アクセス制御システム
【課題】所定のネットワーク網へのアクセス制御を行い、セキュリティの向上を図る。
【解決手段】情報処理端末による特定の領域内に設置されたアクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、を備えた。
【解決手段】情報処理端末による特定の領域内に設置されたアクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システムにかかり、特に、所定領域内において情報処理端末による無線ネットワークへのアクセス制御を行うシステムに関する。
【背景技術】
【０００２】
近年、コンピュータによるネットワーク接続には、有線ケーブルを使用しない無線ネットワークが普及している。そして、このような無線ネットワークを用いる場合には、所定の領域内である室内に設置するアクセスポイントによる電波が、当該室内にのみ届くように設定することで、室内に存在するコンピュータに対してのみアクセスを許可し、第三者による不正アクセスを抑制している。例えば、特許文献１に記載されているように、ホットスポットサービスにて利用される。そして、アクセスポイントを介してインターネットにアクセスするコンピュータの認証は、例えば、コンピュータや装備されているネットワーク機器などに固有の識別情報であるＭＡＣアドレスを用いて行う。
【０００３】
しかしながら、上述したような所定領域内（室内）においてのみアクセスを許容する無線ネットワークであっても、電波の届く範囲であれば所定領域外（室外）といった外部からコンピュータによるアクセス可能となってしまい、不正な者によってアクセスされる可能性があり、セキュリティが低下する、という問題が生じる。一方で、アクセスポイントにアクセスしてきたコンピュータを上述したようにＭＡＣアドレスを用いて接続許可／不許可を判断することもできるが、そのコンピュータが許可区域からのアクセスであるか、不許可区域からのアクセスであるか、を判定できない。かかる場合には、セキュリティの問題からコンピュータの使用場所を限定したい場合であっても、それを限定することができず、上記同様に、セキュリティの低下という問題が生じうる。
【０００４】
また、関連する技術が、下記特許文献２，３，４に開示されている。特許文献２に開示の技術は、暗号キーなどの接続情報が予め記憶されたメモリーカードを装着した端末が、かかる接続情報を利用してアクセスポイントにアクセスし、認証が成功した場合に、端末固有の端末識別子（ＭＡＣアドレス）とメモリーカードに記憶された認証情報とを登録する、というものである。そして、登録されたＭＡＣアドレス及び認証情報に基づいて、端末の接続を許可している。しかし、メモリーカードには、ＭＡＣアドレスを登録する前に行う認証に必要な暗号キーなどが記憶されるだけであり、つまり、端末を特定する情報は記憶されていない。このため、メモリーカードを装着した端末はいずれも接続可能となってしまう、という問題が生じる。また、特定の領域外からのアクセスを防止する技術については記載されていない。
【０００５】
また、特許文献３には、セキュリティカードを用いて、エリアの出入口に設置された入退場管理装置にてユーザの入退場管理を行う、という技術が開示されている。しかし、かかる技術でも、カードを有していれば他人のコンピュータによる接続が可能となってしまい、なりすましの問題が生じる。また、エリアへの入退場はカードで管理しているため、一旦エリアに入った端末が外に出た場合でも、無線通信が届く場合には、エリア外でも利用可能となってしまうという問題が生じる。
【０００６】
さらに、特許文献４には、所定場所に入場する際に通過する入場ゲートを備えたシステムが開示されている。具体的には、近距離無線通信にて移動無線端末と通信を行い、当該移動無線端末が予め登録された端末であるか否かを認証し、入場ゲート開閉する、というシステムである。しかし、かかる技術では、移動無線端末を有するユーザの入場を規制するだけのシステムであって、上述したように、アクセスポイントを介したネットワークへのアクセスに関する技術は開示されていない。従って、アクセスポイントが設置された領域外からの不正アクセスへの対策は取られておらず、依然としてセキュリティの向上を図ることができない、という問題が生じる。
【０００７】
【特許文献１】特開２００３−３１８９９１号公報
【特許文献２】特開２００６−６７１７４号公報
【特許文献３】特開２００６−３４５４５１号公報
【特許文献４】特開２００３−３０３６３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
このため、本発明では、上記従来例の有する不都合を改善し、特に、特定領域における情報処理端末による無線通信を介した所定のネットワーク網へのアクセス制御を行うことで、不正アクセスを抑制し、セキュリティの向上を図る、ことをその目的とする。
【課題を解決するための手段】
【０００９】
そこで、本発明の一形態であるアクセス制御システムは、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えた、という構成を採っている。
【発明の効果】
【００１０】
本発明は、以上のように構成されているため、事前に登録した情報処理端末のみが特定の領域に入場することができ、かつ、特定の領域に入場が許可された情報処理端末のみが所定のネットワーク網にアクセスすることができる。従って、所定のネットワーク網にアクセスする情報処理端末を制限することができ、不正アクセスを抑制し、セキュリティの向上を図ることができる、という従来にない優れた効果を有する。
【発明を実施するための最良の形態】
【００１１】
本発明の一形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えた、という構成を採っている。
【００１２】
また、上記構成に加え、識別情報登録手段は、情報処理端末から受け付けた識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行手段と、識別情報と認証情報とを関連付けて登録するデータ管理手段と、を備え、
入場許可手段は、情報処理端末から送信された認証情報の入力を受け付けて、この受け付けた認証情報がデータ管理手段に登録されている場合に、その情報処理端末に対して特定の領域への入場を許可する、
という構成を採っている。
【００１３】
また、上記構成に加え、入場許可手段は、特定の領域への入場を許可した情報処理端末が入場中であることを表す入場情報の登録をデータ管理手段に依頼し、
データ管理手段は、入場許可手段から入場情報の登録を依頼された情報処理端末について登録されている識別情報に対して、入場情報を対応付けて登録し、
アクセス許可手段は、情報処理端末から送信された識別情報の入力を受け付けて、この受け付けた識別情報に入場情報が関連付けて登録されている場合に、その情報処理端末に対して所定のネットワーク網へのアクセスを許可する、
という構成を採っている。
【００１４】
また、上記構成に加え、認証情報発行手段は、情報処理端末の内部に格納された記憶手段に発行した認証情報を格納するよう、当該認証情報を近距離無線通信にて情報処理端末に送信する、という構成を採っている。
【００１５】
また、上記構成に加え、認証情報発行手段は、認証情報を記憶すると共に当該認証情報を近距離無線通信にて外部に送信可能であり、情報処理端末に貼付されるＲＦＩＤタグを生成して発行し、
入場許可手段は、情報処理端末に貼付されたＲＦＩＤタグから送信された認証情報を受け付ける、
という構成を採っている。
【００１６】
さらに、上記構成に加え、入場許可手段は、特定の領域の出入口に設置されており、情報処理端末から送信された情報に基づいて当該情報処理端末の特定の領域からの退場を管理する、という構成を採っている。
【００１７】
上記発明によると、まず、識別情報登録手段に情報処理端末毎に固有の識別情報が入力されると、この識別情報に対応する固有の認証情報を発行し（認証情報発行手段）、この認証情報と識別情報とを関連付けて登録する（データ管理手段）。そして、識別情報に対応して発行された認証情報は、情報処理端末の内部又は外部に搭載される記憶手段に格納される。例えば、情報処理端末の内部に装備されたメモリに認証情報が格納されたり、あるいは、認証情報が格納されたＲＦＩＤタグが発行され情報処理端末に貼付される。その後、特定の領域の入口に設置された入場許可手段に対して情報処理端末が認証情報を送信すると、この認証情報がデータ管理手段にて登録されているか否かを判断し、登録されている場合に、この情報処理端末の入場を許可する。そして、入場を許可された情報処理端末が特定の領域に入場して、当該特定の領域内に設置されているアクセスポイントに対して無線通信にて識別情報を送信して、ネットワーク網へのアクセスを要求する。すると、アクセス許可手段は、アクセス要求してきた情報処理端末の識別情報が登録されており、かつ、入場が許可されている場合に、所定のネットワーク網へのアクセスを許可する。
【００１８】
これにより、事前に固有の識別情報を登録した情報処理端末のみが特定の領域に入場することができ、かつ、特定の領域に入場が許可された情報処理端末のみが所定のネットワーク網にアクセスすることができる。従って、所定のネットワーク網への不正アクセスを抑制することができると共に、特定の領域に対する情報処理端末の持ち込みを管理することができ、セキュリティの向上を図ることができる。特に、情報処理端末に予め設定されている識別情報の登録時に、これに対応する認証情報を発行して情報処理端末に格納し、入場時の認証に用いることで、より高度なセキュリティを実現できる。例えば、予め近距離無線通信手段を備えた情報処理端末に対しては、発行した認証情報を近距離無線通信手段を介して送信して情報処理端末に格納することができる。一方、情報処理端末が予め近距離無線通信手段等を装備していなくても、認証情報を記憶した近距離無線通信可能なＲＦＩＤを発行してコンピュータに貼付することで、上記同様の構成を採ることができる。
【００１９】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置であって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、識別情報と関連付けて記憶する識別情報登録部と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が識別情報登録部にて登録されていると判断した場合に、入場許可手段に対してその情報処理端末の特定の領域への入場を許可するよう指令する入場認証部と、
アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対してアクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を備えた、という構成を採っている。
【００２０】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置に、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、識別情報と関連付けて記憶する識別情報登録部と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が識別情報登録部にて登録されていると判断した場合に、入場許可手段に対してその情報処理端末の特定の領域への入場を許可するよう指令する入場認証部と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場認証部にて特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対してアクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を実現させるためのプログラムである。
【００２１】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御方法であって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録工程と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて識別情報登録工程にて識別情報が登録されていると判断した情報処理端末に対して、特定の領域への入場を許可する入場許可工程と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可工程にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可工程と、
