権限管理システム、認証サーバ、権限管理方法および権限管理プログラム
【課題】分散情報および分散情報を用いて復元された秘密情報の漏洩を防止し、より適切にユーザの権限を管理する。
【解決手段】認証サーバ２は、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバ３に送信し、アドレスに対応する分散情報を用いて秘密情報の復号に成功したか否かの成否結果を秘密管理サーバ３から取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【解決手段】認証サーバ２は、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバ３に送信し、アドレスに対応する分散情報を用いて秘密情報の復号に成功したか否かの成否結果を秘密管理サーバ３から取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの権限を管理する権限管理技術に関する。
【背景技術】
【０００２】
近年、秘密分散法を用いたセキュリティ技術が研究されている。例えば、非特許文献１には、秘密分散法を用いて暗号を多重化する方法が記載されている。秘密分散法は、秘密情報を複数の分散情報（分割データ）に分割し、所定の数以上の分散情報を集めた場合にのみ元データの秘密情報に復元できるセキュリティ技術である。
【０００３】
また、特許文献１には、秘密分散法を用いて分割された分散情報の漏洩を、ユーザＩＤおよびパスワードを用いて防止する認証技術が記載されている。
【特許文献１】特開２００３−３３３０２８
【非特許文献１】岡本龍明著，「現代暗号」，産業図書，１９９７年，ｐ．２１６
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、秘密分散法では、所定の数以上の分散情報を集めないと秘密情報を復元することができない。しかしながら、所定の数以上の分散情報を一旦集めた後は、これらの分散情報を用いて秘密情報の復元を何度でも行うことができる。また、分散情報を用いて復元される秘密情報が、ユーザにとってアクセス可能な装置上で復元された場合、秘密情報が漏洩し、不正目的で再使用される危険性がある。なお、特許文献１に記載された認証技術では、これらについて考慮されていない。
【０００５】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、分散情報および分散情報を用いて復元された秘密情報の漏洩を防止し、より適切にユーザの権限を管理することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明では、分散情報のアドレスを示すトークンを用いて、各ユーザに割り当てられた分散情報の使用権限を管理する。
【０００７】
例えば、第１の本発明は、複数のユーザの権限を管理する認証サーバと、複数のユーザ各々が使用する複数の端末と、を有する権限管理システムであって、ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有する。そして、端末各々は、分散情報のアドレスを示すデータであるトークンを記憶する記憶手段と、当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、認証サーバから受信し、記憶手段に記憶するトークン受信手段と、記憶手段に記憶された自トークンを認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡手段と、所定の操作権限である特権アカウントを要求する要求メッセージを、記憶手段に記憶されたトークンとともに認証サーバに送信する要求メッセージ送信手段と、を有する。認証サーバは、ユーザ毎に、当該ユーザの自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成手段と、端末各々から送信された自トークンを、他ユーザの他端末に転送する転送手段と、要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、秘密情報を復号する外部システムに送信するアドレス送信手段と、外部システムがアドレスに対応する分散情報を用いて秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【０００８】
また、第２の本発明は、複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムであって、秘密情報は、暗号化された複数の分散情報に分割され、ユーザ各々は、当該ユーザに割り当てられたいずれかの分散情報の使用権限を有する。そして、認証サーバは、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバに送信し、秘密管理サーバから秘密情報の復号に成功したか否かの成否結果を取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに特権アカウントを付与するアカウント付与手段と、を有する。そして、秘密管理サーバは、複数の分散情報を管理するための分散情報管理データベースと、認証サーバの取得手段からアドレスを受信し、分散情報管理データベースを参照してアドレスに対応する分散情報を取得し、当該分散情報を用いて秘密情報を復号する復号手段と、復号手段が行った復号が成功したか否かの成否結果を、認証サーバに送信する送信手段と、を有する。
【０００９】
また、第３の本発明は、ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける認証サーバであって、秘密情報は、暗号化された複数の分散情報に分割され、ユーザ各々は、当該ユーザに割り当てられたいずれかの分散情報の使用権限を有する。そして、認証サーバは、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバに送信し、アドレスに対応する分散情報を用いて秘密情報の復号に成功したか否かの成否結果を秘密管理サーバから取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【発明の効果】
【００１０】
本発明では、分散情報を用いて復元された秘密情報の漏洩を防止することで、より適切にユーザの権限を管理することにある。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について説明する。
【００１２】
図１は、本発明の一実施形態が適用された権限管理システムの全体構成図である。
【００１３】
図示するように、本実施形態の権限管理スシステムは、複数の認証端末１と、認証サーバ２と、秘密管理サーバ３と、ＶＰＮ装置４とを有する。認証端末１各々は、インターネットなどのネットワーク５により、認証サーバ２と接続されている。なお、認証サーバ２が後述する個人認証処理を行った後は、ネットワーク５内でＶＰＮ（Virtual Private Network）が生成され、ＶＰＮ装置４を介してデータの送受信が行われる。また、認証サーバ２と、秘密管理サーバ３とは、例えば専用線（または、ＬＡＮ）６などにより接続されている。
【００１４】
認証端末１各々は、各ユーザが使用する端末装置である。各ユーザは、当該ユーザにあらかじめ割り当てられた分散情報の使用権限を有するものとする。なお、分散情報は、秘密情報を所定の方法により複数に分割したものである。認証サーバ２は、各ユーザの権限を管理する。秘密管理サーバ３は、所定の数の分散情報から秘密情報を復元する。
【００１５】
ＶＰＮ装置４は、ＶＰＮを利用した通信を行うための装置である。ＶＰＮは、インターネットなどのネットワーク５内に構築された仮想専用線である。ＶＰＮでは、通信拠点間を専用線のように相互に接続するため、機密性の高い通信を実現することができる。ＶＰＮ装置４はＶＰＮセッション（コネクション）の生成および管理を行う。
【００１６】
次に、認証端末１について、より詳細に説明する。
【００１７】
図２は、認証端末１の機能構成を示した図である。認証端末１は、図示するように、入力受付部１１と、処理部１２と、出力部１３と、記憶部１４と、を有する。入力受付部１１は、入力装置（不図示）を用いて入力された各種の操作指示を受け付ける。処理部１２は、入力受付部１１が受け付けた指示に応じた処理を行う。出力部１３は、各種の情報を出力装置（不図示）に出力する。記憶部１４には、認証サーバ２から送信されたトークン（不図示）が記憶されている。トークンは、分散情報の格納場所であるアドレス（ポインタ）が設定されたデータである。なお、トークンについては後述する。
【００１８】
次に、認証サーバ２について、より詳細に説明する。
【００１９】
図３は、認証サーバ２の機能構成を示した図である。認証サーバ２は、図示するように、認証部２１とトークン管理部２２と、監視部２３と、記憶部２５と、を有する。認証部２１は、各ユーザから送信された認証情報に基づいて、ユーザの個人認証を行う。トークン管理部２２は、ユーザ毎にトークンを生成し、管理する。監視部２３は、トークンの譲渡状況、および、各認証端末から送信された操作内容を、認証端末に送信する。
【００２０】
記憶部２５には、認証ＤＢ２６と、管理ＤＢ２７とが記憶されている。認証ＤＢ２６は、各ユーザの正当性を認証（判別）するためのデータベースである。認証ＤＢ２６には、ユーザ毎に、ユーザＩＤと、認証情報のハッシュ値とが記憶されている。なお、本実施形態では、認証情報としてユーザＩＤとパスワードとを用いることとする。管理ＤＢ２７は、トークン管理部２２が生成したトークンを記憶するデータベースである。トークン管理ＤＢ２７には、ユーザ毎に生成したトークン、および、暗号化したトークンのハッシュ値が、記憶されている。
【００２１】
次に、秘密管理サーバ３について、より詳細に説明する。
【００２２】
図４は、秘密管理サーバ３の機能構成を示した図である。秘密管理サーバ３は、図示するように、分散情報生成部３１と、分散情報復号部３２と、データ管理部３３と、記憶部３４と、を有する。
【００２３】
分散情報生成部３１は、秘密分散法を用いて、秘密情報（元データ）を暗号化しながら複数の分散情報に分割する。なお、生成された分散情報各々の使用権限は、各ユーザにあらかじめ割り当てられているものとする。分散情報復号部３２は、分散情報を一定の数だけ揃えた場合、各分散情報から秘密情報（元データ）を復元する。データ管理部３３は、記憶部３４に記憶された分散情報管理ＤＢ３５から、分散情報のアドレスを検索する。
【００２４】
記憶部３４には分散情報管理ＤＢ３５が記憶されている。分散情報管理ＤＢ３５は、分散情報生成部３１が生成した各分散情報の格納場所であるアドレス（ポインタ）を記憶したデータベースである。本実施形態の分散情報管理ＤＢ３５は、分散情報毎に、アドレスと分散情報自体とが対応付けられて記憶されているものとする。しかしながら、本発明はこれに限定されず、分散情報自体については、他のコンピュータ装置（不図示）に格納されている場合であってもよい。例えば、分散情報管理ＤＢ３５は、分散情報自体を格納する替わりに、分散情報が格納されているＵＲＬ（Uniform Resource Locator）を設定することとしてもよい。なお、アドレスにはユーザＩＤが含まれているものとする。
【００２５】
上記説明した、認証端末１、認証サーバ２、および、秘密管理サーバ３は、いずれも、例えば図５に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワーク接続するための通信制御装置９０６と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。
【００２６】
例えば、認証端末１、認証サーバ２、および、秘密管理サーバ３の各機能は、認証端末１用のプログラムの場合は認証端末１のＣＰＵ９０１が、認証サーバ２用のプログラムの場合は認証サーバ２のＣＰＵ９０１が、そして、秘密管理サーバ３用のプログラムの場合は秘密管理サーバ３のＣＰＵ９０１が、それぞれ実行することにより実現される。なお、認証端末１の記憶部１４には、認証端末１のメモリ９０２または外部記憶装置９０３が、認証サーバ２の記憶部２５には、認証サーバ２のメモリ９０２または外部記憶装置９０３が、そして、秘密管理サーバ３の記憶部３４には、秘密管理サーバ３のメモリ９０２または外部記憶装置９０３が用いられる。また、外部記憶装置９０３、入力装置９０４および出力装置９０５については、各装置が必要に応じて備えるものとする。
【００２７】
次に、本システムの処理の概要を説明する。
【００２８】
本実施形態では、秘密管理サーバ３は、秘密分散法の１つである（Ｋ，Ｎ）閾値法を用いて、秘密情報を複数の分散情報に分割するものとする。（Ｋ，Ｎ）閾値法は、秘密情報を暗号化しながらＮ個の分散情報に分割し、Ｋ（Ｋ≦Ｎ）個以上集めた場合にのみ秘密情報を復元できるようにする方法である。
【００２９】
図６は、本システムの処理を模式的に示した図である。なお、本実施形態では、秘密情報を４（Ｎ＝４）個の分散情報に分割し、分散情報を３（Ｋ＝３）個以上集めた場合にのみ復元することができる（３，４）閾値法の場合を例に、以下説明する。
【００３０】
図示する例では、４つの分散情報各々の使用権限は、ユーザＡ、ユーザＢ、ユーザＣ、および、ユーザＤが、それぞれ有するものとする。そして、各ユーザは、それぞれの認証端末（認証端末Ａ、認証端末Ｂ、認証端末Ｃおよび認証端末Ｄ）を用いて、認証サーバ２にアクセスする。そして、認証サーバ２は、各認証端末から送信された認証情報を用いて、各ユーザが正当なユーザか否か判別する個人認証を行う（Ｓ１０）。
【００３１】
正当なユーザであると判別した場合、認証サーバ２は、各ユーザに割り当てられた分散情報のアドレスが設定されたトークンを生成し、各認証端末に送信する。ユーザは、トークンを取得することにより、当該トークンに示された分散情報の使用権限を行使（所有）することができる。
