JP2006209676A - セキュリティシステム及びセキュリティ方法 - Google Patents
セキュリティシステム及びセキュリティ方法 Download PDFInfo
- Publication number
- JP2006209676A JP2006209676A JP2005024100A JP2005024100A JP2006209676A JP 2006209676 A JP2006209676 A JP 2006209676A JP 2005024100 A JP2005024100 A JP 2005024100A JP 2005024100 A JP2005024100 A JP 2005024100A JP 2006209676 A JP2006209676 A JP 2006209676A
- Authority
- JP
- Japan
- Prior art keywords
- user
- service
- authentication
- master key
- authentication information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Abstract
【課題】 記憶媒体に1個のマスター鍵を格納するだけで、複数のサービスのユーザ認証をできるようにする。
【解決手段】 利用者登録の際、1個のマスター鍵を発行し、それをICカード133等に登録すると共に、マスター鍵データベース103と個人情報データベース105に、利用者400が利用可能な各サービスのユーザ認証で必要となる認証情報を上記マスター鍵と関連付けて格納し、管理サーバ101で一元管理する。利用者400が社内サービスサーバ110からサービスを受けるときは、ICカード133に登録されたマスター鍵と該サービスに割り当てられたアプリケーション識別子を管理サーバ101に送信し、管理サーバ101から上記サービスのユーザ認証で必要となる認証情報を受け取り、この認証情報を用いてユーザ認証を受ける。
【選択図】図3
【解決手段】 利用者登録の際、1個のマスター鍵を発行し、それをICカード133等に登録すると共に、マスター鍵データベース103と個人情報データベース105に、利用者400が利用可能な各サービスのユーザ認証で必要となる認証情報を上記マスター鍵と関連付けて格納し、管理サーバ101で一元管理する。利用者400が社内サービスサーバ110からサービスを受けるときは、ICカード133に登録されたマスター鍵と該サービスに割り当てられたアプリケーション識別子を管理サーバ101に送信し、管理サーバ101から上記サービスのユーザ認証で必要となる認証情報を受け取り、この認証情報を用いてユーザ認証を受ける。
【選択図】図3
Description
本発明は、セキュリティシステム及びセキュリティ方法に係わり、特に鍵を用いてユーザ認証を行うセキュリティシステ及びセキュリティ方法に関する。
ネットワークを利用したシステム、オフィスなどの入退出管理管理、電子取引、さらにはクレジットカードやキャッシュカードの決済などにおいては、セキュリティ確保のためにユーザ認証が必要となる。現在、このようなユーザ認証は、主にICカードを利用して実現されている。
ICカードは、CPUやメモリ、さらには有線または無線の通信回路を備え、通信機能を利用して外部の情報処理装置との間でデータの授受が可能である。ICカードは、また、アプリケーションの追加・削除が容易であるという利点を備えている。このため、1枚のICカードで複数のサービスのユーザ認証を行うことが可能である。
図13は、従来のICカードを用いた利用者のサービスシステムを示す模式図である。
同図に示すシステムでは、利用者2000は、インターネット・サービス、電子取引、入退出管理及び業務サーバサービスを利用している。利用者2000がこれら各種サービスを利用する場合、それら各サービスを提供する会社(サービス提供会社)などからIDやパスワードなどのユーザ認証情報が利用者に発行される。
同図に示すシステムでは、利用者2000は、インターネット・サービス、電子取引、入退出管理及び業務サーバサービスを利用している。利用者2000がこれら各種サービスを利用する場合、それら各サービスを提供する会社(サービス提供会社)などからIDやパスワードなどのユーザ認証情報が利用者に発行される。
このサービス提供会社から発行されるユーザ認証情報のICカードへの登録は、例えば、サービス提供会社が直接ICカードに書き込むか、または、サービス提供会社のサーバが、インターネットなどのネットワークを介して、ユーザ保有のパソコンに装着されたICカードに書き込むなどの方法によって行われていた。サービス提供会社が直接ICカードにユーザ認証情報を書き込む場合には、そのユーザ認証が書き込まれたICカードを利用者2000に郵送などで送付する。利用者2000は、以上のような方法でユーザ認証情報が登録(格納)されたICカード2100を保有することで、サービス提供会社が提供するサービスを利用することが可能となる。すなわち、そのICカード2100に登録されたユーザ認証情報をサービス提供会社のシステムに送信することで、サービス提供会社のシステムでユーザ認証を受け、正規のユーザであると承認されることで、サービス提供会社が提供するサービスを利用することが可能となる。
ICカードには、接触式、非接触式、及び接触式/非接触式共用のハイブリッド式がある。ハイブリッド式としては、接触式ICカードとして銀行のキャッシュカードやクレジットカードの機能を実現し、非接触式ICカードとして乗車券や電子マネーの機能を実現した「Suica対応ハイブリッドカード」が知られている(非特許文献1参照)。
また、電子マネーサービス提供システムで利用される非接触式(非接触型)ICカードに関する発明も公開されている(特許文献1参照)。
特開2002―73973号公報
http://itpro.nikkeibp.co.jp/free/NC/NEWS/20041015/151302/print.shtml日経コンピュータ(2004年10月15日号)
上述した従来のICカードへのユーザ認証の登録方式では、サービス毎に異なるユーザ認証情報が発行されるため、各サービスのユーザ認証情報を全てICカードに記録する必要がある。このため、メモリ容量の小さいICカードでは登録できるユーザ認証情報の数が制限されるという欠点があった。
また、利用者がICカードを紛失した場合、利用者は不正利用を防止するため、その紛失したICカードにユーザ認証が登録されていた全てのサービス提供業者に対して届出を行ってサービスを停止させる必要があった。利用者の立場からすれば、この届出は煩わしく不便なものであった。
本発明の目的は、利用者が保有する記憶媒体に格納される1個のマスター鍵だけを用いて、利用者が利用可能な全てのサービスのユーザ認証を行うことが可能なセキュリティシステムを実現することである。
本発明のセキュリティシステムは、サービスを提供するサーバに対してクライアント端末からサービス提供要求があった際に、該クライアント端末の利用者のユーザ認証を行うセキュリティシステムを前提とする。
本発明の第1態様のセキュリティシステムは、マスター鍵を格納し、クライアント端末で読み込み可能な記憶媒体と、該記憶媒体に格納されているマスター鍵と前記利用者が利用する各サービスのユーザ認証用の認証情報とを関連付けて一元管理し、前記利用者が前記マスター鍵とサービスの識別情報を送信して該サービスのユーザ認証において必要となる認証情報を要求してきた際に、該利用者のクライアント端末に前記認証情報を返信する管理サーバとを備えることを特徴とするセキュリティシステムである。
上記サービスの識別情報は、例えば、サービスアプリケーションの識別子である。また、管理サーバは、例えば、社外ネットワーク内に設けられる。
本発明の第2態様のセキュリティシステムは、上記第1の態様のセキュリティシステムにおいて、前記クライアント端末は、前記記憶媒体からマスター鍵を読み込む読込手段と、該読込手段によって読み込まれたマスター鍵を、利用者に提供されるサービスの識別情報と共に前記管理サーバに送信して、前記サービスのユーザ認証で必要とされる認証情報の返信を前記管理サーバに要求する認証情報要求手段と、前記管理サーバから受信する認証情報を用いて、利用者のユーザ認証を行う認証手段を備える。
本発明の第2態様のセキュリティシステムは、上記第1の態様のセキュリティシステムにおいて、前記クライアント端末は、前記記憶媒体からマスター鍵を読み込む読込手段と、該読込手段によって読み込まれたマスター鍵を、利用者に提供されるサービスの識別情報と共に前記管理サーバに送信して、前記サービスのユーザ認証で必要とされる認証情報の返信を前記管理サーバに要求する認証情報要求手段と、前記管理サーバから受信する認証情報を用いて、利用者のユーザ認証を行う認証手段を備える。
また、前記管理サーバは、前記認証情報要求手段から前記認証情報の返信要求を受信した際、前記マスター鍵と前記サービスの識別子を基にして、前記サービスのユーザ認証で使用される認証情報を前記クライアント端末に返信する認証情報返信手段を備える。
