JP2004153300A

JP2004153300A - インターネットアクセス管理システム

Info

Publication number: JP2004153300A
Application number: JP2002312842A
Authority: JP
Inventors: Takahiko Izuno; 貴彦伊津野; Itaru Tamura; 至田村; Shigeru Nonami; 成野波; Yasuji Uchibori; 保治内堀
Original assignee: Osaka Gas Co Ltd
Current assignee: Osaka Gas Co Ltd
Priority date: 2002-10-28
Filing date: 2002-10-28
Publication date: 2004-05-27

Abstract

【課題】ブラウザフォンを用いた外部から内部システムへのアクセスにおいて、発信元の識別をさらに正確に行うことでそのセキュリティを向上させた、インターネットアクセス管理技術を提供すること。
【解決手段】電話回線網２ｆを用いた回線交換通信を通じてブラウザフォン１から発信元のブラウザフォン固有情報と発信者固有情報を取得する受信部６０と、ブラウザフォン固有情報と発信者固有情報に基づいて発信元の認証を行うとともに認証された発信元に対するアクセス許可を一時的に記録する認証部４１と、発信元に対するアクセス許可が記録されている限り、インターネット２ｃを用いたパケット交換通信を通じての該当ブラウザフォンから内部システムへのアクセスを許可する内部アクセス管理部４２とを備えているインターネットアクセス管理システム。
【選択図】図３

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットを介してのパケット交換通信と電話回線網を介しての回線交換通信が可能なブラウザフォンを用いて外部から内部システムにアクセスする発信元の認証を行った後に内部システムへのアクセスを許可するインターネットアクセス管理技術に関する。
【０００２】
【従来の技術】
この出願においてブラウザフォンなる用語は広義に用いられており、「ｉ−ｍｏｄｅ」（登録商標）などの携帯ＩＰ接続サービスの利用が可能な携帯電話だけではなく、ＩＰ接続サービスが利用できるＰＨＳや電話機能付きＰＤＡ、さらには「Ｌ．ｍｏｄｅ」（登録商標）を採用した固定電話なども当然含まれており、パケット交換通信網と回線交換通信網のいずれを介しても通信／通話可能で、ダウンロードされたデータを表示するディスプレイを備えた通信機器を意味する。そのような通信機器の代表格が携帯電話であるので、この出願において単に携帯電話を称することがあっても、特別に定義しない限り上述したようなブラウザフォンを指す。
【０００３】
ユーザが携帯電話を使ってインターネットを通じて外部から内部システムにアクセスする場合、第３者の不正アクセスを防止するため、ユーザを識別するためにパスワードなどのユーザ識別コードが利用されているが、インターネットを通じてのパスワード入力だけによるセキュリティは脆弱であることが以前から指摘されている。このため、このような単純なパスワード入力によるアクセス管理に代えて、パスワード入力によって認識された発信元に対してその発信元の携帯電話にワンタイムパスワードのような秘密コードをメールを通じて送り込み、この秘密コードをアクセスキーとしてその携帯電話から内部システムへのアクセスを許可する技術が知られている（例えば、特許文献１参照。）。この技術では、パスワードと秘密コードといった２つの認証情報を時間差をもって使用することでそのセキュリティを高めているが、両方の認証情報がインターネットを流れることから、インターネット上での情報漏洩の問題が相変わらず残っている。
【０００４】
