JPWO2019234801A1 - サービス提供システム及びサービス提供方法 - Google Patents

Abstract

ログイン要求取得部（１０１）は、ユーザ端末（３０）から、ユーザのユーザＩＤを含んだログイン要求を取得する。電話認証部（２０３）は、ユーザ端末（３０）からの電話着信に基づいた認証を行う。電話認証部（２０３）による認証に成功した後、暗号化部（１０２）は、ワンタイムパスワードを含んだＵＲＬを、ユーザのパスワードを用いて暗号化し、ＵＲＬ送信部（１０３）が、ユーザ端末（３０）に送信する。ＯＴＰ認証部（２０２）は、ユーザ端末（３０）から受信したＵＲＬに含まれるワンタイムパスワードが、作成したワンタイムパスワードと一致することを確認する。サービス実行部（１０６）は、ＯＴＰ認証部（２０２）による認証に成功した場合に、ユーザ端末（３０）に対してサービスを提供するための処理を実行する。

Description

本発明は、サービス提供システム及びサービス提供方法に関する。

インターネットを利用したネットバンキング、ネットショッピング、オンライントレード等のサービスが普及している。このようなサービスを利用するために、ユーザは、ＰＣ（Personal Computer）やスマートフォン等の端末装置を操作して専用のサイトにアクセスし、ＩＤ及びパスワードを入力してログインする必要がある。

ＩＤ及びパスワードを用いたログインの場合、他人によるなりすましの問題がある。特許文献１には、サーバが、ＩＤ及びパスワードを用いてユーザ認証をした後、ユーザの登録通信端末（例えば、携帯電話やスマートフォン）に対して電話発信するよう案内し、登録通信端末からの電話着信があった場合にサービスの処理を開始することで、なりすましの問題に対処した発明について記載されている。

特開２０１５-１１１３２９号公報

特許文献１に記載の発明の場合、サーバは、クライアント端末からの着信番号を確認することで、当該クライアント端末が正規のクライアント端末であることを認証できる。一方、クライアント端末側では、サーバが正規のサーバであることを認証することは困難である。即ち、特許文献１に記載の発明では、サーバとクライアント端末との間の相互認証については不十分な面がある。なお、サーバが電子証明書を取得してクライアント端末に送信すれば相互認証は可能であるが、電子証明書を取得するのは手間がかかり面倒である。

本発明は上記実情に鑑みてなされたものであり、ユーザに負担をかけずにログインの際のセキュリティを向上させることができるサービス提供システム及びサービス提供方法を提供することを目的とする。

上記目的を達成するため、本発明に係るサービス提供システムは、
端末から、ユーザをサービスにログインさせることを要求するログイン要求を取得するログイン要求取得手段と、
前記ログイン要求を取得した際に、自システムに指定の電話番号で電話接続することを要求する電話要求情報を前記端末に送信する電話認証要求手段と、
前記電話要求情報を送信した後に、前記ユーザの携帯端末からの電話着信に基づいた認証を行う電話認証手段と、
ワンタイムパスワードを作成するＯＴＰ作成手段と、
前記電話認証手段による認証に成功した場合に、前記ワンタイムパスワードを含んだ自システムにアクセスするためのアドレス情報を、前記ユーザのパスワードを用いて暗号化する暗号化手段と、
前記暗号化手段で暗号化したアドレス情報を前記端末に送信するアドレス送信手段と、
前記アドレス情報を送信した後に端末から受信したワンタイムパスワードと前記ＯＴＰ作成手段が作成したワンタイムパスワードとに基づいて、前記端末の認証を行うＯＴＰ認証手段と、
前記ＯＴＰ認証手段による認証に成功した場合に、前記端末に対して前記サービスを提供するための処理を実行するサービス実行手段と、
を備える。

本発明によれば、ユーザに負担をかけずにログインの際のセキュリティを向上させることが可能となる。

本発明の実施形態１に係るサービス提供システムの構成例を示す図である。 サーバの構成例を示すブロック図である。 顧客ＤＢの構成例を示す図である。 認証装置の構成例を示すブロック図である。 電話番号記憶ＤＢの構成例を示す図である。 着信管理ＤＢの構成例を示す図である。 ユーザ端末の構成例を示すブロック図である。 本発明の実施形態１に係るサービス提供システムの機能構成図である。 実施形態１に係るログイン処理の一例を示すフローチャート（その１）である。 実施形態１に係るログイン処理の一例を示すフローチャート（その２）である。 実施形態１に係るログイン処理の一例を示すフローチャート（その３）である。 実施形態１に係るログイン処理の一例を示すフローチャート（その４）である。 パスワード認証処理の一例を示すフローチャートである。 電話依頼画面の例を示す図である。 入力画面の例を示す図である。 本発明の実施形態２に係るサービス提供システムの構成例を示す図である。 本発明の実施形態２に係るサービス提供システムの機能構成図である。 実施形態２に係るログイン処理の一例を示すフローチャート（その１）である。 実施形態２に係るログイン処理の一例を示すフローチャート（その２）である。 実施形態２に係るログイン処理の一例を示すフローチャート（その３）である。 実施形態２における電話依頼画面の例を示す図である。

＜実施形態１＞
以下、本発明の実施形態１について図面を参照しながら詳細に説明する。なお、図中、同一または同等の部分には同一の符号を付す。

図１は、本発明の実施形態１に係るサービス提供システム１の全体構成を示す図である。サービス提供システム１は、サーバ１０と認証装置２０とを備える。サーバ１０は、インターネットＮ１を介して、ユーザ端末３０に接続される。認証装置２０は、電話網Ｎ２を介して携帯端末４０に接続されるとともに、インターネットＮ１を介してサーバ１０に接続される。

サーバ１０は、インターネットＮ１を介してユーザ端末３０に各種のサービスを提供するＷｅｂサーバである。なお、ここでいう「サービス」とは、例えば、インターネットＮ１を利用したネットバンキング、ネットショッピング、オンライントレード、電子チケットシステム等のサービスであり、利用時に正規のユーザであるかどうかの認証を受ける必要がある。サーバ１０は、例えば、提供するサービスを運営する企業によって管理される。サーバ１０は、図２に示すように、通信部１１と、記憶部１２と、制御部１３と、を備える。なお、サーバ１０は、１台のコンピュータから構成されていてもよいし、複数台のコンピュータから構成されていてもよい。なお、図１では１つのサーバ１０しか示していないが、異なるサービスを提供する複数のサーバ１０がそれぞれ認証装置２０に接続されていてもよい。