本発明の第3態様のセキュリティシステムは、上記第2の態様のセキュリティシステムにおいて、前記管理サーバは、利用者が保有するマスター鍵を、該利用者が利用可能なサービスのユーザ認証で必要となる認証情報と関連付けて格納するデータベースを備え、前記認証情報返信手段は、前記マスター鍵と前記サービスの識別子をキーとして前記データベースを検索して、前記認証情報を前記データベースから取得する認証情報取得手段を有することを特徴とする。
本発明のセキュリティ方法は、サービスを提供するサーバに対してクライアント端末からサービス提供要求があった際に、該クライアント端末の利用者のユーザ認証を行うセキュリティ方法を前提とする。
本発明の第1態様のセキュリティ方法は、マスター鍵を、クライアント端末で読み込み可能な記憶媒体に格納するステップと、該記憶媒体に格納されているマスター鍵と前記利用者が利用する各サービスのユーザ認証用の認証情報とを関連付けて一元管理し、前記利用者が前記マスター鍵とサービスの識別情報を送信して該サービスのユーザ認証において必要となる認証情報を要求してきた際に、該利用者のクライアント端末に前記認証情報を返信するステップを備えることを特徴とする。
本発明の第2態様のセキュリティ方法は、上記第1態様のセキュリティ方法において、前記クライアント端末は、前記記憶媒体からマスター鍵を読み込むステップと、該読込ステップによって読み込まれたマスター鍵を、利用者に提供されるサービスの識別子と共に前記管理サーバに送信して、前記サービスのユーザ認証で必要とされる認証情報の返信を前記管理サーバに要求するステップと、前記管理サーバから受信する認証情報を用いて、利用者のユーザ認証を行うステップを実行し、前記管理サーバは、前記認証情報の返信要求を受信した際、前記マスター鍵と前記サービスの識別情報を基にして、前記サービスのユーザ認証で使用される認証情報を前記クライアント端末に返信する認証情報返信ステップを実行することを特徴とする。
本発明の第3態様のセキュリティ方法は、上記第2態様のセキュリティ方法において、前記管理サーバは、利用者が保有するマスター鍵を、該利用者が利用可能なサービスのユーザ認証で必要となる認証情報と関連付けてデータベースに格納し、前記認証情報返信ステップにおいて、前記マスター鍵と前記サービスの識別子をキーとして前記データベースを検索して、前記認証情報を前記データベースから取得することを特徴とする。
本発明によれば、1個のマスター鍵に利用者が利用する全てのサービスの識別子を関連付けてサーバ側で一元管理するので、その1個のマスター鍵のみを格納する記憶媒体を用いて、利用者に提供される全てのサービスのユーザ認証が可能となる。したがって、小容量の記憶媒体を用いて多数のサービスのユーザ認証を行うことができる。また、利用者へのサービスの追加はサーバ側のみの作業で行うことが可能となる。
以下、図面を参照しながら、本発明の実施形態を説明する。
[原理]
図1は、本発明の原理を説明する図である。
[原理]
図1は、本発明の原理を説明する図である。
本発明では、ICカードなどの記憶媒体10に1個のマスター鍵13を格納(登録)するだけで、その記憶媒体10を保有する利用者11は、複数のサービスを受けることが可能となる。例えば、インターネット・サービス、電子取引、入退出管理及び業務サーバサービスなどのサービスである。利用者11が利用可能な全てのサービスの認証情報は、記憶媒体10に登録された1個のマスター鍵13と関連付けられて管理サーバ20に登録され、該管理サーバ20によって一元管理される。管理サーバ20は、利用者11からのサービス要求に応じて、利用者11がそのサービスを利用するために必要となる認証情報を利用者11の端末(パソコンなど)に送信する。上記認証情報は、例えば、IDとパスワードなどで構成される。利用者11は、管理サーバ20から受信した認証情報を、サービスを提供するサービスサーバ(不図示)に送信し、該サービスサーバから正式なユーザであると承認されることによって、サービスの利用が可能となる。
このように、利用者11が利用可能な全てのサービスは、その利用者11が保有する記憶媒体10に格納された1個のマスター鍵13と関連付けられて管理サーバ20により一元管理される。このため、利用者11がサービスを追加・削除する際にも、記憶媒体10の格納情報の更新は不要であり、管理サーバ20側で、マスター鍵13と上記追加・削除されたサービスとの関連付けを更新するだけでよい。また、利用者11が記憶媒体10を紛失した場合には、管理サーバ20がその記憶媒体10に格納されていたマスター鍵13を管理情報から削除するだけで、それまで利用者11に提供されていた全てのサービスを迅速かつ容易に停止できる。
[構成]
図2は、本発明の一実施例のシステム構成図である。
同図に示すシステムは、A社の社内ネットワーク(インターネット)100、インターネット200、第1の社外ネットワーク310及び第2の社外ネットワーク320で構成されている。
図2は、本発明の一実施例のシステム構成図である。
同図に示すシステムは、A社の社内ネットワーク(インターネット)100、インターネット200、第1の社外ネットワーク310及び第2の社外ネットワーク320で構成されている。
社内ネットワーク100は、管理サーバ101、社内サービスサーバ110、第1のクライアントPC(第1のクライアント・パソコン)120、第2のクライアントPC(第2のクライアント・パソコン)130、ファイアウォール(Firewall)140及び社内LAN(Local Area Network)150で構成されている。社内サービスサーバ110は、業務サーバ111などを備えている。
社内LAN150は複数のケーブルがハブ(Hub)160で接続されたLANである。管理サーバ101、業務サーバ111、第1及び第2のクライアントPC120、130は、それぞれ個別のハブ160を介して社内LAN150に接続されている。また、ファイアウォール140もハブ160を介して社内LAN150に接続されている。社内ネットワーク100は、このファイアウォール140を介してインターネット200に接続されている。
デスクトップパソコンである第1のクライアントPC120(以下、クライアントPC120と記載)は、ICカードリーダ/ライタ121とUSBポート(不図示)を備えている。ICカードリーダ/ライタ121はICカード123を装着可能なスロットを備えており、そのスロットに装着されたICカード123に対してデータの読み出し/書き込みを行う。また、USBポートにはUSBメモリ125が接続可能であり、クライアント120はUSBポートに接続されたUSBメモリ125に対してデータの読み出し/書き込みを行う。尚、USBは“Universal Serial Bus”の略称である。
ノートパソコンである第2のクライアントPC130(以下、クライアントPC130)も、クライアントPC120とほぼ同様な構成であり、ICカードリーダ/ライタ131とUSBポート(不図示)を備えている。クライアントPC130のICカードリーダ/ライタ131にはICカード133が装着され、USBポートにはUSBメモリ135が接続される。クライアントPC130は、クライアントPC120と同様にして、ICカード133やUSBメモリ135に対してデータの読み出し/書き込みを行う。
本実施例においては、ICカード(123,133)またはUSBメモリ(125、135)に利用者の1個のマスター鍵が格納される。このマスター鍵は、クライアントPC(120、130)からの要求を受けて管理サーバ101が発行し、管理サーバ101によって要求元のクライアントPCに送信される。クライアントによりICカード(123、133)またはUSBメモリ(125、135)に書き込まれる。
社内サービスサーバ110は、社内ネットワーク100内のクライアントPCの利用者にサービスを提供するサーバである。業務サーバ111は、各種社内サービスを提供するためのソフトウェアであるアプリケーション(サービス・アプリケーション)を格納しており、このアプリケーションを実行することによりクライアントPCの利用者に各種社内サービスを提供する。
第1の社外ネットワーク310(以下、社外ネットワーク310と記載)及び第2の社外ネットワーク320(以下、社外ネットワーク320と記載)は、社内ネットワーク100内のクライアントPC(120、130)の利用者にサービスを提供するサービス提供業者のネットワークである。これらの社外ネットワーク(310,320)は、インターネット200を介して社内ネットワーク100と接続されている。
社外ネットワーク310は、社外サービスサーバ311とファイアウォール312を備え、ファイアウォール312を介してインターネット200に接続されている。社外ネットワーク320も、社外ネットワーク310とほぼ同様な構成であり、社外サービスサーバ321とファイアウォール322を備え、ファイアウォール322を介しインターネット200に接続されている。
社外サービスサーバ311は、社内ネットワーク100内のクライアントPC(120,130)の利用者からアクセスを受けると、利用者に対してユーザ認証を行い、ユーザ認証の結果、利用者が正規の利用者であると判断すると、利用者から要求されたサービスを提供する。
図3は、図2に示す社内ネットワーク100内のクライアントPC(120、130)、管理サーバ101及び社外サービスサーバ(310、320)のソフトウェア構成を示す図である。
