(57)【要約】【課題】異なるクライアント装置での再度の初期認証を不要とする認証システムおよび認証方法を提供する。【解決手段】可搬媒体からこの可搬媒体を識別する識別情報を読み出し，認証サーバ装置へと送信する。認証サーバ装置が，受信される識別情報に基づき，認証状態情報を発行し，記憶する。一方，発行された認証状態情報が可搬媒体に書き込まれる。可搬媒体から認証状態情報を読み出し，記憶される認証状態情報に基づき，認証処理を実行する。【選択図】図１
2008009644.tif 000002
【特許請求の範囲】
【請求項１】
第１，第２のクライアント装置，および認証サーバ装置を具備し，
前記第１のクライアント装置が，
可搬媒体からこの可搬媒体を識別する識別情報を読み出す読出部と，
前記認証サーバ装置へと前記読み出される識別情報を送信する送信部と，
前記認証サーバ装置から認証状態情報を受信する受信部と，
前記受信する認証状態情報を前記可搬媒体に書き込む書込部と，を有し，
前記第２のクライアント装置が，
可搬媒体から認証状態情報を読み出す読出部と，
前記読み出される認証状態情報を送信する送信部と，を有し，
前記認証サーバ装置が，
前記第１のクライアント装置から送信される識別情報を受信する第１の受信部と，
前記受信される識別情報に基づき，認証状態情報を発行する発行部と，
前記発行される認証状態情報を記憶する記憶部と，
前記発行される認証状態情報を前記第１のクライアント装置へと送信する送信部と，
前記第２のクライアント装置から送信される認証状態情報を受信する第２の受信部と，
前記受信される認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行する認証部と，を有する
ことを特徴とする認証システム。
【請求項２】
前記認証サーバ装置が，
前記発行される認証状態情報を暗号化して暗号化認証状態情報を生成する暗号化部と，
暗号化認証状態情報を復号化し，認証状態情報を生成する復号化部と，をさらに有し，
前記送信部が，前記第１のクライアント装置へと前記生成される暗号化認証状態情報を送信し，
前記第２の受信部が，前記第２のクライアント装置から送信される暗号化認証状態情報を受信し，
前記認証部が，前記受信される暗号化認証状態情報から生成される認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行する
ことを特徴とする請求項１記載の認証システム。
【請求項３】
前記可搬媒体が，
前記認証サーバ装置で発行される認証状態情報を記憶する記憶部と，
前記記憶される認証状態情報に基づき，権限を委譲するための副認証状態情報を発行する発行部と，
前記第２のクライアント装置からの要求に応じて，前記発行される副認証状態情報を提供する提供部と，を有し，
前記第２のクライアント装置の送信部が，前記提供される副認証状態情報を送信し，
前記認証サーバ装置の第２の受信部が，副認証状態情報を受信し，
前記認証サーバ装置の認証部が，前記受信される副認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行する，
ことを特徴とする請求項１記載の認証システム。
【請求項４】
前記発行される認証状態情報が，前記前記第２のクライアント装置を副認証状態情報の提供対象として識別する情報を含む，
ことを特徴とする請求項３記載の認証システム。
【請求項５】
第１，第２のクライアント装置，および認証サーバ装置を用いる認証方法であって，
前記第１のクライアント装置が，可搬媒体からこの可搬媒体を識別する識別情報を読み出すステップと，
前記第１のクライアント装置が，前記認証サーバ装置へと前記読み出される識別情報を送信するステップと，
前記認証サーバ装置が，前記第１のクライアント装置から送信される識別情報を受信するステップと，
前記認証サーバ装置が，前記受信される識別情報に基づき，認証状態情報を発行するステップと，
前記認証サーバ装置が，前記発行される認証状態情報を記憶するステップと，
前記認証サーバ装置が，前記第１のクライアント装置へと前記発行される認証状態情報を送信するステップと，
前記第１のクライアント装置が，前記認証サーバ装置から送信される認証状態情報を受信するステップと，
前記第１のクライアント装置が，前記受信する認証状態情報を可搬媒体に書き込むステップと，
前記第２のクライアント装置が，前記可搬媒体から認証状態情報を読み出すステップと，
前記第２のクライアント装置が，前記読み出した認証状態情報を送信するステップと，
前記認証サーバ装置が，認証状態情報を受信するステップと，
前記認証サーバ装置が，前記受信される認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行するステップと，
を具備することを特徴とする認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，認証状態情報を格納する可搬媒体を用いて認証を行う認証システムおよび認証方法に関する。
【背景技術】
【０００２】
