認証システムおよび認証方法
【課題】ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供する。
【解決手段】ＶＰＮを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、認証装置６、７は、携帯端末から端末識別情報を含む要求を受け付けてワンタイムパスワードを生成して携帯端末に送信するとともに、生成したワンタムパスワードを記憶手段に記憶するパスワード生成手段と、ＶＰＮ端末から送信されたワンタイムパスワードを含むアクセス要求をＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段とを有し、ＶＰＮ装置は、ＶＰＮ端末から送信されたアクセス要求を認証装置または他の認証装置に振分ける振分手段を有する。
【解決手段】ＶＰＮを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、認証装置６、７は、携帯端末から端末識別情報を含む要求を受け付けてワンタイムパスワードを生成して携帯端末に送信するとともに、生成したワンタムパスワードを記憶手段に記憶するパスワード生成手段と、ＶＰＮ端末から送信されたワンタイムパスワードを含むアクセス要求をＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段とを有し、ＶＰＮ装置は、ＶＰＮ端末から送信されたアクセス要求を認証装置または他の認証装置に振分ける振分手段を有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワンタイムパスワードを用いてユーザの正当性を認証する認証技術に関する。
【背景技術】
【０００２】
近年、フィッシング詐欺に代表される、インターネット上でのユーザＩＤ、パスワードなどの詐取・盗難（identity theft）が問題となっている。そのため、より高いセキュリティを確保し、ユーザの正当性を認証する技術が求められている。例えば、特許文献１には、ワンタイムパスワードを用いて、ユーザ認証を行うパスワード認証システムが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−２４０６３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載のパスワード認証システムでは、携帯電話が認証サーバから取得したワンタイムパスワードを用いてユーザ認証を行う。しかしながら、特許文献１では、携帯電話は、ユーザＩＤを指定して認証サーバにワンタイムパスワードを要求する。そして、認証サーバは、当該ユーザＩＤに対するワンタイムパスワードを要求元の携帯端末に送信する。すなわち、ユーザＩＤが漏れた場合は、同時にワンタイムパスワードが漏れたも同義である。
【０００５】
したがって、悪意のある第三者は、ユーザＩＤさえ取得できれば、ユーザＩＤを認証サーバに送ることによってワンタイムパスワードを取得できる。これにより、悪意のある第三者が、不正に取得したユーザＩＤとワンタイムパスワードとを使用して、例えばオンライン口座にログインし、不正な操作を行う可能性がある。
【０００６】
また、パソコンやモバイル端末の普及に伴い、自宅や出張先から企業のイントラネット（社内ＬＡＮ）にリモートアクセスする際に、ネットワーク経由して構築されるＶＰＮ（仮想的なプライベートネットワーク）が利用され、ＶＰＮにリモートアクセス（ログイン）する際には、ワンタイムパスワード等を用いた認証が行われている。このようなリモートアクセスする端末に対して、より高いセキュリティを確保したユーザ認証技術が求められている。
【０００７】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明は、仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、前記認証システムは、認証装置と、前記仮想プライベートネットワークを生成するＶＰＮ装置とを有し、前記認証装置は、携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶手段に記憶するパスワード生成手段と、前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を前記ＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段と、を有し、前記ＶＰＮ装置は、前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分手段を有する。
【０００９】
また、本発明は、仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証方法であって、認証装置は、携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶部に記憶するパスワード生成ステップと、前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を、前記仮想プライベートネットワークを生成するＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶部に記憶されたワンタイムパスワードとが一致するか否かを認証する認証ステップと、を行い、前記ＶＰＮ装置は、前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分ステップを行う。
【発明の効果】
【００１０】
本発明では、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の第１の実施形態が適用された認証システムの全体構成図である。
【図２】第１の実施形態の認証テーブルの一例を示す図である。
【図３】各装置のハードウェア構成例を示す図である。
【図４】ワンタイムパスワードの発行処理を示すシーケンス図である。
【図５】携帯電話の出力装置に表示される各種画面の一例を示したものである。
【図６】認証ＢＬサーバから取得したワンタイムパスワードの認証処理のシーケンス図である。
【図７】ハードトークンから取得したワンタイムパスワードの認証処理のシーケンス図である。
【図８】本発明の第２の実施形態が適用された認証システムの全体構成図である。
【図９】第２の実施形態の認証テーブルの一例を示す図である。
【図１０】認証マトリックスの発行処理を示すシーケンス図である。
【図１１】携帯電話の出力装置に表示される各種画面の一例を示したものである。
【図１２】入力パターンの一例を示す図である。
【図１３】入力パターンの発行処理を示すシーケンス図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について説明する。
【００１３】
［第１の実施形態］
図１は、本発明の第１の実施形態が適用された認証システムの全体構成図である。図示する認証システムは、携帯電話１（携帯端末）と、ＰＣ（Personal Computer）などのユーザ端末２（ＶＰＮ端末）と、ハードトークン３と、ファイアフォール４と、業務サーバ５と、認証ＰＬ（presentation layer）サーバ６と、認証ＢＬ（business logic layer）サーバ７と、ＶＰＮ（Virtual Private Network）サーバ８と、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバ９と、プロトコル変換サーバ１０と、を有する。
【００１４】
本実施形態のユーザには、携帯電話１を用いてワンタイムパスワードを取得するユーザＡと、ハードトークン３を用いてワンタイムパスワードを取得するユーザＢ、の２つのタイプのユーザが存在するものとする。
【００１５】
ユーザＡおよびユーザＢは、業務サーバ５が提供するＷｅｂサイト（業務システム）のサービスを利用可能なユーザであって、あらかじめ業務サーバ５のＷｅｂサイトに登録してユーザＩＤを取得しているものとする。そして、ユーザＡは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログイン（アクセス）する際に、携帯端末１を用いて認証ＰＬサーバ６および認証ＢＬサーバ７から取得したワンタイムパスワードを、ユーザ端末２に入力する。一方、ユーザＢは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際に、ハードトークン３から取得したワンタイムパスワードを、ユーザ端末２に入力する。
【００１６】
携帯電話１は、携帯電話網やインターネットなどのネットワーク１１およびファイアウォール４を介して認証ＰＬサーバ６と接続され、ユーザ端末２は、インターネットなどのネットワーク１１およびファイアウォール４を介して、ＶＰＮサーバ８および業務サーバ５に接続されるものとする。
【００１７】
なお、本実施形態では、認証ＰＬサーバ６および認証ＢＬサーバ７を有するが、これらのサーバを統合して１つの認証サーバ（認証システム、認証装置）としてもよい。
【００１８】
ユーザＡが所有する携帯電話１は、ユーザの指示を受け付けるとともに、出力装置に各種の情報・画面を表示するものとする。なお、携帯電話１は、個体識別番号（端末識別情報）を送信する端末であって、図示しないメモリ等の記憶装置に個体識別番号があらかじめ記憶されているものとする。なお、個体識別番号が記憶されているメモリ等は、携帯端末１から着脱可能なＩＣカードであってもよい。
【００１９】
ユーザＡおよびユーザＢがそれぞれ使用するユーザ端末２は、ユーザの指示を受け付けるとともに、出力装置に各種の情報・画面を表示し、Ｗｅｂブラウザと同様の機能を有するものとする。
【００２０】
なお、本実施形態のユーザ端末２は、ＶＰＮサーバ８のクライアント（ＶＰＮクライアント）であって、ＶＰＮサーバ８との間でネットワーク１１を経由して仮想的なプライベートネットワーク（ＶＰＮ）を生成し、ＶＰＮ上で業務サーバ５にアクセスする。なお、ユーザ端末２には、ＶＰＮサーバ８との間でＶＰＮを生成するためのＶＰＮソフトウェアがインストールされているものとする。
【００２１】
ユーザＢが所有するハードトークン（パスワード生成器）３は、図示しないワンタイムパスワードを生成する生成部と、生成したワンタイムパスワードを表示する表示部とを有する。ハードトークンが生成するワンタイムパスワードと、ＲＡＤＩＵＳサーバ９がユーザＢ用に生成するワンタイムパスワードとは、常に同期がとれている。
