JP2004274359A

JP2004274359A - Communication network system, communication terminal, authentication device, authentication server, and electronic authentication method

Info

Publication number: JP2004274359A
Application number: JP2003061878A
Authority: JP
Inventors: Hidenori Aoki; 秀憲青木
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2003-03-07
Filing date: 2003-03-07
Publication date: 2004-09-30
Anticipated expiration: 2023-03-07
Also published as: JP3964338B2

Abstract

【課題】通信端末機の認証を必要時に即時行うことができ、また、その認証に必要な認証情報を容易に管理することができる通信ネットワークシステムを提供する。
【解決手段】通信端末機１０において、携帯電話基地局１９及び携帯電話回線網１８を介して、認証装置１７から認証情報を取得して記憶すると共に、認証サーバ１４において、インターネット１６を介して認証装置１７から認証情報を取得して記憶しておき、通信端末機１０が自機の認証を行う際に、自機に記憶された認証情報を無線ＬＡＮ基地局１２及び自営ＬＡＮ１３を介して認証サーバ１４へ送信し、この送信された認証情報と認証サーバ１４に記憶された認証情報とが一致する場合に、通信端末機１０に認証を許可する。
【選択図】図１Provided is a communication network system capable of immediately performing authentication of a communication terminal when necessary and easily managing authentication information required for the authentication.
A communication terminal acquires and stores authentication information from an authentication device via a mobile phone base station and a mobile phone network, and performs authentication on an authentication server via the Internet. The authentication information is acquired from the device 17 and stored, and when the communication terminal 10 authenticates itself, the authentication information stored in the communication terminal 10 is transmitted to the authentication server via the wireless LAN base station 12 and the private LAN 13. When the transmitted authentication information matches the authentication information stored in the authentication server 14, the communication terminal 10 is permitted to perform authentication.
[Selection diagram] Fig. 1

