JP4718917B2 - 認証方法およびシステム - Google Patents

Description

本発明は、認証方法およびシステムに関し、より詳細にはユーザがウェブサイトにアクセスする場合のセキュリティを保持するための認証方法およびシステムに関する。

従来から、ユーザは、インターネットを介してＰＣ等のクライアント端末から各種のウェブサイトにアクセスし、様々な情報を入手し、あるいはサービスの提供を受けている。このようなインターネットシステムにおいては、個々のユーザに個別に情報やサービスを提供するため、予めユーザ登録をしておき、登録されたユーザからのアクセスにのみ対応するため、予めユーザに発行した識別情報（典型的には、ユーザＩＤと暗証であるがこれに限られない）により登録されたユーザであることが確認されなければ、情報やサービスを提供するページが表示されないようになっている。

図１は、情報やサービスを提供するインターネットシステムを一般化したブロック図である。ここで、所望のウェブサイトにアクセスして情報やサービスの提供を受けようとするユーザは、予めユーザ登録をし、ユーザＩＤと暗証とが設定されて発行されている。図２は、従来技術のインターネットシステムで設定された識別情報の一例を示す図である。

登録済みのユーザは、利用者ＰＣ１０１で所望のウェブサイトを表示させ、識別情報入力を行う。Ｗｅｂサーバ１０２およびＡＰサーバ１０３は、インターネットを介して利用者ＰＣ１０１とデータの送受信を行い、情報やサービスを提供する。ここで、Ｗｅｂサーバ１０２はインターネットとのインタフェースを制御し、主に端末上の画面表示イメージを送信する。一方、ＡＰサーバ１０３は、主に検索や計算などのウェブサイトが提供する実質的内容の処理を行うようになっているが、システムはこれに限られず、以上の機能を１つのサーバで行なうものもあり、またさらに機能を分担して多くのサーバを使用するものもある。データベース１０４は、図２に示した識別情報をはじめとするユーザ情報（図示せず）を格納しており、ＡＰサーバ１０３からのアクセスを受け付ける。

図３は、従来の認証方法の端末側の処理の一例を示すフローチャートである。ユーザがＵＲＬなどを指定して所望のウェブサイトへのアクセスを試み、探索に成功すると所望のウェブサイトのエントリーページを表示する（Ｓ３０１）。次に、このウェブサイトへのアクセスにはユーザＩＤが事前登録されているものとして、情報やサービスの提供を受けるためには認証を行なう必要があることから、ユーザＩＤと暗証を入力する画面を表示して入力を促す（Ｓ３０２）。図４にこのときの画面の一例を示す。図４に示すように、データの入力がなされると、サーバでの認証の意思を示すため「ログイン」等のボタンを表示することができる。

「ログインボタン」がクリックされるのを待機して（Ｓ３０３）クリックされると、データフィールドに入力されたデータをサーバに送信する（Ｓ３０４）。ここでは、詳細には説明しないが、送信された入力データに基づきＡＰサーバ１０３において、ユーザＩＤと暗証とを照合して認証が成功すれば情報やサービスを提供するための次の処理に進み、画像などのデータが送信される。失敗した場合、その旨利用者端末１０１に送信される。

利用者端末１０１は、ユーザの認証に成功した旨受信すると（Ｓ３０５）、その後Ｗｅｂサーバから受信した画面を表示する（Ｓ３０６）が、認証に失敗した場合は、通常、エラーを表示してユーザに報知する（Ｓ３０７）。

以上が、インターネットシステムにおいて従来使用されてきた一般的な認証方法であるが、近年では、認証方法も種々のものが提案されている（例えば、特許文献１参照）。

特開２００４−１３３７７号公報

しかしながら、近年インターネットシステムのセキュリティを脅かすリスクの１つとして、フィッシングと呼ばれるウェブサイトの成りすましにより、識別情報が詐取され不正アクセスが行なわれる恐れが高まっている。これは後述するように、例えば偽のウェブサイトにユーザを巧みに誘導し、識別情報を入力させて存在する識別情報を取得するものであるが、従来の認証方法あるいはシステムは、サーバ側がユーザの真偽を確認するためのものであるから、ユーザが現在アクセスしているウェブサイトの真偽を確認するためには機能しない。したがって、従来の技術では、フィッシングによる詐取を回避するためには、ユーザ自身が巧みな誘導に乗らないように注意するとか、表示されている画面を注意深く確認するといった方法しかないという問題がある。

