(57)【特許請求の範囲】
【請求項１】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証システム。
【請求項２】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、予め記憶された本人確認情報を使用して端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証システム。
【請求項３】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、サービス要求内容と乱数情報と端末使用者認証判定情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証判定情報を取得し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定が不要と判定された場合、及び、前記必要性判定が要と判定され、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証システム。
【請求項４】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定の結果を端末使用者認証要求フラグとして取得し、サービス要求内容と乱数情報と端末使用者認証要求フラグを暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証要求フラグを取得し、端末使用者認証要求フラグが不要である場合、及び、非接触ＩＣチップから読み込んだ端末使用者認証要求フラグが要であり、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証システム。
【請求項５】
請求項３及び請求項４のいずれかに記載の認証システムにおいて、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれるログイン判定フラグであり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログイン以外が要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログインが要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証システム。
【請求項６】
請求項３及び請求項４のいずれかに記載の認証システムにおいて、
前記端末使用者認証判定情報は、認証情報の生成の際に引数として使用する乱数情報を前記認証サーバが生成した時刻であり、
前記端末使用者認証必要性判定手段は、処理中の認証要求の直前に携帯情報端末が認証情報を生成した際に、端末使用者認証判定情報として取得した乱数生成時刻と、端末使用者認証判定情報として取得した乱数生成時刻との時間差を算出し、算出した時間差が、予め認証システムに定められた時間差未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、算出した時間差が、予め認証システムに定められた時間差以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証システム。
【請求項７】
請求項３及び請求項４のいずれかに記載の認証システムにおいて、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額であり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証システム。
【請求項８】
請求項３及び請求項４のいずれかに記載の認証システムにおいて、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額と取引先情報、及び処理中の認証要求以前に利用者が実行したサービス要求内容の履歴情報であり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額より高額であるか、または、低額であるか、及び端末使用者認証判定情報として取得した取引先情報が、端末使用者認証判定情報として取得したサービス要求内容の履歴情報に含まれるか、または、含まれないか、という条件判定の組み合わせにより、端末使用者認証必要性判定手段の実行結果を、要か不要に判定することを特徴とする認証システム。
【請求項９】
請求項２〜８のいずれかに記載の認証システムにおいて、
前記認証クライアントが実行する端末使用者認証手段は、利用者に本人確認情報の入力を求め、入力された本人確認情報が予め携帯情報端末に記憶された本人確認情報と一致する場合に、端末使用者認証を成功と判定することを特徴とする認証システム。
【請求項１０】
請求項２〜９いずれかに記載の認証システムにおいて、
前記本人確認情報は、暗証番号であることを特徴とする認証システム。
【請求項１１】
請求項２〜９いずれかに記載の認証システムにおいて、
前記本人確認情報は、位置情報であることを特徴とする認証システム。
【請求項１２】
請求項２〜９いずれかに記載の認証システムにおいて、
前記本人確認情報は、利用者の生体情報であることを特徴とする認証システム。
【請求項１３】
請求項１〜１２いずれかに記載の認証システムにおいて、
前記認証情報は、ワンタイムパスワードであることを特徴とする認証システム。
【請求項１４】
請求項１〜１２いずれかに記載の認証システムにおいて、
前記認証情報は、ディジタル署名であることを特徴とする認証システム。
【請求項１５】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信するステップを備えることを特徴とする認証方法。
【請求項１６】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、予め記憶された本人確認情報を使用して端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信するステップを備えることを特徴とする認証方法。
【請求項１７】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、サービス要求内容と乱数情報と端末使用者認証判定情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証判定情報を取得し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定が不要と判定された場合、及び、前記必要性判定が要と判定され、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証方法。
【請求項１８】
オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定の結果を端末使用者認証要求フラグとして取得し、サービス要求内容と乱数情報と端末使用者認証要求フラグを暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証要求フラグを取得し、端末使用者認証要求フラグが不要である場合、及び、非接触ＩＣチップから読み込んだ端末使用者認証要求フラグが要であり、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする認証方法。
【請求項１９】
請求項１７及び請求項１８のいずれかに記載の認証方法において、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれるログイン判定フラグであり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログイン以外が要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログインが要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証方法。
【請求項２０】
請求項１７及び請求項１８のいずれかに記載の認証方法において、
前記端末使用者認証判定情報は、認証情報の生成の際に引数として使用する乱数情報を前記認証サーバが生成した時刻であり、
前記端末使用者認証必要性判定手段は、処理中の認証要求の直前に携帯情報端末が認証情報を生成した際に、端末使用者認証判定情報として取得した乱数生成時刻と、端末使用者認証判定情報として取得した乱数生成時刻との時間差を算出し、算出した時間差が、予め認証システムに定められた時間差未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、算出した時間差が、予め認証システムに定められた時間差以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証方法。
