通信制御装置、通信制御プログラム及び通信制御システム
【課題】認証サーバ装置を利用できないサーバが認証サーバ装置を利用できる端末装置からサービスの利用要求を受け付けたとき、当該端末装置を利用してサービスの利用に要求される認証を実行することができる通信制御装置、通信制御プログラム及び通信制御システムを提供する。
【解決手段】仮想認証プロキシサーバ６Ａは、認証サーバ装置８Ａを利用できないアプリケーションサーバ７Ａが端末装置９から利用要求とともに利用者ＩＤ及びパスワードを受け付けたとき、その認証依頼を受け付ける認証依頼受付手段６０３と、端末認証プログラム６１２を端末装置９に送信する端末認証プログラム送信手段６０４と、端末認証プログラム６１２を端末装置９で実行させることで認証サーバ装置８Ａに認証を実行させて受け取った認証結果を端末装置９から受信し、当該認証結果をアプリケーションサーバ７Ａに送信する認証結果送信手段６０５とを有する。
【解決手段】仮想認証プロキシサーバ６Ａは、認証サーバ装置８Ａを利用できないアプリケーションサーバ７Ａが端末装置９から利用要求とともに利用者ＩＤ及びパスワードを受け付けたとき、その認証依頼を受け付ける認証依頼受付手段６０３と、端末認証プログラム６１２を端末装置９に送信する端末認証プログラム送信手段６０４と、端末認証プログラム６１２を端末装置９で実行させることで認証サーバ装置８Ａに認証を実行させて受け取った認証結果を端末装置９から受信し、当該認証結果をアプリケーションサーバ７Ａに送信する認証結果送信手段６０５とを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置、通信制御プログラム及び通信制御システムに関する。
【背景技術】
【０００２】
従来の通信制御装置として、ＩＰ−ＶＰＮのネットワークにそれぞれ接続され企業ごとに用意された複数の社内業務システムと、インターネットを介したリモート接続用端末装置との通信を制御するものであって、インターネットを介してリモート接続用端末からパケットを受け取ると、そのパケットのデータから企業を識別し、該当する企業の社内業務システムからリモート接続用端末へパスワード入力画面を表示する情報を出力させて、その情報に対する応答としてリモート接続用端末に入力されたパスワードを受信すると、社内業務システムに転送して、社内業務システムから認証可能の応答を受け取った場合、リモート接続用端末と社内業務システムとの通信を確立し、社内業務システムから認証拒否の応答を受け取った場合、リモート接続用端末と社内業務システムとの通信を遮断するものが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−５５０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、認証サーバを利用できないサーバが認証サーバ装置を利用できる端末装置からサービスの利用要求を受け付けたとき、当該端末装置を利用してサービスの利用に要求される認証を実行することができる通信制御装置、通信制御プログラム及び通信制御システムを提供することにある。
【課題を解決するための手段】
【０００５】
［１］外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段とを有する通信制御装置。
【０００６】
［２］秘密鍵及び公開鍵を生成する鍵対生成手段と、前記端末認証プログラムに前記公開鍵に基づく電子証明書と前記秘密鍵に基づく電子署名とを付加するコード署名を実行するコード署名手段とをさらに有する前記［１］に記載の通信制御装置。
【０００７】
［３］前記サーバ及び前記受付手段は、前記認証情報として符号化された認証情報を受け付ける前記［１］に記載の通信制御装置。
【０００８】
［４］前記外部端末は、秘密鍵及び公開鍵を生成するとともに、前記認証結果に電子署名を添付し、前記認証結果送信手段は、前記外部端末が生成した公開鍵に基づいて受信した当該認証結果が真正か否かを検証する前記［１］に記載の通信制御装置。
【０００９】
［５］コンピュータを、外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段として機能させる通信制御プログラム。
【００１０】
［６］認証情報に基づいて利用者を認証する外部認証サーバと、前記外部認証サーバの前記認証サービスを利用できる外部端末と、前記外部認証サーバの前記認証サービスを利用できない通信制御装置と、前記外部端末から利用要求とともに認証情報を受け付けたとき、前記通信制御装置に認証依頼を出力する、前記外部認証サーバを利用できないサーバとを有する通信制御システムであって、前記通信制御装置は、前記サーバから前記認証情報の認証依頼を受け付けると、前記認証情報と、端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信し、前記外部端末は、前記端末認証プログラムを実行して、前記認証情報を前記外部認証サーバに送信して認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として機能し、前記通信制御装置は、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する通信制御システム。
【発明の効果】
【００１１】
請求項１、請求項５又は請求項６に係る発明によれば、認証サーバを利用できないサーバが認証サーバ装置を利用できる端末装置からサービスの利用要求を受け付けたとき、当該端末装置を利用してサービスの利用に要求される認証を実行することができる。
【００１２】
請求項２に係る発明によれば、端末認証プログラムをコード署名することができる。
【００１３】
請求項３に係る発明によれば、認証情報を符号化して扱うことができる。
【００１４】
請求項４に係る発明によれば、認証結果の改変の有無を検証することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、第１の実施の形態に係る本発明の実施の形態に係る通信制御システムの構成の一例を示す図である。
【図２】図２は、仮想認証プロキシサーバ装置の構成の一例を示すブロック図である。
【図３Ａ】図３Ａは、通信制御システムの動作の一例を示すフローチャートである。
【図３Ｂ】図３Ｂは、通信制御システムの動作の一例を示すフローチャートである。
【図３Ｃ】図３Ｃは、通信制御システムの動作の一例を示すフローチャートである。
【図４】図４は、鍵対生成手段の鍵対の生成例及びコード署名手段のプログラムに対するコード署名例を説明するための図である。
【図５】図５は、第２の実施の形態に係る通信制御システムの動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１６】