Description

【０００１】
【発明の属する技術分野】
本発明は、電話機能の他に無線又は有線ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）に接続できる機能を有する携帯電話機、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｃｅ）および固定の据置型電話機等の通信端末機が、企業のＬＡＮや家庭内のＬＡＮ等の自営ＬＡＮに接続するために必要な認証を行い、この認証に必要な認証情報を管理する通信ネットワークシステム、通信端末機、認証装置、認証サーバ、及び電子認証方法に関する。
【０００２】
【従来の技術】
通信端末機である例えば携帯電話機においては、電話番号という識別子により利用者の情報が管理されている。また、ＬＡＮの中の無線ＬＡＮでは、固有のユーザ名とパスワードの組合せや、認証局が発行する電子証明書などにより利用者の情報が管理されている（例えば、非特許文献１）。
【０００３】
ユーザ名とパスワードの組合せを無線ＬＡＮの認証情報として用いる場合には、通信端末機にユーザ名とパスワードの双方を入力することが要求される。この時、ユーザ名やパスワードは、通常、アルファベット、数字、記号の組合せにより表現される（例えば、非特許文献２）。
また、電子証明書を無線ＬＡＮの認証情報として用いる場合には、ＣＤ−ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｋＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やＦＤ（Ｆｌｏｐｐｙ（登録商標）Ｄｉｓｋ）等の記憶媒体を用いて通信端末機に入力する必要がある（例えば、非特許文献３）。
【０００４】
このように従来においては、ＬＡＮに接続するために必要な認証情報が、携帯電話とＬＡＮの双方のインタフェース機能毎に異なる識別子で管理されている。
また、この種の従来の認証を行う方法又は装置として、例えば下記の特許文献１及び２に記載のものがある。
特許文献１の記載内容は、通信端末機がネットワークを介してサーバに接続を要求した際の認証時に、通信端末機が、記憶電話番号をユーザ名、記憶端末機番号をパスワードとしてサーバへ送信し、サーバが、その送信されてきたユーザ名とパスワードが、サーバ内部の記憶ユーザ名とパスワードに完全に一致する際に接続を許可するといったものである。
【０００５】
特許文献２の記載内容は、無線端末機がネットワークに接続する際に、無線端末機のＩＤ、認証情報、及び認証を行うサーバのネットワークアドレスからなる接続要求情報を送信し、この接続要求情報で認証を行うサーバが、自サーバの場合には直接認証を行い、自サーバではない場合には、認証を行うサーバに認証を依頼し、また、他のサーバから認証の要求を受けた場合には認証を行って認証結果を返すといったものである。
【０００６】
【特許文献１】
特開平１１−１７５４７７号公報（要約）
【特許文献２】
特開平１０−７０５４０号公報（要約）
【非特許文献１】
服部武、藤岡雅宣編著「ワイアレス・ブロードバンド教科書」ＩＤＧジャパン、２００２年６月１０日、ｐ．２９１−２９３「無線ＬＡＮの認証方式として現在標準化途中のＩＥＥＥ（ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃＥｎｇｉｎｅｅｒｓ：電気電子学会）８０２．１１ｉの仕様を説明した内容で、認証方式としてＥＡＰＴＬＳ等を用いる概要を説明」
【非特許文献２】
Ｌ．Ｂｌｕｎｋ，Ｊ．Ｖｏｌｌｂｒｅｃｈｔ，「ＰＰＰＥｘｔｅｎｓｉｂｌｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ（ＥＡＰ）」，ＲＦＣ２２８４，Ｍａｒｌ９９８「無線ＬＡＮでユーザ名とパスワードで認証する方式であるＥＡＰ−ＭＤ５の方式を規定」
【０００７】
【非特許文献３】
Ｂ．Ａｂｏｂａ，Ｄ．Ｓｉｍｏｎ，「ＰＰＰＥＡＰＴＬＳＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ（ＲＦＣ２７１６）」，ＲＦＣ２７１６，Ｏｃｔｌ９９９「無線ＬＡＮにおいて電子証明書で認証する方式であるＥＡＰ−ＴＬＳの方式を規定」
【０００８】
【発明が解決しようとする課題】
しかし、上記の特許文献１および非特許文献１，２のように、ユーザ名とパスワードとで認証を行う場合、ユーザ名とパスワードが、アルファベット、数字、記号の組合せにより表現したり、また、記憶電話番号をユーザ名、記憶端末機番号をパスワードとして表現したりするので、第三者に盗用、解読される危険性が高い。
【０００９】
そこで、上記の特許文献２及び非特許文献１，３のように、電子証明書による認証情報を用いる電子認証方法があるが、この方法では、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を接続して電子証明書をインストールしなければならない。このため、特に携帯電話機やＰＤＡ等の携帯タイプの通信端末機においては、外部入力装置のある場所で、それを一旦接続して電子証明書をインストールしなければならないので、入力を行うまでの準備に手間が掛かることになる。言い換えれば、必要時に即時、認証依頼を行うことができないという問題がある。
【００１０】
更に、ＬＡＮに接続するために必要な認証情報が、携帯電話とＬＡＮの双方のインタフェース機能毎に異なる識別子で管理されているので、その認証情報の管理が複雑となるという問題がある。
本発明は、このような課題に鑑みてなされたものであり、通信端末機の認証を必要時に即時行うことができ、また、その認証に必要な認証情報を容易に管理することができる通信ネットワークシステム、通信端末機、認証装置、認証サーバ、及び電子認証方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１による通信ネットワークシステムは、通信端末機が自機の認証を認証装置に行う通信ネットワークシステムにおいて、前記通信端末機に、電話回線と専用回線の少なくとも１つに接続可能な第１の通信手段と、前記第１の通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する第１の記憶手段と、前記第１の記憶手段に記憶された認証情報を前記第１の通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備え、前記認証装置に、前記電話回線とインターネットの少なくとも１つに接続可能な第２の通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記第２の通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記第２の通信手段を介して前記発信元の通信端末機へ認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する第２の記憶手段とを備え、前記通信端末機及び前記認証装置の他に、前記専用回線及び前記インターネットの少なくとも１つに接続可能な第３の通信手段と、前記第３の通信手段からインターネットを介して前記認証装置の前記第２の記憶手段に記憶された認証情報を取得する取得手段と、前記取得手段で取得された認証情報を記憶する第３の記憶手段と、前記通信端末機から前記第１の記憶手段に記憶された認証情報が、前記専用回線から前記第３の通信手段を介して送信されてきた際に、その認証情報と前記第３の記憶手段に記憶された認証情報とが一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを有する認証サーバを備えたことを特徴としている。
【００１２】
この構成によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
【００１３】
また、通信端末機が認証装置から認証情報を取得する際の過程で、認証装置においては、電話回線（公衆の電話回線）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、通信端末機が接続される電話回線のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００１４】
また、本発明の請求項２による通信ネットワークシステムは、請求項１において、前記認証装置に、前記第２の記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する第１の管理制御手段を更に備えたことを特徴としている。
この構成によれば、認証装置おいて、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００１５】
また、本発明の請求項３による通信ネットワークシステムは、請求項２において、前記認証サーバに、前記第３の記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する第２の管理制御手段を更に備え、前記取得手段は、前記インターネットを介して前記認証装置の前記第２の記憶手段に発信元電話番号に対応付けられて記憶された認証情報を取得する際に、前記第３の記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得することを特徴としている。
【００１６】
この構成によれば、認証サーバが認証装置から認証情報を取得する際に、電話番号によって取得することができるので、認証情報を容易に取得することができる。また、認証サーバにおいて、発信元電話番号に対応する電話番号に認証情報を対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００１７】
また、本発明の請求項４による通信ネットワークシステムは、請求項３において、前記認証サーバにおいて、前記第２の管理制御手段は、前記第３の記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、前記認証可否判定手段は、前記第３の記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定することを特徴としている。
【００１８】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機の認証の可否を容易に行うことができる。
また、本発明の請求項５による通信ネットワークシステムは、請求項１から４の何れか１項において、前記認証サーバにおいて、前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否することを特徴としている。
【００１９】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。
また、本発明の請求項６による通信ネットワークシステムは、請求項５において、前記認証サーバに接続され、前記第３の記憶手段に記憶される電話番号及び可否状態を任意に設定する設定手段を更に備えたことを特徴としている。
【００２０】
この構成によれば、通信端末機の電話番号並びに、通信端末機の認証を許可するか否かを認証サーバに任意に設定することができるので、通信の利用状況が芳しくないなどの理由で認証を許可したくないユーザの通信端末機に対して、強制的に認証の許否を行うことができる。
また、本発明の請求項７による通信ネットワークシステムは、請求項１から６の何れか１項において、前記認証情報は、電子証明書、秘密鍵及び公開鍵であることを特徴としている。
【００２１】
この構成によれば、通信端末機、認証装置及び認証サーバ間の通信において、電子証明書を秘密鍵によって暗号化して伝送することで安全に伝送することができ、また、公開鍵によって適正に復号することができる。
また、本発明の請求項８による通信ネットワークシステムは、請求項１から７の何れか１項において、前記電話回線は、前記通信端末機が無線基地局を介して通信可能な携帯電話回線網であり、前記専用回線は、前記通信端末機が無線基地局を介して通信可能なローカルエリアネットワークであることを特徴としている。
【００２２】
この構成によれば、通信端末機が無線通信を行う携帯電話機やＰＤＡなどであっても、上記の理由から通信端末機の認証を必要時に即時行うことができ、また、その認証に必要な電子証明書による認証情報を容易に管理することができる。更に、その認証を安全に行うことができる。
また、本発明の請求項９による通信端末機は、通信ネットワークシステムに含まれる認証装置に、自機の認証を行う通信端末機において、電話回線と専用回線の少なくとも１つに接続可能な通信手段と、前記通信手段を介して前記電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する発行依頼手段と、前記発行依頼手段の依頼に応じて前記認証装置から発行された認証情報を受信する受信手段と、前記受信手段で受信された認証情報を記憶する記憶手段と、前記記憶手段に記憶された認証情報を、前記通信手段を介して前記専用回線へ送信することにより自機の認証を依頼する認証依頼手段とを備えたことを特徴としている。
【００２３】
この構成によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線へ送信するようにしたので、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機から必要時に即時、認証依頼を行うことができる。
【００２４】
また、本発明の請求項１０による認証装置は、通信ネットワークシステムに含まれる通信端末機の認証を行う認証装置において、電話回線とインターネットの少なくとも１つに接続可能な通信手段と、前記電話回線に組み込まれた発信元電話番号の通知機能から前記通信手段を介して通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記通信手段を介して前記発信元の通信端末機へ認証情報を発行する認証処理手段と、前記認証処理手段で発行された認証情報を記憶する記憶手段と、前記記憶手段に記憶される認証情報を、前記発信元電話番号に対応付けて記憶する管理制御手段とを備えたことを特徴としている。
【００２５】
この構成によれば、認証装置おいて、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
また、認証装置において、電話回線（公衆の電話回線）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、電話回線のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００２６】
また、本発明の請求項１１による認証サーバは、通信ネットワークシステムで、電話回線に組み込まれた発信元電話番号の通知機能から通知される発信元電話番号により、発信元の通信端末機の認証を行い、この認証情報を発信元電話番号に対応付けて保持すると共に前記通信端末機へ発行する認証装置に、インターネットを介して接続され、また、前記通信端末機に専用回線を介して接続される認証サーバにおいて、前記インターネットを介して前記認証装置が保持する認証情報を取得する取得手段と、前記取得手段で取得された認証情報を記憶する記憶手段と、前記通信端末機から自機の認証を行うための認証情報が、前記専用回線を介して送信されてきた際に、その認証情報と前記記憶手段に記憶された認証情報とが一致する場合、前記通信端末機に認証を許可する認証可否判定手段とを備えたことを特徴としている。
【００２７】
この構成によれば、認証サーバにおいて、インターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行うための認証情報と認証サーバに記憶された認証情報との一致によって、通信端末機に認証を許可することができるので、通信端末機が公知の認証局（認証装置）にアクセスを行わなくても認証を依頼することができる。従って、認証局へのトラフィック量を低減させることができる。
【００２８】
また、本発明の請求項１２による認証サーバは、請求項１１において、前記記憶手段に記憶される認証情報を、電話番号に対応付けて記憶する管理制御手段を更に備え、前記取得手段は、前記インターネットを介して前記認証装置から認証情報を取得する際に、前記記憶手段に認証情報を記憶する際に用いられる電話番号に対応する発信元電話番号に対応付けられた認証情報を取得することを特徴としている。
【００２９】
この構成によれば、認証サーバが認証装置から認証情報を取得する際に、電話番号によって取得することができるので、認証情報を容易に取得することができる。また、認証サーバにおいて、発信元電話番号に対応する電話番号に認証情報を対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
【００３０】
また、本発明の請求項１３による認証サーバは、請求項１２において、前記管理制御手段は、前記記憶手段に認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、前記通信端末機に認証を許可するか否かの可否状態を対応付けて記憶し、前記認証可否判定手段は、前記記憶手段において、前記通信端末機から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた前記可否状態から前記通信端末機の認証の可否を判定することを特徴としている。
【００３１】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機の認証の可否を容易に行うことができる。
また、本発明の請求項１４による認証サーバは、請求項１１から１３の何れか１項において、前記認証可否判定手段は、前記通信端末機から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に前記通信端末機の認証を拒否することを特徴としている。
【００３２】
この構成によれば、認証サーバにおいて、通信端末機の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。
また、本発明の請求項１５による電子認証方法は、通信端末機が認証装置から認証情報を取得し、この取得した認証情報で認証サーバに認証を依頼する電子認証方法において、前記通信端末機が、電話回線へ発信される発信元電話番号を用い、前記認証装置に認証情報の発行を依頼する第１のステップと、前記第１のステップにおいて前記通信端末機から発行依頼が行われた際に、前記電話回線に組み込まれた発信元電話番号の通知機能から通知される前記発信元電話番号により、発信元の通信端末機の認証を行い、認証が取れた場合に前記電話回線を介して前記発信元の通信端末機へ認証情報を発行する第３のステップと、前記第３のステップにおいて発行された認証情報を発信元電話番号に対応付けて前記認証装置に記憶する第４のステップと、前記第３のステップにおいて発行された認証情報を前記通信端末機に記憶する第５のステップと、前記認証サーバにおいて任意の電話番号をインターネットを介して前記認証装置へ送信し、前記第４のステップで前記認証装置に発信元電話番号に対応付けられて記憶された認証情報の中から、前記認証サーバからの電話番号に対応する発信元電話番号に対応付けられた認証情報を取得する第６のステップと、前記第６のステップで取得された認証情報を電話番号に対応付けて前記認証サーバに記憶する第７のステップと、前記第５のステップにおいて前記通信端末機に記憶された認証情報を、専用回線を介して前記認証サーバへ送信する第８のステップと、前記第８のステップで前記通信端末機から送信された認証情報と、前記第７のステップで前記認証サーバに記憶された認証情報とが一致する場合に、前記通信端末機に認証を許可する第９のステップとを含むことを特徴としている。
【００３３】
この方法によれば、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。
【００３４】
従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
また、認証装置及び認証サーバにおいて、認証情報を電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。
【００３５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（実施の形態）
図１は、本発明の実施の形態に係る通信ネットワークシステムの構成を示す図である。
【００３６】
この図１に示す通信ネットワークシステムは、携帯電話と無線ＬＡＮの双方のインタフェース機能を有する通信端末機１０と、この通信端末機１０が無線ＬＡＮの無線回線１１を介して接続される無線ＬＡＮ基地局１２と、この無線ＬＡＮ基地局１２に接続された企業のＬＡＮや家庭内のＬＡＮ等の自営ＬＡＮ１３と、この自営ＬＡＮ１３に接続された認証サーバ１４と、この認証サーバ１４にゲートウエイ１５及びインターネット１６を介して接続された認証装置１７と、この認証装置１７に携帯電話回線網１８を介して接続された携帯電話基地局１９と、認証サーバ１４に接続された管理装置２２とを備え、また通信端末機１０が携帯電話の無線回線２０を介して携帯電話基地局１９に接続されるように構成されている。
【００３７】
以降、無線ＬＡＮの無線回線１１及び携帯電話の無線回線２０を単に無線回線１１，２０と表現する場合もある。
また、上記の構成要素のうち主要部は、次の内部構成要素を備える。
通信端末機１０は、図２に示すように、携帯電話通信用アンテナ（以降、単にアンテナともいう）３１が接続された携帯電話通信部３２と、無線ＬＡＮ通信用アンテナ（以降、単にアンテナという）３３が接続された無線ＬＡＮ通信部３４と、認証情報発行依頼部３６と、発信元電話番号記憶部３８と、認証情報受信制御部４０と、認証情報記憶部４２と、認証情報送信制御部４４と、ＬＡＮ接続要求部４６と、認証結果受信制御部４８と、表示部５０と、キー操作部５２とを備えて構成されている。但し、各アンテナ３１，３３は、図示せぬアンテナ共用器などによって１本のアンテナで実現してもよい。
【００３８】
認証装置１７は、電話回線通信部５４と、認証処理部５６と、認証情報発行部５８と、認証情報管理制御部６０と、データベース６２と、認証情報送信依頼受信部６４と、認証情報送信制御部６６と、インターネット通信部６８とを備えて構成されている。
無線ＬＡＮ基地局１２は、無線通信部７２と、ＬＡＮ接続要求受信部７４と、認証情報送信要求部７６と、認証情報受信部７８と、認証依頼部８０と、端末機−ＬＡＮ間接続制御部８２と、認証結果通知部８４と、ＬＡＮ通信部８６とを備えて構成されている。
【００３９】
認証サーバ１４は、ＬＡＮ通信部９０と、認証依頼受信部９２と、認証可否判定部９４と、データベース９６と、認証情報管理制御部９８と、認証情報送信依頼部１００と、認証装置識別情報記憶部１０２と、インターネット通信部１０４とを備えて構成されている。
次に、上記構成要素の説明を行う。まず、図２に示す通信端末機１０の説明を行う。
【００４０】
携帯電話通信部３２は、アンテナ３１によって電話回線２０を介して携帯電話基地局１９と通信を行うものである。
発信元電話番号記憶部３８は、基地局１９を介して携帯電話回線網１８に接続するための発信元電話番号（携帯電話番号）を記憶するものである。
認証情報発行依頼部３６は、キー操作部５２において予め定められた認証情報の発行を依頼するための操作が行われた際に、発信元電話番号記憶部３８に記憶された発信元電話番号を用いた発信により携帯電話基地局１９と通信状態とした後、認証情報発行依頼信号を送信することによって、認証装置１７に対して自通信端末機１０の認証情報の発行を依頼するものである。
【００４１】
認証情報受信制御部４０は、認証情報発行依頼部３６の依頼に応答して認証装置１７から発行される電子証明書及び秘密鍵を受信し、これらを認証情報として認証情報記憶部４２に記憶する制御を行うものである。
無線ＬＡＮ通信部３４は、アンテナ３３によって電話回線１１を介して無線ＬＡＮ基地局１２と通信を行うものである。
【００４２】
ＬＡＮ接続要求部４６は、キー操作部５２において予め定められた自営ＬＡＮ１３への接続要求を行うための操作が行われた際に、携帯電話番号を用いた発信により無線ＬＡＮ基地局１２と通信状態とした後、ＬＡＮ接続要求信号を、無線ＬＡＮ通信部３４を介して送信することによって、自通信端末機１０を自営ＬＡＮ１３に接続するための要求を、無線ＬＡＮ基地局１２に対して行うものである。また、ＬＡＮ接続要求部４６は、自ＬＡＮ接続要求部４６が送信したＬＡＮ接続要求信号に応答して無線ＬＡＮ基地局１２から認証情報送信要求信号が返信されてきた際に、その認証情報送信要求信号を認証情報送信制御部４４へ出力するものである。
【００４３】
認証情報送信制御部４４は、その認証情報送信要求信号が入力された際に、認証情報記憶部４２に記憶された認証情報である電子証明書を読み出し、この電子証明書を、無線ＬＡＮ通信部３４を介して無線ＬＡＮ基地局１２へ送信するものである。つまり、ここで自営ＬＡＮ１３に接続するための認証依頼が行われるようになっている。
【００４４】
ここで、通信端末機１０を自営ＬＡＮ１３に接続するために事前に行う認証方法においては、無線回線１１に伝送される信号を暗号化するための暗号鍵を、電子証明書と一緒に取得した秘密鍵より生成して、信号の伝送を行う。このため通信端末機１０においては、ユーザ名やパスワードの入力を必要としない。このような技術は一般的なものであり、この電子証明書を利用したものとして、ＩＥＥＥ（ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｉｃａｌａｎｄＥｌｅｃｔｒｏｎｉｃＥｎｇｉｎｅｅｒｓ）８０２．ｌｘや、ＥＡＰ−ＴＬＳ（ＥｘｔｅｎｓｉｂｌｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ−ＴｒａｎｓｐｏｒｔＬａｙｅｒＳｅｃｕｒｉｔｙ）等の技術がある。
【００４５】
認証結果受信制御部４８は、無線ＬＡＮ基地局１２から通知される認証結果情報を受信し、その認証結果を表示部５０に文字や画像で表示する制御を行うものである。認証結果情報は、通信端末機１０と自営ＬＡＮ１３との接続の許可／許否を示すものである。従って、表示部５０には、その許可又は許否が表示されるようになっている。
【００４６】
次に、図３に示す認証装置１７の説明を行う。
この認証装置１７は、一般に認証局が備える電子証明書を用いた認証機能を利用したものであり、その認証機能に必要なＰＫＩ（ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ：公開鍵基盤）と呼ばれる仕組みの中で、中心的な役割を担う公開鍵の作成、秘密鍵の作成、電子証明書の発行および管理をするものである。本認証装置１７においては、それらの認証局の基本機能に電子証明書、秘密鍵、公開鍵を発信元電話番号に対応付けて管理する機能を追加したものである。
【００４７】
電話回線通信部５４は、携帯電話回線網１８と通信を行うためのインタフェースであり、携帯電話回線網１８から送信されてくる発信元電話番号及び認証情報発行依頼信号を受信し、また、電子証明書及び秘密鍵を送信するものである。その受信される発信元電話番号は、携帯電話回線網１８が有する公衆電話回線システムの機能である発信者番号通知により取得することができ、また、携帯電話回線網１８と通信端末機１０とを接続する携帯電話回線は安全であると判断できる。このため、発信元電話番号の受信、また、電子証明書及び秘密鍵の送信を行っても、第三者に盗用、解読される危険性が極低く安全である。
【００４８】
認証処理部５６は、電話回線通信部５４で受信された認証情報発行依頼信号が入力されると、受信された発信元電話番号で通信端末機１０の認証を行い、認証が取れた場合に、その発信元電話番号を認証情報発行部５８及び認証情報管理制御部６０へ出力するものである。但し、認証処理は、前述した認証機能によって行う。
【００４９】
認証情報発行部５８は、認証処理部５６から認証が取れた発信元電話番号が入力されると、電子証明書、秘密鍵及び公開鍵を作成した後、その公開鍵を含む電子証明書と秘密鍵とを、その発信元電話番号の通信端末機１０へ発行する。また、電子証明書、秘密鍵及び公開鍵を、認証情報管理制御部６０へ出力するものである。
【００５０】
認証情報管理制御部６０は、認証情報発行部５８で発行された電子証明書、秘密鍵及び公開鍵を、この認証情報の発行先の電話番号、即ち認証処理部５６から入力される発信元電話番号に対応付けてデータベース６２に記憶するものである。
この記憶は、データベース６２に格納される図６に示す認証情報管理テーブル（以下、単にテーブルともいう）１１０に行う。この図６の例では、１行目において発信元の携帯電話番号１に、電子証明書１ａ、秘密鍵１ｂ及び公開鍵１ｃが対応付けられ、２行目において携帯電話番号２に、電子証明書２ａ、秘密鍵２ｂ及び公開鍵２ｃが、３行目において携帯電話番号３に、電子証明書３ａ、秘密鍵３ｂ及び公開鍵３ｃが対応付けられている状態を示した。
【００５１】
インターネット通信部６８は、インターネット１６と通信を行うためのインタフェースである。
認証情報送信依頼受信部６４は、インターネット１６を介して送信されてくる認証サーバ１４からの認証情報送信依頼に用いられる携帯電話番号を受信するものである。
【００５２】
認証情報送信制御部６６は、データベース６２の認証情報管理テーブル１１０から、認証情報送信依頼受信部６４で受信された携帯電話番号に対応する携帯電話番号を検索し、この携帯電話番号に対応付けられた電子証明書を読み出して認証サーバ１４へ送信するものである。また、受信携帯電話番号に対応する携帯電話番号が登録されていない場合は、その受信携帯電話番号に対応する電子証明書を保有していないことを示す電子証明書未保有情報を認証サーバ１４へ送信する。
【００５３】
次に、図４に示す無線ＬＡＮ基地局１２の説明を行う。
無線通信部７２は、無線回線１１を介して通信端末機１０と通信を行うものである。
ＬＡＮ通信部８６は、自営ＬＡＮ１３と通信を行うものである。
ＬＡＮ接続要求受信部７４は、無線通信部７２を介して通信端末機１０からのＬＡＮ接続要求信号を受信するものである。
【００５４】
認証情報送信要求部７６は、ＬＡＮ接続要求受信部７４でＬＡＮ接続要求信号が受信された際に、そのＬＡＮ接続要求信号の送信元の通信端末機１０へ認証情報送信要求信号を送信するものである。
認証情報受信部７８は、無線通信部７２を介して通信端末機１０からの電子証明書を受信するものである。
【００５５】
認証依頼部８０は、認証情報受信部７８で受信された電子証明書を、この電子証明書の発信元電話番号と共に、ＬＡＮ通信部８６を介して認証サーバ１４へ送信することにより、その電子証明書の認証を依頼するものである。また、電子証明書はＬＡＮ通信部８６から自営ＬＡＮ１３を介して認証サーバ１４へ送信されるが、この認証依頼時には、通信端末機１０は無線ＬＡＮ基地局１２としか通信が行えないようになっている。
【００５６】
端末機−ＬＡＮ間接続制御部８２は、ＬＡＮ通信部８６を介して認証サーバ１４から認証許可を示す認証結果情報が送信されてきた際に、通信端末機１０と自営ＬＡＮ１３とを通信接続する制御を行うものである。
認証結果通知部８４は、認証サーバ１４からの認証結果情報を、無線通信部７２を介して通信端末機１０へ通知するものである。
【００５７】
次に、図５に示す認証サーバ１４の説明を行う。
ＬＡＮ通信部９０は、自営ＬＡＮ１３と通信を行うためのインタフェースである。
インターネット通信部１０４は、インターネット１６と通信を行うためのインタフェースである。
【００５８】
認証装置識別情報記憶部１０２は、認証装置１７を識別するための識別情報を記憶するものである。但し、識別情報は、認証装置１７を特定するためのＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスや、ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）名である。これらの識別情報は、パーソナルコンピュータなどの管理装置２２によって予め設定される。
【００５９】
認証情報送信依頼部１００は、インターネット１６を介して認証装置１７に認証情報の送信を依頼するものである。この依頼は、管理装置２２から入力される携帯電話番号を、インターネット通信部１０４を介して認証装置１７へ送信することによって行う。また、その送信先の認証装置１７は、認証装置識別情報記憶部１０２に記憶された識別情報によって特定されるようになっている。
【００６０】
認証情報管理制御部９８は、インターネット１６を介して認証サーバ１４から送信されてくる電子証明書を、この電子証明書の送信依頼に用いた携帯電話番号に対応付けてデータベース９６に記憶するものである。
この記憶は、データベース９６に格納される図７に示す認証情報・接続可否管理テーブル（以下、単にテーブルともいう）１１２に行う。この図７の例では、１行目において携帯電話番号１に電子証明書１ａが対応付けられ、２行目においては携帯電話番号２に何も対応付けられておらず、３行目においては携帯電話番号３に電子証明書３ａが対応付けられている状態を示した。
【００６１】
また、テーブル１１２の各携帯電話番号１〜３は、管理装置２２から入力される。更に、テーブル１１２には、電子証明書１ａ〜３ａと共に、自営ＬＡＮ１３への可否状態が対応付けられるようになっているが、これも管理装置２２からの入力によって行われる。
即ち、管理装置２２は、データベース９６に任意にアクセスし、テーブル１１２に所望の携帯電話番号を登録すると共に、その携帯電話番号の通信端末機１０が自営ＬＡＮ１３に接続可能か否かを任意に設定できるようになっている。この例では、接続可能の場合に○、接続不可能の場合に×を設定することを示している。
【００６２】
また、認証情報管理制御部９８は、テーブル１１２に認証サーバ１４からの電子証明書を、例えば１行目に示すように登録した際に、自営ＬＡＮ１３への接続可否状態を○とする。また、認証サーバ１４から電子証明書未保有情報が送信されてきた場合は、該当する携帯電話番号登録行（この例では２行目）の接続可否状態を×とする。
【００６３】
また、管理装置２２は、認証サーバ１４からの電子証明書が登録され、その接続可否状態が○とされた後でも、該当通信端末機１０の接続を許否する場合は、３行目に示すように、任意に×に変更することができる。なお、接続を拒否する他の方法として、テーブル１１２から該当電子証明書を削除してもよい。
認証依頼受信部９２は、ＬＡＮ通信部９０を介して無線ＬＡＮ基地局１２からの電子証明書及び発信元電話番号を受信するものである。
【００６４】
認証可否判定部９４は、認証依頼受信部９２で電子証明書及び発信元電話番号（携帯電話番号）が受信された際に、まず、その電子証明書の有効性を確認する。有効性の確認とは、電子証明書が改ざんなどによって本来のものと異なっていないか否かを判定する処理である。これによって、電子証明書が有効であることが確認された場合、データベース６２のテーブル１１２から、その受信携帯電話番号に対応する携帯電話番号を検索し、この携帯電話番号に対応付けられた接続可否状態を示す認証結果情報を、無線ＬＡＮ基地局１２へ送信する。これは、接続可否状態が○であれば接続許可を示す認証結果情報を、×であれば接続許否を示す認証結果情報を送信するものである。ここでは、○×で許可／許否の認証結果情報を送信するようにしているが、通信端末機１０からの電子証明書がテーブル１１２の電子証明書と一致することで許可、不一致で許否の認証結果情報を返信するようにしてもよい。
【００６５】
また、認証可否判定部９４は、上記の有効性の確認によって電子証明書が無効と判定された場合は、テーブル１１２における検索処理は行わず、接続許否を示す認証結果情報を送信するようになっている。
次に、このような構成の通信ネットワークシステムにおいて、通信端末機１０が認証装置１７から認証情報を取得する処理動作を、図８に示すフローチャートを参照して説明する。
【００６６】
まず、ステップＳ１において、通信端末機１０から認証装置１７に対して認証情報の発行が依頼される。即ち、ユーザによって、図２に示すキー操作部５２から予め定められた認証情報の発行依頼の操作が行われた際に、認証情報発行依頼部３６の制御によって、発信元電話番号記憶部３８に記憶されている発信元電話番号を用いた発信によって携帯電話基地局１９が通信状態とされた後、認証情報発行依頼信号が携帯電話通信部３２から携帯電話基地局１９へ送信される。
【００６７】
この送信された認証情報送信依頼信号は、ステップＳ２において、携帯電話回線網１８を介して認証装置１７へ送信される。これと同時に、携帯電話回線網１８から発信元電話番号が認証装置１７へ通知される。認証装置１７においては、電話回線通信部５４によって、その発信元電話番号及び認証情報発行依頼信号が受信され、認証処理部５６へ出力される。