本発明は、このような問題に鑑みてなされたもので、ユーザがアクセス中のウェブサイトから予め登録した合言葉を受け取ることにより、ウェブサイトの真偽を容易に確認することができるようにしてフィッシング等の詐欺行為を回避することが可能な認証方法およびシステムを提供することを目的とする。

このような目的を達成するために、請求項１に記載の発明は、第１の認証情報と第２の認証情報とを含むユーザ認証情報を送信する端末と、端末から送信されたユーザ認証情報により認証を行って所定のサービスを提供するサーバとを備えた認証システムであって、予め所定の合言葉および合言葉の正当なユーザであるか否か判定するための第３の認証情報を第１の認証情報に対応付けて格納したデータベースを備え、端末は、第１の認証情報、第２の認証情報および第３の認証情報を入力する入力手段と、第１の認証情報の入力を受け取る際にユーザが合言葉の受信を所望することの確認を表示して結果の入力を受け取る選択入力手段と、選択入力手段により合言葉の受信を所望することの確認の入力があったときは合言葉を受信することをサーバに要求するとともに、第１の認証情報が入力されると第３の認証情報とともにサーバに送信し、合言葉の受信を所望することの確認の入力がなかったときは、第１の認証情報が入力されるとサーバに送信する第１送信手段と、サーバから送信した第１の認証情報に対応する合言葉を受信すると合言葉の内容を報知する報知手段と、第２の認証情報が入力されるとサーバに送信する第２送信手段とを含み、サーバは、合言葉の要求があった場合、第１の認証情報を受信し、第３の認証情報が受信した第１の認証情報に関連付けられた第３の認証情報と一致したときは、データベースから予め登録された第１の認証情報に対応する合言葉を読み出して、端末に送信する合言葉送信手段を含むことを特徴とする。

請求項２に記載の発明は、請求項１に記載の認証システムにおいて、第１の認証情報と合言葉とを受信して、相互に対応付けてデータベースに格納する合言葉格納サーバをさらに備えたことを特徴とする。

請求項３に記載の発明は、請求項１または２に記載の認証システムにおいて、合言葉送信手段は、受信した第３の認証情報が受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、一致しなかった旨を端末に送信することを特徴とする。

請求項４に記載の発明は、請求項１または２に記載の認証システムにおいて、合言葉送信手段は、受信した第３の認証情報が受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、合言葉と異なる別の言葉を端末に送信することを特徴とする。

請求項５に記載の発明は、請求項１ないし４のいずれかに記載の認証システムにおいて、第１の認証情報、第３の認証情報、および合言葉を受信して、相互に対応付けてデータベースに格納する合言葉格納サーバをさらに備えたことを特徴とする。

請求項６に記載の発明は、請求項１ないし５のいずれかに記載の認証システムにおいて、端末は、認証情報入力画面において、合言葉の受信を所望するとの確認の入力があったときは、第１および第２の認証情報を入力するフィールドとともに、合言葉を表示するフィールドを表示し、報知手段は合言葉を表示するフィールドに合言葉の内容を表示することを特徴とする。

