JP2019176360A - アクセス制御装置、アクセス制御プログラムおよびアクセス制御システム - Google Patents

Abstract

【課題】不正アクセスを防止するための端末への設定作業にかかる負荷を削減すること。【解決手段】アクセス制御装置１０１は、端末１０２から無線通信による接続依頼を受け付けたことに応じて、端末１０２に応じた読み取り方式に対応するデバイス１０３から合図を発行し、端末１０２に対して、端末１０２の鍵情報の生成、および、端末１０２に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラム１０４を送信する。アクセス制御装置１０１は、端末１０２から鍵情報と認証用データとを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末１０２の正当性を判定する。アクセス制御装置１０１は、端末１０２が正当であると判定した場合、応答に含まれる鍵情報を端末１０２の識別情報と対応付けて登録し、端末１０２との接続処理を行う。【選択図】図１

Description

本発明は、アクセス制御装置、アクセス制御プログラムおよびアクセス制御システムに関する。

近年、小中学校等の学校環境において、タブレット端末を用いたＩＣＴ（Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）利活用型授業の導入がすすめられている。一方、学校環境では、先生端末に偽装して校内データベースにアクセスされると、生徒の個人情報や成績情報等が盗み見されるおそれがあるため、不正アクセスを防ぐための対策を行うことは重要である。

先行技術としては、例えば、携帯通信端末とモバイルルータとが、ＮＦＣ通信（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）で接続し、端末識別子の照合等により認証を行い、認証に成功した場合に、携帯通信端末の利用やモバイルルータでの業務サーバへの通信を行うものがある。また、ホーム・サーバとクライアント端末が短い時間内で同じ物理媒体へのアクセスを共有することができたかどうかにより、同じホーム・ネットワークに接続されているかどうかを識別する技術がある。また、第１の端末装置から返送される情報と第２の端末装置に送出した所定の情報とを比較して、その比較結果に基づいて第１の端末装置の正当性を判定する技術がある。

特開２０１４−２１５８０２号公報 特開２００４−３３４７５６号公報 特開２００２−１４０３０２号公報

しかしながら、従来技術では、不正アクセスを防止するための対策を行うにあたり、利用者を認証するための証明書等を設定する作業に手間や時間がかかる。例えば、小中学校において、各クラスの担任の先生が、各生徒が使用する端末への証明書の設定作業を事前に行うとなると、先生にかかる負担が大きい。

一つの側面では、本発明は、不正アクセスを防止するための端末への設定作業にかかる負荷を削減することを目的とする。

１つの実施態様では、端末から無線通信による接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行う、制御部を有するアクセス制御装置が提供される。

本発明の一側面によれば、不正アクセスを防止するための端末への設定作業にかかる負荷を削減することができる。

図１は、実施の形態１にかかるアクセス制御方法の一実施例を示す説明図である。 図２は、アクセス制御システム２００のシステム構成例を示す説明図である。 図３は、アクセス制御装置ＡＰｉのハードウェア構成例を示すブロック図である。 図４は、端末Ｔｊのハードウェア構成例を示すブロック図である。 図５は、合図管理ＤＢ５００の記憶内容の一例を示す説明図である。 図６は、プログラムＤＢ６００の記憶内容の一例を示す説明図である。 図７は、鍵管理ＤＢ７００の記憶内容の一例を示す説明図である。 図８は、合図入力画面８００の画面例を示す説明図である。 図９は、読み取り中画面９００の画面例を示す説明図である。 図１０は、アクセス制御システム２００の機能的構成例を示すブロック図である。 図１１は、合図管理ＤＢ５００の更新例を示す説明図である。 図１２は、顔画像確認画面１２００の画面例を示す説明図である。 図１３は、アクセス制御装置ＡＰｉのアクセス制御処理手順の一例を示すフローチャート（その１）である。 図１４は、アクセス制御装置ＡＰｉのアクセス制御処理手順の一例を示すフローチャート（その２）である。 図１５は、第１の認証処理の具体的処理手順の一例を示すフローチャートである。 図１６は、第２の認証処理の具体的処理手順の一例を示すフローチャートである。 図１７は、端末Ｔｊのアクセス処理手順の一例を示すフローチャート（その１）である。 図１８は、端末Ｔｊのアクセス処理手順の一例を示すフローチャート（その２）である。 図１９は、アクセス制御システム１９００の機能的構成例を示すブロック図である。 図２０は、アクセス制御システム２０００の動作例を示す説明図である。 図２１は、アクセス制御システム２１００の動作例を示す説明図である。 図２２は、各端末Ｔ１〜Ｔ３の位置の時系列変化を示す説明図である。

以下に図面を参照して、本発明にかかるアクセス制御装置、アクセス制御プログラムおよびアクセス制御システムの実施の形態を詳細に説明する。

（実施の形態１）
図１は、実施の形態１にかかるアクセス制御方法の一実施例を示す説明図である。図１において、アクセス制御装置１０１は、端末１０２のネットワークへのアクセスを制御するコンピュータである。ネットワークは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。

アクセス制御装置１０１は、例えば、無線ＬＡＮのアクセスポイントである。また、端末１０２は、ユーザが使用するコンピュータである。端末１０２は、例えば、タブレットＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ノートＰＣ、スマートフォンなどである。ユーザは、例えば、小中学校等の生徒、児童、先生などである。

ここで、小中学校等の学校環境では、無線ＬＡＮの認証に、ＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ）パスワードとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスのチェックが行われることが多い。しかし、ＳＳＩＤパスワードは、各端末で共通のパスワードである。

このため、ＳＳＩＤパスワードを児童や生徒に漏らさずに管理することは困難である。実際に、ＳＳＩＤパスワードを生徒が盗み見し、さらにＭＡＣアドレスを詐称して、生徒の個人情報や成績情報等の機密情報に不正アクセスするという情報漏洩事件に発展したケースがある。

不正アクセスを防止するための対策としては、例えば、無線ＬＡＮへの接続時に、アクセスポイント側で、端末固有の証明書（トークン）を用いて、ＭＡＣアドレスの詐称を検出することが考えられる。これによれば、端末のＭＡＣアドレスを変更しても、証明書（トークン）が異なれば、アクセスポイント側でＭＡＣアドレスの詐称を検出して、偽装端末を排除することができる。

しかしながら、証明書（トークン）は、端末それぞれに設定することになる。したがって、小中学校等の学校環境において、職員（例えば、各クラスの担任の先生）が、生徒が使用する全ての端末に証明書を設定する作業を行うとなると、事前設定作業にかかる職員の負荷は大きくなる。

なお、最初の導入は、各端末への事前設定作業をＳＥ（Ｓｙｓｔｅｍｓ Ｅｎｇｉｎｅｅｒ）が肩代わりすることが考えられる。しかし、運用中の端末の追加、削除、証明書の更新等は現場の者、すなわち、職員が行う必要があり、職員の証明書の設定／更新作業にかかる負荷は大きい。

また、証明書の設定作業にかかる負荷を軽減するために、各端末に証明書を取得するためのプログラムを導入することも考えられる。例えば、職員が、ＣＤ−ＲＯＭ等から各端末にプログラムをインストールして実行し、Ｂｌｕｅｔｏｏｔｈ等により各端末とアクセスポイントとをテンポラリ接続して、アクセスポイントから各端末に証明書を取得する。

これによれば、職員が行う作業は単純化されるものの、各端末とアクセスポイントとがテンポラリ接続するための設定や、各端末にプログラムをインストールするための手間が生じるため、依然として、職員に負荷がかかる。ＣＤ−ＲＯＭは、Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。Ｂｌｕｅｔｏｏｔｈは、登録商標である。

そこで、本実施の形態では、不正アクセスを防止するための端末への設定作業にかかる負荷を削減するアクセス制御方法について説明する。以下、アクセス制御装置１０１および端末１０２の処理例について説明する。

（１）アクセス制御装置１０１は、端末１０２から無線通信による接続依頼を受け付ける。ここで、端末１０２からの無線通信による接続依頼は、アクセス制御装置１０１を介して、ＬＡＮ、ＷＡＮなどのネットワークに接続するためのものである。

（２）アクセス制御装置１０１は、端末１０２から無線通信による接続依頼を受け付けたことに応じて、端末１０２に応じた読み取り方式に対応するデバイス１０３から合図を発行し、端末１０２に対して、制御プログラム１０４を送信する。

ここで、読み取り方式とは、合図を読み取るための方式である。合図は、端末１０２の認証を行うために発行される情報である。端末１０２に応じた読み取り方式は、例えば、端末１０２と対応付けて予め決められていてもよく、また、端末１０２から接続依頼を受け付けた際に選択されることにしてもよい。

制御プログラム１０４は、端末１０２の鍵情報の生成、および、端末１０２に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行うプログラムである。端末１０２の鍵情報は、例えば、端末１０２を認証するための公開鍵と秘密鍵とのペアである。

一例として、デバイス１０３をプロジェクタとし、端末１０２に応じた読み取り方式を、端末１０２のユーザの操作入力によって、デバイス１０３により表示された合図の入力を受け付けることにより、入力された合図を読み取る方式とする。また、合図を、端末１０２を認証するための認証用データとなる「あいことば」とする。

この場合、端末１０２のユーザは、デバイス１０３（プロジェクタ）により黒板等に表示された合図（あいことば）を見て、端末１０２にあいことばを入力する。図１の例では、デバイス１０３から、あいことばとなる合図＃１が発行された場合を想定する。

（３）端末１０２は、アクセス制御装置１０１から制御プログラム１０４を受信すると、制御プログラム１０４を実行する。これにより、端末１０２は、自端末の鍵情報を生成するとともに、自端末に応じた読み取り方式により読み取られる合図に応じた認証用データを取得する。そして、端末１０２は、生成した鍵情報および取得した認証用データを含む応答を、アクセス制御装置１０１に送信する。

図１の例では、端末１０２において制御プログラム１０４が実行された結果、端末１０２の鍵情報１０５（公開鍵と秘密鍵のペア）が生成され、端末１０２のユーザの操作入力により、合図＃１’があいことばとして入力された場合を想定する。この場合、端末１０２は、入力された合図＃１’を認証用データとして取得する。そして、端末１０２は、鍵情報１０５（公開鍵のみ）および合図＃１’を含む応答を、アクセス制御装置１０１に送信する。

（４）アクセス制御装置１０１は、端末１０２から鍵情報と認証用データとを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末１０２の正当性を判定する。端末１０２が正当であるということは、端末１０２のユーザが、アクセス制御装置１０１を介してネットワークを利用可能な正当なユーザであることに相当する。

具体的には、例えば、アクセス制御装置１０１は、応答に含まれる認証用データと、デバイス１０３から発行した合図とを比較する。そして、アクセス制御装置１０１は、認証用データと合図とが一致する場合、端末１０２が正当であると判定する。一方、認証用データと合図とが不一致の場合、アクセス制御装置１０１は、端末１０２が正当ではないと判定する。

図１の例では、端末１０２からの応答に含まれる合図＃１’と、デバイス１０３から発行された合図＃１とが一致する場合を想定する。すなわち、端末１０２のユーザは、デバイス１０３（プロジェクタ）により黒板等に表示された合図＃１を見て、端末１０２にあいことば（合図＃１’）を正確に入力した者である。この場合、アクセス制御装置１０１は、端末１０２が正当であると判定する。

（５）アクセス制御装置１０１は、端末１０２が正当であると判定した場合、応答に含まれる鍵情報を端末１０２の識別情報と対応付けて登録する。また、アクセス制御装置１０１は、端末１０２が正当であると判定した場合、端末１０２との接続処理を行う。接続処理が正常に完了すると、端末１０２は、アクセス制御装置１０１を介してネットワークにアクセス可能となる。

図１の例では、アクセス制御装置１０１は、端末１０２の鍵情報１０５（公開鍵のみ）と、端末１０２の識別情報とを対応付けて記憶部１１０に記憶する。そして、アクセス制御装置１０１は、端末１０２との接続処理を行う。端末１０２の鍵情報１０５（公開鍵のみ）は、次回以降の端末１０２の接続時に、端末１０２を認証するために用いられる。

このように、アクセス制御装置１０１によれば、接続依頼してきた端末１０２に対して制御プログラム１０４を配信して、端末１０２において鍵情報の生成、認証用データの生成等を自動実行させることができる。これにより、端末１０２に証明書等を設定するといった事前設定作業をなくすことができ、不正アクセスを防止するための端末１０２への設定作業にかかる負荷を削減することができる。

（アクセス制御システム２００のシステム構成例）
つぎに、図１に示したアクセス制御装置１０１を、小中学校等の学校環境における無線ＬＡＮのアクセスポイントに適用した場合について説明する。

図２は、アクセス制御システム２００のシステム構成例を示す説明図である。図２において、アクセス制御システム２００は、アクセス制御装置ＡＰ１〜ＡＰｎ（ｎ：２以上の自然数）と、端末Ｔ１〜Ｔｍ（ｍ：２以上の自然数）と、管理者端末２０１と、サーバ２０２と、を含む。アクセス制御システム２００において、アクセス制御装置ＡＰ１〜ＡＰｎおよびサーバ２０２は、ネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ、ＷＡＮ、インターネットなどである。

以下の説明では、アクセス制御装置ＡＰ１〜ＡＰｎのうちの任意のアクセス制御装置を「アクセス制御装置ＡＰｉ」と表記する場合がある（ｉ＝１，２，…，ｎ）。また、端末Ｔ１〜Ｔｍのうちの任意の端末を「端末Ｔｊ」と表記する場合がある（ｊ＝１，２，…，ｍ）。

アクセス制御装置ＡＰｉは、自装置を介した端末Ｔｊのネットワーク２１０へのアクセスを制御するコンピュータである。図１に示したアクセス制御装置１０１は、例えば、アクセス制御装置ＡＰｉに相当する。アクセス制御装置ＡＰ１〜ＡＰｎは、例えば、学校内の各部屋（教室、実験室、職員室など）に設置される。

