JP4415527B2 - Communication terminal, communication establishment program, and communication system - Google Patents

Description

Translated fromJapanese

【０００１】
【発明の属する技術分野】
本発明は、例えばＩＰＳｅｃ（ＩＰ（Internet Protocol） security protocol）に準拠した認証処理及び暗号化処理をすることで、ＶＰＮ（virtual private network）を構築して通信データを送受信するための通信端末及び通信確立プログラム、通信システムに関する。
【０００２】
【従来の技術】
近年、クライアント−サーバシステムとして、ＩＰＳｅｃに準拠したプロトコルを実装することによりクライアント端末と認証サーバとの間にＶＰＮパスを構築して、認証サーバを介してクライアント端末とアプリケーションサーバとを接続するものが知られている。このようなシステムとしては、例えば特開２００２−４４１４１号公報にて開示されている。
【０００３】
このような従来の通信システムの一例を図１１に示す。この通信システムでは、クライアント端末１０１、認証サーバ１０２、アプリケーションサーバ１０３が通信回線を介して接続されることにより、クライアント端末１０１のアプリケーション処理部１１１とアプリケーションサーバ１０３との間での通信を実現している。また、この通信システムでは、クライアント端末１０１及び認証サーバ１０２にてＩＰ（Internet Protocol）を実装しており、ＲＦＣ（Request For Comments）２００２〜ＲＦＣ２００５などに準拠したモバイルＩＰ、ＩＰＳｅｃに対応したＶＰＮパス１０４を構築する機能を有している。
【０００４】
このような通信システムにおけるクライアント端末１０１は、認証クライアント処理部１１２を起動して認証サーバ１０２との間でＶＰＮパス１０４を構築するに際して、入力装置１１３がユーザにより操作されると、起動情報取得部１２１においてログオン画面をユーザに提示してパスワードなどの入力を促す。そして、ユーザによりパスワード入力がなされると、認証クライアント処理部１１２が起動し、予め設定されたファイルパスに従って情報ファイル管理部１１４にて保持しているネットワーク情報ファイル１３１及び認証情報ファイル１３２を認証・ネットワーク情報取得部１２２にて読み出す。
【０００５】
そして、この通信システムでは、ネットワーク情報ファイル１３１及び認証情報ファイル１３２を用いて、認証処理部１２３と認証サーバ１０２の認証処理部１４１との間で認証処理をし、鍵交換処理部１２４と認証サーバ１０２の鍵交換処理部１４２との間で鍵交換を行う。これにより、クライアント端末１０１の通信処理部１２５と認証サーバ１０２の通信処理部１４３との間で、アプリケーションサーバ１０３のＩＰアドレスを宛先アドレスとしたＩＰパケットを暗号化し、暗号化したデータを用いてＩＰＳｅｃパケットを作成し、更にＩＰヘッダを付加してカプセル化したパケットを用いた通信をすることで、ＶＰＮパス１０４を構築する。
【０００６】
このような通信システムでは、認証クライアント処理部１１２と認証サーバ１０２との間に機密保持性と信頼性の高いデータ通信を実現する。
【０００７】
【発明が解決しようとする課題】
しかしながら、従来の通信システムでは、認証クライアント処理部１１２を入力装置１１３にて起動する、すなわち認証クライアント処理部１１２へのログオンを手動で入力するパスワードのみから起動の判定をしており、且つ、ネットワーク情報ファイル１３１、認証情報ファイル１３２及びファイルパスをクライアント端末１０１内にて保持する構成となっていたので、パスワードが漏洩すると、システム内に侵入されて、不正な通信が行われるという危険性があった。
【０００８】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、端末起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる通信端末及び通信確立プログラム、通信システムを提供することを目的とする。
【０００９】
【課題を解決するための手段】
上述の課題を解決するために、本発明に係る通信端末では、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力する情報入力手段と、上記情報入力手段にて入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成する情報ファイル構成手段と、 上記情報ファイル構成手段にて構成された通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行って、上記認証サーバとの間の通信を確立する通信処理手段と、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を記憶する共通情報記憶手段を更に備え、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、上記情報ファイル構成手段は、上記情報入力手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報入力手段にて入力した認証用固有情報と上記共通情報記憶手段に記憶された認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記共通情報記憶手段に記憶された通信用共通情報とを用いて通信用情報ファイルを構成する。
【００１１】
上述の課題を解決するために、本発明に係る通信確立プログラムでは、コンピュータを、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力する情報入力手段、少なくともユーザごとの固有情報を読み出して入力した場合に、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成するファイル構成手段、として機能させる情報ファイル構成プログラムと、コンピュータを、上記通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行って、上記認証サーバとの間の通信を確立する通信処理手段として機能させる通信処理プログラムとを有し、コンピュータが、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を、上記情報入力手段が読み出し可能な記録媒体に記憶しておき、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、上記情報ファイル構成手段は、上記情報ファイル構成手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報ファイル構成手段にて入力した認証用固有情報と上記認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記通信用共通情報とを用いて通信用情報ファイルを構成する。
【００１３】
本発明に係る通信確立プログラムは、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力した場合に、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成する情報ファイル構成プログラムと、
上記通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行って、上記認証サーバとの間の通信を確立する通信処理プログラムとを有し、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を、上記情報ファイル構成プログラムが読み出し可能な記録媒体に記憶しておき、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、上記情報ファイル構成プログラムは、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、入力したパスワードから通信利用の正当性が判定された場合に、入力した認証用固有情報と上記共通情報記憶手段に記憶された認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記共通情報記憶手段に記憶された通信用共通情報とを用いて通信用情報ファイルを構成するものである。 本発明に係る通信システムは、複数の通信端末との間で認証処理をして、認証処理の結果に応じてアプリケーションサーバと通信端末との間の通信を確立する認証サーバと、ユーザが保有する記録媒体から上記認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力し、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成し、上記通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行う通信端末とを備え、上記通信端末は、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を記憶する共通情報記憶手段を更に備え、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、上記情報ファイル構成手段は、上記情報入力手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報入力手段にて入力した認証用固有情報と上記共通情報記憶手段に記憶された認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記共通情報記憶手段に記憶された通信用共通情報とを用いて通信用情報ファイルを構成するものである。
【００１４】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。
【００１５】
本発明は、例えば図１に示すように構成された通信システムに適用される。
【００１６】
［通信システムの構成］
この通信システムは、例えばパーソナルコンピュータにて構成された通信端末１、認証サーバ２及びアプリケーションサーバ３が通信回線を介して接続されて構成されている。この通信システムでは、通信端末１と認証サーバ２との間でモバイルＩＰ及びＩＰＳｅｃに準拠したＶＰＮパス４を構築し、認証サーバ２を介して通信端末１とアプリケーションサーバ３との間でアプリケーションデータを伝送する。
【００１７】
通信端末１とアプリケーションサーバ３との間には、図示しない外部エージェント機能を有するルータや、ホームエージェント機能を有するルータが配設される。これらのルータは、通信端末１の移動先のＩＰアドレスであるＣ／ＯＩＰアドレス、通信端末１の本拠のホームＩＰアドレスを管理し、通信端末１とアプリケーションサーバ３との間でアプリケーションデータを中継する。これにより、通信端末１は、移動した場合であっても、ホームネットワークに接続されたアプリケーションサーバ３との間での通信を実現する。
【００１８】
通信端末１は、ユーザに保有される携帯型記録媒体であるＩＣ（Integrated Circuit）カード１０が挿入されるＩＣカード着脱機構を有するＩＣカードリーダ２１を備える。なお、本例では、携帯型記録媒体としてＩＣカード１０を使用した場合について説明するが、これに限らず、例えばＣＤ−Ｒ（Compact Disc-Recordable）やＦＤ（Floppy Disk）、記録機能を備えるＰＤＡ（Personal Digital Assistant）を接続した場合であっても良い。
【００１９】
このＩＣカード１０は、ＩＣにて構成された記憶機構を内蔵している。このＩＣカード１０には、通信端末１のＯＳ（Operation System）にログオンするためのＯＳログオン情報、認証クライアントログオンパスワード、ネットワーク情報、認証情報が少なくとも記憶されている。本例おいて、ＩＣカード１０に記憶される固有のネットワーク情報は、ホームＩＰアドレス情報などである。また、ＩＣカード１０に記憶される認証情報は、通信端末１と認証サーバ２との間で認証処理をするに際して使用する認証子である。
【００２０】
ＩＣカードリーダ２１は、ＩＣカード１０がユーザにより装着されると、その内容を読み出す。ＩＣカードリーダ２１は、ＯＳログオン情報をログオン用ＩＣカード読み取り部２２に出力する。このＯＳログオン情報は、ログオン用ＩＣカード読み取り部２２によってＩＣカードリーダ２１から読みとられてログオン部２３に送られる。ログオン部２３では、ＯＳログオン情報が送られると、図示しない表示部などを用いてユーザにＯＳのパスワード入力を促し、入力されたパスワードに応じてＯＳを起動させる。これにより、ＯＳによりＩＣカード監視部２４が起動される。
【００２１】
このとき、通信端末１では、ＯＳへのログオンが完了してＯＳが起動すると、ＯＳにより図示しない記録媒体に格納されたＩＣカード監視プログラムを起動させることで、ＩＣカード監視部２４を起動させる。
【００２２】
ＩＣカード監視部２４は、その機能として、ＩＣカード読み取り部３１、情報ファイル構成部３２、起動部３３を有する。ＩＣカード監視部２４には、ＩＣカードリーダ２１により読み出して入力した認証クライアントログオンパスワード情報、ホームＩＰアドレス情報、認証情報が送られる。これらの情報が送られると、ＩＣカード読み取り部３１は、ネットワーク共通情報記憶部２５に予め記憶しておいた通信用共通情報及び認証用共通情報を読み出し、読み出した情報と共に認証クライアントログオンパスワード情報、ホームＩＰアドレス情報、認証情報を情報ファイル構成部３２に送る。
【００２３】
通信用共通情報及び認証用共通情報は、異なるユーザが保有するＩＣカード１０に記憶された異なる固有情報に対して共通して使用される情報である。この通信用共通情報及び認証用共通情報は、予め設定された情報であって、例えば、認証サーバ２を区別するための認証サーバ識別情報、パケット処理に関するパラメータ、モバイルＩＰに関するパラメータ、例えばＩＳＡＫＭＰ（internet security association key management）などの鍵交換プロトコル、ＩＰＳｅｃなどの暗号通信プロトコルに関するパラメータなどがある。これらの共通情報は、予めユーザの入力により生成される。
【００２４】
情報ファイル構成部３２では、ＩＣカード読み取り部３１及びネットワーク共通情報記憶部２５からの情報を用いて、通信端末１と認証サーバ２及びアプリケーションサーバ３との通信に必要なネットワーク情報ファイル４１を再構成すると共に、認証サーバ２との認証処理に必要な認証情報ファイル４２を再構成する。
【００２５】
ネットワーク情報ファイル４１及び認証情報ファイル４２は、情報ファイル管理部２６に送られ、情報ファイル管理部２６により保持されて管理される。このネットワーク情報ファイル４１及び認証情報ファイル４２のパス情報は、情報ファイル構成部３２により作成されて、一時記憶部２７に送られる。
【００２６】
また、情報ファイル構成部３２では、ＩＣカード読み取り部３１を介して送られた認証クライアントログオンパスワードを一時記憶部２７に送る処理をする。情報ファイル構成部３２にてネットワーク情報ファイル４１及び認証情報ファイル４２の再構成が完了し、認証クライアントログオンパスワード及びパス情報を一時記憶部２７に格納した状態となると、起動部３３では、認証クライアント２８を起動する。このとき、起動部３３では、ＯＳに認証クライアント２８の起動要求をすることで、ＯＳに認証クライアント２８を起動させる。
【００２７】
この認証クライアント２８は、その機能として、起動情報取得部５１、認証・ネットワーク情報取得部５２、認証処理部５３、鍵交換処理部５４、通信処理部５５を有している。この認証クライアント２８は、認証処理をすることで、通信端末１と認証サーバ２及びアプリケーションサーバ３との間の通信を確立する通信確立プログラムにて実現する機能にて構成される。
【００２８】
起動情報取得部５１では、起動部３３による起動要求に応じて、一時記憶部２７に記憶された認証クライアントログオンパスワードを読みだし、読み出した認証クライアントログオンパスワードの正当性を判定することで、通信利用の正当性を判定する。起動情報取得部５１は、認証クライアントログオンパスワードが正当であると判定した場合に一時記憶部２７からパス情報を読み出して認証・ネットワーク情報取得部５２に送り、以降の処理を実行させる。
【００２９】
また、起動情報取得部５１では、起動部３３による起動要求に応じて認証クライアント２８を起動させる場合のみならず、ＩＣカード監視部２４から直接認証クライアントログオンパスワード及びパス情報が送られたことを検知して認証クライアントログオンパスワードを読みだして認証クライアント２８を起動させても良い。
【００３０】
一方、起動情報取得部５１は、入力装置２９が手動にて操作されて認証クライアントログオンパスワードが入力された場合には、同様に正当性を判定して、正当と判定したときにデフォルトのパス情報を読み出して認証・ネットワーク情報取得部５２に送る。この場合は、ＩＣカード１０が挿入されたことによるＩＣカード監視部２４は起動せず、情報ファイル管理部２６に保持されているネットワーク情報ファイル４１及び認証情報ファイル４２を再構成せずに使用して以降の処理を実行することになる。
