JP2002229951A - 本人認証システム - Google Patents

Abstract

(57)【要約】 【課題】第三者が、正規ユーザに設定されたユーザＩＤ
及びパスワードを入手して、サービス事業者に、不正に
アクセスすることを防ぐ。 【解決手段】パーソナルコンピュータ等のユーザ端末装
置１０と、電話機等の認証用端末装置１１とを備えたユ
ーザ設備７と、サービス事業者設備８とをインターネッ
ト３及びＩＳＤＮ／公衆回線９により接続して構成し、
サービス事業者設備８には、予め各ユーザに提供したＩ
Ｄやパスワードの識別情報と各ユーザの電話番号とを関
連づけて格納するユーザ情報データ格納部１２と、電気
通信事業者が提供する発信者電話番号通知機能を利用し
てユーザからの電話発信より当該ユーザの電話番号を取
得する認証専用アクセス装置１３と、取得した電話番号
を取得した時刻と関連づけて格納する電話番号データ格
納部１４と、ユーザからの識別情報を受信すると共にサ
ービスをユーザに提供するウェブサーバ１５とを備えて
いる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は本人認証システムに
関し、特にインターネット上で所定のサービスを提供す
る際に使用する本人認証を行うために、着信電話番号通
知機能を利用することにより、ユーザの電話設備に与え
られている電話番号を認証用電話番号として用いる本人
認証システムに関する。

【０００２】

【従来の技術】従来、コンピュータをネットワークで接
続して通信を行い、多彩な情報をインターネット上でサ
ービスするウェブサービスの提供が行なわれている。こ
のウェブサービスには、ウェブサービスの利用を特定者
に限定し、サービス事業者と利用契約を結ぶことにより
利用可能とするものがある。このようなサービス事業者
が提供するウェブサービスを利用するためには、インタ
ーネットを介してウェブシステムにアクセスした際に、
アクセス者が契約済みのユーザ本人であるかの確認を行
うため本人認証を行う。そこで、サービス事業者は、ユ
ーザに予めユーザ毎に識別情報として固有のユーザＩＤ
及びパスワードを付与し、ユーザがサービス事業者の提
供するウェブシステムにアクセスした際に、サービス事
業者の要求に従ってユーザＩＤ及びパスワードを入力さ
せ、サービス事業者に予め登録してあるユーザＩＤ及び
パスワードとの一致を確認する本人認証を行い、成功し
た場合は、ウェブシステムへの接続を許可する。

【０００３】図６は、従来のサービス事業者による本人
認証システムの構成例である。同図は、ユーザ設備１
と、サービス事業者設備２とがインターネット３を介し
て接続された構成例を示し、ユーザ設備１には、ユーザ
端末装置４が、サービス事業者設備２には、ウェブサー
ビスの提供を行うウェブサーバ５及びユーザＩＤ、パス
ワード等のユーザ情報を予め登録するユーザ情報データ
格納部６とを夫々備えている。

【０００４】図６の動作を説明すると、ユーザは、サー
ビス事業者の提供するウェブサービスの利用契約を結ぶ
際に、ユーザＩＤとパスワードを含む個人情報を予め登
録し、サービス事業者は、ユーザの個人情報をユーザ情
報データ格納部６に格納し管理する。そこで、ユーザ
は、サービス事業者からウェブサービスの提供を受ける
ために、ユーザ端末装置４を起動してインターネット３
を介し、サービス事業者が設置しているウェブサーバ５
へアクセスする。この際、アクセス者が契約済みのユー
ザ本人であることを認識するため、ウェブサーバ５へユ
ーザＩＤ及びパスワードを送出する。ウェブサーバ５
は、受信したユーザＩＤを基にユーザ情報データ格納部
６を検索し、該当するユーザＩＤの確認とパスワードの
認識を行い、受信したユーザ情報内容との一致を確認す
ることにより本人認証を行う。一致する場合は、ウェブ
サーバ５は、ユーザ端末装置４に対しウェブサービスの
提供を開始し、一方、不一致の場合は、ウェブサービス
の提供を拒否する。