上記の公知技術がもつ問題点を解決するために、インターネットを介して携帯電話からユーザ識別情報を用いたログイン要求があると、ワンタイムＩＤをログイン不可状態で生成し、ユーザ識別情報に対応付けしてユーザ認証データベースに登録すると共にワンタイムＩＤを携帯電話１へ返信し、次に電話回線網を介した回線接続後、ユーザ識別情報をユーザに発声させて音声認識されたユーザ識別情報に対応した声紋情報と発声されたユーザ識別情報との声紋照合を行い、認証できたときにワンタイムＩＤをログイン可状態に変更することによって、ユーザ認証されたワンタイムＩＤを用いた携帯電話の自動ログインを実現する技術が知られている（例えば、特許文献２参照。）。なお、この公知技術ではユーザ識別情報としては、社員ＩＤや会員番号や電話番号などが提示されている。この技術では、ユーザ認証においてインターネットより遙かに秘匿特性に優れた電話回線網を利用してユーザ識別情報を送信させているので、全ての情報のやりとりをインターネットで行うよりそのセキュリティが高くなる。しかしながら、外部から内部システムにアクセスする発信元の認証をユーザ識別情報のみで行っており、声紋照合を行ったとしても周波数特性の悪い電話回線網を流れる音声であることから、なりすましによる不正アクセス等に対しては脆弱である。
【０００５】
【特許文献１】
特開２００２−００７３４５号公報（段落番号１７−２４、第３図、第４図）
【０００６】
【特許文献２】
特開２００２−０２４１８２号公報（段落番号１２−３５、第１図、第２図）
【０００７】
【発明が解決しようとする課題】
上記実状に鑑み、本発明の課題は、ブラウザフォンを用いた外部から内部システムへのアクセスにおける電話回線網を用いたユーザ認識プロセスにおいて、発信元の識別をさらに正確に行うことでそのセキュリティを向上させた、インターネットアクセス管理技術を提供することである。
【０００８】
【課題を解決するための手段】
上記課題を解決するため、インターネットを介してのパケット交換通信と電話回線網を介しての回線交換通信が可能なブラウザフォンを用いて外部から内部システムにアクセスする発信元の認証を行った後に内部システムへのアクセスを許可する、本発明によるインターネットアクセス管理システムでは、前記回線交換通信を通じて前記ブラウザフォンから発信元のブラウザフォン固有情報と発信者固有情報を取得する受信部と、前記ブラウザフォン固有情報と前記発信者固有情報に基づいて発信元の認証を行うとともに認証された発信元に対するアクセス許可を一時的に記録する認証部と、前記発信元に対するアクセス許可が記録されている限り、前記パケット交換通信を通じての該当ブラウザフォンから前記内部システムへのアクセスを許可する内部アクセス管理部とが備えられている。
【０００９】
この構成では、インターネットを介して外部から内部システムにアクセスしようとする発信元に対して認証を行う際、電話回線網を用いた回線交換通信を通じて発信元からブラウザフォン固有情報と発信者固有情報を受け取り、ブラウザフォン固有情報から使用ブラウザフォンを特定するとともに発信者固有情報から発信者を特定することで従来に比べて発信元の認証を厳しく行うことができ、その結果認証された発信元に対するアクセス許可を一時的に記録しておき、パケット交換通信を通じてのブラウザフォンから内部システムへのアクセスを許可し、ブラウザフォンからのインターネットアクセスを可能にしている。このように、インターネットに比べ高い秘匿性をもつ電話回線網を利用して発信元としてのブラウザフォンと発信者の両者を認証することで確実な発信元認証が実現する。
【００１０】
前記ブラウザフォン固有情報に関する特徴構成として提案されるのは、特許請求の範囲の請求項６に記載されているように、一般には契約者回線番号であるところの発信者番号であり、単純な設定だけで着信時に発信者番号を取得することができ、これによって発信元としてのブラウザフォンを簡単に特定することができる。また、前記発信者固有情報として好ましい実施形態は、予め特定者に割り当てられているユーザパスワードであり、このパスワードは電話キーの押し下げ信号解析や音声認識処理を通じて得ることができ、これによって発信元としての電話発信人を特定することができる。
