(57)【要約】   【課題】  認証を行うための認証子の紛失や盗難の際に、エージェントの認証動作の安全性を向上させる。  【解決手段】  プログラム及びデータで構成され、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置１２と、データ通信網で接続されたオアシスノード１４は、情報処理装置から送付される、認証を特定するための固有情報を受信する通信Ｉ／Ｆ部４８と、認証子を生成し、これを格納した認証子エージェントを生成する認証子発行部４０と、固有情報を格納したシャドーエージェントを生成するシャドーエージェント生成・配布部４２とを備える。オアシスノード１４は、情報処理装置１２に移動した認証子エージェントの認証要求時、固有情報を追加情報として格納した認証子エージェントを受信し、認証子エージェント内の固有情報とシャドーエージェント内の固有情報との比較結果に基づいて、認証処理の続行の可否を判断する。【選択図】  図１
2005251081.tif 000002
【特許請求の範囲】
【請求項１】
プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で接続された管理装置であって、
前記管理装置は、前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、
認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、
前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、
前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、
前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段と、を有することを特徴とする管理装置。
【請求項２】
前記第２のエージェントは上記固有情報及び／または第１のエージェントに関連する情報を格納し、
前記認証処理続行判断手段は、上記固有情報及び／または前記第１のエージェントに関連する情報に基づいて第１のエージェントの認証処理の続行の可否を判断することを特徴とする請求項１に記載の管理装置。
【請求項３】
プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、エージェント生成装置及び認証装置とを有する通信管理システムであって、
前記エージェント生成装置は、
前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、
認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、
前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、
前記第２のエージェントを認証装置に配布するエージェント配布手段と、を有し、
前記認証装置は、
前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、
前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段と、を有することを特徴とする通信管理システム。
【請求項４】
プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な第１の情報処理装置と、データ通信網で前記情報処理装置と接続されたエージェント生成装置及び前記第１の情報処理装置以外の１又は複数の情報処理装置とを有する通信管理システムであって、
前記エージェント生成装置は、
前記第１の情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、
認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、
前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、
前記第２のエージェントを前記第１の情報処理装置以外の１又は複数の情報処理装置に配布するエージェント配布手段と、を有し、
前記１又は複数の情報処理装置のいずれか１つは、
前記第１の情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、
前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較に基づいて、第１のエージェントの認証処理の続行可否を判断する認証処理続行判断手段と、を有することを特徴とする通信管理システム。
【請求項５】
プログラム及びデータで構成され、データ通信網を利用して移動可能なエージェントを用いて、当該データ通信網を介して接続された、当該エージェントを保持可能な情報処理装置との間のデータ通信を管理するデータ通信管理方法であって、
前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信ステップと、
認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成ステップと、
前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成ステップと、
