JP5317629B2 - 情報管理装置、情報処理システム、情報管理方法及び情報管理プログラム - Google Patents

Description

本発明は、利用者が利用する端末装置と該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、該利用者情報を管理する情報管理装置、情報処理システム、情報管理方法及び情報管理プログラムに関する。

利用者がポータルサイトなどで公開されている複数のサービスを利用しようとする際に、個々のポータルサイトにおいてＩＤ（アカウント）を取得し、必要な利用者情報を個別に手動にて入力する必要がある。
同じ内容の利用者の属性情報（利用者情報）の入力は、その利用者にとって煩雑である。その結果、登録せずに、サービス利用が促進されないことになる。そこで、利用者の情報を巧みに管理・活用する方式が必要となっている。

例えば、図２５に示すように、利用者２５３９が、端末装置２５３０を用いて、ポータルサイトＹ２５２１、ポータルサイトＸ２５２２が提供しているサービスを利用しようとする場合、ポータルサイトＸ２５２２のサービスを利用するためにはＩＤ登録が必要であり（ステップＳ２５０１）、そのために、ポータルサイトＸ２５２２に対して登録希望であることを示す操作を行い（ステップＳ２５０２−Ｘ）、さらに、氏名、住所、年齢、生年月日等を入力して、ＩＤ登録を行う必要がある（ステップＳ２５０３−Ｘ）。同じことをポータルサイトＹ２５２１に対しても行う必要がある（ステップＳ２５０２−Ｙ、ステップＳ２５０３−Ｙ）。このようにポータルサイト毎に、同じ内容の属性情報を入力して、ＩＤを登録しないといけないので、利用者にとっては煩雑となり、登録をやめてしまうことがある。

これに関連する技術として、例えば、特許文献１には、利用者に関連する情報（利用者情報）を管理する情報管理システムであって携帯端末から、利用者の識別情報、発番号情報及びパスワードの有効期限を含むパスワード発行要求を受信すると、有効期限を有するパスワードを生成して前記携帯端末に送信し、通信装置から、利用者の識別情報及びパスワードを受信すると、パスワードが正しく有効期限内である場合に、ユーザー識別情報により識別されるユーザーの利用者情報にアクセスして取得する情報管理システムが開示されている。すなわち、利用者が販売事業者のサービスの利用申し込みをする際に、通信事業者が保有している利用者情報（属性情報）を販売事業者へ送る仕組みについて開示されている。

また、非特許文献１、２、３には、Ｌｉｂｅｒｔｙ ＩＤ−ＷＳＦモデルとして、サーバに登録されている利用者情報をサービス業者間で直接交換し、利用者のサービス登録や利用時の手間を省いたり、サービスのパーソナライズを図るものが開示されている。具体的には、ユーザーはシングルサインオン（ＳＳＯ、Ｓｉｎｇｌｅ Ｓｉｇｎ−Ｏｎ）によって、ＩｄＰ（Ｉｄｅｎｔｉｔｙ Ｐｒｏｖｉｄｅｒ、認証業者）で認証した後ＳＰ（Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ、サービス業者）にログインし、その後、ＡＰ（Ａｔｔｒｉｂｕｔｅ Ｐｒｏｖｉｄｅｒ、個人属性提供業者）から必要な利用者情報（属性情報）をＳＰに送付することができるものである。
例えば、図２６に示すように、認証システム２６１５は、Ｗｅｂサービスを提供する個人属性提供システム２６１０と公開対象をレジストリ２６１７に登録する（ステップＳ２６００）。そして、利用者２６３９は端末装置２６３０を用いて、サービスシステム２６２０に対して、シングルサインオンを行い、サービス開始を要求する（ステップＳ２６０１）。サービスシステム２６２０は、認証システム２６１５のディスカバリサービス２６１６に対して利用者情報へのアクセスの検索要求を行う（ステップＳ２６０２）。ディスカバリサービス２６１６は、検索結果である利用者情報へのアクセス要求情報をサービスシステム２６２０へ送付する（ステップＳ２６０３）。サービスシステム２６２０は、個人属性提供システム２６１０に対して利用者情報を要求する（ステップＳ２６０４）。個人属性提供システム２６１０のインタラクションサービス２６１１は、端末装置２６３０の利用者２６３９から、サービスシステム２６２０への利用者情報提供の許可（同意）を取得する（ステップＳ２６０５）。個人属性提供システム２６１０は、サービスシステム２６２０に対して、利用者情報ＤＢ２６１２に格納されている氏名、住所、銀行口座番号、クレジットカード番号等の利用者情報を提供する（ステップＳ２６０６）。そして、サービスシステム２６２０は、端末装置２６３０の利用者２６３９に対して、サービスを提供する（ステップＳ２６０７）。

また、シングルサインオンをベースとした利用者情報（属性情報）の交換についても開示されている。つまり、ＳＳＯの下で信頼関係にあるサイト間で、利用者情報の交換を行うものである。これは、前述のＬｉｂｅｒｔｙ ＩＤ−ＷＳＦモデルを縮退させたものであり、ＩｄＰとＡＰが同一の利用者管理事業者である場合を意味している。例えば、図２７に示すように、サービスシステム２７１０が利用者のＩＤ情報を登録しておく。例えば、ユーザーＡのＩＤ情報としてｕｓｅｒ０１を登録する（ステップＳ２７０１−Ａ）。同様に、属性管理システム２７２０が利用者のＩＤ情報を登録しておく。例えば、ユーザーＡのＩＤ情報としてｕｓｅｒＡを登録する（ステップＳ２７０１−Ｂ）。サービスシステム２７１０と属性管理システム２７２０とは、予め信頼関係を構築しておく（ステップＳ２７０２）。次に、サービスシステム２７１０と属性管理システム２７２０の利用者情報を関連付ける（紐付ける）。例えば、ｕｓｅｒ０１とｕｓｅｒＡとは同じユーザーＡを示すために、両者を紐付ける（ステップＳ２７０３）。そして、サービスシステム２７１０で属性管理システム２７２０の利用者情報を使いたい場合に、サービスシステム２７１０と属性管理システム２７２０の信頼関係、ユーザーＩＤの紐付けをもとにユーザーＡの利用者情報を提供する（ステップＳ２７０４）。

また、非特許文献４には、モバイルＳｕｉｃａ（登録商標）の仮登録が開示されている。これは、入力に手間がかかる情報を前もってＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などで仮登録しておき、後から携帯電話と紐付けを行うものである。例えば、図２８に示すように、利用者２８３９は、ポータルサイトＹ２８２１のサービスを利用するためにＩＤ登録を行う（ステップＳ２８０１）。そのために、まず、利用者２８３９は、前もってＰＣ２８３１を用いてポータルサイトＹ２８２１に対して仮の登録を行う（ステップＳ２８０２）。例えば、氏名、住所、年齢、生年月日等を入力する。そして、ポータルサイトＹ２８２１はＰＣ２８３１に対して、仮登録情報（一時的なパスワード等）を送信する（ステップＳ２８０３）。利用者２８３９は、携帯電話２８３２を用いて、その仮登録情報でポータルサイトＹ２８２１にアクセスして（一時的なパスワードを入力して認証され）、本登録を行う（ステップＳ２８０４）。
この場合、利用者２８３９に関する利用者情報は、属性管理業者Ｘシステム２８４１によって既に管理されているのが一般的である。例えば、利用者２８３９の利用者情報は、携帯電話２８３２を購入する際に属性管理業者Ｘシステム２８４１に該当する携帯電話事業者のシステムに登録されて、管理されていることとなる。
特許第３９４９３８４号公報 Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅ、［平成２０年８月７日検索］、インターネット＜ＵＲＬ：http://www.projectliberty.org/＞ Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅ、［平成２０年８月７日検索］、インターネット＜ＵＲＬ：http://www.projectliberty.org/liberty/resource_center/specifications/liberty_alliance_id_wsf_2_0_specifications_including_errata_v1_0_updates＞ ＯＡＳＩＳ、［平成２０年８月７日検索］、インターネット＜ＵＲＬ：http://www.oasis-open.org/specs/#samlv2.0＞ 東日本旅客鉄道株式会社、［平成２０年８月７日検索］、インターネット＜ＵＲＬ：https://www.mobilesuica.com/ka/en/TypeSelect.aspx?returnId=SFRCMMEPC03＞

しかしながら、このような従来の技術では、以下のような問題点があった。
特許文献１に開示されている技術では、以下の３つの問題点がある。
＜問題点１＞
利用者情報という機密性の高い情報が、該利用者の意図しない第三者に対して、漏洩する可能性がある。
（理由）利用者情報を入手するために必要となるユーザーＩＤとパスワードが、該利用者情報の所有者である利用者の意図しない第三者に漏洩すれば、正規のユーザーになりすまして利用者情報にアクセスできてしまうからである。特許文献１に開示されている技術は、いわゆる情報管理装置と情報活用装置との間は専用線接続を仮定しているが、広域なネットワーク環境での適用を考慮すると、ユーザーＩＤとパスワードは漏洩する危険性は十分にある。

＜問題点２＞
利用者情報が、ユーザーが新規に利用者情報を送付しようと意図している事業者以外の事業者に、漏洩する可能性がある。
（理由）利用者情報を入手するために必要となるユーザーＩＤとパスワードが、利用者情報の送付先となる正しい事業者以外の他の事業者に漏洩した場合、その事業者が利用者情報にアクセスできてしまうからである。

＜問題点３＞
登録ユーザーのプライバシーが保護されない可能性がある。
（理由）利用者情報を管理又は利用するユーザーＩＤを、そのまま事業者に対して送付するからである。ユーザーＩＤは、ユーザーの利用者情報にアクセスするために利用する機密性の高い情報の１つであるから、このユーザーＩＤを、そのまま事業者に対して送付することで、利用者情報の漏洩するリスクが高まる。

非特許文献１、２、３に開示されている技術では、以下の２つの問題点がある。
＜問題点４＞
利用者が、管理業者にて管理されている利用者情報を、あるサービス事業者が利活用することを、該利用者の判断において実施することができない。
（理由）利用者情報を共有するためには、利用者情報の管理業者と事業者の間に信頼関係が構築されている必要があるからである。また、管理業者と事業者とは、それぞれのアクセス先（ＵＲＬなど）などの必要な情報を知らないため、通信できないからである。

＜問題点５＞
管理業者において管理する利用者情報を、事業者が利活用するための事前処理が多く、煩雑で不便である。
（理由）利用者は、管理業者とサービス業者において、予めそれぞれにＩＤ（アカウント）登録が必要である。その上、それぞれのＩＤを連携（紐付け）し、シングルサインオンすることが前提であるからである。

非特許文献４に開示されている技術では、以下の問題点がある。
＜問題点６＞
既に管理されている利用者情報を利用又は活用できていない。

つまり、第１の事業者（携帯電話事業者）のシステム（図２８に示した例では属性管理業者Ｘシステム２８４１）の利用者が第２の事業者（ポータルサイト事業者）のシステム（図２８に示した例ではポータルサイトＹ２８２１）でＩＤ登録を行う際に、両方の事業者に対して独立してＩＤ登録をする必要があると共に、第１の事業者が保有しているユーザーの利用者情報を第２の事業者が使用することができない。

本発明は、このような従来の技術が有する問題点に着目してなされたもので、ある事業者が保有している利用者の情報を、他の事業者に利用させる場合に、利用者情報を安全に送受信できる情報管理装置、情報処理システム、情報管理方法及び情報管理プログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
［１］ 利用者が利用する端末装置と該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、該利用者情報を管理する情報管理装置であって、前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて記憶する記憶手段と、前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得手段と、前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段と、を具備し、前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得することを特徴とする情報管理装置。

［２］ 前記取得手段は、前記端末装置に対する前記利用者の操作に基づいて、前記第２のアクセスコードを該端末装置から取得し、前記第２の連結手段は、前記端末装置から取得された前記第２のアクセスコードを用いることを特徴とする［１］に記載の情報管理装置。

