(57)【要約】【課題】  本発明は、認証デバイスもしくは認証方式の認証状態の変化に対して、適切に対応することを目的とする。【解決手段】  ユーザの認証を行うための情報処理装置であって、前記情報処理装置もしくは認証方式の状態を示す認証状態を記憶する第一の記憶手段と、認証状態と認証に関する処理とが対応付けられた対応情報を保持する第二の記憶手段と、前記認証状態が変化したと判断された場合、前記対応情報に基づき認証に関する処理を行う処理手段と、を有することを特徴とする。【選択図】  図２
2018036801.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの認証を行うための情報処理装置であって、
前記情報処理装置もしくは認証方式の状態を示す認証状態を記憶する第一の記憶手段と、
認証状態と認証に関する処理とが対応付けられた対応情報を保持する第二の記憶手段と、
前記認証状態が変化したと判断された場合、前記対応情報に基づき認証に関する処理を行う処理手段と、を有することを特徴とする情報処理装置。
【請求項２】
前記処理手段は、当該処理手段により行われる複数の処理を前記ユーザに提示し、提示した処理から前記ユーザが選択した処理を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記処理手段は、前記認証デバイスに認証に関するソフトウェアがインストールされた場合もしくは前記認証デバイスから認証に関するソフトウェアがアンインストールされた場合、前記認証状態が変化したと判断することを特徴とする請求項１もしくは２のいずれか１項に記載の情報処理装置。
【請求項４】
前記処理手段は、認証を行うサーバから認証方式の優先度の変更を受信した場合、前記認証状態が変化したと判断することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
前記処理手段は、前記ユーザの認証を行うための情報処理の装置の数が減ったと判断された場合、前記ユーザに対する警告を表示させることを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。
【請求項６】
前記処理手段は、前記ユーザの認証を行うための情報処理の装置の数が増えたと判断された場合、前記ユーザに対して認証手段の登録を促すメッセージを表示させることを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
【請求項７】
ユーザの認証を行うための情報処理方法であって、
第一の記憶手段が、前記情報処理装置もしくは認証方式の状態を示す認証状態を記憶する第一の記憶工程と、
第二の記憶手段が、認証状態と認証に関する処理とが対応付けられた対応情報を保持する第二の記憶工程と、
処理手段が、前記認証状態が変化したと判断された場合、前記対応情報に基づき認証に関する処理を行う処理工程と、を有することを特徴とする情報処理方法。
【請求項８】
コンピュータを、
ユーザの認証を行うための情報処理装置であって、
前記情報処理装置もしくは認証方式の状態を示す認証状態を記憶する第一の記憶手段と、
認証状態と認証に関する処理とが対応付けられた対応情報を保持する第二の記憶手段と、
前記認証状態が変化したと判断された場合、前記対応情報に基づき認証に関する処理を行う処理手段と、を有することを特徴とする情報処理装置として機能させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの認証を行うための情報処理装置、情報処理方法、およびコンピュータプログラムに関する。
【背景技術】
【０００２】
リモートシステムにログインするユーザを識別する技術として、ユーザＩＤとパスワードによるユーザの認証が広く使われている。これに対し、近年はユーザにとって煩雑なパスワード管理を回避するために、公開鍵暗号を利用したユーザの認証技術が提案されている。
【０００３】
公開鍵暗号を利用したユーザの認証技術の一例としてＦＩＤＯ（Ｆａｓｔ  ＩＤｅｎｔｉｔｙ  Ｏｎｌｉｎｅ）による標準技術がある（非特許文献１）。ＦＩＤＯで標準化された認証プロトコルによれば、ユーザの操作するログイン端末でユーザの認証鍵ペアを生成し、この認証鍵ペアの公開鍵をリモートサービスに登録する。ユーザがリモートサービスにログインする場合には、サービスから送られてくるチャレンジに対して認証鍵ペアの秘密鍵で署名を生成してサービスに送り返す。
【０００４】