クライアントPC(120、130)は、サービスアプリケーション501、デバイスライブラリ(ダミー)502、認証クライアントアプリケーション503、Webクライアント506、マスター鍵受信・格納アプリケーション507及びデバイスドライバとLANドライバを備えたドライバ群508などのソフトウェアを備えている。尚、サービスアプリケーション501は、利用者が利用するサービス数に応じて1または複数のサービスアプリケーションで構成される。
サービスアプリケーション501は、クライアントPC(120、130)の利用者400にサービスを提供するアプリケーションであり、サービスのログイン画面の表示及びサービス情報の画面表示などを行う。デバイスライブラリ(ダミー)502は、ICカード(123、133)やUSBメモリ(125,13)などの記憶媒体デバイス用のドライバである。
デバイスライブラリ(ダミー)502は、サービスアプリケーション501からアプリケーション識別子(サービスアプリケーション501に割り当てられた識別子)を引数とする認証情報要求を受け取ると、認証クライアントアプリケーション503に上記アプリケーション識別子を引数として認証情報を要求する。そして、認証クライアントアプリケーション503から上記アプリケーション識別子を有するサービスの認証情報を受け取る。そして、その認証情報をサービスアプリケーション501に返信する。
認証クライアントアプリケーション503は、デバイスライブラリ(ダミー)502からアプリケーション識別子を引数とする認証情報要求を受け取ると、ICカード133またはUSBメモリ135からマスター鍵13を読み出し、そのマスター鍵と上記アプリケーション識別子を管理サーバ101に送信して、管理サーバ101から上記アプリケーション識別子を有するサービスの認証情報を受信し、その認証情報をデバイスライブラリ(ダミー)502に返信する。
Webクライアント506は、Web画面などを介して、クライアントPCの利用者400にインターネット200を利用したWebサービスを提供するブラウザである。本実施例では、サービス利用申請用のWeb画面を表示し、そのWeb画面を介して利用者400が入力した「個人コード」や「従業員番号」などの利用者400に関する個人情報及び「登録クライアントPC識別番号」を管理サーバ101に送信する。
マスター鍵受信・格納アプリケーション507は、「利用者登録処理」時に、登録される利用者400に発行されたマスター鍵を管理サーバ101から受信し、そのマスター鍵を、デバイスドライバを介してICカード133またはUSBメモリ135に格納する。
ドライバ群508は、ICカード133やUSBメモリ135に対してマスター鍵の書き込み/読み出しを行うデバイスドライバや、社内LAN150を介して管理サーバ101と通信を行うLANドライバなどの各種ドライバから構成されている。
管理サーバ101は、LANドライバ601、認証サーバアプリケーション602、Webアプリケーション606及び利用者登録アプリケーション607などのソフトウェアを備えている。また、マスター鍵データベース103と個人情報データベース105を備えている。マスター鍵データベース103と個人情報データベース105は、例えば、外部記憶装置などに作成される。
LANドライバ601は、クライアントPC(120、130)のドライバ群508内のLANドライバと連携して、社内LAN150を介する管理サーバ101とクライアントPC(120、130)間の通信を行う。
認証サーバアプリケーション602は、クライアントPC(120,130)の認証クライアントアプリケーション503からアプリケーション識別子とマスター鍵を受け取り、該マスター鍵をキーとしてマスター鍵データベース103と個人情報データベース105を検索して、サービスを要求するクライアントPC(120、130)の利用者400の認証を行い、認証された利用者400に対してはそのサービス認証情報をクライアントPC(120、130)へ返信する。
Webアプリケーション606は、クライアントPC(120、130)のサービス利用申請要求を受けて、利用者400が正規の従業員であることを確認するとマスター鍵を生成する。そして、そのマスター鍵をマスター鍵データベース103に登録すると共に、マスター鍵受信・格納アプリケーション507に送信する。
利用者登録アプリケーション607は、管理者700が入力した利用者400の識別情報などをマスター鍵データベース103に登録する。また、管理者700が入力したID、パスワードなどの利用者400のサービス認証情報を個人情報データベース105に登録する。
社内サービスサーバ110は、LANドライバ801及び業務サーバ804を備えている。
LANドライバ801は、社内LAN150を介して、クライアントPC(120、130)のドライバ群508のLANドライバ、及び管理サーバ101のLANドライバ601との間で通信を行う。業務サーバ804は、クライアントPCの利用者400に対して社内サービスを提供する。
LANドライバ801は、社内LAN150を介して、クライアントPC(120、130)のドライバ群508のLANドライバ、及び管理サーバ101のLANドライバ601との間で通信を行う。業務サーバ804は、クライアントPCの利用者400に対して社内サービスを提供する。
図4は、マスター鍵データベース103及び個人情報データベース105のデータ構造(スキーマ)を示す図である。
同図(a)に示すマスター鍵13は、例えば1024ビットであり、「従業員番号」、「個人コード」及び「任意の数値」などを基にして生成される。このマスター鍵は、クライアントPC(120、130)に接続されるICカード133やUSBメモリ135にも格納される。
同図(a)に示すマスター鍵13は、例えば1024ビットであり、「従業員番号」、「個人コード」及び「任意の数値」などを基にして生成される。このマスター鍵は、クライアントPC(120、130)に接続されるICカード133やUSBメモリ135にも格納される。
マスター鍵データベース103は、同図(b)に示すように、「マスター鍵」、「個人コード」、「乱数」、「登録日時」、「登録クライアントPC識別番号」、「利用者氏名」、「利用者従業員番号」、「従業員所属コード」及び「登録削除日時」の各項目から構成される。
本実施例では、クライアントPC(120、130)と管理サーバ101間でマスター鍵13をやり取りする際、マスター鍵を暗号化して送信するが、マスター鍵データベース103には暗号化されていない(復号化された)マスター鍵を格納する。
「個人コード」は、クライアントPCの利用者400の識別コードである。
「登録日時」は、マスター鍵をマスター鍵データベース103に登録した日時である。
「登録クライアントPC識別番号」は、クライアントPC(120、130)の識別番号である。
「登録日時」は、マスター鍵をマスター鍵データベース103に登録した日時である。
「登録クライアントPC識別番号」は、クライアントPC(120、130)の識別番号である。
「利用者氏名」は、クライアントPC(120、130)の利用者の氏名である。
「利用者従業員番号」は、クライアントPC(120、130)の利用者の従業員番号である。
「利用者従業員番号」は、クライアントPC(120、130)の利用者の従業員番号である。
「従業員番号所属コード」は、クライアントPC(120、130)の利用者が所属する部署のコードである。
「登録削除日時」は、マスター鍵13がマスター鍵データベース103から削除された日時である。
「登録削除日時」は、マスター鍵13がマスター鍵データベース103から削除された日時である。
個人情報データベース105は、同図(c)に示すように、「マスター鍵」、「サービス提供個数」、「サービス1セキュリティ情報リレーション情報」、「サービス2セキュリティ情報リレーション情報」、・・・「サービス16セキュリティ情報リレーション情報」から構成される。
「マスター鍵」は、暗号化されていない(復号化された)マスター鍵である。
「サービス提供個数」は、個人情報データベース105に登録されているサービス・セキュリティ情報の個数である。本実施例では、この個数の最大値は16となっており、サービス・セキュリティ情報が登録されていない場合には“0”が設定される。
「サービス提供個数」は、個人情報データベース105に登録されているサービス・セキュリティ情報の個数である。本実施例では、この個数の最大値は16となっており、サービス・セキュリティ情報が登録されていない場合には“0”が設定される。
「サービスi認証情報リンク情報(i=0〜16)」は、サービスiの認証情報の実体へのリンク情報である。
サービスi認証情報リンク情報は、「アプリケーション識別子(アプリケーション名)」、「ID」、「パスワード」から構成される。「ID」、「パスワード」以外の情報を含んでいてもよい。
サービスi認証情報リンク情報は、「アプリケーション識別子(アプリケーション名)」、「ID」、「パスワード」から構成される。「ID」、「パスワード」以外の情報を含んでいてもよい。
「アプリケーション識別子」は、サービスアプリケーションの識別子(アプリケーション名)である。
