(57)【特許請求の範囲】
【請求項１】
モバイル電話デバイス上のアプリケーションによるユーザ認証の方法であって、
a）リモート認証サービスから呼識別子を受信するために、前記アプリケーションとの相互作用によりユーザを認証することと、
b)リモート電話サービスへの電話呼を開始することと、前記呼が前記リモート電話サービスへ接続された後に、
c）前記呼識別子を前記電話呼内で前記リモート電話サービスへ送信することにより、前記ユーザは前記リモート電話サービスに対して認証されることと、
d)前記リモート電話サービスに対するユーザ認証の応答として、選択された電話オペレータへ呼をルーティングすることとを含み、
前記呼の目的に関するデータは、前記モバイル電話デバイス上のユーザにより提供され、前記呼識別子に含まれて前記リモート電話サービスへ送信され、前記呼は、前記データに基づいて、前記選択された電話オペレータへルートされることを特徴とする方法。
【請求項２】
前記モバイル電話デバイス上のメニュを提供することにより、前記ユーザが前記呼の目的の選択をすることを含む、請求項１に記載の方法。
【請求項３】
前記モバイル電話デバイス上の前記アプリケーションは前記リモート認証サービスに登録され、前記モバイルアプリケーションとリモート認証サービスとの間のセキュアな通信のための1つまたは複数の暗号鍵を生成する、請求項１又は２に記載の方法。
【請求項４】
前記登録するステップは、前記モバイルアプリケーションに関連づけられるデータを前記リモート認証サービスによって格納することを含む、請求項3に記載の方法。
【請求項５】
前記1つまたは複数の暗号鍵は、ユーザにより入力されるパスコードから生成される、請求項3または請求項4に記載の方法。
【請求項６】
前記ユーザは、前記電話呼内の口頭による検証によってさらに認証される、請求項1乃至請求項5のいずれか一項に記載の方法。
【請求項７】
前記口頭による検証は、前記ユーザに関するデータを確認することを含む、請求項6に記載の方法。
【請求項８】
前記ユーザに関するデータは、前記リモート認証サービスから取得される、請求項7に記載の方法。
【請求項９】
前記ユーザは、ステップa）で前記モバイル電話デバイスにおいて局所的に認証される、請求項1乃至8のいずれか1項に記載の方法。
【請求項１０】
前記呼識別子は前記電話呼内にオーディオ信号として包含される、請求項1乃至請求項9のいずれか一項に記載の方法。
【請求項１１】
適切に配列される1つまたは複数のプロセッサによって実行されると、請求項1乃至10のいずれか一項に記載の方法を実行するように調整されるプログラムコード手段を含むコンピュータプログラム。
【請求項１２】
請求項1乃至請求項10のいずれか一項に記載の方法を実行するように調整される装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ認証のための方法およびシステムに関する。
【背景技術】
【０００２】
ユーザが、オンラインシステムまたは電話システム、メッセージングサービスまたはローカルサービス等のリモートサービスへ安全にアクセスするには、ユーザ認証が必要である。しかしながら、現在のユーザ認証プロセスは、例えば、電話でサービスを要求するユーザが、パスコードや個人情報に関する多くの要求事項に答えなければならない場合があるなど、ユーザを苛立たせることがある。電話呼の間にオペレータが代われば、こうした要求が繰返し行われる場合がある。ユーザにとって、パスコードを記憶しておくことが難しい場合があり、しかもこうしたパスコードは容易に傍受される。さらに、ユーザの個人データは、様々な公開ソースから容易に入手できる場合がある。
【０００３】
より確実なユーザ認証を提供するために、ワンタイムパスワード（OTP）の生成等の技術的手段が知られている。しかしながら、これらは、通常スタンドアロンシステムとして提供され、ユーザの認証が行われているサービスにさほど密には一体化されない。
【発明の概要】
【０００４】
本発明の一態様により提供されるユーザ認証方法では、モバイル電話デバイスにおけるアプリケーションとの相互作用によってユーザが認証され、次に、リモートシステムへの音声呼が開始され、かつリモートシステムへ認証コードが音声呼に包含されて、例えばDTMFトーン、合成音として、またはボイスオーバーIP呼内のデータとして送信される。リモートシステムは、認証コードによってユーザを認証する。ユーザの認証状態は、オペレータ間での発呼者の転送に伴ってリモートシステムで保持されることもあれば、モバイルデバイスにおいてユーザが再認証をプロンプトされることもある。好ましくは、認証コードは、モバイルアプリケーションおよびリモートサービスのための認証サーバまたは認証サービスとして作用するモバイルゲートウェイによって検証される。
【０００５】
本発明の別の態様により提供されるユーザ認証方法では、ユーザは、モバイルデバイスによって認証され、次に、リモートオペレータとのセキュアなメッセージングセッションが開始される。このセッションにおいて、ユーザは、追加の認証を要求する指令を発行してもよい。次に、リモートオペレータは追加認証要求を開始し、ユーザがモバイル電話デバイスにおいてこれを検証し、検証された要求がリモートオペレータへ送信される。
【０００６】
本発明の別の態様によれば、可変性のチャレンジコードが提供されるロケーションにおけるユーザ認証方法が提供される。ユーザは、モバイルデバイスを用いてチャレンジコードを捕捉し、モバイルデバイス側でユーザが認証され、モバイルデバイスがチャレンジコードを検証のためにリモートシステムへ送信する。チャレンジコードが検証されれば、リモートシステムはモバイルデバイスへ確認コードを送信し、モバイルデバイスにより出力される確認コードがそのロケーションにおけるオペレータによって捕捉される。オペレータは確認コードを捕捉し、これを検証のためにリモートシステムへ送信する。確認コードが検証されれば、オペレータは、場合により、ユーザとのさらなる認証を実行して、そのロケーションにおけるユーザへサービスを提供してもよい。
