(57)【特許請求の範囲】
【請求項１】
ハードウエア・トークン上にディジタル認証を配置するシステムであって、
前記ハードウエア・トークン上のデータ格納エリアと、
ディジタル認証上の拡張部を検査する読み取り装置と、
前記読み取った拡張部を、選択した拡張部と比較する比較器と、
前記比較器の出力に応じて、前記トークン上のディジタル認証リスト内の特定の位置に、認証を配置する配列装置と、
を備えたシステム。
【請求項２】
請求項１記載のシステムにおいて、前記選択した拡張部と一致する拡張部を有する前記ディジタル認証を、前記認証リストの先頭に配置するシステム。
【請求項３】
請求項１記載のシステムにおいて、前記選択した拡張部と一致しない拡張部を有するディジタル認証を、前記認証リストの最後尾に配置するシステム。
【請求項４】
請求項１記載のシステムにおいて、前記選択した拡張部がシングル・サインオン認証を指示するシステム。
【請求項５】
ハードウエア・トークン上に複数のディジタル認証を配置するシステムであって、
各認証識別の拡張部を検査する読み取り装置と、
各拡張部が特定の拡張部と一致するか否かを比較する比較器と、
選択した拡張部と一致する拡張部を有するディジタル認証が前記複数の認証のリスト内の特定の場所に位置するように前記複数の認証を配置する配列装置と、
を備えたシステム。
【請求項６】
請求項５記載のシステムにおいて、前記選択した拡張部と一致する拡張部を有する前記ディジタル認証を、前記複数の認証のリストの先頭に配置するシステム。
【請求項７】
請求項５記載のシステムにおいて、前記選択した拡張部と一致しない拡張部を有するディジタル認証を、前記複数の認証のリストの最後尾に配置するシステム。
【請求項８】
請求項５記載のシステムにおいて、前記選択した拡張部がシングル・サインオン認証を指示するシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ハードウエア・トークン上に多数の認証を配置するシステムおよび方法に関する。更に特定すれば、本発明は、Ｗｉｎｄｏｗｓ（Ｒ）２０００シングル（単一）サインオン認証（ｓｉｎｇｌｅ  ｓｉｇｎ−ｏｎ  ｃｅｒｔｉｆｉｃａｔｅ）が最初の認証となるようにハードウエア・トークン上に多数の認証を含ませるシステムおよび方法に関する。
【０００２】
【従来の技術】
本願は、２０００年６月９日に出願された米国特許仮出願第６０／２１０，５２３号の優先権を主張する。その内容は、この言及により本願にも援用されるものとする。
【０００３】
何世紀もの間、個人、政府、および企業エンティティ（ｂｕｓｉｎｅｓｓ  ｅｎｔｉｔｙ）は、機密情報を長距離にわたって正規の相手に送信できしかも安全性を保てる機構および技術を探し求めてきた。前述のエンティティが直面する課題は、情報を要求する個人またはエンティティにその情報を送信することができ、不正な者がそれを傍受したとしても、送信した情報を理解することはできないようするにはどうすればよいかということにある。初期の情報保護方法は、スクランブリング技法、ルックアップ・テーブル、換字式暗号（ｓｕｂｓｔｉｔｕｔｉｏｎ  ｃｙｐｈｅｒ）、および文字や言葉を情報内の元の文字や言葉と置換するコード・ブックを採用していた。これらの技法では、情報の発信側および受信側双方が頻繁に同じコード・ブックにアクセスしなければならない。このような技法における危険性の１つは、コード・ブックが不正な者に渡ることである。
【０００４】
２０世紀初期、特に第二次世界大戦中では、電子機械式暗号マシン（機械）がコード・ブックに取って代わった。発信側および受信側双方は、発信したメッセージの暗号化および解読を行なうために同一の暗号機械を用いていた。これらのメッセージを解読するのを一層困難にするために、暗号機械は、メッセージ内で用いられる暗号を変化させたり、あるいはメッセージ内の数単語毎に用いられる暗号を変化させる能力を有する。これを達成するためには、暗号機械はメッセージを暗号化する際に利用した初期状態または鍵を知る必要があった。
【０００５】
