JP3964338B2

JP3964338B2 - Communication network system, communication terminal, authentication device, authentication server, and electronic authentication method

Info

Publication number: JP3964338B2
Application number: JP2003061878A
Authority: JP
Inventors: 秀憲青木
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2003-03-07
Filing date: 2003-03-07
Publication date: 2007-08-22
Anticipated expiration: 2023-03-07
Also published as: JP2004274359A

Description

【０００１】
【発明の属する技術分野】
本発明は、電話機能の他に無線又は有線ＬＡＮ(LocalArea Network)に接続できる機能を有する携帯電話機、ＰＤＡ(Personal DigitalAssistance)および固定の据置型電話機等の通信端末機が、企業のＬＡＮや家庭内のＬＡＮ等の自営ＬＡＮに接続するために必要な認証を行い、この認証に必要な認証情報を管理する通信ネットワークシステム、通信端末機、認証装置、認証サーバ、及び電子認証方法に関する。
【０００２】
【従来の技術】
通信端末機である例えば携帯電話機においては、電話番号という識別子により利用者の情報が管理されている。また、ＬＡＮの中の無線ＬＡＮでは、固有のユーザ名とパスワードの組合せや、認証局が発行する電子証明書などにより利用者の情報が管理されている（例えば、非特許文献１）。
【０００３】
ユーザ名とパスワードの組合せを無線ＬＡＮの認証情報として用いる場合には、通信端末機にユーザ名とパスワードの双方を入力することが要求される。この時、ユーザ名やパスワードは、通常、アルファベット、数字、記号の組合せにより表現される（例えば、非特許文献２）。
また、電子証明書を無線ＬＡＮの認証情報として用いる場合には、ＣＤ−ＲＯＭ(Compact Disk Read Only Memory)やＦＤ(Floppy（登録商標） Disk）等の記憶媒体を用いて通信端末機に入力する必要がある（例えば、非特許文献３）。
【０００４】
このように従来においては、ＬＡＮに接続するために必要な認証情報が、携帯電話とＬＡＮの双方のインタフェース機能毎に異なる識別子で管理されている。また、この種の従来の認証を行う方法又は装置として、例えば下記の特許文献１及び２に記載のものがある。
特許文献１の記載内容は、通信端末機がネットワークを介してサーバに接続を要求した際の認証時に、通信端末機が、記憶電話番号をユーザ名、記憶端末機番号をパスワードとしてサーバへ送信し、サーバが、その送信されてきたユーザ名とパスワードが、サーバ内部の記憶ユーザ名とパスワードに完全に一致する際に接続を許可するといったものである。
【０００５】
特許文献２の記載内容は、無線端末機がネットワークに接続する際に、無線端末機のＩＤ、認証情報、及び認証を行うサーバのネットワークアドレスからなる接続要求情報を送信し、この接続要求情報で認証を行うサーバが、自サーバの場合には直接認証を行い、自サーバではない場合には、認証を行うサーバに認証を依頼し、また、他のサーバから認証の要求を受けた場合には認証を行って認証結果を返すといったものである。
【０００６】
【特許文献１】
特開平１１−１７５４７７号公報（要約）
【特許文献２】
特開平１０−７０５４０号公報（要約）
【非特許文献１】
服部武、藤岡雅宣編著「ワイアレス・ブロードバンド教科書」ＩＤＧジャパン、２００２年６月１０日、ｐ.２９１−２９３「無線ＬＡＮの認証方式として現在標準化途中のＩＥＥＥ(Institute of Electrical andElectronic Engineers:電気電子学会)８０２.１１ｉの仕様を説明した内容で、認証方式としてＥＡＰＴＬＳ等を用いる概要を説明」
【非特許文献２】
L.Blunk,J.Vollbrecht,「PPP Extensible Authentication Protocol(EAP)」,RFC2284,Mar l998「無線ＬＡＮでユーザ名とパスワードで認証する方式であるＥＡＰ−ＭＤ５の方式を規定」
【０００７】
【非特許文献３】
Ｂ．Ａｂｏｂａ，Ｄ．Ｓｉｍｏｎ，「ＰＰＰＥＡＰＴＬＳＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ（ＲＦＣ２７１６）」，ＲＦＣ２７１６，Ｏｃｔｌ９９９「無線ＬＡＮにおいて電子証明書で認証する方式であるＥＡＰ−ＴＬＳの方式を規定」
【０００８】
【発明が解決しようとする課題】
しかし、上記の特許文献１および非特許文献１，２のように、ユーザ名とパスワードとで認証を行う場合、ユーザ名とパスワードが、アルファベット、数字、記号の組合せにより表現したり、また、記憶電話番号をユーザ名、記憶端末機番号をパスワードとして表現したりするので、第三者に盗用、解読される危険性が高い。
【０００９】
そこで、上記の特許文献２及び非特許文献１，３のように、電子証明書による認証情報を用いる電子認証方法があるが、この方法では、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を接続して電子証明書をインストールしなければならない。このため、特に携帯電話機やＰＤＡ等の携帯タイプの通信端末機においては、外部入力装置のある場所で、それを一旦接続して電子証明書をインストールしなければならないので、入力を行うまでの準備に手間が掛かることになる。言い換えれば、必要時に即時、認証依頼を行うことができないという問題がある。
【００１０】
更に、ＬＡＮに接続するために必要な認証情報が、携帯電話とＬＡＮの双方のインタフェース機能毎に異なる識別子で管理されているので、その認証情報の管理が複雑となるという問題がある。
本発明は、このような課題に鑑みてなされたものであり、通信端末機の認証を必要時に即時行うことができ、また、その認証に必要な認証情報を容易に管理することができる通信ネットワークシステム、通信端末機、認証装置、認証サーバ、及び電子認証方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１による通信ネットワークシステムは、通信端末機が自機の認証を認証装置に行う通信ネットワークシステムにおいて、前記通信端末機に、電話回線と専用回線の双方に接続できる第１の通信手段と、前記第１の通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する第１の記憶手段と、前記第１の記憶手段に記憶された認証情報を前記第１の通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備え、前記認証装置に、前記電話回線とインターネットの双方に接続できる第２の通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記第２の通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記第２の通信手段を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する第２の記憶手段とを備え、前記通信端末機及び前記認証装置の他に、前記専用回線及び前記インターネットの双方に接続できる第３の通信手段と、前記第３の通信手段からインターネットを介して前記認証装置の前記第２の記憶手段に記憶された認証情報のうち少なくとも電子証明書を認証情報として取得する取得手段と、前記取得手段で取得された認証情報を記憶する第３の記憶手段と、前記通信端末機から当該通信端末機の前記第１の記憶手段に記憶された認証情報が、当該通信端末機の電話番号と共に、前記専用回線から前記第３の通信手段を介して受信された際に、この受信された認証情報が、同受信された電話番号に応じて検索される前記第３の記憶手段に記憶の認証情報に一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを有する認証サーバを備えたことを特徴としている。
【００１２】
この構成によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
【００１３】
また、通信端末機が認証装置から認証情報を取得する際の過程で、認証装置においては、電話回線（公衆の電話回線）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、通信端末機が接続される電話回線のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００１４】
また、本発明の請求項２による通信ネットワークシステムは、請求項１において、前記認証装置に、前記第２の記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する第１の管理制御手段を更に備えたことを特徴としている。
この構成によれば、認証装置おいて、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００１５】
また、本発明の請求項３による通信ネットワークシステムは、請求項２において、前記認証サーバに、前記第３の記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する第２の管理制御手段を更に備え、前記取得手段は、前記インターネットを介して前記認証装置の前記第２の記憶手段に発信元電話番号に対応付けられて記憶された認証情報のうち少なくとも電子証明書を認証情報として取得する際に、前記第３の記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得することを特徴としている。
【００１６】
この構成によれば、認証サーバが認証装置から認証情報を取得する際に、電話番号によって取得することができるので、認証情報を容易に取得することができる。また、認証サーバにおいて、発信元電話番号に対応する電話番号に認証情報を対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００１７】
また、本発明の請求項４による通信ネットワークシステムは、請求項３において、前記認証サーバにおいて、前記第２の管理制御手段は、前記第３の記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、前記認証可否判定手段は、前記第３の記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定することを特徴としている。
【００１８】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機の認証の可否を容易に行うことができる。
また、本発明の請求項５による通信ネットワークシステムは、請求項１から４の何れか１項において、前記認証サーバにおいて、前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否することを特徴としている。
【００１９】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。
また、本発明の請求項６による通信ネットワークシステムは、請求項５において、前記認証サーバに接続され、前記第３の記憶手段に記憶される電話番号及び可否状態を任意に設定する設定手段を更に備えたことを特徴としている。
【００２０】
この構成によれば、通信端末機の電話番号並びに、通信端末機の認証を許可するか否かを認証サーバに任意に設定することができるので、通信の利用状況が芳しくないなどの理由で認証を許可したくないユーザの通信端末機に対して、強制的に認証の許否を行うことができる。
また、本発明の請求項７による通信ネットワークシステムは、請求項１から６の何れか１項において、前記認証情報は、電子証明書、秘密鍵及び公開鍵であることを特徴としている。
【００２１】
この構成によれば、通信端末機、認証装置及び認証サーバ間の通信において、電子証明書を秘密鍵によって暗号化して伝送することで安全に伝送することができ、また、公開鍵によって適正に復号することができる。
また、本発明の請求項８による通信ネットワークシステムは、請求項１から７の何れか１項において、前記電話回線は、前記通信端末機が無線基地局を介して通信可能な携帯電話回線網であり、前記専用回線は、前記通信端末機が無線基地局を介して通信可能なローカルエリアネットワークであることを特徴としている。
【００２２】
この構成によれば、通信端末機が無線通信を行う携帯電話機やＰＤＡなどであっても、上記の理由から通信端末機の認証を必要時に即時行うことができ、また、その認証に必要な電子証明書による認証情報を容易に管理することができる。更に、その認証を安全に行うことができる。
また、本発明の請求項９による通信端末機は、通信ネットワークシステムに含まれる認証装置に、自機の認証を行う通信端末機において、電話回線と専用回線の双方に接続できる通信手段と、前記通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する記憶手段と、前記記憶手段に記憶された認証情報を、前記通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備えたことを特徴としている。
【００２３】
この構成によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線へ送信するようにしたので、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機から必要時に即時、認証依頼を行うことができる。
【００２４】
また、本発明の請求項１０による認証装置は、通信ネットワークシステムに含まれる通信端末機の認証を行う認証装置において、電話回線とインターネットの双方に接続できる通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記通信手段を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する記憶手段と、前記記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する管理制御手段とを備えたことを特徴としている。
【００２５】
この構成によれば、認証装置おいて、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
また、認証装置において、電話回線（公衆の電話回線）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、電話回線のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００２６】
また、本発明の請求項１１による認証サーバは、通信ネットワークシステムで、電話回線に組み込まれた発信元電話番号の通知機能から通知される発信元電話番号により、発信元の通信端末機の認証を行い、この認証情報を発信元電話番号に対応付けて保持すると共に前記通信端末機へ発行する認証装置に、インターネットを介して接続され、また、前記通信端末機に専用回線を介して接続される認証サーバにおいて、前記インターネットを介して前記認証装置が保持する認証情報のうち少なくとも電子証明書を認証情報として取得する取得手段と、前記取得手段で取得された認証情報を記憶する記憶手段と、前記通信端末機から自機の認証を行うための認証情報が、当該通信端末機の電話番号と共に、前記専用回線を介して受信された際に、この受信された認証情報が、同受信された電話番号に応じて検索される前記記憶手段に記憶の認証情報に一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを備えたことを特徴としている。
【００２７】
この構成によれば、認証サーバにおいて、インターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行うための認証情報と認証サーバに記憶された認証情報との一致によって、通信端末機に認証を許可することができるので、通信端末機が公知の認証局（認証装置）にアクセスを行わなくても認証を依頼することができる。従って、認証局へのトラフィック量を低減させることができる。
【００２８】
また、本発明の請求項１２による認証サーバは、請求項１１において、前記記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する管理制御手段を更に備え、前記取得手段は、前記インターネットを介して前記認証装置から認証情報を取得する際に、前記記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得することを特徴としている。
【００２９】
この構成によれば、認証サーバが認証装置から認証情報を取得する際に、電話番号によって取得することができるので、認証情報を容易に取得することができる。また、認証サーバにおいて、発信元電話番号に対応する電話番号に認証情報を対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００３０】
また、本発明の請求項１３による認証サーバは、請求項１２において、前記管理制御手段は、前記記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、前記認証可否判定手段は、前記記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定することを特徴としている。
【００３１】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機の認証の可否を容易に行うことができる。
また、本発明の請求項１４による認証サーバは、請求項１１から１３の何れか１項において、前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否することを特徴としている。
【００３２】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。また、本発明の請求項１５による電子認証方法は、通信端末機が認証装置から認証情報を取得し、この取得した認証情報で認証サーバに認証を依頼する電子認証方法において、前記通信端末機が、電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する第１のステップと、前記第１のステップにおいて前記通信端末機から発行依頼が行われた際に、前記電話回線に組み込まれた発信元電話番号の通知機能から通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記電話回線を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する第２のステップと、前記第２のステップにおいて発行された認証情報を発信元電話番号に対応付けて前記認証装置に記憶する第３のステップと、前記第２のステップにおいて発行された認証情報を前記通信端末機に記憶する第４のステップと、前記認証サーバにおいて任意の電話番号をインターネットを介して前記認証装置へ送信し、前記第３のステップで前記認証装置に発信元電話番号に対応付けられて記憶された認証情報の中から、前記認証サーバからの電話番号に対応する発信元電話番号に対応付けられた認証情報のうち少なくとも電子証明書を認証情報として取得する第５のステップと、前記第５のステップで取得された認証情報を電話番号に対応付けて前記認証サーバに記憶する第６のステップと、前記第４のステップにおいて前記通信端末機に記憶された認証情報を、専用回線を介して前記認証サーバへ送信する第７のステップと、前記第７のステップで前記通信端末機から電話番号と共に送信された認証情報と、前記第６のステップで前記認証サーバに記憶され、その電話番号に応じて検索される認証情報とが一致する場合に、前記通信端末機に認証を許可する第８のステップとを含むことを特徴としている。
【００３３】
この方法によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。
【００３４】
従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
また、認証装置及び認証サーバにおいて、認証情報を電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。
【００３５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（実施の形態）
図１は、本発明の実施の形態に係る通信ネットワークシステムの構成を示す図である。
【００３６】
この図１に示す通信ネットワークシステムは、携帯電話と無線ＬＡＮの双方のインタフェース機能を有する通信端末機１０と、この通信端末機１０が無線ＬＡＮの無線回線１１を介して接続される無線ＬＡＮ基地局１２と、この無線ＬＡＮ基地局１２に接続された企業のＬＡＮや家庭内のＬＡＮ等の自営ＬＡＮ１３と、この自営ＬＡＮ１３に接続された認証サーバ１４と、この認証サーバ１４にゲートウエイ１５及びインターネット１６を介して接続された認証装置１７と、この認証装置１７に携帯電話回線網１８を介して接続された携帯電話基地局１９と、認証サーバ１４に接続された管理装置２２とを備え、また通信端末機１０が携帯電話の無線回線２０を介して携帯電話基地局１９に接続されるように構成されている。
【００３７】
以降、無線ＬＡＮの無線回線１１及び携帯電話の無線回線２０を単に無線回線１１，２０と表現する場合もある。
また、上記の構成要素のうち主要部は、次の内部構成要素を備える。
通信端末機１０は、図２に示すように、携帯電話通信用アンテナ（以降、単にアンテナともいう）３１が接続された携帯電話通信部３２と、無線ＬＡＮ通信用アンテナ（以降、単にアンテナという）３３が接続された無線ＬＡＮ通信部３４と、認証情報発行依頼部３６と、発信元電話番号記憶部３８と、認証情報受信制御部４０と、認証情報記憶部４２と、認証情報送信制御部４４と、ＬＡＮ接続要求部４６と、認証結果受信制御部４８と、表示部５０と、キー操作部５２とを備えて構成されている。但し、各アンテナ３１，３３は、図示せぬアンテナ共用器などによって１本のアンテナで実現してもよい。
【００３８】
認証装置１７は、電話回線通信部５４と、認証処理部５６と、認証情報発行部５８と、認証情報管理制御部６０と、データベース６２と、認証情報送信依頼受信部６４と、認証情報送信制御部６６と、インターネット通信部６８とを備えて構成されている。
無線ＬＡＮ基地局１２は、無線通信部７２と、ＬＡＮ接続要求受信部７４と、認証情報送信要求部７６と、認証情報受信部７８と、認証依頼部８０と、端末機−ＬＡＮ間接続制御部８２と、認証結果通知部８４と、ＬＡＮ通信部８６とを備えて構成されている。
【００３９】
認証サーバ１４は、ＬＡＮ通信部９０と、認証依頼受信部９２と、認証可否判定部９４と、データベース９６と、認証情報管理制御部９８と、認証情報送信依頼部１００と、認証装置識別情報記憶部１０２と、インターネット通信部１０４とを備えて構成されている。
次に、上記構成要素の説明を行う。まず、図２に示す通信端末機１０の説明を行う。
【００４０】
携帯電話通信部３２は、アンテナ３１によって電話回線２０を介して携帯電話基地局１９と通信を行うものである。
発信元電話番号記憶部３８は、基地局１９を介して携帯電話回線網１８に接続するための発信元電話番号（携帯電話番号）を記憶するものである。
認証情報発行依頼部３６は、キー操作部５２において予め定められた認証情報の発行を依頼するための操作が行われた際に、発信元電話番号記憶部３８に記憶された発信元電話番号を用いた発信により携帯電話基地局１９と通信状態とした後、認証情報発行依頼信号を送信することによって、認証装置１７に対して自通信端末機１０の認証情報の発行を依頼するものである。
【００４１】
認証情報受信制御部４０は、認証情報発行依頼部３６の依頼に応答して認証装置１７から発行される電子証明書及び秘密鍵を受信し、これらを認証情報として認証情報記憶部４２に記憶する制御を行うものである。
無線ＬＡＮ通信部３４は、アンテナ３３によって電話回線１１を介して無線ＬＡＮ基地局１２と通信を行うものである。
【００４２】
ＬＡＮ接続要求部４６は、キー操作部５２において予め定められた自営ＬＡＮ１３への接続要求を行うための操作が行われた際に、携帯電話番号を用いた発信により無線ＬＡＮ基地局１２と通信状態とした後、ＬＡＮ接続要求信号を、無線ＬＡＮ通信部３４を介して送信することによって、自通信端末機１０を自営ＬＡＮ１３に接続するための要求を、無線ＬＡＮ基地局１２に対して行うものである。また、ＬＡＮ接続要求部４６は、自ＬＡＮ接続要求部４６が送信したＬＡＮ接続要求信号に応答して無線ＬＡＮ基地局１２から認証情報送信要求信号が返信されてきた際に、その認証情報送信要求信号を認証情報送信制御部４４へ出力するものである。
【００４３】
認証情報送信制御部４４は、その認証情報送信要求信号が入力された際に、認証情報記憶部４２に記憶された認証情報である電子証明書を読み出し、この電子証明書を、無線ＬＡＮ通信部３４を介して無線ＬＡＮ基地局１２へ送信するものである。つまり、ここで自営ＬＡＮ１３に接続するための認証依頼が行われるようになっている。
【００４４】
ここで、通信端末機１０を自営ＬＡＮ１３に接続するために事前に行う認証方法においては、無線回線１１に伝送される信号を暗号化するための暗号鍵を、電子証明書と一緒に取得した秘密鍵より生成して、信号の伝送を行う。このため通信端末機１０においては、ユーザ名やパスワードの入力を必要としない。このような技術は一般的なものであり、この電子証明書を利用したものとして、ＩＥＥＥ(Institute of Electrical and Electronic Engineers)８０２．ｌｘや、ＥＡＰ−ＴＬＳ(ExtensibleAuthentication Protocol-Transport Layer Security)等の技術がある。
【００４５】
認証結果受信制御部４８は、無線ＬＡＮ基地局１２から通知される認証結果情報を受信し、その認証結果を表示部５０に文字や画像で表示する制御を行うものである。認証結果情報は、通信端末機１０と自営ＬＡＮ１３との接続の許可／許否を示すものである。従って、表示部５０には、その許可又は許否が表示されるようになっている。
【００４６】
次に、図３に示す認証装置１７の説明を行う。
この認証装置１７は、一般に認証局が備える電子証明書を用いた認証機能を利用したものであり、その認証機能に必要なＰＫＩ(Public Key Infrastructure：公開鍵基盤)と呼ばれる仕組みの中で、中心的な役割を担う公開鍵の作成、秘密鍵の作成、電子証明書の発行および管理をするものである。本認証装置１７においては、それらの認証局の基本機能に電子証明書、秘密鍵、公開鍵を発信元電話番号に対応付けて管理する機能を追加したものである。
【００４７】
電話回線通信部５４は、携帯電話回線網１８と通信を行うためのインタフェースであり、携帯電話回線網１８から送信されてくる発信元電話番号及び認証情報発行依頼信号を受信し、また、電子証明書及び秘密鍵を送信するものである。その受信される発信元電話番号は、携帯電話回線網１８が有する公衆電話回線システムの機能である発信者番号通知により取得することができ、また、携帯電話回線網１８と通信端末機１０とを接続する携帯電話回線は安全であると判断できる。このため、発信元電話番号の受信、また、電子証明書及び秘密鍵の送信を行っても、第三者に盗用、解読される危険性が極低く安全である。
【００４８】
認証処理部５６は、電話回線通信部５４で受信された認証情報発行依頼信号が入力されると、受信された発信元電話番号で通信端末機１０の認証を行い、認証が取れた場合に、その発信元電話番号を認証情報発行部５８及び認証情報管理制御部６０へ出力するものである。但し、認証処理は、前述した認証機能によって行う。
【００４９】
認証情報発行部５８は、認証処理部５６から認証が取れた発信元電話番号が入力されると、電子証明書、秘密鍵及び公開鍵を作成した後、その公開鍵を含む電子証明書と秘密鍵とを、その発信元電話番号の通信端末機１０へ発行する。また、電子証明書、秘密鍵及び公開鍵を、認証情報管理制御部６０へ出力するものである。
【００５０】
認証情報管理制御部６０は、認証情報発行部５８で発行された電子証明書、秘密鍵及び公開鍵を、この認証情報の発行先の電話番号、即ち認証処理部５６から入力される発信元電話番号に対応付けてデータベース６２に記憶するものである。
この記憶は、データベース６２に格納される図６に示す認証情報管理テーブル（以下、単にテーブルともいう）１１０に行う。この図６の例では、１行目において発信元の携帯電話番号１に、電子証明書１ａ、秘密鍵１ｂ及び公開鍵１ｃが対応付けられ、２行目において携帯電話番号２に、電子証明書２ａ、秘密鍵２ｂ及び公開鍵２ｃが、３行目において携帯電話番号３に、電子証明書３ａ、秘密鍵３ｂ及び公開鍵３ｃが対応付けられている状態を示した。
【００５１】
インターネット通信部６８は、インターネット１６と通信を行うためのインタフェースである。
認証情報送信依頼受信部６４は、インターネット１６を介して送信されてくる認証サーバ１４からの認証情報送信依頼に用いられる携帯電話番号を受信するものである。
【００５２】
認証情報送信制御部６６は、データベース６２の認証情報管理テーブル１１０から、認証情報送信依頼受信部６４で受信された携帯電話番号に対応する携帯電話番号を検索し、この携帯電話番号に対応付けられた電子証明書を読み出して認証サーバ１４へ送信するものである。また、受信携帯電話番号に対応する携帯電話番号が登録されていない場合は、その受信携帯電話番号に対応する電子証明書を保有していないことを示す電子証明書未保有情報を認証サーバ１４へ送信する。
【００５３】
次に、図４に示す無線ＬＡＮ基地局１２の説明を行う。
無線通信部７２は、無線回線１１を介して通信端末機１０と通信を行うものである。
ＬＡＮ通信部８６は、自営ＬＡＮ１３と通信を行うものである。
ＬＡＮ接続要求受信部７４は、無線通信部７２を介して通信端末機１０からのＬＡＮ接続要求信号を受信するものである。
【００５４】
認証情報送信要求部７６は、ＬＡＮ接続要求受信部７４でＬＡＮ接続要求信号が受信された際に、そのＬＡＮ接続要求信号の送信元の通信端末機１０へ認証情報送信要求信号を送信するものである。
認証情報受信部７８は、無線通信部７２を介して通信端末機１０からの電子証明書を受信するものである。
【００５５】
認証依頼部８０は、認証情報受信部７８で受信された電子証明書を、この電子証明書の発信元電話番号と共に、ＬＡＮ通信部８６を介して認証サーバ１４へ送信することにより、その電子証明書の認証を依頼するものである。また、電子証明書はＬＡＮ通信部８６から自営ＬＡＮ１３を介して認証サーバ１４へ送信されるが、この認証依頼時には、通信端末機１０は無線ＬＡＮ基地局１２としか通信が行えないようになっている。
