JP3505058B2 - ネットワークシステムのセキュリティ管理方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、クライアントとサ
ーバを有するネットワークシステムのセキュリティ管理
方法に係わり、特にユーザの一元管理を行い、ユーザに
対して証明証を利用するシングルサインオン機能を提供
するネットワークシステムのセキュリティ管理方法に関
する。

【０００２】

【従来の技術】インターネットの普及に伴ってセキュリ
ティ管理をめぐる市場動向はめざましく変化している。
特にインターネットのような広域ネットワークシステム
と企業内ネットワークシステムとを結合するとき、これ
ら両ネットワークを統合するようなユーザ認証機能及び
ネットワークシステム内の資源へのアクセスを制御する
機能が求められている。すなわち広域ネットワークシス
テムと企業内ネットワークシステムの両者に亘ったユー
ザの一元管理とネットワーク資源の集中管理が望まれ
る。

【０００３】広域ネットワークシステムを利用するユー
ザを一元管理する方法として、例えば特開平６−２２３
０４１号公報に記載されるように利用者の個人情報と利
用環境情報を秘密鍵によって暗号化した情報を証明書と
して発行し、利用者がこの証明書を利用してシステムに
ログインする方法がある。また分散システムを考慮する
セキュリティ管理方法として、例えば特開平８−１０６
４３７号公報に記載されるように、ユ−ザがそのホーム
ドメインでないドメインへアクセスするときその資格認
定を証明するログオン証明書を利用する方法がある。ま
た特開平７ー１４１２９６号公報は、ネットワークドメ
インをまたがってセキュリティを管理するＴＴＰ（Ｔｒ
ｕｓｔｅｄ Ｔｈｉｒｄ Ｐａｒｔｙ）を設け、ネット
ワーク全体のセキュリティポリシィの設定、変更及びセ
キュリティポリシィに基づくアクセス制御を行うシステ
ムを開示する。

【０００４】

【発明が解決しようとする課題】以上述べたように証明
証を利用してユーザ認証及びアクセス制御を行う方式
は、今後の広域ネットワークシステムのセキュリティ管
理方式の１つとして普及するものとみられる。しかし現
実のネットワークシステムを考慮すると、現在の企業ネ
ットワークシステムは、外部の証明証発行機関が発行す
る証明証を利用する方式にすぐに移行したり、ＴＴＰに
よるセキュリティ管理に移行するのが困難であると考え
られる。すなわち現行のユーザＩＤとパスワードによる
ユーザ認証方式を残しながら証明証の利用によるシング
ルサインオン方式を導入していく方法が現実的と考えら
れる。

【０００５】本発明の目的は、現行のユーザＩＤとパス
ワードによるユーザ認証方式から証明証の利用によるシ
ングルサインオンへの移行を容易にするようなセキュリ
ティ管理方法を提供することにある。

【０００６】

【課題を解決するための手段】本発明は、ネットワーク
を介してクライアント、サーバ及び統合認証サーバが相
互に通信可能なネットワークシステムのセキュリティ管
理方法であって、クライアントからサーバへ証明証の情
報を送信して業務要求を行い、サーバから統合認証サー
バへ証明証の情報を送信して証明証の確認要求を行い、
統合認証サーバによって証明証の確認とユーザのサーバ
へのアクセス権限のチェックとを行い、正当であればサ
ーバへユーザＩＤとパスワードを送信し、サーバによっ
てユーザＩＤとパスワードによる認証を行うセキュリテ
ィ管理方法を特徴とする。

【０００７】なお統合認証サーバによって証明証の確認
を行う代わりに、サーバによって証明証の確認を行い、
サーバから統合認証サーバへ証明証の情報を送信してユ
ーザＩＤとパスワードの要求を行い、統合認証サーバに
よってユーザのサーバへのアクセス権限のチェックを行
い、正当であればサーバへユーザＩＤとパスワードを送
信し、サーバによってユーザＩＤとパスワードによる認
証を行うようにしてもよい。

【０００８】また本発明は、クライアントからサーバへ
ユーザＩＤとパスワードを送信して業務要求を行い、サ
ーバから統合認証サーバへ当該ユーザＩＤとパスワード
を送信し、統合認証サーバによってユーザのサーバへの
アクセス権限のチェックを行い、正当であれば一時的な
証明証を作成してサーバを経由してクライアントへ送信
するセキュリティ管理方法を特徴とする。

【０００９】また本発明は、クライアントによってシス
テムへのログインからログオフまでの間で統合認証サー
バ及びサーバが実行する証明証の確認結果、サーバへの
アクセス権限のチェック結果、ユーザＩＤとパスワード
の認証結果及びサーバが保持するデータへのアクセス権
限のチェック結果を含むセキュリティ・チェックの結果
をアクセス履歴情報として記録し、統合認証サーバによ
って証明証の確認結果及びサーバへのアクセス権限のチ
ェックを含むセキュリティ・チェックの結果をアクセス
履歴情報として記録し、クライアントが記録するアクセ
ス履歴情報と統合認証サーバが記録するアクセス履歴情
報とを突き合わせることによってユーザのアクセス状況
をチェックするセキュリティ管理方法を特徴とする。

