リモートアクセス管理システム及び方法
【課題】認証局が発行する証明書を用いることなく、ユーザ認証に利用する暗号鍵の正当性を保証することのできるリモートアクセス管理システムを提供する。
【解決手段】ユーザは被リモートコンピュータ２にパスワードとユーザデータを入力すると（図１のア）、ユーザ認証に利用する暗号鍵とＵＳＢメモリ５のＩＤ番号が被リモートコンピュータ２によって生成され、暗号鍵とＩＤ番号はＵＳＢメモリ５に記憶されると共に（図１のイ）、パスワードとユーザデータを認証サーバ３に送信する（図１のウ）。リモートコンピュータ４がＬＡＮ６へアクセスするとき、暗号鍵を用いた認証コードがＵＳＢメモリ５内で生成され（図１のエ）、認証サーバ３は、ＵＳＢメモリ５で生成された認証コードを検証することでユーザ認証を行い、被リモートコンピュータ２へのリモートアクセスを管理する（図１のオ）。
【解決手段】ユーザは被リモートコンピュータ２にパスワードとユーザデータを入力すると（図１のア）、ユーザ認証に利用する暗号鍵とＵＳＢメモリ５のＩＤ番号が被リモートコンピュータ２によって生成され、暗号鍵とＩＤ番号はＵＳＢメモリ５に記憶されると共に（図１のイ）、パスワードとユーザデータを認証サーバ３に送信する（図１のウ）。リモートコンピュータ４がＬＡＮ６へアクセスするとき、暗号鍵を用いた認証コードがＵＳＢメモリ５内で生成され（図１のエ）、認証サーバ３は、ＵＳＢメモリ５で生成された認証コードを検証することでユーザ認証を行い、被リモートコンピュータ２へのリモートアクセスを管理する（図１のオ）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理されたネットワークへの外部コンピュータのリモートアクセスを管理するための技術に関する。
【背景技術】
【０００２】
ネットワーク技術の発展に伴い、企業などにおいては、企業情報の流出や盗難などを防ぐために、クライアントに最小限の機能を持たせ、セキュリティ管理されたネットワークに設置されたサーバ側に、情報資源（アプリケーションやデータファイル）を集中させるシンクライアント（Thin Client)システムが普及しつつある。
【０００３】
シンクライアントが企業内のＬＡＮ（LAN: Local Area Network）内に設置されたサーバやコンピュータにアクセスするとき、Ｒａｄｉｕｓプロトコル（Radius: Remote Access Dial In User authentication Service）に対応した認証サーバによって、シンクライアントを操作するユーザをユーザ認証することが一般的である。
【０００４】
一般的なクライアント−サーバシステムと同様に、シンクライアントシステムにおいても、特許文献１の「従来技術」に記載されているように、ユーザ認証には公開鍵暗号方式が利用されることが多く、ユーザの公開鍵の正当性を証明するために、認証局から発行されたユーザ公開鍵の証明書が利用される。
【０００５】
しかしながら、特許文献１の「発明が解決しようとする課題」に記載されているように、認証局から発行される証明書には有効期限が設けられているため、証明書の発行・更新などの業務などがシステム管理者には負担となり、証明書の発行・更新などの業務負荷を低減するためには特許文献１の発明などを実施する必要があった。
【０００６】
【特許文献１】特開２００２−２１５８２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
そこで、本発明は、シンクライアントシステムのように、セキュリティ管理されたネットワーク外から、該ネットワークに設置されたサーバやコンピュータにリモートアクセスするときに、認証局が発行する証明書を用いることなく、ユーザ認証に利用する暗号鍵の正当性を保証することのできるリモートアクセス管理システム及び方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決する第１の発明は、セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理システムであって、前記ネットワーク内に設置された被リモートコンピュータは、前記被リモートコンピュータの利用権限を有するユーザが入力された第１のデータからユーザ認証に利用する暗号鍵を生成し、前記暗号鍵を前記ユーザが所持する前記トークンに記憶する共に、前記第１のデータと前記トークンのＩＤ番号を前記ネットワーク内に設置された認証サーバに送信するユーザ登録手段を備え、前記トークンは、前記被リモートコンピュータから送信された前記暗号鍵をメモリに記憶するデータ記憶手段と、前記メモリに記憶された前記暗号鍵を利用して認証コードを生成する認証コード生成手段を備え、前記ネットワーク内に設置される前記認証サーバは、前記被リモートコンピュータから前記第１のデータと前記ＩＤ番号を受信すると、前記第１のデータから前記暗号鍵を生成し、受信した前記ＩＤ番号に紐付けして前記暗号鍵と前記被リモートコンピュータの固有情報をデータ記憶装置に記憶するユーザ情報記憶手段と、前記トークンが生成した前記認証コードと前記ＩＤ番号を前記ネットワーク外に設置されたリモートコンピュータから受信したとき、前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するアクセス管理手段を備えていることを特徴とするリモートアクセス管理システムである。
【０００９】
上述した第１の発明のリモートアクセス管理システムによれば、ユーザ認証に利用される前記暗号鍵は、前記ネットワーク内に設置された前記被リモートコンピュータの利用権限を有するユーザ（例えば、企業の従業員）が前記被リモートコンピュータに入力した前記第１のデータから生成されるため、前記暗号鍵の証明書を用いなくとも、前記認証サーバは、前記被リモートコンピュータへのリモートアクセス時に実行するユーザ認証に利用する前記暗号鍵の正当性を保証できるようになる。
【００１０】
なお、ここで、前記トークンとは、ＵＳＢメモリやＩＣカードなど、演算機能とメモリを備え、携帯可能な媒体を意味する。
【００１１】
更に、第２の発明は、第１の発明に記載のリモートアクセス管理システムであって、前記被リモートコンピュータに備えられた前記ユーザ登録手段は、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンのＩＤ番号を生成し、前記暗号鍵及び前記ＩＤ番号を前記ユーザが所持する前記トークンに記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信する手段で、前記トークンに備えられた前記データ記憶手段は、前記被リモートコンピュータから送信された前記暗号鍵及び前記ＩＤ番号をメモリに記憶する手段で、前記認証サーバの前記ユーザ情報記憶手段は、前記被リモートコンピュータから前記第１のデータ及び前記第２のデータを受信すると、前記第１のデータ及び前記第２のデータから前記暗号鍵及び前記ＩＤ番号をそれぞれ生成する手段であることを特徴とするリモートアクセス管理システムである。
【００１２】
上述した第２の発明によれば、前記暗号鍵を記憶する前記トークンを識別するための前記ＩＤ番号も前記被リモートコンピュータで生成されるため、工場や管理者側でトークンを発行する必要はなくなる。
【００１３】
更に、第３の発明は、第１の発明又は第２の発明に記載のリモートアクセス管理システムであって、前記認証サーバの前記ユーザ情報記憶手段は、前記暗号鍵を少なくとも送信する前記被リモートコンピュータを検証し、検証に成功したときのみ前記暗号鍵を少なくとも演算することを特徴とするリモートアクセス管理システムである。
【００１４】
上述した第３の発明によれば、前記暗号鍵を少なくとも送信する前記被リモートコンピュータのＩＰアドレスを確認するなどして検証する手段を前記認証サーバが備えることで、ユーザ登録が確実に前記ネットワークに設置された前記被リモートコンピュータで実施されていることを確認できる。
【００１５】
更に、第４の発明は、第１の発明から第３の発明のいずれか一つに記載のリモートアクセス管理システムであって、前記トークンは乱数を利用して前記認証コードを生成し、前記認証サーバは、前記トークンが前記認証コードの生成に利用した乱数を用いて、前記認証コードを検証することを特徴とするリモートアクセス管理システムである。
【００１６】
上述した第４の発明によれば、乱数を利用して前記認証コードを生成することで、前記認証コードは毎回異なることになり、前記認証コードの再利用等を防止できる。
【００１７】
