JP2017228145A - 認証システム、通信システム、認証認可方法、及びプログラム - Google Patents

認証システム、通信システム、認証認可方法、及びプログラム Download PDF

Info

Publication number
JP2017228145A
JP2017228145A JP2016124755A JP2016124755A JP2017228145A JP 2017228145 A JP2017228145 A JP 2017228145A JP 2016124755 A JP2016124755 A JP 2016124755A JP 2016124755 A JP2016124755 A JP 2016124755A JP 2017228145 A JP2017228145 A JP 2017228145A
Authority
JP
Japan
Prior art keywords
resource
connection
authentication
terminal
authorization information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2016124755A
Other languages
English (en)
Inventor
岳志 堀内
Takeshi Horiuchi
岳志 堀内
直樹 梅原
Naoki Umehara
直樹 梅原
寛 日野原
Hiroshi Hinohara
寛 日野原
宮本　篤
Atsushi Miyamoto
篤 宮本
拓也 曽根田
Takuya Soneda
拓也 曽根田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ricoh Co Ltd
Original Assignee
Ricoh Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ricoh Co Ltd filed Critical Ricoh Co Ltd
Priority to JP2016124755A priority Critical patent/JP2017228145A/ja
Priority to EP17175052.4A priority patent/EP3261317B1/en
Priority to US15/621,108 priority patent/US20170374058A1/en
Publication of JP2017228145A publication Critical patent/JP2017228145A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

【課題】サービス側の機能が複数のシステムに分散された通信システムにおいて、リソース提供システムとは異なるコネクションに接続する認証システムによる認証情報を、リソース提供システムと認証システムとの間で共有可能とする。【解決手段】認証システム３０の送受信部３１は、端末１０によって送信されるクライアント証明書で認証してから、端末との間の第１のコネクションを確立する。認証システムのトークン発行部３２は、クライアント証明書に対応するアクセストークンを出力する。認証システムの送受信部は、第２のコネクションにより、リソース提供システム６０へアクセストークンを送信させる。【選択図】図４