通信やサービスを利用する際に，通信相手やユーザを識別及び認証するための認証技術が利用されている。この認証技術として，認証の利便性向上が可能なシングルサインオン技術が注目されている。シングルサインオン技術では，認証処理を初期認証と事後認証とに分割することで，分散システム環境下でのユーザの認証処理負担が軽減される。例えば，パスワード（多くの場合，これに加えて，ユーザ識別子）を入力することで，初期認証を実行する。このとき，初期認証時の認証状態をセッション情報（例えば，ＷｅｂサーバのＨＴＴＰセッション）などと関連付ける。事後認証では，このセッション情報を利用することで，再度のパスワードの入力が不要となる。
【０００３】
ここで，ユーザの識別力が強力な認証方式を採用することが望ましい。しかし，識別力が強力な認証方式では，特別な装置やアプリケーション（例えば，バイオメトリック認証での生体スキャナ）を全てのクライアント（端末）に設置する必要がある。
【０００４】
一方，異なるシステム間で認証状態を共有することで，シングルサインオンを可能とする技術が登場してきている。この標準仕様としてＯＡＳＩＳでＳＡＭＬ（Security Assertion Markup Language）が策定された（非特許文献1参照）。この標準仕様を用いて，初期認証に対応する認証装置を複数のクライアントと接続することで，強力な認証方式の導入が容易となる。
【非特許文献１】“Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0”，[online]，OASIS Security Services (SAML) TC，[2005年12月27日検索]，インターネット＜URL：http://www.oasis-open.org/committees/download.php/11898/saml-core-2.0-os.pdf＞
【非特許文献２】“An Internet Attribute Certificate Profile for Authorization, RFC 3281”，[online]，IETF，[2005年12月27日検索]，インターネット＜URL：http://www.ietf.org/rfc/rfc3281.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
このとき，発行される認証状態情報は特定のクライアント上で管理される。このため，シングルサインオンを利用できるのが，特定のクライアントに限られる。例えば，あるクライアントのＷｅｂブラウザを用いて初期認証を実行した場合，そのＷｅｂブラウザ（即ち，そのクライアント）を介してのみシングルサインオンが可能となる。
この結果，利用者が用いる物理端末（例えば，パーソナルコンピュータ）が特定されない場合に，利用者の利便性が損なわれる。すなわち，利用者がある物理端末で初期認証を実行していても，利用する物理端末が変更されると，初期認証を再度実施する必要がある。
上記に鑑み，本発明は異なるクライアント装置での再度の初期認証を不要とする認証システムおよび認証方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一態様に係る認証システムは，第１，第２のクライアント装置，および認証サーバ装置を具備し，前記第１のクライアント装置が，可搬媒体からこの可搬媒体を識別する識別情報を読み出す読出部と，前記認証サーバ装置へと前記読み出される識別情報を送信する送信部と，前記認証サーバ装置から認証状態情報を受信する受信部と，前記受信する認証状態情報を前記可搬媒体に書き込む書込部と，を有し，前記第２のクライアント装置が，可搬媒体から認証状態情報を読み出す読出部と，前記読み出される認証状態情報を送信する送信部と，を有し，前記認証サーバ装置が，前記第１のクライアント装置から送信される識別情報を受信する第１の受信部と，前記受信される識別情報に基づき，認証状態情報を発行する発行部と，前記発行される認証状態情報を記憶する記憶部と，前記発行される認証状態情報を前記第１のクライアント装置へと送信する送信部と，前記第１のクライアント装置から送信される認証状態情報を受信する第２の受信部と，前記受信される認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行する認証部と，を有することを特徴とする。
【０００７】
本発明の一態様に係る認証方法は，第１，第２のクライアント装置，および認証サーバ装置を用いる認証方法であって，前記第１のクライアント装置が，可搬媒体からこの可搬媒体を識別する識別情報を読み出すステップと，前記第１のクライアント装置が，前記認証サーバ装置へと前記読み出される識別情報を送信するステップと，前記認証サーバ装置が，前記第１のクライアント装置から送信される識別情報を受信するステップと，前記認証サーバ装置が，前記受信される識別情報に基づき，認証状態情報を発行するステップと，前記認証サーバ装置が，前記発行される認証状態情報を記憶するステップと，前記認証サーバ装置が，前記第１のクライアント装置へと前記発行される認証状態情報を送信するステップと，前記第１のクライアント装置が，前記認証サーバ装置から送信される認証状態情報を受信するステップと，前記第１のクライアント装置が，前記受信する認証状態情報を可搬媒体に書き込むステップと，前記第２のクライアント装置が，前記可搬媒体から認証状態情報を読み出すステップと，前記第２のクライアント装置が，前記読み出した認証状態情報を送信するステップと，前記認証サーバ装置が，認証状態情報を受信するステップと，前記認証サーバ装置が，前記受信される認証状態情報，および前記記憶される認証状態情報に基づき，認証処理を実行するステップと，を具備することを特徴とする。
