JP2004295761A

JP2004295761A - Terminal device and information processing device

Info

Publication number: JP2004295761A
Application number: JP2003090117A
Authority: JP
Inventors: Yasuhiro Kobata; 康博木幡
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2003-03-28
Filing date: 2003-03-28
Publication date: 2004-10-21
Anticipated expiration: 2023-03-28
Also published as: JP4311617B2

Abstract

【課題】モバイル端末からインターネットを利用して企業内サーバにログインする時の認証として、より安全で、特別な認証装置を使用せず、簡単な操作で認証できるようにする。
【解決手段】モバイル端末１がインターネットに接続する時に使用する通信カード２の接続元電話番号をセキュリティキーとして使用し、モバイル端末１が企業内サーバ６のログインＵＲＬに接続する時に、通信カード２の電話番号を読み込み、読み込んだ通信カード２の電話番号をインターネット５経由で企業内サーバ６に通知し、企業内サーバ６では、ログイン時のユーザＩＤ、パスワードの認証チェック時に、通知された通信カード２の電話番号がログインユーザ毎に許可された接続元の電話番号であることを確認した上でログイン認証を行う。
【選択図】図２An object of the present invention is to provide a more secure authentication using a simple operation without using a special authentication device as an authentication when logging in to a company server using the Internet from a mobile terminal.
A mobile terminal uses a connection source telephone number of a communication card used when connecting to the Internet as a security key, and when the mobile terminal connects to a login URL of an in-company server, the communication card of the communication card is used. The telephone number is read, and the read telephone number of the communication card 2 is notified to the in-company server 6 via the Internet 5. After confirming that the telephone number is a connection source telephone number permitted for each login user, login authentication is performed.
[Selection] Fig. 2

