(57)【要約】【課題】通信端末装置上に認証情報等を格納しながら、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクを低減することができる認証認可技術を提供する。【解決手段】認証等を行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化部とを含む認証認可サーバ装置と、通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集部と、収集した利用環境情報が暗号化条件で規定される条件を満たす場合に、暗号化された認証認可情報を復号する認証認可情報復号部と、復号結果を利用して、認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求部とを含む通信端末装置とを含む。【選択図】図１
2016076022.tif 000002
【特許請求の範囲】
【請求項１】
認証及び認可の少なくとも何れかを行う認証認可システムであって、
セキュリティトークンとして利用される通信端末装置と、
認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を前記通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、
前記認証認可情報を前記通信端末装置に配布する前に、設定された前記暗号化条件を用いて前記認証認可情報を暗号化する暗号化部とを含む認証認可サーバ装置とを含み、
前記通信端末装置は、
当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集部と、
収集した利用環境情報が前記暗号化条件で規定される条件を満たす場合に、暗号化された前記認証認可情報を復号する認証認可情報復号部と、
復号結果を利用して、前記認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求部とを含む、
認証認可システム。
【請求項２】
請求項１の認証認可システムであって、
前記暗号化条件は、認証及び認可の少なくとも何れかを行うことができる条件を利用環境の論理演算関係により規定し、
前記利用環境は、認証等の対象として想定される通信端末装置の利用環境であり、その通信端末装置で収集可能な情報により表される、
認証認可システム。
【請求項３】
請求項１の認証認可システムであって、
前記通信端末装置の前記環境情報収集部が、当該通信端末装置のOSと、当該通信端末装置内に実装されたアプリケーションと、外部のサーバとの少なくとも何れかから利用環境情報を収集する、
認証認可システム。
【請求項４】
請求項１の認証認可システムであって、
前記認証認可サーバ装置の暗号化部は、関数型暗号により暗号化し、
前記通信端末装置の前記認証認可情報復号部は、対応する関数型暗号により復号する、
認証認可システム。
【請求項５】
認証及び認可の少なくとも何れかを行う認証認可システムにおいて、セキュリティトークンとして利用される通信端末装置であって、
認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を前記通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、前記認証認可情報を前記通信端末装置に配布する前に、設定された前記暗号化条件を用いて前記認証認可情報を暗号化する暗号化部を含む認証認可サーバ装置から暗号化された認証認可情報を受け取るものとし、
当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集部と、
収集した利用環境情報が前記暗号化条件で規定される条件を満たす場合に、暗号化された前記認証認可情報を復号する認証認可情報復号部と、
復号結果を利用して、前記認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求部とを含む、
通信端末装置。
【請求項６】
認証及び認可の少なくとも何れかを行う認証認可システムにおいて、セキュリティトークンとして利用される通信端末装置の求めに応じて認証及び認可の少なくとも何れかを行う認証認可サーバ装置であって、
認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を前記通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、
前記認証認可情報を前記通信端末装置に配布する前に、設定された前記暗号化条件を用いて前記認証認可情報を暗号化する暗号化部とを含む、
認証認可サーバ装置。
【請求項７】