通信部１１は、制御部１３の制御の下、インターネットＮ１を介して、ユーザ端末３０や認証装置２０とデータ通信を行う。通信部１１は、例えば、ＮＩＣ（Network Interface Card）などの通信インタフェースを備える。例えば、通信部１１は、インターネットＮ１を介して、ユーザ端末３０からサービスのログイン要求を受信する。

記憶部１２は、ハードディスクドライブなどであり、サーバ１０が動作するために必要な各種のデータを記憶する。例えば、記憶部１２は、顧客ＤＢ１２１を記憶している。

顧客ＤＢ１２１には、このサーバ１０が提供するサービスを利用可能な各ユーザに関する情報が記憶される。具体的には、図３に示すように、顧客ＤＢ１２１には、ユーザ毎に、ユーザＩＤ、パスワード、電話番号、パスワード有効／無効フラグ、当日エラー回数、累積エラー回数、第１暗号鍵、暗号化データ等が記憶される。

顧客ＤＢ１２１に記憶されている電話番号は、ユーザの携帯端末４０に設定されている電話番号であり、携帯端末４０を一意に識別する情報である。顧客ＤＢ１２１に登録されているレコードにより、ユーザ（ユーザＩＤ）と該ユーザの携帯端末４０（電話番号）とが関連付けられる。

また、顧客ＤＢ１２１に記憶されているパスワード有効／無効フラグは、パスワードが現在有効であるか無効であるかを示す。顧客ＤＢ１２１に記憶されている当日エラー回数は、後述するログイン処理で、ユーザが入力したパスワードが一致しないでエラーとなった当日の回数を示す。当日エラー回数は、日付が変わったタイミングでリセットされる。当日エラー回数が、予め定めた当日限度回数を超えた場合、所定の停止期間、パスワード有効／無効フラグが「無効」に設定される。これにより、停止期間の間、そのユーザはサービスにログインできなくなる。

また、顧客ＤＢ１２１に記憶されている累積エラー回数は、ユーザが入力したパスワードが一致しないでエラーとなったこれまでの累積の回数を示す。累積エラー回数が予め定めた累積限度回数を超えた場合、パスワード有効／無効フラグが「無効」に設定される。これにより、所定のリセット処理等がなされるまで、このユーザからのログインは停止される。

また、顧客ＤＢ１２１に記憶されている第１暗号鍵は、認証装置２０から受信したワンタイムパスワード（以下、ＯＴＰ）とユーザのパスワードとから不可逆に作成され、ログイン後にサーバ１０とユーザ端末３０との間で送受信するデータを暗号化、復号するために利用される。例えば、第１暗号鍵は、ＯＴＰとパスワードとを連結した文字列をＭＤ（Message Digest algorithm）５等のハッシュ関数でハッシュ化することにより作成される。

また、顧客ＤＢ１２１に記憶されている暗号化データは、サーバ１０がサービスを提供する際に必要なユーザに関するデータのうち秘匿性の高いデータを暗号化したものである。暗号化データは、例えば、ユーザのクレジット情報を暗号化したデータや、ユーザの口座情報を暗号化したデータである。どのようなデータを顧客ＤＢ１２１に暗号化データとして保持するかは、ユーザ毎に設定できるようにしてもよいし、サーバ１０側で一律に設定してもよい。

例えば、暗号化データは、ユーザ端末３０からの初回ログイン後に、サーバ１０が、ユーザ端末３０から受信した登録用のデータ（クレジット情報等）を認証装置２０から取得した暗号鍵を用いて暗号化することで作成され、顧客ＤＢ１２１に記憶される。例えば、認証装置２０が着信管理ＤＢ２２２に記憶されているログインユーザの認証情報に所定の加工をしたものを暗号化データの暗号鍵として用いる。なお、他の暗号鍵を用いて暗号化データを暗号化してもよい。暗号化データの暗号化は共通鍵方式で行われており、暗号化に用いた暗号鍵で暗号化データを復号することが可能である。以下の説明では、暗号化データの暗号化に用いた暗号鍵を第２暗号鍵と表記する。

図２に戻り、制御部１３は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等（何れも図示せず）を備え、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭや記憶部１２に記憶されている各種プログラムを適宜実行することにより、サーバ１０全体を制御する。

図１に戻り、続いて、認証装置２０について説明する。認証装置２０は、ユーザ端末３０からサーバ１０へのログイン要求があった際に、サーバ１０からの依頼に基づいて認証用のＯＴＰの作成を行う処理を行う。また、認証装置２０は、ユーザの携帯端末４０からの電話着信を受け付け、当該着信元の電話番号等に基づいて携帯端末４０を認証（電話認証）する処理を行う。認証装置２０は、図４に示すように、通信部２１と、記憶部２２と、制御部２３と、を備える。なお、認証装置２０は、１台のコンピュータから構成されていてもよいし、複数台のコンピュータから構成されていてもよい。

通信部２１は、制御部２３の制御の下、電話網Ｎ２を介して、携帯端末４０と通信する。また、通信部２１は、制御部２３の制御の下、インターネットＮ１を介して、サーバ１０と通信する。

記憶部２２は、例えば、ハードディスクドライブなどであり、認証装置２０が動作するために必要な各種のデータを記憶する。また、記憶部２２には、電話番号記憶ＤＢ２２１と、着信管理ＤＢ２２２と、が格納されている。

電話番号記憶ＤＢ２２１には、認証装置２０に設定されている複数の電話番号が記憶されている。携帯端末４０は、電話番号記憶ＤＢ２２１に複数記憶されているうちの何れかの電話番号を指定して認証装置２０に電話発信することができる。具体的には、図５に示すように、電話番号記憶ＤＢ２２１には、電話番号と契約年月日とが対応付けられたレコードが複数記憶されている。契約年月日は、この電話番号が電話接続用に契約された日を示す。例えば、管理者は、契約日から一定期間（例えば、１年間）が経過した電話番号を電話番号記憶ＤＢ２２１から削除してもよい。なお、電話番号記憶ＤＢ２２１は、１つの電話番号のみを記憶してもよい。