Description

【０００１】
【発明の属する技術分野】
この発明は、モバイル端末等の端末装置のログイン認証処理に関するものである。
【０００２】
【従来の技術】
従来、モバイル端末等におけるログイン認証処理は、２段階認証と呼ばれる手法により行われていた。２段階認証とは、２つの異なる要素、つまりユーザが”所有している”物とユーザだけが”知っている”情報を使用して、ユーザの身元を確認するセキュリティ処理である。２つの異なる形式の識別情報を要求することで、企業は詐欺行為のリスクを低下させることができる。２段階認証の単純な例として、現金自動支払機（ＡＴＭ）のキャッシュカードと暗証番号（ＰＩＮ）がある。キャッシュカードと暗証番号は、一方だけを盗んでも意味がない。カードを入手し、暗証番号を知ることで初めて身元が確認され、使用が許可される。２段階認証は、ユーザの知る情報だけに依存せず、有形の所有物も使用して認証を行うため、高いセキュリティを実現する。
２つ目の要素としては、物理デバイスやユーザの体の一部（指紋など）がある。このデバイスや体の一部は、トークンとも呼ばれる。トークンは一意のもので、簡単に複製することができない。通常、トークンは瞬時に無効にできる。つまり、認証デバイスとしての機能をすぐに無効にできる。
例として、レインボー社のｉＫｅｙは、ユーザの所有する物理的なデバイス「ｉＫｅｙ」とユーザだけが知っている「ＰＩＮ（暗証番号）」で２段階認証を行う、ＵＳＢポート対応のポータブルなトークンである。
【０００３】
ここで、ｉＫｅｙ装置におけるコンピュータへのログイン認証の動作を説明する。
図１１は、コンピュータ及びｉＫｅｙ装置の構成例を示す図である。
図１１において、１００はパーソナルコンピュータ（以下、パソコンという）、２００はパソコン１００に搭載されているログイン認証ソフト、３００はｉＫｅｙ装置、４００はｉＫｅｙ装置３００が記憶している暗証番号、５００はｉＫｅｙ装置３００が搭載しているログインユーザ名である。
ｉＫｅｙ装置３００は、パソコン１００にＵＳＢインタフェースで接続される機密保護機能がついた記憶装置である。ｉＫｅｙ装置３００には暗証番号４００が埋め込まれており、この暗証番号を知らない限り、ｉＫｅｙ装置を操作できないようになっている。またｉＫｅｙ装置にはログインユーザ名５００を登録しておく。
パソコン１００のログイン時にログイン認証ソフト２００が起動され、ユーザからユーザ名とパスワードを入力する。
ログイン認証ソフト２００は、ｉＫｅｙ装置がＵＳＢに挿入されていることを確認し、入力されたパスワードをｉＫｅｙ装置の暗証番号４００として、ｉＫｅｙ装置に対して動作要求を行い、ｉＫｅｙ装置内に保存されたログインユーザ名５００を読み取る要求をする。
ｉＫｅｙ装置３００は、暗証番号４００が一致したときには、ｉＫｅｙ装置に登録されたログインユーザ名５００をパソコン１００に返す。
パソコン１００側では、返されたユーザ名と入力されたユーザ名が一致したら、ログインが成功する。
以上のようにして、物理的なｉＫｅｙとユーザだけが知りえる情報の２段階認証により認証を行う。
【０００４】
このような２段階認証には以下のような利点がある。
キー操作の記録、ネットワーク監視、パスワードクラッキング、ＩＴ部門の従業員による悪用などの、１段階認証の場合におこる問題に対処できる。
また、ユーザ認証が成功した後のすべての操作に対してユーザが実行したことを否認できないため、ユーザが処理を行ったことが明確になる。
また、詐欺行為または企業のデータへの不正アクセスを招く危険性が低くなる。
また、エンドユーザが簡単に使用できる。
また、耐久性が高く、長期間のセキュリティ・ソリューションを実現する。
更に、管理が容易である。
【０００５】
また、電話番号を利用した認証システムについては、特開２００２−２２９９５２号公報に示されるように、接続されるサーバ側で、通信業者が提供する発信元電話番号通知サービス等により接続元の発信電話番号を入手することにより、認証を行うものがある。しかしながら、インターネットを介して接続される時には、インターネット接続サービスプロバイダまでは、通信業者が提供する発信元電話番号通知サービス等により接続元の発信電話番号入手可能であるが、この情報は、インターネットに接続される時には、継承されないため、最終的に接続されるサーバ側では、通信網から発信元電話番号を得ることができない。
また、特開２０００−２０９２８４号公報では、インターネットを介した接続において、電話番号を利用したログイン認証方式を示しているが、ここでは、認証されるコンピュータ機器が電話交換機を通してインターネットに接続する環境において、電話交換機から接続元の電話番号を得るという環境が必要となっている。モバイル環境では、社内電話交換機を通して接続することは無い。インターネットを通してサーバに接続を行う端末とサーバとの間で、モバイル環境でもより安全に、低価格で、操作性を損なわない認証が求められている。
【０００６】
【特許文献１】
特開２００２−２２９９５２号公報
【特許文献２】
特開２０００−２０９２８４号公報
【０００７】
【発明が解決しようとする課題】
従来の２段階認証では、認証時以外では、使用しない特別な装置（ｉＫｅｙ装置や指紋認証装置、ＩＣカードリーダ等）を使用するため認証装置のコストが掛かる。また、ＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｔｓ）等の携帯端末では、特別な装置の接続インタフェースがなかったり、特別な装置を持ち運び、ログイン認証の時だけ特別な装置を装着して認証を行うという操作面での不便さがあるという問題点があった。
【０００８】
また、特開２００２−２２９９５２号公報及び特開２０００−２０９２８４号公報のような通信業者の接続元電話番号通知サービスを利用して接続元電話番号をサーバ側で確認して接続元を認証するという方法においては、インターネットを介して接続を行う時には、通信業者から接続元の電話番号を通知して貰うサービスが無く、接続元電話番号確認による認証が使えないという問題があった。
【０００９】
この発明は上記のような問題点を解決するためになされたもので、モバイル端末等の端末装置へのログイン認証とモバイル端末等の端末装置から所定のサーバ（例えば企業内のサーバ）に接続するときのログイン認証において、認証の為だけに使用する特別な装置を使用することなく、ユーザ名とパスワードだけの認証より安全であり、安価かつ利便性の高いログイン認証処理の実現を目的とする。
【００１０】
【課題を解決するための手段】
本発明に係る端末装置は、
識別情報が設定された通信デバイスとの接続が可能であり、ユーザからのログイン要求に対してログイン認証処理を行う端末装置であって、
ログインが許可されるユーザが用いる通信デバイスの識別情報として特定の識別情報を記憶する認証情報記憶部と、
ユーザからログイン要求を入力する入力部と、
前記入力部がユーザからのログイン要求を入力した際に、端末装置に通信デバイスが接続しているか否かを判断し、いずれかの通信デバイスが端末装置に接続している場合に、端末装置に接続している接続通信デバイスから接続通信デバイスの識別情報を取得する識別情報取得部と、
前記識別情報取得部により取得された接続通信デバイスの識別情報と前記認証情報記憶部に記憶された識別情報とに基づき、ユーザからのログイン要求に対してログイン認証処理を行うログイン認証処理部とを有することを特徴とする。
【００１１】
【発明の実施の形態】
実施の形態１．
図１は、実施の形態１に係るモバイル端末１（端末装置）及び通信カード２（通信デバイス）の構成例を示す図である。
モバイル端末１は、通信カード２と接続可能であり、通信カード２を用いて無線通信を行うことができるコンピュータ（例えば、ノートパソコン、ＰＤＡ）である。また、通信カード２は、例えば、ＰＨＳ（登録商標）（ＰｅｒｓｏｎａｌＨａｎｄｙｐｈｏｎｅＳｙｓｔｅｍ）カードであり、無線通信を実現するために、通信カードの識別情報として電話番号が設定されている。
【００１２】
モバイル端末１において、入力部１０１は、ユーザから、モバイル端末へのログインを要求するログイン要求を入力する。
表示部１０２は、ユーザに対して情報の入力を促す画面やモバイル端末での処理結果を示す画面等を表示する。
【００１３】
端末ログイン認証処理部１０３は、ユーザからのログイン要求に対してログイン認証処理を行う。端末ログイン認証処理部１０３は、ログイン認証処理部に相当する。
端末側インタフェース部１０４（以下、端末側Ｉ／Ｆ部とする）は、ユーザからのログイン要求の入力時に、モバイル端末１に通信カードが接続されているか否かを判断し、通信カードが接続されている場合には、接続されている通信カードから当該通信カードに設定されている電話番号を取得する。端末側Ｉ／Ｆ部１０４は、識別情報取得部に相当する。
【００１４】
端末ログイン認証情報記憶部１０５は、ログイン認証処理時に使用するユーザの認証情報を記憶する。端末ログイン認証情報記憶部１０５に記憶される認証情報としては、ログインが許可されるユーザのユーザＩＤを所定のハッシュ関数により暗号化した認証用暗号化ユーザＩＤ１０８、ログインが許可されるユーザが用いるパスワードを所定のハッシュ関数により暗号化した認証用暗号化パスワード１０９、ログインが許可されるユーザが用いる通信カードの電話番号を所定のハッシュ関数により暗号化した認証用暗号化通信カード電話番号１１０（認証用暗号化識別情報）、及び所定の秘密キー１１８である。なお、これら認証用暗号化ユーザＩＤ１０８、認証用暗号化通信カード電話番号１１０、認証用暗号化通信カード電話番号１１０、秘密キー１１８は、後述する初期設定処理により端末ログイン認証情報記憶部１０５に記憶される情報であり、初期設定処理が実施される以前は端末ログイン認証情報記憶部１０５内に存在していない。また、端末ログイン認証情報記憶部１０５は、認証情報記憶部に相当する。
【００１５】
ハッシュ演算部１０６は、端末ログイン認証情報記憶部１０５に記憶される各種認証情報に対して所定のハッシュ関数を用いて暗号化を行い、また、ログイン認証処理の際に、端末側Ｉ／Ｆ部１０４が取得した通信カードの電話番号等に対して所定のハッシュ関数を用いて暗号化を行う。なお、ハッシュ演算部１０６により暗号化された情報は逆変換ができない。
秘密キー生成部１０７は、所定の場合に、秘密キーを生成する。
【００１６】
また、通信カード２において、カード側インタフェース部２０１（以下、カード側Ｉ／Ｆ部とする）は、モバイル端末１の端末側Ｉ／Ｆ部１０４から要求があった際に、電話番号記憶部２０３に記憶されている通信カードの電話番号を端末側Ｉ／Ｆ部１０４に通知する。
通信処理部２０２は、無線通信網との間でデータの送受信を行う。
電話番号記憶部２０３は、通信カードの電話番号を記憶している。
秘密キー格納部２０４は、モバイル端末１の秘密キー生成部１０７で生成された秘密キーを格納する。
【００１７】
次に、図５を参照して、モバイル端末１における初期設定処理を説明する。
まず、ステップＳ５０１において、端末ログイン認証処理部１０３が端末側Ｉ／Ｆ部１０４に通信カード２がモバイル端末１に装着（接続）されているか否かを確認させる。そして、通信カード２が装着（接続）されていない場合（ステップＳ５０２でＮＯ）は、ステップＳ５０３において、端末ログイン認証処理部１０３は表示部１０２に通信カードの装着を指示する画面を表示させ、ユーザに通信カードの装着を指示する。
通信カード２が装着されている場合（ステップＳ５０２でＹＥＳ）は、ステップＳ５０４において、端末ログイン認証処理部１０３は表示部１０２にログインユーザＩＤとパスワードを初期設定するための画面を表示させ、ログインユーザＩＤ及びパスワードの入力を待つ。
【００１８】
入力部１０１によりログインユーザＩＤとパスワードが入力されると、ステップＳ５０５において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４に通信カード２の電話番号を取得するよう指示し、端末側Ｉ／Ｆ部１０４は通信カード２のカード側Ｉ／Ｆ部２０１より通信カードの電話番号を取得する。
電話番号の取得後は、端末ログイン認証処理部１０３はハッシュ演算部１０６にログインユーザＩＤ、パスワード、通信カードの電話番号の３つのデータの暗号化を指示し、ハッシュ演算部１０６は所定のハッシュ関数を用いてこれら３つのデータの暗号化を行う。
更に、ハッシュ演算部１０６による暗号化の後は、端末ログイン認証処理部１０３は暗号化されたログインユーザＩＤ、パスワード、通信カードの電話番号を端末ログイン認証情報記憶部１０５に記憶させ、それぞれ認証用暗号化ユーザＩＤ１０８、認証用暗号化パスワード１０９、認証用暗号化通信カード電話番号１１０とする。
【００１９】
次に、ステップＳ５０６において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４に通信カード２がデータ書き込み可能な通信カードであるかを確認させる。そして、通信カード２がデータ書き込み可能な場合には、端末ログイン認証処理部１０３は秘密キー生成部１０７に乱数を発生させて秘密キーを生成させ、端末側Ｉ／Ｆ部１０４を介して通信カード２へ秘密キーを設定する。通信カード２では秘密キー格納部２０４に秘密キーを格納する。また、モバイル端末１では、端末ログイン認証処理部１０３が、生成された秘密キーを端末ログイン認証情報記憶部１０５に記憶させる。
【００２０】
次に、図６を参照して、モバイル端末１における端末ログイン認証処理を説明する。
まず、ステップＳ６０１において、モバイル端末１の電源ＯＮにより端末ログイン認証処理部１０３が最初に起動し、表示部１０２にログイン入力画面を表示させ、ユーザにログインユーザＩＤとパスワードの入力を促す。
次に、ユーザからログイン要求としてログインユーザＩＤとパスワードとが入力されると、ステップＳ６０２において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４に通信カード２がモバイル端末１に装着（接続）されているか否かを確認させる。そして、通信カード２が装着（接続）されていない場合（ステップＳ６０３でＮＯ）は、ステップＳ６０４において、端末ログイン認証処理部１０３は表示部１０２にログインエラーを示す画面を表示させる。
【００２１】
通信カード２が装着されている場合（ステップＳ６０３でＹＥＳ）は、ステップＳ６０５において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４に通信カード２の電話番号を取得するよう指示し、端末側Ｉ／Ｆ部１０４は通信カード２のカード側Ｉ／Ｆ部２０１より通信カードの電話番号を取得する。
そして、端末ログイン認証処理部１０３はログイン要求として入力されたログインユーザＩＤ、パスワード、及び端末側Ｉ／Ｆ部１０４が取得した通信カードの電話番号の暗号化をハッシュ演算部１０６に指示し、ハッシュ演算部１０６は初期設定処理において用いたハッシュ関数を用いてログインユーザＩＤ、パスワード及び通信カードの電話番号を暗号化する。
その後、端末ログイン認証処理部１０３はハッシュ演算部１０６により暗号化された暗号化ユーザＩＤ、暗号化パスワード、暗号化通信カード電話番号（暗号化識別情報）と端末ログイン認証情報記憶部１０５に記憶されている認証用暗号化ユーザＩＤ１０８、認証用暗号化パスワード１０９、認証用暗号化通信カード電話番号１１０とを比較する。
【００２２】
比較の結果、両者が一致しなければ（ステップＳ６０６でＮＯ）、ステップＳ６０４に進み、ログインエラーの表示がなされる。
また、ステップＳ６０６でＹＥＳの場合は、ステップＳ６０７において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４に通信カード２に秘密キーが格納されているか否かを確認させ、秘密キーが格納されていない場合（ステップＳ６０７でＮＯ）は、ログインは正常に終了する（ユーザのログインが許可される）。
【００２３】
通信カード２に秘密キーが格納されている場合（ステップＳ６０７でＹＥＳ）は、端末側Ｉ／Ｆ部１０４が通信カードに格納されている秘密キーを取得し、ステップＳ６０８において、端末ログイン認証処理部１０３は端末側Ｉ／Ｆ部１０４により通信カードから取得した秘密キーと端末ログイン認証情報記憶部１０５に記憶されている秘密キー１１８が一致するか否かを判断し、両者が一致しない場合（ステップＳ６０８でＮＯ）は、ステップＳ６０４に進み、ログインエラーの表示がなされる。
２つの秘密キーが一致する場合（ステップＳ６０８でＹＥＳ）は、端末ログイン認証処理部１０３は秘密キー生成部１０７に乱数を発生させて新たな秘密キーを生成させ、端末側Ｉ／Ｆ部１０４を介して通信カード２へ新たな秘密キーを設定する。通信カード２では秘密キー格納部２０４に新たな秘密キーを格納する。また、端末ログイン認証処理部１０３は、生成された新たな秘密キーを端末ログイン認証情報記憶部１０５に記憶させる。このように、データを書き込めるタイプの通信カードの場合は、乱数による秘密キーをログイン毎に同時に更新し、次のログイン時には、この更新された秘密キーと通信カードの電話番号でモバイル端末と通信カードの組み合わせの認証を行うことにより、認証強度を強化している。
以上により新たな秘密キーが設定されるとログインが正常に終了する（ユーザのログインが許可される）。
【００２４】
このように、本実施の形態では、ノートパソコンやＰＤＡ等のモバイル端末へのログイン認証制御機能において、ＰＨＳ（登録商標）通信カード等の通信カードの電話番号をセキュリティキーとして使用し、該当のモバイル端末に該当の通信カードが挿入された状態で、ユーザ名とパスワードによるログイン認証を行うことを特徴とする。
【００２５】
なお、以上では、通信デバイスの例として通信カードを用いて説明したが、通信デバイスとして携帯電話機をモバイル端末に接続し、モバイル端末では携帯電話機の電話番号を読み出してログイン認証を行なうようにしてもよい。
【００２６】
また、以上では、ログインユーザＩＤ、パスワード、通信カードの電話番号を用いてログイン認証を行う場合について説明したが、モバイル端末を利用するユーザが一人に限定されている場合等であれば、ログインユーザＩＤ、パスワードを用いずに、通信カードの電話番号のみによるログイン認証も可能である。
【００２７】
また、以上では、ログインユーザＩＤ、パスワード、通信カードの電話番号をハッシュ関数により暗号化する場合について説明したが、ハッシュ関数による暗号化以外の暗号化を行ってもよいし、暗号化を行うことなく、ログインユーザＩＤ、パスワード、通信カードの電話番号の比較を行うようにしてもよい。
【００２８】
また、以上では、秘密キー生成部を設け、通信カードがデータ書き込み可能な場合には通信カードに秘密キーを設定することとしたが、秘密キー生成部を設けなくてもよく、また通信カードに秘密キーを設定しなくてもよい。また、通信カード側にも秘密キー格納部を設けなくてもよい。
【００２９】
また、以上ではＰＨＳ（登録商標）による電話番号をセキュリティキーとして利用した例を示したが、無線ＬＡＮカードでは、ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスをセキュリティキーとして利用できる。
【００３０】
以上のように、本実施の形態によれば、モバイル端末にログインする際に、対応する通信カードとユーザしか知り得ないユーザ名とパスワード情報の両方をチェックすることにより、認証のためだけの特別な装置を使用せずにモバイル端末へのログイン認証の安全性を強化し、操作性は、パスワード認証と同じで簡単な操作でログインすることができる。
【００３１】
実施の形態２．
以上の実施の形態１は、モバイル端末にログインする時の認証に関するものであるが、次に、モバイル端末から、インターネット、ＩＰ−ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）網等を利用して所定のサーバ（例えば、企業内のサーバ）にログインする場合について説明する。
【００３２】
図２は、本実施の形態に係る通信システムの構成例を示す図である。
図において、モバイル端末１は通信カード２と接続可能であり、通信カード２を用い無線通信網３、インターネット中継サーバ４、インターネット５を介して企業内サーバ６と通信を行う。
なお、モバイル端末１は端末装置の例に相当し、通信カード２は通信デバイスの例に相当し、企業内サーバ６は情報処理装置の例に相当する。
【００３３】
図３は、実施の形態２に係るモバイル端末１及び通信カード２の構成例を示す図である。
モバイル端末１において、入力部１０１、表示部１０２、端末側Ｉ／Ｆ部１０４、ハッシュ演算部１０６は、実施の形態１に示したものと同じなので説明は省略する。
【００３４】
ブラウザ１１１は、通信カード２を用いてインターネットアクセスを行う。
サーバ接続処理部１１２は、企業内サーバ６に対するログインを要求するログイン要求を生成し、生成したログイン要求を通信カード２を用い、無線通信網３、インターネット中継サーバ４、インターネット５を介して企業内サーバ６に送信する。サーバ接続処理部１１２は、ログイン要求生成部に相当する。
サーバ接続情報記憶部１１３は、企業内サーバ６への接続及び企業内サーバ６におけるログイン認証処理に必要な情報を記憶している。サーバ接続情報記憶部１１３が記憶している情報は、通信カードの電話番号を所定のハッシュ関数により暗号化した暗号化通信カード電話番号１１５、接続先サーバである企業内サーバ６のＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｒｃｅＬｏｃａｔｏｒ）を所定の暗号関数により暗号化した暗号化接続先ＵＲＬ１１６、インターネットサービスプロバイダ（ＩＳＰ）に接続するための接続情報（例えば、ＩＳＰへの電話番号等）を所定の暗号関数により暗号化した暗号化ＩＳＰ接続情報１１７である。なお、これら暗号化通信カード電話番号１１５、暗号化接続先ＵＲＬ１１６、暗号化ＩＳＰ接続情報１１７は、後述する初期設定処理によりサーバ接続情報記憶部１１３に記憶される情報であり、初期設定処理が実施される以前はサーバ接続情報記憶部１１３内に存在していない。
暗号化処理部１１４は、後述するように企業内サーバ６から送信された乱数を用いて所定の暗号処理を行う。
【００３５】
また、通信カード２において、カード側Ｉ／Ｆ部２０１、通信処理部２０２、電話番号記憶部２０３は、実施の形態１で示したものと同じなので説明を省略する。
【００３６】
図４は、企業内サーバ６の構成例を示す図である。
図４において、入力部６０１は、初期設定処理において、ログインを許可するユーザのユーザＩＤ、ログインを許可するユーザが用いるパスワード、ログインを許可するユーザが用いる通信カードの電話番号を入力する。
表示部６０２は、企業内サーバ６のオペレータに対して入力を促す画面や企業内サーバでの処理結果を示す画面等を表示する。
通信処理部６０３は、モバイル端末１が通信カード２を用いて送信したログイン要求を受信する。
【００３７】
サーバログイン認証処理部６０４は、通信処理部６０３により受信されたログイン要求に対してログイン認証処理を行う。サーバログイン認証処理部６０４はログイン認証処理部に相当する。
ログイン認証ユーザデータベース６０５は、サーバログイン認証処理部６０４によるログイン認証処理に用いる認証情報を記憶しており、具体的には、入力部６０１により入力されたユーザＩＤ６１０、パスワード６１１、通信カード電話番号６１２である。なお、これらユーザＩＤ６１０、パスワード６１１、通信カード電話番号６１２は初期設定処理によりログイン認証ユーザデータベース６０５に記憶される情報であり、初期設定処理が実施される以前はログイン認証ユーザデータベース６０５内に存在していない。また、ログイン認証ユーザデータベース６０５は認証情報記憶部に相当する。
【００３８】
ログイン認証ＩＰアドレスデータベース６０６は、サーバログイン認証処理部６０４におけるログイン認証処理において例外的な扱いを認めるログイン要求を識別するための接続元ＩＰアドレスを記憶している。ログイン認証ＩＰアドレスデータベース６０６に記憶される接続元ＩＰアドレスとしては、接続元プライベートＩＰアドレス６１３、接続元グローバルＩＰアドレス６１４がある。
ハッシュ演算部６０７は、モバイル端末１のハッシュ演算部１０６と同様のハッシュ演算を行なう。
乱数生成部６０８は、所定の場合に、乱数を生成させる。
暗号化処理部６０９は、乱数生成部６０８により生成された乱数を用いて所定の暗号化処理を行う。
【００３９】
次に、図７を参照して、モバイル端末１における初期設定処理を説明する。
まず、ステップＳ７０１において、サーバ接続処理部１１２が端末側Ｉ／Ｆ部１０４に通信カード２がモバイル端末１に装着（接続）されているか否かを確認させる。そして、通信カード２が装着（接続）されていない場合（ステップＳ７０２でＮＯ）は、ステップＳ７０３において、サーバ接続処理部１１２は表示部１０２に通信カードの装着を指示する画面を表示させ、ユーザに通信カードの装着を指示する。
通信カード２が装着されている場合（ステップＳ７０２でＹＥＳ）は、ステップＳ７０４において、サーバ接続処理部１１２は表示部１０２にインターネットサービスプロバイダへの接続情報（ＩＳＰ接続情報）と最終的に接続するサーバのＵＲＬ（企業内サーバ６のＵＲＬ）を初期設定するための画面を表示させ、ＩＳＰ接続情報及びサーバのＵＲＬの入力を待つ。
入力部１０１によりＩＳＰ接続情報及びサーバのＵＲＬが入力されると、ステップＳ７０５において、ブラウザ１１１がインターネット中継サーバ４に接続し、接続可能であることを確認し、また、サーバ接続処理部１１２は端末側Ｉ／Ｆ部１０４に通信カード２の電話番号を取得するよう指示し、端末側Ｉ／Ｆ部１０４は通信カード２のカード側Ｉ／Ｆ部２０１より通信カードの電話番号を取得する。電話番号の取得後は、サーバ接続処理部１１２はハッシュ演算部１０６にＩＳＰ接続情報とサーバのＵＲＬについては可逆暗号化を指示し、通信カードの電話番号についてはハッシュ暗号を指示し、ハッシュ演算部１０６は所定の暗号関数を用いてこれら３つのデータの暗号化を行う。更に、ハッシュ演算部１０６による暗号化の後は、サーバ接続処理部１１２は暗号化されたＩＳＰ接続情報、サーバのＵＲＬ、通信カードの電話番号をサーバ接続情報記憶部１１３に記憶させ、それぞれ暗号化ＩＳＰ接続情報１１７、暗号化接続先ＵＲＬ１１６、暗号化通信カード電話番号１１５とする。
【００４０】
次に、図８を参照して、企業内サーバ６における初期化処理について説明する。
まず、ステップＳ８０１において、サーバログイン認証処理部６０４は表示部６０２にログインを許可するユーザのログインユーザＩＤとログインを許可するユーザが用いるパスワード、通信カードの電話番号（接続元電話番号）を設定するための画面を表示させ、ログインユーザＩＤ、パスワード、通信カードの電話番号の入力を待つ。
ログインユーザＩＤ、パスワード、通信カードの電話番号について企業内サーバ６のオペレータからの入力があった場合には、ステップＳ８０２において、サーバログイン認証処理部６０４は入力されたログインユーザＩＤ、パスワード、接続元電話番号をログイン認証ユーザデータベース６０５に記憶させ、それぞれユーザＩＤ６１０、パスワード６１１、通信カード電話番号６１２とする。
次に、ステップＳ８０３において、サーバログイン認証処理部６０４は、ユーザＩＤの追加登録があるか否かを問い合わせる画面を表示部６０２に表示させ、追加登録があるならばステップＳ８０１に戻り、ステップＳ８０１及びステップＳ８０２の処理を繰り返し、追加登録がない場合はステップＳ８０４に進む。
ステップＳ８０４では、サーバログイン認証処理部６０４は表示部６０２に接続元電話番号のチェックを必要としない接続元プライベートＩＰアドレス及び接続元グローバルＩＰアドレスを設定するための場面を表示させ、接続元プライベートＩＰアドレス及び接続元グローバルＩＰアドレスの入力を待つ。
接続元プライベートＩＰアドレス及び接続元グローバルＩＰアドレスについてオペレータから入力があった場合には、サーバログイン認証処理部６０４は入力のあった接続元プライベートＩＰアドレス及び接続元グローバルＩＰアドレスをログイン認証ＩＰアドレスデータベース６０６に記憶させ、接続元プライベートＩＰアドレス６１３、接続元グローバルＩＰアドレス６１４とする。
【００４１】
次に、図９及び図１０を参照して、モバイル端末１及び企業内サーバ６におけるサーバ接続認証処理を説明する。
まず、ステップＳ９０１において、モバイル端末１側でサーバ接続処理部１１２を起動させる。
次に、ステップＳ９０２において、モバイル端末１のサーバ接続処理部１１２は端末側Ｉ／Ｆ部１０４に通信カード２がモバイル端末１に接続されているかどうかを確認させるとともに、通信カード２が接続されている場合は、通信カード２の電話番号を取得するよう指示し、端末側Ｉ／Ｆ部１０４は通信カード２のカード側Ｉ／Ｆ部２０１より通信カードの電話番号を取得する。電話番号の取得後は、サーバ接続処理部１１２はハッシュ演算部１０６に取得した通信カードの電話番号の暗号化を指示し、ハッシュ演算部１０６は初期設定処理で用いたハッシュ関数を用いて通信カードの電話番号の暗号化を行う。ハッシュ演算部１０６により暗号化がなされた後は、ハッシュ演算部１０６により暗号化された通信カード電話番号とサーバ接続情報記憶部１１３に記憶されている暗号化通信カード電話番号１１５とが一致するか否かを判断する。
両者が一致しない場合（ステップＳ９０３でＮＯ）は、ステップＳ９０５に進み、サーバ接続処理部１１２は接続エラーを示す画面を表示部１０２に表示させる。
両者が一致する場合（ステップＳ９０３でＹＥＳ）は、ステップＳ９０４に進み、サーバ接続処理部１１２は既にダイアルアップ接続をしているか否かを判断し、既にダイアルアップ接続を行なっている場合（ステップＳ９０４でＹＥＳ）は、ステップＳ９０５において、表示部１０２に接続エラーを示す画面を表示させる。