［第１の実施の形態］
（通信制御システムの構成）
図１は、第１の実施の形態に係る本発明の実施の形態に係る通信制御システムの構成の一例を示す図である。
【００１７】
通信制御システム１は、クラウド基盤２、企業ネットワーク３Ａ，３Ｂ及び認証局４等を有し、それぞれインターネット５によって互いに通信可能に接続される。
【００１８】
クラウド基盤２は、端末装置９の要求に応じて、仮想計算機を起動するとともに当該起動した仮想計算機上で各種プログラムを実行させることによって、ウェブアプリケーションの実行等のサービスを提供するものであり、本実施の形態では既にクラウド基盤２上で、仮想認証プロキシサーバ６Ａ、アプリケーションサーバ７Ａ，７Ｂ、仮想認証プロキシサーバ６Ｂ及びアプリケーションサーバ７Ｃ，７Ｄ等が起動し動作しているものとする。なお、仮想認証プロキシサーバ及びアプリケーションサーバは、単数又は複数のいずれでもよく、これらの接続方法も図示する例に限定するものではない。
【００１９】
仮想認証プロキシサーバ６Ａ，６Ｂは、アプリケーションサーバ７Ａ〜７Ｄが端末装置９から認証が必要となるサービスの要求を受け付けた場合に、アプリケーションサーバ７Ａ〜７Ｄからその認証依頼を受け付けて、認証サーバ装置８Ａ又は８Ｂに認証させる。なお、仮想認証プロキシサーバ６Ａは、企業ネットワーク３Ａの端末装置９が使用するものであり、仮想認証プロキシサーバ６Ｂは、企業ネットワーク３Ｂの端末装置９が使用するものとする。
【００２０】
アプリケーションサーバ７Ａ〜７Ｄは、端末装置９の要求に応じてウェブアプリケーション等のサービスを提供する。また、アプリケーションサーバ７Ａ〜７Ｄは、端末装置９から認証が必要となるサービスの要求を受け付けた場合に、仮想認証プロキシサーバ６Ａ又は６Ｂにその認証を依頼する。なお、アプリケーションサーバ７Ａ及び７Ｂは、企業ネットワーク３Ａの端末装置９から利用可能であり、アプリケーションサーバ７Ｃ及び７Ｄは、企業ネットワーク３Ｂの端末装置９から利用可能とする。
【００２１】
企業ネットワーク３Ａは、認証サーバ装置８Ａ、端末装置９等を有し、それぞれＬＡＮ（Local Area Network）３１によって互いに通信可能に接続される。なお、企業ネットワーク３Ａは、ファイヤウォール３０によってＬＡＮ３１外のインターネット５を介した通信を制限する。つまり、認証サーバ装置８Ａ及び端末装置９を企業ネットワーク３Ａに接続されていない外部装置から使用することはできない。また、ＬＡＮ３１は、有線、無線は問わない。また、端末装置９は、単数又は複数のいずれでもよく図示する例によって数を限定するものではない。
【００２２】
認証サーバ装置８Ａは、例えば、予め登録されたユーザ名及びユーザ名に対応したパスワードを有しており、認証依頼に応じて認証結果を出力する。なお、ユーザ名及びパスワードに限らず、ＩＤカードを用いた認証や、静脈認証等の認証情報を用いてもよい。
【００２３】
端末装置９は、アプリケーションサーバ７Ａ〜７Ｄに対するクライアント装置であり、ＬＣＤ等の表示部、キーボード及びマウス等の操作部並びにＣＰＵ等からなる制御部等を有し、利用者の操作部に対する操作内容に応じてアプリケーションサーバ７Ａのウェブアプリケーションの実行を要求して、アプリケーションサーバ７Ａ〜７Ｄの応答として出力される画像情報等に基づき表示部に操作用の画像等を表示する。
【００２４】
企業ネットワーク３Ｂは、企業ネットワーク３Ａの企業と異なる企業のネットワークであるが、その構成は企業ネットワーク３Ａと同様であるため説明を省略する。
【００２５】
認証局４は、外部から公開鍵を受け取って登録し、その公開鍵及び公開鍵の持ち主等を記載した電子公開鍵証明書を発行する。
【００２６】
図２は、仮想認証プロキシサーバ６Ａの構成の一例を示すブロック図である。
【００２７】
仮想認証プロキシサーバ６Ａは、ＣＰＵ等から構成され各部を制御するとともに各種のプログラムを実行する制御部６０と、ＨＤＤ（Hard Disk Drive）やフラッシュメモリ等の記憶装置から構成され情報を記憶する記憶部６１と、インターネット５を介して外部と通信する通信部６２とを有する。
【００２８】
制御部６０は、通信制御プログラム６１０を実行することで、鍵対生成手段６００、コード署名手段６０１、認証準備プログラム送信手段６０２、認証依頼受付手段６０３、端末認証プログラム送信手段６０４及び認証結果送信手段６０５等として機能する。
【００２９】
鍵対生成手段６００は、秘密鍵及び公開鍵を生成する。
【００３０】
コード署名手段６０１は、後述する認証準備プログラム６１１及び端末認証プログラム６１２に電子署名及び電子証明書を添付してコード署名する。
【００３１】
認証準備プログラム送信手段６０２は、取得要求を受け付けると、コード署名手段６０１がコード署名した、端末認証プログラム６１２を取得するための認証準備プログラム６１１をアプリケーションサーバ７Ａ，７Ｂに送信する。
【００３２】
認証依頼受付手段６０３は、アプリケーションサーバ７Ａ，７Ｂの認証依頼を受け付ける。
【００３３】
端末認証プログラム送信手段６０４は、コード署名手段６０１がコード署名した、アプリケーションサーバ７Ａ，７Ｂの認証依頼を端末装置９によって認証サーバ装置８Ａ又は８Ｂに送信させるための端末認証プログラム６１２を端末装置９へ送信する。
【００３４】
認証結果送信手段６０５は、認証サーバ装置８Ａの認証結果を検証してアプリケーションサーバ７Ａ，７Ｂに送信する。
【００３５】
記憶部６１は、制御部６０を上述した手段６００〜６０５として動作させる通信制御プログラム６１０、例えば、Java（登録商標） Applet等の言語で記述される認証準備プログラム６１１及び端末認証プログラム６１２等の情報を格納する。なお、認証準備プログラム６１１及び端末認証プログラム６１２は、予め記憶部６１に格納されずに外部装置に送信する際に生成するものでもよい。
【００３６】
（動作）
以下に、通信制御システムの動作を図１〜４を参照しつつ説明する。なお、以下の説明において、アプリケーションサーバ７Ａ、仮想認証プロキシサーバ６Ａ、企業ネットワーク３Ａ内の端末装置９及び認証サーバ装置８Ａが動作する例を示すが、図１に示す装置のうち対応する機能を有する装置が動作する場合も同様に動作する。
【００３７】
（１）準備動作
図３Ａ〜３Ｃは、通信制御システム１の動作の一例を示すフローチャートである。
【００３８】
まず、仮想認証プロキシサーバ６Ａの鍵対生成手段６００は、秘密鍵及び公開鍵からなる鍵対を生成する（Ｓ６００）。次に、コード署名手段６０１は、公開鍵に基づいた電子証明書の作成を認証局４に要求する（Ｓ６０１）。
【００３９】
図４は、鍵対生成手段６００の鍵対の生成例及びコード署名手段６０１のプログラムに対するコード署名例を説明するための図である。