着信管理ＤＢ２２２には、携帯端末４０からの電話着信に関する情報等が格納される。具体的には、図６に示すように、着信管理ＤＢ２２２には、認証情報と、着信先電話番号と、ＯＴＰと、登録日時と、が対応付けられて記憶される。着信管理ＤＢ２２２は、本発明の認証情報記憶手段の一例である。

着信管理ＤＢ２２２に記憶される認証情報は、携帯端末４０からの着信電話番号を所定の手法（例えば、ハッシュ化）を用いて不可逆に変換した情報である。認証情報は、着信管理ＤＢ２２２に記憶されるレコードを識別するためのキーとして設定されている。そのため、同一の認証情報を有するレコードが重複して着信管理ＤＢ２２２に登録されることはない。

着信管理ＤＢ２２２に記憶される着信先電話番号は、当該電話着信の宛先を示す電話番号である。着信先電話番号は、電話番号記憶ＤＢ２２１に記憶されている複数の有効な電話番号のうちの何れかである。着信管理ＤＢ２２２に記憶される登録日時は、当該着信のあった日時を示す。

図４に戻り、制御部２３は、ＣＰＵ、ＲＯＭ、ＲＡＭ等（何れも図示せず）を備え、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭや記憶部２２に記憶されている各種プログラムを適宜実行することにより、認証装置２０の全体を制御する。

図１に戻り、続いて、ユーザ端末３０について説明する。ユーザ端末３０は、例えば、ユーザによって操作されるＰＣ（Personal Computer）であり、インターネットＮ１を介して、サーバ１０に接続される。ユーザ端末３０は、図７に示すように、通信部３１と、入力部３２と、表示部３３と、記憶部３４と、制御部３５と、を備える。

通信部３１は、通信インタフェースを備え、制御部３５の制御の下、インターネットＮ１を介して、サーバ１０とデータ通信を行う。

入力部３２は、キーボードやマウス等であり、ユーザ端末３０に様々な情報を入力するために使用される。例えば、ユーザは、サービスにログインする際に、入力部３２を操作して、自分のユーザＩＤを入力する。また、ユーザは、入力部３２を操作して、サーバ１０から受信したＵＲＬ（Uniform Resource Locator）を復号するために必要なパスワードを入力する。なお、ＵＲＬは、本発明のアドレス情報に対応する。

表示部３３は、例えば液晶ディスプレイ等であり、制御部３５の制御の下、様々な情報を出力する。例えば、表示部３３は、後述する入力画面や電話依頼画面を表示する。

記憶部３４は、例えば、ハードディスクトライブやフラッシュメモリであり、ユーザ端末３０が動作するために必要な各種のデータやプログラムを記憶する。例えば、記憶部３４には、ログイン画面の画面データが記憶されている。

制御部３５は、ユーザ端末３０全体を制御する。制御部３５は、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭなどを備える。例えば、制御部３５は、入力部３２を介してユーザから入力されたパスワードを用いて、サーバから受信した暗号化されたＵＲＬを復号する処理等を行う。

図１に戻り、携帯端末４０は、例えば、スマートフォンや携帯電話であり、図示せぬタッチパネル、ＣＰＵ、ＲＯＭ、ＲＡＭ、フラッシュメモリ等を備える。携帯端末４０は、電話機能を有しており、電話網Ｎ２を介して、認証装置２０と電話接続することが可能である。

続いて、本発明の実施形態１に係るサービス提供システム１の機能的な構成について、図８を参照して説明する。

サーバ１０は、機能的な構成として、ログイン要求取得部１０１と、暗号化部１０２と、ＵＲＬ送信部１０３と、パスワード認証部１０４と、電話認証要求部１０５と、サービス実行部１０６と、を備える。これらの各部１０１〜１０６は、通信部１１、記憶部１２、及び、制御部１３により実現される。認証装置２０は、機能的な構成として、ＯＴＰ作成部２０１と、ＯＴＰ認証部２０２と、電話認証部２０３と、を備える。これらの各部２０１〜２０３は、通信部２１、記憶部２２、及び、制御部２３により実現される。

ログイン要求取得部１０１は、インターネットＮ１を介して、ユーザ端末３０からユーザをサービスにログインさせることを要求するログイン要求を取得する。なお、ログイン要求にはユーザＩＤのみが含まれており、パスワードは含まれていない。ログイン要求取得部１０１は、本発明のログイン要求取得手段の一例である。

ＯＴＰ作成部２０１は、乱数などのＯＴＰを作成して、認証装置２０の電話番号とともにサーバ１０に送信する。ＯＴＰ作成部２０１は、本発明のＯＴＰ作成手段の一例である。

電話認証要求部１０５は、ユーザの携帯端末４０から認証装置２０に指定の電話番号で電話発信することを依頼するための電話依頼画面の画面データを、ログイン要求の送信元であるユーザ端末３０に送信する。電話認証要求部１０５は、本発明の電話認証要求手段の一例である。

電話認証部２０３は、携帯端末４０からの指定の電話番号への電話着信に基づいて、当該携帯端末４０が正規な端末であることを認証（端末認証）し、認証に成功した場合、電話認証完了通知を暗号化部１０２に送信する。電話認証部２０３は、本発明の電話認証手段の一例である。

暗号化部１０２は、認証装置２０から受信したＯＴＰをパラメータに含んだサーバにアクセスするためのＵＲＬをログインユーザのパスワードを用いて暗号化する。暗号化部１０２は、本発明の暗号化手段の一例である。

ＵＲＬ送信部１０３は、暗号化部１０２が暗号化したＵＲＬと、当該ＵＲＬを復号するための情報を入力するための入力画面の画面データとをログイン要求の送信元であるユーザ端末３０に送信する。ＵＲＬ送信部１０３は、本発明のアドレス送信手段の一例である。

パスワード認証部１０４は、ユーザ端末３０からＵＲＬによるアクセスがあった際に、このＵＲＬとともに受信したパスワード認証のエラー回数に基づいた認証（パスワード認証）を行い、パスワード認証に成功すると、ＯＴＰ認証部２０２にＯＴＰ認証依頼を送信する。パスワード認証部１０４は、本発明のパスワード認証手段の一例である。

ＯＴＰ認証部２０２は、ユーザ端末３０から受信したＯＴＰが、ＯＴＰ作成部２０１が作成したＯＴＰと一致することを確認した後、認証完了通知をサービス実行部１０６に送信する。ＯＴＰ認証部２０２は、本発明のＯＴＰ認証手段の一例である。

