(57)【特許請求の範囲】
【請求項１】
被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対して認証装置によってユーザ認証を行うユーザ認証システムであって、
前記認証装置の認証対象となるユーザＩＤを用いて第１符号列を生成する第１符号列生成手段と、
所定の上位符号列と前記第１符号列生成手段により生成された第１符号列を含む下位符号列とからなるアドレス情報を生成するアドレス情報生成手段と、
前記アドレス情報生成手段により生成されたアドレス情報を含む認証要求を、前記被認証装置から前記認証装置に送信する通信手段とを備え、
前記認証装置は、前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可すること
ことを特徴とするユーザ認証システム。
【請求項２】
前記認証装置は、前記ユーザＩＤを要求し、
前記第１符号列生成手段及び前記アドレス情報生成手段は、当該ユーザＩＤの要求に応じて、前記第１符号列を含むアドレス情報を生成し、前記通信手段によって、当該アドレス情報を含む認証要求を前記認証装置に送信すること
を特徴とする請求項１に記載のユーザ認証システム。
【請求項３】
前記ユーザＩＤリストに、当該ユーザＩＤリストに登録されているユーザＩＤに対応付けて前記上位符号列を含め、
前記認証装置は、前記認証要求が送信された時に、当該認証要求に含まれているアドレス情報の上位符号列が、前記ユーザＩＤリストに登録されている上位符号列と一致しており、且つ、当該上位符号列に対応付けられて登録されたユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可すること
を特徴とする請求項１又は請求項２に記載のユーザ認証システム。
【請求項４】
前記第１符号列生成手段及び前記アドレス情報生成手段はＤＨＣＰサーバで構成され、
前記ＤＨＣＰサーバは、第１アドレス要求に応じて前記所定の上位符号列を生成し、
前記ＤＨＣＰサーバは、前記ユーザＩＤを用いた第２アドレス要求に応じて、ユーザＩＤを用いて第１符号列を生成し、当該第１符号列を含む下位符号列と、前記第１アドレス要求に応じて生成した所定の上位符号列とを含むアドレス情報を生成すること
を特徴とする請求項１に記載のユーザ認証システム。
【請求項５】
前記ＤＨＣＰサーバは、
端末から当該端末の固有情報を含む第１アドレス要求に応じて、前記上位符号列及び前記下位符号列を含むアドレス情報を生成した場合には、当該アドレス情報の下位符号列に第１識別情報を格納し、
前記ユーザＩＤを用いた第２アドレス要求に応じて第１符号列を下位符号列に含むアドレス情報を生成した場合には、当該アドレス情報の下位符号列に第２識別情報を格納すること
を特徴とする請求項４に記載のユーザ認証システム。
【請求項６】
前記第１符号列生成手段及び前記アドレス情報生成手段はルータで構成され、
前記ルータは、前記ユーザＩＤを用いたアドレス要求に応じて、ユーザＩＤを用いて第１符号列を生成し、当該第１符号列を含む下位符号列を生成すること
を特徴とする請求項１に記載のユーザ認証システム。
【請求項７】
被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対してユーザ認証を行う認証装置であって、
認証対象となるユーザＩＤを用いて生成された第１符号列と、所定の上位符号列とを含む下位符号列とからなるアドレス情報を含む認証要求を、前記被認証装置から受信する受信手段と、
前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可する認証手段と
を備えることを特徴とする認証装置。
【請求項８】
被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対してユーザ認証を行う認証装置によって実行されるプログラムであって、
認証対象となるユーザＩＤを用いて生成された第１符号列と、所定の上位符号列とを含む下位符号列とからなるアドレス情報を含む認証要求を、前記被認証装置から受信する受信手段と、