【００１０】さらに統合認証サーバによって読み取り可
能な記憶媒体上に実体化されたコンピュータプログラム
を実行して上記方法の統合認証サーバ側の処理を行うこ
とができる。

【００１１】

【発明の実施の形態】以下本発明の一実施形態について
図面を用いて説明する。

【００１２】図１は、本実施形態のネットワークシステ
ムの構成図である。インターネットのような広域ネット
ワーク１０には、企業ネットワークシステム１と他企業
ネットワークシステム９が接続される。企業ネットワー
クシステム１には、クライアント８のほかに、統合認証
サーバ２、セキュリティ情報を管理するサーバ３、デー
タベース（ＤＢ）サーバ５、業務サーバ６、グループウ
ェアサーバ４、鍵管理サーバ１７、証明証発行サーバ１
８等のサーバが接続される。ＤＢサーバ５及び業務サー
バ６は、クライアント８からアクセスされ、業務処理の
ために利用されるサーバである。グループウェアサーバ
４は、クライアント８へ最初の業務メニュー画面を送っ
たり、クライアント８へ電子メールを送ったり、ユーザ
のスケジュールを管理するサーバである。サーバ３はＤ
Ｂサーバ５及び業務サーバ６へのアクセスを制御する情
報とユーザＩＤとパスワードのような認証情報を含むユ
ーザのアクセス制御情報とから成るセキュリティ情報を
一元的に管理するサーバである。統合認証サーバ２は、
クライアント８から送られる証明証を確認し、サーバ３
からセキュリティ情報を取得してユーザのＤＢサーバ５
及び業務サーバ６へのアクセス権限をチェックするサー
バである。鍵管理サーバ１７は、企業ネットワークシス
テム１内での暗号化通信で使用するマスタ鍵を生成する
サーバである。広域ネットワーク１０には外部証明証発
行サーバ７が接続される。外部証明証発行サーバ７は、
所定の手順に従って外部証明証を発行するサーバであ
る。証明証発行サーバ１８は、統合認証サーバ２からの
要求によって外部証明証をもたないユーザに対して証明
証を発行するサーバである。なおいわゆるディレクトリ
サーバと呼ばれるサーバがサーバ３の情報を有していて
もよい。またクライアント８及び各種サーバは、パソコ
ン、ワークステーション等を含む情報処理装置である。
さらにクライアント８及び各種サーバによって各々読み
取り可能な記憶媒体上に実体化されたコンピュータプロ
グラムを実行して以下に詳述するクライアント８及び各
種サーバの処理を行うことができる。

【００１３】クライアント８又は他企業ネットワークシ
ステム９に接続されるクライアント２０からユーザの証
明証の情報を入力して例えばＤＢサーバ５にログインす
ると、ＤＢサーバ５又は統合認証サーバ２が証明証の確
認を行い、統合認証サーバ２がサーバ３からセキュリテ
ィ情報を取得してＤＢサーバ５へのアクセス権限をチェ
ックする。アクセス権限があれば、ＤＢサーバ５へユー
ザＩＤ，パスワードなどの認証情報を送り、ＤＢサーバ
５がユーザの認証処理を行う。ＤＢサーバ５を利用する
業務処理が終了し、次に業務サーバ６にログインすると
き、クライアント８はすでに入力済みの証明証を業務サ
ーバ６に送信し、上記の手続きを行うことによってシン
グルサインオンが実現する。証明証をもたないユーザに
対しては、ユーザＩＤとパスワード入力によるログイン
によって証明証を発行し、以後クライアント８は、別の
業務サーバに移るごとにこの証明証を業務サーバへ送信
し、シングルサインオンが可能である。

【００１４】図２は、セキュリティ情報を管理するサー
バ３がセキュリティ情報を一元管理する方式を説明する
図である。サーバ３を導入する前に各サーバごとに管理
していたユーザ及び資源（文書、データベース、端末装
置、アプリケーションプログラム等）に関するセキュリ
ティ情報をＬＤＡＰ情報変換プログラムによってＬＤＡ
Ｐ形式に変換し、サーバ３へ送ってサーバ３で一元管理
する。ここにＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄａ
ｔａ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）は、ＩＥＴＦ
標準のディレクトリアクセスプロトコルである。