サービス実行部１０６は、ＯＴＰ認証部２０２から認証完了通知を受信した場合に、ログイン要求の送信元のユーザ端末３０に対して所定のサービスを提供するための処理を実行する。また、サービス実行部１０６は、ログイン後にユーザ端末３０との間で送受信されるデータを暗号化するための第２暗号鍵を作成して、顧客ＤＢ１２１内に記憶する。サービス実行部１０６は、本発明のサービス実行手段の一例である。

続いて、上述したサービス提供システム１でユーザを所定のサービスにログインさせるログイン処理について、図９〜図１２のフローチャートを用いて説明する。

サーバ１０が提供するサービスを利用したいユーザ（以下、「ログインユーザ」ともいう）は、ユーザ端末３０の入力部３２を操作して、表示部３３に表示されているログイン画面に自分のユーザＩＤを入力し、所定の操作を行う。この操作に応答して、ユーザ端末３０の制御部３５は、入力されたユーザＩＤを含んだログイン要求を、インターネットＮ１を介して、サーバ１０に送信する（図９のステップＳ１０１）。なお、以下の説明では、ログイン要求に含まれるユーザＩＤをログインユーザＩＤとも表記する。

サーバ１０のログイン要求取得部１０１は、ログイン要求を受信すると、ログインユーザＩＤを含んだレコードが顧客ＤＢ１２１に記憶されていること、及び、当該レコードのパスワードが有効（即ち、パスワード有効／無効フラグが「有効」）であることを確認する（ステップＳ１０２）。そのようなレコードが記憶されていない場合、ログイン処理はエラーとして終了する。

続いて、ログイン要求取得部１０１は、ログインユーザの携帯端末４０の電話番号を顧客ＤＢ１２１から取得し、当該電話番号から認証用の認証情報を作成する（ステップＳ１０３）。

具体的には、ログイン要求取得部１０１は、取得した電話番号に対して、所定の規則（以下、番号加工規則という）に従った加工を行なってから、所定の規則（以下、番号変換規則）に従った不可逆な変換を行うことで認証情報を作成する。なお、番号加工規則は、どのような規則でも良く、例えば、電話番号の下４桁を先頭に移動させる規則や電話番号の各数字の間に特定の文字列や数字を挿入する規則であっても良い。また、番号変換規則は、不可逆であればどのような変換でも良く、例えば、ＭＤ５を用いたハッシュ変換を行う規則であっても良い。

続いて、ログイン要求取得部１０１は、作成した認証情報を含んだＯＴＰ取得依頼を認証装置２０に送信する（ステップＳ１０４）。

認証装置２０の電話認証部２０３は、受信したＯＴＰ取得依頼に含まれる認証情報を有するレコードが着信管理ＤＢ２２２に登録されていないことを確認する（ステップＳ１０５）。このようなレコードが登録されている場合は、エラーとして処理は終了する。

続いて、ＯＴＰ作成部２０１は、ＯＴＰを作成する（ステップＳ１０６）。そして、ＯＴＰ作成部２０１は、電話番号記憶ＤＢ２２１に格納されている複数の有効な電話番号の中から１つを選択する（ステップＳ１０７）。

続いて、ＯＴＰ作成部２０１は、受信したＯＴＰ取得依頼に含まれる認証情報と、ステップＳ１０７で選択した電話番号（着信先電話番号）と、ステップＳ１０６で作成したＯＴＰと、を含んだレコードを着信管理ＤＢ２２２に登録する（ステップＳ１０８）。そして、ＯＴＰ作成部２０１は、選択した電話番号と作成したＯＴＰとをサーバ１０に送信する（ステップＳ１０９）。

電話番号とＯＴＰとを受信すると、サーバ１０の電話認証要求部１０５は、ログイン後にユーザ端末３０との間で送受信するデータを暗号化するための第１暗号鍵を、ログインユーザのパスワードと認証装置２０から受信したＯＴＰとから作成して、顧客ＤＢ１２１のログインユーザのレコードに登録する（図１０、ステップＳ１１０）。

続いて、電話認証要求部１０５は、ステップＳ１０９で認証装置２０から受信した電話番号宛に電話発信することを要求する電話依頼画面の画面データを、ログイン要求の送信元のユーザ端末３０に送信（返信）する（ステップＳ１１１）。電話依頼画面の画面データは、本願発明の電話要求情報に対応する。なお、電話認証要求部１０５は、電話要求情報として、電話発信先の電話番号のみをユーザ端末３０に送信してもよい。

続いて、ユーザ端末３０の制御部３５は、受信した画面データに基づいて、図１４に示すような電話依頼画面を表示部３３に表示させる（ステップＳ１１２）。なお、図１４に示す電話依頼画面に表示されている電話番号「０３−１２３４−４４４４」は、ステップＳ１０７で選択した電話番号である。

図１０に戻り、ユーザは、電話認証依頼画面で指示された内容に従って自身の携帯端末４０を操作し、当該操作に応答して、携帯端末４０は、電話依頼画面で指示された電話番号で、認証装置２０に電話発信する（ステップＳ１１３）。

電話着信があると、認証装置２０の電話認証部２０３は、ステップＳ１０３と同じ手法で着信電話番号を認証情報に変換する。そして、電話認証部２０３は、変換した認証情報と、電話着信の着信元の電話番号と、の組を有するレコードが着信管理ＤＢ２２２に登録されており、且つ、当該レコードの登録日時から所定時間（例えば、１０分）が経過していないことを確認する電話認証を行う（ステップＳ１１４）。このようなレコードが無い場合は、エラーとして処理を終了する。

なお、電話認証部２０３は、携帯端末４０からの電話着信に応答せずに直ちに当該電話着信を切断する。これにより、ログインユーザ側に電話代が請求されることは無い。また、電話認証部２０３は、ステップＳ１１４でエラーとなった場合のみ電話着信に所定の音声で応答してもよい。この場合は不当な第三者からの電話着信である可能性が高いためである。

電話認証に成功すると、電話認証部２０３は、電話認証完了通知をサーバ１０に送信する（ステップＳ１１５）。

電話認証完了通知を受信すると、サーバ１０の暗号化部１０２は、認証装置２０から受信したＯＴＰをパラメータに含んだ、サーバ１０にアクセスするためのＵＲＬを作成する（ステップＳ１１６）。このＵＲＬは、具体的には、サーバ１０のドメイン名等を含んだＵＲＬに、クエリパラメータとしてＯＴＰを付加したＵＲＬである。