端末Ｔｊは、生徒が使用するコンピュータである。管理者端末２０１は、先生が使用するコンピュータである。端末Ｔｊおよび管理者端末２０１は、例えば、タブレットＰＣ、ノートＰＣ、スマートフォンなどである。図１に示した端末１０２は、例えば、端末Ｔｊに相当する。

サーバ２０２は、各種サービスを提供するコンピュータである。サーバ２０２は、例えば、授業に使用する教材情報や、生徒の個人情報や成績情報等の機密情報を記憶するデータベースサーバである。

アクセス制御システム２００において、端末Ｔ１〜Ｔｎや管理者端末２０１は、無線ＬＡＮの無線ネットワークを介して、アクセス制御装置ＡＰｉと接続される。端末Ｔ１〜Ｔｎや管理者端末２０１は、アクセス制御装置ＡＰｉとの接続処理が正常に完了すると、アクセス制御装置ＡＰｉを介して、ネットワーク２１０にアクセスすることができる。

これにより、例えば、端末Ｔ１〜Ｔｎは、ネットワーク２１０を介して、サーバ２０２にアクセスして、授業の教材情報を取得したりすることができる。また、管理者端末２０１は、ネットワーク２１０を介して、サーバ２０２にアクセスして、生徒の個人情報や成績情報等の機密情報を閲覧したりすることができる。

（アクセス制御装置ＡＰｉのハードウェア構成例）
図３は、アクセス制御装置ＡＰｉのハードウェア構成例を示すブロック図である。図３において、アクセス制御装置ＡＰｉは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ディスクドライブ３０３と、ディスク３０４と、公衆網Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０５と、ＷＬＡＮ Ｉ／Ｆ３０６と、デバイス３０７と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、アクセス制御装置ＡＰｉの全体の制御を司る。ＣＰＵ３０１は、複数のコアを有していてもよい。メモリ３０２は、例えば、ＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

ディスクドライブ３０３は、ＣＰＵ３０１の制御に従ってディスク３０４に対するデータのリード／ライトを制御する。ディスク３０４は、ディスクドライブ３０３の制御で書き込まれたデータを記憶する。ディスク３０４としては、例えば、磁気ディスク、光ディスクなどが挙げられる。

公衆網Ｉ／Ｆ３０５は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他の装置（例えば、図２に示したサーバ２０２）に接続される。そして、公衆網Ｉ／Ｆ３０５は、ネットワーク２１０と装置内部とのインターフェースを司り、他の装置からのデータの入出力を制御する。

ＷＬＡＮ Ｉ／Ｆ３０６は、無線ＬＡＮの無線ネットワークに接続され、無線ネットワークを介して他の装置（例えば、図２に示した端末Ｔ１〜Ｔｍ、管理者端末２０１）に接続される。そして、ＷＬＡＮ Ｉ／Ｆ３０６は、無線ネットワークと装置内部とのインターフェースを司り、他の装置からのデータの入出力を制御する。

デバイス３０７は、合図を発行する装置である。デバイス３０７は、例えば、プロジェクタ３０８、リーダライタ装置３０９、ビーコン発信機３１０などである。プロジェクタ３０８は、画像をスクリーン等に投影・表示する装置である。プロジェクタ３０８に代えてディスプレイを用いることにしてもよい。リーダライタ装置３０９は、無線ＬＡＮの無線通信よりも通信範囲が狭い近距離無線通信によりデータの書き込み・読み込みを行う装置である。例えば、リーダライタ装置３０９は、ＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）のリーダライタ装置である。ビーコン発信機３１０は、無線ＬＡＮの無線通信よりも通信範囲が狭い近距離無線通信によりビーコン信号を発信する装置である。例えば、ビーコン発信機３１０は、ＢＬＥ（Ｂｌｕｅｔｏｏｔｈ Ｌｏｗ Ｅｎｅｒｇｙ）のアドバタイズ信号をビーコン信号として利用する発信機である。

なお、アクセス制御装置ＡＰｉは、上述した構成部のほかに、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、入力装置、ディスプレイ等を有することにしてもよい。また、デバイス３０７は、アクセス制御装置ＡＰｉとは別体に設けられていてもよい。また、図２に示したサーバ２０２についても、アクセス制御装置ＡＰｉと同様のハードウェア構成により実現することができる。ただし、サーバ２０２は、ＷＬＡＮ Ｉ／Ｆ３０６やデバイス３０７を有していなくてもよい。

（端末Ｔｊのハードウェア構成例）
図４は、端末Ｔｊのハードウェア構成例を示すブロック図である。図４において、端末Ｔｊは、ＣＰＵ４０１と、メモリ４０２と、ＷＬＡＮ Ｉ／Ｆ４０３と、ディスプレイ４０４と、入力装置４０５と、カメラ４０６と、リーダライタ装置４０７と、ビーコン受信機４０８と、を有する。また、各構成部は、バス４００によってそれぞれ接続される。

ここで、ＣＰＵ４０１は、端末Ｔｊの全体の制御を司る。ＣＰＵ４０１は、複数のコアを有していてもよい。メモリ４０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ４０１のワークエリアとして使用される。メモリ４０２に記憶されるプログラムは、ＣＰＵ４０１にロードされることで、コーディングされている処理をＣＰＵ４０１に実行させる。

ＷＬＡＮ Ｉ／Ｆ４０３は、無線ＬＡＮの無線ネットワークに接続され、無線ネットワークを介して他の装置（例えば、図２に示したアクセス制御装置ＡＰ１〜ＡＰｎ）に接続される。そして、ＷＬＡＮ Ｉ／Ｆ４０３は、無線ネットワークと装置内部とのインターフェースを司り、他の装置からのデータの入出力を制御する。

ディスプレイ４０４は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。ディスプレイ４０４としては、例えば、液晶ディスプレイや有機ＥＬ（Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどを採用することができる。

入力装置４０５は、文字、数字、各種指示などの入力のためのキーを有し、データの入力を行う。入力装置４０５は、例えば、タッチパネル式の入力パッドやテンキーなどであってもよく、また、キーボードやマウスなどであってもよい。

カメラ４０６は、画像（静止画または動画）を撮像して画像情報を出力する撮像装置である。リーダライタ装置４０７は、近距離無線通信によりデータの書き込み・読み込みを行う装置であり、例えば、ＮＦＣのリーダライタ装置である。ビーコン受信機４０８は、近距離無線通信によりビーコン信号を受信する装置であり、例えば、ＢＬＥのアドバタイズ信号をビーコン信号として利用する受信機である。

なお、端末Ｔｊは、上述した構成部のほかに、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、公衆網Ｉ／Ｆ等を有することにしてもよい。また、図２に示した管理者端末２０１についても、端末Ｔｊと同様のハードウェア構成により実現することができる。

（合図管理ＤＢ５００の記憶内容）
つぎに、アクセス制御装置ＡＰｉが有する合図管理ＤＢ（Ｄａｔａｂａｓｅ）５００の記憶内容について説明する。合図管理ＤＢ５００は、例えば、図３に示したアクセス制御装置ＡＰｉのメモリ３０２、ディスク３０４などの記憶装置により実現される。

図５は、合図管理ＤＢ５００の記憶内容の一例を示す説明図である。図５において、合図管理ＤＢ５００は、アドレス、合図、読み取り方式、ｆｉｒｓｔＡｕｔｈ ｆｌａｇ、外部問合せｆｌａｇ、ＩＤおよび鍵情報および属性のフィールドを有する。各フィールドに情報を設定することで、合図管理情報（例えば、合図管理情報５００−１，５００−２）がレコードとして記憶される。

アドレスは、端末Ｔｊのアドレスである。アドレスは、例えば、端末ＴｊのＭＡＣアドレスである。合図は、端末Ｔｊに応じた読み取り方式に対応するデバイス３０７から発行される合図を示す。読み取り方式は、合図の読み取り方式を示す。読み取り方式としては、例えば、プロジェクタ、ＮＦＣ、ビーコンなどが挙げられる。

ｆｉｒｓｔＡｕｔｈ ｆｌａｇは、最初の認証であるか否かを示すフラグである。ｆｉｒｓｔＡｕｔｈ ｆｌａｇには、ｔｒｕｅまたはｆａｌｓｅが設定される。ｆｉｒｓｔＡｕｔｈ ｆｌａｇ「ｔｒｕｅ」は、最初の認証であることを示す。ｆｉｒｓｔＡｕｔｈ ｆｌａｇ「ｆａｌｓｅ」は、２回目以降の認証であることを示す。

外部問合せｆｌａｇは、外部の端末に問い合わせるか否かを示すフラグである。外部問合せｆｌａｇには、ｔｒｕｅまたはｆａｌｓｅが設定される。外部問合せｆｌａｇ「ｔｒｕｅ」は、外部の端末に問い合わせることを示す。外部問合せｆｌａｇ「ｆａｌｓｅ」は、外部の端末に問い合わせないことを示す。

ＩＤは、鍵情報を特定するための識別子である。例えば、端末Ｔｊに対して１つの鍵情報のみを用いる場合、端末Ｔｊに対応するＩＤは１つとなる。一方、端末Ｔｊに対して、例えば、時限（時間割の単位）ごとに異なる鍵情報を用いる場合、端末Ｔｊに対応するＩＤは時限ごとに異なるものとなる。また、同一時限の鍵情報には、全生徒共通のＩＤが振られることにしてもよい。例えば、１時限目の鍵情報のＩＤとして、全生徒共通のＩＤ「１」が設定される。この場合、アドレスとＩＤとの組合せによって、端末Ｔｊの鍵情報が一意に特定される。

鍵情報は、端末Ｔｊを認証するための公開鍵である。属性は、顔認証を行うか否かを示す情報である。属性には、ｎｏｎｅまたはｆａｃｅが設定される。属性「ｎｏｎｅ」は、顔認証を行わないことを示す。属性「ｆａｃｅ」は、顔認証を行うことを示す。

（プログラムＤＢ６００の記憶内容）
つぎに、アクセス制御装置ＡＰｉが有するプログラムＤＢ６００の記憶内容について説明する。プログラムＤＢ６００は、例えば、図３に示したアクセス制御装置ＡＰｉのメモリ３０２、ディスク３０４などの記憶装置により実現される。

図６は、プログラムＤＢ６００の記憶内容の一例を示す説明図である。図６において、プログラムＤＢ６００は、種別、読み取り方式、プログラム、属性およびＩＤのフィールドを有し、各フィールドに情報を設定することで、プログラム情報（例えば、プログラム情報６００−１〜６００−６）をレコードとして記憶する。

ここで、種別は、制御プログラムの種別を示す。種別には、ｆｉｒｓｔＰｒｇまたはａｕｔｈＰｒｇが設定される。種別「ｆｉｒｓｔＰｒｇ」は、最初の認証に使用する制御プログラムＰｒｇ１を示す。種別「ａｕｔｈＰｒｇ」は、２回目以降の認証に使用する制御プログラムＰｒｇ２を示す。読み取り方式は、合図の読み取り方式を示す。プログラムは、制御プログラム本体を示す。属性は、顔認証を行うか否かを示す情報である。ＩＤは、鍵情報を特定するための識別子である。

（鍵管理ＤＢ７００の記憶内容）
つぎに、端末Ｔｊが有する鍵管理ＤＢ７００の記憶内容について説明する。鍵管理ＤＢ７００は、例えば、図４に示した端末Ｔｊのメモリ４０２により実現される。

図７は、鍵管理ＤＢ７００の記憶内容の一例を示す説明図である。図７において、鍵管理ＤＢ７００は、ＡＰアドレス、ＩＤ、秘密鍵、公開鍵および合図のフィールドを有し、各フィールドに情報を設定することで、鍵管理情報（例えば、鍵管理情報７００−１）をレコードとして記憶する。

ここで、ＡＰアドレスは、アクセス制御装置ＡＰｉのアドレスである。ＡＰアドレスは、例えば、アクセス制御装置ＡＰｉのＭＡＣアドレスである。ＩＤは、鍵情報を識別する識別子である。秘密鍵は、ＩＤに対応する秘密鍵である。公開鍵は、ＩＤに対応する公開鍵である。合図は、ＩＤに対応する鍵情報（公開鍵と秘密鍵のペア）の生成時に取得された合図を示す。

（合図入力画面８００の画面例）
つぎに、端末Ｔｊのディスプレイ４０４に表示される合図入力画面８００の画面例について説明する。以下の説明においては、操作画面に表示されているボックス、ボタン等をユーザが選択する操作としてタッチ操作を行う場合を例に挙げて説明する。

図８は、合図入力画面８００の画面例を示す説明図である。図８において、合図入力画面８００は、合図を入力するための操作画面である。ここで入力される合図は、端末Ｔｊを認証するための認証用データとなる「あいことば」である。

合図入力画面８００において、例えば、図４に示した入力装置４０５を用いたユーザの操作入力により、ボックス８０１をタッチすると、合図を入力することができる。この際、ユーザは、合図入力画面８００上に表示されるテンキー８０２を操作することで、合図を入力することができる。

また、合図入力画面８００において、ボタン８０３をタッチすると、ボックス８０１への入力を確定することができる。具体的には、ボタン８０３がタッチされると、ボックス８０１に入力されたあいことば（合図）が、端末Ｔｊを認証するための認証用データとして取得される。

（読み取り中画面９００の画面例）
つぎに、端末Ｔｊのディスプレイ４０４に表示される読み取り中画面９００の画面例について説明する。

図９は、読み取り中画面９００の画面例を示す説明図である。図９において、読み取り中画面９００は、端末Ｔｊの２回目以降の認証時に表示される画面である。読み取り中画面９００では、プログレスバー９０１により、端末Ｔｊの鍵情報を用いた認証を行うための認証用データを生成する処理の進捗を示す。

（アクセス制御システム２００の機能的構成例）
つぎに、図１０を用いて、アクセス制御システム２００の機能的構成例について説明する。ここでは、まず、アクセス制御装置ＡＰｉの機能的構成例について説明する。