【００３１】
認証・ネットワーク情報取得部５２では、パス情報が送られると、パス情報に基づいて情報ファイル管理部２６にアクセスしてネットワーク情報ファイル４１及び認証情報ファイル４２を読み出して認証処理部５３、鍵交換処理部５４及び通信処理部５５に送る。
【００３２】
認証処理部５３では、ＲＦＣ（Request For Comments）２００２〜ＲＦＣ２００５などに準拠したモバイルＩＰに基づいた処理を行うことで、通信端末１と認証サーバ２との間にモバイルＩＰ環境を実現する。このとき、認証処理部５３では、固有情報としてＩＣカード１０に格納されていた認証子及びホームＩＰアドレスを使用して登録要求パケットを認証サーバ２の認証処理部６１に送信し、認証処理部６１から登録応答パケットを受信することにより、認証サーバ２の認証処理部６１との間での認証処理をする。
【００３３】
このような認証処理の結果、認証処理部６１により認証サーバ２を介した通信が許可されると、鍵交換処理部５４では、認証サーバ２の鍵交換処理部６２との間で鍵交換処理をする。このとき、鍵交換処理部５４では、ＲＦＣ２４０１〜ＲＦＣ２４１０などに準拠した処理をして、データを暗号化、復号するための暗号鍵を取得する。このような鍵交換処理の結果、暗号鍵、復号鍵の取得に成功することにより、通信端末１と認証サーバ２との間にＶＰＮパス４を構築したことになる。
【００３４】
通信処理部５５は、上述の認証処理及び鍵交換処理、アプリケーションサーバ３とのアプリケーションデータの伝送に際して、認証サーバ２との間でパケット通信をする。
【００３５】
アプリケーション処理部３０にて作成されたアプリケーションデータをアプリケーションサーバ３に送信する場合には、図２に示すように、ＯＳにより、アプリケーション処理部３０にて作成されたアプリケーションデータをデータ領域７２に格納し、このデータ領域７２の先頭に、ＩＰヘッダ情報領域７１を付加してＩＰパケットを作成する。このとき、ＯＳでは、アプリケーションサーバ３のＩＰアドレスであるサーバＩＰアドレスを宛先アドレス領域８２に格納し、更にホームＩＰアドレスを送信元アドレス領域８１に格納する。次いで、通信処理部５５では、ＯＳから送られたＩＰパケットを鍵交換処理により取得した暗号鍵を用いて暗号化して暗号化データを作成する。
【００３６】
次いで、通信処理部５５は、暗号化データをデータ領域７４に格納し、その先頭にＩＰＳｅｃヘッダ領域７３を付加してＩＰＳｅｃパケットを作成する。このとき、通信処理部５５では、認証サーバ２のＩＰアドレスであるサーバＩＰアドレスを認証情報ファイル４２から取得して宛先アドレス領域８４に格納し、更にホームＩＰアドレスを送信元アドレス領域８３に格納する。
【００３７】
次いで、通信処理部５５では、ＩＰＳｅｃパケットをデータ領域７６に格納し、その先頭にＩＰｉｎＩＰヘッダ領域７５を付加することでカプセル化してＩＰｉｎＩＰパケットを作成する。このとき、通信処理部５５では、認証サーバ２のＩＰアドレスであるサーバＩＰアドレスを宛先アドレス領域８６に格納し、更に手動入力などによるＣ／ＯＩＰアドレス（case of IP address）を送信元アドレス領域８５に格納する。
【００３８】
通信システムでは、このように通信処理部５５によりＩＰｉｎＩＰパケットを作成して、ＶＰＮパス４を介してアプリケーションサーバ３との間でアプリケーションデータを伝送する。これに対し、認証サーバ２の通信処理部６３では、送信元アドレス領域８５に格納されたＣ／ＯＩＰアドレス、送信元アドレス領域８３の送信元アドレス領域８３に格納されたホームＩＰアドレスから通信端末１からのＩＰｉｎＩＰパケットが送信されたと判定し、カプセル化の開放、暗号化データの復号をしてＩＰパケットを復元して、アプリケーションサーバ３に送信する。
【００３９】
一方、宛先アドレス領域８２が通信端末１のホームＩＰアドレス、送信元アドレス領域８１がアプリケーションサーバ３のＩＰアドレスとなったＩＰパケットを認証サーバ２にて受信すると、認証サーバ２では、先ず、送信元アドレス領域８３に認証サーバ２のＩＰアドレスを格納し、宛先アドレス領域８４に通信端末１のホームＩＰアドレスを格納し、更にデータ領域７２のアプリケーションデータを暗号化してＩＰＳｅｃパケットを作成する。次に、通信処理部６３では、送信元アドレス領域８５に認証サーバ２のＩＰアドレス、宛先アドレス領域８６に通信端末１のＣ／ＯＩＰアドレスを格納したＩＰｉｎＩＰパケットを作成して通信端末１に送信する。
【００４０】
なお、上述した通信端末１では、ネットワーク情報ファイル４１及び認証情報ファイル４２を構成する情報の一部であって、ユーザ固有の固有情報をＩＣカード１０に格納しておき、ＩＣカード１０に記憶された固有情報とネットワーク共通情報記憶部２５に記憶された共通情報とを用いてネットワーク情報ファイル４１及び認証情報ファイル４２を再構成をする場合について説明したが、これに限らず、固有情報及び共通情報をＩＣカード１０に格納しておいても良い。このような場合、通信端末１では、ＩＣカード１０から読み出した情報のみを用いてネットワーク情報ファイル４１及び認証情報ファイル４２を再構成する。
【００４１】
このような通信端末１によれば、ネットワーク情報ファイル４１及び認証情報ファイル４２を再構成するための全情報をＩＣカード１０に記憶させるので、ＩＣカード１０に固有情報のみを記録する場合と比較して、セキュリティレベルを向上させることができる。
【００４２】
［通信端末１による通信確立処理］
つぎに、上述した通信システムにおいて、通信端末１により通信を開始するに際して行う通信確立処理について図３のフローチャートを参照して説明する。なお、以下の説明では、固有情報のみがＩＣカード１０に記憶され、共通情報がネットワーク共通情報記憶部２５に記憶されている場合について説明する。
【００４３】
通信端末１は、ＩＣカードリーダ２１にＩＣカード１０が挿入されることに応じてステップＳ１以降の処理を開始し、ＯＳログオン情報がログオン部２３に送られるとステップＳ２に処理を進める。
【００４４】
ステップＳ２では、ログオン部２３によりＯＳのパスワード入力を促すパスワード入力画面をユーザに提示してステップＳ３に処理を進め、正当なパスワード入力がなされていない場合にはステップＳ２の画面表示を維持し、正当なパスワード入力がなされた場合にステップＳ４に処理を進める。
【００４５】
ステップＳ４では、ログオン部２３により正当なパスワードが入力されたことを認識した後にＯＳを起動してログインしてステップＳ５に処理を進め、更にＩＣカード監視プログラム（アプリケーション）を立ち上げてステップＳ６に処理を進める。
【００４６】
ステップＳ６では、通信端末１が前回に利用されたときに正常に終了していたか否かの判定をＩＣカード監視部２４により判定する。すなわち、ＩＣカード監視部２４では、前回の通信端末１の利用終了時にＩＣカード１０から読み出されて一時記憶部２７に記憶した認証クライアントログオンパスワード及びパス情報が削除されているか否かを判定し、認証クライアントログオンパスワード及びパス情報が正常に削除されておらず異常終了されていたときにはステップＳ７に処理を進め、正常に削除されていたときにはステップＳ８に処理を進める。これにより、以前に挿入されたＩＣカード１０内の固有情報を、今回の利用にて使用不可とする。
【００４７】
ステップＳ７では、一時記憶部２７に記憶されたままとなっている認証クライアントログオンパスワード及びパス情報を削除して、ステップＳ８に処理を進める。これにより、ＩＣカード監視部２４は、前回利用したＩＣカード１０に記憶された固有情報に対する第三者のアクセス可能性を除外する。
【００４８】
ステップＳ８では、ＩＣカードリーダ２１からＩＣカード１０に記憶されているユーザ固有の認証クライアントログオンパスワード、ホームＩＰアドレス情報、認証情報をＩＣカード読み取り部３１により取得して情報ファイル構成部３２に送ってステップＳ９に処理を進める。
【００４９】
ステップＳ９では、情報ファイル構成部３２によりＩＣカード読み取り部３１からの固有情報とネットワーク共通情報記憶部２５に記憶された共通情報とを用いてネットワーク情報ファイル４１及び認証情報ファイル４２を再構成して、情報ファイル管理部２６に送り、次いで、ステップＳ１０では、ネットワーク情報ファイル４１及び認証情報ファイル４２を再構成したことに応じて認証クライアントログオンパスワード及びパス情報を一時記憶部２７に格納して、ステップＳ１１に処理を進める。
【００５０】
ステップＳ１１では、起動部３３により認証クライアント２８を起動する処理をしてステップＳ１２に処理を進め、起動情報取得部５１により、今回の起動が手動起動か、ＩＣカード監視部２４が起動したことによる自動起動かの判定をする。このとき、起動情報取得部５１では、自動起動を判定するに際して、起動部３３による起動要求が発生したか否か、又は、一時記憶部２７に認証クライアント起動ログオンパスワード及びパス情報が一時記憶部２７に記憶されたか否かを判定する。起動情報取得部５１により自動起動であると判定した場合には、ステップＳ１３に処理を進め、認証・ネットワーク情報取得部５２により一時記憶部２７から認証クライアントログオンパスワード及びパス情報を取得してステップＳ１７に処理を進める。
【００５１】
一方、起動情報取得部５１により手動起動であると判定した場合には、ステップＳ１４に処理を進め、起動情報取得部５１によりパスワード入力画面をユーザに提示してステップＳ１５に処理を進め、正当な認証クライアントログオンパスワードの入力がなされた場合にステップＳ１６に処理を進める。ステップＳ１６では、予め設定されたデフォルトのネットワーク情報ファイル４１及び認証情報ファイル４２を取得するためのパス情報を認証・ネットワーク情報取得部５２にて取得してステップＳ１７に処理を進める。
【００５２】
ステップＳ１７において、認証・ネットワーク情報取得部５２は、ステップＳ１３又はステップＳ１６にて取得したパス情報に基づいて情報ファイル管理部２６からネットワーク情報ファイル４１及び認証情報ファイル４２を取得してネットワーク情報及び認証情報を認証処理部５３、鍵交換処理部５４及び通信処理部５５に送ってステップＳ１８に処理を進める。
【００５３】
ステップＳ１８において、認証処理部５３は、認証情報を用いて認証サーバ２との間で認証処理を行い、ステップＳ１９において認証処理の結果、認証サーバ２にて認証されたか否かを判定して、認証されなかった場合にはステップＳ２０に処理を進めてエラー処理をして処理を終了する。一方、認証サーバ２に認証された場合にはステップＳ２１に処理を進める。
【００５４】
ステップＳ２１では、鍵交換処理部５４により認証サーバ２との鍵交換処理を行ってステップＳ２２に処理を進め、鍵交換が成功しなかったと判定したときにはステップＳ２３に処理を進めてエラー処理をして処理を終了する。一方、認証サーバ２との間での鍵交換処理が成功した場合にはステップＳ２４に処理を進める。
【００５５】
ステップＳ２４では、ステップＳ１８での認証処理、ステップＳ２１での鍵交換処理により、ＶＰＮパス４を構築したアプリケーションサーバ３との通信が確立し、ステップＳ２５において通信処理部５５により図２に示すようなＩＰｉｎＩＰパケットによる暗号化通信を開始する。
【００５６】
そして、ＶＰＮパス４を介した暗号化通信を終了するログオフ命令がＯＳにより発生した場合には、図４のステップＳ３１の処理を開始し、ＩＣカード監視部２４の情報ファイル構成部３２により、ネットワーク情報ファイル４１及び認証情報ファイル４２を削除するように情報ファイル管理部２６を制御して、ステップＳ３２に処理を進める。
【００５７】
ステップＳ３２では、情報ファイル構成部３２により、一時記憶部２７に記憶しておいた認証クライアントログオンパスワード及びパス情報を削除してステップＳ３３に処理を進めてＯＳからログオフして処理を終了する。
【００５８】
［通信端末１による他の通信確立処理］
つぎに、上述した通信システムにおいて、通信端末１により通信を開始するに際して行う他の通信確立処理について図５のフローチャートを参照して説明する。なお、上述と同じ処理については同一符号を付することによりその詳細な説明を省略する。
【００５９】
この通信確立処理では、ＩＣカード監視部２４を起動した後に、ステップＳ６及びステップＳ７の処理をせずにステップＳ８〜ステップＳ１１の処理をし、自動起動された後のステップＳ１７の次のステップＳ４１において、認証・ネットワーク情報取得部５２によりネットワーク情報ファイル４１及び認証情報ファイル４２を削除してステップＳ４２に処理を進める。
【００６０】
ステップＳ４２では、一時記憶部２７によりステップＳ１０にて記憶した認証クライアントログオンパスワード及びパス情報を削除してステップＳ１８に処理を進める。
【００６１】
［実施形態の効果］
以上、詳細に説明したように、本実施形態に係る通信システムによれば、ＩＣカード１０からユーザごとの固有情報を読み出して入力した場合にネットワーク情報ファイル４１及び認証情報ファイル４２を再構成して、通信端末１と認証サーバ２との通信を確立するので、パスワードの漏洩により認証クライアント２８が起動することなく、ＩＣカード１０が挿入された場合のみに認証クライアント２８を起動するようにすることができ、通信端末１が起動する時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる。
【００６２】
また、この通信システムによれば、共通情報を予めネットワーク共通情報記憶部２５に記憶しておき、ＩＣカード１０が挿入された場合に共通情報と固有情報とを用いてネットワーク情報ファイル４１及び認証情報ファイル４２を再構成するので、ＩＣカード１０に記録する情報量を少なくして、ＩＣカード１０のメモリ消費量を抑制することができる。
【００６３】
更に、この通信システムによれば、ＩＣカード１０が挿入された場合にはＩＣカード監視部２４を起動してＩＣカード１０の固有情報を用いて認証サーバ２と通信確立し、入力装置２９が操作されて起動した場合には通信端末１内の固有情報を用いて認証サーバ２と通信確立をするので、ＩＣカード１０が挿入されない場合でもデフォルトの動作をさせることができ、運用の柔軟性を確保することができる。
【００６４】
更にまた、この通信システムによれば、ＩＣカード１０に認証クライアントログオンパスワードを記録しておき、ネットワーク情報ファイル４１及び認証情報ファイル４２を再構成した後に、パス情報及び認証クライアントログオンパスワードを一時記憶部２７に記憶して認証処理を行うようにしたので、ＩＣカード監視プログラムと認証処理プログラムとの切り分けを容易とすることができる。したがって、この通信システムによれば、既存の認証クライアント２８のプログラム変更を少なくしてＩＣカード監視部２４による上述の処理を追加することができる。
【００６５】
更にまた、この通信システムによれば、起動部３３から直接認証クライアントログオンパスワード及びパス情報が送られたことを認証クライアント２８により検知して認証処理を行うので、一時記憶部２７に記憶することなく、固有情報に対するセキュリティをより向上させることができる。
【００６６】
更にまた、この通信システムによれば、一時記憶部２７に記憶した認証クライアントログオンパスワード及びパス情報を認証クライアント２８又はＩＣカード監視部２４により消去するので、通信が終了した後にネットワーク情報ファイル４１及び認証情報ファイル４２がそのまま保存されてＩＣカード１０に記憶された固有情報が漏洩することを防止することができる。
【００６７】
［通信システムの他の実施形態］
つぎに、通信システムの他の実施形態について説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００６８】
上述した通信システムは、図６に示すように、ＩＣカード１０に通信端末１と接続する認証サーバ２を識別するための認証サーバ識別情報を格納した場合、通信端末１は、認証情報として認証サーバ識別情報を読み出して認証情報ファイル４２を再構成する。これにより、この通信システムによれば、通信端末１の設定に拘わらず、ユーザが指定する認証サーバ２を介してアプリケーションサーバ３との接続を確立することができる。また、この通信システムによれば、ＩＣカード１０ごとに通信端末１の接続先を異なるものにすることができ、ＩＣカード１０を挿入させることで通信端末１の接続先を制限することができる。
【００６９】
これに対し、他の通信システムでは、図７に示すように、通信端末１との通信確立が可能な認証サーバ２Ａ、２Ｂ、２Ｃが存在し、各認証サーバ２Ａ、２Ｂ、２Ｃにそれぞれ異なるアプリケーションサーバ３Ａ、３Ｂ、３Ｃが接続されている場合、ＩＣカード１０に複数の認証サーバＡ識別情報、認証サーバＢ識別情報、認証サーバＣ識別情報を格納しておく。ここで、各アプリケーションサーバ３Ａ、３Ｂ、３Ｃは、通信端末１のアプリケーション処理部３０にて使用する複数のアプリケーションに対応しており、例えばそれぞれの用途が異なるものである。
【００７０】
そして、このＩＣカード１０が挿入された場合には、通信端末１は、複数の認証サーバ２と接続可能とするために、複数の認証サーバＡ識別情報、認証サーバＢ識別情報、認証サーバＣ識別情報を含む認証情報ファイル４２を情報ファイル構成部３２により再構成する。
