(57)【要約】【課題】  高いセキュリティ強度を保ち、グループ単位の認証と個人単位の認証を同時に実現する、ユーザ認証システムを提供する。【解決手段】  アプリケーションサーバでユーザ認証する場合に、高いセキュリティ強度でユーザ認証する従来の方法において、内部に認証情報を格納したハードウェアキーを使用する方法及び物理回線の位置情報を使用する方法は、共に、個人単位とグループ単位の認証を両立できず不便であった。また、個人単位で認証する場合、ハードウェアキーを人数分配布する必要があり経済的に不利であった。本発明では、ユーザ回線の終端に設置されるルータヘ認証情報を格納し、認証サーバが認証して、ルータ配下の端末で共通のＩＤを認証サーバからアプリケーションサーバヘ通知する。また、ユーザが異なるＰＷを入力することで、送出するＩＤをＰＷ毎に変えるようにする。【選択図】  図１
2005309590.tif 000002
【特許請求の範囲】
【請求項１】
インターネット上に設置されたアプリケーションサーバでユーザ認証を必要とする場合に、インターネット上に設置した認証サーバがユーザを認証し、該認証結果をアプリケーションサーバヘ通知してユーザ認証を行うユーザ認証システムであって、
前記認証サーバが、ユーザ回線の終端位置に設置されるルータ毎に付与するデバイス番号と暗号鍵とＩＤとを生成して登録し、該生成したデバイス番号と暗号鍵を前記ルータに事前に格納すると共に、前記ＩＤをアプリケーションサーバに事前に格納する手段と、
前記アプリケーションサーバがユーザ認証を必要とする際に、前記認証サーバによるユーザ認証を要求する手段と、
認証要求を受けた前記認証サーバが、ユーザ端末ヘチャレンジ値を含む認証要求を送出する手段と、
前記ルータが、ユーザ端末を経由して、前記認証サーバからのチャレンジ値を含む認証要求を検出した場合に、ルータ内に格納したデバイス番号と暗号鍵を抽出してレスポンス値を計算し、前記チャレンジ値及びデバイス番号と共に認証サーバへ送出する手段と、
前記認証サーバが、前記レスポンス値、チャレンジ値及びデバイス番号をルータから受信した場合に、認証サーバ内に登録されたデバイス番号と暗号鍵および受信したチャレンジ値を基にレスポンス値を計算して照合を行い、正しく照合された場合に、ルータ毎に付与されるＩＤを前記アプリケーションサーバへ送出する手段と
を備えることを特徴とするユーザ認証システム。
【請求項２】
前記認証サーバが事前にルータに格納したデバイス番号毎にＰＷを１つ設定し、認証サーバがユーザ認証を行う際に、ユーザ端末へＰＷ入力画面を提示する手段と、
ルータがユーザ端末に入力されたＰＷを受信した場合に、ルータが認証サーバヘレスポンス値を含む認証要求を送出する際に、前記ＰＷを合わせて通知する手段と、
前記認証サーバが前記レスポンス値とＰＷを含む認証要求によりユーザ認証を行う手段と
を備えることを特徴とする請求項１に記載のユーザ認証システム。
【請求項３】
前記認証サーバがデバイス番号毎に複数のＰＷと各ＰＷに対応するＩＤを設定する手段と、
ユーザ端末に前記複数設定されたＰＷの中から１つのＰＷを選択して入力することにより、前記認証サーバからアプリケーションサーバヘ送出するＩＤをＰＷ毎に変更する手段と
を備えることを特徴とする請求項２に記載のユーザ認証システム。
【請求項４】
ルータのデバイス番号及び暗号鍵を格納した記録媒体であるハードウェアキーを、ルータ及びユーザ端末において着脱する手段と、
ルータに前記ハードウェアキーを装着し、異なるルータにおいても同一のデバイス番号及び暗号鍵の情報を送出して認証サーバが認証し、該認証サーバがルータ配下のユーザ端末に共通のＩＤをアプリケーションサーバへ送出する手段と、
ユーザ端末に前記ハードウェアキーを装着し、ルータが送出するデバイス番号及び暗号鍵の情報をユーザ端末から送出して認証サーバが認証し、１つのユーザ端末で、ルータにハードウェアキーが装着された場合と同じＩＤをアプリケーションサーバへ送出する手段と
を備えることを特徴とする請求項１に記載のユーザ認証システム。
【請求項５】
インターネット上に設置されたアプリケーションサーバでユーザ認証を必要とする場合に、インターネット上に設置した認証サーバがユーザを認証し、該認証結果をアプリケーションサーバヘ通知してユーザ認証を行うユーザ認証方法であって、
前記認証サーバが、ユーザ回線の終端位置に設置されるルータ毎に付与するデバイス番号と暗号鍵とＩＤとを生成して登録し、該生成したデバイス番号と暗号鍵を前記ルータに事前に格納すると共に、前記ＩＤをアプリケーションサーバに事前に格納する手順と、
前記アプリケーションサーバがユーザ認証を必要とする際に、前記認証サーバによるユーザ認証を要求する手順と、
認証要求を受けた前記認証サーバが、ユーザ端末ヘチャレンジ値を含む認証要求を送出する手順と、
前記ルータが、ユーザ端末を経由して、前記認証サーバからのチャレンジ値を含む認証要求を検出した場合に、ルータ内に格納したデバイス番号と暗号鍵を抽出してレスポンス値を計算し、前記チャレンジ値及びデバイス番号と共に認証サーバへ送出する手順と、
前記認証サーバが、前記レスポンス値、チャレンジ値及びデバイス番号をルータから受信した場合に、認証サーバ内に登録されたデバイス番号と暗号鍵および受信したチャレンジ値を基にレスポンス値を計算して照合を行い、正しく照合された場合に、ルータ毎に付与されるＩＤを前記アプリケーションサーバへ送出する手順と
を含むことを特徴とするユーザ認証方法。
【請求項６】
前記認証サーバが事前にルータに格納したデバイス番号毎にＰＷを１つ設定し、認証サーバがユーザ認証を行う際に、ユーザ端末へＰＷ入力画面を提示する手順と、
ルータがユーザ端末に入力されたＰＷを受信した場合に、ルータが認証サーバヘレスポンス値を含む認証要求を送出する際に、前記ＰＷを合わせて通知する手順と、
前記認証サーバが前記レスポンス値とＰＷを含む認証要求によりユーザ認証を行う手順と
を含むことを特徴とする請求項５に記載のユーザ認証方法。
【請求項７】
前記認証サーバがデバイス番号毎に複数のＰＷと各ＰＷに対応するＩＤを設定する手順と、
ユーザ端末に前記複数設定されたＰＷの中から１つのＰＷを選択して入力することにより、前記認証サーバからアプリケーションサーバヘ送出するＩＤをＰＷ毎に変更する手順と
を含むことを特徴とする請求項６に記載のユーザ認証方法。
【請求項８】
ルータのデバイス番号及び暗号鍵を格納した記録媒体であるハードウェアキーを、ルータ及びユーザ端末において着脱する手順と、
ルータに前記ハードウェアキーを装着し、異なるルータにおいても同一のデバイス番号及び暗号鍵の情報を送出して認証サーバが認証し、該認証サーバがルータ配下のユーザ端末に共通のＩＤをアプリケーションサーバへ送出する手順と、
ユーザ端末に前記ハードウェアキーを装着し、ルータが送出するデバイス番号及び暗号鍵の情報をユーザ端末から送出して認証サーバが認証し、１つのユーザ端末で、ルータにハードウェアキーが装着された場合と同じＩＤをアプリケーションサーバへ送出する手順と
を含むことを特徴とする請求項５に記載のユーザ認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、高いセキュリティ強度を維持しつつ、グループ単位と個人単位の認証を両立することができる、ユーザ認証システム、及びユーザ認証方法に関するものである。