【００１５】図３は、ＬＤＡＰ形式の情報の例として、
文書の定義と業務サーバのアクセス制御情報の形式を示
す図である。文書の定義は、文書識別情報と文書のアク
セス制御情報から構成される。文書識別情報は、文書の
識別子、この文書を管理するサーバの識別子と組織名称
並びに文書の情報（文書のタイトル、文書の更新日付、
文書管理者、文書検索のためのキーワード、主題、アブ
ストラクト、作者名）から構成される。一方文書のアク
セス制御情報は、アクセス制御情報、最終修正情報、セ
キュリティポリシィ等を含む。アクセス制御情報は文書
内の特定ページのアクセス制御情報のように文書の一部
についてアクセス制御をする情報である。最終修正情報
はアクセス制御情報の更新日付である。セキュリティポ
リシィはその文書にアクセスを許可するユーザのアクセ
スレベルを設定するものである。例えばポリシィ番号が
１から３までのユーザに該当文書をアクセス許可すると
いう運用が可能である。文書の定義は、業務サーバ６が
管理する情報である。

【００１６】業務サーバのＡＣＬ（Ａｃｃｅｓｓ Ｃｏ
ｎｔｒｏｌ Ｌｉｓｔ：アクセス制御リスト）情報とし
て、業務サーバ６をアクセスするときのアクセス制御情
報、アクセス制御情報の管理元サーバの識別子、ドメイ
ンセキュリティの定義の更新日付、セキュリティポリシ
ィとしてデフォルトセキュリティポリシィ及び認可セキ
ュリティポリシィ、及び経由するＤＳＡ（Ｄｏｍａｉｎ
ＳｅｃｕｒｉｔｙＡｕｔｈｏｒｉｔｙ）を定義してい
る。認可セキュリティポリシィは、例えばポリシィ番号
が１から５までのユーザに業務サーバ６のアクセスを許
可するという運用が可能である。経由するＤＳＡによれ
ば、ユーザの認証は必ず統合認証サーバ２を経由して行
うよう定義する。業務サーバのアクセス制御情報は、サ
ーバ３が保持し、統合認証サーバ２が管理する情報であ
る。

【００１７】なお上記のアクセス制御情報のほかに、業
務サーバ６にアクセスし、特定の文書にアクセスするユ
ーザについてもアクセス制御情報を設定する必要があ
る。ユーザのアクセス制御情報は、ユーザの証明証の情
報、ユーザＩＤとパスワードのような認証情報、ユーザ
の属する部門と職制情報、ユーザのアクセスレベル（ポ
リシィ番号）等を設定する。アクセスレベルの設定によ
って、例えばポリシィ番号が４のユーザは業務サーバ６
にはアクセス可能であるが、ＸＸＸＸという文書へのア
クセスを許可しないという運用が可能である。またある
職制以上のユーザに対して特定の文書のアクセスを許可
するような運用も可能である。

【００１８】図４は、統合認証サーバ２がサーバ３から
ユーザのセキュリティ情報を取得する手順を示す図であ
る。セキュリティ情報を取得する手順には、ＬＤＡＰプ
ロトコルが使用される。統合認証サーバ２は、まずｌｄ
ａｐ＿ｏｐｅｎによってサーバ３とＬＤＡＰコネクショ
ンを確立し、ｌｄａｐ＿ｓｉｍｐｌｅ＿ｂｉｎｄ＿ｓに
よって統合認証サーバ２とサーバ３との間の相互認証を
行った後、ｌｄａｐ＿ｓｅａｒｃｈ＿ｓによって統合認
証サーバ２からユーザの証明証番号、ユーザＩＤなどを
送信すると、サーバ３から統合認証サーバ２へそのユー
ザのセキュリティ情報を送信する。

【００１９】図５は、クライアント８のユーザが企業ネ
ットワークシステム１にログインしてからログオフする
までの処理の手順を示す図である。ここではユーザが証
明証（外部証明証を含む）を用いてログインする場合の
手順について説明する。クライアント８は、業務メニュ
ーをクライアント８の表示装置に表示する。ユーザが業
務サーバ６を選択し、証明証の情報をＩＣカード等の記
憶媒体から入力すると、クライアント８は、証明証の情
報をユーザの秘密鍵で暗号化して記憶装置に格納した
後、業務要求とユーザの秘密鍵で暗号化された証明証の
内容を業務サーバ６へ送信する。業務サーバ６は、統合
認証サーバ２へ証明証の情報を送りその内容の確認要求
を行う。統合認証サーバ２は、暗号化された証明証をユ
ーザの公開鍵で復号化した後、その証明証の確認を行
う。証明証のデータ構成はＸ．５０９で規定されてお
り、その内容は所有者氏名、発行元、発行元の署名、有
効期限等の情報から成る。発行元の署名は発行者の秘密
鍵で暗号化されているので、まずこの署名を発行元の公
開鍵で復号して原本と比較し、証明証が正当なものであ
ることを確認する。次に有効期限等内容の確認を行う。
証明証が不適当なものであれば（ＮＧ）、業務サーバ６
を経由してクライアント８へログイン不許可のメッセー
ジを送信する。証明証が適当なものであれば（ＯＫ）、
サーバ３へ問い合わせを行ってユーザのセキュリティ情
報を取得する。その手順については上記した通りであ
る。ユーザのセキュリティ情報は、業務サーバ６のアク
セス制御情報とユーザのアクセス制御情報から構成され
る。統合認証サーバ２は、ユーザのアクセスレベルと業
務サーバ６のアクセスレベルとを比較し、業務サーバ６
のアクセスを許可できるならば、当該ユーザのアクセス
を許可する旨のアクセス履歴情報を記憶装置に記録し、
業務サーバ６へ暗号化したユーザＩＤ、パスワード、ア
クセスレベル、職制情報などユーザのアクセス制御情報
を送信する。なお業務サーバ６がユーザＩＤに対応して
アクセスレベル、職制情報などユーザのアクセス制御情
報を保有している場合には、ユーザＩＤとパスワード以
外のアクセス制御情報の送信は不要である。業務サーバ
６は、受信したアクセス制御情報を復号し、まずユーザ
ＩＤとパスワードが登録されているものに一致するか否
か認証処理を行う。一致しなければ業務サーバ６へのア
クセスを許可しない。一致すればクライアント８へ許可
のメッセージを送信する。以後クライアント８から文書
のアクセス要求があるごとに文書のアクセス制御情報と
ユーザのアクセスレベル、職制情報とから文書のアクセ
スを許可するか否かを決定する。クライアント８からは
業務サーバ６が保有する文書にアクセス要求をして業務
処理を行う。クライアント８は、業務処理の間、アクセ
スする文書についてアクセス履歴情報を記憶装置に記録
する。