【００４０】
コード署名手段６０１は、公開鍵６００Ｂに基づいた電子証明書の作成を認証局４に要求Ｄ１することで、認証局は電子証明書６００Ｃを作成し（Ｓ４０１）、仮想認証プロキシサーバ６Ａに送信Ｄ２する（Ｓ４０２）。
【００４１】
コード署名手段６０１は、電子証明書６００Ｃを受信し（Ｓ６０２）、図示しないメモリに一時的に記憶する。
【００４２】
一方、アプリケーションサーバ７Ａは、認証準備プログラム６１１の取得を仮想認証プロキシサーバ６Ａに要求する（Ｓ７００）。
【００４３】
仮想認証プロキシサーバ６Ａの認証準備プログラム送信手段６０２は、アプリケーションサーバ７Ａの取得要求を受け付け（Ｓ６０３）、コード署名手段６０１は、秘密鍵６００Ａに基づいて認証準備プログラム６１１の電子署名６００Ｄを作成Ｄ３し、認証準備プログラム６１１に電子署名６００Ｄ及び電子証明書６００Ｃを添付することでコード署名し（Ｓ６０４）、コード署名した認証準備プログラム６１１をアプリケーションサーバ７Ａに送信Ｄ４する（Ｓ６０５）。
【００４４】
アプリケーションサーバ７Ａは、仮想認証プロキシサーバ６Ａからコード署名された認証準備プログラム６１１を受信する（Ｓ７０１）。
【００４５】
また、端末装置９は、図示しない鍵対生成手段によって秘密鍵及び公開鍵の鍵対を生成し（Ｓ９００）、公開鍵を認証局４に登録する（Ｓ９０１）。認証局４は、端末装置９から公開鍵を受け付けて登録する（Ｓ４０３）。
【００４６】
（２）認証要求動作
まず、利用者は、ウェブアプリケーションを利用するため、端末装置９を操作する。端末装置９は、操作に応じてインターネット５を介してアプリケーションサーバ７Ａと通信し、ログインを要求する（Ｓ９０２）。
【００４７】
アプリケーションサーバ７Ａは、端末装置９のログイン要求を受信し（Ｓ７０１）、ログイン画面を端末装置９の表示部に表示するための画像情報と認証準備プログラム６１１とを送信する（Ｓ７０３）。ここで、認証準備プログラム６１１はコード署名されたものであり、画像情報に組み込まれて送信される。
【００４８】
次に、端末装置９は、ログイン画面画像情報と認証準備プログラム６１１とを受信し（Ｓ９０３）、ログイン画面画像を表示する（Ｓ９０４）。
【００４９】
利用者は、ログイン画面画像を参照し、操作部を操作してユーザ名及びパスワードを入力する。端末装置９は、入力されたユーザ名及びパスワードを受け付けて（Ｓ９０５）、アプリケーションサーバ７Ａに送信する（Ｓ９０６）。
【００５０】
アプリケーションサーバ７Ａは、端末装置９からユーザ名及びパスワードを受信し（Ｓ７０４）、仮想認証プロキシサーバ６Ａに受信したユーザ名及びパスワードの認証を依頼する（Ｓ７０５）。
【００５１】
仮想認証プロキシサーバ６Ａの認証依頼受付手段６０３は、アプリケーションサーバ７Ａから認証依頼を受け付ける（Ｓ６０６）。また、その認証依頼をきっかけに、コード署名手段６０１は、図４に示すように、秘密鍵６００Ａに基づいて端末認証プログラム６１２の電子署名６００Ｅを作成Ｄ５し、端末認証プログラム６１２に電子署名６００Ｅ及び電子証明書６００Ｃを添付することでコード署名する（Ｓ６０７）。
【００５２】
一方、端末装置９は、認証準備プログラム６１１を起動し（Ｓ９０７）、認証準備プログラム６１１を実行することで仮想認証プロキシサーバ６Ａにポーリングする（Ｓ９０８）。なお、端末装置９は、認証準備プログラム６１１を起動する際に、コード署名を検証することで、改ざんの有無やプログラム作成者等の情報を確認する。
【００５３】
端末認証プログラム送信手段６０４は、端末装置９からポーリングを受信すると（Ｓ６０８）、コード署名された端末認証プログラム６１２を端末装置９に送信Ｄ６する（Ｓ６０９）。なお、端末認証プログラム送信手段６０４は、端末認証プログラム６１２とともに、ユーザ名及びパスワード並びに認証セッションＩＤを送信する。
【００５４】
端末装置９は、アプリケーションサーバ７Ａから端末認証プログラム６１２、ユーザ名及びパスワード並びに認証セッションＩＤを受信し（Ｓ９０９）、コード署名を検証して端末認証プログラム６１２を起動する（Ｓ９１０）。
【００５５】
（３）認証実行動作
次に、端末装置９は、端末認証プログラム６１２を実行することで、ＬＡＮ３１で接続された認証サーバ装置８Ａにユーザ名及びパスワードの認証を依頼する（Ｓ９１１）。
【００５６】
認証サーバ装置８Ａは、端末装置９から認証依頼を受け付け（Ｓ８００）、ユーザ名及びパスワードがデータベースに予め登録されたユーザ名及びパスワードと一致するか否か照合して認証する（Ｓ８０１）。次に、認証サーバ装置８Ａは、認証結果を端末装置９に送信する（Ｓ８０２）。
【００５７】
端末装置９は、認証サーバ装置８Ａから認証結果を受信し（Ｓ９１２）、ステップＳ９００で生成した秘密鍵で電子署名を生成し、認証結果に添付する（Ｓ９１３）。端末装置９は、電子署名が添付された認証結果を認証セッションＩＤとともに仮想認証プロキシサーバ６Ａに送信する（Ｓ９１４）。
【００５８】
仮想認証プロキシサーバ６Ａの認証結果送信手段６０５は、端末装置９から認証結果を受信し（Ｓ６１０）、検証するために認証局４に端末装置９の公開鍵の取得を要求する（Ｓ６１１）。
【００５９】
認証局４は、端末装置９の公開鍵の取得要求を受け付けて（Ｓ４０４）、登録された端末装置９の公開鍵を仮想認証プロキシサーバ６Ａに送信する（Ｓ４０５）。
【００６０】
仮想認証プロキシサーバ６Ａの認証結果送信手段６０５は、認証局４から端末装置９の公開鍵を受信し（Ｓ６１２）、受信した公開鍵によって認証結果を検証し（Ｓ６１３）、検証に問題がなければ認証結果をアプリケーションサーバ７Ａに送信する（Ｓ６１４）。
【００６１】
アプリケーションサーバ７Ａは、仮想認証プロキシサーバ６Ａから認証結果を受信し（Ｓ７０６）、認証結果に基づいてウェブアプリケーションの機能を提供する（Ｓ７０７）。なお、認証結果が認証不可の場合は、機能を提供しないか、機能を制限して提供する。
【００６２】
端末装置９は、アプリケーションサーバ７Ａから提供されるウェブアプリケーションの機能を利用する（Ｓ９１５）。
【００６３】
［第２の実施の形態］
第２の実施の形態は、端末装置９に入力されたユーザ名及びパスワードを直接、企業ネットワーク３Ａの外部に送信しない点で第１の実施の形態と異なる。
【００６４】
通信制御システム１は、まず、第１の実施の形態で説明した動作のうち、図４Ａを用いて説明した動作を実行する。端末装置９がステップＳ９０５を実行した後、以下に説明する動作を実行する。
【００６５】
図５は、第２の実施の形態に係る通信制御システム１の動作の一例を示すフローチャートである。
【００６６】