［３］ 前記取得手段は、前記利用者が指定した他の利用者である第２の利用者の端末装置から前記第２のアクセスコードを取得し、前記第２の連結手段は、前記第２の利用者の端末装置から取得された前記第２のアクセスコードを用い、前記アクセストークン受信手段は、前記利用者の利用者情報に対するアクセスの許可要求を前記第２の利用者の端末装置を経由して前記情報活用装置から受信するものであり、該情報管理装置が該第２の利用者の端末装置に発行し、該情報活用装置が該第２の利用者の端末装置から取得する前記利用者のアクセストークン及び情報活用装置識別子を含み、前記取得手段は、前記第２の利用者が該第２の利用者の端末装置に入力した前記利用者のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得し、前記利用者の利用者情報を前記第２の利用者と共有することを、該利用者が指定した該第２の利用者に通知し、前記情報管理装置は、該利用者の情報共有者として該第２の利用者を関連付けて格納していることを特徴とする［１］に記載の情報管理装置。

［４］ 前記記憶手段は、前記第１の連結手段により連結された前記第１のアクセスコードを前記アクセストークンに対応付けてさらに記憶し、前記取得手段は、前記アクセストークン受信手段によって受信されたアクセストークンに対応付けられた前記第１のアクセスコードを前記記憶手段から取得し、前記第２の連結手段は、前記記憶手段から取得された前記第１のアクセスコードに前記乱数及び前記情報活用装置識別子を連結することを特徴とする［１］に記載の情報管理装置。

［５］ 前記端末装置に対する前記利用者の操作に基づいて、利用者を特定する利用者識別子と情報活用装置識別子を該端末装置から取得する利用者識別子取得手段をさらに具備し、前記記憶手段は、さらに前記利用者識別子取得手段によって取得された前記利用者識別子を記憶することを特徴とする［１］〜［４］の何れか一項に記載の情報管理装置。

［６］ 前記判断手段によって前記アクセス要求が正規なものと判断された場合は、前記利用者情報を前記情報活用装置に送信する利用者情報送信手段を具備することを特徴とする［１］〜［５］の何れか一項に記載の情報管理装置。

［７］ 前記判断手段によって前記アクセス要求が正規なものと判断された場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される利用者が利用している前記端末装置と通信することにより、前記情報活用装置への利用者情報の送信の許可を得る送信許可取得手段をさらに具備し、前記利用者情報送信手段は、前記判断手段によって前記アクセス要求が正規なものと判断され、さらに前記送信許可取得手段によって前記利用者情報の送信の許可が得られた場合に、前記利用者情報を前記情報活用装置に送信することを特徴とする［６］に記載の情報管理装置。

［８］ 前記送信許可取得手段は、前記端末装置に対して利用者識別子の送信を要求して、当該要求により得られた利用者識別子と、前記受信したアクセストークンに対応付けられた利用者識別子とが一致する場合に、前記情報活用装置への利用者情報の送信の許可が得られたと判定することを特徴とする［７］に記載の情報管理装置。

［９］ 前記第１の連結手段は、乱数と識別子情報を連結し、前記記憶手段は、さらに前記第１のハッシュ値算出手段のハッシュ関数の入力とした識別子情報を前記アクセストークンに対応付けて記憶し、前記第２の連結手段は、前記受信したアクセストークンに対応付けられた識別子情報を前記記憶手段から取得して前記乱数に連結することを特徴とする［１］〜［８］の何れか一項に記載の情報管理装置。

［１０］ 前記利用者情報を暗号化する暗号化手段をさらに具備し、前記利用者情報送信手段は、前記暗号化手段によって暗号化された前記利用者情報を送信することを特徴とする［６］〜［８］の何れか一項に記載の情報管理装置。

［１１］ 端末装置の利用者に関する情報である利用者情報を管理する情報管理装置と、当該利用者情報を活用する情報活用装置とが通信可能に接続された情報処理システムであって、前記情報管理装置は、前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて記憶する記憶手段と、前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得手段と、前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段と、を具備し、前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得し、前記情報活用装置は、アクセストークンを受信するアクセストークン受信手段と、前記アクセストークン受信手段によって受信されたアクセストークンと、自装置を特定する情報活用装置識別子とを前記情報管理装置に送信するアクセストークン送信手段と、前記アクセストークンに対応して前記情報管理装置から送信される前記利用者の利用者情報を受信する受信手段と、を具備することを特徴とする情報処理システム。

［１２］ 前記情報管理装置は、前記利用者情報を暗号化する暗号化手段をさらに具備し、前記情報管理装置の利用者情報送信手段は、前記暗号化手段によって暗号化された前記利用者情報を送信し、前記情報活用装置は、前記受信手段によって受信された暗号化された前記利用者情報を復号する復号手段をさらに具備することを特徴とする［１１］に記載の情報処理システム。

［１３］ 利用者が利用する端末装置と該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、該利用者情報を管理する情報管理装置が行う情報管理方法であって、前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信ステップと、前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結ステップと、前記第１の連結ステップにおいて連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出ステップと、前記第１のハッシュ値算出ステップにおいて算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行ステップと、前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出ステップで処理の対象となった乱数とを対応付けて記憶手段に記憶する記憶ステップと、前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信ステップと、前記アクセストークン受信ステップにおいて受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得ステップと、前記取得ステップにおいて取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結ステップと、前記第２の連結ステップにおいて連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出ステップと、前記アクセストークン受信ステップにおいて受信されたアクセストークンと前記第２のハッシュ値算出ステップにおいて算出されたハッシュ値とを照合して一致する場合は、前記記憶ステップにおいて該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断ステップと、を有し、前記許可要求受信ステップにおいて受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、前記取得ステップにおいては、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信ステップにおいて受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得することを特徴とする情報管理方法。

［１４］ 利用者が利用する端末装置と、該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、記憶装置を具備する情報管理装置を、前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて前記記憶装置に記憶するように制御する記憶制御手段と、前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶装置に記憶された乱数とを取得する取得手段と、前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶制御手段によって該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段として機能させ、前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶装置に記憶された乱数を取得することを特徴とする情報管理プログラム。

前記本発明は次のように作用する。
許可要求受信手段は、利用者情報に対する情報活用装置からのアクセスの許可要求を端末装置から受信し、第１の連結手段は、前記許可要求に対応したアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結し、第１のハッシュ値算出手段は、前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出し、アクセストークン発行手段は、前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行し、記憶手段は、前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて記憶し、アクセストークン受信手段は、前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信し、取得手段は、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記アクセスコードと前記記憶手段に記憶された乱数とを取得し、第２の連結手段は、前記取得手段により取得された乱数及びアクセスコードに前記受信した情報活用装置識別子を連結し、第２のハッシュ値算出手段は、前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出し、判断手段は、前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する。

これによって、事業者のシステムごとに事前に利用者情報を登録しておかなくても、１つの事業者のシステムに登録されている利用者情報を他の事業者のシステムでも利用できる。また、他の事業者のシステムに利用者情報を送信するためにネットワーク上で直接利用者識別子を送受信することをしないため、第三者への利用者情報の漏洩を防止することができ、セキュリティが強固なシステムを提供できる。

前記情報活用装置では、アクセストークン受信手段は、アクセストークンを受信し、アクセストークン送信手段は、前記アクセストークン受信手段によって受信されたアクセストークンと、自装置を特定する情報活用装置識別子とを前記情報管理装置に送信し、受信手段は、前記アクセストークンに対応して前記情報管理装置から送信される前記利用者の利用者情報を受信する。これによって、利用者は情報活用装置に利用者情報を入力しなくても、情報管理装置に登録されている利用者情報を情報活用装置でも活用させることができる。そして、その利用者情報は情報活用装置と情報管理装置とで同一のものである。また、情報活用装置に利用者情報を送信するために直接利用者識別子を使用することをしないため、プライバシーの保護ができ、情報の漏洩を防止し、セキュリティが強固なシステムを提供できる。

本発明にかかる情報管理装置、情報処理システム、情報管理方法及び情報管理プログラムによれば、事業者のシステムごとに事前に利用者情報を登録しておかなくても、１つの事業者のシステムに登録されている利用者情報を他の事業者のシステムでも利用できる。また、他の事業者のシステムに利用者情報を送信するためにネットワーク上で直接利用者識別子を送受信することをしないため、利用者が意図しない第三者への利用者情報の漏洩を防止することができ、セキュリティが強固なシステムを提供できる。これによって、利用者にとっては、事業者のシステム毎にサービスの利用開始のために利用者情報を登録するという手間が省け、利便性がより一層向上する。

以下、図面に基づき本発明を実現するにあたっての好適な各種の実施の形態の例を説明する。
図１は、本発明の実施の形態を実現するシステム構成例を示す説明図である。
情報管理装置１１０、情報活用装置１２０、端末装置１３０は、通信ネットワーク１４０を介して接続されており、互いに通信可能となっている。また、各装置は、必要に応じてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などの安全な通信路を確立し、通信相手以外の第三者による、通信内容の不正な傍受、盗み見を防止できる。

情報管理装置１１０には、利用者情報が既に登録されており、例えば、通信事業者が管理しているものである。情報活用装置１２０は、端末装置１３０の利用者１３９にサービスを提供するものであり、そのサービスの提供のためには、利用者１３９のユーザー登録が必要である。例えば、サービス事業者が管理しているものである。

以下、端末装置１３０として、携帯電話を主に例示して説明する。端末装置１３０は、情報管理装置１１０、情報活用装置１２０とデータ通信できるものであればよく、携帯電話の他に、ＰＨＳ（Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ ｐｈｏｎｅ Ｓｙｓｔｅｍ）、固定電話、通信可能なＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ゲーム機、携帯情報端末、情報家電等にも適用が可能である。なお、本発明の情報処理システムでは、携帯電話のように、キーが少なく（又は小さく）入力操作が困難である端末装置において、利用者にとってより利便性が発揮されるようになる。

図２は、本発明の実施の形態による処理例の概略を示す説明図である。
利用者が様々なサービスを利用したり、取引やＩＤ（ＩＤｅｎｔｉｆｉｅｒ、識別子）の登録を行ったりする際に、ある事業者が既に管理している利用者情報（例えば、住所、氏名などの個人属性情報）を、異なる事業者（第２の事業者）に安全に送付することによって、第２の事業者がその利用者情報を利用又は活用することができるようにするものである。なお、ここで、利用者情報とは、個人情報の保護に関する法律で規定する個人情報（生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。））に限られず、利用者に関する情報であればよい。

ポータルサイトＸ２２１、ポータルサイトＹ２２２が情報活用装置１２０に該当し、加入者管理装置２１０が情報管理装置１１０に該当し、端末装置２３０が端末装置１３０に該当するものである。つまり、利用者２３９の利用者情報は、既に加入者管理装置２１０に登録されており、利用者２３９が、ポータルサイトＸ２２１又はポータルサイトＹ２２２に利用者登録を行う場合に、加入者管理装置２１０に登録されている利用者情報を利用しようとするものである。より具体的には、加入者管理装置２１０は通信事業者が管理しており、端末装置２３０の携帯電話を利用するに際して、既に、利用者情報は加入者管理装置２１０内に格納されている。その利用者情報を、別の事業者が管理しているポータルサイトＸ２２１、ポータルサイトＹ２２２に利用させるものである。

ステップＳ２１では、利用者２３９は端末装置２３０を用いて、ポータルサイトＹ２２２に対して利用者登録を依頼する。
ステップＳ２２では、ポータルサイトＹ２２２は、端末装置２３０に対して、利用者情報の入力を促す。

ステップＳ２３では、加入者管理装置２１０に対して、利用者２３９は端末装置２３０を用いて、加入者管理装置２１０に預けてある（登録されている）利用者情報をポータルサイトＹ２２２に送信することを依頼する。より具体的には、後述するアクセストークンを加入者管理装置２１０から取得して、そのアクセストークンをポータルサイトＹ２２２に送信することである。
ステップＳ２４では、加入者管理装置２１０がポータルサイトＹ２２２に利用者情報を送信する。
ステップＳ２５では、ポータルサイトＹ２２２では、加入者管理装置２１０から受け取った利用者情報に基づいて、利用者２３９の利用者登録を行う。

〔第１の実施の形態〕
以下、第１の実施の形態について説明する。図３は、第１の実施の形態の情報管理装置１１０内の概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはプログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、プログラム、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がプログラムの場合は、記憶装置に記憶させるように制御するの意である。また、モジュールは機能にほぼ一対一に対応しているが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）を含む。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク等で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「所定」という用語は、予め定められたの意の他に、そのときの状況・状態に応じて、又はそれまでの状況・状態に応じての意を含めて用いる。