Description

本発明は、認証システム、通信システム、認証認可方法、及びプログラムに関する。
クライアント証明書を用いたクライアント認証後に通信端末によるコネクションを確立するTLS(Transport Layer Security)などのプロトコルが知られている。また、リソースの要求元が認証され、かつ認可されてから、要求元にリソースへアクセスさせるOAuth2.0などのプロトコルが知られている。
特許文献１には、サードパーティーアプリケーションによって、その識別子、認証クレデンシャル、およびアクセス許可を区別可能な様式で集中型セキュアマネージメントシステムへ送信するステップと、サードパーティーアプリケーションを成功裏に認証した後に、集中型セキュアマネージメントシステムによって、識別子およびアクセス許可を許可サーバへ転送するステップと、アクセス許可が有効である場合には、許可サーバによって、ユーザの保護されているリソースにアクセスするためのアクセストークンを、集中型セキュアマネージメントシステムを通じてサードパーティーアプリケーションに発行するステップとを含む方法が開示されている。
サービス側の機能が複数のシステムに分散された通信システムにおいて、通信端末は、認証システムによって認証され、認証システムとのコネクションを確立してから、リソース提供システムにリソースへのアクセスを要求するプロセスも想定される。ここで、リソース提供システムは、上記のコネクションに接続していない場合、通信端末をリソースへアクセスさせるための認証情報として、認証システムによる認証で用いられたクライアント証明書を共有できないという課題が生じる。
請求項１に係る発明の認証システムは、通信端末によって送信されるクライアント証明書で認証してから、前記通信端末との間の第１のコネクションを確立する確立手段と、前記通信端末によるリソースへのアクセスの認可を示す認可情報として、前記クライアント証明書に対応する認可情報を出力する出力手段と、前記第１のコネクションとは異なる第２のコネクションにより、前記リソースを提供するリソース提供システムへ前記認可情報を送信させる送信手段と、を有する。
以上説明したように本発明によれば、リソース提供システムは、リソース提供システムとは異なるコネクションに接続する認証システムによる認証情報を、認証システムとの間で共有可能になるという効果を奏する。
本発明の一実施形態に係る通信システムの概略図である。 一実施形態に係る端末のハードウェア構成図である。 一実施形態に係る管理システムのハードウェア構成図である。 一実施形態に係る端末、及び管理システムの各機能ブロック図である。 一実施形態における処理を示すシーケンス図である。
以下、本発明の実施形態について説明する。
＜＜通信システムの概略＞＞
図１は、本発明の一実施形態に係る通信システムの概略図である。図１は、通信ネットワーク２上に認証、及びリソース提供に係るサービス側を示し、利用者側は、通信ネットワーク２に接続されていることを示している。
以下、通信端末を「端末」と表し、端末のうち任意の端末を端末１０と表す。通信システム１は、端末１０、及び管理システム５０によって構築されている。管理システム５０には、認証システム３０及びリソース提供システム６０が含まれる。
端末１０は、例えば、タブレット、スマートフォン、ＰＣ（personal computer）等の汎用端末、若しくは、テレビ会議端末、電子黒板、電子看板、カメラなどの専用端末である。なお、通信システム１において、端末の種類、及び数は限定されるものではない。また、各端末１０は、同種であっても、異種であっても良い。
通信システム１においてリソースは、任意の場所として、例えば、管理システム５０、又は通信ネットワーク２上の任意のサーバに記憶される。リソースは、例えば、アドレス帳、又は会議履歴などのデータ、若しくは通話用、又は会議用のアプリケーションである。
認証システム３０は、認証の要求元の端末１０から送られてくるクライアント証明書を用いて要求元を認証し、端末１０との間でＴＬＳ(Transport Layer Security)コネクションを確立する。
リソース提供システム６０は、リソースの要求元の端末１０をリソースにアクセスさせる。
＜＜ハードウェア構成＞＞
次に、通信システム１を構成する各装置のハードウェア構成を説明する。
図２は、一実施形態に係る端末１０のハードウェア構成図である。なお、端末１０は、通信可能であれば、端末１０のハードウェア構成は図２の構成に限定されない。例えば、端末１０は、図２に記載されていない構成が含まれていても、図２に記載の構成の一部が含まれていなくても良い。また、図２に記載の構成の一部は端末１０に接続可能な外部装置等であっても良い。図２に示されているように、本実施形態の端末１０は、端末１０全体の動作を制御するＣＰＵ(Central Processing Unit)１０１、ＩＰＬ(Initial Program Loader)等のＣＰＵ１０１の駆動に用いられるプログラムを記憶したＲＯＭ(Read Only Memory)１０２、ＣＰＵ１０１のワークエリアとして使用されるＲＡＭ(Random Access Memory)１０３、端末１０の各種端末用のプログラム、画像データ、及び音データ等の各種データを記憶するフラッシュメモリ１０４、ＣＰＵ１０１の制御にしたがってフラッシュメモリ１０４に対する各種データの読み出し又は書き込みを制御するＳＳＤ（Solid State Drive）１０５、フラッシュメモリやＩＣカード（Integrated Circuit Card）等の記録メディア１０６に対するデータの読み出し又は書き込み（記憶）を制御するメディアＩ／Ｆ１０７、宛先を選択する場合などに操作される操作ボタン１０８、端末１０の電源のＯＮ／ＯＦＦを切り換えるための電源スイッチ１０９、通信ネットワーク２を利用してデータ伝送をするためのネットワークＩ／Ｆ(Interface)１１１を備えている。