【請求項２１】
請求項１７及び請求項１８のいずれかに記載の認証方法において、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額であり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする認証方法。
【請求項２２】
請求項１７及び請求項１８のいずれかに記載の認証方法において、
前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額と取引先情報、及び処理中の認証要求以前に利用者が実行したサービス要求内容の履歴情報であり、
前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額より高額であるか、または、低額であるか、及び端末使用者認証判定情報として取得した取引先情報が、端末使用者認証判定情報として取得したサービス要求内容の履歴情報に含まれるか、または、含まれないか、という条件判定の組み合わせにより、端末使用者認証必要性判定手段の実行結果を、要か不要に判定することを特徴とする認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、各種のオンラインサービスシステムにおける認証システム及び認証方法に関する。
【背景技術】
【０００２】
従来、オンラインサービスの認証では、ＩＤと固定パスワードによる認証が広く利用されてきた。しかし、固定パスワードによる認証は、ＩＤとパスワードが第三者に盗まれて使用された場合に、不正な利用者によるアクセスかどうかのチェックができず、利用者のなりすましを容易に許してしまうという問題がある。
また、固定パスワードによる認証では、認証に使用するパスワードを定期的に変更することで総当り攻撃を防止しているが、このような頻繁なパスワードの変更が、利用者に大きな負担をかけるという問題がある。
【０００３】
そこで、認証のセキュリティを強化するとともに、利用者のパスワード管理にかかる負担を軽減する方法として、利用者が所有する携帯情報端末を利用する技術が提案されている。
例えば、特許文献１には、オンラインサービスサーバと情報端末と携帯情報端末と携帯情報端末会社メールサーバとがインターネットを介して接続された構成において、情報端末からの認証要求に対し、オンラインサービスサーバが認証要求に対して一定時間かつ一度しか使用することができないワンタイムパスワードを生成し、生成したワンタイムパスワードを記載したメールを作成し、当該メールを携帯情報端末会社メールサーバを介して利用者の携帯情報端末に送信し、利用者が受信したメールに記載されたワンタイムパスワードを従来の固定パスワードに代わって情報端末に入力し、情報端末がオンラインサービスサーバにワンタイムパスワードを送信することで、認証を行う技術が開示されている。
【０００４】
また特許文献２には、オンラインサービスサーバと情報端末がインターネットを介して接続され、さらに、前記オンラインサービスサーバが携帯情報端末と公衆電話回線を介して接続された構成において、情報端末からの認証要求に対し、オンラインサービスサーバが携帯情報端末に電話をかけ、利用者が携帯情報端末で電話を受けて暗証番号等の本人しか知り得ない本人確認情報を携帯情報端末に入力し、携帯情報端末が入力された本人確認情報を公衆電話回線を介してオンラインサービスサーバに送信することで、認証を行う技術が開示されている。
【０００５】
これら従来技術によると、予めメールアドレスや電話番号が登録された携帯情報端末を所有する利用者しか認証に成功しない仕組みを構築することができるため、従来の固定パスワードによる認証と比較し、認証のセキュリティを強化することができる。
さらに、認証システムの利用者は、パスワードを覚えたり定期的に変更したりする手間なく、認証システムを利用することができる。
【０００６】
【特許文献１】特開2005-209083号
【特許文献２】特開2006-33780号
【非特許文献１】三井住友銀行 インターネットバンキングの暗証レベルを変更のヘルプ（http://www.smbc.co.jp/kojin/direct/ib/help/help_anshouhenko.html#02)
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来技術にあっては以下の問題がある。
第一に、携帯情報端末の電波の受信状況によっては、認証システムが利用できない点である。従来技術では、地下や建物の中など携帯情報端末の電波が届きにくい場所では、携帯情報端末での認証情報の取得に遅延が生じたり、取得に失敗する可能性がある。
第二に、利用者の端末の操作負担が大きく、短時間に複数回の認証を実行することが難しい点である。従来技術では、利用者は、認証の度に毎回携帯情報端末を操作する必要がある。例えば、特許文献１記載の従来技術では、認証の度に毎回携帯情報端末のメーラを操作し、受信したメールを読まなければならない。また、特許文献２記載の従来技術では、認証の度に毎回電話を受けなければならない。さらに、特許文献１の場合は、利用者は携帯情報端末を見ながら、情報端末を操作してワンタイムパスワードを入力しなければならず、これも利用者の端末操作負担を大きくしている。
【０００８】
近年、インターネットバンキングなど高度なセキュリティが要求されるオンラインサービスサイトの中には、口座振込みや取り扱い上限金額の変更などの重要なサービスを提供する際に、オンラインサービスサイトへのログインで使用したパスワードとは別に、トランザクションごとのパスワード認証を求めるものがある（非特許文献１参照）。
このようなトランザクションごとに認証を要求するオンラインサービスサイトのセキュリティを強化する際に、従来技術では端末の操作に時間がかかるため、オンラインサービスの利便性が大きく損なわれる可能性がある。
【０００９】
本発明の目的は、携帯情報端末の電波の受信状況によらず利用でき、かつ、簡易な操作で短時間に複数回の認証を行うことが可能な認証システム及び認証方法を提供することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、請求項１記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００１１】
請求項２記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、予め記憶された本人確認情報を使用して端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００１２】
請求項３記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、サービス要求内容と乱数情報と端末使用者認証判定情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証判定情報を取得し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定が不要と判定された場合、及び、前記必要性判定が要と判定され、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００１３】
請求項４記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムであって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信する手段と、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定の結果を端末使用者認証要求フラグとして取得し、サービス要求内容と乱数情報と端末使用者認証要求フラグを暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させる手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信する手段と、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証要求フラグを取得し、端末使用者認証要求フラグが不要である場合、及び、非接触ＩＣチップから読み込んだ端末使用者認証要求フラグが要であり、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了する手段と、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信する手段と、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信する手段と、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００１４】
