| 【発明の名称】 |
ワンタイムパスワード認証システム |
| 【発明者】 |
【氏名】近藤 毅
|
| 【要約】 |
【課題】JAVA搭載携帯携帯電話によるワンタイムパスワードの表示を実現する。
【解決手段】ユーザからのワンタイムパスワード表示プログラム作成依頼に基づきJAVA携帯電話端末の画面上へ当該ユーザ用のワンタイムパスワードを表示するためのJAVAプログラムを作成する手段と、JAVAプログラムの送付手段より受け取った前記JAVAプログラムを一定期間保管し、ユーザ携帯電話からのダウンロード要求に応じてユーザを確定して該当のJAVAプログラムをその携帯電話へ送付するJAVAプログラムダウンロード用サーバと、ユーザからの前記プログラム作成依頼の後、該当のJAVAプログラムがダウンロード可能になったことをこのユーザに通知する手段と、ワンタイムパスワードのマスタ管理装置とネゴシエーションすることでJAVA携帯電話上のワンタイムパスワード表示プログラムを初期化する手段とを備えたワンタイムパスワード認証システムとした。 |
【特許請求の範囲】
【請求項１】 ユーザがプログラムダウンローダブルな携帯電話に表示されるワンタイムパスワードを参照し、前記パスワードをコンピュータシステムへのアクセスパスワードとして使用し、パスワードチェックサーバがユーザが入力したワンタイムパスワードの正統性を検査するワンタイムパスワード認証システムにおいて、ユーザからの依頼に基づき、プログラムダウンローダブルな携帯電話上で動作し、seed情報とユーザIDからワンタイムパスワードを表示するプログラムの実行オブジェクトを作成する手段と、前記作成手段が作成した実行オブジェクトをプログラムダウンローダブルな携帯電話にダウンロードする手段と、前記ダウンロード手段に前記実行オブジェクトを送付する手段と、前記ダウンロード手段によって前記実行オブジェクトのダウンロードが可能になったことと、当該実行オブジェクトのダウンロードに必要な情報をユーザに通知する手段と、前記実行オブジェクトをダウンロードした後、前記パスワードチェックサーバと情報交換することによりその初期化を行う手段を備えたことを特徴とするワンタイムパスワード認証システム。
【請求項２】 請求項１において、前記ダウンロード手段は、プログラムダウンローダブルな携帯電話からのダウンロード要求に答え、ワンタイムパスワード表示プログラムの実行オブジェクトを送信する期間を管理する手段を備えたことを特徴とするワンタイムパスワード認証システム。
【請求項３】 請求項１において、前記初期化手段は、パスワードチェックサーバと時刻同期する手段を備えたことを特徴とするワンタイムパスワード認証システム。
【請求項４】 請求項１において、前記パスワードチェックサーバは、パスワードチェックサーバが特定seedから始まるランダム系列のスタート値からの現在の位置を前記ワンタイムパスワード表示プログラムに通知する手段を備えたことを特徴とするワンタイムパスワード認証システム。
【請求項５】 請求項１または請求項３において、前記初期化手段は、パスワードチェックサーバとワンタイムパスワード表示プログラムとが同期開始時刻をネゴシエーションする手段を備えたことを特徴とするワンタイムパスワード認証システム。
【請求項６】 請求項１において、前記初期化手段は、パスワードチェックサーバからseed情報が通知され、通知されたseed情報に従ってワンタイムパスワード表示プログラムが動作する手段を備えたことを特徴としたワンタイムパスワード認証システム。
【請求項７】 請求項１において、前記ユーザへの情報通知手段は、インストール用URLを伝える手段と、前記URLのユーザ指定によりダウンロードが開始される手段とを備えたことを特徴とするワンタイムパスワード認証システム。
【請求項８】 請求項７において、前記URL通知手段は、当該URLにseed情報を含める機能を有することを特徴とするワンタイムパスワード認証システム。
【請求項９】 請求項１〜請求項８のいずれかにおいて前記ダウンロード手段は、パスワードチェックサーバとワンタイムパスワード表示プログラムとの通信を仲介する手段を備えたことを特徴とするワンタイムパスワード認証システム。
|
【発明の詳細な説明】【０００１】
【発明の属する技術分野】本発明は、プログラムダウンロード機能を備えた携帯電話を用いたワンタイムパスワード認証システムに関し、特に、携帯電話にワンタイムパスワードを表示するプログラムインストールおよびその実行方法に関する。