【００２０】このようにして業務サーバ６に係わる業務
処理を終了した後、再び業務メニューをクライアント８
の表示装置に表示する。ユーザが次にＤＢサーバ５を選
択したとすれば、クライアント８は記憶していた当該ユ
ーザの証明証を取り出して業務要求とともにＤＢサーバ
５へ送信する。従ってユーザは再度証明証の情報を入力
する必要がない。ＤＢサーバ５は、統合認証サーバ２へ
証明証の情報を送りその内容の確認要求を行う。以後上
記と同様に統合認証サーバ２は、暗号化された証明証を
ユーザの公開鍵で復号化した後、証明証の確認を行い、
証明証の確認結果と当該ユーザのＤＢサーバ５へのアク
セスを許可／不許可する旨のアクセス履歴情報を記録
し、ＤＢサーバ５へアクセス制御情報を送信する。ＤＢ
サーバ５は、ユーザＩＤとパスワードによってユーザの
認証処理を行う。ユーザのアクセスを許可したとき、以
後受信したアクセス制御情報に基づいて指定されたデー
タベース、テーブル、テーブルの列などのアクセスを許
可するか否かを決定する。クライアント８は、ＤＢサー
バ５を利用して業務処理を行い、業務処理の間、アクセ
スするデータベースについてアクセス履歴情報を記録す
る。このようにして業務処理が終了し、ユーザがログオ
フを入力すると、クライアント８は記録したアクセス履
歴情報を統合認証サーバ２へ送り、記憶装置上に保管し
ていた証明証の情報を消去する。統合認証サーバ２は、
受信したアクセス履歴情報と統合認証サーバ２が記録し
たアクセス履歴情報を比較して妥当なアクセスであるか
否かチェックする。

【００２１】なお図５の処理手順において、最初に業務
サーバ６にログインする代わりにグループウェアサーバ
４にログインする場合も同様の処理手順になる。

【００２２】図６は、業務サーバ６及びＤＢサーバ５が
証明証の内容を確認する機能をもつ場合の処理の手順を
示す図である。図６の手順が図５の手順と異なる点は、
統合認証サーバ２の代わりに業務サーバ６及びＤＢサー
バ５がユーザの秘密鍵で暗号化された証明証をユーザの
公開鍵で復号化した後、証明証を確認する点である。各
業務サーバが証明証の内容を確認するためには、証明証
の発行元の公開鍵を取得し、発行元の署名を確認する機
能が必要である。