【００３２】
そして、ユーザは、認証サーバ２から受信した当該ユーザ用のトークンを、他のユーザに譲渡することができる。これにより、ユーザは、自分の分散情報の使用権限を、他のユーザに権限委譲する。図示する例では、ユーザＡおよびユーザＣは、認証端末Ａおよび認証端末Ｃを用いて、ユーザＡのトークン８ＡおよびユーザＣのトークン８Ｃを、ユーザＢの認証端末Ｂに譲渡する（Ｓ３０）。
ユーザＢは、譲渡されたトークンにより他ユーザの分散情報を使用する権限を有する。本実施形態では（３，４）閾値法を用いているため、ユーザＢは、３つ以上の分散情報の使用権限を有する場合、秘密情報を復号することができる権限を有する。すなわち、ユーザＢは、３つ以上のトークンを保有した場合、全ユーザの集合権限である特権アカウントを有する特権ユーザに昇格することができる。
【００３３】
図示する例では、ユーザＢは、自分のトークン８Ｂと、譲渡されたユーザＡおよびユーザＢの２つのトークン８Ａ、８Ｃを所有している。そのため、ユーザＢは、認証端末Ｂを用いて、取得した３つのトークンを認証サーバ２に送信する。そして、認証サーバ２は、認証端末Ｂから受信したトークンの集合認証を行う（Ｓ５０）。すなわち、認証サーバ２は、受信したトークン各々のアドレスを秘密管理サーバ３に送信する。そして、認証サーバ２は、秘密管理サーバ３から秘密情報の復元に成功したか否かの成否結果を受信し、成否結果に応じてユーザＢに特権アカウントを付与するか否かを決定する。
【００３４】
なお、ユーザＢはこの時点において３つのトークンを保有しているため、秘密管理サーバ３は復元に成功する。そして、認証サーバ２は、ユーザＢに特権アカウントを付与する。ユーザＢは、特権アカウントを取得することにより、全ユーザからの権限を委譲されたものとみなされ特権ユーザに昇格する。そして、特権ユーザとなったユーザＢは、一般ユーザには認められていないシステム管理を行う権限を取得する。例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００３５】
また、自身のトークンを他ユーザに譲渡したユーザＡ（またはユーザＣ）は、トークンの譲渡をキャンセル（トークンの引き戻し）をすることができる（Ｓ７０）。すなわち、ユーザＡは、認証端末Ａを用いて、認証サーバ２にトークン８Ａのキャンセル指示を送信する。そして、認証サーバ２は、ユーザＡの認証端末Ａにトークン８Ａを送信し、この状態で再度、集合認証（Ｓ５０）を行う。この場合、ユーザＢが取得しているトークンは、自身のトークン８ＢとユーザＣのトークン８Ｃの２つである。すなわち、トークンの数は３個未満であるため、秘密管理サーバ３は、秘密情報を復号することができない。したがって、認証サーバ２は、ユーザＢの特権アカウントを消滅させる。これにより、ユーザＢは、特権ユーザから一般ユーザに降格する。
【００３６】
次に、図６で説明した個人認証処理（Ｓ１０）、トークン譲渡処理（Ｓ３０）、集合認証処理（Ｓ５０）、キャンセル処理（Ｓ７０）の各処理について、より詳細に説明する。
【００３７】
図７は、個人認証処理（図６：Ｓ１０）の処理フロー図である。
【００３８】
ユーザは、認証端末１の入力装置を用いて、当該ユーザの認証情報を入力する。本実施形態では、認証情報にユーザＩＤとパスワードとを用いることとする。そして、認証端末１の入力受付部１１は、ユーザから入力された認証情報を受け付ける。そして、処理部１２は、受け付けた認証情報を、ネットワーク５を介して認証サーバ２に送信する（Ｓ１１）。
【００３９】
認証サーバ２の認証部２１は、認証情報を受信し、受信した認証情報のハッシュ値を算出する（Ｓ１２）。すなわち、認証部２１は、ユーザＩＤおよびパスワードの認証情報から固定長の疑似乱数を生成する。そして、認証部２１は、算出したハッシュ値が、記憶部２５の認証ＤＢ２６に記憶された当該ユーザのハッシュ値と一致するか否かを照合する（Ｓ１３）。なお、認証ＤＢ２６に認証情報自体を記憶することなく、認証情報のハッシュ値を記憶することにより、認証情報の漏洩を防止することができる。
【００４０】
そして、ハッシュ値が一致した場合、認証部２１は、ＶＰＮの生成をＶＰＮ装置４に指示する（Ｓ１４）。ＶＰＮ装置４は、認証サーバ２からの指示を受け付けて、ネットワーク５内でＶＰＮを生成し、認証サーバ２と認証端末１間のＶＰＮセッションを確立する。なお、ＶＰＮセッションの確立後、認証サーバ２と認証端末１間では、ＶＰＮ装置４を経由したＶＰＮによりメッセージの送受信が行われる。そして、認証サーバ２の認証部２１は、ＶＰＮ装置４を介して、認証結果（ハッシュ値が一致したか否かの照合結果）を認証端末１に送信する（Ｓ１５）。
【００４１】
認証端末１の処理部１２は、認証結果を受信する（Ｓ１６）。図示する例では、認証に成功（すなわち、ハッシュ値が一致）したものとする。なお、Ｓ１３において認証に失敗した場合（すなわち、認証ＤＢのハッシュ値と一致しない場合）、処理部１２は、出力部１３を制御して、認証に失敗したことを示すエラーメッセージを出力装置に出力し、本個人認証処理を終了する。
【００４２】
そして、認証端末１の入力受付部１１は、ユーザが入力装置を用いて入力したトークン要求指示の入力を受け付ける。そして、処理部１２は、トークン要求メッセージを、ＶＰＮ装置４を介して認証サーバ２に送信する（Ｓ１７）。
【００４３】
そして、認証サーバ２のトークン管理部２２は、トークン要求メッセージを受け付けると、秘密管理サーバ３にアクセスして、当該ユーザが使用権限を有する分散情報の格納場所を取得する（Ｓ１８）。すなわち、トークン管理部２２は、ユーザＩＤを検索キーとして、当該ユーザに割り当てられた分散情報の格納場所であるアドレス（ポインタ）を要求する。秘密管理サーバ３のデータ管理部３３は、分散情報管理ＤＢ３５に記憶されている当該ユーザＩＤを含むアドレスを検索し、検索したアドレスを認証サーバ２に送信する。
【００４４】
そして、認証サーバ２のトークン管理部２２は、分散情報のアドレスを含むトークンを生成する（Ｓ１９）。すなわち、トークン管理部２２は、分散情報のアドレス、有効期限およびセッション番号を含むトークンを生成する。なお、トークンのデータ構造については後述する。
【００４５】
そして、トークン管理部２２は、生成したトークンを、Ｓ１１で認証端末１から送信された認証情報を用いて暗号化し、暗号化したトークンのハッシュ値を算出する（Ｓ２０）。そして、トークン管理部２２は、暗号化前のトークンと算出したハッシュ値とを、トークン管理ＤＢ２７に記憶する。
【００４６】
そして、トークン管理部２２は、暗号化したトークンを、ＶＰＮ装置４を介して、認証端末１に送信する（Ｓ２１）。そして、認証端末１の処理部１２は、認証サーバ２から暗号化されたトークンを受信し、受信したトークンを記憶部１４に記憶する（Ｓ２２）。
【００４７】
なお、Ｓ２０において、トークンを要求したユーザの認証情報を用いてトークンを暗号化することにより、当該認証情報を入力したユーザ以外は、暗号化されたトークンを復号することができない。また、暗号化したトークンのハッシュ値をトークン管理ＤＢ２７に記憶することで、トークンが改ざんされた場合、トークン管理部２２はトークの改ざんを容易に検知することができる。
【００４８】
図８は、トークン（暗号化前）のデータ構造の一例を示した図である。
【００４９】
図示するトークンは、ユーザＩＤ８１と、秘密情報ＩＤ８２と、分割情報番号８３と、有効期限８４と、セッション番号８５と、譲渡相手８６とを有する。図７のＳ１８において秘密管理サーバ３から取得する分散情報のアドレスには、本実施形態では、ユーザＩＤ８１、秘密情報ＩＤ８２、および、分割情報番号８３を用いることとする。秘密情報ＩＤ８２は、秘密管理サーバ３の分散情報生成部３１が設定するユニークな識別番号であって、例えば、各秘密情報から分散情報を生成した順番（連番）などを用いることができる。分割情報番号８３は、分散情報生成部３１が秘密情報を分散情報に分割した際に設定される、各分散情報内でユニークな識別番号である。本実施形では、４つの分散情報に分割するため、１から４のいずれかの値が設定される。
【００５０】
有効期限８４は、トークンが使用可能な期限が設定される。認証サーバ２のトークン管理部２２は、トークン要求メッセージを受信した日時に、所定の期間を加えた日時を有効期限８４に設定する。セッション番号８５は、トークンを識別するためにトークン管理部２２が設定する識別番号であって、例えば、認証サーバ２のプロセスＩＤやスレッド番号などを用いることができる。譲渡相手８６には、次に説明するトークン譲渡処理において、トークンを譲渡した他ユーザのユーザＩＤが設定される。なお、トークン譲渡処理が行われるまでは、譲渡相手８６はスペース（空白）である。
【００５１】
次に、トークン譲渡処理（図６：Ｓ３０）について説明する。
【００５２】
図９は、トークン譲渡処理の処理フロー図である。トークン譲渡処理は、認証端末１（ユーザ）が自分のトークンを取得した後に行われる処理である。なお、図示するトークン譲渡処理は、ユーザＡがユーザＢにトークンを譲渡する場合を例に説明する。また、ユーザＡが使用する認証端末１は認証端末Ａ、ユーザＢが使用する認証端末１は認証端末Ｂとする。
【００５３】
まず、ユーザＡは、自分のトークン（以下、「トークンＡ」）を、ユーザＢに譲渡するトークン譲渡指示を、入力装置を用いて認証端末Ａに入力する。なお、トークン譲渡指示を入力するための入力画面については後述する。そして、認証端末Ａの入力受付部１１はは、譲渡相手（ユーザＢ）のユーザＩＤを含むトークン譲渡指示を受け付ける。そして、処理部１２は、記憶部１４に記憶されたトークンＡ（暗号化状態）と、譲渡相手であるユーザＢのユーザＩＤと、を含むトークン譲渡メッセージを、ＶＰＮ装置４を介して認証サーバ２に送信する（Ｓ３１）。そして、処理部１２は、記憶部１４に記憶されたトークンＡを削除する。
【００５４】
なお、ユーザＡは、トークン譲渡指示において、トークンの有効期限を入力することとしてもよい。この場合、トークン譲渡メッセージには、入力された有効期限が含まれる。
【００５５】
認証サーバ２のトークン管理部２２は、トークン譲渡メッセージを受信し、当該トークン譲渡メッージに含まれるトークンＡのハッシュ値を算出する。そして、トークン管理部２２は、トークン管理ＤＢ２７に記憶されたトークンＡのハッシュ値と、算出したハッシュ値とを照合する（Ｓ３２）。ハッシュ値が一致しない場合、トークン管理部２２は、認証端末Ａから送信されたトークンＡが改ざんされたものと判別し、本処理を終了する。一方、ハッシュ値が一致する場合、トークン管理部２２は、暗号化されたトークンＡをユーザＡの認証情報を用いて復号する（Ｓ３３）。なお、ユーザＡの認証情報は、前述の個人認証処理（図７参照）のＳ１１で送信されたユーザＡのユーザＩＤおよびパスワードであって、記憶部２５に一時的に記憶されているものとする。
【００５６】
そして、トークン管理部２２は、トークン譲渡メッセージに含まれる譲渡相手のユーザＩＤを、復号したトークン（図８参照）の譲渡相手８６に追加する（Ｓ３４）。なお、トークン譲渡メッセージに有効期限が含まれている場合は、当該有効期限を復号したトークンの有効期限８４に設定（更新）する。
【００５７】
そして、トークン管理部２２は、更新したトークンＡを、ユーザＡの認証情報を用いて暗号化し、暗号化したトークンＡのハッシュ値を算出する（Ｓ３５）。そして、トークン管理部２２は、個人認証処理（図７：Ｓ２０）においてトークン管理ＤＢ２７に記憶されたトークンＡおよびハッシュ値を更新する。
【００５８】
そして、トークン管理部２２は、暗号化したトークンＡを、ＶＰＮ装置４を介してユーザＢの認証端末Ｂに送信する（Ｓ３６）。そして、認証端末Ｂの処理部１２は、認証サーバ２から暗号化されたトークンＡを受信し、受信したトークンＡを記憶部１４に記憶する（Ｓ３７）。なお、認証端末Ｂは、図７に示す個人認証処理で認証サーバ２のログインし、ＶＰＮセッションが確立されているものとする。
【００５９】
図１０は、トークン譲渡指示入力画面の一例を示す図である。
【００６０】
図示する入力画面は、図９のＳ３１において、ユーザＡがトークンＡをユーザＢに譲渡する場合の入力画面例である。本画面は、現時点におけるトークンの譲渡状況を示すステータス表示欄１０１と、端末入力欄１０２と、ユーザＩＤ入力欄１０３と、有効時間入力欄１０４と、実行ボタン１０５と、を有する。
【００６１】
図示するステータス表示欄１０１では、ユーザＢに譲渡されたトークンが現時点で２個であることを示している。端末入力欄１０２には、譲渡するトークンの送信先認証端末の識別情報が入力される。図示する例では、認証端末Ｂの識別情報（TerminalＢ）が入力されている。ユーザＩＤ入力欄１０３には、トークンの譲渡相手のユーザＩＤが入力される。図示する例では、ユーザＢのユーザＩＤ（UserＢ）が入力されている。有効時間には、必要に応じて、譲渡するトークンの有効時間または有効期限が入力される。実行ボタン１０５は、各入力欄への入力完了後にトークン譲渡指示を送信するためのための操作ボタンである。
【００６２】
なお、図１０のステータス表示欄１０１以外の表示画面を用いて、トークンの譲渡状況を示すこととしてもよい。
【００６３】
図１１は、トークンの譲渡状態を、ペトリネットモデルを用いて示した図である。ぺトリネットモデルは、システムにおける情報・信号の流れをモデル化したものである。図示する例では、図６に示すように、ユーザＡおよびユーザＣが、各自のトークンをユーザＢに譲渡することにより、所定のユーザに３つのトークンが集まったこと示している。そのため、本実施形態の（３，４）閾値法において、所定のユーザは、特権アカウントを有することを、図示するペトリネットモデルは示している。
【００６４】
なお、図１０または図１１に示すトークンの譲渡状況は、認証端末１からの要求により、認証サーバ２の監視部２３が認証端末１に送信するものとする。すなわち、監視部２３は、トークン管理ＤＢ２７に記憶された各トークンの譲渡相手８６を読み出し、トークン譲渡状況の表示画面を生成する。ユーザは、このようなトークンの譲渡状況を参照することにより、トークンの譲渡先のユーザを決定することができる。