上述した課題を解決する第５の発明は、セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク内に設置された被リモートコンピュータが、前記被リモートコンピュータの利用権限を有するユーザから入力された第１のデータからユーザ認証に利用する暗号鍵を生成するステップａ１と、前記被リモートコンピュータが、前記被リモートコンピュータに接続された前記トークンに前記暗号鍵を記憶する共に、前記第１のデータ及び前記トークンのＩＤ番号を、前記ネットワークに設置された認証サーバに送信するステップａ２、前記認証サーバが、前記第１のデータから前記暗号鍵を生成し、前記ＩＤ番号に紐付けして前記暗号鍵及び前記被リモートコンピュータの固有情報を記憶するステップａ３が実行されるユーザ登録工程と、前記ネットワーク外に設置されたリモートコンピュータが前記被リモートコンピュータにアクセスするときに、前記リモートコンピュータが、前記リモートコンピュータに接続された前記トークンに前記暗号鍵を利用して認証コードを生成する指示を出し、前記トークンが生成した前記認証コードと前記トークンに記憶された前記ＩＤ番号を認証サーバに送信するステップｂ１と、前記認証サーバが、前記リモートコンピュータから受信した前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記ＩＤ番号に紐付けられた前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するステップｂ２が実行されるリモートアクセス管理工程を含むことを特徴とするリモートアクセス管理方法である。
【００１８】
上述した課題を解決する第６の発明は、第５の発明に記載のリモートアクセス管理方法であって、前記ユーザ登録工程の前記ステップａ１において、前記被リモートコンピュータは、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンの前記ＩＤ番号を生成し、前記ステップａ２において、前記被リモートコンピュータは、前記トークンに前記暗号鍵に加え前記ＩＤ番号を記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信し、前記ステップａ３において、前記認証サーバは、前記第１のデータ及び前記第２のデータから前記暗号鍵と前記ＩＤ番号を生成することを特徴とするリモートアクセス管理方法である。
【００１９】
第５の発明及び第６の発明によれば、第１の発明及び第２の発明と同様の効果を得ることができる。
【発明の効果】
【００２０】
このように、本発明におれば、シンクライアントシステムのように、セキュリティ管理されたネットワーク外から、該ネットワークに設置されたサーバやコンピュータにリモートアクセスするときに、認証局が発行する証明書を用いることなく、ユーザ認証に利用する暗号鍵の正当性を保証することのできるリモートアクセス管理システム及び方法を提供できる。
【発明を実施するための最良の形態】
【００２１】
ここから、本発明の好適な実施形態について図を参照しながら詳細に説明する。図１は、本実施形態におけるリモートアクセス管理システム１の構成を説明する図である。
【００２２】
図１で図示したリモートアクセス管理システム１は、シンクライアント用のオペレーティングシステム（OS: Operating System）が記憶され、本発明に係わるトークンとして機能するＵＳＢメモリ５(USB Memory)と、ＤＭＺ７（DMZ: DeMilitarized Zone）とＬＡＮ６(LAN: Local Area Network)を形成するためのファイヤウォール機器７０及びＶＰＮ機器７１（VPN: Virtual Private Network）と、ＬＡＮ６内に設置されるルータ６０と、ルータ６０に接続された被リモートコンピュータ２と、ＬＡＮ６０へアクセスするリモートコンピュータ４を操作するユーザを認証する認証サーバ３とから少なくとも構成されている。
【００２３】
図１で図示したリモートアクセス管理システム１では、ユーザは被リモートコンピュータ２を操作してユーザ登録を行う。ユーザ登録を行う際に、ユーザが被リモートコンピュータ２に、本発明に係わる第１のデータであるパスワードと本発明に係わる第２のデータであるユーザデータを入力すると（図１のア）、ユーザ認証に利用される情報として、ユーザ認証に利用する暗号鍵と、ユーザ登録したＵＳＢメモリ５を識別するためのＩＤ番号が被リモートコンピュータ２によって生成され、被リモートコンピュータ２は、暗号鍵とＩＤ番号をＵＳＢメモリ５に記憶すると共に（図１のイ）、パスワードとユーザデータを認証サーバ３に送信する（図１のウ）。
【００２４】
ユーザがリモートコンピュータ４からＬＡＮ６へアクセスするとき、ユーザ登録を実施したときに生成された暗号鍵を用いた認証コードがＵＳＢメモリ５内で生成され、リモートコンピュータ４から認証サーバ３へ認証コードが送信される（図１のエ）。
【００２５】
認証サーバ３は、ＵＳＢメモリ５で生成された認証コードを検証することでユーザ認証を行い、認証サーバ３はユーザ認証に成功すると、ユーザ登録が実行されたコンピュータ（ここでは、ＬＡＮ６内の被リモートコンピュータ２）のみに対するアクセスをリモートコンピュータ４に許可する（図１のオ）。
【００２６】
このように、本実施形態におけるリモートアクセス管理システム１において、ユーザ認証に利用される暗号鍵は、ＬＡＮ６内に設置された被リモートコンピュータ２の利用権限を有するユーザ（例えば、企業の従業員）が被リモートコンピュータ２に入力したパスワードから生成されるため、暗号鍵の証明書を用いなくとも、認証サーバ３は、被リモートコンピュータ２へのリモートアクセス時に実行するユーザ認証に利用する暗号鍵の正当性を保証できるようになる。
【００２７】
また、ユーザ登録したＵＳＢメモリ５を識別するためのＩＤ番号も、ＬＡＮ６内に設置された被リモートコンピュータ２で生成されるため、工場や管理者側でＵＳＢメモリ５などのトークンを発行する必要はなくなる。
【００２８】
ここから、図１で図示したリモートアクセス管理システム１で実行される工程について説明する。図２は、ユーザ登録するときに実行されるユーザ登録工程の手順を示したフロー図で、図３は、ＬＡＮ６外からＬＡＮ６内にアクセスするときに実行さえるリモートアクセス管理工程の手順を示したフロー図である。
【００２９】
まず、図２を参照しながらユーザ登録工程について説明する。ユーザ登録するときに実行されるユーザ登録工程において、ユーザが、リモートアクセスする被リモートコンピュータ２（例えば、ユーザの自席のコンピュータ）にインストールされ、ユーザ登録を実行するためのコンピュータプログラムを起動させることで、ユーザ登録が開始される（図２のＳ１）。
【００３０】
該コンピュータプログラムが起動すると、被リモートコンピュータ２は、パスワードとユーザデータを入力する画面を被リモートコンピュータ２のディスプレイに表示させ、被リモートコンピュータ２は、キーボードなどの入力デバイスを用いてユーザが入力したパスワードとユーザデータを取得する（図２のＳ２）。
【００３１】
ユーザが被リモートコンピュータ２に入力するパスワードは暗号鍵のシードとなる情報で、ユーザは任意にパスワードを決定できる。ユーザデータはＩＤ番号のシードとなる情報で、ユーザデータはユーザ毎に一意のデータで、例えば、ユーザの社員番号やメールアドレスである。
【００３２】
パスワードとユーザデータが被リモートコンピュータ２に入力されると、被リモートコンピュータ２は、予め定められた暗号アルゴリズムを用いて、ユーザ認証に利用する暗号鍵をパスワードから生成し、更に、ユーザ登録するＵＳＢメモリ５を識別するためのＩＤ番号をユーザデータから生成する（図２のＳ３）。
【００３３】
なお、暗号鍵を生成する暗号アルゴリズムとＩＤ番号を生成する暗号アルゴリズムはそれぞれ異なるアルゴリズムを用いることがセキュリティ的には望ましく、ここでは、パスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用い、更に、ユーザデータからＩＤ番号を生成するときに暗号アルゴリズム（ＥＮＣ２）を用いるものとする。
【００３４】
被リモートコンピュータ２は、パスワードから暗号鍵を生成し、ユーザデータからＩＤ番号を生成すると、ＬＡＮ６を介して、暗号鍵のシードとなったパスワードとＩＤ番号のシードとなったユーザデータを認証サーバ３へ送信する（図２のＳ４）。
【００３５】
認証サーバ３は、被リモートコンピュータ２からパスワード及びユーザデータが送信されると、認証サーバ３は、被リモートコンピュータ２と同じ暗号アルゴリズムを用いて、ユーザ認証に利用する暗号鍵をパスワードから生成し、更に、ユーザ登録をしたＵＳＢメモリ５のＩＤ番号をユーザデータから生成する（図２のＳ５）。
【００３６】
ここでは、被リモートコンピュータ２がパスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用いるため、認証サーバ３も、パスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用い、同様な理由で、ユーザデータからＩＤ番号が生成するときには暗号アルゴリズム（ＥＣ２）を用いる。
