JP5028995B2 - サービス提供装置、認証方法及び認証プログラム - Google Patents

Description

本発明はサービス提供装置、認証方法及び認証プログラムに関し、例えば、ＳＩＰ交換機システムにおける端末からの通信に対する認証に適用し得る。

ＳＩＰ（Session Initiation Protocol）交換機システムでは、故障端末からの不正アクセスや、悪意のあるユーザが、別の正規ユーザになりすましてサービスを不正利用することなどを防止するため、サーバとユーザ端末間の通信について認証をする。認証は、認証データを生成する認証アルゴリズムについて、ＳＩＰ交換機システムとＳＩＰユーザ端末の両者において、同一のアルゴリズムであるユーザ認証機能が具備されていることを前提としており、ＳＩＰユーザ端末からのリクエスト信号を受信した際に、サーバがリクエスト信号に付与された認証データを確認することにより、要求元のユーザを認証し許可することで実施される。つまり、正式な認証アルゴリズムを使用せずに生成された認証データが付与されたリクエストに対しては要求元のユーザを認可しないことにより、サービスの不正利用防止を実現している。ＳＩＰ交換機システムにおいては、この認証機能は、ユーザの現在位置を登録するためのリクエスト信号（ＲＥＧＩＳＴＥＲリクエスト）、及びユーザが電話サービスの利用を開始するための発呼リクエスト信号（＝ＩＮＶＩＴＥリクエスト）に対して実施されるのが一般的である。

そこで特許文献１に記載の「通知番号検証システム」のように、ＳＩＰサーバにおいて、ＩＰ電話加入端末が発呼した際に、その発呼したユーザが正当な利用者であるか認証を行う方法が提案されている。
"Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ"［ＩＥＴＦ ＲＦＣ３２６１ Ｊｕｎｅ ２００２］ 特開２００６−５８８０号公報

今日、ＳＩＰ交換機システムにより提供されるサービスは多様化され、電話接続サービス以外に、現在位置情報公開サービス（プレゼンスサービス）や、インスタントメッセージサービスなどが提供されるようになってきている。ＳＩＰでは、プレゼンスサービス向けにＳＵＢＳＣＲＩＢＥ、ＰＵＢＬＩＳＨリクエストを、インスタントメッセージ向けにＭＥＳＳＡＧＥリクエストを規定している。このため、これらのリクエストに対してもユーザ認証を実施し、サービスの不正利用を防止する必要性が高まっている。又、複数のＳＩＰ交換サービス提供事業社が提供するサービスには、事業者毎に差異があり、また収容するユーザ端末も様々である。端末によっては、全てのリクエストに対してユーザ認証機能を具備していない可能性もある。このユーザ端末にＳＩＰ交換機システムが認証を実施した場合、この端末のユーザはサービスを一切利用することができない。このため、各事業者のサービス運用方針によって、ＳＩＰユーザ端末からのどのリクエスト信号に対してユーザ認証処理を実施するのか否かという認証実施要否の条件が異なる。又、認証のセキュリティ性強化のため、将来的に認証データを生成する認証アルゴリズムの種別が増加することも予想される。

しかしながら、特許文献１に記載の「通知番号検証システム」では、一つのリクエストに対して単一の種類の認証アルゴリズムしか対応することができなかった。そのため、複数の種類の認証アルゴリズムに対応し、ユーザ毎や端末毎等に応じた認証アルゴリズムを選択して認証を行うことができるサービス提供装置、認証方法及び認証プログラムが望まれている。

第１の本発明のサービス提供装置は、（１）端末から受信した信号の種別毎に、認証の要否の情報を、認証アルゴリズムの種類毎に格納した認証実施要否条件情報記憶手段、（２）上記端末から受信した信号に基づいて、上記端末が採用している認証アルゴリズムの種類を判定する認証アルゴリズム判定手段、（３）上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得する信号種別情報取得手段、（４）上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記端末から受信した信号について、認証の要否を判定する認証要否判定手段、及び、（５）上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類の認証アルゴリズムを使用して、上記端末からの通信について認証を行う認証手段を有することを特徴とする。

第２の本発明は、端末にサービスを提供するサービス提供装置が行う認証方法において、（０）認証実施要否条件情報記憶手段、認証アルゴリズム判定手段、信号種別情報取得手段、認証要否判定手段、及び、認証手段を備え、（１）上記認証実施要否条件情報記憶手段は、上記サービス提供装置が上記端末から受信する信号の種別毎に認証の要否の情報を認証アルゴリズムの種類毎に格納し、（２）上記認証アルゴリズム判定手段は、上記サービス提供装置が、上記端末から受信した信号から、上記端末が採用している認証アルゴリズムの種類を判定し、（３）上記信号種別情報取得手段は、上記サービス提供装置が、上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得し、（４）上記認証要否判定手段は、上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記サービス提供装置が上記端末から受信した信号について、認証の要否を判定し、（５）上記認証手段は、上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類のアルゴリズムを使用して、上記端末からの通信について認証を行うことを特徴とする。