【発明の効果】
【０００８】
本発明によれば，異なるクライアント装置での再度の初期認証を不要とする認証システムおよび認証方法を提供できる。
【発明を実施するための最良の形態】
【０００９】
以下，図面を参照して，本発明の実施の形態を詳細に説明する。
（第１の実施の形態）
図１は本発明の第１の実施形態に係るシングルサインオンシステム１００の構成例を示すブロック図である。
このシングルサインオンシステム１００は，可搬媒体１１０，クライアント装置１２０（第１，第２クライアント装置１２０（１），１２０（２）），認証サーバ装置１３０から構成される。このシングルサインオンシステム１００に，シングルサインオンシステム１００での認証を信頼し，サービスを提供するサービス提供装置１４０（１４０（１），１４０（２））がネットワークを介して接続される。
【００１０】
Ａ．認証サーバ装置１３０について
認証サーバ装置１３０は，利用者を認証し，認証結果に基づいてシングルサインオンを実現するための認証状態情報を発行する。
図２は，認証サーバ装置１３０の内部構成の一例を表すブロック図である。
認証サーバ装置１３０は，通信部１３１，可搬媒体認証部１３２，認証状態情報発行部１３３，認証状態情報送信部１３４，認証状態情報管理部１３５，情報保管部１３６を備える。
なお，シングルサインオンでの（認証）セッション管理の機構についての記載は省略する。
【００１１】
通信部１３１は，ネットワークを介して通信ピア（クライアント装置１２０，サービス提供装置１４０）との間で，利用者の認証に関する情報（例えば，証状態情報）を送受信する。
【００１２】
可搬媒体認証部１３２は，通信部１３１を介するクライアント装置１２０との認証プロトコルメッセージのやり取りによって，可搬媒体１１０を認証する。この認証に際して，可搬媒体認証部１３２は，情報保管部１３６から可搬媒体１１０のクレデンシャル（信用証明）を読み出す。可搬媒体認証部１３２は，認証の結果を認証状態情報発行部１３３に通知する。
このクレデンシャル（信用証明）として，例えば，可搬媒体１１０を識別するための識別子と，暗証（暗号学的な秘密情報など広義のパスワード）の組み合わせを挙げることができる。
【００１３】
認証状態情報発行部１３３は，可搬媒体１１０の認証結果に基づいて，認証状態情報を発行する。即ち，認証状態情報の発行の可否を判断するための情報（発行可否判断情報）として，可搬媒体１１０の認証結果を用いている。
【００１４】
以下の（１）〜（４）を発行可否判断情報として利用できる。
（１）可搬媒体１１０の識別子（識別情報）
（２）可搬媒体１１０の識別子と暗証の組み合わせ
（３）ユーザＩＤと固定パスワードの組み合わせ（利用者識別情報の一種）
（４）指紋や虹彩といったバイオメトリック情報（利用者識別情報の一種）
（５）（１），または（２）と，（３），（４）の任意の組み合わせ
【００１５】
認証状態情報は，利用者の正当性を保証するための状態情報である。認証状態情報に基づいてシングルサインオンを実現できる。認証状態情報には，ＳＡＭＬで規定される（ＳＡＭＬアサーションに含まれる）認証ステートメント（Authentication Statement）要素を利用できる。
なお，認証状態情報に，認証の有効期限や，実際に実行された認証方式といった追加情報（第２の実施形態で説明する制約情報（利用制約）も追加情報の一種）を含めることで，認証状態を制御できる。
【００１６】
認証状態情報送信部１３４は，認証状態情報発行部１３３で発行される認証状態情報を含むメッセージを通信ピア（クライアント装置１２０）に送信する。
【００１７】
認証状態情報管理部１３５は，発行された認証状態情報を記憶し，管理する。認証状態情報管理部１３５は，認証状態情報内で指定された有効期限等の終了条件を監視し，無効となった認証状態情報を削除する。なお，管理者による無効化命令などによって，認証状態情報を削除してもよい。
また，認証状態情報管理部１３５は，外部（サービス提供装置１４０）からの認証状態確認の問い合わせに対して，認証状態確認を応答する。
【００１８】
情報保管部１３６は，可搬媒体認証部１３２および認証状態情報発行部１３３で利用する情報を保管し，これらからの要求に応じて情報を提供する。情報保管部１３６で保管される情報として，可搬媒体１１０およびクライアント装置１２０のクレデンシャルを挙げることができる。
【００１９】
Ｂ．クライアント装置１２０について
クライアント装置１２０は，ネットワークに接続された端末であり，コンピュータ一般（例えば，パーソナルコンピュータやキオスク端末）を利用できる。