を有する、という構成を採っている。
【００２２】
そして、上記構成に加え、識別情報登録工程は、情報処理端末から受け付けた識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行工程と、識別情報と認証情報とを関連付けて登録するデータ管理工程と、を有し、
入場許可工程は、情報処理端末から送信された認証情報の入力を受け付けて、この受け付けた認証情報がデータ管理工程にて登録されている場合に、その情報処理端末に対して特定の領域への入場を許可する、
ことを特徴としている。
【００２３】
以下、本発明であるアクセス制御システムの具体的な構成及び動作を、実施例にて説明する。
【実施例１】
【００２４】
本発明の第１の実施例を、図１乃至図１６を参照して説明する。図１は、アクセス制御システムの全体構成を示す概略図であり、図２は、その詳細な構成を示すブロック図である。図３乃至図７は、アクセス制御システムを構成する各装置の構成を示す機能ブロック図であり、図８は、アクセス制御システムで管理されるデータの一例を示す図である。図９乃至図１２は、アクセス制御システムの動作を示す説明図であり、図１３乃至図１６は、動作を示すシーケンス図である。
【００２５】
［構成］
まず、図１乃至図２を参照して、アクセス制御システムの全体構成について説明する。図１に示すように、本発明におけるアクセス制御システムは、ユーザＵが操作するユーザ端末６（情報処理装置）が、アクセス許可区域Ａ内から、当該アクセス許可区域Ａ内に設置されたアクセスポイント（ＡＰ）４を介して、無線通信にて所定のネットワーク網Ｎにアクセスすることを制御するためのシステムである。ここで、アクセス許可区域Ａとは、例えば、企業内でセキュリティ管理された特定の部屋といった特定の領域である。また、ユーザ端末６がアクセスポイントを介してアクセスするネットワーク網とは、例えば、企業内イントラネット網やインターネット網である。
【００２６】
そして、図１に示すように、本実施例におけるアクセス制御システムは、アクセス許可区域Ａの出入口に、当該区域Ａ内にユーザＵが通過することを制限するゲート５１や扉を有するゲート型認証装置５（入場許可手段）を備えている。また、アクセスポイント４に対してアクセスしてきたユーザ端末６に対するネットワーク網Ｎへの接続の可否を管理するネットワーク管理装置３（アクセス許可手段）を備えている。さらに、事前にネットワーク網Ｎにアクセス可能なユーザ端末６を登録する識別情報登録装置１０（識別情報登録手段）を備えている。この識別情報登録装置１０は、上記ゲート型認証装置５とネットワーク管理装置３とに接続されている。そして、識別情報登録装置１０は、登録されたユーザ情報に基づいて、ゲート型認証装置５に対して入場要求してきたユーザ端末６の入場を許可するか、さらには、アクセスポイント４に対して接続要求してきたユーザ端末６のネットワーク網Ｎへのアクセスを許可するか、ということを判断する機能を有する（入場許可手段、アクセス許可手段）。
【００２７】
ここで、図１に開示したアクセス制御システムの識別情報登録装置１０をさらに具体化した構成を図２に示す。この図に示すように、アクセス制御システムは、上述した識別情報登録装置１０として、認証チップ発給装置１と、データ管理装置２と、を備えている。そして、データ管理装置２は、認証チップ発給装置１と、ゲート型認証装置５と、ネットワーク管理装置３と、に接続されており、ユーザ端末６のアクセス制御を行うべく、当該ユーザ端末６ごとの情報を管理している。以下、アクセス制御システムを構成する各装置について、さらに詳述する。
【００２８】
まず、ユーザ端末６のアクセス制御を行うネットワーク網は、そのユーザＵが所属する会社内のイントラネット網Ｎであることとする。また、イントラネット網Ｎは、さらにインターネット網に接続されていることとする。そして、イントラネット網Ｎには、無線通信可能なアクセスポイント（ＡＰ）４が接続されている。このアクセスポイント４は、無線通信にてアクセスしてきたユーザ端末４とイントラネット網Ｎとの間の通信を中継する機能を有する。そして、上記アクセスポイント４は、当該アクセスポイント４と無線通信可能なエリア（図２の斜線領域を参照）となる会社のセキュリティ室といったアクセス許可区域Ａ内に設置されている。従って、主に、アクセス許可区域Ａ内でのみ、ユーザ端末６はアクセスポイント４に無線通信可能となり、イントラネット網Ｎにアクセス可能となる。なお、アクセスポイント４は、図示されているように１台が装備されていることに限定されず、複数台が装備されていてもよい。
【００２９】
次に、ユーザ端末６の構成について、図３の機能ブロック図を参照して説明する。ユーザ端末は、上記アクセスポイント４と無線通信可能なようネットワーク接続機能を有する無線通信部１２を備え、ユーザにて操作されるノートパソコンなどのコンピュータである。また、ユーザ端末６は、ＲＦＩＤタグ６１を装備しており、後述する認証チップ発給装置１及びゲート型認証装置５と近距離無線通信が可能となっている。また、ユーザ端末６のＣＰＵには、所定のプログラムが組み込まれることにより、認証データ発給処理部６３と、ゲート認証処理部６４と、無線アクセス処理部６５と、が構築されている。また、ユーザ端末６内のメモリには、端末毎に予め設定された固有の識別情報であるＭＡＣアドレスを記憶した端末データ記憶部６６と、認証チップ発給装置１にて発給される認証データを記憶する認証データ記憶部６７と、が形成されている。
【００３０】
上記認証データ発給処理部６３は、ＲＦＩＤタグ６１から認証チップ発給装置１に対してＭＡＣアドレスを送信する。そして、認証チップ発給装置１にてＭＡＣアドレスに対応して生成され送信された認証ＩＤ（認証データ）を、当該認証チップ発給装置１からＲＦＩＤタグ６１を介して受信し、認証データ記憶部６７に記憶しておく。なお、ＭＡＣアドレスと認証ＩＤとは、後述するように、認証チップ発給装置１を介してデータ管理装置２に登録される。ここで、ユーザ端末６のＭＡＣアドレスは、必ずしもＲＦＩＤタグ６１から認証チップ発給装置１に入力されることに限定されず、ユーザＵが認証チップ発給装置１に装備された入力部に手動にて入力してもよい。
【００３１】
また、上記ゲート認証処理部６４は、上述したように認証データ発給処理部６３にて発行され認証データ記憶部６７に記憶された認証ＩＤを、ＲＦＩＤタグ６１からゲート型認証装置５に対して送信する。これにより、ゲート型認証装置５及びデータ管理装置２にて認証ＩＤが既に登録されていると判断されると、ゲート５１が開き、ユーザＵはアクセス許可区域Ａに入場することができる。
【００３２】
また、上記無線アクセス処理部６５は、ユーザ端末６がアクセス許可区域Ａ内に位置する場合に、無線通信部６２を介してアクセスポイント４と無線通信を行い、ＭＡＣアドレスを送信して、イントラネット網Ｎへのアクセスを要求する。そして、後述するように、データ管理装置２にてアクセス許可されると、ネットワーク管理装置３にてＩＰアドレスがユーザ端末６に割り振られ、イントラネット網Ｎさらにはインターネット網へのアクセスが可能となる。
【００３３】
次に、認証チップ発給装置１について、図４の機能ブロック図を参照して説明する。この図に示すように、認証チップ発給装置１は、ユーザ端末６のＲＦＩＤタグ６１と近距離無線通信可能なＲＦＩＤタグ通信部１１と、タッチパネルなどユーザＵが手動にてデータ入力可能なデータ入力部１２と、少なくともデータ管理装置２に接続可能なネットワーク通信部１３と、を備えている。また、ＣＰＵには、所定のプログラムが組み込まれることによって、端末データ受付処理部１４と、認証データ発給処理部１５と、ユーザデータ登録処理部１６と、が構築されている。
【００３４】
上記端末データ受付処理部１４は、上述したようにユーザ端末６のＲＦＩＤタグ６１から送信されＲＦＩＤタグ通信部１１にて受信したユーザ端末６のＭＡＣアドレスを受け付ける。このとき、データ入力部１２を介してユーザＵから入力されたユーザ端末６に関するユーザ情報も受け付ける。また、上記認証データ発給装置１５は、上記入力されたＭＡＣアドレスに対応する固有の認証ＩＤを発行し、ＲＦＩＤタグ通信部１１を介してユーザ端末６に記憶するよう送信する。また、上記ユーザデータ登録処理部１６は、ＭＡＣアドレスと認証ＩＤを関連付けて登録するよう、ネットワーク通信部１３を介してデータ管理装置２に送信する。
【００３５】
次に、ゲート型認証装置５について、図５の機能ブロック図を参照して説明する。ゲート型認証装置５は、上述したようにアクセス許可区域Ａの入口に設置されており、ユーザＵが有するユーザ端末６を認証すると共に、ユーザＵの入場を規制するゲート５１を開閉制御する機能を有する。具体的には、まず、ＲＦＩＤタグ通信部５２を備えると共に、ゲート型認証装置５に装備されたＣＰＵに、所定のプログラムが組み込まれることによって、認証データ読取処理部５３と、認証処理部５４と、ゲート制御処理部５５と、が構築されている。
【００３６】
そして、上記認証データ読取処理部５３は、ユーザ端末６のＲＦＩＤタグ６１から送信されＲＦＩＤタグ通信部５２にて受信したユーザ端末６の認証ＩＤを受け付ける。そして、上記認証処理部５４が、受信した認証ＩＤがデータ管理装置２に登録されているか否かを当該データ管理装置２に問い合わせて結果を受け取る。その結果、認証ＩＤが既にデータ管理装置２に登録されていると判断された場合には、上記ゲート制御処理部５５がゲート５１を開くよう制御し、ユーザＵ（ユーザ端末）がアクセス許可区域Ａに入場することを許可する。このとき、ゲート制御処理部５５は、ゲート５１を開くことによってユーザＵが入場したと判断し、ユーザＵと共にユーザ端末６がアクセス許可区域Ａに入場したことを登録するよう、データ管理装置２に依頼する。
【００３７】
また、逆に、ゲート型認証装置５は、ユーザＵの退場を検知する機能をも有する。例えば、アクセス許容区域Ａの内部にもＲＦＩＤタグ通信部５２を装備し、このＲＦＩＤタグ通信部５２にて退場するユーザ端末６から認証ＩＤを受信することによって当該アクセス許可区域Ａから退場するユーザ端末６を検知する。そして、退場するユーザ端末６を検知した場合には、その認証ＩＤのユーザ端末６が退場した旨をデータ管理装置２に通知し、当該データ管理装置２にて管理するよう依頼する。なお、ユーザＵが入場あるいは退場したか否かは、ゲート５１付近に別途赤外線センサなどの人感センサを設け、かかるセンサの検出によって入退場を検知し、その後、データ管理装置２に入退場の登録を依頼してもよい。
【００３８】
次に、ネットワーク管理装置３について、図６の機能ブロック図を参照して説明する。ネットワーク管理装置３のＣＰＵには、所定のプログラムが組み込まれることで、初期通信処理部３１と、ＩＰアドレス発給処理部３２と、ＩＰアドレス管理処理部３３と、が構築されている。上記初期通信処理部３１は、ユーザ端末６がアクセスポイント４に対してネットワーク接続許可要求のために無線通信にて初期通信した場合に、当該ユーザ端末６から通知されるＭＡＣアドレスをデータ管理装置２に転送する機能を有する。また、上記ＩＰアドレス発給処理部３２は、上記転送したＭＡＣアドレスに基づいてデータ管理装置２にてネットワーク接続の可否が判断され、許可がされた場合に、ユーザ端末６へのネットワーク接続用ＩＰアドレスを発給する機能を有する。さらに、上記ＩＰアドレス管理処理部３３は、発給済みＩＰアドレスの継続使用／使用終了等の管理をする機能を有する。
【００３９】
次に、データ管理装置２について、図７の機能ブロック図及び図８のデータ構成図を参照して説明する。データ管理装置２は、一般的なサーバコンピュータであり、上述したように、ユーザ端末６の登録状況、アクセス許可区域Ａへの入退場状況、イントラネット網Ｎへのアクセス状況などを管理している。具体的に、データ管理装置２のＣＰＵには、所定のプログラムが組み込まれることで、ユーザデータ登録処理部２１と、認証処理部２２と、接続判定処理部２３と、が構築されている。また、ハードディスクなどの記憶装置には、ユーザデータ記憶部２４が形成されている。
【００４０】