請求項７に記載の発明は、請求項１ないし６のいずれかに記載の認証システムにおいて、第１の認証情報はユーザＩＤであり、第２の認証情報は暗証であることを特徴とする。

請求項８に記載の発明は、第１の認証情報と第２の認証情報とを含むユーザ認証情報を送信する端末と、端末から送信されたユーザ認証情報により認証を行って所定のサービスを提供するサーバと、予め所定の合言葉および合言葉の正当なユーザであるか否か判定するための第３の認証情報を前記第１の認証情報に対応付けて格納したデータベースとを備えた認証システムにおいてユーザ認証を行なう認証方法であって、端末により、第１の認証情報、第２の認証情報および第３の認証情報を入力する入力ステップと、第１の認証情報の入力を受け取る際にユーザが合言葉の受信を所望することの確認を表示して結果の入力を受け取る選択入力ステップと、選択入力ステップにより合言葉の受信を所望することの確認の入力があったときは合言葉を受信することをサーバに要求するとともに、第１の認証情報が入力されると第３の認証情報とともにサーバに送信し、合言葉の受信を所望することの確認の入力がなかったときは、第１の認証情報が入力されるとサーバに送信する第１送信ステップと、サーバから送信した第１の認証情報に対応する合言葉を受信すると合言葉の内容を報知する報知ステップと、第２の認証情報が入力されるとサーバに送信する第２送信ステップと、サーバにより、合言葉の要求があった場合、第１の認証情報を受信し、第３の認証情報が受信した第１の認証情報に関連付けてデータベースに格納された第３の認証情報と一致したときは、データベースから第１の認証情報に対応する合言葉を読み出して、端末に送信する合言葉送信ステップとを備えたことを特徴とする。

請求項９に記載の発明は、請求項８に記載の認証方法において、合言葉格納サーバにより、第１の認証情報と合言葉とを受信して、相互に対応付けてデータベースに格納する合言葉格納ステップをさらに備えたことを特徴とする。

請求項１０に記載の発明は、請求項８または９に記載の認証方法において、合言葉送信ステップは、受信した第３の認証情報が受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、一致しなかった旨を端末に送信することを特徴とする。

請求項１１に記載の発明は、請求項８または９に記載の認証方法において、合言葉送信ステップは、受信した第３の認証情報が受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、合言葉と異なる別の言葉を端末に送信することを特徴とする。

請求項１２に記載の発明は、請求項８ないし１１のいずれかに記載の認証方法において、合言葉格納サーバにより、第１の認証情報、第３の認証情報、および合言葉を受信して、相互に対応付けてデータベースに格納する合言葉格納ステップをさらに備えたことを特徴とする。

請求項１３に記載の発明は、請求項８ないし１２のいずれかに記載の認証方法において、端末により、認証情報入力画面において、合言葉の受信を所望することの確認の入力があったときは、第１および第２の認証情報を入力するフィールドとともに、合言葉を表示するフィールドを表示し、報知手段は該合言葉を表示するフィールドに合言葉の内容を表示することを特徴とする。

請求項１４に記載の発明は、請求項８ないし１３のいずれかに記載の認証方法において、第１の認証情報はユーザＩＤであり、第２の認証情報は暗証であることを特徴とする。

以上説明したように、本発明によれば、第１の認証情報を入力する入力手段と、第１の認証情報が入力されるとサーバに送信する第１送信手段と、サーバから送信した第１の認証情報に対応する合言葉を受信すると合言葉の内容を報知する報知手段と、第２の認証情報が入力されるとサーバに送信する第２送信手段とを含む端末と、第１の認証情報を受信すると、データベースから予め登録された第１の認証情報に対応する合言葉を読み出して、端末に送信する合言葉送信手段を含むサーバとを備えているので、ユーザがウェブサイトの真偽を容易に確認することができるようになりフィッシング等の詐欺行為を回避することが可能となる。

以下、図面を参照しながら本発明の実施形態について詳細に説明する。

（第１実施形態）
本実施形態のシステムでは、既に説明した図１に示すインターネットシステムの構成を使用することができる。ただし、データベース１０４には従来技術で格納されている情報に加え、後述する図５に示す情報が格納されている。なお、利用者ＰＣ１０１は、一般には通常のＰＣであり、通常はＣＰＵ、メモリ等を内蔵した本体にディスプレイ、キーボード等の入出力機器が接続されるよう構成されているが、これに限られずユーザからの入力を受け取り、所定の処理を行ってインターネット等のネットワークを介しサーバと送受信を行って、ユーザに所望の情報やサービスの提供が可能な装置であればいずれの装置を使用することもできる。

