ＤＲＭシステム
【課題】ユーザＩＤやパスワードが漏えいした場合でも情報漏洩を防ぐと共に、情報漏洩時の被害拡大対策を迅速に行うシステムを提供する。
【解決手段】ＤＲＭサーバ（認証サーバ）４４とクライアントＰＣ４３の時間の同期を取る為の時刻同期サーバ４６と、ワンタイムパスワードを生成する為のＵＳＢトークン４１と、クライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）４４とその前提となる製品から構成されているシステムとから構成し、クライアントＰＣ４３からファイルを開く際は、ＵＳＢトークン４１を挿入し、認証時にＤＲＭサーバ（認証サーバ）４４に認証情報およびＩＰ／ＭＡＣアドレスを送信することにより、ユーザＩＤやパスワードが漏えいしても文書を開けない様にする。
【解決手段】ＤＲＭサーバ（認証サーバ）４４とクライアントＰＣ４３の時間の同期を取る為の時刻同期サーバ４６と、ワンタイムパスワードを生成する為のＵＳＢトークン４１と、クライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）４４とその前提となる製品から構成されているシステムとから構成し、クライアントＰＣ４３からファイルを開く際は、ＵＳＢトークン４１を挿入し、認証時にＤＲＭサーバ（認証サーバ）４４に認証情報およびＩＰ／ＭＡＣアドレスを送信することにより、ユーザＩＤやパスワードが漏えいしても文書を開けない様にする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに関し、特にＵＳＢトークンを用いたセキュアなＤＲＭシステムに関する。
【背景技術】
【０００２】
個人情報保護法の施行に伴い、各企業においても情報漏洩対策防止の為の各種対策の必要性を高まっている。しかしながら、依然として、情報漏洩事件は後を絶たないのが現実である。
【０００３】
最近では、文書を暗号化し権限のある者だけに操作を許可する認証技術だけでなく、文書配布後の動的なセキュリティコントロールを実現するＤＲＭ（Digital Rights Management）技術も普及しつつある。
【０００４】
図１は、ＤＲＭ技術を使用したシステムの概要を示す機能ブロック図である。ユーザが、ビューア・アプリケーション１ａがインストールされており、表示画面１ｂを有するクライアントＰＣ１を用いて、ポリシーと呼ばれるセキュリティ設定のセットを付与された文書を開こうとした際に、必ずネットワーク経由でＤＲＭサーバ２に認証処理（Ｌ１、Ｌ２）を行う仕組みである。さらに、ＤＲＭサーバ２に対して、ＡＤサーバ３と、ＤＢサーバ４とが接続されている（Ｌ３、Ｌ４）。このシステムでは、ユーザ認証、操作許可確認（開く、印刷などイベント通知）、閲覧期限の確認などを行う。ＤＲＭサーバ２は、ユーザ認証、閲覧期限の管理、イベントの監査、認証のポリシーの制御などを行う。ＡＤサーバ３は、内部ユーザ情報の保持を行う。ＤＢサーバ４は、データべース４ａを有しており、外部ユーザ情報の保持、管理者ユーザ情報の保持、ポリシー情報の保持、イベント情報の記録、などを行う。尚、ポリシーは文書単位で設定可能である。
【０００５】
ユーザは、クライアントＰＣ１からＩＤとパスワードとを入力することで、ビューア・アプリケーション１ａを用いて文書ファイルの閲覧のための認証を求め（Ｌ１）、ＤＲＭサーバ２から閲覧ＯＫの認証を受けた場合にのみ（Ｌ２）、閲覧が可能である。
【０００６】
このような認証デバイスを用いた二次認証システムにおいては、文書管理サーバと認証サーバとを組み合わせ、アプリケーション起動時における一次認証のみでなく、指紋認証等の更なる認証（以下、「二次認証」という）を受けることで文書データを表示させることができる。尚、二次認証が解除された状態では、文書データを表示することが出来ない。
このような技術に関連する文献としては、下記特許文献１があげられる。
【０００７】
【特許文献１】特開２００４−２９５６３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
ところで、ＤＲＭ 技術を使用した製品は、文書配布後の動的なセキュリティコントロールを実現することができるが、情報漏洩を完全に防止できるわけではない。
【０００９】
１）ＤＲＭ 技術を使用した製品では、Readerアプリケーションによる文書閲覧時の認証はＩＤとパスワードとを入力することによる認証で行う。その為、ＩＤとパスワードとが漏えいした場合に、そのユーザが閲覧できる文書については、当該ユーザになりすまして、全て閲覧可能となってしまう。また、誰がなりすましたか（文書（機密情報）を入手したか）についても、事実上特定できない可能性が高いという問題がある。
【００１０】
２）文書（機密情報）が漏えいした事実も、不正な第３者がなりすまして、ＤＲＭサーバ２に認証を求めた時点では気がつかずに、その事実をユーザが認識した時点で初めて不正なアクセスが行われたことに気が付く。つまり、不正なアクセスに対しては、事後対策となり、ユーザが認識した時点から後の対応となるため、不正なアクセス後から気が付くまでの間に情報が漏えいする可能性は非常に高いという問題がある。
【００１１】
３）ＩＤ とパスワードとが第３者に漏えいした場合に、当該ユーザが閲覧権限のある文書を全て失効とする必要がある。しかしながら、ユーザが閲覧権限のある文書を全て探し出すのは現実的に難しいという問題がある。
【００１２】
４）ＤＲＭサーバでは、一度保護されたファイルを開くと、ReaderアプリケーションによるViewerの動作を終了させない限り、そのユーザが閲覧権限のある文書は、その語の認証処理が無くても継続して閲覧できてしまうという問題がある。例えば、ユーザの離席時にViewerを終了するのを忘れた場合には、他の文書を第３者に不正にアクセスされる可能性がある。
【００１３】
また、ポリシー付きファイルを、ＩＤやパスワードと一緒にウェブページに掲載された場合や、Winny等により共有された場合には、誰でも文書を見ることができる。
【００１４】
類似の事例として、文書管理サーバと認証サーバとの二次認証の事例があるが、二次認証を利用したＤＲＭ製品は現状では存在しない。
【００１５】
また、ユーザが席をはずすときにカード等を用いて一時的に二次認証を解除することにより、悪意のあるユーザによる不正使用を防止することも可能である。しかしながら、Viewer を終了させない限り、そのユーザが閲覧権限のある文書は認証無しに閲覧出来てしまうという問題については解決できない。
【００１６】
本発明の目的は、従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤ やパスワードが漏えいした場合であっても、情報漏洩を防ぐことを目的とする。また、情報漏洩時の被害拡大対策を迅速に行うことを目的とする。
【課題を解決するための手段】
【００１７】
本発明の一観点によれば、サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、ＰＩＮコードを格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記ＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、クライアントの認証・権限を保持するＤＲＭサーバ（認証サーバ）と、ユーザのＩＤ、パスワードを保持するＡＤサーバと、を有する認証システムであって、前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのＩＤ、パスワードに加えて、前記認証デバイスがもつＰＩＮと、生成した前記ワンタイムパスワードと、により、認証処理を行うことを特徴とするＤＲＭ認証システムが提供される。
【００１８】
前記認証デバイスを挿入した時点で前記クライアントＰＣを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することが好ましい。これにより、不正にアクセスされた際にもアクセス元のクライアントを特定することができる。
【００１９】