【００５６】
端末機−ＬＡＮ間接続制御部８２は、ＬＡＮ通信部８６を介して認証サーバ１４から認証許可を示す認証結果情報が送信されてきた際に、通信端末機１０と自営ＬＡＮ１３とを通信接続する制御を行うものである。
認証結果通知部８４は、認証サーバ１４からの認証結果情報を、無線通信部７２を介して通信端末機１０へ通知するものである。
【００５７】
次に、図５に示す認証サーバ１４の説明を行う。
ＬＡＮ通信部９０は、自営ＬＡＮ１３と通信を行うためのインタフェースである。
インターネット通信部１０４は、インターネット１６と通信を行うためのインタフェースである。
【００５８】
認証装置識別情報記憶部１０２は、認証装置１７を識別するための識別情報を記憶するものである。但し、識別情報は、認証装置１７を特定するためのＩＰ(Internet Protocol)アドレスや、ＤＮＳ(Domain Name System)名である。これらの識別情報は、パーソナルコンピュータなどの管理装置２２によって予め設定される。
【００５９】
認証情報送信依頼部１００は、インターネット１６を介して認証装置１７に認証情報の送信を依頼するものである。この依頼は、管理装置２２から入力される携帯電話番号を、インターネット通信部１０４を介して認証装置１７へ送信することによって行う。また、その送信先の認証装置１７は、認証装置識別情報記憶部１０２に記憶された識別情報によって特定されるようになっている。
【００６０】
認証情報管理制御部９８は、インターネット１６を介して認証サーバ１４から送信されてくる電子証明書を、この電子証明書の送信依頼に用いた携帯電話番号に対応付けてデータベース９６に記憶するものである。
この記憶は、データベース９６に格納される図７に示す認証情報・接続可否管理テーブル（以下、単にテーブルともいう）１１２に行う。この図７の例では、１行目において携帯電話番号１に電子証明書１ａが対応付けられ、２行目においては携帯電話番号２に何も対応付けられておらず、３行目においては携帯電話番号３に電子証明書３ａが対応付けられている状態を示した。
【００６１】
また、テーブル１１２の各携帯電話番号１〜３は、管理装置２２から入力される。更に、テーブル１１２には、電子証明書１ａ〜３ａと共に、自営ＬＡＮ１３への可否状態が対応付けられるようになっているが、これも管理装置２２からの入力によって行われる。
即ち、管理装置２２は、データベース９６に任意にアクセスし、テーブル１１２に所望の携帯電話番号を登録すると共に、その携帯電話番号の通信端末機１０が自営ＬＡＮ１３に接続可能か否かを任意に設定できるようになっている。この例では、接続可能の場合に○、接続不可能の場合に×を設定することを示している。
【００６２】
また、認証情報管理制御部９８は、テーブル１１２に認証サーバ１４からの電子証明書を、例えば１行目に示すように登録した際に、自営ＬＡＮ１３への接続可否状態を○とする。また、認証サーバ１４から電子証明書未保有情報が送信されてきた場合は、該当する携帯電話番号登録行（この例では２行目）の接続可否状態を×とする。
【００６３】
また、管理装置２２は、認証サーバ１４からの電子証明書が登録され、その接続可否状態が○とされた後でも、該当通信端末機１０の接続を許否する場合は、３行目に示すように、任意に×に変更することができる。なお、接続を拒否する他の方法として、テーブル１１２から該当電子証明書を削除してもよい。
認証依頼受信部９２は、ＬＡＮ通信部９０を介して無線ＬＡＮ基地局１２からの電子証明書及び発信元電話番号を受信するものである。
【００６４】
認証可否判定部９４は、認証依頼受信部９２で電子証明書及び発信元電話番号（携帯電話番号）が受信された際に、まず、その電子証明書の有効性を確認する。有効性の確認とは、電子証明書が改ざんなどによって本来のものと異なっていないか否かを判定する処理である。これによって、電子証明書が有効であることが確認された場合、データベース６２のテーブル１１２から、その受信携帯電話番号に対応する携帯電話番号を検索し、この携帯電話番号に対応付けられた接続可否状態を示す認証結果情報を、無線ＬＡＮ基地局１２へ送信する。これは、接続可否状態が○であれば接続許可を示す認証結果情報を、×であれば接続許否を示す認証結果情報を送信するものである。ここでは、○×で許可／許否の認証結果情報を送信するようにしているが、通信端末機１０からの電子証明書がテーブル１１２の電子証明書と一致することで許可、不一致で許否の認証結果情報を返信するようにしてもよい。
【００６５】
また、認証可否判定部９４は、上記の有効性の確認によって電子証明書が無効と判定された場合は、テーブル１１２における検索処理は行わず、接続許否を示す認証結果情報を送信するようになっている。
次に、このような構成の通信ネットワークシステムにおいて、通信端末機１０が認証装置１７から認証情報を取得する処理動作を、図８に示すフローチャートを参照して説明する。
【００６６】
まず、ステップＳ１において、通信端末機１０から認証装置１７に対して認証情報の発行が依頼される。即ち、ユーザによって、図２に示すキー操作部５２から予め定められた認証情報の発行依頼の操作が行われた際に、認証情報発行依頼部３６の制御によって、発信元電話番号記憶部３８に記憶されている発信元電話番号を用いた発信によって携帯電話基地局１９が通信状態とされた後、認証情報発行依頼信号が携帯電話通信部３２から携帯電話基地局１９へ送信される。
【００６７】
この送信された認証情報送信依頼信号は、ステップＳ２において、携帯電話回線網１８を介して認証装置１７へ送信される。これと同時に、携帯電話回線網１８から発信元電話番号が認証装置１７へ通知される。認証装置１７においては、電話回線通信部５４によって、その発信元電話番号及び認証情報発行依頼信号が受信され、認証処理部５６へ出力される。
【００６８】
ステップＳ３において、認証処理部５６では、認証情報発行依頼信号が入力されると、発信元電話番号で通信端末機１０の認証が行われる。ここで、認証が取れたとすると、認証情報発行部５８によって、通信端末機１０に対する電子証明書、秘密鍵及び公開鍵が作成される。この後、ステップＳ４において、公開鍵が含まれる電子証明書と秘密鍵とが、ＬＡＮ通信部８６から発信元電話番号の通信端末機１０へ向けて発行される。
【００６９】
また、認証処理部５６で作成された電子証明書、秘密鍵及び公開鍵は、ステップＳ５において、認証情報管理制御部６０の制御によってデータベース６２に記憶されて管理される。即ち、図６に示すように、データベース６２中の認証情報管理テーブル１１０中に、発行依頼元通信端末機１０の携帯電話番号に、上記で発行された電子証明書、秘密鍵及び公開鍵が対応付けられて記憶される。この記憶が例えば、テーブル１１０の１行目における携帯電話番号１、電子証明書１ａ、秘密鍵１ｂ及び公開鍵１ｃであるとして以降説明を続ける。
【００７０】
また、通信端末機１０へ向けて発行された電子証明書１ａ及び秘密鍵１ｂは、携帯電話回線網１８を介して携帯電話基地局１９から無線回線１１を介して通信端末機１０へ送信される。
この送信された電子証明書１ａ及び秘密鍵１ｂは、ステップＳ６において、通信端末機１０の携帯電話通信部３２で受信された後、認証情報受信制御部４０の制御によって認証情報記憶部４２に記憶される。
【００７１】
次に、認証サーバ１４が認証装置１７から通信端末機１０の認証情報を取得する処理動作を、図９に示すフローチャートを参照して説明する。
まず、ステップＳ１１において、管理装置２２から認証サーバ１４へのアクセスによって、認証装置識別情報記憶部１０２に、認証装置１７を識別するためのＩＰアドレス又はＤＮＳ名による認証情報が登録される。
【００７２】
また、ステップＳ１２において、管理装置２２から認証サーバ１４のデータベース９６にアクセスが行われ、データベース９６の認証情報・接続可否管理テーブル１１２に、図７に一例を示すように所定の携帯電話番号が登録される。即ち、携帯電話番号１，２，３が登録されたとする。
次に、ステップＳ１３において、認証サーバ１４の認証情報送信依頼部１００によって、認証装置１７に対する認証情報の送信依頼が行われる。即ち、テーブル１１２に登録された携帯電話番号（最初は１とする）が、認証装置識別情報記憶部１０２に記憶された識別情報で示される認証装置１７へ、インターネット通信部１０４から送信される。
【００７３】
この送信された携帯電話番号１は、ゲートウエイ１５及びインターネット１６を経由して認証装置１７へ到達する。そして、ステップＳ１４に示すように、認証装置１７のインターネット通信部６８を介して認証情報送信依頼受信部６４で受信される。
この後、ステップＳ１５において、依頼に用いた携帯電話番号１に対応する電子証明書が有るか否かが判定される。即ち、認証情報送信制御部６６によって、データベース６２の認証情報管理テーブル１１０から、受信携帯電話番号１に対応する携帯電話番号が検索される。この検索によって携帯電話番号１が存在すれば、ステップＳ１６において、その携帯電話番号１に対応付けられた電子証明書１ａが読み出されて認証サーバ１４へ送信される。
【００７４】
この送信された電子証明書１ａは、ステップＳ１７において、認証サーバ１４のインターネット通信部１０４で受信され、認証情報管理制御部９８へ出力される。そして、認証情報管理制御部９８の制御によって、図７に示すように、テーブル１１２の携帯電話番号１に対応付けられて登録され、更に自営ＬＡＮ１３への接続可否状態が、接続可能を示す○とされる。
【００７５】
一方、ステップＳ１５において、受信携帯電話番号１に対応する携帯電話番号が未検索であった場合は、その受信携帯電話番号１に対応する電子証明書を保有していないことを示す電子証明書未保有情報が、ステップＳ１８において、認証サーバ１４へ送信される。
この送信された電子証明書未保有情報が、ステップＳ１９において、認証サーバ１４で受信されると、認証情報管理制御部９８の制御によって、テーブル１１２の携帯電話番号１に対応付けられる接続可否状態が、接続不可能を示す×とされる。なお、テーブル１１２における携帯電話番号３の登録行の接続可否状態が×となっているのは、管理装置２２の強制設定によるものとする。
【００７６】
次に、通信端末機１０と自営ＬＡＮ１３とを認証を行った後に接続する際の処理動作を、図１０に示すフローチャートを参照して説明する。
まず、ステップＳ２１において、通信端末機１０において、キー操作部５２から自営ＬＡＮ１３への接続要求の操作が行われたとすると、ＬＡＮ接続要求部４６によって、発信元電話番号記憶部３８の携帯電話番号１を用いた発信により無線ＬＡＮ基地局１２と通信接続され、更にＬＡＮ接続要求信号が無線ＬＡＮ基地局１２へ送信される。
【００７７】
この送信されたＬＡＮ接続要求信号が、図４に示すＬＡＮ接続要求受信部７４で受信されると、ステップＳ２２において、認証情報送信要求部７６から認証情報送信要求信号が、受信ＬＡＮ接続要求信号の送信元である通信端末機１０へ送信される。
この送信された認証情報送信要求信号は、ステップＳ２３において、通信端末機１０の無線ＬＡＮ通信部３４で受信されてＬＡＮ接続要求部４６を介して認証情報送信制御部４４へ出力される。これによって、認証情報送信制御部４４の制御により、認証情報記憶部４２に記憶された電子証明書１ａが読み出され、無線ＬＡＮ通信部３４を介して無線ＬＡＮ基地局１２へ送信される。
【００７８】
この送信された電子証明書１ａは、認証情報受信部７８で受信され、認証依頼部８０によって、その電子証明書１ａの発信元の携帯電話番号１と共に、ＬＡＮ通信部８６を介して認証サーバ１４へ送信される。つまり、その電子証明書１ａの認証が依頼される。
無線ＬＡＮ通信部３４から送信された電子証明書１ａ及び携帯電話番号１は、ステップＳ２５において、自営ＬＡＮ１３を通り、認証サーバ１４の図５に示すＬＡＮ通信部９０を介して認証依頼受信部９２で受信される。
【００７９】
この受信後に、ステップＳ２６において、認証可否判定部９４で電子証明書１ａが有効であるか否かが判定される。この結果、有効であれば、ステップＳ２７で、認証可否判定部９４の制御によって、データベース６２の図７に示すテーブル１１２から、受信携帯電話番号１に対応する携帯電話番号１が検索され、この携帯電話番号１に対応付けられた接続可否状態が確認される。これによって該当通信端末機１０が、接続可能か否かが判定される。
【００８０】
この判定結果、○の接続可能であれば、ステップＳ２８において、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
この送信された接続許否を示す認証結果情報は、ステップＳ２９において、無線ＬＡＮ基地局１２のＬＡＮ通信部８６で受信される。そして、その接続許否を示す認証結果情報に応じた端末機−ＬＡＮ間接続制御部８２の制御によって、通信端末機１０と自営ＬＡＮ１３とが通信接続される。
【００８１】
一方、上記ステップＳ２６において、電子証明書１ａが無効と判定された場合、ステップＳ３０で、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
また、上記ステップＳ２７において、テーブル１１２の携帯電話番号１に対応付けられた接続可否状態が、×の接続不可能であったとすると、ステップＳ３１で、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
【００８２】
それらの接続許否を示す認証結果情報は、無線ＬＡＮ基地局１２のＬＡＮ通信部８６で受信されて認証結果通知部８４へ出力され、ステップＳ３２において、認証結果通知部８４から通信端末機１０へ通知（送信）される。
この通知された接続許否を示す認証結果情報は、ステップＳ３３において、通信端末機１０の無線ＬＡＮ通信部３４を介して認証結果受信制御部４８で受信される。そして、接続許否を示す認証結果情報に応じた認証結果受信制御部４８の制御によって、表示部５０に、自営ＬＡＮ１３との接続が許否されていることが表示される。
【００８３】
また、ステップＳ３２においては、ステップＳ２８で無線ＬＡＮ通信部３４へ送信された接続許可を示す認証結果情報も、上記同様に認証結果通知部８４から通信端末機１０へ通知される。
この通知された接続許可を示す認証結果情報は、ステップＳ３３において、通信端末機１０の認証結果受信制御部４８で受信され、そして、接続許可を示す認証結果情報に応じた認証結果受信制御部４８の制御によって、表示部５０に、自営ＬＡＮ１３との接続が許可され、接続されたことが表示される。
【００８４】
このように、本実施の形態の通信ネットワークシステムによれば、通信端末機１０が、携帯電話基地局１９を介して携帯電話回線網１８へ発信される発信元電話番号を用い、認証装置１７に認証情報の発行を依頼し、この依頼が行われた際に、認証装置１７が、携帯電話回線網１８に組み込まれた発信元電話番号の通知機能から通知される発信元電話番号により、発信元の通信端末機１０の認証を行い、認証が取れた場合に携帯電話回線網１８を介して発信元の通信端末機１０へ認証情報を発行する。また、この発行された認証情報を発信元電話番号に対応付けて認証装置１７に記憶する。また、その発行された認証情報を通信端末機１０に記憶する。
【００８５】
認証サーバ１４において、任意の電話番号をインターネットを介して認証装置１７へ送信し、認証装置１７に発信元電話番号に対応付けられて記憶された認証情報の中から、認証サーバ１４からの電話番号に対応する発信元電話番号に対応付けられた認証情報を取得する。この取得された認証情報を電話番号に対応付けて認証サーバ１４に記憶する。
【００８６】
そして、通信端末機１０に記憶された認証情報を、無線ＬＡＮ基地局１２及び自営ＬＡＮ１３を介して認証サーバ１４へ送信する。この送信された認証情報と、認証サーバ１４に記憶された認証情報とが一致する場合に、通信端末機１０に認証を許可するようにした。
これによって、従来のように、通信端末機１０にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機１０で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
【００８７】
また、通信端末機１０が認証装置１７から認証情報を取得する際の過程で、認証装置１７においては、携帯電話回線網１８（公衆の携帯電話回線網１８）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、通信端末機１０が接続される携帯電話回線網１８のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００８８】
また、認証装置１７及び認証サーバ１４において、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
また、認証サーバ１４において、認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、通信端末機１０に認証を許可するか否かの可否状態を対応付けて記憶しておき、通信端末機１０から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた可否状態から通信端末機１０の認証の可否を判定するようにした。
【００８９】
従って、認証サーバ１４において、通信端末機１０の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機１０の認証の可否を容易に行うことができる。
また、認証サーバ１４において、通信端末機１０から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に通信端末機１０の認証を拒否するようにした。従って、認証サーバ１４において、通信端末機１０の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。
【００９０】
また、認証サーバ１４に記憶される電話番号及び可否状態を任意に設定する管理装置２２を備えたので、通信端末機１０の電話番号並びに、通信端末機１０の認証を許可するか否かを認証サーバ１４に任意に設定することができる。従って、通信の利用状況が芳しくないなどの理由で認証を許可したくないユーザの通信端末機１０に対して、強制的に認証の許否を行うことができる。
【００９１】
また、認証情報は、電子証明書、秘密鍵及び公開鍵であるので、通信端末機１０、認証装置１７及び認証サーバ１４間の通信において、秘密鍵によって暗号化されたデータと共に電子証明書を伝送することで安全に伝送することができる。また、その伝送されたデータを公開鍵により適正に復号できた際に、電子証明書を送信してきた通信端末機１０が有効であると認証することができる。
【００９２】
但し、上記実施の形態においては、通信端末機１０が携帯電話と無線ＬＡＮの双方のインタフェース機能を備える構成を例に挙げて説明したが、通信端末機１０が据置型電話と有線ＬＡＮの双方のインタフェース機能を備える構成であってもよい。この場合、図１に示す通信端末機１０が交換機を介して、自営ＬＡＮ１３に接続されると共に、公衆電話回線網を介して認証装置１７に接続される構成となる。他の構成は同様であり、このような構成においても上記同様の効果を得ることができる。
【００９３】
【発明の効果】
以上説明したように本発明は、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができるという効果がある。
また、認証装置及び認証サーバにおいて、認証情報を電話番号に対応付けて記憶することにより管理するようにしたので、認証情報を容易に管理することができるという効果がある。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る通信ネットワークシステムの構成を示す図である。
【図２】上記実施の形態に係る通信ネットワークシステムにおける通信端末機の構成を示すブロック図である。
【図３】上記実施の形態に係る通信ネットワークシステムにおける認証装置の構成を示すブロック図である。
【図４】上記実施の形態に係る通信ネットワークシステムにおける無線ＬＡＮ基地局の構成を示すブロック図である。
【図５】上記実施の形態に係る通信ネットワークシステムにおける認証サーバの構成を示すブロック図である。
【図６】上記認証装置のデータベースに格納される認証情報管理テーブルの図である。
【図７】上記認証サーバのデータベースに格納される認証情報・接続可否管理テーブルの図である。
【図８】上記通信端末機が上記認証装置から認証情報を取得する処理動作を説明するためのフローチャートである。
【図９】上記認証サーバが上記認証装置から通信端末機の認証情報を取得する処理動作を説明するためのフローチャートである。
【図１０】上記通信端末機と自営ＬＡＮとを認証を行った後に接続する際の処理動作を説明するためのフローチャートである。
【符号の説明】
１０通信端末機
１１無線ＬＡＮの無線回線
１２無線ＬＡＮ基地局
１３自営ＬＡＮ
１４認証サーバ
１５ゲートウエイ
１６インターネット
１７認証装置
１８携帯電話回線網
１９携帯電話基地局
２０携帯電話の無線回線
３１携帯電話通信用アンテナ
３２携帯電話通信部
３３無線ＬＡＮ通信用アンテナ
３４無線ＬＡＮ通信部
３６認証情報発行依頼部
３８発信元電話番号記憶部
４０認証情報受信制御部
４２認証情報記憶部
４４認証情報送信制御部
４６ＬＡＮ接続要求部
４８認証結果受信制御部
５０表示部
５２キー操作部
５４電話回線通信部
５６認証処理部
５８認証情報発行部
６０認証情報管理制御部
６２データベース
６４認証情報送信依頼受信部
６６認証情報送信制御部
６８インターネット通信部
７２無線通信部
７４ＬＡＮ接続要求受信部
７６認証情報送信要求部
７８認証情報受信部
８０認証依頼部
８２端末機−ＬＡＮ間接続制御部
８４認証結果通知部
８６ＬＡＮ通信部
９０ＬＡＮ通信部
９２認証依頼受信部
９４認証可否判定部
９６データベース
９８認証情報管理制御部
１００認証情報送信依頼部
１０２認証装置識別情報記憶部
１０４インターネット通信部
１１０認証情報管理テーブル
１１２認証情報・接続可否管理テーブル[0001]
BACKGROUND OF THE INVENTION
In the present invention, a communication terminal such as a mobile phone, a PDA (Personal Digital Assistance) and a stationary stationary phone having a function of connecting to a wireless or wired LAN (Local Area Network) in addition to a telephone function is used in a corporate LAN or a home. The present invention relates to a communication network system, a communication terminal, an authentication device, an authentication server, and an electronic authentication method for performing authentication necessary for connecting to a self-operated LAN such as a LAN and managing authentication information necessary for this authentication.
[0002]
[Prior art]
In a mobile phone, for example, a communication terminal, user information is managed by an identifier called a telephone number. Further, in a wireless LAN in the LAN, user information is managed by a combination of a unique user name and password, an electronic certificate issued by a certificate authority, etc. (for example, Non-Patent Document 1).
[0003]
When a combination of a user name and a password is used as wireless LAN authentication information, it is required to input both the user name and the password to the communication terminal. At this time, the user name and password are usually expressed by a combination of alphabets, numbers, and symbols (for example, Non-Patent Document 2).
When using an electronic certificate as wireless LAN authentication information, it is input to a communication terminal using a storage medium such as a CD-ROM (Compact Disk Read Only Memory) or FD (Floppy (registered trademark) Disk). There is a need (for example, Non-Patent Document 3).
[0004]
As described above, conventionally, authentication information necessary for connecting to a LAN is managed with different identifiers for each interface function of both the mobile phone and the LAN. Moreover, as a method or apparatus for performing this type of conventional authentication, for example, there are those described in Patent Documents 1 and 2 below.
Patent Document 1 describes that when a communication terminal requests connection to a server via a network, the communication terminal transmits the stored telephone number as a user name and the stored terminal number as a password to the server. The server permits the connection when the transmitted user name and password completely match the stored user name and password in the server.
[0005]
Patent Document 2 describes that when a wireless terminal connects to a network, connection request information including an ID of the wireless terminal, authentication information, and a network address of a server that performs authentication is transmitted. If the server that performs authentication is the local server, perform direct authentication. If the server is not the local server, request authentication from the server that performs authentication, and if an authentication request is received from another server Authentication is performed and an authentication result is returned.
[0006]
[Patent Document 1]
JP-A-11-175477 (summary)
[Patent Document 2]
Japanese Patent Laid-Open No. 10-70540 (Summary)
[Non-Patent Document 1]
Takeshi Hattori, Masanobu Fujioka, “Wireless Broadband Textbook”, IDG Japan, June 10, 2002, p.291-293 “IEEE (Institute of Electrical and Electronic Engineers) currently being standardized as a wireless LAN authentication method Outlines the use of EAPTLS as an authentication method with the description of the 802.11i specification. "
[Non-Patent Document 2]
L.Blunk, J.Vollbrecht, "PPP Extensible Authentication Protocol (EAP)", RFC2284, Mar l998 "Specifies the method of EAP-MD5, which is a method for authenticating with a user name and password in a wireless LAN"
[0007]
[Non-Patent Document 3]
B. Aboba, D.A. Simon, “PPP EAP TLS Authentication Protocol (RFC2716)”, RFC2716, Octl999 “Specifies the EAP-TLS method for authenticating with a digital certificate in a wireless LAN”
[0008]
[Problems to be solved by the invention]