前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可する認証手段として機能させることを特徴とする認証装置のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザが正当なものであるかを認証するユーザ認証システム、認証装置及びプログラムに関する。
【背景技術】
【０００２】
従来、ＩＰｖ６ネットワークにおいてサーバ装置とクライアント端末間で通信を行う場合、クライアント端末の固有情報を用いて生成されるＩＰｖ６アドレスを使用していた。このクライアント端末の固有情報としては、製造元、機器種別等を含むＭＡＣアドレスが用いられる。したがって、クライアント端末の通信が傍受されることによって、当該クライアント端末がどのような機器であるのか、当該クライアント端末の所持者が誰であるのかを特定される恐れがあった。
【０００３】
この対策としては、下記の非特許文献１に記載されているようなプロトコルが提案されている。このプロトコルによれば、クライアント端末の固有情報に代えて、乱数を用いてＩＰｖ６アドレスを生成することを提案している。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】http://tools.ietf.org/html/rfc4941
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した非特許文献１におけるプロトコルでは、ＩＰｖ６アドレスからクライアント端末の種別や所有者を特定することを困難にしているものであり、クライアント端末とサーバ装置との間の認証処理にて交換されるメッセージについては考慮されていなかった。
【０００６】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、安全なＩＰｖ６アドレスの設定とユーザ認証処理とを両立できるユーザ認証システム、認証装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記の課題を解決する第１の発明に係るユーザ認証システムは、被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対して認証装置によってユーザ認証を行うユーザ認証システムであって、前記認証装置の認証対象となるユーザＩＤを用いて第１符号列を生成する第１符号列生成手段と、所定の上位符号列と前記第１符号列生成手段により生成された第１符号列を含む下位符号列とからなるアドレス情報を生成するアドレス情報生成手段と、前記アドレス情報生成手段により生成されたアドレス情報を含む認証要求を前記認証装置に送信する通信手段とを備え、前記認証装置は、前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可することを特徴とするものである。
【０００８】
第１の発明に係るユーザ認証システムであって、第２の発明は、前記認証装置は、前記ユーザＩＤを要求し、前記第１符号列生成手段及び前記アドレス情報生成手段は、当該ユーザＩＤの要求に応じて、前記第１符号列を含むアドレス情報を生成し、前記通信手段によって、当該アドレス情報を含む認証要求を前記認証装置に送信することを特徴とする。
【０００９】
第１又は第２の発明に係るユーザ認証システムであって、第３の発明は、前記ユーザＩＤリストに、当該ユーザＩＤリストに登録されているユーザＩＤに対応付けて前記上位符号列を含め、前記認証装置は、前記認証要求が送信された時に、当該認証要求に含まれているアドレス情報の上位符号列が、前記ユーザＩＤリストに登録されている上位符号列と一致しており、且つ、当該上位符号列に対応付けられて登録されたユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可することを特徴とする。