ステップＳ９０４でＮＯの場合は、ステップＳ９０６において、サーバ接続処理部１１２はサーバ接続情報記憶部１１３に記憶されている暗号化ＩＳＰ接続情報に従い、通信カード２を用いてインターネット中継サーバ４への接続を行い、接続が完了したら、サーバ接続情報記憶部１１３に記憶されている暗号化接続先ＵＲＬを指定して、ブラウザ１１１を起動し、ブラウザ１１１は通信カード２を用いて企業内サーバ６に対して接続要求を送信する。
【００４２】
次に、ステップＳ９０７において、企業内サーバ６では、通信処理部６０３がモバイル端末１のブラウザ１１１からの接続要求を受信し、サーバログイン認証処理部６０４が乱数生成部６０８に暗号化のための乱数を生成させ、乱数生成部６０８により生成された乱数を含むログイン認証画面のデータを通信処理部６０３からモバイル端末１に送信させる。なお、この際に、例えば、乱数をクッキーに埋め込むようにしてもよい。
そして、モバイル端末１側では通信カード２を介してサーバ接続処理部１１２がログイン認証画面のデータを受信し、ブラウザ１１１が表示部１０２にユーザＩＤ及びパスワードの入力を行うログイン認証画面を表示させる。
ユーザからユーザＩＤ及びパスワードが入力されると、ステップＳ９０８において、ステップＳ９０２でハッシュ演算部１０６により暗号化された通信カードの電話番号（暗号化識別情報）に対して暗号化処理部１１４が企業内サーバ６から送信されてきた乱数を用いて再暗号化を行い、サーバ接続処理部１１２は入力されたユーザＩＤ、パスワード及び暗号化処理部１１４により再暗号化された通信カードの電話番号（再暗号化識別情報）を示すログイン要求を生成し、生成したログイン要求を通信カードを用いて企業内サーバ６に対して送信する。
【００４３】
次に、ステップＳ９０９において、企業内サーバ６では、通信処理部６０３がログイン要求を受信するとともに、サーバログイン認証処理部６０４がログイン要求を解析して、接続元のＩＰアドレスがログイン認証ＩＰアドレスデータベース６０６に登録されている接続元プライベートＩＰアドレス６１３又は接続元グローバルＩＰアドレス６１４に一致するかどうかを判断する。
【００４４】
接続元のＩＰアドレスがログイン認証ＩＰアドレスデータベース６０６に登録されたＩＰアドレスでなければ（ステップＳ９１０でＮＯ）、ステップＳ９１１に進み、サーバログイン認証処理部６０４はログイン要求に示されたユーザＩＤをキーとしてログイン認証ユーザデータベース６０５からパスワード、通信カード電話番号を抽出し、抽出した通信カード電話番号に対してモバイル端末１と同じ暗号化処理を行なう。即ち、ハッシュ演算部６０７が、モバイル端末１のハッシュ演算部１０６が図７のステップＳ７０５で用いたハッシュ関数と同じハッシュ関数を用いて、サーバログイン認証処理部６０４により抽出された通信カード電話番号の暗号化を行い、更に、暗号化処理部６０９が、乱数生成部６０８がステップＳ９０７で生成した乱数を用いて、ハッシュ演算部６０７により暗号化された通信カード電話番号の再暗号化を行う。なお、企業内サーバ６のハッシュ演算部６０７がモバイル端末１のハッシュ演算部１０６と同じハッシュ関数を用いるようにするため、例えば、図８のステップＳ８０１で示す画面にて企業内サーバ６のハッシュ演算部６０７が用いるべきハッシュ関数を入力するようにしてもよい。また、ハッシュ演算部１０６により暗号化された通信カード電話番号は認証用暗号化識別情報の例に相当し、暗号化処理部６０９により再暗号化された通信カード電話番号は認証用再暗号化識別情報の例に相当する。
また、ステップＳ９１１では、ハッシュ演算部６０７及び暗号化処理部６０９により暗号化及び再暗号化が行われた後に、サーバログイン認証処理部６０４がログイン要求に示されているパスワードとログイン認証ユーザデータベース６０５から抽出したパスワードが一致するかどうかを判断するとともに、ログイン要求に示されている再暗号化された通信カード電話番号と暗号化処理部６０９により再暗号化された通信カード電話番号とが一致するかどうかを判断する。
【００４５】
また、ステップＳ９１０でＹＥＳの場合は、ステップＳ９１２に進み、サーバログイン認証処理部６０４はログイン要求に示されたユーザＩＤをキーとしてログイン認証ユーザデータベース６０５からパスワードを抽出し、ログイン要求に示されたパスワードと抽出したパスワードが一致するかどうかを判断する。
【００４６】
ステップＳ９１１での判断の結果パスワード及び通信カード電話番号のいずれもが一致している場合又はステップＳ９１２での判断の結果パスワードが一致している場合（ステップＳ９１３でＹＥＳ）は、ステップＳ９１４において、サーバログイン認証処理部６０４は通信処理部６０３を介してモバイル端末１に対して認証成功を示す画面データを送信し、ステップＳ９１１での判断の結果パスワード及び通信カード電話番号の少なくともいずれかが一致していない場合又はステップＳ９１２での判断の結果パスワードが一致していない場合（ステップＳ９１３でＮＯ）は、ステップＳ９１５において、サーバログイン認証処理部６０４は通信処理部６０３を介してモバイル端末１に対して認証エラーを示す画面データを送信し、サーバ接続認証処理を終了する。
【００４７】
このように、本実施の形態は、ノートパソコンやＰＤＡ等のモバイル端末からＰＨＳ（登録商標）等の通信カードを用いて、インターネットやＩＰ−ＶＰＮ網を利用して、企業内ＬＡＮに接続する時のサーバへのログイン認証制御機能において、該当のモバイル端末に該当の通信カードを利用して、サーバへのログインＵＲＬに接続しユーザＩＤとパスワードを入力することにより、接続元の電話番号を毎回異なる暗号により暗号化された接続元電話番号とユーザＩＤとパスワードをサーバに送信し、サーバ側では接続許可されたユーザＩＤに対応した暗号化された電話番号とパスワードの確認をすることでログイン認証を行うことを特徴とする。
【００４８】
なお、以上では、モバイル端末１と企業内サーバ６とがインターネット５を介して接続されている場合について説明したが、インターネットの代わりにＩＰ−ＶＰＮ網であってもよい。
【００４９】
また、以上では、通信デバイスの例として通信カードを用いて説明したが、本実施の形態は、モバイル端末に携帯電話機を接続してサーバにアクセスする場合にも適用可能である。
【００５０】
また、以上では、モバイル端末で通信カードの電話番号をハッシュ関数により暗号化し、サーバから送信された乱数により再暗号化を行い、サーバ側ではモバイル端末と同じ暗号処理を行なうこととしたが、モバイル端末で暗号化を行なわずに通信カードの電話番号そのものをサーバに通知し、サーバ側でも通信カードの電話番号そのものを用いてログイン認証を行なうようにしてもよい。
また、ハッシュ関数による暗号化、乱数による暗号化のいずれか一方のみを行なうようにしてもよい。
【００５１】
また、以上ではＰＨＳ（登録商標）による電話番号をセキュリティキーとして利用した例を示したが、無線ＬＡＮカードでは、ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスをセキュリティキーとして利用できる。
【００５２】
以上のように、本実施の形態によれば、モバイル端末からインターネットを利用して企業内サーバにログインする際に、接続を許可された接続元電話番号を持つ通信カードで接続し、ユーザしか知り得ないユーザ名とパスワード情報の両方をチェックすることにより、認証のためだけの特別な装置を使用せずにモバイル端末からサーバへのログイン認証の安全性を強化し、操作性は、パスワード認証と同じで簡単な操作でログインすることができる。
【００５３】
【発明の効果】
このように、本発明によれば、端末装置へのログイン認証処理において通信デバイスの識別情報を用いるため、認証のためだけの特別な装置を使用することなく、またパスワード認証と同様な簡単な操作により端末装置へのログイン認証の安全性を強化することができる。
また、本発明によれば、インターネット又はＶＰＮ網を介して接続された端末装置と情報処理装置との間のログイン認証処理において、情報処理装置は、端末装置が用いる通信デバイスの識別情報をインターネット又はＶＰＮ網を介して取得し、通信カードの識別情報を用いてログイン認証処理を行うため、認証のためだけの特別な装置を使用することなく、またパスワード認証と同様な簡単な操作により情報処理装置へのログイン認証の安全性を強化することができる。
【図面の簡単な説明】
【図１】実施の形態１に係るモバイル端末と通信カードの構成例を示す図。
【図２】実施の形態２に係る通信システムのシステム構成例を示す図。
【図３】実施の形態２に係るモバイル端末と通信カードの構成例を示す図。
【図４】実施の形態２に係る企業内サーバの構成例を示す図。
【図５】実施の形態１に係るモバイル端末における初期設定処理の内容を示す図。
【図６】実施の形態１に係るモバイル端末における端末ログイン認証処理の内容を示す図。
【図７】実施の形態２に係るモバイル端末における端末側初期設定処理の内容を示す図。
【図８】実施の形態２に係る企業内サーバにおけるサーバ側初期設定処理の内容を示す図。
【図９】実施の形態２に係るモバイル端末及び企業内サーバにおけるサーバ接続認証処理の内容を示す図。
【図１０】実施の形態２に係るモバイル端末及び企業内サーバにおけるサーバ接続認証処理の内容を示す図。
【図１１】従来の技術を示す図。
【符号の説明】
１モバイル端末、２通信カード、３無線通信網、４インターネット中継サーバ、５インターネット、６企業内サーバ、１０１入力部、１０２表示部、１０３端末ログイン認証処理部、１０４端末側インタフェース部、１０５端末ログイン認証情報記憶部、１０６ハッシュ演算部、１０７秘密キー生成部、１０８認証用暗号化ユーザＩＤ、１０９認証用暗号化パスワード、１１０認証用暗号化通信カード電話番号、１１１ブラウザ、１１２サーバ接続処理部、１１３サーバ接続情報記憶部、１１４暗号化処理部、１１５暗号化通信カード電話番号、１１６暗号化接続先ＵＲＬ、１１７暗号化ＩＳＰ接続情報、１１８秘密キー、２０１カード側インタフェース部、２０２通信処理部、２０３電話番号記憶部、２０４秘密キー格納部、６０１入力部、６０２表示部、６０３通信処理部、６０４サーバログイン認証処理部、６０５ログイン認証ユーザデータベース、６０６ログイン認証ＩＰアドレスデータベース、６０７ハッシュ演算部、６０８乱数生成部、６０９暗号化処理部、６１０ユーザＩＤ、６１１パスワード、６１２通信カード電話番号、６１３接続元プライベートＩＰアドレス、６１４接続元グローバルＩＰアドレス。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a login authentication process for a terminal device such as a mobile terminal.
[0002]
[Prior art]
Conventionally, login authentication processing in a mobile terminal or the like has been performed by a technique called two-step authentication. Two-factor authentication is a security process in which a user's identity is verified using two different factors, one that the user “owns” and information that only the user “knows”. By requesting two different forms of identification, businesses can reduce the risk of fraud. A simple example of two-factor authentication is an ATM cash card and personal identification number (PIN). There is no point in stealing one of your cash card and PIN. Only by obtaining the card and knowing the PIN, the identity is confirmed and the use is permitted. Two-step authentication does not rely only on information known to the user, but also performs authentication using tangible property, thereby achieving high security.
The second element is a physical device or a part of a user's body (such as a fingerprint). This device or body part is also called a token. Tokens are unique and cannot be easily duplicated. Normally, tokens can be instantly invalidated. That is, the function as the authentication device can be immediately invalidated.
As an example, Rainbow's iKey is a USB-portable portable token that performs two-step authentication with a user's own physical device "iKey" and a "PIN (Personal Identification Number)" that only the user knows. .
[0003]
Here, an operation of login authentication to a computer in the iKey device will be described.
FIG. 11 is a diagram illustrating a configuration example of a computer and an iKey device.
11, reference numeral 100 denotes a personal computer (hereinafter referred to as a personal computer); 200, login authentication software installed in the personal computer 100; 300, an iKey device; 400, a password stored in the iKey device 300; The login user name 300 is installed.
The iKey device 300 is a storage device with a security function connected to the personal computer 100 via a USB interface. A password 400 is embedded in the iKey device 300, and unless the password is known, the iKey device cannot be operated. The login user name 500 is registered in the iKey device.
When the personal computer 100 logs in, the login authentication software 200 is started, and the user inputs a user name and a password.
The login authentication software 200 confirms that the iKey device is inserted into the USB, makes an operation request to the iKey device using the input password as the password 400 of the iKey device, and stores the password in the iKey device. A request to read the login user name 500 is made.
When the passwords 400 match, the iKey device 300 returns the login user name 500 registered in the iKey device to the personal computer 100.
On the personal computer 100 side, if the returned user name matches the input user name, the login is successful.
As described above, the authentication is performed by the two-step authentication of the physical iKey and the information that only the user can know.
[0004]
Such two-step authentication has the following advantages.
It can deal with problems that occur in the case of one-step authentication, such as recording of key operation, network monitoring, password cracking, and misuse by IT department employees.
Further, since it cannot be denied that the user has executed all operations after the user authentication succeeds, it is clear that the user has performed the processing.
Also, the risk of fraud or unauthorized access to corporate data is reduced.
It is also easy for end users to use.
It also provides a durable, long-term security solution.
Furthermore, management is easy.
[0005]
As for an authentication system using a telephone number, as shown in Japanese Patent Application Laid-Open No. 2002-229952, the originating telephone of the connection source is notified by a source telephone number notification service provided by a communication company on the connected server side. Some of them authenticate by obtaining a number. However, when the connection is made via the Internet, the caller of the connection source can be obtained by the caller's telephone number notification service provided by the telecommunications carrier up to the Internet connection service provider. When this is done, it is not inherited, so that the finally connected server cannot obtain the source telephone number from the communication network.
Japanese Patent Application Laid-Open No. 2000-209284 discloses a login authentication method using a telephone number in connection via the Internet, but here, in an environment where a computer device to be authenticated connects to the Internet through a telephone exchange. There is a need for an environment in which a telephone number of a connection source is obtained from a telephone exchange. In a mobile environment, there is no connection through an in-house telephone exchange. There is a need for authentication that is safer, less expensive, and does not impair operability even in a mobile environment between a terminal that connects to a server through the Internet and the server.
[0006]
[Patent Document 1]
JP-A-2002-229552
[Patent Document 2]
JP 2000-209284 A
[0007]
[Problems to be solved by the invention]
In conventional two-step authentication, a special device (iKey device, fingerprint authentication device, IC card reader, etc.) that is not used except at the time of authentication is used, so that the cost of the authentication device is increased. In addition, a portable terminal such as a PDA (Personal Digital Assistants) does not have a special device connection interface or carries a special device, and performs authentication by attaching a special device only at the time of login authentication. There was a problem of inconvenience.
[0008]
In addition, using a connection source telephone number notification service of a communication company as disclosed in JP-A-2002-229954 and JP-A-2000-209284, the connection source telephone number is confirmed on the server side to authenticate the connection source. The method has a problem in that when connecting via the Internet, there is no service for notifying the telephone number of the connection source from the communication company, and authentication by confirming the connection source telephone number cannot be used.
[0009]
SUMMARY OF THE INVENTION The present invention has been made to solve the above-described problems. Login authentication to a terminal device such as a mobile terminal and connection from a terminal device such as a mobile terminal to a predetermined server (for example, a server in a company) are performed. An object of the present invention is to realize a login authentication process which is safer than authentication using only a user name and a password, and is inexpensive and highly convenient, without using a special device used only for authentication in the occasion of login authentication.
[0010]
[Means for Solving the Problems]
The terminal device according to the present invention,
A terminal device capable of connecting to a communication device in which identification information is set, and performing a login authentication process in response to a login request from a user,
An authentication information storage unit that stores specific identification information as identification information of a communication device used by a user who is permitted to log in,
An input unit for inputting a login request from a user,
When the input unit inputs a login request from a user, it is determined whether a communication device is connected to the terminal device.If any communication device is connected to the terminal device, the An identification information acquisition unit that acquires identification information of the connected communication device from the connected communication device that is connected,
A login authentication processing unit that performs a login authentication process in response to a login request from a user based on the identification information of the connected communication device acquired by the identification information acquisition unit and the identification information stored in the authentication information storage unit. It is characterized by having.
[0011]
BEST MODE FOR CARRYING OUT THE INVENTION
Embodiment 1 FIG.
