特許 6069289 管理者パスワードの認証方法、コンピュータおよびコンピュータ・プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6069289

(24)【登録日】2017年1月6日

(45)【発行日】2017年2月1日

(54)【発明の名称】管理者パスワードの認証方法、コンピュータおよびコンピュータ・プログラム

(51)【国際特許分類】

   G06F 21/31 20130101AFI20170123BHJP

   G06F 21/44 20130101ALI20170123BHJP

【ＦＩ】

   G06F21/31

   G06F21/44

【請求項の数】17

【全頁数】16

(21)【出願番号】特願2014-238309(P2014-238309)

(22)【出願日】2014年11月26日

(65)【公開番号】特開2016-99906(P2016-99906A)

(43)【公開日】2016年5月30日

【審査請求日】2015年9月17日

(73)【特許権者】

【識別番号】505205731

【氏名又は名称】レノボ・シンガポール・プライベート・リミテッド

(74)【代理人】

【識別番号】100106699

【弁理士】

【氏名又は名称】渡部 弘道

(74)【代理人】

【識別番号】100132595

【弁理士】

【氏名又は名称】袴田 眞志

(72)【発明者】

【氏名】下遠野 享

【審査官】 児玉 崇晶

(56)【参考文献】

【文献】 特開２０００−２１５１６７（ＪＰ，Ａ）

【文献】 特開２０１３−２２８８３５（ＪＰ，Ａ）

【文献】 特開２００２−０４１１７６（ＪＰ，Ａ）

【文献】 特開２０１２−０８３８８０（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／３１

Ｇ０６Ｆ ２１／４４

(57)【特許請求の範囲】

【請求項1】

管理者パスワードの設定が可能で管理者コンピュータと通信が可能な利用者コンピュータに、
それぞれ前記管理者コンピュータから受け取った管理者を示すニックネームと前記管理者から知られないように前記管理者コンピュータに格納されたクレデンシャルを関連付けて記憶するステップと、
前記管理者パスワードを設定するステップと、
電源の起動時に前記管理者コンピュータから受け取った前記クレデンシャルを認証するステップと、
前記クレデンシャルの認証が成功したときに、次回の電源の起動時に前記ニックネームを表示するための認証フラグを設定し前記管理者コンピュータから受け取った前記管理者パスワードを認証するステップと
を有する処理をさせるためのコンピュータ・プログラム。

【請求項2】

前記記憶するステップが、前記利用者コンピュータに設定する利用者パスワードを要求するステップを含む請求項１に記載のコンピュータ・プログラム。

【請求項3】

前記管理者パスワードが、前記利用者コンピュータのディスク・ドライブに設定するパスワードである請求項１に記載のコンピュータ・プログラム。

【請求項4】

前記記憶するステップが、前記クレデンシャルが前記管理者および前記利用者コンピュータの利用者に知られないように記憶する請求項１に記載のコンピュータ・プログラム。

【請求項5】

前記記憶するステップが、前記利用者コンピュータに前記ニックネームを表示するステップを含む請求項１に記載のコンピュータ・プログラム。

【請求項6】

前記管理者パスワードが設定されていても変更が可能な利用者パスワードを設定するステップを有する請求項１に記載のコンピュータ・プログラム。

【請求項7】

前記管理者コンピュータに入力した認証コードと同じ認証コードを受け取るステップと、
前記認証コードを使って前記管理者コンピュータと相互認証をするステップと、
前記相互認証が成功したときに前記管理者コンピュータとの間で共通鍵を生成するステップと。
共通鍵暗号方式でセキュアな無線通信路を構築するステップと
を有する請求項６に記載のコンピュータ・プログラム。

【請求項8】

請求項１から請求項７のいずれかに記載のコンピュータ・プログラムを記録した記憶装置を有するコンピュータ。

【請求項9】

管理者パスワードの設定が可能で、管理者コンピュータと通信が可能なコンピュータであって、
それぞれ前記管理者コンピュータから受け取った前記管理者コンピュータを示すニックネームと管理者から知られないように前記管理者コンピュータに格納されたクレデンシャルを関連付けて記憶する記憶装置と、
前記管理者パスワードを設定し、電源の起動時に前記管理者コンピュータから受け取った前記クレデンシャルの認証が成功したときに、前記管理者コンピュータから受け取った前記管理者パスワードを認証し次回の電源の起動時に前記ニックネームを表示するための認証フラグを設定するように前記コンピュータを機能させるシステム・ファームウェアと
を有するコンピュータ。

【請求項10】

前記管理者パスワードと前記クレデンシャルを前記管理者コンピュータから受け取るためのアドホック・ネットワークで通信する無線モジュールを有する請求項９に記載のコンピュータ。

【請求項11】

管理者パスワードの設定が可能で管理者コンピュータと通信が可能な利用者コンピュータが、前記管理者パスワードを認証する方法であって、
それぞれ前記管理者コンピュータから受け取った管理者を示すニックネームと前記管理者から知られないように前記管理者コンピュータに格納されたクレデンシャルを関連付けて記憶するステップと、
前記管理者パスワードを設定するステップと、
電源の起動時に前記管理者コンピュータから受け取った前記クレデンシャルを認証するステップと、
前記クレデンシャルの認証が成功したときに、次回の電源の起動時に前記ニックネームを表示するための認証フラグを設定し前記管理者コンピュータから受け取った前記管理者パスワードを認証するステップと
を有する方法。

