JP2004295711A - パスワード管理方法 - Google Patents
パスワード管理方法 Download PDFInfo
- Publication number
- JP2004295711A JP2004295711A JP2003089632A JP2003089632A JP2004295711A JP 2004295711 A JP2004295711 A JP 2004295711A JP 2003089632 A JP2003089632 A JP 2003089632A JP 2003089632 A JP2003089632 A JP 2003089632A JP 2004295711 A JP2004295711 A JP 2004295711A
- Authority
- JP
- Japan
- Prior art keywords
- password
- user
- network system
- server
- authentication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
【課題】ネットワークシステムにおけるユーザアカウント管理方法に関して、ユーザを一元管理することによるユーザ管理負荷を軽減すると共に、機器毎に異なるパスワードを設定してセキュリティを確保しながら複数パスワードのユーザ管理負荷を軽減するパスワード管理方法を提供する。
【解決手段】ネットワークシステム10のユーザ情報に関して、認証サーバ100において一元管理すると共に、パスワード管理部25がユーザ決定の基本パスワードにユーザが容易に認識可能なトークンを組合わせた機器個別パスワードを生成、管理する。さらに、携帯端末110にパスワード情報を記憶させ、ユーザの所望のサーバに対するパスワードを提示する機能を提供する。
【選択図】 図1
【解決手段】ネットワークシステム10のユーザ情報に関して、認証サーバ100において一元管理すると共に、パスワード管理部25がユーザ決定の基本パスワードにユーザが容易に認識可能なトークンを組合わせた機器個別パスワードを生成、管理する。さらに、携帯端末110にパスワード情報を記憶させ、ユーザの所望のサーバに対するパスワードを提示する機能を提供する。
【選択図】 図1
Description
【0001】
【発明の属する技術分野】
本発明は、それぞれがユーザ認証を要求する複数の装置からなるネットワークシステムにおけるユーザ認証方法に関する。
【0002】
【従来の技術】
近年のネットワークの普及により、企業、学校、あるいは家庭等のさまざまな環境においてネットワークシステムの導入が進んでいる。
【0003】
企業や学校等においては、組織内のコンピュータ群をネットワーク接続して情報の共有化を実現したり、インターネットに接続して外部への情報発信を行ったりしている。
【0004】
インターネットの普及、あるいは企業内ネットワークにおいて提供するサービスの拡大等により、ユーザが使用する対象となるシステムの種類は多くなるが、これらのシステムの利用には一般的にユーザIDとパスワードによるユーザ認証を実施することが多い。
【0005】
例えば、企業のネットワークシステムにおいては、各自が管理するPC、部署やグループで共有するファイルサーバ、プリンタサーバ、メールサーバをはじめとするサーバ類、さらに社内情報を共有するためのWebアクセス、グループウェア等の各種アプリケーションの使用時にはユーザ認証を必要とする。
【0006】
上記のように、ネットワークが普及してユーザが使用するシステム、あるいはサービスの数が増加するにつれてその認証に必要であるユーザパスワードの管理負荷が大きくなることとなった。
【0007】
ネットワークシステム内の存在する各種機器、アプリケーションはそれぞれ独自にユーザ情報を管理する為の機構を備えることから、ユーザはシステムの使用時にはシステム毎に毎回認証を要求され、さらにシステム毎に異なるパスワードを覚えておかなければならないため、ユーザのシステム使用感を損ねないためにもこれらの認証に関わるユーザの負荷を軽減する方法が必要とされていた。
【0008】
これらの要件に対応する技術は、たとえば、特許文献1に開示されている。この技術によれば、ユーザが使用するクライアントと、複数のサーバが存在するネットワークシステムにおいて、あるサーバに対して一度ユーザIDとパスワードを入力して認証処理を完了した後には、許可された同一ネットワークシステム内の他のサーバ、アプリケーションに対しては再び認証処理をする必要なくログイン可能であった。
【0009】
当該技術により、ネットワークシステムを使用するユーザは前記あるサーバに対して最初に一度だけ行うユーザ認証に使用するパスワードを記憶しておくだけで同一ネットワークシステム内の他の機器、アプリケーションを使用することが可能であった。
【0010】
【特許文献1】
特開2002−183094号公報
【0011】
【発明が解決しようとする課題】
しかしながら、上記のようなユーザ認証を行うネットワークシステムのパスワード管理方法においては、システム利用時のユーザの利便性は損なわずに済む一方で、万一、ユーザのパスワードが盗難されてしまった場合に、当該ユーザが利用可能な全てのシステムを不正に使用されてしまうというセキュリティ上の課題が存在した。
【0012】
昨今では特に、情報システムにおけるセキュリティが社会的にも重要な問題になっている。DDOS(Distributed Denaial of Service attacks)というネットワーク的に大きな負荷を加えることでサービスをダウンさせたり、実質的にサービスを利用不可能にしたりする不正アクセス手法によって攻撃されたり、また、官公庁や企業のホームページが不正アクセスによって改竄されるといった被害も発生している。
【0013】
このようなセキュリティ上の問題においては、ネットワークシステムの外部から不当な負荷を掛けるものをはじめ、オペレーティングシステムやソフトウェアのセキュリティホールをつく攻撃手法があげられるが、同時にユーザパスワードの漏洩が原因である場合も多い。
【0014】
ユーザが自分のパスワードを付箋紙のようなものにメモしておき前記パスワードで認証を行うコンピュータの画面に張っておく場合や、自分の名前、生年月日等の個人情報をパスワードに設定している、あるいは辞書に載っている単語で構成されている等、容易に推測、解析可能なパスワードが利用されている場合が多い。
【0015】
このような状況は、ネットワークシステムを使用するユーザが認証を要求されるシステムの数が多いため、パスワードを覚えきれないことが原因としてあげられ、さらには多数のパスワードを覚えきれないためにユーザが自身でパスワードを設定可能な全てのシステムにおいて同一のパスワードを設定する場合もある。
【0016】
このような中で、さまざまなサービス、システムのユーザ認証におけるセキュリティを確保すると共に、ユーザのシステム利用の利便性を損なうことが無いパスワード管理方法が重要となっている。
【0017】
つまり、何らかの形でユーザのパスワードが盗難された場合でも、その被害を最小限に抑える為のパスワード管理方法が必要である。
【0018】
同時に、セキュリティを高めることと相反するネットワークシステム利用の上でユーザの利便性を損なうことが無いようなパスワード管理方法が望まれる。
【0019】
【課題を解決するための手段】
本発明は、ネットワークシステムにおいてシステム毎に異なるパスワードを設定することによりセキュリティを高めると共に、複数のパスワードを管理する必要性によるユーザのパスワード管理負荷を軽減する技術を提供する。
【0020】
本発明は、様々な機器、アプリケーションを包含するネットワークシステムのユーザ認証において、前記ネットワークシステムに存在する各種機器、アプリケーション毎に異なる個別のパスワードを設定する。
【0021】
前記個別パスワードの管理においては、ユーザが任意に決定する基本パスワードを設定し、同基本パスワードに対して、前記ネットワークシステムを使用するユーザが認識することが容易なトークンを予め設定したルールに従って付与することにより機器毎に異なる個別パスワードを設定する。
【0022】
かかるパスワード管理方法を提供することにより、ネットワークシステム内の各機器、アプリケーションのユーザ認証において異なるパスワードを使用することが可能であり、パスワードが漏洩した場合においても前記ネットワークシステム内のその他の機器、アプリケーションが不正に使用されることが無く、前記ネットワークシステムのセキュリティの向上を実現する。