【０００５】

【発明が解決しようとする課題】しかしながら、従来の
サービス事業者による本人認証システムは、ユーザがサ
ービス事業者からサービスの提供を受けるためウェブサ
ーバへアクセスした際に、ユーザに備えた端末装置から
ユーザＩＤとパスワードをその都度送出しているため、
仮に、第三者が不正にあるユーザの個人情報であるユー
ザＩＤとパスワードを入手し、当該ユーザになりすまし
てサービス事業者へのアクセスの際に使用してもサービ
ス事業者は、そのアクセスが不正なものであることの認
識は不可能である。しかも、正規のユーザ本人は、第三
者が不正にアクセスを行っている事実を早期に察知する
ことは困難である。このような個人情報の漏洩は、イン
ターネットやウェブシステムのセキュリティ上の欠陥を
利用することで、ネット上にいながら地理的にも言語的
にも関係なく全く見知らぬ者のユーザＩＤやパスワード
を盗取することによりしばしば発生している。本発明
は、上述したような従来のサービス事業者による本人認
証システムの問題を解決するためになされたものであっ
て、第三者が、正規のユーザに設定されたユーザＩＤ及
びパスワードを入手して、サービス事業者に、不正にア
クセスすることを防ぐ本人認証システムを提供すること
を目的とする。

【０００６】

【課題を解決するための手段】上記目的を達成するため
に本発明に係わる本人認証システムは、以下の構成をと
る。インターネットを介してユーザに所定のサービスを
提供する際に使用される本人認証システムであって、予
め各ユーザに提供したＩＤやパスワードの識別情報と各
ユーザの電話番号とを関連づけて格納するユーザ情報デ
ータ格納部と、電気通信事業者が提供する発信者電話番
号通知機能を利用してユーザからの電話発信より当該ユ
ーザの電話番号を取得する認証専用アクセス装置と、前
記認証専用アクセス装置が取得した電話番号を取得した
時刻と関連づけて格納する電話番号データ格納部と、ユ
ーザに対して識別情報の送信を促しユーザからの識別情
報を受信すると共に前記サービスをユーザに提供するウ
ェブサーバと、ウェブサーバが受信した識別情報と前記
ユーザ情報データ格納部に格納された情報とを照合する
識別情報照合手段と、識別情報が合致した時当該ユーザ
の電話番号と前記電話番号データ格納部に格納された電
話番号とを照合する電話番号照合手段と、前記電話番号
データ格納部に合致する電話番号が見つかり当該電話番
号の取得時刻からの経過時間が所定時間内であった場合
のみウェブサーバへのアクセスを当該ユーザに許諾する
手段とを備えるよう構成する。

【０００７】

【発明の実施の形態】以下、図示した実施例に基づいて
本発明を詳細に説明する。先ず、本発明の要旨を説明す
る。現在行なわれている電話サービスの一つとして、発
信者電話番号を着信側に通知する機能が設けられてい
る。この発信者電話番号通知機能は、電話サービスを提
供する電気通信事業者の設備が対応しており、通知され
る発信者電話番号を第三者が操作することは不可能であ
る。そこで、この発信者電話番号通知機能を利用するこ
とにより、ユーザに付与されている電話番号の確認を本
人認証手段の一つとして使用することとし、ユーザがウ
ェブサービスの提供を受ける際は、予め、電話回線を介
してサービス事業者宛てに発信することによりユーザの
電話番号を通知し着信履歴とする。サービス事業者は、
本人認証を行うにあたり、ユーザＩＤ及びパスワードの
個人情報による本人認証を行った後、ユーザからの前記
着信履歴があるかどうかの検索を行い、予め登録してあ
るユーザの認証用電話番号と着信電話番号が一致する着
信履歴がある場合は本人認証の成功とする。

【０００８】従って、不正アクセスしようとしている者
が、ユーザのユーザＩＤ及びパスワードを不正に入手し
ても、本人認証のためには電話の着信履歴が必要で、ユ
ーザの電話設備を使用しない限り本人認証を受けること
は不可能である。以上説明したように、本実施例におい
ては、本人認証を行う際に、発信者番号通知機能により
通知される着信電話番号の着信履歴の確認を行うように
したところが最大の特徴である。