FIG. 1 is a diagram illustrating a configuration example of a mobile terminal 1 (terminal device) and a communication card 2 (communication device) according to the first embodiment.
The mobile terminal 1 is a computer (for example, a notebook computer or a PDA) that can be connected to the communication card 2 and can perform wireless communication using the communication card 2. The communication card 2 is, for example, a PHS (registered trademark) (Personal Handyphone System) card, and a telephone number is set as identification information of the communication card in order to realize wireless communication.
[0012]
In the mobile terminal 1, the input unit 101 inputs a login request for requesting login to the mobile terminal from a user.
The display unit 102 displays a screen for prompting the user to input information, a screen indicating a processing result on the mobile terminal, and the like.
[0013]
The terminal login authentication processing unit 103 performs a login authentication process in response to a login request from a user. The terminal login authentication processing unit 103 corresponds to a login authentication processing unit.
A terminal-side interface unit 104 (hereinafter, referred to as a terminal-side I / F unit) determines whether a communication card is connected to the mobile terminal 1 when a login request is input from a user, and the communication card is connected. If the communication card is connected, the telephone number set for the communication card is acquired from the connected communication card. The terminal-side I / F unit 104 corresponds to an identification information acquisition unit.
[0014]
The terminal login authentication information storage unit 105 stores user authentication information used at the time of login authentication processing. The authentication information stored in the terminal login authentication information storage unit 105 includes an authentication user ID 108 obtained by encrypting the user ID of a user permitted to log in by a predetermined hash function, and a password used by the user permitted to log in. Is encrypted by a predetermined hash function, an authentication encryption communication card telephone number 110 (authentication encrypted communication card telephone number 110 (authentication password) is obtained by encrypting a telephone number of a communication card used by a user permitted to log in by a predetermined hash function. Encrypted identification information) and a predetermined secret key 118. Note that these authentication encrypted user ID 108, authentication encrypted communication card telephone number 110, authentication encrypted communication card telephone number 110, and secret key 118 are stored in terminal login authentication information storage unit 105 by initial setting processing described later. This information does not exist in the terminal login authentication information storage unit 105 before the initial setting process is performed. The terminal login authentication information storage unit 105 corresponds to an authentication information storage unit.
[0015]
The hash calculation unit 106 encrypts various types of authentication information stored in the terminal login authentication information storage unit 105 using a predetermined hash function, and performs a terminal-side I / F unit during login authentication processing. The telephone number of the communication card acquired by 104 is encrypted using a predetermined hash function. Note that the information encrypted by the hash calculator 106 cannot be inversely transformed.
The secret key generation unit 107 generates a secret key in a predetermined case.
[0016]
Further, in the communication card 2, the card-side interface unit 201 (hereinafter, referred to as a card-side I / F unit) receives a request from the terminal-side I / F unit 104 of the mobile terminal 1, The terminal I / F unit 104 is notified of the telephone number of the communication card stored in.
The communication processing unit 202 transmits and receives data to and from a wireless communication network.
The telephone number storage unit 203 stores the telephone number of the communication card.
The secret key storage unit 204 stores the secret key generated by the secret key generation unit 107 of the mobile terminal 1.
[0017]
Next, an initialization process in the mobile terminal 1 will be described with reference to FIG.
First, in step S501, the terminal login authentication processing unit 103 causes the terminal side I / F unit 104 to check whether the communication card 2 is attached (connected) to the mobile terminal 1. If the communication card 2 is not installed (connected) (NO in step S502), in step S503, the terminal login authentication processing unit 103 causes the display unit 102 to display a screen for instructing the user to install the communication card. To install a communication card.
If the communication card 2 is attached (YES in step S502), in step S504, the terminal login authentication processing unit 103 causes the display unit 102 to display a screen for initial setting of a login user ID and a password, and Wait for input of ID and password.
[0018]
When the login user ID and the password are input by the input unit 101, in step S505, the terminal login authentication processing unit 103 instructs the terminal-side I / F unit 104 to obtain the telephone number of the communication card 2, and the terminal-side I / F unit 104 The / F section 104 acquires the telephone number of the communication card from the card side I / F section 201 of the communication card 2.
After obtaining the telephone number, the terminal login authentication processing unit 103 instructs the hash calculation unit 106 to encrypt the three data of the login user ID, the password, and the telephone number of the communication card. Are used to encrypt these three data.
Further, after the encryption by the hash calculation unit 106, the terminal login authentication processing unit 103 stores the encrypted login user ID, password, and telephone number of the communication card in the terminal login authentication information storage unit 105, An encrypted user ID 108, an encrypted password for authentication 109, and an encrypted communication card telephone number 110 for authentication are used.
[0019]
Next, in step S506, the terminal login authentication processing unit 103 causes the terminal side I / F unit 104 to confirm whether the communication card 2 is a data writable communication card. When the communication card 2 is capable of writing data, the terminal login authentication processing unit 103 causes the secret key generation unit 107 to generate a secret key by generating a random number. Set the secret key to 2. In the communication card 2, the secret key is stored in the secret key storage unit 204. In the mobile terminal 1, the terminal login authentication processing unit 103 stores the generated secret key in the terminal login authentication information storage unit 105.
[0020]
Next, a terminal login authentication process in the mobile terminal 1 will be described with reference to FIG.
First, in step S601, when the power of the mobile terminal 1 is turned on, the terminal login authentication processing unit 103 starts up first, displays a login input screen on the display unit 102, and prompts the user to input a login user ID and a password.
Next, when the user inputs a login user ID and a password as a login request, in step S602, the terminal login authentication processing unit 103 attaches (connects) the communication card 2 to the terminal side I / F unit 104 to the mobile terminal 1. ) To make sure it is done. If the communication card 2 is not attached (connected) (NO in step S603), the terminal login authentication processing unit 103 causes the display unit 102 to display a screen indicating a login error in step S604.
[0021]
If the communication card 2 is attached (YES in step S603), in step S605, the terminal login authentication processing unit 103 instructs the terminal-side I / F unit 104 to acquire the telephone number of the communication card 2, The side I / F unit 104 acquires the telephone number of the communication card from the card side I / F unit 201 of the communication card 2.
Then, the terminal login authentication processing unit 103 instructs the hash calculation unit 106 to encrypt the login user ID and the password input as the login request and the telephone number of the communication card acquired by the terminal side I / F unit 104, and The arithmetic unit 106 encrypts the login user ID, the password, and the telephone number of the communication card using the hash function used in the initial setting process.
Thereafter, the terminal login authentication processing unit 103 stores the encrypted user ID, the encrypted password, the encrypted communication card telephone number (encrypted identification information) encrypted by the hash calculation unit 106, and the terminal login authentication information storage unit 105. The authentication encrypted user ID 108, the authentication encryption password 109, and the authentication encrypted communication card telephone number 110 are compared.
[0022]
If the result of the comparison is that they do not match (NO in step S606), the flow advances to step S604 to display a login error.
If YES in step S606, in step S607, terminal login authentication processing section 103 causes terminal-side I / F section 104 to confirm whether or not a secret key is stored in communication card 2, and stores the secret key. If not (NO in step S607), the login ends normally (user login is permitted).
[0023]
If the secret key is stored in communication card 2 (YES in step S607), terminal-side I / F section 104 acquires the secret key stored in the communication card, and in step S608, terminal login authentication processing section 103 determines whether or not the secret key obtained from the communication card by the terminal-side I / F unit 104 matches the secret key 118 stored in the terminal login authentication information storage unit 105; (NO in S608), the process proceeds to step S604, and a login error is displayed.
If the two secret keys match (YES in step S608), terminal login authentication processing section 103 causes secret key generation section 107 to generate a random number to generate a new secret key, and causes terminal side I / F section 104 to generate a new secret key. A new secret key is set in the communication card 2 via the communication key. The communication card 2 stores the new secret key in the secret key storage unit 204. Also, the terminal login authentication processing unit 103 stores the generated new secret key in the terminal login authentication information storage unit 105. As described above, in the case of a communication card of a type in which data can be written, the secret key based on a random number is simultaneously updated at each login, and at the next login, the updated secret key and the telephone number of the communication card are used to communicate with the mobile terminal and the communication card. The authentication strength is strengthened by performing the authentication of the combination of.
As described above, when a new secret key is set, login is normally completed (user login is permitted).
[0024]
As described above, in the present embodiment, in the login authentication control function for a mobile terminal such as a notebook personal computer or a PDA, the telephone number of a communication card such as a PHS (registered trademark) communication card is used as a security key and the corresponding mobile phone is used. Login authentication using a user name and a password is performed in a state where the corresponding communication card is inserted in the terminal.
[0025]
Although a communication card has been described above as an example of a communication device, a mobile phone may be connected as a communication device to a mobile terminal, and the mobile terminal may read out the telephone number of the mobile phone and perform login authentication. Good.
[0026]
In the above description, login authentication is performed using a login user ID, a password, and a telephone number of a communication card. However, if only one user uses a mobile terminal, the login user can be identified. Login authentication using only the telephone number of the communication card is possible without using an ID and a password.
[0027]
In the above, the case where the login user ID, the password, and the telephone number of the communication card are encrypted by the hash function has been described. However, encryption other than the encryption by the hash function may be performed, or the encryption may be performed. Instead, the login user ID, the password, and the telephone number of the communication card may be compared.
[0028]
In the above description, the secret key generation unit is provided, and the secret key is set on the communication card when the communication card can write data. However, the secret key generation unit may not be provided, and There is no need to set a secret key. Further, the secret key storage section may not be provided on the communication card side.
