周辺装置、アクセス認証サーバ、アクセス認証方法
【課題】周辺装置の使用環境が異なる場合において柔軟にセキュリティレベルを変更でき、利便性を向上させた周辺装置が求められていた。
【解決手段】自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、認証処理の結果を受信する第２受信処理と、を行う受信手段と、第１受信処理で受信した収集指示に基づいて、認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、認証情報収集手段で収集された認証情報を送信する第２送信処理と、を行う送信手段と、第２受信処理で受信した認証処理の結果に基づいてホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える。
【解決手段】自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、認証処理の結果を受信する第２受信処理と、を行う受信手段と、第１受信処理で受信した収集指示に基づいて、認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、認証情報収集手段で収集された認証情報を送信する第２送信処理と、を行う送信手段と、第２受信処理で受信した認証処理の結果に基づいてホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ホスト端末に接続される周辺装置及び当該周辺装置に対する認証処理を行うアクセス認証サーバ並びにアクセス認証方法に関する。
【背景技術】
【０００２】
近年、コンピュータ周辺機器の小型化及び利便性の進歩に伴って、このような機器を異なるコンピュータに接続して使用するといった機会が増加している。しかしながら、このような使用はセキュリティの観点からは問題となることも多い。
【０００３】
特に、コンピュータ周辺機器の一つであるＵＳＢ（Universal Serial Bus）メモリなどの携帯型記憶媒体には、機密性の高い情報が記憶されていることも多く、ユーザ又はコンピュータを問わず使用可能とすることは情報漏洩等のセキュリティリスクを伴う。そこで、このようなリスクを軽減するため、一般的には、パスワードによるアクセス認証を行う機能をソフトウェア的に有するコンピュータ周辺機器を導入したり、ホスト端末にインストールしたセキュリティソフトと連携してアクセス管理を行ったりするといった対策が講じられている。
【０００４】
また、セキュリティ機能の強化や利便性の向上のためにアクセス認証に関する様々な技術が開発されている。
【０００５】
例えば、特許文献１には、情報処理端末に接続された携帯型記憶装置の使用を許可するかどうかの認証を行う認証サーバを有する情報処理システムが開示されている。当該システムによれば、認証サーバが携帯型記憶装置の認証処理、暗号化情報に対するアクセス管理、個人情報ファイルの管理をそれぞれ行うため、自分専用にカスタマイズした各種ツールを携帯型記憶装置に記憶し、異なる情報処理端末上で安全に実行することが可能となる。
【０００６】
また、特許文献２には、無線通信機能を有する携帯型記憶装置が開示されている。当該携帯型記憶装置が情報処理装置に接続されると、これらの装置間で第１のアクセス認証を行い、アクセス許可された場合に、携帯型記憶装置は他の無線装置より受信した信号に基づいて使用可能かどうかを判定する。当該構成によれば、携帯型記憶装置の使用エリアを限定することができるため、携帯型記憶装置が盗難された場合などにおいても情報漏洩が発生することを防ぐことが可能となる。
【０００７】
また、特許文献３には、無線通信機能を有する一対の記録媒体を用いて、データの受渡しを行う技術が開示されている。当該技術によれば、記憶媒体に記憶されているデータをセキュアにかつ容易に受け渡すことが可能となる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２３３５６３号公報
【特許文献２】特開２００８−２６９０３６号公報
【特許文献３】特開２００９−７０２９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
一般的に、認証処理に要求する情報を増やせば増やすほどセキュリティは向上する。しかしながら、周辺装置を使用するユーザに対して過度に認証情報の入力等を要求することは、周辺装置の利便性を損なうことになる。
【００１０】
上記特許文献における認証処理では予め認証処理に必要とする情報が決められており、通常の時間帯にオフィス内で使用する場合など、それほど高いセキュリティレベルが要求されない状況であっても、周辺装置の使用許可認証に毎回多くの情報が必要となる。上記特許文献では、どのようなセキュリティポリシーで認証処理を行うかについて予め固定されており、従って、周辺装置を利用する上での利便性に欠ける場合が生じていた。
【００１１】
本発明は、上記課題を鑑み、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明の第１の態様である周辺装置は、自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える。
【００１３】
また、本発明の第２の態様であるアクセス認証サーバは、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備える。
【００１４】
また、本発明の第３の態様であるアクセス認証方法は、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する。
【発明の効果】
【００１５】
本発明によれば、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態１に係るセキュリティ管理システム全体を示すブロック図である。
【図２】実施の形態１に係る認証処理全体の流れを示すシーケンス図である。
【図３】実施の形態２に係るセキュリティ管理システムの全体を示す概念図である。
【図４】実施の形態２に係る周辺装置を説明する図である。
【図５】実施の形態２に係るセキュリティ管理システム全体を示すブロック図である。
【図６】実施の形態２に係る第１管理テーブルを示す図である。
【図７】実施の形態２に係る第２管理テーブルを示す図である。
【図８】実施の形態２に係る情報収集指示を示す図である。
【図９】実施の形態２に係る認証処理全体の流れを示すシーケンス図である。
【図１０】本発明に係る収集指示の生成アルゴリズムの一例を示すフローチャート図である。
【図１１】本発明に係る周辺装置のブロック図である。
【発明を実施するための形態】
【００１７】
（実施の形態１）
以下、図面を参照して本発明の実施の形態について説明する。図１は、本実施の形態１に係るセキュリティ管理システムの全体構成を示すブロック図である。
【００１８】
セキュリティ管理システムは、周辺装置１００と、ホスト端末２００と、セキュリティ管理サーバ３００と、を含んで構成される。周辺装置１００は、ホスト端末に接続されてデータ通信を行う装置であり、ホスト端末がＰＣ（Personal Computer）である場合は、所謂ＰＣ周辺機器である。また、ホスト端末２００は周辺装置が接続されてデータ通信を行う端末であり例えばＰＣなどである。また、セキュリティ管理サーバは後述する認証処理を行うため、以下、必要に応じてアクセス認証サーバと呼ぶことがある。また、セキュリティ管理システムもアクセス認証システムと呼ぶことがある。以下、各装置について詳細に説明する。
【００１９】
まず、周辺装置１００の構成について説明する。周辺装置１００は、データ通信部１１０と、通信制御部１２０と、ＩＤ記憶部１３０と、を備える。
【００２０】
データ通信部１１０は、接続されたホスト端末２００との間で通信制御部１２０が行う通信制御の下でデータ通信を行う。
【００２１】
通信制御部１２０は、データ通信部１１０が行うデータ通信を制御する。通信制御部１２０はホスト端末側から個体ＩＤの読み出し要求を受け取ると、ＩＤ記憶部１３０に記憶されている個体ＩＤを読み出して、データ通信部１１０へ送る。データ通信部１１０は、当該個体ＩＤをホスト端末２００へ送信する。
【００２２】
通信制御部１２０は、後述する認証処理が成功するまでは、ホスト端末２００から送られてくるその他のアクセス要求を受け付けない。一方、通信制御部１２０は認証処理が成功したことを示す情報を受け取った場合は、ホスト端末２００と自装置間のデータ通信を許可する。
【００２３】
ＩＤ記憶部１３０は、自装置を識別する自装置固有の識別子（個体ＩＤ）を記憶している。
【００２４】
次に、ホスト端末２００の構成について説明する。ホスト端末２００は、データ通信部２１０と、通信制御部２２０と、受信部２３０と、認証情報収集部２４０と、送信部２５０と、を備える。
【００２５】
データ通信部２１０は、自端末に接続される周辺装置と通信制御部２２０が行う通信制御の下でデータ通信を行う。
【００２６】
通信制御部２２０は、データ通信部２１０が行うデータ通信を制御する。また、通信制御部２２０は、自端末に接続された周辺装置を識別する識別子を取得する制御を行う。具体的には、通信制御部２２０は、自端末に周辺装置が接続された場合に、当該周辺装置の個体ＩＤを読み出し要求を、データ通信部２１０を介して周辺装置側に送る。通信制御部２２０は、当該周辺装置から返送された個体ＩＤを、データ通信部２１０を介して受け取る。通信制御部２２０は、受け取った個体ＩＤを送信部２５０に送る。
【００２７】
受信部２３０は、認証処理に必要とする情報の収集指示をセキュリティ管理サーバ３００より受信する。受信部２３０が受信する当該収集指示は、セキュリティ管理サーバ３００で行われる認証判断用に収集すべき情報を通知するものである。当該収集指示には、認証処理に必要とする情報の種類を指定する情報が含まれる。
【００２８】
受信部２３０は、受信した当該収集指示を認証情報収集部２４０に送る。また、受信部２３０は、セキュリティ管理サーバ３００より認証処理の結果を受け取る。受信部２３０は、当該認証処理の結果を通信制御部２２０に送る。通信制御部２２０は、当該認証処理の結果が、アクセス認証が成功したことを示す内容、すなわち周辺装置の使用を許可する内容であった場合は、データ通信部２１０を介して当該情報を周辺装置１００に送信する。
【００２９】
認証情報収集部２４０は、受信部２３０より受け取った収集指示に基づいてセキュリティ管理サーバ３００で行われる認証処理に用いられる認証情報を収集する。この時、認証情報収集部２４０は、収集指示で指定されている種類の情報を認証情報として収集する。
【００３０】
例えば、認証処理に必要とする情報の種類として第１パスワード及び自端末のＯＳ（Operating System）の情報が収集指示内で指定されている場合は、認証情報収集部２４０は、これらの情報を収集する。第１パスワード等の情報は、図示せぬ表示部でパスワード入力用のダイアログを表示させ、ユーザからキーボード等を介してパスワードを入力させることで収集する。また、ＯＳ等の情報は、図示せぬ記憶部に記憶されている当該情報の場所にアクセスして収集する。認証情報収集部２４０は、収集したこれらの情報を認証情報として送信部２５０に送る。これら収集された認証情報は後述するセキュリティ管理サーバにおける認証処理で用いられる情報である。
【００３１】
送信部２５０は、通信制御部２２０より受け取った周辺装置の個体ＩＤを含めて使用許可要求を生成し、セキュリティ管理サーバ３００に送信する。ここで、使用許可要求とは、当該個体ＩＤで識別される周辺装置の使用許可をセキュリティ管理サーバ３００に対して要求するものであり、認証処理に必要とする情報の収集指示を要求するものである。なお、使用許可要求は、認証処理を行うセキュリティ管理サーバ３００に対して自端末に接続された周辺装置へのアクセス許可を要求するものでもあるため、アクセス認証要求と呼ぶこともある。また、送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する。
【００３２】
次に、セキュリティ管理サーバ３００の構成について説明する。セキュリティ管理サーバ３００は、受信部３１０と、収集指示生成部３２０と、認証処理部３３０と、送信部３４０と、を備える。
【００３３】
受信部３１０は、上記使用許可要求を受信する。受信部３１０は、受信した使用許可要求を収集指示生成部３２０に送る。また、受信部３１０は、上記認証情報を受信する。受信部３１０は、受信した認証情報を認証処理部３３０に送る。
【００３４】
収集指示生成部３２０は、受信部３１０より受け取った使用許可要求に基づいて、認証処理に必要とする情報の収集を指示する収集指示を生成する。具体的には、収集指示生成部３２０は、認証処理用に登録されている複数の種類の情報の中から、受信した使用許可要求に基づいて認証処理に必要とする情報の種類を選択し、当該種類を指定する情報を含めて上記収集指示を生成する。
【００３５】
なお、収集指示生成部３２０が上記認証処理に必要とする情報の種類を決定するためのアルゴリズムは様々なアルゴリズムが可能である。例えば、使用許可要求に含まれる周辺装置の個体ＩＤから当該周辺装置の種類（携帯型記憶装置、プリンタ、カードリーダ等）を特定し、装置の種類に基づいて認証処理に必要とする情報の種類を決定してもよい。また、収集指示生成部３２０は、別途設けられた現在時刻を算出する図示せぬ時刻算出部に問い合わせて使用許可要求を受信した時刻又は現在時刻を求め、認証処理に必要とする情報の種類を決定してもよい。例えば、当該周辺装置のユーザの仕事時間帯と異なる時間帯に使用許可要求が送られてきた場合は、正当なユーザではない者が周辺装置を不正に使用している可能性があるため、より多くの種類の情報を認証処理に必要とする情報として決定し、収集指示を生成しても良い。収集指示生成部３２０は、上記生成した収集指示を送信部３４０に送る。
【００３６】
認証処理部３３０は、受信部３１０より受け取った認証情報に基づいて当該周辺装置の使用を許可するかどうかの認証処理、換言すれば当該周辺装置へのアクセスを許可するかどうかの認証処理を行う。
【００３７】
具体的には、認証処理部３３０は、図示せぬ記憶部又は外部のデータベースに予め登録されている当該周辺装置に対応付けられた認証情報を参照し、受信部３１０より受け取った認証情報と一致するかどうかの比較処理を行う。認証処理部３３０は、これらの情報が一致した場合は、当該周辺装置の使用を許可する。一方、認証処理部３３０は、これらの情報が一致しない場合は、当該周辺装置の使用を許可しない。認証処理部３３０は、当該認証処理の結果を送信部３４０に送る。
【００３８】
送信部３４０は、収集指示生成部３２０より送られた収集指示をホスト端末２００に送信する。また、送信部３４０は、認証処理部３３０より送られた認証処理の結果をホスト端末２００に送信する。
【００３９】
次に本実施の形態１のセキュリティ管理システムの動作について説明する。図２は、セキュリティ管理システムにおける認証処理の流れを示すシーケンス図である。