【００２０】
図３は，クライアント装置１２０の内部構成の一例を表すブロック図である。なお，第１，第２クライアント装置１２０（１），１２０（２）は，同等の構成を採用できる。
クライアント装置１２０は，第１，第２通信部１２１ａ，１２１ｂ，認証状態情報受領部１２２，認証状態情報取得部１２３，認証状態情報提供部１２４，通信ピア認証部１２５，認証クライアント部１２６，情報保管部１２７，制御部１２８，ユーザインタフェース部１２９を備える。
【００２１】
第１通信部１２１ａは，ネットワークを介して通信ピア（認証サーバ装置１３０，サービス提供装置１４０）との間で，利用者の認証に関する情報（例えば，証状態情報）を送受信する。
【００２２】
第２通信部１２１ｂは，可搬媒体１１０と通信する。この通信には，無線（例えば，無線ＬＡＮ（IEEE 802.11シリーズ）やブルートゥース（Bluetooth））），有線（例えば，ＵＳＢ（Universal Serial Bus）１．ｘ／２．０）を利用できる。
第２通信部１２１ｂは，可搬媒体１１０に加えて，利用者認証装置（例えば，バイオメトリック照合装置）と通信し，利用者認証装置から利用者を識別する情報（例えば，指紋，顔画像，虹彩，血管形状）を受信しても良い。この利用者認証装置は，初期認証を実行するクライアント装置１２０のみが備えていれば足りる。
なお，第２通信部１２１ｂに代えて，第１通信部１２１ａが可搬媒体１１０または利用者認証装置と通信してもよい。
【００２３】
認証状態情報受領部１２２は，認証サーバ装置１３０に対して認証状態情報を要求し，受領する。また，認証状態情報受領部１２２は，受領した認証状態情報を可搬媒体１１０に格納させる。
【００２４】
認証状態情報取得部１２３は，可搬媒体１１０から認証状態情報を取得する。
認証状態情報提供部１２４は，認証状態情報取得部１２３を介して可搬媒体１１０から取得した認証状態情報を，サービス提供装置１４０に提供する。
【００２５】
通信ピア認証部１２５は，通信ピア（認証サーバ装置１３０，サービス提供装置１４０，利用者認証装置）を認証し，自己を証明する。
認証クライアント部１２６は，認証サーバ装置１３０が利用者または可搬媒体１１０を認証するときに，可搬媒体１１０からそのクレデンシャル（信用証明）を読み出す。認証クライアント部１２６は，この読み出しに先立って，可搬媒体１１０との間で認証プロトコルをやり取りする。
【００２６】
情報保管部１２７は，通信ピア認証部１２５，認証クライアント部１２６で利用する情報を保管し，これらからの要求に応じて情報を提供する。
制御部１２８は，第１，第２通信部１２１ａ，１２１ｂ，認証状態情報受領部１２２，認証状態情報取得部１２３，認証状態情報提供部１２４，通信ピア認証部１２５，認証クライアント部１２６，ユーザインタフェース部１２９間での情報伝達を制御する。
ユーザインタフェース部１２９は，利用者が情報を入出力するための機器である。ユーザインタフェース部１２９には，グラフィカルユーザインタフェース（ＧＵＩ）などを実装しても良い。
【００２７】
Ｃ．可搬媒体１１０について
可搬媒体１１０は，ある程度の計算能力を有した運搬可能な媒体装置であり，スマートカードや携帯電話，ＰＤＡなどを利用できる。可搬媒体１１０は，内部情報の外部漏洩を防止する機能を有することが望ましい。
【００２８】
図４は，可搬媒体１１０の内部構成の一例を表すブロック図である。
可搬媒体１１０は，通信部１１１と，通信ピア認証部１１２と，認証状態情報格納部１１３と，情報提供部１１４と，情報保管部１１５とを備える。
【００２９】
通信部１１１は，クライアント装置１２０と通信して，利用者の認証に関する情報（例えば，認証状態情報）を送受信する。
通信ピア認証部１１２は，通信ピア（クライアント装置１２０）を認証し，自己を証明する。
認証状態情報格納部１１３は，クライアント装置１２０から提供される認証状態情報を情報保管部１１５に格納する。
情報提供部１１４は，外部装置からの要求に応じて，情報保管部１１５に格納される認証状態情報または可搬媒体１１０のクレデンシャルを提供する。
情報保管部１１５は，通信ピア認証部１１２，情報提供部１１４で利用する情報を保管し，これらからの要求に応じて情報を提供する。
【００３０】
（シングルサインオンシステム１００の動作）
以下，シングルサインオンシステム１００の動作を説明する。
シングルサインオンシステム１００の動作は，初期認証フェーズ，事後認証フェーズに区分される。
初期認証フェーズは，第１クライアント装置１２０（１）を利用して，ログインするまでの動作である。
事後認証フェーズは，第１クライアント装置１２０（１）と異なる第２クライアント装置１２０（２）を利用して，サービス提供装置１４０が提供するサービスを享受するまでの動作である。このとき，初期認証フェーズで取得した認証状態情報を利用して，サービス提供装置１４０に対して利用者の認証を行う。
図５，図６はそれぞれ，シングルサインオンシステム１００の初期認証フェーズおよび事後認証フェーズでの動作手順の一例を表すフロー図である。
【００３１】
Ａ．初期認証