【００６８】
ステップＳ３において、認証処理部５６では、認証情報発行依頼信号が入力されると、発信元電話番号で通信端末機１０の認証が行われる。ここで、認証が取れたとすると、認証情報発行部５８によって、通信端末機１０に対する電子証明書、秘密鍵及び公開鍵が作成される。この後、ステップＳ４において、公開鍵が含まれる電子証明書と秘密鍵とが、ＬＡＮ通信部８６から発信元電話番号の通信端末機１０へ向けて発行される。
【００６９】
また、認証処理部５６で作成された電子証明書、秘密鍵及び公開鍵は、ステップＳ５において、認証情報管理制御部６０の制御によってデータベース６２に記憶されて管理される。即ち、図６に示すように、データベース６２中の認証情報管理テーブル１１０中に、発行依頼元通信端末機１０の携帯電話番号に、上記で発行された電子証明書、秘密鍵及び公開鍵が対応付けられて記憶される。この記憶が例えば、テーブル１１０の１行目における携帯電話番号１、電子証明書１ａ、秘密鍵１ｂ及び公開鍵１ｃであるとして以降説明を続ける。
【００７０】
また、通信端末機１０へ向けて発行された電子証明書１ａ及び秘密鍵１ｂは、携帯電話回線網１８を介して携帯電話基地局１９から無線回線１１を介して通信端末機１０へ送信される。
この送信された電子証明書１ａ及び秘密鍵１ｂは、ステップＳ６において、通信端末機１０の携帯電話通信部３２で受信された後、認証情報受信制御部４０の制御によって認証情報記憶部４２に記憶される。
【００７１】
次に、認証サーバ１４が認証装置１７から通信端末機１０の認証情報を取得する処理動作を、図９に示すフローチャートを参照して説明する。
まず、ステップＳ１１において、管理装置２２から認証サーバ１４へのアクセスによって、認証装置識別情報記憶部１０２に、認証装置１７を識別するためのＩＰアドレス又はＤＮＳ名による認証情報が登録される。
【００７２】
また、ステップＳ１２において、管理装置２２から認証サーバ１４のデータベース９６にアクセスが行われ、データベース９６の認証情報・接続可否管理テーブル１１２に、図７に一例を示すように所定の携帯電話番号が登録される。即ち、携帯電話番号１，２，３が登録されたとする。
次に、ステップＳ１３において、認証サーバ１４の認証情報送信依頼部１００によって、認証装置１７に対する認証情報の送信依頼が行われる。即ち、テーブル１１２に登録された携帯電話番号（最初は１とする）が、認証装置識別情報記憶部１０２に記憶された識別情報で示される認証装置１７へ、インターネット通信部１０４から送信される。
【００７３】
この送信された携帯電話番号１は、ゲートウエイ１５及びインターネット１６を経由して認証装置１７へ到達する。そして、ステップＳ１４に示すように、認証装置１７のインターネット通信部６８を介して認証情報送信依頼受信部６４で受信される。
この後、ステップＳ１５において、依頼に用いた携帯電話番号１に対応する電子証明書が有るか否かが判定される。即ち、認証情報送信制御部６６によって、データベース６２の認証情報管理テーブル１１０から、受信携帯電話番号１に対応する携帯電話番号が検索される。この検索によって携帯電話番号１が存在すれば、ステップＳ１６において、その携帯電話番号１に対応付けられた電子証明書１ａが読み出されて認証サーバ１４へ送信される。
【００７４】
この送信された電子証明書１ａは、ステップＳ１７において、認証サーバ１４のインターネット通信部１０４で受信され、認証情報管理制御部９８へ出力される。そして、認証情報管理制御部９８の制御によって、図７に示すように、テーブル１１２の携帯電話番号１に対応付けられて登録され、更に自営ＬＡＮ１３への接続可否状態が、接続可能を示す○とされる。
【００７５】
一方、ステップＳ１５において、受信携帯電話番号１に対応する携帯電話番号が未検索であった場合は、その受信携帯電話番号１に対応する電子証明書を保有していないことを示す電子証明書未保有情報が、ステップＳ１８において、認証サーバ１４へ送信される。
この送信された電子証明書未保有情報が、ステップＳ１９において、認証サーバ１４で受信されると、認証情報管理制御部９８の制御によって、テーブル１１２の携帯電話番号１に対応付けられる接続可否状態が、接続不可能を示す×とされる。なお、テーブル１１２における携帯電話番号３の登録行の接続可否状態が×となっているのは、管理装置２２の強制設定によるものとする。
【００７６】
次に、通信端末機１０と自営ＬＡＮ１３とを認証を行った後に接続する際の処理動作を、図１０に示すフローチャートを参照して説明する。
まず、ステップＳ２１において、通信端末機１０において、キー操作部５２から自営ＬＡＮ１３への接続要求の操作が行われたとすると、ＬＡＮ接続要求部４６によって、発信元電話番号記憶部３８の携帯電話番号１を用いた発信により無線ＬＡＮ基地局１２と通信接続され、更にＬＡＮ接続要求信号が無線ＬＡＮ基地局１２へ送信される。
【００７７】
この送信されたＬＡＮ接続要求信号が、図４に示すＬＡＮ接続要求受信部７４で受信されると、ステップＳ２２において、認証情報送信要求部７６から認証情報送信要求信号が、受信ＬＡＮ接続要求信号の送信元である通信端末機１０へ送信される。
この送信された認証情報送信要求信号は、ステップＳ２３において、通信端末機１０の無線ＬＡＮ通信部３４で受信されてＬＡＮ接続要求部４６を介して認証情報送信制御部４４へ出力される。これによって、認証情報送信制御部４４の制御により、認証情報記憶部４２に記憶された電子証明書１ａが読み出され、無線ＬＡＮ通信部３４を介して無線ＬＡＮ基地局１２へ送信される。
【００７８】
この送信された電子証明書１ａは、認証情報受信部７８で受信され、認証依頼部８０によって、その電子証明書１ａの発信元の携帯電話番号１と共に、ＬＡＮ通信部８６を介して認証サーバ１４へ送信される。つまり、その電子証明書１ａの認証が依頼される。
無線ＬＡＮ通信部３４から送信された電子証明書１ａ及び携帯電話番号１は、ステップＳ２５において、自営ＬＡＮ１３を通り、認証サーバ１４の図５に示すＬＡＮ通信部９０を介して認証依頼受信部９２で受信される。
【００７９】
この受信後に、ステップＳ２６において、認証可否判定部９４で電子証明書１ａが有効であるか否かが判定される。この結果、有効であれば、ステップＳ２７で、認証可否判定部９４の制御によって、データベース６２の図７に示すテーブル１１２から、受信携帯電話番号１に対応する携帯電話番号１が検索され、この携帯電話番号１に対応付けられた接続可否状態が確認される。これによって該当通信端末機１０が、接続可能か否かが判定される。
【００８０】
この判定結果、○の接続可能であれば、ステップＳ２８において、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
この送信された接続許否を示す認証結果情報は、ステップＳ２９において、無線ＬＡＮ基地局１２のＬＡＮ通信部８６で受信される。そして、その接続許否を示す認証結果情報に応じた端末機−ＬＡＮ間接続制御部８２の制御によって、通信端末機１０と自営ＬＡＮ１３とが通信接続される。
【００８１】
一方、上記ステップＳ２６において、電子証明書１ａが無効と判定された場合、ステップＳ３０で、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
また、上記ステップＳ２７において、テーブル１１２の携帯電話番号１に対応付けられた接続可否状態が、×の接続不可能であったとすると、ステップＳ３１で、認証可否判定部９４から接続許否を示す認証結果情報が、無線ＬＡＮ基地局１２へ送信される。
【００８２】
それらの接続許否を示す認証結果情報は、無線ＬＡＮ基地局１２のＬＡＮ通信部８６で受信されて認証結果通知部８４へ出力され、ステップＳ３２において、認証結果通知部８４から通信端末機１０へ通知（送信）される。
この通知された接続許否を示す認証結果情報は、ステップＳ３３において、通信端末機１０の無線ＬＡＮ通信部３４を介して認証結果受信制御部４８で受信される。そして、接続許否を示す認証結果情報に応じた認証結果受信制御部４８の制御によって、表示部５０に、自営ＬＡＮ１３との接続が許否されていることが表示される。
【００８３】
また、ステップＳ３２においては、ステップＳ２８で無線ＬＡＮ通信部３４へ送信された接続許可を示す認証結果情報も、上記同様に認証結果通知部８４から通信端末機１０へ通知される。
この通知された接続許可を示す認証結果情報は、ステップＳ３３において、通信端末機１０の認証結果受信制御部４８で受信され、そして、接続許可を示す認証結果情報に応じた認証結果受信制御部４８の制御によって、表示部５０に、自営ＬＡＮ１３との接続が許可され、接続されたことが表示される。
【００８４】
このように、本実施の形態の通信ネットワークシステムによれば、通信端末機１０が、携帯電話基地局１９を介して携帯電話回線網１８へ発信される発信元電話番号を用い、認証装置１７に認証情報の発行を依頼し、この依頼が行われた際に、認証装置１７が、携帯電話回線網１８に組み込まれた発信元電話番号の通知機能から通知される発信元電話番号により、発信元の通信端末機１０の認証を行い、認証が取れた場合に携帯電話回線網１８を介して発信元の通信端末機１０へ認証情報を発行する。また、この発行された認証情報を発信元電話番号に対応付けて認証装置１７に記憶する。また、その発行された認証情報を通信端末機１０に記憶する。
【００８５】
認証サーバ１４において、任意の電話番号をインターネットを介して認証装置１７へ送信し、認証装置１７に発信元電話番号に対応付けられて記憶された認証情報の中から、認証サーバ１４からの電話番号に対応する発信元電話番号に対応付けられた認証情報を取得する。この取得された認証情報を電話番号に対応付けて認証サーバ１４に記憶する。
【００８６】
そして、通信端末機１０に記憶された認証情報を、無線ＬＡＮ基地局１２及び自営ＬＡＮ１３を介して認証サーバ１４へ送信する。この送信された認証情報と、認証サーバ１４に記憶された認証情報とが一致する場合に、通信端末機１０に認証を許可するようにした。
これによって、従来のように、通信端末機１０にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機１０で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができる。
【００８７】
また、通信端末機１０が認証装置１７から認証情報を取得する際の過程で、認証装置１７においては、携帯電話回線網１８（公衆の携帯電話回線網１８）に組み込まれた発信元電話番号通知機能から発信元電話番号を取得するが、通信端末機１０が接続される携帯電話回線網１８のシステムは、その構成上、守秘機能が安全である。このため、発信元電話番号の受信、また、認証情報の送信を行っても、第三者に盗用、解読される危険性が極めて低く安全である。
【００８８】
また、認証装置１７及び認証サーバ１４において、認証情報を発信元電話番号に対応付けて記憶することにより管理するので、認証情報を容易に管理することができる。また、記憶した認証情報を検索する際にも電話番号で検索することができるので、検索を容易かつ正確に行うことができる。
また、認証サーバ１４において、認証情報を電話番号に対応付けて記憶する際に、更にその電話番号に、通信端末機１０に認証を許可するか否かの可否状態を対応付けて記憶しておき、通信端末機１０から認証情報と共に送信されてくる発信元電話番号に対応する電話番号を検索し、この検索された電話番号に対応付けられた可否状態から通信端末機１０の認証の可否を判定するようにした。
【００８９】
従って、認証サーバ１４において、通信端末機１０の認証を許可するか否かを、第３の記憶手段に記憶された電話番号に対応付けられた可否状態から判定することができるので、通信端末機１０の認証の可否を容易に行うことができる。
また、認証サーバ１４において、通信端末機１０から送信されてくる認証情報が改変されているか否かを確認し、改変されている場合に通信端末機１０の認証を拒否するようにした。従って、認証サーバ１４において、通信端末機１０の認証を許可するか否かを、認証情報の改変もチェックすることによって行うようにしたので、二重のチェックで認証の可否を判定することができ、より安全に認証の可否を判定することができる。
【００９０】
また、認証サーバ１４に記憶される電話番号及び可否状態を任意に設定する管理装置２２を備えたので、通信端末機１０の電話番号並びに、通信端末機１０の認証を許可するか否かを認証サーバ１４に任意に設定することができる。従って、通信の利用状況が芳しくないなどの理由で認証を許可したくないユーザの通信端末機１０に対して、強制的に認証の許否を行うことができる。
【００９１】
また、認証情報は、電子証明書、秘密鍵及び公開鍵であるので、通信端末機１０、認証装置１７及び認証サーバ１４間の通信において、秘密鍵によって暗号化されたデータと共に電子証明書を伝送することで安全に伝送することができる。また、その伝送されたデータを公開鍵により適正に復号できた際に、電子証明書を送信してきた通信端末機１０が有効であると認証することができる。
【００９２】
但し、上記実施の形態においては、通信端末機１０が携帯電話と無線ＬＡＮの双方のインタフェース機能を備える構成を例に挙げて説明したが、通信端末機１０が据置型電話と有線ＬＡＮの双方のインタフェース機能を備える構成であってもよい。この場合、図１に示す通信端末機１０が交換機を介して、自営ＬＡＮ１３に接続されると共に、公衆電話回線網を介して認証装置１７に接続される構成となる。他の構成は同様であり、このような構成においても上記同様の効果を得ることができる。
【００９３】
【発明の効果】
以上説明したように本発明は、通信端末機に電話回線を介して認証装置から認証情報を取得して記憶すると共に、認証サーバにインターネットを介して認証装置から認証情報を取得して記憶しておき、通信端末機が自機の認証を行う際に、自機に記憶された認証情報を専用回線を介して認証サーバへ送信し、この送信された認証情報と認証サーバに記憶された認証情報とが一致する場合に、通信端末機に認証を許可するようにした。これによって、従来のように、通信端末機にＣＤ−ＲＯＭ装置やＦＤ装置等の外部入力装置を、外部入力装置のある場所で一旦接続して認証情報をインストールして認証を行うといった手間を省くことができる。従って、通信端末機で外部入力装置を用いなくても認証を行うことができるので、必要時に即時、認証依頼を行うことができるという効果がある。
また、認証装置及び認証サーバにおいて、認証情報を電話番号に対応付けて記憶することにより管理するようにしたので、認証情報を容易に管理することができるという効果がある。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る通信ネットワークシステムの構成を示す図である。
【図２】上記実施の形態に係る通信ネットワークシステムにおける通信端末機の構成を示すブロック図である。
【図３】上記実施の形態に係る通信ネットワークシステムにおける認証装置の構成を示すブロック図である。
【図４】上記実施の形態に係る通信ネットワークシステムにおける無線ＬＡＮ基地局の構成を示すブロック図である。
【図５】上記実施の形態に係る通信ネットワークシステムにおける認証サーバの構成を示すブロック図である。
【図６】上記認証装置のデータベースに格納される認証情報管理テーブルの図である。
【図７】上記認証サーバのデータベースに格納される認証情報・接続可否管理テーブルの図である。
【図８】上記通信端末機が上記認証装置から認証情報を取得する処理動作を説明するためのフローチャートである。
【図９】上記認証サーバが上記認証装置から通信端末機の認証情報を取得する処理動作を説明するためのフローチャートである。
【図１０】上記通信端末機と自営ＬＡＮとを認証を行った後に接続する際の処理動作を説明するためのフローチャートである。
【符号の説明】
１０通信端末機
１１無線ＬＡＮの無線回線
１２無線ＬＡＮ基地局
１３自営ＬＡＮ
１４認証サーバ
１５ゲートウエイ
１６インターネット
１７認証装置
１８携帯電話回線網
１９携帯電話基地局
２０携帯電話の無線回線
３１携帯電話通信用アンテナ
３２携帯電話通信部
３３無線ＬＡＮ通信用アンテナ
３４無線ＬＡＮ通信部
３６認証情報発行依頼部
３８発信元電話番号記憶部
４０認証情報受信制御部
４２認証情報記憶部
４４認証情報送信制御部
４６ＬＡＮ接続要求部
４８認証結果受信制御部
５０表示部
５２キー操作部
５４電話回線通信部
５６認証処理部
５８認証情報発行部
６０認証情報管理制御部
６２データベース
６４認証情報送信依頼受信部
６６認証情報送信制御部
６８インターネット通信部
７２無線通信部
７４ＬＡＮ接続要求受信部
７６認証情報送信要求部
７８認証情報受信部
８０認証依頼部
８２端末機−ＬＡＮ間接続制御部
８４認証結果通知部
８６ＬＡＮ通信部
９０ＬＡＮ通信部
９２認証依頼受信部
９４認証可否判定部
９６データベース
９８認証情報管理制御部
１００認証情報送信依頼部
１０２認証装置識別情報記憶部
１０４インターネット通信部
１１０認証情報管理テーブル
１１２認証情報・接続可否管理テーブル[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a communication terminal such as a mobile phone, a PDA (Personal Digital Assistance), and a fixed stationary phone that has a function of connecting to a wireless or wired LAN (Local Area Network) in addition to a telephone function. The present invention relates to a communication network system, a communication terminal, an authentication device, an authentication server, and an electronic authentication method for performing authentication necessary for connecting to a private LAN such as a LAN, and managing authentication information required for the authentication.
[0002]
[Prior art]
In a communication terminal such as a mobile phone, user information is managed by an identifier called a telephone number. In a wireless LAN among LANs, user information is managed by a unique combination of a user name and a password, an electronic certificate issued by a certificate authority, and the like (for example, Non-Patent Document 1).
[0003]
When a combination of a user name and a password is used as authentication information for a wireless LAN, it is required to input both the user name and the password to the communication terminal. At this time, the user name and the password are usually represented by a combination of alphabets, numbers, and symbols (for example, Non-Patent Document 2).
When the electronic certificate is used as the authentication information of the wireless LAN, the electronic certificate is input to the communication terminal using a storage medium such as a compact disk read only memory (CD-ROM) or a floppy (registered trademark) disk (FD). It is necessary (for example, Non-Patent Document 3).
[0004]
As described above, conventionally, authentication information necessary for connecting to a LAN is managed with a different identifier for each interface function of both the mobile phone and the LAN.
Further, as a conventional method or apparatus for performing this type of authentication, there are, for example, those described in Patent Documents 1 and 2 below.
The contents described in Patent Literature 1 are that, at the time of authentication when a communication terminal requests connection to a server via a network, the communication terminal transmits the storage telephone number as a user name and the storage terminal number as a password to the server. The server permits connection when the transmitted user name and password completely match the stored user name and password inside the server.
[0005]
Patent Document 2 describes that when a wireless terminal connects to a network, connection request information including the wireless terminal ID, authentication information, and the network address of a server that performs authentication is transmitted, and the connection request information is transmitted. If the server that performs authentication is its own server, it performs direct authentication, if it is not its own server, it requests authentication from the server that performs authentication, and if it receives a request for authentication from another server, Perform authentication and return the authentication result.
[0006]
[Patent Document 1]
Japanese Patent Application Laid-Open No. 11-175777 (abstract)
[Patent Document 2]
JP-A-10-70540 (abstract)
[Non-patent document 1]
"Wireless Broadband Textbook", edited by Takeshi Hattori and Masanobu Fujioka, IDG Japan, June 10, 2002, p. 291-293 "Information of IEEE (Institute of Electrical and Electronic Engineers: Institute of Electrical and Electronics Engineers) 802.11i which is currently being standardized as a wireless LAN authentication method, and outlines the use of EAPTLS or the like as an authentication method"
[Non-patent document 2]
L. Blunk, J .; Volbrecht, "PPP Extensible Authentication Protocol (EAP)", RFC2284, Marl998 "Specifies the EAP-MD5 method for authenticating with a user name and password in a wireless LAN."
[0007]
[Non-Patent Document 3]
B. Aboba, D .; Simon, "PPP EAP TLS Authentication Protocol (RFC2716)", RFC2716, Octl999 "Specifies the EAP-TLS method, which is a method for authenticating with a digital certificate in a wireless LAN"
[0008]
[Problems to be solved by the invention]
However, when authentication is performed using a user name and a password as in the above-described Patent Document 1 and Non-Patent Documents 1 and 2, the user name and the password may be expressed by a combination of alphabets, numbers, and symbols, or stored. Since the telephone number is expressed as a user name and the storage terminal number is expressed as a password, there is a high risk of being stolen or decoded by a third party.
[0009]
Therefore, there is an electronic authentication method using authentication information by an electronic certificate as in Patent Document 2 and Non-Patent Documents 1 and 3, but in this method, a communication terminal such as a CD-ROM device or an FD device is used. You must connect an external input device and install a digital certificate. For this reason, especially in a portable communication terminal such as a mobile phone and a PDA, it is necessary to connect the external input device once and install an electronic certificate at a place where the external input device is located. It takes time and effort. In other words, there is a problem that an authentication request cannot be made immediately when needed.
[0010]
Furthermore, since the authentication information required to connect to the LAN is managed with a different identifier for each of the interface functions of the mobile phone and the LAN, there is a problem that the management of the authentication information is complicated.
The present invention has been made in view of such a problem, and a communication network that can immediately perform authentication of a communication terminal when necessary and that can easily manage authentication information required for the authentication. It is an object to provide a system, a communication terminal, an authentication device, an authentication server, and an electronic authentication method.
[0011]
[Means for Solving the Problems]
To achieve the above object, a communication network system according to claim 1 of the present invention is a communication network system in which a communication terminal authenticates its own device to an authentication device, wherein the communication terminal includes a telephone line and a dedicated line. An issuance request for requesting the authentication device to issue authentication information using first communication means connectable to at least one of the communication means and a source telephone number transmitted to the telephone line via the first communication means; Means, receiving means for receiving authentication information issued from the authentication device in response to a request from the issuance requesting means, first storage means for storing the authentication information received by the receiving means, Authentication request means for requesting authentication of its own device by transmitting the authentication information stored in the storage means to the dedicated line via the first communication means, wherein the authentication device Second communication means connectable to at least one of a line and the Internet, and the source telephone number notified via the second communication means from a source telephone number notification function incorporated in the telephone line Authentication processing means for performing authentication of the communication terminal of the transmission source, and issuing authentication information to the communication terminal of the transmission source via the second communication means when the authentication is successful; A second storage unit for storing the authentication information issued by the third communication unit, and a third communication unit connectable to at least one of the dedicated line and the Internet, in addition to the communication terminal and the authentication device. Obtaining means for obtaining the authentication information stored in the second storage means of the authentication device from the third communication means via the Internet, and storing the authentication information obtained by the obtaining means. And authentication information stored in the first storage means from the communication terminal when the authentication information is transmitted from the dedicated line via the third communication means. The authentication server according to claim 3, further comprising an authentication server having an authentication permission / rejection determination unit for permitting authentication to the communication terminal when the authentication information stored in the storage unit matches the authentication information.
