ユーザ認証システム、ユーザ認証方法、ユーザ認証方法を実現するためのプログラム、及びプログラムを記憶した記憶媒体
【課題】正規のＬＡＮに接続されたクライアント端末だけが、ネットワークを介してサーバ装置と接続され、サーバ装置の持つ情報を享受できるようにする。
【解決手段】正規のＬＡＮ１０に接続されたクライアント端末１１は、ユーザＩＤやパスワード等のユーザ認証情報のほかに、ルータ３０や他のＬＡＮに接続されるサーバ等のＩＰアドレスあるいはＭＡＣアドレス等のＬＡＮ機器依存情報を持っている。サーバ装置７０はこれらのユーザ認証情報及びＬＡＮ機器依存情報をその記憶手段７４にテーブルとして記憶しておき、接続要求時にクライアント端末から送られたこれらの機器情報をテーブルの情報と照合して、接続できるクライアント端末であるか否かを判定する。
【解決手段】正規のＬＡＮ１０に接続されたクライアント端末１１は、ユーザＩＤやパスワード等のユーザ認証情報のほかに、ルータ３０や他のＬＡＮに接続されるサーバ等のＩＰアドレスあるいはＭＡＣアドレス等のＬＡＮ機器依存情報を持っている。サーバ装置７０はこれらのユーザ認証情報及びＬＡＮ機器依存情報をその記憶手段７４にテーブルとして記憶しておき、接続要求時にクライアント端末から送られたこれらの機器情報をテーブルの情報と照合して、接続できるクライアント端末であるか否かを判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＬＡＮ（Local Area Network）・インターネット（Internet）等の通信回線を介して、サーバとクライアント端末間の通信を行うクライアント・サーバシステムにおけるセキュリティシステムに関し、特に、第三者の「なりすまし」による不正アクセスを防止するためのクライアント端末の認証システム及び認証方法、より詳細には、クライアント端末が盗難された場合であっても、クライアント端末に依存するユーザ認証情報だけでなく、盗難されたクライアント端末が正規に帰属するＬＡＮの機器情報等を認証情報として利用することにより、セキュリティを確保した安全な認証システム及び認証方法に関する。
【背景技術】
【０００２】
クライアント端末の認証を行う手段としては、ユーザＩＤとパスワードを用いる方法が最も一般的である。
クライアント端末からの接続要求を受信したサーバ装置は、最初に、そのサーバ装置内のテーブルに保存したユーザＩＤとパスワードが受信要求を行ったクライアント端末のユーザＩＤ及びパスワードと一致するか否かを判定する。
【０００３】
クライアント端末から送られたユーザＩＤ及びパスワードがサーバ装置内のテーブルに保存されているユーザＩＤ及びパスワードと一致した場合には、通信処理を継続し、不一致の場合には、認証に失敗したことをクライアント端末に返信する。
【０００４】
また、通信相手を特定する手段として、ユーザＩＤとパスワードの他には、指紋や虹彩等、ユーザ情報としてのバイオメトリクスを認証する方法もある（例えば、特許文献１を参照）。
更には、Ethernetの物理アドレスであるＭＡＣ（Media Access Control）アドレスやホストネーム等の機器情報を利用してクライアント端末を認証する方法や、アプリケーションに関連付けられたソフトウエアキーを利用してクライアント端末を認証する方法がある。
【０００５】
また、ユーザＩＤとパスワードに加えて、前記バイオメトリククス等のユーザ情報を組み合わせて認証を行うことにより、高度のセキュリティを確保しようとすることも行われている。
すなわち、これらのユーザ情報に基づきクライアント端末の認証を行うことにより、アクセス権をもたない利用者のサービス利用や情報取得を防止することができるようになる。
【特許文献１】特開２００４−３００７０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、クライアント端末自体が盗難にあったような場合には、端末を盗んだ者（第三者）が、アクセス権限のある者に成り済まし、盗んだ端末からサーバ装置に不正アクセスを行うこともあり得る。この盗まれたクライアント端末には、ユーザＩＤやパスワードが保存されていることが多く、更には機器情報やソフトウエアキーもクライアント端末に依存しているため、第三者が盗んだクライアント端末を利用する限り、接続要求のあったサーバ装置はその接続要求が真正であるとして認証してしまう。このため、アクセス権をもたない利用者に対しても、サービス利用や情報取得を許可する恐れが生じることになる。
【０００７】
また、ユーザＩＤ及びパスワードがクライアント端末に保存されていない場合であっても、第三者が権限のある者が使ったユーザＩＤやパスワードを盗み見ることにより情報が漏洩することがある。更にまた、機器情報やソフトウエアキーによってセキュリティを確保する場合でも、クライアント端末に依存する情報を通信する端末間あるいは端末とサーバ間の互いの認証に利用する限り、上述したような理由で高度なセキュリティを確保することができないという問題がある。
【０００８】
本発明の目的は、クライアント端末が盗難され、その盗まれたクライアント端末に依存する認証情報を利用して特定のサーバ装置にアクセスする場合であっても、第三者の成りすましを予防でき、一定レベルのセキュリティを確保することができる認証システム、認証方法、及びこれらの認証を実現するためのプログラム及びその記録媒体を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決し、本発明の目的を達成するため、本発明の認証システムは、クライアント端末からサーバ装置に接続要求があったときに、その接続要求を行ったクライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証システムであって、このクライアント端末により予め特定されたユーザ認証情報を記憶するユーザ認証情報記憶手段と、ＬＡＮに依存するＬＡＮ依存機器情報を当該クライアント端末により特定されるユーザ認証情報に対応させて記憶するＬＡＮ依存機器情報記憶手段と、クライアント端末からサーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検知するＬＡＮ依存機器情報検出手段と、この接続要求時のＬＡＮ依存機器情報が当該クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、接続要求時のＬＡＮ依存機器情報が当該クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する認証手段と、をサーバ装置内に有することを特徴するものである。すなわち、本発明の認証システムは、指定されたＬＡＮ内のクライアント端末からはサーバ装置に接続できるものの、指定されたＬＡＮ以外のＬＡＮに収容されているクライアント端末からはサーバ装置に接続要求があっても接続することができないようになっている。
【００１０】
また、本発明認証システムにおけるサーバ装置は、正規のユーザ認証情報及び正規のＬＡＮ依存機器情報をＬＡＮ構築時にサーバ装置内の記憶装置にテーブルとして記憶するようにしている。更に、正規のＬＡＮ内にクライアント端末を増設する場合には、サーバ装置は、増設時に正規のユーザ認証情報及び正規のＬＡＮ依存機器情報をＬＡＮ構築時にサーバ内の記憶装置に記憶するようにする。
【００１１】
ここで、本発明の認証システムに用いられるＬＡＮ依存機器情報は、クライアント端末が帰属するＬＡＮに固有の機器情報であり、ＬＡＮ内に設けられるルータのＭＡＣアドレス又はＩＰアドレス、ＬＡＮに接続されたゲートウエイ装置のＭＡＣアドレス又はＩＰアドレス、ＬＡＮに接続されたサーバのＭＡＣアドレス、あるいはＬＡＮに接続されたクライアント端末のＭＡＣアドレス等である。更には、インターネット中継局のルータ又はゲートウエイ装置のＩＰアドレスを用いることもできる。
本発明の認証システムでは、上述した正規のＬＡＮ外では得られない情報を認証情報として利用しているので、端末をＬＡＮ外に持ち出した第三者が正規のＬＡＮ外から不正なアクセスをしても、その接続要求を拒否することができるのである。
【００１２】
また、本発明は、クライアント端末からサーバ装置に接続要求があったときに、この接続要求をおこなったクライアント端末がＬＡＮ内の正規のクライアント端末であることを認証するための認証方法であって、当該クライアント端末により予め特定されたユーザ認証情報を記憶するステップと、ＬＡＮに依存するＬＡＮ依存機器情報をユーザ認証情報に対応させて記憶するステップと、クライアント端末からサーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出するステップと、当該クライアント端末からの接続要求時のＬＡＮ依存機器情報がサーバ内に記憶されているクライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、クライアント端末からの接続要求時のＬＡＮ依存機器情報がサーバ内に記憶されているユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴するユーザ認証方法である。
【００１３】
さらに、本発明は、前記認証方法をコンピュータに実行させるプログラム及び当該プログラムを記憶したコンピュータ読み取り可能な記憶媒体を含んでいる。
【発明の効果】
【００１４】
本発明の認証システムによれば、正規のＬＡＮに接続されているクライアント端末が盗まれ、この盗難端末が他のＬＡＮに接続されてサーバ装置にアクセスされた場合などには、サーバ装置内に記憶されている当該クライアント端末が保有するユーザ認証情報と対応するＬＡＮ依存機器情報と、盗難端末から送られてくるＬＡＮ依存機器情報とが比較されて、両者が不一致となることにより、盗難端末からの不正アクセスが防止される。すなわち、正規のユーザ認証情報及び正規のＬＡＮ依存機器情報は、サーバ装置に記憶されており、外部のクライアント端末から正規のＬＡＮ機器依存情報と異なるＬＡＮ依存機器情報が送られてくる場合には、サーバ装置は接続要求を拒否することができるのである。
【００１５】
例えば、正規のＬＡＮに接続されているクライアント端末をＬＡＮ外に持ち出した第三者が、外部からＬＡＮ内のコンピュータまたはサーバ装置に不正アクセスをしようとしても、そのような場合には必ず当該ＬＡＮ内のサーバ装置が正規であると認証していないルータやゲートウエイ装置を経由しなければならなくなるので、当該ＬＡＮ内のコンピュータやサーバ装置にアクセスすることはできない。
【００１６】
このように、本発明の認証システムによれば、ユーザＩＤ、パスワード等のユーザ認証情報とともに、クライアント端末が接続している正規のＬＡＮに固有のＬＡＮ依存機器情報を利用しているので、不正アクセスの防止など高度なセキュリティを実現することが可能である。
【発明を実施するための最良の形態】
【００１７】
以下、図面を参照して本発明による認証システム及び認証方法の実施例について説明する。本実施例では、以下、クライアント端末がＬＡＮ（Local Area Network）内に配置されているものとして説明するが、本発明は、クライアント端末がＩＳＰ（Internet Service Provider）を介してインターネットに直接接続される場合でも利用可能である。
【００１８】
図１は、本発明による認証システムをクライアント・サーバシステムに適用した構成例を示すブロック図である。ＬＡＮ１０内には、複数のクライアント端末１１，１２と、ＤＮＳ（Domain Name Server）サーバ１３及びＤＨＣＰ(Dynamic Host Configuration Protocol)サーバ１４が専用のネットワークを介して接続されている。なお、ＬＡＮ１０は無線ＬＡＮとして構築されていてもよい。このＤＮＳサーバ１４は、自分が管理するネットワークに接続されたコンピュータのドメイン名とＩＰアドレスを持っており、クライアント端末１１、１２に対してＩＰアドレスを与えるサーバである。
