(57)【要約】【課題】強度の高い良好なセキュリティを確保可能とする。【解決手段】無線ＬＡＮクライアントおよび認証サーバの双方で電子証明書を保持し認証処理を行う装置を制御する第１のブリッジ手段と、接続利用者のユーザ名等のチェックを行って認証処理を行う装置を制御する第２のブリッジ手段と、無線ＬＡＮのアクセスポイントの存在情報を受信する第３のブリッジ手段と、認証媒体の抜き差し情報を受信する第４のブリッジ手段と、認証媒体の抜き差し情報が認証媒体の差込を示す情報であった場合、第１〜３のブリッジ手段を起動しネットワーク接続を開始するブリッジ起動手段と、認証媒体の抜き差し情報が認証媒体の抜き取りを示す情報であった場合、第１〜３のブリッジ手段を停止しネットワーク接続を切断するブリッジ停止手段とを備える情報処理装置。【選択図】        図４
2005056063.tif 000002
【特許請求の範囲】
【請求項１】
無線ＬＡＮネットワークにおけるユーザ認証を行う情報処理装置であって、
無線ＬＡＮクライアントおよび認証サーバの双方で電子証明書を保持し認証処理を行う装置の、ネットワーク接続／切断機能を制御する第１のブリッジ手段と、
ネットワークにおける接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行う装置の、ネットワーク接続／切断を制御する第２のブリッジ手段と、
無線ＬＡＮのアクセスポイントの存在情報を当該存在情報の検知手段より受信する第３のブリッジ手段と、
認証媒体のドライバより発信される、認証媒体の認証媒体リーダよりの抜き差し情報を受信する第４のブリッジ手段とを備え、
前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の差込を示す情報であった場合、当該差込情報に応じて前記第１、第２、および第３のブリッジ手段を起動し、該当無線ＬＡＮクライアントのネットワーク接続を開始するブリッジ起動手段と、
前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の抜き取りを示す情報であった場合、当該抜き取り情報に応じて前記第１、第２、および第３のブリッジ手段を停止し、該当無線ＬＡＮクライアントのネットワーク接続を切断するブリッジ停止手段と、
を備えることを特徴とする情報処理装置。
【請求項２】
前記第３のブリッジ手段により受信した無線ＬＡＮのアクセスポイントの存在情報が、無線ＬＡＮエリアへの無線ＬＡＮクライアントの進入を示す情報であった場合、当該進入情報に応じて前記第１、第２、および第３のブリッジ手段を起動し、該当無線ＬＡＮクライアントのネットワーク接続を開始する第２のブリッジ起動手段と、
前記第３のブリッジ手段により受信した無線ＬＡＮのアクセスポイントの存在情報が、無線ＬＡＮエリアからの無線ＬＡＮクライアントの離脱を示す情報であった場合、当該離脱情報に応じて前記第１、第２、および第３のブリッジ手段を停止し、該当無線ＬＡＮクライアントのネットワーク接続を切断する第２のブリッジ停止手段と、
を備えることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
無線ＬＡＮネットワークにおけるユーザ認証を、無線ＬＡＮクライアントおよび認証サーバの双方で電子証明書を保持し認証処理を行う装置の、ネットワーク接続／切断機能を制御する第１のブリッジ手段と、ネットワークにおける接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行う装置の、ネットワーク接続／切断を制御する第２のブリッジ手段と、無線ＬＡＮのアクセスポイントの存在情報を当該存在情報の検知手段より受信する第３のブリッジ手段と、認証媒体のドライバより発信される、認証媒体の認証媒体リーダよりの抜き差し情報を受信する第４のブリッジ手段とを備えた情報処理装置に実行させるプログラムであって、
前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の差込を示す情報であった場合、当該差込情報に応じて前記第１、第２、および第３のブリッジ手段を起動し、該当無線ＬＡＮクライアントのネットワーク接続を開始すステップと、
前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の抜き取りを示す情報であった場合、当該抜き取り情報に応じて前記第１、第２、および第３のブリッジ手段を停止し、該当無線ＬＡＮクライアントのネットワーク接続を切断するステップと、
を含むことを特徴とするネットワークにおけるユーザ認証プログラム。
【請求項４】