【００２２】
業務サーバ５は、ネットワークを介して各種のサービスを提供するシステムであって、オンラインバンキング、オンライントレード、ネットショッピングなどのＷｅｂサイトをユーザ端末２に提供する。
【００２３】
認証ＰＬサーバ６および認証ＢＬサーバ７は、ワンタイムパスワードを生成して携帯端末１に送信するとともに、ユーザ端末２から送信されたアクセス要求（ログイン要求）の正当性を認証する。認証ＰＬサーバ６は、携帯電話１に対する入出力処理を行う。
【００２４】
認証ＢＬサーバ７は、ワンタイムパスワードを生成するパスワード生成部７１と、アクセス要求の正当性を認証する認証部７２と、認証テーブル７３とを有する。認証テーブル４３には、認証に必要な各種の情報が登録される。なお、認証テーブル７３については後述する。
【００２５】
ＶＰＮサーバ８は、ネットワーク１１を経由した仮想的なプライベートネットワーク（ＶＰＮ）を構築するための装置である。本実施形態のＶＰＮサーバ８は、ユーザ端末２から送信されたアクセス要求（ユーザＩＤ、ワンタイムパスワードなど）を、ユーザＩＤに基づいて認証ＢＬサーバ７またはＲＡＤＩＵＳサーバ９に振分ける。
【００２６】
ＲＡＤＩＵＳサーバ９は、ＲＡＤＩＵＳプロトコルを用いてユーザ認証を行う装置である。ＲＡＤＩＵＳプロトコルは、ＶＰＮ接続時またはＲＡＳ接続時に必要となるユーザ認証を請け負うためのプロトコルである。図示するＲＡＤＩＵＳサーバ９は、ワンタイムパスワードを生成するパスワード生成部９１と、アクセス要求の正当性を認証する認証部９２と、認証テーブル９３とを有する。パスワード生成部９１は、ユーザ毎（ユーザＩＤ毎）に、当該ユーザが所有するハードトークン３と同期をとったワンタイムパスワードを生成する。認証テーブル９３には、ハードトークン３を所有する各ユーザのユーザＩＤと、ユーザＩＤ毎に対応するハードトークン３と同期して生成されるワンタイムパスワードとが記憶される。
【００２７】
プロトコル変換サーバ１０は、ＶＰＮサーバ８から認証ＢＬサーバ７へ送信されるデータを、ＲＡＤＩＵＳからＨＴＴＰ（HyperText Transfer Protocol）にプロトコル変換する。
【００２８】
次に、認証ＢＬサーバ７の認証テーブル７３について説明する。
【００２９】
図２は、認証テーブル７３の一例を示した図である。図示する認証テーブル７３は、携帯端末１毎に、ユーザＩＤ７３１、ＰＩＮ（Personal Identification Number）７３２、個体識別番号７３３、ワンタイムパスワード７３４、メールアドレス７３５などを有する。
【００３０】
ＰＩＮ７３２は、ユーザが設定する暗証番号である。個体識別番号７３３には、当該携帯電話の個体識別番号（または、携帯電話の電話番号）が設定される。ワンタイムパスワード７３４には、パスワード生成部７１が生成したワンタイムパスワードが設定される。メールアドレス７３５には、ユーザのメールアドレスが設定される。
【００３１】
上記説明した、携帯端末１、ユーザ端末２、業務サーバ５、認証ＰＬサーバ６、認証ＢＬサーバ７、ＶＰＮサーバ８、ＲＡＤＩＵＳサーバ９およびプロトコル変換サーバ１０は、いずれも、例えば図３に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワークと接続するための通信制御装置９０６と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。なお、入力装置９０４および出力装置９０５については、各装置が必要に応じて備えるものとする。
【００３２】
次に、認証ＰＬサーバ６および認証ＢＬサーバ７のワンタイムパスワードの発行処理について説明する。ユーザＡは、ユーザ端末２から業務システム５にログインするために、携帯電話１を用いてワンタイムパスワードをあらかじめ取得しておくものとする。
【００３３】
図４は、ワンタイムパスワード発行処理を示すシーケンス図である。図５は、携帯電話１の出力装置に表示される各種画面（画面遷移）の一例を示したものである。携帯電話１は、ユーザの指示を受け付けて所定のＵＲＬ（Uniform Resource Locator）を指定して、認証ＰＬサーバ６にアクセスし、例えば図５に示すメニュー画面６１を出力装置に表示する。そして、携帯電話１は、ユーザの指示を受け付けて、ワンタイムパスワード発行要求を認証ＰＬサーバ６に送信する（Ｓ１１）。図示する例では、ユーザは、メニュー画面６１のＯＴＰ発行ボタンをクリックするものとする。
【００３４】
認証ＰＬサーバ６は、ワンタイムパスワード発行要求を受け付けると、ＰＩＮ入力画面を携帯電話１に送信する（Ｓ１２）。携帯電話１は、例えば図５に示すＰＩＮ入力画面６２を出力装置に表示する。ユーザは、認証ＢＬサーバ７の認証テーブル７３にあらかじめ登録したＰＩＮをＰＩＮ入力画面６２に入力する。そして、携帯電話１は、入力されたＰＩＮを認証ＰＬサーバ６に送信する（Ｓ１３）。なお、携帯電話１は、認証ＰＬサーバ６に情報を送信する際に、当該携帯電話１のメモリ等に記憶された個体識別番号を併せて送信するものとする。認証ＰＬサーバ６は、送信されたＰＩＮおよび個体識別番号を認証ＢＬサーバ７に送信する（Ｓ１４）。
【００３５】
認証ＢＬサーバ７のパスワード生成部７１は、受け付けたＰＩＮおよび個体識別番号を有するレコードが認証テーブル７３に存在するか否かを判別し、当該レコードが認証テーブル７３に存在する場合、所定のアルゴリズムによりワンタイムパスワードを生成し、生成したワンタイムパスワードを認証テーブル７３の対応するレコードに記憶する（Ｓ１５）。また、パスワード生成部７１は、生成したワンタイムパスワードを認証ＰＬサーバ６に通知する（Ｓ１６）。
【００３６】
なお、当該レコードが認証テーブル７３に存在しない場合は、ワンタイムパスワードを生成することなくエラーメッセージを携帯電話１に送信する。
【００３７】
認証ＰＬサーバ６は、認証ＢＬサーバ７が生成したワンタイムパスワードを含むワンタイムパスワード表示画面を携帯電話１に送信する（Ｓ１７）。携帯電話１は、例えば、図５のワンタイムパスワード表示画面６３を出力装置に表示する。
【００３８】
なお、本実施形態の携帯端末１は、認証ＰＬサーバ６に情報を送信する際に、個体識別番号を送信するが、固体識別番号を送信できない場合は、メール送信によりワンタイムパスワードの発行要求を認証ＰＬサーバ６に送信することとしてもよい。この場合、認証ＢＬサーバ７は、メールに記載されたＰＩＮおよびメールの送信元メールアドレスを有するレコードが認証テーブル７３に存在するか否かを判別し、当該レコードが認証テーブル７３に存在する場合、ワンタイムパスワードを生成する。
【００３９】
次に、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際の、ワンタイムパスワードの認証処理について説明する。
【００４０】
図６は、ユーザＡの場合の、携帯電話１を用いて認証ＰＬサーバ６および認証ＢＬサーバ７から取得したワンタイムパスワードの認証処理のシーケンス図である。
【００４１】
まず、ユーザ端末２は、ユーザの指示を受け付けて、認証情報入力画面を表示する。ユーザ端末２は、ＶＰＮサーバ８との間でＶＰＮを生成するためのＶＰＮソフトウェアがインストールされ、認証情報入力画面はＶＰＮソフトウェアを起動することにより表示される。認証情報入力画面には、ユーザＩＤを入力するユーザＩＤ欄と、ワンタイムパスワードを入力するワンタイムパスワード入力欄とを有する。ユーザは、ユーザＩＤと、携帯電話１に表示されたワンタイムパスワード（図５参照）とを、認証情報入力画面に入力する。ユーザ端末２は、入力されたユーザＩＤおよびワンタイムパスワードとを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ２１）。なお、このアクセス要求のプロトコルは、ＲＡＤＩＵＳプロトコルである。
【００４２】
ＶＰＮサーバ８は、アクセス要求に含まれるユーザＩＤを用いて、当該アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分ける（Ｓ２２）。例えば、ＶＰＮサーバ８は、ユーザＩＤと認証先サーバ（ＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７）とが対応付けて記憶されたテーブルを有し、当該テーブルを用いて、アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分けるものとする。ここでは、携帯電話１を使用するユーザＡからのアクセス要求であるため、ＶＰＮサーバ８は、認証ＢＬサーバ７に振分けるために、プロトコル変換サーバ１０にアクセス要求を送信する（Ｓ２３）。
【００４３】
プロトコル変換サーバ１０は、ＲＡＤＩＵＳプロトコルのアクセス要求を、認証ＢＬサーバ７用のＨＴＴＰプロトコルに変換し（Ｓ２４）、変換後のアクセス要求を認証ＢＬサーバ７に送信する（Ｓ２５）。
【００４４】
認証ＢＬサーバ７の認証部７２は、変換後のアクセス要求のユーザＩＤに対応するワンタイムパスワードを認証テーブル７３から取得し、当該ワンタイムパスワードとアクセス要求に含まれるワンタイムパスワードとが一致するか否かの認証を行い（Ｓ２６）、認証結果（許可通知、拒否通知）をプロトコル変換サーバ１０に送信する。一致する場合は、許可通知を送信し、一致しない場合は拒否通知を送信する。ここでは、認証部７２は、許可通知をプロトコル変換サーバ１０に送信するものとする（Ｓ２７）。
【００４５】
プロトコル変換サーバ１０は、ＨＴＴＰプロトコルの認証結果（許可通知）を、ＲＡＤＩＵＳプロトコルに変換し（Ｓ２８）、変換後の許可通知をＶＰＮサーバ８に送信する（Ｓ２９）。
【００４６】
ＶＰＮサーバ８は、許可通知をユーザ端末２に送信し、ユーザ端末２は、アクセス要求が許可されことを示す認証結果を表示する（Ｓ３０）。これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００４７】
図７は、ユーザＢの場合の、ハードトークン３から取得したワンタイムパスワードの認証処理のシーケンス図である。
【００４８】
まず、ユーザ端末２は、ユーザの指示を受け付けて、図６で説明した認証情報入力画面を表示する。そして、ユーザは、当該認証情報入力画面にユーザＩＤおよびハードトークン３に表示されたワンタイムパスワードを入力する。ユーザ端末２は、入力されたユーザＩＤおよびワンタイムパスワードとを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ４１）。