[0012]
According to this configuration, the communication terminal acquires and stores the authentication information from the authentication device via the telephone line, and acquires and stores the authentication information from the authentication device via the Internet in the authentication server. When the terminal authenticates itself, the terminal transmits the authentication information stored in the terminal to the authentication server via a dedicated line, and the transmitted authentication information matches the authentication information stored in the authentication server. When doing so, the communication terminal is allowed to authenticate. This eliminates the need to connect an external input device such as a CD-ROM device or an FD device to a communication terminal at a place where the external input device is present and install authentication information to perform authentication as in the related art. be able to. Therefore, the authentication can be performed without using the external input device in the communication terminal, so that the authentication request can be made immediately when necessary.
[0013]
Also, in the process in which the communication terminal obtains the authentication information from the authentication device, the authentication device obtains the source telephone number from the source telephone number notification function incorporated in the telephone line (public telephone line). However, a telephone line system to which a communication terminal is connected has a secure confidential function due to its configuration. For this reason, even if the transmission source telephone number is received and the authentication information is transmitted, the risk of plagiarism and decryption by a third party is extremely low and the security is high.
[0014]
The communication network system according to claim 2 of the present invention is the communication network system according to claim 1, wherein the authentication device stores authentication information stored in the second storage means in association with the source telephone number. It is characterized by further comprising one management control means.
According to this configuration, the authentication device manages the authentication information by storing the authentication information in association with the source telephone number, so that the authentication information can be easily managed. In addition, the stored authentication information can be searched by telephone number when searching, so that the search can be performed easily and accurately.
[0015]
Also, in the communication network system according to the third aspect of the present invention, in the second aspect, the authentication server stores the authentication information stored in the third storage unit in association with a telephone number. A control unit, wherein the obtaining unit obtains the authentication information stored in the second storage unit of the authentication device in association with a source telephone number via the Internet. And acquiring authentication information associated with a source telephone number corresponding to a telephone number used when storing the authentication information in the storage means.
[0016]
According to this configuration, when the authentication server obtains the authentication information from the authentication device, the authentication information can be obtained by the telephone number, so that the authentication information can be easily obtained. Further, since the authentication server manages the authentication information by associating the authentication information with the telephone number corresponding to the source telephone number, the authentication information can be easily managed. In addition, the stored authentication information can be searched by telephone number when searching, so that the search can be performed easily and accurately.
[0017]
In the communication network system according to a fourth aspect of the present invention, in the third aspect, in the authentication server, the second management control means stores the authentication information in the third storage means in association with a telephone number. And storing the telephone number in association with the permission / prohibition state of whether or not to permit the communication terminal to perform authentication. The authentication permission / non-permission determination means stores the communication terminal in the third storage means. Searching for a telephone number corresponding to the source telephone number transmitted together with the authentication information from the terminal, and determining whether or not the communication terminal can be authenticated from the permission / prohibition state associated with the retrieved telephone number. Features.
[0018]
According to this configuration, the authentication server can determine whether to permit authentication of the communication terminal based on the availability state associated with the telephone number stored in the third storage unit. Whether or not the terminal can be authenticated can be easily determined.
According to a fifth aspect of the present invention, in the communication network system according to any one of the first to fourth aspects, in the authentication server, the authentication permission / inhibition determination means may determine whether the authentication information transmitted from the communication terminal is It is characterized in that whether or not the communication terminal has been altered is rejected if the alteration has been made.
[0019]
According to this configuration, in the authentication server, whether or not the authentication of the communication terminal is permitted is performed by checking the modification of the authentication information. It is possible to more securely determine whether or not authentication is possible.
Further, the communication network system according to claim 6 of the present invention further comprises a setting means connected to the authentication server and arbitrarily setting a telephone number and a permission state stored in the third storage means. It is characterized by having.
[0020]
According to this configuration, it is possible to arbitrarily set the telephone number of the communication terminal and whether or not to permit authentication of the communication terminal in the authentication server. Authentication can be compulsorily permitted for the communication terminal of the user who does not want to permit the authentication.
In a communication network system according to a seventh aspect of the present invention, in any one of the first to sixth aspects, the authentication information is an electronic certificate, a secret key, and a public key.
[0021]
According to this configuration, in communication between the communication terminal, the authentication device, and the authentication server, the electronic certificate can be securely transmitted by being encrypted with the private key and transmitted, and can be properly decrypted with the public key. can do.
The communication network system according to claim 8 of the present invention is the communication network system according to any one of claims 1 to 7, wherein the telephone line is a mobile telephone line network through which the communication terminal can communicate via a wireless base station. The dedicated line is a local area network in which the communication terminal can communicate via a wireless base station.
[0022]
According to this configuration, even if the communication terminal is a mobile phone or a PDA that performs wireless communication, the authentication of the communication terminal can be immediately performed when necessary for the above-mentioned reason, and the electronic terminal required for the authentication can be used. Authentication information using a certificate can be easily managed. Further, the authentication can be performed safely.
According to a ninth aspect of the present invention, there is provided a communication terminal according to the ninth aspect, wherein an authentication device included in a communication network system is provided with a communication means capable of connecting to at least one of a telephone line and a dedicated line in a communication terminal performing self-authentication. Issue request means for requesting the authentication device to issue authentication information using a source telephone number transmitted to the telephone line via the communication means, and the authentication device in response to a request from the issue request means Receiving means for receiving authentication information issued from the storage means, storing means for storing the authentication information received by the receiving means, and transmitting the authentication information stored in the storage means to the dedicated line via the communication means Authentication request means for requesting authentication of the own device by transmitting.
[0023]
According to this configuration, the communication terminal acquires and stores the authentication information from the authentication device via the telephone line, and stores the authentication information stored in the communication terminal when the communication terminal performs the authentication of the communication terminal. Is transmitted to a dedicated line, so that an external input device such as a CD-ROM device or an FD device is once connected to a communication terminal at a place where the external input device is located, and authentication information is installed. This eliminates the need to perform authentication. Therefore, an authentication request can be made immediately from the communication terminal when necessary.
[0024]
An authentication device according to claim 10 of the present invention is an authentication device for authenticating a communication terminal included in a communication network system, wherein: a communication means connectable to at least one of a telephone line and the Internet; By the source telephone number notified from the built-in notification function of the source telephone number via the communication means, the authentication of the communication terminal of the source is performed. Authentication processing means for issuing authentication information to the communication terminal of the transmission source, storage means for storing the authentication information issued by the authentication processing means, and authentication information stored in the storage means, Management control means for storing the number in association with the number.
[0025]
According to this configuration, the authentication device manages the authentication information by storing the authentication information in association with the source telephone number, so that the authentication information can be easily managed. In addition, the stored authentication information can be searched by telephone number when searching, so that the search can be performed easily and accurately.
Also, in the authentication device, the source telephone number is acquired from the source telephone number notification function incorporated in the telephone line (public telephone line). However, the telephone line system has a secure confidential function due to its configuration. . For this reason, even if the transmission source telephone number is received and the authentication information is transmitted, the risk of plagiarism and decryption by a third party is extremely low and the security is high.
[0026]
An authentication server according to claim 11 of the present invention, in a communication network system, authenticates a communication terminal of a transmission source by a transmission source telephone number notified from a transmission function of a transmission source telephone number incorporated in a telephone line. It is connected via the Internet to an authentication device that holds the authentication information in association with the source telephone number and issues it to the communication terminal, and is connected to the communication terminal via a dedicated line. In the authentication server, an acquiring unit for acquiring the authentication information held by the authentication device via the Internet, a storage unit for storing the authentication information acquired by the acquiring unit, and performing authentication of the own device from the communication terminal. When the authentication information to be transmitted is transmitted via the dedicated line and the authentication information matches the authentication information stored in the storage means, It is characterized by comprising an authentication determination unit for permitting the authentication to the communication terminal.
[0027]
According to this configuration, in the authentication server, the authentication information is acquired from the authentication device via the Internet and stored, and the authentication information for the communication terminal to authenticate itself and the authentication information stored in the authentication server are stored. Since authentication can be permitted to the communication terminal by matching the information, the communication terminal can request authentication without accessing a known authentication station (authentication device). Therefore, the traffic volume to the certificate authority can be reduced.
[0028]
The authentication server according to a twelfth aspect of the present invention is the authentication server according to the eleventh aspect, further comprising a management control unit configured to store the authentication information stored in the storage unit in association with a telephone number. When acquiring authentication information from the authentication device via the Internet, acquiring authentication information associated with a source telephone number corresponding to a telephone number used for storing the authentication information in the storage unit. Features.
[0029]
According to this configuration, when the authentication server obtains the authentication information from the authentication device, the authentication information can be obtained by the telephone number, so that the authentication information can be easily obtained. Further, since the authentication server manages the authentication information by associating the authentication information with the telephone number corresponding to the source telephone number, the authentication information can be easily managed. In addition, the stored authentication information can be searched by telephone number when searching, so that the search can be performed easily and accurately.
[0030]
According to a thirteenth aspect of the present invention, in the authentication server according to the twelfth aspect, when the management control means stores the authentication information in the storage means in association with the telephone number, the management control means further stores the communication information in the telephone number. The terminal determines whether or not to permit authentication of the terminal in association with the status, and the authentication determination unit stores, in the storage unit, a corresponding to the source telephone number transmitted together with the authentication information from the communication terminal. A search is made for a telephone number to be authenticated, and a determination is made as to whether or not authentication of the communication terminal is possible based on the permission / prohibition state associated with the retrieved telephone number.
[0031]
According to this configuration, the authentication server can determine whether to permit authentication of the communication terminal based on the availability state associated with the telephone number stored in the third storage unit. Whether or not the terminal can be authenticated can be easily determined.