前記ＤＲＭサーバが前記ＰＩＮを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否かによる一次認証が行われ、次いで、前記ユーザのＩＤと前記パスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となることが好ましい。前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れるようにしても良い。これにより、再度前記認証デバイスの接続からやり直さない限り、認証を可として文書にアクセスすることができないように構成されている。
【００２０】
前記認証デバイスの接続を検出した後に、ある期間毎に接続を確認することが好ましい。前記クライアントからファイルを開く場合に、前記クライアントに前記認証デバイスを接続され、前記クライアントから前記ＤＲＭサーバに、まず前記ＰＩＮとMACアドレスが送信され、前記ＤＲＭサーバがワンタイムパスワードを前記クライアントに要求し、前記クライアント側でワンタイムパスワードを生成し、前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることが好ましい。同期がとれていなければ認証に失敗するので、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントでは見ることができない。
【００２１】
操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することが好ましい。操作とは、例えば、印刷や変更の操作などである。
【００２２】
同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントＰＣでは見ることができないようになる。
【００２３】
また、印刷や変更の操作を行う度に、前記認証デバイスの持っている情報である前記PINおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断するようにしても良い。
【発明の効果】
【００２４】
以上のように本発明の認証デバイスを用いたセキュアなＤＲＭシステムによれば、以下に示すような効果がある。
【００２５】
従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。
【発明を実施するための最良の形態】
【００２６】
本明細書における用語について定義する。ワンタイムパスワード（One Time Password（OTP））とは、認証のために1回しか使えない「使い捨てパスワード」のことである。尚、ワンタイムパスワードの生成にはいくつかの方法があるが、SecurIDではサーバ との時刻同期を利用している。トークンと呼ばれるワンタイムパスワード生成器は、通常はキーホルダー型やPDAのソフトウェアなどになっており、あらかじめサーバと時刻を同期させておく。
【００２７】
トークンは、ユーザ固有のPIN（Personal Identification Number）もしくは暗証番号と時刻との組み合わせから、一見ランダムな１０桁程度の数字を生成する。この数字がワンタイムパスワードとして、サーバにログインする際に利用される。サーバは、トークンと同じアルゴリズムを用いて、パスワードが正規のユーザからのものであるかどうかを確認することができる。トークンが生成するパスワードは極めて短時間（例えば１分）ごとに変化するため、パスワードが万が一盗聴されたとしても、有効期間は最大でも1分程度しかない。そして、すべてのパスワードは繰り返し使われることなく使い捨てとなるため、高い安全性が保持できる。
【００２８】
本実施の形態による認証技術の特徴は、サーバとクライアントの時間の同期を取る為の時刻同期サーバと、ワンタイムパスワードを生成する為のＵＳＢトークンと、クライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）とその前提となる製品から構成されているシステムから成り、ＵＳＢトークンを挿入した時点で端末を特定するIP/MACアドレスを抜き出し、認証時にサーバに認証情報と一緒に送信する手段を有する。これにより、ＵＳＢトークンを紛失した時にも、紛失に気付いた時点で管理者に連絡することにより、ＵＳＢトークンを無効化することができ、最初のファイル閲覧時だけでなく印刷や変更の操作を行う度にＵＳＢトークンの持っている情報（ＰＩＮおよびワンタイムパスワード）による認証を必要とし、クライアントＰＣからＵＳＢトークンを抜いた時点で、リーダ等のビューア・アプリケーションのセッションが切れるように構成されている。従って、再度ＵＳＢトークンの認証からやり直さないと、文書が開けない。また、クライアントＰＣにおいてファイルが開かれる場合に、クライアントＰＣの時刻がＤＲＭサーバの時刻と同期が取れていなければ認証に失敗するようになっている。
【００２９】
図２は、認証デバイスとしてＵＳＢトークンを用いたワンタイムパスワード認証処理の原理を示す図である。ＵＳＢトークン２２は、演算処理をデータの記憶行う内蔵チップ２３を有している。表示画面２１ｂ、入力装置２１ｃを有するクライアントＰＣ２１のＵＳＢインターフェイスにＵＳＢトークン２２を差し込むと、内蔵チップ２３に記憶された暗号化処理部２２ｃは、ＵＳＢトークン内蔵の第１のタイマ２２ａによる時刻データ（例えば１分毎に変更する場合「200811241256」等）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、暗号化アルゴリズム（ＲＳＡ暗号、ＡＥＳ暗号等）を適用して、暗号化されたトークンコード２５ａ（通常は６桁のパスワード、例えば「As13dj」）を生成する。尚、ＵＳＢトークン固有シード値２２ｂは、通常、ＵＳＢトークン出荷時に一意な値が個別に付与されている。
【００３０】
次に内蔵チップ２３に記憶されたパスワード生成部（図示せず）は、トークンコード２５ａと、ユーザ個人を特定するＰＩＮコード２５ｂ（通常は４桁の個人識別番号、例えば「1012」）を結合させて、ワンタイムパスワード２６ａ（例えば「1012As13dj」）を生成する。尚、ＰＩＮコード２５ｂは、入力装置２１ｃによりユーザが入力する場合と、ＵＳＢトークン２２に内蔵されている場合の双方が考えられる。
【００３１】
このワンタイムパスワード２６ａがクライアントＰＣ２１によって、ＤＲＭサーバ２４に送信される（Ｌ１１）。
【００３２】
一方、ＤＲＭサーバ２４側では、暗号化処理部２４ｃが、サーバ内蔵の第２のタイマ２４ａによる時刻データ（例えば「200811241256」）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、ＵＳＢトークンに内蔵された暗号化アルゴリズムと同一の暗号化アルゴリズムを適用して、暗号化されたトークンコード２８ａ（例えば「As13dj」）を生成する。
【００３３】
次にパスワード生成部（図示せず）は、トークンコード２８ａと、ＰＩＮコード２８ｂ（例えば「1012」）を結合させて、ワンタイムパスワード２６ｂ（例えば「1012As13dj」）を生成する。このワンタイムパスワード２６ｂと、クライアントＰＣ２１から送信されたワンタイムパスワード２６ａとを比較することにより認証を行う。
【００３４】
尚、使用するＵＳＢトークンの固有シード値２３ｂ、ＰＩＮコード２５ｂは、あらかじめＤＲＭサーバ２４に登録されている。また、クライアントＰＣ２１側のトークンコード２５ａとＤＲＭサーバ２４側のトークンコード２８ａの時間差が一定時間以内（例えば１分以内）であれば、ＤＲＭサーバ２４側で時間のずれが認証時に自動補正される。
【００３５】
以下、本発明の一実施の形態による認証デバイスを用いたセキュアなＤＲＭ システムについて図面を参照しながら説明する。
【００３６】
図３は、本発明の一実施の形態による認証システムの一構成例を示す図である。本実施の形態による、認証デバイスを用いたよりセキュアなＤＲＭシステムは、サーバと、クライアント３０１、３０２、３０４とを有している。各クライアント３０１・３０２には、ブラウザ３０１ａ・３０２ａとがインストールされている。また、クライアント３０４には、ビューア・アプリケーション３０３がインストールされ、時刻同期エージェント３０４ａを備えている。クライアント３０４には、認証デバイスの一例であるＵＳＢトークン３０５が挿入されるＵＳＢインターフェイスが設けられている。ＵＳＢトークン３０５（一般的にはユーザが所持している）は、ワンタイムパスワードを生成するための認証デバイスである。