前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信ステップと、
前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断ステップと、を備えたことを特徴とするデータ通信管理方法。
【請求項６】
さらに、前記第２のエージェントに、上記固有情報及び／または第１のエージェントに関連する情報を格納するステップを備え、
前記認証処理続行判断手段ステップにおいて、上記固有情報及び／または前記第１のエージェントに関連する情報に基づいて第１のエージェントの認証処理の続行の可否を判断することを特徴とする請求項５に記載のデータ通信管理方法。
【請求項７】
プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、エージェント生成装置及び認証装置とを有する通信管理システムにおいて、
前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、
認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、
前記固有情報を格納し、情報処理装置に移動した第１のエージェントの認証要求時に、当該固有情報を利用して第１のエージェントの認証処理の続行の可否を判断するための第２のエージェントを生成する第２のエージェント生成手段と、
前記第２のエージェントを認証装置に配布するエージェント配布手段と、を備えたことを特徴とするエージェント生成装置。
【請求項８】
プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、認証子を格納した第１のエージェントおよび認証を特定するための固有情報を格納した第２のエージェントを生成するエージェント生成装置、並びに、認証装置とを有する通信管理システムにおいて、
情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、
前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段と、を備えたことを特徴とする認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置間を移動し、また、情報処理装置内部で動作するエージェントの認証方法に関する。
【背景技術】
【０００２】
データ通信網で相互に接続された情報処理装置間を移動可能であり、かつ、何れかの情報処理装置内で動作し所定の処理を実行するプログラムおよび関連するデータで構成されるエージェントを用いる技術が導入されている。エージェントを用いることにより、たとえば、電子会議を開催するときに、端末においてユーザの発言内容をエージェントに格納し、次いで、当該エージェントが管理装置に移動して、ユーザの発言内容を出力することができる。また、予約センターの管理装置にエージェントが移動して、チケット（たとえば、航空チケット）を予約した後、予約情報を含むエージェントが、ユーザの端末に戻り、さらに、チケットを使用する際に、ユーザの端末から空港などの管理装置にエージェントが移動することで、当該ユーザの予約を確認するなどの用途を考えることができる。このようにエージェントを利用する場合に、当該エージェントを認証する必要がある。
【特許文献１】特開２００３−１７３３２４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来、エージェントの認証は、以下のような手法がとられていた。
【０００４】
２つの情報処理装置間で、共有の秘密鍵を予め保持しておき、共有秘密鍵による相互認証方式（MAC認証方式）や公開鍵方式による相互認証を行う。この手法においては、各情報処理装置が保持する秘密情報（共有秘密鍵や、公開鍵方式でのプライベート鍵）が外部に漏れないことが前提となる。
【０００５】
上記チケットの予約に応用する場合に、チケット予約を管理する管理装置（サーバ）が発行するチケット（認証子）を他人に盗まれると不正使用に対応することができない。また、認証子をサーバに紹介する際に、秘密鍵を利用した本人を認証する場合であっても、鍵が漏洩した場合や、鍵およびチケットを格納した端末自体が盗まれた場合には、不正使用を防止することができない。
【０００６】
たとえば、特許文献１には、エージェントのコード部を用いて、エージェントの改ざんの有無を検証して、当該エージェントを認証する方法が開示されている。この方法では、情報処理装置が、秘密情報を持つ必要はない。しかしながら、特許文献１に開示された技術を利用しても、認証子の盗難や、認証子を格納した端末自体の盗難に対応することは困難であった。
【０００７】
本発明は、認証を行うための認証子の紛失や盗難の際に、エージェントの認証動作の安全性を向上させる通信管理システムおよびデータ通信管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の目的は、プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で接続された管理装置であって、前記管理装置は、前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段とを有することを特徴とする管理装置により達成される。