【0023】
また、本発明はネットワークシステム内の各機器、アプリケーションの個別パスワードの生成においてユーザが決定した基本パスワードに加え、予め設定したルールとして、例えばネットワークシステム内のサーバのIPアドレスの下3桁、あるいはサーバの機能名、というネットワークシステムの管理者が決定した任意のルールに従って前記ネットワークシステムを利用するユーザが記憶するに容易なパスワードを生成するため、ルールとネットワーク構成の概要を把握することによってユーザのパスワード管理負荷を軽減する。
【0024】
さらに、上記のように生成したネットワークシステムの認証に使用するパスワード群をユーザの所持する携帯端末に送信、記憶させ、前記基本パスワードによって前記携帯端末に対する認証を完了した後にユーザが所望の機器、アプリケーションに対応する個別パスワードを提示する。
【0025】
かかるパスワード提示機能を提供することにより、ユーザがネットワークシステムの使用に際して自身の決定した基本パスワードを記憶しておくだけで、必要に応じて前記ネットワークシステム内の個別パスワードを携帯端末を介して表示させることができ、パスワード管理負荷が一層軽減することが可能である。
【0026】
【発明の実施の形態】
以下、本発明の実施の形態について図面を用いて詳細に説明する。以下の図中において、同一の部分には同一の符号を付与する。
【0027】
本実施例は、図1に示すネットワークシステム10におけるサーバ個別のパスワードを認証サーバ100において管理してユーザ認証を一元管理するパスワード管理方法について述べる。
【0028】
図1は本実施例におけるパスワード管理方法の機能構成図であり、LANなどの伝送媒体31により認証サーバ100、携帯端末110、クライアント120、サーバ130が接続されている。認証サーバ100は、管理するユーザ情報をユーザDB50に記憶する。
【0029】
認証サーバ100は、携帯端末110やサーバ130、あるいはクライアント120との通信処理を制御する通信制御部23、ネットワークシステム10において入力されたデータを解析する入力データ解析部21、サービスを要求してきたユーザが正規のユーザであるか否かを判定するユーザ認証部22、受信したデータをもとにデータの更新を管理するデータ更新制御部24、ネットワークシステム10内の各機器、アプリケーション類の個別に異なるパスワードを生成するためのルールを管理するパスワード生成ルール管理テーブル300、ネットワークシステム10内に存在する機器、アプリケーションに関するさまざまな情報とパスワードの関連づけ一覧で管理する機器一覧管理テーブル400、ユーザの決定したパスワード、及び前記パスワード、パスワード生成ルール管理テーブル300、機器一覧管理テーブル400を基にネットワークシステム10内のサーバ130に個別のパスワードを管理するパスワード管理部25を有する。
【0030】
携帯端末110は、認証サーバ100、サーバ130、クライアント120との通信処理を制御する通信制御部23、携帯端末110におけるユーザ認証処理を制御する認証制御部26、各種パスワードの表示を制御する表示部27、ネットワークシステム10におけるユーザのパスワードを管理するパスワード管理部30を有する。パスワード管理部30は、ネットワークシステム10におけるユーザ認証に関わるパスワード管理を行い、ネットワークシステム10におけるユーザ認証のためにユーザが決定したパスワードを格納する基本パスワード記憶領域29及びサーバ毎の個別のパスワードを管理する個別パスワード管理テーブル28を有する。
【0031】
図2は本実施例のパスワード管理の使用例である。
【0032】
ユーザA150はクライアント120からネットワークシステム10内のサーバにログインするために、ユーザ認証を要求される。ネットワークシステム10内の各サーバ130の認証においては、ユーザA150自身が決定したパスワード“pwd”にサーバの機能名を接頭辞に、そしてIPアドレスの下位8ビットを接尾辞としてそれぞれをハイフン“−”でつなぎ合わせた値が個別パスワードとして設定されている。ここで言う機能名とは、例えばWebサーバ131であれば“Web”を表し、IPアドレスの下位8ビットとは、同様にWebサーバ131であればIPアドレス192.168.0.3の最後のピリオド“.”以降の数値である“3”を表す。
【0033】
ユーザA150は、例えばWebサーバ131にログインする場合要求されるユーザIDとパスワードの認証情報160を入力する。ユーザIDに“UserA”、パスワードに“Web−pwd−3”を入力する。Webサーバ131は受信した認証情報160を認証サーバ100へ送信して認証要求を行い、認証サーバ100はユーザDB50に格納されたユーザ情報であるユーザIDとパスワードに照会して一致すれば認証を許可する応答をWebサーバ131返し、Webサーバ131はユーザA150にログインを許可する。また、ユーザA150がDNSサーバ132にログインする場合には、Webサーバ131へのログインの時と同様にユーザIDに“UserA”、パスワードに“DNS−pwd−128”と入力することによってDNSサーバ132へのログインが許可される。以降、ネットワークシステム10内のその他のサーバ群133に対してもその機能名とIPアドレスを基に同様に認証が行われる。
【0034】
一方で、認証サーバ100はユーザのパスワード生成時に携帯端末110へ接続してネットワークシステム10内の各サーバ130とそれに対応する個別パスワードの情報を送信する。ユーザA150は、自身が決定したパスワードによる携帯端末110への認証後に所望のサーバに対するパスワードを表示させることができる。
【0035】
続いて、本実施例におけるパスワード生成ルール管理テーブル300、及び機器一覧管理テーブル400について図4、図5を用いて説明する。
【0036】
パスワード生成ルール管理テーブル300は、ネットワークシステム10内の各サーバ130に対する個別パスワードを生成するためのルールを設定するテーブルであり、トークン管理テーブル310、及びパスワード構成管理テーブル320から構成される。
【0037】
個別パスワードの生成方法としては、ユーザが決定した基本パスワードを基に、ネットワークシステム10に関わり、かつユーザが容易に認識可能な要素をトークンとし、前記トークンを前記基本パスワードと組み合わせることで実現する。トークンと成る要素としては、例えばサーバ130のIPアドレスであったり、ホスト名であったり、Web、Mail等サーバの役割を示す機能名称であったり、ネットワークシステム10内で共通してユーザが容易に認識できる要素をこれに当てる。Webサーバ131の管理者であれば、どのサーバが自身の目的とするWebサーバ131であり、そのIPアドレスが何であるかということを記憶することは容易であると予想され、それらの値を組み合わせた個別パスワードの記憶も容易である。
【0038】
トークン管理テーブル310は、上記個別パスワード生成のためのトークンの候補となる要素を設定するテーブルであり、トークン番号311、及びトークン名312から構成される。トークン番号311は、トークンに対する番号付けを行いトークンを管理する為の番号を格納し、トークン名312には実際のトークンとして名称を管理する。
【0039】
パスワード構成管理テーブル320は、個別パスワードを構成するトークンとその組み合わせ方法を設定するテーブルであり、パスワード構成要素321、及び構成値322から構成される。パスワード構成要素321には、パスワードを構成する要素と各構成要素の接続詞を設定する。構成値322には、パスワード構成の要素を順番に格納すると共に接続詞の値を格納する。図5においては、トークン1であるホスト名、基本パスワード、トークン2であるIPアドレスを接続子“−”で接続した値を個別パスワードとして生成するルールを設定したものである。
【0040】
図4の機器一覧管理テーブル400は、ネットワークシステム10内に存在する機器の一覧にして関連情報を管理するテーブルであり、サーバ情報401、管理フラグ405、パスワード406を記憶する3つの領域から構成される。