【００３７】
一方、ビューアファイル３０３ａを参照できるように、クライアント側と、インターネットなどのネットワーク３０６により接続されているサーバ側は、プロキシサーバ３０７と、このプロキシサーバ３０７を介して、時間の同期を取るための時刻同期サーバ３１０と、時刻同期エージェント３０４ａが備えられクライアントの認証・権限を確認する為のＤＲＭ サーバ（認証サーバ）３１１と、その前提となるＡＤ（Active Directory）サーバ３１２、ＤＢ（データベース）サーバ３１３と、外部ユーザによるアクセス用のＳＭＴＰ（Simple Mail Transfer protocol）サーバ３０８と、バックアップ用のバックアップサーバ３０９と、から構成されている。
【００３８】
ＤＲＭサーバ（認証サーバ）３１１とクライアントＰＣ３０４とには、時刻同期エージェントがインストールされており、時刻同期サーバ３１０により、常に同期が取られている。時刻同期サーバ３１０内には、符号３１０ａで示すテーブルのように、ユーザＩＤ毎に、時刻とパスワードとが対になって格納されている。このように、時刻同期サーバ３１０はユーザ毎のワンタイムパスワードを管理しており、ＤＲＭ サーバ３１１からの認証依頼があった際に、ユーザがＵＳＢトークン３０５によりトークンコードを生成した時刻と同じ時刻にトークンコードを生成する。その後、クライアント３０４とＤＲＭサーバ３１１との両者で当該クライアントのPINと組み合わせてワンタイムパスワードを生成する。両者で生成されたワンタイムパスワードが同一であれば認証は成功となる（一次認証）。
【００３９】
ＤＲＭサーバ（認証サーバ）３１１は、ポリシーと呼ばれるセキュリティ設定のセットに紐付いた各クライアントの権限情報を管理している。クライアントから認証情報が入力され送信されてきたときには、ＡＤサーバ３１２で管理している当該ユーザの本人確認を行う。本実施の形態では、認証時にＡＤサーバ３１２で管理している当該ユーザのＩＤ、パスワードだけでなく、ＵＳＢトークンのもつPINと生成したワンタイムパスワードの情報も必要とする（二次認証）。ここで、ＵＳＢトークンをクライアント３０４から抜きだした時点で、ＤＲＭ製品のセッションも切れるようになっており、ファイルを開くことができなくなる。
【００４０】
図４は、それぞれ、本実施の形態によるシステムにおける認証の仕組みを時系列にした図であり、図５は、その際のＧＵＩを形成する画面イメージを示す図である。
ユーザがクライアントＰＣ４３においてファイルを開く場合に、クライアントＰＣ４３にＵＳＢトークン４１を挿入されていることが処理の前提となる（ＵＳＢトークン４１が挿入されていない場合は、ＤＲＭシステムの認証画面に遷移することが出来ないようになっている）。ユーザが、クライアントＰＣ４３から、ビューア・アプリケーション４２によりファイルを開こうとした場合には、クライアントＰＣ４３からＤＲＭサーバ４４に対して、まずPINとMACアドレスが送信される（１）。それを受けて、ＤＲＭサーバ４４がワンタイムパスワードをクライアントＰＣ４３に要求する（２）。クライアントＰＣ４３側でワンタイムパスワードを生成し、ＤＲＭサーバ４４に送信する（３）。送信されてきたワンタイムパスワードとPINとを元に時刻同期サーバ４６に認証を要求する（４）。時刻同期サーバ４６には、ユーザＩＤ毎に、時刻とその時刻に生成されたパスワードとの対応表４６ａが格納されている。ここで、クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、クライアントＰＣ４３以外のクライアントＰＣではデータを見ることができない。クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていれば時刻同期サーバ４６における認証がOKとなり（４、５）、一次認証がＯＫとなり（６）、ＤＲＭシステムの認証画面がクライアントＰＣ４３の表示画面に表示される（図５（ａ）参照）。クライントＰＣ４３から、当該ユーザのユーザＩＤ５０２およびパスワード５０３が入力され（７）、ＤＲＭサーバ４４において認証が行われる。ここで、ＤＲＭサーバ４４からＡＤサーバ４５に対して、ＩＤとパスワードが送られ（７−１）、PINおよびワンタイムパスワードが同じものであるか否かをチェックしてから、ＡＤ（ユーザ認証）サーバ４５から、ＤＲＭサーバ４４に対して、二次認証がＯＫか否かを伝える。その際にPINおよびワンタイムパスワードも認証に用いることにより、認証時のセキュリティを高めることが出来る。ＤＲＭサーバ４４での認証も成功すると、その旨がクライアントＰＣ４３に伝えられ（８）、クライアントＰＣ４３における文書を閲覧可能となる。
【００４１】
尚、本実施の形態によるシステムでは、クライアントＰＣ４３ からＵＳＢトークン４１を抜いた時点で、Viewerアプリケーション４２のセッションが切れるように構成されており、再度ＵＳＢトークンの認証からやり直さないと（９）、文書が開けない仕組みになっている。図５（ｂ）は、ユーザ認証画面の認証失敗例１）であり、トークンが無い場合において、文書を開く際にエラー（５１０）となり、認証画面に遷移できない。失敗の例２）は、権限がない場合の例であって、権限がないクライアントが文書を開く際にエラー（５２０）となり、閲覧が不可となる。
【００４２】
また、印刷や変更の操作を行う度に、ＵＳＢトークン４１に格納されている情報（PIN およびワンタイムパスワード）による認証が必要になる仕組みにしている。従って、離席時はＵＳＢトークン４１を所持して歩くようにしておけば、文書を他者に不正に閲覧されることが無いという利点がある。
【００４３】
図６は、本実施の形態による認証システムにおける、ＤＢサーバ３１３が保持している取得ログ情報のデータ構成例を示す図である。このデータ構成は、図６に示すように、ポリシーＩＤ＝１９７８０３２０Ｏであり、名前６０１と、所属グループ６０２と、ＩＰ／ＭＡＣアドレス６０３と、ＩＤ６０４と、パスワード６０５と、個人の暗証番号ＰＩＮ６０６と、時刻６０７と、操作ログ（成功、失敗などの結果）６０８と、ＵＳＢNo.６０９と、を有している。このテーブルは、後でログを確認するときに使用するデータを格納している。この図により、名前毎、グループ単位での、操作ログを得ることができる。これにより、後から管理者が認証に関する内容を確認することができる。
【００４４】
図７は、ＤＲＭサーバが保持している認証情報のデータテーブルの構成例を示す図であり、認証を行うときに使用するデータ群である。このデータは、ＡＤサーバに対して本人確認を行うときに必要となるＩＤ７１と、パスワード７２、および、よりセキュリティレベルを向上させるために、あらかじめ与えられた固有の個人情報番号であるユーザ（ＵＳＢトークン）毎に割り振ったPIN７３およびワンタイムパスワード７４、および、ＵＳＢトークンが誰のものであるかというＵＳＢNo.情報７５と、セッション情報７６と、認証の可否７７と、を保持している。そのため、不正にIDおよびパスワードを入手したとしても、ＵＳＢトークンを持っていない限り、PINおよびワンタイムパスワードの認証が失敗することで、不正なアクセスを抑止することができる。セッション情報を参照すると、どのタイミングにおける認証であるかを特定することができる。
【００４５】
図８は、本実施の形態による認証システムにおける認証処理の一例の概要を示すフローチャート図である。
【００４６】
クライアントＰＣにおいて、ポリシーの付いたファイルを開く操作が行われると、まず、ＵＳＢトークンが挿入されているか否かの認証が行われる。ここで、ＵＳＢトークンが挿入されている場合は（Ｙ）、ワンタイムパスワードの生成処理が行われるが、挿入されていない場合は（Ｎ）、エラー画面が表示され、ＵＳＢトークンの挿入を促すダイアログが表示される（ステップＳ８０１）。
【００４７】