図９は、本発明の一実施形態のサーバを示すブロック図であり、図１に示した構成のサーバについてさらに詳しく示すものである。利用者ＰＣ１０１は、インターネットに接続され、Ｗｅｂサーバ１０２を介してＡＰサーバ１０３に接続され、種々の情報のやり取りが利用者ＰＣ１０１と、ＡＰサーバ１０３との間で行われる。ＡＰサーバ１０３は、ユーザ認証を行うために必要な種々のモジュールを含み、一般的には顧客データベース９２０を備えて、種々の関連する機能を実現している。本実施形態のサーバ側の処理は、特に認証処理部９１０が実行し、認証処理部９１０はさらに合言葉探索部９１１および合言葉送信部９１２を備え、後述するように利用者ＰＣ１０１から送信されるユーザＩＤと合言葉暗証とにより合言葉を探索、確認して合言葉を送信する。ここで、認証処理部９１０、合言葉探索部９１１および合言葉送信部９１２は、本実施形態の処理を実行するための１構成要素であり、一般にはソフトウェアのモジュールとして実装されるが、実際に適用されるシステムでは、これらの機能を他のモジュールにおいて実装することもできるし、１つのモジュールに組み合わせてしまうこともできる。

次に、本実施形態の認証システムの処理について図７を参照して説明する。図７は、本発明の一実施形態の認証システムの端末側処理を示すフローチャートである。ユーザがＵＲＬを入力等することにより所望のウェブサイトに接続すると、一般にはそのウェブサイトのエントリーページが表示される（Ｓ７０１）。

その後、図６に示すようにユーザＩＤと合言葉暗証を入力するための入力フィールドが表示される（Ｓ７０２）。ここで、合言葉暗証の入力フィールドが表示されるが、これはサーバ側がユーザＩＤのみで合言葉を送信してしまった場合、フィッシングする者も予めユーザＩＤを取得しておいて、合言葉を入手できてしまうことを回避するためである。このため、サーバは一定回数以上、誤った合言葉暗証が入力された場合、その合言葉の使用を停止するようにして、保護の強化を図ることもできる。

さらに、ユーザの合言葉を取得しようとする意思を確認するため、「合言葉確認」ボタンが表示され、ユーザはこのボタンをクリックすることにより、サーバから登録された合言葉を受信して端末の画面上で確認することができるのである。本実施形態では、図６に示すように通常の「暗証」や「ログイン」も同一画面に表示され合言葉の確認をしなくてもログインすることができるが、これらを表示せず必ず合言葉を確認させるようにすることもできる。

ここで、合言葉とは、一般にはユーザがそれを見るとある程度確実に思い出すことができる言葉であり、文章や単語とすることができるが、これに限られず端末の画面に表示することができる何らかの記号をはじめとする情報とすることもできる。したがって、本実施形態の合言葉は、いずれの表現を用いたとしても、暗証のように全く同じものでなければならないわけではなく、一定の範囲で同一性が確認できれば良いような種類の表現なのである。さらに、合言葉は、表示に限らず音声やその他ユーザが確かに正規のウェブサイトであると確信することができる何らかの報知とすることもできる。合言葉は一般には、後述する合言葉登録処理において、予め登録しておく。

また、システムによっては、ユーザＩＤ、暗証を設定するときに合言葉も登録するようにすることができる。また、合言葉暗証も上述の合言葉のようにそれ自体制限はないが、一般には通常の暗証と同様に４桁〜８桁の数字が使用される。

図７に戻ると、利用者端末１０１は上述の「合言葉確認」ボタンがクリックされるのを待機して（Ｓ７０３）、クリックされた場合はウェブサイトにログインするに当たりユーザが合言葉を確認する意思があるものと判断して、入力されたデータをサーバに送信する（Ｓ７０４）。Ｗｅｂサーバ１０２を介してＡＰサーバ１０３の合言葉探索部９１１は、受信した合言葉暗証と、データベース１０４から読み出した合言葉暗証とを照合する。照合した結果、一致した場合は正当なユーザから合言葉の送信の依頼があったものとして、ＡＰサーバ１０３の合言葉送信部９１２は、登録されている合言葉を読み出して利用者端末１０１に送信する。