第３の本発明の認証プログラムは、（０）端末にサービスを提供するサービス提供装置に設けられているコンピュータを、（１）上記端末から受信する信号の種別毎に認証の要否の情報を、認証アルゴリズムの種類毎に格納した認証実施要否条件情報記憶手段、（２）上記端末から受信した信号に基づいて、上記端末が採用している認証アルゴリズムの種類の判定をする認証アルゴリズム判定手段、（３）上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得する信号種別情報取得手段、（４）上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記端末から受信した信号について、認証の要否を判定する認証要否判定手段、及び、（５）上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類のアルゴリズムを使用して、上記端末からの通信について認証を行う認証手段として機能させることを特徴とする。

本発明によれば、サービス提供装置が、複数の種類の認証アルゴリズムに対応している場合、端末毎等に応じた認証アルゴリズムを選択して認証を行うことができる。

（Ａ）第１の実施形態
以下、本発明によるサービス提供装置、認証方法及び認証プログラムの第１の実施形態を、図面を参照しながら詳述する。

（Ａ−１）第１の実施形態の構成
図２は、この実施形態のＳＩＰシステムの全体構成を示すブロック図である。

ＳＩＰ交換機システム１００は、ＳＩＰユーザ端末４００を収容して、ＳＩＰによる交換サービスを提供するものである。ＩＰネットワーク３００は、ＳＩＰ交換機システム１００とＳＩＰユーザ端末４００などを通信させるためのＩＰネットワークであり、例えば、ルータやスイッチングハブなどのＩＰ通信可能なネットワーク装置で構成されるものである。

ＳＩＰユーザ端末４００は、ＳＩＰのクライアント端末であり、ＩＰネットワーク３００に接続可能なパソコンや携帯電話機等の情報処理端末に、ＳＩＰ交換機システム１００と通信してＳＩＰによるサービスを受けるためのソフトウェアをインストールしたものである。

ＳＩＰ交換機保守端末２００は、システムの保守者が投入する操作信号をＳＩＰ交換機システム１００に伝達したり、ＳＩＰ交換機システム１００にからの障害発生等のメッセージを受信してシステムの保守者に表示させたりするものである。ＳＩＰ交換機保守端末２００は、ＩＰネットワーク３００に接続可能なパソコンや携帯電話機等の情報処理端末に、ＳＩＰ交換機システム１００と通信し、情報の受送信及び制御をするためのソフトウェアをインストールしたものである。

図１は、ＳＩＰ交換機システム１００の内部構造及び、ＳＩＰユーザ端末４００との接続について示したブロック図である。

ＳＩＰ交換機システムは、一般にＩＥＴＦのＲＦＣ３２６１記述に基づいた構成となっており、ＳＩＰ階層（レイヤ）構造で示すことができる。そこで、この実施形態では、ＲＦＣ３２６１の記述に基づいて、ＳＩＰ交換機システム１００の内部をアプリケーションレイヤ１１０、トランザクションレイヤ１２０、トランスポートレイヤ１３０の３つのレイヤに分けて説明するものとする。

アプリケーションレイヤ１１０、トランザクションレイヤ１２０、トランスポートレイヤ１３０は、例えば、パソコンなどのＩＰネットワーク３００に接続可能な情報処理装置（１台に限定されず、複数台を分散処理し得るようにしたものであっても良い。）上に、実施形態の認証実施要否判定プログラム（固定データを含む）などの、各レイヤ毎のプログラムをインストールすることにより構築されるものであるが、機能的には図１のように表すことができる。アプリケーションレイヤ１１０、トランザクションレイヤ１２０、トランスポートレイヤ１３０はハードウエア的には、ＣＰＵ（中央処理装置）などに相当し、ソフトウエア的には各種プログラムに相当し得る部分である。又、アプリケーションレイヤ１１０内の生成シナリオ管理表１１１ｃ、ユーザ認証実施要否条件表１１１ｅ、デフォルトアルゴリズム情報１１１ｆなどは記憶手段であり、ハードウエア的には、揮発性記憶手段（ＲＡＭなど）や、不揮発性記憶手段（ＲＯＭやハードディスクなど）によって構成され、ソフトウエア的には、各種のファイルが該当する。

トランスポートレイヤ１３０は、ＳＩＰユーザ端末４００からデータを受信し、受信したＳＩＰ信号をトランザクションレイヤ１２０に引き渡すなどの機能を担っている。

トランザクションレイヤ１２０は、受信した信号に対応するトランザクションを検索するなどの機能を担っている。検索した結果、トランザクションが存在する場合はそのトランザクションを検索する。トランザクションが存在する場合はそのトランザクションの状態に応じて、該当するＳＩＰユーザ端末４００との間の処理を実施し、存在しない場合は新規にトランザクションを生成して処理を実施する。そして、所定の条件に応じて、アプリケーションレイヤ１１０に対してＳＩＰ信号を引き渡す。

アプリケーションレイヤ１１０は、受信したＳＩＰ信号の種別と信号上の設定されているパラメータ内容、及び、アプリケーションレイヤ１１０自身が保持しているプログラム状態により、信号送信元のユーザ認証機能や、呼接続サービス等の各種サービスを提供する機能を担っている。アプリケーションレイヤ１１０は、信号振分け機能部１１１、サービスシナリオ機能部１１２、ユーザデータ管理部１１３、ユーザ認証機能部１１４を有している。