ＵＳＢトークンが挿入されている場合は、クライアントＰＣ側でトークンコードおよびPIN を元にワンタイムパスワードの生成処理が行われる。一方、時刻同期サーバ側でも、クライアントＰＣ側でワンタイムパスワードを生成した時刻および当該ユーザのPIN を元に、ワンタイムパスワードを生成する（ステップＳ８０２）。
【００４８】
クライアントＰＣ側で生成されたワンタイムパスワードおよびPINと、時刻同期サーバ側で生成されたワンタイムパスワードおよび当該クライアントのPINとにより認証処理を行う。認証が成功した場合は（Ｙ）、ＤＲＭシステムの認証画面が表示されるが、認証に失敗した場合は（Ｎ）、ステップＳ８０１から再度処理を行うことになる（ステップ８０３）。
【００４９】
ＤＲＭシステムにおける認証画面で、ID およびパスワードの入力を促すダイアログを出すことで認証に必要なＩＤとパスワードの入力が促される（ステップＳ８０４）。
【００５０】
ステップＳ８０４で、入力・送信されたID およびパスワードだけでなく、ＵＳＢトークンの保持しているPIN とワンタイムパスワードとも含めて、ＤＲＭサーバ（認証サーバ）との間で認証処理を行う。認証に成功した場合は文書の閲覧が可能になるが、認証に失敗した場合はステップＳ８０１から再度処理を行うことになる（ステップＳ８０５）。
【００５１】
二次認証に成功すると（Ｙ）、文書の閲覧が可能になる（ステップＳ８０６）。ステップＳ８０７で、ＵＳＢトークンが挿入されているか否かを確認し、ＹであればステップＳ８０７の文書閲覧を維持させ、Ｎであればセッションを切断し（ステップＳ８０８）、ステップＳ８０１から再度処理を行うことになる。このように、ＵＳＢトークンが挿入されていない（抜かれた）ことが検出されると、ステップＳ８０１からの認証処理が再度求められることで、ＵＳＢトークンが抜かれることで他の人が認証しようとすると、ステップＳ８０１からの処理が求められるため、認証におけるセキュリティを、より一層高めることができる。
【００５２】
以上のように、本実施の形態による、認証デバイスを用いたセキュアなＤＲＭシステムによれば、次のような利点がある。従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。
【００５３】
尚、ＵＳＢトークン紛失時にも、紛失した事実を発見しやすい。また、発見した時点で管理者等に連絡すれば、ＵＳＢトークンを無効化することが出来る。また、それにより、当該ユーザの文書を全て探して権限を削除しなくても済むため、より迅速な情報漏洩防止を実現することができる。また、ＵＳＢトークンを挿入した時点で端末を特定するIP/MAC アドレスを抜き出し、認証時にサーバに認証情報と一緒に送信するようにすれば、不正にアクセスされた際にもアクセス元のＰＣを特定することが容易になる。
【００５４】
上記の実施の形態において、添付図面に図示されている構成等については、これらに限定されるものではなく、本発明の効果を発揮する範囲内で適宜変更することが可能である。その他、本発明の目的の範囲を逸脱しない限りにおいて適宜変更して実施することが可能である。
【００５５】
また、本実施の形態で説明した機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。尚、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
【００５６】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
【００５７】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また前記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【産業上の利用可能性】
【００５８】
本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに利用可能である。
【図面の簡単な説明】
【００５９】
【図１】ＤＲＭシステムの概要を示す機能ブロック図である。
【図２】ＵＳＢトークンによるワンタイムパスワード認証の処理の概要を示す図である。
【図３】認証デバイスを用いた、よりセキュアなＤＲＭシステム全体の構成例を示す図である。
【図４】本実施の形態によるシステムにおける認証の仕組み（認証の流れ）をしめす図である。
【図５】本システムにおける認証の仕組み（認証画面）を示す図である。
【図６】本システムにおける取得ログが持つデータテーブルの構成例を示す図である。
【図７】本システムにおける認証データが持つデータテーブルの構成例を示す図である。
【図８】本システムにおける認証処理のフローチャートである。
【符号の説明】
【００６０】
１…クライアントPC、２…DRM サーバ、３…AD サーバ、４…DB サーバ、２１…クライアント、２２…USBトークン、２３…内蔵チップ、２４…DRMサーバ（認証サーバ）、３０１…クライアントPC（Policy管理者）、３０２…クライアントPC（Policy付与者）、３０３…ビューア・アプリケーション、３０４…クライアントPC、３０５…USBトークン、３０６…インターネット、３０７…プロキシサーバ、３０８…ＳＭＴＰサーバ、３０９…バックアップサーバ、３１０…時刻同期サーバ、３１１…DRMサーバ（認証サーバ）、３１２…ADサーバ、３１３…DBサーバ、４１…USBトークン、４２…ビューア・アプリケーション、４３…クライアントPC、４４…DRMサーバ（認証サーバ）、４５…ADサーバ、４６…時刻同期サーバ、６…取得ログテーブルの項目、７…認証データテーブルの項目。
【技術分野】
【０００１】
本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに関し、特にＵＳＢトークンを用いたセキュアなＤＲＭシステムに関する。
【背景技術】
【０００２】
個人情報保護法の施行に伴い、各企業においても情報漏洩対策防止の為の各種対策の必要性を高まっている。しかしながら、依然として、情報漏洩事件は後を絶たないのが現実である。
【０００３】
最近では、文書を暗号化し権限のある者だけに操作を許可する認証技術だけでなく、文書配布後の動的なセキュリティコントロールを実現するＤＲＭ（Digital Rights Management）技術も普及しつつある。
【０００４】
図１は、ＤＲＭ技術を使用したシステムの概要を示す機能ブロック図である。ユーザが、ビューア・アプリケーション１ａがインストールされており、表示画面１ｂを有するクライアントＰＣ１を用いて、ポリシーと呼ばれるセキュリティ設定のセットを付与された文書を開こうとした際に、必ずネットワーク経由でＤＲＭサーバ２に認証処理（Ｌ１、Ｌ２）を行う仕組みである。さらに、ＤＲＭサーバ２に対して、ＡＤサーバ３と、ＤＢサーバ４とが接続されている（Ｌ３、Ｌ４）。このシステムでは、ユーザ認証、操作許可確認（開く、印刷などイベント通知）、閲覧期限の確認などを行う。ＤＲＭサーバ２は、ユーザ認証、閲覧期限の管理、イベントの監査、認証のポリシーの制御などを行う。ＡＤサーバ３は、内部ユーザ情報の保持を行う。ＤＢサーバ４は、データべース４ａを有しており、外部ユーザ情報の保持、管理者ユーザ情報の保持、ポリシー情報の保持、イベント情報の記録、などを行う。尚、ポリシーは文書単位で設定可能である。
【０００５】
ユーザは、クライアントＰＣ１からＩＤとパスワードとを入力することで、ビューア・アプリケーション１ａを用いて文書ファイルの閲覧のための認証を求め（Ｌ１）、ＤＲＭサーバ２から閲覧ＯＫの認証を受けた場合にのみ（Ｌ２）、閲覧が可能である。
【０００６】
このような認証デバイスを用いた二次認証システムにおいては、文書管理サーバと認証サーバとを組み合わせ、アプリケーション起動時における一次認証のみでなく、指紋認証等の更なる認証（以下、「二次認証」という）を受けることで文書データを表示させることができる。尚、二次認証が解除された状態では、文書データを表示することが出来ない。
このような技術に関連する文献としては、下記特許文献１があげられる。
【０００７】
【特許文献１】特開２００４−２９５６３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