続いて、暗号化部１０２は、作成したＵＲＬをログインユーザのパスワードを暗号鍵にして暗号化する（図１１、ステップＳ１１７）。なお、この暗号化は、共通鍵暗号方式でなされており、暗号化したＵＲＬは、暗号化に用いた暗号鍵（即ち、ログインユーザのパスワード）で復号することができる。なお、ログインユーザのパスワードは、顧客ＤＢ１２１から取得すればよい。

続いて、ＵＲＬ送信部１０３は、暗号化したＵＲＬと、ログインユーザにパスワードを入力させるための入力画面の画面データと、をユーザ端末３０に送信する（ステップＳ１１８）。

ユーザ端末３０の制御部３５は、受信した画面データに基づいて、図１５（Ａ）に示すような入力画面を表示部３３に表示させる（ステップＳ１１９）。ログインユーザは、ユーザ端末３０の入力部３２を介して、入力画面上に自分のパスワードを入力し、ＯＫボタンを押下する。この操作に応答して、ユーザ端末３０の制御部３５は、入力されたパスワードを用いて、受信したＵＲＬを復号する（ステップＳ１２０）。

なお、入力されたパスワードでＵＲＬを復号できなかった場合、制御部３５は、図１５（Ｂ）に示すようなパスワードの再入力を促す入力画面を表示部３３に表示させる。また、制御部３５は、パスワードが再入力された回数（エラー回数）をカウントする。例えば、制御部３５は、入力画面からＯＫボタンが押下された回数から１を減算した数をエラー回数としてもよい。

図１１に戻り、ＵＲＬの復号が完了すると、ユーザ端末３０の制御部３５は、当該ＵＲＬに含まれるＯＴＰと入力画面から入力されたパスワードとから第１暗号鍵を作成し、記憶部３４に記憶する（ステップＳ１２１）。この第１暗号鍵は、ログイン後にサーバ１０と送受信するデータの暗号化に利用される。なお、既に第１暗号鍵が記憶されている場合は、今回作成した第１暗号鍵に更新する。ステップＳ１２１の処理と前述したステップＳ１１０の処理とにより、ユーザ端末３０とサーバ１０との双方で、同一の第１暗号鍵が保存されることになる。

続いて、ユーザ端末３０の制御部３５は、復号したＵＲＬを用いてサーバ１０にアクセスするとともに、エラー回数をサーバ１０に通知する（ステップＳ１２２）。これにより、エラー回数とともに、ＵＲＬ内に含まれるＯＴＰがサーバ１０に送信される。

サーバ１０のパスワード認証部１０４は、ユーザ端末３０からＵＲＬによるアクセスがあると、同時に受信したエラー回数に基づいて認証を行うパスワード認証処理を実行する（図１２、ステップＳ１２３）。パスワード認証処理の詳細について、図１３のフローチャートを用いて説明する。

パスワード認証処理が開始されると、まず、パスワード認証部１０４は、受信したエラー回数が０であるか否かを判別する（ステップＳ１２３Ａ）。エラー回数が０である場合は（ステップＳ１２３Ａ；Ｙｅｓ）、ユーザは１回の入力で自分のパスワードを正し入力しているため、パスワード認証部１０４は認証成功と判断する（ステップＳ１２３Ｂ）。そして、パスワード認証部１０４は、顧客ＤＢ１２１に記憶されているログインユーザの累積エラー回数と当日エラー回数を０に更新し（ステップＳ１２３Ｃ）、パスワード認証処理は終了する。

一方、エラー回数が１以上である場合（ステップＳ１２３Ａ；Ｎｏ）、パスワード認証部１０４は、顧客ＤＢ１２１に記憶されているログインユーザの当日エラー回数と累積エラー回数を、受信したエラー回数分だけ加算する（ステップＳ１２３Ｄ）。

続いて、パスワード認証部１０４は、累積エラー回数が予め定めた累積限度回数を超えているか否かを判別する（ステップＳ１２３Ｅ）。超えている場合（ステップＳ１２３Ｅ；Ｙｅｓ）、パスワード認証部１０４は、ログインユーザのパスワード有効／無効フラグを「無効」に設定し（ステップＳ１２３Ｆ）、パスワード認証処理およびログイン処理は、エラーとして終了する。

一方、累積エラー回数が累積限度回数を超えていないものの（ステップＳ１２３Ｅ；Ｎｏ）、当日エラー回数が予め定めた当日限度回数を超えている場合は（ステップＳ１２３Ｇ；Ｙｅｓ）、パスワード認証部１０４は、予め定めた期間、ログインユーザのパスワード有効／無効フラグを「無効」に設定し（ステップＳ１２３Ｈ）、パスワード認証処理およびログイン処理は、エラーとして終了する。

一方、累積エラー回数が累積限度回数を超えてなく（ステップＳ１２３Ｅ；Ｎｏ）、当日エラー回数が当日限度回数を超えていない場合は（ステップＳ１２３Ｇ；Ｎｏ）、パスワード認証部１０４は、認証成功と判断し（ステップＳ１２３Ｂ）、累積エラー回数と当日エラー回数を０に更新し（ステップＳ１２３Ｃ）、パスワード認証処理は終了する。

図１２に戻り、パスワード認証処理で認証成功と判断された後、サーバ１０のパスワード認証部１０４は、認証装置２０にＯＴＰ認証依頼を送信する（ステップＳ１２４）。このＯＴＰ認証依頼には、ユーザ端末３０から受信したＵＲＬに付されているＯＴＰと、ステップＳ１０３で作成したログインユーザの認証情報とを含める。

認証装置２０のＯＴＰ認証部２０２は、受信したＯＴＰ確認依頼に含まれる認証情報とＯＴＰとの組を有するレコードが、着信管理ＤＢ２２２に登録されていることを確認する（ステップＳ１２５）。そのようなレコードが登録されていない場合、エラーとして処理は終了する。

続いて、ＯＴＰ認証部２０２は、ステップＳ１２５で確認した着信管理ＤＢ２２２のレコードに含まれる認証情報に所定の加工を行った第２暗号鍵を作成する（ステップＳ１２６）。第２暗号鍵は、サーバ１０に記憶されているログインユーザの暗号化データを復号するために使用される。第２暗号鍵を作成した後、ＯＴＰ認証部２０２は、当該レコードを削除する（ステップＳ１２７）。そして、ＯＴＰ認証部２０２は、認証完了通知を作成した第２暗号鍵とともにサーバ１０に送信する（ステップＳ１２８）。