【００３７】
認証サーバ３は暗号鍵及びＩＤ番号を生成すると、ＩＤ番号に紐付けして暗号鍵と被リモートコンピュータ２の固有情報（ＬＡＮ内のＩＰアドレスやＭＡＣアドレス）をハードディスクなどに記憶し、暗号鍵及びＩＤ番号を記憶すると、ＬＡＮ６を介して、被リモートコンピュータ２に対して、暗号鍵及びＩＤ番号の生成が完了したことを示すメッセージを送信する（図２のＳ６）。
【００３８】
被リモートコンピュータ２は、認証サーバ３から該メッセージを受信すると、被リモートコンピュータ２に接続されているＵＳＢメモリ５に、図２のＳ３で生成した暗号鍵及びＩＤ番号を書き込み、ＬＡＮ６を介して、認証サーバ３にユーザ登録が完了したことを示すメッセージを送信し、図２で図示したユーザ登録工程は終了する。
【００３９】
次に、図３を参照しながらリモートアクセス管理工程について説明する。ユーザが、リモートコンピュータ４からＬＡＮ６に設置された被リモートコンピュータ２にアクセスするとき、ユーザは、ユーザ登録を済ませたＵＳＢメモリ５をリモートコンピュータ４に接続し、ＬＡＮ６内のコンピュータ（例えば、被リモートコンピュータ２）にアクセスするときに利用するコンピュータプログラムを起動すると、被リモートコンピュータ２へのリモートアクセスに係わる処理が開始される。（図３のＳ１０）。
【００４０】
被リモートコンピュータ２へのリモートアクセスに係わる処理が開始されると、リモートコンピュータ４は、ユーザ認証に利用する認証コードの基になる乱数Ｒｃを生成するコマンドをＵＳＢメモリ５に送信することで、ＵＳＢメモリ５に対して、ユーザ認証に利用する認証コードの基になる乱数Ｒｃの生成を要求する（図３のＳ１１）。
【００４１】
ＵＳＢメモリ５は、リモートコンピュータ４から乱数Ｒｃの生成要求を受けると、ＵＳＢメモリ５の内部で乱数Ｒｃを生成し、生成した乱数Ｒｃをリモートコンピュータ４に返信すると共に、認証コードを生成するまで乱数Ｒｃを内部で保持する（図３のＳ１２）。
【００４２】
リモートコンピュータ４はＵＳＢメモリ５から乱数Ｒｃを受信すると、乱数Ｒｃを含むメッセージを認証サーバ３に送信し、認証サーバ３に対してユーザ認証を要求する（図３のＳ１３）。
【００４３】
認証サーバ３は、ユーザ認証の要求をリモートコンピュータ４から受けると、乱数Ｒｓを内部で生成し、ユーザ認証の要求をリモートコンピュータ４に対して乱数Ｒｓを返信する（図３のＳ１４）。なお、認証サーバ３は、ユーザ認証が終了するまで乱数Ｒｃ及び乱数Ｒｓを認証サーバ３の内部で保持する。
【００４４】
リモートコンピュータ４は、認証サーバ３から乱数Ｒｓを受信すると、乱数Ｒｃと乱数Ｒｓを結合したデータを含み、認証コードを生成するコマンドをＵＳＢメモリ５に送信することで、ＵＳＢメモリ５に対して認証コードの生成を要求する（図３のＳ１５）。
【００４５】
ＵＳＢメモリ５は、リモートコンピュータ４から該コマンドを受信すると、ＵＳＢメモリ５に記憶されている暗号鍵を用いて、例えば、ISO/IEC9797-1(1999年)のMACのアルゴリズムなどの所定のアルゴリズムに従い、乱数Ｒｃと乱数Ｒｓを結合したものから認証コードを生成し、生成した認証コードに加え、ＵＳＢメモリ５に記憶されたＩＤ番号をリモートコンピュータ４に返信する（図３のＳ１６）。
【００４６】
リモートコンピュータ４は、ＵＳＢメモリ５から認証コード及びＩＤ番号を受信すると、認証コード及びＩＤ番号を含むメッセージを送信し、認証サーバ３に対して認証コードの検証を要求する（図３のＳ１７）。
【００４７】
認証サーバ３は、リモートコンピュータ４から認証コードの検証要求を受けると、該メッセージに含まれるＩＤ番号に紐付けられて記憶されている暗号鍵を用い、ＵＳＢメモリ５と同じアルゴリズムに従い、認証サーバ３で保持している乱数Ｒｃと乱数Ｒｓを結合したものから参照認証コードを生成し、リモートコンピュータ４から送信された認証コードと参照認証コードを照合することで、リモートコンピュータ４から送信された認証コードを検証する（図３のＳ１８）。
【００４８】
認証サーバ３は、認証コードの正当性を検証すると、検証結果に応じて振る舞いを変更し（図３のＳ１９）、認証コードの検証に成功したときは、ユーザ認証に成功したことを示すメッセージをリモートコンピュータ４に送信すると共に、ＩＤ番号に紐付けられて記憶されている固有情報で特定される被リモートコンピュータ２に対するリモートコンピュータ４のアクセスを許可する指示をＶＰＮ機器７１に対して送信し（図３のＳ２０）、認証コードの検証に失敗したときは、リモートコンピュータ４のアクセスを許可する指示を出すことなく、図３で図示したリモートアクセス管理工程は終了する。
【００４９】
ここから、図１で図示したアクセス管理システム１を構成する被リモートコンピュータ２、認証サーバ３及びＵＳＢメモリ５について、図を参照しながら詳細に説明する。
【００５０】
図４は、被リモートコンピュータ２のブロック図で、図４（ａ）は回路ブロック図、図（ｂ）は機能ブロック図である。
【００５１】
図４（ａ）に図示したように、被リモートコンピュータ２は汎用的なコンピュータで実現され、被リモートコンピュータ２はハードウェアとして、ＣＰＵ２０（Central Processing Unit）、ＲＡＭ２１（Random Access Memory）、データ記憶装置であるハードディスク２２、ネットインタフェース２３、ディスプレイ２４、キーボード２５、ポインティングデバイス（例えば、マウス）２６などを備えている。
【００５２】
更に、図４（ｂ）に図示したように、本発明に係わる被リモートコンピュータとして機能するために、被リモートコンピュータ２には、図４（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、図２のＳ１〜Ｓ４、Ｓ７を実行することで、被リモートコンピュータ２に入力されたパスワードとユーザデータから暗号鍵とＩＤ番号を生成し、生成した暗号鍵とＩＤ番号をＵＳＢメモリ５に記憶すると共に、パスワードとユーザデータを認証サーバ３に送信するユーザ登録手段２００を備える。
【００５３】
図５は、認証サーバ３のブロック図で、図５（ａ）は回路ブロック図、図５（ｂ）は機能ブロック図である。
【００５４】
図５（ａ）に図示したように、認証サーバ３は汎用的なサーバで実現され、認証サーバ３はハードウェアとして、ＣＰＵ３０（Central Processing Unit）、ＲＡＭ３１（Random Access Memory）、データ記憶装置であるハードディスク３２、ネットインタフェース３３、ディスプレイ３４、キーボード３５、ポインティングデバイス（例えば、マウス）３６などを備えている。
【００５５】
更に、図５（ｂ）に図示したように、本発明に係わる認証サーバとして機能するために、認証サーバ３には、図５（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、ユーザ情報記憶手段３００とアクセス管理手段３０１を備える。
【００５６】
認証サーバ３に備えられたユーザ情報記憶手段３００は、図２のＳ５及びＳ６を実行することで、被リモートコンピュータ２から受信したパスワード及びユーザデータから暗号鍵とＩＤ番号を生成し、ＩＤ番号に紐付けして暗号鍵と被リモートコンピュータ２の固有情報をハードディスク３２に記憶する手段である。
【００５７】
また、認証サーバ３に備えられたアクセス管理手段３０１は、図３のＳ１４、Ｓ１８〜Ｓ２０を実行することで、リモートコンピュータ４が受信したＩＤ番号に紐付けて記憶している暗号鍵を用いて、ＵＳＢメモリ５が生成した乱数Ｒｃと認証サーバ３が生成したＲｓを結合したデータを基にした参照認証コードを演算し、リモートコンピュータ４から受信した認証コードと認証サーバ３が演算した参照認証コードを照合し、リモートコンピュータ４から受信した認証コードの正当性を検証することでユーザ認証し、ユーザ認証に成功したときのみ、リモートコンピュータ４が受信したＩＤ番号に紐付けて記憶している固有情報で特定される被リモートコンピュータ２へのアクセスを許可する指示をＶＰＮ機器７１に出力する手段である。
【００５８】
図６は、ＵＳＢメモリ５のブロック図で、図６（ａ）は回路ブロック図、図６（ｂ）は機能ブロック図である。
【００５９】
図６（ａ）に図示したように、ＵＳＢメモリ５には、コンピュータとＵＳＢ接続するためのＵＳＢコネクタを有し、ＵＳＢ通信を実現するＵＳＢインターフェース回路５０と、ＵＳＢメモリ５がコンピュータに接続されたとき、ＣＰＵなどを有し、ＵＳＢメモリ５を外部記憶デバイスとして振る舞うように少なくとも制御するコントローラ５１と、データやコンピュータプログラムが記憶されるフラッシュメモリ５２を備え、フラッシュメモリ５２には、コンピュータプログラムとして、ＵＳＢメモリ５が接続されたコンピュータ（ここでは、リモートコンピュータ４）のＲＡＭに展開されるシンクライアントＯＳ５３が記憶されている。
