WO2003102795A1 - Procede d'acces multiple a un reseau et dispositif electronique comprenant une fonction d'authentification d'informations biologiques pour l'acces multiple a un reseau - Google Patents

Description

明細書 ネッ トワークマルチアクセス方法およびネッ トワークマルチアクセス用 の生体情報認証機能を備えた電子デバイス 技術分野

本発明は、 ユーザーの生体情報に基づきユーザ一認証を行つて各種の インターネッ トサービスサイ トに簡単かつ安全にアクセスさせるための ネッ トワークマルチアクセス方法に関するものである。

また、 本発明はかかる方法により、 異なるネッ トワーク通信端末を用 いて各種のサービスサイ トにアクセス可能な生体情報認証機能を備えた 携帯型の電子デバイスに関するものである。 背景技術

ネッ トワーク上の個人的な情報、 データ及ぴ、 パーソナルコンビユー タ （P C) などの電子機器の環境設定ファイル （F i 1 e ) へのァクセ ス （A c c e s s ) を管理し、 ユーザー （U s e r ) を認証する手段と して、 ユーザー識別情報 （U s e r I D), パスワード （P a s s w o r d )、 電子メールァ ドレス （E— m a i 1 A d d r e s s )、 ブラウ ザ (B r o w s e r ) の UR Lア ドレス、 P Cへのログイン （L o g I n) 番号、 クレジッ トカード （C r e d i t C a r d) 番号、 各種会 員番号、 ネッ トワークアクセス （N e t w o r k A c c e s s ) 番号 などが一般的に使用されている。

これら多種多様な U s e r I D、 P a s s w o r d、 A d d r e s s、 お気に入り リ ス ト （P r e f e r e n c e L i s t ) 等の不規則 な番号記号列を記録する為には、 利用者自身が記憶する方法、 メモ帳な ど物理的備忘録へ記録する方法、 コンピュータや PDAなどの電子機器 に記憶させる方法などが有る。

近年、 ネッ トワーク上での U s e r I D、 P a s s w o r dを自動 的に入力させる為の方法としては、 マイクロソフト社の A u t o C o mp 1 e t e等の技術でパスヮードを P C側に記憶させる方法が有り、 多数のネッ トワーク上のウェブ （We b ) サーバで導入されている。 また、 P Cへのログイン、 ネッ トワーク上の W e bページへのァクセ ス、 We bページ上の個人的なページへのアクセスコント口一ノレの為に、 指紋センサによりユーザーを認証した上で該当する UR Lァドレス、 口 グィン I D番号、 パスワードを、 P Cを経由して W e bサーバに送付す る指紋センサモジュールが、 ソニー、 オムロン、 米国デジタルペルソナ (D i g i t a 1 P e r s o n a ) 社、 エスティマイクロエレク ト口 二タス （S T M i c r o e l e c t r o n i c s ) 社等より発売され ている。

一方、 個人の健康 · 医療情報、 銀行口座などの金融情報、 住民票など の市民情報が一層電子化 （電子政府化、 e G o v e r nm e n t化） さ れてネッ トワーク上に掲載されていく傾向が有り、 それぞれにアクセス する為の U s e r I D番号、 該当するパスワードなどが新たに必要と なる。 日常生活をする上で、 これらの増加する番号を適切に且つ、 安全 に記憶、 記録及び、 管理する必要性が一層高まっている。

このようなアクセス番号の管理などに関しては次のような米国特許、 米国特許公開公報がある。 米国特許第 6 0 6 9 9 7 0号、 米国特許第 6 2 7 9 1 1 1号、 米国特許第 6 1 3 4 6 5 8号、 米国特許第 6 3 5 3 8 8 9号、 米国特許第 6 3 1 7 5 4 4号、 米国特許第 6 1 2 2 7 3 7号、 米国特許出願公開番号 2 0 0 170 0 4 8 3 5 9、 米国特許第 5 8 6 7 6 4 6号、 米国特許出願公開番号 2 0 0 2/0 0 1 0 8 5 7、 米国特許 出願公開番号 2 0 0 2ノ 0 0 2 7 4 9 4。

一方、 特開 2 0 0 2— 1 0 8 8 2 2号公報においては、 指紋と個人認 証情報により、 予めサーバ上に登録されている、 各種ウェブサービスに 対する I Dとパスワードなどのセキユリティー手段を自動的に起動して, 複数のウェブ上のセキュリティー情報にアクセスを可能とする管理方式 が提案されている。 しかし、 サーバへの指紋データの登録が必要な故、 一般ユーザーには非常に抵抗が有る方式である。

また、 特開 2 0 0 0— 1 0 5 7 4 7号公報においては、 上記の発明と は異なり、 可搬性を持ち生体認識などによる本人認証手段を備えた携帯 機器などに格納されるソフ トウェア媒体を利用し、 その中に格納されて いる個人証明書へのアクセスが出来るとネッ トワークへのシングルログ インを提供する発明が開示されている。

さらに、 特開平 7 - 1 6 0 6 3 8号公報に記載の発明は、 シングル口 グインが実現されている複数の情報機器ネッ トワークにおいて、 セキュ リティーの向上の為、 パスワードデータを自動的に更新する機能を、 ホ スト情報データとしてクライアントに盛り込み、 ユーザーのアクセス状 況を都度この機能によって確認し、 設定の期日に自動的にホス ト側、 ク ライアント側の両社のパスヮードデータを自動更新するものである。 特開 2 0 0 1— 1 3 4 6 8 8号公報に記載の発明は、 特定の P D A装 置と、 それに対してサービスを提供するネッ トワークシステムの全体の 構成に関するものである。 P DAには本人認証装置 （指紋含む） が有り、 これによつて本人がアクセスできるアプリケーショ ン/サービス · メニ ユーが表示される。

特開 2 0 0 2 - 2 4 7 8号公報に記載の発明は、 人の個体識別検出部 と個体識別情報を持つ、 照合/認証性が完全な I Dカード及ぴ多機能 I Dカードに関するものである。

従来においてネッ トワークへアクセスして各種のサービスを受けるた めの認証システムにおいては次のような解決すべき課題がある。

( 1 ) ネッ トワークへのアクセスを維持し、 各種のサービスを享受する 為には、 多種多様の I D番号、 パスワード、 U R L等の不規則な番号 ' 記号列を正確に記憶、 記録、 保存しておかねばならない （正確な保存の 必要性）。

( 2 ) ネッ トワークへアクセス し、 各種サービスを享受する為に、 ユー ザ一は番号 ·記号列を正確に入力しなければならない （厳格な入力の必 要性）。

( 3 ) ネッ トワークへアクセスする電子機器を複数所有する場合は、 各 機器毎にこれらの番号 ·記号列を記録させるか、 又は、 各機器毎に入力 する必要が有る。 電子機器を購入した場合は、 該当する電子機器に新た に、 必要なユーザー I D番号などの番号 ·記号列の記録、 又は入力が必 要で管理が煩雑である （散在する機器での管理の煩雑さ）。

( 4 ) 複数のネッ トワークで、 複数のサービスを使用する場合は、 複数 個の番号文字列の記憶、 記録、 管理が必要であり、 しかも、 増大する新 たなサービスが追加されるたびに新たな番号 ·記号列が発行され、 ユー ザ一が管理すべき個数は増大傾向にあり手間がかかる （増大する番号 ' 記号列の管理の煩雑さ）。

( 5 ) これらの番号 ·記号列を、 万一他人に知られた場合は、 なりすま しにより簡単に個人の重要情報にアクセスされてしまう。 又、 ユーザー に気付かれずに悪意の第三者によりインス トールされたスィツチにより . 重要な番号 ·記号列が知らぬまに盗まれる、 盗み見されている可能性も あり管理への配慮がますます必須である （個人管理の難しさ、 危険性の 内在）。

( 6 ) 情報管理のセキュリティを高める為には、 番号'記号列を長く し 暗号解読のリスクを削減する、 番号'記号列を複数個用意してアクセス 管理の関所を増やす、 番号'記号列をランダムにし、 盗難に対するリス クを削減する等の方法が有る。 しかし、 ユーザーは長く、 且つ、 複数個 の暗号記号列の記憶 '記録が必要となり、 また、 毎回異なるランダムな 番号記号列を、 その都度入力する必要があるので不便である （高安全性 と利便性の相反）。

( 7 ) 万一、 番号'記号列を失念、 紛失した場合、 サービスへアクセス 出来ない、 新たな番号'記号列の発行依頼、 全ての登録のし直し等の膨 大な手間が発生する （失念、 紛失の場合の非可逆性）。