However, as in the above-mentioned Patent Document 1 and Non-Patent Documents 1 and 2, when authentication is performed with a user name and a password, the user name and password are expressed by a combination of alphabets, numbers, and symbols, or stored. Since the telephone number is expressed as a user name and the storage terminal number is expressed as a password, there is a high risk of being stolen and decrypted by a third party.
[0009]
Therefore, there is an electronic authentication method using authentication information based on an electronic certificate as in Patent Document 2 and Non-Patent Documents 1 and 3, but in this method, a CD-ROM device, an FD device, or the like is used as a communication terminal. You must connect an external input device and install a digital certificate. For this reason, especially in portable communication terminals such as cellular phones and PDAs, it is necessary to connect the device once at the location of the external input device and install an electronic certificate. Takes time and effort. In other words, there is a problem that an authentication request cannot be made immediately when necessary.
[0010]
Further, since authentication information necessary for connecting to the LAN is managed with different identifiers for each interface function of both the mobile phone and the LAN, there is a problem that management of the authentication information becomes complicated.
The present invention has been made in view of such a problem, and can perform authentication of a communication terminal immediately when necessary, and can easily manage authentication information necessary for the authentication. It is an object to provide a system, a communication terminal, an authentication device, an authentication server, and an electronic authentication method.
[0011]
[Means for Solving the Problems]
To achieve the above object, a communication network system according to claim 1 of the present invention is a communication network system in which a communication terminal authenticates itself to an authentication device. First communication means that can be connected to both a telephone line and a dedicated line An issue request means for requesting the authentication apparatus to issue authentication information using a caller telephone number transmitted to the telephone line via the first communication means, and in response to a request from the issue request means Receiving means for receiving authentication information issued from the authentication device, first storage means for storing authentication information received by the receiving means, and authentication information stored in the first storage means Authentication request means for requesting authentication of the own device by transmitting to the dedicated line via one communication means, and the authentication device, Second communication means capable of connecting to both the telephone line and the Internet And authenticating the communication terminal of the caller by the caller telephone number notified through the second communication means from the caller phone number notification function incorporated in the telephone line, and the authentication can be obtained. To the communication terminal of the transmission source via the second communication means Authentication information including electronic certificate and private key And a second storage unit for storing authentication information issued by the authentication processing unit, in addition to the communication terminal and the authentication device, Third communication means connectable to both the dedicated line and the Internet And authentication information stored in the second storage means of the authentication device from the third communication means via the Internet. At least electronic certificate as authentication information An acquisition means for acquiring, a third storage means for storing authentication information acquired by the acquisition means, and authentication information stored in the first storage means of the communication terminal from the communication terminal, Along with the telephone number of the communication terminal From the dedicated line via the third communication means Received When This received authentication information is retrieved in accordance with the received telephone number and stored in the third storage means. In the case where they match, the communication terminal is provided with an authentication server having authentication enable / disable determining means for permitting authentication.
[0012]
According to this configuration, the authentication information is acquired and stored from the authentication device via the telephone line in the communication terminal, and the authentication information is acquired and stored from the authentication device via the Internet in the authentication server. When the terminal authenticates itself, the authentication information stored in the own device is transmitted to the authentication server via the dedicated line, and the authentication information transmitted matches the authentication information stored in the authentication server. When doing so, the authentication was permitted to the communication terminal. This saves the trouble of connecting an external input device such as a CD-ROM device or an FD device to a communication terminal at a location where the external input device is installed, and performing authentication by installing authentication information. be able to. Accordingly, since authentication can be performed without using an external input device in the communication terminal, an authentication request can be made immediately when necessary.
[0013]
Further, in the process when the communication terminal acquires authentication information from the authentication device, the authentication device acquires the caller telephone number from the caller telephone number notification function built into the telephone line (public telephone line). However, the telephone line system to which the communication terminal is connected has a secure confidential function due to its configuration. For this reason, even if the caller telephone number is received and the authentication information is transmitted, the risk of being stolen or decrypted by a third party is extremely low and safe.
[0014]
A communication network system according to claim 2 of the present invention is the communication network system according to claim 1, wherein the authentication information stored in the second storage means is stored in the authentication device in association with the caller telephone number. 1 management control means is further provided.
According to this configuration, since authentication information is managed by storing the authentication information in association with the caller telephone number, the authentication information can be easily managed. In addition, since the stored authentication information can be searched by telephone number, the search can be performed easily and accurately.
[0015]
The communication network system according to claim 3 of the present invention is the communication network system according to claim 2, wherein the authentication information stored in the third storage means is stored in the authentication server in association with a telephone number. Authentication means stored in association with a caller telephone number in the second storage means of the authentication device via the Internet. At least electronic certificate as authentication information When acquiring, the authentication information associated with the caller telephone number corresponding to the telephone number used when storing the authentication information in the third storage means is acquired.
[0016]
According to this configuration, when the authentication server acquires the authentication information from the authentication device, it can be acquired by the telephone number, so that the authentication information can be easily acquired. Further, since the authentication server manages the authentication information by storing it in association with the telephone number corresponding to the caller telephone number, the authentication information can be easily managed. In addition, since the stored authentication information can be searched by telephone number, the search can be performed easily and accurately.
[0017]
According to claim 4 of the present invention, in the communication network system according to claim 3, in the authentication server, the second management control means stores the authentication information in the third storage means in association with the telephone number. In this case, the telephone number is further stored in association with whether or not the communication terminal is permitted to authenticate, and the authentication permission / inhibition determining means is configured to store the communication terminal in the third storage means. A telephone number corresponding to the caller telephone number transmitted together with the authentication information from the machine, and determining whether or not the communication terminal can be authenticated based on the availability state associated with the retrieved telephone number. It is a feature.
[0018]
According to this configuration, the authentication server can determine whether to permit authentication of the communication terminal from the availability state associated with the telephone number stored in the third storage means. Whether or not the terminal can be authenticated can be easily performed.
The communication network system according to claim 5 of the present invention is the communication network system according to any one of claims 1 to 4, wherein the authentication server determines whether the authentication information transmitted from the communication terminal is the authentication information. It is characterized in that it is confirmed whether or not it has been altered, and if it has been altered, authentication of the communication terminal is rejected.
[0019]
According to this configuration, in the authentication server, whether or not to permit authentication of the communication terminal is performed by checking the modification of the authentication information. It is possible to determine whether or not authentication can be performed more safely.
The communication network system according to claim 6 of the present invention is the communication network system according to claim 5, further comprising setting means connected to the authentication server and configured to arbitrarily set a telephone number and availability status stored in the third storage means. It is characterized by having prepared.
[0020]
According to this configuration, the telephone number of the communication terminal and whether or not to allow the authentication of the communication terminal can be arbitrarily set in the authentication server. Therefore, the authentication is performed because the communication usage is not good. It is possible to forcibly permit or reject authentication for a communication terminal of a user who does not wish to permit the authentication.
According to claim 7 of the present invention, in any one of claims 1 to 6, the authentication information is an electronic certificate, a private key, and a public key.
[0021]
According to this configuration, in the communication between the communication terminal, the authentication device, and the authentication server, the electronic certificate can be securely transmitted by being encrypted with the private key, and can be properly decrypted with the public key. can do.
The communication network system according to an eighth aspect of the present invention is the communication network system according to any one of the first to seventh aspects, wherein the telephone line is a mobile telephone line network in which the communication terminal can communicate via a radio base station. In addition, the dedicated line is a local area network in which the communication terminal can communicate via a radio base station.
[0022]
According to this configuration, even if the communication terminal is a mobile phone or PDA that performs wireless communication, authentication of the communication terminal can be performed immediately when necessary for the above reasons, and the electronic devices required for the authentication can be used. Certificate authentication information can be easily managed. Furthermore, the authentication can be performed safely.
A communication terminal according to claim 9 of the present invention is a communication terminal that authenticates itself to an authentication device included in a communication network system. Communication means that can be connected to both telephone lines and leased lines An issue request means for requesting the authentication apparatus to issue authentication information using a caller telephone number transmitted to the telephone line via the communication means, and the authentication apparatus in response to a request from the issue request means Receiving means for receiving the authentication information issued from the storage means, storage means for storing the authentication information received by the receiving means, and authentication information stored in the storage means to the dedicated line via the communication means It is characterized by comprising authentication request means for requesting authentication of the own device by transmitting.
[0023]
