JP4960738B2 - 認証システム、認証方法および認証プログラム - Google Patents

Description

本発明は、ワンタイムパスワードを用いてユーザの正当性を認証する認証技術に関する。

近年、フィッシング詐欺に代表される、インターネット上でのユーザＩＤ、パスワードなどの詐取・盗難（identity theft）が問題となっている。そのため、より高いセキュリティを確保し、ユーザの正当性を認証する技術が求められている。例えば、特許文献１には、ワンタイムパスワードを用いて、ユーザ認証を行うワンタイムパスワード認証システムが記載されている。
特開２００２−２５９３４４

特許文献１に記載のワンタイムパスワード認証システムでは、ワンタイムパスワード生成機能を有する携帯電話が生成したワンタイムパスワードを、ユーザＰＣ上のログイン画面から入力し、ユーザ認証サーバに送信する。そして、ユーザ認証サーバは、ユーザＰＣから送信されたワンタイムパスワードを認証する。

さて、携帯電話の普及に伴い、携帯電話からアクセス可能なＷｅｂサイトが増加している。また、携帯電話からアクセス可能なＷｅｂサイトにおいても、高度なユーザ認証を行うためにワンタイムパスワードを要求する場合がある。

ここで、携帯電話の機種によっては、特許文献１のワンタイムパスワード生成機能と、Ｗｅｂサイトにアクセスするためのブラウザ機能とを同時に起動できない場合がある。このように複数のアプリケーションを同時に起動できない携帯電話でＷｅｂサイトにアクセスする場合、ユーザは、携帯電話のディスプレイに表示されたワンタイムパスワードを、一旦メモまたは暗記しておき、その後ブラウザ機能を立ち上げてＷｅｂサイトにアクセスする必要がある。しかしながら、ワンタイムパスワードはランダムな文字列であるため、メモの際の書き間違えや、誤って暗記してしまう場合などがあり、ユーザにとって負荷が大きい。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、ワンタイムパスワードの入力が必要な高度なユーザ認証を行っているＷｅｂサイトにアクセスする際に、ユーザの利便性をより向上することにある。

上記課題を解決するために、本発明は、認証システムであって、ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶手段と、前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶手段と、前記ユーザ端末からの要求に前記認証記憶手段に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別手段と、前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶手段に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成手段と、前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶手段から取得するパスワード受信手段と、前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶手段から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成手段と、前記第３のワンタイムパスワードと、前記パスワード受信手段が受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証手段と、を有する。

また、本発明は、認証システムが行うワンタイムパスワードの認証方法であって、前記認証システムは、ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶部と、前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶部と、処理部とを有し、前記処理部は、前記ユーザ端末からの要求に前記認証記憶部に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別ステップと、前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶部に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成ステップと、前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶部から取得するパスワード受信ステップと、前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶部から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成ステップと、前記第３のワンタイムパスワードと、前記パスワード受信ステップで受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証ステップと、を行う。

また、本発明は、認証システムが実行するワンタイムパスワードの認証プログラムであって、前記認証システムは、ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶部と、前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶部と、処理部とを有し、前記処理部に、前記ユーザ端末からの要求に前記認証記憶部に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別ステップと、前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶部に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成ステップと、前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶部から取得するパスワード受信ステップと、前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶部から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成ステップと、前記第３のワンタイムパスワードと、前記パスワード受信ステップで受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証ステップと、を実行させる。

本発明では、ワンタイムパスワードの入力が必要な高度なユーザ認証を行っているＷｅｂサイトにアクセスする際に、ユーザの利便性をより向上することができる。

以下、本発明の実施の形態について説明する。

＜第１の実施形態＞
図１は、本発明の第１の実施形態が適用された認証システムの全体構成図である。

図示する認証システムは、ユーザ端末として携帯電話１またはＰＣ（Personal Computer）などの端末２と、認証サーバ５とを有する。これらの装置１、２、５は、携帯電話網やインターネットなどのネットワークを介して接続される。

本認証システムのユーザは、認証サーバ５が提供するＷｅｂサイトのサービスを利用可能なユーザであって、あらかじめ認証サーバ５に登録し、ユーザＩＤを取得しているものとする。

また、ユーザは、携帯電話１または端末２を用いて、認証サーバ５のＷｅｂサイトにアクセスするものとする。携帯電話１を用いて認証サーバ５のＷｅｂサイトにアクセスする場合、ユーザは、認証サーバ５からワンタイムパスワードを取得する。また、端末２を用いて認証サーバ５のＷｅｂサイトにアクセスする場合、ユーザは、ハードウェアトークン３からワンタイムパスワードを取得する。