( 8 ) 電子メールア ドレス等のコンタク ト情報、 好みの U R L情報、 ク レジッ トカード番号、 P Cの個人環境設定ファイルなどの個人用情報が 欠如した場合、 例えネッ トワークにアクセスしても通常のパーソナライ ズされたサービスを享受出来ない、 又は、 限定されたサービスしか享受 できなくなり、 ユーザーにと り非常に不便である （情報の欠如による機 能の低下）。

( 9 )指紋センサ、虹彩センサ等を使用したアクセス制御機器が有るが、 サイズ、 機能の観点より、 本格的な可搬性が考慮されておらず、 情報を 常に携帯せねばならず、且つ、複数のネッ トワークアクセス機器が企業、 家庭、 移動中、 移動先に散在している今日の状況では不便である。 又、 これらのアクセス制御機器は記録可能な情報の種類、 サイズが限定的で あり不便である （可搬性、 可搬出来る情報の制限）。

( 1 0 ) 一方、 全ての情報を統合的に、 電子的に管理するには、 P D A、 ノートパソコン、 デスク トップパソコンなどの電子機器があるが、 デス ク トップパソコン、 ノートパソコンには常時、 どこへでも携帯する可搬 性が欠如しており不便である。 P D Aには可搬性が考慮されているが、 操作性が劣るため、 パソコンに取って代わる電子機器となり得ていない のが現状である （既存電子機器における可搬性と操作性の相反性）。 発明の開示

本発明の課題は、 利用環境を問わず、 携帯型の電子デバイスを使用す ることにより、 ネッ トワークサービスの要求するセキュリティ要求を含 むアクセス手段を意識することなく、 しかも、 1回の操作のみで、 複数 のネッ トワークサービスにアクセス可能なネッ トワークマルチアクセス 方法を提案することにある。

また、 本発明の課題は、 従来のワンタイム 'パスヮード方式に比べて、 クライアントおよびサーバ間において時間同期や回数同期が不要であり . また、 乱数表も必要とせず、 しかも、 サービスサイ ト側でのシステム変 更も軽微でよい、 低コス ト、 高セキュリティーのユーザー認証機能を備 えたネッ トワークマルチアクセス方法を提案することにある。

さらに、 本発明の課題は、 ネッ トワーク上のサーバから一時的な電子 証明書を発行し、 生体情報認証機能を備えた電子デバイスが接続されて いる P Cなどのネッ トワーク通信端末上において、 同電子証明書を使用 したサーバに対して安全なアクセスを行うことのできるネッ トワークマ ルチアクセス方法を提案することにある。

さらにまた、 本発明の課題は、 生体情報認証機能を備えた電子デバィ スが P Cなどのネッ トウーク通信端末に接続されると、 自動的に当該電 子デバイスが認識され、 必要なィンス トール作業を自動的に行うォート ローディング機能を備えたネッ トワークマルチアクセス方法を提案する ことにある。

一方、 本発明は、 上記のネッ トワークアクセス方法に用いるのに適し た携帯型の生体情報認証機能を備えたネッ トワークアクセス用の電子デ バイスを提案することにある。

上記の課題を解決するために、 本発明のネッ トワークマルチアクセス 方法では、 小型で可搬性と生体情報方式のユーザー認証機能及び、 個人 情報及びそれに関連したネッ トワーク ·セキュリティ設定情報の情報サ ーパ機能を有するネッ トワークアクセス用電子デバイスが、 ネッ トヮー ク上の管理サーバと連携して必要な情報を相互処理することで、 サービ スサイ トが所有しているセキュリティ—レベルに応じたネッ トワークァ クセス及ぴ、 ネッ トワーク上のサービスへのアクセス用の手段を当該電 子デバイスが自動的に講じ、 一台で各種ネッ トワークサービスにァクセ ス可能であり、 且つ、 利用者の一動作によって上記一連の作業が完結す ることを特徴と している。

また、 本発明のネッ トワークアクセス用電子デバイスは、 生体情報認 識センサによる所有者認証機能を有し、 ネッ トワークマルチアクセスに 必要な情報及び手段を記憶する記憶部分が有り、 所有者本人が認証され るとネッ トワーク上の管理サーバに自動的にアクセスし、 所有者本人の 情報を管理サーバから取得する機能を備えている。

本発明によれば、 利用環境を問わず、 小型のネッ トワークアクセス用 電子デバィスを使用することにより、 ネッ トワークサービスの要求する アクセス手段 （セキュリティ要求を含む） を意識することなく、 且つ、 1回の動作のみで、 複数のネッ トワークサービスへのアクセスを完了す ることが可能となる。

更に、 本発明のネッ トワークマルチアクセス方法は、 ネッ トワーク上 のワンタイム · パスヮードを発行するワンタイム · パスワード発行サー パを介して、 生体情報認証機能を備えたネッ トワークアクセス用電子デ バイスと、 サービスサイ ト側に設置されたゲートウェイとの間で、 時間 同期、 回数同期、 乱数表を必要とせずに、 安全、 確実なワンタイム ' パ スヮード方式のユーザー認証を実行することも特徴としている。

本発明によるネッ トワークマルチァクセス方法によれば、 従来のヮン タイム . パスワード方式と比べて、 クライアントとサーバの間で、 時間 同期、 回数同期、 乱数表を必要とせずに、 しかも、 サービスサイ ト側の システム変更も少なくて済むので、 低コス ト、 高セキュ リティのユーザ 一認証方式を実現できる。

すなわち、 本発明のネッ トワークマルチアクセス方法は、 ユーザーの 生体情報を読み取る生体認識センサを備えた携帯型のネッ トワークァク セス用電子デバイスと、 この電子デバイスを装着して使用するネッ トヮ ーク通信端末と、 このネッ トワーク通信端末からのアクセスに応答する 管理サーバと、 サービスサイ トのフロントェンドにあって管理サーバと の通信を制御するェクステンショ ンサーバと、 アクセス対象のサービス サイ トにより構成されるネッ トワーク上において、 サービスパスヮー ド 等をセキュアに通信する方法を提供するものである。

次に、 本発明のネッ トワークマルチアクセス方法では、 携帯型ネッ ト ワークアクセス用電子デバイスだけを持ち歩く ことで、 当該電子デバィ ス所有者が移動先のネッ トワーク接続機能を有したネッ トワーク接続端 末に対し一時的な電子証明書を持たせるようにしたことを特徴としてい る。 さらに、 一時的に発行された同電子証明書は、 使用後に自動消滅さ せることを特徴と しているので、 痕跡が残らず、 利用者にとっても安心 な方法を実現できる。

すなわち、 本発明の方法では、 ユーザーがサービスサイ トにアクセス しょう とする度に管理サーバから、 電子デバイスが装着された P Cなど のネッ トワーク通信端末に対して P K I鍵ペアならびに電子証明書が発 行される。 この鍵ペアおよび証明書を用いて、 ユーザーはネッ トワーク 通信端末上からサービスサイ トに対してセキュアな通信を行う ことがで きる。 ここで、 電子デバイスは、 自己の電子証明書を持ち、 管理サーバ は自己の電子証明書をもつことが前提となっている。

本発明の方法によれば、 ユーザーの生体認識装置を備えた携帯型ネッ トワークアクセス用電子デバイスと、 この電子デバイスを装着して使用 するネッ トワーク通信端末と、 このネッ トワーク通信端末からのァクセ スに応答する管理サーバと、 ユーザーがアクセスしょう とするサービス サイ トにより構成されたネッ トワーク上において、 ネッ トワークァクセ ス用電子デバイスとサービスサイ ト間のセキュアな通信を実現すること ができる。 JP02/13826

次に、 本発明のネッ トワークマルチアクセス方法は、 ネッ トワークァ クセス用電子デバイスが: P cなどのネッ トワーク通信端末に接続される と、 自動的に当該電子デバイスが認識され、 必要なインス トール作業を 自動的に行うオートローディング機能を備えていることを特徴としてい る。 すなわち、 本発明の方法では、 装着した電子デバイスを一旦記憶装 置として動作させ、 さらには、 自動実行プログラムを持っているという 情報を当該電子デバイスからネッ トワーク通信端末に送り、 本来のドラ ィバをインス トールするという方法をとっている。 これにより、 従来ド ライバを格納したメディアをィンス トール中に挿入していた手間を省き. デバイスの移動性 （モビリティ） を高めることができる。 図面の簡単な説明

図 1は、 本発明を適用したネッ トワークマルチアクセスシステムの全 体構成を示す概念図である。

図 2は、 図 1のシステムによるサービスサイ トなどへのアクセス時の セキュリティレベルを示すための説明図である。

図 3は、 図 1のシステムにおける トークンを P Cに装着する状態を示 す説明図、 およびトークン装着時のォートローディングを示すフロ一チ ヤー トである。

図 4は、 図 1のシステムにおけるバーチャルネッ トワーク ドライバの 機能を説明するための説明図である。

図 5は、 図 1のシステムにおけるセキユリティ鍵の構造を示す説明図 である。

図 6は、 図 1のシステムにおけるパーソナルメニューの利用手順を示 す説明図である。

図 7は、 図 1のシステムのトークンにおけるデータ暗号化方法を示す 説明図である。 図 8は、 図 1 のシステムにおける トークンの利用手順 （初期登録） を 示す説明図である。