「ID」は、クライアントPC(120、130)の利用者のIDである。
「ID」は、クライアントPC(120、130)の利用者のIDである。
「パスワード」は、クライアントPC(120、130)の利用者のパスワードである。
[動作]
続いて、上記構成の実施例の動作を説明する。
[動作]
続いて、上記構成の実施例の動作を説明する。
図5は、マスター鍵の発行処理の概要を示す図である。
ここでは、クライアントPC130の利用者400にマスター鍵13を発行する場合について説明する。
(1)まず、管理サーバ101の管理者700がクライアントPC130の利用者400に対してICカードなどの記憶媒体10を発行・貸与する。この時点では、記憶媒体10にはマスター鍵13は格納されていない。
(2)クライアントPC130の利用者400は、管理サーバ101に対して、マスター鍵の発行申請を行う。
(3)管理サーバ101の管理者700は、クライアントPC130の利用者400にマスター鍵13を発行し、それを利用者400のクライアントPC130に送信する。このとき、マスター鍵は暗号化して送信するのが望ましい。
(4)クライアントPC130の利用者400は、クライアントPC130で上記マスター鍵13を受信すると、それをクライアントPC130に接続された記憶媒体10に書込・格納する。このとき、マスター鍵が暗号化されていれば、マスター鍵を復元してから格納する。また、セキュリティ強化のために、暗号化されたマスター鍵をそのまま格納するようにしてもよい。
ここでは、クライアントPC130の利用者400にマスター鍵13を発行する場合について説明する。
(1)まず、管理サーバ101の管理者700がクライアントPC130の利用者400に対してICカードなどの記憶媒体10を発行・貸与する。この時点では、記憶媒体10にはマスター鍵13は格納されていない。
(2)クライアントPC130の利用者400は、管理サーバ101に対して、マスター鍵の発行申請を行う。
(3)管理サーバ101の管理者700は、クライアントPC130の利用者400にマスター鍵13を発行し、それを利用者400のクライアントPC130に送信する。このとき、マスター鍵は暗号化して送信するのが望ましい。
(4)クライアントPC130の利用者400は、クライアントPC130で上記マスター鍵13を受信すると、それをクライアントPC130に接続された記憶媒体10に書込・格納する。このとき、マスター鍵が暗号化されていれば、マスター鍵を復元してから格納する。また、セキュリティ強化のために、暗号化されたマスター鍵をそのまま格納するようにしてもよい。
図6は、利用者がサービスを利用する前に行われるサービス登録処理を説明する図である。
[サービスのデータベースへの事前登録]
管理者700は、利用者400の情報(「登録クライアントPC識別番号」、「利用者氏名」、「利用者従業員番号」、「従業員所属コード」)を、「登録日時」と共に、管理サーバ101を介してマスター鍵データベース103に登録する(ステップS11)。
[サービスのデータベースへの事前登録]
管理者700は、利用者400の情報(「登録クライアントPC識別番号」、「利用者氏名」、「利用者従業員番号」、「従業員所属コード」)を、「登録日時」と共に、管理サーバ101を介してマスター鍵データベース103に登録する(ステップS11)。
次に、管理者700は、利用者400に利用を許可するサービスについて、社内サービスサーバ110または社外サービスサーバ(310、320)へ利用者登録を行い、それらのサービスサーバから利用者400の「ID」と「パスワード」を入手する(ステップS12)。
続いて、管理者700は、上記入手した「ID」と「パスワード」をサービス認証情報として、サービスの「アプリケーション識別子」と共に個人情報データベース105に登録する(ステップS13)。このとき、個人情報データベース105には、登録されたサービス認証情報の個数に応じた「サービス提供個数」も登録される。
以上の処理により、利用者400に許可された全てのサービスの認証情報が個人情報データベース105に登録される。
[サービスのデータベースへの追加登録]
管理者700は、利用者400からの申請に応じて、利用者400が利用するサービスを追加する。
[サービスのデータベースへの追加登録]
管理者700は、利用者400からの申請に応じて、利用者400が利用するサービスを追加する。
管理者700は、利用者400からサービス申請要求を受けると、利用者400に許可するサービスについて、社内サービスサーバ110または社外サービスサーバ(310、320)へ利用者登録を行い、それらのサーバから「ID」、「パスワード」などの認証情報を入手する(ステップS21)。そして、上述したステップS13の処理を行い、個人情報データベース105にサービス認証情報を追加・登録する。このとき、個人情報データベース105の「サービス提供個数」が更新される。
[マスター鍵の発行・登録]
以下の説明では、クライアントPC120とクライアントPC130を、まとめて、クライアントPCと表現する。
以下の説明では、クライアントPC120とクライアントPC130を、まとめて、クライアントPCと表現する。
クライアントPCに接続されたICカードリーダ/ライタにICカード133を装置するか、クライアントPCのUSBインターフェース(USBポート)にUSBメモリ135を挿入する(ステップS31)。
利用者400は、クライアントPCのディスプレイに表示されたWeb画面から、任意の「個人コード」、「(利用者400の)従業員番号」、「登録クライアントPC識別番号」を入力して、管理サーバ101にサービス利用申請要求を送信する(ステップS32)。
管理サーバ101は、上記サービス利用申請要求を受信すると、マスター鍵データベース103を検索して、上記サービス利用申請要求の引数である「従業員番号」がマスター鍵データベース103に登録されているか確認する(ステップS33)。
そして、従業員番号が確認されると、上記サービス利用申請要求の引数である「従業員番号」及び「個人コード」と「乱数」からマスター鍵13を生成する(ステップS34)。
管理サーバ101は、続いて、上記生成したマスター鍵13をマスター鍵データベース103と個人情報データベース105に格納する(ステップS35)。そして、該マスター鍵13をクライアントPCに送信する(ステップS36)。
クライアントPCは、管理サーバ101が送信したマスター鍵13を受信し、それをICカード133またはUSBメモリ135に登録する(ステップS37)。そして、クライアントPCは、Web画面での登録処理を終了する(ステップS38)。
以上の処理手順により、利用者400のマスター鍵13が生成され、そのマスター鍵13が管理サーバ101のマスター鍵データベース103と個人情報データベース105に格納されると共に、利用者400の記憶媒体10(ICカード133またはUSBメモリ135)に登録される。
図7は、図6のステップS32〜S36で行われる処理の詳細を説明する図である。
クライアントPCは、サービス利用申請要求パケット1010を管理サーバ101に送信する。図7に示すサービス利用申請要求パケット1010は、64ビットの「個人コード(任意の10桁の数字)」、32ビットの「利用者従業員番号」、32ビットの「登録クライアントPC識別番号」及び128ビットの利用者400の記憶媒体10(ICカード133またはUSBメモリ135)の「固有識別コード」を含んでいる。図示してはいないが、このパケット1010の先頭には、例えば、「サービス利用申請要求」のコマンドが付加される。
クライアントPCは、サービス利用申請要求パケット1010を管理サーバ101に送信する。図7に示すサービス利用申請要求パケット1010は、64ビットの「個人コード(任意の10桁の数字)」、32ビットの「利用者従業員番号」、32ビットの「登録クライアントPC識別番号」及び128ビットの利用者400の記憶媒体10(ICカード133またはUSBメモリ135)の「固有識別コード」を含んでいる。図示してはいないが、このパケット1010の先頭には、例えば、「サービス利用申請要求」のコマンドが付加される。
管理サーバ101は、サービス利用申請要求パケット1010を受け取ると、そのパケット1010から「登録クライアントPC識別番号(32ビット)」と「利用者従業員番号(32ビット)」を取り出し、これらの番号がマスター鍵データベース103に登録されているか比較・検証する。そして、その比較・検証の結果、両番号が共にマスター鍵データベース103に登録されていることを確認すると、下記式(1)の演算を行い、マスター鍵13(1024ビット)を生成する。
マスター鍵=(個人コード(64ビット)+固有識別コードの第1ロングワード(64ビット)+固有識別コードの第2ロングワード(64ビット))×乱数(64ビット) ・・・(1)
そして、管理サーバ101は、生成したマスター鍵13をクライアントPCに送信する。
そして、管理サーバ101は、生成したマスター鍵13をクライアントPCに送信する。
クライアントPCは、管理サーバ101に対して認証情報要求を行う際には、図7に示す「固有識別コード」と「マスター鍵13」を含む認証情報要求パケット1020を管理サーバ101に送信する。この認証情報要求パケット1020の先頭には、例えば、「認証情報要求」のコマンドが付加される。