携帯電話１は、ユーザの指示を受け付ける指示受付部と、各種の情報・画面を表示する表示部とを有する。指示受付部および表示部は、ブラウザと同様の機能を有するものとする。

端末２は、ユーザの各種指示を受け付ける指示受付部と、各種の情報・画面を表示する表示部とを有する。指示受付部および表示部は、ブラウザと同様の機能を有するものとする。

ハードウェアトークン３は、ワンタイムパスワードを生成する装置であって、ワンタイムパスワード生成キーと、ワンタイムパスワード生成部と、ワンタイムパスワード表示部とを有する。

認証サーバ５は、ユーザ端末（携帯電話１、端末２）からのアクセス要求を認証し、認証に成功した場合に所定のサービスを提供する。図示する認証サーバ５は、１次認証を行う１次認証部５１と、ユーザ端末が携帯電話１か否かを判別する判別部５２と、ユーザ端末が携帯電話１の場合にワンタイムパスワードを生成する第１の生成部５３と、ユーザ端末が端末２の場合にワンタイムパスワードを要求するワンタイムパスワード要求部５４と、ユーザ端末からワンタイムパスワードを受信するワンタイムパスワード受信部５５と、認証用のワンタイムパスワードを生成する第２の生成部５６と、ユーザ端末から送信されたワンタイムパスワードと第２の生成部が生成したワンタイムパスワードとを検証する２次認証部５７と、ユーザ端末に所定のサービスを提供する業務処理部５８と、を有する。

また、認証サーバ５は、認証に必要な各種の情報が記憶される認証テーブル６１と、ユーザ端末のセッション情報を記憶するセッション情報テーブル６２と、を有する。

図２は、認証テーブル６１の一例を示す図である。図示する認証テーブル６１は、ユーザＩＤ２０１と、パスワード２０２と、携帯電話ＩＤ２０３と、ワンタイムパスワード生成キー２０４とを有する。携帯電話ＩＤ２０３は、携帯電話あるいはその所持者であるユーザを特定するための情報であって、携帯電話の機種などに応じて様々な情報を用いることができる。例えば、携帯電話ＩＤ２０３に、携帯電話１のメモリ（携帯電話１から着脱可能なＩＣカードを含む）などに記憶された機体識別番号、電話番号、ユーザ情報などを用いることが考えられる。また、携帯電話ＩＤ２０３に、電話番号に基づいてキャリアのゲートウェイが発行する識別情報を用いることことが考えられる。

ワンタイムパスワード生成キー２０４は、ワンタイムパスワードを生成するための情報であって、固定情報（シード）と可変情報（カウンタ、時刻情報など）とを有する。固定情報は、ユーザ毎（またはユーザＩＤ毎）に割り当てられるユニークな文字列である。可変情報は、毎回異なるワンタイムパスワードを生成するための情報である。可変情報としては、例えば、時刻情報（タイムスタンプ）や、ワンタイムパスワードの生成回数を用いることが考えられる。

図３は、セッション情報テーブル６２の一例を示す図である。図示するセッション情報テーブル６２は、セッションＩＤ３０１（セッション情報）とユーザＩＤ３０２とを有する。セッションＩＤ３０１は、認証サーバ５にアクセスしたユーザ端末（携帯電話１または端末２）を識別するための情報であって、ログインからログアウトまでのセッション毎に一意に割り振られる情報である。

上記説明した、携帯電話１、端末２および認証サーバ５は、いずれも、例えば図４に示すようなＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、キーボードやマウスなどの入力装置９０４と、ディスプレイやプリンタなどの出力装置９０５と、ネットワークと接続するための通信制御装置９０６と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。

例えば、携帯電話１、端末２および認証サーバ５の各機能は、携帯電話１用のプログラムの場合は携帯電話１のＣＰＵ９０１が、端末２のプログラムの場合は端末２のＣＰＵ９０１が、そして、認証サーバ５用のプログラムの場合は認証サーバ５のＣＰＵ９０１が、それぞれ実行することにより実現される。

なお、認証サーバ５の認証テーブル６１およびセッション情報テーブル６２には、認証サーバ５のメモリ９０２または外部記憶装置９０３が用いられるものとする。また、認証サーバ５は、複数のサーバにより構成されるものであってもよい。