（１）  第１クライアント装置１２０（１）が，認証サーバ装置１３０にログイン処理（即ち，認証状態情報の発行）を要求する（ステップＳ１１）。なお，この要求は，第１クライアント装置１２０（１）への利用者の入力によって開始される。
（２）  認証サーバ装置１３０は，第１クライアント装置１２０（１）に対して認証処理の実行を要求する（ステップＳ１２）。
【００３２】
（３）  第１クライアント装置１２０（１）は，前記要求を受けて，合意された認証処理を実行する（ステップＳ１３）。
認証サーバ装置１３０が認証方式を指定し，第１クライアント装置１２０（１）が指定された認証方式を実行する。このとき，複数の認証プロトコルを処理できるが，可搬媒体１１０を利用した認証プロトコルを実施することが望ましい。たとえば，可搬媒体１１０に格納された公開鍵証明書（クレデンシャルの一種）を利用して，可搬媒体１１０を認証する。この場合，可搬媒体１１０を保持する利用者がサービス利用装置１４０からのサービスを享受する権原を有することになる。
【００３３】
１）認証サーバ装置１３０の可搬媒体認証部１３２が，次ステップにおける認証状態情報の格納対象となる可搬媒体１１０を確認する（通信ピアの確認）。この確認に先立って，第１クライアント装置１２０（１）は，利用者に対して，可搬媒体１１０の第１クライアント装置１２０（１）への接続を要求する旨を表示する。
【００３４】
２）接続を確認後，第１クライアント装置１２０（１）の認証クライアント部１２６は，可搬媒体１１０に格納されるクレデンシャルを読み出して，認証処理のクライアント側処理を実行する（可搬媒体１１０の認証）。
なお，可搬媒体１１０からクレデンシャルを直接読み出さず，クレデンシャルに基づいて暗号学的に処理された情報（認証プロトコルの認証アルゴリズムで必要なMAC値またはディジタル署名値など）を可搬媒体１１０に要求してもよい。クレデンシャルを直接読み出す場合には，可搬媒体１１０および第１クライアント装置１２０（１）双方の通信ピア認証部１１２，１２５が，相互に通信ピアを認証することが望ましい。
【００３５】
３）通信ピアの認証が成功し，かつ情報提供が可能であると判断された場合，可搬媒体１１０の情報を第１クライアント装置１２０（１）に送信できる。上述の認証処理が成功した場合は，次のステップＳ１４へ進む。いずれかの認証処理が失敗した場合は処理を終了するか，もしくは本ステップＳ１３を規定回数再試行してもよい。
【００３６】
（４）  認証サーバ装置１３０は，第１クライアント装置１２０（１）で実施された認証処理内容を検証することにより，シングルサインオンの初期認証結果の成否を判断する。この結果が成功であると判断されれば，ログインを許可し，それを証明する情報として認証状態情報を発行する（ステップＳ１４）。
認証サーバ装置１３０が発行する際に利用する発行クレデンシャル（公開鍵証明書対の秘密鍵など）や発行を許可するか否かの発行ポリシといった，発行に必要な情報は事前に認証サーバ装置１３０の情報保管部１３６に格納されているものとする。
【００３７】
このときの認証状態情報には，認証ステートメント要素を含むＳＡＭＬ認証アサーションを利用できる。
なお，認証状態情報を可搬媒体１１０固有の暗号化鍵で暗号化することが望ましい。認証状態情報全体を暗号化してもよく，その一部分のみを暗号化してもよい。また，暗号化鍵は，事前共有しても良いし，ステップＳ１３で実行された認証プロトコルを介して交換してもよい。
発行した認証状態情報は認証サーバ装置１３０内の認証状態情報送信部１３４および認証状態情報管理部１３５に通知される。
【００３８】
（５）  認証サーバ装置１３０の認証状態情報送信部１３４は，ステップＳ１４で発行した認証状態情報を，第１クライアント装置１２０（１）に送信する（ステップＳ１５）。
（６）  第１クライアント装置１２０（１）は，第２通信部１２１ｂを介して，受領した認証状態情報を可搬媒体１１０に格納する。可搬媒体１１０は，受領した認証状態情報を情報記憶部１１５に格納する（ステップＳ１６）。
【００３９】
Ｂ．事後認証
（１）  第２クライアント装置１２０（２）からサービス提供装置１４０にサービスの提供を要求する（ステップＳ２１）。
（２）  サービス提供装置１４０は，第２クライアント装置１２０（２）に対して認証状態情報の取得（即ち，認証処理の実施）を要求する（ステップＳ２２）。
【００４０】
（３）  第２クライアント装置１２０（２）からの要求に応じて，可搬媒体１１０が認証状態情報を提供する（ステップＳ２３）。この認証に先立って，可搬媒体１１０，第２クライアント装置１２０（２）間で双方向認証処理もしくは要求側の片方向認証（通信ピアの確認）を実施することが望ましい。
（４）  第２クライアント装置１２０（２）は，サービス提供装置１４０に対して，取得した認証状態情報を提出する（ステップＳ２４）。
【００４１】
（５）  サービス提供装置１４０は，認証サーバ装置１３０との間で提出された認証状態情報を確認する（ステップＳ２５）。
即ち，サービス提供装置１４０は，認証状態情報の正当性を検証し，記載されている情報（例えば，どのようなユーザなのか）を確認して，サービスを提供してよいかどうかを判断する。