ユーザデータ登録処理部２１（識別情報登録部）は、上述したようにユーザ端末６から認証チップ発給装置１に入力されたＭＡＣアドレス、及び、これに対応して生成された認証ＩＤを、認証チップ発給装置１から受け付けて、ユーザデータ記憶部２４に登録する。そして、登録されたデータは、図８の各行に示すように、ユーザ端末６ごとに区別されて管理される。このとき、ユーザ端末６から、あるいは、ユーザＵから認証チップ発給装置１に入力されたユーザ端末６の特徴を表す情報などを、認証チップ発給装置１から受け付けてコンピュータ端末情報として登録する。
【００４１】
また、上記認証処理部２２（入場認証部）は、ユーザ端末６からゲート型認証装置５に入力された認証ＩＤを受け付けて、ユーザデータ記憶部２４に登録されているか否かを調べ、認証結果をゲート型認証装置５に通知する。また、ゲート型認証装置５からユーザ端末６がゲートを通過した旨の通知を受け付けると、ゲート通過フラグを「０」から「１」にすると共に、そのときの時刻を入場した時刻として「Ｉｎ時間」に記録する。なお、ゲート型認証装置５からアクセス許可区域Ａを退場したユーザ端末６を検知した旨の通知を受けた場合には、そのユーザ端末６のゲート通過フラグを「０」にし、そのときの時刻を退場した時刻として「Ｏｕｔ時間」に記録する。
【００４２】
また、上記接続判定処理部２３（アクセス判定部）は、上述したように認証処理部２２にて認証ＩＤを認証して、ゲートの通過を許可したユーザ端末６に対応するＭＡＣアドレスを、イントラネット網Ｎに接続許可するユーザ端末としてネットワーク管理装置３に通知する。また、接続判定処理部２３は、ユーザ端末６がアクセスポイント４に対してネットワーク接続許可のために初期通信して、当該ユーザ端末６から通知されたＭＡＣアドレスをアクセスポイント４及びネットワーク管理装置３を介して受信する。そして、このＭＡＣアドレスが、ユーザデータ記憶部２４に登録されており、かつ、ゲート通過フラグが「１」であるかを調べる。つまり、既に認証チップ発給装置１を介してデータ管理装置２に登録されており、かつ、ゲート型認証装置５にて認証ＩＤの認証が済んでいるユーザ端末であるかを判断する。そして、既に登録され、ゲートを通過した端末である場合には、ネットワーク接続用ＩＰアドレスを発給するようネットワーク管理装置３に指示する。
【００４３】
［動作］
次に、上記構成のアクセス制御システムの動作を、図９乃至図１６を参照して説明する。はじめに、図９、図１３、図１４を参照して、ユーザ端末６の情報を登録する動作（識別情報登録工程）を説明する（図１３のステップＳ１）。
【００４４】
まず、ユーザＵがユーザ端末６を認証チップ発給装置１の近くに持って行き、ユーザ端末６のＲＦＩＤタグ６１と、認証チップ発給装置１のＲＦＩＤタグ通信部１１とを近づけることで、相互に近距離無線通信を行い、ユーザ端末６のＭＡＣアドレスが認証チップ発給装置１に送信され、入力される（図９の矢印Ｙ１、図１３のステップＳ２）。なお、認証チップ発給装置１へのＭＡＣアドレスの入力は、当該認証チップ発給装置１に装備されたタッチパネル等の入力部からユーザＵやシステム管理者によって手動で行われてもよい。
【００４５】
そして、ＭＡＣアドレスの入力を受けた認証チップ発給装置２は、入力されたＭＡＣアドレスが登録済みかどうかを判定するため、一旦、データ管理装置２にユーザ情報の問い合わせを行う（図９の矢印Ｙ２、図１３のステップＳ３）。すると、データ管理装置２は、データベースへの登録有無を確認し、認証チップ発給装置１に登録有無を通知する（図１３のステップＳ４）。
【００４６】
続いて、認証チップ発給装置１は、データ管理装置２から送信されたデータを元に判定を行い（図１３のステップＳ５）、新規データ登録の場合は（図１３のステップＳ５で「未登録」に進む）、その旨を認証チップ発給装置１に装備された画面に表示し、ユーザＵに対して新規データの入力を促す。このとき、例えば、ユーザ端末の特徴を表す情報などの新規データが入力されると（図１３のステップＳ６）、認証チップ発給装置１は、ＭＡＣアドレスに一意の認証ＩＤを作成し、ユーザ端末６に対して発給する（図１３のステップＳ７、認証情報発行工程）。そして、認証チップ発給装置１は、ＲＦＩＤタグ通信部１１からユーザ端末６のＲＦＩＤタグ６１に対して認証ＩＤを送信する（図９の矢印Ｙ３）。すると、ユーザ端末６内に認証ＩＤが記憶される（図１３のステップＳ１０）。
【００４７】
その後、認証チップ発給装置１は、ＭＡＣアドレス及び認証ＩＤをデータ管理装置２に送信する（図９の矢印Ｙ４、図１３のステップＳ８）。すると、データ管理装置２は、ＭＡＣアドレスと認証ＩＤを関連付けて、図８に示すような自装置内のデータベースに登録する（図１３のステップＳ９、データ管理工程）。
【００４８】
一方、図１３のステップＳ５で、ユーザ端末６のＭＡＣアドレスが登録済みと判定された場合には（図１３のステップＳ５で「既登録時」に進む）、認証チップ発給装置１は、ユーザ端末６に対して既に登録されていることを通知し（図１４のステップＳ１１）、登録情報を変更するか、削除するかの確認を行う。変更の場合には、変更箇所をユーザＵあるいはユーザ端末６から入力させ（図１４のステップＳ１２）、認証チップ発給装置１を経由して（図１４のステップＳ１３）、データ管理装置２のデータベースに反映する（図１４のステップＳ１４）。また、削除の場合は、データ管理装置２のデータベースから登録情報を削除する。
【００４９】
そして、データ管理装置２のデータの変更が終了した後、当該データ管理装置２は認証チップ発給装置１に変更／削除通知を行う（図１４のステップＳ１５）。すると、認証チップ発給装置１は、変更された認証ＩＤを再度ユーザ端末６に発給する（図１４のステップＳ１６）。これにより、上述同様に、ＭＡＣアドレスに対応して発給された認証ＩＤがユーザ端末６に格納されると共に、データ管理装置２に関連付けて登録される。
【００５０】
次に、図１０、図１１、図１５を参照して、ユーザ端末６が入退出ゲートを兼ねるゲート型認証装置５を通過し、無線ネットワークに接続するまでの動作を説明する。
【００５１】
まず、上述したように、データ管理装置２に登録したユーザ端末６が、アクセス許可区域Ａに入場すべく、ゲート型認証装置５の設置された入退出ゲート５１にさしかかる。そして、ユーザＵがユーザ端末６のＲＦＩＤタグ６１と、ゲート型認証装置５のＲＦＩＤタグ通信部５２とを近づけることで、相互に近距離無線通信が行われ（図１５のステップＳ２１）、ゲート型認証装置５にてユーザ端末６に格納された認証ＩＤが読み取られる（図１０の矢印Ｙ１１、図１５のステップＳ２２）。そして、ゲート型認証装置５が、読み取った認証ＩＤをデータ管理装置２に問い合わせる（図１０の矢印Ｙ１２、図１５のステップＳ２３）。
【００５２】
データ管理装置２は、認証ＩＤがデータベースに登録されているかを確認し、ゲート型認証装置５に通知をする（図１５のステップＳ２４）。このとき、認証ＩＤが正しく登録されたデータと一致した場合は（図１５のステップＳ２４にて「一致」に進む、ステップＳ２５）、ゲート５１を開き（図１０の矢印Ｙ１３）、ユーザＵつまりユーザ端末６を通過させる（図１５のステップＳ２６、入場許可工程）。
【００５３】
そして、ゲート型認証装置５は、ゲート５１が開いたのを確認次第、あるいは、人感センサなどでユーザ端末６がゲートを通過したのを確認次第、データ管理装置２に認証を行ったユーザ端末６に対するゲート通過フラグの付加を依頼する（図１５のステップＳ２７）。すると、データ管理装置２は、認証したユーザ端末６のゲート通過フラグを「１」に設定するよう、自装置内のデータベースを変更し、そのユーザ端末６に対応したＭＡＣアドレスを、ネットワーク管理装置５に通知する（図１０の矢印Ｙ１４、図１５のステップＳ２８）。すると、ネットワーク管理装置５は、配下のアクセスポイント４に対して、通知のあったＭＡＣアドレスでの無線ネットワーク接続を許可する（図１０の矢印Ｙ１５、図１５のステップＳ２９）。
【００５４】
また、ゲート型認証装置５を通過し、アクセス許可区域Ａに入場したユーザ端末６は、当該端末をユーザＵにて起動されると、自動で無線通信にてアクセスポイント４にアクセスし、ネットワーク管理装置３にアクセスポイント４を経由したイントラネット網Ｎへのアクセス許可依頼を行う（図１１の矢印Ｙ２１，Ｙ２２、図１５のステップＳ３０）。このとき、ユーザ端末６は、アクセスポイント４を介してネットワーク管理装置３に、ＭＡＣアドレスを送信する。これを受けたネットワーク管理装置３は、ユーザ端末６から送信されたＭＡＣアドレスを、図１５のステップＳ２８でゲート通過を許可されたユーザ端末６としてデータ管理装置２から通知されているＭＡＣアドレスと比較し（図１５のステップＳ３１）、一致した場合にユーザ端末６がイントラネットへアクセスするためのＩＰアドレスを発給する（図１１の矢印Ｙ２２、図１５のステップＳ３２、アクセス許可工程）。そして、ユーザ端末６は、発給されたＩＰアドレスを利用して、アクセスポイント４経由にてイントラネット網Ｎへの接続を行う（図１５のステップＳ３３）。
【００５５】
次に、図１２及び図１６を参照して、ゲート型認証装置５を通過せずに、つまり、アクセス許可区域Ａの外から、ユーザ端末６を使用してアクセスポイント４経由でイントラネット網Ｎに接続を試みた場合を説明する。
【００５６】
まず、ゲート型認証装置５を通過していないユーザ端末６が、外部からアクセスポイント４に対して無線通信を行い、ＭＡＣアドレスを通知し、ＩＰアドレスの発給を依頼する（図１２の矢印Ｙ３１、図１６のステップＳ４１，Ｓ４２）。そして、ＭＡＣアドレスを受けたアクセスポイント４は、ネットワーク管理装置３にＭＡＣアドレスを送信する（図１２の矢印Ｙ３２、図１６のステップＳ４３）。すると、ネットワーク管理装置３は、ＭＡＣアドレスを元にデータ管理装置２にゲート通過フラグの確認を行う（図１２の矢印Ｙ３３、図１６のステップＳ４４）。データ管理装置２は、ネットワーク管理装置３より送られてきたＭＡＣアドレスを元にデータベースを確認し、該当するユーザ端末６のゲート通過フラグを確認し、通過／未通過をネットワーク管理装置３に通知する（図１６のステップＳ４５）。ネットワーク管理装置３は、ゲート通過フラグのないＭＡＣアドレスに対してＩＰアドレスの発給不可をアクセスポイントに通知する（図１６のステップＳ４６）。すると、アクセスポイント４は、ユーザ端末６にＩＰアドレスの発給不可を通知する（図１６のステップＳ４７）。その結果、ユーザ端末６はＩＰアドレスを入手できないため、イントラネット網に接続することができないこととなる（図１２の矢印Ｙ３４、図１６のステップＳ４８）。
【００５７】
以上により、本発明によると、事前にＭＡＣアドレス（固有の識別情報）を登録したユーザ端末６（情報処理端末）のみがアクセス許可区域Ａ（特定の領域）に入場することができ、かつ、アクセス許可区域Ａ（特定の領域）に入場したユーザ端末６（情報処理端末）のみがイントラネット網Ｎ（所定のネットワーク網）にアクセスすることができる。従って、仮に、アクセス許可区域Ａの外部からアクセスポイント４への通信が可能であったとしても、ゲート５１を通過していないユーザ端末６へのネットワーク接続資源（ＩＰアドレス）の発給を止めることができるため、所定のネットワーク網への不正アクセスを抑制することができる。また、ユーザ端末６に固有のＭＡＣアドレス（固有の識別情報）を管理することにより、アクセス許可区域Ａ（特定の領域）に対するユーザ端末６（情報処理端末）の持ち込み／持ち出しを管理することができ、セキュリティの向上を図ることができる。
【００５８】
ここで、上記では、ユーザ端末６の登録時に、ＭＡＣアドレスに対応する認証ＩＤを生成し、ゲート型認証装置５を通過する際に認証ＩＤを用いて認証する場合を例示したが、登録されるデータは、ＭＡＣアドレスなどのユーザ端末６を識別する情報（固有の識別情報）のみであってもよく、当該ＭＡＣアドレスをゲート型認証装置５における認証時に用いてもよい。また、ユーザ端末６に固有の識別情報としてＭＡＣアドレスを用いる場合を例示したが、当該ユーザ端末６に固有の情報で他の情報を上記ＭＡＣアドレスに替えて用いてもよい。また、ユーザ端末６としてノートパソコンを一例に挙げて説明したが、ＰＤＡや携帯電話など、他の情報処理端末であってもよい。
【実施例２】
【００５９】
次に、本発明の第２の実施例を、図１７乃至図１８を参照して説明する。本実施例におけるアクセス制御システムは、上述した実施例１のものとほぼ同様の構成を採っているが、認証チップ発給装置１０１の構成が異なる。以下、かかる相違点を主に説明する。
