JP5448205B2 - Peripheral device, access authentication server, access authentication method - Google Patents
Peripheral device, access authentication server, access authentication method Download PDFInfo
- Publication number
- JP5448205B2 JP5448205B2 JP2011156947A JP2011156947A JP5448205B2 JP 5448205 B2 JP5448205 B2 JP 5448205B2 JP 2011156947 A JP2011156947 A JP 2011156947A JP 2011156947 A JP2011156947 A JP 2011156947A JP 5448205 B2 JP5448205 B2 JP 5448205B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- peripheral device
- information
- unit
- collection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、ホスト端末に接続される周辺装置及び当該周辺装置に対する認証処理を行うアクセス認証サーバ並びにアクセス認証方法に関する。 The present invention relates to a peripheral device connected to a host terminal, an access authentication server that performs authentication processing on the peripheral device, and an access authentication method.
近年、コンピュータ周辺機器の小型化及び利便性の進歩に伴って、このような機器を異なるコンピュータに接続して使用するといった機会が増加している。しかしながら、このような使用はセキュリティの観点からは問題となることも多い。 In recent years, with the progress of miniaturization and convenience of computer peripheral devices, the opportunity to use such devices connected to different computers has increased. However, such use is often a problem from a security perspective.
特に、コンピュータ周辺機器の一つであるＵＳＢ（Universal Serial Bus）メモリなどの携帯型記憶媒体には、機密性の高い情報が記憶されていることも多く、ユーザ又はコンピュータを問わず使用可能とすることは情報漏洩等のセキュリティリスクを伴う。そこで、このようなリスクを軽減するため、一般的には、パスワードによるアクセス認証を行う機能をソフトウェア的に有するコンピュータ周辺機器を導入したり、ホスト端末にインストールしたセキュリティソフトと連携してアクセス管理を行ったりするといった対策が講じられている。 In particular, portable storage media such as USB (Universal Serial Bus) memory, which is one of computer peripheral devices, often store highly confidential information and can be used regardless of whether it is a user or a computer. This involves security risks such as information leakage. Therefore, in order to reduce such risks, in general, computer peripherals that have a password access authentication function are introduced as software, or access management is performed in cooperation with security software installed on the host terminal. Measures such as going are taken.
また、セキュリティ機能の強化や利便性の向上のためにアクセス認証に関する様々な技術が開発されている。 Various technologies related to access authentication have been developed to enhance security functions and improve convenience.
例えば、特許文献１には、情報処理端末に接続された携帯型記憶装置の使用を許可するかどうかの認証を行う認証サーバを有する情報処理システムが開示されている。当該システムによれば、認証サーバが携帯型記憶装置の認証処理、暗号化情報に対するアクセス管理、個人情報ファイルの管理をそれぞれ行うため、自分専用にカスタマイズした各種ツールを携帯型記憶装置に記憶し、異なる情報処理端末上で安全に実行することが可能となる。
For example,
また、特許文献２には、無線通信機能を有する携帯型記憶装置が開示されている。当該携帯型記憶装置が情報処理装置に接続されると、これらの装置間で第１のアクセス認証を行い、アクセス許可された場合に、携帯型記憶装置は他の無線装置より受信した信号に基づいて使用可能かどうかを判定する。当該構成によれば、携帯型記憶装置の使用エリアを限定することができるため、携帯型記憶装置が盗難された場合などにおいても情報漏洩が発生することを防ぐことが可能となる。 Patent Document 2 discloses a portable storage device having a wireless communication function. When the portable storage device is connected to the information processing device, the first access authentication is performed between these devices, and when access is permitted, the portable storage device is based on a signal received from another wireless device. To determine whether it can be used. According to this configuration, since the use area of the portable storage device can be limited, it is possible to prevent information leakage even when the portable storage device is stolen.
また、特許文献３には、無線通信機能を有する一対の記録媒体を用いて、データの受渡しを行う技術が開示されている。当該技術によれば、記憶媒体に記憶されているデータをセキュアにかつ容易に受け渡すことが可能となる。 Patent Document 3 discloses a technique for transferring data using a pair of recording media having a wireless communication function. According to this technology, data stored in a storage medium can be transferred securely and easily.
一般的に、認証処理に要求する情報を増やせば増やすほどセキュリティは向上する。しかしながら、周辺装置を使用するユーザに対して過度に認証情報の入力等を要求することは、周辺装置の利便性を損なうことになる。 Generally, security increases as the information required for authentication processing increases. However, if the user who uses the peripheral device is excessively requested to input authentication information, the convenience of the peripheral device is impaired.
上記特許文献における認証処理では予め認証処理に必要とする情報が決められており、通常の時間帯にオフィス内で使用する場合など、それほど高いセキュリティレベルが要求されない状況であっても、周辺装置の使用許可認証に毎回多くの情報が必要となる。上記特許文献では、どのようなセキュリティポリシーで認証処理を行うかについて予め固定されており、従って、周辺装置を利用する上での利便性に欠ける場合が生じていた。 In the authentication process in the above-mentioned patent document, information necessary for the authentication process is determined in advance, and even when the security level is not so high, such as when used in an office in a normal time zone, the peripheral device A lot of information is required for each use authorization authentication. In the above-mentioned patent document, what security policy is used for authentication processing is fixed in advance, and therefore, there is a case where the convenience in using the peripheral device is lacking.
本発明は、上記課題を鑑み、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することを目的とする。 In view of the above problems, an object of the present invention is to provide an access authentication server, an access authentication method, and a peripheral device with improved convenience that can flexibly change the security level when the usage environment of the peripheral device changes. .
本発明の第１の態様である周辺装置は、自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える。 The peripheral device according to the first aspect of the present invention includes a data communication means for performing data communication with a host terminal connected to the own device, and collection of information necessary for authentication processing as to whether or not the use of the own device is permitted. Used in the authentication process based on a receiving means for performing a first reception process for receiving an instruction and a second reception process for receiving a result of the authentication process, and a collection instruction received in the first reception process Authentication information collecting means for collecting authentication information, first transmission processing for transmitting a use permission request for requesting use permission of the own device, and second transmission processing for transmitting the authentication information collected by the authentication information collecting means And a control means for controlling permission or denial of access from the host terminal to the own apparatus based on the result of the authentication process received in the second reception process.
また、本発明の第２の態様であるアクセス認証サーバは、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備える。 The access authentication server according to the second aspect of the present invention permits a first reception process for receiving a use permission request for requesting permission to use a peripheral device connected to a host terminal, and permits the use of the peripheral device. A second receiving process for receiving authentication information for use in the authentication process, and an instruction to collect information required for the authentication process based on the use permission request received in the first receiving process Generating means for generating a collection instruction, authentication processing means for performing the authentication process using the authentication information received in the second reception process, a first transmission process for transmitting the generated collection instruction, and the authentication And a second transmission process for transmitting the result of the process.
また、本発明の第３の態様であるアクセス認証方法は、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する。 In addition, the access authentication method according to the third aspect of the present invention receives a use permission request for requesting permission for use of a peripheral device connected to a host terminal, and based on the received use permission request, Generating a collection instruction for instructing collection of information necessary for authentication processing whether to permit use, transmitting the generated collection instruction, receiving authentication information used for the authentication process, and receiving the received authentication Information is used to perform authentication processing as to whether or not to permit the use of the peripheral device, and the result of the authentication processing is transmitted.
本発明によれば、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することができる。 According to the present invention, it is possible to provide an access authentication server, an access authentication method, and a peripheral device with improved convenience that can flexibly change the security level when the use environment of the peripheral device changes.
（実施の形態１）
以下、図面を参照して本発明の実施の形態について説明する。図１は、本実施の形態１に係るセキュリティ管理システムの全体構成を示すブロック図である。
(Embodiment 1)
Embodiments of the present invention will be described below with reference to the drawings. FIG. 1 is a block diagram showing the overall configuration of the security management system according to the first embodiment.