請求項３に記載のネットワークにおけるユーザ認証プログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、ネットワークにおけるユーザ認証プログラム、および記録媒体に関する。
【背景技術】
【０００２】
近年のIEEE802.11b対応の製品がリリースされるに伴い、無線ＬＡＮの普及が加速されつつある。無線ＬＡＮは有線ケーブルの敷設が必要ないため、各種店舗や公共施設の中には無線ＬＡＮ用のシステムを導入して、利用者にインターネット利用の利便性をアピールするところも出てきた。この場合、前記利用者は例えばパソコンに接続された認証用インターフェイスに、利用者の認証用カード（例：ＩＣカードなど）を挿入して認証情報を読み取らせ、アクセスポイントを通じて前記店舗等のサーバに認証要求を行う。このように、ＩＣカードなど認証用媒体が格納している認証情報は、無線ＬＡＮ内で適宜やり取りされ、認証やシステム起動などに利用されることとなる。
【０００３】
このような無線ＬＡＮにおける認証方法の１つとして、複数の通常仕様の端末（パソコン）が配置される室内またはフィールド環境において、ユーザが携帯する無線タグとの交信により、接近した端末の起動およびユーザ認証を自動的に行い、ユーザに応じた作業環境を提供する目的の下、室内またはフィールドに配置した１台以上のユーザ端末と、各ユーザ端末とネットワークを介して接続されるユーザ管理サーバとの間で、前記ユーザ端末を利用するユーザの認証を行うユーザ認証方法において、前記各ユーザ端末の近傍に配置された通信装置が、ユーザの携帯する無線タグとの交信によりユーザの識別データを受信し、前記通信装置から前記識別データを前記ネットワークを介して前記ユーザ管理サーバに転送し、前記ユーザ管理サーバが転送された識別データの認証を行い、その識別データを受信した通信装置の近傍のユーザ端末の電源をオンとする起動制御を行うことを特徴とする無線タグを用いたユーザ認証方法（特許文献１参照）などが提案されている。
【特許文献１】特開２００２−１５７０４０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来の技術において、認証用媒体から認証情報を読み取られ、サーバにおいて一度認証処理された認証対象（つまり利用者）は、前記サーバにおいて既に認証済みであるステータスが保持されている。従って、同じネットワーク内における他端末から同じ認証対象（を装った者も含む）が再度認証を試みてもそのままログイン処理がなされてしまう場合があり、第三者のなりすまし等を防ぐことが難しくなる。つまり、認証用媒体を用いた認証を行うとしても、そのセキュリティ確保に課題が残されていたのである。
【０００５】
そこで本発明は上記課題を鑑みてなされたものであり、強度の高い良好なセキュリティを確保可能とする情報処理装置、ネットワークにおけるユーザ認証プログラム、および記録媒体を提供することを主たる目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決する本発明の情報処理装置は、無線ＬＡＮネットワークにおけるユーザ認証を行う情報処理装置であって、無線ＬＡＮクライアントおよび認証サーバの双方で電子証明書を保持し認証処理を行う装置の、ネットワーク接続／切断機能を制御する第１のブリッジ手段と、ネットワークにおける接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行う装置の、ネットワーク接続／切断を制御する第２のブリッジ手段と、無線ＬＡＮのアクセスポイントの存在情報を当該存在情報の検知手段より受信する第３のブリッジ手段と、認証媒体のドライバより発信される、認証媒体の認証媒体リーダよりの抜き差し情報を受信する第４のブリッジ手段とを備え、前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の差込を示す情報であった場合、当該差込情報に応じて前記第１、第２、および第３のブリッジ手段を起動し、該当無線ＬＡＮクライアントのネットワーク接続を開始するブリッジ起動手段と、前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の抜き取りを示す情報であった場合、当該抜き取り情報に応じて前記第１、第２、および第３のブリッジ手段を停止し、該当無線ＬＡＮクライアントのネットワーク接続を切断するブリッジ停止手段と、を備えることを特徴とする。なお、前記第２のブリッジ手段は、例えば、ｘＤＳＬ等のネットワーク上における、プロトコルとしてPPP（Point-to-point Protocol）を用いるダイヤルアップ接続に伴って、利用者のユーザ名およびパスワードのチェックを行って認証処理を行う装置の、ネットワーク接続／切断を制御するものとできる。