【０００９】図１は、本発明に係る本人認証システムの
一実施例を示す構成図である。同図は、ユーザ設備７
と、サービス事業者設備８とをインターネット３及びＩ
ＳＤＮ／公衆回線９により接続して構成し、ユーザ設備
７には、インターネット３を介してウェブサービスの提
供を受ける際に使用するユーザ端末装置（例えば、パー
ソナルコンピュータ）１０と、ユーザの電話番号をＩＳ
ＤＮ／公衆回線９を介してサービス事業者へ通知する際
に使用する認証用端末装置（例えば、電話機）１１とを
備え、サービス事業者設備８には、予め各ユーザに提供
したＩＤやパスワード等の識別情報と各ユーザの電話番
号とを関連づけて格納するユーザ情報データ格納部１２
と、電気通信事業者が提供する発信者電話番号通知機能
を利用してユーザからの電話発信より当該ユーザの電話
番号を取得する認証専用アクセス装置１３と、前記認証
専用アクセス装置１３が取得した電話番号を取得した時
刻と関連づけて格納する電話番号データ格納部１４と、
ユーザに対して識別情報の送信を促しユーザからの識別
情報を受信すると共に前記サービスをユーザに提供する
ウェブサーバ１５とを備えている。

【００１０】又、ウェブサーバ１５には、認証システム
１６を備え、ウェブサーバ１５が受信した識別情報と前
記ユーザ情報データ格納部１２に格納された情報とを照
合する識別情報照合手段と、識別情報が合致した時当該
ユーザの電話番号と前記電話番号データ格納部１４に格
納された電話番号とを照合する電話番号照合手段と、前
記電話番号データ格納部１４に合致する電話番号が見つ
かり当該電話番号の取得時刻からの経過時間が所定時間
内であった場合のみウェブサーバ１５へのアクセスを当
該ユーザに許諾する手段とを有している。

【００１１】図１の動作を図２、３、４を参照しながら
説明すると、先ず、ユーザは、サービス事業者が提供す
るウェブサービスの利用契約を結ぶ際、ユーザＩＤ及び
パスワードを含む個人情報の他に、電気通信事業者から
ユーザに付与されている電話番号を認証用電話番号とし
てサービス事業者設備８に備えたユーザ情報データ格納
部１２に予め登録しておく。図２は、本発明に係るユー
ザ情報データ格納部に登録してある個人情報の構成例を
示す図で、ユーザＩＤ、パスワード及びユーザの認証用
電話番号を含み、サービス事業者により管理されてい
る。

【００１２】又、サービス事業者は、着信電話番号によ
る本人認証を行うために、専用にＩＳＤＮ或いは公衆回
線用のアクセスポイントである認証専用アクセス装置１
３を設け、受信した着信電話番号を電話番号データ格納
部１４に記録できるようにしておく。図３は、本発明に
係る着信電話番号の着信履歴を記録する電話番号データ
格納部の構成例を示す図で、着信した電話番号と、着信
した日時を所定の期間記憶しておく。

【００１３】次に、本発明による本人認証の手順を説明
する。ユーザは、サービス事業者が提供するウェブサー
ビスを受けようとすると、所有するユーザ端末装置１０
を起動してインターネット３を介してサービス事業者の
ウェブサーバ１５へアクセスする。そこで、ユーザの本
人認証を行うため、ユーザ端末装置１０には、認証フォ
ーム画面が表示される。図４は、本発明に係る本人認証
の際にユーザ端末装置に表示される画面例を示し、
（ａ）は、認証フォーム画面であり、（ｂ）は、認証失
敗画面である。図４の（ａ）による認証フォーム画面に
よりユーザＩＤとパスワードの入力を催促されるので、
ユーザは、ユーザＩＤとパスワードを入力する。

【００１４】ここで、本認証フォーム画面による操作を
一時停止し、次のステップとしてユーザは、予めサービ
ス事業者との契約の際に登録した電話番号が付与されて
いる認証用端末装置１１を操作し、電話回線を介してサ
ービス事業者が提供している認証専用アクセス装置１３
へ発信して数回呼出した後、発信を中止して電話回線を
切断する。この時、サービス事業者側の認証専用アクセ
ス装置１３は、応答しないので通話料金は、課金されな
いが、認証専用アクセス装置１３には、着信電話番号と
して認証用端末装置１１に付与されている電話番号が通
知される。通知された着信電話番号は、着信時間と共
に、電話番号データ格納部１４に記録される。