【００６０】
まず、本実施例におけるユーザ端末１０６は、内部にＲＦＩＤタグを装備していない。そして、認証チップ発給装置１０１は、ユーザ端末１０６の筐体に貼付可能なシール状のＲＦＩＤタグ１１１を生成して発給する機能を有している。具体的には、ユーザ端末１０６の登録の際に、当該ユーザ端末１０６からＭＡＣアドレスを送信されると（図１７の矢印Ｙ４１）、これに一意に対応する認証ＩＤを生成し、この認証ＩＤを記憶したＲＦＩＤタグ１１１を生成する（図１７の矢印Ｙ４２）。そして、これを受け取ったユーザＵは、ＲＦＩＤタグ１１１をユーザ端末１０６の筐体表面に貼付する（図１７の矢印Ｙ４３）。そして、認証チップ発給装置１０１は、ＭＡＣアドレスと認証ＩＤを関連付けて登録するよう、データ管理装置２に送信する（図１７の矢印Ｙ４４）。これにより、上述した実施例１のユーザ端末６と同様に、認証ＩＤが格納されたものと同様の構成になる。
【００６１】
そして、ユーザ端末１０６は、その後は実施例１と同様に動作可能となる。具体的に、図１８を参照して、ユーザ端末１０６が入退出ゲートを兼ねるゲート型認証装置５を通過しようとする場合を説明する。ユーザ端末１０６がゲート型認証装置５の設置された入退出ゲートにさしかかると、ゲート型認証装置５とユーザ端末１０６に貼付されたＲＦＩＤタグ１１１が近距離無線通信を行い、当該貼付されたＲＦＩＤタグ１１１からゲート型認証装置５にて認証ＩＤが読み取られる（図１８の矢印Ｙ５１）。そして、ゲート型認証装置５が、読み取った認証ＩＤをデータ管理装置２に問いあわせ、当該データ管理装置２は、認証ＩＤが登録されているかを確認し、ゲート型認証装置５に通知をする（図１８の矢印Ｙ５２）。このとき、認証ＩＤが正しく登録されたデータと一致した場合は、ゲート５１を開き（図１８の矢印Ｙ５３）、ユーザＵつまりユーザ端末６を通過させる。
【００６２】
そして、その後は、上記実施例１と同様の動作となる。つまり、ユーザ端末１０６がアクセス許可区域Ａに入場した場合に、ユーザ端末１０６がアクセスポイント４にアクセスしてＭＡＣアドレスを通知することで、当該ユーザ端末１０６のＭＡＣアドレスは事前に登録されており、かつ、これに対応する認証ＩＤによる認証がゲート型認証装置５にて済んでいるため、ネットワーク管理装置３からアクセスポイント４を介してユーザ端末６にＩＰアドレスが付与され、イントラネット網Ｎへのアクセスか可能となる。
【００６３】
このように、予めＲＦＩＤタグなどの近距離無線通信手段等を装備していないユーザ端末を用いた場合であっても、識別情報に対応した認証情報を記憶したＲＦＩＤを発行して貼付することで、上述同様に、セキュリティの向上を図ることができる。
【産業上の利用可能性】
【００６４】
本発明のアクセス制御システムは、情報処理端末のネットワークへのアクセスを端末や場所に応じて制限するといったセキュリティを重視する企業などに適用可能であり、産業上の利用可能性を有する。
【図面の簡単な説明】
【００６５】
【図１】実施例１におけるアクセス制御システムの構成の概略を示すブロック図である。
【図２】実施例１におけるアクセス制御システムの詳細な構成を示すブロック図である。
【図３】図２に開示したユーザ端末の構成を示す機能ブロック図である。
【図４】図２に開示した認証チップ発給装置の構成を示す機能ブロック図である。
【図５】図２に開示したゲート型認証装置の構成を示す機能ブロック図である。
【図６】図２に開示したネットワーク管理装置の構成を示す機能ブロック図である。
【図７】図２に開示したデータ管理装置の構成を示す機能ブロック図である。
【図８】図７に開示したデータ管理装置にて管理されるユーザデータの一例を示す図である。
【図９】アクセス制御システムの動作を示す説明図であり、ユーザ端末の登録時の様子を示す。
【図１０】アクセス制御システムの動作を示す説明図であり、ユーザ端末のゲート通過時の様子を示す。
【図１１】アクセス制御システムの動作を示す説明図であり、ユーザ端末によるネットワークアクセス時の様子を示す。
【図１２】アクセス制御システムの動作を示す説明図であり、ユーザ端末による外部からのネットワークアクセス時の様子を示す。
【図１３】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末の登録時の様子を示す。
【図１４】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末の登録時の様子を示す。
【図１５】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末のゲート通過時、及び、ネットワークアクセス時の様子を示す。
【図１６】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末による外部からのネットワークアクセス時の様子を示す。
【図１７】実施例２におけるアクセス制御システムの構成、及び、ユーザ端末の登録時の動作を示す図である。
【図１８】実施例２におけるアクセス制御システムの構成、及び、ユーザ端末のゲート通過時の動作を示す図である。
【符号の説明】
【００６６】
１ 認証チップ発給装置
２ データ管理装置
３ ネットワーク管理装置
４ アクセスポイント
５ ゲート型認証装置
６ ユーザ端末
１０ 識別情報登録装置
Ａ アクセス許可区域
Ｎ イントラネット網
Ｕ ユーザ
【技術分野】
【０００１】
本発明は、アクセス制御システムにかかり、特に、所定領域内において情報処理端末による無線ネットワークへのアクセス制御を行うシステムに関する。
【背景技術】
【０００２】
近年、コンピュータによるネットワーク接続には、有線ケーブルを使用しない無線ネットワークが普及している。そして、このような無線ネットワークを用いる場合には、所定の領域内である室内に設置するアクセスポイントによる電波が、当該室内にのみ届くように設定することで、室内に存在するコンピュータに対してのみアクセスを許可し、第三者による不正アクセスを抑制している。例えば、特許文献１に記載されているように、ホットスポットサービスにて利用される。そして、アクセスポイントを介してインターネットにアクセスするコンピュータの認証は、例えば、コンピュータや装備されているネットワーク機器などに固有の識別情報であるＭＡＣアドレスを用いて行う。
【０００３】
しかしながら、上述したような所定領域内（室内）においてのみアクセスを許容する無線ネットワークであっても、電波の届く範囲であれば所定領域外（室外）といった外部からコンピュータによるアクセス可能となってしまい、不正な者によってアクセスされる可能性があり、セキュリティが低下する、という問題が生じる。一方で、アクセスポイントにアクセスしてきたコンピュータを上述したようにＭＡＣアドレスを用いて接続許可／不許可を判断することもできるが、そのコンピュータが許可区域からのアクセスであるか、不許可区域からのアクセスであるか、を判定できない。かかる場合には、セキュリティの問題からコンピュータの使用場所を限定したい場合であっても、それを限定することができず、上記同様に、セキュリティの低下という問題が生じうる。
【０００４】
また、関連する技術が、下記特許文献２，３，４に開示されている。特許文献２に開示の技術は、暗号キーなどの接続情報が予め記憶されたメモリーカードを装着した端末が、かかる接続情報を利用してアクセスポイントにアクセスし、認証が成功した場合に、端末固有の端末識別子（ＭＡＣアドレス）とメモリーカードに記憶された認証情報とを登録する、というものである。そして、登録されたＭＡＣアドレス及び認証情報に基づいて、端末の接続を許可している。しかし、メモリーカードには、ＭＡＣアドレスを登録する前に行う認証に必要な暗号キーなどが記憶されるだけであり、つまり、端末を特定する情報は記憶されていない。このため、メモリーカードを装着した端末はいずれも接続可能となってしまう、という問題が生じる。また、特定の領域外からのアクセスを防止する技術については記載されていない。
【０００５】
また、特許文献３には、セキュリティカードを用いて、エリアの出入口に設置された入退場管理装置にてユーザの入退場管理を行う、という技術が開示されている。しかし、かかる技術でも、カードを有していれば他人のコンピュータによる接続が可能となってしまい、なりすましの問題が生じる。また、エリアへの入退場はカードで管理しているため、一旦エリアに入った端末が外に出た場合でも、無線通信が届く場合には、エリア外でも利用可能となってしまうという問題が生じる。
【０００６】
さらに、特許文献４には、所定場所に入場する際に通過する入場ゲートを備えたシステムが開示されている。具体的には、近距離無線通信にて移動無線端末と通信を行い、当該移動無線端末が予め登録された端末であるか否かを認証し、入場ゲート開閉する、というシステムである。しかし、かかる技術では、移動無線端末を有するユーザの入場を規制するだけのシステムであって、上述したように、アクセスポイントを介したネットワークへのアクセスに関する技術は開示されていない。従って、アクセスポイントが設置された領域外からの不正アクセスへの対策は取られておらず、依然としてセキュリティの向上を図ることができない、という問題が生じる。
【０００７】
【特許文献１】特開２００３−３１８９９１号公報
【特許文献２】特開２００６−６７１７４号公報
【特許文献３】特開２００６−３４５４５１号公報
【特許文献４】特開２００３−３０３６３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
このため、本発明では、上記従来例の有する不都合を改善し、特に、特定領域における情報処理端末による無線通信を介した所定のネットワーク網へのアクセス制御を行うことで、不正アクセスを抑制し、セキュリティの向上を図る、ことをその目的とする。
【課題を解決するための手段】
【０００９】
そこで、本発明の一形態であるアクセス制御システムは、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えた、という構成を採っている。
【発明の効果】
【００１０】
本発明は、以上のように構成されているため、事前に登録した情報処理端末のみが特定の領域に入場することができ、かつ、特定の領域に入場が許可された情報処理端末のみが所定のネットワーク網にアクセスすることができる。従って、所定のネットワーク網にアクセスする情報処理端末を制限することができ、不正アクセスを抑制し、セキュリティの向上を図ることができる、という従来にない優れた効果を有する。
【発明を実施するための最良の形態】
【００１１】
本発明の一形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
特定の領域の入口に設置されており、情報処理端末から送信された情報に基づいて識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して特定の領域への入場を許可する入場許可手段と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えた、という構成を採っている。
【００１２】
また、上記構成に加え、識別情報登録手段は、情報処理端末から受け付けた識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行手段と、識別情報と認証情報とを関連付けて登録するデータ管理手段と、を備え、
入場許可手段は、情報処理端末から送信された認証情報の入力を受け付けて、この受け付けた認証情報がデータ管理手段に登録されている場合に、その情報処理端末に対して特定の領域への入場を許可する、
という構成を採っている。
【００１３】
また、上記構成に加え、入場許可手段は、特定の領域への入場を許可した情報処理端末が入場中であることを表す入場情報の登録をデータ管理手段に依頼し、
データ管理手段は、入場許可手段から入場情報の登録を依頼された情報処理端末について登録されている識別情報に対して、入場情報を対応付けて登録し、
アクセス許可手段は、情報処理端末から送信された識別情報の入力を受け付けて、この受け付けた識別情報に入場情報が関連付けて登録されている場合に、その情報処理端末に対して所定のネットワーク網へのアクセスを許可する、
という構成を採っている。
【００１４】