【００７１】
認証処理をするときには、認証処理部５３は、接続する認証サーバ２の選択を促す認証サーバ選択入力表示などをして、入力装置２９からの命令に従って認証処理をする認証サーバ２を選択する。また、認証処理部５３は、接続する認証サーバ２の選択を促すに際して、通信確立を要求するアプリケーションサーバ３や、通信が確立した後に使用するアプリケーションの選択を促すことにより、アプリケーションサーバ３に接続された認証サーバ２を選択させても良い。
【００７２】
このような通信システムによれば、単一のＩＣカード１０に複数の認証サーバ識別情報を記憶したので、例えばユーザに接続を希望するアプリケーションサーバ３を選択させるのみで複数の認証サーバ２から接続先を指定させることができ、ユーザの利便性を向上させることができる。
【００７３】
更に他の通信システムは、図８に示すように、単一の認証サーバ２に対して複数の通信端末１Ａ、通信端末１Ｂ、通信端末１Ｃが接続され、更に認証サーバ２に複数のアプリケーションサーバ３Ａ、アプリケーションサーバ３Ｂ、アプリケーションサーバ３Ｃが接続されている場合、認証サーバ２により各通信端末１のアクセス制御を行う。
【００７４】
この認証サーバ２は、図９に示すような各通信端末１に対応する認証クライアント２８を識別する認証クライアント識別情報と、アクセス許可のレベルを示すアクセスレベルとを対応づけたテーブルを保持している。このアクセス許可レベルは、図１０に示すように、各アクセスレベル（１〜３）に対応して、アプリケーションサーバ３Ａ、アプリケーションサーバ３Ｂ、アプリケーションサーバ３Ｃごとのアクセス許可／不許可を示す。認証サーバ２の認証処理部６１では、通信端末１の認証処理部５３からの登録要求及び接続先のアプリケーションサーバ３を示す情報を受け付けた場合に、図９のテーブルから認証クライアント識別情報を参照してアクセルレベルを認識し、図１０のテーブルからアクセスレベルに対するアクセス許可／不許可を認識する。
【００７５】
そして、認証サーバ２の認証処理部６１では、アクセス許可と判定した場合にはそのまま認証処理を進め、アクセス不許可と判定した場合にはその旨を通信端末１に通知する。
【００７６】
このような通信システムによれば、各通信端末１の認証クライアント２８ごとに、各アプリケーションサーバ３に対するアクセス許可／不許可を判定するので、通信端末１の各アプリケーションサーバ３へのアクセス制御をすることができる。
【００７７】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００８０】
【発明の効果】
請求項１に係る通信端末によれば、ユーザにより記録媒体が挿入された場合に、ユーザごとの固有情報を読み出して認証用情報ファイル及び通信用情報ファイルを構成して認証サーバとの間の通信を確立するので、パスワードなどの漏洩により認証処理を行うようなことがなく、記録媒体が挿入された場合のみに認証処理をするようにすることができ、起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる。請求項１に係る通信端末によれば、認証用共通情報及び通信用共通情報を予め記憶しておき、記憶したおいた共通情報と記録媒体から入力した認証用固有情報及び通信用固有情報を用いて認証用情報ファイル及び通信用情報ファイルを構成するので、記録媒体に記録する情報量を少なくして、記録媒体のメモリ消費量を抑制することができる。
【００８１】
請求項２に係る通信端末によれば、通信処理手段により認証サーバとの間で鍵交換処理をし、鍵交換処理の結果に従って暗号化処理をするので、請求項１と同様に、記録媒体が挿入された場合のみに認証処理及び鍵交換処理をするようにすることができ、起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる。
【００８２】
請求項３に係る通信端末によれば、固有情報としてホームアドレスを記録媒体から読み出して入力した場合に、このホームアドレスを用いて通信用情報ファイルを構成するので、請求項１と同様に、ホームアドレスを用いた通信処理をするようにすることができ、起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる。
【００８３】
請求項４に係る通信端末によれば、記録媒体からパスワード、認証用固有情報及び通信用固有情報、認証用共通情報及び通信用共通情報を読み出して入力した場合に、情報ファイル構成手段により認証用情報ファイル及び通信用情報ファイルを生成するようにしたので、記録媒体に固有情報のみを記録する場合と比較して、セキュリティレベルを向上させることができる。
【００８４】
請求項５に係る通信端末によれば、通信処理手段により、情報ファイル構成手段からの指示に応じて、ファイル管理手段に保持された認証用情報ファイル及び通信用情報ファイルを読み出して認証処理を行うので、記録媒体が挿入されない場合でもデフォルトの動作をさせることができ、運用の柔軟性を確保することができる。
【００８５】
請求項６に係る通信端末によれば、通信利用の正当性を判定するためのパスワードを固有情報として入力した場合、情報ファイル構成手段により認証用情報ファイル及び通信用情報ファイルを構成したことに応じてパスワード及び認証用情報ファイル及び通信用情報ファイルについてのパス情報を一時記憶手段に記憶して、通信処理手段による認証処理を開始するようにしたので、情報ファイルを構成するプログラムと認証処理をするプログラムとの切り分けを容易とすることができ、既存の認証処理をするプログラムの設計変更を少なくすることができる。
【００８６】
請求項７に係る通信端末によれば、認証処理の終了後に、一時記憶手段に記憶されたパスワード及びパス情報を通信処理手段により消去するようにしたので、通信が終了した後に通信用情報ファイル及び認証用情報ファイルがそのまま保存されて携帯用記録媒体に記憶された固有情報が漏洩することを防止することができる。
【００８７】
請求項８に係る通信端末によれば、通信処理手段の認証処理の終了後に、一時記憶手段に記憶された認証用情報ファイル及び通信用情報ファイルを情報ファイル構成手段により消去するようにしたので、通信が終了した後に通信用情報ファイル及び認証用情報ファイルがそのまま保存されて携帯用記録媒体に記憶された固有情報が漏洩することを防止することができる。
【００８８】
請求項９に係る通信端末によれば、通信利用の正当性を判定するためのパスワードを固有情報として入力した場合に、パスワード、認証用情報ファイル及び通信用情報ファイルについてのパス情報を情報ファイル構成手段から通信処理手段に送って認証処理を開始するようにしたので、パスワード及びパス情報を一旦記憶する必要なく、セキュリティを向上させることができる。
【００８９】
請求項１０に係る通信端末によれば、認証サーバ識別情報を記録媒体から読み出して入力した場合に、認証サーバ識別情報により特定される認証サーバに接続を制限して認証処理をして通信を確立するので、既存の設定に拘わらず、ユーザが指定する認証サーバを介してアプリケーションサーバとの接続を確立することができ、更に、記録媒体ごとに通信端末の接続先を異なるものにすることができ、記録媒体を挿入させることで通信端末の接続先を制限することができる。
請求項１１に係る通信端末によれば、各アプリケーションサーバに対応した各認証サーバを識別する認証サーバ識別情報を記録媒体から複数読み出して入力した場合に、各認証サーバ識別情報により特定される各認証サーバとの間で認証処理をして、ユーザに選択されたアプリケーションサーバとの間の通信を確立するようにしたので、ユーザに接続を希望するアプリケーションサーバを選択させるのみで複数の認証サーバから接続先を指定させることができ、ユーザの利便性を向上させることができる。
【０１０４】
請求項１２に係る通信確立プログラムによれば、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力した場合に、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び認証サーバとの通信に使用する通信用情報ファイルを構成する情報ファイル構成プログラムと、通信用情報ファイルを参照して認証サーバとの間で通信を行い、認証用情報ファイルを参照して認証サーバとの間で認証処理を行って、認証サーバとの間の通信を確立する通信処理プログラムとにて構成したので、パスワードなどの漏洩により認証処理を行うようなことがなく、記録媒体が挿入された場合のみに認証処理をするようにすることができ、起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高いシステムを構築することができる。請求項１２に係る通信確立プログラムによれば、認証用共通情報及び通信用共通情報を予め記憶しておき、記憶したおいた共通情報と記録媒体から入力した認証用固有情報及び通信用固有情報を用いて認証用情報ファイル及び通信用情報ファイルを構成するので、記録媒体に記録する情報量を少なくして、記録媒体のメモリ消費量を抑制することができる。
請求項１３に係る通信システムによれば、複数の通信端末との間で認証処理をして、認証処理の結果に応じてアプリケーションサーバと通信端末との間の通信を確立する認証サーバと、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力し、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び認証サーバとの通信に使用する通信用情報ファイルを構成し、通信用情報ファイルを参照して認証サーバとの間で通信を行い、認証用情報ファイルを参照して認証サーバとの間で認証処理を行う通信端末とからなるので、パスワードなどの漏洩により通信端末にて認証処理を行うようなことがなく、記録媒体が挿入された場合のみに認証処理をするようにすることができ、起動時のログオン処理を安全とすると共に、セキュリティに対する信頼性の高くすることができる。請求項１３に係る通信システムによれば、認証用共通情報及び通信用共通情報を予め記憶しておき、記憶したおいた共通情報と記録媒体から入力した認証用固有情報及び通信用固有情報を用いて認証用情報ファイル及び通信用情報ファイルを構成するので、記録媒体に記録する情報量を少なくして、記録媒体のメモリ消費量を抑制することができる。
【０１０６】
請求項１４に係る通信システムによれば、認証サーバにてアクセス許可レベルと、認証処理に必要な情報との関係を予め設定しておき、アクセス許可レベルを参照して各通信端末のアプリケーションサーバへのアクセスを制限するので、各通信端末ごとに、各アプリケーションサーバに対するアクセス許可／不許可を判定するので、通信端末の各アプリケーションサーバへのアクセス制御をすることができる。
請求項１５に係る通信システムによれば、記録媒体にはユーザ毎の固有情報としてホームアドレスが記憶され、認証サーバは、アクセス許可レベルとホームアドレスとの関係を予め設定しておき、ホームアドレスに応じて通信端末のアプリケーションサーバへのアクセスを制限するので、通信端末の各アプリケーションサーバへのアクセス制御をすることができる。
【図面の簡単な説明】
【図１】本発明を適用した通信システム及び通信端末の構成を示す機能ブロック図である。
【図２】通信端末の通信処理部及び認証サーバの通信処理部によるパケット作成処理について説明するための図である。
【図３】本発明を適用した通信端末による通信確立処理において、ＩＣカードが挿入されてから暗号通信を開始するまでの処理手順を示すフローチャートである。
【図４】本発明を適用した通信端末による通信確立処理において、暗号通信を終了するときの処理手順を示すフローチャートである。
【図５】本発明を適用した通信端末による通信確立処理において、ＩＣカードが挿入されてから暗号通信を開始するまでの他の処理手順を示すフローチャートである。
【図６】本発明を適用した通信システムの他の実施形態について説明するためのブロック図である。
【図７】本発明を適用した通信システムの更に他の実施形態について説明するためのブロック図である。
【図８】本発明を適用した通信システムの更に他の実施形態について説明するためのブロック図である。
【図９】認証サーバにて保持している認証クライアント識別情報とアクセスレベルとを対応づけたテーブルについて説明するための図である。
【図１０】認証サーバにて保持している各アクセスレベルと各アプリケーションサーバごとのアクセス許可／不許可を示すテーブルについて説明するための図である。
【図１１】従来の通信システムを示すブロック図である。
【符号の説明】
１ 通信端末
２ 認証サーバ
３ アプリケーションサーバ
４ ＶＰＮパス
１０ ＩＣカード
２１ ＩＣカードリーダ
２２ ログオン用ＩＣカード読み取り部
２３ ログオン部
２４ ＩＣカード監視部
２５ ネットワーク共通情報記憶部
２６ 情報ファイル管理部
２７ 一時記憶部
２８ 認証クライアント
２９ 入力装置
３０ アプリケーション処理部
３１ ＩＣカード読み取り部
３２ 情報ファイル構成部
３３ 起動部
４１ ネットワーク情報ファイル
４２ 認証情報ファイル
５１ 起動情報取得部
５２ 認証・ネットワーク情報取得部
５３ 認証処理部
５４ 鍵交換処理部
５５ 通信処理部
６１ 認証処理部
６２ 鍵交換処理部
６３ 通信処理部
７１ ＩＰヘッダ情報領域
７２，７４，７６ データ領域
７３ ＩＰＳｅｃヘッダ領域
７５ ＩＰｉｎＩＰヘッダ領域
８１，８３，８５ 送信元アドレス領域
８２，８４，８６ 宛先アドレス領域[0001]
BACKGROUND OF THE INVENTION
The present invention provides a communication terminal and a communication terminal for constructing a VPN (virtual private network) and transmitting / receiving communication data by performing authentication processing and encryption processing compliant with, for example, IPSec (IP (Internet Protocol) security protocol)Communication establishment program, communication Related to communication systems.
[0002]
[Prior art]
In recent years, as a client-server system, a VPN path is established between a client terminal and an authentication server by implementing a protocol compliant with IPSec, and the client terminal and the application server are connected via the authentication server. Are known. Such a system is disclosed in, for example, JP-A-2002-44141.
[0003]
An example of such a conventional communication system is shown in FIG. In this communication system, theclient terminal 101, theauthentication server 102, and theapplication server 103 are connected via a communication line, thereby realizing communication between theapplication processing unit 111 of theclient terminal 101 and theapplication server 103. Yes. Further, in this communication system, theclient terminal 101 and theauthentication server 102 implement IP (Internet Protocol), and aVPN path 104 corresponding to mobile IP and IPSec conforming to RFC (Request For Comments) 2002 to RFC2005. Has the ability to build.
[0004]