【００４０】
第１に、ユーザにより周辺装置がホスト端末に接続された場合、ホスト端末は周辺装置が接続されたことを認識する（Ｓ１０１）。
【００４１】
ホスト端末は、周辺装置が接続されたことを認識すると当該周辺装置を識別する個体ＩＤを取得する。具体的には、通信制御部２２０は周辺装置に個体ＩＤ読み出し要求を出す（Ｓ１０２）。周辺装置の通信制御部１２０は、当該個体ＩＤ読み出し要求を受けると、記憶部１３０に記憶している個体ＩＤを読み出し、当該個体ＩＤをホスト端末側の通信制御部２２０に通知する（Ｓ１０３）。
【００４２】
通信制御部２２０が周辺装置より個体ＩＤを受け取ると、送信部２５０に当該個体ＩＤを渡し、送信部２５０は、当該個体ＩＤを含む使用許可要求を生成する（Ｓ１０４）。送信部２５０は、当該生成した使用許可要求をセキュリティ管理サーバ３００に送信する（Ｓ１０５）。
【００４３】
セキュリティ管理サーバ３００の受信部３１０が当該使用許可要求を受信し、収集指示生成部３２０は、当該使用許可要求に基づいてアクセス認証処理に必要とする情報の種類を決定し、当該種類を指定する情報を含めて収集指示を生成する。（Ｓ１０６）。送信部３４０は、収集指示生成部で生成された収集指示を送信する（Ｓ１０７）。
【００４４】
認証情報収集部２４０は、受け取った収集指示に基づいて、当該収集指示で指定されている種類の情報を収集する（Ｓ１０８）。送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する（Ｓ１０９）。
【００４５】
セキュリティ管理サーバ３００は、受信部３１０で当該認証情報を受け、認証処理部３３０は、当該認証情報に基づいて認証処理を行う（Ｓ１１０）。送信部３４０は、認証処理部３３０における認証処理の結果をホスト端末に通知する（Ｓ１１１）。
【００４６】
ホスト端末の通信制御部２２０は、受信部２３０で受け取った上記認証処理の結果を周辺装置に通知する（Ｓ１１２）。周辺装置の通信制御部１２０は、受け取った認証処理の結果が、アクセス認証が成功したことを示している場合は、ホスト端末からの書き込み・読み込み要求といったアクセスを許可する（Ｓ１１３）。その後は、ホスト端末のデータ通信部２１０と周辺装置のデータ通信部１１０との間でデータ通信が行われる（Ｓ１１４）。
【００４７】
以上説明したように、本実施の形態１におけるセキュリティ管理システムは、セキュリティ管理サーバがホスト端末から周辺装置へのアクセスを許可するかどうかの認証処理を行う。そして、セキュリティ管理サーバは、第１に送られてきた使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する。このような構成としておくことで周辺装置の種類やその他の状況に応じて認証に要求するセキュリティレベルを変更することができる。
【００４８】
すなわち、一般的に、認証処理に必要とする情報の種類（項目）を増やせば増やすほどセキュリティレベルを向上させることができる一方で、多くのパスワード入力が要求されるなどユーザの利便性が低下する傾向がある。しかしながら、本実施の形態のセキュリティ管理システムでは、セキュリティ管理サーバが状況に応じて認証に必要とする情報の種類を決定して、これらの種類の情報収集を行わせることが可能であるためユーザの利便性を保ちつつ高いセキュリティレベルを維持することが可能となる。
【００４９】
（実施の形態２）
本発明の実施の形態２に係るセキュリティ管理システムは、周辺装置がセキュリティ管理サーバと通信を行う通信機能を有することを特徴とする。
【００５０】
実施の形態１のセキュリティ管理システムは、周辺装置がホスト端末に接続された場合にホスト端末がセキュリティ管理サーバにアクセスしてアクセス認証を求め、必要となる情報を収集する機能を有している。これらの機能等は一般的にセキュリティ管理ソフトウェアをホスト端末にインストールすることで実現される。
【００５１】
実施の形態１のセキュリティ管理システムでは、対象とする周辺装置が接続されうるホスト端末数が多い場合は、これらのホスト端末すべてに上記セキュリティ管理ソフトウェアをインストールしておく必要がある。例えば、周辺装置がＵＳＢメモリなど携帯型記憶装置である場合は、その装置の性質上接続されうるホスト端末数は非常に多くなることが想定され、これらのホスト端末全てに上記ソフトウェアをインストールしておくことは非常に労力を要する。また、オフラインのホスト端末では当該周辺装置を使用することができなくなり、また、使用の集中管理ができないため、さらなる労力が必要である。本実施の形態２のセキュリティ管理システムは、このような状況にも対応でき、周辺装置の利便性を向上させている。以下、図面を用いて詳細に説明する。
【００５２】
図３は、本実施の形態２のセキュリティ管理システムの概念を示す図である。無線通信機能を有する周辺装置４００が、パーソナルコンピュータ（ＰＣ）であるホスト端末５００に接続されている。また、セキュリティ管理サーバ６００は、複数の無線通信用のアクセスポイント７０１〜７０ｎと接続されている。周辺装置４００は、当該アクセスポイント７０１〜７０ｎのいずれかと無線通信を行うことで、セキュリティ管理サーバ６００と通信を行う。
【００５３】
図４は、周辺装置４００の具体例を示す図であり、ここではＵＳＢメモリを想定している。なお、本実施の形態２においては、周辺装置４００は具体的に携帯型記憶装置の一つであるＵＳＢメモリであるとして説明するがこれに限定するものではない。周辺装置として、ＣＤ−ＲＯＭドライブやＨＤＤ、プリンタやスキャナなど、ベースとなるＰＣ周辺機器に置き換えても良い。
【００５４】
図４において周辺装置（ＵＳＢメモリ）４００は、コネクタ４０１とコントローラＩＣ４０２とフラッシュメモリチップ４０３と無線通信制御回路４０４と無線通信用アンテナ４０５を備える。コネクタ４０１とコントローラＩＣ４０２は信号線４０６で、コントローラＩＣ４０２とフラッシュメモリチップは信号線４０７で、コントローラＩＣ４０２と無線通信制御回路４０４は信号線４０８でそれぞれ接続されており、互いにデジタル通信を行う。
【００５５】
コネクタ４０１は、ホスト端末（ＰＣ）との接続方式としてＵＳＢインタフェースを想定しているが、ＵＳＢインタフェースに限らずＩＥＥＥ１３９４、ＳＡＴＡやＳＣＳＩなどＰＣとデータのやり取りが可能なあらゆる方式を適用してもよい。当該コネクタ４０１がホスト端末に設けられた接続ポートに接続されることでホスト端末との間でデータ通信が開始され、仕様に応じてホスト端末より電力供給が行われる。
【００５６】
コントローラＩＣ４０２は、フラッシュメモリチップ４０３の制御、ＰＣとのインタフェース機能の実現、アクセス認証の流れの制御といった各種制御を行う。
【００５７】
無線通信制御回路４０４は、アクセスポイントと無線通信を行うための回路である。無線通信方式としては無線ＬＡＮ（ＩＥＥＥ ８０２．１１）を想定しているが、ＢｌｕｅｔｏｏｔｈやＲＦＩＤなど他の無線通信方式を使用しても良い。
【００５８】
フラッシュメモリチップ４０３内の記憶領域の一部には使用認証に必要なデータを収集するセキュリティプログラム及び自装置の個体ＩＤが記憶されている。この領域は接続されるＰＣ側からは書換え不可であり、読み込みも通常は不可に制御されている。
【００５９】
また、コントローラＩＣ４０２、フラッシュメモリチップ４０３、無線通信制御回路４０４の電源はコネクタ４０１を通してＰＣから供給されているが、外部から供給される構成であっても良いし、別途バッテリを設けても良い。
【００６０】
次に上記周辺装置４００を構成する各回路の具体的機能を図５のブロック図を併用しながら説明する。
【００６１】
図５は、本実施の形態２に係るセキュリティ管理システムのブロック図である。本実施の形態２に係るセキュリティ管理システムは、周辺装置４００と、ホスト端末５００と、セキュリティ管理サーバ６００と、無線通信用アクセスポイント７００（以下ＡＰと略す。）と、を含んで構成される。以下、各装置の具体的構成について説明する。但し、実施の形態１で説明した部分については一部説明を省略する。
【００６２】
周辺装置４００は、データ通信部４１０と、通信制御部４２０と、データ記憶部４３０と、使用許可要求生成部４４０と、認証情報収集部４５０と、無線受信部４６０と、無線送信部４７０と、を備える。ここで、データ通信部４１０が図４のコネクタ４０１に対応し、通信制御部４２０と使用許可要求生成部４４０と認証情報収集部４５０とが図４のコントローラＩＣ４０２に対応し、データ記憶部４３０が図４のフラッシュメモリチップ４０３に対応し、無線受信部４６０及び無線送信部４７０が図４の無線通信制御回路４０４に対応する。
【００６３】
データ通信部４１０は、接続されたホスト端末２００との間で通信制御部４２０における通信制御の下でデータ通信を行う。
【００６４】
通信制御部４２０は、データ通信部４１０が行うデータ通信を制御する。また、通信制御部４２０は、自装置がホスト端末と接続されたことを検知すると、使用許可要求生成部４４０に当該接続されたことを通知する。
【００６５】
また、通信制御部４２０は、後述するセキュリティ管理サーバ６００における認証処理が成功するまでは、ホスト端末５００から送られてくるデータ記憶部４３０に対するアクセス要求を受け付けない。一方、通信制御部４２０は上記認証処理が成功したことを示す情報を受け取った場合は、ホスト端末５００からのデータ記憶部４３０に記憶されているデータへのアクセスを許可する。
【００６６】
データ記憶部４３０は、データを記憶する。具体的には、データ記憶部４３０は、データの書き換えが可能なフラッシュメモリであることが多いがこれに限定されるものではない。また、データ記憶部４３０は、自装置４００を固有に識別する個体ＩＤが合わせて記憶されている。また、データ記憶部４３０は、後述する情報収集用のセキュリティプログラムが合わせて記憶されている。
【００６７】
使用許可要求生成部４４０は、通信制御部４２０より自装置がホスト端末と接続されたことを示す通知を受けると、自装置の使用許可をセキュリティ管理サーバに対して要求する情報である使用許可要求を生成する。
【００６８】
具体的には、使用許可要求生成部４４０は、データ記憶部４３０より個体ＩＤを読み込む。また、使用許可要求生成部４４０は、無線受信部４６０より自装置が無線通信可能なＡＰを識別する識別ＩＤを取得する。このような識別ＩＤには例えばＳＳＩＤ（Service Set Identifier）を用いることができる。以下、アクセスポイントの識別ＩＤはＳＳＩＤとして説明するがこれに限定されるものではない。使用許可要求生成部４４０は、当該情報が使用許可要求であることを示す識別子と個体ＩＤとＳＳＩＤを含めて使用許可要求を生成し、無線送信部４７０に送る。
【００６９】
認証情報収集部４５０は、無線受信部４６０より認証処理に必要とする情報の収集指示を受け取ると指示された情報の収集を開始する。具体的には、データ記憶部４３０より情報収集用のセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０とデータ通信部４１０を介してホスト端末５００に送り、ホスト端末５００のＣＰＵ上で当該プログラムを実行させることにより認証情報を収集する。認証情報収集部４５０は、収集した認証情報を無線送信部４７０に送る。
【００７０】
無線受信部４６０は、ＡＰから送信される各種情報を受信する。無線受信部４６０は、ＡＰとの無線接続処理時に当該ＡＰを識別するＳＳＩＤを受信し、当該受信したＳＳＩＤを使用許可要求生成部４４０に送信する。
【００７１】
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理に必要とする情報の収集指示を受信し、当該指示を認証情報収集部４５０に送る。ここで、当該収集指示には、認証情報の収集指示であることを示す識別子の他、認証処理に必要とする情報の種類が示されている。
【００７２】
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理の結果を受信し、通信制御部４２０に送る。
【００７３】
無線送信部４７０は、使用許可要求生成部４４０より受け取った使用許可要求を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
【００７４】
また、無線送信部４７０は、認証情報収集部４５０より受け取った認証情報を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
【００７５】
次に、ホスト端末５００について説明する。ホスト端末５００は、データ通信部５１０と、通信制御部５２０と、データ記憶部５３０と、プログラム実行部５４０と、を備える。
【００７６】
データ通信部５１０は、通信制御部４２０の通信制御の下で自端末に接続される周辺装置とデータ通信を行う。
【００７７】
通信制御部５２０は、データ通信部５１０におけるデータ通信を制御する。
【００７８】
データ記憶部５３０は、各種データを記憶する。データ記憶部５３０が記憶している情報としては、自端末で実行されているＯＳ（Operating System）の情報、自端末を識別するＩＤ（ＳＭＢＩＯＳ等から取得）、自端末のＨＷ構成（ＯＳ機能等を使用して取得）、といった情報が記憶されている。
【００７９】
プログラム実行部５４０は、所謂ＣＰＵ（Central Processing Unit）であり、システム管理を行うＯＳを実行するほか、データ通信部５１０、通信制御部５２０を介して周辺装置４００から送られる情報収集用のセキュリティプログラムを実行する。また、この時認証処理に必要とする情報の種類についての指示も合わせて送られ、プログラム実行部５４０は、当該セキュリティプログラムを実行することで、上記指定された種類の情報を収集する。具体的には、プログラム実行部５４０は、データ記憶部５３０に記憶されている各種データのうち、指示された種類の情報を読み込む。また、認証処理に必要とする情報としてユーザＩＤや当該ユーザＩＤに対応するパスワードが指示されている場合は、プログラム実行部５４０は、図示せぬインタフェースを介して画面表示部にユーザＩＤ及びパスワード入力画面を表示させユーザＩＤ及びパスワードをユーザに入力させることでこれらの情報を収集する。収集した情報は、通信制御部５２０及びデータ通信部５１０を介して周辺装置の認証情報収集部４５０に送られる。
【００８０】
次に、セキュリティ管理サーバ６００について説明する。セキュリティ管理サーバ６００は、受信部６１０と、認証処理部６２０と、収集指示生成部６３０と、管理テーブル記憶部６４０と、送信部６５０と、を備える。
【００８１】
受信部６１０は、周辺装置４００よりＡＰを介して自装置４００を使用することの許可を要求する使用許可要求を受信する。また、受信部６１０は、ＡＰを介して周辺装置４００より送信される認証情報を受信する。受信部６１０は、受信した使用許可要求及び認証情報を認証処理部６２０に送る。
【００８２】