サーバ情報401を記憶する領域はさらに、サーバ130に関連する情報を記憶する1つ以上の領域から構成され、図5においてはサーバ機能名402、ホスト名403、IPアドレス404を記憶する3つの領域から構成されている。サーバ機能名402はサーバ130の果たす役割に基づいて設定され、Web、DNSなどの名称がこれに当たる。ホスト名403はサーバ130に付与されたホストの名称であり、例えばUNIX(登録商標)サーバにおいては一般的に“/etc/hosts”というファイルに設定される値である。IPアドレス404は、各サーバ130に付与されたIPアドレスとして設定された値である。
管理フラグ405は、当該サーバ130をネットワークシステム10において一元管理の対象とするか否かを設定するフラグであり、YESが設定されている場合には当該サーバ130を一元管理の対象として本パスワード管理方法によるサーバ個別のパスワード406による管理対象とする。一方でNOが設定されている場合には、当該サーバをネットワークシステム10における一元管理の対象としないことを意味する。
パスワード406は、ネットワークシステム10内に存在するサーバ一覧において各サーバに対応するパスワードを格納する領域であり、ホスト一覧管理テーブル400内に記憶された各サーバに1対1で対応するパスワードを管理する。
【0041】
図7は本実施例の認証サーバ100のシステム構成である。
【0042】
認証サーバ100は、中央演算装置CPU34、ハードディスクなどの2次記憶媒体(以下、磁気ディスクという)33、主記憶装置メモリ(以下、主メモリという)32、データバス等の通信線31、表示装置などの出力装置(以下、ディスプレイという)35、入力装置(以下、キーボード36、マウス37という)から構成される。
【0043】
図7のパスワード生成ルール管理テーブル300、機器一覧管理テーブル400、ユーザDB50は磁気ディスク33上に格納される。
【0044】
主メモリ32には、通信制御部23、入力データ解析部21、ユーザ認証部22、データ更新制御部24、パスワード管理部25が格納される。これらの機能は、磁気ディスク33に格納されているプログラムが、必要に応じて主メモリ32に転送された後、CPU34で実行されることにより具現化される。このプログラムの一部あるいは全部は、着脱可能な記憶媒体や、通信媒体を介して、他の装置から導入されても良い。
【0045】
次に、本実施例におけるユーザ情報更新時のパスワード登録の一連のデータ処理の流れについて、図3を用いて説明する。
【0046】
本パスワード管理方法において、ネットワークシステム10に新たにユーザを追加する場合の、クライアント120から認証サーバ100を介してユーザDB50のユーザ情報の更新を伴う認証サーバ100のパスワード情報更新を行い、前記パスワード更新情報を携帯端末110へ登録する時の処理シーケンスである。
【0047】
ユーザがネットワークシステム10を利用する場合に、まずユーザの登録を行うためクライアント120からデータ入力を行い、クライアント120は認証サーバ100へ入力されたデータを基にユーザ登録要求71を発行する。
【0048】
認証サーバ100はクライアントからのユーザ登録要求71を受信すると、ユーザ登録時のパスワード生成に必要な条件設定を読込み、これと併せてユーザ登録要求71で受信したデータを基にパスワードデータ生成を行う。
【0049】
認証サーバ100は、受信したユーザ情報と生成したパスワード情報を基にユーザDB50にユーザ登録要求を行い、ユーザDB50ではユーザ登録処理を行う。
【0050】
ユーザ登録の完了後、ユーザDB50から認証サーバ100へユーザ登録応答が返される。
【0051】
認証サーバ100は、サーバにおけるユーザ登録処理を完了すると、携帯端末110へパスワード登録要求74を発行する。
【0052】
携帯端末110はパスワード登録要求74を受信すると、受信したデータを基にパスワード登録処理を行い、終了後に認証サーバ100へパスワード登録応答75を返す。
【0053】
この時、ユーザ登録に基づいてユーザDB50のパスワード情報が正常に登録され、認証サーバ100内に管理するネットワークシステム10内のサーバ130に対応する適切なパスワードが登録されているか否かについては実際に携帯端末110にあるサーバ130に表示させたパスワードを基にシステムにログイン処理を行うことによって確認することができる。
【0054】
以下に、本実施例におけるパスワード生成時の一連のサービス関連処理動作を説明する。
【0055】
図8は、本パスワード管理方法に基づいてユーザがネットワークシステム10を使用する際の処理に関する動作を表すフローチャートである。
【0056】
ユーザはクライアント120からネットワークシステム10に接続してサーバ130へアクセスし、一般ユーザであればサーバへのログインや所望のサービスを要求し、管理者の管理業務であれば、ユーザ登録処理などの一連の処理を行う。
【0057】
ユーザは、ステップS601においてクライアント120から任意のサーバ130にアクセスを行い、必要なデータを入力する。
【0058】
ステップS602においては、ユーザがアクセスしたサーバがステップS601において入力された内容がユーザ認証であるか否かを判定し、判定の結果によりこれ以降の処理を分岐する。
【0059】
ステップS602におけるユーザが入力した内容の判定の結果がユーザ認証要求であった場合には、次にステップS603のユーザ認証処理を実行する。一方、前記判定の結果がユーザ認証要求で無いと判定された場合には、ステップS604の入力データ解析処理を行う。
【0060】
ステップS603においては、ユーザ認証処理を行うため、入力されたデータに基づいてユーザ認証部22がユーザDB50から当該ユーザの情報を取得して認証処理を行う。認証処理の結果、当該ユーザが正規のユーザでないと判断され認証に失敗した場合には、ユーザへのサービス提供を行わずに処理を終了する。
【0061】
一方、ユーザが正規のユーザとして認証された場合には次のステップS604においてステップS601において入力されたデータの内容を解析して以降の処理を実行する。
【0062】
ステップS605においては、ステップS604において解析した結果に基づき、入力されたデータがユーザ情報の更新要求であるか否かを判定する。ステップS605における判定の結果がユーザ情報の更新要求であると判断された場合には、ステップS606のパスワード更新処理を実行する。
【0063】
一方、判定の結果がユーザ情報の更新要求ではないと判定された場合には、ステップS607の処理へと移行する。
ステップS606においては、認証サーバ100のデータ更新制御部24、パスワード管理部25が入力されたデータに基づいてユーザDB50のパスワード更新処理を行う。
【0064】
ステップS607においては、サーバ130が、認証を受けたユーザに対してサービスを提供する。
【0065】
図9はパスワード更新処理(図8のS606)の動作を表すフローチャートである。
【0066】
ステップS701においては認証サーバ100のデータ更新制御部24が、ユーザに入力されたデータであるユーザが決定したパスワードである基本パスワードを登録する。
【0067】
ステップS702においては認証サーバ100のパスワード管理部25がネットワークシステム10内の各サーバ130に個別のパスワードを生成、登録する処理を行う。
【0068】
ステップS703においては、ステップS702において生成したパスワードをユーザDB50に登録するDB更新処理を行う。
【0069】
ステップS704においては、ステップS703においてユーザDB50を更新した内容を携帯端末110に登録する処理を行う。
【0070】
図10は個別パスワード登録処理(図9のS702)の動作を表すフローチャートである。
【0071】
まず、ステップS801においては認証サーバ100のパスワード管理部25がパスワード生成ルール管理テーブル300を読み込む。
【0072】
ステップS802においては、認証サーバ100内のパスワード管理部25が機器一覧管理テーブル400を読み込む。
【0073】
ステップS803においては、データ更新の対象となるサーバの種別を判定する。先に読み込んだ機器一覧管理テーブル400を基に、処理対象であるサーバが一元管理の対象であるか否かを判定する。
【0074】
判定の結果が一元管理の対象でないと判断された場合にはそのまま処理を終了する。一方、一元管理の対象と判定された場合には、ステップS804へ進む。
【0075】
ステップS804においては、先に読み込んだパスワード生成ルール管理テーブル300、及び機器一覧管理テーブル400より個別パスワード生成要素であるトークンを取得する。