When theclient terminal 101 in such a communication system activates the authenticationclient processing unit 112 and establishes theVPN path 104 with theauthentication server 102, when theinput device 113 is operated by the user, the activation information acquisition unit In 121, a logon screen is presented to the user to prompt for input of a password or the like. Then, when the user inputs a password, the authenticationclient processing unit 112 is activated, and the network information file 131 and the authentication information file 132 held in the informationfile management unit 114 are authenticated according to a preset file path. Read by the networkinformation acquisition unit 122.
[0005]
In this communication system, an authentication process is performed between theauthentication processing unit 123 and the authentication processing unit 141 of theauthentication server 102 using the network information file 131 and the authentication information file 132, and the keyexchange processing unit 124 and the authentication server Key exchange is performed with the keyexchange processing unit 142 of 102. Thereby, between thecommunication processing unit 125 of theclient terminal 101 and thecommunication processing unit 143 of theauthentication server 102, an IP packet having the destination address as the IP address of theapplication server 103 is encrypted, and the encrypted data is used for IPSec. TheVPN path 104 is constructed by creating a packet and performing communication using a packet encapsulated by adding an IP header.
[0006]
In such a communication system, data communication with high confidentiality and high reliability is realized between the authenticationclient processing unit 112 and theauthentication server 102.
[0007]
[Problems to be solved by the invention]
However, in the conventional communication system, the authenticationclient processing unit 112 is activated by theinput device 113, that is, the activation is determined only from the password for manually inputting the logon to the authenticationclient processing unit 112, and the network Since the information file 131, the authentication information file 132, and the file path are stored in theclient terminal 101, there is a risk that if the password is leaked, the password is leaked and unauthorized communication is performed. It was.
[0008]
Accordingly, the present invention has been proposed in view of the above-described circumstances, and a communication terminal and a communication terminal that can secure a logon process at the time of starting the terminal and can build a highly reliable system for security.Communication establishment program, communication The purpose is to provide a communication system.
[0009]
[Means for Solving the Problems]
In order to solve the above-described problem, in the communication terminal according to the present invention, information input for reading and inputting at least unique information for each user from information necessary for authentication processing with an authentication server from a recording medium owned by the user Means and an information file constituting means constituting an information file for authentication necessary for authentication processing and a communication information file used for communication with the authentication server, using the information inputted by the information input means, and the information Communicating with the authentication server with reference to the communication information file configured by the file configuration means, performing authentication processing with the authentication server with reference to the authentication information file, Communication processing means for establishing communication with the authentication server;, Further comprising common information storage means for storing common authentication information and common communication information used for different unique information stored in recording media possessed by different users, wherein the common authentication information is , Information necessary for authentication processing including identification information for distinguishing the authentication server, the communication common information is information used to enable communication with the authentication server, and the information input means includes: , A password for determining the legitimacy of communication use, authentication specific information used when performing authentication processing with the authentication server, and communication specific information used when performing communication processing with the authentication server Is read out from the recording medium and input, and the information file constituting unit, when the validity of communication use is determined from the password input by the information input unit, An authentication information file is configured using the authentication unique information input by the information input means and the authentication common information stored in the common information storage means, and the communication unique information input by the information input means A communication information file using the communication common information stored in the common information storage means .
[0011]
In order to solve the above problem, in the communication establishment program according to the present invention,Computer Read and input at least user-specific information from the recording media owned by the user, among the information required for authentication processing with the authentication serverInformation input means, When at least specific information for each user is read out and input, the input information is used to configure an authentication information file necessary for authentication processing and a communication information file used for communication with the authentication server.Function as a file organization An information file configuration program;Computer Communication with the authentication server by referring to the communication information file, authentication processing with the authentication server with reference to the authentication information file, and communication with the authentication server EstablishFunction as communication processing means A communication processing program,Computer Authentication common information and communication common information used in common for different unique information stored in recording media owned by different users,Information input means Is stored in a readable recording medium, and the common information for authentication is information necessary for authentication processing including identification information for distinguishing the authentication server, and the common information for communication is the information with the authentication server. Information used to enable communication,The information input means is A password for determining the legitimacy of communication use, authentication specific information used when performing authentication processing with the authentication server, and communication specific information used when performing communication processing with the authentication server Read from the recording medium and input,The information file configuration means is the information file configuration means. When the validity of communication use is determined from the entered password,In the above information file configuration means Enter the unique information for authenticationthe above While configuring the authentication information file using the authentication common information,With the above information input means Enter the unique information for communicationthe above A communication information file is configured using the communication common information.
