(57)【要約】【課題】  端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末を不正に入手したユーザが当該端末によりＬＡＮに接続することを防止する。【解決手段】  ユーザ端末１００の初期設定部１０３は、初期設定時に、ＬＡＮユニット１０１のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、当該ＬＡＮユニット１０１の正規ＭＡＣアドレスを暗号化して鍵媒体２００に保存する。ユーザ認証部１０５は、正規ユーザによる認証が完了した場合、鍵媒体２００に保存されていた正規ＭＡＣアドレスを復号化してＬＡＮユニット１０１に設定する。【選択図】      図１
2008028877.tif 000002
【特許請求の範囲】
【請求項１】
暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段と、を有するユーザ端末と、
ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段と、前記ＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御手段と、を有するアクセス制御装置と、
を備えたことを特徴とする不正接続防止システム。
【請求項２】
前記ユーザ端末は、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段と、を有することを特徴とする請求項１記載の不正接続防止システム。
【請求項３】
前記ユーザ認証手段は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項２記載の不正接続防止システム。
【請求項４】
前記ユーザ端末は、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を有することを特徴とする請求項１乃至請求項３のいずれかに記載の不正接続防止システム。
【請求項５】
前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項１乃至請求項４のいずれかに記載の不正接続防止システム。
【請求項６】
前記ユーザ認証手段は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項１乃至請求項５のいずれかに記載の不正接続防止システム。
【請求項７】
前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項１乃至請求項５のいずれかに記載の不正接続防止システム。
【請求項８】
暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段とを備えたことを特徴とするユーザ端末。
【請求項９】
前記ユーザ端末は、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段とを備えたことを特徴とする請求項８記載のユーザ端末。
【請求項１０】
前記ユーザ認証手段は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項９記載のユーザ端末。
【請求項１１】
前記ユーザ端末は、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を備えたことを特徴とする請求項８乃至請求項１０のいずれかに記載のユーザ端末。
【請求項１２】
前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項８乃至請求項１１のいずれかに記載のユーザ端末。
【請求項１３】
前記ユーザ認証手段は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項８乃至請求項１２のいずれかに記載のユーザ端末。
【請求項１４】
前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項８乃至請求項１２のいずれかに記載のユーザ端末。
【請求項１５】
ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定処理と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証処理とをユーザ端末に行わせることを特徴とするユーザ端末用プログラム。
【請求項１６】
認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視処理をユーザ端末に行わせることを特徴とする請求項１５記載のユーザ端末用プログラム。
【請求項１７】
前記ユーザ認証処理は、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項１６記載のユーザ端末用プログラム。
【請求項１８】
ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了処理をユーザ端末に行わせることを特徴とする請求項１５乃至請求項１７のいずれかに記載のユーザ端末用プログラム。
【請求項１９】
前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項１５乃至請求項１８のいずれかに記載のユーザ端末用プログラム。
【請求項２０】
前記ユーザ認証処理は、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項１５乃至請求項１９のいずれかに記載のユーザ端末用プログラム。
【請求項２１】
前記ユーザ認証処理は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項１５乃至請求項１９のいずれかに記載のユーザ端末用プログラム。