【００４９】
なお、ハードトークン３は、時刻同期方式またはカウンタ同期方式などにより、ＲＡＤＩＵＳサーバ９と同期して、ＲＡＤＩＵＳサーバ９が生成するワンタイムパスワードと同じワンタイムパスワードを生成し、ディスプレイなどの表示部に表示する。
【００５０】
ＶＰＮサーバ８は、アクセス要求に含まれるユーザＩＤを用いて、当該アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分ける（Ｓ４２）。ここでは、ハードトークン３を所有するユーザから送信されたアクセス要求であるため、ＶＰＮサーバ８は、ＲＡＤＩＵＳサーバ９にアクセス要求を送信する（Ｓ４３）。
【００５１】
ＲＡＤＩＵＳサーバ９の認証部９２は、受信したアクセス要求のユーザＩＤに対応するワンタイムパスワードを認証テーブル９３から取得し、当該ワンタイムパスワードとアクセス要求に含まれるワンタイムパスワードとが一致するか否かの認証を行い（Ｓ４４）、認証結果（許可通知、拒否通知）をＶＰＮサーバ８に送信する。ここでは、認証部９２は、許可通知をＶＰＮサーバ８に送信するものとする（Ｓ４５）。
【００５２】
ＶＰＮサーバ８は、許可通知をユーザ端末２に送信し、ユーザ端末２は、アクセス要求が許可されことを示す認証結果を表示する（Ｓ４６）。これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００５３】
なお、ハードトークン３およびＲＡＤＩＵＳサーバ９は、ＯＡＴＨ規格（カウンタ同期方式）に準拠したワンタイムパスワード発行方式を用いても、独自のワンタイムパスワード発行方式を用いてもよい。本実施形態の認証システムを構築する再に、システム設計者は任意のワンタイムパスワード発行方式を採用することができる。
【００５４】
［第２の実施形態］
図８は、本発明の第２の実施形態が適用された認証システムの全体構成図である。本実施形態の認証システムでは、認証ＰＬサーバ６および認証ＢＬサーバ７は、ワンタイムパスワードを生成してユーザＡの携帯電話１に送信する代わりに、認証マトリックスをユーザＡの携帯電話１に送信し、また、入力パターンをユーザＡのユーザ端末２に送信する。
【００５５】
そして、ユーザＡは、携帯電話１から取得した認証マトリックスと、ユーザ端末２から取得した入力パターンとを用いた認証データを、ワンタイムパスワードとして業務サーバ５にアクセスする際の認証情報入力画面を入力する。
【００５６】
本実施形態の認証ＢＬサーバ７は、アクセス要求の正当性を認証する認証部７２と、認証に必要な各種の情報が登録される認証テーブル７３と、認証マトリックス生成するマトリックス生成部７５と、後述する入力パターンを生成するパターン生成部７６と、パターンテーブル７７と、を有する。パターンテーブル７７には、認証マトリックスの所定の入力箇所が指定された入力パターンが、複数記憶されている。
【００５７】
なお、本実施形態の認証ＢＬサーバ７は、第１の実施形態の認証ＢＬサーバ７のパスワード生成部７１をさらに有し、ワンタイムパスワードの生成と、認証マトリックスおよび入力パターンの生成との両方を行うこととしてもよい。また、その他の各装置については、第１の実施形態と同様であるため、ここでは説明を省略する。
【００５８】
図９は、本実施形態の認証ＢＬサーバ７の認証テーブ７３の一例を示した図である。図示する認証テーブル７３は、ユーザＩＤ７３１と、ＰＩＮ７３２と、個体識別番号７３３と、認証マトリックス７３４と、入力パターン７３５とを有する。
【００５９】
認証マトリックス７３４には、マトリックス生成部７５が生成した認証マトリックスが設定される。入力パターン７３５には、認証マトリックスにおける所定の入力箇所（例えば、座標など）および入力順序が設定される。
【００６０】
次に、認証マトリックスの取得処理について説明する。ユーザＡは、携帯電話１を用いて認証マトリックスをあらかじめ取得し、携帯電話１の記憶部（不図示）に保存しておくものとする。なお、一旦取得した認証マトリックスは、次に新たな認証マトリックスを取得するまで有効であって、何度でも使用できるものとする。また、ユーザは、任意のタイミングで本処理を行うことにより、新たな認証マトリックスを取得し、携帯電話１に保存しておいた認証マトリックスを更新（変更）することができる。
【００６１】
図１０は、認証マトリックス取得処理のシーケンス図である。また、図１１は、携帯電話１の出力装置に表示される各種画面（画面遷移）の一例を示したものである。まず、携帯電話１は、ユーザの指示を受け付けて、所定のＵＲＬを指定して認証ＰＬサーバ６にアクセスし、認証マトリックス取得画面を要求する。そして、認証ＰＬサーバ６は、携帯電話１からの要求を受け付けて、認証マトリックス取得画面を携帯電話１に送信する（Ｓ７１）。
【００６２】
そして、携帯電話１は、例えば図１１に示す認証マトリックス取得画面８１を出力装置に表示する（Ｓ７２）。携帯電話１は、ユーザの指示を受け付けて、認証マトリックス取得要求を認証ＰＬサーバ６に送信する。そして、認証ＰＬサーバ６は、ＰＩＮ入力画面を携帯電話１に送信する（Ｓ７３）。
【００６３】
そして、携帯電話１は、例えば図１１に示すＰＩＮ入力画面８２を出力装置に表示する（Ｓ７４）。図示するＰＩＮ入力画面は、ＰＩＮ入力欄と、送信ボタンとが表示されている。ユーザは、ＰＩＮ入力欄にＰＩＮを入力し、送信ボタンをクリックする。そして、携帯電話１は、入力されたＰＩＮと個体識別番号とを、認証ＰＬサーバ６に送信する（Ｓ７５）。なお、携帯電話１は、認証ＰＬサーバ６に各種情報を送信する際に、当該携帯電話１のメモリ等に記憶された個体識別番号を併せて送信するものとする。
【００６４】
認証ＰＬサーバ６は、ＰＩＮおよび個体識別番号を受け付け、ＰＩＮおよび個体識別番号とを含むマトリックス生成要求を、認証ＢＬサーバ７に送信する（Ｓ７６）。
【００６５】
認証ＢＬサーバ７のマトリックス生成部７５は、マトリックス生成要求を受信し、当該要求で指定されたＰＩＮおよび個体識別番号を有するレコードが、認証テーブル７３に存在するか否かを判別する（Ｓ７７）。そして、認証テーブル７３に存在する場合、マトリックス生成部７５は、所定のアルゴリズムにより認証マトリックスを生成し、生成した認証マトリックスを認証テーブル７３の対応するレコードに記憶する（Ｓ７８）。なお、対象となるレコードが認証テーブル７３に存在しない場合（Ｓ７７）は、エラーメッセージが携帯電話１に送信される。
【００６６】
本実施形態では、マトリックス生成部７５は、認証マトリックスとしてｎ行×ｍ列の乱数表を生成するものとする。図１１に示す認証マトリックス表示画面８３では、３行×３列の表（マトリックス、テーブル）に２桁の数字が設定された乱数表が生成されている。なお、マトリックス生成部７５が乱数表を生成する毎に、生成される乱数表の各セルに設定される数字はランダムに変化する。
【００６７】
なお、本実施形態では認証マトリックスとして乱数表を生成するが、マトリックス生成部７５は、ｎ行×ｍ列の各セルに所定の文字（アルファベット、ひらがな、カタカナ、漢字など）、記号、図形などをそれぞれ設定した表を生成することとしてもよい。また、乱数表の各セルの文字数（図１１では数字の桁数）は、パラメータにより変更可能である。
【００６８】
そして、マトリックス生成部７５は、生成した認証マトリックスを認証ＰＬサーバ６に送信する（Ｓ７９）。認証ＰＬサーバ６は、生成された認証マトリックスを含む認証マトリックス表示画面を携帯電話１に送信する（Ｓ８０）。携帯電話１は、認証マトリックス表示画面８３（図１１参照）を出力装置に表示する（Ｓ８１）。
【００６９】
ユーザは、携帯電話１に表示された認証マトリックスを、所定の操作（例えばカット＆ペーストなど）を行うことにより、携帯電話１の記憶部に保存（記憶）する。そして、ユーザは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際に、記憶部に保存しておいた認証マトリックスを用いる。
【００７０】
次に、入力パターンの取得処理について説明する。ユーザＡは、ユーザ端末２から業務サーバ５にログインする前に、入力パターンを取得する。
【００７１】
図１２は、端末２の出力装置に表示される入力パターンの一例を示したものである。また、図１３は、入力パターン取得処理のシーケンス図である。まず、ユーザ端末２は、ユーザが入力したユーザＩＤおよびＰＩＮを含む入力パターン取得要求を認証ＰＬサーバ６に送信する（Ｓ９１）。認証ＰＬサーバ６は、ＰＩＮおよび個体識別番号を受け付け、ＰＩＮおよび個体識別番号とを含む入力パターン生成要求を、認証ＢＬサーバ７に送信する（Ｓ９２）。
【００７２】
認証ＢＬサーバ７のパターン生成部７６は、入力パターン生成要求を受信し、当該要求で指定されたユーザＩＤおよびＰＩＮを有するレコードが、認証テーブル７３に存在するか否かを判別する（Ｓ９３）。
【００７３】
そして、認証テーブル７３に存在する場合、パターン生成部７６は、認証マトリックスの少なくとも１つの入力箇所（セル）を指定した入力パターンを生成し、生成した入力パターンを認証テーブル７３の対応するレコードに記憶する（Ｓ９４）。なお、対象となるレコードが認証テーブル７３に存在しない場合（Ｓ９３）は、エラーメッセージがユーザ端末２に送信される。
【００７４】
入力パターンの生成方法としては、例えばパターンテーブル７７を参照し、当該パターンテーブルに記憶された複数の入力パターンの中からいずれかの入力パターンをランダムに選択することにより、入力パターンを生成することが考えられる。
【００７５】
パターンテーブル７７には、認証マトリックスの大きさ（ｎ行×ｍ列）に応じて、複数の入力パターンが記憶されているものとする。なお、認証マトリックスの座標またはセルＩＤなどを用いて、入力箇所を指定することが考えられる。また、入力箇所が複数存在する入力パターンについては、入力箇所だけでなく入力順序も指定してあるものとする。
【００７６】
なお、パターン生成部７６は、パターンテーブル７７を参照することなく、入力パターンを生成することとしてもよい。すなわち、パターン生成部７６は、認証マトリックスの取りえる範囲の座標またはセルＩＤの中から任意の座標またはセルＩＤを所定の数だけランダムに生成して、入力パターンを生成することが考えられる。
【００７７】
そして、パターン生成部７６は、生成した入力パターンを認証ＰＬサーバ６に送信する（Ｓ９５）。認証ＰＬサーバ６は、送信された入力パターンに基づいて入力パターン表示画面を生成し、ユーザ端末２に送信する（Ｓ９６）。ユーザ端末２は、入力パターン表示画面（図１２参照）を出力装置に表示する（Ｓ９７）。
