JP2003132028A - Access control system, access control server, electronic device, remote electronic device and access control method - Google Patents
Access control system, access control server, electronic device, remote electronic device and access control methodInfo
- Publication number
- JP2003132028A JP2003132028A JP2001329661A JP2001329661A JP2003132028A JP 2003132028 A JP2003132028 A JP 2003132028A JP 2001329661 A JP2001329661 A JP 2001329661A JP 2001329661 A JP2001329661 A JP 2001329661A JP 2003132028 A JP2003132028 A JP 2003132028A
- Authority
- JP
- Japan
- Prior art keywords
- key
- network
- authentication
- electronic device
- session key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims description 53
- 238000012545 processing Methods 0.000 claims description 80
- 230000006854 communication Effects 0.000 claims description 61
- 238000004891 communication Methods 0.000 claims description 55
- 238000007726 management method Methods 0.000 description 113
- 238000010586 diagram Methods 0.000 description 26
- 230000015654 memory Effects 0.000 description 18
- 230000006870 function Effects 0.000 description 16
- 238000004590 computer program Methods 0.000 description 13
- 230000008520 organization Effects 0.000 description 6
- 238000012795 verification Methods 0.000 description 6
- 238000012546 transfer Methods 0.000 description 5
- 238000001914 filtration Methods 0.000 description 4
- 230000005540 biological transmission Effects 0.000 description 3
- 239000002184 metal Substances 0.000 description 3
- 239000013307 optical fiber Substances 0.000 description 3
- 239000004065 semiconductor Substances 0.000 description 3
- 239000003795 chemical substances by application Substances 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000000717 retained effect Effects 0.000 description 1
- 238000013519 translation Methods 0.000 description 1
Abstract
Description
【０００１】[0001]
【発明の属する技術分野】本発明は、ネットワークに接
続される電子機器のアクセスを制御するアクセス制御シ
ステム及びアクセス制御方法に関し、特に世界中のどこ
からでも安全に電子機器へアクセスするためのアクセス
制御システム及びアクセス制御方法に関する。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to an access control system and an access control method for controlling access to electronic equipment connected to a network, and particularly to an access control system for safely accessing electronic equipment from anywhere in the world. And an access control method.
【０００２】[0002]
【従来の技術】近年、高度情報化社会に伴い様々な通信
ネットワークが利用されている。特にインターネット
（Internet）は、高価な交換機が不要であり安価なルー
タ（Router）によりネットワーク構築が可能なため、全
世界に急速に拡大発展している。また拡大発展に伴い、
各ユーザに振り分けるＩＰアドレス（Internet Protoco
lAddress：ネットワークに接続された機器の所在を識別
する番地）の枯渇という問題が発生していた。しかしな
がら、それまでの約４３億個分のアドレス情報を示す３
２ビットのＩＰアドレスを使用したＩＰｖ４（Internet
Protocol Version4）ネットワークから、１２８ビット
のＩＰアドレスを使用したＩＰｖ６（Internet Protoco
l Version6）ネットワークへバージョンアップすること
で解決し、更なる拡大発展が期待されている。2. Description of the Related Art In recent years, various communication networks have been used along with the advanced information society. In particular, the Internet is rapidly expanding and developing all over the world because it does not require an expensive exchange and can be constructed by an inexpensive router. With the expansion and development,
IP address assigned to each user (Internet Protoco
lAddress: There was a problem of exhaustion of the address that identifies the location of the device connected to the network. However, it shows about 4.3 billion pieces of address information up to then 3
IPv4 (Internet
Protocol Version4 (IPv4) using a 128-bit IP address from an IPv6 (Internet Protocol)
l Version6) The problem is solved by upgrading to a network, and further expansion and development are expected.
【０００３】このような状況の中で、ＩＰｖ４あるいは
ＩＰｖ６のプロトコル（Protocol：ＩＰアドレスも含め
たデータ通信のための取り決め）を使用しているネット
ワーク、特にインターネットを利用した各種応用例も様
々なものがある。例えば、インターネットを利用して、
外部から対象機器へアクセスするケースである。Under such circumstances, there are various applications using the IPv4 or IPv6 protocol (Protocol: an agreement for data communication including an IP address), especially the Internet. There is. For example, using the Internet
This is a case where the target device is accessed from the outside.
【０００４】[0004]
【発明が解決しようとする課題】ここで、このようなケ
ースでは、外部から対象機器へ誰でもアクセスできてし
まうため、特定のユーザのみにアクセスを制限するな
ど、アクセス制御を行う必要がある。In this case, since anyone can access the target device from the outside in such a case, it is necessary to perform access control such as restricting access to only specific users.
【０００５】このため、従来、家庭や組織などの内部に
接続された機器へのアクセス制御方法としては、ファイ
アウォールの方法が利用されている。ファイアウォール
では、アクセス制御を行いたい機器とインターネットと
の間にゲートウェイを配置し、ゲートウェイにおいてＩ
Ｐパケットをフィルタリングすることにより、ゲートウ
ェイ内部をファイアウォールで守ることが可能となり、
アクセス制御の機能が提供される。フィルタリングに
は、ＩＰパケットの始点と終点のＩＰアドレス、ポート
番号などが用いられる。適切にフィルタリングルールを
設定してやることにより、許可されたパケットのみがフ
ァイアウォール内部の機器にアクセスできるようにな
る。通常はファイアウォールによりネットワークは分断
されるので、ファイアウォール内部の機器にはプライベ
ートＩＰアドレスを利用するＮＡＴ（Network Address
Translation）が用いられる。For this reason, conventionally, a firewall method has been used as an access control method for devices connected to homes, organizations, and the like. In the firewall, a gateway is placed between the device you want to control access to and the Internet.
By filtering P packets, it becomes possible to protect the inside of the gateway with a firewall.
Access control functions are provided. For filtering, the IP address and port number of the start point and end point of the IP packet are used. By setting the filtering rules appropriately, only the permitted packets can access the device inside the firewall. Normally, a firewall divides the network, so NAT (Network Address) that uses a private IP address is used for devices inside the firewall.
Translation) is used.
【０００６】また、別のアクセス制御方法としては、Ｉ
Ｐ層でのセキュリティの機構であるＩＰｓｅｃが利用さ
れている。ＩＰｓｅｃでは、ＲＦＣ（Request for Comm
ents）２４０１で規定されているように、ＲＦＣ２４０
２に規定の認証ヘッダ（Authentication Header、以下
ＡＨと略称する）と、ＲＦＣ２４０６に規定の暗号化セ
キュリティペイロード（Encapsulating Security Paylo
ad、以下ＥＳＰと略称する）とがある。ＡＨやＥＳＰで
は、通信に先立って、認証のための鍵や認証アルゴリズ
ムなどを含む、セキュリティアソシエーション（Securi
ty Association、以下ＳＡと略称する）を設定し、通信
相手が正しいＳＡを保持している場合のみ相手を認証で
きるため、アクセス制御を行うことができる。ＳＡは、
手動で設定することもあるが、ＲＦＣ２４０９に規定の
鍵交換プロトコルであるＩＫＥ（Internet Key Exchang
e）を利用することにより自動的に設定することができ
る。ＩＫＥはDiffie-Hellman公開鍵暗号に基づいてお
り、ＩＫＥのためのＳＡを確立した後に、ＩＰｓｅｃの
ためのＳＡを確立する。As another access control method, I
IPsec, which is a security mechanism in the P layer, is used. In IPsec, RFC (Request for Comm)
ents) 2401 as specified in RFC240
2 and an authentication header (hereinafter abbreviated as AH) specified in 2 and an encapsulating security payload (Encapsulating Security Paylo) specified in RFC2406.
ad, hereinafter abbreviated as ESP). In AH and ESP, prior to communication, a security association (Securi) including a key for authentication and an authentication algorithm is included.
ty Association (hereinafter abbreviated as SA) is set, and the communication partner can be authenticated only when the communication partner holds the correct SA, so that access control can be performed. SA is
It may be set manually, but IKE (Internet Key Exchang), which is a key exchange protocol specified in RFC2409.
It can be set automatically by using e). IKE is based on Diffie-Hellman public key cryptography and establishes SA for IKE and then SA for IPsec.
【０００７】さらに、別のアクセス制御方法としては、
特開平１１−１６７５３６号公報、特開２０００−１３
２４７４号公報、および特開２０００−１５１６７７号
公報に示す３つの例がある。Further, as another access control method,
JP-A-11-167536 and JP-A-2000-13
There are three examples shown in Japanese Patent No. 2474 and Japanese Patent Laid-Open No. 2000-151677.
【０００８】（１）特開平１１−１６７５３６号公報に
示す例では、ファイアウォールの利用を前提とし、ファ
イアウォールなどの中間デバイスと許可クライアントと
が安全に通信できるようにしている。(1) In the example disclosed in Japanese Patent Laid-Open No. 11-167536, it is assumed that a firewall is used, and an intermediate device such as a firewall and a permitted client can safely communicate with each other.
【０００９】（２）特開２０００−１３２４７４号公報
では、リモートアクセスサーバ（ＲＡＳ）の利用を前提
とし、またゲートウェイにユーザ毎の設定を行うこと
で、ＲＡＳが割り当てるアドレスに対してのみ、安全に
通信できるようにしている。(2) In Japanese Patent Laid-Open No. 2000-132474, it is assumed that the remote access server (RAS) is used, and the gateway is set for each user, so that only the address assigned by the RAS can be safely stored. I am able to communicate.
【００１０】（３）特開２０００−１５１６７７号公報
に示す例では、移動ＩＰ（Mobile IP）において、転送
エージェントサーバの管理下にある移動クライアントが
ホームネットワークから他のネットワークへ移動した場
合、移動クライアント宛のパケットはホームネットワー
クに送信されるが、もはや移動クライアントはホームネ
ットワークには存在しないので、それを転送エージェン
トサーバが判断し移動クライアントに転送している。(3) In the example disclosed in Japanese Patent Laid-Open No. 2000-151677, when a mobile client under the control of a transfer agent server moves from a home network to another network in mobile IP (Mobile IP), the mobile client The packet addressed to is sent to the home network, but since the mobile client no longer exists in the home network, the transfer agent server judges it and transfers it to the mobile client.
【００１１】しかしながら、ファイアウォールでは、フ
ィルタリングルールの設定が煩雑であり、間違った設定
がなされた場合には、セキュリティホールになり得ると
いう点で問題があった。ＩＰｓｅｃでは、ユーザが、利
用するホストを変えるたびにＳＡを設定する必要があ
る。ＩＫＥで自動的にＩＰｓｅｃのＳＡを設定するため
には、通信に関与する全てのエンドホストにおいてＩＫ
ＥのためのＳＡを確立するための初期設定が必要であ
り、利用する機器数が多くなるほどこの処理は煩雑とな
るという点で問題があった。However, the firewall has a problem in that the setting of the filtering rule is complicated, and if an incorrect setting is made, it may result in a security hole. In IPsec, the user needs to set the SA each time the host to be used is changed. In order to automatically set the SA of IPsec by IKE, all the end hosts involved in communication need to be IK
There is a problem in that the initial setting for establishing the SA for E is necessary, and the more the number of devices used, the more complicated this process becomes.
【００１２】また、特開平１１−１６７５３６号公報に
示す例では、安全な通信を行うために、ファイアウォー
ルを設置する必要があった。さらに、特開２０００−１
３２４７４号公報に示す例では、安全な通信を行うため
に、サーバやゲートウェイの管理者に利用できるアドレ
ス等を設定してもらう必要があった。またさらに、特開
２０００−１５１６７７号公報に示す例では、移動登録
のみを行っており、安全な通信を行うための処理が必要
であった。Further, in the example disclosed in Japanese Patent Laid-Open No. 11-167536, it was necessary to install a firewall in order to carry out secure communication. Furthermore, JP 2000-1
In the example disclosed in Japanese Patent No. 32474, it is necessary to ask the administrator of the server or gateway to set an address or the like that can be used in order to perform secure communication. Furthermore, in the example disclosed in Japanese Patent Application Laid-Open No. 2000-151677, only mobile registration is performed, and a process for performing secure communication is required.
【００１３】本発明の目的は、上記のような点に鑑みて
なされたものであり、ユーザが移動しても安全な通信を
可能とするアクセス制御システム及びアクセス制御方法
を提供することを目的とする。An object of the present invention is made in view of the above points, and an object of the present invention is to provide an access control system and an access control method that enable safe communication even when a user moves. To do.