【請求項２２】
ユーザ端末が、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定ステップと、
前記ユーザ端末が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証ステップと、
アクセス制御装置が、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御ステップと、を含むことを特徴とする不正接続防止方法。
【請求項２３】
前記ユーザ端末が、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視ステップを含むことを特徴とする請求項２２記載の不正接続防止方法。
【請求項２４】
前記ユーザ認証ステップは、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする請求項２３記載の不正接続防止方法。
【請求項２５】
前記ユーザ端末が、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了ステップを含むことを特徴とする請求項２２乃至請求項２４のいずれかに記載の不正接続防止方法。
【請求項２６】
前記ＭＡＣ情報記憶手段は、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする請求項２２乃至請求項２５のいずれかに記載の不正接続防止方法。
【請求項２７】
前記ユーザ認証ステップは、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする請求項２２乃至請求項２６のいずれかに記載の不正接続防止方法。
【請求項２８】
前記ユーザ認証ステップは、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする請求項２２乃至請求項２６のいずれかに記載の不正接続防止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークへの不正接続防止システム、不正接続防止方法、ユーザ端末、及びユーザ端末用プログラムに関し、特に、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システム、不正接続防止方法、ユーザ端末、及びユーザ端末用プログラムに関する。
【背景技術】
【０００２】
従来、この種の不正接続防止システムは、例えば、パーソナルコンピュータやワークステーションなどの端末が接続された社内ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）において、ウィルス対策や暗号化による情報漏洩対策などの実施が社内ＬＡＮの管理者により確認され、正式に接続が許可された端末に対してのみ、ＬＡＮへの接続を許可するために用いられてきた。この不正接続防止システムでは、ＬＡＮの接続ポイントとなるＡＰ（Ａｃｃｅｓｓ  Ｐｏｉｎｔ）がＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスによるアクセス制限機能を備えている。ＡＰは、接続が許可されている端末のＭＡＣアドレスのリストを保持し、このリストに登録されたＭＡＣアドレスを使用する端末のみを社内ＬＡＮに接続するようにアクセス制限を行う。
このようなＭＡＣアドレスを用いたアクセス制御の従来技術が特許文献１に開示されている。特許文献１に開示された技術では、クライアントとサーバが接続されたネットワークにおいて、サーバのＭＡＣアドレステーブルに、認証登録されたクライアントのＭＡＣアドレスを登録することにより、認証登録されたクライアントのみがサーバと通信できる。
【０００３】
また、この種の不正接続防止システムは、端末の盗難や紛失という事態が発生した場合に、当該端末を不正に入手したユーザが、社内ＬＡＮに接続し、不正に情報を入手することを防止するためにも用いられてきた。端末の盗難や紛失に遭遇した場合の一次的なセキュリティ上の問題は、端末本体内に格納した情報が漏洩することであるが、これは、暗号化技術を用いた漏洩対策により防ぐことが可能である。しかしながら、悪意あるユーザが不正取得した端末を用いて、社内ＬＡＮへ侵入し、不正に情報を入手するという二次的な問題は残存する。すなわち、不正取得した端末のＭＡＣアドレスはＡＰのＭＡＣアドレスのリストに登録されているため、社内ＬＡＮへの接続を行うことは可能である。この場合、端末自体にパスワードによるＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）レベルでの利用制限を設けていたとしても、ＯＳの再セットアップを実施することで、当該端末は使用可能となり、このような、二次的な問題を防止することはできない。そこで、端末の盗難や紛失が発生した場合、社内ＬＡＮの管理者は、当該端末のＭＡＣアドレスをＡＰにおけるＭＡＣアドレスのリストから削除することで、当該端末が社内ＬＡＮに不正接続することを防止していた。
【０００４】
【特許文献１】特開２００４−１５２２４９
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、この従来の不正接続防止システムを用いて、端末の盗難や紛失の際の社内ＬＡＮへの不正接続を防止する場合、端末の盗難や紛失が発生してから、遅滞無く全てのＡＰから当該端末のＭＡＣアドレスの削除作業を完了させなければ、悪意あるユーザが当該端末を入手し、不正に社内ＬＡＮに接続、侵入する機会が存在することとなる。
【０００６】
特に、社内ＬＡＮの運用保守は、商用サービスとは異なり、管理者が不在、あるいは管理者が端末の盗難紛失に即時に対応できないという事態が想定され、端末の盗難や紛失が発生してから、当該端末のＭＡＣアドレスの削除という対策が完了するまでの時間が比較的長く、悪意あるユーザの不正侵入の機会が増すことになる。