【0076】
ステップS805においてはステップS804と同様に先に読み込んだ機器一覧管理テーブル400より接続子を取得する。
【0077】
ステップS806においては、ユーザの入力した基本パスワード、ステップS804において取得したトークン、及びステップS805において取得した接続子を組み合わせることによって個別パスワードを生成する。
【0078】
ステップS807においてはステップS806において生成したパスワードをユーザDB50に登録して一連の処理を終了する。
【0079】
図11は携帯端末登録処理(図9のS704)の動作を表すフローチャートである。
【0080】
ステップS901においては、携帯端末110と認証サーバ100の間でデータ通信が可能なように接続を行う。
【0081】
ステップS902においては、認証サーバ100に接続しようとしている携帯端末110が正規のユーザのものであることを確認する認証を行う。
【0082】
ステップS903においては、基本パスワードを認証サーバ100から携帯端末110へと送信する。
【0083】
ステップS904においては、機器一覧情報を、各機器に対応する個別パスワードとともに携帯端末110へ送信する。
続いてステップS905においては、認証サーバ100から携帯端末110への送信データが一致しているか否かを判定し、結果が一致している場合にはそのまま処理を終了する。一方、結果が一致していない場合にはステップS906においてエラー通知をユーザに返して処理を終了する。
【0084】
図7に示す内容は、ユーザが使用するクライアント120等のディスプレイ等の表示手段を介して表示される。
図7に示した例は実施例の1つであり、本パスワード管理方法において認証サーバ100がパスワード生成に必要な情報を取得する場合のサーバ登録フォーム200である。
【0085】
入力フォームは各項目ごとにその名称を表示し、名称に対応した値を指定された位置に入力する。
【0086】
サーバ機能名201にはサーバの機能を表す名称を入力する。本例では、「Web」である。
ホスト名202、IPアドレス203、管理対象204などは名前201と同様に値を入力する。ただし、項目によって複数の値を持たせる必要がある場合には複数の入力を可能にするフォームを用意しておく。
【0087】
ユーザは必要な情報を入力し終わった後、入力した更新を認証サーバ100に反映するためにマウスなどの入力手段を用いて「OK」ボタン205を押下する。一方、入力した情報を破棄したい場合には、「キャンセル」ボタン206を押下する。
【0088】
以上述べたように本実施例によれば、ユーザにさまざまなサービスを提供するネットワークシステムにおいて、ユーザ情報を認証サーバで一元管理すると共に、ユーザの決定した基本パスワードと予め設定されたパスワード生成ルールに従って決められたトークンとを組み合わせて各機器に個別パスワードを設定することができる。これによって、異なるパスワードを用いることによるネットワークシステムのセキュリティの確保を行うと共に、ユーザが容易に認識できるルールに基づいて生成されたパスワード群を管理負荷を軽減することが可能である。
【0089】
【発明の効果】
本発明によれば、セキュリティの確保とそのための管理負荷の軽減とを両立することが可能になる。
【図面の簡単な説明】
【図1】実施例の機能構成である。
【図2】実施例のシステム使用例である。
【図3】実施例のユーザ情報更新時のパスワード登録の一連のデータ処理における処理シーケンスである。
【図4】パスワード生成ルール管理テーブル300のデータ構造である。
【図5】機器一覧管理テーブル400のデータ構造である。
【図6】認証サーバのシステム構成である。
【図7】実施例の認証サーバ100にパスワード生成に必要な情報を取得するサーバ登録フォームである。
【図8】実施例のユーザがネットワークシステム10を使用する際の処理に関する動作の説明図である。
【図9】実施例のパスワード更新処理に関わる動作の説明図である。
【図10】実施例の個別パスワード登録処理に関わる動作の説明図である。
【図11】実施例の携帯端末登録処理に関わる動作の説明図である。
【符号の説明】
10…ネットワークシステム
22…ユーザ認証部、
24…データ更新制御部、
25…パスワード管理部
50…ユーザDB、
100…認証サーバ、
110…携帯端末、
300…パスワード生成ルール管理テーブル、
400…機器一覧管理テーブル。
【発明の属する技術分野】
本発明は、それぞれがユーザ認証を要求する複数の装置からなるネットワークシステムにおけるユーザ認証方法に関する。
【0002】
【従来の技術】
近年のネットワークの普及により、企業、学校、あるいは家庭等のさまざまな環境においてネットワークシステムの導入が進んでいる。
【0003】
企業や学校等においては、組織内のコンピュータ群をネットワーク接続して情報の共有化を実現したり、インターネットに接続して外部への情報発信を行ったりしている。
【0004】
インターネットの普及、あるいは企業内ネットワークにおいて提供するサービスの拡大等により、ユーザが使用する対象となるシステムの種類は多くなるが、これらのシステムの利用には一般的にユーザIDとパスワードによるユーザ認証を実施することが多い。
【0005】
例えば、企業のネットワークシステムにおいては、各自が管理するPC、部署やグループで共有するファイルサーバ、プリンタサーバ、メールサーバをはじめとするサーバ類、さらに社内情報を共有するためのWebアクセス、グループウェア等の各種アプリケーションの使用時にはユーザ認証を必要とする。
【0006】
上記のように、ネットワークが普及してユーザが使用するシステム、あるいはサービスの数が増加するにつれてその認証に必要であるユーザパスワードの管理負荷が大きくなることとなった。
【0007】
ネットワークシステム内の存在する各種機器、アプリケーションはそれぞれ独自にユーザ情報を管理する為の機構を備えることから、ユーザはシステムの使用時にはシステム毎に毎回認証を要求され、さらにシステム毎に異なるパスワードを覚えておかなければならないため、ユーザのシステム使用感を損ねないためにもこれらの認証に関わるユーザの負荷を軽減する方法が必要とされていた。
【0008】
これらの要件に対応する技術は、たとえば、特許文献1に開示されている。この技術によれば、ユーザが使用するクライアントと、複数のサーバが存在するネットワークシステムにおいて、あるサーバに対して一度ユーザIDとパスワードを入力して認証処理を完了した後には、許可された同一ネットワークシステム内の他のサーバ、アプリケーションに対しては再び認証処理をする必要なくログイン可能であった。
【0009】
当該技術により、ネットワークシステムを使用するユーザは前記あるサーバに対して最初に一度だけ行うユーザ認証に使用するパスワードを記憶しておくだけで同一ネットワークシステム内の他の機器、アプリケーションを使用することが可能であった。
【0010】
【特許文献1】
特開2002−183094号公報
【0011】
【発明が解決しようとする課題】
しかしながら、上記のようなユーザ認証を行うネットワークシステムのパスワード管理方法においては、システム利用時のユーザの利便性は損なわずに済む一方で、万一、ユーザのパスワードが盗難されてしまった場合に、当該ユーザが利用可能な全てのシステムを不正に使用されてしまうというセキュリティ上の課題が存在した。
【0012】
昨今では特に、情報システムにおけるセキュリティが社会的にも重要な問題になっている。DDOS(Distributed Denaial of Service attacks)というネットワーク的に大きな負荷を加えることでサービスをダウンさせたり、実質的にサービスを利用不可能にしたりする不正アクセス手法によって攻撃されたり、また、官公庁や企業のホームページが不正アクセスによって改竄されるといった被害も発生している。
【0013】
このようなセキュリティ上の問題においては、ネットワークシステムの外部から不当な負荷を掛けるものをはじめ、オペレーティングシステムやソフトウェアのセキュリティホールをつく攻撃手法があげられるが、同時にユーザパスワードの漏洩が原因である場合も多い。
【0014】
ユーザが自分のパスワードを付箋紙のようなものにメモしておき前記パスワードで認証を行うコンピュータの画面に張っておく場合や、自分の名前、生年月日等の個人情報をパスワードに設定している、あるいは辞書に載っている単語で構成されている等、容易に推測、解析可能なパスワードが利用されている場合が多い。