【００１５】次に、ユーザは、認証用端末装置１１の操
作を終了し、ユーザ端末装置１０の認証フォーム画面の
操作を行う。そこで、図４の（ａ）に示す「実行」ボタ
ンを操作して、サービス事業者のウェブサーバ１５へ認
証要求としてユーザＩＤ及びパスワードを送出する。ウ
ェブサーバ１５には、認証システム１６を有しており、
以下の認証を行う。先ず、受信したユーザＩＤをキーと
してユーザ情報データ格納部１２を検索し、ユーザ情報
データ格納部１２に、指定のユーザＩＤが登録されてい
ない場合は、認証エラーとしてウェブサーバ１２よりユ
ーザ端末装置１０へ、図４の（ｂ）に示す認証失敗画面
により通知する。

【００１６】一方、ユーザ情報データ格納部１２に指定
したユーザＩＤが存在した場合、ユーザ情報データ格納
部１２は、指定のユーザＩＤに対応するパスワードと着
信電話番号による着信履歴照合のための認証用電話番号
をウェブサーバ１５へ出力する。認証システム１６は、
ユーザより受信したパスワードとユーザ情報データ格納
部１２より入力したパスワードとを照合し、一致しない
場合は、認証エラーとしてウェブサーバ１５よりユーザ
端末装置１０へ、図４の（ｂ）に示す認証失敗画面によ
り通知する。

【００１７】パスワードの照合が成功すると、認証シス
テム１６は、ユーザ情報データ格納部１２より入力した
認証用電話番号をキーとして、電話番号データ格納部１
４を検索する。電話番号データ格納部１４は、着信履歴
データを参照し、規定時間内（例えば、その時点から１
０分以前等）に指定の認証用電話番号と一致する電話番
号の着信履歴があるかどうかを検索する。認証システム
１６は、電話番号データ格納部１４より着信履歴のない
ことを通知されると、ウェブサーバ１５よりユーザ端末
装置１０へ、図４の（ｂ）に示す認証失敗画面により通
知する。認証システム１６は、電話番号データ格納部１
４より着信履歴のあることを通知されると、本人認証は
成功したものとして、以降、ユーザにウェブサービスの
提供を開始する。

【００１８】図５は、本発明に係わる本人認証システム
の動作例を示すシーケンス図である。同図の動作を説明
すると、先ず、ユーザは、ユーザ端末装置を起動して、
所望のサービス業者のウェブサーバへアクセスする。そ
の後、図５に示すように、認証用端末装置を使用して、
サービス事業者の認証専用アクセス装置へ発信し、呼出
を数回行った後、電話回線を切断する。認証専用アクセ
ス装置では、電気通信事業者がサービスする発信者電話
番号通知機能により、着信電話番号が通知されるので、
電話番号データ格納部に通知された電話番号と着信時間
とを関連づけて格納する。

【００１９】次に、ユーザは、ユーザ端末装置を使用し
て、サービス事業者のウェブサーバへユーザＩＤ及びパ
スワードを送出する。ウェブサーバは、受信したユーザ
ＩＤがユーザ情報データ格納部に登録されているかの確
認を行うためユーザＩＤ情報をユーザ情報データ格納部
へ送出する。ユーザ情報データ格納部では、ユーザＩＤ
が登録されていない場合は、該当者なしを返送し、ユー
ザＩＤの登録ある場合は、指定のパスワードと認証用電
話番号をウェブサーバへ返送する。ウェブサーバは、ユ
ーザＩＤの登録が無い場合は、認証失敗としてウェブサ
ーバよりユーザ端末装置へ通知する。