[0013]
The communication establishment program according to the present invention uses the input information when reading and inputting at least the unique information for each user out of the information necessary for the authentication process with the authentication server from the recording medium owned by the user, An information file that configures an authentication information file necessary for authentication processing and a communication information file used for communication with the authentication server;
Communication with the authentication server by referring to the communication information file, authentication processing with the authentication server with reference to the authentication information file, and communication with the authentication server Communication processing program to establishAuthentication common information and communication common information used in common for different unique information stored in recording media held by different users are stored in a recording medium readable by the information file configuration program. The common information for authentication is information necessary for authentication processing including identification information for distinguishing the authentication server, and the common information for communication is used to enable communication with the authentication server. The information file configuration program includes a password for determining the validity of communication use, authentication unique information used for authentication processing with the authentication server, and communication with the authentication server. When the communication-specific information used for processing is read from the recording medium and input, and the validity of communication is determined from the input password, The authentication unique information and the common authentication information stored in the common information storage means constitute an authentication information file, and the communication unique information and the common information storage input by the information input means A communication information file is configured using the communication common information stored in the means Is. The communication system according to the present invention has an authentication server that performs authentication processing between a plurality of communication terminals and establishes communication between the application server and the communication terminal according to the result of the authentication processing, and the user has Of the information necessary for the authentication process with the authentication server from the recording medium, at least unique information for each user is read out and input, and using the input information, an authentication information file required for the authentication process and the authentication server Configure a communication information file to be used for communication, communicate with the authentication server with reference to the communication information file, and authenticate with the authentication server with reference to the authentication information file A communication terminal for processingThe communication terminal further includes common information storage means for storing authentication common information and communication common information used in common for different unique information stored in recording media owned by different users, Common information for authentication is information necessary for authentication processing including identification information for distinguishing the authentication server, and the common information for communication is information used to enable communication with the authentication server, The above information input means is a password for determining the validity of communication use, unique information for authentication used when performing authentication processing with the authentication server, and used when performing communication processing with the authentication server. Specific information for communication to be read from the recording medium and input, and the information file configuration means determines the validity of communication use from the password input by the information input means. In this case, an authentication information file is configured using the authentication specific information input by the information input means and the authentication common information stored in the common information storage means, and input by the information input means. A communication information file is formed using the communication specific information and the communication common information stored in the common information storage means. Is.
[0014]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0015]
The present invention is applied to a communication system configured as shown in FIG. 1, for example.
[0016]
[Configuration of communication system]
In this communication system, for example, acommunication terminal 1, anauthentication server 2, and anapplication server 3 configured by a personal computer are connected via a communication line. In this communication system, a VPN path 4 compliant with mobile IP and IPSec is established between thecommunication terminal 1 and theauthentication server 2, and application data is transferred between thecommunication terminal 1 and theapplication server 3 via theauthentication server 2. To transmit.
[0017]
Between thecommunication terminal 1 and theapplication server 3, a router having an external agent function (not shown) and a router having a home agent function are arranged. These routers manage the C / OIP address that is the destination IP address of thecommunication terminal 1 and the home IP address of thecommunication terminal 1, and relay application data between thecommunication terminal 1 and theapplication server 3. . Thereby, even when thecommunication terminal 1 moves, communication with theapplication server 3 connected to the home network is realized.
[0018]
Thecommunication terminal 1 includes an IC card reader 21 having an IC card attaching / detaching mechanism into which an IC (Integrated Circuit)card 10 which is a portable recording medium held by a user is inserted. In this example, the case where theIC card 10 is used as a portable recording medium will be described. However, the present invention is not limited to this. For example, a CD-R (Compact Disc-Recordable), an FD (Floppy Disk), and a PDA having a recording function. (Personal Digital Assistant) may be connected.
[0019]
ThisIC card 10 has a built-in storage mechanism constituted by an IC. TheIC card 10 stores at least OS logon information, an authentication client logon password, network information, and authentication information for logging on to the OS (Operation System) of thecommunication terminal 1. In this example, the unique network information stored in theIC card 10 is home IP address information or the like. Further, the authentication information stored in theIC card 10 is an authenticator used when performing an authentication process between thecommunication terminal 1 and theauthentication server 2.
[0020]
The IC card reader 21 reads the contents when theIC card 10 is mounted by the user. The IC card reader 21 outputs OS logon information to the logon ICcard reading unit 22. This OS logon information is read from the IC card reader 21 by the logon ICcard reading unit 22 and sent to thelogon unit 23. When the OS logon information is sent, thelogon unit 23 prompts the user to input the OS password using a display unit (not shown) and the like, and starts the OS according to the input password. Thereby, the ICcard monitoring unit 24 is activated by the OS.
[0021]
At this time, in thecommunication terminal 1, when the logon to the OS is completed and the OS is activated, the ICcard monitoring unit 24 is activated by activating an IC card monitoring program stored in a recording medium (not shown).
[0022]
The ICcard monitoring unit 24 includes an ICcard reading unit 31, an informationfile configuration unit 32, and anactivation unit 33 as its functions. The authentication client logon password information, home IP address information, and authentication information read and input by the IC card reader 21 are sent to the ICcard monitoring unit 24. When these pieces of information are sent, the ICcard reading unit 31 reads the communication common information and the authentication common information stored in the network commoninformation storage unit 25 in advance, together with the read information, the authentication client logon password information, The home IP address information and authentication information are sent to the informationfile configuration unit 32.
[0023]
The common information for communication and the common information for authentication are information used in common for different unique information stored in theIC card 10 held by different users. The communication common information and the authentication common information are preset information. For example, authentication server identification information for distinguishing theauthentication server 2, parameters related to packet processing, parameters related to mobile IP, such as ISAKMP (internet security association key management) and parameters relating to cryptographic communication protocols such as IPSec. Such common information is generated in advance by user input.
[0024]
The informationfile configuration unit 32 reconfigures thenetwork information file 41 necessary for communication between thecommunication terminal 1, theauthentication server 2, and theapplication server 3 using information from the ICcard reading unit 31 and the network commoninformation storage unit 25. At the same time, theauthentication information file 42 necessary for the authentication process with theauthentication server 2 is reconfigured.
[0025]
Thenetwork information file 41 and theauthentication information file 42 are sent to the informationfile management unit 26 and are held and managed by the informationfile management unit 26. The path information of thenetwork information file 41 and theauthentication information file 42 is created by the informationfile configuration unit 32 and sent to the temporary storage unit 27.
[0026]
Further, the informationfile configuration unit 32 performs a process of sending the authentication client logon password sent via the ICcard reading unit 31 to the temporary storage unit 27. When the reconfiguration of thenetwork information file 41 and theauthentication information file 42 is completed in the informationfile configuration unit 32 and the authentication client logon password and the path information are stored in the temporary storage unit 27, theactivation unit 33 performs the authentication client 28. Start up. At this time, theactivation unit 33 causes the OS to activate the authentication client 28 by requesting the OS to activate the authentication client 28.
[0027]
The authentication client 28 includes a startupinformation acquisition unit 51, an authentication / network information acquisition unit 52, anauthentication processing unit 53, a keyexchange processing unit 54, and acommunication processing unit 55 as functions thereof. The authentication client 28 is configured with a function realized by a communication establishment program that establishes communication between thecommunication terminal 1, theauthentication server 2, and theapplication server 3 by performing an authentication process.
[0028]
In response to the activation request from theactivation unit 33, the activationinformation acquisition unit 51 reads the authentication client logon password stored in the temporary storage unit 27, and determines the validity of the read authentication client logon password, thereby using communication. Determine the legitimacy of When it is determined that the authentication client logon password is valid, the activationinformation acquisition unit 51 reads the path information from the temporary storage unit 27 and sends it to the authentication / network information acquisition unit 52 to execute the subsequent processing.
[0029]
In addition, the activationinformation acquisition unit 51 detects that the authentication client logon password and the pass information are sent directly from the ICcard monitoring unit 24 as well as the case where the authentication client 28 is activated in response to the activation request by theactivation unit 33. Then, the authentication client 28 may be activated by reading the authentication client logon password.
[0030]
On the other hand, when theinput device 29 is manually operated and the authentication client logon password is input, the activationinformation acquisition unit 51 determines the validity in the same manner, and determines the default path information when it is determined to be valid. Is sent to the authentication / network information acquisition unit 52. In this case, the ICcard monitoring unit 24 due to the insertion of theIC card 10 does not start, and thenetwork information file 41 and theauthentication information file 42 held in the informationfile management unit 26 are used without reconfiguration. The subsequent processing is executed.
[0031]
When the path information is sent, the authentication / network information acquisition unit 52 accesses the informationfile management unit 26 based on the path information, reads thenetwork information file 41 and theauthentication information file 42, and performs theauthentication processing unit 53 and the key exchange process. To thecommunication unit 55 and thecommunication processing unit 55.
[0032]
Theauthentication processing unit 53 realizes a mobile IP environment between thecommunication terminal 1 and theauthentication server 2 by performing processing based on mobile IP conforming to RFC (Request For Comments) 2002 to RFC2005. At this time, theauthentication processing unit 53 transmits a registration request packet to theauthentication processing unit 61 of theauthentication server 2 using the authenticator and the home IP address stored in theIC card 10 as the unique information. By receiving the registration response packet from theauthentication server 2, the authentication processing with theauthentication processing unit 61 of theauthentication server 2 is performed.
[0033]
As a result of such authentication processing, when communication via theauthentication server 2 is permitted by theauthentication processing unit 61, the keyexchange processing unit 54 performs key exchange processing with the keyexchange processing unit 62 of theauthentication server 2. To do. At this time, the keyexchange processing unit 54 performs processing compliant with RFC2401 to RFC2410, etc., and acquires an encryption key for encrypting and decrypting data. As a result of such a key exchange process, the VPN path 4 is established between thecommunication terminal 1 and theauthentication server 2 by successfully acquiring the encryption key and the decryption key.
[0034]
Thecommunication processing unit 55 performs packet communication with theauthentication server 2 during the above-described authentication processing and key exchange processing, and transmission of application data with theapplication server 3.
[0035]
When the application data created by theapplication processing unit 30 is transmitted to theapplication server 3, the application data created by theapplication processing unit 30 is stored in thedata area 72 by the OS as shown in FIG. The IPheader information area 71 is added to the head of thedata area 72 to create an IP packet. At this time, the OS stores the server IP address, which is the IP address of theapplication server 3, in thedestination address area 82 and further stores the home IP address in thesource address area 81. Next, thecommunication processing unit 55 encrypts the IP packet sent from the OS using the encryption key acquired by the key exchange process, and creates encrypted data.
[0036]
Next, thecommunication processing unit 55 stores the encrypted data in thedata area 74 and adds anIPSec header area 73 to the head of the encrypted data to create an IPSec packet. At this time, thecommunication processing unit 55 acquires the server IP address, which is the IP address of theauthentication server 2, from theauthentication information file 42 and stores it in thedestination address area 84, and further stores the home IP address in thesource address area 83. .
[0037]
Next, thecommunication processing unit 55 stores the IPSec packet in thedata area 76 and encapsulates the IP packet by adding anIPinIP header area 75 to the head thereof to create an IPinIP packet. At this time, thecommunication processing unit 55 stores the server IP address, which is the IP address of theauthentication server 2, in thedestination address area 86, and further stores the C / OIP address (case of IP address) by the manual input or the like in thesource address area 85. To store.
[0038]
In the communication system, thecommunication processing unit 55 creates an IPinIP packet in this way, and transmits application data to and from theapplication server 3 via the VPN path 4. In contrast, thecommunication processing unit 63 of theauthentication server 2 uses the C / OIP address stored in thesource address area 85 and the home IP address stored in thesource address area 83 of thesource address area 83 to communicate with thecommunication terminal 1. It is determined that the IPinIP packet has been transmitted, the encapsulation is released, the encrypted data is decrypted, the IP packet is restored, and transmitted to theapplication server 3.
[0039]
On the other hand, when theauthentication server 2 receives an IP packet in which thedestination address area 82 is the home IP address of thecommunication terminal 1 and the transmissionsource address area 81 is the IP address of theapplication server 3, theauthentication server 2 first transmits the transmission source. The IP address of theauthentication server 2 is stored in theaddress area 83, the home IP address of thecommunication terminal 1 is stored in thedestination address area 84, and the application data in thedata area 72 is encrypted to create an IPSec packet. Next, thecommunication processing unit 63 creates an IPinIP packet in which the IP address of theauthentication server 2 is stored in thesource address area 85 and the C / OIP address of thecommunication terminal 1 is stored in thedestination address area 86 and is transmitted to thecommunication terminal 1. .