次に、ユーザ端末（携帯電話１または端末２）から認証サーバ５のＷｅｂサイトにアクセスする際の処理について説明する。

図５および図６は、アクセス処理のシーケンス図である。図７は、ユーザ端末の出力装置に表示される各種画面の一例を示したものである。図７（ａ）は、ユーザ端末が携帯電話１の場合の各種画面例で、図７（ｂ）は、ユーザ端末が端末２の場合の各種画面例である。

ユーザ端末は、ユーザの指示を受け付けて、所定のＵＲＬ（Uniform Resource Locator）を指定して認証サーバ５のＷｅｂサイトにアクセスし、認証サーバ５が提供するログイン画面を取得する。そして、ユーザ端末は、例えば図７（ａ）に示すログイン画面７１を、出力装置に表示する（Ｓ１１）。

図７（ａ）に示すログイン画面７１は、ユーザ端末が携帯電話１の場合のログイン画面であって、ユーザＩＤ入力欄と、パスワード入力欄と、送信ボタンとが表示されている。なお、ユーザ端末が端末２の場合、図７（ａ）のログイン画面７１と同様のログイン画面が端末２に表示される。ユーザは、あらかじめ認証テーブル６１に登録済みのユーザＩＤおよびパスワードを、それぞれの入力欄に入力し、送信ボタンをクリックする。ユーザ端末は、ユーザＩＤおよびパスワードを含む一次認証要求を、認証サーバ５に送信する（Ｓ１２）。

認証サーバ５の１次認証部５１は、受信した１次認証要求のユーザＩＤおよびパスワードが認証テーブル６１（図２参照）に存在するか否かを判別し、認証テーブル６１に存在する場合に正当なユーザからのアクセスであると認証する（Ｓ１３）。

そして、正当なユーザからのアクセスである場合、１次認証部５１は、１次認証に成功したことを示すセッションＩＤを生成し、生成したセッションＩＤをユーザＩＤとともに、セッション情報テーブル６２に登録する（Ｓ１４）。１次認証部５１は、例えば時刻情報などを用いて当該ユーザ端末を識別するためのユニークなセッションＩＤを生成する。なお、認証テーブル６１に存在しない場合、１次認証部５１は、１次認証に失敗したとしてエラーメッセージをユーザ端末に送信する。

そして、１次認証部５１は、所定のメニュー画面と生成したセッションＩＤとを、ユーザ端末に送信する（Ｓ１５）。そして、ユーザ端末は、メニュー画面を出力装置に表示する（Ｓ１６）。図７（ａ）のメニュー画面８２は、携帯電話１に表示されたメニュー画面の一例である。図示するメニュー画面には、認証サーバ５が提供する各種のサービスが表示され、Ｓ１３の１次認証だけで利用可能なサービス（例えば「照会」）と、２次認証も必要なサービス（例えば「注文」）とが混在している。なお、ユーザ端末が端末２の場合、図７（ａ）のメニュー画面７２と同様のメニュー画面が端末２に表示される。

ここでユーザは、２次認証も必要なサービス（図示する例では「注文」）を選択するものとする。そして、ユーザ端末は、選択されたメニュー番号と、メニュー画面に埋め込まれたセッションＩＤとを含むサービス選択指示を認証サーバ５に送信する（Ｓ１７）。なお、ユーザ端末が携帯電話１の場合、携帯電話１は、認証サーバ５に情報を送信する際に、当該携帯電話１のメモリ等に記憶された携帯電話ＩＤを併せて送信するものとする。

判別部５２は、受信したサービス選択指示のセッションＩＤがセッション情報テーブル６２に存在するか否かをチェックする（Ｓ１８）。判別部５２は、セッション情報テーブル６２に存在する場合には当該サービス選択指示は１次認証に成功後のものであるとみなし、セッション情報テーブル６２に存在しない場合には当該サービス選択指示は不正なユーザからのものであるとみなしエラーメッセージをユーザ端末に送信する。

セッションＩＤがセッション情報テーブル６２に存在する場合、判別部５２は、当該サービス番号について２次認証が必要なサービスか否かを判別する。なお、認証サーバ５のメモリなどにはサービス番号各々について２次認証の要否が記憶されているものとする。２次認証が不要なサービス番号の場合、判別部５２は、サービス番号を業務処理部５８に引き渡し、業務処理部５８は当該サービス番号のサービスを提供するための所定の業務サービス画面をユーザ端末に送信する。