認証処理部６２０は、周辺装置の使用を許可するかどうかの認証処理を行う。具体的には、認証処理部６２０は、受信部６１０より使用許可要求を受け取ると、当該使用許可要求に含まれる周辺装置を識別する個体ＩＤとＡＰを識別するＳＳＩＤの組み合わせが許可された組み合わせであるかどうかの第１の認証処理を行う。
【００８３】
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている許可する周辺装置の個体ＩＤとＡＰのＳＳＩＤと対応関係を記した第１管理テーブルを参照して上記第１認証処理を行う。図６に当該第１管理テーブルの一例を示す。第１管理テーブルには周辺装置（個体ＩＤ）毎に許可されているＡＰ（ＳＳＩＤ）が対応付けられている。認証処理部６２０は、上記第１認証処理の結果、周辺装置とＡＰの組み合わせが許可されたものであった場合は、収集指示生成部６３０に当該個体ＩＤとＳＳＩＤを通知する。
【００８４】
また認証処理部６２０は、受信部６１０より受け取った認証情報に基づいて周辺装置の使用を許可するかどうかの第２の認証処理を行う。
【００８５】
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている周辺装置の個体ＩＤと対応する認証情報との組み合わせを記した第２管理テーブルを参照して上記第２認証処理を行う。図７に当該第２管理テーブルの一例を示す。第２管理テーブルには周辺装置（個体ＩＤ）毎に対応付けられた認証情報が記されている。図７に示すように、認証情報としては、ユーザＩＤ、第１パスワード、第２パスワード、第３パスワード、セキュリティプログラムのバージョン情報、ホスト端末のＯＳ情報、ホスト端末のＨＷ情報が登録されている。
【００８６】
ここで、ＨＷ情報としては、ＢＩＯＳＲＥＶ、ＡＣＰＩｔａｂｌｅ、ＰＣＩＣｏｎｆｉｇ空間の情報、ＭＡＣアドレス、ＵＵＩＤ（Universally Unique Identifier）、ＧＰＩＯ（General Purpose Input/Output）設定、ＭＣＵＲｅｖと言った情報を認証情報として利用することができる。特にＳＭＢＩＯＳやＡＣＰＩｔａｂｌｅなどは、一般的に偽造の対象とされる可能性が低いことから偽造リスクが少なく、個体識別の観点から有力な認証情報となる。また、ＭＡＣアドレスやＢＩＯＳで生成されるＵＵＩＤもＨＷの個体識別という観点から有効な認証情報とすることができる。
【００８７】
認証処理部６２０は、第２の認証処理の結果、すなわち周辺装置の使用を許可するか許可しないかを示す情報を送信部６５０に送る。
【００８８】
収集指示生成部６３０は、第１認証処理を行った認証処理部６２０より個体ＩＤ及びＳＳＩＤを受け取ると、当該個体ＩＤの周辺装置に対する認証処理に必要とする情報の収集を指示する収集指示を生成する。この時、収集指示生成部６３０は、所定のアルゴリズムに従い、複数ある認証情報の中から認証処理に必要とする情報の種類を決定し、当該種類を含めて上記収集指示を生成する。
【００８９】
図８に当該収集指示の一例を示す。当該収集指示には、収集指示であることを識別する識別子、通知する周辺装置の個体ＩＤ、認証処理に必要とする情報の種類を示す情報が含まれる。認証処理に必要とする情報の種類を指定する情報は、具体的には収集指示生成部６３０が個体ＩＤ、ＳＳＩＤ、その他現在時刻等の情報を用いて所定のアルゴリズムに基づいて決定された種類が指定されている。図８の例では、ユーザＩＤ、第１パスワード、ホスト端末のＭＡＣアドレス、ホスト端末のＯＳ情報の４種類の情報が認証処理に必要とする情報として指定されている。
【００９０】
ここで、収集指示生成部６３０は、認証処理部６２０より受け取った個体ＩＤ及びＳＳＩＤ、その他図示せぬ時刻算出部から受け取った現在の時刻等の情報を用いて複数ある認証情報の中から認証処理に必要とする情報の種類を選択して決定する。
【００９１】
例えば、収集指示生成部６３０は、受け取った個体ＩＤより、周辺装置が携帯型記憶装置である場合はより高いセキュリティレベルが求められると判断し、より多くの情報が認証処理に必要とする決定を行っても良い。
【００９２】
また、収集指示生成部６３０は、個体ＩＤに対応付けされたＳＳＩＤ毎にセキュリティレベルを合わせて設定しておき、受け取ったＳＳＩＤに対応するセキュリティレベルに応じて必要とする情報の種類を決定しても良い。例えば、自宅やオフィスに設置されたＡＰから使用許可要求を受け取った場合は、第３者が不正に使用している可能性は低いため、このようなＡＰには低いセキュリティレベルを設定しておく。一方、外部のＡＰを介して使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、高いセキュリティレベルを設定しておいても良い。
【００９３】
また、当該周辺装置の使用が想定される時間帯を設定しておき、使用許可要求が送信された時刻が当該時間帯内であるかどうかに基づいて、認証処理に必要とする情報の種類を選択して決定してもよい。例えば、想定された時間帯以外に使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、より多くの種類の情報を選択しても良い。
【００９４】
また、使用許可要求に個体ＩＤ及びＳＳＩＤに加えて他の情報が含まれる場合は、収集指示生成部６３０は、それらの情報も考慮に入れて認証処理に必要とする情報の種類を選択して決定してもよい。収集指示生成部６３０は、生成した収集指示を送信部６５０に送る。
【００９５】
管理テーブル記憶部６４０は、上記第１認証処理時に参照される第１管理テーブル及び第２認証処理時に参照される第２管理テーブルを記憶する。なお、第１管理テーブル及び第２管理テーブルは、１つのテーブルとして記憶されていても良い。
【００９６】
送信部６５０は、認証処理部６２０より受け取った認証処理の結果及び収集指示生成部６３０より受け取った収集指示をＡＰを介して周辺装置に送信する。
【００９７】
次に、本実施の形態２のセキュリティ管理システムの動作について説明する。図９は、本実施の形態２のセキュリティ管理システムの処理の流れを示すフローチャート図である。
【００９８】
ユーザにより周辺装置とホスト端末が接続されると、周辺装置内に電源が供給されてその機能を開始し、周辺装置は自装置がホスト端末に接続されたことを認識する（Ｓ２０１）。本実施の形態では通信制御部４２０が当該接続されたかどうかの認識を行う。なお、この時点では周辺装置の通信制御部４２０によるアクセス制御によりデータ記憶部４３０の記憶領域へのアクセスは禁止されている。
【００９９】
周辺装置は、ステップ２０１において自装置がホスト端末５００と接続されたことを認識すると、ＡＰ７００を介してセキュリティ管理サーバとアクセスを試み、続いて、使用許可要求生成部４４０は、自装置を使用できる状態にするために使用許可要求を生成する（Ｓ２０２）。なお、セキュリティ管理サーバにアクセスできなかった場合はその場で認証の手続きを終了し、従って周辺装置の使用は不可となる。ステップ２０２で生成された使用許可要求は、無線送信部４７０より、ＡＰを介してセキュリティ管理サーバに送信される（Ｓ２０３）。
【０１００】
セキュリティ管理サーバは、ステップ２０３で受け取った使用許可要求に基づいて当該使用許可要求が予め許可された使用許可要求であるかどうかについての第１認証処理を行う（Ｓ２０４）。具体的には、認証処理部６２０は、使用許可要求に含まれる個体ＩＤが許可されたものであるか、ＳＳＩＤが許可されたものであるか、及び個体ＩＤとＳＳＩＤの組み合わせが許可されたものであるか、といった判定を第１認証処理として行う。
【０１０１】
ステップ２０４における第１認証処理の結果、許可された使用許可要求であった場合は、収集指示生成部６３０は、第２認証処理で必要とする情報を収集するための収集指示を生成する（Ｓ２０５）。図７に示すように当該収集指示には、認証処理に必要とする情報の種類の一覧が含まれており、送信部６５０は、当該収集指示を周辺装置に送信する（Ｓ２０６）
【０１０２】
周辺装置は、セキュリティ管理サーバより収集指示を受け取ると、認証情報収集部４５０が、認証処理に必要とする情報を収集するための処理を開始する（Ｓ２０７〜Ｓ２１０）。具体的には、認証情報収集部４５０は、データ記憶部４３０に記憶されているセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０７）。また、認証情報収集部４５０は、セキュリティ管理サーバより受け取った収集指示の内容を通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０８）。なお、ステップ２０５とステップ２０６は順不同である。
【０１０３】
ホスト端末のプログラム実行部５４０は、ステップ２０５で受け取ったセキュリティプログラムを手動又は自動で実行し、ステップ２０６で指示された情報を収集する（Ｓ２０９）。プログラム実行部５４０はステップ２０９で収集した情報を通信制御部５２０及びデータ通信部５１０を介して周辺装置に送信する（Ｓ２１０）。認証情報収集部４５０は、ステップ２１０で送られた情報を受け取ることで認証情報の収集が完了する。当該収集された認証情報は無線送信部４７０よりＡＰを介してセキュリティ管理サーバに送信される（Ｓ２１１）。
【０１０４】
セキュリティ管理サーバの認証処理部６２０は、ステップ２１１で送信された認証情報に基づいて第２の認証処理を行う（Ｓ２１２）。当該認証処理の結果は、送信部６５０より周辺装置に通知される（Ｓ２１３）。周辺装置は、受け取った認証処理の結果を確認し、当該認証処理の結果が認証成功を示している場合は、通信制御部４２０はホスト端末からのアクセス要求ブロックを解除し、その後データ通信部間でデータ通信が行われる（Ｓ２１２）。すなわち、ＰＣ上で当該周辺装置の使用が可能となる。一方、認証処理の結果が認証失敗を示している場合は、通信制御部４２０が引き続きホスト端末からのアクセス要求をブロックするため、ホスト端末と自装置の間でのデータ通信は行われない。すなわち、周辺装置を使用することができないままとなる。
【０１０５】
以上説明したように、本実施の形態２における周辺装置は自ら無線通信機能を備え、使用認証を無線通信経由でセキュリティサーバ上にて行う。この時、認証処理のトリガとなる使用許可要求には、周辺装置を識別する個体ＩＤに加えて周辺装置が接続している無線通信用アクセスポイントを識別するＩＤが含まれる。当該アクセスポイントのＩＤによりセキュリティ管理サーバは、周辺装置の使用範囲を判別することができ、従って周辺装置の使用可能な領域を制御することができる。すなわち、周辺装置を予め定められた無線通信網のもとでのみ動作可能とさせることができ、使用想定外の場所へ持ち出されての意図しない使用を防止することができる。
【０１０６】
そして、セキュリティ管理サーバ上で認証条件の管理及び実際の使用認証を行うため、柔軟かつ複雑な条件の認証が可能になる。また、セキュリティ管理サーバ上で認証条件の管理を行うため、認証条件を変更する場合にいちいち管理下のすべての周辺装置を回収して設定変更を行うと言った労力を必要とせず、容易かつ迅速に変更することができる。すなわち、管理下の周辺装置について、認証条件などのセキュリティポリシーをセキュリティ管理サーバ上から一括して変更をかけることが可能であり、管理が容易になる。
【０１０７】
また、本実施の形態において認証情報を収集する認証情報収集部４５０は、自装置４００に内蔵されたセキュリティソフトをホスト端末側で実行させることで当該認証情報の収集を行う。従って、周辺装置が接続されるホスト端末（ＰＣ）については、特別なセキュリティソフトのインストールや管理が不要となり、また、ネットワーク接続も不要となる。従って、ホスト端末のセキュリティソフトのインストールの有無やネットワーク接続の有無に関わらず周辺装置の使用管理が可能となる。従って、高いセキュリティ及び周辺装置の使用柔軟性を高めることができる。
【０１０８】
以上説明したように本発明によれば、周辺装置（ＰＣ周辺機器）の使用許可を判断するセキュリティポリシーをセキュリティ管理サーバ上で管理することにより、多数のＰＣ周辺機器の管理を一括して簡単に実施できることができる。また、当該セキュリティポリシーをセキュリティ管理サーバ上で管理しているので、セキュリティポリシーの変更を瞬時に反映できるができる。更に、本発明ではセキュリティ管理サーバが、ＰＣ周辺機器の使用認証に複数のデータを組み合わせて認証処理を行うことができるため、使用者や使用条件により複雑かつ柔軟な条件設定ができる。
【０１０９】
また、本発明によれば、使用を許可するかどうかの判断材料として現在時刻を使用可能であり、周辺装置の使用可能な時間を制御可能とすることができる。ここで、使用許可の判断に用いる現在時刻は、例えば周辺装置が使用許可要求に含めて送信し、当該使用許可要求に含まれる現在時刻を用いても良いが、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることが望ましい。周辺装置の接続先ＰＣより現在時刻を取得する場合は、現在時刻を自由に変更可能なＰＣシステム時計から取得することになり、正確な判断が出来ない可能性がある点と、不要な通信トラフィックを生じるためである。一方、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることで正確な判断が可能となり、使用許可要求のデータ量も削減できる。
【０１１０】
このように、本発明によれば、使用場所・使用者・使用時刻・接続するＰＣ構成等に応じた周辺装置使用の認証を細かく設定できる。また、セキュリティ管理サーバが認証に必要とする情報を周辺装置に指示して収集させるため、使用場所・使用者・使用時刻・接続するＰＣ構成等をその時要求されるセキュリティレベルに合わせて柔軟に設定・変更できる。
【０１１１】
本発明は、企業の事業場内などＰＣ周辺機器（周辺装置）の使用条件を管理したい場合の他、一般家庭用に応用する事も可能である。
【０１１２】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
【０１１３】
例えば、使用許可要求に上記セキュリティプログラムのバージョン情報を含めて送信しても良い。セキュリティ管理サーバは、個体ＩＤとＳＳＩＤの確認に加えてプログラムのバージョン情報の確認を行ってもよい。この時、セキュリティ管理サーバは、上記受け取ったバージョンと予め設定されたバージョンとが一致しない場合は、認証処理を終了するよう構成しても良い。また、受け取ったバージョンが古い場合は、更新プログラムを当該周辺装置に配信し、周辺装置側の制御でアップデートを行えるよう構成しても良い。セキュリティ管理サーバは、周辺装置よりアップデートが成功したことを示すアップデート成功信号を受け取った場合は、認証処理を継続するよう構成しても良い。このような構成を更に備えることで、プログラムの偽造やプログラム破損による不正認証や認証ミスを防ぐことができる。
【０１１４】