【請求項12】

ルート管理者コンピュータが生成した管理者パスワードが設定された利用者コンピュータが前記管理者パスワードを認証する方法であって、
それぞれ複数の前記利用者コンピュータを含む複数の利用者コンピュータ群に割り当てられた代理管理者コンピュータが、前記ルート管理者コンピュータから前記管理者パスワードを受け取るステップと、
前記利用者コンピュータが、それぞれ前記代理管理者コンピュータから受け取った代理管理者を示すニックネームと前記代理管理者から知られないように前記代理管理者コンピュータに格納されたクレデンシャルを関連付けて記憶するステップと、
前記利用者コンピュータが、前記代理管理者コンピュータから受け取った前記管理者パスワードを設定するステップと、
前記利用者コンピュータが、電源の起動時に前記代理管理者コンピュータから受け取った前記クレデンシャルを認証するステップと、
前記利用者コンピュータが、前記クレデンシャルの認証が成功したときに次回の電源の起動時に前記ニックネームを表示するための認証フラグを設定し、前記代理管理者コンピュータから受け取った前記管理者パスワードを認証するステップと
を有する方法。

【請求項13】

前記利用者コンピュータは前記クレデンシャルを前記ルート管理者、前記代理管理者および前記利用者コンピュータの利用者に知られないように記憶する請求項１２に記載の方法。

【請求項14】

前記代理管理者コンピュータは前記クレデンシャルを前記ルート管理者、前記代理管理者および前記利用者コンピュータの利用者に知られないように記憶する請求項１２に記載の方法。

【請求項15】

ルート管理者コンピュータが生成した管理者パスワードが設定された利用者コンピュータが前記管理者パスワードを認証する方法であって、
それぞれ複数の前記利用者コンピュータを含む複数の利用者コンピュータ群に割り当てられた代理管理者コンピュータが、それぞれ前記ルート管理者コンピュータからルート管理者を示すニックネームと前記ルート管理者から知られないように前記ルート管理者コンピュータに格納されたクレデンシャルと前記管理者パスワードを受け取るステップと、
前記利用者コンピュータが、前記代理管理者コンピュータから受け取った前記ニックネームと前記クレデンシャルを関連付けて記憶するステップと、
前記利用者コンピュータが、前記代理管理者コンピュータから受け取った前記管理者パスワードを設定するステップと、
前記利用者コンピュータが、電源の起動時に前記ルート管理者コンピュータから受け取った前記クレデンシャルを認証するステップと、
前記利用者コンピュータが、前記クレデンシャルの認証が成功したときに次回の電源の起動時に前記ニックネームを表示するための認証フラグを設定し、前記ルート管理者コンピュータから受け取った前記管理者パスワードを認証するステップと
を有する方法。

【請求項16】

前記利用者コンピュータは前記クレデンシャルを前記ルート管理者、前記代理管理者および前記利用者コンピュータの利用者に知られないように記憶する請求項１５に記載の方法。

【請求項17】

前記代理管理者コンピュータは前記クレデンシャルを前記ルート管理者、前記代理管理者および前記利用者コンピュータの利用者に知られないように記憶する請求項１５に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、システム・ファームウェアに設定する管理者パスワードを管理する技術に関する。

【背景技術】

【0002】

企業で使用するパーソナル・コンピュータには、ＢＩＯＳまたはＵＥＦＩのようなシステム・ファームウェアに対して複数のパスワード（ファムウェア・パスワード）を設定することができる。ファームウェア・パスワードには、利用者が設定するパワーオン・パスワード（ＰＯＰ）およびユーザ・ハードディスク・パスワード（ＵＨＤＰ）と、通常はシステムの管理者が設定するスーパーバイザ・パスワード（ＳＶＰ）およびマスター・ハードディスク・パスワード（ＭＨＤＰ）が存在する。

【0003】

ＰＯＰが設定されたコンピュータでは、システム・ファームウェアがパワー・オンするたびにユーザにＰＯＰの入力を要求する。ＳＶＰとＰＯＰが設定されたコンピュータでは、利用者がＰＯＰを入力してパワー・オンできるが、ＳＶＰを知らない限りコンピュータの主要な構成を変更することはできない。ここでパワー・オンとは、電源を起動してからシステム・ファームウェアがＰＯＳＴを実行してＯＳをロードするまでの処理をする状態をいう。

【0004】

特許文献１は、サーバにログインするためのパスワードを忘れたときに、ネットワークを通じてサーバの管理者からパスワードを受け取る発明を開示する。特許文献２は、管理者がＰＯＰやＨＤＰをクライアントに設定する際の管理コストを低減する発明を開示する。管理者はコンピュータをクライアントに渡す際または渡した後にリモートから当該コンピュータをパスワード強制モードに設定する。パスワード強制モードに設定されたコンピュータは起動時にパスワードを設定しない限りＯＳを起動しない。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００２−１３２７２５公報

【特許文献2】特開２００６−１８４５１号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ＰＯＰだけを設定したコンピュータでは、利用者がＰＯＰを入力することでパワー・オンできるが、コイン電池を取り外せば何人でもＰＯＰを解除することができる。ただしＳＶＰは、コイン電池を取り外しても解除できない。ＳＶＰとＰＯＰを設定したコンピュータでは、利用者はＰＯＰを入力することでパワー・オンでき、管理者はＳＶＰを入力して一時的にＰＯＰを無効にすることでパワー・オンし、さらにＰＯＰの取り消しまたは変更をすることができる。

【0007】

管理者はＵＨＤＰとＭＨＤＰを設定することができる。ユーザはその後管理者が設定したＵＨＤＰを変更することができる。ＵＨＤＰとＭＨＤＰを設定したＨＤＤに対して、ユーザはＵＨＤＰを入力することでＨＤＤのすべてのファイルにアクセスすることができ、管理者はＭＨＤＰを入力してＨＤＤのすべてのファイルにアクセスすることができる。管理者はＭＨＤＰを入力してＵＨＤＰの取り消しまたは変更をすることができる。ＭＨＤＰを設定するときは、運用またはシステムの要求によりＳＶＰも設定することが多い。