２次認証が必要なサービス番号の場合、判別部５２は、当該サービス選択指示に携帯電話ＩＤが含まれているか否かを判別する（Ｓ１９）。携帯電話ＩＤが含まれていない場合（Ｓ１９：無）、すなわちユーザ端末がＰＣなどの端末２の場合、図６の処理に進む。一方、携帯電話ＩＤが含まれている場合（Ｓ１９：有）、すなわちユーザ端末が携帯電話１の場合、判別部５２は、当該携帯電話ＩＤおよびユーザＩＤが認証テーブル６１に存在するか否かをチェックする（Ｓ２０）。なお、判別部５２は、セッション情報テーブル６２から当該セッションＩＤに対応するユーザＩＤを取得するものとする。

認証テーブル６１に存在する場合、判別部５２は、当該レコードに設定されたパスワード生成キーを取得して第１の生成部５３に送出する。一方、認証テーブル６１の中に存在しない場合、判別部５２は、不正なユーザまたはワンタイムパスワードの発行サービスに未登録のユーザからの要求であると判別し、エラーメッセージをユーザ端末に送信する。

第１の生成部５３は、送出されたパスワード生成キーに基づいて、所定のアルゴリズム（例えば、ハッシュ関数等の一方向性関数）によりワンタイムパスワードを生成する（Ｓ２１）。

そして、第１の生成部５３は、生成したワンタイムパスワードを含むワンタイムパスワード確認画面と、セッションＩＤとをユーザ端末に送信する（Ｓ２２）。ユーザ端末は、例えば、図７（ａ）のワンタイムパスワード確認画面７３を出力装置に表示する（Ｓ２３）。ユーザが当該画面のＯＫボタンをクリックすることにより、ユーザ端末は、表示されたワンタイムパスワード、および当該画面に埋め込まれたセッションＩＤを認証サーバ５に送信する（Ｓ２４）。

認証サーバ５のワンタイムパスワード受信部５５は、Ｓ１８と同様に、受信したセッションＩＤがセッション情報テーブル６２に存在するか否かをチェックする（Ｓ２５）。セッション情報テーブル６２に存在する場合、ワンタイムパスワード受信部５５は、セッション情報テーブル６２から対応するユーザＩＤを取得する。そして、ワンタイムパスワード受信部５５は、認証テーブル６１から取得したユーザＩＤに対応するワンタイムパスワード生成キーを取得して第２の生成部５６に送出する。

第２の生成部５６は、送出されたパスワード生成キーに基づいて、Ｓ２１と同様のアルゴリズムによりワンタイムパスワードを生成する（Ｓ２６）。そして、２次認証部５７は、Ｓ２４で受信したワンタイムパスワードと、Ｓ２６で生成したワンタイムパスワードとが一致するか否かを判別する（Ｓ２７）。ワンタイムパスワードが一致した場合、２次認証部５７は、正当なユーザからの要求であると認証し、２次認証に成功した旨を示すログイン後画面をユーザ端末に送信する（Ｓ２８）。

ユーザ端末は、例えば図７（ａ）に示すログイン後画面７４を、出力装置に表示する（Ｓ２９）。図示する画面の場合、ユーザが「次へ」のボタンをクリックすることにより、認証サーバ５の業務処理部５８は、Ｓ１７で送信されたメニュー番号のサービスをユーザに提供する。なお、ワンタイムパスワードが一致しない場合（Ｓ２７）、２次認証部５７は、２次認証に失敗した旨を示すエラーメッセージを端末２に送信する。

次に、携帯電話ＩＤが含まれていない場合（Ｓ１９：無）、すなわちユーザ端末がＰＣなどの端末２の場合の処理を、図６を参照して説明する。

認証サーバ５のワンタイムパスワード要求部５４は、ユーザ端末にワンタイムパスワードを要求する（Ｓ４１）。すなわち、ワンタイムパスワード要求部５４は、ワンタイムパスワード入力画面と、セッションＩＤとをユーザ端末に送信する。ユーザ端末は、例えば、図７（ｂ）のワンタイムパスワード入力画面７５を出力装置に表示する（Ｓ４２）。

ユーザは、ハードウェアトークン３に表示されたワンタイムパスワードを、ワンタイムパスワード入力画面に入力し、送信ボタンをクリックする。ハードウェアトークン３のメモリには、当該ハードウェアトークン３を使用するユーザのユーザＩＤ固有のワンタイムパスワード生成キーが設定されている。なお、ハードウェアトークン３に記憶されたワンタイムパスワード生成キーと、認証テーブル６１の対応するワンタイムパスワード生成キーとは、同じものである。ハードウェアトークン３は、所定のタイミングでまたはユーザの指示を受け付けて、認証サーバ５と同様のアルゴリズム（Ｓ２１、Ｓ２６）によりワンタイムパスワードを生成し、ディスプレイなどの表示装置に表示する。