【０００７】
また、社内ＬＡＮでは、ＡＰが複数台設置されていたり、ＡＰの機器メーカも統一されていないため、人的なミスによる設定漏れや設定誤りが発生する可能性があった。
【０００８】
このように、この従来の不正接続防止システムを用いて、端末の盗難や紛失の際の社内ＬＡＮへの不正接続を防止する場合、ＭＡＣアドレスの削除が速やかに行われない、あるいは適切に行われないことによるセキュリティ上の脆弱性が残るという問題がある。
【０００９】
本発明の目的は、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末の盗難や紛失が発生した際に、ＡＰからのＭＡＣアドレスの削除を行わなくても、端末を不正に入手したユーザが当該端末を用いて社内ＬＡＮに接続することを防止することが可能な不正接続防止システムを提供することである。
【課題を解決するための手段】
【００１０】
本発明の第１の不正接続防止システムは、暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段と、を有するユーザ端末と、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段と、前記ＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御手段と、を有するアクセス制御装置と、を備えたことを特徴とする。
【００１１】
本発明の第２の不正接続防止システムは、第１の不正接続防止システムにおいて、前記ユーザ端末が、更に、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段と、を有することを特徴とする。
【００１２】
本発明の第３の不正接続防止システムは、第２の不正接続防止システムにおいて、前記ユーザ認証手段が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。
【００１３】
本発明の第４の不正接続防止システムは、第１乃至第３のいずれかの不正接続防止システムにおいて、前記ユーザ端末が、更に、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を有することを特徴とする。
【００１４】
本発明の第５の不正接続防止システムは、第１乃至第４のいずれかの不正接続防止システムにおいて、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。
【００１５】
本発明の第６の不正接続防止システムは、第１乃至第５のいずれかの不正接続防止システムにおいて、前記ユーザ認証手段が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。
【００１６】
本発明の第７の不正接続防止システムは、第１乃至第５のいずれかの不正接続防止システムにおいて、前記ユーザ認証手段は、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。
【００１７】
本発明の第１のユーザ端末は、暗号化されたＭＡＣアドレスを記憶するＭＡＣ情報記憶手段と、ＬＡＮユニットの前記ＭＡＣアドレスを暗号鍵により暗号化し、前記ＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定手段と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証手段とを備えたことを特徴とする。
【００１８】
本発明の第２のユーザ端末は、第１のユーザ端末において、認証完了フラグを記憶する認証完了フラグ記憶手段と、前記認証完了フラグ記憶手段に前記認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視手段とを備えたことを特徴とする。
【００１９】
本発明の第３のユーザ端末は、第２のユーザ端末において、前記ユーザ認証手段が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。
【００２０】
本発明の第４のユーザ端末は、第１乃至第３のいずれかのユーザ端末において、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了手段を備えたことを特徴とする。
【００２１】
本発明の第５のユーザ端末は、第１乃至第４のいずれかのユーザ端末において、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。
【００２２】
本発明の第６のユーザ端末は、第１乃至第５のいずれかのユーザ端末において、前記ユーザ認証手段が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。
【００２３】
本発明の第７のユーザ端末は、第１乃至第５のいずれかのユーザ端末において、前記ユーザ認証手段が、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。
【００２４】
本発明の第１のユーザ端末用プログラムは、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定処理と、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証処理とをユーザ端末に行わせることを特徴とする。
【００２５】
本発明の第２のユーザ端末用プログラムは、第１のユーザ端末用プログラムにおいて、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視処理をユーザ端末に行わせることを特徴とする。
【００２６】