端末装置９は、認証準備プログラム６１１を起動し（Ｓ９０７）、認証準備プログラム６１１を実行することでステップＳ９０５において受け付けたユーザ名及びパスワードを図示しないメモリに一時的に保存する（Ｓ９５０）。次に、端末装置９は、認証準備プログラム６１１を実行することで、ユーザ名、パスワード及び乱数に基づいてＭＡＣ（Message Authentication Code）を生成し（Ｓ９５１）、アプリケーションサーバ７Ａに送信する（Ｓ９５２）。
【００６７】
アプリケーションサーバ７Ａは、端末装置９からＭＡＣを受信し（Ｓ７５０）、仮想認証プロキシサーバ６Ａに受信したＭＡＣの認証を依頼する（Ｓ７５１）。
【００６８】
仮想認証プロキシサーバ６Ａの認証依頼受付手段６０３は、アプリケーションサーバ７Ａから認証依頼を受け付ける（Ｓ６０６）。また、その認証依頼をきっかけに、コード署名手段６０１は、秘密鍵６００Ａに基づいて端末認証プログラム６１２の電子署名６００Ｅを作成Ｄ５し、端末認証プログラム６１２に電子署名６００Ｅ及び電子証明書６００Ｃを添付することでコード署名する（Ｓ６０７）。
【００６９】
一方、端末装置９は、認証準備プログラムを実行することで、仮想認証プロキシサーバ６Ａにポーリングする（Ｓ９０８）。
【００７０】
端末認証プログラム送信手段６０４は、端末装置９からポーリングを受信すると（Ｓ６０８）、コード署名された端末認証プログラム６１２をＭＡＣとともに端末装置９に送信Ｄ６する（Ｓ６５０）。なお、端末認証プログラム送信手段６０４は、端末認証プログラム６１２及びＭＡＣとともに、認証セッションＩＤを送信する。
【００７１】
端末装置９は、アプリケーションサーバ７Ａから端末認証プログラム６１２、ＭＡＣ並びに認証セッションＩＤを受信し（Ｓ９５３）、ステップＳ９５０で一時保存したユーザ名及びパスワード及び乱数と受信したＭＡＣとを照合して検証する（Ｓ９５４）。次に、端末装置９は、端末認証プログラム６１２を起動する（Ｓ９１０）。
【００７２】
次に、端末装置９の端末認証プログラム６１２は、ＬＡＮ３１で接続された認証サーバ装置８Ａにユーザ名及びパスワードの認証を依頼する（Ｓ９１１）。
【００７３】
認証サーバ装置８Ａは、端末装置９から認証依頼を受け付け（Ｓ８００）、ユーザ名及びパスワードがデータベースに予め登録されたユーザ名及びパスワードと一致するか否か照合して認証する（Ｓ８０１）。次に、認証サーバ装置８Ａは、認証結果を端末装置９に送信する（Ｓ８０２）。
【００７４】
端末装置９は、認証サーバ装置８Ａから認証結果を受信し（Ｓ９１２）、ステップＳ９００で生成した秘密鍵で電子署名を生成し、認証結果に添付する（Ｓ９１３）。端末装置９は、電子署名が添付された認証結果を認証セッションＩＤとともに仮想認証プロキシサーバ６Ａに送信する（Ｓ９１４）。
【００７５】
以降、通信制御システム１は、第１の実施の形態で説明した動作のうち、図４Ｃを用いて説明した動作を実行する。
【００７６】
［他の実施の形態］
なお、本発明は、上記実施の形態に限定されず、本発明の趣旨を逸脱しない範囲で種々な変形が可能である。
【００７７】
また、上記実施の形態で使用される通信制御プログラム６１０、認証準備プログラム６１１及び端末認証プログラム６１２は、ＣＤ−ＲＯＭ等の記憶媒体から装置内の記憶部に読み込んでも良く、インターネット等のネットワークに接続されているサーバ装置等から装置内の記憶部にダウンロードしてもよい。また、上記実施の形態で使用される手段６００〜６０５の一部または全部をＡＳＩＣ等のハードウェアによって実現してもよい。
【符号の説明】
【００７８】
１…通信制御システム、２…クラウド基盤、３Ａ，３Ｂ…企業ネットワーク、４…認証局、５…インターネット、６Ａ，６Ｂ…仮想認証プロキシサーバ、７Ａ-７Ｄ…アプリケーションサーバ、８Ａ，８Ｂ…認証サーバ装置、９…端末装置、３０…ファイヤウォール、６０…制御部、６１…記憶部、６２…通信部、６００…鍵対生成手段、６００Ａ…秘密鍵、６００Ｂ…公開鍵、６００Ｃ…電子証明書、６００Ｄ…電子署名、６００Ｅ…電子署名、６０１…コード署名手段、６０２…認証準備プログラム送信手段、６０３…認証依頼受付手段、６０４…端末認証プログラム送信手段、６０５…認証結果検証手段、６１０…通信制御プログラム、６１１…認証準備プログラム、６１２…端末認証プログラム
【技術分野】
【０００１】
本発明は、通信制御装置、通信制御プログラム及び通信制御システムに関する。
【背景技術】
【０００２】
従来の通信制御装置として、ＩＰ−ＶＰＮのネットワークにそれぞれ接続され企業ごとに用意された複数の社内業務システムと、インターネットを介したリモート接続用端末装置との通信を制御するものであって、インターネットを介してリモート接続用端末からパケットを受け取ると、そのパケットのデータから企業を識別し、該当する企業の社内業務システムからリモート接続用端末へパスワード入力画面を表示する情報を出力させて、その情報に対する応答としてリモート接続用端末に入力されたパスワードを受信すると、社内業務システムに転送して、社内業務システムから認証可能の応答を受け取った場合、リモート接続用端末と社内業務システムとの通信を確立し、社内業務システムから認証拒否の応答を受け取った場合、リモート接続用端末と社内業務システムとの通信を遮断するものが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−５５０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、認証サーバを利用できないサーバが認証サーバ装置を利用できる端末装置からサービスの利用要求を受け付けたとき、当該端末装置を利用してサービスの利用に要求される認証を実行することができる通信制御装置、通信制御プログラム及び通信制御システムを提供することにある。
【課題を解決するための手段】
【０００５】
［１］外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段とを有する通信制御装置。
【０００６】
［２］秘密鍵及び公開鍵を生成する鍵対生成手段と、前記端末認証プログラムに前記公開鍵に基づく電子証明書と前記秘密鍵に基づく電子署名とを付加するコード署名を実行するコード署名手段とをさらに有する前記［１］に記載の通信制御装置。
【０００７】
［３］前記サーバ及び前記受付手段は、前記認証情報として符号化された認証情報を受け付ける前記［１］に記載の通信制御装置。
【０００８】
［４］前記外部端末は、秘密鍵及び公開鍵を生成するとともに、前記認証結果に電子署名を添付し、前記認証結果送信手段は、前記外部端末が生成した公開鍵に基づいて受信した当該認証結果が真正か否かを検証する前記［１］に記載の通信制御装置。
【０００９】