【０００９】
たとえば、認証を特定するための固有情報は、認証要求元を特定するための固有情報であっても良い。
【００１０】
好ましい実施態様においては、前記第２のエージェントは上記固有情報及び／または第１のエージェントに関連する情報を格納し、前記認証処理続行判断手段は、上記固有情報及び／または前記第１のエージェントに関連する情報に基づいて第１のエージェントの認証処理の続行の可否を判断する。
【００１１】
別の実施態様において、プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、エージェント生成装置及び認証装置とを有する通信管理システムにおいて、前記エージェント生成装置は、前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、前記第２のエージェントを認証装置に配布するエージェント配布手段とを有し、前記認証装置は、前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段とを有する。
【００１２】
さらに、別の実施態様において、プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な第１の情報処理装置と、データ通信網で前記情報処理装置と接続されたエージェント生成装置及び前記第１の情報処理装置以外の１又は複数の情報処理装置とを有する通信管理システムにおいて、前記エージェント生成装置は、前記第１の情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成手段と、前記第２のエージェントを前記第１の情報処理装置以外の１又は複数の情報処理装置に配布するエージェント配布手段とを有し、前記１又は複数の情報処理装置のいずれか１つは、前記第１の情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較に基づいて、第１のエージェントの認証処理の続行可否を判断する認証処理続行判断手段とを有する。
【００１３】
また、本発明の目的は、プログラム及びデータで構成され、データ通信網を利用して移動可能なエージェントを用いて、当該データ通信網を介して接続された、当該エージェントを保持可能な情報処理装置との間のデータ通信を管理するデータ通信管理方法であって、前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信ステップと、認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成ステップと、前記固有情報を格納した第２のエージェントを生成する第２のエージェント生成ステップと、前記情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信ステップと、前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断ステップとを備えたことを特徴とするデータ通信管理方法によっても達成される。
【００１４】
好ましい実施態様においては、さらに、前記第２のエージェントに、上記固有情報及び／または第１のエージェントに関連する情報を格納するステップを備え、前記認証処理続行判断手段ステップにおいて、上記固有情報及び／または前記第１のエージェントに関連する情報に基づいて第１のエージェントの認証処理の続行の可否を判断する。
【００１５】
別の実施態様においては、プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、エージェント生成装置及び認証装置とを有する通信管理システムにおいて、エージェント生成装置は、前記情報処理装置から送付される、認証を特定するための固有情報を受信するデータ受信手段と、認証子を生成し当該認証子を格納した第１のエージェントを生成する第１のエージェント生成手段と、前記固有情報を格納し、情報処理装置に移動した第１のエージェントの認証要求時に、当該固有情報を利用して第１のエージェントの認証処理の続行の可否を判断するための第２のエージェントを生成する第２のエージェント生成手段と、前記第２のエージェントを認証装置に配布するエージェント配布手段とを備える。
【００１６】
さらに別の実施態様において、プログラム及びデータで構成されるエージェントであって、データ通信網を利用して移動可能なエージェントを保持可能な情報処理装置と、データ通信網で前記情報処理装置と接続された、認証子を格納した第１のエージェントおよび認証を特定するための固有情報を格納した第２のエージェントを生成するエージェント生成装置、並びに、認証装置とを有する通信管理システムにおいて、認証装置は、情報処理装置に移動した第１のエージェントの認証要求時、前記固有情報を追加情報として格納した第１のエージェントを受信する第１のエージェント受信手段と、前記第１のエージェント内の固有情報と前記第２のエージェント内の固有情報との比較結果に基づいて、第１のエージェントの認証処理の続行の可否を判断する認証処理続行判断手段とを備えている。
【発明の効果】
【００１７】
