JP5320561B2

JP5320561B2 - 真正性を保証する端末システム、端末及び端末管理サーバ

Info

Publication number: JP5320561B2
Application number: JP2009068595A
Authority: JP
Inventors: 崇利加藤; 克之梅澤; 信萱島; 雅也梅村; 晃兼平
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2009-03-19
Filing date: 2009-03-19
Publication date: 2013-10-23
Anticipated expiration: 2029-03-19
Also published as: US8413214B2; JP2010224022A; US20100269153A1

Description

本発明は、サービスの提供を受ける端末の真正性を利用者に通知し、安全に利用者がサービス提供を受けられることを可能にする端末システムに関する。

労働者の生産性を向上させるために、あらかじめ定められた勤務場所以外の場所を中心として業務を遂行するテレワークと呼ばれるワークスタイルが普及してきている。特に、営業職などを中心として、自宅や街中、車中などの場所において、モバイル業務と呼ばれる形態でメールの受発信や書類作成を中心とした勤務を行う利用者が増えている。

このようなワークスタイルが普及するにつれ、企業における情報漏洩事故が多発しており、情報管理の徹底が求められている。情報漏洩事故の事例としては、社外に持ち出したＰＣや情報機器を紛失したり、盗まれたりする事故や、自宅に空き巣が入り、個人情報が保存された個人所有ＰＣが盗難されたりする事故が多く報告されている。これらに共通していることは、情報を記憶した媒体を、社外へ持ち出しているということである。

このような情報漏洩に対する対策として、企業においてはシンクライアントシステムのニーズが高まっている。これは、記憶領域を持たないノートＰＣのような情報機器を用いて、社内システムに携帯電話や公衆ＬＡＮ等のネットワーク経由でリモート接続し、情報そのものは社外に出さないというシステムである。このようなシンクライアントシステムにおいては、社外から社内に接続する際の認証機能が重要となる。従来はノートＰＣなどにＩＣカードリーダをつなげ、個人用のＩＣカード（社員証等）やセキュリティデバイスを用いて個人認証を行い、社内への接続を許可することが行われていた。

街角に設置してあるキオスク端末などの公共端末では、端末の管理状態が不明なため、利用者は、個人情報や機密情報を含む情報を取り扱うサービスを情報漏えいや盗聴の可能性の低い安全な状態で受けにくい。従来の技術では、利用者認証が成立した端末を踏み台にして他人が正規利用者になりすますといった不正アクセスを防止する。端末に関して利用者認証が成立しているか否かを判断する判断部が外部からのアクセスを遮断し、端末１を踏み台に正規利用者になりすまし不正アクセスする事を防止する（例えば、特許文献１）。

特開２００２−３１２３１６号公報

モバイル業務では、一般的にＰＣやＰＤＡ、携帯電話などのパーソナライズされた端末装置を利用者が持ち歩き、自宅や街中などで利用する。従来技術では、利用者が端末装置を持ち歩かない場合、移動先に設置されている端末装置で利用者認証を完了した後に利用することにより、安全に端末装置においてテレワークを実行することができる。この際、利用する端末が変更されても、利用者の端末環境が維持（持ち運び）出来る必要がある。しかし、不特定多数の端末の安全性を利用者に担保する端末システムや、利用端末移行時の情報セキュリティを確保するため、端末環境をパーソナライズ化する端末システムは実現されていない、という問題があった。

例えば、特許文献１では、利用者認証が成立した端末を踏み台にして他人が正規利用者になりすますといった不正アクセスを防止する技術を開示している。この特許文献１では、端末に関して利用者認証が成立しているか否かを判断する判断部が外部からのアクセスを遮断し、端末を踏み台に正規利用者になりすまし不正アクセスする事を防止する。しかし、上記特許文献１では利用者が利用中の端末の不正アクセスを防止することができるが、利用者が一時的に機器（計算機）を借り受けて利用できるような端末（例えば、公衆端末、キオスク端末）では、利用前に第３者が不正なプログラムを動作させている可能性がある。このため、上記従来技術では、端末の安全性を利用者が確認できない、という問題があった。

そこで本発明は、上記問題点に鑑みてなされたもので、利用者が安全性の不確かな端末を利用する際に、端末の安全性を端末システムが利用者に提示することを目的とする。

本発明は、端末を管理する端末管理サーバが端末の安全性を利用者に提示し、端末管理サーバが提示した情報を端末上で利用者が確認してサービスの利用を開始する。

具体的には、プロセッサとメモリを具備する端末と、利用者に関連付けられたＩＤ及び認証情報を格納した、前記端末に通信インターフェースを介して接続するＩＤデバイスと、前記端末とネットワークを介して接続する端末管理サーバと、を含む端末システムであって、前記端末は、当該端末における真正性の調査を実行し、真正性調査結果を前記端末管理サーバに送信する端末管理処理部を備え、前記端末管理サーバは、前記真正性調査結果が正当であると判断した場合、真正性検証結果を前記端末に送信する端末管理サーバ処理部を備え、前記ＩＤデバイスは、前記端末にチャレンジレスポンスによる認証要求を送信するデバイス管理部を備え、前記端末の前記端末管理処理部は、前記認証要求を前記端末管理サーバに送信し、前記端末管理サーバ処理部は、前記認証要求に基づいて前記真正性検証結果が予め定められたポリシーに合致していれば認証情報の生成と、第２の認証情報要求の作成を行い、前記認証情報と、前記第２の認証情報要求を前記端末に送信し、前記端末は、前記端末管理サーバから受信した前記利用者に固有の情報を表示する表示部を有し、当該固有の情報を利用者に確認させて当該端末の真正性を保証し、前記端末の前記端末管理処理部は、受信した前記認証情報と、前記第２の認証情報要求を前記ＩＤデバイスに送信し、前記ＩＤデバイスは、前記認証情報が正当なものであれば、前記ＩＤと、前記第２の認証情報要求に対応する前記第２の認証情報を前記端末に送信し、前記端末は、前記ＩＤデバイスと通信を行うための通信インターフェースと、前記通信インターフェースを介して前記ＩＤデバイスから前記ＩＤと前記第２の認証情報を取得して前記端末管理サーバへ送信する認証要求部と、を具備し、前記端末管理サーバは、前記利用者に固有の情報を予め登録する端末情報登録部と、前記端末から受信した認証要求に含まれる前記ＩＤと前記第２の認証情報を、前記予め設定した利用者に固有の情報と比較して認証を行う認証部とを含み、前記端末管理サーバ処理部は、前記認証の結果、前記利用者は正当であると判定された場合、前記予め登録された利用者に固有の情報を前記端末に送信し、前記端末は、前記利用者に固有の情報に応じて前記利用者から認証情報を取得した場合は、前記ＩＤデバイスに送信し、前記ＩＤデバイスは、前記利用者から取得した認証情報に基づいて第３の認証情報を前記端末に送信する。

したがって、本発明によれば、利用者が安全性の不確かな端末を利用する際に、端末の安全性を端末システムが利用者に提示することにより、利用者が安全にネットワーク上のサーバからサービス提供を受けることができる。よって、利用者の利便性、利用者のシステム利用時の安全性が向上する。