【0008】

企業では、社員である利用者に業務用のコンピュータを貸与する。利用者は業務用のコンピュータに対してＰＯＰおよびＵＨＤＰを設定してそれぞれのプライバシーとデータのセキュリティを確保している。このときＰＯＰだけを設定している場合はコイン電池の取り外しで解除できるためセキュリティ上問題が残る。また、ＳＶＰやＭＨＤＰはリカバリーできないため、紛失するとシステム・ボードの交換が必要になったり、ＨＤＤが再利用できなくなったりして、ＨＤＤのデータは喪失する。また、ユーザが勝手にＳＶＰとＭＨＤＰを設定して突然退社したような場合はコンピュータの再利用に支障をきたすことになる。

【0009】

ここで、緊急事態が発生して、利用者が存在しない状況下で管理者が利用者のコンピュータにアクセスしたい場合がある。さらに利用者がＰＯＰまたはＵＨＤＰを忘れる場合もある。ＳＶＰおよびＭＨＤＰを設定すればこのような事態に対処でき、かつセキュリティを向上できるため、多くの企業は業務用のコンピュータにＳＶＰおよびＭＨＤＰを設定する。

【0010】

このとき、ＳＶＰおよびＭＨＤＰが設定されたコンピュータには、利用者が業務範囲で個人的に使用しているにもかかわらず、管理者がいつでもアクセスすることができる。なお、当該コンピュータにインストールされているＯＳ自身もパスワードで利用者を守っているが、それはその利用者が当該ＯＳで通常利用している動作環境を起動できない、すなわち当該ＯＳ環境にログインできないように制限しているだけである。例えば別のＯＳがインストールされたＵＳＢメモリーを当該コンピュータに一時的に装着して起動すれば、個々のファイル別に暗号化されていない限り当該ＯＳの管理下のＨＤＤ内にあるファイルデータの中身を簡単に見たり当該ＵＳＢメモリーに複製したりすることが自由にできてしまう。

【0011】

比較的規模の大きい企業において管理者が組織の一部である場合はともかくとしても、小規模な企業では直属の上司または社長が管理者になることがある。このときＳＶＰおよびＭＨＤＰを使った管理者による恣意的なアクセスを抑制しないと利用者は安心してコンピュータを使用することができない。更には、それらのコンピュータの管理総責任者がいたとして、その代理管理責任者である上司による部下のコンピュータへの興味本位な恣意的アクセスが可能な仕組みを内包するパスワード管理方式を、その管理総責任者が自らの責任の下で運用することにはためらいが伴う。つまり管理総責任者にとって利用し難いパスワード管理方式は利便性に欠ける。したがって、利用者が安心してＳＶＰおよびＭＨＤＰが設定されたコンピュータを使用できる環境を整える必要がある。

【0012】

そこで本発明の目的は、システム・ファームウェアが設定する管理者パスワードを適切に管理する方法を提供することにある。さらに本発明の目的は、利用者コンピュータに管理者パスワードを設定し易い環境を構築する方法を提供することにある。さらに本発明の目的は、管理者パスワードを設定した利用者コンピュータに対する、管理者の恣意的なアクセスを抑制する方法を提供することにある。さらに本発明の目的は、そのような方法を実現するコンピュータおよびコンピュータ・プログラムを提供することにある。

【課題を解決するための手段】

【0013】

本発明の一の態様は、管理者パスワードの設定が可能で管理者コンピュータと通信が可能な利用者コンピュータにおいて実現する。利用者コンピュータは、管理者コンピュータに関連付けたクレデンシャルを記憶して管理者パスワードを設定する。つぎに、管理者コンピュータから受け取ったクレデンシャルと管理者パスワードを認証する。

【0014】

上記構成の結果、管理者コンピュータが管理者パスワードを使って利用者コンピュータをアンロックする際には、クレデンシャルも認証されることになるため、管理者が恣意的にアンロックすることを抑制することができる。また、利用者は管理者パスワードが設定されても、やむを得ない事情が発生しない限りアンロックされることはないため安心して利用者コンピュータを使用することができる。

【0015】

上記手順は、利用者コンピュータを起動したときに最初に実行するシステム・ファームウェアで実行することができる。管理者パスワードを、利用者コンピュータのディスク・ドライブに設定するパスワードと比べれば、管理者パスワードの喪失によりディスク・ドライブが利用できなくなる事態を防ぐことができる。

【0016】

管理者コンピュータを示すニックネームをクレデンシャルに関連付けて登録し、クレデンシャルの認証が成功したことを示す認証フラグを設定し、起動時に認証フラグの設定を確認したときにニックネームを表示することができる。この場合、複数の管理者コンピュータが同一の管理者パスワードを保有しても、いずれの管理者コンピュータがアンロックしたかを利用者が知ることができる。ここに、ニックネームは、パスワードで保護された管理者コンピュータを使用する管理者を特定できる情報であってもよい。なお、このニックネームの登録時に利用者コンピュータのパスワードを求められるようにすれば、そのパスワードを知る利用者が必ず立ち会う必要があるので、どの管理者コンピュータが自分のコンピュータに将来アンロック操作をするために登録されたのかを確実に知る機会を保証することになる。

【0017】

クレデンシャルを記憶する際に、利用者コンピュータのディスプレイにニックネームを表示すれば、利用者が管理者パスワードを設定する人物とニックネームを関連付けて確認することができる。管理者パスワードは、管理者コンピュータからバックボーン・ネットワークを経由しない無線通信経路で受け取ることができる。バックボーン・ネットワークを経由しないことで、システム・ファームウェアでの無線通信経路の構築が容易になる。このとき管理者コンピュータに入力した認証コードと同じ認証コードを受け取り、認証コードを使って管理者コンピュータと相互認証をし、相互認証が成功したときに管理者コンピュータとの間で共通鍵を生成し、共通鍵暗号方式でセキュアな無線通信路を構築することができる。