【００１１】
一時的にアクセス許可を記録された特定発信元がインターネットを通じて内部システムへアクセスするためにログインしてきた際この発信元が一時的にアクセス許可された発信元であるかどうかを内部アクセス管理部はチェックするプロセスが必要となるが、このプロセスに関する本発明による１つの特徴構成として、特許請求の範囲の請求項２に記載されているように、内部システムへのログイン時に発信元識別コードを取り込み、この発信元識別コードに基づいて前記内部アクセス管理部が前記発信元に対するアクセス許可の有無をチェックすることが提案される。発信元識別コードとしては、例えば電話番号でもよく、このような発信元識別コードをキーとして該当アクセス許可が記録されているかどうかを簡単にチェックすることができる。アクセス許可は一時的に記録される、いわゆる時限的な許可書のようなものであるので、秘密性の少ない電話番号を発信元識別コードとして用いてもそれほど大きなセキュリティ上の問題は生じない。
【００１２】
本発明によるインターネットアクセス管理システムの１つの特徴構成として、特許請求の範囲の請求項３に記載されているように、前記認証部でアクセス許可が記録されたブラウザフォンに対して内部システムへアクセスするためのログイン情報を通知するメールサーバ部が備えられている。このログイン情報とは、内部システムへのログインの際に入力すべきキーコード等であり、このキーコードと記録されたアクセス許可とによって最終的な発信元認証を行うのである。
【００１３】
ここで用いられるログイン情報の典型としては、例えば、特許請求の範囲の請求項４に記載されているように、使い捨てパスワードとして知られるワンタイムパスワードが挙げられるが、このワンタイムパスワードはクライアント側つまりブラウザフォンで作成されるのではなく、サーバ側つまり内部アクセス管理部等で作成され、メールの形でブラウザフォンに送られる。このようなワンタイムパスワードはログオン時に自動的に入力することができるのでログイン操作が簡便化される。
【００１４】
本発明によるインターネットアクセス管理システムの１つの特徴構成として、特許請求の範囲の請求項５に記載されているように、ログイン情報として時限管理された仮のＵＲＬを採用することも可能である。つまり、実際の内部システムの情報を公開している真のＵＲＬにリンクされた仮の時限ＵＲＬを作成しておき、この仮のＵＲＬを受け取った発信元がブラウザを通じてこのＵＲＬを指定することで、結果的には真のＵＲＬに到達することができる。この仮のＵＲＬは時限管理されているので、もし第３者に知られたとしても短時間の内に無効となるため、高い安全性が得られる。仮のＵＲＬと真のＵＲＬのリンクの仕方としては、ＷＷＷサーバ部にそれ自体はよく知られたリダイレクト機能を設けるとよい。
【００１５】
なお、本発明は、上述したインターネットアクセス管理システムをコンピュータシステム上に実現するためのプログラムソフトやそのようなプログラムを記録した記録媒体をも対象としており、いずれにしても上述した作用効果が得られるものである。
本発明によるその他の特徴及び利点は、以下図面を用いた実施形態の説明により明らかになるだろう。
【００１６】
【発明の実施の形態】
図１には、携帯電話（ブラウザフォンの一種）１を用いた外部から内部システムへのアクセス要求時に、本発明によるインターネットアクセス管理システムの下で、この発信元としての携帯電話とその使用者の認証が高いセキュリティでもって行なわれる際の、模式的構成が示されている。この携帯電話１はパケット交換通信と回線交換通信が可能であり、パケット交換通信では、携帯電話１から送られたパケットは携帯電話１と無線通信を行う基地局２ａからゲートウエイ２ｂを中継点としてインターネットに代表されるパケット通信網２ｃを経て、事業所内のコンピュータテレフォニシステムの構成要素の１つであるルータ２ｄを中継点としてサーバシステム３に届けられ、サーバシステム３から携帯電話１への逆方向のパケットも前述の逆経路を辿って伝送され、回線交換通信では、基地局２ａから公衆電話網に代表される回線交換通信網２ｆの両端に位置する交換局２ｅと２ｇを中継点としてコンピュータテレフォニシステムの構成要素の１つである構内交換機（ＰＢＸ）２ｈの仲介の下で携帯電話１と事業所内電話機器との間の通信リンクが確立される。