本発明の第１の実施形態を示し、端末システムの機能構成を示すブロック図である。本発明の第１の実施形態を示し、端末管理サーバのハードウェア構成を示すブロック図である。本発明の第１の実施形態を示し、端末のハードウェア構成を示すブロック図である。本発明の第１の実施形態を示し、端末情報の一例を説明する図である。本発明の第１の実施形態を示し、利用者情報の一例を説明する図である。本発明の第１の実施形態を示し、ＩＤデバイスのハードウェア構成を示すブロック図である。本発明の第１の実施形態を示し、端末管理処理部が端末の画面に表示する情報の一例を示す画面イメージである。本発明の第１の実施形態を示し、端末の一例を示す斜視図である。本発明の第１の実施形態を示し、端末システムで実行される処理の一例を示すシーケンス図である。本発明の第２の実施形態を示し、端末システムで実行される処理の一例を示すシーケンス図である。

以下、本発明の実施形態について図面を参照して説明する。各図面において、同一の符号が付されている要素は同一の機能を有する事を示す。

＜第１実施形態＞
図１は、本発明の第１の実施形態を示し、端末システムの機能構成の一例を示すブロック図である。ネットワーク１２０には端末管理サーバ１００、サービス提供サーバ１５０、端末１３０が接続され、相互に通信可能になっている。ネットワーク１２０と各機器との通信は、端末管理サーバ１００、サービス提供サーバ１５０、端末１３０内の通信部（１０１、１５１、１３５）が行う。

端末管理サーバ１００は、端末管理サーバ処理部１０２とストレージ１１０、端末情報登録部１０３を持つ。端末管理サーバ処理部１０２は、ストレージ１１０とデータを送受信し、通信部１０１を介して端末１３０等の複数のネットワーク１２０上の端末を管理する。ストレージ１１０は、端末１３０の利用者情報１０５と、認証情報１０６と、端末情報１０７と、ログ１０８を保持する機能を持つ。

ここで、利用者情報１０５は、端末システムの端末１３０を利用する利用者の情報と、後述する利用権限や状態、端末での利用者の利用者環境などの情報を紐付けて管理しているものである。認証情報１０６は、端末管理サーバ１００が持つ認証情報である。具体的に認証情報１０６は、端末管理サーバ１００の持つ秘密情報である共通鍵や、サーバの公開鍵証明書と対応する秘密鍵などである。認証情報１０６は、ストレージ１１０の中の耐タンパストレージに格納されていても良い。端末情報１０７は、端末管理サーバ１００の管理する端末の情報と、後述する端末の利用権限や状態などの情報を紐付けて管理しているものである。なお、耐タンパストレージは、外部からのデータの解析や改変を抑止可能な記憶装置で、例えば、暗号処理回路を備えて認証が完了しない状態でのデータアクセスを禁止するものであり、公知ないし周知の技術を適用することができる。また、端末管理サーバ処理部１０２と、端末情報登録部１０３は、ソフトウェアで構成され、記憶媒体としてのストレージ１１０からメモリにロードされて後述するプロセッサにより実行される。

端末１３０は、端末管理処理部１３１とサービス処理部１３２、ストレージ１３９、通信インターフェース１３４及び通信部１３５を持つ。端末管理処理部１３１は、ストレージ１３９とデータを送受信し、通信部１３５を介してネットワーク１２０上の端末管理サーバ１００やサービス提供サーバ１５０と通信し、後述する認証を行ってから端末１３０の利用者にサービス提供サーバ１５０から提供されるサービスを提供する。ストレージ１３９は、内部に端末情報１３８を持つ。端末情報１３８は、端末１３０の持つ秘密情報である、端末ＩＤや共通鍵や端末の公開鍵証明書と公開鍵に対応する秘密鍵などである。通信インターフェース１３４と通信部１３５は、端末１３０内の機能とＩＤデバイス１４０の通信の仲介を行う。

サービス処理部１３２は、端末管理処理部１３１が端末１３０上に後述する利用者環境を利用可能にした際に利用者環境を表示したり、利用者がサービスを受けるために利用する１つ以上のアプリケーションである。具体的には、ブラウザアプリケーションや、その他のサービス提供のためにサービス提供サーバ１５０のサービス処理部１５２と通信するアプリケーションである。なお、端末管理処理部１３１とサービス処理部１３２は、ソフトウェアで構成され、記憶媒体としてのストレージ１３９からメモリにロードされて後述するプロセッサにより実行される。

ＩＤデバイス１４０は、内部にデバイス管理部１４１とストレージ１４２と通信インターフェース１４４を持つ。デバイス管理部１４１は、ストレージ１４２とデータの送受信を行い、通信インターフェース１４４を介して端末１３０と通信を行う。ストレージ１４２は、認証情報１４３を記録している。認証情報１４３は、利用者の持つ秘密情報である共通鍵や利用者の公開鍵証明書や公開鍵に対応する秘密鍵や端末管理サーバの送信する認証情報を検証するためのサーバ証明書等を含む。

利用者はＩＤデバイス１４０を所有しており、本実施例の端末システムの端末１３０を利用する際、安全性の不確かな端末１３０へＩＤデバイス１４０を通信インターフェース１４４及び１３４を通信させることにより接続する。通信インターフェース１４４と、端末１３０の通信インターフェース１３４の間で行われる通信は、近距離無線通信、接触型ＩＣカード通信、非接触型ＩＣカード通信、周辺機器接続のためのシリアル通信、周辺機器接続のためのパラレル通信等である。なお、ＩＤデバイス１４０は、例えば、ＩＣカード状に形成されても良く、あるいは、携帯機器の一部を構成するものであっても良い。

端末１３０は、ＩＤデバイス１４０との接続の状況を端末管理サーバ１００へ送信し、ＩＤデバイス１４０へ認証情報要求の送付を行う。ＩＤデバイス１４０へ送付された情報は、デバイス管理部１４１にて処理され、端末１３０が端末管理サーバ１００により、利用者が利用可能と判断されていれば、ＩＤデバイス１４０から端末１３０へ後述するＩＤ情報が送信され、利用者は端末１３０上に利用者自身の登録した利用者環境を利用可能になる。この利用者環境は、端末管理サーバ１００上の端末情報１０７内にて管理されているものであり、利用者が事前に登録しておくものである。

端末情報１０７のうち、利用者環境は、利用者が端末管理サーバ１００の管理者のポリシーに従って図示しない端末から、ネットワーク１２０を介して端末情報登録部１０３の機能を利用して登録する。利用者環境の登録に際しては、利用者は利用者認証を端末情報登録部１０３から受ける。利用者が端末管理サーバ１００に予め登録する利用者環境は、利用者が利用する端末１３０の種別やスペック、通信環境及び利用者に固有の情報（画像や音声、映像、実行するプログラムなど）であり、端末１３０の利用前に予め登録する。端末の種別は携帯電話、ＰＣ、キオスク端末といった分類であったり、ブラウザなどのアプリケーションなどが利用可能かなどの判断を含んだ分類となる。端末１３０のスペックは、画面のサイズや表示能力、演算処理能力、接続されている周辺機器種別、メモリ容量、入出力装置種別、通信能力、音声出力能力、セキュリティ機能などである。通信環境は、端末とサーバとの通信品質の状態である。