セキュリティ管理システムは、周辺装置１００と、ホスト端末２００と、セキュリティ管理サーバ３００と、を含んで構成される。周辺装置１００は、ホスト端末に接続されてデータ通信を行う装置であり、ホスト端末がＰＣ（Personal Computer）である場合は、所謂ＰＣ周辺機器である。また、ホスト端末２００は周辺装置が接続されてデータ通信を行う端末であり例えばＰＣなどである。また、セキュリティ管理サーバは後述する認証処理を行うため、以下、必要に応じてアクセス認証サーバと呼ぶことがある。また、セキュリティ管理システムもアクセス認証システムと呼ぶことがある。以下、各装置について詳細に説明する。
The security management system includes a
まず、周辺装置１００の構成について説明する。周辺装置１００は、データ通信部１１０と、通信制御部１２０と、ＩＤ記憶部１３０と、を備える。
First, the configuration of the
データ通信部１１０は、接続されたホスト端末２００との間で通信制御部１２０が行う通信制御の下でデータ通信を行う。
The
通信制御部１２０は、データ通信部１１０が行うデータ通信を制御する。通信制御部１２０はホスト端末側から個体ＩＤの読み出し要求を受け取ると、ＩＤ記憶部１３０に記憶されている個体ＩＤを読み出して、データ通信部１１０へ送る。データ通信部１１０は、当該個体ＩＤをホスト端末２００へ送信する。
The
通信制御部１２０は、後述する認証処理が成功するまでは、ホスト端末２００から送られてくるその他のアクセス要求を受け付けない。一方、通信制御部１２０は認証処理が成功したことを示す情報を受け取った場合は、ホスト端末２００と自装置間のデータ通信を許可する。
The
ＩＤ記憶部１３０は、自装置を識別する自装置固有の識別子（個体ＩＤ）を記憶している。
The
次に、ホスト端末２００の構成について説明する。ホスト端末２００は、データ通信部２１０と、通信制御部２２０と、受信部２３０と、認証情報収集部２４０と、送信部２５０と、を備える。
Next, the configuration of the
データ通信部２１０は、自端末に接続される周辺装置と通信制御部２２０が行う通信制御の下でデータ通信を行う。
The
通信制御部２２０は、データ通信部２１０が行うデータ通信を制御する。また、通信制御部２２０は、自端末に接続された周辺装置を識別する識別子を取得する制御を行う。具体的には、通信制御部２２０は、自端末に周辺装置が接続された場合に、当該周辺装置の個体ＩＤを読み出し要求を、データ通信部２１０を介して周辺装置側に送る。通信制御部２２０は、当該周辺装置から返送された個体ＩＤを、データ通信部２１０を介して受け取る。通信制御部２２０は、受け取った個体ＩＤを送信部２５０に送る。
The
受信部２３０は、認証処理に必要とする情報の収集指示をセキュリティ管理サーバ３００より受信する。受信部２３０が受信する当該収集指示は、セキュリティ管理サーバ３００で行われる認証判断用に収集すべき情報を通知するものである。当該収集指示には、認証処理に必要とする情報の種類を指定する情報が含まれる。
The receiving
受信部２３０は、受信した当該収集指示を認証情報収集部２４０に送る。また、受信部２３０は、セキュリティ管理サーバ３００より認証処理の結果を受け取る。受信部２３０は、当該認証処理の結果を通信制御部２２０に送る。通信制御部２２０は、当該認証処理の結果が、アクセス認証が成功したことを示す内容、すなわち周辺装置の使用を許可する内容であった場合は、データ通信部２１０を介して当該情報を周辺装置１００に送信する。
The receiving
認証情報収集部２４０は、受信部２３０より受け取った収集指示に基づいてセキュリティ管理サーバ３００で行われる認証処理に用いられる認証情報を収集する。この時、認証情報収集部２４０は、収集指示で指定されている種類の情報を認証情報として収集する。
The authentication
例えば、認証処理に必要とする情報の種類として第１パスワード及び自端末のＯＳ（Operating System）の情報が収集指示内で指定されている場合は、認証情報収集部２４０は、これらの情報を収集する。第１パスワード等の情報は、図示せぬ表示部でパスワード入力用のダイアログを表示させ、ユーザからキーボード等を介してパスワードを入力させることで収集する。また、ＯＳ等の情報は、図示せぬ記憶部に記憶されている当該情報の場所にアクセスして収集する。認証情報収集部２４０は、収集したこれらの情報を認証情報として送信部２５０に送る。これら収集された認証情報は後述するセキュリティ管理サーバにおける認証処理で用いられる情報である。
For example, when the first password and the OS (Operating System) information of the own terminal are specified in the collection instruction as the types of information required for the authentication process, the authentication
送信部２５０は、通信制御部２２０より受け取った周辺装置の個体ＩＤを含めて使用許可要求を生成し、セキュリティ管理サーバ３００に送信する。ここで、使用許可要求とは、当該個体ＩＤで識別される周辺装置の使用許可をセキュリティ管理サーバ３００に対して要求するものであり、認証処理に必要とする情報の収集指示を要求するものである。なお、使用許可要求は、認証処理を行うセキュリティ管理サーバ３００に対して自端末に接続された周辺装置へのアクセス許可を要求するものでもあるため、アクセス認証要求と呼ぶこともある。また、送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する。
The
次に、セキュリティ管理サーバ３００の構成について説明する。セキュリティ管理サーバ３００は、受信部３１０と、収集指示生成部３２０と、認証処理部３３０と、送信部３４０と、を備える。
Next, the configuration of the
受信部３１０は、上記使用許可要求を受信する。受信部３１０は、受信した使用許可要求を収集指示生成部３２０に送る。また、受信部３１０は、上記認証情報を受信する。受信部３１０は、受信した認証情報を認証処理部３３０に送る。
The receiving
収集指示生成部３２０は、受信部３１０より受け取った使用許可要求に基づいて、認証処理に必要とする情報の収集を指示する収集指示を生成する。具体的には、収集指示生成部３２０は、認証処理用に登録されている複数の種類の情報の中から、受信した使用許可要求に基づいて認証処理に必要とする情報の種類を選択し、当該種類を指定する情報を含めて上記収集指示を生成する。
The collection
なお、収集指示生成部３２０が上記認証処理に必要とする情報の種類を決定するためのアルゴリズムは様々なアルゴリズムが可能である。例えば、使用許可要求に含まれる周辺装置の個体ＩＤから当該周辺装置の種類（携帯型記憶装置、プリンタ、カードリーダ等）を特定し、装置の種類に基づいて認証処理に必要とする情報の種類を決定してもよい。また、収集指示生成部３２０は、別途設けられた現在時刻を算出する図示せぬ時刻算出部に問い合わせて使用許可要求を受信した時刻又は現在時刻を求め、認証処理に必要とする情報の種類を決定してもよい。例えば、当該周辺装置のユーザの仕事時間帯と異なる時間帯に使用許可要求が送られてきた場合は、正当なユーザではない者が周辺装置を不正に使用している可能性があるため、より多くの種類の情報を認証処理に必要とする情報として決定し、収集指示を生成しても良い。収集指示生成部３２０は、上記生成した収集指示を送信部３４０に送る。
Note that various algorithms are possible for the collection
認証処理部３３０は、受信部３１０より受け取った認証情報に基づいて当該周辺装置の使用を許可するかどうかの認証処理、換言すれば当該周辺装置へのアクセスを許可するかどうかの認証処理を行う。
The
具体的には、認証処理部３３０は、図示せぬ記憶部又は外部のデータベースに予め登録されている当該周辺装置に対応付けられた認証情報を参照し、受信部３１０より受け取った認証情報と一致するかどうかの比較処理を行う。認証処理部３３０は、これらの情報が一致した場合は、当該周辺装置の使用を許可する。一方、認証処理部３３０は、これらの情報が一致しない場合は、当該周辺装置の使用を許可しない。認証処理部３３０は、当該認証処理の結果を送信部３４０に送る。
Specifically, the
送信部３４０は、収集指示生成部３２０より送られた収集指示をホスト端末２００に送信する。また、送信部３４０は、認証処理部３３０より送られた認証処理の結果をホスト端末２００に送信する。
The
次に本実施の形態１のセキュリティ管理システムの動作について説明する。図２は、セキュリティ管理システムにおける認証処理の流れを示すシーケンス図である。 Next, the operation of the security management system according to the first embodiment will be described. FIG. 2 is a sequence diagram showing the flow of authentication processing in the security management system.
第１に、ユーザにより周辺装置がホスト端末に接続された場合、ホスト端末は周辺装置が接続されたことを認識する（Ｓ１０１）。 First, when the peripheral device is connected to the host terminal by the user, the host terminal recognizes that the peripheral device is connected (S101).
ホスト端末は、周辺装置が接続されたことを認識すると当該周辺装置を識別する個体ＩＤを取得する。具体的には、通信制御部２２０は周辺装置に個体ＩＤ読み出し要求を出す（Ｓ１０２）。周辺装置の通信制御部１２０は、当該個体ＩＤ読み出し要求を受けると、記憶部１３０に記憶している個体ＩＤを読み出し、当該個体ＩＤをホスト端末側の通信制御部２２０に通知する（Ｓ１０３）。
When recognizing that the peripheral device is connected, the host terminal acquires an individual ID for identifying the peripheral device. Specifically, the
通信制御部２２０が周辺装置より個体ＩＤを受け取ると、送信部２５０に当該個体ＩＤを渡し、送信部２５０は、当該個体ＩＤを含む使用許可要求を生成する（Ｓ１０４）。送信部２５０は、当該生成した使用許可要求をセキュリティ管理サーバ３００に送信する（Ｓ１０５）。
When the
セキュリティ管理サーバ３００の受信部３１０が当該使用許可要求を受信し、収集指示生成部３２０は、当該使用許可要求に基づいてアクセス認証処理に必要とする情報の種類を決定し、当該種類を指定する情報を含めて収集指示を生成する。（Ｓ１０６）。送信部３４０は、収集指示生成部で生成された収集指示を送信する（Ｓ１０７）。
The receiving
認証情報収集部２４０は、受け取った収集指示に基づいて、当該収集指示で指定されている種類の情報を収集する（Ｓ１０８）。送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する（Ｓ１０９）。
Based on the received collection instruction, the authentication
セキュリティ管理サーバ３００は、受信部３１０で当該認証情報を受け、認証処理部３３０は、当該認証情報に基づいて認証処理を行う（Ｓ１１０）。送信部３４０は、認証処理部３３０における認証処理の結果をホスト端末に通知する（Ｓ１１１）。
The
ホスト端末の通信制御部２２０は、受信部２３０で受け取った上記認証処理の結果を周辺装置に通知する（Ｓ１１２）。周辺装置の通信制御部１２０は、受け取った認証処理の結果が、アクセス認証が成功したことを示している場合は、ホスト端末からの書き込み・読み込み要求といったアクセスを許可する（Ｓ１１３）。その後は、ホスト端末のデータ通信部２１０と周辺装置のデータ通信部１１０との間でデータ通信が行われる（Ｓ１１４）。
The
以上説明したように、本実施の形態１におけるセキュリティ管理システムは、セキュリティ管理サーバがホスト端末から周辺装置へのアクセスを許可するかどうかの認証処理を行う。そして、セキュリティ管理サーバは、第１に送られてきた使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する。このような構成としておくことで周辺装置の種類やその他の状況に応じて認証に要求するセキュリティレベルを変更することができる。 As described above, the security management system according to the first embodiment performs authentication processing as to whether or not the security management server permits access from the host terminal to the peripheral device. Then, the security management server instructs collection of information necessary for the authentication process based on the use permission request sent first. With this configuration, the security level required for authentication can be changed according to the type of peripheral device and other situations.