近年、暗号機械はディジタル暗号化アルゴリズムに取って代わられた。このディジタル暗号化アルゴリズムでは、発信側および受信側双方がディジタル暗号化アルゴリズム、およびメッセージの暗号化および解読の際に用いる共通鍵の同一コピーを有する。暗号化アルゴリズムおよび鍵双方は、発信側および受信側双方によって秘密に保持されている。
【０００６】
更に最近になって、２つの別個の鍵を暗号化および解読に用いる、別の暗号化技法が開発された。公開鍵は、それを要求する者には誰にでも自由に送信され、個々の受信機に対するメッセージを暗号化するために用いられる。受信機は、対応する秘密鍵を有し、これを用いると、対応する公開鍵で暗号化したメッセージを解読することができる。各公開鍵毎に、秘密鍵は１つしかなく、各秘密鍵毎に、公開鍵は１つしかない。メッセージを数箇所の受信者に送る場合、各受信者の公開鍵を有する必要がある。そして、メッセージは、各受信者の公開鍵を用いて別個に暗号化され、当該特定の受信者に送信される。したがって、１０個の別個のエンティティが同じメッセージを受信する場合、１０個の別個のメッセージを送信し、各メッセージを個々の公開鍵を用いて暗号化することになる。インターネットの出現により、このような公開鍵インフラストラクチャは、「Ｉｎｔｅｒｎｅｔ  Ｘ．５０９  Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ」（インターネットＸ．５０９公開鍵インフラストラクチャ）と題するＦｏｒｄ  ｅｔ  ａｌ．によるコメント要求第２４５９号において論じられているように、広く受け入れられている。その内容は、この言及により本願にも含まれるものとする。
【０００７】
メッセージの暗号化および解読の必要性に加えて、電子メールおよびインターネットの出現により、個々の人による承認および受け入れを示す保護機構の必要性も生じた。過去においては、個人は、典型的に、手書きの署名、スタンプ、または当該個人のみが保有する印鑑によって、このような項目（ｉｔｅｍ）の承認または受け入れを契約または命令（ｏｒｄｅｒ）として示した。電子メールおよびインターネットの出現により、電子メールの容易性および速度を利用して、人または適当な権限者のいるエンティティによって、契約または目的の承認または受け入れを示すことが必要となっている。これは、ディジタル署名（電子署名）として知られるようになり、個人はディジタル的に文書に署名することができる。
【０００８】
このディジタル署名機能は、前述したものと同じ公開鍵インフラストラクチャを用いて実施されてきた。しかしながら、文書全体を暗号化する代わりに、文書自体を一方向ハッシング・アルゴリズム（ｏｎｅ−ｗａｙ  ｈａｓｈｉｎｇ  ａｌｇｏｒｉｔｈｍ）で処理して、ダイジェストと呼ばれる小さな文書を生成する。次いで、秘密署名鍵としても知られている、個人の秘密鍵を用いてこのダイジェストを暗号化し、文書に添付する。文書の受信側は、ディジタル署名（ダイジェスト）の信ぴょう性を検証することができる。その際、文書から署名を抜き出し、文書上でハッシュ関数を再計算して、受信ダイジェストとして生成する。文書内に含まれている公開署名鍵、または以前に受信した公開署名鍵を用いると、文書のダイジェストを解読し、それを受信したダイジェストと比較することができる。２つのダイジェストが一致した場合、署名が認証されたことになる。したがって、前述の公開鍵インフラストラクチャを用いれば、メッセージの暗号化および解読双方を行なうことだけでなく、文書にディジタル的に署名することも可能となる。
【０００９】
鍵対の所有者の同一性を信頼性高く判定するようにシステムを設定するために、ディジタル認証システムが利用されてきた。即ち、認証は、所有者、対の公開鍵、および認証が有効な期間を特定する情報を含む。また、認証は、鍵を生成する際に用いたアルゴリズム、鍵の長さ等のような、鍵自体に関する技術的情報も特定する。これらの認証を生成するのは、個人の同一性を検証する役割（責任）を担う組織である。認証組織即ち認証局の同一性は、認証自体に記録されており、認証局自体だけにわかる秘密鍵がサイン（署名）されている。これによって、ユーザは、認証の完全性、およびそれを発行した局の同一性双方を検証することができる。認証を初期化することによって、認証局は、認証内に見られる公開鍵は認証内に掲示（リスト）されている個人に属することを検証したと述べていることになる。このプロセスは、個人を信頼性高く識別し、更に認証内に掲示されている公開鍵が当該個人に属することを検証する機構を備えていなければならない。従来より、新たなユーザの登録は、このようなシステムでは最も労働集約的な面があった。また、発行される認証の信用状態を保証する最も重要な構成要素でもある。これを処理する従来の方法は、実際にもよりの認証局に出向き、識別を提示してユーザを識別することであった。
