JPH1125053A

JPH1125053A - アプリケーションプログラムの認証処理におけるｉｃカード対応認証セキュリティサーバと専用アプリケーションプログラムインターフェース（ａｐｉ）。

Info

Publication number: JPH1125053A
Application number: JP9217951A
Authority: JP
Inventors: Keisuke Nakayama; 恵介中山
Original assignee: SYST NEEDS KK
Current assignee: SYST NEEDS KK
Priority date: 1997-07-08
Filing date: 1997-07-08
Publication date: 1999-01-29

Abstract

(57)【要約】（修正有）【課題】一般企業のコンピュータシステムでのアプリケ
ーションプログラムの認証処理をＩＣカード装置と同時
に使用する認証セキュリティサーバおよび専用アプリケ
ーションプログラムインターフェースを開発し、高度な
セキュリティー、低コスト、開発納期の短縮、高度な認
証技術の修得の不必要を実現し分散開発も可能にする。【解決手段】プロテクトメモリ型とＣＰＵ内蔵型のＩＣ
カードで暗号処理して唯一性の認証機能を実現する。Ｉ
Ｃカードに対応したソフトウェアとして認証セキュリテ
ィサーバとこれ専用のアプリケーションプログラムイン
ターフェース（ＡＰＩ）を提供する。この専用ＡＰＩ
は、認証プロセスを３つに分割してそれらを組み合わせ
て使用したり、ＩＣカードの管理や処理権限の管理、認
証処理の実行記録などを簡単な入力設定で処理ができ
る。認証セキュリティサーバは１台毎にデータベースの
配置方法を変えたり暗号化規格を指定できる。

Description

【発明の詳細な説明】

【０００１】

【発明に属する技術分野】この発明は、企業が使用する
コンピュータシステムでのアプリケーションプログラム
の承認処理をＩＣカードを使用して認証セキュリティの
精度をあげるためのソフトウェアおよびハードウェアに
関するものである。

【０００２】

【従来の技術】従来の一般企業におけるコンピュータシ
ステムでの認証方法では、ネットワークオペレーティン
グシステムにおける主に資源アクセスおよびファイルア
クセスによるアクセス制限による認証や、アプリケーシ
ョンプログラムでの処理権限パスワード検査、磁気カー
ドによるＩＤ照合、印鑑画像照合による処理担当者の認
証などが行われてきた。もちろん、厳重なセキュリティ
ーが必要な研究所、金融機関や軍関連などでは、音声認
識、指紋認識、網膜認識などの認証技術も存在するが、
一般企業では費用とセキュリティの要求面で導入される
ことは少ない。現在ではネットワークでのグループウェ
アやワークフローが普及する中で承認や決済などの担当
者承認処理でその担当者を特定するための認証処理につ
いて高度な認証技術が必要になってきた。しかし、それ
らの認証処理をソフトウェアだけでなく認証装置を使用
した高度な認証システムとして構築するには、認証装置
に依存した高度なプログラミングが必要であり開発時間
や開発費用が莫大なものであり、アプリケーションプロ
グラムにおける認証処理では未だ手つかずの状態であ
る。従来の方法での問題点は、大きく分けて次の３つに
分けることができる。第一には、複数のパソコンから同
一ユーザ名およびパスワードで同時に処理かできたり、
パスワードを他人に知られて秘密データを覗かれたり、
磁気カードを複製されて不正アクセスされたりするセキ
ュリティの精度の問題（認証装置の未使用や認証装置の
認証精度が低いこと）、第二に、印鑑画像による照合処
理をする場合に処理時間が長いこと。第三に、開発する
場合にプログラミング負担が大きいこと、納期がかかる
こと、モジュール開発が複数人による分散開発が困難で
あること、さらに費用負担が大きいことである。