本発明の第３のユーザ端末用プログラムは、第２のユーザ端末用プログラムにおいて、前記ユーザ認証処理が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。
【００２７】
本発明の第４のユーザ端末用プログラムは、第１乃至第３のいずれかのユーザ端末用プログラムにおいて、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了処理をユーザ端末に行わせることを特徴とする。
【００２８】
本発明の第５のユーザ端末用プログラムは、第１乃至第４のいずれかのユーザ端末用プログラムにおいて、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。
【００２９】
本発明の第６のユーザ端末用プログラムは、第１乃至第５のいずれかのユーザ端末用プログラムにおいて、前記ユーザ認証処理が、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。
【００３０】
本発明の第７のユーザ端末用プログラムは、第１乃至第５のいずれかのユーザ端末用プログラムにおいて、前記ユーザ認証処理が、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。
【００３１】
本発明の第１の不正接続防止方法は、ユーザ端末が、ＬＡＮユニットのＭＡＣアドレスを暗号鍵により暗号化してＭＡＣ情報記憶手段に記憶し、無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する初期設定ステップと、前記ユーザ端末が、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化し、前記ＬＡＮユニットに設定するユーザ認証ステップと、アクセス制御装置が、ＬＡＮへのアクセスを許可するＭＡＣアドレスを記憶するＭＡＣアドレスリスト記憶手段に記憶された前記ＭＡＣアドレスを持つ前記ユーザ端末に対してのみ前記ＬＡＮへのアクセスを許可するアクセス制御ステップと、を含むことを特徴とする。
【００３２】
本発明の第２の不正接続防止方法は、第１の不正接続防止方法において、前記ユーザ端末が、認証完了フラグ記憶手段に認証完了フラグが記憶されておらず、かつ前記ＬＡＮユニットに前記無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されている場合に、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する監視ステップを含むことを特徴とする。
【００３３】
本発明の第３の不正接続防止方法は、第２の不正接続防止方法において、前記ユーザ認証ステップが、ユーザ認証に成功した場合に、前記ＭＡＣ情報記憶手段に記憶した前記ＭＡＣアドレスを復号鍵により復号化して前記ＬＡＮユニットに設定するとともに、前記認証完了フラグ記憶手段に前記認証完了フラグを記憶することを特徴とする。
【００３４】
本発明の第４の不正接続防止方法は、第１乃至第３のいずれかの不正接続防止方法において、前記ユーザ端末が、ログアウトまたは一定期間以上の無操作を検出すると、前記無効ＭＡＣアドレスを前記ＬＡＮユニットに設定する終了ステップを含むことを特徴とする。
【００３５】
本発明の第５の不正接続防止方法は、第１乃至第４のいずれかの不正接続防止方法において、前記ＭＡＣ情報記憶手段が、前記ユーザ端末に着脱可能な記憶媒体に格納されることを特徴とする。
【００３６】
本発明の第６の不正接続防止方法は、第１乃至第５のいずれかの不正接続防止方法において、前記ユーザ認証ステップが、前記ユーザ認証をユーザにより入力されたユーザＩＤとパスワードとに基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、ユーザにより入力された前記復号鍵を用いることを特徴とする。
【００３７】
本発明の第７の不正接続防止方法は、第１乃至第５のいずれかの不正接続防止方法において、前記ユーザ認証ステップが、前記ユーザ認証を個人認証用媒体に記憶された個人情報に基づいて行い、前記ＭＡＣアドレスの復号化を行う場合、前記個人認証用媒体に記憶された前記復号鍵を用いることを特徴とする。
【発明の効果】
【００３８】
本発明の効果は、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末を不正に入手したユーザが当該端末を用いて不正に社内ＬＡＮに接続することを防止できることである。その理由は、端末の初期設定時に、当該端末のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化して当該端末に設定するようにしたため、端末を不正に入手したユーザが社内ＬＡＮに接続を試みても、無効ＭＡＣアドレスが使用され、アクセス制御装置におけるアクセス制限機能により、当該端末を使用した通信ができないためである。
【発明を実施するための最良の形態】
【００３９】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
（発明の第一の実施の形態）
図１に本発明の第一の実施の形態における不正接続防止システム全体の構成を示す。図１を参照すると、本発明の実施の形態は、ユーザ端末１００、鍵媒体２００、アクセス制御装置３００により構成される。ユーザ端末１００とアクセス制御装置３００は、１０Ｂａｓｅ−Ｔや１００Ｂａｓｅ−ＴＸ等の有線ＬＡＮ、あるいは８０２.１１等の無線ＬＡＮによって接続されている。
【００４０】
ユーザ端末１００は、パーソナルコンピュータやワークステーション等、ユーザがＬＡＮに接続して使用する情報処理装置であり、ＬＡＮユニット１０１、ＭＡＣアドレス制御部１０２、初期設定部１０３、ＭＡＣ暗号化部１０４、ユーザ認証部１０５、ＭＡＣ復号化部１０６、鍵媒体インタフェース部１０７、ＭＡＣ監視部１０８、終了処理部１０９、端末番号記憶部１１１、ユーザ認証情報記憶部１１２、認証完了フラグ記憶部１１３、及び無効ＭＡＣ記憶部１１４により構成される。