【００１９】
また、ＤＨＣＰサーバ１４は、インターネットに一時的に接続するコンピュータに、ＩＰアドレスなど必要な情報を自動的に割り当てるプロトコルサーバである。コンピュータがネットワークから離れた場合、つまり接続が切断された場合には、配布したＩＰアドレスを回収して、次にネットワークに接続されるコンピュータに割り当てるようにする。
【００２０】
図１に示すように、ＬＡＮ１０は、ルータ２０を介して、ＬＡＮ１０以外のネットワーク３０（例えば、インターネット）に接続されている。ルータ２０は、例えば、ゲートウエイ装置として機能しており、このルータ２０にＬＡＮ１０内のサーバや端末が接続される。
【００２１】
ネットワーク３０は、ルータやゲートウエイ装置等を介して、ＬＡＮ１０に接続されるほか、他のＬＡＮ５０やサーバ装置７０に接続されている。ここで、他のＬＡＮ５０とは、盗難されたクライアント端末１２が接続されるＬＡＮを想定している。ＬＡＮ５０はルータ６０を介してネットワーク３０（例えば、インターネット）に接続されている。
【００２２】
また、サーバ装置７０は、インターネット３０とルータ２０を介してＬＡＮ１０に収容されているクライアント端末１１、１２とＶＰＮ（Virtual Private Network）を構成している。すなわち、クライアント端末１１、１２は、サーバ装置７０のサービスや情報を利用する際に、サーバ装置７０に対して接続要求を行うことができる。そして、サーバ装置７０は、クライアント端末１１，１２のユーザ認証を行った後、通信を許可するか拒否するかを判断して、以後の処理を行うようにしている。
このサーバ装置７０は、認証サーバとして、その他のサーバ装置やホストコンピュータへの接続を許可するように構成することも可能である。
【００２３】
また、ＬＡＮ１０内において、クライアント端末１１、１２、サーバ１３、１４には、Ethernetの物理アドレスであるＭＡＣ（Media Access Control）アドレス及びプライベートＩＰアドレスが付与されており、ＬＡＮ１０内のネットワークでは、ＭＡＣアドレス及びプライベートＩＰアドレスによって、クライアント端末同士及びＬＡＮ内サーバとの情報通信が行われる。
【００２４】
このＭＡＣアドレスについては、ＡＲＰ（Address Resolution Protocol）のプロトコルを利用することで、ルータ等のネットワーク機器のＭＡＣアドレスを取得して、これをＬＡＮ依存機器情報として利用するようにしている。ここで、ＡＲＰは、ＩＰアドレスからＭＡＣアドレスを求めるのに使われるプロトコルである。
【００２５】
これらのクライアント装置１１、１２では、例えば、ＨＴＴＰ(Hiper Text Transfer Protocol)やTelenet等のアプリケーションソフトウエアが動作可能とされている。そして、クライアント端末１１、１２がＬＡＮ１０の外部にある、例えばサーバ装置７０との通信を行う場合には、ルータ２０は、クライアント端末１１、１２が有するプライベートＩＰアドレスをＮＡＴ（Network Address Translation）、ＩＰマスカレード等でグローバルＩＰアドレスに変換して、ネットワーク３０上にＩＰパケットを送り出す。このルータ２０には、ＭＡＣ（Media Access Control）アドレスとグローバルＩＰアドレスが付与されている。ここでＮＡＴとは、インターネットに接続された企業内の複数のコンピュータで１つのグローバルＩＰアドレスを共有する技術である。
【００２６】
また、ＬＡＮ５０内においても、例えば、ＤＮＳサーバ５１には、ＭＡＣアドレス及びプライベートＩＰアドレスが付与されており、ＬＡＮ５０内のネットワークでは、このＤＮＡサーバ５１に付与されたＭＡＣアドレス及びプライベートＩＰアドレスによって、クライアント端末同士及びＬＡＮ内サーバとの情報通信が行われている。更に、ＬＡＮ５０に接続されるルータ６０にも、ＬＡＮ１０に接続されるルータ２０と同様に、ＭＡＣアドレスとグローバルＩＰアドレスが付与されているので、ルータ６０に付与されたＭＡＣアドレスとグローバルＩＰアドレスを用いてクライアント端末同士及びクライアント端末とＬＡＮ内サーバとの情報通信を行うこともできる。
【００２７】
また、サーバ装置７０においても、クライアント端末１１、１２と同様に、ＨＴＴＰやＴｅｌｎｅｔ等のプロセスが動作可能である。そして、サーバ装置７０は、クライアント端末１１、１２から接続要求があるとユーザ認証を行い、認証が成功した場合にのみ、各アプリケーションを接続するポート番号に対応するサービスの通信処理を行う。このポート番号はＴＣＰレベルの多重識別子であり、特定のアプリケーションごとに予約されている番号であるが、１０２４番以上のポート番号は特定のアプリケーションが予約されていないため、各アプリケーションが自由に使うことができる番号である。
【００２８】
また、サーバ装置７０は、通信制御手段７１、ＬＡＮ依存機器情報検出手段７２、認証手段７３、記憶手段７４を備えている。通信制御手段７１は、サーバ装置７０をネットワーク３０に接続する制御を行う手段であり、ＬＡＮ依存機器情報検出手段７２は、ネットワークを介して送信されたＬＡＮ依存機器情報を、記憶手段７４に記憶されているＬＡＮ依存機器情報と比較するために、検出する手段である。
【００２９】
また、ＬＡＮ依存機器情報検出手段７２は、ＬＡＮ内にクライアント端末を増設するときなどに、新規にユーザ認証情報及びＬＡＮ依存機器情報を受信したときには、受信したユーザ認証情報に対応させてＬＡＮ依存機器情報を記憶手段７４に記憶するようにしている。認証手段７３は、サーバ装置７０がネットワークを通して受信したユーザＩＤやパスワード等のユーザ認証情報あるいはＭＡＣアドレスのようなＬＡＮ依存機器情報を、記憶手段７４に予め記憶されているユーザ認証情報あるいはＬＡＮ依存機器情報と比較する手段であり、この比較の結果、両者が一致した場合のみ、ユーザ認証あるいはＬＡＮ依存機器情報の認証に成功したとされる。
【００３０】
なお、記憶手段７４に記憶されるユーザ認証情報としては、ユーザＩＤ、パスワードのほかに、指紋・虹彩・手の平静脈のような生体認証情報等が含まれる。また、ＬＡＮ依存機器情報としては、ＣＰＵのＩＤ（製品番号）、ルータやゲートウエイ機器等のＭＡＣアドレス等が含まれる。なお、その他にも、クライアント端末に帰属するユーザ情報や機器情報があれば、ＬＡＮ依存機器情報検出手段７２は上記ユーザ認証情報と併せて記憶手段７４に記憶するようにしている。
【００３１】
本発明の実施の形態例では、ＬＡＮ依存機器情報を「ネットワーク鍵」と称して、これを認証情報として利用している。この「ネットワーク鍵」としては、例えば、ＬＡＮに接続されている機器情報、すなわちルータやゲートウエイ装置のＭＡＣアドレス又はＩＰアドレス、サーバやクライアント端末のＭＡＣアドレス等が用いられる。更に、この「ネットワーク鍵」として、ネットワークを介してクライアント端末間あるいはクライアント端末とサーバ間でやり取りされる機器情報、例えば、インターネット中継局のルータ又はゲートウエイ装置のＩＰアドレスを用いることも可能である。
【００３２】
このＬＡＮ機器依存情報について更に詳しく説明すると、第１に、正規であると認められるＬＡＮに依存する機器情報として、例えば、
（ａ）ネットワーク３０に接続されているルータ２０のＭＡＣアドレス。
（ｂ）ネットワーク３０に接続されているルータ２０のグローバルＩＰアドレス。
（ｃ）ネットワーク３０に接続されているゲートウエイ装置（図示せず）のＭＡＣアドレス。
（ｄ）ネットワーク３０に接続されているゲートウエイ装置（図示せず）のグローバルＩＰアドレス。
等が挙げられる。これらのＬＡＮ依存機器情報は記憶手段７４に記憶されている。
【００３３】
また、他にＬＡＮ依存機器情報として考えられるものには、ＬＡＮに接続されている機器情報がある。例えば、
（ｅ）ＬＡＮ１０又はＬＡＮ５０に接続されているＤＮＳサーバ１３、５１、ＤＨＣＰサーバ１４、不図示のメールサーバ、ファイヤウォール、スイッチ（ＭＡＣアドレスを有するもの）などのＬＡＮ内機器のいずれかのＭＡＣアドレス。
（ｆ）ＬＡＮ５０に接続されている盗難されたクライアント端末１２以外のクライアント端末のＭＡＣアドレス。
（ｇ）ＬＡＮ１０に接続されているクライアント端末１１、１２のＭＡＣアドレス。
等が挙げられる。
なお、以上説明したような認証情報として用いることができるＬＡＮ内機器のＭＡＣアドレスは、ＡＲＰ（Address Resolution Protocol）プロトコルを用いて取得することが可能である。
【００３４】
ここで、ＡＲＰは、アドレス解決プロトコルと呼ばれるプロトコルであり、既知の３２ビットのＩＰアドレス情報から未知のデータリンク・アドレス、例えばEthernetの４８ビットのＭＡＣアドレスを取得するプロトコルである。ＲＡＲＰは逆にＭＡＣアドレスからＩＰアドレスを知るためのプロトコルである。
【００３５】
図１のＬＡＮ５０に接続されるクライアント端末１２（実線）は、ＬＡＮ１０に接続されていたクライアント端末１２が無断で持ち出されたことを示している。つまり、この盗難されたクライアント端末１２は、正規のＬＡＮ１０内に存在せず、異なったＬＡＮ５０内に存在していることを示している。そのため、クライアント端末１２は、ＬＡＮ５０に接続されているルータ６０にＬＡＮ内機器のＭＡＣアドレスを要求するのであるが、ルータ６０自体はクライアント端末１２を認識することができないため、クライアント端末１２にＭＡＣアドレスを返信することができない。このように、ルータ６０からＭＡＣアドレスの返信ができないことをもって、クライアント端末１２からの接続要求が不正であることが判別されるわけである。
【００３６】
仮に、ルータ６０が盗難されたクライアント端末１２を認識することができて、ＭＡＣアドレスの返信機能を備えていたとしても、正規のＬＡＮ内のサーバやクライアント端末のＭＡＣアドレス（例えば、図１におけるＬＡＮ１０に接続されているＤＮＡサーバ１３やクライアント端末１１のＭＡＣアドレス）が返信できない場合には、同様にクライアント端末１２からの接続要求が不正であることが判別されることになる。
【００３７】
さらに、サーバ装置７０は、正規のＬＡＮ１０に接続されるルータ２０に、当該クライアント端末１２のＭＡＣアドレスを要求するようにしている。このような要求がサーバ装置７０からあると、ルータ２０は、ＬＡＮ１０内にクライアント端末１２が存在するときは応答することができるが、ＬＡＮ１０内にクライアント端末１２が存在しないときは応答することができない。このように、ＬＡＮ１０に接続されたルータからの応答がないことを持って、サーバ装置７０は、ＬＡＮ５０に接続されたクライアント端末１２からの接続要求が不正であることを判別するのである。
【００３８】
さらに、図１に示す本発明の実施の形態例では、ＬＡＮ依存機器情報として、サーバ装置７０に到達するまでの中継機器４０，４１，４２の機器情報を利用することができる。この場合、ＬＡＮ依存機器情報として、サーバ装置７０に到達するまでのネットワーク３０に接続されている中継局４０〜４２のＩＰアドレスを利用することができる。
【００３９】
通常のＩＰパケットの送受信においては、例えば、同じＬＡＮ内でのクライアント端末とサーバあるいはクライアント端末間の通信ではなく、インターネットを介した他のＬＡＮに接続されているクライアント端末又はサーバとの間で通信が行われる。このような場合には、ルータのＭＡＣアドレスを利用せずに、グローバルなＩＰアドレスを利用して、ＩＰパケットの送受信が行われるのが一般的である。
【００４０】