【０００７】
上述の任意の方法については、これらを実行するように調整されたモバイルデバイス、モバイルゲートウェイおよび関連するコンピュータプログラムが提供されていてもよい。特に、上述の方法のうちの1つまたはそれ以上を有効化するモバイルゲートウェイ、モバイルデバイス上のアプリケーションおよび適宜リモートまたはローカルサービスにおけるアプリケーションは、確実に新規かつ発明的である。
【図面の簡単な説明】
【０００８】
次に、下記の図面を参照して、本発明の実施形態を単に例示として詳細に説明する。
【図１】図1は、本発明の実施形態によるモバイルユーザ認証システムの主たるコンポーネントを示すブロック図である。
【図２】図2は、本発明の第1の実施形態におけるユーザ認証方法を示す概略図である。
【図２ａ】図2aは、ログイン中のモバイルデバイス・ディスプレイのスクリーンショットを示す略図である。
【図２ｂ】図2bは、コールタイプ選択中のモバイルデバイス・ディスプレイのスクリーンショットを示す略図である。
【図２ｃ】図2cは、第1の実施形態をより詳細に示すシーケンス図である。
【図３】図3は、本発明の第2の実施形態におけるユーザ認証方法を示す概略図である。
【図４】図4は、本発明の第3の実施形態におけるユーザ認証方法を示す概略図である。
【図４ａ】図4aは、より詳細な第3の実施形態におけるユーザ認証システムを示す。
【図４ｂ】図4bは、第3の実施形態をより詳細に示すシーケンス図である。
【図５】図5は、本発明の実施形態に用いるモバイルデバイスの詳細図である。
【図６】図6は、本発明の実施形態に用いるコンピュータシステムの詳細図である。
【発明を実施するための形態】
【０００９】
（技術アーキテクチャ）
図1を参照すると、本発明の一実施形態によるモバイル認証システムは、モバイルアプリケーション1aにより無線または移動ネットワーク3上でモバイルゲートウェイ4と通信する無線またはモバイルデバイス1を備える。モバイルデバイス1は、iOS（商標）、Blackberry（商標）またはAndroid（商標）ベースのスマートフォン等の周知タイプである。実施形態によっては、モバイルデバイスが音声電話機能を有する必要はない。ネットワーク3には、2G、3Gまたは4Gネットワーク等の地上セルラネットワーク、WiFi（商標）ベースのネットワーク等の専用または公衆無線ネットワーク、および移動衛星ネットワークの一方又は双方が含まれてもよい。システムにおいて、複数の、好ましくは多数のモバイルデバイス1が同時に動作可能であることが理解されるであろう。
【００１０】
モバイルゲートウェイ4は、個々の認証セッションの識別（ID）ならびに登録データおよびステータス情報を含む、データベース等のレポジトリ7も管理する。モバイルアプリケーション1aは、好ましくは、モバイルデバイス1上のモバイルアプリケーション1aのセットアップ中にモバイルゲートウェイ4に登録される。
【００１１】
登録は、モバイルアプリケーション1aとモバイルゲートウェイ4との間のセキュアな通信を目的として1つまたは複数の暗号鍵をセットアップすることを包含してもよい。これらの鍵は、セットアップ中にユーザにより入力されるパスコードから生成されてもよい。パスコードは、PIN、グラフィックなパスコード、および指紋または虹彩スキャン等の生体データの一方又は双方であってもよい。パスコードは、セットアップの後にユーザにより修正されてもよい。
【００１２】
登録は、レポジトリ7にIDデータを記録することも含む場合がある。IDデータは、モバイルデバイス1、モバイルアプリケーション1a、およびユーザの一方又は双方に関するものであってもよい。好ましくは、IDデータは、モバイルアプリケーション1aに関連するが、プロビジョニング中に入力されるユーザデータを含む。
【００１３】
後述する特有の実施形態では、ユーザは、パスコードを認証プロセスの一部として入力するように要求される。パスコードは、数字または英数字入力、署名またはジェスチャ等のグラフィックな入力または生体測定入力として入力されてもよい。好ましくは、パスコードは遠隔的に、例えばパスコードから暗号鍵を生成することによって検証され、暗号鍵は、モバイルゲートウェイ4へ送信されるメッセージへの署名に使用される。モバイルゲートウェイ4は、署名が検証される場合に限って、後述の実施形態のようにして応答する。検証されなければ、モバイルゲートウェイ4は、パスコードを再度要求するようにモバイルアプリケーション1aをプロンプトしてもよい。モバイルゲートウェイ4は、モバイルアプリケーション1aが予め決められた回数を超えて無効な署名を提示すれば、モバイルアプリケーション1aによるアクセスをブロックしてもよい。この認証プロセスは、このようにして「ブルートフォース」アタック（総当たり攻撃）に対する耐性を得る。
【００１４】
あるいは、パスコードは、モバイルデバイス1のセキュアなローカルエリアに格納されているパスコードに照らして局所的に検証されてもよい。パスコードが検証されれば、モバイルアプリケーション1aは、例えば後述する特有の実施形態の場合のように動作すべく有効化される。この有効化には、モバイルゲートウェイ4と安全に通信するための局所的に格納された暗号鍵へのアクセスが含まれてもよい。
【００１５】
実施形態によっては、モバイルゲートウェイ4は、リモートシステム8とも通信する。リモートシステム8は、リモートオペレータ機能であってもよい。他の実施形態では、モバイルゲートウェイ4はローカルシステム9と通信してもよく、ローカルシステム9は、ブランチオペレータ機能であってもよい。これらの通信は、好ましくは、1つまたは複数のセキュアなネットワーク上で実行される。