【００２３】図７は、証明証をもたないユーザが企業ネ
ットワークシステム１にログインしてからログオフする
までの処理の手順を示す図である。ユーザが業務メニュ
ーの中から業務サーバ６を選択し、ユーザＩＤとパスワ
ードを入力すると、クライアント８は、業務要求とユー
ザＩＤ，パスワードを業務サーバ６へ送信する。業務サ
ーバ６は受け取ったユーザＩＤとパスワードが登録され
ているものに一致するか否か認証処理を行う。一致して
いなければ業務サーバ６へのアクセスを拒否する。一致
しているとき業務サーバ６は、統合認証サーバ２へ受信
したユーザＩＤとパスワードを送る。統合認証サーバ２
は、サーバ３へユーザＩＤとパスワードを送って問い合
わせを行い、ユーザのセキュリティ情報を取得する。次
に統合認証サーバ２は、サーバ３から受け取ったセキュ
リティ情報に基づく上記のチェック処理によってユーザ
が業務サーバ６にアクセスする権限があるか否かチェッ
クする。ユーザに権限がなければ（ＮＧ）、クライアン
ト８へログイン不許可のメッセージを送信する。ユーザ
に権限があれば（ＯＫ）、証明証を発行する。この証明
証は一時的に業務サーバ６へのアクセスを許可する目的
で発行されるものなので、その有効期限は通常の証明証
より短く（例えば当日限りなど）、業務サーバ６へのア
クセス権限も制限される。次に統合認証サーバ２は、業
務サーバ６へ証明証とアクセスレベル、職制情報などユ
ーザのアクセス制御情報を送信する。業務サーバ６がア
クセス制御情報を保有している場合には、アクセス制御
情報の送信は不要である。業務サーバ６は、受信した証
明証をクライアント８へ送信する。クライアント８は、
受信した証明証を記憶装置に格納したのち、業務サーバ
６が保有する文書にアクセス要求をして業務処理を行
う。業務サーバ６は、クライアント８から文書のアクセ
ス要求があるごとに文書のアクセス制御情報とユーザの
アクセスレベル、職制情報とから文書のアクセスを許可
するか否かを決定する。クライアント８は、業務処理の
間、アクセスする文書についてアクセス履歴情報を記録
する。またクライアント８は、周期的に証明証の有効期
限をチェックし、有効期限を過ぎる場合にはユーザに警
告する。

【００２４】このようにして業務サーバ６に係わる業務
処理を終了した後、ユーザがＤＢサーバ５を選択した場
合、クライアント８は保管していた証明証を取り出して
業務要求とともにＤＢサーバ５へ送信する。ＤＢサーバ
５は、統合認証サーバ２へ証明証の情報を送り、その内
容の確認要求を行う。統合認証サーバ２は、上記のよう
に証明証の確認を行い、ＤＢサーバ５へユーザＩＤ，パ
スワードを含むアクセス制御情報を送信する。ＤＢサー
バ５は、ユーザＩＤ，パスワードによる認証処理を行
い、正当であればＤＢサーバ５へのアクセスを許可す
る。以後上記のようにクライアント８はＤＢサーバ５に
データベースのアクセス要求を送信し、ＤＢサーバ５は
ユーザのアクセス制御情報に基づいてデータベースのア
クセスを許可するか否かを決定する。クライアント８は
ＤＢサーバ５を利用して業務処理を行い、業務処理の
間、アクセスするデータベースについてアクセス履歴情
報を記録する。このようにして業務処理を終了し、ユー
ザがログオフを入力すると、クライアント８は記録した
アクセス履歴情報を統合認証サーバ２へ送り、保管して
いた証明証の情報を消去する。統合認証サーバ２は、受
信したアクセス履歴情報と統合認証サーバ２が記録した
アクセス履歴情報とを比較して妥当なアクセスであるか
否かチェックする。ログオフ手続きの一環としてユーザ
から証明証の発行要求があれば、クライアント８はこの
要求を統合認証サーバ２へ送信する。統合認証サーバ２
は、当該ユーザのセキュリティ情報とアクセス状況に問
題があるか否かチェックする。すなわち統合認証サーバ
２がユーザの権限確認の後のアクセス履歴情報にログイ
ン許可の記録がなければ、当然問題ありとなる。またそ
の後のＤＢサーバ５のアクセス許可の記録がないにもか
かわらずクライアント８側のアクセス履歴情報にＤＢサ
ーバ５にアクセスした記録がある場合にも問題ありとな
る。またクライアント８が業務サーバ６及びＤＢサーバ
５の文書やデータベースにアクセスするとき不許可のケ
ースがクライアント８側のアクセス履歴情報に記録され
ていれば問題が生じている。問題があるとき（ＹＥ
Ｓ）、統合認証サーバ２は、クライアント８へ証明証の
発行を許可しない旨のメッセージを送信する。問題がな
ければ（ＮＯ）、統合認証サーバ２は、証明証発行サー
バ１８へ証明証の発行要求を送信し、証明証発行サーバ
１８が証明証を発行して統合認証サーバ２へ送信し、統
合認証サーバ２がこの証明証をクライアント８へ送信す
る。クライアント８は受信した証明証をＩＣカード、フ
ロッピィディスク等の外部記録媒体に出力する。この後
ユーザは、図５に示す証明証を用いるログイン手続きを
行うことができる。このように本実施形態によれば、証
明証をもたないユーザがログインする場合も１回のログ
インによるシングルサインオンを実現できる。なお統合
認証サーバ２、業務サーバ６及びＤＢサーバ５は、図５
に示す処理手順と図７に示す処理手順の両方を併行して
サポートするのが望ましい。