【０００７】
また、無線ＬＡＮネットワークにおけるユーザ認証を、無線ＬＡＮクライアントおよび認証サーバの双方で電子証明書を保持し認証処理を行う装置の、ネットワーク接続／切断機能を制御する第１のブリッジ手段と、ネットワークにおける接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行う装置の、ネットワーク接続／切断を制御する第２のブリッジ手段と、無線ＬＡＮのアクセスポイントの存在情報を当該存在情報の検知手段より受信する第３のブリッジ手段と、認証媒体のドライバより発信される、認証媒体の認証媒体リーダよりの抜き差し情報を受信する第４のブリッジ手段とを備えた情報処理装置に実行させるプログラムであって、前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の差込を示す情報であった場合、当該差込情報に応じて前記第１、第２、および第３のブリッジ手段を起動し、該当無線ＬＡＮクライアントのネットワーク接続を開始すステップと、前記第４のブリッジ手段により受信した認証媒体の抜き差し情報が、認証媒体の抜き取りを示す情報であった場合、当該抜き取り情報に応じて前記第１、第２、および第３のブリッジ手段を停止し、該当無線ＬＡＮクライアントのネットワーク接続を切断するステップと、を含むことを特徴とするネットワークにおけるユーザ認証プログラムにかかる。このプログラムは、前記各ステップの動作を行うためのコードから構成されている。
【０００８】
更に、ネットワークにおけるユーザ認証プログラムを記録したコンピュータ読み取り可能な記録媒体にかかる。
【０００９】
その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。
【発明の効果】
【００１０】
本発明によれば、強度の高い良好なセキュリティを確保可能とする情報処理装置、ネットワークにおけるユーザ認証プログラム、および記録媒体を提供可能となる。
【発明を実施するための最良の形態】
【００１１】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は本実施形態のネットワークにおけるユーザ認証システム（情報処理装置）を含むネットワーク構成図である。本発明における情報処理装置としてのユーザ認証システム（以下、システム１００）は、例えば無線ＬＡＮネットワークが導入された施設内に設置されている、利用者向けのコンピュータ１０が有する手段とすることが出来る。この場合、前記コンピュータ１０において本発明の情報処理装置の機能を実現するオブジェクトを格納しており、当該オブジェクトが前記システム１００を実現するとも言える。
【００１２】
図中では前記システム１００をブリッジクライアントと称し、例えば前記コンピュータ１０の実行部１０５を利用して種々の処理を実行する。実行部１０５は、本発明の情報処理装置の有する機能を実現するプログラム１０６をメモリ１０７に格納し、演算装置たるＣＰＵ１０８により読み出して実行する。他に、システム１００がインターネット等のネットワーク１２０を介して認証サーバ１３０、１４０などの外部装置と接続してデータ授受を実行したり、データ入出力を行う入出力インターフェイス１０９を備えている。
【００１３】
また、前記コンピュータ１０は、ＩＣカードなど証明書付きカード（認証媒体）のリーダ装置たるカードスロット（内蔵カードスロット、外付けカードスロットを含む。以下同じ。）２を備え、カードドライバ３により当該カードスロット２の制御を行う。また、このカードドライバ３で処理された認証情報は、ＣＳＰ(Cryptographic Service Provider)と呼ばれる暗号化アルゴリズム機能ブロック４により暗号化の処理がなされる。この暗号化された認証情報は、ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）機能ブロック５により、無線ＬＡＮクライアントおよび認証サーバの双方で保持されることとなる。
【００１４】
また、無線ＬＡＮネットワークにアクセスするための通信手段たる無線デバイス（内蔵無線デバイス、外付け無線デバイスを含む。以下同じ。）６を備え、当該無線デバイス６は、８０２．１ｘ（IEEE802.11委員会で標準化している無線LAN機能）ドライバ７により制御される。更に、接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行うべく、ＰＰＰｏＥ(Point to Point Protocol over Ethernet)機能ブロック８を有している。
【００１５】