すなわち、一般的に、認証処理に必要とする情報の種類（項目）を増やせば増やすほどセキュリティレベルを向上させることができる一方で、多くのパスワード入力が要求されるなどユーザの利便性が低下する傾向がある。しかしながら、本実施の形態のセキュリティ管理システムでは、セキュリティ管理サーバが状況に応じて認証に必要とする情報の種類を決定して、これらの種類の情報収集を行わせることが可能であるためユーザの利便性を保ちつつ高いセキュリティレベルを維持することが可能となる。 That is, in general, as the number of types of information (items) required for the authentication process is increased, the security level can be improved, while the convenience of the user is reduced, for example, a large number of passwords are required. Tend. However, in the security management system of this embodiment, the security management server can determine the types of information required for authentication according to the situation, and collect these types of information. It is possible to maintain a high security level while maintaining convenience.
（実施の形態２）
本発明の実施の形態２に係るセキュリティ管理システムは、周辺装置がセキュリティ管理サーバと通信を行う通信機能を有することを特徴とする。
(Embodiment 2)
The security management system according to the second embodiment of the present invention is characterized in that the peripheral device has a communication function for communicating with the security management server.
実施の形態１のセキュリティ管理システムは、周辺装置がホスト端末に接続された場合にホスト端末がセキュリティ管理サーバにアクセスしてアクセス認証を求め、必要となる情報を収集する機能を有している。これらの機能等は一般的にセキュリティ管理ソフトウェアをホスト端末にインストールすることで実現される。 The security management system according to the first embodiment has a function of collecting necessary information by accessing the security management server when the peripheral device is connected to the host terminal, requesting access authentication. These functions and the like are generally realized by installing security management software on the host terminal.
実施の形態１のセキュリティ管理システムでは、対象とする周辺装置が接続されうるホスト端末数が多い場合は、これらのホスト端末すべてに上記セキュリティ管理ソフトウェアをインストールしておく必要がある。例えば、周辺装置がＵＳＢメモリなど携帯型記憶装置である場合は、その装置の性質上接続されうるホスト端末数は非常に多くなることが想定され、これらのホスト端末全てに上記ソフトウェアをインストールしておくことは非常に労力を要する。また、オフラインのホスト端末では当該周辺装置を使用することができなくなり、また、使用の集中管理ができないため、さらなる労力が必要である。本実施の形態２のセキュリティ管理システムは、このような状況にも対応でき、周辺装置の利便性を向上させている。以下、図面を用いて詳細に説明する。 In the security management system of the first embodiment, when the number of host terminals to which target peripheral devices can be connected is large, it is necessary to install the security management software on all of these host terminals. For example, if the peripheral device is a portable storage device such as a USB memory, the number of host terminals that can be connected is assumed to be very large due to the nature of the device, and the software is installed on all of these host terminals. It is very laborious to set up. Further, since the peripheral device cannot be used in an offline host terminal, and the use cannot be centrally managed, further labor is required. The security management system of the second embodiment can cope with such a situation and improves the convenience of the peripheral device. Hereinafter, it explains in detail using a drawing.
図３は、本実施の形態２のセキュリティ管理システムの概念を示す図である。無線通信機能を有する周辺装置４００が、パーソナルコンピュータ（ＰＣ）であるホスト端末５００に接続されている。また、セキュリティ管理サーバ６００は、複数の無線通信用のアクセスポイント７０１〜７０ｎと接続されている。周辺装置４００は、当該アクセスポイント７０１〜７０ｎのいずれかと無線通信を行うことで、セキュリティ管理サーバ６００と通信を行う。
FIG. 3 is a diagram showing the concept of the security management system according to the second embodiment. A
図４は、周辺装置４００の具体例を示す図であり、ここではＵＳＢメモリを想定している。なお、本実施の形態２においては、周辺装置４００は具体的に携帯型記憶装置の一つであるＵＳＢメモリであるとして説明するがこれに限定するものではない。周辺装置として、ＣＤ−ＲＯＭドライブやＨＤＤ、プリンタやスキャナなど、ベースとなるＰＣ周辺機器に置き換えても良い。
FIG. 4 is a diagram illustrating a specific example of the
図４において周辺装置（ＵＳＢメモリ）４００は、コネクタ４０１とコントローラＩＣ４０２とフラッシュメモリチップ４０３と無線通信制御回路４０４と無線通信用アンテナ４０５を備える。コネクタ４０１とコントローラＩＣ４０２は信号線４０６で、コントローラＩＣ４０２とフラッシュメモリチップは信号線４０７で、コントローラＩＣ４０２と無線通信制御回路４０４は信号線４０８でそれぞれ接続されており、互いにデジタル通信を行う。
In FIG. 4, a peripheral device (USB memory) 400 includes a
コネクタ４０１は、ホスト端末（ＰＣ）との接続方式としてＵＳＢインタフェースを想定しているが、ＵＳＢインタフェースに限らずＩＥＥＥ１３９４、ＳＡＴＡやＳＣＳＩなどＰＣとデータのやり取りが可能なあらゆる方式を適用してもよい。当該コネクタ４０１がホスト端末に設けられた接続ポートに接続されることでホスト端末との間でデータ通信が開始され、仕様に応じてホスト端末より電力供給が行われる。
The
コントローラＩＣ４０２は、フラッシュメモリチップ４０３の制御、ＰＣとのインタフェース機能の実現、アクセス認証の流れの制御といった各種制御を行う。
The
無線通信制御回路４０４は、アクセスポイントと無線通信を行うための回路である。無線通信方式としては無線ＬＡＮ（ＩＥＥＥ ８０２．１１）を想定しているが、ＢｌｕｅｔｏｏｔｈやＲＦＩＤなど他の無線通信方式を使用しても良い。
The wireless
フラッシュメモリチップ４０３内の記憶領域の一部には使用認証に必要なデータを収集するセキュリティプログラム及び自装置の個体ＩＤが記憶されている。この領域は接続されるＰＣ側からは書換え不可であり、読み込みも通常は不可に制御されている。
In a part of the storage area in the
また、コントローラＩＣ４０２、フラッシュメモリチップ４０３、無線通信制御回路４０４の電源はコネクタ４０１を通してＰＣから供給されているが、外部から供給される構成であっても良いし、別途バッテリを設けても良い。
Further, the
次に上記周辺装置４００を構成する各回路の具体的機能を図５のブロック図を併用しながら説明する。
Next, specific functions of the circuits constituting the
図５は、本実施の形態２に係るセキュリティ管理システムのブロック図である。本実施の形態２に係るセキュリティ管理システムは、周辺装置４００と、ホスト端末５００と、セキュリティ管理サーバ６００と、無線通信用アクセスポイント７００（以下ＡＰと略す。）と、を含んで構成される。以下、各装置の具体的構成について説明する。但し、実施の形態１で説明した部分については一部説明を省略する。
FIG. 5 is a block diagram of the security management system according to the second embodiment. The security management system according to the second embodiment includes a
周辺装置４００は、データ通信部４１０と、通信制御部４２０と、データ記憶部４３０と、使用許可要求生成部４４０と、認証情報収集部４５０と、無線受信部４６０と、無線送信部４７０と、を備える。ここで、データ通信部４１０が図４のコネクタ４０１に対応し、通信制御部４２０と使用許可要求生成部４４０と認証情報収集部４５０とが図４のコントローラＩＣ４０２に対応し、データ記憶部４３０が図４のフラッシュメモリチップ４０３に対応し、無線受信部４６０及び無線送信部４７０が図４の無線通信制御回路４０４に対応する。
The
データ通信部４１０は、接続されたホスト端末２００との間で通信制御部４２０における通信制御の下でデータ通信を行う。
The
通信制御部４２０は、データ通信部４１０が行うデータ通信を制御する。また、通信制御部４２０は、自装置がホスト端末と接続されたことを検知すると、使用許可要求生成部４４０に当該接続されたことを通知する。
The
また、通信制御部４２０は、後述するセキュリティ管理サーバ６００における認証処理が成功するまでは、ホスト端末５００から送られてくるデータ記憶部４３０に対するアクセス要求を受け付けない。一方、通信制御部４２０は上記認証処理が成功したことを示す情報を受け取った場合は、ホスト端末５００からのデータ記憶部４３０に記憶されているデータへのアクセスを許可する。
Further, the
データ記憶部４３０は、データを記憶する。具体的には、データ記憶部４３０は、データの書き換えが可能なフラッシュメモリであることが多いがこれに限定されるものではない。また、データ記憶部４３０は、自装置４００を固有に識別する個体ＩＤが合わせて記憶されている。また、データ記憶部４３０は、後述する情報収集用のセキュリティプログラムが合わせて記憶されている。
The
使用許可要求生成部４４０は、通信制御部４２０より自装置がホスト端末と接続されたことを示す通知を受けると、自装置の使用許可をセキュリティ管理サーバに対して要求する情報である使用許可要求を生成する。
When the use permission
具体的には、使用許可要求生成部４４０は、データ記憶部４３０より個体ＩＤを読み込む。また、使用許可要求生成部４４０は、無線受信部４６０より自装置が無線通信可能なＡＰを識別する識別ＩＤを取得する。このような識別ＩＤには例えばＳＳＩＤ（Service Set Identifier）を用いることができる。以下、アクセスポイントの識別ＩＤはＳＳＩＤとして説明するがこれに限定されるものではない。使用許可要求生成部４４０は、当該情報が使用許可要求であることを示す識別子と個体ＩＤとＳＳＩＤを含めて使用許可要求を生成し、無線送信部４７０に送る。
Specifically, the use permission
認証情報収集部４５０は、無線受信部４６０より認証処理に必要とする情報の収集指示を受け取ると指示された情報の収集を開始する。具体的には、データ記憶部４３０より情報収集用のセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０とデータ通信部４１０を介してホスト端末５００に送り、ホスト端末５００のＣＰＵ上で当該プログラムを実行させることにより認証情報を収集する。認証情報収集部４５０は、収集した認証情報を無線送信部４７０に送る。
When the authentication