・アクセス制御装置ＡＰｉの機能的構成例
図１０は、アクセス制御システム２００の機能的構成例を示すブロック図である。図１０において、アクセス制御装置ＡＰｉは、接続部１０１１と、配信部１０１２と、発行部１０１３と、認証部１０１４と、を含む。接続部１０１１〜認証部１０１４は制御部となる機能であり、具体的には、例えば、図３に示したメモリ３０２、ディスク３０４などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、公衆網Ｉ／Ｆ３０５、ＷＬＡＮ Ｉ／Ｆ３０６により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０４などの記憶装置に記憶される。

接続部１０１１は、端末Ｔｊから無線ＬＡＮの接続依頼を受け付ける。ここで、無線ＬＡＮの接続依頼は、アクセス制御装置ＡＰｉを介してネットワーク２１０にアクセスするためのものである。端末Ｔｊからの接続依頼には、例えば、端末ＴｊのＭＡＣアドレスが含まれる。

なお、接続部１０１１は、端末Ｔｊから無線ＬＡＮの接続依頼を受け付けると、例えば、端末ＴｊとＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）接続を開始する。この場合、端末Ｔｊは、アクセス制御装置ＡＰｉの公開鍵を取得して、アクセス制御装置ＡＰｉの秘密鍵の確認を行う。

より詳細に説明すると、まず、アクセス制御装置ＡＰｉは、自装置の秘密鍵でチャレンジデータを暗号化した暗号データを、自装置の公開鍵とともに端末Ｔｊに送信する。チャレンジデータは、アクセス制御装置ＡＰｉにおいて生成されるランダムなデータ（乱数）である。端末Ｔｊは、アクセス制御装置ＡＰｉから取得した公開鍵で、アクセス制御装置ＡＰｉからの暗号データを復号する。ここで、暗号データを正常に復号できれば、端末Ｔｊは、アクセス制御装置ＡＰｉが正当であると判定する。一方、暗号データを正常に復号できなければ、端末Ｔｊは、アクセス制御装置ＡＰｉが正当ではないと判定する。このようにして、端末Ｔｊは、アクセス制御装置ＡＰｉの正当性を判定することができる。

配信部１０１２は、接続部１０１１が端末Ｔｊから無線ＬＡＮの接続依頼を受け付けたことに応じて、端末Ｔｊの識別情報に対応する鍵情報が登録されているか否かを判断する。ここで、端末Ｔｊの識別情報に対応する鍵情報は、端末Ｔｊを認証するために用いられる情報であり、例えば、端末Ｔｊの公開鍵である。

具体的には、例えば、配信部１０１２は、図５に示した合図管理ＤＢ５００を参照して、無線ＬＡＮの接続依頼を受け付けた端末ＴｊのＭＡＣアドレスに対応するｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」となっているか否かを判断する。ここで、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」の場合、端末Ｔｊの最初の認証であり鍵情報が未登録であることを示す。

このため、配信部１０１２は、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」の場合に、端末Ｔｊの識別情報に対応する鍵情報が登録されていると判断する。一方、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｆａｌｓｅ」の場合、配信部１０１２は、端末Ｔｊの識別情報に対応する鍵情報が登録されていないと判断する。

なお、端末Ｔｊの鍵情報は、日、時限、科目ごとに異なるものを用いることにしてもよい。例えば、時限ごとに異なる鍵情報を用いる場合、授業を開始する際に、アクセス制御装置ＡＰｉが、鍵情報のＩＤの指定を受け付ける。鍵情報のＩＤの指定は、例えば、図２に示した管理者端末２０１において行われる。この場合、配信部１０１２は、合図管理ＤＢ５００を参照して、無線ＬＡＮの接続依頼を受け付けた端末ＴｊのＭＡＣアドレス、および、指定された鍵情報のＩＤに対応するｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」となっているか否かを判断する。

発行部１０１３は、接続部１０１１が端末Ｔｊから無線ＬＡＮの接続依頼を受け付けたことに応じて、端末Ｔｊに応じた読み取り方式に対応するデバイス３０７（図３参照）から合図を発行する。具体的には、例えば、発行部１０１３は、配信部１０１２によって端末Ｔｊの識別情報に対応する鍵情報が登録されていないと判断された場合に、端末Ｔｊに応じた読み取り方式に対応するデバイス３０７から合図を発行する。

より詳細に説明すると、例えば、発行部１０１３は、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する読み取り方式および合図を特定する。そして、発行部１０１３は、特定した読み取り方式に対応するデバイス３０７から、特定した合図を発行する。合図は、例えば、端末Ｔｊを認証するための「あいことば」を示すものである。

例えば、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「プロジェクタ」とし、合図を「１２３４」とする。この場合、発行部１０１３は、図３に示したプロジェクタ３０８により、例えば、教室の黒板等のスクリーンに合図「１２３４」を表示する。

また、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「ＮＦＣ」とし、合図を「１２３４」とする。この場合、発行部１０１３は、図３に示したリーダライタ装置３０９により、合図「１２３４」をタグに書き込む。

また、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「ビーコン」とし、合図を「１２３４」とする。この場合、発行部１０１３は、図３に示したビーコン発信機３１０により、合図「１２３４」を示すビーコン信号を発信する。

なお、鍵情報のＩＤが指定された場合は、発行部１０１３は、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレス、および、指定された鍵情報のＩＤに対応する読み取り方式および合図を特定する。

配信部１０１２は、端末Ｔｊの識別情報に対応する鍵情報が登録されていない場合、端末Ｔｊに対して、制御プログラムＰｒｇ１を送信する。ここで、制御プログラムＰｒｇ１は、端末Ｔｊの鍵情報の生成、および、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行うプログラムである。端末Ｔｊの鍵情報は、例えば、端末Ｔｊを認証するための公開鍵と秘密鍵とのペアである。

より詳細に説明すると、制御プログラムＰｒｇ１は、例えば、端末Ｔｊの鍵情報（公開鍵と秘密鍵のペア）を生成し、合図に応じた認証用データを取得し、生成した公開鍵と生成した認証用データとを含む応答をアクセス制御装置ＡＰｉに送信するプログラムである。合図に応じた認証用データを取得するために、例えば、図８に示したような合図入力画面８００が端末Ｔｊに表示される。

具体的には、例えば、配信部１０１２は、図６に示したプログラムＤＢ６００を参照して、種別が「ｆｉｒｓｔＰｒｇ」で、かつ、端末Ｔｊに応じた読み取り方式に対応する制御プログラムＰｒｇ１を特定する。そして、配信部１０１２は、端末Ｔｊに対して、特定した制御プログラムＰｒｇ１を送信する。

例えば、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「プロジェクタ」とする。この場合、配信部１０１２は、プログラムＤＢ６００を参照して、種別が「ｆｉｒｓｔＰｒｇ」で、かつ、読み取り方式「プロジェクタ」に対応する制御プログラムＰｒｇ１「ｉｎｐｕｔＳｉｇｎ．ｈｔｍｌ」を特定する。そして、配信部１０１２は、端末Ｔｊに対して、特定した制御プログラムＰｒｇ１「ｉｎｐｕｔＳｉｇｎ．ｈｔｍｌ」を送信する。

認証部１０１４は、端末Ｔｊから鍵情報と認証用データとを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末Ｔｊの正当性を判定する。具体的には、例えば、認証部１０１４は、配信部１０１２によって制御プログラムＰｒｇ１が送信された端末Ｔｊから、端末Ｔｊの公開鍵と認証用データとを含む応答を受け付ける。

例えば、合図を、端末Ｔｊを認証するための認証用データとなる「あいことば」とする。この場合、認証部１０１４は、応答に含まれる認証用データと、デバイス１０３から発行された合図とが一致するか否かを判断する。ここで、認証用データと合図とが一致する場合、認証部１０１４は、端末Ｔｊが正当であると判定する。一方、認証用データと合図とが不一致の場合、認証部１０１４は、端末Ｔｊが正当ではないと判定する。

認証部１０１４は、端末Ｔｊが正当であると判定した場合、応答に含まれる鍵情報を端末Ｔｊの識別情報と対応付けて登録する。具体的には、例えば、認証部１０１４は、端末Ｔｊが正当であると判定した場合、応答に含まれる端末Ｔｊの公開鍵を、端末ＴｊのＭＡＣアドレスと対応付けて、合図管理ＤＢ５００に登録する。

ここで、図１１を用いて、合図管理ＤＢ５００の更新例について説明する。ここでは、合図管理ＤＢ５００内の合図管理情報５００−１を例に挙げて説明する。

図１１は、合図管理ＤＢ５００の更新例を示す説明図である。図１１に示すように、ＭＡＣアドレス「１２．３４．５６」の端末Ｔｊが正当である場合、認証部１０１４は、応答に含まれる端末Ｔｊの公開鍵「８６ｅｓｇ…」を、端末ＴｊのＭＡＣアドレス「１２．３４．５６」と対応付けて、合図管理情報５００−１に設定する。また、認証部１０１４は、合図管理情報５００−１のｆｉｒｓｔＡｕｔｈ ｆｌａｇに「ｆａｌｓｅ」を設定する。

図１０の説明に戻り、接続部１０１１は、端末Ｔｊが正当であると判定された場合、端末Ｔｊとの接続処理を行う。ここで、接続処理は、アクセス制御装置ＡＰｉを介してネットワーク２１０にアクセス可能にするための処理である。すなわち、接続処理が正常に完了すると、端末Ｔｊは、アクセス制御装置ＡＰｉを介してネットワーク２１０にアクセス可能となる。

また、接続部１０１１は、端末Ｔｊが正当ではないと判定された場合、端末Ｔｊにエラーを応答して、端末Ｔｊとの切断処理を行う。ここで、切断処理とは、端末Ｔｊとの接続、例えば、ＴＬＳ接続を切断する処理である。

また、配信部１０１２は、端末Ｔｊの識別情報に対応する鍵情報が登録されている場合、端末Ｔｊに対して、制御プログラムＰｒｇ２を送信する。ここで、制御プログラムＰｒｇ２は、端末Ｔｊの鍵情報を用いた認証を行うための認証用データの生成を行うプログラムである。

制御プログラムＰｒｇ２は、例えば、鍵情報のＩＤと、チャレンジデータとを含む。より詳細に説明すると、制御プログラムＰｒｇ２は、例えば、ＩＤに対応する端末Ｔｊの秘密鍵を読み出して、その秘密鍵でチャレンジデータを暗号化して認証用データを生成し、その認証用データを含む応答をアクセス制御装置ＡＰｉに送信するプログラムである。制御プログラムＰｒｇ２の実行中は、例えば、図９に示したような読み取り中画面９００が端末Ｔｊに表示される。

具体的には、例えば、配信部１０１２は、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応するＩＤおよび属性を特定する。つぎに、配信部１０１２は、プログラムＤＢ６００を参照して、種別が「ａｕｔｈＰｒｇ」で、かつ、特定したＩＤおよび属性に対応する制御プログラムＰｒｇ２を特定する。そして、配信部１０１２は、端末Ｔｊに対して、特定した制御プログラムＰｒｇ２を送信する。

例えば、端末ＴｊのＭＡＣアドレスに対応するＩＤを「１」とし、属性を「ｎｏｎｅ」する。この場合、配信部１０１２は、プログラムＤＢ６００を参照して、種別が「ａｕｔｈＰｒｇ」で、かつ、ＩＤ「１」および属性「ｎｏｎｅ」に対応する制御プログラムＰｒｇ２「Ｉｎｄｅｘ．ｈｔｍｌ．ｎｏｎｅ１」を特定する。そして、配信部１０１２は、端末Ｔｊに対して、特定した制御プログラムＰｒｇ２「Ｉｎｄｅｘ．ｈｔｍｌ．ｎｏｎｅ１」を送信する。

認証部１０１４は、端末Ｔｊから認証用データを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末Ｔｊの正当性を判定する。具体的には、例えば、認証部１０１４は、配信部１０１２によって制御プログラムＰｒｇ２が送信された端末Ｔｊから、端末Ｔｊの認証用データを含む応答を受け付ける。

ここで、認証用データは、例えば、制御プログラムＰｒｇ２に含まれるチャレンジデータを、端末Ｔｊの暗号鍵で暗号化したものである。より詳細に説明すると、例えば、認証部１０１４は、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する公開鍵を特定する。なお、鍵情報のＩＤが指定された場合は、認証部１０１４は、端末ＴｊのＭＡＣアドレスと、指定されたＩＤとに対応する公開鍵を特定する。

つぎに、認証部１０１４は、応答に含まれる認証用データを、特定した公開鍵で復号する。ここで、認証用データを正常に復号できれば、認証部１０１４は、端末Ｔｊが正当であると判定する。一方、認証用データを正常に復号できなければ、認証部１０１４は、端末Ｔｊが正当ではないと判定する。

そして、接続部１０１１は、端末Ｔｊが正当であると判定された場合、端末Ｔｊとの接続処理を行う。一方、端末Ｔｊが正当ではないと判定された場合、接続部１０１１は、端末Ｔｊにエラーを応答して、端末Ｔｊとの切断処理を行う。これにより、端末Ｔｊの２回目以降の認証時は、端末Ｔｊの識別情報（ＭＡＣアドレス）と対応付けて登録された鍵情報（公開鍵）を用いて端末Ｔｊを認証可能となる。

なお、デバイス３０７から発行される合図は、さらに、顔画像を要求するものであってもよい。合図が、「あいことば」を示すものだけでなく、顔画像を要求するものであるか否かは、外部問合せｆｌａｇによって判別することができる。

例えば、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「プロジェクタ」とし、合図（あいことば）を「１２３４」とし、外部問合せｆｌａｇを「ｔｒｕｅ」する。この場合、発行部１０１３は、例えば、プロジェクタ３０８により、教室の黒板等のスクリーンに合図「１２３４」を表示するとともに、顔画像の撮影を促すメッセージを表示する。