【背景技術】
【０００２】
システムがユーザを認証する場合、システムが解決すべき問題の１つは、いかにしてセキュリティ強度を高めつつ利便性の高い認証手段を提供するかという点にある。
【０００３】
ユーザの選別を必要とするアプリケーションサーバがユーザを認証する方法としては、ＷＥＢシステムにおいてユーザ認証を行う際のＢＡＳＩＣ認証に代表されるように、ユーザが文字列により構成されたＩＤ（識別記号）とＰＷ（パスワード）を入力することでユーザを認証する方法がある。
【０００４】
この方法では、アプリケーションサーバが、ユーザへ事前に文字列により構成されたＩＤとＰＷを対にして払い出す。そして、アプリケーションサーバがユーザを認証する際は、ＨＴＴＰ（HyperText Transfer Protocol）によりユーザへＩＤとＰＷを入力するＷＥＢ画面を提示し、ユーザは払い出されたＩＤとＰＷをＷＥＢ画面に手入力する。ユーザが入力したＩＤとＰＷは、ＨＴＴＰに重畳され、アプリケーションサーバに通知される。アプリケーションサーバは、受信したＩＤとＰＷを、事前に払い出したものと照合することにより、ユーザを認証する。
【０００５】
この方法では、盗み見たりすることにより第三者が簡単にＩＤとＰＷを盗み出し本人になりすますことができる点で、セキュリティが弱い、また、盗み出されたＩＤとＰＷが、正常な保有者が使用するのと同時に第三者が異なる場所で使用する危険性がある点で、セキュリティが弱いという欠点がある。
【０００６】
また、アプリケーションサーバがユーザを認証する別の方法として、アプリケーションサーバが事前にＩＤとＰＷ等を格納したハードウェアキー（例えば、ＩＣカードなど）をユーザへ払い出し、そのハードウェアキーを用いてユーザを認証する方法がある（例えば、非特許文献１参照）。
【０００７】
この方法では、認証時にユーザは、払い出されたハードウェアキーをユーザ端末へ装着する。ユーザ端末で認証を行うアプリケーションは、ＨＴＴＰに重畳してアプリケーションサーバから送出されたチャレンジに対して、ハードウェアキー内のＩＤとＰＷ等を利用してレスポンスを生成し、ハードウェアキー内のＩＤと共に、ＨＴＴＰに重畳してアプリケーションサーバへ送出する。アプリケーションサーバは、受信したＩＤとレスポンスを事前に登録された情報と照合することにより、ユーザを認証する。
【０００８】
この方法では、ハードウェアキーという物理的なデバイス自体を盗まれないと本人になりすまされないため、セキュリティが強固である。また、ハードウェアキーは１つしか存在しないため、正常な保有者が使用するのと同時に第三者が異なる場所で認証されることはなく、セキュリティが強固であるという利点がある。
【０００９】
また、アプリケーションサーバがユーザを認証する別の方法として、ユーザに敷設された物理回線の位置情報を利用する方法がある。この方法では、アプリケーションサーバが、ユーザに敷設された物理回線の位置情報を事前にユーザ毎に登録し、アプリケーションサーバでの認証時に、ユーザは事前に登録した物理回線経由でアプリケーションサーバへアクセスする。アプリケーションサーバは、ユーザがアクセスしてきた物理回線の位置情報を取得して、事前に登録した位置情報と照合することにより、ユーザを認証する。
【００１０】
この方法では、物理回線という物理的なデバイス自体に不正アクセスされないと本人になりすまされないため、セキュリティが強固である。また、敷設された場所でのみ認証されるため、正常な保有者が使用するのと同時に第三者が異なる場所で認証されることはなく、セキュリティが強固であるという利点がある。
【非特許文献１】「Safety Pass」（http://www.safety-pass.com）2004年4月13日現在
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ハードウェアキーを使用する従来のシステムでは、ハードウェアキーを端末に装着して使用するため、端末を利用する個人単位でのみユーザを認証することが可能であり、グループ単位でユーザを認証できない点で、家族や仕事上の担当などのグループ単位で決済を行う際などにおいて、ユーザが不便である。また、個人を認証するためには、個人ごとにハードウェアキーを配布しなくてはならないため、コストがかかる、ハードウェアキーが装着不可能な端末においてユーザを認証することができないという問題があった。
【００１２】
また、物理回線の位置情報を使用する従来のシステムでは、回線単位というグループ単位でユーザを認証するため、同一の物理回線に収容される個人を特定して個人単位でユーザを認証することができない点で、グループ内の個人毎にアクセス権限を付与する際などにおいて、ユーザが不便である。また、回線が敷設された場所でのみ使用可能であるため、様々な場所でユーザを認証できない点で、ユーザが不便であるという問題があった。
【００１３】
本発明はこのような問題を解決するためになされたもので、その目的は、高いセキュリティ強度を維持しつつ、グループ単位と個人単位のユーザ認証を行うことを可能にし、かつユーザの利便性の向上を図ることができる、ユーザ認証システム、及びユーザ認証方法を提供することにある。
【課題を解決するための手段】
【００１４】
本発明は、上記課題を解決するためになされたものであり、本発明のユーザ認証システムは、インターネット上に設置されたアプリケーションサーバでユーザ認証を必要とする場合に、インターネット上に設置した認証サーバがユーザを認証し、該認証結果をアプリケーションサーバヘ通知してユーザ認証を行うユーザ認証システムであって、前記認証サーバが、ユーザ回線の終端位置に設置されるルータ毎に付与するデバイス番号と暗号鍵とＩＤとを生成して登録し、該生成したデバイス番号と暗号鍵を前記ルータに事前に格納すると共に、前記ＩＤをアプリケーションサーバに事前に格納する手段と、前記アプリケーションサーバがユーザ認証を必要とする際に、前記認証サーバによるユーザ認証を要求する手段と、認証要求を受けた前記認証サーバが、ユーザ端末ヘチャレンジ値を含む認証要求を送出する手段と、前記ルータが、ユーザ端末を経由して、前記認証サーバからのチャレンジ値を含む認証要求を検出した場合に、ルータ内に格納したデバイス番号と暗号鍵を抽出してレスポンス値を計算し、前記チャレンジ値及びデバイス番号と共に認証サーバへ送出する手段と、前記認証サーバが、前記レスポンス値、チャレンジ値及びデバイス番号をルータから受信した場合に、認証サーバ内に登録されたデバイス番号と暗号鍵および受信したチャレンジ値を基にレスポンス値を計算して照合を行い、正しく照合された場合に、ルータ毎に付与されるＩＤを前記アプリケーションサーバへ送出する手段とを備えることを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなく、ルータ内のデバイス番号を使用してユーザ認証が可能となる。
また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００１５】