【０００３】

【発明が解決しようとする課題】したがって、一般企業
におけるコンピュータシステムでのアプリケーションプ
ログラムの認証処理で次のような問題を解決するために
発明したものである。（ア）ＩＣカード（プロテクトメモリ型およびＣＰＵ内
蔵型）を使用することで認証者の唯一性が確保すること
ができる。（イ）ＩＣカード（プロテクトメモリ型およびＣＰＵ内
蔵型）を使用することで、カードの盗難や複製からのア
クセスを防止することができる。（ウ）ＩＣカードの差し替えによる「なりすまし処理」
を防止できる。（エ）承認処理などを急に中断する場合やコンピュータ
から一時離れる場合に、プログラムの終了やネットワー
クログアウトをしないでもＩＣカードを抜くだけで処理
の中断ができる。（中座での不正アクセス防止）（オ）ＩＣカード装置を使用することで、印鑑画像照合
による処理時間などに比べると処理時間は数秒内で済み
処理時間の短縮ができる。（カ）ＩＣカードは、磁気カードのようにスライドさせ
て読む構造ではないのでリードエラーがでることは少な
く、ＩＣカードを挿入するだけの簡単アクセスが可能で
ある。（キ）認証セキュリティサーバと開発者ツールの提供に
より認証プロセス部分のプログラミングをしなくてもよ
く開発者の負担を軽減し、また開発費用の軽減および納
期の短縮をもたらすことができる。（ク）認証処理のプログラムを分割してモジュール開発
をすることができ、しかも分割開発した認証処理の一連
の処理としての連携検査を実行できるのでワークフロー
や複雑な認証処理を可能にした。また、分割したモジュ
ールを単独実行しようとしても動作しない。（ケ）認証セキュリティサーバに管理情報やアクセス情
報を保存していることで、これを利用した防犯システム
の構築や不正処理対抗手段を簡単に講じることができ
る。（コ）別に導入した認証セキュリティサーバを使用して
もデータをアクセスすることができない。また、ＩＤカ
ードを不正に新規作成したり変更しても使用できない。（サ）ＩＣカード装置が他の認証機器に比べて安価（原
価約１万円程度）でＩＣカードも比較的に安価（数１０
０円程度）に入手できるので、システムとして非常に低
価格で高度な認証セキュリティが実現できる。

