JP2009238125A - 認証トークン、利用機器および認証システム - Google Patents

Abstract

【課題】利用者に関する属性を容易かつ安全に設定する。
【解決手段】認証トークン１は、利用者にサービスを提供する利用機器２と接続され、利用者の生体情報を読み取る生体情報読取部１３を具備する。記憶部１２は、利用機器２から送信されてきた利用者に関する属性を含む認証情報１２１と、あらかじめ登録された利用者の生体情報である登録生体情報１２２とを対応付けて記憶する。認証部１１は、生体情報読取部１３で読み取った生体情報と、記憶部１２内の登録生体情報１２２とが一致する場合に、利用者の認証が成功したと判別する。認証に成功したと判別した場合、通信部１４は、登録生体情報１２２に対応付けられた認証情報１２１を利用機器２に送信する。
【選択図】図２

Description

本発明は、認証トークン、利用機器および認証システムに関する。

近年、利用者の生体情報を用いた認証が成功した場合に、利用者に所定のサービスを提供する技術が多数提案されている。このような生体情報（例えば、指紋など）を用いた一般的な認証技術では、生体情報読取用のセンサで読み取った生体情報を用いて利用者を認証する。

例えば、利用者の指紋に基づいて指紋認証を行う場合、ＰＣ（Personal Computer）や携帯端末などの利用者にサービスを提供するそれぞれ独立した利用機器に、指紋センサを個別に設けておく。そして、指紋センサで読み取った指紋と、利用機器にあらかじめ登録されている指紋情報が示す利用者の指紋との比較による利用者の認証が成功した場合、利用機器がサービスを提供する。

また、認証トークンなどが読み取って送信してきた生体情報を用いて、利用機器または利用機器以外の外部装置が利用者の認証を行い、認証の成功時にサービスを提供する技術も考えられている。

例えば、ドアなどの利用機器に設置された指紋センサで読み取った指紋と、あらかじめ記憶されている指紋情報とをホストコンピュータにて比較することで利用者を認証するシステムが考えられている。このシステムでは、認証が成功した場合、ホストコンピュータが、ドアの鍵を開錠するよう指示する。また、ホストコンピュータは、どのドアがどの利用者によって開錠されたかを示す履歴を管理する。

また、例えば、指紋センサで読み取った指紋情報に応じて定めた相関ファクタと、所定のコード（例えば、固定コードなど）とから認証トークンが生成した機密保護トークンを用いて、サービス提供側の利用機器が利用者の認証を行い、認証の成功時に利用者にサービス使用を許可する本人確認装置が考えられている（例えば、特許文献１参照。）。

また、生体情報による認証が認証トークンにて成功した場合、認証トークンから送信されてきた所定情報を用いて利用機器がサービスを提供する技術も考えられている。

例えば、生体情報を用いた認証の成功時に認証トークンから利用機器へとパスワードおよびトークンＩＤを送信し、さらに、利用機器におけるパスワード認証が成功した場合、利用者にサービスを提供する認証システムが考えられている（例えば、特許文献２参照。）。

また、生体情報による認証の成功時に、認証結果とユーザＩＤとパスワードと個人情報とを認証トークンから利用機器へと送信し、利用機器にて認証結果が「成功」を示すことを識別した際に、利用者にサービスを提供する認証システムが考えられている（例えば、特許文献３参照。）。

上述した各システムでは、利用機器（例えば、ＰＣやドア）を使用しようとする場合、認証に成功した利用者のうちで所定の条件（例えば、職務上の権限）を満たす者に対してのみ利用可能に設定することができる。これは、各利用者に対して、各利用者の権限に対応したアクセスレベルを示す属性を設定し、利用者の属性が利用機器の使用可能なアクセスレベルである場合、使用を許可することで実現される。これにより、アクセス対象のセキュリティレベルに応じて利用者を限定し、より高度なセキュリティシステムが実現される。
特開平０７−０５０６６５号公報 特開２００２−２８１０２８号公報 特開２００２−２７８６４０号公報

しかしながら、特許文献１、２および３に開示された各技術や、上述の各個独立した利用機器が利用者を直接認証してサービスを直接提供する技術などによれば、利用者の追加や属性の変更を行う場合、利用者が使用する利用機器すべての設定を個別に変更しなければならないという問題点がある。例えば、企業や教育機関などのように多数の利用機器が設置されている施設では、利用者の属性の設定を変更するために膨大な時間がかかってしまうという問題点がある。

また、認証成功時にドアを開錠する上述のシステムのように、サービスを提供する利用機器へのアクセスをネットワークを介して集中管理する技術では、アクセス制限を適用するすべての利用機器をネットワークに接続する必要がある。そのため、利用機器がネットワークに常時接続されていない場合には、当該利用機器に対してアクセス制限を適用することが困難であるという問題点がある。

このような問題を回避するために、アクセスレベルの高い利用機器に対して、その使用許可を受けた利用者が使用可能な共通のパスワードを設け、許可を受けた利用者が臨時に共通のパスワードを用いてアクセスしたり、マスタキーの利用などで対応したりすることが考えられる。しかし、このような方法では、許可を受けた利用者が不正に使用する場合には、共通のパスワードやマスキーがセキュリティホールとなってしまう。そのため、生体情報による本人認証を導入しているにも関わらず、セキュリティ上の重大な問題を引き起こすおそれがあるという問題点がある。

さらに、生体情報を用いるシステムでは、認証に用いる生体情報の登録に失敗したり、認証に失敗したりするおそれがあるという問題点がある。例えば、指紋センサであれば、利用者の指の状態により指紋情報が登録できなかったり、指紋情報が登録できた場合でも認証が失敗してしまう場合が少なからず存在する。このような問題を回避するために、上述した共通のパスワードやマスタキーを公開した場合、セキュリティホールとなってしまう。

このように、生体情報を用いた認証システムでは、セキュリティ向上に有効であるにも関わらず、却って、セキュリティが低下してしまったり、利便性が損なわれてしまったりするという問題がある。