図 9は、 図 1のシステムにおける複数ユーザーによる トークンの利用 手順 （初期登録） を示す説明図である。

図 1 0は、 図 1 のシステムにおける トークン利用開始時における P C 画面の変化を示す説明図である。

図 1 1は、 図 1 のシステムにおける複数ユーザーによる トークン利用 開始時における P C画面の変化を示す説明図である。

図 1 2は、 図 1 のシステムにおける トークンの初期登録手順を示すフ ローチャートである。

図 1 3は、 図 1のシステムにおけるマルチアクセス動作を示すフロー チヤ一トである。

図 1 4は、 図 1のシステムにおけるワンタイム ' パスヮードの発行手 順を示すフローチャートである。

図 1 5は、 図 1のシステムにおけるワンタイム ♦パスヮードの発行手 順を示すフローチヤ一トである。

図 1 6は、 図 1のシステムにおけるワンタイム ' パスワー ドの発行手 順を示すフローチヤ一トである。

図 1 7は、 図 1のシステムにおけるワンタイム · パスヮードの発行手 順を示すフローチャー トである。

図 1 8は、 図 1のシステムにおける電子証明書の利用手順を示すフロ 一チヤ一トである。

図 1 9は、 図 1のシステムにおける電子証明書の利用手順を示すフロ 一チヤ一トである。

図 2 0は、 従来のオートローデイング機能を示す説明図である。

図 2 1は、 図 1のシステムにおける トークンの自動認識の手順を示す フローチヤ一トである。 発明を実施するための最良の形態

以下に、 図面を参照して、 本発明の方法を適用したネッ トワークマル チアクセスシステムの実施の形態を説明する。

(全体構成および機能）

図 1は、 本例のネッ トワークマルチアクセスシステムの全体構成を示 す概略構成図である。

本例のネッ トワークマルチアクセスシステム （以下、 単に、 本件シス テムと呼ぶ場合もある。） 1は、 携帯型の生体情報認証機能を備えたネ ッ トワークマルチアクセス用の電子デバイス (以下、 「マルチアクセス トークン」 あるいは単に 「トークン」 と呼ぶ場合もある。） 1 0 と、 こ のマルチアクセス トークン 1 0を装着して使用可能な各種のネッ トヮ一 ク通信端末 2 0に対して通信回線、 例えばィンターネッ ト 3 0を介して 接続可能な管理サーバ 5 0 とを備えている。 これら電子デバィス 1 0 と 管理サーバ 5 0によって、 各種のネッ トワーク通信端末 2 0からインタ ーネッ ト 3 0などの通信回線を介して接続可能な各種のサービスサイ ト (各種ウェブサーバを含む） 4 0にアクセス可能となっている。

ネッ トヮーク通信端末 2 0 と しては、 例えば、 オフィスのコンビユー タ 2 0 a、各家庭のコンピュータ 2 0 b、移動中のコンピュータ 2 0 c、 車載コンピュータ 2 0 d、 テレビゲーム機 . セッ ト トップボックスなど の各種ネッ トワーク機器 2 0 e等がある。サービスサイ ト 4 0 と しては、 企業のィントラネッ ト 4 0 a、 ェクステンショ ンサーバを介して接続さ れているオンラインショ ッビングサイ ト 4 0 b、 電子メールサーバ 4 0 c、 ェクステンションサーバを介して接続されているオンラインバンキ ングサイ ト 4 0 d、 オンラインゲームサイ ト 4 0 e等がある。

マルチアクセス トークン 1 0は、 個人情報の安全な格納手段を提供す る電子デバイスであると共に、 ネッ トワーク通信端末 2 0に装着するこ とにより当該通信端末 2 0から各種のサービスサイ ト 4 0に対して簡単 かつ極めて安全な形態でアクセスして通信接続を確立可能なものである _c かかる機能を実現するために、 本例のマルチアクセス トークン 1 0は、 そのメモリ 1 1に、 ユーザーの個人情報と、 装着された通信端末 2 0を パーソナライズするための個人環境設定ファイル、 通信端末 2 0に電子 デバイス 1 0を認識させて駆動させるためのデバイス ドライバを含む各 種プログラムが格納されている。

また、 マルチアクセス トークン 1 0は、 指紋センサや虹彩センサなど の生体認識センサ 1 2を備えており、 ユーザーの生体情報を読み込み、 予めメモリ 1 1に登録されているユーザー生体情報と比較して、 当該マ ルチアクセス トークン 1 0を利用したネッ トワークマルチアクセスを許 可するか否かを判別する生体情報認証機能を備えている。

メモリ 1 1に格納されている主な情報は次の通りである。

( 1 ) 各種ウェブサーバおょぴサービスサイ トへのアクセス I D番号お ょぴパスワードと、 関連するウェブサーバおよびサービスサイ トの UR

Lァ ドレス情報

( 2) 各種ネッ トワークへのアクセス I D番号、 ユーザー I D番号、 お よびパスワー ド

( 3) 電子証明書

(4 ) R S Aなどのランダムパスワード発生ソフトウェア

( 5 ) ロングパスワー ド自動発生ソフ トウェア

( 6 ) ワンタイムパスワー ド管理ソフ トウェア

(7 ) アウトルックなどの Eメールアプリケーション用の連絡帳リス ト

(8 ) ブラウザのプリファ レンス UR Lのリス ト

(9 ) ユーザー個人データ （ユーザーの名前、 生年月 日、 住所、 クレジ ッ トカー ド番号、 ソーシャルセキュ リティ番号、 タ ックス番号、 銀行口 座番号、 運転免許証番号、 住民台帳上の番号、 生命保険等の保険証券番 号等）

( 1 0) P C等の電子機器の個人環境設定ファイル （デスク トップ環境 等の設定情報含む）

( 1 1 ) ユーザーの指紋、 虹彩などの生体情報

本例のマルチアクセス トークン 1 0は、 後述のように、 登録されてい るユーザーの生体情報を、 ネッ トワーク上に送出せずに、 ネッ トワーク 側の要求に応じて、 生体情報以外の必要なデータのみを送信するように なっている。 これにより、 生体情報が盗難に遭うことによる、 セキユリ ティ上の危険を排除することが可能である。

また、 マノレチアクセス トークン 1 0は、 複数のセキュリティ · レべノレ に対応した、 セキュア ' ログイン ' サービスを提供する。 すなわち、 ュ 一ザ一のアクセス先のサービスに応じて内部に保存されているユーザー

I D、 パスワードなどの個人情報を正確に、 且つ、 安全に、 アクセス先 のサーバに送付する。 ここで、 個人情報の重要度に応じて、 例えば、 3 つの送付方法を採用可能となっている。 これらの送付方法を図 1、 図 2 を参照して以下に示す。

( 1 ) L e v e l 1 : ノーマノレ ' セキュリティ ' モー ド

ノーマノレ . セキュリティ ' モードでは、 マノレチアクセス トークン 1 0 の内部に格納する固定のユーザー I D、 パスワードを、 インターネッ ト 3 0上の対応するサービスサイ ト （UR L) 4 0の I D入力画面に直接 入力するモードであり、 トークン 1 0の内部のみで処理を完結させる仕 組みである。 このモードの利用形式として、 例えば以下のような 3つの 形式が利用可能である。

a ) 通常モード ： 通常モードでは、 一般的なユーザー自身が登録する ユーザー I D、 パスワー ドの入力を自動的に代行する。 トークン 1 0の メモリ 1 1に I Dとパスヮードを登録しておくことにより、 ユーザーは 複数の I D、 パスヮードを記憶する必要がなくなる。 2/13826