【００６０】
図６（ｂ）に図示したように、発明に係わるトークンとして機能するために、ＵＳＢメモリ５には、図６（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、暗号鍵やＩＤ番号などのデータを記憶するデータ記憶手段３０１と、認証サーバ３で検証される認証コードを生成する認証コード生成手段３００を備え、ＵＳＢメモリ５のコントローラ５１をこれらの手段として機能させるコンピュータプグラムはコントローラ５１の不揮発性メモリに書き込まれている。
【００６１】
具体的に、ＵＳＢメモリ５に備えられたデータ記憶手段３０１は、図２のＳ７において、被リモートコンピュータ２から暗号鍵とＩＤ番号が送信されると、ＵＳＢメモリ５に備えられたフラッシュメモリ５２に暗号鍵とＩＤ番号を書き込む手段である。
【００６２】
また、ＵＳＢメモリ５に備えられた認証コード生成手段３００は、図３のＳ１２及びＳ１６を実行することで、ＵＳＢメモリ５が生成した乱数Ｒｃと外部コンピュータ（ここでは、リモートコンピュータ４）から受信したＲｓを結合したデータを基にした認証コードを演算し、演算した認証コードとＩＤ番号を外部コンピュータ（ここでは、リモートコンピュータ４）に返信する手段である。
【００６３】
なお、ＵＳＢメモリ５に記憶されているシンクライアントＯＳ５３には、シンクライントＯＳ５３がリモートコンピュータ４で起動したとき、図３のＳ１０、Ｓ１１、Ｓ１３、Ｓ１５及びＳ１７を実行する機能が備えられている。
【００６４】
図３のＳ１０、Ｓ１１、Ｓ１３、Ｓ１５及びＳ１７を実行する機能を実行する機能はシンクライアントＯＳ以外の手法でも実現でき、例えば、リモートコンピュータ４に該機能を実行させるためのコンピュータプログラムが予めインストールされていてもよく、更に、リモートコンピュータ４から認証サーバ３にアクセスしたときに、認証サーバ３からリモートコンピュータ４に該機能を実行させるコンピュータプログラムを送信するようにすることもできる。
【００６５】
なお、本発明は、これまで説明した実施の形態に限定されることなく、種々の変形や変更が可能である。
【００６６】
例えば、ＵＳＢメモリ５を識別するためのＩＤ番号は、被リモートコンピュータ２及び認証サーバ３で生成せずに、予めＵＳＢメモリ５に記憶させておくこともできる。
【００６７】
このとき図２のＳ２において、ユーザはパスワードのみを被リモートコンピュータ２に入力し、図２のＳ３において、被リモートコンピュータ２はパスワードから暗号鍵のみを生成し、図２のＳ４において、被リモートコンピュータ２はＵＳＢメモリ５からＩＤ番号を読み取り、生成した暗号鍵と読み取ったＩＤ番号を認証サーバ３へ送信する。認証サーバ３は、図２のＳ５において、暗号鍵のみをパスワードから生成する。
【００６８】
また、図２で図示したユーザ登録工程において、認証サーバ３は、暗号鍵を少なくとも送信する被リモートコンピュータ２のＩＰアドレスを確認するなどして、ユーザ登録が実行される被リモートコンピュータ２を検証することで、ユーザ登録が確実に前記ネットワークに設置された前記被リモートコンピュータで実施されていることを確認できるようにすることもできる。
【図面の簡単な説明】
【００６９】
【図１】本実施形態におけるリモートアクセス管理システムの構成を説明する図。
【図２】ユーザ登録工程の手順を示したフロー図。
【図３】リモートアクセス管理工程の手順を示したフロー図。
【図４】被リモートコンピュータのブロック図。
【図５】認証サーバのブロック図。
【図６】ＵＳＢメモリのブロック図。
【符号の説明】
【００７０】
１ リモートアクセス管理システム
２ 被リモートコンピュータ
３ 認証サーバ
４ リモートコンピュータ
５ ＵＳＢメモリ
【技術分野】
【０００１】
本発明は、セキュリティ管理されたネットワークへの外部コンピュータのリモートアクセスを管理するための技術に関する。
【背景技術】
【０００２】
ネットワーク技術の発展に伴い、企業などにおいては、企業情報の流出や盗難などを防ぐために、クライアントに最小限の機能を持たせ、セキュリティ管理されたネットワークに設置されたサーバ側に、情報資源（アプリケーションやデータファイル）を集中させるシンクライアント（Thin Client)システムが普及しつつある。
【０００３】
シンクライアントが企業内のＬＡＮ（LAN: Local Area Network）内に設置されたサーバやコンピュータにアクセスするとき、Ｒａｄｉｕｓプロトコル（Radius: Remote Access Dial In User authentication Service）に対応した認証サーバによって、シンクライアントを操作するユーザをユーザ認証することが一般的である。
【０００４】
一般的なクライアント−サーバシステムと同様に、シンクライアントシステムにおいても、特許文献１の「従来技術」に記載されているように、ユーザ認証には公開鍵暗号方式が利用されることが多く、ユーザの公開鍵の正当性を証明するために、認証局から発行されたユーザ公開鍵の証明書が利用される。
【０００５】
しかしながら、特許文献１の「発明が解決しようとする課題」に記載されているように、認証局から発行される証明書には有効期限が設けられているため、証明書の発行・更新などの業務などがシステム管理者には負担となり、証明書の発行・更新などの業務負荷を低減するためには特許文献１の発明などを実施する必要があった。
【０００６】
【特許文献１】特開２００２−２１５８２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
そこで、本発明は、シンクライアントシステムのように、セキュリティ管理されたネットワーク外から、該ネットワークに設置されたサーバやコンピュータにリモートアクセスするときに、認証局が発行する証明書を用いることなく、ユーザ認証に利用する暗号鍵の正当性を保証することのできるリモートアクセス管理システム及び方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決する第１の発明は、セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理システムであって、前記ネットワーク内に設置された被リモートコンピュータは、前記被リモートコンピュータの利用権限を有するユーザが入力された第１のデータからユーザ認証に利用する暗号鍵を生成し、前記暗号鍵を前記ユーザが所持する前記トークンに記憶する共に、前記第１のデータと前記トークンのＩＤ番号を前記ネットワーク内に設置された認証サーバに送信するユーザ登録手段を備え、前記トークンは、前記被リモートコンピュータから送信された前記暗号鍵をメモリに記憶するデータ記憶手段と、前記メモリに記憶された前記暗号鍵を利用して認証コードを生成する認証コード生成手段を備え、前記ネットワーク内に設置される前記認証サーバは、前記被リモートコンピュータから前記第１のデータと前記ＩＤ番号を受信すると、前記第１のデータから前記暗号鍵を生成し、受信した前記ＩＤ番号に紐付けして前記暗号鍵と前記被リモートコンピュータの固有情報をデータ記憶装置に記憶するユーザ情報記憶手段と、前記トークンが生成した前記認証コードと前記ＩＤ番号を前記ネットワーク外に設置されたリモートコンピュータから受信したとき、前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するアクセス管理手段を備えていることを特徴とするリモートアクセス管理システムである。
【０００９】
上述した第１の発明のリモートアクセス管理システムによれば、ユーザ認証に利用される前記暗号鍵は、前記ネットワーク内に設置された前記被リモートコンピュータの利用権限を有するユーザ（例えば、企業の従業員）が前記被リモートコンピュータに入力した前記第１のデータから生成されるため、前記暗号鍵の証明書を用いなくとも、前記認証サーバは、前記被リモートコンピュータへのリモートアクセス時に実行するユーザ認証に利用する前記暗号鍵の正当性を保証できるようになる。
【００１０】
なお、ここで、前記トークンとは、ＵＳＢメモリやＩＣカードなど、演算機能とメモリを備え、携帯可能な媒体を意味する。
【００１１】
更に、第２の発明は、第１の発明に記載のリモートアクセス管理システムであって、前記被リモートコンピュータに備えられた前記ユーザ登録手段は、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンのＩＤ番号を生成し、前記暗号鍵及び前記ＩＤ番号を前記ユーザが所持する前記トークンに記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信する手段で、前記トークンに備えられた前記データ記憶手段は、前記被リモートコンピュータから送信された前記暗号鍵及び前記ＩＤ番号をメモリに記憶する手段で、前記認証サーバの前記ユーザ情報記憶手段は、前記被リモートコンピュータから前記第１のデータ及び前記第２のデータを受信すると、前記第１のデータ及び前記第２のデータから前記暗号鍵及び前記ＩＤ番号をそれぞれ生成する手段であることを特徴とするリモートアクセス管理システムである。