【００１６】
（第1の実施形態−音声呼における認証）
図2は、第1の実施形態におけるユーザ認証プロセスを示す概略図である。本プロセスにおいて、ユーザは、モバイルアプリケーション1aを用いて電話サービス等のリモートサービス9へ音声呼を行い、モバイルゲートウェイ4は、認証を目的とする媒介として作用する。
【００１７】
ユーザは、まず、先に述べたように、パスコードを入力するように要求される（S1.1）。図2aは、モバイルアプリケーション1aにより生成される適切なログインディスプレイの一例を示す。
【００１８】
ユーザは、次に、リモートサービス9への着信音声呼を包含するモバイルアプリケーション1a内のサービスを選択してもよい。場合により、ユーザは、音声呼の目的に関するデータの選択およびデータの入力の一方又は双方を行ってもよい。例えば、図2bに示されているように、ユーザは、自動引き落とし命令の設定または変更、顧客詳細事項の変更または他の目的によるアドバイザとの会話等の呼の目的のメニュを提示されてもよい。
【００１９】
モバイルアプリケーション1aは、ワンタイムパスコード（OTP）を生成し（S1.2）、これがモバイルゲートウェイ4へ送信される。OTPは、モバイルゲートウェイ4で検証され（S1.3）、モバイルデバイス1へ呼識別子が送信される。呼識別子は可変性かつ意図される呼に固有のものであって、モバイルゲートウェイ4により生成される一意のセッション識別子であっても、OTPおよびIDデータを含んでもよい。OTPおよび呼識別子の一方又は双方は、例えば監査のために、レポジトリ7におけるIDデータに照らして記録されてもよい。
【００２０】
呼識別子を受信すると、モバイルアプリケーション1aはリモートサービス9への音声呼を開始し、呼がリモートサービス9へ接続されると、呼識別子を音声呼に包含してリモートサービス9へ送る。呼識別子は、DTMF（デュアルトーンマルチ周波数）トーンまたは合成音等のオーディオ信号として符号化されても、呼識別子が転送されている間に話すことができるように呼内に埋め込まれてもよい。好ましくは、呼識別子は、DTMFトーンまたは音声合成の短い周期内に符号化されることが可能な比較的短いコードである。あるいは、音声呼がボイスオーバーIP（VoIP）呼である場合、呼識別子は、VoIPセッション内の非オーディオデータとして送られてもよい。
【００２１】
IDデータは、呼識別子と共に包含されてもよい。その代りに、または追加的に、リモートサービス9は、発呼者側の数字を伝送する発呼者IDまたはCLIをIDデータとして記録してもよい。
【００２２】
リモートサービス9は呼を受信し（S1.5）、呼識別子をモバイルゲートウェイ4へ転送する。好ましくは、呼は、呼識別子および発呼者IDを復号して転送できる自動音声応答（IVR）システムによって自動的に応答される。
【００２３】
モバイルゲートウェイ4は、次に、呼識別子をステップS1.3で予め受信されている記録に照らして、例えばレポジトリ7に設定されている記録と比較することによって検証する（S1.6）。検証に成功すれば、モバイルゲートウェイ4は、リモートサービス9へ検証信号を送信する。
【００２４】
検証信号を受信すると、リモートサービス9は、モバイルデバイス1をリモートサービス9における電話オペレータへ接続する。電話オペレータは、人およびIVRインスタンスの一方又は双方であってもよい。
【００２５】
場合により、先に述べたように、呼の目的に関する情報がリモートサービス9へ送られてもよい。この情報は、OTPおよび呼識別子に包含されてもよく、別にステップS1.4においてリモートサービス9へ送信されてもよい。リモートサービス9は、呼の目的に関する情報に基づいて、選択される電話オペレータへ呼をルーティングしてもよい。あるいは、ステップS1.4において、モバイルアプリケーション1aは、呼の目的に依存する番号に、例えば図2bに示されているメニュから選択される番号に発呼してもよい。
【００２６】
好ましくは、電話オペレータは、呼を進める前に、モバイルデバイス1のユーザと口頭による短い検証（S1.7）を、例えばユーザに関する顧客データを確認することによって実行する。顧客データは、モバイルゲートウェイ4から、またはリモートサービス9において入手されて電話オペレータへ提示されてもよい。ユーザは、先に述べたプロセスによって既に認証されていることから、口頭によるこの検証は、従来式の口頭による検証より遙かに短いものであってもよい。また、顧客データは、電話オペレータによってユーザによる問い合わせへの対応をアシストするために使用されてもよい。
【００２７】
図2cは、第1の実施形態の一変形例を示す、より詳細なシーケンス図である。本図において、リモートサービス9は、電話交換機9aまたはACD（着信呼自動分配装置）と、IVRプラットフォーム9bと、IVRプラットフォーム9b上で実行されるIVRアプリケーション9cと、CTI（コンピュータ電話統合）サーバ9dと、オペレータ端末9eとに細分されている。レポジトリ7は、モバイルゲートウェイ4へ接続される分離されたエンティティとして示されている。第1の実施形態に関する説明の繰返しを避けるために、同じエンティティおよびステップには同じ参照数字および用語を用いている。以下、この変形例に固有の特徴について述べる。
【００２８】
交換機9aは、ステップS1.4において呼をIVRプラットフォーム9bへルーティングし、かつステップS1.6の後、呼をIVRプラットフォーム9bからオペレータ端末9eへリルーティングする。
【００２９】