ところで、ＤＲＭ 技術を使用した製品は、文書配布後の動的なセキュリティコントロールを実現することができるが、情報漏洩を完全に防止できるわけではない。
【０００９】
１）ＤＲＭ 技術を使用した製品では、Readerアプリケーションによる文書閲覧時の認証はＩＤとパスワードとを入力することによる認証で行う。その為、ＩＤとパスワードとが漏えいした場合に、そのユーザが閲覧できる文書については、当該ユーザになりすまして、全て閲覧可能となってしまう。また、誰がなりすましたか（文書（機密情報）を入手したか）についても、事実上特定できない可能性が高いという問題がある。
【００１０】
２）文書（機密情報）が漏えいした事実も、不正な第３者がなりすまして、ＤＲＭサーバ２に認証を求めた時点では気がつかずに、その事実をユーザが認識した時点で初めて不正なアクセスが行われたことに気が付く。つまり、不正なアクセスに対しては、事後対策となり、ユーザが認識した時点から後の対応となるため、不正なアクセス後から気が付くまでの間に情報が漏えいする可能性は非常に高いという問題がある。
【００１１】
３）ＩＤ とパスワードとが第３者に漏えいした場合に、当該ユーザが閲覧権限のある文書を全て失効とする必要がある。しかしながら、ユーザが閲覧権限のある文書を全て探し出すのは現実的に難しいという問題がある。
【００１２】
４）ＤＲＭサーバでは、一度保護されたファイルを開くと、ReaderアプリケーションによるViewerの動作を終了させない限り、そのユーザが閲覧権限のある文書は、その語の認証処理が無くても継続して閲覧できてしまうという問題がある。例えば、ユーザの離席時にViewerを終了するのを忘れた場合には、他の文書を第３者に不正にアクセスされる可能性がある。
【００１３】
また、ポリシー付きファイルを、ＩＤやパスワードと一緒にウェブページに掲載された場合や、Winny等により共有された場合には、誰でも文書を見ることができる。
【００１４】
類似の事例として、文書管理サーバと認証サーバとの二次認証の事例があるが、二次認証を利用したＤＲＭ製品は現状では存在しない。
【００１５】
また、ユーザが席をはずすときにカード等を用いて一時的に二次認証を解除することにより、悪意のあるユーザによる不正使用を防止することも可能である。しかしながら、Viewer を終了させない限り、そのユーザが閲覧権限のある文書は認証無しに閲覧出来てしまうという問題については解決できない。
【００１６】
本発明の目的は、従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤ やパスワードが漏えいした場合であっても、情報漏洩を防ぐことを目的とする。また、情報漏洩時の被害拡大対策を迅速に行うことを目的とする。
【課題を解決するための手段】
【００１７】
本発明の一観点によれば、サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、ＰＩＮコードを格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記ＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、クライアントの認証・権限を保持するＤＲＭサーバ（認証サーバ）と、ユーザのＩＤ、パスワードを保持するＡＤサーバと、を有する認証システムであって、前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのＩＤ、パスワードに加えて、前記認証デバイスがもつＰＩＮと、生成した前記ワンタイムパスワードと、により、認証処理を行うことを特徴とするＤＲＭ認証システムが提供される。
【００１８】
前記認証デバイスを挿入した時点で前記クライアントＰＣを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することが好ましい。これにより、不正にアクセスされた際にもアクセス元のクライアントを特定することができる。
【００１９】
前記ＤＲＭサーバが前記ＰＩＮを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否かによる一次認証が行われ、次いで、前記ユーザのＩＤと前記パスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となることが好ましい。前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れるようにしても良い。これにより、再度前記認証デバイスの接続からやり直さない限り、認証を可として文書にアクセスすることができないように構成されている。
【００２０】
前記認証デバイスの接続を検出した後に、ある期間毎に接続を確認することが好ましい。前記クライアントからファイルを開く場合に、前記クライアントに前記認証デバイスを接続され、前記クライアントから前記ＤＲＭサーバに、まず前記ＰＩＮとMACアドレスが送信され、前記ＤＲＭサーバがワンタイムパスワードを前記クライアントに要求し、前記クライアント側でワンタイムパスワードを生成し、前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることが好ましい。同期がとれていなければ認証に失敗するので、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントでは見ることができない。
【００２１】
操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することが好ましい。操作とは、例えば、印刷や変更の操作などである。
【００２２】
同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、他のクライアントＰＣでは見ることができないようになる。
【００２３】
また、印刷や変更の操作を行う度に、前記認証デバイスの持っている情報である前記PINおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断するようにしても良い。
【発明の効果】
【００２４】
以上のように本発明の認証デバイスを用いたセキュアなＤＲＭシステムによれば、以下に示すような効果がある。
【００２５】
従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。
【発明を実施するための最良の形態】
【００２６】
本明細書における用語について定義する。ワンタイムパスワード（One Time Password（OTP））とは、認証のために1回しか使えない「使い捨てパスワード」のことである。尚、ワンタイムパスワードの生成にはいくつかの方法があるが、SecurIDではサーバ との時刻同期を利用している。トークンと呼ばれるワンタイムパスワード生成器は、通常はキーホルダー型やPDAのソフトウェアなどになっており、あらかじめサーバと時刻を同期させておく。
【００２７】
トークンは、ユーザ固有のPIN（Personal Identification Number）もしくは暗証番号と時刻との組み合わせから、一見ランダムな１０桁程度の数字を生成する。この数字がワンタイムパスワードとして、サーバにログインする際に利用される。サーバは、トークンと同じアルゴリズムを用いて、パスワードが正規のユーザからのものであるかどうかを確認することができる。トークンが生成するパスワードは極めて短時間（例えば１分）ごとに変化するため、パスワードが万が一盗聴されたとしても、有効期間は最大でも1分程度しかない。そして、すべてのパスワードは繰り返し使われることなく使い捨てとなるため、高い安全性が保持できる。
【００２８】
