特開2023-115743ネットワークシステムおよびシングルサインオンの処理方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023115743
(43)【公開日】2023-08-21
(54)【発明の名称】ネットワークシステムおよびシングルサインオンの処理方法
(51)【国際特許分類】
G06F 21/41 20130101AFI20230814BHJP
【ＦＩ】
G06F21/41
【審査請求】未請求
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2022018136
(22)【出願日】2022-02-08
(71)【出願人】
【識別番号】300059979
【氏名又は名称】エイチ・シー・ネットワークス株式会社
(74)【代理人】
【識別番号】110002066
【氏名又は名称】弁理士法人筒井国際特許事務所
(72)【発明者】
【氏名】柴田 功克
(72)【発明者】
【氏名】小野 勝人
(72)【発明者】
【氏名】西野宮 浩志
(57)【要約】
【課題】高いセキュリティでシングルサインオンを実現することが可能なネットワークシステムおよびシングルサインオンの処理方法を提供する。
【解決手段】クライアント装置１４は、Ｗｅｂサーバ１２からのログインアカウントＬＣＮの入力要求に応じて、ＳＳＯ認証サーバ１０に、ワンタイムＰＷ（ＯＰＷ）の生成要求を送信し、ＳＳＯ認証サーバ１０から取得したワンタイムＰＷ（ＯＰＷ）をログインＰＷとしてＷｅｂサーバ１２に送信する。ＳＳＯ認証サーバ１０は、クライアント装置１４からのワンタイムＰＷの生成要求に応じて、ワンタイムＰＷ（ＯＰＷ）を生成し、生成したワンタイムＰＷ（ＯＰＷ）でリソースサーバ１１のログインＤＢに登録されたログインＰＷを更新し、生成したワンタイムＰＷ（ＯＰＷ）をクライアント装置１４に送信する。
【選択図】図３Ａ
【解決手段】クライアント装置１４は、Ｗｅｂサーバ１２からのログインアカウントＬＣＮの入力要求に応じて、ＳＳＯ認証サーバ１０に、ワンタイムＰＷ（ＯＰＷ）の生成要求を送信し、ＳＳＯ認証サーバ１０から取得したワンタイムＰＷ（ＯＰＷ）をログインＰＷとしてＷｅｂサーバ１２に送信する。ＳＳＯ認証サーバ１０は、クライアント装置１４からのワンタイムＰＷの生成要求に応じて、ワンタイムＰＷ（ＯＰＷ）を生成し、生成したワンタイムＰＷ（ＯＰＷ）でリソースサーバ１１のログインＤＢに登録されたログインＰＷを更新し、生成したワンタイムＰＷ（ＯＰＷ）をクライアント装置１４に送信する。
【選択図】図３Ａ
【特許請求の範囲】
【請求項1】
クライアントによって使用されるクライアント装置と、
ログインパスワードを含んだログインアカウントがログイン許可の場合に、前記クライアントに所定のサービスを提供するサーバ装置と、
前記サーバ装置へのログインを許可する前記ログインアカウントが登録されたログインデータベースを保持し、前記サーバ装置からの、前記ログインアカウントを含んだログイン判定要求に応じて、前記ログインデータベースと照合することでログイン許可またはログイン拒否を判定するリソースサーバと、
前記クライアント装置からのシングルサインオン用の認証アカウントの認証要求を受け、認証許可と判定した場合に、前記クライアント装置および前記リソースサーバと連携してシングルサインオンを実現するシングルサインオン認証サーバと、
を有し、
前記クライアント装置は、前記サーバ装置からの前記ログインアカウントの入力要求に応じて、前記シングルサインオン認証サーバに、ワンタイムパスワードの生成要求を送信し、前記シングルサインオン認証サーバから取得した前記ワンタイムパスワードを、前記ログインパスワードとして前記サーバ装置に送信し、
前記シングルサインオン認証サーバは、前記クライアント装置からの前記ワンタイムパスワードの前記生成要求に応じて、前記ワンタイムパスワードを生成し、生成した前記ワンタイムパスワードで、前記リソースサーバの前記ログインデータベースに登録された前記ログインパスワードを更新し、生成した前記ワンタイムパスワードを前記クライアント装置に送信する、
ネットワークシステム。
ログインパスワードを含んだログインアカウントがログイン許可の場合に、前記クライアントに所定のサービスを提供するサーバ装置と、
前記サーバ装置へのログインを許可する前記ログインアカウントが登録されたログインデータベースを保持し、前記サーバ装置からの、前記ログインアカウントを含んだログイン判定要求に応じて、前記ログインデータベースと照合することでログイン許可またはログイン拒否を判定するリソースサーバと、
前記クライアント装置からのシングルサインオン用の認証アカウントの認証要求を受け、認証許可と判定した場合に、前記クライアント装置および前記リソースサーバと連携してシングルサインオンを実現するシングルサインオン認証サーバと、
を有し、
前記クライアント装置は、前記サーバ装置からの前記ログインアカウントの入力要求に応じて、前記シングルサインオン認証サーバに、ワンタイムパスワードの生成要求を送信し、前記シングルサインオン認証サーバから取得した前記ワンタイムパスワードを、前記ログインパスワードとして前記サーバ装置に送信し、
前記シングルサインオン認証サーバは、前記クライアント装置からの前記ワンタイムパスワードの前記生成要求に応じて、前記ワンタイムパスワードを生成し、生成した前記ワンタイムパスワードで、前記リソースサーバの前記ログインデータベースに登録された前記ログインパスワードを更新し、生成した前記ワンタイムパスワードを前記クライアント装置に送信する、
ネットワークシステム。
【請求項2】
請求項１記載のネットワークシステムにおいて、
前記ログインアカウントは、前記ログインパスワードとログインＩＤとを含み、
前記クライアント装置は、
前記サーバ装置からの前記ログインアカウントの前記入力要求に応じて、前記シングルサインオン認証サーバに、前記ワンタイムパスワードの前記生成要求を含んだ前記ログインアカウントの取得要求を送信し、前記シングルサインオン認証サーバから前記ログインＩＤおよび前記ワンタイムパスワードを取得するログインアカウント取得要求部と、
前記ログインアカウント取得要求部で取得された前記ログインＩＤおよび前記ワンタイムパスワードを含んだログイン要求を、前記サーバ装置からの前記ログインアカウントの前記入力要求に対する応答として前記サーバ装置に送信するログイン処理部と、
を備え、
前記シングルサインオン認証サーバは、
シングルサインオン認証を許可する前記認証アカウントと前記サーバ装置への前記ログインＩＤとの対応関係を表す認証データベースを保持するメモリと、
前記クライアント装置からの前記認証アカウントの前記認証要求に応じて前記認証データベースに基づいて前記認証許可または認証拒否を判定する認証判定部と、
前記クライアント装置からの前記ログインアカウントの前記取得要求に応じて、前記ワンタイムパスワードを生成し、前記認証データベースに基づいて得られる前記ログインＩＤに対応する前記ログインパスワードを、生成した前記ワンタイムパスワードに定めることで前記ログインアカウントを決定するログインアカウント決定部と、
前記リソースサーバにパスワード更新命令を送信することで、前記リソースサーバの前記ログインデータベースを、前記ログインアカウント決定部で決定された前記ログインＩＤおよび前記ワンタイムパスワードで更新するログインデータベース更新指示部と、
前記ログインアカウント決定部で決定された前記ログインＩＤおよび前記ワンタイムパスワードを、前記ログインアカウントの前記取得要求に対する取得応答として前記クライアント装置に送信するログインアカウント取得応答部と、
を備える、
ネットワークシステム。
前記ログインアカウントは、前記ログインパスワードとログインＩＤとを含み、
前記クライアント装置は、
前記サーバ装置からの前記ログインアカウントの前記入力要求に応じて、前記シングルサインオン認証サーバに、前記ワンタイムパスワードの前記生成要求を含んだ前記ログインアカウントの取得要求を送信し、前記シングルサインオン認証サーバから前記ログインＩＤおよび前記ワンタイムパスワードを取得するログインアカウント取得要求部と、
前記ログインアカウント取得要求部で取得された前記ログインＩＤおよび前記ワンタイムパスワードを含んだログイン要求を、前記サーバ装置からの前記ログインアカウントの前記入力要求に対する応答として前記サーバ装置に送信するログイン処理部と、