本発明は、上述した課題を解決する認証トークンを提供することを目的とする。

上記課題を解決するために、本発明の認証システムは、利用者にサービスを提供する利用機器と認証トークンとが接続された認証システムであって、前記認証トークンは、前記利用者の生体情報を読み取る生体情報読取部と、前記利用機器から送信されてきた前記利用者に関する属性を示す属性情報と、あらかじめ登録された前記利用者の生体情報である登録生体情報とを対応付けて記憶する第１記憶部と、前記生体情報読取部で読み取った生体情報と前記登録生体情報とが一致する場合に、利用者の認証が成功したと判別する認証部と、前記認証部が前記認証が成功したと判別した場合、前記登録生体情報に対応付けられている前記属性情報を前記利用機器に送信する第１通信部とを有し、前記利用機器は、前記利用者の属性情報と、前記利用者が使用可能なサービスとを対応付けて記憶する第２記憶部と、前記第１通信部から送信されてきた前記利用者の属性情報を受信する第２通信部と、前記第２通信部が受信した前記属性情報が示す利用者の属性を識別する属性識別部と、前記属性識別部が識別した前記属性に対応する前記第２記憶部が記憶するサービスを提供するサービス提供部とを有する。

上記課題を解決するために、本発明の認証トークンは、利用者にサービスを提供する利用機器と接続された認証トークンであって、前記利用者の生体情報を読み取る生体情報読取部と、前記利用機器から送信されてきた前記利用者に関する属性を示す属性情報と、あらかじめ登録された前記利用者の生体情報である登録生体情報とを対応付けて記憶する記憶部と、前記生体情報読取部で読み取った生体情報と前記登録生体情報とが一致する場合に、利用者の認証が成功したと判別する認証部と、前記認証部が前記認証が成功したと判別した場合、前記登録生体情報に対応付けられている前記属性情報を前記利用機器に送信する通信部とを有する。

また、本発明の認証トークンは、他の認証トークンと接続されており、記憶部は、他の認証トークンから送信されてきた属性を示す移譲属性情報を、属性情報とともに記憶してもよい。

また、本発明の認証トークンの記憶部は、移譲属性情報を記憶する対象とする他の認証トークンが登録されている属性移譲判別情報を記憶しており、移譲属性情報を送信してきた他の認証トークンが属性移譲判別情報に登録されている場合、移譲属性情報を記憶してもよい。

また、本発明の認証トークンの通信部は、認証が成功したと認証部が判別した場合、記憶部が記憶している移譲属性情報と属性情報とを利用機器に送信してもよい。

上記課題を解決するために、本発明の利用機器は、利用者の属性情報を送信する認証トークンと接続された利用機器であって、前記利用者の属性情報と、前記利用者が使用可能なサービスとを対応付けて記憶する記憶部と、前記認証トークンから送信されてきた前記利用者の属性情報を受信する通信部と、前記通信部が受信した前記属性情報が示す利用者の属性を識別する属性識別部と、前記属性識別部が識別した前記属性に対応する前記記憶部が記憶するサービスを提供するサービス提供部とを有する。

本発明によれば、利用者にサービスを提供する利用機器と認証トークンとが接続された認証システムにおいて、認証トークンは、利用機器から送信されてきた利用者に関する属性を示す属性情報と、あらかじめ登録された利用者の生体情報である登録生体情報とを対応付けて記憶し、読み取った生体情報と登録生体情報とが一致する場合に、利用者の認証が成功したと判別し、認証が成功したと判別した場合、登録生体情報に対応付けられている属性情報を利用機器に送信し、利用機器は、利用者の属性情報と、利用者が使用可能なサービスとを対応付けて記憶し、認証トークンから送信されてきた利用者の属性情報を受信し、受信した前記属性情報が示す利用者の属性を識別し、識別した属性に対応するサービスを提供する構成としたため、生体情報を用いて利用者を認証するシステムにおいて、利用者に関する属性を容易かつ安全に設定できる。

（実施形態１）
以下、本発明の実施形態１に従った認証システム（認証トークン、利用機器を含む）を説明する。

まず、実施形態１の認証システムの全体構成を説明する。

図1に示すように、この認証システムは、認証トークン１と、利用機器２とから構成される。

認証トークン１は、利用者が携帯可能な程度の大きさを有するトークンである。認証トークン１の数は任意でよい。

認証トークン１は、センサ（後述する生体情報読取部１３）によって利用者の生体情報を読み取り、読み取った生体情報を用いて利用者の認証を行う。

ここで、生体情報の形式については、特に限定しない。例えば、光彩、掌形、静脈などの一般的に用いられている生体情報でよいが、この説明例では、生体情報が「指紋」である場合を例に挙げて説明する。

また、認証トークン１は、利用者の認証が成功した場合、後述の属性情報３０２を、利用機器２に送信する。

なお、認証トークン１と利用機器２との間の通信形態については、特に限定しない。例えば、通信形態が無線通信方式である場合、一般的な無線通信インタフェースを介した無線通信や、赤外線通信を行ってもよい。また、通信形態が有線通信方式である場合、ＵＳＢ（Universal Serial Bus）などの通信インタフェースやイーサネットなどを介した有線通信を行ってもよい。

利用機器２は、例えば、所定の情報処理装置で構成される。利用機器２は、認証トークン１の利用者が利用の対象とする機器である。

利用機器２は、認証トークン１から送信されてきた認証情報１２１に基づいて、所定のサービスの使用を利用者に許可する。以下では、利用機器２は、電子メールに関するサービスを利用者に提供する場合を例に挙げて説明する。

また、利用機器２は、認証トークン１が利用者の属性を更新するための情報を、認証トークン１に送信する。

つぎに、認証トークン１の構成について詳細に説明する。

図２に示すように、認証トークン１は、認証部１１と、記憶部１２と、生体情報読取部１３と、通信部１４とを有する。

認証部１１は、生体情報読取部１３が読み取った利用者の「生体情報」と、記憶部１２にあらかじめ記憶されている「登録生体情報１２２」とが一致するかどうかに基づいて、利用者の認証が「成功」したかどうか（認証の成功または失敗）を判別する。

この説明例においては、生体情報読取部１３が読み取った利用者の「生体情報」は、指紋情報に相当する。なお、以下では、生体情報読取部１３が読み取った生体情報を「読取生体情報」という。