サービス提供サーバ１５０は、利用者の端末１３０がネットワーク１２０を介してアクセスしたときに、当該端末１３０にサービスの提供を行うサーバ計算機で、サービス処理部１５２と、ストレージ１５３と、通信部１５１より構成される。サービス処理部１５２は、ストレージ１５３内の利用者情報１５５を利用し、利用者の認証を行う。また、サービス処理部１５２は、ストレージ１５３内の端末情報１５７を利用し、必要に応じて利用者の利用する端末の認証を行う。利用者は、サービス処理部１５２を経由しストレージ１５３内の認証情報１０６からサーバの認証情報を取得し、サービス提供サーバ１５０のサーバ認証を行う。利用者認証と端末認証が成功した場合、利用者は、サービス提供サーバ１５０から端末１３０を通じてサービス提供を受ける。なお、サービス処理部１５２は、ソフトウェアで構成され、記憶媒体としてのストレージ１５３からメモリにロードされて後述するプロセッサにより実行される。

図８は、端末１３０の外観の一例を示したものである。端末１３０は、画面８０１、タッチパネルやキーボード、テンキーパッドなどの入力装置８０２、磁気カード、接触型ＩＣカードなどのリーダライタ８０３、非接触型ＩＣカードなどの通信インターフェース１４４、筐体の改ざん防止の効果を明示する開封防止封印８０５を持つ。

画面８０１は、利用者が当該端末１３０を利用する前や利用者が当該端末１３０を利用中に、当該端末１３０の用途、当該端末１３０で利用されている暗号の種別、暗号の強度等の当該端末１３０の真正性に関する情報を利用者に通知する。また、画面８０１には利用者の認証情報と、端末管理サーバ１００に登録されている利用者環境を利用して、端末１３０の真正性を調査した時刻や真正性を検証した時刻など検証結果に関する情報を表示することができる。

端末１３０は、携帯電話などの情報機器を利用して、端末ＩＤや端末の設置場所、端末の真正性に関する状態（内部の状態や、管理者が直前にいつ確認したか）を確かめるためのアクセス情報（図８中では２次元バーコードによるＵＲＬ表示）が表示される。利用者はアクセス情報を元に端末１３０の真正性を端末管理サーバ１００へ問い合わせることができる。端末管理サーバ１００は、利用者からの問い合わせについて、端末１３０が送信してきた真正性情報を元に利用者に回答する。利用者は回答結果を端末管理サーバ１００の公開鍵証明書等の情報を用いて検証し確認することができる。

図９は、端末１３０を利用して利用者が、端末１３０の安全性を端末管理サーバ１００の機能を用いて判定し、サービス提供サーバ１５０からサービスを受ける際の端末システムのシーケンス図である。

まず、端末１３０は、端末１３０の管理者や利用者が起動のための操作を行うと、初期化処理９０１を行う。初期化処理９０１は、端末１３０のＯＳの起動、管理アプリケーション（端末管理処理部１３１等）の起動、ネットワークへの接続、プロセスの確認、ログの記録を含む。初期化処理９０１は、管理者や利用者の操作のほかに、利用者が利用終了したときや、端末管理サーバ１００から指示を受けた場合等にも行われる。

次に、端末１３０は、環境確認処理９０２を行う。環境確認処理９０２は、ネットワーク１２０を介した管理サーバ１００への接続確認や、電源、接続されている周辺機器、機器の設置している場所などの情報の確認である。

端末１３０の真正性調査（９０３）のステップでは、端末１３０のメモリ３０２にロードされてＣＰＵ３０１により動作するプロセス状態や、当該端末１３０に接続されているデバイスの情報や、端末１３０が設置されている物理的位置や、ネットワークの状態や、ストレージの状態等、あらかじめ端末１３０の管理を行う管理者が決定した手順で端末管理処理部１３１が行う。

端末１３０のメモリ３０２にロードされてＣＰＵ３０１が実行するプロセスの状態の調査は、端末管理処理部１３１が端末１３０で動作するプロセスの動作状態を確認する。具体的にはあらかじめ端末管理処理部１３１が持つプロセス動作情報とプロセススキャンの結果を照らし合わせた結果を確認する。

端末１３０に接続されているデバイスの情報は、端末管理処理部１３１が端末１３０に接続されているデバイスとデバイスを駆動するドライバプログラムの状態を調査する。

端末１３０の設置されている物理的位置の調査は、端末１３０に接続されているＧＰＳ（図示省略）等の測位システムや、カメラからの入力などを元にした位置情報を調査する。

ネットワーク１２０の状態の調査は、端末管理処理部１３１がネットワークのアドレス、接続経路、接続品質などを確認する。ストレージ１３９の状態の調査は、端末管理処理部１３１がストレージの容量やパーティションの状態、ストレージ１３９上のファイルスキャン、ウィルススキャンの結果を調査する。

端末１３０上の端末管理処理部１３１は、端末管理サーバ１００の端末管理サーバ処理部１０２へ通信部１３５、通信部１０１を介して接続する。端末管理処理部１３１は、端末管理サーバ処理部１０２と相互認証及びＳＳＬ通信等の通信チャネル生成（９０４）を行う。ステップ９０４では、端末管理処理部１３１が、端末管理サーバ１００の端末管理サーバ処理部１０２が送付する情報をサーバ証明書を用いて検証し、端末管理サーバ処理部１０２が、端末管理処理部１３１が送付した情報を端末ＩＤと端末の持つ認証情報（公開鍵証明書等）を用いて検証する。

ステップ９０４の相互認証の処理後に、端末管理処理部１３１と端末管理サーバ処理部１０２の間で通信のための秘密情報の安全な共有が行われ、セキュアな通信経路が構築される。ここで、端末管理処理部１３１が利用する認証情報は、ストレージ１３９上の端末情報１３８に保存されている。端末１３０の盗難に備えて、ストレージ１３９の端末情報１３８は、耐タンパ性のあるデバイスに格納されていてもよい。また、端末情報１３８を利用するために端末１３０の管理者がパスワードなどの秘密情報を入力しなければ、端末情報１３８を利用できないように構成しても良い。

次に、端末１３０上の端末管理処理部１３１は、端末１３０の真正性調査９０３のステップで取得した真正性調査結果と、当該端末１３０に予め設定された端末ＩＤ４０１を端末管理サーバ処理部１０２に送信する（９０５）。端末管理サーバ１００上の端末管理サーバ処理部１０２は、受信した真正性調査結果の正当性をストレージ１１０内の端末情報１０７を参照して検証する（９０６）。

この検証は、端末管理サーバ１００の端末管理サーバ処理部１０２が、上記端末１３０から受信した真正性調査結果及び端末ＩＤから、ストレージ１１０に格納された端末情報１０７の真正性検証用情報４０９に含まれるポリシーに基づいて実行する。

例えば、上記ポリシーを読み込んだサーバにおいて、端末管理サーバ処理部１０２は、端末１３０から受信した端末ＩＤ４０１で端末情報１０７を検索し、真正性調査結果に含まれる端末１３０のネットワークアドレスが、端末情報１０７のアドレス４０４と一致するか否かを判定する。また、端末管理サーバ処理部１０２は、端末１３０から受信した端末ＩＤ４０１で端末情報１０７を検索し、真正性調査結果に含まれる端末１３０の緯度と経度が、端末情報１０７の場所４０８と一致するか否かを判定する。また、端末管理サーバ処理部１０２は、端末１３０から受信した真正性調査結果から不正なプログラムやファイルが検知されていないことを判定する。そして、端末管理サーバ１００の端末管理サーバ処理部１０２は、上記アドレスと設置位置の判定が端末情報１０７と一致し、かつ、不正なプログラムなどが検知されていない場合に、当該端末１３０が真正な端末であると判定する。