According to this configuration, the authentication information is acquired and stored in the communication terminal from the authentication device via the telephone line, and the authentication information stored in the own device is authenticated when the communication terminal authenticates itself. Is sent to the dedicated line, and as before, the external input device such as a CD-ROM device or FD device is connected to the communication terminal at a location where the external input device is located, and the authentication information is installed. This eliminates the trouble of performing authentication. Therefore, an authentication request can be made immediately from the communication terminal when necessary.
[0024]
An authentication apparatus according to claim 10 of the present invention is an authentication apparatus for performing authentication of a communication terminal included in a communication network system. Communication means that can be connected to both telephone lines and the Internet And authenticating the communication terminal of the caller by the caller telephone number notified via the communication means from the caller telephone number notification function built in the telephone line, Via the communication means to the source communication terminal Authentication information including electronic certificate and private key Authentication processing means for issuing authentication information, storage means for storing authentication information issued by the authentication processing means, and management control means for storing authentication information stored in the storage means in association with the caller telephone number It is characterized by having.
[0025]
According to this configuration, since authentication information is managed by storing the authentication information in association with the caller telephone number, the authentication information can be easily managed. In addition, since the stored authentication information can be searched by telephone number, the search can be performed easily and accurately.
In the authentication device, the caller telephone number is acquired from the caller telephone number notification function incorporated in the telephone line (public telephone line). However, the telephone line system has a secure confidential function because of its configuration. . For this reason, even if the caller telephone number is received and the authentication information is transmitted, the risk of being stolen or decrypted by a third party is extremely low and safe.
[0026]
An authentication server according to an eleventh aspect of the present invention is a communication network system for authenticating a communication terminal of a caller by a caller telephone number notified from a caller telephone number notification function incorporated in a telephone line. The authentication information is stored in association with the caller telephone number and is issued to the communication terminal and connected to the authentication terminal via the Internet and connected to the communication terminal via a dedicated line. Authentication information held by the authentication device via the Internet in an authentication server At least electronic certificate as authentication information Acquiring means for acquiring, storage means for storing the authentication information acquired by the acquiring means, and authentication information for authenticating the own device from the communication terminal, Along with the telephone number of the communication terminal Via the dedicated line Received When The received authentication information is retrieved in accordance with the received telephone number and stored in the storage means. In the case where they match, the communication terminal is provided with an authentication propriety judging means for permitting authentication.
[0027]
According to this configuration, the authentication server acquires and stores authentication information from the authentication device via the Internet, and the authentication information for the communication terminal to authenticate itself and the authentication stored in the authentication server. Since the authentication can be permitted to the communication terminal by matching with the information, the authentication can be requested even if the communication terminal does not access a known certificate authority (authentication apparatus). Therefore, the traffic amount to the certificate authority can be reduced.
[0028]
The authentication server according to claim 12 of the present invention further comprises management control means for storing authentication information stored in the storage means in association with a telephone number in claim 11, wherein the acquisition means When acquiring authentication information from the authentication device via the Internet, acquiring authentication information associated with a caller telephone number corresponding to a telephone number used when storing the authentication information in the storage means; It is a feature.
[0029]
According to this configuration, when the authentication server acquires the authentication information from the authentication device, it can be acquired by the telephone number, so that the authentication information can be easily acquired. Further, since the authentication server manages the authentication information by storing it in association with the telephone number corresponding to the caller telephone number, the authentication information can be easily managed. In addition, since the stored authentication information can be searched by telephone number, the search can be performed easily and accurately.
[0030]
The authentication server according to claim 13 of the present invention is the authentication server according to claim 12, wherein when the management control means stores the authentication information in the storage means in association with the telephone number, the communication number is further added to the telephone number. Whether the authentication is permitted or not is stored in association with the terminal, and the authentication permission determination means corresponds to the caller telephone number transmitted together with the authentication information from the communication terminal in the storage means. The telephone number to be searched is searched, and whether or not to authenticate the communication terminal is determined from the availability state associated with the retrieved telephone number.
[0031]
According to this configuration, the authentication server can determine whether to permit authentication of the communication terminal from the availability state associated with the telephone number stored in the third storage means. Whether or not the terminal can be authenticated can be easily performed.
An authentication server according to a fourteenth aspect of the present invention is the authentication server according to any one of the eleventh to thirteenth aspects, wherein the authentication propriety judging means determines whether or not the authentication information transmitted from the communication terminal has been altered. And the authentication of the communication terminal is rejected when it is altered.
[0032]
According to this configuration, in the authentication server, whether or not to allow authentication of the communication terminal is performed by checking the modification of the authentication information. It is possible to determine whether or not authentication can be performed more safely. According to a fifteenth aspect of the present invention, there is provided an electronic authentication method in which a communication terminal acquires authentication information from an authentication device, and requests authentication from an authentication server using the acquired authentication information. A first step of requesting the authentication device to issue authentication information using a caller telephone number transmitted to the telephone line, and when an issue request is made from the communication terminal in the first step , Authenticate the communication terminal of the caller by the caller telephone number notified from the caller telephone number notification function incorporated in the telephone line, and if the authentication is obtained, To the source communication terminal Authentication information including electronic certificate and private key Issue the first 2 And the step 2 The authentication information issued in the step is stored in the authentication device in association with the caller telephone number. 3 And the step 2 The authentication information issued in the step is stored in the communication terminal. 4 And an arbitrary telephone number in the authentication server is transmitted to the authentication device via the Internet, 3 Authentication information associated with the caller telephone number corresponding to the telephone number from the authentication server from among the authentication information stored in the authentication device in association with the caller telephone number At least electronic certificate as authentication information First to get 5 And the step 5 The authentication information acquired in the step is stored in the authentication server in association with the telephone number. 6 And the step 4 The authentication information stored in the communication terminal in the step is transmitted to the authentication server via a dedicated line. 7 And the step 7 From the communication terminal With phone number Sent authentication information and said first 6 Stored in the authentication server , Search according to the phone number If the authentication information matches, the communication terminal is allowed to authenticate 8 These steps are included.
[0033]
According to this method, the authentication information is acquired and stored from the authentication device via the telephone line in the communication terminal, and the authentication information is acquired and stored from the authentication device via the Internet in the authentication server. When the terminal authenticates itself, the authentication information stored in the own device is transmitted to the authentication server via the dedicated line, and the authentication information transmitted matches the authentication information stored in the authentication server. When doing so, the authentication was permitted to the communication terminal. This saves the trouble of connecting an external input device such as a CD-ROM device or an FD device to a communication terminal at a location where the external input device is installed, and performing authentication by installing authentication information. be able to.
[0034]
Accordingly, since authentication can be performed without using an external input device in the communication terminal, an authentication request can be made immediately when necessary.
Moreover, since authentication information is managed by being stored in association with a telephone number in the authentication device and the authentication server, authentication information can be easily managed.
[0035]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
(Embodiment)
FIG. 1 is a diagram showing a configuration of a communication network system according to an embodiment of the present invention.
[0036]
The communication network system shown in FIG. 1 includes a communication terminal 10 having interface functions for both a mobile phone and a wireless LAN, and a wireless LAN base station to which the communication terminal 10 is connected via a wireless LAN wireless line 11. 12, a private LAN 13 such as a corporate LAN or a home LAN connected to the wireless LAN base station 12, an authentication server 14 connected to the private LAN 13, and a gateway 15 and the Internet 16 to the authentication server 14. An authentication device 17 connected to the authentication device 17, a mobile phone base station 19 connected to the authentication device 17 via a mobile phone network 18, and a management device 22 connected to the authentication server 14. The device 10 is configured to be connected to a mobile phone base station 19 via a mobile phone radio line 20.
[0037]
Hereinafter, the wireless LAN 11 and the mobile phone 20 may be simply expressed as wireless lines 11 and 20.
In addition, the main part of the above-described components includes the following internal components.
As shown in FIG. 2, the communication terminal 10 includes a mobile phone communication unit 32 to which a mobile phone communication antenna (hereinafter also simply referred to as an antenna) 31 is connected, and a wireless LAN communication antenna (hereinafter simply referred to as an antenna). 33, a wireless LAN communication unit 34, an authentication information issue request unit 36, a caller telephone number storage unit 38, an authentication information reception control unit 40, an authentication information storage unit 42, and an authentication information transmission control unit 44. A LAN connection request unit 46, an authentication result reception control unit 48, a display unit 50, and a key operation unit 52. However, each of the antennas 31 and 33 may be realized by a single antenna using an antenna duplexer (not shown).
[0038]
The authentication device 17 includes a telephone line communication unit 54, an authentication processing unit 56, an authentication information issuing unit 58, an authentication information management control unit 60, a database 62, an authentication information transmission request receiving unit 64, and an authentication information transmission control. A unit 66 and an Internet communication unit 68 are provided.
The wireless LAN base station 12 includes a wireless communication unit 72, a LAN connection request reception unit 74, an authentication information transmission request unit 76, an authentication information reception unit 78, an authentication request unit 80, and a terminal-LAN connection control unit. 82, an authentication result notification unit 84, and a LAN communication unit 86.