認証部１１は、読取生体情報と登録生体情報１２２とが一致する場合、利用者の認証が成功した、つまり、認証した者は登録生体情報１２２に指紋が登録された正当な利用者であると判別する。

また、認証部１１は、読取生体情報と登録生体情報１２２とが一致しない場合、利用者の認証が失敗した、つまり、認証した者は登録生体情報１２２に指紋が登録されていない不正な利用者であると判別する。

記憶部１２は、各種の情報を記憶する「第１記憶部」である。記憶部１２は、例えば、認証情報１２１と、登録生体情報１２２とを対応付けて記憶する。

図３に示すように、「認証情報１２１」は、トークンＩＤ（Identifier）３０１と、属性情報３０２と、ユーザＩＤ３０３と、ユーザ情報３０４とを対応付ける情報である。

トークンＩＤ３０１は、認証システムにて用いられる各認証トークン１をそれぞれ識別するための識別番号である。

属性情報３０２は、ユーザＩＤ３０３が割り当てられた利用者の属性に関する情報を含む情報である。

ここに、利用者の「属性」とは、例えば、利用機器２が提供するサービスの使用の可否（アクセスの可否）を判別するためのアクセスレベルである。

なお、利用者の属性は、例えば、利用者の職位、利用者が所属する職場の部署や組織、利用者が常勤する建物や地域などに応じて、設定してもよい。

ユーザＩＤ３０３は、認証部１１により認証された利用者を一意に特定するための識別番号である。ユーザ情報３０４は、例えば、パスワード、会員番号、電話番号、クレジットカード番号、口座番号のような利用者の個人的な情報を含む情報である。

図２に示した登録生体情報１２２は、認証情報１２１に対応付けられている。登録生体情報１２２は、認証部１１が利用者を認証するための情報である。この説明例では、登録生体情報１２２が、あらかじめ登録された利用者の指紋を示す情報である場合を例に挙げて説明する。

生体情報読取部１３は、利用者の生体情報を読み取る「センサ」である。この説明例では、生体情報読取部１３は、利用者の指紋を読み取る指紋センサである場合を例に挙げて説明する。ここで用いる指紋センサは、一般的な指紋センサでよい。

生体情報読取部１３（指紋センサ）は、利用者が指を指紋読取面に接触させたことを検知した場合に、指紋を読み取り、読み取った指紋を示す読取生体情報を、認証部１１に出力する。

通信部１４は、利用機器２と通信することにより、任意のデータを送受信する「第１通信部」である。

例えば、通信部１４は、利用者の認証が成功したと認証部１１が判別した場合、認証に用いた登録生体情報１２２と対応付けられた認証情報１２１内の属性情報３０２を利用機器２に送信する。

なお、通信部１４は、属性情報３０２とともに認証情報１２１内の他の情報を送信してもよい。

また、通信部１４は、属性情報３０２を送信する場合、暗号化された属性情報３０２を送信するようにしてもよい。これにより、認証トークン１から送信される属性情報３０２の第３者への漏洩や、属性情報３０２の第３者による改ざんなどの不正行為の実施を低減できる。

また、認証が失敗したと認証部１１が判別した場合、通信部１４は、認証結果（成功と失敗とのいずれか）を利用機器２に送信してもよい。このとき、利用機器２にて、登録生体情報１２２を再登録するよう利用者に通知したり、不正な利用者による認証トークン１の使用を検出して当該検出結果を管理者などに通知したりしてもよい。また、指紋センサの状態の確認や指紋センサのクリーニングを行うよう、利用機器２が利用者に通知してもよい。

つぎに、利用機器２の構成について詳細に説明する。

図４に示すように、利用機器２は、属性識別部２１と、サービス提供部２２と、記憶部２３と、通信部２４とを有する。

属性識別部２１は、認証トークン１が認証に成功したと判別して属性情報３０２を送信してきた場合、属性情報３０２が示す属性（アクセスレベル）を識別する。

サービス提供部２２は、後述のサービス提供情報２３１を参照し、属性識別部２１が識別した属性に対応する所定のサービスを提供する。

記憶部２３は、各種の情報を記憶する「第２記憶部」である。記憶部２３は、例えば、サービス提供情報２３１を記憶する。

図５に示すように、「サービス提供情報２３１」は、属性情報４０１と、トークンＩＤ４０２と、サービス４０３とを対応付ける。

属性情報４０１は、トークンＩＤ４０２で識別される認証トークン１が使用可能なサービスを分別するための利用者の属性（アクセスレベル）である。

トークンＩＤ４０２は、サービスを使用可能な認証トークン１を識別するための番号である。

サービス４０３は、トークンＩＤ４０２により識別される認証トークン１が、利用機器２にて使用可能なサービスの種類および範囲（つまり、利用機器２における利用者の権限）である。

なお、このサービス提供情報２３１は、その登録内容に変更が生じた場合に更新される。

変更が生じた場合とは、例えば、認証トークン１を所持する利用者の職位の変更などに伴って、その認証トークン１に割り当てた属性情報４０１が変更される場合である。また、例えば、認証トークン１が新たに追加される場合、つまり、認証トークン１がサービス提供情報２３１へ新規に登録される場合である。

サービス提供情報２３１が更新された場合には、その更新に関するトークンＩＤ４０２の認証トークン１に、当該認証トークン１の利用者の属性に関する情報である属性情報４０１が送信される。

利用機器２からの属性情報４０１を受信した認証トークン１では、記憶部１２が、当該属性情報４０１を、認証情報１２１内の属性情報３０２として記憶する。

通信部２４は、認証トークン１と通信することにより、任意のデータを送受信する「第２通信部」である。

例えば、通信部２４は、認証トークン１から送信されてきた属性情報３０２を受信する。

また、例えば、通信部２４は、サービス提供情報２３１が更新された場合、その更新に関するトークンＩＤ４０２で識別される認証トークン１へと属性情報４０１を送信する。

つぎに、上記構成を有する認証システムが、認証トークン１による利用者の認証結果に基づいて、利用者によるサービスの使用を制御する動作を説明する。

図６に示すように、生体情報読取部１３（指紋センサ）は、認証トークン１−１と利用機器２とが接続されている状態において、利用者が指を指紋読取面に接触させたことを検知した場合、その指紋を読み取る（ステップＳ１１）。そして、生体情報読取部１３は、読み取った指紋を示す読取生体情報を認証部１１に出力する。