本実施の形態による認証技術の特徴は、サーバとクライアントの時間の同期を取る為の時刻同期サーバと、ワンタイムパスワードを生成する為のＵＳＢトークンと、クライアントの認証・権限を確認する為のＤＲＭサーバ（認証サーバ）とその前提となる製品から構成されているシステムから成り、ＵＳＢトークンを挿入した時点で端末を特定するIP/MACアドレスを抜き出し、認証時にサーバに認証情報と一緒に送信する手段を有する。これにより、ＵＳＢトークンを紛失した時にも、紛失に気付いた時点で管理者に連絡することにより、ＵＳＢトークンを無効化することができ、最初のファイル閲覧時だけでなく印刷や変更の操作を行う度にＵＳＢトークンの持っている情報（ＰＩＮおよびワンタイムパスワード）による認証を必要とし、クライアントＰＣからＵＳＢトークンを抜いた時点で、リーダ等のビューア・アプリケーションのセッションが切れるように構成されている。従って、再度ＵＳＢトークンの認証からやり直さないと、文書が開けない。また、クライアントＰＣにおいてファイルが開かれる場合に、クライアントＰＣの時刻がＤＲＭサーバの時刻と同期が取れていなければ認証に失敗するようになっている。
【００２９】
図２は、認証デバイスとしてＵＳＢトークンを用いたワンタイムパスワード認証処理の原理を示す図である。ＵＳＢトークン２２は、演算処理をデータの記憶行う内蔵チップ２３を有している。表示画面２１ｂ、入力装置２１ｃを有するクライアントＰＣ２１のＵＳＢインターフェイスにＵＳＢトークン２２を差し込むと、内蔵チップ２３に記憶された暗号化処理部２２ｃは、ＵＳＢトークン内蔵の第１のタイマ２２ａによる時刻データ（例えば１分毎に変更する場合「200811241256」等）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、暗号化アルゴリズム（ＲＳＡ暗号、ＡＥＳ暗号等）を適用して、暗号化されたトークンコード２５ａ（通常は６桁のパスワード、例えば「As13dj」）を生成する。尚、ＵＳＢトークン固有シード値２２ｂは、通常、ＵＳＢトークン出荷時に一意な値が個別に付与されている。
【００３０】
次に内蔵チップ２３に記憶されたパスワード生成部（図示せず）は、トークンコード２５ａと、ユーザ個人を特定するＰＩＮコード２５ｂ（通常は４桁の個人識別番号、例えば「1012」）を結合させて、ワンタイムパスワード２６ａ（例えば「1012As13dj」）を生成する。尚、ＰＩＮコード２５ｂは、入力装置２１ｃによりユーザが入力する場合と、ＵＳＢトークン２２に内蔵されている場合の双方が考えられる。
【００３１】
このワンタイムパスワード２６ａがクライアントＰＣ２１によって、ＤＲＭサーバ２４に送信される（Ｌ１１）。
【００３２】
一方、ＤＲＭサーバ２４側では、暗号化処理部２４ｃが、サーバ内蔵の第２のタイマ２４ａによる時刻データ（例えば「200811241256」）とＵＳＢトークン固有シード値２２ｂ（例えば「132187sx」）を結合させたものに対して、ＵＳＢトークンに内蔵された暗号化アルゴリズムと同一の暗号化アルゴリズムを適用して、暗号化されたトークンコード２８ａ（例えば「As13dj」）を生成する。
【００３３】
次にパスワード生成部（図示せず）は、トークンコード２８ａと、ＰＩＮコード２８ｂ（例えば「1012」）を結合させて、ワンタイムパスワード２６ｂ（例えば「1012As13dj」）を生成する。このワンタイムパスワード２６ｂと、クライアントＰＣ２１から送信されたワンタイムパスワード２６ａとを比較することにより認証を行う。
【００３４】
尚、使用するＵＳＢトークンの固有シード値２３ｂ、ＰＩＮコード２５ｂは、あらかじめＤＲＭサーバ２４に登録されている。また、クライアントＰＣ２１側のトークンコード２５ａとＤＲＭサーバ２４側のトークンコード２８ａの時間差が一定時間以内（例えば１分以内）であれば、ＤＲＭサーバ２４側で時間のずれが認証時に自動補正される。
【００３５】
以下、本発明の一実施の形態による認証デバイスを用いたセキュアなＤＲＭ システムについて図面を参照しながら説明する。
【００３６】
図３は、本発明の一実施の形態による認証システムの一構成例を示す図である。本実施の形態による、認証デバイスを用いたよりセキュアなＤＲＭシステムは、サーバと、クライアント３０１、３０２、３０４とを有している。各クライアント３０１・３０２には、ブラウザ３０１ａ・３０２ａとがインストールされている。また、クライアント３０４には、ビューア・アプリケーション３０３がインストールされ、時刻同期エージェント３０４ａを備えている。クライアント３０４には、認証デバイスの一例であるＵＳＢトークン３０５が挿入されるＵＳＢインターフェイスが設けられている。ＵＳＢトークン３０５（一般的にはユーザが所持している）は、ワンタイムパスワードを生成するための認証デバイスである。
【００３７】
一方、ビューアファイル３０３ａを参照できるように、クライアント側と、インターネットなどのネットワーク３０６により接続されているサーバ側は、プロキシサーバ３０７と、このプロキシサーバ３０７を介して、時間の同期を取るための時刻同期サーバ３１０と、時刻同期エージェント３０４ａが備えられクライアントの認証・権限を確認する為のＤＲＭ サーバ（認証サーバ）３１１と、その前提となるＡＤ（Active Directory）サーバ３１２、ＤＢ（データベース）サーバ３１３と、外部ユーザによるアクセス用のＳＭＴＰ（Simple Mail Transfer protocol）サーバ３０８と、バックアップ用のバックアップサーバ３０９と、から構成されている。
【００３８】
ＤＲＭサーバ（認証サーバ）３１１とクライアントＰＣ３０４とには、時刻同期エージェントがインストールされており、時刻同期サーバ３１０により、常に同期が取られている。時刻同期サーバ３１０内には、符号３１０ａで示すテーブルのように、ユーザＩＤ毎に、時刻とパスワードとが対になって格納されている。このように、時刻同期サーバ３１０はユーザ毎のワンタイムパスワードを管理しており、ＤＲＭ サーバ３１１からの認証依頼があった際に、ユーザがＵＳＢトークン３０５によりトークンコードを生成した時刻と同じ時刻にトークンコードを生成する。その後、クライアント３０４とＤＲＭサーバ３１１との両者で当該クライアントのPINと組み合わせてワンタイムパスワードを生成する。両者で生成されたワンタイムパスワードが同一であれば認証は成功となる（一次認証）。
【００３９】
ＤＲＭサーバ（認証サーバ）３１１は、ポリシーと呼ばれるセキュリティ設定のセットに紐付いた各クライアントの権限情報を管理している。クライアントから認証情報が入力され送信されてきたときには、ＡＤサーバ３１２で管理している当該ユーザの本人確認を行う。本実施の形態では、認証時にＡＤサーバ３１２で管理している当該ユーザのＩＤ、パスワードだけでなく、ＵＳＢトークンのもつPINと生成したワンタイムパスワードの情報も必要とする（二次認証）。ここで、ＵＳＢトークンをクライアント３０４から抜きだした時点で、ＤＲＭ製品のセッションも切れるようになっており、ファイルを開くことができなくなる。
【００４０】
図４は、それぞれ、本実施の形態によるシステムにおける認証の仕組みを時系列にした図であり、図５は、その際のＧＵＩを形成する画面イメージを示す図である。
ユーザがクライアントＰＣ４３においてファイルを開く場合に、クライアントＰＣ４３にＵＳＢトークン４１を挿入されていることが処理の前提となる（ＵＳＢトークン４１が挿入されていない場合は、ＤＲＭシステムの認証画面に遷移することが出来ないようになっている）。ユーザが、クライアントＰＣ４３から、ビューア・アプリケーション４２によりファイルを開こうとした場合には、クライアントＰＣ４３からＤＲＭサーバ４４に対して、まずPINとMACアドレスが送信される（１）。それを受けて、ＤＲＭサーバ４４がワンタイムパスワードをクライアントＰＣ４３に要求する（２）。クライアントＰＣ４３側でワンタイムパスワードを生成し、ＤＲＭサーバ４４に送信する（３）。送信されてきたワンタイムパスワードとPINとを元に時刻同期サーバ４６に認証を要求する（４）。時刻同期サーバ４６には、ユーザＩＤ毎に、時刻とその時刻に生成されたパスワードとの対応表４６ａが格納されている。ここで、クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていなければ認証に失敗するため、悪意のあるユーザが不正にデータを持ち出したとしても、クライアントＰＣ４３以外のクライアントＰＣではデータを見ることができない。クライアントＰＣ４３の時刻がＤＲＭサーバ４４と同期が取れていれば時刻同期サーバ４６における認証がOKとなり（４、５）、一次認証がＯＫとなり（６）、ＤＲＭシステムの認証画面がクライアントＰＣ４３の表示画面に表示される（図５（ａ）参照）。クライントＰＣ４３から、当該ユーザのユーザＩＤ５０２およびパスワード５０３が入力され（７）、ＤＲＭサーバ４４において認証が行われる。ここで、ＤＲＭサーバ４４からＡＤサーバ４５に対して、ＩＤとパスワードが送られ（７−１）、PINおよびワンタイムパスワードが同じものであるか否かをチェックしてから、ＡＤ（ユーザ認証）サーバ４５から、ＤＲＭサーバ４４に対して、二次認証がＯＫか否かを伝える。その際にPINおよびワンタイムパスワードも認証に用いることにより、認証時のセキュリティを高めることが出来る。ＤＲＭサーバ４４での認証も成功すると、その旨がクライアントＰＣ４３に伝えられ（８）、クライアントＰＣ４３における文書を閲覧可能となる。