【００１０】
第１の発明に係るユーザ認証システムであって、第４の発明は、前記第１符号列生成手段及び前記アドレス情報生成手段はＤＨＣＰサーバで構成され、前記ＤＨＣＰサーバは、第１アドレス要求に応じて前記所定の上位符号列を生成し、前記ＤＨＣＰサーバは、前記ユーザＩＤを用いた第２アドレス要求に応じて、ユーザＩＤを用いて第１符号列を生成し、当該第１符号列を含む下位符号列と、前記第１アドレス要求に応じて生成した所定の上位符号列とを含むアドレス情報を生成することを特徴とする。
【００１１】
第４の発明に係るユーザ認証システムであって、第５の発明は、前記ＤＨＣＰサーバは、端末から当該端末の固有情報を含む第１アドレス要求に応じて、前記上位符号列及び前記下位符号列を含むアドレス情報を生成した場合には、当該アドレス情報の下位符号列に第１識別情報を格納し、前記ユーザＩＤを用いた第２アドレス要求に応じて第１符号列を下位符号列に含むアドレス情報を生成した場合には、当該アドレス情報の下位符号列に第２識別情報を格納することを特徴とする。
【００１２】
第１の発明に係るユーザ認証システムであって、第６の発明は、前記第１符号列生成手段及び前記アドレス情報生成手段はルータで構成され、前記ルータは、前記ユーザＩＤを用いたアドレス要求に応じて、ユーザＩＤを用いて第１符号列を生成し、当該第１符号列を含む下位符号列を生成することを特徴とする。
【００１３】
上記の課題を解決する第７の発明に係る認証装置は、被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対してユーザ認証を行う認証装置であって、認証対象となるユーザＩＤを用いて生成された第１符号列と、所定の上位符号列とを含む下位符号列とからなるアドレス情報を含む認証要求を、前記被認証装置から受信する受信手段と、前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可する認証手段とを備えることを特徴とする。
【００１４】
上記の課題を解決する第７の発明に係る認証装置のプログラムは、被認証対象となるユーザＩＤを送信する被認証装置と接続され、当該ユーザＩＤが送信されたときにユーザＩＤに対してユーザ認証を行う認証装置によって実行されるプログラムであって、認証対象となるユーザＩＤを用いて生成された第１符号列と、所定の上位符号列とを含む下位符号列とからなるアドレス情報を含む認証要求を、前記被認証装置から受信する受信手段と、前記認証要求が送信された時に、予め設定されたユーザＩＤリストに含まれている何れかのユーザＩＤを用いて生成した第２符号列が、前記認証要求のアドレス情報の下位符号列に含まれる第１符号列と一致する場合に、当該認証要求に含まれているアドレス情報を用いた通信を許可する認証手段として機能させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、ユーザＩＤを用いてアドレス情報を生成して認証装置に送信し、認証装置によって、当該アドレス情報を用いて認証を行うので、安全なアドレスの設定とユーザ認証処理とを両立できる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態として示すユーザ認証システムの構成を示すシステム図である。
【図２】本発明の一実施形態として示すユーザ認証システムの動作を示すシステム図である。
【図３】本発明の一実施形態として示すユーザ認証システムの動作を示すシーケンス図である。
【図４】本発明の一実施形態として示すユーザ認証システムにおける端末の動作を示すフローチャートである。
【図５】本発明の一実施形態として示すユーザ認証システムにおける認証サーバの動作を示すフローチャートである。
【図６】本発明の一実施形態として示すユーザ認証システムにおけるユーザＩＤリストを示す図である。
【図７】本発明の一実施形態として示すユーザ認証システムにおける認証サーバの他の動作を示すフローチャートである。
【図８】本発明の一実施形態として示すユーザ認証システムの他の構成を示すシステム図である。