認証部１１は、生体情報読取部１３から出力されてきた読取生体情報と、記憶部１２内の登録生体情報１２２とが一致するかどうかに基づいて、利用者の認証が成功したかどうかを判別する（ステップＳ１２）。読取生体情報と登録生体情報１２２とが一致しなければ、認証部１１は、利用者の認証が成功しなかったと判別して、処理を終了する。

一方、読取生体情報と登録生体情報１２２とが一致した場合、通信部１４は、属性情報３０２を利用機器２に送信する（ステップＳ１３）。このとき、通信部１４は、属性情報３０２とともに認証情報１２１の全部または一部を、利用機器２へと送信してもよい。

つぎに、利用機器２が、認証トークン１からの属性情報３０２に基づいて、利用者へのサービス提供を行う動作について説明する。

図７に示すように、利用機器２の通信部２４は、認証トークン１から送信されてきた属性情報３０２を受信する（ステップＳ２１）。このとき、通信部２４は、認証装置１から、属性情報３０２とともに認証情報１２１の全部または一部を受信してもよい。

属性識別部２１は、受信した属性情報３０２が示す属性（アクセスレベル）を識別する（ステップＳ２２）。

続いて、サービス提供部２２は、図５に示したサービス提供情報２３１を参照し、属性識別部２１が識別した属性に対応する所定のサービス４０３を提供する（ステップＳ２３）。

図３の例では、属性情報３０２が示す属性は「２」である。そのため、サービス提供部２２は、この属性に対応するサービス４０３（電子メールの閲覧、編集）を、認証トークン１を所持する利用者に提供する。以上で、一連の動作が終了する。
（実施形態２）
つぎに、実施形態２に従った認証システムについて説明する。

実施形態２の認証システムの全体構成は、図１に示した例と同一である。

ただし、実施形態２においては、複数の認証トークン１−１〜１−２を用いる。この説明例では、認証トークン１−１〜１−２の数が「２」である場合を例に挙げて説明するが、その数は「３」以上であってもよい。

図８に示すように、実施形態２の認証システムが具備する各認証トークン１−１と１−２とは、互いに通信可能であるとともに、利用機器２ともそれぞれ通信可能であるように構成されている。

また、認証トークン１−１、１−２それぞれは、利用機器２と、認証トークン１−２または１−１とのいずれかを通信先として選択し、選択した通信先に接続することが可能なように構成されている。

認証トークン１−１は、認証トークン１−２と接続されている状態において、利用者の認証が成功した場合、自己が記憶する属性情報３０２−１を認証トークン１−２へと送信する「他の認証トークン」である。この説明例では、さらに、認証トークン１−１が、属性情報３０２−１とともにトークンＩＤ３０１−１を、認証トークン１−２へと送信する場合を例に挙げて説明する。

認証トークン１−２は、認証トークン１−１からのトークンＩＤ３０１−１と属性情報３０２−１とを後述の移譲認証情報１２３−２に記憶する、つまり、認証トークン１−１から認証トークン１−２へと属性（アクセスレベル）を移譲する。

そして、認証トークン１−２は、利用機器２と接続されている状態において、利用者の認証が成功したと判別した場合、後述の属性情報５０２と移譲属性情報５０４とを利用機器２へと送信する。なお、認証トークン１−２は、属性情報５０２および移譲属性情報５０４とともに、移譲認証情報１２３−２の全部または一部を利用機器２へと送信してもよい。

なお、認証トークン１−１から認証トークン１−２へと属性を移譲する場合、認証トークン１−１は、属性情報３０２−１のみを認証トークン１−２へ送信し、トークンＩＤ３０１−１を送信しないようにしてもよい。また、認証トークン１−２は、認証トークン１−１からの属性情報３０２−１のみを移譲認証情報１２３−２に記憶するようにしてもよい。

利用機器２は、認証トークン１−２から送信されてきた属性情報５０２と移譲属性情報５０４とを用いて、利用者によるサービスの使用を制御する。なお、利用機器２は、属性情報５０２および移譲属性情報５０４とともに移譲認証情報１２３−２の全部または一部を、認証トークン１−２から受信してもよい。

つぎに、実施形態２の認証トークン１−１および１−２の構成について説明する。

認証トークン１−１の構成は、実施形態１において図２に示した認証トークン１と基本的に同一である。すなわち、認証トークン１−１は、認証部１１−１と、記憶部１２−１と、生体情報読取部１３−１と、通信部１４−１とを有する。

認証トークン１−１は、認証トークン１−２と接続されている状態において、利用者の認証が成功したと判別した場合、図３に示した属性情報３０２と同一の属性情報３０２−１を、認証トークン１−２へと送信する。なお、認証トークン１−１は、利用機器２と接続されている状態において、利用者の認証が成功したと判別した場合、実施形態１と同様の動作を実行する、つまり、属性情報３０２−１を、利用機器２へと送信する。

認証トークン１−２の構成も、図２に示した例と基本的に同一である。すなわち、認証トークン１−２は、認証部１１−２と、記憶部１２−２と、生体情報読取部１３−２と、通信部１４−２とを有する。

ただし、認証トークン１−２の記憶部１２−２は、認証トークン１−１からの認証情報１２１−１に含まれているトークンＩＤ３０１−１と属性情報３０２−１とを、移譲認証情報１２３−２に記憶する。なお、移譲認証情報１２３−２は、認証トークン１−２を所持する利用者の指紋をあらかじめ登録した登録生体情報１２２−２と対応付けられている。

「移譲認証情報１２３−２」は、認証トークン１−２に関する認証情報と、認証トークン１−２以外の認証トークン（この例では、認証トークン１−１）に関する情報とを含む情報である。

図９に示すように、移譲認証情報１２３−２は、図３に示した認証情報１２１に加えて、移譲属性情報５０４と、移譲トークンＩＤ５０５とを含んでいる。より具体的には、移譲認証情報１２３−２は、トークンＩＤ５０１、属性情報５０２、ユーザＩＤ５０３およびユーザ情報５０６に加えて、移譲属性情報５０４と、移譲トークンＩＤ５０５とを含んでいる。