図8は、図6のステップS21の「サービス追加登録処理」を詳細に説明する図である。
図8を参照しながら、「サービス追加登録処理」を説明する。
(1)利用者400は、クライアントPC130から管理サーバ101に対して「サービス申請画面表示要求」を送信する。
(2) 管理サーバ101は、上記クライアントPC130からの要求を受信すると、サービス申請(サービス利用申請)画面をクライアントPC130のディスプレイに表示させる。
図8を参照しながら、「サービス追加登録処理」を説明する。
(1)利用者400は、クライアントPC130から管理サーバ101に対して「サービス申請画面表示要求」を送信する。
(2) 管理サーバ101は、上記クライアントPC130からの要求を受信すると、サービス申請(サービス利用申請)画面をクライアントPC130のディスプレイに表示させる。
同図に示すサービス申請画面900は、各行が「サービス名称i」(iは自然数)、「サービス提供者(サービス提供業者)i」及び「チェックボックス(○)」の3項目から成るテーブル形式のチェックシート901と、申請ボタン903及びキャンセルボタン905で構成されている。
利用者400は、利用したいサービスを、それに対応した「チェックボックス」をマウスのクリックする操作などでチェックすることにより選択する。同図では、サービス名称が、サービス名称2、サービス名称4及びサービス名称5である3つのサービスが選択されている。
(3)利用者400は、サービス申請画面900で利用するサービスの選択が終了すると、申請ボタン903をマウスでクリックする。このクリック操作により、サービス申請画面900で選択されたサービスの申請要求が管理サーバ101に送られる。このとき、選択されたサービスのアプリケーション識別子も管理サーバ101に送信される。
(3)利用者400は、サービス申請画面900で利用するサービスの選択が終了すると、申請ボタン903をマウスでクリックする。このクリック操作により、サービス申請画面900で選択されたサービスの申請要求が管理サーバ101に送られる。このとき、選択されたサービスのアプリケーション識別子も管理サーバ101に送信される。
管理サーバ101がクライアントPC130から「サービス申請要求」を受信すると、管理者700は、利用者400(従業員)から申請されたサービス利用の可否を判断する(ステップS41)。
管理者700は、利用可能と判断したサービスについて、管理サーバ101から社内サービスサーバ110または社外サービスサーバ(310、320)に対して、利用申請(アカウント申請)を行い、それらのサービスサーバから「ID」、「パスワード」などの認証情報を入手する(ステップS42)。
管理者700は、管理サーバ101が社内または社外のサービスサーバ(110、310、320)から利用者400の認証情報を受信すると、その認証情報を個人情報データベース105に登録する(ステップS43)。
以上のようにして、利用者400の申請したサービスが個人情報データベース105に登録される。
[サービス利用]
図9は、利用者がクライアントPCを使用して、社内サービスサーバ110または社外サービスサーバ(310、320)のサービス(認証サービス)を利用する際の動作を説明する図である。尚、以下の説明では、社内サービスサーバ110と社外サービスサーバ(310、320)を統括してサービスサーバと表現する。
[サービス利用]
図9は、利用者がクライアントPCを使用して、社内サービスサーバ110または社外サービスサーバ(310、320)のサービス(認証サービス)を利用する際の動作を説明する図である。尚、以下の説明では、社内サービスサーバ110と社外サービスサーバ(310、320)を統括してサービスサーバと表現する。
図9を参照しながら、利用者がサービスサーバからサービスの提供を受ける場合の処理を説明する。
利用者400は、Webクライアント506により表示されるWeb画面などを介して、サービスサーバのサービス利用を要求する(ステップS51)。
利用者400は、Webクライアント506により表示されるWeb画面などを介して、サービスサーバのサービス利用を要求する(ステップS51)。
Webクライアント506は、デバイスライブラリ(ダミー)502に対して、上記要求されたサービスを提供するサーバアプリケーションの認証情報を要求する(ステップS52)。
デバイスライブラリ(ダミー)502は、Webクライアント506から上記認証情報要求を受け取ると、認証クライアントアプリケーション503に前記アプリケーション識別子を引数として認証情報を要求する(ステップS53)。
認証クライアントアプリケーション503は、上記認証情報要求をデバイスライブラリ(ダミー)502から受け取ると、記憶媒体10からマスター鍵13を読み込む(ステップS54)。そして、上記認証情報要求のパケットからアプリケーション識別子を獲得する(ステップS55)。
次に、認証クライアントアプリケーション503は、「マスター鍵13」、「記憶媒体10の固有識別コード」及び「アプリケーション識別子」を管理サーバ101に送信し、管理サーバ101に対してサービスの認証情報を要求する(ステップS56)。
管理サーバ101の認証サーバアプリケーション602は、クライアントPCの認証クライアントアプリケーション503から上記サービス認証情報要求を受信する(ステップS57)。認証サーバアプリケーション602は、受信したマスター鍵13をキーとしてマスター鍵データベース103を検索し、そのマスター鍵13に一致する登録データを読み込む(ステップS58)。そして、ステップS57で受信した「記憶媒体10の固有識別コード」、上記登録データ内の「個人コード」及び「乱数」を用いて前記式(1)の演算を行ってマスター鍵を生成し、そのマスター鍵と認証クライアントアプリケーション503から受信したマスター鍵13とを比較してユーザ認証を行う(ステップS59)。
そして、利用者400本人であると確認すれば、マスター鍵13、認証クライアントアプリケーション503から受信したアプリケーション識別子をキーとして個人情報データベース105を検索し、そのキーに一致するサービス認証リンク情報を読み込む(ステップS60)。次に、そのサービス認証情報リンク情報を基に、個人情報データベース105から利用者400のサービス認証情報を読み込み、そのサービス認証情報をクライアントPCの認証クライアントアプリケーション503に返信する(ステップS61)。
クライアントPCの認証クライアントアプリケーション503は、管理サーバ10から上記サービス認証情報を受信し(ステップS62)、そのサービス認証情報(認証情報)をデバイスライブラリ(ダミー)502に返信する(ステップS63)。
デバイスライブラリ(ダミー)502は、認証サーバアプリケーション602から上記認証情報を受け取り(ステップS64)、その認証情報をサービスアプリケーション501に返信する(ステップS65)。サービスアプリケーション501は、その認証情報を受け取り(ステップS66)、その認証情報に基づいてユーザ認証を行い、利用者400本人であると確認すると、サービスを提供する(ステップS67)。
図10は、本実施例の記憶媒体10としてUSBデバイスを用いた場合の例を示す図である。この例では、記憶媒体10としてICカード133を用いるものとする。
ICカードリーダ/ライタ(121、131)はUSBインターフェースを備えており、クライアントPCのUSBインターフェースに接続される。クライアントPCは、USBインターフェース1201を備えており、このUSBインターフェース1201にICカードリーダ/ライタ131が接続される。また、クライアントPCは、LANインターフェース1203を備えており、このLANインターフェース1203を介してハブ160と接続される。
ICカードリーダ/ライタ(121、131)はUSBインターフェースを備えており、クライアントPCのUSBインターフェースに接続される。クライアントPCは、USBインターフェース1201を備えており、このUSBインターフェース1201にICカードリーダ/ライタ131が接続される。また、クライアントPCは、LANインターフェース1203を備えており、このLANインターフェース1203を介してハブ160と接続される。
クライアントPCに実装されるドライバ群508には、USBカーネルモードデバイスドライバ508AとUSBバスドライバ508Bが含まれている。また、クライアントPCには、ダイナミック・リンク・ライブラリ(Dynamic Link library)であるUSBユーザモードライブラリ509を実装されている。
クライアントPCは、USBユーザモードライブラリ509、USBカーネルモードデバイスドライバ508A、USBバスドライバ508B及びUSBインターフェース1201を介してICカードリーダ/ライタ131を制御し、ICカードリーダ/ライタ131に装着されたICカード133に対してマスター鍵13の書込み/読み込みを行う。
記憶媒体10にUSBメモリ135を使用する場合も、略同様の構成でUSBメモリ135へのマスター鍵13の書込み/読み込みを制御できる。