【図９】本発明の一実施形態として示すユーザ認証システムの他の動作を示すシーケンス図である。
【図１０】本発明の一実施形態として示すユーザ認証システムにおけるＤＨＣＰサーバの動作を示すフローチャートである。
【図１１】本発明の一実施形態として示すユーザ認証システムの他の構成を示すシステム図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施の形態について図面を参照して説明する。
【００１８】
［第１実施形態］
本発明の実施形態としてのユーザ認証システムは、例えば図１に示すように構成される。このユーザ認証システムは、端末１及び認証サーバ２を含む。このユーザ認証システムは、認証装置としての認証サーバ２によって、端末１に対してユーザ認証を行うものである。
【００１９】
端末１は、予めユーザＩＤが設定されている。このユーザＩＤは、端末１の使用時にユーザが入力した値であっても良く、予めユーザの操作によって端末１に設定されているものであっても良い。端末１は、例えば「ｍ１２３」なる文字列が用いられる。
【００２０】
端末１には、ローカルネットワークを介して広域ネットワークに接続されたサーバや端末との間で通信を行うために、ＩＰｖ６アドレスが付与される。この端末１のＩＰｖ６アドレスは、上位符号列としてのサブネットプレフィックスと、下位符号列としての認証ＩＤとを含む。上位符号列としてのサブネットプレフィックス及び下位符号列としての認証ＩＤは、それぞれ６４ビットからなる。サブネットプレフィックスは、ローカルネットワークに共通して設定される。認証ＩＤは、端末１が認証サーバ２に対してユーザ認証を行うために設定される。なお、この認証ＩＤの設定方法については、後述する。
【００２１】
認証サーバ２は、端末１に対してユーザ認証処理を行う。認証サーバ２は、例えば端末１が利用したいサービス（例えばＨＴＴＰによるＷｅｂ閲覧サービス）を提供するものであっても良く、ユーザ認証処理用のサーバであっても良い。この認証サーバ２は、端末１に対してユーザ認証を行うために、ユーザＩＤリストを記憶している。このユーザＩＤリストは、例えば、ＩＤ１、ＩＤ２、・・・、ＩＤｎという複数のユーザＩＤを登録して構成されている。
【００２２】
このようなユーザ認証システムは、端末１のユーザ認証を行うとき、図２及び図３に示すように、先ず、手順（１）にて、端末１がＩＰｖ６アドレスを生成する。このとき、端末１は、図３に示すように、下位符号列としての認証ＩＤとして、ＢＡ及びＳＡを生成する。次に、手順（２）にて、端末１は、当該ＩＰｖ６アドレス｛ＳＰ｜（ＢＡ｜ＳＡ）｝を含む認証要求を端末１に送信する。次に、手順（３）にて、認証サーバ２が端末１から送信された認証要求を受信すると、認証サーバ２が、当該ＩＰｖ６アドレスを用いてＩＰアドレス認証を行って、端末１の通信の可否を判断し、認証に成功した場合には端末１の通信を許可する。
【００２３】
一方、認証サーバ２は、ローカルネットワークに攻撃端末１００が接続され、当該攻撃端末１００からＩＰｖ６アドレスを含む認証要求が送信された場合、当該攻撃端末１００の通信を拒否する。喩え攻撃端末１００が端末１と同様に、下位符号列としての認証ＩＤを含むＩＰｖ６アドレスを生成しても、攻撃端末１００のユーザＩＤがｘｘ１２であり、認証サーバ２が保持しているユーザＩＤリストに含まれていないからである。
【００２４】
上述したユーザ認証システムにおける端末１によるＩＰｖ６アドレスの生成及び認証要求の送信処理を、図４のフローチャートを参照して説明する。
【００２５】
先ずステップＳ１にて、端末１は、認証サーバ２によるユーザ認証を開始するか否かを判定し、認証開始するときにはステップＳ２に処理を進める。
【００２６】
ステップＳ２にて、端末１は、予め記憶しているユーザＩＤ「ｍ１２３」を読み出し、当該ユーザＩＤをハッシュ関数によってハッシュ値を得る。
【００２７】