本発明によれば、認証を行うための認証子の紛失や盗難の際に、エージェントの認証動作の安全性を向上させる通信管理システムおよびデータ通信管理方法を提供することが可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、添付図面を参照して、本発明の実施の形態について説明する。図１は、本発明の実施の形態にかかる情報処理装置および管理装置を含むシステム全体の構成を示すブロックダイヤグラムである。図１に示すように、このシステムにおいては、データ通信網に、情報処理装置１２−１、１２−２、・・・が接続され、相互間のデータ通信や、同様にデータ通信網に接続された管理装置１４との間のデータ通信ができるようになっている。
【００１９】
本実施の形態において、情報処理装置１２は、移動可能な端末（モバイルノード）であっても良いし、据え付けられたコンピュータであっても良い。また、管理装置１４には、後述する認証子エージェントやシャドーエージェントを格納し、これをセキュアに保管することができる記憶装置１６を備える。この管理装置を、以下「オアシスノード」と称する。
【００２０】
情報処理装置１２および管理装置１４は、プログラムおよび関連するデータで構成されるエージェントを格納することができるようになっている。エージェントは、情報処理装置１２や管理装置１４の指示にしたがって、或いは、自律的に、データ通信網を介して、他の装置に移動可能であり、また、移動先の装置（情報処理装置或いは管理装置）において、必要な場合にはプログラムを起動して処理を実行することが可能である。
【００２１】
本実施の形態において、エージェントは、基本的に情報処理装置１２に保持され、必要な場合に管理装置１４に移動して、認証のための認証子を格納する認証子エージェント１０１、および、認証子を認証子エージェントに格納する際に、管理装置により生成され、前記認証子エージェントを用いた認証の際に、協働するようなシャドーエージェント１０２とが含まれる。
【００２２】
図２（ａ）は本実施の形態にかかる認証子エージェントの構成を示すブロックダイヤグラム。図２（ｂ）は、シャドーエージェントの構成を示すブロックダイヤグラムである。図２（ａ）に示すように、認証子エージェント１０１は、後述するようにシャドーエージェント１０２からの問合せに応答して、格納された情報を回答する確認情報回答部２２と、ユーザ入力にかかるワンタイムパスワードを格納するワンタイムパスワード格納部２４とを有している。図２（ｂ）に示すように、シャドーエージェント１０２は、管理装置からの問合せに応答して、認証子エージェントによる認証の動作続行の可否を判断する認証動作続行可否判断部３２と、上記判断に必要な情報を格納する認証子エージェント確認情報受付・格納部３４とを備えている。
【００２３】
図２（ｃ）は、本実施の形態にかかるオアシスノード１４の構成を示すブロックダイヤグラムである。オアシスノード１４は、認証子を発行する認証子発行部４０と、シャドーエージェントを生成して、必要な他の情報処理装置に配布するシャドーエージェント生成・配布部４２と、シャドーエージェントに対して認証動作の可否を問い合わせる認証の動作続行の可否を問い合わせる認証動作続行可否問合せ部４４と、シャドーエージェントを起動するシャドーエージェント起動部４６と、エージェントを移動させ、また、データ通信網とのインタフェースとして機能するエージェント移動・通信Ｉ／Ｆ部４８とを有している。
【００２４】
まず、図１を参照して、本実施の形態にかかる情報処理装置、オアシスノード、認証子エージェントおよびシャドーエージェントの動作について概説する。ある情報処理装置１２−１において、エージェントがオアシスノード１４に移動して（符号１０３参照）、オアシスノード１４においてその内部に認証子を格納することにより、当該エージェントは、認証子エージェント１０１となることができる。認証子エージェント１０１は、情報処理装置１２−１に戻り（符合１０４参照）、情報処理装置１２−１において必要に応じて処理を実行する。
【００２５】
シャドーエージェント１０２は、認証子エージェントの生成（つまり、エージェントへの認証子の格納）に応じて、オアシスノード１４において生成される。生成されたシャドーエージェント１０２は、他の情報処理装置１２−２に送られ（符号１０５参照）、当該情報処理装置１２−２中で保管される。必要に応じて、シャドーエージェント１０２は、オアシスノード１４に移動することもできる（符号１０６参照）。なお、シャドーエージェント１０２は、他の情報処理装置に移動することに限定されず、オアシスノード１４内で保管されて、他の情報処理装置に移動しなくても良い。
【００２６】
以下、図３および図４を参照して、本実施の形態にかかる各種構成部材にて実行される処理について詳細に説明する。まず、ユーザは情報処理装置１２−１の入力装置を操作して、ユーザＩＤおよびパスワードを入力する。入力されたユーザＩＤおよびパスワードにより、情報処理装置１２−１は、オアシスノード１４にログインする（ステップ３０１）。次いで、ユーザが入力したワンタイムパスワード「Ｘ」が、オアシスノード１４に送信される（ステップ３０２）。たとえば、ワンタイムパスワード「Ｘ」は、オアシスノード１４の公開鍵で暗号化されて送付されても良い。或いは、ダミーエージェント方式でワンタイムパスワード「Ｘ」が送信されても良い。ダミーエージェント方式を用いたワンタイムパスワード「Ｘ」の送信とは、他のエージェントＡ１１〜Ａ１３を利用し、
Ｙ＝｛Ｘ｝XOR｛ｈ（Ａ１１）XOR｛ｈ（Ａ１２）｝XOR｛ｈ（Ａ１３）｝