レポジトリ7は、OTPを顧客レコードに照らして検証し、かつステップS1.3において呼識別子を生成して格納するために使用される。顧客データは、ステップS1.6でレポジトリ7から検索され、ステップS1.7より前にIVRプラットフォーム9bおよびCTIサーバ9dを介してオペレータ端末9eへ送られる。
【００３０】
ステップ1.7に続いて、リモートサービス9は、認証状態およびユーザ識別を保全しながら、ユーザに再認証を要求することなく、ユーザを呼内の別の電話オペレータへ転送してもよい。しかしながら、トランザクションの命令確定等の状況によっては、呼の間にユーザに再認証を要求して新しい呼識別子を生成することが好ましい場合もある。これは、リモートサービス9からモバイルアプリケーション1aへプロンプトメッセージを送信することによって、または、オペレータがユーザにモバイルアプリケーション1aにおける機能を選択するように要求することによって行われてもよい。モバイルアプリケーション1aは、次に、例えば先述のステップS1.1からS1.6におけるように、但し現行呼をクリアすることなく、新しい呼識別子の生成および送信を開始する。
【００３１】
次に、モバイルアプリケーション1aからリモートサービス9へ呼識別子を送る方法の具体例について説明する。DTMF例において、DTMFコードは、ステップS1.4において呼を開始するために使用されるダイアルストリングに包含されてもよい。ダイアルストリングは、リモートサービス9が呼識別子を受信する前に呼に応答する時間として1つまたは複数のポーズを含んでもよい。ダイアルストリング内に包含されるコードの使用は、呼の開始後にモバイルアプリケーション1aが呼との対話を妨げられる環境において効果的である。
【００３２】
音声合成の例では、モバイルアプリケーション1aは、呼識別子の音声合成を出力する前に、ステップS1.5において呼が応答されるのを待機する。この例は、開始された音声呼との対話が許容される環境に適する。好ましくは、呼識別子の音声合成を出力する間、ユーザに対する音声は弱められる。
【００３３】
VoIPの例では、呼識別子は、音声呼が開始される前に、リモートサービス9へVoIPプロトコルに包含されて送られてもよい。この例は、概して、VoIPアプリケーションにも適用可能である。
【００３４】
（第2の実施形態−セキュアなメッセージングセッションにおける命令の検証）
図3は、第2の実施形態におけるユーザ認証プロセスを示す概略図である。本認証プロセスにおいて、ユーザは、モバイルアプリケーション1aを用いてリモートサービス9へのセキュアなメッセージングセッションを開始し、モバイルゲートウェイ4は、認証を目的とする媒介として作用する。リモートサービス9は、セキュアなメッセージングセッション内でユーザ命令の検証を要求してもよい。
【００３５】
ユーザは、まず、パスコードを入力するように要求される（S2.1）。ユーザは、次に、モバイルアプリケーション1a内で、リモートサービス9とのセキュアなチャットセッションを選択してもよい。
【００３６】
モバイルアプリケーション1aは、ワンタイムパスコード（OTP）を生成する（S2.2）。OTPは、モバイルゲートウェイ4へ送られて検証される（S2.3）。検証は、OTPをレポジトリ7における関連のIDデータに照らして記録することを含んでもよい。
【００３７】
モバイルゲートウェイは、次に、モバイルアプリケーション1aへ認証信号を送信し、モバイルアプリケーション1aがモバイルゲートウェイ（S2.5）を介するリモートサービス（S2.6）へのセキュアなメッセージングまたは「チャット」セッションを開始する（S.2.4）ことを認証する。ユーザは、次に、モバイルゲートウェイ4（S2.8）を介するリモートサービス9（S2.9）におけるオペレータへのチャットメッセージ（S2.7）を交換してもよい。モバイルゲートウェイ4は、メッセージを回す前に、ユーザ識別およびメッセージングセッションの認証状態を検証する。
【００３８】
このコンテキストにおいて、メッセージングまたはチャットセッションは、セッション内の2つの関係者（ユーザおよびリモートオペレータ）間での英数字（テキストベース）メッセージの双方向交換を含む。メッセージは、2関係者間をリアルタイムで略瞬時に回されてもよい。メッセージは、好ましくは、例えばセッション設定の間（ステップS2.4からS2.6まで）に確立される鍵を用いて暗号化される。リモートオペレータは、人であっても、コンピュータプログラム（例えば、よくある質問に適切に答えるようにトレーニングされた「チャット・ボット」）であってもよい。
【００３９】
メッセージングセッション内で、ユーザは、オペレータにあるアクションの実行を要求する命令を含むメッセージを送信してもよい（ステップ2.10）。このメッセージは、セッション内の他の任意のチャットメッセージと同様に、モバイルゲートウェイ4（ステップ2.11）を介してリモートサービス9へ回される。しかしながら、オペレータは、命令およびアクション要求の識別を受信すると、命令がユーザによって認証されていることを確定するために認証要求を開始する（ステップ2.12）。認証されるべきアクションの詳細を含む認証要求は、モバイルゲートウェイ4（S2.13）を介してモバイルアプリケーションへ送信される。
【００４０】
認証要求を受信すると、モバイルアプリケーションは、受信された認証されるべきアクションの詳細を表示し、かつ命令を確定すべくユーザにパスコードを入力するように要求する（S2.14）。パスコードは、ステップS2.1において使用されたものと同じであってもよく、異なるパスコードであってもよい。
【００４１】