セキュリティトークンとして利用される通信端末装置と、前記通信端末装置の求めに応じて認証及び認可の少なくとも何れかを行う認証認可サーバ装置とを用いて、認証及び認可の少なくとも何れかを行う認証認可方法であって、
前記認証認可サーバ装置が、認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を前記通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定ステップと、
前記認証認可サーバ装置が、前記認証認可情報を前記通信端末装置に配布する前に、設定された前記暗号化条件を用いて前記認証認可情報を暗号化する暗号化ステップと、
前記通信端末装置が、当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集ステップと、
前記通信端末装置が、収集した利用環境情報が前記暗号化条件で規定される条件を満たす場合に、暗号化された前記認証認可情報を復号する認証認可情報復号ステップと、
前記通信端末装置が、復号結果を利用して、前記認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求ステップとを含む、
認証認可方法。
【請求項８】
請求項５の通信端末装置、または、請求項６の認証認可サーバ装置として、コンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信端末装置をセキュリティトークンとして利用し、認証及び認可の少なくとも何れか（以下「認証等」ともいう）を行う技術に関する。
【背景技術】
【０００２】
携帯電話やスマートフォンなどの通信端末装置の普及と、カメラや指紋認証装置、NFC(Near Field Communication：近距離無線通信)チップの搭載などの通信端末装置の高機能化とに伴い、通信端末装置は入退室管理やネットワークサービスへのアクセス権を認証等する際のセキュリティトークンとして利用され始めている。認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れか（以下「認証認可情報」ともいう）を通信端末装置に格納することの利点として、(1)認証認可情報の配布に通信端末装置の通信機能を利用できること、（2）チケット情報や本人情報の表示に通信端末装置の画像表示装置が使えるため印刷やカード作成の費用が削減できること、(3)指紋認証装置やNFCによる送信機能などの通信端末装置に装備された機能を流用することで装置関連の費用が削減できること等がある。
【０００３】
一般に、認証等を行うシステムは、利用者の本人性や正当性を確認する認証(Authentication)システムと利用者に対して特定のサービスやシステムへの利用権限を与える認可(Authorization)システムとに大別され、用途に応じて、何れかのシステムまたはそれらのシステムの組み合わせ（以下「認証認可システム」ともいう）が使用される。
【０００４】
認可システムとして典型的な使用例が電子チケットであり、利用可能な場所や日時などの認可情報を含むチケットを利用者に対して発行する。利用者に対する認証は、必要に応じて、認可情報の発行時に実施される。通信端末装置上で電子チケットを利用する場合は、通信端末装置の画像表示装置上に認可情報を表示させ、人間による目視や光学読取装置で読み取ることによって内容を確認するか、認可情報を通信端末装置の通信機能を利用して認可装置に転送し、認可装置上で照合することになる。
【０００５】
これに対して、認証システムとしての典型的な使用例は、社員証や学生証、入館証として広く使われているICカードの代用として通信端末装置を利用するものである。通信端末装置のカメラや指紋読み取り装置を用いて取得した生体情報を認証情報とする方式や、国際標準規格ISO/IEC 21481に基づく近距離通信技術(NFC)に対応したICチップ上のセキュア領域に格納された社員IDや通信端末装置の機体情報などを認証情報とする方式がある。ICチップを利用する方式は、従来、専用の書込み装置を使ってICチップ上に書き込む必要があった。しかし、最近ではHCE(Host-based Card Emulation、非特許文献１参照) Modeと呼ばれる、ICチップ上のセキュアな領域の代わりに、通信端末装置上の任意の領域やクラウド上に認証情報を格納可能な機能の搭載も始まっており、通信端末装置の特性を利用した新たなサービスの登場も期待されている。
【０００６】
一方、コンプライアンスやCSR（corporate social responsibility:企業の社会的責任）の観点から、正しく企業活動において蓄積された企業情報の保護及び管理の重要性は、ますます高まっている。企業情報管理の標準として標準化されたISMS標準(情報セキュリティマネジメントシステム、非特許文献２参照)では、データとして情報だけでなく、情報を格納するコンピュータシステムやコンピュータシステムを設置する家屋を含めた「情報資産」について、その必要性に応じたセキュリティ制御を行うことを推奨している。