【０００４】

【課題を解決するための手段】いま、その構成をまずハ
ードウェアについて説明すると（ア）認証処理に使用するパソコンは、ネットワークの
クライアントでもスタンドアローン型のシステム構成で
もよい。（イ）このパソコンには、ＩＣカード装置が取り付けら
れていてリードおよびライトができるものとする。ただ
し、ＩＣカード装置はパソコンの外部でも内部ベイでも
よいが、セキュリティーを高めるためには内部に取り付
ける方を望む。接続用ケーブルには、シリアルまたはパ
ラレルケーブルを使用して接続する。（ウ）ここで使用するＩＣカードの種類は、プロテクト
メモリ型またはＣＰＵ付メモリカードとする。次に、認証処理のための準備や手順について説明すると（ア）認証セキュリティサーバをネットワークサーバま
たは認証処理をする必要があるスタンドアローン型のパ
ソコンに導入する。（イ）「ＩＣカード発行／保守用ＡＰＵを使用してＩＣ
カードを唯一になるように発行する。また、ＩＣカード
の無効なども同ＡＰＩを使用する。このＡＰＩでは、同
時にＩＣカード発行情報（ＩＣカード種類、所有者情
報、発行日時、発行者コード、発行コンピュータ名、有
効年月日、有効区分、認証セキュリティサーバ識別コー
ドなど）を認証セキュリティサーバに記録する。（ウ）「権限グループ作成／保守用ＡＰＩ」を使用し
て、役職に対して権限グループを作成したり、新たに特
定処理のための権限グループを作成する。（エ）開発するアプリケーションプログラムの処理権限
をプログラムＩＤ毎に役職、グループ、個人に対して
「処理権限付与／保守用ＡＰＩ」を使用して使用するＩ
Ｃカードの種類、暗号化の種類、権限モード参照、登
録、変更、削除）（設定する。この内容は、認証セキュ
リティサーバに保存され保守および管理される。（オ）開発しようとする認証アプリケーションプログラ
ムがＩＣカードによる認証がされた場合に、処理プログ
ラムを起動する「認証処理プログラム起動チェック用Ａ
ＰＩ」を使用したり、さらに認証処理結果をデータとし
て書き出す場合に「認証処理プログラム実行チェック用
ＡＰＩ」を使用してアプリケーションプログラムを開発
する。また、認証処理の最後は「認証処理プログラム終
了用ＡＰＩ」を使用して後処理を実行する。（カ）開発されたアプリケーションプログラムを実行す
る。次に、専用アプリケーションプログラムインターフェー
スが提供する認証認証処理のプロセスを説明すると（ア）開発アプリケーションプログラムである認証処理
を起動するプログラム（ＩＣカード挿入指示画面）を実
行する。（イ）ＩＣカードから所有者（ＩＤ）情報を読みとり、
ＩＣカード所有者の認証検査を実行する。ここでの検査
方法は、所有者ＩＤのチェックデジット方式と唯一チェ
ック方式（ＰＩＮ方式または認証セキュリティサーバ照
合）を併用する。認証されなければ処理を終了する。（ウ）ＩＣカードより認証セキュリティサーバ識別番号
およびロケーション情報を読みとりそれて対応する認証
セキュリティサーバに問い合わせて、ＩＣカードの所有
者がそのプログラムに対する処理権限を現時点で有する
かどうかの検査をする。権限がなければ、処理を終了す
る。（エ）処理日時、プログラム名、処理担当者、処理状
態、処理コンピュータ名などの情報を認証セキュリテイ
サーバに書き込む。（オ）開発アプリケーションプログラムである認証処理
プログラムの起動許可のためのキーを互いに異なった１
対のキーを指定した暗号化規格で暗号化して作成する。
（暗号キーＡ、暗号キーＢ）（カ）所有者情報とＩＣカードのＩＤ情報と照合検査を
した後、問題がなければ１対の暗号キーＢの片方をＩＣ
カードに書き込む。（キ）暗号キーＡ、処理日時、処理コード、処理担当
者、処理状態、処理コンピュータ名などの情報を認証セ
キュリテイサーバに書き込む。（ク）開発アプリケーションプログラムの承認処理プロ
グラムに暗号キーＡ、起動プログラム名、処理担当者、
処理開始時刻、処理有効時間、処理コンピュータ名情報
をリンク情報として渡し起動する。（ケ）開発アプリケーションプログラムの承認処理プロ
グラムでは、ＩＣカードを読んで（イ）と同様の認証検
査を実行するとともに処理担当者とＩＤ情報との照合検
査および暗号キーの検査およびペア照合検査を実行す
る。どこの検査に問題があっても処理を終了する。（コ）承認処理でのデータ更新（新規作成、修正、削
除）を行う開発アプリケーションプログラムを起動させ
た場合には、ＩＣカードを読んで（イ）と同様の認証検
査を実行するとともに処理担当者とＩＤ情報との照合検
査および暗号キーの照合検査を実行する。どこの検査に
問題があっても処理を終了する。（サ）ＩＣカードより暗号キーを削除し、処理プログラ
ム名、処理終了時刻、処理コンピュータ名を暗号化して
記録する。（シ）暗号キーＡ、処理日時、処理時間、プログラム
名、処理担当者、処理状態、処理コンピュータ名などの
情報を認証セキュリテイサーバに書き込む。（ス）処理を終了する。この認証処理のプロセスは、一部が省略して使用される
場合があるためにＡＰＩを３つに分割して、それらを組
み合わせても使用できるようにしてある。「認証処理プ
ログラム起動チェック用ＡＰＩ」では、上記の（ア）か
ら（ケ）までのプロセスを、また「認証処理プログラム
実行チェック用ＡＰＩ」では、（コ）のプロセスを、さ
らに「認証処理プログラム終了用ＡＰＩ」では（サ）か
ら（ス）までのプロセスを簡単な関数（ＡＰＩ）で実現
することができる。これらのＡＰＩでＩＣカードまたは
認証セキュリティサーバへの書き込みや読み込みについ
ては、指定した暗号化方式で暗号化または復号化する内
部モジュールを持つ。

【０００５】

【発明の実施の形態】次に本発明の実施の形態を述べる
と、スタンドアローン型で認証セキュリティサーバとＩ
Ｃカード装置を導入し、そのパソコン上で稼動する認証
アプリケーションプログラムでＩＣカードを使用するこ
とで、処理担当者の唯一認証や中断処理に対する終了処
理、ＩＣカード発行／保守処理などの高度なセキュリテ
ィを実現することができる。また、ネットワーク上でも
同様にネットワークサーバ上に認証セキュリティサーバ
を導入し、クライアントにＩＣカード装置と認証アプリ
ケーションプログラムを稼動することもできる。認証ア
プリケーションＡＰＩを使用して、自社開発するたけで
なく市販用に開発した汎用パッケージソフトウェア（パ
ソコンバンキングも含む）として販売することもでき
る。また、ワークフローやグループウェアのミドルウェ
ア製品と組み合わせて使用することもできる。認証セキ
ュリティサーバと専用アプリケーションインターフェー
スの構成、または認証プロセスについての考え方として
も利用することができる。また、認証セキュリティサー
バを簡略化してＣＰＵ付きＩＣカードにこの機能を内蔵
させてもよい。