サービスはチャレンジに対する署名をユーザに対応付けられた公開鍵で検証し、ログインの可否を判定する。ログイン端末で管理される認証鍵ペアは指紋認証などの認証デバイスによって管理され、認証デバイスは正当なユーザによる操作を確認してから秘密鍵による署名を許可することが通常である。
【０００５】
一方で、このような公開鍵を利用したログイン端末に対して複数の認証デバイスが備えられている場合における認証デバイスの選択に関する技術が提案されている。例えば、特許文献１では、センサを利用することで端末のおかれた環境を検出し、更に評価結果に基づき環境に適した認証方式を自動的に選択することによりユーザの利便性を向上させることが開示されている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】ＦＩＤＯ  ＵＡＦ  Ｐｒｏｔｏｃｏｌ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ  ｖ１．０（ｈｔｔｐｓ：／／ｆｉｄｏａｌｌｉａｎｃｅ．ｏｒｇ／）
【特許文献】
【０００７】
【特許文献１】特開２０１５−９０５８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１に開示されている技術では、ログイン端末で利用可能な認証デバイスや認証方式が固定であることを前提としている。しかしながら、実際には、認証デバイスの追加や廃棄、よりセキュアな認証方式のリリースなどによって認証状態が変更されるケースがある。これらに対して適切に対応しないと、追加した認証デバイスによる認証処理を行うことが出来ない、または、よりセキュアな認証方式を利用することが出来ないなどの事態が発生する可能性がある。
【０００９】
本発明は、上記課題を鑑みてなされたものであり、認証デバイスもしくは認証方式の認証状態の変化に対して、適切に対応することを目的とする。
【課題を解決するための手段】
【００１０】
本発明は、ユーザの認証を行うための情報処理装置であって、前記情報処理装置もしくは認証方式の状態を示す認証状態を記憶する第一の記憶手段と、認証状態と認証に関する処理とが対応付けられた対応情報を保持する第二の記憶手段と、前記認証状態が変化したと判断された場合、前記対応情報に基づき認証に関する処理を行う処理手段と、を有することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、認証デバイスもしくは認証方式の認証状態の変化に対して、適切に対応することが出来る。
【図面の簡単な説明】
【００１２】
【図１】情報処理装置のハードウェア構成を説明する図である。
【図２】情報処理装置の機能構成を説明する図である。
【図３】認証状態を説明する図である。
【図４】情報処理装置の処理フローを説明する図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施形態について図面を用いて説明する。
【００１４】
（第１の実施形態）
＜情報処理装置のハードウェア構成＞
図１を用いて、本実施形態に適応可能な情報処理装置について説明する。図１は本実施形態に適応可能な情報処理装置の基本構成を示す図である。同図において、情報処理装置１００は、ＨＤ１０５、ＣＤ１０６、及びＤＶＤ１０７などにデータを蓄積することが可能である。また、蓄積されているデータをモニタ１０１に表示することが可能である。更に、これらのデータは、ＮＩＣ１０８などを用いることによってインターネットなどを介して配布させることも可能である。また、ユーザからの各種指示等は、ポインティングデバイス１１０、及びキーボード１１１からの入力により行われる。情報処理装置１００の内部では、バス１１２により後述する各ブロックが接続され、種々のデータの受け渡しが可能である。
【００１５】
モニタ１０１は情報処理装置１００からの種々の情報を表示することの出来るモニタである。ＣＰＵ１０２は情報処理装置１００内の各部の動作を制御、或いはＲＡＭ１０４にロードされたプログラムを実行することのできるＣＰＵである。ＲＯＭ１０３はＢＩＯＳやブートプログラムを記憶しているＲＯＭである。ＲＡＭ１０４はＣＰＵ１０２にて処理を行うために一時的にプログラムや処理対象のデータを格納しておくＲＡＭであり、ここにＯＳやＣＰＵ１０２が後述の各種処理を行うためのプログラムがロードされる。ＨＤ１０５はＲＡＭ等に転送されるＯＳやプログラムを格納したり、装置が動作中にデータを格納したり、読出すために使用されるハードディスク（ＨＤ）である。