【０００７】
情報資産に対するセキュリティ制御は、情報資産毎にアクセス権限を設定し、さらにアクセス権限を付与する人間を限定することが必要となる。例えば、入退室管理システムにおいては、各部屋毎に異なるアクセス権限を設定し、各部屋の利用者に対して、アクセス権限を付与することが求められる。利用者が入室しようとする場合、利用者の本人認証情報が検証され、さらにその本人情報に対してアクセス権限が付与されていることが確認されたうえで、入室の許可がされることになる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】"Host-based Card Emulation"、[online]、[平成26年9月18日検索]、インターネット<URL:https://developer.android.com/guide/topics/connectivity/nfc/hce.html>
【非特許文献２】「情報セキュリティマネジメントシステム(ISMS)とは」、[online]、平成26年4月14日、JIPDEC、[平成26年9月18日検索]、インターネット<URL:http://www.isms.jipdec.or.jp/isms/index.html>
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、通信端末装置上に認証情報等を格納することは、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクが高くなるという問題がある。また、クラウド上に認可情報等を格納することは、クラウドが本来的に備えるシステム上の問題（例えば、外部からの不正アクセスによる情報漏えい等）がある。
【００１０】
また、従来のアクセス制御方式では、定型的な業務が主体の場合は設定変更の必要は生じないが、非定型的な業務を行う場合、その都度権限を設定する必要がある。非定型業務の頻度が高い場合、管理稼働が高くなってしまうという課題がある。例えば、部門ごとに異なる部屋にオフィスがある場合、ある部門に所属する構成員のみがその部門に対応するオフィスに入退室できるように管理する必要がある。そのため、他の部門の構成員がそのオフィスに入る場合は、その都度、入室申請を行う必要がある。また、スケジュールの変更があった場合、再申請をしなければならない。こうした煩雑さを避けるためには、予めアクセス権限を広く与えておくことが考えられる。しかし、その場合、情報資産へのアクセス権限を必要以上に拡大することになり、セキュリティリスクが高くなる。さらに、非定型業務において認可される様々な許可権限のパターンが多くなれば、そのパターンに対応するために複雑な認可システムが必要となるという課題がある。
【００１１】
本発明は、このような点を鑑みてなされたものであり、通信端末装置上に認証情報等を格納しながら、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクを低減することができる認証認可技術を提供することを目的とする。また、複雑な設定を必要としない、既存の認証認可システムと連携した柔軟かつ汎用的なアクセス制御を設定、運用することができる認証認可技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記の課題を解決するために、本発明の一態様によれば、認証認可システムは、認証及び認可の少なくとも何れかを行う。認証認可システムは、セキュリティトークンとして利用される通信端末装置と、認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、認証認可情報を通信端末装置に配布する前に、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化部とを含む認証認可サーバ装置とを含む。通信端末装置は、当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集部と、収集した利用環境情報が暗号化条件で規定される条件を満たす場合に、暗号化された認証認可情報を復号する認証認可情報復号部と、復号結果を利用して、認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求部とを含む。
【００１３】