また、上記構成に加え、認証情報発行手段は、情報処理端末の内部に格納された記憶手段に発行した認証情報を格納するよう、当該認証情報を近距離無線通信にて情報処理端末に送信する、という構成を採っている。
【００１５】
また、上記構成に加え、認証情報発行手段は、認証情報を記憶すると共に当該認証情報を近距離無線通信にて外部に送信可能であり、情報処理端末に貼付されるＲＦＩＤタグを生成して発行し、
入場許可手段は、情報処理端末に貼付されたＲＦＩＤタグから送信された認証情報を受け付ける、
という構成を採っている。
【００１６】
さらに、上記構成に加え、入場許可手段は、特定の領域の出入口に設置されており、情報処理端末から送信された情報に基づいて当該情報処理端末の特定の領域からの退場を管理する、という構成を採っている。
【００１７】
上記発明によると、まず、識別情報登録手段に情報処理端末毎に固有の識別情報が入力されると、この識別情報に対応する固有の認証情報を発行し（認証情報発行手段）、この認証情報と識別情報とを関連付けて登録する（データ管理手段）。そして、識別情報に対応して発行された認証情報は、情報処理端末の内部又は外部に搭載される記憶手段に格納される。例えば、情報処理端末の内部に装備されたメモリに認証情報が格納されたり、あるいは、認証情報が格納されたＲＦＩＤタグが発行され情報処理端末に貼付される。その後、特定の領域の入口に設置された入場許可手段に対して情報処理端末が認証情報を送信すると、この認証情報がデータ管理手段にて登録されているか否かを判断し、登録されている場合に、この情報処理端末の入場を許可する。そして、入場を許可された情報処理端末が特定の領域に入場して、当該特定の領域内に設置されているアクセスポイントに対して無線通信にて識別情報を送信して、ネットワーク網へのアクセスを要求する。すると、アクセス許可手段は、アクセス要求してきた情報処理端末の識別情報が登録されており、かつ、入場が許可されている場合に、所定のネットワーク網へのアクセスを許可する。
【００１８】
これにより、事前に固有の識別情報を登録した情報処理端末のみが特定の領域に入場することができ、かつ、特定の領域に入場が許可された情報処理端末のみが所定のネットワーク網にアクセスすることができる。従って、所定のネットワーク網への不正アクセスを抑制することができると共に、特定の領域に対する情報処理端末の持ち込みを管理することができ、セキュリティの向上を図ることができる。特に、情報処理端末に予め設定されている識別情報の登録時に、これに対応する認証情報を発行して情報処理端末に格納し、入場時の認証に用いることで、より高度なセキュリティを実現できる。例えば、予め近距離無線通信手段を備えた情報処理端末に対しては、発行した認証情報を近距離無線通信手段を介して送信して情報処理端末に格納することができる。一方、情報処理端末が予め近距離無線通信手段等を装備していなくても、認証情報を記憶した近距離無線通信可能なＲＦＩＤを発行してコンピュータに貼付することで、上記同様の構成を採ることができる。
【００１９】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置であって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、識別情報と関連付けて記憶する識別情報登録部と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が識別情報登録部にて登録されていると判断した場合に、入場許可手段に対してその情報処理端末の特定の領域への入場を許可するよう指令する入場認証部と、
アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対してアクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を備えた、という構成を採っている。
【００２０】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置に、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、識別情報と関連付けて記憶する識別情報登録部と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が識別情報登録部にて登録されていると判断した場合に、入場許可手段に対してその情報処理端末の特定の領域への入場を許可するよう指令する入場認証部と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場認証部にて特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対してアクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を実現させるためのプログラムである。
【００２１】
また、本発明の他の形態は、
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御方法であって、
情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録工程と、
特定の領域の入口に設置されている入場許可手段に対して情報処理端末から送信された情報に基づいて識別情報登録工程にて識別情報が登録されていると判断した情報処理端末に対して、特定の領域への入場を許可する入場許可工程と、
アクセスポイントに対してアクセスしてきた情報処理端末が、当該情報処理端末から送信された情報に基づいて入場許可工程にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可工程と、
を有する、という構成を採っている。
【００２２】
そして、上記構成に加え、識別情報登録工程は、情報処理端末から受け付けた識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行工程と、識別情報と認証情報とを関連付けて登録するデータ管理工程と、を有し、
入場許可工程は、情報処理端末から送信された認証情報の入力を受け付けて、この受け付けた認証情報がデータ管理工程にて登録されている場合に、その情報処理端末に対して特定の領域への入場を許可する、
ことを特徴としている。
【００２３】
以下、本発明であるアクセス制御システムの具体的な構成及び動作を、実施例にて説明する。
【実施例１】
【００２４】
本発明の第１の実施例を、図１乃至図１６を参照して説明する。図１は、アクセス制御システムの全体構成を示す概略図であり、図２は、その詳細な構成を示すブロック図である。図３乃至図７は、アクセス制御システムを構成する各装置の構成を示す機能ブロック図であり、図８は、アクセス制御システムで管理されるデータの一例を示す図である。図９乃至図１２は、アクセス制御システムの動作を示す説明図であり、図１３乃至図１６は、動作を示すシーケンス図である。
【００２５】
［構成］
まず、図１乃至図２を参照して、アクセス制御システムの全体構成について説明する。図１に示すように、本発明におけるアクセス制御システムは、ユーザＵが操作するユーザ端末６（情報処理装置）が、アクセス許可区域Ａ内から、当該アクセス許可区域Ａ内に設置されたアクセスポイント（ＡＰ）４を介して、無線通信にて所定のネットワーク網Ｎにアクセスすることを制御するためのシステムである。ここで、アクセス許可区域Ａとは、例えば、企業内でセキュリティ管理された特定の部屋といった特定の領域である。また、ユーザ端末６がアクセスポイントを介してアクセスするネットワーク網とは、例えば、企業内イントラネット網やインターネット網である。
【００２６】
そして、図１に示すように、本実施例におけるアクセス制御システムは、アクセス許可区域Ａの出入口に、当該区域Ａ内にユーザＵが通過することを制限するゲート５１や扉を有するゲート型認証装置５（入場許可手段）を備えている。また、アクセスポイント４に対してアクセスしてきたユーザ端末６に対するネットワーク網Ｎへの接続の可否を管理するネットワーク管理装置３（アクセス許可手段）を備えている。さらに、事前にネットワーク網Ｎにアクセス可能なユーザ端末６を登録する識別情報登録装置１０（識別情報登録手段）を備えている。この識別情報登録装置１０は、上記ゲート型認証装置５とネットワーク管理装置３とに接続されている。そして、識別情報登録装置１０は、登録されたユーザ情報に基づいて、ゲート型認証装置５に対して入場要求してきたユーザ端末６の入場を許可するか、さらには、アクセスポイント４に対して接続要求してきたユーザ端末６のネットワーク網Ｎへのアクセスを許可するか、ということを判断する機能を有する（入場許可手段、アクセス許可手段）。
【００２７】
ここで、図１に開示したアクセス制御システムの識別情報登録装置１０をさらに具体化した構成を図２に示す。この図に示すように、アクセス制御システムは、上述した識別情報登録装置１０として、認証チップ発給装置１と、データ管理装置２と、を備えている。そして、データ管理装置２は、認証チップ発給装置１と、ゲート型認証装置５と、ネットワーク管理装置３と、に接続されており、ユーザ端末６のアクセス制御を行うべく、当該ユーザ端末６ごとの情報を管理している。以下、アクセス制御システムを構成する各装置について、さらに詳述する。
【００２８】
まず、ユーザ端末６のアクセス制御を行うネットワーク網は、そのユーザＵが所属する会社内のイントラネット網Ｎであることとする。また、イントラネット網Ｎは、さらにインターネット網に接続されていることとする。そして、イントラネット網Ｎには、無線通信可能なアクセスポイント（ＡＰ）４が接続されている。このアクセスポイント４は、無線通信にてアクセスしてきたユーザ端末４とイントラネット網Ｎとの間の通信を中継する機能を有する。そして、上記アクセスポイント４は、当該アクセスポイント４と無線通信可能なエリア（図２の斜線領域を参照）となる会社のセキュリティ室といったアクセス許可区域Ａ内に設置されている。従って、主に、アクセス許可区域Ａ内でのみ、ユーザ端末６はアクセスポイント４に無線通信可能となり、イントラネット網Ｎにアクセス可能となる。なお、アクセスポイント４は、図示されているように１台が装備されていることに限定されず、複数台が装備されていてもよい。
【００２９】
次に、ユーザ端末６の構成について、図３の機能ブロック図を参照して説明する。ユーザ端末は、上記アクセスポイント４と無線通信可能なようネットワーク接続機能を有する無線通信部１２を備え、ユーザにて操作されるノートパソコンなどのコンピュータである。また、ユーザ端末６は、ＲＦＩＤタグ６１を装備しており、後述する認証チップ発給装置１及びゲート型認証装置５と近距離無線通信が可能となっている。また、ユーザ端末６のＣＰＵには、所定のプログラムが組み込まれることにより、認証データ発給処理部６３と、ゲート認証処理部６４と、無線アクセス処理部６５と、が構築されている。また、ユーザ端末６内のメモリには、端末毎に予め設定された固有の識別情報であるＭＡＣアドレスを記憶した端末データ記憶部６６と、認証チップ発給装置１にて発給される認証データを記憶する認証データ記憶部６７と、が形成されている。
【００３０】
上記認証データ発給処理部６３は、ＲＦＩＤタグ６１から認証チップ発給装置１に対してＭＡＣアドレスを送信する。そして、認証チップ発給装置１にてＭＡＣアドレスに対応して生成され送信された認証ＩＤ（認証データ）を、当該認証チップ発給装置１からＲＦＩＤタグ６１を介して受信し、認証データ記憶部６７に記憶しておく。なお、ＭＡＣアドレスと認証ＩＤとは、後述するように、認証チップ発給装置１を介してデータ管理装置２に登録される。ここで、ユーザ端末６のＭＡＣアドレスは、必ずしもＲＦＩＤタグ６１から認証チップ発給装置１に入力されることに限定されず、ユーザＵが認証チップ発給装置１に装備された入力部に手動にて入力してもよい。
【００３１】
また、上記ゲート認証処理部６４は、上述したように認証データ発給処理部６３にて発行され認証データ記憶部６７に記憶された認証ＩＤを、ＲＦＩＤタグ６１からゲート型認証装置５に対して送信する。これにより、ゲート型認証装置５及びデータ管理装置２にて認証ＩＤが既に登録されていると判断されると、ゲート５１が開き、ユーザＵはアクセス許可区域Ａに入場することができる。
【００３２】