モバイルアプリケーション1aは、認証されたアクションの詳細へ例えばパスコードに基づく暗号署名を添付し、署名された認証をモバイルゲートウェイ4へ送信する。モバイルゲートウェイ4は、この暗号署名を、ステップS2.13においてモバイルアプリケーション1aへ送信された詳細に照らして検証する（S2.16）。検証に成功すれば、モバイルゲートウェイ4は、検証メッセージを含む検証された命令の詳細をリモートサービス9へ送信する。あるいは、署名は、モバイルゲートウェイ4を関わらせることなくリモートサービス9で直接検証されてもよい。
【００４２】
検証された命令の詳細を受信すると、リモートサービス9におけるオペレータは命令を実行し（S2.17）、かつ場合により、メッセージングセッション内でユーザへ確認メッセージを送信してもよい。
【００４３】
ある例では、命令は指定された口座への指定された金額の振替に関するものであってもよく、命令の実行は、電子バンキングシステムを介する振替の開始を包含する。しかしながら、本実施形態は、バンキングまたは金融関連のアプリケーションに限定されるものではなく、認証および認証機能を伴う遠隔当事者間の電気通信に関する。
【００４４】
（第3の実施形態−ローカルサービスによる認証）
図4は、第3の実施形態におけるユーザ認証プロセスを示す概略図である。本認証プロセスでは、ユーザは、ローカルサービス8によりモバイルアプリケーション1aを用いて認証され、モバイルゲートウェイ4は、認証サービスとして作用する。
【００４５】
モバイルアプリケーション1aは、機械アクセス可能コード等の1つ、または複数のローカル手段および直接的手段の一方又は双方を介してローカルサービス8と相互作用する。これらのコードには、一次元または二次元バーコード、好ましくはクイックレスポンス（QR）二次元バーコードが含まれてもよい。あるいは、これらのコードには、場合により他のオーディオコンテンツに埋め込まれるオーディオコードが含まれてもよい。別の代替例では、コードは、NFC（近接場通信）リンク等の1つまたは複数の短距離無線リンク上で送信されてもよい。
【００４６】
モバイルゲートウェイ4は、可変性のチャレンジコードを生成し（S3.1）、これがローカルサービス8へ送信される。チャレンジコードは、好ましくは、経時的に変化する。異なる物理的ロケーションに複数のローカルサービス8が存在するアプリケーションでは、チャレンジコードは、好ましくはローカルサービス8毎に変わり、よって、このローカルサービスのロケーションを指示する。ローカルサービス8は、チャレンジコード（S3.2）を、バーコードまたはQRコード（登録商標）等の機械アクセス可能な形式で出力する。チャレンジコードは、任意の特定のユーザ認証セッションとは無関係に生成され、認証されることを希望する任意のユーザが捕捉できるように提供される。チャレンジコードは、モバイルゲートウェイ4とは無関係に、モバイルゲートウェイ4により検証可能な情報から生成されてもよい。
【００４７】
ローカルサービス8への認証を希望するユーザは、モバイルアプリケーション1aを用いてチャレンジコードを捕捉し（S3.3）、パスコードを入力して（S3.4）何れかの順序でモバイルアプリケーション1aへログインする。モバイルアプリケーション1aは、チャレンジコードを基礎とする、かつ好ましくはモバイルデバイス1およびモバイルアプリケーション1aの一方又は双方を識別する応答コードを生成する。
【００４８】
モバイルアプリケーション1aは、次に、応答コードを、例えばモバイルゲートウェイ4への呼を開始しかつ応答コードを呼内で例えばDTMF文字列として回すことによってモバイルゲートウェイ4へ送信する。他に、インターネット接続またはテキストメッセージを介するデータ転送等の方法が使用されてもよい。
【００４９】
検証には、応答コードが、モバイルアプリケーション1aからの応答コードの受信に先立って予め決められた時間窓内で生成されかつローカルサービス8へ送信されたチャレンジコードに基づくことの確認が含まれてもよい。また、検証には、モバイルアプリケーション1aが認証サービスの使用を認可されていることの確認が含まれる場合もある。
【００５０】
検証に成功すると、モバイルゲートウェイ4は、応答コードから導出される確認コードを生成し、かつこの確認コードをモバイルアプリケーション1aへ送信し、モバイルアプリケーション1aは、確認コードを機械アクセス可能な形式で出力する（S3.6）。ローカルサービス8は、確認コードを捕捉し（S3.7）、この確認コードを、または確認コードに基づく他のコードをモバイルゲートウェイ4へ送信する。
【００５１】
モバイルゲートウェイ4は、次に、ユーザが先述のプロセスにおいて首尾良く認証されていることを確認すべく確認コードを検証する（S3.8）。検証には、確認コードが、ステップS3.1においてローカルサービス8へ先行送信されたチャレンジコードに一致することの確認が含まれてもよい。また、検証には、確認コードが先にステップS3.5において予め決められた時間窓内でモバイルアプリケーション1aへ送信されていることの確認も含まれる場合がある。
【００５２】
検証が成功すると、モバイルゲートウェイ4はローカルサービス8へ、好ましくはレポジトリ7から検索された1つまたは複数のユーザレコードを含む検証メッセージを送信する。ローカルサービス8は、さらに、ユーザにユーザ情報の提供を求めかつこれを1つまたは複数のユーザレコードに照らして確認することによってユーザを認証してもよい。ローカルサービス8は、次に、ユーザのためのサービスを実行してもよい。
【００５３】
チャレンジコード、応答コードおよび確認コードのうち少なくとも一方は、好ましくは、コードの偽装またはコード内に含まれる情報の傍受を防止するために、少なくとも暗号化され、保護され、暗号によって署名される。例えば、チャレンジコードは、偽のチャレンジコードの生成を防止するためにセキュアなハッシュを含んでもよい。応答コードは、モバイルアプリケーション1aによって署名されてもよい。確認コードは、モバイルゲートウェイ4によって署名されてもよく、ローカルサービス8へ出力される前にモバイルアプリケーション1aによってさらに署名されてもよく、モバイルゲートウェイ4へ送信される前にローカルサービス8によって署名されてもよく、又はそれらの少なくとも一つによって署名されてもよい。モバイルゲートウェイ4との通信は、セキュアなチャネルを介してもよい。