移譲属性情報５０４は、認証トークン１−２が認証トークン１−１から受信した属性情報３０２−１が示す利用者の属性、つまり、認証トークン１−１を所持する利用者の属性である。

移譲トークンＩＤ５０５は、認証トークン１−２が認証トークン１−１から受信した認証トークン１−１のトークンＩＤ３０１−１である。

通信部１４−２は、認証トークン１−２と利用機器２とが接続された状態において、認証部１１−２が利用者の認証が成功したと判別した場合、認証に用いた登録生体情報１２２−２と対応付けられた属性情報５０２と、移譲属性情報５０４とを利用機器２へと送信する。

つぎに、上記構成を有する実施形態２の認証システムが、認証トークン１−１と１−２との認証結果に基づいて、利用者によるサービスの使用を制御する動作を説明する。

まず、実施形態２の認証トークン１−１の動作について説明する。

図１０に示すように、認証トークン１−１の動作は、図６に示した例と基本的に同一である。

ただし、認証トークン１−１では、利用者の認証を行う前に、通信部１４−１が、属性の移譲先である認証トークン１−２と接続する（ステップＳ３１）。

認証トークン１−１と認証トークン１−２とが接続された状態において、認証部１１−１が利用者の認証が成功したと判別した場合、通信部１４−１は、記憶部１２−１内の属性情報３０２−１を、権限の移譲先の認証トークン１−２へと送信する（ステップＳ３４）。さらに、この説明例では、通信部１４−１は、トークンＩＤ３０１−１も認証トークン１−２へ送信する。

なお、ステップＳ３４において、認証トークン１−１は、認証トークン１−２に対して、属性情報３０２−１のみを送信してもよい。また、認証トークン１−１は、属性情報３０２−１とともに認証情報１２１−１の全部または一部を、認証トークン１−２へと送信してもよい。

つぎに、認証トークン１−２の動作について説明する。

図１１に示すように、認証トークン１−２の通信部１４−２は、「他の認証トークン」である認証トークン１−１と接続する（ステップＳ４１）。

続いて、認証トークン１−２の通信部１４−２は、他の認証トークン１−１から送信されてきた属性情報３０２−１を受信する（ステップＳ４２）。また、この説明例では、通信部１４−２は、認証トークン１−１からのトークンＩＤ３０１−１も受信する。

記憶部１２−２は、通信部１４−２が受信した属性情報３０２−１を、移譲属性情報５０４として記憶する（ステップＳ４３）。また、通信部１４−２が受信したトークンＩＤ３０１−１を、移譲認証情報１２３−２に記憶する。

その後、通信部１４−２は、認証トークン１−１との接続を終了する。続いて、通信部１４−２は、利用機器２と接続する（ステップＳ４４）。

なお、それ以降のステップＳ４５〜Ｓ４７の処理は、図６に示したステップＳ１１〜Ｓ１３の処理と基本的に同一である。すなわち、生体情報読取部１３−２が利用者の指紋を読み取り（ステップＳ４５）、読み取った指紋を示す読取生体情報と登録生体情報１２２−２とを比較して（ステップＳ４６）、両者が一致する場合、認証部１１−２は認証が成功したと判別する。

認証トークン１−２と利用機器２とが接続された状態において、認証が成功したと判別した場合、通信部１４−２は、認証トークン１−２の利用者に関する属性情報５０２に加えて、認証トークン１−１の利用者に関する移譲属性情報５０４を利用機器２へと送信する（ステップＳ４７）。

つぎに、実施形態２の利用機器２の動作について説明する。

実施形態２の利用機器２の動作は、図７に示した例と基本的に同一である。

ただし、実施形態２では、ステップＳ２１において、利用機器２と認証トークン１−２とが接続されている場合、通信部２４は、認証トークン１−１から属性を移譲された認証トークン１−２からの属性情報５０２と移譲属性情報５０４とを受信する。

また、ステップＳ２２において、属性識別部２１は、図９に示した属性情報５０２と移譲属性情報５０４とがそれぞれ示す属性を、認証トークン１−２の属性情報４０１であると識別する。図９の例では、認証トークン１−２の属性は、属性情報５０２が示す属性（「３」）と、移譲属性情報５０４が示す属性（「２」）とである。

さらに、ステップＳ２３において、サービス提供部２２は、図５に示したサービス提供情報２３１を参照し、属性識別部２１が識別した属性に対応するサービス４０３を識別する。そして、識別したサービス４０３を認証トークン１−２の利用者に提供する。

この説明例では、認証トークン１−２の属性は「２」および「３」である。そのため、サービス提供部２２は、この属性４０１に対応するサービス４０３（電子メールの閲覧と編集に加えて、電子メールの削除およびメールアドレスの変更）を、認証トークン１−２の利用者に提供する。以上で、一連の動作が終了する。

なお、認証トークン１−２は、他の認証トークン１−１から属性情報３０２−１を受信した履歴を示す受信履歴情報と、他の認証トークン１−１から属性を移譲された履歴を示す移譲履歴情報とを記憶してもよい。そして、認証トークン１−２は、他の認証トークンから属性情報３０２を受信した場合や、他の認証トークンから属性を移譲された場合、受信履歴情報や移譲履歴情報を利用機器２へと送信する。そして、利用機器２にて、どの認証トークンから認証トークン１−２へと属性を移譲したかを監視するようにしてもよい。

また、認証トークン１−１から認証トークン１−２へと属性が移譲される場合、移譲する側（認証トークン１−１）が移譲される側（認証トークン１−２）よりもアクセスレベルが高い場合に、属性を移譲してもよい。また、移譲する側が移譲される側よりもアクセスレベルが低い場合に、属性を移譲してもよい。これにより、認証システムの運用形態に対応して、不要な移譲が行われることを抑制できる。