[0039]
The authentication server 14 includes a LAN communication unit 90, an authentication request receiving unit 92, an authentication availability determination unit 94, a database 96, an authentication information management control unit 98, an authentication information transmission request unit 100, and an authentication device identification information storage. Unit 102 and Internet communication unit 104.
Next, the above components will be described. First, the communication terminal 10 shown in FIG. 2 will be described.
[0040]
The mobile phone communication unit 32 communicates with the mobile phone base station 19 via the telephone line 20 by the antenna 31.
The caller telephone number storage unit 38 stores a caller telephone number (mobile phone number) for connecting to the mobile phone network 18 via the base station 19.
When the key operation unit 52 performs an operation for requesting the issuance of predetermined authentication information, the authentication information issuance request unit 36 receives the caller telephone number stored in the caller telephone number storage unit 38. After making the communication state with the mobile phone base station 19 by the used transmission, the authentication apparatus 17 is requested to issue the authentication information of the own communication terminal 10 by transmitting an authentication information issue request signal.
[0041]
The authentication information reception control unit 40 receives the electronic certificate and private key issued from the authentication device 17 in response to the request from the authentication information issuance request unit 36, and stores these in the authentication information storage unit 42 as authentication information. Control is performed.
The wireless LAN communication unit 34 communicates with the wireless LAN base station 12 via the telephone line 11 by the antenna 33.
[0042]
The LAN connection request unit 46 communicates with the wireless LAN base station 12 by a call using a mobile phone number when an operation for making a connection request to the private LAN 13 is performed in the key operation unit 52 in advance. Then, a request for connecting the local communication terminal 10 to the private LAN 13 is made to the wireless LAN base station 12 by transmitting a LAN connection request signal via the wireless LAN communication unit 34. is there. When the LAN connection request unit 46 returns an authentication information transmission request signal from the wireless LAN base station 12 in response to the LAN connection request signal transmitted by the local LAN connection request unit 46, the LAN connection request unit 46 requests the authentication information transmission request. The signal is output to the authentication information transmission control unit 44.
[0043]
When the authentication information transmission request signal is input, the authentication information transmission control unit 44 reads out an electronic certificate that is authentication information stored in the authentication information storage unit 42, and uses the electronic certificate as a wireless LAN communication unit. The data is transmitted to the wireless LAN base station 12 via 34. That is, an authentication request for connecting to the private LAN 13 is made here.
[0044]
Here, in the authentication method performed in advance for connecting the communication terminal 10 to the private LAN 13, the secret obtained together with the electronic certificate is the encryption key for encrypting the signal transmitted to the wireless line 11. Generates from the key and transmits the signal. For this reason, the communication terminal 10 does not require input of a user name or a password. Such a technique is general, and it is assumed that the electronic certificate is used as an IEEE (Institute of Electrical and Electronic Engineers) 802. There are technologies such as lx and EAP-TLS (Extensible Authentication Protocol-Transport Layer Security).
[0045]
The authentication result reception control unit 48 receives the authentication result information notified from the wireless LAN base station 12 and performs control to display the authentication result on the display unit 50 with characters and images. The authentication result information indicates permission / denial of connection between the communication terminal 10 and the private LAN 13. Therefore, the display unit 50 displays the permission or permission.
[0046]
Next, the authentication device 17 shown in FIG. 3 will be described.
This authentication device 17 generally uses an authentication function using an electronic certificate provided in a certificate authority, and is central in a mechanism called PKI (Public Key Infrastructure) necessary for the authentication function. Public key that plays a role, private key, digital certificate issuance and management. In the authentication device 17, a function for managing an electronic certificate, a private key, and a public key in association with the caller telephone number is added to the basic functions of those certificate authorities.
[0047]
The telephone line communication unit 54 is an interface for communicating with the mobile phone line network 18, receives a caller telephone number and an authentication information issuance request signal transmitted from the mobile phone line network 18, and performs electronic certification. And a secret key. The received caller telephone number can be obtained by caller ID notification, which is a function of the public telephone line system of the mobile phone line network 18, and the mobile phone line network 18 and the communication terminal 10 are connected to each other. It can be determined that the mobile phone line to be connected is safe. For this reason, even if the caller telephone number is received and the electronic certificate and private key are transmitted, the risk of theft and decryption by a third party is extremely low and safe.
[0048]
When the authentication information issuance request signal received by the telephone line communication unit 54 is input, the authentication processing unit 56 authenticates the communication terminal 10 with the received caller telephone number, and when the authentication is obtained, The caller telephone number is output to the authentication information issuing unit 58 and the authentication information management control unit 60. However, the authentication process is performed by the authentication function described above.
[0049]
When the authenticated caller telephone number is input from the authentication processing unit 56, the authentication information issuing unit 58 creates an electronic certificate, a private key, and a public key, and then an electronic certificate including the public key and a secret A key is issued to the communication terminal 10 of the caller telephone number. In addition, the electronic certificate, the private key, and the public key are output to the authentication information management control unit 60.
[0050]
The authentication information management control unit 60 uses the electronic certificate, private key, and public key issued by the authentication information issuing unit 58 as the telephone number of the authentication information issuance destination, that is, the caller telephone input from the authentication processing unit 56. The number is stored in the database 62 in association with the number.
This storage is performed in an authentication information management table (hereinafter also simply referred to as a table) 110 shown in FIG. In the example of FIG. 6, the electronic certificate 1a, the private key 1b, and the public key 1c are associated with the mobile phone number 1 of the sender in the first line, and the electronic certificate is assigned to the mobile phone number 2 in the second line. 2a, the private key 2b, and the public key 2c show a state in which the electronic certificate 3a, the private key 3b, and the public key 3c are associated with the mobile phone number 3 in the third line.
[0051]
The Internet communication unit 68 is an interface for communicating with the Internet 16.
The authentication information transmission request receiving unit 64 receives a mobile phone number used for an authentication information transmission request from the authentication server 14 transmitted via the Internet 16.
[0052]
The authentication information transmission control unit 66 searches the authentication information management table 110 of the database 62 for a mobile phone number corresponding to the mobile phone number received by the authentication information transmission request receiving unit 64, and associates it with this mobile phone number. The electronic certificate is read out and transmitted to the authentication server 14. If the mobile phone number corresponding to the received mobile phone number is not registered, electronic certificate non-holding information indicating that the electronic certificate corresponding to the received mobile phone number is not held is sent to the authentication server 14. Send.
[0053]
Next, the wireless LAN base station 12 shown in FIG. 4 will be described.
The wireless communication unit 72 communicates with the communication terminal 10 via the wireless line 11.
The LAN communication unit 86 communicates with the private LAN 13.
The LAN connection request receiving unit 74 receives a LAN connection request signal from the communication terminal 10 via the wireless communication unit 72.
[0054]
The authentication information transmission request unit 76 transmits an authentication information transmission request signal to the communication terminal 10 that is the transmission source of the LAN connection request signal when the LAN connection request reception unit 74 receives the LAN connection request signal. is there.
The authentication information receiving unit 78 receives an electronic certificate from the communication terminal 10 via the wireless communication unit 72.
[0055]
The authentication requesting unit 80 transmits the electronic certificate received by the authentication information receiving unit 78 to the authentication server 14 through the LAN communication unit 86 together with the transmission source telephone number of the electronic certificate, thereby obtaining the electronic certificate. Requesting certificate authentication. The electronic certificate is transmitted from the LAN communication unit 86 to the authentication server 14 via the private LAN 13. At the time of this authentication request, the communication terminal 10 can only communicate with the wireless LAN base station 12. Yes.
[0056]
The terminal-LAN connection control unit 82 controls communication connection between the communication terminal 10 and the private LAN 13 when authentication result information indicating authentication permission is transmitted from the authentication server 14 via the LAN communication unit 86. Is to do.
The authentication result notifying unit 84 notifies authentication result information from the authentication server 14 to the communication terminal 10 via the wireless communication unit 72.
[0057]
Next, the authentication server 14 shown in FIG. 5 will be described.
The LAN communication unit 90 is an interface for communicating with the private LAN 13.
The Internet communication unit 104 is an interface for communicating with the Internet 16.
[0058]
The authentication device identification information storage unit 102 stores identification information for identifying the authentication device 17. However, the identification information is an IP (Internet Protocol) address or a DNS (Domain Name System) name for specifying the authentication device 17. These pieces of identification information are set in advance by a management device 22 such as a personal computer.
[0059]
The authentication information transmission request unit 100 requests the authentication device 17 to transmit authentication information via the Internet 16. This request is made by transmitting the mobile phone number input from the management device 22 to the authentication device 17 via the Internet communication unit 104. In addition, the authentication device 17 as the transmission destination is specified by the identification information stored in the authentication device identification information storage unit 102.
[0060]
The authentication information management control unit 98 stores the electronic certificate transmitted from the authentication server 14 via the Internet 16 in the database 96 in association with the mobile phone number used for the transmission request of the electronic certificate. is there.
This storage is performed in the authentication information / connectability management table (hereinafter also simply referred to as a table) 112 shown in FIG. In the example of FIG. 7, the electronic certificate 1a is associated with the mobile phone number 1 in the first line, and nothing is associated with the mobile phone number 2 in the second line. The state where the electronic certificate 3a is associated with the telephone number 3 is shown.
[0061]
The mobile phone numbers 1 to 3 in the table 112 are input from the management device 22. Further, the table 112 is associated with the electronic certificate 1 a to 3 a and the availability status to the private LAN 13, and this is also performed by input from the management device 22.
That is, the management device 22 arbitrarily accesses the database 96, registers a desired mobile phone number in the table 112, and arbitrarily sets whether or not the communication terminal 10 of the mobile phone number can be connected to the private LAN 13. It can be done. In this example, “◯” is set when connection is possible, and “X” is set when connection is impossible.