【００７８】
図１２に示す入力パターン表示画面には、マトリックス生成部７５が生成した認証マトリックスと同じ大きさの空欄の表が、表示されている。そして、表には、パターン生成部７６が生成した入力パターンで指定された入力箇所と、入力順番とが設定されている。なお、入力順番を示すために、数字と矢印を用いている。図示する例では、１番目に認証マトリックスの左上のセルに設定されたデータを、２番目に中心のセルに設定されたデータを、３番目に右下のセルに設定されたデータを、ワンタイムパスワードとすることが指示されている。
【００７９】
なお、図示する表の入力パターンでは、３つのセルが入力箇所として指定されているが、入力対象のセルは３つに限らず、少なくとも１つのセルが指定されていればよい。また、図示する表では、左上から右下への対角線上の隣り合ったセルの順番で入力することが指定されているが、隣り合わない離散した複数のセルを任意の順番で入力する入力パターンであってもよい。
【００８０】
このように、ユーザは、携帯電話１から認証マトリックスを取得し、ユーザ端末２から入力パターンを取得した状態で、第１の実施形態の図６で説明した、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする。
【００８１】
すなわち、ユーザ端末２は、ユーザの指示を受け付けて、認証情報入力画面を表示し、ユーザが入力したユーザＩＤおよびワンタイムパスワード（認証データ）とを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ２１）。
【００８２】
ここで、ユーザは、認証マトリックスおよび入力パターンに基づいた認証データを、ワンタイムパスワードとして認証情報入力画面のワンタイムパスワード入力欄に入力する。具体的には、ユーザは、携帯電話１の記憶部に保存しておいた認証マトリックスを、携帯電話１の出力装置に表示する。そして、ユーザは、表示された認証マトリックスの中から、入力パターン表示画面で指定された入力箇所に対応するセルに設定されたデータを特定し、特定した各データを指定された順番でワンタイムパスワード入力欄に入力する。なお、携帯電話１に保存された認証マトリックスが図１１の認証マトリックス表示画面８３の場合であって、入力パターンが図１２の入力パターン表示画面の場合、ユーザは「４３１１０４」の認証データを、ワンタイムパスワード入力欄に入力する。
【００８３】
そして、第１の実施形態の図６のＳ２２からＳ２５と同様の処理を行い、Ｓ２６において、認証ＢＬサーバ４の認証部７２は、アクセス要求の認証を行う。すなわち、認証部７２は、アクセス要求のユーザＩＤに対応する認証マトリックスおよび入力パターンを認証テーブル７３から特定し、特定した認証マトリックスおよび入力パターンにもとづいて前述のようにワンタイムパスワード（認証データ）を生成する。そして、認証部７２は、生成したワンタイムパスワード（認証データ）と、アクセス要求に含まれるワンタイムパスワード（認証データ）とが一致するか否かの認証を行い（Ｓ２６）、認証結果（許可通知、拒否通知）をプロトコル変換サーバ１０に送信する（Ｓ２７）。
【００８４】
そして、第１の実施形態の図６のＳ３８からＳ４０と同様の処理を行い、これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００８５】
以上説明した、第１および第２の実施形態では、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することができる。
【００８６】
すなわち、第１の実施形態では、ワンタイムパスワードを発行する際に、ユーザが所有する携帯電話の個体識別番号を用いることによる所有物確認と、ユーザが入力したＰＩＮを用いた知識による本人確認との２要素認証を行った後にワンタイムパスワードを発行し、当該ワンタイムパスワードを用いてＶＰＮにアクセス要求を送信することにより、高度なセキュリティを実現することができる。
【００８７】
また、第２の実施形態では、認証マトリックスを発行する際に、ユーザが所有する携帯電話の個体識別番号を用いることによる所有物確認と、ユーザが入力したＰＩＮを用いた知識による本人確認との２要素認証を行った後に認証マトリックスを発行し、当該認証マトリックスとユーザ端末２から取得した入力パターンとを用いて生成される認証データを、ワンタイムパスワードとして送信することにより、高度なセキュリティを実現することができる。
【００８８】
また、第１および第２の実施形態では、ＶＰＮサーバ８がユーザ端末２から送信されたアクセス要求を、ユーザＩＤに基づいて認証ＢＬサーバ７またはＲＡＤＩＵＳサーバ９に振分ける。これにより、本実施形態では、複数種類の認証方法を並存することができ、ユーザは、携帯電話１を用いたワンタイムパスワードの取得、またはハードトークン３を用いたワンタイムパスワードの取得の何れかを選択することができ、ユーザの利便性を向上することができる。
【００８９】
また、既存のハードトークン３およびＲＡＤＩＵＳサーバ９を使用する既存の認証システムから、携帯電話１、認証ＰＬサーバ６および認証ＢＬサーバ７を用いた新たな認証システムに移行する際に、既存の認証システムを残したまま、新たな認証システムに円滑に移行することができる。
【００９０】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記第２の実施形態では、認証ＢＬサーバ７が入力パターンを生成することとしたが、業務サーバ５が入力パターンを生成し、生成した入力パターンを認証ＢＬサーバ７に通知することとしてもよい。
【符号の説明】
【００９１】
１：携帯端末、２：ユーザ端末、３：ハードトークン、４：ファイアウォール、５：業務サーバ、６：認証ＰＬサーバ、７：認証ＢＬサーバ、７１：パスワード生成部、７２：認証部、７３：認証テーブル、７５：マトリックス生成部、７６：パターン生成部、７７：パターンテーブル、８：ＶＰＮサーバ、９：ＲＡＤＩＵＳサーバ、１０：プロトコル変換サーバ、１１：ネットワーク
【技術分野】
【０００１】
本発明は、ワンタイムパスワードを用いてユーザの正当性を認証する認証技術に関する。
【背景技術】
【０００２】
近年、フィッシング詐欺に代表される、インターネット上でのユーザＩＤ、パスワードなどの詐取・盗難（identity theft）が問題となっている。そのため、より高いセキュリティを確保し、ユーザの正当性を認証する技術が求められている。例えば、特許文献１には、ワンタイムパスワードを用いて、ユーザ認証を行うパスワード認証システムが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−２４０６３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載のパスワード認証システムでは、携帯電話が認証サーバから取得したワンタイムパスワードを用いてユーザ認証を行う。しかしながら、特許文献１では、携帯電話は、ユーザＩＤを指定して認証サーバにワンタイムパスワードを要求する。そして、認証サーバは、当該ユーザＩＤに対するワンタイムパスワードを要求元の携帯端末に送信する。すなわち、ユーザＩＤが漏れた場合は、同時にワンタイムパスワードが漏れたも同義である。
【０００５】
したがって、悪意のある第三者は、ユーザＩＤさえ取得できれば、ユーザＩＤを認証サーバに送ることによってワンタイムパスワードを取得できる。これにより、悪意のある第三者が、不正に取得したユーザＩＤとワンタイムパスワードとを使用して、例えばオンライン口座にログインし、不正な操作を行う可能性がある。
【０００６】
また、パソコンやモバイル端末の普及に伴い、自宅や出張先から企業のイントラネット（社内ＬＡＮ）にリモートアクセスする際に、ネットワーク経由して構築されるＶＰＮ（仮想的なプライベートネットワーク）が利用され、ＶＰＮにリモートアクセス（ログイン）する際には、ワンタイムパスワード等を用いた認証が行われている。このようなリモートアクセスする端末に対して、より高いセキュリティを確保したユーザ認証技術が求められている。
【０００７】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明は、仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、前記認証システムは、認証装置と、前記仮想プライベートネットワークを生成するＶＰＮ装置とを有し、前記認証装置は、携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶手段に記憶するパスワード生成手段と、前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を前記ＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段と、を有し、前記ＶＰＮ装置は、前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分手段を有する。
【０００９】
また、本発明は、仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証方法であって、認証装置は、携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶部に記憶するパスワード生成ステップと、前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を、前記仮想プライベートネットワークを生成するＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶部に記憶されたワンタイムパスワードとが一致するか否かを認証する認証ステップと、を行い、前記ＶＰＮ装置は、前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分ステップを行う。
【発明の効果】
【００１０】
本発明では、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の第１の実施形態が適用された認証システムの全体構成図である。
【図２】第１の実施形態の認証テーブルの一例を示す図である。
【図３】各装置のハードウェア構成例を示す図である。
【図４】ワンタイムパスワードの発行処理を示すシーケンス図である。