なお、ワンタイムパスワードを生成する手段は、ハードウェアトークン３を利用する場合に限定されず、他の端末を通じてワンタイムパスワードの発行を受ける場合、携帯電話１のワンタイムパスワード生成アプリを用いる場合などが考えられる。

ユーザ端末は、ユーザが入力したワンタイムパスワードと、セッションＩＤとを認証サーバ５に送信する（Ｓ４３）。認証サーバ５は、図５で説明したＳ２５からＳ２８と同様に、セッション情報のチェック、ワンタイムパスワードの生成、および生成したワンタイムパスワードとユーザ端末から受信したワンタイムパスワードとが一致するか否かの２次認証を行い、ログイン後画面をユーザ端末に送信する（Ｓ４４〜Ｓ４７）。ユーザ端末は、例えば図７（ｂ）に示すログイン後画面７６を、出力装置に表示する（Ｓ４８）。

以上説明した本実施形態の認証サーバ５は、ユーザ端末から送信されたサービス選択指示などの要求に、携帯電話ＩＤが含まれている場合はユーザ端末が携帯電話であると判別し、ワンタイムパスワードを生成して携帯電話に送信する。これにより、ユーザは、認証サーバ５のＷｅｂサイトへのアクセス処理を中断することなく、携帯電話１に表示されたワンタイムパスワードを容易に認証サーバ５に送信することができる。すなわち、本実施形態では、携帯電話の機種に関わらず、ワンタイムパスワードの入力が必要な高度なユーザ認証を行っているＷｅｂサイトにアクセスする際に、ユーザの利便性をより向上することができる。また、本実施形態では、ワンタイムパスワードの生成機能を有しない携帯電話であっても、ワンタイムパスワードの入力が必要なＷｅｂサイトに容易にアクセスすることができる。

また、本実施形態の認証サーバ５は、ユーザ端末から送信された要求に携帯電話ＩＤが含まれていない場合は、ユーザ端末がＰＣなどの端末であると判別し、ワンタイムパスワードの入力を要求する。これにより、本実施形態では、ユーザ端末が携帯電話の場合に限らずパソコンなどの端末であっても、ハードウェアトークンを利用することにより、容易にワンタイムパスワードの入力が必要なＷｅｂサイトにアクセスすることができる。

また、本実施形態の認証サーバ５は、まずユーザＩＤおよびパスワードの１次認証を行い、１次認証に成功した場合にセッションＩＤをセッション情報テーブルに記憶し、その後、ワンタイムパスワードの２次認証を行う。これにより、サービスの種類に応じて柔軟に認証レベルを設定することができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記実施形態では、図５のアクセス処理のＳ２２からＳ２４において、認証サーバ５はワンタイムパスワード確認画面を携帯電話に表示させ、ユーザの指示によりワンタイムパスワードを認証サーバ５に送信させることとした。しかしながら、認証サーバ５の第１の生成部５３は、ワンタイムパスワード確認画面を携帯電話に表示させることなく、生成したワンタイムパスワードを当該認証システムに自動的に送信させるリダイレクト指示をユーザ端末に送信することとしてもよい。これにより、ユーザの利便性をより向上することができる。

また、上記実施形態の認証サーバ５は、第１および第２の生成部５３、５６を有するが、１つの生成部が携帯電話１に送信するワンタイムパスワードを生成するとともに（図５：Ｓ２１）、認証用のワンタイムパスワードを生成する（図５：Ｓ２６）こととしてもよい。

＜第２の実施形態＞
図８は、本発明の第２の実施形態が適用された認証システムの全体構成図である。

図示する認証システムは、ユーザ端末として携帯電話１またはＰＣ（Personal Computer）などの端末２と、業務サーバ７と、認証サーバ８とを有する。業務サーバ７は、携帯電話１および端末２と携帯電話網やインターネットなどのネットワークを介して接続されるとともに、認証サーバ８とＬＡＮなどのネットワークにより接続される。