認証完了通知を受信すると、サーバ１０のサービス実行部１０６は、同時に受信した第２暗号鍵を用いて、顧客ＤＢ１２１に格納されているログインユーザの暗号化データを復号する（ステップＳ１２９）。なお、ステップＳ１２９で復号されたデータは、例えば、クレジット情報や口座情報等であり、ログイン後の振り込み処理や支払い処理等で利用され、ログオフ時に消去される。

続いて、サービス実行部１０６は、ログイン要求の送信元のユーザ端末３０をサーバ１０が提供するサービスにログインさせる（ステップＳ１３０）。これにより、ユーザ端末３０は、サーバ１０の提供するサービスを利用することが可能となる。以上でログイン処理は終了する。

このように、本実施形態によれば、ログイン処理でユーザ端末３０からサービス提供システムに送信されるログイン要求にはユーザＩＤのみが含まれ、パスワードは含まれない。そして、携帯端末４０からの電話着信に基づいた認証（電話認証）を行った後、ユーザ端末３０は、サーバ１０から受信した暗号化されたＵＲＬをユーザが入力したパスワードで復号し、当該ＵＲＬによりサーバ１０にアクセスする。そして、認証装置２０は、ユーザ端末３０からサーバ１０にアクセスがあった際に、ＵＲＬに含まれるＯＴＰを確認することで、パスワードが正しいことを確認できる。即ち、本実施形態では、サービス提供システム１は、ログイン処理の際にユーザ端末３０からパスワードを取得しないにもかかわらず、パスワードが正しく入力されたことを確認することができる。そのため、本実施形態では、ログインの際に、パスワードが漏洩する虞が極めて低く、不正ログインを確実に防止することが可能となる。

また、本実施形態によれば、ユーザ端末３０は、サーバ１０から受信したＵＲＬをパスワードで復号できたことにより、サーバ１０にログインユーザのパスワードが正しく記憶されていることがわかる。そのため、ユーザ端末３０は、正規のサーバ１０であることを認証することができる。一方、サーバ１０は、ユーザ端末３０から受信したＯＴＰが作成したＯＴＰと一致することを確認することで、当該ユーザ端末３０が正規の端末であることを認証することができる。よって、電子証明書等を発行すること無しに、ユーザ端末３０とサーバ１０との間で相互認証を行うことが可能となる。よって、ユーザに負担をかけずにログイン時のセキュリティを向上させることが可能となる。

また、本実施形態によれば、ユーザ端末３０から受信したパスワード入力のエラー回数が予め定めた限度回数以上である場合は、エラーと判断されてログインは許可されない。そのため、自動入力ソフト等を用いて、入力画面からのパスワード入力を複数回試行することでＵＲＬの復号に成功できたとしても、ログインは許可されないため、不正ログインをより確実に防止することができる。

また、本実施形態によれば、電話認証部２０３による電話認証だけでなく、パスワード認証部１０４による認証とＯＴＰ認証部２０２とによる認証とに成功しないとユーザはサービスにログインできない。これにより、第三者が正規のユーザに対して携帯端末４０から所定の電話番号宛に電話発信することを促し、正規のユーザがこれに応じて電話発信することで第三者が不正にログインできてしまうという、従来の電話認証で発生する可能性がある不正も確実に防止することが可能となる。

また、本実施形態によれば、ログイン処理の過程で、サーバ１０とユーザ端末３０との両方に、同一の第１暗号鍵が保存される。そして、ログイン後は、サーバ１０とユーザ端末３０との間で送受信されるデータは、この第１暗号鍵を用いて暗号化及び復号される。そのため、ログイン後のセキュリティも向上させることが可能となる。

また、本実施形態によれば、認証装置２０の着信管理ＤＢ２２２にはユーザの電話番号は記憶されず、電話番号から不可逆に作成された認証情報が代わりに記憶される。そのため、不正アクセスなどによって着信管理ＤＢ２２２に記憶されているデータが万が一漏洩したとしても、認証情報は第三者には全く意味の無い情報であるため、漏洩による被害を最小限に抑えることが可能となる。

なお、本実施形態では、パスワード認証部１０４が、ユーザ端末３０から受信したエラー回数に基づいた認証処理（パスワード認証処理）を実行した。しかしながら、パスワード認証処理を必ず実行する必要はなく、実行しない場合はユーザ端末３０からエラー回数を受信する必要もない。

＜実施形態２＞
続いて、実施形態２に係るサービス提供システム２について説明する。サービス提供システム２の構成を図１６に示す。本実施形態では、ユーザ端末３０は、例えばスマートフォンであり、電話接続機能を有する。実施形態１と異なり、ユーザ端末３０は、電話網Ｎ２を介して、認証装置２０とも接続される。また、顧客ＤＢ１２１に記憶されている電話番号は、ユーザのユーザ端末３０に設定されている電話番号である。

サービス提供システム２の機能構成図を図１７に示す。サービス提供システム２は、実施形態１に係るサービス提供システム１と比較して、サーバ１０は、ＵＲＬ送信部１０３とパスワード認証部１０４とを備えない。また、認証装置２０は、ＯＴＰ認証部２０２を備えない。また、本実施形態の暗号化部１０２は、ユーザのパスワードを暗号鍵として、ＯＴＰ及び電話依頼画面の画面データを暗号化する。

続いて、サービス提供システム２で実行されるログイン処理いついて、図１８〜図２０のフローチャートを用いて説明する。なお、実施形態１のログイン処理と共通する部分については、適宜説明を簡略化する。

ユーザからの操作に応答して、ユーザ端末３０の制御部３５は、インターネットを介して、ログインユーザのユーザＩＤを含んだログイン要求をサーバ１０に送信する（ステップＳ２０１）。

サーバ１０のログイン要求取得部１０１は、受信したログイン要求に含まれるログインユーザＩＤを含んだレコードが顧客ＤＢ１２１に記憶されていること、及び、当該レコードのパスワードが有効であることを確認する（ステップＳ２０２）。確認後、ログイン要求取得部１０１は、ログインユーザの電話番号から認証情報を作成し（ステップＳ２０３）、作成した認証情報を含んだＯＴＰ取得要求を認証装置２０に送信する（ステップＳ２０４）。

認証装置２０の電話認証部２０３は、受信したＯＴＰ取得依頼に含まれる認証情報を有するレコードが着信管理ＤＢ２２２に登録されていないことを確認し（ステップＳ２０５）、確認後、ＯＴＰを作成する（ステップＳ２０６）。

続いて、ＯＴＰ作成部２０１は、電話番号記憶ＤＢ２２１に格納されている複数の有効な電話番号の中から１つを選択する（ステップＳ２０７）。そして、ＯＴＰ作成部２０１は、ＯＴＰ取得依頼に含まれる認証情報と、選択した電話番号（着信先電話番号）と、作成したＯＴＰとを含んだレコードを着信管理ＤＢ２２２に登録する（ステップＳ２０８）。そして、ＯＴＰ作成部２０１は、選択した電話番号とＯＴＰとをサーバ１０に送信する（ステップＳ２０９）。

電話番号とＯＴＰとを受信すると、サーバ１０の電話認証要求部１０５は、ログインユーザのパスワードと認証装置２０から受信したＯＴＰとに基づいて第１暗号鍵を、作成して、顧客ＤＢ１２１のログインユーザのレコードに登録する（図１９、ステップＳ２１０）。

続いて、暗号化部１０２は、受信したＯＴＰ及び受信した電話番号宛に電話発信することを要求する電話依頼画面の画面データをログインユーザのパスワードを暗号鍵にした共通鍵方式で暗号化する（ステップＳ２１１）。そして、電話認証要求部１０５は、ログインユーザにパスワードを入力させるための入力画面の画面データと暗号化したデータとを、ユーザ端末３０に送信する（ステップＳ２１２）。

ユーザ端末３０の制御部３５は、受信した画面データに基づいて入力画面を表示部３３に表示させる（ステップＳ２１３）。そして、入力画面から受け付けたユーザからの操作に応答して、ユーザ端末３０の制御部３５は、入力されたパスワードを用いて、受信したデータを復号する（ステップＳ２１４）。この処理により、ＯＴＰと電話依頼画面の画面データが復号される。

続いて、ユーザ端末３０の制御部３５は、復号したＯＴＰと入力画面から入力されたパスワードとから第１暗号鍵を作成し、記憶部３４に記憶する（ステップＳ２１５）。

続いて、ユーザ端末３０の制御部３５は、復号した画面データに基づいて、図２１に示すような電話依頼画面を表示部３３に表示させる（ステップＳ２１６）。ユーザは、電話依頼画面に表示されている電話番号をクリックする。当該操作に応答して、制御部３５は、電話依頼画面で示された電話番号宛に電話発信する（図２０、ステップＳ２１７）。

電話着信があると、認証装置２０の電話認証部２０３は、着信電話番号を認証情報に変換する。そして、電話認証部２０３は、変換した認証情報と電話着信先の電話番号との組を有するレコードが着信管理ＤＢ２２２に登録されており、且つ、当該レコードの登録日時から所定時間（例えば、１０分）が経過していないことを確認する（ステップＳ２１８）。

そして、電話認証部２０３は、ステップＳ２１８で確認した着信管理ＤＢ２２２のレコードに含まれる認証情報に所定の加工を行った第２暗号鍵を作成し（ステップＳ２１９）、その後、当該レコードを削除する（ステップＳ２２０）。そして、電話認証部２０３は、作成した第２暗号鍵と、削除したレコードに含まれていたログインユーザの認証情報と、認証完了通知と、をサーバ１０に送信する（ステップＳ２２１）。

認証完了通知を受信すると、サーバ１０のサービス実行部１０６は、同時に受信した第２暗号鍵を用いて、顧客ＤＢ１２１に格納されているログインユーザの暗号化データを復号する（ステップＳ２２２）。そして、サービス実行部１０６は、ログイン要求の送信元のユーザ端末３０をサーバ１０が提供するサービスにログインさせる（ステップＳ２２３）。

このように、本実施形態に係るサービス提供システム２によれば、ユーザ端末３０は、サーバ１０から受信したＵＲＬをパスワードで復号できたことにより、正規のサーバ１０であることを認証することができる。一方、サーバ１０は、ユーザ端末３０からの電話着信に基づいて、当該ユーザ端末３０が正規の端末であることを認証することができる。即ち、ユーザ端末３０とサーバ１０との間で相互認証を行うことが可能となり、ユーザに負担をかけずにログイン時のセキュリティを向上させることが可能となる。

また、本実施形態に係るサービス提供システム２では、実施形態１に係るサービス提供システム１と異なり、サーバ１０側でＯＴＰの一致を確認する認証処理（ＯＴＰ認証）が実行されないため、実施形態１よりも、ログイン時の処理速度を向上させることができる。

＜変形例＞
なお、上述した各実施形態は一例であり、種々の変更及び応用が可能である。例えば、ＯＴＰや第１暗号鍵や第２暗号鍵をどのような手法で作成するかは任意である。

例えば、上述した各実施形態では、サービス提供システム１、２は、サーバ１０と認証装置２０との２つの装置から構成されているが、両者の機能を統合した１つの装置によって、サービス提供システム１、２を構成してもよい。

各実施形態に係るサーバ１０、認証装置２０、又は上述したこれらを統合した１つの装置は、専用のシステムにより実現してもよいし、通常のコンピュータシステムにより実現してもよい。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体に格納して配布し、該プログラムをコンピュータにインストールして、上述の処理を実行することによって、サーバ１０、認証装置２０、又はこれらを統合した１つの装置を構成してもよい。また、上記プログラムをインターネット等のネットワーク上のサーバ１０、認証装置２０、又はこれらを統合した１つの装置が備えるディスク装置に格納しておき、コンピュータにダウンロード等できるようにしてもよい。また、上述の機能を、ＯＳ（Operating System）とアプリケーションソフトとの協働により実現してもよい。この場合には、ＯＳ以外の部分を媒体に格納して配布してもよいし、ＯＳ以外の部分をサーバ装置に格納しておき、コンピュータにダウンロード等できるようにしてもよい。

本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。つまり、本発明の範囲は、実施の形態ではなく、特許請求の範囲によって示される。そして、特許請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、本発明の範囲内とみなされる。

本発明は、サービスを提供するサービス提供システムに適する。

１，２ サービス提供システム、１０ サーバ、１１ 通信部、１２ 記憶部、１２１ 顧客ＤＢ、１３ 制御部、２０ 認証装置、２１ 通信部、２２ 記憶部、２２１ 電話番号記憶ＤＢ、２２２ 着信管理ＤＢ、２３ 制御部、３０ ユーザ端末、３１ 通信部、３２ 入力部、３３ 表示部、３４ 記憶部、３５ 制御部、２０１ ＯＴＰ作成部、２０２ ＯＴＰ認証部、２０３ 電話認証部、１０１ ログイン要求取得部、１０２ 暗号化部、１０３ ＵＲＬ送信部、１０４ パスワード認証部、１０５ 電話認証要求部、１０６ サービス実行部、４０ 携帯端末、Ｎ１ インターネット、Ｎ２ 電話網

Claims (9)

1. 端末から、ユーザをサービスにログインさせることを要求するログイン要求を取得するログイン要求取得手段と、
   前記ログイン要求を取得した際に、自システムに指定の電話番号で電話接続することを要求する電話要求情報を前記端末に送信する電話認証要求手段と、
   前記電話要求情報を送信した後に、前記ユーザの携帯端末からの電話着信に基づいた認証を行う電話認証手段と、
   ワンタイムパスワードを作成するＯＴＰ作成手段と、
   前記電話認証手段による認証に成功した場合に、前記ワンタイムパスワードを含んだ自システムにアクセスするためのアドレス情報を、前記ユーザのパスワードを用いて暗号化する暗号化手段と、
   前記暗号化手段で暗号化したアドレス情報を前記端末に送信するアドレス送信手段と、
   前記アドレス情報を送信した後に端末から受信したワンタイムパスワードと前記ＯＴＰ作成手段が作成したワンタイムパスワードとに基づいて、前記端末の認証を行うＯＴＰ認証手段と、
   前記ＯＴＰ認証手段による認証に成功した場合に、前記端末に対して前記サービスを提供するための処理を実行するサービス実行手段と、
   を備えるサービス提供システム。
2. 電話接続機能を有する端末から、ユーザをサービスにログインさせることを要求するログイン要求を取得するログイン要求取得手段と、
   前記ログイン要求を取得した際に、自システムに指定の電話番号で電話接続することを要求する電話要求情報を前記ユーザのパスワードを用いて暗号化する暗号化手段と、
   前記暗号化手段で暗号化した電話要求情報を前記端末に送信する電話認証要求手段と、
   前記暗号化した電話要求情報を送信した後に、前記端末からの電話着信に基づいた認証を行う電話認証手段と、
   前記電話認証手段による認証に成功した場合に、前記端末に対して前記サービスを提供するための処理を実行するサービス実行手段と、
   を備えるサービス提供システム。
3. 前記サービス実行手段は、前記端末において保持される暗号鍵と同一の、前記端末との間で送受信されるデータを暗号化するための暗号鍵を保持する、
   請求項１又は２に記載のサービス提供システム。
4. 認証情報をキーとしたレコードを記憶する認証情報記憶手段をさらに備え、
   前記電話認証手段は、
   前記ログイン要求を取得した際に、前記ユーザに関連付けられた電話番号に対して所定の加工を行った認証情報を含むレコードが既に前記認証情報記憶手段に登録されている場合は認証失敗と判断し、
   登録されていない場合は、前記認証情報を含んだレコードを前記認証情報記憶手段に登録する、
   請求項１から３の何れか１項に記載のサービス提供システム。
5. 前記電話認証手段は、
   前記電話着信の着信電話番号に対して前記所定の加工を行った認証情報を含むレコードが前記認証情報記憶手段に登録されている場合に認証成功と判断し、
   認証成功と判断した場合は当該レコードを削除又は無効にする、
   請求項４に記載のサービス提供システム。
6. 前記電話認証手段は、前記認証情報を含むレコードが前記認証情報記憶手段に登録されており、且つ、前記レコードの登録日時から所定の期間が経過していない場合に認証成功と判断する、
   請求項５に記載のサービス提供システム。
7. 前記ＯＴＰ認証手段は、前記アドレス送信手段が前記暗号化したアドレス情報を送信した後に、端末から受信した当該暗号化したアドレス情報を復号するために前記端末が受け付けたパスワード入力のエラー回数に基づいた認証を行うパスワード認証手段をさらに備える、
   請求項１に記載のサービス提供システム。
8. 端末から、ユーザをサービスにログインさせることを要求するログイン要求を取得するログイン要求取得ステップと、
   前記ログイン要求を取得した際に、自システムに指定の電話番号で電話接続することを要求する電話要求情報を前記端末に送信する電話認証要求ステップと、
   前記電話要求情報を送信した後に、前記ユーザの携帯端末からの電話着信に基づいた認証を行う電話認証ステップと、
   前記電話認証ステップでの認証に成功した場合に、ワンタイムパスワードを含んだ自システムにアクセスするためのアドレス情報を、前記ユーザのパスワードを用いて暗号化する暗号化ステップと、
   前記暗号化したアドレス情報を前記端末に送信するアドレス送信ステップと、
   前記アドレス情報を送信した後に端末から受信したワンタイムパスワードと前記ワンタイムパスワード作成ステップで作成したワンタイムパスワードとに基づいて、前記端末の認証を行うＯＴＰ認証ステップと、
   前記ＯＴＰ認証ステップで前記端末の認証に成功した場合に、前記端末に対して前記サービスを提供するための処理を実行する実行するサービス実行ステップと、
   を有するサービス提供方法。
9. 電話接続機能を有する端末から、ユーザをサービスにログインさせることを要求するログイン要求を取得するログイン要求取得ステップと、
   前記ログイン要求を取得した際に、自システムに指定の電話番号で電話接続することを要求する電話要求情報を前記ユーザのパスワードを用いて暗号化する暗号化ステップと、
   前記暗号化ステップで暗号化した電話要求情報を前記端末に送信する電話認証要求ステップと、
   前記暗号化した電話要求情報を送信した後に、前記端末からの電話着信に基づいた認証を行う電話認証ステップと、
   前記電話認証ステップでの認証に成功した場合に、前記端末に対して前記サービスを提供するための処理を実行するサービス実行ステップと、
   を備えるサービス提供方法。

Images