を、いずれかのエージェント（たとえば、Ａ１１）に格納し、送信することをいう。
【００２７】
ここで、ＸＯＲは、ビット単位での排他的論理和演算を表わし、ｈ（Ａ１１）、ｈ（Ａ１２）およびｈ（Ａ１３）は、それぞれ、エージェントＡ１１、Ａ１２およびＡ１３のハッシュ値を示す。
【００２８】
次いで、情報処理装置１２−１中のエージェントがオアシスノード１４に移動する（ステップ３０３）。オアシスノード１４の認証子発行部４０は、認証子を発行し、移動してきたエージェントに格納する（ステップ３０４）。これにより、エージェントは認証子を有する認証子エージェントとなる。
【００２９】
以下、  認証子“Cond_A”の算出例について説明する。エージェントに、算出された“Cond_A”を格納することにより、当該エージェントが認証子エージェントとなる。
【００３０】
まず、オアシスノード１４は、２個の乱数（rO, rA）を生成し、ハッシュ値Ｈｉ（ｉ＝１，２）を生成する。
【００３１】
ｈ０１１＝ｈ（codeO || rO’）
ｈ０１２＝ｈ（idO）
Ｈ０＝ｈ（ｈ０１１ || ｈ０１２）
ｈ１１＝ｈ（codeA || rA’）
ｈ１２＝ｈ（idA）
Ｈ１＝ｈ（ｈ１１ || ｈ１２）
ここに、code0、codeAは、それぞれ、オアシスノード、エージェントのコード部、idO、idAは、それぞれ、オアシスノード、エージェントの予め定められた識別子である。
【００３２】
また、rO’およびrA’は以下のように取得している。
【００３３】
rO’＝｛rO XOR X｝
rA’＝｛rA XOR X｝
上記ハッシュ値Ｈ０およびＨ１を利用して、エージェントに格納する認証子“Cond_A”を以下のように算出する。
【００３４】
Cond_A=fn（Ｈ０１ || Ｈ１）
認証子エージェントは、エージェント移動・通信Ｉ／Ｆ部４８を介して、情報処理装置１２−１に移動する（ステップ３０５）。なお、図３の例では、認証子エージェントは、もとの情報処理装置１２−１に戻っているがこれに限定されるものではなく、後述するシャドーエージェントが移動する当該情報処理装置以外の情報処理装置に移動可能である。
【００３５】
また、上記例では、情報処理装置１２−１において、認証が必要なエージェントが存在していたため、そのエージェントがオアシスノード１４に移動して、認証子エージェントとして情報処理装置１２−１に戻ってきているが、これに限定されるものではない。情報処理装置１２−１がエージェントを保持していない場合、オアシスノード１４が、情報処理装置１２−１からの要求に応答して、認証子を格納した認証子エージェントを生成し、これを、情報処理装置１２−１に送っても良い。
【００３６】
オアシスノード１４において認証子エージェントが生成されると、これに対応する1以上のシャドーエージェントが生成される（ステップ３０６）。シャドーエージェントには、情報処理装置１２−１から送信されたワンタイムパスワード「Ｘ」が格納される。生成されたシャドーエージェントは、エージェント移動・通信Ｉ／Ｆ部４８を介して、所定の他の情報処理装置１２−２に移動する（ステップ３０７ａ）。２以上のシャドーエージェントが生成される場合には、２以上の情報処理装置に、それぞれのシャドーエージェントが移動する。
【００３７】
或いは、シャドーエージェントは、移動せずにオアシスノード１４のシャドーエージェント格納部５２に格納されても良い（ステップ３０７（ｂ））。２以上のシャドーエージェントが生成された場合に、あるシャドーエージェントがシャドーエージェント格納部５２に格納され、残りのシャドーエージェントが、それぞれ、情報処理装置に移動しても良い。
【００３８】
なお、ステップ３０６において、認証子に有効期間が含まれる場合には、オアシスノード１４は、シャドーエージェントの認証子エージェント確認情報受付・格納部３４に対して、有効期間の格納を求める。これにより、シャドーエージェントにおいて、認証子エージェント確認情報の一部として、認証子の有効期間が保管される。
【００３９】
オアシスノード１４は、たとえば、ユーザから、当該ユーザの情報処理装置１２−１の盗難届けを受信すると、盗難された情報処理装置１２−１中に保持された認証子エージェントに対応するシャドーエージェントを特定し、当該シャドーエージェントを保持している他の情報処理装置１２−２のシャドーエージェントに対して、盗難届を受信したことを通知する。他の情報処理装置１２−２に保持されたシャドーエージェントの認証子エージェント確認情報受付・格納部３４は、盗難届があったことを、認証子エージェント確認情報として記憶しておく。なお、盗難届は一例であり、ユーザが端末や認証子エージェントを紛失したときにオアシスノードに届け出る紛失届を受理した場合にも、オアシスノードおよび他の情報処理装置は同様の処理を実行する。
【００４０】
認証子エージェントを用いた認証が必要なときには、図４に示すように、認証子エージェントは、ユーザが入力したワンタイムパスワード「Ｘ」を、ワンタイムパスワード格納部２４に格納して（ステップ４０１）、情報処理装置１２−１からオアシスノードに移動する（ステップ４０２）。認証子エージェントは、ワンタイムパスワード「Ｘ」を、ダミーエージェント方式で、或いは、オアシスノードの公開鍵で暗号化して格納すればよい。
【００４１】