上記の課題を解決するために、本発明の他の態様によれば、通信端末装置は、認証及び認可の少なくとも何れかを行う認証認可システムにおいて、セキュリティトークンとして利用される。通信端末装置は、認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、認証認可情報を通信端末装置に配布する前に、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化部を含む認証認可サーバ装置から暗号化された認証認可情報を受け取るものとし、当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集部と、収集した利用環境情報が暗号化条件で規定される条件を満たす場合に、暗号化された認証認可情報を復号する認証認可情報復号部と、復号結果を利用して、認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求部とを含む。
【００１４】
上記の課題を解決するために、本発明の他の態様によれば、認証認可サーバ装置は、認証及び認可の少なくとも何れかを行う認証認可システムにおいて、セキュリティトークンとして利用される通信端末装置の求めに応じて認証及び認可の少なくとも何れかを行う。認証認可サーバ装置は、認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定部と、認証認可情報を通信端末装置に配布する前に、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化部とを含む。
【００１５】
上記の課題を解決するために、本発明の他の態様によれば、認証認可方法は、セキュリティトークンとして利用される通信端末装置と、通信端末装置の求めに応じて認証及び認可の少なくとも何れかを行う認証認可サーバ装置とを用いて、認証及び認可の少なくとも何れかを行う。認証認可方法は、認証認可サーバ装置が、認証に用いる認証情報及び認可に用いる認可情報の少なくとも何れかを含む認証認可情報を通信端末装置に配布する前に、認証及び認可の少なくとも何れかを行うことができる条件を通信端末装置の利用環境により規定する暗号化条件を設定する利用環境条件設定ステップと、認証認可サーバ装置が、認証認可情報を通信端末装置に配布する前に、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化ステップと、通信端末装置が、当該通信端末装置の利用環境を表す利用環境情報を収集する環境情報収集ステップと、通信端末装置が、収集した利用環境情報が暗号化条件で規定される条件を満たす場合に、暗号化された認証認可情報を復号する認証認可情報復号ステップと、通信端末装置が、復号結果を利用して、認証認可サーバ装置に対して認証及び認可の少なくとも何れかを要求する認証認可要求ステップとを含む。
【発明の効果】
【００１６】
本発明に係る認証認可システムによれば、通信端末装置上に認証情報等を格納しながら、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクを低減することができる。また、複雑な設定を必要とせずに、既存の認証認可システムと連携した柔軟かつ汎用的なアクセス制御を設定、運用することができる。
【図面の簡単な説明】
【００１７】
【図１】第一実施形態に係る認証認可システムの機能ブロック図。
【図２】認証認可情報を配布するフローの例を示す図。
【図３】暗号化条件の設定例を示す図。
【図４】暗号化条件の入力画面の例を示す図。
【図５】認証等のフローの例を示す図。
【図６】通信端末装置で収集可能な利用環境情報の例を示す図。
【発明を実施するための形態】
【００１８】
以下、本発明の実施形態について、説明する。なお、以下の説明に用いる図面では、同じ機能を持つ構成部や同じ処理を行うステップには同一の符号を記し、重複説明を省略する。
＜第一実施形態＞
以下、本発明の実施形態について説明する。
＜本実施形態のポイント＞
既存の認証認可システムと互換性を保ちつつ連携するために、認証認可サーバ装置では、通信端末装置上で収集可能な利用環境情報とその論理演算関係を、認証認可情報の利用権限として設定する。さらに、認証認可サーバ装置では、利用環境条件に基づいて認証認可情報を関数型暗号アルゴリズムを利用して暗号化する。
【００１９】
一方、通信端末装置では、関数型暗号アルゴリズムによって暗号化された認証認可情報を復号するために必要な利用環境情報を収集し、収集した利用環境情報を用いて暗号化された認証認可情報を復号する。さらに、通信端末装置は、復号結果（正しく復号されていれば平文の認証認可情報）を用いて認証認可装置に対して認証等を要求する。なお、通信端末装置では、暗号化条件を通信端末装置上で収集した利用環境情報が満たす場合にのみ、暗号化されている認証認可情報を復号することができ、認証等を要求し、実行することができる。