【００４１】
尚、本実施の形態によるシステムでは、クライアントＰＣ４３ からＵＳＢトークン４１を抜いた時点で、Viewerアプリケーション４２のセッションが切れるように構成されており、再度ＵＳＢトークンの認証からやり直さないと（９）、文書が開けない仕組みになっている。図５（ｂ）は、ユーザ認証画面の認証失敗例１）であり、トークンが無い場合において、文書を開く際にエラー（５１０）となり、認証画面に遷移できない。失敗の例２）は、権限がない場合の例であって、権限がないクライアントが文書を開く際にエラー（５２０）となり、閲覧が不可となる。
【００４２】
また、印刷や変更の操作を行う度に、ＵＳＢトークン４１に格納されている情報（PIN およびワンタイムパスワード）による認証が必要になる仕組みにしている。従って、離席時はＵＳＢトークン４１を所持して歩くようにしておけば、文書を他者に不正に閲覧されることが無いという利点がある。
【００４３】
図６は、本実施の形態による認証システムにおける、ＤＢサーバ３１３が保持している取得ログ情報のデータ構成例を示す図である。このデータ構成は、図６に示すように、ポリシーＩＤ＝１９７８０３２０Ｏであり、名前６０１と、所属グループ６０２と、ＩＰ／ＭＡＣアドレス６０３と、ＩＤ６０４と、パスワード６０５と、個人の暗証番号ＰＩＮ６０６と、時刻６０７と、操作ログ（成功、失敗などの結果）６０８と、ＵＳＢNo.６０９と、を有している。このテーブルは、後でログを確認するときに使用するデータを格納している。この図により、名前毎、グループ単位での、操作ログを得ることができる。これにより、後から管理者が認証に関する内容を確認することができる。
【００４４】
図７は、ＤＲＭサーバが保持している認証情報のデータテーブルの構成例を示す図であり、認証を行うときに使用するデータ群である。このデータは、ＡＤサーバに対して本人確認を行うときに必要となるＩＤ７１と、パスワード７２、および、よりセキュリティレベルを向上させるために、あらかじめ与えられた固有の個人情報番号であるユーザ（ＵＳＢトークン）毎に割り振ったPIN７３およびワンタイムパスワード７４、および、ＵＳＢトークンが誰のものであるかというＵＳＢNo.情報７５と、セッション情報７６と、認証の可否７７と、を保持している。そのため、不正にIDおよびパスワードを入手したとしても、ＵＳＢトークンを持っていない限り、PINおよびワンタイムパスワードの認証が失敗することで、不正なアクセスを抑止することができる。セッション情報を参照すると、どのタイミングにおける認証であるかを特定することができる。
【００４５】
図８は、本実施の形態による認証システムにおける認証処理の一例の概要を示すフローチャート図である。
【００４６】
クライアントＰＣにおいて、ポリシーの付いたファイルを開く操作が行われると、まず、ＵＳＢトークンが挿入されているか否かの認証が行われる。ここで、ＵＳＢトークンが挿入されている場合は（Ｙ）、ワンタイムパスワードの生成処理が行われるが、挿入されていない場合は（Ｎ）、エラー画面が表示され、ＵＳＢトークンの挿入を促すダイアログが表示される（ステップＳ８０１）。
【００４７】
ＵＳＢトークンが挿入されている場合は、クライアントＰＣ側でトークンコードおよびPIN を元にワンタイムパスワードの生成処理が行われる。一方、時刻同期サーバ側でも、クライアントＰＣ側でワンタイムパスワードを生成した時刻および当該ユーザのPIN を元に、ワンタイムパスワードを生成する（ステップＳ８０２）。
【００４８】
クライアントＰＣ側で生成されたワンタイムパスワードおよびPINと、時刻同期サーバ側で生成されたワンタイムパスワードおよび当該クライアントのPINとにより認証処理を行う。認証が成功した場合は（Ｙ）、ＤＲＭシステムの認証画面が表示されるが、認証に失敗した場合は（Ｎ）、ステップＳ８０１から再度処理を行うことになる（ステップ８０３）。
【００４９】
ＤＲＭシステムにおける認証画面で、ID およびパスワードの入力を促すダイアログを出すことで認証に必要なＩＤとパスワードの入力が促される（ステップＳ８０４）。
【００５０】
ステップＳ８０４で、入力・送信されたID およびパスワードだけでなく、ＵＳＢトークンの保持しているPIN とワンタイムパスワードとも含めて、ＤＲＭサーバ（認証サーバ）との間で認証処理を行う。認証に成功した場合は文書の閲覧が可能になるが、認証に失敗した場合はステップＳ８０１から再度処理を行うことになる（ステップＳ８０５）。
【００５１】
二次認証に成功すると（Ｙ）、文書の閲覧が可能になる（ステップＳ８０６）。ステップＳ８０７で、ＵＳＢトークンが挿入されているか否かを確認し、ＹであればステップＳ８０７の文書閲覧を維持させ、Ｎであればセッションを切断し（ステップＳ８０８）、ステップＳ８０１から再度処理を行うことになる。このように、ＵＳＢトークンが挿入されていない（抜かれた）ことが検出されると、ステップＳ８０１からの認証処理が再度求められることで、ＵＳＢトークンが抜かれることで他の人が認証しようとすると、ステップＳ８０１からの処理が求められるため、認証におけるセキュリティを、より一層高めることができる。
【００５２】
以上のように、本実施の形態による、認証デバイスを用いたセキュアなＤＲＭシステムによれば、次のような利点がある。従来のＤＲＭ製品のセキュリティ上の脆弱性を補うことにより、ユーザＩＤやパスワードが漏えいした場合であっても情報漏洩を防ぐことができる。また、情報漏洩時の被害拡大対策を迅速に行うことができる。
【００５３】
尚、ＵＳＢトークン紛失時にも、紛失した事実を発見しやすい。また、発見した時点で管理者等に連絡すれば、ＵＳＢトークンを無効化することが出来る。また、それにより、当該ユーザの文書を全て探して権限を削除しなくても済むため、より迅速な情報漏洩防止を実現することができる。また、ＵＳＢトークンを挿入した時点で端末を特定するIP/MAC アドレスを抜き出し、認証時にサーバに認証情報と一緒に送信するようにすれば、不正にアクセスされた際にもアクセス元のＰＣを特定することが容易になる。
【００５４】
上記の実施の形態において、添付図面に図示されている構成等については、これらに限定されるものではなく、本発明の効果を発揮する範囲内で適宜変更することが可能である。その他、本発明の目的の範囲を逸脱しない限りにおいて適宜変更して実施することが可能である。
【００５５】
また、本実施の形態で説明した機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。尚、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
【００５６】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
【００５７】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また前記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【産業上の利用可能性】
【００５８】
本発明は、認証デバイスを用いたセキュアなＤＲＭシステムに利用可能である。
【図面の簡単な説明】
【００５９】
【図１】ＤＲＭシステムの概要を示す機能ブロック図である。
【図２】ＵＳＢトークンによるワンタイムパスワード認証の処理の概要を示す図である。
【図３】認証デバイスを用いた、よりセキュアなＤＲＭシステム全体の構成例を示す図である。