ＣＤ１０６は、外部記憶媒体の一つであるＣＤ−ＲＯＭ（ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗなど）に記憶されたデータを読み込み或いは書き出すことのできるＣＤ−ＲＯＭドライブである。ＤＶＤ１０７も、ＣＤ１０６と同様にＤＶＤ−ＲＯＭからの読み込み、ＤＶＤ−ＲＡＭへの書き出しができるＤＶＤ−ＲＯＭ（ＤＶＤ−ＲＡＭ）ドライブである。尚、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等にプログラムが記憶されている場合には、これらプログラムをＨＤ１０５にインストールし、必要に応じてＲＡＭ１０４に転送されるようになっている。Ｉ／Ｆ１０９は、ＲＡＭ１０４、ＨＤ１０５、ＣＤ１０６、ＤＶＤ１０７などに記憶されているデータを、インターネットなどのネットワークに接続するＮＩＣ１０８に情報処理装置１００を接続するためのＩ／Ｆである。Ｉ／Ｆ１０９を介して情報処理装置１００は、インターネットへデータを送信したり、インターネットからデータを受信したりする。また、Ｉ／Ｆ１０９は、情報処理装置１００にポインティングデバイス１１０やキーボード１１１を接続するためのＩ／Ｆで、Ｉ／Ｆ１０９を介してポインティングデバイス１１０やキーボード１１１から入力された各種の指示がＣＰＵ１０２に入力される。更に、Ｉ／Ｆ１０９に生体認証などの認証機能を具備する認証デバイス１１３を接続することで、認証デバイス１１３とデータの送受信を行うことができる。認証デバイス１１３は例えば、指紋認証機能をもつＵＳＢドングルである。なお、情報処理装置１００は、後述する処理を実行するプログラムを例えばＩｏＴ機器であるデジタルカメラ、プリンタ、ネットワークカメラ、スマートフォン、ＰＣ（パーソナルコンピュータ）などに供給することで実現することができる。
【００１６】
以上、本実施形態に適応可能な情報処理装置のハードウェア構成について説明した。
【００１７】
＜情報処理装置の機能構成＞
次に、図２を用いて本実施形態に適応可能な情報処理装置１００の機能構成について説明する。図２に示すように本実施形態における情報処理装置１００は、入力部２０１、取得部２０２、比較部２０３、処理決定部２０４、処理部２０５、出力部２０６、第１の記憶部２０７、第２の記憶部２０８から構成される。また、情報処理装置１００はＮＩＣ１０８を介して有線、或いは無線の通信回線でサーバ２００と接続されており、互いにデータを通信可能である。尚、サーバ２００についても前述した情報処理装置１００のハードウェア構成が適用可能であり、例えばサーバ機能を具備したＰＣなどが利用可能である。
【００１８】
本システムは、サーバ２００が提供するサービスが情報処理装置１００のユーザを認証し、情報処理装置１００を通して正当なユーザにサービス提供する。例えば、サーバ２００はオンラインバンクや証券会社などの金融サービス、商品の購入や販売を行うサービスを提供する。このようなサービスにおいては利用するユーザを正しく認証し、適切なアクセス制御を実施することが必要になる。
【００１９】
入力部２０１は、ポインティングデバイス１１０、或いはキーボード１１１といった入力手段によりユーザによる指示が入力される。また、入力部２０１は、認証デバイス１１３から認証結果や第１の認証状態が入力される。ここで、本実施形態に適応可能な認証デバイスについて説明する。認証デバイス１１３は、認証機能を持ち、情報処理装置１００からの認証要求に応じて、ユーザを認証するデバイスである。認証機能であれば、例えば指紋認証、顔認証のような認証方式でもよいし、パスワードやＩＣカードを利用した認証方式でもよい。本実施形態においては、情報処理装置１００とは別のデバイスとして認証デバイス１１３を説明するが、情報処理装置１００内に認証デバイス１１３の機能を有していてもよい。また、認証デバイス１１３の機能をソフトウェアとして情報処理装置１００内部に保持するようにしてもよい。ここで、認証結果とは、認証デバイス１１３におけるユーザの認証の結果のことであり、例えば、認証成功、認証失敗といった情報を示す。また第１の認証状態とは、例えば、認証デバイス１１３、或いは認証デバイス１１３が提供する認証手段の状態を示す情報である。具体的には、認証デバイス１１３が情報処理装置１００に接続されているかどうかであるとか、認証デバイス１１３が利用可能かどうかといった情報である。本実施形態においては、第１の認証状態を前述の情報として説明するが、認証デバイス１１３の認証に利用する情報であれば、例えば時刻情報や位置情報、或いは脆弱性のような情報でもよい。入力部２０１は、サーバ２００から登録・認証要求や優先度情報といった情報が入力される。