14 b ) 口ングノ スワー ド . モー ド ： このモー ドでは、 ィ ンターネ ッ ト 3 0上のサービスサイ ト 4 0での I D、 パスヮー ドの初期登録処理そのも のを トークン 1 0が代行することで、 一般的には記憶不可能な長さの I D、 パスワードを登録することが可能である。 この際、 ユーザーは当該 I D、 パスワー ドを知らずとも、 電子データと してトークン 1 0 の内部 のみに記憶され、 当該サービスサイ ト 4 0に対する自動入力による口グ インを実現することが可能である。 ユーザーは I Dをそもそも知らない ため、 不注意による I D、 パスワー ドの流出の危険性が殆ど無く なる。

c ) 既存ランダムパスワー ド ' モー ド ： このモー ドは、 例と して R S Aのワンタイム . パスワード · システムなどを採用している場合に用い られる。 即ち、 R S Aなどの既存システムのユーザー用クライアント · ソフ トウエアを内蔵しているケースでは、 ネッ トワーク側からワンタイ ム · パスヮードを要求してく る際に、 ユーザーが生体認証を行う ことに よって、 固有のワンタイム 'パスヮード発生用コードがクライアント · ソフ トウェアに対して入力され、 それによつてワンタイム · パスワード がネッ トワーク側に発信され、 サービスへのアクセスが可能となるよ う なシステムを構築可能である。 この場合、 ワンタイム . パスワード発生 用のコードをユーザーに知らせることなく、 生体情報の登録のみでワン タイム . パスヮードの仕組みを利用することが可能なため、 コード流出 の危険が無く なり、 既存のシステムのセキュリティを格段に向上させる ことが可能である。

( 2 ) L e V e 1 2 ： ミ ドル ' セキュ リ ティ ' モー ド

ミ ドル . セキュリティ · モードでは、 サービスサイ ト 4 0側の要求に 応じて、 トークン 1 0の内部に予め格納、 あるいはサービスサイ ト 4 0 より配布されている、 電子証明書をサービスサイ ト 4 0に送付し、 トー クン 1 自体の認証を行うことによって、 更にセキュリティ ' レベルを向 上させることが可能である。 JPO細 26

15 ここで、 トーク ン 1 0の内部に格納されている電子証明書を利用して サービスサイ ト 4 0との間の相互認証を行うことにより、 トークン 1 0 が接続している P C 2 0に対する一時的な電子証明書を別途発行し、 こ れによってセッション中のセキュリティを維持することを可能としてい るところに特徴がある。

( 3 ) L e v e l 3 ： ノヽィ 'セキュリティ ' モード

ハイ 'セキュリティ · モードでは、 ネッ トワーク側との同期を必要と しない新しい仕組みのワンタイム 'パスヮード発行システムを提供する。 即ち、 ィンターネッ ト 2 0上のサービスサイ ト、 イントラネッ ト 4 0な どは、 トークン 1 0からのアクセス要求があった際に、 ネッ トワーク上 のワンタイム ' パスワー ド管理サーバ （エクステンショ ンサーバ） 6 0 へのアクセスを指示する。

トークン 1 0は当該サーバ 6 0にアクセスして、 予め設定された範囲 内でのみ有効なヮンタイム ·パスヮードを入手し、 改めて当該パスヮー ドによるサービスへのアクセスを試みる。

サービスサイ ト 4 0の側では送付されてきたヮンタイム ·パスヮード の認証を、 上記管理サーバ 5 0に対して要求し、 これが認証されること によってアクセスを許可する。

このようなシステムにおいては、 ネッ トワーク側とクライアント · ソ フトウェアの同期処理などが全く不要であるため、 極めて低価格のシス テムを提供することが可能であり、 かつ、 管理サーバ 6 0側で発生する ワンタイム . パスワードは、 完全にランダムなものを利用することが可 能であるため、 予測不能である。

また、 サービスサイ ト 4 0の側では既存システムを残したまま、 新た に簡易ゲートウェイ装置を設けるだけで本機能を付加することが出来る 点も特徴である。

尚、 図に示してはいないが、 本例のトークン 1 0は、 個人認証手段と、 電子証明書の管理機能とを備えるため、 これらのデータをもとに、 ネッ トワーク上のサービスサイ ト 4 0の要求に対して、 予め定められた V P N用ソフ トウェアを自動的に実行し、 通信中のセキュリティを極めて高 度なものに確保することも、 当然可能である。

次に、 本例のマルチアクセス トークン 1 0によるデータの登録、 暗号 化、 コピーサービスについて説明する。

まず、 生体認証とオートマク ロ機能を利用した新規サービス、 I Dな どの登録について説明する。 図 6に示すように、 マルチアクセス トーク ン 1 0は、 P C 2 0に認識され、 登録者の生体情報をスキャンすると、 自動的に自動設定された管理サーバ 5 0にアクセスして、 登録者個人の サービスメニュー （登録者が事前に登録したもの） を表示することが出 来る。 選択されたサービスが特定のサーバ 4 0へのアクセスの場合、 管 理サーバ 5 0はマルチアクセストークン 1 0が記憶しているアクセスに 必要な個人情報を相手方のサービスサーバ 4 0へトークン 1 0より直接 送信するように指示する。 また、 ユーザーが通常のログイン手続と同じ 動作を行うことで、 簡単にトーク ン 1 0への新規サービスとパスヮード の追加登録が可能である。

すなわち、マルチアクセス トークン 1 0が P C 2 0に接続されると（矢 印 a )、 管理サーバ 5 0からサービス開始用の共通鍵が送付され （矢印 b )、 トークン 1 0がユーザー I Dを暗号化して管理サーバ 5 0に送付 し （矢印 c )、 管理サーバ 5 0は登録者個人のサービスメニュー （パー ソナル . メニュー） のアクセス用 U R Lを送信する （矢印 d )。 次に、 ィンターネッ トブラゥザが自動的に立ち上がり、 パーソナル · メニュー に自動的にアクセスする （矢印 e )。 パーソナル . メニューから希望の サービスを選択することにより、 選択したサービスサイ ト 4 0にァクセ スできる （矢印 f )。

つぎに、 登録されたデータの、 生体認証による保護、 生体認証による セキュア . コピーについて説明する。 図 7に示すように、 マルチァクセ ス トークン 1 0の内部に保管されたデータは、 全て生体情報によって喑 号化された形態で保管されているので、 万一、 マルチアクセス トークン 1 0を壊されてメモリ 1 1を読まれても、 それらを解読できない。 すな わち、 トーク ン 1 0に生体情報が入力されると （ブロック 7 1 )、 入力 された生体情報の認証が行われ （ブロック 7 2 )、 シャッフル鍵および 暗号化鍵が生成される （ブロック 7 3、 7 4 )。 元データ 7 5は、 シャ ッフル鍵を利用して、一次データ 7 6に変換される。 一次データ 7 6は、 暗号化鍵を利用して暗号化データ 7 7に変換される。 このように、 元デ ータの配列を入れ替えて、 暗号化を行っている。 なお、 図 5にはセキュ リティ鍵の構造を示してある。

トークン 1 0に内蔵の生体情報センサ 1 2 (例えば、 指紋センサ等） により、 登録した生体データと、 スキャンした生体データとが一致しな いと、 トークン 1 0の内部のアプリケーションが動作しない。 従って、 予め登録したユーザー以外の人間には、 搭載アプリケーショ ンやデータ の使用が一切できない。

また、 マノレチアクセス トークン 1 0の内部のパスヮードゃクレジッ ト カード番号などの貴重なデータは、 同一の生体データが登録された別の マルチアクセス トークンに対してコピーが可能であり、 従って、 高いセ キユリティを保つことが可能である。

次に、 本例のマルチアクセス トークン 1 0による通信セキュリティ ' データ履歴防御機能について説明する。 まず、 図 3を参照してトークン 1 0の利用開始と、 セキュアな通信経路の確保について説明する。

マルチアクセス トークン 1 0は、 小型で可搬性があり、 一般的なドラ ィバソフトと専用のネイティブなドライバソフ トの双方が格納されてい る。 従って、 マルチアクセス トークン 1 0をネットワークに接続された 電子機器 2 0に接続すると、 使用可能になる。 すなわち、 トークン 1 0 を P C 2 0に接続 (プラグ · イン) すると (ブロック 3 1 )、 P C 2 0 では トークン 1 0を認識し (ブロック 3 2 )、 ト一クン 1 0にデバイス タイプの問合せを行う。 トークン 1 0がデバイスタイプを回答すると（プ ロック 3 3 )、 P C 2 0はデバイスセッ トアツプを行い （ブロック 3 4 )、 ドライブマッピングを行う （ブロ ック 3 5 )。 次に、 ネイティブドライ バのオー トランを実行し （ブロック 3 6 )、 U S B接続をリセッ トする (ブロック 3 7 )。 しかる後に、 ネイティブドライバによる再セッ トァ ップを行う (ブロック 3 8 )。

また、 図 4に示すように、 接続先の P C (電子機器） 2 0の内部にバ ーチユア/レドライノく 4 1 をインス ト一ノレし、 このバーチュアルドライバ 4 1経由でアプリケーショ ン 4 2を動かし、 P C 2 0 の内部に履歴を残 さないようにしている。

このよ う に、 トークン 1 0は、 接続先の P C 2 0に対して、 接続時に ネイティブなドライバソフ ト 4 3をインス トールするが、 当該ドライバ ソフ ト 4 3に対して自動ログ消去機能を持つプログラムを盛り込むこと により、 トークン 1 0 と P C 2 0 との間の接続が切断された際には、 自 動的に当該ログ消去プログラムが立ち上がり、 上記ドライバソフ トの消 去とともに、 トークン 1 0が接続されていた間の利用履歴を消去する仕 組みを提供することが可能である。