情報管理装置１１０は、利用者情報を管理するものであって、図３の例に示すように、認証モジュール１１１、利用者情報発行モジュール１１２、利用者情報格納モジュール１１３、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５、アクセストークン情報格納モジュール１１６、情報活用装置情報格納モジュール１１７を有している。認証モジュール１１１、利用者情報発行モジュール１１２、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５は、通信ネットワーク１４０を介して、端末装置１３０又は情報活用装置１２０と接続されている。

認証モジュール１１１は、利用者情報格納モジュール１１３と接続されている。利用者（ユーザー）を利用者情報格納モジュール１１３にて管理している利用者固有の識別子とその識別子に対応するクレデンシャル情報（パスワードなど認証に利用する情報）を利用して認証する。

利用者情報発行モジュール１１２は、利用者情報格納モジュール１１３と接続されている。情報活用装置１２０からの利用者情報要求に応じて、利用者情報格納モジュール１１３から利用者情報を取得し、返信する。

利用者情報格納モジュール１１３は、認証モジュール１１１、利用者情報発行モジュール１１２からアクセスされる。利用者に関連付けられた情報（個人属性情報などの利用者情報）を格納する。例えば、記憶するデータとして、図４の例に示す利用者情報テーブル４００がある。図４は、利用者情報テーブル４００のデータ構造例を示す説明図である。利用者情報テーブル４００は、利用者氏名欄４１０、ＩＤ欄４２０、ＰＷ欄４３０、住所欄４４０、生年月日欄４５０、性別欄４６０、電話番号欄４７０、Ｅ−ｍａｉｌアドレス欄４８０を有している。利用者氏名欄４１０は、利用者の氏名を記憶する。ＩＤ欄４２０は、その利用者を一意に特定する識別子を記憶する。ＰＷ欄４３０は、情報管理装置１１０を利用するためのクレデンシャル情報であるパスワードを記憶する。住所欄４４０は、その利用者の住所を記憶する。生年月日欄４５０は、その利用者の生年月日を記憶する。性別欄４６０は、その利用者の性別を記憶する。電話番号欄４７０は、その利用者の電話番号を記憶する。Ｅ−ｍａｉｌアドレス欄４８０は、その利用者の電子メールアドレスを記憶する。この他に、年齢、勤務先等を記憶するようにしてもよい。これらのデータは、事前に、例えば端末装置１３０である携帯電話の契約時等に収集されるものである。

アクセストークン発行モジュール１１４は、アクセストークン情報格納モジュール１１６、情報活用装置情報格納モジュール１１７と接続されている。情報活用装置１２０が利用者情報に対してアクセス可能とするために、ランダムな数であるノンス（乱数）と、所定の識別子とを連結させ、所定のハッシュ関数に与えることによって作成するハッシュ値を、利用者情報にアクセスするためのアクセストークンとして、その利用者１３９の端末装置１３０に対して発行する。つまり、ノンスと利用者のアクセスコードと情報活用装置識別子とを連結し、その連結された符号からハッシュ関数によってハッシュ値を算出し、その算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして、端末装置１３０に対して発行する。なお、発行するとは、アクセストークンを作成して通用させること、具体的には作成したアクセストークンを端末装置１３０に送信することをいう。この発行の定義は、第２の実施の形態又は第３の実施の形態でも同様であり、第５の実施の形態又は第６の実施の形態で、第１から第３の実施の形態を用いる部分については同様である。

また、アクセストークン発行モジュール１１４は、利用者情報に対する情報活用装置１２０からのアクセスの許可要求を端末装置１３０から受信し、その許可要求に対応したアクセスコードに情報活用装置１２０を特定する情報活用装置識別子とノンスとを連結（第１の連結）し、連結された符号からハッシュ関数によってハッシュ値を算出（第１のハッシュ値算出）し、算出されたハッシュ値を利用者情報にアクセスするためのアクセストークンとして発行し、アクセストークンと、利用者を特定する利用者識別子と、ハッシュ値算出で処理の対象となったノンスとを対応付けてアクセストークン情報格納モジュール１１６に記憶させる。

図５は、アクセストークン発行モジュール１１４によるアクセストークンの発行処理例を示す説明図である。
アクセストークン発行モジュール１１４は、所定のハッシュ関数５２０に対して、ノンスとアクセスコードと情報活用装置識別子を連接したもの（ノンス＋アクセスコード＋情報活用装置識別子５１０）を入力してハッシュ値を作成し、アクセストークン５３０とする。なお、アクセスコードとは、利用者固有の情報であり、例えば、ＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）番号、パスワード（利用者情報テーブル４００のＰＷ欄４３０）等がある。情報活用装置識別子とは、情報活用装置１２０を一意に特定できるコードである。所定のハッシュ関数として、既に知られているハッシュ関数（ＭＤ５、ＳＨＡ１等）を用いてよい。また、ノンスは疑似乱数であってもよい。
このアクセストークンは、所定の利用者以外の利用者、すなわち利用者が意図しない第三者が、その所定の利用者の利用者情報を扱ったり、該利用者情報を不正に活用したりすることがないようにするものである。

また、アクセストークン発行モジュール１１４は、端末装置１３０に対する利用者１３９の操作に基づいて、その利用者１３９のアクセスコードを端末装置１３０から取得して、その取得したアクセスコードとノンスを連結させてハッシュ値を算出するようにしてもよい。

また、アクセストークン発行モジュール１１４は、情報活用装置情報格納モジュール１１７に格納されている情報活用装置１２０に関する情報を利用者１３９の端末装置１３０に対して提示するなどして、利用者情報の送付先（情報管理装置１１０へアクセストークンを送信してくる情報活用装置１２０）を取得するようにしてもよい。もし、情報活用装置情報格納モジュール１１７に、利用者１３９が求める情報活用装置１２０に関する情報がなければ、利用者１３９に端末装置１３０を用いてその情報活用装置１２０に関する情報を直接に入力させるなどして、取得するようにしてもよい。この際、その利用者１３９には、情報活用装置１２０において利用者１３９に関する利用者情報が活用されることになる旨を確認し、同意を得るようにしてもよい。なお、情報活用装置１２０に関する情報としては、例えば、その情報活用装置１２０を一意に特定するための情報活用装置識別子等があり、より具体的には、情報活用装置１２０が提供しているサービスのホームページのＵＲＬ等であってもよい。なお、利用者１３９の端末装置１３０に提示するものは、その情報活用装置１２０の名称（サービス名等）であってもよい。
また、アクセストークン発行モジュール１１４は、端末装置１３０に対する利用者１３９の操作に基づいて、その利用者１３９の利用者識別子と情報活用装置識別子を取得してもよい。そして、取得したその利用者識別子をアクセストークン情報格納モジュール１１６に記憶させてもよい。

アクセストークン検証モジュール１１５は、アクセストークン情報格納モジュール１１６、情報活用装置情報格納モジュール１１７と接続されている。情報活用装置１２０からの利用者情報へのアクセス要求メッセージに含まれるアクセストークンとその情報活用装置識別子を受け取り、アクセストークン情報格納モジュール１１６に格納されているアクセストークンに関連付けられているノンスとアクセスコードと受け取った情報活用装置識別子とを連結したものを、所定のハッシュ関数に与えることによって作成するハッシュ値と、利用者情報要求に含まれるアクセストークンとを比較照合することによって、アクセス要求メッセージに含まれるアクセストークンが正当なものであるか否かを検証する。

つまり、アクセストークン検証モジュール１１５は、利用者情報格納モジュール１１３に格納されている利用者情報にアクセスするためのアクセストークンと情報活用装置１２０の情報活用装置識別子を情報活用装置１２０から取得し、その取得したアクセストークンに基づいて、アクセストークン情報格納モジュール１１６に記憶されたノンスを取得する。そして、その取得したノンスと利用者１３９のアクセスコードと前記情報活用装置識別子を連結し、その連結した符号からハッシュ関数によってハッシュ値を算出する。情報活用装置１２０から取得したアクセストークンと算出したハッシュ値を照合して、一致する場合は、情報活用装置１２０からの利用者１３９の利用者情報へのアクセス要求を正規なものと判断する。そして、アクセス要求が正規なものと判断した場合は、利用者１３９の利用者情報をその情報活用装置１２０に送信する。

また、アクセストークン検証モジュール１１５は、端末装置１３０に対する利用者１３９の操作に基づいて、その利用者１３９のアクセスコードを端末装置１３０から取得して、その取得したアクセスコードとノンスを連結させてハッシュ値を算出するようにしてもよい。
また、アクセストークン検証モジュール１１５は、情報活用装置１２０からのアクセス要求メッセージ内の利用者識別子を取得し、その取得した情報活用装置識別子及び利用者識別子に基づいて、アクセストークン情報格納モジュール１１６に記憶されたノンスを取得するようにしてもよい。
また、アクセストークン検証モジュール１１５は、アクセス要求が正規なものと判断した場合は、利用者１３９が利用している端末装置１３０に対して、情報活用装置１２０に利用者１３９の利用者情報を送信することの確認を行う。そして、利用者１３９の確認が行われた場合（つまり、送信することに対して許可された場合）は、利用者１３９の利用者情報をその情報活用装置１２０に送信する。

また、アクセストークン検証モジュール１１５は、アクセストークンと、情報活用装置１２０の情報活用装置識別子とを情報活用装置１２０から受信し、その受信されたアクセストークンに基づいて、アクセスコードとアクセストークン情報格納モジュール１１６に記憶されたノンスとを取得し、その取得されたノンス及びアクセスコードと受信した情報活用装置識別子を連結（第２の連結）し、その連結された符号からハッシュ関数によってハッシュ値を算出（第２のハッシュ値算出）し、受信されたアクセストークンと第２のハッシュ値算出によって算出されたハッシュ値とを照合して一致する場合は、アクセストークン情報格納モジュール１１６においてアクセストークンに対応付けられた利用者識別子で示される利用者の利用者情報へのアクセス要求を正規なものであると判断する。そして、アクセス要求が正規なものと判断された場合は、利用者情報を情報活用装置１２０に送信する。

より具体的には、情報活用装置１２０から利用者情報へのアクセス要求が行われた場合に、以下のようにして、アクセストークン検証モジュール１１５が検証する。図７は、アクセストークンの検証処理例を示すフローチャートである。なお、ステップＳ７１６以外の処理は、アクセストークン検証モジュール１１５が行う。
（１）ステップＳ７０２ 情報活用装置１２０からアクセス要求メッセージを受領する。そのアクセス要求メッセージに含まれているアクセストークン（要求アクセストークン）と情報活用装置識別子を取得する。
（２）ステップＳ７０４ アクセストークン（要求アクセストークン）をキーとして、アクセストークン情報格納モジュール１１６内のアクセストークン関連情報テーブル６００から利用者ＩＤとノンスを取得する。尚、要求アクセストークンが、アクセストークン関連情報テーブル６００に存在しない場合には、ステップＳ７１４に移行して不正なアクセス要求と判断してもよい。

（３）ステップＳ７０６ その利用者１３９に対して、その利用者１３９のアクセスコードの入力を促し、該アクセスコードを取得する。
（４）ステップＳ７０８ 所定のハッシュ関数に、前記ノンスと、前記取得した利用者１３９のアクセスコードと、前記受領した情報活用装置識別子を連接したもの入力値として、ハッシュ値（検証アクセストークン）を出力する。
（５）ステップＳ７１０ 前記検証アクセストークンと前記要求アクセストークンを比較照合し、同一であれば正規のアクセス要求の可能性ありとみなしてステップＳ７１２へ進み、異なれば虚偽のアクセス要求とみなしてステップＳ７１４へ進む。

（６）ステップＳ７１２ さらに、利用者１３９が利用する端末装置１３０に対して、情報活用装置１２０に関する情報を提示し、利用者１３９の利用者情報がその情報活用装置１２０において活用されることとなることの確認を行う。もし、その利用者１３９が同意すれば正規のアクセス要求とみなしてステップＳ７１６へ進み、異なれば虚偽のアクセス要求とみなしてステップＳ７１４へ進む。
（７）ステップＳ７１４ 不正なアクセス要求であると判断して、そのようなアクセス要求があった旨を利用者１３９の端末装置１３０に対して通知する。また、情報活用装置１２０に対しては、そのアクセス要求には返信できない旨を返信する。
（８）ステップＳ７１６ 正規のアクセス要求であれば、利用者情報発行モジュール１１２は、利用者識別子を用いて、アクセス要求のあった利用者情報を、利用者情報格納モジュール１１３から取り出し、情報活用装置１２０へ送付する。