また、合言葉探索部９１１において、照合した結果一致しなかった場合、正当なユーザではないと考えられるため、合言葉送信部９１２は合言葉暗証が一致しない旨利用者端末１０１に送信する。

利用者端末１０１は、ＡＰサーバ１０３等から受信した合言葉を、例えば図８に示すように画面上に表示する（Ｓ７０５）。一方、合言葉暗証に一致しない（または未登録である）旨を受信した場合は、エラー表示する。ここで、再度入力画面を表示して、合言葉暗証を入力し直すようにすることもできる。この場合、他の識別情報も改めて入力させてセキュリティを向上させることもできる。

さらに、本実施形態では、合言葉暗証が誤っていた場合、その旨合言葉送信部９１２が送信するようにして、ユーザが確認することができるようにしているが、エラーに替えて、登録されている合言葉とは異なる合言葉を送信するようにすることもできる。

合言葉を受信して表示した結果、ユーザがこれを確認して登録した合言葉であると一定の確実性で認識できれば、現時点でアクセスしているウェブサイトは正規のものであると確認できるので、通常の認証処理に進むことができる（Ｓ７１０以降）。これは、本実施形態の合言葉を用いた確認という処理自体がセキュリティを補償するものであり、合言葉自身が正確に一致するかどうかをユーザ側で確認する必要はないからである。

ここで、図示しないが、表示された合言葉がユーザの記憶にあるものとかけ離れている場合は、現時点でアクセスしているウェブサイトは偽のウェブサイトであるとしても問題ないから、ユーザはアクセスを中断し、あるいは別のウェブサイトに直ちにアクセスし直すようにする。

ステップＳ７１０以降の認証処理は基本的に従来の認証方法であるが、まずステップＳ７１０では、図８に示すような画面の「暗証」フィールドに暗証データを入力してログイン処理へと進む。ここで、本実施形態では改めてユーザＩＤを入力させないが、これに限られず、例えば再度ユーザＩＤから入力させるようにすることもできる。

図８に示すように、データの入力フィールドとともに「ログイン」等のボタンが表示されているが、これはユーザが受信した合言葉が正しいものであり、「ログイン」ボタンをクリックして、入力した暗証で現在接続されているサーバにおける認証処理を希望するとの意思を示すためのものである。

次に、「ログインボタン」がクリックされるのを待機して（Ｓ３０３）クリックされると、データフィールドに入力されたデータをサーバに送信する（Ｓ３０４）。ここでは、詳細には説明しないが、送信された入力データに基づきＡＰサーバ１０３において、ユーザＩＤと暗証とを照合して認証が成功すれば情報やサービスを提供するための次の処理に進み、データが送信される。失敗した場合、その旨利用者端末１０１に送信される。

利用者端末１０１は、ユーザの認証に成功した旨受信すると（Ｓ３０５）、その後Ｗｅｂサーバから受信した画面を表示する（Ｓ３０６）が、認証に失敗した場合は、通常、エラーを表示してユーザに報知する（Ｓ３０７）。

以上説明したように、本実施形態によればユーザは予め登録した合言葉によりログインしようとするウェブサイトが正規のウェブサイトであるか否かを判断することができ、偽のウェブサイトに秘密の識別情報を入力して詐取されてしまうことを回避することができる。

（第２実施形態）
本実施形態においても、第１実施形態と同様図１のインターネットシステムを使用するが、これに限られることなく種々のシステムを使用することができる。

上述の第１実施形態では、予め合言葉が登録されている場合に合言葉を用いてユーザがウェブサイトの真偽を判断するものであったが、本実施形態のシステムは、合言葉の登録を行なうためのものである。以下図面を参照して本実施形態の登録システムについて説明する。