【0018】

本発明の他の態様は、利用者コンピュータと通信が可能な管理者コンピュータにおいて実現する。管理者コンピュータに関連付けたクレデンシャルを生成し、利用者コンピュータに管理者パスワードとクレデンシャルを送付して管理者パスワードを設定する。利用者コンピュータの電源が起動したときに利用者コンピュータにクレデンシャルと管理者パスワードを送って認証要求をする。

【0019】

管理者コンピュータは、管理者パスワードをアンロックする際に、自らに関連付けたクレデンシャルの認証も要求されるため、正当な理由がない限り利用者コンピュータをアンロックできなくなる。クレデンシャルを管理者に知られないように管理者コンピュータに記憶しておけば、管理者がアンロックの痕跡を残さないようにクレデンシャルと管理者パスワードを直接利用者コンピュータに入力するような操作を防ぐことができる。

【発明の効果】

【0020】

本発明により、システム・ファームウェアが設定する管理者パスワードを適切に管理する方法を提供することができた。さらに本発明により、利用者コンピュータに管理者パスワードを設定し易い環境を構築する方法を提供することができた。さらに本発明により、管理者パスワードを設定した利用者コンピュータに対する、管理者の恣意的なアクセスを抑制する方法を提供することができた。さらに本発明により、そのような方法を実現するコンピュータおよびコンピュータ・プログラムを提供することができた。

【図面の簡単な説明】

【0021】

【図1】ノートＰＣの主要なハードウェアの構成を説明するための機能ブロック図である。

【図2】ノートＰＣの主要なソフトウェアの構成を説明するための図である。

【図3】ＮＶＲＡＭが記憶するデータを説明するための図である。

【図4】管理者ＰＣが利用者ＰＣに管理者ＰＷを設定する手順を説明するためのフローチャートである。

【図5】管理者ＰＣにより利用者ＰＣをアンロックする手順を説明するためのフローチャートである。

【図6】管理者ＰＷを階層的に管理する方法を説明するための図である。

【図7】管理者ＰＷを階層的に管理する方法を説明するための図である。

【発明を実施するための形態】

【0022】

［ハードウェアの全体構成］
図１は、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕに適用が可能なノートブック型パーソナル・コンピュータ（ノートＰＣ）１０のハードウェアの構成の一例を説明するための概略の機能ブロック図である。本明細書ではノートＰＣ１０のハードウェア要素について、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕを区別する必要があるときは参照番号にそれぞれＭ、Ｕを付記し、両者を区別する必要がないときは、Ｍ、Ｕを付記しないことにする。

【0023】

図２は、ノートＰＣ１０が実行中のソフトウェアの構成を説明するための図である。図２（Ａ）は、管理者ＰＣ１０Ｍに対応し、図２（Ｂ）は利用者ＰＣ１０Ｕに対応する。図３は、ＮＶＲＡＭ２５が記憶するデータを説明するための図である。図３（Ａ）は管理者ＰＣ１０Ｍに対応し、図３（Ｂ）は利用者ＰＣ１０Ｕに対応する。

【0024】

本発明は、特定のハードウェアおよびオペレーティング・システム（ＯＳ）５３に依存しないため、ハードウェア要素およびソフトウェア要素について本発明の理解に必要な範囲で説明する。ＣＰＵパッケージ１１は、ＣＰＵコア、ＧＰＵ、メモリ・コントローラ、ＰＣＩｅインターフェースおよびＰＣＨ（Platform Controller Hub）などがＭＣＭ(Multi-Chip Module)で１つのパッケージとして構成されている。

【0025】

ＣＰＵパッケージ１１には、ＣＰＵコアが実行するプログラムを記憶するシステム・メモリ１３、アドホック・モードまたはインフラストラクチャ・モードで無線ＬＡＮのネットワークに接続するための無線モジュール１５、ＯＳ５３やアプリケーション５５などのプログラムを格納するＨＤＤ１７、赤外線通信またはブルー・ツース（登録商標）などの通信をする近距離通信モジュール１９、ＬＣＤ２１、ＵＥＦＩまたはＢＩＯＳといったシステム・ファームウェア１００を格納するファームウェアＲＯＭ２３、本発明で管理者ＰＣが利用者ＰＣにパスワードを設定するためのさまざまなデータを記憶するＮＶＲＡＭ２５およびキーボード２７などが接続されている。

【0026】

システム・ファームウェア１００は、システムがパワー・オフ状態、ハイバネーション状態またはサスペンド状態からパワー・オン状態にレジュームするときにパワー・オン・リセットされたＣＰＵコアが最初に実行する。ＣＰＵコアは、ＰＯＳＴ（Power On Self Test）を実行したり、ファームウェア・パスワード（ＰＯＰ、ＳＶＰ、ＵＨＤＰおよびＭＨＤＰ）の設定および認証をしたりする。以下においては、ＰＯＰとＵＨＤＰを総称するときは利用者ＰＷといい、ＳＶＰとＭＨＤＰを総称するときは管理者ＰＷということにする。

【0027】

システム・ファームウェア１００は、特別な権限がないと書き換えができないようにファームウェアＲＯＭ２３の書き込み保護がされているブート・ブロックに格納され、ＣＲＴＭ(Core Root of Trust for Measurement)として、プラットフォームの信頼の基礎を構成する。システム・ファームウェア１００は、本発明において主たる役割を果たす認証モジュール１０１を含んでいる。