また、本発明のユーザ認証システムは、前記認証サーバが事前にルータに格納したデバイス番号毎にＰＷを１つ設定し、認証サーバがユーザ認証を行う際に、ユーザ端末へＰＷ入力画面を提示する手段と、ルータがユーザ端末に入力されたＰＷを受信した場合に、ルータが認証サーバヘレスポンス値を含む認証要求を送出する際に、前記ＰＷを合わせて通知する手段と、前記認証サーバが前記レスポンス値とＰＷを含む認証要求によりユーザ認証を行う手段とを備えることを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる認証を行うことができる。
ＰＷの追加により、セキュリティ強度をより高くすることが可能となる。
【００１６】
また、本発明のユーザ認証システムは、前記認証サーバがデバイス番号毎に複数のＰＷと各ＰＷに対応するＩＤを設定する手段と、ユーザ端末に前記複数設定されたＰＷの中から１つのＰＷを選択して入力することにより、前記認証サーバからアプリケーションサーバヘ送出するＩＤをＰＷ毎に変更する手段とを備えることを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる個人認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、グループ単位の認証と個人単位の認証を同時に実施することができる点で、ユーザの利便性に効果がある。また、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなくＰＷの配布のみで、個人を認証することができる点で、ユーザのコスト削減に効果がある。また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００１７】
また、本発明のユーザ認証システムは、ルータのデバイス番号及び暗号鍵を格納した記録媒体であるハードウェアキーを、ルータ及びユーザ端末において着脱する手段と、ルータに前記ハードウェアキーを装着し、異なるルータにおいても同一のデバイス番号及び暗号鍵の情報を送出して認証サーバが認証し、該認証サーバがルータ配下のユーザ端末に共通のＩＤをアプリケーションサーバへ送出する手段と、ユーザ端末に前記ハードウェアキーを装着し、ルータが送出するデバイス番号及び暗号鍵の情報をユーザ端末から送出して認証サーバが認証し、１つのユーザ端末で、ルータにハードウェアキーが装着された場合と同じＩＤをアプリケーションサーバへ送出する手段とを備えることを特徴とする。
これにより、高いセキュリティ強度を保ちつつ、同一の認証情報を利用したグループ単位の認証を、様々な場所で実施可能である点で、ユーザの利便性に効果がある。
【００１８】
また、本発明のユーザ認証方法は、インターネット上に設置されたアプリケーションサーバでユーザ認証を必要とする場合に、インターネット上に設置した認証サーバがユーザを認証し、該認証結果をアプリケーションサーバヘ通知してユーザ認証を行うユーザ認証方法であって、前記認証サーバが、ユーザ回線の終端位置に設置されるルータ毎に付与するデバイス番号と暗号鍵とＩＤとを生成して登録し、該生成したデバイス番号と暗号鍵を前記ルータに事前に格納すると共に、前記ＩＤをアプリケーションサーバに事前に格納する手順と、前記アプリケーションサーバがユーザ認証を必要とする際に、前記認証サーバによるユーザ認証を要求する手順と、認証要求を受けた前記認証サーバが、ユーザ端末ヘチャレンジ値を含む認証要求を送出する手順と、前記ルータが、ユーザ端末を経由して、前記認証サーバからのチャレンジ値を含む認証要求を検出した場合に、ルータ内に格納したデバイス番号と暗号鍵を抽出してレスポンス値を計算し、前記チャレンジ値及びデバイス番号と共に認証サーバへ送出する手順と、前記認証サーバが、前記レスポンス値、チャレンジ値及びデバイス番号をルータから受信した場合に、認証サーバ内に登録されたデバイス番号と暗号鍵および受信したチャレンジ値を基にレスポンス値を計算して照合を行い、正しく照合された場合に、ルータ毎に付与されるＩＤを前記アプリケーションサーバへ送出する手順とを含むことを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなく、ルータ内のデバイス番号を使用してユーザ認証が可能となる。
また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００１９】
また、本発明のユーザ認証方法は、前記認証サーバが事前にルータに格納したデバイス番号毎にＰＷを１つ設定し、認証サーバがユーザ認証を行う際に、ユーザ端末へＰＷ入力画面を提示する手順と、ルータがユーザ端末に入力されたＰＷを受信した場合に、ルータが認証サーバヘレスポンス値を含む認証要求を送出する際に、前記ＰＷを合わせて通知する手順と、前記認証サーバが前記レスポンス値とＰＷを含む認証要求によりユーザ認証を行う手順とを含むことを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる認証を行うことができる。
ＰＷの追加により、セキュリティ強度をより高くすることが可能となる。
【００２０】
また、本発明のユーザ認証方法は、前記認証サーバがデバイス番号毎に複数のＰＷと各ＰＷに対応するＩＤを設定する手順と、ユーザ端末に前記複数設定されたＰＷの中から１つのＰＷを選択して入力することにより、前記認証サーバからアプリケーションサーバヘ送出するＩＤをＰＷ毎に変更する手順とを含むことを特徴とする。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる個人認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、グループ単位の認証と個人単位の認証を同時に実施することができる点で、ユーザの利便性に効果がある。また、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなくＰＷの配布のみで、個人を認証することができる点で、ユーザのコスト削減に効果がある。また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００２１】
また、本発明のユーザ認証方法は、ルータのデバイス番号及び暗号鍵を格納した記録媒体であるハードウェアキーを、ルータ及びユーザ端末において着脱する手順と、ルータに前記ハードウェアキーを装着し、異なるルータにおいても同一のデバイス番号及び暗号鍵の情報を送出して認証サーバが認証し、該認証サーバがルータ配下のユーザ端末に共通のＩＤをアプリケーションサーバへ送出する手順と、ユーザ端末に前記ハードウェアキーを装着し、ルータが送出するデバイス番号及び暗号鍵の情報をユーザ端末から送出して認証サーバが認証し、１つのユーザ端末で、ルータにハードウェアキーが装着された場合と同じＩＤをアプリケーションサーバへ送出する手順とを含むことを特徴とする。
これにより、高いセキュリティ強度を保ちつつ、同一の認証情報を利用したグループ単位の認証を、様々な場所で実施可能である点で、ユーザの利便性に効果がある。
【発明の効果】
【００２２】