本実施形態の業務サーバ７は、ユーザ端末（携帯電話１、端末２）からのアクセス要求を認証サーバ８とともに認証し、認証に成功した場合に所定のサービスを提供する。図示する業務サーバ７は、１次認証を行う１次認証部７１と、ユーザ端末が携帯電話１か否かを判別する判別部７２と、ユーザ端末が携帯電話１の場合にＰＩＮを要求するＰＩＮ要求部７３と、ユーザ端末が端末２の場合にワンタイムパスワードを要求するワンタイムパスワード要求部７４と、ユーザ端末からワンタイムパスワードを受信するワンタイムパスワード受信部７５と、ワンタイムパスワードを生成する生成部７６と、ユーザ端末から送信されたワンタイムパスワードと生成部７６が生成したワンタイムパスワードとを検証する２次認証部７７と、ユーザ端末に所定のサービスを提供する業務処理部７８と、を有する。

また、図示する業務サーバ７は、認証に必要な各種の情報が記憶される第１の認証テーブル７９と、第１の実施形態のセッション情報テーブル６２（図３参照）と同様のセッション情報テーブル８０と、を有する。

本実施形態の認証サーバ８は、業務サーバ７の要求を受け付けて携帯電話ＩＤの検証を行う携帯電話ＩＤ検証部８１と、業務サーバ７の要求を受け付けてＰＩＮの検証を行うＰＩＮ検証部８２と、第２の認証テーブル８５とを有する。

図９は、業務サーバ７の第１の認証テーブル７９の一例を示す図である。図示する第１の認証テーブル７９は、ユーザＩＤ１１１と、パスワード１１２と、ワンタイムパスワード生成キー１１３とを有する。

図１０は、認証サーバ８の第２の認証テーブル８５の一例を示す図である。図示する第２の認証テーブル８０は、ユーザＩＤ１２１と、携帯電話ＩＤ１２２（機体識別番号、電話番号、携帯電話のＩＣメモリに記憶されたユーザ情報など）と、ユーザが任意に設定する暗証番号であるＰＩＮ（Personal Identification Number）１２３とを有する。

次に、ユーザ端末（携帯電話１または端末２）から業務サーバ７のＷｅｂサイトにアクセスする際の処理について説明する。

図１１および図１２は、アクセス処理のシーケンス図である。

図１１のＳ５１からＳ５８までの処理は、第１の実施形態の処理（図５：Ｓ１１〜Ｓ１８）と同様であるため、ここでは説明を省略する。なお、本実施形態では、第１の実施形態で認証サーバ５の１次認証部５１および判別部５２が行っていた処理を、業務サーバ７の１次認証部７１および判別部７２が行う。

Ｓ５９において、業務サーバ７の判別部７２は、当該サービス番号について２次認証が必要なサービスか否かを判別し、２次認証が不要なサービス番号の場合はサービス番号を業務処理部７８に引き渡し、業務処理部７８は当該サービス番号のサービスを提供するための所定の業務サービス画面をユーザ端末に送信する。一方、２次認証が必要なサービス番号の場合、判別部７２は、当該サービス選択指示に携帯電話ＩＤが含まれているか否かを判別する。

携帯電話ＩＤが含まれていない場合（Ｓ５９：無）、すなわちユーザ端末がＰＣなどの端末２の場合、図１２の処理に進む。一方、携帯電話ＩＤが含まれている場合（Ｓ５９：有）、すなわちユーザ端末が携帯電話１の場合、判別部７２は、当該携帯電話ＩＤおよびユーザＩＤの検証要求を認証サーバ８に送信する（Ｓ６０）。なお、判別部７２は、セッション情報テーブル８０から当該セッションＩＤに対応するユーザＩＤを取得するものとする。

認証サーバ８の携帯電話ＩＤ検証部８１は、業務サーバ７が送信した検証要求に含まれる携帯電話ＩＤおよびユーザＩＤが、第２の認証テーブル８５に存在するか否かをチェックする（Ｓ６１）。第２の認証テーブル８５の中に存在しない場合（Ｓ６１：ＮＧ）、携帯電話ＩＤ検証部８１は、認証サーバ８への登録を行っていない未登録ユーザからの要求であると判別し、検証結果（ＮＧデータ）を業務サーバ７に送信し（Ｓ６２）、図１２の処理に進む。一方、第２の認証テーブル８５に存在する場合、携帯電話ＩＤ検証部８１は、検証結果（ＯＫデータ）を業務サーバ７に送信する（Ｓ６３）。

業務サーバ７のＰＩＮ要求部７３は、ユーザ端末にＰＩＮ（暗証番号）を要求する（Ｓ６４）。すなわち、ＰＩＮ要求部７３は、ＰＩＮ入力画面と、セッションＩＤとをユーザ端末に送信する。ユーザ端末は、ＰＩＮの入力欄が設定されたＰＩＮ入力画面を出力装置に表示する（Ｓ６５）。