［５］コンピュータを、外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段として機能させる通信制御プログラム。
【００１０】
［６］認証情報に基づいて利用者を認証する外部認証サーバと、前記外部認証サーバの前記認証サービスを利用できる外部端末と、前記外部認証サーバの前記認証サービスを利用できない通信制御装置と、前記外部端末から利用要求とともに認証情報を受け付けたとき、前記通信制御装置に認証依頼を出力する、前記外部認証サーバを利用できないサーバとを有する通信制御システムであって、前記通信制御装置は、前記サーバから前記認証情報の認証依頼を受け付けると、前記認証情報と、端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信し、前記外部端末は、前記端末認証プログラムを実行して、前記認証情報を前記外部認証サーバに送信して認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として機能し、前記通信制御装置は、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する通信制御システム。
【発明の効果】
【００１１】
請求項１、請求項５又は請求項６に係る発明によれば、認証サーバを利用できないサーバが認証サーバ装置を利用できる端末装置からサービスの利用要求を受け付けたとき、当該端末装置を利用してサービスの利用に要求される認証を実行することができる。
【００１２】
請求項２に係る発明によれば、端末認証プログラムをコード署名することができる。
【００１３】
請求項３に係る発明によれば、認証情報を符号化して扱うことができる。
【００１４】
請求項４に係る発明によれば、認証結果の改変の有無を検証することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、第１の実施の形態に係る本発明の実施の形態に係る通信制御システムの構成の一例を示す図である。
【図２】図２は、仮想認証プロキシサーバ装置の構成の一例を示すブロック図である。
【図３Ａ】図３Ａは、通信制御システムの動作の一例を示すフローチャートである。
【図３Ｂ】図３Ｂは、通信制御システムの動作の一例を示すフローチャートである。
【図３Ｃ】図３Ｃは、通信制御システムの動作の一例を示すフローチャートである。
【図４】図４は、鍵対生成手段の鍵対の生成例及びコード署名手段のプログラムに対するコード署名例を説明するための図である。
【図５】図５は、第２の実施の形態に係る通信制御システムの動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１６】
［第１の実施の形態］
（通信制御システムの構成）
図１は、第１の実施の形態に係る本発明の実施の形態に係る通信制御システムの構成の一例を示す図である。
【００１７】
通信制御システム１は、クラウド基盤２、企業ネットワーク３Ａ，３Ｂ及び認証局４等を有し、それぞれインターネット５によって互いに通信可能に接続される。
【００１８】
クラウド基盤２は、端末装置９の要求に応じて、仮想計算機を起動するとともに当該起動した仮想計算機上で各種プログラムを実行させることによって、ウェブアプリケーションの実行等のサービスを提供するものであり、本実施の形態では既にクラウド基盤２上で、仮想認証プロキシサーバ６Ａ、アプリケーションサーバ７Ａ，７Ｂ、仮想認証プロキシサーバ６Ｂ及びアプリケーションサーバ７Ｃ，７Ｄ等が起動し動作しているものとする。なお、仮想認証プロキシサーバ及びアプリケーションサーバは、単数又は複数のいずれでもよく、これらの接続方法も図示する例に限定するものではない。
【００１９】
仮想認証プロキシサーバ６Ａ，６Ｂは、アプリケーションサーバ７Ａ〜７Ｄが端末装置９から認証が必要となるサービスの要求を受け付けた場合に、アプリケーションサーバ７Ａ〜７Ｄからその認証依頼を受け付けて、認証サーバ装置８Ａ又は８Ｂに認証させる。なお、仮想認証プロキシサーバ６Ａは、企業ネットワーク３Ａの端末装置９が使用するものであり、仮想認証プロキシサーバ６Ｂは、企業ネットワーク３Ｂの端末装置９が使用するものとする。
【００２０】
アプリケーションサーバ７Ａ〜７Ｄは、端末装置９の要求に応じてウェブアプリケーション等のサービスを提供する。また、アプリケーションサーバ７Ａ〜７Ｄは、端末装置９から認証が必要となるサービスの要求を受け付けた場合に、仮想認証プロキシサーバ６Ａ又は６Ｂにその認証を依頼する。なお、アプリケーションサーバ７Ａ及び７Ｂは、企業ネットワーク３Ａの端末装置９から利用可能であり、アプリケーションサーバ７Ｃ及び７Ｄは、企業ネットワーク３Ｂの端末装置９から利用可能とする。
【００２１】
企業ネットワーク３Ａは、認証サーバ装置８Ａ、端末装置９等を有し、それぞれＬＡＮ（Local Area Network）３１によって互いに通信可能に接続される。なお、企業ネットワーク３Ａは、ファイヤウォール３０によってＬＡＮ３１外のインターネット５を介した通信を制限する。つまり、認証サーバ装置８Ａ及び端末装置９を企業ネットワーク３Ａに接続されていない外部装置から使用することはできない。また、ＬＡＮ３１は、有線、無線は問わない。また、端末装置９は、単数又は複数のいずれでもよく図示する例によって数を限定するものではない。
【００２２】
認証サーバ装置８Ａは、例えば、予め登録されたユーザ名及びユーザ名に対応したパスワードを有しており、認証依頼に応じて認証結果を出力する。なお、ユーザ名及びパスワードに限らず、ＩＤカードを用いた認証や、静脈認証等の認証情報を用いてもよい。
【００２３】
端末装置９は、アプリケーションサーバ７Ａ〜７Ｄに対するクライアント装置であり、ＬＣＤ等の表示部、キーボード及びマウス等の操作部並びにＣＰＵ等からなる制御部等を有し、利用者の操作部に対する操作内容に応じてアプリケーションサーバ７Ａのウェブアプリケーションの実行を要求して、アプリケーションサーバ７Ａ〜７Ｄの応答として出力される画像情報等に基づき表示部に操作用の画像等を表示する。
【００２４】
企業ネットワーク３Ｂは、企業ネットワーク３Ａの企業と異なる企業のネットワークであるが、その構成は企業ネットワーク３Ａと同様であるため説明を省略する。
【００２５】
認証局４は、外部から公開鍵を受け取って登録し、その公開鍵及び公開鍵の持ち主等を記載した電子公開鍵証明書を発行する。
【００２６】
図２は、仮想認証プロキシサーバ６Ａの構成の一例を示すブロック図である。
【００２７】
仮想認証プロキシサーバ６Ａは、ＣＰＵ等から構成され各部を制御するとともに各種のプログラムを実行する制御部６０と、ＨＤＤ（Hard Disk Drive）やフラッシュメモリ等の記憶装置から構成され情報を記憶する記憶部６１と、インターネット５を介して外部と通信する通信部６２とを有する。