次のステップＳ３において、端末１は、ユーザＩＤから得たハッシュ値を用いて、ＩＰｖ６アドレスにおける下位符号列としての認証ＩＤ（第１符号列）を生成する（第１符号列生成手段）。このとき、端末１は、下位符号列としての認証ＩＤのうちの前半符号列ＢＡを下記の式１により演算し、後半符号列ＳＡを下記の式２により演算する。
【００２８】
前半符号列ＢＡ＝ｇｉｄ＋ｇｒｍｏｄＮ  （式１）
後半符号列ＳＡ＝ｇｒａｍｏｄＮ  （式２）
上記式１，２において、ｉｄはユーザＩＤ、ｇは原始元、ａは秘密鍵、ｒは乱数、Ｎは基数（＝２３２）である。原始元ｇ、秘密鍵ａ及び基数Ｎは、予め設定された値であり、端末１と認証サーバ２との間で共有されている。また、乱数ｒは、端末１の乱数発生器によって発生した値を使用している。
【００２９】
次のステップＳ４において、端末１は、予め設定されたサブネットプレフィックス（ＳＰ）に、ステップＳ３にて生成した認証ＩＤ（ＢＡ、ＳＡ）を付加する。このサブネットプレフィックスは、予め端末１が接続されているローカルネットワークに設定された値であり、例えば「2001::200:2/64」なる値を使用する。このように、端末１は、所定の上位符号列であるサブネットプレフィックスと、ステップＳ３にて生成された認証ＩＤである第１符号列を含む下位符号列とからなるアドレス情報としてのＩＰｖ６アドレスを生成する（アドレス情報生成手段）。
【００３０】
次のステップＳ５において、端末１は、ステップＳ４にて生成したＩＰｖ６アドレスを含む認証要求を、認証サーバ２に送信する（通信手段）。
【００３１】
上述したユーザ認証システムにおける認証サーバ２によるＩＰｖ６アドレスの認証処理を、図５のフローチャートを参照して説明する。
【００３２】
認証サーバ２は、ステップＳ１１にて認証要求を受信したか否かを判定し、認証要求を受信したと判定した場合に、ステップＳ１２に処理を進める。
【００３３】
ステップＳ１２において、認証サーバ２は、ユーザＩＤリストにおける番号ｉを「１」に設定する。
【００３４】
次のステップＳ１３において、認証サーバ２は、ユーザＩＤリストからユーザＩＤ（ｉ）を読み出し、当該ユーザＩＤ（ｉ）をハッシュ化した値を取得する。
【００３５】
次のステップＳ１４において、認証サーバ２は、ステップＳ１にて受信した認証要求に含まれるＩＰｖ６アドレスから、下位符号列としての認証ＩＤの前半符号列ＢＡ及び後半符号列ＳＡを抽出する。
【００３６】
次のステップＳ１５において、認証サーバ２は、下記の式３に従って後半符号列Ｓ’を演算する。
【００３７】
後半符号列Ｓ’＝（ＢＡ−ｇＩＤ（ｉ））ａｍｏｄＮ  （式３）
上記式３において、ＢＡは、ステップＳ１４にて抽出した値、ＩＤ（ｉ）はステップＳ１３で読み出されハッシュ化されたユーザＩＤ、ｇは原始元、ａは秘密鍵、ｒは乱数、Ｎは基数（＝２３２）である。原始元ｇ及び秘密鍵ａは、予め設定された値であり、認証サーバ２との間で共有されている。
【００３８】
上記式３は、上記式１を用いて、
後半符号列Ｓ’＝（ｇｉｄ＋ｇｒ−ｇＩＤ（ｉ））ａｍｏｄＮ
と変形でき、
後半符号列Ｓ’＝ｇraｍｏｄＮ
となる。したがって、このステップＳ１５にて後半符号列Ｓ’が、認証要求に含まれていたＩＰｖ６アドレスにおける後半符号列ＳＡと一致する場合には、当該認証要求に含まれるユーザＩＤはユーザＩＤリストに登録されたものと認識できる。
【００３９】
次のステップＳ１６において、認証サーバ２は、ステップＳ１５にて演算した後半符号列Ｓ’と、ステップＳ１４に抽出した後半符号列ＳＡとが同じ値であるか否かを判定する。後半符号列Ｓ’と後半符号列ＳＡとが一致する場合には、ステップＳ１７に処理を進めて、ユーザＩＤの認証を許可する。これにより、認証サーバ２は、当該認証要求に含まれているＩＰｖ６アドレスを用いた端末１の通信を許可する。
【００４０】
一方、後半符号列Ｓ’と後半符号列ＳＡとが一致しない場合には、ステップＳ１８に処理を進める。ステップＳ１８において、ユーザＩＤリストの番号ｉが最終の番号ｍであるか否かを判定する。ユーザＩＤリストの番号ｉがｍではない場合、ステップＳ１９にて当該ユーザＩＤリストの番号ｉをインクリメントして、ステップＳ１３に処理を戻す。