ユーザは、あらかじめ認証サーバ８に登録したＰＩＮをＰＩＮ入力画面に入力する。ユーザ端末は、ユーザが入力したＰＩＮと、セッションＩＤとを業務サーバ７に送信する（Ｓ６６）。業務サーバ７のＰＩＮ要求部７３は、受信したセッションＩＤがセッション情報テーブル８０に存在するか否かをチェックする（Ｓ６７）。セッション情報テーブル８０に存在する場合、ＰＩＮ要求部７３は、当該ＰＩＮおよびユーザＩＤの検証要求を認証サーバ８に送信する（Ｓ６８）。なお、ＰＩＮ要求部７３は、セッション情報テーブル８０から当該セッションＩＤに対応するユーザＩＤを取得するものとする。

認証サーバ８のＰＩＮ検証部８２は、業務サーバ７が送信したＰＩＮおよびユーザＩＤが、第２の認証テーブル８５に存在するか否かをチェックし（Ｓ６９）、検証結果（ＯＫまたはＮＧ）を業務サーバ７に送信する（Ｓ７０）。業務サーバ７の２次認証部７７は、ＯＫの検証結果の場合、正当なユーザからの要求であると認証し、２次認証に成功した旨を示す２次認証後画面をユーザ端末に送信する（Ｓ７１）。ユーザ端末は、例えば図７（ａ）に示すログイン後画面７４を、出力装置に表示する（Ｓ７２）。

なお、携帯電話ＩＤが含まれていない場合、すなわちユーザ端末がＰＣなどの端末２の場合（Ｓ５９：無）の処理と、携帯電話ＩＤが認証サーバ８の第２の認証テーブルに登録されていない場合の処理（Ｓ６１：ＮＧ）は、図１２に示すとおりである。図１２のＳ８１からＳ８８までの処理は、第１の実施形態の処理（図６：Ｓ４１〜Ｓ４８）と同様であるため、ここでは説明を省略する。図１２の本実施形態では、第１の実施形態で認証サーバ５のワンタイムパスワード要求部５４、ワンタイムパスワード受信部５５、第２の生成部５６および２次認証部５７が行う処理を、業務サーバ７のワンタイムパスワード要求部７４、ワンタイムパスワード受信部７５、生成部７６および２次認証部７７が行う。

以上説明した本実施形態の業務サーバ７および認証サーバ８は、ユーザ端末から送信されたサービス選択指示などの要求に、携帯電話ＩＤが含まれている場合はユーザ端末が携帯電話であると判別し、ワンタイムパスワードの替わりにＰＩＮの入力を要求する。ユーザは、認証サーバ５のＷｅｂサイトへのアクセス処理を中断することなく、ＰＩＮを入力することにより２次認証に応答することができる。すなわち、本実施形態では、携帯電話の機種に関わらず、必要な高度なユーザ認証を行っているＷｅｂサイトにアクセスする際に、ユーザの利便性をより向上することができる。また、本実施形態では、ワンタイムパスワードの生成機能を有しない携帯電話であっても、高度なユーサ認証を行っているＷｅｂサイトに容易にアクセスすることができる。

また、本実施形態の業務サーバ７および認証サーバ８は、ユーザ端末から送信された要求に、携帯電話ＩＤが含まれていない場合は、ユーザ端末がＰＣなどの端末であると判別し、ワンタイムパスワードの入力を要求する。これにより、本実施形態では、ユーザ端末が携帯電話の場合に限らず、パソコンなどの端末であっても、ハードウェアトークンを利用することにより、容易にワンタイムパスワードの入力が必要なＷｅｂサイトにアクセスすることができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記実施形態では、図１１のアクセス処理のＳ６１において携帯電話ＩＤが第２の認証テーブルに登録されていた場合（Ｓ６１：ＯＫ）、ＰＩＮ入力画面をユーザ端末に送信することとした（Ｓ６４）。しかしながら、業務サーバ７は、第１の実施形態のようにワンタイムパスワードを生成し、ワンタイムパスワード確認画面をユーザ端末に送信し（図５：Ｓ２１〜Ｓ２４）、その後、ＰＩＮ入力画面をユーザ端末に送信することととしてもよい。