【００１０】
【発明が解決しようとする課題】
ひとりの個人が１種類よりも多い秘密鍵およびディジタル署名を有する可能性がある。これらの鍵は、システムにおける権限者によって、ディジタル認証の形態で生成することができる。ディジタル認証は、公開鍵を特定し、ユーザの同一性を確定する。しかしながら、ひとりの人が異なる役職を有する場合もあるので、各役職毎に追加の鍵が必要となる場合もある。このように、その人が支払いを許可することができるグループの一員である場合、その特定の役職のために別個の認証を有する必要がある場合もある。加えて、異なる種類のシステムが異なる種類の認証を要求する場合もある。したがって、ひとりの人が数種類の認証を有する場合、これらを把握しなければならない。これら異なる鍵全てを覚えておくことは、特にその一部を定期的に使用していない場合には、困難となる可能性がある。
【００１１】
【課題を解決するための手段】
本発明は、複数のディジタル認証を把握するシステムを提供する。
また、本発明は、複数の認証を格納する方法を提供する。
【００１２】
また、本発明は、多数の認証をハードウエア・トークン上に格納するシステムを提供する。
更に、本発明は、多数の認証をトークン上に格納する方法を提供する。
【００１３】
更に、本発明は、ハードウエア・トークン上に、Ｗｉｎｄｏｗｓ（Ｒ）２０００シングル・サインオン認証を含む、認証のリストを格納し検索するシステムを提供する。
【００１４】
更に、本発明は、ハードウエア・トークン上に、Ｗｉｎｄｏｗｓ（Ｒ）２０００シングル・サインオン認証を含む、認証のリストを格納し検索する方法を提供する。
【００１５】
更に、本発明は、ハードウエア・トークン上にＸ．５０９ｖ３認証のリストを格納し検索し、更にＷｉｎｄｏｗｓ（Ｒ）２０００シングル・サインオン認証をリストに纏めるシステムを提供する。
【００１６】
更に、本発明は、Ｗｉｎｄｏｗｓ（Ｒ）２０００シングル・サインオン認証が常に最初にリストに表示されるように、ハードウエア・トークン上にＸ．５０９ｖ３認証のリストを格納し検索する方法を提供する。
【００１７】
このシステム、方法およびコンピュータ・プログラムのこれらおよびその他の特徴は、添付図面と関連付けた以下の説明から一層明白となろう。添付図面は、例示の目的のためにのみ、本発明による例を示すものとする。
【００１８】
本発明の前述のおよびより良い理解は、以下の例示としての実施形態の詳細な説明および特許請求の範囲を、添付図面に関連付けて読むことにより、明白となろう。これらは全て、本発明の開示の一部をなすものである。これまでおよび以下に記載および図示する開示は、本発明の実施形態の例を開示することを目的とするが、これらは例示および一例に過ぎず、本発明はこれらに限定されるのではないことは、明白に理解されるはずである。本発明の精神および範囲は、特許請求の範囲によってのみ限定されるものである。
【００１９】
【発明の実施の形態】
本発明の詳細な説明を始める前に、以下のことを述べておく。適当であれば、異なる図面において、同一の構成要素、対応する構成要素、または同様の構成要素を示す際に、同様の参照番号および文字を用いることとする。更に、以下に続く詳細な説明では、一例としてサイズ／モデル／値／範囲を示す場合があるが、本発明はこれらに限定される訳ではない。
【００２０】