また、端末１０は、ＣＰＵ１０１の制御に従って被写体を撮像して画像データを得る内蔵型のカメラ１１２、このカメラ１１２の駆動を制御する撮像素子Ｉ／Ｆ１１３、音を入力する内蔵型のマイク１１４、音を出力する内蔵型のスピーカ１１５、ＣＰＵ１０１の制御に従ってマイク１１４及びスピーカ１１５との間で音信号の入出力を処理する音入出力Ｉ／Ｆ１１６、ＣＰＵ１０１の制御に従って外付けのディスプレイ１２０に画像データを伝送するディスプレイＩ／Ｆ１１７、各種の外部機器を接続するための外部機器接続Ｉ／Ｆ１１８、端末１０の各種機能の異常を知らせるアラームランプ１１９、及び上記各構成要素を図２に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン１１０を備えている。
ディスプレイ１２０は、被写体の画像や操作等を表示する液晶や有機ＥＬ(Organic Electroluminescence)によって構成された表示部である。また、ディスプレイ１２０は、ケーブル１２０ｃによってディスプレイＩ／Ｆ１１７に接続される。このケーブル１２０ｃは、アナログＲＧＢ（ＶＧＡ）信号用のケーブルであってもよいし、コンポーネントビデオ用のケーブルであってもよいし、ＨＤＭＩ（登録商標）(High-Definition Multimedia Interface)やＤＶＩ(Digital Video Interactive)信号用のケーブルであってもよい。
カメラ１１２は、レンズや、光を電荷に変換して被写体の画像（映像）を電子化する固体撮像素子を含み、固体撮像素子として、ＣＭＯＳ(Complementary Metal Oxide Semiconductor)や、ＣＣＤ（Charge Coupled Device）等が用いられる。
外部機器接続Ｉ／Ｆ１１８には、筐体１１００の接続口１１３２に差し込まれたＵＳＢ(Universal Serial Bus)ケーブル等によって、外付けカメラ、外付けマイク、及び外付けスピーカ等の外部機器がそれぞれ電気的に接続可能である。外付けカメラが接続された場合には、ＣＰＵ１０１の制御に従って、内蔵型のカメラ１１２に優先して、外付けカメラが駆動する。同じく、外付けマイクが接続された場合や、外付けスピーカが接続された場合には、ＣＰＵ１０１の制御に従って、それぞれが内蔵型のマイク１１４や内蔵型のスピーカ１１５に優先して、外付けマイクや外付けスピーカが駆動する。
なお、記録メディア１０６は、端末１０に対して着脱自在な構成となっている。また、ＣＰＵ１０１の制御にしたがってデータの読み出し又は書き込みを行う不揮発性メモリであれば、フラッシュメモリ１０４に限らず、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）等を用いてもよい。
図３は、一実施形態に係る管理システム５０のハードウェア構成図である。管理システム５０は、管理システム５０全体の動作を制御するＣＰＵ５０１、ＩＰＬ等のＣＰＵ５０１の駆動に用いられるプログラムを記憶したＲＯＭ５０２、ＣＰＵ５０１のワークエリアとして使用されるＲＡＭ５０３、管理システム５０用のプログラム等の各種データを記憶するＨＤ５０４、ＣＰＵ５０１の制御にしたがってＨＤ５０４に対する各種データの読み出し又は書き込みを制御するＨＤＤ(Hard Disk Drive)５０５、フラッシュメモリ等の記録メディア５０６に対するデータの読み出し又は書き込み（記憶）を制御するメディアドライブ５０７、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示するディスプレイ５０８、通信ネットワーク２を利用してデータ通信するためのネットワークＩ／Ｆ５０９、文字、数値、各種指示などの入力のための複数のキーを備えたキーボード５１１、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行うマウス５１２、着脱可能な記録媒体の一例としてのＣＤ−ＲＯＭ(Compact Disc Read Only Memory)５１３に対する各種データの読み出し又は書き込みを制御するＣＤ−ＲＯＭドライブ５１４、及び、上記各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン５１０を備えている。
なお、管理システム５０を構築する認証システム３０、及びリソース提供システム６０は、それぞれ図３に示す構成を有している。