無線受信部４６０は、ＡＰから送信される各種情報を受信する。無線受信部４６０は、ＡＰとの無線接続処理時に当該ＡＰを識別するＳＳＩＤを受信し、当該受信したＳＳＩＤを使用許可要求生成部４４０に送信する。
The
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理に必要とする情報の収集指示を受信し、当該指示を認証情報収集部４５０に送る。ここで、当該収集指示には、認証情報の収集指示であることを示す識別子の他、認証処理に必要とする情報の種類が示されている。
In addition, the
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理の結果を受信し、通信制御部４２０に送る。
Further, the
無線送信部４７０は、使用許可要求生成部４４０より受け取った使用許可要求を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
The
また、無線送信部４７０は、認証情報収集部４５０より受け取った認証情報を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
Also, the
次に、ホスト端末５００について説明する。ホスト端末５００は、データ通信部５１０と、通信制御部５２０と、データ記憶部５３０と、プログラム実行部５４０と、を備える。
Next, the
データ通信部５１０は、通信制御部４２０の通信制御の下で自端末に接続される周辺装置とデータ通信を行う。
The
通信制御部５２０は、データ通信部５１０におけるデータ通信を制御する。
データ記憶部５３０は、各種データを記憶する。データ記憶部５３０が記憶している情報としては、自端末で実行されているＯＳ（Operating System）の情報、自端末を識別するＩＤ（ＳＭＢＩＯＳ等から取得）、自端末のＨＷ構成（ＯＳ機能等を使用して取得）、といった情報が記憶されている。
The
プログラム実行部５４０は、所謂ＣＰＵ（Central Processing Unit）であり、システム管理を行うＯＳを実行するほか、データ通信部５１０、通信制御部５２０を介して周辺装置４００から送られる情報収集用のセキュリティプログラムを実行する。また、この時認証処理に必要とする情報の種類についての指示も合わせて送られ、プログラム実行部５４０は、当該セキュリティプログラムを実行することで、上記指定された種類の情報を収集する。具体的には、プログラム実行部５４０は、データ記憶部５３０に記憶されている各種データのうち、指示された種類の情報を読み込む。また、認証処理に必要とする情報としてユーザＩＤや当該ユーザＩＤに対応するパスワードが指示されている場合は、プログラム実行部５４０は、図示せぬインタフェースを介して画面表示部にユーザＩＤ及びパスワード入力画面を表示させユーザＩＤ及びパスワードをユーザに入力させることでこれらの情報を収集する。収集した情報は、通信制御部５２０及びデータ通信部５１０を介して周辺装置の認証情報収集部４５０に送られる。
The
次に、セキュリティ管理サーバ６００について説明する。セキュリティ管理サーバ６００は、受信部６１０と、認証処理部６２０と、収集指示生成部６３０と、管理テーブル記憶部６４０と、送信部６５０と、を備える。
Next, the
受信部６１０は、周辺装置４００よりＡＰを介して自装置４００を使用することの許可を要求する使用許可要求を受信する。また、受信部６１０は、ＡＰを介して周辺装置４００より送信される認証情報を受信する。受信部６１０は、受信した使用許可要求及び認証情報を認証処理部６２０に送る。
The receiving
認証処理部６２０は、周辺装置の使用を許可するかどうかの認証処理を行う。具体的には、認証処理部６２０は、受信部６１０より使用許可要求を受け取ると、当該使用許可要求に含まれる周辺装置を識別する個体ＩＤとＡＰを識別するＳＳＩＤの組み合わせが許可された組み合わせであるかどうかの第１の認証処理を行う。
The
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている許可する周辺装置の個体ＩＤとＡＰのＳＳＩＤと対応関係を記した第１管理テーブルを参照して上記第１認証処理を行う。図６に当該第１管理テーブルの一例を示す。第１管理テーブルには周辺装置（個体ＩＤ）毎に許可されているＡＰ（ＳＳＩＤ）が対応付けられている。認証処理部６２０は、上記第１認証処理の結果、周辺装置とＡＰの組み合わせが許可されたものであった場合は、収集指示生成部６３０に当該個体ＩＤとＳＳＩＤを通知する。
At this time, the
また認証処理部６２０は、受信部６１０より受け取った認証情報に基づいて周辺装置の使用を許可するかどうかの第２の認証処理を行う。
Further, the
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている周辺装置の個体ＩＤと対応する認証情報との組み合わせを記した第２管理テーブルを参照して上記第２認証処理を行う。図７に当該第２管理テーブルの一例を示す。第２管理テーブルには周辺装置（個体ＩＤ）毎に対応付けられた認証情報が記されている。図７に示すように、認証情報としては、ユーザＩＤ、第１パスワード、第２パスワード、第３パスワード、セキュリティプログラムのバージョン情報、ホスト端末のＯＳ情報、ホスト端末のＨＷ情報が登録されている。
At this time, the
ここで、ＨＷ情報としては、ＢＩＯＳＲＥＶ、ＡＣＰＩｔａｂｌｅ、ＰＣＩＣｏｎｆｉｇ空間の情報、ＭＡＣアドレス、ＵＵＩＤ（Universally Unique Identifier）、ＧＰＩＯ（General Purpose Input/Output）設定、ＭＣＵＲｅｖと言った情報を認証情報として利用することができる。特にＳＭＢＩＯＳやＡＣＰＩｔａｂｌｅなどは、一般的に偽造の対象とされる可能性が低いことから偽造リスクが少なく、個体識別の観点から有力な認証情報となる。また、ＭＡＣアドレスやＢＩＯＳで生成されるＵＵＩＤもＨＷの個体識別という観点から有効な認証情報とすることができる。 Here, as the HW information, information such as BIOSREV, ACPItable, PCIConfig space information, MAC address, UUID (Universally Unique Identifier), GPIO (General Purpose Input / Output) setting, and MCU Rev may be used as authentication information. it can. In particular, SMBIOS, ACPItable, and the like are generally less likely to be counterfeited and therefore have a low risk of counterfeiting, and are effective authentication information from the viewpoint of individual identification. Also, the UUID generated by the MAC address or BIOS can be effective authentication information from the viewpoint of individual identification of the HW.
認証処理部６２０は、第２の認証処理の結果、すなわち周辺装置の使用を許可するか許可しないかを示す情報を送信部６５０に送る。
The
収集指示生成部６３０は、第１認証処理を行った認証処理部６２０より個体ＩＤ及びＳＳＩＤを受け取ると、当該個体ＩＤの周辺装置に対する認証処理に必要とする情報の収集を指示する収集指示を生成する。この時、収集指示生成部６３０は、所定のアルゴリズムに従い、複数ある認証情報の中から認証処理に必要とする情報の種類を決定し、当該種類を含めて上記収集指示を生成する。
Upon receiving the individual ID and the SSID from the
図８に当該収集指示の一例を示す。当該収集指示には、収集指示であることを識別する識別子、通知する周辺装置の個体ＩＤ、認証処理に必要とする情報の種類を示す情報が含まれる。認証処理に必要とする情報の種類を指定する情報は、具体的には収集指示生成部６３０が個体ＩＤ、ＳＳＩＤ、その他現在時刻等の情報を用いて所定のアルゴリズムに基づいて決定された種類が指定されている。図８の例では、ユーザＩＤ、第１パスワード、ホスト端末のＭＡＣアドレス、ホスト端末のＯＳ情報の４種類の情報が認証処理に必要とする情報として指定されている。
FIG. 8 shows an example of the collection instruction. The collection instruction includes an identifier for identifying the collection instruction, the individual ID of the peripheral device to be notified, and information indicating the type of information required for the authentication process. The information specifying the type of information required for the authentication processing is specifically the type determined by the collection
ここで、収集指示生成部６３０は、認証処理部６２０より受け取った個体ＩＤ及びＳＳＩＤ、その他図示せぬ時刻算出部から受け取った現在の時刻等の情報を用いて複数ある認証情報の中から認証処理に必要とする情報の種類を選択して決定する。
Here, the collection
例えば、収集指示生成部６３０は、受け取った個体ＩＤより、周辺装置が携帯型記憶装置である場合はより高いセキュリティレベルが求められると判断し、より多くの情報が認証処理に必要とする決定を行っても良い。
For example, the collection
また、収集指示生成部６３０は、個体ＩＤに対応付けされたＳＳＩＤ毎にセキュリティレベルを合わせて設定しておき、受け取ったＳＳＩＤに対応するセキュリティレベルに応じて必要とする情報の種類を決定しても良い。例えば、自宅やオフィスに設置されたＡＰから使用許可要求を受け取った場合は、第３者が不正に使用している可能性は低いため、このようなＡＰには低いセキュリティレベルを設定しておく。一方、外部のＡＰを介して使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、高いセキュリティレベルを設定しておいても良い。
The collection
また、当該周辺装置の使用が想定される時間帯を設定しておき、使用許可要求が送信された時刻が当該時間帯内であるかどうかに基づいて、認証処理に必要とする情報の種類を選択して決定してもよい。例えば、想定された時間帯以外に使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、より多くの種類の情報を選択しても良い。 In addition, a time zone in which the peripheral device is expected to be used is set, and the type of information required for the authentication process is determined based on whether the time when the use permission request is transmitted is within the time zone. It may be selected and determined. For example, when a use permission request is transmitted outside the assumed time zone, the possibility of unauthorized use by a third party increases, so more types of information may be selected.
また、使用許可要求に個体ＩＤ及びＳＳＩＤに加えて他の情報が含まれる場合は、収集指示生成部６３０は、それらの情報も考慮に入れて認証処理に必要とする情報の種類を選択して決定してもよい。収集指示生成部６３０は、生成した収集指示を送信部６５０に送る。
In addition, when the use permission request includes other information in addition to the individual ID and the SSID, the collection
管理テーブル記憶部６４０は、上記第１認証処理時に参照される第１管理テーブル及び第２認証処理時に参照される第２管理テーブルを記憶する。なお、第１管理テーブル及び第２管理テーブルは、１つのテーブルとして記憶されていても良い。
The management
送信部６５０は、認証処理部６２０より受け取った認証処理の結果及び収集指示生成部６３０より受け取った収集指示をＡＰを介して周辺装置に送信する。
The
次に、本実施の形態２のセキュリティ管理システムの動作について説明する。図９は、本実施の形態２のセキュリティ管理システムの処理の流れを示すフローチャート図である。 Next, the operation of the security management system according to the second embodiment will be described. FIG. 9 is a flowchart showing a processing flow of the security management system according to the second embodiment.