【図５】携帯電話の出力装置に表示される各種画面の一例を示したものである。
【図６】認証ＢＬサーバから取得したワンタイムパスワードの認証処理のシーケンス図である。
【図７】ハードトークンから取得したワンタイムパスワードの認証処理のシーケンス図である。
【図８】本発明の第２の実施形態が適用された認証システムの全体構成図である。
【図９】第２の実施形態の認証テーブルの一例を示す図である。
【図１０】認証マトリックスの発行処理を示すシーケンス図である。
【図１１】携帯電話の出力装置に表示される各種画面の一例を示したものである。
【図１２】入力パターンの一例を示す図である。
【図１３】入力パターンの発行処理を示すシーケンス図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について説明する。
【００１３】
［第１の実施形態］
図１は、本発明の第１の実施形態が適用された認証システムの全体構成図である。図示する認証システムは、携帯電話１（携帯端末）と、ＰＣ（Personal Computer）などのユーザ端末２（ＶＰＮ端末）と、ハードトークン３と、ファイアフォール４と、業務サーバ５と、認証ＰＬ（presentation layer）サーバ６と、認証ＢＬ（business logic layer）サーバ７と、ＶＰＮ（Virtual Private Network）サーバ８と、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバ９と、プロトコル変換サーバ１０と、を有する。
【００１４】
本実施形態のユーザには、携帯電話１を用いてワンタイムパスワードを取得するユーザＡと、ハードトークン３を用いてワンタイムパスワードを取得するユーザＢ、の２つのタイプのユーザが存在するものとする。
【００１５】
ユーザＡおよびユーザＢは、業務サーバ５が提供するＷｅｂサイト（業務システム）のサービスを利用可能なユーザであって、あらかじめ業務サーバ５のＷｅｂサイトに登録してユーザＩＤを取得しているものとする。そして、ユーザＡは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログイン（アクセス）する際に、携帯端末１を用いて認証ＰＬサーバ６および認証ＢＬサーバ７から取得したワンタイムパスワードを、ユーザ端末２に入力する。一方、ユーザＢは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際に、ハードトークン３から取得したワンタイムパスワードを、ユーザ端末２に入力する。
【００１６】
携帯電話１は、携帯電話網やインターネットなどのネットワーク１１およびファイアウォール４を介して認証ＰＬサーバ６と接続され、ユーザ端末２は、インターネットなどのネットワーク１１およびファイアウォール４を介して、ＶＰＮサーバ８および業務サーバ５に接続されるものとする。
【００１７】
なお、本実施形態では、認証ＰＬサーバ６および認証ＢＬサーバ７を有するが、これらのサーバを統合して１つの認証サーバ（認証システム、認証装置）としてもよい。
【００１８】
ユーザＡが所有する携帯電話１は、ユーザの指示を受け付けるとともに、出力装置に各種の情報・画面を表示するものとする。なお、携帯電話１は、個体識別番号（端末識別情報）を送信する端末であって、図示しないメモリ等の記憶装置に個体識別番号があらかじめ記憶されているものとする。なお、個体識別番号が記憶されているメモリ等は、携帯端末１から着脱可能なＩＣカードであってもよい。
【００１９】
ユーザＡおよびユーザＢがそれぞれ使用するユーザ端末２は、ユーザの指示を受け付けるとともに、出力装置に各種の情報・画面を表示し、Ｗｅｂブラウザと同様の機能を有するものとする。
【００２０】
なお、本実施形態のユーザ端末２は、ＶＰＮサーバ８のクライアント（ＶＰＮクライアント）であって、ＶＰＮサーバ８との間でネットワーク１１を経由して仮想的なプライベートネットワーク（ＶＰＮ）を生成し、ＶＰＮ上で業務サーバ５にアクセスする。なお、ユーザ端末２には、ＶＰＮサーバ８との間でＶＰＮを生成するためのＶＰＮソフトウェアがインストールされているものとする。
【００２１】
ユーザＢが所有するハードトークン（パスワード生成器）３は、図示しないワンタイムパスワードを生成する生成部と、生成したワンタイムパスワードを表示する表示部とを有する。ハードトークンが生成するワンタイムパスワードと、ＲＡＤＩＵＳサーバ９がユーザＢ用に生成するワンタイムパスワードとは、常に同期がとれている。
【００２２】
業務サーバ５は、ネットワークを介して各種のサービスを提供するシステムであって、オンラインバンキング、オンライントレード、ネットショッピングなどのＷｅｂサイトをユーザ端末２に提供する。
【００２３】
認証ＰＬサーバ６および認証ＢＬサーバ７は、ワンタイムパスワードを生成して携帯端末１に送信するとともに、ユーザ端末２から送信されたアクセス要求（ログイン要求）の正当性を認証する。認証ＰＬサーバ６は、携帯電話１に対する入出力処理を行う。
【００２４】
認証ＢＬサーバ７は、ワンタイムパスワードを生成するパスワード生成部７１と、アクセス要求の正当性を認証する認証部７２と、認証テーブル７３とを有する。認証テーブル４３には、認証に必要な各種の情報が登録される。なお、認証テーブル７３については後述する。
【００２５】
ＶＰＮサーバ８は、ネットワーク１１を経由した仮想的なプライベートネットワーク（ＶＰＮ）を構築するための装置である。本実施形態のＶＰＮサーバ８は、ユーザ端末２から送信されたアクセス要求（ユーザＩＤ、ワンタイムパスワードなど）を、ユーザＩＤに基づいて認証ＢＬサーバ７またはＲＡＤＩＵＳサーバ９に振分ける。
【００２６】
ＲＡＤＩＵＳサーバ９は、ＲＡＤＩＵＳプロトコルを用いてユーザ認証を行う装置である。ＲＡＤＩＵＳプロトコルは、ＶＰＮ接続時またはＲＡＳ接続時に必要となるユーザ認証を請け負うためのプロトコルである。図示するＲＡＤＩＵＳサーバ９は、ワンタイムパスワードを生成するパスワード生成部９１と、アクセス要求の正当性を認証する認証部９２と、認証テーブル９３とを有する。パスワード生成部９１は、ユーザ毎（ユーザＩＤ毎）に、当該ユーザが所有するハードトークン３と同期をとったワンタイムパスワードを生成する。認証テーブル９３には、ハードトークン３を所有する各ユーザのユーザＩＤと、ユーザＩＤ毎に対応するハードトークン３と同期して生成されるワンタイムパスワードとが記憶される。
【００２７】
プロトコル変換サーバ１０は、ＶＰＮサーバ８から認証ＢＬサーバ７へ送信されるデータを、ＲＡＤＩＵＳからＨＴＴＰ（HyperText Transfer Protocol）にプロトコル変換する。
【００２８】
次に、認証ＢＬサーバ７の認証テーブル７３について説明する。
【００２９】
図２は、認証テーブル７３の一例を示した図である。図示する認証テーブル７３は、携帯端末１毎に、ユーザＩＤ７３１、ＰＩＮ（Personal Identification Number）７３２、個体識別番号７３３、ワンタイムパスワード７３４、メールアドレス７３５などを有する。
【００３０】
ＰＩＮ７３２は、ユーザが設定する暗証番号である。個体識別番号７３３には、当該携帯電話の個体識別番号（または、携帯電話の電話番号）が設定される。ワンタイムパスワード７３４には、パスワード生成部７１が生成したワンタイムパスワードが設定される。メールアドレス７３５には、ユーザのメールアドレスが設定される。
【００３１】
上記説明した、携帯端末１、ユーザ端末２、業務サーバ５、認証ＰＬサーバ６、認証ＢＬサーバ７、ＶＰＮサーバ８、ＲＡＤＩＵＳサーバ９およびプロトコル変換サーバ１０は、いずれも、例えば図３に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワークと接続するための通信制御装置９０６と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。なお、入力装置９０４および出力装置９０５については、各装置が必要に応じて備えるものとする。
【００３２】
次に、認証ＰＬサーバ６および認証ＢＬサーバ７のワンタイムパスワードの発行処理について説明する。ユーザＡは、ユーザ端末２から業務システム５にログインするために、携帯電話１を用いてワンタイムパスワードをあらかじめ取得しておくものとする。
【００３３】
図４は、ワンタイムパスワード発行処理を示すシーケンス図である。図５は、携帯電話１の出力装置に表示される各種画面（画面遷移）の一例を示したものである。携帯電話１は、ユーザの指示を受け付けて所定のＵＲＬ（Uniform Resource Locator）を指定して、認証ＰＬサーバ６にアクセスし、例えば図５に示すメニュー画面６１を出力装置に表示する。そして、携帯電話１は、ユーザの指示を受け付けて、ワンタイムパスワード発行要求を認証ＰＬサーバ６に送信する（Ｓ１１）。図示する例では、ユーザは、メニュー画面６１のＯＴＰ発行ボタンをクリックするものとする。
【００３４】
認証ＰＬサーバ６は、ワンタイムパスワード発行要求を受け付けると、ＰＩＮ入力画面を携帯電話１に送信する（Ｓ１２）。携帯電話１は、例えば図５に示すＰＩＮ入力画面６２を出力装置に表示する。ユーザは、認証ＢＬサーバ７の認証テーブル７３にあらかじめ登録したＰＩＮをＰＩＮ入力画面６２に入力する。そして、携帯電話１は、入力されたＰＩＮを認証ＰＬサーバ６に送信する（Ｓ１３）。なお、携帯電話１は、認証ＰＬサーバ６に情報を送信する際に、当該携帯電話１のメモリ等に記憶された個体識別番号を併せて送信するものとする。認証ＰＬサーバ６は、送信されたＰＩＮおよび個体識別番号を認証ＢＬサーバ７に送信する（Ｓ１４）。
【００３５】
認証ＢＬサーバ７のパスワード生成部７１は、受け付けたＰＩＮおよび個体識別番号を有するレコードが認証テーブル７３に存在するか否かを判別し、当該レコードが認証テーブル７３に存在する場合、所定のアルゴリズムによりワンタイムパスワードを生成し、生成したワンタイムパスワードを認証テーブル７３の対応するレコードに記憶する（Ｓ１５）。また、パスワード生成部７１は、生成したワンタイムパスワードを認証ＰＬサーバ６に通知する（Ｓ１６）。
【００３６】
なお、当該レコードが認証テーブル７３に存在しない場合は、ワンタイムパスワードを生成することなくエラーメッセージを携帯電話１に送信する。
【００３７】
認証ＰＬサーバ６は、認証ＢＬサーバ７が生成したワンタイムパスワードを含むワンタイムパスワード表示画面を携帯電話１に送信する（Ｓ１７）。携帯電話１は、例えば、図５のワンタイムパスワード表示画面６３を出力装置に表示する。