【００２５】図８は、統合認証サーバ２がユーザのアク
セス状況を監視してセキュリティ侵害を検出する処理の
手順を示す図である。クライアント８と統合認証サーバ
２が連携することによってユーザのアクセス状況をチェ
ックし、システムヘのセキュリティ侵害を検出すること
が可能である。図８の例ではクライアント８が業務サー
バ６にアクセスして業務処理を行っているとき、ある文
書についてアクセス要求をすると、業務サーバ６がユー
ザのアクセス制御情報と文書のアクセス制御情報とから
アクセスチェックを行い、その結果不当なアクセス要求
であればクライアント８へアクセス不許可のメッセージ
を返す状態を示している。クライアント８は、このアク
セス不許可をアクセス履歴情報に記録する。クライアン
ト８がログオフを指示すると、クライアント８で記録さ
れた当該ユーザについてのアクセス履歴情報を統合認証
サーバ２へ送信する。統合認証サーバ２は、統合認証サ
ーバ２が採取したアクセス履歴情報、クライアント８が
採取したアクセス履歴情報及び両者の突き合わせからユ
ーザのアクセス状況が正当か否かを判定する。もしユー
ザが不当なアクセス又は不適切なアクセスをしていると
判定すれば、統合認証サーバ２は当該ユーザのアクセス
制御情報を削除する処理を行う。

【００２６】ユーザの不当なアクセス又は不適切なアク
セスとして例えば次のようなケースがある。 （ａ）統合認証サーバ２にログイン許可の記録がない。
すなわち証明証の確認結果が不許可である。 （ｂ）統合認証サーバ２が行うユーザの権限確認チェッ
クの結果、業務サーバへのアクセスを不許可にしている
にもかかわらずクライアント８がその業務サーバにアク
セスしている。 （ｃ）業務サーバ又はＤＢサーバが行う認証処理の結果
が不許可である。 （ｄ）クライアント８が証明証の有効期限の期限切れを
検出している。 （ｅ）クライアント８が許可されない文書やデータベー
スへのアクセスを試行している。 （ｆ）クライアント８が証明証を入力した時刻、ログイ
ン指令をした時刻、統合認証サーバ２が証明証を確認し
た時刻、業務サーバ６がユーザの認証を行って業務サー
バ６へのアクセスを許可した時刻などアクセス履歴情報
に記録されたセキュリティ関係の処理時刻が正しい時系
列のシーケンスになっていない。

【００２７】本実施形態によれば、統合認証サーバ２及
びサーバ３がユーザのアクセス制御情報と業務サーバの
アクセス制御情報とから成るセキュリティ情報を一元管
理するため、セキュリティ情報の登録と更新を集中的に
行うことができ、従来のように各業務サーバがセキュリ
ティ情報を個別に管理する必要がない。

【００２８】図９は、セキュリティ情報の登録、照会及
び更新の手順を示す図である。図９（ａ）は、セキュリ
ティ情報の登録フェーズの処理手順を示す図である。各
サーバからサーバ３へセキュリティ情報の登録を要求す
ると、サーバ３は要求されたセキュリティ情報を記憶装
置に登録する。このとき上述したようにＬＤＡＰ情報変
換プログラムを利用して既存のセキュリティ情報をＬＤ
ＡＰ形式に変換することができる。図９（ｂ）は、セキ
ュリティ情報の照会の手順を示す図である。各サーバか
ら統合認証サーバ２へセキュリティ情報を問い合わせ
る。統合認証サーバ２は、指定されたユーザに関するセ
キュリティ情報をすでに取り込んでいれば（ＹＥＳ）、
そのセキュリティ情報を回答する。取り込んでなければ
（ＮＯ）、サーバ３に問い合わせてセキュリティ情報を
取得してから要求元のサーバに回答する。例えば図６に
示す業務サーバ６及びＤＢサーバ５が証明証情報を統合
認証サーバ２へ送信してセキュリティ情報を照会する場
合がこれに相当する。また図７に示す業務サーバ６がユ
ーザＩＤとパスワードを統合認証サーバ２へ送信してユ
ーザの権限確認を依頼し、証明証の発行を依頼し、ユー
ザのアクセス制御情報を受ける場合もこれに相当する。
図９（ｃ）は、セキュリティ情報の更新の例を示す図で
ある。統合認証サーバ２がユーザによるセキュリティ侵
害を検出したとき、各サーバへユーザの削除を通知す
る。またサーバ３へ当該ユーザについてアクセス制御情
報の削除を要求する。

【００２９】なお統合認証サーバ２とサーバ３を分離せ
ずに同一のサーバにしても本発明を実現できる。また統
合認証サーバ２、サーバ３、鍵管理サーバ１７及び証明
証発行サーバ１８を同一のサーバで実現することも可能
である。