【００１２】
上述した第２の発明によれば、前記暗号鍵を記憶する前記トークンを識別するための前記ＩＤ番号も前記被リモートコンピュータで生成されるため、工場や管理者側でトークンを発行する必要はなくなる。
【００１３】
更に、第３の発明は、第１の発明又は第２の発明に記載のリモートアクセス管理システムであって、前記認証サーバの前記ユーザ情報記憶手段は、前記暗号鍵を少なくとも送信する前記被リモートコンピュータを検証し、検証に成功したときのみ前記暗号鍵を少なくとも演算することを特徴とするリモートアクセス管理システムである。
【００１４】
上述した第３の発明によれば、前記暗号鍵を少なくとも送信する前記被リモートコンピュータのＩＰアドレスを確認するなどして検証する手段を前記認証サーバが備えることで、ユーザ登録が確実に前記ネットワークに設置された前記被リモートコンピュータで実施されていることを確認できる。
【００１５】
更に、第４の発明は、第１の発明から第３の発明のいずれか一つに記載のリモートアクセス管理システムであって、前記トークンは乱数を利用して前記認証コードを生成し、前記認証サーバは、前記トークンが前記認証コードの生成に利用した乱数を用いて、前記認証コードを検証することを特徴とするリモートアクセス管理システムである。
【００１６】
上述した第４の発明によれば、乱数を利用して前記認証コードを生成することで、前記認証コードは毎回異なることになり、前記認証コードの再利用等を防止できる。
【００１７】
上述した課題を解決する第５の発明は、セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク内に設置された被リモートコンピュータが、前記被リモートコンピュータの利用権限を有するユーザから入力された第１のデータからユーザ認証に利用する暗号鍵を生成するステップａ１と、前記被リモートコンピュータが、前記被リモートコンピュータに接続された前記トークンに前記暗号鍵を記憶する共に、前記第１のデータ及び前記トークンのＩＤ番号を、前記ネットワークに設置された認証サーバに送信するステップａ２、前記認証サーバが、前記第１のデータから前記暗号鍵を生成し、前記ＩＤ番号に紐付けして前記暗号鍵及び前記被リモートコンピュータの固有情報を記憶するステップａ３が実行されるユーザ登録工程と、前記ネットワーク外に設置されたリモートコンピュータが前記被リモートコンピュータにアクセスするときに、前記リモートコンピュータが、前記リモートコンピュータに接続された前記トークンに前記暗号鍵を利用して認証コードを生成する指示を出し、前記トークンが生成した前記認証コードと前記トークンに記憶された前記ＩＤ番号を認証サーバに送信するステップｂ１と、前記認証サーバが、前記リモートコンピュータから受信した前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記ＩＤ番号に紐付けられた前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するステップｂ２が実行されるリモートアクセス管理工程を含むことを特徴とするリモートアクセス管理方法である。
【００１８】
上述した課題を解決する第６の発明は、第５の発明に記載のリモートアクセス管理方法であって、前記ユーザ登録工程の前記ステップａ１において、前記被リモートコンピュータは、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンの前記ＩＤ番号を生成し、前記ステップａ２において、前記被リモートコンピュータは、前記トークンに前記暗号鍵に加え前記ＩＤ番号を記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信し、前記ステップａ３において、前記認証サーバは、前記第１のデータ及び前記第２のデータから前記暗号鍵と前記ＩＤ番号を生成することを特徴とするリモートアクセス管理方法である。
【００１９】
第５の発明及び第６の発明によれば、第１の発明及び第２の発明と同様の効果を得ることができる。
【発明の効果】
【００２０】
このように、本発明におれば、シンクライアントシステムのように、セキュリティ管理されたネットワーク外から、該ネットワークに設置されたサーバやコンピュータにリモートアクセスするときに、認証局が発行する証明書を用いることなく、ユーザ認証に利用する暗号鍵の正当性を保証することのできるリモートアクセス管理システム及び方法を提供できる。
【発明を実施するための最良の形態】
【００２１】
ここから、本発明の好適な実施形態について図を参照しながら詳細に説明する。図１は、本実施形態におけるリモートアクセス管理システム１の構成を説明する図である。
【００２２】
図１で図示したリモートアクセス管理システム１は、シンクライアント用のオペレーティングシステム（OS: Operating System）が記憶され、本発明に係わるトークンとして機能するＵＳＢメモリ５(USB Memory)と、ＤＭＺ７（DMZ: DeMilitarized Zone）とＬＡＮ６(LAN: Local Area Network)を形成するためのファイヤウォール機器７０及びＶＰＮ機器７１（VPN: Virtual Private Network）と、ＬＡＮ６内に設置されるルータ６０と、ルータ６０に接続された被リモートコンピュータ２と、ＬＡＮ６０へアクセスするリモートコンピュータ４を操作するユーザを認証する認証サーバ３とから少なくとも構成されている。
【００２３】
図１で図示したリモートアクセス管理システム１では、ユーザは被リモートコンピュータ２を操作してユーザ登録を行う。ユーザ登録を行う際に、ユーザが被リモートコンピュータ２に、本発明に係わる第１のデータであるパスワードと本発明に係わる第２のデータであるユーザデータを入力すると（図１のア）、ユーザ認証に利用される情報として、ユーザ認証に利用する暗号鍵と、ユーザ登録したＵＳＢメモリ５を識別するためのＩＤ番号が被リモートコンピュータ２によって生成され、被リモートコンピュータ２は、暗号鍵とＩＤ番号をＵＳＢメモリ５に記憶すると共に（図１のイ）、パスワードとユーザデータを認証サーバ３に送信する（図１のウ）。
【００２４】
ユーザがリモートコンピュータ４からＬＡＮ６へアクセスするとき、ユーザ登録を実施したときに生成された暗号鍵を用いた認証コードがＵＳＢメモリ５内で生成され、リモートコンピュータ４から認証サーバ３へ認証コードが送信される（図１のエ）。
【００２５】
認証サーバ３は、ＵＳＢメモリ５で生成された認証コードを検証することでユーザ認証を行い、認証サーバ３はユーザ認証に成功すると、ユーザ登録が実行されたコンピュータ（ここでは、ＬＡＮ６内の被リモートコンピュータ２）のみに対するアクセスをリモートコンピュータ４に許可する（図１のオ）。
【００２６】
このように、本実施形態におけるリモートアクセス管理システム１において、ユーザ認証に利用される暗号鍵は、ＬＡＮ６内に設置された被リモートコンピュータ２の利用権限を有するユーザ（例えば、企業の従業員）が被リモートコンピュータ２に入力したパスワードから生成されるため、暗号鍵の証明書を用いなくとも、認証サーバ３は、被リモートコンピュータ２へのリモートアクセス時に実行するユーザ認証に利用する暗号鍵の正当性を保証できるようになる。
【００２７】
また、ユーザ登録したＵＳＢメモリ５を識別するためのＩＤ番号も、ＬＡＮ６内に設置された被リモートコンピュータ２で生成されるため、工場や管理者側でＵＳＢメモリ５などのトークンを発行する必要はなくなる。
【００２８】
ここから、図１で図示したリモートアクセス管理システム１で実行される工程について説明する。図２は、ユーザ登録するときに実行されるユーザ登録工程の手順を示したフロー図で、図３は、ＬＡＮ６外からＬＡＮ６内にアクセスするときに実行さえるリモートアクセス管理工程の手順を示したフロー図である。
【００２９】
まず、図２を参照しながらユーザ登録工程について説明する。ユーザ登録するときに実行されるユーザ登録工程において、ユーザが、リモートアクセスする被リモートコンピュータ２（例えば、ユーザの自席のコンピュータ）にインストールされ、ユーザ登録を実行するためのコンピュータプログラムを起動させることで、ユーザ登録が開始される（図２のＳ１）。
【００３０】