【0028】

ＨＤＤ１７はブート・イメージを格納するブート・ディスク・ドライブで、システム・ファームウェア１００を通じてＵＨＤＰ、ＭＨＤＰを設定することができる。ＵＨＤＰ、ＭＨＤＰはキーボード２７からの入力によるほか、本発明によって管理者ＰＣ１０Ｍが無線モジュール１５Ｍまたは近距離通信モジュール１９Ｍを通じて入力することができる。なお、本発明はＨＤＤ１７に代えてＳＳＤに適用することもできる。

【0029】

設定されたＭＨＤＰ、ＵＨＤＰは、ＨＤＤ１７のノートＰＣ１０のシステムからアクセスできないセキュアな領域に格納される。ＵＨＤＰだけが設定されたＨＤＤ１７、およびＵＨＤＰとＭＨＤＰが設定されたＨＤＤ１７は、システム・ファームウェア１００からＵＨＤＰまたはＭＨＤＰを受け取らない限り、システムからのアクセスをロックする。

【0030】

本発明が実行されたとき、図３（Ａ）に示すようにＮＶＲＡＭ２５Ｍは、ＳＶＰ１５１、ＭＨＤＰ１５３、クレデンシャル１５５、およびニックネーム１５７を記憶し、ＮＶＲＡＭ２５Ｕは、クレデンシャル１５５、ニックネーム１５７、およびアンロック・フラグ１６１を記憶する。ＳＶＰ１５１、ＭＨＤＰ１５３をＮＶＲＡＭ２５Ｕに格納しておくことで、従来は管理者の記憶に依存していたり、管理者がメモしていたりしていた管理者ＰＷを、紛失を防ぎかつセキュアに管理することができるようになる。ニックネーム１５７は、姓名のような管理者を特定するデータを平文で表記したデータである。

【0031】

システム・ファームウェア１００は、ＣＰＵコアの制御権をＯＳ５３に移す際にコントローラをロックして、ＮＶＲＡＭ２５に対する他のプログラムのアクセスを禁止する。一旦ロックされたコントローラは、ＣＰＵパッケージ１１をリセットしない限り解除できない。ＣＰＵパッケージ１１がリセットされると最初にシステム・ファームウェア１００が実行されるため、ＯＳ５３の動作環境下にあるプログラムはＮＶＲＡＭ２５にアクセスできないようになっている。

【0032】

図４は、管理者が管理者ＰＣ１０Ｍを通じて利用者ＰＣ１０Ｕに管理者ＰＷを設定するときの手順を説明するためのフローチャートである。ブロック２０１から２１５までは管理者ＰＣ１０Ｍの手順を示し、ブロック２５１から２６５までは利用者ＰＣ１０Ｕの手順を示している。管理者の前には、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕが並んでいる。利用者は、管理者の側にいてもよい。また、利用者ＰＣ１０Ｕが複数あっても管理者ＰＣ１０Ｍは同じ手順を実行する。

【0033】

ブロック２０１で管理者ＰＣ１０ＭのＮＶＲＡＭ２５Ｍは、管理者がキーボード２７Ｍから入力したＳＶＰ１５１、ＭＨＤＰ１５３、およびニックネーム１５７を記憶している。利用者ＰＣ１０ＵのＮＶＲＡＭ２５Ｕは、図３（Ｂ）のいずれのデータも記憶していない。ブロック２５１で管理者が認証モジュール１０１Ｕに対してＰＯＰとＵＨＤＰを設定する。

【0034】

利用者ＰＷは、後に利用者が変更し易いように、利用者の氏名や簡単な文字列などにしておくことができる。本発明はＰＯＰとＵＨＤＰに別々に適用することができるが、通常のセキュリティの運用では、ＭＨＤＰを設定するときはＳＶＰも設定することになっているため、以後、両方の管理者ＰＷが設定されることを前提にして説明する。設定されたＰＯＰは、ファームウェアＲＯＭ２３Ｕのセキュアな領域に格納され、設定されたＵＨＤＰはＨＤＤ１７Ｕのセキュアな領域に格納される。

【0035】

ブロック２０３で管理者ＰＣ１０Ｍの電源を起動した管理者が所定のファンクションキーを押下すると、認証モジュール１０１Ｍが実行されて、ＬＣＤ２１Ｍに、利用者ＰＣ１０Ｕに対して管理者ＰＷの設定をするための画面を表示する。管理者がキーボード２７Ｍから管理者ＰＷの設定をするための指示をすると、ブロック２０５で認証モジュール１０１Ｍが無線モジュール１５Ｍを動作させて、アドホック・ネットワークを構築するためのビーコンを発信する。

【0036】

これと並行して、ブロック２５３で利用者ＰＣ１０Ｕの電源を起動した管理者が所定のファンクションキーを押下すると、認証モジュール１０１Ｕが実行されて、ＬＣＤ２１Ｕに、利用者ＰＣ１０Ｕに対して管理者ＰＷの設定をするための画面を表示する。管理者がキーボード２７Ｕから管理者ＰＷの設定をするための指示をすると、認証モジュール１０１Ｕが無線モジュール１５Ｕを動作させる。

【0037】

管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕはあらかじめ通信チャネルおよびＳＳＩＤを統一し相互間でイーサネット（登録商標）のアドホック・ネットワークを構築できるようにしている。利用者ＰＣ１０Ｕが、管理者ＰＣ１０Ｍとの間で相互に電波の届く範囲に存在すれば、利用者ＰＣ１０Ｕと管理者ＰＣ１０Ｍの間にアドホック・ネットワークが構築されて通信できる状態になる。