を備え、
前記シングルサインオン認証サーバは、
シングルサインオン認証を許可する前記認証アカウントと前記サーバ装置への前記ログインＩＤとの対応関係を表す認証データベースを保持するメモリと、
前記クライアント装置からの前記認証アカウントの前記認証要求に応じて前記認証データベースに基づいて前記認証許可または認証拒否を判定する認証判定部と、
前記クライアント装置からの前記ログインアカウントの前記取得要求に応じて、前記ワンタイムパスワードを生成し、前記認証データベースに基づいて得られる前記ログインＩＤに対応する前記ログインパスワードを、生成した前記ワンタイムパスワードに定めることで前記ログインアカウントを決定するログインアカウント決定部と、
前記リソースサーバにパスワード更新命令を送信することで、前記リソースサーバの前記ログインデータベースを、前記ログインアカウント決定部で決定された前記ログインＩＤおよび前記ワンタイムパスワードで更新するログインデータベース更新指示部と、
前記ログインアカウント決定部で決定された前記ログインＩＤおよび前記ワンタイムパスワードを、前記ログインアカウントの前記取得要求に対する取得応答として前記クライアント装置に送信するログインアカウント取得応答部と、
を備える、
ネットワークシステム。
【請求項3】
請求項２記載のネットワークシステムにおいて、
前記シングルサインオン認証サーバは、シングルサインオンの適用先となる前記サーバ装置のＵＲＩ（Uniform Resource Identifier）を定めた適用先一覧データを保持し、前記クライアント装置からの前記認証アカウントの前記認証要求に応じて前記認証許可と判定した場合には、前記クライアント装置に、前記適用先一覧データを送信し、
前記クライアント装置の前記ログインアカウント取得要求部は、前記ログインアカウントの前記入力要求を送信した前記サーバ装置が適用先であるか否かを前記適用先一覧データに基づいて判定し、適用先と判定した場合には、前記シングルサインオン認証サーバに、前記ログインアカウントの前記取得要求を送信し、非適用先と判定した場合には、前記ログインアカウントの前記取得要求を送信しない、
ネットワークシステム。
前記シングルサインオン認証サーバは、シングルサインオンの適用先となる前記サーバ装置のＵＲＩ（Uniform Resource Identifier）を定めた適用先一覧データを保持し、前記クライアント装置からの前記認証アカウントの前記認証要求に応じて前記認証許可と判定した場合には、前記クライアント装置に、前記適用先一覧データを送信し、
前記クライアント装置の前記ログインアカウント取得要求部は、前記ログインアカウントの前記入力要求を送信した前記サーバ装置が適用先であるか否かを前記適用先一覧データに基づいて判定し、適用先と判定した場合には、前記シングルサインオン認証サーバに、前記ログインアカウントの前記取得要求を送信し、非適用先と判定した場合には、前記ログインアカウントの前記取得要求を送信しない、
ネットワークシステム。
【請求項4】
請求項２記載のネットワークシステムにおいて、
前記シングルサインオン認証サーバの前記ログインデータベース更新指示部は、前記ログインアカウント決定部で決定された前記ワンタイムパスワードの有効期限を監視し、有効期限切れを検出した場合には、前記リソースサーバにパスワード無効命令を送信することで、前記有効期限切れの前記ワンタイムパスワードを前記ログインデータベース上で無効化する、
ネットワークシステム。
前記シングルサインオン認証サーバの前記ログインデータベース更新指示部は、前記ログインアカウント決定部で決定された前記ワンタイムパスワードの有効期限を監視し、有効期限切れを検出した場合には、前記リソースサーバにパスワード無効命令を送信することで、前記有効期限切れの前記ワンタイムパスワードを前記ログインデータベース上で無効化する、
ネットワークシステム。
【請求項5】
請求項２記載のネットワークシステムにおいて、
前記サーバ装置は、ＨＴＴＰ（Hypertext Transfer Protocol）のプロトコル処理を実行可能なＷｅｂサーバであり、
前記クライアント装置の前記ログインアカウント取得要求部および前記ログイン処理部は、前記クライアント装置のＷｅｂブラウザのアドオンプログラムによって実現される、
ネットワークシステム。
前記サーバ装置は、ＨＴＴＰ（Hypertext Transfer Protocol）のプロトコル処理を実行可能なＷｅｂサーバであり、
前記クライアント装置の前記ログインアカウント取得要求部および前記ログイン処理部は、前記クライアント装置のＷｅｂブラウザのアドオンプログラムによって実現される、
ネットワークシステム。
【請求項6】
クライアントによって使用されるクライアント装置と、
ログインＩＤおよびログインパスワードを含むログインアカウントがログイン許可の場合に、前記クライアントに所定のサービスを提供するサーバ装置と、
前記サーバ装置へのログインを許可する前記ログインアカウントが登録されたログインデータベースを保持し、前記サーバ装置からの、前記ログインアカウントを含んだログイン判定要求に応じて、前記ログインデータベースと照合することでログイン許可またはログイン拒否を判定するリソースサーバと、
シングルサインオン認証を許可する認証アカウントと前記サーバ装置への前記ログインＩＤとの対応関係を表す認証データベースを保持し、前記クライアント装置からの前記認証アカウントの認証要求に応じて前記認証データベースに基づいて認証許可または認証拒否を判定し、前記認証許可と判定した場合に、前記クライアント装置および前記リソースサーバと連携してシングルサインオンを実現するシングルサインオン認証サーバと、
を有するネットワークシステムにおけるシングルサインオンの処理方法であって、
前記クライアント装置が前記シングルサインオン認証サーバに前記認証アカウントを認証させる認証ステップと、
前記クライアント装置が、前記サーバ装置からの前記ログインアカウントの入力要求に応じて、前記シングルサインオン認証サーバに、ワンタイムパスワードの生成要求を含んだ前記ログインアカウントの取得要求を送信するアカウント取得要求ステップと、
前記シングルサインオン認証サーバが、前記ログインアカウントの前記取得要求に応じてワンタイムパスワードを生成し、前記認証データベースに基づいて得られる前記ログインＩＤに対応する前記ログインパスワードを、生成した前記ワンタイムパスワードに定めるアカウント決定ステップと、
前記シングルサインオン認証サーバが、前記リソースサーバにパスワード更新命令を送信することで、前記リソースサーバの前記ログインデータベースを、前記アカウント決定ステップで決定された前記ログインＩＤおよび前記ワンタイムパスワードで更新するログインデータベース更新ステップと、
前記シングルサインオン認証サーバが、前記アカウント決定ステップで決定された前記ログインＩＤおよび前記ワンタイムパスワードを、前記ログインアカウントの前記アカウント取得要求ステップに対する取得応答として前記クライアント装置に送信するアカウント取得応答ステップと、
前記クライアント装置が、前記アカウント取得応答ステップで取得された前記ログインＩＤおよび前記ワンタイムパスワードを含んだログイン要求を、前記サーバ装置からの前記ログインアカウントの前記入力要求に対する応答として前記サーバ装置に送信するログイン処理ステップと、を備える、
シングルサインオンの処理方法。
ログインＩＤおよびログインパスワードを含むログインアカウントがログイン許可の場合に、前記クライアントに所定のサービスを提供するサーバ装置と、
前記サーバ装置へのログインを許可する前記ログインアカウントが登録されたログインデータベースを保持し、前記サーバ装置からの、前記ログインアカウントを含んだログイン判定要求に応じて、前記ログインデータベースと照合することでログイン許可またはログイン拒否を判定するリソースサーバと、
シングルサインオン認証を許可する認証アカウントと前記サーバ装置への前記ログインＩＤとの対応関係を表す認証データベースを保持し、前記クライアント装置からの前記認証アカウントの認証要求に応じて前記認証データベースに基づいて認証許可または認証拒否を判定し、前記認証許可と判定した場合に、前記クライアント装置および前記リソースサーバと連携してシングルサインオンを実現するシングルサインオン認証サーバと、
を有するネットワークシステムにおけるシングルサインオンの処理方法であって、