オアシスノード１４は、移動した認証子エージェントに対応するシャドーエージェントおよびその移動先を特定する（ステップ４０３）。次いで、シャドーエージェントを保持した他の情報処理装置１２−２に対して、認証動作続行可否を問い合わせる（ステップ４０４）。他の情報処理装置１２−２において、シャドーエージェントの認証子エージェント確認情報受付・格納部３４は、オアシスノード１４の認証子エージェントに対して、ワンタイムパスワード「Ｘ」を問い合わせる（ステップ４０５）。オアシスノード１４において、認証子エージェントは、自己の内部に格納されたワンタイムパスワード「Ｘ」を、他の情報処理装置１２−２に送信する（ステップ４０６）。これに応答して、他の情報処理装置１２−２において、シャドーエージェントの認証動作続行可否判断部３２は、認証子エージェント確認情報受付・格納部３４が受信したワンタイムパスワード「Ｘ」や、記憶しておいた有効期間、盗難届けの有無などに基づき、オアシスノード１４における認証子エージェントの認証を続行してよいか否かを判断する（ステップ４０７）。
【００４２】
たとえば、ステップ４０６で受信したワンタイムパスワード「Ｘ」と、シャドーエージェントに格納されていたワンタイムパスワードとが一致しない場合、有効期間が経過している場合、或いは、盗難届けが出ている場合には、認証動作の続行が不可能であると判断する。ステップ４０７における判断結果は、オアシスノード１４に送信される（ステップ４０８）。オアシスノード１４は、判断結果が認証動作の続行可能であることを示していれば、認証子エージェントの認証を継続する。その一方、判断結果が認証動作の続行不可能であることを示していれば、認証子エージェントの認証を中止する。
【００４３】
認証は、上述したハッシュ値を利用し、認証子エージェントの保持するハッシュ値と、オアシスノード１４に保持され或いは算出されたハッシュ値とを比較すればよい。
【００４４】
なお、シャドーエージェントがオアシスノード１４に保持される場合には、ステップ４０４〜４０８の動作は、全てオアシスノード１４の内部で行われる。
【００４５】
本発明は、ユーザ端末内部に電子マネー、決済用のクレジットカード、入場チケットなどを保持し、これら情報が、ユーザ端末の盗難や紛失によって悪用される可能性がある場面において有効に作用する。
【００４６】
以下、本発明の実施の形態の利用例について説明する。たとえば、シャドーエージェントが、オアシスノード１４から、ユーザの知人、或いは、電子マネー、クレジットカード、入場チケットなどの販売者の情報処理装置に移動させても良い。
【００４７】
まず、チケットを共同購入する場合を考える。たとえば、ユーザＡ〜Ｃがあるコンサートのチケットを購入する。オアシスノードは、ユーザＡのシャドーエージェントを、ユーザＢ或いはユーザＣの端末に保持される認証子エージェント内部に持たせることができる。
【００４８】
さらに、ワンタイムパスワード「Ｘ」とし端末製造番号など端末固有のデータを利用することも可能である。たとえば、シャドーエージェントが、認証子エージェントに端末固有のデータを問い合わせることで、当該認証子エージェントが不正にコピーされていないことを確認することができる。また、ワンタイムパスワード「Ｘ」として正しい端末所有者しか知りえない情報を問合せることで、端末保持者が正しい所有者であることを確認することが可能となる。
【００４９】
さらに、ワンタイムパスワード「Ｘ」は、認証を求める端末（上記例では、情報処理装置１２−１）と別の端末（上記例では、オアシスノード１４或いは他の情報処理装置１２−２）に保持され、任意のデータであってよい。この場合、認証要求時に、当該別の端末にワンタイムパスワード「Ｘ」を問合せ、取得したワンタイムパスワード「Ｘ」を格納した認証子エージェントがオアシスノードに移動して、本発明にかかる処理を実行することで、エージェントや端末の紛失に対応することができる。なお、ここにいう別の端末は、パーソナルコンピュータやモバイルノードに限定されず、ワンタイムパスワード「Ｘ」を格納できるメモリ機能を有するもの（たとえば携帯型メモリ）であれば良い。
【００５０】
次に、コンテンツの配布、データ保全管理、会議システム、受発注サービスに本発明を適用した例について説明する。
（１）コンテンツ配布システム
コンテンツの予約と配信先への暗号化コンテンツの転送、配信先でのユーザ認証、コンテンツのダウンロードおよび複合化処理を統合したコンテンツ配信システムにおける本発明の適用例を図５に示す。
【００５１】
秘密鍵や公開鍵を持たないユーザの端末は、配信業者のサーバ（オアシスノード）にアクセスしてコンテンツＡを予約し、かつ、認証子エージェント(agent_A)を受信する（ステップ５０１、５０２）。予約においては、ワンタイムパスワード「Ｘ」が端末からサーバに送信されるとともに、ダウンロード場所が指定される。サーバは、予約されたコンテンツＡを、ダウンロード場所の配信サーバに送信するとともに、ワンタイムパスワード「Ｘ」を格納したシャドーエージェントを、ダウンロード場所に対応する配信サーバに送信する（ステップ５０３）。
【００５２】
ユーザが予約場所に到着し、端末を操作して、ワンタイムパスワード「Ｘ」を保持した認証子エージェントagent_Aを配信サーバに送信する（ステップ５０４）。その後、配信サーバおよびオアシスノードにより、認証続行可否の判断および認証が実行される（ステップ５０５）。配信サーバのシャドーエージェントが、認証子エージェントagent_Aに含まれるワンタイムパスワード「Ｘ」と、自己が保持するワンタイムパスワードとを照合する。また、有効期間や盗難届けの有無についても調べ、認証動作を続行してよいか否かをオアシスノードに通知する。次いで、オアシスノードは、配信サーバから転送された認証子エージェント中の認証子を用いて、認証子エージェントを認証すればよい。認証に成功した場合には、配信サーバから端末にコンテンツＡがダウンロードされる（ステップ５０６）。