[0029]
Also, while an example has been described above in which a telephone number based on PHS (registered trademark) is used as a security key, a wireless LAN card can use a MAC (Media Access Control) address as a security key.
[0030]
As described above, according to the present embodiment, when logging in to a mobile terminal, by checking both the corresponding communication card and both the user name and the password information that can be known only by the user, a special password only for authentication is obtained. The security of login authentication to the mobile terminal is strengthened without using a simple device, and the operability is the same as that of password authentication, and the user can log in with a simple operation.
[0031]
Embodiment 2 FIG.
The first embodiment described above relates to authentication at the time of logging in to a mobile terminal. Next, a predetermined server (for example, an Internet, an IP-VPN (Virtual Private Network)) or the like is used from the mobile terminal. , A server in a company) will be described.
[0032]
FIG. 2 is a diagram illustrating a configuration example of a communication system according to the present embodiment.
In the figure, a mobile terminal 1 is connectable to a communication card 2 and communicates with a company server 6 via a wireless communication network 3, an internet relay server 4, and the internet 5 using the communication card 2.
Note that the mobile terminal 1 corresponds to an example of a terminal device, the communication card 2 corresponds to an example of a communication device, and the in-company server 6 corresponds to an example of an information processing device.
[0033]
FIG. 3 is a diagram illustrating a configuration example of the mobile terminal 1 and the communication card 2 according to the second embodiment.
In the mobile terminal 1, the input unit 101, the display unit 102, the terminal-side I / F unit 104, and the hash calculation unit 106 are the same as those described in the first embodiment, and thus description thereof will be omitted.
[0034]
The browser 111 performs Internet access using the communication card 2.
The server connection processing unit 112 generates a log-in request for requesting a log-in to the intra-corporate server 6, and transmits the generated log-in request using the communication card 2 via the wireless communication network 3, the Internet relay server 4, and the Internet 5. Send it to server 6. The server connection processing unit 112 corresponds to a login request generation unit.
The server connection information storage unit 113 stores information necessary for connection to the in-house server 6 and login authentication processing in the in-house server 6. The information stored in the server connection information storage unit 113 includes an encrypted communication card telephone number 115 obtained by encrypting the telephone number of the communication card using a predetermined hash function, and a URL (Uniform Resource) of the in-house server 6 as a connection destination server. Locator) is encrypted with a predetermined encryption function, and the connection destination URL 116 is encrypted by using a predetermined encryption function with connection information (for example, a telephone number to the ISP) for connecting to an Internet service provider (ISP). ISP connection information 117. Note that the encrypted communication card telephone number 115, the encrypted connection destination URL 116, and the encrypted ISP connection information 117 are information stored in the server connection information storage unit 113 by an initial setting process described later, and the initial setting process is performed. Before being performed, it does not exist in the server connection information storage unit 113.
The encryption processing unit 114 performs a predetermined encryption process using a random number transmitted from the in-house server 6 as described later.
[0035]
In the communication card 2, the card-side I / F unit 201, the communication processing unit 202, and the telephone number storage unit 203 are the same as those described in the first embodiment, and a description thereof will be omitted.
[0036]
FIG. 4 is a diagram illustrating a configuration example of the in-company server 6.
In FIG. 4, an input unit 601 inputs a user ID of a user permitted to log in, a password used by a user permitted to log in, and a telephone number of a communication card used by a user permitted to log in an initial setting process.
The display unit 602 displays a screen for prompting the operator of the in-house server 6 to make an input, a screen showing a processing result in the in-house server, and the like.
The communication processing unit 603 receives the login request transmitted by the mobile terminal 1 using the communication card 2.
[0037]
The server login authentication processing unit 604 performs login authentication processing on the login request received by the communication processing unit 603. The server login authentication processing unit 604 corresponds to a login authentication processing unit.
The login authentication user database 605 stores authentication information used for login authentication processing by the server login authentication processing unit 604. Specifically, the user ID 610, password 611, and communication card telephone number 612 input by the input unit 601 are stored. It is. The user ID 610, password 611, and communication card telephone number 612 are information stored in the login authentication user database 605 by the initial setting process, and exist in the login authentication user database 605 before the initial setting process is performed. Not. The login authentication user database 605 corresponds to an authentication information storage unit.
[0038]
The login authentication IP address database 606 stores a connection source IP address for identifying a login request that is permitted to be treated exceptionally in the login authentication processing in the server login authentication processing unit 604. As connection source IP addresses stored in the login authentication IP address database 606, there are a connection source private IP address 613 and a connection source global IP address 614.
The hash operation unit 607 performs the same hash operation as the hash operation unit 106 of the mobile terminal 1.
The random number generation unit 608 generates a random number in a predetermined case.
The encryption processing unit 609 performs a predetermined encryption process using the random number generated by the random number generation unit 608.
[0039]
Next, an initialization process in the mobile terminal 1 will be described with reference to FIG.
First, in step S701, the server connection processing unit 112 causes the terminal-side I / F unit 104 to check whether the communication card 2 is attached (connected) to the mobile terminal 1. If the communication card 2 is not mounted (connected) (NO in step S702), in step S703, the server connection processing unit 112 causes the display unit 102 to display a screen instructing the user to mount the communication card, and prompts the user. Instructs to install a communication card.
If the communication card 2 is mounted (YES in step S702), in step S704, the server connection processing unit 112 connects the display unit 102 with the connection information to the Internet service provider (ISP connection information) and the server to be finally connected. Is displayed for initial setting of the URL of the in-company server 6 (URL of the in-house server 6), and waits for input of the ISP connection information and the URL of the server.
When the ISP connection information and the URL of the server are input by the input unit 101, in step S705, the browser 111 connects to the Internet relay server 4, confirms that the connection is possible, and the server connection processing unit 112 The terminal I / F unit 104 is instructed to acquire the telephone number of the communication card 2, and the terminal I / F unit 104 acquires the telephone number of the communication card from the card side I / F unit 201 of the communication card 2. After obtaining the telephone number, the server connection processing unit 112 instructs the hash operation unit 106 to perform reversible encryption for the ISP connection information and the URL of the server, and instructs the hash encryption to the telephone number of the communication card. 106 encrypts these three data using a predetermined encryption function. Further, after the encryption by the hash calculation unit 106, the server connection processing unit 112 stores the encrypted ISP connection information, the URL of the server, and the telephone number of the communication card in the server connection information storage unit 113, and encrypts them. The ISP connection information 117, the encrypted connection destination URL 116, and the encrypted communication card telephone number 115 are assumed.
[0040]
Next, an initialization process in the in-company server 6 will be described with reference to FIG.
First, in step S801, the server login authentication processing unit 604 sets a login user ID of a user who is permitted to log in, a password used by the user who is permitted to log in, and a telephone number (connection source telephone number) of a communication card in the display unit 602. Is displayed, and waits for input of a login user ID, a password, and a telephone number of a communication card.
If there is an input from the operator of the in-house server 6 regarding the login user ID, the password, and the telephone number of the communication card, in step S802, the server login authentication processing unit 604 determines the entered login user ID, password, and connection source. The telephone numbers are stored in the login authentication user database 605, and are respectively referred to as a user ID 610, a password 611, and a communication card telephone number 612.
Next, in step S803, the server login authentication processing unit 604 causes the display unit 602 to display a screen inquiring whether or not there is additional registration of the user ID. If there is additional registration, the process returns to step S801, and The process of step S802 is repeated, and if there is no additional registration, the process proceeds to step S804.
In step S804, the server login authentication processing unit 604 causes the display unit 602 to display a scene for setting the connection source private IP address and the connection source global IP address that do not need to be checked for the connection source telephone number. Wait for the input of the address and the connection source global IP address.
When the operator inputs the connection source private IP address and the connection source global IP address from the operator, the server login authentication processing unit 604 stores the input connection source private IP address and connection source global IP address in the login authentication IP address database. 606, the connection source private IP address 613 and the connection source global IP address 614.
[0041]
Next, a server connection authentication process in the mobile terminal 1 and the in-company server 6 will be described with reference to FIGS.
First, in step S901, the server connection processing unit 112 is activated on the mobile terminal 1 side.
Next, in step S902, the server connection processing unit 112 of the mobile terminal 1 causes the terminal side I / F unit 104 to check whether the communication card 2 is connected to the mobile terminal 1, and the communication card 2 is connected. If there is, the terminal-side I / F unit 104 instructs to acquire the telephone number of the communication card 2, and the terminal-side I / F unit 104 acquires the telephone number of the communication card from the card-side I / F unit 201 of the communication card 2. After obtaining the telephone number, the server connection processing unit 112 instructs the hash calculation unit 106 to encrypt the obtained telephone number of the communication card, and the hash calculation unit 106 uses the hash function used in the initial setting processing to perform communication card communication. To encrypt the phone number. After the encryption by the hash operation unit 106, the communication card telephone number encrypted by the hash operation unit 106 matches the encrypted communication card telephone number 115 stored in the server connection information storage unit 113. Determine whether or not.
If the two do not match (NO in step S903), the process proceeds to step S905, and the server connection processing unit 112 causes the display unit 102 to display a screen indicating a connection error.