ユーザにより周辺装置とホスト端末が接続されると、周辺装置内に電源が供給されてその機能を開始し、周辺装置は自装置がホスト端末に接続されたことを認識する（Ｓ２０１）。本実施の形態では通信制御部４２０が当該接続されたかどうかの認識を行う。なお、この時点では周辺装置の通信制御部４２０によるアクセス制御によりデータ記憶部４３０の記憶領域へのアクセスは禁止されている。
When the user connects the peripheral device and the host terminal, power is supplied to the peripheral device to start its function, and the peripheral device recognizes that its own device is connected to the host terminal (S201). In this embodiment, the
周辺装置は、ステップ２０１において自装置がホスト端末５００と接続されたことを認識すると、ＡＰ７００を介してセキュリティ管理サーバとアクセスを試み、続いて、使用許可要求生成部４４０は、自装置を使用できる状態にするために使用許可要求を生成する（Ｓ２０２）。なお、セキュリティ管理サーバにアクセスできなかった場合はその場で認証の手続きを終了し、従って周辺装置の使用は不可となる。ステップ２０２で生成された使用許可要求は、無線送信部４７０より、ＡＰを介してセキュリティ管理サーバに送信される（Ｓ２０３）。
When the peripheral device recognizes that its own device is connected to the
セキュリティ管理サーバは、ステップ２０３で受け取った使用許可要求に基づいて当該使用許可要求が予め許可された使用許可要求であるかどうかについての第１認証処理を行う（Ｓ２０４）。具体的には、認証処理部６２０は、使用許可要求に含まれる個体ＩＤが許可されたものであるか、ＳＳＩＤが許可されたものであるか、及び個体ＩＤとＳＳＩＤの組み合わせが許可されたものであるか、といった判定を第１認証処理として行う。
Based on the use permission request received in step 203, the security management server performs first authentication processing as to whether or not the use permission request is a use permission request that has been permitted in advance (S204). Specifically, the
ステップ２０４における第１認証処理の結果、許可された使用許可要求であった場合は、収集指示生成部６３０は、第２認証処理で必要とする情報を収集するための収集指示を生成する（Ｓ２０５）。図７に示すように当該収集指示には、認証処理に必要とする情報の種類の一覧が含まれており、送信部６５０は、当該収集指示を周辺装置に送信する（Ｓ２０６）
If the result of the first authentication process in
周辺装置は、セキュリティ管理サーバより収集指示を受け取ると、認証情報収集部４５０が、認証処理に必要とする情報を収集するための処理を開始する（Ｓ２０７〜Ｓ２１０）。具体的には、認証情報収集部４５０は、データ記憶部４３０に記憶されているセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０７）。また、認証情報収集部４５０は、セキュリティ管理サーバより受け取った収集指示の内容を通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０８）。なお、ステップ２０５とステップ２０６は順不同である。
When the peripheral device receives the collection instruction from the security management server, the authentication
ホスト端末のプログラム実行部５４０は、ステップ２０５で受け取ったセキュリティプログラムを手動又は自動で実行し、ステップ２０６で指示された情報を収集する（Ｓ２０９）。プログラム実行部５４０はステップ２０９で収集した情報を通信制御部５２０及びデータ通信部５１０を介して周辺装置に送信する（Ｓ２１０）。認証情報収集部４５０は、ステップ２１０で送られた情報を受け取ることで認証情報の収集が完了する。当該収集された認証情報は無線送信部４７０よりＡＰを介してセキュリティ管理サーバに送信される（Ｓ２１１）。
The
セキュリティ管理サーバの認証処理部６２０は、ステップ２１１で送信された認証情報に基づいて第２の認証処理を行う（Ｓ２１２）。当該認証処理の結果は、送信部６５０より周辺装置に通知される（Ｓ２１３）。周辺装置は、受け取った認証処理の結果を確認し、当該認証処理の結果が認証成功を示している場合は、通信制御部４２０はホスト端末からのアクセス要求ブロックを解除し、その後データ通信部間でデータ通信が行われる（Ｓ２１２）。すなわち、ＰＣ上で当該周辺装置の使用が可能となる。一方、認証処理の結果が認証失敗を示している場合は、通信制御部４２０が引き続きホスト端末からのアクセス要求をブロックするため、ホスト端末と自装置の間でのデータ通信は行われない。すなわち、周辺装置を使用することができないままとなる。
The
以上説明したように、本実施の形態２における周辺装置は自ら無線通信機能を備え、使用認証を無線通信経由でセキュリティサーバ上にて行う。この時、認証処理のトリガとなる使用許可要求には、周辺装置を識別する個体ＩＤに加えて周辺装置が接続している無線通信用アクセスポイントを識別するＩＤが含まれる。当該アクセスポイントのＩＤによりセキュリティ管理サーバは、周辺装置の使用範囲を判別することができ、従って周辺装置の使用可能な領域を制御することができる。すなわち、周辺装置を予め定められた無線通信網のもとでのみ動作可能とさせることができ、使用想定外の場所へ持ち出されての意図しない使用を防止することができる。 As described above, the peripheral device according to the second embodiment has its own wireless communication function and performs use authentication on the security server via wireless communication. At this time, the use permission request that triggers the authentication process includes an ID for identifying the wireless communication access point to which the peripheral device is connected in addition to the individual ID for identifying the peripheral device. Based on the ID of the access point, the security management server can determine the usage range of the peripheral device, and thus can control the usable area of the peripheral device. That is, the peripheral device can be operated only under a predetermined wireless communication network, and unintended use by being taken out to a place not intended for use can be prevented.
そして、セキュリティ管理サーバ上で認証条件の管理及び実際の使用認証を行うため、柔軟かつ複雑な条件の認証が可能になる。また、セキュリティ管理サーバ上で認証条件の管理を行うため、認証条件を変更する場合にいちいち管理下のすべての周辺装置を回収して設定変更を行うと言った労力を必要とせず、容易かつ迅速に変更することができる。すなわち、管理下の周辺装置について、認証条件などのセキュリティポリシーをセキュリティ管理サーバ上から一括して変更をかけることが可能であり、管理が容易になる。 Since authentication condition management and actual use authentication are performed on the security management server, flexible and complex condition authentication is possible. Also, because the authentication conditions are managed on the security management server, it is easy and quick without requiring the effort of collecting all the peripheral devices under management and changing the settings one by one when changing the authentication conditions. Can be changed. In other words, security policies such as authentication conditions can be collectively changed from the security management server for managed peripheral devices, and management becomes easy.
また、本実施の形態において認証情報を収集する認証情報収集部４５０は、自装置４００に内蔵されたセキュリティソフトをホスト端末側で実行させることで当該認証情報の収集を行う。従って、周辺装置が接続されるホスト端末（ＰＣ）については、特別なセキュリティソフトのインストールや管理が不要となり、また、ネットワーク接続も不要となる。従って、ホスト端末のセキュリティソフトのインストールの有無やネットワーク接続の有無に関わらず周辺装置の使用管理が可能となる。従って、高いセキュリティ及び周辺装置の使用柔軟性を高めることができる。
Further, in the present embodiment, the authentication
以上説明したように本発明によれば、周辺装置（ＰＣ周辺機器）の使用許可を判断するセキュリティポリシーをセキュリティ管理サーバ上で管理することにより、多数のＰＣ周辺機器の管理を一括して簡単に実施できることができる。また、当該セキュリティポリシーをセキュリティ管理サーバ上で管理しているので、セキュリティポリシーの変更を瞬時に反映できるができる。更に、本発明ではセキュリティ管理サーバが、ＰＣ周辺機器の使用認証に複数のデータを組み合わせて認証処理を行うことができるため、使用者や使用条件により複雑かつ柔軟な条件設定ができる。 As described above, according to the present invention, management of a large number of PC peripheral devices can be easily performed collectively by managing a security policy for determining permission to use a peripheral device (PC peripheral device) on the security management server. Can be implemented. In addition, since the security policy is managed on the security management server, changes in the security policy can be reflected instantaneously. Furthermore, in the present invention, since the security management server can perform authentication processing by combining a plurality of data for use authentication of PC peripheral devices, complicated and flexible condition setting can be made depending on the user and use conditions.
また、本発明によれば、使用を許可するかどうかの判断材料として現在時刻を使用可能であり、周辺装置の使用可能な時間を制御可能とすることができる。ここで、使用許可の判断に用いる現在時刻は、例えば周辺装置が使用許可要求に含めて送信し、当該使用許可要求に含まれる現在時刻を用いても良いが、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることが望ましい。周辺装置の接続先ＰＣより現在時刻を取得する場合は、現在時刻を自由に変更可能なＰＣシステム時計から取得することになり、正確な判断が出来ない可能性がある点と、不要な通信トラフィックを生じるためである。一方、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることで正確な判断が可能となり、使用許可要求のデータ量も削減できる。 In addition, according to the present invention, the current time can be used as a material for determining whether to permit the use, and the usable time of the peripheral device can be controlled. Here, the current time used for the determination of the use permission may be, for example, transmitted by the peripheral device included in the use permission request, and the current time included in the use permission request may be used. It is desirable to use the current time obtained from the time calculation unit. When the current time is acquired from the PC connected to the peripheral device, the current time is acquired from a PC system clock that can be freely changed, and there is a possibility that an accurate determination cannot be made, and unnecessary communication traffic. It is for producing. On the other hand, by using the current time obtained from the current time calculation unit provided separately in the security management server, an accurate determination can be made, and the data amount of the use permission request can be reduced.