【００６５】
次に、集合認証処理（図６：Ｓ５０）について説明する。
【００６６】
図１２は、集合認証処理の処理フロー図である。図示する集合認証処理は、ユーザＢが、特権アカウントを要求する場合を例に説明する。なお、ユーザＢの認証端末Ｂの記憶部１４には、自身のトークンである「トークンＢ」と、ユーザＡおよびユーザＣから譲渡された「トークンＡ」および「トークンＣ」とが記憶されているものとする。
【００６７】
まず、認証端末Ｂの入力受付部１１は、ユーザＢが入力装置を用いて入力した特権アカウントの要求指示を受け付ける。特権アカウントは、一定数以上のユーザから権限委譲されたユーザのみ付与される特別の権利である。特権アカウントを付与されたユーザは、一般ユーザには認められていないシステム管理を行う権限を取得する。例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００６８】
そして、認証端末Ｂの処理部１２は、記憶部１４に記憶されたトークンＡ、トークンＢおよびトークンＣを読み出し、これらのトークンを含む特権アカウント要求メッセージを認証サーバ２に送信する（Ｓ５１）。そして、処理部１２は、記憶部１４からトークンＡ、トークンＢおよびトークンＣを削除する。
【００６９】
そして、認証サーバ２のトークン管理部２２は、ＶＰＮ装置４を介して、特権アカウント要求メッセージを受信する。そして、トークン管理部２２は、特権アカウント要求メッセージに含まれるトークン各々のハッシュ値を算出する。そして、トークン管理部２２は、トークン管理ＤＢ２７に記憶された各トークンのハッシュ値と、算出したハッシュ値とを照合する（Ｓ５２）。
【００７０】
ハッシュ値が一致しないトークンが１つでも存在する場合、トークン管理部２２は、認証端末Ｂから送信されたトークンのいずれかが改ざんされたものと判別し、本処理を終了する。一方、全てのトークンのハッシュ値がトークン管理ＤＢのハッシュ値と一致した場合、トークン管理部２２は、暗号化されたトークン各々を、対応するユーザの認証情報を用いて復号する（Ｓ５３）。すなわち、トークン管理部２２は、トークンＡをユーザＡの認証情報を用いて、トークンＢをユーザＢの認証情報を用いて、トークンＣをユーザＣの認証情報を用いて復号する。なお、各ユーザの認証情報は、前述の個人認証処理（図７参照）のＳ１１で送信された各ユーザのユーザＩＤおよびパスワードであって、記憶部２５に一時的に記憶されているものとする。
【００７１】
そして、トークン管理部２２は、トークン毎に、トークンに設定された有効期限を経過しているか否か判別する（Ｓ５４）。すなわち、トークン管理ＤＢ２２は、ＯＳ等の機能（システム時計）により取得した現時点の時刻が各トークンに設定された有効期限を経過しているか否かを判別する。有効期限が過ぎているトークンが１つでも存在する場合、トークン管理部２２は、本処理を終了する。
【００７２】
全てのトークンの有効期限を経過していない場合、トークン管理部２２は、トークン毎に、認証端末Ｂから受信したトークンに設定されたセッション番号および譲渡相手と、トークン管理ＤＢ２７に記憶された当該トークンのセッション番号および譲渡相手と照合する（Ｓ５４）。すなわち、トークン管理部２２は、例えばトークンＡの場合、トークン管理ＤＢ２７に記憶されたトークンＡのセッション番号および譲渡相手を特定し、受信したトークンに設定されたセッション番号および譲渡相手と一致するか否かを判別する。一致しないトークンが１つでも存在する場合、トークン管理部２２は、本処理を終了する。
【００７３】
全トークンについてセッション番号および譲渡相手が一致した場合、トークン管理部２２は、各トークンに設定されたアドレスを、秘密管理サーバ３に送信する（Ｓ５５）。なお、本実施形態におけるアドレスは、図８に示すトークンのユーザＩＤ８１、秘密情報ＩＤ８２、および、分割情報番号８３である。
【００７４】
秘密管理サーバ３の分散情報復号部３２は、認証サーバ２から各アドレスを受信する。そして、分散情報復号部３２は、受信した各アドレスを検索キーとして分散情報管理ＤＢ３５にアクセスし、各分散情報を取得する（Ｓ５６）。すなわち、分散情報復号部３２は、各アドレスに対応する分散情報を分散情報管理ＤＢ３５から読み出す。なお、分散情報管理ＤＢ３５にアドレスと、分散情報のＵＲＬ（Uniform Resource Locator）と、が格納されている場合、分散情報復号部３２は、受信したアドレスに対応するＵＲＬにアクセスし分散情報を取得する。
【００７５】
そして、分散情報復号部３２は、取得した各分散情報から秘密情報を復号し、復号の成否（復号に成功したか否か）を認証サーバ２に送信する（Ｓ５７）。なお、図示する例では、３つのが分散情報を用いて復号するため、分散情報復号部３２は秘密情報の復号に成功するものとする。
【００７６】
認証サーバ２のトークン管理部２２は、復号の成否を受信する。そして、秘密管理サーバ３が復号に成功した場合、トークン管理部２２は、ユーザＢに特権アカウントを付与するための特権トークンを生成する（Ｓ５８）。特権トークンは、図８に示すトークンと同様である。ただし、特権トークンの分割情報番号８３および譲渡相手８６には、スペースが設定されるものとする。また、有効期限８４には、各トークンに設定された有効期限の中で、最も短い（近い）有効期限が設定されるものとする。
【００７７】
そして、トークン管理部２２は、記憶部２５に記憶された所定の暗号化フレーズを用いて特権トークンを暗号化し、暗号化したトークンのハッシュ値を算出する（Ｓ５９）。そして、トークン管理部２２は、暗号化前の特権トークンと、算出したハッシュ値とを、トークン管理ＤＢ２７に記憶する。
【００７８】
そして、トークン管理部２２は、生成した特権トークンをユーザＢの認証端末Ｂに送信する（Ｓ６０）。認証端末Ｂの処理部１２は、特権トークンを受信し、記憶部１４に記憶する（Ｓ６１）。ユーザＢは特権トークンを取得することにより特権アカウントを有する特権ユーザとなる。これにより、ユーザＢは、例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００７９】
なお、ユーザＢは、特権アカウントによる特別な操作を行う場合、認証端末Ｂを用いて特権トークンを認証サーバ２に送信する。認証サーバ２のトークン管理部２２は、特権トークンのハッシュ値およびセッション番号を、トークン管理ＤＢ２７に記憶されたハッシュ値およびセッション番号と照合する。また、トークン管理部２２は、特権トークンの有効期限が経過していないかを判別する。このように特権トークンの有効性を確認した後、トークン管理ＤＢ２２は、ユーザＢを特権ユーザであると判別する。これにより、ユーザＢは、特別な操作権限を用いて、各種の操作を行うことができる。
【００８０】
次に、キャンセル処理（図６：Ｓ７０）について説明する。ユーザＢにトークンを譲渡したユーザＡおよびユーザＣは、ユーザＢの操作内容を各認証端末から監視することができる。そして、ユーザＢが不正な操作を行っていると判断した場合、ユーザＡおよびユーザＣは、一旦譲渡したトークンをキャンセル（引き戻す）することができる。なお、操作内容の監視画面については、後述する。
【００８１】
図１３は、キャンセル処理の処理フロー図である。図示するキャンセル処理は、ユーザＡが、ユーザＢに譲渡したトークンＡをキャンセルする場合を例に説明する。
【００８２】
まず、認証端末Ａの入力受付部１１は、ユーザＡが入力装置を用いて入力したキャンセル指示を受け付ける。そして、認証端末Ａの処理部１２は、キャンセルメッセージを認証サーバ２に送信する（Ｓ７１）。
【００８３】
認証サーバのトークン管理部２２は、キャンセルメッセージを受信し、トークン管理ＤＢ２７に記憶されたユーザＡのトークンＡを特定する。そして、特定したトークンＡの譲渡相手８６をスペースに更新する（Ｓ７２）。なお、スペースに更新される前の譲渡相手には、ユーザＢのユーザＩＤが記憶されているものとする。また、トークン管理部２２は、必要に応じてセッション番号８５を更新する。
【００８４】
そして、トークン管理部２２は、更新したトークンＡを、ユーザＡの認証情報を用いて暗号化し、ハッシュ値を算出する（Ｓ７３）。そして、トークン管理部２２は、トークン管理ＤＢ２７に更新したトークンＡ、およびハッシュ値を記憶（更新）する。そして、トークン管理部２２は、暗号化したトークンを認証端末Ａに送信する（Ｓ７４）。そして、認証端末Ａは、トークンＡを受信し、記憶部１４に記憶する（Ｓ７５）。これにより、ユーザＡは、ユーザＡに割り当てられた分散情報の使用権限を再び有する。
【００８５】
そして、トークン管理部２２は、ユーザＢの特権アカウントを再評価する。すなわち、トークン管理部２２は、特権アカウントを有するユーザＢが現時点で保有するトークン各々のアドレスを秘密管理サーバ３に送信する（Ｓ７６）。なお、図示する例では、ユーザＡのトークンＡはキャンセルされたため、トークン管理部２２は、トークンＢとトークンＣの２つトークンに記憶された各アドレスを秘密管理サーバ３に送信する。
【００８６】
秘密管理サーバ３の分散情報復号部３２は、認証サーバ２から各アドレスを受信する。そして、分散情報復号部３２は、受信した各アドレスを検索キーとして分散情報管理ＤＢ３５にアクセスし、各分散情報を取得する（Ｓ７７）。そして、分散情報復号部３２は、取得した各分散情報から秘密情報の復号を行い、復号の成否（復号に成功したか否か）を認証サーバ２に送信する（Ｓ７８）。なお、図示する例では、分散情報復号部３２は、２つの分散情報しか取得できないため、秘密情報の復号に失敗するものとする。
【００８７】
秘密管理サーバ３復号に失敗した場合、認証サーバ２のトークン管理部２２は、ユーザＢの特権アカウントを消滅させる（Ｓ７９）。すなわち、トークン管理部２２は、トークン管理ＤＢ２７から特権トークンを削除する。そして、トークン管理部２２は、ＶＰＮ装置４に認証端末ＢとのＶＰＮセッションの切断を指示する（Ｓ８０）。ＶＰＮ装置４は、認証端末ＢとのＶＰＮセッションを切断する。これにより、ユーザＢの特権アカウントは消滅する。したがって、ユーザＢが再度特権アカウントを取得する場合、図１２に示す集合認証処理を行う必要がある。
【００８８】
次に、ユーザの操作内容の監視画面について説明する。
【００８９】
図１４は、監視画面の一例を示したものである。図示する監視画面は、トークンの譲渡先ユーザの操作内容を表示する操作表示部１２１と、トークンの譲渡のキャンセル指示を入力するキャンセルボタン１２２と、を有する。なお、図６に示すようように、ユーザＡがユーザＢにトークンＡを譲渡した場合、ユーザＡの認証端末Ａに表示される操作表示部１２１には、ユーザＢの操作内容が表示される。
【００９０】
ユーザＡは、操作表示部１２１に表示されるユーザＢの操作内容を必要に応じて参照することにより、想定していないユーザＢの不正操作（または不正操作の兆し）を検知することができる。図示する例では、ユーザＢがデータの削除処理のコマンドを投入したことを示している。これにより、ユーザＡは、ユーザＢが重要なデータを破壊する恐れがあると認識する。この場合、ユーザＡは、キャンセルボタン１２２を押下し、ユーザＢに譲渡したトークンのキャンセル指示を入力する。これにより図１３のキャンセル処理が実行される。なお、不正操作としては、データの削除処理のほか、記憶媒体（フレキシブルディスクなど）へのデータのダウンロード（コピー）処理、記憶媒体に格納されたデータのアップロード処理などが考えられる。
【００９１】
認証サーバ２の監視部２３は、例えば、図１の認証端末がＵＮＩＸ（登録商標）のＴｅｌｎｅｔ機能を用いて認証サーバにアクセスする場合、特権ユーザのキーボード入力を当該Ｔｅｌｎｅｔ仮想端末（ｔｔｙ）にリダイレクトすることにより、特権ユーザの操作内容をトークン譲渡元のユーザ認証端末にエコーバックする。
【００９２】
以上、本発明の一実施形態を説明した。
【００９３】
本実施形態では、ユーザは、分散情報そのものではなく、分散情報のアドレスが記憶されたトークンを保持することにより、秘密情報を復号する権限の一部を有する。そして、ユーザは、自らのトークンを他のユーザに譲渡することにより秘密情報を復号する権限を委譲する。そして、認証サーバ２は、ユーザから受け付けた各トークンのアドレスを秘密管理サーバ３に送信し、秘密情報の復元に成功したか否かの成否結果に基づいて、当該ユーザに特権アカウントを付与するか否かを決定する。したがって、ユーザおよびユーザがアクセス可能な認証サーバ２は、復元した秘密情報を取得することができない。このため、本実施形態では、復元した秘密情報の漏洩を防止し、より高いセキュリティを確保することができる。
【００９４】
また、ユーザに送信されるトークンには分散情報のアドレスのみが記憶され、分散情報自体はトークンに記憶されていない。すなわち、分散情報は、ユーザには公開されず隠蔽されている。したがって、所定の数以上のトークンを取得したユーザであっても、トークン自身を用いて秘密情報を復元できない。このため、ユーザの不正行為を防止することができる。
【００９５】
また、ユーザは、他のユーザにトークンを譲渡して権限を委譲した場合であっても、権限の委譲をキャンセルすることができる。これにより、特権アカウントを有するユーザが不正な操作を行った場合、権限委譲をキャンセルして特権アカウントを消滅させることができる。すなわち、特権アカウントを付与されたユーザに対して牽制することができる。なお、トークンを譲渡された他のユーザは、分散情報自体は譲渡されないため、譲渡されたトークンをコピーするなどして不正に再利用することができない。
【００９６】
また、ユーザは、トークンを譲渡した他のユーザの操作内容を、監視することができる。これにより、ユーザは、特権アカウントを有する他のユーザの不正操作（または不正操作の兆し）を検知し、トークンの譲渡をキャンセルすることができる。また、特権アカウントを付与されたユーザを牽制することができる。