If the two match (YES in step S903), the process proceeds to step S904, in which the server connection processing unit 112 determines whether a dial-up connection has already been made, and if the dial-up connection has already been made (YES in step S904). ) Causes the display unit 102 to display a screen indicating a connection error in step S905.
If NO in step S904, in step S906, the server connection processing unit 112 uses the communication card 2 to connect to the Internet relay server 4 according to the encrypted ISP connection information stored in the server connection information storage unit 113. When the connection is completed, the browser 111 is started by designating the encrypted connection destination URL stored in the server connection information storage unit 113, and the browser 111 uses the communication card 2 to communicate with the in-company server 6. Send a connection request.
[0042]
Next, in step S907, in the enterprise server 6, the communication processing unit 603 receives the connection request from the browser 111 of the mobile terminal 1, and the server login authentication processing unit 604 sends the random number generation unit 608 a random number for encryption. Is generated, and data of the login authentication screen including the random number generated by the random number generation unit 608 is transmitted from the communication processing unit 603 to the mobile terminal 1. At this time, for example, a random number may be embedded in the cookie.
Then, on the mobile terminal 1 side, the server connection processing unit 112 receives the data of the login authentication screen via the communication card 2, and the browser 111 causes the display unit 102 to display the login authentication screen for inputting the user ID and the password.
When the user inputs the user ID and the password from the user, in step S908, the encryption processing unit 114 transmits the telephone number (encryption identification information) of the communication card encrypted by the hash calculation unit 106 in step S902 to the company. Re-encryption is performed using the random number transmitted from the server 6, and the server connection processing unit 112 inputs the user ID, the password, and the telephone number (re-encryption) of the communication card re-encrypted by the encryption processing unit 114. A login request is generated, and the generated login request is transmitted to the in-company server 6 using the communication card.
[0043]
Next, in step S909, in the in-house server 6, the communication processing unit 603 receives the login request, the server login authentication processing unit 604 analyzes the login request, and the IP address of the connection source is stored in the login authentication IP address database. It is determined whether it matches the connection source private IP address 613 or the connection source global IP address 614 registered in 606.
[0044]
If the connection source IP address is not an IP address registered in the login authentication IP address database 606 (NO in step S910), the process proceeds to step S911, and the server login authentication processing unit 604 uses the user ID indicated in the login request as a key. The password and the communication card telephone number are extracted from the login authentication user database 605, and the same encryption processing as that of the mobile terminal 1 is performed on the extracted communication card telephone number. That is, the hash calculation unit 607 uses the same hash function as the hash function used by the hash calculation unit 106 of the mobile terminal 1 in step S705 of FIG. 7 to extract the communication card telephone number extracted by the server login authentication processing unit 604. After performing encryption, the encryption processing unit 609 re-encrypts the communication card telephone number encrypted by the hash calculation unit 607 using the random number generated by the random number generation unit 608 in step S907. In order to make the hash operation unit 607 of the in-company server 6 use the same hash function as the hash operation unit 106 of the mobile terminal 1, for example, the hash operation of the in-company server 6 is performed on the screen shown in step S801 in FIG. The unit 607 may input a hash function to be used. Further, the communication card telephone number encrypted by the hash calculation unit 106 corresponds to an example of the authentication identification information, and the communication card telephone number re-encrypted by the encryption processing unit 609 is the authentication re-encryption identification. It corresponds to an example of information.
In step S 911, after encryption and re-encryption are performed by the hash calculation unit 607 and the encryption processing unit 609, the server login authentication processing unit 604 transmits the password indicated in the login request and the login authentication user database 605. It is determined whether the passwords extracted from the password match each other, and the re-encrypted communication card telephone number indicated in the login request matches the communication card telephone number re-encrypted by the encryption processing unit 609. Determine whether or not.
[0045]
Also, in the case of YES in step S910, the process proceeds to step S912, in which the server login authentication processing unit 604 extracts a password from the login authentication user database 605 using the user ID indicated in the login request as a key, and indicates the password indicated in the login request. Determine whether the password matches the extracted password.
[0046]
If both the password and the communication card telephone number match as a result of the determination in step S911, or if the passwords match as a result of the determination in step S912 (YES in step S913), the server proceeds to step S914. The login authentication processing unit 604 transmits screen data indicating authentication success to the mobile terminal 1 via the communication processing unit 603, and as a result of the determination in step S911, at least one of the password and the communication card telephone number match. If not, or if the passwords do not match as a result of the determination in step S912 (NO in step S913), the server login authentication processing unit 604 authenticates the mobile terminal 1 via the communication processing unit 603 in step S915. Send screen data indicating an error and To end the authentication process.
[0047]
As described above, the present embodiment is applicable when a mobile terminal such as a notebook personal computer or a PDA uses a communication card such as a PHS (registered trademark) to connect to a corporate LAN using the Internet or an IP-VPN network. In the login authentication control function for the server, the connection source telephone number is changed every time by connecting to the server login URL and inputting the user ID and the password using the corresponding communication card for the corresponding mobile terminal. The server transmits the connection source telephone number, user ID, and password encrypted by the encryption to the server, and the server confirms the encrypted telephone number and password corresponding to the user ID permitted for connection, thereby performing login authentication. It is characterized by performing.
[0048]
In the above, the case where the mobile terminal 1 and the in-company server 6 are connected via the Internet 5 has been described, but an IP-VPN network may be used instead of the Internet.
[0049]
In the above description, a communication card is used as an example of a communication device. However, the present embodiment is also applicable to a case where a mobile phone is connected to a mobile terminal to access a server.
[0050]
In the above description, the mobile terminal encrypts the telephone number of the communication card using a hash function, performs re-encryption using a random number transmitted from the server, and performs the same encryption processing as the mobile terminal on the server side. The terminal may notify the server of the telephone number of the communication card itself without performing encryption, and the server may perform login authentication using the telephone number of the communication card itself.
Further, only one of encryption using a hash function and encryption using a random number may be performed.
[0051]
Also, while an example has been described above in which a telephone number based on PHS (registered trademark) is used as a security key, a wireless LAN card can use a MAC (Media Access Control) address as a security key.
[0052]
As described above, according to the present embodiment, when logging in to an in-house server from a mobile terminal using the Internet, a connection is made with a communication card having a connection source telephone number for which connection is permitted, and only a user can know. By checking both the username and password information that cannot be obtained, the security of login authentication from the mobile terminal to the server is strengthened without using a special device only for authentication. You can log in with the same simple operation.
[0053]
【The invention's effect】
As described above, according to the present invention, since the identification information of the communication device is used in the login authentication process for the terminal device, a simple operation similar to the password authentication can be performed without using a special device only for the authentication. Thereby, the security of login authentication to the terminal device can be enhanced.
Further, according to the present invention, in the login authentication process between a terminal device connected via the Internet or a VPN network and the information processing device, the information processing device transmits identification information of a communication device used by the terminal device to the Internet or the Internet. Since it is obtained through the VPN network and performs login authentication processing using the identification information of the communication card, the information processing apparatus can be operated by a simple operation similar to password authentication without using a special device only for authentication. The security of login authentication to can be enhanced.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration example of a mobile terminal and a communication card according to a first embodiment.
FIG. 2 is a diagram showing a system configuration example of a communication system according to a second embodiment.
FIG. 3 is a diagram showing a configuration example of a mobile terminal and a communication card according to a second embodiment.
FIG. 4 is a diagram showing a configuration example of an in-company server according to a second embodiment;
FIG. 5 is a diagram showing contents of an initial setting process in the mobile terminal according to the first embodiment.
FIG. 6 is a diagram showing contents of a terminal login authentication process in the mobile terminal according to the first embodiment.
FIG. 7 is a diagram showing contents of terminal-side initialization processing in the mobile terminal according to the second embodiment.
FIG. 8 is a diagram showing the contents of server-side initialization processing in an in-company server according to the second embodiment.
FIG. 9 is a diagram showing contents of a server connection authentication process in a mobile terminal and a company server according to the second embodiment.
FIG. 10 is a diagram showing contents of a server connection authentication process in a mobile terminal and a company server according to the second embodiment.
FIG. 11 is a diagram showing a conventional technique.
[Explanation of symbols]
1 mobile terminal, 2 communication card, 3 wireless communication network, 4 internet relay server, 5 internet, 6 company server, 101 input unit, 102 display unit, 103 terminal login authentication processing unit, 104 terminal side interface unit, 105 terminal login Authentication information storage unit, 106 hash calculation unit, 107 secret key generation unit, 108 encrypted user ID for authentication, 109 encrypted password for authentication, 110 encrypted communication card phone number for authentication, 111 browser, 112 server connection processing unit, 113 server connection information storage unit, 114 encryption processing unit, 115 encrypted communication card telephone number, 116 encrypted connection destination URL, 117 encrypted ISP connection information, 118 secret key, 201 card side interface unit, 202 communication processing unit, 203 Phone number storage, 204 Private key case Storage unit, 601 input unit, 602 display unit, 603 communication processing unit, 604 server login authentication processing unit, 605 login authentication user database, 606 login authentication IP address database, 607 hash calculation unit, 608 random number generation unit, 609 encryption processing Part, 610 user ID, 611 password, 612 communication card telephone number, 613 connection source private IP address, 614 connection source global IP address.