【００４１】
ＬＡＮユニット１０１は、有線ＬＡＮ、あるいは無線ＬＡＮのインタフェースを提供する。ＬＡＮユニット１０１のＭＡＣアドレスは、このＬＡＮユニット１０１を一意に識別できる固有ＭＡＣアドレスが工場出荷時に設定されているものとする。また、ＬＡＮユニット１０１のＭＡＣアドレスは、ＭＡＣアドレス制御部１０２により、任意の値に書換えが可能であるものとする。ＬＡＮ４００への接続が許可された場合、ユーザ端末１００のＬＡＮユニット１０１の固有ＭＡＣアドレスがアクセス制御装置３００に登録される。アクセス制御装置３００は、登録されたＭＡＣアドレスを持つユーザ端末１００に対してのみ、ＬＡＮ４００との通信を許可する。本発明では、このように、アクセス制御装置３００に登録される固有ＭＡＣアドレスを正規ＭＡＣアドレスと称する。
【００４２】
ＭＡＣアドレス制御部１０２は、ＬＡＮユニット１０１に設定されているＭＡＣアドレスの読み出し、書き込みを行うための機能を提供する。
【００４３】
初期設定部１０３は、ユーザ端末１００の新規使用開始時に、ＬＡＮユニット１０１に対して、正規ＭＡＣアドレスの読み出し、無効ＭＡＣアドレスの書き込みを行い、管理者が入力した復号鍵による正規ＭＡＣアドレスの暗号化、鍵媒体２００への正規ＭＡＣアドレスの書き込みを制御する。
【００４４】
ＭＡＣ暗号化部１０４は、初期設定部１０３の指示に従って、正規ＭＡＣアドレスの暗号化を行い、鍵媒体２００への書き込みを行う。
【００４５】
ユーザ認証部１０５は、ユーザが初期設定が完了したユーザ端末１００を使用する場合に、ユーザ認証を行い、ユーザ認証が完了した場合に、鍵媒体２００からの正規ＭＡＣアドレスの読み出し、ユーザが入力した復号鍵による正規ＭＡＣアドレスの復号化、ＬＡＮユニット１０１への正規ＭＡＣアドレスの書き込みを制御する。
【００４６】
ＭＡＣ復号化部１０６は、ユーザ認証部１０５の指示に従って、鍵媒体２００から正規ＭＡＣアドレスを読み出し、復号化を行う。
【００４７】
鍵媒体インタフェース部１０７は、鍵媒体２００のＭＡＣ情報記憶部２１１に保存されている情報の読み出し、書き込みを行うための機能を提供する。
【００４８】
端末番号記憶部１１１は、ユーザ端末１００を一意に識別する端末番号を記憶、管理する。端末番号はユーザ端末１００の出荷時点で端末番号記憶部１１１に保存されるものとする。
【００４９】
ユーザ認証情報記憶部１１２は、ユーザ端末１００を使用するユーザのユーザＩＤ、パスワード等の認証情報を記憶、管理する。認証情報は、ユーザ端末１００の新規使用開始時に、システム管理者により入力され、ユーザ認証情報記憶部１１２に保存される。
【００５０】
認証完了フラグ記憶部１１３は、ユーザが使用中のユーザ端末１００が、ユーザ認証処理を完了しているかどうかを示すフラグを記憶、管理する。
【００５１】
無効ＭＡＣ記憶部１１４は、ユーザ認証が完了していないときに、ＬＡＮユニット１０１によるＬＡＮ４００へのアクセスを不可能にするためにＬＡＮユニット１０１に設定する、無効なＭＡＣアドレスを記憶、管理する。本発明では、このように、ＬＡＮ４００へのアクセスを不可能にするために使用される無効なＭＡＣアドレスを無効ＭＡＣアドレスと称する。無効ＭＡＣアドレスは、ＬＡＮ４００に接続するいずれの端末も通信時に使用することが無いアドレスであり、例えば、全てのビットが０（００−００−００−００−００−００）の値を使用する。
【００５２】
鍵媒体２００は、正規ＭＡＣアドレスを暗号化して保存するものであり、ＩＣカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）接続のメモリ媒体、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｋ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）など、可搬性に優れた一般的な二次記憶媒体である。鍵媒体２００のＭＡＣ情報記憶部２１１は、図６に示すように、ユーザ端末１００の端末番号、暗号化した正規ＭＡＣアドレス、及び端末番号と正規ＭＡＣアドレスの改竄を検出するための電子署名を記憶、管理する。鍵媒体２００は、システム管理者による初期設定処理を行う場合、及びユーザがユーザ端末１００を使用する場合には、ユーザ端末１００に接続されている必要がある。
【００５３】
アクセス制御装置３００は、ＭＡＣアドレスにより、ユーザ端末１００からＬＡＮ４００への接続を制御するものであり、アクセス制御部３０１、ＭＡＣアドレス登録部３０２、及びＭＡＣアドレスリスト記憶部３１１から構成される。
【００５４】
アクセス制御部３０１は、ＭＡＣアドレスリスト記憶部３１１に登録されたＭＡＣアドレスを持つユーザ端末１００に対してのみ、ＬＡＮ４００との通信を許可する。
【００５５】
ＭＡＣアドレス登録部３０２は、ＬＡＮ４００との通信を許可するユーザ端末１００の正規ＭＡＣアドレスを、ユーザに入力させ、ＭＡＣアドレスリスト記憶部３１１に登録する。
【００５６】
ＭＡＣアドレスリスト記憶部３１１は、ＭＡＣアドレス登録部３０２により登録された正規ＭＡＣアドレスのリストを記憶、管理する。
【００５７】
次に、本発明の第一の実施の形態の動作について図面を参照して説明する。
【００５８】
［初期設定処理］
図２に初期設定処理の動作フローを示す。初期設定処理は、ユーザ端末１００のＬＡＮユニット１０１のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、ＬＡＮユニット１０１の正規ＭＡＣアドレスを鍵媒体２００に書き込み、更に、正規ＭＡＣアドレスをアクセス制御装置３００に登録する処理であり、ユーザ端末１００を新規に使用開始する場合にシステム管理者により起動される。