次に、 本例のマルチアクセス トークン 1 0による利用環境のパーソナ ライズ · サービスの提供について説明する。 本例の トークン 1 0を利用 することによって、 ユーザーは、 どの P C 2 0を利用しても、 トークン 1 0をプラグインすることによってデフオルトのデスク トップ環境を P C 2 0上に再現可能である。

本機能は、 前述した個人環境設定ファイル （デスク トップ環境などの 設定情報を含む） が、 トークン 1 0のネイティブドライバのインス ト一 ル後に自動的に P C 2 0上に展開されることによって提供される。 デスク トップ環境情報は例えば以下のよ うな情報を含むものである。

( 1 ) デスク トップ ' アイ コン

( 2) デスク トップ · アイコンにリ ンクするソフ トウェア ' プログラム 情報

( 3 ) インターネッ トのお好み U R Lリス ト

(4) ネッ トワーク上のファイルなどと リ ンクするブリーフケース型の 共有ファィル · フォルダー

(ユーザー初期登録の手順）

図 8〜図 1 2には、 ユーザーによる、 トークン 1 0への生体情報の登 録プロセスを示してある。 最初に、 図 8、 図 1 0および図 1 2を参照し て単一のユーザー登録の場合を説明する。 まず、 トークン 1 0をネッ ト ワーク通信端末である P C 2 0に装着 （接続） する （矢印 8 1 )。 トー クン 1 0が P C 2 0に接続されると、 前述の図 3のスロッ トインコンプ リートに示す手順により P C 2 0のォートコンフィギュレーショ ンが行 われる （プロ ック 8 2 )。 次に、 生体情報認識センサ 1 2を用いてユー ザ一の指紋などの生体情報を登録する （矢印 8 3 )。 この際に、 緊急お よび精度向上のために複数登録できるようにすることが望ましい。また、 緊急のためのパックアップ用のパスヮードを登録可能とすることが望ま しい。 生体情報が登録されると、 これに基づき鍵ペアが生成され、 トー クン 1 0のメモリ 1 1の所定場所に登録される （矢印 8 4)。 鍵ペアは 公開鍵お'よび秘密鍵からなる。

図 1 0には、 この生体情報の登録プロセスにおけるスクリーンの表示 例を示してある。 トークン 1 0が P C 2 0に接続されると、 P C 2 0の 画面が自動起動メ -ユー 1 0 1に切り替わり、 次に、 初期登録要求画面 1 0 2に切り替わる。 次に、 生体情報の入力要求画面 1 0 3に切り替わ る。 生体情報は確認のために再度の入力要求画面 1 0 4が表示される。 生体情報が入力されると、 鍵ペアの生成画面 1 0 5に切り替わり、 しか る後に、 初期登録完了画面 1 0 6に切り替わる。

図 1 2には、 かかる初期登録手順のフローチャートを示してある。 ト 一クン 1 0を P C 2 0に接続すると （ブロック 1 2 1 )、 ネイティブド ライバのォ一トローディングが行われ (ブロック 1 2 2 )、 P C 2 0の 画面上に初期登録メニューが表示される （ブロック 1 2 3 )。 次に、 生 体情報が入力されると （ブロック 1 2 4、 1 2 5 )、 個人情報の入力が 行われる （ブロック 1 2 6 )。 この後は、 セキュリティ レベルの登録が 行われ （ブロック 1 2 7 )、 個人情報の入力が終了し、 登録作業が終了 すると （ブロック 1 2 8、 1 2 9)、 トーク ン 1 0を P C 2 0力、ら切断 して （ブロック 1 3 0 )、 初期登録手続きが終了する。

図 9、 図 1 1には複数ユーザーの登録を 1台のトークン 1 0に行う場 合の手順を示してあり、 この場合も、 基本的には図 8、 図 1 0、 図 1 2 と同様な手順により行われる。

すなわち、 図 9に示すように、 トークン 1 0をネッ トワーク通信端末 である P C 2 0に装着 （接続） する （矢印 9 1 )。 トークン 1 0が P C 2 0に接続されると、 前述の図 3のスロッ トインコンプリートに示す手 順により P C 2 0のォートコンフィギュレーン 3ンが行われる （ブロッ ク 9 2)。 次に、 生体情報認識センサ 1 2を用いてユーザーの指紋など の生体情報を登録する （矢印 9 3 )。 この際に、 緊急および精度向上の ために複数登録できるようにすることが望ましい。 また、 緊急のための バックアップ用のパスヮードを登録可能とすることが望ましい。 生体情 報が登録されると、 これに基づき鍵ペアが生成され、 トークン 1 0のメ モリ 1 1の所定場所に登録される （矢印 9 4)。 鍵ペアは公開鍵および 秘密鍵からなる。 この操作を繰り返すことによ り、 複数ユーザーの登録 が可能である。

図 1 1には、 この生体情報の登録プロセスにおけるスクリーンの表示 例を示してある。 トークン 1 0が P C 2 0に接続されると、 P C 2 0の 画面が自動起動メニュー 1 1 1に切り替わる。 既に、 ユーザー登録がさ れている場合にユーザー登録を追加するときには、 指紋管理選択メ -ュ 一 1 1 2を選択し、 つぎに、 ユーザー追加メニュー 1 1 3を選択する。 これにより、 生体情報の入力要求画面 1 1 4に切り替わる。 生体情報は 確認のために再度の入力要求画面 1 1 5が表示される。 生体情報が入力 されると、 鍵ペアの生成画面 1 1 6に切り替わり、 しかる後に、 初期登 録完了画面 1 1 7に切り替わる。

(マルチアクセスの手順）

次に、 図 1 3を参照して、 本例のシステム 1におけるマルチアクセス の手順を説明する。 まず、 初期登録が行われている トークン 1 0を P C 2 0に接続する （ブロック 1 3 1 )。 トークン 1 0が P C 2 0に接続さ れると、 ネイティブドライバのオートローデイングが行われ （ブロック 1 3 2 )、 P C 2 0の画面上に操作メニューが表示される （ブロック 1 3 3 )。 操作メニュー上においてマルチアクセスサービスを選択すると (ブロック 1 3 4 )、 個人認証のための生体情報の入力要求が出される (ブロック 1 3 5 )。

トークン 1 0の生体情報センサ 1 2によって指紋などの生体情報を読 み込ませると、 トークン 1 0では生体情報によるユーザー認証を行い（ブ ロック 1 3 6 )、 認証された場合には P C 2 0は、 複数のサービスへの 自動ログインを開始する （ブロック 1 3 7 )。 認証エラーの場合には、 その旨を表示し （ブロック 1 3 8 )、 オートローデイング動作に戻って 処理が再開される。 ログインプロセスが完了した後は、 ログイン完了済 みサービスを P C 2 0の画面上に表示する （ブロック 1 3 9、 1 4 0 )。 口グイン未完了のサービスについてはそれらのステータスが P C画面上 に表示される （ブロック 1 4 1 )。

口グイン完了済みサービスが選択されると （ブロック 1 4 2 )、 選択 されたサ一ビスサイ トにアクセスする。 トークン 1 0を P C 2 0から切 断すると （プロック 1 4 3 )、 P C 2 0の側においてはログイン情報を 含むセッション情報を自動削除する（ブロック 1 4 4 )。

このように、 本例のネッ トワークマルチアクセスシステム 1では、 小 型で可搬性があり、 生体情報方式のユーザー認証機能を有したネッ トヮ ークアクセス用電子デバイスである トークン 1 0にネッ トワーク上の管 理サーバ 5 0が指示を行うことで、 サービスサイ ト 4 0が所有している セキユリティーレベルに応じたネッ トワークアクセス及び、 ネッ トヮー ク上のサービスサイ ト 4 0へのアクセス用の手段を当該電子デバイスが 自動的に講じ、 一台で各種ネッ トワークサービスに複数にアクセス可能 であり、 且つ、 利用者の一動作によって上記一連の作業が完結するよう に構成されている。

また、 本例のトークン 1 0は、 生体情報認識センサ 1 2による所有者 認証機能を有し、 ネッ トワークアクセスに必要な情報及び手段を記憶す るメモリ 1 1を備えている。 よって、 所有者本人が認証されるとネッ ト ワーク上の管理サーバ 5 0に自動的にアクセスし、 所有者本人の情報を 管理サーバ 5 0から取得することができる。