Claims

A terminal device that can be connected to a communication device for which identification information is set and performs login authentication processing in response to a login request from a user, and is specified as identification information of a communication device used by a user who is permitted to log in. An authentication information storage unit for storing identification information of
An input unit for inputting a login request from a user,
When the input unit inputs a login request from a user, it is determined whether a communication device is connected to the terminal device.If any communication device is connected to the terminal device, the An identification information acquisition unit that acquires identification information of the connected communication device from the connected communication device that is connected,
A login authentication processing unit that performs a login authentication process in response to a login request from a user based on the identification information of the connected communication device acquired by the identification information acquisition unit and the identification information stored in the authentication information storage unit. A terminal device comprising:

The authentication information storage unit,
In addition to storing a user ID of a user who is permitted to log in, specific identification information is stored in association with the user ID,
The input unit includes:
Enter a login request indicating the user ID from the user,
The login authentication processing unit,
Login from the user based on the user ID indicated in the login request from the user and the identification information of the connected communication device acquired by the identification information acquisition unit and the user ID and identification information stored in the authentication information storage unit. The terminal device according to claim 1, wherein a login authentication process is performed for the request.

The terminal device further includes:
By using a specific hash function, the user ID of the user permitted to log in and the specific identification information associated with the user ID are encrypted, and the user ID of the user permitted to log in is encrypted by the authentication user. An ID, and having a hash calculation unit that uses the specific identification information as encrypted identification information for authentication;
The authentication information storage unit,
Storing the encrypted user ID for authentication and storing the encrypted identification information for authentication in association with the encrypted user ID for authentication;
The hash operation unit includes:
After the login request is input from the user by the input unit and the identification information of the connected communication device is acquired by the identification information acquisition unit, the identification used for encrypting the encrypted user ID for authentication and the encrypted identification information for authentication is performed. Encrypts the user ID indicated in the login request from the user and the identification information of the connected communication device acquired by the identification information acquisition unit, and uses the hash function of the user indicated in the login request from the user. ID is an encrypted user ID, identification information of the connected communication device is encrypted identification information,
The login authentication processing unit,
The encrypted user ID and the encrypted identification information encrypted by the hash calculation unit are compared with the encrypted user ID and the encrypted identification information for authentication stored in the authentication information storage unit. The terminal device according to claim 2, wherein a login authentication process is performed in response to a login request.