【００５４】
第3の実施形態のある特有の例では、図4aおよび図4bに示されているように、ローカルサービス8が銀行の一支店に位置決めされる。このようなローカルサービスは複数存在してもよく、各々が銀行の対応する地方支店に位置決めされる。
【００５５】
ローカルサービスは、確認コードを走査するためのスキャナ8bへ接続される少なくとも1つのコンピュータ8aと、チャレンジコードを表示するためのディスプレイ8cとを備える。コンピュータ8aは、ネットワーク3等のネットワークを介してモバイルゲートウェイ4へ接続可能である。第1の例において、コンピュータ8aは、窓口業務のオペレータが使用する窓口業務のコンピュータであり、スキャナ8bは、窓口に位置決めされる手持ち式スキャナ等の走査デバイスであってもよい。第2の例では、コンピュータ8aおよびスキャナ8bは、サービスを提供するための自動化されたキオスクの一部を形成していて、キオスクは、コンピュータ8aを介してユーザにサービスを提供するためのユーザインタフェースを含む。第3の例では、コンピュータ8aは携帯用デバイスであり、スキャナ8bは、携帯用デバイス内に統合されたカメラである。携帯用デバイスは、地方支店のスタッフが用いる認証アプリケーションを実行してもよい。携帯用デバイスは、スマートフォン、PDAまたはこれらに類似するものであってもよい。
【００５６】
ディスプレイ8cは、コンピュータ8aへ接続されても、モバイルゲートウェイ4へ接続可能な別のコンピュータへ接続されてもよい。ある変形例では、ディスプレイ8cは、ウェブまたはモバイルゲートウェイ4の画像サーバへ接続されるインターネット対応TV等のモバイルゲートウェイ4のシンクライアントであってもよい。別の変形例では、ディスプレイ8cは、好ましくは周期的に更新されるプリントされたディスプレイを備えてもよい。ディスプレイ8cは、好ましくは地方支店の内部または周辺に存在するユーザが誰でも利用でき、例えば、ディスプレイは、地方支店の窓から見ることができる場合もあれば、地方支店に入れば利用できる場合もある。
【００５７】
ステップS3.2において、ディスプレイ8cにチャレンジコードが表示され、ステップS3.3において、ユーザは、モバイルデバイス1上のカメラ16を用いてチャレンジコードを走査する。
【００５８】
チャレンジコードは、ディスプレイ8c上に2つ以上が同時に、または連続して表示されていてもよく、その各々が要求された異なるサービスに対応し、かつ対応するサービスを示す可読関連情報を有する。例えば、あるチャレンジコードはローンのアプリケーションに関するものであってもよく、別のチャレンジコードは口座照会用、等々であってもよい。ユーザは、要求されたサービスに対応するチャレンジコードを走査し、よって、ステップS3.5において生成される確認コードは、要求されたサービスを識別する情報を含んでもよい。
【００５９】
ステップS3.6では、モバイルアプリケーション1aにより確認コードがモバイルディスプレイ11に表示され、ステップS3.7では、確認コードがスキャナ8bで走査される。ステップS3.5において生成される確認コードは、確認コードの使用を特定の時間およびロケーションの一方または双方に限定する安全機能を含んでもよい。ある例では、確認コードは、対応するチャレンジコードが表示されたローカルサービス8の参照を含んでもよく、確認コードは、他の任意のローカルサービス8により走査されれば拒絶されてもよい。あるいは、または追加的に、確認コードは、現在の日付または前記日付における時間窓等の有効期間の参照を含んでもよく、確認コードは、この有効期間がローカルサービスによる走査の時刻または日付に一致しなければ拒絶されてもよい。チャレンジコードが拒絶されれば、ローカルサービス8は、ステップS3.8へ進む必要はない。時間およびロケーションの一方又は双方の参照は、応答コードを介してチャレンジコードから導出されてもよく、あるいは、応答コードが送信された時点のモバイルデバイスの時間およびロケーションの一方又は双方から、例えばモバイルデバイスにより提供されるロケーションおよび時間の一方又は双方の情報を用いて導出されてもよい。
【００６０】
確認コードの提示に際して、ユーザは、郵便番号または生年月日等の個人データも提供してもよく、この個人データは、ステップ3.8における検証のために、モバイルゲートウェイへ確認コードと共に送信されてもよい。これは、確認コードの便乗的な傍受による詐欺行為、例えばモバイルデバイス1の窃盗またはモバイルデバイスからの確認コードの撮影による詐欺行為を防止することに役立つ。
【００６１】
ステップS3.9では、ステップS3.8においてモバイルゲートウェイ4により送信された1つまたは複数のユーザレコード（例えば、顧客データ）を用いてユーザ認証が行われ、ユーザは、対応するレコードに照らして、例えばユーザに個人的な詳細事項およびパスコードの一方又は双方の提供を求めることによって認証されることが可能である。この追加的なステップは、例えばモバイルデバイス1の窃盗による詐欺行為を防止することに役立つ。
【００６２】