[0062]
Further, when the electronic certificate from the authentication server 14 is registered in the table 112 as shown in, for example, the first line, the authentication information management control unit 98 sets the state where connection to the private LAN 13 is possible. Further, when electronic certificate non-holding information is transmitted from the authentication server 14, the connection permission / non-permission state of the corresponding mobile phone number registration line (in this example, the second line) is set to x.
[0063]
In addition, the management device 22 shows the third line when permitting the connection of the communication terminal 10 even after the electronic certificate from the authentication server 14 is registered and the connection permission / non-permission state is ◯. In addition, it can be arbitrarily changed to x. As another method for rejecting the connection, the corresponding electronic certificate may be deleted from the table 112.
The authentication request receiving unit 92 receives the electronic certificate and the caller telephone number from the wireless LAN base station 12 via the LAN communication unit 90.
[0064]
When the authentication request reception unit 92 receives the electronic certificate and the caller telephone number (mobile phone number), the authentication propriety determination unit 94 first checks the validity of the electronic certificate. The validity check is a process for determining whether or not the electronic certificate is different from the original one due to tampering or the like. Accordingly, when it is confirmed that the electronic certificate is valid, the mobile phone number corresponding to the received mobile phone number is searched from the table 112 of the database 62, and the connection possibility associated with the mobile phone number is checked. Authentication result information indicating the state is transmitted to the wireless LAN base station 12. In this case, if the connection permission / non-permission state is ◯, authentication result information indicating connection permission is transmitted, and if it is ×, authentication result information indicating connection permission / inhibition is transmitted. Here, the authentication result information of permission / rejection is transmitted by ○ ×, but when the electronic certificate from the communication terminal 10 matches the electronic certificate of the table 112, the permission / denial authentication is performed. Result information may be returned.
[0065]
Further, when it is determined that the electronic certificate is invalid as a result of the above confirmation of validity, the authentication propriety determination unit 94 does not perform the search process in the table 112 and transmits authentication result information indicating connection permission / inhibition. ing.
Next, in the communication network system having such a configuration, a processing operation in which the communication terminal 10 acquires authentication information from the authentication device 17 will be described with reference to a flowchart shown in FIG.
[0066]
First, in step S1, the communication terminal 10 requests the authentication device 17 to issue authentication information. That is, when the user performs a predetermined authentication information issuance request operation from the key operation unit 52 shown in FIG. 2, the authentication information issuance request unit 36 controls the caller telephone number storage unit 38. After the mobile phone base station 19 is brought into a communication state by transmission using the stored caller telephone number, an authentication information issue request signal is transmitted from the mobile phone communication unit 32 to the mobile phone base station 19.
[0067]
The transmitted authentication information transmission request signal is transmitted to the authentication device 17 via the mobile telephone network 18 in step S2. At the same time, the caller telephone number is notified from the mobile phone network 18 to the authentication device 17. In the authentication device 17, the telephone line communication unit 54 receives the caller telephone number and the authentication information issue request signal, and outputs them to the authentication processing unit 56.
[0068]
In step S3, when an authentication information issuance request signal is input, the authentication processing unit 56 authenticates the communication terminal 10 with the caller telephone number. Here, assuming that the authentication is successful, the authentication information issuing unit 58 creates an electronic certificate, a private key, and a public key for the communication terminal 10. Thereafter, in step S4, an electronic certificate including a public key and a private key are issued from the LAN communication unit 86 to the communication terminal 10 of the caller telephone number.
[0069]
The electronic certificate, private key, and public key created by the authentication processing unit 56 are stored and managed in the database 62 under the control of the authentication information management control unit 60 in step S5. That is, as shown in FIG. 6, in the authentication information management table 110 in the database 62, the electronic certificate, private key and public key issued above correspond to the mobile phone number of the issuance request source communication terminal 10. Attached and memorized. The description will be continued hereinafter assuming that this storage is, for example, the mobile phone number 1, the electronic certificate 1a, the private key 1b, and the public key 1c in the first row of the table 110.
[0070]
The electronic certificate 1 a and the private key 1 b issued to the communication terminal 10 are transmitted from the mobile phone base station 19 to the communication terminal 10 via the wireless line 11 via the mobile phone network 18. .
The transmitted electronic certificate 1a and private key 1b are received by the mobile phone communication unit 32 of the communication terminal 10 in step S6, and then stored in the authentication information storage unit 42 under the control of the authentication information reception control unit 40. Is done.
[0071]
Next, the processing operation in which the authentication server 14 acquires the authentication information of the communication terminal 10 from the authentication device 17 will be described with reference to the flowchart shown in FIG.
First, in step S <b> 11, authentication information based on an IP address or DNS name for identifying the authentication device 17 is registered in the authentication device identification information storage unit 102 by accessing the authentication server 14 from the management device 22.
[0072]
In step S12, the management device 22 accesses the database 96 of the authentication server 14, and a predetermined mobile phone number is registered in the authentication information / connectability management table 112 of the database 96 as shown in FIG. Is done. That is, it is assumed that mobile phone numbers 1, 2, and 3 are registered.
Next, in step S <b> 13, the authentication information transmission request unit 100 of the authentication server 14 requests the authentication device 17 to transmit authentication information. That is, the mobile phone number (initially 1) registered in the table 112 is transmitted from the Internet communication unit 104 to the authentication device 17 indicated by the identification information stored in the authentication device identification information storage unit 102.
[0073]
The transmitted mobile phone number 1 reaches the authentication device 17 via the gateway 15 and the Internet 16. Then, as shown in step S <b> 14, the authentication information transmission request receiving unit 64 receives the information via the Internet communication unit 68 of the authentication device 17.
Thereafter, in step S15, it is determined whether or not there is an electronic certificate corresponding to the mobile phone number 1 used for the request. That is, the authentication information transmission control unit 66 searches the authentication information management table 110 of the database 62 for the mobile phone number corresponding to the received mobile phone number 1. If the mobile phone number 1 exists by this search, the electronic certificate 1a associated with the mobile phone number 1 is read out and transmitted to the authentication server 14 in step S16.
[0074]
The transmitted electronic certificate 1a is received by the Internet communication unit 104 of the authentication server 14 and output to the authentication information management control unit 98 in step S17. Then, under the control of the authentication information management control unit 98, as shown in FIG. 7, it is registered in association with the mobile phone number 1 of the table 112, and the connection availability state to the private LAN 13 is ○ indicating that connection is possible. Is done.
[0075]
On the other hand, if the mobile phone number corresponding to the received mobile phone number 1 has not been searched in step S15, an electronic certificate indicating that the electronic certificate corresponding to the received mobile phone number 1 is not held is not stored. The possession information is transmitted to the authentication server 14 in step S18.
When the transmitted electronic certificate non-holding information is received by the authentication server 14 in step S19, the connection availability state associated with the mobile phone number 1 in the table 112 is controlled by the authentication information management control unit 98. , X indicating that connection is impossible. It should be noted that the connection permission / non-permission state of the registration line of the mobile phone number 3 in the table 112 is “x” because of the forced setting of the management device 22.
[0076]
Next, processing operations when the communication terminal 10 and the private LAN 13 are connected after being authenticated will be described with reference to the flowchart shown in FIG.
First, in step S21, if an operation for requesting connection from the key operation unit 52 to the private LAN 13 is performed in the communication terminal 10, the LAN connection request unit 46 causes the mobile phone number 1 of the caller telephone number storage unit 38 to be stored. The communication is connected to the wireless LAN base station 12 by transmission using, and a LAN connection request signal is transmitted to the wireless LAN base station 12.
[0077]
When the transmitted LAN connection request signal is received by the LAN connection request receiving unit 74 shown in FIG. 4, in step S22, the authentication information transmission request signal is sent from the authentication information transmission request unit 76 to the received LAN connection request signal. It is transmitted to the communication terminal 10 that is the transmission source.
The transmitted authentication information transmission request signal is received by the wireless LAN communication unit 34 of the communication terminal 10 and output to the authentication information transmission control unit 44 via the LAN connection request unit 46 in step S23. As a result, under the control of the authentication information transmission control unit 44, the electronic certificate 1a stored in the authentication information storage unit 42 is read and transmitted to the wireless LAN base station 12 via the wireless LAN communication unit 34.
[0078]
The transmitted electronic certificate 1a is received by the authentication information receiving unit 78, and the authentication requesting unit 80 and the mobile phone number 1 of the transmission source of the electronic certificate 1a together with the authentication server 14 via the LAN communication unit 86. Sent to. That is, authentication of the electronic certificate 1a is requested.
In step S25, the electronic certificate 1a and the mobile phone number 1 transmitted from the wireless LAN communication unit 34 pass through the private LAN 13 and are received by the authentication request receiving unit 92 via the LAN communication unit 90 shown in FIG. Received.
[0079]
After this reception, in step S26, the authentication propriety determination unit 94 determines whether or not the electronic certificate 1a is valid. If the result is valid, in step S27, the mobile phone number 1 corresponding to the received mobile phone number 1 is retrieved from the table 112 shown in FIG. The connection permission / inhibition state associated with the telephone number 1 is confirmed. Accordingly, it is determined whether or not the communication terminal 10 can be connected.
[0080]
If the result of this determination is that a connection of ○ is possible, authentication result information indicating whether the connection is permitted or not is transmitted from the authentication enable / disable determining unit 94 to the wireless LAN base station 12 in step S28.
The transmitted authentication result information indicating permission / inhibition of connection is received by the LAN communication unit 86 of the wireless LAN base station 12 in step S29. The communication terminal 10 and the private LAN 13 are communicatively connected by the control of the terminal-LAN connection control unit 82 according to the authentication result information indicating whether or not the connection is permitted.
[0081]