サービスシナリオ機能部１１２は、電話接続サービス、現在位置情報公開（プレゼンス）サービス、インスタントメッセージサービスなど、ＳＩＰによる各サービスを実現するサービスシナリオを複数備えており、信号振分け機能部１１１からサービスの開始を要求するＳＩＰ信号を受信すると、要求サービスに該当するサービスシナリオを生成し、それ以降は信号振分け機能部１１１から通知される受信ＳＩＰ信号に応じて、対応するサービスシナリオの状態を変化させながら、ＳＩＰ応答信号やＳＩＰ要求信号を信号振分け機能部１１１、トランザクションレイヤ１２０、トランスポートレイヤ１３０を経由してＳＩＰユーザ端末に対して送信することにより、要求されたサービスをＳＩＰユーザ端末４００に対して提供する。

ユーザ認証機能部１１４は、ユーザ認証機能を備えており、信号振分け機能部１１１から入力されたＳＩＰ信号に設定されているパラメータを参照して、要求送信元ユーザの認証を実施する。尚、位置情報登録リクエスト（ＲＥＧＩＳＴＥＲ信号）に対してユーザ認証を実施した場合は、ユーザ認証機能部１１４が認証実施結果をＲＥＧＩＳＴＥＲリクエストの応答信号に設定し、信号振分け機能部１１１、トランザクションレイヤ１２０、トランスポートレイヤ１３０を経由してＳＩＰユーザ端末４００に対して送信する。又、サービス開始リクエスト（ＩＮＶＩＴＥ、ＭＥＳＳＡＧＥリクエスト等）に対するユーザ認証を実施した場合は、認証実施結果が不成功（不認可）となった場合のみユーザ認証機能部１１４が、該当リクエストの認証が不成功であった旨の応答信号を送信し、認証実施結果が成功(認可)となった場合には、信号振分け機能部１１１からサービスシナリオ機能部１１２にサービス開始リクエスト信号が引き渡され、サービスシナリオの動作によってサービス開始のリクエストの応答信号が送信される。

ユーザデータ管理部１１３は、ＳＩＰ交換機システム１００に収容される全てのユーザのデータを管理する。ユーザデータとして、電話番号やユーザアカウントなどユーザを識別する情報、ユーザのユーザ契約情報及び、ユーザ認証にて使用される認証データ情報が管理される。ユーザデータ管理部１１３は、ユーザに対するサービスシナリオが実行されるときやユーザ認証が実施されるときに、該当ユーザに関する情報を、サービスシナリオ機能部１１２、ユーザ認証機能部１１４からの要求に応じて開示する。

信号振分け機能部１１１は、トランザクションレイヤ１２０とアプリケーションレイヤ１１０のインターフェースの機能を担っており、ＳＩＰ信号送受信処理部１１１ａ、サービスシナリオ管理部１１１ｂ、ユーザ認証実施要否判定処理部１１１ｄを有している。信号振分け機能部１１１は、トランザクションレイヤ１２０から引き渡されたＳＩＰ信号をアプリケーションレイヤ１１０内部において最初に受信する。そして、受信したＳＩＰ信号に対して、リクエスト種別や設定されているパラメータの確認を実施し、既に生成されているサービスシナリオに関連している信号であれば、サービスシナリオ機能部１１２に受信したＳＩＰ信号を通知し、ユーザ認証を必要とするリクエスト信号であれば、ユーザ認証機能部１１４に受信したＳＩＰ信号を通知する。

また、信号振分け機能部１１１は、サービスシナリオ機能部１１２とユーザ認証機能部１１４からの、ＳＩＰユーザ端末４００に対する、ＳＩＰ要求番号とＳＩＰ応答信号の送信要求を受け付けて、トランザクションレイヤ１２０に入力し、トランスポートレイヤ１３０を経由して、ＳＩＰユーザ端末４００に通知する。さらに、信号振分け機能部１１１は、ユーザ認証機能部１１４におけるユーザ認証の実施結果を受け付けて、認証が成功（認可）すると、位置情報登録リクエスト（ＲＥＧＩＳＴＥＲ信号）の場合には、ユーザデータ管理部１１３に対してユーザ位置登録を要求し、サービス開始リクエスト（ＩＮＶＩＴＥ、ＭＥＳＳＡＧＥ信号等）の場合には、サービスシナリオ機能部１１２に対して新規サービスシナリオ生成を要求する。尚、位置登録の要求及びサービスシナリオ生成の要求は、受信したＳＩＰ信号を通知することにより行われる。

ＳＩＰ信号送受信処理部１１１ａは、アプリケーションレイヤ１１０におけるトランザクションレイヤ１２０とのインターフェースとして、トランザクションレイヤ１２０からＳＩＰ信号を受信して、サービスシナリオ機能部１１２と、ユーザ認証機能部１１４へのＳＩＰ信号を振分ける機能と、サービスシナリオ機能部１１２やユーザ認証機能部１１４からの要求に応じて、トランザクションレイヤ１２０に対してＳＩＰ信号の送信を要求する機能等を担っている。