【００２８】
制御部６０は、通信制御プログラム６１０を実行することで、鍵対生成手段６００、コード署名手段６０１、認証準備プログラム送信手段６０２、認証依頼受付手段６０３、端末認証プログラム送信手段６０４及び認証結果送信手段６０５等として機能する。
【００２９】
鍵対生成手段６００は、秘密鍵及び公開鍵を生成する。
【００３０】
コード署名手段６０１は、後述する認証準備プログラム６１１及び端末認証プログラム６１２に電子署名及び電子証明書を添付してコード署名する。
【００３１】
認証準備プログラム送信手段６０２は、取得要求を受け付けると、コード署名手段６０１がコード署名した、端末認証プログラム６１２を取得するための認証準備プログラム６１１をアプリケーションサーバ７Ａ，７Ｂに送信する。
【００３２】
認証依頼受付手段６０３は、アプリケーションサーバ７Ａ，７Ｂの認証依頼を受け付ける。
【００３３】
端末認証プログラム送信手段６０４は、コード署名手段６０１がコード署名した、アプリケーションサーバ７Ａ，７Ｂの認証依頼を端末装置９によって認証サーバ装置８Ａ又は８Ｂに送信させるための端末認証プログラム６１２を端末装置９へ送信する。
【００３４】
認証結果送信手段６０５は、認証サーバ装置８Ａの認証結果を検証してアプリケーションサーバ７Ａ，７Ｂに送信する。
【００３５】
記憶部６１は、制御部６０を上述した手段６００〜６０５として動作させる通信制御プログラム６１０、例えば、Java（登録商標） Applet等の言語で記述される認証準備プログラム６１１及び端末認証プログラム６１２等の情報を格納する。なお、認証準備プログラム６１１及び端末認証プログラム６１２は、予め記憶部６１に格納されずに外部装置に送信する際に生成するものでもよい。
【００３６】
（動作）
以下に、通信制御システムの動作を図１〜４を参照しつつ説明する。なお、以下の説明において、アプリケーションサーバ７Ａ、仮想認証プロキシサーバ６Ａ、企業ネットワーク３Ａ内の端末装置９及び認証サーバ装置８Ａが動作する例を示すが、図１に示す装置のうち対応する機能を有する装置が動作する場合も同様に動作する。
【００３７】
（１）準備動作
図３Ａ〜３Ｃは、通信制御システム１の動作の一例を示すフローチャートである。
【００３８】
まず、仮想認証プロキシサーバ６Ａの鍵対生成手段６００は、秘密鍵及び公開鍵からなる鍵対を生成する（Ｓ６００）。次に、コード署名手段６０１は、公開鍵に基づいた電子証明書の作成を認証局４に要求する（Ｓ６０１）。
【００３９】
図４は、鍵対生成手段６００の鍵対の生成例及びコード署名手段６０１のプログラムに対するコード署名例を説明するための図である。
【００４０】
コード署名手段６０１は、公開鍵６００Ｂに基づいた電子証明書の作成を認証局４に要求Ｄ１することで、認証局は電子証明書６００Ｃを作成し（Ｓ４０１）、仮想認証プロキシサーバ６Ａに送信Ｄ２する（Ｓ４０２）。
【００４１】
コード署名手段６０１は、電子証明書６００Ｃを受信し（Ｓ６０２）、図示しないメモリに一時的に記憶する。
【００４２】
一方、アプリケーションサーバ７Ａは、認証準備プログラム６１１の取得を仮想認証プロキシサーバ６Ａに要求する（Ｓ７００）。
【００４３】
仮想認証プロキシサーバ６Ａの認証準備プログラム送信手段６０２は、アプリケーションサーバ７Ａの取得要求を受け付け（Ｓ６０３）、コード署名手段６０１は、秘密鍵６００Ａに基づいて認証準備プログラム６１１の電子署名６００Ｄを作成Ｄ３し、認証準備プログラム６１１に電子署名６００Ｄ及び電子証明書６００Ｃを添付することでコード署名し（Ｓ６０４）、コード署名した認証準備プログラム６１１をアプリケーションサーバ７Ａに送信Ｄ４する（Ｓ６０５）。
【００４４】
アプリケーションサーバ７Ａは、仮想認証プロキシサーバ６Ａからコード署名された認証準備プログラム６１１を受信する（Ｓ７０１）。
【００４５】
また、端末装置９は、図示しない鍵対生成手段によって秘密鍵及び公開鍵の鍵対を生成し（Ｓ９００）、公開鍵を認証局４に登録する（Ｓ９０１）。認証局４は、端末装置９から公開鍵を受け付けて登録する（Ｓ４０３）。
【００４６】
（２）認証要求動作
まず、利用者は、ウェブアプリケーションを利用するため、端末装置９を操作する。端末装置９は、操作に応じてインターネット５を介してアプリケーションサーバ７Ａと通信し、ログインを要求する（Ｓ９０２）。
【００４７】
アプリケーションサーバ７Ａは、端末装置９のログイン要求を受信し（Ｓ７０１）、ログイン画面を端末装置９の表示部に表示するための画像情報と認証準備プログラム６１１とを送信する（Ｓ７０３）。ここで、認証準備プログラム６１１はコード署名されたものであり、画像情報に組み込まれて送信される。
【００４８】
次に、端末装置９は、ログイン画面画像情報と認証準備プログラム６１１とを受信し（Ｓ９０３）、ログイン画面画像を表示する（Ｓ９０４）。
【００４９】
利用者は、ログイン画面画像を参照し、操作部を操作してユーザ名及びパスワードを入力する。端末装置９は、入力されたユーザ名及びパスワードを受け付けて（Ｓ９０５）、アプリケーションサーバ７Ａに送信する（Ｓ９０６）。
【００５０】
アプリケーションサーバ７Ａは、端末装置９からユーザ名及びパスワードを受信し（Ｓ７０４）、仮想認証プロキシサーバ６Ａに受信したユーザ名及びパスワードの認証を依頼する（Ｓ７０５）。
【００５１】
仮想認証プロキシサーバ６Ａの認証依頼受付手段６０３は、アプリケーションサーバ７Ａから認証依頼を受け付ける（Ｓ６０６）。また、その認証依頼をきっかけに、コード署名手段６０１は、図４に示すように、秘密鍵６００Ａに基づいて端末認証プログラム６１２の電子署名６００Ｅを作成Ｄ５し、端末認証プログラム６１２に電子署名６００Ｅ及び電子証明書６００Ｃを添付することでコード署名する（Ｓ６０７）。
【００５２】
一方、端末装置９は、認証準備プログラム６１１を起動し（Ｓ９０７）、認証準備プログラム６１１を実行することで仮想認証プロキシサーバ６Ａにポーリングする（Ｓ９０８）。なお、端末装置９は、認証準備プログラム６１１を起動する際に、コード署名を検証することで、改ざんの有無やプログラム作成者等の情報を確認する。
【００５３】
端末認証プログラム送信手段６０４は、端末装置９からポーリングを受信すると（Ｓ６０８）、コード署名された端末認証プログラム６１２を端末装置９に送信Ｄ６する（Ｓ６０９）。なお、端末認証プログラム送信手段６０４は、端末認証プログラム６１２とともに、ユーザ名及びパスワード並びに認証セッションＩＤを送信する。
【００５４】
端末装置９は、アプリケーションサーバ７Ａから端末認証プログラム６１２、ユーザ名及びパスワード並びに認証セッションＩＤを受信し（Ｓ９０９）、コード署名を検証して端末認証プログラム６１２を起動する（Ｓ９１０）。