【００２０】一方、ユーザＩＤの登録が確認されると、
ウェブサーバは、ユーザから送信されたパスワードとユ
ーザ情報データ格納部より入力したパスワードの照合を
行い、不一致の場合は、認証失敗としてウェブサーバよ
りユーザ端末装置へ通知する。パスワードの照合が成功
すると、ウェブサーバは、ユーザ情報データ格納部より
入力した認証用電話番号を基に電話番号データ格納部を
検索し、認証用電話番号に一致する着信履歴があるかを
確認する。着信履歴が無い場合は、認証失敗としてウェ
ブサーバよりユーザ端末装置へ通知する。一方、着信履
歴が存在する場合は、本人認証が成功して、以降、ウェ
ブサーバは、ユーザ端末装置に対してウェブサービスの
提供を開始する。

【００２１】以上説明したように本発明によれば、第三
者が不正行為を行おうとする場合、ユーザＩＤやパスワ
ードの取得以外に、認証用端末装置も手に入れる必要が
ある。これは、ネット上における操作のみでは実現でき
ず、不正に本人認証を受けることは非常に困難となる。
又、本発明をユーザＩＤとパスワードによる本人認証シ
ステムに適用したものを例として説明したが、本発明は
これにのみ限定されるものではなく、それ以外の本人認
証システムに適応しても良い。

【００２２】

【発明の効果】本発明は上述したように、本人認証の手
段として、ユーザＩＤ及びパスワードの確認に加えて、
電気通信事業者がサービスを提供している発信者電話番
号通知機能により通知される着信電話番号をユーザの認
証用電話番号として追加し、認証用電話番号の着信履歴
の確認を行うことを本人認証手段としたため、不正な本
人認証が行われることを防ぐことができ、本人認証シス
テムを運用する上で大きな効果を発揮することが可能と
なる。

【図面の簡単な説明】

【図１】本発明に係る本人認証システムの一実施例を示
す構成図である。

【図２】本発明に係るユーザ情報データ格納部に登録し
てある個人情報の構成例を示す図である。

【図３】本発明に係る着信電話番号の着信履歴を記録す
る電話番号データ格納部の構成例を示す図である。

【図４】本発明に係る本人認証の際にユーザ端末装置に
表示される画面例を示し、（ａ）は、認証フォーム画面
であり、（ｂ）は、認証失敗画面である。

【図５】本発明に係わる本人認証システムの動作例を示
すシーケンス図である。

【図６】従来のサービス事業者による本人認証システム
の構成例である。

【符号の説明】

１・・ユーザ設備、 ２・・サービス事業者
設備、３・・インターネット、 ４・・ユー
ザ端末装置、５・・ウェブサーバ、 ６・
・ユーザ情報データ格納部、７・・ユーザ設備、
８・・サービス事業者設備、９・・ＩＳＤＮ／公
衆回線、 １０・・ユーザ端末装置、１１・・認証
用端末装置、 １２・・ユーザ情報データ格納
部、１３・・認証専用アクセス装置、 １４・・電話
番号データ格納部、１５・・ウェブサーバ、
１６・・認証システム

Claims (1)

【特許請求の範囲】
1. 【請求項１】インターネットを介してユーザに所定のサ
   ービスを提供する際に使用される本人認証システムであ
   って、 予め各ユーザに提供した識別情報と各ユーザの電話番号
   とを関連づけて格納するユーザ情報データ格納部と、 電気通信事業者が提供する発信者電話番号通知機能を利
   用してユーザからの電話発信より当該ユーザの電話番号
   を取得する認証専用アクセス装置と、 前記認証専用アクセス装置が取得した電話番号を取得し
   た時刻と関連づけて格納する電話番号データ格納部と、 ユーザに対して識別情報の送信を促し、ユーザからの識
   別情報を受信すると共に前記サービスをユーザに提供す
   るウェブサーバと、 ウェブサーバが受信した識別情報と前記ユーザ情報デー
   タ格納部に格納された情報とを照合する識別情報照合手
   段と、該識別情報照合手段にて識別情報が合致したとき
   当該ユーザの電話番号と前記電話番号データ格納部に格
   納された電話番号とを照合する電話番号照合手段と、 前記電話番号データ格納部に合致する電話番号が見つか
   り、当該電話番号の取得時刻からの経過時間が所定時間
   内であった場合のみウェブサーバへのアクセスを当該ユ
   ーザに許諾する手段とを備えたことを特徴とする本人認
   証システム。