請求項５記載の発明は、請求項３及び請求項４のいずれかに記載の認証システムにおいて、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれるログイン判定フラグであり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログイン以外が要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログインが要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００１５】
請求項６記載の発明は、請求項３及び請求項４のいずれかに記載の認証システムにおいて、前記端末使用者認証判定情報は、認証情報の生成の際に引数として使用する乱数情報を前記認証サーバが生成した時刻であり、前記端末使用者認証必要性判定手段は、処理中の認証要求の直前に携帯情報端末が認証情報を生成した際に、端末使用者認証判定情報として取得した乱数生成時刻と、端末使用者認証判定情報として取得した乱数生成時刻との時間差を算出し、算出した時間差が、予め認証システムに定められた時間差未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、算出した時間差が、予め認証システムに定められた時間差以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００１６】
請求項７記載の発明は、請求項３及び請求項４のいずれかに記載の認証システムにおいて、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額であり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００１７】
請求項８記載の発明は、請求項３及び請求項４のいずれかに記載の認証システムにおいて、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額と取引先情報、及び処理中の認証要求以前に利用者が実行したサービス要求内容の履歴情報であり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額より高額であるか、または、低額であるか、及び端末使用者認証判定情報として取得した取引先情報が、端末使用者認証判定情報として取得したサービス要求内容の履歴情報に含まれるか、または、含まれないか、という条件判定の組み合わせにより、端末使用者認証必要性判定手段の実行結果を、要か不要に判定することを特徴とする。
【００１８】
請求項９記載の発明は、請求項２〜８のいずれかに記載の認証システムにおいて、前記認証クライアントが実行する端末使用者認証手段は、利用者に本人確認情報の入力を求め、入力された本人確認情報が予め携帯情報端末に記憶された本人確認情報と一致する場合に、端末使用者認証を成功と判定することを特徴とする。
請求項１０記載の発明は、請求項２〜９いずれかに記載の認証システムにおいて、前記本人確認情報は、暗証番号であることを特徴とする。
請求項１１記載の発明は、請求項２〜９いずれかに記載の認証システムにおいて、前記本人確認情報は、位置情報であることを特徴とする。
請求項１２記載の発明は、請求項２〜９いずれかに記載の認証システムにおいて、前記本人確認情報は、利用者の生体情報であることを特徴とする。
請求項１３記載の発明は、請求項１〜１２いずれかに記載の認証システムにおいて、前記認証情報は、ワンタイムパスワードであることを特徴とする。
請求項１４記載の発明は、請求項１〜１２いずれかに記載の認証システムにおいて、前記認証情報は、ディジタル署名であることを特徴とする。
【００１９】
請求項１５記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、
オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、
前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末と
で構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信するステップを備えることを特徴とする。
【００２０】
請求項１６記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、
非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードとを生成し、サービス要求内容と乱数情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報を取得し、予め記憶された本人確認情報を使用して端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信するステップを備えることを特徴とする。
【００２１】
請求項１７記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、  非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、サービス要求内容と乱数情報と端末使用者認証判定情報を暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証判定情報を取得し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定が不要と判定された場合、及び、前記必要性判定が要と判定され、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００２２】
請求項１８記載の発明は、オンラインサービスを提供するオンラインサービスサーバと、  非接触ＩＣチップリーダライタを備え、前記オンラインサービスサーバにサービス要求内容を送信してオンラインサービスの提供を受ける情報端末と、オンラインサービスにおけるサービス要求内容の認証に関する処理を行う認証サーバと、前記情報端末でオンラインサービスを受ける利用者が所持し、非接触ＩＣチップ及び認証クライアントとを備え、本人確認情報を予め記憶し、サービス要求内容の認証に使用する認証情報を生成する携帯情報端末とで構成される認証システムにおける認証方法であって、
前記情報端末が、
認証要求と共にサービス要求内容を前記オンラインサービスサーバへ送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信したサービス要求内容を前記認証サーバに送信するステップと、
前記認証サーバが、
乱数情報と認証クライアント起動コードと端末使用者認証判定情報を生成し、端末使用者認証判定情報を使用して、端末使用者認証必要性判定手段を実行することで端末使用者認証の必要性判定を行い、前記必要性判定の結果を端末使用者認証要求フラグとして取得し、サービス要求内容と乱数情報と端末使用者認証要求フラグを暗号化してＭＡＣを付加したＭＡＣ付き暗号情報を生成し、前記ＭＡＣ付き暗号情報を分割して分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂを生成し、認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとをオンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
認証クライアント起動コードと分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを含んだ非接触ＩＣチップリーダライタ制御コードを生成し、非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面を前記情報端末に表示させるステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた前記非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップリーダライタを介して、非接触ＩＣチップに分割済みＭＡＣ付き暗号情報Ａを書き込むとともに、分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを前記携帯情報端末に送信するステップと、
前記携帯情報端末が、