このように、本発明によれば、使用場所・使用者・使用時刻・接続するＰＣ構成等に応じた周辺装置使用の認証を細かく設定できる。また、セキュリティ管理サーバが認証に必要とする情報を周辺装置に指示して収集させるため、使用場所・使用者・使用時刻・接続するＰＣ構成等をその時要求されるセキュリティレベルに合わせて柔軟に設定・変更できる。 As described above, according to the present invention, it is possible to finely set the authentication of the peripheral device use according to the place of use, the user, the time of use, the PC configuration to be connected, and the like. In addition, since the security management server instructs the peripheral device to collect information required for authentication, the location of use, user, use time, PC configuration to be connected, etc. can be flexibly set according to the security level required at that time・ Can be changed.
本発明は、企業の事業場内などＰＣ周辺機器（周辺装置）の使用条件を管理したい場合の他、一般家庭用に応用する事も可能である。 The present invention can be applied to general households as well as to manage the usage conditions of PC peripheral devices (peripheral devices) such as in a company office.
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。 Note that the present invention is not limited to the above-described embodiment, and can be changed as appropriate without departing from the spirit of the present invention.
例えば、使用許可要求に上記セキュリティプログラムのバージョン情報を含めて送信しても良い。セキュリティ管理サーバは、個体ＩＤとＳＳＩＤの確認に加えてプログラムのバージョン情報の確認を行ってもよい。この時、セキュリティ管理サーバは、上記受け取ったバージョンと予め設定されたバージョンとが一致しない場合は、認証処理を終了するよう構成しても良い。また、受け取ったバージョンが古い場合は、更新プログラムを当該周辺装置に配信し、周辺装置側の制御でアップデートを行えるよう構成しても良い。セキュリティ管理サーバは、周辺装置よりアップデートが成功したことを示すアップデート成功信号を受け取った場合は、認証処理を継続するよう構成しても良い。このような構成を更に備えることで、プログラムの偽造やプログラム破損による不正認証や認証ミスを防ぐことができる。 For example, the use permission request may be transmitted including the security program version information. The security management server may confirm the version information of the program in addition to the confirmation of the individual ID and the SSID. At this time, the security management server may be configured to end the authentication process if the received version does not match the preset version. Further, when the received version is old, the update program may be distributed to the peripheral device so that the update can be performed under the control of the peripheral device. The security management server may be configured to continue the authentication process when receiving an update success signal indicating that the update is successful from the peripheral device. By further providing such a configuration, it is possible to prevent unauthorized authentication or authentication error due to program forgery or program corruption.
また、セキュリティ管理サーバが認証処理に必要とする情報として生体情報を利用しても良い。例えば、セキュリティ管理サーバは、指紋、瞳孔パターン、静脈パターンなど周辺装置のユーザの生体情報を認証情報として記憶しておき、収集指示生成部が生成する収集指示で指定される種類の情報の中に上記生体情報を含めても良い。周辺装置又はホスト端末は、指紋センサや画像取得部など上記生体情報を検出する検出部を別途備え、上記生体情報の収集を指示された場合は、これらの情報を認証処理に用いられる認証情報として収集してもよい。セキュリティ管理サーバは、認証処理に必要とする情報を決定する所定のアルゴリズムに基づいて、極めて高いセキュリティが要求される場合などには、これら偽造が極めて困難な生体情報を送信するよう要求しても良い。 Moreover, you may utilize biometric information as information which a security management server requires for an authentication process. For example, the security management server stores the biometric information of the user of the peripheral device such as a fingerprint, a pupil pattern, and a vein pattern as authentication information, and includes the type of information specified by the collection instruction generated by the collection instruction generation unit The biological information may be included. The peripheral device or the host terminal separately includes a detection unit that detects the biological information, such as a fingerprint sensor or an image acquisition unit. When the collection of the biological information is instructed, the information is used as authentication information used for the authentication process. May be collected. The security management server may request to transmit biometric information that is extremely difficult to counterfeit when extremely high security is required based on a predetermined algorithm for determining information necessary for the authentication process. good.
また、セキュリティ管理サーバの収集指示生成部は、認証処理に必要とする情報の種類を決定するアルゴリズムとして様々なアルゴリズムを採用することができる。例えば、図１０に示すアルゴリズムのように、個別ＩＤより装置の種類を判定し（Ｓ３０１）、ＳＳＩＤより予め登録された位置範囲での使用であるかどうかを判定し、（Ｓ３０２）、現在時刻により予め登録された時間帯での使用であるかを判定し（Ｓ３０３）、上記種類を決定しても良い。この場合、管理テーブル記憶部には、周辺装置を識別する個別ＩＤ毎に、通常の使用位置範囲と使用時間帯とを第３管理テーブルとして記憶しておき、収集指示生成部は上記第３管理テーブルを参照して上記ステップ３０３及びステップ３０３の判定を行っても良い。 In addition, the collection instruction generation unit of the security management server can employ various algorithms as algorithms for determining the type of information required for the authentication process. For example, as in the algorithm shown in FIG. 10, the type of device is determined from the individual ID (S301), it is determined from the SSID whether it is used in a pre-registered position range (S302), and the current time It may be determined whether the use is performed in a pre-registered time zone (S303), and the type may be determined. In this case, the management table storage unit stores a normal use position range and a use time zone as a third management table for each individual ID for identifying the peripheral device, and the collection instruction generation unit stores the third management table. The determinations in step 303 and step 303 may be performed with reference to the table.
なお、収集指示生成部は、上記種類を決定するアルゴリズムとして複数のアルゴリズムＡ〜Ｎを用いることができる。すなわち、予めユーザより設定された情報に基づいて受け取った個別ＩＤに対応するアルゴリズムを選択し、そのアルゴリズムに従ってＳＳＩＤや現在時刻その他の情報を利用して上記種類を決定しても良い。 The collection instruction generation unit can use a plurality of algorithms A to N as algorithms for determining the type. That is, an algorithm corresponding to an individual ID received based on information set in advance by the user may be selected, and the type may be determined using the SSID, current time, and other information according to the algorithm.
また、上記周辺装置の認証情報収集部、使用許可要求生成部、通信制御部、の各種機能やセキュリティ管理サーバの認証処理部、収集指示生成部の各種機能は、演算処理機能を有するＣＰＵ（Central Processing Unit）上でプログラムを実行することにより実現されていても良い。 In addition, various functions of the authentication information collection unit, use permission request generation unit, and communication control unit of the peripheral device, and various functions of the security processing server authentication processing unit and the collection instruction generation unit include a CPU (Central It may be realized by executing a program on the Processing Unit).
なお、上述したプログラムは、コンピュータ・システムがアクセス可能な様々な種類の記憶媒体に格納することが可能である。また、このプログラムは、通信媒体を介して伝達されることが可能である。ここで、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、ＲＯＭカートリッジ、バッテリバックアップ付きＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等が含まれる。また、通信媒体には、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等が含まれ、インターネットも含まれる。 The above-described program can be stored in various types of storage media that can be accessed by the computer system. The program can be transmitted via a communication medium. Here, the storage medium includes, for example, a flexible disk, a hard disk, a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD, a ROM cartridge, a battery-backed RAM memory cartridge, a flash memory cartridge, a nonvolatile RAM cartridge, and the like. . In addition, the communication medium includes a wired communication medium such as a telephone line, a wireless communication medium such as a microwave line, and the Internet.
その他、本発明は以下の形態をとることが可能である。 In addition, the present invention can take the following forms.
（１）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備えるアクセス認証サーバ。
（２）前記生成手段は、前記認証処理に必要とする情報の種類を指定する情報を含めて前記収集指示を生成する、（１）に記載のアクセス認証サーバ。
（３） 前記使用許可要求は、前記周辺装置を識別する第１識別子及び前記周辺装置の使用位置範囲を特定可能な第２識別子を含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子に基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（２）に記載のアクセス認証サーバ。
（４）前記使用許可要求に含まれる第２識別子は、前記周辺装置と無線通信を行っている無線通信アクセスポイント装置を識別する識別子である、（３）に記載のアクセス認証サーバ。
（５）現在時刻を算出する時刻算出手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子と前記算出された現在時刻とに基づいて、前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（６）前記認証手段は、前記使用許可要求に含まれる第１識別子で識別される周辺装置の使用を許可するかどうかの第１の認証処理を前記第１識別子及び前記第２識別子に基づいて行い、前記第１の認証処理をパスした前記周辺装置の使用を許可するかどうかの第２の認証処理を前記第２受信処理で受信した前記認証情報に基づいて行う、（３）乃至（５）のいずれか１項に記載のアクセス認証サーバ。
（７）前記認証手段は、前記第１の認証処理を、前記第１識別子と前記第２識別子と現在時刻とに基づいて行う、（６）に記載のアクセス認証サーバ。
（８）前記使用許可要求は、前記周辺装置と接続されたホスト端末を識別する第３識別子を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と第２識別子と第３識別子とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（９）前記使用許可要求は、時刻に関する情報を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と前記第２識別子と前記時刻に関する情報とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（１０）周辺装置と無線通信アクセスポイント装置との対応関係が登録されている第１管理テーブルを記憶する記憶手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子でそれぞれ識別される周辺装置及び無線通信アクセスポイント装置の組み合わせが前記第１管理テーブルに登録されている場合に前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（４）に記載のアクセス認証サーバ。
（１１）前記記憶手段は、周辺装置と複数の認証情報とが対応付けられた第２管理テーブルを更に記憶し、前記生成手段は、前記第２管理テーブルに含まれる前記複数の認証情報の種類の中から、前記認証処理に必要とする情報の種類を選択して前記収集指示を生成する、（１０）に記載のアクセス認証サーバ。
（１２）前記認証処理手段は、前記第２受信処理で受信した認証情報と、前記第２管理テーブルに含まれる認証情報とを対比することで前記認証処理を行い、前記送信手段は、前記認証処理において前記第２受信処理で受信した認証情報と前記第２管理テーブルに含まれる認証情報とが一致した場合に認証処理が成功したことを示す情報を送信する、（１１）に記載のアクセス認証サーバ。
(1) A first receiving process for receiving a use permission request for requesting permission for use of a peripheral device connected to the host terminal, and a first receiving process for receiving authentication information used for authentication processing for determining whether or not to permit use of the peripheral device. Receiving means for performing two receiving processes, generating means for generating a collection instruction for instructing collection of information necessary for the authentication process based on the use permission request received in the first receiving process, and the second An authentication processing means for performing the authentication processing using the authentication information received in the reception processing; a first transmission processing for transmitting the generated collection instruction; and a second transmission processing for transmitting a result of the authentication processing. An access authentication server comprising: a transmission means for performing;
(2) The access authentication server according to (1), wherein the generation unit generates the collection instruction including information specifying a type of information necessary for the authentication process.