＜＜機能構成＞＞
次に、一実施形態の機能構成について説明する。図４は、一実施形態に係る通信システム１の一部を構成する端末１０、及び管理システム５０の機能ブロック図である。図４では、端末１０、及び管理システム５０が、通信ネットワーク２を介してデータ通信することができるように接続されている。
＜端末の機能構成＞
端末１０は、送受信部１１、操作入力受付部１２、表示制御部１３、及び記憶・読出部１９を有している。これら各部は、図２に示されている各構成要素のいずれかが、フラッシュメモリ１０４からＲＡＭ１０３上に展開されたプログラムに従ったＣＰＵ１０１からの命令によって動作することで実現される機能である。また、端末１０は、図２に示されているＲＯＭ１０２、ＲＡＭ１０３、フラッシュメモリ１０４によって構築される記憶部１０００を有している。
（端末の各機能構成）
次に、図２及び図４を用いて、端末１０の各機能構成について詳細に説明する。なお、以下では、端末１０の各機能構成を説明するにあたって、図２に示されている各構成要素のうち、端末１０の各機能構成を実現させるための主な構成要素との関係も説明する。
送受信部１１は、ＣＰＵ１０１からの命令、及びネットワークＩ／Ｆ１１１によって実現され、通信ネットワーク２を介して、相手側の端末、各装置又はシステム等と各種データ（または情報）の送受信を行う。
操作入力受付部１２は、ＣＰＵ１０１からの命令、並びに操作ボタン１０８及び電源スイッチ１０９によって実現され、ユーザによる各種入力を受け付けたり、ユーザによる各種選択を受け付けたりする。
表示制御部１３は、ＣＰＵ１０１からの命令、及びディスプレイＩ／Ｆ１１７によって実現され、通話する際に相手側から送られてきた画像データをディスプレイ１２０に送信するための制御を行う。
記憶・読出部１９は、ＣＰＵ１０１からの命令及びＳＳＤ１０５によって実行され、又はＣＰＵ１０１からの命令によって実現され、記憶部１０００に各種データを記憶したり、記憶部１０００に記憶された各種データを抽出したりする処理を行う。
＜管理システムの機能構成＞
管理システム５０の認証システム３０は、送受信部３１、トークン発行部３２、及び記憶・読出部３９を有している。これら各部は、図３に示されている各構成要素のいずれかが、ＨＤ５０４からＲＡＭ５０３上に展開された認証システム３０用のプログラムに従ったＣＰＵ５０１からの命令によって動作することで実現される機能である。また、認証システム３０は、ＨＤ５０４により構築される記憶部３０００を有している。
（アカウント管理テーブル）
表１はアカウント管理テーブルを示す概念図である。記憶部３０００には、アカウント管理テーブルによってアカウント管理ＤＢ３００１が構築される。アカウント管理テーブルでは、アカウントＩＤ（identifier, identification）ごとに、Common Name、及びアカウントによるアクセスが認可されるリソースのリソースＩＤが関連付けられて管理される。アカウントＩＤは、リソースへのアクセスの権限を示すアカウントを識別する。Common NameはTLSコネクションの確立時に利用されるクライアント証明書に含まれており、TLSコネクションの相手側、即ち端末１０側を識別する。本実施形態においてＩＤ及び名称は、文字、数字、記号などの任意の情報によって表される。また、ＩＤは、メールアドレスや、電話番号などの対象を一意に特定できるものであっても良い。
Figure 2017228145
送受信部３１は、ＣＰＵ５０１からの命令、及びネットワークＩ／Ｆ５０９によって実現され、通信ネットワーク２を介して各端末、装置又はシステムと各種データ（または情報）の送受信を行う。
トークン発行部３２は、ＣＰＵ５０１からの命令によって実現され、端末１０による要求に応じて、アクセストークンを発行する。
記憶・読出部３９は、ＣＰＵ５０１からの命令及びＨＤＤ５０５によって実現され、記憶部３０００に各種データを記憶したり、記憶部３０００に記憶された各種データを抽出したりする処理を行う。
管理システム５０のリソース提供システム６０は、送受信部６１、トークン検証部６２、リソース提供部６３、及び記憶・読出部６９を有している。これら各部は、図３に示されている各構成要素のいずれかが、ＨＤ５０４からＲＡＭ５０３上に展開されたリソース提供システム６０用のプログラムに従ったＣＰＵ５０１からの命令によって動作することで実現される機能である。また、リソース提供システム６０は、ＨＤ５０４により構築される記憶部６０００を有している。
記憶部６０００には、リソースＩＤに対応付けられて、リソース５０３０が管理されている。端末１０から取得されるアクセストークンが正当なものであると検証された場合、リソース５０３０は、リソース提供部６３によって端末１０へ提供される。
送受信部６１は、ＣＰＵ５０１からの命令、及びネットワークＩ／Ｆ５０９によって実現され、通信ネットワーク２を介して各端末、装置又はシステムと各種データ（または情報）の送受信を行う。
トークン検証部６２は、ＣＰＵ５０１からの命令によって実現され、端末１０から送られてくるアクセストークンを検証する。
リソース提供部６３は、ＣＰＵ５０１からの命令によって実現され、アクセストークンの検証結果に応じて、端末１０へリソースを提供する。