図１は、本発明の実施形態において用いられるソフトウエア、ファームウエア、およびハードウエアのモジュール構成図である。図１に示すブロックは、プロセッサを用いたシステム（複数のシステム）によって実行可能な、モジュール、コード、コード・セグメント、コマンド、ファームウエア、ハードウエア、命令およびデータを表し、限定する訳ではないが、Ｃ＋＋のようなプログラミング言語で書くことができる。尚、図１に示すモジュールは、別個のサーバ・プラットフォーム内に内蔵されるものとして示したことを注記しておく。しかしながら、これらのモジュールは、別個のサーバ上に常駐することに限定される訳ではなく、システムが処理しなければならないユーザ数および必要な通信に応じて、１台のコンピュータまたはあらゆる数のコンピュータ上に常駐し実行することも可能である。図２ないし図４は、図１に示すモジュールが実行する動作を詳細に表したフローチャートである。
【００２１】
図１は、本発明の実施形態の一例にしたがって公開鍵インフラストラクチャ（ＰＫＩ）プロセスを実施可能な、アーキテクチャの一例１００のブロック図を示す。しかしながら、前述したように、本発明は、図１に示すアーキテクチャ１００に限定される訳ではないことは理解されるべきである。アーキテクチャ１００は、基本（信頼性のある）データベース（ａｕｔｈｏｒｉｔａｔｉｖｅ  ｄａｔａｂａｓｅ）１０４のデータ入力機能を実行するデータ入力１０２を含む。基本データベース１０４は、サーバ・プラットフォーム１０６上に常駐する。この明細書では、サーバ・プラットフォーム１０６に言及するが、本発明はいずれの特定のサーバ・アーキテクチャにも限定されないことは理解されよう。サーバ・プラットフォーム１０６は、ＵＮＩＸ（Ｒ）またはＷｉｎｄｏｗｓ（Ｒ）ＮＴサーバとすることができるが、これらに限定される訳ではない。基本データベース１０４は、本発明によるＰＫＩサービスを実行するグループまたは企業の構成員に関する情報を含む。本発明は、基本データベース１０４に情報を格納するグループ企業の構造に限定される訳ではない。基本データベース１０４の情報は、限定ではなく、グループまたは企業の構成員の氏名、住所、電話番号、上司の氏名、従業員の識別等を含む。ディレクトリ１０８は、データベース１０４の構造を有するが、高速データ入力よりも、内部に格納されているデータの高速参照のために最適化されている。ディレクトリ１０８内のデータは、頻繁に変更されることはないが、基本データベース１０４に格納されているグループまたは企業の構成員に関する参考情報を収容する「高速電話帳として、迅速にアクセスされ、オンラインで機能する」ことが要求される。
【００２２】
認証局１１０は、以下で更に詳細に説明するように、本発明によって用いられる認証および関連情報を格納するサーバ・プラットフォーム１０６上で実行する、従来の市販のソフトウエアである。登録局１１２も、以下で更に詳細に説明するように、本発明が実行する登録に関してサーバ・プラットフォーム１０６上で実行可能な市販のソフトウエアである。鍵局１１４もまた、以下で更に詳細に説明するように、グループまたは企業の構成員からの鍵を復元するために、サーバ・プラットフォーム１０６上で実行可能な市販のサーバ・ソフトウエアである。Ｗｉｎｄｏｗｓ（Ｒ）２０００ドメインＣＡ１１６は、本発明によって与えられる認証を用いて、図１のアーキテクチャに対してシングル・サインオンを行なうことができる。レガシー（旧式）サーバ１１８は、レガシー（旧式）アプリケーション・プログラム１２０を実行する。旧式サーバは、メインフレーム、ミニコンピュータ、ワークステーション、または本発明にしたがってＰＫＩプロセス上で実行するように設計された旧式ソフトウエア・アプリケーションを運用可能なその他のサーバとすることができるが、これらに限定されるという訳ではない。旧式アプリケーション１２０は、エミュレータまたはカスタム・データベースのグラフィック・ユーザ・インターフェース（ＧＵＩ）のような、カスタム・クライアント１２８によって、クライアント側でアクセス可能である。エミュレータの例には、ＩＢＭ３２７０の端末エミュレータまたはｖｔ１００の端末エミュレータがある。
【００２３】