本発明のユーザ認証システムおよびユーザ認証方法においては、認証サーバが、ルータ毎にデバイス番号及び暗号鍵を生成して事前に各ルータに格納しておく。また、アプリケーションサーバがユーザ認証を必要とする際に、ユーザ認証を認証サーバへ要求する。認証サーバは認証要求を受信すると、ユーザ端末ヘチャレンジ値を含む認証要求を送出する。ルータは、ユーザ端末を経由して、チャレンジ値を含む認証要求を検出し、内部に格納したデバイス番号と暗号鍵を抽出してレスポンス値を計算し、チャレンジ値及びデバイス番号と共にレスポンス値を認証サーバへ送出する。認証サーバは、レスポンス値を受信すると事前に登録した情報により照合を行い、正しく照合された場合は、認証サーバがルータ毎に付与するＩＤを、アプリケーションサーバへ送出する。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなく、ルータ内のデバイス番号を使用してユーザ認証が可能となる。
また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００２３】
また、本発明のユーザ認証システムおよびユーザ認証方法においては、認証サーバが事前にルータに格納したデバイス番号毎にＰＷを１つ設定し、認証サーバがユーザ認証を行う際にユーザ端末へＰＷ入力画面を提示する。ユーザがＰＷを入力すると、ルータが認証サーバへレスポンス値を含む認証要求を送出する際にＰＷも合わせて認証サーバへ通知し、認証サーバはレスポンス値とＰＷを含む認証要求によりユーザ認証を行う。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる認証を行うことができる。
ＰＷの追加により、セキュリティ強度をより高くすることが可能となる。
【００２４】
また、本発明のユーザ認証システムおよびユーザ認証方法においては、デバイス番号毎に設定するＰＷと、ＰＷに１対１対応するＩＤを事前に複数用意し、ユーザがＰＷを入力する際に、複数設定されたＰＷの中から１つのＰＷを選択して入力することにより、認証サーバからアプリケーションサーバヘ送出するＩＤをＰＷ毎に変える。
これにより、ルータのデバイス番号によりグループ単位でのユーザ認証を行うとともに、ＰＷによる個人認証を行うことができる。このため、高いセキュリティ強度を保ちつつ、グループ単位の認証と個人単位の認証を同時に実施することができる点で、ユーザの利便性に効果がある。また、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなくＰＷの配布のみで、個人を認証することができる点で、ユーザのコスト削減に効果がある。また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のデバイス番号を使用して認証が可能となる。
【００２５】
また、本発明のユーザ認証システムおよびユーザ認証方法においては、ルータに格納するデバイス番号及び暗号鍵をＩＣカードなどのハードウェアキーに格納し、ルータ及びユーザ端末で着脱可能とする。また、ルータにハードウェアキーを装着することで、異なるルータでも同一のデバイス番号等を送出して認証サーバが認証し、ルータ配下のユーザ端末で共通のＩＤをアプリケーションサーバへ送出する。さらに、ユーザ端末にハードウェアキーを装着することで、ルータが送出するデバイス番号等をユーザ端末から送出して認証サーバが認証し、１つのユーザ端末で、ルータに装着された場合と同じＩＤをアプリケーションサーバへ送出する。
これにより、高いセキュリティ強度を保ちつつ、同一の認証情報を利用したグループ単位の認証を、様々な場所で実施可能である点で、ユーザの利便性に効果がある。
【発明を実施するための最良の形態】
【００２６】
次に本発明を実施するための最良の形態について図面を参照して説明する。
【００２７】
［第１の実施の形態］
図１は、本発明によるユーザ認証システムのシステム全体の構成例を示す図である。
図１に示すシステムにおいては、ユーザ端末＃１（１１）、ユーザ端末＃２（１２）を含むユーザ端末１０がユーザ網１３に接続される。 また、インターネット１６へ接続するユーザ回線１５とユーザ網１３の境界には、認証サーバ１７から付与された「デバイス番号」と「暗号鍵」を格納したルータ１４が接続され、インターネット１６上に、ユーザを認証する認証サーバ１７が接続される。
【００２８】
さらに、インターネット１６上に、認証サーバ１７による認証結果を利用してユーザを認証するアプリケーションサーバ１８が接続される。
【００２９】
図２は、本発明のユーザ認証システムにおけるユーザ端末のシステム構成例を示す図である。ユーザ端末１０は、例えば、ユーザがアプリケーションサーバなどへアクセスしてアプリケーションを利用する場合などに、ユーザ端末１０上へ両面を表示するためのＷＥＢブラウザ２１を有している。
【００３０】
図３は、本発明のユーザ認証システムにおけるルータ１４のシステム構成例を示す図である。ルータ１４は、ユーザ網１３及びインターネット１６からのＨＴＴＰリクエストを受信し、送信先アドレス及びページなどに基づき処理を行うためのＨＴＴＰ転送部３１を有している。また、ルータ１４内部に格納される「デバイス番号３３」と「暗号鍵３４」を用いて、認証サーバ１７との間で認証を行う認証制御部３２を有している。なお、「デバイス番号３３」と「暗号鍵３４」は、認証サーバ１７がルータ１４を特定し認証するための情報であり、認証サーバ１７から事前に付与された情報である。
【００３１】
図４は、本発明のユーザ認証システムにおける認証サーバ１７のシステム構成例を示す図である。
認証サーバ１７は、ユーザ端末１０のＷＥＢブラウザからのＨＴＴＰによるＷＥＢアクセスを受信すると共に、ユーザ端末１０のＷＥＢブラウザへＨＴＴＰを送信するＨＴＴＰ処理部４１を有している。また、ユーザのルータ１４に格納されたデバイス番号３３及び暗号鍵３４を基に、ユーザ認証を行う認証処理部４２を有している。また、ユーザのルータ１４に格納されたデバイス番号３３及び暗号鍵３４や、デバイス番号３３に設定されユーザが手入力するＰＷなどの情報を管理するユーザＤＢ４３を有している。
【００３２】
図５は、本発明のユーザ認証システムにおけるアプリケーションサーバのシステム構成例を示す図である。アプリケーションサーバ１８は、ユーザ端末１０のＷＥＢブラウザからのＨＴＴＰによるＷＥＢアクセスを受信すると共に、ユーザ端末１０のＷＥＢブラウザへＨＴＴＰを送信するＨＴＴＰ処理部５１を有している。また、認証サーバ１７へ認証を依頼すると共に、認証サーバ１７からの認証結果を処理する認証処理部５２を有している。また、認証サーバ１７がユーザに付与するＩＤなどの情報を管理するユーザＤＢ５３を有している。
【００３３】
図６は、認証サーバ１７のユーザＤＢの構成例を示す図である。認証サーバ１７のユーザＤＢ４３は、デバイス情報テーブル６１と、ＩＤテーブル６２とを有している。デバイス情報テーブル６１は、「デバイス番号」、「暗号鍵」、「ユーザ氏名」の情報などが記録される。ＩＤテーブル６２には、「デバイス番号」、「ＰＷ」、「ＩＤ」の情報などが記録される。
【００３４】
図７は、アプリケーションサーバ１８のユーザＤＢの構成例を示す図である。アプリケーションサーバ１８のユーザＤＢ５３は、ユーザ情報テーブル７１を有している。ユーザ情報テーブル７１には、「ＩＤ」、「ユーザ氏名」の情報などが含まれる。
【００３５】
以上、説明したシステム構成の基で行われる本発明による認証処理の手順について、図１４に示すシーケンス図を参照して説明する。
【００３６】
ユーザが、ユーザ端末１０から、インターネット１６上に設置されたアプリケーションサーバ１８におけるユーザ認証が必要となるＷＥＢページへアクセスすると（ステップＳ１０１）、アプリケーションサーバ１８の認証処理部５２がユーザのアクセスを検出し、認証要求処理を開始する（ステップＳ１０２）。