【００１４】[0014]
【課題を解決するための手段】本発明では上記課題を解
決するために、ネットワークに接続される電子機器のア
クセスを制御するアクセス制御システムにおいて、ネッ
トワークの管理領域外からの接続を認証するための認証
鍵と対をなす鍵を登録し、ネットワークの管理領域外へ
認証鍵を配布し、ネットワークの管理領域外からの接続
要求に対して認証を行い、メッセージ認証のためのセッ
ション鍵を生成し、セッション鍵を送信するアクセス管
理サーバと、アクセス管理サーバへ登録情報を送信する
ことで管理配下に参加となり、セッション鍵を受信し、
セッション鍵によりメッセージ認証を伴う通信を行う電
子機器と、ネットワークの管理領域外から接続要求し、
配布された認証鍵を利用してアクセス管理サーバとの認
証を行い、受信したセッション鍵により、電子機器との
メッセージ認証を伴う通信を行うリモート電子機器とを
有することを特徴とするアクセス制御システムが提供さ
れる。In order to solve the above problems, the present invention provides an access control system for controlling access to electronic equipment connected to a network, for authenticating a connection from outside the management area of the network. Register the key paired with the authentication key, distribute the authentication key to the outside of the management area of the network, authenticate the connection request from outside the management area of the network, generate the session key for message authentication, By joining the management server by sending the registration information to the access management server and the access management server that sends the session key, and receiving the session key,
Request a connection from outside the management area of the network with an electronic device that performs communication with message authentication using a session key,
An access control system characterized by having a remote electronic device that authenticates with an access management server using a distributed authentication key, and uses a received session key to communicate with an electronic device with message authentication. Provided.
【００１５】上記構成によれば、ユーザ認証を行い、ア
クセス管理サーバの管理領域下にある電子機器へのアク
セスを可能とするためのセッション鍵を自動的に設定
し、その鍵を用いてメッセージ認証を行うことで、ユー
ザが移動しても安全な通信を提供することが可能であ
る。According to the above configuration, the session key for performing the user authentication and automatically enabling the access to the electronic device under the management area of the access management server is automatically set, and the message authentication is performed using the key. By doing so, it is possible to provide safe communication even if the user moves.
【００１６】[0016]
【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。図１は本発明のアクセス制御シス
テムの原理図である。BEST MODE FOR CARRYING OUT THE INVENTION Embodiments of the present invention will be described below with reference to the drawings. FIG. 1 is a principle diagram of an access control system of the present invention.
【００１７】アクセス制御システム１は、管理領域内に
アクセスするためのセッション鍵を設定するアクセス管
理サーバ１０、アクセス管理サーバ１０の管理領域内で
通信を行う電子機器２０、遠隔地からアクセス管理サー
バ１０の管理領域内にアクセスするリモート電子機器３
０、情報をＩＰパケット（Packet：ネットワークにおい
て情報を伝送するとき、小包化されたデータの集まり）
として伝送するネットワーク４０から構成される。な
お、この構成における電子機器２０とリモート電子機器
３０は、１台のアクセス管理サーバ１０に対して、複数
台設置することもできる。ここで、本発明の各説明で
は、複数台と仮定して説明する。The access control system 1 includes an access management server 10 for setting a session key for accessing the management area, an electronic device 20 for communication within the management area of the access management server 10, and an access management server 10 from a remote location. Remote electronic device 3 to access the management area of
0, IP packet for information (Packet: A collection of data packaged when transmitting information in a network)
It is composed of a network 40 for transmitting as. Note that a plurality of electronic devices 20 and remote electronic devices 30 in this configuration can be installed for one access management server 10. Here, in each description of the present invention, it is assumed that there are a plurality of units.
【００１８】アクセス管理サーバ１０は、電子機器２０
とリモート電子機器３０とにネットワーク４０を介して
接続され、管理領域内の電子機器２０へアクセスを要求
してきた管理領域外のリモート電子機器３０に対し、ユ
ーザ認証を行う。また、リモート電子機器３０から管理
領域内の電子機器２０へアクセスするためのセッション
鍵を設定する。ここで、アクセス管理サーバ１０は、電
子機器２０と同じ領域内にあり、電子機器２０へのアク
セスを管理する（以下、この領域を管理領域と定義）。
管理領域とは、例えば、同じ家やオフィス等、１つの組
織である。なお、１つの組織とは、アクセス管理サーバ
１０が同一組織に位置する１つあるいは複数の電子機器
２０へのアクセスを、許可する範囲である。この場合、
各電子機器２０は、同一組織に位置するアクセス管理サ
ーバ１０に対する設定のみを行う。The access management server 10 is an electronic device 20.
The remote electronic device 30 connected to the remote electronic device 30 via the network 40 performs user authentication with respect to the remote electronic device 30 outside the management area that has requested access to the electronic device 20 within the management area. Also, a session key for accessing the electronic device 20 in the management area from the remote electronic device 30 is set. Here, the access management server 10 is in the same area as the electronic device 20, and manages access to the electronic device 20 (hereinafter, this area is defined as a management area).
The management area is, for example, one organization such as the same house or office. Note that one organization is a range in which the access management server 10 permits access to one or a plurality of electronic devices 20 located in the same organization. in this case,
Each electronic device 20 only makes settings for the access management server 10 located in the same organization.
【００１９】電子機器２０は、アクセス管理サーバ１０
とリモート電子機器３０とにネットワーク４０を介して
接続され、アクセス管理サーバ１０、他の電子機器２
０、およびリモート電子機器３０等を含めた他の装置
と、何らかの通信を行う。ここで、電子機器２０は、ア
クセス管理サーバ１０へ管理組織参加の登録を行う。ま
た、セッション鍵を利用してリモート電子機器３０との
間でメッセージ認証を伴うメッセージの送受信を行う。
なお、電子機器２０とは、例えばパーソナルコンピュー
タ、周辺機器、テレビ、ビデオデッキ、およびオーディ
オビジュアル機器等である。The electronic device 20 is the access management server 10.
And the remote electronic device 30 via the network 40, the access management server 10, the other electronic device 2
0, and some communication with other devices including the remote electronic device 30 and the like. Here, the electronic device 20 registers with the access management server 10 to participate in the management organization. Further, the session key is used to send and receive a message with message authentication to and from the remote electronic device 30.
The electronic device 20 is, for example, a personal computer, a peripheral device, a television, a VCR, an audiovisual device, or the like.
【００２０】リモート電子機器３０は、アクセス管理サ
ーバ１０と電子機器２０とにネットワーク４０を介して
接続され、アクセス管理サーバ１０、電子機器２０、お
よび他のリモート電子機器３０等を含めた他の装置と、
何らかの通信を行う。ここで、リモート電子機器３０
は、管理領域内の電子機器２０へアクセスするため、ア
クセス管理サーバ１０とユーザ認証を行う。また、ユー
ザ認証後は、アクセス管理サーバ１０から送信されたセ
ッション鍵を利用して、管理領域内の電子機器２０との
間で、メッセージ認証を伴うメッセージの送受信を行
う。なお、リモート電子機器３０とは、例えばパーソナ
ルコンピュータ、ＰＤＡ（Personal DigitalAssistan
t）、携帯電話、周辺機器、テレビ、ビデオデッキ、お
よびオーディオビジュアル機器等である。The remote electronic device 30 is connected to the access management server 10 and the electronic device 20 via the network 40, and other devices including the access management server 10, the electronic device 20, and other remote electronic devices 30. When,
Do some communication. Here, the remote electronic device 30
Performs user authentication with the access management server 10 in order to access the electronic device 20 in the management area. After the user authentication, the session key sent from the access management server 10 is used to send and receive a message with message authentication to and from the electronic device 20 in the management area. The remote electronic device 30 is, for example, a personal computer or PDA (Personal Digital Assistant).
t), mobile phones, peripherals, televisions, VCRs, and audiovisual equipment.
【００２１】ネットワーク４０は、通信経路が張りめぐ
らされた網内にて、所定のプロトコルに基づいて情報を
伝送する。なおプロトコルとは、例えば、ＩＰｖ６、Ｈ
ＴＴＰ（Hypertext Transfer Protocol）、ＦＴＰ（Fil
e Transfer Protocol）、あるいはＰＰＰ（Point-to-po
int Protocol）である。またネットワーク４０は、例え
ば公衆回線網、ＩＰｖ６のインターネットあるいはイン
ターネット２（以下、いずれもＩＰｖ６ネットワークと
称する）である。The network 40 transmits information based on a predetermined protocol within a network having communication paths. The protocols are, for example, IPv6, H
TTP (Hypertext Transfer Protocol), FTP (Fil
e Transfer Protocol) or PPP (Point-to-po)
int Protocol). The network 40 is, for example, a public line network, the Internet of IPv6, or the Internet 2 (hereinafter, referred to as an IPv6 network).
【００２２】このようなアクセス制御システムによれ
ば、アクセス管理サーバ１０では、ネットワーク４０に
接続された電子機器２０から管理組織参加の登録を受け
る。そして登録後は、管理領域内の電子機器２０へのア
クセスを要求してきたリモート電子機器３０に対し、ユ
ーザ認証によりアクセス許可／不許可を制御することが
できる。また、アクセス管理サーバ１０により設定され
たセッション鍵を用いることで、メッセージ認証を伴う
通信を行うことができる。According to such an access control system, the access management server 10 receives registration of participation in the management organization from the electronic device 20 connected to the network 40. After registration, the remote electronic device 30 requesting access to the electronic device 20 in the management area can be controlled by the user authentication to permit / deny access. Further, by using the session key set by the access management server 10, it is possible to perform communication with message authentication.
【００２３】これにより、ユーザが移動してもリモート
電子機器３０を利用してアクセスすることができ、さら
にセッション鍵を用いてメッセージ認証を伴うメッセー
ジの送受信を行うことができるので、安全な通信を提供
することが可能になる。As a result, even if the user moves, the remote electronic device 30 can be used for access, and the session key can be used to send and receive a message accompanied by message authentication. It will be possible to provide.
【００２４】以下に、本発明の実施の形態を具体的に説
明する。本発明の実施の形態では、図１に示したような
システムにおいて、アクセス管理サーバ１０、電子機器
２０、およびリモート電子機器３０がネットワーク４０
を介して接続される。この中で、アクセス管理サーバ１
０と電子機器２０との間、アクセス管理サーバ１０とリ
モート電子機器３０との間、および電子機器２０とリモ
ート電子機器３０との間で、それぞれメッセージ伝送が
行われる。そこで、対向する装置へのメッセージ送信、
あるいは対向する装置からのメッセージ受信する場合を
例に取り、以下に本実施の形態における各装置の機能を
具体的に説明する。Embodiments of the present invention will be specifically described below. In the embodiment of the present invention, in the system as shown in FIG. 1, the access management server 10, the electronic device 20, and the remote electronic device 30 are connected to the network 40.
Connected via. In this, access management server 1
0 and the electronic device 20, message transmission is performed between the access management server 10 and the remote electronic device 30, and between the electronic device 20 and the remote electronic device 30. Therefore, send a message to the opposite device,
Alternatively, taking the case of receiving a message from the opposite device as an example, the function of each device in the present embodiment will be specifically described below.
【００２５】図２は本発明のアクセス管理サーバの処理
機能を示した機能ブロック図である。アクセス管理サー
バ１０は、処理全般を受け持つ処理部１１、管理領域内
にアクセス要求してきたユーザの認証を行うユーザ認証
部１２、セッション鍵の生成を行うセッション鍵生成部
１３、ユーザを認証するための鍵情報を保存するユーザ
認証鍵データベース１４、機器の鍵情報を保存する機器
鍵情報データベース１５、およびネットワーク４０を介
した通信を行うネットワークインタフェース１６から構
成されている。ここで、アクセス管理サーバ１０は、電
子機器２０とリモート電子機器３０とにネットワーク４
０を介して、それぞれ対向している。FIG. 2 is a functional block diagram showing the processing functions of the access management server of the present invention. The access management server 10 is responsible for overall processing, a processing unit 11 for authenticating a user who has requested access to the management area, a session key generation unit 13 for generating a session key, and a user authentication unit. A user authentication key database 14 that stores key information, a device key information database 15 that stores device key information, and a network interface 16 that communicates via a network 40. Here, the access management server 10 connects the electronic device 20 and the remote electronic device 30 to the network 4
They are opposed to each other through 0.