【００４１】
一方、ユーザＩＤリストの番号ｉがｍである場合、認証要求がユーザＩＤリストに含まれているユーザＩＤを使用したＩＰｖ６アドレスではないので、当該認証を拒否して、当該ＩＰｖ６アドレスを用いた通信を遮断する。
【００４２】
なお、上述したユーザ認証システムは、端末１が認証サーバ２にＩＰｖ６アドレスを含む認証要求を送信しているが、認証要求に応じて認証サーバ２がユーザＩＤを要求したときに、端末１が生成したＩＰｖ６アドレスを送信しても良い。これにより、認証サーバ２は、ＩＰｖ６アドレスのうちの下位符号列としての認証ＩＤを認証することによって、ユーザＩＤを認証できる。
【００４３】
以上説明したように、このユーザ認証システムによれば、端末１によってユーザＩＤを用いてＩＰｖ６アドレスを生成して認証要求を行い、認証サーバ２によって当該ＩＰｖ６アドレスを用いてユーザＩＤを認証することができる。これにより、ユーザ認証システムによれば、ＩＰｖ６アドレスのみで認証サーバ２におけるユーザＩＤの認証を行うことができ、通信の可否を制御できる。また、このユーザ認証システムによれば、端末１に固有のＭＡＣアドレス等の製造元や種類を特定する情報ではなく、任意の文字列であるユーザＩＤを使用して認証ＩＤ（ＢＡ及びＳＡ）を生成して、ＩＰｖ６アドレスを生成できるので、ユーザのプライバシ保護と認証を両立できる。
【００４４】
つぎに、上述したユーザ認証システムにおける他の実施形態について説明する。
【００４５】
この実施形態に係るユーザ認証システムは、図６に示すように、認証サーバ２が保持するユーザＩＤリストに、ユーザＩＤ（ＩＤ１，ＩＤ２，・・・，ＩＤｎ）に対応付けてネットプレフィックス（ＳＰ１，ＳＰ２，・・・，ＳＰｎ）を記憶する。
【００４６】
このようなユーザ認証システムにおける認証サーバ２は、図７に示すように、ステップＳ１１にて認証要求を受信したことに応じて、ステップＳ３１において、受信した認証要求に含まれるＩＰｖ６アドレスからサブネットプレフィックス（ＳＰ）を抽出する。
【００４７】
次のステップＳ３２において、認証サーバ２は、ステップＳ３１にて抽出したサブネットプレフィックス（受信ＳＰ）と、図６に示した記憶しているユーザＩＤリストのサブネットプレフィックス（記憶ＳＰ）とが一致するか否かを判定する。双方のサブネットプレフィックスが一致する場合には処理をステップＳ３３に進める。一方、双方のサブネットプレフィックスが一致しない場合には処理をステップＳ２０に進めて、認証を拒否する。
【００４８】
ステップＳ３３において、認証サーバ２は、ステップＳ３２にて判定されたサブネットプレフィックス（記憶ＳＰ）に対応したユーザＩＤリストにおけるユーザＩＤを抽出し、ハッシュ化する。
【００４９】
そして、認証サーバ２は、ステップＳ３３にてハッシュ化されたユーザＩＤを用いてステップＳ１４〜ステップＳ１７、ステップＳ２０を行い、当該ＩＰｖ６アドレスのうちの下位符号列としての認証ＩＤを用いた認証処理を行う。
【００５０】
このようなユーザ認証システムによれば、認証サーバ２によって、ＩＰｖ６アドレスのうち上位符号列としてのサブネットプレフィックスを用いてユーザＩＤリストのうちのユーザＩＤを限定し、当該ユーザＩＤを用いて認証処理を行うことができる。したがって、このユーザ認証システムによれば、認証可能なローカルネットワーク領域を制限し、他のローカルネットワークから不正な攻撃端末１００が認証サーバ２に認証要求を送信しても、当該認証要求を拒否できる。したがって、このユーザ認証システムによれば、特定のローカルネットワークから送信された正当なユーザＩＤを有する端末１からの認証要求のみを許可できる。
【００５１】
つぎに、上述したユーザ認証システムにおける更に他の実施形態について説明する。
【００５２】
