受信機（位置情報取得手段）
５，５０１，５０２，５０３ 認証サーバ
５０１ 適正判定部（判定手段、パスワード入力指示手段）
５０２ 識別情報変動部（識別情報変動手段）
５１ 照合用情報記憶部
７ ネットワーク

Claims (8)

1. ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理システムにおいて、
   会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、
   前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備え、
   前記情報処理端末は、
   情報処理端末を識別する端末識別情報及びネットワークとの接続位置を特定する接続位置情報が記憶される端末情報記憶部と、
   所定の１又は複数の特定アプリケーションソフトウエアを所定の外部メモリから特定アプリケーション記憶部に書き込むアプリケーション書込手段と、
   前記特定アプリケーションソフトウエアを起動して、所定の文書の作成及び作成文書の送受信を制御するプログラム実行処理手段と、
   前記記録媒体が装着されたことを検出する装着検出手段と、
   前記装着の検出に応答して、前記特定のアプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報を、及び前記端末情報記憶部から前記端末識別情報及び前記接続位置情報を、それぞれ読み出して前記サーバに送信する判定用情報取得手段とを備え、
   前記サーバは、
   前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定を行い、判定結果を送信元の前記情報処理端末に返信する判定手段を備え、
   前記情報処理端末は、
   前記適正であると判定された場合に前記プログラム実行処理手段の実行を許可する実行許否手段を備えたことを特徴とする端末管理システム。
2. 前記認証サーバは、前記媒体識別情報及び前記会員識別情報の組合せ、前記端末識別情報及び前記接続位置情報の組合せに関する照合用情報を記憶する照合用情報記憶部を備えることを特徴とする請求項１に記載の端末管理システム。
3. 前記情報処理端末は、前記ネットワークとの間にファイヤウォールを有し、
   前記実行許否手段は、前記実行許可を受けた場合、前記ファイヤウォールを汎用機能状態から、予め設定された他の情報処理端末のIPアドレス、所定の通信プロトコル、及び所定のポート番号の組み合わせに適合したパケットのみ通過させる特定機能状態に設定することを特徴とする請求項１又は２に記載の端末管理システム。
4. 前記記録媒体は、位置を特定する情報を取得する位置情報取得手段と、日時を計時する時計手段とを備え、
   前記プログラム実行処理手段は、実行ファイルで実行された結果に、取得された前記位置情報及び日時を対応付けて記憶することを特徴とする請求項１〜３のいずれかに記載の端末管理システム。
5. 前記認証サーバは、前記判定時に、前記情報処理端末に対してパスワードの入力を指示するパスワード入力指示手段を備え、
   前記判定手段は、入力されたパスワードに対する照合をさらに行うことを特徴とする請求項１〜４のいずれかに記載の端末管理システム。
6. 前記実行許否手段は、前記記録媒体の装着状態を監視し、装着中は、前記実行の許可を維持することを特徴とする請求項１〜５のいずれかに記載の端末管理システム。
7. 前記プログラム実行処理手段は、会員に対して所定のサービスを提供するものであり、かつ、前記記録媒体が自己の情報処理端末に装着された場合と、他の情報処理端末に装着された場合とで、前記サービスに差が設定されることを特徴とする請求項１〜６のいずれかに記載の端末管理システム。
8. ネットワークに接続された情報処理端末における所与のアプリケーションソフトウエアの実行を管理する端末管理方法において、
   会員が所持する携行型の記録媒体であって、それ自体を識別する媒体識別情報及び前記会員を識別する会員識別情報が記録された記憶部を有する記録媒体と、
   前記ネットワークを介して前記情報処理端末に接続された認証サーバとを備え、
   前記情報処理端末のアプリケーション書込手段は、所定の１又は複数の特定アプリケーションソフトウエアを所定の外部メモリから特定アプリケーション記憶部に書き込み、
   前記情報処理端末の装着検出手段は、前記記録媒体が装着されたことを検出し、
   前記情報処理端末の判定用情報取得手段は、前記装着の検出に応答して、前記特定のアプリケーションソフトウエアのうちの所定の専用アプリケーションソフトウエアが起動されて、装着された前記記録媒体から前記媒体識別情報及び前記会員識別情報を、及び端末情報記憶部から前記情報処理端末を識別する端末識別情報及び前記ネットワークとの接続位置を特定する接続位置情報を、それぞれ読み出して前記サーバに送信し、
   前記サーバの判定手段は、前記媒体識別情報及び前記会員識別情報の組合せから前記記録媒体が適正か否か、かつ前記端末識別情報及び前記接続位置情報の組合せから前記情報処理端末が適正か否かの判定を行い、判定結果を送信元の前記情報処理端末に返信し、
   前記情報処理端末の実行許否手段は、適正であると判定された場合に送信元の情報処理端末に実行許可を返信し、
   前記情報処理端末のプログラム実行処理手段は、前記実行許可を受けた場合、前記特定アプリケーションソフトウエアを起動を許可して、所定の文書の作成及び作成文書の送受信を制御することを特徴とする端末管理方法。

Images