【００５９】
初めに、鍵媒体２００はユーザ端末１００に接続されているものとする。ユーザ端末１００の初期設定部１０３は、システム管理者から、ユーザ端末１００を使用するユーザのユーザＩＤ、パスワード、及び正規ＭＡＣアドレスを暗号化するための暗号鍵の入力を受け付ける（ステップＢ１０１）。初期設定部１０３は、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１から正規ＭＡＣアドレスを読み出す（ステップＢ１０２）。初期設定部１０３は、無効ＭＡＣアドレスを生成し、無効ＭＡＣ記憶部１１４に保存し（ステップＢ１０３）、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１へ書き込む（ステップＢ１０４）。ＭＡＣ暗号化部１０４は、初期設定部１０３からの指示に従い、ＬＡＮユニット１０１から読み出した正規ＭＡＣアドレスをシステム管理者により入力された暗号鍵を用いて暗号化する（ステップＢ１０５）。ＭＡＣ暗号化部１０４は、端末番号記憶部１１１に保存されているユーザ端末１００の端末番号を読み出し、端末番号と暗号化された正規ＭＡＣアドレスに対して、改竄検出用の電子署名を生成する（ステップＢ１０６）。ＭＡＣ暗号化部１０４は、端末番号、暗号化された正規ＭＡＣアドレス、及び電子署名を鍵媒体インタフェース部１０７を介して鍵媒体２００のＭＡＣ情報記憶部２１１に保存する（ステップＢ１０７、Ａ１０１）。初期設定部１０３は、システム管理者より入力されたユーザＩＤとパスワードをユーザ認証情報記憶部１１２に保存し（ステップＢ１０８）、認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する（ステップＢ１０９）。初期設定部１０３は、初期設定完了メッセージと共に、正規ＭＡＣアドレスをシステム管理者に対して出力する（ステップＢ１１０）。
【００６０】
アクセス制御装置３００のＭＡＣアドレス登録部３０２は、システム管理者から、ユーザ端末１００の正規ＭＡＣアドレスの入力を受け付け、ＭＡＣアドレスリスト記憶部３１１に保存する（ステップＣ１０１）。
【００６１】
なお、ＭＡＣアドレスを暗号化するための暗号鍵と復号化するための復号鍵はシステム管理者により管理される。また、ユーザＩＤ、パスワード、復号鍵、及び鍵媒体２００は、上記初期設定処理が完了した際に、システム管理者から当該ユーザ端末１００のユーザに配布される。
【００６２】
［ユーザ認証処理］
図３にユーザ認証処理の動作フローを示す。ユーザ認証処理は、ユーザ認証を行い、鍵媒体２００に格納された正規ＭＡＣアドレスをＬＡＮユニット１０１に書き込む処理であり、ユーザがユーザ端末１００を使用開始する場合に、ユーザにより起動される。
【００６３】
ユーザ認証処理の起動時は、初期設定処理（図２）は完了し、ユーザはユーザＩＤ、パスワード、復号鍵、及び鍵媒体２００をシステム管理者より入手し、当該鍵媒体２００はユーザ端末１００に接続されているものとする。ユーザ端末１００のユーザ認証部１０５は、ユーザから、ユーザ端末１００を使用するユーザのユーザＩＤ、及びパスワードの入力を受け付け（ステップＢ２０１）、ユーザ認証処理を実施する（ステップＢ２０２）。ユーザ認証に成功すると、ユーザ認証部１０５は、正規ＭＡＣアドレスを復号化するための復号鍵の入力を受け付ける（ステップＢ２０３）。ＭＡＣ復号化部１０６は、ユーザ認証部１０５からの指示に従い、鍵媒体インタフェース部１０７を介して鍵媒体２００のＭＡＣ情報記憶部２１１より、端末番号、暗号化された正規ＭＡＣアドレス、及び電子署名を読み出す（ステップＡ２０１、Ｂ２０４）。ＭＡＣ復号化部１０６は、鍵媒体２００より読み出した電子署名を使って鍵媒体２００より読み出した端末番号、暗号化された正規ＭＡＣアドレスが改竄されていないかを確認し（ステップＢ２０５）、鍵媒体２００より読み出した端末番号が、端末番号記憶部１１１に保存されている端末番号と一致するかを確認する（ステップＢ２０６）。ＭＡＣ復号化部１０６は、暗号化された正規ＭＡＣアドレスをユーザより入力された復号鍵を用いて復号化する（ステップＢ２０７）。ユーザ認証部１０５は、復号化した正規ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１へ書き込み（ステップＢ２０８）、認証完了フラグ記憶部１１３の認証完了フラグをＯＮに設定する（ステップＢ２０９）。ユーザ認証部１０５は、認証完了メッセージをユーザに出力する（ステップＢ２１０）。
【００６４】
次に、ユーザ端末１００は、正規ＭＡＣアドレスを使って、アクセス制御装置３００を経由してＬＡＮ４００との通信を開始する。ユーザ端末１００の正規ＭＡＣアドレスは、前述の初期設定処理（ステップＣ１０１）において、ＭＡＣアドレスリスト記憶部３１１に保存されているため、アクセス制御装置３００のアクセス制御部３０１は、ユーザ端末１００とＬＡＮ４００との間の通信を許可する（ステップＣ２０１）。
【００６５】
［監視処理］
図４に監視処理の動作フローを示す。監視処理は、ユーザ認証処理が完了していない状態で、ＬＡＮユニット１０１に無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていないかを監視し、無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていることを検出した場合に、無効ＭＡＣアドレスを書き込むものであり、ユーザ端末１００により定期的に起動される。
【００６６】