【0015】
このような状況は、ネットワークシステムを使用するユーザが認証を要求されるシステムの数が多いため、パスワードを覚えきれないことが原因としてあげられ、さらには多数のパスワードを覚えきれないためにユーザが自身でパスワードを設定可能な全てのシステムにおいて同一のパスワードを設定する場合もある。
【0016】
このような中で、さまざまなサービス、システムのユーザ認証におけるセキュリティを確保すると共に、ユーザのシステム利用の利便性を損なうことが無いパスワード管理方法が重要となっている。
【0017】
つまり、何らかの形でユーザのパスワードが盗難された場合でも、その被害を最小限に抑える為のパスワード管理方法が必要である。
【0018】
同時に、セキュリティを高めることと相反するネットワークシステム利用の上でユーザの利便性を損なうことが無いようなパスワード管理方法が望まれる。
【0019】
【課題を解決するための手段】
本発明は、ネットワークシステムにおいてシステム毎に異なるパスワードを設定することによりセキュリティを高めると共に、複数のパスワードを管理する必要性によるユーザのパスワード管理負荷を軽減する技術を提供する。
【0020】
本発明は、様々な機器、アプリケーションを包含するネットワークシステムのユーザ認証において、前記ネットワークシステムに存在する各種機器、アプリケーション毎に異なる個別のパスワードを設定する。
【0021】
前記個別パスワードの管理においては、ユーザが任意に決定する基本パスワードを設定し、同基本パスワードに対して、前記ネットワークシステムを使用するユーザが認識することが容易なトークンを予め設定したルールに従って付与することにより機器毎に異なる個別パスワードを設定する。
【0022】
かかるパスワード管理方法を提供することにより、ネットワークシステム内の各機器、アプリケーションのユーザ認証において異なるパスワードを使用することが可能であり、パスワードが漏洩した場合においても前記ネットワークシステム内のその他の機器、アプリケーションが不正に使用されることが無く、前記ネットワークシステムのセキュリティの向上を実現する。
【0023】
また、本発明はネットワークシステム内の各機器、アプリケーションの個別パスワードの生成においてユーザが決定した基本パスワードに加え、予め設定したルールとして、例えばネットワークシステム内のサーバのIPアドレスの下3桁、あるいはサーバの機能名、というネットワークシステムの管理者が決定した任意のルールに従って前記ネットワークシステムを利用するユーザが記憶するに容易なパスワードを生成するため、ルールとネットワーク構成の概要を把握することによってユーザのパスワード管理負荷を軽減する。
【0024】
さらに、上記のように生成したネットワークシステムの認証に使用するパスワード群をユーザの所持する携帯端末に送信、記憶させ、前記基本パスワードによって前記携帯端末に対する認証を完了した後にユーザが所望の機器、アプリケーションに対応する個別パスワードを提示する。
【0025】
かかるパスワード提示機能を提供することにより、ユーザがネットワークシステムの使用に際して自身の決定した基本パスワードを記憶しておくだけで、必要に応じて前記ネットワークシステム内の個別パスワードを携帯端末を介して表示させることができ、パスワード管理負荷が一層軽減することが可能である。
【0026】
【発明の実施の形態】
以下、本発明の実施の形態について図面を用いて詳細に説明する。以下の図中において、同一の部分には同一の符号を付与する。
【0027】
本実施例は、図1に示すネットワークシステム10におけるサーバ個別のパスワードを認証サーバ100において管理してユーザ認証を一元管理するパスワード管理方法について述べる。
【0028】
図1は本実施例におけるパスワード管理方法の機能構成図であり、LANなどの伝送媒体31により認証サーバ100、携帯端末110、クライアント120、サーバ130が接続されている。認証サーバ100は、管理するユーザ情報をユーザDB50に記憶する。
【0029】
認証サーバ100は、携帯端末110やサーバ130、あるいはクライアント120との通信処理を制御する通信制御部23、ネットワークシステム10において入力されたデータを解析する入力データ解析部21、サービスを要求してきたユーザが正規のユーザであるか否かを判定するユーザ認証部22、受信したデータをもとにデータの更新を管理するデータ更新制御部24、ネットワークシステム10内の各機器、アプリケーション類の個別に異なるパスワードを生成するためのルールを管理するパスワード生成ルール管理テーブル300、ネットワークシステム10内に存在する機器、アプリケーションに関するさまざまな情報とパスワードの関連づけ一覧で管理する機器一覧管理テーブル400、ユーザの決定したパスワード、及び前記パスワード、パスワード生成ルール管理テーブル300、機器一覧管理テーブル400を基にネットワークシステム10内のサーバ130に個別のパスワードを管理するパスワード管理部25を有する。
【0030】
携帯端末110は、認証サーバ100、サーバ130、クライアント120との通信処理を制御する通信制御部23、携帯端末110におけるユーザ認証処理を制御する認証制御部26、各種パスワードの表示を制御する表示部27、ネットワークシステム10におけるユーザのパスワードを管理するパスワード管理部30を有する。パスワード管理部30は、ネットワークシステム10におけるユーザ認証に関わるパスワード管理を行い、ネットワークシステム10におけるユーザ認証のためにユーザが決定したパスワードを格納する基本パスワード記憶領域29及びサーバ毎の個別のパスワードを管理する個別パスワード管理テーブル28を有する。
【0031】
図2は本実施例のパスワード管理の使用例である。
【0032】
ユーザA150はクライアント120からネットワークシステム10内のサーバにログインするために、ユーザ認証を要求される。ネットワークシステム10内の各サーバ130の認証においては、ユーザA150自身が決定したパスワード“pwd”にサーバの機能名を接頭辞に、そしてIPアドレスの下位8ビットを接尾辞としてそれぞれをハイフン“−”でつなぎ合わせた値が個別パスワードとして設定されている。ここで言う機能名とは、例えばWebサーバ131であれば“Web”を表し、IPアドレスの下位8ビットとは、同様にWebサーバ131であればIPアドレス192.168.0.3の最後のピリオド“.”以降の数値である“3”を表す。
【0033】
ユーザA150は、例えばWebサーバ131にログインする場合要求されるユーザIDとパスワードの認証情報160を入力する。ユーザIDに“UserA”、パスワードに“Web−pwd−3”を入力する。Webサーバ131は受信した認証情報160を認証サーバ100へ送信して認証要求を行い、認証サーバ100はユーザDB50に格納されたユーザ情報であるユーザIDとパスワードに照会して一致すれば認証を許可する応答をWebサーバ131返し、Webサーバ131はユーザA150にログインを許可する。また、ユーザA150がDNSサーバ132にログインする場合には、Webサーバ131へのログインの時と同様にユーザIDに“UserA”、パスワードに“DNS−pwd−128”と入力することによってDNSサーバ132へのログインが許可される。以降、ネットワークシステム10内のその他のサーバ群133に対してもその機能名とIPアドレスを基に同様に認証が行われる。
【0034】
一方で、認証サーバ100はユーザのパスワード生成時に携帯端末110へ接続してネットワークシステム10内の各サーバ130とそれに対応する個別パスワードの情報を送信する。ユーザA150は、自身が決定したパスワードによる携帯端末110への認証後に所望のサーバに対するパスワードを表示させることができる。
【0035】
続いて、本実施例におけるパスワード生成ルール管理テーブル300、及び機器一覧管理テーブル400について図4、図5を用いて説明する。
【0036】
パスワード生成ルール管理テーブル300は、ネットワークシステム10内の各サーバ130に対する個別パスワードを生成するためのルールを設定するテーブルであり、トークン管理テーブル310、及びパスワード構成管理テーブル320から構成される。
【0037】