また、セキュリティ管理サーバが認証処理に必要とする情報として生体情報を利用しても良い。例えば、セキュリティ管理サーバは、指紋、瞳孔パターン、静脈パターンなど周辺装置のユーザの生体情報を認証情報として記憶しておき、収集指示生成部が生成する収集指示で指定される種類の情報の中に上記生体情報を含めても良い。周辺装置又はホスト端末は、指紋センサや画像取得部など上記生体情報を検出する検出部を別途備え、上記生体情報の収集を指示された場合は、これらの情報を認証処理に用いられる認証情報として収集してもよい。セキュリティ管理サーバは、認証処理に必要とする情報を決定する所定のアルゴリズムに基づいて、極めて高いセキュリティが要求される場合などには、これら偽造が極めて困難な生体情報を送信するよう要求しても良い。
【０１１５】
また、セキュリティ管理サーバの収集指示生成部は、認証処理に必要とする情報の種類を決定するアルゴリズムとして様々なアルゴリズムを採用することができる。例えば、図１０に示すアルゴリズムのように、個別ＩＤより装置の種類を判定し（Ｓ３０１）、ＳＳＩＤより予め登録された位置範囲での使用であるかどうかを判定し、（Ｓ３０２）、現在時刻により予め登録された時間帯での使用であるかを判定し（Ｓ３０３）、上記種類を決定しても良い。この場合、管理テーブル記憶部には、周辺装置を識別する個別ＩＤ毎に、通常の使用位置範囲と使用時間帯とを第３管理テーブルとして記憶しておき、収集指示生成部は上記第３管理テーブルを参照して上記ステップ３０３及びステップ３０３の判定を行っても良い。
【０１１６】
なお、収集指示生成部は、上記種類を決定するアルゴリズムとして複数のアルゴリズムＡ〜Ｎを用いることができる。すなわち、予めユーザより設定された情報に基づいて受け取った個別ＩＤに対応するアルゴリズムを選択し、そのアルゴリズムに従ってＳＳＩＤや現在時刻その他の情報を利用して上記種類を決定しても良い。
【０１１７】
また、上記周辺装置の認証情報収集部、使用許可要求生成部、通信制御部、の各種機能やセキュリティ管理サーバの認証処理部、収集指示生成部の各種機能は、演算処理機能を有するＣＰＵ（Central Processing Unit）上でプログラムを実行することにより実現されていても良い。
【０１１８】
なお、上述したプログラムは、コンピュータ・システムがアクセス可能な様々な種類の記憶媒体に格納することが可能である。また、このプログラムは、通信媒体を介して伝達されることが可能である。ここで、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、ＲＯＭカートリッジ、バッテリバックアップ付きＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等が含まれる。また、通信媒体には、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等が含まれ、インターネットも含まれる。
【０１１９】
その他、本発明は以下の形態をとることが可能である。
【０１２０】
（１）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備えるアクセス認証サーバ。
（２）前記生成手段は、前記認証処理に必要とする情報の種類を指定する情報を含めて前記収集指示を生成する、（１）に記載のアクセス認証サーバ。
（３） 前記使用許可要求は、前記周辺装置を識別する第１識別子及び前記周辺装置の使用位置範囲を特定可能な第２識別子を含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子に基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（２）に記載のアクセス認証サーバ。
（４）前記使用許可要求に含まれる第２識別子は、前記周辺装置と無線通信を行っている無線通信アクセスポイント装置を識別する識別子である、（３）に記載のアクセス認証サーバ。
（５）現在時刻を算出する時刻算出手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子と前記算出された現在時刻とに基づいて、前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（６）前記認証手段は、前記使用許可要求に含まれる第１識別子で識別される周辺装置の使用を許可するかどうかの第１の認証処理を前記第１識別子及び前記第２識別子に基づいて行い、前記第１の認証処理をパスした前記周辺装置の使用を許可するかどうかの第２の認証処理を前記第２受信処理で受信した前記認証情報に基づいて行う、（３）乃至（５）のいずれか１項に記載のアクセス認証サーバ。
（７）前記認証手段は、前記第１の認証処理を、前記第１識別子と前記第２識別子と現在時刻とに基づいて行う、（６）に記載のアクセス認証サーバ。
（８）前記使用許可要求は、前記周辺装置と接続されたホスト端末を識別する第３識別子を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と第２識別子と第３識別子とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（９）前記使用許可要求は、時刻に関する情報を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と前記第２識別子と前記時刻に関する情報とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（１０）周辺装置と無線通信アクセスポイント装置との対応関係が登録されている第１管理テーブルを記憶する記憶手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子でそれぞれ識別される周辺装置及び無線通信アクセスポイント装置の組み合わせが前記第１管理テーブルに登録されている場合に前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（４）に記載のアクセス認証サーバ。
（１１）前記記憶手段は、周辺装置と複数の認証情報とが対応付けられた第２管理テーブルを更に記憶し、前記生成手段は、前記第２管理テーブルに含まれる前記複数の認証情報の種類の中から、前記認証処理に必要とする情報の種類を選択して前記収集指示を生成する、（１０）に記載のアクセス認証サーバ。
（１２）前記認証処理手段は、前記第２受信処理で受信した認証情報と、前記第２管理テーブルに含まれる認証情報とを対比することで前記認証処理を行い、前記送信手段は、前記認証処理において前記第２受信処理で受信した認証情報と前記第２管理テーブルに含まれる認証情報とが一致した場合に認証処理が成功したことを示す情報を送信する、（１１）に記載のアクセス認証サーバ。
【０１２１】
また、ホスト端末については以下の構成をとることが可能である。
【０１２２】
（１３）自装置に接続された周辺装置とデータ通信を行うデータ通信手段と、前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した前記収集指示に基づいて、前記認証処理に用いられる認証情報を収集する認証情報収集手段と、前記周辺装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、を備えるホスト端末装置。
（１４）前記第１受信処理で受信した前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理で用いられる認証情報として収集する、（１３）に記載のホスト端末装置。
（１５）前記周辺装置を識別する第１識別子を取得する制御を行う制御手段を更に備え、
前記送信手段は、前記第１識別子を含めて前記使用許可要求を送信する第１の送信処理を行う、（１３）又は（１４）に記載のホスト端末装置。
【０１２３】
また、周辺装置は図１１に示すように、以下の構成をとることが可能である。ここで、周辺装置は、データ通信部７１０と、制御部７２０と、認証情報収集部７５０と、受信部７６０と、送信部７７０と、を備える構成とすることが可能である。具体的には、次の（１６）〜（２５）に示す構成とすることが可能である。
【０１２４】
（１６）自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える周辺装置。
（１７）前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、（１６）に記載の周辺装置。
（１８）自装置を識別する第１識別子を記憶する記憶手段と、前記使用許可要求を生成する生成手段と、を更に備え、前記生成手段は、前記第１識別子を含めて前記使用許可要求を生成する、（１６）又は（１７）に記載の周辺装置。
（１９）前記記憶手段は、情報収集を行うセキュリティプログラムを更に記憶し、前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、（１８）に記載の周辺装置。
（２０）前記認証情報収集手段は、前記収集指示に含まれる前記認証処理に必要とする情報の種類を指定する情報を前記ホスト端末に通知し、指定された種類の情報を前記ホスト端末上で、前記セキュリティプログラムに収集させることにより前記認証処理に用いられる認証情報を収集する、（１９）に記載の周辺装置。
（２１）前記記憶手段はデータを記憶し、前記制御手段は、前記第２受信処理で受信した認証処理の結果に基づいて前記ホスト端末から前記記憶手段に記憶された前記データへのアクセスの許可又は拒否を制御する、（１８）乃至（２０）のいずれか１項に記載の周辺装置。
（２２）前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する、（１８）乃至（２１）のいずれか１項に記載の周辺装置。
（２３）前記第２識別子は、前記受信手段及び前記送信手段が無線通信を行っている無線通信アクセスポイントを識別する識別子である、（２２）に記載の周辺装置。
（２４）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する、アクセス認証方法。
（２５）自装置の使用許可を要求する使用許可要求を送信し、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信し、前記受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集し、前記収集した認証情報を送信し、前記認証処理の結果を受信し、前記受信した認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御し、前記制御に従って前記ホスト端末とデータ通信を行う、周辺装置使用方法。
【符号の説明】
【０１２５】
１００ 周辺装置 １１０ データ通信部
１２０ 通信制御部 １３０ 記憶部
２００ ホスト端末 ２１０ データ通信部
２２０ 通信制御部 ２３０ 受信部
２４０ 認証情報収集部 ２５０ 送信部
３００ セキュリティ管理サーバ ３１０ 受信部
３２０ 収集指示生成部 ３３０ 認証処理部
３４０ 送信部 ４００ 周辺装置
４０１ コネクタ ４０２ コントローラＩＣ
４０３ フラッシュメモリチップ ４０４ 無線通信制御回路
４０５ 無線通信用アンテナ ４０６〜４０８ 信号線
４１０ データ通信部 ４２０ 通信制御部
４３０ データ記憶部 ４４０ 使用許可要求生成部
４５０ 認証情報収集部 ４６０ 無線受信部
４７０ 無線送信部 ５００ ホスト端末
５１０ データ通信部 ５２０ 通信制御部
５３０ データ記憶部 ５４０ プログラム実行部
６００ セキュリティ管理サーバ ６１０ 受信部
６２０ 認証処理部 ６３０ 収集指示生成部
６４０ 管理テーブル記憶部 ６５０ 送信部
７００-７０ｎ アクセスポイント
７１０ データ通信部 ７２０ 制御部
７５０ 認証情報収集部 ７６０ 受信部
７７０ 送信部
【技術分野】
【０００１】
本発明は、ホスト端末に接続される周辺装置及び当該周辺装置に対する認証処理を行うアクセス認証サーバ並びにアクセス認証方法に関する。
【背景技術】
【０００２】
近年、コンピュータ周辺機器の小型化及び利便性の進歩に伴って、このような機器を異なるコンピュータに接続して使用するといった機会が増加している。しかしながら、このような使用はセキュリティの観点からは問題となることも多い。
【０００３】
特に、コンピュータ周辺機器の一つであるＵＳＢ（Universal Serial Bus）メモリなどの携帯型記憶媒体には、機密性の高い情報が記憶されていることも多く、ユーザ又はコンピュータを問わず使用可能とすることは情報漏洩等のセキュリティリスクを伴う。そこで、このようなリスクを軽減するため、一般的には、パスワードによるアクセス認証を行う機能をソフトウェア的に有するコンピュータ周辺機器を導入したり、ホスト端末にインストールしたセキュリティソフトと連携してアクセス管理を行ったりするといった対策が講じられている。
【０００４】
また、セキュリティ機能の強化や利便性の向上のためにアクセス認証に関する様々な技術が開発されている。
【０００５】
例えば、特許文献１には、情報処理端末に接続された携帯型記憶装置の使用を許可するかどうかの認証を行う認証サーバを有する情報処理システムが開示されている。当該システムによれば、認証サーバが携帯型記憶装置の認証処理、暗号化情報に対するアクセス管理、個人情報ファイルの管理をそれぞれ行うため、自分専用にカスタマイズした各種ツールを携帯型記憶装置に記憶し、異なる情報処理端末上で安全に実行することが可能となる。
【０００６】
また、特許文献２には、無線通信機能を有する携帯型記憶装置が開示されている。当該携帯型記憶装置が情報処理装置に接続されると、これらの装置間で第１のアクセス認証を行い、アクセス許可された場合に、携帯型記憶装置は他の無線装置より受信した信号に基づいて使用可能かどうかを判定する。当該構成によれば、携帯型記憶装置の使用エリアを限定することができるため、携帯型記憶装置が盗難された場合などにおいても情報漏洩が発生することを防ぐことが可能となる。
【０００７】
また、特許文献３には、無線通信機能を有する一対の記録媒体を用いて、データの受渡しを行う技術が開示されている。当該技術によれば、記憶媒体に記憶されているデータをセキュアにかつ容易に受け渡すことが可能となる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２３３５６３号公報
【特許文献２】特開２００８−２６９０３６号公報
【特許文献３】特開２００９−７０２９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
一般的に、認証処理に要求する情報を増やせば増やすほどセキュリティは向上する。しかしながら、周辺装置を使用するユーザに対して過度に認証情報の入力等を要求することは、周辺装置の利便性を損なうことになる。
【００１０】
上記特許文献における認証処理では予め認証処理に必要とする情報が決められており、通常の時間帯にオフィス内で使用する場合など、それほど高いセキュリティレベルが要求されない状況であっても、周辺装置の使用許可認証に毎回多くの情報が必要となる。上記特許文献では、どのようなセキュリティポリシーで認証処理を行うかについて予め固定されており、従って、周辺装置を利用する上での利便性に欠ける場合が生じていた。