According to a fourteenth aspect of the present invention, in the authentication server according to any one of the eleventh to thirteenth aspects, the authentication possibility determination unit determines whether the authentication information transmitted from the communication terminal has been altered. And rejecting the authentication of the communication terminal if it has been modified.
[0032]
According to this configuration, in the authentication server, whether or not the authentication of the communication terminal is permitted is performed by checking the modification of the authentication information. It is possible to more securely determine whether or not authentication is possible.
An electronic authentication method according to a fifteenth aspect of the present invention is the electronic authentication method in which a communication terminal acquires authentication information from an authentication device, and requests authentication to an authentication server with the acquired authentication information. A first step of requesting the authentication device to issue authentication information using a source telephone number transmitted to a telephone line; and a step of issuing a request from the communication terminal in the first step. Authenticating the communication terminal of the caller by the caller telephone number notified from the caller telephone number notification function incorporated in the telephone line, and, if the authentication is successful, the telephone line via the telephone line A third step of issuing authentication information to the originating communication terminal; and a fourth step of storing the authentication information issued in the third step in the authentication device in association with the source telephone number. And a fifth step of storing the authentication information issued in the third step in the communication terminal, transmitting an arbitrary telephone number to the authentication device via the Internet in the authentication server, Acquiring authentication information associated with the source telephone number corresponding to the telephone number from the authentication server from the authentication information stored in the authentication device in association with the source telephone number in step 4; A sixth step, a seventh step of storing the authentication information obtained in the sixth step in the authentication server in association with a telephone number, and a step of storing the authentication information in the communication terminal in the fifth step. An eighth step of transmitting authentication information to the authentication server via a dedicated line, the authentication information transmitted from the communication terminal in the eighth step, Wherein in the case where the authentication credentials stored in the server coincide at step, is characterized in that it comprises a ninth step of permitting authentication to the communication terminal.
[0033]
According to this method, the authentication information is obtained and stored in the communication terminal from the authentication device via the telephone line, and the authentication information is obtained and stored in the authentication server from the authentication device via the Internet. When the terminal authenticates itself, the terminal transmits the authentication information stored in the terminal to the authentication server via a dedicated line, and the transmitted authentication information matches the authentication information stored in the authentication server. When doing so, the communication terminal is allowed to authenticate. This eliminates the need to connect an external input device such as a CD-ROM device or an FD device to a communication terminal at a place where the external input device is present and install authentication information to perform authentication as in the related art. be able to.
[0034]
Therefore, the authentication can be performed without using the external input device in the communication terminal, so that the authentication request can be made immediately when necessary.
Further, since the authentication device and the authentication server manage the authentication information by storing it in association with the telephone number, the authentication information can be easily managed.
[0035]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
(Embodiment)
FIG. 1 is a diagram showing a configuration of a communication network system according to an embodiment of the present invention.
[0036]
The communication network system shown in FIG. 1 includes a communication terminal 10 having both mobile phone and wireless LAN interface functions, and a wireless LAN base station to which the communication terminal 10 is connected via a wireless LAN wireless line 11. 12, a private LAN 13 such as a corporate LAN or a home LAN connected to the wireless LAN base station 12, an authentication server 14 connected to the private LAN 13, a gateway 15 and the Internet 16 to the authentication server 14. An authentication device 17 connected to the authentication device 17, a mobile phone base station 19 connected to the authentication device 17 via a mobile phone network 18, and a management device 22 connected to the authentication server 14. The mobile device 10 is configured to be connected to a mobile phone base station 19 via a mobile phone wireless line 20.
[0037]
Hereinafter, the wireless line 11 of the wireless LAN and the wireless line 20 of the mobile phone may be simply referred to as wireless lines 11 and 20.
In addition, a main part of the above-described components includes the following internal components.
As shown in FIG. 2, the communication terminal 10 includes a mobile phone communication unit 32 to which a mobile phone communication antenna (hereinafter, also simply referred to as an antenna) 31 is connected, and a wireless LAN communication antenna (hereinafter, simply referred to as an antenna). 33, a wireless LAN communication unit 34, an authentication information issuance requesting unit 36, a source telephone number storage unit 38, an authentication information reception control unit 40, an authentication information storage unit 42, and an authentication information transmission control unit 44. , A LAN connection request unit 46, an authentication result reception control unit 48, a display unit 50, and a key operation unit 52. However, each of the antennas 31 and 33 may be realized by one antenna using an antenna duplexer (not shown) or the like.
[0038]
The authentication device 17 includes a telephone line communication unit 54, an authentication processing unit 56, an authentication information issuing unit 58, an authentication information management control unit 60, a database 62, an authentication information transmission request receiving unit 64, an authentication information transmission control And an Internet communication unit 68.
The wireless LAN base station 12 includes a wireless communication unit 72, a LAN connection request reception unit 74, an authentication information transmission request unit 76, an authentication information reception unit 78, an authentication request unit 80, and a terminal-LAN connection control unit. 82, an authentication result notifying unit 84, and a LAN communication unit 86.
[0039]
The authentication server 14 includes a LAN communication unit 90, an authentication request receiving unit 92, an authentication availability determination unit 94, a database 96, an authentication information management control unit 98, an authentication information transmission requesting unit 100, and an authentication device identification information storage. And an Internet communication unit 104.
Next, the components will be described. First, the communication terminal 10 shown in FIG. 2 will be described.
[0040]
The mobile phone communication unit 32 communicates with the mobile phone base station 19 via the telephone line 20 using the antenna 31.
The source telephone number storage unit 38 stores a source telephone number (mobile telephone number) for connecting to the mobile telephone network 18 via the base station 19.
The authentication information issuance requesting unit 36 stores the source telephone number stored in the source telephone number storage unit 38 when an operation for requesting the issuance of predetermined authentication information is performed in the key operation unit 52. After making a communication state with the mobile phone base station 19 by the transmission used, an authentication information issuance request signal is transmitted to request the authentication device 17 to issue the authentication information of the own communication terminal 10.
[0041]
The authentication information reception control unit 40 receives the electronic certificate and the private key issued from the authentication device 17 in response to the request of the authentication information issuance requesting unit 36, and stores these in the authentication information storage unit 42 as authentication information. The control is performed.
The wireless LAN communication unit 34 communicates with the wireless LAN base station 12 via the telephone line 11 by the antenna 33.
[0042]
The LAN connection request unit 46 communicates with the wireless LAN base station 12 by using a mobile phone number when an operation for making a predetermined connection request to the private LAN 13 is performed by the key operation unit 52. After that, a request for connecting the own communication terminal 10 to the own LAN 13 is made to the wireless LAN base station 12 by transmitting a LAN connection request signal via the wireless LAN communication unit 34. is there. When the authentication information transmission request signal is returned from the wireless LAN base station 12 in response to the LAN connection request signal transmitted by the own LAN connection request unit 46, the LAN connection request unit 46 transmits the authentication information transmission request. A signal is output to the authentication information transmission control unit 44.
[0043]
When the authentication information transmission request signal is input, the authentication information transmission control unit 44 reads the electronic certificate that is the authentication information stored in the authentication information storage unit 42, and reads this electronic certificate into the wireless LAN communication unit. It transmits to the wireless LAN base station 12 via. That is, an authentication request for connecting to the private LAN 13 is made here.
[0044]
Here, in an authentication method performed in advance for connecting the communication terminal 10 to the private LAN 13, an encryption key for encrypting a signal transmitted to the wireless line 11 is obtained by using a secret key acquired together with an electronic certificate. The key is generated and the signal is transmitted. Therefore, the communication terminal 10 does not need to input a user name or a password. Such a technique is a general technique, and an IEEE (Institute of Electrical and Electronic Engineers) 802. lx and EAP-TLS (Extensible Authentication Protocol-Transport Layer Security).
[0045]
The authentication result receiving control unit 48 receives the authentication result information notified from the wireless LAN base station 12 and controls the display of the authentication result on the display unit 50 using characters or images. The authentication result information indicates permission / rejection of connection between the communication terminal 10 and the private LAN 13. Therefore, the permission or permission is displayed on the display unit 50.
[0046]
Next, the authentication device 17 shown in FIG. 3 will be described.
The authentication device 17 generally uses an authentication function using an electronic certificate provided in a certificate authority. In the mechanism called PKI (Public Key Infrastructure) required for the authentication function, the authentication device 17 is a key device. It creates public keys and private keys, and issues and manages digital certificates. In the authentication device 17, a function of managing an electronic certificate, a secret key, and a public key in association with the source telephone number is added to the basic functions of those certificate authorities.
[0047]
The telephone line communication unit 54 is an interface for communicating with the mobile telephone network 18, receives a source telephone number and an authentication information issue request signal transmitted from the mobile telephone network 18, And a private key and a private key. The received source telephone number can be obtained by a caller ID notification which is a function of the public telephone line system of the mobile telephone network 18, and the communication between the mobile telephone network 18 and the communication terminal 10 can be performed. It can be determined that the mobile phone line to be connected is safe. For this reason, even if the source telephone number is received, or the electronic certificate and the private key are transmitted, the risk of being stolen or decrypted by a third party is extremely low and is safe.
[0048]
When the authentication information issuance request signal received by the telephone line communication unit 54 is input, the authentication processing unit 56 authenticates the communication terminal 10 with the received caller telephone number. The source telephone number is output to the authentication information issuing unit 58 and the authentication information management control unit 60. However, the authentication process is performed by the above-described authentication function.
[0049]
When the authenticated source telephone number is input from the authentication processing unit 56, the authentication information issuing unit 58 creates an electronic certificate, a private key, and a public key, and then creates an electronic certificate including the public key and a secret. The key is issued to the communication terminal 10 of the source telephone number. The electronic certificate, the secret key, and the public key are output to the authentication information management control unit 60.
[0050]
The authentication information management control unit 60 transmits the electronic certificate, the private key, and the public key issued by the authentication information issuing unit 58 to the telephone number to which the authentication information is issued, that is, the source telephone number input from the authentication processing unit 56. It is stored in the database 62 in association with the number.
This storage is performed in an authentication information management table (hereinafter, also simply referred to as a table) 110 shown in FIG. In the example of FIG. 6, the electronic certificate 1a, the private key 1b, and the public key 1c are associated with the mobile phone number 1 of the transmission source on the first line, and the electronic certificate is associated with the mobile phone number 2 on the second line. 2a, the secret key 2b, and the public key 2c show the state where the electronic certificate 3a, the secret key 3b, and the public key 3c are associated with the mobile phone number 3 in the third line.
[0051]
The Internet communication unit 68 is an interface for communicating with the Internet 16.
The authentication information transmission request receiving unit 64 receives a mobile phone number used for an authentication information transmission request from the authentication server 14 transmitted via the Internet 16.
[0052]
The authentication information transmission control unit 66 searches the authentication information management table 110 of the database 62 for a mobile phone number corresponding to the mobile phone number received by the authentication information transmission request receiving unit 64, and associates the mobile phone number with the mobile phone number. The electronic certificate is read and transmitted to the authentication server 14. If the mobile phone number corresponding to the received mobile phone number is not registered, electronic certificate non-holding information indicating that the mobile phone number does not have an electronic certificate corresponding to the received mobile phone number is sent to the authentication server 14. Send.