【０００２】
【従来の技術】コンピュータのリモートアクセスのシステムにおいて、ログインでの不正アクセス防止のため、時刻と共に変化するテンポラリなパスワード（ワンタイムパスワードという）でアクセスチェックを行うワンタイムパスワードシステムがある。PC上でワンタイムパスワードを表示するプログラムでは、SoftTokenプログラムが知られている。また、特開2000-10927「認証システム及び認証装置」では簡易型携帯電話端末を利用したワンタイムパスワードの問い合わせシステムが開示されている。また、携帯端末へのプログラムダウンロード技術しては、ネットワーク対応プログラム言語ＪＡＶＡ（登録商標）がよく知られている。
【０００３】
【発明が解決しようとする課題】モバイルPCと呼ばれるサブノートPC等の小型・軽量化したPCにワンタイムパスワードプログラムをインストールした後、そのプログラムを実行することでオフライン動作可能で携帯可能なワンタイムパスワード表示装置が実現できるが、このようなモバイルPCでは端末コストが高く、かつ、端末自体も重く、かつ、バッテリでの動作時間も短いため、携帯性が悪い。また、ワンタイムパスワードロジックを組み込んだカードでは、電池や内部記憶容量の制限のため使用耐久年数が短い(２から５年）。また、PHS端末によりオンラインで現在のワンタイムパスワードを問い合わせる方式では、電波環境の悪い場所では使用できない。
【０００４】本発明の目的は、携帯性に優れ、かつ、使用耐用年数の長期化が可能、かつ、オフライン動作可能なJAVA搭載携帯携帯電話によるワンタイムパスワード表示システムを提供することにある。即ち、JAVA搭載携帯電話機上で動作するワンタイムパスワード表示プログラムを作成し、それをJAVA搭載携帯電話にダウンロードし、そのダウンロードされたプログラムを初期化し、その初期化後JAVA搭載携帯電話上にオフラインでワンタイムパスワードを表示するシステムを提供することにある。
【０００５】
【課題を解決するための手段】上記目的を達成するために、本発明は、シード情報とユーザ情報をアサインすることで、当該ユーザのワンタイムパスワードを管理する手段と、アサインしたユーザ情報とシード情報に基づきJAVA携帯電話上で実行可能なワンタイムパスワード表示プログラムを作成する手段と、JAVA携帯電話上で実行可能なワンタイムパスワード表示プログラムを保管すると共に、その有効期間を管理し、有効期間内のJAVA携帯電話からの要求に従って、当該JAVA携帯電話上で実行可能なワンタイムパスワード表示プログラムをダウンロードさせる手段と、ユーザに対してワンタイムパスワード表示プログラムがダウンロード可能になったことと、そのダウンロード方法を通知する手段と、JAVA携帯電話上へワンタイムパスワード表示プログラムをローディングし、当該JAVA携帯電話にインストールし、初期化処理後、当該プログラムを実行させる手段と、JAVA携帯電話上のワンタイムパスワード表示時プログラムの初期化処理として、当該ユーザのワンタイムパスワードの管理手段とネゴシエーションすることで現在の有効なワンタイムパスワードを一致させる手段と、現在の有効なワンタイムパスワードをJAVA携帯電話の画面上に表示する手段とを備えたワンタイムパスワード認証システムとした。
【０００６】
【発明の実施の形態】本発明の実施の形態について説明する。図１は、本発明のJAVA携帯電話によるワンタイムパスワード認証システムの構成図である。本システムは、企業内LAN１００で相互接続されたプログラムダウンロードサーバ１０とセキュアサーバ２０と業務サーバ３０で構成された企業内システムと、JAVA携帯電話６０とクライアント計算機７０から構成されるリモートシステムと、企業システムとリモートシステムを接続する携帯電話網９０と、インターネット８０と、ネットワークの中継装置であるFW（ファイアウォール）４０と、GW（ゲートウェイ）５０とから構成されている。クライアント計算機７０は、インターネット８０と接続し、規定アドレス以外の計算機からの不正アクセスを防止するFW４０を介して業務サーバ３０と接続し、各種業務アプリケーションを実行する。クライアント計算機７０は、業務サーバ３０へのログイン時にユーザIDとワンタイムパスワードを業務サーバ３０に送付する。業務サーバ３０は、セキュアサーバ２０のＯＴＰ（OneTime Password)認証サービス２２に問い合わせを行い、当該ユーザユーザIDに対するワンタイムパスワードを取得し、クライアント計算機７０から送付されたワンタイムパスワードを比較し、一致すればアクセスを許可する。JAVA携帯電話６０には、OTPプログラム６１がインストールされ、その実行により、業務サーバ３０に対するワンタイムパスワードが表示されている。