従って、 利用環境を問わず、 小型のトークン 1 0を使用することによ り、 ネッ トワークサービスの要求するアクセス手段 （セキュリティ要求 を含む） を意識することなく、 且つ、 1回の動作のみで、 複数のネッ ト ワーク ·サービスサイ ト 4 0へのアクセスを完了することが可能である。 (ワンタイム ·パスヮ一ド発行手順）

次に、 本例のネッ トワークマルチアクセスシステム 1におけるワンタ ィム ·パスワード発行動作を説明する。 本例のシステム 1では、 ネッ ト ワーク上のヮンタイム · パスヮード発行サーバを介して、 トークン 1 0 とサービスサーバ 4 0側に設置されたゲートウェイとの間で、 時間同期 および回数同期を必要とすることな'く、 しかも、 乱数表も必要とするこ となく、 安全かつ確実にワンタイム · パスヮード方式のユーザー認証を 行うことができる。

図 1 4〜図 1 7に示すように、 ワンタイム 'パスヮード方式によりュ 一ザ一認証を行ぅネッ トワークマルチアクセスシステム 1では、 トーク ン 1 0と、 該トークン 1 0を装着して使用するネッ トワーク通信端末で ある P C 2 0と、 P C 2 0からのアクセスに応答する管理サーバ 5 0と、 サービスサイ ト 4 0のフロントェンドにあって管理サーバ 5 0との通信 を制御するェクステンションサーバ （ワンタイム ·パスヮード発行サー バ) 6 0と、 ユーザーがアクセスしょうとするサービスサイ ト 4 0によ り構成されるネッ トワーク上において、 サービスパスワード等をセキュ ァに通信するように構成されている。 ここで、 トークン 1 0は電子証明 書をもっており、 管理サーバ 5 0も自己の電子証明書をもっている。

図 1 4〜図 1 7はワンタイム · パスヮ一ド発行手順を示すフローチヤ ートである。 これらの図を参照して、 ワンタイム 'パスワード発行手順 を説明する。

まず、 前提として、 トークン 1 0は自己の電子証明書を持っており、 管理サーバ 5 0も自己の電子証明書を持っており、 エクステンションサ ーバ 6 0も自己の電子証明書を持っているものとする。 また、 トークン 1 0と P C 2 0の接続は完了しているものとする。

通信を開始するにあたって、 トークン 1 0 と管理サーバ 5 0の間で相 互認証を行い （矢印 1 4 0 1 )、 管理サーバ 5 0の公開鍵がトークン 1 0に送られる （矢印 1 4 0 2 )。

次に、 トークン 1 0が管理サーバ 5 0に長いパスヮードの使用を要求 するため、 自己の公開鍵、 トークン 1 0の I D、 ワンタイム 'パスヮー ド要求、 接続するェクステンションサーバ 6 0のァドレスを格納した要 求フレームを管理サーバ 5 0の公開鍵で暗号化する。 暗号化された要求 フレーム 1 4 0 3が管理サーバ 5 0に送られる （矢印 1 4 0 4 )。 管理 サーバ 5 0では、 管理サーバ 5 0の公開鍵を用いて、 暗号化された要求 24 フレームを解読する。

次に、 システム 1によって後の時点でェクステンションサーバ 6 0で の認証を管理サーバ 5 0を介して行うために、 管理サーバ 5 0 とェクス テンショ ンサーバ 6 0の間で相互認証を行い （矢印 1 4 0 5 )、 管理サ ーパ 5 0はエクステンショ ンサーバ 6 0の公開鍵を入手する （矢印 1 4 0 6 )。 次に、 管理サーバ 5 0が自己の公開鍵をエクステンショ ンサー バ 6 0に送る （矢印 1 4 0 7 )。

次に、 図 1 5に示すよ うに、 管理サーバ 5 0が受け取った要求フレー ムを自己の秘密鍵で復号化し、 トークン 1 0からの要求を解釈する。 こ の要求に基づいて、 ワンタイム ' パスワードが生成される。 管理サーバ 5 0はこのパスヮードの複製 Bを保管すると ともにトークン 1 0にその 複製 Aを送る。 このワンタイム ' パスヮー ド Aを含む回答フレームも喑 号化されて トークン 1 0に送られる (矢印 1 5 0 1 )。

この後は、 トークン 1 0はエタステンショ ンサーバ 6 0への口グイン のセッショ ンを開始するために、 入手した長いパスワー ドの複製 A (第 1 の複製） と、 エクステンショ ンサイ トにアクセスするためのユーザー I Dとパスワードを纏めて、 ログイン · リクエス ト ' フレームと し、 こ れをェタステンションサーバ 6 0の公開鍵で暗号化してェクステンショ ンサーバ 6 0に送る （矢印 1 5 0 2 )。

次に、 エクステンショ ンサーバ 6 0は、 受け取ったログイン · リクェ ス ト ' フレームを自己の秘密鍵で複合し、 口グインセッションを開始す る。

次に、 図 1 6に示すように、 ェクステンションサーバ 6 0は口グイ ン リクエス トの内容を認証するために、 受け取ったワンタイム ' パスヮー ドの複製 A (第 1 の複製） を格納したパリデーシヨ ン ' リ クエス ト ' フ レームを管理サーバ 5 0 の公開鍵で暗号化して管理サーバ 5 0に送る (矢印 1 6 0 1 )。 25 次に、 管理サーバ 5 0は受け取ったパリデーシヨ ン ' リクエスト · フ レームを自己の秘密鍵で復号化し、 その中に格納されているワンタイ ム . パスワー ドの複製 A (第 1 の複製） を、 保管していた複製 B (第 2 の複製） と比較し、 パリデーシヨ ンリクエストの真偽を判定する。

しかる後は、 図 1 7において、 バリデーシヨ ンリ クエス トの認証結果 が真であれば、 トークン 1 0から送られたユーザー I Dとパスヮードが 口グイン要求としてサービスサイ トに送られる （矢印 1 7 0 1 )。

次に、 サービスサイ ト 4 0がログイン要求を受け付けると、 その結果 は P C 2 0まで伝えられ (矢印 1 7 0 2、 1 7 0 3 )、 P C 2 0とサー ビスサイ ト 4 0との間のセッショ ンが許可される （矢印 1 7 0 4 )。

上記の処理により、 ワンタイム ' パスヮードを用いてセキュアに電子 機器 P C 2 0 とサービスサイ ト 4 0間の通信を行うことができる。また、 暗号化については、 R S Aや E C Cなどが著名であるが、 本発明では、 いずれの暗号化方式も利用が可能である。

本例のシステム 1では、 アクセス元の電子機器 P C 2 0側に個人を確 実に認証するための生体認証機能を持つトークン 1 0を設け、 またァク セス先のサービスサイ ト 4 0の直前に、 サービスサイ ト 4 0 とはセキュ ァな通信路を持つェクステンションサーバ 6 0を配置することによって. 下記のような利点が得られる。

まず、 セキュアでない通信路においてワンタイム ' パスワードを認証 に用いることにより、 通信のセキュリティを向上させている。 また、 既 存のワンタイム · パスヮー ド発行システムと比較し、 ネッ トワーク側と 端末側の同期機構が不要であり、 従って完全にランダムなワンタイム · パスワードを利用できるために、 パスワード盗難などのリ スクを、 従来 に比較し格段に低減させている。 さらに、 サービスサイ ト側は、 既存の 認証システムの直前に、 ワンタイム ·パスヮードの認証をつかさどるェ クステンションサーバを配するだけのシステムが構成されるので、 既存 システムをそのまま運用でき、 システム変更等の導入コス トを極めて低 く抑えることが可能である。

(電子証明書の利用手順） ，

次に、 本例のネッ トワークマルチアクセスシステム 1における電子証 明書の利用手順を説明する。

本例のシステム 1では、 ネッ トワーク上のサーバから一時的な電子証 明書を発行し、 生体情報方式のユーザー認証機能を備えたトークン 1 0 が接続されている P C 2 0上において、 同電子証明書を使用したサーバ との安全なアクセスを実現することができる。 この結果、 トークン 1 0 だけを持ち歩く ことで、 トークン所有者が移動先でネッ トワーク接続機 能を有した電子機器 2 0に対し一時的な電子証明書を持たせることが出 来る。 又、 一時的に発行された同電子証明書は、 使用後に自動消滅する ので、 痕跡が残らず、 利用者にとっても安心な方法を実現できる。

かかる一時的な電子証明書の利用を可能にするための本例のシステム 1は、 トークン 1 0と、該トークン 1 0を装着して使用する P C 2 0と、 P C 2 0からのアクセスに応答する管理サーバ 5 0と、 ユーザーがァク セスしょうとするサービスサイ ト 4 0により構成されるネッ トワーク上 で、 トークン 1 0 とサービスサイ ト 4 0間のセキュアな通信を実現して レヽる。

