(57)【要約】【課題】コンピューターログインをコントロール装置及びその方法を提供する。【解決手段】当該装置はサーバ側、クライアント側、ハードウェアデバイスを含む。サーバ側はデータ記憶手段、集中管理手段及びネット通信手段を有し、クライアント側はネット通信手段、検証手段及びログイン手段を有する。当該装置を利用する方法は、まず、管理者によりハードウェアデバイスをサーバ側に登録しておく。そして、ユーザがログインする時に、当該ハードウェアデバイスをクライアント側コンピューターインターフェースに挿し込んで、パスワードを入力する。クライアント側コンピュータは、ハードウェアデバイス情報を取得し、サーバへ当該ハードウェアの登録情報を請求する。サーバから得た情報に基づき、ユーザが正当であるかを判定する。正当なユーザであると判定した場合、ログインを許可し、反対に、不正なユーザの場合、そのログインを拒否する。【選択図】図１
2007280393.tif 000002
【特許請求の範囲】
【請求項１】
コンピューターログインをコントロールする装置であって、
クライアント側及びハードウェアデバイスの情報を記憶・管理するサーバ側と、
ハードウェアデバイスの情報を取得してサーバ側へ検証の請求を発送し、正当なユーザである場合サービスを提供するクライアント側と、
ユーザログインの身分情報を提供するハードウェアデバイスを含むことを特徴とするコンピューターログインをコントロールする装置。
【請求項２】
前記サーバ側において、
クライアント側とハードウェアデバイスの関係情報を記憶するデータ記憶手段と、
ハードウェアデバイス情報を前記データ記憶手段に保存し、ユーザがログインする際にネット通信手段から発送された請求を受信して、前記データ記憶手段から対応する情報を読み出してクライアント側に発送する集中管理手段と、
クライアント側と通信するためのネット通信手段とを有することを特徴とする請求項１に記載のコンピューターログインをコントロールする装置。
【請求項３】
前記クライアント側において、
サーバ側と通信するためのネット通信手段と、
ログイン手段から提供された情報をサーバから返答された情報と比較して、その結果をログイン手段に発送する検証手段と、
ユーザがハードウェアデバイスを差込んだ後、ユーザの入力したパスワード検証情報を受取って検証手段に発送し、検証手段から返答された情報に基づき、ユーザログインをコントロールするログイン手段とを含むことを特徴とする請求項１に記載のコンピューターログインをコントロールする装置。
【請求項４】
請求項１に記載の装置を利用してコンピューターログインをコントロールする方法であって、
ハードウェアデバイスをサーバ側に差し込んで、サーバ側からハードウェアデバイス情報を取得して、当該情報を管理者によって入力された当該ハードウェアデバイスの登録情報と一緒にサーバ側に保存する登録ステップと、
ハードウェデバイスをクライアント側に差し込んで、クライアント側はハードウェアデバイス情報を取得した後に検証情報を請求し、サーバ側から返答された情報に基づき、ユーザは正当であるか否かを判定して、正当の場合はユーザログインを許可し、不正の場合はログイン失敗となる検証・ログインステップとを含むことを特徴とするコンピューターログインをコントロールする方法。
【請求項５】
前記登録ステップにおいて、
（１）ハードウェアデバイスをサーバ側の対応するインターフェースに差し込むステップと、
（２）集中管理手段からハードウェアデバイス情報を読み取り、当該情報を管理者によって入力されたハードウェアデバイス登録情報と一緒にデータ記憶手段に保存するステップと、
（３）ハードウェアデバイスを取り外すステップとを含むことを特徴とする請求項４に記載のコンピューターログインをコントロールする方法。
【請求項６】
前記検証・ログインステップにおいて、
（１）ハードウェアデバイスをクライアントコンピューターのインタフェースに差し込んでパスワードを入力して、ハードウェアデバイスはパスワードが正しいかどうかを検証し、その結果をログイン手段に返答して、パスワードが正しい場合、ログイン手段はハードウェアデバイスの情報を得て検証手段に発送して、次のステップに進むが、パスワードが正しくない場合、ログイン失敗と提示するステップと、
（２）検証手段はハードウェアデバイス情報に従い、サーバに請求を発送し、当該ハードウェアデバイスの登録情報を発送してくるように要求するステップと、