そのため、ＩＰパケットのヘッダ部分又はペイロード部分にＬＡＮ内に存在する機器情報のＭＡＣアドレスを通信履歴として搭載することにより、ＭＡＣアドレスをＬＡＮ依存機器情報として利用することができるようにしている。この場合、サーバ等のＬＡＮ内機器がグローバルＩＰアドレスを利用している場合には、このＬＡＮ内機器のグローバルＩＰアドレスをＬＡＮ依存機器情報として利用するようにする。そして、クライアント端末がネットに接続したか、ネットから離れたかによってＩＰアドレスを設定したり回収したりする動的なＩＰアドレスは利用しないようにしている。
【００４１】
図２は、サーバ装置７０の記憶手段７４に記憶されているユーザ認証情報及びＬＡＮ依存機器情報テーブルの構成例を示したものである。
本発明の実施の形態例においては、ユーザ認証情報として、ユーザＩＤ（図２では、「ＩＤ」）及びパスワード（図２では、「ＰＷ」）を採用している。他にユーザ認証情報となりうるものとしては、ＣＰＵのＩＤ、ＭＡＣアドレス、指紋・虹彩・手の平静脈のような生体認証情報等が含まれる。これらのユーザ認証情報は、あくまでもクライアント端末に依存する情報であり、ＬＡＮに依存する情報ではない。
【００４２】
これらクライアント端末に関係する認証情報に対して、ＬＡＮ依存機器情報とは、上述したように、いわゆる「ネットワーク鍵」と呼ぶものであり、本実施の形態例では、ルータのＭＡＣアドレスやＬＡＮ内機器（例えば、サーバ）のＭＡＣアドレスがそれに相当する。他のＬＡＮ機器依存情報として、ルータのＩＰアドレスを利用することもできる。
【００４３】
図２に示すように、サーバ装置７０の記憶手段７４は、例えば、クライアント端末に識別番号「0001」を付与し、ユーザ認証情報としてのＩＤに「user01」及びパスワードに「.pswd01」を割り当てて記憶している。また、記憶手段７４は、これらの識別番号「0001」、「user01」、「.pswd01」に対応させて、正規の設定情報としてルータのＭＡＣアドレス「00-11-22-33-44-55」及びＬＡＮ内機器（例えば、サーバ）のＭＡＣアドレス「01-23-45-67-89-AB」等を記憶させ、テーブルとして保有している。
また、上述のルータのＭＡＣアドレスやＬＡＮ内機器のＭＡＣアドレスの代わりに、例えば図１のネットワーク３０に接続されている中継機器４０等のＩＰアドレスをＬＡＮ機器依存情報として記憶させることも可能である。
【００４４】
また、このサーバ装置７０の記憶手段７４は、前記ユーザ認証情報及びＬＡＮ依存機器情報をＬＡＮ構築時やクライアント端末増設時に記憶する。さらに、記憶手段７４に接続要求頻度を記憶させることもできる。
接続要求頻度とは、ユーザ認証情報又はＬＡＮ依存機器情報を認証した通信経歴であり、認証履歴のないクライアント端末や認証履歴の極端に少ないクライアント端末から接続要求があったときに接続を拒否したり、警告を発したりするために利用するものである。また、接続要求頻度に閾値を設定し、その閾値を基準して接続要求の許可又は拒否を行うこともできる。
【００４５】
次に、本発明の実施の形態例の動作を図３のフローチャートに基づいて説明する。図３のフローチャートは、接続要求があったクライアント端末に接続された機器情報、すなわち、ルータのＩＰアドレス及びＭＡＣアドレスをＬＡＮ依存機器情報として利用した場合の実施の形態例の動作を説明するための図である。
【００４６】
まず、例えば、盗難されたクライアント端末１２（図１参照）が、サーバ装置７０が提供するサービスあるいは情報を取得しようとする場合、サーバ装置７０に対して接続要求を行った（ステップＳ１０１）場合について説明する。この場合、ＩＰＳｅｃやＳＳＬ（Secure Socket Layer）を用いた秘匿通信経路を使用することが可能であるが、ＩＰＳｅｃやＳＳＬを使用することなしにクライアント端末１２から接続要求がなされる場合もありうる。
【００４７】
サーバ装置７０は、クライアント端末１２からの接続要求を受信すると（ステップＳ２０１）は、接続要求があったクライアント端末１２に対して、そのクライアント端末１２が持つユーザ認証情報を送信するように要求する（ステップＳ２０２）。ここで、ユーザ認証情報とは、例えば、ユーザＩＤとパスワードである。つまり、サーバ装置７０はクライアント端末１２に対して、ユーザＩＤとパスワードを送るように指示する。この指示があると、クライアント端末１２の表示画面に、サーバ装置７０からのユーザ認証情報の要求があったことが表示され（ステップＳ１０２）、クライアント端末１２の利用者は、この画面表示にしたがって、ユーザ認証情報を入力してサーバ装置７０にそのユーザ認証情報を送信する（ステップＳ１０３）。
【００４８】
続いて、サーバ装置７０は、クライアント端末１２が送信したユーザＩＤとパスワードからなるユーザ認証情報を受信するとともに、クライアント端末１２から送信されるルータのＩＰアドレス及びルータのＭＡＣアドレスを受信する（ステップＳ２０３）。このルータのＩＰアドレスとＭＡＣアドレスは、クライアント端末１２のＬＡＮ機器依存情報としてサーバ内の記憶手段７４に一時的に保存される。
なお、ルータのＩＰアドレス及びＭＡＣアドレスは、ユーザ認証情報受信時ではなく、接続要求があったときに受信して一時的に保存しておいてもよい。
【００４９】
次に、サーバ装置７０は、ユーザ認証情報、つまりユーザＩＤとパスワードが記憶手段７４に登録されているものと一致するか否かを判断する（ステップＳ２０４）。この判断ステップＳ２０４において、記憶手段７４に記憶されているユーザ認証情報が受信されたと判断された場合には、次に、記憶手段７４に記憶したテーブルから、ＬＡＮ依存機器情報であるルータのＩＰアドレス及びＭＡＣアドレスを抽出し、これと受信したルータのＩＰアドレス及びＭＡＣアドレス比較検証する。すなわち、まず、受信したルータのＩＰアドレスが記憶手段７４に記憶されているルータのＩＰアドレスに一致するか否かが判断される（ステップＳ２０５）。この判断ステップＳ２０５において、送信されたルータのＩＰアドレスが記憶手段７４に記憶されているＩＰアドレスに一致していると判断された場合は、ＬＡＮ機器依存情報の認証の第一段階に成功したことになる。判断ステップＳ２０５でルータのＩＰアドレスの認証に成功した場合は、続いて、送信されたルータのＭＡＣアドレスがサーバ装置７０のログ記憶手段に記憶されているルータのＭＡＣアドレス、例えば、「00-11-22-33-44-55」に一致するか否かが判断される（ステップＳ２０６）。そして、判断ステップＳ２０４からＳ２０６までの認証に成功すると、サーバ装置７０に対して接続要求を行ったクライアント端末１２はサーバ装置７０にアクセスできるクライアント端末であると判断され、認証許可通知がクライアント端末１２に送られて（ステップＳ２０８）、サーバ装置側の処理が終了する。
【００５０】
サーバ側から認証許可通知を受信したクライアント端末１２は、サーバ装置７０への接続処理を実行し（ステップＳ１０４）クライアント端末側の処理を終了する。
判断ステップＳ２０４〜Ｓ２０６のいずれかの認証に失敗した場合には、サーバ装置７０に対して接続要求を行ったクライアント端末１２はサーバ装置７０へのアクセス権限がないと判定され、クライアント端末側に受付拒否の通知が送信される(ステップＳ２０７)。
このように、図３に示す実施形態例では、ユーザ認証情報、ルータのＩＰアドレス、ルータのＭＡＣアドレスが順次認証され、全ての認証に成功しないと接続が許可されないので、セキュリティの高い通信を行うことができる。
【００５１】
すなわち、図１に示すように、正規なＬＡＮ１０にあったクライアント端末１２が、ＬＡＮ１０外に持ち出され、端末を持ち出した第三者が正規でないＬＡＮ５０からサーバ装置７０に接続しようとしても、サーバ装置７０にアクセスしようとする第三者は、ＬＡＮ５０からクライアント端末２０の正規のルータ２０のＩＰアドレスあるいはＭＡＣアドレスを取得することはできない。このため、判断ステップＳ２０４でユーザ認証情報の認証に成功しても、判断ステップＳ２０５のルータのＩＰアドレスの認証又は判断ステップＳ２０６のルータのＭＡＣアドレスの認証に失敗することになり、結局、サーバ装置側からクライアント端末１２に対してステップＳ２０７の受付拒否通知が送信されることになる。
【００５２】
次に、図４のフローチャートに基づいて、本発明の第２の実施形態の例を説明する。
この第２の実施の形態例は、接続要求があったクライアント端末が接続されたルータ等の機器情報ではなく、図１に示すクライアント端末１２が収容されていた正規のＬＡＮ１０に接続された機器、例えばＤＮＳサーバ１３のＭＡＣアドレスをＬＡＮ依存機器情報として利用する例を示すものである。この第２の実施形態例では、サーバ装置７０が正規のＬＡＮ１０のルータ２０とのやり取りを行って、クライアント端末の接続の許可又は拒否を決定している。
【００５３】
まず、盗難されたクライアント端末１２からサーバ装置７０に対して接続要求があると（ステップＳ１１１）、サーバ装置７０はその接続要求を受け付け（ステップＳ２１１）、ユーザ認証情報の送信をクライアント端末１２に要求する（ステップＳ２１２）。クライアント端末１２は、サーバ装置７０からのユーザ認証情報の要求を表示し（ステップＳ１１２）、ユーザＩＤ及びパスワードなどのユーザ認証情報をサーバ装置７０に送信する（ステップＳ１１３）。サーバ装置７０はクライアント端末１２からのユーザ認証情報を受信する（ステップＳ２１３）。以上のステップＳ１１１からＳ２１３までのステップは、図３のフローチャートに示したプロセスと同じであるので、詳細な説明は省略する。
【００５４】
この第２の実施の形態例では、クライアント端末からユーザ認証情報を受け付けたサーバ装置７０は、受信したユーザ認証情報に基づいて、そのクライアント端末１２が存在しているはずの正規のＬＡＮのルータ、例えば、図１の例では、クライアント端末１２が存在しているはずのＬＡＮ１０のルータ２０に対して、接続要求のあったクライアント端末１２のＭＡＣアドレスを要求する（ステップＳ２１４）。
【００５５】
正規のＬＡＮ１０のルータ２０は、サーバ装置７０からの要求を受け付け（ステップＳ３１１）、ＭＡＣアドレスの要求があったクライアント端末１２がＬＡＮ１０に接続している正規の端末であるか否かを調べ、クライアント端末１２が正規の端末であればそれに対応するＭＡＣアドレスをサーバ装置７０に通知する（ステップＳ３１２）。この判定、すなわち、クライアント端末１２が現にＬＡＮ１０内で稼動している端末であるか否かの判定は、接続要求のあったクライアント端末１２のプライベートＩＰアドレスを用いて、そのＩＰアドレスに対応するＭＡＣアドレスが何かをＬＡＮ１０内に広く伝える（ブロードキャスト）することにより行われる。
【００５６】
続いて、サーバ装置７０は、正規のＬＡＮ１０のルータ２０からの上記回答を受け付けると（ステップＳ２１５）、受信したユーザ認証情報の認証、つまり受信したユーザＩＤ及びパスワードが記憶手段７４のテーブル（図２参照。）に記憶されているユーザＩＤとパスワードに一致しているか否か判断を行う（ステップＳ２１６）。このユーザ認証情報の認証判断に失敗した場合は、受付拒否通知がクライアント端末側に送られることになるが（ステップＳ２１８）、この判断ステップＳ２１６でユーザ認証情報の認証に成功すると、続いて正規のＬＡＮ１０のルータ２０から受信した情報に基づいてＭＡＣアドレスの有無が判定される（ステップＳ２１７）。つまり、接続要求を行ったクライアント端末１２が本来存在しているはずのＬＡＮ１０内のものであるかどうかが判定される。
【００５７】
そして、この判断ステップＳ２１７において、正規のＬＡＮ１０のルータ２０から送信されたＭＡＣアドレスが、クライアント端末１２が保有するＭＡＣアドレスと一致する場合は、ＬＡＮ機器依存情報、つまり「ネットワーク鍵」が一致したと判定され、サーバ装置７０はクライアント端末１２に対して、認証許可通知を送る（ステップＳ２１９）。この接続許可通知を受けたクライアント端末１２はサーバ装置７０への接続を行う（ステップＳ１１４）。