図１１は、本実施形態のシステムの処理の一例を示すフローチャートである。所望のウェブサイトにアクセスし、Ｗｅｂサーバ１０２を介してＡＰサーバ１０３から合言葉登録画面を取得すると（Ｓ１１０１）、図１０に示すような合言葉および合言葉暗証を入力するフィールドを表示する（Ｓ１１０２）。ここで、合言葉暗証を再度入力するようにして、誤登録を回避するようにしても良い。ユーザが適切な合言葉を考えて合言葉暗証とともに入力し「登録」ボタンがクリックされるのを待機する（Ｓ１１０３）。「登録」がクリックされると、利用者端末１０１は入力されたデータをＡＰサーバ１０３に送信する（Ｓ１１０４）。

ＡＰサーバ１０３では、図示しないが、送信されたデータをデータベース１０４に格納して、例えば図５に示すようなテーブルとして管理を行なう。

以上の処理を行うことによって、合言葉を合言葉暗証とともに登録することができ、これにより第１実施形態のシステムの使用が可能となる。

情報やサービスを提供するインターネットシステムを一般化したブロック図である。 従来技術のインターネットシステムで設定された識別情報の一例を示す図である。 従来の認証方法の端末側の処理の一例を示すフローチャートである。 画面の一例を示す図である。 本発明の一実施形態のユーザデータ各の領域の一例を示す図である。 本発明の一実施形態の画面の一例を示す図である。 本発明の一実施形態の認証システムの端末側処理を示すフローチャートである。 本発明の一実施形態の画面の一例を示す図である。 本発明の一実施形態のサーバを示すブロック図である。 本発明の一実施形態の画面の一例を示す図である。 本発明の一実施形態の認証システムの端末側処理を示すフローチャートである。

符号の説明

１０１ 利用者ＰＣ
１０２ Ｗｅｂサーバ
１０３ ＡＰサーバ
１０４ データベース
４０１ Ｗｅｂサーバ
４０２ データベース
９０１ 顧客
９１０ 認証処理部
９１１ 合言葉探索部
９１２ 合言葉送信部
９２０ 顧客データベース

Claims (14)