登録ウェブ・ページ１２２は、１つ以上のページとすることができ、図１に示すアーキテクチャ１００へのユーザ・インターフェースとして機能する。ウェブ・サーバ１２４は、ウェブ・ブラウザ・クライアントに対するウェブ・ページ１２２またはその他のＨＴＭＬ出力に対応するソフトウエア・アプリケーションである。ウェブ・サーバ・クライアントは、Ａｐａｃｈｅ、Ｍｉｃｒｏｓｏｆｔ  Ｉｎｔｅｒｎｅｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｒｖｅｒアプリケーションとすることができるが、これらに限定される訳ではない。ウェブ・ブラウザ１２６は、クライアント・プラットフォーム１２８上に常駐する。クライアント・プラットフォーム１２８は、いずれのユーザ・コンピュータとすることも可能である。ウェブ・ブラウザ１２６は、限定ではないが、ＨＴＭＬまたはＸＭＬプロトコルあるいはその他のプロトコルのような、ウェブ・ページをブラウズするクライアント・ソフトウエア・アプリケーションである。ウェブ・ブラウザ１２６は、認証局１１０が発行するＰＫＩ認証によって動作するようにプログラムされている。この能力を有するウェブ・ブラウザの例は、Ｎｅｔｓｃａｐｅ  ＮａｖｉｇａｔｏｒおよびＭｉｃｒｏｓｏｆｔ  Ｉｎｔｅｒｎｔ  Ｅｘｐｌｏｒｅｒである。
【００２４】
トークン１３０は、スマート・カード、ＵＳＢ、またはＰＫＩ認証を生成、格納、および使用可能なその他のハードウエア・トークンとすることができる。ユーザ１３２は、アーキテクチャ１００を用いる人である。ユーザ１３２は、多数の状態を通じて移行し、新規ユーザ、現ユーザ、旧ユーザが含まれる。旧ユーザは、もはやグループまたは企業の構成員ではない。アーキテクチャ１００を説明するに当たり、２レベルのセキュリティを参照するが、セキュリティ・レベルの数は本発明の限定ではなく、各レベルは異なるセキュリティ要件に対応する。レベル１サーチ・エンジン１３４は、アーキテクチャ１００を検索することは許可されているが、レベル１データに対するアクセスのみが許されているに過ぎないサーチ・エンジンである。レベル１データは、最低のセキュリティ・レベルであり、限定ではないが、自由に配付可能なデータとすることができる。レベル２データは企業に固有であると見なすことができる。レベル２サーチ・エンジン１３６は、レベル１およびレベル２データ双方を検索することを許されたサーチ・エンジンである。
【００２５】
レベルＮサーチ・エンジン（図示せず）は、レベル１ないしＮまでのデータを処理するサーバ全体を検索することを許されたサーチ・エンジンである。レベル１データを有する保護レベル・サーバは、レベル１データのみを収容するウェブ・サーバである。レベル１データは、ユーザがレベル１データにアクセスするには（少なくとも）レベル１アクセスを有する必要があるように保護されている。レベル２データを有する保護ウェブ・サーバ１４０は、レベル２データを収容するウェブ・サーバである。レベル２データは、ユーザがレベル２サーバにアクセスするには少なくともレベル２アクセスを有さなければならないように保護されている。レベル２アクセスを有するユーザは、レベル１およびレベル２サーバ双方にアクセスすることができる。レベルＮデータを有する保護ウェブ・サーバ（図示せず）は、レベルＮ以上のユーザがアクセス可能なレベルＮデータを収容するウェブ・サーバである。レベルＮ以上のユーザは、レベルＮまでの全てのデータ・レベルにアクセスすることができる。
【００２６】
ＶＰＮエクストラネット１４２は、ネットワーク・ゲートウェイとして機能するソフトウェア・アプリケーションである。図示のように、これは旧式サーバ１１８および旧式アプリケーション１２０、またはインターネットのような外部ネットワークのいずれかに至ることができる。個人廃止権限者１４４は、ネットワーク１００からの構成員の廃止（無効）に従事する人である。個人登録権限者１４６は、ネットワーク１００への構成員の登録に従事する人である。個人復元承認者１  １４８および個人復元エージェント２  １４９は、認証の復元を得ることに従事する人である。復元エージェント１５０は、認証の復元を行なう人であり、認証が他の人によって復元可能であるとして最初に指定されたときにのみ、認証を復元すればよい。個人ロール（役割）承認者（ｐｅｒｓｏｎａｌ  ｒｏｌｅ  ａｐｐｒｏｖａｌ）１５２は、ネットワーク１００内部において異なる役割（任務）機能を承認する人である。ウェブ・サーバ・マネージャ（管理者）は、ネットワーク１００における種々のウェブ機能に従事するひとり以上の人間である。
【００２７】