この場合、制御プログラムＰｒｇ１は、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データとして、さらに、端末Ｔｊのユーザの顔画像の取得を行う。より詳細に説明すると、例えば、図８に示したような合図入力画面８００において、さらに、端末Ｔｊのユーザの顔画像の撮影を行わせることにしてもよい。

また、認証部１０１４は、端末Ｔｊから鍵情報と認証用データ（あいことば、顔画像）とを含む応答を受け付けると、応答に含まれる認証用データ（顔画像）を、特定の端末に送信する。ここで、特定の端末は、認証用データ（顔画像）の確認を行う端末として予め登録された端末であり、例えば、図２に示した管理者端末２０１である。

この際、認証部１０１４は、例えば、端末Ｔｊからの応答に含まれる認証用データ（顔画像）を、端末ＴｊのＭＡＣアドレスと対応付けて、特定の端末に送信する。端末Ｔｊからの応答に含まれる認証用データ（顔画像）が管理者端末２０１に送信されると、例えば、図１２に示すような顔画像確認画面１２００が管理者端末２０１に表示される。

図１２は、顔画像確認画面１２００の画面例を示す説明図である。図１２において、顔画像確認画面１２００は、端末Ｔｊのユーザの顔画像の確認を行うための操作画面である。図１２の例では、複数のユーザの顔画像が一括して表示されている。

具体的には、顔画像確認画面１２００には、顔画像１２０１〜１２０３が表示されている。顔画像１２０１〜１２０３は、それぞれ異なる端末Ｔｊからの応答に含まれる顔画像、すなわち、それぞれ異なる端末Ｔｊにおいて撮影された顔画像である。ここで、顔画像１２０１を例に挙げて、顔画像の確認方法について説明する。

顔画像確認画面１２００において、管理者（先生）の操作入力により、ボタン１２１１をタッチすると、顔画像１２０１が正当なユーザのものであることを示す確認結果を含む応答を、アクセス制御装置ＡＰｉに送信することができる。一方、ボタン１２１２をタッチすると、顔画像１２０１が正当なユーザのものではないことを示す確認結果を含む応答を、アクセス制御装置ＡＰｉに送信することができる。なお、応答には、例えば、顔画像１２０１に対応するＭＡＣアドレスが含まれる。

なお、各顔画像１２０１〜１２０３には、各端末ＴｊのＭＡＣアドレスに対応するユーザ情報（例えば、氏名）をあわせて表示することにしてもよい。

この場合、認証部１０１４は、応答に含まれる認証用データ（あいことば）と、特定の端末からの応答内容とに基づいて、端末Ｔｊの正当性を判定する。具体的には、例えば、認証部１０１４は、認証用データ（あいことば）と合図（あいことば）とが一致し、かつ、顔画像が正当なユーザのものであることを示す確認結果を含む応答を管理者端末２０１から受け付けた場合に、端末Ｔｊが正当であると判定する。

一方、認証用データ（あいことば）と合図（あいことば）とが一致しない、または、顔画像が正当なユーザのものではないことを示す確認結果を含む応答を管理者端末２０１から受け付けた場合には、端末Ｔｊが正当ではないと判定する。これにより、合図（あいことば）だけでなく、端末Ｔｊのユーザの顔画像も含めて正当性を判定することが可能となり、正規ユーザではない者による端末Ｔｊの不正使用を防ぐことができる。

また、デバイス３０７から発行される合図は、顔画像のみを要求するものであってもよい。例えば、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「プロジェクタ」とし、合図を「画像要求」とする。この場合、発行部１０１３は、プロジェクタ３０８により、教室の黒板等のスクリーンに、顔画像の撮影を促すメッセージを表示する。

この場合、制御プログラムＰｒｇ１は、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データとして、端末Ｔｊのユーザの顔画像の取得を行う。より詳細に説明すると、例えば、図８に示したような合図入力画面８００の換わりに、端末Ｔｊのユーザの顔画像の撮影を行わせる操作画面を端末Ｔｊに表示することにしてもよい。

また、認証部１０１４は、端末Ｔｊから鍵情報と認証用データ（顔画像）とを含む応答を受け付けると、応答に含まれる認証用データ（顔画像）を、特定の端末に送信する。この際、認証部１０１４は、例えば、端末Ｔｊからの応答に含まれる認証用データ（顔画像）を、端末ＴｊのＭＡＣアドレスと対応付けて、特定の端末に送信する。

上述したように、特定の端末は、例えば、管理者端末２０１である。端末Ｔｊからの応答に含まれる認証用データ（顔画像）が管理者端末２０１に送信されると、例えば、図１２に示したような顔画像確認画面１２００が管理者端末２０１に表示される。

この場合、認証部１０１４は、特定の端末からの応答を受け付けると、特定の端末からの応答内容に基づいて、端末Ｔｊの正当性を判定する。具体的には、例えば、認証部１０１４は、顔画像が正当なユーザのものであることを示す確認結果を含む応答を管理者端末２０１から受け付けた場合に、端末Ｔｊが正当であると判定する。一方、顔画像が正当なユーザのものではないことを示す確認結果を含む応答を管理者端末２０１から受け付けた場合には、端末Ｔｊが正当ではないと判定する。

これにより、合図（あいことば）の換わりに、端末Ｔｊのユーザの顔画像を用いて正当性を判定することができる。例えば、先生は、出席確認として、端末Ｔｊのユーザの顔画像の確認を行うことができる。

また、認証部１０１４は、端末Ｔｊから鍵情報と認証用データとを含む応答であって、認証用データを複数の合図とする応答を受け付けた場合、複数の合図に基づいて、端末Ｔｊの正当性を判定することにしてもよい。ここで、認証用データとなる複数の合図は、端末Ｔｊにおいてアクセス制御装置ＡＰｉへの接続時に過去に取得された合図である。

具体的には、例えば、認証部１０１４は、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する全ての合図を特定する。ここで特定される合図は、アクセス制御装置ＡＰｉへの端末Ｔｊの過去の接続時に発行された合図である。そして、認証部１０１４は、認証データである複数の合図と、特定した合図とが一致する場合に、端末Ｔｊが正当であると判定する。

一方、認証データである複数の合図のいずれかの合図が、特定した合図に含まれない場合、または、特定した合図のいずれかが、認証データである複数の合図に含まれない場合は、認証部１０１４は、端末Ｔｊが正当ではないと判定する。これにより、端末Ｔｊに対して過去に発行した合図も含めて、端末Ｔｊの正当性を判定することができる。

なお、接続部１０１１は、端末Ｔｊから無線ＬＡＮの接続依頼を受け付けた際に、合図管理ＤＢ５００を参照して、無線ＬＡＮの接続依頼を受け付けた端末ＴｊのＭＡＣアドレスが登録されているか否かを判断することにしてもよい。そして、ＭＡＣアドレスが未登録の場合、接続部１０１１は、無線ＬＡＮの接続依頼を受け付けた端末Ｔｊに対してエラー応答することにしてもよい。

これにより、例えば、生徒が使用する全端末のＭＡＣアドレスを予め合図管理ＤＢ５００に登録しておくことで、学校外の者の端末からの接続依頼を受けた時点で、エラー応答して接続を拒否することができる。なお、アクセス制御装置ＡＰｉが設置されるクラス単位で、クラスの生徒が使用する全端末のＭＡＣアドレスを登録しておくことにしてもよい。この場合、クラス外の者の端末からの接続依頼を受けた時点で、エラー応答して接続を拒否することができる。

・端末Ｔｊの機能的構成例
つぎに、端末Ｔｊの機能的構成例について説明する。

図１０において、端末Ｔｊは、接続部１０２１と、実行部１０２２と、合図取得部１０２３と、を含む。接続部１０２１〜合図取得部１０２３は制御部となる機能であり、具体的には、例えば、図４に示したメモリ４０２などの記憶装置に記憶されたプログラムをＣＰＵ４０１に実行させることにより、または、ＷＬＡＮ Ｉ／Ｆ４０３により、その機能を実現する。各機能部の処理結果は、例えば、メモリ４０２に記憶される。

接続部１０２１は、アクセス制御装置ＡＰｉに無線ＬＡＮの接続依頼を送信する。具体的には、例えば、接続部１０２１は、図４に示した入力装置４０５を用いたユーザ（生徒）の操作入力により、ＳＳＩＤの選択を受け付けたことに応じて、選択されたＳＳＩＤのアクセス制御装置ＡＰｉに対して無線ＬＡＮの接続依頼を送信する。

実行部１０２２は、無線ＬＡＮの接続依頼を送信したアクセス制御装置ＡＰｉから制御プログラムＰｒｇ１を受信すると、受信した制御プログラムＰｒｇ１を実行する。具体的には、実行部１０２２は、プログラム動作管理部１０２４と、Ｗｅｂサーバ部１０２５と、合図蓄積部１０２６と、を含む。

プログラム動作管理部１０２４は、アクセス制御装置ＡＰｉから制御プログラムＰｒｇ１を受信すると、アクセス制御装置ＡＰｉに対応するＷｅｂサーバ部１０２５を起動する。具体的には、例えば、プログラム動作管理部１０２４は、アクセス制御装置ＡＰｉの公開鍵に１対１対応したＷｅｂサーバ部１０２５（ｈｔｔｐｓ：／／ｌｏｃａｌｈｏｓｔ／ｘｘｘ）を起動する。なお、ｘｘｘは、アクセス制御装置ＡＰｉに対応する。つぎに、プログラム動作管理部１０２４は、Ｗｅｂサーバ部１０２５のアドレス（ｈｔｔｐｓ：／／ｌｏｃａｌｈｏｓｔ／ｘｘｘ）を読み出すように設定したブラウザを起動し、ブラウザによりＷｅｂサーバ部１０２５からプログラムを取得して実行する。

この結果、ブラウザの制御にしたがって、合図取得部１０２３により、端末Ｔｊの鍵情報の生成、および、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データの取得が行われる。

例えば、合図を発行するデバイス３０７をプロジェクタ３０８とし、プロジェクタ３０８により、教室の黒板等のスクリーンに合図「１２３４」が表示されたとする。

この場合、合図取得部１０２３は、入力装置４０５を用いたユーザ（生徒）の操作入力によって、デバイス３０７により表示された合図の入力を受け付けることにより、入力された合図を認証用データとして取得する。具体的には、例えば、合図取得部１０２３は、ブラウザにより表示される合図入力画面８００（図８参照）において、プロジェクタ３０８により表示された合図の入力を受け付けることにより、入力された合図を取得する。また、合図取得部１０２３は、端末Ｔｊの鍵情報（公開鍵と秘密鍵のペア）を生成する。

また、合図を発行するデバイス３０７をリーダライタ装置３０９とし、リーダライタ装置３０９により、合図「１２３４」がタグに書き込まれたとする。

この場合、合図取得部１０２３は、リーダライタ装置４０７により、リーダライタ装置３０９のタグに書き込まれた合図「１２３４」を読み取ることにより、読み取られた合図「１２３４」を認証用データとして取得する。具体的には、例えば、端末Ｔｊのユーザ（生徒）が、アクセス制御装置ＡＰｉのリーダライタ装置３０９に端末Ｔｊをかざすことで、合図取得部１０２３は、リーダライタ装置４０７により、リーダライタ装置３０９のタグに書き込まれた合図「１２３４」を読み取る。また、合図取得部１０２３は、端末Ｔｊの鍵情報（公開鍵と秘密鍵のペア）を生成する。

また、合図を発行するデバイス３０７をビーコン発信機３１０とし、ビーコン発信機３１０により、合図「１２３４」を示すビーコン信号が発信されたとする。

この場合、合図取得部１０２３は、ビーコン受信機４０８により、ビーコン発信機３１０から発信されたビーコン信号を受信することにより、受信されたビーコン信号が示す合図「１２３４」を認証用データとして取得する。また、合図取得部１０２３は、端末Ｔｊの鍵情報（公開鍵と秘密鍵のペア）を生成する。

なお、デバイス３０７から発行される合図が、顔画像を要求するものである場合がある。この場合、合図取得部１０２３は、例えば、図４に示したカメラ４０６により、端末Ｔｊのユーザ（生徒）の顔画像を撮影することにより、撮影された顔画像を認証用データとして取得する。具体的には、例えば、合図取得部１０２３は、ブラウザにより表示される顔画像入力画面（不図示）において、ユーザ（生徒）の顔画像を撮影することにより、撮影された顔画像を取得することにしてもよい。

合図蓄積部１０２６は、取得された合図を蓄積する。具体的には、例えば、合図蓄積部１０２６は、アクセス制御装置ＡＰｉのＭＡＣアドレスと対応付けて、取得された合図、生成された鍵情報、および、鍵情報のＩＤを、図７に示した鍵管理ＤＢ７００に記憶する。鍵情報のＩＤは、例えば、制御プログラムＰｒｇ１に含まれる。

また、合図蓄積部１０２６は、生成された端末Ｔｊの鍵情報と、取得された端末Ｔｊの認証用データとを含む応答をアクセス制御装置ＡＰｉに送信する。アクセス制御装置ＡＰｉへの応答には、例えば、鍵情報のＩＤが含まれていてもよい。

また、鍵管理ＤＢ７００に、アクセス制御装置ＡＰｉのＭＡＣアドレスに対応する合図が複数存在する場合がある。例えば、時限ごとに異なる鍵情報を用いる場合、鍵管理ＤＢ７００には、過去の授業のときに用いられた鍵情報に対応する合図が記憶されている場合がある。この場合、合図蓄積部１０２６は、アクセス制御装置ＡＰｉのＭＡＣアドレスに対応する複数の合図を認証用データとして、アクセス制御装置ＡＰｉへの応答に含めることにしてもよい。

また、実行部１０２２は、無線ＬＡＮの接続依頼を送信したアクセス制御装置ＡＰｉから制御プログラムＰｒｇ２を受信すると、受信した制御プログラムＰｒｇ２を実行する。この結果、合図蓄積部１０２６により、端末Ｔｊの鍵情報を用いた認証を行うための認証用データの生成が行われる。