ユーザーがサービスサイ ト 4 0にアクセスしょうとする度に管理サー ノ 4 0から トークン 1 0が装着された P C 2 0に対して P K I鍵ペア並 びに電子証明書が発行される。 この鍵ペアおよび証明書を用いて、 ユー ザ一は P C 2 0上からサービスサイ ト 4 0に対してセキュアな通信を行 うことができる。 ここで、 トークン 1 0は自己の電子証明書を持ち、 管 理サーバ 4 0も自己の電子証明書をもつものとする。

図 1 8および図 1 9を参照して説明すると、 ステップ C 1では、 通信 を開始するにあたって、 トークン 1 0 と管理サーバ 5 0間で相互認証を 行い （矢印 1 8 0 1 )、 管理サーバ 4 0の公開鍵がトークン 1 0に送ら れる （矢印 1 8 0 2 )。

ステップ C 2では、 トークン 1 0が管理サーバ 5 0に P C用 P K I鍵 ならびに電子証明書の発行を要求するために、 トークン 1 0の公開鍵お よび電子証明書を格納した要求フレームを管理サーバ 5 0の公開鍵で暗 号化して管理サーバ 5 0に送る （矢印 1 8 0 3 )。

ステップ C 3では、 管理サーバ 5 0はトークン 1 0から送られた要求 フレームを復号化して、 トークン 1 0の電子証明書を認証する。

次に、 図 1 9に示すステップ C 4において、 管理サーバ 5 0は P C 2 0のための P K I鍵ならびに電子証明書を生成し、 トークン 1 0の公開 鍵で暗号化してトークン 1 0に送る （矢印 1 9 0 1 )。

ステップ C 5では、 トーク ン 1 0は、 P Cのための P K I鍵ペアなら びに電子証明書を、 接続している P C 2 0に暗号化せずに送る （矢印 1 9 0 2 )。 この場合には、 トークン 1 0と P C 2 0との間の伝送路はセ キュアな通信路であると仮定している。 P C 2 0に対して発行された鍵 ペアおよび電子証明書に有効期間を付与することにより、 ユーザーのサ 一ビスサイ ト 4 0へのアクセスが終わった後に、 これらを自動的に消滅 させることができる。

上記の処理によって、 管理サーバ 5 0がトークン 1 0を認証すること により、 通信用の一時的な P K I鍵ペアおょぴ電子証明書が P C 2 0に 対して発行され、 ユーザーはこれらを用いて安全にサービスサーバ 4 0 にアクセスすることができる (矢印 1 9 0 3 )。

本例の方式によれば、 トークン 1 0は所有者が移動先の様々な電子機 器 P C 2 0環境に一時的に接続されて使用されることを想定している。 このような状況下では、 P C 2 0に通信用の一時的な電子証明書を発行 し、 トークン 1 0自体の電子証明睿を通信に使用しないことにより、 ュ 一ザ一のサービスサイ ト 4 0へのアクセスが終わった後、 トークン 1 0 の電子証明書や鍵などが P C 2 0上の一時記憶装置等の中に残るのを防 ぐことができる。

また、 トークン 1 0が接続している P C 2 0上で実際の通信に使われ る電子証明書等が、 サービスサイ ト 4 0へのアクセスセッシヨ ンごとに 変化するので、 通信上のセキュリティが向上する。

(ォートローディング動作）

本例のシステム 1では、 トークン 1 0が P C 2 0に接続されると、 自 動的にトークン 1 0の確認が行われ、 自動的にサービスサーバ 4 0に接 続するォートローディングが行われる。

すなわち、 本例のシステム 1では、 装着したデパイス 1 0をー且記憶 装置として挙動させ、 さらには、 自動実行プログラムを持っているとい う情報を P C 2 0本体に送り、 本来のドライバをインス トールするとい う方法をとつている。 これにより、 従来ドライバを格納したメディアを インス トール中に挿入していた手間を省き、 デバイスの移動性 （モピリ ティ） を高めている。

本明細書では、 マイクロソフト社のウインドウズを例に挙げて説明し ているが、 プラグアンドプレイ機能とォートローディング機能を有する O Sであれば本発明を適用可能である。

なお、 従来においては P cにデパイスを接続した際に、 自動的にドラ ィバ等のソフトウェアをインス トールしてそのデバィスを利用可能にす る方法は、 マイクロソフ ト社のウィンドウズのプラグアンドプレイ機能 などをはじめとして O Sごとに幾つかの方法がすでに知られている。

ウインドウズのプラグアンドプレイ機能の場合には、 新規にデパイス を P Cに装着した場合の動作については、 P Cに揷入されるデバイスの ドライバソフ トがすでに P C上のウインドウズ内部に登録されている場 合 （ミニドライバ或いはウィンドウズ · ドライバ 'モデル） と、 インス トール時にデバィスメ一力一が供給する ドライバ （ネィティブドライ ノく） を組み込む場合との、 主に 2種類の方式がある。

すなわち、 図 2 0に示すように、 P C 2 0上のウィンドウズ内部にド ライバが既に登録されている場合には、デバイス 1 0 0が装着されると、 ウィンドウズ内部のドライバプール 2 0 1力、ら自動的にドライバソフ ト 2 0 2が供給される。 ドライバが登録されていない場合には、 インス ト ール操作中に、 ユーザーに対してデバイスメーカーが供給する ドライバ ソフ トウエアを含むフレキシブルディスクゃ CD— ROM 2 0 3を挿入 する指示がなされ、 このドライバソフトが供給されることによりデバイ スが使用可能になる。 新しいデバイスである場合や、 自由度の高い機能 を提供するデバイスの場合には、 ドライバソフトウェアはウィンドウズ 内に登録されておらず、 デバイスメーカーがネイティブドライバを供給 する場合が多い。

一方、 上記のプラグアン ドプレイ機能の一部として、 P Cに装着され たデパイスが C D— R OM読取装置などの記憶装置 (ス ト レージ) デバ イスであって、 その装置中に CD— ROMメディアが装着されている場 合には、 そのメ.ディア上に自動実行 （Au t o l o a d i n g ) ソフ ト ウェアがあるかどうかを調べて、 自動実行ソフ トがある場合には、 それ を自動的に実行するという機能がある。

ここで、 デバイスを P Cに装着しょうとした場合に、 使用しようとす るデパイスのドライバがウィンドウズ O S内部にあらかじめ登録されて いない場合には、 通常、 インス トールの過程においてフレキシブルディ スクゃ CD— ROMなどのメディアを揷入し、 ドライバなどの必要なソ フトウェアを供給する必要があった。

そのため、 常に携帯し使用先で P cに接続して運用しょうとするデバ イスの場合には、 このドライバソフ トウェアをも携帯する必要があり、 利便性を損なう問題があった。

本例のシステム 1において使用している トークン 1 0は、 その内部に トークン 1 ◦自身を運用するために必要なドライバソフ トを含むィンス トールシステムを備えている。 装着するィンターフェースは U S Bなど の有線ィンターフェースや赤外線などの無線ィンターフェースが考えら れる。

図 2 1はデパイスとしてのトークン 1 0を P C 2 0に装着した際のィ ンターフェースのシーケンスである。 まず、 ステップ A 1において、 P C 2 0がトークン 1 0の装着を検出し、 デバイスのタイプを要求する。 ステップ A 2においては、 トークン 1 0は本来のデバイスのタイプでは なく、 ウィンドウズドライバーモデル （WDM) 準拠の架空の記憶装置 (ここでは C D— ROM装置として回答） と してのタイプを P C 2 0に 返す。

次に、 ステップ A 3において、 この架空の記憶装置のドライバは P C 上のウィンドウズ内部に登録されているので、 自動的にイ ンス トールさ れ、 記憶装置として利用可能になる。 さらに、 トーク ン 1 0は、 該記憶 装置上に自動実行ファイルがある旨の情報を P C 2 0に送るので、 P C 2 0はその自動実行ファイルを実行しよう とする。

ステップ A 4において、 自動実行ファイルが実行され、 トークン 1 0 に内蔵されている本来のデバイスドライバが P C上にイ ンストールされ る。 ここで、 トークン 1 0を装着したときに定義された架空の記憶装置 は削除されて、 トークン 1 0と P C 2 0の間のインターフェースはリセ ッ トされる。

次に、 ステップ A 5において、 あらためてトークン 1 0が P C 2 0に よって認識され、 すでに P C 2 0上にインス トールされているデバイス ドライバソフ トを使って、 トークン 1 0は本来の目的のために使用可能 となる。 産業上の利用の可能性 以上説明したように、 本発明のマルチアクセス トークンを用いたネッ トワークマルチアクセス方法では、 生体情報認識センサを内蔵した可搬 型、 小型のマルチアクセス トークン (ネッ トワークマルチアクセス用電 子デパイス） とサービスメニューとにより、 当該マルチアクセス トーク ンを携帯するだけで、 どの電子機器を使用しても、 電子機器がある場所 なら常にセキュア一でパーソナライズされたサービス、 ネッ トワークへ のアクセスが実現できる。