しかし、判断ステップＳ２１７において、正規のＬＡＮ１０のルータ２０から送信されたＭＡＣアドレスが、クライアント端末１２が保有するＭＡＣアドレスと一致しない場合は、盗難されたクライアント端末１２が正規のＬＡＮ１０内ではなく、別のＬＡＮ、例えばＬＡＮ５０（図１参照）からアクセスしようとしていると判断され、サーバ装置７０は接続要求があったクライアント端末１２からの接続を拒否し、その旨をクライアント端末１２に通知する。なお、このクライアント端末１２への接続拒否通知は必ずしも必要としないものである。
【００５８】
ここで、正規のＬＡＮ１０のルータ２０は、ＬＡＮ１０内で所定のクライアント端末１２が稼働している場合には、そのクライアント端末１２のＭＡＣアドレスを取得してサーバ装置７０に送信するが、例えば、盗難によって、本来稼働しているはずのクライアント端末１２がＬＡＮ内に存在しない場合は、ルータ２０は、ＬＡＮ１０内にブロードキャストした要求に対して応答を受けない。このような場合、サーバ装置７０に判定結果を通知することができないので、サーバ装置７０は、一定時間応答がない場合には、クライアント端末が正規のＬＡＮ内に存在しないと判断し、受付拒否通知をクライアント端末に送信するようにすることも可能である。
【００５９】
図５は、本発明の第３の実施形態の例を説明するためのフローチャートであり、ネットワーク中継機器４０〜４２のＩＰアドレスをＬＡＮ依存機器情報（ネットワーク鍵）として利用する例である。言うまでもなく、図１に示すクライアント端末１２から送られるＩＰパケットは、ネットワーク３０上の中継機器４０〜４２の１つ又は複数を経由して、サーバ装置７０に送られる。
【００６０】
盗難されたクライアント端末１２が、サーバ装置７０が提供するサービスあるいは情報を取得しようとする場合、正規のＬＡＮ１０以外のエリア、例えば、他のＬＡＮ５０からサーバ装置７０に対して接続要求が行われる（ステップＳ１２１）。
【００６１】
サーバ装置７０はこの接続要求を受信すると（ステップＳ２２１）、図３で説明した第１の実施の形態例と同様に、接続要求があったクライアント端末１２に対して、ユーザ認証情報を要求する（ステップＳ２２２）。すると、クライアント端末１２の表示画面上に、ユーザ認証情報要求の表示が行われ（ステップＳ１２２）、クライアント端末１２の利用者は、画面表示にしたがって、ユーザ認証情報を入力してサーバ装置７０に送信する（ステップＳ１２３）。
【００６２】
次に、サーバ装置７０は、クライアント端末１２が送信したＩＰパケットを受信するが、このとき、クライアント端末１２のＩＰアドレスを受信するとともに、ＩＰパケットの経路となったルータやゲートウエイ装置等の中継装置４０〜４２のＩＰアドレスやＭＡＣアドレスを受信する（ステップＳ２２３）。
そして、クライアント端末１２からの接続要求の度に、中継機器４０〜４２のＩＰアドレスやＭＡＣアドレスをログとして記憶手段７４に記憶する。
【００６３】
次に、サーバ装置７０において、ユーザ認証情報としてのユーザＩＤ及びパスワード等に基づいてユーザ認証情報の認証が行われる（ステップＳ２２４）。つまり、受信したユーザＩＤとパスワードが記憶手段７４に記憶されているユーザＩＤ及びパスワードに一致しているか否かが判断される。判断ステップＳ２２４で、ユーザ認証情報の認証が成功した場合は、続いて、中継機器のＩＰアドレスの検証が行われる（ステップＳ２２５）。ここでは、受信した中継機器のＩＰアドレスと記憶手段７４に記憶されている中継装置のＩＰアドレス、例えば、図２に示す中継装置のＩＰアドレス「123.124.125.126」が参照され、比較検証される。両者が一致した場合は、ＬＡＮ依存機器情報の認証に成功したとされる。
【００６４】
この、判断ステップＳ２２５の認証に成功すると、接続要求を行ったクライアント端末１２はサーバ装置７０にアクセスできるクライアント端末であると判断され、サーバ装置７０は、クライアント端末１２に対して接続許可通知を行う（ステップＳ２２７）。しかし、判断ステップＳ２２４のユーザ認証及び判断ステップＳ２２５の中継機器のＩＰアドレスのいずれかの認証に失敗すると、サーバ装置７０は、クライアント端末１２に対して受付拒否通知を送信する（ステップＳ２２６）。なお、この受付拒否通知は、必ずしもクライアント端末１２に送らないで、サーバ装置７０において単に接続を受け付けないだけにすることもある。
【００６５】
以上、本発明の３つの実施形態の例を出して、特定のＬＡＮ依存機器情報を利用してクライアント端末の不正アクセスを防止することを説明したが、本発明は、第１〜第３の実施形態例のＬＡＮ依存機器情報の複数を組み合わせて認証を行うことにより一層高度なセキュリティを確保することができる。また、本発明は、例えばトランスポート層にあるＴＣＰを用いて接続要求する場合を中心に説明しているが、同じくトランスポート層にあるＵＤＰを用いた通信においても適用できるものである。
【００６６】
なお、本発明は上述した実施の形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の多くの実施の形態が含まれることは言うまでもない。
【図面の簡単な説明】
【００６７】
【図１】本発明による認証システムをクライアント・サーバシステムに適用した構成例を示すブロック図である。
【図２】本発明のサーバ装置におけるログ記憶手段に記憶されるユーザ認証情報及びＬＡＮ依存機器情報のテーブル構成図である。
【図３】本発明の第１の実施の形態例の動作を説明するためのフローチャートである。
【図４】本発明の第２の実施の形態例の動作を説明するためのフローチャートである。
【図５】本発明の第３の実施の形態例の動作を説明するためのフローチャートである。
【符号の説明】
【００６８】
１０ 正規のＬＡＮ
１１ 盗難にあっていないクライアント端末
１２ 盗難されたクライアント端末
１３，１４ 正規のＬＡＮ内のサーバ
２０ 正規のＬＡＮに接続されるルータ
３０ インターネット等のネットワーク
４０，４１，４２ ＩＰパケットの中継機器
５０ 盗難されたクライアント端末が接続されるＬＡＮ
５１ 盗難されたクライアント端末が接続されるＬＡＮ内のサーバ
６０ 盗難されたクライアント端末が接続されるＬＡＮ内のルータ
【技術分野】
【０００１】
本発明は、ＬＡＮ（Local Area Network）・インターネット（Internet）等の通信回線を介して、サーバとクライアント端末間の通信を行うクライアント・サーバシステムにおけるセキュリティシステムに関し、特に、第三者の「なりすまし」による不正アクセスを防止するためのクライアント端末の認証システム及び認証方法、より詳細には、クライアント端末が盗難された場合であっても、クライアント端末に依存するユーザ認証情報だけでなく、盗難されたクライアント端末が正規に帰属するＬＡＮの機器情報等を認証情報として利用することにより、セキュリティを確保した安全な認証システム及び認証方法に関する。
【背景技術】
【０００２】
クライアント端末の認証を行う手段としては、ユーザＩＤとパスワードを用いる方法が最も一般的である。
クライアント端末からの接続要求を受信したサーバ装置は、最初に、そのサーバ装置内のテーブルに保存したユーザＩＤとパスワードが受信要求を行ったクライアント端末のユーザＩＤ及びパスワードと一致するか否かを判定する。
【０００３】
クライアント端末から送られたユーザＩＤ及びパスワードがサーバ装置内のテーブルに保存されているユーザＩＤ及びパスワードと一致した場合には、通信処理を継続し、不一致の場合には、認証に失敗したことをクライアント端末に返信する。
【０００４】
また、通信相手を特定する手段として、ユーザＩＤとパスワードの他には、指紋や虹彩等、ユーザ情報としてのバイオメトリクスを認証する方法もある（例えば、特許文献１を参照）。
更には、Ethernetの物理アドレスであるＭＡＣ（Media Access Control）アドレスやホストネーム等の機器情報を利用してクライアント端末を認証する方法や、アプリケーションに関連付けられたソフトウエアキーを利用してクライアント端末を認証する方法がある。
【０００５】
また、ユーザＩＤとパスワードに加えて、前記バイオメトリククス等のユーザ情報を組み合わせて認証を行うことにより、高度のセキュリティを確保しようとすることも行われている。
すなわち、これらのユーザ情報に基づきクライアント端末の認証を行うことにより、アクセス権をもたない利用者のサービス利用や情報取得を防止することができるようになる。
【特許文献１】特開２００４−３００７０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、クライアント端末自体が盗難にあったような場合には、端末を盗んだ者（第三者）が、アクセス権限のある者に成り済まし、盗んだ端末からサーバ装置に不正アクセスを行うこともあり得る。この盗まれたクライアント端末には、ユーザＩＤやパスワードが保存されていることが多く、更には機器情報やソフトウエアキーもクライアント端末に依存しているため、第三者が盗んだクライアント端末を利用する限り、接続要求のあったサーバ装置はその接続要求が真正であるとして認証してしまう。このため、アクセス権をもたない利用者に対しても、サービス利用や情報取得を許可する恐れが生じることになる。
【０００７】
また、ユーザＩＤ及びパスワードがクライアント端末に保存されていない場合であっても、第三者が権限のある者が使ったユーザＩＤやパスワードを盗み見ることにより情報が漏洩することがある。更にまた、機器情報やソフトウエアキーによってセキュリティを確保する場合でも、クライアント端末に依存する情報を通信する端末間あるいは端末とサーバ間の互いの認証に利用する限り、上述したような理由で高度なセキュリティを確保することができないという問題がある。
【０００８】
本発明の目的は、クライアント端末が盗難され、その盗まれたクライアント端末に依存する認証情報を利用して特定のサーバ装置にアクセスする場合であっても、第三者の成りすましを予防でき、一定レベルのセキュリティを確保することができる認証システム、認証方法、及びこれらの認証を実現するためのプログラム及びその記録媒体を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決し、本発明の目的を達成するため、本発明の認証システムは、クライアント端末からサーバ装置に接続要求があったときに、その接続要求を行ったクライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証システムであって、このクライアント端末により予め特定されたユーザ認証情報を記憶するユーザ認証情報記憶手段と、ＬＡＮに依存するＬＡＮ依存機器情報を当該クライアント端末により特定されるユーザ認証情報に対応させて記憶するＬＡＮ依存機器情報記憶手段と、クライアント端末からサーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検知するＬＡＮ依存機器情報検出手段と、この接続要求時のＬＡＮ依存機器情報が当該クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、接続要求時のＬＡＮ依存機器情報が当該クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する認証手段と、をサーバ装置内に有することを特徴するものである。すなわち、本発明の認証システムは、指定されたＬＡＮ内のクライアント端末からはサーバ装置に接続できるものの、指定されたＬＡＮ以外のＬＡＮに収容されているクライアント端末からはサーバ装置に接続要求があっても接続することができないようになっている。