該コンピュータプログラムが起動すると、被リモートコンピュータ２は、パスワードとユーザデータを入力する画面を被リモートコンピュータ２のディスプレイに表示させ、被リモートコンピュータ２は、キーボードなどの入力デバイスを用いてユーザが入力したパスワードとユーザデータを取得する（図２のＳ２）。
【００３１】
ユーザが被リモートコンピュータ２に入力するパスワードは暗号鍵のシードとなる情報で、ユーザは任意にパスワードを決定できる。ユーザデータはＩＤ番号のシードとなる情報で、ユーザデータはユーザ毎に一意のデータで、例えば、ユーザの社員番号やメールアドレスである。
【００３２】
パスワードとユーザデータが被リモートコンピュータ２に入力されると、被リモートコンピュータ２は、予め定められた暗号アルゴリズムを用いて、ユーザ認証に利用する暗号鍵をパスワードから生成し、更に、ユーザ登録するＵＳＢメモリ５を識別するためのＩＤ番号をユーザデータから生成する（図２のＳ３）。
【００３３】
なお、暗号鍵を生成する暗号アルゴリズムとＩＤ番号を生成する暗号アルゴリズムはそれぞれ異なるアルゴリズムを用いることがセキュリティ的には望ましく、ここでは、パスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用い、更に、ユーザデータからＩＤ番号を生成するときに暗号アルゴリズム（ＥＮＣ２）を用いるものとする。
【００３４】
被リモートコンピュータ２は、パスワードから暗号鍵を生成し、ユーザデータからＩＤ番号を生成すると、ＬＡＮ６を介して、暗号鍵のシードとなったパスワードとＩＤ番号のシードとなったユーザデータを認証サーバ３へ送信する（図２のＳ４）。
【００３５】
認証サーバ３は、被リモートコンピュータ２からパスワード及びユーザデータが送信されると、認証サーバ３は、被リモートコンピュータ２と同じ暗号アルゴリズムを用いて、ユーザ認証に利用する暗号鍵をパスワードから生成し、更に、ユーザ登録をしたＵＳＢメモリ５のＩＤ番号をユーザデータから生成する（図２のＳ５）。
【００３６】
ここでは、被リモートコンピュータ２がパスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用いるため、認証サーバ３も、パスワードから暗号鍵を生成するときに暗号アルゴリズム（ＥＮＣ１）を用い、同様な理由で、ユーザデータからＩＤ番号が生成するときには暗号アルゴリズム（ＥＣ２）を用いる。
【００３７】
認証サーバ３は暗号鍵及びＩＤ番号を生成すると、ＩＤ番号に紐付けして暗号鍵と被リモートコンピュータ２の固有情報（ＬＡＮ内のＩＰアドレスやＭＡＣアドレス）をハードディスクなどに記憶し、暗号鍵及びＩＤ番号を記憶すると、ＬＡＮ６を介して、被リモートコンピュータ２に対して、暗号鍵及びＩＤ番号の生成が完了したことを示すメッセージを送信する（図２のＳ６）。
【００３８】
被リモートコンピュータ２は、認証サーバ３から該メッセージを受信すると、被リモートコンピュータ２に接続されているＵＳＢメモリ５に、図２のＳ３で生成した暗号鍵及びＩＤ番号を書き込み、ＬＡＮ６を介して、認証サーバ３にユーザ登録が完了したことを示すメッセージを送信し、図２で図示したユーザ登録工程は終了する。
【００３９】
次に、図３を参照しながらリモートアクセス管理工程について説明する。ユーザが、リモートコンピュータ４からＬＡＮ６に設置された被リモートコンピュータ２にアクセスするとき、ユーザは、ユーザ登録を済ませたＵＳＢメモリ５をリモートコンピュータ４に接続し、ＬＡＮ６内のコンピュータ（例えば、被リモートコンピュータ２）にアクセスするときに利用するコンピュータプログラムを起動すると、被リモートコンピュータ２へのリモートアクセスに係わる処理が開始される。（図３のＳ１０）。
【００４０】
被リモートコンピュータ２へのリモートアクセスに係わる処理が開始されると、リモートコンピュータ４は、ユーザ認証に利用する認証コードの基になる乱数Ｒｃを生成するコマンドをＵＳＢメモリ５に送信することで、ＵＳＢメモリ５に対して、ユーザ認証に利用する認証コードの基になる乱数Ｒｃの生成を要求する（図３のＳ１１）。
【００４１】
ＵＳＢメモリ５は、リモートコンピュータ４から乱数Ｒｃの生成要求を受けると、ＵＳＢメモリ５の内部で乱数Ｒｃを生成し、生成した乱数Ｒｃをリモートコンピュータ４に返信すると共に、認証コードを生成するまで乱数Ｒｃを内部で保持する（図３のＳ１２）。
【００４２】
リモートコンピュータ４はＵＳＢメモリ５から乱数Ｒｃを受信すると、乱数Ｒｃを含むメッセージを認証サーバ３に送信し、認証サーバ３に対してユーザ認証を要求する（図３のＳ１３）。
【００４３】
認証サーバ３は、ユーザ認証の要求をリモートコンピュータ４から受けると、乱数Ｒｓを内部で生成し、ユーザ認証の要求をリモートコンピュータ４に対して乱数Ｒｓを返信する（図３のＳ１４）。なお、認証サーバ３は、ユーザ認証が終了するまで乱数Ｒｃ及び乱数Ｒｓを認証サーバ３の内部で保持する。
【００４４】
リモートコンピュータ４は、認証サーバ３から乱数Ｒｓを受信すると、乱数Ｒｃと乱数Ｒｓを結合したデータを含み、認証コードを生成するコマンドをＵＳＢメモリ５に送信することで、ＵＳＢメモリ５に対して認証コードの生成を要求する（図３のＳ１５）。
【００４５】
ＵＳＢメモリ５は、リモートコンピュータ４から該コマンドを受信すると、ＵＳＢメモリ５に記憶されている暗号鍵を用いて、例えば、ISO/IEC9797-1(1999年)のMACのアルゴリズムなどの所定のアルゴリズムに従い、乱数Ｒｃと乱数Ｒｓを結合したものから認証コードを生成し、生成した認証コードに加え、ＵＳＢメモリ５に記憶されたＩＤ番号をリモートコンピュータ４に返信する（図３のＳ１６）。
【００４６】
リモートコンピュータ４は、ＵＳＢメモリ５から認証コード及びＩＤ番号を受信すると、認証コード及びＩＤ番号を含むメッセージを送信し、認証サーバ３に対して認証コードの検証を要求する（図３のＳ１７）。
【００４７】
認証サーバ３は、リモートコンピュータ４から認証コードの検証要求を受けると、該メッセージに含まれるＩＤ番号に紐付けられて記憶されている暗号鍵を用い、ＵＳＢメモリ５と同じアルゴリズムに従い、認証サーバ３で保持している乱数Ｒｃと乱数Ｒｓを結合したものから参照認証コードを生成し、リモートコンピュータ４から送信された認証コードと参照認証コードを照合することで、リモートコンピュータ４から送信された認証コードを検証する（図３のＳ１８）。
【００４８】
認証サーバ３は、認証コードの正当性を検証すると、検証結果に応じて振る舞いを変更し（図３のＳ１９）、認証コードの検証に成功したときは、ユーザ認証に成功したことを示すメッセージをリモートコンピュータ４に送信すると共に、ＩＤ番号に紐付けられて記憶されている固有情報で特定される被リモートコンピュータ２に対するリモートコンピュータ４のアクセスを許可する指示をＶＰＮ機器７１に対して送信し（図３のＳ２０）、認証コードの検証に失敗したときは、リモートコンピュータ４のアクセスを許可する指示を出すことなく、図３で図示したリモートアクセス管理工程は終了する。
【００４９】
ここから、図１で図示したアクセス管理システム１を構成する被リモートコンピュータ２、認証サーバ３及びＵＳＢメモリ５について、図を参照しながら詳細に説明する。
【００５０】
図４は、被リモートコンピュータ２のブロック図で、図４（ａ）は回路ブロック図、図（ｂ）は機能ブロック図である。
【００５１】
図４（ａ）に図示したように、被リモートコンピュータ２は汎用的なコンピュータで実現され、被リモートコンピュータ２はハードウェアとして、ＣＰＵ２０（Central Processing Unit）、ＲＡＭ２１（Random Access Memory）、データ記憶装置であるハードディスク２２、ネットインタフェース２３、ディスプレイ２４、キーボード２５、ポインティングデバイス（例えば、マウス）２６などを備えている。
【００５２】
更に、図４（ｂ）に図示したように、本発明に係わる被リモートコンピュータとして機能するために、被リモートコンピュータ２には、図４（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、図２のＳ１〜Ｓ４、Ｓ７を実行することで、被リモートコンピュータ２に入力されたパスワードとユーザデータから暗号鍵とＩＤ番号を生成し、生成した暗号鍵とＩＤ番号をＵＳＢメモリ５に記憶すると共に、パスワードとユーザデータを認証サーバ３に送信するユーザ登録手段２００を備える。
【００５３】
図５は、認証サーバ３のブロック図で、図５（ａ）は回路ブロック図、図５（ｂ）は機能ブロック図である。
【００５４】
図５（ａ）に図示したように、認証サーバ３は汎用的なサーバで実現され、認証サーバ３はハードウェアとして、ＣＰＵ３０（Central Processing Unit）、ＲＡＭ３１（Random Access Memory）、データ記憶装置であるハードディスク３２、ネットインタフェース３３、ディスプレイ３４、キーボード３５、ポインティングデバイス（例えば、マウス）３６などを備えている。