（３）サーバ側は請求を受信してから請求に従い応答して、応答情報をクライアント側に発送するステップと、
（４）検証手段は受信した返答データに基づき検証を行い、検証結果をログイン手段に提出するステップと、
（５）ログイン手段は検証手段から発送された検証結果を受信し、その結果が検証合格の場合、ユーザにシステムへのログインを許可し、その結果は検証不合格の場合、登録失敗を提示するステップとを含むことを特徴とする請求項４に記載のコンピューターログインをコントロールする方法。
【請求項７】
検証手段はサーバ側に請求を発送する前記ステップにおいて、
（ア）検証手段はハードウェアの情報を受信した後、請求データを生成し、サーバに関連のデータを発送してくるように要求し、当該請求をクライアント側ネット通信手段に発送するステップと、
（イ）クライアント側のネット通信手段は検証手段のデータを受信して、当該データを暗号化して、ネットを通じ、サーバ側のネット通信手段に発送するステップとを含むことを特徴とする、請求項６に記載のコンピューターログインをコントロールする方法。
【請求項８】
サーバ側は請求を応答する前記ステップにおいて、
（ア）サーバ側のネット通信手段はデータ請求を受信して、それを復号して、復号化されたデータ請求をサーバ側の集中管理手段に発送するステップと、
（イ）サーバ集中管理手段はデータ請求に基づき、データ記憶手段から所要のデータを取得して、そのデータをサーバ側のネット通信手段に返答するステップとを含むことを特徴とする請求項６に記載のコンピューターログインをコントロールする方法。
【請求項９】
サーバ側はクライアント側にデータを発送する前記ステップにおいて、
（ア）サーバ側のネット通信手段はデータを暗号化し、ネットを通じ、クライアント側のネット通信手段に発送するステップと、
（イ）クライアント側のネット通信手段は受信したデータを復号し、復号されたデータを検証手段に発送するステップとを含むことを特徴とする請求項６に記載のコンピューターログインをコントロールする方法。
【請求項１０】
検証手段は受信したデータに基づき検証を行う前記ステップにおいて、
(ア)ログイン手段は差し込まれたハードウェアデバイスが登録済みかを検証し、登録済みの場合、次のステップの検証に進むが、未登録の場合、検証不合格になるステップと、
(イ)登録済みのハードウェアデバイスは当該ローカルコンピューターに登録されているかを検証し、ＹＥＳの場合は、次のステップの検証に進むが、ＮＯの場合は検証不合格になるステップと、
(ウ)登録済みのハードウェアデバイスは既にサーバ側で削除されているかを検証し、ＹＥＳの場合は、検証不合格になるが、ＮＯの場合は検証合格となるステップとを含むことを特徴とする請求項４又は６に記載のコンピューターログインをコントロールする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はコンピューターシステムのログインをコントロールする装置、及び当該装置を使用するコンピューターシステムのログインをコントロールする方法を提供する。
【背景技術】
【０００２】
科学技術の進歩に従い、コンピューターの利用はますます広くなり、様々な分野において広く利用され、重要な役割を果たしているが、それに伴い、コンピューターの安全性もはますます脅かされている。特に重要な情報を保存しているコンピューターは、いったん侵入されると、被害が計り知れない程大きくなる。
【０００３】
従来、コンピューターを他人に不法登録されないようにする防止策のひとつとして、パスワードによりコントロールする方法が採用されている。
【０００４】
例えば、Windows（登録商標）オペレーティングシステム（ＯＳ）の起動パスワードの場合、正確にパスワードを入力しなければ、オペレーティングシステムにアクセスできないようにしているため、コンピューターの使用が禁止され、コンピューター内の情報を守る目的を達成している。但し、このような方式は、ソフトウェアだけで実現しているため、パスワードが簡単に解読されてしまう恐れがある。また、ログインした後、ユーザがパスワードを変えたり、他のユーザを設定したりする操作を簡単にできる。そのソフトウェア自身が削除されてしまうと、コンピューターの情報を守る目的は達成できなくなる。
【０００５】