【０００７】ユーザは、JAVA携帯電話６０上に表示されたワンタイムパスワードを見て、業務サーバ３０にアクセスする。このようにして他の不正ユーザからのアクセスチェックを行っている。このワンタイムパスワードは、OTPプログラム６１とOTP認証サービス２２とで同期して定期的に自動更新更新される。
【０００８】次に、このOTPプログラム６１の生成と配布について説明する。ユーザがセキュアサーバ２０の管理者に対してOTPプログラムの作成要求を面接や電話や電子メール等の連絡手段により行う。管理者は、要求者を認証した後、OTP認証サービス２２に対してユーザIDとユーザIDに対応したOTP作成ロジックをシード(seed）という値で指定する。それと共に、ユーザIDとシードとをOTPプログラム生成サービス２３与えて実行させるとJAVA携帯電話６０で動作するOTPプログラム６１が生成され、プログラムダウンロードサーバ１０に送られる。プログラムダウンロードサーバ１０は、OTPプログラム６１を保管する。管理者は、インストール情報通知サービス２１を起動することで、ユーザに対してOTPプログラム６１のダウンロード方法を通知する。
【０００９】次に、図２を用いて、JAVA携帯電話６０へのOTPプログラムの作成からインストールと実行までの流れについて詳しく説明する。要求者認証後、管理者は、セキュアサーバ２０上で管理ツールを使用し、ユーザIDとシードをアサインし、OTPプログラム作成サービス２３によりOTPプログラム６１を作成する(ステップ２０１０)。次に、作成したOTPプログラム６１をダウンロードサーバ１０に送付する。このとき、安全のため暗号化して送付する。プログラムダウンロードサーバ１０は、OPTプログラム６１をセキュアサーバ２０から受け取ると、共通暗号鍵で解読し、JAVA携帯電話６０からのダウンロード要求に答えるため、セキュアサーバ２０から指定されたディレクトリに保存し、その後有効期限を設定する。そして、その有効期限がきていないか定期的にチェックし、有効期限がきていたら保管しておいたOPTプログラム６１を削除し、有効期限内にダウンロード要求があればダウンロード完了後、これを削除する(ステップ２０３０）。
【００１０】次に、管理者は、セキュアサーバ２０上でインストール情報通知サービス２１を起動する。すると、JAVA携帯電話６０にインストール情報としてプログラムダウンローダサーバのアドレスであるURLが記載されたメールが送付される（ステップ２０４０）。このようにしてユーザは、OTPプログラムの入手準備が完了したことを知る。
【００１１】次にユーザは、JAVA携帯電話６０に通知されたメールを開き、そこに記載されたURLを選択するとダウンロード要求がプログラムダウンロードサーバ１０に通知され、OTPプログラムのダウンロードが開始される(ステップ２０５０）。JAVA携帯電話６０側では、OTPプログラム６１がダウンロードし、実行プログラムとしてメモリ上に展開し、ユーザへのインストール完了したことを通知する（ステップ２０６０）。
【００１２】次にOPTプログラム６１のインストール終了通知を受けたユーザは、プログラム起動ボタンを押すことでOPTプログラム６１を動作させる。すると、タイマ同期等の初期化ためセキュアサーバ２０とのネゴシエーションを行う。このために、OPTプログラム６１はプログラムダウンロードサーバ１０を介して、セキュアサーバ２０側へ初期化要求を送信する（ステップ２０７０）。JAVAプログラムは、JAVAプログラムをダウンロードしたサーバとしか通信できないため、プログラムダウンロードサーバ１０は初期化処理要求とそれに続く一連のJAVA携帯電話６０とセキュアサーバ２０間の初期化処理用通信を中継する（ステップ２０８０）。
【００１３】JAVA携帯電話６０からの初期化処理要求を受けたセキュアサーバ２０は、相互の時間同期のため、マスタ時刻を１分間隔ごとに３回通知し、その後、JAVA携帯電話６０からの初期化処理完了時刻を受信したら、その時刻と現在時刻との差分値とOTPタイマ開始時刻を現在時刻の２分後としてJAVA携帯電話６０へ通知する。また、開始時刻までのカウントダウンを行い、開始時刻になったら、OTPタイマを１分毎に更新する（ステップ２０９０）。