【００１７】
この携帯電話１は、図２に示されるように、無線受信機能や無線送信機能を実装している無線制御部１１、変復調機能や音声コーデック機能を実装している信号処理部１２、回線交換方式やパケット交換方式などの通信プロトコルを実装している通信プロトコル処理部１３、通信プロトコルの環境下で動作する電子メールプログラムやインターネットブラウザプログラムを実装しているアプリケーション部１４、データ入力手段としてのキーマトリックス１ａやデータ表示手段としての液晶ディスプレイ１ｂなどを制御する入出力制御機能や日本語変換機能を実装しているユーザインターフェース部１５，及びこれらの構成要素をコントロールしているコントローラとしてのＣＰＵ１０から構成されている。
【００１８】
つまり、この携帯電話１はブラウザフォンとして機能するため、インターネット接続環境とインターネットブラウザプログラムが組み込まれており、キーマトリックス１ａを構成する種々のキーを操作することでインターネットを通じて種々のサーバにアクセスし、そこからＨＴＭＬファイルや画像ファイルなどをダウンロードし、レイアウトを解析して液晶ディスプレイ１ｂに表示することができる。また、フォームを使用してこの携帯電話１を使用しているユーザからデータをサーバに送信したり、各種プログラム言語で記述されたアプリケーションソフトを動作させたりすることも可能である。
【００１９】
図３には、前記携帯電話１との間の回線交換通信を通じて取得した発信元の携帯電話固有情報と発信者固有情報に基づいて発信元の認証を行うとともに、認証された発信元に対してはそのアクセス許可を一時的に記録し、このアクセス許可が記録されている発信元に限り、パケット交換通信、つまりインターネット２ｃを通じての該当携帯電話１を用いた内部システムへのアクセスを許可する、本発明によるインターネットアクセス管理システムを構築しているサーバシステム３のブロック図が示されている。
【００２０】
このインターネットアクセス管理システムとしてのサーバシステム３は、基本的には、インターネット２ｃを通じて携帯電話１とのデータ伝送を行うインターネットサーバユニット３０と回線交換通信網２ｆと構内交換機２ｈを通じて携帯電話１と通話するＣＴＩ（ＣｏｍｐｕｔｅｒＴｅｌｅｐｈｏｎｙＩｎｔｅｇｒａｔｉｏｎ）サーバユニット６からなる。インターネットサーバユニット３０は、ＷＷＷサーバ部３１、メールサーバ部３２、ＤＮＳサーバ部３３、アプリケーションサーバ部４、データベースサーバ部５を備えている。
【００２１】
ＣＴＩサーバユニット６は、ＰＢＸ２ｈを核とする事業所内の電話システムとインターネットサーバユニット３０との有機的な結合を行う、それ自体や公知の種々の構造を備えるとともに、本発明を特徴づける機能をハードウエア又はソフトウエアあるいはその両方で構築している。その代表的なものは、回線交換通信を介して回線リンクを確立した携帯電話１から発信元の固有情報を取得する受信部６０であり、この受信部６０には、かかってきた携帯電話１の発信者番号である契約者回線番号（電話番号）を携帯電話１の固有情報として取得するブラウザフォン固有情報受信部６１と、回線リンクを確立した携帯電話１のキーマトリックス１ａを発信者が操作することを通じて送信されてきたキーコード信号等を通じてこの発信者の固有情報（パスワードなど）を取得する発信者情報受信部６２が含まれている。
【００２２】