【００３０】最後にクライアント８、サーバ５，６及び
統合認証サーバ２との間の暗号化通信について説明す
る。従来のユーザ情報、特にパスワード情報が通信回線
上で盗聴されると、盗んだ情報を基にして他人に成りす
ましたりするセキュリティ上の脅威があった。本発明
は、本来公開されて良い証明証の情報を用いてユーザを
確認するため、証明証の情報に加えてユーザの秘密鍵の
情報が盗まれれば悪意のある第三者が他人に成りすます
ことも有り得る。従ってクライアント８、サーバ５，６
及び統合認証サーバ２との間の通信は、相互に通信相手
の認証をした後に、暗号化通信により行われる必要があ
る。特に各サーバと統合認証サーバ２との間ではユーザ
に関するセキュリティ情報が送受信されるために、当事
者だけが見られるように情報を保護する必要がある。セ
キュリティ情報を保護するための通信手段として、例え
ばＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）
が知られている。

【００３１】暗号化通信を行うためには、暗号鍵の生
成、配送及び回復のような鍵管理の問題がある。どのよ
うな暗号化手段を用いるかによって管理方法や実現方法
が異なる。以下にＭｕｌｔｉ２と呼ばれるグループ鍵暗
号方式による暗号化技術について説明する。

【００３２】図１０は、グループ鍵によるデータの暗号
化処理の手順を説明する図である。鍵管理サーバ１７
は、クライアント、及びサーバのマスタ鍵を作成し配布
する。そしてこのマスタ鍵からメッセージを暗号化する
ために暗号鍵を生成するが、当メッセージを読ませたい
相手（複数の指定が可能）を宛て先リストに登録し、マ
スタ鍵と宛て先リストから動的にグループ鍵を作成し、
このグループ鍵によってメッセージを暗号化する。図１
０の例では、クライアント８は、業務サーバ６にメッセ
ージＡを送信する際に宛て先リストＡにクライアント
８、業務サーバ６及び統合認証サーバ２を指定する。そ
して業務サーバ６に対してはグループ鍵Ａを送信せず、
メッセージＡを暗号化したものと宛て先リストＡだけを
送る。業務サーバ６は、クライアント８から受信したメ
ッセージＡを復号化するために、メッセージＡとともに
受信した宛て先リストＡとマスタ鍵から動的にグループ
鍵Ａを作成する。業務サーバ６は、このようにして作成
したグループ鍵ＡによりメッセージＡを復号化する。ま
た業務サーバ６から統合認証サーバ２へメッセージＡを
送信する場合にも、マスタ鍵と宛て先リストＡからグル
ープ鍵Ａを作成し、送信したいメッセージＡをグループ
鍵Ａで暗号化する。グループ鍵Ａは、宛て先リストＡに
登録され、かつマスタ鍵を持つ相手でなければ動的に作
成できないため、このように見せたい相手だけにメッセ
ージＡを読ませることができる。

【００３３】次に統合認証サーバ２が業務サーバ６へメ
ッセージＢを送信したい場合には、宛て先リストＢに業
務サーバ６だけを設定し、マスタ鍵と宛て先リストＢか
ら作成したグループ鍵ＢによってメッセージＢを暗号化
して送る。クライアント８がこの暗号化されたメッセー
ジＢを解読しようとしても、クライアント８は宛て先リ
ストＢに登録されていないために解読することができな
い。図１０の例では、クライアント８と各サーバ間のグ
ループ鍵による暗号化通信を説明したが、ユーザごとに
マスタ鍵を持たせることも可能である。この場合には、
マスタ鍵をＩＣカード内に格納し、ＩＣカード中でグル
ープ鍵を生成することも可能である。以上述べたよう
に、本発明の実施形態によれば、業務サーバやデータベ
ースサーバが従来のユーザＩＤとパスワードに基づくユ
ーザ認証とアクセス制御を保存しながらユーザに対して
証明証利用によるシングルサインオンの機能を提供でき
る。また証明証をもたないユーザに対しても一時的な証
明証の発行によるシングルサインオンを実現することが
できる。またクライアントと統合認証サーバが連携する
ことによって、ユーザのアクセス状況を監視し、アクセ
ス状況に問題があるユーザをシステムから除外すること
ができる。