【００１４】セキュアサーバ２０からの１分毎のマスタ時刻を３回受けた後、自分の時計で計測した受信間隔の平均値から、セキュアサーバ２０とのタイマ誤差を補正する。次に、補正完了時刻をセキュアサーバ２０に通知し、その後、セキュアサーバ２０から通知される差分値に基づき基準時刻を補正し、受信したOTPタイマ開始時刻に対してカウントダウンを実行する(ステップ２１００）。
【００１５】次に、カウントダウンが０、即ち、OTPタイマ開始時刻に達したら、ワンタイムパスワードを表示し、以後、一分間のタイマを起動し、定期的なパスワードの再計算を行い、毎回異なるパスワードを更新表示する(ステップ２１１０）。
【００１６】次に、図３でインストール情報の他の実施形態を説明する。インストール情報３００は、USERIDフィールドとURLフィールドから構成され、USERIDフィールドには、ユーザに割り当てられたユーザIDが記載されている。ユーザIDの通知方法の実施形態としては、OTPプログラムに組み込まれ、初期処理処理の最中にユーザIDを提示する形態でもよい。インストール情報３００のURLフィールドには、ダウンロードサーバURLが記述されている。本URLではQuery-Stringパラメータとして、割り当てたシードを記述している。
【００１７】これにより、OTPプログラム６１のロジックに直接シードを組みこまず、シード用の領域を予めアサインしておき、そこにシードを書き込みことでカスタマイズが可能となる。こうすると、シードの再割り当てのときは、シードの値を代えたインストール情報を通知し、ユーザに再インストールさせれば、リコンパイルしなくて済むので、システムリソースの倹約と、応答時間の向上が計れる。また、初期化時に時間同期の後に、セキュアサーバから直接シードが送られる実施形態もある。
【００１８】次に、図４により初期処理の他の実施形態を説明する。図４は、図２のステップ２０７０以降で説明した初期化処理の他の実施形態を示したものである。まず、セキュアサーバ３０においては、JAVA携帯電話６０からの初期化要求を受ける前にOTP用タイマを一分毎に更新させる(ステップ４０１０）。JAVA携帯電話６０からの初期化要求を受けたセキュアサーバ３０は、JAVA携帯電話６０とのOTPタイマ同期のため、セキュアサーバ３０で更新中の現在のOTPタイマ値(Ta)をJAVA携帯電話に返送する(ステップ４０２０）。
【００１９】次に、これを受けたJAVA携帯電話６０は、セキュアサーバ３０から通知されたOTPタイマ値（Ta)を自身のOTPタイマ値としてセットし、そのOTPタイマ値分ワンタイムパスワードロジックを呼ぶことで、セキュアサーバ３０のワンタイムパスワードとJAVA携帯電話６０でのワンタイムパスワードを同期させる。以後一分ごとにOTPタイマ値を自動更新する(ステップ４０３０）。次に、１時間毎に起動される再同期タイマにより、再同期要求をセキュアサーバ３０に発行し、その応答を受け取ることでステップ４０３０と同様にOTPタイマ値を更新する(ステップ４０４０）。一方、再同期要求を受けとったセキュアサーバ３０は、ステップ４０２０と同様に現在のOTPタイマ値を通知する（ステップ４０５０）。
【００２０】
【発明の効果】以上説明したように、本発明によれば、JAVA携帯電話上でワンタイムパスワード表示プログラムをインストールでき、その後プログラムの実施によって時刻ごとに変化するパスワードが表示されるので、携帯性に優れ、有効期間が長いので運用コストが低く、電波環境が悪い環境でも動作可能なワンタイムパスワードの表示装置が提供できる。
|
| 【出願人】 |
【識別番号】５００４２６４７８
【氏名又は名称】株式会社ケイ・ラボラトリ−
|
| 【出願日】 |
平成１２年１０月３０日（２０００．１０．３０） |
| 【代理人】 |
【識別番号】１０００７１２８３
【弁理士】
【氏名又は名称】一色 健輔 （外３名）
|
| 【公開番号】 |
特開２００２−１３２７２８（Ｐ２００２−１３２７２８Ａ） |
| 【公開日】 |
平成１４年５月１０日（２００２．５．１０） |
| 【出願番号】 |
特願２０００−３３０３０７（Ｐ２０００−３３０３０７） |
|