【００３７】
認証処理部５２は、送信先アドレスとしてアクセスしてきたユーザの「ユーザ端末１０のアドレス」と、再接続先アドレスとして認証サーバ１７の「認証開始用ページのアドレス」と、「戻り先アドレスとしてアプリケーションサーバ１８のアドレス」を設定したＨＴＴＰレスポンスを生成して、ＨＴＴＰ処理部５１へ渡す。ＨＴＴＰ処理部５１は、認証処理部５２より渡されたＨＴＴＰレスポンスを送信先アドレス（ユーザ端末１０のアドレス）へ送信する（ステップＳ１０３）。
【００３８】
図８に、認証処理部５２により生成される認証開始要求のＨＴＴＰレスポンスの例を示す。図８に示すように、アプリケーションサーバ１８から送信されるＨＴＴＰレスポンスは、「送信先アドレス（ユーザ端末）８１」、「再接続先アドレス（認証サーバ認証開始用ページ）８２」、「戻り先アドレス（アプリケーションサーバ）８３」から構成される。
【００３９】
ユーザ端末１０のＷＥＢブラウザは、アプリケーションサーバ１８より受信したＨＴＴＰレスポンス内で再接続先アドレスとして設定された認証サーバ１７の認証開始用ページへ、ＨＴＴＰリクエストを生成して、認証サーバ１７へ送信する（ステップＳ１０４）。
【００４０】
認証サーバ１７は、ＨＴＴＰ処理部４１が、ユーザ端末１０のＷＥＢブラウザからの認証サーバ１７の認証開始用ページへのＨＴＴＰリクエストを受信した際、認証処理部４２が、チャレンジ＆レスポンス方式によりユーザを認証するためのチャレンジ値を生成する。
【００４１】
さらに、認証処理部４２は、送信先アドレスとしてアクセスしてきたユーザの使用するユーザ端末１０のアドレスと、データとして生成したチャレンジ値とを設定し、ＰＷ送信先アドレスとして認証サーバ１７の認証実施用ページのアドレスを設定し、また、ユーザのＷＥＢブラウザへＰＷ入力画面を提示するためのＨＴＭＬデータを格納したＨＴＴＰレスポンスを生成して、ＨＴＴＰ処理部４１へ渡す。ＨＴＴＰ処理部４１は、認証処理部４２より渡されたＨＴＴＰレスポンスを送信先アドレス（ユーザ端末１０）へ送信する（ステップＳ１０５、Ｓ１０６）。
【００４２】
図９に、認証サーバ１７内の認証処理部４２により生成される「認証実施要求ＨＴＴＰレスポンス」の例を示す。図９に示すように、ＨＴＴＰレスポンスは、「送信先アドレス（ユーザ端末）９１」、「データ＃１（チャレンジ値）９２」、「データ＃２（ＰＷ入力画面提示用ＨＴＭＬデータ）９３」、「ＰＷ送信先アドレス（認証サーバ認証実施用ページ）９４」で構成される。
【００４３】
ユーザ端末１０のＷＥＢブラウザでは、認証サーバ１７より受信したＨＴＴＰレスポンス内に格納された「データ＃２（ＰＷ入力画面提示用ＨＴＭＬデータ）９３」のＨＴＭＬデータを解釈し、ユーザ端末１０にＰＷ入力画面を表示する。ユーザは、ルータ１４に格納されたデバイス番号毎に事前に設定された複数のＰＷの中から、１つのＰＷを選択してＰＷ入力両面へ入力し、ＰＷ入力両面に表示される確認ボタンを押下する（ステップＳ１０７）。
【００４４】
ＰＷが入力されると、ユーザ端末１０のＷＥＢブラウザは、送信先アドレスとして認証サーバ１７から通知された認証サーバ１７の認証実施用ページのアドレスと、データとして認証サーバ１７から通知されたチャレンジ値及びユーザが入力したＰＷとを設定したＨＴＴＰリクエストを生成して、送信先アドレスへ送信する（ステップＳ１０８）。
【００４５】
図１０に、ユーザ端末１０で生成される認証実施要求のＨＴＴＰリクエストの例を示す。図１０に示すように、ＨＴＴＰリクエストは、「送信先アドレス（認証サーバ認証実施用ページ）１０１」、「データ＃１（チャレンジ値）１０２」、「データ＃２（ＰＷ）１０３」のデータで構成される。
【００４６】
ユーザ網１３とインターネット１６の境界に設置されたルータ１４のＨＴＴＰ転送部３１は、ユーザ端末１０のＷＥＢブラウザからのＨＴＴＰリクエストを受信すると、送信先のアドレスが、事前に設定した認証サーバ１７のアドレスであるか（ステップＳ１０９）、さらに送信先のページが事前に設定した認証サーバ１７の認証実施用のページであるかをチェックする（ステップＳ１１０）。なお、認証サーバ１７において認証実施用のページを専用のサーバに設置することにより、認証実施用のページであるか否かのチェックを省略することができる。
なおまた、認証サーバ１７において、認証実施用のページを、認証開始用のページと同一のサーバに設置しつつ専用のポート番号において待ち受けすることもできる。これにより、ルータ１４が、認証実施用のポート番号であるかをチェックすることで、サーバ１７のアドレスであるか否か、及び認証サーバ１７の認証実施用のページであるか否かのチェックを省略することができる。
【００４７】
送信先アドレスが認証サーバ１７の認証実施用のページであった場合、認証制御部３２は、ＨＴＴＰリクエストから抽出したチャレンジ値と、ルータ１４内部に格納したデバイス番号及び暗号鍵から、レスポンス値を計算する（ステップＳ１１１）。
【００４８】
さらに、送信先アドレスとして認証サーバ１７から通知された認証サーバ１７の認証実施用ページのアドレスと、データとして認証サーバ１７から通知されたチャレンジ値、ユーザが入力したＰＷ、計算したレスポンス値、及びルータ１４内部から抽出したデバイス番号とを設定したＨＴＴＰリクエストを生成して、認証サーバ１７の送信先アドレスへ送信する（ステップＳ１１２）。
【００４９】
図１１に、ルータ１４の認証制御部３２により生成される認証実施要求のＨＴＴＰリクエストの例を示す。図１１に示すように、ＨＴＴＰリクエストは、「送信先アドレス（認証サーバ認証実施用ページ）１１１」、「データ＃１（チャレンジ値）１１２」、「データ＃２（ＰＷ）１１３」、「データ＃３（レスポンス値）１１４」、「データ＃４（デバイス番号）１１５」のデータから構成される。
【００５０】
認証サーバ１７は、ＨＴＴＰ処理部４１が、ルータ１４を経由して、ユーザ端末１０のＷＥＢブラウザからの認証サーバ１７の認証実施用ページへのＨＴＴＰリクエストを受信した際、認証処理部４２が、ＨＴＴＰリクエスト（ルータで生成されたＨＴＴＰリクエスト）からチャレンジ値、レスポンス値、デバイス番号、ユーザが入力したＰＷを抽出する。
【００５１】
次に、認証処理部４２は、デバイス番号をキーとしてユーザＤＢ４３のデバイス情報テーブル６１から暗号鍵を抽出し、チャレンジ値、デバイス番号及び暗号鍵からレスポンス値を計算する。そして、受信したＨＴＴＰリクエスト内のレスポンス値と計算したレスポンス値を照合し、両者が一致していた場合、ユーザが認証されたものとする（ステップＳ１１３）。
【００５２】
さらに、受信したＨＴＴＰリクエスト内のデバイス番号とＰＷをキーとして、ユーザＤＢ４３のＩＤテーブルから、同一のデバイス番号を持ち異なるＰＷを有するレコードの中から一致するレコードを探す（ステップＳ１１４）。一致するレコードが存在した場合、レコードに格納されたＩＤを抽出する。さらに、送信先として、アクセスしてきたユーザの使用するルータ１４のアドレスと、再接続先として、ユーザのＷＥＢブラウザを介してアプリケーションサーバ１８から受信したＨＴＴＰリクエストに格納された戻り先アドレスと、データとして抽出したＩＤを設定したＨＴＴＰレスポンスを生成して、ＨＴＴＰ処理部４１へ渡す。