具体的には、例えば、合図蓄積部１０２６は、鍵管理ＤＢ７００から、アクセス制御装置ＡＰｉのＭＡＣアドレスに対応する秘密鍵を取得する。制御プログラムＰｒｇ２に鍵情報のＩＤが含まれている場合には、合図蓄積部１０２６は、鍵管理ＤＢ７００から、アクセス制御装置ＡＰｉのＭＡＣアドレス、および、制御プログラムＰｒｇ２に含まれる鍵情報のＩＤに対応する秘密鍵を取得する。つぎに、合図蓄積部１０２６は、取得した秘密鍵で、制御プログラムＰｒｇ２に含まれるチャレンジデータを暗号化して認証用データを生成する。そして、合図蓄積部１０２６は、生成した認証用データを含む応答をアクセス制御装置ＡＰｉに送信する。

なお、制御プログラムＰｒｇ２にブラウザ起動命令が含まれる場合、制御プログラムＰｒｇ１の場合と同様に、Ｗｅｂサーバ部１０２５とブラウザとを起動する。そして、ブラウザにより、端末Ｔｊの認証中に、図９に示したような読み取り中画面９００を表示することにしてもよい。

接続部１０２１は、アクセス制御装置ＡＰｉへ応答を送信した結果、自端末が認証された場合、アクセス制御装置ＡＰｉとの接続処理を行う。一方、自端末が認証されずエラー応答を受け付けた場合には、接続部１０２１は、アクセス制御装置ＡＰｉとの切断処理を行う。

なお、管理者端末２０１についても、上述した端末Ｔｊと同様の機能部を有することにしてもよい。

（アクセス制御装置ＡＰｉのアクセス制御処理手順）
つぎに、図１３および図１４を用いて、アクセス制御装置ＡＰｉのアクセス制御処理手順について説明する。

図１３および図１４は、アクセス制御装置ＡＰｉのアクセス制御処理手順の一例を示すフローチャートである。図１３のフローチャートにおいて、まず、アクセス制御装置ＡＰｉは、端末Ｔｊから無線ＬＡＮの接続依頼を受け付けたか否かを判断する（ステップＳ１３０１）。

ここで、アクセス制御装置ＡＰｉは、無線ＬＡＮの接続依頼を受け付けるのを待つ（ステップＳ１３０１：Ｎｏ）。そして、アクセス制御装置ＡＰｉは、端末Ｔｊから無線ＬＡＮの接続依頼を受け付けた場合（ステップＳ１３０１：Ｙｅｓ）、端末ＴｊのＭＡＣアドレスを取得する（ステップＳ１３０２）。

つぎに、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、取得したＭＡＣアドレスが登録されているか否かを判断する（ステップＳ１３０３）。ここで、ＭＡＣアドレスが登録されていない場合（ステップＳ１３０３：Ｎｏ）、アクセス制御装置ＡＰｉは、端末Ｔｊにエラー応答を送信して（ステップＳ１３０４）、本フローチャートによる一連の処理を終了する。

一方、ＭＡＣアドレスが登録されている場合（ステップＳ１３０３：Ｙｅｓ）、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、無線ＬＡＮの接続依頼を受け付けた端末ＴｊのＭＡＣアドレスに対応するｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」となっているか否かを判断する（ステップＳ１３０５）。

ここで、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」の場合（ステップＳ１３０５：Ｙｅｓ）、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する読み取り方式および合図を特定する（ステップＳ１３０６）。つぎに、アクセス制御装置ＡＰｉは、特定した読み取り方式に対応するデバイス３０７を設定する（ステップＳ１３０７）。

そして、アクセス制御装置ＡＰｉは、設定したデバイス３０７から、特定した合図を発行する（ステップＳ１３０８）。つぎに、アクセス制御装置ＡＰｉは、端末ＴｊとＴＬＳ接続を開始する（ステップＳ１３０９）。

つぎに、アクセス制御装置ＡＰｉは、プログラムＤＢ６００を参照して、種別が「ｆｉｒｓｔＰｒｇ」で、かつ、特定した読み取り方式に対応する制御プログラムＰｒｇ１を特定する（ステップＳ１３１０）。そして、アクセス制御装置ＡＰｉは、特定した制御プログラムＰｒｇ１を端末Ｔｊに送信して（ステップＳ１３１１）、図１４に示すステップＳ１４０１に移行する。

また、ステップＳ１３０５において、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｆａｌｓｅ」の場合（ステップＳ１３０５：Ｎｏ）、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応するＩＤおよび属性を特定する（ステップＳ１３１２）。

つぎに、アクセス制御装置ＡＰｉは、プログラムＤＢ６００を参照して、種別が「ａｕｔｈＰｒｇ」で、かつ、特定したＩＤおよび属性に対応する制御プログラムＰｒｇ２を特定する（ステップＳ１３１３）。そして、アクセス制御装置ＡＰｉは、特定した制御プログラムＰｒｇ２を端末Ｔｊに送信して（ステップＳ１３１４）、図１４に示すステップＳ１４０１に移行する。

図１４のフローチャートにおいて、まず、アクセス制御装置ＡＰｉは、端末Ｔｊから応答を受信したか否かを判断する（ステップＳ１４０１）。ここで、アクセス制御装置ＡＰｉは、端末Ｔｊから応答を受信するのを待つ（ステップＳ１４０１：Ｎｏ）。

そして、アクセス制御装置ＡＰｉは、端末Ｔｊから応答を受信した場合（ステップＳ１４０１：Ｙｅｓ）、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応するｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」となっているか否かを判断する（ステップＳ１４０２）。

ここで、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｔｒｕｅ」の場合（ステップＳ１４０２：Ｙｅｓ）、アクセス制御装置ＡＰｉは、第１の認証処理を実行する（ステップＳ１４０３）。第１の認証処理の具体的な処理手順については、図１５を用いて後述する。

つぎに、アクセス制御装置ＡＰｉは、端末Ｔｊが正当である場合に、受信した応答に含まれる端末Ｔｊの公開鍵を、端末ＴｊのＭＡＣアドレスと対応付けて、合図管理ＤＢ５００に登録する（ステップＳ１４０４）。そして、アクセス制御装置ＡＰｉは、端末Ｔｊとの接続処理を行って（ステップＳ１４０５）、本フローチャートによる一連の処理を終了する。この際、端末Ｔｊには、認証成功を示すＲｅｓｕｌｔ信号が送信される。

また、ステップＳ１４０２において、ｆｉｒｓｔＡｕｔｈ ｆｌａｇが「ｆａｌｓｅ」の場合（ステップＳ１４０２：Ｎｏ）、アクセス制御装置ＡＰｉは、第２の認証処理を実行して（ステップＳ１４０６）、端末Ｔｊが正当である場合に、ステップＳ１４０５に移行する。第２の認証処理の具体的な処理手順については、図１６を用いて後述する。

これにより、各端末Ｔｊに証明書等を設定するといった事前設定作業を行うことなく、不正アクセスを防止することができる。

つぎに、図１５を用いて、ステップＳ１４０３に示した第１の認証処理の具体的な処理手順について説明する。

図１５は、第１の認証処理の具体的処理手順の一例を示すフローチャートである。図１５のフローチャートにおいて、まず、アクセス制御装置ＡＰｉは、端末Ｔｊから受信した応答に含まれる認証用データ（あいことば）と、デバイス１０３から発行された合図とが一致するか否かを判断する（ステップＳ１５０１）。

ここで、認証用データと合図とが不一致の場合（ステップＳ１５０１：Ｎｏ）、アクセス制御装置ＡＰｉは、ステップＳ１５０８に移行する。一方、認証用データ（あいことば）と合図とが一致する場合（ステップＳ１５０１：Ｙｅｓ）、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する外部問合せｆｌａｇが「ｔｒｕｅ」となっているか否かを判断する（ステップＳ１５０２）。

ここで、外部問合せｆｌａｇが「ｆａｌｓｅ」の場合（ステップＳ１５０２：Ｎｏ）、アクセス制御装置ＡＰｉは、ステップＳ１５０７に移行する。一方、外部問合せｆｌａｇが「ｔｒｕｅ」の場合（ステップＳ１５０２：Ｙｅｓ）、アクセス制御装置ＡＰｉは、管理者端末２０１に、応答に含まれる認証用データ（顔画像）を送信する（ステップＳ１５０３）。

つぎに、アクセス制御装置ＡＰｉは、管理者端末２０１から応答を受信したか否かを判断する（ステップＳ１５０４）。ここで、管理者端末２０１から応答を受信しなかった場合（ステップＳ１５０４：Ｎｏ）、アクセス制御装置ＡＰｉは、端末ＴｊにＫｅｅｐＡｌｉｖｅ信号を送信して（ステップＳ１５０５）、図１４に示したステップＳ１４０１に移行する。ＫｅｅｐＡｌｉｖｅ信号には、待ち時間が含まれる。

一方、管理者端末２０１から応答を受信した場合（ステップＳ１５０４：Ｙｅｓ）、アクセス制御装置ＡＰｉは、顔画像が正当なユーザのものであることを示す確認結果を含む応答であるか否かを判断する（ステップＳ１５０６）。

ここで、顔画像が正当なユーザのものであることを示す確認結果を含む場合（ステップＳ１５０６：Ｙｅｓ）、アクセス制御装置ＡＰｉは、端末Ｔｊが正当であると判定して（ステップＳ１５０７）、第１の認証処理を呼び出したステップに戻る。

一方、顔画像が正当なユーザのものではないことを示す確認結果を含む場合（ステップＳ１５０６：Ｎｏ）、アクセス制御装置ＡＰｉは、端末Ｔｊにエラー応答を送信して（ステップＳ１５０８）、フローチャートによる一連の処理を終了する。エラー応答は、認証失敗を示すＲｅｓｕｌｔ信号である。

これにより、端末Ｔｊの最初の認証時において、デバイス３０７から発行された合図（あいことば）、あるいは、合図（あいことば）と顔画像とを用いて、端末Ｔｊを認証することができる。

つぎに、図１６を用いて、ステップＳ１４０６に示した第２の認証処理の具体的な処理手順について説明する。

図１６は、第２の認証処理の具体的処理手順の一例を示すフローチャートである。図１６のフローチャートにおいて、まず、アクセス制御装置ＡＰｉは、合図管理ＤＢ５００を参照して、端末ＴｊのＭＡＣアドレスに対応する公開鍵を特定する（ステップＳ１６０１）。

つぎに、アクセス制御装置ＡＰｉは、端末Ｔｊからの応答に含まれる認証用データを、特定した公開鍵で復号する（ステップＳ１６０２）。そして、アクセス制御装置ＡＰｉは、認証用データを正常に復号できたか否かを判断する（ステップＳ１６０３）。

ここで、認証用データを正常に復号できた場合（ステップＳ１６０３：Ｙｅｓ）、アクセス制御装置ＡＰｉは、端末Ｔｊが正当であると判定して（ステップＳ１６０４）、第２の認証処理を呼び出したステップに戻る。

一方、認証用データを正常に復号できなかった場合（ステップＳ１６０３：Ｎｏ）、アクセス制御装置ＡＰｉは、端末Ｔｊにエラー応答を送信して（ステップＳ１６０５）、フローチャートによる一連の処理を終了する。

これにより、端末Ｔｊの２回目以降の認証時において、最初の認証時に登録された端末Ｔｊの鍵情報（公開鍵）を用いて、端末Ｔｊを認証することができる。

（端末Ｔｊのアクセス処理手順）
つぎに、図１７および図１８を用いて、端末Ｔｊのアクセス処理手順について説明する。

図１７および図１８は、端末Ｔｊのアクセス処理手順の一例を示すフローチャートである。図１７のフローチャートにおいて、まず、端末Ｔｊは、ＳＳＩＤが選択されたか否かを判断する（ステップＳ１７０１）。ここで、端末Ｔｊは、ＳＳＩＤが選択されるのを待つ（ステップＳ１７０１：Ｎｏ）。

ＳＳＩＤが選択された場合（ステップＳ１７０１：Ｙｅｓ）、端末Ｔｊは、選択されたＳＳＩＤのアクセス制御装置ＡＰｉに無線ＬＡＮの接続依頼を送信する（ステップＳ１７０２）。そして、端末Ｔｊは、選択されたＳＳＩＤのアクセス制御装置ＡＰｉとのＴＬＳ接続を開始する（ステップＳ１７０３）。

つぎに、端末Ｔｊは、アクセス制御装置ＡＰｉから制御プログラム（制御プログラムＰｒｇ１または制御プログラムＰｒｇ２）を取得すると（ステップＳ１７０４）、制御プログラムにブラウザ起動命令が含まれるか否かを判断する（ステップＳ１７０５）。

ここで、ブラウザ起動命令が含まれる場合（ステップＳ１７０５：Ｙｅｓ）、端末Ｔｊは、アクセス制御装置ＡＰｉの公開鍵に１対１対応したＷｅｂサーバ部１０２５（ｈｔｔｐｓ：／／ｌｏｃａｌｈｏｓｔ／ｘｘｘ）を起動する（ステップＳ１７０６）。

つぎに、端末Ｔｊは、Ｗｅｂサーバ部１０２５のアドレス（ｈｔｔｐｓ：／／ｌｏｃａｌｈｏｓｔ／ｘｘｘ）を読み出すように設定したブラウザを起動する（ステップＳ１７０７）。そして、端末Ｔｊは、ブラウザによりＷｅｂサーバ部１０２５からプログラムを取得して実行する（ステップＳ１７０８）。

この結果、制御プログラムＰｒｇ１の場合には、端末Ｔｊの鍵情報の生成、および、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データの取得が行われる。また、制御プログラムＰｒｇ２の場合には、端末Ｔｊの鍵情報を用いた認証を行うための認証用データの生成が行われる。生成された鍵情報（公開鍵）や認証用データは、特定アドレスに書き込まれる。