【0038】

ただし、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕは、インフラストラクチャ・モードのネットワークを通じて通信してもよいし、近距離通信モジュール１９Ｍ、１９Ｕで直接通信してもよい。アクセス・ポイントおよびバックボーン・ネットワークを経由しないで直接通信するアドホック・モードや、２つの装置間に独立した通信経路を構築する近距離通信モジュール１９を利用すると、システム・ファームウェア１００が完全なネットワーク・スタックを装備する必要がなくなるため負担を軽減できる。

【0039】

ブロック２０７、２５７では、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕが相互認証をする。相互認証は、ブロック２０９、２５９で、一例としてＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ（Ｄ／Ｈ）方式で、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕが共通鍵を生成する際の成りすましによる中間者攻撃（Man-in-the-middle-attack）に対する耐性を高めるために行う。管理者はキーボード２７Ｍ、２７Ｕから同じ認証コードを入力する。

【0040】

認証モジュール１０１Ｍ、１０１Ｕは、チャレンジ・レスポンス方式で相互認証をする。最初に、認証モジュール１０１Ｍが認証モジュール１０１Ｕに認証要求をし、それに応じて認証モジュール１０１Ｕがチャレンジを返送する。認証モジュール１０１Ｍは、チャレンジと入力された認証コードから特定のアルゴリズムで作成したレスポンスを認証モジュール１０１Ｕに返送する。

【0041】

認証モジュール１０１Ｕは、入力された認証コードと先に送ったチャレンジを同じアルゴリズムで作成した値と受け取ったレスポンスを比較して、管理者ＰＣ１０Ｍを認証する。つづいて、同じ手順で認証モジュール１０１Ｍが利用者ＰＣ１０Ｕを認証する。中間者攻撃は、管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕを赤外線や有線による直接接続で盗聴の可能性がない通信路を構築する場合を除いて行われる可能性があるため、イーサネット（登録商標）やＷｉＦｉで通信する場合は特に行うことが望ましい。

【0042】

相互認証が終了するとブロック２０９、２５９で、認証モジュール１０１Ｍ、１０１ＵがＤ／Ｈ方式でそれぞれ保持する秘密の値を交換して、独自に共通鍵を生成しそれを電源が停止するまで保持する。共通鍵は、以下の手順において、管理者ＰＣ１０Ｍと管理者ＰＣ１０Ｕの間に共通鍵暗号方式によるセキュアな通信路を構築するために利用する。ブロック２１１で認証モジュール１０１Ｍが乱数または時刻などの管理者が予測できない文字列で構成したクレデンシャル１５５を生成する。以後、認証モジュール１０１Ｍはクレデンシャル１５５を利用者ＰＣ１０Ｕに送付するとき以外は、取り出せないようにＮＶＲＡＭ２５Ｍに格納する。したがって、ＮＶＲＡＭ２５Ｍが記憶するクレデンシャル１５５は、管理者を含めてだれにも知られることはない。

【0043】

ブロック２１３で、認証モジュール１０１Ｍは、クレデンシャル１５５とニックネーム１５７を認証モジュール１０１Ｕに送付する。ブロック２６１で認証モジュール１０１Ｕは、受け取ったクレデンシャル１５５とニックネーム１５７を関連付けてＮＶＲＡＭ２５Ｕに記憶する。このとき、認証モジュール１０１Ｕがニックネーム１５７をＬＣＤ２１Ｕに表示すれば、利用者は管理者に対応するニックネーム１５７が記憶されたことを確認することができるため、管理者が意図的に他人のニックネームを使ったという心配を払拭することができる。さらに、利用者だけが知る利用者コンピュータのパスワードを求めるようにすれば、ニックネームの登録に利用者が必ず立ち会う必要があるので、利用者が自分のコンピュータに将来アンロック操作をするために登録された管理者ＰＣ１０Ｍを確実に知る機会を保証することができる。

【0044】

認証モジュール１０１Ｕはクレデンシャル１５５を、後に説明する管理者ＰＷによるアンロックのとき以外は取り出せないように管理する。したがって、ＮＶＲＡＭ２５Ｕに記憶されたクレデンシャル１５５は、利用者も含めてだれにも知られることはない。ブロック２６３で認証モジュール１０１Ｕは、クレデンシャル１５５とニックネーム１５７を記憶したことを条件にして、管理者ＰＷの設定待受状態に移行する。設定待受状態は、利用者ＰＣ１０Ｕの電源を起動した直後に所定のファンクションキーを操作してＢＩＯＳセットアップのセキュリティ設定画面に入った状態と同じ状態である。認証モジュール１０１Ｕは、設定待受状態に移行したことを認証モジュール１０１Ｍに通知する。

【0045】

ブロック２１５で利用者ＰＣ１０Ｕが設定待受状態入ったことを認識した認証モジュール１０１Ｍは、ＮＶＲＡＭ２５Ｍに記憶しておいた管理者ＰＷを認証モジュール１０１Ｕに送る。ブロック２６５で認証モジュール１０１Ｕはセットアップ画面に対してキーボード２７Ｕから入力されたときと同じように、システム・ファームウェア１０１ＵにＳＶＰ１５１とＭＨＤＰ１５３を設定する。

【0046】

ＳＶＰ１５１は、認証モジュール１０１ＵによってファームウェアＲＯＭ２３Ｕのセキュアな場所に格納され、ＭＨＤＰ１５３は、認証モジュール１０１ＵによってＨＤＤ１７Ｕに送られる。ＨＤＤ１７Ｕの内部のファームウェアは、ＭＨＤＰ１５３を内部のセキュアな場所に格納する。管理者は管理者ＰＷと利用者ＰＷが設定された利用者ＰＣ１０Ｕを利用者に渡す。ここまでの手順で利用者は管理者の側にいても、管理者ＰＷおよびクレデンシャル１５５を知ることはできず、利用を開始したあとも知ることはできないが、以後、ＰＯＰおよびＵＨＤＰを変更することはできる。