【００５３】
ＨＴＴＰ処理部４１は、認証処理部４２より渡されたＨＴＴＰレスポンスを送信先アドレス（ユーザ端末１０）へ送信する（ステップＳ１１６）。
【００５４】
図１２に、認証サーバ１７の認証処理部４２により生成される認証実施結果のＨＴＴＰレスポンスの例を示す。図１２に示すように、ＨＴＴＰレスポンスは、「送信先アドレス（ユーザのルータ）１２１」、「再接続先アドレス（アプリケーションサーバ）１２２」、「データ＃１（ＩＤ）」のデータで構成される。
【００５５】
ユーザ網１３とインターネット１６の境界に設置されたルータ１４のＨＴＴＰ転送部３１は、認証サーバ１７で認証後に抽出されるＩＤを格納したＨＴＴＰレスポンスを受信すると、認証要求時にアクセスしてきたユーザの使用するユーザ端末１０へ転送する。
【００５６】
ユーザ端末１０のＷＥＢブラウザは、ルータ１４から転送されたＨＴＴＰレスポンスを受信すると、送信先アドレスとして、ＨＴＴＰレスポンスに格納された再接続先であるアプリケーションサーバ１８の戻り先アドレスと、データとして、ＨＴＴＰレスポンスから抽出したＩＤとを設定した「ＨＴＴＰリクエスト」を生成して、送信先アドレスへ送信する（ステップＳ１１７）。
【００５７】
図１３に、ＷＥＢブラウザで生成される「ＨＴＴＰリクエスト」の例を示す。図１３に示すように、ＨＴＴＰリクエストは、「送信先アドレス（アプリケーションサーバ）１３１」、「データ＃１（ＩＤ）１３２」のデータから構成される。
【００５８】
アプリケーションサーバ１８は、ＨＴＴＰ処理部５１が、ユーザ端末１０のＷＥＢブラウザからの戻り先アドレスへのＨＴＴＰリクエストを受信した際、認証処理部５２が、ＨＴＴＰリクエストのデータからＩＤを抽出する。さらに、認証処理部５２は、抽出したＩＤを、ユーザＤＢ５３のユーザ情報テーブル内に格納したＩＤと照合し、ユーザを認証する（ステップＳ１１８）。
【００５９】
［第２の実施の形態］
第１の実施の形態例においては、ユーザが入力するＰＷ毎に、認証サーバ１７がアプリケーションサーバ１８へ異なるＩＤを送出することができるが、同一のルータを使用しているユーザが異なるＰＷを入力しても、アプリケーションサーバ１８は、ユーザが同一のルータを使用していることを識別することもできる。
【００６０】
認証サーバ１７がアプリケーションサーバ１８へ通知するＩＤについて、ユーザがどのルータを使用しているかを示す部分と、ユーザがどのＰＷを入力したかを示す部分とを明示的に分離することにより、アプリケーションサーバ１８が、同一のルータを用いてアクセスされたことを識別可能とする。
【００６１】
図１５に、認証サーバ１７がアプリケーションサーバ１８へ通知するＩＤの例を示す。図１５に示す例では、認証サーバ１７が通知するＩＤは、「ルータ対応部分１５１」と「ＰＷ対応部分１５２」から構成される。「ルータ対応部分１５１」はグループ単位の識別に対応する情報であり、「ＰＷ対応部分１５２」はユーザの個人識別に対応する情報である。
【００６２】
［第３の実施の形態］
第１の実施の形態例の仕組みにおいては、ルータ１４の認証制御部３２が計算したレスポンス値を認証サーバ１７へ送信する際、データ部にＰＷをそのまま格納して送信しているが、ＰＷも計算対象としてレスポンス値を計算することにより、ＰＷをそのまま送信せずセキュリティを高めることもできる。
【００６３】
この方法による処理の流れについて、図１６のシーケンス図に示す。図１６に示すシーケンス図においては、図１４に示す第１の実施の形態におけるシーケンス図と比較して、破線で囲んだ部分（ステップＳ１１１ａ〜ステップＳ１１５ａ）の処理のみが変更され、他は、図１４の場合と同様である。
【００６４】
この方法では、ルータ１４でレスポンス値を計算する際、認証制御部３２は、ＨＴＴＰリクエストから抽出したチャレンジ値と、ルータ１４内部に格納したデバイス番号及び暗号鍵と、ユーザが入力したＰＷから、レスポンス値を計算し（ステップＳ１１１ａ）、ＨＴＴＰリクエストを生成して、ＨＴＴＰ転送部３１が、認証サーバ１７の認証実施用ページへＨＴＴＰリクエストを送信する（ステップＳ１１２ａ）。
【００６５】
認証サーバ１７の認証処理部４２は、ＨＴＴＰリクエストからチャレンジ値、レスポンス値、デバイス番号を抽出する。次に、認証処理部４２は、デバイス番号をキーとして、ユーザＤＢ４３のデバイス情報テーブル６１からデバイス番号がマッチする１つの暗号鍵を、ＩＤテーブルからデバイス番号がマッチする複数のＰＷを抽出する。さらに、チャレンジ値、デバイス番号、暗号鍵及び各ＰＷからレスポンス値を計算する（ステップＳ１１３ａ）。そして、受信したＨＴＴＰリクエスト内のレスポンス値と計算したレスポンス値を照合する（ステップＳ１１４ａ）。そして、一致するＰＷが存在していた場合、ユーザが認証されたものとし、ＩＤテーブルから一致したＰＷに対応したＩＤを抽出し、ユーザ端末１０に送信する（ステップＳ１１５ａ）。
【００６６】
［第４の実施の形態］
第１の実施の形態例の仕組みにおいては、ルータによるユーザ認証とＰＷによるユーザ認証を同一のシーケンスで実施しているが、シーケンスを分離して、ルータによるユーザ認証（グループ単位の認証）を行った後に、ＰＷによるユーザ認証（個人認証）を行うことにより、ユーザが本発明に対応したルータ１４を使用していない場合にも、認証サーバ１７がＰＷ入力画面を生成してしまう負荷を低減させることもできる。
【００６７】
図１７は、第４の実施の形態例における処理の流れを示すシーケンス図であり、以下、図１７を参照して説明する。なお、図１７に示す処理ステップＳ２０１からステップＳ２１４までの処理が、図１４に示す第１の実施の形態例における処理ステップＳ１０５からステップＳ１１５の処理に置き換わるものである。
【００６８】
第１の実施の形態例では、認証サーバ１７からユーザ端末１０へ認証要求を送信する際に、チャレンジ値に加えてＰＷ入力画面を提示するためのＨＴＭＬデータを送信していたが、本実施の形態例ではチャレンジ値のみを送信する（ステップＳ２０１、Ｓ２０２）。ユーザ端末１０はＨＴＴＰリクエストを生成して、送信先アドレスへ送信する（ステップＳ２０３）。ルータは、ユーザ端末１０からのＨＴＴＰリクエストを受信すると、送信先のアドレスが、事前に設定した認証サーバ１７のアドレスであるか（ステップＳ２０４）、さらに送信先のページが事前に設定した認証サーバ１７の認証実施用のページであるかをチェックする（ステップＳ２０５）。
【００６９】
そして、第１の実施の形態例と同様に、ルータ１４が内部に格納されたデバイス番号と暗号鍵を用いて、レスポンス値を計算し（ステップＳ２０６）、認証サーバ１７へ送信する（ステップＳ２０７）。認証サーバ１７は、事前にユーザＤＢ４３に登録したデバイス番号等からレスポンス値を計算し、受信したレスポンス値と照合する（ステップＳ２０８）。
【００７０】
正しく照合された場合、認証サーバ１７の認証処理部４２は、送信先アドレスとしてアクセスしてきたユーザのユーザ端末１０のアドレスを設定し、ＰＷ送信先アドレスとして認証サーバ１７の認証実施用ページのアドレスを設定し、ユーザ端末１０のＷＥＢブラウザへＰＷ入力両面を提示するためのＨＴＭＬデータを格納したＨＴＴＰレスポンスを生成して、ＨＴＴＰ処理部４１へ渡す。ＨＴＴＰ処理部４１は、認証処理部４２より渡されたＨＴＴＰレスポンスを送信先アドレス（ユーザ端末１０）へ送信する（ステップＳ２０９、Ｓ２１０）。