データベースサーバ部５は、この事業所内のサーバシステム３へのアクセスを許可している登録者の情報を管理するとともにログインしてきた発信元の認証時にデータを出力する認証データベース５１、このサーバシステム３へのアクセスを要求してきた発信元の認証が完了した際に該当発信元に対して与えるアクセス許可レコードを記録するアクセス管理データベース５２、営業情報やスケジュール情報など事業所で用いられる各種情報を格納しており発信元の最終的なアクセス先となる内部情報データベース５３などの各種データベースから構成されている。これらの各データベースはアプリケーションサーバ部４に実装された各種プログラムによって検索・抽出及び登録・更新等の管理が行われる。
【００２３】
認証データベース５１のデータファイル構造は、図４で模式的に示されているように、登録者ＩＤ、登録者名、所属、電話番号、パスワード、メールアドレスなどのフィールドを有している。アクセス管理データベース５２のデータファイル構造は、図５で模式的に示されているように、アクセス許可番号、登録者ＩＤ、有効期間、認証プロセスにおいて内部システムへのアクセスを許可された発信元のために発行されたワンタイムパスワードやワンタイムＵＲＬ（時限セッション識別子を含むＵＲＬ）などのログイン情報などのフィールドを有している。認証データベース５１とアクセス管理データベース５２とは、例えば登録者ＩＤなどの共通キーでもってリレーショナルな関係を構築しており、互いのレコードのデータをリンクすることが可能である。
【００２４】
インターネットサーバユニット３０を構成する、ＷＷＷサーバ部３１とメールサーバ部３２とＤＮＳサーバ部３３が有する機能はよく知られているので、ここでの説明は省略するが、アプリケーションサーバ部４は、本発明を特徴づける機能をハードウエア又はソフトウエアあるいはその両方で構築されており、その代表的なものとして、ＣＴＩサーバユニット６のブラウザフォン固有情報受信部６１によって取得された発信者番号（電話番号）と発信者情報受信部６２によって取得された発信者の固有情報（例えばパスワード）をＣＴＩサーバユニット６から受け取るとともにこれらの情報に基づいて認証データベース５１から特定レコードを検索抽出して発信元が登録された登録者が登録された携帯電話を利用しているかどうかをチェックする認証部４１と、認証部４１によって認証された発信元に対して発行されたアクセス許可を図５で示したようなレコードの形態でアクセス管理データベース５２に一時的に書き込むとともにこのアクセス許可が記録されている限り対応する発信元のＷＷＷサーバ部３１を通じての内部情報データベース５３へのアクセスを許可する内部アクセス管理部４２と、アクセス許可が発行された発信元に対してＷＷＷサーバ部３１を通じての内部情報データベース５３へのログイン時のアクセスキーとなるログイン情報を生成するログイン情報生成部４３が挙げられる。
【００２５】
ログイン情報生成部４３で生成されたログイン情報はＥメールの形式で記述され、メールサーバ部３２を通じてアクセス許可された発信元のメールアドレス先に、つまりその発信元である携帯電話１に送信される。発信元は受け取ったログイン情報をＷＷＷサーバ部３１を通じての内部システムへのログイン時にアクセスキーとして利用する。
【００２６】
なお、この実施の形態では、前記ログイン情報として、前述した特開２００２−７３４５号で説明されているような時限管理されたセッション識別子を付加したＵＲＬが採用されており、このＵＲＬでもって携帯電話１からアクセスしてきたデータロードリクエストに対してアクセス管理データベース５２に記録されているアクセス許可レコードからログイン情報をチェックして使用条件を満たしている場合正規のＵＲＬにリダイレクションして、内部情報データベース５３からデータをＷＷＷサーバ部３１を介して携帯電話１にロード可能にする。
【００２７】