真正性調査結果が正当であると検証された場合、端末管理サーバ処理部１０２は真正性の検証結果を端末管理処理部１３１へ送信する（９０７）。一方、真正性の検証結果が正当であると検証されない場合、端末管理サーバ処理部１０２は、真正性の検証結果を端末管理サーバ１００の管理者や端末の管理者へ通知する。該通知は、電子メール、ＦＡＸ、ネットワークを使った通知、電話などで行われる。また、端末管理サーバ処理部１０２は、正当でないとされた検証結果をストレージ１１０上のログ１０８に保存する。次に、端末管理サーバ処理部１０２は、端末管理処理部１３１へ「正当と判断されなかった」という結果を送信する。端末１３０の端末管理処理部１３１は、「正当と判断されなかった」という真正性の検証結果を端末管理サーバ処理部１０２から受け付けると、端末１３０の真正性調査９０３の処理と真正性調査結果の送信（９０５）を定められた回数まで繰り返す。端末管理サーバ処理部１０２は、端末１３０から真正性調査結果を受信するたびに真正性調査結果が正当であるか否かの上記検証（９０６）を実行する。具体的には、前記真正性の検証とは、送信されてきた端末内部で動作するプロセス状態や端末に接続されているデバイスの情報、端末の設置されている物理的位置、ネットワークの状態、ストレージの状態、ファイルスキャン、ウィルススキャンの結果等をあらかじめ端末情報１０７に登録された情報と比較することによって行う。

真正性調査結果の送信が正しいと認められるまで、端末管理処理部１３１は、端末１３０の表示画面に端末の真正性の調査を行っている事を表示する。端末管理サーバ処理部１０２は、ある端末について定められた時間あたり、定められた回数正当でない調査結果を受信した場合、当該端末１３０の端末管理サーバ１００との通信を以後遮断する。

ある端末１３０と通信が遮断された場合、端末管理サーバ処理部１０２は、通信遮断の結果を端末管理サーバ１００の管理者及び当該端末の管理者へ通知する。当該通知は、電子メール、ＦＡＸ、ネットワークを使った通知、電話などで行われる。また、端末管理サーバ処理部１０２は、通信を遮断した結果をストレージ１１０上のログ１０８に保存する。

真正性検証結果を端末１３０上の端末管理処理部１３１が受信すると、端末管理処理部１３１は、真正性検証結果をストレージ１３９へ保存する（９０８）。真正性検証結果は、端末管理サーバ１００と端末１３０間の保護された通信（チャネル）で守られている。また、端末管理サーバ１００との間で送受信する情報は、端末１３０の持つ公開鍵で暗号化されており、端末管理処理部１３１でなければ復号できない状態で送信される。真正性検証結果の中には、時刻情報（どれだけ以前に検証が行われたか及び現在時刻）と、端末管理サーバ処理部１０２が端末情報１０７を更新するための端末１３０の状態などの情報が含まれている。

上記真正性調査９０３と、真正性検証９０６により、端末１３０は不正なプログラムが動作していなく、かつ、所定の位置に設置されてセキュアな通信が可能な計算機であることが端末管理サーバ１００により判定される。すなわち、今回端末１３０を利用する利用者以前の使用者によって端末１３０の環境が改変されていないことが保証され、真正な端末１３０として判定される。

また、端末１３０で行う真正性調査９０３では、調査結果に調査を実施した時刻を含み、端末管理サーバ１００が行う真正性検証９０６では、真正性検証用情報４０９に含まれるポリシーが、端末１３０で実施した真正性調査の時刻と現在時刻の差を制限する場合では、真正性調査を実施した時刻と現在時刻の差が所定値を超えていたら当該調査結果を破棄して利用しない。つまり、古い真正性調査結果を用いるのを禁止することで、真正性の判定の精度を向上させることができる。なお、調査結果を破棄した後には、端末管理サーバ１００が端末１３０に対して、再度真正性調査９０３を実行するように指令することができる。

利用者は、端末１３０を利用する際に、インターフェース１３４及びインターフェース１４４を介して端末１３０とＩＤデバイス１４０を通信させる（９０９）。図９に示すように、端末管理処理部１３１の指示により、ＩＤデバイス１４０上のデバイス管理部１４１が認証情報要求をインターフェース１４４及びインターフェース１３４を介して、端末管理処理部１３１に送信する（９１０）。具体的に認証情報要求とは、ダイジェスト認証を行うことである。ダイジェスト認証の一例としては、例えば、ＲＦＣ２０６９に規定されるチャレンジ・アンド・レスポンスによる認証を、ＩＤデバイス１４０と端末管理サーバ１００との間で実施する。

端末管理処理部１３１は、ＩＤデバイス１４０から受信した認証情報要求を端末管理サーバ処理部１０２へ送信する（９１１）。端末管理サーバ１００は、端末１３０からチャレンジ・アンド・レスポンスによる認証情報要求を受け付けると、端末情報１０７に設定された当該端末（端末１３０）の送信結果（履歴４０６）から端末１３０の情報と真正性検証結果を検証する。そして、端末管理サーバ処理部１０２は、真正性の検証結果があらかじめ定められたポリシーに合致していれば、チャレンジ・アンド・レスポンスによる認証情報の生成と、第２の認証情報要求の作成を行う（９１２）。

端末管理サーバ処理部１０２は、上記処理９１２で生成した認証情報と第２の認証情報要求を端末管理処理部１３１へ送信し（９１３）、端末管理処理部１３１は、受信した認証情報と第２の認証情報要求をインターフェース１３４及びインターフェース１４４を介してＩＤデバイス１４０へ送信する（９１４）。

ＩＤデバイス１４０は、端末１３０から受信したチャレンジ・アンド・レスポンスによる認証情報の正当性を調査し、正当なものであれば、ストレージ１４２に保存しているＩＤと、端末１３０から受信した第２の認証情報要求に対する第２の認証情報を生成する（９１５）。この処理９１５の時点で、ＩＤデバイス１４０と端末管理サーバ１００は、チャレンジ・アンド・レスポンスによるダイジェスト認証が完了する。

ここで、ＩＤデバイス１４０が判定する認証情報の正当性とは、端末１３０から受信した認証情報の種別により、判断の行い方が異なる。認証情報が、パスワード（事前共有共通鍵）であるなら、ストレージ１４２に保存されているパスワードと受信した認証情報の比較により行われる。認証情報が、ダイジェスト認証であれば、認証要求や認証情報には乱数が含まれ、認証情報正当性の判断は、ダイジェストの検証により行われる。認証情報が、署名であれば、認証情報正当性の判断は、署名検証により行われる。

ステップ９１５において、ＩＤデバイス１４０は、認証情報の正当性が検証できなければ、その後の応答を行わない。ＩＤデバイス１４０に表示機能や、スピーカーがついている場合、認証情報の正当性が検証できていない場合、画面上に認証情報の正当性が検証できていない情報を表示したり、音楽や警告音を鳴らすことにより、利用者に警告を伝える。同様に、認証情報の正当性が検証できた場合も、画面上に認証情報の正当性が検証できた情報を表示したり、正当性が検証できない場合とは別の音楽や警告音を鳴らすことにより、利用者に検証の結果を伝える。