【００５５】
（３）認証実行動作
次に、端末装置９は、端末認証プログラム６１２を実行することで、ＬＡＮ３１で接続された認証サーバ装置８Ａにユーザ名及びパスワードの認証を依頼する（Ｓ９１１）。
【００５６】
認証サーバ装置８Ａは、端末装置９から認証依頼を受け付け（Ｓ８００）、ユーザ名及びパスワードがデータベースに予め登録されたユーザ名及びパスワードと一致するか否か照合して認証する（Ｓ８０１）。次に、認証サーバ装置８Ａは、認証結果を端末装置９に送信する（Ｓ８０２）。
【００５７】
端末装置９は、認証サーバ装置８Ａから認証結果を受信し（Ｓ９１２）、ステップＳ９００で生成した秘密鍵で電子署名を生成し、認証結果に添付する（Ｓ９１３）。端末装置９は、電子署名が添付された認証結果を認証セッションＩＤとともに仮想認証プロキシサーバ６Ａに送信する（Ｓ９１４）。
【００５８】
仮想認証プロキシサーバ６Ａの認証結果送信手段６０５は、端末装置９から認証結果を受信し（Ｓ６１０）、検証するために認証局４に端末装置９の公開鍵の取得を要求する（Ｓ６１１）。
【００５９】
認証局４は、端末装置９の公開鍵の取得要求を受け付けて（Ｓ４０４）、登録された端末装置９の公開鍵を仮想認証プロキシサーバ６Ａに送信する（Ｓ４０５）。
【００６０】
仮想認証プロキシサーバ６Ａの認証結果送信手段６０５は、認証局４から端末装置９の公開鍵を受信し（Ｓ６１２）、受信した公開鍵によって認証結果を検証し（Ｓ６１３）、検証に問題がなければ認証結果をアプリケーションサーバ７Ａに送信する（Ｓ６１４）。
【００６１】
アプリケーションサーバ７Ａは、仮想認証プロキシサーバ６Ａから認証結果を受信し（Ｓ７０６）、認証結果に基づいてウェブアプリケーションの機能を提供する（Ｓ７０７）。なお、認証結果が認証不可の場合は、機能を提供しないか、機能を制限して提供する。
【００６２】
端末装置９は、アプリケーションサーバ７Ａから提供されるウェブアプリケーションの機能を利用する（Ｓ９１５）。
【００６３】
［第２の実施の形態］
第２の実施の形態は、端末装置９に入力されたユーザ名及びパスワードを直接、企業ネットワーク３Ａの外部に送信しない点で第１の実施の形態と異なる。
【００６４】
通信制御システム１は、まず、第１の実施の形態で説明した動作のうち、図４Ａを用いて説明した動作を実行する。端末装置９がステップＳ９０５を実行した後、以下に説明する動作を実行する。
【００６５】
図５は、第２の実施の形態に係る通信制御システム１の動作の一例を示すフローチャートである。
【００６６】
端末装置９は、認証準備プログラム６１１を起動し（Ｓ９０７）、認証準備プログラム６１１を実行することでステップＳ９０５において受け付けたユーザ名及びパスワードを図示しないメモリに一時的に保存する（Ｓ９５０）。次に、端末装置９は、認証準備プログラム６１１を実行することで、ユーザ名、パスワード及び乱数に基づいてＭＡＣ（Message Authentication Code）を生成し（Ｓ９５１）、アプリケーションサーバ７Ａに送信する（Ｓ９５２）。
【００６７】
アプリケーションサーバ７Ａは、端末装置９からＭＡＣを受信し（Ｓ７５０）、仮想認証プロキシサーバ６Ａに受信したＭＡＣの認証を依頼する（Ｓ７５１）。
【００６８】
仮想認証プロキシサーバ６Ａの認証依頼受付手段６０３は、アプリケーションサーバ７Ａから認証依頼を受け付ける（Ｓ６０６）。また、その認証依頼をきっかけに、コード署名手段６０１は、秘密鍵６００Ａに基づいて端末認証プログラム６１２の電子署名６００Ｅを作成Ｄ５し、端末認証プログラム６１２に電子署名６００Ｅ及び電子証明書６００Ｃを添付することでコード署名する（Ｓ６０７）。
【００６９】
一方、端末装置９は、認証準備プログラムを実行することで、仮想認証プロキシサーバ６Ａにポーリングする（Ｓ９０８）。
【００７０】
端末認証プログラム送信手段６０４は、端末装置９からポーリングを受信すると（Ｓ６０８）、コード署名された端末認証プログラム６１２をＭＡＣとともに端末装置９に送信Ｄ６する（Ｓ６５０）。なお、端末認証プログラム送信手段６０４は、端末認証プログラム６１２及びＭＡＣとともに、認証セッションＩＤを送信する。
【００７１】
端末装置９は、アプリケーションサーバ７Ａから端末認証プログラム６１２、ＭＡＣ並びに認証セッションＩＤを受信し（Ｓ９５３）、ステップＳ９５０で一時保存したユーザ名及びパスワード及び乱数と受信したＭＡＣとを照合して検証する（Ｓ９５４）。次に、端末装置９は、端末認証プログラム６１２を起動する（Ｓ９１０）。
【００７２】
次に、端末装置９の端末認証プログラム６１２は、ＬＡＮ３１で接続された認証サーバ装置８Ａにユーザ名及びパスワードの認証を依頼する（Ｓ９１１）。
【００７３】
認証サーバ装置８Ａは、端末装置９から認証依頼を受け付け（Ｓ８００）、ユーザ名及びパスワードがデータベースに予め登録されたユーザ名及びパスワードと一致するか否か照合して認証する（Ｓ８０１）。次に、認証サーバ装置８Ａは、認証結果を端末装置９に送信する（Ｓ８０２）。
【００７４】
端末装置９は、認証サーバ装置８Ａから認証結果を受信し（Ｓ９１２）、ステップＳ９００で生成した秘密鍵で電子署名を生成し、認証結果に添付する（Ｓ９１３）。端末装置９は、電子署名が添付された認証結果を認証セッションＩＤとともに仮想認証プロキシサーバ６Ａに送信する（Ｓ９１４）。
【００７５】
以降、通信制御システム１は、第１の実施の形態で説明した動作のうち、図４Ｃを用いて説明した動作を実行する。
【００７６】
［他の実施の形態］
なお、本発明は、上記実施の形態に限定されず、本発明の趣旨を逸脱しない範囲で種々な変形が可能である。
【００７７】
また、上記実施の形態で使用される通信制御プログラム６１０、認証準備プログラム６１１及び端末認証プログラム６１２は、ＣＤ−ＲＯＭ等の記憶媒体から装置内の記憶部に読み込んでも良く、インターネット等のネットワークに接続されているサーバ装置等から装置内の記憶部にダウンロードしてもよい。また、上記実施の形態で使用される手段６００〜６０５の一部または全部をＡＳＩＣ等のハードウェアによって実現してもよい。
【符号の説明】
【００７８】
１…通信制御システム、２…クラウド基盤、３Ａ，３Ｂ…企業ネットワーク、４…認証局、５…インターネット、６Ａ，６Ｂ…仮想認証プロキシサーバ、７Ａ-７Ｄ…アプリケーションサーバ、８Ａ，８Ｂ…認証サーバ装置、９…端末装置、３０…ファイヤウォール、６０…制御部、６１…記憶部、６２…通信部、６００…鍵対生成手段、６００Ａ…秘密鍵、６００Ｂ…公開鍵、６００Ｃ…電子証明書、６００Ｄ…電子署名、６００Ｅ…電子署名、６０１…コード署名手段、６０２…認証準備プログラム送信手段、６０３…認証依頼受付手段、６０４…端末認証プログラム送信手段、６０５…認証結果検証手段、６１０…通信制御プログラム、６１１…認証準備プログラム、６１２…端末認証プログラム