On the other hand, if it is determined in step S26 that the electronic certificate 1a is invalid, authentication result information indicating whether the connection is permitted or not is transmitted from the authentication enable / disable determining unit 94 to the wireless LAN base station 12 in step S30.
Also, in the above step S27, if the connection possibility state associated with the mobile phone number 1 in the table 112 is “x”, the authentication result indicating the connection permission / rejection from the authentication possibility determination unit 94 in step S31. Information is transmitted to the wireless LAN base station 12.
[0082]
The authentication result information indicating whether or not the connection is permitted is received by the LAN communication unit 86 of the wireless LAN base station 12 and output to the authentication result notification unit 84. In step S32, the authentication result notification unit 84 notifies the communication terminal 10 of the authentication result information. (Sent).
The notified authentication result information indicating whether or not the connection is permitted is received by the authentication result reception control unit 48 via the wireless LAN communication unit 34 of the communication terminal 10 in step S33. Then, the control of the authentication result reception control unit 48 according to the authentication result information indicating whether or not the connection is permitted displays on the display unit 50 that the connection with the private LAN 13 is permitted.
[0083]
In step S32, the authentication result information indicating the connection permission transmitted to the wireless LAN communication unit 34 in step S28 is also notified from the authentication result notification unit 84 to the communication terminal 10 as described above.
The notified authentication result information indicating the connection permission is received by the authentication result reception control unit 48 of the communication terminal 10 in step S33, and the authentication result reception control unit 48 according to the authentication result information indicating the connection permission. Through the control, the display unit 50 is allowed to connect to the private LAN 13 and displays that it is connected.
[0084]
As described above, according to the communication network system of the present embodiment, the communication terminal 10 uses the caller telephone number transmitted to the mobile phone network 18 through the mobile phone base station 19 to the authentication device 17. The authentication device 17 requests the issuance of authentication information, and when this request is made, the authentication device 17 uses the caller telephone number notified from the caller telephone number notification function incorporated in the mobile phone line network 18 to The communication terminal 10 is authenticated, and if the authentication is successful, the authentication information is issued to the communication terminal 10 as the transmission source via the mobile phone network 18. The issued authentication information is stored in the authentication device 17 in association with the caller telephone number. The issued authentication information is stored in the communication terminal 10.
[0085]
In the authentication server 14, an arbitrary telephone number is transmitted to the authentication device 17 via the Internet, and the telephone number from the authentication server 14 is stored in the authentication information stored in the authentication device 17 in association with the caller telephone number. The authentication information associated with the caller telephone number corresponding to is acquired. The acquired authentication information is stored in the authentication server 14 in association with the telephone number.
[0086]
The authentication information stored in the communication terminal 10 is transmitted to the authentication server 14 via the wireless LAN base station 12 and the private LAN 13. When the transmitted authentication information matches the authentication information stored in the authentication server 14, the communication terminal 10 is allowed to authenticate.
As a result, as in the prior art, an external input device such as a CD-ROM device or an FD device is connected to the communication terminal 10 once at a location where the external input device is installed, and authentication information is installed to perform authentication. It can be omitted. Accordingly, since authentication can be performed without using an external input device in the communication terminal 10, an authentication request can be made immediately when necessary.
[0087]
Further, in the process when the communication terminal 10 acquires authentication information from the authentication device 17, the authentication device 17 notifies the caller telephone number incorporated in the mobile phone network 18 (public mobile phone network 18). Although the caller telephone number is acquired from the function, the system of the mobile phone network 18 to which the communication terminal 10 is connected has a secure confidentiality function due to its configuration. For this reason, even if the caller telephone number is received and the authentication information is transmitted, the risk of being stolen or decrypted by a third party is extremely low and safe.
[0088]
Further, the authentication device 17 and the authentication server 14 manage the authentication information by storing it in association with the caller telephone number, so that the authentication information can be easily managed. In addition, since the stored authentication information can be searched by telephone number, the search can be performed easily and accurately.
Further, when the authentication server 14 stores the authentication information in association with the telephone number, the telephone number is further stored in association with whether or not the communication terminal 10 is permitted to authenticate. The telephone number corresponding to the caller telephone number transmitted together with the authentication information from the communication terminal 10 is searched, and whether or not the communication terminal 10 can be authenticated is determined from the availability state associated with the retrieved telephone number. I tried to do it.
[0089]
Accordingly, the authentication server 14 can determine whether to permit authentication of the communication terminal 10 from the availability state associated with the telephone number stored in the third storage means. 10 can be easily verified.
Further, the authentication server 14 confirms whether or not the authentication information transmitted from the communication terminal 10 has been altered. If the authentication information has been altered, the authentication of the communication terminal 10 is rejected. Accordingly, since the authentication server 14 determines whether or not to allow the authentication of the communication terminal 10 by checking the modification of the authentication information, whether or not authentication can be performed can be determined by double checking. Therefore, it is possible to determine whether or not authentication is possible more safely.
[0090]
Further, since the management device 22 for arbitrarily setting the telephone number stored in the authentication server 14 and the availability state is provided, the telephone number of the communication terminal 10 and whether the authentication of the communication terminal 10 is permitted are authenticated. The server 14 can be arbitrarily set. Accordingly, it is possible to forcibly permit or reject the authentication to the communication terminal 10 of the user who does not want to permit the authentication because the communication usage is not good.
[0091]
Further, since the authentication information is an electronic certificate, a private key, and a public key, an electronic certificate is transmitted together with data encrypted by the private key in communication between the communication terminal 10, the authentication device 17, and the authentication server 14. By doing so, it can be transmitted safely. Further, when the transmitted data can be properly decrypted with the public key, it can be authenticated that the communication terminal 10 that has transmitted the electronic certificate is valid.
[0092]
However, in the above embodiment, the communication terminal 10 has been described by taking as an example a configuration in which both the mobile phone and the wireless LAN interface functions are provided. However, the communication terminal 10 has both a stationary telephone and a wired LAN. It may be configured to have an interface function. In this case, the communication terminal 10 shown in FIG. 1 is connected to the private LAN 13 via the exchange and connected to the authentication device 17 via the public telephone line network. Other configurations are the same, and the same effects as described above can be obtained even in such a configuration.
[0093]
【The invention's effect】
As described above, the present invention acquires and stores authentication information from the authentication device via the telephone line in the communication terminal, and acquires and stores authentication information from the authentication device via the Internet in the authentication server. When the communication terminal authenticates itself, the authentication information stored in the own terminal is transmitted to the authentication server via the dedicated line, and the transmitted authentication information and the authentication information stored in the authentication server are transmitted. Added authentication to communication terminals when and match. This saves the trouble of connecting an external input device such as a CD-ROM device or an FD device to a communication terminal at a location where the external input device is installed, and performing authentication by installing authentication information. be able to. Accordingly, since authentication can be performed without using an external input device in the communication terminal, there is an effect that an authentication request can be immediately made when necessary.
Further, since the authentication apparatus and the authentication server manage the authentication information by storing it in association with the telephone number, there is an effect that the authentication information can be easily managed.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a communication network system according to an embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of a communication terminal in the communication network system according to the embodiment.
FIG. 3 is a block diagram showing a configuration of an authentication device in the communication network system according to the embodiment.
FIG. 4 is a block diagram showing a configuration of a wireless LAN base station in the communication network system according to the above embodiment.
FIG. 5 is a block diagram showing a configuration of an authentication server in the communication network system according to the embodiment.
FIG. 6 is a diagram of an authentication information management table stored in the database of the authentication device.
FIG. 7 is a diagram of an authentication information / connectability management table stored in the database of the authentication server.
FIG. 8 is a flowchart illustrating a processing operation in which the communication terminal acquires authentication information from the authentication device.
FIG. 9 is a flowchart for explaining a processing operation in which the authentication server acquires authentication information of a communication terminal from the authentication device.
FIG. 10 is a flowchart for explaining a processing operation when the communication terminal and the private LAN are connected after being authenticated.
[Explanation of symbols]
10 Communication terminal
11 Wireless LAN wireless connection
12 Wireless LAN base station
13 Private LAN
14 Authentication server
15 Gateway
16 Internet
17 Authentication device
18 Mobile phone network
19 Mobile phone base station
20 Mobile phone radio link
31 Antenna for cellular phone communication
32 Mobile Phone Communication Department
33 Antenna for wireless LAN communication
34 Wireless LAN communication unit
36 Authentication Information Issuance Request Department
38 Source telephone number storage
40 Authentication information reception control unit
42 Authentication information storage unit
44 Authentication information transmission control unit
46 LAN connection request section
48 Authentication result reception control unit
50 display section
52 Key operation unit
54 Telephone line communication department
56 Authentication processing part
58 Authentication Information Issuing Department
60 Authentication Information Management Control Unit
62 Database
64 Authentication information transmission request receiver
66 Authentication Information Transmission Control Unit
68 Internet Communication Department
72 Wireless communication unit
74 LAN connection request receiver
76 Authentication information transmission request part
78 Authentication information receiver
80 Authentication Request Department
82 Terminal-LAN connection controller
84 Authentication result notification section
86 LAN communication section
90 LAN communication unit
92 Authentication request receiver
94 Authentication availability determination unit
96 database
98 Authentication information management control unit
100 Authentication information transmission request part
102 Authentication device identification information storage unit
104 Internet Communication Department
110 Authentication information management table
112 Authentication information / connection availability management table