【００７１】
ユーザ端末１０のＷＥＢブラウザは、認証サーバ１７より受信したＨＴＴＰレスポンス内に格納されたＨＴＭＬデータを解釈し、ユーザ端末１０にＰＷ入力画面を表示する。ユーザは、ルータ１４に格納されたデバイス番号毎に事前に設定された複数のＰＷの中から、１つのＰＷを選択してＰＷ入力画面へ入力し、ＰＷ入力画面に表示される確認ボタンを押下する（ステップＳ２１１）。すると、ユーザ端末１０のＷＥＢブラウザは、送信先アドレスとして認証サーバ１７から通知された認証サーバ１７の認証実施用ページのアドレスと、データとしてユーザが入力したＰＷとを設定したＨＴＴＰリクエストを生成して、送信先アドレス（認証サーバ１７）へ送信する（ステップＳ２１２）。
【００７２】
認証サーバ１７のＨＴＴＰ処理部４１が、ＷＥＢブラウザからの認証サーバ１７の認証実施用ページへのＨＴＴＰリクエストを受信した際、認証処理部４２が、ＨＴＴＰリクエストからユーザが入力したＰＷを抽出する。
【００７３】
次に、認証処理部４２は、ユーザＤＢ４３のデバイス情報テーブル６１からＰＷを抽出し、受信したＨＴＴＰリクエスト内のＰＷと、ルータ１４内のデバイス番号による認証時に受信したデバイス番号をキーとして、ユーザＤＢ４３のＩＤテーブルから、同一のデバイス番号を持ち異なるＰＷを有するレコードの中から一致するレコードを探す（ステップＳ２１３）。
【００７４】
一致するレコードが存在した場合、レコードに格納されたＩＤを抽出する。さらに、送信先として、アクセスしてきたユーザの使用するルータ１４のアドレスと、再接続先として、ユーザのＷＥＢブラウザを介してアプリケージョンサーバから受信したＨＴＴＰリクエストに格納された戻り先アドレスと、データとして抽出したＩＤを設定したＨＴＴＰレスポンスを生成して、ＨＴＴＰ処理部４１へ渡す。ＨＴＴＰ処理部４１は、認証処理部４２より渡されたＨＴＴＰレスポンスを送信先アドレスへ送信する（ステップＳ２１４）。
【００７５】
以上のような処理手順により、最初にグループ単位での認証を行い、その後にＰＷによるユーザの個々の認証が可能となる。
【００７６】
［第５の実施の形態］
第１の実施の形態例では、ルータ１４内にデバイス番号と暗号鍵を格納していたが、ハードウェアキー（例えば、ＩＣカードなど）内にデバイス番号と暗号鍵を格納し、ルータ１４及びユーザ端末１０でハードウェアキーを着脱可能とすることもできる。
【００７７】
この場合、ルータ１４は、ハードウェアキーが装着されていた場合のみ、ＨＴＴＰ転送部３１が受信したＨＴＴＰリクエストの送信先アドレスのチェックを行い、認証サーバ１７との間の認証処理を行う。これにより、異なるルータ１４においても同一のデバイス番号等を送出し、認証サーバ１７がアプリケーションサーバ１８へ同一のＩＤを送出することができる。また、ルータ１４が送出するデバイス番号等をユーザ端末１０から送出し、認証サーバ１７がアプリケーションサーバ１８へ同一のＩＤを送出することができる。
【００７８】
図１８は、ルータ１４にハードウェアキーを装着した際に、ルータ１４がレスポンス値を計算して認証サーバ１７へ通知する流れについて示すシーケンス図である。なお、図１８に示すシーケンス図は、図１４に示す第１の実施の形態のシーケンス図と比較して、処理ステップＳ３０１からステップＳ３０４までの処理が、図１４に示す第１の実施の形態例における処理ステップＳ１０９からステップＳ１１１の処理に置き換わるものである。すなわち、ハードウェアキーが装着されていた場合のみ（ステップＳ３０１）、ＨＴＴＰ転送部３１が受信したＨＴＴＰリクエストの送信先アドレスのチェックを行い、認証サーバ１７との間の認証処理を行う（ステップＳ３０２、Ｓ３０３、Ｓ３０４）。
【００７９】
図１９は、ユーザ端末１０にハードウェアキーを装着する場合の、ユーザ端末１０のシステム構成例を示す図である。図１９に示すユーザ端末１０は、ＷＥＢブラウザ１９２からのＨＴＴＰリクエストを受信し、送信先アドレス及びページなどに基づき転送処理を行うためのＨＴＴＰ転送部１９１を有している。また、認証サーバ１７がユーザ端末１０を特定し認証するための情報である「デバイス番号１９４」と「暗号鍵１９５」を格納する「ハードウェアキー１９６」を有している。また、認証制御部１９３は、デバイス番号１９４と暗号鍵１９５を用いて、認証サーバ１７との間で認証を行うための処理部である。
【００８０】
また、図２０は、ユーザ端末１０がレスポンス値を計算して認証サーバ１７へ通知する処理の流れを示すシーケンス図である。なお、図２０に示すシーケンス図は、図１４に示す第１の実施の形態のシーケンス図と比較して、処理ステップＳ４０１からステップＳ４０７までの処理が、図１４に示す第１の実施の形態例における処理ステップＳ１０７からステップＳ１１２の処理に置き換わるものである。
【００８１】
すなわち、ユーザ端末１０ではＰＷを入力して（ステップＳ４０１）、ＨＴＴＰリクエストを行う（ステップＳ４０２）。ハードウェアキーが装着されていた場合のみ（ステップＳ４０３）、ＨＴＴＰリクエストの送信先アドレス（認証サーバ１７）のチェックを行い（ステップＳ４０４）、また認証実施用のページかどうかをチェックし（ステップＳ４０５）、ハードウェアキー内のデバイス番号、暗号鍵、チャレンジ値よりレスポンス値を計算し（ステップＳ４０６）、「チャレンジ値＋レスポンス値＋デバイス番号＋ＰＷ」を認証サーバ１７に送信する（ステップＳ４０７）。
【００８２】
［第６の実施の形態］
第５の実施の形態例において、ユーザが複数のハードウェアキーを使用する場合、ユーザ端末１０とルータ１４の双方にハードウェアキーを装着した際に、ルータ１４に装着されたハードウェアキーではなく、ユーザ端末１０に装着されたハードウェアキー内に格納されたデバイス番号と暗号鍵により、認証サーバ１７がユーザ認証を行うようにする。
【００８３】
図２１は、ユーザ端末１０とルータ１４の双方にハードウェアキーを装着した場合の処理の流れを示すシーケンス図である。以下、図２１を参照してその処理の流れについて説明する。なお、図２１に示すシーケンス図は、図２０に示すシーケンス図と比較して、ステップＳ４０３からステップＳ４０６までは図２０に示すシーケンスと同様であり、ステップＳ５０１からステップＳ５０５までのルータ１４における処理が追加されたものである。
【００８４】
ユーザの認証にあたり、ユーザ端末１０のＨＴＴＰ転送部１９１は、ＷＥＢブラウザからのＨＴＴＰリクエストを受信すると、送信先のアドレスが、事前に設定した認証サーバ１７のアドレスであるか、さらに送信先のページが事前に設定した認証サーバ１７の認証実施用のページであるかをチェックする（ステップＳ４０３、Ｓ４０４、Ｓ４０５）。
【００８５】
送信先アドレスが認証サーバ１７の認証実施用のページであった場合、ユーザ端末１０内の認証制御部１９３は、ＨＴＴＰリクエストから抽出したチャレンジ値と、ハードウェアキー内部に格納したデバイス番号及び暗号鍵から、レスポンス値を計算する（ステップＳ４０６）。
【００８６】
さらに、送信先アドレスとして認証サーバ１７から通知された認証サーバ１７の認証実施用ページのアドレスと、データとして認証サーバ１７から通知されたチャレンジ値、ユーザが入力したＰＷ、計算したレスポンス値及びハードウェアキー内部から抽出したデバイス番号とを設定し、さらにＨＴＴＰヘッダ部分に、ユーザ端末１０に装着されたハードウェアキーを使用して認証することを示すフラグを設定したＨＴＴＰリクエストを生成して、送信先アドレスへ送信する（ステップＳ５０１）。