【００９７】
また、本実施形態では、認証サーバ２は、生成したトークンを対応するユーザのユーザＩＤおよびパスワードを用いて暗号化し、認証端末に送信する。これにより、トークンの内容（ユーザＩＤ、セッション番号など）を書き換えて、他人のユーザのトークンを取得する不正行為を防止することができる。
【００９８】
また、本実施形態では、暗号化したトークンのハッシュ値を認証サーバのトークン管理ＤＢ２７に記憶する、これにより、仮にトークンが不正に改ざんされた場合であっても、トークン管理ＤＢ２７に記憶されたハッシュ値を比較することで、容易に改ざんを検出することができる。
【００９９】
また、本実施形態では、個人認証処理（図７参照）の後、認証端末各々と認証サーバ２は、ＶＰＮによりデータの送受信を行う。これにより、機密性の高い通信を実現することができる。また、不正な第３者によるなりすましを防止することができる。
【０１００】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記の実施形態では、秘密分散法を用いて分散した分散情報を用いている。しかしながら、本発明はこれに限定されず、例えば、秘密管理サーバに推論エンジンと推論ルールを用いることにしてもよい。推論エンジンは、推論ルールを適用して、ある事象から結論を導き出すための人工知能システム（推論機構）である。Ｎ人に権限を分散している場合、「Ｎ人のうちＫ人の権限が揃った場合、集合認証が成功する」という推論ルールを適用することにして、秘密分散法の装置の代用としてもよい。
【０１０１】
また、本実施形態では、認証サーバ２が生成したトークンを、認証端末１の記憶部１４に格納することとした。しかしながら、生成したトークンをＩＣカード等に記憶することとしてもよい。ＩＣカード等にトークンを記憶することにより、ユーザは、トークンを容易に携帯することができる。なお、ＩＣカード等にトークンを記憶する場合、認証端末１は、ＩＣカードリーダ／ライタ装置を備える必要がある。
【０１０２】
また、本実施形態の権限管理システムでは、認証サーバ２と秘密管理サーバ３とをそれぞれ有する。しかしながら、認証サーバ２が秘密管理サーバ３の機能を有することとしてもよい。
【図面の簡単な説明】
【０１０３】
【図１】本発明の一実施形態が適用された権限管理システムの全体構成を示す図である。
【図２】認証端末１の機能構成を示す図である。
【図３】認証サーバの機能構成を示す図である。
【図４】秘密管理サーバの機能構成を示す図である
【図５】各装置のハードウェア構成例を示す図である。
【図６】権限管理システムの処理概要を模式的に示した図である。
【図７】個人認証処理のフローチャートである。
【図８】トークンのデータ構造の一例を示す図である。
【図９】トークン譲渡処理の処理フローチャートである。
【図１０】トークン譲渡指示入力画面の一例を示す図である。
【図１１】トークン譲渡状況を示すペトリネットモデルである。
【図１２】集合認証処理のフローチャートである。
【図１３】トークン譲渡キャンセル処理のフローチャートである。
【図１４】監視画面の一例を示す図である。
【符号の説明】
【０１０４】
１：認証端末、１１：入力受付部、１２：処理部、１３：出力部、１４：記憶部、２：認証サーバ、２１：認証部、２２：トークン管理部、２３：監視部、２５：記憶部、２６：認証ＤＢ、２７：トークン管理ＤＢ、３：秘密管理サーバ、３１：分散情報生成部、３２：分散情報復号部、３３：データ管理部、３４：記憶部、３５：分散情報管理ＤＢ
【技術分野】
【０００１】
本発明は、ユーザの権限を管理する権限管理技術に関する。
【背景技術】
【０００２】
近年、秘密分散法を用いたセキュリティ技術が研究されている。例えば、非特許文献１には、秘密分散法を用いて暗号を多重化する方法が記載されている。秘密分散法は、秘密情報を複数の分散情報（分割データ）に分割し、所定の数以上の分散情報を集めた場合にのみ元データの秘密情報に復元できるセキュリティ技術である。
【０００３】
また、特許文献１には、秘密分散法を用いて分割された分散情報の漏洩を、ユーザＩＤおよびパスワードを用いて防止する認証技術が記載されている。
【特許文献１】特開２００３−３３３０２８
【非特許文献１】岡本龍明著，「現代暗号」，産業図書，１９９７年，ｐ．２１６
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、秘密分散法では、所定の数以上の分散情報を集めないと秘密情報を復元することができない。しかしながら、所定の数以上の分散情報を一旦集めた後は、これらの分散情報を用いて秘密情報の復元を何度でも行うことができる。また、分散情報を用いて復元される秘密情報が、ユーザにとってアクセス可能な装置上で復元された場合、秘密情報が漏洩し、不正目的で再使用される危険性がある。なお、特許文献１に記載された認証技術では、これらについて考慮されていない。
【０００５】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、分散情報および分散情報を用いて復元された秘密情報の漏洩を防止し、より適切にユーザの権限を管理することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明では、分散情報のアドレスを示すトークンを用いて、各ユーザに割り当てられた分散情報の使用権限を管理する。
【０００７】
例えば、第１の本発明は、複数のユーザの権限を管理する認証サーバと、複数のユーザ各々が使用する複数の端末と、を有する権限管理システムであって、ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有する。そして、端末各々は、分散情報のアドレスを示すデータであるトークンを記憶する記憶手段と、当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、認証サーバから受信し、記憶手段に記憶するトークン受信手段と、記憶手段に記憶された自トークンを認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡手段と、所定の操作権限である特権アカウントを要求する要求メッセージを、記憶手段に記憶されたトークンとともに認証サーバに送信する要求メッセージ送信手段と、を有する。認証サーバは、ユーザ毎に、当該ユーザの自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成手段と、端末各々から送信された自トークンを、他ユーザの他端末に転送する転送手段と、要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、秘密情報を復号する外部システムに送信するアドレス送信手段と、外部システムがアドレスに対応する分散情報を用いて秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【０００８】
また、第２の本発明は、複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムであって、秘密情報は、暗号化された複数の分散情報に分割され、ユーザ各々は、当該ユーザに割り当てられたいずれかの分散情報の使用権限を有する。そして、認証サーバは、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバに送信し、秘密管理サーバから秘密情報の復号に成功したか否かの成否結果を取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに特権アカウントを付与するアカウント付与手段と、を有する。そして、秘密管理サーバは、複数の分散情報を管理するための分散情報管理データベースと、認証サーバの取得手段からアドレスを受信し、分散情報管理データベースを参照してアドレスに対応する分散情報を取得し、当該分散情報を用いて秘密情報を復号する復号手段と、復号手段が行った復号が成功したか否かの成否結果を、認証サーバに送信する送信手段と、を有する。
【０００９】
また、第３の本発明は、ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける認証サーバであって、秘密情報は、暗号化された複数の分散情報に分割され、ユーザ各々は、当該ユーザに割り当てられたいずれかの分散情報の使用権限を有する。そして、認証サーバは、分散情報のアドレスを示すデータであるトークンをユーザ毎に生成し、各ユーザに送信するトークン生成手段と、ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、所定の操作権限である特権アカウントの要求メッセージを受け付けて、要求メッセージに含まれる各トークンのアドレスを秘密管理サーバに送信し、アドレスに対応する分散情報を用いて秘密情報の復号に成功したか否かの成否結果を秘密管理サーバから取得する取得手段と、秘密情報の復号に成功した場合、要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有する。
【発明の効果】
【００１０】
本発明では、分散情報を用いて復元された秘密情報の漏洩を防止することで、より適切にユーザの権限を管理することにある。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について説明する。
【００１２】
図１は、本発明の一実施形態が適用された権限管理システムの全体構成図である。
【００１３】
図示するように、本実施形態の権限管理スシステムは、複数の認証端末１と、認証サーバ２と、秘密管理サーバ３と、ＶＰＮ装置４とを有する。認証端末１各々は、インターネットなどのネットワーク５により、認証サーバ２と接続されている。なお、認証サーバ２が後述する個人認証処理を行った後は、ネットワーク５内でＶＰＮ（Virtual Private Network）が生成され、ＶＰＮ装置４を介してデータの送受信が行われる。また、認証サーバ２と、秘密管理サーバ３とは、例えば専用線（または、ＬＡＮ）６などにより接続されている。
【００１４】
認証端末１各々は、各ユーザが使用する端末装置である。各ユーザは、当該ユーザにあらかじめ割り当てられた分散情報の使用権限を有するものとする。なお、分散情報は、秘密情報を所定の方法により複数に分割したものである。認証サーバ２は、各ユーザの権限を管理する。秘密管理サーバ３は、所定の数の分散情報から秘密情報を復元する。
【００１５】
ＶＰＮ装置４は、ＶＰＮを利用した通信を行うための装置である。ＶＰＮは、インターネットなどのネットワーク５内に構築された仮想専用線である。ＶＰＮでは、通信拠点間を専用線のように相互に接続するため、機密性の高い通信を実現することができる。ＶＰＮ装置４はＶＰＮセッション（コネクション）の生成および管理を行う。
【００１６】
次に、認証端末１について、より詳細に説明する。
【００１７】
図２は、認証端末１の機能構成を示した図である。認証端末１は、図示するように、入力受付部１１と、処理部１２と、出力部１３と、記憶部１４と、を有する。入力受付部１１は、入力装置（不図示）を用いて入力された各種の操作指示を受け付ける。処理部１２は、入力受付部１１が受け付けた指示に応じた処理を行う。出力部１３は、各種の情報を出力装置（不図示）に出力する。記憶部１４には、認証サーバ２から送信されたトークン（不図示）が記憶されている。トークンは、分散情報の格納場所であるアドレス（ポインタ）が設定されたデータである。なお、トークンについては後述する。
【００１８】
次に、認証サーバ２について、より詳細に説明する。
【００１９】
図３は、認証サーバ２の機能構成を示した図である。認証サーバ２は、図示するように、認証部２１とトークン管理部２２と、監視部２３と、記憶部２５と、を有する。認証部２１は、各ユーザから送信された認証情報に基づいて、ユーザの個人認証を行う。トークン管理部２２は、ユーザ毎にトークンを生成し、管理する。監視部２３は、トークンの譲渡状況、および、各認証端末から送信された操作内容を、認証端末に送信する。
【００２０】
記憶部２５には、認証ＤＢ２６と、管理ＤＢ２７とが記憶されている。認証ＤＢ２６は、各ユーザの正当性を認証（判別）するためのデータベースである。認証ＤＢ２６には、ユーザ毎に、ユーザＩＤと、認証情報のハッシュ値とが記憶されている。なお、本実施形態では、認証情報としてユーザＩＤとパスワードとを用いることとする。管理ＤＢ２７は、トークン管理部２２が生成したトークンを記憶するデータベースである。トークン管理ＤＢ２７には、ユーザ毎に生成したトークン、および、暗号化したトークンのハッシュ値が、記憶されている。
【００２１】
次に、秘密管理サーバ３について、より詳細に説明する。
【００２２】
図４は、秘密管理サーバ３の機能構成を示した図である。秘密管理サーバ３は、図示するように、分散情報生成部３１と、分散情報復号部３２と、データ管理部３３と、記憶部３４と、を有する。
【００２３】
分散情報生成部３１は、秘密分散法を用いて、秘密情報（元データ）を暗号化しながら複数の分散情報に分割する。なお、生成された分散情報各々の使用権限は、各ユーザにあらかじめ割り当てられているものとする。分散情報復号部３２は、分散情報を一定の数だけ揃えた場合、各分散情報から秘密情報（元データ）を復元する。データ管理部３３は、記憶部３４に記憶された分散情報管理ＤＢ３５から、分散情報のアドレスを検索する。
【００２４】
記憶部３４には分散情報管理ＤＢ３５が記憶されている。分散情報管理ＤＢ３５は、分散情報生成部３１が生成した各分散情報の格納場所であるアドレス（ポインタ）を記憶したデータベースである。本実施形態の分散情報管理ＤＢ３５は、分散情報毎に、アドレスと分散情報自体とが対応付けられて記憶されているものとする。しかしながら、本発明はこれに限定されず、分散情報自体については、他のコンピュータ装置（不図示）に格納されている場合であってもよい。例えば、分散情報管理ＤＢ３５は、分散情報自体を格納する替わりに、分散情報が格納されているＵＲＬ（Uniform Resource Locator）を設定することとしてもよい。なお、アドレスにはユーザＩＤが含まれているものとする。