[0040]
In thecommunication terminal 1 described above, user-specific unique information that is a part of the information constituting thenetwork information file 41 and theauthentication information file 42 is stored in theIC card 10 and stored in theIC card 10. In the above description, thenetwork information file 41 and theauthentication information file 42 are reconfigured using the unique information and the common information stored in the network commoninformation storage unit 25. However, the present invention is not limited to this. May be stored in theIC card 10. In such a case, thecommunication terminal 1 reconstructs thenetwork information file 41 and theauthentication information file 42 using only the information read from theIC card 10.
[0041]
According to such acommunication terminal 1, since all information for reconfiguring thenetwork information file 41 and theauthentication information file 42 is stored in theIC card 10, it is compared with the case where only the unique information is recorded in theIC card 10. Security level can be improved.
[0042]
[Communication establishment process by communication terminal 1]
Next, communication establishment processing that is performed when communication is started by thecommunication terminal 1 in the communication system described above will be described with reference to the flowchart of FIG. In the following description, a case where only unique information is stored in theIC card 10 and common information is stored in the network commoninformation storage unit 25 will be described.
[0043]
Thecommunication terminal 1 starts processing from step S1 onward in response to the insertion of theIC card 10 into the IC card reader 21, and proceeds to step S2 when OS logon information is sent to thelogon unit 23.
[0044]
In step S2, the password entry screen prompting the OS password input is presented to the user by thelogon unit 23, and the process proceeds to step S3. If no valid password is entered, the screen display of step S2 is maintained. If a valid password is entered, the process proceeds to step S4.
[0045]
In step S4, after recognizing that a valid password has been input by thelogon unit 23, the OS is started and logged in, the process proceeds to step S5, and an IC card monitoring program (application) is started, and the process proceeds to step S6. Proceed with the process.
[0046]
In step S <b> 6, the ICcard monitoring unit 24 determines whether or not thecommunication terminal 1 has been normally terminated when used last time. That is, the ICcard monitoring unit 24 determines whether or not the authentication client logon password and pass information read from theIC card 10 and stored in the temporary storage unit 27 at the end of the previous use of thecommunication terminal 1 have been deleted. If the authentication client logon password and the path information have not been deleted normally and have ended abnormally, the process proceeds to step S7. If the authentication client logon password and pass information have been deleted normally, the process proceeds to step S8. As a result, the unique information in the previously insertedIC card 10 is made unusable for the current use.
[0047]
In step S7, the authentication client logon password and the pass information that are still stored in temporary storage unit 27 are deleted, and the process proceeds to step S8. Thereby, the ICcard monitoring unit 24 excludes the third party's accessibility to the unique information stored in theIC card 10 used last time.
[0048]
In step S8, the user-specific authentication client logon password, home IP address information, and authentication information stored in theIC card 10 from the IC card reader 21 are acquired by the ICcard reading unit 31 and sent to the informationfile configuration unit 32. The process proceeds to step S9.
[0049]
In step S9, the informationfile configuration unit 32 reconfigures thenetwork information file 41 and theauthentication information file 42 using the unique information from the ICcard reading unit 31 and the common information stored in the network commoninformation storage unit 25. Then, in step S10, the authentication client logon password and the path information are stored in the temporary storage unit 27 in response to the reconfiguration of thenetwork information file 41 and theauthentication information file 42. The process proceeds to S11.
[0050]
In step S11, theactivation unit 33 activates the authentication client 28 and proceeds to step S12. The activationinformation acquisition unit 51 determines whether the current activation is manual activation or the ICcard monitoring unit 24 is activated. Determine whether to start automatically. At this time, the activationinformation acquisition unit 51 determines whether or not an activation request is generated by theactivation unit 33 when determining automatic activation, or the temporary storage unit 27 stores the authentication client activation logon password and the path information in the temporary storage unit 27. It is determined whether or not it is stored. If the activationinformation acquisition unit 51 determines that the activation is automatic, the process proceeds to step S13, the authentication / network information acquisition unit 52 acquires the authentication client logon password and path information from the temporary storage unit 27, and step S17. Proceed with the process.
[0051]
On the other hand, if the activationinformation acquisition unit 51 determines that the activation is manual, the process proceeds to step S14, the activationinformation acquisition unit 51 presents the password input screen to the user, and the process proceeds to step S15. If the authentication client logon password has been entered, the process proceeds to step S16. In step S16, path information for acquiring the preset defaultnetwork information file 41 andauthentication information file 42 is acquired by the authentication / network information acquisition unit 52, and the process proceeds to step S17.
[0052]
In step S17, the authentication / network information acquisition unit 52 acquires thenetwork information file 41 and the authentication information file 42 from the informationfile management unit 26 based on the path information acquired in step S13 or step S16, and the network information and authentication. The information is sent to theauthentication processing unit 53, the keyexchange processing unit 54, and thecommunication processing unit 55, and the process proceeds to step S18.
[0053]
In step S18, theauthentication processing unit 53 performs authentication processing with theauthentication server 2 using the authentication information. In step S19, theauthentication processing unit 53 determines whether theauthentication server 2 is authenticated as a result of the authentication processing. If not authenticated, the process proceeds to step S20, an error process is performed, and the process is terminated. On the other hand, if authenticated by theauthentication server 2, the process proceeds to step S21.
[0054]
In step S21, the keyexchange processing unit 54 performs key exchange processing with theauthentication server 2 and proceeds to step S22. When it is determined that the key exchange has not been successful, the process proceeds to step S23 to perform error processing. The process ends. On the other hand, if the key exchange process with theauthentication server 2 is successful, the process proceeds to step S24.
[0055]
In step S24, communication with theapplication server 3 that has established the VPN path 4 is established by the authentication process in step S18 and the key exchange process in step S21. In step S25, thecommunication processing unit 55 performs communication as shown in FIG. Encrypted communication by IPinIP packet is started.
[0056]
When the OS issues a logoff command for terminating the encrypted communication via the VPN path 4, the process of step S31 in FIG. 4 is started, and the informationfile configuration unit 32 of the ICcard monitoring unit 24 performs network processing. The informationfile management unit 26 is controlled to delete theinformation file 41 and theauthentication information file 42, and the process proceeds to step S32.
[0057]
In step S32, the informationfile configuration unit 32 deletes the authentication client logon password and path information stored in the temporary storage unit 27, proceeds to step S33, logs off from the OS, and ends the process.
[0058]
[Other communication establishment process by communication terminal 1]
Next, another communication establishment process performed when communication is started by thecommunication terminal 1 in the communication system described above will be described with reference to the flowchart of FIG. The same processes as those described above are denoted by the same reference numerals, and detailed description thereof is omitted.
[0059]
In this communication establishment process, after the ICcard monitoring unit 24 is activated, the processes in steps S8 to S11 are performed without performing the processes in steps S6 and S7, and step S41 subsequent to step S17 after being automatically activated. The authentication / network information acquisition unit 52 deletes thenetwork information file 41 and theauthentication information file 42, and the process proceeds to step S42.
[0060]
In step S42, the authentication client logon password and the path information stored in step S10 are deleted by temporary storage unit 27, and the process proceeds to step S18.
[0061]
[Effect of the embodiment]
As described above in detail, according to the communication system according to the present embodiment, when the unique information for each user is read from theIC card 10 and input, thenetwork information file 41 and theauthentication information file 42 are reconfigured. Since communication between thecommunication terminal 1 and theauthentication server 2 is established, the authentication client 28 may be activated only when theIC card 10 is inserted without activation of the authentication client 28 due to password leakage. In addition, the logon process when thecommunication terminal 1 is activated can be made safe, and a highly reliable system for security can be constructed.
[0062]
Further, according to this communication system, common information is stored in the network commoninformation storage unit 25 in advance, and when theIC card 10 is inserted, thenetwork information file 41 and the authentication information are used using the common information and the unique information. Since thefile 42 is reconfigured, the amount of information recorded on theIC card 10 can be reduced and the memory consumption of theIC card 10 can be suppressed.
[0063]
Further, according to this communication system, when theIC card 10 is inserted, the ICcard monitoring unit 24 is activated to establish communication with theauthentication server 2 using the unique information of theIC card 10, and theinput device 29 operates. Since thecommunication server 1 establishes communication with theauthentication server 2 using the unique information in thecommunication terminal 1, the default operation can be performed even when theIC card 10 is not inserted, and the operation flexibility is ensured. can do.
[0064]
Furthermore, according to this communication system, after the authentication client logon password is recorded on theIC card 10 and thenetwork information file 41 and theauthentication information file 42 are reconstructed, the path information and the authentication client logon password are temporarily stored. Since the authentication processing is performed by storing the data in the memory 27, the IC card monitoring program and the authentication processing program can be easily separated. Therefore, according to this communication system, the program change of the existing authentication client 28 can be reduced, and the above-described processing by the ICcard monitoring unit 24 can be added.
[0065]
Furthermore, according to this communication system, the authentication client 28 detects that the authentication client logon password and the pass information are directly sent from theactivation unit 33 and performs the authentication process, so that it is not stored in the temporary storage unit 27. , Security for unique information can be further improved.
[0066]
Furthermore, according to this communication system, the authentication client logon password and the pass information stored in the temporary storage unit 27 are deleted by the authentication client 28 or the ICcard monitoring unit 24, so that thenetwork information file 41 and the authentication information are deleted after the communication is completed. It is possible to prevent leakage of the unique information stored in theIC card 10 by storing theinformation file 42 as it is.
[0067]
[Other Embodiments of Communication System]
Next, another embodiment of the communication system will be described. Note that parts similar to those in the above-described embodiment are denoted by the same reference numerals, and detailed description thereof is omitted.
[0068]
As shown in FIG. 6, in the communication system described above, when authentication server identification information for identifying theauthentication server 2 connected to thecommunication terminal 1 is stored in theIC card 10, thecommunication terminal 1 uses the authentication server as authentication information. The identification information is read and theauthentication information file 42 is reconstructed. Thereby, according to this communication system, the connection with theapplication server 3 can be established through theauthentication server 2 designated by the user regardless of the setting of thecommunication terminal 1. Further, according to this communication system, the connection destination of thecommunication terminal 1 can be different for eachIC card 10, and the connection destination of thecommunication terminal 1 can be limited by inserting theIC card 10.
[0069]
On the other hand, in other communication systems, as shown in FIG. 7, there areauthentication servers 2A, 2B, and 2C that can establish communication with thecommunication terminal 1, and different applications are provided in theauthentication servers 2A, 2B, and 2C, respectively. When theservers 3A, 3B, and 3C are connected, a plurality of authentication server A identification information, authentication server B identification information, and authentication server C identification information are stored in theIC card 10. Here, each of theapplication servers 3A, 3B, and 3C corresponds to a plurality of applications used in theapplication processing unit 30 of thecommunication terminal 1, and for example, uses thereof are different.
[0070]
When thisIC card 10 is inserted, thecommunication terminal 1 is connected to a plurality ofauthentication servers 2 so that a plurality of authentication server A identification information, authentication server B identification information, and authentication server C identification are provided. The informationfile configuration unit 32 reconstructs theauthentication information file 42 including information.
[0071]
When performing the authentication process, theauthentication processing unit 53 performs an authentication server selection input display for prompting selection of theauthentication server 2 to be connected, and selects theauthentication server 2 that performs the authentication process in accordance with a command from theinput device 29. Theauthentication processing unit 53 is connected to theapplication server 3 by prompting selection of theapplication server 3 that requests establishment of communication or an application to be used after communication is established when prompting selection of theauthentication server 2 to be connected. Theauthentication server 2 may be selected.
[0072]
According to such a communication system, since a plurality of pieces of authentication server identification information are stored in asingle IC card 10, for example, only theapplication server 3 that the user desires to connect is selected from the plurality ofauthentication servers 2. Can be specified, and convenience for the user can be improved.
[0073]
As shown in FIG. 8, acommunication system 1A, acommunication terminal 1B, and acommunication terminal 1C are connected to asingle authentication server 2, and theauthentication server 2 is further connected to a plurality of application servers 3A. When theapplication server 3B and theapplication server 3C are connected, theauthentication server 2 controls access to eachcommunication terminal 1.