前記情報端末から分割済みＭＡＣ付き暗号情報Ｂをパラメータとして含んだ認証クライアント起動コードを受信して認証クライアントを起動し、非接触ＩＣチップから読み込んだ分割済ＭＡＣ付き暗号情報Ａと分割済ＭＡＣ付き暗号情報Ｂとを結合してＭＡＣ付き暗号情報を生成し、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行ってサービス要求内容と乱数情報と端末使用者認証要求フラグを取得し、端末使用者認証要求フラグが不要である場合、及び、非接触ＩＣチップから読み込んだ端末使用者認証要求フラグが要であり、かつ、予め記憶された本人確認情報を使用して、端末使用者認証手段を実行することで端末使用者認証を行い、前記端末使用者認証が成功と判定された場合に、取得したサービス要求内容と乱数情報を基に認証情報を生成するとともに、サービス要求内容を含むサービス要求内容確認画面を表示し、利用者の携帯情報端末の操作を受けて、生成した認証情報を非接触ＩＣチップに書き込み、認証クライアントを終了するステップと、
前記情報端末が、
利用者による認証クライアント操作画面の操作を受けて、認証クライアント操作画面に組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣリーダライタを介して、非接触ＩＣチップから認証情報を読み込むとともに、認証情報を前記オンラインサービスサーバに送信するステップと、
前記オンラインサービスサーバが、
前記情報端末から受信した認証情報を前記認証サーバに送信するステップと、
前記認証サーバが、
前記オンラインサービスサーバから受信した認証情報を、自身が生成した乱数情報と、認証要求と共に前記情報端末から受信したサービス要求内容とに基づいて認証し、認証結果を前記オンラインサービスサーバに送信することを特徴とする。
【００２３】
請求項１９記載の発明は、請求項１７及び請求項１８のいずれかに記載の認証方法において、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれるログイン判定フラグであり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログイン以外が要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得したログイン判定フラグが、サービス要求内容としてオンラインサービスへのログインが要求されたことを示す値である場合には、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００２４】
請求項２０記載の発明は、請求項１７及び請求項１８のいずれかに記載の認証方法において、前記端末使用者認証判定情報は、認証情報の生成の際に引数として使用する乱数情報を前記認証サーバが生成した時刻であり、前記端末使用者認証必要性判定手段は、処理中の認証要求の直前に携帯情報端末が認証情報を生成した際に、端末使用者認証判定情報として取得した乱数生成時刻と、端末使用者認証判定情報として取得した乱数生成時刻との時間差を算出し、算出した時間差が、予め認証システムに定められた時間差未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、算出した時間差が、予め認証システムに定められた時間差以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００２５】
請求項２１記載の発明は、請求項１７及び請求項１８のいずれかに記載の認証方法において、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額であり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額未満であった場合に、端末使用者認証必要性判定手段の実行結果を不要と判定し、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額以上であった場合に、端末使用者認証必要性判定手段の実行結果を要と判定することを特徴とする。
【００２６】
請求項２２記載の発明は、請求項１７及び請求項１８のいずれかに記載の認証方法において、前記端末使用者認証判定情報は、前記情報端末が認証要求と共に送信したサービス要求内容に含まれる取引金額と取引先情報、及び処理中の認証要求以前に利用者が実行したサービス要求内容の履歴情報であり、前記端末使用者認証必要性判定手段は、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額より高額であるか、または、低額であるか、及び端末使用者認証判定情報として取得した取引先情報が、端末使用者認証判定情報として取得したサービス要求内容の履歴情報に含まれるか、または、含まれないか、という条件判定の組み合わせにより、端末使用者認証必要性判定手段の実行結果を、要か不要に判定することを特徴とする。
【発明の効果】
【００２７】
本発明によれば、利用者は携帯情報端末の電波の受信状況によらず、認証システムを利用することができる。
また、利用者が携帯情報端末を非接触ＩＣリーダライタが読み書き可能な距離の範囲内に置きさえすれば、携帯情報端末を操作することなく情報端末を操作するだけで、ワンタイムパスワードなどの認証情報の生成に必要な認証クライアントの起動と、生成した認証情報の情報端末への入力が可能な認証システムを提供することができる。これにより、利用者は、従来技術より簡易な操作で短時間に複数回の認証を行うことができる。
また、携帯情報端末の端末使用者認証の必要性を判定する仕組みを導入したことにより、正規利用者ではない第三者に認証システムを不正使用される危険性を、利用者に最小限の端末操作負担を要求するだけで防止することができる。
【発明を実施するための最良の形態】
【００２８】
以下、本発明の実施の形態に係る認証システム及び認証方法について、図面を参照して説明する。
図１は、本発明の実施の形態に係る認証システムの全体構成図である。
まず、本認証システムの構成について以下に説明する。
本実施形態の認証システムは、情報端末１０１とオンラインサービスサーバ１０３と認証サーバ１０４とがインターネット等の通信ネットワーク１０５を介して接続された構成をとる。
さらに、情報端末１０１には、非接触ＩＣチップリーダライタ１０６（図及び、以下本文では非接触ＩＣＲ／Ｗと記述する）が接続される。非接触ＩＣＲ／Ｗ１０６は携帯情報端末１０２と非接触通信を行う情報機器である。
情報端末１０１は、少なくとも、オンラインサービスクライアント１０７を備える。
この情報端末１０１は、例えば、オンラインサービスの利用者が所有するパーソナルコンピュータ（ＰＣ）である。
携帯情報端末１０２は、少なくとも、非接触ＩＣチップ１０８と認証クライアント１０９とを備える。携帯情報端末１０２は、例えば、オンラインサービスの利用者が所有する携帯電話機である。
【００２９】
図２は、情報端末１０１の構成を示す機能ブロック図である。
なお、本図のオンラインサービスクライアント２０９は、図１で示したオンラインサービスクライアント１０７と同一のものである。
情報端末１０１は、プログラムの実行や演算を行うＣＰＵ２０１と、命令やデータの入力を行う入力部２０２と、システムの状態などを出力する出力部２０３と、プログラムやデータをロードするメモリ２０４と、非接触ＩＣＲ／Ｗを接続する非接触ＩＣＲ／Ｗ接続部２０５と、他の通信機器とコネクションを確立する通信処理部２０６と、オンラインサービスクライアント２０９や、非接触ＩＣＲ／Ｗ制御プログラム２１０が記憶される記憶部２０７が、バス２０８で接続される構成をとる。
【００３０】
非接触ＩＣＲ／Ｗ接続部２０５は、情報端末１０１に非接触ＩＣＲ／Ｗ１０６を接続する接続ポートであって、例えば、非接触ＩＣＲ／Ｗが情報端末の外部接続機器として提供される場合は、ＵＳＢなどの外部接続機器用の接続ポートであり、非接触ＩＣＲ／Ｗが情報端末に予め組み込まれた機能として提供される場合は、マザーボードなどの電子基盤に搭載された接続ポートである。
オンラインサービスクライアント２０９は、利用者が入力部２０２を通じて入力した情報をオンラインサービスサーバ１０３に送信する機能や、オンラインサービスサーバ１０３から受信した情報を出力部２０３を介して利用者に提示する機能を備えるソフトウェアである。
オンラインサービスクライアント２０９は、例えば、ブラウザである。
非接触ＩＣＲ／Ｗ制御プログラム２１０は、非接触ＩＣチップ１０８への情報の読み書き要求や、認証クライアント１０９を起動させる認証クライアント起動コードを携帯情報端末１０２に送信する機能を実現するプログラムである。
ここで、認証クライアント起動コードは、携帯情報端末１０２の記憶部における認証クライアント１０９のアドレスや、起動に必要な暗証コード、及び起動後に認証クライアントが参照する引数である起動パラメータを含む情報である。