ＩＤデバイス１４０は、ストレージ１４２から読み出したＩＤ（利用者ＩＤ５０１）と第２の認証情報（秘密情報５０３）を端末管理処理部１３１へ送信する（９１６）。端末管理処理部１３１は、受信したＩＤと第２の認証情報を端末管理サーバ処理部１０２へ送信する（９１７）。

端末管理サーバ処理部１０２は、端末１３０より受信したＩＤと第２の認証情報について、ストレージ１１０上の利用者情報１０５と比較して、端末１３０を使用する利用者（ＩＤデバイス１４０の所有者）の認証を行う。この認証は、端末１３０から受信したＩＤで、利用者情報１０５の利用者ＩＤ５０１を検索し、該当するレコードの秘密情報５０３と受信した第２の認証情報を比較して正当な利用者であるか否かを判定する。

端末管理サーバ処理部１０２は、ＩＤデバイス１４０からのＩＤと第２の認証情報で利用者が正当な利用者であると判定すると、当該利用者が登録している利用者環境の送信準備を行う。利用者環境は、利用者情報１０５のステータス５０６に保存され、利用者のＩＤ５０１に紐付けられている。利用者環境は例えば、利用者に関する情報（名前、ニックネーム、ＩＤ番号、イラスト、写真）、端末１３０上で動作するアプリケーションや端末１３０上で動作するアプリケーションの利用する画面構成などのデータやスクリプトである。

利用者環境の送信準備（９１８）の際、端末管理サーバ処理部１０２は、利用者が登録している利用者環境のうち、端末１３０にて利用可能な環境で利用可能なものを選択する。これは、真正性検証結果に含まれる端末の状態や、端末情報１０７や認証情報送信時に同時に送信される利用者からの要求を参照し決定される。この利用可能なものの選択は、ブラウザアプリケーションが搭載されていない端末１３０にブラウザ用画面構成データやスクリプトを送信しても端末１３０上で利用者が利用できないため、利用できない環境を指令するのを防ぐために行われるものである。

端末管理サーバ処理部１０２は、利用者環境の送信準備９１８で決定された利用者環境を端末管理処理部１３１へ送信する（９１９）。端末管理処理部１３１は端末管理サーバ１００から受信した利用者環境を端末１３１にて実行する。ステップ９１９で送信された利用者環境には、必要に応じて端末１３１にて実行する際の安全性を保証する認証情報（署名）が付加される。端末１３１はこの安全性を保証する認証情報を確認する。端末管理処理部１３１は、端末管理サーバ１００から受信した利用者環境をあらかじめ定められた方法で分類し、端末１３１上で実行したり、表示したりする。利用者環境が利用者に関する情報であれば、端末管理処理部１３１が利用者に関する情報を表示し、確認を行う（９２０）。また、利用者環境が端末１３０上で動作するアプリケーション（プログラム）であれば、端末１３０上で当該アプリケーションを実行させ、利用者により確認を行う（９２０）。この確認は、端末１３０上で動作するアプリケーションで利用する画面構成などのデータやスクリプトであれば、必要なアプリケーションを動作させるか否かを利用者に確認させた後に、アプリケーションへデータやスクリプトを送信する、利用者による確認を行う。

利用者は、ＩＤデバイス１４０を端末１３０に接続してから、ステップ９２０で表示される情報を確認してはじめて、端末１３０が正当に利用してよい端末１３０であるということを認識する。

次に端末管理処理部１３１もしくは端末１３０上で動作するアプリケーションが、サービスを利用者に提供するための準備を行う。サービス利用のためにさらなる認証情報の送信が必要である場合、利用者は、端末１３０に対して、認証情報の要求（ＩＤの要求、パスワードの要求、生体認証情報の要求、プライバシー情報の要求、その他秘密情報の入力要求）などに画面の表示に従って返答する。入力された認証情報はＩＤデバイス１４０や端末管理サーバ処理部１０２に送信される（９２１）。ＩＤデバイス１４０は、受け取った認証情報（たとえばＰＩＮ）から、更なる認証情報（署名情報）を端末１３０に送信する（９２２、９２３）。

利用者は、端末管理処理部１３１や端末１３０上で動作するアプリケーションを用いて端末管理サーバ１００やサービス提供サーバ１５０にサービス提供の要求を行う（９２４）。ステップ９２４において、サービス提供サーバ１５０は、端末１３０の利用者の認証処理を行い、サービスの提供にあたり、必要な品質の通信の暗号化を実施する。そして、端末１３０は、真正性検証結果を含む端末情報を送付する（９２５）。サービス提供サーバ１５０は、端末１３０が送信した認証情報を含むサービス要求と、真正性検証結果を含む端末情報を検証し、予め設定したサービス提供のポリシーに従って端末１３０を介した利用者へのサービス提供を行う（９２６）。前記の真正性検証結果を含む端末情報は、ステップ９０７において、端末管理サーバ１００が発行したものであるという署名等の情報を含むため、サービス提供サーバ１５０は前記の検証を行える。

この際、認証情報送信のステップ９１６にて、利用者が当該端末１３０の利用開始以前に実行していたサービスとサービスの状態を端末１３０がＩＤデバイス１４０から受信し、ステップ９２４で送信するサービス要求に含めることにより、利用者は端末１３０の利用を開始する以前に実行していたサービスとサービスの状態を端末１３０に簡便な操作で引き継ぐことができる。前記のサービスとサービスの状態とは、ＩＤデバイス１４０が以前に通信した端末１３０とは異なる端末において利用者が利用していたサービスとサービスの状態を示す。もしくは、ＩＤデバイス１４０が端末１３０の機能を持つ場合では、ＩＤデバイス１４０上で実行しているサービスとサービスの状態を示す。

また、ＩＤデバイス１４０と端末１３０間の通信及びサービス提供サーバ１５０及び端末１３０の間の通信は盗聴防止のために暗号化されていても良い。また、認証情報の要求と認証情報の作成は、ダイジェスト認証や公開鍵暗号を用いた署名検証に限らず、生体情報の確認や、そのほかの認証情報の要求と認証情報要求に対する応答の作成でよい。

端末管理処理部１３１は、利用者が利用を終了したのを検知し（９２７）、利用者が利用停止した事をサービス提供サーバ１５０に送信し（９２８）端末管理サーバ１００にも送信する（９２９）。利用者が利用を終了したことの検知方法は、利用者が端末１３０の入力装置に終了を意味する入力を行ったり、あらかじめ定められた時間入力が無かったり、利用者の利用開始からあらかじめ定められた時間が経過したり、利用者が利用場所を離れるなどしてＩＤデバイス１４０と端末１３０の通信があらかじめ定められた時間無かったりすること、利用者の利用形態をカメラで撮像して端末１３０が利用の終了を判断する等を検知する方法である。利用者が利用を終了したことを端末管理処理部１３１が検知した場合、端末管理処理部１３１は、端末１３０を再起動するか、後述するメモリ３０２やストレージ１３９の内容を初期化する。このことにより、ステップ９０１が開始され、次の利用者が安全に端末１３０を利用可能な状態を構成する。