【００５３】
なお、端末や認証子エージェントの紛失時や盗難時には、ユーザはオアシスノードに対して、紛失届や盗難届を出しておく。オアシスノードが紛失届や盗難届を受理すると、配信サーバのシャドーエージェントにこれを送信しておけばよい。
【００５４】
さらに、本発明は、１人の購入者によるコンテンツ購入やレンタルだけでなく、多数の購入者への同時販売、同時レンタルにも対応することができる。この場合、それぞれの購入者に認証子エージェントを与え、この認証子エージェントを検証すればよい。また、配信サーバは、コンテンツをダウンロードさせる複数の任意の場所（たとえば、駅、空港、ホテル）に配置することができる。上記例において、配信サーバをオアシスノードとして機能させても良い。この場合には、配信サーバが、図５のステップ５０５のように、他のサーバ（図５におけるオアシスノード）と協働せず、単独で、認証続行可否を判断し、かつ、認証を実行することができる。
（２）データの保全管理サービス
オアシスノードは、認証子エージェントの発行および認証子の検証により、データの読み書き（Ｒ／Ｗ）要求を制御する。オアシスノードは、認証子エージェントを発行すると、対応するシャドーエージェントを生成する。ユーザが、改変したデータを、オアシスノードのデータベースに書き込む際に、ユーザが改変したデータを含むような認証子エージェントについて、シャドーエージェントが、認証続行可否を判断する。オアシスノードは、複数設置することもできる。これにより、高信頼データセンターの構築および運用が可能となる。
（３）会議システムサービス
この例では、オアシスノードが黒板機能を提供し、参加者への認証子エージェントの発行および認証子の検証により、黒板へのＲ／Ｗ要求を制御する。ユーザが、黒板への書き込みを行う際に、書き込むべきデータを収容した認証子エージェントの正当性を、シャドーエージェントが確認し、その上で認証を実行する。
（４）受発注サービスシステム
オアシスノードは、複数の関連する発注先をグループ化し、グループを検層する検証子を生成して管理する。発注元がオアシスノードに、発注のための検証子の発行を依頼すると、オアシスノードは、発注先のグループの分だけ認証子エージェントおよびシャドーエージェントを生成し、認証子エージェントを発注先に配布する。発注先の認証子エージェントが、受注内容を確認するためにオアシスノードに移動する際に、認証子エージェントの正当性を、シャドーエージェントが確認する。
（５）ファイアウォールシステム
管理装置（オアシスノード）において、ユーザ端末からアクセス可能なユーザＤＢとは別に、シャドーエージェントを格納する別のＤＢ（検証ＤＢ）を設ける。図６（ａ）に示すように、ユーザＤＢにアクセスするユーザの端末に、認証子エージェントを送っておく（符号６０１、６０２参照）。ユーザ端末からオアシスノードに対して認証子エージェントが送信されると（符号６０３、６０４参照）、オアシスノードは、認証子エージェントの検証を検証ＤＢを利用して実行する。なお、ワンタイムパスワード「Ｘ」の検証および認証子の検証ロジックの例を図６（ｂ）に示す。
【００５５】
次に、コンサートのチケット購入に本発明を適用した例において、ユーザが端末（情報処理装置）を忘れてきた場合の対応例について説明する。
【００５６】
ユーザの端末内部には認証子エージェントが保持されているが、ユーザが端末を持参していないため、認証子エージェントがオアシスノードに移動できないため、当該認証エージェントに対応するシャドーエージェントが起動できないという問題点がある。また、シャドーエージェントが起動できても、端末の電源がオフであると、認証子エージェント中の認証子を問い合わせることができない。
【００５７】
この場合、図７（ａ）に示すように、ユーザは、オアシスノードに、ユーザＩＤおよびパスワードでログインした後、ワンタイムパスワード「Ｘ」を入力する（ステップ７０１、７０２）。オアシスノードは、入力された「Ｘ」を参照して、ユーザがチケットを購入したことを確認し（ステップ７０３）、発行済みの認証子エージェントおよびシャドーエージェントを無効にした後（ステップ７０４）、ユーザに入場を許可する。
【００５８】
或いは、ユーザは端末は持たないが、当該ユーザのシャドーエージェントが、家族や知人の端末に格納されている場合には、以下のような手法をとることができる。まず、ユーザは、シャドーエージェントを格納する端末の保有者に対して、ワンタイムパスワード「Ｘ」を教える。図７（ｂ）に示すように、保有者は、自己の端末（他の情報処理装置）に保持されたシャドーエージェントを起動し（ステップ７１１）、シャドーエージェントはワンタイムパスワード「Ｘ」を受理する（ステップ７１２）。シャドーエージェントは、格納しておいたワンタイムパスワードと、受信したワンタイムパスワードとを比較して、認証続行の可否を判断し（ステップ７１３）、判断結果をオアシスノードに送信する（ステップ７１４）。オアシスノードにおいては、認証子エージェントを用いた認証は不可能であるため、図７（ａ）と同様に、ユーザＩＤおよびパスワード、並びに、ユーザのチケット購入の確認によりユーザの入場を許可すればよい。