[0074]
Thisauthentication server 2 holds a table associating authentication client identification information for identifying the authentication client 28 corresponding to eachcommunication terminal 1 as shown in FIG. 9 and an access level indicating the level of access permission. . As shown in FIG. 10, this access permission level indicates access permission / denial for each of the application server 3A,application server 3B, andapplication server 3C corresponding to each access level (1 to 3). When theauthentication processing unit 61 of theauthentication server 2 receives a registration request from theauthentication processing unit 53 of thecommunication terminal 1 and information indicating the connectiondestination application server 3, theauthentication processing unit 61 refers to the authentication client identification information from the table of FIG. The accelerator level is recognized, and the access permission / denial for the access level is recognized from the table of FIG.
[0075]
If theauthentication processing unit 61 of theauthentication server 2 determines that access is permitted, the authentication process proceeds directly. If it is determined that access is not permitted, theauthentication processing unit 61 notifies thecommunication terminal 1 to that effect.
[0076]
According to such a communication system, access permission / non-permission for eachapplication server 3 is determined for each authentication client 28 of eachcommunication terminal 1, so that access control to eachapplication server 3 of thecommunication terminal 1 is performed. Can do.
[0077]
The above-described embodiment is an example of the present invention. For this reason, the present invention is not limited to the above-described embodiment, and various modifications can be made depending on the design and the like as long as the technical idea according to the present invention is not deviated from this embodiment. Of course, it is possible to change.
[0080]
【The invention's effect】
According to the communication terminal according toclaim 1, when a recording medium is inserted by a user, the authentication information file and the communication information file are configured by reading out the unique information for each user and communicating with the authentication server. Therefore, authentication processing is not performed due to leakage of passwords, etc., and authentication processing can be performed only when a recording medium is inserted. , It is possible to build a highly reliable system for security. According to the communication terminal of the first aspect, the authentication common information and the communication common information are stored in advance, and the stored common information, the authentication unique information and the communication unique information input from the recording medium are used. Since the authentication information file and the communication information file are configured, the amount of information recorded on the recording medium can be reduced, and the memory consumption of the recording medium can be suppressed.
[0081]
According to the communication terminal of the second aspect, the key exchange process is performed with the authentication server by the communication processing means, and the encryption process is performed according to the result of the key exchange process. It is possible to perform the authentication process and the key exchange process only when it is inserted, making it possible to build a highly reliable system for security while making the logon process at startup safe.
[0082]
According to the communication terminal of the third aspect, when the home address is read from the recording medium and input as the unique information, the communication information file is configured using the home address. Communication processing using an address can be performed, and a logon process at startup can be made safe, and a highly reliable system for security can be constructed.
[0083]
According to the communication terminal of the fourth aspect, when the password, the authentication unique information, the communication unique information, the authentication common information, and the communication common information are read out and input from the recording medium, the information file constituting unit performs authentication. Since the information file and the communication information file are generated, the security level can be improved as compared with the case where only the unique information is recorded on the recording medium.
[0084]
According to the communication terminal of the fifth aspect, the communication processing means reads the authentication information file and the communication information file held in the file management means and performs the authentication processing in response to an instruction from the information file configuration means. Therefore, even when a recording medium is not inserted, the default operation can be performed, and operational flexibility can be ensured.
[0085]
According to the communication terminal according toclaim 6, when the password for determining the validity of communication use is input as the specific information, the authentication information file and the communication information file are configured by the information file configuration unit. Since the password, the authentication information file, and the path information about the communication information file are stored in the temporary storage means and the authentication processing by the communication processing means is started, the authentication processing is performed with the program constituting the information file. Separation from the program can be facilitated, and the design change of the program that performs the existing authentication process can be reduced.
[0086]
According to the communication terminal according toclaim 7, since the password and the path information stored in the temporary storage means are deleted by the communication processing means after the authentication process is completed, the communication information file and It is possible to prevent leakage of the unique information stored in the portable recording medium by storing the authentication information file as it is.
[0087]
According to the communication terminal ofclaim 8, since the authentication information file and the communication information file stored in the temporary storage unit are deleted by the information file configuration unit after the authentication processing of the communication processing unit is completed. It is possible to prevent the communication information file and the authentication information file from being stored as they are after the communication is finished and leaking the unique information stored in the portable recording medium.
[0088]
According to the communication terminal according toclaim 9, when the password for determining the validity of communication use is input as the specific information, the path information about the password, the authentication information file, and the communication information file is configured as an information file. Since the authentication process is started by sending from the means to the communication processing means, it is not necessary to temporarily store the password and path information, and security can be improved.
[0089]
According to the communication terminal of the tenth aspect, when the authentication server identification information is read from the recording medium and input, the connection is restricted to the authentication server specified by the authentication server identification information and the authentication process is performed to establish communication. Therefore, the connection with the application server can be established through the authentication server specified by the user regardless of the existing setting, and the connection destination of the communication terminal can be different for each recording medium. The connection destination of the communication terminal can be restricted by inserting the recording medium.
According to the communication terminal according toclaim 11, when a plurality of authentication server identification information for identifying each authentication server corresponding to each application server is read from the recording medium and inputted, each authentication specified by each authentication server identification information Since authentication processing is established with the server to establish communication with the application server selected by the user, it is possible to connect from multiple authentication servers simply by letting the user select the application server that he wants to connect to. The destination can be designated, and the convenience for the user can be improved.
[0104]
According to the communication establishment program according to claim 12, when at least specific information for each user is read out and input from information necessary for authentication processing with the authentication server from the recording medium held by the user, the input information is To communicate with the authentication server by referring to the communication information file and the information file configuration program constituting the communication information file used for communication with the authentication server and the authentication information file necessary for the authentication process. The authentication processing file is configured with a communication processing program that establishes communication with the authentication server by referring to the authentication information file and performing authentication processing with the authentication server. The authentication process can be performed only when a recording medium is inserted without making it happen, making the logon process at startup safe. Both can be constructed reliable system for security. According to the communication establishment program according to claim 12, the authentication common information and the communication common information are stored in advance, and the stored common information, the authentication unique information and the communication unique information input from the recording medium are stored. Since the authentication information file and the communication information file are used, the amount of information recorded on the recording medium can be reduced, and the memory consumption of the recording medium can be suppressed.
According to the communication system according toclaim 13, an authentication server that performs authentication processing between a plurality of communication terminals and establishes communication between the application server and the communication terminal according to the result of the authentication processing, and a user Among the information necessary for authentication processing with the authentication server from the recording medium possessed by the user, at least unique information for each user is read out and input, and using the input information, an authentication information file and authentication server required for authentication processing Configure a communication information file to be used for communication with the server, communicate with the authentication server by referring to the communication information file, and perform authentication processing with the authentication server by referring to the authentication information file Because it consists of a communication terminal, authentication processing is not performed at the communication terminal due to leakage of passwords, etc., and authentication processing is performed only when a recording medium is inserted. It can, together with the safe logon process at startup, it is possible to increase the reliability of security. According to the communication system of the thirteenth aspect, the authentication common information and the communication common information are stored in advance, and the stored common information, the authentication specific information and the communication specific information input from the recording medium are used. Since the authentication information file and the communication information file are configured, the amount of information recorded on the recording medium can be reduced, and the memory consumption of the recording medium can be suppressed.
[0106]
According to the communication system of the fourteenth aspect, a relationship between the access permission level and information necessary for the authentication process is set in advance in the authentication server, and the access permission level is referred to the application server of each communication terminal. Therefore, access permission / non-permission for each application server is determined for each communication terminal, so that access control of each communication terminal to each application server can be performed.
According to the communication system of the fifteenth aspect, the home address is stored as the unique information for each user in the recording medium, and the authentication server presets the relationship between the access permission level and the home address, and sets the home address as the home address. Accordingly, since access to the application server of the communication terminal is restricted, it is possible to control access to each application server of the communication terminal.
[Brief description of the drawings]
FIG. 1 is a functional block diagram showing a configuration of a communication system and a communication terminal to which the present invention is applied.
FIG. 2 is a diagram for explaining packet creation processing by a communication processing unit of a communication terminal and a communication processing unit of an authentication server.
FIG. 3 is a flowchart showing a processing procedure from the insertion of an IC card to the start of encrypted communication in communication establishment processing by a communication terminal to which the present invention is applied.
FIG. 4 is a flowchart showing a processing procedure for ending encrypted communication in communication establishment processing by a communication terminal to which the present invention is applied.
FIG. 5 is a flowchart showing another processing procedure from the insertion of an IC card to the start of encrypted communication in communication establishment processing by a communication terminal to which the present invention is applied.
FIG. 6 is a block diagram for explaining another embodiment of a communication system to which the present invention is applied.
FIG. 7 is a block diagram for explaining still another embodiment of a communication system to which the present invention is applied.
FIG. 8 is a block diagram for explaining still another embodiment of a communication system to which the present invention is applied.
FIG. 9 is a diagram for explaining a table in which authentication client identification information held in an authentication server is associated with an access level.
FIG. 10 is a diagram for describing a table indicating each access level held in the authentication server and access permission / denial for each application server;
FIG. 11 is a block diagram showing a conventional communication system.