【００３８】
なお、本実施形態の携帯端末１は、認証ＰＬサーバ６に情報を送信する際に、個体識別番号を送信するが、固体識別番号を送信できない場合は、メール送信によりワンタイムパスワードの発行要求を認証ＰＬサーバ６に送信することとしてもよい。この場合、認証ＢＬサーバ７は、メールに記載されたＰＩＮおよびメールの送信元メールアドレスを有するレコードが認証テーブル７３に存在するか否かを判別し、当該レコードが認証テーブル７３に存在する場合、ワンタイムパスワードを生成する。
【００３９】
次に、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際の、ワンタイムパスワードの認証処理について説明する。
【００４０】
図６は、ユーザＡの場合の、携帯電話１を用いて認証ＰＬサーバ６および認証ＢＬサーバ７から取得したワンタイムパスワードの認証処理のシーケンス図である。
【００４１】
まず、ユーザ端末２は、ユーザの指示を受け付けて、認証情報入力画面を表示する。ユーザ端末２は、ＶＰＮサーバ８との間でＶＰＮを生成するためのＶＰＮソフトウェアがインストールされ、認証情報入力画面はＶＰＮソフトウェアを起動することにより表示される。認証情報入力画面には、ユーザＩＤを入力するユーザＩＤ欄と、ワンタイムパスワードを入力するワンタイムパスワード入力欄とを有する。ユーザは、ユーザＩＤと、携帯電話１に表示されたワンタイムパスワード（図５参照）とを、認証情報入力画面に入力する。ユーザ端末２は、入力されたユーザＩＤおよびワンタイムパスワードとを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ２１）。なお、このアクセス要求のプロトコルは、ＲＡＤＩＵＳプロトコルである。
【００４２】
ＶＰＮサーバ８は、アクセス要求に含まれるユーザＩＤを用いて、当該アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分ける（Ｓ２２）。例えば、ＶＰＮサーバ８は、ユーザＩＤと認証先サーバ（ＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７）とが対応付けて記憶されたテーブルを有し、当該テーブルを用いて、アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分けるものとする。ここでは、携帯電話１を使用するユーザＡからのアクセス要求であるため、ＶＰＮサーバ８は、認証ＢＬサーバ７に振分けるために、プロトコル変換サーバ１０にアクセス要求を送信する（Ｓ２３）。
【００４３】
プロトコル変換サーバ１０は、ＲＡＤＩＵＳプロトコルのアクセス要求を、認証ＢＬサーバ７用のＨＴＴＰプロトコルに変換し（Ｓ２４）、変換後のアクセス要求を認証ＢＬサーバ７に送信する（Ｓ２５）。
【００４４】
認証ＢＬサーバ７の認証部７２は、変換後のアクセス要求のユーザＩＤに対応するワンタイムパスワードを認証テーブル７３から取得し、当該ワンタイムパスワードとアクセス要求に含まれるワンタイムパスワードとが一致するか否かの認証を行い（Ｓ２６）、認証結果（許可通知、拒否通知）をプロトコル変換サーバ１０に送信する。一致する場合は、許可通知を送信し、一致しない場合は拒否通知を送信する。ここでは、認証部７２は、許可通知をプロトコル変換サーバ１０に送信するものとする（Ｓ２７）。
【００４５】
プロトコル変換サーバ１０は、ＨＴＴＰプロトコルの認証結果（許可通知）を、ＲＡＤＩＵＳプロトコルに変換し（Ｓ２８）、変換後の許可通知をＶＰＮサーバ８に送信する（Ｓ２９）。
【００４６】
ＶＰＮサーバ８は、許可通知をユーザ端末２に送信し、ユーザ端末２は、アクセス要求が許可されことを示す認証結果を表示する（Ｓ３０）。これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００４７】
図７は、ユーザＢの場合の、ハードトークン３から取得したワンタイムパスワードの認証処理のシーケンス図である。
【００４８】
まず、ユーザ端末２は、ユーザの指示を受け付けて、図６で説明した認証情報入力画面を表示する。そして、ユーザは、当該認証情報入力画面にユーザＩＤおよびハードトークン３に表示されたワンタイムパスワードを入力する。ユーザ端末２は、入力されたユーザＩＤおよびワンタイムパスワードとを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ４１）。
【００４９】
なお、ハードトークン３は、時刻同期方式またはカウンタ同期方式などにより、ＲＡＤＩＵＳサーバ９と同期して、ＲＡＤＩＵＳサーバ９が生成するワンタイムパスワードと同じワンタイムパスワードを生成し、ディスプレイなどの表示部に表示する。
【００５０】
ＶＰＮサーバ８は、アクセス要求に含まれるユーザＩＤを用いて、当該アクセス要求をＲＡＤＩＳＵサーバ９または認証ＢＬサーバ７に振分ける（Ｓ４２）。ここでは、ハードトークン３を所有するユーザから送信されたアクセス要求であるため、ＶＰＮサーバ８は、ＲＡＤＩＵＳサーバ９にアクセス要求を送信する（Ｓ４３）。
【００５１】
ＲＡＤＩＵＳサーバ９の認証部９２は、受信したアクセス要求のユーザＩＤに対応するワンタイムパスワードを認証テーブル９３から取得し、当該ワンタイムパスワードとアクセス要求に含まれるワンタイムパスワードとが一致するか否かの認証を行い（Ｓ４４）、認証結果（許可通知、拒否通知）をＶＰＮサーバ８に送信する。ここでは、認証部９２は、許可通知をＶＰＮサーバ８に送信するものとする（Ｓ４５）。
【００５２】
ＶＰＮサーバ８は、許可通知をユーザ端末２に送信し、ユーザ端末２は、アクセス要求が許可されことを示す認証結果を表示する（Ｓ４６）。これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００５３】
なお、ハードトークン３およびＲＡＤＩＵＳサーバ９は、ＯＡＴＨ規格（カウンタ同期方式）に準拠したワンタイムパスワード発行方式を用いても、独自のワンタイムパスワード発行方式を用いてもよい。本実施形態の認証システムを構築する再に、システム設計者は任意のワンタイムパスワード発行方式を採用することができる。
【００５４】
［第２の実施形態］
図８は、本発明の第２の実施形態が適用された認証システムの全体構成図である。本実施形態の認証システムでは、認証ＰＬサーバ６および認証ＢＬサーバ７は、ワンタイムパスワードを生成してユーザＡの携帯電話１に送信する代わりに、認証マトリックスをユーザＡの携帯電話１に送信し、また、入力パターンをユーザＡのユーザ端末２に送信する。
【００５５】
そして、ユーザＡは、携帯電話１から取得した認証マトリックスと、ユーザ端末２から取得した入力パターンとを用いた認証データを、ワンタイムパスワードとして業務サーバ５にアクセスする際の認証情報入力画面を入力する。
【００５６】
本実施形態の認証ＢＬサーバ７は、アクセス要求の正当性を認証する認証部７２と、認証に必要な各種の情報が登録される認証テーブル７３と、認証マトリックス生成するマトリックス生成部７５と、後述する入力パターンを生成するパターン生成部７６と、パターンテーブル７７と、を有する。パターンテーブル７７には、認証マトリックスの所定の入力箇所が指定された入力パターンが、複数記憶されている。
【００５７】
なお、本実施形態の認証ＢＬサーバ７は、第１の実施形態の認証ＢＬサーバ７のパスワード生成部７１をさらに有し、ワンタイムパスワードの生成と、認証マトリックスおよび入力パターンの生成との両方を行うこととしてもよい。また、その他の各装置については、第１の実施形態と同様であるため、ここでは説明を省略する。
【００５８】
図９は、本実施形態の認証ＢＬサーバ７の認証テーブ７３の一例を示した図である。図示する認証テーブル７３は、ユーザＩＤ７３１と、ＰＩＮ７３２と、個体識別番号７３３と、認証マトリックス７３４と、入力パターン７３５とを有する。
【００５９】
認証マトリックス７３４には、マトリックス生成部７５が生成した認証マトリックスが設定される。入力パターン７３５には、認証マトリックスにおける所定の入力箇所（例えば、座標など）および入力順序が設定される。
【００６０】
次に、認証マトリックスの取得処理について説明する。ユーザＡは、携帯電話１を用いて認証マトリックスをあらかじめ取得し、携帯電話１の記憶部（不図示）に保存しておくものとする。なお、一旦取得した認証マトリックスは、次に新たな認証マトリックスを取得するまで有効であって、何度でも使用できるものとする。また、ユーザは、任意のタイミングで本処理を行うことにより、新たな認証マトリックスを取得し、携帯電話１に保存しておいた認証マトリックスを更新（変更）することができる。
【００６１】
図１０は、認証マトリックス取得処理のシーケンス図である。また、図１１は、携帯電話１の出力装置に表示される各種画面（画面遷移）の一例を示したものである。まず、携帯電話１は、ユーザの指示を受け付けて、所定のＵＲＬを指定して認証ＰＬサーバ６にアクセスし、認証マトリックス取得画面を要求する。そして、認証ＰＬサーバ６は、携帯電話１からの要求を受け付けて、認証マトリックス取得画面を携帯電話１に送信する（Ｓ７１）。
【００６２】
そして、携帯電話１は、例えば図１１に示す認証マトリックス取得画面８１を出力装置に表示する（Ｓ７２）。携帯電話１は、ユーザの指示を受け付けて、認証マトリックス取得要求を認証ＰＬサーバ６に送信する。そして、認証ＰＬサーバ６は、ＰＩＮ入力画面を携帯電話１に送信する（Ｓ７３）。
【００６３】
そして、携帯電話１は、例えば図１１に示すＰＩＮ入力画面８２を出力装置に表示する（Ｓ７４）。図示するＰＩＮ入力画面は、ＰＩＮ入力欄と、送信ボタンとが表示されている。ユーザは、ＰＩＮ入力欄にＰＩＮを入力し、送信ボタンをクリックする。そして、携帯電話１は、入力されたＰＩＮと個体識別番号とを、認証ＰＬサーバ６に送信する（Ｓ７５）。なお、携帯電話１は、認証ＰＬサーバ６に各種情報を送信する際に、当該携帯電話１のメモリ等に記憶された個体識別番号を併せて送信するものとする。
【００６４】
認証ＰＬサーバ６は、ＰＩＮおよび個体識別番号を受け付け、ＰＩＮおよび個体識別番号とを含むマトリックス生成要求を、認証ＢＬサーバ７に送信する（Ｓ７６）。
【００６５】