【００１１】
本発明は、上記課題を鑑み、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明の第１の態様である周辺装置は、自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える。
【００１３】
また、本発明の第２の態様であるアクセス認証サーバは、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備える。
【００１４】
また、本発明の第３の態様であるアクセス認証方法は、ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する。
【発明の効果】
【００１５】
本発明によれば、周辺装置の使用環境が変化する場合において柔軟にセキュリティレベルを変更できるアクセス認証サーバ、アクセス認証方法及び利便性を向上させた周辺装置を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態１に係るセキュリティ管理システム全体を示すブロック図である。
【図２】実施の形態１に係る認証処理全体の流れを示すシーケンス図である。
【図３】実施の形態２に係るセキュリティ管理システムの全体を示す概念図である。
【図４】実施の形態２に係る周辺装置を説明する図である。
【図５】実施の形態２に係るセキュリティ管理システム全体を示すブロック図である。
【図６】実施の形態２に係る第１管理テーブルを示す図である。
【図７】実施の形態２に係る第２管理テーブルを示す図である。
【図８】実施の形態２に係る情報収集指示を示す図である。
【図９】実施の形態２に係る認証処理全体の流れを示すシーケンス図である。
【図１０】本発明に係る収集指示の生成アルゴリズムの一例を示すフローチャート図である。
【図１１】本発明に係る周辺装置のブロック図である。
【発明を実施するための形態】
【００１７】
（実施の形態１）
以下、図面を参照して本発明の実施の形態について説明する。図１は、本実施の形態１に係るセキュリティ管理システムの全体構成を示すブロック図である。
【００１８】
セキュリティ管理システムは、周辺装置１００と、ホスト端末２００と、セキュリティ管理サーバ３００と、を含んで構成される。周辺装置１００は、ホスト端末に接続されてデータ通信を行う装置であり、ホスト端末がＰＣ（Personal Computer）である場合は、所謂ＰＣ周辺機器である。また、ホスト端末２００は周辺装置が接続されてデータ通信を行う端末であり例えばＰＣなどである。また、セキュリティ管理サーバは後述する認証処理を行うため、以下、必要に応じてアクセス認証サーバと呼ぶことがある。また、セキュリティ管理システムもアクセス認証システムと呼ぶことがある。以下、各装置について詳細に説明する。
【００１９】
まず、周辺装置１００の構成について説明する。周辺装置１００は、データ通信部１１０と、通信制御部１２０と、ＩＤ記憶部１３０と、を備える。
【００２０】
データ通信部１１０は、接続されたホスト端末２００との間で通信制御部１２０が行う通信制御の下でデータ通信を行う。
【００２１】
通信制御部１２０は、データ通信部１１０が行うデータ通信を制御する。通信制御部１２０はホスト端末側から個体ＩＤの読み出し要求を受け取ると、ＩＤ記憶部１３０に記憶されている個体ＩＤを読み出して、データ通信部１１０へ送る。データ通信部１１０は、当該個体ＩＤをホスト端末２００へ送信する。
【００２２】
通信制御部１２０は、後述する認証処理が成功するまでは、ホスト端末２００から送られてくるその他のアクセス要求を受け付けない。一方、通信制御部１２０は認証処理が成功したことを示す情報を受け取った場合は、ホスト端末２００と自装置間のデータ通信を許可する。
【００２３】
ＩＤ記憶部１３０は、自装置を識別する自装置固有の識別子（個体ＩＤ）を記憶している。
【００２４】
次に、ホスト端末２００の構成について説明する。ホスト端末２００は、データ通信部２１０と、通信制御部２２０と、受信部２３０と、認証情報収集部２４０と、送信部２５０と、を備える。
【００２５】
データ通信部２１０は、自端末に接続される周辺装置と通信制御部２２０が行う通信制御の下でデータ通信を行う。
【００２６】
通信制御部２２０は、データ通信部２１０が行うデータ通信を制御する。また、通信制御部２２０は、自端末に接続された周辺装置を識別する識別子を取得する制御を行う。具体的には、通信制御部２２０は、自端末に周辺装置が接続された場合に、当該周辺装置の個体ＩＤを読み出し要求を、データ通信部２１０を介して周辺装置側に送る。通信制御部２２０は、当該周辺装置から返送された個体ＩＤを、データ通信部２１０を介して受け取る。通信制御部２２０は、受け取った個体ＩＤを送信部２５０に送る。
【００２７】
受信部２３０は、認証処理に必要とする情報の収集指示をセキュリティ管理サーバ３００より受信する。受信部２３０が受信する当該収集指示は、セキュリティ管理サーバ３００で行われる認証判断用に収集すべき情報を通知するものである。当該収集指示には、認証処理に必要とする情報の種類を指定する情報が含まれる。
【００２８】
受信部２３０は、受信した当該収集指示を認証情報収集部２４０に送る。また、受信部２３０は、セキュリティ管理サーバ３００より認証処理の結果を受け取る。受信部２３０は、当該認証処理の結果を通信制御部２２０に送る。通信制御部２２０は、当該認証処理の結果が、アクセス認証が成功したことを示す内容、すなわち周辺装置の使用を許可する内容であった場合は、データ通信部２１０を介して当該情報を周辺装置１００に送信する。
【００２９】
認証情報収集部２４０は、受信部２３０より受け取った収集指示に基づいてセキュリティ管理サーバ３００で行われる認証処理に用いられる認証情報を収集する。この時、認証情報収集部２４０は、収集指示で指定されている種類の情報を認証情報として収集する。
【００３０】
例えば、認証処理に必要とする情報の種類として第１パスワード及び自端末のＯＳ（Operating System）の情報が収集指示内で指定されている場合は、認証情報収集部２４０は、これらの情報を収集する。第１パスワード等の情報は、図示せぬ表示部でパスワード入力用のダイアログを表示させ、ユーザからキーボード等を介してパスワードを入力させることで収集する。また、ＯＳ等の情報は、図示せぬ記憶部に記憶されている当該情報の場所にアクセスして収集する。認証情報収集部２４０は、収集したこれらの情報を認証情報として送信部２５０に送る。これら収集された認証情報は後述するセキュリティ管理サーバにおける認証処理で用いられる情報である。
【００３１】
送信部２５０は、通信制御部２２０より受け取った周辺装置の個体ＩＤを含めて使用許可要求を生成し、セキュリティ管理サーバ３００に送信する。ここで、使用許可要求とは、当該個体ＩＤで識別される周辺装置の使用許可をセキュリティ管理サーバ３００に対して要求するものであり、認証処理に必要とする情報の収集指示を要求するものである。なお、使用許可要求は、認証処理を行うセキュリティ管理サーバ３００に対して自端末に接続された周辺装置へのアクセス許可を要求するものでもあるため、アクセス認証要求と呼ぶこともある。また、送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する。
【００３２】
次に、セキュリティ管理サーバ３００の構成について説明する。セキュリティ管理サーバ３００は、受信部３１０と、収集指示生成部３２０と、認証処理部３３０と、送信部３４０と、を備える。
【００３３】
受信部３１０は、上記使用許可要求を受信する。受信部３１０は、受信した使用許可要求を収集指示生成部３２０に送る。また、受信部３１０は、上記認証情報を受信する。受信部３１０は、受信した認証情報を認証処理部３３０に送る。
【００３４】
収集指示生成部３２０は、受信部３１０より受け取った使用許可要求に基づいて、認証処理に必要とする情報の収集を指示する収集指示を生成する。具体的には、収集指示生成部３２０は、認証処理用に登録されている複数の種類の情報の中から、受信した使用許可要求に基づいて認証処理に必要とする情報の種類を選択し、当該種類を指定する情報を含めて上記収集指示を生成する。
【００３５】
なお、収集指示生成部３２０が上記認証処理に必要とする情報の種類を決定するためのアルゴリズムは様々なアルゴリズムが可能である。例えば、使用許可要求に含まれる周辺装置の個体ＩＤから当該周辺装置の種類（携帯型記憶装置、プリンタ、カードリーダ等）を特定し、装置の種類に基づいて認証処理に必要とする情報の種類を決定してもよい。また、収集指示生成部３２０は、別途設けられた現在時刻を算出する図示せぬ時刻算出部に問い合わせて使用許可要求を受信した時刻又は現在時刻を求め、認証処理に必要とする情報の種類を決定してもよい。例えば、当該周辺装置のユーザの仕事時間帯と異なる時間帯に使用許可要求が送られてきた場合は、正当なユーザではない者が周辺装置を不正に使用している可能性があるため、より多くの種類の情報を認証処理に必要とする情報として決定し、収集指示を生成しても良い。収集指示生成部３２０は、上記生成した収集指示を送信部３４０に送る。
【００３６】
認証処理部３３０は、受信部３１０より受け取った認証情報に基づいて当該周辺装置の使用を許可するかどうかの認証処理、換言すれば当該周辺装置へのアクセスを許可するかどうかの認証処理を行う。
【００３７】
具体的には、認証処理部３３０は、図示せぬ記憶部又は外部のデータベースに予め登録されている当該周辺装置に対応付けられた認証情報を参照し、受信部３１０より受け取った認証情報と一致するかどうかの比較処理を行う。認証処理部３３０は、これらの情報が一致した場合は、当該周辺装置の使用を許可する。一方、認証処理部３３０は、これらの情報が一致しない場合は、当該周辺装置の使用を許可しない。認証処理部３３０は、当該認証処理の結果を送信部３４０に送る。
【００３８】
送信部３４０は、収集指示生成部３２０より送られた収集指示をホスト端末２００に送信する。また、送信部３４０は、認証処理部３３０より送られた認証処理の結果をホスト端末２００に送信する。
【００３９】
次に本実施の形態１のセキュリティ管理システムの動作について説明する。図２は、セキュリティ管理システムにおける認証処理の流れを示すシーケンス図である。
【００４０】
第１に、ユーザにより周辺装置がホスト端末に接続された場合、ホスト端末は周辺装置が接続されたことを認識する（Ｓ１０１）。
【００４１】
ホスト端末は、周辺装置が接続されたことを認識すると当該周辺装置を識別する個体ＩＤを取得する。具体的には、通信制御部２２０は周辺装置に個体ＩＤ読み出し要求を出す（Ｓ１０２）。周辺装置の通信制御部１２０は、当該個体ＩＤ読み出し要求を受けると、記憶部１３０に記憶している個体ＩＤを読み出し、当該個体ＩＤをホスト端末側の通信制御部２２０に通知する（Ｓ１０３）。
【００４２】
通信制御部２２０が周辺装置より個体ＩＤを受け取ると、送信部２５０に当該個体ＩＤを渡し、送信部２５０は、当該個体ＩＤを含む使用許可要求を生成する（Ｓ１０４）。送信部２５０は、当該生成した使用許可要求をセキュリティ管理サーバ３００に送信する（Ｓ１０５）。
【００４３】
セキュリティ管理サーバ３００の受信部３１０が当該使用許可要求を受信し、収集指示生成部３２０は、当該使用許可要求に基づいてアクセス認証処理に必要とする情報の種類を決定し、当該種類を指定する情報を含めて収集指示を生成する。（Ｓ１０６）。送信部３４０は、収集指示生成部で生成された収集指示を送信する（Ｓ１０７）。
【００４４】
認証情報収集部２４０は、受け取った収集指示に基づいて、当該収集指示で指定されている種類の情報を収集する（Ｓ１０８）。送信部２５０は、認証情報収集部２４０で収集された認証情報を、セキュリティ管理サーバ３００に送信する（Ｓ１０９）。
【００４５】
セキュリティ管理サーバ３００は、受信部３１０で当該認証情報を受け、認証処理部３３０は、当該認証情報に基づいて認証処理を行う（Ｓ１１０）。送信部３４０は、認証処理部３３０における認証処理の結果をホスト端末に通知する（Ｓ１１１）。
【００４６】
ホスト端末の通信制御部２２０は、受信部２３０で受け取った上記認証処理の結果を周辺装置に通知する（Ｓ１１２）。周辺装置の通信制御部１２０は、受け取った認証処理の結果が、アクセス認証が成功したことを示している場合は、ホスト端末からの書き込み・読み込み要求といったアクセスを許可する（Ｓ１１３）。その後は、ホスト端末のデータ通信部２１０と周辺装置のデータ通信部１１０との間でデータ通信が行われる（Ｓ１１４）。
【００４７】
以上説明したように、本実施の形態１におけるセキュリティ管理システムは、セキュリティ管理サーバがホスト端末から周辺装置へのアクセスを許可するかどうかの認証処理を行う。そして、セキュリティ管理サーバは、第１に送られてきた使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する。このような構成としておくことで周辺装置の種類やその他の状況に応じて認証に要求するセキュリティレベルを変更することができる。
【００４８】
すなわち、一般的に、認証処理に必要とする情報の種類（項目）を増やせば増やすほどセキュリティレベルを向上させることができる一方で、多くのパスワード入力が要求されるなどユーザの利便性が低下する傾向がある。しかしながら、本実施の形態のセキュリティ管理システムでは、セキュリティ管理サーバが状況に応じて認証に必要とする情報の種類を決定して、これらの種類の情報収集を行わせることが可能であるためユーザの利便性を保ちつつ高いセキュリティレベルを維持することが可能となる。
【００４９】
（実施の形態２）
本発明の実施の形態２に係るセキュリティ管理システムは、周辺装置がセキュリティ管理サーバと通信を行う通信機能を有することを特徴とする。
【００５０】
実施の形態１のセキュリティ管理システムは、周辺装置がホスト端末に接続された場合にホスト端末がセキュリティ管理サーバにアクセスしてアクセス認証を求め、必要となる情報を収集する機能を有している。これらの機能等は一般的にセキュリティ管理ソフトウェアをホスト端末にインストールすることで実現される。
【００５１】
実施の形態１のセキュリティ管理システムでは、対象とする周辺装置が接続されうるホスト端末数が多い場合は、これらのホスト端末すべてに上記セキュリティ管理ソフトウェアをインストールしておく必要がある。例えば、周辺装置がＵＳＢメモリなど携帯型記憶装置である場合は、その装置の性質上接続されうるホスト端末数は非常に多くなることが想定され、これらのホスト端末全てに上記ソフトウェアをインストールしておくことは非常に労力を要する。また、オフラインのホスト端末では当該周辺装置を使用することができなくなり、また、使用の集中管理ができないため、さらなる労力が必要である。本実施の形態２のセキュリティ管理システムは、このような状況にも対応でき、周辺装置の利便性を向上させている。以下、図面を用いて詳細に説明する。