【００２５】
上記説明した、認証端末１、認証サーバ２、および、秘密管理サーバ３は、いずれも、例えば図５に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワーク接続するための通信制御装置９０６と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。
【００２６】
例えば、認証端末１、認証サーバ２、および、秘密管理サーバ３の各機能は、認証端末１用のプログラムの場合は認証端末１のＣＰＵ９０１が、認証サーバ２用のプログラムの場合は認証サーバ２のＣＰＵ９０１が、そして、秘密管理サーバ３用のプログラムの場合は秘密管理サーバ３のＣＰＵ９０１が、それぞれ実行することにより実現される。なお、認証端末１の記憶部１４には、認証端末１のメモリ９０２または外部記憶装置９０３が、認証サーバ２の記憶部２５には、認証サーバ２のメモリ９０２または外部記憶装置９０３が、そして、秘密管理サーバ３の記憶部３４には、秘密管理サーバ３のメモリ９０２または外部記憶装置９０３が用いられる。また、外部記憶装置９０３、入力装置９０４および出力装置９０５については、各装置が必要に応じて備えるものとする。
【００２７】
次に、本システムの処理の概要を説明する。
【００２８】
本実施形態では、秘密管理サーバ３は、秘密分散法の１つである（Ｋ，Ｎ）閾値法を用いて、秘密情報を複数の分散情報に分割するものとする。（Ｋ，Ｎ）閾値法は、秘密情報を暗号化しながらＮ個の分散情報に分割し、Ｋ（Ｋ≦Ｎ）個以上集めた場合にのみ秘密情報を復元できるようにする方法である。
【００２９】
図６は、本システムの処理を模式的に示した図である。なお、本実施形態では、秘密情報を４（Ｎ＝４）個の分散情報に分割し、分散情報を３（Ｋ＝３）個以上集めた場合にのみ復元することができる（３，４）閾値法の場合を例に、以下説明する。
【００３０】
図示する例では、４つの分散情報各々の使用権限は、ユーザＡ、ユーザＢ、ユーザＣ、および、ユーザＤが、それぞれ有するものとする。そして、各ユーザは、それぞれの認証端末（認証端末Ａ、認証端末Ｂ、認証端末Ｃおよび認証端末Ｄ）を用いて、認証サーバ２にアクセスする。そして、認証サーバ２は、各認証端末から送信された認証情報を用いて、各ユーザが正当なユーザか否か判別する個人認証を行う（Ｓ１０）。
【００３１】
正当なユーザであると判別した場合、認証サーバ２は、各ユーザに割り当てられた分散情報のアドレスが設定されたトークンを生成し、各認証端末に送信する。ユーザは、トークンを取得することにより、当該トークンに示された分散情報の使用権限を行使（所有）することができる。
【００３２】
そして、ユーザは、認証サーバ２から受信した当該ユーザ用のトークンを、他のユーザに譲渡することができる。これにより、ユーザは、自分の分散情報の使用権限を、他のユーザに権限委譲する。図示する例では、ユーザＡおよびユーザＣは、認証端末Ａおよび認証端末Ｃを用いて、ユーザＡのトークン８ＡおよびユーザＣのトークン８Ｃを、ユーザＢの認証端末Ｂに譲渡する（Ｓ３０）。
ユーザＢは、譲渡されたトークンにより他ユーザの分散情報を使用する権限を有する。本実施形態では（３，４）閾値法を用いているため、ユーザＢは、３つ以上の分散情報の使用権限を有する場合、秘密情報を復号することができる権限を有する。すなわち、ユーザＢは、３つ以上のトークンを保有した場合、全ユーザの集合権限である特権アカウントを有する特権ユーザに昇格することができる。
【００３３】
図示する例では、ユーザＢは、自分のトークン８Ｂと、譲渡されたユーザＡおよびユーザＢの２つのトークン８Ａ、８Ｃを所有している。そのため、ユーザＢは、認証端末Ｂを用いて、取得した３つのトークンを認証サーバ２に送信する。そして、認証サーバ２は、認証端末Ｂから受信したトークンの集合認証を行う（Ｓ５０）。すなわち、認証サーバ２は、受信したトークン各々のアドレスを秘密管理サーバ３に送信する。そして、認証サーバ２は、秘密管理サーバ３から秘密情報の復元に成功したか否かの成否結果を受信し、成否結果に応じてユーザＢに特権アカウントを付与するか否かを決定する。
【００３４】
なお、ユーザＢはこの時点において３つのトークンを保有しているため、秘密管理サーバ３は復元に成功する。そして、認証サーバ２は、ユーザＢに特権アカウントを付与する。ユーザＢは、特権アカウントを取得することにより、全ユーザからの権限を委譲されたものとみなされ特権ユーザに昇格する。そして、特権ユーザとなったユーザＢは、一般ユーザには認められていないシステム管理を行う権限を取得する。例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００３５】
また、自身のトークンを他ユーザに譲渡したユーザＡ（またはユーザＣ）は、トークンの譲渡をキャンセル（トークンの引き戻し）をすることができる（Ｓ７０）。すなわち、ユーザＡは、認証端末Ａを用いて、認証サーバ２にトークン８Ａのキャンセル指示を送信する。そして、認証サーバ２は、ユーザＡの認証端末Ａにトークン８Ａを送信し、この状態で再度、集合認証（Ｓ５０）を行う。この場合、ユーザＢが取得しているトークンは、自身のトークン８ＢとユーザＣのトークン８Ｃの２つである。すなわち、トークンの数は３個未満であるため、秘密管理サーバ３は、秘密情報を復号することができない。したがって、認証サーバ２は、ユーザＢの特権アカウントを消滅させる。これにより、ユーザＢは、特権ユーザから一般ユーザに降格する。
【００３６】
次に、図６で説明した個人認証処理（Ｓ１０）、トークン譲渡処理（Ｓ３０）、集合認証処理（Ｓ５０）、キャンセル処理（Ｓ７０）の各処理について、より詳細に説明する。
【００３７】
図７は、個人認証処理（図６：Ｓ１０）の処理フロー図である。
【００３８】
ユーザは、認証端末１の入力装置を用いて、当該ユーザの認証情報を入力する。本実施形態では、認証情報にユーザＩＤとパスワードとを用いることとする。そして、認証端末１の入力受付部１１は、ユーザから入力された認証情報を受け付ける。そして、処理部１２は、受け付けた認証情報を、ネットワーク５を介して認証サーバ２に送信する（Ｓ１１）。
【００３９】
認証サーバ２の認証部２１は、認証情報を受信し、受信した認証情報のハッシュ値を算出する（Ｓ１２）。すなわち、認証部２１は、ユーザＩＤおよびパスワードの認証情報から固定長の疑似乱数を生成する。そして、認証部２１は、算出したハッシュ値が、記憶部２５の認証ＤＢ２６に記憶された当該ユーザのハッシュ値と一致するか否かを照合する（Ｓ１３）。なお、認証ＤＢ２６に認証情報自体を記憶することなく、認証情報のハッシュ値を記憶することにより、認証情報の漏洩を防止することができる。
【００４０】
そして、ハッシュ値が一致した場合、認証部２１は、ＶＰＮの生成をＶＰＮ装置４に指示する（Ｓ１４）。ＶＰＮ装置４は、認証サーバ２からの指示を受け付けて、ネットワーク５内でＶＰＮを生成し、認証サーバ２と認証端末１間のＶＰＮセッションを確立する。なお、ＶＰＮセッションの確立後、認証サーバ２と認証端末１間では、ＶＰＮ装置４を経由したＶＰＮによりメッセージの送受信が行われる。そして、認証サーバ２の認証部２１は、ＶＰＮ装置４を介して、認証結果（ハッシュ値が一致したか否かの照合結果）を認証端末１に送信する（Ｓ１５）。
【００４１】
認証端末１の処理部１２は、認証結果を受信する（Ｓ１６）。図示する例では、認証に成功（すなわち、ハッシュ値が一致）したものとする。なお、Ｓ１３において認証に失敗した場合（すなわち、認証ＤＢのハッシュ値と一致しない場合）、処理部１２は、出力部１３を制御して、認証に失敗したことを示すエラーメッセージを出力装置に出力し、本個人認証処理を終了する。
【００４２】
そして、認証端末１の入力受付部１１は、ユーザが入力装置を用いて入力したトークン要求指示の入力を受け付ける。そして、処理部１２は、トークン要求メッセージを、ＶＰＮ装置４を介して認証サーバ２に送信する（Ｓ１７）。
【００４３】
そして、認証サーバ２のトークン管理部２２は、トークン要求メッセージを受け付けると、秘密管理サーバ３にアクセスして、当該ユーザが使用権限を有する分散情報の格納場所を取得する（Ｓ１８）。すなわち、トークン管理部２２は、ユーザＩＤを検索キーとして、当該ユーザに割り当てられた分散情報の格納場所であるアドレス（ポインタ）を要求する。秘密管理サーバ３のデータ管理部３３は、分散情報管理ＤＢ３５に記憶されている当該ユーザＩＤを含むアドレスを検索し、検索したアドレスを認証サーバ２に送信する。
【００４４】
そして、認証サーバ２のトークン管理部２２は、分散情報のアドレスを含むトークンを生成する（Ｓ１９）。すなわち、トークン管理部２２は、分散情報のアドレス、有効期限およびセッション番号を含むトークンを生成する。なお、トークンのデータ構造については後述する。
【００４５】
そして、トークン管理部２２は、生成したトークンを、Ｓ１１で認証端末１から送信された認証情報を用いて暗号化し、暗号化したトークンのハッシュ値を算出する（Ｓ２０）。そして、トークン管理部２２は、暗号化前のトークンと算出したハッシュ値とを、トークン管理ＤＢ２７に記憶する。
【００４６】
そして、トークン管理部２２は、暗号化したトークンを、ＶＰＮ装置４を介して、認証端末１に送信する（Ｓ２１）。そして、認証端末１の処理部１２は、認証サーバ２から暗号化されたトークンを受信し、受信したトークンを記憶部１４に記憶する（Ｓ２２）。
【００４７】
なお、Ｓ２０において、トークンを要求したユーザの認証情報を用いてトークンを暗号化することにより、当該認証情報を入力したユーザ以外は、暗号化されたトークンを復号することができない。また、暗号化したトークンのハッシュ値をトークン管理ＤＢ２７に記憶することで、トークンが改ざんされた場合、トークン管理部２２はトークの改ざんを容易に検知することができる。
【００４８】
図８は、トークン（暗号化前）のデータ構造の一例を示した図である。
【００４９】
図示するトークンは、ユーザＩＤ８１と、秘密情報ＩＤ８２と、分割情報番号８３と、有効期限８４と、セッション番号８５と、譲渡相手８６とを有する。図７のＳ１８において秘密管理サーバ３から取得する分散情報のアドレスには、本実施形態では、ユーザＩＤ８１、秘密情報ＩＤ８２、および、分割情報番号８３を用いることとする。秘密情報ＩＤ８２は、秘密管理サーバ３の分散情報生成部３１が設定するユニークな識別番号であって、例えば、各秘密情報から分散情報を生成した順番（連番）などを用いることができる。分割情報番号８３は、分散情報生成部３１が秘密情報を分散情報に分割した際に設定される、各分散情報内でユニークな識別番号である。本実施形では、４つの分散情報に分割するため、１から４のいずれかの値が設定される。
【００５０】
有効期限８４は、トークンが使用可能な期限が設定される。認証サーバ２のトークン管理部２２は、トークン要求メッセージを受信した日時に、所定の期間を加えた日時を有効期限８４に設定する。セッション番号８５は、トークンを識別するためにトークン管理部２２が設定する識別番号であって、例えば、認証サーバ２のプロセスＩＤやスレッド番号などを用いることができる。譲渡相手８６には、次に説明するトークン譲渡処理において、トークンを譲渡した他ユーザのユーザＩＤが設定される。なお、トークン譲渡処理が行われるまでは、譲渡相手８６はスペース（空白）である。
【００５１】
次に、トークン譲渡処理（図６：Ｓ３０）について説明する。
【００５２】
図９は、トークン譲渡処理の処理フロー図である。トークン譲渡処理は、認証端末１（ユーザ）が自分のトークンを取得した後に行われる処理である。なお、図示するトークン譲渡処理は、ユーザＡがユーザＢにトークンを譲渡する場合を例に説明する。また、ユーザＡが使用する認証端末１は認証端末Ａ、ユーザＢが使用する認証端末１は認証端末Ｂとする。
【００５３】
まず、ユーザＡは、自分のトークン（以下、「トークンＡ」）を、ユーザＢに譲渡するトークン譲渡指示を、入力装置を用いて認証端末Ａに入力する。なお、トークン譲渡指示を入力するための入力画面については後述する。そして、認証端末Ａの入力受付部１１はは、譲渡相手（ユーザＢ）のユーザＩＤを含むトークン譲渡指示を受け付ける。そして、処理部１２は、記憶部１４に記憶されたトークンＡ（暗号化状態）と、譲渡相手であるユーザＢのユーザＩＤと、を含むトークン譲渡メッセージを、ＶＰＮ装置４を介して認証サーバ２に送信する（Ｓ３１）。そして、処理部１２は、記憶部１４に記憶されたトークンＡを削除する。
【００５４】
なお、ユーザＡは、トークン譲渡指示において、トークンの有効期限を入力することとしてもよい。この場合、トークン譲渡メッセージには、入力された有効期限が含まれる。
【００５５】
認証サーバ２のトークン管理部２２は、トークン譲渡メッセージを受信し、当該トークン譲渡メッージに含まれるトークンＡのハッシュ値を算出する。そして、トークン管理部２２は、トークン管理ＤＢ２７に記憶されたトークンＡのハッシュ値と、算出したハッシュ値とを照合する（Ｓ３２）。ハッシュ値が一致しない場合、トークン管理部２２は、認証端末Ａから送信されたトークンＡが改ざんされたものと判別し、本処理を終了する。一方、ハッシュ値が一致する場合、トークン管理部２２は、暗号化されたトークンＡをユーザＡの認証情報を用いて復号する（Ｓ３３）。なお、ユーザＡの認証情報は、前述の個人認証処理（図７参照）のＳ１１で送信されたユーザＡのユーザＩＤおよびパスワードであって、記憶部２５に一時的に記憶されているものとする。
【００５６】
そして、トークン管理部２２は、トークン譲渡メッセージに含まれる譲渡相手のユーザＩＤを、復号したトークン（図８参照）の譲渡相手８６に追加する（Ｓ３４）。なお、トークン譲渡メッセージに有効期限が含まれている場合は、当該有効期限を復号したトークンの有効期限８４に設定（更新）する。