【図４】本実施の形態によるシステムにおける認証の仕組み（認証の流れ）をしめす図である。
【図５】本システムにおける認証の仕組み（認証画面）を示す図である。
【図６】本システムにおける取得ログが持つデータテーブルの構成例を示す図である。
【図７】本システムにおける認証データが持つデータテーブルの構成例を示す図である。
【図８】本システムにおける認証処理のフローチャートである。
【符号の説明】
【００６０】
１…クライアントPC、２…DRM サーバ、３…AD サーバ、４…DB サーバ、２１…クライアント、２２…USBトークン、２３…内蔵チップ、２４…DRMサーバ（認証サーバ）、３０１…クライアントPC（Policy管理者）、３０２…クライアントPC（Policy付与者）、３０３…ビューア・アプリケーション、３０４…クライアントPC、３０５…USBトークン、３０６…インターネット、３０７…プロキシサーバ、３０８…ＳＭＴＰサーバ、３０９…バックアップサーバ、３１０…時刻同期サーバ、３１１…DRMサーバ（認証サーバ）、３１２…ADサーバ、３１３…DBサーバ、４１…USBトークン、４２…ビューア・アプリケーション、４３…クライアントPC、４４…DRMサーバ（認証サーバ）、４５…ADサーバ、４６…時刻同期サーバ、６…取得ログテーブルの項目、７…認証データテーブルの項目。
【特許請求の範囲】
【請求項１】
サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、
サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、固有シード値を格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記固有シード値とＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、クライアントの認証・権限を保持するＤＲＭ サーバ（認証サーバ）と、ユーザのID、パスワードを保持するＡＤ サーバと、を有する認証システムであって、
前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのID、パスワードに加えて、前記認証デバイスに対応するＰＩＮコードと、生成した前記ワンタイムパスワードと、により、認証処理を行うことを特徴とするＤＲＭ認証システム。
【請求項２】
前記認証デバイスを挿入した時点で前記クライアントＰＣを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することを特徴とする請求項１に記載のＤＲＭ認証システム。
【請求項３】
前記ＤＲＭサーバが前記ＰＩＮを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否かによる一次認証が行われ、次いで、前記ユーザのＩＤと前記パスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となることを特徴とする請求項１又は２に記載のＤＲＭ認証システム。
【請求項４】
前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れることを特徴とする請求項１又は２に記載のＤＲＭ認証システム。
【請求項５】
前記認証デバイスの接続を検出した後に、ある期間毎に接続を確認することを特徴とする請求項４に記載のＤＲＭ認証システム。
【請求項６】
前記クライアントからファイルを開く場合に、前記クライアントに前記認証デバイスを接続され、前記クライアントから前記ＤＲＭサーバに、まず前記ＰＩＮとＭＡＣアドレスが送信され、前記ＤＲＭサーバがワンタイムパスワードを前記クライアントに要求し、前記クライアント側でワンタイムパスワードを生成し、前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることを特徴とする請求項１から５までのいずれか１項に記載のＤＲＭ認証システム。
【請求項７】
操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することを特徴とする請求項１から５までのいずれか１項に記載のＤＲＭ認証システム。
【請求項１】
サーバとクライアントとを有し、認証デバイスを用いたセキュアなＤＲＭ認証システムであって、
サーバとクライアントとにおける時刻の同期を取る時刻同期サーバと、固有シード値を格納する認証デバイスであって、前記クライアントに接続されることで前記時刻と前記固有シード値とＰＩＮコードとによりワンタイムパスワードを生成する認証デバイスと、クライアントの認証・権限を保持するＤＲＭ サーバ（認証サーバ）と、ユーザのID、パスワードを保持するＡＤ サーバと、を有する認証システムであって、
前記時刻同期サーバにより同期をとりながら、前記ＡＤサーバで管理しているユーザのID、パスワードに加えて、前記認証デバイスに対応するＰＩＮコードと、生成した前記ワンタイムパスワードと、により、認証処理を行うことを特徴とするＤＲＭ認証システム。
【請求項２】
前記認証デバイスを挿入した時点で前記クライアントＰＣを特定するＩＰ／ＭＡＣアドレスを抜き出し、認証時にサーバに認証情報と一緒に前記ＤＲＭサーバに送信することを特徴とする請求項１に記載のＤＲＭ認証システム。
【請求項３】
前記ＤＲＭサーバが前記ＰＩＮを前記クライアントから受け取ると、前記ＤＲＭサーバ側でワンタイムパスワードが生成され、前記クライアント側で生成されたワンタイムパスワードが同じであるか否かによる一次認証が行われ、次いで、前記ユーザのＩＤと前記パスワードによる前記ＡＤサーバによる二次認証が行われ、前記一次と二次との認証結果が可である場合にのみ、最終的に認証が可となることを特徴とする請求項１又は２に記載のＤＲＭ認証システム。
【請求項４】
前記クライアントから前記認証デバイスの接続を抜いた時点で、認証により許可されたファイルにアクセスすることが可能なセッションが切れることを特徴とする請求項１又は２に記載のＤＲＭ認証システム。
【請求項５】
前記認証デバイスの接続を検出した後に、ある期間毎に接続を確認することを特徴とする請求項４に記載のＤＲＭ認証システム。
【請求項６】
前記クライアントからファイルを開く場合に、前記クライアントに前記認証デバイスを接続され、前記クライアントから前記ＤＲＭサーバに、まず前記ＰＩＮとＭＡＣアドレスが送信され、前記ＤＲＭサーバがワンタイムパスワードを前記クライアントに要求し、前記クライアント側でワンタイムパスワードを生成し、前記ＤＲＭサーバに送信し、送信されてきた前記ワンタイムパスワードと前記ＰＩＮとを元に、前記時刻同期サーバに認証を依頼し、前記クライアントの時刻と前記ＤＲＭサーバの時刻とに同期が取れていなければ認証を不可とすることを特徴とする請求項１から５までのいずれか１項に記載のＤＲＭ認証システム。
【請求項７】
操作を行う度に、前記認証デバイスの持っている情報である前記ＰＩＮおよび前記ワンタイムパスワードによる認証を必要とするように、接続断に応じてセッションを切断することを特徴とする請求項１から５までのいずれか１項に記載のＤＲＭ認証システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−１４６４００（Ｐ２０１０−１４６４００Ａ）
【公開日】平成２２年７月１日（２０１０．７．１）
【国際特許分類】
【出願番号】特願２００８−３２４４９３（Ｐ２００８−３２４４９３）
【出願日】平成２０年１２月１９日（２００８．１２．１９）
【公序良俗違反の表示】
特許法第６４条第２項第４号の規定により図面の一部または全部を不掲載とする。
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
【公開日】平成２２年７月１日（２０１０．７．１）
【国際特許分類】
【出願日】平成２０年１２月１９日（２００８．１２．１９）
【公序良俗違反の表示】
特許法第６４条第２項第４号の規定により図面の一部または全部を不掲載とする。
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
[ Back to top ]