端末１３０がサービス提供サーバ１５０から受けるサービスは、例えば、ストリーミングによる情報の送受信やテレビ会議、電話会議、メール送受信、ＶＰＮを利用したリモートアクセス、仮想デスクトップの提供、ＷＥＢアプリの利用、オンラインゲーム、イーラーニング、ブログの利用、ＳＩＰサービスの利用、位置情報サービスの利用、営業支援システムの利用、メールサービスの利用、ＰＩＭサービス利用、オフィスツール利用、検索サービス利用等が挙げられる。

図４は、端末管理サーバ１００のストレージ１１０に記録されている端末情報１０７の例を示すものである。図４において端末情報１０７は、端末ＩＤ４０１に対して、当該端末を利用する利用者ＩＤ４０２と、機種４０３と、アドレス４０４と、管理ＩＤ４０５と、履歴４０６と、ステータス４０７と、場所４０８と、備考４１０が対応付けて登録されている。

端末ＩＤ４０１は、端末１３０に対し、端末の管理者が、個別のＩＤを割り当て管理するものである。端末１３０では、端末ＩＤ４０１は、ストレージ１３９の中に格納されている。前述のステップ９０４において端末管理サーバ１００から端末ＩＤ４０１が送信される。前述のステップ９０５にて送信される真正性調査結果には、端末情報１０７の端末に関する情報が含まれるため、端末管理サーバ１００は、端末１３０が送信した真正性調査結果から、端末１３０に関連する端末情報１０７を更新する。

利用者ＩＤ４０２は、現在該当する端末１３０を利用している利用者を示す。機種４０３は、端末１３０に該当する機種を示す。アドレス４０４は、端末１３０が接続しているネットワーク１２０上の識別子であるＩＰアドレス等のアドレスを示す。管理ＩＤ４０５は、該当する端末１３０を管理する管理会社等の管理母体や管理者のＩＤを示す。履歴４０６は、端末１３０が端末管理サーバ１００に送信した情報と端末１３０の状態を記録したログを記憶したものである。このログは、時刻と、そのほかの端末に関わる情報の組み合わせである。その他の端末１３０に関わる情報とは、端末１３０の起動、終了、リセット時間、メンテナンス情報、アプリケーション、サービス等を記録したステータス情報、端末１３０に接続されているデバイス情報である。

端末のステータス４０７は、該当する端末１３０が現在どのような状況下にあるかを示す。例えば、利用者が利用しているサービスの状況や、利用者の利用を待っているサービスの状況である。場所４０８は、端末１３０が設置されている場所を示し、例えば、経度と緯度などで表現される。真正性検証用情報４０９は、前記のステップ９０６にて調査結果が正当であるか正当でないかを端末管理サーバ処理部１０２が検証するための情報やポリシーが記録されている。この真正性検証用情報４０９は、端末１３０の管理者が定義し、更新する。備考４１０は、その他のエラー状態情報や、メンテナンス用の情報、認証用の特別な情報が記録されている。

図５は、端末管理サーバ１００のストレージ１１０に記録されている利用者情報１０５の例を示すものである。利用者ＩＤ５０１に対応する、利用者の公開鍵証明書５０２、共通鍵等の秘密情報５０３、管理ＩＤ５０４、履歴５０５、ステータス５０６、利用者が利用している端末ＩＤ５０７、備考５０８が登録されている。

利用者ＩＤ５０１は、利用者に対してシステムの管理者が個別のＩＤを割り当てて管理しているものである。利用者ＩＤ５０１は、利用者（または管理者）がＩＤデバイス１４０の内部に格納して管理する。前述のステップ９１６にて送信されるＩＤは、利用者ＩＤ５０１を含むか、あらかじめ定められた方式で利用者ＩＤ５０１に紐付けて管理されている。

利用者の公開鍵証明書５０２は、利用者が信頼された認証局から発行された公開証明書であり、利用者がＩＤデバイス１４０に格納する秘密鍵に対応する公開鍵証明書である。共通鍵等の秘密情報５０３は、利用者が利用するＩＤデバイス１４０と、相互認証や共通の秘密情報の共有を行うときに利用する事前共有する共通鍵や、セッション鍵、乱数である。

管理ＩＤ５０４は、該当する利用者を管理する管理会社などの管理母体や管理者のＩＤを示す。履歴５０５は、利用者が端末１３０上で行った処理や状態（アプリケーションの状態）を記録したログを記憶したものである。ログは、時刻と、その他の利用者の行った処理や状態関わる情報の組み合わせである。その他の利用者の行った処理や状態関わる情報とは、端末の利用開始、端末上での操作、端末の利用終了に関する情報、利用したＩＤデバイス情報である。

ステータス５０６は、該当する利用者が現在どのような状況でサービスを利用しているかを示す。端末ＩＤ５０７は、現在利用者が利用している端末１３０の端末ＩＤである。備考５０８は、その他のエラー状態情報や、メンテナンス用の情報、認証用の特別な情報が記録されている。

図２は、端末管理サーバ１００のハードウェア構成を示すブロック図である。端末管理サーバ１００は、内部でＣＰＵ２０１と、メモリ２０２と、ストレージ２０３と、ＮＩＣ（ネットワークインターフェースカード）２０４と、耐タンパメモリ２０５と、入出力装置２０６がバスにより接続されている構成である。ＮＩＣ２０４は、ネットワーク１２０と接続して図１の通信部１０１を構成している。ストレージ２０３は、図１のストレージ１１０に相当し、ストレージ２０３の機能は、ローカルに接続された記憶装置もしくは、ネットワーク１２０上のストレージ（図示省略）により実現される。

端末管理サーバ処理部１０２や端末情報登録部１０３は、ストレージ１１０に保存されたプログラムをメモリ２０２にロードし、ＣＰＵ２０１で実行することにより、これらプログラムの機能が実現される。

図３は、端末１３０のハードウェア構成を示すブロック図である。端末１３０は、内部でＣＰＵ３０１と、メモリ３０２と、ストレージ３０３と、ＮＩＣ３０４と、入出力装置３０５と、耐タンパストレージ３０６がバスにより接続されている構成である。ＮＩＣ３０４は、ネットワーク１２０と接続している。ストレージ３０３もしくは耐タンパストレージ３０６、ネットワーク上のストレージの機能を合わせて、図１でストレージ１３９と示している。

端末管理処理部１３１やサービス処理部１３２は、ストレージ３０３に保存されたプログラムをメモリ３０２にロードし、ＣＰＵ３０１で実行することにより、機能が実現される。耐タンパストレージ３０６には、利用者や端末１３０の持つ認証情報を保存する。端末ＩＤと端末ＩＤに関わる認証情報（共通鍵、秘密鍵、公開鍵証明書等）も耐タンパストレージ３０６に保存する。入出力装置３０５は、通信インターフェース１３４や、画面やタッチパネル、キーボード、テンキーパッドなどの入力装置、磁気カードや接触型ＩＣカードなどのリーダライタ、非接触型ＩＣカードなどの通信インターフェースを含む。