【0047】

図５は、管理者が管理者ＰＣ１０Ｍを通じて利用者ＰＣ１０Ｕに管理者ＰＷを入力してアンロックするときの手順を説明するためのフローチャートである。管理者の前には、管理者ＰＣ１０Ｍと図４の手順で管理者ＰＷが設定された利用者ＰＣ１０Ｕが並んでいる。ブロック３０１〜３０７およびブロック３５１〜３５７の手順は、図４のブロック２０３〜２０９、ブロック２５３〜２５７とほぼ同じであるが、ここでは利用者が不在の状態で管理者が、管理者ＰＣ１０Ｍを使って利用者ＰＣ１０Ｕのアンロックをすることを想定する。

【0048】

ブロック３０３で管理者ＰＣ１０Ｍの電源を起動した管理者が所定のファンクションキーを押下すると、認証モジュール１０１Ｍが実行されて、ＬＣＤ２１Ｍに、利用者ＰＣ１０Ｕをアンロックするための画面を表示する。管理者はキーボード２７Ｍから利用者ＰＣ１０Ｕをアンロックするための指示をする。また、これと並行して、ブロック３５３で利用者ＰＣ１０Ｕの電源を起動した管理者が所定のファンクションキーを押下すると、認証モジュール１０１Ｕが実行されて、ＬＣＤ２１Ｕに、管理者ＰＷを入力するための画面を表示する。管理者はキーボード２７Ｕから管理者ＰＷの入力をするための指示をする。このとき利用者ＰＣ１０Ｕは、管理者にユーザＩＤの入力を要求することができる。

【0049】

ブロック３０９で認証モジュール１０１ＭはＮＶＲＡＭ２５Ｍが記憶するクレデンシャル１５５を認証モジュール１０１Ｕに送付する。ブロック３５９で認証モジュール１０１Ｕは、ＮＶＲＡＭ２５Ｕに記憶しているクレデンシャル１５５と受け取ったクレデンシャル１５５を比較して管理者ＰＣ１０Ｍを認証する。ブロック３６１で認証が成功したときはブロック３６３に移行し、失敗したときはブロック３７７に移行して手順は終了しアンロックはできない。

【0050】

クレデンシャル１５５は、管理者ＰＣ１０Ｍおよび利用者ＰＣ１０Ｕにおいて、管理者および利用者を含めて何人にも知られないように管理されている。したがって、管理者ＰＣ１０Ｍは同一の管理者ＰＷを保有する他人のクレデンシャルを取得し、他人に成りすましてクレデンシャルを送ることはできない。また、自らのクレデンシャル１５５を図５の手順を経ないで直接キーボード２７Ｕから入力して痕跡を残さないでアンロックするようなこともできない。

【0051】

したがって、ブロック３０５、３５５で相互認証が成功したことは、ブロック２６５（図４）で管理者ＰＷを設定した管理者が、正当な手順でクレデンシャル１５５を送ったことに相当する。特に図６で説明するように同じ管理者ＰＷを複数の代理管理者が保有するような場合でも、認証モジュール１０１Ｕは管理者ＰＷを設定した代理管理者以外の代理管理者のクレデンシャルを認証しない。

【0052】

ブロック３６３で認証モジュール１０１Ｕは、ＮＶＲＡＭ２５Ｕにアンロック・フラグ１６１を設定する。クレデンシャル１５５の認証が成功したことを条件にして、ブロック３６５で認証モジュール１０１Ｕは管理者ＰＷの入力待ち状態に入る。入力待ち状態は、ＢＩＯＳセットアップ画面において、キーボード２７Ｕから管理者ＰＷが入力できる状態に相当する。認証モジュール１０１Ｕは認証モジュール１０１Ｍに入力待ち状態に移行したことを通知する。

【0053】

ブロック３１１で入力待ち状態の通知を受け取った認証モジュール１０１Ｍは、ＮＶＲＭ２５Ｍに記憶しておいたＳＶＰ１５１とＭＨＤＰ１５３を管理モジュール１０１Ｕに送る。ブロック３６７で認証モジュール１０１Ｕは、ＢＩＯＳセットアップ画面にキーボード２７Ｕから入力されたときと同じように管理者ＰＷを認証する。利用者ＰＷが設定されていても、管理者ＰＷを入力することでパワー・オンおよびＨＤＤ１７Ｕにアクセスすることができる。ブロック３６９でシステム・ファームウェア１００ＵによるＰＯＳＴが終了して、ＨＤＤ１７ＵからＯＳのロードを開始する。

【0054】

管理者は利用者が不在の状態で所定の作業が終わると利用者ＰＣ１０Ｕの電源を停止する。つぎに、ブロック３７１で利用者が利用者ＰＣ１０Ｕの電源を起動してシステム・ファームウェア１００Ｕを実行すると、ブロック３７３で管理モジュール１０１ＵはＮＶＲＡＭ２５Ｕのアンロック・フラグ１６１を確認する。アンロック・フラグ１６１の設定がなければブロック３７７に移行して手順は終了し、通常通りＯＳのロードが始まる。管理モジュール１００Ｕは、アンロック・フラグ１６１の設定を確認すると、それを消去すると同時にブロック３７５でＬＣＤ２１Ｕにブロック３５９で認証したクレデンシャル１５５に関連付けられたニックネーム１５７を表示する。

【0055】

管理者は利用者が不在の間に管理者ＰＷを使って利用者ＰＣ１０Ｕをアンロックできるが、利用者はその後電源を起動したときに、ニックネームから管理者がアンロックしたことを知ることができる。これは、管理者による恣意的なアンロックを抑制するとともに、緊急時には利用者ＰＷが設定されていても、利用者ＰＣ１０Ｕにアクセスできる状態をつくることに相当する。また、利用者が安心できるように管理者ＰＷを設定できる運用環境を構築して利用者による管理者ＰＷの設定を防ぐことに相当する。