【００２６】処理部１１は、ユーザ認証部１２とセッシ
ョン鍵生成部１３と機器鍵情報データベース１５とネッ
トワークインタフェース１６とに接続され、全体の制御
や処理を行う。なお、処理部１１は、例えばコンピュー
タプログラムでもよく、図示しないメモリ（Memory）に
格納され、図示しないＣＰＵ（Central Processing Uni
t）により実行されることで、本発明の機能を実現す
る。The processing unit 11 is connected to the user authentication unit 12, the session key generation unit 13, the device key information database 15 and the network interface 16, and controls and processes the whole. Note that the processing unit 11 may be, for example, a computer program, is stored in a memory (Memory) not shown, and has a CPU (Central Processing Uni) not shown.
The function of the present invention is realized by being executed by t).
【００２７】ユーザ認証部１２は、処理部１１とユーザ
認証鍵データベース１４とネットワークインタフェース
１６とに接続され、アクセス管理サーバ１０が管理する
管理領域内にアクセス要求してきたユーザの認証を行
う。また、ユーザ認証部１２は、処理部１１と各種処理
要求のやりとりを行う。なお、ユーザ認証部１２は、例
えばコンピュータプログラムでもよく、図示しないメモ
リに格納され、図示しないＣＰＵにより実行されること
で、本発明の機能を実現する。The user authentication unit 12 is connected to the processing unit 11, the user authentication key database 14 and the network interface 16 and authenticates a user who has made an access request within the management area managed by the access management server 10. Also, the user authentication unit 12 exchanges various processing requests with the processing unit 11. The user authentication unit 12 may be, for example, a computer program, is stored in a memory (not shown), and is executed by a CPU (not shown) to realize the functions of the present invention.
【００２８】セッション鍵生成部１３は、処理部１１と
機器鍵情報データベース１５とに接続され、セッション
鍵の生成を行う。なお、セッション鍵生成部１３は、例
えばコンピュータプログラムでもよく、図示しないメモ
リに格納され、図示しないＣＰＵにより実行されること
で、本発明の機能を実現する。The session key generation unit 13 is connected to the processing unit 11 and the device key information database 15 and generates a session key. The session key generation unit 13 may be, for example, a computer program, is stored in a memory (not shown), and is executed by a CPU (not shown) to realize the functions of the present invention.
【００２９】ユーザ認証鍵データベース１４は、ユーザ
認証部１２に接続され、ユーザを認証する鍵情報を保持
し、一元集中管理する。なお、ユーザ認証鍵データベー
ス１４は、書き換え可能な記憶媒体であり、例えばハー
ドディスク（Hard Disk）あるいはメモリ等である。The user authentication key database 14 is connected to the user authentication unit 12, holds key information for authenticating a user, and centrally manages it. The user authentication key database 14 is a rewritable storage medium, such as a hard disk or a memory.
【００３０】機器鍵情報データベース１５は、処理部１
１とセッション鍵生成部１３とに接続され、機器の鍵情
報を保持し、一元集中管理する。なお、機器鍵情報デー
タベース１５は、書き換え可能な記憶媒体であり、例え
ばハードディスクあるいはメモリ等である。The device key information database 15 is the processing unit 1
1 and the session key generation unit 13 to hold device key information and perform centralized management. The device key information database 15 is a rewritable storage medium such as a hard disk or a memory.
【００３１】ネットワークインタフェース１６は、処理
部１１とユーザ認証部１２とに接続され、ネットワーク
４０を介して、電子機器２０とリモート電子機器３０と
の通信を行う。ここで、ネットワークインタフェース１
６は、デバイス（Device）であり、通信媒体を介してネ
ットワーク４０に接続される。なお、通信媒体とは、例
えば有線であるメタルケーブルや光ファイバなどの物理
媒体、あるいは無線媒体である。The network interface 16 is connected to the processing unit 11 and the user authentication unit 12, and communicates with the electronic device 20 and the remote electronic device 30 via the network 40. Here, the network interface 1
A device 6 is connected to the network 40 via a communication medium. The communication medium is, for example, a physical medium such as a wired metal cable or optical fiber, or a wireless medium.
【００３２】図３は本発明の電子機器の処理機能を示し
た機能ブロック図である。電子機器２０は、セッション
鍵の設定を行う処理部２１、ネットワーク４０を介した
通信の認証を行うメッセージ認証部２２、メッセージを
認証するための鍵情報を保存するセッション鍵データベ
ース２３、およびネットワーク４０を介した通信を行う
ネットワークインタフェース２４から構成されている。
ここで、電子機器２０は、アクセス管理サーバ１０とリ
モート電子機器３０とにネットワーク４０を介して、そ
れぞれ対向している。FIG. 3 is a functional block diagram showing processing functions of the electronic device of the present invention. The electronic device 20 includes a processing unit 21 that sets a session key, a message authentication unit 22 that authenticates communication via the network 40, a session key database 23 that stores key information for authenticating a message, and a network 40. It is composed of a network interface 24 for performing communication via.
Here, the electronic device 20 faces the access management server 10 and the remote electronic device 30 via the network 40, respectively.
【００３３】処理部２１は、セッション鍵データベース
２３とネットワークインタフェース２４とに接続され、
セッション鍵の設定を行う。なお、処理部２１は、例え
ばコンピュータプログラムでもよく、図示しないメモリ
に格納され、図示しないＣＰＵにより実行されること
で、本発明の機能を実現する。The processing unit 21 is connected to the session key database 23 and the network interface 24,
Set session key. The processing unit 21 may be, for example, a computer program, is stored in a memory (not shown), and is executed by a CPU (not shown) to implement the functions of the present invention.
【００３４】メッセージ認証部２２は、セッション鍵デ
ータベース２３とネットワークインタフェース２４とに
接続され、ネットワーク４０を介した全ての通信の認証
を行い、正しく認証されない通信データを破棄する。な
お、メッセージ認証部２２は、例えばコンピュータプロ
グラムでもよく、図示しないメモリに格納され、図示し
ないＣＰＵにより実行されることで、本発明の機能を実
現する。The message authentication unit 22 is connected to the session key database 23 and the network interface 24, authenticates all communication via the network 40, and discards communication data that is not correctly authenticated. The message authentication unit 22 may be, for example, a computer program, is stored in a memory (not shown), and is executed by a CPU (not shown) to realize the function of the present invention.
【００３５】セッション鍵データベース２３は、処理部
２１とメッセージ認証部２２とに接続され、メッセージ
を認証するための鍵情報を保持する。なお、セッション
鍵データベース２３は、書き換え可能な記憶媒体であ
り、例えばハードディスクあるいはメモリ等である。The session key database 23 is connected to the processing unit 21 and the message authentication unit 22 and holds key information for authenticating a message. The session key database 23 is a rewritable storage medium such as a hard disk or a memory.
【００３６】ネットワークインタフェース２４は、処理
部２１とメッセージ認証部２２とに接続され、ネットワ
ーク４０を介して、アクセス管理サーバ１０とリモート
電子機器３０との通信を行う。ここで、ネットワークイ
ンタフェース２４は、デバイスであり、通信媒体を介し
てネットワーク４０に接続される。なお、通信媒体と
は、例えば有線であるメタルケーブルや光ファイバなど
の物理媒体、あるいは無線媒体である。The network interface 24 is connected to the processing unit 21 and the message authentication unit 22, and communicates with the access management server 10 and the remote electronic device 30 via the network 40. Here, the network interface 24 is a device, and is connected to the network 40 via a communication medium. The communication medium is, for example, a physical medium such as a wired metal cable or optical fiber, or a wireless medium.
【００３７】図４は本発明のリモート電子機器の処理機
能を示した機能ブロック図である。リモート電子機器３
０は、セッション鍵の設定とユーザ認証の指令とを行う
処理部３１、管理領域内へアクセスするためのユーザ認
証を行うユーザ認証部３２、ネットワーク４０を介した
通信の認証を行うメッセージ認証部３３、ユーザを認証
するための鍵情報を保存するユーザ認証鍵データベース
３４、メッセージを認証するための鍵情報を保存するセ
ッション鍵データベース３５、ネットワーク４０を介し
た通信を行うネットワークインタフェース３６から構成
されている。ここで、リモート電子機器３０は、アクセ
ス管理サーバ１０と電子機器２０とにネットワーク４０
を介して、それぞれ対向している。FIG. 4 is a functional block diagram showing processing functions of the remote electronic equipment of the present invention. Remote electronics 3
Reference numeral 0 denotes a processing unit 31 that sets a session key and issues a user authentication command, a user authentication unit 32 that authenticates a user to access the management area, and a message authentication unit 33 that authenticates communication via the network 40. A user authentication key database 34 that stores key information for authenticating a user, a session key database 35 that stores key information for authenticating a message, and a network interface 36 that communicates via a network 40. . Here, the remote electronic device 30 connects the access management server 10 and the electronic device 20 to the network 40.
Are opposed to each other.
【００３８】処理部３１は、ユーザ認証部３２とセッシ
ョン鍵データベース３５とネットワークインタフェース
３６とに接続され、セッション鍵の設定を行う。なお、
処理部３１は、例えばコンピュータプログラムでもよ
く、図示しないメモリに格納され、図示しないＣＰＵに
より実行されることで、本発明の機能を実現する。The processing unit 31 is connected to the user authentication unit 32, the session key database 35 and the network interface 36, and sets the session key. In addition,
The processing unit 31 may be, for example, a computer program, is stored in a memory (not shown), and is executed by a CPU (not shown) to realize the functions of the present invention.
【００３９】ユーザ認証部３２は、処理部３１とユーザ
認証鍵データベース３４とネットワークインタフェース
３６とに接続される。また、アクセス管理サーバ１０が
管理する管理領域内にアクセスするために、アクセス要
求時にアクセス管理サーバ１０との間でユーザの認証を
行う。さらに、ユーザ認証部３２は、処理部３１と各種
処理要求のやりとりを行う。なお、ユーザ認証部３２
は、例えばコンピュータプログラムでもよく、図示しな
いメモリに格納され、図示しないＣＰＵにより実行され
ることで、本発明の機能を実現する。The user authentication section 32 is connected to the processing section 31, the user authentication key database 34 and the network interface 36. In order to access the management area managed by the access management server 10, the user is authenticated with the access management server 10 at the time of access request. Further, the user authentication unit 32 exchanges various processing requests with the processing unit 31. The user authentication unit 32
May be a computer program, for example, and is stored in a memory (not shown) and executed by a CPU (not shown) to realize the functions of the present invention.
【００４０】メッセージ認証部３３は、セッション鍵デ
ータベース３５とネットワークインタフェース３６とに
接続され、ネットワーク４０を介した全ての通信の認証
を行い、メッセージに認証子を付加する。なお、メッセ
ージ認証部３３は、例えばコンピュータプログラムでも
よく、図示しないメモリに格納され、図示しないＣＰＵ
により実行されることで、本発明の機能を実現する。The message authentication unit 33 is connected to the session key database 35 and the network interface 36, authenticates all communications via the network 40, and adds an authenticator to the message. The message authentication unit 33 may be, for example, a computer program, is stored in a memory (not shown), and has a CPU (not shown).
The functions of the present invention are realized by being executed by
【００４１】ユーザ認証鍵データベース３４は、ユーザ
認証部３２に接続され、ユーザを認証する鍵情報を保持
する。なお、ユーザ認証鍵データベース３４は、書き換
え可能な記憶媒体であり、例えばハードディスクあるい
はメモリ等である。The user authentication key database 34 is connected to the user authentication unit 32 and holds key information for authenticating a user. The user authentication key database 34 is a rewritable storage medium such as a hard disk or a memory.
【００４２】セッション鍵データベース３５は、処理部
３１とメッセージ認証部３３とに接続され、メッセージ
を認証するための鍵情報を保持する。なお、セッション
鍵データベース３５は、書き換え可能な記憶媒体であ
り、例えばハードディスクあるいはメモリ等である。The session key database 35 is connected to the processing unit 31 and the message authentication unit 33 and holds key information for authenticating a message. The session key database 35 is a rewritable storage medium such as a hard disk or a memory.
【００４３】ネットワークインタフェース３６は、処理
部３１とユーザ認証部３２とメッセージ認証部３３とに
接続され、ネットワーク４０を介して、アクセス管理サ
ーバ１０と電子機器２０との通信を行う。ここで、ネッ
トワークインタフェース３６は、デバイスであり、通信
媒体を介してネットワーク４０に接続される。なお、通
信媒体とは、例えば有線であるメタルケーブルや光ファ
イバなどの物理媒体、あるいは無線媒体である。The network interface 36 is connected to the processing unit 31, the user authentication unit 32, and the message authentication unit 33, and performs communication between the access management server 10 and the electronic device 20 via the network 40. Here, the network interface 36 is a device, and is connected to the network 40 via a communication medium. The communication medium is, for example, a physical medium such as a wired metal cable or optical fiber, or a wireless medium.