記憶・読出部６９は、ＣＰＵ５０１からの命令及びＨＤＤ５０５によって実行され、記憶部６０００に各種データを記憶したり、記憶部６０００に記憶された各種データを抽出したりする処理を行う。
＜＜処理または動作＞＞
続いて、通信システム１を構成する端末１０、及び管理システム５０の処理または動作について説明する。まずは、図５を用いて、一実施形態における認証処理について説明する。図５は、一実施形態における認証処理を示すシーケンス図である。
端末１０の送受信部１１、及び認証システム３０の送受信部３１は、TLS通信の基本的な機能を有する。端末１０の送受信部１１、及び認証システム３０の送受信部３１は、ＴＬＳのハンドシェイクプロトコルにより、コネクションtls1を確立する（ステップＳ２１）。ハンドシェイクプロトコルにおいて、端末１０の送受信部１１は、暗号化されたクライアント証明書を認証システムへ送信する。クライアント証明書は、端末１０の記憶部１０００、フラッシュメモリ１０４、又は記録メディア１０６に記憶されているものであっても、外部機器接続Ｉ／Ｆによって外部機器から取得されるものであっても良い。クライアント証明書には、端末１０側を識別するためのCommon Nameが含まれている。認証システム３０の送受信部３１は、暗号化されたクライアント証明書を受信し、これを復号化することでクライアントとしての端末１０側を認証する。
コネクションtls1が確立すると、端末１０の送受信部１１、及び認証システム３０の送受信部３１は、コネクションtls1の共通鍵で暗号化されたデータによる通信を開始する。この通信で、端末１０の送受信部１１は、リソース１０３０へアクセスするためのアクセストークンの要求を認証システム３０へ送信する（ステップＳ２２）。アクセストークンの要求を受信した認証システム３０の送受信部３１は、ステップＳ２１で受信したクライアント証明書に含まれるCommon Nameをアクセストークンの要求に付加して、トークン発行部３２へ転送する。
認証システム３０のトークン発行部３２は、アクセストークンの要求に付加されたCommon Nameを検索キーとしてアカウント管理テーブル（表１参照）を検索して、対応するアカウントＩＤ、及びリソースＩＤを取得する（ステップＳ２３）。これにより、トークン発行部３２は、リソースへのアクセス要求元を、アカウントＩＤのアカウントとして認証する。また、トークン発行部３２は、認証されたアカウントによる取得されたリソースＩＤのリソースへのアクセスを認可する。
認証システム３０のトークン発行部３２は、リソースへのアクセスの許可を示すアクセス許可情報として、ステップＳ２３で取得されたアカウントＩＤ、及びリソースＩＤを含み、電子署名が付加されたアクセストークンを発行する（ステップＳ２４）。
管理システム５０の送受信部１１は、アクセストークンの要求に対する応答で、ステップＳ２４で発行されたアクセストークンを端末１０へ送信する（ステップＳ２５）。端末１０の送受信部１１は、管理システム５０による応答でアクセストークンを受信する。
リソース提供システム６０の送受信部６１は、TLS通信の基本的な機能を有する。端末１０の送受信部１１、及びリソース提供システム６０の送受信部６１は、コネクションtls1とは異なるコネクションtls2を確立する（ステップＳ３１）。
コネクションtls2が確立すると、端末１０の送受信部１１、及びリソース提供システム６０の送受信部６１は、コネクションtls2の共通鍵で暗号化されたデータによる通信を開始する。この通信で、端末１０の送受信部１１は、ステップＳ２５で受信したアクセストークン、及びアクセスを要求するリソースのリソースＩＤを含むリソース要求をリソース提供システム６０へ送信する（ステップＳ３２）。リソース提供システム６０の送受信部６１は、コネクションtls2でリソース要求を受信する。
リソース提供システム６０のトークン検証部６２は、アクセストークンに含まれる電子署名により、アクセストークンが認証システム３０のトークン発行部３２によって発行されたものであるか検証する（ステップＳ３３）。
アクセストークンが認証システム３０のトークン発行部３２によって発行されたものであることが検証された場合、トークン検証部６２は、リソース要求に含まれるリソースＩＤと、アクセストークンのアクセス許可情報に含まれるリソースＩＤが同じであるか検証する（ステップＳ３４）。リソースＩＤが同じであると検証された場合、トークン検証部６２は、アクセス許可判定をリソース提供部６３へ出力する。
アクセス許可判定が出力されると、リソース提供部６３は、リソース要求に含まれるリソースＩＤに対応するリソース５０３０を記憶部６０００から取得する（ステップＳ３５）。
リソース提供システム６０の送受信部６１は、リソース提供部６３によって取得されるリソース５０３０を、リソース要求の応答として、要求元の端末１０へ送信する（ステップＳ３６）。端末１０の送受信部１１は、リソース提供システム６０によって送信されるリソース５０３０を受信する。これにより、端末１０はリソース５０３０にアクセスすることができる。