【００２０】
第一実施形態に係る認証認可システムについて説明する前に改めて、「認証認可情報」及び暗号化情報について説明する。
「認証認可情報」：認証情報及び認可情報の少なくとも何れかを含む情報。
「認証情報」：認証（利用者の本人性や正当性を確認すること）に用いる情報。例えば、社員ID。
「認可情報」：認可（利用者に対して特定のサービスやシステムへの利用権限を与えること）に用いる情報。例えば、入構許可証や電子チケット等。
「暗号化条件」：暗号化条件は、認証認可情報を暗号化する際に用いる情報であり、暗号化された情報を復号する際の条件を記述したものである。暗号化条件は、暗号化された情報を復号可能な（別の言い方をすると、「認証等を行うことができる」）条件を、利用環境の論理演算関係により、規定する。なお、利用環境は、認証等の対象として想定される通信端末装置の利用環境であり、その通信端末装置で収集可能な情報により表されるものとする。例えば、(1)所定の日付、(2)所定の場所、(3)所定のユーザ及び(4)所定の機体の少なくとも何れか一つの項目の論理演算関係を、暗号化された情報を復号する際の条件とする。
【００２１】
＜本実施形態で利用する暗号化技術について＞
一般に、ある情報へのアクセスを制御する方法として、当該情報を扱うことのできるシステムへのアクセスを制御する方法の他に、当該情報自体を暗号化し、暗号化したデータを復号するための鍵の配布を以てアクセスを制御する方法がある。認証認可システムのように許可する側と許可を受ける側とが異なる場合には、公開鍵と復号する秘密鍵とが分離される公開鍵暗号方式がよく利用される。さらに、近年では公開鍵暗号の発展形として、暗号化及び復号の少なくとも何れかの条件を、単一のパラメータや複数のパラメータとその論理演算式として与えることができる関数型暗号アルゴリズムが提案されている。なお、論理演算式は、論理和(OR条件)、論理積(AND条件)、否定(NOT条件)及びそれらの組合せの少なくとも何れかからなる。単一のパラメータを利用するものはIDベース暗号、複数のパラメータとその論理演算式で暗号化及び復号を行う方式は関数型暗号と呼ばれる。関数型暗号はIDベース暗号の拡張暗号と言える。IDベース暗号及び関数型暗号では、あらかじめペアとなるマスター公開鍵、マスター秘密鍵のセットを生成し、マスター公開鍵、マスター秘密鍵とパラメータの演算によって、パラメータ毎に異なる公開鍵及び秘密鍵を生成する(参考文献１、２及び３参照)。参考文献４は、利用者端末装置の利用環境をパラメータとして、利用者端末装置上の任意のアプリケーションの起動を制御するファイルの暗号化及び復号を行うことで、複雑なアプリケーションの起動及び停止制御のためのロジックを実装することなく実現している。
[参考文献１]小林鉄太郎、山本剛、鈴木幸太郎、平田真一、「ＩＤベース暗号の応用とキーワード検索暗号」、ＮＴＴ技術ジャーナル、２０１０年、p.17〜20
[参考文献２]特開２０１１−００４３６６号公報
[参考文献３]国際公開第ＷＯ２０１０／１２３１２２号パンフレット
[特許文献４]特開２０１３−０７４３０２号公報
本実施形態では、関数型暗号により認証認可情報を暗号化及び復号する。認証認可サーバ装置では、認証等を行うことができる条件を利用環境の論理演算関係により規定する暗号化条件を用いて、関数型暗号により暗号化する。一方、通信端末装置では、通信端末装置で収集した利用環境情報が暗号化条件で規定される条件を満たす場合にのみ、関数型暗号により復号できる。
【００２２】
＜第一実施形態に係る認証認可システムについて＞
図１は第一実施形態に係る認証認可システムの機能ブロック図の例をを示す。
認証認可システムは、検証装置１００、認証認可サーバ装置２００及び通信端末装置３００を含む。認証認可システムは、認証認可サーバ装置２００を用いて、通信端末装置３００の利用者を認証等する。本実施形態では、通信端末装置３００をセキュリティトークンとして利用し、認証認可サーバ装置２００は通信端末装置３００の求めに応じて認証等を行う。
【００２３】
なお、検証装置１００の認証認可情報検証部１０１、認証認可サーバ装置２００上の認証認可サーバ認証部２０１、認証認可情報配布部２０２、認証認可情報発行管理部２０３、通信端末装置３００上の認証認可サーバ接続部３０１、認証認可情報取得部３０２、認証認可情報格納部３０３は、従来の認証認可システムと同様の構成である。
【００２４】