[0053]
Next, the wireless LAN base station 12 shown in FIG. 4 will be described.
The wireless communication unit 72 communicates with the communication terminal 10 via the wireless line 11.
The LAN communication unit 86 communicates with the private LAN 13.
The LAN connection request receiving unit 74 receives a LAN connection request signal from the communication terminal 10 via the wireless communication unit 72.
[0054]
The authentication information transmission request unit 76 transmits an authentication information transmission request signal to the communication terminal 10 that has transmitted the LAN connection request signal when the LAN connection request signal is received by the LAN connection request receiving unit 74. is there.
The authentication information receiving unit 78 receives an electronic certificate from the communication terminal 10 via the wireless communication unit 72.
[0055]
The authentication request unit 80 transmits the electronic certificate received by the authentication information receiving unit 78 to the authentication server 14 via the LAN communication unit 86 together with the telephone number of the source of the electronic certificate. Requesting the certification of the certificate. The electronic certificate is transmitted from the LAN communication unit 86 to the authentication server 14 via the private LAN 13. At the time of this authentication request, the communication terminal 10 can communicate only with the wireless LAN base station 12. I have.
[0056]
The terminal-LAN connection control unit 82 controls communication connection between the communication terminal 10 and the private LAN 13 when authentication result information indicating authentication permission is transmitted from the authentication server 14 via the LAN communication unit 86. Is what you do.
The authentication result notifying unit 84 notifies the communication terminal 10 of the authentication result information from the authentication server 14 via the wireless communication unit 72.
[0057]
Next, the authentication server 14 shown in FIG. 5 will be described.
The LAN communication unit 90 is an interface for communicating with the private LAN 13.
The Internet communication unit 104 is an interface for communicating with the Internet 16.
[0058]
The authentication device identification information storage unit 102 stores identification information for identifying the authentication device 17. However, the identification information is an IP (Internet Protocol) address for specifying the authentication device 17 or a DNS (Domain Name System) name. These pieces of identification information are set in advance by the management device 22 such as a personal computer.
[0059]
The authentication information transmission request unit 100 requests the authentication device 17 to transmit authentication information via the Internet 16. This request is made by transmitting the mobile phone number input from the management device 22 to the authentication device 17 via the Internet communication unit 104. Also, the authentication device 17 of the transmission destination is specified by the identification information stored in the authentication device identification information storage unit 102.
[0060]
The authentication information management control unit 98 stores the electronic certificate transmitted from the authentication server 14 via the Internet 16 in the database 96 in association with the mobile phone number used for the transmission request of the electronic certificate. is there.
This storage is performed in an authentication information / connection possibility management table (hereinafter, also simply referred to as a table) 112 shown in FIG. In the example of FIG. 7, the electronic certificate 1a is associated with the mobile phone number 1 on the first line, nothing is associated with the mobile phone number 2 on the second line, and the mobile phone number is not associated with the third line. The state where the electronic certificate 3a is associated with the telephone number 3 is shown.
[0061]
The mobile phone numbers 1 to 3 in the table 112 are input from the management device 22. Further, the table 112 is associated with the electronic certificate 1a to 3a and the availability status of the private LAN 13, which is also performed by input from the management device 22.
That is, the management device 22 arbitrarily accesses the database 96, registers a desired mobile phone number in the table 112, and arbitrarily sets whether or not the communication terminal 10 of the mobile phone number can be connected to the private LAN 13. I can do it. This example shows that a circle is set when connection is possible, and a cross is set when connection is not possible.
[0062]
Further, when the authentication information management control unit 98 registers the electronic certificate from the authentication server 14 in the table 112, for example, as shown in the first line, the connection availability status to the private LAN 13 is set to ○. When the electronic certificate non-holding information is transmitted from the authentication server 14, the connection availability status of the corresponding mobile phone number registration row (the second row in this example) is set to x.
[0063]
Also, the management device 22 registers the electronic certificate from the authentication server 14 and, even after the connection permission / prohibition state is set to “O”, if the connection of the communication terminal 10 is permitted or rejected, as shown in the third line. And can be arbitrarily changed to ×. As another method of rejecting the connection, the corresponding electronic certificate may be deleted from the table 112.
The authentication request receiving unit 92 receives an electronic certificate and a source telephone number from the wireless LAN base station 12 via the LAN communication unit 90.
[0064]
When the authentication request receiving unit 92 receives the electronic certificate and the transmission source telephone number (mobile phone number), the authentication possibility determination unit 94 first checks the validity of the electronic certificate. Confirming the validity is a process of determining whether the electronic certificate is different from the original one due to falsification or the like. As a result, when it is confirmed that the electronic certificate is valid, the mobile phone number corresponding to the received mobile phone number is searched from the table 112 of the database 62, and the connection possibility corresponding to the mobile phone number is searched. The authentication result information indicating the status is transmitted to the wireless LAN base station 12. This is to transmit the authentication result information indicating the connection permission if the connection permission state is ○, and to transmit the authentication result information indicating the connection permission if the connection permission state is ×. Here, the permission / permission / rejection authentication result information is transmitted by ×. However, if the electronic certificate from the communication terminal 10 matches the electronic certificate in the table 112, the permission / non-permission authentication is performed. The result information may be returned.
[0065]
In addition, when the electronic certificate is determined to be invalid by the above-described validity check, the authentication permission / non-permission determining unit 94 does not perform the search processing in the table 112 and transmits the authentication result information indicating connection permission / denial. ing.
Next, a processing operation in which the communication terminal 10 acquires authentication information from the authentication device 17 in the communication network system having such a configuration will be described with reference to a flowchart shown in FIG.
[0066]
First, in step S1, the communication terminal 10 requests the authentication device 17 to issue authentication information. That is, when the user performs a predetermined authentication information issuance request operation from the key operation unit 52 shown in FIG. 2, the authentication information issuance request unit 36 controls the transmission source telephone number storage unit 38. After the mobile phone base station 19 is placed in a communication state by calling using the stored caller telephone number, an authentication information issue request signal is transmitted from the mobile phone communication unit 32 to the mobile phone base station 19.
[0067]
The transmitted authentication information transmission request signal is transmitted to the authentication device 17 via the mobile phone network 18 in step S2. At the same time, the originating telephone number is notified from the mobile telephone network 18 to the authentication device 17. In the authentication device 17, the caller's telephone number and the authentication information issuance request signal are received by the telephone line communication unit 54 and output to the authentication processing unit 56.
[0068]
In step S3, when the authentication information issuance request signal is input, the authentication processing unit 56 authenticates the communication terminal 10 with the source telephone number. If the authentication is successful, the authentication information issuing unit 58 creates an electronic certificate, a secret key, and a public key for the communication terminal 10. Thereafter, in step S4, the digital certificate including the public key and the secret key are issued from the LAN communication unit 86 to the communication terminal 10 of the source telephone number.
[0069]
The electronic certificate, secret key, and public key created by the authentication processing unit 56 are stored and managed in the database 62 under the control of the authentication information management control unit 60 in step S5. That is, as shown in FIG. 6, in the authentication information management table 110 in the database 62, the electronic certificate, the private key, and the public key issued above correspond to the mobile phone number of the communication terminal 10 that has issued the issuance request. It is attached and stored. The description will be continued below assuming that this storage is, for example, the mobile phone number 1, the electronic certificate 1a, the secret key 1b, and the public key 1c in the first row of the table 110.
[0070]
The electronic certificate 1a and the secret key 1b issued to the communication terminal 10 are transmitted from the mobile phone base station 19 via the mobile phone network 18 to the communication terminal 10 via the wireless network 11. .
The transmitted electronic certificate 1a and secret key 1b are stored in the authentication information storage unit 42 under the control of the authentication information reception control unit 40 after being received by the mobile phone communication unit 32 of the communication terminal 10 in step S6. Is done.
[0071]
Next, a processing operation in which the authentication server 14 acquires the authentication information of the communication terminal 10 from the authentication device 17 will be described with reference to a flowchart shown in FIG.
First, in step S <b> 11, by accessing the authentication server 14 from the management device 22, authentication information using an IP address or a DNS name for identifying the authentication device 17 is registered in the authentication device identification information storage unit 102.
[0072]
In step S12, the management apparatus 22 accesses the database 96 of the authentication server 14, and a predetermined mobile phone number is registered in the authentication information / connection possibility management table 112 of the database 96 as shown in FIG. Is done. That is, it is assumed that the mobile phone numbers 1, 2, and 3 have been registered.
Next, in step S13, the authentication information transmission request unit 100 of the authentication server 14 requests the authentication device 17 to transmit authentication information. That is, the mobile phone number registered in the table 112 (initially 1) is transmitted from the Internet communication unit 104 to the authentication device 17 indicated by the identification information stored in the authentication device identification information storage unit 102.
[0073]
The transmitted mobile phone number 1 reaches the authentication device 17 via the gateway 15 and the Internet 16. Then, as shown in step S14, the authentication information transmission request receiving unit 64 receives the authentication information via the Internet communication unit 68 of the authentication device 17.
Thereafter, in step S15, it is determined whether or not there is an electronic certificate corresponding to the mobile phone number 1 used for the request. That is, the authentication information transmission control unit 66 searches the authentication information management table 110 of the database 62 for a mobile phone number corresponding to the reception mobile phone number 1. If the mobile phone number 1 exists as a result of this search, the electronic certificate 1a associated with the mobile phone number 1 is read out and transmitted to the authentication server 14 in step S16.
[0074]
The transmitted electronic certificate 1a is received by the Internet communication unit 104 of the authentication server 14 in step S17, and is output to the authentication information management control unit 98. Under the control of the authentication information management control unit 98, as shown in FIG. Is done.
[0075]
On the other hand, in step S15, if the mobile phone number corresponding to the received mobile phone number 1 has not been searched, the electronic certificate indicating that the mobile phone number corresponding to the received mobile phone number 1 is not held is not found. The possession information is transmitted to the authentication server 14 in step S18.
When the transmitted electronic certificate non-holding information is received by the authentication server 14 in step S19, under the control of the authentication information management control unit 98, the connection availability state associated with the mobile phone number 1 in the table 112 is changed. , Indicating that connection is impossible. It should be noted that the connection availability status of the registered line of the mobile phone number 3 in the table 112 is indicated by "x" due to the forced setting of the management device 22.
[0076]
Next, a processing operation when connecting the communication terminal 10 and the private LAN 13 after performing authentication will be described with reference to a flowchart shown in FIG.
First, in step S21, assuming that an operation of a connection request to the private LAN 13 is performed from the key operation unit 52 in the communication terminal device 10, the LAN connection request unit 46 causes the mobile phone number 1 in the source telephone number storage unit 38 to be transmitted. Is transmitted and connected to the wireless LAN base station 12, and a LAN connection request signal is transmitted to the wireless LAN base station 12.
[0077]
When the transmitted LAN connection request signal is received by the LAN connection request receiving section 74 shown in FIG. 4, in step S22, the authentication information transmission request signal from the authentication information transmission request section 76 is changed to the received LAN connection request signal. The data is transmitted to the communication terminal 10 that is the transmission source.
The transmitted authentication information transmission request signal is received by the wireless LAN communication unit 34 of the communication terminal 10 and output to the authentication information transmission control unit 44 via the LAN connection request unit 46 in step S23. Thus, under the control of the authentication information transmission control unit 44, the electronic certificate 1a stored in the authentication information storage unit 42 is read and transmitted to the wireless LAN base station 12 via the wireless LAN communication unit 34.