【００４４】以上説明した図２〜図４で例示したコンピ
ュータプログラムは、コンピュータで読み取り可能な記
録媒体に記録しておくことができる。コンピュータで読
み取り可能な記録媒体としては、磁気記録媒体、光ディ
スク、光磁気記録媒体、半導体メモリ等がある。磁気記
録媒体には、ハードディスク、フレキシブルディスク、
ＺＩＰ（Zip:磁気ディスクの一種）、磁気テープなどが
ある。光ディスクには、ＤＶＤ（Digital Versatile Di
sc）、ＤＶＤ−ＲＡＭ（DVD Random Access Memory）、
ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、Ｃ
Ｄ−Ｒ（CD Recordable）、ＣＤ−ＲＷ（CD Rewritabl
e）などがある。光磁気記録媒体には、ＭＯ（Magneto O
ptical Disk）などがある。半導体メモリには、フラッ
シュ・メモリ（Flash Memory）などがある。The computer program illustrated in FIGS. 2 to 4 described above can be recorded in a computer-readable recording medium. Computer-readable recording media include magnetic recording media, optical disks, magneto-optical recording media, semiconductor memories, and the like. Magnetic recording media include hard disks, flexible disks,
There are ZIP (Zip: a kind of magnetic disk), magnetic tape, and the like. The optical disc is a DVD (Digital Versatile Di
sc), DVD-RAM (DVD Random Access Memory),
CD-ROM (Compact Disc Read Only Memory), C
D-R (CD Recordable), CD-RW (CD Rewritabl
e) etc. Magneto-optical recording media include MO (Magneto O
ptical Disk). The semiconductor memory includes a flash memory and the like.
【００４５】また、コンピュータプログラムを流通させ
る場合には、例えば各コンピュータプログラムが記録さ
れたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売
される。また、コンピュータプログラムをサーバ（本発
明の実施の形態の説明では、アクセス管理サーバ１０に
対応）の記憶装置に格納しておき、ネットワークを介し
て、サーバからクライアント（本発明の実施の形態の説
明では、電子機器２０とリモート電子機器３０に対応）
へコンピュータプログラムを転送することもできる。When distributing the computer programs, portable recording media, such as DVDs and CD-ROMs, on which the respective computer programs are recorded are sold. Further, the computer program is stored in a storage device of a server (corresponding to the access management server 10 in the description of the embodiment of the present invention), and the client (from the description of the embodiment of the present invention through the network Then, it corresponds to the electronic device 20 and the remote electronic device 30)
Computer programs can also be transferred to.
【００４６】次に、各装置の処理の流れについて、具体
的に説明する。図５は、本発明のアクセス管理サーバの
基本動作を説明するフローチャートである。なお、本フ
ローチャートの説明は、各装置の名称を原理図である図
１、および装置各部の名称を機能ブロック図である図２
をもとにして行う。Next, the processing flow of each device will be specifically described. FIG. 5 is a flowchart explaining the basic operation of the access management server of the present invention. The description of this flowchart is based on the principle of the names of the respective devices in FIG. 1, and in the functional block diagram of the names of the respective parts of the devices in FIG.
Based on.
【００４７】［Ｓ１０］ アクセス管理サーバ１０にお
いて、管理する各電子機器２０へのアクセスを必要とす
る各ユーザについて、ユーザ識別子と、認証のための鍵
とをユーザ認証鍵データベース１４へ登録する。ここ
で、鍵とは、例えば公開鍵暗号方式（Public-key Crypt
ography）における公開鍵であったり、共通鍵暗号方式
（Symmetric Cryptography）における共通鍵であったり
する。なお、この鍵は、ユーザを認証するための情報で
あればよいので、上記以外の別の鍵を適用することもで
きる。[S10] In the access management server 10, a user identifier and a key for authentication are registered in the user authentication key database 14 for each user who needs access to each electronic device 20 to be managed. Here, the key is, for example, a public-key cryptosystem (Public-key Crypt
The public key of the cryptography) or the common key of the common key cryptosystem (Symmetric Cryptography). It should be noted that this key only needs to be information for authenticating the user, and therefore a key other than the above can be applied.
【００４８】［Ｓ１１］ 処理部１１にて、アクセス管
理サーバ１０が管理する各電子機器２０から、機器識別
子と鍵情報とを受信し、機器鍵情報データベース１５へ
保存・登録する。ここで、鍵情報とは、セッション鍵を
生成するために必要な情報であり、例えば利用可能な認
証アルゴリズムや鍵の長さ等である。[S11] The processing unit 11 receives the device identifier and the key information from each electronic device 20 managed by the access management server 10, and stores and registers the device identifier and the key information in the device key information database 15. Here, the key information is information necessary for generating a session key, and is, for example, an available authentication algorithm or key length.
【００４９】［Ｓ１２］ 電子機器２０とリモート電子
機器３０とがメッセージを送受信する場合において、メ
ッセージを認証する鍵であるセッション鍵を生成するた
め、「セッション鍵生成処理」を行う。ここで、この処
理は、ユーザがリモート電子機器３０を利用して、アク
セス管理サーバ１０の管理領域内にある電子機器２０へ
アクセスする度に繰り返される。なお、「セッション鍵
生成処理」の詳細については、図６にて説明する。[S12] When the electronic device 20 and the remote electronic device 30 send and receive a message, a "session key generation process" is performed to generate a session key which is a key for authenticating the message. Here, this process is repeated every time the user uses the remote electronic device 30 to access the electronic device 20 in the management area of the access management server 10. Details of the “session key generation process” will be described with reference to FIG.
【００５０】図６は、本発明の「セッション鍵生成処
理」を説明するフローチャートである。図５のステップ
Ｓ１２が実行されると、以下の流れに従って処理が行わ
れる。この処理により、セッション鍵が生成される。な
お、本フローチャートの説明は、各装置の名称を原理図
である図１、および装置各部の名称を機能ブロック図で
ある図２をもとにして行う。FIG. 6 is a flow chart for explaining the "session key generation process" of the present invention. When step S12 of FIG. 5 is executed, processing is performed according to the following flow. A session key is generated by this processing. The description of this flowchart will be given based on FIG. 1, which is a principle diagram of the names of the respective devices, and FIG. 2, which is a functional block diagram of the names of the respective parts of the devices.
【００５１】［Ｓ１２０］ ユーザ認証部１２は、管理
領域外のリモート電子機器３０から管理領域内の電子機
器２０へのアクセス要求（認証要求）があった場合に、
リモート電子機器３０のユーザ認証判定を行う。この判
定は、ユーザ認証鍵データベース１４とリモート電子機
器３０とに保存されている一対の認証鍵を利用する。な
お一対とは、例えば公開鍵暗号方式の場合では、公開鍵
と秘密鍵を指す。また共通鍵暗号方式の場合では、同一
の共通鍵を指す。ここで、ユーザ認証部１２は、ユーザ
認証が成功した場合には、ステップＳ１２１へ進み、成
功しなかった場合には、図５のステップＳ１２へ処理帰
還する。[S120] The user authentication unit 12 receives an access request (authentication request) from the remote electronic device 30 outside the management area to the electronic device 20 inside the management area.
The user authentication of the remote electronic device 30 is determined. This determination uses a pair of authentication keys stored in the user authentication key database 14 and the remote electronic device 30. In the case of a public key cryptosystem, for example, a pair means a public key and a secret key. In the case of the common key cryptosystem, it means the same common key. Here, if the user authentication is successful, the user authentication unit 12 proceeds to step S121, and if the user authentication is not successful, the process returns to step S12 of FIG.
【００５２】［Ｓ１２１］ 処理部１１は、リモート電
子機器３０からの鍵情報と、アクセス要求対象の電子機
器２０の識別子を受信する。そして、セッション鍵生成
部１３に対して、機器鍵情報データベース１５から得ら
れる受信した機器の識別子に対応する鍵情報とともに、
受信した鍵情報を渡す。ここで、鍵情報とは、セッショ
ン鍵を生成するために必要な情報であり、例えば利用可
能な認証アルゴリズムや鍵の長さ等である。[S121] The processing section 11 receives the key information from the remote electronic device 30 and the identifier of the electronic device 20 which is the access request target. Then, with respect to the session key generation unit 13, together with the key information corresponding to the received device identifier obtained from the device key information database 15,
Pass the received key information. Here, the key information is information necessary for generating a session key, and is, for example, an available authentication algorithm or key length.
【００５３】［Ｓ１２２］ セッション鍵生成部１３
は、処理部１１より渡された鍵情報からセッション鍵を
生成する。そして、セッション鍵生成部１３は、処理部
１１に対して生成したセッション鍵を渡す。なお、セッ
ション鍵の生成方法については、鍵情報に含まれる認証
アルゴリズムに対応していれば、どのような方法を適用
してもよい。[S122] Session key generation unit 13
Generates a session key from the key information passed from the processing unit 11. Then, the session key generation unit 13 passes the generated session key to the processing unit 11. Any method may be applied as the method of generating the session key as long as it corresponds to the authentication algorithm included in the key information.
【００５４】［Ｓ１２３］ 処理部１１は、アクセス管
理サーバ１０の管理領域内にある電子機器２０へ、生成
したセッション鍵を送信する。なお、必要ならばセッシ
ョン鍵は、ユーザの公開鍵や、アクセス管理サーバ１０
とリモート電子機器３０とで、あらかじめ共有させた共
有鍵を用いて暗号化し、安全に送信されるようにする。[S123] The processing section 11 transmits the generated session key to the electronic device 20 in the management area of the access management server 10. If necessary, the session key may be the user's public key or the access management server 10
And the remote electronic device 30 are encrypted using a shared key shared in advance so that they can be transmitted safely.
【００５５】［Ｓ１２４］ 処理部１１は、アクセス管
理サーバ１０の管理領域外にあるリモート電子機器３０
へ、生成したセッション鍵を送信する。なお、必要なら
ばセッション鍵は、ユーザの公開鍵や、アクセス管理サ
ーバ１０とリモート電子機器３０とで、あらかじめ共有
させた共有鍵を用いて暗号化し、安全に送信されるよう
にする。[S124] The processing section 11 controls the remote electronic device 30 located outside the management area of the access management server 10.
Send the generated session key to. If necessary, the session key is encrypted by using the user's public key or a shared key shared in advance by the access management server 10 and the remote electronic device 30 so that the session key can be safely transmitted.
【００５６】図７は、本発明の電子機器の基本動作を説
明するフローチャートである。なお、本フローチャート
の説明は、各装置の名称を原理図である図１、および装
置各部の名称を機能ブロック図である図３をもとにして
行う。FIG. 7 is a flow chart for explaining the basic operation of the electronic device of the present invention. The description of this flowchart will be given based on FIG. 1, which is a principle diagram of names of respective devices, and FIG. 3, which is a functional block diagram of names of respective parts of the devices.
【００５７】［Ｓ２０］ 電子機器２０において、処理
部２１は、アクセス管理サーバ１０に対して、鍵情報と
識別子とを送信し、アクセス管理サーバ１０に登録す
る。これにより、アクセス管理サーバ１０の管理領域に
参加することになる。[S20] In the electronic device 20, the processing section 21 sends the key information and the identifier to the access management server 10 and registers them in the access management server 10. As a result, the user participates in the management area of the access management server 10.
【００５８】［Ｓ２１］ アクセス管理サーバ１０の管
理領域に参加登録後、リモート電子機器３０との間で署
名付きメッセージの送受信を行うため、「電子機器のセ
ッション通信処理」を行う。また、この処理は、リモー
ト電子機器３０から電子機器２０へのアクセスが行われ
るたびに繰り返される。なお、「電子機器のセッション
通信処理」の詳細については、図８にて説明する。[S21] After participation registration in the management area of the access management server 10, "session communication processing of electronic device" is performed in order to transmit / receive a signed message to / from the remote electronic device 30. In addition, this process is repeated every time the remote electronic device 30 accesses the electronic device 20. Details of the "session communication process of the electronic device" will be described with reference to FIG.