【００５７】
そして、トークン管理部２２は、更新したトークンＡを、ユーザＡの認証情報を用いて暗号化し、暗号化したトークンＡのハッシュ値を算出する（Ｓ３５）。そして、トークン管理部２２は、個人認証処理（図７：Ｓ２０）においてトークン管理ＤＢ２７に記憶されたトークンＡおよびハッシュ値を更新する。
【００５８】
そして、トークン管理部２２は、暗号化したトークンＡを、ＶＰＮ装置４を介してユーザＢの認証端末Ｂに送信する（Ｓ３６）。そして、認証端末Ｂの処理部１２は、認証サーバ２から暗号化されたトークンＡを受信し、受信したトークンＡを記憶部１４に記憶する（Ｓ３７）。なお、認証端末Ｂは、図７に示す個人認証処理で認証サーバ２のログインし、ＶＰＮセッションが確立されているものとする。
【００５９】
図１０は、トークン譲渡指示入力画面の一例を示す図である。
【００６０】
図示する入力画面は、図９のＳ３１において、ユーザＡがトークンＡをユーザＢに譲渡する場合の入力画面例である。本画面は、現時点におけるトークンの譲渡状況を示すステータス表示欄１０１と、端末入力欄１０２と、ユーザＩＤ入力欄１０３と、有効時間入力欄１０４と、実行ボタン１０５と、を有する。
【００６１】
図示するステータス表示欄１０１では、ユーザＢに譲渡されたトークンが現時点で２個であることを示している。端末入力欄１０２には、譲渡するトークンの送信先認証端末の識別情報が入力される。図示する例では、認証端末Ｂの識別情報（TerminalＢ）が入力されている。ユーザＩＤ入力欄１０３には、トークンの譲渡相手のユーザＩＤが入力される。図示する例では、ユーザＢのユーザＩＤ（UserＢ）が入力されている。有効時間には、必要に応じて、譲渡するトークンの有効時間または有効期限が入力される。実行ボタン１０５は、各入力欄への入力完了後にトークン譲渡指示を送信するためのための操作ボタンである。
【００６２】
なお、図１０のステータス表示欄１０１以外の表示画面を用いて、トークンの譲渡状況を示すこととしてもよい。
【００６３】
図１１は、トークンの譲渡状態を、ペトリネットモデルを用いて示した図である。ぺトリネットモデルは、システムにおける情報・信号の流れをモデル化したものである。図示する例では、図６に示すように、ユーザＡおよびユーザＣが、各自のトークンをユーザＢに譲渡することにより、所定のユーザに３つのトークンが集まったこと示している。そのため、本実施形態の（３，４）閾値法において、所定のユーザは、特権アカウントを有することを、図示するペトリネットモデルは示している。
【００６４】
なお、図１０または図１１に示すトークンの譲渡状況は、認証端末１からの要求により、認証サーバ２の監視部２３が認証端末１に送信するものとする。すなわち、監視部２３は、トークン管理ＤＢ２７に記憶された各トークンの譲渡相手８６を読み出し、トークン譲渡状況の表示画面を生成する。ユーザは、このようなトークンの譲渡状況を参照することにより、トークンの譲渡先のユーザを決定することができる。
【００６５】
次に、集合認証処理（図６：Ｓ５０）について説明する。
【００６６】
図１２は、集合認証処理の処理フロー図である。図示する集合認証処理は、ユーザＢが、特権アカウントを要求する場合を例に説明する。なお、ユーザＢの認証端末Ｂの記憶部１４には、自身のトークンである「トークンＢ」と、ユーザＡおよびユーザＣから譲渡された「トークンＡ」および「トークンＣ」とが記憶されているものとする。
【００６７】
まず、認証端末Ｂの入力受付部１１は、ユーザＢが入力装置を用いて入力した特権アカウントの要求指示を受け付ける。特権アカウントは、一定数以上のユーザから権限委譲されたユーザのみ付与される特別の権利である。特権アカウントを付与されたユーザは、一般ユーザには認められていないシステム管理を行う権限を取得する。例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００６８】
そして、認証端末Ｂの処理部１２は、記憶部１４に記憶されたトークンＡ、トークンＢおよびトークンＣを読み出し、これらのトークンを含む特権アカウント要求メッセージを認証サーバ２に送信する（Ｓ５１）。そして、処理部１２は、記憶部１４からトークンＡ、トークンＢおよびトークンＣを削除する。
【００６９】
そして、認証サーバ２のトークン管理部２２は、ＶＰＮ装置４を介して、特権アカウント要求メッセージを受信する。そして、トークン管理部２２は、特権アカウント要求メッセージに含まれるトークン各々のハッシュ値を算出する。そして、トークン管理部２２は、トークン管理ＤＢ２７に記憶された各トークンのハッシュ値と、算出したハッシュ値とを照合する（Ｓ５２）。
【００７０】
ハッシュ値が一致しないトークンが１つでも存在する場合、トークン管理部２２は、認証端末Ｂから送信されたトークンのいずれかが改ざんされたものと判別し、本処理を終了する。一方、全てのトークンのハッシュ値がトークン管理ＤＢのハッシュ値と一致した場合、トークン管理部２２は、暗号化されたトークン各々を、対応するユーザの認証情報を用いて復号する（Ｓ５３）。すなわち、トークン管理部２２は、トークンＡをユーザＡの認証情報を用いて、トークンＢをユーザＢの認証情報を用いて、トークンＣをユーザＣの認証情報を用いて復号する。なお、各ユーザの認証情報は、前述の個人認証処理（図７参照）のＳ１１で送信された各ユーザのユーザＩＤおよびパスワードであって、記憶部２５に一時的に記憶されているものとする。
【００７１】
そして、トークン管理部２２は、トークン毎に、トークンに設定された有効期限を経過しているか否か判別する（Ｓ５４）。すなわち、トークン管理ＤＢ２２は、ＯＳ等の機能（システム時計）により取得した現時点の時刻が各トークンに設定された有効期限を経過しているか否かを判別する。有効期限が過ぎているトークンが１つでも存在する場合、トークン管理部２２は、本処理を終了する。
【００７２】
全てのトークンの有効期限を経過していない場合、トークン管理部２２は、トークン毎に、認証端末Ｂから受信したトークンに設定されたセッション番号および譲渡相手と、トークン管理ＤＢ２７に記憶された当該トークンのセッション番号および譲渡相手と照合する（Ｓ５４）。すなわち、トークン管理部２２は、例えばトークンＡの場合、トークン管理ＤＢ２７に記憶されたトークンＡのセッション番号および譲渡相手を特定し、受信したトークンに設定されたセッション番号および譲渡相手と一致するか否かを判別する。一致しないトークンが１つでも存在する場合、トークン管理部２２は、本処理を終了する。
【００７３】
全トークンについてセッション番号および譲渡相手が一致した場合、トークン管理部２２は、各トークンに設定されたアドレスを、秘密管理サーバ３に送信する（Ｓ５５）。なお、本実施形態におけるアドレスは、図８に示すトークンのユーザＩＤ８１、秘密情報ＩＤ８２、および、分割情報番号８３である。
【００７４】
秘密管理サーバ３の分散情報復号部３２は、認証サーバ２から各アドレスを受信する。そして、分散情報復号部３２は、受信した各アドレスを検索キーとして分散情報管理ＤＢ３５にアクセスし、各分散情報を取得する（Ｓ５６）。すなわち、分散情報復号部３２は、各アドレスに対応する分散情報を分散情報管理ＤＢ３５から読み出す。なお、分散情報管理ＤＢ３５にアドレスと、分散情報のＵＲＬ（Uniform Resource Locator）と、が格納されている場合、分散情報復号部３２は、受信したアドレスに対応するＵＲＬにアクセスし分散情報を取得する。
【００７５】
そして、分散情報復号部３２は、取得した各分散情報から秘密情報を復号し、復号の成否（復号に成功したか否か）を認証サーバ２に送信する（Ｓ５７）。なお、図示する例では、３つのが分散情報を用いて復号するため、分散情報復号部３２は秘密情報の復号に成功するものとする。
【００７６】
認証サーバ２のトークン管理部２２は、復号の成否を受信する。そして、秘密管理サーバ３が復号に成功した場合、トークン管理部２２は、ユーザＢに特権アカウントを付与するための特権トークンを生成する（Ｓ５８）。特権トークンは、図８に示すトークンと同様である。ただし、特権トークンの分割情報番号８３および譲渡相手８６には、スペースが設定されるものとする。また、有効期限８４には、各トークンに設定された有効期限の中で、最も短い（近い）有効期限が設定されるものとする。
【００７７】
そして、トークン管理部２２は、記憶部２５に記憶された所定の暗号化フレーズを用いて特権トークンを暗号化し、暗号化したトークンのハッシュ値を算出する（Ｓ５９）。そして、トークン管理部２２は、暗号化前の特権トークンと、算出したハッシュ値とを、トークン管理ＤＢ２７に記憶する。
【００７８】
そして、トークン管理部２２は、生成した特権トークンをユーザＢの認証端末Ｂに送信する（Ｓ６０）。認証端末Ｂの処理部１２は、特権トークンを受信し、記憶部１４に記憶する（Ｓ６１）。ユーザＢは特権トークンを取得することにより特権アカウントを有する特権ユーザとなる。これにより、ユーザＢは、例えば、コンピュータのハードディスク増設などのリソース操作、ユーザＩＤ変更などのユーザ操作、システムログファイル削除のようなデータ操作を行う権限を取得する。
【００７９】
なお、ユーザＢは、特権アカウントによる特別な操作を行う場合、認証端末Ｂを用いて特権トークンを認証サーバ２に送信する。認証サーバ２のトークン管理部２２は、特権トークンのハッシュ値およびセッション番号を、トークン管理ＤＢ２７に記憶されたハッシュ値およびセッション番号と照合する。また、トークン管理部２２は、特権トークンの有効期限が経過していないかを判別する。このように特権トークンの有効性を確認した後、トークン管理ＤＢ２２は、ユーザＢを特権ユーザであると判別する。これにより、ユーザＢは、特別な操作権限を用いて、各種の操作を行うことができる。
【００８０】
次に、キャンセル処理（図６：Ｓ７０）について説明する。ユーザＢにトークンを譲渡したユーザＡおよびユーザＣは、ユーザＢの操作内容を各認証端末から監視することができる。そして、ユーザＢが不正な操作を行っていると判断した場合、ユーザＡおよびユーザＣは、一旦譲渡したトークンをキャンセル（引き戻す）することができる。なお、操作内容の監視画面については、後述する。
【００８１】
図１３は、キャンセル処理の処理フロー図である。図示するキャンセル処理は、ユーザＡが、ユーザＢに譲渡したトークンＡをキャンセルする場合を例に説明する。
【００８２】
まず、認証端末Ａの入力受付部１１は、ユーザＡが入力装置を用いて入力したキャンセル指示を受け付ける。そして、認証端末Ａの処理部１２は、キャンセルメッセージを認証サーバ２に送信する（Ｓ７１）。
【００８３】
認証サーバのトークン管理部２２は、キャンセルメッセージを受信し、トークン管理ＤＢ２７に記憶されたユーザＡのトークンＡを特定する。そして、特定したトークンＡの譲渡相手８６をスペースに更新する（Ｓ７２）。なお、スペースに更新される前の譲渡相手には、ユーザＢのユーザＩＤが記憶されているものとする。また、トークン管理部２２は、必要に応じてセッション番号８５を更新する。
【００８４】
そして、トークン管理部２２は、更新したトークンＡを、ユーザＡの認証情報を用いて暗号化し、ハッシュ値を算出する（Ｓ７３）。そして、トークン管理部２２は、トークン管理ＤＢ２７に更新したトークンＡ、およびハッシュ値を記憶（更新）する。そして、トークン管理部２２は、暗号化したトークンを認証端末Ａに送信する（Ｓ７４）。そして、認証端末Ａは、トークンＡを受信し、記憶部１４に記憶する（Ｓ７５）。これにより、ユーザＡは、ユーザＡに割り当てられた分散情報の使用権限を再び有する。
【００８５】
そして、トークン管理部２２は、ユーザＢの特権アカウントを再評価する。すなわち、トークン管理部２２は、特権アカウントを有するユーザＢが現時点で保有するトークン各々のアドレスを秘密管理サーバ３に送信する（Ｓ７６）。なお、図示する例では、ユーザＡのトークンＡはキャンセルされたため、トークン管理部２２は、トークンＢとトークンＣの２つトークンに記憶された各アドレスを秘密管理サーバ３に送信する。
【００８６】
秘密管理サーバ３の分散情報復号部３２は、認証サーバ２から各アドレスを受信する。そして、分散情報復号部３２は、受信した各アドレスを検索キーとして分散情報管理ＤＢ３５にアクセスし、各分散情報を取得する（Ｓ７７）。そして、分散情報復号部３２は、取得した各分散情報から秘密情報の復号を行い、復号の成否（復号に成功したか否か）を認証サーバ２に送信する（Ｓ７８）。なお、図示する例では、分散情報復号部３２は、２つの分散情報しか取得できないため、秘密情報の復号に失敗するものとする。
【００８７】
秘密管理サーバ３復号に失敗した場合、認証サーバ２のトークン管理部２２は、ユーザＢの特権アカウントを消滅させる（Ｓ７９）。すなわち、トークン管理部２２は、トークン管理ＤＢ２７から特権トークンを削除する。そして、トークン管理部２２は、ＶＰＮ装置４に認証端末ＢとのＶＰＮセッションの切断を指示する（Ｓ８０）。ＶＰＮ装置４は、認証端末ＢとのＶＰＮセッションを切断する。これにより、ユーザＢの特権アカウントは消滅する。したがって、ユーザＢが再度特権アカウントを取得する場合、図１２に示す集合認証処理を行う必要がある。
【００８８】
次に、ユーザの操作内容の監視画面について説明する。
【００８９】
図１４は、監視画面の一例を示したものである。図示する監視画面は、トークンの譲渡先ユーザの操作内容を表示する操作表示部１２１と、トークンの譲渡のキャンセル指示を入力するキャンセルボタン１２２と、を有する。なお、図６に示すようように、ユーザＡがユーザＢにトークンＡを譲渡した場合、ユーザＡの認証端末Ａに表示される操作表示部１２１には、ユーザＢの操作内容が表示される。
【００９０】