次に、外部の携帯電話１から内部システムにアクセスする際まず電話回線網（回線交換通信網）２ｆを通じて発信元認証を行い、認証後該当携帯電話１に送ったログイン情報に基づいて携帯電話１によるインターネット（パケット交換通信網）２ｃを通じての内部システムへのアクセスを許可して内部システムのデータを携帯電話１にダウンロードする、上述した本発明によるインターネットアクセス管理システムの典型的な動作を、図６と図７を用いて以下に説明する。
【００２８】
ここでは、Ａ氏が外部から携帯電話１を使って内部情報データベース５３に格納されている情報を取り出すことにする。まず、Ａ氏は携帯電話１のキーマトリックス１ａを操作して、このＣＴＩサーバユニット６に通じる電話番号に電話をかける（＃０１）。この携帯電話１からの着信を受け取ったＰＢＸ２ｈはこの通話をＣＴＩサーバユニット６に転送する（＃０２）。この通話を受け取ったＣＴＩサーバユニット６においては、まずブラウザフォン固有情報受信部６１がこの通話の発信者番号である契約者回線番号（電話番号）を取得し（＃０３）、そして発信者情報受信部６２が携帯電話１のキーマトリックス１ａ操作によって送られてきたパスワードを取得する（＃０４）。なお、発信者であるＡ氏からパスワードを受け取るプロセスにおいては、音声ガイダンスによってパスワードの入力を促す構成を採用することが好ましい。また、キー入力の煩わしさを解消するためには、音声認識によるパスワード入力やＩＣカードによる自動パスワード入力を採用するとよい。もちろん、この認証用のパスワードとして声紋判定などを用いることも可能であり、ここでいうパスワードとは発信者を特定するための種々の認証形態を含んでいる。
【００２９】
ＣＴＩサーバユニット６において取得されたブラウザフォン固有情報としての電話番号と発信者固有情報としてのパスワードは認証部４１に転送される。認証部４１は受け取った電話番号とパスワード及びこれに基づいて認証データベース５１から読み出されたデータとから発信元の認証、つまり携帯電話１の電話番号が登録者ＩＤのもとで登録されたものであるかどうか、入力されたパスワードが登録者ＩＤのもとで登録されたものであるかどうかといった処理を行う（＃０５）。この認証プロセスにおいて発信元認証ができなかった場合許可されないアクセスと見なされ、この内部アクセス要求の破棄や通話の遮断といった不正アクセス処理がなされる（＃０６）。逆に、この認証プロセスにおいて発信元認証が成立した場合、発信元確認完了となり、この発信元に対するアクセス許可を発行して、そのアクセス許可レコードをアクセス管理データベース５２に書き込む（＃０７）。
【００３０】
認証部４１で発信元認証が完了してアクセス許可が発行されると、その発信元の登録者ＩＤがログイン情報生成部４３に転送され、そこで前述したセッション識別子を付加したＵＲＬ、つまりワンタイムＵＲＬがログイン情報として生成される（＃１０）。この実施形態では、このワンタイムＵＲＬは有効期間内であればインターネットサーバユニット３において正規のＵＲＬにリダイレクションされるものである。生成されたワンタイムＵＲＬはアクセス管理データベース５２に登録者ＩＤや有効期間などとともに書き込まれる（＃１１）。また、登録者ＩＤを検索キーとして認証データベース５１から発信元である携帯電話１のメールアドレスを読み出し（＃１２）、先に生成したワンタイムＵＲＬを埋め込んだこのメールアドレス宛のメールを作成する（＃１３）。作成されたメールはメールサーバ部３２を通じて該当携帯電話１に送信される（＃１４）。
【００３１】