【００１０】
また、本発明認証システムにおけるサーバ装置は、正規のユーザ認証情報及び正規のＬＡＮ依存機器情報をＬＡＮ構築時にサーバ装置内の記憶装置にテーブルとして記憶するようにしている。更に、正規のＬＡＮ内にクライアント端末を増設する場合には、サーバ装置は、増設時に正規のユーザ認証情報及び正規のＬＡＮ依存機器情報をＬＡＮ構築時にサーバ内の記憶装置に記憶するようにする。
【００１１】
ここで、本発明の認証システムに用いられるＬＡＮ依存機器情報は、クライアント端末が帰属するＬＡＮに固有の機器情報であり、ＬＡＮ内に設けられるルータのＭＡＣアドレス又はＩＰアドレス、ＬＡＮに接続されたゲートウエイ装置のＭＡＣアドレス又はＩＰアドレス、ＬＡＮに接続されたサーバのＭＡＣアドレス、あるいはＬＡＮに接続されたクライアント端末のＭＡＣアドレス等である。更には、インターネット中継局のルータ又はゲートウエイ装置のＩＰアドレスを用いることもできる。
本発明の認証システムでは、上述した正規のＬＡＮ外では得られない情報を認証情報として利用しているので、端末をＬＡＮ外に持ち出した第三者が正規のＬＡＮ外から不正なアクセスをしても、その接続要求を拒否することができるのである。
【００１２】
また、本発明は、クライアント端末からサーバ装置に接続要求があったときに、この接続要求をおこなったクライアント端末がＬＡＮ内の正規のクライアント端末であることを認証するための認証方法であって、当該クライアント端末により予め特定されたユーザ認証情報を記憶するステップと、ＬＡＮに依存するＬＡＮ依存機器情報をユーザ認証情報に対応させて記憶するステップと、クライアント端末からサーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出するステップと、当該クライアント端末からの接続要求時のＬＡＮ依存機器情報がサーバ内に記憶されているクライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、クライアント端末からの接続要求時のＬＡＮ依存機器情報がサーバ内に記憶されているユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴するユーザ認証方法である。
【００１３】
さらに、本発明は、前記認証方法をコンピュータに実行させるプログラム及び当該プログラムを記憶したコンピュータ読み取り可能な記憶媒体を含んでいる。
【発明の効果】
【００１４】
本発明の認証システムによれば、正規のＬＡＮに接続されているクライアント端末が盗まれ、この盗難端末が他のＬＡＮに接続されてサーバ装置にアクセスされた場合などには、サーバ装置内に記憶されている当該クライアント端末が保有するユーザ認証情報と対応するＬＡＮ依存機器情報と、盗難端末から送られてくるＬＡＮ依存機器情報とが比較されて、両者が不一致となることにより、盗難端末からの不正アクセスが防止される。すなわち、正規のユーザ認証情報及び正規のＬＡＮ依存機器情報は、サーバ装置に記憶されており、外部のクライアント端末から正規のＬＡＮ機器依存情報と異なるＬＡＮ依存機器情報が送られてくる場合には、サーバ装置は接続要求を拒否することができるのである。
【００１５】
例えば、正規のＬＡＮに接続されているクライアント端末をＬＡＮ外に持ち出した第三者が、外部からＬＡＮ内のコンピュータまたはサーバ装置に不正アクセスをしようとしても、そのような場合には必ず当該ＬＡＮ内のサーバ装置が正規であると認証していないルータやゲートウエイ装置を経由しなければならなくなるので、当該ＬＡＮ内のコンピュータやサーバ装置にアクセスすることはできない。
【００１６】
このように、本発明の認証システムによれば、ユーザＩＤ、パスワード等のユーザ認証情報とともに、クライアント端末が接続している正規のＬＡＮに固有のＬＡＮ依存機器情報を利用しているので、不正アクセスの防止など高度なセキュリティを実現することが可能である。
【発明を実施するための最良の形態】
【００１７】
以下、図面を参照して本発明による認証システム及び認証方法の実施例について説明する。本実施例では、以下、クライアント端末がＬＡＮ（Local Area Network）内に配置されているものとして説明するが、本発明は、クライアント端末がＩＳＰ（Internet Service Provider）を介してインターネットに直接接続される場合でも利用可能である。
【００１８】
図１は、本発明による認証システムをクライアント・サーバシステムに適用した構成例を示すブロック図である。ＬＡＮ１０内には、複数のクライアント端末１１，１２と、ＤＮＳ（Domain Name Server）サーバ１３及びＤＨＣＰ(Dynamic Host Configuration Protocol)サーバ１４が専用のネットワークを介して接続されている。なお、ＬＡＮ１０は無線ＬＡＮとして構築されていてもよい。このＤＮＳサーバ１４は、自分が管理するネットワークに接続されたコンピュータのドメイン名とＩＰアドレスを持っており、クライアント端末１１、１２に対してＩＰアドレスを与えるサーバである。
【００１９】
また、ＤＨＣＰサーバ１４は、インターネットに一時的に接続するコンピュータに、ＩＰアドレスなど必要な情報を自動的に割り当てるプロトコルサーバである。コンピュータがネットワークから離れた場合、つまり接続が切断された場合には、配布したＩＰアドレスを回収して、次にネットワークに接続されるコンピュータに割り当てるようにする。
【００２０】
図１に示すように、ＬＡＮ１０は、ルータ２０を介して、ＬＡＮ１０以外のネットワーク３０（例えば、インターネット）に接続されている。ルータ２０は、例えば、ゲートウエイ装置として機能しており、このルータ２０にＬＡＮ１０内のサーバや端末が接続される。
【００２１】
ネットワーク３０は、ルータやゲートウエイ装置等を介して、ＬＡＮ１０に接続されるほか、他のＬＡＮ５０やサーバ装置７０に接続されている。ここで、他のＬＡＮ５０とは、盗難されたクライアント端末１２が接続されるＬＡＮを想定している。ＬＡＮ５０はルータ６０を介してネットワーク３０（例えば、インターネット）に接続されている。
【００２２】
また、サーバ装置７０は、インターネット３０とルータ２０を介してＬＡＮ１０に収容されているクライアント端末１１、１２とＶＰＮ（Virtual Private Network）を構成している。すなわち、クライアント端末１１、１２は、サーバ装置７０のサービスや情報を利用する際に、サーバ装置７０に対して接続要求を行うことができる。そして、サーバ装置７０は、クライアント端末１１，１２のユーザ認証を行った後、通信を許可するか拒否するかを判断して、以後の処理を行うようにしている。
このサーバ装置７０は、認証サーバとして、その他のサーバ装置やホストコンピュータへの接続を許可するように構成することも可能である。
【００２３】
また、ＬＡＮ１０内において、クライアント端末１１、１２、サーバ１３、１４には、Ethernetの物理アドレスであるＭＡＣ（Media Access Control）アドレス及びプライベートＩＰアドレスが付与されており、ＬＡＮ１０内のネットワークでは、ＭＡＣアドレス及びプライベートＩＰアドレスによって、クライアント端末同士及びＬＡＮ内サーバとの情報通信が行われる。
【００２４】
このＭＡＣアドレスについては、ＡＲＰ（Address Resolution Protocol）のプロトコルを利用することで、ルータ等のネットワーク機器のＭＡＣアドレスを取得して、これをＬＡＮ依存機器情報として利用するようにしている。ここで、ＡＲＰは、ＩＰアドレスからＭＡＣアドレスを求めるのに使われるプロトコルである。
【００２５】
これらのクライアント装置１１、１２では、例えば、ＨＴＴＰ(Hiper Text Transfer Protocol)やTelenet等のアプリケーションソフトウエアが動作可能とされている。そして、クライアント端末１１、１２がＬＡＮ１０の外部にある、例えばサーバ装置７０との通信を行う場合には、ルータ２０は、クライアント端末１１、１２が有するプライベートＩＰアドレスをＮＡＴ（Network Address Translation）、ＩＰマスカレード等でグローバルＩＰアドレスに変換して、ネットワーク３０上にＩＰパケットを送り出す。このルータ２０には、ＭＡＣ（Media Access Control）アドレスとグローバルＩＰアドレスが付与されている。ここでＮＡＴとは、インターネットに接続された企業内の複数のコンピュータで１つのグローバルＩＰアドレスを共有する技術である。
【００２６】
また、ＬＡＮ５０内においても、例えば、ＤＮＳサーバ５１には、ＭＡＣアドレス及びプライベートＩＰアドレスが付与されており、ＬＡＮ５０内のネットワークでは、このＤＮＡサーバ５１に付与されたＭＡＣアドレス及びプライベートＩＰアドレスによって、クライアント端末同士及びＬＡＮ内サーバとの情報通信が行われている。更に、ＬＡＮ５０に接続されるルータ６０にも、ＬＡＮ１０に接続されるルータ２０と同様に、ＭＡＣアドレスとグローバルＩＰアドレスが付与されているので、ルータ６０に付与されたＭＡＣアドレスとグローバルＩＰアドレスを用いてクライアント端末同士及びクライアント端末とＬＡＮ内サーバとの情報通信を行うこともできる。
【００２７】
また、サーバ装置７０においても、クライアント端末１１、１２と同様に、ＨＴＴＰやＴｅｌｎｅｔ等のプロセスが動作可能である。そして、サーバ装置７０は、クライアント端末１１、１２から接続要求があるとユーザ認証を行い、認証が成功した場合にのみ、各アプリケーションを接続するポート番号に対応するサービスの通信処理を行う。このポート番号はＴＣＰレベルの多重識別子であり、特定のアプリケーションごとに予約されている番号であるが、１０２４番以上のポート番号は特定のアプリケーションが予約されていないため、各アプリケーションが自由に使うことができる番号である。
【００２８】
また、サーバ装置７０は、通信制御手段７１、ＬＡＮ依存機器情報検出手段７２、認証手段７３、記憶手段７４を備えている。通信制御手段７１は、サーバ装置７０をネットワーク３０に接続する制御を行う手段であり、ＬＡＮ依存機器情報検出手段７２は、ネットワークを介して送信されたＬＡＮ依存機器情報を、記憶手段７４に記憶されているＬＡＮ依存機器情報と比較するために、検出する手段である。
【００２９】
また、ＬＡＮ依存機器情報検出手段７２は、ＬＡＮ内にクライアント端末を増設するときなどに、新規にユーザ認証情報及びＬＡＮ依存機器情報を受信したときには、受信したユーザ認証情報に対応させてＬＡＮ依存機器情報を記憶手段７４に記憶するようにしている。認証手段７３は、サーバ装置７０がネットワークを通して受信したユーザＩＤやパスワード等のユーザ認証情報あるいはＭＡＣアドレスのようなＬＡＮ依存機器情報を、記憶手段７４に予め記憶されているユーザ認証情報あるいはＬＡＮ依存機器情報と比較する手段であり、この比較の結果、両者が一致した場合のみ、ユーザ認証あるいはＬＡＮ依存機器情報の認証に成功したとされる。
【００３０】
なお、記憶手段７４に記憶されるユーザ認証情報としては、ユーザＩＤ、パスワードのほかに、指紋・虹彩・手の平静脈のような生体認証情報等が含まれる。また、ＬＡＮ依存機器情報としては、ＣＰＵのＩＤ（製品番号）、ルータやゲートウエイ機器等のＭＡＣアドレス等が含まれる。なお、その他にも、クライアント端末に帰属するユーザ情報や機器情報があれば、ＬＡＮ依存機器情報検出手段７２は上記ユーザ認証情報と併せて記憶手段７４に記憶するようにしている。
【００３１】