このようなコンピュータ１０は、前記ＥＡＰ−ＴＬＳ機能ブロック５、およびＰＰＰｏＥ機能ブロック８を介して、ネットワーク１２０および認証サーバ１３０、１４０との回線の切断／接続を実行できる。なお、認証サーバは、接続利用者の認証機能を有するＲＡＤＩＵＳ(Remoto Authentication Dial-In User Services)機能ブロック１３１、および軽量なディレクトリサービスを提供するＬＤＡＰ(Lightweight Directory Access Protocol)サーバ１３２を備える、ＲＡＤＩＵＳサーバ１３０が想定できる。また、ＩＳＰ−ＡｃｃｅｓｓＳｅｒｖｅｒ１４１および前記同様のＲＡＤＩＵＳ機能ブロック１４２を有するＩＳＰ接続サーバ１４０が想定できる。
【００１６】
このようなコンピュータ１０に含まれるブリッジクライアント１００は、本発明を実現すべく以下の機能ブロックを有している。図２は本実施形態における、（ａ）ブリッジクライアント機能概要、（ｂ）機能構成を示す図である。
【００１７】
ブリッジクライアント１００は、前記ＥＡＰ−ＴＬＳ（Extensible Authentication Protocol-Transport Layer Security）機能ブロック５の、ネットワーク接続／切断機能を制御するＥＡＰブリッジ１０１（第１のブリッジ手段）と、ネットワークにおける接続利用者のユーザ名およびパスワードのチェックを行って認証処理を行う前記ＰＰＰｏＥ機能ブロック８の、ネットワーク接続／切断を制御するＰＰＰｏＥブリッジ１０２（第２のブリッジ手段）とを備える。
【００１８】
また、無線ＬＡＮのアクセスポイントのビーコン（存在情報）を前記８０２．１ｘドライバ（当該存在情報の検知手段）より受信する８０２．１ｘブリッジ１０３（第３のブリッジ手段）と、証明書付きカード１（認証媒体）のカードドライバ３（ドライバ）より発信される、証明書付きカード１のカードスロット２（認証媒体リーダ）よりの抜き差し情報を受信するドライバブリッジ１０４（第４のブリッジ手段）とを備える。
【００１９】
ブリッジクライアント１００は、無線ＬＡＮのアドレスなど各種プロファイル情報の読取り機能２０により、各無線ＬＡＮクライアント（コンピュータ１０自身）に対応するプロファイル情報を取得できる。また、前記カードドライバ３などの証明書付きカード着脱監視機能を通じてカードの着脱を検出し、これにより前記ブリッジ１０１〜１０４を起動／停止する。或いは、８０２．１ｘドライバ７などの無線ＬＡＮアクセスポイントの検出・選択機能を通じて、無線ＬＡＮクライアントの無線ＬＡＮエリアへの進入／離脱を検知し、前記ブリッジ１０１〜１０４を起動／停止する。
【００２０】
このような制御に伴う無線ＬＡＮクライアントの通信状況は、例えばコンピュータ１０における出力インターフェイスなど通信状況表示機能１１０にて出力できる。また、認証対象に伴う情報はプロファイル情報登録機能１１１にて適宜な記憶装置に格納される。更に、無線ＬＡＮクライアントのログイン情報はロギング機能１１２により適宜な記憶装置に格納される。
【００２１】
図３は本実施形態におけるブリッジクライアントユースケースを示す図である。以上のような、ブリッジクライアント１００による制御内容を、図３に示すユースケースとして説明できる。無線ＬＡＮクライアントたるコンピュータ１０の電源がＯＮとなった場合、ブリッジクライアント１００がトリガを発し、前記ブリッジ１０１〜１０４を起動する。一方、コンピュータ１０の電源がＯＦＦとなった場合、ブリッジクライアント１００がトリガを発し、前記ブリッジ１０１〜１０４を停止する。
【００２２】
他方、証明書付きカードの抜き取りにより、ドライバブリッジ１０４がトリガを発し、ブリッジ１０１、１０２、１０３を停止する。或いは、証明書付きカードの差込により、ドライバブリッジ１０４がトリガを発し、ブリッジ１０１、１０２、１０３を起動するのである。
【００２３】
更に、前記コンピュータ１０が、無線ＬＡＮエリアに進入した場合、前記８０２．１ｘブリッジ１０３がトリガを発し、他のブリッジ１０１、１０２、１０４を起動する。他方、前記コンピュータ１０が無線ＬＡＮエリアから離脱した場合、前記８０２．１ｘブリッジ１０３がトリガを発し、他のブリッジ１０１、１０２、１０４を停止することとなる。
【００２４】
なお、前記ブリッジクライアント１００は、前記ブリッジ１０１〜１０４を一体に備えている例の他、コンピュータ１０内、或いはネットワーク上の他装置に存在しながらもネットワークを介して一体に稼動するといった例も想定できる。
【００２５】