非接触ＩＣＲ／Ｗ制御プログラム２１０は、オンラインサービスクライアントの機能を拡張するプラグインや、オンラインサービスクライアントの機能の一つとして提供されるプログラムである。
【００３１】
図３は、携帯情報端末１０２の構成を示す機能ブロック図である。
なお、本図の非接触ＩＣチップ３０５と認証クライアント３１０は、それぞれ図１で示した非接触ＩＣチップ１０８及び認証クライアント１０９と同一のものである。
携帯情報端末１０２は、プログラムの実行や演算を行うＣＰＵ３０１と、命令やデータの入力を行う入力部３０２と、システムの状態などを出力する出力部３０３と、プログラムやデータをロードするメモリ３０４と、分割済MAC付き暗号情報Ａ３０８、及び、認証情報３０９を記憶する非接触ＩＣチップ３０５と、端末使用者認証必要性判定プログラム３１３と端末使用者認証プログラム３１４とを含む認証クライアント３１０、及び、非接触ＩＣチップ制御プログラム３１１、及び、本人確認情報３１２を記憶する記憶部３０６とが、バス３０７で接続された構成をとる。
入力部３０２は、キーボードやカメラやマイクのほか、ＧＰＳ等の位置情報の取得手段、及び、指紋、虹彩、網膜パターン、静脈パターンといった生体情報の入力装置である。
非接触ＩＣチップ３０５は、非接触通信に対応したＩＣチップであり、非接触ＩＣＲ／Ｗ１０６を介した外部情報機器からの情報の読み書きのほか、携帯情報端末１０２が搭載するソフトウェアからの情報の読み書きも可能なＩＣチップである。
非接触ＩＣチップ３０５は、例えば、FeliCa（登録商標）チップである。
【００３２】
分割済MAC付き暗号情報Ａ３０８は、認証サーバが、サービス要求内容や端末使用者認証判定情報や乱数情報を暗号化し、これにＭＡＣ(Message Authentication Code)を付加して生成したMAC付き暗号情報の一部である。認証サーバは、MAC付き暗号情報のバイト列を2分割して、分割済MAC付き暗号情報Aと分割済MAC付き暗号情報Ｂを生成する。
ここで、サービス要求内容は、利用者が要求した、オンラインサービスへのログインなどの操作内容や、商品売買や銀行振込などの取引内容であって、本認証システムでの認証が成功した場合に、オンラインサービスサーバ１０３が提供するサービスの内容に関する情報である。また、サービス要求内容には、利用者が要求したサービス内容がオンラインサービスサイトへのログインであるか、又は商品売買や銀行振込などのログイン以外のサービスであるかを判定するログイン判定フラグが含まれるものとする。
また、端末使用者認証判定情報は、端末使用者認証必要性判定プログラム３１３の引数として使用される情報である。
また、乱数情報は、認証クライアント３１０の処理において、認証情報３０９を生成する際の引数の一つとして使用される情報であって、例えば擬似乱数プログラムにより生成されるランダムなバイト列である。
【００３３】
なお、分割済MAC付き暗号情報Ａは、非接触ＩＣチップへの書き込みによって情報端末から携帯情報端末に送信されるが、分割済ＭＡＣ付暗号情報Ｂは認証クライアント起動コードに含まれる起動パラメータとして、情報端末から携帯情報端末に送信される。非接触ＩＣチップに書き込まれる分割済ＭＡＣ付き暗号情報Ａは、認証クライアントが起動しているかどうかに関わらず参照が可能である一方、認証クライアント起動コードで送られる分割済ＭＡＣ付き暗号情報Ｂは、認証クライアントが起動している間のみ参照が可能である。すなわち、認証クライアントの実行が終了すれば、本携帯情報端末からは復号が可能なＭＡＣ付き暗号情報を読み出すことができない。この仕組みにより、本認証システムでは、利用者が携帯情報端末を紛失した場合などに、紛失した端末から利用者の個人情報や認証情報が漏洩する危険性を低減している。
【００３４】
認証情報３０９は、認証クライアント３１０において、乱数情報やサービス要求内容や後述する鍵情報を基に生成される情報であって、認証サーバ１０４での認証処理に使用される情報である。
認証情報３０９は、例えば、ワンタイムパスワードやディジタル署名である。
認証クライアント３１０は、オンラインサービスを提供する事業者や認証サーバを運営する事業者により配布される携帯情報端末用ソフトウェアである。
非接触ＩＣチップ制御プログラム３１１は、非接触ＩＣＲ／Ｗ１０６から非接触ＩＣチップ３０５への読み書き要求を受信して、非接触ＩＣチップ内の情報を読み書きする機能や、非接触ＩＣＲ／Ｗ１０６から認証クライアント起動コードを受信して、認証クライアント３１０を起動する機能を備えるプログラムである。
非接触ＩＣチップ制御プログラム３１１は、認証クライアントと共に、オンラインサービスを提供する事業者や認証サーバを運営する事業者により配布されたり、あるいは、認証クライアントの機能の一つとして提供されるプログラムである。
本人確認情報３１２は、端末使用者認証プログラム３１４の引数として使用される情報である。
本人確認情報３１２は、例えば、携帯情報端末の所有者しか知りえない暗証番号や位置情報などの秘密情報や、指紋、虹彩、網膜パターン、静脈パターンなどの、携帯情報端末の所有者の生体情報である。
【００３５】
以下、図４〜図１２を使用して本実施形態の認証システムの動作について説明する。
なお、以下に説明する本実施の形態は、利用者がオンラインバンキングにログインし、口座振込み手続きを完了するまでの処理を例にしている。利用者は、ログイン時と口座振込み執行時のそれぞれで本システムを使用した認証を受ける。また、本実施の形態では、利用者が要求したサービス要求内容がログインである場合には端末使用者認証を行い、振込み等ログイン以外の手続きである場合には端末使用者認証を省略する形態について説明している。
本実施形態の認証システムの動作は、大別すると、認証情報生成準備プロセス、認証情報生成プロセス、認証プロセスの３つの動作に分けられる。
【００３６】
図４は、認証情報生成準備プロセスの動作の流れを示した図である。
認証情報生成準備プロセスは、オンラインサービスクライアント１０７からの認証要求の送信に伴い実行される。
図５は、本認証システムの認証情報生成プロセスの動作の流れを示した図である。
認証情報生成プロセスは、認証情報生成準備プロセスの実行によりオンラインサービスクライアント１０７に表示される認証情報生成ボタンを、利用者が押下することにより実行される。
図６は、本認証システムの認証プロセスの動作の流れを示した図である。
認証プロセスは、認証情報生成プロセスの実行により認証クライアント１０９に表示されるサービス要求内容確認ボタンを利用者が押下後、さらに、認証情報生成準備プロセスの実行によりオンラインサービスクライアント１０７に表示される認証情報送信ボタンを利用者が押下することにより実行される。
【００３７】
まず、本認証システムの初期状態について以下に説明する。
オンラインサービスの利用者が所有する携帯情報端末は、以下に列挙するデータを記憶部３０６に記憶する。
・共通鍵Ｋ
・秘密鍵ＳＫ
認証サーバ１０４は、オンラインサービス利用者ごとに以下に列挙するデータを記憶する。
・利用者ＩＤ
・共通鍵Ｋ
・公開鍵ＰＫ
ただし、秘密鍵ＳＫと公開鍵ＰＫは、認証情報３０９としてディジタル署名を使用する場合にのみ必要な情報であり、認証情報としてワンタイムパスワードを使用する場合は必要ない。
【００３８】
共通鍵Ｋは、認証サーバがオンラインサービスの利用者ごとに生成・発行する鍵情報であって、認証サーバ１０４でのＭＡＣ付き暗号情報の生成、及び、認証クライアント１０９でのＭＡＣ付き暗号情報のＭＡＣ認証と復号に使用される鍵情報である。
また、秘密鍵ＳＫと公開鍵ＰＫは、認証サーバ１０４がオンラインサービスの利用者ごとに生成・発行する公開鍵暗号技術に基づく鍵情報のペアであって、秘密鍵ＳＫは認証クライアントでのディジタル署名の生成に、また、公開鍵ＰＫは認証サーバ１０４でのディジタル署名の検証に使用される鍵情報である。
【００３９】
以上説明した初期状態を構成するための手順の一例として、以下に認証クライアント１０９の初期設定手順を説明する。
オンラインサービスを提供する事業者や認証サーバを運営する事業者は、オンラインサービスの利用者に認証クライアント１０９を配布する際に、一緒に利用者ＩＤと固定パスワードを配布する。
利用者は、オンラインサービスクライアント１０７から、認証サーバ１０４に用意された初期設定用サイトにアクセスして、利用者ＩＤと固定パスワードでログインし、認証サーバ１０４へ認証クライアント１０９の初期設定要求を送信する。
【００４０】
認証サーバ１０４は、初期設定要求を受けて、共通鍵Ｋと秘密鍵ＳＫと公開鍵ＰＫを生成し、共通鍵Ｋと秘密鍵ＳＫとをオンラインサービスクライアント１０７へ送信する。このとき、認証サーバ１０４は利用者ＩＤと関連付けて共通鍵Ｋと公開鍵ＰＫとを記憶する。
オンラインサービスクライアント１０７は、非接触通信を使用して携帯情報端末１０２へ共通鍵Ｋと秘密鍵ＳＫとを送信する。