[0078]
The transmitted electronic certificate 1a is received by the authentication information receiving unit 78, and is transmitted by the authentication requesting unit 80 to the authentication server 14 via the LAN communication unit 86 together with the mobile phone number 1 of the transmission source of the electronic certificate 1a. Sent to That is, authentication of the electronic certificate 1a is requested.
In step S25, the electronic certificate 1a and the mobile phone number 1 transmitted from the wireless LAN communication unit 34 pass through the private LAN 13 and pass through the LAN communication unit 90 of the authentication server 14 shown in FIG. Received.
[0079]
After this reception, in step S26, the authentication permission / non-permission determining unit 94 determines whether the electronic certificate 1a is valid. As a result, if the mobile phone number is valid, the mobile phone number 1 corresponding to the received mobile phone number 1 is searched from the table 112 shown in FIG. The connection availability state associated with the telephone number 1 is confirmed. Thus, it is determined whether the communication terminal 10 is connectable.
[0080]
If the result of this determination is that connection is possible, the authentication result determination unit 94 sends authentication result information indicating connection permission to the wireless LAN base station 12 in step S28.
The transmitted authentication result information indicating the connection permission / denial is received by the LAN communication unit 86 of the wireless LAN base station 12 in step S29. Then, the communication terminal 10 and the private LAN 13 are communicatively connected under the control of the terminal-to-LAN connection control unit 82 according to the authentication result information indicating the connection permission / denial.
[0081]
On the other hand, if it is determined in step S26 that the electronic certificate 1a is invalid, the authentication result determination unit 94 transmits authentication result information indicating connection permission / prohibition to the wireless LAN base station 12 in step S30.
In step S27, if the connection permission / inhibition state associated with the mobile phone number 1 in the table 112 indicates that the connection is not possible, the authentication result indicating the connection permission / inhibition is determined by the authentication permission / inhibition determination unit 94 in step S31. The information is transmitted to the wireless LAN base station 12.
[0082]
The authentication result information indicating whether or not the connection is permitted is received by the LAN communication unit 86 of the wireless LAN base station 12 and output to the authentication result notification unit 84. In step S32, the authentication result notification unit 84 notifies the communication terminal 10 of the information. (Sent).
The notified authentication result information indicating the connection permission / denial is received by the authentication result reception control unit 48 via the wireless LAN communication unit 34 of the communication terminal 10 in step S33. Then, under the control of the authentication result reception control unit 48 according to the authentication result information indicating the connection permission / prohibition, the display unit 50 displays that connection to the private LAN 13 is permitted or rejected.
[0083]
In step S32, the authentication result information indicating the connection permission transmitted to the wireless LAN communication unit 34 in step S28 is also notified from the authentication result notifying unit 84 to the communication terminal 10 as described above.
The notified authentication result information indicating the connection permission is received by the authentication result reception control unit 48 of the communication terminal 10 in step S33, and the authentication result reception control unit 48 corresponding to the authentication result information indicating the connection permission is provided. By this control, the display unit 50 permits the connection with the private LAN 13 and displays that the connection has been made.
[0084]
As described above, according to the communication network system of the present embodiment, the communication terminal 10 uses the source telephone number transmitted to the mobile telephone network 18 via the mobile telephone base station 19 to A request for issuance of authentication information is made, and when this request is made, the authentication device 17 uses the sender telephone number notified from the sender telephone number notification function incorporated in the mobile phone network 18 to send the sender information. Authentication of the communication terminal 10 is performed, and when the authentication is successful, authentication information is issued to the communication terminal 10 of the transmission source via the mobile phone network 18. The issued authentication information is stored in the authentication device 17 in association with the source telephone number. The issued authentication information is stored in the communication terminal 10.
[0085]
The authentication server 14 transmits an arbitrary telephone number to the authentication device 17 via the Internet, and from the authentication information stored in the authentication device 17 in association with the source telephone number, the telephone number from the authentication server 14 To acquire the authentication information associated with the source telephone number corresponding to. The obtained authentication information is stored in the authentication server 14 in association with the telephone number.
[0086]
Then, the authentication information stored in the communication terminal 10 is transmitted to the authentication server 14 via the wireless LAN base station 12 and the private LAN 13. When the transmitted authentication information matches the authentication information stored in the authentication server 14, the communication terminal 10 is permitted to perform authentication.
As a result, as in the related art, the trouble of connecting an external input device such as a CD-ROM device or an FD device to the communication terminal 10 once at a place where the external input device is located, installing authentication information, and performing authentication is eliminated. Can be omitted. Therefore, authentication can be performed without using an external input device in the communication terminal 10, so that an authentication request can be made immediately when necessary.
[0087]
In the process when the communication terminal 10 obtains the authentication information from the authentication device 17, the authentication device 17 sends a notification of the source telephone number incorporated in the mobile phone network 18 (public mobile phone network 18). The source telephone number is obtained from the function, but the confidentiality function is secure in the system of the mobile telephone network 18 to which the communication terminal 10 is connected. For this reason, even if the transmission source telephone number is received and the authentication information is transmitted, the risk of plagiarism and decryption by a third party is extremely low and the security is high.
[0088]
Also, since the authentication device 17 and the authentication server 14 manage the authentication information by storing it in association with the source telephone number, the authentication information can be easily managed. In addition, the stored authentication information can be searched by telephone number when searching, so that the search can be performed easily and accurately.
Further, when the authentication information is stored in the authentication server 14 in association with the telephone number, the telephone number is further stored in association with the permission state of whether or not to permit the communication terminal 10 to perform the authentication. A search is made for a telephone number corresponding to the source telephone number transmitted together with the authentication information from the communication terminal 10, and whether or not the authentication of the communication terminal 10 is possible is determined from the availability state associated with the searched telephone number. I did it.
[0089]
Accordingly, the authentication server 14 can determine whether or not to permit the authentication of the communication terminal 10 from the availability state associated with the telephone number stored in the third storage means. It is possible to easily determine whether or not 10 authentications are permitted.
Further, the authentication server 14 checks whether or not the authentication information transmitted from the communication terminal 10 has been altered, and rejects the authentication of the communication terminal 10 if the authentication information has been altered. Therefore, in the authentication server 14, whether or not the authentication of the communication terminal device 10 is permitted is performed by checking the modification of the authentication information. Thus, it is possible to more securely determine whether or not authentication is possible.
[0090]
In addition, since the management device 22 for arbitrarily setting the telephone number and the permission / prohibition state stored in the authentication server 14 is provided, the telephone number of the communication terminal 10 and whether or not the authentication of the communication terminal 10 is permitted are authenticated. It can be set arbitrarily in the server 14. Therefore, it is possible to forcibly authorize or deny the authentication of the communication terminal device 10 of the user who does not want to permit the authentication because the use status of the communication is not good.
[0091]
Since the authentication information is an electronic certificate, a secret key, and a public key, the communication between the communication terminal 10, the authentication device 17, and the authentication server 14 transmits the electronic certificate together with the data encrypted by the secret key. By doing so, it can be transmitted safely. Also, when the transmitted data can be properly decrypted with the public key, the communication terminal 10 that has transmitted the electronic certificate can be authenticated as valid.
[0092]
However, in the above-described embodiment, the configuration in which the communication terminal 10 has the interface functions of both the mobile phone and the wireless LAN has been described as an example. However, the communication terminal 10 can be used for both the stationary telephone and the wired LAN. A configuration having an interface function may be used. In this case, the communication terminal 10 shown in FIG. 1 is connected to the private LAN 13 via an exchange and connected to the authentication device 17 via a public telephone network. Other configurations are the same, and the same effects as described above can be obtained in such a configuration.
[0093]
【The invention's effect】
As described above, the present invention obtains and stores authentication information from an authentication device via a telephone line in a communication terminal, and obtains and stores authentication information from an authentication device via the Internet in an authentication server. When the communication terminal authenticates itself, the authentication information stored in the communication terminal is transmitted to the authentication server via a dedicated line, and the transmitted authentication information and the authentication information stored in the authentication server are transmitted. The authentication is permitted to the communication terminal when the ID matches. This eliminates the need to connect an external input device such as a CD-ROM device or an FD device to a communication terminal at a place where the external input device is present and install authentication information to perform authentication as in the related art. be able to. Therefore, since authentication can be performed without using an external input device in the communication terminal, an authentication request can be made immediately when necessary.
Further, since the authentication device and the authentication server manage the authentication information by storing it in association with the telephone number, there is an effect that the authentication information can be easily managed.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a communication network system according to an embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of a communication terminal in the communication network system according to the embodiment.
FIG. 3 is a block diagram showing a configuration of an authentication device in the communication network system according to the embodiment.
FIG. 4 is a block diagram showing a configuration of a wireless LAN base station in the communication network system according to the embodiment.
FIG. 5 is a block diagram showing a configuration of an authentication server in the communication network system according to the embodiment.
FIG. 6 is a diagram of an authentication information management table stored in a database of the authentication device.
FIG. 7 is a diagram of an authentication information / connection possibility management table stored in a database of the authentication server.
FIG. 8 is a flowchart illustrating a processing operation in which the communication terminal acquires authentication information from the authentication device.
FIG. 9 is a flowchart illustrating a processing operation in which the authentication server acquires authentication information of a communication terminal from the authentication device.
FIG. 10 is a flowchart for explaining a processing operation when connecting the communication terminal and the private LAN after performing authentication.
[Explanation of symbols]
10 Communication terminal
11 Wireless LAN wireless line
12 Wireless LAN base station
13 Private LAN
14 Authentication server
15 Gateway
16 Internet
17 Authentication device
18 Mobile phone network
19 Mobile phone base station
20 Mobile phone wireless lines
31 Mobile phone communication antenna
32 Mobile Phone Communication Department
33 Wireless LAN Communication Antenna
34 Wireless LAN communication unit
36 Authentication information issuance request section
38 Source telephone number storage
40 Authentication information reception control unit
42 Authentication information storage
44 Authentication information transmission control unit
46 LAN connection request section
48 Authentication result reception control unit
50 Display
52 key operation section
54 Telephone Line Communication Department
56 Authentication processing unit
58 Authentication Information Issuing Department
60 Authentication information management control unit
62 Database
64 Authentication information transmission request receiving unit
66 Authentication information transmission control unit
68 Internet Communication Department
72 Wireless communication unit
74 LAN connection request receiving unit
76 Authentication information transmission request section
78 Authentication information receiving unit
80 Certification Request Department
82 Terminal-LAN connection control unit
84 Authentication result notification section
86 LAN communication unit
90 LAN communication unit
92 Authentication request receiving unit
94 Authentication availability determination unit
96 Database
98 Authentication information management control unit
100 Authentication information transmission request section
102 Authentication device identification information storage unit
104 Internet Communication Department
110 Authentication information management table
112 Authentication information / connection availability management table