更に、ブリッジクライアント１００を含むコンピュータ１０と認証サーバ１３０、１４０とをつなぐネットワーク１２０に関しては、インターネットの他、専用回線やＷＡＮ（Wide Area Network）、ＬＡＮ、電灯線ネットワーク、無線ネットワーク、公衆回線網、携帯電話網、EDI専用回線など様々なネットワークを採用することも出来る。また、ＶＰＮなど仮想専用ネットワーク技術を用いれば、インターネットを採用した際にセキュリティ性を高めた通信が確立され好適である。
【００２６】
図４は本実施形態におけるネットワークにおけるユーザ認証方法の実際手順を示すフロー図であり、（ａ）は証明書付きカード差込時フロー、（ｂ）は証明書付きカード抜き取り時フロー、（ｃ）証明書付きカード抜き取り時詳細フローは、を示す図である。以下、本発明のネットワークにおけるユーザ認証方法の実際手順について説明する。なお、以下で説明するネットワークにおけるユーザ認証方法に対応する各種動作は、システム１００のメモリ１０７が備えるプログラム１０６によって実現される。そして、このプログラム１０６は、以下に説明される各種の動作を行うためのコードから構成されている。
【００２７】
証明書付きカード１のカードスロット２への差込に応じて、前記カードドライバ３がこれを検知して、ブリッジクライアント１００に通知される（ｓ１０００）。ブリッジクライアント１００における前記ドライバブリッジ１０４はこれを受けて、他ブリッジの起動トリガを発する（ｓ１００１）。この起動トリガは他ブリッジ１０１〜１０３へ伝達され、各ブリッジ１０１〜１０３が起動されることとなる（ｓ１００２〜ｓ１００４）。前記証明書付きカード１の格納していた認証情報に基づき、該当無線ＬＡＮクライアントの認証が既になされているとすれば、当該無線ＬＡＮクライアントと認証サーバ１３０、１４０との回線接続を確立し（ｓ１００５）、処理は終了する。
【００２８】
一方、証明書付きカード１のカードスロット２からの抜き取りがなされていないか、ブリッジクライアント１００は前記カードドライバ３を介した監視処理を行う（ｓ１２００、ｓ１２０１）。前記カードドライバ３は、証明書付きカード１の抜き取り事象を検知したならば（ｓ１２０２）、ドライバブリッジ１０４にカード抜き取り事象の発生通知を発行する（ｓ１２０３）。
【００２９】
ドライバブリッジ１０４における前記カード抜き取り事象の発生通知の受領を認識しているブリッジクライアント１００は、該当無線ＬＡＮクライアントと認証サーバとの回線切断処理を開始する（ｓ１２０４）。ブリッジクライアント１００は、各通信プロトコルに従って回線接続を行う機能ブロック（例：ＥＡＰ−ＴＬＳ機能ブロック５、ＰＰＰｏＥ機能ブロック８など）における非活性化、つまりネットワーク接続の切断制御を図るのである（ｓ１２０５）。このため、ブリッジ１０１、１０２、１０３の停止トリガを発して、ブリッジ１０１〜１０３の停止を実行する（ｓ１２０６〜ｓ１２０８）。このブリッジ１０１〜１０３の停止により前記無線ＬＡＮクライアントと認証サーバ１３０、１４０との回線接続が切断され（ｓ１２０９）、処理は終了する。
【００３０】
本発明によれば、強度の高い良好なセキュリティを確保可能な情報処理装置、ネットワークにおけるユーザ認証プログラム、および記録媒体を提供可能とできる。
【００３１】
以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【図面の簡単な説明】
【００３２】
【図１】本実施形態におけるネットワークにおけるユーザ認証システム（情報処理装置）を含むネットワーク構成図である。
【図２】本実施形態における、（ａ）ブリッジクライアント機能概要、（ｂ）機能構成を示す図である。
【図３】本実施形態におけるブリッジクライアントユースケースを示す図である。
【図４】本実施形態におけるネットワークにおけるユーザ認証方法の実際手順を示すフロー図であり、（ａ）は証明書付きカード差込時フロー、（ｂ）は証明書付きカード抜き取り時フロー、（ｃ）証明書付きカード抜き取り時詳細フローは、を示す図である。
【符号の説明】
【００３３】
１      認証媒体、証明書付きカード
１０    無線ＬＡＮクライアント、コンピュータ
１００  情報処理装置、システム、ブリッジクライアント
１０１  ＥＡＰブリッジ
１０２  ＰＰＰｏＥブリッジ
１０３  ８０２．１ｘブリッジ
１０４  ドライバブリッジ
１０５  実行部
１０６  プログラム
１０７  メモリ
１０８  演算装置、ＣＰＵ
１０９  入出力インターフェイス
１２０  ネットワーク
１３０  ＲＡＤＩＵＳサーバ、認証サーバ
１４０  ＩＳＰ接続サーバ、認証サーバ
【図１】
2005056063.tif 000003
【図２】
2005056063.tif 000004
【図３】
2005056063.tif 000005
【図４】
2005056063.tif 000006