Claims

通信端末機が自機の認証を認証装置に行う通信ネットワークシステムにおいて、前記通信端末機に、電話回線と専用回線の双方に接続できる第１の通信手段と、前記第１の通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する第１の記憶手段と、前記第１の記憶手段に記憶された認証情報を前記第１の通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備え、前記認証装置に、前記電話回線とインターネットの双方に接続できる第２の通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記第２の通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記第２の通信手段を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する第２の記憶手段とを備え、前記通信端末機及び前記認証装置の他に、前記専用回線及び前記インターネットの双方に接続できる第３の通信手段と、前記第３の通信手段からインターネットを介して前記認証装置の前記第２の記憶手段に記憶された認証情報のうち少なくとも電子証明書を認証情報として取得する取得手段と、前記取得手段で取得された認証情報を記憶する第３の記憶手段と、前記通信端末機から当該通信端末機の前記第１の記憶手段に記憶された認証情報が、当該通信端末機の電話番号と共に、前記専用回線から前記第３の通信手段を介して受信された際に、この受信された認証情報が、同受信された電話番号に応じて検索される前記第３の記憶手段に記憶の認証情報に一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを有する認証サーバを備えたことを特徴とする通信ネットワークシステム。In a communication network system in which a communication terminal authenticates itself to an authentication device, the communication terminal is connected to both a telephone line and a dedicated line through the first communication means. Using a caller telephone number transmitted to the telephone line, an issue request means for requesting the authentication apparatus to issue authentication information, and receiving authentication information issued from the authentication apparatus in response to a request from the issue request means Receiving means, first storage means for storing authentication information received by the receiving means, and authentication information stored in the first storage means to the dedicated line via the first communication means. and a certification request means for requesting the authentication of its own equipment by transmitting, to the authentication device, a second communication unit that can be connected to both the telephone line and the Internet, embedded in the phone line originating Authentication of the communication terminal of the caller is performed by the caller telephone number notified from the telephone number notification function via the second communication means, and when authentication is obtained, the authentication is made via the second communication means. Authentication processing means for issuing authentication information including an electronic certificate and a private key to the communication terminal of the transmission source, and second storage means for storing authentication information issued by the authentication processing means, In addition to the communication terminal and the authentication device, third communication means that can be connected to both the dedicated line and the Internet, and the second storage means of the authentication device from the third communication means via the Internet the communication acquisition means for acquiring at least electronic certificate as the authentication information among the stored authentication information, and the third storage means for storing the authentication information acquired by the acquisition unit, from said communication terminal to Authentication the first authentication information stored in the storage means of the terminal, along with the telephone number of the communication terminal, when it is received from the dedicated line via said third communication means, which is the received An authentication server having authentication enable / disable determining means for permitting authentication to the communication terminal when the information matches the authentication information stored in the third storage means searched according to the received telephone number ; A communication network system characterized by comprising.

前記認証装置に、
前記第２の記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する第１の管理制御手段を更に備えた
ことを特徴とする請求項１に記載の通信ネットワークシステム。In the authentication device,
The communication network system according to claim 1, further comprising first management control means for storing authentication information stored in the second storage means in association with the caller telephone number.

前記認証サーバに、前記第３の記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する第２の管理制御手段を更に備え、前記取得手段は、前記インターネットを介して前記認証装置の前記第２の記憶手段に発信元電話番号に対応付けられて記憶された認証情報のうち少なくとも電子証明書を認証情報として取得する際に、前記第３の記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得することを特徴とする請求項２に記載の通信ネットワークシステム。The authentication server further includes second management control means for storing authentication information stored in the third storage means in association with a telephone number, and the acquisition means is configured to connect the authentication device via the Internet. When acquiring at least an electronic certificate as authentication information among the authentication information stored in association with the caller telephone number in the second storage unit, when storing the authentication information in the third storage unit 3. The communication network system according to claim 2, wherein authentication information associated with a caller telephone number corresponding to a telephone number used for the communication is acquired.

前記認証サーバにおいて、
前記第２の管理制御手段は、前記第３の記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、
前記認証可否判定手段は、前記第３の記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定する
ことを特徴とする請求項３に記載の通信ネットワークシステム。In the authentication server,
When the second management control means stores the authentication information in the third storage means in association with the telephone number, whether or not to allow the communication terminal to authenticate the telephone number. Store the states in association
The authentication permission / inhibition determining means searches the third storage means for a telephone number corresponding to the caller telephone number transmitted together with the authentication information from the communication terminal, and associates it with the searched telephone number. 4. The communication network system according to claim 3, wherein whether or not authentication of the communication terminal is possible is determined from the availability state.

前記認証サーバにおいて、
前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否する
ことを特徴とする請求項１から４の何れか１項に記載の通信ネットワークシステム。In the authentication server,
The authentication enable / disable determining unit checks whether authentication information transmitted from the communication terminal has been altered, and rejects authentication of the communication terminal if the authentication information has been altered. Item 5. The communication network system according to any one of Items 1 to 4.

前記認証サーバに接続され、前記第３の記憶手段に記憶される電話番号及び可否状態を任意に設定する設定手段を
更に備えたことを特徴とする請求項５に記載の通信ネットワークシステム。6. The communication network system according to claim 5, further comprising a setting unit that is connected to the authentication server and that arbitrarily sets a telephone number and availability status stored in the third storage unit.

前記認証情報は、電子証明書、秘密鍵及び公開鍵である
ことを特徴とする請求項１から６の何れか１項に記載の通信ネットワークシステム。The communication network system according to claim 1, wherein the authentication information is an electronic certificate, a private key, and a public key.

前記電話回線は、前記通信端末機が無線基地局を介して通信可能な携帯電話回線網であり、
前記専用回線は、前記通信端末機が無線基地局を介して通信可能なローカルエリアネットワークである
ことを特徴とする請求項１から７の何れか１項に記載の通信ネットワークシステム。The telephone line is a mobile telephone line network through which the communication terminal can communicate via a radio base station,
The communication network system according to any one of claims 1 to 7, wherein the dedicated line is a local area network in which the communication terminal can communicate via a radio base station.

通信ネットワークシステムに含まれる認証装置に、自機の認証を行う通信端末機において、電話回線と専用回線の双方に接続できる通信手段と、前記通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する記憶手段と、前記記憶手段に記憶された認証情報を、前記通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備えたことを特徴とする通信端末機。In a communication terminal that authenticates itself to an authentication device included in a communication network system, communication means that can be connected to both a telephone line and a dedicated line, and a source that is transmitted to the telephone line via the communication means An issue request means for requesting the authentication apparatus to issue authentication information using a telephone number; a receiving means for receiving authentication information issued from the authentication apparatus in response to a request from the issue request means; and the receiving means. Storage means for storing the received authentication information; and authentication request means for requesting authentication of the own device by transmitting the authentication information stored in the storage means to the dedicated line via the communication means. A communication terminal characterized by that.

通信ネットワークシステムに含まれる通信端末機の認証を行う認証装置において、電話回線とインターネットの双方に接続できる通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記通信手段を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する記憶手段と、前記記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する管理制御手段とを備えたことを特徴とする認証装置。In an authentication apparatus for authenticating a communication terminal included in a communication network system, a communication means that can be connected to both a telephone line and the Internet, and a caller telephone number notification function built in the telephone line via the communication means Authentication of the communication terminal of the transmission source is performed based on the telephone number of the transmission source notified in this case, and when authentication is obtained, an electronic certificate and a private key are included in the communication terminal of the transmission source via the communication means Authentication processing means for issuing authentication information, storage means for storing authentication information issued by the authentication processing means, and management for storing authentication information stored in the storage means in association with the caller telephone number An authentication apparatus comprising a control means.

通信ネットワークシステムで、電話回線に組み込まれた発信元電話番号の通知機能から通知される発信元電話番号により、発信元の通信端末機の認証を行い、この認証情報を発信元電話番号に対応付けて保持すると共に前記通信端末機へ発行する認証装置に、インターネットを介して接続され、また、前記通信端末機に専用回線を介して接続される認証サーバにおいて、前記インターネットを介して前記認証装置が保持する認証情報のうち少なくとも電子証明書を認証情報として取得する取得手段と、前記取得手段で取得された認証情報を記憶する記憶手段と、前記通信端末機から自機の認証を行うための認証情報が、当該通信端末機の電話番号と共に、前記専用回線を介して受信された際に、この受信された認証情報が、同受信された電話番号に応じて検索される前記記憶手段に記憶の認証情報に一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを備えたことを特徴とする認証サーバ。The communication network system authenticates the communication terminal of the caller by the caller telephone number notified from the caller phone number notification function built in the telephone line, and associates this authentication information with the caller telephone number. In an authentication server connected to the authentication device that is held and issued to the communication terminal via the Internet, and connected to the communication terminal via a dedicated line, the authentication device is connected via the Internet. Acquisition means for acquiring at least an electronic certificate as authentication information among the authentication information held, storage means for storing authentication information acquired by the acquisition means, and authentication for authenticating the own device from the communication terminal information, together with the telephone number of the communication terminal, when it is received via the dedicated line, the authentication information this is received, the received telephone If it matches the authentication information in the storage the storage means to be retrieved in accordance with the item, the authentication server characterized by comprising an authentication determination means for permitting authentication to the communication terminal.

前記記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する管理制御手段を更に備え、
前記取得手段は、前記インターネットを介して前記認証装置から認証情報を取得する際に、前記記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得する
ことを特徴とする請求項１１に記載の認証サーバ。Management control means for storing authentication information stored in the storage means in association with a telephone number,
When the acquisition means acquires authentication information from the authentication device via the Internet, the authentication means is associated with a caller telephone number corresponding to a telephone number used when storing the authentication information in the storage means. Information is acquired, The authentication server of Claim 11 characterized by the above-mentioned.

前記管理制御手段は、前記記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、
前記認証可否判定手段は、前記記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定する
ことを特徴とする請求項１２に記載の認証サーバ。When storing the authentication information in the storage unit in association with the telephone number, the management control unit further stores the telephone number in association with whether or not to allow the communication terminal to authenticate. And
The authentication enable / disable determining means searches the storage means for a telephone number corresponding to a caller telephone number transmitted together with authentication information from the communication terminal, and the permission / inhibition associated with the searched telephone number. 13. The authentication server according to claim 12, wherein whether or not the communication terminal can be authenticated is determined from a state.

前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否する
ことを特徴とする請求項１１から１３の何れか１項に記載の認証サーバ。The authentication enable / disable determining unit checks whether authentication information transmitted from the communication terminal has been altered, and rejects authentication of the communication terminal if the authentication information has been altered. Item 14. The authentication server according to any one of Items 11 to 13.

通信端末機が認証装置から認証情報を取得し、この取得した認証情報で認証サーバに認証を依頼する電子認証方法において、前記通信端末機が、電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する第１のステップと、前記第１のステップにおいて前記通信端末機から発行依頼が行われた際に、前記電話回線に組み込まれた発信元電話番号の通知機能から通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記電話回線を介して前記発信元の通信端末機へ電子証明書及び秘密鍵を含む認証情報を発行する第２のステップと、前記第２のステップにおいて発行された認証情報を発信元電話番号に対応付けて前記認証装置に記憶する第３のステップと、前記第２のステップにおいて発行された認証情報を前記通信端末機に記憶する第４のステップと、前記認証サーバにおいて任意の電話番号をインターネットを介して前記認証装置へ送信し、前記第３のステップで前記認証装置に発信元電話番号に対応付けられて記憶された認証情報の中から、前記認証サーバからの電話番号に対応する発信元電話番号に対応付けられた認証情報のうち少なくとも電子証明書を認証情報として取得する第５のステップと、前記第５のステップで取得された認証情報を電話番号に対応付けて前記認証サーバに記憶する第６のステップと、前記第４のステップにおいて前記通信端末機に記憶された認証情報を、専用回線を介して前記認証サーバへ送信する第７のステップと、前記第７のステップで前記通信端末機から電話番号と共に送信された認証情報と、前記第６のステップで前記認証サーバに記憶され、その電話番号に応じて検索される認証情報とが一致する場合に、前記通信端末機に認証を許可する第８のステップとを含むことを特徴とする電子認証方法。In an electronic authentication method in which a communication terminal acquires authentication information from an authentication device and requests authentication to the authentication server with the acquired authentication information, the communication terminal uses a caller telephone number transmitted to a telephone line, A first step of requesting the authentication device to issue authentication information; and a notification of a caller telephone number incorporated in the telephone line when an issuance request is made from the communication terminal in the first step. Authentication of the communication terminal of the transmission source is performed based on the caller telephone number notified from the function, and when authentication is obtained, an electronic certificate and a private key are provided to the communication terminal of the transmission source via the telephone line. a second step of issuing an authentication information including a third step of storing the authentication device by associating the issued authentication information in the second step to the transmission source telephone number, the second scan A fourth step of storing Tsu the issued authentication information in-flop to the communication terminal, any telephone number in the authentication server transmits to the authentication apparatus via the Internet, the authentication by the third step Among the authentication information stored in association with the caller telephone number in the apparatus, at least an electronic certificate is authenticated among the authentication information associated with the caller telephone number corresponding to the telephone number from the authentication server. a fifth step of obtaining as a sixth step of storing the fifth the authentication server the acquired authentication information in association with the telephone number in step, to the communication terminal in the fourth step the stored authentication information, and the seventh step of transmitting to the authentication server via a dedicated line, the telephone number from the communication terminal in the seventh step The authentication information transmitted in the sixth step in stored in the authentication server, the eighth to allow when the authentication information retrieved in response to the telephone number matches the authentication to the communication terminal The electronic authentication method characterized by including these steps.