アクセストークン情報格納モジュール１１６は、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５からアクセスされる。アクセストークン発行モジュール１１４が発行したアクセストークンとそのアクセストークンを生成するために必要となるノンスを対応付けて記憶する。また、アクセストークン発行モジュール１１４が発行したアクセストークンを作成するために必要となるノンスと利用者識別子を関連付けて記憶するようにしてもよい。例えば、記憶するデータとして、図６の例に示すアクセストークン関連情報テーブル６００がある。図６は、アクセストークン関連情報テーブル６００のデータ構造例を示す説明図である。アクセストークン関連情報テーブル６００は、アクセストークン欄６１０、利用者ＩＤ欄６２０、ノンス欄６３０を有している。アクセストークン欄６１０は、生成したアクセストークンを記憶する。利用者ＩＤ欄６２０は、利用者識別子を記憶する。ノンス欄６３０は、ノンスを記憶する。

つまり、アクセストークン検証モジュール１１５が情報活用装置１２０からのアクセス要求時に利用するために、アクセストークンをキーとして、利用者識別子とノンスを検索可能なように、アクセストークン情報格納モジュール１１６において、図６の例に示すようなアクセストークン関連情報テーブル６００で管理する。
また、アクセストークン検証モジュール１１５は、情報活用装置１２０からのアクセス要求を受け、アクセストークンの検証及び要求された利用者情報の送付を終了すれば、アクセストークン関連情報テーブル６００から該当する項目を削除するようにしてもよい。

情報活用装置情報格納モジュール１１７は、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５からアクセスされる。情報活用装置１２０の情報活用装置識別子と、その情報活用装置１２０に対しての利用者情報の送付先の他、情報活用装置１２０に関連する情報を管理する。

図８は、第１の実施の形態の情報活用装置１２０内のモジュール構成例を示す図である。
情報活用装置１２０は、利用者情報要求モジュール１２１、サービス提供モジュール１２２、利用者情報活用モジュール１２３を有している。各モジュールは、通信ネットワーク１４０を介して、情報管理装置１１０又は端末装置１３０と接続されている。
利用者情報要求モジュール１２１は、端末装置１３０からアクセストークンを受け取り、そのアクセストークン及び自装置の情報活用装置識別子を、情報管理装置１１０に送信する。つまり、情報管理装置１１０に対してアクセストークン及び自身の情報活用装置識別子を提示することによって、利用者情報を要求する。
サービス提供モジュール１２２は、情報活用装置１２０の提供する情報・サービスを、端末装置１３０からの要求に応じて提供する。
利用者情報活用モジュール１２３は、利用者情報要求モジュール１２１によって送信されたアクセストークンに対応して、利用者１３９の利用者情報を情報管理装置１１０から受信する。そして、情報管理装置１１０から受信した利用者情報をサービス提供モジュール１２２に渡すことによって、利用者情報を活用する。

図９は、第１の実施の形態の端末装置１３０内のモジュール構成例を示す図である。
端末装置１３０は、入力モジュール１３１、利用者情報要求モジュール１３２、出力モジュール１３３、クレデンシャル送付モジュール１３４を有している。各モジュールは、通信ネットワーク１４０を介して、情報管理装置１１０又は情報活用装置１２０と接続されている。

入力モジュール１３１は、端末装置１３０への利用者１３９による入力を受け付ける。例えば、端末装置１３０への操作入力として、クレデンシャル（パスワードなど情報管理装置１１０が利用者１３９を認証するための情報）の入力、アクセスコード（情報管理装置１１０が利用者情報を情報活用装置１２０に送付する際に、所定の利用者であることを確認するために利用する）の入力がある。

利用者情報要求モジュール１３２は、情報管理装置１１０によって発行されたアクセストークンを含む利用者情報要求メッセージを情報活用装置１２０に送信する。このことによって、利用者情報を情報管理装置１１０から情報活用装置１２０へ送付するように、情報管理装置１１０に対して要求する。また、端末装置１３０を識別可能な端末装置識別子を情報管理装置１１０に送付する。
出力モジュール１３３は、出力を端末装置１３０のディスプレイ等に表示する。例えば、利用者１３９に対してクレデンシャル情報の入力を促す。
クレデンシャル送付モジュール１３４は、情報管理装置１１０からのクレデンシャル要求を受け、該当するクレデンシャル情報を取得し、情報管理装置１１０へクレデンシャル情報を送付する。なお、クレデンシャル情報は別の装置から取得してもよい。

図１０は、第１の実施の形態による利用者登録の処理例を示す説明図である。つまり、端末装置１３０の利用者１３９が、情報活用装置１２０に対して利用者登録を行う場合について、既に情報管理装置１１０に格納されている利用者情報を情報活用装置１２０が取得して、利用者１３９は情報活用装置１２０に対して利用者情報の入力を省くことができるものである。

ステップＳ１００１では、利用者１３９の操作に応じて端末装置１３０は、情報管理装置１１０に対して、利用者１３９の利用者情報を情報活用装置１２０に送付してほしいという要求を送信する。
ステップＳ１００２では、情報管理装置１１０は、端末装置１３０に対して、情報管理装置１１０にログインするための利用者識別子とパスワードの入力を要求する。
ステップＳ１００３では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力した利用者識別子とパスワードを送付する。

ステップＳ１００４では、情報管理装置１１０は、端末装置１３０に対して、利用者情報の送付先である情報活用装置１２０の情報活用装置識別子とアクセスコードの入力を要求する。
ステップＳ１００５では、端末装置１３０は、情報管理装置１１０に対して、情報活用装置１２０の情報活用装置識別子とアクセスコードを送付する。
ステップＳ１００６では、情報管理装置１１０は、アクセストークンを作成する。つまり、ステップＳ１００５で受け取った利用者１３９のアクセスコードと情報活用装置識別子とノンスを連結したものに対してハッシュ値を算出し、利用者ＩＤとノンスとアクセストークンをアクセストークン情報格納モジュール１１６に格納する。

ステップＳ１００７では、情報管理装置１１０は、端末装置１３０に対して、ステップＳ１００６で作成したアクセストークンを送付する。
ステップＳ１００８では、端末装置１３０は、情報活用装置１２０に対して、ステップＳ１００７で受け取ったアクセストークンを送付する。
ステップＳ１００９では、情報活用装置１２０は、情報管理装置１１０に対して、利用者情報へのアクセス要求メッセージとしてステップＳ１００８で受け取ったアクセストークンを送付する。また、情報活用装置１２０の情報活用装置識別子もアクセストークンとともに送付する。

ステップＳ１０１０では、情報管理装置１１０は、端末装置１３０に対して、アクセスコードの入力を要求する。
ステップＳ１０１１では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力したアクセスコードを送付する。
ステップＳ１０１２では、情報管理装置１１０は、ステップＳ１０１１で受け取ったアクセスコードとＳ１００９で受け取った情報活用装置識別子を用いて、ステップＳ１００９で受け取ったアクセストークンを検証する。尚、アクセスコードの入力の要求の際、端末装置１３０に利用者ＩＤの入力を要求して、該要求に応じて入力された利用者ＩＤと、受け取ったアクセストークンに対応する利用者ＩＤとが一致していた場合には、利用者情報の送信が許可されたと判定してもよい。

ステップＳ１０１３では、情報管理装置１１０は、情報活用装置１２０に対して、ステップＳ１０１２での検証の結果、正規のアクセス要求である場合は、要求されていた利用者情報を送付する。
ステップＳ１０１４では、情報活用装置１２０は、ステップＳ１０１３で受け取った利用者情報を活用して利用者１３９の利用者登録を行う。

図１１は、第１の実施の形態による商品発送先情報の送信処理例を示す説明図である。つまり、端末装置１３０の利用者１３９が、情報活用装置１２０に対して商品を購入してその商品の配送を要求する場合について、既に情報管理装置１１０に格納されている利用者情報（例えば、住所等の商品配布先情報）を情報活用装置１２０が取得して、利用者１３９は情報活用装置１２０に対して利用者情報の入力を省くことができるものである。

ステップＳ１１０１では、利用者１３９の操作に応じて端末装置１３０は、情報活用装置１２０に対して、商品購入及びその商品の配送サービスに対してアクセスする。
ステップＳ１１０２では、情報活用装置１２０は、端末装置１３０に対して、利用者情報を要求する。例えば、商品を送付するにあたっての送付先である住所等の入力を要求する。この際、情報活用装置１２０は、自装置の情報活用装置識別子も含めて送付する。
ステップＳ１１０３では、端末装置１３０は、情報管理装置１１０に対して、利用者情報を情報活用装置１２０に対して送付することを要求する。この際、端末装置１３０は、ステップＳ１１０２で受け取った情報活用装置識別子も含めて送付する。

ステップＳ１１０４では、情報管理装置１１０は、端末装置１３０に対して、情報管理装置１１０にログインするための利用者識別子とパスワードの入力を要求する。
ステップＳ１１０５では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力した利用者識別子とパスワードを送付する。
ステップＳ１１０６では、情報管理装置１１０は、端末装置１３０に対して、アクセスコードの入力を要求する。

ステップＳ１１０７では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力したアクセスコードを送付する。
ステップＳ１１０８では、情報管理装置１１０は、アクセストークンを作成する。つまり、ステップＳ１１０７で受け取った利用者１３９のアクセスコードとノンスとステップＳ１１０３で受け取った情報活用装置識別子を連結したものに対してハッシュ値を算出し、そのアクセスコードとノンスをアクセストークン情報格納モジュール１１６に格納する。
ステップＳ１１０９では、情報管理装置１１０は、端末装置１３０に対して、ステップＳ１１０８で作成したアクセストークンを送付する。

ステップＳ１１１０では、端末装置１３０は、情報活用装置１２０に対して、ステップＳ１１０９で受け取ったアクセストークンを送付する。
ステップＳ１１１１では、情報活用装置１２０は、情報管理装置１１０に対して、利用者情報へのアクセス要求メッセージとしてステップＳ１１１０で受け取ったアクセストークンを送付する。また、ハッシュ関数への入力値の一部である情報活用装置１２０の情報活用装置識別子もアクセストークンとともに送付する。
ステップＳ１１１２では、情報管理装置１１０は、端末装置１３０に対して、アクセスコードの入力を要求する。

ステップＳ１１１３では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力したアクセスコードを送付する。
ステップＳ１１１４では、情報管理装置１１０は、ステップＳ１１１３で受け取ったアクセスコードとステップＳ１１１１で受け取った情報活用装置識別子を用いて、ステップＳ１１１１で受け取ったアクセストークンを検証する。
ステップＳ１１１５では、情報管理装置１１０は、情報活用装置１２０に対して、ステップＳ１１１４での検証の結果、正規のアクセス要求である場合は、要求されていた利用者情報を送付する。
ステップＳ１１１６では、情報活用装置１２０は、ステップＳ１１１５で受け取った利用者情報に従って、商品の配送先を設定する。利用者情報には、例えば、利用者１３９の住所が含まれており、その住所を配送先として設定する。
ステップＳ１１１７では、情報活用装置１２０は、ステップＳ１１１６で設定された配送先に商品を配送するように制御する。具体的には、配送伝票の印刷等がある。そして、実際に商品の配送が行われる。

図１２は、第１の実施の形態による処理例を示すフローチャートである。
ステップＳ１２０１では、利用者１３９の操作に応じて端末装置１３０は、情報活用装置１２０に対して、サービスにアクセスする。例えば、図１０の例で示した利用者登録、図１１の例で示した商品購入サービス等がある。
ステップＳ１２０２では、情報活用装置１２０は、端末装置１３０に対して、利用者情報を要求する。
ステップＳ１２０３では、端末装置１３０は、情報管理装置１１０に対して、情報管理装置１１０に格納されている利用者情報を情報活用装置１２０に対して送付することを要求する。

ステップＳ１２０４では、情報管理装置１１０は、端末装置１３０に対して、クレデンシャル情報（アクセスコードを含めてもよい）を要求する。
ステップＳ１２０５では、利用者１３９の操作に応じて端末装置１３０は、情報管理装置１１０に対して、クレデンシャル情報（アクセスコードを含めてもよい）を送付する。
ステップＳ１２０６では、情報管理装置１１０は、ステップＳ１２０５で取得したクレデンシャル情報を検証して、アクセストークンを作成する。