【００８７】
ユーザ網とインターネットの境界に設置されたルータ１４のＨＴＴＰ転送部３１は、ユーザのＷＥＢブラウザからのＨＴＴＰリクエストを受信すると、送信先のアドレスが、事前に設定した認証サーバ１７のアドレスであるか（ステップＳ５０２）、さらに送信先のページが事前に設定した認証サーバ１７の認証実施用のページであるかをチェックする（ステップＳ５０３）。
【００８８】
送信先アドレスが、事前に設定した認証サーバ１７の認証実施用のページであった場合、さらにＨＴＴＰ転送部が、ＨＴＴＰヘッダに端末でレスポンス値を生成した旨を示すフラグが設定されているかをチェックする（ステップＳ５０４）。
【００８９】
フラグが設定されている場合は、特別な動作を行わず認証サーバ１７へＨＴＴＰリクエストを送信する。フラグが設定されていない場合は認証制御部３２が、ＨＴＴＰリクエスト内のチャレンジ値などを用いてレスポンスを生成後、認証サーバ１７へＨＴＴＰリクエストを送信する（ステップＳ５０５）。
【００９０】
以上説明したように、本発明のユーザ認証システムにおいては、高いセキュリティ強度を保ちつつ、グループ単位の認証と個人単位の認証を同時に実施することができる点で、ユーザの利便性に効果がある。また、高いセキュリティ強度を保ちつつ、高いコストのハードウェアキーを配布することなくＰＷの配布のみで、個人を認証することができる点で、ユーザのコスト削減に効果がある。また、ハードウェアキーが装着不可能なユーザ端末も、ブラウザさえ有していれば、ルータ内のＩＤを使用して認証が可能となる。また、高いセキュリティ強度を保ちつつ、同一の認証情報を利用したグループ単位の認証を、様々な場所で実施可能である点で、ユーザの利便性に効果がある。
【００９１】
また、上述したユーザ端末１０、ルータ１４、認証サーバ１７、およびアプリケーションサーバ１８は内部にコンピュータシステムを有している。
【００９２】
そして、上述した処理に関する一連の処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００９３】
すなわち、ユーザ端末１０、ルータ１４、認証サーバ１７、およびアプリケーションサーバ１８における各処理は、ＣＰＵ等の中央演算処理装置がＲＯＭやＲＡＭ等の主記憶装置に上記プログラムを読み出して、情報の加工、演算処理を実行することにより、実現されるものである。
【００９４】
ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【００９５】
以上、本発明の実施の形態について説明したが、本発明のユーザ認証システムは、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。
【産業上の利用可能性】
【００９６】
本発明においては、高いセキュリティ強度を保ちつつ、グループ単位の認証と個人単位の認証を同時に実施することができる効果を奏するので、本発明は、ユーザ認証システム、及びユーザ認証方法等に有用である。
【図面の簡単な説明】
【００９７】
【図１】本発明によるユーザ認証システムのシステム全体の構成例を示す図である。
【図２】本発明のユーザ認証システムにおけるユーザ端末のシステム構成例を示す図である。
【図３】本発明のユーザ認証システムにおけるルータのシステム構成例を示す図である。
【図４】本発明のユーザ認証システムにおける認証サーバのシステム構成例を示す図である。
【図５】本発明のユーザ認証システムにおけるアプリケーションサーバのシステム構成例を示す図である。
【図６】認証サーバのユーザＤＢの構成例を示す図である。
【図７】アプリケーションサーバのユーザＤＢの構成例を示す図である。
【図８】認証開始要求のＨＴＴＰレスポンスの例を示す図である。
【図９】認証実施要求のＨＴＴＰレスポンスの例を示す図である。
【図１０】認証実施要求のＨＴＴＰリクエストの例を示す図である。
【図１１】レスポンス値が格納された認証実施要求のＨＴＴＰリクエストの例を示す図である。
【図１２】認証実施結果のＨＴＴＰレスポンスの例を示す図である。
【図１３】認証実施結果のＨＴＴＰリクエストの例を示す図である。
【図１４】第１の実施の形態例における処理の流れを示すシーケンス図である。
【図１５】認証サーバが通知するＩＤの例を示す図である。
【図１６】第３の実施の形態例における処理の流れを示すシーケンス図である。
【図１７】第４の実施の形態例における処理の流れを示すシーケンス図である。
【図１８】第５の実施の形態例におけるルータにハードウェアキーを装着した場合の処理の流れを示すシーケンス図である。
【図１９】第５の実施の形態例におけるハードウェアキーを装着する場合のユーザ端末の構成例を示す図である。
【図２０】第５の実施の形態例におけるユーザ端末にハードウェアキーを装着した場合の処理の流れを示すシーケンス図である。
【図２１】第６の実施の形態例における処理の流れを示すシーケンス図である。
【符号の説明】
【００９８】
１０、１１、１２  ユーザ端末
１３  ユーザ網
１４  ルータ
１５  ユーザ回線
１６  インターネット
１７  認証サーバ
１８  アプリケーションサーバ
２１  ＷＥＢブラウザ
３１  ルータのＨＴＴＰ転送部
３２  ルータの認証制御部
３３  デバイス番号
３４  暗号鍵
４１  認証サーバのＨＴＴＰ処理部
４２  認証サーバの認証処理部
４３  認証サーバのユーザＤＢ
５１  アプリケーションサーバのＨＴＴＰ処理部
５２  アプリケーションサーバの認証処理部
５３  アプリケーションサーバのユーザＤＢ
６１  デバイス情報テーブル
６２  ＩＤテーブル
７１  ユーザ情報テーブル
１９１  ユーザ端末のＨＴＴＰ転送部
１９２  ユーザ端末のＷＥＢブラウザ
１９３  ユーザ端末の認証制御部
１９４  デバイス番号
１９５  暗号鍵
【図１】
2005309590.tif 000003
【図２】
2005309590.tif 000004
【図３】
2005309590.tif 000005
【図４】
2005309590.tif 000006
【図５】
2005309590.tif 000007
【図６】
2005309590.tif 000008
【図７】
2005309590.tif 000009
【図８】
2005309590.tif 000010
【図９】
2005309590.tif 000011
【図１０】
2005309590.tif 000012
【図１１】
2005309590.tif 000013
【図１２】
2005309590.tif 000014
【図１３】
2005309590.tif 000015
【図１４】
2005309590.tif 000016
【図１５】
2005309590.tif 000017
【図１６】
2005309590.tif 000018
【図１７】
2005309590.tif 000019
【図１８】
2005309590.tif 000020
【図１９】
2005309590.tif 000021
【図２０】
2005309590.tif 000022
【図２１】
2005309590.tif 000023