前記クライアント装置が前記シングルサインオン認証サーバに前記認証アカウントを認証させる認証ステップと、
前記クライアント装置が、前記サーバ装置からの前記ログインアカウントの入力要求に応じて、前記シングルサインオン認証サーバに、ワンタイムパスワードの生成要求を含んだ前記ログインアカウントの取得要求を送信するアカウント取得要求ステップと、
前記シングルサインオン認証サーバが、前記ログインアカウントの前記取得要求に応じてワンタイムパスワードを生成し、前記認証データベースに基づいて得られる前記ログインＩＤに対応する前記ログインパスワードを、生成した前記ワンタイムパスワードに定めるアカウント決定ステップと、
前記シングルサインオン認証サーバが、前記リソースサーバにパスワード更新命令を送信することで、前記リソースサーバの前記ログインデータベースを、前記アカウント決定ステップで決定された前記ログインＩＤおよび前記ワンタイムパスワードで更新するログインデータベース更新ステップと、
前記シングルサインオン認証サーバが、前記アカウント決定ステップで決定された前記ログインＩＤおよび前記ワンタイムパスワードを、前記ログインアカウントの前記アカウント取得要求ステップに対する取得応答として前記クライアント装置に送信するアカウント取得応答ステップと、
前記クライアント装置が、前記アカウント取得応答ステップで取得された前記ログインＩＤおよび前記ワンタイムパスワードを含んだログイン要求を、前記サーバ装置からの前記ログインアカウントの前記入力要求に対する応答として前記サーバ装置に送信するログイン処理ステップと、を備える、
シングルサインオンの処理方法。
【請求項7】
請求項６記載のシングルサインオンの処理方法において、
前記シングルサインオン認証サーバは、シングルサインオンの適用先となる前記サーバ装置のＵＲＩ（Uniform Resource Identifier）を定めた適用先一覧データを保持し、前記認証ステップにおいて、前記クライアント装置からの前記認証要求に応じて前記認証許可と判定した場合には、前記クライアント装置に、前記適用先一覧データを送信し、
前記クライアント装置は、前記アカウント取得要求ステップにおいて、前記ログインアカウントの前記入力要求を送信した前記サーバ装置が適用先であるか否かを前記適用先一覧データに基づいて判定し、適用先と判定した場合には、前記シングルサインオン認証サーバに、前記ログインアカウントの前記取得要求を送信し、非適用先と判定した場合には、前記ログインアカウントの前記取得要求を送信しない、
シングルサインオンの処理方法。
前記シングルサインオン認証サーバは、シングルサインオンの適用先となる前記サーバ装置のＵＲＩ（Uniform Resource Identifier）を定めた適用先一覧データを保持し、前記認証ステップにおいて、前記クライアント装置からの前記認証要求に応じて前記認証許可と判定した場合には、前記クライアント装置に、前記適用先一覧データを送信し、
前記クライアント装置は、前記アカウント取得要求ステップにおいて、前記ログインアカウントの前記入力要求を送信した前記サーバ装置が適用先であるか否かを前記適用先一覧データに基づいて判定し、適用先と判定した場合には、前記シングルサインオン認証サーバに、前記ログインアカウントの前記取得要求を送信し、非適用先と判定した場合には、前記ログインアカウントの前記取得要求を送信しない、
シングルサインオンの処理方法。
【請求項8】
請求項６記載のシングルサインオンの処理方法において、
前記シングルサインオン認証サーバが、前記アカウント決定ステップで決定された前記ワンタイムパスワードの有効期限を監視し、有効期限切れを検出した場合には、前記リソースサーバにパスワード無効命令を送信することで、前記有効期限切れの前記ワンタイムパスワードを前記ログインデータベース上で無効化するパスワード無効化ステップを更に備える、
シングルサインオンの処理方法。
前記シングルサインオン認証サーバが、前記アカウント決定ステップで決定された前記ワンタイムパスワードの有効期限を監視し、有効期限切れを検出した場合には、前記リソースサーバにパスワード無効命令を送信することで、前記有効期限切れの前記ワンタイムパスワードを前記ログインデータベース上で無効化するパスワード無効化ステップを更に備える、
シングルサインオンの処理方法。
【請求項9】
請求項８記載のシングルサインオンの処理方法において、
前記ワンタイムパスワードの前記有効期限は、前記アカウント決定ステップで前記ワンタイムパスワードが生成されてから、前記ログイン処理ステップに応じて前記リソースサーバが前記ログイン許可または前記ログイン拒否を判定するまでに要する期間に基づいて定められる、
シングルサインオンの処理方法。
前記ワンタイムパスワードの前記有効期限は、前記アカウント決定ステップで前記ワンタイムパスワードが生成されてから、前記ログイン処理ステップに応じて前記リソースサーバが前記ログイン許可または前記ログイン拒否を判定するまでに要する期間に基づいて定められる、
シングルサインオンの処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワークシステムおよびシングルサインオン（明細書ではＳＳＯと略す）の処理方法に関する。
【背景技術】
【0002】
特許文献１には、ＳＳＯ後に、ＳＳＯ前の情報に応じたサービスを、サービス利用者へ提供することが可能な認証システムが示される。具体的には、ＳＰ（Service Provider）サーバは、ユーザ端末からＳＳＯのアクセスを受けた場合、ユーザ端末のＳＳＯ前の通信セッション情報をＳＳＯ前情報として情報保持部に保存し、ユーザ端末をＩｄＰ（Identify Provider）サーバへリダイレクトさせる。ＩｄＰサーバは、ユーザ端末から入力された認証情報を用いて、ＳＳＯ認証ＤＢを参照してＳＳＯ認証を行い、ＳＳＯ認証の成功の場合、ユーザ端末をＳＰサーバへリダイレクトさせる。ＳＰサーバは、ＳＳＯ認証の成功後、ＳＳＯ前情報を情報保持部から取得し、ＳＳＯ前情報の内容に応じたサービスをユーザ端末へ提供する。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１６－１１８９３０号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
例えば、特許文献１に記載されるようなＳＳＯの技術が知れている。ＳＳＯの実現方式には、特許文献１に示されるような方式の他に様々な方式が存在する。その一つとして、例えば、複数のサーバ装置への各ログインアカウントをクライアント装置のＷｅｂブラウザに保持させ、個々のサーバ装置へログインする際に、対応するログインアカウントを、Ｗｅｂブラウザに自動で入力させるような方式が挙げられる。
【0005】
このような方式を用いて個々のサーバ装置へログインする場合、クライアント装置は、サーバ装置に対して、ログインＩＤ（IDentifier）およびログインパスワード（明細書ではパスワードをＰＷと略す）を含んだログインアカウントを自動で送信する。また、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバ等のリソースサーバが設けられる場合、サーバ装置は、クライアント装置からのログインアカウントをリソースサーバに送信することで、リソースサーバにログイン許可／ログイン拒否を判定させる。
【0006】
しかしながら、この場合、クライアント装置とサーバ装置との間の通信経路、または、サーバ装置とリソースサーバとの間に通信経路で、ログインアカウントが漏洩するおそれがある。そして、漏洩したログインアカウントが不正に使用されることで、セキュリティの低下を招くおそれがあった。なお、セキュリティを向上させる方式として、ワンタイムパスワードを用いる方式が知られている。ただし、この場合、サーバ装置またはリソースサーバが、ワンタイムパスワードを取り扱う仕組みを備えている必要がある。
【0007】
本発明は、このようなことに鑑みてなされたものであり、その目的の一つは、高いセキュリティでシングルサインオンを実現することが可能なネットワークシステムおよびシングルサインオンの処理方法を提供することにある。
【0008】
本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。
【課題を解決するための手段】