ステップＳ１２０７では、情報管理装置１１０は、端末装置１３０に対して、ステップＳ１２０６で作成したアクセストークンを送付する。
ステップＳ１２０８では、端末装置１３０は、情報活用装置１２０に対して、ステップＳ１２０７で受け取ったアクセストークンを送付する。
ステップＳ１２０９では、情報活用装置１２０は、情報管理装置１１０に対して、利用者１３９の利用者情報を要求する。その要求にステップＳ１２０８で受け取ったアクセストークンを含める。

ステップＳ１２１０では、情報管理装置１１０は、端末装置１３０に対して、アクセスコードの入力を要求する。
ステップＳ１２１１では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力したアクセスコードを送付する。
ステップＳ１２１２では、情報管理装置１１０は、ステップＳ１２１１で受け取ったアクセスコードを用いて、ステップＳ１２０９で受け取ったアクセストークンを検証する。

ステップＳ１２１３では、情報管理装置１１０は、情報活用装置１２０に対して、ステップＳ１２１２のアクセストークンの検証の結果、ステップＳ１２０９の要求が正規のアクセス要求と判断する場合は、利用者情報を送付する。
ステップＳ１２１４では、情報活用装置１２０は、ステップＳ１２０１でアクセスされたサービスを提供する。例えば、アカウントを生成して利用者登録、商品購入サービス等の提供がある。

〔第２の実施の形態〕
次に、第２の実施の形態を説明する。第２の実施の形態は、第１の実施の形態のモジュール構成と同様のものである。
情報管理装置１１０については、第１の実施の形態のアクセストークン発行モジュール１１４、アクセストークン情報格納モジュール１１６、アクセストークン検証モジュール１１５に機能を加えたものである。なお、第１の実施の形態と同様の部位については重複した説明を省略する。

図１３は、第２の実施の形態のアクセストークン発行モジュール１１４によるアクセストークンの発行処理例を示す説明図である。
アクセストークン発行モジュール１１４は、所定のハッシュ関数１３２０に対して、ノンスと選択した識別子を連接したもの（ノンス＋選択した識別子１３１０）を入力してハッシュ値を作成し、アクセストークン１３３０とする。
ノンスと連接する識別子として、例えば、情報活用装置識別子、アクセスコード、端末装置識別子（その端末装置を一意に特定できる情報）等、これらの組み合わせ（情報活用装置識別子＋アクセスコード＋・・・１３１５）がある。これらによって、利用者情報の配布先（スコープ）に制限をかける。つまり、これらの識別情報を提示できる装置にのみ利用者情報を送付することができるようになる。

図１４は、アクセストークン関連情報テーブル１４００のデータ構造例を示す説明図である。第１の実施の形態のアクセストークン関連情報テーブル６００に対応するものであり、アクセストークン情報格納モジュール１１６に記憶されているものである。アクセストークン関連情報テーブル１４００は、アクセストークン関連情報テーブル６００の記憶しているデータに加えて、さらにハッシュ関数の入力とした識別子情報を記憶している。
アクセストークン関連情報テーブル１４００は、アクセストークン欄１４１０、利用者ＩＤ欄１４２０、ハッシュ関数への入力値欄１４３０、ノンス欄１４４０を有している。
アクセストークン欄１４１０は、アクセストークンを記憶する。
利用者ＩＤ欄１４２０は、利用者識別子を記憶する。
ハッシュ関数への入力値欄１４３０は、ハッシュ関数への入力の一部（図１３の例で示した「選択した識別子」）を記憶する。なお、ハッシュ関数への入力値欄１４３０が空の場合、デフォルトとして、ノンスとアクセスコードと情報活用装置識別子とでアクセストークンを生成するということになる。ハッシュ関数への入力値欄１４３０で記憶するものは、識別子そのもの又は識別子の名称であってもよい。識別子の名称の場合は、その識別子を取得する処理を行う。例えば、アクセストークン関連情報テーブル１４００以外にアクセストークン情報格納モジュール１１６に記憶されている識別子を取得したり、端末装置１３０から取得するようにしてもよい。
ノンス欄１４４０は、その行のアクセストークンを生成するのに用いたノンスを記憶する。
例えば、図１４の例に示したアクセストークン関連情報テーブル１４００の第１行目では、ノンスとアクセスコードと情報活用装置識別子とでアクセストークンを生成することを示しており、第２行目では、ノンスとアクセスコードと情報活用装置識別子に加えて、端末装置識別子も連結してアクセストークンを生成することを示している。なお、ハッシュ関数への入力値欄１４３０には複数の入力値を記憶させてもよい。

つまり、アクセストークン検証モジュール１１５が情報活用装置１２０からのアクセス要求時に利用するために、そのアクセス要求に含まれるアクセストークンをキーとして、利用者識別子とノンスとアクセストークン発行モジュール１１４がアクセストークン発行時に利用した識別子群（１つであってもよい）を検索可能なように、アクセストークン情報格納モジュール１１６において、図１４の例に示すようなアクセストークン関連情報テーブル１４００で管理する。
アクセストークン検証モジュール１１５は、アクセストークンと情報活用装置識別子を情報活用装置１２０から取得し、その取得したアクセストークンに基づいて、アクセストークン関連情報テーブル１４００に記憶されたノンスと識別子情報を取得する。そして、その取得したノンスと識別子情報を連結して、その連結した符号からハッシュ関数によってハッシュ値を算出する。取得したアクセストークンと算出したハッシュ値を照合して、一致する場合は、情報活用装置１２０からの利用者１３９の利用者情報へのアクセス要求を正規なものと判断する。
また、アクセストークン検証モジュール１１５は、情報活用装置１２０からのアクセス要求を受け、アクセストークンの検証及び要求された利用者情報の送付を終了すれば、アクセストークン関連情報テーブル１４００から該当する項目を削除するようにしてもよい。

図１５は、第２の実施の形態によるアクセストークンの検証処理例を示すフローチャートである。なお、ステップＳ１５１４以外の処理は、アクセストークン検証モジュール１１５が行う。
（１）ステップＳ１５０２ 情報活用装置１２０からアクセス要求メッセージを受領する。そのアクセス要求メッセージからアクセストークン（要求アクセストークン）とそのメッセージの送付元である情報活用装置１２０の情報活用装置識別子を取得する。
（２）ステップＳ１５０４ アクセストークン（要求アクセストークン）をキーとして、アクセストークン情報格納モジュール１１６のアクセストークン関連情報テーブル１４００から利用者ＩＤとノンスと検証すべき識別子のリストを取得する。尚、要求アクセストークンが、アクセストークン関連情報テーブル１４００に存在しない場合には、ステップＳ１５１６に移行し、不正なアクセス要求とみなしてもよい。

（３）ステップＳ１５０６ ステップＳ１５０４で取得した識別子のリストをもとにして、検証に用いるべき識別子情報を取得する。もし、ステップＳ１５０２で受領したアクセス要求メッセージ内およびアクセストークン関連情報テーブル１４００に識別子が含まれていれば、それを取得する。そうでなければ、ステップＳ１５０８へ進む。
（４）ステップＳ１５０８ 必要とする検証に用いるべき識別子を取得する。例えば、その検証に用いるべき識別子が端末装置識別子であれば、情報活用装置１２０と通信を行ってアクセストークンを送付した端末装置１３０の端末装置識別子を取得する。また、その検証に用いるべき識別子がアクセスコードであれば、端末装置１３０の利用者１３９に対してアクセスコードの入力を促して、取得する。
（５）ステップＳ１５１０ 所定のハッシュ関数に、ノンスと、検証に用いるべき識別子の連接したものを入力値として、ハッシュ値（検証アクセストークン）を出力する。

（６）ステップＳ１５１２ 前記検証アクセストークンと前記要求アクセストークンを比較照合し、同一であれば正規のアクセス要求とみなしてステップＳ１５１４へ進み、異なれば虚偽のアクセス要求とみなしてステップＳ１５１６へ進む。
（７）ステップＳ１５１４ 正規のアクセス要求であれば、利用者情報発行モジュール１１２は、利用者識別子を用いて、アクセス要求のあった利用者情報を、利用者情報格納モジュール１１３から取り出し、情報活用装置１２０へ送付する。
（８）ステップＳ１５１６ 不正なアクセス要求であると判断して、そのようなアクセス要求があった旨を利用者１３９の端末装置１３０に対して通知する。また、情報活用装置１２０に対しては、そのアクセス要求には返信できない旨を返信する。

図１６は、第２の実施の形態の端末装置１６３０内のモジュール構成例を示す図である。
端末装置１６３０は、入力モジュール１６３１、利用者情報要求モジュール１６３２、出力モジュール１６３３、クレデンシャル送付モジュール１６３４、端末装置情報送付モジュール１６３５を有している。端末装置１６３０は、第１の実施の形態の端末装置１３０に対応するものであり、入力モジュール１６３１、利用者情報要求モジュール１６３２、出力モジュール１６３３、クレデンシャル送付モジュール１６３４は、それぞれ第１の実施の形態の入力モジュール１３１、利用者情報要求モジュール１３２、出力モジュール１３３、クレデンシャル送付モジュール１３４に対応するものである。これらについては重複した説明を省略する。また、第２の実施の形態の説明内では、端末装置１３０として説明する。
端末装置情報送付モジュール１６３５は、通信ネットワーク１４０を介して、情報管理装置１１０又は情報活用装置１２０と接続されている。情報管理装置１１０又は情報活用装置１２０からの要求に応じて、端末装置１６３０の端末装置識別子を送付する。

図１７は、第２の実施の形態による利用者情報の送信処理例を示す説明図である。この処理例は、図１０の例に示した第１の実施の形態による利用者登録の処理例に対応するものである。なお、情報活用装置１２０は、ポータルサイト１６１０を介して端末装置１３０と通信する。
ステップＳ１７０１では、利用者１３９の操作に応じて端末装置１３０は、情報管理装置１１０に対して、利用者１３９自身の利用者情報をポータルサイト１６１０（情報活用装置１２０）に送付してほしいという要求を送信する。
ステップＳ１７０２では、情報管理装置１１０は、端末装置１３０に対して、情報管理装置１１０にログインするための利用者識別子とクレデンシャル情報の入力を要求する。
ステップＳ１７０３では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力した利用者識別子とクレデンシャル情報を送付する。

ステップＳ１７０４では、情報管理装置１１０は、端末装置１３０に対して、利用者情報の送付先であるポータルサイト１６１０に関する情報（例えば、ポータルサイト１６１０の識別子等）又は情報活用装置１２０に関する情報（例えば、情報活用装置識別子等）の入力を要求する。
ステップＳ１７０５では、端末装置１３０は、情報管理装置１１０に対して、利用者１３９が入力したポータルサイト１６１０に関する情報及び情報活用装置１２０に関する情報を送付する。
ステップＳ１７０６では、情報管理装置１１０は、アクセストークンを作成する。つまり、ステップＳ１７０５で受け取った情報活用装置１２０に関する情報等とノンスを連結したものに対してハッシュ値を算出し、その情報活用装置１２０に関する情報等とノンスをアクセストークン情報格納モジュール１１６に格納する。

ステップＳ１７０７では、情報管理装置１１０は、端末装置１３０に対して、ステップＳ１７０６で作成したアクセストークンを送付する。
ステップＳ１７０８では、端末装置１３０は、ポータルサイト１６１０に対して、ステップＳ１７０７で受け取ったアクセストークンを送付する。
ステップＳ１７０９では、ポータルサイト１６１０は、情報活用装置１２０に対して、ステップＳ１７０８で受け取ったアクセストークンを送付する。

ステップＳ１７１０では、情報活用装置１２０は、情報管理装置１１０に対して、利用者情報へのアクセス要求メッセージとしてステップＳ１７０９で受け取ったアクセストークンを送付する。そのアクセス要求メッセージには、情報活用装置１２０に関する情報等を含む。
ステップＳ１７１１では、情報管理装置１１０は、ステップＳ１７１０で受け取ったアクセストークンを検証する。
ステップＳ１７１２では、情報管理装置１１０は、情報活用装置１２０に対して、ステップＳ１７１１での検証の結果、正規のアクセス要求である場合は、要求されていた利用者情報を送付する。その利用者情報には、利用者１３９の電子メールアドレスを含む。