[Explanation of symbols]
1 Communication terminal
2 Authentication server
3 Application server
4 VPN path
10 IC card
21 IC card reader
22 IC card reader for logon
23 Logon Department
24 IC card monitoring unit
25 Network common information storage
26 Information File Management Department
27 Temporary storage
28 Authentication client
29 Input device
30 Application processing section
31 IC card reader
32 Information file component
33 Starter
41 Network information file
42 Authentication information file
51 Startup information acquisition unit
52 Authentication / Network Information Acquisition Department
53 Authentication processing part
54 Key exchange processing part
55 Communication processor
61 Authentication processing part
62 Key exchange processing part
63 Communication processing unit
71 IP header information area
72, 74, 76 Data area
73 IPSec header area
75 IPinIP header area
81, 83, 85 Source address area
82, 84, 86 Destination address area

Claims (15)

Translated fromJapanese

ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力する情報入力手段と、
上記情報入力手段にて入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成する情報ファイル構成手段と、
上記情報ファイル構成手段にて構成された通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行って、上記認証サーバとの間の通信を確立する通信処理手段と、
異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を記憶する共通情報記憶手段を更に備え、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、
上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、
上記情報ファイル構成手段は、上記情報入力手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報入力手段にて入力した認証用固有情報と上記共通情報記憶手段に記憶された認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記共通情報記憶手段に記憶された通信用共通情報とを用いて通信用情報ファイルを構成することを特徴とする通信端末。Information input means for reading and inputting at least user-specific information from information necessary for authentication processing with the authentication server from the recording medium held by the user;
Using the information input by the information input means, an information file constituting means for constituting an information file for authentication necessary for authentication processing and a communication information file used for communication with the authentication server;
Communicating with the authentication server with reference to the communication information file configured by the information file configuration means, and performing authentication processing with the authentication server with reference to the authentication information file a communication processing means for establishing a communication between the authenticationserver,
Common information storage means for storing common authentication information and common communication information used in common with respect to different unique information stored in recording media held by different users, and the common authentication information, Information necessary for authentication processing including identification information for distinguishing the authentication server, the communication common information is information used to enable communication with the authentication server,
The above information input means is a password for determining the validity of communication use, unique information for authentication used when performing authentication processing with the authentication server, and used when performing communication processing with the authentication server. Read and input the unique information for communication from the recording medium,
When the validity of communication use is determined from the password input by the information input unit, the information file configuration unit is stored in the authentication specific information input by the information input unit and the common information storage unit. The authentication information file is configured using the authentication common information and the communication common information input by the information input means and the communication common information stored in the common information storage means are used for communication. A communication terminalcomprising an information file . 上記通信処理手段は、認証処理結果に基づいて上記認証サーバとの間で鍵交換処理をし、鍵交換処理の結果に従って暗号化処理をする鍵交換手段を更に備えることを特徴とする請求項１に記載の通信端末。  2. The communication processing means further comprises key exchange means for performing a key exchange process with the authentication server based on an authentication process result and performing an encryption process according to the result of the key exchange process. The communication terminal described in 1. 上記情報入力手段は、上記固有情報としてホームアドレスを上記記録媒体から読み出して入力し、
上記情報ファイル構成手段は、上記情報入力手段にて入力したホームアドレスを用いて通信用情報ファイルを構成することを特徴とする請求項１に記載の通信端末。The information input means reads and inputs a home address as the specific information from the recording medium,
2. The communication terminal according to claim 1, wherein the information file configuring unit configures a communication information file using a home address input by the information input unit. 上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報、各通信端末にて共通した情報である認証用共通情報及び通信用共通情報を上記記録媒体から読み出して入力し、前記認証用共通情報及び前記通信用共通情報は異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される情報であり、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、
上記情報ファイル構成手段は、上記情報入力手段にて入力した情報から認証用情報ファイル及び通信用情報ファイルを生成することを特徴とする請求項１に記載の通信端末。The above information input means is a password for determining the validity of communication use, unique information for authentication used when performing authentication processing with the authentication server, and used when performing communication processing with the authentication server. Specific information for communication, common information for authentication and common information for communication that are common to each communication terminal are read from the recording medium and input,and the common information for authentication and the common information for communication are different by different users. It is information used in common for different unique information stored in the recording medium possessed, the authentication common information is information necessary for authentication processing including identification information for distinguishing the authentication server, The communication common information is information used to enable communication with the authentication server,
2. The communication terminal according to claim 1, wherein the information file configuration unit generates an authentication information file and a communication information file from the information input by the information input unit. 少なくとも上記情報ファイル構成手段に作成された認証用情報ファイル及び通信用情報ファイルを内部に保持して管理するファイル管理手段を更に備え、
上記通信処理手段は、上記情報ファイル構成手段からの指示に応じて、上記ファイル管理手段に保持された認証用情報ファイル及び通信用情報ファイルを読み出して認証処理を行うことを特徴とする請求項１に記載の通信端末。A file management means for holding and managing at least the authentication information file and the communication information file created in the information file configuration means;
2. The communication processing unit reads out an authentication information file and a communication information file held in the file management unit and performs an authentication process in response to an instruction from the information file configuration unit. The communication terminal described in 1. 上記情報入力手段は、通信利用の正当性を判定するためのパスワードを上記固有情報として入力し、
上記情報ファイル構成手段は、上記認証用情報ファイル及び通信用情報ファイルを構成したことに応じて、上記情報入力手段にて入力したパスワード、上記認証用情報ファイル及び通信用情報ファイルについてのパス情報を一時記憶手段に記憶し、
上記通信処理手段は、上記一時記憶手段にパスワード及びパス情報が入力された場合に当該パスワード及びパス情報を読み出して、通信端末内での認証処理を開始することを特徴とする請求項１に記載の通信端末。The information input means inputs a password for determining the validity of communication use as the specific information,
In response to the configuration of the authentication information file and the communication information file, the information file configuration unit obtains the password input by the information input unit, the path information about the authentication information file and the communication information file. Memorize it in temporary storage means,
The said communication processing means reads the said password and pass information, and startsthe authentication processin a communication terminal, when a password and pass information are input into the said temporary storage means, The authentication processin a communication terminal is started. Communication terminal. 上記通信処理手段は、通信端末内での認証処理の終了後に上記一時記憶手段に記憶されたパスワード及びパス情報を消去することを特徴とする請求項６に記載の通信端末。The communicationterminal according to claim6 , wherein the communication processing unit deletes the password and the pass information stored in the temporary storage unit after the endof the authentication process in the communication terminal. 上記情報ファイル構成手段は、上記通信処理手段の通信端末内での認証処理の終了後に上記一時記憶手段に記憶された認証用情報ファイル及び通信用情報ファイルを消去することを特徴とする請求項６に記載の通信端末。The information file arrangement unit, according to claim, characterized in that erasing the authentication information file and the communication information file stored in the temporary storage means after completion of the authentication processin the communication in the terminal of the communication processing means6 The communication terminal described in 1. 上記情報入力手段は、通信利用の正当性を判定するためのパスワードを上記固有情報として入力し、
上記情報ファイル構成手段は、上記認証用情報ファイル及び通信用情報ファイルを構成したことに応じて、上記情報入力手段にて入力したパスワード、上記認証用情報ファイル及び通信用情報ファイルについてのパス情報を、上記通信処理手段に送り、
上記通信処理手段は、上記情報ファイル構成手段からパスワード及びパス情報が入力されたことに応じて認証処理を開始することを特徴とする請求項１に記載の通信端末。The information input means inputs a password for determining the validity of communication use as the specific information,
In response to the configuration of the authentication information file and the communication information file, the information file configuration unit obtains the password input by the information input unit, the path information about the authentication information file and the communication information file. , Sent to the communication processing means,
The communication processing means, a communication terminal according to claim 1, characterized in that to start the authentication process in responseto the information file structure means orRapa Seward and path informationis input. 上記情報入力手段は、上記通信処理手段との間で認証処理をする認証サーバを識別する認証サーバ識別情報を上記記録媒体から読み出して入力し、
上記通信処理手段は、上記情報入力手段にて入力した認証サーバ識別情報により特定される認証サーバに接続して認証処理をして通信を確立することを特徴とする請求項１に記載の通信端末。The information input means reads out and inputs authentication server identification information for identifying an authentication server that performs authentication processing with the communication processing means,
2. The communication terminal according to claim 1, wherein the communication processing means establishes communication by connecting to an authentication server specified by the authentication server identification information input by the information input means and performing authentication processing. . 上記情報入力手段は、上記通信処理手段での認証処理によって通信を確立する各アプリケーションサーバに対応した各認証サーバを識別する認証サーバ識別情報を上記記録媒体から複数読み出して入力し、
上記通信処理手段は、上記情報入力手段にて入力した各認証サーバ識別情報により特定される各認証サーバとの間で認証処理をして、ユーザに選択されたアプリケーションサーバとの間の通信を確立することを特徴とする請求項１に記載の通信端末。The information input means reads and inputs a plurality of authentication server identification information for identifying each authentication server corresponding to each application server that establishes communication by authentication processing in the communication processing means,
The communication processing means establishes communication with the application server selected by the user by performing authentication processing with each authentication server specified by each authentication server identification information input by the information input means. The communication terminal according to claim 1, wherein:通信確立プログラムは、
コンピュータを、ユーザが保有する記録媒体から認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力する情報入力手段、少なくともユーザごとの固有情報を読み出して入力した場合に、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成するファイル構成手段、として機能させる情報ファイル構成プログラムと、
コンピュータを、上記通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行って、上記認証サーバとの間の通信を確立する通信処理手段として機能させる通信処理プログラムとを有し、
コンピュータが、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を、上記情報入力手段が読み出し可能な記録媒体に記憶しておき、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、
上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、
上記情報ファイル構成手段は、上記情報ファイル構成手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報ファイル構成手段にて入力した認証用固有情報と上記認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記通信用共通情報とを用いて通信用情報ファイルを構成すること
を特徴とする通信確立プログラム。The communication establishment program
Information input means for reading and inputting at least user-specific information out of information necessary for authentication processing with the authentication server from a recording medium owned bythe user, when at least user-specific information is read and inputAn information file configuration program thatfunctions as a file configuration unit that configures an authentication information file necessary for authentication processing and a communication information file used for communication with the authentication server, using the input information;
The computer communicates with the authentication server with reference to the communication information file, performs authentication processing with the authentication server with reference to the authentication information file, and communicates with the authentication server.A communication processing program thatfunctions as a communication processingmeans for establishing communication between
The computer stores authentication common information and communication common information used in common for different unique information stored in recording media held by different users in a recording medium readable by theinformation input means. The common information for authentication is information necessary for authentication processing including identification information for distinguishing the authentication server, and the common information for communication is used to enable communication with the authentication server. Information,
The above information input means is a password for determining the validity of communication use, unique information for authentication used when performing authentication processing with the authentication server, and used when performing communication processing with the authentication server. The communication specific information to be read from the recording medium and input,
It said information file configuration means, when the validity of the communication usage from the password inputat the information file configuration unit determines, andsaid information authentication unique information inputat the file structure means andthe authentication common information together constitute the authentication information file using a communication establishing program characterized by configuring the communication information file by using the entered unique information andthe communication common information communicationby said information input means. 複数の通信端末との間で認証処理をして、認証処理の結果に応じてアプリケーションサーバと通信端末との間の通信を確立する認証サーバと、
ユーザが保有する記録媒体から上記認証サーバとの認証処理に必要な情報のうち、少なくともユーザごとの固有情報を読み出して入力し、入力した情報を用いて、認証処理に必要な認証用情報ファイル及び上記認証サーバとの通信に使用する通信用情報ファイルを構成し、上記通信用情報ファイルを参照して上記認証サーバとの間で通信を行い、上記認証用情報ファイルを参照して上記認証サーバとの間で認証処理を行う通信端末とを備え、
上記通信端末は、異なるユーザが保有する記録媒体に記憶された異なる固有情報に対して共通して使用される認証用共通情報及び通信用共通情報を記憶する共通情報記憶手段を更に備え、前記認証用共通情報は、上記認証サーバを区別する識別情報を含む認証処理に必要な情報であり、前記通信用共通情報は、上記認証サーバとの通信を可能にするために使用する情報であり、
上記情報入力手段は、通信利用の正当性を判定するためのパスワード、認証サーバとの間にて認証処理をするに際して使用する認証用固有情報、及び認証サーバとの間で通信処理をするに際して使用する通信用固有情報を上記記録媒体から読み出して入力し、
上記情報ファイル構成手段は、上記情報入力手段にて入力したパスワードから通信利用の正当性が判定された場合に、上記情報入力手段にて入力した認証用固有情報と上記共通情報記憶手段に記憶された認証用共通情報とを用いて認証用情報ファイルを構成すると共に、上記情報入力手段にて入力した通信用固有情報と上記共通情報記憶手段に記憶された通信用共通情報とを用いて通信用情報ファイルを構成すること
を特徴とする通信システム。An authentication server that performs authentication processing between a plurality of communication terminals and establishes communication between the application server and the communication terminal according to the result of the authentication processing;
Among the information necessary for the authentication process with the authentication server from the recording medium possessed by the user, at least the unique information for each user is read out and input, and using the input information, an authentication information file required for the authentication process, and A communication information file used for communication with the authentication server is configured, communication is performed with the authentication server with reference to the communication information file, and with the authentication server with reference to the authentication information file. and a communication terminal that performs authentication processingwith,
The communication terminal further comprises common information storage means for storing authentication common information and communication common information used in common for different unique information stored in recording media held by different users, and the authentication Common information is information necessary for authentication processing including identification information for distinguishing the authentication server, and the communication common information is information used to enable communication with the authentication server,
The above information input means is a password for determining the validity of communication use, unique information for authentication used when performing authentication processing with the authentication server, and used when performing communication processing with the authentication server. Read and input the unique information for communication from the recording medium,
When the validity of communication use is determined from the password input by the information input unit, the information file configuration unit is stored in the authentication specific information input by the information input unit and the common information storage unit. The authentication information file is configured using the authentication common information and the communication common information input by the information input means and the communication common information stored in the common information storage means are used for communication. A communication system characterizedby comprising an information file . 上記認証サーバは、アプリケーションサーバとのアクセス許可の程度を示すアクセス許可レベルと、認証処理に必要な情報との関係を予め設定しておき、上記通信端末との認証処理にて上記記録媒体に記録された認証処理に必要な情報を取得して、上記アクセス許可レベルを参照して上記各通信端末の上記アプリケーションサーバへのアクセスを制限することを特徴とする請求項１３に記載の通信システム。The authentication server sets in advance a relationship between an access permission level indicating the degree of access permission with the application server and information necessary for authentication processing, and records the information in the recording medium during authentication processing with the communication terminal. 14. The communication system according to claim13 , wherein information necessary for the authentication processing is acquired and access to the application server of each communication terminal is restricted with reference to the access permission level. 上記記録媒体にはユーザ毎の固有情報としてホームアドレスが記憶され、
上記認証サーバは、上記アクセス許可レベルと上記ホームアドレスとの関係を予め設定しておくことを特徴とする請求項１３に記載の通信システム。The recording medium stores a home address as unique information for each user,
The communication system according to claim13 , wherein the authentication server presets a relationship between the access permission level and the home address.

Images