ここで、サーバ２００から入力される登録・認証要求や優先度情報について説明する。まず、登録・認証要求について説明する。登録・認証要求は、サーバ２００が提供するサービスにおいて利用可能な認証デバイス１１３や認証方式をユーザが事前に登録したり、ユーザの認証を要求するリクエストのことである。次に優先度情報について説明する。優先度情報は、サーバ２００が情報処理装置１００へ要求する認証方式に対する優先度が付与された情報のことである。図３（ｂ）に示すように例えば、優先度が最も高い認証方式から順に、指紋認証とパスワードの複数認証、２番目には顔認証のみ、３番目は声帯認証のみといったように認証方式に優先度を付与している。本実施形態では、認証方式として指紋認証、パスワード、声帯認証の組合せで優先度情報について説明したが、ユーザを認証可能な情報であれば、例えばパスワードやＩＣカードを利用した認証方式を利用してもよい。入力部２０１は前述したような、第１の認証状態や優先度情報を取得部２０２に出力する。また、認証結果を処理結果として出力部２０６に出力する。
【００２０】
引き続き情報処理装置１００の機能構成について説明する。図中、取得部２０２は、入力部２０１から第１の認証状態を取得し、比較部２０３に出力する。取得部２０２は、例えば、認証デバイス１１３にバンドルされている認証に関するソフトウェアが情報処理装置１００にインストールされた場合に、対応する認証デバイス１１３の情報を取得し、新たに利用可能な認証デバイスであると認識する。同様に、バンドルされている認証に関するソフトウェアがアンインストールされた場合は、対応する認証デバイスが不要になったという認証デバイスの情報を取得する。このように、取得部２０２は、情報処理装置１００が利用可能な認証デバイスの状態を取得し、第１の認証状態に追加して比較部２０３へ出力する。比較部２０３は取得部２０２から第１の認証状態、及び第１の記憶部２０７から第２の認証状態が入力され、それらを比較し、比較結果として処理決定部２０４に出力する。また、比較結果を出力すると同時に、第１の記憶部２０７に第１の認証状態を出力し、情報処理装置１００の認証状態を最新の状態に更新する。ここで、第２の認証状態について説明する。第２の認証状態は、情報処理装置１００において最後にユーザの認証を実施した時の認証手段の状態を示す情報である。第２の認証状態は、例えば、図２（ａ）に示すように情報処理装置１００が利用可能な認証デバイスの種類、認証デバイス１１３が利用可能な認証方式が含まれている。同じく、図２（ｂ）に示すように優先度情報が含まれている。本実施形態では、第１の認証状態、及び第２の認証状態として認証デバイスの種類、認証方式、及び優先度情報として説明する。しかしながら、例えば、時刻情報、位置情報、デバイスにバンドルされたアプリケーションの情報といった認証手段に関連する情報であれば、これらの情報に限定せずに利用可能である。比較部２０３は、第１の認証状態と第２の認証状態とを比較する。比較とは、例えば、新しい認証デバイスが利用できるようになったかどうか、逆に今まで利用可能だった認証デバイスが接続されていないなどの理由により利用できないといったことである。他にも、サーバ２００から提供される優先度情報が変更になったかどうか等を確認する。比較部２０３はその結果を比較結果として処理決定部２０４に出力する。本実施形態においては、比較結果として前述した内容で説明した。しかし、例えば、時刻、位置、認証デバイスのバージョン、脆弱性といったサーバ２００から提供された情報、認証デバイス１１３から取得した情報であってもユーザの認証に利用可能な情報であればこれらの情報に限定することなく利用可能である。また、最新の認証状態として、第１の認証状態を第１の記憶部出力し、第２の認証状態を更新する。このように、第２の認証状態を最新の状態に更新することで、次回以降のユーザの認証において、最適な認証デバイスや認証方式を選択することが可能となる。
【００２１】