また、 ネッ トワーク上の各種サービスへのアクセスに必要なパスヮー ドなどをマルチアクセス トークンに記録 ·保存するので、 ユーザーは不 規則な番号'記号列を記憶、 又は、 メモ帳、 ノートなどの物理的な記憶 物に記録する必要が無く便利である。 且つ、 失念する リ スク、 物理的な 記憶物を他人に読まれるリスクが無く なり、 個人的な情報管理への安全 性が飛躍的に向上する。

さらに、 マノレチのサービスに対し、 マノレチのセキュ リティーレベルで 対応可能の為、 一台で全てのユーザーが必要なネッ トワーク、 ネッ トヮ ーク上のサービスへのアクセスを管理できる。

また、 使用する P C等の電子機器に一切履歴が残らないので、 第三者 にデータが漏洩する危険性が無い。

さらに、 万一トークンを紛失しても、 本体に登録してある指紋が一致 しない限り、 内部に保管されたデータを読み出すことは出来ず、 従って 第三者に漏洩する危険性が無い。

さらにまた、 トークン内部の個人データのコピーは、 同じ登録者の指 紋が登録された別の トークンに対してのみ可能である為、 バックアップ コピーもマスターと同じセキュリティ レベルが保たれる。

Claims

請求の範囲

1 . 生体情報認識センサおよびユーザー I Dを含むユーザー個人 情報が保管されているメモリを備えたネッ トワークアクセス用の携帯型 電子デバイスと、 この電子デバイスを接続したネッ トワーク通信端末と 通信回線を介して接続可能な管理サーバとを用いて、 複数のィンターネ ッ トサイ トにマルチアクセスするための方法であって、

前記電子デバイスが前記ネッ トワーク通信端末に接続されて、 前記電 子デバイスの前記生体情報認識センサによってユーザーの生体情報に基 づきユーザー認証が行われると、

前記ネッ トワーク通信端末と前記管理サーバとの間の接続を確立し、 前記電子デバィスは、 前記管理サーバからサービス開始用の公開鍵を 受信し、

当該電子デバイスは当該公開鍵に基づき前記メモリに保管されている 前記ユーザー I Dを暗号化して前記管理サーバに送信し、

前記管理サーバは前記ユーザー I Dを受信してユーザー認証を行う と · 前記電子デバイスのユーザーによって予め登録されているアクセス対象 の複数のインターネッ トサイ ト情報を含む当該ユーザーのパーソナルメ ニューを前記ネッ トワーク通信端末にダウンロードし、

前記ネッ トワーク通信端末は、 前記パーソナルメニューを画面表示す ると共に、 前記ィンターネッ トサイ トに自動アクセスすることを特徴と するネッ トワークマルチアクセス方法。

2 . 請求の範囲第 1項において、

前記電子デバイスは前記メモリに自己の電子証明書を保持しており、 前記管理サーバは自己の電子証明書を保持しており、

少なく とも一つの前記ィンターネッ トサイ トはそのフロントエンドに 前記管理サーバとの通信を制御するェクステンションサーバが配置され ているェクステンショ ンサービスサイ トであり、

前記ネッ トワーク通信端末と前記管理サーバの通信接続を確立した後 に、

前記電子デバイスは、 前記ネッ トワーク通信端末を介して、 自己の公 開鍵、 I D番号、 ワンタイムパスワード要求、 接続する前記ェクステン ションサーバのァドレスを格納した要求フレームを、 前記管理サーバの 公開鍵で暗号化して、 当該管理サーバに送り、

前記管理サーバと前記ェクステンションサーバとの間で相互認証を行 つた後に、 当該管理サーバは前記エクステンションサーバの公開鍵を入 手し、

当該管理サーバは自己の公開鍵を前記ェクステンシヨンサーバに送り、 前記管理サーバは、 受信している前記要求フレームを自己の秘密鍵で 復号化して前記電子デバイスからの要求を解釈し、

当該管理サーバは、 当該要求に基づいて、 ワンタイムパスワードを生 成すると共に、 このワンタイムパスワードの第 1の複製を保管するとと もに前記電子デバィスに第 2の複製を送り、

前記電子デパイスは、 前記エタステンションサーバへの口グインのセ ッションを開始するために、前記ワンタイムパスヮードの第 2の複製と、 前記エタステンショ ンサイ トにアクセスするためのユーザー I Dとパス ワードとを纏めて、 ログイン ' リ クエス ト ' フレームと して前記ェクス テンショ ンサーバの公開鍵で暗号化して当該ェクステンションサーバに 送り、

前記ェクステンションサーバは、 受け取った口グィン ' リクエス ト · フレームを自己の秘密鍵で復号化し、 ログインセッションを開始し、 前記ェクステンションサーバは口グィン ' リクエス トの内容を認証す るために、 前記ワンタイムパスヮードの第 2の複製を格納したバリデー シヨン . リクエス ト . フレームを前記管理サーバの公開鍵で暗号化して 当該管理サーバに送り、

前記管理サーバは受け取ったパリデーショ ン · リクエス ト · フレーム を自己の秘密鍵で復号化し、 その中に格納されているワンタイムパスヮ 一ドの第 1の複製を、 既に保管している前記第 2の複製と比較し、 バリ デーショ ン · リクエス トの真偽を判定し、

前記パリデーショ ンリ クエス トの認証結果が真であれば、 前記電子デ バイスから送られたユーザー I Dとパスヮードがログイン要求として前 記ェクステンシヨ ンサービスサイ 1、に送られ、

前記ェクステンションサービスサイ トが口グイン要求を受け付けると - その結果が前記ネッ トワーク通信端末に送信され、 当該ネッ トワーク通 信端末と前記ェクステンションサービスサイ トとの間のセッションが許 可されることを特徴とするネッ トヮ一クマルチアクセス方法。

3 . 請求の範囲第 1項または第 2項において、

前記電子デパイスは自己の電子証明書を保持し、 前記管理サーバは自 己の電子証明書を保持しており、

前記ネッ トワーク通信端末を介して前記電子デパイスと前記管理サー バとの間の通信接続が確立して、 相互認証が行われ、 前記管理サーバの 公開鍵が前記電子デバイスに送られた後に、

前記電子デバイスは、 前記公開鍵および自己の電子証明書を格納した 要求フレームを前記管理サーバの公開鍵で暗号化して当該管理サーバに 送り、

前記管理サーバは、 受け取った前記要求フレームを複号化して、 前記 電子デバイスの電子証明書を認証し、

当該管理サ一パは前記ネッ トワーク通信端末のための P K I鍵ならぴ に電子証明書を生成し、 前記電子デバイスの公開鍵で暗号化して当該電 子デバイスに送り、

前記電子デバイスは、 前記ネッ トワーク通信端末に対して一時的な P K I鍵ペアならびに電子証明書を当該端末に送り、 当該ネットワーク通 信端末からインターネッ トサイ トにアクセス可能とし、

前記電子デバイスは、 発行された前記鍵ペアおょぴ電子証明書に有効 期間を付与することにより、 前記ィンターネッ トサイ トへのアクセスが 終わった後に、 これらを自動的に消滅させることを特徴とするネッ トヮ 一クマノレチアクセス方法。

4 . 請求の範囲第 1項、 第 2項または第 3項において、

前記ネッ トワーク通信端末に前記電子デバイスが装着されると、 当該ネッ トワーク通信端末は、 前記電子デバイスの装着を検出し、 当 該デパイスのタイプを要求し、

前記電子デバイスは、 本来の自己のデバイスタイプではなく、 記憶装 置としてのデバイスタイプを前記ネッ トワーク通信端末に返送し、 前記ネッ トワーク通信端末は、 そこに登録されている記憶装置のドラ ィバを自動的にィンス トールして、 前記電子デバィスを記憶装置として 利用可能とし、

前記電子デバイスは、 該記憶装置上に自動実行ファイルがある旨の情 報を前記ネッ トワーク通信端末に送り、

前記ネッ トワーク通信端末は、 当該自動実行ファイルを実行し、 前記 電子デバィスに内蔵されている自己の本来のデバイス ドライバをインス トールし、

当該デバイスドライバのィンストールによって、 前記電子デバイスを 装着したときに定義された架空の前記記憶装置が削除されて、 前記電子 デバイスと前記ネッ トワーク通信端末の間のィンターフェースがリセッ トされることを特徴とするネッ トワークマルチアクセス方法。

5 . 請求の範囲第 1項、 第 2項、 第 3項または第 4項に記載のネ

、、， トワークマルチアクセス方法に用いる生体情報認証機能を備えた前記 電子デバイス。