また、認証トークン１−１から認証トークン１−２への属性の移譲の際、認証トークン１−１は、属性情報３０２−１とともに、認証トークン１−１の利用者が所属する職場の部署や組織、利用者が常勤する建物や地域などを含んだユーザ情報３０４−１を送信してもよい。そして、認証トークン１−２は、属性情報３０２−１とともに、上述の職場の部署や組織、建物や地域などに関するユーザ情報３０４−１を記憶してもよい。そして、認証トークン１−２は、自己が記憶しているユーザ情報３０４−１が示す職場の部署や組織、建物や地域に一致するユーザ情報を送信してきた認証トークンのみから属性を委譲されるようにしてもよい。これにより、より厳密な利用制限を設けることが可能となる。

また、認証システムの運用形態に応じて、他の認証トークン１−１から認証トークン１−２へと移譲された属性情報３０２−１の使用について、制限を設けるようにしてもよい。ここで、属性情報３０２−１の使用制限の形態については、特に限定しない。

例えば、属性の移譲後に当該属性を使用した回数が所定回数（例えば、１回のみ）に到達するまで、移譲された属性を使用可能としてもよい。

また、例えば、属性の移譲後の所定期間（例えば、移譲した日から５日間、または、使用可能となる開始日時から使用不可能となる終了日時まで）において、移譲された属性を使用可能としてもよい。

また、例えば、属性の移譲後に行われる認証トークン１−２での認証実行回数が所定回数に到達するまで、移譲された属性を使用可能としてもよい。

また、例えば、属性の移譲後に行われる認証トークン１−２での認証における失敗回数が所定回数に到達するまで、移譲された属性を使用可能としてもよい。

さらに、認証トークン１−２へと属性を委譲する側の他の認証トークンが複数存在する場合、他の認証トークンそれぞれから移譲された各属性に関して、それぞれ異なる使用制限を設けるようにしてもよい。

また、属性を移譲される側の認証トークン１−２では、認証トークン１−１からの属性情報３０２−１の移譲前または移譲時にて、認証部１１−２による認証を行うようにしてもよい。そして、認証が成功したと認証部１１−２が判別した場合に、属性情報３０２−１を移譲属性情報５０４として記憶するようにしてもよい。これにより、正当な利用者以外の者による成りすましを実施しにくくできる。また、認証トークン１−２の属性情報５０２よりも高い属性情報３０２−１が認証トークン１−１から移譲される場合のみ、認証トークン１−２にて利用者の認証を行うようにしてもよい。

また、認証トークン１−２は、認証トークン１−１の属性情報３０２−１を利用機器２から受信してもよい。そして、利用機器２からの属性情報３０２−１を、移譲認証情報１２３−２に記憶してもよい。例えば、電子メールに添付された属性情報３０２−１を利用機器２が認証トークン１−１から受信し、その利用機器２から転送されてきた属性情報３０２−１を、記憶してもよい。また、属性情報３０２−１が記憶された着脱可能な可搬型メモリや記録媒体（例えば、ＤＶＤ（Digital Versatile Disk）など）から属性情報３０２−１を読み出し、移譲認証情報１２３−２に記憶してもよい。

また、認証トークン１−１は、属性情報３０２−１とともにパスワードを含んだユーザ情報３０４−１を、認証トークン１−２へと送信してもよい。そして、認証トークン１−２があらかじめ記憶しているパスワードと、認証トークン１−１から送信されてきたパスワードとが一致した場合、属性情報３０２−１を移譲属性情報５０４として記憶するようにしてもよい。これにより、属性を移譲する側の認証トークン１−１が、正当な認証トークンであることをより確実に確認可能となる。
（実施形態３）
つぎに、実施形態３に従った認証システムについて説明する。

実施形態３の認証システムの構成は、図８に示した実施形態２の構成と同じである。また、実施形態３の認証トークン１−１の構成および動作は、実施形態２で説明した構成および動作と同じである。

実施形態３の認証トークン１−２の構成は、実施形態２で説明した構成と基本的に同一である。

ただし、図１２に示すように、実施形態３の認証トークン１−２は、属性移譲判別部１５−２を有する。

属性移譲判別部１５−２は、他の認証トークン１−１から受信したトークンＩＤ３０１−１が後述の属性移譲判別情報１２４−２に含まれているかどうかに基づいて、認証トークン１−１から認証トークン１−２へと属性を移譲できるかどうかを判別する。

他の認証トークン１−１からのトークンＩＤ３０１−１が属性移譲判別情報１２４−２に含まれている場合、属性移譲判別部１５−２は、認証トークン１−１から属性を移譲できると判別する。一方、他の認証トークン１−１からのトークンＩＤ３０１−１が属性移譲判別情報１２４−２に含まれていない場合、属性移譲判別部１５−２は、属性を移譲できないと判別する。

属性移譲判別部１５−２が属性を移譲できると判別した場合、記憶部１２−２は、他の認証トークン１−１からのトークンＩＤ３０１−１と属性情報３０２−１とを、移譲認証情報１２３−２に記憶する。

実施形態３の記憶部１２−２は、属性移譲判別情報１２４−２を記憶する。

「属性移譲判別情報１２４−２」は、認証トークン１−２に対して属性を移譲することが可能な他の認証トークンを判別するための情報、つまり、他の認証トークンから送信されてきた属性情報を移譲認証情報１２３−２の移譲属性情報５０４に記憶してもよいかどうかを判別するための情報である。

図１３に示すように、属性移譲判別情報１２４−２は、移譲可能トークンＩＤ６０１と、サービス使用制約条件６０２とを対応付ける情報である。

移譲可能トークンＩＤ６０１は、認証トークン１−２に対して属性を移譲することが可能な認証トークン、つまり、移譲属性情報５０４を記憶部１２−２に記憶する対象とする他の認証トークンのトークンＩＤである。

サービス使用制約条件６０２は、他の認証トークン１−１から認証トークン１−２へと移譲された属性を用いてサービスを使用する際の制約条件である。なお、このサービス使用制約条件６０２は、認証トークン１−２に属性を移譲可能な他の認証トークンが２つ以上ある場合、他の認証トークンそれぞれについて設定可能である。

サービス使用制約条件６０２が示す制約条件は、任意であるが、例えば、以下のような内容でもよい。

サービス使用制約条件６０２は、移譲された属性の有効期限に関する制約条件でもよい。この場合、所定時間内や所定日数内でのサービス使用のみを認証トークン１−２に許可することが可能である。図１３の例では、属性が移譲された日を含めて５日間の使用が許可されている。