ある代替実施形態では、モバイルデバイス1を保有しないユーザに対し、職員の一人は、まず、例えばユーザに属する書面および銀行カードの一方又は双方を用いてユーザを認証してもよい。職員は、次に、チャレンジコードをディスプレイ8cから、またはコンピュータ8aから直に入手してもよく、次いで、ユーザに代わってステップS3.5およびS3.6を実行してもよい。確認コードは、印刷されてユーザへ手渡されてもよく、ユーザは、次にステップS3.7において、印刷されたコードを提示する。したがって、ユーザが要求するサービスに先行して、手作業による認証業務が実行されてもよく、地方支店の業務がより効率的になる場合がある。また、ユーザを認証する職員は、ユーザが要求するサービスのタイプを発見することもあり、よってこの情報をチャレンジコードの一部として伝達してもよい。したがって、手作業による認証業務は、銀行の顧客に関するトリアージタイプを提供してもよい。
【００６３】
上述の詳細な実施形態における一つの優位点は、ユーザが顧客対応を待つ間にチャレンジコードを検証できることにある。また、ローカルサービス8は、例えばモバイルゲートウェイ4からローカルサービス8へレポートを送信する追加的なステップによって、顧客対応を待っているのがどのユーザであるかを通知されてもよい。このレポートは、先に同定したように、ユーザが要求しているサービスの指示を含んでもよい。
【００６４】
コンピュータ8a等のローカルサービス8は、次に、例えばSMSまたはテキストメッセージ等のメッセージをモバイルデバイス1へ、モバイルアプリケーション1a内部または別個のメッセージングアプリケーション経由の何れかで送信することによって、ユーザへステータスメッセージを送信してもよく、ステータスメッセージは、チャレンジコードが受信されて検証されたことの確認、個別の待ち時間、ユーザの顧客対応の順番が来たことの通知、等々であってもよい。あるいは、または追加的に、メッセージは、ローカルサービスのディスプレイ形成部分に表示されてもよく、例えば、次に顧客対応を受ける顧客の名字またはコード名がディスプレイ8cに、または概して顧客が目にすることのできる別のディスプレイに表示されてもよく、よって、顧客は自らのモバイルデバイス1を確認する必要がない。
【００６５】
あるいは、または追加的に、ローカルサービス8は、顧客対応を待つユーザの、例えばユーザにより選択されるチャレンジコードによって識別されるような具体的な要求事項に対して備えを行ってもよい。
【００６６】
ローカルサービス8は、上述のシステムの特定のユーザに、例えば対応するユーザレコードまたは要求されるサービスに基づいて優先順位をつけてもよく、これらの特定のユーザを管理してもよい。ある例では、特定のサービスを求めるユーザは、そのサービス専用の特定の窓口またはキオスクへ案内されてもよい。別の例では、急ぎのサービスを求めるユーザは、時間のかかるサービスを要求するユーザより先の優先順位をつけられてもよい。この情報は、ステータスメッセージによってユーザへ伝達されてもよい。
【００６７】
（モバイルデバイスの詳細）
図5は、モバイルデバイス1の一例のさらなる詳細を示し、モバイルデバイス1は、例えばハードウェアおよびアプリケーションプラットフォームを含む、アプリケーション1aを実行しかつローカルデータ14を格納するメモリ13へ接続される少なくとも1つのプロセッサ10を備える。アプリケーションプラットフォームは、iOS（商標）、Android（商標）またはBlackberry OS等のモバイル・オペレーティング・システムであってもよい。アプリケーション1aは、プログラムコードを備えてもよく、プログラムコードは、モバイルデバイス1上へロードまたはダウンロードされることが可能である。
【００６８】
モバイルデバイス1は、ディスプレイ11と、手動入力デバイス12とを有し、手動入力デバイス12は、タッチスクリーンとしてディスプレイに一体化されてもよく、キーパッドとして提供されてもよく、又は少なくとも一つによって提供されてもよい。代替的または追加的な入力デバイスとして、トラックボール、トラックパッド、動きセンサまたはマウス等が使用されてもよい。モバイルデバイス1は、光学視像および光学コードの一方又は双方を捕捉するためのカメラまたはスキャナ16を含んでもよい。
【００６９】
モバイルデバイス1は、無線または移動ネットワーク3へのネットワークインタフェース15を含む。モバイルデバイス1は、NFCインタフェース17も含む場合がある。
【００７０】
（コンピュータの詳細）
本明細書におけるモバイルゲートウェイ4、ローカルサービス8およびリモートサービス9の一方又は双方は、図6に示されているように、コンピュータシステム1000等のコンピュータシステムによって実装されてもよい。本発明の実施形態は、このようなコンピュータシステム1000によって実行するためのプログラマブルコードとして実装されてもよい。本明細書の読後、当業者には、他のコンピュータシステムおよびコンピュータアーキテクチャの一方又は双方を用いて本発明を実装する方法が明らかとなるであろう。
【００７１】
コンピュータシステム1000は、プロセッサ1004等の1つまたは複数のプロセッサを含む。プロセッサ1004は、専用または汎用デジタル信号プロセッサを含む、但しこれらに限定されない任意タイプのプロセッサであってもよい。プロセッサ1004は、通信インフラ1006（例えば、バスまたはネットワーク）へ接続される。この例示的なコンピュータシステムに関連して、様々なソフトウェア実装について述べる。本明細書の読後、当業者には、他のコンピュータシステムおよびコンピュータアーキテクチャの一方又は双方を用いて本発明を実装する方法が明らかとなるであろう。
【００７２】