つぎに、端末Ｔｊは、特定アドレスへのアクセスがあったか否かを判断する（ステップＳ１７０９）。ここで、特定アドレスへのアクセスがない場合（ステップＳ１７０９：Ｎｏ）、端末Ｔｊは、プログラムを実行してから指定時間経過したか否かを判断する（ステップＳ１７１０）。指定時間は、任意に設定可能である。

ここで、指定時間経過していない場合（ステップＳ１７１０：Ｎｏ）、端末Ｔｊは、ステップＳ１７０９に戻る。一方、指定時間経過した場合（ステップＳ１７１０：Ｙｅｓ）、端末Ｔｊは、アクセス制御装置ＡＰｉにエラー応答を送信して（ステップＳ１７１１）、本フローチャートによる一連の処理を終了する。

また、ステップＳ１７０９において、特定アドレスへのアクセスがあった場合（ステップＳ１７０９：Ｙｅｓ）、端末Ｔｊは、特定アドレスに書き込まれたデータを読み出して（ステップＳ１７１２）、図１８に示すステップＳ１８０１に移行する。

また、ステップＳ１７０５において、ブラウザ起動命令が含まれない場合（ステップＳ１７０５：Ｎｏ）、端末Ｔｊは、取得した制御プログラム（制御プログラムＰｒｇ２）を実行する（ステップＳ１７１３）。この結果、端末Ｔｊの鍵情報を用いた認証を行うための認証用データの生成が行われる。

そして、端末Ｔｊは、生成された認証用データを取得して（ステップＳ１７１４）、図１８に示すステップＳ１８０１に移行する。

図１８のフローチャートにおいて、まず、端末Ｔｊは、アクセス制御装置ＡＰｉに応答を送信する（ステップＳ１８０１）。アクセス制御装置ＡＰｉへの応答には、ステップＳ１７１２において読み出されたデータ、または、ステップＳ１７１４において取得された認証用データが含まれる。

つぎに、端末Ｔｊは、アクセス制御装置ＡＰｉから信号を受信したか否かを判断する（ステップＳ１８０２）。ここで、アクセス制御装置ＡＰｉから信号を受信していない場合（ステップＳ１８０２：Ｎｏ）、端末Ｔｊは、アクセス制御装置ＡＰｉに応答を送信してから指定時間経過したか否かを判断する（ステップＳ１８０３）。

ここで、指定時間経過していない場合（ステップＳ１８０３：Ｎｏ）、端末Ｔｊは、ステップＳ１８０２に戻る。一方、指定時間経過した場合（ステップＳ１８０３：Ｙｅｓ）、端末Ｔｊは、本フローチャートによる一連の処理を終了する。

また、ステップＳ１８０２において、アクセス制御装置ＡＰｉから信号を受信した場合（ステップＳ１８０２：Ｙｅｓ）、端末Ｔｊは、Ｒｅｓｕｌｔ信号であるか否かを判断する（ステップＳ１８０４）。ここで、Ｒｅｓｕｌｔ信号の場合（ステップＳ１８０４：Ｙｅｓ）、端末Ｔｊは、認証成功を示すＲｅｓｕｌｔ信号であるか否かを判断する（ステップＳ１８０５）。

ここで、認証成功を示すＲｅｓｕｌｔ信号の場合（ステップＳ１８０５：Ｙｅｓ）、端末Ｔｊは、アクセス制御装置ＡＰｉとの接続処理を行って（ステップＳ１８０６）、本フローチャートによる一連の処理を終了する。一方、認証失敗を示すＲｅｓｕｌｔ信号の場合（ステップＳ１８０５：Ｎｏ）、端末Ｔｊは、アクセス制御装置ＡＰｉとの切断処理を行って（ステップＳ１８０７）、本フローチャートによる一連の処理を終了する。

また、ステップＳ１８０４において、Ｒｅｓｕｌｔ信号ではない場合（ステップＳ１８０４：Ｎｏ）、端末Ｔｊは、ＫｅｅｐＡｌｉｖｅ信号であるか否かを判断する（ステップＳ１８０８）。ここで、ＫｅｅｐＡｌｉｖｅ信号ではない場合（ステップＳ１８０８：Ｎｏ）、端末Ｔｊは、ステップＳ１８０２に戻る。

一方、ＫｅｅｐＡｌｉｖｅ信号の場合（ステップＳ１８０８：Ｙｅｓ）、端末Ｔｊは、ＫｅｅｐＡｌｉｖｅ信号に含まれる待ち時間分待機して（ステップＳ１８０９）、ステップＳ１８０１に戻る。

これにより、アクセス制御装置ＡＰｉから配信されたプログラム（制御プログラムＰｒｇ１，Ｐｒｇ２）を実行することで、端末Ｔｊの認証を行うことができる。

以上説明したように、実施の形態１にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊから無線通信による接続依頼を受け付けたことに応じて、端末Ｔｊに応じた読み取り方式に対応するデバイス３０７から合図を発行し、端末Ｔｊに対して制御プログラムＰｒｇ１を送信することができる。制御プログラムＰｒｇ１は、端末Ｔｊの鍵情報（公開鍵と秘密鍵とのペア）の生成、および、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行うプログラムである。また、アクセス制御装置ＡＰｉによれば、端末Ｔｊから鍵情報（公開鍵）と認証用データとを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末Ｔｊの正当性を判定することができる。そして、アクセス制御装置ＡＰｉによれば、端末Ｔｊが正当であると判定した場合、応答に含まれる鍵情報（公開鍵）を端末Ｔｊの識別情報（ＭＡＣアドレス）と対応付けて登録して、端末Ｔｊとの接続処理を行うことができる。

これにより、不正アクセスを防止するための端末Ｔｊへの設定作業にかかる負荷を削減することができる。具体的には、アクセス制御装置ＡＰｉに接続依頼してきた各端末Ｔｊに対して制御プログラムＰｒｇ１を配信して、各端末Ｔｊにおいて鍵情報の生成、認証用データの生成等を自動実行させることができる。このため、例えば、各端末Ｔｊに証明書等を設定するといった事前設定作業をなくすことができ、職員にかかる負荷を削減することができる。また、各端末Ｔｊの認証を行うにあたり、各端末Ｔｊのユーザ（生徒）は、接続先のＳＳＩＤを選択したり、合図（あいことば）を入力したりするといった簡単な操作を行うだけでよいため、小中学校等の学校環境でも適切に運用することができる。

また、実施の形態１にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊから接続依頼を受け付けたことに応じて、端末Ｔｊの識別情報に対応する鍵情報が登録されているか否かを判断することができる。そして、アクセス制御装置ＡＰｉによれば、端末Ｔｊの識別情報に対応する鍵情報が登録されている場合、端末Ｔｊに対して、制御プログラムＰｒｇ２を送信することができる。制御プログラムＰｒｇ２は、端末Ｔｊの鍵情報を用いた認証を行うための認証用データの生成を行うプログラムである。また、アクセス制御装置ＡＰｉによれば、端末Ｔｊから認証用データを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末Ｔｊの正当性を判定することができる。そして、アクセス制御装置ＡＰｉによれば、端末Ｔｊが正当であると判定した場合、端末Ｔｊとの接続処理を行うことができる。

これにより、端末Ｔｊの２回目以降の認証時は、端末Ｔｊの識別情報（ＭＡＣアドレス）と対応付けて登録された鍵情報（公開鍵）を用いて端末Ｔｊを認証可能となり、デバイス３０７からの合図の発行、端末Ｔｊでの合図の取得などを行わなくてもよい。このため、端末Ｔｊの２回目以降の認証時は、例えば、ユーザ（生徒）による合図（あいことば）の入力の手間を削減することができる。

また、実施の形態１にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊに応じた読み取り方式として、端末Ｔｊの入力装置４０５を用いた操作入力によって、プロジェクタ３０８により表示された合図の入力を受け付けることにより、入力された合図を読み取る方式を採用することができる。これにより、例えば、教室内にいる生徒にだけ見えるように合図（あいことば）を発行することで、アクセス制御装置ＡＰｉを介したネットワーク２１０へのアクセスを許可するユーザを制限することができる。

また、実施の形態１にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊに応じた読み取り方式として、ビーコン発信機３１０から発信されるビーコン信号を受信することにより、受信されたビーコン信号が示す合図を読み取る方式を採用することができる。これにより、例えば、教室内にいる生徒の端末Ｔｊにだけ届くようなＢＬＥのビーコン信号を発行することで、アクセス制御装置ＡＰｉを介したネットワーク２１０へのアクセスを許可するユーザを制限することができる。また、端末Ｔｊのユーザ（生徒）による合図の入力操作が不要となるため、低学年の児童を対象とするような環境にも導入しやすい。

また、実施の形態１にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊに応じた読み取り方式として、リーダライタ装置３０９に書き込まれた合図を読み取る方式を採用することができる。これにより、例えば、教室内にいる生徒だけが端末Ｔｊをかざせるような位置にアクセス制御装置ＡＰｉ（リーダライタ装置３０９）を設置することで、アクセス制御装置ＡＰｉを介したネットワーク２１０へのアクセスを許可するユーザを制限することができる。

（実施の形態２）
つぎに、実施の形態２にかかるアクセス制御システム１９００について説明する。なお、実施の形態１で説明した箇所と同様の箇所については、同一符合を付して図示および説明を省略する。

図１９は、アクセス制御システム１９００の機能的構成例を示すブロック図である。図１９において、アクセス制御装置ＡＰｉは、接続部１０１１と、配信部１０１２と、発行部１０１３と、認証部１０１４と、を含む。また、端末Ｔｊは、接続部１０２１と、実行部１０２２と、合図取得部１０２３と、を含む。以下、実施の形態１とは異なる機能部について説明する。

実施の形態１で説明したように、制御プログラムＰｒｇ１は、端末Ｔｊの鍵情報の生成、および、端末Ｔｊに応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行うプログラムである。実施の形態２では、制御プログラムＰｒｇ１は、さらに、制御プログラムＰｒｇ１のサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報の取得を行うプログラムとする。

具体的には、端末Ｔｊの実行部１０２２は、プログラム動作管理部１０２４と、Ｗｅｂサーバ部１０２５と、合図蓄積部１０２６と、動作保証部１９０１と、を含む。ここで、動作保証部１９０１は、実行部１０２２により実行された制御プログラムＰｒｇ１のサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報を取得する。

制御プログラムＰｒｇ１のサイズは、制御プログラムＰｒｇ１の情報量（データサイズ）である。制御プログラムＰｒｇ１の実行時刻は、制御プログラムＰｒｇ１の実行が開始された時刻である。制御プログラムＰｒｇ１のハッシュ値は、ハッシュ関数を用いて得られる値である。

以下の説明では、実行部１０２２により実行された制御プログラムＰｒｇ１のサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報を「動作情報」と表記する場合がある。

この場合、制御プログラムＰｒｇ１が実行された結果、端末Ｔｊの合図蓄積部１０２６は、生成された端末Ｔｊの鍵情報と、取得された端末Ｔｊの認証用データと、取得された動作情報とを含む応答をアクセス制御装置ＡＰｉに送信する。動作情報は、端末Ｔｊにおいて、アクセス制御装置ＡＰｉから配信された制御プログラムＰｒｇ１が実行されたことを保証するためのものである。

この場合、アクセス制御装置ＡＰｉの認証部１０１４は、端末Ｔｊから鍵情報と認証用データと動作情報とを含む応答を受け付ける。そして、認証部１０１４は、さらに、応答に含まれる動作情報に基づいて、端末Ｔｊの正当性を判定する。

例えば、動作情報を、端末Ｔｊで実行された制御プログラムＰｒｇ１のサイズとする。この場合、認証部１０１４は、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１のサイズと、端末Ｔｊに対して送信した制御プログラムＰｒｇ１のサイズとを比較する。そして、認証部１０１４は、制御プログラムＰｒｇ１のサイズが一致しない場合、端末Ｔｊが正当ではないと判定する。すなわち、認証部１０１４は、応答に含まれる認証用データと合図とが一致し、かつ、制御プログラムＰｒｇ１のサイズが一致する場合に、端末Ｔｊが正当であると判定する。

また、動作情報を、端末Ｔｊで実行された制御プログラムＰｒｇ１の実行時間とする。この場合、認証部１０１４は、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１の実行時刻と、端末Ｔｊに対して制御プログラムＰｒｇ１を送信した時刻との時間差を算出する。なお、端末Ｔｊに制御プログラムＰｒｇ１を送信した時刻は、例えば、メモリ３０２、ディスク３０４などに記憶されている。

そして、認証部１０１４は、算出した時間差が所定時間以上の場合、端末Ｔｊが正当ではないと判定する。所定時間は、任意に設定可能であり、例えば、数秒程度の時間に設定される。すなわち、認証部１０１４は、応答に含まれる認証用データと合図とが一致し、かつ、算出した時間差が所定時間未満の場合に、端末Ｔｊが正当であると判定する。

また、動作情報を、端末Ｔｊで実行された制御プログラムＰｒｇ１のハッシュ値とする。この場合、認証部１０１４は、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１のハッシュ値と、端末Ｔｊに対して送信した制御プログラムＰｒｇ１のハッシュ値とを比較する。そして、認証部１０１４は、制御プログラムＰｒｇ１のハッシュ値が一致しない場合、端末Ｔｊが正当ではないと判定する。すなわち、認証部１０１４は、応答に含まれる認証用データと合図とが一致し、かつ、制御プログラムＰｒｇ１のハッシュ値が一致する場合に、端末Ｔｊが正当であると判定する。

なお、端末Ｔｊの動作保証部１９０１は、制御プログラムＰｒｇ２について、動作情報（サイズ、実行時刻、ハッシュ値）を取得することにしてもよい。この場合、制御プログラムＰｒｇ２が実行された結果、端末Ｔｊの合図蓄積部１０２６は、生成された端末Ｔｊの認証用データと、取得された動作情報とを含む応答をアクセス制御装置ＡＰｉに送信することにしてもよい。そして、アクセス制御装置１０１の認証部１０１４は、さらに、応答に含まれる動作情報に基づいて、端末Ｔｊの正当性を判定することにしてもよい。