(3) The use permission request includes a first identifier for identifying the peripheral device and a second identifier capable of specifying a use position range of the peripheral device, and the generation unit includes the first identifier included in the use permission request. The access authentication server according to (2), wherein the collection instruction is generated by determining a type of information necessary for the authentication processing based on one identifier and the second identifier.
(4) The access authentication server according to (3), wherein the second identifier included in the use permission request is an identifier for identifying a wireless communication access point device that is performing wireless communication with the peripheral device.
(5) It further comprises time calculating means for calculating a current time, and the generating means is configured to perform the authentication based on the first identifier and the second identifier included in the use permission request and the calculated current time. The access authentication server according to (3) or (4), wherein the type of information required for processing is determined and the collection instruction is generated.
(6) The authentication means performs a first authentication process as to whether or not to permit use of the peripheral device identified by the first identifier included in the use permission request based on the first identifier and the second identifier. And a second authentication process for determining whether to permit use of the peripheral device that has passed the first authentication process is performed based on the authentication information received in the second reception process. The access authentication server according to any one of the above.
(7) The access authentication server according to (6), wherein the authentication unit performs the first authentication process based on the first identifier, the second identifier, and a current time.
(8) The use permission request further includes a third identifier for identifying a host terminal connected to the peripheral device, and the generation unit includes the first identifier, the second identifier, and the second identifier included in the use permission request. The access authentication server according to (3) or (4), wherein the collection instruction is generated by determining a type of information required for the authentication processing based on the three identifiers.
(9) The use permission request further includes information related to time, and the generation unit performs the authentication process based on the first identifier, the second identifier, and the information related to time included in the use permission request. The access authentication server according to (3) or (4), wherein the type of required information is determined and the collection instruction is generated.
(10) Storage means for storing a first management table in which a correspondence relationship between a peripheral device and a wireless communication access point device is registered, wherein the generation means includes the first identifier included in the use permission request and When a combination of a peripheral device and a wireless communication access point device respectively identified by the second identifier is registered in the first management table, the type of information required for the authentication process is determined and the collection instruction is issued The access authentication server according to (4), which is generated.
(11) The storage unit further stores a second management table in which the peripheral device is associated with a plurality of pieces of authentication information, and the generation unit includes types of the plurality of pieces of authentication information included in the second management table. The access authentication server according to (10), wherein the collection instruction is generated by selecting a type of information required for the authentication process from among the above.
(12) The authentication processing unit performs the authentication process by comparing the authentication information received in the second reception process with the authentication information included in the second management table, and the transmission unit performs the authentication process. The access authentication according to (11), wherein information indicating that the authentication process is successful is transmitted when the authentication information received in the second reception process matches the authentication information included in the second management table in the process. server.
また、ホスト端末については以下の構成をとることが可能である。 The host terminal can have the following configuration.
（１３）自装置に接続された周辺装置とデータ通信を行うデータ通信手段と、前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した前記収集指示に基づいて、前記認証処理に用いられる認証情報を収集する認証情報収集手段と、前記周辺装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、を備えるホスト端末装置。
（１４）前記第１受信処理で受信した前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理で用いられる認証情報として収集する、（１３）に記載のホスト端末装置。
（１５）前記周辺装置を識別する第１識別子を取得する制御を行う制御手段を更に備え、
前記送信手段は、前記第１識別子を含めて前記使用許可要求を送信する第１の送信処理を行う、（１３）又は（１４）に記載のホスト端末装置。
(13) Data communication means for performing data communication with a peripheral device connected to the own device, and a first reception process for receiving an instruction to collect information necessary for authentication processing as to whether or not the use of the peripheral device is permitted Authentication information collection for collecting authentication information used for the authentication process based on the collection instruction received in the first reception process; and a receiving means for receiving a result of the authentication process; And a transmission means for performing a first transmission process for transmitting a use permission request for requesting permission to use the peripheral device, and a second transmission process for transmitting the authentication information collected by the authentication information collection means. A host terminal device.
(14) The collection instruction received in the first reception process includes information designating a type of information required for the authentication process, and the authentication information collection unit is information of a type designated by the collection instruction. Are collected as authentication information used in the authentication processing. (13).
(15) further comprising control means for performing control for obtaining a first identifier for identifying the peripheral device;
The host device according to (13) or (14), wherein the transmission unit performs a first transmission process of transmitting the use permission request including the first identifier.
また、周辺装置は図１１に示すように、以下の構成をとることが可能である。ここで、周辺装置は、データ通信部７１０と、制御部７２０と、認証情報収集部７５０と、受信部７６０と、送信部７７０と、を備える構成とすることが可能である。具体的には、次の（１６）〜（２５）に示す構成とすることが可能である。
Further, as shown in FIG. 11, the peripheral device can have the following configuration. Here, the peripheral device can be configured to include a
（１６）自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える周辺装置。
（１７）前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、（１６）に記載の周辺装置。
（１８）自装置を識別する第１識別子を記憶する記憶手段と、前記使用許可要求を生成する生成手段と、を更に備え、前記生成手段は、前記第１識別子を含めて前記使用許可要求を生成する、（１６）又は（１７）に記載の周辺装置。
（１９）前記記憶手段は、情報収集を行うセキュリティプログラムを更に記憶し、前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、（１８）に記載の周辺装置。
（２０）前記認証情報収集手段は、前記収集指示に含まれる前記認証処理に必要とする情報の種類を指定する情報を前記ホスト端末に通知し、指定された種類の情報を前記ホスト端末上で、前記セキュリティプログラムに収集させることにより前記認証処理に用いられる認証情報を収集する、（１９）に記載の周辺装置。
（２１）前記記憶手段はデータを記憶し、前記制御手段は、前記第２受信処理で受信した認証処理の結果に基づいて前記ホスト端末から前記記憶手段に記憶された前記データへのアクセスの許可又は拒否を制御する、（１８）乃至（２０）のいずれか１項に記載の周辺装置。
（２２）前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する、（１８）乃至（２１）のいずれか１項に記載の周辺装置。
（２３）前記第２識別子は、前記受信手段及び前記送信手段が無線通信を行っている無線通信アクセスポイントを識別する識別子である、（２２）に記載の周辺装置。
（２４）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する、アクセス認証方法。
（２５）自装置の使用許可を要求する使用許可要求を送信し、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信し、前記受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集し、前記収集した認証情報を送信し、前記認証処理の結果を受信し、前記受信した認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御し、前記制御に従って前記ホスト端末とデータ通信を行う、周辺装置使用方法。
(16) data communication means for performing data communication with a host terminal connected to the own device, a first reception process for receiving an instruction to collect information necessary for authentication processing as to whether or not to permit use of the own device; A second receiving process for receiving a result of the authentication process; an authentication information collecting means for collecting authentication information used in the authentication process based on the collection instruction received in the first receiving process; Transmitting means for performing a first transmission process for transmitting a use permission request for requesting use permission of the own apparatus, and a second transmission process for transmitting the authentication information collected by the authentication information collecting means; 2. A peripheral device comprising: control means for controlling permission or denial of access from the host terminal to the own device based on the result of the authentication processing received in the two reception processing.
(17) The collection instruction includes information designating a type of information required for the authentication process,
The peripheral device according to (16), wherein the authentication information collection unit collects information of a type specified by the collection instruction as authentication information used for the authentication process.
(18) storage means for storing a first identifier for identifying the device itself; and generation means for generating the use permission request, wherein the generation means includes the first identifier and the use permission request. The peripheral device according to (16) or (17).
(19) The storage unit further stores a security program for collecting information, and the authentication information collection unit collects authentication information used for the authentication process by causing the host terminal to execute the security program. The peripheral device according to 18).
(20) The authentication information collection means notifies the host terminal of information specifying the type of information required for the authentication process included in the collection instruction, and the specified type of information is transmitted on the host terminal. The peripheral device according to (19), wherein authentication information used for the authentication process is collected by causing the security program to collect the authentication information.
(21) The storage means stores data, and the control means permits access from the host terminal to the data stored in the storage means based on the result of the authentication process received in the second reception process. Alternatively, the peripheral device according to any one of (18) to (20), which controls rejection.
(22) The generation unit generates the use permission request including a first identifier for identifying the own device and a second identifier capable of specifying the use position range of the own device. (18) to (21) The peripheral device according to any one of the above.
(23) The peripheral device according to (22), wherein the second identifier is an identifier for identifying a wireless communication access point with which the reception unit and the transmission unit perform wireless communication.
(24) receiving a use permission request for requesting use permission of a peripheral device connected to the host terminal;
Based on the received use permission request, generates a collection instruction that instructs collection of information necessary for authentication processing whether to permit use of the peripheral device, transmits the generated collection instruction, and collects the collection instruction. The authentication information used for the authentication process collected based on the authentication process is received, the authentication process is performed to determine whether to permit the use of the peripheral device using the received authentication information, and the result of the authentication process is transmitted. , Access authentication method.
(25) A use permission request for requesting use of the own device is transmitted, an instruction to collect information necessary for authentication processing whether to permit use of the own device is received, and based on the received collection instruction Collecting authentication information used in the authentication process, transmitting the collected authentication information, receiving the result of the authentication process, and accessing the host apparatus from the host terminal based on the received authentication process result Peripheral device usage method for controlling permission or denial of data and performing data communication with the host terminal according to the control.