The hash operation unit includes:
Using a specific hash function used for encrypting the encrypted user ID for authentication and the encrypted identification information for authentication, encrypts a password used by a user who is permitted to log in as an encrypted password for authentication,
The authentication information storage unit,
Storing the encrypted user ID for authentication and storing the encrypted password for authentication and the encrypted identification information for authentication in association with the encrypted user ID for authentication;
The input unit includes:
A user inputs a login request indicating a user ID and a password,
The hash operation unit includes:
After the login request from the user is inputted by the input unit and the identification information of the connected communication device is acquired by the identification information acquisition unit, the authentication encrypted user ID, the authentication encryption password and the authentication encryption identification information are Using the specific hash function used for the encryption, the user ID, the password indicated in the login request from the user and the identification information of the connected communication device acquired by the identification information acquisition unit are encrypted, and the user The user ID indicated in the login request is an encrypted user ID, the password indicated in the login request from the user is the encrypted password, the identification information of the connected communication device is the encrypted identification information,
The login authentication processing unit,
The encrypted user ID, the encrypted password, and the encrypted identification information encrypted by the hash calculation unit, and the encrypted user ID, the encrypted password, and the encrypted identification stored in the authentication information storage unit. 4. The terminal device according to claim 3, wherein a login authentication process is performed in response to a login request from a user by comparing the information with information.

The terminal device further includes:
A secret key generation unit that generates a secret key each time login authentication processing is performed by the login authentication processing unit,
The authentication information storage unit,
Each time a secret key is generated by the secret key generation unit, the generated secret key is stored in association with the encrypted user ID for authentication and the encrypted identification information for authentication.
The login authentication processing unit,
Each time a login authentication process is performed, a secret key generated by the secret key generation unit is set in a communication device connected to the terminal device during the login authentication process,
The identification information acquisition unit,
When the input unit inputs a login request from a user after the secret key is set in the communication device by the login authentication processing unit, the connection communication device connected to the terminal device and the identification information of the connection communication device are connected. Obtain the secret key set on the communication device,
The login authentication processing unit,
After encrypting the user ID and the identification information by the hash calculation unit, the encrypted user ID and the encrypted identification information, and the authentication user ID and the authentication encryption identification stored in the authentication information storage unit. Comparing the secret key acquired by the identification information acquisition unit with the secret key stored in the authentication information storage unit, and performing a login authentication process in response to a login request from a user. The terminal device according to claim 3, wherein:

The terminal device can be connected to a communication device in which a telephone number or a MAC (Media Access Control) address is set as identification information,
The authentication information storage unit,
A specific telephone number or a MAC (Media Access Control) address is stored as identification information of a communication device used by a user who is permitted to log in,
The identification information acquisition unit,
When the input unit inputs a login request from a user, it is determined whether a communication device is connected to the terminal device.If any communication device is connected to the terminal device, the Acquires the telephone number or MAC (Media Access Control) address of the connected communication device from the connected communication device,
The login authentication processing unit,
Based on the telephone number or MAC (Media Access Control) address of the connected communication device obtained by the identification information obtaining unit and the telephone number or MAC (Media Access Control) address stored in the authentication information storage unit. The terminal device according to claim 1, wherein a login authentication process is performed in response to a login request.

A terminal device that transmits a login request to a predetermined information processing device to the information processing device via at least one of the Internet and a virtual private network (VPN) using a predetermined communication device in which identification information is set,
An input unit for inputting a user ID from a user,
From a communication device used for transmitting a login request, an identification information acquisition unit that acquires identification information of the communication device,
A login request indicating the user ID input by the input unit and the identification information of the communication device acquired by the identification information acquisition unit is generated, and the generated login request is transmitted to the information processing apparatus using the communication device. A terminal device comprising:

The information processing device further includes:
Using a specific hash function, having a hash operation unit for encrypting the identification information of the communication device acquired by the identification information acquisition unit,
The login request generation unit,
The terminal device according to claim 7, wherein the terminal device generates a login request indicating the user ID input by the input unit and the encrypted identification information encrypted by the hash calculation unit.

The information processing device further includes:
An encryption processing unit that performs a predetermined encryption process using a random number,
The login request generation unit,
Prior to generating a login request, using a communication device, receiving a predetermined random number from the information processing apparatus,
The encryption processing unit,
Using the random number received by the login request generation unit, performs encryption of the identification information of the communication device acquired by the identification information acquisition unit,
The login request generation unit,
8. The terminal device according to claim 7, wherein a login request indicating a user ID input by the input unit and encrypted identification information encrypted by the encryption processing unit is generated.

The information processing device further includes:
An encryption processing unit that performs a predetermined encryption process using a random number,
The login request generation unit,
Prior to generating a login request, using a communication device, receiving a predetermined random number from the information processing apparatus,
The encryption processing unit,
Using the random number received by the login request generation unit, re-encrypt the encrypted identification information encrypted by the hash operation unit,
The login request generation unit,
9. The terminal device according to claim 8, wherein a login request indicating a user ID input by the input unit and re-encryption identification information re-encrypted by the encryption processing unit is generated.

The input unit includes:
Enter the user ID and password from the user,
The login request generation unit,
The terminal device according to claim 10, wherein the terminal device generates a login request indicating a user ID and a password input by the input unit and re-encryption identification information re-encrypted by the encryption processing unit.

The terminal device can transmit a login request to the information processing device using a communication device in which a telephone number or a MAC (Media Access Control) address is set as identification information,
The identification information acquisition unit,
From the communication device used to transmit the login request, obtain a telephone number or a MAC (Media Access Control) address of the communication device as identification information of the communication device,
The login request generation unit,
8. A login request indicating a user ID input by the input unit and a telephone number or a MAC (Media Access Control) address of a communication device acquired by the identification information acquisition unit is generated. Terminal device.

It is possible to communicate with one or more terminal devices that perform communication using a communication device in which identification information is set, via at least one of the Internet and a virtual private network (VPN) network. An information processing device that performs a login authentication process for
An authentication information storage unit that stores a user ID of a user permitted to log in and stores specific identification information as identification information of a communication device used by the user permitted to log in association with the user ID;
A communication processing unit that receives a login request indicating a user ID and identification information of a communication device used by the terminal device from a specific terminal device via at least one of the Internet and a VPN network;
Based on the user ID and identification information indicated in the login request from the specific terminal device and the user ID and identification information stored in the authentication information storage unit, a login request from the specific terminal device An information processing apparatus comprising: a login authentication processing unit that performs a login authentication process.

The information processing device further includes:
A hash operation unit that performs a hash operation using a predetermined hash function,
The communication processing unit,
From at least one of the Internet and a VPN network, from a specific terminal device, a user ID and encrypted identification information obtained by encrypting identification information of a communication device used by the terminal device with a specific hash function, and Receives the indicated login request,
The login authentication processing unit,
When the login request from the specific terminal device is received, the identification information corresponding to the user ID indicated in the login request from the specific terminal device is selected from the identification information stored in the authentication information storage unit. Extract information,
The hash operation unit includes:
The specific terminal device encrypts the identification information extracted by the login authentication processing unit using the same hash function as the specific hash function used for encrypting the identification information of the communication device, and performs the login authentication. The identification information extracted by the processing unit is used as the encrypted identification information for authentication,
The login authentication processing unit,
Comparing the encrypted identification information indicated in the login request from the specific terminal device with the encryption identification information for authentication encrypted by the hash calculation unit, The information processing apparatus according to claim 13, wherein a login authentication process is performed by performing a login authentication process.

The information processing device further includes:
A random number generator for generating a random number;
An encryption processing unit that performs a predetermined encryption process using the random number generated by the random number generation unit,
The communication processing unit,
Before receiving the login request from the specific terminal device, the random number generated by the random number generation unit is transmitted to the specific terminal device, and at least one of the Internet and a VPN network is transmitted from the specific terminal device. Through the or, received a login request indicating the user ID and the encrypted identification information obtained by encrypting the identification information of the communication device used by the terminal device with the random number,
The login authentication processing unit,
When the login request from the specific terminal device is received, the identification information corresponding to the user ID indicated in the login request from the specific terminal device is selected from the identification information stored in the authentication information storage unit. Extract information,
The encryption processing unit,
The specific terminal device encrypts the identification information extracted by the login authentication processing unit using the same random number as the random number used for encrypting the identification information of the communication device, and extracts the identification information by the login authentication processing unit. The obtained identification information is used as encrypted identification information for authentication,
The login authentication processing unit,
The encrypted identification information indicated in the login request from the specific terminal device is compared with the encrypted identification information for authentication encrypted by the encryption processing unit. 14. The information processing apparatus according to claim 13, wherein a login authentication process is performed on the information processing apparatus.

The information processing device further includes:
A random number generator for generating a random number;
An encryption processing unit that performs a predetermined encryption process using the random number generated by the random number generation unit,
The communication processing unit,
Before receiving the login request from the specific terminal device, the random number generated by the random number generation unit is transmitted to the specific terminal device, and at least one of the Internet and a VPN network is transmitted from the specific terminal device. Through this, the user ID and the re-encryption identification information obtained by encrypting the identification information of the communication device used by the terminal device with a specific hash function and then re-encrypting with the random number are shown. Receives a login request,
The login authentication processing unit,
When the login request from the specific terminal device is received, the identification information corresponding to the user ID indicated in the login request from the specific terminal device is selected from the identification information stored in the authentication information storage unit. Extract information,
The hash operation unit includes:
The specific terminal device encrypts the identification information extracted by the login authentication processing unit using the same hash function as the specific hash function used for encrypting the identification information of the communication device, and performs the login authentication. The identification information extracted by the processing unit is used as the encrypted identification information for authentication,
The encryption processing unit,
Using the same random number as the random number used by the specific terminal device for re-encryption of the identification information of the communication device, re-encryption of the encryption identification information for authentication encrypted by the hash calculation unit is performed. Encryption identification information for authentication as re-encryption identification information for authentication,
The login authentication processing unit,
The re-encryption identification information indicated in the login request from the specific terminal device is compared with the re-encryption identification information for authentication re-encrypted by the encryption processing unit, and the 15. The information processing apparatus according to claim 14, wherein a login authentication process is performed for a login request.

The authentication information storage unit,
In addition to storing the user ID and specific identification information of the user permitted to log in, storing the password used by the user permitted to log in,
The communication processing unit,
Receiving a login request indicating a user ID, a password, and re-encrypted identification information from a specific terminal device via at least one of the Internet and a VPN network;
The login authentication processing unit,
While comparing the re-encryption identification information indicated in the login request from the specific terminal device with the re-encryption identification information for authentication re-encrypted by the encryption processing unit, 17. The method according to claim 16, wherein a password indicated in the login request is compared with a password stored in the authentication information storage unit, and a login authentication process is performed in response to a login request from the specific terminal device. An information processing apparatus according to claim 1.

The information processing device,
It is possible to communicate with a terminal device performing communication using a communication device in which a telephone number or a MAC (Media Access Control) address is set as identification information,
The authentication information processing unit,
A user ID of a user permitted to log in is stored, and a specific telephone number or a MAC (Media Access Control) address is stored in association with the user ID as identification information of a communication device used by the user permitted to log in. ,
The communication processing unit,
A login request indicating a user ID and a telephone number or a MAC (Media Access Control) address of a communication device used by the terminal is received from a specific terminal via at least one of the Internet and a VPN network. And
The login authentication processing unit,
The user ID and telephone number or MAC (Media Access Control) address indicated in the login request from the specific terminal device, and the user ID and telephone number or MAC (Media Access Control) address stored in the authentication information storage unit. 14. The information processing apparatus according to claim 13, wherein a login authentication process is performed in response to a login request from the specific terminal device.