なお、リソース提供システム６０の記憶部６０００は、リソースＩＤに対応付けてリソース５０３０を管理する実施形態に変えて、リソースＩＤに対応付けてリソース５０３０のURL（Uniform Resource Locator）を管理しても良い。この場合、リソース提供部６３は、リソース要求に含まれるリソースＩＤに対応するリソース５０３０のURLを取得する。リソース提供システム６０の送受信部６１は、取得されたURLをリソースの要求元の端末１０へ送信する。これにより、端末１０は、URLに基づいてリソースへアクセスできる。
＜＜実施形態の主な効果＞＞
上記実施形態の認証認可方法によると、認証システム３０の送受信部３１（確立手段の一例）は、端末１０から送られてくるクライアント証明書で認証してから、端末１０との間のコネクションtls1（第１のコネクションの一例）を確立する（確立処理の一例）。認証システム３０のトークン発行部３２（出力手段の一例）は、端末１０によるリソースへのアクセスの認可を示す認可情報として、上記のクライアント証明書に対応するアクセストークンを出力する（出力処理の一例）。認証システム３０の送受信部３１（送信手段の一例）は、端末１０へアクセストークンを送信する（送信処理の一例）。これにより、端末１０は、リソース提供システム６０へ、コネクションtls1とは異なるコネクションtls2（第２のコネクションの一例）でアクセストークンを送信する。リソース提供システム６０の送受信部６１（受信手段の一例）は、コネクションtls2でアクセストークンを受信する。
この認証認可方法によると、コネクションtls2に接続するリソース提供システム６０は、異なるコネクションtls1に接続する認証システム３０による端末１０の認証情報を、認証システム３０との間で共有可能になる。これにより、リソース提供システム６０は、認証、認可に用いる情報の管理の付加が低減する。
認証システム３０の送受信部３１（受付手段の一例）は、コネクションtls1で、アクセストークンの要求を受け付ける。認証システム３０のトークン発行部３２（出力手段の一例）は、アクセストークンの要求元のクライアント証明書に対応する認可情報が含まれたアクセストークンを出力する。これにより、認証システム３０は、アクセストークンの要求元ごとに、要求元に対応するアクセストークンを発行できる。
認証システム３０のアカウント管理ＤＢ３００１（管理手段の一例）は、クライアント証明書に含まれるCommon Name（識別情報の一例）と、リソースＩＤと、を関連付けて管理する。認証システム３０のトークン発行部３２は、アクセストークンの要求元のクライアント証明書のCommon Nameに関連付けられているリソースＩＤをアカウント管理ＤＢ３００１から取得し、このリソースＩＤを含むアクセストークンを出力する。これにより、認証システム３０は、クライアント証明書に含まれるCommon Nameに基づいてアクセストークンを発行できる。
＜＜実施形態の補足＞＞
端末１０、及び管理システム５０用の各プログラムは、インストール可能な形式又は実行可能な形式のファイルによって、コンピュータで読み取り可能な記録媒体（記録メディア１０６等）に記録されて流通されるようにしてもよい。また、上記記録媒体の他の例として、ＣＤ−Ｒ(Compact Disc Recordable)、ＤＶＤ(Digital Versatile Disk)、ブルーレイディスク等が挙げられる。
また、上記実施形態の各プログラムが記憶されたＣＤ−ＲＯＭ等の記録媒体、並びに、これらプログラムが記憶されたＨＤ５０４は、プログラム製品(Program Product)として、国内又は国外へ提供されることができる。
また、上記実施形態における端末１０、及び管理システム５０は、単一のコンピュータによって構築されてもよいし、複数のコンピュータによって構築されていてもよい。なお、上記実施形態では、認証システム３０及びリソース提供システム６０に、管理システム５０の各部（機能又は手段）が任意に割り当てられている。また、管理システム５０は、一つの認証システム３０及び複数のリソース提供システム６０を有しても良い。この場合、認証システム３０は、通信システム１全体の管理者によって管理され、各リソース提供システム６０は各リソースの提供者によって管理されても良い。
上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路を含むプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC(Application Specific Integrated Circuit)や従来の回路モジュール等のデバイスを含むものとする。
１ 通信システム
２ 通信ネットワーク
１０ 端末
１１ 送受信部
１２ 操作入力受付部
１３ 表示制御部
１９ 記憶・読出部
３０ 認証システム
３１ 送受信部
３２ トークン発行部
３９ 記憶・読出部
５０ 管理システム
６０ リソース提供システム
６１ 送受信部
６２ トークン検証部
６３ リソース提供部
６９ 記憶・読出部
１０００ 記憶部
３０００ 記憶部
３００１ アカウント管理ＤＢ
５０３０ リソース
６０００ 記憶部
特表２０１４−５３１１６３号公報

Claims (10)

  1. 通信端末によって送信されるクライアント証明書で認証してから、前記通信端末との間の第１のコネクションを確立する確立手段と、
    前記通信端末によるリソースへのアクセスの認可を示す認可情報として、前記クライアント証明書に対応する認可情報を出力する出力手段と、
    前記第１のコネクションとは異なる第２のコネクションにより、前記リソースを提供するリソース提供システムへ前記認可情報を送信させる送信手段と、
    を有する認証システム。
  2. 前記第１のコネクションで、認可情報の要求を受け付ける受付手段を有し、
    前記出力手段は、前記認可情報の要求元の前記クライアント証明書に対応する前記認可情報を出力する請求項１に記載の認証システム。
  3. 前記クライアント証明書に含まれる識別情報と、前記リソースの識別情報と、を関連付けて管理する管理手段を有し、
    前記出力手段は、前記クライアント証明書に含まれる識別情報に関連付けられている前記リソースの識別情報を、前記管理手段から取得し、取得される前記リソースの識別情報を含む認可情報を出力する請求項２に記載の認証システム。
  4. 請求項１乃至３のいずれか一項に記載の認証システムと、
    前記認可情報を検証して、前記通信端末に前記リソースを提供する前記リソース提供システムと、
    を有する通信システム。
  5. 前記リソース提供システムは、
    前記第２のコネクションにより、前記認可情報を受信する請求項４に記載の通信システム。
  6. 更に通信端末を有する請求項４又は５に記載の通信システム。
  7. 前記通信端末は、
    前記認証システムとの間で確立される前記第１のコネクションにより前記認可情報を受信し、前記リソース提供システムとの間で確立される前記第２のコネクションにより前記認可情報を送信する請求項６に記載の通信システム。
  8. 認証システムに、
    通信端末によって送信されるクライアント証明書で認証してから、前記通信端末との間の第１のコネクションを確立する確立処理と、
    前記通信端末によるリソースへのアクセスの認可を示す認可情報として、前記クライアント証明書に対応する認可情報を出力する出力処理と、
    前記第１のコネクションとは異なる第２のコネクションにより、前記リソースを提供するリソース提供システムへ前記認可情報を送信させる送信処理と、
    を実行させる認証認可方法。
  9. 前記リソース提供システムに、
    前記認可情報を検証して、前記リソースを前記通信端末に提供する処理を実行させる請求項８に記載の認証認可方法。
  10. 認証システムに、
    通信端末によって送信されるクライアント証明書で認証してから、前記通信端末との間の第１のコネクションを確立する確立処理と、
    前記通信端末によるリソースへのアクセスの認可を示す認可情報として、前記クライアント証明書に対応する認可情報を出力する出力処理と、
    前記第１のコネクションとは異なる第２のコネクションにより、前記リソースを提供するリソース提供システムへ前記認可情報を送信させる送信処理と、
    を実行させるプログラム。
JP2016124755A 2016-06-23 2016-06-23 認証システム、通信システム、認証認可方法、及びプログラム Pending JP2017228145A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2016124755A JP2017228145A (ja) 2016-06-23 2016-06-23 認証システム、通信システム、認証認可方法、及びプログラム
EP17175052.4A EP3261317B1 (en) 2016-06-23 2017-06-08 Authentication system, communication system, and authentication and authorization method
US15/621,108 US20170374058A1 (en) 2016-06-23 2017-06-13 Authentication system, communication system, and authentication and authorization method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016124755A JP2017228145A (ja) 2016-06-23 2016-06-23 認証システム、通信システム、認証認可方法、及びプログラム