本発明の実施の形態例では、ＬＡＮ依存機器情報を「ネットワーク鍵」と称して、これを認証情報として利用している。この「ネットワーク鍵」としては、例えば、ＬＡＮに接続されている機器情報、すなわちルータやゲートウエイ装置のＭＡＣアドレス又はＩＰアドレス、サーバやクライアント端末のＭＡＣアドレス等が用いられる。更に、この「ネットワーク鍵」として、ネットワークを介してクライアント端末間あるいはクライアント端末とサーバ間でやり取りされる機器情報、例えば、インターネット中継局のルータ又はゲートウエイ装置のＩＰアドレスを用いることも可能である。
【００３２】
このＬＡＮ機器依存情報について更に詳しく説明すると、第１に、正規であると認められるＬＡＮに依存する機器情報として、例えば、
（ａ）ネットワーク３０に接続されているルータ２０のＭＡＣアドレス。
（ｂ）ネットワーク３０に接続されているルータ２０のグローバルＩＰアドレス。
（ｃ）ネットワーク３０に接続されているゲートウエイ装置（図示せず）のＭＡＣアドレス。
（ｄ）ネットワーク３０に接続されているゲートウエイ装置（図示せず）のグローバルＩＰアドレス。
等が挙げられる。これらのＬＡＮ依存機器情報は記憶手段７４に記憶されている。
【００３３】
また、他にＬＡＮ依存機器情報として考えられるものには、ＬＡＮに接続されている機器情報がある。例えば、
（ｅ）ＬＡＮ１０又はＬＡＮ５０に接続されているＤＮＳサーバ１３、５１、ＤＨＣＰサーバ１４、不図示のメールサーバ、ファイヤウォール、スイッチ（ＭＡＣアドレスを有するもの）などのＬＡＮ内機器のいずれかのＭＡＣアドレス。
（ｆ）ＬＡＮ５０に接続されている盗難されたクライアント端末１２以外のクライアント端末のＭＡＣアドレス。
（ｇ）ＬＡＮ１０に接続されているクライアント端末１１、１２のＭＡＣアドレス。
等が挙げられる。
なお、以上説明したような認証情報として用いることができるＬＡＮ内機器のＭＡＣアドレスは、ＡＲＰ（Address Resolution Protocol）プロトコルを用いて取得することが可能である。
【００３４】
ここで、ＡＲＰは、アドレス解決プロトコルと呼ばれるプロトコルであり、既知の３２ビットのＩＰアドレス情報から未知のデータリンク・アドレス、例えばEthernetの４８ビットのＭＡＣアドレスを取得するプロトコルである。ＲＡＲＰは逆にＭＡＣアドレスからＩＰアドレスを知るためのプロトコルである。
【００３５】
図１のＬＡＮ５０に接続されるクライアント端末１２（実線）は、ＬＡＮ１０に接続されていたクライアント端末１２が無断で持ち出されたことを示している。つまり、この盗難されたクライアント端末１２は、正規のＬＡＮ１０内に存在せず、異なったＬＡＮ５０内に存在していることを示している。そのため、クライアント端末１２は、ＬＡＮ５０に接続されているルータ６０にＬＡＮ内機器のＭＡＣアドレスを要求するのであるが、ルータ６０自体はクライアント端末１２を認識することができないため、クライアント端末１２にＭＡＣアドレスを返信することができない。このように、ルータ６０からＭＡＣアドレスの返信ができないことをもって、クライアント端末１２からの接続要求が不正であることが判別されるわけである。
【００３６】
仮に、ルータ６０が盗難されたクライアント端末１２を認識することができて、ＭＡＣアドレスの返信機能を備えていたとしても、正規のＬＡＮ内のサーバやクライアント端末のＭＡＣアドレス（例えば、図１におけるＬＡＮ１０に接続されているＤＮＡサーバ１３やクライアント端末１１のＭＡＣアドレス）が返信できない場合には、同様にクライアント端末１２からの接続要求が不正であることが判別されることになる。
【００３７】
さらに、サーバ装置７０は、正規のＬＡＮ１０に接続されるルータ２０に、当該クライアント端末１２のＭＡＣアドレスを要求するようにしている。このような要求がサーバ装置７０からあると、ルータ２０は、ＬＡＮ１０内にクライアント端末１２が存在するときは応答することができるが、ＬＡＮ１０内にクライアント端末１２が存在しないときは応答することができない。このように、ＬＡＮ１０に接続されたルータからの応答がないことを持って、サーバ装置７０は、ＬＡＮ５０に接続されたクライアント端末１２からの接続要求が不正であることを判別するのである。
【００３８】
さらに、図１に示す本発明の実施の形態例では、ＬＡＮ依存機器情報として、サーバ装置７０に到達するまでの中継機器４０，４１，４２の機器情報を利用することができる。この場合、ＬＡＮ依存機器情報として、サーバ装置７０に到達するまでのネットワーク３０に接続されている中継局４０〜４２のＩＰアドレスを利用することができる。
【００３９】
通常のＩＰパケットの送受信においては、例えば、同じＬＡＮ内でのクライアント端末とサーバあるいはクライアント端末間の通信ではなく、インターネットを介した他のＬＡＮに接続されているクライアント端末又はサーバとの間で通信が行われる。このような場合には、ルータのＭＡＣアドレスを利用せずに、グローバルなＩＰアドレスを利用して、ＩＰパケットの送受信が行われるのが一般的である。
【００４０】
そのため、ＩＰパケットのヘッダ部分又はペイロード部分にＬＡＮ内に存在する機器情報のＭＡＣアドレスを通信履歴として搭載することにより、ＭＡＣアドレスをＬＡＮ依存機器情報として利用することができるようにしている。この場合、サーバ等のＬＡＮ内機器がグローバルＩＰアドレスを利用している場合には、このＬＡＮ内機器のグローバルＩＰアドレスをＬＡＮ依存機器情報として利用するようにする。そして、クライアント端末がネットに接続したか、ネットから離れたかによってＩＰアドレスを設定したり回収したりする動的なＩＰアドレスは利用しないようにしている。
【００４１】
図２は、サーバ装置７０の記憶手段７４に記憶されているユーザ認証情報及びＬＡＮ依存機器情報テーブルの構成例を示したものである。
本発明の実施の形態例においては、ユーザ認証情報として、ユーザＩＤ（図２では、「ＩＤ」）及びパスワード（図２では、「ＰＷ」）を採用している。他にユーザ認証情報となりうるものとしては、ＣＰＵのＩＤ、ＭＡＣアドレス、指紋・虹彩・手の平静脈のような生体認証情報等が含まれる。これらのユーザ認証情報は、あくまでもクライアント端末に依存する情報であり、ＬＡＮに依存する情報ではない。
【００４２】
これらクライアント端末に関係する認証情報に対して、ＬＡＮ依存機器情報とは、上述したように、いわゆる「ネットワーク鍵」と呼ぶものであり、本実施の形態例では、ルータのＭＡＣアドレスやＬＡＮ内機器（例えば、サーバ）のＭＡＣアドレスがそれに相当する。他のＬＡＮ機器依存情報として、ルータのＩＰアドレスを利用することもできる。
【００４３】
図２に示すように、サーバ装置７０の記憶手段７４は、例えば、クライアント端末に識別番号「0001」を付与し、ユーザ認証情報としてのＩＤに「user01」及びパスワードに「.pswd01」を割り当てて記憶している。また、記憶手段７４は、これらの識別番号「0001」、「user01」、「.pswd01」に対応させて、正規の設定情報としてルータのＭＡＣアドレス「00-11-22-33-44-55」及びＬＡＮ内機器（例えば、サーバ）のＭＡＣアドレス「01-23-45-67-89-AB」等を記憶させ、テーブルとして保有している。
また、上述のルータのＭＡＣアドレスやＬＡＮ内機器のＭＡＣアドレスの代わりに、例えば図１のネットワーク３０に接続されている中継機器４０等のＩＰアドレスをＬＡＮ機器依存情報として記憶させることも可能である。
【００４４】
また、このサーバ装置７０の記憶手段７４は、前記ユーザ認証情報及びＬＡＮ依存機器情報をＬＡＮ構築時やクライアント端末増設時に記憶する。さらに、記憶手段７４に接続要求頻度を記憶させることもできる。
接続要求頻度とは、ユーザ認証情報又はＬＡＮ依存機器情報を認証した通信経歴であり、認証履歴のないクライアント端末や認証履歴の極端に少ないクライアント端末から接続要求があったときに接続を拒否したり、警告を発したりするために利用するものである。また、接続要求頻度に閾値を設定し、その閾値を基準して接続要求の許可又は拒否を行うこともできる。
【００４５】
次に、本発明の実施の形態例の動作を図３のフローチャートに基づいて説明する。図３のフローチャートは、接続要求があったクライアント端末に接続された機器情報、すなわち、ルータのＩＰアドレス及びＭＡＣアドレスをＬＡＮ依存機器情報として利用した場合の実施の形態例の動作を説明するための図である。
【００４６】
まず、例えば、盗難されたクライアント端末１２（図１参照）が、サーバ装置７０が提供するサービスあるいは情報を取得しようとする場合、サーバ装置７０に対して接続要求を行った（ステップＳ１０１）場合について説明する。この場合、ＩＰＳｅｃやＳＳＬ（Secure Socket Layer）を用いた秘匿通信経路を使用することが可能であるが、ＩＰＳｅｃやＳＳＬを使用することなしにクライアント端末１２から接続要求がなされる場合もありうる。
【００４７】
サーバ装置７０は、クライアント端末１２からの接続要求を受信すると（ステップＳ２０１）は、接続要求があったクライアント端末１２に対して、そのクライアント端末１２が持つユーザ認証情報を送信するように要求する（ステップＳ２０２）。ここで、ユーザ認証情報とは、例えば、ユーザＩＤとパスワードである。つまり、サーバ装置７０はクライアント端末１２に対して、ユーザＩＤとパスワードを送るように指示する。この指示があると、クライアント端末１２の表示画面に、サーバ装置７０からのユーザ認証情報の要求があったことが表示され（ステップＳ１０２）、クライアント端末１２の利用者は、この画面表示にしたがって、ユーザ認証情報を入力してサーバ装置７０にそのユーザ認証情報を送信する（ステップＳ１０３）。
【００４８】
続いて、サーバ装置７０は、クライアント端末１２が送信したユーザＩＤとパスワードからなるユーザ認証情報を受信するとともに、クライアント端末１２から送信されるルータのＩＰアドレス及びルータのＭＡＣアドレスを受信する（ステップＳ２０３）。このルータのＩＰアドレスとＭＡＣアドレスは、クライアント端末１２のＬＡＮ機器依存情報としてサーバ内の記憶手段７４に一時的に保存される。
なお、ルータのＩＰアドレス及びＭＡＣアドレスは、ユーザ認証情報受信時ではなく、接続要求があったときに受信して一時的に保存しておいてもよい。
【００４９】
次に、サーバ装置７０は、ユーザ認証情報、つまりユーザＩＤとパスワードが記憶手段７４に登録されているものと一致するか否かを判断する（ステップＳ２０４）。この判断ステップＳ２０４において、記憶手段７４に記憶されているユーザ認証情報が受信されたと判断された場合には、次に、記憶手段７４に記憶したテーブルから、ＬＡＮ依存機器情報であるルータのＩＰアドレス及びＭＡＣアドレスを抽出し、これと受信したルータのＩＰアドレス及びＭＡＣアドレス比較検証する。すなわち、まず、受信したルータのＩＰアドレスが記憶手段７４に記憶されているルータのＩＰアドレスに一致するか否かが判断される（ステップＳ２０５）。この判断ステップＳ２０５において、送信されたルータのＩＰアドレスが記憶手段７４に記憶されているＩＰアドレスに一致していると判断された場合は、ＬＡＮ機器依存情報の認証の第一段階に成功したことになる。判断ステップＳ２０５でルータのＩＰアドレスの認証に成功した場合は、続いて、送信されたルータのＭＡＣアドレスがサーバ装置７０のログ記憶手段に記憶されているルータのＭＡＣアドレス、例えば、「00-11-22-33-44-55」に一致するか否かが判断される（ステップＳ２０６）。そして、判断ステップＳ２０４からＳ２０６までの認証に成功すると、サーバ装置７０に対して接続要求を行ったクライアント端末１２はサーバ装置７０にアクセスできるクライアント端末であると判断され、認証許可通知がクライアント端末１２に送られて（ステップＳ２０８）、サーバ装置側の処理が終了する。
【００５０】
サーバ側から認証許可通知を受信したクライアント端末１２は、サーバ装置７０への接続処理を実行し（ステップＳ１０４）クライアント端末側の処理を終了する。