携帯電話１側では、ワンタイムＵＲＬを埋め込んだメールが受信されるとこのメール内容が液晶ディスプレイ１ｂに表示されるので（＃２０）、Ａ氏は内部システムへのアクセスが許可されたことを知ることができる。Ａ氏は携帯電話１のキーマトリックス１ａを操作して、そのアプリケーション部１４に実装されているインターネットブラウザプログラムを起動し、インターネット２ｃを通じてメールに埋め込まれていたワンタイムＵＲＬでもってＷＷＷサーバ部３１にアクセスする（＃２１）。ＷＷＷサーバ部３１ないしはＤＮＳサーバ部３３ではこのＵＲＬのチェックを内部アクセス管理部４２に依頼する（＃２２）。内部アクセス管理部４２は受け取ったＵＲＬのセッション識別子の有効性をアクセス管理データベース５２から引き出された該当するアクセス許可レコードのデータからチェックする（＃２３）。このセッション識別子が有効であれば、この仮の時限ＵＲＬは正規のＵＲＬにリダイレクションされ（＃２４）、Ａ氏は正規のＵＲＬを通じてＷＷＷサーバ部３１から内部情報データベース５３にアクセスし（＃２５）、携帯電話１の液晶ディスプレイ１ｂに所望のデータを表示させることができる（＃２６）。セッション識別子が無効であれば、許可されないログインと見なされ、この内部システムへのアクセスを中止するといった不正アクセス処理がなされる（＃２７）。
【００３２】
なお、内部システムへのアクセスがユーザレベルに応じて区分けされている場合、仮の時限ＵＲＬとしてのワンタイムＵＲＬの作成時にそのアクセスレベル情報をも付加しておき、仮の時限ＵＲＬから正規のＵＲＬにリダイレクションする際アクセスレベル情報に応じてリダイレクション先を変更するような構成を採用してもよい。
【００３３】
上記の実施の形態では、認証部４１でアクセス許可が発行されると、ログイン情報生成部４３がログイン情報としてセッション識別子を付加したＵＲＬを生成していたが、これに代えて、図８に示すように、それ自体はよく知られたワンタイムパスワードを生成する構成を採用してよい（＃１１０）。このワンタイムパスワードはアクセス管理データベースに登録者ＩＤに書き込まれる（＃１１１）。さらに、登録者ＩＤを検索キーとして認証データベース５１から発信元である携帯電話１のメールアドレスを読み出し（＃１１２）、このメールアドレス宛の、先に生成したワンタイムパスワードを埋め込んだメールを作成する（＃１１３）。作成されたメールはメールサーバ部３２を通じて該当携帯電話１に送信される（＃１１４）。
【００３４】
メールによってワンタイムパスワードを受け取ったＡ氏はメール画面を見ながら（＃１２０）、携帯電話１のキーマトリックス１ａを操作して、そのアプリケーション部１４に実装されているインターネットブラウザプログラムを起動し、インターネット２ｃを通じてＷＷＷサーバ部３１のログイン用ページにアクセスし（＃１２１）、携帯電話１の液晶ディスプレイ１ｂにログイン用画面を表示させる（＃１２２）。このログイン用画面を通じてワンタイムパスワードを送信すると、このワンタイムパスワードはＷＷＷサーバ部３１から内部アクセス管理部４２に転送される（＃１２３）。内部アクセス管理部４２は受け取ったワンタイムパスワードの有効性をアクセス管理データベース５２から引き出された該当するアクセス許可レコードのデータからチェックする（＃１２４）。このワンタイムパスワードが有効であれば、このログインは許可され（＃１２５）、Ａ氏はＷＷＷサーバ部３１から内部情報データベース５３にアクセスし（＃１２６）、携帯電話１の液晶ディスプレイ１ｂに所望のデータを表示させることができる（＃１２７）。ここでは、ワンタイムパスワードが無効であれば、許可されないログインと見なされ、この内部システムへのアクセスを中止するといった不正アクセス処理がなされる（＃１２８）。
【００３５】
上述した２つの実施の形態では、一時的にアクセス許可を記録された特定発信元がインターネット２ｃを通じて内部システムへアクセスするためにログインしてきた際この発信元が一時的にアクセス許可された発信元であるかどうかをチェックするため、予め認証された発信元に対して内部システムへのアクセスを許すログイン情報をメールを用いて送付していたが、それらとは異なる形態として、発信元の内部システムへのログイン時に電話番号などの発信元識別コードを入力してもらい、この発信元識別コードに基づいて前記内部アクセス管理部が前記発信元に対するアクセス許可の有無をチェックするような構成も可能である。
【００３６】