【００４１】
携帯情報端末１０２は、受信した共通鍵Ｋと秘密鍵ＳＫを記憶部３０６に記憶する。
以上、初期設定手順を説明した。
なお、以上の手順は、携帯情報端末１０２が通信ネットワーク１０５に接続可能で、初期設定用サイトにアクセスできる場合には、携帯情報端末から初期設定用サイトに初期設定要求を送信し、情報端末１０１を介さず、携帯情報端末が共通鍵Ｋと秘密鍵ＳＫとを受信するような形態にしてもよい。
また、初期設定手順の完了後、利用者は必要に応じて、暗証番号や位置情報や生体情報といった本人確認情報や、後述するサービス要求内容確認画面が表示されてから認証クライアントが実行を終了するまでの時間を入力し、記憶部３０６へ記憶させるものとする。
【００４２】
まず、図４を使用して、本認証システムの認証情報生成準備プロセスの動作の流れを説明する。
図４において、オンラインサービスクライアント１０７は、利用者による情報端末の操作に応じて、利用者ＩＤとサービス要求内容とを含む認証要求を、オンラインサービスサーバ１０３へ送信する（ステップ４０１）。
オンラインサービスサーバ１０３は、受信した認証要求を認証サーバ１０４へ送信する（ステップ４０２）。
【００４３】
認証サーバ１０４は、利用者ＩＤとサービス要求内容を含む認証要求を受信すると、乱数情報を生成する（ステップ４０３）。
認証サーバ１０４は、端末使用者認証判定情報として、ステップ４０３で受信したサービス要求内容のログイン判定フラグを取得する（ステップ４０４）。
認証サーバ１０４は、まず、ステップ４０３で取得した利用者ＩＤを参照して、利用者ＩＤに関連付けられて認証サーバに記憶されている共通鍵Ｋを取得する。
そして、サービス要求内容と端末使用者認証判定情報と乱数情報とを共通鍵Ｋで暗号化し、さらにＭＡＣを付加して、ＭＡＣ付き暗号情報を生成する（ステップ４０５）。
【００４４】
認証サーバ１０４は、ステップ４０５で生成したＭＡＣ付き暗号情報のバイト列を２分割し、分割済MAC付き暗号情報Ａ３０８と、分割済MAC付き暗号情報Ｂを生成する（ステップ４０６）。なお、分割のアルゴリズムは、予め認証サーバと認証クライアントで共有しているものとする。
認証サーバ１０４は、まず分割済MAC付き暗号情報Ｂを起動パラメータとした認証クライアント起動コードを生成する。そして、認証クライアント起動コードと分割済MAC付き暗号情報Ａとサービス要求内容とをオンラインサービスサーバ１０３に送信する（ステップ４０７）。
【００４５】
オンラインサービスサーバ１０３は、分割済ＭＡＣ付き暗号情報Ｂを含む認証クライアント起動コードと分割済MAC付き暗号情報Ａとサービス要求内容を受信すると、非接触ＩＣＲ／Ｗ制御プログラム２１０が実行する非接触ＩＣチップリーダライタ制御コードを組み込んだ認証クライアント操作画面表示コードを生成し、オンラインサービスクライアント１０７へ送信する（ステップ４０8）。
ここで、認証クライアント操作画面表示コードは、例えば、非接触ＩＣチップリーダライタ制御コードを組み込んだＨＴＭＬコードである。
また、前記非接触ＩＣチップリーダライタ制御コードは、認証クライアント起動コードや、分割済MAC付き暗号情報Ａの非接触ＩＣチップへの書き込み要求や、認証情報３０９の非接触ＩＣチップからの読み込み要求を、携帯情報端末１０２へ送信する機能を実現するコードである。
【００４６】
オンラインサービスクライアント１０７は、認証クライアント操作画面表示コードを受信すると、図８又は図11に示す認証クライアント操作画面表示する。ここで、図８に示す認証クライアント操作画面８０１は、サービス要求内容がオンラインバンキングへのログインである場合に表示される画面の例である。また、図11に示す認証クライアント操作画面１１０１は、サービス要求内容が口座振込み手続きである場合に表示される画面の例である（ステップ４０８）。
認証クライアント操作画面８０１及び１１０１はいずれも、少なくとも、サービス要求内容表示部８０２又は１１０２と、認証情報生成ボタン８０３又は１１０３と、認証情報送信ボタン８０４又は１１０４とを備える。
【００４７】
認証情報生成ボタンは、押下されると、ステップ４０８で組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、分割済ＭＡＣ付き暗号情報Ｂを含む認証クライアント起動コードと、分割済MAC付き暗号情報Ａの非接触ＩＣチップ３０５への書き込み要求を、携帯情報端末１０２へ送信するボタンである。
認証情報送信ボタンは、押下されると、ステップ４０８で組み込まれた非接触ＩＣチップリーダライタ制御コードを実行し、非接触ＩＣチップ３０５から認証情報３０９を読み込み、さらに、読み込んだ認証情報を、オンラインサービスサーバ１０３へ送信するボタンである。
【００４８】
次に、図５を使用して、認証情報生成プロセスの動作の流れを説明する。
認証情報生成準備プロセスで情報端末１０１に表示される認証クライアント操作画面を確認後、利用者は非接触ＩＣＲ／Ｗ１０６の通信可能範囲内に携帯情報端末１０２を置き、認証情報生成ボタンを押下する。
オンラインサービスクライアント１０７は、認証情報生成ボタンが押下されると、分割済MAC付き暗号情報Ａ３０８を非接触ＩＣチップ３０５へ書き込み、さらに、分割済MAC付き暗号情報Bを起動パラメータとして携帯情報端末１０２の認証クライアント３１０を起動する。（ステップ５０１）。
【００４９】
ステップ５０１の処理の詳細を以下に示す。
認証情報生成ボタン８０３が押下されると、オンラインサービスクライアントは、分割済MAC付き暗号情報Ａの書き込み要求と、分割済ＭＡＣ付き暗号情報Ｂを起動パラメータとする認証クライアント起動コードとを、携帯情報端末の非接触ＩＣチップ制御プログラム３１１に送信する。
非接触ＩＣチップ制御プログラム３１１は、分割済MAC付き暗号情報Ａの書き込み要求を受信すると、非接触ＩＣチップへ分割済MAC付き暗号情報Ａを書き込む。さらに、認証クライアント起動コードを受信すると、認証クライアントを起動し、起動パラメータとして分割済ＭＡＣ付き暗号情報Ｂを認証クライアントに渡す。
【００５０】
認証クライアント１０９は、非接触ＩＣチップから分割済MAC付き暗号情報Ａ３０８を読み込み、メモリに取得する。また認証クライアント起動コードの起動パラメータから分割済MAC付き暗号情報Ｂを読込み、メモリに取得する。（ステップ５０２）。
認証クライアント１０９は、ステップ５０２で取得した分割済MAC付き暗号情報Ａと分割済MAC付き暗号情報Ｂとを結合し、ＭＡＣ付き暗号情報を生成する。なお、ここで生成されるＭＡＣ付き暗号情報は、ステップ４０５で認証サーバが生成したＭＡＣ付き暗号情報と同一のものである（ステップ５０３）。
【００５１】
認証クライアント１０９は、まず、記憶部３０６に記憶されている共通鍵Ｋを読み込み、メモリに取得する。そして、共通鍵Ｋを使用して、ＭＡＣ付き暗号情報のＭＡＣ認証と復号を行う。ＭＡＣ認証と復号のいずれかでも失敗した場合は、失敗した旨のメッセージを表示し、直ちに認証クライアントの実行を終了する。
ＭＡＣ認証と復号に成功した場合は、サービス要求内容と端末使用者認証判定情報と乱数情報とをメモリに取得し、ステップ５０５へ進む（ステップ５０４）。
認証クライアント１０９は、端末使用者認証判定情報を引数に、端末使用者認証必要性判定プログラム３１３を実行し、実行結果として端末使用者認証要求フラグを取得する（ステップ５０５）。
認証クライアント１０９は、端末使用者認証要求フラグの値が「不要」であった場合は、ステップ５０８へ進む。端末使用者認証要求フラグの値が「要」であった場合は、端末使用者認証プログラム３１４を実行し、実行結果として端末使用者認証結果を取得し、ステップ５０７へ進む（ステップ５０６）。
【００５２】
ここで、図９を使用して、端末使用者認証プログラム３１４の動作について説明する。
端末使用者認証プログラム３１４は、図９に例示する端末使用者認証画面９０１を表示し、携帯情報端末１０２の入力部３０２からの本人確認情報の入力を求め、入力された本人確認情報が、予め記憶部３０６に記憶された本人確認情報３１２と一致するかどうかを判定するプログラムである。
本人確認情報が一致した場合は、端末使用者認証を成功と判定して端末使用者認証結果として「成」を、本人確認情報が一致しなかった場合は、端末使用者認証を失敗と判定して端末使用者認証結果として「否」を返す。
ここで、図９では本人確認情報が暗証番号である例を示しているが、携帯情報端末１０２が入力部３０２に位置情報や生体情報の入力手段をもつ場合には、暗証番号の代わりに本人確認情報に位置情報や生体情報を利用し、端末使用者認証プログラムの実行時に位置情報や生体情報の入力を求めるようにしてもよい。
【００５３】
認証クライアント１０９は、端末使用者認証結果が「否」であった場合は、認証処理を中断し、直ちに認証クライアント１０９の実行を終了する。