【００５９】図８は、本発明の「電子機器のセッション
通信処理」を説明するフローチャートである。図７のス
テップＳ２１が実行されると、以下の流れに従って処理
が行われる。この処理により、セッション確立後の通信
が行われる。ここで、セッションとは、アクセスから処
理が完了するまでの一連の処理のこととする。なお、本
フローチャートの説明は、各装置の名称を原理図である
図１、および装置各部の名称を機能ブロック図である図
３をもとにして行う。FIG. 8 is a flow chart for explaining the "session communication process of electronic equipment" of the present invention. When step S21 of FIG. 7 is executed, processing is performed according to the following flow. By this processing, communication is established after the session is established. Here, the session is a series of processes from access to completion of the process. The description of this flowchart will be given based on FIG. 1, which is a principle diagram of names of respective devices, and FIG. 3, which is a functional block diagram of names of respective parts of the devices.
【００６０】［Ｓ２１０］ 電子機器２０において、処
理部２１は、アクセス管理サーバ１０からセッション鍵
を受信する。
［Ｓ２１１］ 処理部２１は、アクセス管理サーバ１０
から受信したセッション鍵をセッション鍵データベース
２３に保存する。[S210] In the electronic device 20, the processing unit 21 receives the session key from the access management server 10. [S211] The processing unit 21 uses the access management server 10
The session key received from is stored in the session key database 23.
【００６１】［Ｓ２１２］ メッセージ認証部２２は、
リモート電子機器３０から、署名が付加されたメッセー
ジを受信する。なお、ここで受信したメッセージは、仮
の受信データであり、後述するステップＳ２１３の検証
により、正式に受信、あるいは破棄を判定する。[S212] The message authentication section 22
The signature-added message is received from the remote electronic device 30. The message received here is tentative received data, and it is officially determined to be received or discarded by verification in step S213 described later.
【００６２】［Ｓ２１３］ メッセージ認証部２２は、
セッション鍵データベース２３に保存されているセッシ
ョン鍵を利用して、受信したメッセージに付加されてい
る署名を検証する。すなわち、メッセージ認証を行う。
ここで、署名検証が成功した場合には、ステップＳ２１
４へ進み、成功しなかった（失敗した）場合には、ステ
ップＳ２１５へ進む。[S213] The message authentication unit 22
The session key stored in the session key database 23 is used to verify the signature added to the received message. That is, message authentication is performed.
If the signature verification is successful, step S21
If not successful (failed), the process proceeds to step S215.
【００６３】［Ｓ２１４］ メッセージ認証部２２は、
ステップＳ２１３にて、署名検証が成功した、すなわち
メッセージ認証が成功したので、ステップＳ２１２にて
受信したメッセージを正式に受信する。[S214] The message authentication unit 22
In step S213, the signature verification is successful, that is, the message authentication is successful, so the message received in step S212 is formally received.
【００６４】［Ｓ２１５］ メッセージ認証部２２は、
ステップＳ２１３にて、署名検証が失敗した、すなわち
メッセージ認証が失敗したので、ステップＳ２１２にて
受信したメッセージを破棄する。[S215] The message authentication unit 22
Since the signature verification has failed in step S213, that is, the message authentication has failed, the message received in step S212 is discarded.
【００６５】［Ｓ２１６］ メッセージ認証部２２は、
セッションが確立している間、ステップＳ２１２〜ステ
ップＳ２１５までの処理を繰り返す。なお、セッション
が確立しているとは、リモート電子機器３０と電子機器
２０との間において、一対一の論理的な接続関係が確立
している状態を指す。ここで、セッションが終了してい
る場合には、ステップＳ２１７へ進み、終了していない
場合には、ステップＳ２１２へ処理帰還する。[S216] The message authentication section 22
While the session is established, the processing from step S212 to step S215 is repeated. The term “established session” refers to a state in which a one-to-one logical connection relationship is established between the remote electronic device 30 and the electronic device 20. If the session has ended, the process proceeds to step S217, and if not ended, the process returns to step S212.
【００６６】［Ｓ２１７］ セッションが終了したの
で、セッション鍵データベース２３に保存されているセ
ッション鍵を破棄する。図９は、本発明のリモート電子
機器の基本動作を説明するフローチャートである。な
お、本フローチャートの説明は、各装置の名称を原理図
である図１、および装置各部の名称を機能ブロック図で
ある図４をもとにして行う。[S217] Since the session has ended, the session key stored in the session key database 23 is discarded. FIG. 9 is a flowchart explaining the basic operation of the remote electronic device of the present invention. The description of this flowchart will be given based on FIG. 1, which is a principle diagram showing names of respective devices, and FIG. 4, which is a functional block diagram showing names of respective parts of the devices.
【００６７】［Ｓ３０］ リモート電子機器３０におい
て、あらかじめアクセス管理サーバ１０に登録してある
鍵と対をなす鍵を、ユーザ認証鍵データベース３４に保
存する。ここで、この対をなす鍵とは、例えばあらかじ
め持ち出し可能な記憶媒体に記憶され、配布された鍵で
もよい。この記憶媒体は、読み取り装置に挿入すること
により、記憶されている鍵を読み取り、ユーザ認証鍵デ
ータベース３４に保存することができる。[S30] In the remote electronic device 30, the key paired with the key registered in advance in the access management server 10 is stored in the user authentication key database 34. Here, the paired keys may be keys that are stored in advance in a storage medium that can be taken out and distributed. By inserting the storage medium into the reading device, the stored key can be read and stored in the user authentication key database 34.
【００６８】［Ｓ３１］ 処理部３１は、セッションが
開始されているかどうかを判定する。ここで、セッショ
ンが開始された場合には、ステップＳ３２へ進み、セッ
ションが開始されない場合には、ステップＳ３１へ処理
帰還する。[S31] The processing section 31 determines whether or not a session is started. If the session is started, the process proceeds to step S32, and if the session is not started, the process returns to step S31.
【００６９】［Ｓ３２］ アクセス管理サーバ１０の管
理下にある電子機器２０との間で、署名付きメッセージ
の送受信を行うため、「リモート電子機器のセッション
通信処理」を行う。なお、「リモート電子機器のセッシ
ョン通信処理」の詳細については、図１０にて説明す
る。[S32] In order to send / receive a signed message to / from the electronic device 20 under the control of the access management server 10, "session communication process of remote electronic device" is performed. Details of the "session communication process of the remote electronic device" will be described with reference to FIG.
【００７０】［Ｓ３３］ 処理部３１は、ユーザがリモ
ート電子機器３０の使用を終了する、あるいは他のリモ
ート電子機器３０に移っていることを判定する。ここ
で、リモート電子機器３０を使用終了あるいは移動した
場合には、ステップＳ３４へ進み、使用終了あるいは移
動しない場合には、ステップＳ３１へ処理帰還し同様の
処理を繰り返す。[S33] The processing section 31 determines that the user has finished using the remote electronic device 30 or has moved to another remote electronic device 30. If the remote electronic device 30 is used or moved, the process proceeds to step S34. If the remote electronic device 30 is not used or moved, the process returns to step S31 and the same process is repeated.
【００７１】［Ｓ３４］ ユーザがリモート電子機器３
０の使用を終了する、あるいは他のリモート電子機器３
０に移っているので、ユーザ認証部３２は、ユーザ認証
鍵データベース３４に保存しているユーザ認証鍵を破棄
する。[S34] The user selects the remote electronic device 3
0 to end use or other remote electronic device 3
Since it has moved to 0, the user authentication unit 32 discards the user authentication key stored in the user authentication key database 34.
【００７２】図１０は、本発明の「リモート電子機器の
セッション通信処理」を説明するフローチャートであ
る。図９のステップＳ３２が実行されると、以下の流れ
に従って処理が行われる。この処理により、セッション
確立後の通信が行われる。なお、本フローチャートの説
明は、各装置の名称を原理図である図１、および装置各
部の名称を機能ブロック図である図４をもとにして行
う。FIG. 10 is a flow chart for explaining the "session communication process of the remote electronic device" of the present invention. When step S32 of FIG. 9 is executed, processing is performed according to the following flow. By this processing, communication is established after the session is established. The description of this flowchart will be given based on FIG. 1, which is a principle diagram showing names of respective devices, and FIG. 4, which is a functional block diagram showing names of respective parts of the devices.
【００７３】［Ｓ３２０］ リモート電子機器３０にお
いて、処理部３１は、ユーザ認証部３２に対して認証要
求を発行する。発行を受けたユーザ認証部３２は、アク
セス管理サーバ１０と通信して、ユーザの認証を行う。
ここで、ユーザ認証には、ユーザ認証鍵データベース３
４とアクセス管理サーバ１０とに保存されている一対の
認証鍵を利用する。なお、認証処理は、ユーザが正しい
鍵情報（例えば、暗号化用鍵情報に基づき暗号化された
データを、複合化用鍵情報に基づき複合化が可能な一対
の鍵情報）を保持していた場合のみ認証が可能なアルゴ
リズムであれば、どのような方式であっても構わない。[S320] In the remote electronic device 30, the processing section 31 issues an authentication request to the user authentication section 32. The issued user authentication unit 32 communicates with the access management server 10 to authenticate the user.
Here, for user authentication, the user authentication key database 3
4 and the access management server 10 use a pair of authentication keys. In the authentication process, the user holds the correct key information (for example, a pair of key information capable of decrypting data encrypted based on the encryption key information and decryption based on the decryption key information). In any case, any method may be used as long as it can be authenticated.
【００７４】［Ｓ３２１］ 処理部３１は、ユーザ認証
部３２からユーザ認証の結果を受け、次に行うべき処理
を判断する。ここで、ユーザ認証が成功した場合には、
ステップＳ３２２へ進み、成功しない（失敗した）場合
には、図９のステップＳ３２へ処理帰還する。[S321] The processing unit 31 receives the result of user authentication from the user authentication unit 32, and determines the next process to be performed. Here, if the user authentication is successful,
If the process does not succeed (fails) in step S322, the process returns to step S32 in FIG.
【００７５】［Ｓ３２２］ ステップＳ３２１にてユー
ザ認証が成功したので、処理部３１は、リモート電子機
器３０の鍵情報と、アクセスしたい電子機器２０の識別
子とを、アクセス管理サーバ１０に対して送信する。こ
こで、鍵情報とは、セッション鍵を生成するために必要
な情報であり、例えば利用可能な認証アルゴリズムや鍵
の長さ等である。[S322] Since the user authentication is successful in step S321, the processing section 31 transmits the key information of the remote electronic device 30 and the identifier of the electronic device 20 to be accessed to the access management server 10. . Here, the key information is information necessary for generating a session key, and is, for example, an available authentication algorithm or key length.
【００７６】［Ｓ３２３］ 処理部３１は、アクセス管
理サーバ１０からのセッション鍵を受信する。
［Ｓ３２４］ 処理部３１は、セッション鍵データベー
ス３５に、受信したセッション鍵を保存する。これによ
り、セッション鍵がリモート電子機器３０に設定され
る。[S323] The processing section 31 receives the session key from the access management server 10. [S324] The processing unit 31 stores the received session key in the session key database 35. As a result, the session key is set in the remote electronic device 30.
【００７７】［Ｓ３２５］ メッセージ認証部３３は、
セッション鍵データベース３５に保存されているセッシ
ョン鍵を利用して、そのセッションで送信するメッセー
ジの署名を生成する。なお署名の生成は、署名方式、す
なわちメッセージ認証に利用されるアルゴリズムが、各
セッションに最適であれば、どのような方式であっても
構わない。[S325] The message authentication unit 33
The session key stored in the session key database 35 is used to generate the signature of the message transmitted in the session. The signature may be generated by any method as long as the signature method, that is, the algorithm used for message authentication is optimal for each session.
【００７８】［Ｓ３２６］ メッセージ認証部３３は、
ステップＳ３２５にて生成した署名を付加したメッセー
ジを、アクセス管理サーバ１０の管理領域内にある電子
機器２０に対して送信する。[S326] The message authentication unit 33
The message added with the signature generated in step S325 is transmitted to the electronic device 20 in the management area of the access management server 10.
【００７９】［Ｓ３２７］ メッセージ認証部３３は、
セッションが終了したかどうかを判定する。ここで、セ
ッションが終了した場合には、ステップＳ３２８へ進
み、終了していない場合には、ステップＳ３２５へ処理
帰還し同様の処理を繰り返す。[S327] The message authentication unit 33
Determines if the session has ended. Here, if the session has ended, the process proceeds to step S328, and if not ended, the process returns to step S325 and the same process is repeated.