まず、従来の認証認可システムの概略を説明する。認証認可情報発行管理部２０３で発行された認証認可情報（ただし、従来の認証認可システムでは平文）は、認証認可情報配布部２０２、認証認可情報取得部３０２を経由して、認証認可サーバ認証部２０１で認証された通信端末装置３００上の認証認可情報格納部３０３に格納される。格納された認証認可情報はそのまま検証装置１００上の認証認可情報検証部１０１に送られ、必要に応じで認証認可情報発行管理部２０３と照合の上、認証等の可否が判定される。このような構成の場合、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクがある。
【００２５】
そこで、本実施形態では、上述した認証認可サーバ装置２００に対して、暗号化条件を設定する利用環境条件設定部２１１、設定された暗号化条件を用いて認証認可情報を暗号化する暗号化部２１２を組込む。
【００２６】
さらに、通信端末装置３００に対して、格納された認証認可情報の暗号化の有無を判定し暗号化されている場合には、認証認可情報復号部３１１に復号を要求する機能と、復号された平文の認証認可情報をもとに検証装置１００に対して認証等を要求する認証認可要求部３１２と、認証認可情報復号部３１１からの依頼により通信端末装置の利用環境を収集、送信する環境情報収集部３１３を組込む。
【００２７】
かかる構成とすることで、認証認可情報の暗号化を行い、既存の装置及び運用フロー、動作フローがそのまま流用可能であり、検証装置１００、認証認可サーバ装置２００の変更を最小限にするとともに、既存装置との互換性を担保することができるという利点がある。
【００２８】
＜認証認可情報の配布＞
まず、認証認可情報を通信端末装置３００の認証認可情報格納部３０３に格納するフローの例を、図２を用いて説明する。
認証認可システムの管理者は、利用環境条件設定部２１１を用いて暗号化条件を予め設定する（ｓ１１）。
【００２９】
図３は通信端末装置３００で収集可能な利用環境情報の論理演算式により、暗号化条件を設定する例を示したものである。なお、通信端末装置３００で収集可能な利用環境情報についての詳細は後述する。
【００３０】
暗号化条件(c0001)は、認証等可能な条件を、日時の論理演算関係により規定する。以下、「日時条件」ともいう。ここでは、利用可能な時間帯をOR条件とし、そのOR条件と利用可能な日付とのAND条件とすることで、特定の日の特定の時間帯のみ、復号可能とし、認証等を行うことができる。
【００３１】
暗号化条件(c0011)は、認証等可能な条件を、複数の日時の論理演算関係により規定する。以下、「日程条件」ともいう。ここでは、複数の日時条件のOR条件を指定した日程条件であり、複数の日付でそれぞれ異なる時間帯を指定することができる。
【００３２】
暗号化条件(c1011)は、認証等可能な条件を、複数の日時と場所との論理演算関係により規定する。以下、「使用許可条件」ともいう。日程条件の拡張であり各日時条件に利用可能な場所条件とのAND条件をとることで、日時毎に、入室可能な部屋が異なるような使用許可条件を設定する例である。
【００３３】
また、日程条件や使用許可条件と、ユーザ条件、機体条件のAND条件を指定することで、特定の利用者や通信端末装置３００以外での利用を制限することができる。例えば、暗号化条件(c0111)では、認証等可能な条件を、複数の日時とユーザと機体との論理演算関係により規定し、日程条件とユーザ条件と機体条件のAND条件を指定する。また、暗号化条件(c1111)では、認証等可能な条件を、複数の日時と場所とユーザと機体との論理演算関係により規定し、使用許可条件とユーザ条件と機体条件のAND条件を指定する。このように、通信端末装置３００上で収集可能な情報を暗号化条件とすることで、様々な利用パターンを簡易に設定できる。さらに、通信端末装置３００上で収集可能な情報を暗号化条件とすることで、、暗号化条件の項目(利用環境)を変更（追加、削除）する場合においても、通信端末装置３００と認証認可サーバ装置２００との間で連携をとればよく、認証認可システム自体の拡張は不要である。例えば、図４のような入力画面を用意し、認証認可システムの管理者は、容易に、利用パターンを設定でき、暗号化条件の項目を変更することができる。また、通信端末装置３００の利用者に対して、入力画面を表示し、入力、申請させて、認証認可システムの管理者はその申請を受けるか否かを判断する構成としてもよい。
【００３４】
利用環境条件設定部２１１は、認証認可システムの管理者により入力または承認された暗号化条件を暗号化部２１２に出力する。
【００３５】
通信端末装置３００の認証認可サーバ接続部３０１は、通信端末装置３００の利用者の操作に応じて、認証認可サーバ装置２００に接続する（ｓ１２）。
【００３６】