また、上記無線アクセス処理部６５は、ユーザ端末６がアクセス許可区域Ａ内に位置する場合に、無線通信部６２を介してアクセスポイント４と無線通信を行い、ＭＡＣアドレスを送信して、イントラネット網Ｎへのアクセスを要求する。そして、後述するように、データ管理装置２にてアクセス許可されると、ネットワーク管理装置３にてＩＰアドレスがユーザ端末６に割り振られ、イントラネット網Ｎさらにはインターネット網へのアクセスが可能となる。
【００３３】
次に、認証チップ発給装置１について、図４の機能ブロック図を参照して説明する。この図に示すように、認証チップ発給装置１は、ユーザ端末６のＲＦＩＤタグ６１と近距離無線通信可能なＲＦＩＤタグ通信部１１と、タッチパネルなどユーザＵが手動にてデータ入力可能なデータ入力部１２と、少なくともデータ管理装置２に接続可能なネットワーク通信部１３と、を備えている。また、ＣＰＵには、所定のプログラムが組み込まれることによって、端末データ受付処理部１４と、認証データ発給処理部１５と、ユーザデータ登録処理部１６と、が構築されている。
【００３４】
上記端末データ受付処理部１４は、上述したようにユーザ端末６のＲＦＩＤタグ６１から送信されＲＦＩＤタグ通信部１１にて受信したユーザ端末６のＭＡＣアドレスを受け付ける。このとき、データ入力部１２を介してユーザＵから入力されたユーザ端末６に関するユーザ情報も受け付ける。また、上記認証データ発給装置１５は、上記入力されたＭＡＣアドレスに対応する固有の認証ＩＤを発行し、ＲＦＩＤタグ通信部１１を介してユーザ端末６に記憶するよう送信する。また、上記ユーザデータ登録処理部１６は、ＭＡＣアドレスと認証ＩＤを関連付けて登録するよう、ネットワーク通信部１３を介してデータ管理装置２に送信する。
【００３５】
次に、ゲート型認証装置５について、図５の機能ブロック図を参照して説明する。ゲート型認証装置５は、上述したようにアクセス許可区域Ａの入口に設置されており、ユーザＵが有するユーザ端末６を認証すると共に、ユーザＵの入場を規制するゲート５１を開閉制御する機能を有する。具体的には、まず、ＲＦＩＤタグ通信部５２を備えると共に、ゲート型認証装置５に装備されたＣＰＵに、所定のプログラムが組み込まれることによって、認証データ読取処理部５３と、認証処理部５４と、ゲート制御処理部５５と、が構築されている。
【００３６】
そして、上記認証データ読取処理部５３は、ユーザ端末６のＲＦＩＤタグ６１から送信されＲＦＩＤタグ通信部５２にて受信したユーザ端末６の認証ＩＤを受け付ける。そして、上記認証処理部５４が、受信した認証ＩＤがデータ管理装置２に登録されているか否かを当該データ管理装置２に問い合わせて結果を受け取る。その結果、認証ＩＤが既にデータ管理装置２に登録されていると判断された場合には、上記ゲート制御処理部５５がゲート５１を開くよう制御し、ユーザＵ（ユーザ端末）がアクセス許可区域Ａに入場することを許可する。このとき、ゲート制御処理部５５は、ゲート５１を開くことによってユーザＵが入場したと判断し、ユーザＵと共にユーザ端末６がアクセス許可区域Ａに入場したことを登録するよう、データ管理装置２に依頼する。
【００３７】
また、逆に、ゲート型認証装置５は、ユーザＵの退場を検知する機能をも有する。例えば、アクセス許容区域Ａの内部にもＲＦＩＤタグ通信部５２を装備し、このＲＦＩＤタグ通信部５２にて退場するユーザ端末６から認証ＩＤを受信することによって当該アクセス許可区域Ａから退場するユーザ端末６を検知する。そして、退場するユーザ端末６を検知した場合には、その認証ＩＤのユーザ端末６が退場した旨をデータ管理装置２に通知し、当該データ管理装置２にて管理するよう依頼する。なお、ユーザＵが入場あるいは退場したか否かは、ゲート５１付近に別途赤外線センサなどの人感センサを設け、かかるセンサの検出によって入退場を検知し、その後、データ管理装置２に入退場の登録を依頼してもよい。
【００３８】
次に、ネットワーク管理装置３について、図６の機能ブロック図を参照して説明する。ネットワーク管理装置３のＣＰＵには、所定のプログラムが組み込まれることで、初期通信処理部３１と、ＩＰアドレス発給処理部３２と、ＩＰアドレス管理処理部３３と、が構築されている。上記初期通信処理部３１は、ユーザ端末６がアクセスポイント４に対してネットワーク接続許可要求のために無線通信にて初期通信した場合に、当該ユーザ端末６から通知されるＭＡＣアドレスをデータ管理装置２に転送する機能を有する。また、上記ＩＰアドレス発給処理部３２は、上記転送したＭＡＣアドレスに基づいてデータ管理装置２にてネットワーク接続の可否が判断され、許可がされた場合に、ユーザ端末６へのネットワーク接続用ＩＰアドレスを発給する機能を有する。さらに、上記ＩＰアドレス管理処理部３３は、発給済みＩＰアドレスの継続使用／使用終了等の管理をする機能を有する。
【００３９】
次に、データ管理装置２について、図７の機能ブロック図及び図８のデータ構成図を参照して説明する。データ管理装置２は、一般的なサーバコンピュータであり、上述したように、ユーザ端末６の登録状況、アクセス許可区域Ａへの入退場状況、イントラネット網Ｎへのアクセス状況などを管理している。具体的に、データ管理装置２のＣＰＵには、所定のプログラムが組み込まれることで、ユーザデータ登録処理部２１と、認証処理部２２と、接続判定処理部２３と、が構築されている。また、ハードディスクなどの記憶装置には、ユーザデータ記憶部２４が形成されている。
【００４０】
ユーザデータ登録処理部２１（識別情報登録部）は、上述したようにユーザ端末６から認証チップ発給装置１に入力されたＭＡＣアドレス、及び、これに対応して生成された認証ＩＤを、認証チップ発給装置１から受け付けて、ユーザデータ記憶部２４に登録する。そして、登録されたデータは、図８の各行に示すように、ユーザ端末６ごとに区別されて管理される。このとき、ユーザ端末６から、あるいは、ユーザＵから認証チップ発給装置１に入力されたユーザ端末６の特徴を表す情報などを、認証チップ発給装置１から受け付けてコンピュータ端末情報として登録する。
【００４１】
また、上記認証処理部２２（入場認証部）は、ユーザ端末６からゲート型認証装置５に入力された認証ＩＤを受け付けて、ユーザデータ記憶部２４に登録されているか否かを調べ、認証結果をゲート型認証装置５に通知する。また、ゲート型認証装置５からユーザ端末６がゲートを通過した旨の通知を受け付けると、ゲート通過フラグを「０」から「１」にすると共に、そのときの時刻を入場した時刻として「Ｉｎ時間」に記録する。なお、ゲート型認証装置５からアクセス許可区域Ａを退場したユーザ端末６を検知した旨の通知を受けた場合には、そのユーザ端末６のゲート通過フラグを「０」にし、そのときの時刻を退場した時刻として「Ｏｕｔ時間」に記録する。
【００４２】
また、上記接続判定処理部２３（アクセス判定部）は、上述したように認証処理部２２にて認証ＩＤを認証して、ゲートの通過を許可したユーザ端末６に対応するＭＡＣアドレスを、イントラネット網Ｎに接続許可するユーザ端末としてネットワーク管理装置３に通知する。また、接続判定処理部２３は、ユーザ端末６がアクセスポイント４に対してネットワーク接続許可のために初期通信して、当該ユーザ端末６から通知されたＭＡＣアドレスをアクセスポイント４及びネットワーク管理装置３を介して受信する。そして、このＭＡＣアドレスが、ユーザデータ記憶部２４に登録されており、かつ、ゲート通過フラグが「１」であるかを調べる。つまり、既に認証チップ発給装置１を介してデータ管理装置２に登録されており、かつ、ゲート型認証装置５にて認証ＩＤの認証が済んでいるユーザ端末であるかを判断する。そして、既に登録され、ゲートを通過した端末である場合には、ネットワーク接続用ＩＰアドレスを発給するようネットワーク管理装置３に指示する。
【００４３】
［動作］
次に、上記構成のアクセス制御システムの動作を、図９乃至図１６を参照して説明する。はじめに、図９、図１３、図１４を参照して、ユーザ端末６の情報を登録する動作（識別情報登録工程）を説明する（図１３のステップＳ１）。
【００４４】
まず、ユーザＵがユーザ端末６を認証チップ発給装置１の近くに持って行き、ユーザ端末６のＲＦＩＤタグ６１と、認証チップ発給装置１のＲＦＩＤタグ通信部１１とを近づけることで、相互に近距離無線通信を行い、ユーザ端末６のＭＡＣアドレスが認証チップ発給装置１に送信され、入力される（図９の矢印Ｙ１、図１３のステップＳ２）。なお、認証チップ発給装置１へのＭＡＣアドレスの入力は、当該認証チップ発給装置１に装備されたタッチパネル等の入力部からユーザＵやシステム管理者によって手動で行われてもよい。
【００４５】
そして、ＭＡＣアドレスの入力を受けた認証チップ発給装置２は、入力されたＭＡＣアドレスが登録済みかどうかを判定するため、一旦、データ管理装置２にユーザ情報の問い合わせを行う（図９の矢印Ｙ２、図１３のステップＳ３）。すると、データ管理装置２は、データベースへの登録有無を確認し、認証チップ発給装置１に登録有無を通知する（図１３のステップＳ４）。
【００４６】
続いて、認証チップ発給装置１は、データ管理装置２から送信されたデータを元に判定を行い（図１３のステップＳ５）、新規データ登録の場合は（図１３のステップＳ５で「未登録」に進む）、その旨を認証チップ発給装置１に装備された画面に表示し、ユーザＵに対して新規データの入力を促す。このとき、例えば、ユーザ端末の特徴を表す情報などの新規データが入力されると（図１３のステップＳ６）、認証チップ発給装置１は、ＭＡＣアドレスに一意の認証ＩＤを作成し、ユーザ端末６に対して発給する（図１３のステップＳ７、認証情報発行工程）。そして、認証チップ発給装置１は、ＲＦＩＤタグ通信部１１からユーザ端末６のＲＦＩＤタグ６１に対して認証ＩＤを送信する（図９の矢印Ｙ３）。すると、ユーザ端末６内に認証ＩＤが記憶される（図１３のステップＳ１０）。
【００４７】
その後、認証チップ発給装置１は、ＭＡＣアドレス及び認証ＩＤをデータ管理装置２に送信する（図９の矢印Ｙ４、図１３のステップＳ８）。すると、データ管理装置２は、ＭＡＣアドレスと認証ＩＤを関連付けて、図８に示すような自装置内のデータベースに登録する（図１３のステップＳ９、データ管理工程）。
【００４８】
一方、図１３のステップＳ５で、ユーザ端末６のＭＡＣアドレスが登録済みと判定された場合には（図１３のステップＳ５で「既登録時」に進む）、認証チップ発給装置１は、ユーザ端末６に対して既に登録されていることを通知し（図１４のステップＳ１１）、登録情報を変更するか、削除するかの確認を行う。変更の場合には、変更箇所をユーザＵあるいはユーザ端末６から入力させ（図１４のステップＳ１２）、認証チップ発給装置１を経由して（図１４のステップＳ１３）、データ管理装置２のデータベースに反映する（図１４のステップＳ１４）。また、削除の場合は、データ管理装置２のデータベースから登録情報を削除する。
【００４９】
そして、データ管理装置２のデータの変更が終了した後、当該データ管理装置２は認証チップ発給装置１に変更／削除通知を行う（図１４のステップＳ１５）。すると、認証チップ発給装置１は、変更された認証ＩＤを再度ユーザ端末６に発給する（図１４のステップＳ１６）。これにより、上述同様に、ＭＡＣアドレスに対応して発給された認証ＩＤがユーザ端末６に格納されると共に、データ管理装置２に関連付けて登録される。
【００５０】
次に、図１０、図１１、図１５を参照して、ユーザ端末６が入退出ゲートを兼ねるゲート型認証装置５を通過し、無線ネットワークに接続するまでの動作を説明する。
【００５１】
まず、上述したように、データ管理装置２に登録したユーザ端末６が、アクセス許可区域Ａに入場すべく、ゲート型認証装置５の設置された入退出ゲート５１にさしかかる。そして、ユーザＵがユーザ端末６のＲＦＩＤタグ６１と、ゲート型認証装置５のＲＦＩＤタグ通信部５２とを近づけることで、相互に近距離無線通信が行われ（図１５のステップＳ２１）、ゲート型認証装置５にてユーザ端末６に格納された認証ＩＤが読み取られる（図１０の矢印Ｙ１１、図１５のステップＳ２２）。そして、ゲート型認証装置５が、読み取った認証ＩＤをデータ管理装置２に問い合わせる（図１０の矢印Ｙ１２、図１５のステップＳ２３）。
【００５２】
データ管理装置２は、認証ＩＤがデータベースに登録されているかを確認し、ゲート型認証装置５に通知をする（図１５のステップＳ２４）。このとき、認証ＩＤが正しく登録されたデータと一致した場合は（図１５のステップＳ２４にて「一致」に進む、ステップＳ２５）、ゲート５１を開き（図１０の矢印Ｙ１３）、ユーザＵつまりユーザ端末６を通過させる（図１５のステップＳ２６、入場許可工程）。
【００５３】