ステップＳ１７１３では、情報活用装置１２０は、ステップＳ１７１２で受け取った利用者情報を活用して利用者１３９の利用者登録を行う。
ステップＳ１７１４では、情報活用装置１２０は、端末装置１３０に対して、ステップＳ１７１２で受け取った利用者情報内の電子メールアドレスを用いて、利用者登録が完了した旨の通知を行う。
これによって、端末装置１３０の利用者１３９は、ポータルサイト１６１０には利用者情報を知らせずに、ポータルサイト１６１０を経由して、情報活用装置１２０に利用者情報を送付できるようになる。

〔第３の実施の形態〕
次に、第３の実施の形態を説明する。第３の実施の形態は、第１の実施の形態のモジュール構成と同様のものである。
図１８は、第３の実施の形態の情報管理装置１８１０内のモジュール構成例を示す図である。
情報管理装置１８１０は、認証モジュール１８１１、利用者情報発行モジュール１８１２、利用者情報格納モジュール１８１３、アクセストークン発行モジュール１８１４、アクセストークン検証モジュール１８１５、アクセストークン情報格納モジュール１８１６、情報活用装置情報格納モジュール１８１７、利用者情報暗号化モジュール１８１８を有している。情報管理装置１８１０は、第１の実施の形態の情報管理装置１１０に対応するものであり、認証モジュール１８１１、利用者情報発行モジュール１８１２、利用者情報格納モジュール１８１３、アクセストークン発行モジュール１８１４、アクセストークン検証モジュール１８１５、アクセストークン情報格納モジュール１８１６、情報活用装置情報格納モジュール１８１７は、それぞれ第１の実施の形態の認証モジュール１１１、利用者情報発行モジュール１１２、利用者情報格納モジュール１１３、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５、アクセストークン情報格納モジュール１１６、情報活用装置情報格納モジュール１１７に対応するものである。これらについては重複した説明を省略する。また、第３の実施の形態の説明内では、情報管理装置１１０として説明する。
利用者情報暗号化モジュール１８１８は、通信ネットワーク１４０を介して、情報活用装置１２０（情報活用装置１９１０）又は端末装置１３０と接続されている。情報活用装置１２０（情報活用装置１９１０）から要求された利用者情報（利用者情報格納モジュール１８１３に格納されている利用者情報）を暗号化する。また、暗号化方法は、既知の暗号化方法を用いる。また、共通鍵暗号を用いる場合は、端末装置１３０から送付される適切な長さの文字列を共通鍵として用いてもよい。
利用者情報発行モジュール１８１２は、利用者情報暗号化モジュール１８１８によって暗号化された利用者情報を情報活用装置１２０（情報活用装置１９１０）に送信する。

図１９は、第３の実施の形態の情報活用装置１９１０内のモジュール構成例を示す図である。
情報活用装置１９１０は、利用者情報要求モジュール１９１１、サービス提供モジュール１９１２、利用者情報活用モジュール１９１３、利用者情報復号モジュール１９１４を有している。情報活用装置１９１０は、第１の実施の形態の情報活用装置１２０に対応するものであり、利用者情報要求モジュール１９１１、サービス提供モジュール１９１２、利用者情報活用モジュール１９１３は、それぞれ第１の実施の形態の利用者情報要求モジュール１２１、サービス提供モジュール１２２、利用者情報活用モジュール１２３に対応するものである。これらについては重複した説明を省略する。また、第３の実施の形態の説明内では、情報活用装置１２０として説明する。
情報管理装置１１０（情報管理装置１８１０）に対応して、情報活用装置１２０（情報活用装置１９１０）内の利用者情報活用モジュール１９１３は、利用者１３９の暗号化された利用者情報を情報管理装置１１０（情報管理装置１８１０）から受信する。
そして、利用者情報復号モジュール１９１４は、利用者情報活用モジュール１９１３が受信した暗号化された利用者情報を復号する。復号した利用者情報をサービス提供モジュール１９１２に渡して、利用者情報を活用したサービス等を行う。また、復号方法は、情報管理装置１１０（情報管理装置１８１０）による暗号化方法に対応した既知の復号方法を用いる。また、共通鍵暗号を用いる場合は、端末装置１３０から送付される適切な長さの文字列を共通鍵として用いてもよい。
これによって、情報管理装置１１０（情報管理装置１８１０）と情報活用装置１２０（情報活用装置１９１０）間で行われる利用者情報の送付の安全性を向上させることができる。

〔第４の実施の形態〕
次に、第４の実施の形態を説明する。
前述の実施の形態は、利用者Ａの要求に応じて情報管理装置がアクセストークンを利用者Ａに対して発行して、情報活用装置から送信されるアクセストークン、情報活用装置識別子に基づいて、そのアクセストークンを検証して、情報活用装置から利用者Ａの利用者情報へのアクセスを許可するものである。そして、検証の際には、利用者Ａに固有情報（アクセスコード）を要求して検証に用いる。その場合、アクセストークンは利用者Ａが有する端末装置を介して情報活用装置に送信される。

第４の実施の形態は、利用者Ａの要求に応じて情報管理装置がアクセストークンを利用者Ｂに対して発行して、情報活用装置から送信されるアクセストークン、情報活用装置識別子に基づいて、そのアクセストークンを検証して、情報活用装置から利用者Ａの利用者情報へのアクセスを許可するものである。そして、検証の際には、利用者Ｂに共有情報（アクセスコード）を要求して検証に用いる。これによって、情報活用装置に送信された利用者Ａの利用者情報を利用者Ｂが閲覧可能になる。その場合、アクセストークンは利用者Ｂが有する端末装置を介して情報活用装置に送信される。すなわち、本実施の形態において、アクセストークンの発行とは、第１の実施の形態等における発行とは異なり、利用者Ａが指定する利用者Ａ以外の利用者（利用者Ｂ）が、利用者Ａの利用者情報にアクセス可能とするためのアクセストークンを生成し、作成したアクセストークンを利用者Ｂの端末装置に送付することをいう。第４の実施の形態における発行の定義は、第５の実施の形態又は第６の実施の形態で、第４の実施の形態を用いる部分については同様である。
なお、ここでの共有情報とは、利用者Ａと利用者Ｂとの間で秘密に共有されているものであり、例えば、利用者Ａのアクセスコードが対応する。
また、利用者Ｂは複数人であってもよいが、説明を容易にするために、利用者Ｂは１人の場合について主に説明する。
例えば、利用者Ｂとは利用者Ａの配偶者であり、利用者Ａは自身のアクセスコードを利用者Ｂにだけ教えている場合であって、利用者Ａの健康情報等である利用者情報を利用者Ｂが閲覧する場合等が該当する。

アクセスコードの共有とは、利用者の利用者情報へのアクセスを許可するためのコード（アクセスコード）を、その利用者以外の利用者（第２の利用者、前述の利用者Ｂ）に対して通知し、両者で共有することである。その第２の利用者は、そのアクセスコードを用いて作成されたアクセストークンを含めたその利用者情報に対するアクセス要求を、情報活用装置に対して送付する。

図２０は、第４の実施の形態の情報管理装置２０１０内のモジュール構成例を示す図である。
情報管理装置２０１０は、認証モジュール２０１１、利用者情報発行モジュール２０１２、利用者情報格納モジュール２０１３、アクセストークン発行モジュール２０１４、アクセストークン検証モジュール２０１５、アクセストークン情報格納モジュール２０１６、情報活用装置情報格納モジュール２０１７、情報共有者確認モジュール２０１８を有しており、図１の例に示した第１の実施の形態の情報管理装置１１０に対応するものである。
認証モジュール２０１１、利用者情報発行モジュール２０１２、利用者情報格納モジュール２０１３、アクセストークン発行モジュール２０１４、アクセストークン検証モジュール２０１５、アクセストークン情報格納モジュール２０１６、情報活用装置情報格納モジュール２０１７は、図１の例に示した第１の実施の形態の情報管理装置１１０内の認証モジュール１１１、利用者情報発行モジュール１１２、利用者情報格納モジュール１１３、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５、アクセストークン情報格納モジュール１１６、情報活用装置情報格納モジュール１１７にそれぞれ対応するものである。これらについては重複した説明を省略する。また、第４の実施の形態の説明内では、情報管理装置１１０として説明する。
ただし、本実施の形態におけるアクセストークン発行モジュール２０１４は、利用者Ａが指定した他の利用者（第２の利用者、利用者Ｂ）が、利用者Ａの利用者情報にアクセス可能とするためのアクセストークンを作成し、該他の利用者の端末装置に発行する。
また、アクセストークン情報格納モジュール２０１６は、アクセストークン発行モジュール２０１４、アクセストークン検証モジュール２０１５、情報共有者確認モジュール２０１８からアクセスされ、第１の実施の形態（又は第２の実施の形態）の情報管理装置１１０内のアクセストークン情報格納モジュール１１６に加えて、所定の利用者に対してのみ、アクセストークンを共有するように、共有すべき利用者の利用者識別子（共有情報者ＩＤ）を、第１の実施の形態の情報管理装置１１０内のアクセストークン情報格納モジュール１１６の格納情報に追加して、格納する。

情報共有者確認モジュール２０１８は、アクセストークン情報格納モジュール２０１６および情報活用装置情報格納モジュール２０１７と接続されている。利用者情報を、その利用者の意図する第２の利用者がアクセスすることを許可するものであり、その第２の利用者によるアクセスであるか否かを確認する。具体的には、利用者のアクセスコードと同一のアクセスコードが第２の利用者によって入力されたか否かを確認するものである。
また、利用者と第２の利用者以外の利用者がアクセスすることを防止するため、その利用者はアクセスコードをその第２の利用者とだけ共有する。

図２１は、第４の実施の形態で用いるアクセストークン関連情報テーブル２１００のデータ構造例を示す説明図である。
アクセストークン関連情報テーブル２１００は、アクセストークン欄２１１０、利用者ＩＤ欄２１２０、ハッシュ関数への入力値欄２１３０、情報共有者ＩＤ欄２１４０、ノンス欄２１５０を有している。
情報活用装置１２０からのアクセス要求時に利用するために、アクセストークンをキーとして、利用者ＩＤ、ノンス、及びアクセストークン発行モジュール２０１４がアクセストークン発行時に利用した識別子群を検索可能なように、アクセストークン情報格納モジュール２０１６においてアクセストークン関連情報テーブル２１００で管理する。

アクセストークン関連情報テーブル２１００は、アクセストークン情報格納モジュール２０１６内に記憶されている。また、第１の実施の形態のアクセストークン関連情報テーブル６００に対応するものであり、アクセストークン関連情報テーブル２１００のアクセストークン欄２１１０、利用者ＩＤ欄２１２０、ノンス欄２１５０は、アクセストークン関連情報テーブル６００のアクセストークン欄６１０、利用者ＩＤ欄６２０、ノンス欄６３０にそれぞれ対応する。また、第２の実施の形態のアクセストークン関連情報テーブル１４００と比較すると、アクセストークン関連情報テーブル２１００のアクセストークン欄２１１０、利用者ＩＤ欄２１２０、ハッシュ関数への入力値欄２１３０、ノンス欄２１５０は、アクセストークン関連情報テーブル１４００のアクセストークン欄１４１０、利用者ＩＤ欄１４２０、ハッシュ関数への入力値欄１４３０、ノンス欄１４４０にそれぞれ対応するものである。これらについては重複した説明を省略する。なお、第４の実施の形態においては、ハッシュ関数への入力値欄２１３０はなくてもよい。
情報共有者ＩＤ欄２１４０は、情報共有者確認モジュール２０１８が取得した、利用者が自らの利用者情報へのアクセスを許可する利用者の識別子（情報共有者ＩＤ）を記憶する。共有すべき者が複数いる場合は、図２１の第２行目に示すように、情報共有者ＩＤ欄２１４０で、複数の情報共有者ＩＤを記憶する。

図２２は、第４の実施の形態による利用者Ｂに対して利用者Ａの利用者情報の送信処理例を示す説明図である。なお、利用者Ａ（第１の利用者）は端末装置１３０Ａを利用し、利用者Ｂ（第２の利用者）は端末装置１３０Ｂを利用するものとする。また、利用者Ａの利用者情報は、情報管理装置１１０に記憶されているものとし、利用者Ａ及び利用者Ｂは、情報管理装置１１０にログイン可能であるとする。
ステップＳ２２０１からステップＳ２２１０までの処理は、アクセストークン生成に関する処理である。