認証ＢＬサーバ７のマトリックス生成部７５は、マトリックス生成要求を受信し、当該要求で指定されたＰＩＮおよび個体識別番号を有するレコードが、認証テーブル７３に存在するか否かを判別する（Ｓ７７）。そして、認証テーブル７３に存在する場合、マトリックス生成部７５は、所定のアルゴリズムにより認証マトリックスを生成し、生成した認証マトリックスを認証テーブル７３の対応するレコードに記憶する（Ｓ７８）。なお、対象となるレコードが認証テーブル７３に存在しない場合（Ｓ７７）は、エラーメッセージが携帯電話１に送信される。
【００６６】
本実施形態では、マトリックス生成部７５は、認証マトリックスとしてｎ行×ｍ列の乱数表を生成するものとする。図１１に示す認証マトリックス表示画面８３では、３行×３列の表（マトリックス、テーブル）に２桁の数字が設定された乱数表が生成されている。なお、マトリックス生成部７５が乱数表を生成する毎に、生成される乱数表の各セルに設定される数字はランダムに変化する。
【００６７】
なお、本実施形態では認証マトリックスとして乱数表を生成するが、マトリックス生成部７５は、ｎ行×ｍ列の各セルに所定の文字（アルファベット、ひらがな、カタカナ、漢字など）、記号、図形などをそれぞれ設定した表を生成することとしてもよい。また、乱数表の各セルの文字数（図１１では数字の桁数）は、パラメータにより変更可能である。
【００６８】
そして、マトリックス生成部７５は、生成した認証マトリックスを認証ＰＬサーバ６に送信する（Ｓ７９）。認証ＰＬサーバ６は、生成された認証マトリックスを含む認証マトリックス表示画面を携帯電話１に送信する（Ｓ８０）。携帯電話１は、認証マトリックス表示画面８３（図１１参照）を出力装置に表示する（Ｓ８１）。
【００６９】
ユーザは、携帯電話１に表示された認証マトリックスを、所定の操作（例えばカット＆ペーストなど）を行うことにより、携帯電話１の記憶部に保存（記憶）する。そして、ユーザは、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする際に、記憶部に保存しておいた認証マトリックスを用いる。
【００７０】
次に、入力パターンの取得処理について説明する。ユーザＡは、ユーザ端末２から業務サーバ５にログインする前に、入力パターンを取得する。
【００７１】
図１２は、端末２の出力装置に表示される入力パターンの一例を示したものである。また、図１３は、入力パターン取得処理のシーケンス図である。まず、ユーザ端末２は、ユーザが入力したユーザＩＤおよびＰＩＮを含む入力パターン取得要求を認証ＰＬサーバ６に送信する（Ｓ９１）。認証ＰＬサーバ６は、ＰＩＮおよび個体識別番号を受け付け、ＰＩＮおよび個体識別番号とを含む入力パターン生成要求を、認証ＢＬサーバ７に送信する（Ｓ９２）。
【００７２】
認証ＢＬサーバ７のパターン生成部７６は、入力パターン生成要求を受信し、当該要求で指定されたユーザＩＤおよびＰＩＮを有するレコードが、認証テーブル７３に存在するか否かを判別する（Ｓ９３）。
【００７３】
そして、認証テーブル７３に存在する場合、パターン生成部７６は、認証マトリックスの少なくとも１つの入力箇所（セル）を指定した入力パターンを生成し、生成した入力パターンを認証テーブル７３の対応するレコードに記憶する（Ｓ９４）。なお、対象となるレコードが認証テーブル７３に存在しない場合（Ｓ９３）は、エラーメッセージがユーザ端末２に送信される。
【００７４】
入力パターンの生成方法としては、例えばパターンテーブル７７を参照し、当該パターンテーブルに記憶された複数の入力パターンの中からいずれかの入力パターンをランダムに選択することにより、入力パターンを生成することが考えられる。
【００７５】
パターンテーブル７７には、認証マトリックスの大きさ（ｎ行×ｍ列）に応じて、複数の入力パターンが記憶されているものとする。なお、認証マトリックスの座標またはセルＩＤなどを用いて、入力箇所を指定することが考えられる。また、入力箇所が複数存在する入力パターンについては、入力箇所だけでなく入力順序も指定してあるものとする。
【００７６】
なお、パターン生成部７６は、パターンテーブル７７を参照することなく、入力パターンを生成することとしてもよい。すなわち、パターン生成部７６は、認証マトリックスの取りえる範囲の座標またはセルＩＤの中から任意の座標またはセルＩＤを所定の数だけランダムに生成して、入力パターンを生成することが考えられる。
【００７７】
そして、パターン生成部７６は、生成した入力パターンを認証ＰＬサーバ６に送信する（Ｓ９５）。認証ＰＬサーバ６は、送信された入力パターンに基づいて入力パターン表示画面を生成し、ユーザ端末２に送信する（Ｓ９６）。ユーザ端末２は、入力パターン表示画面（図１２参照）を出力装置に表示する（Ｓ９７）。
【００７８】
図１２に示す入力パターン表示画面には、マトリックス生成部７５が生成した認証マトリックスと同じ大きさの空欄の表が、表示されている。そして、表には、パターン生成部７６が生成した入力パターンで指定された入力箇所と、入力順番とが設定されている。なお、入力順番を示すために、数字と矢印を用いている。図示する例では、１番目に認証マトリックスの左上のセルに設定されたデータを、２番目に中心のセルに設定されたデータを、３番目に右下のセルに設定されたデータを、ワンタイムパスワードとすることが指示されている。
【００７９】
なお、図示する表の入力パターンでは、３つのセルが入力箇所として指定されているが、入力対象のセルは３つに限らず、少なくとも１つのセルが指定されていればよい。また、図示する表では、左上から右下への対角線上の隣り合ったセルの順番で入力することが指定されているが、隣り合わない離散した複数のセルを任意の順番で入力する入力パターンであってもよい。
【００８０】
このように、ユーザは、携帯電話１から認証マトリックスを取得し、ユーザ端末２から入力パターンを取得した状態で、第１の実施形態の図６で説明した、ユーザ端末２からＶＰＮサーバ８を介して業務サーバ５にログインする。
【００８１】
すなわち、ユーザ端末２は、ユーザの指示を受け付けて、認証情報入力画面を表示し、ユーザが入力したユーザＩＤおよびワンタイムパスワード（認証データ）とを含むアクセス要求をＶＰＮサーバ８に送信する（Ｓ２１）。
【００８２】
ここで、ユーザは、認証マトリックスおよび入力パターンに基づいた認証データを、ワンタイムパスワードとして認証情報入力画面のワンタイムパスワード入力欄に入力する。具体的には、ユーザは、携帯電話１の記憶部に保存しておいた認証マトリックスを、携帯電話１の出力装置に表示する。そして、ユーザは、表示された認証マトリックスの中から、入力パターン表示画面で指定された入力箇所に対応するセルに設定されたデータを特定し、特定した各データを指定された順番でワンタイムパスワード入力欄に入力する。なお、携帯電話１に保存された認証マトリックスが図１１の認証マトリックス表示画面８３の場合であって、入力パターンが図１２の入力パターン表示画面の場合、ユーザは「４３１１０４」の認証データを、ワンタイムパスワード入力欄に入力する。
【００８３】
そして、第１の実施形態の図６のＳ２２からＳ２５と同様の処理を行い、Ｓ２６において、認証ＢＬサーバ４の認証部７２は、アクセス要求の認証を行う。すなわち、認証部７２は、アクセス要求のユーザＩＤに対応する認証マトリックスおよび入力パターンを認証テーブル７３から特定し、特定した認証マトリックスおよび入力パターンにもとづいて前述のようにワンタイムパスワード（認証データ）を生成する。そして、認証部７２は、生成したワンタイムパスワード（認証データ）と、アクセス要求に含まれるワンタイムパスワード（認証データ）とが一致するか否かの認証を行い（Ｓ２６）、認証結果（許可通知、拒否通知）をプロトコル変換サーバ１０に送信する（Ｓ２７）。
【００８４】
そして、第１の実施形態の図６のＳ３８からＳ４０と同様の処理を行い、これにより、ユーザ端末２は、業務サーバ５にアクセスすることができる。
【００８５】
以上説明した、第１および第２の実施形態では、ＶＰＮを介してアクセスされる端末において、より高いセキュリティを確保したユーザ認証技術を提供することができる。
【００８６】
すなわち、第１の実施形態では、ワンタイムパスワードを発行する際に、ユーザが所有する携帯電話の個体識別番号を用いることによる所有物確認と、ユーザが入力したＰＩＮを用いた知識による本人確認との２要素認証を行った後にワンタイムパスワードを発行し、当該ワンタイムパスワードを用いてＶＰＮにアクセス要求を送信することにより、高度なセキュリティを実現することができる。
【００８７】
また、第２の実施形態では、認証マトリックスを発行する際に、ユーザが所有する携帯電話の個体識別番号を用いることによる所有物確認と、ユーザが入力したＰＩＮを用いた知識による本人確認との２要素認証を行った後に認証マトリックスを発行し、当該認証マトリックスとユーザ端末２から取得した入力パターンとを用いて生成される認証データを、ワンタイムパスワードとして送信することにより、高度なセキュリティを実現することができる。
【００８８】
また、第１および第２の実施形態では、ＶＰＮサーバ８がユーザ端末２から送信されたアクセス要求を、ユーザＩＤに基づいて認証ＢＬサーバ７またはＲＡＤＩＵＳサーバ９に振分ける。これにより、本実施形態では、複数種類の認証方法を並存することができ、ユーザは、携帯電話１を用いたワンタイムパスワードの取得、またはハードトークン３を用いたワンタイムパスワードの取得の何れかを選択することができ、ユーザの利便性を向上することができる。
【００８９】
また、既存のハードトークン３およびＲＡＤＩＵＳサーバ９を使用する既存の認証システムから、携帯電話１、認証ＰＬサーバ６および認証ＢＬサーバ７を用いた新たな認証システムに移行する際に、既存の認証システムを残したまま、新たな認証システムに円滑に移行することができる。
【００９０】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記第２の実施形態では、認証ＢＬサーバ７が入力パターンを生成することとしたが、業務サーバ５が入力パターンを生成し、生成した入力パターンを認証ＢＬサーバ７に通知することとしてもよい。
【符号の説明】
【００９１】
１：携帯端末、２：ユーザ端末、３：ハードトークン、４：ファイアウォール、５：業務サーバ、６：認証ＰＬサーバ、７：認証ＢＬサーバ、７１：パスワード生成部、７２：認証部、７３：認証テーブル、７５：マトリックス生成部、７６：パターン生成部、７７：パターンテーブル、８：ＶＰＮサーバ、９：ＲＡＤＩＵＳサーバ、１０：プロトコル変換サーバ、１１：ネットワーク
【特許請求の範囲】
【請求項１】
仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、