そして、ゲート型認証装置５は、ゲート５１が開いたのを確認次第、あるいは、人感センサなどでユーザ端末６がゲートを通過したのを確認次第、データ管理装置２に認証を行ったユーザ端末６に対するゲート通過フラグの付加を依頼する（図１５のステップＳ２７）。すると、データ管理装置２は、認証したユーザ端末６のゲート通過フラグを「１」に設定するよう、自装置内のデータベースを変更し、そのユーザ端末６に対応したＭＡＣアドレスを、ネットワーク管理装置５に通知する（図１０の矢印Ｙ１４、図１５のステップＳ２８）。すると、ネットワーク管理装置５は、配下のアクセスポイント４に対して、通知のあったＭＡＣアドレスでの無線ネットワーク接続を許可する（図１０の矢印Ｙ１５、図１５のステップＳ２９）。
【００５４】
また、ゲート型認証装置５を通過し、アクセス許可区域Ａに入場したユーザ端末６は、当該端末をユーザＵにて起動されると、自動で無線通信にてアクセスポイント４にアクセスし、ネットワーク管理装置３にアクセスポイント４を経由したイントラネット網Ｎへのアクセス許可依頼を行う（図１１の矢印Ｙ２１，Ｙ２２、図１５のステップＳ３０）。このとき、ユーザ端末６は、アクセスポイント４を介してネットワーク管理装置３に、ＭＡＣアドレスを送信する。これを受けたネットワーク管理装置３は、ユーザ端末６から送信されたＭＡＣアドレスを、図１５のステップＳ２８でゲート通過を許可されたユーザ端末６としてデータ管理装置２から通知されているＭＡＣアドレスと比較し（図１５のステップＳ３１）、一致した場合にユーザ端末６がイントラネットへアクセスするためのＩＰアドレスを発給する（図１１の矢印Ｙ２２、図１５のステップＳ３２、アクセス許可工程）。そして、ユーザ端末６は、発給されたＩＰアドレスを利用して、アクセスポイント４経由にてイントラネット網Ｎへの接続を行う（図１５のステップＳ３３）。
【００５５】
次に、図１２及び図１６を参照して、ゲート型認証装置５を通過せずに、つまり、アクセス許可区域Ａの外から、ユーザ端末６を使用してアクセスポイント４経由でイントラネット網Ｎに接続を試みた場合を説明する。
【００５６】
まず、ゲート型認証装置５を通過していないユーザ端末６が、外部からアクセスポイント４に対して無線通信を行い、ＭＡＣアドレスを通知し、ＩＰアドレスの発給を依頼する（図１２の矢印Ｙ３１、図１６のステップＳ４１，Ｓ４２）。そして、ＭＡＣアドレスを受けたアクセスポイント４は、ネットワーク管理装置３にＭＡＣアドレスを送信する（図１２の矢印Ｙ３２、図１６のステップＳ４３）。すると、ネットワーク管理装置３は、ＭＡＣアドレスを元にデータ管理装置２にゲート通過フラグの確認を行う（図１２の矢印Ｙ３３、図１６のステップＳ４４）。データ管理装置２は、ネットワーク管理装置３より送られてきたＭＡＣアドレスを元にデータベースを確認し、該当するユーザ端末６のゲート通過フラグを確認し、通過／未通過をネットワーク管理装置３に通知する（図１６のステップＳ４５）。ネットワーク管理装置３は、ゲート通過フラグのないＭＡＣアドレスに対してＩＰアドレスの発給不可をアクセスポイントに通知する（図１６のステップＳ４６）。すると、アクセスポイント４は、ユーザ端末６にＩＰアドレスの発給不可を通知する（図１６のステップＳ４７）。その結果、ユーザ端末６はＩＰアドレスを入手できないため、イントラネット網に接続することができないこととなる（図１２の矢印Ｙ３４、図１６のステップＳ４８）。
【００５７】
以上により、本発明によると、事前にＭＡＣアドレス（固有の識別情報）を登録したユーザ端末６（情報処理端末）のみがアクセス許可区域Ａ（特定の領域）に入場することができ、かつ、アクセス許可区域Ａ（特定の領域）に入場したユーザ端末６（情報処理端末）のみがイントラネット網Ｎ（所定のネットワーク網）にアクセスすることができる。従って、仮に、アクセス許可区域Ａの外部からアクセスポイント４への通信が可能であったとしても、ゲート５１を通過していないユーザ端末６へのネットワーク接続資源（ＩＰアドレス）の発給を止めることができるため、所定のネットワーク網への不正アクセスを抑制することができる。また、ユーザ端末６に固有のＭＡＣアドレス（固有の識別情報）を管理することにより、アクセス許可区域Ａ（特定の領域）に対するユーザ端末６（情報処理端末）の持ち込み／持ち出しを管理することができ、セキュリティの向上を図ることができる。
【００５８】
ここで、上記では、ユーザ端末６の登録時に、ＭＡＣアドレスに対応する認証ＩＤを生成し、ゲート型認証装置５を通過する際に認証ＩＤを用いて認証する場合を例示したが、登録されるデータは、ＭＡＣアドレスなどのユーザ端末６を識別する情報（固有の識別情報）のみであってもよく、当該ＭＡＣアドレスをゲート型認証装置５における認証時に用いてもよい。また、ユーザ端末６に固有の識別情報としてＭＡＣアドレスを用いる場合を例示したが、当該ユーザ端末６に固有の情報で他の情報を上記ＭＡＣアドレスに替えて用いてもよい。また、ユーザ端末６としてノートパソコンを一例に挙げて説明したが、ＰＤＡや携帯電話など、他の情報処理端末であってもよい。
【実施例２】
【００５９】
次に、本発明の第２の実施例を、図１７乃至図１８を参照して説明する。本実施例におけるアクセス制御システムは、上述した実施例１のものとほぼ同様の構成を採っているが、認証チップ発給装置１０１の構成が異なる。以下、かかる相違点を主に説明する。
【００６０】
まず、本実施例におけるユーザ端末１０６は、内部にＲＦＩＤタグを装備していない。そして、認証チップ発給装置１０１は、ユーザ端末１０６の筐体に貼付可能なシール状のＲＦＩＤタグ１１１を生成して発給する機能を有している。具体的には、ユーザ端末１０６の登録の際に、当該ユーザ端末１０６からＭＡＣアドレスを送信されると（図１７の矢印Ｙ４１）、これに一意に対応する認証ＩＤを生成し、この認証ＩＤを記憶したＲＦＩＤタグ１１１を生成する（図１７の矢印Ｙ４２）。そして、これを受け取ったユーザＵは、ＲＦＩＤタグ１１１をユーザ端末１０６の筐体表面に貼付する（図１７の矢印Ｙ４３）。そして、認証チップ発給装置１０１は、ＭＡＣアドレスと認証ＩＤを関連付けて登録するよう、データ管理装置２に送信する（図１７の矢印Ｙ４４）。これにより、上述した実施例１のユーザ端末６と同様に、認証ＩＤが格納されたものと同様の構成になる。
【００６１】
そして、ユーザ端末１０６は、その後は実施例１と同様に動作可能となる。具体的に、図１８を参照して、ユーザ端末１０６が入退出ゲートを兼ねるゲート型認証装置５を通過しようとする場合を説明する。ユーザ端末１０６がゲート型認証装置５の設置された入退出ゲートにさしかかると、ゲート型認証装置５とユーザ端末１０６に貼付されたＲＦＩＤタグ１１１が近距離無線通信を行い、当該貼付されたＲＦＩＤタグ１１１からゲート型認証装置５にて認証ＩＤが読み取られる（図１８の矢印Ｙ５１）。そして、ゲート型認証装置５が、読み取った認証ＩＤをデータ管理装置２に問いあわせ、当該データ管理装置２は、認証ＩＤが登録されているかを確認し、ゲート型認証装置５に通知をする（図１８の矢印Ｙ５２）。このとき、認証ＩＤが正しく登録されたデータと一致した場合は、ゲート５１を開き（図１８の矢印Ｙ５３）、ユーザＵつまりユーザ端末６を通過させる。
【００６２】
そして、その後は、上記実施例１と同様の動作となる。つまり、ユーザ端末１０６がアクセス許可区域Ａに入場した場合に、ユーザ端末１０６がアクセスポイント４にアクセスしてＭＡＣアドレスを通知することで、当該ユーザ端末１０６のＭＡＣアドレスは事前に登録されており、かつ、これに対応する認証ＩＤによる認証がゲート型認証装置５にて済んでいるため、ネットワーク管理装置３からアクセスポイント４を介してユーザ端末６にＩＰアドレスが付与され、イントラネット網Ｎへのアクセスか可能となる。
【００６３】
このように、予めＲＦＩＤタグなどの近距離無線通信手段等を装備していないユーザ端末を用いた場合であっても、識別情報に対応した認証情報を記憶したＲＦＩＤを発行して貼付することで、上述同様に、セキュリティの向上を図ることができる。
【産業上の利用可能性】
【００６４】
本発明のアクセス制御システムは、情報処理端末のネットワークへのアクセスを端末や場所に応じて制限するといったセキュリティを重視する企業などに適用可能であり、産業上の利用可能性を有する。
【図面の簡単な説明】
【００６５】
【図１】実施例１におけるアクセス制御システムの構成の概略を示すブロック図である。
【図２】実施例１におけるアクセス制御システムの詳細な構成を示すブロック図である。
【図３】図２に開示したユーザ端末の構成を示す機能ブロック図である。
【図４】図２に開示した認証チップ発給装置の構成を示す機能ブロック図である。
【図５】図２に開示したゲート型認証装置の構成を示す機能ブロック図である。
【図６】図２に開示したネットワーク管理装置の構成を示す機能ブロック図である。
【図７】図２に開示したデータ管理装置の構成を示す機能ブロック図である。
【図８】図７に開示したデータ管理装置にて管理されるユーザデータの一例を示す図である。
【図９】アクセス制御システムの動作を示す説明図であり、ユーザ端末の登録時の様子を示す。
【図１０】アクセス制御システムの動作を示す説明図であり、ユーザ端末のゲート通過時の様子を示す。
【図１１】アクセス制御システムの動作を示す説明図であり、ユーザ端末によるネットワークアクセス時の様子を示す。
【図１２】アクセス制御システムの動作を示す説明図であり、ユーザ端末による外部からのネットワークアクセス時の様子を示す。
【図１３】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末の登録時の様子を示す。
【図１４】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末の登録時の様子を示す。
【図１５】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末のゲート通過時、及び、ネットワークアクセス時の様子を示す。
【図１６】アクセス制御システムの動作を示すシーケンス図であり、ユーザ端末による外部からのネットワークアクセス時の様子を示す。
【図１７】実施例２におけるアクセス制御システムの構成、及び、ユーザ端末の登録時の動作を示す図である。
【図１８】実施例２におけるアクセス制御システムの構成、及び、ユーザ端末のゲート通過時の動作を示す図である。
【符号の説明】
【００６６】
１ 認証チップ発給装置
２ データ管理装置
３ ネットワーク管理装置
４ アクセスポイント
５ ゲート型認証装置
６ ユーザ端末
１０ 識別情報登録装置
Ａ アクセス許可区域
Ｎ イントラネット網
Ｕ ユーザ
【特許請求の範囲】
【請求項１】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
前記特定の領域の入口に設置されており、前記情報処理端末から送信された情報に基づいて前記識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して前記特定の領域への入場を許可する入場許可手段と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えたことを特徴とするアクセス制御システム。
【請求項２】
前記識別情報登録手段は、前記情報処理端末から受け付けた前記識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行手段と、前記識別情報と前記認証情報とを関連付けて登録するデータ管理手段と、を備え、
前記入場許可手段は、前記情報処理端末から送信された前記認証情報の入力を受け付けて、この受け付けた認証情報が前記データ管理手段に登録されている場合に、その情報処理端末に対して前記特定の領域への入場を許可する、
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
前記入場許可手段は、前記特定の領域への入場を許可した情報処理端末が入場中であることを表す入場情報の登録を前記データ管理手段に依頼し、
前記データ管理手段は、前記入場許可手段から入場情報の登録を依頼された情報処理端末について登録されている前記識別情報に対して、前記入場情報を対応付けて登録し、
前記アクセス許可手段は、前記情報処理端末から送信された識別情報の入力を受け付けて、この受け付けた識別情報に前記入場情報が関連付けて登録されている場合に、その情報処理端末に対して所定のネットワーク網へのアクセスを許可する、