ステップＳ２２０１では、利用者Ａの操作に応じて端末装置１３０Ａは、情報活用装置１２０に対して、情報活用装置１２０が提供している情報閲覧サービスにアクセスする。
ステップＳ２２０２では、情報活用装置１２０は、端末装置１３０Ａに対して、利用者Ａの利用者情報（以下、「利用者Ａ情報」ともいう）を要求する。この際、情報活用装置１２０は、自装置の情報活用装置識別子も含めて送付する。
ステップＳ２２０３では、利用者Ａの操作に応じて端末装置１３０Ａは、情報管理装置１１０に対して、情報管理装置１１０が管理している利用者Ａ情報を情報活用装置１２０に送信するように要求する。この際、端末装置１３０Ａは、ステップＳ２２０２で受け取った情報活用装置１２０の情報活用装置識別子も含めて送付する。
ステップＳ２２０４では、情報管理装置１１０は、端末装置１３０Ａに対して、情報管理装置１１０へのログインに必要なＩＤとパスワードの入力を要求する。
ステップＳ２２０５では、利用者Ａの操作に応じて端末装置１３０Ａは、情報管理装置１１０に対して、情報管理装置１１０へのログインに必要なＩＤとパスワードを送付する。

ステップＳ２２０６では、情報管理装置１１０は、端末装置１３０Ａに対して、アクセスコード、情報共有者情報（情報共有者ＩＤ欄２１４０に記憶させるもの）の入力を要求する。
ステップＳ２２０７では、利用者Ａの操作に応じて端末装置１３０Ａは、情報管理装置１１０に対して、アクセスコード、情報共有者情報である利用者Ｂの識別子を入力する。なお、利用者Ａは、このアクセスコードを利用者Ｂにだけ教え、他の者に対しては秘密に管理されるものである。
ステップＳ２２０８では、情報管理装置１１０は、アクセストークンを生成する。アクセストークンの生成は、前述の実施の形態における処理と同等のものである。例えば、ノンスとアクセスコードとステップＳ２２０３で受け取った情報活用装置１２０に関する情報（例えば、情報活用装置１２０の識別子）を連結したものに対してハッシュ値を算出し、そのノンス等をアクセストークン情報格納モジュール２０１６に格納する。
ステップＳ２２０９では、情報管理装置１１０は、アクセストークンとステップＳ２２０７で入力された利用者Ｂの識別子を対応付けて、アクセストークン情報格納モジュール２０１６に格納する。
ステップＳ２２１０では、情報管理装置１１０は、端末装置１３０Ａに対して、アクセストークンの生成が完了した旨を通知する。

ステップＳ２２１１からステップＳ２２１５までの処理は、アクセストークン配布に関する処理である。
ステップＳ２２１１では、情報管理装置１１０は、端末装置１３０Ｂに対して、利用者Ａ情報へのアクセスが許可されたことを通知する。
ステップＳ２２１２では、利用者Ｂの操作に応じて端末装置１３０Ｂは、情報管理装置１１０に対して、利用者Ａ情報へアクセスするためのアクセストークンを送信するように要求する。
ステップＳ２２１３では、情報管理装置１１０は、端末装置１３０Ｂに対して、情報管理装置１１０へのログインを要求する。
ステップＳ２２１４では、利用者Ｂの操作に応じて端末装置１３０Ｂは、情報管理装置１１０に対して、情報管理装置１１０へのログインに必要なＩＤとパスワードを送付する。
ステップＳ２２１５では、情報管理装置１１０は、端末装置１３０Ｂに対して、アクセストークンを送信する。

ステップＳ２２１６からステップＳ２２２２までの処理は、利用者Ｂによる利用者Ａ情報の閲覧に関する処理である。
ステップＳ２２１６では、利用者Ｂの操作に応じて端末装置１３０Ｂは、情報活用装置１２０に対して、利用者Ａ情報の閲覧を要求する。その要求の際に、ステップＳ２２１５で送信されたアクセストークンを添付する。
ステップＳ２２１７では、情報活用装置１２０は、情報管理装置１１０に対して、利用者Ａ情報を要求する。その要求の際に、ステップＳ２２１６で端末装置１３０Ｂから送信されてきたアクセストークンと情報活用装置１２０自身の情報活用装置識別子を添付する。
ステップＳ２２１８では、情報管理装置１１０は、端末装置１３０Ｂに対して、アクセスコードを入力するよう要求する。ここで、端末装置１３０Ｂに対するアクセスコードの入力要求は、例えば、電子メールによって通知してもよく、情報管理装置１１０は、本アクセスコード入力要求と、前記ステップＳ２２１７の利用者Ａ情報要求とを関連付けて管理する。

ステップＳ２２１９では、利用者Ｂの操作に応じて端末装置１３０Ｂは、情報管理装置１１０に対して、アクセスコードを入力する。ここでのアクセスコードは、ステップＳ２２０７で、端末装置１３０Ａが入力したものと同じものである。
ステップＳ２２２０では、情報管理装置１１０は、アクセストークンを検証する。アクセストークンの検証は、前述の実施の形態における処理と同等のものである。
ステップＳ２２２１では、情報管理装置１１０は、情報活用装置１２０に対して、利用者Ａ情報を送付する。
ステップＳ２２２２では、情報活用装置１２０は、端末装置１３０Ｂに対して、利用者Ａ情報を表示する。つまり、利用者Ｂは利用者Ａ情報を閲覧することができる。

〔第５の実施の形態〕
次に、第５の実施の形態を説明する。第５の実施の形態は、第２の実施の形態と第３の実施の形態と第４の実施の形態のいずれか２つ以上を任意に組み合わせたものである。また、それぞれの形態内のモジュールを任意に組み合わせたものであってもよい。
例えば、第１の実施の形態のモジュール構成と同様のものであるが、情報管理装置１１０は、さらに利用者情報暗号化モジュール１８１８を有しており、アクセストークン発行モジュール１１４は、図１３の例に示したようにアクセストークン１３３０を作成して、アクセストークン情報格納モジュール１１６は、図１４の例に示すようなアクセストークン関連情報テーブル１４００を記憶し、アクセストークン検証モジュール１１５は、図１５の例に示すような処理を行い、利用者情報暗号化モジュール１８１８は利用者情報を暗号化し、利用者情報発行モジュール１１２は、暗号化された利用者情報を情報活用装置１２０に送付する。
また、情報活用装置１２０は、利用者情報活用モジュール１９１３を有しており、利用者情報活用モジュール１２３は、暗号化された利用者情報を情報管理装置１１０から受け取り、利用者情報復号モジュール１９１４で復号する。端末装置１３０は、端末装置情報送付モジュール１６３５を有しており、端末装置識別子を送付する。

〔第６の実施の形態〕
次に、第６の実施の形態を説明する。第６の実施の形態は、第１の実施の形態から第５の実施の形態をプログラムとして実現させたものである。
図２３は、第６の実施の形態を実現するシステム構成例を示す説明図である。
情報管理装置２３１０、情報活用装置２３２０、端末装置２３３０は、通信ネットワーク２３４０を介して接続されている。
情報管理装置用プログラム２３１１は情報管理装置２３１０に、情報活用装置用プログラム２３２１は情報活用装置２３２０に、端末装置用プログラム２３３１は端末装置２３３０に、それぞれインストールされて使用される。情報管理装置２３１０、情報活用装置２３２０、端末装置２３３０は、それぞれコンピュータとして（又はコンピュータを内蔵したものとして）機能し、それぞれインストールされたプログラムにしたがって動作・処理を行う。情報管理装置用プログラム２３１１、情報活用装置用プログラム２３２１、端末装置用プログラム２３３１は、それぞれ第１の実施の形態から第５の実施の形態における情報管理装置１１０、情報活用装置１２０、端末装置１３０として機能させるためのプログラムである。

前述の実施の形態によって得られる効果を以下に挙げる。
＜第１の効果＞
利用者の機密情報の漏洩に対して強固な情報管理システムを提供できることにある。
（理由）利用者情報は、アクセストークンを用いたアクセス管理によって保護されている。該利用者の利用者情報にアクセスするために必要とするアクセストークンは、ハッシュ関数を用いることにより生成され利用者を特定することが困難な情報であるため、万が一該利用者以外の該利用者が意図しない第三者に対してアクセストークンが漏洩しても第三者による利用者情報へのアクセスが不可能であるからである。

＜第２の効果＞
利用者が意図していない事業者に対して該利用者の機密情報の漏洩を防止できることにある。
（理由）第１の効果と同様に、該利用者の利用者情報にアクセスするために必要なアクセストークンは、該利用者が該利用者情報を送付先として指定した事業者に特定するための情報であるが、該事業者自身が有する装置識別子を用いてアクセス管理を行うため、万が一該事業者以外の第２の事業者に対してアクセストークンが漏洩しても、該第２の事業者は、該利用者の利用者情報にアクセスできないからである。

＜第３の効果＞
利用者のプライバシーが保護されることにある。
（理由）アクセストークンには、利用者本人を特定可能な情報が含まれておらず、また、一時的な情報であるからである。

＜第４の効果＞
情報管理装置と情報活用装置の間に信頼関係がなくても、利用者情報が活用できることにある。
（理由）情報管理装置と情報活用装置との間に互いの信頼関係がない場合においても、該利用者情報を提供すべき情報活用装置の情報（識別子）を利用者本人の要求に応じて情報管理装置に与えることで、利用者情報の送付先を安全に管理できるからである。また、情報管理装置が管理する利用者情報の情報活用装置による活用を該利用者本人が自己の責任において許可できるからである。

＜第５の効果＞
利用者情報の活用が容易に行えることにある。
（理由）利用者情報の活用のために、シングルサインオンのような情報活用装置における事前のＩＤ登録が必要ないからである。また、情報管理装置と情報活用装置の間で事前のＩＤ連携を前提としないからである。

なお、前述の実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図２４に示すように、一般的なコンピュータであり、具体的には前述の実施の形態による処理以外にも多くの処理を高速に実行することができるサーバとなりうるようなコンピュータである。認証モジュール１１１、利用者情報発行モジュール１１２、アクセストークン発行モジュール１１４、アクセストークン検証モジュール１１５、利用者情報要求モジュール１２１、サービス提供モジュール１２２、利用者情報活用モジュール１２３、利用者情報要求モジュール１３２、クレデンシャル送付モジュール１３４等のプログラムを実行するＣＰＵ２４１０と、そのプログラムやデータを記憶するＲＡＭ２４３０と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ２４２０と、補助記憶装置であるＨＤ２４４０と、キーボード、マウス等から操作者の操作によってデータを入力又はＣＲＴや液晶ディスプレイ等にデータを出力して操作者とのインタフェースとなるＵＩ／Ｆ２４５０と、ＣＤ−Ｒ等のリムーバブルメディアに対して読み書きするリムーバブルメディアリーダーライター２４６０と、通信ネットワークと接続するための通信回線Ｉ／Ｆ２４７０、そして、それらをつないでデータのやりとりをするためのバス２４８０により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。

なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通などのために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ Ｄｉｓｃ（登録商標））、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）等が含まれる。
そして、前記のプログラム又はその一部は、前記記録媒体に記録して保存や流通等させることが可能である。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、あるいは無線通信ネットワーク、さらにこれらの組合せ等の伝送媒体を用いて伝送することが可能であり、また、搬送波に乗せて搬送することも可能である。
さらに、前記のプログラムは、他のプログラムの一部分であってもよく、あるいは別個のプログラムと共に記録媒体に記録されていてもよい。