【００５５】
更に、図５（ｂ）に図示したように、本発明に係わる認証サーバとして機能するために、認証サーバ３には、図５（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、ユーザ情報記憶手段３００とアクセス管理手段３０１を備える。
【００５６】
認証サーバ３に備えられたユーザ情報記憶手段３００は、図２のＳ５及びＳ６を実行することで、被リモートコンピュータ２から受信したパスワード及びユーザデータから暗号鍵とＩＤ番号を生成し、ＩＤ番号に紐付けして暗号鍵と被リモートコンピュータ２の固有情報をハードディスク３２に記憶する手段である。
【００５７】
また、認証サーバ３に備えられたアクセス管理手段３０１は、図３のＳ１４、Ｓ１８〜Ｓ２０を実行することで、リモートコンピュータ４が受信したＩＤ番号に紐付けて記憶している暗号鍵を用いて、ＵＳＢメモリ５が生成した乱数Ｒｃと認証サーバ３が生成したＲｓを結合したデータを基にした参照認証コードを演算し、リモートコンピュータ４から受信した認証コードと認証サーバ３が演算した参照認証コードを照合し、リモートコンピュータ４から受信した認証コードの正当性を検証することでユーザ認証し、ユーザ認証に成功したときのみ、リモートコンピュータ４が受信したＩＤ番号に紐付けて記憶している固有情報で特定される被リモートコンピュータ２へのアクセスを許可する指示をＶＰＮ機器７１に出力する手段である。
【００５８】
図６は、ＵＳＢメモリ５のブロック図で、図６（ａ）は回路ブロック図、図６（ｂ）は機能ブロック図である。
【００５９】
図６（ａ）に図示したように、ＵＳＢメモリ５には、コンピュータとＵＳＢ接続するためのＵＳＢコネクタを有し、ＵＳＢ通信を実現するＵＳＢインターフェース回路５０と、ＵＳＢメモリ５がコンピュータに接続されたとき、ＣＰＵなどを有し、ＵＳＢメモリ５を外部記憶デバイスとして振る舞うように少なくとも制御するコントローラ５１と、データやコンピュータプログラムが記憶されるフラッシュメモリ５２を備え、フラッシュメモリ５２には、コンピュータプログラムとして、ＵＳＢメモリ５が接続されたコンピュータ（ここでは、リモートコンピュータ４）のＲＡＭに展開されるシンクライアントＯＳ５３が記憶されている。
【００６０】
図６（ｂ）に図示したように、発明に係わるトークンとして機能するために、ＵＳＢメモリ５には、図６（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、暗号鍵やＩＤ番号などのデータを記憶するデータ記憶手段３０１と、認証サーバ３で検証される認証コードを生成する認証コード生成手段３００を備え、ＵＳＢメモリ５のコントローラ５１をこれらの手段として機能させるコンピュータプグラムはコントローラ５１の不揮発性メモリに書き込まれている。
【００６１】
具体的に、ＵＳＢメモリ５に備えられたデータ記憶手段３０１は、図２のＳ７において、被リモートコンピュータ２から暗号鍵とＩＤ番号が送信されると、ＵＳＢメモリ５に備えられたフラッシュメモリ５２に暗号鍵とＩＤ番号を書き込む手段である。
【００６２】
また、ＵＳＢメモリ５に備えられた認証コード生成手段３００は、図３のＳ１２及びＳ１６を実行することで、ＵＳＢメモリ５が生成した乱数Ｒｃと外部コンピュータ（ここでは、リモートコンピュータ４）から受信したＲｓを結合したデータを基にした認証コードを演算し、演算した認証コードとＩＤ番号を外部コンピュータ（ここでは、リモートコンピュータ４）に返信する手段である。
【００６３】
なお、ＵＳＢメモリ５に記憶されているシンクライアントＯＳ５３には、シンクライントＯＳ５３がリモートコンピュータ４で起動したとき、図３のＳ１０、Ｓ１１、Ｓ１３、Ｓ１５及びＳ１７を実行する機能が備えられている。
【００６４】
図３のＳ１０、Ｓ１１、Ｓ１３、Ｓ１５及びＳ１７を実行する機能を実行する機能はシンクライアントＯＳ以外の手法でも実現でき、例えば、リモートコンピュータ４に該機能を実行させるためのコンピュータプログラムが予めインストールされていてもよく、更に、リモートコンピュータ４から認証サーバ３にアクセスしたときに、認証サーバ３からリモートコンピュータ４に該機能を実行させるコンピュータプログラムを送信するようにすることもできる。
【００６５】
なお、本発明は、これまで説明した実施の形態に限定されることなく、種々の変形や変更が可能である。
【００６６】
例えば、ＵＳＢメモリ５を識別するためのＩＤ番号は、被リモートコンピュータ２及び認証サーバ３で生成せずに、予めＵＳＢメモリ５に記憶させておくこともできる。
【００６７】
このとき図２のＳ２において、ユーザはパスワードのみを被リモートコンピュータ２に入力し、図２のＳ３において、被リモートコンピュータ２はパスワードから暗号鍵のみを生成し、図２のＳ４において、被リモートコンピュータ２はＵＳＢメモリ５からＩＤ番号を読み取り、生成した暗号鍵と読み取ったＩＤ番号を認証サーバ３へ送信する。認証サーバ３は、図２のＳ５において、暗号鍵のみをパスワードから生成する。
【００６８】
また、図２で図示したユーザ登録工程において、認証サーバ３は、暗号鍵を少なくとも送信する被リモートコンピュータ２のＩＰアドレスを確認するなどして、ユーザ登録が実行される被リモートコンピュータ２を検証することで、ユーザ登録が確実に前記ネットワークに設置された前記被リモートコンピュータで実施されていることを確認できるようにすることもできる。
【図面の簡単な説明】
【００６９】
【図１】本実施形態におけるリモートアクセス管理システムの構成を説明する図。
【図２】ユーザ登録工程の手順を示したフロー図。
【図３】リモートアクセス管理工程の手順を示したフロー図。
【図４】被リモートコンピュータのブロック図。
【図５】認証サーバのブロック図。
【図６】ＵＳＢメモリのブロック図。
【符号の説明】
【００７０】
１ リモートアクセス管理システム
２ 被リモートコンピュータ
３ 認証サーバ
４ リモートコンピュータ
５ ＵＳＢメモリ
【特許請求の範囲】
【請求項１】
セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理システムであって、前記ネットワーク内に設置された被リモートコンピュータは、前記被リモートコンピュータの利用権限を有するユーザが入力された第１のデータからユーザ認証に利用する暗号鍵を生成し、前記暗号鍵を前記ユーザが所持する前記トークンに記憶する共に、前記第１のデータと前記トークンのＩＤ番号を前記ネットワーク内に設置された認証サーバに送信するユーザ登録手段を備え、前記トークンは、前記被リモートコンピュータから送信された前記暗号鍵をメモリに記憶するデータ記憶手段と、前記メモリに記憶された前記暗号鍵を利用して認証コードを生成する認証コード生成手段を備え、前記ネットワーク内に設置される前記認証サーバは、前記被リモートコンピュータから前記第１のデータと前記ＩＤ番号を受信すると、前記第１のデータから前記暗号鍵を生成し、受信した前記ＩＤ番号に紐付けして前記暗号鍵と前記被リモートコンピュータの固有情報をデータ記憶装置に記憶するユーザ情報記憶手段と、前記トークンが生成した前記認証コードと前記ＩＤ番号を前記ネットワーク外に設置されたリモートコンピュータから受信したとき、前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するアクセス管理手段を備えていることを特徴とするリモートアクセス管理システム。
【請求項２】
請求項１に記載のリモートアクセス管理システムであって、前記被リモートコンピュータに備えられた前記ユーザ登録手段は、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンのＩＤ番号を生成し、前記暗号鍵及び前記ＩＤ番号を前記ユーザが所持する前記トークンに記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信する手段で、前記トークンに備えられた前記データ記憶手段は、前記被リモートコンピュータから送信された前記暗号鍵及び前記ＩＤ番号をメモリに記憶する手段で、前記認証サーバの前記ユーザ情報記憶手段は、前記被リモートコンピュータから前記第１のデータ及び前記第２のデータを受信すると、前記第１のデータ及び前記第２のデータから前記暗号鍵及び前記ＩＤ番号をそれぞれ生成する手段であることを特徴とするリモートアクセス管理システム。
【請求項３】
請求項１又は請求項２に記載のリモートアクセス管理システムであって、前記認証サーバの前記ユーザ情報記憶手段は、前記暗号鍵を少なくとも送信する前記被リモートコンピュータを検証し、検証に成功したときのみ前記暗号鍵を少なくとも演算することを特徴とするリモートアクセス管理システム。
【請求項４】