【００５９】
さらに、ユーザが、ワンタイムパスワード「Ｘ」を記憶したメモリ機能付きのＩＣカードのような機器を保持している場合には、図７（ａ）において、ユーザがワンタイムパスワードを手入力する代わりに、オアシスノードが、機器からワンタイムパスワード「Ｘ」を読み出せばよい。同様の場合、図７（ｂ）においては、機器の通信機能を用いて、保有者に、ワンタイムパスワード「Ｘ」を通知すればよい。
【００６０】
本実施の形態によれば、ユーザに鍵を管理させることなく、エージェントやエージェントを保持する情報処理装置が盗難された場合に、これらを不正に入手した第三者による不正使用を防止することが可能となる。
【００６１】
本発明は、以上の実施の形態に限定されることなく、特許請求の範囲に記載された発明の範囲内で、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【００６２】
たとえば、前記実施の形態においては、認証子エージェントがオアシスノードに移動した時点で、オアシスノードが、シャドーエージェントに対して認証動作続行可否を問い合わせている。つまり、オアシスノードに移動した時点で、シャドーエージェントを起動し、問合せタイミングであることを通知している。しかしながら、これに限定されるものではなく以下のような手法を採用しても良い。
【００６３】
ユーザが、ワンタイムパスワード「Ｘ」を通知するときに、同時に、日時や場所などの情報を通知しておく。オアシスノードでは、指定された日時を経過し、かつ、認証子エージェントがオアシスノードに移動した時点で、シャドーエージェントを起動して、問い合わせタイミングであることを通知する。さらに、ユーザの情報処理装置が、ＧＰＳなど現在位置情報を取得できる場合には、認証子エージェントは、現在位置情報を含む状態でオアシスノードに移動しても良い。この場合には、オアシスノードでは、現在位置情報と通知された場所とが一致することを確認した上で、シャドーエージェントを起動する。このように、日時や場所を指定しておくことで，認証子エージェントが認証を要求するタイミングが特定でき、不必要な日時や場所での認証を回避することができ，安全性の向上を図ることが可能となる。
【００６４】
また、ユーザがオアシスノードにワンタイムパスワード「Ｘ」を知らせることとしているが、これに限定されるものではなく、前述したように、端末情報を「Ｘ」として利用することができる。つまり、「Ｘ」は、認証にかかるユーザ或いは端末を特定する固有情報であれば良い。
【００６５】
さらに、前記実施の形態においては、オアシスノードが、エージェントの生成および認証の双方の機能を備えている。しかしながら、このような構成に限定されるものではなく、オアシスノードが、エージェント生成装置と、認証装置とにより構成されても良い。認証装置は、シャドーエージェントへの認証続行可否の問合せ、シャドーエージェントによる判断結果にしたがった認証をなすことができる。たとえば、図８に示すように、データ通信網に複数の情報処理装置１２−１、１２−２、・・・、１２−ｎと、エージェント生成装置６０とが接続されていることを考える。ここで、情報処理装置１２−ｎが、認証装置の機能を備えていれば、エージェント生成装置６０と情報処理装置１２−ｎとにより、オアシスノードの機能を実現することができる。本発明は、図８に示すような態様もその範囲に含むものである。
【図面の簡単な説明】
【００６６】
【図１】図１は、本発明の実施の形態にかかる情報処理装置および管理装置を含むシステム全体の構成を示すブロックダイヤグラムである。
【図２】図２（ａ）、（ｂ）、（ｃ）は、それぞれ、本実施の形態にかかる認証子エージェント、シャドーエージェント、オアシスノードの構成を示すブロックダイヤグラムである。
【図３】図３は、本実施の形態にかかる各種構成部材にて実行される処理を示すフローチャートである。
【図４】図４は、本実施の形態にかかる各種構成部材にて実行される処理を示すフローチャートである。
【図５】図５は、本発明を適用したコンテンツ配信システムにおける処理を示すフローチャートである。
【図６】図６（ａ）、（ｂ）は、それぞれ、本発明を適用したファイアウォールにおける処理の概略を示す図、および、プログラムロジックを示す図である。
【図７】図７（ａ）、（ｂ）は、ユーザが端末（情報処理装置）を忘れた場合に実行され得る処理を示すフローチャートである。
【図８】図８は、本発明の他の実施形態のシステム全体の構成を示すブロックダイヤグラムである。
【符号の説明】
【００６７】
１０      データ通信網
１２      情報処理装置
１４      管理装置（オアシスノード）
１６      記憶装置
１０１    認証子エージェント
１０２    シャドーエージェント
【図１】
2005251081.tif 000003
【図２】
2005251081.tif 000004
【図３】
2005251081.tif 000005
【図４】
2005251081.tif 000006
【図５】
2005251081.tif 000007
【図６】
2005251081.tif 000008
【図７】
2005251081.tif 000009
【図８】
2005251081.tif 000010