【００８０】［Ｓ３２８］ セッションが終了したの
で、セッション鍵データベース３５に保存されているセ
ッション鍵を破棄する。図１１は、本発明のリモート電
子機器とアクセス管理サーバと電子機器との間の動作を
説明するネットワークシーケンス図である。リモート電
子機器からのアクセス要求−メッセージ送受信は、以下
の流れに従って処理が行われる。またこの処理は、ユー
ザがリモート電子機器３０から、アクセス管理サーバ１
０の管理領域下にある電子機器２０にアクセスする度に
繰り返される。なお、本ネットワークシーケンス図の説
明は、各装置の名称を原理図である図１、および装置各
部の名称を機能ブロック図である図２、図３、および図
４をもとにして行う。[S328] Since the session has ended, the session key stored in the session key database 35 is discarded. FIG. 11 is a network sequence diagram for explaining the operation between the remote electronic device, the access management server, and the electronic device of the present invention. Access request-message transmission / reception from a remote electronic device is processed according to the following flow. In addition, this process is performed by the user from the remote electronic device 30 through the access management server 1
It is repeated every time the electronic device 20 under the management area of 0 is accessed. The description of this network sequence diagram will be made based on FIG. 1, which is a principle diagram of names of respective devices, and FIG. 2, FIG. 3, and FIG. 4, which are functional block diagrams of names of respective parts of the devices.
【００８１】［Ｓ１０００］ リモート電子機器３０に
おいて、処理部３１は、ユーザ認証部３２に対して、認
証要求を発行する（これは、既に説明したステップＳ３
２０に対応する）。[S1000] In the remote electronic device 30, the processing section 31 issues an authentication request to the user authentication section 32 (this is the step S3 already described).
Corresponding to 20).
【００８２】［Ｓ１００１］ リモート電子機器３０の
ユーザ認証部３２は、アクセス管理サーバ１０のユーザ
認証部１２と通信して、ユーザの認証を行う。ここで、
ユーザ認証には、それぞれのユーザ認証鍵データベース
１４、ユーザ認証鍵データベース３４に保存されている
一対の認証鍵を利用する（これは、既に説明したステッ
プＳ１２０、ステップＳ３２０に対応する）。[S1001] The user authentication unit 32 of the remote electronic device 30 communicates with the user authentication unit 12 of the access management server 10 to authenticate the user. here,
For user authentication, a pair of authentication keys stored in the respective user authentication key database 14 and user authentication key database 34 are used (this corresponds to steps S120 and S320 already described).
【００８３】［Ｓ１００２］ リモート電子機器３０に
おいて、ユーザ認証部３２は、処理部３１に対してユー
ザ認証の結果を返す。ここで、ユーザ認証が失敗した場
合には、これ以降の処理は行われずセッションを終了す
る（これは、既に説明したステップＳ１２０、ステップ
Ｓ３２１に対応する）。[S1002] In the remote electronic device 30, the user authentication section 32 returns the result of user authentication to the processing section 31. Here, when the user authentication fails, the process is not performed and the session is ended (this corresponds to step S120 and step S321 already described).
【００８４】［Ｓ１００３］ リモート電子機器３０の
処理部３１は、アクセス管理サーバ１０の処理部１１に
対して、リモート電子機器３０の鍵情報と、アクセスし
たい電子機器２０の識別子を送信する（これは、既に説
明したステップＳ３２２に対応する）。[S1003] The processing unit 31 of the remote electronic device 30 transmits the key information of the remote electronic device 30 and the identifier of the electronic device 20 to be accessed to the processing unit 11 of the access management server 10 (this is , Corresponding to step S322 already described).
【００８５】［Ｓ１００４］ アクセス管理サーバ１０
において、処理部１１は、セッション鍵生成部１３に対
して、機器鍵情報データベース１５から得られる、受信
した機器の識別子に対応する鍵情報とともに、受信した
鍵情報を渡す（これは、既に説明したステップＳ１２１
に対応する）。[S1004] Access management server 10
In, the processing unit 11 passes the received key information together with the key information corresponding to the received device identifier, which is obtained from the device key information database 15, to the session key generation unit 13 (this has already been described. Step S121
Corresponding to).
【００８６】［Ｓ１００５］ アクセス管理サーバ１０
において、セッション鍵生成部１３は、渡された鍵情報
からセッション鍵を生成する（これは、既に説明したス
テップＳ１２２に対応する）。[S1005] Access management server 10
At, the session key generation unit 13 generates a session key from the passed key information (this corresponds to step S122 already described).
【００８７】［Ｓ１００６］ アクセス管理サーバ１０
において、セッション鍵生成部１３は、処理部１１に対
して、生成したセッション鍵を渡す（これは、既に説明
したステップＳ１２２に対応する）。[S1006] Access management server 10
In, the session key generation unit 13 passes the generated session key to the processing unit 11 (this corresponds to step S122 already described).
【００８８】［Ｓ１００７］ アクセス管理サーバ１０
の処理部１１は、電子機器２０の処理部２１に対して、
生成したセッション鍵を送信する（これは、既に説明し
たステップＳ１２３に対応する）。[S1007] Access management server 10
The processing unit 11 of the
The generated session key is transmitted (this corresponds to step S123 already described).
【００８９】［Ｓ１００８］ 電子機器２０において、
処理部２１は、セッション鍵データベース２３に、受信
したセッション鍵を保存する（これは、既に説明したス
テップＳ２１０、ステップＳ２１１に対応する）。[S1008] In the electronic device 20,
The processing unit 21 stores the received session key in the session key database 23 (this corresponds to steps S210 and S211 described above).
【００９０】［Ｓ１００９］ アクセス管理サーバ１０
の処理部１１は、リモート電子機器３０の処理部３１に
対して、生成したセッション鍵を送信する（これは、既
に説明したステップＳ１２４に対応する）。[S1009] Access management server 10
The processing unit 11 transmits the generated session key to the processing unit 31 of the remote electronic device 30 (this corresponds to step S124 already described).
【００９１】［Ｓ１０１０］ リモート電子機器３０に
おいて、処理部３１は、セッション鍵データベース３５
に、受信したセッション鍵を保存する（これは、既に説
明したステップＳ３２３、ステップＳ３２４に対応す
る）。[S1010] In the remote electronic device 30, the processing section 31 determines the session key database 35.
Then, the received session key is stored (this corresponds to steps S323 and S324 already described).
【００９２】［Ｓ１０１１］ リモート電子機器３０に
おいて、メッセージ認証部３３は、セッション鍵データ
ベース３５に保存されているセッション鍵を利用して、
そのセッションで送信するメッセージの署名を生成する
（これは、既に説明したステップＳ３２５に対応す
る）。[S1011] In the remote electronic device 30, the message authenticating unit 33 uses the session key stored in the session key database 35,
Generate a signature for the message to be sent in that session (this corresponds to step S325 already described).
【００９３】［Ｓ１０１２］ リモート電子機器３０の
メッセージ認証部３３は、電子機器２０のメッセージ認
証部２２に対して、署名を付加したメッセージを送信す
る（これは、既に説明したステップＳ３２６に対応す
る）。[S1012] The message authentication unit 33 of the remote electronic device 30 transmits the message with the signature to the message authentication unit 22 of the electronic device 20 (this corresponds to step S326 already described). .
【００９４】［Ｓ１０１３］ 電子機器２０において、
メッセージ認証部２２は、セッション鍵データベース２
３に保存されているセッション鍵を利用して、受信した
メッセージの署名を検証する。署名検証が失敗した、す
なわちメッセージ認証が失敗した場合、そのメッセージ
は破棄される。署名検証が成功した、すなわちメッセー
ジ認証が成功した場合、そのメッセージは受信される。
そして、ステップＳ１０１１〜ステップＳ１０１３まで
の処理が、セッションが続く限り繰り返される（これ
は、既に説明したステップＳ２１２〜Ｓ２１６、ステッ
プＳ３２７に対応する）。[S1013] In the electronic device 20,
The message authentication unit 22 uses the session key database 2
The signature of the received message is verified using the session key stored in 3. If the signature verification fails, ie message authentication fails, the message is discarded. If the signature verification is successful, ie the message authentication is successful, the message is received.
Then, the processes of steps S1011 to S1013 are repeated as long as the session continues (this corresponds to steps S212 to S216 and step S327 already described).
【００９５】セッションが確立している間、上記のよう
な処理が行われる。なお、セッションが終了したら、電
子機器２０とリモート電子機器３０との、各セッション
鍵データベース２３、３５に保存されているセッション
鍵を破棄する。また、ユーザがリモート電子機器３０の
使用を終了する、あるいは他のリモート電子機器３０に
移るときには、ユーザ認証鍵データベース３４に保存し
ていた認証鍵は破棄する（これは、既に説明したステッ
プＳ３３、ステップＳ３４、ステップＳ２１６、ステッ
プＳ２１７、ステップＳ３２７、およびステップＳ３２
８に対応する）。While the session is established, the above processing is performed. When the session ends, the session keys stored in the session key databases 23 and 35 of the electronic device 20 and the remote electronic device 30 are discarded. When the user finishes using the remote electronic device 30 or moves to another remote electronic device 30, the authentication key stored in the user authentication key database 34 is discarded (this is the step S33, which has already been described). Step S34, Step S216, Step S217, Step S327, and Step S32
8).
【００９６】次に、具体例を用いて一実施例の全体構
成、動作および流れを説明する。図１２は本発明のアク
セス制御システムの具体的な例を示す全体構成図であ
る。なお、図１２に図示する数字（丸で囲ってある数字
１〜７）は、次の（１）〜（７）に対応する。Next, the overall structure, operation and flow of one embodiment will be described using a specific example. FIG. 12 is an overall configuration diagram showing a specific example of the access control system of the present invention. The numbers shown in FIG. 12 (numbers 1 to 7 circled) correspond to the following (1) to (7).
【００９７】次世代のインターネットプロトコルである
ＩＰｖ６では、広大なアドレス空間の恩恵により、世界
中の全ての電子機器をインターネットに直接接続するこ
とが現実となる。本発明のシステムは、このように世界
中の電子機器がファイアウォール等で守られずに、イン
ターネットに直接接続される場合等に応用可能なアクセ
ス制御システムである。そこで、一実施例として、ＩＰ
ｖ６ネットワークを採用した場合での例を挙げる。In IPv6, which is the next-generation Internet protocol, it is a reality that all electronic devices in the world are directly connected to the Internet by virtue of the vast address space. The system of the present invention is an access control system that can be applied when electronic devices all over the world are directly connected to the Internet without being protected by a firewall or the like. Therefore, as one embodiment, IP
An example when the v6 network is adopted will be given.
【００９８】本発明のシステムにおけるメッセージ認証
の仕組みとしては、ＩＰｖ６で標準的に組み込まれてい
る、ＩＰｓｅｃ ＡＨをそのまま採用できる。この場
合、機器の鍵情報としてはＩＰｓｅｃのＳＡが利用され
る。As a mechanism of message authentication in the system of the present invention, IPsec AH, which is standardly incorporated in IPv6, can be adopted as it is. In this case, SA of IPsec is used as the key information of the device.
【００９９】本発明のシステムにおけるユーザ認証の仕
組みとしては、公開鍵暗号の１つであるＲＳＡを採用す
る。ある家庭で、インターネットに接続されたアクセス
管理サーバが設置され、インターネットに接続されたビ
デオデッキがその管理下に置かれている場合を想定す
る。そして、その家族が、インターネットに接続された
端末であるコンピュータを使い、外出先からビデオデッ
キを遠隔操作する例について考える。As a mechanism of user authentication in the system of the present invention, RSA which is one of public key cryptography is adopted. It is assumed that an access management server connected to the Internet is installed at a certain home, and a VCR connected to the Internet is under its control. Then, let us consider an example in which the family uses a computer, which is a terminal connected to the Internet, to remotely control the VCR from outside.
【０１００】まず、全体構成について説明する。アクセ
ス制御システム１は、アクセス管理サーバ１０と、電子
機器２０に分類されるビデオデッキ２０ａと、リモート
電子機器３０に分類されるパーソナルコンピュータ３０
ａとがＩＰｖ６に基づくネットワーク４０によって接続
されたネットワーク環境において構成される。First, the overall structure will be described. The access control system 1 includes an access management server 10, a video deck 20 a classified as an electronic device 20, and a personal computer 30 classified as a remote electronic device 30.
a is configured in a network environment in which a and a are connected by a network 40 based on IPv6.