【0009】
本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。
【0010】
一実施の形態によるネットワークシステムは、クライアント装置と、サーバ装置と、リソースサーバと、ＳＳＯ認証サーバと、を有する。クライアント装置は、クライアントによって使用される。サーバ装置は、ログインＰＷを含むログインアカウントがログイン許可の場合に、クライアントに所定のサービスを提供する。リソースサーバは、サーバ装置へのログインを許可するログインアカウントが登録されたログインデータベースを保持し、サーバ装置からの、ログインアカウントを含んだログイン判定要求に応じて、ログインデータベースと照合することでログイン許可またはログイン拒否を判定する。ＳＳＯ認証サーバは、クライアント装置からのＳＳＯ用の認証アカウントの認証要求を受け、認証許可と判定した場合に、クライアント装置およびリソースサーバと連携してＳＳＯを実現する。ここで、クライアント装置は、サーバ装置からのログインアカウントの入力要求に応じて、ＳＳＯ認証サーバに、ワンタイムＰＷの生成要求を送信し、ＳＳＯ認証サーバから取得したワンタイムＰＷをログインＰＷとしてサーバ装置に送信する。ＳＳＯ認証サーバは、クライアント装置からのワンタイムＰＷの生成要求に応じて、ワンタイムＰＷを生成し、生成したワンタイムＰＷでリソースサーバのログインデータベースに登録されたログインＰＷを更新し、生成したワンタイムＰＷをクライアント装置に送信する。
【発明の効果】
【0011】
本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、高いセキュリティでシングルサインオンを実現することが可能になる。
【図面の簡単な説明】
【0012】
【図1】実施の形態１によるネットワークシステムの構成例および前提となる動作例を示す概略図である。
【発明を実施するための形態】
【0013】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。
【0014】
＜ネットワークシステムの概略＞
図１は、実施の形態１によるネットワークシステムの構成例および前提となる動作例を示す概略図である。図１に示されるネットワークシステムは、互いにネットワーク１５を介して接続される、ＳＳＯ認証サーバ１０、リソースサーバ１１、複数のＷｅｂサーバ１２［１］，１２［２］およびレイヤ２（Ｌ２）スイッチ１３と、クライアント装置１４とを備える。クライアント装置１４は、ここでは、ＳＳＯ用の認証アカウント“ＡＣＮ１”を有するクライアント１６によって使用される。クライアント装置１４は、Ｌ２スイッチ１３を介してネットワーク１５に接続される。
図１は、実施の形態１によるネットワークシステムの構成例および前提となる動作例を示す概略図である。図１に示されるネットワークシステムは、互いにネットワーク１５を介して接続される、ＳＳＯ認証サーバ１０、リソースサーバ１１、複数のＷｅｂサーバ１２［１］，１２［２］およびレイヤ２（Ｌ２）スイッチ１３と、クライアント装置１４とを備える。クライアント装置１４は、ここでは、ＳＳＯ用の認証アカウント“ＡＣＮ１”を有するクライアント１６によって使用される。クライアント装置１４は、Ｌ２スイッチ１３を介してネットワーク１５に接続される。
【0015】
Ｗｅｂサーバ１２［１］，１２［２］は、ＨＴＴＰ（Hypertext Transfer Protocol）の処理機能を搭載したサーバである。各Ｗｅｂサーバ１２［１］，１２［２］は、ログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）を含むログインアカウントＬＣＮがログイン許可の場合に、クライアント１６に所定のサービスを提供する。ここでは、Ｗｅｂサーバ１２［１］，１２［２］のＵＲＩ（Uniform Resource Identifier）は、それぞれ、“ＵＲＩ１”，“ＵＲＩ２”である。
【0016】
なお、Ｗｅｂサーバ１２［１］，１２［２］は、例えば、アプリケーションサーバやファイルサーバ等の他のサーバ装置であってもよい。すなわち、サーバ装置は、Ｗｅｂサーバに限らず、ログインアカウントＬＣＮがログイン許可の場合に、クライアント１６に所定のサービスを提供するものであればよい。
【0017】
リソースサーバ１１は、ＬＤＡＰサーバ等のディレクトサーバであり、Ｗｅｂサーバ（サーバ装置）１２［１］，１２［２］へのログインを管理するサーバである。リソースサーバ１１は、メモリ２５を備え、Ｗｅｂサーバ１２［１］，１２［２］へのログインを許可するログインアカウントＬＣＮが登録されたログインデータベース（明細書ではデータベースをＤＢと略す）２６を、メモリ２５に保持する。この例では、ログインＤＢ２６には、“ＵＲＩ１”を有するＷｅｂサーバ１２［１］を対象に、ログインを許可するログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）として、それぞれ、“ＬＩＤ１１”および“ＬＰＷ１１”が登録される。
【0018】
同様に、ログインＤＢ２６には、“ＵＲＩ２”を有するＷｅｂサーバ１２［２］を対象に、“ＬＩＤ１２”および“ＬＰＷ１２”が登録される。なお、“ＬＩＤ１２”および“ＬＰＷ１２”は、それぞれ、“ＬＩＤ１１”および“ＬＰＷ１１”と同一であってもよい。リソースサーバ１１は、Ｗｅｂサーバ１２［１］，１２［２］からの、ログインアカウントＬＣＮを含んだログイン判定要求に応じて、ログインＤＢ２６と照合することでログイン許可またはログイン拒否を判定する。
【0019】
ＳＳＯ認証サーバ１０は、ＳＳＯ機能を提供する装置である。ＳＳＯ認証サーバ１０は、メモリ２０を備え、ＳＳＯ認証を許可する認証アカウントＡＣＮとＷｅｂサーバ１２［１］，１２［２］へのログインアカウントＬＣＮとの対応関係を表す認証ＤＢ２１を、メモリ２０に保持する。
【0020】
この例では、認証ＤＢ２１には、ＳＳＯ認証を許可する認証アカウントＡＣＮとして、“ＡＣＮ１”が登録される。認証アカウントＡＣＮは、詳細には、例えば、ログインアカウントＬＣＮの場合と同様に、認証ＩＤおよび認証ＰＷを含んでもよいが、特に、これに限らない。また、認証ＤＢ２１には、“ＡＣＮ１”に対応する“ＵＲＩ１”、すなわちＷｅｂサーバ１２［１］へのログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）として、それぞれ、“ＬＩＤ１１”および“ＬＰＷ１１”が登録される。
【0021】
同様に、認証ＤＢ２１には、“ＡＣＮ１”に対応する“ＵＲＩ２”、すなわちＷｅｂサーバ１２［２］へのログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）として、それぞれ、“ＬＩＤ１２”および“ＬＰＷ１２”が登録される。認証ＤＢ２１における“ＵＲＩ１”，“ＵＲＩ２”，…は、ＳＳＯの適用先となるサーバ装置のＵＲＩを定めた適用先一覧データ２２となる。ＳＳＯ認証サーバ１０は、クライアント装置１４からの認証アカウントＡＣＮの認証要求に応じて、認証ＤＢ２１に基づいて認証許可または認証拒否を判定する。そして、ＳＳＯ認証サーバ１０は、認証許可と判定した場合には、以下に述べるように、クライアント装置１４等と連携してＳＳＯを実現する。
【0022】
次に、図１に示されるネットワークシステムにおいて、前提となるＳＳＯの処理方法の一例について説明する。クライアント１６は、クライアント装置１４を介して、ＳＳＯ認証サーバ１０にＳＳＯ用の認証アカウント“ＡＣＮ１”を認証させる（ステップＳ１０１，Ｓ１０２）。具体的には、クライアント装置１４は、認証アカウント“ＡＣＮ１”の認証要求をＳＳＯ認証サーバ１０に送信する（ステップＳ１０１）。ＳＳＯ認証サーバ１０は、認証ＤＢ２１に基づいて認証アカウント“ＡＣＮ１”の認証許可または認証拒否を判定し、この例では認証許可と判定する。ＳＳＯ認証サーバ１０は、クライアント装置１４に、認証許可／認証拒否、この例では認証許可を表す認証応答を送信する（ステップＳ１０２）。
【0023】