【０００６】

【発明の効果】だから、コンピュータシステムにおける
高度な認証処理システムがＩＣカードとこの認証セキュ
リティサーバおよび専用ＡＰＩの提供で、安価で短時間
で高度な専門知識を必要とせずに開発でき高度な認証シ
ステムを構築できるのである。

【図面の簡単な説明】

【図１】認証セキュリティサーバと専用ＡＰＩと開発ア
プリケーションプログラムとの関係

【図２】認証プロセスと検査内容

【図３】ＩＣカード発行／保守用ＡＰＩの入出力（Ｉ／
Ｏ）関連図の例入力情報および出力情報は、変更または
追加されるものである。

【図４】権限グループ作成／保守用ＡＰＩの入出力（Ｉ
／Ｏ）関連図の例入力情報および出力情報は、変更また
は追加されるものである。

【図５】処理権限付与／保守用ＡＰＩの入出力（Ｉ／
Ｏ）関連図の例入力情報および出力情報は、変更または
追加されるものである。

【図６】認証処理プログラム起動チェック用ＡＰＩの入
出力（Ｉ／Ｏ）関連図の例入力情報および出力情報は、
変更または追加されるものである。

【図７】認証処理プログラム実行チェック用ＡＰＩの入
出力（Ｉ／Ｏ）関連図の例入力情報および出力情報は、
変更または追加されるものである。

【図８】認証処理プログラム終了用ＡＰＩの入出力（Ｉ
／Ｏ）関連図の例入力情報および出力情報は、変更また
は追加されるものである。

【図９】認証セキュリティサーバ管理者用ＡＰＩの入出
力（Ｉ／Ｏ）関連図の例入力情報および出力情報は、変
更または追加されるものである。

【図１０】ログアクセス用ＡＰＩの入出力（Ｉ／Ｏ）関
連図の例入力情報および出力情報は、変更または追加さ
れるものである。

Claims

【特許請求の範囲】

【請求項１】アプリケーションプログラムの認証処理に
おけるＩＣカード対応認証セキュリティサーバに関する
ソフトウェアアーキテクチュア。（ア）ＩＣカードを使用してアプリケーションプログラ
ムでの処理権限のチェックや処理状態管理のための専用
の認証セキュリティサーバとする。（イ）この認証セキュリティサーバは、市販されている
データ構造ではない暗号化されたバイナリ型のデータベ
ースおよびこのデータベースをアクセスするデータベー
スエンジンで構成する。（ウ）この認証セキュリティサーバには、一般のアプリ
ケーションプログラムインターフェース（以下ＡＰＩと
略す）とは違う専用のプログラムインターフェース（請
求項２）を開発アプリケーションプログラムの開発者用
に提供する。（エ）この認証セキュリティサーバへのアクセスやＩＣ
カードの発行、無効、情報変更などの処理は、この処理
の実行を承認された人が専用のＩＤカードを使用しての
み実行できる。ただし、この承認処理の資格を他の人に
与えることはできる。（オ）この認証セキュリティサーバには、ＩＣカード所
有者情報や処理権限情報の基本データベースの他に、Ｉ
Ｃカード使用時の場所（コンピュータ名）、処理時刻、
処理担当者、プログラムＩＤ、処理結果などの情報をロ
グとして保存することができる。（カ）この認証セキュリテイサーバのデータベースでの
データ配置方法およびアクセスエンジンのアクセス方法
は、サーバ１台毎に唯一性を有する。以上のように構成されたサーバシステム。
【請求項２】アプリケーションプログラムにおける認証
処理でＩＣカードによる認証用アプリケーションプログ
ラムインターフェース（以下ＡＰＩと略す）。（ア）ＩＣカード発行／保守用ＡＰＩ（イ）権限グループ作成／保守用ＡＰＩ（ウ）処理権限付与／保守用ＡＰＩ（エ）認証処理プログラム起動チェック用ＡＰＩ（オ）認証処理プログラム実行チェック用ＡＰＩ（カ）認証処理プログラム終了用ＡＰＩ（キ）認証セキュリティサーバ（請求項１）管理者用Ａ
ＰＩ（ク）ログアクセス用ＡＰＩ