【０１０１】次に、動作および流れ（１）〜（７）につ
いて説明する。
（１） ユーザは、あらかじめアクセス管理サーバ１０
に対して、ＲＳＡの公開鍵を登録する。Next, the operation and flow (1) to (7) will be described. (1) The user has the access management server 10 in advance.
, The public key of RSA is registered.
【０１０２】（２） 一方、対となるもう片方のＲＳＡ
の秘密鍵については、容易に持ち運び可能な記憶媒体
（図面上および本文では、以下仮にフレキシブルディス
クと表現）に保存し、常に保持する。なお、記憶媒体と
は、フレキシブルディスク、ＭＯ、ＺＩＰ、ＣＤ−Ｒ、
ＣＤ−ＲＷ、あるいは読み書き可能な不揮発性の半導体
メモリ（例えばフラッシュ・メモリ）等である。(2) On the other hand, the other RSA that forms a pair
The private key is stored in an easily portable storage medium (in the drawings and the text, hereafter, temporarily referred to as a flexible disk) and always retained. The storage medium is a flexible disk, MO, ZIP, CD-R,
It is a CD-RW or a readable / writable nonvolatile semiconductor memory (for example, a flash memory).
【０１０３】（３） 初期化動作として、ビデオデッキ
２０ａからアクセス管理サーバ１０へ、管理領域参加の
登録を行う。
（４） ユーザが外出先において、ある番組のビデオ録
画を行いたくなった場合には、ネットワーク４０に接続
されたリモート電子機器３０、例えばオフィスで利用し
ているパーソナルコンピュータ３０ａ（図面に例示）や
携帯情報端末、携帯端末等にフレキシブルディスクを挿
す。ここで秘密鍵は、ユーザ認証鍵データベース３４へ
格納される。(3) As initialization operation, registration of management area participation is performed from the video deck 20a to the access management server 10. (4) When the user wants to record a video of a certain program on the go, the remote electronic device 30 connected to the network 40, for example, the personal computer 30a used in the office (illustrated in the drawing), Insert a flexible disk into a mobile information terminal, mobile terminal, etc. Here, the private key is stored in the user authentication key database 34.
【０１０４】（５） 公開鍵や秘密鍵をもとにして、パ
ーソナルコンピュータ３０ａとアクセス管理サーバ１０
との間で、ユーザのＲＳＡ認証が行われる。
（６） その後、アクセス管理サーバ１０は、パーソナ
ルコンピュータ３０ａと、ビデオデッキ２０ａとで利用
可能な認証アルゴリズムを比較し、例えばＳＨＡ−１が
利用可能な場合には、その鍵として乱数を生成し、パー
ソナルコンピュータ３０ａとビデオデッキ２０ａとの間
でＩＰｓｅｃ ＡＨの通信が可能となるようにＳＡを設
定する。(5) Based on the public key and the secret key, the personal computer 30a and the access management server 10
RSA authentication of the user is performed between and. (6) After that, the access management server 10 compares the authentication algorithms that can be used by the personal computer 30a and the video deck 20a, and if SHA-1 is available, for example, generates a random number as its key, SA is set to enable IPsec AH communication between the personal computer 30a and the video deck 20a.
【０１０５】（７） ＳＡが確立されたので、パーソナ
ルコンピュータ３０ａにおいて、ビデオデッキ２０ａの
遠隔操作アプリケーションを起動するなどして、安全に
遠隔操作が可能となる。(7) Since the SA is established, the remote operation can be safely performed on the personal computer 30a by starting the remote operation application of the video deck 20a.
【０１０６】以上の構成により、アクセス管理サーバ１
０によりユーザ認証を行い、メッセージ送受信時にもメ
ッセージ認証を行うことにより、ユーザが移動しても容
易にアクセスすることができ、また安全な通信が可能に
なる。With the above configuration, the access management server 1
By performing user authentication by 0 and performing message authentication at the time of message transmission and reception, it is possible to easily access even if the user moves and secure communication is possible.
【０１０７】なお、上記の説明では、「認証鍵を配布」
について記憶媒体を利用したが、セキュリティが確保さ
れた別の受け渡し手段、例えば通信による受け渡しも同
様に適用できる。In the above description, "distribute authentication key"
Although the storage medium is used for the above, another delivery means with secured security, for example, delivery by communication can be similarly applied.
【０１０８】[0108]
【発明の効果】以上説明したように、ユーザは鍵のみを
保持するようにしたので、場所や、どのリモート電子機
器からアクセスするかに依存せず、安全に電子機器にア
クセスすることが可能となる。As described above, since the user holds only the key, it is possible to safely access the electronic device regardless of the place or from which remote electronic device the access is made. Become.
【０１０９】また、ユーザ認証鍵は、全ての機器への設
定が必要無く、アクセス管理サーバのみを設定するよう
にしたので、ユーザ認証鍵の設定回数が低減し、ユーザ
の利便性を向上することが可能となる。Since the user authentication key does not need to be set for all devices and only the access management server is set, the number of times the user authentication key is set can be reduced and user convenience can be improved. Is possible.
【０１１０】さらに、アクセス管理サーバ管理下の電子
機器において要求される処理を、アクセス管理サーバに
より行うようにしたので、計算資源の少ない電子機器で
も自動的なセッション鍵の設定が容易となる。Further, since the access management server performs the processing required by the electronic device under the control of the access management server, the automatic setting of the session key can be facilitated even in the electronic device having a small number of computational resources.
【図１】本発明のアクセス制御システムの原理図であ
る。FIG. 1 is a principle diagram of an access control system of the present invention.
【図２】本発明のアクセス管理サーバの処理機能を示し
た機能ブロック図である。FIG. 2 is a functional block diagram showing processing functions of an access management server of the present invention.
【図３】本発明の電子機器の処理機能を示した機能ブロ
ック図である。FIG. 3 is a functional block diagram showing processing functions of the electronic device of the present invention.
【図４】本発明のリモート電子機器の処理機能を示した
機能ブロック図である。FIG. 4 is a functional block diagram showing processing functions of the remote electronic device of the present invention.
【図５】本発明のアクセス管理サーバの基本動作を説明
するフローチャートである。FIG. 5 is a flowchart illustrating a basic operation of the access management server of the present invention.
【図６】本発明のセッション鍵生成処理を説明するフロ
ーチャートである。FIG. 6 is a flowchart illustrating a session key generation process of the present invention.
【図７】本発明の電子機器の基本動作を説明するフロー
チャートである。FIG. 7 is a flowchart illustrating a basic operation of the electronic device of the invention.
【図８】本発明の電子機器のセッション通信処理を説明
するフローチャートである。FIG. 8 is a flowchart illustrating a session communication process of the electronic device of the invention.
【図９】本発明のリモート電子機器の基本動作を説明す
るフローチャートである。FIG. 9 is a flowchart illustrating the basic operation of the remote electronic device of the present invention.
【図１０】本発明のリモート電子機器のセッション通信
処理を説明するフローチャートである。FIG. 10 is a flowchart illustrating session communication processing of the remote electronic device of the present invention.
【図１１】本発明のリモート電子機器とアクセス管理サ
ーバと電子機器との間の動作を説明するネットワークシ
ーケンス図である。FIG. 11 is a network sequence diagram for explaining the operation between the remote electronic device, the access management server, and the electronic device of the present invention.
【図１２】本発明のアクセス制御システムの具体的な例
を示す全体構成図である。FIG. 12 is an overall configuration diagram showing a specific example of an access control system of the present invention.
１・・・アクセス制御システム、１０・・・アクセス管
理サーバ、１１・・・処理部、１２・・・ユーザ認証
部、１３・・・セッション鍵生成部、１４・・・ユーザ
認証鍵データベース、１５・・・機器鍵情報データベー
ス、１６・・・ネットワークインタフェース、２０・・
・電子機器、２１・・・処理部、２２・・・メッセージ
認証部、２３・・・セッション鍵データベース、２４・
・・ネットワークインタフェース、３０・・・リモート
電子機器、３１・・・処理部、３２・・・ユーザ認証
部、３３・・・メッセージ認証部、３４・・・ユーザ認
証鍵データベース、３５・・・セッション鍵データベー
ス、３６・・・ネットワークインタフェース、４０・・
・ネットワークDESCRIPTION OF SYMBOLS 1 ... Access control system, 10 ... Access management server, 11 ... Processing part, 12 ... User authentication part, 13 ... Session key generation part, 14 ... User authentication key database, 15 ... Device key information database, 16 ... Network interface, 20 ...
Electronic device, 21 ... processing unit, 22 ... message authentication unit, 23 ... session key database, 24 ...
..Network interface, 30 ... Remote electronic device, 31 ... Processing unit, 32 ... User authentication unit, 33 ... Message authentication unit, 34 ... User authentication key database, 35 ... Session Key database, 36 ... Network interface, 40 ...
·network
Claims (13)
クセスを制御するアクセス制御システムにおいて、 ネットワークの管理領域外からの接続を認証するための
認証鍵と対をなす鍵を登録し、前記ネットワークの管理
領域外へ前記認証鍵を配布し、前記ネットワークの管理
領域外からの接続要求に対して認証を行い、メッセージ
認証のためのセッション鍵を生成し、前記セッション鍵
を送信するアクセス管理サーバと、 前記アクセス管理サーバへ登録情報を送信することで管
理配下に参加となり、前記セッション鍵を受信し、前記
セッション鍵により前記メッセージ認証を伴う通信を行
う電子機器と、 前記ネットワークの管理領域外から接続要求し、配布さ
れた前記認証鍵を利用して前記アクセス管理サーバとの
前記認証を行い、受信した前記セッション鍵により、前
記電子機器との前記メッセージ認証を伴う通信を行うリ
モート電子機器と、 を有することを特徴とするアクセス制御システム。1. An access control system for controlling access to an electronic device connected to a network, wherein a key paired with an authentication key for authenticating a connection from outside the management area of the network is registered to manage the network. An access management server that distributes the authentication key outside the area, authenticates a connection request from outside the management area of the network, generates a session key for message authentication, and transmits the session key; By sending registration information to the access management server, it becomes a member under the management, receives the session key, and makes a connection request from outside the management area of the network with an electronic device that performs communication with the message authentication using the session key. , Authenticates with the access management server using the distributed authentication key, and receives An access control system, comprising: a remote electronic device that communicates with the electronic device with the message authentication using the session key.
に保存することで持ち歩くことができ、前記ネットワー
クの管理領域外にある前記リモート電子機器で使用する
ことにより、前記アクセス管理サーバの管理領域内にあ
る前記電子機器へどこからでもアクセスすることができ
ることを特徴とする請求項１記載のアクセス制御システ
ム。2. The management key of the access management server can be carried by storing the authentication key in a portable storage medium and used by the remote electronic device outside the management area of the network. 2. The access control system according to claim 1, wherein the electronic device inside can be accessed from anywhere.
することにより、前記認証鍵の初回設定回数を低減する
ことを特徴とする請求項１記載のアクセス制御システ
ム。3. The access control system according to claim 1, wherein the authentication reduces the number of times the authentication key is initially set by interposing an access management server.
理し、アクセスを制御するアクセス管理サーバにおい
て、 処理全般を受け持つ処理部と、 管理領域内へのアクセス要求に対する認証を行うユーザ
認証部と、 セッション鍵の生成を行うセッション鍵生成部と、 前記認証を行うための鍵情報を保存するユーザ認証鍵デ
ータベースと、 管理する電子機器の登録情報である鍵情報を保存する機
器鍵情報データベースと、 前記ネットワークを介した通信を行うネットワークイン
タフェースと、 を有することを特徴とするアクセス管理サーバ。4. An access management server that manages electronic devices connected to a network and controls access, a processing unit that is responsible for overall processing, a user authentication unit that authenticates an access request to the management area, and a session. A session key generation unit that generates a key, a user authentication key database that stores key information for performing the authentication, a device key information database that stores key information that is registration information of an electronic device to be managed, and the network An access management server comprising: a network interface that performs communication via the.
理される電子機器において、 セッション鍵の設定を行う処理部と、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証部と、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベースと、 前記ネットワークを介した通信を行うネットワークイン
タフェースと、 を有することを特徴とする電子機器。5. An electronic device connected to a network and managed by a server, a processing unit that sets a session key, a message authentication unit that performs message authentication in communication via the network, and the message authentication. An electronic device, comprising: a session key database for storing key information including the session key, and a network interface for performing communication via the network.