【００５２】
図３は、本実施の形態２のセキュリティ管理システムの概念を示す図である。無線通信機能を有する周辺装置４００が、パーソナルコンピュータ（ＰＣ）であるホスト端末５００に接続されている。また、セキュリティ管理サーバ６００は、複数の無線通信用のアクセスポイント７０１〜７０ｎと接続されている。周辺装置４００は、当該アクセスポイント７０１〜７０ｎのいずれかと無線通信を行うことで、セキュリティ管理サーバ６００と通信を行う。
【００５３】
図４は、周辺装置４００の具体例を示す図であり、ここではＵＳＢメモリを想定している。なお、本実施の形態２においては、周辺装置４００は具体的に携帯型記憶装置の一つであるＵＳＢメモリであるとして説明するがこれに限定するものではない。周辺装置として、ＣＤ−ＲＯＭドライブやＨＤＤ、プリンタやスキャナなど、ベースとなるＰＣ周辺機器に置き換えても良い。
【００５４】
図４において周辺装置（ＵＳＢメモリ）４００は、コネクタ４０１とコントローラＩＣ４０２とフラッシュメモリチップ４０３と無線通信制御回路４０４と無線通信用アンテナ４０５を備える。コネクタ４０１とコントローラＩＣ４０２は信号線４０６で、コントローラＩＣ４０２とフラッシュメモリチップは信号線４０７で、コントローラＩＣ４０２と無線通信制御回路４０４は信号線４０８でそれぞれ接続されており、互いにデジタル通信を行う。
【００５５】
コネクタ４０１は、ホスト端末（ＰＣ）との接続方式としてＵＳＢインタフェースを想定しているが、ＵＳＢインタフェースに限らずＩＥＥＥ１３９４、ＳＡＴＡやＳＣＳＩなどＰＣとデータのやり取りが可能なあらゆる方式を適用してもよい。当該コネクタ４０１がホスト端末に設けられた接続ポートに接続されることでホスト端末との間でデータ通信が開始され、仕様に応じてホスト端末より電力供給が行われる。
【００５６】
コントローラＩＣ４０２は、フラッシュメモリチップ４０３の制御、ＰＣとのインタフェース機能の実現、アクセス認証の流れの制御といった各種制御を行う。
【００５７】
無線通信制御回路４０４は、アクセスポイントと無線通信を行うための回路である。無線通信方式としては無線ＬＡＮ（ＩＥＥＥ ８０２．１１）を想定しているが、ＢｌｕｅｔｏｏｔｈやＲＦＩＤなど他の無線通信方式を使用しても良い。
【００５８】
フラッシュメモリチップ４０３内の記憶領域の一部には使用認証に必要なデータを収集するセキュリティプログラム及び自装置の個体ＩＤが記憶されている。この領域は接続されるＰＣ側からは書換え不可であり、読み込みも通常は不可に制御されている。
【００５９】
また、コントローラＩＣ４０２、フラッシュメモリチップ４０３、無線通信制御回路４０４の電源はコネクタ４０１を通してＰＣから供給されているが、外部から供給される構成であっても良いし、別途バッテリを設けても良い。
【００６０】
次に上記周辺装置４００を構成する各回路の具体的機能を図５のブロック図を併用しながら説明する。
【００６１】
図５は、本実施の形態２に係るセキュリティ管理システムのブロック図である。本実施の形態２に係るセキュリティ管理システムは、周辺装置４００と、ホスト端末５００と、セキュリティ管理サーバ６００と、無線通信用アクセスポイント７００（以下ＡＰと略す。）と、を含んで構成される。以下、各装置の具体的構成について説明する。但し、実施の形態１で説明した部分については一部説明を省略する。
【００６２】
周辺装置４００は、データ通信部４１０と、通信制御部４２０と、データ記憶部４３０と、使用許可要求生成部４４０と、認証情報収集部４５０と、無線受信部４６０と、無線送信部４７０と、を備える。ここで、データ通信部４１０が図４のコネクタ４０１に対応し、通信制御部４２０と使用許可要求生成部４４０と認証情報収集部４５０とが図４のコントローラＩＣ４０２に対応し、データ記憶部４３０が図４のフラッシュメモリチップ４０３に対応し、無線受信部４６０及び無線送信部４７０が図４の無線通信制御回路４０４に対応する。
【００６３】
データ通信部４１０は、接続されたホスト端末２００との間で通信制御部４２０における通信制御の下でデータ通信を行う。
【００６４】
通信制御部４２０は、データ通信部４１０が行うデータ通信を制御する。また、通信制御部４２０は、自装置がホスト端末と接続されたことを検知すると、使用許可要求生成部４４０に当該接続されたことを通知する。
【００６５】
また、通信制御部４２０は、後述するセキュリティ管理サーバ６００における認証処理が成功するまでは、ホスト端末５００から送られてくるデータ記憶部４３０に対するアクセス要求を受け付けない。一方、通信制御部４２０は上記認証処理が成功したことを示す情報を受け取った場合は、ホスト端末５００からのデータ記憶部４３０に記憶されているデータへのアクセスを許可する。
【００６６】
データ記憶部４３０は、データを記憶する。具体的には、データ記憶部４３０は、データの書き換えが可能なフラッシュメモリであることが多いがこれに限定されるものではない。また、データ記憶部４３０は、自装置４００を固有に識別する個体ＩＤが合わせて記憶されている。また、データ記憶部４３０は、後述する情報収集用のセキュリティプログラムが合わせて記憶されている。
【００６７】
使用許可要求生成部４４０は、通信制御部４２０より自装置がホスト端末と接続されたことを示す通知を受けると、自装置の使用許可をセキュリティ管理サーバに対して要求する情報である使用許可要求を生成する。
【００６８】
具体的には、使用許可要求生成部４４０は、データ記憶部４３０より個体ＩＤを読み込む。また、使用許可要求生成部４４０は、無線受信部４６０より自装置が無線通信可能なＡＰを識別する識別ＩＤを取得する。このような識別ＩＤには例えばＳＳＩＤ（Service Set Identifier）を用いることができる。以下、アクセスポイントの識別ＩＤはＳＳＩＤとして説明するがこれに限定されるものではない。使用許可要求生成部４４０は、当該情報が使用許可要求であることを示す識別子と個体ＩＤとＳＳＩＤを含めて使用許可要求を生成し、無線送信部４７０に送る。
【００６９】
認証情報収集部４５０は、無線受信部４６０より認証処理に必要とする情報の収集指示を受け取ると指示された情報の収集を開始する。具体的には、データ記憶部４３０より情報収集用のセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０とデータ通信部４１０を介してホスト端末５００に送り、ホスト端末５００のＣＰＵ上で当該プログラムを実行させることにより認証情報を収集する。認証情報収集部４５０は、収集した認証情報を無線送信部４７０に送る。
【００７０】
無線受信部４６０は、ＡＰから送信される各種情報を受信する。無線受信部４６０は、ＡＰとの無線接続処理時に当該ＡＰを識別するＳＳＩＤを受信し、当該受信したＳＳＩＤを使用許可要求生成部４４０に送信する。
【００７１】
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理に必要とする情報の収集指示を受信し、当該指示を認証情報収集部４５０に送る。ここで、当該収集指示には、認証情報の収集指示であることを示す識別子の他、認証処理に必要とする情報の種類が示されている。
【００７２】
また、無線受信部４６０は、ＡＰを介してセキュリティ管理サーバより通知された認証処理の結果を受信し、通信制御部４２０に送る。
【００７３】
無線送信部４７０は、使用許可要求生成部４４０より受け取った使用許可要求を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
【００７４】
また、無線送信部４７０は、認証情報収集部４５０より受け取った認証情報を、ＡＰを介してセキュリティ管理サーバ６００に送信する。
【００７５】
次に、ホスト端末５００について説明する。ホスト端末５００は、データ通信部５１０と、通信制御部５２０と、データ記憶部５３０と、プログラム実行部５４０と、を備える。
【００７６】
データ通信部５１０は、通信制御部４２０の通信制御の下で自端末に接続される周辺装置とデータ通信を行う。
【００７７】
通信制御部５２０は、データ通信部５１０におけるデータ通信を制御する。
【００７８】
データ記憶部５３０は、各種データを記憶する。データ記憶部５３０が記憶している情報としては、自端末で実行されているＯＳ（Operating System）の情報、自端末を識別するＩＤ（ＳＭＢＩＯＳ等から取得）、自端末のＨＷ構成（ＯＳ機能等を使用して取得）、といった情報が記憶されている。
【００７９】
プログラム実行部５４０は、所謂ＣＰＵ（Central Processing Unit）であり、システム管理を行うＯＳを実行するほか、データ通信部５１０、通信制御部５２０を介して周辺装置４００から送られる情報収集用のセキュリティプログラムを実行する。また、この時認証処理に必要とする情報の種類についての指示も合わせて送られ、プログラム実行部５４０は、当該セキュリティプログラムを実行することで、上記指定された種類の情報を収集する。具体的には、プログラム実行部５４０は、データ記憶部５３０に記憶されている各種データのうち、指示された種類の情報を読み込む。また、認証処理に必要とする情報としてユーザＩＤや当該ユーザＩＤに対応するパスワードが指示されている場合は、プログラム実行部５４０は、図示せぬインタフェースを介して画面表示部にユーザＩＤ及びパスワード入力画面を表示させユーザＩＤ及びパスワードをユーザに入力させることでこれらの情報を収集する。収集した情報は、通信制御部５２０及びデータ通信部５１０を介して周辺装置の認証情報収集部４５０に送られる。
【００８０】
次に、セキュリティ管理サーバ６００について説明する。セキュリティ管理サーバ６００は、受信部６１０と、認証処理部６２０と、収集指示生成部６３０と、管理テーブル記憶部６４０と、送信部６５０と、を備える。
【００８１】
受信部６１０は、周辺装置４００よりＡＰを介して自装置４００を使用することの許可を要求する使用許可要求を受信する。また、受信部６１０は、ＡＰを介して周辺装置４００より送信される認証情報を受信する。受信部６１０は、受信した使用許可要求及び認証情報を認証処理部６２０に送る。
【００８２】
認証処理部６２０は、周辺装置の使用を許可するかどうかの認証処理を行う。具体的には、認証処理部６２０は、受信部６１０より使用許可要求を受け取ると、当該使用許可要求に含まれる周辺装置を識別する個体ＩＤとＡＰを識別するＳＳＩＤの組み合わせが許可された組み合わせであるかどうかの第１の認証処理を行う。
【００８３】
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている許可する周辺装置の個体ＩＤとＡＰのＳＳＩＤと対応関係を記した第１管理テーブルを参照して上記第１認証処理を行う。図６に当該第１管理テーブルの一例を示す。第１管理テーブルには周辺装置（個体ＩＤ）毎に許可されているＡＰ（ＳＳＩＤ）が対応付けられている。認証処理部６２０は、上記第１認証処理の結果、周辺装置とＡＰの組み合わせが許可されたものであった場合は、収集指示生成部６３０に当該個体ＩＤとＳＳＩＤを通知する。
【００８４】
また認証処理部６２０は、受信部６１０より受け取った認証情報に基づいて周辺装置の使用を許可するかどうかの第２の認証処理を行う。
【００８５】
この時、認証処理部６２０は、管理テーブル記憶部６４０に記憶されている周辺装置の個体ＩＤと対応する認証情報との組み合わせを記した第２管理テーブルを参照して上記第２認証処理を行う。図７に当該第２管理テーブルの一例を示す。第２管理テーブルには周辺装置（個体ＩＤ）毎に対応付けられた認証情報が記されている。図７に示すように、認証情報としては、ユーザＩＤ、第１パスワード、第２パスワード、第３パスワード、セキュリティプログラムのバージョン情報、ホスト端末のＯＳ情報、ホスト端末のＨＷ情報が登録されている。
【００８６】
ここで、ＨＷ情報としては、ＢＩＯＳＲＥＶ、ＡＣＰＩｔａｂｌｅ、ＰＣＩＣｏｎｆｉｇ空間の情報、ＭＡＣアドレス、ＵＵＩＤ（Universally Unique Identifier）、ＧＰＩＯ（General Purpose Input/Output）設定、ＭＣＵＲｅｖと言った情報を認証情報として利用することができる。特にＳＭＢＩＯＳやＡＣＰＩｔａｂｌｅなどは、一般的に偽造の対象とされる可能性が低いことから偽造リスクが少なく、個体識別の観点から有力な認証情報となる。また、ＭＡＣアドレスやＢＩＯＳで生成されるＵＵＩＤもＨＷの個体識別という観点から有効な認証情報とすることができる。
【００８７】
認証処理部６２０は、第２の認証処理の結果、すなわち周辺装置の使用を許可するか許可しないかを示す情報を送信部６５０に送る。
【００８８】
収集指示生成部６３０は、第１認証処理を行った認証処理部６２０より個体ＩＤ及びＳＳＩＤを受け取ると、当該個体ＩＤの周辺装置に対する認証処理に必要とする情報の収集を指示する収集指示を生成する。この時、収集指示生成部６３０は、所定のアルゴリズムに従い、複数ある認証情報の中から認証処理に必要とする情報の種類を決定し、当該種類を含めて上記収集指示を生成する。
【００８９】
図８に当該収集指示の一例を示す。当該収集指示には、収集指示であることを識別する識別子、通知する周辺装置の個体ＩＤ、認証処理に必要とする情報の種類を示す情報が含まれる。認証処理に必要とする情報の種類を指定する情報は、具体的には収集指示生成部６３０が個体ＩＤ、ＳＳＩＤ、その他現在時刻等の情報を用いて所定のアルゴリズムに基づいて決定された種類が指定されている。図８の例では、ユーザＩＤ、第１パスワード、ホスト端末のＭＡＣアドレス、ホスト端末のＯＳ情報の４種類の情報が認証処理に必要とする情報として指定されている。
【００９０】
ここで、収集指示生成部６３０は、認証処理部６２０より受け取った個体ＩＤ及びＳＳＩＤ、その他図示せぬ時刻算出部から受け取った現在の時刻等の情報を用いて複数ある認証情報の中から認証処理に必要とする情報の種類を選択して決定する。
【００９１】
例えば、収集指示生成部６３０は、受け取った個体ＩＤより、周辺装置が携帯型記憶装置である場合はより高いセキュリティレベルが求められると判断し、より多くの情報が認証処理に必要とする決定を行っても良い。
【００９２】
また、収集指示生成部６３０は、個体ＩＤに対応付けされたＳＳＩＤ毎にセキュリティレベルを合わせて設定しておき、受け取ったＳＳＩＤに対応するセキュリティレベルに応じて必要とする情報の種類を決定しても良い。例えば、自宅やオフィスに設置されたＡＰから使用許可要求を受け取った場合は、第３者が不正に使用している可能性は低いため、このようなＡＰには低いセキュリティレベルを設定しておく。一方、外部のＡＰを介して使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、高いセキュリティレベルを設定しておいても良い。
【００９３】
また、当該周辺装置の使用が想定される時間帯を設定しておき、使用許可要求が送信された時刻が当該時間帯内であるかどうかに基づいて、認証処理に必要とする情報の種類を選択して決定してもよい。例えば、想定された時間帯以外に使用許可要求が送信された場合は、第３者による不正使用の可能性が高まるため、より多くの種類の情報を選択しても良い。