本発明の第１の実施形態が適用された認証システムの全体構成図である。 認証テーブルの一例を示す図である。 セッション情報テーブルの一例を示す図である。 各装置のハードウェア構成例を示す図である。 アクセス処理のシーケンス図である。 アクセス処理のシーケンス図である。 ユーザ端末の各種画面例である。 本発明の第２の実施形態が適用された認証システムの全体構成図である。 第１の認証テーブルの一例を示す図である。 第２の認証テーブルの一例を示す図である。 アクセス処理のシーケンス図である。 アクセス処理のシーケンス図である。

符号の説明

１：携帯電話、２：端末、３：ハードウェアトークン、５：認証サーバ、５１：１次認証部、５２：判別部、５３：第１の生成部、５４：ワンタイムパスワード要求部、５５：ワンタイムパスワード受信部、５６：第２の生成部、５７：２次認証部、５８：業務処理部、６１：認証テーブル、６２：セッション情報テーブル

Claims (7)

1. 認証システムであって、
   ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶手段と、
   前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶手段と、
   前記ユーザ端末からの要求に前記認証記憶手段に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別手段と、
   前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶手段に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成手段と、
   前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶手段から取得するパスワード受信手段と、
   前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶手段から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成手段と、
   前記第３のワンタイムパスワードと、前記パスワード受信手段が受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証手段と、を有すること
   を特徴とする認証システム。
2. 請求項１記載の認証システムであって、
   前記パスワード受信手段が受信した第２のワンタイムパスワードは、前記第１の生成手段が生成した第１のワンタイムパスワード、または、前記ユーザ端末においてユーザが入力したワンタイムパスワードであること
   を特徴とする認証システム。
3. 請求項１記載の認証システムであって、
   前記要求に前記ユーザ端末の端末識別情報が含まれていない場合、ワンタイムパスワードを要求する要求指示を前記ユーザ端末に送信するワンタイムパスワード要求手段を、さらに有すること
   を特徴とする認証システム。
4. 請求項１記載の認証システムであって、
   前記第１の生成手段は、生成した第１のワンタイムパスワードを、当該認証システムに送信させるリダイレクト指示を前記ユーザ端末に送信すること
   を特徴とする認証システム。
5. 請求項１記載の認証システムであって、
   前記ユーザ端末からユーザＩＤを含む１次認証要求を受信し、前記ユーザＩＤが前記認証記憶手段に記憶されている場合に１次認証に成功したことを示す前記セッション情報を生成し、前記ユーザＩＤとともにセッション情報記憶手段に記憶する１次認証手段を、さらに有すること
   を特徴とする認証システム。
6. 認証システムが行うワンタイムパスワードの認証方法であって、
   前記認証システムは、
   ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶部と、
   前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶部と、処理部とを有し、
   前記処理部は、
   前記ユーザ端末からの要求に前記認証記憶部に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別ステップと、
   前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶部に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成ステップと、
   前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶部から取得するパスワード受信ステップと、
   前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶部から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成ステップと、
   前記第３のワンタイムパスワードと、前記パスワード受信ステップで受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証ステップと、を行うこと
   を特徴とする認証方法。
7. 認証システムが実行するワンタイムパスワードの認証プログラムであって、
   前記認証システムは、
   ユーザ端末の端末識別情報と、ワンタイムパスワードを生成するためのパスワード生成キーと、ユーザＩＤとを対応付けて記憶する認証記憶部と、
   前記ユーザ端末のセッション情報とユーザＩＤとを対応付けて記憶するセッション情報記憶部と、処理部とを有し、
   前記処理部に、
   前記ユーザ端末からの要求に前記認証記憶部に記憶された当該ユーザ端末の端末識別情報が含まれているか否かを判別する判別ステップと、
   前記要求に前記ユーザ端末の端末識別情報が含まれている場合に、前記認証記憶部に記憶された当該端末識別情報に対応するパスワード生成キーに基づいて第１のワンタイムパスワードを生成し、前記ユーザ端末に送信する第１の生成ステップと、
   前記ユーザ端末から第２のワンタイムパスワードおよびセッション情報を受信し、前記セッション情報に対応するユーザＩＤを前記セッション情報記憶部から取得するパスワード受信ステップと、
   前記取得したユーザＩＤに対応するパスワード生成キーを前記認証記憶部から特定し、当該パスワード生成キーに基づいて第３のワンタイムパスワードを生成する第２の生成ステップと、
   前記第３のワンタイムパスワードと、前記パスワード受信ステップで受信した第２のワンタイムパスワードとが一致するか否かを検証し、一致する場合に認証に成功したと判別する認証ステップと、を実行させること
   を特徴とする認証プログラム。

Images