サービスシナリオ管理部１１１ｂは、サービスシナリオ機能部１１２で生成されたシナリオを管理する機能を担っており、生成シナリオ管理表１１１ｃを有している。

図３は、サービスシナリオ管理部１１１ｂ及び生成シナリオ管理表１１１ｃの内部構造と、サービスシナリオ機能部１１２、ＳＩＰ信号送受信処理部１１１ａとの間で送受信される情報について示した図である。生成シナリオ管理表１１１ｃは、ＳＩＰユーザ端末４００からの呼の識別番号を示すＣａｌｌ−ＩＤヘッダの内容と、該当するＣａｌｌ−ＩＤの呼に対応するサービスシナリオの論理番号の情報を有する表である。生成シナリオ管理表１１１ｃの各要素は、サービスシナリオ管理部１１１ｂに対してサービスシナリオ機能部１１２より、サービス開始時にサービスシナリオが生成された際に登録を要求し、表要素が追加され（Ｓ４０１）、サービス終了時にサービスシナリオを開放すると登録解除が要求され、表要素が削除される（Ｓ４０２）。また、ＳＩＰ信号送受信処理部１１１ａから、Ｃａｌｌ−ＩＤをキーとして、対応するサービスシナリオが存在するかどうかの問い合わせ（Ｓ４０３、Ｓ４０５）があった際には、サービスシナリオ管理部１１１ｂは、生成シナリオ管理表１１１ｃの情報を検索し、結果として該当するシナリオの有無を回答する（Ｓ４０４、Ｓ４０６）。

図４は、ユーザ認証実施要否判定処理部１１１ｄの内部構造を示した図である。ユーザ認証実施要否判定処理部１１１ｄは、ＳＩＰ信号送受信処理部１１１ａから通知された受信ＳＩＰ信号をユーザ認証実施要否判定要求として受け付けて、ユーザ認証の実施要否を判定する機能を担っており、ユーザ認証実施要否条件表１１１ｅ、デフォルトアルゴリズム情報１１１ｆを有している。

図４では、ユーザ認証実施要否条件表１１１ｅと、デフォルトアルゴリズム情報１１１ｆの内容の例を示している。この実施形態では、「アルゴリズム１」、「アルゴリズム２」、「アルゴリズム３」の３つのユーザ認証アルゴリズムについて、ユーザ認証機能部１１４は対応しているものとし、ＳＩＰユーザ端末４００はアルゴリズム１〜３のうち、少なくとも１つに対応しているものとする。

ユーザ認証実施要否条件表１１１ｅには、リクエスト種別（ＲＥＧＩＳＴＥＲ、ＩＮＶＩＴＥ等）と、それぞれのリクエスト種別に対して認証アルゴリズム毎に「認証実施要」又は「認証実施不要」のフラグ情報が格納されている。デフォルトアルゴリズム情報１１１ｆには、ユーザ認証機能部１１４が対応しているユーザ認証アルゴリズム（アルゴリズム１〜３）のうちいずれかのアルゴリズムについて情報が格納される。

ユーザ認証実施要否判定処理部１１１ｄは、ＳＩＰ信号送受信処理部１１１ａからの受信ＳＩＰ信号通知をユーザ認証実施要否判定要求として受け付けた際に、要求対象のＳＩＰ信号から、リクエスト種別と、その信号の認証ヘッダ（ＲＦＣ３２６１に記載の「Authorization」ヘッダ）に設定されているアルゴリズムパラメータ（ＲＦＣ３２６１に記載の「Algorithm」 パラメータ）の情報をアルゴリズム種別として取り出す。このとき、認証ヘッダが省略されるか、認証ヘッダ上のアルゴリズムパラメータが省略された場合は、デフォルトアルゴリズム情報１１１ｆに設定されている値をアルゴリズム種別として使用する。取り出したリクエスト種別とアルゴリズム種別を使用して、ユーザ認証実施要否条件表１１１ｅを検索することにより、ユーザ認証実施手段条件の設定値を得る。ユーザ認証実施要否条件が「認証実施要」であった場合には、ユーザ認証機能部１１４に、認証アルゴリズムの種別と共にＳＩＰ信号を通知し、ユーザ認証機能部１１４にてユーザ認証が実施される。ユーザ認証実施要否条件が「認証実施不要」であった場合には、ユーザ認証機能部１１４へは特に情報の通知はせず、ユーザ認証が成功（認可）したとみなして処理を継続する。

ユーザ認証機能部１１４において、ユーザ認証の結果が成功（認可)のとき、ユーザ認証実施要否判定処理部１１１ｄは、ＳＩＰ信号が位置情報登録リクエスト（ＲＥＧＩＳＴＥＲ信号）であれば、ユーザデータ管理部１１３にユーザの位置登録を要求し、ＳＩＰ信号がサービス開始リクエスト（ＩＮＶＩＴＥ、ＭＥＳＳＡＧＥ信号など）であれば、サービスシナリオ機能部１１２に対してサービスシナリオの新規生成を要求する。

（Ａ−２）第１の実施形態の動作
次に、以上のような機能的構成を有する第１の実施形態のＳＩＰ交換機システム１００の動作を、図面を参照しながら説明する。

図５及び図６は、ＳＩＰ交換機システム１００のアプリケーションレイヤ１１０内部の信号振分け機能部１１１において、トランザクションレイヤ１２０からＳＩＰリクエスト信号を受信し、ユーザ認証の手段を判定する処理について示したフローチャートである。