認証認可サーバ認証部２０１は、認証認可サーバ接続部３０１からの接続を確認すると認証を行う（ｓ１３）。例えば、ユーザIDとパスワードにより認証する。認証処理の結果、利用者の本人性や正当性を確認できない場合には、認証ができない旨のメッセージを通信端末装置３００に送信し、再度認証処理を要求してもよいし、認証処理を拒否し終了してもよい。認証処理の結果、利用者の本人性や正当性を確認できた場合には、認証認可情報発行管理部２０３に認証認可情報を発行するように制御信号を出力する。なお、認証認可サーバ認証部２０１で行う認証処理は、認証認可システムの利用者としての本人性や正当性を確認するものであって、認証認可情報を用いて行う認証処理とは別の認証処理である。
【００３７】
認証認可情報発行管理部２０３は、認証認可情報の発行を指示する制御信号を受信すると、認証認可情報を平文で発行し（ｓ１４）、暗号化部２１２に出力する。平文の認証認可情報は、後述する認証等に備えて図示しない記憶部等に記憶しておく。
【００３８】
暗号化部２１２は、利用環境条件設定部２１１から受け取った暗号化条件を用いて、関数型暗号により、平文の認証認可情報を暗号化し（ｓ１５）、暗号文の認証認可情報を認証認可情報配布部２０２に出力する。
【００３９】
認証認可情報配布部２０２は、暗号文の認証認可情報を受け取り、図示しない通信回線等を介して、暗号文の認証認可情報を通信端末装置３００に配布（送信）する（ｓ１６）。
【００４０】
通信端末装置３００の認証認可情報取得部３０２は、暗号文の認証認可情報を受け取り、取得し（ｓ１７）、認証認可情報格納部３０３に格納する（ｓ１８）。
【００４１】
以上の処理ｓ１１〜ｓ１８により、認証認可サーバ装置２００は、認証認可情報を通信端末装置３００に安全に配布することができる。
【００４２】
＜認証等＞
通信端末装置３００が配布された認証認可情報を用いて認証等を行うフローの例を、図５を用いて説明する。
通信端末装置３００の利用者は、通信端末装置３００をセキュリティトークンとして利用して認証等を行うことができる。
【００４３】
通信端末装置３００の認証認可要求部３１２は、通信端末装置３００の利用者の操作（認証等の要求）に応じて、暗号文の認証認可情報を認証認可情報格納部３０３から取り出し（ｓ２１）、暗号文の認証認可情報を認証認可情報復号部３１１に出力する。
【００４４】
認証認可情報復号部３１１は、暗号文の認証認可情報を受け取ると、環境情報収集部３１３に利用環境情報の収集するように制御信号を出力する。
【００４５】
環境情報収集部３１３は、利用環境情報の収集を指示する制御信号を受け取ると、通信端末装置３００の利用環境を表す1つ以上の利用環境情報のうち、少なくとも復号するために必要な利用環境情報を収集し（ｓ２３）、認証認可情報復号部３１１に出力する。復号するために必要な利用環境情報は、認証認可サーバ装置２００の利用環境条件設定部２１１で設定された暗号化条件により規定される。例えば、環境情報収集部３１３は、通信端末装置３００のOSと、通信端末装置３００内に実装されたアプリケーションと、外部のサーバとの少なくとも何れかから利用環境情報を収集する。
【００４６】
図６は通信端末装置３００で収集可能な利用環境情報の例である。利用環境情報は、通信端末装置３００のOS(Operating System)が管理する情報(以下「OS管理情報」ともいう)、通信端末装置３００が外部のサーバに接続して取得する情報（以下「外部サーバ取得情報」ともいう）、通信端末装置３００内のアプリケーションソフトウェアから取得する情報(以下「内部アプリ系情報」ともいう)等が考えられる。OS管理情報は、日付や時間、機体の固有番号(例えばMACアドレスや端末製造番号等)やIPアドレスやゲートウェイアドレス、GPS情報や無線アクセスポイントのSSIDなどを含む通信端末装置本体及び通信端末装置のネットワーク環境、位置情報である。外部サーバ取得情報は、通信端末装置が外部サーバから取得する情報である。NTPサーバから日付・時間情報を取得することで、利用者による改ざんのリスクを避けることや、ユーザ認証サイトで取得した認証情報を利用することで、目的とする認証等に対して多重認証の機能を付加することが可能となる。内部アプリ系情報は、OS管理情報を補完する目的で通信端末装置３００上に配置された別のアプリから情報を取得するものであり、ユーザに対してIDやパスワードの入力や認証トークンの使用を要求したり、特定のアプリが持つ任意の情報を利用することで、利用者及び通信端末装置のセキュリティ強度をあげ、認証認可システムに対する不正攻撃のリスクを低下させることが可能となる。なお、暗号化条件や利用環境は、図３や図６に記述した形式や方式に限定されない。
【００４７】
認証認可情報復号部３１１は、利用環境情報を受け取り、受け取った利用環境情報が認証等を行うことができる条件を満たす場合には、関数型暗号により、暗号化された認証認可情報を復号し（ｓ２４）、復号結果を認証認可要求部３１２に出力する。なお、正しく復号が行われた場合、言い換えると、条件を満たす場合、復号結果は、認証認可サーバ装置２００の認証認可情報発行管理部２０３で発行した認証認可情報と同じ情報となる。