ユーザＡは、操作表示部１２１に表示されるユーザＢの操作内容を必要に応じて参照することにより、想定していないユーザＢの不正操作（または不正操作の兆し）を検知することができる。図示する例では、ユーザＢがデータの削除処理のコマンドを投入したことを示している。これにより、ユーザＡは、ユーザＢが重要なデータを破壊する恐れがあると認識する。この場合、ユーザＡは、キャンセルボタン１２２を押下し、ユーザＢに譲渡したトークンのキャンセル指示を入力する。これにより図１３のキャンセル処理が実行される。なお、不正操作としては、データの削除処理のほか、記憶媒体（フレキシブルディスクなど）へのデータのダウンロード（コピー）処理、記憶媒体に格納されたデータのアップロード処理などが考えられる。
【００９１】
認証サーバ２の監視部２３は、例えば、図１の認証端末がＵＮＩＸ（登録商標）のＴｅｌｎｅｔ機能を用いて認証サーバにアクセスする場合、特権ユーザのキーボード入力を当該Ｔｅｌｎｅｔ仮想端末（ｔｔｙ）にリダイレクトすることにより、特権ユーザの操作内容をトークン譲渡元のユーザ認証端末にエコーバックする。
【００９２】
以上、本発明の一実施形態を説明した。
【００９３】
本実施形態では、ユーザは、分散情報そのものではなく、分散情報のアドレスが記憶されたトークンを保持することにより、秘密情報を復号する権限の一部を有する。そして、ユーザは、自らのトークンを他のユーザに譲渡することにより秘密情報を復号する権限を委譲する。そして、認証サーバ２は、ユーザから受け付けた各トークンのアドレスを秘密管理サーバ３に送信し、秘密情報の復元に成功したか否かの成否結果に基づいて、当該ユーザに特権アカウントを付与するか否かを決定する。したがって、ユーザおよびユーザがアクセス可能な認証サーバ２は、復元した秘密情報を取得することができない。このため、本実施形態では、復元した秘密情報の漏洩を防止し、より高いセキュリティを確保することができる。
【００９４】
また、ユーザに送信されるトークンには分散情報のアドレスのみが記憶され、分散情報自体はトークンに記憶されていない。すなわち、分散情報は、ユーザには公開されず隠蔽されている。したがって、所定の数以上のトークンを取得したユーザであっても、トークン自身を用いて秘密情報を復元できない。このため、ユーザの不正行為を防止することができる。
【００９５】
また、ユーザは、他のユーザにトークンを譲渡して権限を委譲した場合であっても、権限の委譲をキャンセルすることができる。これにより、特権アカウントを有するユーザが不正な操作を行った場合、権限委譲をキャンセルして特権アカウントを消滅させることができる。すなわち、特権アカウントを付与されたユーザに対して牽制することができる。なお、トークンを譲渡された他のユーザは、分散情報自体は譲渡されないため、譲渡されたトークンをコピーするなどして不正に再利用することができない。
【００９６】
また、ユーザは、トークンを譲渡した他のユーザの操作内容を、監視することができる。これにより、ユーザは、特権アカウントを有する他のユーザの不正操作（または不正操作の兆し）を検知し、トークンの譲渡をキャンセルすることができる。また、特権アカウントを付与されたユーザを牽制することができる。
【００９７】
また、本実施形態では、認証サーバ２は、生成したトークンを対応するユーザのユーザＩＤおよびパスワードを用いて暗号化し、認証端末に送信する。これにより、トークンの内容（ユーザＩＤ、セッション番号など）を書き換えて、他人のユーザのトークンを取得する不正行為を防止することができる。
【００９８】
また、本実施形態では、暗号化したトークンのハッシュ値を認証サーバのトークン管理ＤＢ２７に記憶する、これにより、仮にトークンが不正に改ざんされた場合であっても、トークン管理ＤＢ２７に記憶されたハッシュ値を比較することで、容易に改ざんを検出することができる。
【００９９】
また、本実施形態では、個人認証処理（図７参照）の後、認証端末各々と認証サーバ２は、ＶＰＮによりデータの送受信を行う。これにより、機密性の高い通信を実現することができる。また、不正な第３者によるなりすましを防止することができる。
【０１００】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記の実施形態では、秘密分散法を用いて分散した分散情報を用いている。しかしながら、本発明はこれに限定されず、例えば、秘密管理サーバに推論エンジンと推論ルールを用いることにしてもよい。推論エンジンは、推論ルールを適用して、ある事象から結論を導き出すための人工知能システム（推論機構）である。Ｎ人に権限を分散している場合、「Ｎ人のうちＫ人の権限が揃った場合、集合認証が成功する」という推論ルールを適用することにして、秘密分散法の装置の代用としてもよい。
【０１０１】
また、本実施形態では、認証サーバ２が生成したトークンを、認証端末１の記憶部１４に格納することとした。しかしながら、生成したトークンをＩＣカード等に記憶することとしてもよい。ＩＣカード等にトークンを記憶することにより、ユーザは、トークンを容易に携帯することができる。なお、ＩＣカード等にトークンを記憶する場合、認証端末１は、ＩＣカードリーダ／ライタ装置を備える必要がある。
【０１０２】
また、本実施形態の権限管理システムでは、認証サーバ２と秘密管理サーバ３とをそれぞれ有する。しかしながら、認証サーバ２が秘密管理サーバ３の機能を有することとしてもよい。
【図面の簡単な説明】
【０１０３】
【図１】本発明の一実施形態が適用された権限管理システムの全体構成を示す図である。
【図２】認証端末１の機能構成を示す図である。
【図３】認証サーバの機能構成を示す図である。
【図４】秘密管理サーバの機能構成を示す図である
【図５】各装置のハードウェア構成例を示す図である。
【図６】権限管理システムの処理概要を模式的に示した図である。
【図７】個人認証処理のフローチャートである。
【図８】トークンのデータ構造の一例を示す図である。
【図９】トークン譲渡処理の処理フローチャートである。
【図１０】トークン譲渡指示入力画面の一例を示す図である。
【図１１】トークン譲渡状況を示すペトリネットモデルである。
【図１２】集合認証処理のフローチャートである。
【図１３】トークン譲渡キャンセル処理のフローチャートである。
【図１４】監視画面の一例を示す図である。
【符号の説明】
【０１０４】
１：認証端末、１１：入力受付部、１２：処理部、１３：出力部、１４：記憶部、２：認証サーバ、２１：認証部、２２：トークン管理部、２３：監視部、２５：記憶部、２６：認証ＤＢ、２７：トークン管理ＤＢ、３：秘密管理サーバ、３１：分散情報生成部、３２：分散情報復号部、３３：データ管理部、３４：記憶部、３５：分散情報管理ＤＢ
【特許請求の範囲】
【請求項１】
複数のユーザの権限を管理する認証サーバと、前記複数のユーザ各々が使用する複数の端末と、を有する権限管理システムであって、
前記ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有し、
前記端末各々は、
前記分散情報のアドレスを示すデータであるトークンを記憶する記憶手段と、
当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、前記認証サーバから受信し、前記記憶手段に記憶するトークン受信手段と、
前記記憶手段に記憶された自トークンを前記認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡手段と、
所定の操作権限である特権アカウントを要求する要求メッセージを、前記記憶手段に記憶されたトークンとともに、前記認証サーバに送信する要求メッセージ送信手段と、を有し、
前記認証サーバは、
前記ユーザ毎に、当該ユーザの前記自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成手段と、
前記端末各々から送信された前記自トークンを、他ユーザの他端末に転送する転送手段と、
前記要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、前記秘密情報を復号する外部システムに送信するアドレス送信手段と、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有すること
を特徴とする権限管理システム。
【請求項２】
請求項１記載の権限管理システムであって、
前記端末各々は、
前記トークン譲渡手段が送信した自トークンの譲渡をキャンセルするキャンセル指示を、前記認証サーバに送信するキャンセル指示送信手段を、さらに有し、
前記認証サーバの前記アドレス送信手段は、
前記キャンセル指示を受信し、当該キャンセル指示されたトークンを除いた前記要求メッセージに含まれるトークン各々のアドレスを、前記外部システムに送信し、
前記認証サーバの前記アカウント付与手段は、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に失敗した場合、前記付与した特権アカウントを消滅させること
を特徴とする権限管理システム。
【請求項３】
請求項１記載の権限管理システムであって、
前記端末各々は、
前記ユーザの認証情報を送信する認証情報送信手段を、さらに有し、
前記認証サーバは、
前記端末各々から前記認証情報を受信し、当該認証情報を用いて前記トークン生成手段が生成したトークンを暗号化する暗号化手段を、さらに有すること
を特徴とする権限管理システム。
【請求項４】
請求項１記載の権限管理システムであって、
前記端末各々と前記認証サーバとは、仮想専用線を用いて接続されていること
を特徴とする権限管理システム。
【請求項５】
複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバは、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成手段と、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記秘密管理サーバから前記秘密情報の復号に成功したか否かの成否結果を取得する取得手段と、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有し、
前記秘密管理サーバは、
前記複数の分散情報を管理するための分散情報管理データベースと、
前記認証サーバの取得手段から前記アドレスを受信し、前記分散情報管理データベースを参照して前記アドレスに対応する分散情報を取得し、当該分散情報を用いて前記秘密情報を復号する復号手段と、
前記復号手段が行った復号が成功したか否かの成否結果を、前記認証サーバに送信する送信手段と、を有すること
を特徴とする権限管理システム。
【請求項６】
請求項１または請求項５記載の権限管理システムであって、
前記秘密情報は、秘密分散法により、前記複数の分散情報に分割されること
を特徴とする権限管理システム。
【請求項７】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける認証サーバであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバは、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成手段と、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得手段と、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有すること
を特徴とする認証サーバ。
【請求項８】
請求項７記載の認証サーバであって、
前記トークン生成手段は、前記秘密管理サーバから前記分散情報各々のアドレスを取得し、前記トークンを生成すること
を特徴とする認証サーバ。
【請求項９】
請求項７記載の認証サーバであって、
前記トークン生成手段が生成した各トークンのハッシュ値を算出するハッシュ値算出手段と、
前記算出したハッシュ値を記憶するハッシュ値記憶手段と、さらに有すること
を特徴とする認証サーバ。
【請求項１０】
請求項７記載の認証サーバであって、
前記成否取得手段は、前記転送手段が行ったトークンの転送を取り消すキャンセル指示を受け付けて、当該キャンセル指示されたトークンを除いた前記要求メッセージに含まれる各トークンのアドレスを、前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得し、
前記アカウント付与手段は、前記秘密情報の復号に失敗した場合、前記付与した特権アカウントを消滅させること
を特徴とする認証サーバ。
【請求項１１】
複数のユーザの権限を管理する認証サーバと、前記複数のユーザ各々が使用する複数の端末とを有する権限管理システムにおける権限管理方法であって、
前記ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有し、
前記端末各々は、前記分散情報のアドレスを示すデータであるトークンを記憶する記憶部と、端末処理部と、を有し、
前記端末処理部は、
当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、前記認証サーバから受信し、前記記憶部に記憶するトークン受信ステップと、
前記記憶部に記憶された自トークンを前記認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡ステップと、
所定の操作権限である特権アカウントを要求する要求メッセージを、前記記憶部に記憶されたトークンとともに、前記認証サーバに送信する要求メッセージ送信ステップと、を有し、
前記認証サーバのサーバ処理部は、
前記ユーザ毎に、当該ユーザの前記自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成ステップと、
前記端末各々から送信された前記自トークンを、他ユーザの他端末に転送する転送ステップと、