また、サービス使用制約条件６０２は、属性の移譲後にサービスを使用可能な回数に関する制約条件でもよい。図１３の例では、移譲された属性を用いて１回のみのサービス使用が認証トークン１−２に許可されている。

また、サービス使用制約条件６０２は、属性移譲後の認証トークン１−２における認証の失敗回数に関する制約条件でもよい。図１３の例では、認証の失敗回数が所定回数（１０回）に到達するまで、移譲された属性によるサービス使用を認証トークン１−２に許可することが可能である。

これにより、認証システムの運用形態に応じて、移譲された属性によるサービス使用を許可することができる。

なお、属性移譲判別情報１２４−２の設定内容は、図１３に示した例に限られない。

例えば、認証トークン１−１から認証トークン１−２へと属性が移譲される場合、移譲する側（認証トークン１−１）の属性情報３０２−１と、移譲される側（認証トークン１−２）の属性情報５０２との間のアクセスレベルの高低に基づいて、属性移譲判別情報１２４−２を設定してもよい。すなわち、属性を移譲する側が移譲される側よりもアクセスレベルが高い場合、属性を移譲するように設定してもよく、逆に、移譲する側が移譲される側よりもアクセスレベルが低い場合、属性を移譲するように設定してもよい。これにより、認証システムの運用形態に対応して、不要な移譲が行われることを抑制できる。

また、認証トークン１−２は、他の認証トークンから属性情報３０２を受信した履歴を示す受信履歴情報と、他の認証トークンから属性を移譲された履歴を示す移譲履歴情報とを記憶してもよい。そして、認証トークン１−２は、他の認証トークンから属性情報３０２を受信した場合や、他の認証トークンから属性を移譲された場合、受信履歴情報や移譲履歴情報を利用機器２へと送信する。そして、利用機器２にて、どの認証トークンから認証トークン１−２へと属性を移譲したかを監視するようにしてもよい。

また、認証トークン１−１から認証トークン１−２へと属性を移譲する場合、認証トークン１−１は、属性情報３０２−１とともに、認証トークン１−１の利用者が所属する職場の部署や組織、利用者が常勤する建物や地域などを含んだユーザ情報３０４−１を送信してもよい。そして、認証トークン１−２は、属性情報３０２−１とともに、上述の職場の部署や組織、建物や地域などに関するユーザ情報３０４を記憶してもよい。これにより、より厳密な利用制限を設けることが可能となる。

また、属性を移譲される側の認証トークン１−２では、属性の移譲前または移譲時にて認証部１１−２の認証を行い、当該認証が成功した場合に、属性移譲判別部１５−２は、属性を移譲できると判別してもよい。これにより、正当な利用者以外の者による成りすましを実施しにくくできる。

また、他の認証トークン１−１は、属性情報３０２−１とともにパスワードを含んだユーザ情報３０４−１を、認証トークン１−２へと送信してもよい。そして、認証トークン１−２があらかじめ記憶しているパスワードと、他の認証トークン１−１からのパスワードとが一致した場合、属性移譲判別部１５−２は、認証トークン１−１から認証トークン１−２へと属性を移譲できると判別してもよい。これにより、属性を移譲する側の認証トークン１−１が、正当な認証トークンであることをより確実に確認可能となる。

なお、認証トークン１−１から認証トークン１−２への属性の移譲を行ってもよいかどうかの判別は、属性を移譲される側の認証トークン１−２において行うに限らず、移譲する側の認証トークン１−１にて行うようにしてもよい。この場合、認証トークン１−１の記憶部１２−１に、認証トークン１−１から属性を移譲されることが可能な他の認証トークンを判別するための情報、つまり、認証情報３０２−１を送信してもよい他の認証トークンを判別するための情報を記憶させておく。そして、認証トークン１−１と１−２が接続された状態において、認証トークン１−１が、認証トークン１−２からトークンＩＤ３０１−２などを受信することなどにより、当該情報に認証トークン１−２が登録されていると判別した場合に、認証トークン１−１から認証トークン１−２へと属性情報３０２−１を送信するようにすればよい。
（実施形態４）
つぎに、実施形態４に従った認証システムについて説明する。

図１４に示すように、実施形態４の認証トークン１Aは、通信部１４の近傍に配設された磁石１６を有する。また、実施形態４の利用機器２Ａは、通信部２４の近傍に配設された磁石２５を有する。磁石１６および２５は、それぞれ永久磁石でもよく、また電磁石でもよい。

磁石１６と磁石２５とが互いに引き合って接触することにより、認証トークン１Aの通信部１４と利用機器２Ａの通信部２４とによって通信する際に、認証トークン１Aの筺体と利用機器２Ａの筺体とが連結される。

なお、磁石１６および２５がともに電磁石である場合、認証情報１２１の送受信時のみ、電磁石を磁化するようにしてもよい。

また、実施形態２、３の認証トークン１−１および１−２それぞれを、図１４に示した認証トークン１Ａが有する構成としてもよい。

実施形態４の構成によれば、認証トークン１Ａと利用機器２Ａとの通信、または、認証トークン同士の通信を行う際に、位置決めを容易にすることができる。

以上説明したように、本発明の実施形態１によれば、認証トークン１は、利用者が認証に成功したと判別した場合、認証情報１２１に含まれる属性情報３０２を利用機器２へ送信する。

これにより、利用機器２において利用者の属性（アクセスレベル）を個別に設定することなしに、利用者の属性に対応したサービスの提供や使用の制限を行うことが可能となる。

また、利用者の属性が変更された場合でも、その利用者が所有する認証トークン１の属性情報３０２を変更するだけで、１または複数の利用機器２すべてに対するアクセスレベルを変更することが可能となる。このことは、利用機器２が独立している場合でも、同様に当てはまる。

また、実施形態２によれば、他の認証トークン１−１から属性を移譲された認証トークン１−２を所持する利用者は、認証トークン１−２に記憶されている属性情報５０２が示す自己の属性に加えて、移譲属性情報５０４が示す認証トークン１−１の利用者の属性を用いて、利用機器２のサービスを使用可能となる。