【特許請求の範囲】
【請求項１】
外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、
前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、
前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段とを有する通信制御装置。
【請求項２】
秘密鍵及び公開鍵を生成する鍵対生成手段と、
前記端末認証プログラムに前記公開鍵に基づく電子証明書と前記秘密鍵に基づく電子署名とを付加するコード署名を実行するコード署名手段とをさらに有する請求項１に記載の通信制御装置。
【請求項３】
前記サーバ及び前記受付手段は、前記認証情報として符号化された認証情報を受け付ける請求項１に記載の通信制御装置。
【請求項４】
前記外部端末は、秘密鍵及び公開鍵を生成するとともに、前記認証結果に電子署名を添付し、
前記認証結果送信手段は、前記外部端末が生成した公開鍵に基づいて受信した当該認証結果が真正か否かを検証する請求項１に記載の通信制御装置。
【請求項５】
コンピュータを、
外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、
前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、
前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段として機能させる通信制御プログラム。
【請求項６】
認証情報に基づいて利用者を認証する外部認証サーバと、
前記外部認証サーバの前記認証サービスを利用できる外部端末と、
前記外部認証サーバの前記認証サービスを利用できない通信制御装置と、
前記外部端末から利用要求とともに認証情報を受け付けたとき、前記通信制御装置に認証依頼を出力する、前記外部認証サーバを利用できないサーバとを有する通信制御システムであって、
前記通信制御装置は、前記サーバから前記認証情報の認証依頼を受け付けると、前記認証情報と、端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信し、
前記外部端末は、前記端末認証プログラムを実行して、前記認証情報を前記外部認証サーバに送信して認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として機能し、
前記通信制御装置は、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する通信制御システム。
【請求項１】
外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、
前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、
前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段とを有する通信制御装置。
【請求項２】
秘密鍵及び公開鍵を生成する鍵対生成手段と、
前記端末認証プログラムに前記公開鍵に基づく電子証明書と前記秘密鍵に基づく電子署名とを付加するコード署名を実行するコード署名手段とをさらに有する請求項１に記載の通信制御装置。
【請求項３】
前記サーバ及び前記受付手段は、前記認証情報として符号化された認証情報を受け付ける請求項１に記載の通信制御装置。
【請求項４】
前記外部端末は、秘密鍵及び公開鍵を生成するとともに、前記認証結果に電子署名を添付し、
前記認証結果送信手段は、前記外部端末が生成した公開鍵に基づいて受信した当該認証結果が真正か否かを検証する請求項１に記載の通信制御装置。
【請求項５】
コンピュータを、
外部認証サーバによる認証サービスを利用することのできないサーバが、該外部認証サーバによる前記認証サービスを利用できる外部端末から、利用要求とともに前記外部認証サーバにおいて利用者を認証する認証情報を受け付けたとき、当該サーバから当該認証情報の認証依頼を受け付ける受付手段と、
前記受付手段が前記認証依頼を受け付けると、前記認証情報と、前記認証情報を送信して前記外部認証サーバに認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として前記外部端末を機能させるための端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信する送信手段と、
前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する認証結果送信手段として機能させる通信制御プログラム。
【請求項６】
認証情報に基づいて利用者を認証する外部認証サーバと、
前記外部認証サーバの前記認証サービスを利用できる外部端末と、
前記外部認証サーバの前記認証サービスを利用できない通信制御装置と、
前記外部端末から利用要求とともに認証情報を受け付けたとき、前記通信制御装置に認証依頼を出力する、前記外部認証サーバを利用できないサーバとを有する通信制御システムであって、
前記通信制御装置は、前記サーバから前記認証情報の認証依頼を受け付けると、前記認証情報と、端末認証プログラムとを、当該端末認証プログラムが前記外部端末で実行されるよう前記外部端末に送信し、
前記外部端末は、前記端末認証プログラムを実行して、前記認証情報を前記外部認証サーバに送信して認証を依頼する認証依頼手段および該認証依頼に応じて前記外部認証サーバから受信した前記認証依頼の結果を前記サーバに送信する結果送信手段として機能し、
前記通信制御装置は、前記外部端末から受信した前記外部認証サーバによる認証結果を前記サーバに送信する通信制御システム。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【図４】
【図５】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【図４】
【図５】
【公開番号】特開２０１１−２３２７９４（Ｐ２０１１−２３２７９４Ａ）
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願番号】特願２０１０−９９６７１（Ｐ２０１０−９９６７１）
【出願日】平成２２年４月２３日（２０１０．４．２３）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願日】平成２２年４月２３日（２０１０．４．２３）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]