個別パスワードの生成方法としては、ユーザが決定した基本パスワードを基に、ネットワークシステム10に関わり、かつユーザが容易に認識可能な要素をトークンとし、前記トークンを前記基本パスワードと組み合わせることで実現する。トークンと成る要素としては、例えばサーバ130のIPアドレスであったり、ホスト名であったり、Web、Mail等サーバの役割を示す機能名称であったり、ネットワークシステム10内で共通してユーザが容易に認識できる要素をこれに当てる。Webサーバ131の管理者であれば、どのサーバが自身の目的とするWebサーバ131であり、そのIPアドレスが何であるかということを記憶することは容易であると予想され、それらの値を組み合わせた個別パスワードの記憶も容易である。
【0038】
トークン管理テーブル310は、上記個別パスワード生成のためのトークンの候補となる要素を設定するテーブルであり、トークン番号311、及びトークン名312から構成される。トークン番号311は、トークンに対する番号付けを行いトークンを管理する為の番号を格納し、トークン名312には実際のトークンとして名称を管理する。
【0039】
パスワード構成管理テーブル320は、個別パスワードを構成するトークンとその組み合わせ方法を設定するテーブルであり、パスワード構成要素321、及び構成値322から構成される。パスワード構成要素321には、パスワードを構成する要素と各構成要素の接続詞を設定する。構成値322には、パスワード構成の要素を順番に格納すると共に接続詞の値を格納する。図5においては、トークン1であるホスト名、基本パスワード、トークン2であるIPアドレスを接続子“−”で接続した値を個別パスワードとして生成するルールを設定したものである。
【0040】
図4の機器一覧管理テーブル400は、ネットワークシステム10内に存在する機器の一覧にして関連情報を管理するテーブルであり、サーバ情報401、管理フラグ405、パスワード406を記憶する3つの領域から構成される。
サーバ情報401を記憶する領域はさらに、サーバ130に関連する情報を記憶する1つ以上の領域から構成され、図5においてはサーバ機能名402、ホスト名403、IPアドレス404を記憶する3つの領域から構成されている。サーバ機能名402はサーバ130の果たす役割に基づいて設定され、Web、DNSなどの名称がこれに当たる。ホスト名403はサーバ130に付与されたホストの名称であり、例えばUNIX(登録商標)サーバにおいては一般的に“/etc/hosts”というファイルに設定される値である。IPアドレス404は、各サーバ130に付与されたIPアドレスとして設定された値である。
管理フラグ405は、当該サーバ130をネットワークシステム10において一元管理の対象とするか否かを設定するフラグであり、YESが設定されている場合には当該サーバ130を一元管理の対象として本パスワード管理方法によるサーバ個別のパスワード406による管理対象とする。一方でNOが設定されている場合には、当該サーバをネットワークシステム10における一元管理の対象としないことを意味する。
パスワード406は、ネットワークシステム10内に存在するサーバ一覧において各サーバに対応するパスワードを格納する領域であり、ホスト一覧管理テーブル400内に記憶された各サーバに1対1で対応するパスワードを管理する。
【0041】
図7は本実施例の認証サーバ100のシステム構成である。
【0042】
認証サーバ100は、中央演算装置CPU34、ハードディスクなどの2次記憶媒体(以下、磁気ディスクという)33、主記憶装置メモリ(以下、主メモリという)32、データバス等の通信線31、表示装置などの出力装置(以下、ディスプレイという)35、入力装置(以下、キーボード36、マウス37という)から構成される。
【0043】
図7のパスワード生成ルール管理テーブル300、機器一覧管理テーブル400、ユーザDB50は磁気ディスク33上に格納される。
【0044】
主メモリ32には、通信制御部23、入力データ解析部21、ユーザ認証部22、データ更新制御部24、パスワード管理部25が格納される。これらの機能は、磁気ディスク33に格納されているプログラムが、必要に応じて主メモリ32に転送された後、CPU34で実行されることにより具現化される。このプログラムの一部あるいは全部は、着脱可能な記憶媒体や、通信媒体を介して、他の装置から導入されても良い。
【0045】
次に、本実施例におけるユーザ情報更新時のパスワード登録の一連のデータ処理の流れについて、図3を用いて説明する。
【0046】
本パスワード管理方法において、ネットワークシステム10に新たにユーザを追加する場合の、クライアント120から認証サーバ100を介してユーザDB50のユーザ情報の更新を伴う認証サーバ100のパスワード情報更新を行い、前記パスワード更新情報を携帯端末110へ登録する時の処理シーケンスである。
【0047】
ユーザがネットワークシステム10を利用する場合に、まずユーザの登録を行うためクライアント120からデータ入力を行い、クライアント120は認証サーバ100へ入力されたデータを基にユーザ登録要求71を発行する。
【0048】
認証サーバ100はクライアントからのユーザ登録要求71を受信すると、ユーザ登録時のパスワード生成に必要な条件設定を読込み、これと併せてユーザ登録要求71で受信したデータを基にパスワードデータ生成を行う。
【0049】
認証サーバ100は、受信したユーザ情報と生成したパスワード情報を基にユーザDB50にユーザ登録要求を行い、ユーザDB50ではユーザ登録処理を行う。
【0050】
ユーザ登録の完了後、ユーザDB50から認証サーバ100へユーザ登録応答が返される。
【0051】
認証サーバ100は、サーバにおけるユーザ登録処理を完了すると、携帯端末110へパスワード登録要求74を発行する。
【0052】
携帯端末110はパスワード登録要求74を受信すると、受信したデータを基にパスワード登録処理を行い、終了後に認証サーバ100へパスワード登録応答75を返す。
【0053】
この時、ユーザ登録に基づいてユーザDB50のパスワード情報が正常に登録され、認証サーバ100内に管理するネットワークシステム10内のサーバ130に対応する適切なパスワードが登録されているか否かについては実際に携帯端末110にあるサーバ130に表示させたパスワードを基にシステムにログイン処理を行うことによって確認することができる。
【0054】
以下に、本実施例におけるパスワード生成時の一連のサービス関連処理動作を説明する。
【0055】
図8は、本パスワード管理方法に基づいてユーザがネットワークシステム10を使用する際の処理に関する動作を表すフローチャートである。
【0056】
ユーザはクライアント120からネットワークシステム10に接続してサーバ130へアクセスし、一般ユーザであればサーバへのログインや所望のサービスを要求し、管理者の管理業務であれば、ユーザ登録処理などの一連の処理を行う。
【0057】
ユーザは、ステップS601においてクライアント120から任意のサーバ130にアクセスを行い、必要なデータを入力する。
【0058】
ステップS602においては、ユーザがアクセスしたサーバがステップS601において入力された内容がユーザ認証であるか否かを判定し、判定の結果によりこれ以降の処理を分岐する。
【0059】
ステップS602におけるユーザが入力した内容の判定の結果がユーザ認証要求であった場合には、次にステップS603のユーザ認証処理を実行する。一方、前記判定の結果がユーザ認証要求で無いと判定された場合には、ステップS604の入力データ解析処理を行う。
【0060】
ステップS603においては、ユーザ認証処理を行うため、入力されたデータに基づいてユーザ認証部22がユーザDB50から当該ユーザの情報を取得して認証処理を行う。認証処理の結果、当該ユーザが正規のユーザでないと判断され認証に失敗した場合には、ユーザへのサービス提供を行わずに処理を終了する。
【0061】
一方、ユーザが正規のユーザとして認証された場合には次のステップS604においてステップS601において入力されたデータの内容を解析して以降の処理を実行する。
【0062】
ステップS605においては、ステップS604において解析した結果に基づき、入力されたデータがユーザ情報の更新要求であるか否かを判定する。ステップS605における判定の結果がユーザ情報の更新要求であると判断された場合には、ステップS606のパスワード更新処理を実行する。
【0063】