前述のように、トークン１３０は、認証を格納することができるハードウエアの一部である。ある種の記憶装置が含まれている限り、異なる種類のトークンを用いることができる。記憶は、帯状体（ストリップ）上のように磁気的でも、バー・コードのように光学的でも、または容易に機械読み取り可能なその他のあらゆる種類の記憶システムでもよい。トークンを使用して認証情報を格納することは、ユーザに一連の番号を記憶するように要求するよりも好ましい。読み取り装置（リーダ）内にトークンを設置することによって、オペレータ自身が行なうよりも速く識別データを挿入することが可能となる。更に、識別コードを記憶する必要性を回避する。ユーザは多数の異なる認証を有する可能性があるので、多数の識別コードを記憶するという問題を回避するためにトークンを用いることは、特に有用である。このように、このような状況においてかかるトークンを使用すると、精度が向上し、忘却を回避し、しかも非常に便利で精度が高い。トークンは、キー・チェーンに取り付けたり、財布の中に入れるというように、人が容易に携行できるデバイスとするとよく、ユーザは、それをロックする安全な場所を探す必要なく、常時それを制御することが可能となる。
【００２８】
図２は、Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓ（Ｒ）２０００と共に用いている従来技術のシステムを示す。Ｍｉｃｒｏｓｏｆｔネットワークにディジタル信号を発行するには、Ｍｉｃｒｏｓｏｆｔサーバが発行する認証を有する必要がある。これらのシステムは、シングル・サインオン機構を用いる。図２は、図１の変形を示し、システムは、Ｗｉｎｄｏｗｓ（Ｒ）２０００Ｍｉｃｒｏｓｏｆｔ登録認証オフィサ（ＭＳＲＡ）およびローカル登録局オフィサ（ＬＲＡＯ）を含む。ユーザは、ＬＲＡＯに接触し、識別を提示して、ユーザ名義で認証の発行を受けなければならない。ＬＲＡＯは、認証を生成し、これをトークン上に格納し、トークンをユーザに与える。これらを図２のステップ１および２に示す。
【００２９】
このようなシステムは、ユーザが１つの認証のみを有する限りは適正に動作するが、ユーザは多数の認証を有する必要性がある場合も多い。Ｗｉｎｄｏｗｓ（Ｒ）２０００以前では、従来技術のデバイスは、ＰＩＮを要求するダイアログ・ボックスを利用していた。認証のリストが可能であれば、ユーザはこの状況において用いる特定の認証を選択するであろう。しかしながら、Ｗｉｎｄｏｗｓ（Ｒ）２０００の下では、特定のサブルーチンはトークン上で最初の認証のみを選択する。したがって、１つよりも多い認証が格納されている場合、最初の認証がＷｉｎｄｏｗｓ（Ｒ）２０００のシングル・サインオン認証であることは非常に重要である。ハードウエア・トークン上にシングル・サインオン認証のみを有し、他のあらゆある認証を別個のトークン上に配置することも可能ではるが、これは好ましい構成ではない。したがって、シングル・サインオン認証以外にもハードウエア・トークン上に格納する場合、シングル・サインオン認証は常にリストの先頭である必要がある。
【００３０】
図３は、図１に示した構成の変形であるモジュール構成図であり、ハードウエア・トークン上に多数の認証を格納し、しかもＷｉｎｄｏｗｓ（Ｒ）２０００ドメインに適したものとすることができる。このシステムでは、Ｗｉｎｄｏｗｓ（Ｒ）２０００のＭＳＲＡだけでなく、Ｗｉｎｄｏｗｓ（Ｒ）２０００アクティブ・ディレクトリも用いる。この方法のステップは、図４にも示す。ステップ１０１において、ユーザは、彼のウェブ・ブラウザを通じて、登録ウェブ・ページに行くことにより、新たな認証を所得するプロセスを開始する。ウェブ・ページに行くことにより、ローカル登録局オフィサの必要性を迂回することができる。代わりに、ウェブ・ページを通じて認証を直接取得する。認証は、Ｗｉｎｄｏｗｓ（Ｒ）２０００ドメインＣＡ１１６によって生成し、ステップ１０２Ａにおいて、登録ウェブ・ページを通じてユーザに返送される。あるいは、トークンがクライアント・プラットフォームではなくＭＳＲＡ内にインストールされている場合には、認証をＭＳＲＡに返送することもできる。
【００３１】