処理決定部２０４は、比較部２０３からの比較結果と第２の記憶部２０８の判断基準（対応情報）から処理を決定し、決定した処理内容を処理部２０５に出力する。ここで、第２の記憶部について説明する。第２の記憶部は、比較結果に応じた認証に関する処理を定義した判断基準を記憶する。判断基準は、例えば図２（Ｃ）に示すような情報として定義される。図２（Ｃ）では、比較結果として、優先度情報の変更や認証デバイスの増減等、比較結果に応じた処理が定義されている。例えば、優先度情報が変更になって、認証デバイスが利用できなくなった場合は、優先度情報に適応した認証手段を提示、別の認証手段のＤＬや紹介を提示、サーバ２００への登録削除の要求、或いは警告・メッセージをユーザに提示するといった処理を実施する。実施する処理は、複数提示したものをユーザが選択できるようにしてもよいし、処理に優先度を設けて優先度の高い処理から実施するようにしてもよい。或いは、対応付けられた処理を全て実施するようにしてもよい。本実施形態においては、処理内容を前述した処理として説明したが、例えば、認証デバイス１１３に脆弱性がある場合は、認証デバイス１１３をアップデートするなど、ユーザの認証に関連する処理であれば、これらに限定することなく利用可能である。また、本実施形態では、判断基準を情報処理装置１００においてあらかじめ定義した処理として説明したが、比較結果と関連する処理を定義さえ可能であれば、例えば、ユーザが処理内容を追加し、比較結果と処理内容との関連性を選択できるようにしてもよい。このように、第１の認証状態と第２の認証状態とを比較することで、より適切なユーザの認証を提供することが可能となる。つまり、これまでは、サーバ２００が求めている優先度の高い認証デバイスを保持しておらず、仕方なく優先度の低い認証方式を利用していた場合に、新規に認証デバイスを購入しても自動で認証方式を変更、もしくは提示してくれる機能はなかった。他にも、これまで使用していた認証デバイスが故障したり、破棄された場合には、サーバ２００に登録した認証情報を破棄する必要がある。このような場合でも、これまでの手法では、ユーザが意図的に認証情報を破棄する必要があり、自動で処理を実施、提示してくれる機能はなかった。本実施形態においては、比較結果からこのような変化を判断し、適切な処理を提供することが可能となる。処理決定部２０４は、前述したような手法により第２の記憶部に定義された判断基準と比較部２０３から入力された比較結果を利用して処理を決定し、処理を処理部２０５に出力する。処理部２０５は、処理決定部２０４から入力された処理を実施し、処理結果を出力部２０６に出力する。出力部２０６は処理部２０５から入力された処理結果に応じて、ユーザにメッセージを出力したり、処理を促す指示を表示したり、或いはサーバ２００に処理要求を実施する。また、入力部２０１から入力された認証結果をサーバ２００に出力する。更に、処理部２０５の処理内容に応じて、認証デバイス１１３に登録・認証要求を実施する。
【００２２】
以上、本実施形態に適応可能な情報処理装置１００の機能構成について説明した。
【００２３】
＜情報処理装置の処理フロー＞
次に、図４を用いて本実施形態に適応可能な情報処理フローについて説明する。以下のフローは前述した情報処理装置１００の上でソフトウェア（コンピュータプログラム）として実現される。各ステップは該当するプログラム及びそれを実行するＣＰＵ１０２によって実現する。
【００２４】
情報処理装置１００は、サービスを利用するために、サーバ２００にアクセスする（Ｓ４０１）。情報処理装置１００がサーバ２００にアクセスすると、サーバ２００は登録・認証要求を行い、情報処理装置１００は登録・認証要求を受信する（Ｓ４０２）。登録・認証要求を受信すると、登録・認証要求に含まれる優先度情報を取得する（Ｓ４０３）。次に、情報処理装置１００に接続された認証デバイス１１３や認証デバイス１１３にバンドルされたアプリケーション情報などから、第１の認証状態を取得する（Ｓ４０４）。更に、情報処理装置１００内部に保持している第２の認証状態を取得する（Ｓ４０５）。第１の認証状態と第２の認証状態を取得すると、取得した第１の認証状態と第２の認証状態を比較する（Ｓ４０６）。比較した結果として、第１の認証状態と第２の認証状態とで変化がある場合（Ｓ４０７のＹＥＳ）、判断基準を取得する（Ｓ４０８）。変化がない場合（Ｓ４０７のＮＯ）従来通りの処理を実施する（Ｓ４１０）。比較結果を取得すると、比較結果と判断基準に基づき処理を決定し（Ｓ４０９）、決定した処理を実施する（Ｓ４１０）。以上、本実施形態における情報処理装置１００の情報処理フローに関して説明した。
【００２５】
以上説明したように、本実施形態によれば、ログイン端末で利用可能な認証デバイスや認証方式の状態に応じて適切な認証手段を選択することが可能となる。
【００２６】
（その他の実施例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
【図１】
2018036801.tif 000003
【図２】
2018036801.tif 000004
【図３】
2018036801.tif 000005
【図４】
2018036801.tif 000006