また、スマートカード、スマート暗号キー、トークンなどのハードウェアデバイスを利用し、ツーファクター認証の方式でコンピューターをコントロールする方法もある。この場合、まずローカルコンピューターにおいて当該ローカルコンピューターにログインできるハードウェアを登録する。ユーザがコンピューターにログインしようとする時、まず、ハードウェアデバイスをコンピューターの対応するインターフェースに差し込む。ハードウェアデバイスが差し込まれていない場合、或いは、差し込まれたハードウェアデバイスが正しくない場合、コンピューターにログインできないことになっている。正当なハードウェアデバイスが差し込まれたら、ユーザにパスワードの入力を要求する。入力されたパスワードが正しい場合、コンピューターにログインできるが、パスワードが正しくない場合は、ログインができないようになる。これによって、たとえ不正なユーザにコンピューターのユーザ名とパスワードを盗まれても、ハードウェアがなければコンピューターにログインできないため、コンピューター情報の安全性は守られる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
但し、前記の方法は以下の欠点がある。まず、ハードウェアの登録情報はローカルコンピューターにて完成されるため、各コンピューターにログインするためのハードウェアはそれぞれに対応するコンピューターにて登録する必要がある。新しいハードウェアを登録又は削除する場合、対応するコンピューターで操作しなければならない。コンピューターの数が多い場合、システム管理者の作業量が非常に大きくなり、各コンピューターのハードウェアデバイスの情報は互いに独立しているため、管理者の管理も不便になる。また、ユーザが正当にコンピューターシステムにログインした後も、現在のコンピューターにログインする用のハードウェアを登録できるため、管理者による各コンピューターの有効管理ができなくなり、セキュリティ上の不安が残る。さらに各コンピューターに登録するハードウェアデバイス情報はローカルコンピューターのシステム資源を費やし、コンピューターの効率を最大限に発揮できなくなる。
【０００７】
本発明はコンピューターログインをコントロールする装置及び方法を提供する。当該装置及び方法を利用して、不正なユーザによるコンピューターへのログインを有効に防ぎ、コンピューター情報の安全性を守ることはその目的とする。その上、管理者が各コンピューター及び当該コンピューターのハードウェアデバイスを集中的に登録できることもその目的とする。
【課題を解決するための手段】
【０００８】
上述する目的を達成するために、本発明は以下の構成を備える。
【０００９】
本発明のコンピューターログインをコントロールする装置は、クライアント側及びハードウェアデバイスの情報を記憶・管理するサーバ側と、ハードウェアデバイスの情報を取得してサーバ側に検証請求を発送して、正当なユーザである場合サービスを提供するクライアント側と、ユーザ登録の身分情報を提供するハードウェアデバイスを含む。
【００１０】
前記サーバ側は、クライアント側とハードウェアデバイスの関係情報を記憶するデータ記憶手段と、ハードウェアデバイス情報を前記データ記憶手段に保存し、ユーザがログインする際にネット通信手段から発送された請求を受信して、前記データ記憶手段から対応する情報を読み取ってクライアント側に発送する集中管理手段と、クライアント側と通信するためのネット通信手段を有する。
【００１１】
前記クライアント側は、サーバ側と通信するためのネット通信手段と、ログイン手段から提供される情報とサーバから返答された情報と比較して、その結果をログイン手段に発送する検証手段と、ユーザがハードウェアデバイスを差込んだ後、ユーザの入力したパスワード検証情報を受取って検証手段に発送し、検証手段から返答された情報に基づき、ユーザログインをコントロールするログイン手段を含む。
【００１２】
前記装置を利用してコンピューターログインをコントロールする方法は、ハードウェアデバイスをサーバ側に差し込んで、サーバ側からハードウェアデバイス情報を取得して、当該情報を管理者によって入力された当該ハードウェアデバイスの登録情報と一緒にサーバ側に保存する登録ステップと、ハードウェデバイスをクライアント側に差し込んで、クライアント側はハードウェアデバイス情報を取得した後に検証情報を請求し、サーバ側から返答された結果に基づき、ユーザは正当であるかを判定して、正当の場合はユーザログインを許可して、クライアント側を使用できるようになるが、違法不正の場合はログイン失敗となる検証ログインステップとを含む。
【００１３】
前記登録ステップにおいて、（１）ハードウェアデバイスをサーバ側の対応するインターフェースに差し込むステップと、（２）集中管理手段からハードウェアデバイス情報を読み取り、当該情報を管理者によって入力されたハードウェアデバイス登録情報と一緒にデータ記憶手段に保存するステップと、（３）ハードウェアデバイスを取り外すステップとを含む。
【００１４】
前記検証ログインステップにおいて、（１）ハードウェアデバイスをクライアント側コンピューターのインタフェースに差し込んでパスワードを入力して、ハードウェアデバイスはパスワードが正しいかを検証し、その結果をログイン手段に返答して、パスワードが正しい場合、ログイン手段はハードウェアデバイスの情報を取得して検証手段に発送して、次のステップに進むが、パスワードが正しくない場合、ログイン失敗と提示するステップと、（２）検証手段はハードウェアデバイス情報に従い、サーバに請求を発送し、当該ハードウェアデバイスの登録情報を取得するように要求するステップと、（３）サーバ側は請求を受信してから請求に従い応答して、応答情報をクライアント側に発送するステップと、（４）検証手段は受信した返答データに基づき検証を行い、検証手段をログイン手段に提出するステップと、（５）ログイン手段は検証手段から発送された検証結果を受信し、その結果は検証合格の場合、ユーザにシステムログインを許可し、その結果は検証不合格の場合、登録失敗を提示するステップとを含む。
【００１５】
前記検証手段がサーバ側に請求を発送するステップにおいて、（ア）検証手段はハードウェアの情報を受信した後、請求データを生成し、サーバに関連データを発送してくるように要求し、当該請求をクライアント側ネット通信手段に発送するステップと、（イ）クライアント側ネット通信手段は検証手段からのデータを受信して、当該データを暗号化して、ネットを通じ、サーバ側のネット通信手段に発送するステップとを含む。
【００１６】
前記サーバ側が請求を応答するステップにおいて、（ア）サーバ側のネット通信手段はデータ請求を受信して、それを復号して、復号されたデータ請求をサーバ側の集中管理手段に発送するステップと、（イ）サーバ集中管理手段はデータ請求に基づき、データ記憶手段から所要のデータを取得して、そのデータをサーバ側のネット通信手段に返答するステップとを含む。
【００１７】
前記サーバ側がクライアント側にデータを発送するステップにおいて、（ア）サーバ側のネット通信手段はデータを暗号化し、ネットを通じ、クライアント側のネット通信手段に発送するステップと、（イ）クライアント側のネット通信手段は受信したデータを復号し、復号されたデータを検証手段に発送するステップとを含む。
【００１８】
前記検証手段が受信したデータに基づき検証を行うステップにおいて、（ア）ログイン手段に差し込まれたハードウェアデバイスは登録済みかを検証し、登録済みの場合、次のステップの検証に進むが、未登録の場合、検証不合格になるステップと、（イ）登録済みのハードウェアデバイスは当該ローカルコンピューターに登録されているかを検証し、ＹＥＳの場合は、次のステップの検証に進むが、ＮＯの場合は検証不合格になるステップと、（ウ）登録済みのハードウェアデバイスは既にサーバ側で削除されているかを検証し、ＹＥＳの場合は、検証未不合格になるが、ＮＯの場合は検証合格となるステップとを含む。
【発明の効果】
【００１９】
本発明によれば、下記する効果を得ることができる。
【００２０】
システムの安全性は強化できた。本発明は、ハードウェアデバイスの登録管理と登録情報の記憶を全部サーバに任せているため、不正なユーザはクライアント側でハードウェアデバイスを登録できなくなり、不正なユーザが他のハードウェアデバイスを利用してログインを行うことを防ぐことができる；
システム管理者によって、全てのコンピューターを集中的に管理することができる。本発明は、ハードウェアデバイスの登録・管理は管理者によってサーバにて完成されるため、各機器にて作業する必要がなくなり、管理者の作業量を大幅に減らし、システム管理者による全てのコンピューターとハードウェアデバイスの集中管理も便利になる。
【００２１】
一台のコンピューターのユーザ数をコントロールすることは便利になる。本発明は、コンピューターのコントロール権限は管理者によって、サーバで行うため、単独管理の場合にコンピューターユーザがほかの不正ユーザを任意に追加する事はできなくなった。
【００２２】
コストが低く、経済的で、実用性がある。本発明はコンピューター及びその対応するハードウェアの情報をサーバに保存するため、コンピューター資源の消費率を減らし、コンピューターの効率を高める。
【発明を実施するための最良の形態】
【００２３】
図１に示されたコンピューターログインをコントロールする設備は、サーバ側101、クライアント側107、ハードウェアデバイス105を備える。サーバ側101はデータ記憶手段103、集中管理手段102またはサーバ側ネット通信手段104を含む。データ記憶手段103はクライアント側107とハードウェアデバイス105の関連情報を記憶する；集中管理手段102はハードウェアデバイス105の情報をデータ記憶手段103に保存し、また、ユーザログインの際、サーバ側ネット通信手段104から発送された請求を受取り、データ記憶手段103から関係する情報を読み取ってクライアント側107に発送する；サーバ側ネット通信手段104はクライアント側107と通信するために設置される。クライアント側107はクライアント側ネット通信手段108、検証手段110とログイン手段109を含む。クライアント側ネット通信手段108はサーバ側101と通信する。検証手段110はログイン手段109が提供した情報とサーバ101から返答された情報と比較して、その結果をログイン手段109に発送する。ログイン手段109は、ハードウェアデバイス105の情報及びユーザが入力したパスワード検証情報を受け入れて検証手段110に発送し、検証手段110から返答された情報に基づき、ユーザログインをコントロールする。ハードウェアデバイス105はユーザ登録の身分情報を提供する。
【００２４】
使用する時に、まず、ハードウェアデバイス105の情報を、図2に示されるように、サーバ101に登録する。
【００２５】
ステップ201：ハードウェアデバイス105をサーバ101の対応するインタフェースに差し込む；
ステップ202：サーバ側の集中管理手段102から、ハードウェアデバイス105の情報を取得する；
ステップ203：集中管理手段102は、取得したハードウェアデバイス105の情報と管理者が入力した当該ハードウェアデバイスの登録情報をデータ記憶手段103に保存する；
そして、当該ハードウェアデバイスを取り外して、関連のコンピューターのユーザに渡し、当該ユーザはこのハードウェアデバイスを利用してログインを行うことができるようになる。
【００２６】
図3に示されるように、クライアント側のログインの応用流れは下記のようになる。
【００２７】
ステップ301：ユーザはハードウェアデバイス105をクライアント側107のインタフェースに差し込む；
ステップ302：ログイン手段109は検証パスワードを入力するようにユーザに要求する；
ステップ303：ユーザによって入力されたパスワードを検証し、入力されたパスワードが間違った場合、ログイン失敗と提示する。入力されたパスワードが正しい場合、次のステップに進む；
ステップ304：ログイン手段109はハードウェアデバイス105の情報を取得して、検証手段110に発送する；
ステップ305:検証手段110によって請求データを生成し、クライアント側ネット通信手段108に発送する；
ステップ306：クライアント側ネット通信手段108は請求データを暗号化して、ネット105を通じ、サーバ側に発送する；
ステップ307：サーバ側ネット通信手段104は受信したクライアント側から発送された請求データを復号し、復号されたデータを集中管理手段102に提出する；
ステップ308：集中管理手段102は、請求に従い、データ記憶手段103から対応する情報を読み出し、当該情報をサーバ側ネット通信手段104に発送する；
ステップ309：サーバ側ネット通信手段104は、集中管理手段102から返答された情報を暗号化して、ネット106を通じ、クライアント側に発送する；
ステップ310：クライアント側ネット通信手段108は、受信したデータを復号し、復号されたデータを検証手段110に発送する；
ステップ311：検証手段110はサーバから返答された情報と取得したハードウェアデバイス105の情報と比較して検証を行う；