まず、ＳＩＰユーザ端末４００からＳＩＰ交換機システム１００にＳＩＰ信号が入力され、トランザクションレイヤ１２０を経由して、信号振分け機能部１１１のＳＩＰ信号送受信処理部１１１ａへ入力される（Ｓ５０１）。尚、ここでは、ＳＩＰ交換機システム１００は、ＳＩＰユーザ端末４００から位置情報登録リクエストとしてＲＥＧＩＳＴＥＲ信号を受信し、この信号には認証ヘッダが設定されていないものとする。

次に、ＳＩＰ信号送受信処理部１１１ａにおいて、受信したＳＩＰ信号のヘッダ情報からＣａｌｌ−ＩＤが取得され、サービスシナリオ管理部１１１ｂに対して、取得したＣａｌｌ−ＩＤの情報が入力される。これにより、このＣａｌｌ−ＩＤに対応するサービスシナリオの有無の問い合わせがされる（Ｓ５０２）。

サービスシナリオの有無の問い合わせを受信すると、サービスシナリオ管理部１１１ｂは、受信したＣａｌｌ−ＩＤをキーとして、生成シナリオ管理表１１１ｃを検索し、対応するサービスシナリオが存在する場合は対応シナリオが「有り」、存在しなければ「無し」として、問い合わせ結果がＳＩＰ信号送受信処理部１１１ａへ回答される（Ｓ５０３）。

シナリオの有無について回答を受信すると、ＳＩＰ信号送受信処理部１１１ａは、回答の結果対応するシナリオが、「有り」か「無し」かの判定を行う（Ｓ５０４）。対応するシナリオが「有り」の場合には、受信したＳＩＰ信号をサービスシナリオ管理部１１１ｂに通知する（Ｓ５０９）。その後、通知したＳＩＰ信号は、サービスシナリオ機能部１１２に入力され、サービスシナリオ動作において使用される。

一方、対応するシナリオが「無し」の場合には、ＳＩＰ信号送受信処理部１１１ａは、ユーザ認証実施要否判定処理部１１１ｄに受信ＳＩＰ信号を通知する。受信ＳＩＰ信号の通知を受けると、ユーザ認証実施要否判定処理部１１１ｄは、ユーザ認証実施要否判定手順を開始し（Ｓ５０５）、まず、受信したＳＩＰ信号からリクエスト種別の情報を抽出する（Ｓ５０６）。尚、ここでは上述の通り、該当するＳＩＰ信号のリクエスト種別はＲＥＧＩＳＴＥＲとなる。

次に、ユーザ認証実施要否判定処理部１１１ｄは、受信ＳＩＰ信号に認証ヘッダが設定されているか判定を行う（Ｓ５０７）。

認証ヘッダが設定されていなかった場合には、アルゴリズム種別として、デフォルトアルゴリズム情報１１１ｆに示されたアルゴリズムをユーザ認証アルゴリズムとして決定する（Ｓ５１４）。一方、認証ヘッダが設定されていた場合には、ユーザ認証実施要否判定処理部１１１ｄは、認証ヘッダ内にアルゴリズムパラメータが設定されているかを更に判定する（Ｓ５０８）。アルゴリズムパラメータが設定されていなかった場合には、デフォルトアルゴリズム情報１１１ｆに示されたアルゴリズムをユーザ認証アルゴリズムとして決定する（Ｓ５１４）。アルゴリズムパラメータが設定されていた場合には、ユーザ認証実施要否判定処理部１１１ｄは、該当するアルゴリズムをユーザ認証アルゴリズムとして決定する（Ｓ５１０）。ここでは、上述の通り、受信したＳＩＰ信号に認証ヘッダは設定されていなかったものとするため、アルゴリズム種別は、デフォルトアルゴリズム情報１１１ｆに示されたアルゴリズムであるアルゴリズム１に決定される。

次に、ユーザ認証実施要否判定処理部１１１ｄは、ステップＳ５０６において取得したリクエスト種別と、ステップＳ５１０又はＳ５１４で決定したユーザ認証アルゴリズム種別を用いて、ユーザ認証実施要否条件表１１１ｅを参照し、対応するユーザ認証実施要否条件の設定値を取得する（Ｓ５１１）。ここで、設定値が「認証実施不要」であった場合には、ユーザ認証の実施が成功（認可）したものとみなす（Ｓ５１５）。一方、設定値が「認証実施要」であった場合には、ユーザ認証機能部１１４に受信ＳＩＰ信号と、ステップＳ５１０又はＳ５１４で決定したユーザ認証アルゴリズム種別 を通知してユーザ認証の実施を要求する（Ｓ５１３）。

ここでは、受信ＳＩＰ信号のリクエスト種別は「ＲＥＧＩＳＴＥＲ」で、ユーザ認証のアルゴリズム種別は「アルゴリズム１」であるので、図４のユーザ認証実施要否条件表１１１ｅにより、設定値は「認証実施要」となる。よって、ユーザ認証実施要否判定処理部１１１ｄから、ユーザ認証機能部１１４へ受信ＳＩＰ信号と、ユーザ認証種別が「アルゴリズム１」である旨が通知され、ＳＩＰ交換機システム１００とＳＩＰユーザ端末４００の間で認証が行われる。