サービス提供装置１４０が提供されたのが認証状態情報そのものではなく，参照情報（ＳＡＭＬアーティファクトなど）の場合は，サービス提供装置１４０から認証サーバ装置１３０に認証状態情報を問い合わせてもよい。認証状態情報に関連付けられたシングルサインオンのセッション状態を，サービス提供装置１４０から認証サーバ装置１３０に問い合わせてもよい。
【００４２】
（６）  サービスを提供してよいと判断すれば，第２クライアント装置１２０（２）に対してサービスを提供する（ステップＳ２６）。なお，サービスの提供を拒否すると判断すれば，サービス要求を破棄する。
【００４３】
以上のようにして，可搬媒体１１０を用いてシングルサインオンを実現可能である。すなわち，初期認証処理を異なる装置（クライアント装置１２０）上で都度実施する必要がなくなり，異なる装置でシングルサインオンが可能となる。
【００４４】
この結果，特定の装置（第1クライアント装置１１０（１））のみに強力なユーザ認証機能を実装して初期認証を実施し，一方，他の装置では初期認証を不要とすることができる。例えば，バイオメトリック装置（例えば，生体スキャナ）を特定の装置にみに接続して初期認証を実行し，事後認証は比較的簡略な他の装置（例えば，情報家電など）で実行できる。
【００４５】
認証状態情報を暗号化することで，基となる認証状態情報を外部に公開することなく，クライアント装置１１０でシングルサインオンを実行できる。
【００４６】
（第２の実施形態）
以下，本発明の第２の実施形態を説明する。
本実施形態では，認証状態情報に基づいた副認証状態情報をクライアント装置１２０に提供することで，認証状態情報の不正利用を防止する。
【００４７】
図７は，本実施形態に係る可搬媒体２１０の内部構成を表すブロック図である。
可搬媒体２１０は，可搬媒体１１０の構成要素（通信部１１１と，通信ピア認証部１１２と，認証状態情報格納部１１３と，情報提供部１１４と，情報保管部１１５）に発行決定部２１６，副認証状態情報発行部２１７が追加されている。
発行決定部２１６は，副認証状態情報の発行の可否を決定する。
副認証状態情報発行部２１７は，副認証状態情報を発行ポリシに従って発行する。
【００４８】
以下，認証状態情報と副認証状態情報の関係につき説明する。
ＳＡＭＬ  Ｖ２．０を例にとって説明すると，ある認証アサーション（original assertion。以降，基本アサーションと表記する）からその子関係にあたるアサーション（subsequent assertion。以降，後継アサーションと表記する）を生成する。基本アサーション，後継アサーションがそれぞれ認証状態情報と副認証状態情報に対応する。
【００４９】
後継アサーションは，基本アサーションの正当性に基づいて発行されるアサーションである。例えば，公開鍵証明書のルート証明書と，ルート証明書によって発行される個々の公開鍵証明書のような関係にあたる。このとき重要なのは，上位の証明書であるルート証明書が，その下位に位置する個別の公開鍵証明書を証明（保証）しているということである。なお，後継アサーションを発行する対象（例えば，特定のクライアント装置１２０）を制限してもよい。
【００５０】
図８は，基本アサーションの制約情報の表現例を示す図である。
制約情報は，第２クライアント装置１２０（２）の振る舞いを制約する。ここでは，制約情報の例として，ＳＡＭＬ  Ｖ２．０におけるＳＡＭＬアサーションの一部として，<Condition>要素中の<ProxyRestriction>要素を挙げている。
【００５１】
<ProxyRestriction>要素は，後継アサーションを生成可能かどうかについて制約するための要素である。
ここでは，<ProxyRestriction>要素のCount属性の値として”1”を設定している。これは，基本アサーションに基づいて後継アサーションを1段階のみ生成可能であることを示しており，後継アサーションからさらに後継アサーションを生成することを禁止している。この値は，後継アサーションを生成可能な設定値（即ち”1”以上）であればよい。
【００５２】
後継アサーションを生成可能なエンティティを指定するための要素として<ProxyRestriction>要素中に<Audience>要素を含めることができる。
<Audience>要素の値は，一般的にはＵＲＩ表記等を利用するが，ここでは説明を簡易にするためにクライアント名として「CLIENT2」（図では斜体表記）を用いることとする。このクライアント名「CLIENT2」は，第２クライアント装置１２０（２）を一意に識別可能な識別情報である。
【００５３】
クライアント名「CLIENT2」は，事後認証を実行する機構（サービス提供装置１４０）で利用されるクライアント装置１２０を識別する識別情報と一致することが望ましい。例えば，第２クライアント装置１２０（２）を認証するためにＴＬＳ（Transport Layer Security）等を用いるであれば，クライアント名「CLIENT2」は事後認証のためのX.509公開鍵証明書に記述されるサブジェクト名と一致していることが望ましい。また，第２クライアント装置１２０（２）を認証するためにＳＡＭＬの認証アサーションを利用するのであれば，この認証アサーション中の認証ステートメントに含まれるであろう<Subject>要素で示される識別情報とクライアント名「CLIENT2」とが一致することが望ましい。