端末使用者認証結果が「成」であった場合は、ステップ５０８へ進む（ステップ５０７）。
認証クライアント１０９は、サービス要求内容と乱数情報と鍵情報に基づいて認証情報を生成し、図１０又は図１２に示すサービス要求内容確認画面１００１又は１２０１を表示する。ここで、図１０に示すサービス要求内容確認画面１００１は、サービス要求内容がオンラインバンキングへのログインである場合に表示される画面の例である。また、図12に示すサービス要求内容確認画面１２０１は、サービス要求内容が口座振込み手続きである場合に表示される画面の例である（ステップ５０８）。
【００５４】
ステップ５０８の認証情報の生成について、それぞれ処理の詳細を以下に説明する。
認証情報としてワンタイムパスワードを使用する場合は、認証クライアント１０９は、まず、記憶部３０６に記憶されている共通鍵Ｋを読込み、メモリに取得する。
次に、共通鍵Ｋとサービス要求内容と乱数情報とを連結したバイト列を引数としてセキュアハッシュ関数を実行し、実行結果としてハッシュ値を取得する。
そして、当該ハッシュ値の一部または全部をワンタイムパスワードとする。
認証情報としてディジタル署名を使用する場合は、認証クライアント１０９は、まず、記憶部３０６に記憶されている秘密鍵ＳＫを読込み、メモリに取得する。
次に、サービス要求内容と乱数情報とを連結したバイト列を引数としてセキュアハッシュ関数を実行し、実行結果としてハッシュ値を取得する。
そして、当該ハッシュ値を秘密鍵ＳＫで暗号化し、取得したバイト列をディジタル署名とする。
【００５５】
ここで、図１０及び図１２を使用して、サービス要求内容確認画面１００１及び１２０１について説明する。
サービス要求内容確認画面１００１及び１２０１は、サービス要求内容を表示する認証クライアントサービス要求内容表示部１００２又は１２０２と、サービス要求内容確認ボタン１００３又は１２０３と、認証中断ボタン１００４又は１２０４とを備える。
さらに、図１０及び図１２に示すサービス要求内容確認画面では、利用者の利便性を考慮し、認証情報の生成が完了したことを利用者に通知するメッセージや、後に続くステップ５１０で認証クライアント１０９を終了するまでの残り時間を利用者に通知するメッセージを表示している。
【００５６】
サービス要求内容確認ボタンは、利用者が押下すると、ステップ５０８で生成した認証情報を非接触ICチップ３０５に書き込み、認証クライアントの実行を終了するボタンである。
認証中断ボタンは、利用者が押下すると、認証情報を非接触ICチップに書き込まずに、直ちに認証クライアントの実行を終了するボタンである。
【００５７】
利用者が、ステップ５０８のサービス要求内容確認画面の表示から一定時間内にサービス要求内容確認ボタンを押下した場合、認証クライアント１０９は、認証情報を非接触ＩＣチップに書き込み、書き込み完了後、実行を終了する。この場合、利用者は次に図６に動作の流れを示す認証プロセスに進む。
一方、ステップ５０８から一定時間内にサービス要求内容確認ボタンを押下しなかった場合、又は利用者が認証中断ボタンを押下した場合は、認証クライアント１０９は、認証情報を非接触ＩＣチップに書き込まずに、認証処理が中断された旨のメッセージを表示して実行を終了する（ステップ５０９）。
【００５８】
なお、認証情報を非接触ＩＣチップに書き込まずに、認証クライアントを終了した場合、利用者が続けて図６に示す認証プロセスを実行したとしても、認証が成功することはない。認証を成功させるためには、利用者は、再度ステップ５０１から認証情報生成プロセスの処理を再実行する必要がある。
また、サービス要求内容確認画面が表示されてから認証クライアントの実行が終了するまでの時間は、利用者が予め認証クライアント１０９に入力するなどの方法で、携帯情報端末の記憶部３０６に記憶されているものとする。
【００５９】
次に、図６を使用して、認証プロセスの動作の流れを説明する。
利用者は、認証情報生成プロセスで携帯情報端末１０２に表示されるサービス要求内容確認ボタンを押下後、非接触ＩＣＲ／Ｗ１０６の通信可能範囲内に携帯情報端末１０２を置いて、認証情報送信ボタン８０４を押下する。
オンラインサービスクライアント１０７は、認証情報送信ボタン８０４が押下されると、非接触ＩＣチップ３０５から認証情報３０９を読み込んでメモリに取得し、さらに、取得した認証情報をオンラインサービスサーバ１０３へ送信する（ステップ６０１）。
オンラインサービスサーバ１０３は、受信した認証情報を認証サーバ１０４へ送信する（ステップ６０２）。
【００６０】
認証サーバ１０４は、認証情報を受信すると、認証処理を実行し、認証結果を取得する（ステップ６０３）。
ステップ６０３の認証処理について、処理の詳細を以下に説明する。
認証情報としてワンタイムパスワードを使用する場合は、認証サーバ１０４は、まず、ステップ４０２で取得した利用者ＩＤを参照して、利用者ＩＤに関連付けられて認証サーバに記憶されている共通鍵Ｋを取得する。
次に、共通鍵Ｋと、ステップ４０２で取得したサービス要求内容と、ステップ４０３で取得した乱数情報とを連結したバイト列を引数として、セキュアハッシュ関数を実行し、実行結果としてハッシュ値を取得する。
そして、当該ハッシュ値と、ステップ６０３でオンラインサービスサーバから受信したワンタイムパスワードとを比較する。
これらが一致する場合は認証に成功したと判定して認証結果として「成」を返し、一致しない場合は認証に失敗したと判定して認証結果として「否」を返す。
【００６１】
認証情報としてディジタル署名を使用する場合は、認証サーバ１０４は、まず、ステップ４０２で取得した利用者ＩＤを参照して、利用者ＩＤに関連付けられて認証サーバに記憶されている公開鍵ＰＫを取得する。
次に、ステップ４０２で取得したサービス要求内容と、ステップ４０３で取得した乱数情報とを連結したバイト列を引数として、セキュアハッシュ関数を実行し、実行結果としてハッシュ値を取得する。
そして、当該ハッシュ値と、ステップ６０３でオンラインサービスサーバから受信したディジタル署名を公開鍵ＰＫで復号した値とを比較する。
これらが一致する場合は認証に成功したと判定して認証結果として「成」を返し、一致しない場合は認証に失敗したと判定して認証結果として「否」を返す。
認証サーバ１０４は、認証結果をオンラインサービスサーバ１０３に送信する（ステップ６０４）。
【００６２】
オンラインサービスサーバ１０３は、受信した認証結果が「成」であった場合は、利用者が要求したサービス要求内容に従って、利用者にオンラインサービスを提供する。
受信した認証結果が「否」であった場合は、オンラインサービスを提供せず、認証に失敗した旨を利用者に伝えるメッセージをオンラインサービスクライアント１０７に送信する（ステップ６０５）。
【００６３】
次に、図７を使用して、本実施の形態における、端末使用者認証必要性判定プログラム３１３の動作の流れを説明する。
なお、以下に説明する端末使用者認証必要性判定プログラムの動作は、本認証システムの認証情報生成プロセスの動作において、利用者の要求したサービス要求内容がオンラインサービスサイトへのログインである場合には端末使用者認証を行い、ログイン以外のサービスである場合には端末使用者認証を省略する仕組みを実現するプログラムである。
【００６４】
まず、引数より、端末使用者認証判定情報としてログイン判定フラグを取得する（ステップ７０１）。
ログイン判定フラグが真である場合はステップ７０３へ進む。ログイン判定フラグが偽である場合はステップ７０４へ進む（ステップ７０２）。
端末使用者認証要求フラグの値として「要」を返し、処理を終了する（ステップ７０３）。
端末使用者認証要求フラグの値として「不要」を返し、処理を終了する（ステップ７０４）。
以上、本実施の形態における、端末使用者認証必要性判定プログラムの動作の流れを説明した。
【００６５】
なお、以上で説明した端末使用者認証必要性判定プログラムは一例であり、他には以下のようなものが考えられる。端末使用者認証必要性判定プログラムの動作は、利用者に要求する端末操作の負担と、本認証システムに求めるセキュリティ強度のバランスを考慮して、決定されることが望ましい。
例えば、どのような端末使用者認証判定情報を取得しても、端末使用者認証要求フラグとして必ず「要」を返すという動作である。この場合、本認証システムは認証クライアントが起動される度に毎回、利用者に端末使用者認証を要求する。
さらに、端末使用者認証判定情報として、ステップ４０３において認証サーバが乱数情報を生成した時刻をとり、その時刻を基に前回認証情報生成時からの時間差を算出し、算出した時間差が、予め認証システムに定められた時間差未満であった場合に、端末使用者認証要求フラグとして「不要」を返し、算出した時間差が、予め認証システムに定められた時間差以上であった場合に、端末使用者認証要求フラグとして「要」を返す動作である。この場合、本認証システムは、前回認証情報を生成してから一定時間以上経過した場合に、利用者に端末使用者認証を要求する。