監視処理の起動時は、初期設定処理（図２）は完了しているものとする。ユーザ端末１００のＭＡＣ監視部１０８は、定期的に認証完了フラグ記憶部１１３に保存されている認証完了フラグを読み出し、認証完了フラグがＯＦＦの場合、ＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１のＭＡＣアドレスを読み出す（ステップＢ３０１、Ｂ３０２）。ＭＡＣ監視部１０８は、ＬＡＮユニット１０１から読み出したＭＡＣアドレスが無効ＭＡＣ記憶部１１４に保存されている無効ＭＡＣアドレスと等しいか確認する（ステップＢ３０３）。ＭＡＣ監視部１０８は、ＬＡＮユニット１０１から読み出したＭＡＣアドレスが無効ＭＡＣアドレスで無い場合、無効ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１に書き込む（ステップＢ３０４）。
【００６７】
［終了処理］
図５に終了処理の動作フローを示す。終了処理は、ユーザによるユーザ端末１００の使用が終了した場合に、ＬＡＮユニット１０１に無効ＭＡＣアドレスを書き込む処理である。
【００６８】
初めに、終了処理部１０９は、ＯＳからのイベントを検出する（ステップＢ４０１）。終了処理部１０９は、イベントがユーザのログアウトや、省電力モードへ移行するための無操作検出タイマのタイムアウトであった場合、無効ＭＡＣ記憶部１１４に保存されている無効ＭＡＣアドレスをＭＡＣアドレス制御部１０２を介してＬＡＮユニット１０１に書き込む（ステップＢ４０２、Ｂ４０３）。終了処理部１０９は、認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する（ステップＢ４０４）。
【００６９】
以上により、本発明の第一の実施の形態の動作が完了する。
【００７０】
本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、端末を不正に入手したユーザが当該端末を用いて不正に社内ＬＡＮに接続することを防止できる。その理由は、端末の初期設定時に、当該端末のＭＡＣアドレスを無効ＭＡＣアドレスに書換え、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化して当該端末に設定するようにしたため、端末を不正に入手したユーザが社内ＬＡＮに接続を試みても、無効ＭＡＣアドレスが使用され、アクセス制御装置におけるアクセス制限機能により、当該端末を使用した通信ができないためである。
【００７１】
また、本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、アクセス制御装置に登録されている当該端末の正規ＭＡＣアドレスを入手し、当該端末あるいは他の端末に設定することにより、不正に社内ＬＡＮに接続することを防止できる。その理由は、前述のように、当該端末の正規ＭＡＣアドレスを暗号化して端末外部の鍵媒体に保存するようにし、正規ユーザによる認証が完了した場合に限り、鍵媒体に保存されていた正規ＭＡＣアドレスを復号化するようにしたため、鍵媒体を持たないユーザは正規ＭＡＣアドレスを知ることができないためである。
【００７２】
更に、本発明の第一の実施の形態によれば、端末のＭＡＣアドレスを用いて不正接続を防止する不正接続防止システムにおいて、アクセス制御装置に登録されている他の端末の正規ＭＡＣアドレスを入手し、当該端末に設定することにより、不正に社内ＬＡＮに接続することを防止できる。その理由は、認証処理が完了していないにもかかわらず、無効ＭＡＣアドレス以外のＭＡＣアドレスが設定されていた場合、無効ＭＡＣアドレスを設定するようにしたためである。
【００７３】
（発明の第二の実施の形態）
図７に本発明の第二の実施の形態における不正接続防止システム全体の構成を示す。
【００７４】
本発明の第二の実施の形態においては、ユーザ認証をユーザ認証媒体２５０を用いて行う点、及び、暗号化された正規ＭＡＣアドレスを復号化するための復号鍵をユーザ認証媒体２５０に保存する点において第１の実施の形態と異なる。図７において、本発明の第一の実施の形態と同一の構成要素については、本発明の第一の実施の形態と同一の符号を有するものとする。
【００７５】
図７を参照すると、本発明の第一の実施の形態は、ユーザ端末１００、鍵媒体２００、アクセス制御装置３００、及びユーザ認証媒体２５０により構成される。
【００７６】
図７において、ユーザ端末１００は、ＬＡＮユニット１０１、ＭＡＣアドレス制御部１０２、初期設定部１０３、ＭＡＣ暗号化部１０４、ユーザ認証部１０５、ＭＡＣ復号化部１０６、鍵媒体インタフェース部１０７、ＭＡＣ監視部１０８、終了処理部１０９、端末番号記憶部１１１、認証完了フラグ記憶部１１３、無効ＭＡＣ記憶部１１４、及びユーザ認証媒体インタフェース部１１０により構成される。
【００７７】
ユーザ認証媒体インタフェース部１１０は、ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１に保存されている情報の読み出し、書き込みを行うための機能を提供するものである。
【００７８】
ユーザ認証媒体２５０は、ユーザを認証するための情報、及び暗号化された正規ＭＡＣアドレスを復号化するための復号鍵を保存するものである。ユーザ認証媒体２５０は、ＩＣカードやスマートカードなど、ＣＰＵとメモリを搭載した、可搬性に優れた認証用の媒体であり、鍵媒体２００とは物理的に異なる媒体（メディア）を使用する。ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１は、ＰＩＮコード、ユーザＩＤやユーザ名などのユーザ情報、個人認証を行うための電子証明書、及び暗号化した正規ＭＡＣアドレスを復号化するための復号鍵を記憶管理する。ここで、ＰＩＮコード、ユーザ情報、電子証明書は、ユーザ認証媒体２５０が発行される際に既に保存されているものとする。また、ＰＩＮコードはユーザ認証媒体２５０が発行された際にユーザに通知されており、ＰＩＮコードによる認証がされない場合、ユーザ端末１００から、ユーザ情報・復号鍵記憶部２５１の内容の読み込みはできないものとする。ユーザ認証媒体２５０は、システム管理者による初期設定処理を行う場合、及びユーザがユーザ端末１００を使用する場合には、ユーザ端末１００に接続されている必要がある。