続いて、クライアント１６は、クライアント装置１４のＷｅｂブラウザを介して、Ｗｅｂサーバ１２［１］に初回アクセスを行う（ステップＳ１０３）。これに応じて、Ｗｅｂサーバ１２［１］は、クライアント装置１４に、ログインアカウントＬＣＮの入力要求を送信する（ステップＳ１０４）。図２は、図１のネットワークシステムにおいて、クライアント装置に表示されるログインアカウント入力画面の一例を示す図である。ステップＳ１０４に応じて、クライアント装置１４のＷｅｂブラウザには、例えば、図２に示されるように、ログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）の入力を要求するログインアカウント入力画面１８が表示される。
【0024】
クライアント装置１４は、ステップＳ１０４におけるＷｅｂサーバ１２［１］からログインアカウントＬＣＮの入力要求に応じて、ＳＳＯ認証サーバ１０に、ログインアカウントＬＣＮの取得要求を送信する（ステップＳ１０５）。当該ログインアカウントＬＣＮの取得要求には、例えば、認証アカウント“ＡＣＮ１”の情報と、Ｗｅｂサーバ１２［１］の“ＵＲＩ１”の情報とが含まれる。ＳＳＯ認証サーバ１０は、認証ＤＢ２１に基づいて、“ＡＣＮ１”および“ＵＲＩ１”に対応するログインＩＤ“ＬＩＤ１１”およびログインＰＷ“ＬＰＷ１１”を決定し、“ＬＩＤ１１”および“ＬＰＷ１１”を含むログインアカウントＬＣＮの取得応答をクライアント装置１４に送信する（ステップＳ１０６）。
【0025】
クライアント装置１４は、ステップＳ１０６でのＳＳＯ認証サーバ１０からのログインアカウントＬＣＮの取得応答を受け、当該ログインアカウントＬＣＮ、すなわちログインＩＤ“ＬＩＤ１１”およびログインＰＷ“ＬＰＷ１１”のログイン要求をＷｅｂサーバ１２［１］に送信する（ステップＳ１０７）。詳細には、クライアント装置１４は、例えば、図２に示したようなログインアカウント入力画面１８に、ＳＳＯ認証サーバ１０から取得したログインアカウントＬＣＮを自動入力することで、Ｗｅｂサーバ１２［１］にログイン要求を送信する。
【0026】
Ｗｅｂサーバ１２［１］は、クライアント装置１４からのログインアカウントＬＣＮのログイン要求に応じて、当該ログインアカウントＬＣＮ、すなわちログインＩＤ“ＬＩＤ１１”およびログインＰＷ“ＬＰＷ１１”のログイン判定要求をリソースサーバ１１に送信する（ステップＳ１０８）。リソースサーバ１１は、ログインアカウントＬＣＮをログインＤＢ２６と照合することで、“ＬＩＤ１１”および“ＬＰＷ１１”のログイン許可またはログイン拒否、この例ではログイン許可を判定する。そして、リソースサーバ１１は、Ｗｅｂサーバ１２［１］に、ログイン許可を表すログイン判定結果を含んだログイン判定応答を送信する（ステップＳ１０９）。
【0027】
その結果、クライアント装置１４は、Ｗｅｂサーバ１２［１］に対してログイン状態となり、Ｗｅｂサーバ１２［１］によって提供されるサービスを利用することが可能になる。また、その後、クライアント装置１４がＷｅｂサーバ１２［２］に対して初回アクセスを行った場合にも、ステップＳ１０３～Ｓ１０９の場合と同様の処理が行われる。その結果、クライアント装置１４は、Ｗｅｂサーバ１２［２］に対してログイン状態となり、Ｗｅｂサーバ１２［２］によって提供されるサービスを利用することが可能になる。このように、クライアント１６は、ステップＳ１０１，Ｓ１０２においてＳＳＯ認証サーバ１０から認証許可を受けることで、その後は、ＳＳＯの適用先のＷｅｂサーバ１２［１］，１２［２］に対して、個々にログインアカウントＬＣＮの入力作業を行う必要性が無くなる。
【0028】
ただし、このような方式では、ログインアカウントの漏洩が生じ得る。、例えば、ステップＳ１０７でのログイン要求の際や、ステップＳ１０８でのログイン判定要求の際等で、ログインアカウントＬＣＮが漏洩し得る。ログインアカウントＬＣＮが漏洩すると、当該漏洩したログインアカウントＬＣＮを用いてＷｅｂサーバ１２［１］，１２［２］への不正アクセスが行われるおそれがある。そして、このような不正アクセスが行われた結果として、セキュリティの低下が生じる恐れがあった。そこで、以下に述べるようなＳＳＯの処理方法を用いることが有益となる。
【0029】
＜ＳＳＯの処理方法（実施の形態）＞
図３Ａは、図１に示されるネットワークシステムにおいて、ＳＳＯの処理方法の一例を示すシーケンス図であり、図３Ｂは、図３Ａに続く処理方法の一例を示すシーケンス図である。図３Ａに示されるステップＳ１０１，Ｓ１０１－１，Ｓ１０２，Ｓ１０２－１（認証ステップ）において、クライアント装置１４は、ＳＳＯ認証サーバ１０にＳＳＯ用の認証アカウントＡＣＮを認証させる。
図３Ａは、図１に示されるネットワークシステムにおいて、ＳＳＯの処理方法の一例を示すシーケンス図であり、図３Ｂは、図３Ａに続く処理方法の一例を示すシーケンス図である。図３Ａに示されるステップＳ１０１，Ｓ１０１－１，Ｓ１０２，Ｓ１０２－１（認証ステップ）において、クライアント装置１４は、ＳＳＯ認証サーバ１０にＳＳＯ用の認証アカウントＡＣＮを認証させる。
【0030】
詳細には、図１で述べたように、クライアント装置１４は、ＳＳＯ認証サーバ１０に、認証アカウントＡＣＮの認証要求を送信する（ステップＳ１０１）。これに応じて、ＳＳＯ認証サーバ１０は、認証ＤＢ２１に基づいて認証許可または認証拒否を判定し（ステップＳ１０１－１）、この例では、認証許可を表す認証応答をクライアント装置１４に送信する（ステップＳ１０２）。さらに、ＳＳＯ認証サーバ１０は、ステップＳ１０１－１で認証許可と判定した場合には、クライアント装置１４に、例えば、ＳＳＯの適用先となるサーバ装置のＵＲＩを定めた適用先一覧データ２２を送信する（ステップＳ１０２－１）。クライアント装置１４は、当該適用先一覧データ２２をメモリに保存する。
【0031】
その後、クライアント装置１４は、図１で述べたように、Ｗｅｂサーバ１２に初回アクセスを行い（ステップＳ１０３）、Ｗｅｂサーバ１２からログインアカウントＬＣＮの入力要求を受信する（ステップＳ１０４）。これに応じて、クライアント装置１４は、ステップＳ１０４－１，Ｓ１０５ａ（アカウント取得要求ステップ）の処理を実行する。
【0032】
具体的には、クライアント装置１４は、ステップＳ１０４でログインアカウントＬＣＮの入力要求を送信したＷｅｂサーバ１２が適用先であるか否かを、ステップＳ１０２－１で得られた適用先一覧データ２２に基づいて判定する（ステップＳ１０４－１）。そして、クライアント装置１４は、適用先と判定した場合には、ＳＳＯ認証サーバ１０に、ワンタイムＰＷ（ＯＰＷ）の生成要求を含んだログインアカウントＬＣＮの取得要求を送信する（ステップＳ１０５ａ）。ログインアカウントＬＣＮの取得要求には、認証アカウントＡＣＮの情報や、Ｗｅｂサーバ１２のＵＲＩの情報も含まれる。一方、クライアント装置１４は、ステップＳ１０４－１で非適用先と判定した場合には、ＳＳＯ認証サーバ１０に、当該取得要求を送信しない。
【0033】
ＳＳＯ認証サーバ１０は、クライアント装置１４からのログインアカウントＬＣＮの取得要求に応じて、ステップＳ２０１，Ｓ２０２（アカウント決定ステップ）の処理と、ステップＳ２０３（ログインＤＢ更新ステップ）の処理と、ステップＳ１０６ａ（アカウント取得応答ステップ）の処理とを実行する。具体的には、ＳＳＯ認証サーバ１０は、ステップＳ２０１において、ログインアカウントＬＣＮの取得要求に含まれる認証アカウントＡＣＮが認証済みか否か、すなわちステップ１０１－１で認証許可と判定した認証アカウントＡＣＮであるか否かを確認する。
【0034】
ステップＳ２０１で認証アカウントＡＣＮが認証済みである場合、ＳＳＯ認証サーバ１０は、ワンタイムＰＷ（ＯＰＷ）を生成し、認証ＤＢ２１に基づいて得られるログインＩＤ（ＬＩＤ）に対応するログインＰＷ（ＬＰＷ）を、生成したワンタイムＰＷ（ＯＰＷ）に定める（ステップＳ２０２）。例えば、ＳＳＯ認証サーバ１０は、ログインアカウントＬＣＮの取得要求の中に認証アカウント“ＡＣＮ１”の情報および“ＵＲＩ１”の情報が含まれる場合、ログインＩＤ“ＬＩＤ１１”に対応するログインＰＷ（ＬＰＷ）を、生成したワンタイムＰＷ（“ＯＰＷ１１”とする）に定める。
【0035】
続いて、ＳＳＯ認証サーバ１０は、リソースサーバ１１にＰＷ更新命令を送信することで、リソースサーバ１１のログインＤＢ２６を、ステップＳ２０２で決定されたログインＩＤ（例えば“ＬＩＤ１１”）およびワンタイムＰＷ（例えば、“ＯＰＷ１１”）で更新する（ステップＳ２０３）。詳細には、リソースサーバ１１は、例えば、“ＬＩＤ１１”および“ＯＰＷ１１”を含んだＰＷ更新命令に応じて、ログインＤＢ２６内の“ＬＩＤ１１”に対応するログインＰＷ（ＬＰＷ）を、“ＯＰＷ１１”に更新する（ステップＳ２０４）。
【0036】