コンピュータシステム1000は、メインメモリ1008、好ましくはランダム・アクセス・メモリ（RAM）も含み、かつ二次メモリ610も含む場合がある。二次メモリ1010は、例えば、ハード・ディスク・ドライブ1012、およびフロッピー（登録商標）ディスク・ドライブ、磁気テープドライブ、光ディスクドライブ等を表すリムーバブル・ストレージ・ドライブ1014の一方又は双方を含んでもよい。リムーバブル・ストレージ・ドライブ1014は、リムーバブル・ストレージ・ユニット1018に対して周知方法で読取りおよび書込みの一方又は双方を行う。リムーバブル・ストレージ・ユニット1018は、フロッピー（登録商標）ディスク、磁気テープ、光ディスク等を表し、その読取りおよび書込みはリムーバブル・ストレージ・ドライブ1014によって行われる。認識されるように、リムーバブル・ストレージ・ユニット618は、内部にコンピュータソフトウェアおよびデータの一方又は双方を記憶しているコンピュータ使用可能記憶媒体を含む。
【００７３】
代替実装では、二次メモリ1010は、コンピュータプログラムまたは他の命令をコンピュータシステム1000へロードできるようにするための他の類似手段を含んでもよい。このような手段には、例えば、リムーバブル・ストレージ・ユニット1022およびインタフェース1020が含まれてもよい。このような手段の例には、リムーバブル・メモリ・チップ（EPROM、またはPROM、またはフラッシュメモリ等）と関連のソケット、および他のリムーバブル・ストレージ・ユニット1022とソフトウェアおよびデータをリムーバブル・ストレージ・ユニット1022からコンピュータシステム1000へ転送できるようにするインタフェース1020が含まれてもよい。あるいは、プログラムの実行およびデータへのアクセスの一方又は双方は、リムーバブル・ストレージ・ユニット1022からコンピュータシステム1000のプロセッサ1004を用いて行われてもよい。
【００７４】
また、コンピュータシステム1000は、通信インタフェース1024も含む場合がある。通信インタフェース1024は、ソフトウェアおよびデータをコンピュータシステム1000と外部デバイスとの間で転送できるようにする。通信インタフェース1024の例には、モデム、ネットワークインタフェース（イーサネット（登録商標）カード等）、通信ポート、パーソナルコンピュータ・メモリカード国際協会（PCMCIA）スロットおよびカード、他が含まれてもよい。通信インタフェース1024を介して転送されるソフトウェアおよびデータは、信号1028の形式であり、これは、電子信号、電磁信号、光学信号または通信インタフェース1024が受信できる他の信号であってもよい。これらの信号1028は、通信路1026を介して通信インタフェース1024へ提供される。通信路1026は信号1028を伝送し、かつワイヤまたはケーブル、光ファイバ、電話回線、無線リンク、携帯電話リンク、無線周波数リンクまたは他の任意の適切な通信チャネルを用いて実装されてもよい。例えば、通信路1026は、チャネルの組合せを用いて実装されてもよい。
【００７５】
「コンピュータプログラム媒体」および「コンピュータ使用可能媒体」という用語は、概して、リムーバブル・ストレージ・ドライブ1014、ハード・ディスク・ドライブ1012内にインストールされるハードディスクおよび信号1028等の媒体を指して使用される。これらのコンピュータ・プログラム・プロダクトは、コンピュータシステム1000へソフトウェアを提供するための手段である。しかしながら、これらの用語は、本明細書に開示するコンピュータプログラムを具現する信号（電気信号、光学信号または電磁信号等）も含む場合がある。
【００７６】
コンピュータプログラム（コンピュータ制御論理とも呼ばれる）は、メインメモリ1008および二次メモリ1010の一方又は双方に記憶される。コンピュータプログラムは、通信インタフェース1024を介して受信される場合もある。このようなコンピュータプログラムは、実行されると、コンピュータシステム1000が本明細書において論じている本発明の実施形態を実装することを有効化する。したがって、このようなコンピュータプログラムは、コンピュータシステム1000のコントローラとなる。実施形態がソフトウェアを用いて実装される場合、ソフトウェアは、コンピュータ・プログラム・プロダクト内に記憶されてもよく、かつ例として挙げればリムーバブル・ストレージ・ドライブ1014、ハード・ディスク・ドライブ1012または通信インタフェース1024を用いてコンピュータシステム1000へロードされてもよい。
【００７７】
代替実施形態は、ハードウェア、ファームウェアまたはソフトウェアまたはこれらの任意の組合せによる制御論理として実装されてもよい。
【００７８】
代替実施形態
本発明の実施形態は、バンキングまたは金融アプリケーションに限定されるものではなく、概して認証機能を伴うコンピュータエンティティ間電子通信の技術分野に関する。
【００７９】
これまでに述べた実施形態では、モバイルゲートウェイ4は、リモートまたはローカルサービス8、9とは分離した認証サーバまたはサービスとして作用する。あるいは、モバイルゲートウェイ4の機能の幾つか、または全ては、リモートまたはローカルサービス8、9に統合されてもよい。
【００８０】
これまでに述べた実施形態は例示的なものであり、よって、上述の説明を読んで当業者に明らかとなり得る代替実施形態は本発明の範囲に包含される場合がある。
【図１】
0005992528.tif 000002
【図２】
0005992528.tif 000003
【図２ａ】
0005992528.tif 000004
【図２ｂ】
0005992528.tif 000005
【図２ｃ】
0005992528.tif 000006
【図３】
0005992528.tif 000007
【図４】
0005992528.tif 000008
【図４ａ】
0005992528.tif 000009
【図４ｂ】
0005992528.tif 000010
【図５】
0005992528.tif 000011
【図６】
0005992528.tif 000012