【００５４】
第２クライアント装置１２０（２）以外のクライアント装置に，第２クライアント装置１２０（２）と同様の振る舞いを許可する場合には，そのクライアント装置に対応した<Audience>要素を追加してもよい。
【００５５】
<Subject>要素は，利用者を識別するための識別情報が記述される。ここでは，識別情報として「USER」を用いることとする。
【００５６】
後継アサーションの権限等は，基本的に基本アサーションの権限を継承するが，個々の後継アサーションの利用制御を想定した要素や属性を追加してもよい。
図９は，後継アサーションの一部の表現例を示す図である。
後継アサーションでも，前述の基本アサーションと同様に，<Condition>要素等で制約条件を表現可能である。例えば，アサーション自体の有効開始時刻（NotBefore属性）や有効期限（NotOnOrAfter属性）を示す条件を追加可能である。
ただし，これら属性は基本アサーションが持つ条件の範囲内の値を設定する。
【００５７】
また，アサーションを利用することのできるパーティの制約条件を<AudienceRistriction>要素に示すことができる。本実施形態では，サービス提供装置１４０の識別情報を，この<AudienceRistriction>要素の<Audience>要素で指定している（本図では，URL表記「」を利用している）。これにより，後継アサーションを消費可能なサービス提供装置１４０を制約することが可能である。
これら情報については，必要があれば追加すればよく，実装における情報交換の処理性能等の制約に応じて選択的に利用すればよい。
【００５８】
後継アサーションの発行対象者を示す<Subject>要素には，利用者を識別するために，基本アサーションと同じサブジェクト名「USER」が記述される。
エビデンスとなるアサーションへの参照情報を<Advice>要素として記述している。<Advice>要素中の<AssertionIDRef>要素に基本アサーションのアサーションＩＤ（本図では，「original assertion ID」として斜体表記）を含めている。ＵＲＩ参照の場合は<AssertionURIRef>要素，アサーションそのものの場合は<Assertion>要素，暗号化されたアサーションの場合は<EncryptedAssertion>によって基本アサーションが識別される。これにより，基本アサーションと後継アサーションとを関連付けている。なお，この他の要素を適宜に利用して，基本アサーションと後継アサーションとを関連付けることも可能である。
【００５９】
後継アサーションに記載された基本アサーションを参照するための情報，もしくは基本アサーションそのものを参照するための情報を，発行したオーソリティ（認証サーバ装置１３０）に問い合わせる。この結果，基本アサーション（認証状態情報）を公開することなく，後継アサーション（副認証状態情報）の正当性を確認することが可能となる。
なお，図８及び図９で示した各要素及び属性は，接頭辞等の表記を省略している。
【００６０】
本実施形態ではＳＡＭＬアサーションを例にとって説明するが，副認証状態情報は，同様な要件を満たす情報構造体であればよい。例えば，X.509をベースにした属性証明書（An Internet Attribute Certificate Profile for Authorization：RFC3281）などを利用してもよい。属性証明書は，公開鍵証明書に基づいて発行される特定の主体が有する属性を証明するための情報構造体である。この場合，認証状態情報は，X.509公開鍵証明書となる。
【００６１】
（シングルサインオンシステム２００の動作）
シングルサインオンシステム２００の動作手順を説明する。
シングルサインオンシステム２００の動作は，シングルサインオンシステム１００と同様，初期認証フェーズ，事後認証フェーズに区分される。
シングルサインオンシステム２００での初期認証フェーズは，シングルサインオンシステム１００とほぼ同様である。即ち，認証サーバ装置１３０が発行した認証状態情報が可搬媒体２１０に格納される。従い，事後認証フェーズについて説明する。
図１０は，シングルサインオンシステム２００の事後認証フェーズでの動作手順の一例を表すフロー図である。
【００６２】
（１）  第２クライアント装置１２０（２）からサービス提供装置１４０にサービスの提供を要求する（ステップＳ３１）。
（２）  サービス提供装置１４０は，第２クライアント装置１２０（２）に対して副認証状態情報の取得（即ち，認証処理の実施）を要求する（ステップＳ３２）。
【００６３】
（３）  第２クライアント装置１２０（２）からの要求に応じて，可搬媒体２１０が副認証状態情報を提供する（ステップＳ３３）。
１）  第２クライアント装置１２０（２）は，可搬媒体１１０に対して副認証状態情報の取得を要求する。