請求項１から請求項３のいずれか一つに記載のリモートアクセス管理システムであって、前記トークンは乱数を利用して前記認証コードを生成し、前記認証サーバは、前記トークンが前記認証コードの生成に利用した乱数を用いて、前記認証コードを検証することを特徴とするリモートアクセス管理システム。
【請求項５】
セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク内に設置された被リモートコンピュータが、前記被リモートコンピュータの利用権限を有するユーザから入力された第１のデータからユーザ認証に利用する暗号鍵を生成するステップａ１と、前記被リモートコンピュータが、前記被リモートコンピュータに接続された前記トークンに前記暗号鍵を記憶する共に、前記第１のデータ及び前記トークンのＩＤ番号を、前記ネットワークに設置された認証サーバに送信するステップａ２、前記認証サーバが、前記第１のデータから前記暗号鍵を生成し、前記ＩＤ番号に紐付けして前記暗号鍵及び前記被リモートコンピュータの固有情報を記憶するステップａ３が実行されるユーザ登録工程と、前記ネットワーク外に設置されたリモートコンピュータが前記被リモートコンピュータにアクセスするときに、前記リモートコンピュータが、前記リモートコンピュータに接続された前記トークンに前記暗号鍵を利用して認証コードを生成する指示を出し、前記トークンが生成した前記認証コードと前記トークンに記憶された前記ＩＤ番号を認証サーバに送信するステップｂ１と、前記認証サーバが、前記リモートコンピュータから受信した前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記ＩＤ番号に紐付けられた前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するステップｂ２が実行されるリモートアクセス管理工程を含むことを特徴とするリモートアクセス管理方法。
【請求項６】
請求項５に記載のリモートアクセス管理方法であって、前記ユーザ登録工程の前記ステップａ１において、前記被リモートコンピュータは、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンの前記ＩＤ番号を生成し、前記ステップａ２において、前記被リモートコンピュータは、前記トークンに前記暗号鍵に加え前記ＩＤ番号を記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信し、前記ステップａ３において、前記認証サーバは、前記第１のデータ及び前記第２のデータから前記暗号鍵と前記ＩＤ番号を生成することを特徴とするリモートアクセス管理方法。
【請求項１】
セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理システムであって、前記ネットワーク内に設置された被リモートコンピュータは、前記被リモートコンピュータの利用権限を有するユーザが入力された第１のデータからユーザ認証に利用する暗号鍵を生成し、前記暗号鍵を前記ユーザが所持する前記トークンに記憶する共に、前記第１のデータと前記トークンのＩＤ番号を前記ネットワーク内に設置された認証サーバに送信するユーザ登録手段を備え、前記トークンは、前記被リモートコンピュータから送信された前記暗号鍵をメモリに記憶するデータ記憶手段と、前記メモリに記憶された前記暗号鍵を利用して認証コードを生成する認証コード生成手段を備え、前記ネットワーク内に設置される前記認証サーバは、前記被リモートコンピュータから前記第１のデータと前記ＩＤ番号を受信すると、前記第１のデータから前記暗号鍵を生成し、受信した前記ＩＤ番号に紐付けして前記暗号鍵と前記被リモートコンピュータの固有情報をデータ記憶装置に記憶するユーザ情報記憶手段と、前記トークンが生成した前記認証コードと前記ＩＤ番号を前記ネットワーク外に設置されたリモートコンピュータから受信したとき、前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するアクセス管理手段を備えていることを特徴とするリモートアクセス管理システム。
【請求項２】
請求項１に記載のリモートアクセス管理システムであって、前記被リモートコンピュータに備えられた前記ユーザ登録手段は、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンのＩＤ番号を生成し、前記暗号鍵及び前記ＩＤ番号を前記ユーザが所持する前記トークンに記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信する手段で、前記トークンに備えられた前記データ記憶手段は、前記被リモートコンピュータから送信された前記暗号鍵及び前記ＩＤ番号をメモリに記憶する手段で、前記認証サーバの前記ユーザ情報記憶手段は、前記被リモートコンピュータから前記第１のデータ及び前記第２のデータを受信すると、前記第１のデータ及び前記第２のデータから前記暗号鍵及び前記ＩＤ番号をそれぞれ生成する手段であることを特徴とするリモートアクセス管理システム。
【請求項３】
請求項１又は請求項２に記載のリモートアクセス管理システムであって、前記認証サーバの前記ユーザ情報記憶手段は、前記暗号鍵を少なくとも送信する前記被リモートコンピュータを検証し、検証に成功したときのみ前記暗号鍵を少なくとも演算することを特徴とするリモートアクセス管理システム。
【請求項４】
請求項１から請求項３のいずれか一つに記載のリモートアクセス管理システムであって、前記トークンは乱数を利用して前記認証コードを生成し、前記認証サーバは、前記トークンが前記認証コードの生成に利用した乱数を用いて、前記認証コードを検証することを特徴とするリモートアクセス管理システム。
【請求項５】
セキュリティ管理されたネットワークへのアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク内に設置された被リモートコンピュータが、前記被リモートコンピュータの利用権限を有するユーザから入力された第１のデータからユーザ認証に利用する暗号鍵を生成するステップａ１と、前記被リモートコンピュータが、前記被リモートコンピュータに接続された前記トークンに前記暗号鍵を記憶する共に、前記第１のデータ及び前記トークンのＩＤ番号を、前記ネットワークに設置された認証サーバに送信するステップａ２、前記認証サーバが、前記第１のデータから前記暗号鍵を生成し、前記ＩＤ番号に紐付けして前記暗号鍵及び前記被リモートコンピュータの固有情報を記憶するステップａ３が実行されるユーザ登録工程と、前記ネットワーク外に設置されたリモートコンピュータが前記被リモートコンピュータにアクセスするときに、前記リモートコンピュータが、前記リモートコンピュータに接続された前記トークンに前記暗号鍵を利用して認証コードを生成する指示を出し、前記トークンが生成した前記認証コードと前記トークンに記憶された前記ＩＤ番号を認証サーバに送信するステップｂ１と、前記認証サーバが、前記リモートコンピュータから受信した前記ＩＤ番号に紐付けられた前記暗号鍵を利用して前記認証コードを検証し、前記認証コードの検証に成功すると、前記ＩＤ番号に紐付けられた前記固有情報で特定される前記被リモートコンピュータへのアクセスを許可する情報を出力するステップｂ２が実行されるリモートアクセス管理工程を含むことを特徴とするリモートアクセス管理方法。
【請求項６】
請求項５に記載のリモートアクセス管理方法であって、前記ユーザ登録工程の前記ステップａ１において、前記被リモートコンピュータは、前記暗号鍵に加え、前記ユーザが前記被リモートコンピュータに入力し、前記ユーザ毎に一意である第２のデータからトークンの前記ＩＤ番号を生成し、前記ステップａ２において、前記被リモートコンピュータは、前記トークンに前記暗号鍵に加え前記ＩＤ番号を記憶させる共に、前記ＩＤ番号の代わりに前記第２のデータを認証サーバに送信し、前記ステップａ３において、前記認証サーバは、前記第１のデータ及び前記第２のデータから前記暗号鍵と前記ＩＤ番号を生成することを特徴とするリモートアクセス管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１０−８６１７５（Ｐ２０１０−８６１７５Ａ）
【公開日】平成２２年４月１５日（２０１０．４．１５）
【国際特許分類】
【出願番号】特願２００８−２５２８０９（Ｐ２００８−２５２８０９）
【出願日】平成２０年９月３０日（２００８．９．３０）
【出願人】（０００００２８９７）大日本印刷株式会社 (14,506)
【Ｆターム（参考）】
【公開日】平成２２年４月１５日（２０１０．４．１５）
【国際特許分類】
【出願日】平成２０年９月３０日（２００８．９．３０）
【出願人】（０００００２８９７）大日本印刷株式会社 (14,506)
【Ｆターム（参考）】
[ Back to top ]