1. 第１の認証情報と第２の認証情報とを含むユーザ認証情報を送信する端末と、該端末から送信された前記ユーザ認証情報により認証を行って所定のサービスを提供するサーバとを備えた認証システムであって、
   予め所定の合言葉および該合言葉の正当なユーザであるか否か判定するための第３の認証情報を前記第１の認証情報に対応付けて格納したデータベースを備え、
   前記端末は、前記第１の認証情報、前記第２の認証情報および前記第３の認証情報を入力する入力手段と、前記第１の認証情報の入力を受け取る際にユーザが合言葉の受信を所望することの確認を表示して結果の入力を受け取る選択入力手段と、前記選択入力手段により合言葉の受信を所望することの確認の入力があったときは該合言葉を受信することを前記サーバに要求するとともに、前記第１の認証情報が入力されると前記第３の認証情報とともに前記サーバに送信し、前記合言葉の受信を所望することの確認の入力がなかったときは、前記第１の認証情報が入力されると前記サーバに送信する第１送信手段と、前記サーバから当該送信した第１の認証情報に対応する合言葉を受信すると該合言葉の内容を報知する報知手段と、前記第２の認証情報が入力されると前記サーバに送信する第２送信手段とを含み、
   前記サーバは、前記合言葉の要求があった場合、前記第１の認証情報を受信し、前記第３の認証情報が前記受信した第１の認証情報に関連付けられた第３の認証情報と一致したときは、前記データベースから予め登録された第１の認証情報に対応する合言葉を読み出して、前記端末に送信する合言葉送信手段を含むことを特徴とする認証システム。
2. 前記第１の認証情報と合言葉とを受信して、相互に対応付けて前記データベースに格納する合言葉格納サーバをさらに備えたことを特徴とする請求項１に記載の認証システム。
3. 前記合言葉送信手段は、前記受信した第３の認証情報が前記受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、該一致しなかった旨を前記端末に送信することを特徴とする請求項１または２に記載の認証システム。
4. 前記合言葉送信手段は、前記受信した第３の認証情報が前記受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、前記合言葉と異なる別の言葉を前記端末に送信することを特徴とする請求項１または２に記載の認証システム。
5. 前記第１の認証情報、第３の認証情報、および合言葉を受信して、相互に対応付けて前記データベースに格納する合言葉格納サーバをさらに備えたことを特徴とする請求項１ないし４のいずれかに記載の認証システム。
6. 前記端末は、認証情報入力画面において、合言葉の受信を所望するとの確認の入力があったときは、第１および第２の認証情報を入力するフィールドとともに、前記合言葉を表示するフィールドを表示し、前記報知手段は該合言葉を表示するフィールドに前記合言葉の内容を表示することを特徴とする請求項１ないし５のいずれかに記載の認証システム。
7. 前記第１の認証情報はユーザＩＤであり、前記第２の認証情報は暗証であることを特徴とする請求項１ないし６のいずれかに記載の認証システム。
8. 第１の認証情報と第２の認証情報とを含むユーザ認証情報を送信する端末と、該端末から送信された前記ユーザ認証情報により認証を行って所定のサービスを提供するサーバと、予め所定の合言葉および該合言葉の正当なユーザであるか否か判定するための第３の認証情報を前記第１の認証情報に対応付けて格納したデータベースとを備えた認証システムにおいてユーザ認証を行なう認証方法であって、
   前記端末により、
   前記第１の認証情報、前記第２の認証情報および第３の認証情報を入力する入力ステップと、
   前記第１の認証情報の入力を受け取る際にユーザが合言葉の受信を所望することの確認を表示して結果の入力を受け取る選択入力ステップと、
   前記選択入力ステップにより合言葉の受信を所望することの確認の入力があったときは該合言葉を受信することを前記サーバに要求するとともに、前記第１の認証情報が入力されると前記第３の認証情報とともに前記サーバに送信し、前記合言葉の受信を所望することの確認の入力がなかったときは、前記第１の認証情報が入力されると前記サーバに送信する第１送信ステップと、
   前記サーバから当該送信した第１の認証情報に対応する合言葉を受信すると該合言葉の内容を報知する報知ステップと、
   前記第２の認証情報が入力されると前記サーバに送信する第２送信ステップと、
   前記サーバにより、
   前記合言葉の要求があった場合、前記第１の認証情報を受信し、前記第３の認証情報が前記受信した第１の認証情報に関連付けて前記データベースに格納された第３の認証情報と一致したときは、前記データベースから前記第１の認証情報に対応する合言葉を読み出して、前記端末に送信する合言葉送信ステップと
   を備えたことを特徴とする認証方法。
9. 合言葉格納サーバにより、前記第１の認証情報と合言葉とを受信して、相互に対応付けて前記データベースに格納する合言葉格納ステップをさらに備えたことを特徴とする請求項８に記載の認証方法。
10. 前記合言葉送信ステップは、前記受信した第３の認証情報が前記受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、該一致しなかった旨を前記端末に送信することを特徴とする請求項８または９に記載の認証方法。
11. 前記合言葉送信ステップは、前記受信した第３の認証情報が前記受信した第１の認証情報に関連付けられた第３の認証情報と一致しなかったときは、前記合言葉と異なる別の言葉を前記端末に送信することを特徴とする請求項８または９に記載の認証方法。
12. 合言葉格納サーバにより、前記第１の認証情報、第３の認証情報、および合言葉を受信して、相互に対応付けて前記データベースに格納する合言葉格納ステップをさらに備えたことを特徴とする請求項８ないし１１のいずれかに記載の認証方法。
13. 前記端末により、認証情報入力画面において、合言葉の受信を所望することの確認の入力があったときは、第１および第２の認証情報を入力するフィールドとともに、前記合言葉を表示するフィールドを表示し、前記報知手段は該合言葉を表示するフィールドに前記合言葉の内容を表示することを特徴とする請求項８ないし１２のいずれかに記載の認証方法。
14. 前記第１の認証情報はユーザＩＤであり、前記第２の認証情報は暗証であることを特徴とする請求項８ないし１３のいずれかに記載の認証方法。

Images