図６は、ＩＤデバイス１４０のハードウェア構成を示すブロック図である。ＩＤデバイス１４０は、内部でＣＰＵ６０１と、メモリ６０２と、ストレージ６０３と、通信インターフェース１４４と、入出力装置６０４と、耐タンパストレージ６０５がバスにより接続されている構成である。通信インターフェース１４４は、端末１３０の通信インターフェース１３４と接続可能な構成になっている。ＩＤデバイス１４０は、図示しない通信部を持ち、端末１３０と同等のサービス提供を受ける端末機能を持っていてもよい。

ストレージ１４２の機能は、ストレージ６０３もしくは耐タンパストレージ６０５の機能を合わせて実現される。デバイス管理部１４１の機能は、ストレージ６０３に保存されたプログラムをメモリ６０２にロードし、ＣＰＵ６０１で実行することにより、実現される。耐タンパストレージ６０５には、利用者の持つ認証情報（例えば、利用者ＩＤ５０１と秘密情報５０３）や、端末管理サーバ１００の真正性を保証する情報（例えば、公開鍵等）を保存する。入出力装置６０４は、画面やタッチパネルやキーボード、テンキーパッドなどの入力装置、磁気カード、接触型ＩＣカードなどのリーダライタ、非接触型ＩＣカードなどの通信インターフェースを含む。

図７は、本実施形態の図９に示したステップ９１９において利用者環境が端末１３０に送信された際、端末管理処理部１３１が端末１３０の画面に表示する情報（利用者環境表示７００）を説明する図である。利用者環境表示７００は、内部にサービス表示部７０１、状態表示部７０２、パスワード入力部７０３、個人情報表示部７０４、画像表示部７０５を含む。利用者環境は、利用者が任意に端末管理サーバ１００へ登録を行うことができるため、個人情報表示部７０４に氏名やニックネームや利用者に関係する情報を表示したり、画像表示部７０５に利用者の好みの写真など利用者に関係のある情報を表示することができる。利用者が利用者環境の表示を端末１３０で確認することにより、利用者は端末１３０の安全性を確認するとともに、利便性の高いサービスを受けることができる。

以上のように、不特定多数の利用者が使用可能な端末１３０と、端末管理サーバ１００をネットワークで接続した端末システムを構成することにより、利用者は簡便な操作で、真正性の不確かな端末１３０を利用し、サービス提供を受けることができ、利用者の利便性と取り扱う情報の閲覧、加工などの取り扱いに対する安全性が向上する。

また、利用者がＩＤデバイス１４０を用いて端末１３０と認証操作を行うだけで、利用者は端末１３０のスペックや利用の状況に即した利用者環境を当該端末１３０に構築することができ、サービス開始までの時間を削減できるため、利用者の利便性が向上する。

＜第２実施形態＞
図１０は、本発明の第２の実施形態を示し、端末１３０を利用して利用者が端末１３０の安全性を端末管理サーバ１００の機能を用いて判定し、サービス提供サーバ１５０からサービスを受ける際のシステムのシーケンス図である。

前記第１実施形態の図９と異なる点は、ステップ１００６における真正性検証結果の内容が異なる点と、ステップ１０２０の利用者環境表示、確認以降のステップで、端末管理サーバ１００が主体となって、利用者のサービス利用の手続きを行う点である。その他の構成は前記第１実施形態の図９と同様である。

ステップ１００６において、端末管理サーバ処理部１０２は、真正性の検証を行う。真正性調査結果が正当であると検証された場合、真正性検証結果が、端末管理サーバ処理部１０２から端末管理処理部１３１へ送信される（９０７）。この真正性検証結果は、端末１３０にて復号可能な暗号化が施してあり、ＩＤデバイス１４０にて検証可能な内容になっている。利用者が端末１３０の利用を開始した場合（９０９）、ＩＤデバイス１４０の認証要求９１０に対し、真正性検証結果を認証情報及び第２の認証要求としてＩＤデバイス１４０に送信することにより、ＩＤデバイス１４０は、端末１３０の真正性を確認でき、ステップ１０１６以降の処理を進めることができる。

このとき、ＩＤデバイス１４０は、真正性の内容をＩＤデバイス１４０が持つ時刻情報や別のネットワーク経由での端末管理サーバ１００への問い合わせなどを利用して行っても良い。また、利用者に真正性検証結果から演算された計算結果を表示し、端末１３０上の表示と比較することによって、真正性を検証しても良い。

また、ステップ１０１６にて送信される第２の認証情報に、サービス要求やサービス利用のための認証情報を含ませることにより、利用者がサービス利用要求を端末１３０を介して端末管理サーバ１００へ指示後（１０２１、１０２２）端末管理サーバ１００は、サービス提供サーバ１５０に対し、端末１３０へのサービス提供開始要求と、端末の真正性検証結果を含む端末情報の送付（１０２３、１０２４）をい、利用者はサービスの提供を受ける（１０２５）。

上記のように端末１３０、端末管理サーバ１００をネットワーク１２０で接続した端末システムを構成することにより、第１実施形態と比較して、サービス開始までの時間や、ユーザの操作を削減できるため、利用者の利便性が向上する。

また、ステップ１０１６にて、利用者が端末１３０の利用開始以前に実行していたサービスとサービスの状態を端末１３０が受信するように構成し、ステップ１０２５にて利用者が当該端末１３０の利用以前に実行していたサービスとサービスの状態を引き継ぐことができるようにすると、利用者は、少ない操作で、以前実行していたサービスとサービスの状態を引き継ぐことができる。これにより、利用者の利便性が向上する。このサービスとサービスの状態とは、ＩＤデバイス１４０が以前に通信した端末１３０とは異なる端末において利用者が利用していたサービスとサービスの状態もしくは、ＩＤデバイス１４０が端末の機能を持ちＩＤデバイス１４０上で実行しているサービスとサービスの状態を示す。

なお、上記各実施形態では、端末管理サーバ１００とサービス提供サーバ１５０が異なる計算機で構成された例を示したが、端末管理サーバ１００とサービス提供サーバ１５０の機能を一つの計算機で提供することができる。

以上のように、本発明は、不特定多数の利用者が一時的に借り受けて利用する端末を含む計算機システムに適用することができ、さらに、不特定多数の利用者が一時的に借り受けて利用する端末を管理する管理サーバに適用することができる。

１００端末管理サーバ
１０２端末管理サーバ処理部
１０３端末情報登録部
１１０ストレージ
１３０端末
１３１端末管理処理部
１３２サービス処理部
１３９ストレージ
１４０ＩＤデバイス
１４１デバイス管理部
１５０サービス提供サーバ
１５２サービス処理部