【００９４】
また、使用許可要求に個体ＩＤ及びＳＳＩＤに加えて他の情報が含まれる場合は、収集指示生成部６３０は、それらの情報も考慮に入れて認証処理に必要とする情報の種類を選択して決定してもよい。収集指示生成部６３０は、生成した収集指示を送信部６５０に送る。
【００９５】
管理テーブル記憶部６４０は、上記第１認証処理時に参照される第１管理テーブル及び第２認証処理時に参照される第２管理テーブルを記憶する。なお、第１管理テーブル及び第２管理テーブルは、１つのテーブルとして記憶されていても良い。
【００９６】
送信部６５０は、認証処理部６２０より受け取った認証処理の結果及び収集指示生成部６３０より受け取った収集指示をＡＰを介して周辺装置に送信する。
【００９７】
次に、本実施の形態２のセキュリティ管理システムの動作について説明する。図９は、本実施の形態２のセキュリティ管理システムの処理の流れを示すフローチャート図である。
【００９８】
ユーザにより周辺装置とホスト端末が接続されると、周辺装置内に電源が供給されてその機能を開始し、周辺装置は自装置がホスト端末に接続されたことを認識する（Ｓ２０１）。本実施の形態では通信制御部４２０が当該接続されたかどうかの認識を行う。なお、この時点では周辺装置の通信制御部４２０によるアクセス制御によりデータ記憶部４３０の記憶領域へのアクセスは禁止されている。
【００９９】
周辺装置は、ステップ２０１において自装置がホスト端末５００と接続されたことを認識すると、ＡＰ７００を介してセキュリティ管理サーバとアクセスを試み、続いて、使用許可要求生成部４４０は、自装置を使用できる状態にするために使用許可要求を生成する（Ｓ２０２）。なお、セキュリティ管理サーバにアクセスできなかった場合はその場で認証の手続きを終了し、従って周辺装置の使用は不可となる。ステップ２０２で生成された使用許可要求は、無線送信部４７０より、ＡＰを介してセキュリティ管理サーバに送信される（Ｓ２０３）。
【０１００】
セキュリティ管理サーバは、ステップ２０３で受け取った使用許可要求に基づいて当該使用許可要求が予め許可された使用許可要求であるかどうかについての第１認証処理を行う（Ｓ２０４）。具体的には、認証処理部６２０は、使用許可要求に含まれる個体ＩＤが許可されたものであるか、ＳＳＩＤが許可されたものであるか、及び個体ＩＤとＳＳＩＤの組み合わせが許可されたものであるか、といった判定を第１認証処理として行う。
【０１０１】
ステップ２０４における第１認証処理の結果、許可された使用許可要求であった場合は、収集指示生成部６３０は、第２認証処理で必要とする情報を収集するための収集指示を生成する（Ｓ２０５）。図７に示すように当該収集指示には、認証処理に必要とする情報の種類の一覧が含まれており、送信部６５０は、当該収集指示を周辺装置に送信する（Ｓ２０６）
【０１０２】
周辺装置は、セキュリティ管理サーバより収集指示を受け取ると、認証情報収集部４５０が、認証処理に必要とする情報を収集するための処理を開始する（Ｓ２０７〜Ｓ２１０）。具体的には、認証情報収集部４５０は、データ記憶部４３０に記憶されているセキュリティプログラムを読み込み、当該プログラムを通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０７）。また、認証情報収集部４５０は、セキュリティ管理サーバより受け取った収集指示の内容を通信制御部４２０及びデータ通信部４１０を介してホスト端末に送信する（Ｓ２０８）。なお、ステップ２０５とステップ２０６は順不同である。
【０１０３】
ホスト端末のプログラム実行部５４０は、ステップ２０５で受け取ったセキュリティプログラムを手動又は自動で実行し、ステップ２０６で指示された情報を収集する（Ｓ２０９）。プログラム実行部５４０はステップ２０９で収集した情報を通信制御部５２０及びデータ通信部５１０を介して周辺装置に送信する（Ｓ２１０）。認証情報収集部４５０は、ステップ２１０で送られた情報を受け取ることで認証情報の収集が完了する。当該収集された認証情報は無線送信部４７０よりＡＰを介してセキュリティ管理サーバに送信される（Ｓ２１１）。
【０１０４】
セキュリティ管理サーバの認証処理部６２０は、ステップ２１１で送信された認証情報に基づいて第２の認証処理を行う（Ｓ２１２）。当該認証処理の結果は、送信部６５０より周辺装置に通知される（Ｓ２１３）。周辺装置は、受け取った認証処理の結果を確認し、当該認証処理の結果が認証成功を示している場合は、通信制御部４２０はホスト端末からのアクセス要求ブロックを解除し、その後データ通信部間でデータ通信が行われる（Ｓ２１２）。すなわち、ＰＣ上で当該周辺装置の使用が可能となる。一方、認証処理の結果が認証失敗を示している場合は、通信制御部４２０が引き続きホスト端末からのアクセス要求をブロックするため、ホスト端末と自装置の間でのデータ通信は行われない。すなわち、周辺装置を使用することができないままとなる。
【０１０５】
以上説明したように、本実施の形態２における周辺装置は自ら無線通信機能を備え、使用認証を無線通信経由でセキュリティサーバ上にて行う。この時、認証処理のトリガとなる使用許可要求には、周辺装置を識別する個体ＩＤに加えて周辺装置が接続している無線通信用アクセスポイントを識別するＩＤが含まれる。当該アクセスポイントのＩＤによりセキュリティ管理サーバは、周辺装置の使用範囲を判別することができ、従って周辺装置の使用可能な領域を制御することができる。すなわち、周辺装置を予め定められた無線通信網のもとでのみ動作可能とさせることができ、使用想定外の場所へ持ち出されての意図しない使用を防止することができる。
【０１０６】
そして、セキュリティ管理サーバ上で認証条件の管理及び実際の使用認証を行うため、柔軟かつ複雑な条件の認証が可能になる。また、セキュリティ管理サーバ上で認証条件の管理を行うため、認証条件を変更する場合にいちいち管理下のすべての周辺装置を回収して設定変更を行うと言った労力を必要とせず、容易かつ迅速に変更することができる。すなわち、管理下の周辺装置について、認証条件などのセキュリティポリシーをセキュリティ管理サーバ上から一括して変更をかけることが可能であり、管理が容易になる。
【０１０７】
また、本実施の形態において認証情報を収集する認証情報収集部４５０は、自装置４００に内蔵されたセキュリティソフトをホスト端末側で実行させることで当該認証情報の収集を行う。従って、周辺装置が接続されるホスト端末（ＰＣ）については、特別なセキュリティソフトのインストールや管理が不要となり、また、ネットワーク接続も不要となる。従って、ホスト端末のセキュリティソフトのインストールの有無やネットワーク接続の有無に関わらず周辺装置の使用管理が可能となる。従って、高いセキュリティ及び周辺装置の使用柔軟性を高めることができる。
【０１０８】
以上説明したように本発明によれば、周辺装置（ＰＣ周辺機器）の使用許可を判断するセキュリティポリシーをセキュリティ管理サーバ上で管理することにより、多数のＰＣ周辺機器の管理を一括して簡単に実施できることができる。また、当該セキュリティポリシーをセキュリティ管理サーバ上で管理しているので、セキュリティポリシーの変更を瞬時に反映できるができる。更に、本発明ではセキュリティ管理サーバが、ＰＣ周辺機器の使用認証に複数のデータを組み合わせて認証処理を行うことができるため、使用者や使用条件により複雑かつ柔軟な条件設定ができる。
【０１０９】
また、本発明によれば、使用を許可するかどうかの判断材料として現在時刻を使用可能であり、周辺装置の使用可能な時間を制御可能とすることができる。ここで、使用許可の判断に用いる現在時刻は、例えば周辺装置が使用許可要求に含めて送信し、当該使用許可要求に含まれる現在時刻を用いても良いが、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることが望ましい。周辺装置の接続先ＰＣより現在時刻を取得する場合は、現在時刻を自由に変更可能なＰＣシステム時計から取得することになり、正確な判断が出来ない可能性がある点と、不要な通信トラフィックを生じるためである。一方、セキュリティ管理サーバに別途設けた現在時刻算出部より得られる現在時刻を用いることで正確な判断が可能となり、使用許可要求のデータ量も削減できる。
【０１１０】
このように、本発明によれば、使用場所・使用者・使用時刻・接続するＰＣ構成等に応じた周辺装置使用の認証を細かく設定できる。また、セキュリティ管理サーバが認証に必要とする情報を周辺装置に指示して収集させるため、使用場所・使用者・使用時刻・接続するＰＣ構成等をその時要求されるセキュリティレベルに合わせて柔軟に設定・変更できる。
【０１１１】
本発明は、企業の事業場内などＰＣ周辺機器（周辺装置）の使用条件を管理したい場合の他、一般家庭用に応用する事も可能である。
【０１１２】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
【０１１３】
例えば、使用許可要求に上記セキュリティプログラムのバージョン情報を含めて送信しても良い。セキュリティ管理サーバは、個体ＩＤとＳＳＩＤの確認に加えてプログラムのバージョン情報の確認を行ってもよい。この時、セキュリティ管理サーバは、上記受け取ったバージョンと予め設定されたバージョンとが一致しない場合は、認証処理を終了するよう構成しても良い。また、受け取ったバージョンが古い場合は、更新プログラムを当該周辺装置に配信し、周辺装置側の制御でアップデートを行えるよう構成しても良い。セキュリティ管理サーバは、周辺装置よりアップデートが成功したことを示すアップデート成功信号を受け取った場合は、認証処理を継続するよう構成しても良い。このような構成を更に備えることで、プログラムの偽造やプログラム破損による不正認証や認証ミスを防ぐことができる。
【０１１４】
また、セキュリティ管理サーバが認証処理に必要とする情報として生体情報を利用しても良い。例えば、セキュリティ管理サーバは、指紋、瞳孔パターン、静脈パターンなど周辺装置のユーザの生体情報を認証情報として記憶しておき、収集指示生成部が生成する収集指示で指定される種類の情報の中に上記生体情報を含めても良い。周辺装置又はホスト端末は、指紋センサや画像取得部など上記生体情報を検出する検出部を別途備え、上記生体情報の収集を指示された場合は、これらの情報を認証処理に用いられる認証情報として収集してもよい。セキュリティ管理サーバは、認証処理に必要とする情報を決定する所定のアルゴリズムに基づいて、極めて高いセキュリティが要求される場合などには、これら偽造が極めて困難な生体情報を送信するよう要求しても良い。
【０１１５】
また、セキュリティ管理サーバの収集指示生成部は、認証処理に必要とする情報の種類を決定するアルゴリズムとして様々なアルゴリズムを採用することができる。例えば、図１０に示すアルゴリズムのように、個別ＩＤより装置の種類を判定し（Ｓ３０１）、ＳＳＩＤより予め登録された位置範囲での使用であるかどうかを判定し、（Ｓ３０２）、現在時刻により予め登録された時間帯での使用であるかを判定し（Ｓ３０３）、上記種類を決定しても良い。この場合、管理テーブル記憶部には、周辺装置を識別する個別ＩＤ毎に、通常の使用位置範囲と使用時間帯とを第３管理テーブルとして記憶しておき、収集指示生成部は上記第３管理テーブルを参照して上記ステップ３０３及びステップ３０３の判定を行っても良い。
【０１１６】
なお、収集指示生成部は、上記種類を決定するアルゴリズムとして複数のアルゴリズムＡ〜Ｎを用いることができる。すなわち、予めユーザより設定された情報に基づいて受け取った個別ＩＤに対応するアルゴリズムを選択し、そのアルゴリズムに従ってＳＳＩＤや現在時刻その他の情報を利用して上記種類を決定しても良い。
【０１１７】
また、上記周辺装置の認証情報収集部、使用許可要求生成部、通信制御部、の各種機能やセキュリティ管理サーバの認証処理部、収集指示生成部の各種機能は、演算処理機能を有するＣＰＵ（Central Processing Unit）上でプログラムを実行することにより実現されていても良い。
【０１１８】
なお、上述したプログラムは、コンピュータ・システムがアクセス可能な様々な種類の記憶媒体に格納することが可能である。また、このプログラムは、通信媒体を介して伝達されることが可能である。ここで、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、ＲＯＭカートリッジ、バッテリバックアップ付きＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等が含まれる。また、通信媒体には、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等が含まれ、インターネットも含まれる。
【０１１９】
その他、本発明は以下の形態をとることが可能である。
【０１２０】
（１）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、を備えるアクセス認証サーバ。
（２）前記生成手段は、前記認証処理に必要とする情報の種類を指定する情報を含めて前記収集指示を生成する、（１）に記載のアクセス認証サーバ。
（３） 前記使用許可要求は、前記周辺装置を識別する第１識別子及び前記周辺装置の使用位置範囲を特定可能な第２識別子を含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子に基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（２）に記載のアクセス認証サーバ。
（４）前記使用許可要求に含まれる第２識別子は、前記周辺装置と無線通信を行っている無線通信アクセスポイント装置を識別する識別子である、（３）に記載のアクセス認証サーバ。
（５）現在時刻を算出する時刻算出手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子と前記算出された現在時刻とに基づいて、前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（６）前記認証手段は、前記使用許可要求に含まれる第１識別子で識別される周辺装置の使用を許可するかどうかの第１の認証処理を前記第１識別子及び前記第２識別子に基づいて行い、前記第１の認証処理をパスした前記周辺装置の使用を許可するかどうかの第２の認証処理を前記第２受信処理で受信した前記認証情報に基づいて行う、（３）乃至（５）のいずれか１項に記載のアクセス認証サーバ。
（７）前記認証手段は、前記第１の認証処理を、前記第１識別子と前記第２識別子と現在時刻とに基づいて行う、（６）に記載のアクセス認証サーバ。