本発明によるインターネットアクセス管理システムの重要な点は、インターネット２ｃに比べ高い秘匿性をもつ電話回線網としての回線交換通信網２ｆを利用して発信元としてのブラウザフォンと発信者の両者を認証し、その結果認証された発信元だけがインターネットを利用したデータアクセスを許されるものであり、そのためにサーバシステム内に構築されているインターネットサーバユニット３０やＣＴＩサーバユニットの構成は任意に変更可能であり、例えば、小規模なシステムでは１台のネットワークコンピュータとＣＴＩ装置の組み合わせで実現可能であり、大規模なシステムでは前述した全てのサーバ部を個別のコンピュータで実現することも可能である。
【図面の簡単な説明】
【図１】本発明によるインターネットアクセス管理システムを用いた携帯電話から内部システムへのアクセスを行う形態を模式的に説明する説明図
【図２】本発明で用いられる携帯電話の一例を示す機能ブロック図
【図３】本発明で用いられるインターネットアクセス管理システムの機能ブロック図
【図４】認証データベースのデータ構造を説明する説明図
【図５】アクセス管理データベースのデータ構造を説明する説明図
【図６】本発明によるインターネットアクセス管理システムを用いた携帯電話から内部システムへのアクセスの流れを説明する接続手順図
【図７】本発明によるインターネットアクセス管理システムを用いた携帯電話から内部システムへのアクセスの流れを説明する接続手順図
【図８】別実施形態でのインターネットアクセス管理システムを用いた携帯電話から内部システムへのアクセスの流れを説明する接続手順図
【符号の説明】
１ブラウザフォン（携帯電話）
２ｃインターネット（パケット交換網）
２ｆ電話回線網（回線交換網）
６ＣＴＩサーバユニット
３０インターネットサーバユニット
３１ＷＷＷサーバ部
３２メールサーバ部
４１認証部
４２内部アクセス管理部
４３ログイン情報生成部
５１認証データベース
５２アクセス管理データベース
５３内部情報データベース
６０発信元情報受信部
６１ブラウザフォン固有情報受信部
６２発信者情報受信部

Claims

インターネットを介してのパケット交換通信と電話回線網を介しての回線交換通信が可能なブラウザフォンを用いて外部から内部システムにアクセスする発信元の認証を行った後に内部システムへのアクセスを許可するインターネットアクセス管理システムにおいて、
前記回線交換通信を通じて前記ブラウザフォンから発信元のブラウザフォン固有情報と発信者固有情報を取得する受信部と、
前記ブラウザフォン固有情報と前記発信者固有情報に基づいて発信元の認証を行うとともに認証された発信元に対するアクセス許可を一時的に記録する認証部と、
前記発信元に対するアクセス許可が記録されている限り、前記パケット交換通信を通じての該当ブラウザフォンから前記内部システムへのアクセスを許可する内部アクセス管理部とを備えていることを特徴とするインターネットアクセス管理システム。
前記内部システムへのアクセスのためのログイン情報として前記発信元のログイン時に発信元識別コードを取り込み、この発信元識別コードに基づいて前記内部アクセス管理部は前記発信元に対するアクセス許可の有無をチェックすることを特徴とする請求項１に記載のインターネットアクセス管理システム。
前記認証部でアクセス許可が記録されたブラウザフォンに対して前記内部システムへアクセスするためのログイン情報を通知するメールサーバ部を備えていることを特徴とする請求項１に記載のインターネットアクセス管理システム。
前記ログイン情報はワンタイムパスワードであることを特徴とする請求項３に記載のインターネットアクセス管理システム。
前記ログイン情報は時限管理されたＵＲＬであることを特徴とする請求項３に記載のインターネットアクセス管理システム。
前記ブラウザフォン固有情報が発信者番号であり、前記発信者固有情報がユーザパスワードであることを特徴とする請求項１〜５のいずれかに記載のインターネットアクセス管理システム。