一方、判定の結果がユーザ情報の更新要求ではないと判定された場合には、ステップS607の処理へと移行する。
ステップS606においては、認証サーバ100のデータ更新制御部24、パスワード管理部25が入力されたデータに基づいてユーザDB50のパスワード更新処理を行う。
【0064】
ステップS607においては、サーバ130が、認証を受けたユーザに対してサービスを提供する。
【0065】
図9はパスワード更新処理(図8のS606)の動作を表すフローチャートである。
【0066】
ステップS701においては認証サーバ100のデータ更新制御部24が、ユーザに入力されたデータであるユーザが決定したパスワードである基本パスワードを登録する。
【0067】
ステップS702においては認証サーバ100のパスワード管理部25がネットワークシステム10内の各サーバ130に個別のパスワードを生成、登録する処理を行う。
【0068】
ステップS703においては、ステップS702において生成したパスワードをユーザDB50に登録するDB更新処理を行う。
【0069】
ステップS704においては、ステップS703においてユーザDB50を更新した内容を携帯端末110に登録する処理を行う。
【0070】
図10は個別パスワード登録処理(図9のS702)の動作を表すフローチャートである。
【0071】
まず、ステップS801においては認証サーバ100のパスワード管理部25がパスワード生成ルール管理テーブル300を読み込む。
【0072】
ステップS802においては、認証サーバ100内のパスワード管理部25が機器一覧管理テーブル400を読み込む。
【0073】
ステップS803においては、データ更新の対象となるサーバの種別を判定する。先に読み込んだ機器一覧管理テーブル400を基に、処理対象であるサーバが一元管理の対象であるか否かを判定する。
【0074】
判定の結果が一元管理の対象でないと判断された場合にはそのまま処理を終了する。一方、一元管理の対象と判定された場合には、ステップS804へ進む。
【0075】
ステップS804においては、先に読み込んだパスワード生成ルール管理テーブル300、及び機器一覧管理テーブル400より個別パスワード生成要素であるトークンを取得する。
【0076】
ステップS805においてはステップS804と同様に先に読み込んだ機器一覧管理テーブル400より接続子を取得する。
【0077】
ステップS806においては、ユーザの入力した基本パスワード、ステップS804において取得したトークン、及びステップS805において取得した接続子を組み合わせることによって個別パスワードを生成する。
【0078】
ステップS807においてはステップS806において生成したパスワードをユーザDB50に登録して一連の処理を終了する。
【0079】
図11は携帯端末登録処理(図9のS704)の動作を表すフローチャートである。
【0080】
ステップS901においては、携帯端末110と認証サーバ100の間でデータ通信が可能なように接続を行う。
【0081】
ステップS902においては、認証サーバ100に接続しようとしている携帯端末110が正規のユーザのものであることを確認する認証を行う。
【0082】
ステップS903においては、基本パスワードを認証サーバ100から携帯端末110へと送信する。
【0083】
ステップS904においては、機器一覧情報を、各機器に対応する個別パスワードとともに携帯端末110へ送信する。
続いてステップS905においては、認証サーバ100から携帯端末110への送信データが一致しているか否かを判定し、結果が一致している場合にはそのまま処理を終了する。一方、結果が一致していない場合にはステップS906においてエラー通知をユーザに返して処理を終了する。
【0084】
図7に示す内容は、ユーザが使用するクライアント120等のディスプレイ等の表示手段を介して表示される。
図7に示した例は実施例の1つであり、本パスワード管理方法において認証サーバ100がパスワード生成に必要な情報を取得する場合のサーバ登録フォーム200である。
【0085】
入力フォームは各項目ごとにその名称を表示し、名称に対応した値を指定された位置に入力する。
【0086】
サーバ機能名201にはサーバの機能を表す名称を入力する。本例では、「Web」である。
ホスト名202、IPアドレス203、管理対象204などは名前201と同様に値を入力する。ただし、項目によって複数の値を持たせる必要がある場合には複数の入力を可能にするフォームを用意しておく。
【0087】
ユーザは必要な情報を入力し終わった後、入力した更新を認証サーバ100に反映するためにマウスなどの入力手段を用いて「OK」ボタン205を押下する。一方、入力した情報を破棄したい場合には、「キャンセル」ボタン206を押下する。
【0088】
以上述べたように本実施例によれば、ユーザにさまざまなサービスを提供するネットワークシステムにおいて、ユーザ情報を認証サーバで一元管理すると共に、ユーザの決定した基本パスワードと予め設定されたパスワード生成ルールに従って決められたトークンとを組み合わせて各機器に個別パスワードを設定することができる。これによって、異なるパスワードを用いることによるネットワークシステムのセキュリティの確保を行うと共に、ユーザが容易に認識できるルールに基づいて生成されたパスワード群を管理負荷を軽減することが可能である。
【0089】
【発明の効果】
本発明によれば、セキュリティの確保とそのための管理負荷の軽減とを両立することが可能になる。
【図面の簡単な説明】
【図1】実施例の機能構成である。
【図2】実施例のシステム使用例である。
【図3】実施例のユーザ情報更新時のパスワード登録の一連のデータ処理における処理シーケンスである。
【図4】パスワード生成ルール管理テーブル300のデータ構造である。
【図5】機器一覧管理テーブル400のデータ構造である。
【図6】認証サーバのシステム構成である。
【図7】実施例の認証サーバ100にパスワード生成に必要な情報を取得するサーバ登録フォームである。
【図8】実施例のユーザがネットワークシステム10を使用する際の処理に関する動作の説明図である。
【図9】実施例のパスワード更新処理に関わる動作の説明図である。
【図10】実施例の個別パスワード登録処理に関わる動作の説明図である。
【図11】実施例の携帯端末登録処理に関わる動作の説明図である。
【符号の説明】
10…ネットワークシステム
22…ユーザ認証部、
24…データ更新制御部、
25…パスワード管理部
50…ユーザDB、
100…認証サーバ、
110…携帯端末、
300…パスワード生成ルール管理テーブル、
400…機器一覧管理テーブル。
Claims (3)
- ネットワークを介して接続された複数の機器に対する認証を管理する認証サーバと、サービスを提供するための個々の機能提供サーバ群から構成されるネットワークシステムにおけるパスワード管理方法であって、
前記ネットワークシステムの認証のためにユーザが設定する基本パスワードに加えて、前記ネットワークシステムを使用するユーザが認識可能なトークンを前記基本パスワードと組み合わせることによって、ネットワークシステム内の機器毎に設定する個別パスワードを生成し、
前記基本パスワード及び個別パスワードを前記ユーザが携帯する端末に送信し、
前記端末は、前記ユーザが所望する機器のパスワードを提示する
ことを特徴とするパスワード管理方法。 - 請求項1に記載のパスワード管理方法において、
前記基本パスワード及び個別パスワードを前記ネットワークシステム内のいずれかの前記機器において管理する
ことを特徴とするパスワード管理方法。 - 請求項1または2に記載のパスワード管理方法において、
前記ネットワークシステムは、パスワード管理装置を備え、
前記パスワード管理装置は、前記基本パスワード及び個別パスワードを前記ネットワークシステム内の機器において生成するためのルール、及び前記個別パスワードを生成するための要素値を記録しており、
前記個別パスワードを生成し、
前記ネットワークシステム内のユーザ情報の管理を行う
ことを特徴とするパスワード管理方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2003089632A JP2004295711A (ja) | 2003-03-28 | 2003-03-28 | パスワード管理方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2003089632A JP2004295711A (ja) | 2003-03-28 | 2003-03-28 | パスワード管理方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2004295711A true JP2004295711A (ja) | 2004-10-21 |