この実施形態に係るユーザ認証システムは、図８に示すように、端末１が接続されたローカルネットワークに、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ３が接続されている。ＤＨＣＰサーバ３は、端末１の起動時に、動的に端末１にＩＰｖ６アドレスを割り当てるものである。なお、このＤＨＣＰサーバ３は、ＤＨＣＰｖ６に対応している。
【００５３】
このＤＨＣＰサーバ３は、端末１及び認証サーバ２に保持されている端末１の原始元ｇ、秘密鍵ａを予め記憶している。ＤＨＣＰサーバ３は、上述したように端末１が行っていたＩＰｖ６アドレスの下位符号列としての認証ＩＤを生成する機能（ステップＳ２，３）、ＩＰｖ６アドレスを生成する機能（ステップＳ４）を有している。
【００５４】
図９に示すように、端末１は、起動時に、ＤＨＣＰサーバ３に対してアドレス要求Ｃ１を送信すると、ＤＨＣＰサーバ３は、当該アドレス要求Ｃ１（第１アドレス要求）に応じてサブネットプレフィックス（所定の上位符号列）及び下位符号列（アドレス）を生成して、アドレス配布Ｒ１をする。
【００５５】
端末１は、アドレス配布Ｒ１を取得すると、予め保持している自身のユーザＩＤ「ｍ１２３」をハッシュ化したハッシュ値「２ｆ５ａ７７３３」を取得し、当該ハッシュ値をＤＵＩＤ（DHCP Unique Identifier, DHCP固有識別子）としてＤＨＣＰサーバ３に送信する。なお、ＤＵＩＤは１６進数で表された値とされる。
【００５６】
ＤＨＣＰサーバ３は、ユーザＩＤを用いたＤＵＩＤを含むアドレス要求（第２アドレス要求）Ｃ２に応じて、ユーザＩＤを用いて、下位符号列としての認証ＩＤを生成する。このとき、ＤＨＣＰサーバ３は、下位符号列としての認証ＩＤのうちの前半符号列ＢＡを下記の式４により演算し、後半符号列ＳＡを下記の式５により演算する。
【００５７】
前半符号列ＢＡ＝ｇＩＤＵＤ＋ｇｒｍｏｄＮ  （式４）
後半符号列ＳＡ＝ｇｒａｍｏｄＮ  （式５）
上記式４，５において、ＩＤＵＤはユーザＩＤからハッシュ化した値であって、アドレス要求Ｃ２により受信した値であり、ｇは原始元、ａは秘密鍵、ｒは乱数、Ｎは基数（＝２３２）である。原始元ｇ及び秘密鍵ａは、予め設定された値であり、ＤＨＣＰサーバ３、端末１及び認証サーバ２の間で共有されている。また、乱数ｒは、ＤＨＣＰサーバ３の乱数発生器によって発生した値を使用している。ＤＨＣＰサーバ３は、このようにＩＰｖ６アドレスを生成して、ＩＰアドレス配布Ｒ２をする。
【００５８】
これにより、端末１は、ユーザＩＤを用いて作成されたＩＰｖ６アドレスを、自己のＩＰｖ６アドレスとして設定する。その後、端末１は、認証サーバ２に対してＩＰｖ６アドレスを含む認証要求Ｃ３を送信する。認証サーバ２による認証処理によって認証が許可された場合に、端末１には、通信許可Ｒ３が供給される。その後、端末１は、認証サーバ２との間で通信を開始する。
【００５９】
以上のように、このユーザ認証システムによれば、ユーザＩＤを用いたＩＰｖ６アドレスの生成をＤＨＣＰサーバ３によって行うことによって、端末１に大幅な改良をすることなく、ＩＰｖ６アドレスを用いた認証を行うことができる。したがって、このユーザ認証システムによれば、当該ユーザ認証システムの導入を容易にすることができる。
【００６０】
また、このユーザ認証システムにおいて、ＤＨＣＰサーバ３は、既存のＤＵＩＤとしてのＭＡＣアドレスが供給されても、ＩＰｖ６アドレスを生成して端末１に配布しても良い。この場合、ユーザＩＤを有し認証サーバ２を要求する端末１と、ユーザＩＤを有しない端末１とで、ＤＨＣＰサーバ３で生成されるＩＰｖ６アドレスが重複する恐れがある。すなわち、ＭＡＣアドレスから生成したＩＰｖ６アドレスと、ユーザＩＤのハッシュ値から生成したＩＰｖ６アドレスとが同じ値となる恐れがある。
【００６１】
そこで、このユーザ認証システムにおけるＤＨＣＰサーバ３は端末１から当該端末１の固有情報（ＭＡＣアドレス）を含む第１アドレス要求に応じて、ＩＰｖ６アドレスを生成した場合には、当該ＩＰｖ６アドレスの下位符号列に第１識別情報を格納する。また、ＤＨＣＰサーバ３は、ユーザＩＤを用いた第２アドレス要求に応じて、当該ユーザＩＤを用いて生成された下位符号列としての認証ＩＤに含むＩＰｖ６アドレスを生成した場合には、当該ＩＰｖ６アドレスの下位符号列に第２識別情報を格納する。第１識別情報と第２識別情報とは、異なる値である。