（８）前記使用許可要求は、前記周辺装置と接続されたホスト端末を識別する第３識別子を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と第２識別子と第３識別子とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（９）前記使用許可要求は、時刻に関する情報を更に含み、前記生成手段は、前記使用許可要求に含まれる前記第１識別子と前記第２識別子と前記時刻に関する情報とに基づいて前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（３）又は（４）に記載のアクセス認証サーバ。
（１０）周辺装置と無線通信アクセスポイント装置との対応関係が登録されている第１管理テーブルを記憶する記憶手段を更に備え、前記生成手段は、前記使用許可要求に含まれる前記第１識別子及び前記第２識別子でそれぞれ識別される周辺装置及び無線通信アクセスポイント装置の組み合わせが前記第１管理テーブルに登録されている場合に前記認証処理に必要とする情報の種類を決定して前記収集指示を生成する、（４）に記載のアクセス認証サーバ。
（１１）前記記憶手段は、周辺装置と複数の認証情報とが対応付けられた第２管理テーブルを更に記憶し、前記生成手段は、前記第２管理テーブルに含まれる前記複数の認証情報の種類の中から、前記認証処理に必要とする情報の種類を選択して前記収集指示を生成する、（１０）に記載のアクセス認証サーバ。
（１２）前記認証処理手段は、前記第２受信処理で受信した認証情報と、前記第２管理テーブルに含まれる認証情報とを対比することで前記認証処理を行い、前記送信手段は、前記認証処理において前記第２受信処理で受信した認証情報と前記第２管理テーブルに含まれる認証情報とが一致した場合に認証処理が成功したことを示す情報を送信する、（１１）に記載のアクセス認証サーバ。
【０１２１】
また、ホスト端末については以下の構成をとることが可能である。
【０１２２】
（１３）自装置に接続された周辺装置とデータ通信を行うデータ通信手段と、前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した前記収集指示に基づいて、前記認証処理に用いられる認証情報を収集する認証情報収集手段と、前記周辺装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、を備えるホスト端末装置。
（１４）前記第１受信処理で受信した前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理で用いられる認証情報として収集する、（１３）に記載のホスト端末装置。
（１５）前記周辺装置を識別する第１識別子を取得する制御を行う制御手段を更に備え、
前記送信手段は、前記第１識別子を含めて前記使用許可要求を送信する第１の送信処理を行う、（１３）又は（１４）に記載のホスト端末装置。
【０１２３】
また、周辺装置は図１１に示すように、以下の構成をとることが可能である。ここで、周辺装置は、データ通信部７１０と、制御部７２０と、認証情報収集部７５０と、受信部７６０と、送信部７７０と、を備える構成とすることが可能である。具体的には、次の（１６）〜（２５）に示す構成とすることが可能である。
【０１２４】
（１６）自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、を備える周辺装置。
（１７）前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、（１６）に記載の周辺装置。
（１８）自装置を識別する第１識別子を記憶する記憶手段と、前記使用許可要求を生成する生成手段と、を更に備え、前記生成手段は、前記第１識別子を含めて前記使用許可要求を生成する、（１６）又は（１７）に記載の周辺装置。
（１９）前記記憶手段は、情報収集を行うセキュリティプログラムを更に記憶し、前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、（１８）に記載の周辺装置。
（２０）前記認証情報収集手段は、前記収集指示に含まれる前記認証処理に必要とする情報の種類を指定する情報を前記ホスト端末に通知し、指定された種類の情報を前記ホスト端末上で、前記セキュリティプログラムに収集させることにより前記認証処理に用いられる認証情報を収集する、（１９）に記載の周辺装置。
（２１）前記記憶手段はデータを記憶し、前記制御手段は、前記第２受信処理で受信した認証処理の結果に基づいて前記ホスト端末から前記記憶手段に記憶された前記データへのアクセスの許可又は拒否を制御する、（１８）乃至（２０）のいずれか１項に記載の周辺装置。
（２２）前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する、（１８）乃至（２１）のいずれか１項に記載の周辺装置。
（２３）前記第２識別子は、前記受信手段及び前記送信手段が無線通信を行っている無線通信アクセスポイントを識別する識別子である、（２２）に記載の周辺装置。
（２４）ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、前記生成した収集指示を送信し、前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を受信し、前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、前記認証処理の結果を送信する、アクセス認証方法。
（２５）自装置の使用許可を要求する使用許可要求を送信し、自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信し、前記受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集し、前記収集した認証情報を送信し、前記認証処理の結果を受信し、前記受信した認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御し、前記制御に従って前記ホスト端末とデータ通信を行う、周辺装置使用方法。
【符号の説明】
【０１２５】
１００ 周辺装置 １１０ データ通信部
１２０ 通信制御部 １３０ 記憶部
２００ ホスト端末 ２１０ データ通信部
２２０ 通信制御部 ２３０ 受信部
２４０ 認証情報収集部 ２５０ 送信部
３００ セキュリティ管理サーバ ３１０ 受信部
３２０ 収集指示生成部 ３３０ 認証処理部
３４０ 送信部 ４００ 周辺装置
４０１ コネクタ ４０２ コントローラＩＣ
４０３ フラッシュメモリチップ ４０４ 無線通信制御回路
４０５ 無線通信用アンテナ ４０６〜４０８ 信号線
４１０ データ通信部 ４２０ 通信制御部
４３０ データ記憶部 ４４０ 使用許可要求生成部
４５０ 認証情報収集部 ４６０ 無線受信部
４７０ 無線送信部 ５００ ホスト端末
５１０ データ通信部 ５２０ 通信制御部
５３０ データ記憶部 ５４０ プログラム実行部
６００ セキュリティ管理サーバ ６１０ 受信部
６２０ 認証処理部 ６３０ 収集指示生成部
６４０ 管理テーブル記憶部 ６５０ 送信部
７００-７０ｎ アクセスポイント
７１０ データ通信部 ７２０ 制御部
７５０ 認証情報収集部 ７６０ 受信部
７７０ 送信部
【特許請求の範囲】
【請求項１】
自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、
自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、
前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、
自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、
前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、
を備える周辺装置。
【請求項２】
前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、
請求項１に記載の周辺装置。
【請求項３】
自装置を識別する第１識別子を記憶する記憶手段と、
前記使用許可要求を生成する生成手段と、
を更に備え、
前記生成手段は、前記第１識別子を含めて前記使用許可要求を生成する、
請求項１又は請求項２に記載の周辺装置。
【請求項４】
前記記憶手段は、情報収集を行うセキュリティプログラムを更に記憶し、
前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、
請求項３に記載の周辺装置。
【請求項５】
前記認証情報収集手段は、前記収集指示に含まれる前記認証処理に必要とする情報の種類を指定する情報を前記ホスト端末に通知し、前記指定された種類の情報を前記ホスト端末上で、前記セキュリティプログラムに収集させることにより前記認証処理に用いられる認証情報を収集する、
請求項４に記載の周辺装置。
【請求項６】
前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する、
請求項３乃至請求項５のいずれか１項に記載の周辺装置。
【請求項７】
前記第２識別子は、前記受信手段及び前記送信手段が無線通信を行っている無線通信アクセスポイントを識別する識別子である、
請求項６に記載の周辺装置。
【請求項８】
ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、
前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、
前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、
前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、
を備えるアクセス認証サーバ。
【請求項９】
前記生成手段は、前記認証処理に必要とする情報の種類を指定する情報を含めて前記収集指示を生成する、
請求項８に記載のアクセス認証サーバ。
【請求項１０】
ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、
前記生成した収集指示を送信し、
前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を受信し、
前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、
前記認証処理の結果を送信する、
アクセス認証方法。
【請求項１】
自装置に接続されたホスト端末とデータ通信を行うデータ通信手段と、
自装置の使用を許可するかどうかの認証処理に必要とする情報の収集指示を受信する第１受信処理と、前記認証処理の結果を受信する第２受信処理と、を行う受信手段と、
前記第１受信処理で受信した収集指示に基づいて、前記認証処理で用いられる認証情報を収集する認証情報収集手段と、
自装置の使用許可を要求する使用許可要求を送信する第１送信処理と、前記認証情報収集手段で収集された前記認証情報を送信する第２送信処理と、を行う送信手段と、
前記第２受信処理で受信した前記認証処理の結果に基づいて前記ホスト端末から自装置へのアクセスの許可又は拒否を制御する制御手段と、
を備える周辺装置。
【請求項２】
前記収集指示は、前記認証処理に必要とする情報の種類を指定する情報を含み、
前記認証情報収集手段は、前記収集指示で指定される種類の情報を前記認証処理に用いられる認証情報として収集する、
請求項１に記載の周辺装置。
【請求項３】
自装置を識別する第１識別子を記憶する記憶手段と、
前記使用許可要求を生成する生成手段と、
を更に備え、
前記生成手段は、前記第１識別子を含めて前記使用許可要求を生成する、
請求項１又は請求項２に記載の周辺装置。
【請求項４】
前記記憶手段は、情報収集を行うセキュリティプログラムを更に記憶し、
前記認証情報収集手段は前記セキュリティプログラムを前記ホスト端末で実行させることで前記認証処理に用いられる認証情報を収集する、
請求項３に記載の周辺装置。
【請求項５】
前記認証情報収集手段は、前記収集指示に含まれる前記認証処理に必要とする情報の種類を指定する情報を前記ホスト端末に通知し、前記指定された種類の情報を前記ホスト端末上で、前記セキュリティプログラムに収集させることにより前記認証処理に用いられる認証情報を収集する、
請求項４に記載の周辺装置。
【請求項６】
前記生成手段は、前記自装置を識別する第１識別子と自装置の使用位置範囲を特定可能な第２識別子とを含めて前記使用許可要求を生成する、
請求項３乃至請求項５のいずれか１項に記載の周辺装置。
【請求項７】
前記第２識別子は、前記受信手段及び前記送信手段が無線通信を行っている無線通信アクセスポイントを識別する識別子である、
請求項６に記載の周辺装置。
【請求項８】
ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信する第１受信処理と、前記周辺装置の使用を許可するかどうかの認証処理に用いる認証情報を受信する第２受信処理と、を行う受信手段と、
前記第１受信処理で受信した使用許可要求に基づいて前記認証処理に必要とする情報の収集を指示する収集指示を生成する生成手段と、
前記第２受信処理で受信した前記認証情報を用いて前記認証処理を行う認証処理手段と、
前記生成した収集指示を送信する第１送信処理と、前記認証処理の結果を送信する第２送信処理と、を行う送信手段と、
を備えるアクセス認証サーバ。
【請求項９】
前記生成手段は、前記認証処理に必要とする情報の種類を指定する情報を含めて前記収集指示を生成する、
請求項８に記載のアクセス認証サーバ。
【請求項１０】
ホスト端末に接続された周辺装置の使用許可を要求する使用許可要求を受信し、
前記受信した使用許可要求に基づいて前記周辺装置の使用を許可するかどうかの認証処理に必要とする情報の収集を指示する収集指示を生成し、
前記生成した収集指示を送信し、
前記収集指示に基づいて収集された前記認証処理に用いられる認証情報を受信し、
前記受信した認証情報を用いて前記周辺装置の使用を許可するかどうかの認証処理を行い、
前記認証処理の結果を送信する、
アクセス認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１３−２５３９１（Ｐ２０１３−２５３９１Ａ）
【公開日】平成２５年２月４日（２０１３．２．４）
【国際特許分類】
【出願番号】特願２０１１−１５６９４７（Ｐ２０１１−１５６９４７）
【出願日】平成２３年７月１５日（２０１１．７．１５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００１６８２８５）エヌイーシーコンピュータテクノ株式会社 (572)
【Ｆターム（参考）】
【公開日】平成２５年２月４日（２０１３．２．４）
【国際特許分類】
【出願日】平成２３年７月１５日（２０１１．７．１５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００１６８２８５）エヌイーシーコンピュータテクノ株式会社 (572)
【Ｆターム（参考）】
[ Back to top ]