さらに、端末使用者認証判定情報として、ステップ４０３で受信したサービス要求内容に含まれる取引金額をとり、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額未満であった場合に、端末使用者認証要求フラグとして「不要」を返し、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額以上であった場合に、端末使用者認証要求フラグとして「要」を返す動作である。この場合、本認証システムは、利用者が要求した取引が一定以上の金額を扱う取引である場合に、利用者に端末使用者認証を要求する。
さらに、端末使用者認証判定情報として、ステップ４０３で受信したサービス要求内容に含まれる取引金額と取引先情報、及び処理中の認証要求以前に利用者が実行したサービス要求内容の履歴情報をとり、端末使用者認証判定情報として取得した取引金額が、予め認証システムに定められた金額より高額であるか、または、低額であるか、及び端末使用者認証判定情報として取得した取引先情報が、端末使用者認証判定情報として取得したサービス要求内容の履歴情報に含まれるか、または、含まれないか、という条件判定の組み合わせにより、端末使用者認証要求フラグとして「要」か「不要」を返す動作である。この場合、本認証システムは、例えば利用者が要求した取引が、当該利用者がこれまでに取引を行ったことのない取引先を対象とした取引であり、かつ、一定金額以上の金額を扱う取引である場合に、利用者に端末使用者認証を要求する。
【００６６】
以上、本発明の認証システムの実施の形態について説明した。
なお、本発明の認証システムの実施の形態において、端末使用者認証必要性判定プログラム３１３は、認証クライアント３１０の機能の一つであり、携帯情報端末１０２で実行されるものとした。
しかし、端末使用者認証必要性判定プログラムを、認証サーバ１０４の機能の一つとし、認証サーバで実行する形態としても、本発明の実施は可能である。
【００６７】
端末使用者認証必要性判定プログラムを、認証サーバで実行する場合の動作の流れについて、動作の変更点を以下に説明する。
まず、ステップ４０４の後、かつ、ステップ４０５の前に、認証サーバ１０４は、端末使用者認証判定情報を引数に、端末使用者認証必要性判定プログラムを実行し、実行結果として端末使用者認証要求フラグを取得する。
続く、ステップ４０５において、認証サーバ１０４は、端末使用者認証判定情報の代わりに、端末使用者認証要求フラグを使用してＭＡＣ付き暗号情報を生成する。
また、ステップ５０４において、認証クライアント１０９は、端末使用者認証判定情報の代わりに、端末使用者認証要求フラグをメモリに取得し、取得後はステップ５０５を省略してステップ５０６へ進むものとする。
ステップ５０６において、認証クライアント１０９は、前記ステップ５０３で取得した端末使用者認証要求フラグに基づき、処理を実行するものとする。
【００６８】
また、本発明の実施の形態において、端末使用者認証プログラム３１４では、本人確認情報は、携帯情報端末の入力部３０２より入力するものとした。しかし、当該本人確認情報は、情報端末の入力部２０２より入力するものとしても、本発明の実施は可能である。
本人確認情報が情報端末の入力部２０２より入力される場合の動作の流れについて、動作の変更点を以下に説明する。
【００６９】
ステップ４０８において、オンラインサービスサーバが生成する非接触ＩＣチップリーダライタ制御コードには、新たに、非接触ＩＣチップ３０５への本人確認情報の書き込み要求を送信する記述を追加する。
ステップ４０９において、認証クライアント操作画面には、新たに、本人確認情報の入力欄（例えば暗証番号の入力を受け付けるテキストボックス）を追加する。さらに、認証情報生成ボタンの機能に、新たに、非接触ＩＣチップ３０５への本人確認情報の書き込み要求を、携帯情報端末１０２へ送信する機能を追加する。
ステップ５０１において、オンラインサービスクライアント１０７は、認証情報生成ボタンが押下されると、ＭＡＣ付き暗号情報に加え、本人確認情報を非接触ＩＣチップ３０５へ書き込むものとする。
なお、この変更は、前記ステップ４０７の非接触ＩＣチップリーダライタ制御コードへの記述の追加により実現されるものである。
【００７０】
ステップ５０２において、オンラインサービスクライアント１０７は、非接触ＩＣチップから分割済ＭＡＣ付き暗号情報Ａ３０８に加え、本人確認情報を読込み、メモリに取得するものとする。
ステップ５０６において、端末使用者認証プログラム３１４は、ステップ５０２で取得した本人確認情報を使用して処理を実行し、実行結果として、端末使用者認証結果を取得するものとする。
【００７１】
また、本発明の実施の形態において、ステップ５０７で端末使用者認証結果が「否」であった場合には、認証処理を中断し、直ちに認証クライアントの実行を終了するものとした。しかし、この処理は、以下に説明する処理に置き換えても良い。
認証クライアント１０９は、処理を終了する前に、端末使用者認証結果が「否」となった認証失敗回数を記憶部３０６に記録する。
そして、前記認証失敗回数がある一定回数を上回った場合に、認証クライアント１０９は、記憶部に記憶されている共通鍵Ｋや秘密鍵ＳＫを削除し、再度認証クライアントの初期設定手順を実行するように利用者に要求する。
利用者に再度、初期設定を要求する認証失敗回数は、オンラインサービスを提供する事業者が本認証システムに求めるセキュリティ強度に応じて決定し、予め認証クライアントのプログラム内に組み込んだり、あるいは、利用者が認証クライアントの初期設定において入力するものとする。
このような仕組みを導入すると、本認証システムのセキュリティ強度を、必要に応じてさらに向上させることができるようになる。
【００７２】
また、本発明の実施の形態において、認証クライアントは、ステップ５０９で利用者によりサービス要求内容確認ボタンが押下された場合に、認証情報を非接触ＩＣチップに書き込むものとした。しかし、認証クライアントが認証情報を非接触ＩＣチップ書き込む条件は、認証クライアントが検知することができる利用者による携帯情報端末の操作であれば、別の操作でもよい。例えば、携帯情報端末を一度非接触ＩＣＲ／Ｗ１０６の通信範囲外に置き、再度通信範囲内に置く、といった操作が挙げられる。利用者にとってより負担なく短時間に行える操作に変更すると、本認証システムの短時間に複数回の認証を行えるという効果をさらに向上させることができるようになる。
【００７３】
なお、図１において、オンラインサービスサーバ１０３と認証サーバ１０４とは同一のサーバ内に一体化して構築する構成であってもよい。
【図面の簡単な説明】
【００７４】
【図１】本発明にかかる認証システムの実施の形態を示す全体構成図である。
【図２】情報端末の構成を示す機能ブロック図である。
【図３】携帯情報端末の構成を示す機能ブロック図である。
【図４】認証情報生成準備プロセスの動作の流れを示すフローチャートである。
【図５】認証情報生成プロセスの動作の流れを示すフローチャートである。
【図６】認証プロセスの動作の流れを示すフローチャートである。
【図７】端末使用者認証必要性判定プログラムの処理の流れを示すフローチャートである。
【図８】サービス要求内容がログインである場合の認証クライアント操作画面の例を示す図である。
【図９】端末使用者認証画面の例を示す図である。
【図１０】サービス要求内容がログインである場合のサービス要求内容確認画面の例を示す図である。
【図１１】サービス要求内容がログイン以外の取引である場合の認証クライアント操作画面の例を示す図である。
【図１２】サービス要求内容がログイン以外の取引である場合のサービス要求内容確認画面の例を示す図である。
【符号の説明】
【００７５】
１０１  情報端末
１０２  携帯情報端末
１０３  オンラインサービスサーバ
１０４  認証サーバ
１０５  通信ネットワーク
１０６  非接触ＩＣＲ／Ｗ
１０７  オンラインサービスクライアント
１０８  非接触ＩＣチップ
１０９  認証クライアント
【図１】
0004964048.tif 000002
【図２】
0004964048.tif 000003
【図３】
0004964048.tif 000004
【図４】
0004964048.tif 000005
【図５】
0004964048.tif 000006
【図６】
0004964048.tif 000007
【図７】
0004964048.tif 000008
【図８】
0004964048.tif 000009
【図９】
0004964048.tif 000010
【図１０】
0004964048.tif 000011
【図１１】
0004964048.tif 000012
【図１２】
0004964048.tif 000013