前記要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、前記秘密情報を復号する外部システムに送信するアドレス送信ステップと、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、前記特権アカウントを付与するアカウント付与ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１２】
複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける権限管理方法であって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの第１の処理部は、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記秘密管理サーバから前記秘密情報の復号に成功したか否かの成否結果を取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を行い、
前記秘密管理サーバは、前記複数の分散情報を管理するための分散情報管理記憶部と、第２の処理部と、を有し、
前記第２の処理部は、
前記認証サーバから前記ドレスを受信し、前記分散情報管理記憶部を参照して前記アドレスに対応する分散情報を取得し、当該分散情報を用いて前記秘密情報を復号する復号ステップと、
前記復号ステップの復号が成功したか否かの成否結果を、前記認証サーバに送信する送信ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１３】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける、前記認証サーバの権限管理方法であって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの処理部は、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１４】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける、前記認証サーバが実行する権限管理プログラムであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの処理部に、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を実行させること
を特徴とする権限管理プログラム。
【請求項１】
複数のユーザの権限を管理する認証サーバと、前記複数のユーザ各々が使用する複数の端末と、を有する権限管理システムであって、
前記ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有し、
前記端末各々は、
前記分散情報のアドレスを示すデータであるトークンを記憶する記憶手段と、
当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、前記認証サーバから受信し、前記記憶手段に記憶するトークン受信手段と、
前記記憶手段に記憶された自トークンを前記認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡手段と、
所定の操作権限である特権アカウントを要求する要求メッセージを、前記記憶手段に記憶されたトークンとともに、前記認証サーバに送信する要求メッセージ送信手段と、を有し、
前記認証サーバは、
前記ユーザ毎に、当該ユーザの前記自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成手段と、
前記端末各々から送信された前記自トークンを、他ユーザの他端末に転送する転送手段と、
前記要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、前記秘密情報を復号する外部システムに送信するアドレス送信手段と、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有すること
を特徴とする権限管理システム。
【請求項２】
請求項１記載の権限管理システムであって、
前記端末各々は、
前記トークン譲渡手段が送信した自トークンの譲渡をキャンセルするキャンセル指示を、前記認証サーバに送信するキャンセル指示送信手段を、さらに有し、
前記認証サーバの前記アドレス送信手段は、
前記キャンセル指示を受信し、当該キャンセル指示されたトークンを除いた前記要求メッセージに含まれるトークン各々のアドレスを、前記外部システムに送信し、
前記認証サーバの前記アカウント付与手段は、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に失敗した場合、前記付与した特権アカウントを消滅させること
を特徴とする権限管理システム。
【請求項３】
請求項１記載の権限管理システムであって、
前記端末各々は、
前記ユーザの認証情報を送信する認証情報送信手段を、さらに有し、
前記認証サーバは、
前記端末各々から前記認証情報を受信し、当該認証情報を用いて前記トークン生成手段が生成したトークンを暗号化する暗号化手段を、さらに有すること
を特徴とする権限管理システム。
【請求項４】
請求項１記載の権限管理システムであって、
前記端末各々と前記認証サーバとは、仮想専用線を用いて接続されていること
を特徴とする権限管理システム。
【請求項５】
複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバは、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成手段と、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記秘密管理サーバから前記秘密情報の復号に成功したか否かの成否結果を取得する取得手段と、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有し、
前記秘密管理サーバは、
前記複数の分散情報を管理するための分散情報管理データベースと、
前記認証サーバの取得手段から前記アドレスを受信し、前記分散情報管理データベースを参照して前記アドレスに対応する分散情報を取得し、当該分散情報を用いて前記秘密情報を復号する復号手段と、
前記復号手段が行った復号が成功したか否かの成否結果を、前記認証サーバに送信する送信手段と、を有すること
を特徴とする権限管理システム。
【請求項６】
請求項１または請求項５記載の権限管理システムであって、
前記秘密情報は、秘密分散法により、前記複数の分散情報に分割されること
を特徴とする権限管理システム。
【請求項７】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける認証サーバであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバは、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成手段と、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送手段と、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得手段と、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与手段と、を有すること
を特徴とする認証サーバ。
【請求項８】
請求項７記載の認証サーバであって、
前記トークン生成手段は、前記秘密管理サーバから前記分散情報各々のアドレスを取得し、前記トークンを生成すること
を特徴とする認証サーバ。
【請求項９】
請求項７記載の認証サーバであって、
前記トークン生成手段が生成した各トークンのハッシュ値を算出するハッシュ値算出手段と、
前記算出したハッシュ値を記憶するハッシュ値記憶手段と、さらに有すること
を特徴とする認証サーバ。
【請求項１０】
請求項７記載の認証サーバであって、
前記成否取得手段は、前記転送手段が行ったトークンの転送を取り消すキャンセル指示を受け付けて、当該キャンセル指示されたトークンを除いた前記要求メッセージに含まれる各トークンのアドレスを、前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得し、
前記アカウント付与手段は、前記秘密情報の復号に失敗した場合、前記付与した特権アカウントを消滅させること
を特徴とする認証サーバ。
【請求項１１】
複数のユーザの権限を管理する認証サーバと、前記複数のユーザ各々が使用する複数の端末とを有する権限管理システムにおける権限管理方法であって、
前記ユーザ各々は、当該ユーザに割り当てられた、所定の秘密情報を分割した分散情報の使用権限を有し、
前記端末各々は、前記分散情報のアドレスを示すデータであるトークンを記憶する記憶部と、端末処理部と、を有し、
前記端末処理部は、
当該端末を使用する自ユーザが使用権限を有する分散情報の自トークン、または、自ユーザ以外の他ユーザが使用権限を有する分散情報の他トークンを、前記認証サーバから受信し、前記記憶部に記憶するトークン受信ステップと、
前記記憶部に記憶された自トークンを前記認証サーバに送信し、自トークンを他ユーザに譲渡するトークン譲渡ステップと、
所定の操作権限である特権アカウントを要求する要求メッセージを、前記記憶部に記憶されたトークンとともに、前記認証サーバに送信する要求メッセージ送信ステップと、を有し、
前記認証サーバのサーバ処理部は、
前記ユーザ毎に、当該ユーザの前記自トークンを生成し、当該ユーザが使用する自端末に送信するトークン生成ステップと、
前記端末各々から送信された前記自トークンを、他ユーザの他端末に転送する転送ステップと、
前記要求メッセージを受信し、当該要求メッセージに含まれるトークン各々のアドレスを、前記秘密情報を復号する外部システムに送信するアドレス送信ステップと、
前記外部システムが前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、前記特権アカウントを付与するアカウント付与ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１２】
複数のユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける権限管理方法であって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの第１の処理部は、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記秘密管理サーバから前記秘密情報の復号に成功したか否かの成否結果を取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を行い、
前記秘密管理サーバは、前記複数の分散情報を管理するための分散情報管理記憶部と、第２の処理部と、を有し、
前記第２の処理部は、
前記認証サーバから前記ドレスを受信し、前記分散情報管理記憶部を参照して前記アドレスに対応する分散情報を取得し、当該分散情報を用いて前記秘密情報を復号する復号ステップと、
前記復号ステップの復号が成功したか否かの成否結果を、前記認証サーバに送信する送信ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１３】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける、前記認証サーバの権限管理方法であって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの処理部は、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を行うこと
を特徴とする権限管理方法。
【請求項１４】
ユーザの権限を認証する認証サーバと、秘密情報を管理する秘密管理サーバと、を有する権限管理システムにおける、前記認証サーバが実行する権限管理プログラムであって、
前記秘密情報は、暗号化された複数の分散情報に分割され、
前記ユーザ各々は、当該ユーザに割り当てられたいずれかの前記分散情報の使用権限を有し、
前記認証サーバの処理部に、
前記分散情報のアドレスを示すデータであるトークンを前記ユーザ毎に生成し、各ユーザに送信するトークン生成ステップと、
前記ユーザ毎に生成したトークンを、当該ユーザ以外の他ユーザに転送する転送ステップと、
所定の操作権限である特権アカウントの要求メッセージを受け付けて、前記要求メッセージに含まれる各トークンのアドレスを前記秘密管理サーバに送信し、前記アドレスに対応する分散情報を用いて前記秘密情報の復号に成功したか否かの成否結果を前記秘密管理サーバから取得する取得ステップと、
前記秘密情報の復号に成功した場合、前記要求メッセージを送信したユーザに、特権アカウントを付与するアカウント付与ステップと、を実行させること
を特徴とする権限管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００６−１８５１８４（Ｐ２００６−１８５１８４Ａ）
【公開日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願番号】特願２００４−３７８１７８（Ｐ２００４−３７８１７８）
【出願日】平成１６年１２月２７日（２００４．１２．２７）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
【公開日】平成１８年７月１３日（２００６．７．１３）
【国際特許分類】
【出願日】平成１６年１２月２７日（２００４．１２．２７）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
[ Back to top ]