ことを特徴とする請求項２記載のアクセス制御システム。
【請求項４】
前記認証情報発行手段は、前記情報処理端末の内部に格納された記憶手段に発行した前記認証情報を格納するよう、当該認証情報を近距離無線通信にて前記情報処理端末に送信する、
ことを特徴とする請求項２又は３記載のアクセス制御システム。
【請求項５】
前記認証情報発行手段は、前記認証情報を記憶すると共に当該認証情報を近距離無線通信にて外部に送信可能であり、前記情報処理端末に貼付されるＲＦＩＤタグを生成して発行し、
前記入場許可手段は、前記情報処理端末に貼付された前記ＲＦＩＤタグから送信された前記認証情報を受け付ける、
ことを特徴とする請求項２又は３記載のアクセス制御システム。
【請求項６】
前記入場許可手段は、前記特定の領域の出入口に設置されており、前記情報処理端末から送信された情報に基づいて当該情報処理端末の前記特定の領域からの退場を管理する、
ことを特徴とする請求項１，２，３，４又は５記載のアクセス制御システム。
【請求項７】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置であって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され前記情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、前記識別情報と関連付けて記憶する識別情報登録部と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が前記識別情報登録部にて登録されていると判断した場合に、前記入場許可手段に対してその情報処理端末の前記特定の領域への入場を許可するよう指令する入場認証部と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して前記アクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を備えたことを特徴とするデータ管理装置。
【請求項８】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置に、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され前記情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、前記識別情報と関連付けて記憶する識別情報登録部と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が前記識別情報登録部にて登録されていると判断した場合に、前記入場許可手段に対してその情報処理端末の前記特定の領域への入場を許可するよう指令する入場認証部と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して前記アクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を実現させるためのプログラム。
【請求項９】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御方法であって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録工程と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて前記識別情報登録工程にて識別情報が登録されていると判断した情報処理端末に対して、前記特定の領域への入場を許可する入場許可工程と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場許可工程にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可工程と、
を有することを特徴とするアクセス制御方法。
【請求項１０】
前記識別情報登録工程は、前記情報処理端末から受け付けた前記識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行工程と、前記識別情報と前記認証情報とを関連付けて登録するデータ管理工程と、を有し、
前記入場許可工程は、前記情報処理端末から送信された前記認証情報の入力を受け付けて、この受け付けた認証情報が前記データ管理工程にて登録されている場合に、その情報処理端末に対して前記特定の領域への入場を許可する、
ことを特徴とする請求項９記載のアクセス制御方法。
【請求項１】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御システムであって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録手段と、
前記特定の領域の入口に設置されており、前記情報処理端末から送信された情報に基づいて前記識別情報登録手段にて識別情報が登録されていると判断した情報処理端末に対して前記特定の領域への入場を許可する入場許可手段と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場許可手段にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可手段と、
を備えたことを特徴とするアクセス制御システム。
【請求項２】
前記識別情報登録手段は、前記情報処理端末から受け付けた前記識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行手段と、前記識別情報と前記認証情報とを関連付けて登録するデータ管理手段と、を備え、
前記入場許可手段は、前記情報処理端末から送信された前記認証情報の入力を受け付けて、この受け付けた認証情報が前記データ管理手段に登録されている場合に、その情報処理端末に対して前記特定の領域への入場を許可する、
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
前記入場許可手段は、前記特定の領域への入場を許可した情報処理端末が入場中であることを表す入場情報の登録を前記データ管理手段に依頼し、
前記データ管理手段は、前記入場許可手段から入場情報の登録を依頼された情報処理端末について登録されている前記識別情報に対して、前記入場情報を対応付けて登録し、
前記アクセス許可手段は、前記情報処理端末から送信された識別情報の入力を受け付けて、この受け付けた識別情報に前記入場情報が関連付けて登録されている場合に、その情報処理端末に対して所定のネットワーク網へのアクセスを許可する、
ことを特徴とする請求項２記載のアクセス制御システム。
【請求項４】
前記認証情報発行手段は、前記情報処理端末の内部に格納された記憶手段に発行した前記認証情報を格納するよう、当該認証情報を近距離無線通信にて前記情報処理端末に送信する、
ことを特徴とする請求項２又は３記載のアクセス制御システム。
【請求項５】
前記認証情報発行手段は、前記認証情報を記憶すると共に当該認証情報を近距離無線通信にて外部に送信可能であり、前記情報処理端末に貼付されるＲＦＩＤタグを生成して発行し、
前記入場許可手段は、前記情報処理端末に貼付された前記ＲＦＩＤタグから送信された前記認証情報を受け付ける、
ことを特徴とする請求項２又は３記載のアクセス制御システム。
【請求項６】
前記入場許可手段は、前記特定の領域の出入口に設置されており、前記情報処理端末から送信された情報に基づいて当該情報処理端末の前記特定の領域からの退場を管理する、
ことを特徴とする請求項１，２，３，４又は５記載のアクセス制御システム。
【請求項７】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置であって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され前記情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、前記識別情報と関連付けて記憶する識別情報登録部と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が前記識別情報登録部にて登録されていると判断した場合に、前記入場許可手段に対してその情報処理端末の前記特定の領域への入場を許可するよう指令する入場認証部と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して前記アクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を備えたことを特徴とするデータ管理装置。
【請求項８】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うデータ管理装置に、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けた認証情報発行手段にて当該受け付けた識別情報に対応して発行され前記情報処理端末に搭載される記憶手段に記憶される固有の認証情報を、前記識別情報と関連付けて記憶する識別情報登録部と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて、当該情報処理端末の識別情報が前記識別情報登録部にて登録されていると判断した場合に、前記入場許可手段に対してその情報処理端末の前記特定の領域への入場を許可するよう指令する入場認証部と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場認証部にて前記特定の領域に入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して前記アクセスポイントを介して所定のネットワーク網へのアクセスを許可するよう当該アクセスポイントに指令するアクセス判定部と、
を実現させるためのプログラム。
【請求項９】
特定の領域内に設置されたアクセスポイントに無線通信にてアクセスしてきた情報処理端末に対して、前記アクセスポイントを介したネットワーク網へのアクセス制御を行うアクセス制御方法であって、
前記情報処理端末毎に予め設定された固有の識別情報の入力を受け付けて登録する識別情報登録工程と、
前記特定の領域の入口に設置されている入場許可手段に対して前記情報処理端末から送信された情報に基づいて前記識別情報登録工程にて識別情報が登録されていると判断した情報処理端末に対して、前記特定の領域への入場を許可する入場許可工程と、
前記アクセスポイントに対してアクセスしてきた前記情報処理端末が、当該情報処理端末から送信された情報に基づいて前記入場許可工程にて入場を許可された情報処理端末であると判断した場合に、当該情報処理端末に対して所定のネットワーク網へのアクセスを許可するアクセス許可工程と、
を有することを特徴とするアクセス制御方法。
【請求項１０】
前記識別情報登録工程は、前記情報処理端末から受け付けた前記識別情報に対応し、当該情報処理端末に搭載される記憶手段に記憶される固有の認証情報を発行する認証情報発行工程と、前記識別情報と前記認証情報とを関連付けて登録するデータ管理工程と、を有し、
前記入場許可工程は、前記情報処理端末から送信された前記認証情報の入力を受け付けて、この受け付けた認証情報が前記データ管理工程にて登録されている場合に、その情報処理端末に対して前記特定の領域への入場を許可する、
ことを特徴とする請求項９記載のアクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公開番号】特開２００８−２９４５０２（Ｐ２００８−２９４５０２Ａ）
【公開日】平成２０年１２月４日（２００８．１２．４）
【国際特許分類】
【出願番号】特願２００７−１３５００９（Ｐ２００７−１３５００９）
【出願日】平成１９年５月２２日（２００７．５．２２）
【出願人】（０００２３２１４０）ＮＥＣフィールディング株式会社 (373)
【Ｆターム（参考）】
【公開日】平成２０年１２月４日（２００８．１２．４）
【国際特許分類】
【出願日】平成１９年５月２２日（２００７．５．２２）
【出願人】（０００２３２１４０）ＮＥＣフィールディング株式会社 (373)
【Ｆターム（参考）】
[ Back to top ]