Publications (1)

Publication Number Publication Date
JP2017228145A true JP2017228145A (ja) 2017-12-28

Family

ID=59053967

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016124755A Pending JP2017228145A (ja) 2016-06-23 2016-06-23 認証システム、通信システム、認証認可方法、及びプログラム

Country Status (3)

Country Link
US (1) US20170374058A1 (ja)
EP (1) EP3261317B1 (ja)
JP (1) JP2017228145A (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021090138A (ja) * 2019-12-04 2021-06-10 日立Ｇｅニュークリア・エナジー株式会社 無線通信制御システムおよび無線通信制御方法

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10541977B2 (en) * 2017-07-25 2020-01-21 Pacesetter, Inc. Utilizing signed credentials for secure communication with an implantable medical device
US11941643B2 (en) * 2018-04-05 2024-03-26 Visa International Service Association System, method, and apparatus for authenticating a user
CN113727059B (zh) * 2021-08-31 2023-10-24 成都卫士通信息产业股份有限公司 多媒体会议终端入网认证方法、装置、设备及存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015005202A (ja) * 2013-06-21 2015-01-08 キヤノン株式会社 権限移譲システム、認可サーバーシステム、制御方法、およびプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NL1018494C2 (nl) * 2001-07-09 2003-01-10 Koninkl Kpn Nv Methode en systeem voor het door een dienstproces aan een client leveren van een dienst.
US7836493B2 (en) * 2003-04-24 2010-11-16 Attachmate Corporation Proxy server security token authorization
US20060294366A1 (en) * 2005-06-23 2006-12-28 International Business Machines Corp. Method and system for establishing a secure connection based on an attribute certificate having user credentials
CN103067338B (zh) * 2011-10-20 2017-04-19 上海贝尔股份有限公司 第三方应用的集中式安全管理方法和***及相应通信***
US20160142409A1 (en) * 2014-11-18 2016-05-19 Microsoft Technology Licensing, Llc Optimized token-based proxy authentication
US9900156B2 (en) * 2015-04-15 2018-02-20 Cisco Technology, Inc. Cloud service validation

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015005202A (ja) * 2013-06-21 2015-01-08 キヤノン株式会社 権限移譲システム、認可サーバーシステム、制御方法、およびプログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021090138A (ja) * 2019-12-04 2021-06-10 日立Ｇｅニュークリア・エナジー株式会社 無線通信制御システムおよび無線通信制御方法
JP7274400B2 (ja) 2019-12-04 2023-05-16 日立Ｇｅニュークリア・エナジー株式会社 無線通信制御システムおよび無線通信制御方法

Also Published As

Publication number Publication date
EP3261317A1 (en) 2017-12-27
US20170374058A1 (en) 2017-12-28
EP3261317B1 (en) 2019-09-11

Similar Documents

Publication Publication Date Title
CN102611555B (zh) 数据处理设备
JP2017068596A (ja) 管理システム、通信システム、送信制御方法、及びプログラム
JP6583543B2 (ja) 情報送信システム、情報送信方法、及びプログラム
EP3261317B1 (en) Authentication system, communication system, and authentication and authorization method
US10681094B2 (en) Control system, communication control method, and program product
US10498716B2 (en) Management system, communication control method, and communication system
JP6724431B2 (ja) 通信システム、情報送信方法、及びプログラム
US10305905B2 (en) Access control device, communication system, program, and method for controlling access
US10277644B2 (en) Transmission system, transmission terminal, method, and program
JP2017097652A (ja) 管理システム、通信システム、通信制御方法、及びプログラム
US20170339135A1 (en) Authentication system, communication system, and authentication method
JP6724423B2 (ja) 通信端末、通信システム、出力方法、及びプログラム
US11128623B2 (en) Service providing system, service delivery system, service providing method, and non-transitory recording medium
US20190028558A1 (en) Service providing system, service delivery system, service providing method, and non-transitory recording medium
JP6295522B2 (ja) 伝送システム、伝送端末および伝送端末プログラム
JP6662215B2 (ja) 管理システム、通信システム、管理方法、及びプログラム
JP2017098780A (ja) 管理システム、通信システム、通信制御方法、及びプログラム
JP5817878B2 (ja) 情報処理装置、システム、プログラム、認証方法
US20180270233A1 (en) Information terminal, information processing apparatus, information processing system, and information processing method
JP2017211769A (ja) 管理システム、通信システム、認可方法、及びプログラム
US20180270234A1 (en) Information terminal, information processing apparatus, information processing system, and information processing method
JP2022053955A (ja) 方法、プログラム、情報処理装置、認証サーバ、および情報処理システム

Legal Events

Date Code Title Description
RD03 Notification of appointment of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7423

Effective date: 20180209

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190227

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20191218

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200114

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20200707