【００６２】
具体的には、図１０に示すようにＤＨＣＰサーバ３が動作する。ＤＨＣＰサーバ３は、先ずステップＳ４１にて端末１から送信されたアドレス要求を受信した場合には、ステップＳ４２にて、ＤＵＩＤがＭＡＣアドレスか否かを判定する。ＤＨＣＰサーバ３は、ＤＵＩＤがＭＡＣアドレスであると判定した場合には、ステップＳ４３に処理を進め、そうでない場合にはステップＳ４４に処理を進める。
【００６３】
ステップＳ４３において、ＤＨＣＰサーバ３は、受信したＭＡＣアドレスを用いてＩＰｖ６アドレスの下位符号列（ネットワークＩＤ）を生成する。ＤＨＣＰサーバ３は、生成した下位符号列に対して、前半符号列ＢＡと後半符号列ＳＡとを１ビットづつ減して、当該下位符号列を３１ビットにする。ＤＨＣＰサーバ３は、当該減らした２ビットの領域に、第１識別情報Ｆとしての値「００」を格納する。そして、ＤＨＣＰサーバ３は、ステップＳ４５にて、ステップＳ４３にて生成したＩＰｖ６アドレスを、アドレス配布として端末１に送信する。
【００６４】
ステップＳ４４において、ＤＨＣＰサーバ３は、受信したユーザＩＤのハッシュ値としてのＤＵＩＤを用いてＩＰｖ６アドレスの下位符号列（認証ＩＤ）を生成する。ＤＨＣＰサーバ３は、生成した下位符号列に対して、前半符号列ＢＡと後半符号列ＳＡとを１ビットづつ減して、当該下位符号列を３１ビットにする。ＤＨＣＰサーバ３は、当該減らした２ビットの領域に、第２識別情報Ｆとしての値「１１」を格納する。そして、ＤＨＣＰサーバ３は、ステップＳ４５にて、ステップＳ４４にて生成したＩＰｖ６アドレスを、アドレス配布として端末１に送信する。
【００６５】
以上のように、このユーザ認証システムによれば、ＭＡＣアドレスからＩＰｖ６アドレスを生成する時と、ユーザＩＤからＩＰｖ６アドレスを生成する時とで識別情報を変更することによって、ＩＰｖ６アドレスの衝突を回避できる。
【００６６】
つぎに、上述したユーザ認証システムにおける更に他の実施形態について説明する。
【００６７】
この実施形態に係るユーザ認証システムは、図１１に示すように、端末１が接続されるローカルネットワークと外部ネットワークとの間に設けられたルータ４によって、ＩＰｖ６アドレスを用いた認証を行わせても良い。このルータ４は、上述した認証サーバ２と同様に、ユーザＩＤを用いて後半符号列Ｓ’を生成するなど、図５に示した処理を行うことにより、認証の許可及び認証の拒否を行う。
【００６８】
これにより、ユーザ認証システムは、ＩＰｖ６アドレスに依存しないユーザＩＤごとに通信を制御できる。例えば、フィルタ条件として、正当なユーザＩＤの「ｍ１２３」は通過させ、他のＩＤを拒否することが設定されている場合、ルータ４は、攻撃端末１００から送信されたパケットを破棄できる。
【００６９】
また、このユーザ認証システムによれば、複数のユーザを含むユーザグループに対して同じユーザＩＤを割り当てることによって、グループごとの通信制御ができる。
【００７０】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【００７１】
１  端末
２  認証サーバ
３  ＤＨＣＰサーバ
４  ルータ
【図１】
0005603697.tif 000002
【図２】
0005603697.tif 000003
【図３】
0005603697.tif 000004
【図４】
0005603697.tif 000005
【図５】
0005603697.tif 000006
【図６】
0005603697.tif 000007
【図７】
0005603697.tif 000008
【図８】
0005603697.tif 000009
【図９】
0005603697.tif 000010
【図１０】
0005603697.tif 000011
【図１１】
0005603697.tif 000012