【００４８】
例えば、図３の暗号化条件(c1111)の場合、(1)OS管理情報群に含まれる日付・時間情報や外部サーバ取得情報群に含まれる日付・時間情報等を取得し、取得した情報が暗号化条件(c1111)に含まれる日時条件を満たし、(2)OS管理情報群に含まれるNW接続情報や位置情報(GPS/WiFi AP)等を取得し、取得した情報が暗号化条件(c1111)に含まれる場所条件を満たし、(3)外部サーバ取得情報群に含まれるユーザ認証情報や内部アプリ系情報群に含まれるユーザ認証情報等を取得し、取得した情報が暗号化条件(c1111)に含まれるユーザ条件を満たし、(4)OS管理情報群に含まれる機体固有番号等を取得し、取得した情報が暗号化条件(c1111)に含まれる機体条件を満たす場合、暗号化された認証認可情報を復号することができる。
【００４９】
なお、受け取った利用環境情報が暗号化条件で規定される利用環境を満たさない場合には、復号することができない。そのため、通信端末装置３００の利用者は、平文の認証認可情報を用いて認証等を行うことができない。
【００５０】
なお、復号方式は、暗号化部２１２で用いた暗号化方式に対応するものであればよい。
【００５１】
認証認可要求部３１２は、復号結果を受け取り、この値を利用して、認証認可サーバ装置２００に対して認証等を要求する。本実施形態では、検証装置１００を介して認証等を要求する。
【００５２】
検証装置１００の認証認可情報検証部１０１は、復号結果を受け取り、認証認可サーバ装置２００に対して、復号結果と認証認可サーバ装置２００の認証認可情報発行管理部２０３で発行した認証認可情報とが一致するか否かを照合し、検証する（ｓ２５）。照合の結果、一致する場合には、認証等を許可する旨のメッセージを通信端末装置３００に送信する。照合の結果、一致しない場合には、認証等を禁止する旨のメッセージを通信端末装置３００に送信する。
【００５３】
＜効果＞
このような構成により、通信端末装置上に認証情報等を格納しながら、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによる情報流出のリスクを低減することができる。つまり、通信端末装置の紛失や窃用、盗聴やコンピュータウィルス、フィッシング攻撃などによって、暗号文の認証認可情報が流出したとしても、利用環境の論理演算関係が、暗号化条件を満たさない場合には、認証等を禁止することができる。また、複雑な設定を必要とせずに、既存の認証認可システムと連携した柔軟かつ汎用的なアクセス制御を設定、運用することができる。
【００５４】
＜変形例＞
認証認可サーバ装置２００が検証装置１００を含む構成としてもよい。
認証認可サーバ装置２００上の利用環境条件設定部２１１、暗号化部２１２は、他の装置と別のサーバ上に格納する形態としてもよい。
【００５５】
本発明は上記の実施形態及び変形例に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
【００５６】
＜プログラム及び記録媒体＞
また、上記の実施形態及び変形例で説明した各装置における各種の処理機能をコンピュータによって実現してもよい。その場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
【００５７】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させてもよい。
【００５８】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶部に格納する。そして、処理の実行時、このコンピュータは、自己の記憶部に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実施形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよい。さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、プログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００５９】
また、コンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【図１】
2016076022.tif 000003
【図２】
2016076022.tif 000004
【図３】
2016076022.tif 000005
【図４】
2016076022.tif 000006
【図５】
2016076022.tif 000007
【図６】
2016076022.tif 000008