（Ａ−３）第１の実施形態の効果
第１の実施形態によれば、ＳＩＰ交換機システム１００に、ユーザ認証実施要否条件表１１１ｅ、デフォルトアルゴリズム情報１１１ｆを設けて、ＳＩＰユーザ端末４００からＳＩＰ信号を受信すると、リクエスト種別とアルゴリズム種別をキーに、ユーザ認証実施要否条件表１１１ｅの設定値を参照する。これにより、ＳＩＰユーザ端末４００毎に対応している認証アルゴリズムの種別が異なり、複数の認証アルゴリズムが混在する環境であっても、ＳＩＰ交換機システム１００は、適切に認証アルゴリズムと認証実施要否を判断し、認証を行うことが可能となる。

（Ｂ）第２の実施形態
以下、本発明によるサービス提供装置、認証方法及び認証プログラムの第２の実施形態を、図面を参照しながら詳述する。

（Ｂ−１）第２の実施形態の構成
図７は、第２の実施形態のＳＩＰシステムの全体構成を示すブロック図である。なお、上述した第１の実施形態における図１及び図２と同一、対応部分には、同一、対応符号を付して示している。第２の実施形態においては、ＳＩＰ交換機システム１００は、保守運用機能部１１５を備えることにより、ユーザ認証実施要否判定処理部１１１ｄ内に記憶された情報（ユーザ認証実施要否条件表１１１ｅ、デフォルトアルゴリズム情報１１１ｆ）を更新する構成となっている。

以下、第２の実施形態の構成について、第１の実施形態と異なる内容について説明する。

第２の実施形態では、第１の実施形態のＳＩＰ交換機システム１００に、保守運用機能部１１５が付加されている。尚、保守運用機能部１１５は、アプリケーションレイヤ１１０内に配置されている。保守運用機能部１１５は、ＳＩＰ交換機システム１００に対する、ＳＩＰ交換機保守端末２００からの要求信号に応じて、ＳＩＰ交換機システム１００の内部の情報変更や情報の回答を行う機能を担っている。

ユーザ認証実施要否条件表１１１ｅ及びデフォルトアルゴリズム情報１１１ｆに記憶された情報を変更する場合は、ＳＩＰ交換機保守端末２００からの要求信号を、まずは保守運用機能部１１５が受信し、保守運用機能部１１５から信号振分け機能部１１１のＳＩＰ信号送受信処理部１１１ａを経由してユーザ認証実施要否判定処理部１１１ｄに情報を変更する信号が伝達され、その情報に基づいて変更が行われる。ユーザ認証実施要否判定処理部１１１ｄは、情報の変更直後より、変更された内容に基づいてユーザ認証実施要否の判定を行う。

（Ｂ−２）第２の実施形態の動作
次に、以上のような機能的構成を有する実施形態のＳＩＰ交換機システム１００の動作を、図面を参照しながら説明する。

ここでは、ユーザがＳＩＰ交換機保守端末２００に、ユーザ認証実施要否条件表１１１ｅ及びデフォルトアルゴリズム情報１１１ｆの情報を変更する信号を入力した場合の動作について説明する。

図８、図９、図１０は、ユーザ認証実施要否条件表１１１ｅ及びデフォルトアルゴリズム情報１１１ｆの情報を変更する際に、ＳＩＰ交換機保守端末２００において、入力される情報の例である。

図８は、ＳＩＰ交換機保守端末２００に入力される設定のフォーマットを示している。又、図９は、図８に示すフォーマット内の各パラメータの設定内容と設定値の一覧を示している。以下、図８の設定フォーマットの内容について、図９のパラメータ一覧の内容に基づいて説明する。

図８の設定フォーマットの１行目は、ｒｅｑｕｅｓｔ−ｎｕｍｂｅｒパラメータとして、ユーザ認証実施要否条件表１１１ｅのうち、変更する情報の数を設定する。２行目以降は、ｒｅｑｕｅｓｔ−ｍｅｔｈｏｄパラメータ、ａｌｇｏｒｉｔｈｍ１−ｃｏｎｄｉｔｉｏｎパラメータ、ａｌｇｏｒｉｔｈｍ２−ｃｏｎｄｉｔｉｏｎパラメータを有する。ｒｅｑｕｅｓｔ−ｍｅｔｈｏｄパラメータは、ユーザ認証実施要否条件表１１１ｅにおける、受信ＳＩＰ信号のリクエスト種別（ＲＥＧＩＳＴＥＲ、ＩＮＶＩＴＥなど）を設定する。ａｌｇｏｒｉｔｈｍ１−ｃｏｎｄｉｔｉｏｎパラメータ、ａｌｇｏｒｉｔｈｍ２−ｃｏｎｄｉｔｉｏｎパラメータは、それぞれアルゴリズム１、アルゴリズム２に対するユーザ認証実施の要否として、認証実施不要であれば「０」を、認証実施要であれば「１」を設定する。アルゴリズムが３種類以上サポートされる場合は各行の末尾にａｌｇｏｒｉｔｈｍＮ−ｃｏｎｄｉｔｉｏｎパラメータ（Ｎ＝３、４……）を付与して、同様にユーザ認証実施の要否を設定する。最終行に対しては、ｄｅｆａｕｌｔ−ａｌｇｏｒｉｔｈｍパラメータとして、デフォルトアルゴリズム情報１１１ｆに設定するアルゴリズム種別を設定する。