リソースサーバ１１は、ＰＷの更新が完了すると、ＳＳＯ認証サーバ１０にＰＷ更新完了通知を送信する（ステップＳ２０５）。次いで、ＳＳＯ認証サーバ１０は、図１の場合と同様に、ステップＳ２０２で決定されたログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を、ステップＳ１０５ａでの取得要求に対する取得応答として、クライアント装置１４に送信する（ステップＳ１０６ａ）。ただし、図１の場合とは、ログインＰＷ（ＬＰＷ）がワンタイムＰＷ（ＯＰＷ）である点が異なっている。
【0037】
その後は、図１で述べたように、クライアント装置１４は、ステップＳ１０６ａで取得されたログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を含むログイン要求を、ステップＳ１０４での入力要求に対する応答としてＷｅｂサーバ１２に送信する（ステップＳ１０７（ログイン処理ステップ））。これに応じて、図３Ｂに示されるように、Ｗｅｂサーバ１２は、リソースサーバ１１に、ログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を含むログインアカウントＬＣＮのログイン判定要求を送信する（ステップＳ１０８）。
【0038】
リソースサーバ１１は、ログイン判定要求に応じて、ログインアカウントＬＣＮをログインＤＢ２６と照合することでログイン許可またはログイン拒否を判定する（ステップＳ１０８－１）。この際には、ステップＳ２０４において、ログインＤＢ２６内の所定のログインＰＷ（ＬＰＷ）は、ワンタイムＰＷ（ＯＰＷ）で既に更新されているため、ステップＳ１０８－１では、ログイン許可と判定される。
【0039】
リソースサーバ１１は、Ｗｅｂサーバ１２に、ログイン許可を表すログイン判定応答を送信する（ステップＳ１０９）。これに応じて、Ｗｅｂサーバ１２も、クライアント装置１４に、ログイン許可を表すログイン応答を送信する（ステップＳ１１０）。これによって、クライアント１６およびクライアント装置１４は、ログイン状態となり、Ｗｅｂサーバ１２から提供されるサービスを利用することが可能になる（ステップＳ１１１）。
【0040】
ここで、ステップＳ２０２で生成されたワンタイムＰＷ（ＯＰＷ）には、有効期限が設定される。ＳＳＯ認証サーバ１０は、ステップＳ３０１，Ｓ３０２（ＰＷ無効化ステップ）において、有効期限切れのワンタイムＰＷ（ＯＰＷ）を無効化する。具体的には、ＳＳＯ認証サーバ１０は、ワンタイムＰＷ（ＯＰＷ）の有効期限を監視する。そして、ＳＳＯ認証サーバ１０は、ワンタイムＰＷ（ＯＰＷ）の有効期限切れを検出した場合（ステップＳ３０１）には、リソースサーバ１１にＰＷ無効命令を送信することで（ステップＳ３０２）、有効期限切れのワンタイムＰＷ（ＯＰＷ）をログインＤＢ２６上で無効化する。
【0041】
詳細には、リソースサーバ１１は、例えば、対象のログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を含んだＰＷ無効命令に応じて、ログインＤＢ２６内の当該ログインＩＤ（ＬＩＤ）に対応するログインＰＷ（ＬＰＷ）を無効化する（ステップＳ３０３）。この際に、ＰＷ無効命令は、ステップＳ２０３の場合と同様のＰＷ更新命令であってもよい。すなわち、リソースサーバ１１がＰＷを無効化する機能を有しない場合、ステップＳ３０２において、ＳＳＯ認証サーバ１０は、新たなワンタイムＰＷ（ＯＰＷ）を生成し、当該新たなワンタイムＰＷ（ＯＰＷ）を含んだＰＷ更新命令をリソースサーバ１１に送信すればよい。
【0042】
このように、ワンタイムＰＷ（ＯＰＷ）の有効期限が切れた時点で、当該ワンタイムＰＷ（ＯＰＷ）を、リソースサーバ１１上で無効化しておくことで、ワンタイムＰＷ（ＯＰＷ）の有効期限を正しく管理することが可能になる。すなわち、リソースサーバ１１は、例えば、有効期限切れのワンタイムＰＷ（ＯＰＷ）を含んだログイン判定要求を受信した場合には、ログイン拒否と判定することができる。これにより、有効期限切れのワンタイムＰＷ（ＯＰＷ）では、ログインできない環境を構築することが可能になる。
【0043】
その結果、例えば、ステップＳ１０７でのログイン要求やステップＳ１０８でのログイン判定要求等を傍受することで、ログインアカウントＬＣＮが不正に取得された場合でも、当該ログインアカウントＬＣＮでログインできる期間は、ワンタイムＰＷ（ＯＰＷ）の有効期限に限定される。この観点で、ワンタイムＰＷ（ＯＰＷ）の有効期限は、十分に短い方が望ましい。具体的には、ワンタイムＰＷ（ＯＰＷ）の有効期限は、少なくともステップＳ２０２でワンタイムＰＷ（ＯＰＷ）が生成されてから、ステップＳ１０８－１でリソースサーバ１１がログイン判定を行うまでに要する期間だけ確保されればよく、この期間に基づいて、例えば、数秒～数十秒といった短い時間であってもよい。
【0044】
また、クライアント１６が、クライアント装置１４を介して、利用中のＷｅｂサーバ１２にログアウト要求を送信すると（ステップＳ４０１）、Ｗｅｂサーバ１２は、クライアント装置１４にログアウト応答を送信する（ステップＳ４０２）。これにより、ログインアカウントＬＣＮは、ログアウト状態となる。その結果、クライアント１６は、クライアント装置１４を介して、Ｗｅｂサーバ１２から提供されるサービスを利用することが不可能になる（ステップＳ４０３）。
【0045】
その後、クライアント１６がＷｅｂサーバ１２に再度アクセスすると、ステップＳ１０３に移行し、その後のステップＳ２０２で新たに生成されたワンタイムＰＷ（ＯＰＷ）を用いてＷｅｂサーバ１２へのログインが行われることになる。なお、Ｗｅｂサーバ１２からのログアウトは、ステップＳ４０１のようにログアウト要求が送信された場合の他に、例えば、クライアント１６がＷｅｂブラウザを閉じた場合や、セッションの有効期限またはセッション管理用クッキーの有効期限が過ぎた場合等でも生じ得る。
【0046】
以上のように、ＳＳＯ認証サーバ１０は、クライアント装置１４からのＳＳＯ用の認証アカウントＡＣＮの認証要求を受け、認証許可と判定した場合に、クライアント装置１４およびリソースサーバ１１と連携して、ワンタイムＰＷ（ＯＰＷ）を用いたＳＳＯを実現する。概略的には、クライアント装置１４は、Ｗｅｂサーバ１２からのログインアカウントＬＣＮの入力要求に応じて、ＳＳＯ認証サーバ１０に、ワンタイムＰＷ（ＯＰＷ）の生成要求を送信する（ステップＳ１０４，Ｓ１０５ａ）。そして、クライアント装置１４は、ＳＳＯ認証サーバ１０から取得したワンタイムＰＷ（ＯＰＷ）をＷｅｂサーバ１２に送信する（ステップＳ１０６ａ，Ｓ１０７）。
【0047】
一方、ＳＳＯ認証サーバ１０は、クライアント装置１４からのワンタイムＰＷ（ＯＰＷ）の生成要求に応じて、ワンタイムＰＷ（ＯＰＷ）を生成する（ステップＳ１０５ａ，Ｓ２０２）。そして、ＳＳＯ認証サーバ１０は、生成したワンタイムＰＷ（ＯＰＷ）でリソースサーバ１１のログインＤＢ２６に登録されたログインＰＷ（ＬＰＷ）を更新し（ステップＳ２０３）、生成したワンタイムＰＷ（ＯＰＷ）をクライアント装置１４に送信する（ステップＳ１０６ａ）。
【0048】
このようなワンタイムＰＷ（ＯＰＷ）の仕組みを設けることで、セキュリティの向上が実現可能になる。具体的には、このようなワンタイムＰＷ（ＯＰＷ）の仕組みによって、少なくとも、Ｗｅｂサーバ１２へログインする毎に、ログインＰＷ（ＬＰＷ）が逐次変更される。このため、仮に、ログインＰＷ（ＬＰＷ）が漏洩した場合であっても、当該ログインＰＷ（ＬＰＷ）を使用できる期間は、限定される。
【0049】
さらに、ＳＳＯ認証サーバ１０は、ステップＳ２０２で生成したワンタイムＰＷ（ＯＰＷ）の有効期限が切れた場合には、当該リソースサーバ１１のログインＤＢ２６上で、当該有効期限切れのワンタイムＰＷ（ＯＰＷ）を無効化する（ステップＳ３０１，Ｓ３０２）。このように、ワンタイムＰＷ（ＯＰＷ）の有効期限を正しく管理することで、仮に、ログインＰＷ（ＬＰＷ）が漏洩した場合であっても、当該ログインＰＷ（ＬＰＷ）を使用できる期間が更に短い期間に限定されるため、セキュリティの更なる向上が実現可能になる。
【0050】