Family
ID=33403437
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2003089632A Pending JP2004295711A (ja) | 2003-03-28 | 2003-03-28 | パスワード管理方法 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP2004295711A (ja) |
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2007027000A1 (en) * | 2005-07-08 | 2007-03-08 | Ircube Co., Ltd. | Method for managing a large number of passwords, portable apparatus and certification information storing device using the same, and certification information management method using the same |
JP2009116726A (ja) * | 2007-11-08 | 2009-05-28 | Nec Fielding Ltd | 情報管理システム、携帯端末、サーバ装置、情報処理装置、情報処理方法およびプログラム |
US7823187B2 (en) | 2006-06-07 | 2010-10-26 | Fujitsu Limited | Communication processing method and system relating to authentication information |
WO2013048504A1 (en) * | 2011-09-30 | 2013-04-04 | Intel Corporation | Automated password management |
-
2003
- 2003-03-28 JP JP2003089632A patent/JP2004295711A/ja active Pending
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2007027000A1 (en) * | 2005-07-08 | 2007-03-08 | Ircube Co., Ltd. | Method for managing a large number of passwords, portable apparatus and certification information storing device using the same, and certification information management method using the same |
US7823187B2 (en) | 2006-06-07 | 2010-10-26 | Fujitsu Limited | Communication processing method and system relating to authentication information |
JP2009116726A (ja) * | 2007-11-08 | 2009-05-28 | Nec Fielding Ltd | 情報管理システム、携帯端末、サーバ装置、情報処理装置、情報処理方法およびプログラム |
WO2013048504A1 (en) * | 2011-09-30 | 2013-04-04 | Intel Corporation | Automated password management |
US9785766B2 (en) | 2011-09-30 | 2017-10-10 | Intel Corporation | Automated password management |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Jøsang et al. | User centric identity management | |
US8087060B2 (en) | Chaining information card selectors | |
US8719433B2 (en) | Methods and apparatus for scalable secure remote desktop access | |
EP2338262B1 (en) | Service provider access | |
US8590029B2 (en) | Management of access authorization to web forums open to anonymous users within an organization | |
US20090013063A1 (en) | Method for enabling internet access to information hosted on csd | |
JP2004512594A (ja) | インターネットサイトに対するアクセス制御方法 | |
CN101626369A (zh) | 一种单点登录方法、设备及*** | |
EP1177494A1 (en) | Method and system for proving membership in a nested group | |
RU2373572C2 (ru) | Система и способ для разрешения имен | |
WO2013035409A1 (ja) | クラウドコンピューティングシステム | |
CN114207616A (zh) | 利用单个姿势登录多个账户 | |
EP1517510B1 (en) | Moving principals across security boundaries without service interruptions | |
WO2009002183A1 (en) | System for migrating user generated content between online communities | |
JP2009205223A (ja) | シングルサインオンによるグループ内サービス認可方法と、その方法を用いたグループ内サービス提供システムと、それを構成する各サーバ | |
US20200137037A1 (en) | Endpoint security | |
JP2004295711A (ja) | パスワード管理方法 | |
US11095436B2 (en) | Key-based security for cloud services | |
JP4837060B2 (ja) | 認証装置及びプログラム | |
US20240179015A1 (en) | Method and system for decentralized identity management and data distribution | |
JP4846624B2 (ja) | 認証代理装置、認証代理方法、及び認証代理プログラム | |
JP2004302907A (ja) | ネットワーク装置及び認証サーバ | |
JP2004334395A (ja) | シングルサインオン認証方法 | |
CAMERONI | Providing Login and Wi-Fi Access Services With the eIDAS Network: A Practical Approach | |
Lampropoulos et al. | A generic framework for a dynamic identity management and discovery system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A712 Effective date: 20050328 |