判断ステップＳ２０４〜Ｓ２０６のいずれかの認証に失敗した場合には、サーバ装置７０に対して接続要求を行ったクライアント端末１２はサーバ装置７０へのアクセス権限がないと判定され、クライアント端末側に受付拒否の通知が送信される(ステップＳ２０７)。
このように、図３に示す実施形態例では、ユーザ認証情報、ルータのＩＰアドレス、ルータのＭＡＣアドレスが順次認証され、全ての認証に成功しないと接続が許可されないので、セキュリティの高い通信を行うことができる。
【００５１】
すなわち、図１に示すように、正規なＬＡＮ１０にあったクライアント端末１２が、ＬＡＮ１０外に持ち出され、端末を持ち出した第三者が正規でないＬＡＮ５０からサーバ装置７０に接続しようとしても、サーバ装置７０にアクセスしようとする第三者は、ＬＡＮ５０からクライアント端末２０の正規のルータ２０のＩＰアドレスあるいはＭＡＣアドレスを取得することはできない。このため、判断ステップＳ２０４でユーザ認証情報の認証に成功しても、判断ステップＳ２０５のルータのＩＰアドレスの認証又は判断ステップＳ２０６のルータのＭＡＣアドレスの認証に失敗することになり、結局、サーバ装置側からクライアント端末１２に対してステップＳ２０７の受付拒否通知が送信されることになる。
【００５２】
次に、図４のフローチャートに基づいて、本発明の第２の実施形態の例を説明する。
この第２の実施の形態例は、接続要求があったクライアント端末が接続されたルータ等の機器情報ではなく、図１に示すクライアント端末１２が収容されていた正規のＬＡＮ１０に接続された機器、例えばＤＮＳサーバ１３のＭＡＣアドレスをＬＡＮ依存機器情報として利用する例を示すものである。この第２の実施形態例では、サーバ装置７０が正規のＬＡＮ１０のルータ２０とのやり取りを行って、クライアント端末の接続の許可又は拒否を決定している。
【００５３】
まず、盗難されたクライアント端末１２からサーバ装置７０に対して接続要求があると（ステップＳ１１１）、サーバ装置７０はその接続要求を受け付け（ステップＳ２１１）、ユーザ認証情報の送信をクライアント端末１２に要求する（ステップＳ２１２）。クライアント端末１２は、サーバ装置７０からのユーザ認証情報の要求を表示し（ステップＳ１１２）、ユーザＩＤ及びパスワードなどのユーザ認証情報をサーバ装置７０に送信する（ステップＳ１１３）。サーバ装置７０はクライアント端末１２からのユーザ認証情報を受信する（ステップＳ２１３）。以上のステップＳ１１１からＳ２１３までのステップは、図３のフローチャートに示したプロセスと同じであるので、詳細な説明は省略する。
【００５４】
この第２の実施の形態例では、クライアント端末からユーザ認証情報を受け付けたサーバ装置７０は、受信したユーザ認証情報に基づいて、そのクライアント端末１２が存在しているはずの正規のＬＡＮのルータ、例えば、図１の例では、クライアント端末１２が存在しているはずのＬＡＮ１０のルータ２０に対して、接続要求のあったクライアント端末１２のＭＡＣアドレスを要求する（ステップＳ２１４）。
【００５５】
正規のＬＡＮ１０のルータ２０は、サーバ装置７０からの要求を受け付け（ステップＳ３１１）、ＭＡＣアドレスの要求があったクライアント端末１２がＬＡＮ１０に接続している正規の端末であるか否かを調べ、クライアント端末１２が正規の端末であればそれに対応するＭＡＣアドレスをサーバ装置７０に通知する（ステップＳ３１２）。この判定、すなわち、クライアント端末１２が現にＬＡＮ１０内で稼動している端末であるか否かの判定は、接続要求のあったクライアント端末１２のプライベートＩＰアドレスを用いて、そのＩＰアドレスに対応するＭＡＣアドレスが何かをＬＡＮ１０内に広く伝える（ブロードキャスト）することにより行われる。
【００５６】
続いて、サーバ装置７０は、正規のＬＡＮ１０のルータ２０からの上記回答を受け付けると（ステップＳ２１５）、受信したユーザ認証情報の認証、つまり受信したユーザＩＤ及びパスワードが記憶手段７４のテーブル（図２参照。）に記憶されているユーザＩＤとパスワードに一致しているか否か判断を行う（ステップＳ２１６）。このユーザ認証情報の認証判断に失敗した場合は、受付拒否通知がクライアント端末側に送られることになるが（ステップＳ２１８）、この判断ステップＳ２１６でユーザ認証情報の認証に成功すると、続いて正規のＬＡＮ１０のルータ２０から受信した情報に基づいてＭＡＣアドレスの有無が判定される（ステップＳ２１７）。つまり、接続要求を行ったクライアント端末１２が本来存在しているはずのＬＡＮ１０内のものであるかどうかが判定される。
【００５７】
そして、この判断ステップＳ２１７において、正規のＬＡＮ１０のルータ２０から送信されたＭＡＣアドレスが、クライアント端末１２が保有するＭＡＣアドレスと一致する場合は、ＬＡＮ機器依存情報、つまり「ネットワーク鍵」が一致したと判定され、サーバ装置７０はクライアント端末１２に対して、認証許可通知を送る（ステップＳ２１９）。この接続許可通知を受けたクライアント端末１２はサーバ装置７０への接続を行う（ステップＳ１１４）。
しかし、判断ステップＳ２１７において、正規のＬＡＮ１０のルータ２０から送信されたＭＡＣアドレスが、クライアント端末１２が保有するＭＡＣアドレスと一致しない場合は、盗難されたクライアント端末１２が正規のＬＡＮ１０内ではなく、別のＬＡＮ、例えばＬＡＮ５０（図１参照）からアクセスしようとしていると判断され、サーバ装置７０は接続要求があったクライアント端末１２からの接続を拒否し、その旨をクライアント端末１２に通知する。なお、このクライアント端末１２への接続拒否通知は必ずしも必要としないものである。
【００５８】
ここで、正規のＬＡＮ１０のルータ２０は、ＬＡＮ１０内で所定のクライアント端末１２が稼働している場合には、そのクライアント端末１２のＭＡＣアドレスを取得してサーバ装置７０に送信するが、例えば、盗難によって、本来稼働しているはずのクライアント端末１２がＬＡＮ内に存在しない場合は、ルータ２０は、ＬＡＮ１０内にブロードキャストした要求に対して応答を受けない。このような場合、サーバ装置７０に判定結果を通知することができないので、サーバ装置７０は、一定時間応答がない場合には、クライアント端末が正規のＬＡＮ内に存在しないと判断し、受付拒否通知をクライアント端末に送信するようにすることも可能である。
【００５９】
図５は、本発明の第３の実施形態の例を説明するためのフローチャートであり、ネットワーク中継機器４０〜４２のＩＰアドレスをＬＡＮ依存機器情報（ネットワーク鍵）として利用する例である。言うまでもなく、図１に示すクライアント端末１２から送られるＩＰパケットは、ネットワーク３０上の中継機器４０〜４２の１つ又は複数を経由して、サーバ装置７０に送られる。
【００６０】
盗難されたクライアント端末１２が、サーバ装置７０が提供するサービスあるいは情報を取得しようとする場合、正規のＬＡＮ１０以外のエリア、例えば、他のＬＡＮ５０からサーバ装置７０に対して接続要求が行われる（ステップＳ１２１）。
【００６１】
サーバ装置７０はこの接続要求を受信すると（ステップＳ２２１）、図３で説明した第１の実施の形態例と同様に、接続要求があったクライアント端末１２に対して、ユーザ認証情報を要求する（ステップＳ２２２）。すると、クライアント端末１２の表示画面上に、ユーザ認証情報要求の表示が行われ（ステップＳ１２２）、クライアント端末１２の利用者は、画面表示にしたがって、ユーザ認証情報を入力してサーバ装置７０に送信する（ステップＳ１２３）。
【００６２】
次に、サーバ装置７０は、クライアント端末１２が送信したＩＰパケットを受信するが、このとき、クライアント端末１２のＩＰアドレスを受信するとともに、ＩＰパケットの経路となったルータやゲートウエイ装置等の中継装置４０〜４２のＩＰアドレスやＭＡＣアドレスを受信する（ステップＳ２２３）。
そして、クライアント端末１２からの接続要求の度に、中継機器４０〜４２のＩＰアドレスやＭＡＣアドレスをログとして記憶手段７４に記憶する。
【００６３】
次に、サーバ装置７０において、ユーザ認証情報としてのユーザＩＤ及びパスワード等に基づいてユーザ認証情報の認証が行われる（ステップＳ２２４）。つまり、受信したユーザＩＤとパスワードが記憶手段７４に記憶されているユーザＩＤ及びパスワードに一致しているか否かが判断される。判断ステップＳ２２４で、ユーザ認証情報の認証が成功した場合は、続いて、中継機器のＩＰアドレスの検証が行われる（ステップＳ２２５）。ここでは、受信した中継機器のＩＰアドレスと記憶手段７４に記憶されている中継装置のＩＰアドレス、例えば、図２に示す中継装置のＩＰアドレス「123.124.125.126」が参照され、比較検証される。両者が一致した場合は、ＬＡＮ依存機器情報の認証に成功したとされる。
【００６４】
この、判断ステップＳ２２５の認証に成功すると、接続要求を行ったクライアント端末１２はサーバ装置７０にアクセスできるクライアント端末であると判断され、サーバ装置７０は、クライアント端末１２に対して接続許可通知を行う（ステップＳ２２７）。しかし、判断ステップＳ２２４のユーザ認証及び判断ステップＳ２２５の中継機器のＩＰアドレスのいずれかの認証に失敗すると、サーバ装置７０は、クライアント端末１２に対して受付拒否通知を送信する（ステップＳ２２６）。なお、この受付拒否通知は、必ずしもクライアント端末１２に送らないで、サーバ装置７０において単に接続を受け付けないだけにすることもある。
【００６５】
以上、本発明の３つの実施形態の例を出して、特定のＬＡＮ依存機器情報を利用してクライアント端末の不正アクセスを防止することを説明したが、本発明は、第１〜第３の実施形態例のＬＡＮ依存機器情報の複数を組み合わせて認証を行うことにより一層高度なセキュリティを確保することができる。また、本発明は、例えばトランスポート層にあるＴＣＰを用いて接続要求する場合を中心に説明しているが、同じくトランスポート層にあるＵＤＰを用いた通信においても適用できるものである。
【００６６】
なお、本発明は上述した実施の形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の多くの実施の形態が含まれることは言うまでもない。
【図面の簡単な説明】
【００６７】
【図１】本発明による認証システムをクライアント・サーバシステムに適用した構成例を示すブロック図である。
【図２】本発明のサーバ装置におけるログ記憶手段に記憶されるユーザ認証情報及びＬＡＮ依存機器情報のテーブル構成図である。
【図３】本発明の第１の実施の形態例の動作を説明するためのフローチャートである。
【図４】本発明の第２の実施の形態例の動作を説明するためのフローチャートである。
【図５】本発明の第３の実施の形態例の動作を説明するためのフローチャートである。
【符号の説明】
【００６８】
１０ 正規のＬＡＮ
１１ 盗難にあっていないクライアント端末
１２ 盗難されたクライアント端末
１３，１４ 正規のＬＡＮ内のサーバ
２０ 正規のＬＡＮに接続されるルータ
３０ インターネット等のネットワーク
４０，４１，４２ ＩＰパケットの中継機器
５０ 盗難されたクライアント端末が接続されるＬＡＮ
５１ 盗難されたクライアント端末が接続されるＬＡＮ内のサーバ
６０ 盗難されたクライアント端末が接続されるＬＡＮ内のルータ
【特許請求の範囲】
【請求項１】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証システムであって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶するユーザ認証情報記憶手段と、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶するＬＡＮ依存機器情報記憶手段と、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検知するＬＡＮ依存機器情報検出手段と、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する認証手段と、