次に、本実施例におけるクライアントPCの認証情報取得の処理手順を、図10を参照しながら説明する。尚、この説明では、上記で既に説明した処理については省略する。
(1)サービスアプリケーション501は、ICカード133に格納されている認証情報の読み込み要求を発行する。
(2)デバイスライブラリ(ダミー)502は、上記サービスアプリケーション501の認証情報の読み込み要求を取り込み、その要求を認証クライアントアプリケーション503に発行する。認証クライアントアプリケーション503は、デバイスライブラリ(ダミー)502からの上記要求を受けて、USBユーザモードライブラリ509に対して、マスター鍵13をICカード133から読み込む要求を発行する。
(3)USBユーザモードライブラリ509は、認証クライアントアプリケーション503から上記要求を受け取ると、USBカーネルモードデバイスドライバ508A、USBバスドライバ508B、USBインターフェース1201及びICカードリーダ/ライタ131を介して、ICカードリーダ/ライタ131に装着されたICカード133に格納(登録)されているマスター鍵13を獲得する。そして、そのマスター鍵13を認証クライアントアプリケーション503に渡す。
(4)認証クライアントアプリケーション503は、LANインターフェース1203を介して管理サーバ101にマスター鍵13とアプリケーション識別子を送信し、管理サーバ101に対する認証情報読み込み要求をLANインターフェース1203に送信する。
(5)LANインターフェース1203は、上記認証情報読み込み要求を、社内LAN150を介して管理サーバ101に送信する。
(6)管理サーバ101は、上述のような処理によりマスター鍵13とアプリケーション識別子を基に、個人情報データベース105から該当する認証情報(サービス認証情報)を取得し、それをLANインターフェース1203に送信する。
(7)LANインターフェース1203は、受信した上記認証情報を認証クライアントアプリケーション503に送る。認証クライアントアプリケーション503は、管理サーバ101から返信された認証情報を獲得する。
(8)認証クライアントアプリケーション503は、上記獲得した認証情報をデバイスライブラリ(ダミー)502に返信する。デバイスライブラリ(ダミー)502は、認証クライアントアプリケーション503から上記認証情報を受信すると、それをサービスアプリケーション501に返信する。サービスアプリケーション501は、上記デバイスライブラリ(ダミー)502からの認証情報を受信する。
次に、本実施例におけるクライアントPCの認証情報取得の処理手順を、図10を参照しながら説明する。尚、この説明では、上記で既に説明した処理については省略する。
(1)サービスアプリケーション501は、ICカード133に格納されている認証情報の読み込み要求を発行する。
(2)デバイスライブラリ(ダミー)502は、上記サービスアプリケーション501の認証情報の読み込み要求を取り込み、その要求を認証クライアントアプリケーション503に発行する。認証クライアントアプリケーション503は、デバイスライブラリ(ダミー)502からの上記要求を受けて、USBユーザモードライブラリ509に対して、マスター鍵13をICカード133から読み込む要求を発行する。
(3)USBユーザモードライブラリ509は、認証クライアントアプリケーション503から上記要求を受け取ると、USBカーネルモードデバイスドライバ508A、USBバスドライバ508B、USBインターフェース1201及びICカードリーダ/ライタ131を介して、ICカードリーダ/ライタ131に装着されたICカード133に格納(登録)されているマスター鍵13を獲得する。そして、そのマスター鍵13を認証クライアントアプリケーション503に渡す。
(4)認証クライアントアプリケーション503は、LANインターフェース1203を介して管理サーバ101にマスター鍵13とアプリケーション識別子を送信し、管理サーバ101に対する認証情報読み込み要求をLANインターフェース1203に送信する。
(5)LANインターフェース1203は、上記認証情報読み込み要求を、社内LAN150を介して管理サーバ101に送信する。
(6)管理サーバ101は、上述のような処理によりマスター鍵13とアプリケーション識別子を基に、個人情報データベース105から該当する認証情報(サービス認証情報)を取得し、それをLANインターフェース1203に送信する。
(7)LANインターフェース1203は、受信した上記認証情報を認証クライアントアプリケーション503に送る。認証クライアントアプリケーション503は、管理サーバ101から返信された認証情報を獲得する。
(8)認証クライアントアプリケーション503は、上記獲得した認証情報をデバイスライブラリ(ダミー)502に返信する。デバイスライブラリ(ダミー)502は、認証クライアントアプリケーション503から上記認証情報を受信すると、それをサービスアプリケーション501に返信する。サービスアプリケーション501は、上記デバイスライブラリ(ダミー)502からの認証情報を受信する。
このように、本実施例では、管理サーバ101が各サービスアプリケーション501の認証情報を、ICカード133に格納されたマスター鍵13と各サービスアプリケーション501のアプリケーション識別子と関連付けて一元管理(一括管理)しているので、サービスアプリケーション501は、ユーザ認証に必要な認証情報を、デバイスライブラリ(ダミー)502を経由して管理サーバ101から取得する。この認証情報の取得において、サービスアプリケーション501はデバイスライブラリ(ダミー)502に認証情報読み込み要求を発行するだけでよい。
ここで、図14を参照しながら、サービスアプリケーション501が認証情報を獲得する従来の処理手順を説明する。
従来は、ICカード133に各サービスアプリケーション501の認証情報が格納されていた(図13参照)。
従来は、ICカード133に各サービスアプリケーション501の認証情報が格納されていた(図13参照)。
このため、サービスアプリケーション501は、
(1)サービスアプリケーション501は、認証情報読み込み要求をUSBユーザモードライブラリ509に対して発行する。
(2)USBユーザモードライブラリ509は、サービスアプリケーション501から上記認証情報読み込み要求を受け取ると、USBカーネルモードデバイスドライバ508A、USBバスドライバ508B、USBインターフェース1201及びICカードリーダ/ライタ131を介して、ICカード133に登録されている認証情報を獲得する。
という処理手順により、認証情報を獲得していた。
(1)サービスアプリケーション501は、認証情報読み込み要求をUSBユーザモードライブラリ509に対して発行する。
(2)USBユーザモードライブラリ509は、サービスアプリケーション501から上記認証情報読み込み要求を受け取ると、USBカーネルモードデバイスドライバ508A、USBバスドライバ508B、USBインターフェース1201及びICカードリーダ/ライタ131を介して、ICカード133に登録されている認証情報を獲得する。
という処理手順により、認証情報を獲得していた。
本実施例では、サービスアプリケーション501がUSBユーザモードライブラリ509に発行する認証情報読み込み要求を、デバイスライブラリ(ダミー)502が横取りすることで、従来のサービスアプリケーション501に変更を加えることなく、サービスアプリケーション501の認証情報の獲得を実現している。したがって、クライアントPCに、デバイスライブラリ(ダミー)502と認証クライアントアプリケーション503をインストールする作業を行うだけで、既存のサービスアプリケーション501をそのまま使用できる。
図11は、上述した本実施例の全体動作を示す図である。
クライアントPCのディスプレイに「認証入力ウィンドウ」を表示し、認証情報の入力待ちとなる(ステップS71)。この認証入力ウィンドウは、利用者400の認証情報(IDとパスワード)を入力するウィンドウである。
クライアントPCのディスプレイに「認証入力ウィンドウ」を表示し、認証情報の入力待ちとなる(ステップS71)。この認証入力ウィンドウは、利用者400の認証情報(IDとパスワード)を入力するウィンドウである。
認証入力ウィンドウの表示を検出すると(ステップS72)、記憶媒体10からマスター鍵13を読み込み、そのマスター鍵13とアプリケーション識別子を管理サーバ101に送信して、管理サーバ101が管理している個人情報データベース105から必要な認証情報を獲得する(ステップS73)。
獲得した認証情報を、前記認証入力ウィンドウ内の入力エリアに出力する(ステップS74)。この出力により、ユーザ認証により利用者400本人であることが検証され(ステップS75)、サービスサーバはクライアントPCにサービスを提供する(ステップS76)。