Claims

In a communication network system in which a communication terminal authenticates itself to an authentication device,
In the communication terminal,
First communication means connectable to at least one of a telephone line and a dedicated line;
Issue request means for requesting the authentication device to issue authentication information, using a source telephone number transmitted to the telephone line via the first communication means;
Receiving means for receiving authentication information issued from the authentication device in response to the request of the issuance requesting means,
First storage means for storing the authentication information received by the receiving means,
Authentication request means for requesting authentication of its own device by transmitting the authentication information stored in the first storage means to the dedicated line via the first communication means,
In the authentication device,
Second communication means connectable to at least one of the telephone line and the Internet;
When the sender communication terminal is authenticated by the sender telephone number notified from the sender telephone number notification function incorporated in the telephone line via the second communication means, and the authentication is obtained. Authentication processing means for issuing authentication information to the source communication terminal via the second communication means,
A second storage unit for storing the authentication information issued by the authentication processing unit,
In addition to the communication terminal and the authentication device,
Third communication means connectable to at least one of the dedicated line and the Internet;
Obtaining means for obtaining authentication information stored in the second storage means of the authentication device from the third communication means via the Internet;
Third storage means for storing the authentication information acquired by the acquisition means,
When the authentication information stored in the first storage means is transmitted from the communication terminal through the third communication means from the dedicated line, the authentication information and the third storage means A communication network system, comprising: an authentication server having authentication permission / non-permission determining means for permitting the communication terminal to perform authentication when the stored authentication information matches.

In the authentication device,
The communication network system according to claim 1, further comprising a first management control unit that stores authentication information stored in the second storage unit in association with the source telephone number.

In the authentication server,
A second management control unit that stores the authentication information stored in the third storage unit in association with a telephone number;
The acquiring unit, when acquiring the authentication information stored in the second storage unit of the authentication device in association with the source telephone number via the Internet, stores the authentication information in the third storage unit. 3. The communication network system according to claim 2, wherein authentication information associated with a source telephone number corresponding to a telephone number used when storing the authentication information is acquired.

In the authentication server,
When the authentication information is stored in the third storage unit in association with the telephone number, the second management control unit may further determine whether or not to permit the communication terminal to authenticate the telephone number. The state is stored in association with the state,
The authentication possibility determination means searches the third storage means for a telephone number corresponding to a source telephone number transmitted together with authentication information from the communication terminal, and associates the telephone number with the searched telephone number. 4. The communication network system according to claim 3, wherein whether or not authentication of the communication terminal is permitted is determined from the permission / prohibition state.

In the authentication server,
The authentication determination unit checks whether authentication information transmitted from the communication terminal has been altered, and rejects authentication of the communication terminal if the authentication information has been altered. Item 5. The communication network system according to any one of Items 1 to 4.

The communication network system according to claim 5, further comprising a setting unit connected to the authentication server and arbitrarily setting a telephone number and a permission state stored in the third storage unit.

7. The communication network system according to claim 1, wherein the authentication information is an electronic certificate, a secret key, and a public key.

The telephone line is a mobile telephone line network with which the communication terminal can communicate via a wireless base station,
The communication network system according to any one of claims 1 to 7, wherein the dedicated line is a local area network with which the communication terminal can communicate via a wireless base station.

In the authentication device included in the communication network system, a communication terminal that authenticates itself,
Communication means connectable to at least one of a telephone line and a dedicated line;
Issue request means for requesting the authentication device to issue authentication information, using a source telephone number transmitted to the telephone line via the communication means,
Receiving means for receiving authentication information issued from the authentication device in response to the request of the issuance requesting means,
Storage means for storing the authentication information received by the receiving means,
A communication terminal, comprising: authentication request means for requesting authentication of its own device by transmitting authentication information stored in said storage means to said dedicated line via said communication means.

In an authentication device for authenticating a communication terminal included in a communication network system,
Communication means connectable to at least one of a telephone line and the Internet;
The source telephone number notified from the communication means by the source telephone number notification function incorporated in the telephone line authenticates the source communication terminal, and if the authentication is successful, the communication is performed. Authentication processing means for issuing authentication information to the originating communication terminal via means,
Storage means for storing authentication information issued by the authentication processing means,
An authentication device, comprising: a management control unit that stores authentication information stored in the storage unit in association with the source telephone number.

The communication network system authenticates the source communication terminal using the source phone number notified from the source phone number notification function built into the telephone line, and associates this authentication information with the source phone number. An authentication server that is connected via the Internet to an authentication device that holds and issues the communication terminal, and is connected to the communication terminal via a dedicated line.
Acquisition means for acquiring authentication information held by the authentication device via the Internet,
Storage means for storing the authentication information obtained by the obtaining means,
When the authentication information for performing authentication of the own device from the communication terminal is transmitted via the dedicated line, when the authentication information matches the authentication information stored in the storage unit, An authentication server, comprising: an authentication permission / non-permission determining unit for permitting authentication of a communication terminal.

Further comprising a management control means for storing the authentication information stored in the storage means in association with a telephone number,
The obtaining means, when obtaining the authentication information from the authentication device via the Internet, the authentication associated with the source telephone number corresponding to the telephone number used when storing the authentication information in the storage means The authentication server according to claim 11, wherein information is acquired.

When storing the authentication information in the storage unit in association with the telephone number, the management control unit further stores the telephone number in association with the permission state of whether or not to permit the communication terminal to perform the authentication. And
The authentication permission / non-permission determining unit searches the storage unit for a telephone number corresponding to a source telephone number transmitted together with authentication information from the communication terminal, and determines whether the telephone number is associated with the searched telephone number. The authentication server according to claim 12, wherein whether the communication terminal is authenticated is determined based on a state.

The authentication determination unit checks whether authentication information transmitted from the communication terminal has been altered, and rejects authentication of the communication terminal if the authentication information has been altered. Item 14. The authentication server according to any one of Items 11 to 13.

In an electronic authentication method in which a communication terminal obtains authentication information from an authentication device and requests authentication to an authentication server with the obtained authentication information,
A first step of the communication terminal requesting the authentication device to issue authentication information using a source telephone number transmitted to a telephone line;
In the first step, when an issuance request is made from the communication terminal, the caller's communication terminal is notified by the caller's telephone number notification function incorporated in the telephone line. A third step of performing authentication of the device, and issuing authentication information to the source communication terminal via the telephone line when the authentication is obtained;
A fourth step of storing the authentication information issued in the third step in the authentication device in association with a source telephone number;
A fifth step of storing the authentication information issued in the third step in the communication terminal;
The authentication server transmits an arbitrary telephone number to the authentication device via the Internet, and in the fourth step, from the authentication information stored in the authentication device in association with the source telephone number, A sixth step of obtaining authentication information associated with the source telephone number corresponding to the telephone number from the server;
A seventh step of storing the authentication information acquired in the sixth step in the authentication server in association with a telephone number;
An eighth step of transmitting the authentication information stored in the communication terminal in the fifth step to the authentication server via a dedicated line;
If the authentication information transmitted from the communication terminal in the eighth step matches the authentication information stored in the authentication server in the seventh step, the communication terminal is allowed to authenticate. 9. An electronic authentication method, comprising: