JP2007264835A - 認証方法およびシステム - Google Patents

Abstract

【課題】ワンタイムパスワードを用いた簡便な認証方法を提供する。
【解決手段】ユーザの携帯電話機からのアクセス要求に含まれる固有の識別情報をユーザテーブルの情報と照合する第１の認証手段と、前記携帯電話機の位置情報を取得する位置情報取得手段と、この位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログに保存するとともに当該ユーザのメールアドレスへ送信するワンタイムパスワード生成手段と、前記ユーザ端末からのアクセスを受けて前記ワンタイムパスワードを照合する第２の認証手段と、前記携帯電話機の現在位置情報を再取得して前記ワンタイムパスワードから抽出される位置情報と比較する位置確認手段と、この位置確認において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行う警告処理手段とを設けて認証システムを構成する。
【選択図】 図１

Description

本発明は認証方法およびシステムに関し、特に、携帯端末とＰＣの連携によるワンタイムパスワードを用いた認証方法およびシステムに関する。

近年、個人ユーザがネット販売等の決済をインターネット上で行うケースが増えており、この際のパスワード漏洩による犯罪の対策として、ワンタイムパスワードを用いる認証方法がある。従来のワンタイムパスワードによる認証は、各ユーザが専用のワンタイムパスワード作成アプリケーションまたは専用カードを用意する必要があり、また認証側もワンタイムパスワードを認証する専用サーバを用意する必要があり、個人ユーザやサービス提供側がワンタイムパスワードの運用環境を準備するのは手間と費用がかかるものであった。

このような問題に鑑み、サーバ側でワンタイムパスワードを作成してユーザの持つ携帯電話機にメール送信する個人認証システムが提案されている（特許文献１）。このシステムでは、ユーザ端末からｗｅｂサーバにアクセスすると、サーバは認証の後にパスワードを作成しユーザ端末にメール送信し、ユーザはこのワンタイムパスワードを用いて再び認証サーバにアクセスする。

また、ユーザの携帯電話機等のＧＰＳ機能を用いてユーザの位置情報を蓄積しておき、アクセス受付時に過去の位置情報の履歴と現在の位置情報を比較して不自然でないかを確認する認証システムが提案されている（特許文献２）。

特開２００４−２４０８０６号公報 特開２００４−１１８４５６号公報

しかしながら、個人認証に携帯端末の位置情報を加味しようとする場合、上記引用文献２の技術では登録ユーザすべてについて継続的に位置情報を取得して蓄積する必要があり、システムの負担が大きいものである。また、上記の従来技術はいずれも各事業者が個別に行う認証システムであり、ユーザにとってアクセス先ごとにログイン方法を変えなくてはならない煩雑さがある。

本発明は、システムに大きな負担をかけることなく、ユーザに信頼できる認証用のアクセス先を提供するとともに、なりすましやフィッシング詐欺による不正アクセスを有効に防止できる認証方法およびシステムを提供することを目的とする。

上記目的を達成するために、本発明は、通信ネットワークにおける認証方法において、当該ネットワークに接続された認証サーバが、
ユーザの携帯電話端末（第１の端末）からのアクセスを受け付けて、当該携帯電話機の現在位置情報を取得するステップと、
前記位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログに保存するとともに前記ユーザの利用する第２の端末に送信するステップと、
当該第２の端末からのアクセスを受けて、前記ワンタイムパスワードの照合を行うステップと、
前記携帯電話機の現在位置情報を再取得するか、前記アクセスログから前記携帯電話機の過去の位置情報を取得して、前記ワンタイムパスワードから抽出される位置情報と比較するステップと、
この位置情報の比較において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行うステップと備えることを特徴とする。

この認証方法において、前記携帯電話端末からのアクセスを受け付けるステップは、アクセス情報に含まれる前記携帯電話機固有の識別情報を予め前記認証サーバに登録されたユーザデータと照合するステップを含むことが有効である。

また、前記位置情報の比較において携帯電話機の位置に所定以上の隔たりがある場合、前記認証サーバが前記ユーザの通信端末にその旨を通知する電子メールを送信することが有効である。

また、前記認証サーバは複数のサービスサイトに対する認証を代行するものであり、当該サーバが、複数のサービスサイトのリストを前記ユーザ端末に提示してアクセス希望先の情報を取得するステップと、前記認証が成功した場合に前記ユーザ端末を指定されたサービスサイトに接続するステップとを具えることが有効である。

また本発明のシステムは、ユーザ端末から任意のサービスサーバへのアクセスを仲介する認証システムにおいて、ユーザの携帯電話機からのアクセス要求を受けて、これに含まれる固有の識別情報を予め登録されたユーザテーブルの情報と照合する第１の認証手段と、前記携帯電話機の位置情報を取得する位置情報取得手段と、前記位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログに保存するとともに前記ユーザテーブルに登録されている当該ユーザのメールアドレスへ送信するワンタイムパスワード生成手段と、前記ユーザ端末からのアクセスを受けて前記ワンタイムパスワードを照合する第２の認証手段と、前記携帯電話機の現在位置情報を再取得するか前記アクセスログから前記携帯電話機の過去の位置情報を取得して前記ワンタイムパスワードから抽出される位置情報と比較する位置確認手段と、この位置確認において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行う警告処理手段とを具えることを特徴とする。

この認証システムにおいて、前記警告処理手段は、前記位置確認手段により携帯電話機の位置に所定以上の隔たりが検出された場合、前記ユーザ端末にその旨を通知する電子メールを送信することが有効である。

また、複数のサービスサイトのサービス名およびアクセス先が登録されたサイトリストと、前記ユーザに指定されたサービスサイトについて当該サイトと前記ユーザ端末間を接続する通信処理手段とを具え、前記サービスサイトの認証を代行することが有効である。

本発明の認証方法では、ユーザの携帯電話機の位置情報を含んだワンタイムパスワードをユーザ端末に送信し、ユーザ端末からのアクセス時にワンタイムパスワードから抽出される位置情報と、現在の携帯電話の位置情報あるいは過去ログの携帯電話の位置情報とを照合し、アクセス時の認証を行う。ワンタイムパスワードを認証サーバで作成するためユーザ端末がワンタイムパスワード生成アプリケーションが不要となり、またワンタイムパスワードに位置情報を加味した認証を行うためセキュリティ性が向上する。さらに、携帯電話機の位置情報はワンタイムパスワードに埋め込んで過去ログで管理するため、すべての登録ユーザの位置情報を継続的に取得して管理する必要がないため、サーバの負担が軽減される。

また、ユーザの携帯電話機からのアクセスを認証する第１の認証は、アクセス情報に含まれる携帯電話機固有の識別情報を、予め登録されたリスト情報と照合するようにすれば、ユーザがＩＤやパスワードを入力・送信する必要がなくなり手間が軽減される。

また、第２の認証において位置情報に隔たりがある場合にアクセスを許可する前にユーザの通信端末に通知するようにすると、ワンタイムパスワード生成時とユーザがアクセスする場所が異なる場合などに所謂なりすましを防止することができる。

また、認証サーバが実際のサービスを行う複数のサービスサーバの認証を代行することにより、サービスサーバ側の設備を簡素化できるとともに、ユーザには信頼できる認証サイトで同じ手続により認証を受けることができ、便利性とともに所謂フィッシング詐欺の予防を図ることができる。

本発明を実施するための最良の実施形態について、図面を参照しながら以下に詳細に説明する。

図１は、本発明にかかる認証システムの構成例のイメージ図である。図１に示すシステムは、携帯電話１０、ユーザＰＣ２０、認証代行サーバ３０、各種サービス提供サーバ４０、携帯電話サーバ５０、これらを接続する通信ネットワーク６０とで構成されている。携帯電話１０とユーザＰＣ２０はともに１人のユーザに属しており、本システムのユーザは各人が携帯電話とＰＣ端末を有するものとする。携帯電話サーバ５０は携帯電話１０の事業者が運営するサーバであり、各基地局５１を介して携帯電話１０とネットワーク６０間の通信の中継制御を行う。複数の基地局５１はサービスエリアの各地に点在しており、携帯電話サーバ５０は携帯電話１０の信号をどの基地局が拾っているかにより携帯電話１０の大まかな位置情報を得ることができる。また、携帯電話１０がＧＰＳ機能付である場合、携帯電話サーバ５０は各携帯電話１０の正確な位置を知ることが出来る。

携帯電話１０はデータ通信機能を有し、基地局５１や通信ネットワーク６０を介して認証代行サーバ３０にアクセスすることができる。このアクセス要求には端末固有のアドレスが含まれるものとする。上記のように携帯電話１０はＧＰＳ機能を備えていてもよい。ＰＣ端末２０はユーザが利用するデスクトップ型またはラップトップ型のパーソナルコンピュータであり、ネットワーク６０を介してのデータ通信機能と、認証代行サーバ３０から送信されるメールを受信するメールソフトと、認証代行サーバ３０あるいはサービス提供サーバ４０にアクセスしてネットショッピング等を行うためのブラウザや入出力手段を備える。

サービス提供サーバ４０はネットワーク６０上で例えば銀行サービスや通信販売サービスを行うウェブサーバであり、ユーザＰＣ２０からのアクセスを受けて各種サービスを行う。各サーバ４０と認証代行サーバ４０は、例えばＳＳＬ通信など高度なセキュリティを保った方式で通信を行うよう構成される。これらのサービス提供サーバ４０は登録ユーザのＩＤ等を管理するユーザＤＢ４１を備える。このユーザＤＢ４１には各ユーザの携帯電話１０に固有の識別情報が登録されていてもよい。

認証代行サーバ３０は、ユーザの携帯電話１０やユーザＰＣ２０からのアクセスを受けてユーザ認証を行い、各サービス提供サーバ４０との通信を中継するサーバである。この認証代行サーバ３０は、例えばウェブサーバ機能を備えるワークステーションサーバであり、プログラムで動作し、少なくとも登録ユーザを管理するユーザテーブル３１と、アクセス履歴や生成したワンタイムパスワードを記録するアクセスログ３２とを備える。ユーザテーブル３１の一例を図２に示し、アクセスログ３２の一例を図３に示す。

図２に示すように、ユーザテーブル３１には、登録ユーザの携帯電話１０の端末固有の識別情報と、当該ユーザのユーザＰＣ２０のメールアドレスとが少なくとも登録されている。また、ユーザがどのサービス提供サーバ４０の利用登録をしているかの情報が登録されていてもよい。これらの情報は、ユーザが本願システムの利用申込を行うときにウェブ申込画面にて取得されユーザテーブル３１に登録されるものとする。図３に示すように、アクセスログ３２には、日時と、後述するようにユーザのアクセス毎に生成されユーザに送信されるワンタイムパスワードとが少なくとも登録される。また後述するように、ユーザがアクセスを希望するサービス提供サーバに対するログインＩＤが登録されてもよい。

この認証代行サーバ３０は、機能毎に謂うと、ユーザの携帯電話機１０からのアクセス要求を受けて端末ＩＤをユーザテーブル３１の情報と照合する第１の認証手段と、携帯電話機１０の位置情報を取得する位置情報取得手段と、この位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログ３２に保存するとともにユーザＰＣ２０へ送信するワンタイムパスワード生成手段と、ユーザＰＣ２０からのアクセスを受けて前記ワンタイムパスワードを照合する第２の認証手段と、携帯電話機１０の現在位置情報を再取得するかアクセスログ３２から携帯電話１０の過去の位置情報を取得してワンタイムパスワードから抽出される位置情報と比較する位置確認手段と、この位置確認において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行う警告処理手段とを備える。これらは実際には認証代行サーバ３０の動作プログラムの各モジュールがサーバのハードウェア構成と共働することにより実現される。

図４は、本願システムの動作を説明するためのシーケンス図である。本シーケンスの前提として、ユーザは携帯電話１０またはユーザＰＣ２０から認証代行サーバ３０やサービス提供サーバ４０の利用登録を済ませてあり、必要な情報が既にこれらのサーバ３０，４０に登録されているものとする。まず、ユーザは自己の携帯電話１０を用いて、認証サーバ３０にアクセスすべく所定のＵＲＬに対してｗｅｂアクセスを行う（Ｓ１）。このアクセス要求を受けた認証代行サーバ３０は、受信情報に含まれる当該携帯電話の端末固有の識別情報からサーバ３０内に登録された認証テーブル３１を参照し、当該端末が登録ユーザのものであるかを確認する（Ｓ２）。

このとき、この端末ＩＤを各サービス提供サーバ４０に送信し（Ｓ３）、各サーバから送られてくるユーザＩＤを取得する（Ｓ４）。この場合、各サーバは自サーバ内のユーザテーブルを参照し、端末ＩＤから登録ユーザか否かを判定し、登録ユーザであればユーザＩＤを認証サーバ３０に返信する。また、図２に示すユーザテーブル３１に予めユーザが利用登録しているサーバが登録されている場合、認証サーバ３０はここに登録されたサーバにのみユーザＩＤの問い合わせを行うようにする。

次に、認証代行サーバ３０は、携帯電話１０の端末ＩＤを携帯電話サーバ５０に通知して、当該携帯電話の現在位置を取得する（Ｓ５）。前述のように、携帯電話サーバ５０は携帯電話事業者が運営するサーバであり、携帯電話１０の位置情報を取得することができる。携帯電話サーバ５０は認証代行サーバ３０からの問い合わせを受けると携帯電話１０の位置情報を取得して、認証代行サーバ３０へ返信する。

次に、認証代行サーバ３０は、図２に示すユーザテーブル３１を参照してこの利用者のユーザＰＣのメールアドレスを抽出する（Ｓ６）。また、各サービス提供サーバのアクセスサイトの一覧を携帯電話１０に提示する（Ｓ７）。図２の認証ＤＢにこの利用者が利用登録しているサーバがある場合には当該サーバのみのリストを提示する。ユーザは携帯電話１０を操作してアクセス希望のサイトを選択し、認証代行サーバ３０に送信する（Ｓ８）。

次に、認証代行サーバ３０は、ステップＳ５で取得した携帯電話１０の位置情報とランダムな文字列とを組み合わせて１回のみ利用可能なワンタイムパスワードを生成し、別途用意したログイン画面のＵＲＬとワンタイムパスワードとをステップＳ６で取得したユーザＰＣ２０のメールアドレスに送信する。このとき、図３に示すアクセスログ３２に日時情報と、作成したワンタイムパスワードと、端末ＩＤとを記録する。また、ステップＳ４で得られた各サービス提供サーバ４０におけるユーザＩＤのうち、ステップＳ８でユーザが指定したサイトにかかるユーザＩＤを登録する。

ユーザはユーザＰＣ２０を操作して認証代行サーバ３０からの電子メールを受信し、そこに記載のＵＲＬにアクセスする（Ｓ１０）。認証代行サーバ３０はユーザＩＤとワンタイムパスワード入力欄を有するログイン画面を提示し、ユーザがこれらを入力して送信すると、認証代行サーバ３０は図３のアクセスログ３２を参照し、ＩＤとパスワードを照合する（Ｓ１１）。このとき、認証代行サーバ３０は受信したワンタイムパスワードから位置情報を抽出するとともに、携帯電話１０の端末ＩＤを携帯電話サーバ５０に通知して再び現在位置を問い合わせる。そして、両者の位置情報が異なる場合には認証エラーまたはユーザＰＣ２０にその旨を通知する確認メールを送信する（Ｓ１２）。

なお、この場合、ワンタイムパスワードに含まれる位置情報と携帯電話１０の現在地位を比較するのではなく、図３のアクセスログ３２を参照して端末ＩＤからこの利用者の携帯電話１０の位置情報履歴を参照し、過去のアクセス履歴が示す位置と今回の位置が大きく異なる場合には認証エラーまたは確認メールを送信するようにしてもよい。また、認証代行サーバ３０は、ワンタイムパスワードを送信してから所定期間が経過した後のアクセス要求はタイムアウトとしてエラー処理をするようにしてもよい。

ワンタイムパスワードと位置情報がすべて照合した場合には、認証代行サーバ３０はユーザＰＣ２０と指定されたサービス提供サーバ４０の通信を確立する。この場合、認証代行サーバ３０はプロキシサーバとして動作し、ユーザＰＣ２０とサービス提供サーバ４０との通信を中継する。

以上の構成および動作により、エンドユーザが携帯電話とＰＣ端末を用意するだけでワンタイムパスワードを利用することができる。この場合にも、ワンタイムパスワードは認証サーバ側で生成されユーザに送信されるため、認証サービス提供者側はユーザにパスワード生成ソフトウェアあるいは専用カードを配布する必要がない。また、ワンタイムパスワード生成時に携帯電話機の位置情報を含めたため、パスワード生成時と利用者のがアクセスする場所が異なる場合に認証拒否とすることが可能となり、なりすましを防止することができる。また、ワンタイムパスワードの位置情報がそのユーザが通常アクセスする場所と異なる場合に、ユーザに対して警告を通知することができる。また、携帯電話からのアクセスを受けてユーザＰＣにワンタイムパスワードを送信するため、仮に一方を紛失・盗難された場合にも不正アクセスを防止することができる。

以上に本発明の実施例について詳細に説明したが、本発明の認証システムおよび方法の技術的範囲はこの実施例に限定されるものではなく、様々な変更を加えることができる。例えば上記実施例では携帯電話からのアクセスを受けた場合にサービス提供サーバにユーザＩＤを問い合わせるようにしているが、これは必須の工程ではない。これを行わない場合、上記ステップＳ１１でユーザが入力するユーザＩＤを指定のサービス提供サーバに通知するようにする。また、実施例では携帯電話でワンタイムパスワードを要求してＰＣ端末で実際のアクセスを行っているが、これは逆であったり、双方とも携帯電話機であってもよい。

本発明に係る認証システムおよび方法は、認証処理が必要なネットワーク通信産業に広く利用することができる。

本発明にかかる認証システムの実施例の構成を示す図である。 認証代行サーバにおける認証データベースの構成例を示す図である。 認証代行サーバにおけるアクセスログの実施例を示す図である。 本発明にかかる認証システムの動作例を示す図である。

符号の説明

１０ ユーザ端末
２０ ユーザＰＣ
３０ 認証代行サーバ
３１ ユーザテーブル
３２ アクセスログ
４０ サービス提供サーバ
４１ ユーザＤＢ
５０ 携帯電話サーバ
５１ 基地局
６０ 通信ネットワーク

Claims (7)

1. 通信ネットワークにおける認証方法において、当該ネットワークに接続された認証サーバが、
   ユーザの携帯電話端末（第１の端末）からのアクセスを受け付けて、当該携帯電話機の現在位置情報を取得するステップと、
   前記位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログに保存するとともに前記ユーザの利用する第２の端末に送信するステップと、
   当該第２の端末からのアクセスを受けて、前記ワンタイムパスワードの照合を行うステップと、
   前記携帯電話機の現在位置情報を再取得するか、前記アクセスログから前記携帯電話機の過去の位置情報を取得して、前記ワンタイムパスワードから抽出される位置情報と比較するステップと、
   この位置情報の比較において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行うステップと備えることを特徴とする認証方法。
2. 請求項１に記載の認証方法において、前記携帯電話端末からのアクセスを受け付けるステップは、アクセス情報に含まれる前記携帯電話機固有の識別情報を予め前記認証サーバに登録されたユーザデータと照合するステップを含むことを特徴とする認証方法。
3. 請求項１または２に記載の認証方法において、前記位置情報の比較において携帯電話機の位置に所定以上の隔たりがある場合、前記認証サーバが前記ユーザの通信端末にその旨を通知する電子メールを送信することを特徴とする認証方法。
4. 請求項１ないし３のいずれかに記載の認証方法において、前記認証サーバは複数のサービスサイトに対する認証を代行するものであり、当該サーバが、複数のサービスサイトのリストを前記ユーザ端末に提示してアクセス希望先の情報を取得するステップと、前記認証が成功した場合に前記ユーザ端末を指定されたサービスサイトに接続するステップとを具えることを特徴とする認証方法。
5. ユーザ端末から任意のサービスサーバへのアクセスを仲介する認証システムにおいて、ユーザの携帯電話機からのアクセス要求を受けて、これに含まれる固有の識別情報を予め登録されたユーザテーブルの情報と照合する第１の認証手段と、前記携帯電話機の位置情報を取得する位置情報取得手段と、前記位置情報を含んで暗号化したワンタイムパスワードを作成し、アクセスログに保存するとともに前記ユーザテーブルに登録されている当該ユーザのメールアドレスへ送信するワンタイムパスワード生成手段と、前記ユーザ端末からのアクセスを受けて前記ワンタイムパスワードを照合する第２の認証手段と、前記携帯電話機の現在位置情報を再取得するか前記アクセスログから前記携帯電話機の過去の位置情報を取得して前記ワンタイムパスワードから抽出される位置情報と比較する位置確認手段と、この位置確認において前記携帯電話機の位置に所定以上の隔たりがある場合に認証エラーまたは所定の警告処理を行う警告処理手段とを具えることを特徴とする認証システム。
6. 請求項５に記載の認証システムにおいて、前記警告処理手段は、前記位置確認手段により携帯電話機の位置に所定以上の隔たりが検出された場合、前記ユーザ端末にその旨を通知する電子メールを送信することを特徴とする認証システム。
7. 請求項５または６に記載の認証システムにおいて、複数のサービスサイトのサービス名およびアクセス先が登録されたサイトリストと、前記ユーザに指定されたサービスサイトについて当該サイトと前記ユーザ端末間を接続する通信処理手段とを具え、前記サービスサイトの認証を代行することを特徴とする認証システム。

Images