をサーバ装置内に有することを特徴するユーザ認証システム。
【請求項２】
前記サーバ装置は、ＬＡＮ構築時に前記ユーザ認証情報を記憶するとともに、該ユーザ認証情報に対応させて前記ＬＡＮ依存機器情報を記憶することを特徴する請求項１に記載のユーザ認証システム。
【請求項３】
前記サーバ装置は、ＬＡＮ内にクライアント端末を増設するときに、前記ユーザ認証情報を記憶するとともに、該ユーザ認証情報に対応させて前記ＬＡＮ依存機器情報を記憶することを特徴する請求項１に記載のユーザ認証システム。
【請求項４】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるルータのＭＡＣアドレス又はＩＰアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項５】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるゲートウエイ装置のＭＡＣアドレス又はＩＰアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項６】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるサーバのＭＡＣアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項７】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるクライアント端末のＭＡＣアドレスであることを特徴とする請求項１〜３に記載のユーザ認証システム。
【請求項８】
前記サーバ装置は、前記ＬＡＮ依存機器情報記憶手段に記憶されている前記クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報を参照して、前記クライアント端末が収容される正規のＬＡＮのルータ又はゲートウエイ装置に前記接続要求を行ったクライアント端末のＭＡＣアドレスを要求し、
前記認証手段は、前記ＭＡＣアドレスが前記ユーザ認証情報に対応して前記サーバ装置が記憶するＬＡＮ依存機器情報である場合には接続を許可し、前記ＭＡＣアドレスが前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴する、請求項７に記載のユーザ認証システム。
【請求項９】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証方法であって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶するステップと、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶するステップと、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出するステップと、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴するユーザ認証方法。
【請求項１０】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されたクライアント端末のＭＡＣアドレスであり、前記クライアント端末から前記サーバ装置に接続要求があったとき、前記サーバ装置は、前記サーバ装置内に記憶されているユーザ認証情報に対応するＬＡＮ依存機器情報を参照して、前記接続要求を行った前記クライアント端末が収容される正規のＬＡＮのルータ又はゲートウエイ装置に前記クライアント端末のＭＡＣアドレスを要求し、
前記ＭＡＣアドレスが、前記ユーザ認証情報に対応して前記サーバ装置が記憶するＬＡＮ依存機器情報である場合には接続を許可し、前記ＭＡＣアドレスが前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴する請求項９に記載のユーザ認証方法。
【請求項１１】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証する機能をコンピュータに実行させるためのプログラムであって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶する機能と、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶する機能と、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出する機能と、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する機能を、
コンピュータに実行させるプログラム。
【請求項１２】
請求項１１に記載したプログラムを記憶したコンピュータ読み取り可能な記憶媒体。
【請求項１】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証システムであって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶するユーザ認証情報記憶手段と、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶するＬＡＮ依存機器情報記憶手段と、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検知するＬＡＮ依存機器情報検出手段と、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する認証手段と、
をサーバ装置内に有することを特徴するユーザ認証システム。
【請求項２】
前記サーバ装置は、ＬＡＮ構築時に前記ユーザ認証情報を記憶するとともに、該ユーザ認証情報に対応させて前記ＬＡＮ依存機器情報を記憶することを特徴する請求項１に記載のユーザ認証システム。
【請求項３】
前記サーバ装置は、ＬＡＮ内にクライアント端末を増設するときに、前記ユーザ認証情報を記憶するとともに、該ユーザ認証情報に対応させて前記ＬＡＮ依存機器情報を記憶することを特徴する請求項１に記載のユーザ認証システム。
【請求項４】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるルータのＭＡＣアドレス又はＩＰアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項５】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるゲートウエイ装置のＭＡＣアドレス又はＩＰアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項６】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるサーバのＭＡＣアドレスであることを特徴とする請求項１〜３のいずれかに記載のユーザ認証システム。
【請求項７】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されるクライアント端末のＭＡＣアドレスであることを特徴とする請求項１〜３に記載のユーザ認証システム。
【請求項８】
前記サーバ装置は、前記ＬＡＮ依存機器情報記憶手段に記憶されている前記クライアント端末のユーザ認証情報に対応するＬＡＮ依存機器情報を参照して、前記クライアント端末が収容される正規のＬＡＮのルータ又はゲートウエイ装置に前記接続要求を行ったクライアント端末のＭＡＣアドレスを要求し、
前記認証手段は、前記ＭＡＣアドレスが前記ユーザ認証情報に対応して前記サーバ装置が記憶するＬＡＮ依存機器情報である場合には接続を許可し、前記ＭＡＣアドレスが前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴する、請求項７に記載のユーザ認証システム。
【請求項９】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証するための認証方法であって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶するステップと、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶するステップと、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出するステップと、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴するユーザ認証方法。
【請求項１０】
前記ＬＡＮ依存機器情報は、ＬＡＮに接続されたクライアント端末のＭＡＣアドレスであり、前記クライアント端末から前記サーバ装置に接続要求があったとき、前記サーバ装置は、前記サーバ装置内に記憶されているユーザ認証情報に対応するＬＡＮ依存機器情報を参照して、前記接続要求を行った前記クライアント端末が収容される正規のＬＡＮのルータ又はゲートウエイ装置に前記クライアント端末のＭＡＣアドレスを要求し、
前記ＭＡＣアドレスが、前記ユーザ認証情報に対応して前記サーバ装置が記憶するＬＡＮ依存機器情報である場合には接続を許可し、前記ＭＡＣアドレスが前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否することを特徴する請求項９に記載のユーザ認証方法。
【請求項１１】
クライアント端末からサーバ装置に接続要求があったときに、前記クライアント端末がＬＡＮ内のクライアント端末であることを認証する機能をコンピュータに実行させるためのプログラムであって、
前記クライアント端末により予め特定されたユーザ認証情報を記憶する機能と、
前記ＬＡＮに依存するＬＡＮ依存機器情報を前記ユーザ認証情報に対応させて記憶する機能と、
前記クライアント端末から前記サーバ装置に接続要求があったときに、該接続要求時のＬＡＮ依存機器情報を検出する機能と、
前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報である場合には接続を許可し、前記接続要求時のＬＡＮ依存機器情報が前記ユーザ認証情報に対応するＬＡＮ依存機器情報でない場合には接続を拒否する機能を、
コンピュータに実行させるプログラム。
【請求項１２】
請求項１１に記載したプログラムを記憶したコンピュータ読み取り可能な記憶媒体。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２００７−１８０８１（Ｐ２００７−１８０８１Ａ）
【公開日】平成１９年１月２５日（２００７．１．２５）
【国際特許分類】
【出願番号】特願２００５−１９６５００（Ｐ２００５−１９６５００）
【出願日】平成１７年７月５日（２００５．７．５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＴＨＥＲＮＥＴ
【出願人】（５０３２８７７６４）ティー・ティー・ティー株式会社 (18)
【Ｆターム（参考）】
【公開日】平成１９年１月２５日（２００７．１．２５）
【国際特許分類】
【出願日】平成１７年７月５日（２００５．７．５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＴＨＥＲＮＥＴ
【出願人】（５０３２８７７６４）ティー・ティー・ティー株式会社 (18)
【Ｆターム（参考）】
[ Back to top ]