【００３４】

【発明の効果】以上述べたように、クライアントと統合
認証サーバが連携して認証処理をすることにより、不正
アクセスをチェックすることができる。

【図面の簡単な説明】

【図１】実施形態のネットワークシステムの構成図であ
る。

【図２】実施形態のサーバ３がセキュリティ情報を一元
管理する方式を説明する図である。

【図３】ＬＤＡＰ形式の情報の例を示す図である。

【図４】実施形態の統合認証サーバ２がサーバ３からユ
ーザのセキュリティ情報を取得する手順を示す図であ
る。

【図５】実施形態の証明証を利用するシングルサインオ
ンの処理手順を示す図である。

【図６】図５の処理手順で統合認証サーバ２の代わりに
ＤＢサーバ５／業務サーバ６が証明証を確認する処理手
順を示す図である。

【図７】実施形態の証明証をもたないユーザによるシン
グルサインオンの処理手順を示す図である。

【図８】実施形態の統合認証サーバ２がユーザのアクセ
ス状況を監視してセキュリティ侵害を検出する処理手順
を示す図である。

【図９】実施形態のセキュリティ情報を管理する処理を
説明する図である。

【図１０】グループ鍵によるデータの暗号化処理の手順
を説明する図である。

【符号の説明】

２：統合認証サーバ、３：（セキュリティ情報を管理す
る）サーバ、１８：証明証発行サーバ

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 平９−34822（ＪＰ，Ａ) 鈴木著，”ＩＣカード認証システム 「Ｓｍａｒｔ Ｐａｓｓ」の概要”，ｍ ｏｂｉｌｅ ｍｅｄｉａ ｍａｇａｚｉ ｎｅ，日本，（株）シーメディア，1996 年10月29日，第18巻，ｐ．49 山田著，”リモート接続のユーザー認 証技術”，日経コミュニケーション，日 本，日経ＢＰ社，1996年 ８月 ５日, 第227号，ｐ．124−131 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 15/00 H04L 9/32

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】ネットワークを介してクライアント、サー
   バ及び統合認証サーバが相互に通信可能なネットワーク
   システムのセキュリティ管理方法であって、 クライアントからサーバへ証明証の情報を送信して業務
   要求を行い、サーバから統合認証サーバへ証明証の情報
   を送信して証明証の確認要求を行い、統合認証サーバに
   よって証明証の確認とユーザの該サーバへのアクセス権
   限のチェックとを行い、正当であればサーバへユーザＩ
   Ｄとパスワードを送信し、該サーバによってユーザＩＤ
   とパスワードによる認証を行うことを特徴とするセキュ
   リティ管理方法。
2. 【請求項２】統合認証サーバによって証明証の確認を行
   う代わりに、サーバによって証明証の確認を行い、サー
   バから統合認証サーバへ証明証の情報を送信してユーザ
   ＩＤとパスワードの要求を行い、統合認証サーバによっ
   てユーザの該サーバへのアクセス権限のチェックを行
   い、正当であればサーバへユーザＩＤとパスワードを送
   信し、該サーバによってユーザＩＤとパスワードによる
   認証を行うことを特徴とする請求項１記載のセキュリテ
   ィ管理方法。
3. 【請求項３】該クライアントによってシステムへのログ
   インからログオフまでの間で該統合認証サーバ及び該サ
   ーバが実行する証明証の確認結果、該サーバへのアクセ
   ス権限のチェック結果、ユーザＩＤとパスワードの認証
   結果及びサーバが保持するデータへのアクセス権限のチ
   ェック結果を含むセキュリティ・チェックの結果をアク
   セス履歴情報として記録し、該統合認証サーバによって
   証明証の確認結果及び該サーバへのアクセス権限のチェ
   ックを含むセキュリティ・チェックの結果をアクセス履
   歴情報として記録し、該クライアントが記録するアクセ
   ス履歴情報と該統合認証サーバが記録するアクセス履歴
   情報とを突き合わせることによってユーザのアクセス状
   況をチェックすることを特徴とする請求項１記載のセキ
   ュリティ管理方法。
4. 【請求項４】ネットワークを介してクライアント、サー
   バ及び統合認証サーバが相互に通信可能なネットワーク
   システムにおいて該統合認証サーバによって読み取り可
   能な記憶媒体上に実体化されたコンピュータプログラム
   であって、該プログラムは以下のステップを含む： （ａ）クライアントからサーバを経由して送信された証
   明証の情報を受信し、（ｂ）該証明証が正当であること
   を確認し、 （ｃ）該証明証のユーザが該サーバにアクセスする権限
   があるか否かをチェックし、 （ｄ）（ｂ）及び（ｃ）のチェック結果が妥当であれば
   該サーバによって該ユーザの認証を行うように該ユーザ
   のユーザＩＤとパスワードを該サーバへ送信する。
5. 【請求項５】ネットワークを介してクライアント、サー
   バ及び統合認証サーバが相互に通信可能なネットワーク
   システムにおいて該統合認証サーバによって読み取り可
   能な記憶媒体上に実体化されたコンピュータプログラム
   であって、該プログラムは以下のステップを含む： （ａ）クライアントから第１のサーバを経由して送信さ
   れたユーザＩＤとパスワードを受信し、 （ｂ）該ユーザＩＤのユーザが第１のサーバにアクセス
   する権限があるか否かをチェックし、 （ｃ）（ｂ）のチェック結果が妥当であれば該ユーザの
   一時的な証明証を作成し、（ｄ）第１のサーバを経由し
   てクライアントへ該証明証を送信し、 （ｅ）クライアントから第２のサーバを経由して送信さ
   れた該証明証の情報を受信し、 （ｆ）該証明証が正当であることを確認し、 （ｇ）該証明証のユーザが第２のサーバにアクセスする
   権限があるか否かをチェックし、 （ｈ）（ｆ）及び（ｇ）のチェック結果が妥当であれば
   第２のサーバによって該ユーザの認証を行うように該ユ
   ーザのユーザＩＤとパスワードを第２のサーバへ送信す
   る。