このように、本実施例では、記憶媒体10(ICカード133やUSBメモリ135など)に1個のマスター鍵13を格納する。また、社内ネットワーク100内のクライアントPCの利用者400がサービスアプリケーションを利用する際のユーザ認証で必要となる認証情報を、上記マスター鍵13と関連付けて、管理サーバ101で一元管理する。そして、利用者400がサービスアプリケーションを利用する際、記憶媒体10からマスター鍵13を読み込み、このマスター鍵13とサービスアプリケーションのアプリケーション識別子を管理サーバ101に送信することにより、該サービスアプリケーションのユーザ認証で必要な認証情報を管理サーバ101から獲得し、この認証情報を用いてユーザ認証を行う。
上記実施例はサービスサーバが各種サービスを提供する形態であるが、図12に示すように、サービスサーバではなくサービスアプリケーションがサービスを提供するようにしてもよい。尚、図12においては、同一処理のステップには同じステップ番号を付与している。したがって、このシステムの動作説明は割愛する。
この図12の実施例では、クライアントPC内に実装されたサービスアプリケーションが利用者に対してサービスを提供する。換言すれば、図12に示すシステムは、社内LAN150などのネットワーク通信を必要としないサービス提供システムとなっている。
上述したように、本実施例によれば、利用者400が保有するICカード133またはUSBメモリ135に登録された1個のマスター鍵13を用いて、利用者400が利用可能な全てのサービスのユーザ認証を行うことが可能となる。また、本実施例では、既存のサービスアプリケーションを変更することなく、上記ユーザ認証を実現することができる。
また、利用者400の利用する全てのサービスを、管理サーバ101のマスター鍵データベース103と個人情報データベース105で一元管理(一括管理)するので、利用者400の利用するサービスの追加・削除や利用者400の追加・削除は、管理サーバ101が個人情報データベース105やマスター鍵データベース103を更新するだけでよい。
上述したように、本実施例によれば、利用者400が保有するICカード133またはUSBメモリ135に登録された1個のマスター鍵13を用いて、利用者400が利用可能な全てのサービスのユーザ認証を行うことが可能となる。また、本実施例では、既存のサービスアプリケーションを変更することなく、上記ユーザ認証を実現することができる。
また、利用者400の利用する全てのサービスを、管理サーバ101のマスター鍵データベース103と個人情報データベース105で一元管理(一括管理)するので、利用者400の利用するサービスの追加・削除や利用者400の追加・削除は、管理サーバ101が個人情報データベース105やマスター鍵データベース103を更新するだけでよい。
本発明は、上記実施例に限定されるものではない。記憶媒体10は、ICカード133やUSBメモリ135以外の記憶媒体であってもよい。また、記憶媒体10は非接触型の記憶媒体であってもよい。クライアントPC、社内サービスサーバ及び社外サービスサーバの台数も実施例に限定されない。また、管理サーバと社内サービスサーバが同一のサーバであってもよい。また、さらに、マスター鍵データベースや個人情報データベースを、サーバと分離されたストレージに構築してもよい。
本発明は、B to E(Business to Employee)のみならず、B to C(Business to Consumer)による電子商取引におけるユーザ認証にも応用可能である。
10 記憶媒体
13 マスター鍵
11 利用者
20 管理サーバ
100 社内ネットワーク
101 管理サーバ
103 マスター鍵データベース
105 個人情報データベース
110 社内サービスサーバ
120、130 クライアントPC
121、131 ICカードリーダ/ライタ
123、133 ICカード
125、135 USBメモリ
140 ファイアウォール
150 社内LAN
160 ハブ
200 インターネット
310、320 社外ネットワーク
311、321 社外サービスサーバ
312、322 ファイアウォール
400 利用者
501 サービスアプリケーション
502 デバイスライブラリ(ダミー)
503 認証クライアントアプリケーション
506 Webクライアント
507 マスター鍵受信・格納アプリケーション
508 ドライバ群
601 LANドライバ
602 認証サーバアプリケーション
603 Webアプリケーション
607 利用者登録アプリケーション
700 管理者
801 LANドライバ
804 業務サーバ
900 サービス申請画面
901 チェックシート
903 申請ボタン
905 キャンセルボタン
1010 サービス利用申請要求パケット
1020 認証情報要求パケット
1201 USBインターフェース
1203 LANインターフェース
13 マスター鍵
11 利用者
20 管理サーバ
100 社内ネットワーク
101 管理サーバ
103 マスター鍵データベース
105 個人情報データベース
110 社内サービスサーバ
120、130 クライアントPC
121、131 ICカードリーダ/ライタ
123、133 ICカード
125、135 USBメモリ
140 ファイアウォール
150 社内LAN
160 ハブ
200 インターネット
310、320 社外ネットワーク
311、321 社外サービスサーバ
312、322 ファイアウォール
400 利用者
501 サービスアプリケーション
502 デバイスライブラリ(ダミー)
503 認証クライアントアプリケーション
506 Webクライアント
507 マスター鍵受信・格納アプリケーション
508 ドライバ群
601 LANドライバ
602 認証サーバアプリケーション
603 Webアプリケーション
607 利用者登録アプリケーション
700 管理者
801 LANドライバ
804 業務サーバ
900 サービス申請画面
901 チェックシート
903 申請ボタン
905 キャンセルボタン
1010 サービス利用申請要求パケット
1020 認証情報要求パケット
1201 USBインターフェース
1203 LANインターフェース
Claims (6)
- サービスを提供するサーバに対してクライアント端末からサービス提供要求があった際に、該クライアント端末の利用者のユーザ認証を行うセキュリティシステムであって、
マスター鍵を格納し、クライアント端末で読み込み可能な記憶媒体と、
該記憶媒体に格納されているマスター鍵と前記利用者が利用する各サービスのユーザ認証用の認証情報とを関連付けて一元管理し、前記利用者が前記マスター鍵とサービスの識別情報を送信して該サービスのユーザ認証において必要となる認証情報を要求してきた際に、該利用者のクライアント端末に前記認証情報を返信する管理サーバと、
を備えることを特徴とするセキュリティシステム。 - 請求項1記載のセキュリティシステムであって、
前記クライアント端末は、
前記記憶媒体からマスター鍵を読み込む読込手段と、
該読込手段によって読み込まれたマスター鍵を、利用者に提供されるサービスの識別子と共に前記管理サーバに送信して、前記サービスのユーザ認証で必要とされる認証情報の返信を前記管理サーバに要求する認証情報要求手段と、
前記管理サーバから受信する認証情報を用いて、利用者のユーザ認証を行う認証手段を備え、
前記管理サーバは、
前記認証情報要求手段から前記認証情報の返信要求を受信した際、前記マスター鍵と前記サービスの識別情報を基にして、前記サービスのユーザ認証で使用される認証情報を前記クライアント端末に返信する認証情報返信手段を、
備えることを特徴とする。 - 請求項2記載のセキュリティシステムであって、
前記管理サーバは、
利用者が保有するマスター鍵を、該利用者が利用可能なサービスのユーザ認証で必要となる認証情報と関連付けて格納するデータベースを備え、
前記認証情報返信手段は、
前記マスター鍵と前記サービスの識別子をキーとして前記データベースを検索して、前記認証情報を前記データベースから取得する認証情報取得手段を有することを特徴とする。 - サービスを提供するサーバに対してクライアント端末からサービス提供要求があった際に、該クライアント端末の利用者のユーザ認証を行うセキュリティ方法であって、
マスター鍵を、クライアント端末で読み込み可能な記憶媒体に格納するステップと、
該記憶媒体に格納されているマスター鍵と前記利用者が利用する各サービスのユーザ認証用の認証情報とを関連付けて一元管理し、前記利用者が前記マスター鍵とサービスの識別情報を送信して該サービスのユーザ認証において必要となる認証情報を要求してきた際に、該利用者のクライアント端末に前記認証情報を返信するステップ、
を備えることを特徴とするセキュリティ方法。 - 請求項4記載のセキュリティ方法であって、
前記クライアント端末は、
前記記憶媒体からマスター鍵を読み込むステップと、
該読込ステップによって読み込まれたマスター鍵を、利用者に提供されるサービスの識別子と共に前記管理サーバに送信して、前記サービスのユーザ認証で必要とされる認証情報の返信を前記管理サーバに要求するステップと、
前記管理サーバから受信する認証情報を用いて、利用者のユーザ認証を行うステップを実行し、
前記管理サーバは、
前記認証情報の返信要求を受信した際、前記マスター鍵と前記サービスの識別情報を基にして、前記サービスのユーザ認証で使用される認証情報を前記クライアント端末に返信する認証情報返信ステップを、
実行することを特徴とする。 - 請求項5記載のセキュリティ方法であって、