ステップ１０３において、ウェブ・ブラウザは、サイン（署名）済みの認証を、ハードウエア・トークンのソフトウエア・ドライバに配信する。ステップ１０４において、ソフトウエア・ドライバは認証を解析し、認証がＭｉｃｒｏｓｏｆｔドメインＣＡによって署名されているか否か判定を行なう。これが可能なのは、Ｍｉｃｒｏｓｏｆｔシングル・サインオン認証は、Ｍｉｃｒｏｓｏｆｔ固有の拡張部（領域）を有し、シングル・サインオンの目的のために認証およびキーを使用できることを識別するからである。その結果、認証がこのカテゴリに該当するか否かについて判定することは容易となる。そのような認証ではない場合、リストの最後尾に追加し、したがって認証番号Ｎとなる。しかしながら、ステップ１０５に示すように、認証がＭｉｃｒｏｓｏｆｔドメインＣＡによって署名されている場合、ソフトウエア・ドライバは元の認証番号１をリストの最後尾に移動させ、新たな認証をリストの先頭に挿入する。この単純な構成を利用することによって、Ｍｉｃｒｏｓｏｆｔシングル・サインオン認証を常にリストにおける最初の認証として有することが可能となる。
【００３２】
したがって、ステップ１０６に見られるように、ユーザが次いでＷｉｎｄｏｗｓ（Ｒ）２０００ドメインにログ・オンした場合、シングル・サインオンは、トークン上における最初の認証となるので、クライアント・プラットフォームは正しい認証を取得し、正しい証明書をドメイン・コントローラに提示する。ステップ１０７に見られるように、ユーザがウェブ・サーバにアクセスしようとするとき、クライアント・プラットフォームは、異なる認証を提示するように要求される。トークンから認証を取得するのはオペレーティング・システムではなくウェブ・ブラウザであり、ウェブ・ブラウザはトークン上の認証全てを見ることができるので、単に最初のものではなく、ユーザはウェブ・サーバに対するアクセスのためにいずれの認証でも選択することができる。
【００３３】
また、本方法の他の変形を用いても、シングル・サインオン認証がリストの先頭に置かれていることを保証可能である。これを行なう他の方法は、識別したシングル・サインオン認証を常にリストの先頭に追加し、その他の認証全てをリストの最後尾に追加することである。
【００３４】
これを行なうための他の方法として、認証要求時に動的サーチを行い、Ｍｉｃｒｏｓｏｆｔシステムが常にこの認証をリスト上の先頭として見る一方、他のシステムは要求時にリスト全体を見るようにすることがあげられる。
【００３５】
上述の教示を参考にすれば、本発明のその他の変更や変形も多数可能である。したがって、特許請求の範囲内において、本発明は、本明細書に具体的に記載した以外でも実施可能であることは理解されよう。
【図面の簡単な説明】
【図１】本発明の実施形態において用いられるソフトウエア、ファームウエア、およびハードウエアのモジュール構成図である。
【図２】従来技術のシングル・サインオン方法の図である。
【図３】接続およびデータフローを示した、図１の修正である。
【図４】図３のシステムに関して用いられる方法のステップを示すフローチャートである。
【符号の説明】
１００    アーキテクチャ
１０２    データ入力
１０４    基本データベース
１０６    サーバ・プラットフォーム
１０８    ディレクトリ
１１０    認証局
１１２    登録局
１１４    鍵復元局
１１６    ドメイン認証局（ＣＡ）
１１８    旧式サーバ
１２０    旧式アプリケーション・プログラム
１２２    登録ウェブ・ページ
１２４    ウェブ・サーバ
１２６    ウェブ・ブラウザ
１２８    クライアント・プラットフォーム
１３０    トークン
１３２    ユーザ
１３４    レベル１サーチ・エンジン
１３６    レベル２サーチ・エンジン
１４２    ＶＰＮエクストラネット
１４４    個人廃止権限者
１４６    個人登録権限者
１４８    個人復元承認者
１５０    復元エージェント
１５２    個人役割承認者
【図１】
0003704681.tif 000002
【図２】
0003704681.tif 000003
【図３】
0003704681.tif 000004
【図４】
0003704681.tif 000005