【００７９】
次に、本発明の第二の実施の形態の動作について図面を参照して説明する。
【００８０】
［初期設定処理］
図８に初期設定処理の動作フローを示す。
【００８１】
第二の実施の形態における初期設定処理においては、鍵媒体２００に加え、ユーザ認証媒体２５０もユーザ端末１００に接続されているものとする。また、ユーザ認証媒体２５０は、システム管理者による初期設定処理中は、復号鍵の書き込みが可能な状態に設定されているものとする。ユーザ端末１００の初期設定部１０３は、システム管理者から、正規ＭＡＣアドレスを暗号化するための暗号鍵、及び暗号化された正規ＭＡＣアドレスを復号化するための復号鍵の入力を受け付ける（ステップＢ５０１）。ＬＡＮユニット１０１の正規ＭＡＣアドレスの読み出し、無効ＭＡＣアドレスの書き込み、正規ＭＡＣアドレスの暗号化、鍵媒体２００への書き込みまでの処理（ステップＢ５０２〜Ｂ５０７）は、第一の実施の形態（ステップＢ１０２〜Ｂ１０７）と同様となる。次に、初期設定部１０３は、ユーザ認証媒体インタフェース部１１０を介して、システム管理者より入力された復号鍵をユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１に保存する（ステップＢ５０８、Ｄ５０１）。認証完了フラグ記憶部１１３の認証完了フラグをＯＦＦに設定する以降の処理（ステップＢ５０９〜Ｂ５１０）は、第一の実施の形態（ステップＢ１０９〜Ｂ１１０）と同様となる。
【００８２】
なお、第二の実施の形態においては、鍵媒体２００、及びユーザ認証媒体２５０が、上記初期設定処理が完了した際に、システム管理者から当該ユーザ端末１００のユーザに配布される。
【００８３】
［ユーザ認証処理］
図９にユーザ認証処理の動作フローを示す。
【００８４】
第二の実施の形態におけるユーザ認証処理起動時は、ユーザ端末１００における初期設定処理（図８）は完了し、ユーザは、鍵媒体２００、及びユーザ認証媒体２５０をシステム管理者より入手し、当該鍵媒体２００、及び当該ユーザ認証媒体２５０はユーザ端末１００に接続されているものとする。
【００８５】
ユーザ端末１００のユーザ認証部１０５は、ユーザから、ユーザ認証媒体２５０を使用するためのＰＩＮコードを受け付け（ステップＢ６０１）、ユーザ認証媒体インタフェース部１１０を介して、ユーザ認証媒体２５０との間でＰＩＮコードを用いたユーザ認証処理を実施する（ステップＢ６０２、Ｄ６０１）。ユーザ認証に成功すると、ユーザ認証部１０５は、ユーザ認証媒体インタフェース部１１０を介して、ユーザ認証媒体２５０のユーザ情報・復号鍵記憶部２５１から正規ＭＡＣアドレスを復号化するための復号鍵を読み出す（ステップＤ６０２、Ｂ６０３）。以降、正規ＭＡＣアドレスの鍵媒体２００からの読み出し、復号化、ＬＡＮユニット１０１への書き込み等の処理（ステップＢ６０４〜Ｂ６１０）は、第一の実施の形態（ステップＢ２０４〜Ｂ２１０）と同様となる。
【００８６】
第二の実施の形態における監視処理、及び終了処理については、第一の実施の形態（図４、図５）と同様となる。
【００８７】
以上により、本発明の第二の実施の形態の動作が完了する。
【００８８】
本発明の第二の実施の形態によれば、本発明の第一の実施の形態に比べ、不正接続に対する安全性がより高くなる。その理由は、暗号化されたＭＡＣアドレスを復号するための復号鍵をユーザ認証媒体に保存し、ユーザ認証媒体を用いた認証処理に成功した場合にのみ、ユーザ端末がユーザ認証媒体から復号鍵を読み出せるようにしたためである。
【図面の簡単な説明】
【００８９】
【図１】本発明の第一の実施の形態を示すブロック図である。
【図２】本発明の第一の実施の形態における初期設定処理の動作を示す図である。
【図３】本発明の第一の実施の形態におけるユーザ認証処理の動作を示す図である。
【図４】本発明の第一の実施の形態における監視処理の動作を示す図である。
【図５】本発明の第一の実施の形態における終了処理の動作を示す図である。
【図６】本発明の第一の実施の形態におけるＭＡＣ情報記憶部の内容を示す図である。
【図７】本発明の第二の実施の形態を示すブロック図である。
【図８】本発明の第二の実施の形態における初期設定処理の動作を示す図である。
【図９】本発明の第二の実施の形態におけるユーザ認証処理の動作を示す図である。
【符号の説明】
【００９０】
１００  ユーザ端末
１０１  ＬＡＮユニット
１０２  ＭＡＣアドレス制御部
１０３  初期設定部
１０４  ＭＡＣ暗号化部
１０５  ユーザ認証部
１０６  ＭＡＣ復号化部
１０７  鍵媒体インタフェース部
１０８  ＭＡＣ監視部
１０９  終了処理部
１１０  ユーザ認証媒体インタフェース部
１１１  端末番号記憶部
１１２  ユーザ認証情報記憶部
１１３  認証完了フラグ記憶部
１１４  無効ＭＡＣ記憶部
２００  鍵媒体
２１１  ＭＡＣ情報記憶部
２５０  ユーザ認証媒体
２５１  ユーザ情報・復号鍵記憶部
３００  アクセス制御装置
３０１  アクセス制御部
３０２  ＭＡＣアドレス登録部
３１１  ＭＡＣアドレスリスト記憶部
４００  ＬＡＮ
【図１】
2008028877.tif 000003
【図２】
2008028877.tif 000004
【図３】
2008028877.tif 000005
【図４】
2008028877.tif 000006
【図５】
2008028877.tif 000007
【図６】
2008028877.tif 000008
【図７】
2008028877.tif 000009
【図８】
2008028877.tif 000010
【図９】
2008028877.tif 000011