図１０は、この実施形態における変更要求情報の設定例であり、上述の図８のデータフォーマットに基づいて記載されているものである。以下、この設定例の内容について説明する。

１行目については、ｒｅｑｕｅｓｔ−ｎｕｍｂｅｒパラメータの内容として「２」が入力される。よって、ユーザ認証実施要否条件表１１１ｅのうち、２件の情報が変更されるものであり、２行目、３行目にその内容が入力されることになる。２行目については、ｒｅｑｕｅｓｔ−ｍｅｔｈｏｄパラメータの内容として「ＲＥＧＩＳＴＥＲ」、ａｌｇｏｒｉｔｈｍ１−ｃｏｎｄｉｔｉｏｎパラメータの内容として「０」、ａｌｇｏｒｉｔｈｍ２−ｃｏｎｄｉｔｉｏｎパラメータの内容として「０」、ａｌｇｏｒｉｔｈｍ３−ｃｏｎｄｉｔｉｏｎパラメータの内容として「０」が入力される。３行目については、ｒｅｑｕｅｓｔ−ｍｅｔｈｏｄパラメータの内容として「ＩＮＶＩＴＥ」、ａｌｇｏｒｉｔｈｍ１−ｃｏｎｄｉｔｉｏｎパラメータの内容として「１」、ａｌｇｏｒｉｔｈｍ２−ｃｏｎｄｉｔｉｏｎパラメータの内容として「１」、ａｌｇｏｒｉｔｈｍ３−ｃｏｎｄｉｔｉｏｎパラメータの内容として「１」が入力される。４行目については、ｄｅｆａｕｌｔ−ａｌｇｏｒｉｔｈｍパラメータの内容として、「３」が入力される。

図１１は、ユーザ認証実施要否条件表１１１ｅ及びデフォルトアルゴリズム情報１１１ｆの情報が、上述の図４に示す状態であったときに、ＳＩＰ交換機保守端末２００において、上述の図１０に示す内容が入力されたときに、どのように遷移するか示した図である。

ユーザ認証実施要否条件表１１１ｅにおいては、リクエスト種別が「ＲＥＧＥＳＴＥＲ」のアルゴリズム種別について、アルゴリズム１の情報は「認証実施要」から「認証実施不要」と更新され、アルゴリズム２の情報は「認証実施要」から「認証実施不要」と更新され、アルゴリズム３の情報は「認証実施不要」と変化はない。リクエスト種別が「ＩＮＶＩＴＥ」のアルゴリズム種別について、アルゴリズム１の情報は「認証実施要」と変化はなく、アルゴリズム２の情報は「認証実施不要」から「認証実施要」と更新され、アルゴリズム３の情報は「認証実施不要」と変化はない。又、デフォルトアルゴリズム情報１１１ｆについてはデフォルトアルゴリズムが「アルゴリズム１」から「アルゴリズム３」に更新される。

（Ｂ−３）第２の実施形態の効果
第２の実施形態によれば、第１の実施形態と同様な効果だけでなく、以下のような効果も奏することが可能となる。

ＳＩＰ交換機システム１００のアプリケーションレイヤ１１０において、保守運用機能部１１５を設け、ＳＩＰ交換機保守端末２００からの制御信号に基づいて、ユーザ認証実施要否条件表１１１ｅ及びデフォルトアルゴリズム情報１１１ｆの２つの情報の更新を行うことにより、ＳＩＰ交換機システム１００のシステムを停止させることなく、ユーザ認証の条件の変更を行うことが可能となる。

（Ｃ）他の実施形態
（Ｃ−１）上記各実施形態においては、ＳＩＰ交換機システム１００内に、ユーザ認証実施要否判定処理部１１１ｄ備えて認証手段及び認証実施要否の選択をする構成となっているが、同様の構成をユーザ端末対してサービスを提供する他のサービス提供装置に適用しても良い。他のサービス提供装置としては、例えば、ＨＴＴＰ（Hyper Text Transfer Protocol）で通信を行うサーバ、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバ、各種サービスのプロキシサーバなどが挙げられる。

（Ｃ−２）上記各実施形態においては、ユーザ認証実施要否判定処理部１１１ｄはＳＩＰ交換機システム１００内に有する構成となっているが、ユーザ認証実施要否判定処理部１１１ｄが担っている機能について、単独の装置、例えば、「ユーザ認証実施要否判定処理装置」としてＳＩＰ交換機システム１００の外部に配置し、ＩＰネットワーク３００を経由してＳＩＰ交換機システム１００と接続する構成としても良い。このとき、ユーザ認証の認証手段及び認証実施要否について、ＳＩＰ交換機システム１００から上記のユーザ認証実施要否判定処理装置へ、リクエスト種別やアルゴリズムパラメータ等の必要な情報と共に問い合わせ、その回答をＳＩＰ交換機システム１００が受信する構成となる。