なお、図１に示したように、複数のＷｅｂサーバ１２［１］，１２［２］が設けられる場合には、各Ｗｅｂサーバに対する初回アクセスが生じる度に、ステップＳ１０３以降の処理が行われることになる。これに伴い、リソースサーバ１１は、Ｗｅｂサーバ１２［１］への初回アクセスが生じた場合には、ログインＤＢ２６上の“ＵＲＩ１”に対応するログインＰＷ（ＬＰＷ）をワンタイムＰＷ（ＯＰＷ）で更新する（ステップＳ２０４）。同様に、リソースサーバ１１は、Ｗｅｂサーバ１２［２］への初回アクセスが生じた場合には、ログインＤＢ２６上の“ＵＲＩ２”に対応するログインＰＷ（ＬＰＷ）をワンタイムＰＷ（ＯＰＷ）で更新する（ステップＳ２０４）。
【0051】
ただし、Ｗｅｂサーバ１２［１］とＷｅｂサーバ１２［２］とで、共通のログインアカウントＬＣＮ、すなわち共通のログインＩＤ（ＬＩＤ）およびログインＰＷ（ＬＰＷ）を用いてもよい。例えば、クライアント装置１４が、Ｗｅｂサーバ１２［１］に共通のログインアカウントＬＣＮを用いてログインしている状態でＷｅｂサーバ１２［２］に初回アクセスを行った場合を想定する。この場合、共通のログインＰＷ（ＬＰＷ）がワンタイムＰＷ（ＯＰＷ）で更新されたのちに、Ｗｅｂサーバ１２［２］へのログインが許可される。一方、Ｗｅｂサーバ１２［１］にログインしている状態は、例えば、Ｗｅｂサーバ１２［１］に対するセッションの有効期限等が切れるまで維持される。
【0052】
＜クライアント装置の詳細＞
図４は、図１におけるクライアント装置の主要部の構成例を示す概略図である。図４に示すクライアント装置１４は、例えば、入力装置３０、表示装置３１、プロセッサ３２、ネットワークインタフェース（ネットワークＩＦ）３３、およびメモリ３４等を備える。入力装置３０は、キーボードやマウス等であり、表示装置３１は、液晶ディスプレイ等である。ネットワークＩＦ３３は、イーサネット（登録商標）のネットワークカード等であり、Ｌ２スイッチ１３へのコネクタを備える。
図４は、図１におけるクライアント装置の主要部の構成例を示す概略図である。図４に示すクライアント装置１４は、例えば、入力装置３０、表示装置３１、プロセッサ３２、ネットワークインタフェース（ネットワークＩＦ）３３、およびメモリ３４等を備える。入力装置３０は、キーボードやマウス等であり、表示装置３１は、液晶ディスプレイ等である。ネットワークＩＦ３３は、イーサネット（登録商標）のネットワークカード等であり、Ｌ２スイッチ１３へのコネクタを備える。
【0053】
メモリ３４は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の組合せで構成され、ＯＳ（Operating System）３５、Ｗｅｂブラウザ３６およびＳＳＯ処理プログラム３７等を保持する。プロセッサ３２は、メモリ３４に保持されるＳＳＯ処理プログラム３７を実行することで、後述するＳＳＯ処理部として機能する。
【0054】
図５は、図４に示されるクライアント装置において、プロセッサがＳＳＯ処理プログラムを実行することで実現されるＳＳＯ処理部の構成例を示す概略図である。図５に示されるＳＳＯ処理部３７ａは、認証要求部４５と、ログイン処理部４６と、ログインアカウント取得要求部４７とを備える。この内、ログイン処理部４６およびログインアカウント取得要求部４７は、例えば、図４に示したＷｅｂブラウザ３６に対するアドオン機能（プラグイン機能またはエクステンション機能とも呼ばれる）を担うアドオンプログラムによって実現される。
【0055】
認証要求部４５は、主に、図３ＡにおけるステップＳ１０１，Ｓ１０２，Ｓ１０２－１に関する処理を担う。具体的には、認証要求部４５は、クライアント１６からのＳＳＯ用の認証アカウントＡＣＮの入力に応じて、ＳＳＯ認証サーバ１０に認証要求を送信する。また、認証要求部４５は、ＳＳＯ認証サーバ１０からの認証応答を受信する。さらに、認証要求部４５は、ＳＳＯ認証サーバ１０から認証許可を表す認証応答を受信した場合には、適用先一覧データ２２も受信する。認証要求部４５は、受信した適用先一覧データ２２をメモリ３４に保存する。
【0056】
ログイン処理部４６は、主に、図３ＡにおけるステップＳ１０４，Ｓ１０７に関する処理を担う。具体的には、ログイン処理部４６は、Ｗｅｂサーバ１２からのログインアカウントＬＣＮの入力要求に応じて、ログインアカウント取得要求部４７にログインアカウントＬＣＮを取得させる。そして、ログイン処理部４６は、ログインアカウント取得要求部４７によって取得されたログインアカウントＬＣＮ、すなわちログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を含んだログイン要求をＷｅｂサーバ１２に送信する。
【0057】
ログインアカウント取得要求部４７は、主に、図３ＡにおけるＳ１０４－１，Ｓ１０５ａ，Ｓ１０６ａに関する処理を担う。具体的には、ログインアカウント取得要求部４７は、Ｗｅｂサーバ１２からのログインアカウントＬＣＮの入力要求、詳細にはログイン処理部４６からの指示に応じて、ＳＳＯ認証サーバ１０に、ワンタイムＰＷ（ＯＰＷ）の生成要求を含んだログインアカウントＬＣＮの取得要求を送信する。
【0058】
また、この際に、ログインアカウント取得要求部４７は、ログインアカウントＬＣＮの入力要求を送信したＷｅｂサーバ１２が適用先であるか否かを、メモリ３４に保持される適用先一覧データ２２に基づいて判定する。そして、ログインアカウント取得要求部４７は、適用先と判定した場合に、ＳＳＯ認証サーバ１０に、ログインアカウントＬＣＮの取得要求を送信し、非適用先と判定した場合には、当該取得要求を送信せず、その旨をログイン処理部４６へ通知する。ログインアカウント取得要求部４７は、ログインアカウントＬＣＮの取得要求を送信した場合、ＳＳＯ認証サーバ１０からの取得応答によって、ログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を取得する。
【0059】
＜ＳＳＯ認証サーバの詳細＞
図６は、図１におけるＳＳＯ認証サーバの主要部の構成例を示す概略図である。図７は、図６における認証データベースの構成例を示す概略図である。図６に示されるＳＳＯ認証サーバ１０は、例えば、図４の場合と同様に、プロセッサがメモリ２０内のプログラムを実行することで実現される認証判定部５０、ログインアカウント取得応答部５１、ログインアカウント決定部５２およびログインＤＢ更新指示部５３を備える。
図６は、図１におけるＳＳＯ認証サーバの主要部の構成例を示す概略図である。図７は、図６における認証データベースの構成例を示す概略図である。図６に示されるＳＳＯ認証サーバ１０は、例えば、図４の場合と同様に、プロセッサがメモリ２０内のプログラムを実行することで実現される認証判定部５０、ログインアカウント取得応答部５１、ログインアカウント決定部５２およびログインＤＢ更新指示部５３を備える。
【0060】
認証判定部５０は、主に、図３ＡにおけるステップＳ１０１，Ｓ１０１－１，Ｓ１０２，Ｓ１０２－１の処理を担う。具体的には、認証判定部５０は、クライアント装置１４からのＳＳＯ用の認証アカウントＡＣＮの認証要求を受けて、メモリ２０に保持される認証ＤＢ２１ａに基づいて認証許可または認証拒否を判定する。そして、認証判定部５０は、当該認証判定結果を含む認証応答をクライアント装置１４に送信する。また、認証判定部５０は、認証許可と判定した場合には、メモリ２０に保持される適用先一覧データ２２をクライアント装置１４に送信する。
【0061】
ログインアカウント取得応答部５１は、主に、図３ＡにおけるステップＳ１０５ａ，Ｓ１０６ａの処理を担う。具体的には、ログインアカウント取得応答部５１は、クライアント装置１４からのログインアカウントＬＣＮの取得要求に応じて、ログインアカウント決定部５２にログインアカウントＬＣＮを決定させる。また、ログインアカウント取得応答部５１は、ログインアカウント決定部５２で決定されたログインアカウントＬＣＮ、すなわちログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）を、ログインアカウントＬＣＮの取得要求に対する取得応答としてクライアント装置１４に送信する。
【0062】
ログインアカウント決定部５２は、主に、図３ＡにおけるステップＳ２０１，Ｓ２０２の処理を担う。具体的には、ログインアカウント決定部５２は、クライアント装置１４からのログインアカウントＬＣＮの取得要求、詳細にはログインアカウント取得応答部５１からの通知に応じて、当該取得要求に含まれる認証アカウントＡＣＮが認証済みか否かを、例えば、認証ＤＢ２１ａに基づいて確認する。
【0063】