１００ 周辺装置 １１０ データ通信部
１２０ 通信制御部 １３０ 記憶部
２００ ホスト端末 ２１０ データ通信部
２２０ 通信制御部 ２３０ 受信部
２４０ 認証情報収集部 ２５０ 送信部
３００ セキュリティ管理サーバ ３１０ 受信部
３２０ 収集指示生成部 ３３０ 認証処理部
３４０ 送信部 ４００ 周辺装置
４０１ コネクタ ４０２ コントローラＩＣ
４０３ フラッシュメモリチップ ４０４ 無線通信制御回路
４０５ 無線通信用アンテナ ４０６〜４０８ 信号線
４１０ データ通信部 ４２０ 通信制御部
４３０ データ記憶部 ４４０ 使用許可要求生成部
４５０ 認証情報収集部 ４６０ 無線受信部
４７０ 無線送信部 ５００ ホスト端末
５１０ データ通信部 ５２０ 通信制御部
５３０ データ記憶部 ５４０ プログラム実行部
６００ セキュリティ管理サーバ ６１０ 受信部
６２０ 認証処理部 ６３０ 収集指示生成部
６４０ 管理テーブル記憶部 ６５０ 送信部
７００-７０ｎ アクセスポイント
７１０ データ通信部 ７２０ 制御部
７５０ 認証情報収集部 ７６０ 受信部
７７０ 送信部
DESCRIPTION OF
403
Claims (8)
自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示をアクセス認証サーバから受信する第１受信処理と、前記認証処理の結果を前記アクセス認証サーバから受信する第２受信処理と、を行う受信手段と、
前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、
自装置の使用許可を要求する使用許可要求を前記アクセス認証サーバへ送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を前記アクセス認証サーバへ送信する第２送信処理と、を行う送信手段と、
前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、
自装置を識別する第１識別子を記憶する記憶手段と、
前記使用許可要求を生成する生成手段と、
を備え、
前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する周辺装置。 Data communication means for performing data communication with a host terminal connected to the own device;
A first reception process for receiving from the access authentication server an instruction to collect information necessary for an authentication process for whether or not to permit use of the own apparatus, and a second reception process for receiving the result of the authentication process from the access authentication server And receiving means for performing,
Authentication information collection means for collecting authentication information used in the authentication process based on the collection instruction received in the first reception process;
A first transmission process for transmitting a use permission request for requesting use of the own apparatus to the access authentication server; a second transmission process for transmitting the authentication information collected by the authentication information collection means to the access authentication server ; Transmitting means for performing
Control means for controlling permission or denial of access from the host terminal to the own apparatus based on the result of the authentication process received in the second reception process;
Storage means for storing a first identifier for identifying the device;
Generating means for generating the use permission request;
Equipped with a,
It said generating means, peripherals that generates the use permission request including the second identifier capable of specifying the first use position range identifier and its own device identifying the own device.
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、
請求項１に記載の周辺装置。 The collection instruction includes information specifying a type of information required for the authentication process,
The authentication information collecting means collects the type of information specified by the collection instruction as authentication information used for the authentication processing;
The peripheral device according to claim 1.
前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、
請求項１に記載の周辺装置。 The storage means further stores a security program for collecting information,
The authentication information collecting means collects authentication information used for the authentication process by causing the host terminal to execute the security program;
The peripheral device according to claim 1 .
請求項３に記載の周辺装置。 The authentication information collecting means notifies the host terminal of information specifying a type of information required for the authentication process included in the collection instruction, and the specified type of information is transmitted on the host terminal. Collecting authentication information used for the authentication process by allowing the security program to collect the information;
The peripheral device according to claim 3 .
請求項１に記載の周辺装置。 The second identifier is an identifier for identifying a wireless communication access point with which the receiving unit and the transmitting unit are performing wireless communication.
The peripheral device according to claim 1 .
前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、
前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、
前記生成した収集指示を前記周辺装置へ送信する第１送信処理と、前記認証処理の結果を前記周辺装置へ送信する第２送信処理と、を行う送信手段と、
を備え、
前記使用許可要求には、前記周辺装置を識別する第１識別子と当該周辺装置の使用位置範囲を特定可能な第２識別子とが含まれていることを特徴とするアクセス認証サーバ。 A first reception process of receiving use permission request for requesting permission to use the peripheral device connected to the host terminal from the peripheral device, the peripheral authentication information used for whether the authentication process to allow use of the peripheral device Receiving means for performing second receiving processing received from the apparatus ;
Generating means for generating a collection instruction for instructing collection of information necessary for the authentication process based on the use permission request received in the first reception process;
Authentication processing means for performing the authentication processing using the authentication information received in the second reception processing;
Transmission means for performing a first transmission process for transmitting the generated collection instruction to the peripheral device and a second transmission process for transmitting a result of the authentication process to the peripheral device ;
Equipped with a,
Wherein the use permission request, the first identifier and access authentication server that characterized in that it includes a second identifier that can identify the use position range of the peripheral device for identifying the peripheral device.
請求項６に記載のアクセス認証サーバ。 The generating unit generates the collection instruction including information specifying a type of information required for the authentication process;
The access authentication server according to claim 6 .
ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を前記周辺装置から受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、
前記生成した収集指示を前記周辺装置へ送信し、
前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を前記周辺装置から受信し、
前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、
前記認証処理の結果を前記周辺装置へ送信し、
前記使用許可要求には、前記周辺装置を識別する第１識別子と当該周辺装置の使用位置範囲を特定可能な第２識別子とが含まれていることを特徴とする
アクセス認証方法。 Computer
Receiving a permission request for requesting permission to use a peripheral device connected to the host terminal from the peripheral device ;
Generating a collection instruction for instructing collection of information necessary for authentication processing whether to permit use of the peripheral device based on the received use permission request;
Sending the generated collection instructions to the peripheral device ;
Receiving authentication information used for the authentication process collected based on the collection instruction from the peripheral device ;
Performing an authentication process as to whether or not to permit the use of the peripheral device using the received authentication information,
Sending the result of the authentication process to the peripheral device ;
The access authentication method, wherein the use permission request includes a first identifier for identifying the peripheral device and a second identifier capable of specifying a use position range of the peripheral device .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011156947A JP5448205B2 (en) | 2011-07-15 | 2011-07-15 | Peripheral device, access authentication server, access authentication method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011156947A JP5448205B2 (en) | 2011-07-15 | 2011-07-15 | Peripheral device, access authentication server, access authentication method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2013025391A JP2013025391A (en) | 2013-02-04 |
| JP5448205B2 true JP5448205B2 (en) | 2014-03-19 |
Family
ID=47783709
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2011156947A Active JP5448205B2 (en) | 2011-07-15 | 2011-07-15 | Peripheral device, access authentication server, access authentication method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5448205B2 (en) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9160729B2 (en) * | 2013-08-20 | 2015-10-13 | Paypal, Inc. | Systems and methods for location-based device security |
| GB2541000B (en) * | 2015-08-04 | 2018-09-19 | Displaylink Uk Ltd | Security Device |
| JP6567939B2 (en) * | 2015-10-05 | 2019-08-28 | 任天堂株式会社 | Information processing system, peripheral device, wireless communication chip, application program, and information processing method |
| JP6992536B2 (en) | 2018-01-19 | 2022-01-13 | 富士通株式会社 | Observation system and observation method |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4053704B2 (en) * | 2000-01-05 | 2008-02-27 | 株式会社東芝 | IC card with built-in wireless interface function, antenna module, information processing device |
| JP4644900B2 (en) * | 2000-03-07 | 2011-03-09 | ソニー株式会社 | Service providing system, service providing method, service mediating apparatus, and program providing medium via communication means |
| JP2004348206A (en) * | 2003-05-20 | 2004-12-09 | Hitachi Ltd | Home network communication control system, information terminal, access permission program, and program for generating program |
| JP4247109B2 (en) * | 2003-12-25 | 2009-04-02 | 株式会社東芝 | Network telephone system, main device of the network telephone system, and connection authentication method |
-
2011
- 2011-07-15 JP JP2011156947A patent/JP5448205B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2013025391A (en) | 2013-02-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9633188B2 (en) | Device, information processing system, and control method that permit both an authentication-type application program and a non-authentication-type program to access an authentication device | |
| US20040123127A1 (en) | System and method for securing portable data | |
| JP2011054120A (en) | Image processing apparatus, image processing system and user authentication method | |
| EP3777082B1 (en) | Trusted platform module-based prepaid access token for commercial iot online services | |
| JP2007241562A (en) | Computer readable recording medium having device driver program recorded thereon, storage device access method and storage device access system | |
| US20090240907A1 (en) | Remote storage access control system | |
| US9529982B2 (en) | Method and apparatus to manage user account of device | |
| EP2315150A1 (en) | IC chip, information processing apparatus, system, method and program | |
| US20070280186A1 (en) | Information processing apparatus and access control method | |
| WO2006018864A1 (en) | Storage device and storage method | |
| JP5448205B2 (en) | Peripheral device, access authentication server, access authentication method | |
| JP4013985B1 (en) | Image processing system, image processing apparatus, and function execution authority granting method | |
| TW201028883A (en) | Secure platform management device | |
| US20160234185A1 (en) | Storage device, information processing system, authentication method, and non-transitory computer readable medium | |
| CN105009553A (en) | Information terminal device, information terminal control method, and program | |
| JP5521479B2 (en) | Program, data storage device and data storage system | |
| JP2014089576A (en) | Portable terminal device, portable terminal program, document storage server, document storing program and document management system | |
| US11347862B2 (en) | Credential management for an information handling system | |
| JP6107350B2 (en) | Use permission / rejection control device, use permission / rejection control method, and program | |
| JP2009042927A (en) | Information storage device and information management system | |
| JP2006031575A (en) | Hard disk security management system and method therefor | |
| JP2009020744A (en) | Portable information processor, electronic equipment, operation control method, and operation control program | |
| WO2021066843A1 (en) | Risk assessment of account access | |
| JP2013134608A (en) | Data transmission device, data communication system, data reception device, and program | |
| JP2005049957A (en) | Ic card and ic card system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130814 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130903 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130930 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20131105 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20131126 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20131220 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5448205 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |