(57)【要約】【課題】ネットワークサービスサーバに特定端末のみを接続する制御では、端末情報を含む認証用情報を事前に登録する必要があった。【解決手段】クライアント端末は、サービス使用要求の際、ネットワークサービスサーバのＵＲＬを含む接続情報をアクセス制御システム及び機器認証システムにそれぞれ送信し、アクセス制御システムは、機器認証が必要と判定した場合に、クライアント端末からの接続情報を基に機器認証情報を生成し、機器認証システムに照会要求し、照会結果を基にサーバへの接続可否を決定し、機器認証システムは、クライアント端末からの接続情報を基に機器認証情報を生成して機器認証情報管理ＤＢに格納し、アクセス制御システムから照会要求のあった機器認証情報が機器認証情報管理ＤＢに格納されているか否かを照会し、照会結果を送信する。【選択図】図１
2016057835.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末と、前記クライアント端末とそれぞれが接続するとともに互いに接続するアクセス制御システム及び機器認証システムと、を備え、前記クライアント端末は、前記アクセス制御システム経由にてネットワークサービスサーバに接続する機器認証アクセス制御システムであって、
前記クライアント端末は、ネットワークサービスサーバにサービス使用要求を行う際、当該ネットワークサービスサーバのＵＲＬを含む接続情報を前記アクセス制御システム及び前記機器認証システムにそれぞれ送信する接続情報送信手段を備え、
前記アクセス制御システムは、
特定機器についての機器認証を実施するネットワークサービスサーバのＵＲＬを予め登録したアクセス制御対象管理ＤＢと、
前記クライアント端末から接続情報を受信した際、前記接続情報に含まれるＵＲＬを基に前記アクセス制御対象管理ＤＢの照会を行い機器認証が必要か否かを判定するアクセス制御判定手段と、
機器認証が必要と判定した場合、前記接続情報を基に機器認証情報を生成する第１の機器認証情報生成手段と、
前記第１の機器認証情報生成手段により生成した機器認証情報の照会を前記機器認証システムに要求する機器情報照会要求手段と、
前記機器認証システムから受信した照会結果を基に、クライアント端末のサービス使用要求のネットワークサービスサーバへの接続の可否を決定する手段と、を備え、
前記機器認証システムは、
前記クライアント端末から接続情報を受信した際、前記接続情報を基に機器認証情報を生成する第２の機器認証情報生成手段と、
前記第２の機器認証情報生成手段により生成した機器認証情報を機器認証情報管理ＤＢに格納する機器認証情報格納手段と、
前記アクセス制御システムから照会要求のあった機器認証情報が機器認証情報管理ＤＢに格納されているか否かを照会し、照会結果を前記アクセス制御システムに送信する機器認証情報照会手段と、を備えたことを特徴とする
特定機器の機器認証アクセス制御システム。
【請求項２】
前記機器認証システムが前記アクセス制御対象管理ＤＢを照会する手段を備える場合、
前記機器認証システムは、前記クライアント端末から接続情報を受信した際、前記接続情報に含まれるＵＲＬを基に前記アクセス制御対象管理ＤＢの照会を行い機器認証が必要か否かを判定し、機器認証が必要と判定した場合にのみ、前記第２の機器認証情報生成手段により、前記接続情報を基に機器認証情報を生成することを特徴とする
請求項１に記載の特定機器の機器認証アクセス制御システム。
【請求項３】
前記アクセス制御システムの前記第１の機器認証情報生成手段は、前記接続情報を基に暗号化することにより機器認証情報を生成し、前記機器認証システムの前記機器認証情報照会手段は、前記アクセス制御システムからの照会要求に含まれる機器認証情報を復号化した後、前記機器認証情報管理ＤＢに対する照会を行うことを特徴とする
請求項１又は２に記載の特定機器の機器認証アクセス制御システム。
【請求項４】
前記クライアント端末における前記接続情報送信手段は、予め当該クライアント端末にインストールされたプログラムにより実現されることを特徴とする請求項１〜３のいずれかに記載の特定機器の機器認証アクセス制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、固定型あるいは移動型のクライアント端末に対し、特定機器によるネットワークサービスサーバへのアクセスについて機器認証に基づきアクセス権を付与する機器認証アクセス制御システムに関するものである。
【背景技術】
【０００２】
スマートフォンやタブレット端末等のクライアント端末の普及に伴い、場所にとらわれず簡単にネットワークサービスサーバへのアクセスができるようになってきている。しかし、機密性を必要とするサービスに対して不特定のクライアント端末からのアクセスを禁止する必要があるため、機密性を必要とするサービスを利用するクライアント端末の機器認証システムが普及してきている。
【０００３】
図７は、特許文献１に記載された機器認証システムを表すブロック構成図であり、サービスを利用するクライアント端末７０１と、クライアント端末７０１の機器認証を行う機器認証サーバ７０２と、クライアント端末７０１にサービスを提供するサービスサーバ７０３とから構成されている。この機器認証システムにおいては、クライアント端末７０１の機器ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）と機器認証の暗号鍵生成に必要とするパスフレーズを機器認証サーバ７０２に登録しておく。
【０００４】
クライアント端末７０１からサービスサーバ７０３にサービスを要求すると、サービスサーバ７０３は機器認証サーバ７０２での機器認証を要求する。クライアント端末７０１は、機器認証サーバ７０２に機器認証を行ってもらい、機器認証結果をサービスサーバ７０３に送信する。サービスサーバ７０３は、クライアント端末７０１から機器認証結果を受信し、これが確かに機器認証サーバ７０２で行ったものであることを機器認証サーバ７０２で確認した後、サービスの提供を開始する。クライアント端末７０１と機器認証サーバ７０２は、パスフレーズを共有しており、クライアント端末７０１と機器認証サーバ７０２は、それぞれ相手がパスフレーズを記憶していることを確認することにより、相互に認証を行う。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−１０２１６３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、個人所有のスマートフォンやタブレット端末等のクライアント端末の普及に伴い、個人所有のクライアント端末を会社業務に利用しようとするＢＹＯＤ（Ｂｒｉｎｇ  ｙｏｕｒ  ｏｗｎ  ｄｅｖｉｃｅ）と呼ばれる動きが出てきている。しかし、個人所有のクライアント端末の機器固有情報を機器認証システムに登録することに抵抗を感じる者も少なからず存在するため、ＢＹＯＤの普及を妨げる要因の一つとなっている。
【０００７】
また、大量のクライアント端末を保有する企業の場合、クライアント端末の入れ替えのたびに発生する認証用の機器固有情報の登録及び削除が大きな負担となっている。
【０００８】
別の方法として、認証用の機器固有情報を登録した認証専用の外部接続機器をクライアント端末に接続することにより、機器固有情報の代わりに利用するという方法もある。しかし、認証専用の外部接続機器は紛失等の危険性があり、機器管理の手間がかえって増えるおそれもある。また、スマートフォンでは認証用の外部機器自体が提供されていないものもあり、根本的な解決にはなっていない。
【０００９】
本発明の目的は、機器認証システムに対し事前に認証用の機器固有情報を登録せずとも、特定機器によるネットワークサービスサーバへのアクセスについて機器認証に基づきアクセス権を付与することができる、特定機器の機器認証アクセス制御システムを提供することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明は、以下の構成を提供する。
本発明の態様は、クライアント端末と、前記クライアント端末とそれぞれが接続するとともに互いに接続するアクセス制御システム及び機器認証システムと、を備え、前記クライアント端末は、前記アクセス制御システム経由にてネットワークサービスサーバに接続する機器認証アクセス制御システムであって、
前記クライアント端末は、ネットワークサービスサーバにサービス使用要求を行う際、当該ネットワークサービスサーバのＵＲＬを含む接続情報を前記アクセス制御システム及び前記機器認証システムにそれぞれ送信する接続情報送信手段を備え、
前記アクセス制御システムは、特定機器についての機器認証を実施するネットワークサービスサーバのＵＲＬを予め登録したアクセス制御対象管理ＤＢと、前記クライアント端末から接続情報を受信した際、前記接続情報に含まれるＵＲＬを基に前記アクセス制御対象管理ＤＢの照会を行い機器認証が必要か否かを判定するアクセス制御判定手段と、機器認証が必要と判定した場合、前記接続情報を基に機器認証情報を生成する第１の機器認証情報生成手段と、前記第１の機器認証情報生成手段により生成した機器認証情報の照会を前記機器認証システムに要求する機器情報照会要求手段と、前記機器認証システムから受信した照会結果を基に、クライアント端末のサービス使用要求のネットワークサービスサーバへの接続の可否を決定する手段と、を備え、
前記機器認証システムは、前記クライアント端末から接続情報を受信した際、前記接続情報を基に機器認証情報を生成する第２の機器認証情報生成手段と、前記第２の機器認証情報生成手段により生成した機器認証情報を機器認証情報管理ＤＢに格納する機器認証情報格納手段と、前記アクセス制御システムから照会要求のあった機器認証情報が機器認証情報管理ＤＢに格納されているか否かを照会し、照会結果を前記アクセス制御システムに送信する機器認証情報照会手段と、を備えたことを特徴とする。
【００１１】
上記態様において、前記機器認証システムが前記アクセス制御対象管理ＤＢを照会する手段を備える場合、前記機器認証システムは、前記クライアント端末から接続情報を受信した際、前記接続情報に含まれるＵＲＬを基に前記アクセス制御対象管理ＤＢの照会を行い機器認証が必要か否かを判定し、機器認証が必要と判定した場合にのみ、前記第２の機器認証情報生成手段により、前記接続情報を基に機器認証情報を生成することを特徴とする。
【００１２】
上記態様において、前記アクセス制御システムの前記第１の機器認証情報生成手段は、前記接続情報を基に暗号化することにより機器認証情報を生成し、前記機器認証システムの前記機器認証情報照会手段は、前記アクセス制御システムからの照会要求に含まれる機器認証情報を復号化した後、前記機器認証情報管理ＤＢに対する照会を行うことを特徴とする。
【００１３】
上記態様において、前記クライアント端末における前記接続情報送信手段は、予め当該クライアント端末にインストールされたプログラムにより実現されることを特徴とする。
【発明の効果】
【００１４】
本発明の、ネットワーク経由での特定機器の機器認証アクセス制御システムによれば、次のような効果がある。
事前にクライアント端末の機器固有情報を登録していなくても、所定の接続情報生成プログラムをクライアント端末にインストールしておくことにより、接続情報生成プログラムをインストールしたクライアント端末からのみネットワークサービスサーバへ接続させるようにアクセス制御することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明の一実施の形態例を示すシステム構成図である。
【図２】図２は、クライアント端末から渡す接続情報の構成図である。
【図３】図３は、アクセス制御対象管理データベースに格納しているデータの構成図である。
【図４】図４は、機器認証情報管理データベースに格納しているデータの構成図である。
【図５】図５は、本発明による機器認証手順のフローチャートである。
【図６】図６は、本発明による機器認証手順を説明するためのブロック構成図である。
【図７】図７は、従来の機器認証システムの概略構成図である。
【発明を実施するための形態】
【００１６】
以下、本発明を適用した特定機器の機器認証アクセス制御システムの一実施の形態について説明する。図１は、本発明の実施の形態の一例を示すシステム構成図である。
【００１７】
特定機器の機器認証アクセス制御システムは、クライアント端末１と、アクセス制御システム３と、機器認証システム４と、を備えている。クライアント端末１には、接続情報生成プログラム２がインストールされており、それにより適宜のネットワークを介してアクセス制御システム３及び機器認証システム４とそれぞれ接続する。アクセス制御システム３と機器認証システム４は互いに接続している。クライアント端末１は、スマートフォンやタブレット端末等の移動型の機器であっても、固定型の機器であってもよい。アクセス制御システム３及び機器認証システム４は、所定の機能を実現するプログラムをインストールしたコンピュータであり、ＣＰＵが所定のプログラムを読み込み実行することにより、図１の各機能処理部を実現する。
【００１８】
ネットワークサービスサーバ５は、アクセス制御システム３と接続している。ネットワークサービスサーバ５は、ネットワークを介してクライアント端末１に対して所定のサービスを提供可能なサーバである。ここでは、１つのＵＲＬに対応するサービス提供機能を、１つのサーバとみなすこととする。図１では１つのネットワークサービスサーバ５のみを示しているが、多数存在することを前提としている。多数のネットワークサービスサーバ５には、特定機器についての機器認証を実施するものと、実施しないものが含まれる。クライアント端末１は、これらの各種ネットワークサービスサーバのいずれかに対し、所定のサービス使用要求を行うべく接続する。
【００１９】
アクセス制御システム３は、特定機器についての機器認証を実施するネットワークサービスサーバのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）を登録したアクセス制御対象管理ＤＢ（データベース）６を有する。
【００２０】
機器認証システム４は、クライアント端末１から受信した接続情報を基に生成した機器認証情報を格納する機器認証情報管理ＤＢ７を有する。なお、図１に示す本発明の一例においては、機器認証システム４がアクセス制御対象管理ＤＢ６を参照しない構成としているが、別の例においては、機器認証システム４が、アクセス制御対象管理ＤＢ６を参照できる構成としてもよい（点線で示す）。
【００２１】
クライアント端末１とネットワークサービスサーバ５は、アクセス制御システム３を経由して接続しており、アクセス制御システム３はゲートウェイとして機能している。
【００２２】
クライアント端末１にインストールされている接続情報生成プログラム２は、クライアント端末１がサービス使用要求のためにネットワークサービスサーバ５に接続した際、その接続情報を、アクセス制御システム３及び機器認証システム４にそれぞれ送信する接続情報送信部８を備えている。
【００２３】
アクセス制御システム３は、クライアント端末１からネットワークサービスサーバ５への接続要求があった場合に機器認証が必要かどうかをアクセス制御対象管理ＤＢ６に照会をして判定するアクセス制御判定部９と、クライアント端末１から受信した接続情報を基に機器認証情報を生成する機器認証情報生成部１０と、機器認証情報生成部１０で生成した機器認証情報の照会を機器認証システム４に要求する機器情報照会要求部１１とを備えている。
【００２４】
機器認証システム４は、クライアント端末１から受信した接続情報を基に機器認証情報を生成する機器認証情報生成部１２と、機器認証情報生成部１２で生成した機器認証情報を機器認証情報管理ＤＢ７に登録する機器認証情報格納部１３と、アクセス制御システム３の機器情報照会要求部１１から要求のあった機器認証情報が機器認証情報管理ＤＢ７に登録されているかを検索し、照会する機器認証情報照会部１４とを備えている。
【００２５】
図２は、上記機器認証情報の基情報となる接続情報２０１の内容を示す図である。接続情報は、クライアント端末１がネットワークサービスサーバに接続する際のパケット情報から取得する。
【００２６】
図２では、ファイルサーバのプロトコルであるＳＭＢ／ＣＩＦのパケット情報から取得したクライアントＩＰアドレス２０２、ポート番号２０３、ユーザＩＤ２０４、プロセスＩＤ２０５、マルチプレックスＩＤ２０６を例として挙げている。アクセス制御システム３の機器情報生成部１０及び機器認証システム４の機器認証情報生成部１２では、これらの接続情報を連結し、それぞれ機器認証情報を生成する。
【００２７】
図３は、アクセス制御システム３のアクセス制御対象管理ＤＢ６に予め登録されたアクセス制御対象情報３０１を示す図である。アクセス制御対象情報３０１として、アクセス制御対象サービスＵＲＬ３０２ａ〜３０２ｃで示すＵＲＬが登録される。なお、アクセス制御対象サービスＵＲＬ３０２ａ〜３０２ｃについては、図３には３件しか記載していないが４件以上の任意の件数のアクセス制御対象サービスＵＲＬを登録することができる。
【００２８】
アクセス制御システム３のアクセス制御判定部９は、クライアント端末１からサービス要求があったネットワークサービスサーバ５のＵＲＬがアクセス制御対象サービスＵＲＬ３０２ａ〜３０２ｃのいずれかに合致するか否かを判定する。合致していた場合は、機器認証情報生成部１０が機器認証情報を生成し、機器情報照会要求部１１が機器認証情報の照会を機器認証システム４に要求する。
【００２９】
図４は、機器認証システム４の機器認証情報管理ＤＢ７に格納される機器認証情報蓄積情報４０１を示す図である。機器認証情報蓄積情報４０１は、機器認証情報生成部１２で生成した機器認証情報４０２と、機器認証情報４０２を生成し格納した日時を示す機器認証情報格納日時４０３を登録する。機器認証情報登録日時４０３は、登録した機器認証情報を削除する決定を行うために用いる。
【００３０】
なお、一例では、機器認証システム４は、クライアント端末１から受信した全ての接続情報について機器認証情報生成部１２が機器認証情報を生成し、生成した機器認証情報を機器認証情報格納部１３が機器認証情報管理ＤＢ７に格納する。
【００３１】
また、別の例として、機器認証システム４がアクセス制御対象管理ＤＢ６を参照可能である場合、機器認証システム４は、クライアント端末１から接続情報を受信したとき、アクセス制御対象管理ＤＢ６を参照し、接続情報に含まれるＵＲＬがアクセス制御対象サービスＵＲＬ３０２ａ〜３０２ｃのいずれかに合致するか否かを判定する。合致していた場合にのみ、機器認証情報生成部１２が機器認証情報を生成し、生成した機器認証情報を機器認証情報格納部１３が機器認証情報管理ＤＢ７に格納する。
【００３２】
図５は、本発明による機器認証手順の流れの一例を示す。図６は、本発明による機器認証手順をブロック図として示している。
【００３３】
図５では、一例として、図１の機器認証システム４が、アクセス制御対象管理ＤＢ６を参照可能である場合の流れを示す。
【００３４】
クライアント端末からネットワークサービスサーバへのサービス使用要求が発行される（ステップ５０１）と、アクセス制御システムは、サービス使用要求から取得した接続情報に含まれるＵＲＬを基にアクセス制御対象情報ＤＢを参照し、アクセス制御対象（機器認証が必要）か否かを判定する(ステップ５０２)。アクセス制御対象でない場合は、サービス使用要求（ステップ５１１）を実施する。アクセス制御対象の場合、公開鍵を取得しクライアント端末から送信されてきた接続情報を基にこれを暗号化することにより機器認証情報を生成する（ステップ５０３）。
【００３５】
接続情報５成プログラムをインストールされているクライアント端末では、ステップ５０１のネットワークサービスサーバへ使用要求を出した後、機器認証システムに接続情報を転送する（ステップ５０４）。機器認証システムは、接続情報を受け取ると、接続情報に含まれるＵＲＬを基にアクセス制御対象情報ＤＢを参照し、アクセス制御対象（機器認証が必要）か否かを判定する（ステップ５０５）。接続情報に含まれるＵＲＬがアクセス制御の対象外であった場合は、この時点でそのまま処理を終了する。
【００３６】
接続情報に含まれるＵＲＬがアクセス制御対象であった場合、接続情報から機器認証情報を生成（ステップ５０６）し、機器認証情報管理ＤＢに格納する（ステップ５０７）。
【００３７】
アクセス制御システムは、ステップ５０３の機器認証情報を生成したのち、機器認証情報の照会要求を機器認証システムに出す（ステップ５０８）。照会要求には機器認証情報が含まれる。
【００３８】
機器認証システムはアクセス制御システムから受け取った機器認証情報を復号化し、機器認証情報管理ＤＢに格納されているか否かを確認（ステップ５０９）し、照会結果をアクセス制御システムに返信する（ステップ５１０）。接続情報生成プログラムをインストールされているクライアント端末については、機器認証情報ＤＢに機器認証情報が格納されているため、照会結果は「機器認証完了」となる。ここで、接続情報生成プログラムをインストールしていないクライアント端末の場合は、機器認証システムに接続情報を送信していないため、機器認証情報ＤＢに機器認証情報は格納されておらず、照会結果は「機器認証未完了」となる。
【００３９】
アクセス制御システムは、機器認証システムからの照会結果を基に、機器認証が完了していると判定できた場合は、ネットワークサービスサーバへの使用要求を送信する（ステップ５１１、５１２）。
【符号の説明】
【００４０】
１  クライアント端末、２  接続情報送信プログラム、３  アクセス制御システム、４  機器認証システム、５  ネットワークサービスサーバ、６  アクセス制御対象管理ＤＢ、７  機器認証情報管理ＤＢ、８  接続情報送信部
【図１】
2016057835.tif 000003
【図２】
2016057835.tif 000004
【図３】
2016057835.tif 000005
【図４】
2016057835.tif 000006
【図５】
2016057835.tif 000007
【図６】
2016057835.tif 000008
【図７】
2016057835.tif 000009