２）  可搬媒体２１０は，副認証状態情報の発行決定を判断する。発行が許可されれば，可搬媒体２１０が保持する認証状態情報から副認証状態情報を，内部に保持する発行ポリシに基づいて発行する。このとき，前記に示したような制約条件を設けてもよい。
【００６４】
（４）  第２クライアント装置１２０（２）は，サービス提供装置１４０に対して，可搬媒体２１０から取得した副認証状態情報を提出する（ステップＳ３４）。
（５）  サービス提供装置１４０は，提出された副認証状態情報を確認する（ステップＳ３５）。
このとき，可搬媒体２１０から認証状態情報が出力されない。このため，副認証状態情報に記述される認証状態情報の参照情報（例えば，ＳＡＭＬで規定されるようなアサーションＩＤ参照要素やアサーションＵＲＩ参照要素など）に基づいて，発行者である認証サーバ装置１３０に問い合わせる。この認証状態情報が正当であり，かつ記述内容及び署名部位が正当であると判断できたとき，副認証状態情報を正当とすることができる。
【００６５】
（６）  サービスを提供してよいと判断すれば，第２クライアント装置１２０（２）に対してサービスを提供する（ステップＳ３６）。なお，サービスの提供を拒否すると判断すれば，サービス要求を破棄する。
【００６６】
（第３の実施形態）
以下，第３の実施形態に係るシングルサインオンシステム３００につき説明する。本実施形態では，可搬媒体３１０が認証サーバ装置１３０と直接的に接続することを考える。
可搬媒体１１０が携帯電話のように，一般的なネットワーク接続機能（例えば，インターネット接続機能など）を有している場合，可搬媒体３１０が認証サーバ装置１３０と直接的に接続できる。すなわち，クライアント装置１２０を介さずに，可搬媒体１１０が認証状態情報を取得できる。
【００６７】
（シングルサインオンシステム３００の動作）
以下，シングルサインオンシステム３００の動作手順を説明する。
シングルサインオンシステム３００では，可搬媒体３１０が認証サーバ装置１３０およびサービス提供装置１４０と直接接続し，可搬媒体３１０とクライアント装置１２０間での通信は行わない。
【００６８】
例えば，第１の実施形態で説明した図５の動作を考える。ステップＳ１１〜Ｓ１６には，第１クライアント装置１２０（１）の動作が含まれる。本実施形態では，図５の第１クライアント装置１２０（１）での動作は可搬媒体３１０で実行される。
また，図６の動作手順についても同様に，第１クライアント装置１２０（１）に代えて可搬媒体３１０で実行される。
【００６９】
（その他の実施形態）
本発明の実施形態は上記の実施形態に限られず拡張，変更可能であり，拡張，変更した実施形態も本発明の技術的範囲に含まれる。
【図面の簡単な説明】
【００７０】
【図１】本発明の第１の実施形態に係るシングルサインオンシステムの構成例を示すブロック図である。
【図２】第１の実施形態に係る認証サーバ装置の内部構成の一例を表すブロック図である。
【図３】第１の実施形態に係るクライアント装置の内部構成の一例を表すブロック図である。
【図４】第１の実施形態に係る可搬媒体の内部構成の一例を表すブロック図である。
【図５】第１の実施形態に係るシングルサインオンシステムの初期認証フェーズでの動作手順の一例を表すフロー図である。
【図６】第１の実施形態に係るシングルサインオンシステムの事後認証フェーズでの動作手順の一例を表すフロー図である。
【図７】第２の実施形態に係る可搬媒体の内部構成を表すブロック図である。
【図８】基本アサーションの制約情報の表現例を示す図である。
【図９】後継アサーションの一部の表現例を示す図である。
【図１０】第２の実施形態に係るシングルサインオンシステムの事後認証フェーズでの動作手順の一例を表すフロー図である。
【符号の説明】
【００７１】
１００…シングルサインオンシステム，１１０…可搬媒体，１１１…通信部，１１２…通信ピア認証部，１１３…認証状態情報格納部，１１４…情報提供部，１１５…情報保管部，１２０…クライアント装置，１２１ａ，１２１ｂ  通信部，１２２…認証状態情報受領部，１２３…認証状態情報取得部，１２４…認証状態情報提供部，１２５…通信ピア認証部，１２６…認証クライアント部，１２７…情報保管部，１２８…制御部，１２９…ユーザインタフェース部，１３０…認証サーバ装置，１３１…通信部，１３２…可搬媒体認証部，１３３…認証状態情報発行部，１３４…認証状態情報送信部，１３５…認証状態情報管理部，１３６…情報保管部，１４０…サービス提供装置，２００…シングルサインオンシステム，２１０…可搬媒体，２１６…発行決定部，２１７…副認証状態情報発行部
【図１】
2008009644.tif 000003
【図２】
2008009644.tif 000004
【図３】
2008009644.tif 000005
【図４】
2008009644.tif 000006
【図５】
2008009644.tif 000007
【図６】
2008009644.tif 000008
【図７】
2008009644.tif 000009
【図８】
2008009644.tif 000010
【図９】
2008009644.tif 000011
【図１０】
2008009644.tif 000012