Claims

プロセッサとメモリを具備する端末と、
利用者に関連付けられたＩＤ及び認証情報を格納した、前記端末に通信インターフェースを介して接続するＩＤデバイスと、
前記端末とネットワークを介して接続する端末管理サーバと、
を含む端末システムであって、
前記端末は、
当該端末における真正性の調査を実行し、
真正性調査結果を前記端末管理サーバに送信する端末管理処理部を備え、
前記端末管理サーバは、
前記真正性調査結果が正当であると判断した場合、真正性検証結果を前記端末に送信する端末管理サーバ処理部を備え、
前記ＩＤデバイスは、
前記端末にチャレンジレスポンスによる認証要求を送信するデバイス管理部を備え、
前記端末の前記端末管理処理部は、前記認証要求を前記端末管理サーバに送信し、
前記端末管理サーバ処理部は、前記認証要求に基づいて前記真正性検証結果が予め定められたポリシーに合致していれば認証情報の生成と、第２の認証情報要求の作成を行い、
前記認証情報と、前記第２の認証情報要求を前記端末に送信し、
前記端末は、
前記端末管理サーバから受信した前記利用者に固有の情報を表示する表示部を有し、当該固有の情報を利用者に確認させて当該端末の真正性を保証し、
前記端末の前記端末管理処理部は、受信した前記認証情報と、前記第２の認証情報要求を前記ＩＤデバイスに送信し、
前記ＩＤデバイスは、
前記認証情報が正当なものであれば、前記ＩＤと、前記第２の認証情報要求に対応する前記第２の認証情報を前記端末に送信し、
前記端末は、
前記ＩＤデバイスと通信を行うための通信インターフェースと、
前記通信インターフェースを介して前記ＩＤデバイスから前記ＩＤと前記第２の認証情報を取得して前記端末管理サーバへ送信する認証要求部と、を具備し、
前記端末管理サーバは、
前記利用者に固有の情報を予め登録する端末情報登録部と、
前記端末から受信した認証要求に含まれる前記ＩＤと前記第２の認証情報を、前記予め設定した利用者に固有の情報と比較して認証を行う認証部とを含み、
前記端末管理サーバ処理部は、前記認証の結果、前記利用者は正当であると判定された場合、前記予め登録された利用者に固有の情報を前記端末に送信し、
前記端末は、
前記利用者に固有の情報に応じて前記利用者から認証情報を取得した場合は、前記ＩＤデバイスに送信し、
前記ＩＤデバイスは、
前記利用者から取得した認証情報に基づいて第３の認証情報を前記端末に送信することを特徴とする端末システム。
請求項１に記載の端末システムにおいて、
前記利用者に固有の情報を予め登録する端末情報登録部は、
前記利用者毎に実行するアプリケーションを予め登録し、
前記端末は、
前記端末管理サーバから受信した前記利用者に固有の情報から前記アプリケーションを取得し、当該アプリケーションを実行することで当該端末の真正性を保証することを特徴とする端末システム。
請求項１に記載の端末システムにおいて、
前記端末は、
前記メモリの状態を調査した結果に、当該調査を実施した時刻情報を含み、
前記調査した結果に含まれる時刻情報と、現在時刻の差が所定値を超えたとき時には当該調査結果を破棄することを特徴とする端末システム。
請求項１に記載の端末システムにおいて、
前記ＩＤデバイスが前記認証情報の正当性が検証できない場合は、前記ＩＤデバイスに設けた画面上に前記認証情報の正当性が検証できないことを表示し、又は、前記ＩＤデバイスに設けた出力部から所定の音楽あるいは警告音を出力することを特徴とする端末システム。
請求項１に記載の端末システムにおいて、
前記利用者に固有の情報を予め登録する端末情報登録部は、
前記利用者が前記端末を利用する直前に使用していたアプリケーションを前記利用者に固有の情報として格納し、
前記端末は、
前記端末管理サーバから受信した前記利用者に固有の情報から前記アプリケーションを取得し、当該アプリケーションを実行し、当該アプリケーションを前記利用者へ継続的に提供することを特徴とする端末システム。
請求項１に記載の端末システムにおいて、
前記端末にサービスを提供するサービス提供サーバをさらに有し、
前記端末は、
前記端末管理サーバから取得した前記真正性検証結果を記憶する真正性検証結果記憶部を有し、サービスの要求とともに、前記真正性検証結果を前記サービス提供サーバに送信し、
前記端末管理サーバは、
前記第３の認証情報と、前記真正性検証結果とともに前記サービスの要求を前記サービス提供サーバに送信し、
前記サービス提供サーバは、
前記第３の認証情報と、前記真正性検証結果を受け付けて、前記サービスの要求に対するサービスの提供を開始することを特徴とする端末システム。
プロセッサとメモリを具備してネットワークに接続される端末において、
前記端末は、
当該端末における真正性の調査を実行し、真正性調査結果を端末管理サーバに送信する端末管理処理部を備え、
利用者に関連付けられたＩＤ及び認証情報を格納したＩＤデバイスのデバイス管理部が、前記端末にチャレンジレスポンスによる認証要求を送信し、
前記端末の前記端末管理処理部は、前記認証要求を前記端末管理サーバに送信し、
前記端末管理サーバの端末管理サーバ処理部が、前記認証要求に基づいて真正性検証結果が予め定められたポリシーに合致していれば認証情報の生成と、第２の認証情報要求の作成を行い、
前記認証情報と、前記第２の認証情報要求を前記端末に送信し、
前記端末管理サーバの端末管理サーバ処理部が、前記利用者に固有の情報を前記端末に送信し、
前記端末管理サーバから受信した前記利用者に固有の情報を表示する表示部とを備え、当該固有の情報を利用者に確認させて当該端末の真正性を保証し、
前記端末管理処理部は、
受信した前記認証情報と、前記第２の認証情報要求を前記ＩＤデバイスに送信し、
前記ＩＤデバイスは前記認証情報が正当なものであれば、前記ＩＤと、前記第２の認証情報要求に対応する前記第２の認証情報を前記端末に送信し、
前記ＩＤデバイスと通信を行うための通信インターフェースと、
前記通信インターフェースを介して前記ＩＤデバイスから前記ＩＤと前記第２の認証情報を取得して前記ネットワークへ認証要求として送信する認証要求部と、を具備し、
前記端末管理処理部は、前記ＩＤと前記第２の認証情報を含む認証要求を端末管理サーバに送信し、前記端末管理サーバから取得した利用者に固有の情報に応じて認証を実行し、更に前記利用者から認証情報を取得した場合は、前記ＩＤデバイスに送信することを特徴とする端末。
プロセッサとメモリを具備し、ネットワークに接続されて前記ネットワークに接続された端末を管理する端末管理サーバにおいて、
前記端末の端末管理処理部が、当該端末における真正性の調査を実行し、真正性調査結果を前記端末管理サーバに送信し、
前記真正性調査結果が正当であると判断された場合、真正性検証結果を前記端末に送信し、
利用者に関連付けられたＩＤ及び認証情報を格納したＩＤデバイスのデバイス管理部が、前記端末にチャレンジレスポンスによる認証要求を送信し、前記端末の前記端末管理処理部が、前記認証要求を前記端末管理サーバに送信し、
前記認証要求に基づいて前記真正性検証結果が予め定められたポリシーに合致していれば認証情報の生成と、第２の認証情報要求の作成を行い、
前記認証情報と、前記第２の認証情報要求を前記端末に送信する端末管理サーバ処理部と、
前記ＩＤデバイスは前記認証情報が正当なものであれば、前記ＩＤと、前記第２の認証情報要求に対応する前記第２の認証情報を前記端末に送信し、
前記利用者に固有の情報を予め登録する端末情報登録部と、
前記端末から受信した前記第２の認証要求に含まれるＩＤと前記第２の認証情報を、前記予め設定した利用者に固有の情報と比較して認証を行う認証部と、を備え、
端末管理サーバ処理部は、前記認証の結果、前記利用者は正当であると判定された場合、前記予め登録された利用者に固有の情報を前記端末に送信することを特徴とする端末管理サーバ。