これにより、利用機器２の設定を変更することなしに、認証トークン１−２の利用者の属性を変更することが可能となる。そのため、共通パスワードなどのセキュリティホールを回避でき、セキュリティのレベルを維持した安全な状態のままで、利用者の属性（アクセスレベル）の変更が可能となる。

また、属性の変更が容易となるため、属性の種類を細かく分別して利用機器２が提供するサービス４０３の種類を増やすことが可能となる。例えば、利用者が行う業務などの使用形態に対応して属性情報４０１を設定することにより、各業務にて使用する必要があるサービス４０３のみを利用機器２が提供することが可能となる。

なお、本発明の要旨を逸脱しない範囲で各種の変形が可能である。

認証トークン１に、パスワード生成動作ごとに異なるパスワードを生成するワンタイムパスワード生成機能を設け、認証部１１による認証の実行ごとに、ユーザ情報３０４にワンタイムパスワードを含めて利用機器２に送信するようにしてもよい。また、ユーザ情報３０４に、チャレンジレスポンスなどの暗号通信を含めてもよい。これにより、認証トークン１の偽造や成りすましを抑制することができる。

認証トークン１への動作用電力の供給方式としては、一般的な供給方式でよい。例えば、利用機器２から認証トークン１へと給電する方式でよい。また、例えば、電池を具備し、その電池から動作用電力を供給する方式でもよい。なお、ここでいう電池は、一次電池でもよく、また、蓄積電荷を放電しても再度充電して利用可能に構成された二次電池でもよい。

本発明の実施形態に従った認証システムの構成を示す図である。 図１に示した認証トークンの構成を示す図である。 図２に示した認証情報のデータ構造の一例を示す図である。 図１に示した利用機器の構成を示す図である。 図４に示したサービス提供情報のデータ構造の一例を示す図である。 認証結果に基づいて、利用者によるサービスの使用を制御する際の、認証トークンの動作を示すフローチャートである。 認証結果に基づいて、利用者によるサービスの使用を制御する際の、利用機器の動作を示すフローチャートである。 実施形態２の認証システムの全体構成を示す図である。 移譲認証情報のデータ構造の一例を示す図である。 実施形態２にて、属性を移譲する側の認証トークンの動作を示すフローチャートである。 実施形態２にて、属性を移譲される側の認証トークンの動作を示すフローチャートである。 実施形態３において、属性を移譲される側の認証トークンの構成を示す図である。 図１２に示した属性移譲判別情報のデータ構造の一例を示す図である。 実施形態４の認証トークンおよび利用機器の構成を示す図である。

符号の説明

１、１−１、１−２、１Ａ 認証トークン
２、２Ａ 利用機器
１１、１１−２ 認証部
１２、１２−２ 記憶部
１３、１３−２ 生体情報読取部
１４、１４−２ 通信部
１５−２ 属性移譲判別部
１６ 磁石
１２１ 認証情報
１２２、１２２−２ 登録生体情報
１２３−２ 移譲認証情報
１２４−２ 属性移譲判別情報
２１ 属性識別部
２２ サービス提供部
２３ 記憶部
２４ 通信部
２５ 磁石
２３１ サービス提供情報

Claims (6)

1. 利用者にサービスを提供する利用機器と認証トークンとが接続された認証システムであって、
   前記認証トークンは、
   前記利用者の生体情報を読み取る生体情報読取部と、
   前記利用機器から送信されてきた前記利用者に関する属性を示す属性情報と、あらかじめ登録された前記利用者の生体情報である登録生体情報とを対応付けて記憶する第１記憶部と、
   前記生体情報読取部で読み取った生体情報と前記登録生体情報とが一致する場合に、利用者の認証が成功したと判別する認証部と、
   前記認証部が前記認証が成功したと判別した場合、前記登録生体情報に対応付けられている前記属性情報を前記利用機器に送信する第１通信部とを有し、
   前記利用機器は、
   前記利用者の属性情報と、前記利用者が使用可能なサービスとを対応付けて記憶する第２記憶部と、
   前記第１通信部から送信されてきた前記利用者の属性情報を受信する第２通信部と、
   前記第２通信部が受信した前記属性情報が示す利用者の属性を識別する属性識別部と、
   前記属性識別部が識別した前記属性に対応する前記第２記憶部が記憶するサービスを提供するサービス提供部とを有する認証システム。
2. 利用者にサービスを提供する利用機器と接続された認証トークンであって、
   前記利用者の生体情報を読み取る生体情報読取部と、
   前記利用機器から送信されてきた前記利用者に関する属性を示す属性情報と、あらかじめ登録された前記利用者の生体情報である登録生体情報とを対応付けて記憶する記憶部と、
   前記生体情報読取部で読み取った生体情報と前記登録生体情報とが一致する場合に、利用者の認証が成功したと判別する認証部と、
   前記認証部が前記認証が成功したと判別した場合、前記登録生体情報に対応付けられている前記属性情報を前記利用機器に送信する通信部とを有する認証トークン。
3. 前記認証トークンは、他の認証トークンと接続されており、
   前記記憶部は、前記他の認証トークンから送信されてきた属性を示す移譲属性情報を、前記属性情報とともに記憶することを特徴とする請求項２に記載の認証トークン。
4. 前記記憶部は、前記移譲属性情報を記憶する対象とする前記他の認証トークンが登録されている属性移譲判別情報を記憶しており、前記移譲属性情報を送信してきた他の認証トークンが前記属性移譲判別情報に登録されている場合、該移譲属性情報を記憶することを特徴とする請求項３に記載の認証トークン。
5. 前記通信部は、前記認証が成功したと前記認証部が判別した場合、前記記憶部が記憶している前記移譲属性情報と前記属性情報とを前記利用機器に送信することを特徴とする請求項３または４に記載の認証トークン。
6. 利用者の属性情報を送信する認証トークンと接続された利用機器であって、
   前記利用者の属性情報と、前記利用者が使用可能なサービスとを対応付けて記憶する記憶部と、
   前記認証トークンから送信されてきた前記利用者の属性情報を受信する通信部と、
   前記通信部が受信した前記属性情報が示す利用者の属性を識別する属性識別部と、
   前記属性識別部が識別した前記属性に対応する前記記憶部が記憶するサービスを提供するサービス提供部とを有する利用機器。

Images