される領域内へ接続するリモート電子機器において、 セッション鍵の設定と認証の指令とを行う処理部と、 管理領域内へアクセスするための前記認証を行うユーザ
認証部と、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証部と、 前記認証を行うための鍵情報を保存するユーザ認証鍵デ
ータベースと、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベースと、 前記ネットワークを介した通信を行うネットワークイン
タフェースと、 を有することを特徴とするリモート電子機器。6. A remote electronic device connected to a security-controlled area from outside the network, a processing unit for setting a session key and issuing an authentication command, and a user for performing the authentication to access the management area. An authentication unit, a message authentication unit that performs message authentication in communication via a network, a user authentication key database that stores key information for performing the authentication, and a session key that performs the message authentication. A remote electronic device comprising: a session key database that stores key information; and a network interface that performs communication via the network.
クセスを制御するアクセス制御方法において、 電子機器を管理する装置により、ネットワークの管理領
域外からの接続を認証するための認証鍵と対をなす鍵を
登録し、前記ネットワークの管理領域外へ前記認証鍵を
配布し、前記ネットワークの管理領域外からの接続要求
を認証し、メッセージ認証のためのセッション鍵を生成
してから送信し、 管理される装置により、前記電子機器を管理する装置へ
登録情報を送信することで管理配下に参加し、前記セッ
ション鍵を受信し、前記セッション鍵を利用して前記メ
ッセージ認証を伴う通信を行い、 前記管理される装置へ外部から接続する装置により、前
記ネットワークの管理領域外から接続要求し、配布され
た前記認証鍵を利用して前記管理する装置との認証を行
い、前記管理される装置へ接続し、受信した前記セッシ
ョン鍵を利用して前記メッセージ認証を伴う通信を行う
ことを特徴とするアクセス制御方法。7. An access control method for controlling access to an electronic device connected to a network, which is paired with an authentication key for authenticating a connection from outside the management area of the network by a device managing the electronic device. Is registered, the authentication key is distributed to the outside of the management area of the network, a connection request from outside the management area of the network is authenticated, a session key for message authentication is generated, transmitted, and managed. The device participates under management by transmitting registration information to a device that manages the electronic device, receives the session key, performs communication with the message authentication using the session key, and manages the session key. A connection request is made from outside the management area of the network by a device externally connecting to the device, and the management key is distributed using the distributed authentication key. An access control method comprising: authenticating with a managed device, connecting to the managed device, and using the received session key to perform communication with the message authentication.
理し、アクセスを制御する処理をコンピュータに実現さ
せるプログラムにおいて、 コンピュータを、 処理全般を受け持つ処理機能、 管理領域内へのアクセス要求に対する認証を行うユーザ
認証機能、 セッション鍵の生成を行うセッション鍵生成機能、 前記認証を行うための鍵情報を記憶装置内に保存するユ
ーザ認証鍵データベース機能、 管理する電子機器の登録情報である鍵情報を前記記憶装
置内に保存する機器鍵情報データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラム。8. A program for causing a computer to realize a process of managing an electronic device connected to a network and controlling access to the computer, performing a processing function of performing the entire process of the computer, and authenticating an access request to the management area. A user authentication function, a session key generation function for generating a session key, a user authentication key database function for storing the key information for performing the authentication in a storage device, and a key information which is registration information of a managed electronic device is stored in the storage. A program implemented as a device key information database function stored in the device and a network interface function for performing communication via the network.
理される処理をコンピュータに実現させるプログラムに
おいて、 コンピュータを、 セッション鍵の設定を行う処理機能、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証機能、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラム。9. A program for connecting a computer to a network and realizing the process managed by a server in a computer, a processing function for setting a session key for the computer, and a message authentication function for performing message authentication in communication via a network. A program implemented as a session key database function for storing key information including the session key for performing the message authentication, and a network interface function for performing communication via the network.
理される領域内へ接続する処理をコンピュータに実現さ
せるプログラムにおいて、 コンピュータを、 セッション鍵の設定と認証の指令とを行う処理機能、 管理領域内へアクセスするための前記認証を行うユーザ
認証機能、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証機能、 前記認証を行うための鍵情報を保存するユーザ認証鍵デ
ータベース機能、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラム。10. A program for causing a computer to perform a process of connecting to the area controlled by security from outside the network, the computer having a processing function of setting a session key and issuing an authentication command, for accessing the management area. The user authentication function for performing the authentication, the message authentication function for performing the message authentication in the communication via the network, the user authentication key database function for storing the key information for the authentication, the message authentication for performing the message authentication, A program implemented as a session key database function for storing key information including a session key, and a network interface function for performing communication via the network.
管理し、アクセスを制御する処理をコンピュータに実現
させるプログラムを記録したコンピュータ読み取り可能
な記録媒体において、 コンピュータを、 処理全般を受け持つ処理機能、 管理領域内へのアクセス要求に対する認証を行うユーザ
認証機能、 セッション鍵の生成を行うセッション鍵生成機能、 前記認証を行うための鍵情報を記憶装置内に保存するユ
ーザ認証鍵データベース機能、 管理する電子機器の登録情報である鍵情報を前記記憶装
置内に保存する機器鍵情報データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラムを記録したコンピュータ読
み取り可能な記録媒体。11. A computer-readable recording medium in which a program for causing a computer to realize a process of managing an electronic device connected to a network and controlling access is recorded. User authentication function for authenticating access request to the inside, session key generation function for generating session key, user authentication key database function for storing key information for the authentication in a storage device, management electronic device A computer-readable recording medium recording a program realized as a device key information database function of storing key information as registration information in the storage device, and a network interface function of performing communication via the network.
管理される処理をコンピュータに実現させるプログラム
を記録したコンピュータ読み取り可能な記録媒体におい
て、 コンピュータを、 セッション鍵の設定を行う処理機能、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証機能、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラムを記録したコンピュータ読
み取り可能な記録媒体。12. A computer-readable recording medium having a program connected to a network for causing a computer to realize a process managed by a server, the computer having a processing function of setting a session key, and communication via the network. , A message authentication function for performing message authentication, a session key database function for storing key information including the session key for performing the message authentication, and a network interface function for performing communication via the network. The recorded computer-readable recording medium.
理される領域内へ接続する処理をコンピュータに実現さ
せるプログラムを記録したコンピュータ読み取り可能な
記録媒体において、 コンピュータを、 セッション鍵の設定と認証の指令とを行う処理機能、 管理領域内へアクセスするための前記認証を行うユーザ
認証機能、 ネットワークを介した通信において、メッセージ認証を
行うメッセージ認証機能、 前記認証を行うための鍵情報を保存するユーザ認証鍵デ
ータベース機能、 前記メッセージ認証を行うための、前記セッション鍵を
含む鍵情報を保存するセッション鍵データベース機能、 前記ネットワークを介した通信を行うネットワークイン
タフェース機能、 として実現させるプログラムを記録したコンピュータ読
み取り可能な記録媒体。13. A process for setting a session key and issuing an authentication command to a computer in a computer-readable recording medium in which a program for causing a computer to perform a process for connecting to a security-managed area from outside a network is recorded. Function, user authentication function for performing the authentication for accessing the management area, message authentication function for performing message authentication in communication via a network, user authentication key database function for storing key information for the authentication, A computer readable record storing a program to be realized as a session key database function for storing key information including the session key for performing the message authentication, and a network interface function for performing communication via the network. Media.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001329661A JP2003132028A (en) | 2001-10-26 | 2001-10-26 | Access control system, access control server, electronic device, remote electronic device and access control method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001329661A JP2003132028A (en) | 2001-10-26 | 2001-10-26 | Access control system, access control server, electronic device, remote electronic device and access control method |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2003132028A true JP2003132028A (en) | 2003-05-09 |
Family
ID=19145525
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001329661A Pending JP2003132028A (en) | 2001-10-26 | 2001-10-26 | Access control system, access control server, electronic device, remote electronic device and access control method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2003132028A (en) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2006121122A1 (en) * | 2005-05-11 | 2006-11-16 | Sony Corporation | Server device, inter-server device connection method, program, and recording medium |
| WO2006121133A1 (en) * | 2005-05-11 | 2006-11-16 | Sony Corporation | Processing device, method for establishing processing device communication session, program, and recording medium |
| JP2007318185A (en) * | 2005-05-11 | 2007-12-06 | Sony Corp | Server device, inter-server device connection method, program, and recording medium |
| JP2009009582A (en) * | 2004-06-07 | 2009-01-15 | Panasonic Corp | Server device, communication device, communication system, program, and recording medium |
| US7958361B2 (en) | 2005-07-25 | 2011-06-07 | Canon Kabushiki Kaisha | Information processing apparatus and method |
| CN111788458A (en) * | 2018-02-21 | 2020-10-16 | 三菱电机株式会社 | In-vehicle function access control system, in-vehicle device and in-vehicle function access control method |
-
2001
- 2001-10-26 JP JP2001329661A patent/JP2003132028A/en active Pending
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009009582A (en) * | 2004-06-07 | 2009-01-15 | Panasonic Corp | Server device, communication device, communication system, program, and recording medium |
| WO2006121122A1 (en) * | 2005-05-11 | 2006-11-16 | Sony Corporation | Server device, inter-server device connection method, program, and recording medium |
| WO2006121133A1 (en) * | 2005-05-11 | 2006-11-16 | Sony Corporation | Processing device, method for establishing processing device communication session, program, and recording medium |
| JP2007318185A (en) * | 2005-05-11 | 2007-12-06 | Sony Corp | Server device, inter-server device connection method, program, and recording medium |
| CN100470521C (en) * | 2005-05-11 | 2009-03-18 | 索尼株式会社 | Processing device, method for establishing processing device communication session, program, and recording medium |
| US7720981B2 (en) | 2005-05-11 | 2010-05-18 | Sony Corporation | Processing device, method for establishing processing device communication session, program, and recording medium |
| US7856504B2 (en) | 2005-05-11 | 2010-12-21 | Sony Corporation | Server device, inter-server device connection method, program, and recording medium |
| US7958361B2 (en) | 2005-07-25 | 2011-06-07 | Canon Kabushiki Kaisha | Information processing apparatus and method |
| CN111788458A (en) * | 2018-02-21 | 2020-10-16 | 三菱电机株式会社 | In-vehicle function access control system, in-vehicle device and in-vehicle function access control method |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4487490B2 (en) | Information processing apparatus, access control processing method, information processing method, and computer program | |
| KR101038612B1 (en) | Information processing apparatus, and information processing method | |
| US7257636B2 (en) | Inter-working method of wireless internet networks (gateways) | |
| JP4583167B2 (en) | Transitive authentication, authorization, and accounting for interconnections between access networks | |
| JP4648148B2 (en) | Connection support device | |
| CN1842993B (en) | provide certificate | |
| WO2004032452A1 (en) | Apparatuses, method and computer software products for controlling a home terminal | |
| JPWO2005101217A1 (en) | Address translation method, access control method, and apparatus using those methods | |
| US8788821B2 (en) | Method and apparatus for securing communication between a mobile node and a network | |
| JP3833652B2 (en) | Network system, server device, and authentication method | |
| KR100687415B1 (en) | ISP communication system, communication method, and recording medium for simplified signal processing | |
| JP2005236728A (en) | Server device, request issuing device, request accepting device, communication system, and communication method | |
| JP2003132028A (en) | Access control system, access control server, electronic device, remote electronic device and access control method | |
| JP2006109152A (en) | Connection request device, response device, connection management device, and communication system for communication on network | |
| WO2008006309A1 (en) | Method and apparatus for determining service type of key request | |
| JP4109273B2 (en) | Network connection system, network connection device and program | |
| JP7656065B2 (en) | Secure key management device, authentication system, wide area network, and method for generating session keys - Patents.com | |
| TWI448128B (en) | Method and apparatus for interworking authorization of dual stack operation | |
| JP4152391B2 (en) | Access control system, terminal and gateway device used therefor | |
| JP2003152805A (en) | Public access system and apparatus, and server | |
| JP2005303784A (en) | Server device, request issuing device, request accepting device, communication system, communication method, and program | |
| JP2003023432A (en) | Network access control method suitable for wireless lan, system and program thereof | |
| KR20050043288A (en) | Method for authentication between mobile internet protocol version 6 mobile node and home diameter server | |
| JP2005311747A (en) | Server device, request issuing device, request accepting device, communication system, and program | |
| KR20060064507A (en) | Home network security optimization device and method |