前記管理サーバは、
利用者が保有するマスター鍵を、該利用者が利用可能なサービスのユーザ認証で必要となる認証情報と関連付けてデータベースに格納し、
前記認証情報返信ステップにおいて、
前記マスター鍵と前記サービスの識別子をキーとして前記データベースを検索して、前記認証情報を前記データベースから取得することを特徴とする。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005024100A JP2006209676A (ja) | 2005-01-31 | 2005-01-31 | セキュリティシステム及びセキュリティ方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005024100A JP2006209676A (ja) | 2005-01-31 | 2005-01-31 | セキュリティシステム及びセキュリティ方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2006209676A true JP2006209676A (ja) | 2006-08-10 |
Family
ID=36966426
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005024100A Pending JP2006209676A (ja) | 2005-01-31 | 2005-01-31 | セキュリティシステム及びセキュリティ方法 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP2006209676A (ja) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017021834A (ja) * | 2012-02-01 | 2017-01-26 | アマゾン テクノロジーズ インク | 多数のネットワークサイトのためのアカウント管理 |
JP2020013333A (ja) * | 2018-07-18 | 2020-01-23 | 凸版印刷株式会社 | 端末装置、認証サーバ、本人確認管理システム、および、本人確認管理プログラム |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001092784A (ja) * | 1999-09-20 | 2001-04-06 | Toshiba Corp | クライアントシステムとクライアントサーバシステムと電子機器における操作の許可方法とクライアントサーバシステムにおける操作の許可方法 |
JP2002189702A (ja) * | 2000-10-13 | 2002-07-05 | Matsushita Electric Ind Co Ltd | 個人認証情報出力装置 |
-
2005
- 2005-01-31 JP JP2005024100A patent/JP2006209676A/ja active Pending
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001092784A (ja) * | 1999-09-20 | 2001-04-06 | Toshiba Corp | クライアントシステムとクライアントサーバシステムと電子機器における操作の許可方法とクライアントサーバシステムにおける操作の許可方法 |
JP2002189702A (ja) * | 2000-10-13 | 2002-07-05 | Matsushita Electric Ind Co Ltd | 個人認証情報出力装置 |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017021834A (ja) * | 2012-02-01 | 2017-01-26 | アマゾン テクノロジーズ インク | 多数のネットワークサイトのためのアカウント管理 |
JP2020013333A (ja) * | 2018-07-18 | 2020-01-23 | 凸版印刷株式会社 | 端末装置、認証サーバ、本人確認管理システム、および、本人確認管理プログラム |
JP7067333B2 (ja) | 2018-07-18 | 2022-05-16 | 凸版印刷株式会社 | 端末装置、認証サーバ、本人確認管理システム、および、本人確認管理プログラム |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US10664820B2 (en) | Methods and systems for providing secure access to a hosted service via a client application | |
US7016875B1 (en) | Single sign-on for access to a central data repository | |
US7487130B2 (en) | Consumer-controlled limited and constrained access to a centrally stored information account | |
US7257581B1 (en) | Storage, management and distribution of consumer information | |
US9928508B2 (en) | Single sign-on for access to a central data repository | |
US7788315B2 (en) | Infrastructure for management and communication of information | |
JP2004234632A (ja) | 認証システム、認証サーバ、認証方法、認証プログラム、端末、認証要求方法、認証要求プログラム、及び記憶媒体 | |
JP2004234633A (ja) | 認証システム、認証サーバ、端末、可搬式記憶媒体、認証方法、認証情報登録方法、情報送信方法、情報送受信方法、認証プログラム、情報送信プログラム、情報送受信プログラム、記憶媒体、情報処理装置、及び情報処理方法 | |
US20220321357A1 (en) | User credential control system and user credential control method | |
US20240163279A1 (en) | Systems and methods for securing login access | |
JP2008077633A (ja) | 情報の管理と通信のためのインフラストラクチャ | |
JP2007272518A (ja) | 顧客データベース管理装置及び顧客データベース管理プログラム | |
JP4396490B2 (ja) | 名寄せ制御方法 | |
JP4527491B2 (ja) | コンテンツ提供システム | |
JP2003085141A (ja) | シングルサインオン対応認証装置、ネットワークシステム、及びプログラム | |
JPWO2005064485A1 (ja) | 生体情報認識装置を備えた携帯型パーソナルサーバ装置 | |
JP2004526249A5 (ja) | ||
WO2011058629A1 (ja) | 情報管理システム | |
JP2006209676A (ja) | セキュリティシステム及びセキュリティ方法 | |
EP3400695A1 (en) | System, method and apparatus for data transmission | |
JP3818795B2 (ja) | 電子帳票処理方法 | |
JP2007249690A (ja) | 会員管理システム、サービス提供端末、及びその方法 | |
US7093281B2 (en) | Casual access application with context sensitive pin authentication | |
JP7359917B2 (ja) | 情報処理サーバ、情報処理システム、判定装置、及び方法 | |
JP2006293746A (ja) | 管理サーバと管理方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A625 | Written request for application examination (by other person) |
Free format text: JAPANESE INTERMEDIATE CODE: A625 Effective date: 20080116 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20101102 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20101102 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20110125 |