ステップ312：当該ハードウェアデバイスはサーバに登録されたかを検証し、登録されていない場合は、ログイン手段に検証不合格の情報を発送する；登録済みの場合、次の検証に進む；
ステップ313：当該ハードウェアは当該ローカルコンピュータ用のハードウェアデバイスとして登録されているかを検証する。ＮＯの場合は、ログイン手段に検証不合格の情報を発送する；ＹＥＳの場合は、次の検証に進む；
ステップ314：当該ハードウェアデバイスはすでに削除されたかを検証する。ＹＥＳの場合は、ログイン手段に検証不合格の情報を発送する；ＮＯの場合は、ログイン手段に検証合格の情報を発送する；
ステップ315：ログイン手段は検証手段から発送された検証結果を受取り、検証不合格の場合は、ログイン失敗になる；検証合格の場合、コンピューターシステムにログインする。
【００２８】
これから、具体的な実施例をもって、本発明を更に説明する。
【００２９】
システム管理者はハードウェアデバイスＡとＢをサーバのインターフェースに別々に差し込み、ハードウェアデバイスＡをコンピューターＡに登録し、ハードウェアデバイスＢをコンピューターＢに登録する。この二つのハードウェアデバイスのパスワードを共に「123」に設定して、関連情報をデータベースに保存した後、ハードウェアデバイスを取り外し、それぞれをユーザ甲とユーザ乙に渡した。
【００３０】
〔実施例１〕
ユーザ甲はハードウェアデバイスＡを利用して、コンピューターＡにログインする場合。ユーザ甲は管理者からもらったハードウェアデバイスＡをコンピューターのインタフェースに差し込んで、コンピューターＡはユーザ甲にパスワードを入力するように要求する。ユーザ甲はパスワード「456」を入力したら、コンピューターに「パスワード間違っているため、ログインできない」と提示される。ユーザ甲は再びパスワード「123」を入力して、ログイン手段はハードウェアデバイスＡの情報を取得して、コンピューターＡの検証手段に発送する。検証手段は請求データを生成し、サーバにハードウェアデバイスＡの関連情報を提供するように要求する。検証手段は当該請求データをコンピューターＡのネット通信手段に発送し、ネット通信手段によってデータを暗号化し、ネットを通じ、サーバ側のネット通信手段に発送する。そして、サーバ側ネット通信手段によってデータが復号され、集中管理手段に発送する。集中管理手段は請求に従い、データ記憶手段からハードウェアデバイスＡの情報を読み出し、当該情報をサーバ側ネット通信手段に発送する。当該情報はサーバ側ネット通信手段によって暗号化され、ネットを通じ、コンピューターＡのネット通信手段に発送する。コンピューターＡのネット通信手段は当該情報を復号して、コンピューターＡの検証手段に発送する。検証手段は当該情報に基づき、ハードウェアデバイスＡがサーバにすでに登録され、かつ、コンピューターＡ用として登録されていてまだ削除されていないと判明し、ユーザ甲がコンピューターＡにログインすることを許可する。
【００３１】
〔実施例２〕
ユーザ乙はハードウェアデバイスＢを利用してコンピューターＡにログインする場合。ハードウェアデバイスＢをコンピューターＡのインターフェースに差し込んで、コンピューターＡはパスワードを入力するように要求する。ユーザ乙はパスワード「123」を入力して、コンピューターＡはハードウェアデバイスＢの情報を取得して、ハードウェアＢの登録情報を発送するようにサーバに請求する。サーバはコンピューターＡの請求に従い、データベースからハードウェアデバイスＢの情報を読み出し、当該情報をコンピューターＡに返答する。コンピューターＡはサーバから返答された情報に基づき、ハードウェアデバイスＢがサーバにすでに登録されているが、コンピューターＡ用として登録されていないと判明し、コンピューターＡはユーザ乙が不正なユーザであると提示し、ログインを拒否する。
【図面の簡単な説明】
【００３２】
【図１】本発明のコンピューターログインをコントロールする設備の構造を示す簡略なブロック図である。
【図２】本発明のコンピューターログインをコントロールする方法のサーバ側ハードウェアデバイス登録の作業フロー図である。
【図３】本発明のクライアント側でコンピューターにログインする際の作業フロー図である。
【符号の説明】
【００３３】
Ａ、Ｂ  コンピューター
【図１】
2007280393.tif 000003
【図２】
2007280393.tif 000004
【図３】
2007280393.tif 000005