（Ｃ−３）上記各実施形態においては、ユーザ認証実施要否判定処理部１１１ｄにおいて、ＳＩＰユーザ端末４００が対応しているアルゴリズム種別を判定するために、ＲＦＣ３２６１に基づいてAuthorizationヘッダのAlgorithmパラメータの情報を参照しているが、各ＳＩＰユーザ端末４００の対応しているアルゴリズムの種別に関する情報が得られれば、他の情報を参照しても良いし、新たに同様の情報を有するパラメータを配置しても良い。

第１の実施形態のＳＩＰ交換機システムの全体構成を示すブロック図である。 第１の実施形態のＳＩＰ通信システムの全体を示す説明図である。 第１の実施形態のサービスシナリオ管理部の内部構造を示す説明図である。 第１の実施形態のユーザ認証実施要否判定処理部の内部構造を示す説明図である。 第１の実施形態のユーザ認証手段及び実施要否の判断の動作を示すフローチャートの前半部分を示す図である。 第１の実施形態のユーザ認証手段及び実施要否の判断の動作を示すフローチャートの後半部分を示す図である。 第２の実施形態のＳＩＰ交換機システム及びＳＩＰ交換機保守端末の構成を示すブロック図である。 第２の実施形態のＳＩＰ交換機保守端末に入力するデータのフォーマットを示す説明図である。 第２の実施形態のＳＩＰ交換機保守端末に入力するデータについて、各パラメータの内容について示す説明図である。 第２の実施形態のＳＩＰ交換機保守端末に入力するデータの例を示す図である。 第２の実施形態のユーザ認証実施要否条件表及びデフォルトアルゴリズム情報の更新状況について示す説明図である。

符号の説明

１００…ＳＩＰ交換機システム、１１０…アプリケーションレイヤ、１１１…信号振分け機能部、１１１ａ…ＳＩＰ信号送受信処理部、１１１ｂ…サービスシナリオ管理部、１１１ｃ…生成シナリオ管理表、１１１ｄ…ユーザ認証実施要否判定処理部、１１１ｅ…ユーザ認証実施要否条件表、１１１ｆ…デフォルトアルゴリズム情報、１１２…サービスシナリオ機能部、１１３…ユーザデータ管理部、１１４…ユーザ認証機能部、４００…ＳＩＰユーザ端末。

Claims (5)

1. 端末から受信した信号の種別毎に、認証の要否の情報を、認証アルゴリズムの種類毎に格納した認証実施要否条件情報記憶手段、
   上記端末から受信した信号に基づいて、上記端末が採用している認証アルゴリズムの種類を判定する認証アルゴリズム判定手段、
   上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得する信号種別情報取得手段、
   上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記端末から受信した信号について、認証の要否を判定する認証要否判定手段、及び、
   上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類の認証アルゴリズムを使用して、上記端末からの通信について認証を行う認証手段
   を有することを特徴とするサービス提供装置。
2. 上記認証アルゴリズム判定手段は、端末から受信した信号に基づいて、上記端末が採用している認証アルゴリズムの種類の判定ができない場合には、上記端末が、所定の種類のアルゴリズムを採用していると判定することを特徴とする請求項１に記載のサービス提供装置。
3. 上記認証実施要否条件情報記憶手段の情報を更新する認証実施要否条件更新手段を有することを特徴とする請求項１又は２に記載のサービス提供装置。
4. 端末にサービスを提供するサービス提供装置が行う認証方法において、
   認証実施要否条件情報記憶手段、認証アルゴリズム判定手段、信号種別情報取得手段、認証要否判定手段、及び、認証手段を備え、
   上記認証実施要否条件情報記憶手段は、上記サービス提供装置が上記端末から受信する信号の種別毎に認証の要否の情報を認証アルゴリズムの種類毎に格納し、
   上記認証アルゴリズム判定手段は、上記サービス提供装置が、上記端末から受信した信号から、上記端末が採用している認証アルゴリズムの種類を判定し、
   上記信号種別情報取得手段は、上記サービス提供装置が、上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得し、
   上記認証要否判定手段は、上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記サービス提供装置が上記端末から受信した信号について、認証の要否を判定し、
   上記認証手段は、上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類のアルゴリズムを使用して、上記端末からの通信について認証を行う
   ことを特徴とする認証方法。
5. 端末にサービスを提供するサービス提供装置に設けられているコンピュータを、
   上記端末から受信する信号の種別毎に認証の要否の情報を、認証アルゴリズムの種類毎に格納した認証実施要否条件情報記憶手段、
   上記端末から受信した信号に基づいて、上記端末が採用している認証アルゴリズムの種類の判定をする認証アルゴリズム判定手段、
   上記端末から受信した信号から、上記端末が送信した信号の種別に関する情報を取得する信号種別情報取得手段、
   上記認証アルゴリズム判定手段により判定した認証アルゴリズムの種類、及び、上記信号種別情報取得手段により取得した情報に基づいて、上記認証実施要否条件情報記憶手段の情報を参照し、上記端末から受信した信号について、認証の要否を判定する認証要否判定手段、及び、
   上記認証要否判定手段により、認証必要と判定された場合には、上記認証アルゴリズム判定手段により判定された種類のアルゴリズムを使用して、上記端末からの通信について認証を行う認証手段
   として機能させることを特徴とする認証プログラム。

Images