【0056】

図４、図５の手順は、本発明の実施形態を説明したもので、記載した手順のすべてが本発明の必須の要素ではなく、また、順番も本発明の思想の範囲内において入れ替えることができる。たとえば、ブロック３０９、３１１（図５）では、クレデンシャル１５５が認証されてから管理者ＰＷを送付しているが、クレデンシャル１５５と管理者ＰＷは同時に送付してもよいし、先に管理者ＰＷを送付してもよい。たとえば、ブロック３０９で管理者ＰＷを送り、ブロック３５９で管理者ＰＷを認証し、認証が成功したときにブロック３６３でアンロック・フラグ１６１を設定することができる。

【0057】

その後ブロック３６５で、クレデンシャルの入力待ち状態に入り、ブロック３１１でクレデンシャル１５５を送付し、ブロック３６７でクレデンシャルの認証をすることができる。先に管理者ＰＷを認証する場合は、クレデンシャル１５５に代えて管理者を識別するユーザＩＤのような認証の必要がない識別子を利用することもできる。また、管理者ＰＷを保有する人物が単数の場合は、クレデンシャルの認証が行われてアンロックされたことを記録しておけば、ニックネームを登録しないでもアンロックした人物を特定できるため、ニックネームの登録は必須ではなくなる。

【0058】

つぎに図４、図５の手順を利用して、管理者ＰＷを階層的に管理する方法を図６、図７を参照して説明する。図６においてルート管理者が保有するルート管理者ＰＣ４００の管理下に、複数の代理管理者がそれぞれ保有する代理管理者ＰＣ４１１〜４１５が存在し、各代理管理者ＰＣ４１１〜４１５の管理下に利用者ＰＣ群４０１〜４０３が存在している。実線は管理者ＰＷの設定ができることを示しており、点線は管理者ＰＷによるアンロックができることを示している。管理者ＰＷは全体を通じて統一している。ただし、本発明は管理者ＰＷが代理管理者ごとに異なるものであってもよい。

【0059】

ルート管理者ＰＣ４００と各代理管理者ＰＣ４１１〜４１３との関係および各代理管理者ＰＣ４１１〜４１５と対応する利用者ＰＣ群４０１〜４０３の各利用者ＰＣとの関係は、図４、図５で説明した管理者ＰＣ１０Ｍと利用者ＰＣ１０Ｕの関係と同じように理解することができる。各代理管理者ＰＣ４１１〜４１３は、ルート管理者ＰＣ４００のクレデンシャルとニックネームを保有する。また、各利用者ＰＣ群４０１〜４０３の各利用者ＰＣは、対応する各代理管理者ＰＣ４１１〜４１３のクレデンシャルとニックネームを保有する。

【0060】

この場合、ルート管理者ＰＣ４００は、代理管理者ＰＣ４１１〜４１５をアンロックできるが、その後代理管理者が自らの代理管理者ＰＣをブートしたときに、ＬＣＤに管理者のニックネームが表示される。各代理管理者ＰＣ４１１〜４１３は、管理下の利用者ＰＣ群４０１〜４０３の利用者ＰＣをアンロックできるが、その後利用者が自らの利用者ＰＣをブートしたときに、ＬＣＤにアンロックした代理管理者のニックネームが表示される。

【0061】

クレデンシャル１５５は、ルート管理者、代理管理者、および利用者のいずれも知ることはできない。したがって、たとえば代理管理者ＰＣ４１１は、成りすましにより、正当に保有する管理者ＰＷと不正に取得した代理管理者ＰＣ４１３のクレデンシャル１５５およびニックネーム１５７を使って利用者ＰＣ群４０３の利用者ＰＣをアンロックすることはできなくなる。

【0062】

図７は、代理管理者４２１〜４２３が管理下の利用者ＰＣ群４０１〜４０５の各利用者ＰＣに管理者ＰＷの設定をするが、各利用者ＰＣのアンロックはルート管理者ＰＣ４００だけが行うことを示している。各代理管理者ＰＣ４２１〜４２５、利用者ＰＣ群４０１〜４０５の利用者ＰＣは、ルート管理者ＰＣ４００のクレデンシャルとニックネームを保有している。各代理管理者ＰＣ４２１〜４２５は、対応する利用者ＰＣ群４０１〜４０５の利用者ＰＣにルート管理者４００のクレデンシャルとニックネームを送付する。

【0063】

ルート管理者ＰＣ４００はすべての代理管理者ＰＣ４２１〜４２５、利用者ＰＣ群４０１〜４０５のすべての利用者ＰＣをアンロックできるが、その後代理管理者４２１〜４２５または利用者ＰＣ群４０１〜４０５の利用者ＰＣがブートしたときに、ＬＣＤにアンロックしたルート管理者４００のニックネームが表示される。ルート管理者ＰＣ４００は、管理者ＰＷの設定を代理管理者ＰＣ４２１〜４２５を通じて行えるため、利用者ＰＣの数が多くなっても手間が省けるとともに、利用者はアンロックできるのがルート管理者だけであるため、安心感を抱くことができる。

【0064】

これまで本発明について図面に示した特定の実施の形態をもって説明してきたが、本発明は図面に示した実施の形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができることはいうまでもないことである。

【符号の説明】

【0065】

１０ ノートＰＣ
１０Ｍ 管理者ＰＣ
１０Ｕ 利用者ＰＣ
４００ ルート管理者ＰＣ
４０１〜４０５、 利用者ＰＣ群
４１１〜４１５、４２１〜４２３ 代理管理者ＰＣ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】