以上説明したように、実施の形態２にかかるアクセス制御装置ＡＰｉによれば、端末Ｔｊから鍵情報と認証用データと動作情報とを含む応答を受け付けると、さらに、応答に含まれる動作情報に基づいて、端末Ｔｊの正当性を判定することができる。動作情報は、制御プログラムＰｒｇ１のサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報である。

これにより、アクセス制御装置ＡＰｉに対するＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃を防ぐことができる。例えば、アクセス制御装置ＡＰｉによれば、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１のサイズと、端末Ｔｊに対して送信した制御プログラムＰｒｇ１のサイズとが一致しない場合、端末Ｔｊが正当ではないと判定することができる。これにより、端末Ｔｊに配信した制御プログラムＰｒｇ１とは異なるプログラムを用いてアクセスしてきた攻撃者端末を検出することができる。

また、例えば、アクセス制御装置ＡＰｉによれば、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１の実行時刻と、端末Ｔｊに制御プログラムＰｒｇ１を配信した時刻との時間差が所定時間以上の場合に、端末Ｔｊが正当ではないと判定することができる。これにより、制御プログラムＰｒｇ１が配信されてから実行されるまでに所定時間以上のタイムラグがある場合に、攻撃者端末からのアクセスである可能性があることを検出することができる。

また、例えば、アクセス制御装置ＡＰｉによれば、端末Ｔｊからの応答に含まれる制御プログラムＰｒｇ１のハッシュ値と、端末Ｔｊに配信した制御プログラムＰｒｇ１のハッシュ値とが一致しない場合、端末Ｔｊが正当ではないと判定することができる。これにより、端末Ｔｊに配信した制御プログラムＰｒｇ１とは異なるプログラムを用いてアクセスしてきた攻撃者端末を検出することができる。

（実施の形態３）
つぎに、実施の形態３にかかるアクセス制御システム２０００について説明する。なお、実施の形態１，２で説明した箇所と同様の箇所については、同一符合を付して図示および説明を省略する。

実施の形態３では、端末ＴｊのＭＡＣアドレスに対応する読み取り方式を「ＮＦＣ」とする。また、端末Ｔｊに応じた読み取り方式に対応するデバイス３０７、すなわち、リーダライタ装置３０９から発行される合図を、端末Ｔｊを認証するための「あいことば」を示すものとする。

ここで、合図（あいことば）の発行・取得に、ＮＦＣのリーダライタ装置を用いる場合、合図発行側のリーダライタ装置と合図取得側のリーダライタ装置との間に、攻撃用ＮＦＣを設けることで、中間者攻撃を受ける可能性がある。例えば、合図発行側のリーダライタ装置に攻撃用ＮＦＣを重ねて置き、それにシートを被せて隠すといった手口がある。

そこで、実施の形態３では、ユーザ（生徒）がアクセス制御装置ＡＰｉのリーダライタ装置３０９に端末Ｔｊをかざしたときの時刻と、ＮＦＣのセッションが確立されたときの時刻とを用いて、中間者攻撃を検知する場合について説明する。

図２０は、アクセス制御システム２０００の動作例を示す説明図である。端末Ｔｊのユーザ（生徒）は、アクセス制御装置ＡＰｉのリーダライタ装置３０９に端末Ｔｊをかざすことで、端末Ｔｊのリーダライタ装置４０７により、リーダライタ装置３０９のタグに書き込まれた合図を読み取る。

より詳細に説明すると、例えば、端末Ｔｊの合図取得部１０２３は、リーダライタ装置４０７により、アクセス制御装置ＡＰｉのリーダライタ装置３０９に対して、ＮＦＣによる通信要求を送信する。この通信要求には、例えば、セッションを識別するＮＦＣ ＩＤが含まれる。

つぎに、アクセス制御装置ＡＰｉの発行部１０１３は、リーダライタ装置３０９により、ＮＦＣによる通信要求を受け付けると、当該通信要求を受け付けた時刻Ｔ１を記録する。そして、アクセス制御装置ＡＰｉの発行部１０１３は、リーダライタ装置３０９により、端末Ｔｊのリーダライタ装置４０７に対してＡｃｋ（ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）を送信する。

つぎに、端末Ｔｊの合図取得部１０２３は、リーダライタ装置４０７により、ＮＦＣによる通信要求に対するＡｃｋを受け付けると、当該Ａｃｋを受け付けた時刻Ｔ２を記録する。そして、端末Ｔｊの合図取得部１０２３は、リーダライタ装置４０７により、アクセス制御装置ＡＰｉのリーダライタ装置３０９とのＮＦＣのセッションを開始する。

この際、端末Ｔｊの合図取得部１０２３は、ＮＦＣのセッションが確立された時刻Ｔ３を記録する。同様に、アクセス制御装置ＡＰｉの発行部１０１３は、ＮＦＣのセッションが確立された時刻Ｔ４を記録する。そして、端末Ｔｊの合図取得部１０２３は、リーダライタ装置４０７により、リーダライタ装置３０９のタグに書き込まれた値α（あいことば）を読み取る。

この場合、端末Ｔｊの合図蓄積部１０２６は、例えば、取得された値αと、記録された時刻Ｔ２，Ｔ３を示す情報とを認証用データとして、端末Ｔｊの鍵情報と認証用データとを含む応答をアクセス制御装置ＡＰｉに送信する。ただし、時刻Ｔ２，Ｔ３を示す情報は、認証用データに含めないことにしてもよい。

アクセス制御装置ＡＰｉの認証部１０１４は、端末Ｔｊから鍵情報と認証用データとを含む応答を受け付けると、応答に含まれる認証用データに基づいて、端末Ｔｊの正当性を判定する。具体的には、例えば、認証部１０１４は、応答に含まれる値αと、リーダライタ装置３０９のタグに書き込まれた合図とが一致するか否かを判断する。

さらに、認証部１０１４は、端末ＴｊからＮＦＣによる通信要求を受け付けてから、端末Ｔｊとのセッションが確立されるまでの時間が所定時間以上であるか否かを判断する。所定時間は、任意に設定可能であり、ＮＦＣ以外の通信、例えば、攻撃用ＮＦＣを介したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の通信が発生している可能性があると判断できる時間（数十マイクロ秒程度）に設定される。

より詳細に説明すると、例えば、認証部１０１４は、時刻Ｔ１と時刻Ｔ４との時間差（Ｔ４−Ｔ１）が所定時間以上であるか否かを判断する。そして、認証部１０１４は、値αと合図とが一致し、かつ、時間差（Ｔ４−Ｔ１）が所定時間未満の場合に、端末Ｔｊが正当であると判定する。一方、値αと合図とが一致しない、または、時間差（Ｔ４−Ｔ１）が所定時間以上の場合には、認証部１０１４は、端末Ｔｊが正当ではないと判定する。

また、端末Ｔｊからの応答に、時刻Ｔ２，Ｔ３を示す情報が含まれている場合がある。この場合、認証部１０１４は、時刻Ｔ１と時刻Ｔ４との時間差（Ｔ４−Ｔ１）から時刻Ｔ２と時刻Ｔ３との時間差（Ｔ３−Ｔ２）を引いた時間「（Ｔ４−Ｔ１）−（Ｔ３−Ｔ２）」が、所定時間以上であるか否かを判断することにしてもよい。これにより、端末Ｔｊの負荷に応じて変動するセッションの確立にかかる時間（Ｔ３−Ｔ２）を考慮することができる。

以上説明したように、実施の形態３にかかるアクセス制御装置ＡＰｉによれば、端末ＴｊからＮＦＣによる通信要求を受け付けてから、端末Ｔｊとのセッションが確立されるまでの時間が所定時間以上の場合に、端末Ｔｊが正当ではないと判定することができる。これにより、アクセス制御装置ＡＰｉのリーダライタ装置３０９と端末Ｔｊのリーダライタ装置４０７との間に設けられる攻撃用ＮＦＣによる中間者攻撃を検知することができる。

（実施の形態４）
つぎに、実施の形態４にかかるアクセス制御システム２１００について説明する。なお、実施の形態１〜３で説明した箇所と同様の箇所については、同一符合を付して図示および説明を省略する。

図２１は、アクセス制御システム２１００の動作例を示す説明図である。ここでは、アクセス制御システム２１００内のアクセス制御装置ＡＰ１〜ＡＰｎのうち、アクセス制御装置ＡＰ１〜ＡＰ３を例に挙げて説明する。また、アクセス制御装置ＡＰ１は、教室Ａに設置されているとする。アクセス制御装置ＡＰ２は、教室Ｂに設置されているとする。アクセス制御装置ＡＰ３は、実験室に設置されているとする。

各アクセス制御装置ＡＰ１〜ＡＰ３は、各アクセス制御装置ＡＰ１〜ＡＰ３の設置場所を示す情報を、例えば、各アクセス制御装置ＡＰ１〜ＡＰ３のＭＡＣアドレスと対応付けて、メモリ３０２、ディスク３０４などの記憶装置に記憶している。

アクセス制御システム２１００において、各アクセス制御装置ＡＰ１〜ＡＰ３は、ビーコン発信機３１０から自装置を特定可能な情報（ビーコン値）を示すビーコン信号を定期的に発信する。各アクセス制御装置ＡＰ１〜ＡＰ３を特定可能な情報（ビーコン値）は、例えば、各アクセス制御装置ＡＰ１〜ＡＰ３を一意に識別する番号であってもよく、また、各アクセス制御装置ＡＰ１〜ＡＰ３のＭＡＣアドレスであってもよい。

各端末Ｔｊは、ビーコン受信機４０８により、各アクセス制御装置ＡＰ１〜ＡＰ３から、各アクセス制御装置ＡＰ１〜ＡＰ３を特定可能な情報（ビーコン値）を示すビーコン信号を受信すると、受信時刻と対応付けて、ビーコン値をビーコン受信履歴２１０１に保存する。ビーコン受信履歴２１０１は、例えば、メモリ４０２により実現される。

ここで、ビーコン値は、端末Ｔｊと近距離無線通信を行ったアクセス制御装置ＡＰｉを特定可能な情報である。換言すれば、ビーコン値は、当該ビーコン値に対応する受信時刻における端末Ｔｊの位置を特定可能な情報である。

アクセス制御装置ＡＰｉは、端末Ｔｊからビーコン受信履歴２１０１を取得する。ビーコン受信履歴２１０１の取得タイミングは、例えば、端末Ｔｊとの接続中の所定のタイミングである。ただし、ビーコン受信履歴２１０１の取得タイミングは、端末Ｔｊの最初の認証時であってもよく、また、端末Ｔｊの２回目以降の認証時であってもよい。

具体的には、例えば、アクセス制御装置ＡＰｉは、ビーコン発信機３１０により、端末Ｔｊの位置を特定可能な情報の取得要求を示すビーコン信号（位置要求）を合図として発信する。各端末Ｔｊは、ビーコン受信機４０８により、アクセス制御装置ＡＰｉからビーコン信号（位置要求）を受信すると、自端末の位置を特定可能な情報、例えば、ビーコン受信履歴２１０１をメモリ４０２から読み出す。そして、各端末Ｔｊは、ＷＬＡＮ Ｉ／Ｆ４０３により、読み出した自端末の位置を特定可能な情報、例えば、ビーコン受信履歴２１０１を含む応答をアクセス制御装置ＡＰｉに送信する。

アクセス制御装置ＡＰｉは、接続中の各端末Ｔｊから、各端末Ｔｊの位置を特定可能な情報（例えば、ビーコン受信履歴２１０１）を含む応答を受信する。これにより、アクセス制御装置ＡＰｉは、接続中の各端末Ｔｊから、各端末Ｔｊの位置を特定可能な情報、例えば、ビーコン受信履歴２１０１を取得することができる。

アクセス制御装置ＡＰｉの認証部１０１４は、接続中の各端末Ｔｊから、各端末Ｔｊの位置を特定可能な情報を含む応答を受け付けると、当該応答に含まれる各端末Ｔｊの位置を特定可能な情報に基づいて、各端末Ｔｊの位置の時系列変化を特定する。例えば、認証部１０１４は、端末Ｔｊのビーコン受信履歴２１０１を参照して、各ビーコン値から特定されるアクセス制御装置ＡＰｉの設置位置を、当該各ビーコン値に対応する受信時刻における端末Ｔｊの位置として特定することができる。そして、認証部１０１４は、特定した各端末Ｔｊの位置の時系列変化に基づいて、各端末Ｔｊの正当性を判定する。

ここで、図２２を用いて、各端末Ｔｊの位置の時系列変化に基づく正当性の判定例について説明する。ここでは、アクセス制御装置ＡＰｉに接続中の複数の端末を「端末Ｔ１〜Ｔ３」とする。

図２２は、各端末Ｔ１〜Ｔ３の位置の時系列変化を示す説明図である。図２２において、アクセス制御装置ＡＰｉに接続中の各端末Ｔ１〜Ｔ３のビーコン受信履歴２１０１から特定された各端末Ｔ１〜Ｔ３の位置の時系列変化が示されている。ここでは、時刻ｔにおいて、各端末Ｔ１〜Ｔ３の正当性を判定するとする。

なお、アクセス制御装置ＡＰｉは、時刻ｔにおいて端末Ｔ１〜Ｔ３が接続中のアクセス制御装置であり、アクセス制御装置ＡＰ１〜ＡＰ３のいずれかであってもよく、また、アクセス制御装置ＡＰ１〜ＡＰ３とは異なる他のアクセス制御装置であってもよい。

この場合、アクセス制御装置ＡＰｉの認証部１０１４は、例えば、各端末Ｔ１〜Ｔ３の位置の時系列変化を比較して、各端末Ｔ１〜Ｔ３の正当性を判定する。図２２の例では、端末Ｔ１の位置は、「教室Ａ⇒教室Ｂ」と変化している。また、端末Ｔ２の位置は、「教室Ａ⇒教室Ｂ」と変化している。これに対して、端末Ｔ３の位置は、「教室Ａ⇒実験室」と変化している。