認証ＤＢ２１ａは、例えば、図７に示されるような構成を備える。図７に示される認証ＤＢ２１ａは、図１に示した認証ＤＢ２１と比較して、次の３点が異なっている。１点目の相違点として、例えば、認証アカウントＡＣＮ毎に有効期限２３ａが設けられる。当該有効期限２３ａは、例えば、認証判定部５０で認証許可と判定された際に認証判定部５０によって設定される。有効期限２３ａが設定されていない場合、その認証アカウントＡＣＮは、認証済みでない、すなわち認証許可と判定されていないことを意味する。
【0064】
２点目の相違点として、ログインＰＷ（ＬＰＷ）が、ワンタイムＰＷ（ＯＰＷ）になっている。この例では、“ＵＲＩ１”に対応するログインＰＷ（ＬＰＷ）は、“ＯＰＷ１１”であり、“ＵＲＩ２”に対応するログインＰＷ（ＬＰＷ）は、“ＯＰＷ１２”である。３点目の相違点として、ワンタイムＰＷ（ＯＰＷ）毎に有効期限２３ｂが設定される。
【0065】
図６に戻り、ログインアカウント決定部５２は、例えば、このような認証ＤＢ２１ａの有効期限２３ａに基づいて、ログインアカウントＬＣＮの取得要求に含まれる認証アカウントＡＣＮが認証済みか否かを確認する。また、ログインアカウント決定部５２は、ワンタイムＰＷ生成部５５を備える。ログインアカウント決定部５２は、クライアント装置１４からのログインアカウントＬＣＮの取得要求に応じて、当該取得要求に含まれる認証アカウントＡＣＮが認証済みである場合には、ワンタイムＰＷ生成部５５を用いてワンタイムＰＷ（ＯＰＷ）を生成する。
【0066】
また、ログインアカウント決定部５２は、ログインアカウントＬＣＮの取得要求に含まれる認証アカウントＡＣＮの情報およびＷｅｂサーバ１２のＵＲＩの情報を用いて認証ＤＢ２１ａを参照する。そして、ログインアカウント決定部５２は、認証ＤＢ２１ａに基づいて得られるログインＩＤ（ＬＩＤ）に対応するログインＰＷ（ＬＰＷ）を、ワンタイムＰＷ生成部５５で生成したワンタイムＰＷ（ＯＰＷ）に定めることでログインアカウントＬＣＮを決定する。ログインアカウント決定部５２は、当該生成したワンタイムＰＷ（ＯＰＷ）を認証ＤＢ２１ａに登録すると共に、有効期限２３ｂも設定する。
【0067】
そして、ログインアカウント決定部５２は、決定したログインアカウントＬＣＮを、ログインＤＢ更新指示部５３と、ログインアカウント取得応答部５１とに送信する。なお、図示は省略されるが、ログインアカウント取得応答部５１への送信は、例えば、図３Ａに示したように、ステップＳ２０５でのＰＷ更新完了通知を受信した後で行われる。または、ログインアカウント取得応答部５１は、ログインアカウントＬＣＮの取得応答の送信を、ＰＷ更新完了通知を受信するまで待つ。
【0068】
ログインＤＢ更新指示部５３は、主に、図３ＡにおけるステップＳ２０３，Ｓ２０５および図３ＢにおけるステップＳ３０１，Ｓ３０２の処理を担う。具体的には、ログインＤＢ更新指示部５３は、更新命令送信部５６と、無効命令送信部５７とを備える。更新命令送信部５６は、リソースサーバ１１に、ログインアカウント決定部５２からのログインアカウントＬＣＮを含んだＰＷ更新命令を送信する。
【0069】
更新命令送信部５６は、ＰＷ更新命令を送信することにより、リソースサーバ１１のログインＤＢ２６を、ログインアカウント決定部５２で決定されたログインＩＤ（ＬＩＤ）およびワンタイムＰＷ（ＯＰＷ）で更新する。また、図示は省略されるが、更新命令送信部５６は、ＰＷ更新命令に応じたリソースサーバ１１からのＰＷ更新完了通知を受信する。
【0070】
無効命令送信部５７は、図７に示した認証ＤＢ２１ａ内の有効期限２３ｂに基づいて、ログインアカウント決定部５２で決定されたワンタイムＰＷ（ＯＰＷ）の有効期限を監視する。そして、無効命令送信部５７は、有効期限切れを検出した場合には、リソースサーバ１１に、有効期限切れのワンタイムＰＷ（ＯＰＷ）と、対応するログインＩＤ（ＬＩＤ）とを含んだＰＷ無効命令を送信する。これにより、無効命令送信部５７は、有効期限切れのワンタイムＰＷ（ＯＰＷ）をログインＤＢ２６上で無効化する。なお、前述したように、無効命令送信部５７は、ＰＷ無効命令の一つとして、ワンタイムＰＷ生成部５５に生成させた新たなワンタイムＰＷ（ＯＰＷ）を含んだＰＷ更新命令を送信してもよい。
【0071】
＜ＳＳＯ用の認証アカウントについて＞
ＳＳＯ認証サーバ１０は、通常、高いセキュリティを有するため、例えば、図３Ａにおける認証要求（ステップＳ１０１）の際に、ＳＳＯ用の認証アカウントＡＣＮの傍受は生じ難い。ただし、クライアント装置１４の入力装置３０に対して、キーロガーが仕組まれたような場合には、認証アカウントＡＣＮの漏洩が生じ得る。そこで、キーロガー対策のため、ＳＳＯ用の認証アカウントＡＣＮは、認証ＩＤおよび認証ＰＷに限らず、生体認証等であってもよい。また、ＳＳＯ認証サーバ１０は、認証ＰＷに対して、例えば、チャレンジレスポンス方式によるワンタイムＰＷ（ＯＰＷ）等を適用してもよい。
ＳＳＯ認証サーバ１０は、通常、高いセキュリティを有するため、例えば、図３Ａにおける認証要求（ステップＳ１０１）の際に、ＳＳＯ用の認証アカウントＡＣＮの傍受は生じ難い。ただし、クライアント装置１４の入力装置３０に対して、キーロガーが仕組まれたような場合には、認証アカウントＡＣＮの漏洩が生じ得る。そこで、キーロガー対策のため、ＳＳＯ用の認証アカウントＡＣＮは、認証ＩＤおよび認証ＰＷに限らず、生体認証等であってもよい。また、ＳＳＯ認証サーバ１０は、認証ＰＷに対して、例えば、チャレンジレスポンス方式によるワンタイムＰＷ（ＯＰＷ）等を適用してもよい。
【0072】
＜実施の形態の主要な効果＞
以上、実施の形態の方式を用いると、ＳＳＯ認証サーバ１０とクライアント装置１４との連携によって、高いセキュリティでシングルサインオンを実現することが可能になる。また、ＳＳＯ認証サーバ１０にワンタイムＰＷ（ＯＰＷ）を生成させ、ＳＳＯ認証サーバ１０とリソースサーバ１１とを連携させることで、サーバ装置へのログインにワンタイムＰＷ（ＯＰＷ）を適用することが可能になる。さらに、ワンタイムＰＷ（ＯＰＷ）の有効期限を正しく管理することで、通信傍受への耐性に加えて、キーロガーへの耐性も得られる。これらの結果、セキュリティの向上が実現可能になる。
以上、実施の形態の方式を用いると、ＳＳＯ認証サーバ１０とクライアント装置１４との連携によって、高いセキュリティでシングルサインオンを実現することが可能になる。また、ＳＳＯ認証サーバ１０にワンタイムＰＷ（ＯＰＷ）を生成させ、ＳＳＯ認証サーバ１０とリソースサーバ１１とを連携させることで、サーバ装置へのログインにワンタイムＰＷ（ＯＰＷ）を適用することが可能になる。さらに、ワンタイムＰＷ（ＯＰＷ）の有効期限を正しく管理することで、通信傍受への耐性に加えて、キーロガーへの耐性も得られる。これらの結果、セキュリティの向上が実現可能になる。
【0073】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【0074】
例えば、前述した各種プログラムは、非一時的な有形のコンピュータ可読記録媒体に格納された上で、コンピュータ装置に供給され得る。このような記録媒体として、例えば、ハードディスクドライブ等を代表とする磁気記録媒体、ＤＶＤ（Digital Versatile Disc）やブルーレイディスク等を代表とする光記録媒体、フラッシュメモリ等を代表とする半導体メモリ等が挙げられる。
【符号の説明】
【0075】
１０…ＳＳＯ認証サーバ、１１…リソースサーバ、１２…Ｗｅｂサーバ（サーバ装置）、１３…Ｌ２スイッチ、１４…クライアント装置、１５…ネットワーク、１６…クライアント、１８…ログインアカウント入力画面、２０，２５，３４…メモリ、２１，２１ａ…認証ＤＢ、２２…適用先一覧データ、２３ａ，２３ｂ…有効期限、２６…ログインＤＢ、３０…入力装置、３１…表示装置、３２…プロセッサ、３３…ネットワークインタフェース、３５…ＯＳ、３６…Ｗｅｂブラウザ、３７…ＳＳＯ処理プログラム、３７ａ…ＳＳＯ処理部、４５…認証要求部、４６…ログイン処理部、４７…ログインアカウント取得要求部、５０…認証判定部、５１…ログインアカウント取得応答部、５２…ログインアカウント決定部、５３…ログインＤＢ更新指示部、５５…ワンタイムＰＷ生成部、５６…更新命令送信部、５７…無効命令送信部、ＡＣＮ…認証アカウント、ＬＣＮ…ログインアカウント、ＬＩＤ…ログインＩＤ、ＬＰＷ…ログインパスワード、ＯＰＷ…ワンタイムパスワード
【図1】
【図2】
【図3A】
【図3B】
【図4】
【図5】
【図6】
【図7】