本発明の実施の形態を実現するシステム構成例を示す説明図である。 本発明の実施の形態による処理例の概略を示す説明図である。 第１の実施の形態の情報管理装置内のモジュール構成例を示す図である。 利用者情報テーブルのデータ構造例を示す説明図である。 第１の実施の形態のアクセストークン発行モジュールによるアクセストークンの発行処理例を示す説明図である。 アクセストークン関連情報テーブルのデータ構造例を示す説明図である。 第１の実施の形態によるアクセストークンの検証処理例を示すフローチャートである。 第１の実施の形態の情報活用装置内のモジュール構成例を示す図である。 第１の実施の形態の端末装置内のモジュール構成例を示す図である。 第１の実施の形態による利用者登録の処理例を示す説明図である。 第１の実施の形態による商品発送先情報の送信処理例を示す説明図である。 第１の実施の形態による処理例を示すフローチャートである。 第２の実施の形態のアクセストークン発行モジュールによるアクセストークンの発行処理例を示す説明図である。 アクセストークン関連情報テーブルのデータ構造例を示す説明図である。 第２の実施の形態によるアクセストークンの検証処理例を示すフローチャートである。 第２の実施の形態の端末装置内のモジュール構成例を示す図である。 第２の実施の形態による利用者情報の送信処理例を示す説明図である。 第３の実施の形態の情報管理装置内のモジュール構成例を示す図である。 第３の実施の形態の情報活用装置内のモジュール構成例を示す図である。 第４の実施の形態の情報管理装置内のモジュール構成例を示す図である。 アクセストークン関連情報テーブルのデータ構造例を示す説明図である。 第４の実施の形態による利用者Ｂに対して利用者Ａの利用者情報の送信処理例を示す説明図である。 第６の実施の形態を実現するシステム構成例を示す説明図である。 本発明の実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。 従来技術において、サイトへ利用者情報を登録する処理例を示す説明図である。 従来技術において、Ｌｉｂｅｒｔｙ ＩＤ−ＷＳＦの処理例を示す説明図である。 従来技術において、ＳＳＯ（シングルサインオン）を基礎にした属性情報の交換の処理例を示す説明図である。 従来技術において、仮登録を行った後に、本登録を行う処理例を示す説明図である。

符号の説明

１１０…情報管理装置
１１１…認証モジュール
１１２…利用者情報発行モジュール
１１３…利用者情報格納モジュール
１１４…アクセストークン発行モジュール
１１５…アクセストークン検証モジュール
１１６…アクセストークン情報格納モジュール
１１７…情報活用装置情報格納モジュール
１２０…情報活用装置
１２１…利用者情報要求モジュール
１２２…サービス提供モジュール
１２３…利用者情報活用モジュール
１３０…端末装置
１３１…入力モジュール
１３２…利用者情報要求モジュール
１３３…出力モジュール
１３４…クレデンシャル送付モジュール
１３９…利用者
１４０…通信ネットワーク
２１０…加入者管理装置
２２１、２２２…ポータルサイト
２３０…端末装置
２３９…利用者
１６１０…ポータルサイト
１６３０…端末装置
１６３１…入力モジュール
１６３２…利用者情報要求モジュール
１６３３…出力モジュール
１６３４…クレデンシャル送付モジュール
１６３５…端末装置情報送付モジュール
１８１０…情報管理装置
１８１１…認証モジュール
１８１２…利用者情報発行モジュール
１８１３…利用者情報格納モジュール
１８１４…アクセストークン発行モジュール
１８１５…アクセストークン検証モジュール
１８１６…アクセストークン情報格納モジュール
１８１７…情報活用装置情報格納モジュール
１８１８…利用者情報暗号化モジュール
１９１０…情報活用装置
１９１１…利用者情報要求モジュール
１９１２…サービス提供モジュール
１９１３…利用者情報活用モジュール
１９１４…利用者情報復号モジュール
２０１０…情報管理装置
２０１１…認証モジュール
２０１２…利用者情報発行モジュール
２０１３…利用者情報格納モジュール
２０１４…アクセストークン発行モジュール
２０１５…アクセストークン検証モジュール
２０１６…アクセストークン情報格納モジュール
２０１７…情報活用装置情報格納モジュール
２０１８…情報共有者確認モジュール
２３１０…情報管理装置
２３１１…情報管理装置用プログラム
２３２０…情報活用装置
２３２１…情報活用装置用プログラム
２３３０…端末装置
２３３１…端末装置用プログラム
２３３９…利用者
２３４０…通信ネットワーク

Claims (14)

1. 利用者が利用する端末装置と該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、該利用者情報を管理する情報管理装置であって、
   前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、
   前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、
   前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、
   前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、
   前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて記憶する記憶手段と、
   前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、
   前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得手段と、
   前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、
   前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、
   前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段と、
   を具備し、
   前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、
   前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得する
   ことを特徴とする情報管理装置。
2. 前記取得手段は、
   前記端末装置に対する前記利用者の操作に基づいて、前記第２のアクセスコードを該端末装置から取得し、
   前記第２の連結手段は、
   前記端末装置から取得された前記第２のアクセスコードを用いる
   ことを特徴とする請求項１に記載の情報管理装置。
3. 前記取得手段は、
   前記利用者が指定した他の利用者である第２の利用者の端末装置から前記第２のアクセスコードを取得し、
   前記第２の連結手段は、
   前記第２の利用者の端末装置から取得された前記第２のアクセスコードを用い、
   前記アクセストークン受信手段は、前記利用者の利用者情報に対するアクセスの許可要求を前記第２の利用者の端末装置を経由して前記情報活用装置から受信するものであり、該情報管理装置が該第２の利用者の端末装置に発行し、該情報活用装置が該第２の利用者の端末装置から取得する前記利用者のアクセストークン及び情報活用装置識別子を含み、
   前記取得手段は、前記第２の利用者が該第２の利用者の端末装置に入力した前記利用者のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得し、
   前記利用者の利用者情報を前記第２の利用者と共有することを、該利用者が指定した該第２の利用者に通知し、前記情報管理装置は、該利用者の情報共有者として該第２の利用者を関連付けて格納している
   ことを特徴とする請求項１に記載の情報管理装置。
4. 前記記憶手段は、
   前記第１の連結手段により連結された前記第１のアクセスコードを前記アクセストークンに対応付けてさらに記憶し、
   前記取得手段は、
   前記アクセストークン受信手段によって受信されたアクセストークンに対応付けられた前記第１のアクセスコードを前記記憶手段から取得し、
   前記第２の連結手段は、
   前記記憶手段から取得された前記第１のアクセスコードに前記乱数及び前記情報活用装置識別子を連結する
   ことを特徴とする請求項１に記載の情報管理装置。
5. 前記端末装置に対する前記利用者の操作に基づいて、利用者を特定する利用者識別子と情報活用装置識別子を該端末装置から取得する利用者識別子取得手段
   をさらに具備し、
   前記記憶手段は、さらに前記利用者識別子取得手段によって取得された前記利用者識別子を記憶する
   ことを特徴とする請求項１〜４の何れか一項に記載の情報管理装置。
6. 前記判断手段によって前記アクセス要求が正規なものと判断された場合は、前記利用者情報を前記情報活用装置に送信する利用者情報送信手段
   を具備することを特徴とする請求項１〜５の何れか一項に記載の情報管理装置。
7. 前記判断手段によって前記アクセス要求が正規なものと判断された場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される利用者が利用している前記端末装置と通信することにより、前記情報活用装置への利用者情報の送信の許可を得る送信許可取得手段
   をさらに具備し、
   前記利用者情報送信手段は、
   前記判断手段によって前記アクセス要求が正規なものと判断され、さらに前記送信許可取得手段によって前記利用者情報の送信の許可が得られた場合に、前記利用者情報を前記情報活用装置に送信する
   ことを特徴とする請求項６に記載の情報管理装置。
8. 前記送信許可取得手段は、
   前記端末装置に対して利用者識別子の送信を要求して、当該要求により得られた利用者識別子と、前記受信したアクセストークンに対応付けられた利用者識別子とが一致する場合に、前記情報活用装置への利用者情報の送信の許可が得られたと判定する
   ことを特徴とする請求項７に記載の情報管理装置。
9. 前記第１の連結手段は、乱数と識別子情報を連結し、
   前記記憶手段は、さらに前記第１のハッシュ値算出手段のハッシュ関数の入力とした識別子情報を前記アクセストークンに対応付けて記憶し、
   前記第２の連結手段は、
   前記受信したアクセストークンに対応付けられた識別子情報を前記記憶手段から取得して前記乱数に連結する
   ことを特徴とする請求項１〜８の何れか一項に記載の情報管理装置。
10. 前記利用者情報を暗号化する暗号化手段
    をさらに具備し、
    前記利用者情報送信手段は、前記暗号化手段によって暗号化された前記利用者情報を送信する
    ことを特徴とする請求項６〜８の何れか一項に記載の情報管理装置。
11. 端末装置の利用者に関する情報である利用者情報を管理する情報管理装置と、当該利用者情報を活用する情報活用装置とが通信可能に接続された情報処理システムであって、
    前記情報管理装置は、
    前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、
    前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、
    前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、
    前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、
    前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて記憶する記憶手段と、
    前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、
    前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得手段と、
    前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、
    前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、
    前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶手段において該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段と、
    を具備し、
    前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、
    前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得し、
    前記情報活用装置は、
    アクセストークンを受信するアクセストークン受信手段と、
    前記アクセストークン受信手段によって受信されたアクセストークンと、自装置を特定する情報活用装置識別子とを前記情報管理装置に送信するアクセストークン送信手段と、
    前記アクセストークンに対応して前記情報管理装置から送信される前記利用者の利用者情報を受信する受信手段と、
    を具備することを特徴とする情報処理システム。
12. 前記情報管理装置は、
    前記利用者情報を暗号化する暗号化手段
    をさらに具備し、
    前記情報管理装置の利用者情報送信手段は、前記暗号化手段によって暗号化された前記利用者情報を送信し、
    前記情報活用装置は、
    前記受信手段によって受信された暗号化された前記利用者情報を復号する復号手段
    をさらに具備することを特徴とする請求項１１に記載の情報処理システム。
13. 利用者が利用する端末装置と該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、該利用者情報を管理する情報管理装置が行う情報管理方法であって、
    前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信ステップと、
    前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結ステップと、
    前記第１の連結ステップにおいて連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出ステップと、
    前記第１のハッシュ値算出ステップにおいて算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行ステップと、
    前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出ステップで処理の対象となった乱数とを対応付けて記憶手段に記憶する記憶ステップと、
    前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信ステップと、
    前記アクセストークン受信ステップにおいて受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶手段に記憶された乱数とを取得する取得ステップと、
    前記取得ステップにおいて取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結ステップと、
    前記第２の連結ステップにおいて連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出ステップと、
    前記アクセストークン受信ステップにおいて受信されたアクセストークンと前記第２のハッシュ値算出ステップにおいて算出されたハッシュ値とを照合して一致する場合は、前記記憶ステップにおいて該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断ステップと、
    を有し、
    前記許可要求受信ステップにおいて受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、
    前記取得ステップにおいては、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信ステップにおいて受信されたアクセストークンに基づいて、前記記憶手段に記憶された乱数を取得する
    ことを特徴とする情報管理方法。
14. 利用者が利用する端末装置と、該利用者に関する情報である利用者情報を活用する情報活用装置と通信可能であって、記憶装置を具備する情報管理装置を、
    前記端末装置から、前記利用者情報を前記情報活用装置に送付してほしいというアクセス許可要求を受信する許可要求受信手段と、
    前記アクセス許可要求に対応した第１のアクセスコードに前記情報活用装置を特定する情報活用装置識別子と乱数とを連結する第１の連結手段と、
    前記第１の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第１のハッシュ値算出手段と、
    前記第１のハッシュ値算出手段によって算出されたハッシュ値を前記利用者情報にアクセスするためのアクセストークンとして発行するアクセストークン発行手段と、
    前記アクセストークンと、前記利用者を特定する利用者識別子と、前記第１のハッシュ値算出手段で処理の対象となった乱数とを対応付けて前記記憶装置に記憶するように制御する記憶制御手段と、
    前記アクセストークンと、前記情報活用装置の情報活用装置識別子とを該情報活用装置から受信するアクセストークン受信手段と、
    前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、第２のアクセスコードと前記記憶装置に記憶された乱数とを取得する取得手段と、
    前記取得手段により取得された乱数及び前記第２のアクセスコードに前記受信した情報活用装置識別子を連結する第２の連結手段と、
    前記第２の連結手段によって連結された符号からハッシュ関数によってハッシュ値を算出する第２のハッシュ値算出手段と、
    前記アクセストークン受信手段によって受信されたアクセストークンと前記第２のハッシュ値算出手段によって算出されたハッシュ値とを照合して一致する場合は、前記記憶制御手段によって該アクセストークンに対応付けられた利用者識別子で示される前記利用者の利用者情報へのアクセス要求を正規なものであると判断する判断手段
    として機能させ、
    前記許可要求受信手段が受信するアクセス許可要求として、第１のアクセスコード、情報活用装置識別子を含み、
    前記取得手段は、前記利用者が前記端末装置に入力した第１のアクセスコード、及び、前記アクセストークン受信手段によって受信されたアクセストークンに基づいて、前記記憶装置に記憶された乱数を取得する
    ことを特徴とする情報管理プログラム。

Images