前記認証システムは、認証装置と、前記仮想プライベートネットワークを生成するＶＰＮ装置とを有し、
前記認証装置は、
携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶手段に記憶するパスワード生成手段と、
前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を前記ＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段と、を有し、
前記ＶＰＮ装置は、
前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分手段を有すること、
を特徴とする認証システム。
【請求項２】
請求項１記載の認証システムであって、
前記ＶＰＮ装置および前記認証装置との間で送受信されるデータのプロトコルを変換するプロトコル変換装置を、さらに有し、
前記プロトコル変換装置は、前記ＶＰＮ装置が前記認証装置に振分けたアクセス要求を、前記認証装置用のプロトコルに変換すること
を特徴とする認証システム。
【請求項３】
請求項１または請求項２記載の認証システムであって、
前記認証装置は、
携帯端末からの要求を受け付けて認証マトリックスを生成し、生成した認証マトリックスを携帯端末に送信するとともに、生成したマトリックスを前記記憶手段に記憶するマトリックス生成手段と、
ＶＰＮ端末からの要求を受け付けて、前記認証マトリックスを基にした所定の入力方法が指定された入力パターンを生成し、生成した入力パターンを前記記憶手段に記憶するとともにＶＰＮ端末に送信するパターン生成手段と、をさらに有し、
前記認証手段は、前記携帯端末に送信された認証マトリックスと前記ＶＰＮ端末に送信された入力パターンとに基づいて入力された認証データを含むアクセス要求を前記ＶＰＮ装置を介してＶＰＮ端末から受信し、受信したアクセス要求の認証データと前記記憶手段に記憶された認証マトリックスおよび入力パターンから生成される認証データとが一致するか否かを認証すること
を特徴とする認証システム。
【請求項４】
請求項３記載の認証システムであって、
前記認証マトリックスは、乱数表であって、
前記入力パターンには、前記認証マトリックスの少なくとも１つの入力箇所と、入力箇所の入力順番とが指定されていること
を特徴とする認証システム。
【請求項５】
仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証方法であって、
認証装置は、
携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶部に記憶するパスワード生成ステップと、
前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を、前記仮想プライベートネットワークを生成するＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶部に記憶されたワンタイムパスワードとが一致するか否かを認証する認証ステップと、を行い、
前記ＶＰＮ装置は、
前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分ステップを行うこと、
を特徴とする認証方法。
【請求項６】
請求項５記載の認証方法であって、
プロトコル変換装置は、前記ＶＰＮ装置が前記認証装置に振分けたアクセス要求を、前記認証装置用のプロトコルに変換する変換する変換ステップを行うこと
を特徴とする認証方法。
【請求項７】
請求項５または請求項６記載の認証方法であって、
前記認証装置は、
携帯端末からの要求を受け付けて認証マトリックスを生成し、生成した認証マトリックスを携帯端末に送信するとともに、生成したマトリックスを前記記憶部に記憶するマトリックス生成ステップと、
ＶＰＮ端末からの要求を受け付けて、前記認証マトリックスを基にした所定の入力方法が指定された入力パターンを生成し、生成した入力パターンを前記記憶部に記憶するとともにＶＰＮ端末に送信するパターン生成ステップと、をさらに行い、
前記認証ステップは、前記携帯端末に送信された認証マトリックスと前記ＶＰＮ端末に送信された入力パターンとに基づいて入力された認証データを含むアクセス要求を前記ＶＰＮ装置を介してＶＰＮ端末から受信し、受信したアクセス要求の認証データと、前記記憶部に記憶された認証マトリックスおよび入力パターンから生成される認証データとが一致するか否かを認証すること
を特徴とする認証方法。
【請求項８】
請求項７記載の認証方法であって、
前記認証マトリックスは、乱数表であって、
前記入力パターンには、前記認証マトリックスの少なくとも１つの入力箇所と、入力箇所の入力順番とが指定されていること
を特徴とする認証方法。
【請求項１】
仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証システムであって、
前記認証システムは、認証装置と、前記仮想プライベートネットワークを生成するＶＰＮ装置とを有し、
前記認証装置は、
携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶手段に記憶するパスワード生成手段と、
前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を前記ＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶手段に記憶されたワンタイムパスワードとが一致するか否かを認証する認証手段と、を有し、
前記ＶＰＮ装置は、
前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分手段を有すること、
を特徴とする認証システム。
【請求項２】
請求項１記載の認証システムであって、
前記ＶＰＮ装置および前記認証装置との間で送受信されるデータのプロトコルを変換するプロトコル変換装置を、さらに有し、
前記プロトコル変換装置は、前記ＶＰＮ装置が前記認証装置に振分けたアクセス要求を、前記認証装置用のプロトコルに変換すること
を特徴とする認証システム。
【請求項３】
請求項１または請求項２記載の認証システムであって、
前記認証装置は、
携帯端末からの要求を受け付けて認証マトリックスを生成し、生成した認証マトリックスを携帯端末に送信するとともに、生成したマトリックスを前記記憶手段に記憶するマトリックス生成手段と、
ＶＰＮ端末からの要求を受け付けて、前記認証マトリックスを基にした所定の入力方法が指定された入力パターンを生成し、生成した入力パターンを前記記憶手段に記憶するとともにＶＰＮ端末に送信するパターン生成手段と、をさらに有し、
前記認証手段は、前記携帯端末に送信された認証マトリックスと前記ＶＰＮ端末に送信された入力パターンとに基づいて入力された認証データを含むアクセス要求を前記ＶＰＮ装置を介してＶＰＮ端末から受信し、受信したアクセス要求の認証データと前記記憶手段に記憶された認証マトリックスおよび入力パターンから生成される認証データとが一致するか否かを認証すること
を特徴とする認証システム。
【請求項４】
請求項３記載の認証システムであって、
前記認証マトリックスは、乱数表であって、
前記入力パターンには、前記認証マトリックスの少なくとも１つの入力箇所と、入力箇所の入力順番とが指定されていること
を特徴とする認証システム。
【請求項５】
仮想プライベートネットワークを介してアクセスされるＶＰＮ端末の認証を行う認証方法であって、
認証装置は、
携帯端末から端末識別情報を含むワンタイムパスワード生成要求を受け付けてワンタイムパスワードを生成し、生成したワンタイムパスワードを携帯端末に送信するとともに、生成したワンタイムパスワードを記憶部に記憶するパスワード生成ステップと、
前記ＶＰＮ端末から送信された、ワンタイムパスワードを含むアクセス要求を、前記仮想プライベートネットワークを生成するＶＰＮ装置を介して受信し、受信したアクセス要求のワンタイムパスワードと前記記憶部に記憶されたワンタイムパスワードとが一致するか否かを認証する認証ステップと、を行い、
前記ＶＰＮ装置は、
前記ＶＰＮ端末から送信されたアクセス要求を前記認証装置、または他の認証装置に振分ける振分ステップを行うこと、
を特徴とする認証方法。
【請求項６】
請求項５記載の認証方法であって、
プロトコル変換装置は、前記ＶＰＮ装置が前記認証装置に振分けたアクセス要求を、前記認証装置用のプロトコルに変換する変換する変換ステップを行うこと
を特徴とする認証方法。
【請求項７】
請求項５または請求項６記載の認証方法であって、
前記認証装置は、
携帯端末からの要求を受け付けて認証マトリックスを生成し、生成した認証マトリックスを携帯端末に送信するとともに、生成したマトリックスを前記記憶部に記憶するマトリックス生成ステップと、
ＶＰＮ端末からの要求を受け付けて、前記認証マトリックスを基にした所定の入力方法が指定された入力パターンを生成し、生成した入力パターンを前記記憶部に記憶するとともにＶＰＮ端末に送信するパターン生成ステップと、をさらに行い、
前記認証ステップは、前記携帯端末に送信された認証マトリックスと前記ＶＰＮ端末に送信された入力パターンとに基づいて入力された認証データを含むアクセス要求を前記ＶＰＮ装置を介してＶＰＮ端末から受信し、受信したアクセス要求の認証データと、前記記憶部に記憶された認証マトリックスおよび入力パターンから生成される認証データとが一致するか否かを認証すること
を特徴とする認証方法。
【請求項８】
請求項７記載の認証方法であって、
前記認証マトリックスは、乱数表であって、
前記入力パターンには、前記認証マトリックスの少なくとも１つの入力箇所と、入力箇所の入力順番とが指定されていること
を特徴とする認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１１−１６４８３７（Ｐ２０１１−１６４８３７Ａ）
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願番号】特願２０１０−２５５０２（Ｐ２０１０−２５５０２）
【出願日】平成２２年２月８日（２０１０．２．８）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願日】平成２２年２月８日（２０１０．２．８）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
[ Back to top ]