すなわち、端末Ｔ１〜Ｔ３のうち、端末Ｔ３のみ位置の時系列変化が異なる。例えば、同じクラスの生徒であれば、全生徒で位置の時系列変化は同じものとなることが想定される。換言すれば、無線ＬＡＮを利用中の複数の生徒のうち、位置の時系列変化が他の生徒と異なる生徒は、無線ＬＡＮを不正に利用している可能性がある。

そこで、認証部１０１４は、端末Ｔ１〜Ｔ３のうち、位置の時系列変化が他の端末Ｔ１，Ｔ２と異なる端末Ｔ３について、正当ではないと判定する。認証部１０１４は、端末Ｔ３が正当ではないと判定した場合、端末Ｔ３に関するアラートを出力する。ここで、アラートは、無線ＬＡＮに不正にアクセスしている可能性があることを警告するものである。アラートの出力先は、例えば、管理者端末２０１である。

また、認証部１０１４は、端末Ｔ３が正当ではないと判定した場合、端末Ｔ３との接続を切断する切断処理を行うことにしてもよい。また、認証部１０１４は、端末Ｔ３が正当ではないと判定した場合、合図管理ＤＢ５００内の端末Ｔ３の鍵情報（公開鍵）を削除して、ｆｉｒｓｔＡｕｔｈ ｆｌａｇを初期化（ｔｒｕｅ）することにしてもよい。

以上説明したように、実施の形態４にかかるアクセス制御装置ＡＰｉによれば、自装置に接続中の端末間（あるいは、自装置に接続依頼してきた端末間）の過去の位置の相関から不正にアクセスしている端末Ｔｊを検出して排除することができる。

なお、本実施の形態で説明したアクセス制御方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本アクセス制御プログラムは、ハードディスク、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）−ＲＯＭ、ＭＯ（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本アクセス制御プログラムは、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）端末から無線通信による接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、
前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、
前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行う、
制御部を有することを特徴とするアクセス制御装置。

（付記２）前記制御部は、
端末から無線通信による接続依頼を受け付けたことに応じて、前記端末の識別情報に対応する鍵情報が登録されているか否かを判断し、
前記鍵情報が登録されている場合、前記端末に対して、前記鍵情報を用いた認証を行うための認証用データの生成を行う第２の制御プログラムを送信し、
前記端末から認証用データを含む応答を受け付けると、前記応答に含まれる認証用データと前記鍵情報とに基づいて、前記端末の正当性を判定し、
前記端末が正当であると判定した場合に、前記端末との接続処理を行う、
ことを特徴とする付記１に記載のアクセス制御装置。

（付記３）前記デバイスは、表示装置であり、
前記端末に応じた読み取り方式は、前記端末の入力装置を用いた操作入力によって、前記デバイスにより表示された合図の入力を受け付けることにより、入力された前記合図を読み取る方式である、ことを特徴とする付記１に記載のアクセス制御装置。

（付記４）前記デバイスは、前記無線通信よりも通信範囲が狭い第１の近距離無線通信によりビーコン信号を発信する発信機であり、
前記端末に応じた読み取り方式は、前記デバイスから発信されるビーコン信号を受信することにより、受信された前記ビーコン信号が示す合図を読み取る方式である、ことを特徴とする付記１に記載のアクセス制御装置。

（付記５）前記デバイスは、前記無線通信よりも通信範囲が狭い第２の近距離無線通信によりデータの読み書きを行うリーダライタ装置であり、
前記端末に応じた読み取り方式は、前記デバイスに書き込まれた合図を読み取る方式である、ことを特徴とする付記１に記載のアクセス制御装置。

（付記６）前記デバイスから発行される合図は、あいことばを示すものであり、
前記制御部は、前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データと、前記デバイスから発行した合図とが一致する場合、前記端末が正当であると判定する、ことを特徴とする付記１〜５のいずれか一つに記載のアクセス制御装置。

（付記７）前記制御プログラムは、さらに、前記制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報の取得を行うプログラムであり、
前記制御部は、前記端末で実行した制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報をさらに含む応答を受け付けると、さらに、前記応答に含まれる前記端末で実行した制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報に基づいて、前記端末の正当性を判定する、
ことを特徴とする付記１〜６のいずれか一つに記載のアクセス制御装置。

（付記８）前記制御部は、前記応答に含まれる前記端末で実行した制御プログラムのサイズと、前記端末に対して送信した前記制御プログラムのサイズとが一致しない場合、前記端末が正当ではないと判定する、ことを特徴とする付記７に記載のアクセス制御装置。

（付記９）前記制御部は、前記応答に含まれる前記端末で実行した制御プログラムのハッシュ値と、前記端末に対して送信した前記制御プログラムのハッシュ値とが一致しない場合、前記端末が正当ではないと判定する、ことを特徴とする付記７または８に記載のアクセス制御装置。

（付記１０）前記制御部は、前記応答に含まれる前記端末で実行した制御プログラムの実行時刻と、前記端末に対して前記制御プログラムを送信した時刻との時間差が所定時間以上の場合、前記端末が正当ではないと判定する、ことを特徴とする付記７〜９のいずれか一つに記載のアクセス制御装置。

（付記１１）前記制御部は、前記端末から前記第２の近距離無線通信による通信要求を受け付けてから、前記端末とのセッションが確立されるまでの時間が所定時間以上の場合、前記端末が正当ではないと判定する、ことを特徴とする付記５に記載のアクセス制御装置。

（付記１２）前記制御部は、
端末の位置を特定可能な情報を要求する合図を前記デバイスから発行し、
接続中の複数の端末それぞれから位置を特定可能な情報を含む応答を受け付けると、前記応答に含まれる前記位置を特定可能な情報に基づいて、前記複数の端末それぞれの位置の時系列変化を特定し、
特定した前記複数の端末それぞれの位置の時系列変化に基づいて、前記複数の端末それぞれの正当性を判定し、
前記複数の端末のうちのいずれかの端末が正当ではないと判定した場合、前記端末に関するアラートを出力する、
ことを特徴とする付記４に記載のアクセス制御装置。

（付記１３）前記デバイスから発行される合図は、顔画像を要求するものであり、
前記制御プログラムは、前記認証用データとして、前記端末の利用者の顔画像の取得を行うプログラムであり、
前記制御部は、
前記端末から鍵情報と顔画像とを含む応答を受け付けると、前記応答に含まれる顔画像を、特定の端末に送信し、
前記特定の端末からの応答を受け付けると、前記特定の端末からの応答内容に基づいて、前記端末の正当性を判定する、
ことを特徴とする付記１または２に記載のアクセス制御装置。

（付記１４）端末から無線通信による接続依頼を受け付け、
前記接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、
前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、
前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行う、
処理をコンピュータに実行させることを特徴とするアクセス制御プログラム。

（付記１５）端末から無線通信による接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行うアクセス制御装置と、
無線通信による接続依頼を行ったアクセス制御装置から前記制御プログラムを受信すると、前記制御プログラムを実行することにより、自端末の鍵情報を生成するとともに、自端末に応じた読み取り方式により読み取られる合図に応じた認証用データを取得し、生成した前記鍵情報および取得した前記認証用データを含む応答を前記アクセス制御装置に送信する端末と、
を含むことを特徴とするアクセス制御システム。

１０１，ＡＰ１〜ＡＰｎ，ＡＰｉ アクセス制御装置
１０２，Ｔ１〜Ｔｍ，Ｔｊ 端末
１０３，３０７ デバイス
１０４，Ｐｒｇ１，Ｐｒｇ２ 制御プログラム
１０５ 鍵情報
１１０ 記憶部
２００，１９００，２０００，２１００ アクセス制御システム
２０１ 管理者端末
２０２ サーバ
２１０ ネットワーク
３００，４００ バス
３０１，４０１ ＣＰＵ
３０２，４０２ メモリ
３０３ ディスクドライブ
３０４ ディスク
３０５ 公衆網Ｉ／Ｆ
３０６，４０３ ＷＬＡＮ Ｉ／Ｆ
３０８ プロジェクタ
３０９，４０７ リーダライタ装置
３１０ ビーコン発信機
４０４ ディスプレイ
４０５ 入力装置
４０６ カメラ
４０８ ビーコン受信機
５００ 合図管理ＤＢ
６００ プログラムＤＢ
７００ 鍵管理ＤＢ
８００ 合図入力画面
９００ 読み取り中画面
１０１１，１０２１ 接続部
１０１２ 配信部
１０１３ 発行部
１０１４ 認証部
１０２２ 実行部
１０２３ 合図取得部
１０２４ プログラム動作管理部
１０２５ Ｗｅｂサーバ部
１０２６ 合図蓄積部
１２００ 顔画像確認画面
１２０１，１２０２，１２０３ 顔画像
１９０１ 動作保証部
２１０１ ビーコン受信履歴

Claims (12)

1. 端末から無線通信による接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、
   前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、
   前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行う、
   制御部を有することを特徴とするアクセス制御装置。
2. 前記制御部は、
   端末から無線通信による接続依頼を受け付けたことに応じて、前記端末の識別情報に対応する鍵情報が登録されているか否かを判断し、
   前記鍵情報が登録されている場合、前記端末に対して、前記鍵情報を用いた認証を行うための認証用データの生成を行う第２の制御プログラムを送信し、
   前記端末から認証用データを含む応答を受け付けると、前記応答に含まれる認証用データと前記鍵情報とに基づいて、前記端末の正当性を判定し、
   前記端末が正当であると判定した場合に、前記端末との接続処理を行う、
   ことを特徴とする請求項１に記載のアクセス制御装置。
3. 前記デバイスは、表示装置であり、
   前記端末に応じた読み取り方式は、前記端末の入力装置を用いた操作入力によって、前記デバイスにより表示された合図の入力を受け付けることにより、入力された前記合図を読み取る方式である、ことを特徴とする請求項１に記載のアクセス制御装置。
4. 前記デバイスは、前記無線通信よりも通信範囲が狭い第１の近距離無線通信によりビーコン信号を発信する発信機であり、
   前記端末に応じた読み取り方式は、前記デバイスから発信されるビーコン信号を受信することにより、受信された前記ビーコン信号が示す合図を読み取る方式である、ことを特徴とする請求項１に記載のアクセス制御装置。
5. 前記デバイスは、前記無線通信よりも通信範囲が狭い第２の近距離無線通信によりデータの読み書きを行うリーダライタ装置であり、
   前記端末に応じた読み取り方式は、前記デバイスに書き込まれた合図を読み取る方式である、ことを特徴とする請求項１に記載のアクセス制御装置。
6. 前記デバイスから発行される合図は、あいことばを示すものであり、
   前記制御部は、前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データと、前記デバイスから発行した合図とが一致する場合、前記端末が正当であると判定する、ことを特徴とする請求項１〜５のいずれか一つに記載のアクセス制御装置。
7. 前記制御プログラムは、さらに、前記制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報の取得を行うプログラムであり、
   前記制御部は、前記端末で実行した制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報をさらに含む応答を受け付けると、さらに、前記応答に含まれる前記端末で実行した制御プログラムのサイズ、実行時刻およびハッシュ値の少なくともいずれかの情報に基づいて、前記端末の正当性を判定する、
   ことを特徴とする請求項１〜６のいずれか一つに記載のアクセス制御装置。
8. 前記制御部は、前記端末から前記第２の近距離無線通信による通信要求を受け付けてから、前記端末とのセッションが確立されるまでの時間が所定時間以上の場合、前記端末が正当ではないと判定する、ことを特徴とする請求項５に記載のアクセス制御装置。
9. 前記制御部は、
   端末の位置を特定可能な情報を要求する合図を前記デバイスから発行し、
   接続中の複数の端末それぞれから位置を特定可能な情報を含む応答を受け付けると、前記応答に含まれる前記位置を特定可能な情報に基づいて、前記複数の端末それぞれの位置の時系列変化を特定し、
   特定した前記複数の端末それぞれの位置の時系列変化に基づいて、前記複数の端末それぞれの正当性を判定し、
   前記複数の端末のうちのいずれかの端末が正当ではないと判定した場合、前記端末に関するアラートを出力する、
   ことを特徴とする請求項４に記載のアクセス制御装置。
10. 前記デバイスから発行される合図は、顔画像を要求するものであり、
    前記制御プログラムは、前記認証用データとして、前記端末の利用者の顔画像の取得を行うプログラムであり、
    前記制御部は、
    前記端末から鍵情報と顔画像とを含む応答を受け付けると、前記応答に含まれる顔画像を、特定の端末に送信し、
    前記特定の端末からの応答を受け付けると、前記特定の端末からの応答内容に基づいて、前記端末の正当性を判定する、
    ことを特徴とする請求項１または２に記載のアクセス制御装置。
11. 端末から無線通信による接続依頼を受け付け、
    前記接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、
    前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、
    前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行う、
    処理をコンピュータに実行させることを特徴とするアクセス制御プログラム。
12. 端末から無線通信による接続依頼を受け付けたことに応じて、前記端末に応じた読み取り方式に対応するデバイスから合図を発行し、前記端末に対して、前記端末の鍵情報の生成、および、前記端末に応じた読み取り方式により読み取られる合図に応じた認証用データの取得を行う制御プログラムを送信し、前記端末から鍵情報と認証用データとを含む応答を受け付けると、前記応答に含まれる認証用データに基づいて、前記端末の正当性を判定し、前記端末が正当であると判定した場合、前記応答に含まれる鍵情報を前記端末の識別情報と対応付けて登録して、前記端末との接続処理を行うアクセス制御装置と、
    無線通信による接続依頼を行ったアクセス制御装置から前記制御プログラムを受信すると、前記制御プログラムを実行することにより、自端末の鍵情報を生成するとともに、自端末に応じた読み取り方式により読み取られる合図に応じた認証用データを取得し、生成した前記鍵情報および取得した前記認証用データを含む応答を前記アクセス制御装置に送信する端末と、
    を含むことを特徴とするアクセス制御システム。

Images